(57)【特許請求の範囲】
【請求項１】
車両の制御を行う車両用電子制御装置において、
制御対象を制御する機能を有する主機能部と、前記主機能部が正常に動作していることを監視する機能を有する監視機能部と、前記主機能部を起動する主機能部用ディスパッチャと、前記監視機能部を起動する監視機能部用ディスパッチャと、を有し、
前記主機能部および前記監視機能部が同一のマイコン上で動作するものであり、
前記主機能部と前記監視機能部とは、互いに相手へのアクセスが制限されているものであり、
前記監視機能部は、前記主機能部用ディスパッチャの起動の度に規定の更新がされる情報と、前記監視機能部用ディスパッチャの起動の度に規定の更新がされる情報との整合を確認することにより、前記主機能部および前記監視機能部が正常に起動していることを監視する、
ことを特徴とする車両用電子制御装置。
【請求項２】
請求項１に記載の車両用電子制御装置において、
前記監視機能部から通知される監視結果に応じて前記主機能部の制御機能を停止もしくは制限する機能を有する遮断機能部と、をさらに有し、
前記監視機能部は、前記主機能部用ディスパッチャの起動の度に規定の更新がされる情報と、前記監視機能部用ディスパッチャの起動の度に規定の更新がされる情報との整合を確認し、整合が確認できない場合には、監視結果として異常情報を前記遮断機能部へ通知する、
ことを特徴とする車両用電子制御装置。
【請求項３】
請求項２に記載の車両用電子制御装置において、
前記監視機能部は、該監視機能部が正常に起動しており、且つ、前記主機能部用ディスパッチャの起動の度に規定の更新がされる情報と、前記監視機能部用ディスパッチャの起動の度に規定の更新がされる情報との整合が確認できた場合に、監視結果として正常情報を前記遮断機能部へ通知し、該監視機能部が正常に起動していない場合には、監視結果として正常情報を前記遮断機能部へ通知しない、
ことを特徴とする車両用電子制御装置。
【請求項４】
請求項３に記載の車両用電子制御装置において、
前記遮断機能部は、前記監視機能部から通知される監視結果が正常情報以外であった場合に、前記主機能部の制御機能を停止もしくは制限する、
ことを特徴とする車両用電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両用電子制御装置に関する。
【背景技術】
【０００２】
従来、自動車産業における安全関連技術に関しては、カーメーカ毎に独自の思想に基づいて診断、監視、安全処置を設計、実装することが主流であった。具体的には、車両用電子制御装置において、所望の制御を実現する主機能と、この主機能を監視する監視機能とを備えた構成が知られていた。
【０００３】
例えば、特開２００２−９９３２１号公報では、主機能を実装したマイコンの動作を監視する監視回路をマイコンの外部に設け、監視回路がマイコンに対して例題を出題してマイコンからの回答が正しいか否かをチェックして異常時に故障検出信号を出力する構成において、この監視回路の異常を診断するために、マイコンが監視回路に対して故意に誤った回答を送信して監視回路が故障検出信号を出力するか否かを判定し、信号無しの場合に監視回路の監視機能異常と診断する故障検出装置を開示している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−９９３２１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特開２００２−９９３２１号公報のように外部に監視回路を設ける構成であると、車両用電子制御装置の小型化に対して障害となり、車両内における車両用電子制御装置の収容スペースの自由度が低くなってしまうという問題があった。
【０００６】
これに対して、最近ではマイコンやＯＳの向上により、主機能および、この主機能を監視する監視機能を同一マイコンに実装することで、車両用電子制御装置の小型化を実現することが考えられる。このような構成においては、主機能の失陥が監視機能へも伝搬し、単独の失陥でシステムが危険な状態に陥ることを回避するため、同一マイコン上で動作する主機能と監視機能との間で独立性を確保することが重要になる。
【０００７】
本発明の目的は、主機能およびこの主機能を監視する監視機能が同一のマイコン上で動作する構成において、主機能と監視機能との独立性を確保した車両用電子制御装置を提供することにある。
