(57)【要約】【課題】マイクロコンピュータ制御システムに設けられた複数のマイクロコンピュータのうちのいずれかが暴走状態に陥ったとしても、その暴走状態を認識することができるマイクロコンピュータ制御システムを提供する。【解決手段】複数のマイクロコンピュータ５、６を備えたマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータ５、６の各々が、自己の動作状態を他のマイクロコンピュータ６、５へ伝達するための動作確認信号Ａ１、Ａ２を発生する動作確認信号発生部７、８と、他のマイクロコンピュータ６、５からの動作確認信号Ａ２、Ａ１を基に当該他のマイクロコンピュータ６、５の動作状態を認識する動作状態認識部（動作状態判定制御部９、１０）とを備える。【選択図】図１
2011227786.tif 000002
【特許請求の範囲】
【請求項１】
複数のマイクロコンピュータを備えたマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々が、自己の動作状態を他のマイクロコンピュータへ伝達するための動作確認信号を発生する動作確認信号発生部と、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータの動作状態を認識する動作状態認識部とを備えることを特徴とするマイクロコンピュータ制御システム。
【請求項２】
請求項１記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータから動作確認信号を送信するための動作確認信号出力端子と、他のマイクロコンピュータからの動作確認信号を受信するための動作確認信号入力端子とを備えるか、または、当該マイクロコンピュータと他のマイクロコンピュータとの間で動作確認信号を送受信するための動作確認信号入出力端子を備えることを特徴とするマイクロコンピュータ制御システム。
【請求項３】
請求項１もしくは２のいずれかに記載のマイクロコンピュータ制御システムであって、前記動作確認信号はパルス信号またはシリアルコード信号であることを特徴とするマイクロコンピュータ制御システム。
【請求項４】
請求項１ないし３のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の前記動作状態認識部は、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、前記マイクロコンピュータ制御システムの動作を停止させる全体停止信号を発生することを特徴とするマイクロコンピュータ制御システム。
【請求項５】
請求項４記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータから全体停止信号を送信するための全体停止信号出力端子を備えることを特徴とするマイクロコンピュータ制御システム。
【請求項６】
請求項１ないし５のいずれかに記載のマイクロコンピュータ制御システムであって、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられていることを特徴とするマイクロコンピュータ制御システム。
【請求項７】
請求項１ないし３のいずれかに記載のマイクロコンピュータ制御システムであって、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられており、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、当該他のマイクロコンピュータが設けられたサブシステムの動作を停止させる個別停止信号を発生することを特徴とするマイクロコンピュータ制御システム。
【請求項８】
請求項７記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの全部または一部は、当該マイクロコンピュータが設けられたサブシステムの動作を、他のマイクロコンピュータが暴走状態であると認識したときに個別停止信号により停止させることを特徴とするマイクロコンピュータ制御システム。
【請求項９】
請求項７もしくは８のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータから個別停止信号を送信するための個別停止信号出力端子を備えることを特徴とするマイクロコンピュータ制御システム。
【請求項１０】
請求項１ないし９のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の前記動作状態認識部は、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、当該他のマイクロコンピュータを初期状態へリセットするリセット信号を発生することを特徴とするマイクロコンピュータ制御システム。
【請求項１１】
請求項１０記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータからリセット信号を送信するためのリセット信号出力端子と、他のマイクロコンピュータからのリセット信号を受信するためのリセット信号入力端子とを備えることを特徴とするマイクロコンピュータ制御システム。
【請求項１２】
請求項１０もしくは１１のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の前記動作状態認識部は、当該マイクロコンピュータが初期状態へリセットされることを防止するリセット防止信号を、他のマイクロコンピュータが暴走状態であると認識したときに発生することを特徴とするマイクロコンピュータ制御システム。
【請求項１３】
請求項１２記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の外部に、他のマイクロコンピュータからのリセット信号の伝送を阻止するリセット阻止部が設けられており、前記複数のマイクロコンピュータの各々が、当該マイクロコンピュータの外部に設けられたリセット阻止部をリセット防止信号により操作することを特徴とするマイクロコンピュータ制御システム。
【請求項１４】
請求項１３記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータからリセット防止信号を送信するためのリセット防止信号出力端子を備えることを特徴とするマイクロコンピュータ制御システム。
【請求項１５】
請求項１ないし３のいずれかに記載のマイクロコンピュータ制御システムであって、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムを電源から電気的に切り離すための安全装置をさらに備え、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられ、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、前記安全装置を操作する操作信号を発生して、前記複数のサブシステムを電源から電気的に切り離すことを特徴とするマイクロコンピュータ制御システム。
【請求項１６】
請求項１ないし３のいずれかに記載のマイクロコンピュータ制御システムであって、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムを負荷から電気的に切り離すための安全装置をさらに備え、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられ、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、前記安全装置を操作する操作信号を発生して、前記複数のサブシステムを負荷から電気的に切り離すことを特徴とするマイクロコンピュータ制御システム。
【請求項１７】
請求項１５もしくは１６のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータから操作信号を送信するための操作信号出力端子を備えることを特徴とするマイクロコンピュータ制御システム。
【請求項１８】
請求項１５ないし１７のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の前記動作状態認識部は、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、当該他のマイクロコンピュータを初期状態へリセットするリセット信号を発生することを特徴とするマイクロコンピュータ制御システム。
【請求項１９】
請求項１８記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータからリセット信号を送信するためのリセット信号出力端子と、他のマイクロコンピュータからのリセット信号を受信するためのリセット信号入力端子とを備えることを特徴とするマイクロコンピュータ制御システム。
