JPH031502B2 - - Google Patents

Description

【発明の詳細な説明】 本発明は車輌用制御装置に関し、更に特定して
述べると、マイクロコンピユータを用いて内燃機
関の如き車輌用装置の作動制御を電子的に行なう
ようにした車輌用制御装置に関する。DETAILED DESCRIPTION OF THE INVENTION The present invention relates to a vehicle control device, and more specifically, a vehicle control device that uses a microcomputer to electronically control the operation of a vehicle device such as an internal combustion engine. Regarding.

近年、マイクロコンピユータを用いて内燃機関
装置の作動制御を行なうようにした制御装置の如
き車輌用装置が広く用いられてきているが、マイ
クロコンピユータを使用した装置にあつては、プ
ログラムの暴走の可能性が常に存在するという問
題点を有している。特に、内燃機関を含んで構成
されるシステムの場合には、内燃機関からのノイ
ズ、大容量補機からのノイズ・サージ、湿度によ
るバスラインリーク又はバツテリの電圧低下等に
因りプログラムが暴走する危険性がある。内燃機
関装置の制御装置において、プログラムの暴走が
生じると、機関のオーバーランを引き起す等の状
態に陥り、極めて危険である。 In recent years, vehicular devices such as control devices that use microcomputers to control the operation of internal combustion engine devices have been widely used, but devices that use microcomputers have the possibility of runaway programs. The problem is that gender is always present. In particular, in the case of a system that includes an internal combustion engine, there is a risk that the program will run out of control due to noise from the internal combustion engine, noise/surge from large-capacity auxiliary equipment, bus line leaks due to humidity, or battery voltage drop. There is sex. If a program goes out of control in a control device for an internal combustion engine, the engine may overrun, which is extremely dangerous.

このため、従来のこの種の装置にあつては、プ
ログラムが正常に動作している場合に必ず実行さ
れる処理の終了に応答してパルスを発生させ、こ
のパルスの発生状態、即ち、該パルスが所定の時
間間隔で発生しているか否か等をチエツクするこ
とにより、プログラムが暴走しているか否かを判
断する方法が使用されている（特開昭57−25002
号公報参照）。また、プログラムが正常に動作し
ている時に必ず実行される処理の終了に応答して
パルスを発生せしめ、このパルスにより所定周期
の繰返しパルス信号をカウントしているカウンタ
をリセツトし、プログラムの実行状態を示す上述
のパルスが正常に出力されている限りカウンタの
カウント内容が所定値を越えることがないように
制御しておき、該カウント内容が所定値を越えた
時にマイクロコンピユータをリセツトするように
した自動復帰回路も設けられている。しかしなが
ら、前者の方法では、単に、或る着目した処理が
実行されたか否かだけによつてパルスの発生を制
御するものであるから、プログラムの暴走が生じ
たとしても、暴走の状態によりパルスの発生態様
が極めて多種に亘り、場合によつては、その発生
間隔が正常動作時と判別しにくい間隔で出力され
ることもあり、判別のためのハードウエアで判別
できないか、又は判別を正確に行なうために極め
て複雑なハードウエアを必要とする等の問題点を
有していた。また後者のプログラム自動復帰回路
は、上述の如く、プログラムの実行状態を示すパ
ルスの発生が停止した場合にマイクロコンピユー
タをリセツトするだけであるから、マイクロコン
ピユータが繰返しリセツトされ続けるような回復
の見込みのない障害がプログラムに発生したとし
ても、アクチユエータは何らかの動作を行なつて
おり、無制御の状態で機関の運転が実行されるこ
とになる。このような状態は安全対策上好ましく
なく、何らかの保護対策が必要とされている。 For this reason, in conventional devices of this type, a pulse is generated in response to the completion of a process that is always executed when a program is operating normally, and the state of generation of this pulse is A method is used to determine whether a program is running out of control by checking whether or not the program is occurring at predetermined time intervals (Japanese Patent Laid-Open No. 57-25002).
(see publication). In addition, a pulse is generated in response to the completion of a process that is always executed when the program is running normally, and this pulse resets a counter that counts the repeated pulse signals of a predetermined period, thereby changing the program execution status. As long as the above-mentioned pulse indicating the above is outputted normally, the count content of the counter is controlled so as not to exceed a predetermined value, and when the count content exceeds the predetermined value, the microcomputer is reset. An automatic return circuit is also provided. However, in the former method, pulse generation is controlled solely depending on whether or not a certain focused process has been executed, so even if a runaway program occurs, the pulse generation will be affected by the runaway state. The occurrence patterns are extremely diverse, and in some cases, the occurrence intervals may be output at intervals that are difficult to distinguish from those during normal operation, and the hardware for discrimination may not be able to discriminate, or the discrimination may not be accurate. This has had problems such as requiring extremely complicated hardware to carry out the process. Furthermore, as mentioned above, the latter program automatic recovery circuit only resets the microcomputer when the generation of pulses indicating the program execution status has stopped, so there is no possibility of recovery if the microcomputer is repeatedly reset. Even if a fault occurs in the program, the actuator will still be performing some kind of operation, and the engine will continue to operate in an uncontrolled manner. Such a situation is unfavorable from a safety standpoint, and some kind of protection measure is required.

本発明の目的は、従つて、マイクロコンピユー
タにおいて実行される制御のためのプログラムが
正常に実行されているか否かを確実に判別し、プ
ログラムが正常に実行されていないことが判別さ
れた場合にはマイクロコンピユータの動作にリセ
ツトを掛け、マイクロコンピユータにおけるプロ
グラムの暴走を確実且つ簡単に検出することがで
き、これによりマイクロコンピユータにおいてリ
セツトによつても回復が期待できない障害が発生
した場合には、車輌用装置の作動制御を停止させ
るようにした電子式内燃機関制御装置を提供する
ことにある。 Therefore, an object of the present invention is to reliably determine whether a control program executed in a microcomputer is being executed normally, and to detect whether the program is not being executed normally. This resets the operation of the microcomputer and can reliably and easily detect runaway programs in the microcomputer.This allows the vehicle to be reset in the event that a failure occurs in the microcomputer that cannot be recovered even by a reset. An object of the present invention is to provide an electronic internal combustion engine control device that stops the operation control of a device for use.

上記目的を達成するため、本発明は、第３図に
示されるように、マイクロコンピユータにより複
数の処理段階を含んで成るプログラムが実行され
る処理ユニツト１０１を含み該処理ユニツト１０
１により得られた制御演算結果に従つて車輌用装
置１０２の作動制御を行なうようにした車輌用制
御装置において、プログラムの１プログラムサイ
クル中において必ず１回実行される予め着目した
処理段階の実行を終了する毎に応答してプログラ
ムの作動チエツクのための所定の演算を実行する
演算手段１０３と、プログラム１プログラムサイ
クル中において必ず１回実行される所定の実行タ
イミング毎に演算手段１０３のそのときの演算結
果がプログラム正しく実行された場合にそのとき
得られる予定された結果と一致するか否かを比較
し一致していた場合にのみ終了パルスを出力する
終了パルス出力手段１０４と、プログラムが正し
く実行された場合に得られる予定された終了パル
スの発生周期T₁より短い一定周期T₂でカウント
パルスを繰返し発生するパルス発生手段１０５
と、T₁／T₂より大きい計数容量を有しカウント
パルスを計数すると共に終了パルスがリセツトパ
ルスとして入力される計数手段１０６と、該計数
手段１０６の計数値がT₁／T₂より大きい所定の
値となつたことに応答して上記マイクロコンピユ
ータをリセツトするリセツト手段１０７と、計数
手段１０６の出力と終了パルスとに応答し１つの
終了パルスが発生してから次の終了パルスが発生
するまでの間に計数手段１０６の出力が上記所定
の値となる状態が所定回数に達した場合に検出出
力を発生する検出手段１０８とを備え、該検出出
力に応答して処理ユニツト１０１による車輌用装
置１０２の作動制御を停止させるようにした点に
特徴を有する。 To achieve the above object, the present invention includes a processing unit 101 in which a program comprising a plurality of processing steps is executed by a microcomputer, as shown in FIG.
In a vehicle control device configured to control the operation of the vehicle device 102 according to the control calculation results obtained in step 1, execution of a pre-focused processing step that is always executed once in one program cycle of the program is performed. A computing means 103 executes a predetermined computation for checking the operation of the program in response to each program completion, and a computing means 103 executes a predetermined computation for checking the operation of the program in response to each program completion, and a computation means 103 executes a predetermined computation for checking the program operation at each predetermined execution timing that is always executed once in one program cycle. A termination pulse output means 104 that compares whether or not the calculation result matches the expected result obtained at that time if the program is executed correctly, and outputs a termination pulse only if they match; pulse generating means 105 that repeatedly generates count pulses at a fixed period _T2 shorter than the expected end pulse generation period _T1 obtained when
, a counting means 106 having a counting capacity larger than T ₁ /T ₂ and counting count pulses and inputting the end pulse as a reset pulse; and a predetermined counter whose count value is larger than T ₁ /T ₂ a reset means 107 for resetting the microcomputer in response to the value reaching the value of and a detection means 108 that generates a detection output when the output of the counting means 106 reaches the above-mentioned predetermined value a predetermined number of times during the period, and in response to the detection output, the processing unit 101 controls the vehicle device. The feature is that the operation control of 102 is stopped.