【課題を解決するための手段】
【０００８】
本発明は上記の目的を達成するために、車両の制御を行う車両用電子制御装置において、制御対象を制御する機能を有する主機能部と、前記主機能部が正常に動作していることを監視する機能を有する監視機能部と、前記主機能部を起動する主機能部用ディスパッチャと、前記監視機能部を起動する監視機能部用ディスパッチャと、を有し、前記主機能部および前記監視機能部が同一のマイコン上で動作するものであり、前記主機能部と前記監視機能部とは、互いに相手へのアクセスが制限されているものであり、前記監視機能部は、前記主機能部用ディスパッチャの起動の度に規定の更新がされる情報と、前記監視機能部用ディスパッチャの起動の度に規定の更新がされる情報との整合を確認することにより、前記主機能部および前記監視機能部が正常に起動していることを監視する、ことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、主機能およびこの主機能を監視する監視機能が同一のマイコン上で動作する構成において、主機能と監視機能との独立性を確保した車両用電子制御装置を提供することができる。
【００１０】
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】本発明による車両用電子制御装置の一実施例の構成を示すブロック図。
【図２】主機能用および監視機能用の両ディスパッチャが正常に起動している場合のタイムチャートの例を示す図。
【図３】主機能ディスパッチャの起動に異常が生じた場合のタイムチャートの例を示す図。
【図４】監視機能ディスパッチャの起動に異常が生じた場合のタイムチャートの例を示す図。
【発明を実施するための形態】
【００１２】
以下、図面を用いて、本発明の実施形態に係る車両用電子制御装置について詳細に説明する。
【００１３】
最近では、車両に対する市場からの運転性、燃費性、快適性等々の要求により制御が複雑化、高度化し、この流れに伴い、車両に内在する故障・不具合のリスクが高まってきている。このような状況を受けて、車両の電気・電子部品に内在するリスクを合理的に低減し、設計の妥当性も客観的に説明するための機能安全規格（例えば、ＩＳＯ２６２６２）が制定、施行されるに至った。この機能安全規格においては、システムの構造にもよるが、同一マイコン上で資源を共有する主機能、監視機能の間に独立性が求められる場合がある。これは、主機能の失陥が監視機能へも伝搬し、単独の失陥でシステムが危険な状態に陥ることを回避することが目的である。
【００１４】
従来の安全思想においては、必ずしも主機能、監視機能間の独立性を意識しているとは言い切れない側面があり、主機能と監視機能とが混在・相互依存しているが故に、主機能の失陥が監視機能へ伝搬する恐れがあった。これら従来思想に基づく主機能と監視機能の独立性を確保するためには、いわゆるメモリプロテクション等により、主機能と監視機能とが共通するマイコン資源にアクセスしないよう実装することが必要となる。
【００１５】
主機能と監視機能の独立は、マイコンに実装された資源保護機能を前提として、ＡＵＴＯＳＡＲ  ＯＳのような資源管理機能を備えた汎用ＯＳにより実現される。資源管理機能を備えた汎用ＯＳを採用することにより、主機能、監視機能間の資源の切り替え、保護等をＯＳに任せることが可能となる。ＯＳユーザはマイコンの資源管理を意識せずに、アプリケーションプログラムを構築することが可能となる。
【００１６】
しかし、汎用ＯＳを採用した場合、手厚い資源管理処理等によるオーバーヘッドの増加、メモリ資源の枯渇が課題として挙げられる。また、汎用ＯＳ未採用のシステムを汎用ＯＳへ移行するには、変更規模も大きく、相当数の時間も要するという現実的な問題も存在する。さらには、ソフトウェアによる資源管理は必ずしも汎用ＯＳに依る必要はなく、マイコンが備える資源管理機能を活用することさえできれば、主機能と監視機能の独立性を確保することは可能である。システムに即した資源管理に対象を絞ることにより、オーバーヘッド、メモリ資源の課題も最小限にとどめることができ、汎用ＯＳ未採用のシステムへの変更インパクトも最小限に抑えることが可能となる。
【００１７】