【請求項２０】
請求項１８もしくは１９のいずれかに記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の前記動作状態認識部は、当該マイクロコンピュータが初期状態へリセットされることを防止するリセット防止信号を、他のマイクロコンピュータが暴走状態であると認識したときに発生することを特徴とするマイクロコンピュータ制御システム。
【請求項２１】
請求項２０記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々の外部に、他のマイクロコンピュータからのリセット信号の伝送を阻止するリセット阻止部が設けられており、前記複数のマイクロコンピュータの各々が、当該マイクロコンピュータの外部に設けられたリセット阻止部をリセット防止信号により操作することを特徴とするマイクロコンピュータ制御システム。
【請求項２２】
請求項２１記載のマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々は、当該マイクロコンピュータからリセット防止信号を送信するためのリセット防止信号出力端子を備えることを特徴とするマイクロコンピュータ制御システム。
【請求項２３】
請求項１ないし２２のいずれかに記載のマイクロコンピュータ制御システムを備えたことを特徴とする充電装置。
【請求項２４】
請求項１ないし３、もしくは請求項１５ないし２２のいずれかに記載のマイクロコンピュータ制御システムを備えたことを特徴とする太陽光電源システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異なる制御対象を制御する複数のマイクロコンピュータを備えたマイクロコンピュータ制御システムに関し、特に安全性を要求される装置、例えば高容量の充電器や発電システム等に搭載されるマイクロコンピュータ制御システムに関する。
【背景技術】
【０００２】
従来、異なる制御対象を制御する２つのマイクロコンピュータを備えたマイクロコンピュータ制御システムにおいて、一方のマイクロコンピュータに他方のマイクロコンピュータの演算結果を監視するための監視プログラムを搭載して、その一方のマイクロコンピュータの監視プログラムにより他方のマイクロコンピュータの異常の有無を判断するとともに、一方のマイクロコンピュータの監視プログラムに、周期的にウォッチドックパルスを発生させる命令を組み込んでおき、ウォッチドックタイマがウォッチドックパルスを取り込んでその周期の異常の有無を検出することで、一方のマイクロコンピュータの監視プログラムの異常の有無を判断するものが提案されている（例えば、特許文献１参照。）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００２−２２７６６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
以上説明したように、異なる制御対象を制御する２つのマイクロコンピュータを備えたマイクロコンピュータ制御システムにおいて、マイクロコンピュータの異常の有無をウォッチドックタイマで監視するものが従来より提案されている。
【０００５】
しかしながら、ウォッチドックタイマはマイクロコンピュータの停止を検出することはできても暴走を検出することはできない。暴走とは、プログラムが所定の流れから逸脱して進行することである。例えば、あるサブルーチンから抜け出せずにその処理を繰り返すような状態になることである。マイクロコンピュータをウォッチドックタイマで監視する従来の構成では暴走に対応することができかった。
【０００６】
本発明は、上記従来の問題点に鑑み、異なる制御対象を制御する複数のマイクロコンピュータを備えたマイクロコンピュータ制御システムにおいて、複数のマイクロコンピュータのうちのいずれかが、ある決められた処理の流れから逸脱する暴走状態に陥ったときに、その暴走状態を認識することができるマイクロコンピュータ制御システム、並びにそれを用いた充電装置および太陽光電源システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明のマイクロコンピュータ制御システムは、複数のマイクロコンピュータを備えたマイクロコンピュータ制御システムであって、前記複数のマイクロコンピュータの各々が、自己の動作状態を他のマイクロコンピュータへ伝達するための動作確認信号を発生する動作確認信号発生部と、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータの動作状態を認識する動作状態認識部とを備えることを特徴とする。前記動作確認信号には、パルス信号またはシリアルコード信号を用いることができる。
【０００８】
本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、前記マイクロコンピュータ制御システムの動作を停止させる全体停止信号を発生することを特徴とする。
【０００９】
また、本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられており、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、当該他のマイクロコンピュータが設けられたサブシステムの動作を停止させる個別停止信号を発生することを特徴とする。前記複数のマイクロコンピュータの全部または一部は、当該マイクロコンピュータが設けられたサブシステムの動作を、他のマイクロコンピュータが暴走状態であると認識したときに個別停止信号により停止させてもよい。
【００１０】
また、本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムを電源から電気的に切り離すための安全装置をさらに備え、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられ、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、前記安全装置を操作する操作信号を発生して、前記複数のサブシステムを電源から電気的に切り離すことを特徴とする。
【００１１】
また、本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記マイクロコンピュータ制御システムが複数のサブシステムからなり、前記複数のサブシステムを負荷から電気的に切り離すための安全装置をさらに備え、前記複数のサブシステムの各々に前記マイクロコンピュータが１台ずつ設けられ、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、前記安全装置を操作する操作信号を発生して、前記複数のサブシステムを負荷から電気的に切り離すことを特徴とする。
【００１２】
また、本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、他のマイクロコンピュータからの動作確認信号を基に当該他のマイクロコンピュータが暴走状態であると認識すると、当該他のマイクロコンピュータを初期状態へリセットするリセット信号を発生することを特徴とする。
【００１３】
また、本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記複数のマイクロコンピュータの各々の前記動作状態認識部が、当該マイクロコンピュータが初期状態へリセットされることを防止するリセット防止信号を、他のマイクロコンピュータが暴走状態であると認識したときに発生することを特徴とする。
【００１４】
また、本発明の他の側面は、上記した本発明のマイクロコンピュータ制御システムにおいて、前記複数のマイクロコンピュータの各々の外部に、他のマイクロコンピュータからのリセット信号の伝送を阻止するリセット阻止部が設けられており、前記複数のマイクロコンピュータの各々が、当該マイクロコンピュータの外部に設けられたリセット阻止部をリセット防止信号により操作することを防止することを特徴とする。
【００１５】
また、本発明の充電装置は、上記した本発明のマイクロコンピュータ制御システムを備えたことを特徴とする。
【００１６】
また、本発明の太陽光電源システムは、上記した本発明のマイクロコンピュータ制御システム、特に安全装置を含むマイクロコンピュータ制御システムを備えたことを特徴とする。
【発明の効果】
【００１７】
本発明の好ましい形態によれば、マイクロコンピュータ制御システムに設けられた複数のマイクロコンピュータのうちのいずれかが、あるサブルーチンから抜け出せずにその処理を繰り返すような暴走状態に陥ったとしても、その暴走状態を認識して、当該マイクロコンピュータ制御システム全体の動作を停止したり、暴走状態のマイクロコンピュータが設けられているサブシステムの動作を停止したり、サブシステムと電源とを切り離したりすることができ、マイクロコンピュータ制御システムの安全性を高めることができる。さらに、暴走状態のマイクロコンピュータを初期状態へリセットすることができる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施の形態１におけるマイクロコンピュータ制御システムの構成図
