(57)【要約】【課題】異常監視部に対する監視動作切替信号が正常に動作しているか否かを検出して、適切な対応を採ることができるより信頼性の高い電子制御装置を提供する。【解決手段】ウォッチドッグパルスを出力する制御部１０と、前記制御部１０から出力されるウォッチドッグパルスＷＤＰに基づいて前記制御部１０のリセットを行うことが可能な異常監視部と、前記異常監視部による前記制御部１０の監視動作を許容または禁止する監視動作切替信号ＷＤＥＮを出力する監視動作切替部を備えている電子制御装置１であって、前記監視動作切替信号ＷＤＥＮの出力状態をモニタする監視動作切替信号検出部を備える。【選択図】図２
2008276360.tif 000002
【特許請求の範囲】
【請求項１】
ウォッチドッグパルスを出力する制御部と、前記制御部から出力されるウォッチドッグパルスに基づいて前記制御部のリセットを行うことが可能な異常監視部と、前記異常監視部による前記制御部の監視動作を許容または禁止する監視動作切替信号を出力する監視動作切替部を備えている電子制御装置であって、
前記監視動作切替信号の出力状態をモニタする監視動作切替信号検出部を備えている電子制御装置。
【請求項２】
前記制御部は通常モードと低消費電力モードとの間で動作モードが切替自在に構成され、前記監視動作切替部は、前記制御部の動作モードに基づいて前記監視動作切替信号を出力する請求項１記載の電子制御装置。
【請求項３】
前記監視動作切替信号検出部は、前記監視動作切替部により前記監視動作切替信号が切り替えられたとき、前記マイクロコンピュータによる他の実行タスクの余剰時間、または、所定インタバルの何れかの時期に前記監視動作切替信号の出力状態をモニタする請求項１または２記載の電子制御装置。
【請求項４】
前記監視動作切替信号検出部により前記監視動作切替信号の異常が検出されたときに、前記監視動作切替信号を強制的に切り替える信号切替部を備えている請求項１から３の何れかに記載の電子制御装置。
【請求項５】
前記監視動作切替信号検出部により前記監視動作切替信号の異常が検出されたときに、前記マイクロコンピュータをリセットするリセット制御部を備えている請求項１から４の何れかに記載の電子制御装置。
【請求項６】
前記監視動作切替信号検出部により前記監視動作切替信号の異常が検出されたときに異常報知する異常報知部を備え、前記異常報知部は検出された異常状態に基づいて異なる報知態様で報知するように構成されている請求項１から４の何れかに記載の電子制御装置。
【請求項７】
前記監視動作切替信号検出部により前記監視動作切替信号の異常が検出されたときに前記マイクロコンピュータの動作を制御停止モードに移行する停止制御部を備えている請求項１から６の何れかに記載の電子制御装置。
【請求項８】
ウォッチドッグパルスを出力する制御部と、
前記制御部から出力されるウォッチドッグパルスに基づいて前記制御部の異常を判定する異常監視部と、
前記制御部の監視動作の可否に関する監視動作切替信号を前記異常監視部に対して出力する監視動作切替部と、
前記監視動作切替部から出力される前記監視動作切替信号の出力状態を監視し、前記監視動作切替信号の異常を検出する監視動作切替異常検出部と、を備えている電子制御装置。
【請求項９】
ウォッチドッグパルスを出力する制御部と、前記制御部から出力されるウォッチドッグパルスに基づいて前記制御部が異常であると判定すると、前記制御部のリセットを行う異常監視部と、を備えている電子制御装置であって、
前記制御部は、
前記制御部の監視動作の可否に関する監視動作切替信号を前記異常監視部に対して出力する監視動作切替部と、
前記監視動作切替部から出力される前記監視動作切替信号の出力状態を検出し、当該検出した監視動作切替信号の信号状態と、前記監視動作切替部から出力しようとしている監視動作切替信号の信号状態とが異なる場合に、前記監視動作切替信号の出力部位の異常を検出する監視動作切替異常検出部と、を備えている電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通常モードと低消費電力モードに切替自在なマイクロコンピュータと、前記マイクロコンピュータから出力されるウォッチドッグパルスに基づいて前記マイクロコンピュータにリセット信号を出力可能な異常監視部と、前記マイクロコンピュータの動作モードに基づいて前記異常監視部による監視動作を許容または禁止する監視動作切替信号を出力する監視動作切替部を備えている電子制御装置に関する。
【背景技術】
【０００２】
近年の電子機器の多くがマイクロコンピュータにより制御されているが、ノイズ等の影響により暴走する可能性があるため、通常、ウォッチドッグタイマ方式の異常監視部を備えている。
【０００３】
特許文献１には、車両に搭載される電子制御装置を例に、マイクロコンピュータが低消費電力モードであるスタンバイ状態に移行したときに、ウォッチドッグパルスが出力されずに異常監視部からリセット信号が出力される不都合を解消するべく、異常監視部に対して監視動作切替信号（異常監視指示信号（（ＷＤＴＥＮ信号））を出力して異常検出動作を停止させる技術が開示されている。
