JP4454672B2

JP4454672B2 - 監視制御回路を有する車載電子制御装置

Info

Publication number: JP4454672B2
Application number: JP2008155562A
Authority: JP
Inventors: 光司橋本
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2008-06-13
Filing date: 2008-06-13
Publication date: 2010-04-21
Anticipated expiration: 2028-06-13
Also published as: US8712635B2; DE102008063625A1; JP2009298308A; DE102008063625B4; US20090312898A1

Description

この発明は、マイクロプロセッサを内蔵した車載電子制御装置、特に制御の安全性を向上するために当該マイクロプロセッサに対してシリアル接続された監視制御回路を有するエンジン制御装置等の車載電子制御装置の改良に関するものである。

マイクロプロセッサを搭載した車載電子制御装置に於いて、当該マイクロプロセッサが正常に動作しているか否かを常時監視するために監視制御回路部を設けて、当該監視制御回路部が主制御回路部となるマイクロプロセッサに対して質問情報を送信し、マイクロプロセッサがこの質問情報に対する回答情報を返信し、監視制御回路部は予め提供されている正解情報と比較して正常な回答が得られたかどうかを確認するいわゆるＱ＆Ａ方式の異常判定手段を用いることは公知である。

例えば、下記に示す特許文献１によれば、制御ユニット内で制御機能が実施されると共に、当該制御機能を監視する監視モジュールが設けられ、当該監視モジュールは制御ユニットに対して質問情報を伝達し、制御ユニットは応答情報を計算して監視モジュールに伝達し、監視モジュールは当該応答情報によって制御機能のエラーを認識する異常監視の方法が開示されている。特許文献1に示された従来の装置に於いて、監視される制御ユニットは、エンジン制御装置、変速機制御装置、操舵制御装置、制動制御装置等の車載制御装置である。

また、下記に示す特許文献２によれば、マイクロプロセッサを内蔵する電子制御装置に於いて、制御プログラムの一部を定期的に代替実行して運転中に動作点検を行うものであって、不揮発プログラムメモリの内容と入力センサ群の動作状態に応動して電気負荷群を制御するマイクロプロセッサに対して、監視制御回路部は照会パケットによって多数の質問事項を順次送信し、マイクロプロセッサからの応答内容と正解情報とを比較して異常判定を行い、マイクロプロセッサは照会パケットの受信間隔を診断して監視制御回路部の監視動作を逆監視する技術が開示されている。

特許文献２に示された従来の技術に於けるＱ＆Ａによる異常判定手段の概要は、図２３に示すとおりである。即ち、図２３に於いて、電子制御装置１はマイクロプロセッサ２ａを包含した主制御回路部２と、この主制御回路部２に対してシリアル接続された監視制御回路部３によって構成されている。

主制御回路部２は、入力信号Ａ、Ｂ、Ｃを含むその他の多数の入力信号の動作状態に応動して、出力信号Ｙを含むその他の多数の出力信号を発生して電気負荷を駆動制御するように構成されていて、その制御仕様はマイクロプロセッサ２ａと協働するプログラムメモリ２ｂの内容によって決定されるようになっている。

監視対象プログラム２ｃは、一例として入力信号Ａ、Ｂ、Ｃと、プログラムメモリ２ｂに予め格納されている制御定数Ｋを基にして、［出力信号Ｙ＝Ｋ×（Ａ−Ｂ）＋Ｃ］を算出するものとなっている。プログラムメモリ２ｂには模擬演算用データ２ｆが格納されていて、当該模擬演算用データ２ｆのデータテーブル［１、２、・・・ｎ］を代表するテーブルｎは、制御定数Ｋと入力信号Ａ、Ｂ、Ｃに対応した模擬定数Ａｎ、Ｂｎ、Ｃｎによって構成されているが、どのテーブル番号のものを模擬演算用として使用するのかは監視制御回路部３からの質問情報によってランダムに更新指定されるようになっている。

入力情報選択切換え手段２ｄは、監視対象プログラム２ｃに対して入力信号Ａ、Ｂ、Ｃに代わってデータテーブルｎを定期的に指定し、その演算結果である［Ｙｎ＝Ｋ×（Ａｎ−Ｂｎ）＋Ｃｎ］は、出力先の選択切換え手段２ｅを介して回答情報として監視制御回路部３へ定期的に送信されるようになっている。監視制御回路部３には、質問情報（模擬演算用のデータテーブル番号）に対応した正解情報が正解情報格納メモリに予め格納されており、異常判定手段３ａは主制御回路部２から得られた回答情報と当該正解情報とを比較して異常の有無を判定するようになっている。

なお、データテーブルを用いた模擬演算を行なうときの制御プログラムは、監視対象プログラム２ｃがそのまま使用されるか、又は当該監視対象プログラム２ｃをプログラムメモリ２ｂの異なるアドレス領域に書込んだコピープログラム２ｇを用いることもある。

特開２００３−１３１７３４号公報（図１、要約、段落[００３５]〜[００３８]参照）特開２００５−０３１８６５号公報（図１、要約参照）

特許文献１に示された車両の駆動シーケンス制御の監視方法は、様々な対象制御ユニットについて開示しているが、これ等の対象制御ユニットを一つの制御装置から一括監視するための効率的な情報伝達方法或いは異常監視方法について論及されていない。従って、外部制御装置と協働する車載電子制御装置の異常監視を監視制御回路部によって一元管理し、主制御回路部と外部制御装置の異常を識別して、検出された異常内容に応じた異常処理を行うことができない欠点がある。

また、特許文献２に示された電子制御装置に於ける監視制御回路部は、多様な外部接続機器に関する監視ではなく、これらを一括監視するための効率的な情報伝達方法或いは異常監視方法について論及されていない。従って、外部制御装置と協働する車載電子制御装置の異常監視を監視制御回路部によって一元管理し、主制御回路部と外部制御装置の異常を識別して、検出された異常内容に応じた異常処理を行うことができない欠点がある。

いずれの従来の技術の場合も、主たる制御ユニットに対する異常監視とその他の協働補機に対する異常監視に関する識別管理を行って、異常検出時の処理方法の差別化を図ることができないという課題が残されている。

この発明の第一の目的は、主制御回路部と監視制御回路部によって構成され、外部制御装置と協働する車載電子制御装置の異常監視を、監視制御回路部によって一元管理することができる車載用電子制御装置を提供することである。

この発明の第二の目的は、主制御回路部と外部制御装置の異常を識別して、検出された異常内容に応じた異常処理を行うことができる車載用電子制御装置を提供することである。

この発明の第三の目的は、これ等の異常監視と異常処理を行うための簡易な質問情報生成手段と送信回答編集手段を備えた車載用電子制御装置を提供することである。

この発明による監視制御回路を有する車載電子制御装置は、不揮発プログラムメモリと、演算処理用ＲＡＭメモリと、第一の入力センサ群が接続された第一の入力インタフェース回路と、第一の電気負荷群が接続された第一の出力インタフェース回路と、前記不揮発プログラムメモリに格納された制御プログラムの内容と前記第一の入力センサ群の動作状態に応動して前記第一の電気負荷群を制御するマイクロプロセッサとを備えた主制御回路部と、前記マイクロプロセッサに対して第一の通信回路によって接続され複数の質問情報を順次選択送信する質問情報生成手段と、前記質問情報に対する正解情報格納メモリと、前記質問情報に基づく前記主制御回路部からの回答情報と前記正解情報格納メモリに格納されている正解情報とを比較して異常の有無を判定する異常判定手段とを有する監視制御回路部とを備えた車載電子制御装置であって、
前記主制御回路部は、第二の通信回路を介して接続されて制御信号を相互に交信する外部制御装置と協働し、当該外部制御装置は、補機プログラムメモリと協働する補機マイクロプロセッサによって構成された協働補機を備え、当該補機プログラムメモリは、前記主制御回路部から送信された質問情報に応動して回答情報を生成し、補機回答情報として前記主制御回路部に回答返信する外部回答生成送信手段となる制御プログラムを包含し、
前記質問情報生成手段は、前記主制御回路部と前記外部制御装置の全てに対して適用される一斉質問情報、又は前記主制御回路部と前記外部制御装置に対して個別に適用される個別質問情報が付加されており、前記一斉質問情報又は個別質問情報は、前記監視制御回路部から前記主制御回路部に送信され、前記外部制御装置に対しては前記主制御回路部を中継して送信され、
前記不揮発プログラムメモリは、前記一斉質問情報又は個別質問情報に対応して主機回答情報を生成する主機回答生成手段となる制御プログラムを包含すると共に、前記一斉質問情報に対応して、前記主機回答情報と補機回答情報とを合算集計した合成回答情報を送信する送信回答編集手段となる制御プログラムを包含し、
前記正解情報格納メモリには、前記主制御回路部が発生する主機回答情報に関する主機正解情報、又は前記補機回答情報に対する補機正解情報と前記主機正解情報とを合算集計した合成正解情報が格納され、前記補機正解情報は、前記正解情報格納メモリに保存されるか、又は前記不揮発プログラムメモリに格納されており、
前記異常判定手段は、少なくとも前記監視制御回路部が発生した一斉質問情報又は個別質問情報に基づいて、前記主制御回路部の異常監視を行なうと共に、前記主制御回路部と監視制御回路部は協働して前記外部制御装置に対する異常を識別監視するように構成したものである。

この発明による監視制御回路を有する車載電子制御装置は、外部制御装置と協働する主制御回路部に接続された監視制御回路部を備え、当該監視制御回路部は一斉質問情報を発生して主制御回路部から得られる合成回答情報によって主制御回路部の動作状態を監視すると共に、監視制御回路部と主制御回路部は協働して外部制御装置の動作状態を監視して、外部制御装置又は主制御回路部の異常発生に伴う異常処理を分担するように構成され、監視制御回路部と外部制御装置間の交信は主制御回路部と外部制御装置間に設けられている通信回線を利用して行なわれるので、簡単なシステム構成によって外部制御装置に対する異常監視を行なうことができると共に、外部制御装置の個々に質問・回答による異常監視機能を付加する必要がなくて、一元的に異常監視を行なうことができて安全性が向上する効果がある。
また、一斉質問と合成回答によって相互の通信情報を削減して、通信制御負担を軽減することができると共に、監視制御回路部と主制御回路部は主制御回路部と外部制御装置の異常を識別して判定して、主制御回路部に対して異なる異常処理を選択実行することができる効果がある。

実施の形態１．
(１）実施の形態１の構成の詳細な説明
以下この発明の実施の形態１による監視制御回路を有する車載電子制御装置の構成について説明する。図１は、この発明の実施の形態１による監視制御回路を有する車載電子制御装置の全体構成図である。図１に於いて、車載電子制御装置１０Ａは、マイクロプロセッサ２０を主体として構成された主制御回路部２０Ａと、論理回路部３０ａを主体として構成された監視制御回路部３０Ａを備えており、車載バッテリである外部電源１３から給電されて動作するように構成されている。

先ず、電子制御装置１０Ａの外部に接続される装置について説明する。第一の入力センサ群１１ａは、例えばエンジン回転センサやクランク角センサ等のエンジン回転と同期してＯＮ／ＯＦＦ動作する高速開閉信号や、アクセルペダルの踏込み度合を検出するアクセルポジションセンサ、吸気スロットルの弁開度を検出するスロットルポジションセンサ、エンジンに対する吸気量を検出するエアフローセンサ、排気ガスの酸素濃度を検出する排気ガスセンサ等のエンジンの駆動制御を行なうためのアナログセンサによって構成されている。

前述の電子制御装置１０Ａにより駆動される第一の電気負荷群１２ａは、例えば燃料噴射用電磁弁、点火コイル（ガソリンエンジンの場合）、吸気弁開度制御用モータ等、エンジン回転と連動して動作したり、エンジンの駆動に直接関連する電気負荷によって構成されている。

第二の入力センサ群１１ｂは、例えば変速機用シフトレバーの選択スイッチ、アクセルペダルスイッチ、ブレーキペダルスイッチなどの操作スイッチ、或いはエンジンの冷却水温センサ、油圧センサ、気圧センサ等のアナログセンサによって構成されている。第二の電気負荷群１２ｂは、負荷給電用の電源リレー、エアコン駆動用の電磁クラッチ、警報・表示機器等のエンジンの駆動とは直接的に関係しない補機類の電気負荷によって構成されている。

外部ツール１９は、製品出荷時又は保守点検時に前述の電子制御装置１０Ａに対して図示しない脱着コネクタを介して接続され、シリアルインタフェース回路２９を介してマイクロプロセッサ２０と交信することによって後述の不揮発プログラムメモリ２５Ａに制御プログラムや制御定数を転送書込みするためのものである。

次に、電子制御装置１０Ａの内部の構成について説明する。主制御回路部２０Ａは、例えば不揮発フラッシュメモリであるプログラムメモリ２５Ａと演算処理用のＲＡＭメモリ２４と協働する３２ビットのマイクロプロセッサ２０を主体として構成され、第一の入力センサ群１１ａの中のアナログセンサに対する多チャンネルＡＤ変換器２６や、第二のシリアル通信回路を構成する通信端末２８、図示しないシリアル通信用のダイレクト・メモリアクセス・コントローラ（以下ＤＭＡという）を備えている。

なお、通信端末２８としては、例えばＮ対Ｎの双方向通信が行なえるＣＡＮモジュール（Controller-Area-Network Module）が使用されている。第一の入力インタフェース回路２１は、第一の入力センサ群１１ａとマイクロプロセッサ２０の入力ポート間に接続され、信号電圧レベルの変換や信号ノイズを抑制するためのローパスフィルタによって構成されている。第一の出力インタフェース回路２２は、第一の電気負荷群１２ａとマイクロプロセッサ２０の出力ポート間に接続され、各種電気負荷を駆動するためのパワートランジスタによって構成されている。

なお、プログラムメモリ２５Ａには、通信制御プログラムや入出力制御プログラムに加えて、図５、図８により後述する制御プログラムや制御定数が格納されている。

監視制御回路部３０Ａは、例えばゲートアレーによって構成された論理回路部３０ａを主体として構成されており、論理回路部３０ａは、演算処理用のＲＡＭメモリ３４、不揮発ＥＥＰＲＯＭメモリ等により構成されたデータメモリ３５Ａ、第二の入力センサ群１１ｂの中のアナログセンサに対する多チャンネルＡＤ変換器３６と協働するように構成されている。第二の入力インタフェース回路３１は、第二の入力センサ群１１ｂと論理回路部３０ａの入力ポート間に接続され、信号電圧レベルの変換や信号ノイズを抑制するためのローパスフィルタによって構成されている。

第二の出力インタフェース回路３２は、第二の電気負荷群１２ｂと論理回路部３０ａの出力ポート間に接続され、各種電気負荷を駆動するためのパワートランジスタによって構成されている。なお、論理回路部３０ａは、入出力信号や質問／回答情報の通信制御に加えて、図６、図７により後述するフローチャートに対応した監視制御をハードウエアによって行なうものとなっている。電源回路３３は、外部電源１３から給電されて、ＤＣ５［Ｖ］、ＤＣ３．３［Ｖ］等の安定化電圧を生成し、主制御回路部２０Ａや監視制御回路部３０Ａ、及び各入出力インタフェース回路２１、２２、３１、３２に給電するように構成されている。

一対の直並列変換回路２７、３７によって構成された第一のシリアル通信回路は、全二重ブロック通信回路を構成し、主制御回路部２０Ａから監視制御回路部３０Ａに対する下り通信情報ＤＮＤと、監視制御回路部３０Ａから主制御回路部２０Ａに対する上り通信情報ＵＰＤとを同時に送受信することができるように構成されている。主制御回路部２０Ａが発生する通信許可信号ＡＬＴと、監視制御回路部３０Ａが発生する通信同期信号ＣＬＫについては図２により後述する。

主制御回路部２０Ａに設けられたダイレクトメモリアクセスコントローラは、第一のシリアル通信回路を構成する直並列変換回路２７の並列入出力バスとマイクロプロセッサ２０のデータバス間に接続されて、マイクロプロセッサ２０を経由しないで演算処理用ＲＡＭメモリ２４との間のデータの授受を行なうためのものとなっている。

上り通信情報ＵＰＤは、ＲＡＭメモリ２４に格納される通信情報であり、後述の図３の（Ｇ）に一覧表示されているとおり、Ｑ＆Ａ用の質問情報、第二の入力センサ群１１ｂから得られた入力信号情報、後述の設定済情報、監視集計情報、第一のフラグ情報、符号点検情報が含まれている。

下り通信情報ＤＮＤは、ＲＡＭメモリ３４に格納される通信情報であり、後述する図３の（Ｈ）に一覧表示されているとおり、Ｑ＆Ａ用の回答情報、監視制御回路部３０Ａで必要とされる制御定数などの設定情報、第二の電気負荷群１２ｂに対する出力信号情報、後述の第二のフラグ情報、符号点検情報が含まれている。

なお、上り通信格納情報ＵＰＤの中の設定済情報とは、下り通信情報ＤＮＤとしてＲＡＭメモリ３４に格納された前記設定情報と出力信号情報であり、この設定済情報によって設定情報と出力信号情報が正しく送信されているか否かを、主制御回路部２０Ａ側で確認することができるように構成されている。また、データメモリ３５Ａには質問情報に対応した正解情報が製品出荷段階で予め格納されていて、論理回路部３０ａはランダムに質問情報を送信し、マイクロプロセッサ２０から返信された回答情報と正解情報とを比較することによってマイクロプロセッサ２０の動作状態を監視すると共に、マイクロプロセッサ２０は意図的な誤答を回答してみて、監視制御回路部３０Ａが適正な監視制御を行なっているか否かを逆監視するように構成されている。

その結果として、監視制御回路部３０Ａが主制御回路部２０Ａの異常を検出するとリセット出力ＲＳＴ２によって主制御回路部２０Ａを初期化・再起動し、主制御回路部２０Ａが監視制御回路部３０Ａの異常を検出するとリセット出力ＲＳＴ１によって監視制御回路部３０Ａを初期化・再起動するように構成されている。

なお、正解情報を格納しておくデータメモリ３５Ａは、ＥＥＰＲＯＭメモリに代えて、監視制御回路部３０Ａを構成する集積回路素子の中で、配線パターンによって決定されるＲＯＭメモリとしてもよい。この場合、質問情報によって指定される入力データテーブル内の実数値は、予め固定記憶された正解情報と合致する回答情報が得られるような値を逆算しておいて、この逆算値を不揮発プログラムメモリ２５Ａに格納しておけばよい。

外部制御装置４０は、協働補機として車速とアクセルポジションセンサに応動して変速機の変速段を切換える変速制御装置（ＴＣＵ）４１、方向操作ハンドルの操作に応動する操舵制御装置（ＥＰＳ）４２、車両姿勢の安定制御装置（ＳＣＵ）４３、フットブレーキペダルに応動する制動制御装置（ＡＢＳ）４４によって構成されている。各協働補機４１〜４４は、夫々補機マイクロプロセッサ４１ａ〜４４ａと補機プログラムメモリ４１ｂ〜４４ｂ、第二のシリアル通信回路の通信端末となるＣＡＮモジュール４１ｃ〜４４ｃを備えている。各協働補機４１〜４４は、夫々に与えられた図示しない入力信号に応動して主制御回路部２０Ａに対してエンジントルクの増減要求補正値Δτ（＝Δτ４１〜Δτ４４）を送信するように構成されている。

また、各協働補機４１〜４４は、主制御回路部２０Ａからの質問情報を受信すると補機プログラムメモリ４１ｂ〜４４ｂに格納されている制御プログラムである外部回答生成送信手段と入力データテーブルによって補機回答情報を生成して主制御回路部２０Ａへ返信する。

なお、外部制御装置４０に於いて質問情報に応動する被試験プログラムは、当該外部制御装置４０に対する入力信号に応動して前記エンジン出力トルクの増減要求補正値Δτ（＝Δτ４１〜Δτ４４）を算出するための制御プログラムとなっている。

次に、図１の車載電子制御装置に於ける、シリアル通信のタイムチャートである図２について説明する。図２に於いて、（Ａ）は通信許可信号ＡＬＴ、（Ｂ）は通信同期信号ＣＬＫ、（Ｃ）は上り通信情報ＵＰＤ、（Ｄ）は下り通信情報ＤＮＤを示す。図２の（Ａ）に於いて、通信許可信号ＡＬＴは、独立した制御信号線によって主制御回路部２０Ａから監視制御回路部３０Ａに対して定期送信され、主制御回路部２０Ａが全二重ブロック通信の開始を許可する信号であり、この実施の形態１に於ける通信許可信号ＡＬＴは、通信許可時点で論理レベルが変化する交番信号となっている。

従って、交番信号ＡＬＴの論理レベルが変化する毎に、新たな通信ブロックの送信開始が許可されることになるが、一定論理レベルが維持されているときには所定ビット数の通信が完了すると今回の通信は完了し、所定ビット数の通信が完了する前に論理レベルが反転すると通信データの中断処理が行なわれる。図２の（Ｂ）に於いて、通信同期信号ＣＬＫは、独立した制御信号線によって監視制御回路部３０Ａから主制御回路部２０Ａに対して送信されて、少なくとも通信情報のビット数に応じた数のパルスを発生する。

通信同期信号ＣＬＫは、前述の監視制御回路部３０Ａが通信許可信号ＡＬＴを受信してから所定の待機時間τを置いて発生を開始して、シリアル通信信号が歩進移動するパルス列信号となっている。この通信同期信号ＣＬＫは、送受信ビット数に対応した所定量のパルス数を発生してからパルス発生を停止するか、又は所定量のパルスを発生完了してもなおパルス発生を持続して、次回の通信許可信号ＡＬＴの発生に伴ってパルス発生を一旦停止して前記待機時間τを置いて再びパルス発生を開始するものであって、所定量のパルス発生が完了するまでに次回の通信許可信号ＡＬＴが早期に発生した場合には残りのパルスの発生を省略し、前述の待機時間τを置いて再びパルス発生を開始するように構成されている。

図２の（Ｃ）に於いて、上り通信情報ＵＰＤは、監視制御回路部３０Ａに対する入力信号情報、或いは前記主制御回路部２０Ａから得られた設定定数又は制御出力の記憶情報である報告情報と、今回の質問情報と符号点検情報とを包含していて、データ長としては例えば５００ビットとなっている。図２の（Ｄ）に於いて、下り通信情報ＤＮＤは、主制御回路部２０Ａから監視制御回路部３０Ａに送信されて、監視制御回路部３０Ａに於いて必要とされる設定定数、或いは制御出力である指令情報と、前回の上り通信情報ＵＰＤで得られた質問情報に対する回答情報と符号点検情報とを包含していて、データ長としては例えば１００ビットとなっている。従って、全データの送受信を行なうためには、通信同期信号ＣＬＫは少なくとも５００個のパルスを発生する必要がある。

なお、通信許可信号ＡＬＴの通信許可周期Ｔ０は、例えば５［ｍｓｅｃ］であるのに対して、５００ビットのデータを送受信するのに必要な時間は，例えば０．５［ｍｓｅｃ］となっている。また、待機時間τは、１００［μｓｅｃ］の時間であり、この待機時間τの間に多チャンネルＡＤ変換器３６に対するＡＤ変換指令が発生し、全チャンネルのＡＤ変換が完了しているように構成されている。

一方、主制御回路部２０Ａが外部制御装置４０との間で質問・回答情報の授受を行ったり、主制御回路部２０Ａの内部で質問情報に対応した回答情報を生成するのは例えば４０［ｍｓｅｃ］の周期となっている。このために、監視制御回路部３０Ａは、後述の質問情報更新手段７０４を備え、上り通信情報ＵＰＤに包含される質問情報が複数の通信回数に於いて同一質問情報となるように反復送信し、所定期間以上の送信を行なってから新たな質問情報に更新するように構成されている。