【図２】本発明の実施の形態１における動作確認信号の一例を示す図
【図３】本発明の実施の形態１におけるマイコン間の通信の連係の一例を示す図
【図４】本発明の実施の形態１におけるマイコン間の通信の連係の一例を示す図
【図５】本発明の実施の形態１におけるマイコン間の通信の連係の一例を示す図
【図６】本発明の実施の形態２におけるマイクロコンピュータ制御システムの構成図
【図７】本発明の実施の形態２におけるマイクロコンピュータ制御システムの他例の構成図
【図８】本発明の実施の形態３における充電装置の構成図
【図９】本発明の実施の形態４におけるマイクロコンピュータ制御システムの構成図
【図１０】本発明の実施の形態５における充電装置の構成図
【図１１】本発明の実施の形態６におけるマイクロコンピュータ制御システムの構成図
【図１２】本発明の実施の形態７における充電装置の構成図
【図１３】本発明の実施の形態８におけるマイクロコンピュータ制御システムの構成図
【図１４】本発明の実施の形態９における充電装置の構成図
【図１５】本発明の実施の形態１０における充電装置の構成図
【図１６】本発明の実施の形態１１における太陽光電源システムの構成図
【発明を実施するための形態】
【００１９】
以下に、本発明の実施の形態について図面を交えて説明する。以下の各実施の形態では、異なる制御対象を制御する２つのマイクロコンピュータを備えたマイクロコンピュータ制御システムを例に説明するが、マイクロコンピュータの数は２台に限定されるものではない。
【００２０】
（実施の形態１）
本発明の実施の形態１におけるマイクロコンピュータ制御システムの構成図を図１に示す。図１に示すように、この実施の形態１におけるマイクロコンピュータ制御システム１は、第一のサブシステム２と、第二のサブシステム３と、このマイクロコンピュータ制御システム１全体を制御するシステム全体制御部４を備え、第一のサブシステム２は第一のマイクロコンピュータ５を、第二のサブシステム３は第二のマイクロコンピュータ６をそれぞれ備えている。以降、マイクロコンピュータをマイコンと称す。また、マイクロコンピュータ制御システム１をシステム全体１と称する場合がある。
【００２１】
マイコン５、６は、自己の動作状態を他方のマイコン６、５へ伝達するための動作確認信号Ａ１、Ａ２を発生する動作確認信号発生部７、８と、他方のマイコン６、５からの動作確認信号Ａ２、Ａ１を基に当該他方のマイコン６、５が暴走状態であるか否かを判定する動作状態判定制御部９、１０を備える。
【００２２】
動作確認信号Ａ１、Ａ２は、マイコン５、６の動作状態に応じた信号である。動作確認信号Ａ１、Ａ２にはパルス信号やシリアルコード信号を用いることができる。動作状態判定制御部９、１０は、他のマイコンからの動作確認信号を基に当該他のマイコンの動作状態を認識する動作状態認識部の一例である。
【００２３】
また、マイコン５、６は、動作確認信号Ａ１、Ａ２を他方のマイコン６、５へ送信するための動作確認信号出力端子１１、１２と、他方のマイコンからの動作確認信号Ａ２、Ａ１を受信するための動作確認信号入力端子１３、１４とを備えており、マイコン５の動作確認信号出力端子１１がマイコン６の動作確認信号入力端子１４に、マイコン６の動作確認信号出力端子１２がマイコン５の動作確認信号入力端子１３にそれぞれ接続されている。
【００２４】
なお、マイコン５、６間の通信方式によっては、動作確認信号出力端子１１、１２と動作確認信号入力端子１３、１４に代えて、マイコン５、６間で動作確認信号を送受信するための動作確認信号入出力端子をマイコン５、６に設けてもよい。
【００２５】
この実施の形態１において、動作状態判定制御部９、１０は、動作確認信号Ａ２、Ａ１を基に他方のマイコン６、５が暴走状態であると判定（認識）すると、システム全体１の動作を停止させる全体停止信号Ｂ１、Ｂ２を発生する。
【００２６】
マイコン５、６には、全体停止信号Ｂ１、Ｂ２を送信するための全体停止信号出力端子１５、１６が設けられており、全体停止信号出力端子１５、１６は共にシステム全体制御部４に接続されている。全体停止信号Ｂ１、Ｂ２は、全体停止信号出力端子１５、１６を介してシステム全体制御部４へ送信される。システム全体制御部４は、全体停止信号Ｂ１、Ｂ２のうちのいずれか一方を受信すると、システム全体１の動作を停止させる。
【００２７】
また、動作状態判定制御部９、１０は、動作確認信号Ａ２、Ａ１を基に他方のマイコン６、５が暴走状態であると判定すると、他方のマイコン６、５を初期状態へリセットするリセット信号Ｃ１、Ｃ２を発生する。
【００２８】
マイコン５、６には、リセット信号Ｃ１、Ｃ２を送信するためのリセット信号出力端子１７、１８と、他方のマイコン６、５からのリセット信号Ｃ２、Ｃ１を受信するためのリセット信号入力端子（図示せず）とが設けられており、マイコン５のリセット信号出力端子１７がマイコン６のリセット信号入力端子に、マイコン６のリセット信号出力端子１８がマイコン５のリセット信号入力端子にそれぞれ接続されている。リセット信号Ｃ１、Ｃ２は、リセット信号出力端子１７、１８を介して、他方のマイコン６、５のリセット信号入力端子へ送信される。
【００２９】
マイコン５、６は、自己の状態を初期状態へ戻すリセット部１９、２０を備えており、リセット部１９、２０は、リセット信号入力端子を介して他方のマイコン６、５からのリセット信号Ｃ２、Ｃ１を受信すると、マイコン５、６の状態を初期状態へ戻す。
【００３０】
続いて、動作確認信号について説明する。動作確認信号には例えばパルス信号を採用することができる。マイコンの動作状態をパルス信号で他のマイコンへ伝達するために、例えば、複数の通常処理を一定の順序で繰り返すマイコンのプログラムに、各通常処理が終了したときにフラグを立てる命令を追加する。さらに、マイコンのプログラムに、全通常処理が一巡するごとに、フラグ群を確認し、全フラグが立っていれば、パルスを発生させた後にフラグ群をリセットし、全フラグのうちの一部でも立っていなければ、パルスを発生させずにフラグ群をリセットする命令を追加する。そして、フラグ群のリセット終了後に通常の処理が再開されるようにプログラムを構築する。
【００３１】
このようにすれば、マイコンが正常に動作している場合には、全通常処理が一巡するごとにパルスが発生する。一方、マイコンが暴走状態になると、パルスが発生しないときがあるため、その暴走状態を他のマイコンで認識することができる。例えば、受信したパルスの周期が予め定めた許容範囲以内であるか否かで、暴走状態の有無を判定することができる。
【００３２】
また例えば、前記したフラグ群の確認処理、パルスの発生／不発生の処理およびフラグ群のリセット処理を、先頭の通常処理の開始から所定の時間ごとにタイマ割り込みにより実行させて、このタイマ割り込み処理の後に先頭の通常処理を開始するようにしてもよい。なお、所定の時間は、全ての通常処理に要する時間よりも長い時間に設定する。
【００３３】
このようにすれば、フラグ群を確認する処理が実行される時点で全ての通常処理が終了している場合にはパルスが発生するが、そうでない場合にはパルスが発生しないので、例えば、受信したパルスの周期が予め設定した時間より長いか否かで、暴走状態の有無を判定することができる。さらに、一つの通常処理に要する時間が想定以上に長くなるような暴走にも対応することが可能となる上、暴走状態になるとパルスの周期が２倍以上変動するので、暴走状態の有無を容易に判定できるようになる。
【００３４】
また例えば、各通常処理を時間分割してもよい。例えば、各通常処理に予めカウント値を割り当てておき、先頭の通常処理の開始からタイマにてカウントを開始し、当該通常処理がそれに割り当てられたカウント値までに終了しないときには、当該通常処理のフラグを立てないようにしてもよい。前記したフラグ群の確認処理、パルスの発生／不発生の処理およびフラグ群のリセット処理は、タイマ割り込みにより実行させる。
【００３５】
このようにすれば、フラグ群を確認する処理が実行される時点で全ての通常処理が終了していても、予め想定した時間内に終了していない通常処理が存在する場合にはパルスが発生しないため、より正確に暴走の有無を判定することができる。
【００３６】
また、このように各通常処理を時間分割する場合、フラグが立っていない限り次の通常処理へ移行しないようにすれば、緊急処理の即時性を確保できる上、通常処理の順序を管理することもできる。
【００３７】
なお、通常処理を複数のグループに分けておき、各グループの終了ごとに、前記したフラグ群の確認処理、パルスの発生／不発生の処理およびフラグ群のリセット処理を実行させてもよい。
【００３８】
