(57)【要約】【課題】第１マイコンの異常を監視する機能が、異常制御回路と第２マイコンとによって二重化された車載電子制御装置において、第２マイコンの動作に異常が生じた場合でも、不要なリセット信号が第２マイコンから第１マイコンへ供給されないこと。【解決手段】第１異常制御回路３０及び第２異常制御回路４０は、各マイコン１０，２０による正常動作信号Ｓｇ１１，Ｓｇ２１各々の出力異常を検出し、リセット信号Ｓｇ１２１，Ｓｇ２２を出力する。第２マイコン２０は、異常監視プログラム２２Ｐの実行により、正常動作信号Ｓｇ１１の出力異常を検出し、リセット信号Ｓｇ１２３を出力する。遅延回路５１は、リセット信号Ｓｇ１２３に対し、異常監視プログラム２２Ｐの実行の異常により発生する非アクティブ状態からアクティブ状態への信号変化を、第２異常制御回路４０の異常検出時間よりも長く遅延させることにより、不正なリセット信号Ｓｇ１２３を無効化する。【選択図】図２
2012006535.tif 000002
【特許請求の範囲】
【請求項１】
車両の機器を制御しつつ第１の正常動作信号を周期的に出力する第１のマイコンと、
前記第１の正常動作信号の出力の異常を検出して異常が検出された際に前記第１のマイコンに対するリセット信号を出力する第１の異常制御回路と、
車両の機器を制御しつつ第２の正常動作信号を周期的に出力するとともに、予め定められた異常監視プログラムを実行することにより、前記第１の正常動作信号の出力の異常を検出して異常が検出された際に前記第１のマイコンに対するリセット信号を出力する第２のマイコンと、
前記第２の正常動作信号の出力の異常を検出して異常が検出された際に前記第２のマイコンに対してリセット信号を供給する第２の異常制御回路と、を備えた車載電子制御装置であって、
前記第２のマイコンから出力されるリセット信号に対し、前記第２のマイコンによる前記異常監視プログラムの実行に異常が生じることにより発生する非アクティブ状態からアクティブ状態への信号変化を無効化する処理を施す不正信号無効化部と、
前記第２のマイコンから出力されて前記不正信号無効化部を経たリセット信号と前記第１の異常制御回路から出力されたリセット信号との論理和の信号を前記第１のマイコンに対してリセット信号として供給する論理和回路と、を備えることを特徴とする車載電子制御装置。
【請求項２】
前記不正信号無効化部は、
前記異常監視プログラムの実行によって前記第２のマイコンから出力されるリセット信号に対し、非アクティブ状態からアクティブ状態への信号変化のみを、前記第２の異常制御回路による前記第２の正常動作信号の出力の異常の検出に要する時間よりも長く遅延させる処理を施す遅延回路である、請求項１に記載の車載電子制御装置。
【請求項３】
前記第２のマイコンは、該第２のマイコンの主メモリにおける各々異なるメモリ領域を用いる第１の異常監視プログラム及び第２の異常監視プログラムを実行し、
前記不正信号無効化部は、
前記第２の異常監視プログラムを実行する前記第２のマイコンと、
前記第１の異常監視プログラムの実行により前記第２のマイコンから出力される第１のリセット信号と前記第２の異常監視プログラムの実行により前記第２のマイコンから出力される第２のリセット信号との論理積の信号を前記論理和回路へ供給する論理積回路と、を含む、請求項１に記載の車載電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車などの車両における機器を制御する複数のマイクロコンピュータを備えた電子制御装置である車載電子制御装置に関するものである。
【背景技術】
【０００２】
従来、車両（自動車）の高機能化に伴い、昨今の車両に搭載された電子制御装置（ＥＣＵ：Electronic Control Unit）は、複数のマイクロコンピュータ（以下、マイコンと略記する。）を備えることが多い。そして、車載ＥＣＵにおいて、複数のマイコンが、走行系の機器、電源系の機器及びその他の機器を制御する。走行系の機器は、例えば、車両におけるエンジン、ステアリング及びブレーキなどの機器である。電源系の機器は、例えば、バッテリからの電力供給ラインに設けられた制御スイッチ及びオルタネータなどの機器である。その他の機器は、例えば、空調機器、オーディオ機器及びカーナビゲーション装置など、車両の居室内の快適性及び利便性に関する機器である。
【０００３】
車載ＥＣＵにおいて、各種のノイズに起因してマイコンの主メモリのデータの一部に異常が生じることにより、マイコンが異常動作をする場合がある。そのため、従来の車載ＥＣＵは、マイコンの動作が正常であるか否かを監視し、動作が異常なマイコンに対してリセット信号を出力する異常制御回路を備える。
【０００４】
異常制御回路は、マイコンから周期的に出力される正常動作信号が、予め定められた周期で発生するか否かを監視する。正常動作信号は、例えば、ウォッチドッグクリア信号などと称される。さらに、異常制御回路は、正常動作信号が予め定められた周期で発生しなかった場合に、マイコンに対してリセット信号を出力する。一方、リセット信号が供給されたマイコンは、リセット処理を実行する。このリセット処理の実行により、マイコンは、正常に動作する状態へ復帰することが多い。
【０００５】
ところで、車載ＥＣＵにおいて、安全の観点からは、走行系の機器及び電源系の機器などの重要な機器を制御するマイコンについて、異常制御回路の機能を二重化することが望ましい。しかしながら、１つのマイコンに対して複数の異常制御回路を設けることは、省電力化及び低コスト化の観点においては好ましくない。
【０００６】
一方、特許文献１には、走行系の機器を制御する第１のマイコンの異常を監視する機能が、異常制御回路と、走行系の機器以外の機器を制御する第２のマイコンとによって二重化された車載ＥＣＵが示されている。特許文献１に示される車載ＥＣＵにおいては、異常制御回路から出力されるリセット信号と第２のマイコンから出力されるリセット信号との論理和の信号が、第１のマイコンに対してリセット信号として供給される。この車載ＥＣＵにより、重要な第１のマイコンに関する異常監視機能の二重化と、省電力化及び低コスト化との両立が可能となる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−１８４４２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、特許文献１に示される車載ＥＣＵにおいては、第１のマイコンを監視する第２のマイコンは、ノイズなどに起因して異常な動作をする場合がある。その場合、第２のマイコンは、これを監視する監視制御回路によってリセットされる前に、第１のマイコンに対して不必要なリセット信号を出力してしまう。即ち、特許文献１に示される車載ＥＣＵは、第２のマイコンの異常動作により、第１のマイコンに対して不必要なリセット信号が供給されるという問題点を有している。