【特許文献１】特開２００４−３２６６２９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
このような監視動作切替信号が正常に出力されている場合には、通常モードで動作しているマイクロコンピュータに対して異常監視部による異常検出が許容され、この状態でマイクロコンピュータの暴走が検出されるとリセット信号が出力されるように構成され、スタンバイ状態となったマイクロコンピュータに対して異常監視部による異常検出が禁止され、間違った暴走検出によりリセットがかからないように構成されている。
【０００５】
しかし、監視動作切替信号を出力しているマイクロコンピュータの出力ポートが故障して、本来出力されるべき監視動作切替信号のレベルと異なるレベルの信号が出力されるような場合には、異常監視部による正常な監視動作が保証されなくなるという問題があった。
【０００６】
例えば、監視動作切替信号が監視許容側のレベルにラッチされるような故障が発生すると、マイクロコンピュータがスタンバイ状態となったときにも異常監視部により異常監視が行なわれる結果、リセット信号が出力されるという不都合があり、監視動作切替信号が監視禁止側のレベルにラッチされるような故障が発生すると、マイクロコンピュータが通常モードで動作しているにも拘わらず異常監視部による異常監視が行なわれない結果、マイクロコンピュータが暴走してもリセット信号が出力されないという不都合があった。
【０００７】
本発明の目的は、上述した従来の問題点に鑑み、異常監視部に対する監視動作切替信号が正常に動作しているか否かを検出して、適切な対応を採ることができるより信頼性の高い電子制御装置を提供する点にある。
【課題を解決するための手段】
【０００８】
上述の目的を達成するため、本発明による電子制御装置の特徴構成は、ウォッチドッグパルスを出力する制御部と、前記制御部から出力されるウォッチドッグパルスに基づいて前記制御部のリセットを行うことが可能な異常監視部と、前記異常監視部による前記制御部の監視動作を許容または禁止する監視動作切替信号を出力する監視動作切替部を備えている電子制御装置であって、前記監視動作切替信号の出力状態をモニタする監視動作切替信号検出部を備えている点にある。
【０００９】
上述の構成によれば、監視動作切替部から出力された監視動作切替信号の出力状態が監視動作切替信号検出部によりモニタされ、監視動作切替信号が異常監視部による監視動作を許容するレベルで出力されるべきときに禁止するレベルとなっているとき、または、監視動作切替信号が異常監視部による監視動作を禁止するレベルで出力されるべきときに許容するレベルとなっているときに、監視動作切替信号の出力状態が異常であると判断することが可能となる。
【発明の効果】
【００１０】
以上説明した通り、本発明によれば、異常監視部に対する監視動作切替信号が正常に動作しているか否かを検出して、適切な対応を採ることができるより信頼性の高い電子制御装置を提供することができるようになった。
【発明を実施するための最良の形態】
【００１１】
以下、本発明による電子制御装置として、車両を制御する制御部としてのマイクロコンピュータを備えた電子制御ユニットを例に説明する。
【００１２】
車両を制御するマイクロコンピュータを備えた電子制御ユニット（以下、「ＥＣＵ」と記す。）は、図１に示すように、イグニッションスイッチがオンされたときにバッテリから給電される群と、イグニッションスイッチがオフされているときにおいてもバッテリから給電される群で構成されている。前者には高速のＣＡＮバスで接続されたエンジンＥＣＵ、ミッションＥＣＵ、または、ブレーキＥＣＵ等が含まれ、後者には低速のＣＡＮバスで接続されたセキュリティ用のＥＣＵ、ドアロック用のＥＣＵ、及び高速と低速のＣＡＮバス相互を接続してデータを中継するゲートウェイＥＣＵ等が含まれる。
【００１３】
本発明による電子制御装置としてのＥＣＵ１は、後者のＥＣＵに具現化され、図２に示すように、イグニッションスイッチＩＧＳＷがオフされた駐車状態で定期または不定期に通常モードと低消費電力モードとの間で動作モードが切替可能で、イグニッションスイッチＩＧＳＷがオンされたときに通常モードで作動するマイクロコンピュータ１０を備えている。
【００１４】
ＥＣＵ１は、バッテリから給電され、マイクロコンピュータ１０等への制御電圧を生成する直流レギュレータ１２と、当該直流レギュレータ１２からの給電により作動するマイクロコンピュータ１０と、入出力回路と、異常監視部１１と、ウェイクアップ回路１３等を備えて構成されている。
【００１５】
異常監視部１１は、所定周波数のクロック信号を生成する発振回路１１０と、発振回路１１０からのクロック信号をカウントするとともにその計数値が所定値に達するとマイクロコンピュータ１０にリセット信号を出力するカウンタ回路１１１等を備えている。