また、パルスの周期を確認して暴走状態の有無を判定する際には、パルスの１周期分に対応させた時間を用いてもよいが、動作確認信号へのノイズの影響による誤判定が生じないように、パルスの２周期分以上に対応させた時間を用いるのが好適である。パルスの２周期分に対応させた時間を用いて暴走の有無を判定する場合の動作確認信号（パルス信号）の一例を図２に示す。
【００３９】
図２において、破線部Ｄは通常動作時の動作確認信号を、破線部Ｅはノイズの影響によってパルスが１周期分発生していない状態の動作確認信号を、破線部Ｆはパルスが２周期分発生していない状態の動作確認信号をそれぞれ示している。パルスの２周期分に対応させた時間を用いて暴走の有無を判定する場合、動作確認信号が破線部Ｄ、Ｅの状態ではマイコンが暴走しているとは判定されず、破線部Ｅの状態で暴走状態であると判定される。
【００４０】
また、暴走状態の有無の判定方法は、パルスの周期を確認する方法に限定されるものではなく、例えば、予め定めた周期ごとにパルスの数をカウントし、そのカウント数によってマイコンが暴走しているか否かを判定してもよい。
【００４１】
また、ここでは、正常動作時に、全通常処理が終了すると信号レベルがＬレベルからＨレベルへ遷移し、先頭の通常処理が開始される前に信号レベルがＨレベルからＬレベルへ遷移するパルス信号を発生させる場合について説明したが、その逆に、全通常処理が終了すると信号レベルがＨレベルからＬレベルへ遷移し、先頭の通常処理が開始される前に信号レベルがＬレベルからＨレベルへ遷移するパルス信号を発生させてもよい。
【００４２】
また、動作確認信号としてパルス信号を発生させる場合について説明したが、例えば、フラグ群の確認処理後、パルス信号に代えてシリアルコード信号を発生させてもよい。なお、シリアル通信は、Ｉ２ＣやＵＡＲＴや３線式シリアルなどの既知の技術で実現することができる。
【００４３】
動作確認信号としてシリアルコード信号を採用する場合には、例えば、全フラグが立っているか否かによって異なるコードを示すシリアルコード信号を発生させればよい。その２種類のコードは例えばテーブルを参照して発生させてもよい。
【００４４】
また例えば、受信したシリアルコードに応じて、送信するシリアルコードを変化させてもよい。例えば、受信したシリアルコードを演算した結果を送信するようにする。具体的には、先に処理を開始したマイコンから‘０’を示すシリアルコードを受信すると、‘１’を示すシリアルコードを送信し、‘１’を示すシリアルコードを受信すると、‘２’を示すシリアルコードを送信し、‘２’を示すシリアルコードを受信すると、‘３’を示すシリアルコードを送信するなどすればよい。このようにすれば、相手のマイコンから予定のコードを受信できなかったときに、その相手のマイコンが暴走状態であると判定できる。
【００４５】
さらに、相手のマイコンから予定のコードを受信できなかったときに、その相手のマイコンが暴走状態であると直ちに判定するのではなく、所定のコードを送信し、その所定のコードを演算した結果を示すシリアルコードを受信できるか否かで暴走状態の有無を判定してもよい。このようにすれば、動作確認信号へのノイズの影響による誤判定の発生を抑制することができる。なお、予定のコードを受信できなかったときに所定のコードを送信する処理を続ける回数は１回に限定されるものではなく、複数回続けてもよい。
【００４６】
また例えば、全てのフラグが立っている状態が続くときには、シリアルコードを発生させる度にコードを変化させてもよい。このようにすれば、暴走状態の有無の判定の確からしさを向上させることができる。
【００４７】
また例えば、フラグ群の状態に応じたコードとなるシリアルコードを発生させてもよい。このようにすれば、どの処理に不具合があったかを認識することができる。
【００４８】
続いて、この実施の形態１におけるマイコン制御システム１の動作について、動作確認信号がパルス信号である場合を例に説明する。例えば第二のマイコン６が暴走した場合、第二のマイコン６の動作確認信号発生部８からはパルスが発生せず、第一のマイコン５の動作状態判定制御部９は、第二のマイコン６から受信するパルスの周期を確認するなどして、第二のマイコン６が暴走状態であると判定し、全体停止信号Ｂ１とリセット信号Ｃ１を発生する。
【００４９】
全体停止信号Ｂ１は、第一のマイコン５の全体停止信号出力端子１５を介してシステム全体制御部４に送信される。システム全体制御部４は、第一のマイコン５から全体停止信号Ｂ１を受信すると、システム全体１の動作を停止させる。
【００５０】
一方、リセット信号Ｃ１は、第一のマイコン５のリセット信号出力端子１７を介して第二のマイコン６へ送信される。第二のマイコン６のリセット部２０は、第一のマイコン５からリセット信号Ｃ１を受信すると、第二のマイコン６を初期状態へリセットする。
【００５１】
こうように、第二のマイコン６が暴走した場合、第二のマイコン６を初期状態に戻すと共に、システム全体１の動作を停止することができる。第一のマイコン５が暴走した場合も、第二のマイコン６が暴走した場合と同様の動作となる。
【００５２】
続いて、第一のマイコン５と第二のマイコン６の処理の連係について、動作確認信号Ａ１、Ａ２がパルス信号である場合を例に説明する。例えば、両マイコン５、６が共に、他方のマイコン６、５からのパルスの受信処理を実行した後に、通常の処理を実行し、フラグ群を確認することで自己の動作状態を確認し、パルスの発生／不発生の処理およびフラグ群のリセット処理を行うようにしてもよい。つまり、第一のマイコン５と第二のマイコン６が交互に処理を実行するようにしてもよい。
【００５３】
この通信の連係の一例を図３に示す。図３において、ＲＸはパルスの受信処理を、ＴＸはパルスの送信処理を示している。図３に示すように、マイコン５、６は、他方のマイコン６、５からのパルスの受信処理ＲＸを実行した後、通常の処理を実行してからパルスの送信処理ＴＸを実行する。また、マイコン５、６は、パルスの送信処理ＴＸを実行した後、他方のマイコン６、５からのパルスの受信処理ＲＸを実行するまでは通常の処理を実行することなく待機する。なお、パルスの受信処理ＲＸは、タイマ割り込みで所定の時間ごとに実行する。
【００５４】
但し、このように第一のマイコン５と第二のマイコン６が交互に処理を実行する場合、図３から明らかなように待機時間が発生する。そこで、例えば、一方のマイコンにおいては、パルスの受信処理後に直ちにパルスの送信処理を実行するようにしてもよい。このようにすれば、第一のマイコン５と第二のマイコン６が通常の処理を同時に実行することができる。
【００５５】
この通信の連係の一例を図４に示す。図４において、ＲＸはパルスの受信処理を、ＴＸはパルスの送信処理を示している。図４に示すように、第一のマイコン５は、第二のマイコン６からのパルスの受信処理ＲＸを実行した後、直ちにパルスの送信処理ＴＸを実行してから、通常の処理を実行する。一方、第二のマイコン６は、第一のマイコン５からのパルスの受信処理ＲＸを実行してからパルスの送信処理ＴＸを実行するまでの間、通常の処理を実行する。
【００５６】
但し、このように、一方のマイコンにおいて、パルスの受信処理後に直ちにパルスの送信処理を実行する場合、図４に示すように、第二のマイコン６は、第一のマイコン５がパルスの受信処理ＲＸを実行してからパルスの送信処理ＴＸを実行するまでの間、待機状態となる。そこで、例えば、一方のマイコンにおいても、パルスの受信処理の実行後、直ちにパルスの送信処理を実行するのではなく、パルスの受信処理を実行した後、通常の処理を実行してからパルスの送信処理を実行するようにしてもよい。このようにすれば、両マイコン５、６とも、待機時間を抑制することができる。
【００５７】
この通信の連係の一例を図５に示す。図５において、ＲＸはパルスの受信処理を、ＴＸはパルスの送信処理を示している。なお、図５に示すように、パルスの受信処理ＲＸとパルスの送信処理ＴＸとの間の間隔を変化させてもよい。
【００５８】
以上のように、実施の形態１においては、第一のマイコン５と第二のマイコン６が相互に動作状態を監視し、その監視結果によって、暴走したマイコンをリセットすると共にシステム全体１の動作を停止させることができ、システム全体１の安全性を高めることができる。
【００５９】
なお、第一のマイコン５と第二のマイコン６が共に、各通常処理の終了ごとにフラグを立て、そのフラグ群を確認することで自己の動作状態を確認する場合について説明したが、一方のマイコンにおける自己の動作状態の確認処理を簡素化することもできる。
【００６０】
例えば、第二のマイコン６を簡素化する場合、第一のマイコン５が暴走状態であるか否かを判定する処理のみに基づいて動作確認信号Ａ２を生成するようにしてもよい。あるいは、動作確認信号としてシリアルコード信号を用いる場合において、受信したシリアルコードを演算した結果を送信するときには、そのシリアルコードの演算処理のみに基づいて動作確認信号Ａ２を生成するようにしてもよい。
【００６１】
（実施の形態２）