【０００９】
車載ＥＣＵにおいて、重要なマイコンは、リセット処理の最中においてフェールセーフな信号出力が行われるよう構成されている。しかしながら、マイコンは、リセット処理の最中において有効な制御を実行できない。従って、車載ＥＣＵにおいて、走行系の機器及び電源系の機器などを制御する重要なマイコンは、安全上、不必要なリセット処理の実行は極力回避されることが望ましい。
【００１０】
本発明は、第１のマイコンの異常を監視する機能が、異常制御回路と第２のマイコンとによって二重化された車載電子制御装置において、第２のマイコンの動作に異常が生じた場合でも、不要なリセット信号が第２のマイコンから第１のマイコンへ供給されないことを目的とする。
【課題を解決するための手段】
【００１１】
本発明に係る車載電子制御装置は、以下に示す各構成要素を備える。
（１）第１の構成要素は、車両の機器を制御しつつ第１の正常動作信号を周期的に出力する第１のマイコンである。
（２）第２の構成要素は、第１の正常動作信号の出力の異常を検出して異常が検出された際に第１のマイコンに対するリセット信号を出力する第１の異常制御回路である。
（３）第３の構成要素は、車両の機器を制御しつつ第２の正常動作信号を周期的に出力するとともに、予め定められた異常監視プログラムを実行することにより、第１の正常動作信号の出力の異常を検出して異常が検出された際に第１のマイコンに対するリセット信号を出力する第２のマイコンである。
（４）第４の構成要素は、第２の正常動作信号の出力の異常を検出して異常が検出された際に第２のマイコンに対してリセット信号を供給する第２の異常制御回路である。
（５）第５の構成要素は、第２のマイコンから出力されるリセット信号に対し、第２のマイコンによる異常監視プログラムの実行に異常が生じることにより発生する非アクティブ状態からアクティブ状態への信号変化を無効化する処理を施す不正信号無効化部である。
（６）第６の構成要素は、第２のマイコンから出力されて不正信号無効化部を経たリセット信号と第１の異常制御回路から出力されたリセット信号との論理和の信号を第１のマイコンに対してリセット信号として供給する論理和回路である。
【００１２】
また、本発明に係る車載電子制御装置において、不正信号無効化部は、例えば、以下に示される遅延回路である。その遅延回路は、異常監視プログラムの実行によって第２のマイコンから出力されるリセット信号に対し、非アクティブ状態からアクティブ状態への信号変化のみを、第２の異常制御回路による第２の正常動作信号の出力の異常の検出に要する時間よりも長く遅延させる処理を施す回路である。
【００１３】
また、本発明に係る車載電子制御装置において、第２のマイコンは、その第２のマイコンの主メモリにおける各々異なるメモリ領域を用いる第１の異常監視プログラム及び第２の異常監視プログラムを実行することが考えられる。この場合、不正信号無効化部は、以下に示す２つの構成要素を含む。その構成要素の１つ目は、第２の異常監視プログラムを実行する第２のマイコンである。また、その構成要素の２つ目は、第１の異常監視プログラムの実行により第２のマイコンから出力される第１のリセット信号と第２の異常監視プログラムの実行により第２のマイコンから出力される第２のリセット信号との論理積の信号を論理和回路へ供給する論理積回路である。
【発明の効果】
【００１４】
本発明によれば、不正信号無効化部の作用により、第２のマイコンによる異常監視プログラムの実行に異常が生じた場合に、第２のマイコンから出力されるリセット信号に対し、非アクティブ状態からアクティブ状態への信号変化を無効化する処理が施される。
【００１５】
例えば、不正信号無効化部が、前述した遅延回路である場合、その遅延回路の出力信号（リセット信号）における非アクティブ状態からアクティブ状態への信号変化は、第２のマイコンから出力されるリセット信号における同じ信号変化に対し、一定時間遅れて発生する。その遅延時間は、第２の異常制御回路による第２の正常動作信号の出力の異常の検出に要する時間よりも長い時間である。
【００１６】
ここで、第１のマイコンが正常であるにも関わらず、第２のマイコンによる異常監視プログラムの実行に異常が生じることにより、第２のマイコンが、非アクティブ状態からアクティブ状態へ変化する不要なリセット信号を出力した場合を考える。この場合、遅延回路の作用によってその信号変化に対して遅延処理が施されている間に、第２の異常制御回路は、第２のマイコンの異常を検出してリセット信号を出力する。
【００１７】
さらに、第２のマイコンは、遅延回路によってリセット信号に対する遅延処理が施されている間に、第２の異常制御回路からのリセット信号によってリセット処理を実行する。これにより、第２のマイコンは、正常状態に復帰するとともに、不要なリセット信号の出力を停止する。そのため、第２のマイコンから出力されるリセット信号は、アクティブ状態から非アクティブ状態へ変化し、遅延回路の出力信号（リセット信号）は非アクティブ状態のまま保持される。
【００１８】
即ち、第２のマイコンよる異常監視プログラムの実行に異常が生じることによって第２のマイコンから出力されるリセット信号（アクティブ状態の信号）は、遅延回路によって無効化される。そのため、第２のマイコンの動作に異常が生じた場合でも、不要なリセット信号が第２のマイコンから第１のマイコンへ供給されない。
【００１９】
また、第２の異常制御回路の異常によって第２の異常制御回路からリセット信号が出力されない状況下において、正常な第２のマイコンは、第１のマイコンの異常を検出して第１のマイコンに対するリセット信号（アクティブ状態の信号）を出力する。この場合、第２のマイコンから出力されるアクティブ状態のリセット信号は、遅延回路によって一定時間の遅延の後に論理和回路を通じて第１のマイコンへ供給される。即ち、第２の異常制御回路と、異常監視プログラムを実行する正常な第２のマイコンとは、第１のマイコンの異常監視機能の二重化を実現する。
