(57)【特許請求の範囲】
【請求項１】
信号処理を実行して得られる処理結果信号、及び所定信号をそれぞれ出力する処理部と、該処理部から出力される前記所定信号が入力され、前記所定信号が所定周期の信号である場合に前記所定信号を出力し、前記所定信号が前記所定周期の信号でない場合に固定信号を出力するフィルタ部とを備える処理装置において、
前記処理部から出力される前記処理結果信号、及び前記フィルタ部から出力される前記所定信号又は固定信号が入力され、前記フィルタ部から前記所定信号が入力されている場合、前記処理部から入力された処理結果信号を保持し、入力された前記所定信号に基づいて外部へ出力し、前記フィルタ部から前記固定信号が入力されている場合、その直前に外部へ出力した処理結果信号の出力を継続する保持部と、
車両の状態を検出する１又は複数の車載機器から、前記車両の状態を示す状態信号を取得する信号取得部とを備え、
前記保持部は、更に前記信号取得部が取得した状態信号に基づいて、前記処理部からの処理結果信号を外部へ出力するようにしてあること
を特徴とする処理装置。
【請求項２】
信号処理を実行して得られる処理結果信号、及び所定信号をそれぞれ出力する処理部と、該処理部から出力される前記所定信号が入力され、前記所定信号が所定周期の信号である場合に前記所定信号を出力し、前記所定信号が前記所定周期の信号でない場合に固定信号を出力するフィルタ部とを備える処理装置で、前記処理部から出力された処理結果信号を外部へ出力する際の制御方法において、
前記処理装置が、前記フィルタ部が前記所定信号を出力している場合、前記処理部が出力する処理結果信号を保持し、前記フィルタ部から出力される前記所定信号に基づいて外部へ出力し、前記フィルタ部が前記固定信号を出力している場合、その直前に外部へ出力した処理結果信号の出力を継続する保持ステップと、
前記処理装置が、車両の状態を検出する１又は複数の車載機器から、前記車両の状態を示す状態信号を取得する信号取得ステップとを含み、
前記保持ステップは、前記処理装置が、前記信号取得ステップで取得した状態信号に基づいて、前記処理部からの処理結果信号を外部へ出力することを特徴とする制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＣＰＵ（Central Processing Unit）を用いる処理装置に関し、特に、ＣＰＵの動作状態に異常が発生した場合に外部へ出力する信号を制御することができる処理装置及び制御方法に関する。
【背景技術】
【０００２】
内蔵する記憶部に記憶されたプログラムを実行させて多様な動作を実現させることができるマイクロコンピュータ（以下、マイコンという）を用いて、機器を制御する制御装置が多用されている。特に車両の分野では、マイコンを用いるＥＣＵ（Electronic Control Unit）が複数接続される制御システムを利用し、相互に連携してアクチュエータを電気的に制御する構成に移行しつつある。例えば、パワーウインドの開閉制御、盗難防止のためのハンドルロックの制御などは、モータ及びリレーを組み合わせ、モータの回転制御にて行なわれており、ＣＰＵがモータ及びリレーの制御を行なっている。
【０００３】
マイコンを用いた処理では、処理が予期していない状況となった場合、又は異常な信号がマイコンに入力された場合などに、マイコンが正常な動作を維持することができなくなる場合がある。車両の分野では、異常な動作が継続することは安全のためにもできるだけ回避できなければならない。このため、マイコンから周期的にウォッチドッグパルス（以下、ＷＤ（Watch Dog）パルスという）が出力されるようにし、マイコンの動作を監視する監視装置にて当該ウォッチドッグパルスを監視し、ＷＤパルスの出力状態に基づいてマイコンの動作が正常であるか否かを判断するようにした構成が一般的となりつつある。
