(57)【特許請求の範囲】
【請求項１】
並行して動作する少なくとも２つの演算プロセッサと、
各々の演算プロセッサからの周期的な出力に基づくウォッチドッグクリア信号を入力し、ウォッチドッグクリア信号の周期性が崩れると前記演算プロセッサの異常発生の旨を判定する監視部とを備える電子制御システムの暴走監視装置であって、
各々の演算プロセッサに対して共通のタイマ部より一定周期でタイミングを通知し、一方の演算プロセッサが前記共通のタイマ部から通知される立ち上がりタイミングに従って前記監視部への出力を行うとともに、他方の演算プロセッサが前記共通のタイマ部から通知される立ち下がりタイミングに従って前記監視部への出力を行うことにより、前記監視部に対して一定周期のウォッチドッグクリア信号の出力を行うことを特徴とする電子制御システムの暴走監視装置。
【請求項２】
前記監視部は、異常が所定時間継続した場合に各演算プロセッサをリセットするための信号を出力する請求項１に記載の電子制御システムの暴走監視装置。
【請求項３】
互いに異なる処理を行う少なくとも２つ以上の演算プロセッサを有する請求項１又は２に記載の電子制御システムの暴走監視装置。
【請求項４】
互いに動作周期の異なる少なくとも２つ以上の演算プロセッサを有する請求項１又は２に記載の電子制御システムの暴走監視装置。
【請求項５】
前記タイマ部からのタイミング通知により各々の演算プロセッサで割り込み要求が発生し、ウォッチドッグクリア処理が実施される請求項１〜４の何れかに記載の電子制御システムの暴走監視装置。
【請求項６】
前記した各々の演算プロセッサは、同一パッケージ内に設けられる請求項１〜５の何れかに記載の電子制御システムの暴走監視装置。
【請求項７】
請求項６に記載の電子制御システムの暴走監視装置において、
第１及び第２の演算プロセッサと、これら演算プロセッサからの周期的な出力により自身の出力が操作される出力部とを備え、第１及び第２の演算プロセッサは、前記タイマ部により通知される演算プロセッサ毎のタイミングで前記出力部の出力をＨ／Ｌで反転させ、前記監視部は、出力部の出力が、予め定められた周期にて反転しない場合に異常発生の旨を判定する電子制御システムの暴走監視装置。
【請求項８】
請求項７に記載の電子制御システムの暴走監視装置において、
前記第１の演算プロセッサは、前記タイマ部からのタイミング通知に従い出力部の出力をＨに操作する一方、前記第２の演算プロセッサは、前記タイマ部からのタイミング通知に従い出力部の出力をＬに操作する電子制御システムの暴走監視装置。
【請求項９】
第１及び第２の演算プロセッサと、第１の演算プロセッサからの周期的な出力によりセットされると共に、第２の演算プロセッサからの周期的な出力によりリセットされるフリップフロップ回路とを備え、前記監視部は、フリップフロップ回路の出力が、予め定められた周期にて反転しない場合に異常発生の旨を判定する請求項１〜５の何れかに記載の電子制御システムの暴走監視装置。
【請求項１０】
請求項９に記載の電子制御システムの暴走監視装置において、
前記第１の演算プロセッサは、前記タイマ部からのタイミング通知に従いフリップフロップ回路のセット端子にワンショットパルスを出力する一方、前記第２の演算プロセッサは、前記タイマ部からのタイミング通知に従いフリップフロップ回路のリセット端子にワンショットパルスを出力する電子制御システムの暴走監視装置。
【請求項１１】
請求項７〜１０の何れかに記載の電子制御システムの暴走監視装置において、
異常発生時には、前記監視部に対する出力がＨ又はＬの何れの状態で固定されるかに応じて異常発生の演算プロセッサを特定し、その異常発生の演算プロセッサをリセットする電子制御システムの暴走監視装置。
【請求項１２】