次に、図１の車載電子制御装置１０Ａに於ける、各種メモリと論理ブロックの内容一覧表である図３について説明する。図３の（Ａ）は、不揮発プログラムメモリ２５Ａに格納されている制御プログラムと制御定数を一覧にしたものであり、その詳細は図５、図８のフローチャートにより後述する。図３の（Ｂ）は、ハードウエアによって構成されている論理回路部３０ａの論理ブロックを一覧にしたものであり、その詳細機能は図６、図７の動作説明用等価フローチャートにより後述する。

図３の（Ｃ）は、この実施の形態１に適用される一斉質問情報Ｑｎ（ｎ＝０、１、２・・・Ｆ）を示しており、この一斉質問情報Ｑｎは１６個以下の入力テーブル番号［ｎ＝０〜Ｆ］が指定され、各入力テーブルは不揮発プログラムメモリ２５Ａや補機プログラムメモリ４１ｂ〜４４ｂに格納されている。図３の（Ｄ）は、合成回答情報Ａｎ、主機回答情報Ａ１ｎ、補機回答情報Ａ２ｎ〜Ａ５ｎを示しており、これらの合成回答情報は例えば１６ビット以下の数値、その他の個別回答情報Ａ１ｎ〜Ａ５ｎは１３ビット以下の数値となっている。

図３の（Ｅ）は、合成正解情報Ｒｎ、主機正解情報Ｒ１ｎ、補機正解情報Ｒ２ｎ〜Ｒ５ｎを示しており、これらの合成正解情報は例えば１６ビット以下の数値、その他の個別正解情報Ｒ１ｎ〜Ｒ５ｎは１３ビット以下の数値となっている。図３の（Ｆ）は、監視制御回路部３０Ａに設けられたデータメモリ３５Ａの内容を示したものである。図３の（Ｇ）は、ＲＡＭメモリ２４に格納される上り通信情報の一覧である。図３の（Ｈ）は、ＲＡＭメモリ３４に格納される下り通信情報の一覧である。

なお、この実施の形態１の最も重要な特徴は、不揮発プログラムメモリ２５Ａが補機正解情報Ｒ２ｎ〜Ｒ５ｎと外部機器監視手段とを備えているのに対し、監視制御回路部３０Ａ側では合成正解情報のみを持っていて、監視制御回路部３０Ａ側の制御負担が最も軽くなる構成となっていることである。このために、主制御回路部２０Ａは、補正回答生成手段によって補正回答情報を監視制御回路３０Ａに送信するように構成されている。

図４は、図１に示す車載電子制御装置１０Ａの質問・回答情報の変遷図である。次にこの図４について説明する。図４の（Ａ）は監視制御回路部３０Ａ、（Ｂ）は主制御回路部２０Ａ、（Ｃ）はマイクロプロセッサ２０及び第二のシリアル通信回路の通信端末２８、（Ｄ）は協働補機である変速制御装置（ＴＣＵ）４１、（Ｅ）は協働補機である操舵制御装置（ＥＰＳ）４２、（Ｆ）は協働補機である安定制御装置（ＳＣＵ）４３、（Ｇ）は協働補機である制動制御装置（ＡＢＳ）４４、の夫々の質問・回答情報の変遷を示している。尚、以下の説明では、変速制御装置（ＴＣＵ）４１、操舵制御装置（ＥＰＳ）４２、安定制御装置（ＳＣＵ）４３、制動制御装置（ＡＢＳ）４４を、夫々単に、協働補機４１、４２、４３、４４と称する。

図４に示す時間帯ｔ１に於いて、（Ａ）の監視制御回路部３０Ａは、一斉質問情報Ｑｎ（ｎ＝０〜Ｆ）を発生し、（Ｂ）の主制御回路部２０Ａは、第一のシリアル通信回路を介してこれを受信する。図４に示す時間帯ｔ２に於いて、（Ｂ）の主制御回路部２０Ａは、（Ｃ）のマイクロプロセッサ２０及び第二のシリアル通信回路の通信端末２８を介して、（Ｄ）、（Ｅ）、（Ｆ）、（Ｇ）の協働補機４１、４２、４３、４４の夫々に対して一斉質問情報Ｑｎを転送する。

図４に示す時間帯ｔ３に於いて、（Ｂ）の主制御回路部２０Ａは主機回答情報Ａ１ｎを生成する。次に時間帯ｔ４に於いて、（Ｄ）の協働補機４１は補機回答情報Ａ２ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ａへ送信する。主制御回路部２０Ａは、送信された補機回答情報Ａ２ｎと不揮発プログラムメモリ２５Ａに格納されている補機正解情報Ｒ２ｎとを比較して、補機回答情報Ａ２ｎの異常の有無を判定する。次に時間帯ｔ５に於いて、（Ｅ）の協働補機４２は補機回答情報Ａ３ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ａへ送信する。主制御回路部２０Ａは、送信された補機回答情報Ａ３ｎと不揮発プログラムメモリ２５Ａに格納されている補機正解情報Ｒ３ｎとを比較して、補機回答情報Ａ３ｎの異常の有無を判定する。

次に、図４に示す時間帯ｔ６に於いて、（Ｆ）の協働補機４３は補機回答情報Ａ４ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ａへ送信する。主制御回路部２０Ａは、送信された補機回答情報Ａ４ｎと不揮発プログラムメモリ２５Ａに格納されている補機正解情報Ｒ４ｎとを比較して、補機回答情報Ａ４ｎの異常の有無を判定する。時間帯ｔ７に於いて、（Ｇ）の協働補機４４は補機回答情報Ａ５ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ａへ送信する。主制御回路部２０Ａは、送信された補機回答情報Ａ５ｎと不揮発プログラムメモリ２５Ａに格納されている補機正解情報Ｒ５ｎとを比較して、補機回答情報Ａ５ｎの異常の有無を判定する。

次に、時間帯ｔ８に於いて、（Ｂ）の主制御回路部２０Ａは後述の補正回答Ａｎを生成して、第一のシリアル通信回路を介して（Ａ）の監視制御回路部３０Ａへ送信する。監視制御回路部３０Ａは、送信された補正回答Ａｎとデータメモリ３５Ａに格納されている合成正解情報との比較判定を行って補正回答Ａｎの異常の有無を判定し、異常があれば時間帯ｔ９に於いて過去の異常発生状態の集計結果に応動して後述のリセット出力を発生するように構成されている。

なお、時間帯ｔ８に於いて（Ｂ）の主制御回路部２０Ａで生成される補正回答Ａｎとしては、例えば協働補機である（Ｄ）の変速制御装置（ＴＣＵ）４１、（Ｅ）の操舵制御装置（ＥＰＳ）４２、（Ｆ）の安定制御装置（ＳＣＵ）４３、（Ｇ）の制動制御装置（ＡＢＳ）４４に異常が無い場合には、［Ａｎ＝Ａ１ｎ＋Ａ２ｎ＋Ａ３ｎ＋Ａ４ｎ＋Ａ５ｎ］となるが、もし（Ｄ）の変速制御装置（ＴＣＵ）４１の補機回答情報Ａ２ｎが補機正解情報Ｒ２ｎと異なっていた場合には、変速制御装置（ＴＣＵ）４１は異常であると判定され、補正回答ＡｎはＡ２ｎに代わってＲ２ｎが適用されて［Ａｎ＝Ａ１ｎ＋Ｒ２ｎ＋Ａ３ｎ＋Ａ４ｎ＋Ａ５ｎ］が（Ａ）の監視制御回路部３０Ａへ送信されることになる。

他の協働補機である（Ｅ）の操舵制御装置（ＥＰＳ）４２、（Ｆ）の安定制御装置（ＳＣＵ）４３、（Ｇ）の制動制御装置（ＡＢＳ）４４が異常となった場合も同様であって、異常となっている補機回答情報Ａ２ｎ〜Ａ５ｎに代わって、補機正解情報Ｒ２ｎ〜Ｒ５ｎが適用されることになる。従って、主制御回路部２０Ａからの主機回答情報Ａ１ｎが正常であって、しかも主制御回路部２０Ａによる外部制御装置４０の異常検出が適正に行なわれておれば、例え外部制御装置４０の何れかに異常が発生しても監視制御回路部３０Ａに送信される合成正解情報Ａｎはデータメモリ３５Ａに格納されている合成正解情報Ｒｎと合致することになり、監視制御回路部３０Ａは異常判定を行わないことになる。

しかし、主制御回路部２０Ａからの主機回答情報Ａ１ｎが異常であれば、監視制御回路部３０Ａに送信される合成正解情報Ａｎはデータメモリ３５Ａに格納されている合成正解情報Ｒｎと合致せず、監視制御回路部３０Ａは主制御回路部２０Ａが異常であると判定することになる。

従って、この実施の形態１の場合、外部制御装置４０の異常は主制御回路部２０Ａに於いて監視され、異常が発生しても監視制御回路部３０Ａとしては感知しないことになる。但し、外部制御装置４０に異常が発生していても、主制御回路部２０Ａがこれを正しく認識せずに、回答補正処理を行わなかった場合には監視制御回路部３０Ａに於いて異常が検出され、主制御回路部２０Ａの異常であるとして処理されることになるものである。

なお、補機回答情報Ａ２ｎ〜Ａ５ｎを生成して主制御回路部２０Ａへ送信する外部回答生成・送信手段４００は、協働補機４１〜４４の補機プログラムメモリ４１ｂ〜４４ｂに格納されている制御プログラムによって実行されるものである。時間帯ｔ１から時間帯ｔ９までの合計時間は例えば４０［ｍｓｅｃ］であり、この一連の動作が完了すると一斉質問情報は［Ｑｎ＋１］に更新され、新たな質問情報に基づいて同様の異常監視が繰返されるようになっている。

（２）実施の形態１の作用・動作の詳細な説明
以下、前述の図１のとおり構成されたこの発明の実施の形態１による監視制御回路を有する車載電子制御装置の作用・動作について説明する。図５は主制御回路部２０Ａの送信動作を示すフロ−チャ−ト、図６は監視制御回路部３０Ａの受信動作を示すフロ−チャ−ト、図７は監視制御回路部３０Ａの送信動作を示すフロ−チャ−ト、図８は主制御回路部２０Ａの受信動作を示すフロ−チャ−トである。

先ず、図１に於いて、図示しない電源スイッチを介して電子制御装置１０Ａに対して外部電源１３が接続されると、マイクロプロセッサ２０は、第一、第二の入力センサ群１１ａ、１１ｂの動作状態とプログラムメモリ２５Ａ内の制御プログラムの内容に応動して第一、第二の電気負荷群１２ａ、１２ｂの駆動制御を行なう。

特に、第一の入力センサ群１１ａや第一の電気負荷群１２ａはエンジン回転と同期して開閉・断続動作を行うものであって、例えば４気筒・４サイクルのガソリンエンジンが６０００［ｒｐｍ］で回転していると、５［ｍｓｅｃ］周期で点火制御や燃料噴射制御を行なうことになるが、エンジン回転速度が６００［ｒｐｍ］であれば５０［ｍｓｅｃ］周期でこれ等の制御を行なえばよいことになる。

一方、第二の入力センサ群１１ｂや第二の電気負荷群１２ｂはエンジン回転と同期した動作を行なうものではないので、高頻度な動作は行わないが、動作状態が変化すると速やかに信号交信を行なう必要があるので、エンジン回転速度とは無関係に比較的高頻度に一定周期の交信を行なうのが望ましいものとなっている。

次に、図１に示す前述の主制御回路部２０Ａの送信動作について、図５に基づいて説明する。図５に於いて、ステップ５００は、マイクロプロセッサ２０が監視制御回路部３０Ａに対する送信動作を開始するステップである。続くステップ５０１ａでは、後述のステップ８１９（図８参照）に於いてリセット出力ＲＳＴ１が発生したか否かを判定し、リセット出力ＲＳＴ１が発生しておればＹＥＳとなってステップ５０１ｂへ移行し、リセット出力ＲＳＴ１が発生していなければＮＯとなってステップ５０２ａへ移行する。

ステップ５０１ｂでは監視制御回路部３０Ａを初期化再起動し、続くステップ５０１ｃでは後述のステップ８１９による逆監視異常集計結果をリセットすることによってリセット出力ＲＳＴ１を停止してからステップ５０２ａへ移行する。ステップ５０２ａでは後述のステップ８１６ｃ（図８参照）に於いて協働補機４１〜４４の何れかの異常が検出されたか否かを記憶した判定フラグの動作状態を監視して、協働補機４１〜４４の異常の有無に応じてステップ５０２ｂ、又はステップ５０２ｃへ移行する。

ステップ５０２ｂでは、協働補機が正常であった場合に後述のステップ８１６ｂ（図８参照）で格納された補機回答情報Ａ２ｎ〜Ａ５ｎを選択し、ステップ５０２ｃでは協働補機が異常であった場合に補機正解情報Ｒ２ｎ〜Ｒ５ｎを選択し、続いてステップ５０２ｄへ移行する。

ステップ５０２ｄでは、協働補機４１〜４４の全てについてステップ５０２ａ〜５０２ｃによる回答選択が完了したか否かを判定し、未完了であればＮＯの判定を行なってステップ５０２ａへ復帰し、完了であればＹＥＳの判定を行なってステップ５０３ａへ移行する。ステップ５０３ａでは意図的な誤答送信のタイミングであるか否かを判定し、誤答送信を行なうときにはＹＥＳの判定を行なってステップ５０３ｂへ移行し、誤答送信を行なわないときにはＮＯの判定を行なってステップ５０３ｃへ移行する。

なお、ステップ５０３ａでは、複数回の更新質問情報当たりで１回のＹＥＳの判定を行なうが、後述のステップ６１９（図６参照）による監視異常集計結果がリセットパルスＲＳＴ２を発生する直前状態にあるときにはＮＯの判定を行なって、誤答送信によりリセットパルスＲＳＴ２の発生が生じないようにしている。

誤答送信手段となるステップ５０３ｂでは、今回の回答情報として意図的な誤答を選択決定し、主機回答生成手段となるステップ５０３ｃでは、既に受信している質問情報に対する主機回答情報の生成を継続する。ステップ５０４は、ステップ５０３ｂ、５０３ｃに続いて実行され、ステップ５０３ｃによる回答生成が完了しているか否か、或いはステップ５０３ｂによる誤答選択が決定されているか否かを判定して、生成・選択が完了していればＹＥＳの判定を行なってステップ５０５ａへ移行し、生成・選択が未完了であればＮＯの判定を行なってステップ５０５ｂへ移行する。

補正回答生成手段となるステップ５０５ａは、今回の回答情報を決定すると共に、第二のフラグ情報Ｆの内容を更新するステップである。なお、ステップ５０５ａでは、監視制御回路部３０Ａに送信する合成回答情報Ａｎとして主機回答情報Ａ１ｎと補機回答情報Ａ２ｎ〜Ａ５ｎの合算集計値が生成されることになるが、補機回答情報Ａ２ｎ〜Ａ５ｎに関してはステップ５０２ｃで選択された補機正解情報Ｒ２ｎ〜Ｒ５ｎが代替使用されることがある。ステップ５０５ｂでは、今回の回答情報として前回の回答情報をそのまま援用し、第二のフラグ情報Ｆは更新しないように決定する。

次に、ステップ５１０ａは、ステップ５０５ａ又はステップ５０５ｂに続いて実行され、通信許可信号である交番信号ＡＬＴの論理反転を行なう時期であるか否かを判定し、反転時期であればＹＥＳの判定を行なってステップ５１０ｂへ移行し、反転時期でなければＮＯの判定を行なってステップ５１０ａへ復帰する待機ステップである。なお、ステップ５１０ａは例えば約５［ｍｓｅｃ］の周期で反転動作を行うが、マイクロプロセッサ２０が入出力制御のための割込み制御動作を行うことによって、５［ｍｓｅｃ］の周期が変動するようになっている。

ステップ５１０ｂでは、交番信号ＡＬＴの論理レベルを反転させ、ステップ５１１ａへ移行する。ステップ５１１ａは、監視制御回路部３０Ａが発生する通信同期信号ＣＬＫを受信したか否かを判定し、未受信であればＮＯの判定を行なってステップ５１１ｂへ移行し、受信すればＹＥＳの判定を行なってステップ５１２へ移行する判定ステップである。ステップ５１１ｂでは、監視制御回路部３０Ａへ送信する設定データや出力信号データを編集し、前述の図２の待機時間τ以内にステップ５１１ａへ復帰するようになっている。

ステップ５１２では、シリアル通信用のダイレクト・メモリアクセス・コントローラであるＤＭＡと協働しながら、例えば８ビット単位で下り通信情報ＤＮＤの送信データをＲＡＭメモリ２４から直並列変換器２７へ順次転送する。続くステップ５１３では、図示しないクロックカウンタによって通信同期信号ＣＬＫの発生回数を計数して所定ビット数の送信が完了したか否かを判定し、送信未完了であればＮＯとなってステップ５１２へ復帰し、送信完了であればＹＥＳとなって動作終了ステップ５２０へ移行する。

なお、ステップ５１２は、送信された全データに関してＣＲＣチェック又はサムチェックで代表される符合点検手段を用いて、受信側においてビット情報の混入（論理「０」が誤って論理「１」に変化）、又は欠落（論理「１」が誤って論理「０」に変化）の発生を検出するための符合点検情報が最終情報として付加されている。

動作終了ステップ５２０では、他の制御動作を実行し、所定時間内には再度動作開始ステップ５００へ循環移行するように構成されている。

次に、図１に示す前述の監視制御回路部３０Ａの受信動作について説明する。図６に於いて、ステップ６００は、監視制御回路部３０Ａの論理回路部３０ａの受信論理動作をフローチャートで表現した場合の動作開始ステップである。続くステップ６０１ａでは、後述のステップ６１９に於いてリセット出力ＲＳＴ２が発生したか否かを判定し、リセット出力ＲＳＴ２が発生しておればＹＥＳとなってステップ６０１ｂへ移行し、リセット出力ＲＳＴ２が発生していなければＮＯとなってステップ６１０へ移行する。

ステップ６０１ｂでは、マイクロプロセッサ２０を初期化再起動し、続くステップ６０１ｃでは、後述のステップ６１９による監視異常集計結果をリセットすることによってリセット出力ＲＳＴ２を停止してからステップ６１０へ移行する。ステップ６１０は、主制御回路部２０Ａから送信された通信許可信号である交番信号ＡＬＴが論理反転したか否かを判定し、論理反転すればＹＥＳの判定を行なってステップ６１１へ移行し、論理反転していなければＮＯの判定を行なってステップ６１０へ復帰する待機ステップである。

ステップ６１１は、後述のステップ７１１ｃ（図７参照）による通信同期信号ＣＬＫが発生開始したか否かを判定し、発生開始すればＹＥＳの判定を行なってステップ６１２へ移行し、発生開始していなければＮＯの判定を行なってステップ６１１へ復帰する待機ステップとなっている。ステップ６１２では、例えば８ビット単位で下り通信情報ＤＮＤの受信データを直並列変換器３７からＲＡＭメモリ３４へ順次転送仮格納する。続くステップ６１３では、図示しないクロックカウンタによって通信同期信号ＣＬＫの発生回数を計数して所定ビット数の受信が完了したか否かを判定し、受信未完了であればＮＯの判定を行なってステップ６１２へ復帰移行し、受信完了であればＹＥＳの判定を行なってステップ６１４へ移行する。

符号誤り検出手段となるステップ６１４では、前述のステップ５１２によって付加された符号点検データを用いて、受信した下り通信情報ＤＮＤの中にビット情報の混入・欠落異常が発生していないか否かをサムチェック又はＣＲＣチェックによって点検し、異常であればＹＥＳの判定を行なってステップ６１９へ移行し、異常が発見できなければＮＯの判定を行なってステップ６１５へ移行する。

ステップ６１５では、ステップ６１２で仮格納された受信データを有効データとして格納し、設定情報、出力信号情報として転送してからステップ６１６へ移行する。応答遅延判定手段となるステップ６１６では、後述のステップ７０５ａ（図７参照）に於いて質問情報が更新生成されてから、所定時間以内に当該質問情報に対応した回答情報がステップ６１５で受信格納されたかどうかを判定し、回答遅延であればＹＥＳの判定を行なってステップ６１９へ移行し、回答遅延していなければＮＯの判定を行なってステップ６１７へ移行する。

総合異常判定手段となるステップ６１７では、ステップ６１５に格納された回答情報が、予めデータメモリ３５Ａに格納されている合成正解情報と合致しているか否かを判定し、不一致であればＹＥＳの判定を行なってステップ６１９へ移行し、一致していればＮＯの判定を行なって動作終了ステップ６２０へ移行する。

リセット処理手段となるステップ６１９は、図示しないエラーカウンタによって構成されていて、当該エラーカウンタはステップ６１４、６１６、６１７がＹＥＳとなる異常判定を行なう毎に現在値が例えば５カウント上昇し、ステップ６１４、６１６、６１７がＮＯとなる正常判定を行なう毎に現在値が例えば１カウント減少し、エラーカウンタの現在値は「０」以下にはならないように減算規制されている。

このように構成されたエラーカウンタの現在値は監視集計結果を示すものであり、この監視集計結果が例えば「１１」を超過するとリセット出力ＲＳＴ２が発生し、ステップ６０１ｂ、又は後述のステップ７０１ｂに於いてマイクロプロセッサ２０が初期化・再起動され、これが第二の異常処理手段である再起処理に該当するものである。ステップ６１９に続いて動作終了ステップ６２０へ移行し、他の制御を行なってから動作開始ステップ６００へ復帰するようになっている。

次に、図１に示す前述の監視制御回路部３０Ａの送信動作について説明する。図７に於いて、ステップ７００は、監視制御回路部３０Ａの論理回路部３０ａの送信論理動作をフローチャートで表現した場合の動作開始ステップである。続くステップ７０１ａでは前述のステップ６１９に於いてリセット出力ＲＳＴ２が発生したか否かを判定し、リセット出力ＲＳＴ２が発生していればＹＥＳとなってステップ７０１ｂへ移行し、リセット出力ＲＳＴ２が発生していなければＮＯとなってステップ７０２へ移行する。ステップ７０１ｂではマイクロプロセッサ２０を初期化再起動し、続くステップ７０１ｃでは前述のステップ６１９による監視異常集計結果をリセットすることによってリセット出力ＲＳＴ２を停止してからステップ７０２へ移行するように構成されている。

ステップ７０２では、前述のステップ６１２による前回の受信が完了しているか否かを判定し、受信完了していなければＮＯの判定を行なってステップ７０２へ移行し、受信完了していればＹＥＳの判定を行なってステップ７０４へ移行する。質問情報更新手段となるステップ７０４では、質問情報の内容を更新する時期であるか否かを判定し、更新時期であればＹＥＳの判定を行なってステップ７０５ａへ移行し、更新時期でなければＮＯの判定を行なってステップ７０５ｂへ移行する。当該ステップ７０４は、例えば質問更新周期Ｔｑとして約４０［ｍｓｅｃ］毎に１回のＹＥＳの判定を行なうようになっている。

質問情報生成手段となるステップ７０５ａは、今回の送信情報として前述のステップ６１５で確定格納された設定情報や出力信号情報等の記憶情報と、今回の更新された質問情報と、前述のステップ６１９に於いて集計された監視異常集計値と、前回とは異なる値に変更された第一のフラグ情報の内容とを、定められた送信順序に編集するステップである。ステップ７０５ｂは、今回の送信情報として前述のステップ６１５で確定格納された設定情報や出力信号情報等の記憶情報と、前回の質問情報と、前述のステップ６１９に於いて集計された監視異常集計値と、前回と同じ第一のフラグ情報の内容とを、定められた送信順序に編集するステップである。