以下、図示の実施例により本発明を詳細に説明
する。 Hereinafter, the present invention will be explained in detail with reference to illustrated embodiments.

第１図には、本発明を電子式内燃機関制御装置
に適用した場合の一実施例が示されている。この
内燃機関制御装置１は、デイーゼル機関の運転制
御を電子的に行なうための装置であり、図示の実
施例では、デイーゼル機関装置２に設けられてい
る燃料カツト弁３、調速装置（図示せず）のアク
チユエータ制御用電磁弁４及び噴射進角調節用の
電磁弁５の制御が該制御装置１により電子的に行
なわれる。 FIG. 1 shows an embodiment in which the present invention is applied to an electronic internal combustion engine control device. This internal combustion engine control device 1 is a device for electronically controlling the operation of a diesel engine. The control device 1 electronically controls the actuator control solenoid valve 4 and the injection advance angle adjustment solenoid valve 5.

燃料カツト弁３は、対応して設けられた駆動用
トランジスタ６がオンとなつた場合に付勢されて
開かれ、燃料噴射ポンプ（図示せず）内の燃料加
圧機構部に燃料が供給される。トランジスタ６が
オフとなると、燃料カツト弁３は閉じられ、燃料
の供給が停止され、デイーゼル機関は停止するこ
とになる。電磁弁４は、燃料噴射装置のコントロ
ールレバに連結されたアクチユエータの作動制御
を行なわせるためのものであり、対応する駆動ト
ランジスタ７がオンとなり電磁弁４が付勢される
と、電磁弁４は開かれ、燃料供給量を増大させる
方向にコントロールレバ８を回動させることがで
きる。実際には、後で詳しく述べるようにして、
デユーテイ比が制御されるパルス電圧がトランジ
スタ７に印加され、これにより電磁弁４の平均開
度を調節し、コントロールレバ８の回動位置を所
望の噴射量位置に制御するようになつている。電
磁弁４が完全に消勢された状態にあつては、コン
トロールレバ８は無噴射位置に位置決めされる。
電磁弁５は、常閉電磁弁であり、対応する駆動用
トランジスタ９がオフとなると、電磁弁５は閉じ
られ、進角を最大とする制御状態となる。この電
磁弁５は燃料噴射ポンプに装置されたタイマ装置
に組込まれており、電磁弁４の場合と同様に、パ
ルス信号により駆動制御され、そのパルス信号の
デユーテイ比を調節することにより噴射進角を所
望の値に設定することができる。 The fuel cut valve 3 is energized and opened when the correspondingly provided driving transistor 6 is turned on, and fuel is supplied to the fuel pressurizing mechanism in the fuel injection pump (not shown). Ru. When the transistor 6 is turned off, the fuel cut-off valve 3 is closed, the fuel supply is stopped, and the diesel engine is stopped. The solenoid valve 4 is for controlling the operation of an actuator connected to the control lever of the fuel injection device. When the corresponding drive transistor 7 is turned on and the solenoid valve 4 is energized, the solenoid valve 4 is activated. When opened, the control lever 8 can be rotated in a direction to increase the amount of fuel supplied. In fact, as I will explain in detail later,
A pulse voltage whose duty ratio is controlled is applied to the transistor 7, thereby adjusting the average opening degree of the electromagnetic valve 4 and controlling the rotational position of the control lever 8 to a desired injection amount position. When the solenoid valve 4 is completely deenergized, the control lever 8 is positioned at the no-injection position.
The solenoid valve 5 is a normally closed solenoid valve, and when the corresponding driving transistor 9 is turned off, the solenoid valve 5 is closed and enters a control state in which the advance angle is maximized. This solenoid valve 5 is incorporated in a timer device installed in the fuel injection pump, and, like the solenoid valve 4, is driven and controlled by a pulse signal, and the injection advance angle is controlled by adjusting the duty ratio of the pulse signal. can be set to a desired value.

これらの各電磁弁３，４，５の開閉制御が、デ
イーゼル機関の運転状態に応じて適宜に行なわれ
るようにするための演算がマイクロコンピユータ
１０において行なわれる。上述の演算を実行する
ための情報として、マイクロコンピユータ１０に
は、図示の実施例の場合には、機関速度を示す速
度信号S₁、アクセルの操作量を示すアクセス信号
S₂及び機関の冷却水温を示す水温信号S₃が、機関
速度検出器１１、アクセル操作量検出器１２、冷
却水温検出器１３から夫々入力されている。機関
速度検出器１１は、機関の回転速度に応じた周波
数の交流検出信号を取り出す回転ピツクアツプ１
１ａと、回転ピツクアツプ１１ａから出力される
交流検出信号を矩形波信号に変換する波形整形回
路１１ｂから成り、波形整形回路１１ｂからの出
力矩形波信号が速度信号S₁として出力される。マ
イクロコンピユータ１０には、これらの入力情報
に基づいて、その時々の運転状態に見合つた最適
噴射量Ｑ及び最適噴射タイミングθを演算するた
めの所定のプログラムがストアされており、マイ
クロコンピユータ１０からは、Ｑ及びθを示す演
算データD₁，D₂が出力される。データD₁は噴射
量制御パルス発生器１４に入力され、データD₁
の内容に従つてデユーテイ比の変化する第１パル
ス信号P₁が出力される。この第１パルス信号P₁
は後述するようにしてトランジスタ７のベースに
印加され、所望の最適噴射量が得られるようにコ
ントロールレバ８が位置決めされる。尚、図示の
例では、コントロールレバ８に連結された位置セ
ンサ１５からのコントロールレバ位置信号S₄が、
噴射量制御パルス発生器１４にフイードバツク信
号として入力されており、これにより、より精密
なコントロールレバ位置制御が行なわれるように
なつている。一方、データD₂はタイミング制御
パルス発生器１６に入力され、データD₂の内容
に伴つてデユーテイ比が変化する第２パルス信号
P₂が出力される。この第２パルス信号P₂は、ア
ンドゲート１７を介してトランジスタ９のベース
に印加され、電磁弁５の平均開度が第２パルス信
号P₂のデユーテイ比に従つて制御される。この
結果、噴射ポンプの進角値は、データD₂の内容
に従つて定められ、常に最適な進角値で内燃機関
装置の運転を行なうことができる。上述した噴射
量及び進角の制御系それ自体は公知であるので、
詳しい説明は省略する。 A microcomputer 10 performs calculations to appropriately control the opening and closing of each of these solenoid valves 3, 4, and 5 depending on the operating state of the diesel engine. In the illustrated embodiment, the microcomputer 10 includes a speed signal S ₁ indicating the engine speed and an access signal indicating the accelerator operation amount as information for executing the above calculation.
S ₂ and a water temperature signal S ₃ indicating the engine cooling water temperature are input from an engine speed detector 11, an accelerator operation amount detector 12, and a cooling water temperature detector 13, respectively. The engine speed detector 11 includes a rotary pickup 1 that extracts an AC detection signal having a frequency corresponding to the rotational speed of the engine.
1a, and a waveform shaping circuit 11b that converts the AC detection signal output from the rotary pickup 11a into a rectangular wave signal, and the output rectangular wave signal from the waveform shaping circuit 11b is output as the speed signal _S1 . The microcomputer 10 stores a predetermined program for calculating the optimum injection amount Q and the optimum injection timing θ corresponding to the current operating condition based on this input information. , _Q and θ are _output . The data D ₁ is input to the injection amount control pulse generator 14, and the data D ₁
A first pulse signal _P1 whose duty ratio changes according to the contents of is output. This first pulse signal P ₁
is applied to the base of the transistor 7 as will be described later, and the control lever 8 is positioned so as to obtain the desired optimum injection amount. In the illustrated example, the control lever position signal _S4 from the position sensor 15 connected to the control lever 8 is
The signal is input as a feedback signal to the injection amount control pulse generator 14, thereby enabling more precise control of the control lever position. On the other hand, data D ₂ is input to the timing control pulse generator 16, which generates a second pulse signal whose duty ratio changes according to the content of data D ₂ .
P ₂ is output. This second pulse signal _P2 is applied to the base of the transistor 9 via the AND gate 17, and the average opening degree of the solenoid valve 5 is controlled according to the duty ratio of the second pulse signal _P2 . As a result, the advance angle value of the injection pump is determined according to the contents of the data _D2 , and the internal combustion engine apparatus can always be operated at the optimal advance angle value. Since the control system for the injection amount and advance angle described above is known per se,
Detailed explanation will be omitted.

