(57)【要約】【課題】制御装置の異常を的確に判定することができる監視装置、監視システム、および監視方法を提供すること。【解決手段】実施形態に係る監視装置は、受付部と、監視部と、記憶部と、判定部とを備える。受付部は、所定の機器を制御する制御装置からリセット要求を受け付ける。監視部は、受付部によって受け付けられるリセット要求に基づいて制御装置の動作状態を監視する。記憶部は、監視部による制御装置の監視結果を記憶する。判定部は、所定の機器が起動されてから停止されるまでの間に、制御装置によって所定回数以上リセットされたことを監視結果に基づいて検出した場合に、制御装置を異常と判定する。【選択図】図１
2019067054.tif 000002
【特許請求の範囲】
【請求項１】
所定の機器を制御する制御装置からリセット要求を受け付ける受付部と、
前記受付部によって受け付けられるリセット要求に基づいて前記制御装置の動作状態を監視する監視部と、
前記監視部による前記制御装置の監視結果を記憶する記憶部と、
前記所定の機器が起動されてから停止されるまでの間に、前記制御装置によって所定回数以上リセットされたことを前記監視結果に基づいて検出した場合に、前記制御装置を異常と判定する判定部と
を備えることを特徴とする監視装置。
【請求項２】
前記監視部は、
前記受付部によって前記リセット要求が受け付けられる場合に、カウント値をカウントアップする異常終了カウンタのカウント値を記憶部に記憶させ、
前記判定部は、
前記記憶部に記憶された前記カウント値が所定値以上となる場合に、前記制御装置を仮異常と判定する
ことを特徴とする請求項１に記載の監視装置。
【請求項３】
前記監視部は、
前記カウント値が前記所定値に達した場合に、前記記憶部に記憶させた前記カウント値をクリアした後、前記受付部によって前記リセット要求が受け付けられる毎に前記カウント値をカウントアップして前記記憶部に記憶させ、
前記判定部は、
前記制御装置を異常と判定した場合にＯＦＦからＯＮにする異常リセット履歴フラグの状態を前記記憶部に記憶させ、前記異常リセット履歴フラグの状態がＯＮであり、且つ、前記カウント値が前記所定値以上となる場合に、前記制御装置を本異常と判定する
ことを特徴とする請求項２に記載の監視装置。
【請求項４】
前記判定部によって前記制御装置が異常と判定される場合に、前記所定の機器に対してフェールセーフ制御を行うフェールセーフ制御部
をさらに備えることを特徴とする請求項１〜３のいずれか一つに記載の監視装置。
【請求項５】
所定の機器を制御する制御装置と、
前記制御装置の動作状態を監視し、前記所定の機器が起動されてから停止されるまでの間に、前記制御装置から所定回数以上リセットされた場合に、前記制御装置を異常と判定する監視装置と
を含むことを特徴とする監視システム。
【請求項６】
前記制御装置は、
前記監視装置から入力されるウォッチドッグパルスを異常と判定した場合に、前記監視装置をリセットする
ことを特徴とする請求項５に記載の監視システム。
【請求項７】
前記制御装置から入力されるウォッチドッグパルスを異常と判定した場合に、前記制御装置をリセットするリセット装置をさらに含み、
前記制御装置は、
前記監視装置から入力される前記ウォッチドッグパルスを異常と連続して判定した回数が前記所定回数未満の閾値に達した場合に、前記ウォッチドッグパルスの出力を停止し、前記リセット装置によってリセットされる場合に、前記監視装置をリセットする
ことを特徴とする請求項６に記載の監視システム。
【請求項８】
前記制御装置は、
前記リセット装置によってリセットされた後、前記監視装置との通信が正常に行われた場合に、前記ウォッチドッグパルスの出力を再開する
ことを特徴とする請求項７に記載の監視システム。
【請求項９】
前記制御装置は、
前記リセット装置によってリセットされた後、前記監視装置との通信が正常に行われない場合に、前記ウォッチドッグパルスの出力停止を継続する
ことを特徴とする請求項７または請求項８に記載の監視システム。
【請求項１０】
所定の機器を制御する制御装置からリセット要求を受け付ける受付工程と、
前記受付工程によって受け付けられるリセット要求に基づいて前記制御装置の動作状態を監視する監視工程と、
前記監視工程による前記制御装置の監視結果を記憶する記憶工程と、