【０００４】
また、このような構成では、監視装置が、マイコンの動作が異常であると判断した場合に、システムが安全に動作するようにしてある。例えば、特許文献１には、ＣＰＵにてアクチュエータを制御する制御装置において、作動スイッチによりアクチュエータを駆動する操作がなされたとき以外はアクチュエータの駆動を禁止することにより、ＣＰＵが誤作動しても、作動スイッチが操作されない限りアクチュエータが駆動されないようにする構成が提案されている。
【０００５】
また、特許文献２には、自動車用パワーウインドの開閉を制御するマイコンに異常が発生した場合に、マイコンをリセットすると共に、バック回路によって手動操作スイッチにて操作された開閉方向に窓を開閉させる技術が提案されている。特許文献１，２に開示された技術では、ＣＰＵの動作を監視装置が監視し、ＣＰＵの動作に異常が生じた場合にＣＰＵからの異常出力を遮断する構成である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開平５−２４１６５９号公報
【特許文献２】特許第３３３３７４０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１，２に開示された技術では、ＣＰＵの異常時にＣＰＵからの異常出力を遮断し、操作スイッチの操作状態に応じた制御を行なうが、監視装置がＣＰＵの異常を断定するまでの間は、ＣＰＵからの異常出力を遮断できないという問題がある。例えば、車両の走行中にパワーウインドが誤作動して窓が開放される場合、車両の走行中にハンドルロック制御が誤作動してハンドルがロックされる場合など、短時間であってもＣＰＵからの異常出力があった場合に、人命に関わる可能性がある。
【０００８】
特許文献１，２に開示された技術では、異常が発生した場合に規定された動作を行なう構成である。例えば、特許文献１では異常であると判断された場合には作動スイッチを駆動させるスイッチが操作されるまではアクチュエータの駆動を禁止するようにしてあり、特許文献２でも手動操作がなされない限り動作しないように禁止される。しかしながら、ＣＰＵにて異常が発生した場合に、動作が禁止されること、ハンドルがロックされることなどが安全であるとは限らない。できれば異常が発生した時点の直前での状態が維持されることが望ましい場合もある。
【０００９】
本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、処理部の動作に異常が発生した場合であっても、処理部からの異常出力を確実に防止して安全性を高めることができる処理装置及び制御方法を提供することにある。
【課題を解決するための手段】
【００１０】
本発明に係る処理装置は、信号処理を実行して得られる処理結果信号、及び所定信号をそれぞれ出力する処理部と、該処理部から出力される前記所定信号が入力され、前記所定信号が所定周期の信号である場合に前記所定信号を出力し、前記所定信号が前記所定周期の信号でない場合に固定信号を出力するフィルタ部とを備える処理装置において、前記処理部から出力される前記処理結果信号、及び前記フィルタ部から出力される前記所定信号又は固定信号が入力され、前記フィルタ部から前記所定信号が入力されている場合、前記処理部から入力された処理結果信号を保持し、入力された前記所定信号に基づいて外部へ出力し、前記フィルタ部から前記固定信号が入力されている場合、その直前に外部へ出力した処理結果信号の出力を継続する保持部と、車両の状態を検出する１又は複数の車載機器から、前記車両の状態を示す状態信号を取得する信号取得部とを備え、前記保持部は、更に前記信号取得部が取得した状態信号に基づいて、前記処理部からの処理結果信号を外部へ出力するようにしてあることを特徴とする。
