(57)【特許請求の範囲】
【請求項１】
車両制御を実施する制御ＣＰＵと、該制御ＣＰＵに対して通信可能に接続された監視ＣＰＵとを備える車両用電子制御装置において、
監視ＣＰＵは、制御ＣＰＵとの通信状態を監視し通信異常時にはその旨を記憶すると共に該制御ＣＰＵにリセットをかける第１の異常検出手段と、制御ＣＰＵから出力され所定周期で反転するウオッチドッグパルスをモニタして該ウオッチドッグパルスが所定時間以上反転しない場合に、ウオッチドッグパルス異常としてこれを記憶する第２の異常検出手段とを備え、前記第１の異常検出手段による異常検出時間をＸ、前記第２の異常検出手段による異常検出時間をＹとしたとき、
Ｘ≧Ｙ
の関係を満たすよう異常検出時間Ｘ，Ｙを規定したことを特徴とする車両用電子制御装置。
【請求項２】
制御ＣＰＵよりウオッチドッグパルスを入力し該ウオッチドッグパルスが所定の監視時間Ｚだけ途絶えると制御ＣＰＵに対してリセット信号を出力するウオッチドッグ監視回路を更に備え、前記第１の異常検出手段による異常検出時間Ｘと前記ウオッチドッグ監視回路による監視時間Ｚとを、
Ｘ≦Ｚ
の関係を満たすよう規定した請求項１記載の車両用電子制御装置。
【請求項３】
車両制御を実施する制御ＣＰＵと、該制御ＣＰＵに対して通信可能に接続された監視ＣＰＵとを備える車両用電子制御装置において、
監視ＣＰＵは、制御ＣＰＵとの通信状態を監視し通信異常時にはその旨を記憶すると共に該制御ＣＰＵにリセットをかける第１の異常検出手段と、制御ＣＰＵから出力され所定周期で反転するウオッチドッグパルスをモニタして該ウオッチドッグパルスが所定時間以上反転しない場合に、ウオッチドッグパルス異常としてこれを記憶する第２の異常検出手段とを備え、前記第１の異常検出手段による異常検出時間をＸ、前記第２の異常検出手段による異常検出時間をＹとしたとき、
Ｘ＜Ｙ
の関係を満たすよう異常検出時間Ｘ，Ｙを規定し、監視ＣＰＵは、前記第１の異常検出手段による通信異常の検出時にその時点で制御ＣＰＵへのリセット出力の適否を判断し、その結果に応じてリセット出力を制限することを特徴とする車両用電子制御装置。
【請求項４】
監視ＣＰＵは、前記第１の異常検出手段による通信異常の検出時にその時点でウオッチドッグパルスの正常／異常を推測して異常と推測される場合には制御ＣＰＵにリセットをかけないようにした請求項３記載の車両用電子制御装置。
【請求項５】
制御ＣＰＵよりウオッチドッグパルスを入力し該ウオッチドッグパルスが所定の監視時間Ｚだけ途絶えると制御ＣＰＵに対してリセット信号を出力するウオッチドッグ監視回路を備え、前記第２の異常検出手段による異常検出時間Ｙと前記ウオッチドッグ監視回路による監視時間Ｚとを、
Ｙ≦Ｚ
の関係を満たすよう規定した請求項１乃至４の何れかに記載の車両用電子制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、制御ＣＰＵと監視ＣＰＵとを備える車両用電子制御装置であって、特に制御ＣＰＵの異常を適切に監視するための処理に関するものである。
【０００２】
【従来の技術】
車載エンジン等の制御を司る車両用電子制御装置（車載ＥＣＵ）として、車両制御を実施する制御ＣＰＵと、この制御ＣＰＵの動作を監視するための監視ＣＰＵとを具備するものがある。例えば、近年ではＣＰＵの高機能・大容量化により、１つの制御ＣＰＵでエンジン制御（噴射・点火制御）と電子スロットル制御とを実施する構成が提案されており、この場合、制御ＣＰＵに通信可能に接続された監視ＣＰＵは、制御ＣＰＵを監視して電子スロットル制御等が正常に機能しているかどうかを判定する。