前記所定の機器が起動されてから停止されるまでの間に、前記制御装置によって所定回数以上リセットされたことを前記監視結果に基づいて検出した場合に、前記制御装置を異常と判定する判定工程と
を含むことを特徴とする監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
開示の実施形態は、監視装置、監視システム、および監視方法に関する。
【背景技術】
【０００２】
従来、監視装置に所定周期で信号レベルが反転するウォッチドッグパルス（以下、「ＷＤＰ」と記載する）を出力させ、監視装置から入力されるＷＤＰの周期性に基づいて、監視装置を監視する機能を備えた制御装置がある。
【０００３】
制御装置は、監視装置から入力されるＷＤＰの信号レベルが所定時間以上反転しない場合や、監視装置からＷＤＰが入力されない場合に、監視装置をリセットする（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−１３７０４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、制御装置は、監視装置から入力されるＷＤＰの信号レベルの反転タイミングを検出するタイマ機能に異常がある場合、リセットの必要がないにも関わらず監視装置を繰り返しリセットすることがある。
【０００６】
実施形態の一態様は、上記に鑑みてなされたものであって、制御装置の異常を的確に判定することができる監視装置、監視システム、および監視方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
実施形態の一態様に係る監視装置は、受付部と、監視部と、記憶部と、判定部とを備える。受付部は、所定の機器を制御する制御装置からリセット要求を受け付ける。監視部は、前記受付部によって受け付けられるリセット要求に基づいて前記制御装置の動作状態を監視する。記憶部は、前記監視部による前記制御装置の監視結果を記憶する。判定部は、前記所定の機器が起動されてから停止されるまでの間に、前記制御装置によって所定回数以上リセットされたことを前記監視結果に基づいて検出した場合に、前記制御装置を異常と判定する。
【発明の効果】
【０００８】
実施形態の一態様に係る監視装置、監視システム、および監視方法は、制御装置の異常を的確に判定することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態に係る監視方法の説明図である。
【図２】図２は、実施形態に係る監視システムの構成の一例を示す説明図である。
【図３】図３は、実施形態に係る監視システムの動作の一例を示す説明図である。
【図４】図４は、実施形態に係る制御装置が実行する処理を示すフローチャートである。
【図５】図５は、実施形態に係るリセット装置が実行する処理を示すフローチャートである。
【図６】図６は、実施形態に係る監視装置が実行する処理を示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下、添付図面を参照して、本願の開示する監視装置、監視システム、および監視方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。図１は、実施形態に係る監視方法の説明図である。図１に示すように、実施形態に係る監視システム１００は、制御装置１、リセット装置２、および監視装置３を含む。
【００１１】
制御装置１は、例えば、車両のエンジン１０１の動作を制御するＥＣＵ（Electronic  Control  Unit）である。なお、制御装置１は、車両以外を駆動する原動機や、車両を駆動するモータ等、車両のエンジン１０１以外の任意の機器を制御する装置であってよい。かかる制御装置１は、所定周期で信号レベルが反転するウォッチドッグパルス（以下、「ＷＤＰ」と記載する）ｗ１をリセット装置２へ送信する。
【００１２】
リセット装置２は、制御装置１から受信するＷＤＰｗ１を監視し、ＷＤＰｗ１の周期性に問題がある場合に、制御装置１へリセット要求ｒ１を出力することによって、制御装置１をリセットする装置である。また、リセット装置２は、エンジン１０１が停止される場合にも、制御装置１へリセット要求ｒ１を出力し、車両の電源をシャットダウンさせる処理も行う。