マイクロコンピユータ１０には、そのCPU内
のハードウエア及びソフトウエアを共にリセツト
するためのリセツト端子Ｒが設けられており、該
リセツト端子Ｒのレベルが「Ｌ」となるとCPU
はリセツト状態となり、リセツト端子Ｒのレベル
が「Ｈ」の場合にはCPUは作動状態となる。 The microcomputer 10 is provided with a reset terminal R for resetting both the hardware and software within the CPU, and when the level of the reset terminal R becomes "L", the CPU is reset.
is in a reset state, and when the level of the reset terminal R is "H", the CPU is in an operating state.

電源を投入した場合にマイクロコンピユータ１
０を自動的にリセツトする目的で、このリセツト
端子Ｒには、コンデンサ１８、抵抗器１９及びダ
イオード２０から成る自動リセツト回路２１が接
続されている。この自動リセツト回路２１は、コ
ンデンサ１８への充電電流が抵抗器１９を介して
電源Ｅから流入し、コンデンサ１８の放電電流が
ダイオード２０を介して流れるように配線がなさ
れている。従つて電源が投入された直後は、コン
デンサ１８の両端の電圧V_cは略アースレベルと
なる。従つて、マイクロコンピユータ１０はリセ
ツト状態となるが、時間の経過と共に電圧V_cの
レベルは徐々に上昇し、V_cの値が所定値以上に
達するとリセツト状態が解除され、マイクロコン
ピユータ１０は、前述の制御動作を所定のプログ
ラムに従つて実行することになる。 When the power is turned on, microcomputer 1
For the purpose of automatically resetting 0, an automatic reset circuit 21 consisting of a capacitor 18, a resistor 19 and a diode 20 is connected to this reset terminal R. The automatic reset circuit 21 is wired so that a charging current to the capacitor 18 flows from the power supply E through a resistor 19, and a discharge current from the capacitor 18 flows through a diode 20. Therefore, immediately after the power is turned on, the voltage V _c across the capacitor 18 is approximately at the ground level. Therefore, the microcomputer 10 is in a reset state, but as time passes, the level of the voltage V _c gradually increases, and when the value of V _c reaches a predetermined value or more, the reset state is released, and the microcomputer 10 The aforementioned control operations will be executed according to a predetermined program.

既に述べたように、この種の制御装置は、作動
中に電源電圧のレベルが所定値以下にまで低下す
ると、プログラムが暴走する等して正常な制御動
作の実行を期待することができなくなる。この不
具合いを除去する目的で、本装置１は、バツテリ
BTに接続された電源ライン２２の電圧レベルが
所定値以下となつたことに応答してマイクロコン
ピユータ１０をリセツトさせるための、電圧応答
リセツト回路２３が設けられている。電圧応答リ
セツト回路２３は、電源ライン２２の電圧レベル
が、コンピユータ内でプログラムの暴走を起させ
る虞れのある値以下にまで低下したことを検出
し、この電圧低下状態の発生に応答してその出力
ライン２４のレベルを「Ｈ」から「Ｌ」に変更す
る電圧低下検出回路２５を備えている。電圧低下
検出回路２５は、例えば、電圧比較器を用いて容
易に構成することができ、その入力側端子は電源
ライン２２に接続されると共に、その出力ライン
２４は、論理ゲート回路２６，２７の各一方の入
力端子に接続されている。 As already mentioned, in this type of control device, if the level of the power supply voltage drops below a predetermined value during operation, the program may run out of control, and normal control operations cannot be expected to be performed. In order to eliminate this problem, this device 1 has a battery
A voltage responsive reset circuit 23 is provided for resetting the microcomputer 10 in response to the voltage level of the power line 22 connected to BT falling below a predetermined value. The voltage response reset circuit 23 detects that the voltage level of the power supply line 22 has fallen below a value that may cause the program to run out of control in the computer, and responds to the occurrence of this voltage drop state to reset the voltage level. A voltage drop detection circuit 25 is provided to change the level of the output line 24 from "H" to "L". The voltage drop detection circuit 25 can be easily configured using, for example, a voltage comparator, and its input side terminal is connected to the power supply line 22, and its output line 24 is connected to the logic gate circuits 26 and 27. Each is connected to one input terminal.

論理ゲート回路２６の他の入力端子は後述する
他の回路に接続されており、その出力端子は、
出力端子が論理ゲート回路２７の他の入力端子に
接続されている単安定マルチバイブレータ２８の
入力端子に接続されている。 Other input terminals of the logic gate circuit 26 are connected to other circuits to be described later, and its output terminal is
It is connected to the input terminal of a monostable multivibrator 28 whose output terminal is connected to the other input terminal of the logic gate circuit 27 .

従つて、電圧低下検出回路２５において電源ラ
イン２２の所定のレベル低下状態が検出される
と、出力ライン２４のレベルが「Ｌ」となり、単
安定マルチバイブレータ２８の入力レベルが
「Ｌ」から「Ｈ」に変化し、トリガが掛けられる。
この結果その出力のレベルはトリガされてから
一定時間ｔだけ「Ｌ」となる。論理ゲート回路２
７は、出力ライン２４のレベルと、出力のレベ
ルとに応答するので、出力ライン２４のレベルが
「Ｌ」となる時間が瞬時であつても、論理ゲート
回路２７のレベルは時間ｔだけは必ず「Ｈ」に保
持される。 Therefore, when the voltage drop detection circuit 25 detects a predetermined level drop state of the power supply line 22, the level of the output line 24 becomes "L", and the input level of the monostable multivibrator 28 changes from "L" to "H". ” and the trigger is applied.
As a result, the output level remains "L" for a certain period of time t after the trigger. logic gate circuit 2
7 responds to the level of the output line 24 and the output level, so even if the time when the level of the output line 24 becomes "L" is instantaneous, the level of the logic gate circuit 27 is always constant for only time t. It is held at "H".