【０００３】
また、上記構成の車両用電子制御装置では、制御ＣＰＵと監視ＣＰＵとの間で定期的に通信が行われる。そして、監視ＣＰＵでは制御ＣＰＵからの通信が所定時間途絶えた場合に通信異常である旨判定され、その異常発生の履歴が記憶される。また一般には、制御ＣＰＵの動作はウオッチドッグ監視回路で監視されており、通信異常時にはこのウオッチドッグ監視回路からのリセット出力により制御ＣＰＵがリセットされる。つまり、通信異常であることを受けて制御ＣＰＵが監視ＣＰＵを繰り返しリセットし、それでも通信が回復しないとＷＤパルス（ウオッチドッグパルス）の出力を停止する。すると、ウオッチドッグ監視回路により制御ＣＰＵがリセットされる。しかしこれでは、通信異常の発生からＣＰＵリセットまでに時間を要するため、通信異常時には、監視ＣＰＵにより制御ＣＰＵがリセットされる機能を付与することが考えられている。
【０００４】
更に、制御ＣＰＵからウオッチドッグ監視回路に発信されるＷＤパルスを監視ＣＰＵにも取り込み、監視ＣＰＵでＷＤパルス、すなわち制御ＣＰＵの状態を監視することも考えられている。この場合、制御ＣＰＵの暴走時にＷＤパルスが停止すると、その異常発生が監視ＣＰＵで検出され、その異常の履歴が記憶される。
【０００５】
しかしながら、上記の構成の電子制御装置において、仮に制御ＣＰＵの暴走時を想定すると、制御ＣＰＵでは通信異常とＷＤパルスの出力異常とが共に発生し、これらの異常情報が適切に記憶保持できないという問題が生じる。具体的には、先に通信異常が検出されると、その時点で監視ＣＰＵにより制御ＣＰＵがリセットされ、ＷＤパルスの出力異常である旨記憶できない。故に、ＣＰＵ暴走時にも通信異常であるとしか認識できない場合が生じる。
【０００６】
【発明が解決しようとする課題】
本発明は、上記問題に着目してなされたものであって、その目的とするところは、異常内容の特定を適正に行うことができる車両用電子制御装置を提供することである。
【０００７】
【課題を解決するための手段】
本発明の車両用電子制御装置において、監視ＣＰＵは、制御ＣＰＵとの通信状態を監視し通信異常時にはその旨を記憶すると共に該制御ＣＰＵにリセットをかける（第１の異常検出手段）。また、同監視ＣＰＵは、制御ＣＰＵから出力され所定周期で反転するウオッチドッグパルスをモニタして該ウオッチドッグパルスが所定時間以上反転しない場合に、ウオッチドッグパルス異常としてこれを記憶する（第２の異常検出手段）。かかる場合、請求項１に記載の発明では、第１の異常検出手段による異常検出時間をＸ、第２の異常検出手段による異常検出時間をＹとしたとき、
Ｘ≧Ｙ
の関係を満たすよう異常検出時間Ｘ，Ｙが規定される。
【０００８】
上記構成によれば、仮に制御ＣＰＵが異常状態（暴走状態）となり、通信もウオッチドッグパルス出力も停止した場合、異常検出時間Ｙが経過した時に先にウオッチドッグパルス異常の発生が検出されその旨記憶される。その後、異常検出時間Ｘが経過した時に通信異常の発生が検出されてその旨記憶され、制御ＣＰＵにリセットがかかる。つまり、ウオッチドッグパルス異常と通信異常とが各々確実に記憶され、異常内容の特定を適正に行うことができる。因みに、ＣＰＵ暴走時には、通信異常であることよりもウオッチドッグパルス異常であることが優先的に検出されるのが望ましい。
【０００９】