【００１６】
カウンタ回路１１１にマイクロコンピュータ１０から出力されるウォッチドッグパルス信号ＷＤＰＳが入力され、当該ウォッチドッグパルス信号ＷＤＰＳによりカウンタ回路１１１の計数値がリセットされ、また、カウンタ回路１１１にマイクロコンピュータ１０から出力される監視動作切替信号ＷＤＥＮが入力され、監視動作切替信号ＷＤＥＮの信号レベルに基づいてカウンタ回路１１１が作動しまたは停止するように構成されている。
【００１７】
つまり、前記異常監視部１１は、前記マイクロコンピュータ１０から出力されるウォッチドッグパルスに基づいて前記マイクロコンピュータ１０のリセットを行うように構成されている。
【００１８】
通常モードでマイクロコンピュータ１０は内蔵ＲＯＭに記憶された制御プログラムを実行して、所定インタバルでウォッチドッグパルス信号ＷＤＰＳを出力するように動作し、カウンタ回路１１１による計数値が所定値になる前にカウンタ回路１１１がリセットされる。ノイズ等の影響でマイクロコンピュータ１０が暴走してウォッチドッグパルス信号ＷＤＰＳが所定時間途絶えるとカウンタ回路１１１による計数値が所定値に達して異常監視部１１からマイクロコンピュータ１０にリセット信号が出力され、マイクロコンピュータ１０は正常状態に復帰する。
【００１９】
通常モードで動作中のマイクロコンピュータ１０にイグニッションスイッチＩＧＳＷのオフ信号が入力されると、制御プログラムに従って低消費電力モードであるスタンバイモードに移行して動作を停止する。スタンバイモードに移行するとウォッチドッグパルス信号ＷＤＰＳが停止するため、マイクロコンピュータ１０はスタンバイモードに移行する前に異常監視部１１に対して監視動作を禁止する監視動作切替信号ＷＤＥＮを出力する。本実施形態では、監視動作切替信号ＷＤＥＮがハイレベルであるときに監視動作が禁止され、ローレベルであるときに監視動作が許容されるように論理レベルが設定されている。
【００２０】
マイクロコンピュータ１０がスタンバイモードに移行すると、当該移行前にマイクロコンピュータ１０から送信された制御信号に基づいてウェイクアップ回路１１１が作動して所定時間間隔でマイクロコンピュータ１０に割込み信号を出力する。当該割込み信号に基づいてマイクロコンピュータ１０はスタンバイモードから通常モードに復帰し、異常監視部１１に対して監視動作を許容する監視動作切替信号ＷＤＥＮを出力するとともに、所定のタスクを実行した後に異常監視部に対して監視動作を禁止する監視動作切替信号ＷＤＥＮを出力して再度スタンバイモードに移行する。
【００２１】
つまり、マイクロコンピュータ１０及び制御プログラムによりマイクロコンピュータ１０の動作モードに基づいて異常監視部１１による監視動作を許容または禁止する監視動作切替信号ＷＤＥＮを出力する監視動作切替部が構成される。
【００２２】
マイクロコンピュータ１０の出力ポートＰｏ−ｗｃから異常監視部１１に出力される監視動作切替信号ＷＤＥＮが当該マイクロコンピュータ１０の割込みポートＩＮＴ２に接続され、監視動作切替信号ＷＤＥＮの出力状態をモニタするように構成されている。
【００２３】
マイクロコンピュータ１０は、監視動作切替部から出力された監視動作切替信号ＷＤＥＮの出力状態を割込みポートＩＮＴ２を介してモニタし、監視動作切替信号ＷＤＥＮが異常監視部１１による監視動作を許容するローレベルで出力されるべきときに禁止するハイレベルとなっているとき（以下、「禁止側ラッチ異常」と記す。）、または、監視動作切替信号ＷＤＥＮが異常監視部１１による監視動作を禁止するレベルで出力されるべきときに許容するレベルとなっているとき（以下、「許容側ラッチ異常」と記す。）に、監視動作切替信号ＷＤＥＮの出力状態が異常であると判断する。
【００２４】
具体的には、マイクロコンピュータ１０は通常モードで動作開始したときに出力ポートＰｏ−ｗｃからローレベルの監視動作切替信号ＷＤＥＮを出力し、スタンバイモードに移行する前に出力ポートＰｏ−ｗｃからハイレベルの監視動作切替信号ＷＤＥＮを出力するように構成され、異常監視部１１ではローレベルの監視動作切替信号ＷＤＥＮが入力されたときにカウンタ回路１１１が作動し、ローレベルの監視動作切替信号ＷＤＥＮが入力されたときにカウンタ回路１１１が停止するように構成されている。
【００２５】
マイクロコンピュータは、ハイレベルまたはローレベルの監視動作切替信号ＷＤＥＮを出力した後の所定時期に当該監視動作切替信号ＷＤＥＮが入力されるポートの信号レベルを監視して、入力信号レベルが出力信号レベルと一致している場合には監視動作切替信号ＷＤＥＮの出力ポートＰｏ−ｗｃまたは回路が正常に動作しており、入力信号レベルが出力信号レベルと一致していない場合には監視動作切替信号ＷＤＥＮの出力ポートＰｏ−ｗｃまたは回路が故障していると判断する。
【００２６】
つまり、マイクロコンピュータ１０及び制御プログラムにより監視動作切替信号ＷＤＥＮの出力状態をモニタする監視動作切替信号検出部が構成される。