ステップ７０５ａ、又はステップ７０５ｂに続いて実行されるステップ７１０では、交番信号ＡＬＴが論理反転したか否かを判定し、論理反転していないときにはＮＯの判定を行なってステップ７１０へ復帰して送信待機し、論理反転した場合にはＹＥＳの判定を行なってステップ７１１ａへ移行する。ステップ７１１ａでは、通信同期信号ＣＬＫの発生時期であるか否かを判定し、ステップ７１０で交番信号ＡＬＴの論理が反転してから所定の待機時間τを経過していなければＮＯの判定を行なってステップ７１１ｂへ移行し、待機時間τを経過すればＹＥＳの判定を行なってステップ７１１ｃへ移行する。

ステップ７１１ｂでは、多チャンネルＡＤ変換器３６に対してＡＤ変換指令を発生し、得られた最新のＡＤ変換情報を主制御回路部２０Ａへ送信する入力データとして編集開始し、前述の図２に示す待機時間τ以内にステップ７１１ａへ復帰するようになっている。

なお、多チャンネルＡＤ変換器３６からＡＤ変換完了信号を受信したこと、又は全チャンネルのＡＤ変換所要時間を経過したこと、又はＡＤ変換された入力信号を送信開始するまでにはＡＤ変換が完了している頃合の遅延時間を置いて待機時間τが完了して、ステップ７１１ｃへ移行して監視制御回路部３０Ａが通信同期信号ＣＬＫの発生を開始するものである。

ステップ７１１ｃでは、通信同期信号ＣＬＫの発生を開始し、続くステップ７１２では上り通信情報ＵＰＤの送信データをＲＡＭメモリ３４から直並列変換器３７へ順次転送する。続くステップ７１３では、図示しないクロックカウンタによって通信同期信号ＣＬＫの発生回数を計数して所定ビット数の送信が完了したか否かを判定し、送信未完了であればＮＯの判定を行なってステップ７１１cへ復帰移行し、送信完了であればＹＥＳとなっ
て動作終了ステップ７２０へ移行する。なお、ステップ７１２は、送信された全データに関して、ＣＲＣチェック又はサムチェックで代表される符合点検手段を用いて、受信側に於いてビット情報の混入（論理「０」が誤って論理「１」に変化）、又は欠落（論理「１」が誤って論理「０」に変化）の発生を検出するための符合点検情報が最終情報として付加されている。

動作終了ステップ７２０では、他の制御動作を実行し、所定時間内には再度動作開始ステップ７００へ循環移行するようになっている。

次に、図１に示す前述の主制御回路部２０Ａの受信動作について説明する。図８に於いて、ステップ８００は、マイクロプロセッサ２０が監視制御回路部３０Ａからの受信動作を開始するステップである。続くステップ８０１ａでは、後述のステップ８１９に於いてリセット出力ＲＳＴ１が発生したか否かを判定し、リセット出力ＲＳＴ１が発生しておればＹＥＳとなってステップ８０１ｂへ移行し、リセット出力ＲＳＴ１が発生していなければＮＯとなってステップ８１０へ移行する。

ステップ８０１ｂでは、監視制御回路部３０Ａを初期化再起動し、続くステップ８０１ｃでは、後述のステップ８１９による逆監視異常集計結果をリセットすることによってリセット出力ＲＳＴ１を停止してからステップ８１０へ移行するようになっている。ステップ８１０は、前述のステップ５１０ｂによって交番信号ＡＬＴが論理反転したか否かを判定し、論理反転すればＹＥＳの判定を行なってステップ８１１へ移行し、論理反転していなければＮＯの判定を行なってステップ８１０へ復帰する待機ステップである。

ステップ８１１は、前述のステップ７１１ｃによる通信同期信号ＣＬＫが発生開始したか否かを判定し、発生開始すればＹＥＳの判定を行なってステップ８１２へ移行し、発生開始していなければＮＯの判定を行なってステップ８１１へ復帰する待機ステップとなっている。ステップ８１２では、ＤＭＡと協働しながら、例えば８ビット単位で上り通信情報ＵＰＤの受信データを直並列変換器２７からＲＡＭメモリ２４へ順次転送仮格納する。

続くステップ８１３では、図示しないクロックカウンタによって通信同期信号ＣＬＫの発生回数を計数して所定ビット数の受信が完了したか否かを判定し、受信未完了であればＮＯの判定を行なってステップ８１２へ移行し、受信完了であればＹＥＳの判定を行なってステップ８１４へ移行する。

符号誤り検出手段となるステップ８１４では、前述のステップ７１２によって付加された符号点検データを用いて、受信した上り通信情報ＵＰＤの中にビット情報の混入・欠落異常が発生していないかどうかをサムチェック又はＣＲＣチェックによって点検し、異常であればＹＥＳの判定を行なってステップ８１９へ移行し、異常が発見できなければＮＯの判定を行なってステップ８１５ａへ移行する。

ステップ８１５ａでは、ステップ８１２で仮格納された受信データを有効データとして格納し新たな入力信号情報としてから、ステップ８１５ｂへ移行する。なお、ステップ８１５ａでは、前述のステップ７０５ａ、又はステップ７０５ｂで決定された質問情報と第一のフラグ情報が受信格納されており、ステップ８１５ｂでは、ステップ８１５ａで受信した更新質問情報Ｑｎが協働補機４１〜４４に対して送信される。これは、図４の時間帯ｔ２に於いて実行されるものである。

続くステップ８１６ａでは、協働補機４１〜４４からの補機回答情報Ａ２ｎ〜Ａ５ｎの返信受信が完了したか否かを判定し、未完了であればＮＯの判定を行なってステップ８１７ａへ移行し、完了であればＹＥＳの判定を行なってステップ８１６ｂへ移行する。ステップ８１６ｂでは、得られた補機回答情報Ａ２ｎ〜Ａ５ｎをＲＡＭメモリ２４に格納してからステップ８１６ｃへ移行する。

外部機器監視手段となるステップ８１６ｃでは、受信した補機回答情報Ａ２ｎ〜Ａ５ｎと、不揮発プログラムメモリ２５Ａに格納されている補機正解情報Ｒ２ｎ〜Ｒ５ｎとを比較して協働補機４１〜４４の異常の有無を判定し、異常が無ければＮＯの判定を行なってステップ８１８ａへ移行し、異常があればＹＥＳの判定を行なってステップ８１７ｂへ移行する。

ステップ８１７ａでは、ステップ８１５ｂに於いて協働補機４１〜４４に対して一斉質問情報Ｑｎが送信されてから、補機回答情報Ａ２ｎ〜Ａ５ｎが得られるまでの応答時間が所定の閾値時間を超過したか否かを判定し、時間超過であればＹＥＳの判定を行なってステップ８１７ｂへ移行し、時間超過していなければＮＯの判定を行なってステップ８１８ａへ移行する。なお、ステップ８１７ａが時間超過ではないと判定した場合には、ステップ８００からステップ８２０に至る一連の制御フローを繰り返しながら、ステップ８１６ａによる返信完了を待つことになる。

外部機器異常処理手段となるステップ８１７ｂは、ステップ８１６ｂによる外部制御装置４０の個別異常判定情報に基づいて実行される第一の異常処理手段に該当し、異常判定された外部制御装置４０からのエンジン出力トルクの増減要求補正値Δτの内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置４０に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部２０Ａに於いて保存するように構成されている。

集計情報監視手段となるステップ８１８ａでは、前述のステップ５０３ｂに基づいてステップ５１２で送信された誤答情報に対応して、ステップ８１５ａで受信した監視集計結果の変化を監視することによって監視制御回路部３０Ａが正常に動作していることを逆監視する手段であって、異常判定されるとＹＥＳとなってステップ８１９へ移行し、異常でなければＮＯとなってステップ８１８ｂへ移行する。

記憶情報異常検出手段となるステップ８１８ｂは、下り通信情報ＤＮＤの一部として監視制御回路部３０Ａがステップ６１５で受信記憶した設定・出力情報の記憶状態と、上り通信情報ＵＰＤの一部として主制御回路部２０Ａがステップ８１５ａで受信した確認返信情報を比較して異常の有無を検出する手段を構成し、異常判定されるとＹＥＳとなってステップ８１９へ移行し、異常でなければＮＯとなって動作終了ステップ８２０へ移行する。なお、記憶情報の異常の有無を判定するためには、主制御回路部２０Ａに於いて前回の設定・出力送信情報を記憶しておく必要があるので、一部の重要データについてのみ一致判定を行なうようになっている。

リセット処理手段となるステップ８１９は、図示しないエラーカウンタによって構成されていて、当該エラーカウンタは、ステップ８１４、８１８ａ、８１８ｂがＹＥＳとなる異常判定を行なう毎に現在値が例えば５カウント上昇し、ステップ８１４、８１８ａ、８１８ｂがＮＯとなる正常判定を行なう毎に現在値が例えば１カウント減少し、エラーカウンタの現在値は「０」以下にはならないように減算規制されている。

このように構成されたエラーカウンタの現在値は逆監視集計結果を示すものであり、この逆監視集計結果が例えば「１１」を超過するとリセット出力ＲＳＴ１が発生し、ステップ５０１ｂ、又はステップ８０１ｂで監視制御回路部３０Ａが初期化・再起動されて、これが第三の異常処理手段である再起処理に該当するものである。

ステップ８１９に続いて動作終了ステップ８２０へ移行し、他の制御を行なってから動作開始ステップ８００へ復帰する。

（３）実施形態１の要点と特徴
以上の説明で明らかなとおり、この発明の実施の形態１による車載電子制御装置１０Ａは、不揮発プログラムメモリ２５Ａと、演算処理用ＲＡＭメモリ２４と、第一の入力センサ群１１ａが接続された第一の入力インタフェース回路２１と、第一の電気負荷群１２ａが接続された第一の出力インタフェース回路２２と、前記不揮発プログラムメモリ２５Ａに格納された制御プログラムの内容と前記第一の入力センサ群１１ａの動作状態に応動して、前記第一の電気負荷群1２ａを制御するマイクロプロセッサ２０とを備えた主制御回
路部２０Ａと、前記マイクロプロセッサ２０に対して第一のシリアル通信回路２７、３７によって接続され、複数の質問情報を順次選択送信する質問情報生成手段７０５ａと、前記質問情報に対する正解情報格納メモリ３５Ａと、前記質問情報に基づく前記主制御回路部２０Ａからの回答情報と前記正解情報格納メモリ３５Ａに格納されている正解情報とを比較して異常の有無を判定する異常判定手段６１７とを有する監視制御回路部３０Ａとを備えた車載電子制御装置１０ａとなっている。

前記主制御回路部２０Ａは、更に、第二のシリアル通信回路２８を介して接続されて制御信号を相互に交信する外部制御装置４０と協働し、当該外部制御装置４０は補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂと協働する補機マイクロプロセッサ４１ａ、４２ａ、４３ａ、４４ａによって構成された協働補機４１・４２・４３・４４を備え、前記補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂは、前記主制御回路部２０Ａから送信された質問情報Ｑｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎに応動して回答情報を生成し、補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとして前記主制御回路部２０ａに回答返信する外部回答生成送信手段４００となる制御プログラムを包含している。
前記質問情報生成手段７０５ａは、前記主制御回路部２０Ａと前記外部制御装置４０の全てに対して適用される一斉質問情報Ｑｎを生成し、当該一斉質問情報Ｑｎは前記監視制御回路部３０Ａから主制御回路部２０Ａに送信され、前記外部制御装置４０に対しては当該主制御回路部２０Ａを中継して送信され、前記不揮発プログラムメモリ２５Ａは更に、前記一斉質問情報Ｑｎ又は個別質問情報Ｑ１ｎに対応して主機回答情報Ａ１ｎを生成する主機回答生成手段５０３ｃとなる制御プログラムを包含すると共に、前記一斉質問情報Ｑｎに対応して、前記主機回答情報Ａ１ｎと補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとを合算集計した合成回答情報Ａｎを送信する送信回答編集手段５０５ａとなる制御プログラムを包含している。

前記正解情報格納メモリ３５Ａには、前記主制御回路部２０Ａが発生する主機回答情報Ａ１ｎに関する主機正解情報Ｒ１ｎと前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎに対する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎとを合算集計した合成正解情報Ｒｎが格納され、前記補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎは前記不揮発プログラムメモリ２５Ａに格納されている。
前記異常判定手段６１７は、少なくとも前記監視制御回路部３０Ａが発生した一斉質問情報Ｑｎに基づいて、前記主制御回路部２０Ａの異常監視を行なうと共に、前記主制御回路部２０Ａと監視制御回路部３０Ａは協働して前記外部制御装置４０に対する異常を識別監視し、前記主制御回路部２０Ａは前記外部制御装置４０の異常発生に伴って第一の異常処理手段８１７ｂによる自衛処理を行い、前記監視制御回路部３０Ａは前記主制御回路部２０Ａの異常発生に伴って第二の異常処理手段６１９によって主制御回路部に対する再起処理を行うように構成されている。

前記不揮発プログラムメモリ２５Ａは、更に、外部機器監視手段８１６ｃと補正回答生成手段５０５ａとなる制御プログラムと、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎに関する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎとが格納されていると共に、前記監視制御回路部３０Ａは更に総合異常判定手段６１７を備えていて、前記正解情報格納メモリ３５Ａには合成正解情報Ｒｎが格納されている。
前記外部機器監視手段８１６ｃは、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎと前記補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎとを比較して前記外部制御装置４０に関する異常の有無を個別に判定し、前記補正回答生成手段５０５ａは、前記監視制御回路部３０Ａが発生した一斉質問情報Ｑｎに対応して、まず第一に前記主制御回路部２０Ａが生成した主機回答情報Ａ１ｎと前記外部制御装置が生成した補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎを合算した合成回答情報Ａｎを生成して前記監視制御回路部３０Ａに対して送信し、当該補正回答生成手段５０５ａは、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎが異常である場合には補機回答情報に替わって当該補機回答情報に関する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎを合算する送信回答編集手段となるものである。

前記総合異常判定手段６１７は、前記監視制御回路部３０Ａが発生した一斉質問情報Ｑｎに対応した前記合成正解情報Ｒｎと、前記主制御回路部２０Ａから受信した合成回答情報Ａｎとを比較して、前記主制御回路部２０Ａ自体の異常の有無と、前記主制御回路部２０Ａが前記外部制御装置４０の異常監視を行なっているか否かを含めた総合異常判定を行なう異常判定手段となるものである。
この構成は請求項２に記載の発明に対応し、主制御回路部２０Ａは、補機正解情報を持っていて、外部機器監視を行なうと共に、外部制御装置が異常であるときには監視制御回路部に対する合成回答情報を正解情報に補正して送信し、監視制御回路部は合成正解情報を持っている。従って、監視制御回路部３０Ａは、一斉質問情報を発生し、合成回答情報と合成正解情報とを比較するだけで主制御回路部自体の異常が検出できると共に、外部制御装置に異常が発生しているにも関わらず主制御回路部がこれを認識しないで適正な補正合成回答を送信しなかった場合にも監視制御回路部は主制御回路部の異常として異常状態を検出することができるので、監視制御回路部を簡略化することができる特徴がある。

前記質問情報Ｑｎは、前記マイクロプロセッサ２０及び前記外部制御装置４０内のマイクロプロセッサ４１ａ、４２ａ、４３ａ、４４ａに於いて適用される少なくとも１個の演算算式に対応した制御プログラム、又は当該制御プログラムと同じ内容のプログラムであって、同じプログラムメモリ２５Ａ、４１ｂ、４２ｂ、４３ｂ、４４ｂの異なるアドレス領域に格納されているコピープログラムを被試験プログラムとして指定すると共に、当該被試験プログラムに於いて適用される入力データに対応した入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は、前記不揮発プログラムメモリ２５Ａ及び前記外部制御装置４０内の補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂに格納されている。前記主制御回路部２０Ａは、前記一斉質問情報Ｑｎによって指定された演算算式と入力定数に基づいて主機回答情報Ａ１ｎを生成し、前記外部制御装置４０は前記一斉質問情報Ｑｎによって指定された演算算式と入力定数に基づく演算結果を補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとして前記主制御回路部２０Ａに送信する。
この構成は請求項７に記載の発明に対応し、主制御回路部及び外部制御装置に設けられたマイクロプロセッサに対する被試験プログラムを定め、質問情報は当該被試験プログラムに関する入力定数を選択する入力定数テーブル番号を指定するものとなっている。従って、主制御回路部及び外部制御装置に設けられたマイクロプロセッサの演算動作そのものを模擬演算して異常の有無を検出することができると共に、一斉質問情報によって手軽に各試験プログラムに対応した入力定数テーブル番号を指定することができる特徴がある。

前記車載電子制御装置１０Ａはエンジン制御装置であって、前記第一の入力センサ群１１ａは少なくともアクセルペダルの踏込み度合を検出するアクセルポジションセンサと、吸気弁開度を検出するスロットルポジションセンサと、エンジンの吸気量を測定するエアフローセンサと、エンジン回転速度を算出するためのエンジン回転センサとを備えると共に、前記第一の電気負荷群１２ａは少なくとも吸気スロットルの弁開度制御用モータと燃料噴射用電磁弁とを備えている。前記主制御回路部２０Ａに於ける被試験プログラムは、前記外部制御装置４０から要求されたエンジン出力トルクの増減要求補正値Δτに対応したスロットル弁開度の増減目標補正値Δθを算出するための制御プログラムであり、前記外部制御装置４０は、車速とアクセルポジションセンサに応動して変速機の変速段を切換える変速制御装置41、又は方向操作ハンドルの操作に応動する操舵制御装置４２、又は車両姿勢の安定制御装置４３、又はフットブレーキペダルに応動する制動制御装置４４の何れかを包含し、当該外部制御装置４０は、前記第二のシリアル通信回路２８、４１ｃ、４２ｃ、４３ｃ、４４ｃを介して前記主制御回路部２０Ａに対してエンジントルクの増減要求補正値Δτを送信すると共に、当該外部制御装置４０に於ける被試験プログラムは当該外部制御装置４０に対する入力信号に応動して前記エンジン出力トルクの増減要求補正値Δτを算出するための制御プログラムである。
この構成は請求項８に記載の発明に対応し、エンジンの出力トルクに影響を及ぼす関連外部機器と連携して、エンジンの出力トルクを制御するエンジン制御装置に於いて、エンジンの出力トルクに関連する各部の制御プログラムを抽出して異常監視を行なうようになっている。従って、エンジン制御の主体をなす主制御回路部に併設された監視制御回路部を用いて、トルク制御の状態を一元的に監視することができる特徴がある。

前記不揮発プログラムメモリ２５Ａは、更に外部機器異常処理手段８１７ｂとなる制御プログラムを包含している。当該外部機器異常処理手段８１７ｂは、前記主制御回路部２０Ａの外部機器監視手段８１６ｃによる外部制御装置４０の個別異常判定情報に基づいて作用する第一の異常処理手段であって、異常判定された前記外部制御装置４０からのエンジン出力トルクの増減要求補正値Δτの内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置４０に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部２０Ａに於いて保存する。
この構成は請求項９に記載の発明に対応し、外部制御装置の異常が発見されると、主制御回路部は第一の異常処理手段によってフェールセーフのための自衛処理を行うようになっている。従って、外部制御装置の制御には直接介入しないので、異常処理が全体システムに波及するのを防止することができる特徴がある。

前記監視制御回路部３０Ａは、前記第一のシリアル通信回路２７、３７を介して前記マイクロプロセッサ２０に対する一部の入出力信号となる第二の入力センサ群１１ｂと第二の電気負荷群１２ｂとの入出力信号の交信を行なうと共に、前記主制御回路部２０Ａから監視制御回路部３０Ａに対して送信される下り通信情報ＤＮＤは、当該監視制御回路部に於いて必要とされる設定定数又は制御出力と、前回の上り通信情報ＵＰＤで得られた前記質問情報Ｑｎ−１に対する回答情報Ａｎ−１と、第二のフラグ情報と符号点検情報とを包含し、前記監視制御回路部３０Ａから主制御回路部２０Ａに対して送信される上り通信情報ＵＰＤは、当該監視制御回路部に対する入力信号情報、或いは前記主制御回路部２０Ａから得られた前記設定定数又は前記制御出力の記憶情報と、今回の質問情報Ｑｎと第一のフラグ情報と符号点検情報とを包含している。前記第一のフラグ情報は、前記監視制御回路部３０Ａに於いて前記質問情報Ｑｎの内容が更新変更された時点に於いて変化して、質問情報の変化を通報する１ビット又は複数ビットの識別信号となるものであって、前記第二のフラグ情報は前記質問情報Ｑｎの内容が更新変更されたことに伴って、前記主制御回路部２０Ａが前記回答情報Ａｎの内容を更新させた時点において変化して、回答情報の更新を通報する１ビット又は複数ビットの識別信号となるものである。
この構成は請求項１０に記載の発明に対応し、質問情報の変化、又は回答情報の変化を知らせるための第一、第二のフラグ情報が送信されるようになっている。従って、質問情報を受信した主制御回路部、又は回答情報を受信した監視制御回路部は前回の質問情報や回答情報と今回の質問情報や回答情報を比較して変化を検出する必要がないので、フラグ変化のない質問情報や回答情報は無視することができる特徴がある。

前記監視制御回路部３０Ａは、更に質問情報更新手段７０４と応答遅延判定手段６１６を備えている。前記質問情報更新手段７０４は前記上り通信情報ＵＰＤに包含される質問情報が複数の通信回数において同一質問情報となるように反復送信し、所定期間以上の送信を行なってから新たな質問情報に更新し、前記応答遅延判定手段６１６は前記監視制御回路部３０Ａが前記第一のフラグ情報の内容を変化させてから、第二のフラグ情報の受信データが変化するまでの時間が所定時間を超過していたときに前記主制御回路部２０Ａの異常であると判定する手段である。この構成は請求項１１に記載の発明に対応し、同一質問情報を反復送信することができる質問情報更新手段と、質問情報の内容変化に対応した回答情報の内容変化の応答遅れを監視するように構成されている。従って、主制御回路部と監視制御回路部間の入出力信号の交信周期に比べて、質問情報の更新周期を延長して、主制御回路部が主機回答情報を生成するための所要時間を確保すると共に、外部制御装置との通信所要時間及び外部制御装置が補機回答情報を生成するための所要時間を考慮した質問・回答の交信を行なうことができる特徴がある。

前記監視制御回路部３０Ａは、更に符号誤り検出手段６１４とリセット処理手段６１９とを備えている。前記符号誤り検出手段６１４は、前記下り通信情報ＤＮＤの受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出する。前記リセット処理手段６１９は、前記異常判定手段６１７が主制御回路部２０Ａに関する異常を判定したこと、又は前記応答遅延判定手段６１６が応答遅延を判定したこと、又は前記符号誤り検出手段６１４が下り通信情報の符号誤りを検出したことの監視集計結果に応動して前記主制御回路部２０Ａを初期化・再起動する第二の異常処理手段となるものである。
この構成は請求項１２に記載の発明に対応し、異常判定手段と応答遅延判定手段と符号誤り検出手段による異常検出の監視集計結果に応動するリセット処理手段を備えている。従って、一時的なノイズ誤動作等による異常検出に応動せずに、多様な異常検出手段による継続的な異常検出に応動して、主制御回路部に対する再起処理として主制御回路部を初期化・再起動することができる特徴がある。