【００１３】
制御装置１は、リセット装置２からリセット要求ｒ１を受信した場合に、監視装置３へリセット要求ｒ２を送信して監視装置３をリセットし、その後、制御装置１自体のリセットを行った後に、動作を再開する。なお、制御装置１は、エンジン１０１が停止される場合には、リセット要求ｒ１を受信した後に、電源がシャットダウンされるため、動作を終了する。
【００１４】
監視装置３は、制御装置１の動作状態を監視して制御装置１の異常の有無を判定する装置である。監視装置３は、例えば、エンジン１０１のスロットルを駆動する電子スロットル駆動モータ１０２に接続され、制御装置１を異常と判定した場合に、電子スロットル駆動モータ１０２に対してフェールセーフ制御を行う。
【００１５】
例えば、監視装置３は、制御装置１からリセット装置２へ送信されるＷＤＰｗ１を受信して監視し、制御装置１がリセット装置２によってリセットされることを予測することによって、制御装置１がリセットされる前に制御装置１の異常の有無を推定する。
【００１６】
そして、監視装置３は、制御装置１に異常があると推定した場合には、監視装置３自体が制御装置１によってリセットされる前に、制御装置１に異常の可能性があることを記憶する。その後、監視装置３は、制御装置１によってリセットされた後に動作を再開してフェールセーフ制御を行う。なお、監視装置３は、制御装置１を異常と判定した場合に、電子スロットル駆動モータ１０２以外の機器に対して、フェールセーフ制御を行う構成であってもよい。
【００１７】
このように、監視装置３は、車両の安全上、フェールセーフ制御という重要な役割を担う装置である。このため、制御装置１は、監視装置３の動作状態を監視する機能を備える。例えば、制御装置１は、監視装置３にＷＤＰｗ２を送信させ、監視装置３から受信するＷＤＰｗ２の周期性を監視する。
【００１８】
具体的には、制御装置１は、ＷＤＰｗ２の信号レベルが反転する周期が正常か否を判定するタイマ機能を備える。そして、制御装置１は、ＷＤＰｗ２の信号レベルが反転する周期を異常と判定した場合に、監視装置３へリセット要求ｒ２を送信して監視装置３をリセットする。これにより、制御装置１は、監視装置３のＷＤＰｗ２が異常な場合に、監視装置３をリセットしてＷＤＰｗ２の異常を解消させることができる。
【００１９】
ただし、制御装置１は、タイマ機能に問題がある場合、監視装置３が正常なＷＤＰｗ２を制御装置１へ送信していても、ＷＤＰｗ２を異常と誤判定して監視装置３をリセットすることがある。
【００２０】
かかる場合、監視装置３は、制御装置１がリセット装置２によってリセットされることがないため、制御装置１に異常の可能性があることを記憶する前に、制御装置１によってリセットされる。
【００２１】
その結果、監視装置３は、上記のように制御装置１のタイマ機能に問題があっても、リセット後に制御装置１が正常であるものとして動作を再開するので、リセット後からフェールセーフ制御を行うことができない。
【００２２】
さらに、その後、監視装置３は、制御装置１へ正常なＷＤＰｗ２を再度送信しても、制御装置１によってＷＤＰｗ２が異常と誤判定されるので、不必要なリセットが連続して繰り返され、リセット後にフェールセーフ制御を行えない状態が継続する。
【００２３】
そこで、実施形態に係る監視装置３は、制御装置１のタイマ機能に問題がある場合に、制御装置１から連続してリセットされるという傾向を利用して、制御装置１の異常を判定する。例えば、監視装置３は、制御装置１から受信するリセット要求に基づいて制御装置１の動作状態を監視し、監視結果を記憶する。
【００２４】
そして、監視装置３は、エンジン１０１が起動されてから停止されるまでの間に、制御装置１によって所定回数以上リセットされたことを、事前に記憶しておいた監視結果に基づいて検出した場合に、制御装置１を異常と判定する。これにより、監視装置３は、制御装置１のタイマ機能に問題がある場合に、制御装置１の異常を的確に判定することができる。
【００２５】
次に、図２を参照し、実施形態に係る監視システム１００の構成の一例について説明する。図２は、実施形態に係る監視システム１００の構成の一例を示す説明図である。なお、図２には、制御装置１の監視に関する構成要素を選択的に図示しており、他の構成要素については図示を省略している。