前記タイマ部は、所定数のビットで構成されるフリーランタイマであり、該フリーランタイマの特定ビットの反転に伴い前記演算プロセッサに対してタイミングを通知する請求項１〜１１の何れかに記載の電子制御システムの暴走監視装置。
【請求項１３】
第１の演算プロセッサと、前記第１の演算プロセッサとは異なる処理を行う第２の演算プロセッサと、これら第１及び第２の演算プロセッサからの周期的な出力により自身の出力がＨ／Ｌに反転操作される出力部とを同一パッケージ内に備えた電子制御システムの暴走監視装置であって、
所定数のビットで構成されてそれら各ビットがそれぞれに同一の時間間隔で反転を繰り返すフリーランタイマと、前記出力部から出力されるウォッチドッグクリア信号の周期性が崩れると前記演算プロセッサの異常発生の旨を判定する監視部とを備え、
前記フリーランタイマにより通知される特定ビットの反転タイミングに従って前記第１の演算プロセッサに前記出力部の出力をＨに操作させる一方で、前記反転タイミングから一定の時間間隔が経過した後に通知される反転タイミングに従って前記第２の演算プロセッサに前記出力部の出力をＬに操作させることにより、前記出力部から一定周期で反転を繰り返すウォッチドッグクリア信号を出力することを特徴とする電子制御システムの暴走監視装置。
【請求項１４】
前記監視部は、異常が所定時間継続した場合に各演算プロセッサをリセットするための信号を出力する請求項１３に記載の電子制御システムの暴走監視装置。
【請求項１５】
前記第１及び第２の演算プロセッサは、互いに動作周期が異なっている請求項１３又は１４に記載の電子制御システムの暴走監視装置。
【請求項１６】
前記フリーランタイマからのタイミング通知により各々の演算プロセッサで割り込み要求が発生し、ウォッチドッグクリア処理が実施される請求項１３〜１５の何れかに記載の電子制御システムの暴走監視装置。
【請求項１７】
請求項１３〜１６の何れかに記載の電子制御システムの暴走監視装置において、
異常発生時には、前記監視部に対する出力がＨ又はＬの何れの状態で固定されるかに応じて異常発生の演算プロセッサを特定し、その異常発生の演算プロセッサをリセットする電子制御システムの暴走監視装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、並行して動作する少なくとも２つの演算プロセッサを備え、演算プロセッサからの周期的な出力に基づくウォッチドッグクリア信号（ＷＤＣ信号）により演算プロセッサの暴走を監視する電子制御システムの暴走監視装置に関するものである。
【０００２】
【従来の技術】
従来より、ウォッチドッグクリア（ＷＤＣ）信号として出力されるパルスの周期性に基づいてマイクロコンピュータ（マイコン）の暴走を監視する装置が提案されている。また近年では、マイコン処理の複雑化、高速化、小型化の要求に伴い、通常のマイコンを２個用いたり、１つのパッケージに２つのＣＰＵを搭載したデュアルコア（デュアルＣＰＵ）のマイコンが使用されるようになり、２つのマイコン（ＣＰＵ）へ処理を分散させるようになっている。
【０００３】
２つのマイコンを用いる制御システムの場合、暴走監視を行うには図７に示す２つの手法が考えられる。すなわち、図７（ａ）では、２つのマイコンＡ，Ｂ毎に監視部が設けられ、各マイコンＡ，Ｂから出力されるＷＤＣ信号がそれぞれ別個の監視部に入力される構成となっている。また、図７（ｂ）では、マイコンＢの動作がマイコンＡにより監視され、マイコンＢが正常であり且つマイコンＡ自身も同様に正常である場合、マイコンＡから監視部に対してＷＤＣ信号が出力される構成となっている。
【０００４】
しかしながら、上記図７（ａ）の手法では、マイコン毎に監視部が必要になる上に、監視部への通信線が２本必要になり、コストアップとなる。また、上記図７（ｂ）の手法では、監視部は１つに集約できるものの、マイコンＢのＷＤＣ信号をマイコンＡで監視しなければならないため、マイコンＡ側の処理が複雑化し、処理負荷が増える。