前記不揮発プログラムメモリ２５Ａは、更に誤答生成手段５０３ｂと集計情報監視手段８１８ａとなる制御プログラムを備えると共に、前記上り通信情報ＵＰＤには前記監視制御回路部３０Ａに於ける異常監視の集計情報が包含されている。前記誤答生成手段５０３ｂは前記質問情報Ｑｎ、Ｑ１ｎに対して意図的に不正解情報を生成して回答情報Ａｎ、Ａ１ｎとして送信する手段であって、当該誤答生成手段による誤答を意図的に送信するタイミングは前記異常監視の集計値に余裕があって、１回の誤答応答によっては前記監視制御回路部３０Ａのリセット処理手段６１９がリセット出力ＲＳＴ２を発生しない時点に於いて実行される。前記集計情報監視手段８１８ａは前記集計情報を監視することによって監視制御回路部３０Ａが正常に動作していることを主制御回路部２０Ａによって逆監視する手段である。
この構成は請求項１４に記載の発明に対応し、プログラムメモリは、更に誤答生成手段と集計情報監視手段となる制御プログラムを備えると共に、上り通信情報には監視制御回路部における異常監視の集計情報が包含されている。従って、意図的な誤答送信によって監視制御回路部の挙動を逆監視することができると共に、この誤答送信によって監視制御回路部がリセット信号を発生して主制御回路部が初期化されることがない特徴がある。

前記不揮発プログラムメモリ２５Ａは、更に符号誤り検出手段８１４又は記憶情報異常検出手段８１８ｂとリセット処理手段８１９となる制御プログラムを包含している。前記符号誤り検出手段８１４は、前記上り通信情報ＵＰＤの受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出する。前記記憶情報異常検出手段８１８ｂは、前記下り通信情報ＤＮＤの一部として監視制御回路部３０Ａが受信記憶した設定・出力情報の記憶状態を、上り通信情報ＵＰＤの一部として返信受信した前記主制御回路部２０Ａに於いて比較判定して異常の有無を検出する。前記リセット処理手段８１９は、前記符号誤り検出手段８１４が上り通信情報ＵＰＤの符号誤りを検出したこと、又は前記記憶情報異常検出手段８１８ｂが記憶情報の異常を検出したこと、又は前記集計情報監視手段８１８ａによる前記異常監視の集計情報が異常であったことの逆監視集計結果に応動して前記監視制御回路部３０Ａを初期化・再起動する第三の異常処理手段となるものである。この構成は、請求項１５に記載の発明に対応し、符号誤り検出手段と記憶情報異常検出手段と集計情報監視手段による逆監視異常検出による逆監視集計結果に応動するリセット処理手段を備えている。従って、一時的なノイズ誤動作等による異常検出に応動せずに、多様な逆監視異常検出手段による継続的な異常検出に応動して監視制御回路部を初期化・再起動することができる特徴がある。

次に、この発明の実施の形態２について説明する。
実施の形態２．
（１）実施の形態２の構成の詳細な説明
以下この発明の実施の形態２による車載電子制御装置について説明する。図９は、この発明の実施の形態２による監視制御回路を有する車載電子制御装置の全体構成図を示す構成図である。以下の説明では、前述の図１の構成との相違点を中心にして説明する。図９に於いて、図１と同一符号は同一又は相当部分を示している。図９に於いて、車載電子制御装置１０Ｂは、プログラムメモリ２５Ｂと協働するマイクロプロセッサ２０を主体として構成された主制御回路部２０Ｂと、補助プログラムメモリ３５Ｂと協働する補助マイクロプロセッサ３０ｂを主体として構成された監視制御回路部３０Ｂを備えており、車載バッテリである外部電源１３から給電されて動作するように構成されている。

電子制御装置１０Ｂの外部には、図１と同様に第一、第二の入力センサ群１１ａ、１１ｂ、第一、第二の電気負荷群１２ａ、１２ｂ、外部ツール１９、外部制御装置４０が接続されている。電子制御装置１０Ｂの内部には、図１と同様に第一及び第二の入力インタフェース回路２１、３１、第一及び第二の出力インタフェース回路２２、３２、第一のシリアル通信回路２７、３７、ツールインタフェース回路２９、電源回路３３が接続されており、第一のシリアル通信回路を構成する一方の直並列変換回路３７の並列入出力バスと補助マイクロプロセッサ３０ｂのデータバス間には図示しないダイレクトメモリアクセスコントローラが接続されて、これらは、補助マイクロプロセッサ３０ｂを経由しないで演算処理用ＲＡＭメモリ３４との間のデータの授受を行なうための構成となっている。

同様に、第一のシリアル通信回路を構成する他方の直並列変換回路２７の並列入出力バスとマイクロプロセッサ２０のデータバス間にも、図示しないダイレクトメモリアクセスコントローラが設けられていて、マイクロプロセッサ２０を経由しないで演算処理用ＲＡＭメモリ２４との間のデータの授受を行なうように構成されている。

なお、プログラムメモリ２５Ｂには通信制御プログラムと入出力制御プログラムに加えて、後述する図１２、図１５に示す各種の制御プログラムが格納されている。また、補助プログラムメモリ３５Ｂには通信制御プログラムと入出力処理プログラムに加えて、図１３、図１４により後述する各種の制御プログラムが格納されていると共に、Ｑ＆Ａ診断のための正解情報が格納されている。

一対の直並列変換器によって構成された第一のシリアル通信回路２７、３７は、全二重ブロック通信回路を構成し、主制御回路部２０Ｂから監視制御回路部３０Ｂに対する下り通信情報ＤＮＤと、監視制御回路部３０Ｂから主制御回路部２０Ｂに対する上り通信情報ＵＰＤとを同時に送受信することができるように構成されている。主制御回路部２０Ｂが発生する通信許可信号ＡＬＴと、監視制御回路部３０Ｂが発生する通信同期信号ＣＬＫについては図２により前述したとおりである。

上り通信情報ＵＰＤは、ＲＡＭメモリ２４に格納される通信情報であり、後述する図１０の（Ｇ）に於いて一覧表に示したとおり、Ｑ＆Ａ用の質問情報、第二の入力センサ群１１ｂから得られた入力信号情報、設定済情報、監視集計情報、第一のフラグ情報、外部機器情報、符号点検情報がある。下り通信情報ＤＮＤは、ＲＡＭメモリ３４に格納される通信情報であり、図１０の（Ｈ）で一覧表示されたとおり、Ｑ＆Ａ用の回答情報、監視制御回路部３０Ａで必要とされる制御定数などの設定情報、第二の電気負荷群１２ｂに対する出力信号情報、第二のフラグ情報、符号点検情報がある。

図１の場合と同様に、上り通信格納情報の中の設定済情報とは、下り通信情報としてＲＡＭメモリ３４に格納された前記設定情報と出力信号情報であり、この設定済情報によって設定情報と出力信号情報が正しく送信されているか否かを、主制御回路部２０Ｂ側で確認することができるようになっている。

また、補助プログラムメモリ３５Ｂには、質問情報に対応した正解情報が製品出荷段階で予め格納されていて、補助マイクロプロセッサ３０ｂは、ランダムに質問情報を送信し、マイクロプロセッサ２０から返信された回答情報と正解情報とを比較することによってマイクロプロセッサ２０の動作状態を監視すると共に、マイクロプロセッサ２０は、意図的な誤答を回答してみて、監視制御回路部３０Ｂが適正な監視制御を行なっているか否かを逆監視するように構成されている。

その結果として、監視制御回路部３０Ｂが主制御回路部２０Ｂの異常を検出すると、リセット出力ＲＳＴ２によって主制御回路部２０Ｂを初期化・再起動し、主制御回路部２０Ｂが監視制御回路部３０Ｂの異常を検出すると、リセット出力ＲＳＴ１によって監視制御回路部３０Ｂを初期化・再起動するように構成されている。

図１０は、図９に示す車載電子制御装置１０Ｂの各種メモリの内容一覧表である。次にこの図１０について説明する。図１０の（Ａ）は、不揮発プログラムメモリ２５Ｂに格納されている制御プログラムと制御定数を一覧にしたものであり、その詳細は図１２、図１５のフローチャートによって後述する。図１０の（Ｂ）は、補助プログラムメモリ３５Ｂに格納されている制御プログラムと制御定数を一覧にしたものであり、その詳細は図１３、図１４のフローチャートによって後述する。

図１０の（Ｃ）は、この実施の形態２に適用される一斉質問情報Ｑｎ（ｎ＝０、１、２・・・Ｆ）を示しており、この一斉質問情報Ｑｎは入力テーブル番号ｎ＝０〜Ｆが指定され、各入力テーブルは不揮発プログラムメモリ２５Ｂや補機プログラムメモリ４１ｂ〜４４ｂに格納されている。また、マイクロプロセッサ２０に対する個別質問情報はＱ１ｎ、協働補機４１〜４４に対する個別質問情報はＱ２ｎ〜Ｑ５ｎで示されている。

図１０の（Ｄ）は、合成回答情報Ａｎ、主機回答情報Ａ１ｎ、補機回答情報Ａ２ｎ〜Ａ５ｎを示しており、これらの合成回答情報は例えば１６ビット以下の数値、その他の個別回答情報Ａ１ｎ〜Ａ５ｎは１３ビット以下の数値となっている。

図１０の（Ｅ）は、合成正解情報Ｒｎ、主機正解情報Ｒ１ｎ、補機正解情報Ｒ２ｎ〜Ｒ５ｎを示しており、これらの合成正解情報は例えば１６ビット以下の数値、その他の個別正解情報Ｒ１ｎ〜Ｒ５ｎは１３ビット以下の数値となっている。図１０の（Ｇ）はＲＡＭメモリ２４に格納される上り通信情報の一覧である。図１０の（Ｈ）はＲＡＭメモリ３４に格納される下り通信情報の一覧である。

なお、この実施の形態１の最も重要な特徴は、補助プログラムメモリ３５Ｂが主機正解情報Ｒ１ｎと補機正解情報Ｒ２ｎ〜Ｒ５ｎと合成回答情報Ｒｎを備えているのに対し、主制御回路部２０Ｂ側では正解情報を全く持っておらず、主制御回路部２０Ｂ側の制御負担が最も軽くなっていることである。このために、監視制御回路部３０Ｂは、一斉質問情報Ｑｎに対する合成回答情報Ａｎによって、主制御回路部２０Ｂ又は協働補機４１〜４４の何れかの異常を検出すると、後述の循環回答生成手段によって個別質問情報Ｑ１ｎ〜Ｑ５ｎを順次発生して、異常発生部位を特定するように構成されている。

個別質問情報Ｑ１ｎ〜Ｑ５ｎは、主制御回路部２０Ｂ又は外部制御装置４０の中の各協働補機４１〜４４の何れか一つに対して送信される質問情報であり、主制御回路部２０Ｂは、個別質問情報Ｑ１ｎ〜Ｑ５ｎに基づく主機回答情報Ａ１ｎ又は補機回答情報Ａ２ｎ〜Ａ５ｎの一つを監視制御回路部３０Ｂへ送信するようになっている。或いはまた、個別質問情報Ｑ１ｎ〜Ｑ５ｎといっても、主制御回路部２０Ｂ又は外部制御装置４０に対して一斉に送信されるものであるが、質問対象となっていない主制御回路部２０Ｂ又は外部制御装置４０の中の各協働補機４１〜４４は、主機回答情報Ａ１ｎ又は補機回答情報Ａ２ｎ〜Ａ５ｎとしてゼロを回答するか、又は主制御回路部２０Ｂは、質問対象となっていない主制御回路部２０Ｂ又は前記外部制御装置４０の中の各協働補機４１〜４４〜得られる主機回答情報Ａ１ｎ又は補機回答情報Ａ２ｎ〜Ａ５ｎを除外して、対象となっている回答情報のみを監視制御回路部３０Ｂへ送信するようにしてもよい。

以下の説明では、個別質問情報といえども全ての対象機器に質問情報が送信され、個別対象機器からの回答情報のみが主制御回路部２０Ｂに於いて選択されて監視制御回路部３０Ｂへ送信される場合について説明する。

次に、図９に示す車載電子制御装置１０Ｂに於ける質問・回答情報の変遷図である図１１について説明する。図１１の（Ａ）は監視制御回路部３０Ｂ、（Ｂ）は主制御回路部２０Ｂ、（Ｃ）はマイクロプロセッサ２０及び第二のシリアル通信回路の通信端末２８、（Ｄ）は協働補機である変速制御装置（ＴＣＵ）４１、（Ｅ）は協働補機である操舵制御装置（ＥＰＳ）４２、（Ｆ）は協働補機である安定制御装置（ＳＣＵ）４３、（Ｇ）は協働補機である制動制御装置（ＡＢＳ）４４、の夫々の質問・回答情報の変遷を示している。尚、以下の説明では変速制御装置（ＴＣＵ）４１、操舵制御装置（ＥＰＳ）４２、安定制御装置（ＳＣＵ）４３、制動制御装置（ＡＢＳ）４４を、夫々単に、協働補機４１、４２、４３、４４と称する。

図１１の（Ａ）〜（Ｇ）に於いて、第一時間帯に於けるｔ1〜ｔ９では、前述の図４の
時間帯ｔ1〜ｔ９と同様に、（Ａ）の監視制御回路部３０Ｂから一斉質問Ｑｎが（Ｂ）の
主制御回路部２０Ｂに送信され、（Ｂ）の主制御回路部２０Ｂから合成回答情報Ａｎが（Ａ）の監視制御回路部３０Ｂへ送信され、何らかの異常があると判定されると第二時間帯ｔ１１〜ｔ１９、第三時間帯ｔ２１〜ｔ２９から順次、第六時間帯ｔ６１〜ｔ６９に移行して個別質問Ｑｉｎ＝Ｑ1ｎ又はＱ２ｎ又はＱ３ｎ又はＱ４ｎ又はＱ５ｎのどれかの質問・回答が実行される。

次に、図１１の第二時間帯のｔ１１に於いて、（Ａ）の監視制御回路部３０Ｂは、一斉質問情報Ｑｉｎ（＝Ｑ1ｎ）を発生し、（Ｂ）の主制御回路部２０Ｂは、第一のシリアル通信回路３７、２７を介してこれを受信する。第二時間帯のｔ１２に於いて、（Ａ）の主制御回路部２０Ｂは（Ｃ）の第二のシリアル通信回路を介して（Ｄ）、（Ｅ）、（Ｆ）、（Ｇ）の各協働補機４１、４２、４３、４４に対して個別質問情報Ｑｉｎを転送する。

図１１の第二時間帯のｔ１３に於いて、（Ａ）の主制御回路部２０Ｂは、主機回答情報Ａ１ｎを生成し、個別質問がＱ１ｎであった場合に当該主機回答情報Ａ１ｎを選択する。図１１の第二時間帯ｔ１４に於いて、（Ｄ）の協働補機４１は、補機回答情報Ａ２ｎを生成して第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ｂへ送信する。主制御回路部２０Ｂは個別質問がＱ２ｎであった場合には補機回答情報Ａ２ｎを選択する。

図１１の第二時間帯のｔ１５に於いて、（Ｅ）の協働補機４２は補機回答情報Ａ３ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ｂへ送信する。主制御回路部２０Ｂは、個別質問がＱ３ｎであった場合には補機回答情報Ａ３ｎを選択する。図１１の第二時間帯のｔ１６に於いて、（Ｆ）の協働補機４３は補機回答情報Ａ４ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ｂへ送信する。主制御回路部２０Ｂは、個別質問がＱ４ｎであった場合には補機回答情報Ａ４ｎを選択する。

図１１の第二時間帯のｔ１７に於いて、協働補機４４は、補機回答情報Ａ５ｎを生成して（Ｃ）の第二のシリアル通信回路を介して主制御回路部２０Ｂへ送信する。主制御回路部２０Ｂは、個別質問がＱ５ｎであった場合には補機回答情報Ａ５ｎを選択する。図１１の第二時間帯のｔ１８に於いて、（Ｂ）の主制御回路部２０Ｂは選択された回答を第一のシリアル通信回路を介して（Ａ）の監視制御回路部３０Ｂへ送信する。

監視制御回路部３０Ｂは、補助プログラムメモリ３５Ｂに格納されている個別正解情報との比較判定を行って異常の有無を判定する。図１１の第二時間帯のｔ１９では、第二時間帯のｔ１８に於いて主機回答情報Ａ１ｎが異常であれば過去の主機異常の発生状態の集計結果に応動して後述のリセット出力を発生し、補機回答異常であれば該当異常補機番号を（Ｂ）の主制御回路部２０Ｂへ報告する。

関連機器の正常状態に於いては一斉質問情報Ｑｎが繰返して送信され、例えば４０［ｍｓｅｃ］毎に質問番号ｎが更新されるようになっている。また、異常発生時には個別質問情報によって先ず主制御回路部に対する異常判定を行ない、主制御回路部が異常であれば再確認した上で第二の異常処理が行われ、主制御回路部の異常でなければ外部制御装置の異常であると判定して全協働補機に関する第一の異常処理を行ってから、順次複数の協働補機の中のどれが異常であるのかを検出して、異常検出された協働補機に関する個別の異常処理に切換えるように構成されている。

従って、この実施の形態２の場合に、外部制御装置４０の異常は監視制御回路部３０Ｂに於いて監視され、外部機器異常通報手段によって主制御回路部２０Ｂに通報されることによって、主制御回路部２０Ｂは外部機器異常処理手段による自衛処理を行うことになる。なお、補機回答情報Ａ２ｎ〜Ａ５ｎを生成して主制御回路部２０Ｂへ送信する外部回答生成・送信手段４００は、協働補機４１〜４４の補機プログラムメモリ４１ｂ〜４４ｂに格納されている制御プログラムによって実行されるものである。

第一時間帯のｔ１〜ｔ９までの合計時間は例えば４０［ｍｓｅｃ］であり、この一連の動作が完了すると一斉質問情報はＱｎ＋１に更新され、新たな質問情報に基づいて同様の異常監視が繰返されるようになっている。第二時間帯から第六時間帯についても同様であるが、質問番号は時間帯ｔ１１〜ｔ５１まで更新されないで同一番号の質問が行なわれるが、質問対象機器が順次変更されることになる。

（２）実施の形態２の作用・動作の詳細な説明
以下、前述の図９のとおり構成されたこの発明の実施の形態２による監視制御回路を有する車載電子制御装置の作用・動作について説明する。図１２は主制御回路部２０Ｂの送信動作を示すフロ−チャ−ト、図１３は監視制御回路部３０Ｂの受信動作を示すフロ−チャ−ト、図１４は監視制御回路部３０Ｂの送信動作を示すフロ−チャ−ト、図１５は主制御回路部２０Ｂの受信動作を示すフロ−チャ−トである。

まず、図９に於いて、図示しない電源スイッチを介して電子制御装置１０Ｂに対して外部電源１３が接続されると、マイクロプロセッサ２０は第一、第二の入力センサ群１１ａ、１１ｂの動作状態とプログラムメモリ２５Ｂ内の制御プログラムの内容に応動して第一、第二の電気負荷群１２ａ・１２ｂの駆動制御を行なう。特に、第一の入力センサ群１１ａや第一の電気負荷群１２ａは、エンジン回転と同期して開閉・断続動作を行うものであって、例えば４気筒・４サイクルのガソリンエンジンが６０００［ｒｐｍ］で回転していると、５［ｍｓｅｃ］周期で点火制御や燃料噴射制御を行なうことになるが、エンジン回転速度が６００［ｒｐｍ］であれば５０［ｍｓｅｃ］周期でこれ等の制御を行なえばよいことになる。

一方、第二の入力センサ群１１ｂや第二の電気負荷群１２ｂは、エンジン回転と同期した動作を行なうものではないので、高頻度な動作は行わないが、動作状態が変化すると速やかに信号交信を行なう必要があるので、エンジン回転速度とは無関係に比較的高頻度に一定周期の交信を行なうのが望ましいものとなっている。

次に、図９に示す車載電子制御装置の主制御回路部２０Ｂの送信動作を、図１２に基づいて説明するが、主として前述の実施の形態１に於ける図５の場合との相違点を中心にして説明する。なお、図５の５００番台の符号は、図１２では１５００番台で示されている。図１２に於いて、ステップ１５００は、マイクロプロセッサ２０が監視制御回路部３０Ｂに対する送信動作を開始するステップである。ステップ１５０１ａ、１５０１ｂ、１５０１ｃは、後述のステップ１８１９に於けるリセット出力ＲＳＴ１の発生に応動して監視制御回路部３０Ｂを初期化・再起動したり、ステップ１８１９に於ける逆監視異常集計結果をリセットしてリセット出力ＲＳＴ１を停止するものとなっている。

ステップ１５０２は、後述のステップ１８１６ａ（図１５参照）に於いて協働補機４１〜４４からの返信が完了したかどうかを記憶した判定フラグの動作状態を監視して、協働補機４１〜４４からの返信が完了しておればＹＥＳの判定を行なってステップ１５０３ａへ移行し、完了していなければＮＯの判定を行なったステップ１５０５ｂへ移行する判定ステップである。ステップ１５０３ａ、１５０３ｂ、１５０３ｃ、１５０４は、誤答生成手段１５０３ｂと主機回答生成手段１５０３ｃによる回答準備が完了したか否かによってステップ１５０５ａ、又はステップ１５０５ｂを選択するように構成されている。

循環回答生成手段となるステップ１５０５ａでは、今回の回答情報を決定すると共に、第二のフラグ情報Ｆの内容を更新する。なお、ステップ１５０５ａでは、後述のステップ１６１７ｂで循環フラグがセットされている場合には、監視制御回路部３０Ｂからの個別質問情報に応じて監視制御回路部３０Ｂに送信する回答情報として主機回答情報Ａ１ｎと補機回答情報Ａ２ｎ〜Ａ５ｎが順次個別に送信される。但し、ステップ１６１７ｂで循環フラグがセットされていない場合には、監視制御回路部３０Ｂからの一斉質問情報に応じて監視制御回路部３０Ｂに送信する回答情報として主機回答情報Ａ１ｎと補機回答情報Ａ２ｎ〜Ａ５ｎの合算集計値が生成される。

ステップ１５０５ｂでは、今回の回答情報として前回の回答情報をそのまま援用し、第二のフラグ情報Ｆは更新しないように決定する。ステップ１５１０ａ以降では、ステップ１５０５ａ又はステップ１５０５ｂで決定された回答情報とステップ１５１１ｂで付加された設定・出力情報とステップ１５１２で付加された符号点検情報とが監視制御回路部３０Ｂへ送信され、動作終了ステップ１５２０へ移行するようになっている。動作終了ステップ１５２０では他の制御動作を実行し、所定時間内には再度動作開始ステップ１５００へ循環移行する。

次に、図９の車載電子制御装置に於ける監視制御回路部３０Ｂの受信動作について、図１３に基づいて説明するが、前述の実施の形態１に於ける図６の場合との相違点を中心にして説明する。なお、図６の６００番台の符号は、図１３では１６００番台で示されている。

図１３に於いて、ステップ１６００は、補助マイクロプロセッサ３０ｂが受信動作を開始するステップである。ステップ１６０１ａ、１６０１ｂ、１６０１ｃは、後述のステップ１６１９に於けるリセット出力ＲＳＴ２の発生に応動してマイクロプロセッサ２０を初期化・再起動したり、ステップ１６１９に於ける監視異常集計結果をリセットしてリセット出力ＲＳＴ２を停止するものとなっている。