【００２７】
一例として、監視動作切替信号ＷＤＥＮの出力ポートＰｏ−ｗｃの出力が当該マイクロコンピュータ１０の割込みポートＩＮＴ２に入力され、割込みポートＩＮＴ２への入力信号のオンエッジ及びオフエッジで割込み処理が起動されるように構成し、監視動作切替信号ＷＤＥＮを切替出力した後に切替出力に対応した割込みが発生すると正常であると判別することができ、監視動作切替信号ＷＤＥＮを切替出力して所定時間が経過しても割込みは発生しないときに異常であると判別することができる。
【００２８】
また、図９に示すように、監視動作切替信号ＷＤＥＮの出力ポートＰｏ−ｗｃを一般の入力ポートＰｉ−ｗｃに接続して、監視動作切替信号検出部が入力ポートＰｉ−ｗｃに入力された信号レベルと出力ポートＰｏ−ｗｃへ出力した論理レベルとを比較することにより、監視動作切替信号ＷＤＥＮの異常検出を行ってもよい。
【００２９】
後者の場合には、制御プログラムにより設定された数ミリ秒のインタバルで発生するタイマ割込み処理で監視動作切替信号検出部が作動するように構成すればよい。通常、ＥＣＵでは、１ｍｓｅｃ．２ｍｓｅｃ．４ｍｓｅｃ．８ｍｓｅｃ．等のインタバルの異なる複数のタイマ割込み処理が設定されているため、これらの割込み処理の何れかで監視動作切替信号検出部が作動するように構成すればよい。
【００３０】
つまり、監視動作切替信号検出部は、イグニッションスイッチＩＧＳＷのオン又はオフ状態に関わらず、マイクロコンピュータ１０が通常モードで動作するときに監視動作切替信号ＷＤＥＮの出力状態をモニタするように構成されるものであればよい。
【００３１】
さらに、ＥＣＵ１には、監視動作切替信号検出部により監視動作切替信号ＷＤＥＮの異常が検出されたときに、監視動作切替信号ＷＤＥＮを強制的に切り替える信号切替部が設けられている。
【００３２】
マイクロコンピュータ１０のポートＰｏ−ｗｃと、プルアップ抵抗に接続された異常監視部１１のポートＥＮとを接続する入出力回路には、図２に示すように、コレクタ接地されたＰＮＰ型バイポーラトランジスタのエミッタ端子が接続されている。当該トランジスタのベース端子にはマイクロコンピュータ１０のポートＰｏ−ｒからの制御信号が入力され、当該制御信号が、ローレベルであるときエミッタ−コレクタ間は導通状態となり、ハイレベルであるときエミッタ−コレクタ間は切断状態となる。
【００３３】
マイクロコンピュータ１０は、監視動作切替信号ＷＤＥＮがハイレベル側にラッチされた前述の禁止側ラッチ異常時に、ポートＰｏ−ｒからローレベルの制御信号を出力し、信号切替回路を作動させてエミッタ−コレクタ間を導通させ、図３（ａ）に示すように、ポートＥＮに入力される監視動作切替信号ＷＤＥＮをハイレベルから強制的にローレベルに切り替える。即ち、マイクロコンピュータ１０と制御プログラムとマイクロコンピュータ１０のポートＰｏ−ｒと当該トランジスタとにより、監視動作切替信号検出部により、監視動作切替信号ＷＤＥＮが監視動作禁止状態に維持される異常が検出されたときに、ポートＰｏ−ｒからの制御信号により当該異常信号を強制的に監視動作許容状態に切り替える信号切替部が構成される。
【００３４】
マイクロコンピュータ１０は、監視動作切替信号ＷＤＥＮがローレベル側にラッチされた前述の許容側ラッチ異常時に、ポートＰｏ−ｗｃの入出力モードを切り替えるモードレジスタを出力から入力に切り替えて、ポートＰｏ−ｗｃの出力をハイインピーダンス（ＨＺ）とする。ポートＰｏ−ｗｃの入出力切替回路が破損していない場合には、図４（ａ）に示すように、ポートＥＮに入力される監視動作切替信号がプリアップ抵抗によりローレベルから強制的にハイレベルに切り替えられる。尚、マイクロコンピュータ１０がリセットされるとモードレジスタの値は入力モードとなるように初期設定され、その後当該ポートの出力レジスタの値を所定の値にセットしてモードレジスタを出力モードに切り替えることによりモードレジスタに対応するレベルの信号が出力される。
【００３５】
即ち、マイクロコンピュータ１０と制御プログラムとマイクロコンピュータ１０のポートＰｏ−ｗｃとポートＥＮに対するプルアップ抵抗とにより、監視動作切替信号検出部により、監視動作切替信号ＷＤＥＮが監視動作許容状態に維持される異常が検出されたときに、ポートＰｏ−ｗｃを入力モードに切り替えることにより当該異常信号ＷＤＥＮを強制的に監視動作禁止状態に切り替える信号切替部が構成される。
【００３６】
さらに、マイクロコンピュータ１０は、監視動作切替信号検出部により監視動作切替信号ＷＤＥＮの異常が検出されたときに、制御プログラムに基づいて自らをリセットするように構成されている。リセットは、マイクロコンピュータ１０の一の出力ポートからリセット端子ＲＳＴにリセット信号を出力するハードウェアリセットであってもよいし、ソフトウェアでリセット命令を実行するものであってもよい。リセットされると、マイクロコンピュータ１０の各ポートの入出力モードレジスタが入力モードに設定され、出力がハイインピーダンスに設定される。その後、入出力モードレジスタを出力モードに設定して監視動作切替信号ＷＤＥＮを出力するように動作する。信号異常の原因が出力ポートのフリップフロップ回路等の誤動作である場合等では、当該リセット動作により正常に復帰するようになる。