【００２６】
図２に示すように、監視システム１００は、制御装置１、リセット装置２、および監視装置３を含む。前述したように、制御装置１は、エンジン１０１の動作制御を行うＥＣＵであり、リセット装置２および監視装置３に接続される。
【００２７】
制御装置１は、例えば、ＣＰＵ（Central  Processing  Unit）、ＲＯＭ（Read  Only  Memory）、ＲＡＭ（Random  Access  Memory）、入出力ポートなどを有するマイクロコンピュータや各種の回路を含む。
【００２８】
制御装置１は、ＣＰＵがＲＯＭに記憶されたプログラムを、ＲＡＭを作業領域として使用して実行することにより機能するタイマ１１、リセット処理部１２、およびＷＤＰ生成部１３を備える。なお、タイマ１１、リセット処理部１２、およびＷＤＰ生成部１３は、一部または全部がＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）等のハードウェアで構成されてもよい。
【００２９】
タイマ１１は、制御装置１が監視装置３から受信するＷＤＰｗ２の信号レベルが反転してから信号レベルが再度反転するまでの時間を計時する。リセット処理部１２は、監視装置３から受信するＷＤＰｗ２の周期性が正常か否かをタイマ１１によって計時される時間に基づいて判定する。そして、リセット処理部１２は、ＷＤＰｗ２の周期性が正常でないと判定した場合に、監視装置３へリセット要求ｒ２を送信して監視装置３をリセットする。
【００３０】
ＷＤＰ生成部１３は、リセット装置２へ送信するＷＤＰｗ１を生成する。ＷＤＰ生成部１３は、例えば、２ｍｓ間信号レベルがＨｉｇｈとなり、２ｍｓ間信号レベルがＬｏｗとなる４ｍｓ周期のＷＤＰｗ１を生成してリセット装置２へ送信する。
【００３１】
また、制御装置１は、リセット装置２からリセット要求ｒ１を受信した場合に、監視装置３へリセット要求ｒ２を送信し、その後、制御装置１自体をリセットした後に動作を再開する。
【００３２】
また、制御装置１は、タイマ１１が正常に動作しない場合、前述したように、監視装置３から受信するＷＤＰｗ２が正常であっても異常と誤判定し、監視装置３へ不必要なリセット要求ｒ２を繰り返し連続して送信することがある。
【００３３】
このように、制御装置１が監視装置３へリセット要求ｒ２を繰り返し連続して送信する場合、タイマ１１が正常に動作していない可能性がある。そこで、制御装置１は、監視装置３へリセット要求ｒ２を複数回（例えば、３回）連続して送信した場合、自発的にリセット装置２へのＷＤＰｗ１の送信を停止する。
【００３４】
これにより、リセット装置２は、制御装置１からＷＤＰｗ１を受信しなくなるため、制御装置１へリセット要求ｒ１を送信し、制御装置１をリセットする。このように、制御装置１は、タイマ１１が正常に動作していない可能性がある場合に、自発的にリセット装置２からリセットされることによって、タイマ１１の動作が正常に復帰すれば正常動作を再開することができる。
【００３５】
リセット装置２は、ＣＰＵ、ＲＯＭ、ＲＡＭ、入出力ポートなどを有するマイクロコンピュータや各種の回路を含む。リセット装置２は、ＣＰＵがＲＯＭに記憶されたプログラムを、ＲＡＭを作業領域として使用して実行することにより機能するタイマ２１とリセット処理部２２とを備える。なお、タイマ２１およびリセット処理部２２は、一部または全部がＡＳＩＣやＦＰＧＡ等のハードウェアで構成されてもよい。
【００３６】
タイマ２１は、リセット装置２が制御装置１から受信するＷＤＰｗ１の信号レベルが反転してから信号レベルが再度反転するまでの時間を計時する。リセット処理部２２は、制御装置１から受信するＷＤＰｗ１の周期性が正常か否かをタイマ２１によって計時される時間に基づいて判定する。そして、リセット処理部２２は、ＷＤＰｗ１の周期性が正常でないと判定した場合に、制御装置１へリセット要求ｒ１を送信して制御装置１をリセットする。
【００３７】
また、リセット処理部２２は、車両のイグニッションスイッチがＯＦＦされる場合にも、制御装置１へリセット要求ｒ１を送信する。このとき、リセット装置２は、車両の電源をシャットダウンする。
【００３８】