ステップ１６１０からステップ１６１６は、主制御回路部２０Ｂからの受信データを符号誤り検出手段１６１４によって点検した上で補助ＲＡＭメモリ３４に格納すると共に、応答遅延判定手段１６１６によって主制御回路部２０Ｂからの回答情報の遅延の有無が判定されている。

合成異常判定手段となるステップ１６１７ａでは、後述のステップ1７０５ａ、１７１
２で送信された一斉質問情報Ｑｎによってステップ１６１５で格納された合成回答情報Ａｎと補助プログラムメモリ３５Ｂに格納されている合成正解情報Ｒｎとを比較して、両者が不一致であればＹＥＳの判定を行なってステップ１６１７ｂへ移行し、一致していればＮＯの判定を行なってステップ１６１７ｃへ移行する。

ステップ１６１７ｂでは、循環質問フラグをセットして、後述のステップ1７０５ａに
於ける質問情報を順次循環する個別質問情報モードへ移行する。ステップ１６１７ｃでは、循環質問フラグをリセットして、後述のステップ1７０５ａに於ける質問情報を一斉質
問情報モードへ移行する。

個別異常判定手段となるステップ１６１７ｄでは、後述する図１４に於けるステップ1
７０５ａ、１７１２にて送信された個別質問情報によってステップ１６１５で格納された個別回答情報と補助プログラムメモリ３５Ｂに格納されている個別正解情報とを比較して、両者が不一致であればＹＥＳの判定を行なってステップ１６１７ｅへ移行し、一致していればＮＯの判定を行なって動作終了ステップ１６２０へ移行する。

ステップ１６１７ｅでは、個別質問によって主機回答情報Ａ１ｎの異常が検出された場合にＹＥＳの判定を行なってステップ１６１９へ移行し、主機回答情報Ａ１ｎの異常ではないときにはＮＯの判定を行なってステップ１６１７ｆへ移行する。外部機器異常通報手段となるステップ１６１７ｆは、異常発生した協働補機４１〜４４の番号を主制御回路部２０Ｂへ送信する。

リセット処理手段となるステップ１６１９は、図示しないエラーカウンタによって構成されていて、当該エラーカウンタはステップ１６１４、１６１６、１６１７ｅがＹＥＳとなる異常判定を行なう毎に現在値が例えば５カウント上昇し、ステップ１６１４、１６１６、１６１７ｅがＮＯとなる正常判定を行なう毎に現在値が例えば１カウント減少し、エラーカウンタの現在値は「０」以下にはならないように減算規制されている。

このように構成されたエラーカウンタの現在値は、監視集計結果を示すものであり、この監視集計結果が例えば「１１」を超過するとリセット出力ＲＳＴ２が発生し、ステップ１６０１ｂ又は後述のステップ１７０１ｂでマイクロプロセッサ２０が初期化・再起動されて、これが第二の異常処理手段である再起処理に該当するものである。

ステップ１６１９又はステップ１６１７ｆに続いて動作終了ステップ１６２０へ移行し、他の制御を行なってから動作開始ステップ１６００へ復帰するように構成されている。

次に、図９の車載電子制御装置１０Ｂに於ける監視制御回路部３０Ｂの送信動作について図１４に基づいて説明するが、前述の実施の形態１に於ける図７の場合との相違点を中心にして説明する。なお、図７の７００番台の符号は図１４では１７００番台で示されている。

図１４に於いて、ステップ１７００は補助マイクロプロセッサ３０ｂが送信動作を開始するステップであり、以降のステップは図７の場合と同一であって、動作終了ステップ１７２０に続いて所定時間後には動作開始ステップ１７００へ移行するようになっている。但し、質問情報生成手段となるステップ1７０５ａでは、前述のステップ１６１７ｂ、１
６１７ｃによって決定される循環質問フラグの状態に応動して一斉質問情報Ｑｎ又は個別質問情報Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎが順次交替して送信されたり、一斉質問情報Ｑｎが継続送信されて質問情報更新手段となるステップ１７０４の判定によって質問番号が更新されるように構成されている。

また、ステップ１７０４では質問内容が変更されていなくても、個別質問情報によって質問相手が変更された場合にはＹＥＳの判定が行なわれ、ステップ1７０５ａに於いて第
一のフラグ情報が変化するようになっている。

次に、図９の車載電子制御装置１０Ｂに於ける主制御回路部２０Ｂの受信動作について図１５に基づいて説明するが、前述の実施の形態１に於ける図８の場合との相違点を中心にして説明する。なお、図８の８００番台の符号は図１５では１８００番台で示されている。

図１５に於いて、ステップ１８００は、マイクロプロセッサ２０が監視制御回路部３０Ｂからの受信動作を開始するステップである。ステップ１８０１ａ、１８０１ｂ、１８０１ｃは、後述のステップ１８１９に於けるリセット出力ＲＳＴ１の発生に応動して監視制御回路部３０Ｂを初期化・再起動したり、ステップ１８１９に於ける逆監視集計結果をリセットしてリセット出力ＲＳＴ１を停止するものとなっている。ステップ１８１０からステップ１８１５ａに至る一連のステップは、監視制御回路部３０Ｂからの受信データを符号誤り検出手段１８１４によって点検したうえでＲＡＭメモリ２４に格納するように構成されている。

ステップ１８１５ｂでは、ステップ１８１５ａで受信した更新質問情報Ｑｎが協働補機４１〜４４に対して送信される。これは図１１の第一時間帯に於けるｔ２に於いて実行されるものである。続くステップ１８１６ａは、協働補機４１〜４４からの補機回答情報Ａ２ｎ〜Ａ５ｎの返信受信が完了したかどうかを判定し、未完了であればＮＯの判定を行なってステップ１８１７ａへ移行し、完了であればＹＥＳの判定を行なってステップ１８１６ｂへ移行する。

ステップ１８１６ｂでは、得られた補機回答情報Ａ２ｎ〜Ａ５ｎをＲＡＭメモリ２４に格納してからステップ１８１６ｃへ移行する。ステップ１８１６ｃでは、ステップ１８１５ａで受信した補機状態情報に基づいて、補機異常が報告されておればＹＥＳの判定を行なってステップ１８１７ｂへ移行し、異常報告がなければＮＯの判定を行なってステップ１８１８ａへ移行する。

ステップ１８１７ａでは、ステップ１８１５ｂに於いて協働補機４１〜４４に対して一斉質問情報Ｑｎが送信されてから、補機回答情報Ａ２ｎ〜Ａ５ｎが得られるまでの応答時間が所定の閾値時間を超過したか否かを判定し、時間超過であればＹＥＳの判定を行なってステップ１８１７ｂへ移行し、時間超過していなければＮＯの判定を行なってステップ１８１８ａへ移行する。なお、ステップ１８１７ａが時間超過ではないと判定した場合には、ステップ１８００からステップ１８２０に至る一連の制御フローを繰り返しながら、ステップ１８１６ａによる返信完了を待つことになる。

外部機器異常処理手段となるステップ１８１７ｂは、ステップ１８１６ｃによる外部制御装置４０の個別異常判定情報に基づいて実行される第一の異常処理手段であって、異常判定された外部制御装置４０からのエンジン出力トルクの増減要求補正値Δτの内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置４０に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部２０Ｂに於いて保存するように構成されている。

集計情報監視手段となるステップ１８１８ａは、前述のステップ１５０３ｂに基づいてステップ１５１２で送信された誤答情報に対応して、ステップ１８１５ａで受信した監視集計結果の変化を監視することによって監視制御回路部３０Ｂが正常に動作していることを逆監視する手段であって、異常判定されるとＹＥＳとなってステップ１８１９へ移行し、異常でなければＮＯとなってステップ１８１８ｂへ移行する。

記憶情報異常検出手段となるステップ１８１８ｂは、下り通信情報ＤＮＤの一部として監視制御回路部３０Ｂがステップ１６１５で受信記憶した設定・出力情報の記憶状態と、上り通信情報ＵＰＤの一部として主制御回路部２０Ｂがステップ１８１５ａで受信した確認返信情報を比較して異常の有無を検出する手段であって、異常判定されるとＹＥＳとなってステップ１８１９へ移行し、異常でなければＮＯとなって動作終了ステップ１８２０へ移行する。

なお、記憶情報の異常の有無を判定するためには、主制御回路部２０Ｂに於いて前回の設定・出力送信情報を記憶しておく必要があるので、一部の重要データについてのみ一致判定を行なうように構成されている。リセット処理手段となるステップ１８１９は、図示していないエラーカウンタによって構成されていて、当該エラーカウンタは、ステップ１８１４、１８１８ａ、１８１８ｂがＹＥＳとなる異常判定を行なう毎に、現在値が例えば５カウント上昇し、ステップ１８１４、１８１８ａ、１８１８ｂがＮＯとなる正常判定を行なう毎に、現在値が例えば１カウント減少し、エラーカウンタの現在値は「０」以下にはならないように減算規制されている。

このように構成されたエラーカウンタの現在値は、逆監視集計結果を示すものであり、この逆監視集計結果が例えば「１１」を超過するとリセット出力ＲＳＴ１が発生し、ステップ１５０１ｂ又はステップ１８０１ｂで補助マイクロプロセッサ３０ｂが初期化・再起動されて、これが第三の異常処理手段である再起処理に該当するものである。

ステップ１８１９に続いて、動作終了ステップ１８２０へ移行し、他の制御を行なってから動作開始ステップ１８００へ復帰する。

（３）実施の形態２の要点と特徴
以上の説明で明らかなとおり、この発明の実施の形態２による車載電子制御装置１０Ｂは、不揮発プログラムメモリ２５Ｂと、演算処理用ＲＡＭメモリ２４と、第一の入力センサ群１１ａが接続された第一の入力インタフェース回路２１と、第一の電気負荷群１２ａが接続された第一の出力インタフェース回路２２と、前記不揮発プログラムメモリ２５Ｂに格納された制御プログラムの内容と前記第一の入力センサ群１１ａの動作状態に応動して、前記第一の電気負荷群1２ａを制御するマイクロプロセッサ２０とを備えた主制御回
路部２０Ｂと、前記マイクロプロセッサ２０に対して第一のシリアル通信回路２７、３７によって接続され、複数の質問情報を順次選択送信する質問情報生成手段1７０５ａと、
前記質問情報に対する正解情報格納メモリ３５Ｂと、前記質問情報に基づく前記主制御回路部２０Ｂからの回答情報と前記正解情報格納メモリ３５Ｂに格納されている正解情報とを比較して異常の有無を判定する異常判定手段１６１７ａ、１６１７ｄとを有する監視制御回路部３０Ｂとを備えた車載電子制御装置１０Ｂとなっている。前記主制御回路部２０Ｂは、更に第二のシリアル通信回路２８を介して接続されて制御信号を相互に交信する外部制御装置４０と協働し、当該外部制御装置４０は、補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂと協働する補機マイクロプロセッサ４１ａ、４２ａ、４３ａ、４４ａによって構成された協働補機４１、４２、４３、４４を備え、前記補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂは、前記主制御回路部２０Ｂから送信された質問情報Ｑｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎに応動して回答情報を生成し、補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとして前記主制御回路部２０Ｂに回答返信する外部回答生成送信手段４００となる制御プログラムを包含している。

前記質問情報生成手段1７０５ａは、前記主制御回路部２０Ｂと前記外部制御装置４０
の全てに対して適用される一斉質問情報Ｑｎと、個別に適用される個別質問情報Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎが更に付加されていて、当該一斉質問情報又は個別質問情報は前記監視制御回路部３０Ｂから主制御回路部２０Ｂに送信され、前記外部制御装置４０に対しては当該主制御回路部２０Ｂを中継して送信され、前記不揮発プログラムメモリ２５Ｂは、更に前記一斉質問情報Ｑｎ又は個別質問情報Ｑ１ｎに対応して主機回答情報Ａ１ｎを生成する主機回答生成手段１５０３ｃとなる制御プログラムを包含すると共に、前記一斉質問情報Ｑｎに対応して、前記主機回答情報Ａ１ｎと補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとを合算集計した合成回答情報Ａｎを送信する送信回答編集手段１５０５ａとなる制御プログラムを包含している。
前記正解情報格納メモリ３５Ｂには、前記主制御回路部２０Ｂが発生する主機回答情報Ａ１ｎに関する主機正解情報Ｒ１ｎと、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎに対する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎと、前記主機正解情報と補機正解情報とを合算集計した合成正解情報Ｒｎが格納保存されている。
前記異常判定手段１６１７ａ、１６１７ｄは、少なくとも前記監視制御回路部３０Ｂが発生した一斉質問情報Ｑｎ又は個別質問情報Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎに基づいて、前記主制御回路部２０Ｂの異常監視を行なうと共に、前記主制御回路部２０Ｂと監視制御回路部３０Ｂは、協働して前記外部制御装置４０に対する異常を識別監視し、前記主制御回路部２０Ｂは、前記外部制御装置４０の異常発生に伴って第一の異常処理手段１８１７ｂによる自衛処理を行い、前記監視制御回路部３０Ｂは、前記主制御回路部２０Ｂの異常発生に伴って第二の異常処理手段１６１９によって主制御回路部に対する再起処理を行うように構成されている。

前記不揮発プログラムメモリ２５Ｂは、更に循環回答生成手段１５０５ａとなる制御プログラムを備えると共に、前記監視制御回路部３０Ｂは、更に合成異常判定手段１６１７ａと個別異常判定手段１６１７ｄによる異常判定手段と、外部機器異常通報手段１６１７ｆとを備えていて、前記正解情報格納メモリ３５Ｂには前記主制御回路部２０Ｂに関する主機正解情報Ｒ１ｎに加えて、前記外部制御装置４０に関する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎと、各正解情報を合算した合成正解情報Ｒｎとが格納されている。
前記循環回答生成手段１５０５ａは、まず第一に前記監視制御回路部３０Ｂが発生した一斉質問情報Ｑｎに対応して、前記主制御回路部２０Ｂが生成した主機回答情報Ａ１ｎと前記外部制御装置４０が生成した補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎを合算した合成回答情報Ａｎを生成して前記監視制御回路部３０Ｂに対して送信する送信回答編集手段である。
前記合成異常判定手段１６１７ａは、前記主制御回路部２０Ｂから送信された合成回答情報Ａｎと前記合成正解情報Ｒｎとが一致する場合には、質問内容を更新しながら前記一斉質問情報Ｑｎの送信を継続し、合成回答情報Ａｎと合成正解情報Ｒｎとが不一致である場合には循環質問フラグをセットし、前記循環質問フラグがセットされると、前記主制御回路部２０Ｂと前記外部制御装置４０に対する個別質問情報Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎが順次送信され、再び一斉質問情報Ｑｎが送信されたときに前記合成回答情報Ａｎと合成正解情報Ｒｎとが一致すれば循環質問フラグはリセットされ、不一致であれば引き続いて循環質問フラグはセットされており、前記個別異常判定手段１６１７ｄは前記個別質問情報Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎに基づく主機回答情報Ａ１ｎ及び補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎと、前記主機正解情報Ｒ１ｎ及び補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎとを比較して、前記主制御回路部２０Ｂ又は外部制御装置４０の異常の有無を個別に判定する。

前記外部機器異常通報手段１６１７ｆは、前記個別異常判定手段１６１７ｄによって外部制御装置４０の異常が検出されたときに、当該異常発生を前記主制御回路部２０Ｂに対して通報する。
この構成は、請求項３に記載の発明に対応し、監視制御回路部は、主機、補機、合成正解情報を持っていて、一斉質問情報と個別質問情報とによって主制御回路部及び外部制御装置の異常判定を行って、外部制御装置が異常であるときには主制御回路部に通報するようになっている。従って、異常監視は監視制御回路部が主体となって行なっているので、主制御回路部の制御負担を軽減することができる特徴があると共に、正常状態においては一斉質問情報と合成回答情報との交信のみで運転することができるので、通信制御負担を軽減することができる特徴がある。
また、異常発生時には個別質問情報によって先ず主制御回路部に対する異常判定を行ない、主制御回路部が異常であれば再確認した上で再起処理が行われ、主制御回路部の異常でなければ外部制御装置の異常であると判定して全協働補機に対する自衛処理を行ってから、順次複数の協働補機の中のどれが異常であるのかを検出して、異常検出された協働補機に関する個別の自衛処理に切換えることができる特徴がある。

前記個別質問情報Ｑ１ｎ〜Ｑ５ｎは、前記主制御回路部２０Ｂ又は前記外部制御装置４０の中の各協働補機４１〜４４の何れか一つに対して送信される質問情報であり、前記主制御回路部２０Ｂは、前記個別質問情報Ｑ１ｎ〜Ｑ５ｎに基づく主機回答情報Ａ１ｎ又は補機回答情報Ａ２ｎ〜Ａ５ｎの一つを前記監視制御回路部３０Ｂへ送信するものである。
この構成は請求項４に記載の発明に対応し、個別質問情報は対象となる相手に対してのみ送信され、得られた対象相手からの回答情報をそのまま監視制御回路部へ送信するようになっている。従って、異常発生相手を検出するための通信が限定され、速やかに回答情報が得られる特徴がある。

前記個別質問情報Ｑ１ｎ〜Ｑ５ｎは、前記主制御回路部２０Ｂ又は前記外部制御装置４０に対して一斉に送信されるものであるが、質問対象となっていない前記主制御回路部２０Ｂ又は前記外部制御装置４０の中の各協働補機４１〜４４は主機回答情報Ａ１ｎ又は補機回答情報Ａ２ｎ〜Ａ５ｎとしてゼロを回答するか、又は前記主制御回路部２０Ｂは質問対象となっていない前記主制御回路部２０Ｂ又は前記外部制御装置４０の中の各協働補機４１〜４４から得られる主機回答情報Ａ１ｎ又は補機回答情報Ａ２ｎ〜Ａ５ｎを除外して、対象となっている回答情報のみを前記監視制御回路部３０Ｂへ送信するものである。
この構成は請求項５に記載の発明に対応する。この構成によれば、個別質問情報は一斉に送信されるが、対象相手からの回答情報のみが監視制御回路部へ送信されるようになっている。従って、一斉質問情報と個別質問情報は同じ通信仕様によって処理することができる特徴がある。

請求項７に記載の発明に関連して、前記質問情報Ｑｎ、Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎは、前記マイクロプロセッサ２０及び前記外部制御装置４０内のマイクロプロセッサ４１ａ、４２ａ、４３ａ、４４ａに於いて適用される少なくとも１個の演算算式に対応した制御プログラム、又は当該制御プログラムと同じ内容のプログラムであって、同じプログラムメモリ２５Ｂ、４１ｂ、４２ｂ、４３ｂ、４４ｂの異なるアドレス領域に格納されているコピープログラムを被試験プログラムとして指定すると共に、当該被試験プログラムに於いて適用される入力データに対応した入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は前記不揮発プログラムメモリ２５Ｂ及び前記外部制御装置４０内の補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂに格納されている。
前記主制御回路部２０Ｂは、前記一斉質問情報Ｑｎ又は個別質問情報Ｑ１ｎによって指定された演算算式と入力定数に基づいて主機回答情報Ａ１ｎを生成し、前記外部制御装置４０は前記一斉質問情報Ｑｎ又は個別質問情報Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎによって指定された演算算式と入力定数に基づく演算結果を補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとして前記主制御回路部２０Ｂに送信する。

請求項８に記載の発明に関連して、前記車載電子制御装置１０Ｂはエンジン制御装置であって、前記第一の入力センサ群１１ａは少なくともアクセルペダルの踏込み度合を検出するアクセルポジションセンサと、吸気弁開度を検出するスロットルポジションセンサと、エンジンの吸気量を測定するエアフローセンサと、エンジン回転速度を算出するためのエンジン回転センサとを備えると共に、前記第一の電気負荷群１２ａは少なくとも吸気スロットルの弁開度制御用モータと燃料噴射用電磁弁とを備えている。
前記主制御回路部２０Ｂに於ける被試験プログラムは、前記外部制御装置４０から要求されたエンジン出力トルクの増減要求補正値Δτに対応したスロットル弁開度の増減目標補正値Δθを算出するための制御プログラムであり、
前記外部制御装置４０は、車速とアクセルポジションセンサに応動して変速機の変速段を切換える変速制御装置４１、又は方向操作ハンドルの操作に応動する操舵制御装置４２、又は車両姿勢の安定制御装置４３、又はフットブレーキペダルに応動する制動制御装置４４の何れかを包含し、当該外部制御装置４０は、前記第二のシリアル通信回路２８、４１ｃ、４２ｃ、４３ｃ、４４ｃを介して前記主制御回路部２０Ｂに対してエンジントルクの増減要求補正値Δτを送信すると共に、当該外部制御装置４０に於ける被試験プログラムは当該外部制御装置４０に対する入力信号に応動して前記エンジン出力トルクの増減要求補正値Δτを算出するための制御プログラムである。

請求項９に記載の発明に関連して、前記不揮発プログラムメモリ２５Ｂ、は更に外部機器異常処理手段１８１７ｂとなる制御プログラムを包含している。当該外部機器異常処理手段１８１７ｂは、前記監視制御回路部３０Ｂによる個別異常判定手段１６１７ｄと外部機器異常通報手段１６１７ｆに基づいて主制御回路部２０Ｂに送信された外部制御装置４０の個別異常判定情報に基づいて作用する第一の異常処理手段であって、異常判定された前記外部制御装置４０からのエンジン出力トルクの増減要求補正値Δτの内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置４０に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部２０Ｂに於いて保存する。

請求項１０に記載の発明に関連して、前記監視制御回路部３０Ｂは、前記第一のシリアル通信回路２７、３７を介して前記マイクロプロセッサ２０に対する一部の入出力信号となる第二の入力センサ群１１ｂと第二の電気負荷群１２ｂとの入出力信号の交信を行なうようになっている。
前記主制御回路部２０Ｂから監視制御回路部３０Ｂに対して送信される下り通信情報ＤＮＤは、当該監視制御回路部に於いて必要とされる設定定数又は制御出力と、前回の上り通信情報ＵＰＤで得られた前記質問情報Ｑｎ−１、Ｑ１ｎ−１、Ｑ２ｎ−１、Ｑ３ｎ−１、Ｑ４ｎ−１、Ｑ５ｎ−１に対する回答情報Ａｎ−１、Ａ１ｎ−１、Ａ２ｎ−１、Ａ３ｎ−１、Ａ４ｎ−１、Ａ５ｎ−１と第二のフラグ情報と符号点検情報とを包含し、前記監視制御回路部３０Ｂから主制御回路部２０Ｂに対して送信される上り通信情報ＵＰＤは、当該監視制御回路部に対する入力信号情報、或いは前記主制御回路部２０Ｂから得られた前記設定定数又は前記制御出力の記憶情報と、今回の質問情報Ｑｎ、Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎと第一のフラグ情報と符号点検情報とを包含している。
前記第一のフラグ情報は、前記監視制御回路部３０Ｂに於いて前記質問情報Ｑｎ、Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎの内容が更新変更された時点において変化して、質問情報の変化を通報する１ビット又は複数ビットの識別信号となるものであって、前記第二のフラグ情報は前記質問情報Ｑｎ、Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎの内容が更新変更されたことに伴って、前記主制御回路部20Bが前記回答情報Ａｎ、Ａ１ｎ、Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎの内容を更新させた時点において変化して、回答情報の更新を通報する１ビット又は複数ビットの識別信号となるものである。

請求項１１に記載の発明に関連して、前記監視制御回路部３０Ｂは、更に質問情報更新手段１７０４と応答遅延判定手段１６１６を備えている。前記質問情報更新手段１７０４は、前記上り通信情報ＵＰＤに包含される質問情報が複数の通信回数に於いて同一質問情報となるように反復送信し、所定期間以上の送信を行なってから新たな質問情報に更新し、前記応答遅延判定手段１６１６は、前記監視制御回路部３０Ｂが前記第一のフラグ情報の内容を変化させてから、第二のフラグ情報の受信データが変化するまでの時間が所定時間を超過していたときに前記主制御回路部２０Ｂの異常であると判定する手段である。