【０００５】
一方、アンチスキッド制御など安全性が求められる制御では、２つのマイコンにて同一又は同一相当の演算処理（同じ周期で同じ処理時間の演算を行う処理）を行う、いわゆるデュアルマイクロコンピュータシステムが提案されており、当該システムに有用なマイコンの暴走監視装置として、特許第２５５６１５６号公報がある。この公報の装置では、２つのマイコンが所定の周期毎に異なるタイミングでＷＤＣ信号を出力し、各マイコンのＷＤＣ信号によりフリップフロップの出力を反転させる。そして、フリップフロップの出力周期が予め定められた範囲内になければ異常と判定するようにしていた。
【０００６】
ところが、処理負荷を複数のマイコンに分散し、各マイコンで互いに異なる処理を実施させるようにした電子制御システムの場合、エンジン制御やトランスミッション制御等、異なる処理がマイコン毎に割り当てられ、各マイコンの演算タイミングや処理時間が異なることが原因でＷＤＣ信号の出力タイミングがずれてしまう。それ故に、上記公報のように所定周期でマイコン毎にＷＤＣ信号を出力させようとしても、ＷＤＣ信号の出力周期がずれ、結果として誤った監視動作が行われてしまう。例えば、エンジン制御用マイコンとトランスミッション制御用マイコンとを有する制御システムでは、前者のマイコンは、エンジン回転に応じたタイミングで行う処理（角度同期処理）が多いのに対し、後者のマイコンは、一定時間毎に行う処理（時間同期処理）が多いため、２つのマイコンでタイミングの周期が合わせられない。
【０００７】
また、２つのマイコンにて、アンチスキッド制御など、同一又は同一相当の演算処理を行う場合にも、コスト等の関係上、２つのマイコンの動作周期が異なるもの（一方が２０ＭＨｚ動作、他方が１６ＭＨｚ動作）を使用することが考えられる。かかる場合にも、上記公報の装置では、マイコン毎にタイミングの周期が合わず、監視動作を正しく行わせることができなくなる。
【０００８】
【発明が解決しようとする課題】
本発明は、上記問題に着目してなされたものであって、その目的とするところは、構成の簡素化を図りつつ、演算プロセッサの暴走を正しく監視することができる電子制御システムの暴走監視装置を提供することである。
【０００９】
【課題を解決するための手段】
請求項１に記載の発明において、監視部は、各々の演算プロセッサから入力される周期的な出力に基づくウォッチドッグクリア（ＷＤＣ）信号の周期性が崩れると演算プロセッサの異常発生の旨を判定する。また、特に本発明では、タイマ部は、各々の演算プロセッサに対して一定周期でタイミングを通知し、一方の演算プロセッサが前記共通のタイマ部から通知される立ち上がりタイミングに従って前記監視部への出力を行うとともに、他方の演算プロセッサが前記共通のタイマ部から通知される立ち下がりタイミングに従って前記監視部への出力を行うことにより、前記監視部に対して一定周期のウォッチドッグクリア信号の出力を行う。
【００１０】
本構成によれば、複数の演算プロセッサに対して同数の監視部が必要になることはなく、構成の簡素化が可能となる。また、特定の演算プロセッサが他の演算プロセッサの分まで監視を行う必要もなく、特定の演算プロセッサにおいて処理が煩雑になる、処理負荷が増大するといった不都合も生じない。更に、共通のタイマ部から通知されるタイミングに従い、各演算プロセッサが周期的な出力を行うことにより、前記監視部に対して一定周期のウォッチドッグクリア信号の出力を行うので、仮に各演算プロセッサが互いに異なる処理を請け負っていても、ウォッチドッグクリア信号の出力周期がずれることはない。従って、演算プロセッサの暴走を確実に監視することができる。
【００１１】