監視装置３は、制御部４と、記憶部５とを備える。制御部４は、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、入出力ポートなどを有するマイクロコンピュータや各種の回路を含む。制御部４は、ＣＰＵがＲＯＭに記憶されたプログラムを、ＲＡＭを作業領域として使用して実行することにより機能するＷＤＰ生成部４１、受付部４２、監視部４３、判定部４４、およびフェールセーフ制御部４５を備える。
【００３９】
なお、ＷＤＰ生成部４１、受付部４２、監視部４３、判定部４４、およびフェールセーフ制御部４５は、一部または全部がＡＳＩＣやＦＰＧＡ等のハードウェアで構成されてもよい。
【００４０】
記憶部５は、例えば、ＲＡＭやフラッシュメモリ等の不揮発性の記憶装置であり、異常終了フラグ５０、異常終了カウンタ５１、仮異常フラグ５２、および異常リセット履歴フラグ５３を記憶する。
【００４１】
異常終了フラグ５０は、制御装置１からリセット装置２へ送信されるＷＤＰｗ１に基づき、制御装置１がリセットされると監視部４３によって推定された場合に、制御装置１がリセットされる前にＯＦＦからＯＮになるフラグである。
【００４２】
異常終了カウンタ５１は、監視装置３が制御装置１からリセットされた回数をカウントするカウンタである。仮異常フラグ５２は、異常終了カウンタ５１のカウント値が所定数（例えば、４）に達した場合に、ＯＦＦからＯＮになるフラグである。仮異常フラグ５２がＯＦＦからＯＮになった場合に、異常終了カウンタ５１のカウント値はクリアされる。
【００４３】
異常リセット履歴フラグ５３は、仮異常フラグ５２がＯＦＦからＯＮになった場合に、ＯＦＦからＯＮになるフラグである。かかる異常リセット履歴フラグ５３がＯＦＦからＯＮになった場合に、仮異常フラグ５２はＯＮからＯＦＦになる。
【００４４】
ＷＤＰ生成部４１は、制御装置１へ送信するＷＤＰｗ２を生成する。ＷＤＰ生成部４１は、例えば、２ｍｓ間信号レベルがＨｉｇｈとなり、２ｍｓ間信号レベルがＬｏｗとなる４ｍｓ周期のＷＤＰｗ２を生成して制御装置１へ送信する。
【００４５】
受付部４２は、制御装置１の動作状態を示す情報の入力を受け付ける。具体的には、受付部４２は、制御装置１の動作状態を示す情報として、制御装置１から送信されるリセット要求ｒ２、およびＷＤＰｗ１の入力を受け付け、受け付けた情報を監視部４３へ出力する。監視部４３は、受付部４２によって受け付けられる情報に基づいて制御装置１の動作状態を監視し、監視結果に応じて記憶部５の記憶内容を更新する。
【００４６】
監視部４３は、受付部４２によって受け付けられる情報に応じて、異常終了フラグ５０、仮異常フラグ５２、および異常リセット履歴フラグ５３の状態と、異常終了カウンタ５１のカウント値とを更新する。
【００４７】
例えば、監視部４３は、制御装置１が送信するＷＤＰｗ１に基づいて、制御装置１に異常の兆候があり、制御装置１がリセット装置２によってリセットされると推定した場合、制御装置１がリセットされる前に、異常終了フラグ５０をＯＦＦからＯＮにする。
【００４８】
また、監視部４３は、制御装置１のタイマ１１が正常に動作していない場合に、仮異常フラグ５２および異常リセット履歴フラグ５３の状態と、異常終了カウンタ５１のカウント値とを更新する。かかる監視部４３の動作の一例については、図３を参照して後述する。
【００４９】
判定部４４は、記憶部５に記憶された異常終了フラグ５０、仮異常フラグ５２、および異常リセット履歴フラグ５３の状態と、異常終了カウンタ５１のカウント値とに基づいて、制御装置１が異常か否かを判定する。例えば、判定部４４は、リセット後に異常終了フラグ５０がＯＮの場合に、制御装置１を異常と判定する。
【００５０】
また、判定部４４は、仮異常フラグ５２および異常リセット履歴フラグ５３の状態と、異常終了カウンタ５１のカウント値とに基づいて、タイマ１１が正常に動作していない制御装置１の異常を判定する。かかる判定部４４の動作の一例については、図３を参照して後述する。
【００５１】
判定部４４は、制御装置１を異常と判定した場合に、その旨を示す信号をフェールセーフ制御部４５へ出力する。フェールセーフ制御部４５は、判定部４４から制御装置１が異常であることを示す信号が入力された場合に、電子スロットル駆動モータ１０２に対してフェールセーフ制御を行う。
【００５２】