このような実態に鑑みると、主機能と監視機能との独立性を確保する手法として、汎用ＯＳに依らない方法も現実的な選択であるといえる。例えば、予め定めた周期で処理を起動するディスパッチャによって、主機能と監視機能を混在して実行するシステムでは、主機能用、監視機能用にディスパッチャを独立して設ける方法によりこれが実現される。機能を切り分け、起動のトリガも別とした上で、マイコンの資源管理機能を活用することで、両機能の独立性を確保することが可能となる。
【００１８】
しかしながら、主機能用、監視機能用にディスパッチャを独立して設ける方法を採用した場合、二つのディスパッチャ自体の正常動作を確認する必要がでてくる。主機能と監視機能との混在で一つのディスパッチャとして管理する場合はディスパッチャの起動タイミングでＨｉｇｈ／Ｌｏｗが反転するようなトグル信号を出力することでディスパッチャの正常起動を外部から監視する手法が考えられるが、ディスパッチャが主機能用、監視機能用と二つに分かれたことで、この監視手法では両ディスパッチャの起動監視をカバーすることができない。このため、いずれかのディスパッチャに起動の異常が発生しても、確実に異常を検出し、外部へ通知することが可能な手法が必要となる。
【００１９】
本実施形態では、主機能およびこの主機能を監視する監視機能が同一のマイコン上で動作する構成において、主機能用と、監視機能用とで別々のディスパッチャを独立して設け、主機能および監視機能のそれぞれのディスパッチャの起動監視を行い、主機能と監視機能との独立性を確保する。
【００２０】
また本実施形態では、起動の度に更新される情報をディスパッチャ毎に設け、その整合確認を行うことによってディスパッチャの起動を監視する。本発明の目的の一つは、主機能およびこの主機能を監視する監視機能が同一のマイコン上で動作する構成において、主機能と監視機能との独立性を確保しながら両機能の正常起動を確認可能な車両用電子制御装置を提供することにある。
【００２１】
主機能用および監視機能用の両ディスパッチャは起動の度に既定の情報更新を行う。例えば、起動回数のカウンタをそれぞれ設け、起動の度にそれらを主機能、監視機能それぞれによってインクリメントする。
【００２２】
主機能の正常動作を確認する役割を担う監視機能は、主機能用のディスパッチャ起動の度に更新される情報と監視機能自体のディスパッチャが起動する度に更新する情報との整合を確認する。この監視機能による整合確認により、主機能のディスパッチャ起動は確認することができる。さらに、監視機能のディスパッチャ起動の度に、監視機能のディスパッチャが正常動作していることを伝達する情報、例えばディスパッチャ起動の度にｈｉｇｈ／ｌｏｗでトグル反転する信号を、マイコンの外部の外部監視ＩＣに出力する。マイコンと独立した外部監視ＩＣにより監視機能のディスパッチャ起動情報をモニタすることにより、監視機能のディスパッチャ起動を確認することができる。
【００２３】
監視機能での主機能ディスパッチャの起動監視結果に異常があった場合、監視機能は、自身のディスパッチャ起動が正常であっても、外部監視ＩＣに対してディスパッチャ起動正常情報を出力しない。外部監視ＩＣは、このディスパッチャ起動正常情報の途絶をもって、主機能のうち安全に関わる機能の出力を遮断、もしくは制限する。また、監視機能は、自身のディスパッチャ起動に異常があった場合も、結果的にディスパッチャ起動正常情報を出力しなくなり、外部監視ＩＣは、このディスパッチャ起動正常情報の途絶をもって、主機能部のうち安全に関わる機能の出力を遮断、もしくは制限する。
【００２４】
このように本実施形態によれば、主機能、監視機能のディスパッチャ起動が監視可能となる。また、主機能または監視機能の異常が検出された場合には、独立した遮断機能により主機能のうち安全に関わる機能を遮断、もしくは制限する。すなわち、両ディスパッチャ起動異常に起因する危険事象を車両用電子制御装置から排除することができる。本発明によれば、主機能およびこの主機能を監視する監視機能が同一のマイコン上で動作する構成において、主機能と監視機能との独立性を確保しながら両機能の正常起動を確認可能な車両用電子制御装置を提供することができる。
【実施例１】
【００２５】
以下、本発明の実施例を、図面を用いて説明する。
【００２６】