また、請求項２に記載の発明では、ウオッチドッグ監視回路は、制御ＣＰＵよりウオッチドッグパルスを入力し該ウオッチドッグパルスが所定の監視時間Ｚだけ途絶えると制御ＣＰＵに対してリセット信号を出力する。この構成において、第１の異常検出手段による異常検出時間Ｘとウオッチドッグ監視回路による監視時間Ｚとが、
Ｘ≦Ｚ
の関係を満たすよう規定される。
【００１０】
かかる場合、制御ＣＰＵの暴走に伴い通信及びウオッチドッグパルス出力が共に停止した際、遅くともウオッチドッグ監視回路によるリセット出力までに監視ＣＰＵにより通信異常の発生が検出され、その旨が記憶される。故に、制御ＣＰＵの異常情報が確実に記憶保持できる。
【００１１】
また、請求項３に記載の発明では、前記同様に第１の異常検出手段による異常検出時間をＸ、第２の異常検出手段による異常検出時間をＹとしたとき、
Ｘ＜Ｙ
の関係を満たすよう異常検出時間Ｘ，Ｙを規定し、監視ＣＰＵは、前記第１の異常検出手段による通信異常の検出時にその時点で制御ＣＰＵへのリセット出力の適否を判断し、その結果に応じてリセット出力を制限するようにした。
【００１２】
本請求項３の発明では、異常検出時間Ｘ，Ｙの規定が請求項１とは逆であるが、通信異常検出時に無条件で制御ＣＰＵがリセットされるのではなく、その都度の適否に応じてリセット出力が制限される。故に、例えば制御ＣＰＵが暴走して通信もウオッチドッグパルス出力も停止した場合、通信異常検出時におけるリセット出力が制限され、結果としてウオッチドッグパルス異常と通信異常とが各々確実に記憶されるようになる。
【００１３】
上記請求項３の発明では請求項４に記載したように、監視ＣＰＵは、前記第１の異常検出手段による通信異常の検出時にその時点でウオッチドッグパルスの正常／異常を推測して異常と推測される場合には制御ＣＰＵにリセットをかけないようにすると良い。要するに、通信異常の検出時にウオッチドッグパルスが異常と推測される場合には、その後の異常検出時間Ｙの経過時にウオッチドッグパルス異常の旨が記憶される可能性があり、故に制御ＣＰＵのリセットが制限される。これにより、ウオッチドッグパルス異常と通信異常とが各々確実に記憶されるようになる。
【００１４】
請求項５に記載の発明では、第２の異常検出手段による異常検出時間Ｙとウオッチドッグ監視回路による監視時間Ｚとが、
Ｙ≦Ｚ
の関係を満たすよう規定される。かかる場合、ウオッチドッグパルスの停止時において、遅くともウオッチドッグ監視回路によるリセット出力までに監視ＣＰＵによりウオッチドッグパルス異常の発生が検出され、その旨が記憶される。故に、制御ＣＰＵの異常情報が確実に記憶保持できる。
【００１５】
【発明の実施の形態】
（第１の実施の形態）
以下、この発明を具体化した第１の実施の形態を図面に従って説明する。本実施の形態では、車両用電子制御装置としてのエンジンＥＣＵに本発明を具体化しており、図１にはエンジンＥＣＵの構成を示す。
【００１６】
図１において、エンジンＥＣＵ１０は、エンジンの噴射制御、点火制御及び電子スロットル制御を実施するための制御ＣＰＵ（メインＣＰＵ）１１と、電子スロットル制御を含む制御ＣＰＵ１１の動作に関する監視制御を実施するための監視ＣＰＵ（サブＣＰＵ）１２と、制御ＣＰＵ１１の動作を監視するためのＷＤ回路１３とを備える。制御ＣＰＵ１１は、エンジン回転数、吸気管内圧力、スロットル開度等々のエンジン運転情報を各種センサより随時入力し、当該運転情報に基づき図示しないインジェクタ、イグナイタ、スロットルアクチュエータ等の駆動を制御する。また、制御ＣＰＵ１１は、監視ＣＰＵ１２の動作を監視するための監視制御を実施する。すなわち、監視ＣＰＵ１２は制御ＣＰＵ１１に対して所定周期で反転するＷＤパルスを出力し、制御ＣＰＵ１１は監視ＣＰＵ１２からのＷＤパルスが所定時間以上反転しなかった場合に監視ＣＰＵ１２に対してリセット信号を出力する。