請求項１２に記載の発明に関連して、前記監視制御回路部３０Ｂは、更に符号誤り検出手段１６１４とリセット処理手段１６１９とを備えている。前記符号誤り検出手段１６１４は、前記下り通信情報ＤＮＤの受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出する。
前記リセット処理手段１６１９は、前記異常判定手段１６１７ｄが主制御回路部２０Ｂに関する異常を判定したこと、又は前記応答遅延判定手段１６１６が応答遅延を判定したこと、又は前記符号誤り検出手段１６１４が下り通信情報の符号誤りを検出したことの監視集計結果に応動して前記主制御回路部２０Ｂを初期化・再起動する第二の異常処理手段となるものである。

前記監視制御回路部３０Ｂは、補助マイクロプロセッサ３０ｂと、当該補助マイクロプロセッサと協働する補助不揮発プログラムメモリ３５Ｂと補助ＲＡＭメモリ３４とを包含している。
前記補助不揮発プログラムメモリ３５Ｂは、前記質問情報生成手段1７０５ａ、質問情
報更新手段１７０４、異常判定手段１６１７ａ、１６１７ｄ、応答遅延判定手段１６１６、下り通信情報に対する符号誤り判定手段１６１４、リセット処理手段１６１９となる制御プログラムを包含すると共に、前記質問情報Ｑｎ、Ｑ１ｎ、Ｑ２ｎ、Ｑ３ｎ、Ｑ４ｎ、Ｑ５ｎに対する正解情報Ｒｎ、Ｒ１ｎ、Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎが格納されている。
前記補助ＲＡＭメモリ３４には、前記監視集計結果が書込みされている。
以上の構成は、請求項１３に記載の発明に対応し、監視制御回路部は、補助マイクロプロセッサと、補助不揮発プログラムメモリと補助ＲＡＭメモリとを包含している。従って、異常監視制御の仕様を補助不揮発プログラムメモリに格納された制御プログラムによって手軽に変更することができる特徴がある。

請求項１４に記載の発明に関連して、前記不揮発プログラムメモリ２５Ｂは、更に誤答生成手段１５０３ｂと集計情報監視手段１８１８ａとなる制御プログラムを備えると共に、前記上り通信情報ＵＰＤには、前記監視制御回路部３０Ｂに於ける異常監視の集計情報が包含されている。
前記誤答生成手段１５０３ｂは、前記質問情報Ｑｎ、Ｑ１ｎに対して意図的に不正解情報を生成して回答情報Ａｎ、Ａ１ｎとして送信する手段であって、当該誤答生成手段による誤答を意図的に送信するタイミングは、前記異常監視の集計値に余裕があって、１回の誤答応答によっては前記監視制御回路部３０Ｂのリセット処理手段１６１９がリセット出力ＲＳＴ２を発生しない時点において実行される。
前記集計情報監視手段１８１８ａは、前記集計情報を監視することによって監視制御回路部３０Ｂが正常に動作していることを主制御回路部２０Ｂによって逆監視する手段である。

請求項１５に記載の発明に関連して、前記不揮発プログラムメモリ２５Ｂは、更に符号誤り検出手段１８１４又は記憶情報異常検出手段１８１８ｂとリセット処理手段１８１９となる制御プログラムを包含している。
前記符号誤り検出手段１８１４は、前記上り通信情報ＵＰＤの受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出し、前記記憶情報異常検出手段１８１８ｂは、前記下り通信情報ＤＮＤの一部として監視制御回路部３０Ｂが受信記憶した設定・出力情報の記憶状態を、上り通信情報ＵＰＤの一部として返信受信した前記主制御回路部２０Ｂに於いて比較判定して異常の有無を検出し、前記リセット処理手段１８１９は前記符号誤り検出手段１８１４が上り通信情報ＵＰＤの符号誤りを検出したこと、又は前記記憶情報異常検出手段１８１８ｂが記憶情報の異常を検出したこと、又は前記集計情報監視手段１８１８ａによる前記異常監視の集計情報が異常であったことの逆監視集計結果に応動して前記監視制御回路部３０Ｂを初期化・再起動する第三の異常処理手段となるものである。

次に、この発明の実施の形態３について説明する。
実施の形態３．
（１）実施の形態３の構成の詳細な説明
以下この発明の実施の形態３による車載電子制御装置について説明する。図１６は、この発明の実施の形態３による監視制御回路を有する車載電子制御装置の全体構成図である。以下の説明では、前述の図１の構成との相違点を中心にして説明する。図１６に於いて、図１と同一符号は同一又は相当部分を示している。図１６に於いて、車載電子制御装置１０Ｃは、プログラムメモリ２５Ｃと協働するマイクロプロセッサ２０を主体として構成された主制御回路部２０Ｃと、補助プログラムメモリ３５Ｃと協働する補助マイクロプロセッサ３０ｃを主体として構成された監視制御回路部３０Ｃを備えていて、車載バッテリである外部電源１３から給電されて動作するように構成されている。

電子制御装置１０Ｃの外部には、実施の形態１に於ける図１と同様に、第一及び第二の入力センサ群１１ａ、１１ｂ、第一及び第二の電気負荷群１２ａ、１２ｂ、外部ツール１９、外部制御装置４０が接続されている。電子制御装置１０Ｃの内部には、図１と同様に第一及び第二の入力インタフェース回路２１、３１、第一及び第二の出力インタフェース回路２２、３２、第一のシリアル通信回路２７、３７、ツールインタフェース回路２９、電源回路３３が接続されている。第一のシリアル通信回路を構成する一方の直並列変換回路３７の並列入出力バスと補助マイクロプロセッサ３０ｃのデータバス間には、図示しないダイレクトメモリアクセスコントローラが接続されて、補助マイクロプロセッサ３０ｃを経由しないで演算処理用ＲＡＭメモリ３４との間のデータの授受を行なうためのものとなっている。

なお、プログラムメモリ２５Ｃには通信制御プログラムと入出力制御プログラムに加えて、図１９、図２２で後述する各種の制御プログラムが格納されている。また、補助プログラムメモリ３５Ｃには通信制御プログラムと入出力処理プログラムに加えて、図２０、図２１により後述する各種制御プログラムが格納されていると共に、Ｑ＆Ａ診断のための正解情報が格納されている。

一対の直並列変換器によって構成された第一のシリアル通信回路２７、３７は、全二重ブロック通信回路を構成し、主制御回路部２０Ｃから監視制御回路部３０Ｃに対する下り通信情報ＤＮＤと、監視制御回路部３０Ｃから主制御回路部２０Ｃに対する上り通信情報ＵＰＤとを同時に送受信することができるようになっている。主制御回路部２０Ｃが発生する通信許可信号ＡＬＴと、監視制御回路部３０Ｃが発生する通信同期信号ＣＬＫについては図２により前述したとおりである。

上り通信情報ＵＰＤは、ＲＡＭメモリ２４に格納される通信情報であり、後述する図１７の（Ｇ）に一覧表示しているとおりＱ＆Ａ用の質問情報、第二の入力センサ群１１ｂから得られた入力信号情報、設定済情報、監視集計情報、第一のフラグ情報、外部機器情報、符号点検情報がある。下り通信情報ＤＮＤは、ＲＡＭメモリ３４に格納される通信情報であり、後述する図１７の（Ｈ）に一覧表示しているとおりＱ＆Ａ用の回答情報、監視制御回路部３０Ｃで必要とされる制御定数などの設定情報、第二の電気負荷群１２ｂに対する出力信号情報、第二のフラグ情報、符号点検情報がある。

図１の場合と同様に、上り通信格納情報ＵＰＤの中の設定済情報とは、下り通信情報ＤＮＤとしてＲＡＭメモリ３４に格納された前記設定情報と出力信号情報であり、この設定済情報によって設定情報と出力信号情報が正しく送信されているか否かを、主制御回路部20C側で確認することができるように構成されている。

また、補助プログラムメモリ３５Ｃには、質問情報に対応した正解情報が製品出荷段階で予め格納されていて、補助マイクロプロセッサ３０ｃはランダムに質問情報を送信し、マイクロプロセッサ２０から返信された回答情報と正解情報とを比較することによってマイクロプロセッサ２０の動作状態を監視すると共に、マイクロプロセッサ２０は、意図的な誤答を回答してみて、監視制御回路部３０Ｃが適正な監視制御を行なっているか否かを逆監視するようになっている。

その結果として、監視制御回路部３０Ｃが主制御回路部２０Ｃの異常を検出するとリセット出力ＲＳＴ２によって、主制御回路部２０Ｃを初期化・再起動し、主制御回路部２０Ｃが監視制御回路部３０Ｃの異常を検出するとリセット出力ＲＳＴ１によって監視制御回路部３０Ｃを初期化・再起動するようになっている。

図１７は、図１６に示す車載電子制御装置１０Ｃの各種メモリの内容の一覧表である。次にこの図１７について説明する。図１７の（Ａ）は、不揮発プログラムメモリ２５Ｃに格納されている制御プログラムと制御定数を一覧にしたものであり、その詳細は図１９、図２２のフローチャートによって後述する。図１７の（Ｂ）は、補助プログラムメモリ３５Ｃに格納されている制御プログラムと制御定数を一覧にしたものであり、その詳細は図２０、図２１のフローチャートによって後述する。

図１７の（Ｃ）は、この実施の形態３で適用される一斉質問情報Ｑｎ（ｎ＝０、１、２、・・・ｆ）を示しており、この一斉質問情報Ｑｎは、入力テーブル番号ｎ＝０〜Ｆが指定され、各入力テーブルは、不揮発プログラムメモリ２５Ｃや補機プログラムメモリ４１ｂ〜４４ｂに格納されている。図１７の（Ｄ）は、合成回答情報Ａｎ、主機回答情報Ａ１ｎ、補機回答情報Ａ２ｎ〜Ａ５ｎを示しており、これらの合成回答情報は、例えば１６ビット以下の数値、その他の個別回答情報Ａ１ｎ〜Ａ５ｎは１３ビット以下の数値となっている。

図１７の（Ｅ）は、合成正解情報Ｒｎ、主機正解情報Ｒ１ｎ、補機正解情報Ｒ２ｎ〜Ｒ５ｎを示しており、これらの合成正解情報は例えば１６ビット以下の数値、その他の個別正解情報Ｒ１ｎ〜Ｒ５ｎは１３ビット以下の数値となっている。図１７の（Ｇ）は、ＲＡＭメモリ２４に格納される上り通信情報の一覧である。図１７の（Ｈ）は、ＲＡＭメモリ３４に格納される下り通信情報の一覧である。

なお、この実施の形態３の最も重要な特徴は、不揮発プログラムメモリ２５Ｃが補機正解情報Ｒ２ｎ〜Ｒ５ｎと外部機器監視手段とを備えているのに対し、監視制御回路部３０Ｃ側では合成正解情報Ｒｎと主機正解情報Ｒ１ｎのみを持っていることである。このために、主制御回路部２０Ｃは、選択回答生成手段によって合成回答情報Ａｎ又は主機回答情報Ａ１ｎを監視制御回路部３０Ｃに送信するようになっている。

次に、図１６に示す車載電子制御装置に於ける質問・回答情報の変遷図である図１８について説明する。図１８の（Ａ）は監視制御回路部３０Ｃ、（Ｂ）は主制御回路部２０Ｃ、（Ｃ）はマイクロプロセッサ２０及び第二のシリアル通信回路の通信端末２８、（Ｄ）は協働補機である変速制御装置（ＴＣＵ）４１、（Ｅ）は協働補機である操舵制御装置（ＥＰＳ）４２、（Ｆ）は協働補機である安定制御装置（ＳＣＵ）４３、（Ｇ）は協働補機である制動制御装置（ＡＢＳ）４４、の夫々の質問・回答情報の変遷を示している。尚、以下の説明では変速制御装置（ＴＣＵ）４１、操舵制御装置（ＥＰＳ）４２、安定制御装置（ＳＣＵ）４３、制動制御装置（ＡＢＳ）４４を、夫々単に、協働補機４１、４２、４３、４４と称する。

図１８に示す時間帯ｔ1において、（Ａ）の監視制御回路部３０Ｃは、一斉質問情報Ｑ
ｎ（ｎ＝０〜Ｆ）を発生し、（Ｂ）の主制御回路部２０Ｃは、第一のシリアル通信回路を介してこれを受信する。次に時間帯ｔ２に於いて、（Ｂ）の主制御回路部２０Ｃは、（Ｃ）の第二のシリアル通信回路を介して各協働補機４１〜４４に対して一斉質問情報Ｑｎを転送する。

時間帯ｔ３に於いて、（Ｂ）の主制御回路部２０Ｃは、主機回答情報Ａ１ｎを生成する。時間帯ｔ４に於いて、（Ｄ）の協働補機４１は、補機回答情報Ａ２ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ｃへ送信する。主制御回路部２０Ｃは、不揮発プログラムメモリ２５Ｃに格納されている補機正解情報Ｒ２ｎと比較して、異常の有無を判定する。

図１８に示す時間帯ｔ５に於いて、（Ｅ）の協働補機４２は、補機回答情報Ａ３ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ｃへ送信する。主制御回路部２０Ｃは、不揮発プログラムメモリ２５Ｃに格納されている補機正解情報Ｒ３ｎと比較して、異常の有無を判定する。

図１８の時間帯ｔ６に於いて、（Ｆ）の協働補機４３は、補機回答情報Ａ４ｎを生成して（Ｃ）の第二のシリアル通信回路を介して（Ｂ）の主制御回路部２０Ｃへ送信する。主制御回路部２０Ｃは、不揮発プログラムメモリ２５Ｃに格納されている補機正解情報Ｒ４ｎと比較して、異常の有無を判定する。

図１８に示す時間帯ｔ７に於いて、（Ｇ）の協働補機４４は、補機回答情報Ａ５ｎを生成して（Ｃ）の第二のシリアル通信回路を介して主制御回路部２０Ｃへ送信する。（Ｂ）の主制御回路部２０Ｃは、不揮発プログラムメモリ２５Ｃに格納されている補機正解情報Ｒ５ｎと比較して、異常の有無を判定する。

図１８の時間帯ｔ８に於いて、（Ｂ）の主制御回路部２０Ｃは、合成回答情報Ａｎを生成して、第一のシリアル通信回路を介して監視制御回路部３０Ｃへ送信するか、又は主機回答情報Ａ１ｎのみを第一のシリアル通信回路を介して監視制御回路部３０Ｃへ送信する。なお、主制御回路部２０Ｃは、協働補機４１〜４４の何れかに異常が発見された場合には、合成回答情報Ａｎに替わって、主機回答情報Ａ１ｎを監視制御回路部３０Ｃへ送信するようになっている。

（Ａ）の監視制御回路部３０Ｃは、補助プログラムメモリ３５Ｃに格納されている合成正解情報Ｒｎ又は主機正解情報Ｒ１ｎとの比較判定を行って異常の有無を判定し、主制御回路部２０Ｃに異常があれば、時間帯ｔ９に於いて過去の異常発生状態の集計結果に応動して後述のリセット出力を発生するようになっている。

また、得られた回答情報が主機正解情報Ｒ１ｎとは合致するが、合成正解情報Ｒｎとは合致しない場合には、協働補機４１〜４４の何れかが異常判定されたことを認知して、主制御回路部２０Ｃに対して外部機器異常確認情報を送信する。従って、この実施の形態３の場合に、外部制御装置４０の異常は主制御回路部２０Ｃに於いて監視され、異常が発生したことは監視制御回路部３０Ｃに於いても認知されることになる。

なお、補機回答情報Ａ２ｎ〜Ａ５ｎを生成して主制御回路部２０Ｃへ送信する外部回答生成・送信手段４００は、協働補機４１〜４４の補機プログラムメモリ４１ｂ〜４４ｂに格納されている制御プログラムによって実行されるものである。

図１８に示す時間帯ｔ１から時間帯ｔ９までの合計時間は、例えば４０［ｍｓｅｃ］であり、この一連の動作が完了すると一斉質問情報はＱｎ＋１に更新され、新たな質問情報に基づいて同様の異常監視が繰返されるようになっている。

（２）実施の形態３の作用・動作の詳細な説明
以下、図１６に示すとおり構成されたこの発明の実施の形態３による車載電子制御装置の作用・動作について説明する。図１９は主制御回路部２０Ｃの送信動作を示すフロ−チャ−ト、図２０は監視制御回路部３０Ｃの受信動作を示すフロ−チャ−ト、図２１は監視制御回路部３０Ｃの送信動作を示すフロ−チャ−ト、図２２は主制御回路部２０Ｃの受信動作を示すフロ−チャ−トである。

まず、図１６に於いて、図示しない電源スイッチを介して電子制御装置１０Ｃに対して外部電源１３が接続されると、マイクロプロセッサ２０は、第一・第二の入力センサ群１１ａ、１１ｂの動作状態とプログラムメモリ２５Ｃ内の制御プログラムの内容に応動して第一及び第二の電気負荷群１２ａ、１２ｂの駆動制御を行なう。

特に、第一の入力センサ群１１ａや第一の電気負荷群１２ａは、エンジン回転と同期して開閉・断続動作を行うものであって、例えば４気筒・４サイクルのガソリンエンジンが６０００［ｒｐｍ］で回転していると、５［ｍｓｅｃ］周期で点火制御や燃料噴射制御を行なうことになるが、エンジン回転速度が６００［ｒｐｍ］であれば５０［ｍｓｅｃ］周期でこれ等の制御を行なえばよいことになる。

次に、図１６に示す主制御回路部２０Ｃの送信動作について説明するが、前述の実施の形態１に於ける図５の場合との相違点を中心にして説明する。なお、図５の５００番台の符号は図１９では２５００番台で示されている。

図１９に於いて、ステップ２５００は、マイクロプロセッサ２０が監視制御回路部３０Ｃに対する送信動作を開始するステップである。ステップ２５０１a、２５０１ｂ、２５
０１ｃは、後述のステップ２８１９に於けるリセット出力ＲＳＴ１の発生に応動して監視制御回路部３０Ｃを初期化・再起動したり、ステップ２８１９に於ける逆監視集計結果をリセットしてリセット出力ＲＳＴ１を停止するものとなっている。

ステップ２５０２ａは、後述のステップ２８１６ｃ（図２２参照）に於いて協働補機４１〜４４の何れかの異常が検出されたか否かを記憶した判定フラグの動作状態を監視して、協働補機４１〜４４の異常の有無に応じてステップ２５０２ｂ又はステップ２５０２ｃへ移行する判定ステップである。ステップ２５０２ｂでは、協働補機の全てが正常である場合に後述のステップ２８１６ｂ（図２２参照）で得られた補機回答情報Ａ２ｎ〜Ａ５ｎを選択し、ステップ２５０２ｃでは協働補機４１〜４４の何れかが異常であった場合に主機回答情報Ａ１ｎだけを選択することを決定する。

ステップ２５０２ｂ又はステップ２５０２ｃに続いて実行されるステップ２５０３ａ、２５０３ｂ、２５０３ｃ、２５０４では、誤答生成手段２５０３ｂと主機回答生成手段２５０３ｃによる回答準備が完了したか否かによってステップ２５０５ａ又はステップ２５０５ｂを選択するようになっている。

選択回答生成手段となるステップ２５０５ａでは、今回の回答情報を決定すると共に、第二のフラグ情報Ｆの内容を更新する。なお、ステップ２５０５ａに於いて選択される回答情報は、ステップ２８１６ｂで格納された補機回答情報Ａ２ｎ〜Ａ５ｎの内容と、ステップ２５０３ｃで生成された主機回答情報Ａ１ｎの内容に基づいて決定され、ステップ２５０２ｂが選択されているときには合成回答情報Ａｎが適用され、ステップ２５０２ｃが選択されているときには主機回答情報Ａ１ｎが選択されるように構成されている。

ステップ２５０５ｂでは、今回の回答情報として前回の回答情報をそのまま援用し、第二のフラグ情報Ｆは更新しないように決定する。ステップ２５１０ａ以降では、ステップ２５０５ａ又はステップ２５０５ｂで決定された回答情報とステップ２５１１ｂで付加された設定・出力情報とステップ２５１２で付加された符号点検情報とが監視制御回路部３０Ｃへ送信され、動作終了ステップ２５２０へ移行する。動作終了ステップ２５２０では他の制御動作を実行し、所定時間内には再度動作開始ステップ２５００へ循環移行するようになっている。

次に、図１６に示す監視制御回路部３０Ｃの受信動作を、図２０に基づいて、前述の図６の場合との相違点を中心にして説明する。なお、図６の６００番台の符号は、図２０では２６００番台にて示されている。図２０に於いて、ステップ２６００は、補助マイクロプロセッサ３０ｃが受信動作を開始するステップである。

ステップ２６０１ａ、２６０１ｂ、２６０１ｃは、後述のステップ２６１９に於けるリセット出力ＲＳＴ２の発生に応動してマイクロプロセッサ２０を初期化・再起動したり、ステップ２６１９に於ける監視集計結果をリセットしてリセット出力ＲＳＴ２を停止するものとなっている。ステップ２６１０からステップ２６１６では、主制御回路部２０Ｃからの受信データを符号誤り検出手段２６１４によって点検したうえで補助ＲＡＭメモリ３４に格納すると共に、応答遅延判定手段２６１６によって主制御回路部２０Ｃからの回答情報の遅延の有無が判定される。

ステップ２６１７ａでは、ステップ２６１５で得られた今回の回答情報が補助プログラムメモリ３５Ｃに格納されている合成正解情報Ｒｎと合致しているか否かを判定し、合致していればＹＥＳの判定を行なって動作終了ステップ２６２０へ移行し、合致していなければＮＯの判定を行なってステップ２６１７ｂへ移行する。ステップ２６１７ｂでは、ステップ２６１５で得られた今回の回答情報が補助プログラムメモリ３５Ｃに格納されている主機正解情報Ｒ１ｎと合致しているか否かを判定し、合致していればＹＥＳの判定を行なってステップ２６１７ｆへ移行し、合致していなければＮＯの判定を行なってステップ２６１９へ移行する。

ステップ２６１７ａとステップ２６１７ｂによって構成されたブロック２６１７は、異常分析判定手段となるものである。外部機器異常確認通報手段となるステップ２６１７ｆは、協働補機４１〜４４の何れかに異常があることを主制御回路部２０Ｃに確認通報するステップとなっている。

リセット処理手段となるステップ２６１９は、図示しないエラーカウンタによって構成されていて、当該エラーカウンタはステップ２６１４、２６１６、２６１７ｂがＹＥＳとなる異常判定を行なう毎に、現在値が例えば５カウント上昇し、ステップ２６１４、２６１６、２６１７ｂがＮＯとなる正常判定を行なう毎に、現在値が例えば１カウント減少し、エラーカウンタの現在値は「０」以下にはならないように減算規制されている。

このように構成されたエラーカウンタの現在値は、監視集計結果を示すものであり、この監視集計結果が例えば「１１」を超過するとリセット出力ＲＳＴ２が発生し、ステップ２６０１ｂ又は後述のステップ２７０１ｂでマイクロプロセッサ２０が初期化・再起動されて、これが第二の異常処理手段である再起処理に該当するものである。ステップ２６１９又はステップ２６１７ｆに続いて動作終了ステップ２６２０へ移行し、他の制御を行なってから動作開始ステップ２６００へ復帰するように構成されている。