論理ゲート回路２７の出力電圧は、抵抗器２
９，３０から成る分圧回路３１を介して、コレク
タ−エミツタ間がコンデンサ１８に並列接続され
ているトランジスタ３２のベースに印加されてお
り、論理ゲート回路２７の出力電圧レベルが
「Ｈ」になることに応答してトランジスタ３２が
オンし、電圧V_cの値を略零とするように構成さ
れている。 The output voltage of the logic gate circuit 27 is
The voltage is applied to the base of a transistor 32 whose collector and emitter are connected in parallel to the capacitor 18 through a voltage divider circuit 31 consisting of 9 and 30, and the output voltage level of the logic gate circuit 27 becomes "H". In response, the transistor 32 is turned on, and the voltage V _c is configured to be approximately zero.

このため、何らかの原因でバツテリBTの端子
電圧が低下した場合、或は電源ライン２２にパル
ス性の雑音が重畳され実質的に電源ライン２２の
電圧レベルが瞬時的に低下した場合等において、
その電圧レベルが所定値以下にまで達すると、少
なくとも時間ｔだけトランジスタ３２がオンし、
コンデンサ１８の両端の電圧V_cのレベルを確実
に略零ボルトにまで低下せしめ、マイクロコンピ
ユータ１０のリセツトを電圧低下に応答して確実
に行なうことができる。従つて、供給電圧の低下
によりプログラムの暴走が起る虞れが生じても、
直ちにマイクロコンピユータ１０がリセツトさ
れ、制御系の悪影響を与えることがなく、安定で
信頼性の高い制御動作を行なわせることが期待で
きる。 Therefore, when the terminal voltage of the battery BT decreases for some reason, or when pulse noise is superimposed on the power supply line 22 and the voltage level of the power supply line 22 practically instantaneously decreases,
When the voltage level reaches a predetermined value or less, the transistor 32 is turned on for at least a time t,
The level of the voltage V _c across the capacitor 18 can be reliably reduced to approximately zero volts, and the microcomputer 10 can be reliably reset in response to the voltage drop. Therefore, even if there is a risk of program runaway due to a drop in supply voltage,
The microcomputer 10 is immediately reset, and it is expected that stable and highly reliable control operations will be performed without adversely affecting the control system.

更に、何らかの原因によりマイクロコンピユー
タ１０内でプログラムの暴走が起つた場合に、プ
ログラムの暴走の発生を直接的に、且つ確実に検
出してリセツトを掛けることができるように、本
装置１においては、マイクロコンピユータ１０内
において所定のプログラム処理動作が所定通り行
なわれたか否かを判定するための情報パルスを出
力するための判定プログラムをマイクロコンピユ
ータにストアして実行させると共に、該判定プロ
グラムの実行によつてマイクロコンピユータ１０
の端子Ｕから出力される情報パルスPTを処理す
るためのパルス処理回路３３が設けられている。 Furthermore, in order to be able to directly and reliably detect the occurrence of program runaway and reset it if a program runaway occurs in the microcomputer 10 for some reason, this device 1 includes the following: A determination program for outputting information pulses for determining whether or not a predetermined program processing operation has been carried out as specified in the microcomputer 10 is stored and executed in the microcomputer, and the execution of the determination program Tute microcomputer 10
A pulse processing circuit 33 is provided for processing the information pulse PT output from the terminal U of.

第２図には、上述の判定プログラムのフローチ
ヤートが示されている。第２図を参照して判定プ
ログラムについて述べると、制御のためのプログ
ラムに含まれる多数の処理のうち、制御プログラ
ムの１回の処理において必ず実行される処理を選
び出し、その処理の内の一部又は全部について処
理終了の確認をとり、確認回数を監視用カウンタ
にて計数し、選択した処理のうちで一番最後に実
行される処理が終了した後、監視用カウンタの内
容をチエツクし、その内容が予め選択した処理の
数と一致した場合にのみ情報パルスPTを出力す
るものである。 FIG. 2 shows a flowchart of the above-mentioned determination program. Describing the determination program with reference to FIG. 2, from among the many processes included in the control program, a process that is always executed in one process of the control program is selected, and a part of the process is selected. Alternatively, check the completion of all processes, count the number of confirmations on the monitoring counter, check the contents of the monitoring counter after the last process among the selected processes is completed, and check the number of confirmations on the monitoring counter. The information pulse PT is output only when the content matches the number of processes selected in advance.

即ち、ステツプａにおいて初期化されたのち、
所定の処理が終了したか否かの確認をとり（ス
テツプｂ）、終了の確認がとれたならば監視用カ
ウンタに１を加える（ステツプｃ）。この場合、
監視用カウンタの内容は、初期化（ステツプａ）
時にリセツトされているので、その内容は１とな
る。同様にして、着目した処理，……ｍについ
て同様のカウンタ加算処理を行なう。図示の例で
は、処理の確認はｍ個の処理について行なつてお
り、ステツプｘにおいて着目したｍ番目の処理ｍ
が終了したことが確認されると、次のステツプｙ
において監視用カウンタの内容がｍであるか否か
がチエツクされる。若しカウンタの内容がｍであ
れば、制御用プログラムは正常に実行されている
と判断され、ステツプｚにおいて情報パルスPT
の出力が指令されると共に監視用カウンタがリセ
ツトされ、ステツプｂに戻る。 That is, after being initialized in step a,
It is confirmed whether or not the predetermined processing has been completed (step b), and if the completion is confirmed, 1 is added to the monitoring counter (step c). in this case,
The contents of the monitoring counter are initialized (step a).
Since it has been reset at the time, its content is 1. Similarly, similar counter addition processing is performed for the focused processing, . . . m. In the illustrated example, the process is checked for m processes, and the m-th process m focused on in step x
When it is confirmed that the process has been completed, the next step y
At step 2, it is checked whether the content of the monitoring counter is m. If the content of the counter is m, it is determined that the control program is being executed normally, and the information pulse PT is
At the same time, the monitoring counter is reset and the process returns to step b.

上記説明から判るように、制御プログラムが所
定通り正常に実行されていれば、情報パルスPT
が、制御プログラムの１回の実行終了毎に所定の
周期で規則正しく出力されることになる。一方、
制御プログラムが正しく実行されないと、ステツ
プｙにおいてカウンタの内容がｍとならず情報パ
ルスPTは出力されず、また出力されたとしても
極めて不規則に出力されることとなる。 As can be seen from the above explanation, if the control program is executed normally as specified, the information pulse PT
is output regularly at a predetermined cycle every time one execution of the control program is completed. on the other hand,
If the control program is not executed correctly, the content of the counter will not become m at step y, and the information pulse PT will not be output, and even if it is output, it will be output extremely irregularly.

パルス処理回路３３は、情報パルスPTが所定
の規則性をもつて発生しているか否かを判別し、
情報パルスPTが所定の規則性をもつて発生して
いない場合には、マイクロコンピユータ１０をリ
セツトし、或はそれに加えて、制御パルス信号が
内燃機関装置２側に供給されるのを阻止するため
の回路である。 The pulse processing circuit 33 determines whether the information pulses PT are generated with a predetermined regularity,
If the information pulse PT is not generated with a predetermined regularity, the microcomputer 10 is reset, or in addition, the control pulse signal is prevented from being supplied to the internal combustion engine device 2. This is the circuit.