【００１２】
本発明に係る制御方法は、信号処理を実行して得られる処理結果信号、及び所定信号をそれぞれ出力する処理部と、該処理部から出力される前記所定信号が入力され、前記所定信号が所定周期の信号である場合に前記所定信号を出力し、前記所定信号が前記所定周期の信号でない場合に固定信号を出力するフィルタ部とを備える処理装置で、前記処理部から出力された処理結果信号を外部へ出力する際の制御方法において、前記処理装置が、前記フィルタ部が前記所定信号を出力している場合、前記処理部が出力する処理結果信号を保持し、前記フィルタ部から出力される前記所定信号に基づいて外部へ出力し、前記フィルタ部が前記固定信号を出力している場合、その直前に外部へ出力した処理結果信号の出力を継続する保持ステップと、前記処理装置が、車両の状態を検出する１又は複数の車載機器から、前記車両の状態を示す状態信号を取得する信号取得ステップとを含み、前記保持ステップは、前記処理装置が、前記信号取得ステップで取得した状態信号に基づいて、前記処理部からの処理結果信号を外部へ出力することを特徴とする。
【００１３】
本発明によれば、信号処理を実行する処理部から入力される所定信号が所定周期の信号であれば前記所定信号を出力し、所定周期の信号でなければ固定信号を出力するフィルタ部を備え、フィルタ部から前記所定信号が入力されている場合、即ち、処理部の動作が異常でない場合、処理部が信号処理を実行することによって出力する処理結果信号を保持部が保持し、フィルタ部から入力される所定信号に基づいて外部へ出力する。また、フィルタ部から前記固定信号が入力されている場合、即ち、処理部の動作が異常である場合、その直前に保持部が外部へ出力した処理結果信号の出力を継続する。よって、処理部の動作に異常が発生した場合に、異常が発生する直前の指令状態（処理部からの処理結果信号）が保持され、処理部からの異常出力を確実に防止できる。また、車両の状態を示す状態信号に基づいて、処理部が信号処理を実行することによって出力される処理結果信号を外部へ出力するか、処理部に異常が生じる直前に外部へ出力した処理結果信号の出力を継続するかを制御する。よって、車両の停止中又は走行中、エンジンの停止中又は始動中などといった車両状態の条件を追加し、特定の条件において、処理部に異常が生じる直前に外部へ出力した処理結果信号の出力を継続するようにした場合、より確実に処理部からの異常出力を防止できる。
【発明の効果】
【００１５】
本発明では、処理部の動作に異常が発生した場合に、処理部からの異常出力を確実に防止して安全性を確保できる。特に、処理部の異常が確定されるまでの短時間においても、処理部からの異常出力を防止できるので、安全性を高めることができる。
【図面の簡単な説明】
【００１６】
【図１】実施の形態１におけるＥＣＵの構成を示す構成図である。
【図２】ＥＣＵの動作を説明するためのタイムチャートである。
【図３】実施の形態１におけるＥＣＵの監視回路が行なう処理の手順を示すフローチャートである。
【図４】実施の形態２におけるＥＣＵの構成を示す構成図である。
【発明を実施するための形態】
【００１７】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。以下に示す実施の形態では、本発明に係る処理装置を車両に搭載されるＥＣＵに適用する場合を例に説明する。
【００１８】
（実施の形態１）
