特許 5769403 監視装置及び電子装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5769403

(24)【登録日】2015年7月3日

(45)【発行日】2015年8月26日

(54)【発明の名称】監視装置及び電子装置

(51)【国際特許分類】

   G06F 11/30 20060101AFI20150806BHJP

   G06F 11/00 20060101ALI20150806BHJP

【ＦＩ】

   G06F11/30 310B

   G06F11/00 350F

【請求項の数】6

【全頁数】14

(21)【出願番号】特願2010-266717(P2010-266717)

(22)【出願日】2010年11月30日

(65)【公開番号】特開2012-118686(P2012-118686A)

(43)【公開日】2012年6月21日

【審査請求日】2013年8月6日

【前置審査】

(73)【特許権者】

【識別番号】000237592

【氏名又は名称】富士通テン株式会社

(74)【代理人】

【識別番号】100099759

【弁理士】

【氏名又は名称】青木 篤

(74)【代理人】

【識別番号】100092624

【弁理士】

【氏名又は名称】鶴田 準一

(74)【代理人】

【識別番号】100114018

【弁理士】

【氏名又は名称】南山 知広

(72)【発明者】

【氏名】小宮 基樹

(72)【発明者】

【氏名】芝地 義徳

【審査官】 多賀 実

(56)【参考文献】

【文献】 特開平１０−１６１９１１（ＪＰ，Ａ）

【文献】 特開２０００−１３２２６４（ＪＰ，Ａ）

【文献】 特開平０３−２７８２０１（ＪＰ，Ａ）

【文献】 特開平０７−２９１０９１（ＪＰ，Ａ）

【文献】 特開昭６３−３０５４３６（ＪＰ，Ａ）

【文献】 特開２０１０−１３０３１６（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｂ６０Ｒ１６／０２

Ｇ０６Ｆ１１／００

Ｇ０６Ｆ１１／２８−１１／３４

Ｇ０５Ｂ ９／００− ９／０５

Ｇ０５Ｂ２３／００−２３／０２

Ｆ０２Ｄ４３／００−４５／００

(57)【特許請求の範囲】

【請求項1】

マイクロプロセッサからウオッチドッグカウンタ信号の入力の有無を監視し、電源がオンになることによって、前記マイクロプロセッサの動作を開始してから所定期間に亘って前記ウオッチドッグカウンタ信号が連続して入力された場合に、前記ウオッチドッグカウンタ信号の入力が正常であると判定する第１監視手段と、
前記マイクロプロセッサが所定の動作モードであるか否かを監視する第２監視手段と、
前記ウオッチドッグカウンタ信号の入力が正常でないとき、又は前記マイクロプロセッサが前記所定の動作モードにあるとき、前記マイクロプロセッサの出力論理値を所定値に固定する出力制御回路に前記出力論理値を所定値に固定させるための制御信号を生成する制御信号生成手段と、
を備え、
前記マイクロプロセッサの動作を開始してから前記所定期間が経過するまでの間、前記出力論理値を前記所定値に固定させる制御信号を生成するように構成される監視装置。

【請求項2】

前記所定の動作モードは、前記マイクロプロセッサが前記ウオッチドックカウンタ信号を出力しないことが予定されている動作モードであることを特徴とする請求項１に記載の監視装置。

【請求項3】

前記制御信号生成手段は、前記ウオッチドッグカウンタ信号の入力が無いか否かを示す前記第１監視手段の出力論理信号と、前記マイクロプロセッサが所定の動作モードであるか否かを示す前記第２監視手段の出力論理信号との論理積信号を生成する論理回路を備える請求項１又は２に記載の監視装置。