例えば、フェールセーフ制御部４５は、エンジン１０１の回転数を自動的に低下させる制御信号を電子スロットル駆動モータ１０２へ出力してフェールセーフ制御を行う。このとき、フェールセーフ制御部４５は、エンジン１０１の回転数がアイドリング状態の場合よりも若干高くなる程度に電子スロットルを開かせる制御を行う。
【００５３】
これにより、フェールセーフ制御部４５は、車両が走行中に制御装置１の動作状態が異常になった場合に、車両の速度を安全な速度まで低下させ、運転者に車両を安全な場所（例えば、路肩等）に停止させることができる。
【００５４】
次に、図３を参照し、実施形態に係る監視システム１００の動作の一例について説明する。図３は、実施形態に係る監視システム１００の動作の一例を示す説明図である。ここでは、制御装置１のタイマ１１が正常に動作していない場合について説明する。
【００５５】
図３に示すように、まず、制御装置１は、リセット装置２へＷＤＰｗ１の送信を開始する（ステップＳ１）。その後、監視装置３は、制御装置１へＷＤＰｗ２を送信する（ステップＳ２）。このとき、制御装置１は、タイマ１１が正常に動作していないので、ＷＤＰｗ２を異常と判定する（ステップＳ３）。
【００５６】
そして、制御装置１は、監視装置３へリセット要求ｒ２を送信する（ステップＳ４）。これにより、監視装置３は、リセットし、異常終了カウンタ５１のカウント値を１カウントアップして１にする（ステップＳ５）。
【００５７】
その後、監視装置３は、制御装置１へＷＤＰｗ２を送信する（ステップＳ６）。このとき、制御装置１は、タイマ１１が正常に動作していないので、ＷＤＰｗ２を異常と判定する（ステップＳ７）。
【００５８】
そして、制御装置１は、監視装置３へリセット要求ｒ２を送信する（ステップＳ８）。これにより、監視装置３は、リセットし、異常終了カウンタ５１のカウント値を１カウントアップして２にする（ステップＳ９）。
【００５９】
その後、監視装置３は、制御装置１へＷＤＰｗ２を送信する（ステップＳ１０）。このとき、制御装置１は、タイマ１１が正常に動作していないので、ＷＤＰｗ２を異常と判定する（ステップＳ１１）。
【００６０】
そして、制御装置１は、監視装置３へリセット要求ｒ２を送信する（ステップＳ１２）。これにより、監視装置３は、リセットし、異常終了カウンタ５１のカウント値を１カウントアップして３にする（ステップＳ１３）。
【００６１】
制御装置１は、このように、監視装置３へ３回連続してリセット要求ｒ２を送信した場合、タイマ１１が正常に動作していない可能性があるため、リセット装置２へのＷＤＰｗ１の送信を停止する（ステップＳ１４）。
【００６２】
リセット装置２は、制御装置１からＷＤＰｗ１を受信しなくなると、制御装置１のＷＤＰｗ１を異常と判定する（ステップＳ１５）。そして、リセット装置２は、制御装置１へリセット要求ｒ１を送信する（ステップＳ１６）。
【００６３】
これにより、制御装置１は、リセット要求ｒ２を監視装置３へ送信し（ステップＳ１７）、制御装置１自体をリセットする。これに伴い、監視装置３は、リセットし、異常終了カウンタ５１のカウント値を１カウントアップして４にする（ステップＳ１８）。
【００６４】
監視装置３は、異常終了カウンタ５１のカウント値が４に達すると、制御装置１を仮異常と判定し、仮異常フラグ５２をＯＮにする（ステップＳ１９）。これにより、監視装置３は、リセットされる前に、制御装置１のタイマ１１が正常に動作していない可能性があることを記憶しておくことができる。
【００６５】
続いて、監視装置３は、異常リセット履歴フラグ５３をＯＮにする（ステップＳ２０）。そして、監視装置３は、異常終了カウンタ５１のカウント値をクリアし、仮異常フラグ５２をＯＦＦにする（ステップＳ２１）。
【００６６】
その後、監視システム１００では、続けて再度、ステップＳ１〜ステップＳ１９の事象が繰り返された場合、仮異常フラグ５２がＯＮとなり、且つ、異常リセット履歴フラグ５３がＯＮとなっている状態となる（ステップＳ２２）。かかる場合、監視装置３は、制御装置１から所定回数（ここでは、８回）以上リセットされることになるため、制御装置１を本異常と判定し、フェール制御を行う（ステップＳ２３）。
【００６７】