図１は、実施の形態１におけるＥＣＵの構成を示す構成図である。ＥＣＵ１は、例えば車両に搭載されるパワーウインド、ハンドルロック、ライト、ミラーなどの動作を制御するボディＥＣＵである。ＥＣＵ１は、自身に接続されるセンサ、又は各種スイッチなどの機器から取得される測定値、又は計算値、制御値などの各種物理量に基づき、モータ、ランプなどの制御対象を制御する処理装置である。
【００１９】
ＥＣＵ１は、マイコン２、マイコン２（ＣＰＵ２０）の動作を監視する監視回路３、Ｄラッチ回路４などを含む。なお、監視回路３は、例えばＡＳＩＣ（Application Specific Integrated Circuit：特定用途集積回路）により構成されている。また、監視回路３は、監視回路３の動作を実現するための制御プログラムを記憶したメモリと、メモリに記憶してある制御プログラムを実行するためのＣＰＵとによって構成されてもよい。
【００２０】
ＥＣＵ１のマイコン２は、ＥＣＵ１全体の制御処理を行なうＣＰＵ（コア）２０、ボディＥＣＵとしての動作を実現するためのプログラムが記憶されるメモリ２１を備える。ＣＰＵ２０は、メモリ２１に記憶されているプログラムを読み出して実行することにより、ボディＥＣＵとしての動作を実現する。
【００２１】
ＣＰＵ２０は、メモリ２１に記憶されているプログラムを実行した場合、例えば外部のアクチュエータ（制御対象）に出力すべき信号（出力Ａ）をＤラッチ回路４を介して出力する。具体的には、ＣＰＵ２０からの出力ＡはＤラッチ回路４のＤ入力端子に入力される。また、ＣＰＵ２０は、予め設定されたウォッチドッグ（ＷＤ）パルス出力周期を計測するウォッチドッグ（ＷＤ）タイマを内蔵し、自身の動作が正常であることを示すためのＷＤパルスをＷＤタイマが計測するＷＤパルス出力周期毎に生成して監視回路３へ出力するようにしてある。
【００２２】
メモリ２１は、ＥＥＰＲＯＭ（Electronically Erasable Programmable Read Only Memory）、フラッシュメモリなどである。メモリ２１には、上述のプログラムが記憶されると共に、制御用の情報が記憶されている。
【００２３】
監視回路３は、ＣＰＵ２０から周期的に出力されるＷＤパルスを監視する。具体的には、監視回路３は、ＣＰＵ２０からのＷＤパルスの信号を受け付ける端子を有する回路を含む。監視回路３は、ＣＰＵ２０から出力されるＷＤパルスが所定の周期（ＷＤパルス出力周期）のパルス信号である場合に、監視出力としてＷＤパルスを通過させるようにしてある。具体的には、監視回路３はバンドパスフィルタを用いて構成され、ＣＰＵ２０からＷＤパルスとして出力される信号の周波数が、ＷＤパルス出力周期に対応する周波数前後の所定の帯域に含まれる場合のみ、監視出力として通過させる。つまり、ＣＰＵ２０からのＷＤパルスが正常にＷＤパルス出力周期（所定の許容範囲内）にて出力されている場合のみ、監視出力として出力される。
【００２４】
これにより、ＣＰＵ２０の異常により、ＷＤパルスの出力周期が短くなった場合又は長くなった場合、あるいは連続信号となった場合にも早期に異常と判断することが可能である。そして本実施の形態１の監視回路３は、ＣＰＵ２０からＷＤパルスとして出力されるパルス信号の周期が、許容範囲を加味しても略ＷＤパルス出力周期と異なる場合には当該パルス信号を通過させない。つまり、監視回路３は、ＣＰＵ２０からＷＤパルス出力周期でＷＤパルスを受信できなかった場合、ＣＰＵ２０から受信したＷＤパルスの、Ｄラッチ回路４のＣＬＫ入力端子への出力を停止させる。
【００２５】
Ｄラッチ回路４は、ＣＬＫ入力端子から入力される信号のエッジの立ち上がり時に、Ｄ入力端子から入力された信号（出力Ａ）をＱ出力端子から出力する。よって、ＣＰＵ２０からＷＤパルス出力周期でＷＤパルスが監視回路３に入力されている場合、即ち、ＣＰＵ２０が正常に動作している場合にのみ、ＣＰＵ２０からの出力Ａが、出力ＢとしてＥＣＵ１の制御対象へ適切に出力される。また、ＣＰＵ２０からＷＤパルス出力周期でＷＤパルスが監視回路３に入力されていない場合、即ち、ＣＰＵ２０が正常に動作していない場合には、ＣＰＵ２０からの出力ＡのＥＣＵ１の制御対象への出力が禁止される。