【００２０】
一方、不正信号無効化部が、前述した第２の異常監視プログラムを実行する第２のマイコンと論理積回路とを含む場合、第２のマイコンよる異常監視プログラムの実行に異常が生じることによって第２のマイコンから出力される不要な第１のリセット信号（アクティブ状態の信号）は、以下に示される作用によって無効化される。以下、その理由を説明する。
【００２１】
第２のマイコンの動作が正常である場合、第２のマイコンによる複数の異常監視プログラムの実行により出力される複数のリセット信号の状態（アクティブ状態又は非アクティブ状態）は同じとなる。そのため、それら複数のリセット信号が入力される論理積回路の出力信号（リセット信号）は、複数の異常監視プログラムの実行により出力される正常なリセット信号と同じ信号となる。
【００２２】
一方、第２のマイコンの動作に異常が生じた場合、第２のマイコンによる複数の異常監視プログラムの実行により出力される複数のリセット信号の状態は異なる可能性が高い。そのため、第１の異常監視プログラムに対応するリセット信号が不正にアクティブ状態へ変化してしまった場合でも、第２の異常監視プログラムに対応するリセット信号が非アクティブ状態まま保持され、論理積回路の出力信号（リセット信号）は、非アクティブ信号のまま保持される可能性が高い。
【００２３】
即ち、第２のマイコンよる第１の異常監視プログラムの実行に異常が生じることによって第２のマイコンから出力される第１のリセット信号（アクティブ状態の信号）は、第２の異常監視プログラムを実行する第２のマイコン及び論理積回路によって無効化される。そのため、第２のマイコンの動作に異常が生じた場合でも、不要なリセット信号が第２のマイコンから第１のマイコンへ供給されない。
【００２４】
なお、複数の異常監視プログラムにおける第１の異常監視プログラム及び第２の異常監視プログラムの区分は、不正信号無効化部として不正なリセット信号を無効化する側と出力したリセット信号が無効化される側とを区別するための便宜上の区分である。従って、複数の異常監視プログラムのうちのいずれが第２の異常監視プログラムとして機能するかは状況に応じて変わり得る。
【００２５】
また、第２の異常制御回路の異常によって第２の異常制御回路からリセット信号が出力されない状況下において、正常な第２のマイコンは、第１のマイコンの異常を検出して第１のマイコンに対する第１のリセット信号及び第２のリセット信号をアクティブ状態の信号として出力する。この場合、第２のマイコンから出力されるアクティブ状態の２つのリセット信号の論理積の信号もアクティブ状態の信号となり、その信号が論理和回路を通じて第１のマイコンへ供給される。即ち、第２の異常制御回路と、第１異常監視プログラム及び第２異常監視プログラムを実行する正常な第２のマイコンとは、第１のマイコンの異常監視機能の二重化を実現する。
【図面の簡単な説明】
【００２６】
【図１】本発明の実施形態に係る車載電子制御装置１の主要部のブロック図である。
【図２】本発明の第１実施例に係る車載電子制御装置１Ａの主要部のブロック図である。
【図３】車載電子制御装置１Ａにおいて第２マイコンの動作異常が発生した場合の各信号のタイムチャートの一例である。
【図４】車載電子制御装置１Ａにおいて第１マイコンの動作異常が発生した場合の各信号のタイムチャートの一例である。
【図５】車載電子制御装置１Ａにおいて第１マイコンの動作異常及び第２異常制御回路の異常が発生した場合の各信号のタイムチャートの一例である。
【図６】本発明の第２実施例に係る車載電子制御装置１Ｂの主要部のブロック図である。
【図７】車載電子制御装置１Ｂにおいて第２マイコンの動作異常が発生した場合の各信号のタイムチャートの一例である。
【図８】車載電子制御装置１Ｂにおいて第１マイコンの動作異常が発生した場合の各信号のタイムチャートの一例である。
【図９】車載電子制御装置１Ｂにおいて第１マイコンの動作異常及び第２異常制御回路の異常が発生した場合の各信号のタイムチャートの一例である。
【発明を実施するための形態】
【００２７】
以下、添付の図面を参照しながら、本発明の実施形態及び実施例について説明する。以下の実施形態は、本発明を具体化した一例であって、本発明の技術的範囲を限定するものではない。
【００２８】
本発明の実施形態及び実施例に係る車載電子制御装置１，１Ａ，１Ｂは、自動車における機器を制御する複数のマイクロコンピュータを備えた電子制御装置であ。
【００２９】
＜実施形態＞
まず、図１を参照しつつ、本発明の実施形態に係る車載電子制御装置１の構成について説明する。図１に示されるように、車載電子制御装置１は、第１マイコン１０、第２マイコン２０、第１異常制御回路３０、第２異常制御回路４０、不正信号無効化部５０及び論理和回路６０を備えている。
【００３０】
第１マイコン１０は、自動車における走行系の機器又は電源系の機器などの安全上重要な機器を制御する制御用コンピュータである。第１マイコン１０は、第１ＣＰＵ１１（Central Processing Unit）及び第１リセット回路１２を備える。
【００３１】
第１ＣＰＵ１１は、不図示のＲＯＭ（Read Only Memory）などの記憶部に予め記憶された制御プログラム１１Ｐを主メモリ１１Ｍに展開し、その制御プログラム１１Ｐを実行することにより、不図示の信号出力ポートを通じて、制御対象の機器に対して制御信号を出力する処理を実行する。主メモリ１１Ｍは、通常、ＲＡＭ（Random Access Memory）である。
【００３２】
さらに、第１ＣＰＵ１１は、車両の機器を制御しつつ、予め定められた周期ｔ１１でＯＮ／ＯＦＦの状態が変化する第１ウォッチドッグクリア信号Ｓｇ１１を信号出力ポート１４を通じて出力する。
【００３３】
従って、第１ウォッチドッグクリア信号Ｓｇ１１が一定の周期ｔ１１で変化している状況は、第１マイコン１０が正常に動作している状況である。一方、第１ウォッチドッグクリア信号Ｓｇ１１が、正常に変化した時点からｔ１１よりも長い時間が経過しても変化しない状況は、第１マイコン１０がの動作に異常が生じた状況である。即ち、第１ウォッチドッグクリア信号Ｓｇ１１は、第１マイコン１０が周期的に出力する第１の正常動作信号の一例である。