【００３７】
つまり、マイクロコンピュータ１０及び制御プログラムにより、監視動作切替信号検出部により監視動作切替信号ＷＤＥＮの異常が検出されたときに、マイクロコンピュータ１０をリセットするリセット制御部が実現される。
【００３８】
ＥＣＵ１にはメータ類の表示部に設けられたＬＥＤ１４を駆動する異常報知部が設けられ、禁止側ラッチ異常時にマイクロコンピュータ１０によりＬＥＤが点滅制御され、前述の許容側ラッチ異常時に点灯制御される。即ち、マイクロコンピュータ１０と制御プログラム等により、監視動作切替信号検出部により監視動作切替信号ＷＤＥＮの異常が検出されたときに異常報知する異常報知部が構成され、異常報知部は検出された異常状態に基づいてＬＥＤ１４の点灯状態を変化させる等、異なる報知態様で当該異常を報知するように構成されている。
【００３９】
報知態様として、禁止側ラッチ異常時にＬＥＤ１４が点灯制御され、許容側ラッチ異常時にＬＥＤ１４が点滅制御されるものでもよく、禁止側ラッチ異常時と許容側ラッチ異常時との双方でＬＥＤ１４を点滅制御するものでもよい。この場合には、夫々でＬＥＤ１４の点滅周期を異ならせることにより識別できる。即ち、異常状態が識別できるように報知態様を異ならせて報知するものであればよい。
【００４０】
以下に、図９に示す監視動作切替信号検出部により異常が検出されたときのマイクロコンピュータ１０の具体的な動作例を、図６に示すフローチャートに基づいて説明するが、図２に示すように、監視動作切替信号ＷＤＥＮの割込み入力に基づいて監視動作切替信号検出部により異常が検出される場合も基本的な処理は同様である。
【００４１】
定期的なタイマ割込み処理等で、処理監視動作切替信号検出部により監視動作切替信号ＷＤＥＮがモニタされ（ＳＥ１）、当該異常検出動作により異常が検出されない正常状態であると判断されたときには（ＳＥ２）、当該異常検出動作を終了する。
【００４２】
処理監視動作切替信号検出部により異常状態であると判断され（ＳＥ２）、ローレベルで出力されるべき監視動作切替信号ＷＤＥＮがハイレベルで出力されていると検出された禁止側ラッチ異常のときには（ＳＥ３）、リセット制御部によりマイクロコンピュータ１０がリセットされる（ＳＥ４）。
【００４３】
その後、マイクロコンピュータ１０が起動して所定の初期設定処理が実行した後に監視動作切替信号ＷＤＥＮがローレベルとなるように出力制御される。この状態で監視動作切替信号検出部により監視動作切替信号ＷＤＥＮがローレベルであると検出されると（ＳＥ５）、正常状態に復帰したことが確認されてマイクロコンピュータ１０は当該異常検出処理を終了する。
【００４４】
監視動作切替信号ＷＤＥＮがハイレベルであると検出されると（ＳＥ５）、ステップＳＥ４のリセット処理が再度繰り返され、連続して所定回数繰り返されても正常状態に復帰しないときには（ＳＥ６）、異常報知部により異常報知して（ＳＥ７）、ＣＰＵの制御停止モードに移行する（ＳＥ８）。
【００４５】
ハイレベルで出力されるべき監視動作切替信号ＷＤＥＮがローレベルで出力されていると検出された許容側ラッチ異常のときには（ＳＥ３）、信号切替部によりポートＰｏ−ｗｃの入出力モードを切り替えるモードレジスタを出力から入力に切り替えて、ポートＰｏ−ｗｃの出力をハイインピーダンス（ＨＺ）とした後に（ＳＥ９）、リセット制御部によりマイクロコンピュータ１０がリセットされる（ＳＥ１０）。
【００４６】
その後、マイクロコンピュータ１０が起動して所定の初期設定処理が実行した後に監視動作切替信号ＷＤＥＮがハイレベルとなるように出力制御される。この状態で監視動作切替信号検出部により監視動作切替信号ＷＤＥＮがハイレベルであると検出されると（ＳＥ１１）、正常状態に復帰したことが確認されてマイクロコンピュータ１０は当該異常検出処理を終了する。
【００４７】
監視動作切替信号ＷＤＥＮがローレベルであると検出されると（ＳＥ１１）、ステップＳＥ９からの処理が再度繰り返され、連続して所定回数繰り返されても正常状態に復帰しないときには（ＳＥ１２）、異常報知部により異常報知して（ＳＥ１３）、ＣＰＵの制御停止モードに移行する（ＳＥ１４）。
【００４８】
上述のＣＰＵの制御停止モードについて説明する。制御停止モードとは、図５（ａ）に示すように、制御プログラムに基づいて所定の処理を繰り返し実行する無限ループ処理（ＳＡ１）、図５（ｂ）に示すように、制御プログラムに基づいて電子制御ユニット１から負荷に対して出力する制御信号をオフする電子制御ユニット出力停止処理（ＳＢ１）、図５（ｃ）に示すように、制御プログラムに基づいてスタンバイモードへの移行（ＳＣ１）、または、図５（ｄ）に示すように、制御プログラムに基づいて直流レギュレータ１２の出力を停止させて電子制御ユニット１への給電を遮断する処理（ＳＤ１）の何れかをいう。