【請求項4】

前記所定の動作モードは、前記マイクロプロセッサのスリープ状態である請求項１〜３のいずれか一項に記載の監視装置。

【請求項5】

前記所定の動作モードは、前記マイクロプロセッサ内の不揮発性メモリの書き換えを行う動作モードである請求項１〜３のいずれか一項に記載の監視装置。

【請求項6】

正常動作時にウオッチドッグカウンタ信号を出力し、スリープモード時に動作を停止させるマイクロプロセッサと、
前記マイクロプロセッサの出力論理値を所定値に固定する出力制御回路と、
前記マイクロプロセッサを監視する監視装置と、を備え、
前記監視装置は、
マイクロプロセッサからウオッチドッグカウンタ信号の入力の有無を監視し、電源がオンになることによって、前記マイクロプロセッサの動作を開始してから所定期間に亘って前記ウオッチドッグカウンタ信号が連続して入力された場合に、前記ウオッチドッグカウンタ信号の入力が正常であると判定する第１監視手段と、
前記マイクロプロセッサが前記スリープモードであるか否かを監視する第２監視手段と、
前記ウオッチドッグカウンタ信号の入力が正常でないとき、又は前記マイクロプロセッサが前記所定の動作モードにあるとき、前記出力制御回路に前記出力論理値を所定値に固定させるための制御信号を生成する制御信号生成手段と、
を備え、
前記監視装置は、前記マイクロプロセッサの動作を開始してから前記所定期間が経過するまでの間、前記出力論理値を前記所定値に固定させる制御信号を生成するように構成される電子装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、マイクロプロセッサの動作を監視する監視装置に関する。

【背景技術】

【0002】

マイクロプロセッサには、ウオッチドックカウンタ信号を出力することにより、マイクロプロセッサが正常に動作しているか否かを監視できるものがある。このようなマイクロプロセッサが設けられる制御装置の例としては、通常よりも高い信頼性、安全性又はフェールセーフ性能が要求される車載用の電子制御ユニット（ＥＣＵ:Electronic Control Unit）がある。

【0003】

なお、下記引用文献１には、車両のイグニッションスイッチがオフされＥＣＵがスリープモードに移行する際、主制御マイコンが、入出力回路の出力ポートから副制御マイコンに出力される信号の出力レベルをローレベルにすることが提案されている。

【0004】

また、下記引用文献２には、ＣＰＵがスリープモードに入って内部クロックが停止したとき、クロック検知回路がこれを検知し、検知出力信号に基づいてＣＰＵからのＩ／Ｏ信号をゲート回路で遮断することが提案されている。

【0005】

また、下記引用文献３には、マイクロコンピュータから動作中に信号が出力されなくなるとマイクロコンピュータをリセットし、スリープ信号が出力されるとマイクロコンピュータのリセットを停止するウオッチドッグタイマと、車両のキースイッチがオン状態にある時にマイクロコンピュータからスリープ信号が出力されると、車載機器の作動条件を満たす場合は車載機器の作動信号を出力する補助作動回路と、マイクロコンピュータまたは補助作動回路からの作動信号により車載機器を駆動する駆動回路とを備える電子制御装置が提案されている。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】特開２００７−２１３１３７号公報

【特許文献2】特開２０００−１３２２６４号公報

【特許文献3】特開平１０−２２２４０２号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

マイクロプロセッサによる制御の安全性を向上するために、ウオッチドックカウンタ信号によりマイクロプロセッサの異常を検出し、異常時にマイクロプロセッサの出力論理値を所定値に固定することが考えられる。

【0008】

一方で、マイクロプロセッサの動作モードには、マイクロプロセッサがウオッチドッグカウンタ信号を出力しないモードがある。このような動作モードには、例えば、動作を一時的に停止させるスリープ状態となるスリープモードや、マイクロプロセッサ内の不揮発性メモリの書き換えを行うモードがある。近年、環境問題への配慮から低消費電力化が望まれているため、スリープ状態への移行により消費電力を低減する技術がマイクロプロセッサに採用されることが多くなった。

【0009】

マイクロプロセッサの動作モードが上記モードである間は、ウオッチドッグカウンタ信号が生成されないためマイクロプロセッサの異常を検出することができない。そこで、ウオッチドックカウンタ信号の監視だけでなく、マイクロプロセッサが上記動作モード時であるときにも出力論理値を固定することが考えられる。

【0010】

しかしながら、ウオッチドックカウンタ信号の監視に基づいて出力論理値を固定する回路に加えて上記動作モード時に出力論理値を固定する回路を別個に備えると回路構成が複雑化することになる。