【００３４】
なお、第１ウォッチドッグクリア信号Ｓｇ１１は、第１異常制御回路３０と第２マイコン２０との両方に供給される。
【００３５】
第１リセット回路１２は、リセット信号入力ポート１３を通じて入力される第１リセット信号Ｓｇ１２が非アクティブ状態からアクティブ状態へ変化した場合に、第１マイコン１０に含まれる第１ＣＰＵ１１及びその他の回路をリセットする処理を実行する回路である。通常、このリセット処理の実行により、第１マイコン１０は正常に動作する状態へ復帰する。
【００３６】
第２マイコン２０は、自動車における走行系の機器及び電源系の機器などの安全上重要な機器以外の機器を制御する制御用コンピュータである。第２マイコン２０は、例えば、空調機器、オーディオ機器及びカーナビゲーション装置など、車両の居室内の快適性及び利便性に関する機器を制御する。第２マイコン２０も、第１マイコン１０と同様に、第２ＣＰＵ２１及び第２リセット回路２２を備える。
【００３７】
第２ＣＰＵ２１は、不図示のＲＯＭなどの記憶部に予め記憶された制御プログラム２１Ｐを主メモリ２１Ｍに展開し、その制御プログラム２１Ｐを実行することにより、不図示の信号出力ポートを通じて、制御対象の機器に対して制御信号を出力する処理を実行する。主メモリ２１Ｍは、通常、ＲＡＭである。
【００３８】
さらに、第２ＣＰＵ２１は、車両の機器を制御しつつ、予め定められた周期ｔ２１でＯＮ／ＯＦＦの状態が変化する第２ウォッチドッグクリア信号Ｓｇ２１を信号出力ポート２４を通じて出力する。第２ウォッチドッグクリア信号Ｓｇ２１は、第１ウォッチドッグクリア信号Ｓｇ１１と同様の信号である。
【００３９】
従って、第２ウォッチドッグクリア信号Ｓｇ２１が一定の周期ｔ２１で変化している状況は、第２マイコン２０が正常に動作している状況である。一方、第２ウォッチドッグクリア信号Ｓｇ２１が、正常に変化した時点からｔ２１よりも長い時間が経過しても変化しない状況は、第２マイコン２０がの動作に異常が生じた状況である。即ち、第２ウォッチドッグクリア信号Ｓｇ２１は、第２マイコン２０が周期的に出力する第２の正常動作信号の一例である。
【００４０】
また、第２ＣＰＵ２１は、不図示のＲＯＭなどの記憶部に予め記憶された異常監視プログラム２２Ｐを主メモリ２１Ｍに展開し、その異常監視プログラム２２Ｐを実行する。異常監視プログラム２２Ｐは、信号入力ポート２５を通じて入力される第１ウォッチドッグクリア信号Ｓｇ１１の変化の異常、即ち、第１マイコン１０による第１ウォッチドッグクリア信号Ｓｇ１１の出力の異常を検出し、異常が検出された際に第１マイコン１０に対するリセット信号Ｓｇ１２３を出力する異常監視処理を規定するプログラムである。なお、リセット信号Ｓｇ１２３は、第２マイコン２０における信号出力ポート２６を通じて出力される。
【００４１】
第２ＣＰＵ２１による異常監視処理は、第１ウォッチドッグクリア信号Ｓｇ１１が変化して元に戻るまでの時間が、予め設定された許容時間範囲（（ｔ１１−Δｔａ）〜（ｔ１１＋Δｔｂ））から逸脱した場合に、アクティブ状態のリセット信号Ｓｇ１２３を出力する処理である。なお、Δｔａ，Δｔｂの値は、予め定められる正の値である。
【００４２】
第２リセット回路２２は、リセット信号入力ポート２３を通じて入力される第２リセット信号Ｓｇ２２が非アクティブ状態からアクティブ状態へ変化した場合に、第２マイコン２０に含まれる第２ＣＰＵ２１及びその他の回路をリセットする処理を実行する回路である。通常、このリセット処理の実行により、第２マイコン２０は正常に動作する状態へ復帰する。
【００４３】
第１異常制御回路３０は、第１ウォッチドッグタイマ３１及び第１異常監視回路３２を備える。第１ウォッチドッグタイマ３１は、予め定められた周波数で発振する発振素子を備えた計時回路である。第１異常監視回路３２は、第１ウォッチドッグタイマ３１の計時機能を利用して、第１マイコン１０による第１ウォッチドッグクリア信号Ｓｇ１１の出力の異常を検出し、異常が検出された際に第１マイコン１０に対するリセット信号Ｓｇ１２１を出力する異常監視処理を行う回路である。第１異常制御回路３０による異常監視処理は、第２ＣＰＵ２１による異常監視処理と同様である。
【００４４】
また、第２異常制御回路４０は、第２ウォッチドッグタイマ４１及び第２異常監視回路４２を備える。第２異常監視回路４２は、第２ウォッチドッグタイマ４１の計時機能を利用して、第２マイコン２０による第２ウォッチドッグクリア信号Ｓｇ２１の出力の異常を検出し、異常が検出された際に第２マイコン２０に対する第２リセット信号Ｓｇ２２を出力する異常監視処理を行う回路である。リセット信号Ｓｇ２２は、第２マイコン２０におけるリセット信号入力ポート２３を通じて、第２リセット回路２２に供給される。
【００４５】
第２異常監視回路４２による異常監視処理は、第２ウォッチドッグクリア信号Ｓｇ２１が変化して元に戻るまでの時間が、予め設定された許容時間範囲（（ｔ２１−Δｔｃ）〜（ｔ２１＋Δｔｄ））から逸脱した場合に、アクティブ状態の第２リセット信号Ｓｇ２２を出力する処理である。なお、Δｔｃ，Δｔｄの値は、予め定められる正の値である。ここで、許容時間範囲の上限時間（ｔ１１＋Δｔｄ）は、第２異常制御回路４０が、第２ウォッチドッグクリア信号Ｓｇ２１の出力の異常を検出するのに要する時間（最大時間）である。
【００４６】
不正信号無効化部５０は、第２マイコン２０から出力されるリセット信号Ｓｇ１２３に対し、第２ＣＰＵ２１による異常監視プログラム２２Ｐの実行に異常が生じることにより発生する非アクティブ状態からアクティブ状態への信号変化を無効化する処理を施す。不正信号無効化部５０の具体例は後に示す。
【００４７】
論理和回路６０は、第２マイコン２０から出力されて不正信号無効化部５０を経たリセット信号Ｓｇ１２２と第１異常制御回路３０から出力されたリセット信号Ｓｇ１２１との論理和の信号を、第１マイコン１０に対して第１リセット信号Ｓｇ１２として供給する回路である。
【００４８】
＜第１実施例＞
次に、図２を参照しつつ、本発明の第１実施例に係る車載電子制御装置１Ａの構成について説明する。車載電子制御装置１Ａは、車載電子制御装置１における不正信号無効化部５０をより具体化した構成を備える。図２において、図１に示される構成要素と同じ構成要素は、同じ参照符号が付されている。以下、車載電子制御装置１Ａ（図２）における車載電子制御装置１（図１）からより具体化された点についてのみ説明する。