続いて、本発明の実施の形態２について説明する。但し、前記の実施の形態１と異なる点を中心に説明し、前記の実施の形態１で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【００６２】
本発明の実施の形態２におけるマイクロコンピュータ制御システムの構成図を図６に示す。なお、前記の実施の形態１で説明した要素に対応する要素については同じ符号を付している。
【００６３】
この実施の形態２におけるマイクロコンピュータ制御システムは、動作状態判定制御部９、１０が、動作確認信号Ａ２、Ａ１を基に他方のマイコン６、５が暴走状態であると判定（認識）したときに、全体停止信号Ｂ１、Ｂ２とリセット信号Ｃ１、Ｃ２に加えて、リセット防止信号Ｇ１、Ｇ２を発生する点が、前記した実施の形態１と異なる。
【００６４】
第一のマイコン５において発生するリセット防止信号Ｇ１は、第一のマイコン５が初期状態へリセットされることを防止する信号であり、第一のマイコン５のリセット部１９へ送信される。一方、第二のマイコン６において発生するリセット防止信号Ｇ２は、第二のマイコン６が初期状態へリセットされることを防止する信号であり、第二のマイコン６のリセット部２０へ送信される。
【００６５】
第一のマイコン５のリセット部１９は、動作状態判定制御部９からリセット防止信号Ｇ１を受信すると動作不可状態となる。同様に、第二のマイコン６のリセット部２０は、動作状態判定制御部１０からリセット防止信号Ｇ２を受信すると動作不可状態となる。
【００６６】
続いて、この実施の形態２におけるマイコン制御システム１の動作について説明する。例えば第二のマイコン６が暴走した場合、第一のマイコン５の動作状態判定制御部９は、動作認識信号Ａ２を基に第二のマイコン６が暴走状態であると判定し、全体停止信号Ｂ１、リセット信号Ｃ１およびリセット防止信号Ｇ１を発生する。
【００６７】
そして、システム全体制御部４が、第一のマイコン５から全体停止信号Ｂ１を受信してシステム全体１の動作を停止させ、第二のマイコン６のリセット部２０が、第一のマイコン５からリセット信号Ｃ１を受信して、第二のマイコン６を初期状態へリセットする。さらに、第一のマイコン５のリセット部１９が、動作状態判定制御部９からリセット防止信号Ｇ１を受信して動作不可状態となる。
【００６８】
したがって、暴走状態である第二のマイコン６から誤ってリセット信号Ｃ２が送信された場合であっても、第一のマイコン５のリセット部１９は第一のマイコン５を誤って初期状態へリセットしないので、第一のマイコン５を保護することができる。第一のマイコン５が暴走した場合も、第二のマイコン６が暴走した場合と同様の動作となる。
【００６９】
リセット防止信号としては、例えば、リセット部がＬレベルの電圧信号を受信したときにリセット動作を行う仕様の場合には、Ｈレベルの電圧信号を用いればよい。逆に、リセット部がＨレベルの電圧信号を受信したときにリセット動作を行う仕様の場合には、リセット防止信号としてＬレベルの電圧信号を用いればよい。
【００７０】
以上のように、この実施の形態２においては、第一のマイコン５と第二のマイコン６が相互に動作状態を監視し、その監視結果によって、暴走したマイコンをリセットすると共にシステム全体１の動作を停止させることができる上、暴走したマイコンによって、正常に動作しているマイコンがリセットされる誤動作を回避することができ、システム全体１の安全性を高めることができる。
【００７１】
すなわち、前記の実施の形態１では、マイコンやシステム自体のノイズ特性や使用環境によっては、マイコンが暴走してその動作状態が不安定になった場合に、誤ってリセット信号を発生してしまい、正常に動作しているマイコンがリセットされて、暴走したマイコンのリセット及びシステム全体１の動作の停止ができなくなるおそれがある。
【００７２】
これに対して、この実施の形態２においては、一方のマイコンが他方のマイコンの暴走を認識したときに、当該一方のマイコンのリセット動作を防止するリセット防止信号を発生するので、正常に動作しているマイコンが誤ってリセットされて、暴走したマイコンのリセット及びシステム全体１の動作の停止ができなくなることを回避することができる。
【００７３】
なお、リセット防止信号としてＨレベルまたはＬレベルの電圧信号をリセット部へ送信する場合について説明したが、プログラム的にリセット動作を無効にしてもよい。例えば、リセット部にリセット動作をさせないようにする制御プログラムを別途準備して、その制御プログラムの格納部にリセット信号が入力されると制御プログラムが動作して、リセット部を動作不可状態にするようにしてもよい。
【００７４】
また、マイコンの外部に保護回路を別途設けて、リセット部にリセット動作をさせないようにしてもよい。例えば、図７に示すように、マイコン５、６の各々にリセット防止信号Ｇ１、Ｇ２を送信するためのリセット防止信号出力端子２１、２２を設け、マイコン５、６の各々の外部にリセット阻止部２３、２４を設けるとともに、リセット防止信号出力端子２１、２２とリセット阻止部２３、２４を接続してもよい。
【００７５】
この場合、マイコン５、６から発生するリセット防止信号Ｇ１、Ｇ２は、リセット阻止部２３、２４を操作して、他方のマイコン６、５からのリセット信号Ｃ２、Ｃ１がマイコン５、６のリセット部１９、２０へ伝送されることを阻止し、マイコン５、６が初期状態へリセットされることを防止する。リセット阻止部２１、２２は、例えばスイッチ素子などで実現することができる。
【００７６】
（実施の形態３）
続いて、本発明の実施の形態３について説明する。なお、前記の実施の形態１および２で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【００７７】
本発明の実施の形態３における充電装置の構成図を図８に示す。この充電装置２５には、前記の実施の形態２におけるマイクロコンピュータ制御システムが適用されている。図８において、前記の実施の形態１および２で説明した要素に対応する要素には同じ符号を付している。
【００７８】
この充電装置２５はＡＣ／ＤＣコンバータであり、交流電源である駆動電源２６と、充電対象であるバッテリー２７に接続されている。充電装置２５は、駆動電源２６からの交流電圧を直流電圧に変換し、その変換後の直流電圧でバッテリー２７を充電する。
【００７９】
また、この実施の形態３において、充電装置２５であるＡＣ／ＤＣコンバータには、２台のマイコン５、６が搭載されており、ＡＣ／ＤＣコンバータの機能を２台のマイコン５、６に分散させた構成となっている。
【００８０】
すなわち、充電装置２５は、この充電装置２５の動作を制御する動作制御部２８と、充電装置２５からバッテリー２７へ供給する充電電流を制御する電流制御部２９と、充電装置２５の入出力状態を制御する入出力制御部３０を備えている。
【００８１】
ここで、充電装置２５は前記の実施の形態２におけるシステム全体１に、動作制御部２８は前記の実施の形態２における第一のサブシステム２に、電流制御部２９は前記の実施の形態２における第二のサブシステム３にそれぞれ相当する。つまり、動作制御部２８には第一のマイコン５が搭載されており、電流制御部２９には第二のマイコン６が搭載されている。
【００８２】
また、入出力制御部３０は、前記の実施の形態２におけるシステム全体制御部４に相当する停止部３１を備える。この停止部３１は、マイコン５、６から発生する全体停止信号Ｂ１、Ｂ２のうちのいずれか一方を受信すると、充電装置２５の動作を停止させる。
【００８３】
以上のように充電装置を構成することにより、動作制御部２８と電流制御部２９に搭載された第一のマイコン５と第二のマイコン６のいずれかが暴走したときに、暴走したマイコンをリセットすると共に充電装置の動作を停止させることができる上、暴走したマイコンによって正常に動作しているマイコンがリセットされる誤動作を回避することができる。
【００８４】
例えばフォークリフト用バッテリーなどの大容量のバッテリー用の充電装置には２０［ｍＡ］という大電流が流れるため、マイコンが暴走した場合、速やかにその充電装置の動作を停止しないと火災が発生する可能性がある。これに対して、この実施の形態３においては、暴走したマイコンを速やかに停止することができ、充電装置の安全性を高めることができる。
【００８５】
なお、この実施の形態３においては、前記の実施の形態２におけるマイクロコンピュータ制御システムを充電装置に適用した場合について説明したが、前記の実施の形態１におけるマイクロコンピュータ制御システムを充電装置に適用してもよい。
【００８６】
（実施の形態４）
続いて、本発明の実施の形態４について説明する。但し、前記の実施の形態１と異なる点を中心に説明し、前記の実施の形態１ないし３で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【００８７】