【００４９】
尚、前記スタンバイモードとは、マイクロコンピュータ１０のアーキテクチャに従って、自身の動作クロックを停止させて自身の機能を停止するスリープモード、電子制御ユニット１の原発振を停止させて自身の機能を含むデータ保持以外の全ての機能を停止するストップモード、または、マイクロコンピュータ１０の備えるその他の省電力消費モードの何れかを意味する。
【００５０】
即ち、マイクロコンピュータ１０と制御プログラムによって、監視動作切替信号検出部により監視動作切替信号ＷＤＥＮの異常が検出されたときにマイクロコンピュータ１０の動作を制御停止モードに移行する停止制御部が構成される。
【００５１】
以上説明したように、前記ＥＣＵは、ウォッチドッグパルスを出力するマイクロコンピュータ１０としての制御部と、前記制御部から出力されるウォッチドッグパルスに基づいて前記制御部が異常であると判定すると、前記制御部のリセットを行う異常監視部と、を備えているＥＣＵであって、前記制御部は、前記制御部の監視動作の可否に関する監視動作切替信号を前記異常監視部に対して出力する監視動作切替部と、前記監視動作切替部から出力される前記監視動作切替信号の出力状態を検出し、当該検出した監視動作切替信号の信号状態と、前記監視動作切替部から出力しようとしている監視動作切替信号の信号状態とが異なる場合に、前記監視動作切替信号の出力部位の異常を検出する監視動作切替異常検出部と、を備えるものである。
【００５２】
以下に、別実施形態について説明する。
【００５３】
上述の実施形態では、車両を制御するマイクロコンピュータを備えたＥＣＵは、イグニッションスイッチがオンされたときにバッテリから給電される群（以下、第一群と記す）と、イグニッションスイッチがオフされているときにおいてもバッテリから給電される群（以下、第二群と記す）の双方ともに、ＣＡＮバスで相互接続された車内ネットワークの構成について説明したが、用いられるバスはＣＡＮバスに限らない。
【００５４】
例えば、前記車内ネットワークのうち、あまり通信速度を必要としないボディー系のネットワーク、例えば第二群のネットワークに用いられるバスについては、ＬＩＮプロトコルを用いたバスで各ＥＣＵを相互接続する構成であってもよい。また、前記車内ネットワークのうち、高速なデータ通信を必要とする走行制御系のネットワーク、例えば第一群のネットワークに用いられるバスについては、ＦｒｅｘＲａｙプロトコルを用いたバスで各ＥＣＵを相互接続する構成であってもよい。
【００５５】
上述の実施形態では、監視動作切替信号検出部が、当該マイクロコンピュータ１０の割込みポートＩＮＴ２または入力ポートＰｉ−ｗｃに接続された監視動作切替信号ＷＤＥＮを検出するものを説明したが、これらの回路を設けることなく、或いはこれらの回路とともに、監視動作切替信号検出部が出力ポートＰｏ−ｗｃの出力レジスタの値を読み込み、当該出力レジスタ値と出力ポートＰｏ−ｗｃへ出力した論理レベルと比較することにより、監視動作切替信号ＷＤＥＮの出力状態をモニタする構成としてもよい。この場合、出力ポートレジスタにおける異常の有無を検出することができる。
【００５６】
上述の実施形態では、監視動作切替信号検出部は、監視動作切替信号ＷＤＥＮが割込みポートＩＮＴ２に入力される構成では外部割込み処理で、監視動作切替信号ＷＤＥＮが入力ポートＰｉ−ｗｃに入力される構成ではタイマ割込み処理で夫々監視動作切替信号ＷＤＥＮを検出するものを説明したが、後者の場合には、タイマ割込み処理に替えてマイクロコンピュータ１０による他の実行タスクの余剰時間に監視動作切替信号ＷＤＥＮを検出するように構成してもよい。
【００５７】
上述の実施形態では、信号切替部として監視動作切替信号ＷＤＥＮの出力ポートＰｏ−ｗｃの入出力モードを切り替える構成、及び、監視動作切替信号ＷＤＥＮの出力ポートＰｏ−ｗｃからの信号レベルをポートＰｏ−ｒからの制御信号により強制的に切り替えるトランジスタ回路を備える構成を説明したが、図３（ｂ）に示すように、マイクロコンピュータ１０のポートＰｏ−ｗｃとポートＰｏ−ｗｃ２とからの制御信号の論理積を出力するアンドゲート回路を介して異常監視部１１のポートＥＮに出力するように構成することにより、禁止側ラッチ異常に対して許容側に切り替えることができる。
【００５８】
また、図３（ｃ）に示すように、信号切替部は、異常監視部１１のポートＥＮを抵抗を介してプルダウンする構成であってもよい。この場合、ポートＰｏ−ｗｃを入力モードに切り替えるとポートＥＮはローレベルに切り替えられるため、禁止側ラッチ異常に対して許容側に切り替えることができる。
【００５９】