図１は、本発明による車両用電子制御装置の一実施例の構成を示すブロック図である。
【００２７】
本実施例の車両用電子制御装置１０は、主機能を実行する主機能部としての主機能処理１０３と主機能部を監視する監視機能部としての監視機能処理１０７とが実装されるマイコン１００と、主機能部の制御機能を停止もしくは制限する機能を有する遮断機能部としての遮断機能処理１２１が実装される外部監視ＩＣ１２０との、大きく分けて二つのハードウェアから構成されている。外部監視ＩＣ１２０は、監視機能処理１０７から通知される監視結果に応じて主機能処理１０３の制御機能を停止もしくは制限する遮断機能部として機能する。また、主機能処理１０３、監視機能処理１０７が失陥した場合には、外部監視ＩＣ１２０は、リセット信号によってマイコン１００をリセットすることにより、安全状態へ遷移できるようにしている。マイコン１００は、リセットコントローラ１１１を有し、このリセットコントローラ１１１にリセット信号が入力されることでリセットされる。
【００２８】
なお、本実施例では、図１に示したタイマＡ１０１、主機能ディスパッチャ１０２、主機能処理１０３および主機能起動カウンタ１０４を主機能部とし、図１に示したタイマＢ１０５、監視機能ディスパッチャ１０６、監視機能処理１０７、監視機能起動カウンタ１０８、カウンタ比較処理１０９、トグル出力生成処理１１０を監視機能部とし、この主機能部と監視機能部とは、同一のマイコン１００上で動作するが、いわゆるメモリプロテクション等により互いに相手へのアクセスが制限され、両機能間の独立性が確保されている。ただし、監視機能ディスパッチャ１０６によって実行されるカウンタ比較処理１０９からは主機能起動カウンタ１０４を参照できるようメモリ保護機能を設定しておき、監視機能起動カウンタ１０８との比較を監視機能部側で実行できるよう構成している。
【００２９】
主機能ディスパッチャ１０２は、予め定めた間隔で割り込みを発生するタイマＡ１０１によって起動され、主機能処理１０３を実行するとともに、起動の度に主機能起動カウンタ１０４を更新（インクリメント）する。
【００３０】
また、監視機能ディスパッチャ１０６は、予め定めた間隔で割り込みを発生するタイマＢ１０５によって起動され、監視機能処理１０７を実行するとともに、起動の度に監視機能起動カウンタ１０８を更新（インクリメント）する。監視機能処理１０７は、主機能処理１０３の動作を監視する。
【００３１】
また、監視機能ディスパッチャ１０６は、カウンタ比較処理１０９を実行する。カウンタ比較処理１０９は、主機能起動カウンタ１０４と監視機能起動カウンタ１０８との比較を行う。さらに、監視機能ディスパッチャ１０６は、トグル出力生成処理１１０を実行する。カウンタ比較処理１０９は、主機能起動カウンタ１０４と監視機能起動カウンタ１０８との比較結果をトグル出力生成処理１１０に対して出力する。カウンタ比較処理１０９は、例えば、主機能起動カウンタ１０４と監視機能起動カウンタ１０８との差が予め定めた範囲内であれば比較結果を“正常”とし、主機能起動カウンタ１０４と監視機能起動カウンタ１０８との差が予め定めた範囲から逸脱していれば比較結果を“異常”とする。トグル出力生成処理１１０では、入力された比較結果が“正常”であれば外部監視ＩＣ１２０に対して、Ｈｉｇｈ／Ｌｏｗが反転するトグル信号を出力し、比較結果が“異常”であれば外部監視ＩＣ１２０に対してトグル信号を出力しない（Ｈｉｇｈ／Ｌｏｗの反転を停止する）。
【００３２】
外部監視ＩＣ１２０の遮断機能処理１２１では、トグル入力監視処理１２２によってトグル信号を監視し、監視結果をリセット信号出力処理１２３へ伝達する。トグル入力監視処理１２２は、予め定めたタイミングでトグル信号が入力されていれば正常と判断し、トグル信号が途切れ予め定めた期間が経過しても次のトグル信号が入力されない場合には異常と判断し、この判断結果をリセット信号出力処理１２３に出力する。リセット信号出力処理１２３は、トグル入力監視処理１２２でのこの判断結果の正常／異常に応じて、マイコン１００のリセットコントローラ１１１に対してリセット信号（例えば、ｌｏｗでリセット、ｈｉｇｈでリセット解除の信号）を出力する（例えば、トグル入力監視処理１２２での判断結果が正常であれば、リセット解除の信号を出力し、異常であれば、リセットの信号を出力する。）。
【００３３】