【0011】

本発明は、上記動作モード時にマイクロプロセッサの異常が生じてもマイクロプロセッサの出力論理値を所定値に固定することができる構成を簡素化することを目的とする。

【課題を解決するための手段】

【0012】

本件開示の監視装置は、マイクロプロセッサからウオッチドッグカウンタ信号の入力の有無を監視する第１監視手段と、マイクロプロセッサが所定の動作モードであるか否かを監視する第２監視手段と、ウオッチドッグカウンタ信号の入力がなく又はマイクロプロセッサが所定の動作モードにあるとき、マイクロプロセッサの出力論理値を所定値に固定する出力制御回路に出力論理値を所定値に固定させるための制御信号を生成する制御信号生成手段を備える。

【発明の効果】

【0013】

ウオッチドッグカウンタの監視処理と所定の動作モードの監視処理との間で、マイクロプロセッサの出力論理値を所定値に固定する出力制御回路を兼用するため、出力論理値を固定する構成が簡素化される。また、上記監視処理の間で、出力制御回路を制御するための制御信号生成手段自体も兼用されるため、出力論理値を固定する構成が更に簡素化される。

【図面の簡単な説明】

【0014】

【図1】制御装置の概略構成例を示す図である。

【図2】図１に示す監視装置の構成例を示す図である。

【図3】図１に示す出力制御回路の第１例を示す図である。

【図4】出力制御信号の変化を示す説明図（その１）である。

【図5】出力制御信号の変化を示す説明図（その２）である。

【図6】出力制御信号の値の決定方法の説明図である。

【図7】出力制御信号の変化を示す説明図（その３）である。

【図8】図２に示す出力制御回路の第２例を示す図である。

【発明を実施するための形態】

【0015】

以下、添付する図面を参照して本発明の実施例について説明する。図１は、制御装置の概略構成例を示す図である。制御装置１は、マイクロプロセッサ１０と、電源回路１１と、出力ドライバ１２と、出力遮断部１４を備える。

【0016】

制御装置１は、マイクロプロセッサ１０により所与の制御プログラムが実行されることによって、負荷４の動作を制御する。制御装置１は、例えば車載用ＥＣＵであってよい。

【0017】

電源回路１１は、外部電源としてのバッテリ２から供給される電圧を所定電圧に変換する。電源回路１１は、この所定電圧をマイクロプロセッサ１０へ電源電圧として供給する。スイッチ３は、電源回路１１とバッテリ２との間の接続を開閉する。すなわちスイッチ３は、電源回路１１のオンオフを切り替える。制御装置１が車載用ＥＣＵである場合、スイッチ３は、例えばイグニッションスイッチであってよい。

【0018】

以下の説明及び添付する図面において、スイッチ３から電源回路１１へ入力される入力電圧を「入力電圧ＳＳ」と表記し、電源回路１１が供給する出力電圧を「出力電圧ＰＯ」と表記することがある。

【0019】

出力ドライバ１２は、抵抗素子１３を介してマイクロプロセッサ１０の出力線１７から出力される出力論理値を入力する。出力ドライバ１２は、入力された出力論理値に応じて負荷を駆動する駆動電力ＯＵＴを出力する。

【0020】

出力遮断部１４は、マイクロプロセッサ１０が異常である場合に、出力ドライバ１２に入力される出力論理値を予め定められた所定値に固定するための構成要素である。出力遮断部１４は、マイクロプロセッサ１０から出力ドライバ１２へ至る出力線１７のいずれかの点に電気的に接続される制御線１８を有していてよい。本明細書において出力線１７と制御線１８との接続点を「Ａ点」と表記することがある。出力遮断部１４は、制御線１８を介してＡ点に所定値を与えることによって、出力ドライバ１２に入力される出力論理値を所定値に固定する。

【0021】

上記所定値は、出力ドライバ１２に所定値が入力された場合に負荷４が安全側に動作するように定めてよい。例えば、負荷４の動作や機能が停止することがより安全な場合には、上記所定値が入力された場合に出力ドライバ１２が駆動電力ＯＵＴを出力しないように所定値が定められてよい。

【0022】

負荷４が動作し続けることがより安全な場合には、上記所定値が入力された場合に出力ドライバ１２が駆動電力ＯＵＴを出力するように所定値が定められてよい。このような負荷４の例は、動作することによって安全性の向上をもたらす負荷、例えばワイパーなどであってよい。負荷４は、保安部品であってもよい。