【００１７】
制御ＣＰＵ１１と監視ＣＰＵ１２とは相互に通信可能に接続されており、制御ＣＰＵ１１は、監視ＣＰＵ１２に対してスロットル開度、アクセル開度、フェイルセーフ実施フラグ等、スロットル制御に関するデータを送信する。このとき、制御ＣＰＵ１１から監視ＣＰＵ１２に対しては通常一定の周期でデータが送信され、監視ＣＰＵ１２は制御ＣＰＵ１１からの通信状態を監視する。またその他に、監視ＣＰＵ１２は受信データの内容に基づいてスロットル制御状態を監視する。そして、それらの監視結果を制御ＣＰＵ１１に対して返信する。
【００１８】
制御ＣＰＵ１１は、監視ＣＰＵ１２での監視結果に従い、異常発生時に所定のフェイルセーフ処理を実施する。フェイルセーフ処理として具体的には、車両の退避走行（リンプホーム）を実現すべく、一部の気筒の燃料噴射を休止させる減筒制御や点火時期を遅角させる点火遅角制御等を実施する。
【００１９】
また、制御ＣＰＵ１１は、ＷＤ回路１３に対して所定周期で反転するＷＤパルスを出力する。ＷＤ回路１３は「ウオッチドッグ監視回路」を構成するものであり、制御ＣＰＵ１１からのＷＤパルスが所定時間以上反転しなかった場合に制御ＣＰＵ１１に対してリセット信号を出力する。
【００２０】
制御ＣＰＵ１１からＷＤ回路１３に出力されるＷＤパルスは監視ＣＰＵ１２にも入力される。監視ＣＰＵ１２は、ＷＤパルスの所定エッジ（例えば立ち下がりエッジ）の有無を判別し、所定エッジが所定時間以上検出されない場合、すなわちＷＤパルスが所定時間以上反転しない場合に、制御ＣＰＵ１１のＷＤパルス出力が停止した旨判定する。
【００２１】
監視ＣＰＵ１２にはメモリ１２ａが設けられており、制御ＣＰＵ１１の通信異常やＷＤパルスの出力異常（ＷＤ異常）が検出された際、その履歴情報がメモリ１２ａに記憶されるようになっている。なお、メモリ１２ａは、ＥＥＰＲＯＭやスタンバイＲＡＭ等、電源遮断時にも内容を記憶保持できるメモリである。
【００２２】
本実施の形態では特に、監視ＣＰＵ１２が制御ＣＰＵ１１に対して直接リセットをかけることが可能な構成としており、制御ＣＰＵ１１との通信が正しく行われない場合、監視ＣＰＵ１２が制御ＣＰＵ１１に対してリセット信号を出力する。また、ＷＤ回路１３又は監視ＣＰＵ１２の何れかにより制御ＣＰＵ１１がリセットされる場合、それに連動して監視ＣＰＵ１２もリセットされるよう構成されている。
【００２３】
また本実施の形態では、監視ＣＰＵ１２が制御ＣＰＵ１１の通信異常を検出する異常検出時間をＸ（ｍｓ）、監視ＣＰＵ１２が制御ＣＰＵ１１のＷＤ異常を検出する異常検出時間をＹ（ｍｓ）、ＷＤ回路１３が制御ＣＰＵ１１のＷＤ異常を検出する異常検出時間をＺ（ｍｓ）として規定している。この場合、各異常検出時間Ｘ，Ｙ，ＺがＹ＜Ｚ＜Ｘの関係となるよう各時間が設定されている。具体的には、本実施の形態においてＸ＝１００ｍｓ、Ｙ＝１６ｍｓ、Ｚ＝２４ｍｓとしている。
【００２４】
次に、上記構成のエンジンＥＣＵ１０について制御ＣＰＵ１１の動作監視の概要を説明する。以下、図２〜図５のフローチャートは何れも監視ＣＰＵ１２の処理であり、これらの処理により制御ＣＰＵ１１の動作が監視される。