この場合、互いに異なる処理を行う少なくとも２つ以上の演算プロセッサを有する電子制御システム（請求項３）や、互いに動作周期の異なる少なくとも２つ以上の演算プロセッサを有する電子制御システム（請求項４）にとって有益な構成が提供できる。
【００１２】
また、請求項２に記載したように、異常が所定時間継続した場合に各演算プロセッサをリセットすることにより、異常発生後において演算プロセッサの正常復帰が可能となる。
【００１３】
また実際には、請求項５に記載したように、前記タイマ部からのタイミング通知により各々の演算プロセッサで割り込み要求が発生し、ウォッチドッグクリア処理が実施されると良い。
【００１４】
また本発明は、各演算プロセッサが同一パッケージ内に設けられる場合にも好適に具体化できる（請求項６）。かかる場合において、請求項７に記載の発明では、第１及び第２の演算プロセッサは、タイマ部により通知される演算プロセッサ毎のタイミングで出力部の出力をＨ／Ｌ（ハイレベル／ローレベル）で反転させる。そして、前記監視部は、出力部の出力が、予め定められた周期にて反転しない場合に異常発生の旨を判定する。本構成では、何れかの演算プロセッサが暴走した場合には、出力部のＨ／Ｌ出力の周期性が崩れることから、異常発生が容易に且つ確実に判定できる。
【００１５】
また、上記の如く出力部の出力を一定周期でＨ／Ｌ反転させる構成として、請求項８に記載したように、第１及び第２の演算プロセッサにおいて、前記タイマ部からのタイミング通知に従い出力部の出力を周期的に各々Ｈ又はＬに操作するよう構成すると良い。
【００１６】
更に、請求項９に記載の発明では、フリップフロップ回路は、第１の演算プロセッサからの周期的な出力によりセットされると共に、第２の演算プロセッサからの周期的な出力によりリセットされる。前記監視部は、フリップフロップ回路の出力が、予め定められた周期にて反転しない場合に異常発生の旨を判定する。本構成では、何れかの演算プロセッサが暴走した場合には、フリップフロップ回路のＨ／Ｌ出力の周期性が崩れることから、異常発生が容易に且つ確実に判定できる。
【００１７】
また、上記の如くフリップフロップ回路の出力を一定周期で反転させる構成として、請求項１０に記載したように、第１及び第２の演算プロセッサにおいて、前記タイマ部からのタイミング通知に従いフリップフロップ回路のセット端子及びリセット端子に周期的に各々ワンショットパルスを出力するよう構成すると良い。
【００１８】
請求項１１に記載の発明では、異常発生時には、前記監視部に対する出力がＨ又はＬの何れの状態で固定されるかに応じて異常発生の演算プロセッサを特定し、その異常発生の演算プロセッサをリセットする。本構成によれば、暴走した演算プロセッサだけを選択的にリセットすることができる。
【００１９】
また、請求項１２に記載の発明では、前記タイマ部は、所定数のビットで構成されるフリーランタイマであり、該フリーランタイマの特定ビットの反転に伴い前記演算プロセッサに対してタイミングを通知する。この場合、フリーランタイマの各ビットは所定の時間周期で反転し、この反転のタイミングによれば、所望とする一定周期でタイミング通知を行わせることができるようになる。
また、請求項１３に記載の発明では、第１の演算プロセッサと、前記第１の演算プロセッサとは異なる処理を行う第２の演算プロセッサと、これら第１及び第２の演算プロセッサからの周期的な出力により自身の出力がＨ／Ｌに反転操作される出力部とを同一パッケージ内に備え、さらに、所定数のビットで構成されてそれら各ビットがそれぞれに同一の時間間隔で反転を繰り返すフリーランタイマと、前記出力部から出力されるウォッチドッグクリア信号の周期性が崩れると前記演算プロセッサの異常発生の旨を判定する監視部とを備える。また特に、本発明では、前記フリーランタイマにより通知される特定ビットの反転タイミングに従って前記第１の演算プロセッサに前記出力部の出力をＨに操作させる一方で、前記反転タイミングから一定の時間間隔が経過した後に通知される反転タイミングに従って前記第２の演算プロセッサに前記出力部の出力をＬに操作させることにより、前記出力部から一定周期で反転を繰り返すウォッチドッグクリア信号を出力する。