【００４９】
図２に示されるように、車載電子制御装置１Ａは、不正信号無効化部５０の一例として遅延回路５１を備える。遅延回路５１は、異常監視プログラム２２Ｐの実行によって第２マイコン２０から出力されるリセット信号Ｓｇ１２３に対し、非アクティブ状態からアクティブ状態への信号変化のみを予め定められた時間ｔ３だけ遅延させる処理を施す回路である。
【００５０】
遅延回路５１は、例えば、リセット信号Ｓｇ１２３を時間ｔ３だけ遅延させる遅延素子と、その遅延素子の出力信号とリセット信号Ｓｇ１２３との両方がアクティブ状態であるときのみアクティブ信号を出力する論理積素子とを備える。この場合、論理積素子の出力信号が、不正信号無効化部５０を経たリセット信号Ｓｇ１２２としてとして出力される。以下、車載電子制御装置１Ａにおけるリセット信号１２２のことを遅延処理後のリセット信号１２２と称する。
【００５１】
以下、図３から図５に示される各信号のタイムチャートを参照しつつ、車載電子制御装置１Ａの動作について説明する。
【００５２】
図３は、車載電子制御装置１Ａにおいて第２マイコン２０の動作異常が発生した場合の各信号のタイムチャートの一例である。第２マイコン２０の動作異常が発生すると、第２ウォッチドッグクリア信号Ｓｇ２１は、正常な変化を示した時点Ｐ１１から、次の信号変化が許容時間範囲（（ｔ２１−Δｔｃ）〜（ｔ２１＋Δｔｄ））内に現れない現象が生じる。
【００５３】
図３に示される例は、第２ウォッチドッグクリア信号Ｓｇ２１が、正常な変化を示した時点Ｐ１１から、許容時間範囲の上限時間ｔ２２（＝（ｔ２１＋Δｔｄ））が経過した時点Ｐ１３までに、新たな信号変化を示さなかった例である。一方、図３の例において、第１マイコン１０の動作は正常であり、第１マイコン１０は、一定周期ｔ１１で変化する第１ウォッチドッグクリア信号Ｓｇ１１を出力し続けている。
【００５４】
また、図３に示される例は、第２マイコン２０が正常であった時点Ｐ１１の後の時点Ｐ１２において、非アクティブ状態からアクティブ状態へ変化するリセット信号Ｓｇ１２３が出力されている。これは、第２マイコン２０による異常監視プログラム２２Ｐの実行に異常が生じたことにより、時点Ｐ１２において、第１マイコン１０の動作が正常であるにも関わらず、第２マイコン２０が不正なリセット信号Ｓｇ１２３を出力してしまったことを示している。
【００５５】
車載電子制御装置１Ａにおいては、第２ウォッチドッグクリア信号Ｓｇ２１が、正常な変化を示した時点Ｐ１１から、許容時間範囲の上限時間ｔ２２が経過した時点Ｐ１３において、第２異常監視回路４２は、第２マイコン２０の動作異常を検知し、アクティブ状態の第２リセット信号Ｓｇ２２を出力する。
【００５６】
さらに、アクティブ状態の第２リセット信号Ｓｇ２２を受けた第２リセット回路２２は、第２マイコン２０のリセット処理を実行し、その後の時点Ｐ１４以降において、第２マイコン２０は正常に動作する状態へ復帰する。
【００５７】
なお、第２異常監視回路４２が第２リセット信号Ｓｇ２２をアクティブ状態に保持する時間ｔ２３は、第２リセット回路２２が、第２リセット信号Ｓｇ２２をリセット処理開始のトリガとして検出するのに要する時間である。
【００５８】
また、第２マイコン２０がリセット処理を開始した時点Ｐ１３において、第２マイコン２０から不正に出力されたアクティブ状態のリセット信号Ｓｇ１２３は、非アクティブ状態へ戻る。
【００５９】
また、車載電子制御装置１Ａにおいて、遅延回路５１が出力する遅延処理後のリセット信号Ｓｇ１２２における非アクティブ状態からアクティブ状態への信号変化は、第２マイコン２０から出力されるリセット信号Ｓｇ１２３における非アクティブ状態からアクティブ状態への信号変化に対し、一定時間ｔ３だけ遅れて発生する。その遅延時間ｔ３は、第２異常制御回路４０が第２ウォッチドッグクリア信号Ｓｇ２１の出力の異常を検出するのに要する時間ｔ２２よりも長い（ｔ３＞ｔ２２）。
【００６０】
従って、第２マイコン２０から出力される不正なリセット信号Ｓｇ１２３は、遅延回路５１によって遅延処理が施されている間に、アクティブ状態から非アクティブ状態へ戻る。その結果、遅延回路５１から出力される遅延処理後のリセット信号Ｓｇ１２２は、非アクティブ状態に保持される。即ち、不要なリセット信号Ｓｇ１２３の出力は、遅延回路５１によって無効化される。
【００６１】
また、第１マイコン１０の動作が正常であるため、第１異常監視回路３２は、出力するリセット信号Ｓｇ１２１を非アクティブ状態に保持する。従って、論理和回路６０は、第１マイコン１０に対して供給される第１リセット信号Ｓｇ１２を非アクティブ状態のまま保持する。
【００６２】
以上に示したように、車載電子制御装置１Ａにおいては、第２マイコン２０の動作異常により、第２マイコン２０から不正なリセット信号Ｓｇ１２３が出力されてしまった場合でも、第１マイコン１０に対して不要な第１リセット信号Ｓｇ１２が供給されることが回避される。
【００６３】
次に、図４に示されるタイムチャートについて説明する。図４は、車載電子制御装置１Ａにおいて第１マイコン１０の動作異常が発生した場合の各信号のタイムチャートの一例である。
【００６４】
図４に示される例は、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ２１から、許容時間範囲の上限時間ｔ１２（＝（ｔ１１＋Δｔｂ））が経過した時点Ｐ２２までに、新たな信号変化を示さなかった例である。一方、図４の例において、第２マイコン２０の動作は正常であり、第２マイコン２０は、一定周期ｔ２１で変化する第２ウォッチドッグクリア信号Ｓｇ２１を出力し続けている。
【００６５】
車載電子制御装置１Ａにおいては、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ２１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ２２において、第１異常監視回路３２は、第１マイコン１０の動作異常を検知し、アクティブ状態のリセット信号Ｓｇ１２１を出力する。
【００６６】