【0023】

出力遮断部１４は、監視装置１５と出力制御回路１６を備える。監視装置１５は、入力電圧ＳＳの電圧値及び出力電圧ＰＯの電圧値を入力する。また、出力遮断部１４は、マイクロプロセッサ１０から、スリープ信号ＳＬ及びウオッチドッグカウンタ信号ＷＤＣを入力する。なお、監視装置１５は集積回路として形成されてよい。出力制御回路１６と監視装置１５は、一体の集積回路として形成されてもよい。

【0024】

監視装置１５は、所定期間Ｔ０に亘ってウオッチドッグカウンタ信号ＷＤＣが、マイクロプロセッサ１０から入力されないとき、リセット信号ＲＳをマイクロプロセッサ１０へ出力する。監視装置１５は、電源回路１１の出力電圧ＰＯの電源が低下した場合もリセット信号ＲＳを出力する。

【0025】

監視装置１５は、スイッチ３を閉じることによりマイクロプロセッサ１０へ電源が供給されマイクロプロセッサ１０が動作を開始してから、ウオッチドッグカウンタ信号ＷＤＣの入力が正常であると判定するまでの間、「Ｖ１」の値を持つ出力制御信号ＤＥＦを出力する。すなわち、マイクロプロセッサ１０が動作を開始した直後の出力制御信号ＤＥＦの初期値は「Ｖ１」である。監視装置１５は、所定期間Ｔ１に亘ってウオッチドッグカウンタ信号ＷＤＣが連続して入力される場合に、ウオッチドッグカウンタ信号ＷＤＣの入力が正常であると判定する。

【0026】

また、監視装置１５は、ウオッチドッグカウンタ信号ＷＤＣが所定期間Ｔ０に亘ってマイクロプロセッサ１０から入力されないとき、「Ｖ１」の値を持つ出力制御信号ＤＥＦを出力する。出力制御信号ＤＥＦは出力制御回路１６へ入力される。

【0027】

また、監視装置１５は、マイクロプロセッサ１０がスリープ状態である場合、すなわち、スイッチ３が開いているかマイクロプロセッサ１０からスリープ信号ＳＬが出力されている場合、「Ｖ１」の値を持つ出力制御信号ＤＥＦを出力する。それ以外の場合に監視装置１５は、「Ｖ２」の値を持つ出力制御信号ＤＥＦを出力する。

【0028】

ある実施例において「Ｖ１」の論理値は「Ｌ」であり、「Ｖ２」の論理値は「Ｈ」であってよい。但し、これら信号Ｖ１及びＶ２、並びに他の信号の論理値の組み合わせは、本明細書において示される論理値の組み合わせの例によって実現される動作と同様の動作を実現することが可能な組み合わせであれば、どのような値の組み合わせであってもよい。

【0029】

出力制御回路１６は、「Ｖ１」の値を持つ出力制御信号ＤＥＦが出力される場合に、Ａ点の電位を所定値に固定する。すなわち、出力制御回路１６は、出力ドライバ１２に入力される出力論理値を所定値に固定する。出力制御回路１６は、「Ｖ２」の値を持つ出力制御信号ＤＥＦが出力される場合には、出力ドライバ１２に入力される出力論理値を固定しない。すなわち、出力制御回路１６は、マイクロプロセッサ１０の出力線１７から出力される論理値を、そのまま出力ドライバ１２に入力させる。

【0030】

次に、監視装置１５の構成を説明する。図２は、図１に示す監視装置１５の構成例を示す図である。監視装置１５は、電源低下検知部２０と、第１監視部２１と、第２監視部２２と、論理回路２３と、制御信号生成部２４と、リセット信号生成部２５を備える。

【0031】

電源低下検知部２０は、電源回路１１の出力電圧ＰＯの電圧の低下を検出し、検出結果を示す検出信号を論理回路２３へ出力する。例えば、電源低下検知部２０は、出力電圧ＰＯが所定の閾値より低いとき、出力電圧ＰＯの電圧の低下を検出してよい。電源低下検知部２０は、出力他の条件を用いて出力電圧ＰＯの電圧の低下を検出してもよい。