【００２５】
図２は制御ＣＰＵ１１の通信異常を検出する通信異常検出処理を示すフローチャートであり、この処理は監視ＣＰＵ１２により例えば２ｍｓ毎に実施される。なおこの処理が特許請求の範囲に記載した「第１の異常検出手段」に相当する。
【００２６】
図２において、先ずステップ１０１では、制御ＣＰＵ１１から通信データを受信したか否かを判別し、受信していれば、ステップ１０２で通信監視カウンタを０にクリアする。また、受信していなければ、ステップ１０３で通信監視カウンタを１インクリメントする。
【００２７】
その後、ステップ１０４では、通信監視カウンタがＸ（ｍｓ）相当の値よりも大きくなったか否かを判別し、ＮＯであればそのまま本処理を終了する。また、ＹＥＳである場合、ステップ１０５で通信異常履歴をメモリ（スタンバイＲＡＭ）１２ａに記憶し、続くステップ１０６で制御ＣＰＵ１１をリセットする。
【００２８】
また、図３はＷＤパルス異常の検出処理を示すフローチャートであり、この処理は監視ＣＰＵ１２により例えば２ｍｓ毎に実施される。なおこの処理が特許請求の範囲に記載した「第２の異常検出手段」に相当する。
【００２９】
図３において、先ずステップ２０１では、ＷＤパルスの立ち下がりエッジを検出したか否かを判別する。検出していれば、ステップ２０２でＷＤ監視カウンタを０にクリアすると共にステップ２０３でＷＤ異常履歴をクリアする。また、ＷＤパルスの立ち下がりエッジを検出していなければ、ステップ２０４でＷＤ監視カウンタを１インクリメントする。
【００３０】
その後、ステップ２０５では、ＷＤ監視カウンタがＹ（ｍｓ）相当の値よりも大きくなったか否かを判別し、ＮＯであればそのまま本処理を終了する。また、ＹＥＳである場合、ステップ２０６でＷＤ異常履歴をメモリ（スタンバイＲＡＭ）１２ａに記憶する。
【００３１】
図４は監視ＣＰＵ１２によるイニシャル処理を示すフローチャートである。図４において、先ずステップ３０１では、メモリ１２ａ内のＷＤ異常履歴の有無を判別し、ＷＤ異常履歴有りの場合、ステップ３０２〜３０５の処理を実施する。すなわち、ステップ３０２では、ＷＤ異常カウンタを１インクリメントし、続くステップ３０３では、ＷＤ異常履歴をクリアする。また、ステップ３０４では、ＷＤ異常カウンタが所定値（本実施の形態では２）よりも大きいか否かを判別し、ＹＥＳの場合のみステップ３０５に進み、ＷＤ異常（ＣＰＵ異常）を表すダイアグ出力を実施する。
【００３２】
その後、ステップ３０６では、メモリ１２ａ内の通信異常履歴の有無を判別し、通信異常履歴有りの場合、ステップ３０７〜３１０の処理を実施する。すなわち、ステップ３０７では、通信異常カウンタを１インクリメントし、続くステップ３０８では、通信異常履歴をクリアする。また、ステップ３０９では、通信異常カウンタが所定値（本実施の形態では２）よりも大きいか否かを判別し、ＹＥＳの場合のみステップ３１０に進み、通信異常を表すダイアグ出力を実施する。
【００３３】
通信異常及びＷＤ異常のカウンタ値等はＩＧスイッチのＯＦＦ時に消去される。すなわち、監視ＣＰＵ１２はＩＧスイッチのＯＦＦ時に図５の処理を実施する。この場合監視ＣＰＵ１２は、ステップ４０１で通信異常カウンタをクリアし、ステップ４０２でＷＤ異常カウンタをクリアする。また、ステップ４０３で通信異常履歴をクリアし、ステップ４０４でＷＤ異常履歴をクリアする。
【００３４】