本構成によれば、複数の演算プロセッサに対して同数の監視部が必要になることはなく、構成の簡素化が可能となる。また、特定の演算プロセッサが他の演算プロセッサの分まで監視を行う必要もなく、特定の演算プロセッサにおいて処理が煩雑になる、処理負荷が増大するといった不都合も生じない。更に、フリーランタイマの特定ビットの反転に伴い各演算プロセッサに対してタイミングを通知するようにしたので、所望とする一定周期でタイミング通知を行わせることができるようになる。なお、ウォッチドッグクリア処理の周期を変更するには、各演算プロセッサへタイミングを通知するビットを変更すれば良い。
この場合、互いに動作周期の異なる少なくとも２つ以上の演算プロセッサを有する電子制御システム（請求項１５）にとって有益な構成が提供できる。
また、請求項１４に記載したように、異常が所定時間継続した場合に各演算プロセッサをリセットすることにより、異常発生後において演算プロセッサの正常復帰が可能となる。
また実際には、請求項１６に記載したように、前記フリーランタイマからのタイミング通知により各々の演算プロセッサで割り込み要求が発生し、ウォッチドッグクリア処理が実施されると良い。
請求項１７に記載の発明では、異常発生時には、前記監視部に対する出力がＨ又はＬの何れの状態で固定されるかに応じて異常発生の演算プロセッサを特定し、その異常発生の演算プロセッサをリセットする。本構成によれば、暴走した演算プロセッサだけを選択的にリセットすることができる。
【００２０】
【発明の実施の形態】
（第１の実施の形態）
以下、この発明を具体化した第１の実施の形態を図面に従って説明する。本実施の形態の電子制御システムでは、処理速度の向上を図るべく、同一パッケージ内に２つのＣＰＵ（コア）を収容した、いわゆるデュアルコアマイコンを用いており、各ＣＰＵは、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ、タイマなどを共通に使用する。
【００２１】
図１は、本実施の形態における車載制御装置を示す構成図である。図１において、マイコン１０は、エンジン制御を行う第１ＣＰＵ１１と、トランスミッション制御を行う第２ＣＰＵ１２とをはじめ、ＲＡＭ１３、ＲＯＭ１４、フリーランタイマ１５、Ｉ／Ｏ部１６を備える。この場合、第１ＣＰＵ１１は、主として回転同期のエンジン制御を行い、第２ＣＰＵ１２は、主として時間同期のトランスミッション制御を行う。第１及び第２ＣＰＵ１１，１２とフリーランタイマ１５には発振子１７が接続されている。ここで、フリーランタイマ１５は、一定時間毎（例えば１μｓ毎）にカウントアップされる２バイト（１６ビット）のタイマカウンタにて構成される。すなわち、フリーランタイマ１５は「００００Ｈ」〜「ＦＦＦＦＨ」の間でカウント値を変化させるタイマとして機能する。
【００２２】
また、Ｉ／Ｏ部１６のＷＤＣ用Ｉ／Ｏポートには、マイコン等により構成されるＷＤＣ監視部１８が接続されている。ＷＤＣ監視部１８は、Ｉ／Ｏ部１６から出力されるＷＤＣ信号を監視し、同ＷＤＣ信号の周期性が崩れると、各ＣＰＵ１１，１２で異常発生したと判断し、リセット信号（／ＲＳＴ）を出力する。なお、本実施の形態では、第１及び第２ＣＰＵ１１，１２が「演算プロセッサ」に、フリーランタイマ１５が「タイマ部」に、Ｉ／Ｏ部１６が「出力部」にそれぞれ相当する。
【００２３】
次に、第１及び第２ＣＰＵ１１，１２の暴走監視の動作を図２のタイムチャートを用いて説明する。図２には、フリーランタイマ１５の動作、各ＣＰＵ１１，１２のＷＤＣ処理タイミング、ＷＤＣ用Ｉ／Ｏポートの出力（ＷＤＣ信号）、リセット信号をそれぞれ示している。