パルス処理回路３３において、符号３４で示さ
れるのは、情報パルスPTの発生周期より短かい
一定の周期のカウントパルスCPを出力するパル
ス発生器であり、プログラムが正常に作動してい
る場合における情報パルスPTの１つの発生に対
して、カウントパルスCPはα個発生するように
調整されている。パルス発生器３４には、電圧低
下検出回路２５の出力ライン２４が接続されてお
り、電圧低下が検出されて出力ライン２４のレベ
ルが「Ｌ」となるとカウントパルスCPの発生を
停止するように構成されている。カウントパルス
CPは、情報パルスPTがオアゲート３５を介して
リセツト端子Ｒに印加されている２進カウンタ３
６のクロツク入力端子CLKに入力され、カウン
タ３６の出力端子Q₁からは、そのカウント容量
β（＞α）を越える数のカウントパルスが入力さ
れることによりカウンタ３６がオーバーフロー状
態となつた場合に「Ｌ」レベルとなるオーバーフ
ロー信号が出力される。この出力端子Q₁は、論
理ゲート回路２６の他方の入力端子に接続される
と共に、別の２進カウンタ３７のクロツク入力端
子CLKに接続されている。２進カウンタ３７の
リセツト端子Ｒにもまた情報パルスPTがオアゲ
ート３５を介して印加されるように構成されてお
り、２進カウンタ３７は、情報パルスPTによる
リセツト動作後に発生したオーバーフロー信号の
発生回数をカウントする。２進カウンタ３７もま
た、そのカウント容量γを越える数のオーバーフ
ロー信号が発生してオーバーフロー状態となつた
時に、その出力端子Q₂のレベルが「Ｈ」となる。 In the pulse processing circuit 33, a reference numeral 34 indicates a pulse generator that outputs a count pulse CP with a constant period shorter than the generation period of the information pulse PT, and information when the program is operating normally. The count pulses CP are adjusted so that α count pulses CP are generated for each generation of the pulse PT. The output line 24 of the voltage drop detection circuit 25 is connected to the pulse generator 34, and is configured to stop generating the count pulse CP when a voltage drop is detected and the level of the output line 24 becomes "L". has been done. count pulse
CP is a binary counter 3 to which an information pulse PT is applied to a reset terminal R via an OR gate 35.
When the counter 36 enters an overflow state due to the input to the clock input terminal CLK of the counter 6 and the number of count pulses exceeding its counting capacity β (>α) from the output terminal _Q1 of the counter 36, An overflow signal at "L" level is output. This output terminal Q ₁ is connected to the other input terminal of the logic gate circuit 26 and also to the clock input terminal CLK of another binary counter 37 . The information pulse PT is also applied to the reset terminal R of the binary counter 37 via the OR gate 35, and the binary counter 37 calculates the number of times an overflow signal has occurred after the reset operation by the information pulse PT. count. When the binary counter 37 also generates overflow signals exceeding its counting capacity γ and enters an overflow state, the level of its output terminal _Q2 becomes "H".

出力端子Q₂のレベルが「Ｈ」になつた場合に、
そのレベル状態をラツチするため、Ｄ入力端子が
電源Ｅに接続されているＤ型フリツプ・フロツプ
３８が設けられており、出力端子Q₂がＤ型フリ
ツプ・フロツプ３８のクロツク入力端子CLKに
接続されている。従つて、出力端子Q₂のレベル
が上述の理由により「Ｈ」となると、Ｄ型フリツ
プ・フロツプ３８の出力端子Q₃のレベルが「Ｌ」
から「Ｈ」に反転し、以後、「Ｈ」レベルに保持
される。 When the level of output terminal _Q2 becomes "H",
To latch the level state, a D-type flip-flop 38 is provided whose D input terminal is connected to the power supply E, and whose output terminal Q ₂ is connected to the clock input terminal CLK of the D-type flip-flop 38. ing. Therefore, when the level of the output terminal _Q2 becomes "H" for the above-mentioned reason, the level of the output terminal _Q3 of the D-type flip-flop 38 becomes "L".
The signal is inverted from "H" to "H" level and thereafter held at "H" level.

出力端子Q₃は、第１パルス信号P₁が一方の入
力端子に印加されている論理ゲート回路３９の他
方の入力端子に接続されており、出力端子Q₃の
レベルが「Ｈ」となつた場合に論理ゲート回路３
９を閉状態とし、第１パルス信号の通過を阻止す
る。 The output terminal _Q3 is connected to the other input terminal of the logic gate circuit 39 to which the first pulse signal _P1 is applied to one input terminal, and when the level of the output terminal _Q3 becomes "H". In case logic gate circuit 3
9 is closed to prevent passage of the first pulse signal.

電源を投入した際にカウンタ３６，３７及びＤ
型フリツプ・フロツプ３８をリセツトするため、
キースイツチ（図示せず）がON位置になつたこ
とに応答してリセツトパルスRPを出力するリセ
ツトパルス発生器４０が設けられている。このリ
セツトパルスRPは、オアゲート３５を介してカ
ウンタ３６，３７のリセツト端子Ｒに印加される
と共に、Ｄ型フリツプ・フロツプ３８のリセツト
端子Ｒに直接印加され、電源投入時にパルス処理
回路３３のリセツトが行なわれる。 When the power is turned on, counters 36, 37 and D
To reset the mold flip-flop 38,
A reset pulse generator 40 is provided which outputs a reset pulse RP in response to a key switch (not shown) being placed in the ON position. This reset pulse RP is applied to the reset terminals R of the counters 36 and 37 via the OR gate 35, and is also applied directly to the reset terminal R of the D-type flip-flop 38, so that the pulse processing circuit 33 is reset when the power is turned on. It is done.

このような構成によると、マイクロコンピユー
タ１０におけるプログラム処理動作が正常に行な
われている場合には、カウンタ３６はそのカウン
ト内容がβとなる前に必ずリセツトされるので、
出力端子Q₁のレベルは「Ｈ」となつたままであ
り、電源投入時にリセツトされた状態を維持して
いる。従つて、論理ゲート回路２６の出力のレベ
ルは、出力ライン２４のレベルが「Ｌ」とならな
い限り、「Ｌ」のままとなつている。この結果、
マイクロコンピユータ１０のリセツトが行なわれ
ることがない。また、出力端子Q₃のレベルは
「Ｌ」のままであるから、論理ゲート回路３９は
開かれており、第１パルス信号P₁は論理ゲート
回路３９を介して、後述する始動回路に印加され
る。 According to such a configuration, when the program processing operation in the microcomputer 10 is performed normally, the counter 36 is always reset before its count reaches β.
The level of the output terminal _Q1 remains at "H", maintaining the state that was reset when the power was turned on. Therefore, the level of the output of the logic gate circuit 26 remains at "L" unless the level of the output line 24 becomes "L". As a result,
The microcomputer 10 is not reset. Furthermore, since the level of the output terminal _Q3 remains "L", the logic gate circuit 39 is open, and the first pulse signal _P1 is applied to the starting circuit, which will be described later, via the logic gate circuit 39. Ru.

一方、マイクロコンピユータ１０におけるプロ
グラム処理動作が暴走状態に至ると、情報パルス
PTの出力が停止し、或は出力の頻度が極めて不
規則となる結果、カウンタ３６がオーバーフロー
状態となり、出力端子Q₁のレベルが「Ｌ」とな
り、単安定マルチバイブレータ２８が前述の如く
トリガされ、マイクロコンピユータ１０がリセツ
トされる。このリセツト動作により、プログラム
処理動作が正常に戻ると、正常動作に戻つてから
出力される情報パルスPTによりカウンタ３６，
３７がリセツトされ、出力端子Q₁のレベルが再
び「Ｈ」となる。 On the other hand, if the program processing operation in the microcomputer 10 goes out of control, the information pulse
As a result of the output of PT being stopped or the frequency of output becoming extremely irregular, the counter 36 becomes overflowed, the level of the output terminal _Q1 becomes "L", and the monostable multivibrator 28 is triggered as described above. , the microcomputer 10 is reset. When the program processing operation returns to normal due to this reset operation, the counter 36,
37 is reset, and the level of the output terminal _Q1 becomes "H" again.