本発明の実施の形態４におけるマイクロコンピュータ制御システムの構成図を図９に示す。なお、前記の実施の形態１で説明した要素に対応する要素については同じ符号を付している。
【００８８】
この実施の形態４におけるマイクロコンピュータ制御システムは、システム全体１を制御するシステム全体制御部に代えて、サブシステム２、３にサブシステム全体制御部３２、３３が設けられ、マイコン５、６に全体停止信号出力端子に代えて個別停止信号出力端子３４、３５が設けられており、さらに動作状態判定制御部９、１０が全体停止信号に代えて個別停止信号Ｈ１、Ｈ２を発生する点が、前記した実施の形態１と異なる。
【００８９】
詳しくは、サブシステム全体制御部３２はサブシステム２全体の動作を制御し、サブシステム全体制御部３３は、サブシステム３全体の動作を制御する。動作状態判定制御部９、１０は、動作確認Ａ２、Ａ１を基に他方のマイコン６、５が暴走状態であると判定（認識）すると、サブシステムの動作を停止させる個別停止信号Ｈ１、Ｈ２を発生する。個別停止信号出力端子３４、３５は共に、サブシステム全体制御部３２およびサブシステム全体制御部３３に接続しており、個別停止信号Ｈ１、Ｈ２をサブシステム全体制御部３２およびサブシステム全体制御部３３に送信する。サブシステム全体制御部３２、３３は、個別停止信号Ｈ１、Ｈ２のうちのいずれか一方を受信すると、サブシステム２、３の動作を停止させる。
【００９０】
以上説明した構成により、この実施の形態４におけるマイクロコンピュータ制御システムにおいても、前記の実施の形態１と同様に、第一のマイコン５と第二のマイコン６が相互に動作状態を監視し、その監視結果によって、暴走したマイコンをリセットすると共にシステム全体１の動作を停止させることができ、システム全体１の安全性を高めることができる。なお、この実施の形態４におけるマイクロコンピュータ制御システムに、前記の実施の形態２において説明したリセット誤動作防止機能を搭載させてもよい。
【００９１】
（実施の形態５）
続いて、本発明の実施の形態５について説明する。なお、前記の実施の形態１ないし４で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【００９２】
本発明の実施の形態５における充電装置の構成図を図１０に示す。この充電装置３６には、前記の実施の形態４におけるマイクロコンピュータ制御システムが適用されている。図１０において、前記の実施の形態１ないし４で説明した要素に対応する要素には同じ符号を付している。
【００９３】
この実施の形態５において、充電装置３６は、交流電圧を直流電圧に変換するＡＣ／ＤＣコンバータ３７と、ＡＣ／ＤＣコンバータ３７により変換された直流電圧を所望の電圧値に変換するＤＣ／ＤＣコンバータ３８とから構成されており、ＡＣ／ＤＣコンバータ３７の入力側に交流電源である駆動電源２６が、ＤＣ／ＤＣコンバータ３８の出力側に充電対象のバッテリー２７がそれぞれ接続されている。したがって、ＤＣ／ＤＣコンバータ３８により変換された直流電圧でバッテリー２７が充電される。
【００９４】
また、ＡＣ／ＤＣコンバータ３７は、交流電圧を直流電圧に変換する回路であるＡＣ／ＤＣコンバータ主回路３９と、ＡＣ／ＤＣコンバータ主回路３９の変換動作を制御するＡＣ／ＤＣコンバータ主回路駆動制御部４０を備える。
【００９５】
また、ＤＣ／ＤＣコンバータ３８は、ＡＣ／ＤＣコンバータ３７により変換された直流電圧を所望の電圧値に変換する回路であるＤＣ／ＤＣコンバータ主回路４１と、ＤＣ／ＤＣコンバータ主回路４１の変換動作を制御するＤＣ／ＤＣコンバータ主回路駆動制御部４２を備える。
【００９６】
ここで、充電装置３６は前記の実施の形態４におけるシステム全体１に、ＡＣ／ＤＣコンバータ３７は前記の実施の形態４における第一のサブシステム２に、ＤＣ／ＤＣコンバータ３８は前記の実施の形態４における第二のサブシステム３にそれぞれ相当しており、ＡＣ／ＤＣコンバータ主回路３９に第一のマイコン５が、ＤＣ／ＤＣコンバータ主回路４１に第二のマイコン６がそれぞれ搭載されている。
【００９７】
また、ＡＣ／ＤＣコンバータ主回路駆動制御部４０は前記の実施の形態４におけるサブシステム全体制御部３２に相当する停止部４３を備え、ＤＣ／ＤＣコンバータ主回路駆動制御部４２は前記の実施の形態４におけるサブシステム全体制御部３３に相当する停止部４４を備える。停止部４３は、マイコン５、６から発生する個別停止信号Ｈ１、Ｈ２のうちのいずれか一方を受信すると、ＡＣ／ＤＣコンバータ３７の動作を停止させる。同様に、停止部４４は、マイコン５、６から発生する個別停止信号Ｈ１、Ｈ２のうちのいずれか一方を受信すると、ＤＣ／ＤＣコンバータ３８の動作を停止させる。
【００９８】
以上のように充電装置を構成することにより、ＡＣ／ＤＣコンバータ３７とＤＣ／ＤＣコンバータ３８に搭載された第一のマイコン５と第二のマイコン６のいずれかが暴走したときに、暴走したマイコンをリセットすると共に充電装置の動作を停止させることができ、充電装置の安全性を高めることができる。
【００９９】
（実施の形態６）
続いて、本発明の実施の形態６について説明する。但し、前記の実施の形態４と異なる点を中心に説明し、前記の実施の形態１ないし５で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【０１００】
本発明の実施の形態６におけるマイクロコンピュータ制御システムの構成図を図１１に示す。なお、前記の実施の形態１ないし５で説明した要素に対応する要素については同じ符号を付している。
【０１０１】
この実施の形態６におけるマイクロコンピュータ制御システムは、第一のマイコン５の動作状態判定制御部９が発生する個別停止信号Ｈ１が、サブシステム３に設けられたサブシステム全体制御部３３にのみ送信される点が、前記した実施の形態４と異なる。
【０１０２】
以上説明した構成により、この実施の形態６におけるマイクロコンピュータ制御システムにおいては、第一のマイコン５が暴走したときには、暴走したマイコン５が搭載された第一のサブシステム２のみならず、正常に動作しているマイコン６が搭載された第二のサブシステム３の動作も停止して、システム全体１の動作が停止する。一方、第二のマイコン６が暴走したときには、暴走したマイコン６が搭載された第二のサブシステム３の動作のみが停止する。したがって、暴走したマイコンが搭載されたシステムの重要度や危険性に応じて、動作を停止させる部分を必要最低限度に抑えることができ、システム全体１の安全性と効率性を高めることができる。なお、この実施の形態６におけるマイクロコンピュータ制御システムに、前記の実施の形態２において説明したリセット誤動作防止機能を搭載させてもよい。
【０１０３】
（実施の形態７）
続いて、本発明の実施の形態７について説明する。なお、前記の実施の形態１ないし６で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【０１０４】
本発明の実施の形態７における充電装置の構成図を図１２に示す。この充電装置３６には、前記の実施の形態６におけるマイクロコンピュータ制御システムが適用されている。図１２において、前記の実施の形態１ないし６で説明した要素に対応する要素には同じ符号を付している。
【０１０５】
この実施の形態７における充電装置は、ＡＣ／ＤＣコンバータ３７に設けられた第一のマイコン５が発生する個別停止信号Ｈ１が、ＤＣ／ＤＣコンバータ３８に設けられた停止部４４にのみ送信される点が、前記した実施の形態５と異なる。
【０１０６】
以上のように充電装置を構成することにより、ＡＣ／ＤＣコンバータ３７に搭載された第一のマイコン５が暴走したときには、ＡＣ／ＤＣコンバータ３７とＤＣ／ＤＣコンバータ３８の動作を停止させることができる。すなわち、充電装置の動作を停止させることができる。一方、ＤＣ／ＤＣコンバータ３８に搭載された第二のマイコン６が暴走したときには、ＤＣ／ＤＣコンバータ３８の動作のみを停止させることができる。
【０１０７】
このような構成としたのは、次の理由による。すなわち、ＡＣ／ＤＣインバータ３７に搭載した第一のマイコン５が暴走した場合は、ＡＣ／ＤＣインバータ３７が暴走して、ＡＣ／ＤＣコンバータ３７により変換された直流電圧が異常に大きくなってＤＣ／ＤＣコンバータ３８に入力され、ＤＣ／ＤＣコンバータ３８を構成する電子部品、特にＤＣ／ＤＣコンバータ主回路４１を構成するダイオード等が破壊されてしまうことがある。したがって、第一のマイコン５が暴走した場合は、ＡＣ／ＤＣコンバータ３７とＤＣ／ＤＣコンバータ３８の両方の動作を停止させなくてはならない。一方、ＤＣ／ＤＣコンバータ３８に搭載した第二のマイコン６が暴走した場合は、そのことによるＡＣ／ＤＣコンバータ３７への影響はないので、ＡＣ／ＤＣコンバータ３７の動作を停止させる必要はない。第二のマイコン６が暴走した場合は、ＤＣ／ＤＣコンバータ３７の動作のみを停止させればよい。
【０１０８】
この実施の形態７によれば、暴走したマイコンによって、動作を停止させる部分を必要最低限度に抑制することができ、充電装置の安全性を高めた上で、システムの効率化を図ることができる。