さらに、図４（ｂ）に示すように、信号切替部は、マイクロコンピュータ１０のポートＰｏ−ｗｃとポートＰｏ−ｗｃ２とからの制御信号の排他論理和を出力するＸＯＲゲート回路を介して異常監視部１１のポートＥＮに出力するように構成することにより、ポートＰｏ−ｗｃが破損して禁止側ラッチ異常または許容側ラッチ異常の何れの異常が発生した場合であっても、ポートＰｏ−ｗｃ２の出力レベルを制御することにより正常状態の監視動作切替信号ＷＤＥＮを出力することができるようになる。
【００６０】
図６のステップＳＥ９からＳＥ１４に示した許容側ラッチ異常発生時の処理、及び、ステップＳＥ４からＳＥ８に示した禁止側ラッチ異常発生時の処理は、これに限定するものではなく、禁止側ラッチ異常発生時の処理としては、例えば、図７（ａ），（ｂ），図８（ａ），（ｂ），（ｃ）の各フローチャートの示すような処理を実行するものであってもよく、許容側ラッチ異常発生時の処理としては、例えば、図８（ｄ）に示すフローチャートのような処理を実行するものであってもよい。また、図６に示す処理を含めてこれらの処理を適宜組み合わせて構成するものであってもよい。
【００６１】
以下、各処理について説明する。図７（ａ）では、監視動作切替信号検出部により禁止側ラッチ異常が検出されると（ＳＦ１）、リセット制御部によりマイクロコンピュータ１０がリセットされる（ＳＦ２）。その後、マイクロコンピュータ１０が起動して所定の初期設定処理が実行した後に監視動作切替信号ＷＤＥＮがローレベルとなるように出力制御される。この状態で監視動作切替信号検出部により監視動作切替信号ＷＤＥＮがローレベルであると検出されると（ＳＦ３）、マイクロコンピュータ１０は当該異常検出動作を終了する。
【００６２】
監視動作切替信号ＷＤＥＮが正常復帰せず、ハイレベルであると検出されると（ＳＦ３）、ステップＳＦ２からの処理が再度繰り返され、連続して所定回数繰り返されても正常状態に復帰しないときには（ＳＦ４）、異常報知部により異常報知して（ＳＦ５）、図３（ａ），（ｂ），（ｃ），図４（ｂ）に示すような構成を採用した信号切替部により強制的に監視動作切替信号ＷＤＥＮをローレベルに切り替えられる（ＳＦ６）。この場合には、監視動作切替信号ＷＤＥＮがローレベルに維持され、異常監視部１１が動作可能な状態になるので、その後、通常処理を実行することが可能となる。
【００６３】
図７（ｂ）では、監視動作切替信号検出部により禁止側ラッチ異常が検出されると（ＳＧ１）、図３（ａ），（ｂ），（ｃ），図４（ｂ）に示すような構成を採用した信号切替部により強制的に監視動作切替信号ＷＤＥＮがローレベルに切り替えられる（ＳＧ２）。監視動作切替信号検出部により監視動作切替信号ＷＤＥＮがローレベルに切り替えられたと検出されると当該異常検出動作を終了する（ＳＧ３）。この場合にも、監視動作切替信号ＷＤＥＮがローレベルに維持され、異常監視部１１が動作可能な状態になるので、その後、通常処理を実行することが可能となる。
【００６４】
監視動作切替信号検出部により監視動作切替信号ＷＤＥＮがハイレベルに維持されていることが検出されると（ＳＧ３）、異常報知部により異常報知して（ＳＧ４）、ＣＰＵの制御停止モードに移行する（ＳＧ５）。
【００６５】
図８（ａ）では、監視動作切替信号検出部により禁止側ラッチ異常が検出されると（ＳＨ１）、異常報知部により報知部１４に当該異常が報知された後に（ＳＨ２）、ＣＰＵの制御停止モードに移行する（ＳＨ３）。
【００６６】
図８（ｂ）では、監視動作切替信号検出部により禁止側ラッチ異常が検出されると（ＳＩ１）、図３（ａ），（ｂ），（ｃ），図４（ｂ）に示すような構成を採用した信号切替部により強制的に監視動作切替信号ＷＤＥＮがローレベルに切り替えられる（ＳＩ２）。その後、異常報知部により当該異常が報知された後に（ＳＩ３）、ＣＰＵの制御停止モードに移行する（ＳＩ４）。
【００６７】
図８（ｃ）では、監視動作切替信号検出部により禁止側ラッチ異常が検出されると（ＳＪ１）、図３（ａ），（ｂ），（ｃ），図４（ｂ）に示すような構成を採用した信号切替部により強制的に監視動作切替信号ＷＤＥＮがローレベルに切り替えられ（ＤＪ２）、その後、異常報知部当該異常が報知される（ＳＪ３）。この場合にも、監視動作切替信号ＷＤＥＮがローレベルに維持され、異常監視部１１が動作可能な状態になるので、その後、通常処理を実行することが可能となる。
【００６８】
図８（ｄ）では、監視動作切替信号検出部により許容側ラッチ異常が検出されると（ＳＫ１）、異常報知部により当該異常が報知された後に（ＳＫ２）、ＣＰＵの制御停止モードに移行する（ＳＫ３）。
【００６９】
尚、上述の何れの実施形態も、異常報知部によりＬＥＤ１４が駆動されるものを説明したが、このような異常報知処理とＣＰＵの制御停止モードとの関係について補足する。ＬＥＤには駆動回路として予め発振回路またはラッチ回路等が設けられ、異常報知部からＬＥＤ１４に駆動信号が出力されると、その後異常報知部から解除信号が入力されるまで、発振回路の周波数で点滅駆動され、或いはラッチ回路により点灯されるように構成することができる。ＬＥＤに駆動回路が設けられていない場合には、ＣＰＵの制御停止モードとして図５（ａ），（ｂ）に示すような場合には、無限ループの処理や出力停止処理にＬＥＤの駆動制御を組み込めばよい。