上述の場合において、マイクロコンピユータ１
０のリセツトを行なつてもプログラムの暴走が停
止しない場合には、情報パルスPTが全く出力さ
れないか、極めて不規則にしか出力されない状態
が続くことになる。従つて、カウンタ３６は繰返
しオーバーフロー状態となり、カウンタ３７のリ
セツトも行なわれないので、逐には、カウンタ３
７がオーバーフロー状態となり、論理ゲート回路
３９の出力レベルが第１パルス信号P₁のレベル
状態に拘わらず「Ｌ」に保持される。即ち、第１
パルス信号P₁による電磁弁４の駆動制御が停止
されることになる。この場合には、電源を入れ直
さない限り、制御動作を回復させることはできな
い。 In the above case, the microcomputer 1
If the runaway of the program does not stop even after resetting to 0, the information pulse PT will continue to be output either not at all or only extremely irregularly. Therefore, the counter 36 repeatedly overflows, and the counter 37 is not reset, so that the counter 36 is repeatedly overflowed and the counter 37 is not reset.
7 is in an overflow state, and the output level of the logic gate circuit 39 is held at "L" regardless of the level state of the first pulse signal _P1 . That is, the first
The drive control of the solenoid valve 4 by the pulse signal _P1 is stopped. In this case, the control operation cannot be restored unless the power is turned on again.

このように、何らかの原因でプログラムの暴走
が生じた場合に、プログラムの暴走を確実に捉え
ることができ、コンピユータのリセツトによりプ
ログラムの暴走が停止し正常に戻つた場合には、
再び制御動作を続行することができる。そして、
マイクロコンピユータをリセツトすることによつ
てもプログラムの暴走が停止しない場合には、こ
れをカウンタ３７により検出し、制御機能を停止
させるようにしたので、プログラムの暴走による
装置の損傷等を未然に防止し、安全を確保するこ
とができる。 In this way, if a runaway program occurs for some reason, the program runaway can be detected reliably, and if the program stops running and returns to normal by resetting the computer,
The control operation can be continued again. and,
If the program runaway does not stop even after resetting the microcomputer, this is detected by the counter 37 and the control function is stopped, thereby preventing damage to the equipment due to the program running out of control. and ensure safety.

本装置１は、更に、始動時に、バツテリの端子
電圧が既述の理由等により低下して前述の電圧応
答リセツト回路２３が作動することにより、セル
モータが回転するにも拘らず、マイクロコンピユ
ータ１０がリセツトされつづけ、制御装置の機能
が停止状態となり、機関の始動が不可能となるの
を避けるため、電圧応答リセツト回路２３の動作
に拘わらず、機関の始動を行なわせるための始動
回路４１を備えている。 Furthermore, when the device 1 is started, the terminal voltage of the battery decreases due to the above-mentioned reasons and the voltage response reset circuit 23 is activated, so that the microcomputer 10 is activated even though the starter motor is rotating. In order to prevent the engine from continuing to be reset, causing the control device to stop functioning and making it impossible to start the engine, a starting circuit 41 is provided to start the engine regardless of the operation of the voltage responsive reset circuit 23. ing.

始動回路４１は、一端がアースされると共に他
端が抵抗器４２を介して電源Ｅに接続されている
始動用スイツチ４３を有し、始動用スイツチ４３
と抵抗器４２との接続点Ｍは単安定マルチバイブ
レータ５１を介して論理ゲート回路４４の第１の
入力端子に接続されている。論理ゲート回路４４
の第２の入力端子には、オーバーラン検出回路６
０からの出力線６１が接続されている。オーバー
ラン検出回路６０は、速度信号S₁が入力されてい
る周波数−電圧変換器６２を有しており、これに
より速度信号S₁は機関の回転速度に応じて変化す
る電圧信号Vsに変換される。電圧信号V_sは−入
力端子に所定の一定基準電圧V_rが印加されてい
る電圧比較器６３の＋入力端子に印加されてお
り、機関の回転速度が基準電圧V_rにより定まる
所定の高回転速度以上となることにより、出力線
６１のレベルが高レベルとなる。基準電圧V_rの
値は、予め定められたオーバーラン状態となる機
関速度の値に対応した値に設定される。論理ゲー
ト回路４４の第３の入力には、論理ゲート回路２
７の出力レベルがインバータ４５により反転され
て印加されている。出力線６１のレベルは機関の
オーバーランが検出された場合に「Ｈ」となるの
で、論理ゲート回路４４の出力レベルは、機関が
オーバーラン状態になく、且つ電源ライン２２の
レベルが所定レベル以下であることが検出されて
マイクロコンピユータ１０がリセツト状態にある
場合にのみ、スイツチ４３の閉成に応答して単安
定マルチバイブレータ５１から出力されるパルス
の「Ｈ」レベル期間だけ「Ｈ」となる。もう一方
の論理ゲート回路４６の各入力端子には、出力線
６１、論理ゲート回路２７の出力端子及びマイク
ロコンピユータ１０の別の出力線１０ｂが夫々接
続されている。出力線１０ｂは、燃料カツト弁３
の開閉制御情報を出力するための出力線であり、
通常の場合には、キースイツチをON位置に回す
と、出力線１０ｂのレベルは「Ｌ」となるように
構成されている。従つて、他の入力レベルがいず
れも「Ｌ」の場合、即ち、機関がオーバーラン状
態になく、且つ電源ライン２２の電圧が所定の正
常値にある場合にのみ、出力線１０ｂのレベルが
「Ｌ」となつたことに応答して、ゲート回路４６
の出力レベルが「Ｈ」となる。 The starting circuit 41 includes a starting switch 43 whose one end is grounded and whose other end is connected to the power source E via a resistor 42.
A connection point M between the resistor 42 and the resistor 42 is connected to a first input terminal of a logic gate circuit 44 via a monostable multivibrator 51. logic gate circuit 44
An overrun detection circuit 6 is connected to the second input terminal of the
An output line 61 from 0 is connected. The overrun detection circuit 60 has a frequency-voltage converter 62 to which the speed signal S ₁ is input, and thereby the speed signal S ₁ is converted into a voltage signal Vs that changes depending on the rotational speed of the engine. Ru. The voltage signal V _s is applied to the + input terminal of the voltage comparator 63, which has a predetermined constant reference voltage V _r applied to the - input terminal, and the rotational speed of the engine is set to a predetermined high rotation speed determined by the reference voltage V _r . When the speed exceeds the speed, the level of the output line 61 becomes high level. The value of the reference voltage V _r is set to a value corresponding to a predetermined value of the engine speed at which an overrun state occurs. The logic gate circuit 2 is connected to the third input of the logic gate circuit 44.
7 is inverted by an inverter 45 and applied. Since the level of the output line 61 becomes "H" when an overrun of the engine is detected, the output level of the logic gate circuit 44 becomes "H" when the engine is not in an overrun state and the level of the power supply line 22 is below a predetermined level. Only when this is detected and the microcomputer 10 is in the reset state, it becomes "H" only during the "H" level period of the pulse output from the monostable multivibrator 51 in response to the closing of the switch 43. . The output line 61, the output terminal of the logic gate circuit 27, and another output line 10b of the microcomputer 10 are connected to each input terminal of the other logic gate circuit 46, respectively. The output line 10b is connected to the fuel cut valve 3
This is an output line for outputting opening/closing control information.
Normally, when the key switch is turned to the ON position, the level of the output line 10b becomes "L". Therefore, only when all other input levels are "L", that is, when the engine is not in an overrun state and the voltage of the power supply line 22 is at a predetermined normal value, the level of the output line 10b is "L". In response to this, the gate circuit 46
The output level becomes "H".