要するに上記図４及び図５の処理によれば、１トリップ（ＩＧスイッチのＯＮ〜ＯＦＦまでの間）にＷＤ異常又は通信異常が２回以上発生した場合にダイアグ出力が実施される。ダイアグ出力時には、制御ＣＰＵ１１が所定のフェイルセーフ処理を実施する。つまり、退避走行を行うべく減筒制御や点火遅角制御等が実施される。
【００３５】
次に、異常監視の様子を図６のタイムチャートを用いてより具体的に説明する。図６は制御ＣＰＵ１１が暴走状態になる場合を想定したものであり、図中のタイミングｔ１以降、制御ＣＰＵ１１が暴走する。
【００３６】
図６において、タイミングｔ１以前は制御ＣＰＵ１１から監視ＣＰＵ１２に対して定期的（４ｍｓ毎）に通信データが送信されると共に、一定周期（８ｍｓ周期）でＷＤパルスが反転される。このとき、ＷＤ監視カウンタ及び通信監視カウンタは０付近の値で推移する。勿論、異常履歴が記憶されることはない。
【００３７】
タイミングｔ１では制御ＣＰＵ１１の暴走に伴い通信及びＷＤパルス出力が停止される。これにより、ＷＤ監視カウンタ及び通信監視カウンタが次第にカウントアップされ、異常検出時間Ｙが経過したタイミングｔ２ではＷＤ異常履歴がメモリ１２ａに記憶される。
【００３８】
またその後、異常検出時間Ｚが経過したタイミングｔ３ではＷＤ回路１３から制御ＣＰＵ１１に対してリセット信号が出力される。これにより、制御ＣＰＵ１１がリセットされ、それに引き続き監視ＣＰＵ１２もリセットされる。その後、タイミングｔ４で各ＣＰＵ１１，１２が再起動すると、メモリ１２ａ内のＷＤ異常履歴がクリアされると共に、ＷＤ異常カウンタが１カウントアップされる。なおタイミングｔ４以降、図示の通り制御ＣＰＵ１１が正常に復帰すると、ＷＤ監視カウンタ及び通信監視カウンタが再び０付近の値で推移するようになる。
【００３９】
上記図６では、Ｙ＜Ｚの関係にあることから、ＷＤ回路１３によるリセット出力の前に監視ＣＰＵ１２でＷＤ異常履歴が確実に記憶保持できる。また、Ｙ＜Ｘの関係にあることから、ＷＤ異常履歴の記憶前に通信異常に伴い制御ＣＰＵ１１がリセットされるという不都合は生じない。このことからも、ＷＤ異常履歴が確実に記憶保持できることが言える。
【００４０】
図示は省略するが、制御ＣＰＵ１１において通信停止で且つＷＤパルス正常となる場合には、通信監視カウンタのみが次第にカウントアップされる。そして、通信監視カウンタの値がＸ相当の値になった時に、通信異常履歴がメモリ１２ａに記憶されると共に監視ＣＰＵ１２により制御ＣＰＵ１１がリセットされる。
【００４１】
また逆に、制御ＣＰＵ１１においてＷＤパルス停止で且つ通信正常となる場合には、ＷＤ監視カウンタのみが次第にカウントアップされる。そして、上記図６と同様に、ＷＤ監視カウンタの値がＹ相当の値になった時に、ＷＤ異常履歴がメモリ１２ａに記憶される。更に、ＷＤ異常から異常検出時間Ｚが経過した時にＷＤ回路１３により制御ＣＰＵ１１がリセットされる。
【００４２】
以上詳述した本実施の形態によれば、各異常検出時間Ｘ，Ｙ，Ｚを「Ｙ＜Ｚ＜Ｘ」の関係に規定したため、制御ＣＰＵ１１の暴走時にもＷＤパルス異常と通信異常とが各々確実に記憶され、異常内容の特定を適正に行うことができる。
【００４３】
異常内容の特定が適正に行われることにより、その後のフェイルセーフ処理も適正に実施できる。つまり、通信異常かＷＤパルス異常（ＣＰＵ異常）かに応じた適切な処置が可能となる。
【００４４】