【００２６】
図２はＥＣＵ２の動作を説明するためのタイムチャートである。図２には、横軸を時間軸として上から順に、ＣＰＵ２０からＤラッチ回路４のＤ入力端子へ出力される出力Ａ、ＣＰＵ２０から監視回路３へ出力されるＷＤパルス、監視回路３からＤラッチ回路４のＣＬＫ入力端子へ出力される監視出力、Ｄラッチ回路４のＱ出力端子から出力される出力Ｂを示している。なお、監視出力は、ＣＰＵ２０が正常に動作している間は、ＣＰＵ２０から監視回路３へ出力されるＷＤパルスとなる。
【００２７】
図２に示すように、本実施の形態１のＥＣＵ１において、ＣＰＵ２０は、タイミングａで０から１へ信号の値が変化し、タイミングｂで１から０へ信号の値が変化し、タイミングｃで０から１へ信号の値が変化し、タイミングｄで１から０へ信号の値が変化する出力Ａを出力したとする。また、ＣＰＵ２０は、タイミングｅで異常が発生するまでの間、所定の周期（ＷＤパルス出力周期）でＷＤパルスを出力したとする。この場合、監視回路３は、ＷＤパルス出力周期でＷＤパルスを受信している間、受信したＷＤパルスを監視出力として出力し、タイミングｅでＷＤパルス出力周期でＷＤパルスを受信できなくなった以降は、固定値（図２では０）の出力信号を出力する。
【００２８】
Ｄラッチ回路４は、ＣＬＫ入力端子から入力される監視出力のエッジの立ち上がり時に、Ｄ入力端子から入力された出力ＡをＱ出力端子から出力する。即ち、Ｄラッチ回路４は、タイミングｅでＣＰＵ２０に異常が発生するまでの間は、タイミングａ´で０から１へ信号の値が変化し、タイミングｂ´で１から０へ信号の値が変化し、タイミングｃ´で０から１へ信号の値が変化し、タイミングｄ´で１から０へ信号の値が変化する出力Ｂを出力する。そして、Ｄラッチ回路４は、タイミングｅでＣＰＵ２０に異常が発生した以降は、その直前の監視出力のエッジの立ち上がり時（直前の出力タイミング）にＱ出力端子から出力した出力Ｂの出力を継続する。図２では、直前の出力タイミングでは、０の信号を出力しているので、Ｄラッチ回路４は、タイミングｅ以降では値が０の出力Ｂの出力を継続する。
【００２９】
上述したように、ＣＰＵ２０から所定の周期でＷＤパルスが監視回路３に入力されている場合は、ＣＰＵ２０が正常に動作していると判断され、ＣＰＵ２０からの出力Ａが、Ｄラッチ回路４を介してＥＣＵ１の制御対象へ適切に出力される。また、ＣＰＵ２０から所定の周期でＷＤパルスが監視回路３に入力されていない場合は、ＣＰＵ２０が正常に動作していないと判断され、ＣＰＵ２０からの出力ＡのＥＣＵ１の制御対象への出力が禁止される。よって、ＣＰＵ２０が正常に動作していない場合に、ＣＰＵ２０からの異常出力が、ＥＣＵ１の制御対象に入力されることを確実に防止することによって、制御対象の誤作動を防止して安全性を確保できる。特に、ＣＰＵ２０の異常が確定されるまでの短時間においても、ＣＰＵ２０からの異常出力を防止できるので、安全性をより高めることができる。
【００３０】
上述したように構成されるＥＣＵ１において、監視回路３はバンドパスフィルタを用い、ＷＤパルス出力周期にてＣＰＵ２０から出力されるＷＤパルスのみを通過させる構成とした。監視回路３は、ＣＰＵ２０からＷＤパルスとして出力される信号の周期を監視し、所定の周期にて出力されているか否かを判断してもよい。以下に、監視回路３が行なう動作についてフローチャートを参照して説明する。図３は、実施の形態１におけるＥＣＵ１の監視回路３が行なう処理の手順を示すフローチャートである。