【００７０】
上述した実施形態では、メータ類の表示部に設けられたＬＥＤ１４を駆動する異常報知部が当該マイクロコンピュータ及び制御プログラムで構成され、ＬＥＤが当該ＥＣＵにより直接駆動されるものを説明したが、異常報知部がＬＩＮバスを介して診断監視用の他のＥＣＵに異常情報を報知し、診断監視用の他のＥＣＵがＬＥＤを駆動するように構成してもよい。
【００７１】
上述の実施形態では、監視動作切替信号ＷＤＥＮの出力状態をモニタする監視動作切替信号検出部と、監視動作切替信号検出部により前記監視動作切替信号の異常が検出されたときに、前記監視動作切替信号を強制的に切り替える信号切替部がマイクロコンピュータ１０により実現される場合の構成を説明したが、監視動作切替信号検出部及び信号切替部は、別途設けた集積回路により実現するように構成してもよい。
【００７２】
例えば、図１０に示すように、マイクロコンピュータ１０から出力される監視動作切替信号ＷＤＥＮ及びイグニッションスイッチの状態信号を入力し、監視動作切替信号ＷＤＥＮを強制的に切り替える制御信号線をＰＮＰ型バイポーラトランジスタのベース端子に接続し、イグニッションスイッチがオンされているときに、監視動作切替信号ＷＤＥＮがハイレベルであれば、制御信号を出力して強制的にローレベルに切り替える集積化された論理回路で構成することができる。
【００７３】
また、図中、破線で示すように、監視動作切替信号ＷＤＥＮがローレベルに制御されるべき状態を示すイグニッションスイッチの状態信号に替えて、マイクロコンピュータ１０から監視動作切替信号ＷＤＥＮに対応する状態信号、または、通常モードと低消費電力モードの何れの動作モードであるかを示す状態信号を論理回路に入力して、上述と同様の制御を行うように構成してもよい。
【００７４】
尚、上述の実施形態は、本発明の一例に過ぎず、本発明の作用効果を奏する範囲において各ブロックの具体的構成等は適宜変更設計できることは言うまでもない。
【図面の簡単な説明】
【００７５】
【図１】車を制御する電子制御ユニットの説明図
【図２】本発明に係る電子制御ユニットの説明図
【図３】（ａ）は、監視切替固定異常時における信号切替部による監視動作切替信号の強制切替の説明図、（ｂ）は、監視切替固定異常時における信号切替部による監視動作切替信号の強制切替の説明図、（ｃ）は、監視切替固定異常時における信号切替部による監視動作切替信号の強制切替の説明図
【図４】（ａ）は、許容側ラッチ異常時における信号切替部による監視動作切替信号の強制切替の説明図、（ｂ）は、禁止側ラッチ異常時、または許容側ラッチ異常時における信号切替部による監視動作切替信号の強制切替の説明図
【図５】（ａ）は、停止制御部の制御停止モードの動作を説明するフローチャート、（ｂ）は停止制御部の制御停止モードの動作を説明するフローチャート、（ｃ）は停止制御部の制御停止モードの動作を説明するフローチャート、（ｄ）は停止制御部の制御停止モードの動作を説明するフローチャート
【図６】マイクロコンピュータの異常信号検出時の動作を説明するフローチャート
【図７】（ａ）は監視動作切替信号検出部による禁止側ラッチ異常検出時におけるマイクロコンピュータの動作を説明するフローチャート、（ｂ）は監視動作切替信号検出部による禁止側ラッチ異常検出時におけるマイクロコンピュータの動作を説明するフローチャート
【図８】（ａ）は監視動作切替信号検出部による禁止側ラッチ異常検出時におけるマイクロコンピュータの動作を説明するフローチャート、（ｂ）は監視動作切替信号検出部による禁止側ラッチ異常検出時におけるマイクロコンピュータの動作を説明するフローチャート、（ｃ）は監視動作切替信号検出部による禁止側ラッチ異常検出時におけるマイクロコンピュータの動作を説明するフローチャート、（ｄ）は監視動作切替信号検出部による許容側ラッチ異常検出時におけるマイクロコンピュータの動作を説明するフローチャート
【図９】別実施形態における電子制御ユニットの説明図
【図１０】別実施形態における電子制御ユニットの説明図
【符号の説明】
【００７６】
１：電子制御装置（電子制御ユニット）
１０：マイクロコンピュータ（制御部）
１１：異常監視部
１２：直流レギュレータ
１３：ウェイクアップ回路
１４：報知部
１１０：発振回路
１１１：カウンタ回路
【図１】
2008276360.tif 000003
【図２】
2008276360.tif 000004
【図３】
2008276360.tif 000005
【図４】
2008276360.tif 000006
【図５】
2008276360.tif 000007
【図６】
2008276360.tif 000008
【図７】
2008276360.tif 000009
【図８】
2008276360.tif 000010
【図９】
2008276360.tif 000011
【図１０】
2008276360.tif 000012