上記構成では、各異常検出時間Ｘ，Ｙ，Ｚを「Ｙ＜Ｚ＜Ｘ」の関係に規定したがこれを変更し、「Ｙ＜Ｘ＜Ｚ」の関係に規定することも可能である。つまり、異常検出時間Ｘ，Ｚの大小関係を逆にする（Ｘ＜Ｚとする）。この場合のタイムチャートを図７に示す。図７には前記図６と同様、制御ＣＰＵ１１の暴走時の動作を示す。
【００４５】
図７では、前記図６と同様にタイミングｔ１１で制御ＣＰＵ１１の通信及びＷＤパルス出力が停止される。これにより、ＷＤ監視カウンタ及び通信監視カウンタが次第にカウントアップされ、異常検出時間Ｙが経過したタイミングｔ１２ではＷＤ異常履歴がメモリ１２ａに記憶される。
【００４６】
その後、異常検出時間Ｘが経過したタイミングｔ１３では通信異常履歴がメモリ１２ａに記憶される。そして、このタイミングｔ１３で監視ＣＰＵ１２により制御ＣＰＵ１１がリセットされる。その後、タイミングｔ１４で各ＣＰＵ１１，１２が再起動すると、メモリ１２ａ内のＷＤ異常履歴及び通信異常履歴がクリアされると共に、ＷＤ異常カウンタ及び通信異常フラグが各々１カウントアップされる。
【００４７】
上記の如く「Ｙ＜Ｘ＜Ｚ」の関係を規定した場合、制御ＣＰＵ１１の暴走により通信及びＷＤパルス出力が共に停止した際にＷＤ異常と通信異常の履歴が両方共確実に記憶できる。
【００４８】
（第２の実施の形態）
次に、本発明における第２の実施の形態について、上述した第１の実施の形態との相違点を中心に説明する。本実施の形態では、異常検出時間Ｘ，Ｙを「Ｘ＞Ｙ」に規定したがこの大小関係を逆する（Ｘ＜Ｙとする）。この場合、Ｘ＜Ｙとすることで、前述の通り制御ＣＰＵ１１の暴走時において先に通信異常が検出され、ＷＤ異常履歴を記憶する前にリセットがかかることが懸念されるが、本実施の形態では通信異常の検出時にその時点で制御ＣＰＵ１１にリセットをかけて良いかどうかが判断される。つまり、その判断の結果に結果に応じてリセット出力が許可又は禁止される。これにより、異常内容の特定を適正に行うことを実現する。
【００４９】
図８は本実施の形態における通信異常検出処理を示すフローチャートであり、この処理は前記図２に置き換えて実施される。図８の処理は、前記図２の処理に対してステップ５０１を追加したものである。
【００５０】
要するに図８では、通信監視カウンタがＸ（ｍｓ）相当の値よりも大きくなった場合、通信異常履歴をメモリ１２ａに記憶する（ステップ１０４，１０５）。そして、ステップ５０１では、その時点でＷＤパルスが正常であるがどうかを推測する。このとき、ＷＤパルスのエッジの確認によりＷＤパルスの正常／異常が推測される。ＷＤパルスが正常でないと推測される場合にはそのまま本処理を終了する。また、ＷＤパルスが正常であると推測される場合にはステップ１０６に進み、制御ＣＰＵ１１をリセットする。
【００５１】
上記図８の処理に対応するタイムチャートを図９に示す。図９には前記図６等と同様、制御ＣＰＵ１１の暴走時の動作を示す。
図９では、前記図６等と同様にタイミングｔ２１で制御ＣＰＵ１１の通信及びＷＤパルス出力が停止され、ＷＤ監視カウンタ及び通信監視カウンタが次第にカウントアップされる。そして、異常検出時間Ｘが経過したタイミングｔ２２で通信異常履歴がメモリ１２ａに記憶される。このとき、ＷＤパルスの正常／異常が推測され、ＷＤ異常と推測されると監視ＣＰＵ１２による制御ＣＰＵ１１のリセットが行われない（図示の状態）。
【００５２】