【０１０９】
（実施の形態８）
続いて、本発明の実施の形態８について説明する。但し、前記の実施の形態１と異なる点を中心に説明し、前記の実施の形態１ないし７で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【０１１０】
本発明の実施の形態８におけるマイクロコンピュータ制御システムの構成図を図１３に示す。なお、前記の実施の形態１で説明した要素に対応する要素については同じ符号を付している。
【０１１１】
この実施の形態８におけるマイクロコンピュータ制御システムは、システム全体１を制御するシステム全体制御部に代えて、サブシステム２およびサブシステム３を電源および負荷の少なくとも一方から電気的に切り離すための安全装置４５が設けられ、マイコン５、６に全体停止信号出力端子に代えて操作信号出力端子４６、４７が設けられており、さらに動作状態判定制御部９、１０が全体停止信号に代えて、安全装置４５を操作する操作信号Ｉ１、Ｉ２を発生する点が、前記した実施の形態１と異なる。
【０１１２】
詳しくは、動作状態判定制御部９、１０は、動作確認Ａ２、Ａ１を基に他方のマイコン６、５が暴走状態であると判定（認識）すると操作信号Ｉ１、Ｉ２を発生する。操作信号出力端子４６、４７は共に安全装置４５に接続しており、操作信号Ｉ１、Ｉ２を安全装置４５に送信する。安全装置４５は、操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると、サブシステム２およびサブシステム３を電源および負荷の少なくとも一方から電気的に切り離す。
【０１１３】
安全装置４５には、例えば、通常はショート状態で、操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると開放状態になるスイッチ素子などを用いることができる。その他、通常は導通状態で、操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると切断状態になるヒューズなどを用いることもできる。
【０１１４】
続いて、この実施の形態８におけるマイコン制御システム１の動作について説明する。例えば第二のマイコン６が暴走した場合、第一のマイコン５の動作状態判定制御部９は、動作認識信号Ａ２を基に第二のマイコン６が暴走状態であると判定し、操作信号Ｉ１とリセット信号Ｃ１を発生する。
【０１１５】
そして、安全装置４５が、第一のマイコン５から操作信号Ｉ１を受信して、サブシステム２およびサブシステム３を電源および負荷の少なくとも一方から電気的に切り離し、第二のマイコン６のリセット部２０が、第一のマイコン５からリセット信号Ｃ１を受信して、第二のマイコン６を初期状態へリセットする。
【０１１６】
このように、第二のマイコン６が暴走した場合、第二のマイコン６を初期状態に戻すと共に、サブシステム２およびサブシステム３を電源および負荷の少なくとも一方から電気的に切り離すことができる。第一のマイコン５が暴走した場合も、第二のマイコン６が暴走した場合と同様の動作となる。
【０１１７】
以上のように、この実施の形態８においては、第一のマイコン５と第二のマイコン６が相互に動作状態を監視し、その監視結果によって、暴走したマイコンをリセットすると共に、サブシステム２およびサブシステム３を電源および負荷の少なくとも一方から電気的に切り離すことができる。なお、この実施の形態８におけるマイクロコンピュータ制御システムに、前記の実施の形態２において説明したリセット誤動作防止機能を搭載させてもよい。
【０１１８】
（実施の形態９）
続いて、本発明の実施の形態９について説明する。なお、前記の実施の形態１ないし８で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【０１１９】
本発明の実施の形態９における充電装置の構成図を図１４に示す。この充電装置４８には、前記の実施の形態８におけるマイクロコンピュータ制御システムが適用されている。図１４において、前記の実施の形態１ないし８で説明した要素に対応する要素には同じ符号を付している。
【０１２０】
この充電装置４８は、ＡＣ／ＤＣコンバータ４９と安全装置４５とを備え、ＡＣ／ＤＣコンバータ４９の入力側が、交流電源である駆動電源２６に安全装置４５を介して接続し、ＡＣ／ＤＣコンバータ４９の出力側が、充電対象であるバッテリー２７に接続している。充電装置４９は、駆動電源２６からの交流電圧をＡＣ／ＤＣコンバータ４９により直流電圧に変換し、その変換後の直流電圧でバッテリー２７を充電する。
【０１２１】
また、ＡＣ／ＤＣコンバータ４９には、前記の実施の形態３と同様に２台のマイコン５、６が搭載されており、ＡＣ／ＤＣコンバータの機能を２台のマイコン５、６に分散させた構成となっている。
【０１２２】
ここで、充電装置４８は前記の実施の形態８におけるシステム全体１に、ＡＣ／ＤＣコンバータ４９の動作制御部２８は前記の実施の形態８における第一のサブシステム２に、ＡＣ／ＤＣコンバータ４９の電流制御部２９は前記の実施の形態８における第二のサブシステム３にそれぞれ相当する。つまり、動作制御部２８には第一のマイコン５が搭載されており、電流制御部２９には第二のマイコン６が搭載されている。
【０１２３】
安全装置４５は、マイコン５、６から発生する操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると、ＡＣ／ＤＣコンバータ４９を駆動電源２６から電気的に切り離す。
【０１２４】
以上のように充電装置を構成することにより、動作制御部２８と電流制御部２９に搭載された第一のマイコン５と第二のマイコン６のいずれかが暴走したときに、暴走したマイコンをリセットすると共に、ＡＣ／ＤＣコンバータ４９を駆動電源２６から電気的に切り離すことができる。
【０１２５】
例えばフォークリフト用バッテリーなどの大容量のバッテリー用の充電装置には２０［ｍＡ］という大電流が流れるため、マイコンが暴走した場合、充電装置と電源とを速やかに切り離さないと、火災が発生する可能性がある。これに対して、この実施の形態９においては、マイコンが暴走した場合に、ＡＣ／ＤＣコンバータを電源から速やかに切り離すことができ、充電装置の安全性を高めることができる。
【０１２６】
なお、ＡＣ／ＤＣコンバータ４９の出力側を、安全装置４５を介して負荷であるバッテリー２７に接続してもよい。このようにすれば、マイコンが暴走した場合に、充電装置を電源のみならずバッテリー２７からも電気的に切り離すことができ、安全性をより高めることができる。
【０１２７】
また、この実施の形態９では、ＡＣ／ＤＣコンバータ４９の入力側に安全装置４５を配置する場合について説明したが、安全装置４５をＡＣ／ＤＣコンバータ４９の出力側にのみ接続してもよい。このようにしても、マイコンが暴走した場合に、充電装置を負荷であるバッテリー２７から電気的に切り離すことができ、安全性を高めることができる。
【０１２８】
（実施の形態１０）
続いて、本発明の実施の形態１０について説明する。なお、前記の実施の形態１ないし９で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【０１２９】
本発明の実施の形態１０における充電装置の構成図を図１５に示す。この充電装置３６には、前記の実施の形態８におけるマイクロコンピュータ制御システムが適用されている。図１５において、前記の実施の形態１ないし９で説明した要素に対応する要素には同じ符号を付している。
【０１３０】
この実施の形態１０において、充電装置は、安全装置４５と、ＡＣ／ＤＣコンバータ３７と、ＤＣ／ＤＣコンバータ３８とから構成されており、ＡＣ／ＤＣコンバータ３７の入力側に交流電源である駆動電源２６が安全装置４５を介して接続しており、ＤＣ／ＤＣコンバータ３８の出力側に充電対象のバッテリー２７が接続している。
【０１３１】
ここで、充電装置３６は前記の実施の形態８におけるシステム全体１に、ＡＣ／ＤＣコンバータ３７は前記の実施の形態８における第一のサブシステム２に、ＤＣ／ＤＣコンバータ３８は前記の実施の形態８における第二のサブシステム３にそれぞれ相当しており、ＡＣ／ＤＣコンバータ３７のＡＣ／ＤＣコンバータ主回路３９に第一のマイコン５が、ＤＣ／ＤＣコンバータ３８のＤＣ／ＤＣコンバータ主回路４１に第二のマイコン６がそれぞれ搭載されている。
【０１３２】
安全装置４５は、マイコン５、６から発生する操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると、ＡＣ／ＤＣコンバータ３７を駆動電源２６から電気的に切り離す。
【０１３３】
以上のように充電装置を構成することにより、ＡＣ／ＤＣコンバータ３７とＤＣ／ＤＣコンバータ３８に搭載された第一のマイコン５と第二のマイコン６のいずれかが暴走したときに、暴走したマイコンをリセットすると共に、ＡＣ／ＤＣコンバータ３７と、そのＡＣ／ＤＣコンバータ３７に接続されたＤＣ／ＤＣコンバータ３８を駆動電源２６から電気的に切り離すことができる。