【００３１】
監視回路３は、予め設定されたＷＤパルス出力周期が経過したか否かを判断しており（Ｓ１）、ＷＤパルス出力周期が経過していないと判断した場合（Ｓ１：ＮＯ）、ＣＰＵ２０からＷＤパルス出力周期のデータ（ＷＤパルス）を受信したか否かを判断する（Ｓ２）。ＷＤパルスを受信していないと判断した場合（Ｓ２：ＮＯ）、監視回路３は、ステップＳ１に処理を戻し、ＷＤパルス出力周期が経過するか、ＷＤパルスを受信するまで、ステップＳ１，Ｓ２の処理を繰り返す。
【００３２】
ＷＤパルスを受信したと判断した場合（Ｓ２：ＹＥＳ）、即ち、ＷＤパルス出力周期が経過するまでにＷＤパルスを受信した場合、監視回路３は、受信したＷＤパルスの受信周期は、正常か否かを判断する（Ｓ３）。なお、監視回路３は、ＷＤパルスの受信周期が、ＷＤパルス出力周期よりも所定時間以上短い場合又は所定時間以上長い場合に、ＷＤパルスの受信周期は異常であると判断する。
【００３３】
監視回路３は、ＷＤパルスの受信周期は正常であると判断した場合（Ｓ３：ＹＥＳ）、ＣＰＵ２０から受信するＷＤパルスを通過させ、監視信号としてＤラッチ回路４へ出力し（Ｓ４）、ステップＳ１に処理を戻す。なお、監視回路３から出力される監視信号は、Ｄラッチ回路４のＣＬＫ入力端子に入力される。
【００３４】
監視回路３は、ＷＤパルスの受信周期は正常でないと判断した場合（Ｓ３：ＮＯ）、即ち、ＷＤパルス出力周期でＷＤパルスを受信できなかった場合、ＣＰＵ２０から受信するＷＤパルスを通過させず、固定値の監視信号をＤラッチ回路４へ出力する（Ｓ５）。また、監視回路３は、ＷＤパルス出力周期が経過したと判断した場合（Ｓ１：ＹＥＳ）、即ち、ＷＤパルス出力周期が経過する前にＷＤパルスを受信できなかった場合、ＣＰＵ２０から受信するＷＤパルスを通過させず、固定値の監視信号をＤラッチ回路４へ出力する（Ｓ５）。監視回路３は、固定値の監視信号を出力した後、処理を終了する。なお、監視回路３は、ＷＤパルスを正常に受信できず、固定値の監視信号をＤラッチ回路４へ出力した後、例えば、ＣＰＵ２０をリセットさせるための信号をＣＰＵ２０へ出力するようにしてもよい。
【００３５】
上述した処理により、監視回路３は、ＣＰＵ２０から出力されてくるＷＤパルスに基づいて、図２に示すような監視出力をＤラッチ回路４のＣＬＫ入力端子に入力できる。これにより、ＣＰＵ２０から出力されてくる信号（出力Ａ）を一時的に保持するＤラッチ回路４は、監視回路３から所定の監視出力（ＷＤパルス）が入力されている間は、Ｄ入力端子に入力されたＣＰＵ２０からの出力Ａを、Ｑ出力端子から出力させることができる。即ち、Ｄラッチ回路４は、ＣＰＵ２０が正常に動作している間は、ＣＰＵ２０からの出力Ａを、ＥＣＵ１の制御対象に出力できる。
【００３６】
一方、Ｄラッチ回路４は、監視回路３から所定の監視出力（ＷＤパルス）が入力されない場合、その直前に出力した出力Ｂの出力を継続する。即ち、監視回路３から所定の監視出力（ＷＤパルス）が入力されない場合は、Ｄ入力端子に入力されたＣＰＵ２０からの出力Ａの出力が禁止される。よって、ＣＰＵ２０が誤動作することによってＣＰＵ２０から出力される異常信号が、ＥＣＵ１の制御対象へ出力されないので、制御対象の誤作動を防止できる。特に、監視回路３がＣＰＵ２０の異常を断定するまでの短時間においても、ＣＰＵ２０からの異常出力を防止できるので、安全性をより高めることができる。また、ＣＰＵ２０に異常が生じた直後の出力Ｂの出力を継続することにより、例えば、車両が停車中又は走行中などのように車両の状態が継続している状態において、ＣＰＵ２０に異常が発生した場合であっても、安全性を確保しつつ制御対象の動作を制御できる。
【００３７】