次に、図１６に示す監視制御回路部３０Ｃの送信動作を、図２１に基づいて、前述の図７との相違点を中心にして説明する。なお、図７の７００番台の符号は図２１では２７００番台で示されている。図２１に於いて、ステップ２７００は、補助マイクロプロセッサ３０ｃが送信動作を開始するステップであり、以降のステップは図７の場合と同一であって、ステップ２７０４は質問情報更新手段、ステップ2７０５ａは質問情報生成手段とな
っている。また、動作終了ステップ２７２０に続いて所定時間後には動作開始ステップ２７００へ移行するようになっている。

次に、図１６に示す主制御回路部２０Ｃの受信動作を、図２２に基づいて、前述の図８のものとの相違点を中心にして説明する。なお、図８の８００番台の符号は、図２２では２８００番台で示されている。図２２に於いて、ステップ２８００は、マイクロプロセッサ２０が監視制御回路部３０Ｃからの受信動作を開始するステップである。

ステップ２８０１ａ、２８０１ｂ、２８０１ｃは、後述のステップ２８１９に於けるリセット出力ＲＳＴ１の発生に応動して監視制御回路部３０Ｃを初期化・再起動したり、ステップ２８１９に於ける逆監視集計結果をリセットしてリセット出力ＲＳＴ１を停止するものとなっている。ステップ２８１０からステップ２８１５ａに至る一連のステップは、監視制御回路部３０Ｃからの受信データを符号誤り検出手段２８１４によって点検したうえでＲＡＭメモリ２４に格納するようになっている。

ステップ２８１５ｂでは、ステップ２８１５ａで受信した更新質問情報Ｑｎが協働補機４１〜４４に対して送信される。これは図１８の第一時間帯のｔ２に於いて実行されるものである。続くステップ２８１６ａでは、協働補機４１〜４４からの補機回答情報Ａ２ｎ〜Ａ５ｎの返信受信が完了したか否かを判定し、未完了であればＮＯの判定を行なってステップ２８１７ａへ移行し、完了であればＹＥＳの判定を行なってステップ２８１６ｂへ移行する。

ステップ２８１６ｂでは、得られた補機回答情報Ａ２ｎ〜Ａ５ｎをＲＡＭメモリ２４に格納してからステップ２８１６ｃへ移行する。外部機器監視手段となるステップ２８１６ｃは、受信した補機回答情報Ａ２ｎ〜Ａ５ｎと、不揮発プログラムメモリ２５Ｃに格納されている補機正解情報とを比較して協働補機４１〜４４の異常の有無を判定し、異常が無ければＮＯの判定を行なってステップ２８１８ａへ移行し、異常があればＹＥＳの判定を行なってステップ２８１７ｂへ移行する判定ステップである。

ステップ２８１７ａでは、ステップ２８１５ｂに於いて協働補機４１〜４４に対して一斉質問情報Ｑｎが送信されてから、補機回答情報Ａ２ｎ〜Ａ５ｎが得られるまでの応答時間が所定の閾値時間を超過したかどうかを判定し、時間超過であればＹＥＳの判定を行なってステップ２８１７ｂへ移行し、時間超過していなければＮＯの判定を行なってステップ２８１８ａへ移行する。なお、ステップ２８１７ａが時間超過ではないと判定した場合には、ステップ２８００からステップ２８２０に至る一連の制御フローを繰り返しながら、ステップ２８１６ａによる返信完了を待つことになる。

外部機器異常処理手段となるステップ２８１７ｂは、ステップ２８１６ｂによる外部制御装置４０の個別異常判定情報に基づいて実行される第一の異常処理手段であって、異常判定された外部制御装置４０からのエンジン出力トルクの増減要求補正値Δτの内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置４０に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部２０Ｃに於いて保存するようになっている。

また、ステップ２８１７ｂは、回答送信選択フラグをセットして、ステップ２５０２ａに於ける外部機器異常の有無に関する判定情報を生成する。集計情報監視手段となるステップ２８１８ａでは、前述のステップ２５０３ｂに基づいてステップ２５１２で送信された誤答情報に対応して、ステップ２８１５ａで受信した監視集計結果の変化を監視することによって監視制御回路部３０Ｃが正常に動作していることを逆監視する手段であって、異常判定されるとＹＥＳとなってステップ２８１９へ移行し、異常でなければＮＯとなってステップ２８１８ｂへ移行する。

前記憶情報異常検出手段となるステップ２８１８ｂは、下り通信情報ＤＮＤの一部として監視制御回路部３０Ｃがステップ２６１５で受信記憶した設定・出力情報の記憶状態と、上り通信情報ＵＰＤの一部として主制御回路部２０Ｃがステップ２８１５ａで受信した確認返信情報を比較して異常の有無を検出する手段であって、異常判定されるとＹＥＳとなってステップ２８１９へ移行し、異常でなければＮＯとなって動作終了ステップ２８２０へ移行する。

なお、記憶情報の異常の有無を判定するためには、主制御回路部２０Ｃに於いて前回の設定・出力送信情報を記憶しておく必要があるので、一部の重要データについてのみ一致判定を行なうようになっている。リセット処理手段となるステップ２８１９は、図示しないエラーカウンタによって構成されていて、当該エラーカウンタはステップ２８１４、２８１８ａ、２８１８ｂがＹＥＳとなる異常判定を行なう毎に現在値が例えば５カウント上昇し、ステップ２８１４、２８１８ａ、２８１８ｂがＮＯとなる正常判定を行なう毎に現在値が例えば１カウント減少し、エラーカウンタの現在値は「０」以下にはならないように減算規制されている。

このように構成されたエラーカウンタの現在値は、逆監視集計結果を示すものであり、この逆監視集計結果が例えば「１１」を超過するとリセット出力ＲＳＴ１が発生し、ステップ２５０１ｂ又はステップ２８０１ｂで補助マイクロプロセッサ３０ｃが初期化・再起動されて、これが第三の異常処理手段である再起処理に該当するものである。ステップ２８１９に続いて動作終了ステップ２８２０へ移行し、他の制御を行なってから動作開始ステップ２８００へ復帰するようになっている。

（３）実施の形態３の要点と特徴
以上の説明で明らかなとおり、この発明の実施の形態３による車載電子制御装置１０Ｃは、不揮発プログラムメモリ２５Ｃと、演算処理用ＲＡＭメモリ２４と、第一の入力センサ群１１ａが接続された第一の入力インタフェース回路２１と、第一の電気負荷群１２ａが接続された第一の出力インタフェース回路２２と、前記不揮発プログラムメモリ２５Ｃに格納された制御プログラムの内容と前記第一の入力センサ群１１ａの動作状態に応動して、前記第一の電気負荷群１２ａを制御するマイクロプロセッサ２０とを備えた主制御回路部２０Ｃと、前記マイクロプロセッサ２０に対して第一のシリアル通信回路２７、３７によって接続され、複数の質問情報を順次選択送信する質問情報生成手段２７０５ａと、前記質問情報に対する正解情報格納メモリ３５Ｃと、前記質問情報に基づく前記主制御回路部２０Ｃからの回答情報と前記正解情報格納メモリ３５Ｃに格納されている正解情報とを比較して異常の有無を判定する異常判定手段２６１７とを有する監視制御回路部３０Ｃとを備えた車載電子制御装置１０Ｃとなっている。
前記主制御回路部２０Ｃは、更に第二のシリアル通信回路２８を介して接続されて制御信号を相互に交信する外部制御装置４０と協働し、当該外部制御装置４０は、補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂと協働する補機マイクロプロセッサ４１ａ、４２ａ、４３ａ、４４ａによって構成された協働補機４１、４２、４３、４４を備え、前記補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂは、前記主制御回路部２０Ｃから送信された質問情報Ｑｎに応動して回答情報を生成し、補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとして前記主制御回路部２０Ｃに回答返信する外部回答生成送信手段４００となる制御プログラムを包含している。

前記質問情報生成手段２７０５ａは、前記主制御回路部２０Ｃと前記外部制御装置４０の全てに対して適用される一斉質問情報Ｑｎを生成し、当該一斉質問情報Ｑｎは、前記監視制御回路部３０Ｃから主制御回路部２０Ｃに送信され、前記外部制御装置４０に対しては当該主制御回路部２０Ｃを中継して送信され、前記不揮発プログラムメモリ２５Ｃは、更に前記一斉質問情報Ｑｎに対応して主機回答情報Ａ１ｎを生成する主機回答生成手段２５０３ｃとなる制御プログラムを包含すると共に、前記一斉質問情報Ｑｎに対応して、前記主機回答情報Ａ１ｎと補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとを合算集計した合成回答情報Ａｎを送信する送信回答編集手段２５０５ａとなる制御プログラムを包含している。
前記正解情報格納メモリ３５Ｃには前記主制御回路部２０Ｃが発生する主機回答情報Ａ１ｎに関する主機正解情報Ｒ１ｎと、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎに対する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎと、前記主機正解情報Ｒ１ｎとを合算集計した合成正解情報Ｒｎが格納され、前記補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎは前記不揮発プログラムメモリ２５Ｃに格納されている。
前記異常判定手段２６１７は、少なくとも前記監視制御回路部３０Ｃが発生した一斉質問情報Ｑｎに基づいて、前記主制御回路部２０Ｃの異常監視を行なうと共に、前記主制御回路部２０Ｃと監視制御回路部３０Ｃは協働して前記外部制御装置４０に対する異常を識別監視し、前記主制御回路部２０Ｃは前記外部制御装置４０の異常発生に伴って第一の異常処理手段２８１７ｂによる自衛処理を行い、前記監視制御回路部３０Ｃは前記主制御回路部２０Ｃの異常発生に伴って第二の異常処理手段２６１９によって主制御回路部に対する再起処理を行うように構成されている。

前記不揮発プログラムメモリ２５Ｃは、更に外部機器監視手段２８１６ｃと選択回答生成手段２５０５ａとなる制御プログラムと、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎに関する補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎが格納されており、前記監視制御回路部３０Ｃは、更に異常分析判定手段２６１７を備えていて、前記正解情報格納メモリ３５Ｃには主機正解情報Ｒ１ｎと合成正解情報Ｒｎが格納されている。
前記外部機器監視手段２８１６ｃは、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎと前記補機正解情報Ｒ２ｎ、Ｒ３ｎ、Ｒ４ｎ、Ｒ５ｎとを比較して前記外部制御装置４０に関する異常の有無を個別に判定し、前記選択回答生成手段２５０５ａは、まず第一に前記監視制御回路部３０Ｃが発生した一斉質問情報Ｑｎに対応して、前記主制御回路部２０Ｃが生成した主機回答情報Ａ１ｎと前記外部制御装置４０が生成した補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎを合算した合成回答情報Ａｎを生成して前記監視制御回路部３０Ｃに対して送信し、当該選択回答生成手段２５０５ａは、前記補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎが異常である場合には、合成回答情報Ａｎに代わって主機回答情報Ａ１ｎを送信する送信回答編集手段となるものである。

前記異常分析判定手段２６１７は、前記合成回答情報Ａｎ又は主機回答情報Ａ１ｎの何れか一方である今回回答情報と合成正解情報Ｒｎが一致すれば、主制御回路部２０Ｃと外部制御装置４０は共に正常であると判定し、前記今回回答情報と合成正解情報Ｒｎが不一致であっても前記主機正解情報Ｒ１ｎが一致すれば、主制御回路部２０Ｃは正常であるが外部制御装置４０が異常であると判定し、前記今回回答情報と合成正解情報Ｒｎが不一致であって、しかも前記主機正解情報Ｒ１ｎとも不一致であれば、主制御回路部２０Ｃが異常であると判定する異常判定手段となるものである。
この構成は、請求項６に記載の発明に対応し、主制御回路部は補機正解情報を持っていて、外部機器監視を行なうと共に、外部制御装置が異常であるときには監視制御回路部に対する合成回答情報を主機回答情報に変更して送信し、監視制御回路部は合成正解情報と主機正解情報とを持っている。
従って、監視制御回路部は一斉質問情報を発生し、主制御回路部から得られた回答情報と合成正解情報又は主機正解情報とを比較して主制御回路部の異常又は外部制御装置の
異常を識別して検出することができる特徴がある。

請求項７に記載の発明に関連して、前記質問情報Ｑｎは、前記マイクロプロセッサ２０及び前記外部制御装置４０内のマイクロプロセッサ４１ａ、４２ａ、４３ａ、４４ａに於いて適用される少なくとも１個の演算算式に対応した制御プログラム、又は当該制御プログラムと同じ内容のプログラムであって、同じプログラムメモリ２５Ｃ、４１ｂ、４２ｂ、４３ｂ、４４ｂの異なるアドレス領域に格納されているコピープログラムを被試験プログラムとして指定すると共に、当該被試験プログラムにおいて適用される入力データに対応した入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は、前記不揮発プログラムメモリ２５Ｃ及び前記外部制御装置４０内の補機プログラムメモリ４１ｂ、４２ｂ、４３ｂ、４４ｂに格納されている。
前記主制御回路部２０Ｃは、前記一斉質問情報Ｑｎによって指定された演算算式と入力定数に基づいて主機回答情報Ａ１ｎを生成し、前記外部制御装置４０は、前記一斉質問情報Ｑｎによって指定された演算算式と入力定数に基づく演算結果を補機回答情報Ａ２ｎ、Ａ３ｎ、Ａ４ｎ、Ａ５ｎとして前記主制御回路部２０Ｃに送信するように構成されている。

請求項８に記載の発明に関連して、前記車載電子制御装置１０Ｃはエンジン制御装置であって、前記第一の入力センサ群１１ａは少なくともアクセルペダルの踏込み度合を検出するアクセルポジションセンサと、吸気弁開度を検出するスロットルポジションセンサと、エンジンの吸気量を測定するエアフローセンサと、エンジン回転速度を算出するためのエンジン回転センサとを備えると共に、前記第一の電気負荷群１２ａは少なくとも吸気スロットルの弁開度制御用モータと燃料噴射用電磁弁とを備えている。
前記主制御回路部２０Ｃに於ける被試験プログラムは、前記外部制御装置４０から要求されたエンジン出力トルクの増減要求補正値Δτに対応したスロットル弁開度の増減目標補正値Δθを算出するための制御プログラムである。
前記外部制御装置４０は、車速とアクセルポジションセンサに応動して変速機の変速段を切換える変速制御装置４１、又は方向操作ハンドルの操作に応動する操舵制御装置４２、又は車両姿勢の安定制御装置４３、又はフットブレーキペダルに応動する制動制御装置４４の何れかを包含し、当該外部制御装置４０は、前記第二のシリアル通信回路２８、４１ｃ、４２ｃ、４３ｃ、４４ｃを介して前記主制御回路部２０Ｃに対してエンジントルクの増減要求補正値Δτを送信すると共に、当該外部制御装置４０に於ける被試験プログラムは、当該外部制御装置４０に対する入力信号に応動して前記エンジン出力トルクの増減要求補正値Δτを算出するための制御プログラムとなっている。

請求項９に記載の発明に関連して、前記不揮発プログラムメモリ２５Ｃは、更に外部機器異常処理手段２８１７ｂとなる制御プログラムを包含している。当該外部機器異常処理手段２８１７ｂは、前記主制御回路部２０Ｃの外部機器監視手段２８１６ｃによる外部制御装置４０の個別異常判定情報に基づいて作用する第一の異常処理手段であって、異常判定された前記外部制御装置４０からのエンジン出力トルクの増減要求補正値Δτの内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置４０に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部２０Ｃに於いて保存するように構成されている。

請求項１０に記載の発明に関連して、前記監視制御回路部３０Ｃは、前記第一のシリアル通信回路２７、３７を介して前記マイクロプロセッサ２０に対する一部の入出力信号となる第二の入力センサ群１１ｂと第二の電気負荷群１２ｂとの入出力信号の交信を行なうように構成されている。
前記主制御回路部２０Ｃから監視制御回路部３０Ｃに対して送信される下り通信情報ＤＮＤは、当該監視制御回路部に於いて必要とされる設定定数又は制御出力と、前回の上り通信情報ＵＰＤで得られた前記質問情報Ｑｎ−１に対する回答情報Ａｎ−１と第二のフラグ情報と符号点検情報とを包含し、前記監視制御回路部３０Ｃから主制御回路部２０Ｃに対して送信される上り通信情報ＵＰＤは、当該監視制御回路部に対する入力信号情報、或いは前記主制御回路部２０Ｃから得られた前記設定定数又は前記制御出力の記憶情報と、今回の質問情報Ｑｎと第一のフラグ情報と符号点検情報とを包含している。
前記第一のフラグ情報は、前記監視制御回路部３０Ｃに於いて前記質問情報Ｑｎの内容が更新変更された時点において変化して、質問情報の変化を通報する１ビット又は複数ビットの識別信号となるものであって、前記第二のフラグ情報は前記質問情報Ｑｎの内容が更新変更されたことに伴って、前記主制御回路部２０Ｃが前記回答情報Ａｎの内容を更新させた時点において変化して、回答情報の更新を通報する１ビット又は複数ビットの識別信号となるものである。

請求項１１に記載の発明に関連して、前記監視制御回路部３０Ｃは、更に質問情報更新手段２７０４と応答遅延判定手段２６１６を備えている。前記質問情報更新手段２７０４は、前記上り通信情報ＵＰＤに包含される質問情報が複数の通信回数に於いて同一質問情報となるように反復送信し、所定期間以上の送信を行なってから新たな質問情報に更新し、前記応答遅延判定手段２６１６は、前記監視制御回路部３０Ｃが前記第一のフラグ情報の内容を変化させてから、第二のフラグ情報の受信データが変化するまでの時間が所定時間を超過していたときに前記主制御回路部２０Ｃの異常であると判定する手段となっている。

請求項１２に記載の発明に関連して、前記監視制御回路部３０Ｃは、更に符号誤り検出手段２６１４とリセット処理手段２６１９とを備えている。
前記符号誤り検出手段２６１４は、前記下り通信情報ＤＮＤの受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出する。
前記リセット処理手段２６１９は、前記異常判定手段２６１７が主制御回路部２０Ｃに関する異常を判定したこと、又は前記応答遅延判定手段２６１６が応答遅延を判定したこと、又は前記符号誤り検出手段２６１４が下り通信情報の符号誤りを検出したことの監視集計結果に応動して前記主制御回路部２０Ｃを初期化・再起動する第二の異常処理手段となるものである。

請求項１３に記載の発明に関連して、前記監視制御回路部３０Ｃは、補助マイクロプロセッサ３０ｃと、当該補助マイクロプロセッサと協働する補助不揮発プログラムメモリ３５Ｃと補助ＲＡＭメモリ３４とを包含している。
前記補助不揮発プログラムメモリ３５Ｃは、前記質問情報生成手段２７０５ａ、質問情報更新手段２７０４、異常判定手段２６１７、応答遅延判定手段２６１６、下り通信情報に対する符号誤り判定手段２６１４、リセット処理手段２６１９となる制御プログラムを包含すると共に、前記質問情報Ｑｎに対する正解情報Ｒｎ、Ｒ１ｎが格納され、前記補助ＲＡＭメモリ３４には前記監視集計結果が書込みされている。

請求項１４に記載の発明に関連して、前記不揮発プログラムメモリ２５Ｃは、更に誤答生成手段２５０３ｂと集計情報監視手段２８１８ａとなる制御プログラムを備えると共に、前記上り通信情報ＵＰＤには前記監視制御回路部３０Ｃに於ける異常監視の集計情報が包含されている。
前記誤答生成手段２５０３ｂは、前記質問情報Ｑｎに対して意図的に不正解情報を生成して回答情報Ａｎ、Ａ１ｎとして送信する手段であって、当該誤答生成手段による誤答を意図的に送信するタイミングは前記異常監視の集計値に余裕があって、１回の誤答応答によっては前記監視制御回路部３０Ｃのリセット処理手段２６１９がリセット出力ＲＳＴ２を発生しない時点において実行され、前記集計情報監視手段２８１８ａは前記集計情報を監視することによって監視制御回路部３０Ｃが正常に動作していることを主制御回路部２０Ｃによって逆監視する手段となっている。

請求項１５に記載の発明に関連して、前記不揮発プログラムメモリ２５Ｃは、更に符号誤り検出手段２８１４又は記憶情報異常検出手段２８１８ｂとリセット処理手段２８１９となる制御プログラムを包含している。
前記符号誤り検出手段２８１４は、前記上り通信情報ＵＰＤの受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出し、前記記憶情報異常検出手段２８１８ｂは、前記下り通信情報ＤＮＤの一部として監視制御回路部３０Ｃが受信記憶した設定・出力情報の記憶状態を、上り通信情報ＵＰＤの一部として返信受信した前記主制御回路部２０Ｃに於いて比較判定して異常の有無を検出する。
前記リセット処理手段２８１９は、前記符号誤り検出手段２８１４が上り通信情報ＵＰＤの符号誤りを検出したこと、又は前記記憶情報異常検出手段２８１８ｂが記憶情報の異常を検出したこと、又は前記集計情報監視手段２８１８ａによる前記異常監視の集計情報が異常であったことの逆監視集計結果に応動して前記監視制御回路部３０Ｃを初期化・再起動する第三の異常処理手段となるものである。

次に、その他の実施の形態について説明する。
その他の実施の形態の説明以上の説明において、図１の実施の形態１では、監視制御回路部３０Ａとして論理回路部３０ａを備え、通信許可信号は交番信号ＡＬＴとし、通信同期信号ＣＬＫは監視制御回路部３０Ａが発生するように構成されているが、論理回路部３０ａに代わって、実施の形態２に於ける図９、実施の形態３に於ける図１６で示した補助マイクロプロセッサ３０ｂ、３０ｃを使用することもできる。逆に、実施の形態２に於ける図９、実施の形態３に於ける図１６で示した補助マイクロプロセッサ３０ｂ、３０ｃを、実施の形態１に於ける図１で示したような論理回路部３０ａに代えることも可能である。論理回路部を用いた場合には、監視制御回路部としての制御仕様の変更を行うことが困難となるが、補助マイクロプロセッサと補助プログラムメモリを使用しないで安価な集積回路素子を構成することができる特徴がある。補助マイクロプロセッサを使用した場合には、補助プログラムメモリの内容を変更することによって、比較的容易に監視制御回路部の動作仕様を変更することができる特徴がある。

また、図１、図９、図１６に於いて、通信許可信号は交番信号ＡＬＴとし、通信同期信号ＣＬＫは主制御回路部が発生するように構成されている。しかし、通信許可信号としては図２の（Ａ）で示したような交番信号ＡＬＴに代えて、通信許可期間で論理レベルが「Ｈ」（又は「Ｌ」）となり、通信不許可期間で「Ｌ」（又は「Ｈ」）となる論理信号にすることも可能である。また、通信同期信号ＣＬＫは、監視制御回路部が発生するのではなく、主制御回路部が発生するようにしてもよい。

更に、主制御回路部と監視制御回路部間の信号交信の方式として、図２で示したような同期信号を用いた一括ブロック通信方式によらないで、コマンド情報とアドレス情報と交信データによって構成された通信パケットを調歩同期方式で送信するような方式にすることも可能であって、この場合には入出力信号の交信周期に比べて、質問・回答情報の交信周期を自由に拡大延長することができるものである。

以上の説明ではデータメモリ３５Ａ又は補助プログラムメモリ３５Ｂ、３５Ｃには、質問情報に対応した正解情報が予め書込みされているものとしたが、この正解情報はプログラムメモリ２５Ａ、２５Ｂ、２５Ｃに対して外部ツールから書込みされていて、当該プログラムメモリに書込みされた正解情報は下り通信情報の中の設定データとして監視制御回路部のＲＡＭメモリに送信されるようにしてもよい。