さらに、アクティブ状態のリセット信号Ｓｇ１２１が入力された論理和回路６０は、アクティブ状態のリセット信号Ｓｇ１２１が入力された時点Ｐ２２から、第１リセット回路１２に対してアクティブ状態の第１リセット信号Ｓｇ１２を供給する。
【００６７】
さらに、アクティブ状態の第１リセット信号Ｓｇ１２を受けた第１リセット回路１２は、第１マイコン１０のリセット処理を実行し、その後の時点Ｐ２３以降において、第１マイコン１０は正常に動作する状態へ復帰する。
【００６８】
なお、第１異常監視回路３２がリセット信号Ｓｇ１２１をアクティブ状態に保持する時間ｔ２３は、第１リセット回路１２が、第１リセット信号Ｓｇ１２をリセット処理開始のトリガとして検出するのに要する時間である。
【００６９】
一方、正常な第２マイコン２０も、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ２１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ２２において、第１マイコン１０の動作異常を検知し、アクティブ状態のリセット信号Ｓｇ１２３を出力する。
【００７０】
しかしながら、第２マイコン２０から出力されたアクティブ状態のリセット信号Ｓｇ１２３が、遅延回路５１によって遅延処理が施されている間、即ち、時点Ｐ２２から遅延時間ｔ３が経過するまでの間に、第１マイコン１０は正常に動作する状態へ復帰する（時点Ｐ２４）。
【００７１】
そのため、第２マイコン２０は、遅延回路５１によって遅延処理が施されている間に、正常動作に復帰した第１マイコン１０から出力される第１ウォッチドッグクリア信号Ｓｇ１１の変化を検出し、リセット信号Ｓｇ１２３をアクティブ状態から非アクティブ状態へ戻す。その結果、遅延回路５１から出力される遅延処理後のリセット信号Ｓｇ１２２は、非アクティブ状態に保持される。
【００７２】
次に、図５に示されるタイムチャートについて説明する。図５は、車載電子制御装置１Ａにおいて第１マイコン１０の動作異常及び第２異常制御回路４０の異常が重複して発生した場合の各信号のタイムチャートの一例である。
【００７３】
図５に示される例は、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ３１から、許容時間範囲の上限時間ｔ１２（＝（ｔ１１＋Δｔｂ））が経過した時点Ｐ３２までに、新たな信号変化を示さなかった例である。一方、図５の例において、第２マイコン２０の動作は正常であり、第２マイコン２０は、一定周期ｔ２１で変化する第２ウォッチドッグクリア信号Ｓｇ２１を出力し続けている。
【００７４】
第１異常監視回路３２が異常である場合、第１ウォッチドッグクリア信号Ｓｇ１１が正常な変化を示した時点Ｐ３１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ３２においても、第１異常監視回路３２は、第１マイコン１０の動作異常を検知できず、アクティブ状態のリセット信号Ｓｇ１２１を出力できない。
【００７５】
一方、正常な第２マイコン２０は、第１ウォッチドッグクリア信号Ｓｇ１１が正常な変化を示した時点Ｐ３１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ３２において、第１マイコン１０の動作異常を検知し、アクティブ状態のリセット信号Ｓｇ１２３を出力する。ここで、第２マイコン２０における第２ＣＰＵ２１は、異常監視プログラム２２Ｐに従って、リセット信号Ｓｇ１２３を時間ｔ４の間、アクティブ状態に保持する。この保持時間ｔ４は、遅延回路５１の遅延時間ｔ３と第１マイコン１０のリセット処理を開始させるために必要な時間ｔ２３とを加算した時間である（ｔ４＝ｔ３＋ｔ２３）。
【００７６】
そして、正常な第２マイコン２０がアクティブ状態のリセット信号Ｓｇ１２３を正しく出力した時点Ｐ３２から、遅延時間ｔ３を経過した時点Ｐ３３から、遅延処理後のリセット信号Ｓｇ１２２がアクティブ状態に変化する。そして、遅延処理後のリセット信号Ｓｇ１２２は、時間ｔ２３（＝ｔ４−ｔ３）の間、アクティブ状態に保持される。
【００７７】
さらに、アクティブ状態の遅延処理後のリセット信号Ｓｇ１２２が入力された論理和回路６０は、アクティブ状態の遅延処理後のリセット信号Ｓｇ１２２が入力された時点Ｐ３３から、第１リセット回路１２に対してアクティブ状態の第１リセット信号Ｓｇ１２を供給する。
【００７８】
さらに、アクティブ状態の第１リセット信号Ｓｇ１２を受けた第１リセット回路１２は、第１マイコン１０のリセット処理を実行し、その後の時点Ｐ３４以降において、第１マイコン１０は正常に動作する状態へ復帰する。
【００７９】
図３から図５に示されるように、車載電子制御装置１Ａにおいて、第２異常制御回路４０と、異常監視プログラム２２Ｐを実行する正常な第２マイコン２０とは、第１マイコン１０の異常監視機能の二重化を実現する。
【００８０】
＜第２実施例＞
次に、図６を参照しつつ、本発明の第２実施例に係る車載電子制御装置１Ｂの構成について説明する。車載電子制御装置１Ｂは、車載電子制御装置１における不正信号無効化部５０をより具体化した構成を備える。図６において、図１に示される構成要素と同じ構成要素は、同じ参照符号が付されている。以下、車載電子制御装置１Ｂ（図６）における車載電子制御装置１（図１）からより具体化された点についてのみ説明する。
【００８１】
車載電子制御装置１Ｂにおいて、第２マイコン２０の第２ＣＰＵ２１は、その主メモリ２１Ｍにおける各々異なるメモリ領域を用いる２つの異常監視プログラム２２Ｐ，２３Ｐを実行する。なお、複数の異常監視プログラム２２Ｐ，２３Ｐに従って実行される異常監視処理の内容は同じである。以下、便宜上、一方のプログラムを第１異常監視プログラム２２Ｐと称し、他方のプログラムを第２異常監視プログラム２３Ｐと称する。
【００８２】
第２マイコン２０において、第２ＣＰＵ２１は、第１異常監視プログラム２２Ｐを実行することにより、信号出力ポート２６を通じてリセット信号Ｓｇ１２３を出力する。また、第２ＣＰＵ２１は、第２異常監視プログラム２３Ｐを実行することにより、信号出力ポート２７を通じてもう１つのリセット信号Ｓｇ１２４を出力する。
【００８３】