このように、監視装置３は、エンジン１０１が起動されてから停止されるまでの間に、制御装置１から所定回数（ここでは、８回）以上リセットされる場合に、タイマ１１が正常に動作しない制御装置１を的確に異常と判定することができる。
【００６８】
また、監視装置３は、タイマ１１が正常に動作しない制御装置１を的確に異常と判定することにより、リセット後に動作を再開する場合に、フェールセーフ制御から動作を開始することができる。
【００６９】
したがって、監視装置３は、車両が走行中に制御装置１の動作状態が異常になった場合に、車両の速度を安全な速度まで低下させ、運転者に車両を安全な場所（例えば、路肩等）に停止させることができる。
【００７０】
次に、図４を参照し、実施形態に係る制御装置１が実行する処理について説明する。図４は、施形態に係る制御装置１が実行する処理を示すフローチャートである。図４に示すように、制御装置１は、まず、リセット装置２へＷＤＰｗ１の送信を開始する（ステップＳ１０１）。
【００７１】
続いて、監視装置３からＷＤＰｗ２を受信し（ステップＳ１０２）、監視装置３のＷＤＰｗ２が異常か否かを判定する（ステップＳ１０３）。そして、制御装置１は、監視装置３のＷＤＰｗ２が異常でないと判定した場合（ステップＳ１０３，Ｎｏ）、処理をステップＳ１０２へ移す。
【００７２】
また、制御装置１は、監視装置３のＷＤＰｗ２が異常であると判定した場合（ステップＳ１０３，Ｙｅｓ）、監視装置３へリセット要求ｒ２を送信する（ステップＳ１０４）。その後、制御装置１は、監視装置３のＷＤＰｗ２を３回連続して異常と判定したか否かを判定する（ステップＳ１０５）。
【００７３】
そして、制御装置１は、監視装置３のＷＤＰｗ２を３回連続して異常と判定していない場合（ステップＳ１０５，Ｎｏ）、処理をステップＳ１０２へ移す。また、制御装置１は、監視装置３のＷＤＰｗ２を３回連続して異常と判定した場合（ステップＳ１０５，Ｙｅｓ）、リセット装置２へのＷＤＰｗ１の送信を停止する（ステップＳ１０６）。
【００７４】
続いて、リセット装置２からリセット要求ｒ１を受信したか否かを判定する（ステップＳ１０７）。そして、制御装置１は、リセット装置２からリセット要求ｒ１を受信しないと判定した場合（ステップＳ１０７，Ｎｏ）、処理をステップＳ１０６へ移す。
【００７５】
また、制御装置１は、リセット装置２からリセット要求ｒ１を受信したと判定した場合（ステップＳ１０７，Ｙｅｓ）、制御装置１自体をリセットし（ステップＳ１０８）、監視装置３へリセット要求ｒ２を送信する（ステップＳ１０９）。
【００７６】
その後、制御装置１は、監視装置３との通信に成功したか否かを判定する（ステップＳ１１０）。そして、制御装置１は、監視装置３との通信に成功したと判定した場合（ステップＳ１１０，Ｙｅｓ）、処理をステップＳ１０１へ移す。これにより、制御装置１は、
エンジン１０１の正常な制御を再開することができる。
【００７７】
また、制御装置１は、監視装置３との通信に成功しないと判定した場合（ステップＳ１１０，Ｎｏ）、ＷＤＰｗ１の送信を停止したまま処理を終了する。これにより、制御装置１は、タイマ１１の動作が異常な状態でエンジン１０１の制御が継続されることを防止することができる。
【００７８】
次に、図５を参照し、実施形態に係るリセット装置２が実行する処理について説明する。図５は、施形態に係るリセット装置２が実行する処理を示すフローチャートである。リセット装置２は、所定周期（例えば、４ｍｓ周期）で図５に示す処理を繰り返し実行する。
【００７９】
具体的には、図５に示すように、リセット装置２は、まず、制御装置１からＷＤＰｗ１を受信したか否かを判定する（ステップＳ２０１）。そして、リセット装置２は、制御装置１からＷＤＰｗ１を受信していないと判定した場合（ステップＳ２０１，Ｎｏ）、処理をステップＳ２０３へ移す。
【００８０】
また、リセット装置２は、制御装置１からＷＤＰｗ１を受信したと判定した場合（ステップＳ２０１，Ｙｅｓ）、制御装置１のＷＤＰｗ１が正常であるか否かを判定する（ステップＳ２０２）。
【００８１】
そして、リセット装置２は、制御装置１のＷＤＰｗ１が正常であると判定した場合（ステップＳ２０２，Ｙｅｓ）、処理を終了する。また、リセット装置２は、制御装置１のＷＤＰｗ１が正常でないと判定した場合（ステップＳ２０２，Ｎｏ）、制御装置１へリセット要求ｒ１を送信し（ステップＳ２０３）、処理を終了する。