ゲート回路４４の出力端子は、オアゲート回路
４７，４８の各一方の入力端子と接続されると共
に、インバータ４９を介してアンドゲート回路１
７の他方の入力端子に接続されている。一方、論
理ゲート回路４６の出力端子は、オアゲート回路
４７の他方の入力端子に接続されると共に、一方
の入力端子がゲート回路３９の出力端子に接続さ
れているアンドゲート回路５０の他方の入力端子
に接続されている。アンドゲート回路５０の出力
端子は、オアゲート回路４８の他方の入力端子に
接続され、オアゲート回路４７，４８及びアンド
ゲート回路１７の各出力端子は、トランジスタ
６，７，９の各ベースに夫々接続されている。 The output terminal of the gate circuit 44 is connected to one input terminal of each of the OR gate circuits 47 and 48, and is connected to the AND gate circuit 1 via an inverter 49.
7 is connected to the other input terminal. On the other hand, the output terminal of the logic gate circuit 46 is connected to the other input terminal of the OR gate circuit 47, and the other input terminal of the AND gate circuit 50, one input terminal of which is connected to the output terminal of the gate circuit 39. It is connected to the. The output terminal of the AND gate circuit 50 is connected to the other input terminal of the OR gate circuit 48, and the output terminals of the OR gate circuits 47, 48 and the AND gate circuit 17 are connected to the bases of the transistors 6, 7, and 9, respectively. ing.

このような構成によると、キースイツチがON
位置にある時、出力線１０ｂのレベルが「Ｌ」と
なり、この時機関がオーバーラン状態になく、且
つ電源ライン２２の電圧レベルが所定値以下に低
下していなければ、論理ゲート回路４６の出力レ
ベルが「Ｈ」となる。従つて、トランジスタ６が
オンして燃料カツト弁３が開かれ、アンドゲート
回路５０も開かれるので、論理ゲート回路３９か
らの第１パルス信号はアンドゲート回路５０及び
オアゲート回路４８を介してトランジスタ７に供
給され、電磁弁４が第１パルス信号P₁に従つて
開閉制御されることになる。この場合、スイツチ
４３は末だ開かれたままの状態であるから、ゲー
ト回路４４の出力端子のレベルは「Ｌ」であり、
従つてアンドゲート回路１７は開かれており、第
２パルス信号P₂はアンドゲート回路１７を介し
てトランジスタ９のベースに印加される。この場
合、若し機関がオーバーラン状態及びまたは電源
ライン２２の電圧低下状態にあると、ゲート回路
４６の出力レベルは「Ｌ」となり、燃料カツト弁
３及び電磁弁４は共に閉成され、燃料の供給が停
止される上に、コントロールレバ８は無噴射位置
にまで戻ることになる。 According to this configuration, the key switch is ON.
position, the level of the output line 10b becomes "L", and if the engine is not in an overrun state at this time and the voltage level of the power supply line 22 has not fallen below a predetermined value, the output of the logic gate circuit 46 The level becomes "H". Therefore, the transistor 6 is turned on, the fuel cut valve 3 is opened, and the AND gate circuit 50 is also opened, so that the first pulse signal from the logic gate circuit 39 is passed through the AND gate circuit 50 and the OR gate circuit 48 to the transistor 7. The solenoid valve 4 is controlled to open and close according to the first pulse signal _P1 . In this case, since the switch 43 remains open, the level of the output terminal of the gate circuit 44 is "L".
Therefore, the AND gate circuit 17 is open, and the second pulse signal P ₂ is applied to the base of the transistor 9 via the AND gate circuit 17. In this case, if the engine is in an overrun state and/or in a voltage drop state in the power supply line 22, the output level of the gate circuit 46 becomes "L", the fuel cut-off valve 3 and the solenoid valve 4 are both closed, and the fuel In addition to stopping the supply of fuel, the control lever 8 returns to the no-injection position.

キースイツチがST位置に回される時に、スタ
ート用スイツチ４３をオンにしておくと、機関が
オーバーラン状態になく、且つ電源ライン２２の
レベルが所定値以下になつている時だけ、即ち、
マイクロコンピユータ１０にリセツトがかけられ
ている場合であつて機関がオーバーランしていな
い条件の場合にのみ、ゲート回路４４の出力レベ
ルが「Ｈ」となり、ゲート回路４６の出力レベル
が「Ｌ」となつてもトランジスタ６，７をオン
し、燃料カツト弁３及び電磁弁４を開く。従つ
て、マイクロコンピユータ１０が、始動時の電圧
低下によりリセツトされつづけても、これとは関
係なく、機関の始動を可能にする。尚、始動時に
おいても電圧の低下がない場合には、スイツチ４
３を閉じてもゲート回路４４の出力レベルは
「Ｌ」となつたままであり、本装置１による正常
な制御動作の下に始動が行なわれることになる。 If the start switch 43 is turned on when the key switch is turned to the ST position, only when the engine is not in an overrun state and the level of the power line 22 is below a predetermined value, that is,
Only when the microcomputer 10 is reset and the engine is not overrunning, the output level of the gate circuit 44 becomes "H" and the output level of the gate circuit 46 becomes "L". The transistors 6 and 7 are turned on and the fuel cut valve 3 and solenoid valve 4 are opened. Therefore, even if the microcomputer 10 continues to be reset due to a voltage drop during starting, it is possible to start the engine regardless of this. In addition, if there is no voltage drop during startup, switch 4
3 is closed, the output level of the gate circuit 44 remains at "L", and starting is performed under normal control operation by the device 1.

更に、ゲート回路４４の出力レベルが「Ｈ」と
なると、アンドゲート回路１７は閉じられ、電磁
弁５は閉成され、最大進角状態で始動が行なわれ
ることになる。この始動時の進角をどのように設
定するかは、制御すべき内燃機関装置によつて個
個に決定すべきものであり、必ずしも最大進角状
態に設定するとは限らないものである。 Further, when the output level of the gate circuit 44 becomes "H", the AND gate circuit 17 is closed, the solenoid valve 5 is closed, and the engine is started in the maximum advance state. How to set the advance angle at the time of starting must be determined individually depending on the internal combustion engine device to be controlled, and it is not necessarily set to the maximum advance angle state.

尚、上記実施例では、スイツチ４３の閉成に応
答してトリガされ、一定時間だけその出力レベル
が「Ｌ」となる単安定マルチバイブレータ５１を
設けたので、スイツチ４３を始動期間中押しつづ
ける必要はない。単安定マルチバイブレータ５１
の出力レベルを「Ｌ」に保持する時間は、回路定
数を適宜設定することにより所望の時間に設定す
ることができる。更に、このスイツチ４３は、キ
ースイツチをST位置に回した時にキースイツチ
と連動してオンするように構成してもよい。 In the above embodiment, the monostable multivibrator 51 is provided which is triggered in response to the closing of the switch 43 and whose output level becomes "L" for a certain period of time, so there is no need to keep the switch 43 pressed during the startup period. do not have. Monostable multivibrator 51
The time period for which the output level of the circuit is held at "L" can be set to a desired time period by appropriately setting circuit constants. Further, the switch 43 may be configured to be turned on in conjunction with the key switch when the key switch is turned to the ST position.

上記では更に、プログラムの暴走が生じた場合
のリセツト動作が始動時に生じた場合にもゲート
回路２７の出力レベルが「Ｈ」となるので、始動
時のプログラムの暴走にも直接的に応答して、始
動を可能とする。勿論、強制的に始動が行なわれ
た後、なおプログラムが暴走しつづけていれば、
単安定マルチバイブレータ５１の出力レベルが
「Ｈ」に戻つた後、論理ゲート回路４６，５０の
働きにより機関は停止することになる。若し、始
動後、単安定マルチバイブレータ５１の出力レベ
ルが「Ｈ」になるまでの間に正常動作に戻つてい
れば、そのまま機関の作動は続けられ、本装置１
による制御が行なわれることになる。 Furthermore, in the above case, the output level of the gate circuit 27 becomes "H" even if a reset operation occurs at the time of starting when the program runs out of control. , to enable starting. Of course, if the program continues to run out of control after a forced start,
After the output level of the monostable multivibrator 51 returns to "H", the engine is stopped by the action of the logic gate circuits 46 and 50. If the engine returns to normal operation before the output level of the monostable multivibrator 51 reaches "H" after starting, the engine will continue to operate, and this device 1
control will be carried out.