また、車載電子制御装置１Ｂは、第１異常監視プログラム２２Ｐの実行により出力されるリセット信号Ｓｇ１２３と、第２異常監視プログラム２３Ｐの実行により出力されるリセット信号Ｓｇ１２４との論理積の信号Ｓｇ１２２を出力する論理積回路５２を備える。論理積回路５２は、２つの異常監視プログラム２２Ｐ，２３Ｐ各々に対応する２つのリセット信号Ｓｇ１２３，Ｓｇ１２４の両方がアクティブ状態である場合にのみ、出力信号Ｓｇ１２２をアクティブ状態にする。
【００８４】
車載電子制御装置１Ｂにおいては、不正信号無効化部５０は、第２異常監視プログラム２２Ｐを実行する第２ＣＰＵ２１と論理積回路５２とにより構成される。
【００８５】
以下、図７から図９に示される各信号のタイムチャートを参照しつつ、車載電子制御装置１Ｂの動作について説明する。
【００８６】
図７は、車載電子制御装置１Ｂにおいて第２マイコン２０の動作異常が発生した場合の各信号のタイムチャートの一例である。第２マイコン２０の動作異常が発生すると、第２ウォッチドッグクリア信号Ｓｇ２１は、正常な変化を示した時点Ｐ４１から、次の信号変化が許容時間範囲（（ｔ２１−Δｔｃ）〜（ｔ２１＋Δｔｄ））内に現れない現象が生じる。
【００８７】
図７に示される例は、第２ウォッチドッグクリア信号Ｓｇ２１が、正常な変化を示した時点Ｐ４１から、許容時間範囲の上限時間ｔ２２（＝（ｔ２１＋Δｔｄ））が経過した時点Ｐ４３までに、新たな信号変化を示さなかった例である。一方、図７の例において、第１マイコン１０の動作は正常であり、第１マイコン１０は、一定周期ｔ１１で変化する第１ウォッチドッグクリア信号Ｓｇ１１を出力し続けている。
【００８８】
また、図７に示される例は、時点Ｐ１１の後に第２マイコン２０の動作異常が生じている状況下において、第２マイコン２０から出力される２つのリセット信号のうち、一方のリセット信号Ｓｇ１２３が時点Ｐ４２において非アクティブ状態からアクティブ状態へ変化しているが、他方のリセット信号Ｓｇ１２４は非アクティブ状態のまま保持されている。これは、第２マイコン２０の動作異常が生じたことにより、第１異常監視プログラム２２Ｐの実行結果（リセット信号Ｓｇ１２３）と、第２異常監視プログラム２３Ｐの実行結果（リセット信号Ｓｇ１２４）とが異なってしまったことを示している。
【００８９】
従って、第１異常監視プログラム２２Ｐに対応するリセット信号Ｓｇ１２３はアクティブ状態であるが、論理積回路５２の出力信号Ｓｇ１２２（リセット信号）は、非アクティブ状態のまま保持される。
【００９０】
マイコンにおいて、同じ処理を行う複数のプログラムが、主メモリの異なるメモリ領域を使用して並行して実行された場合、そのマイコンの動作が正常である場合、同じ処理を行う複数のプログラムは同じ結果を出力する。一方、マイコンの動作異常が生じた場合、同じ処理を行う複数のプログラム各々が、異なる結果を出力するという現象が生じやすい。車載電子制御装置１Ｂは、その現象を利用することにより、第１異常監視プログラム２２Ｐによる不正なリセット信号Ｓｇ１２３を、第２異常監視プログラム２３Ｐによるリセット信号Ｓｇ１２４によって無効化する構成を備える。
【００９１】
即ち、第２マイコン２０よる第１異常監視プログラム２２Ｐの実行に異常が生じることによって第２マイコン２０から出力される一方のリセット信号Ｓｇ１２３（アクティブ状態の信号）は、第２異常監視プログラム２３Ｐを実行する第２マイコン２０及び論理積回路５２によって無効化される。そのため、第１異常監視プログラム２２Ｐの実行に異常が生じた場合でも、不要なリセット信号が第２マイコン２０から第１マイコン１０へ供給されない。
【００９２】
なお、複数の異常監視プログラムにおける第１異常監視プログラム２２Ｐ及び第２異常監視プログラム２３Ｐの区分は、不正信号無効化部５０として不正なリセット信号を無効化する側と出力したリセット信号が無効化される側とを区別するための便宜上の区分である。従って、複数の異常監視プログラムのうちのいずれが第２異常監視プログラム２３Ｐとして機能するかは状況に応じて変わり得る。
【００９３】
また、第２ウォッチドッグクリア信号Ｓｇ２１が、正常な変化を示した時点Ｐ４１から、許容時間範囲の上限時間ｔ２２が経過した時点Ｐ４３において、正常な第２異常監視回路４２は、第２マイコン２０の動作異常を検知し、アクティブ状態の第２リセット信号Ｓｇ２２を出力する。
【００９４】
さらに、アクティブ状態の第２リセット信号Ｓｇ２２を受けた第２リセット回路２２は、第２マイコン２０のリセット処理を実行し、その後の時点Ｐ４４以降において、第２マイコン２０は正常に動作する状態へ復帰する。
【００９５】
前述したように、第２異常監視回路４２が第２リセット信号Ｓｇ２２をアクティブ状態に保持する時間ｔ２３は、第２リセット回路２２が、第２リセット信号Ｓｇ２２をリセット処理開始のトリガとして検出するのに要する時間である。
【００９６】
また、第２マイコン２０がリセット処理を開始した時点Ｐ４３において、第２マイコン２０から不正に出力されたアクティブ状態のリセット信号Ｓｇ１２３は、非アクティブ状態へ戻る。
【００９７】
以上に示したように、車載電子制御装置１Ｂにおいても、第２マイコン２０における一部の異常監視プログラム２２Ｐの実行の異常により、第２マイコン２０から不正なリセット信号Ｓｇ１２３が出力されてしまった場合でも、第１マイコン１０に対して不要な第１リセット信号Ｓｇ１２が供給されることが回避される。
【００９８】
次に、図８に示されるタイムチャートについて説明する。図８は、車載電子制御装置１Ｂにおいて第１マイコン１０の動作異常が発生した場合の各信号のタイムチャートの一例である。
【００９９】
図８に示される例は、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ５１から、許容時間範囲の上限時間ｔ１２（＝（ｔ１１＋Δｔｂ））が経過した時点Ｐ５２までに、新たな信号変化を示さなかった例である。一方、図８の例において、第２マイコン２０の動作は正常であり、第２マイコン２０は、一定周期ｔ２１で変化する第２ウォッチドッグクリア信号Ｓｇ２１を出力し続けている。
【０１００】
車載電子制御装置１Ｂにおいては、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ５１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ５２において、第１異常監視回路３２は、第１マイコン１０の動作異常を検知し、アクティブ状態のリセット信号Ｓｇ１２１を出力する。