【００２４】
フリーランタイマ１５は、一定速度でカウントアップ動作を継続し、その際、フリーランタイマ１５を構成する各ビットはそれぞれに同一の時間間隔で反転を繰り返す。一例として図３に示すように、フリーランタイマ１５の１２番目のビット（ｂｉｔ１２）は約４ｍｓ毎に反転を繰り返す。この場合、当該ｂｉｔ１２の反転のタイミングが第１及び第２ＣＰＵ１１，１２に通知され、その際、各ＣＰＵ１１，１２では割り込み要求が発生し、ＷＤＣ処理を実施する。すなわち、第１ＣＰＵ１１は、フリーランタイマ１５のｂｉｔ１２が０→１に反転するタイミングでエンジン制御を中断し、ＷＤＣ処理によりＷＤＣ用Ｉ／ＯポートをＨに操作する。また、第２ＣＰＵ１２は、フリーランタイマ１５のｂｉｔ１２が１→０に反転するタイミングでトランスミッション制御を中断し、ＷＤＣ処理によりＷＤＣ用Ｉ／ＯポートをＬに操作する。これにより、ＷＤＣ用Ｉ／ＯポートからＷＤＣ監視部１８に対して一定周期のＷＤＣ信号が出力される。なおこのとき、Ｉ／Ｏ部１６は各ＣＰＵ共通で使用されるが、各ＣＰＵ１１，１２は、一定の時間間隔が経過する度にＩ／Ｏ部１６に対して交互に出力を行う。そのため、Ｉ／Ｏ部１６に対して同時に出力が行われるといった不都合はない。
【００２５】
例えば図２の（Ａ）期間では、上記の通りフリーランタイマ１５のｂｉｔ１２の反転に応じてＷＤＣ用Ｉ／Ｏポートの出力が一定周期で反転を繰り返す。従って、両ＣＰＵ１１，１２共に、正常動作していると判断できる。
【００２６】
これに対して、例えば第２ＣＰＵ１２が暴走すると、第２ＣＰＵ１２でＷＤＣ処理が実施できなくなる。このとき、図２の（Ｂ）期間に示すように、ＷＤＣ用Ｉ／ＯポートがＬに立ち下げられず、ＷＤＣ用Ｉ／Ｏポート出力はＨ固定となる。これがＷＤＣ監視部１８でチェックされ、その状態がある一定時間連続すると、ＣＰＵ１１，１２がリセットされる。このリセットにより、図２の（Ｃ）期間のように正常復帰が可能となり、それ以降、再びＷＤＣ信号が一定周期で反転動作する。
【００２７】
以上詳述した本実施の形態によれば、以下に示す効果が得られる。
第１及び第２ＣＰＵ１１，１２のＷＤＣ処理（割り込み要求発生）のタイミングをフリーランタイマ１５から交互に通知し、その時生成されるＷＤＣ信号の周期性により各ＣＰＵ１１，１２の暴走を監視した。かかる構成では、各ＣＰＵ１１，１２に対して同数のＷＤＣ監視部が必要になることはなく、構成の簡素化が可能となる。また、特定のＣＰＵが他のＣＰＵの分まで監視を行う必要もなく、特定のＣＰＵの処理が煩雑になる、処理負荷が増大するといった不都合も生じない。また更に、各ＣＰＵ１１，１２の互いに異なる処理を行っていても、ＷＤＣ信号の出力周期がずれることはない。従って、ＣＰＵ１１，１２の暴走を確実に監視することができる。
【００２８】
フリーランタイマ１５の特定ビットの反転に伴い各ＣＰＵ１１，１２に対してタイミングを通知するようにしたので、所望とする一定周期でタイミング通知を行わせることができるようになる。なお、ＷＤＣ処理の周期を変更するには、各ＣＰＵ１１，１２へタイミングを通知するｂｉｔを変更すれば良い。
【００２９】
またこの場合、マイコン１０から出力されるＷＤＣ信号は、周期的にＨ／Ｌ反転動作する従前通りのものであり、ＷＤＣ監視部１８としての機能は何ら変更はない。それ故に、監視対象のマイコンの形態が変わっても、ＷＤＣ監視部１８（監視機能）としての互換性は保たれる。つまり、監視対象のマイコンが、図１の如く同一パッケージに設けられるデュアルコアマイコンである他に、別個のパッケージに設けられるマイコンであっても、同じＷＤＣ監視部１８（監視機能）が適用できる。
【００３０】