また、図９の実施の形態２に於ける合成回答情報Ｒｎは、予め格納しておく必要はなく、主機正解情報Ｒ１ｎと補機正解情報Ｒ２ｎ〜Ｒ５ｎさえ格納しておけば、監視制御回路部に於いて合成回答情報Ｒｎを生成して、ＲＡＭメモリ３４に格納しておくようにすることができる。

更に、以上の説明では合成回答情報Ａｎや合成正解情報Ｒｎは、個別回答情報や個別正解情報の代数和であるとしたが、各個別回答情報や個別正解情報を所定の整数で割った剰余を用いるなど、所定の関数変換を行なった合成値を用いることもできる。また、回答情報や個別情報のビット数を増加することによって誤り判定率を抑制することができる。

また、以上の説明では監視制御回路部３０Ａ、３０Ｂが主制御回路部２０Ａ、２０Ｂの異常を検出すると、主制御回路部２０Ａ、２０Ｂが初期化・再起動されるようになっているが、主制御回路部２０Ａ、２０Ｂの初期化・再起動処理に代わってスロットル弁開度制御用モータに対する電源リレーを消勢し、所定のデフォルト弁開度による退避運転モードへ移行するようにすることも可能である。

この発明の実施の形態１による監視制御装置を有する車載電子制御装置の全体構成図である。この発明の実施の形態１による監視制御装置を有する車載電子制御装置のシリアル通信のタイムチャートである。この発明の実施の形態１による監視制御装置を有する車載電子制御装置の各種メモリと論理ブロックの内容の一覧を示す表である。この発明の実施の形態１による監視制御装置を有する車載電子制御装置の質問・回答情報の変遷図である。この発明の実施の形態１による監視制御装置を有する車載電子制御装置の主制御回路部の送信動作を示すフロ−チャ−トである。この発明の実施の形態１による監視制御装置を有する車載電子制御装置の監視制御回路部の受信動作を示すフロ−チャ−トである。

この発明の実施の形態１による監視制御装置を有する車載電子制御装置の監視制御回路部の送信動作を示すフロ−チャ−トである。この発明の実施の形態１による監視制御装置を有する車載電子制御装置の主制御回路部の受信動作を示すフロ−チャ−トである。この発明の実施の形態２による監視制御装置を有する車載電子制御装置の全体構成図である。この発明の実施の形態２による監視制御装置を有する車載電子制御装置の各種メモリの内容の一覧を示す表である。この発明の実施の形態２による監視制御装置を有する車載電子制御装置の質問・回答情報の変遷図である。この発明の実施の形態２による監視制御装置を有する車載電子制御装置の主制御回路部の送信動作を示すフロ−チャ−トである。

この発明の実施の形態２による監視制御装置を有する車載電子制御装置の監視制御回路部の受信動作を示すフロ−チャ−トである。この発明の実施の形態２による監視制御装置を有する車載電子制御装置の監視制御回路部の送信動作を示すフロ−チャ−トである。この発明の実施の形態２による監視制御装置を有する車載電子制御装置の主制御回路部の受信動作を示すフロ−チャ−トである。この発明の実施の形態３による監視制御装置を有する車載電子制御装置の全体構成図である。この発明の実施の形態３による監視制御装置を有する車載電子制御装置の各種メモリの内容の一覧を示す表である。この発明の実施の形態３による監視制御装置を有する車載電子制御装置の質問・回答情報の変遷図である。

この発明の実施の形態３による監視制御装置を有する車載電子制御装置の主制御回路部の送信動作を示すフロ−チャ−トである。この発明の実施の形態３による監視制御装置を有する車載電子制御装置の監視制御回路部の受信動作を示すフロ−チャ−トである。この発明の実施の形態３による監視制御装置を有する車載電子制御装置の監視制御回路部の送信動作を示すフロ−チャ−トである。この発明の実施の形態３による監視制御装置を有する車載電子制御装置の主制御回路部の受信動作を示すフロ−チャ−トである。従来の装置に於ける質問情報に基づく異常判定手段の概念図である。

符号の説明

１０Ａ、１０Ｂ、１０Ｃ電子制御装置１１ａ、１１ｂ第一、第二の入力センサ群
１２ａ、１２ｂ第一、第二の電気負荷群
１３外部電源
１９外部ツール
２０マイクロプロセッサ
２０Ａ、２０Ｂ、２０Ｃ主制御回路部
２１第一の入力インタフェース回路
２２第一の出力インタフェース回路
２４ＲＡＭメモリ
２５Ａ、２５Ｂ、２５Ｃプログラムメモリ
２６多チャンネルＡＤ変換器
２７、３７第一のシリアル通信回路
２８第二のシリアル通信回路
２９ツールインタフェース回路
３０ａ論理回路部
３０ｂ、３０ｃ補助マイクロプロセッサ
３０Ａ、３０Ｂ、３０Ｃ監視制御回路部
３１第二の入力インタフェース回路
３２第二の出力インタフェース回路
３３電源回路
３４補助ＲＡＭメモリ
３５Ａデータメモリ
３５Ｂ、３５Ｃ補助プログラムメモリ
３６多チャンネルＡＤ変換器
４０外部制御装置
４１変速制御装置（協働補機）
４２操舵制御装置（協働補機）
４３安定制御装置（協働補機）
４４制動制御装置（協働補機）
４１ａ〜４４ａ補機マイクロプロセッサ
４１ｂ〜４４ｂ補機プログラムメモリ
４１ｃ〜４４ｃ第二のシリアル通信回路
４００外部回答生成・送信手段
５０３ｂ、１５０３ｂ、２５０３ｂ誤答生成手段
５０３ｃ、１５０３ｃ、２５０３ｃ主機回答生成手段
５０５ａ補正回答生成手段（送信回答編集手段）
１５０５ａ循環回答生成手段（送信回答編集手段）
２５０５ａ選択回答生成手段（送信回答編集手段）
６１４、１６１４、２６１４符号誤り検出手段（下り通信）
６１６、１６１６、２６１６応答遅延判定手段
６１７総合異常判定手段（異常判定手段）
１６１７ａ合成異常判定手段（異常判定手段）
１６１７ｄ個別異常判定手段（異常判定手段）
２６１７異常分析判定手段（異常判定手段）
１６１７ｆ外部機器異常通報手段
２６１７ｆ外部機器異常確認通報手段
６１９、１６１９、２６１９リセット処理手段（第二の異常処理手段）
７０４、１７０４、２７０４質問情報更新手段
７０５ａ、１７０５ａ、２７０５ａ質問情報生成手段
８１４、１８１４、２８１４符号誤り検出手段（上り通信）８１６c 外部機器監視手段
２８１６ｃ外部機器監視手段
８１７ｂ、１８１７ｂ、２８１７ｂ外部機器異常処理手段（第一の異常処理手段）
８１８ａ、１８１８ａ、２８１８ａ集計情報監視手段
８１８ｂ、１８１８ｂ、２８１８ｂ記憶情報異常検出手段
８１９、１８１９、２８１９リセット処理手段（第三の異常処理手段）
ＳＴ１、ＲＳＴ２セット出力
ＡＬＴ通信許可信号
ＣＬＫクロック信号（通信同期信号）
ＵＰＤ上り通信情報
ＤＮＤ下り通信情報
Ｔ０通信許可周期
Ｑｎ一斉質問情報
Ｑ１ｎ〜Ｑ５ｎ個別質問情報
Ａｎ合成回答情報
Ａ１ｎ主機回答情報
Ａ２ｎ〜Ａ５ｎ補機回答情報
Ｒｎ合成正解情報
Ｒ１ｎ主機正解情報
Ｒ２ｎ〜Ｒ５ｎ補機正解情報

Claims

不揮発プログラムメモリと、演算処理用ＲＡＭメモリと、第一の入力センサ群が接続された第一の入力インタフェース回路と、第一の電気負荷群が接続された第一の出力インタフェース回路と、前記不揮発プログラムメモリに格納された制御プログラムの内容と前記第一の入力センサ群の動作状態に応動して前記第一の電気負荷群を制御するマイクロプロセッサとを備えた主制御回路部と、前記マイクロプロセッサに対して第一のシリアル通信回路によって接続され複数の質問情報を順次選択送信する質問情報生成手段と、前記質問情報に対する正解情報格納メモリと、前記質問情報に基づく前記主制御回路部からの回答情報と前記正解情報格納メモリに格納されている正解情報とを比較して異常の有無を判定する異常判定手段とを有する監視制御回路部とを備えた車載電子制御装置であって、
前記主制御回路部は、第二のシリアル通信回路を介して接続されて制御信号を相互に交信する外部制御装置と協働し、当該外部制御装置は、補機プログラムメモリと協働する補機マイクロプロセッサによって構成された協働補機を備え、当該補機プログラムメモリは、前記主制御回路部から送信された質問情報に応動して回答情報を生成し、補機回答情報として前記主制御回路部に回答返信する外部回答生成送信手段となる制御プログラムを包含し、
前記質問情報生成手段は、前記主制御回路部と前記外部制御装置の全てに対して適用される一斉質問情報、又は前記主制御回路部と前記外部制御装置に対して個別に適用される個別質問情報が付加されており、前記一斉質問情報又は個別質問情報は、前記監視制御回路部から前記主制御回路部に送信され、前記外部制御装置に対しては前記主制御回路部を中継して送信され、
前記不揮発プログラムメモリは、前記一斉質問情報又は個別質問情報に対応して主機回答情報を生成する主機回答生成手段となる制御プログラムを包含すると共に、前記一斉質問情報に対応して、前記主機回答情報と補機回答情報とを合算集計した合成回答情報を送信する送信回答編集手段となる制御プログラムを包含し、
前記正解情報格納メモリには、前記主制御回路部が発生する主機回答情報に関する主機正解情報、又は前記補機回答情報に対する補機正解情報と前記主機正解情報とを合算集計した合成正解情報が格納され、前記補機正解情報は、前記正解情報格納メモリに保存されるか、又は前記不揮発プログラムメモリに格納されており、
前記異常判定手段は、少なくとも前記監視制御回路部が発生した一斉質問情報又は個別質問情報に基づいて、前記主制御回路部の異常監視を行なうと共に、前記主制御回路部と監視制御回路部は協働して前記外部制御装置に対する異常を識別監視する
ことを特徴とする監視制御回路を有する車載電子制御装置。
前記不揮発プログラムメモリは、外部機器監視手段と補正回答生成手段となる制御プログラムと、前記補機回答情報に関する補機正解情報とが格納されており、
前記監視制御回路部は、総合異常判定手段を備えており、
前記正解情報格納メモリには、合成正解情報が格納されており、
前記外部機器監視手段は、前記補機回答情報と前記補機正解情報とを比較して前記外部制御装置に関する異常の有無を個別に判定し、
前記補正回答生成手段は、前記監視制御回路部が発生した前記一斉質問情報に対応して、第一に前記主制御回路部が生成した主機回答情報と前記外部制御装置が生成した補機回答情報を合算した合成回答情報を生成して前記監視制御回路部に対して送信し、当該補正回答生成手段は、前記補機回答情報が異常である場合には補機回答情報に代わって当該補機回答情報に関する補機正解情報を合算する送信回答編集手段となるものであり、
前記総合異常判定手段は、前記監視制御回路部が発生した一斉質問情報に対応した前記合成正解情報と、前記主制御回路部から受信した合成回答情報とを比較して、前記主制御回路部自体の異常の有無と、前記主制御回路部が前記外部制御装置の異常監視を行なっているか否かを含めた総合異常判定を行なう異常判定手段となるものであることを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
前記不揮発プログラムメモリは、循環回答生成手段となる制御プログラムを備え、
前記監視制御回路部は、合成異常判定手段と個別異常判定手段による異常判定手段と、外部機器異常通報手段とを備えており、
前記正解情報格納メモリには、前記主制御回路部に関する主機正解情報に加えて、前記外部制御装置に関する補機正解情報と、各正解情報を合算した合成正解情報とが格納されており、
前記循環回答生成手段は、第一に前記監視制御回路部が発生した一斉質問情報に対応して、前記主制御回路部が生成した主機回答情報と前記外部制御装置が生成した補機回答情報を合算した合成回答情報を生成して前記監視制御回路部に対して送信する送信回答編集手段であり、
前記合成異常判定手段は、前記主制御回路部から送信された合成回答情報と前記合成正解情報とが一致する場合には、質問内容を更新しながら前記一斉質問情報の送信を継続し、合成回答情報と合成正解情報とが不一致である場合には、循環質問フラグをセットし、前記循環質問フラグがセットされると、前記主制御回路部と前記外部制御装置に対する個別質問情報が順次送信され、再び一斉質問情報が送信されたときに前記合成回答情報と合成正解情報とが一致すれば循環質問フラグはリセットされ、不一致であれば引き続いて循環質問フラグはセットされており、
前記個別異常判定手段は、前記個別質問情報に基づく主機回答情報と前記主機正解情報とを比較すると共に前記補機回答情報と前記補機正解情報とを比較して、前記主制御回路部と前記外部制御装置との異常の有無を個別に判定し、
前記外部機器異常通報手段は、前記個別異常判定手段によって前記外部制御装置の異常が検出されたときに、当該異常発生を前記主制御回路部に対して通報する
ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
前記個別質問情報は、前記主制御回路部又は前記外部制御装置に於ける夫々の協働補機の何れか一つに対して送信される質問情報であり、
前記主制御回路部は、前記個別質問情報に基づく主機回答情報又は補機回答情報の一つを前記監視制御回路部へ送信するものである
ことを特徴とする請求項３に記載の監視制御回路を有する車載電子制御装置。
前記個別質問情報は、前記主制御回路部又は前記外部制御装置に対して一斉に送信されるものであり、質問対象となっていない前記主制御回路部又は前記外部制御装置に於ける協働補機は主機回答情報又は補機回答情報としてゼロを回答するか、又は前記主制御回路部は質問対象となっていない前記主制御回路部又は前記外部制御装置に於ける協働補機から得られる主機回答情報又は補機回答情報を除外して、対象となっている回答情報のみを前記監視制御回路部へ送信するものである
ことを特徴とする請求項３に記載の監視制御回路を有する車載電子制御装置。
前記不揮発プログラムメモリは、外部機器監視手段と選択回答生成手段となる制御プログラムと、前記補機回答情報に関する補機正解情報が格納されており、
前記監視制御回路部は、異常分析判定手段を備えており、
前記正解情報格納メモリには、主機正解情報と合成正解情報が格納されており、
前記外部機器監視手段は、前記補機回答情報と前記補機正解情報とを比較して前記外部制御装置に関する異常の有無を個別に判定し、
前記選択回答生成手段は、第一に前記監視制御回路部が発生した一斉質問情報に対応して、前記主制御回路部が生成した主機回答情報と前記外部制御装置が生成した補機回答情報を合算した合成回答情報を生成して前記監視制御回路部に対して送信し、当該選択回答生成手段は、前記補機回答情報が異常である場合には合成回答情報に代わって主機回答情報を送信する送信回答編集手段となるものであり、
前記異常分析判定手段は、前記合成回答情報又は主機回答情報の何れか一方である今回回答情報と合成正解情報が一致すれば、主制御回路部と外部制御装置は共に正常であると判定し、前記今回回答情報と合成正解情報が不一致であっても前記主機正解情報が一致すれば、主制御回路部は正常であるが外部制御装置が異常であると判定し、前記今回回答情報と合成正解情報が不一致であって、しかも前記主機正解情報とも不一致であれば、主制御回路部が異常であると判定する異常判定手段となるものである
ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
前記質問情報は、前記マイクロプロセッサ及び前記外部制御装置内のマイクロプロセッサに於いて適用される少なくとも１個の演算算式に対応した制御プログラム、又は当該制御プログラムと同じ内容のプログラムであって、同じプログラムメモリの異なるアドレス領域に格納されているコピープログラムを被試験プログラムとして指定すると共に、当該被試験プログラムに於いて適用される入力データに対応した入力定数テーブル番号を指定するものであって、当該入力定数テーブルの実数値は、前記不揮発プログラムメモリ及び前記外部制御装置内の補機プログラムメモリに格納されており、
前記主制御回路部は、前記一斉質問情報又は個別質問情報によって指定された演算算式と入力定数に基づいて主機回答情報を生成し、
前記外部制御装置は、前記一斉質問情報又は個別質問情報によって指定された演算算式と入力定数に基づく演算結果を補機回答情報として前記主制御回路部に送信する
ことを特徴とする請求項２乃至６のうち何れか１項に記載の監視制御回路を有する車載電子制御装置。
前記車載電子制御装置は、エンジン制御装置であって、
前記第一の入力センサ群は、少なくともアクセルペダルの踏込み度合を検出するアクセルポジションセンサと、吸気弁開度を検出するスロットルポジションセンサと、エンジンの吸気量を測定するエアフローセンサと、エンジン回転速度を算出するためのエンジン回転センサとを備え、
前記第一の電気負荷群は、少なくとも吸気スロットルの弁開度制御用モータと燃料噴射用電磁弁とを備えており、
前記主制御回路部に於ける被試験プログラムは、前記外部制御装置から要求されたエンジン出力トルクの増減要求補正値に対応したスロットル弁開度の増減目標補正値を算出するための制御プログラムであり、
前記外部制御装置は、車速とアクセルポジションセンサに応動して変速機の変速段を切換える変速制御装置、又は方向操作ハンドルの操作に応動する操舵制御装置、又は車両姿勢の安定制御装置、又はフットブレーキペダルに応動する制動制御装置の何れかを包含し、当該外部制御装置は、前記第二のシリアル通信回路を介して前記主制御回路部に対してエンジントルクの増減要求補正値を送信すると共に、当該外部制御装置に於ける被試験プログラムは、当該外部制御装置に対する入力信号に応動して前記エンジン出力トルクの増減要求補正値を算出するための制御プログラムである
ことを特徴とする請求項７に記載の監視制御回路を有する車載電子制御装置。
前記不揮発プログラムメモリは、外部機器異常処理手段となる制御プログラムを包含し、当該外部機器異常処理手段は、前記主制御回路部の外部機器監視手段による外部制御装置の個別異常判定情報、又は前記監視制御回路部による個別異常判定手段と外部機器異常通報手段に基づいて主制御回路部に送信された外部制御装置の個別異常判定情報に基づいて作用する第一の異常処理手段であって、異常判定された前記外部制御装置からのエンジン出力トルクの増減要求補正値の内で、少なくとも増加要求には応動せずに現状保持すると共に、該当外部制御装置に対して異常検出されたことを通報し、異常発生履歴情報を前記主制御回路部に於いて保存することを特徴とする請求項８に記載の監視制御回路を有する車載電子制御装置。
前記監視制御回路部は、前記第一のシリアル通信回路を介して前記マイクロプロセッサに対する一部の入出力信号となる第二の入力センサ群と第二の電気負荷群との入出力信号の交信を行なうと共に、
前記主制御回路部から監視制御回路部に対して送信される下り通信情報は、当該監視制御回路部に於いて必要とされる設定定数又は制御出力と、前回の上り通信情報で得られた前記質問情報に対する回答情報と第二のフラグ情報と符号点検情報とを包含し、
前記監視制御回路部から主制御回路部に対して送信される上り通信情報は、当該監視制御回路部に対する入力信号情報、或いは前記主制御回路部から得られた前記設定定数又は前記制御出力の記憶情報と、今回の質問情報と第一のフラグ情報と符号点検情報とを包含し、
前記第一のフラグ情報は、前記監視制御回路部に於いて前記質問情報の内容が更新変更された時点に於いて変化して、質問情報の変化を通報する１ビット又は複数ビットの識別信号となるものであって、
前記第二のフラグ情報は、前記質問情報の内容が更新変更されたことに伴って、前記主制御回路部が前記回答情報の内容を更新させた時点に於いて変化して、回答情報の更新を通報する１ビット又は複数ビットの識別信号となるものであることを特徴とする
ことを特徴とする請求項１に記載の監視制御回路を有する車載電子制御装置。
前記監視制御回路部は、質問情報更新手段と応答遅延判定手段を備えており、
前記質問情報更新手段は、前記上り通信情報に包含される質問情報が複数の通信回数に於いて同一質問情報となるように反復送信し、所定期間以上の送信を行なってから新たな質問情報に更新し、
前記応答遅延判定手段は、前記監視制御回路部が前記第一のフラグ情報の内容を変化させてから、第二のフラグ情報の受信データが変化するまでの時間が所定時間を超過していたときに前記主制御回路部の異常であると判定する手段である
ことを特徴とする請求項１０に記載の監視制御回路を有する車載電子制御装置。
前記監視制御回路部は、符号誤り検出手段とリセット処理手段とを備え、
前記符号誤り検出手段は、前記下り通信情報の受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出し、
前記リセット処理手段は、前記異常判定手段が主制御回路部に関する異常を判定したこと、又は前記応答遅延判定手段が応答遅延を判定したこと、又は前記符号誤り検出手段が下り通信情報の符号誤りを検出したことの監視集計結果に応動して前記主制御回路部を初期化・再起動する第二の異常処理手段となるものである
ことを特徴とする請求項１１に記載の監視制御回路を有する車載電子制御装置。
前記監視制御回路部は、補助マイクロプロセッサと、当該補助マイクロプロセッサと協働する補助不揮発プログラムメモリと、補助ＲＡＭメモリとを包含し、
前記補助不揮発プログラムメモリは、前記質問情報生成手段、質問情報更新手段、異常判定手段、応答遅延判定手段、下り通信情報に対する符号誤り判定手段、リセット処理手段となる制御プログラムを包含すると共に、前記質問情報に対する正解情報が格納され、
前記補助ＲＡＭメモリには、前記監視集計結果が書込みされている
ことを特徴とする請求項１２に記載の監視制御回路を有する車載電子制御装置。
前記不揮発プログラムメモリは、誤答生成手段と集計情報監視手段となる制御プログラムを備えると共に、
前記上り通信情報には、前記監視制御回路部に於ける異常監視の集計情報が包含され、前記誤答生成手段は、前記質問情報に対して意図的に不正解情報を生成して回答情報として送信する手段であって、当該誤答生成手段による誤答を意図的に送信するタイミングは前記異常監視の集計値に余裕があって、１回の誤答応答によっては前記監視制御回路部のリセット処理手段がリセット出力を発生しない時点において実行され、
前記集計情報監視手段は、前記集計情報を監視することによって監視制御回路部が正常に動作していることを主制御回路部によって逆監視する手段であることを特徴とする
請求項１２又は請求項１３に記載の監視制御回路を有する車載電子制御装置。
前記不揮発プログラムメモリは、符号誤り検出手段又は記憶情報異常検出手段とリセット処理手段となる制御プログラムを包含し、
前記符号誤り検出手段は、前記上り通信情報の受信データに対して、サムチェック又はＣＲＣチェックで代表される符合点検手段を用いてビット情報の混入又は欠落の有無を検出し、
前記記憶情報異常検出手段は、前記下り通信情報の一部として監視制御回路部が受信記憶した設定・出力情報の記憶状態を、上り通信情報の一部として返信受信した前記主制御回路部に於いて比較判定して異常の有無を検出し、
前記リセット処理手段は、前記符号誤り検出手段が上り通信情報の符号誤りを検出したこと、又は前記記憶情報異常検出手段が記憶情報の異常を検出したこと、又は前記集計情報監視手段による前記異常監視の集計情報が異常であったことの逆監視集計結果に応動して前記監視制御回路部を初期化・再起動する第三の異常処理手段となるものである
ことを特徴とする請求項１４に記載の監視制御回路を有する車載電子制御装置。