本発明によれば、上述の如く、マイクロコンピ
ユータにより実行される制御のためのプログラム
の１プログラムサイクル中において必ず１回実行
される予め着目した処理段階の終了毎に所定の演
算を行ない、この演算結果を１プログラムサイク
ル中において必ず１回実行される所定のタイミン
グでチエツクし、プログラムの実行が正常に行な
われている場合には終了パルスを出力する構成で
あるので、所定の演算を行なうための処理段階を
適宜に設定することによりプログラムが正常に実
行されているか否かの判別を従来の技術を用いた
場合に比べて著しく正確に行なうことができ、プ
ログラムが正常に実行されている場合にのみ確実
に終了パルスを出力することができる。さらに、
終了パルスの発生パターンの規則性を計数手段を
用いて監視することによつてプログラムの実行が
正常に行なわれているか否かを緻密に精度よく検
出することができる。さらに、プログラムの実行
が正常に行なわれていないことが検出された場合
には、マイクロコンピユータにリセツトを掛けて
自動復帰させることができる上に、マイクロコン
ピユータのリセツトによつてもプログラム実行の
障害の回復が期待できないような場合には、これ
を判断して、車輌用装置の作動を停止させること
ができる。従つて、マイクロコンピユータのリセ
ツト動作を繰返し行なつている間に車輌用装置及
び又は車輌が危険な状態に陥ることが未然に防止
でき、安全な運転を確保することができる。 According to the present invention, as described above, a predetermined calculation is performed every time a predetermined processing step, which is executed once during one program cycle of a control program executed by a microcomputer, is executed. The result is checked at a predetermined timing that is executed once in one program cycle, and if the program is being executed normally, a termination pulse is output. By setting the processing stages appropriately, it is possible to determine whether a program is running normally or not, much more accurately than when using conventional technology. Only the end pulse can be reliably output. moreover,
By monitoring the regularity of the termination pulse generation pattern using a counting means, it is possible to precisely and precisely detect whether the program is being executed normally. Furthermore, if it is detected that the program is not executing normally, the microcomputer can be reset to automatically recover, and resetting the microcomputer can also prevent problems in program execution. If recovery cannot be expected, it is possible to determine this and stop the operation of the vehicle device. Therefore, it is possible to prevent the vehicle device and/or the vehicle from falling into a dangerous state while the microcomputer is being reset repeatedly, and safe driving can be ensured.

【図面の簡単な説明】[Brief explanation of the drawing]

第１図は本発明の一実施例を示す回路図、第２
図は第１図に示すマイクロコンピユータにストア
されている判定プログラムのフローチヤート、第
３図は本発明による車輌用制御装置の機能的構成
を示すブロツク図である。 １……内燃機関制御装置、２……デイーゼル機
関装置、３……燃料カツト弁、４，５……電磁
弁、８……コントロールレバ、１０……マイクロ
コンピユータ、１４……噴射量制御パルス発生
器、１５……タイミング制御パルス発生器、２１
……自動リセツト回路、２２……電源ライン、２
３……電圧応答リセツト回路、２５……電圧低下
検出回路、３３……パルス処理回路、３４……パ
ルス発生器、３６，３７……カウンタ、３８……
Ｄ型フリツプ・フロツプ、４０……リセツトパル
ス発生器、４１……始動回路、４３……スイツ
チ、BT……バツテリ、PT……情報パルス、CP
……カウントパルス、１０１……処理ユニツト、
１０２……内燃機関装置、１０３……演算手段、
１０４……終了パルス出力手段、１０５……パル
ス発生手段、１０６……計数手段、１０７……リ
セツト手段、１０８……検出手段。 Figure 1 is a circuit diagram showing one embodiment of the present invention, Figure 2 is a circuit diagram showing an embodiment of the present invention.
This figure is a flowchart of a determination program stored in the microcomputer shown in FIG. 1, and FIG. 3 is a block diagram showing the functional configuration of a vehicle control device according to the present invention. DESCRIPTION OF SYMBOLS 1... Internal combustion engine control device, 2... Diesel engine device, 3... Fuel cut valve, 4, 5... Solenoid valve, 8... Control lever, 10... Microcomputer, 14... Injection amount control pulse generation device, 15...timing control pulse generator, 21
...Automatic reset circuit, 22...Power line, 2
3... Voltage response reset circuit, 25... Voltage drop detection circuit, 33... Pulse processing circuit, 34... Pulse generator, 36, 37... Counter, 38...
D-type flip-flop, 40...Reset pulse generator, 41...Start circuit, 43...Switch, BT...Battery, PT...Information pulse, CP
... Count pulse, 101 ... Processing unit,
102... internal combustion engine device, 103... calculation means,
104... end pulse output means, 105... pulse generation means, 106... counting means, 107... reset means, 108... detection means.

Claims (1)

【特許請求の範囲】[Claims] １ マイクロコンピユータにより複数の処理段階
を含んで成るプログラムが実行される処理ユニツ
トを含み該処理ユニツトにより得られた制御演算
結果に従つて車輌用装置の作動制御が行なわれる
車輌用制御装置において、前記プログラムの１プ
ログラムサイクル中において必ず１回実行される
予め着目した処理段階を終了する毎に応答してプ
ログラムの作動チエツクのための所定の演算を実
行する演算手段と、前記プログラムの１プログラ
ムサイクル中において必ず１回実行される所定の
実行タイミング毎に前記演算手段のそのときの演
算結果が前記プログラムが正しく実行された場合
にそのとき得られる予定された結果と一致するか
否かを比較し一致していた場合にのみ終了パルス
を出力する手段と、前記プログラムが正しく実行
された場合に得られる予定された前記終了パルス
の発生周期T₁より短い一定周期T₂でカウントパ
ルスを繰返し発生する手段と、T₁／T₂より大き
い計数容量を有し前記カウントパルスを計数する
と共に前記終了パルスがリセツトパルスとして入
力される計数手段と、該計数手段の計数値が
T₁／T₂より大きい所定の値となつたことに応答
して前記マイクロコンピユータをリセツトする手
段と、前記計数手段の出力と前記終了パルスとに
応答し１つの終了パルスが発生してから次の終了
パルスが発生するまでの間に前記計数手段の出力
が前記所定の値となる状態が所定回数に達した場
合に検出出力を発生する手段とを備え、該検出出
力に応答して前記処理ユニツトによる前記車輌用
装置の作動制御を停止させるようにしたことを特
徴とする車輌用制御装置。1. A vehicle control device including a processing unit in which a program including a plurality of processing steps is executed by a microcomputer, and in which the operation of the vehicle device is controlled in accordance with control calculation results obtained by the processing unit. a calculation means for executing a predetermined calculation for checking the operation of the program in response to each completion of a predetermined processing step that is always executed once during one program cycle of the program; At every predetermined execution timing, which is executed once in the program, it is compared whether or not the current calculation result of the calculation means matches the expected result obtained at that time if the program is executed correctly. means for outputting a termination pulse only when the program has been executed correctly, and means for repeatedly generating count pulses at a fixed period _T2 shorter than the expected generation period _T1 of the termination pulse obtained when the program is executed correctly. and counting means having a counting capacity larger than T ₁ /T ₂ and counting the count pulses and inputting the end pulse as a reset pulse, and a count value of the counting means.
means for resetting said microcomputer in response to a predetermined value greater than T ₁ /T ₂ ; and in response to the output of said counting means and said termination pulse, after one termination pulse is generated, means for generating a detection output when a state in which the output of the counting means reaches the predetermined value a predetermined number of times until the end pulse is generated; A vehicle control device, characterized in that the unit stops controlling the operation of the vehicle device.