なお因みに、図１の構成では、第１及び第２ＣＰＵ１１，１２の何れかが暴走した場合、各ＣＰＵ１１，１２を同時にリセットしたが、暴走したＣＰＵを特定し、暴走側のＣＰＵのみをリセットするようにしても良い。例えば、ＷＤＣ用ポート出力がＨ固定かＬ固定かに応じて異常発生側のＣＰＵを特定し、その特定したＣＰＵに対してリセットをかけるようにする。
【００３１】
（第２の実施の形態）
次に、本発明における第２の実施の形態について、第１の実施の形態との相違点を中心に説明する。本実施の形態では、別個にパッケージングされた２つのマイコンを用い、各々のマイコンが互いに異なる処理を行う構成としている。
【００３２】
図４は、本実施の形態における車両制御装置を示す構成図である。図４において、本制御装置は、エンジン制御を司る第１マイコン２１と、トランスミッション制御を司る第２マイコン２２とを備え、両マイコン２１，２２はシリアル通信にて相互に通信可能に接続されている。また、これらマイコン２１，２２にはタイマ２３が接続されており、タイマ２３は、発振子２４の動作に従い各マイコン２１，２２に対して一定周期のパルス信号を出力する。マイコン２１，２２はそれぞれ、タイマ出力の立ち上がり又は立ち下がりのタイミングでワンショットパルスを出力する。
【００３３】
ＳＲフリップフロップ２５のセット（Ｓ）端子には、第１マイコン２１のＷＤＣ用Ｉ／Ｏポートが接続され、リセット（Ｒ）端子には、第２マイコン２２のＷＤＣ用Ｉ／Ｏポートが接続されている。また、フリップフロップ２５の出力（Ｑ）端子には、マイコン等により構成されるＷＤＣ監視部２６が接続されている。この場合、フリップフロップ２５は、第１マイコン２１のワンショットパルスによりセット、第２マイコン２２のワンショットパルスによりリセットされ、その出力であるＷＤＣ信号がＷＤＣ監視部２６に入力される。
【００３４】
ＷＤＣ監視部２６は、第１マイコン２１のリセット（／ＲＳＴ）端子に接続されていると共に、第２マイコン２２のリセット（／ＲＳＴ）端子に接続されている。そして、ＷＤＣ監視部２６は、フリップフロップ２５の出力Ｑが、予め定められた周期にて反転しない場合に異常発生とみなし、各マイコン２１，２２の／ＲＳＴ端子にリセット信号を出力する。この場合、ＷＤＣ監視部２６は、各マイコン２１，２２を別個にリセットしても良いし、同時にリセットするようにしても良い。なお、本実施の形態では、第１及び第２マイコン２１，２２が「演算プロセッサ」に、タイマ２３が「タイマ部」にそれぞれ相当する。
【００３５】
次に、マイコン２１，２２の暴走監視の動作を図５のタイムチャートを用いて説明する。図５中、ａ〜ｅ２は、図１中に同じ符号を付した各部位の信号波形を示している。
【００３６】
図５において、タイマ２３は、一定時間毎（例えば４ｍｓ毎）に反転出力を行う（図のａ信号）。このタイマ出力の立ち上がり又は立ち下がりのタイミングでマイコン２１，２２で割り込み要求が発生し、ＷＤＣ処理が実施される。すなわち、第１マイコン２１は、タイマ出力ａの立ち上がりのタイミングでエンジン制御を中断し、フリップフロップ２５に対してワンショットパルスを出力する（図のｂ信号）。また、第２マイコン２２は、タイマ出力ａの立ち下がりのタイミングでトランスミッション制御を中断し、フリップフロップ２５に対してワンショットパルスを出力する（図のｃ信号）。
【００３７】
このとき、図のｄに示すように、第１マイコン２１からのワンショットパルスｂによりフリップフロップ２５がセットされ、出力ＱがＨに操作される。また、第２マイコン２２からのワンショットパルスｃによりフリップフロップ２５がリセットされ、出力ＱがＬに操作される。これにより、フリップフロップ２５は、タイマ出力（ａ信号）と同じ一定周期で反転を繰り返すこととなる。
【００３８】