【０１３４】
なお、ＤＣ／ＤＣコンバータ３８の出力側を、安全装置４５を介して負荷であるバッテリー２７に接続してもよい。このようにすれば、マイコンが暴走した場合に、充電装置を電源のみならずバッテリー２７からも電気的に切り離すことができ、安全性をより高めることができる。
【０１３５】
また、この実施の形態１０では、ＡＣ／ＤＣコンバータ３７の入力側に安全装置４５を配置する場合について説明したが、安全装置４５をＤＣ／ＤＣコンバータ３８の出力側にのみ接続してもよい。このようにしても、マイコンが暴走した場合に、充電装置を負荷であるバッテリー２７から電気的に切り離すことができ、安全性を高めることができる。
【０１３６】
また、前記の実施の形態９と同様に、この実施の形態１０における充電装置は、例えばフォークリフト用バッテリーなどの大容量のバッテリー用の充電装置の安全性を高めるのに好適である。
【０１３７】
（実施の形態１１）
続いて、本発明の実施の形態１１について説明する。なお、前記の実施の形態１ないし１０で説明した事項と重複する点については、その説明を省略するか又は簡単に説明するに留める。
【０１３８】
本発明の実施の形態１１における太陽光電源システムの構成図を図１６に示す。この太陽光電源システム５０には、前記の実施の形態８におけるマイクロコンピュータ制御システムが適用されている。図１６において、前記の実施の形態１ないし１０で説明した要素に対応する要素には同じ符号を付している。
【０１３９】
この実施の形態１１において、太陽光電源システム５０は、太陽光によって発電される太陽光電源５１と、二台の安全装置４５と、ＤＣ／ＤＣコンバータ５２と、ＤＣ／ＡＣコンバータ５３とから構成されており、ＤＣ／ＤＣコンバータ５２の入力側が安全装置４５を介して太陽光電源５１に接続しており、ＤＣ／ＡＣコンバータ５３の出力側が安全装置４５を介して負荷５４および系統電源５５に接続している。
【０１４０】
ＤＣ／ＤＣコンバータ５２は、太陽光電源５１の発電により生成された直流電圧を所望の電圧値に変換し、ＤＣ／ＡＣコンバータ５３は、ＤＣ／ＤＣコンバータ５２により変換された直流電圧を交流電圧に変換して負荷５４へ供給する。負荷５４は、例えば家庭等で使用されるＴＶなどであり、系統電源５５は、例えば一般家庭にてこの太陽光電源システム５０が使用される場合、電力会社から配電された一般家庭における電源である。負荷５４と系統電源５５は太陽光電源システム５０に並列に接続している。なお、系統電源５５は太陽光電源システム５０に対して負荷となる。
【０１４１】
また、ＤＣ／ＤＣコンバータ５２は、直流電圧を所望の電圧値に変換する回路であるＤＣ／ＤＣコンバータ主回路５６と、ＤＣ／ＤＣコンバータ主回路５６の変換動作を制御するＤＣ／ＤＣコンバータ主回路駆動制御部５７を備える。
【０１４２】
また、ＤＣ／ＡＣコンバータ５３は、直流電圧を交流電圧に変換する回路であるＤＣ／ＡＣコンバータ主回路５８と、ＤＣ／ＡＣコンバータ主回路５８の変換動作を制御するＤＣ／ＡＣコンバータ主回路駆動制御部５９を備える。
【０１４３】
ここで、太陽光電源システム５０は前記の実施の形態８におけるシステム全体１に、ＤＣ／ＤＣコンバータ５２は前記の実施の形態８における第一のサブシステム２に、ＤＣ／ＡＣコンバータ５３は前記の実施の形態８における第二のサブシステム３にそれぞれ相当しており、ＤＣ／ＤＣコンバータ主回路５６に第一のマイコン５が、ＤＣ／ＡＣコンバータ主回路５８に第二のマイコン６がそれぞれ搭載されている。
【０１４４】
ＤＣ／ＤＣコンバータ５２の入力側に接続された安全装置４５は、マイコン５、６から発生する操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると、ＤＣ／ＤＣコンバータ５２を太陽光電源５１から電気的に切り離し、ＤＣ／ＡＣコンバータ５３の出力側に接続された安全装置４５は、マイコン５、６から発生する操作信号Ｉ１、Ｉ２のうちのいずれか一方を受信すると、ＤＣ／ＡＣコンバータ５３を負荷５４と系統電源５５から電気的に切り離す。
【０１４５】
以上のように太陽光電源システムを構成することにより、ＤＣ／ＤＣコンバータ５２とＤＣ／ＡＣコンバータ５３に搭載された第一のマイコン５と第二のマイコン６のいずれかが暴走したときに、暴走したマイコンをリセットすると共に、ＤＣ／ＤＣコンバータ５２とＤＣ／ＡＣコンバータ５３を太陽光電源５１、負荷５４および系統電源５５から電気的に切り離すことができる。
【０１４６】
特に、一般家庭において太陽光電源システムが使用される場合、負荷に対して太陽光電源システムと電力会社の系統電源から電力が供給されるため、マイコンが暴走した場合、太陽光電源システムを太陽光電源や負荷から速やかに切り離さないと、火災が発生する可能性がある。これに対して、この実施の形態１１においては、マイコンが暴走した場合に、ＤＣ／ＤＣコンバータとＤＣ／ＡＣコンバータを電源や負荷から速やかに切り離すことができ、太陽光電源システムの安全性を高めることができる。
【０１４７】
なお、この実施の形態１１では、ＤＣ／ＤＣコンバータ５２の入力側とＤＣ／ＤＣコンバータ５３の出力側にそれぞれ安全装置４５を配置する場合について説明したが、ＤＣ／ＤＣコンバータ５２の入力側とＤＣ／ＤＣコンバータ５３の出力側のいずれか一方にのみ安全装置４５を接続させてもよい。
【産業上の利用可能性】
【０１４８】
本発明にかかるマイクロコンピュータ制御システムは、マイクロコンピュータ制御システムに設けられた複数のマイクロコンピュータのうちのいずれかが暴走状態に陥ったとしても、その暴走状態を認識することができ、マイクロコンピュータ制御システムの安全性を高めることができ、マイクロコンピュータ制御システムを搭載した充電器や発電システム等に有用である。
【符号の説明】
【０１４９】
１      マイクロコンピュータ制御システム（システム全体）
２      第一のサブシステム
３      第二のサブシステム
４      システム全体制御部
５      第一のマイクロコンピュータ（第一のマイコン）
６      第二のマイクロコンピュータ（第二のマイコン）
７、８      動作確認信号発生部
９、１０      動作状態判定制御部
１１、１２      動作確認信号出力端子
１３、１４      動作確認信号入力端子
１５、１６      全体停止信号出力端子
１７、１８      リセット信号出力端子
１９、２０      リセット部
２１、２２      リセット防止信号出力端子
２３、２４      リセット阻止部
２５      充電装置（ＡＣ／ＤＣコンバータ）
２６      駆動電源
２７      バッテリー
２８      動作制御部
２９      電流制御部
３０      入出力制御部
３１      停止部
３２、３３      サブシステム全体制御部
３４、３５      個別停止信号出力端子
３６      充電装置
３７      ＡＣ／ＤＣコンバータ
３８      ＤＣ／ＤＣコンバータ
３９      ＡＣ／ＤＣコンバータ主回路
４０      ＡＣ／ＤＣコンバータ主回路駆動制御部
４１      ＤＣ／ＤＣコンバータ主回路
４２      ＤＣ／ＤＣコンバータ主回路駆動制御部
４３、４４      停止部
４５      安全装置
４６、４７      操作信号出力端子
４８      充電装置
４９      ＡＣ／ＤＣコンバータ
５０      太陽光電源システム
５１      太陽光電源
５２      ＤＣ／ＤＣコンバータ
５３      ＤＣ／ＡＣコンバータ
５４      負荷
５５      系統電源
５６      ＤＣ／ＤＣコンバータ主回路
５７      ＤＣ／ＤＣコンバータ主回路駆動制御部
５８      ＤＣ／ＡＣコンバータ主回路
５９      ＤＣ／ＡＣコンバータ主回路駆動制御部
【図１】
2011227786.tif 000003
【図２】
2011227786.tif 000004
【図３】
2011227786.tif 000005
【図４】
2011227786.tif 000006
【図５】
2011227786.tif 000007
【図６】
2011227786.tif 000008
【図７】
2011227786.tif 000009
【図８】
2011227786.tif 000010
【図９】
2011227786.tif 000011
【図１０】
2011227786.tif 000012
【図１１】
2011227786.tif 000013
【図１２】
2011227786.tif 000014
【図１３】
2011227786.tif 000015
【図１４】
2011227786.tif 000016
【図１５】
2011227786.tif 000017
【図１６】
2011227786.tif 000018