【０１０１】
また、正常な第２マイコン２０も、第１ウォッチドッグクリア信号Ｓｇ１１が正常な変化を示した時点Ｐ２１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ５２において、第１マイコン１０の動作異常を検知し、アクティブ状態のリセット信号Ｓｇ１２３，Ｓｇ１２４を出力する。その際、２つの異常監視プログラム２２Ｐ，２３Ｐ各々の実行により出力される２つのリセット信号Ｓｇ１２３，Ｓｇ１２４は、同じ変化を示す。
【０１０２】
さらに、アクティブ状態のリセット信号Ｓｇ１２３，Ｓｇ１２４が入力された論理積回路５２は、アクティブ状態のリセット信号Ｓｇ１２３，Ｓｇ１２４が入力された時点Ｐ５２から、論理和回路６０に対してアクティブ状態のリセット信号Ｓｇ１２２を供給する。
【０１０３】
さらに、アクティブ状態のリセット信号Ｓｇ１２１，Ｓｇ１２２が入力された論理和回路６０は、アクティブ状態のリセット信号Ｓｇ１２１，Ｓｇ１２２が入力された時点Ｐ５２から、第１リセット回路１２に対してアクティブ状態の第１リセット信号Ｓｇ１２を供給する。
【０１０４】
さらに、アクティブ状態の第１リセット信号Ｓｇ１２を受けた第１リセット回路１２は、第１マイコン１０のリセット処理を実行し、その後の時点Ｐ５３以降において、第１マイコン１０は正常に動作する状態へ復帰する。
【０１０５】
なお、第１異常監視回路３２がリセット信号Ｓｇ１２１をアクティブ状態に保持する時間ｔ２３は、第１リセット回路１２が、第１リセット信号Ｓｇ１２をリセット処理開始のトリガとして検出するのに要する時間である。
【０１０６】
次に、図９に示されるタイムチャートについて説明する。図９は、車載電子制御装置１Ｂにおいて第１マイコン１０の動作異常及び第２異常制御回路４０の異常が重複して発生した場合の各信号のタイムチャートの一例である。
【０１０７】
図９に示される例は、第１ウォッチドッグクリア信号Ｓｇ１１が、正常な変化を示した時点Ｐ６１から、許容時間範囲の上限時間ｔ１２（＝（ｔ１１＋Δｔｂ））が経過した時点Ｐ３２までに、新たな信号変化を示さなかった例である。一方、図９の例において、第２マイコン２０の動作は正常であり、第２マイコン２０は、一定周期ｔ２１で変化する第２ウォッチドッグクリア信号Ｓｇ２１を出力し続けている。
【０１０８】
第１異常監視回路３２が異常である場合、第１ウォッチドッグクリア信号Ｓｇ１１が正常な変化を示した時点Ｐ６１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ６２においても、第１異常監視回路３２は、第１マイコン１０の動作異常を検知できず、アクティブ状態のリセット信号Ｓｇ１２１を出力できない。
【０１０９】
一方、正常な第２マイコン２０は、第１ウォッチドッグクリア信号Ｓｇ１１が正常な変化を示した時点Ｐ６１から、許容時間範囲の上限時間ｔ１２が経過した時点Ｐ６２において、第１マイコン１０の動作異常を検知し、アクティブ状態の２つのリセット信号Ｓｇ１２３，Ｓｇ１２４を出力する。ここで、第２マイコン２０における第２ＣＰＵ２１は、異常監視プログラム２２Ｐ，２３Ｐ各々に従って、２つのリセット信号Ｓｇ１２３，Ｓｇ１２４を時間ｔ２３の間、アクティブ状態に保持する。この保持時間ｔ２３は、第１マイコン１０のリセット処理を開始させるために必要な時間である。
【０１１０】
そして、正常な第２マイコン２０がアクティブ状態のリセット信号Ｓｇ１２３，Ｓｇ１２４を正しく出力した時点Ｐ６２から時間ｔ２３が経過するまでの間、論理積回路５２の出力信号Ｓｇ１２２（リセット信号）がアクティブ状態に変化する。
【０１１１】
さらに、アクティブ状態のリセット信号Ｓｇ１２２が入力された論理和回路６０は、アクティブ状態のリセット信号Ｓｇ１２２が入力された時点Ｐ６３から、第１リセット回路１２に対してアクティブ状態の第１リセット信号Ｓｇ１２を供給する。
【０１１２】
さらに、アクティブ状態の第１リセット信号Ｓｇ１２を受けた第１リセット回路１２は、第１マイコン１０のリセット処理を実行し、その後の時点Ｐ６４以降において、第１マイコン１０は正常に動作する状態へ復帰する。
【０１１３】
図７から図９に示されるように、車載電子制御装置１Ｂにおいて、第２異常制御回路４０と、異常監視プログラム２２Ｐ，２３Ｐを実行する正常な第２マイコン２０とは、第１マイコン１０の異常監視機能の二重化を実現する。
【０１１４】
なお、車載電子制御装置１Ｂにおいて、第２マイコン２０における第２ＣＰＵ２１が、３つ異常の異常監視プログラムを実行することも考えられる。その場合、論理積回路５２は、第２マイコン２０から出力される３つ異常のリセット信号の論理積信号を出力する。これにより、第２ＣＰＵ２１の動作異常が生じたときに、複数の異常監視プログラムに対応する複数のリセット信号が異なる変化を示す可能性がより高くなり、より確実に不正なリセット信号が無効化される。
【符号の説明】
【０１１５】
１，１Ａ，１Ｂ  車載電子制御装置
１０  第１マイコン
１１  第１ＣＰＵ
１１Ｐ  制御プログラム
１１Ｍ  主メモリ
１２  第１リセット回路
１３  リセット信号入力ポート
１４  信号出力ポート
２０  第２マイコン
２１  第２ＣＰＵ
２１Ｐ  制御プログラム
２１Ｍ  主メモリ
２２  第２リセット回路
２２Ｐ，２３Ｐ  異常監視プログラム
２３  リセット信号入力ポート
２４，２６，２７  信号出力ポート
２５  信号入力ポート
３０  第１異常制御回路
３１  第１ウォッチドッグタイマ
３２  第１異常監視回路
４０  第２異常制御回路
４１  第２ウォッチドッグタイマ
４２  第２異常監視回路
５０  不正信号無効化部
５１  遅延回路
５２  論理積回路
６０  論理和回路
【図１】
2012006535.tif 000003
【図２】
2012006535.tif 000004
【図３】
2012006535.tif 000005
【図４】
2012006535.tif 000006
【図５】
2012006535.tif 000007
【図６】
2012006535.tif 000008
【図７】
2012006535.tif 000009
【図８】
2012006535.tif 000010
【図９】
2012006535.tif 000011