例えば図５の（Ａ）期間では、上記の通りタイマ出力ａの各立ち上がり及び立ち下がりに応じて各マイコン２１，２２から周期的にワンショットパルスｂ，ｃが出力され、それに伴いフリップフロップ２５が一定周期で反転出力を繰り返す。従って、両マイコン２１，２２共に、正常動作していると判断できる。
【００３９】
これに対して、例えば第２マイコン２２が暴走すると、図５の（Ｂ）期間に示すように、タイマ出力の立ち下がりタイミングでも第２マイコン２２でＷＤＣ処理が実施できなくなる。このとき、第２マイコン２２からワンショットパルスが出力されないためにフリップフロップ２５がリセットされず、フリップフロップ２５の出力ＱがＨ固定になる。これがＷＤＣ監視部２６でチェックされ、その状態がある一定時間連続すると、第２マイコン２２がリセットされる（ｅ２）。このリセットにより、図５の（Ｃ）期間のように正常復帰が可能となり、それ以降、再びＷＤＣ信号が一定周期で反転動作する。
【００４０】
以上第２の実施の形態によれば、上記第１の実施の形態と同様に、構成の簡素化を図りつつ、第１及び第２マイコン２１，２２の暴走を正しく監視することができる。
【００４１】
なお本発明は、上記以外に次の形態にて具体化できる。
上記第２の実施の形態では、第１及び第２マイコン２１，２２とは別個にタイマ２３を設け、そのタイマ２３から各マイコン２１，２２へＷＤＣ処理のタイミングを通知したが、その構成を図６のように変更する。図６では、第１マイコン２１内のタイマ２８を用い、このタイマ出力により、第１マイコン２１内でＷＤＣ処理のタイミングを発生させると共に、第２マイコン２２に対してＷＤＣ処理のタイミングを通知する。例えば、タイマ２８は、第１マイコン２１内蔵のフリーランタイマで実現される。
【００４２】
また、各演算プロセッサが互いに異なる処理を行う場合でなくとも、各演算プロセッサの動作周期が異なる場合にも本発明は有効となる。すなわち、アンチスキッド制御など、同一又は同一相当の演算処理を２つの演算プロセッサで行う場合において、各演算プロセッサの動作周期が相違しても各演算プロセッサでＷＤＣ処理の周期がずれることはなく、監視動作を正しく行わせることができる。
【００４３】
上記各実施の形態では、演算プロセッサの暴走時にリセットをかけるよう構成したが、これを変更する。例えば、ＷＤＣ監視部が、暴走した演算プロセッサの機能を補うべくフェイルセーフ処理を実施するようにしても良い。また、演算プロセッサのリセットを複数回試みてもリセットできない場合に、同様にＷＤＣ監視部がフェイルセーフ処理を実施するようにしても良い。
【００４４】
上記各実施の形態では、電子制御システムとして、２つのＣＰＵ（又はマイコン）を持つ構成を例示したが、３つ以上のＣＰＵ（又はマイコン）を持つ構成で具体化しても良い。
【図面の簡単な説明】
【図１】発明の実施の形態における車載制御装置の概要を示す構成図。
【図２】各ＣＰＵの暴走監視動作を示すタイムチャート。
【図３】フリーランタイマの動作を示す図。
【図４】第２の実施の形態において車載制御装置の概要を示す構成図。
【図５】各マイコンの暴走監視動作を示すタイムチャート。
【図６】別の形態における車載制御装置を示す構成図。
【図７】従来技術を説明するための構成図。
【符号の説明】
１０…マイコン、１１…第１ＣＰＵ、１２…第２ＣＰＵ、１５…フリーランタイマ、１６…Ｉ／Ｏ部、１８…ＷＤＣ監視部、２１…第１マイコン、２２…第２マイコン、２３…タイマ、２５…フリップフロップ、２６…ＷＤＣ監視部。
【図１】
0003714141.tif 000002
【図２】
0003714141.tif 000003
【図３】
0003714141.tif 000004
【図４】
0003714141.tif 000005
【図５】
0003714141.tif 000006
【図６】
0003714141.tif 000007
【図７】
0003714141.tif 000008