【００８２】
次に、図６を参照し、実施形態に係る監視装置３が実行する処理について説明する。図６は、実施形態に係る監視装置３が実行する処理を示すフローチャートである。図６に示すように、監視装置３は、まず、制御装置１へＷＤＰｗ２を送信する（ステップＳ３０１）。
【００８３】
続いて、監視装置３は、制御装置１からリセット要求ｒ２を受信したか否かを判定する（ステップＳ３０２）。そして、監視装置３は、制御装置１からリセット要求ｒ２を受信しないと判定した場合（ステップＳ３０２,Ｎｏ）、処理をステップＳ３０１へ移す。
【００８４】
また、監視装置３は、制御装置１からリセット要求ｒ２を受信したと判定した場合（ステップＳ３０２，Ｙｅｓ）、監視装置３自体をリセットする（ステップＳ３０３）。その後、監視装置３は、異常終了カウンタ５１のカウント値（ここでは、「異常終了カウンタ値」と記載する）を１カウントアップする（ステップＳ３０４）。
【００８５】
続いて、監視装置３は、異常終了カウンタ値が４以上であるか否かを判定する（ステップＳ３０５）、そして、監視装置３は、異常終了カウンタ値が４以上でないと判定した場合（ステップＳ３０５，Ｎｏ）、処理をステップＳ３０１へ移す。
【００８６】
また、監視装置３は、異常終了カウンタ値が４以上であると判定した場合（ステップＳ３０５，Ｙｅｓ）、仮異常フラグ５２をＯＦＦからＯＮにし（ステップＳ３０６）、異常リセット履歴フラグ５３がＯＮか否かを判定する（ステップＳ３０７）。
【００８７】
そして、監視装置３は、異常リセット履歴フラグ５３がＯＮでないと判定した場合（ステップＳ３０７，Ｎｏ）、異常リセット履歴フラグ５３をＯＦＦからＯＮにし（ステップＳ３０８）、仮異常フラグ５２をＯＮからＯＦＦにする（ステップＳ３０９）。
【００８８】
続いて、監視装置３は、異常終了カウンタ値をクリアし（ステップＳ３１０）、処理をステップＳ３０１へ移す。また、監視装置３は、異常リセット履歴フラグ５３がＯＮであると判定した場合（ステップＳ３０７，Ｙｅｓ）、フェールセーフ制御を行い（ステップＳ３１１）処理を終了する。
【００８９】
上述したように、実施形態に係る監視装置３は、受付部４２と、監視部４３と、記憶部５と、判定部４４とを備える。受付部４２は、エンジン１０１を制御する制御装置１からリセット要求ｒ２を受け付ける。監視部４３は、受付部４２によって受け付けられるリセット要求ｒ２に基づいて制御装置１の動作状態を監視する。
【００９０】
記憶部５は、監視部４３による制御装置１の監視結果を記憶する。判定部４４は、エンジン１０１が起動されてから停止されるまでの間に、制御装置１によって所定回数以上リセットされたことを監視結果に基づいて検出した場合に、制御装置１を異常と判定する。これにより、監視装置３は、制御装置１の異常を的確に判定することができる。
【００９１】
なお、上述した実施形態では、監視装置３が制御装置１によって４回リセットされた場合に、制御装置１を仮異常と判定し、８回リセットされた場合に、制御装置１を本異常と判定したが、仮異常または本異常と判定するリセットの回数は、任意に変更してもよい。
【００９２】
さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。
【符号の説明】
【００９３】
１  制御装置
２  リセット装置
３  監視装置
４  制御部
５  記憶部
１１  タイマ
１２  リセット処理部
１３  ＷＤＰ生成部
２１  タイマ
２２  リセット処理部
４１  ＷＤＰ生成部
４２  受付部
４３  監視部
４４  判定部
４５  フェールセーフ制御部
５０  異常終了フラグ
５１  異常終了カウンタ
５２  仮異常フラグ
５３  異常リセット履歴フラグ
１００  監視システム
１０１  エンジン
１０２  電子スロットル駆動モータ
ｗ１  ＷＤＰ
ｗ２  ＷＤＰ
ｒ１  リセット要求
ｒ２  リセット要求
【図１】
2019067054.tif 000003
【図２】
2019067054.tif 000004
【図３】
2019067054.tif 000005
【図４】
2019067054.tif 000006
【図５】
2019067054.tif 000007
【図６】
2019067054.tif 000008