本実施例では、上述のように構成することで、主機能用と監視機能用の二つのディスパッチャの起動を確実に監視することが可能となる。主機能ディスパッチャ１０２の起動に異常が生じた場合には、主機能起動カウンタ１０４の更新が正常に行われず、監視機能起動カウンタ１０８との間に齟齬が生じる。すなわち、主機能ディスパッチャ１０２の起動に異常が生じても、主機能ディスパッチャ１０２から独立した監視機能ディスパッチャ１０６は正常に起動し、カウンタ比較処理１０９が実行されるため、主機能起動カウンタ１０４と監視機能起動カウンタ１０８との間に齟齬が生じ、比較結果は“異常”となる。この“異常”の比較結果はトグル出力生成処理１１０に伝達され、トグル出力が停止する。その結果、トグル入力監視処理１２２での監視結果も“異常”となり、リセット信号出力処理１２３からリセットコントローラ１１１へリセット信号が出力され、車両用電子制御装置１０は安全状態であるリセット状態へと遷移することができる。
【００３４】
同様に、監視機能ディスパッチャ１０６の起動に異常が生じた場合には、トグル出力生成処理１１０自体が実行されなくなるため、トグル出力が停止する。その結果、トグル入力監視処理１２２での監視結果が“異常”となり、リセット信号出力処理１２３からリセットコントローラ１１１へリセット信号が出力され、車両用電子制御装置１０は安全状態であるリセット状態へ遷移することができる。
【００３５】
図２〜４に、本実施例でのタイムチャートを示す。
【００３６】
図２は、主機能用および監視機能用の両ディスパッチャが正常に起動している場合のタイムチャートの例を示す図である。
【００３７】
イグニッションＯＮ等のトリガによりリセット信号が解除状態（Ｈｉｇｈ）になると、初期化処理実施後に主機能ディスパッチャ１０２が動作を開始する。主機能ディスパッチャ１０２は起動の度に主機能起動カウンタ１０４をインクリメントしていく。一方、監視機能処理１０７も主機能処理１０３と同様に動作を開始し、監視機能ディスパッチャ１０６は起動の度に監視機能起動カウンタ１０８を同様にインクリメントしていく。主機能処理１０３と監視機能処理１０７との間は、マイコン１００による保護機能、いわゆるメモリプロテクション等により互いに相手へのアクセスが制限され、両機能間の独立性が確保されている。ただし、監視機能ディスパッチャ１０６によって実行されるカウンタ比較処理１０９からは主機能起動カウンタ１０４を参照できるようメモリ保護機能を設定しておき、監視機能起動カウンタ１０８との比較を監視機能部側で実行できるよう構成している。この図２の例では、主機能用および監視機能用の両ディスパッチャ１０２、１０６は問題なく起動しているため、カウンタ１０４、１０８の比較結果も正常（この例ではカウンタの値が一致）であり、トグル出力も予め定めた周期で正常に反転を継続しているため、車両用電子制御装置１０は問題なく動作を行うことができる。
【００３８】
図３は、主機能ディスパッチャの起動に異常が生じた場合のタイムチャートの例を示す図である。
【００３９】
この図３の例では、主機能ディスパッチャ１０２の起動用のタイマＡ１０１の故障等に起因して、主機能ディスパッチャ１０２が予め定めた周期から遅れて起動される場合を想定している。この場合、主機能起動カウンタ１０４と監視機能起動カウンタ１０８が不一致となる。一定期間不一致状態が継続した場合、トグル出力生成処理１１０はトグル出力の反転を停止する。結果、外部監視ＩＣ１２０が異常を検出し、マイコン１００のリセットコントローラ１１１へリセット信号を出力することにより、車両用電子制御装置１０は安全状態へ遷移する。
【００４０】
図４は、監視機能ディスパッチャの起動に異常が生じた場合のタイムチャートの例を示す図である。
【００４１】
この図４の例では、監視機能ディスパッチャ１０６の起動用のタイマＢ１０５の故障等に起因して、監視機能ディスパッチャ１０６が起動しなくなる場合を想定している。この場合、主機能ディスパッチャ１０２は予め定めた周期で起動されるものの、監視機能ディスパッチャ１０６によって実行されるカウンタ比較処理１０９やトグル出力生成処理１１０が動作しなくなるため、トグル出力が停止する。結果、外部監視ＩＣ１２０が異常を検出し、マイコン１００のリセットコントローラ１１１へリセット信号を出力することにより、車両用電子制御装置１０は安全状態へ遷移する。