本実施の形態１では、監視回路３は、ＣＰＵ２０からＷＤパルスを受信する周期が、予め設定されたＷＤパルス出力周期よりも所定時間以上短いか又は所定時間以上長い場合、ＷＤパルスの受信周期が異常であると判断する。また、監視回路３は、ＷＤパルスの受信周期が正常である間はＷＤパルスを通過させる構成である。これにより、早期にＣＰＵ２０の異常を検出し、異常状態のＣＰＵ２０からの出力信号の制御対象への出力を禁止することができる。比較としてＣＰＵ２０から出力されるパルス信号のエッジ間の間隔を測定する構成の場合、ＣＰＵ２０が異常状態となり、本来はＷＤパルスが出力されるべきであるにも拘わらず連続信号が出力される状態となったときには次のエッジを検出できない。この場合、異常状態となったＣＰＵ２０からの出力信号の制御対象への出力を禁止できない。
【００３８】
（実施の形態２）
図４は、実施の形態２におけるＥＣＵの構成を示す構成図である。本実施の形態２のＥＣＵ１は、上述した実施の形態１のＥＣＵ１と同様の構成を有するので、同様の構成については同一の符号を付して説明を省略する。
【００３９】
本実施の形態２のＥＣＵ１は、図１に示した構成のほかに、監視回路３の監視出力が出力される出力端子と、Ｄラッチ回路４のＣＬＫ入力端子との間に、２つの入力端子を有するアンド回路５を備える。よって、監視回路３から出力された監視出力は、アンド回路５の１つの入力端子に入力され、アンド回路５から出力される出力信号は、Ｄラッチ回路４のＣＬＫ入力端子に入力される。また、アンド回路５のもう１つの入力端子には、インバータ回路（ＮＯＴ回路）６を介して、車速を示す車速情報が入力されている。
【００４０】
なお、図４には、車速情報がアンド回路５に入力されている状態を示しているが、車速情報のほかに、例えば、エンジンの回転数を示すエンジン情報がインバータ回路６を介してアンド回路５に入力されてもよい。
【００４１】
図４に示すような構成とすることにより、車速が０以外の場合、即ち車両の走行中、又は、エンジンの回転数が０以外の場合、即ちエンジンの動作中は、インバータ回路６から値が０の出力信号が、アンド回路５に入力されるので、アンド回路５から値が０の出力信号がＤラッチ回路４のＣＬＫ入力端子に入力される。これにより、車両の走行中又はエンジンの動作中は、ＣＰＵ２０からの出力ＡがＤラッチ回路４を介して出力されることを防止できる。この場合、車両の走行中又はエンジンの動作中は、ＣＰＵ２０からの出力Ａを制御対象への出力を禁止することができ、ＣＰＵ２０が誤作動した場合であっても、制御対象への異常出力が禁止される。
【００４２】
例えば、制御対象が、ステアリング（自動車のハンドル）をロックするためのモータ、又はバッテリーからの電力を各部へ供給するためのイグニッションリレーである場合は、車両の走行中又はエンジンの動作中にＣＰＵ２０が誤作動してＥＣＵ１から異常出力が出されることはあってはならない。よって、車両の走行中又はエンジンの動作中は、ＥＣＵ１の出力状態を、ＣＰＵ２０に異常が生じる前の状態で継続することによって安全を確保できる。
【００４３】
なお、開示された実施の形態は、全ての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上述の説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
【符号の説明】
【００４４】
１  ＥＣＵ（処理装置）
２  マイコン
２０  ＣＰＵ（処理部）
３  監視回路（異常検出部）
４  Ｄラッチ回路（保持部）
【図１】
0005625349.tif 000002
【図２】
0005625349.tif 000003
【図３】
0005625349.tif 000004
【図４】
0005625349.tif 000005