その後、異常検出時間Ｙが経過したタイミングｔ２３でＷＤ異常履歴がメモリ１２ａに記憶され、更に異常検出時間Ｚが経過したタイミングｔ２４でＷＤ回路１３により制御ＣＰＵ１１がリセットされる。その後、タイミングｔ２５で各ＣＰＵ１１，１２が再起動すると、メモリ１２ａ内のＷＤ異常履歴及び通信異常履歴がクリアされると共に、ＷＤ異常カウンタ及び通信異常フラグが各々１カウントアップされる。
【００５３】
但し、タイミングｔ２２でＷＤパルスが正常であると推測される場合には、そのタイミングｔ２２で制御ＣＰＵ１１がリセットされる。因みに、タイミングｔ２２でＷＤパルス異常が誤って推測された場合、その時点では制御ＣＰＵ１１がリセットされないが、次に通信異常が検出された時に制御ＣＰＵ１１がリセットされることとなる。
【００５４】
要するに、通信異常の検出時にＷＤパルスが異常と推測される場合には、その後の異常検出時間Ｙの経過時にＷＤパルス異常の旨が記憶される可能性があり、故に制御ＣＰＵ１１のリセットが制限される。これにより、ＷＤパルス異常と通信異常とが各々確実に記憶されるようになる。
【００５５】
上記第２の実施の形態では、通信異常の検出時にＷＤパルスの正常／異常を推測しその結果に応じて制御ＣＰＵ１１へのリセット出力を制限したが、この構成を変更する。例えば、通信異常の検出時に過去の異常履歴（通信又はＷＤの異常履歴）等に応じて制御ＣＰＵ１１へのリセット出力を制限しても良い。
【００５６】
各異常検出時間Ｘ，Ｙ，Ｚを規定する場合に、Ｘ≧Ｙ、Ｘ≦Ｚ、Ｙ≦Ｚとする等、イコールを含むよう大小関係を規定しても良い。要は、異常検出時間が同一であっても、異常履歴等の情報が確実に記憶できさえすれば良い。
【００５７】
監視ＣＰＵ１２とＷＤ回路１３とを一つのＩＣに集約し一体化することも可能である。この場合、エンジンＥＣＵ１０としてのコスト削減を図ることができる。
【００５８】
上記各実施の形態では、制御ＣＰＵ１１として、車両におけるエンジン制御機能と電子スロットル制御機能とを集約したものを用いたが、この構成を変更する。例えば、エンジン制御用のＣＰＵ（メインＣＰＵ）と電子スロットル制御用のＣＰＵ（サブＣＰＵ）とを個別に設ける構成であっても良い。この場合にも上記の如く各異常検出時間を規定することで、所望の効果が得られることとなる。
【図面の簡単な説明】
【図１】発明の実施の形態におけるエンジンＥＣＵの概要を示す構成図。
【図２】監視ＣＰＵによる通信異常検出処理を示すフローチャート。
【図３】監視ＣＰＵによるＷＤ異常検出処理を示すフローチャート。
【図４】監視ＣＰＵによるイニシャル処理を示すフローチャート。
【図５】監視ＣＰＵによるＩＧＳＷＯＦＦ時の処理を示すフローチャート。
【図６】制御ＣＰＵの暴走時の動作を示すタイムチャート。
【図７】制御ＣＰＵの暴走時の動作を示すタイムチャート。
【図８】第２の実施の形態において監視ＣＰＵによる通信異常検出処理を示すフローチャート。
【図９】制御ＣＰＵの暴走時の動作を示すタイムチャート。
【符号の説明】
１０…エンジンＥＣＵ、１１…制御ＣＰＵ、１２…監視ＣＰＵ、１２ａ…メモリ、１３…ＷＤ回路。
【図１】
0003923810.tif 000002
【図２】
0003923810.tif 000003
【図３】
0003923810.tif 000004
【図４】
0003923810.tif 000005
【図５】
0003923810.tif 000006
【図６】
0003923810.tif 000007
【図７】
0003923810.tif 000008
【図８】
0003923810.tif 000009
【図９】
0003923810.tif 000010