【００４２】
＜付記＞
なお、以上説明した本発明は、
１．
車両の制御を行う車両用電子制御装置において、
制御対象を制御する機能を有する主機能部と、前記主機能部が正常に動作していることを監視する機能を有する監視機能部と、を有し、
前記主機能部および前記監視機能部が同一のマイコン上で動作するものであり、
前記主機能部と前記監視機能部とは、互いに相手へのアクセスが制限されているものであり、
前記監視機能部は、前記主機能部の起動に応じて変化する情報と、前記監視機能部の起動に応じて変化する情報との整合を確認することにより、前記主機能部および前記監視機能部が正常に起動していることを監視する、
ことを特徴とする車両用電子制御装置、としたので、
・主機能部およびこの主機能部を監視する監視機能部が同一のマイコン上で動作する構成において、主機能部と監視機能部との独立性を確保した車両用電子制御装置を提供することができる。
・また、主機能部およびこの主機能部を監視する監視機能部が同一のマイコン上で動作する構成において、主機能部と監視機能部との独立性を確保しながら両機能部の正常起動を確認可能な車両用電子制御装置を提供することができる。
【００４３】
また本発明は、
２．
１．に記載の車両用電子制御装置において、
前記監視機能部から通知される監視結果に応じて前記主機能部の制御機能を停止もしくは制限する機能を有する遮断機能部と、をさらに有し、
前記監視機能部は、前記主機能部の起動に応じて変化する情報と、前記監視機能部の起動に応じて変化する情報との整合を確認し、整合が確認できない場合には、監視結果として異常情報を前記遮断機能部へ通知する、
ことを特徴とする車両用電子制御装置、としたので、
・主機能部の起動に応じて変化する情報と、監視機能部の起動に応じて変化する情報との整合を確認することで、両機能部の正常起動を確認可能な場合がある。
動を確認可能な車両用電子制御装置を提供することができる。
【００４４】
また本発明は、
３．
２．に記載の車両用電子制御装置において、
前記監視機能部は、該監視機能部が正常に起動しており、且つ、前記主機能部の起動に応じて変化する情報と、前記監視機能部の起動に応じて変化する情報との整合が確認できた場合に、監視結果として正常情報を前記遮断機能部へ通知し、該監視機能部が正常に起動していない場合には、監視結果として正常情報を前記遮断機能部へ通知しない、
ことを特徴とする車両用電子制御装置、としたので、
・監視機能部が正常に起動していない場合には正常情報を前記遮断機能部へ通知しないので、両機能部の正常起動を確認可能な場合がある。
【００４５】
また本発明は、
４．
３．に記載の車両用電子制御装置において、
前記遮断機能部は、前記監視機能部から通知される監視結果が正常情報以外であった場合に、前記主機能部の制御機能を停止もしくは制限する、
ことを特徴とする車両用電子制御装置、としたので、
・両機能部の正常起動を確認できなかった場合に、主機能部の制御機能を停止もしくは制限し、車両の制御において安全を確保することができる場合がある。
【００４６】
また本発明は、
５．
１．に記載の車両用電子制御装置において、
前記主機能部と前記監視機能部とは、それぞれ異なる要因によって起動される、
ことを特徴とする車両用電子制御装置、としたので、
・記主機能部と監視機能部との独立性をより高めることができる。
【００４７】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【符号の説明】
【００４８】
１０…車両用電子制御装置、１００…マイコン、１０１…タイマＡ、１０２…主機能ディスパッチャ、１０３…主機能処理、１０４…主機能起動カウンタ、１０５…タイマＢ、１０６…監視機能ディスパッチャ、１０７…監視機能処理、１０８…監視機能起動カウンタ、１０９…カウンタ比較処理、１１０…トグル出力生成処理、１１１…リセットコントローラ、１２０…外部監視ＩＣ、１２１…遮断機能処理、１２２…トグル入力監視処理、１２３…リセット信号出力処理。
【図１】
0006553493.tif 000002
【図２】
0006553493.tif 000003
【図３】
0006553493.tif 000004
【図４】
0006553493.tif 000005