【0032】

例えば、電源低下検知部２０は、出力電圧ＰＯの電圧の低下を検出したとき論理値「Ｌ」を出力し、それ以外の場合には論理値「Ｈ」を出力してよい。

【0033】

第１監視部２１は、ウオッチドッグカウンタ信号ＷＤＣの入力の有無を判定する。第１監視部２１は、電源回路１１への入力電圧ＳＳに基づいてスイッチ３の開閉、すなわち電源回路１１のオンオフを判定する。電源回路１１がオフからオンに切り替わったことを検出した場合、第１監視部２１は、所定期間Ｔ１に亘ってウオッチドッグカウンタ信号ＷＤＣが連続して入力される場合に、ウオッチドッグカウンタ信号ＷＤＣの入力が正常であると判定する。

【0034】

それ以降、第１監視部２１は、ウオッチドッグカウンタ信号ＷＤＣが入力されている場合に、ウオッチドッグカウンタ信号ＷＤＣの入力が正常であると判定してよい。第１監視部２１は、ウオッチドッグカウンタ信号ＷＤＣの入力の中断が所定期間Ｔ０よりも長く連続しない場合に、ウオッチドッグカウンタ信号ＷＤＣの入力が正常であると判定してもよい。

【0035】

第１監視部２１は、ウオッチドッグカウンタ信号ＷＤＣの入力が正常であるか否かを判定した結果を示す判定信号を、論理回路２３及び制御信号生成部２４に出力する。例えば第１監視部２１は、ウオッチドッグカウンタ信号ＷＤＣの入力が正常である場合に論理値「Ｈ」を、それ以外の場合に論理値「Ｌ」を出力してよい。この場合、論理値「Ｈ」はマイクロプロセッサ１０が正常であることを示し、論理値「Ｌ」はマイクロプロセッサ１０が異常であることを示す。

【0036】

第２監視部２２は、マイクロプロセッサ１０からのスリープ信号ＳＬの入力の有無を判定する。第２監視部２２は、入力電圧ＳＳに基づいてスイッチ３の開閉を判定する。第１監視部２１は、スイッチ３が開いているかマイクロプロセッサ１０からスリープ信号ＳＬを入力している場合に、マイクロプロセッサ１０がスリープ状態であると判定する。

【0037】

第２監視部２２は、マイクロプロセッサ１０がスリープ状態であるか否かの判定結果を示す判定信号を、制御信号生成部２４に出力する。例えば第２監視部２２は、マイクロプロセッサ１０がスリープ状態でないとき、論理値「Ｈ」を出力してよい。第２監視部２２は、マイクロプロセッサ１０がスリープ状態であるとき、論理値「Ｌ」を出力してよい。

【0038】

論理回路２３は、電源低下検知部２０から出力される検出信号及び第１監視部２１から出力される判定信号に基づいて、出力電圧ＰＯの電圧低下が生じたか、又はウオッチドッグカウンタ信号ＷＤＣの入力が異常であることを示す論理信号を生成する。このため論理回路２３は、出力電圧ＰＯの電圧低下が生じたことを示す論理信号と、ウオッチドッグカウンタ信号ＷＤＣの入力の異常であることを示す論理信号との論理積信号を生成してよい。例えば、論理回路２３は、電源低下検知部２０から出力される検出信号と第１監視部２１から出力される判定信号とのＮＡＮＤ値を演算する論理素子と、このＮＡＮＤ値を反転させる論理素子を備えていてよい。

【0039】

リセット信号生成部２５は、論理回路２３の出力論理値に基づいてリセット信号ＲＳを出力する。

【0040】

制御信号生成部２４は、第１監視部２１及び第２監視部２２から各々出力される判定信号に基づいて、ウオッチドッグカウンタ信号ＷＤＣの入力が異常であるか、又はマイクロプロセッサ１０がスリープ状態である示す論理信号を生成する。このため、制御信号生成部２４は、ウオッチドッグカウンタ信号ＷＤＣの入力が異常であることを示す論理信号と、マイクロプロセッサ１０がスリープ状態である示す論理信号との論理積信号を生成してよい。例えば、制御信号生成部２４は、第１監視部２１及び第２監視部２２から各々出力される検出信号のＮＡＮＤ値を演算する論理素子と、このＮＡＮＤ値を反転させる論理素子を備えていてよい。制御信号生成部２４は、生成した論理値を出力制御信号ＤＥＦとして出力する。

【0041】

次に、出力制御回路１６の構成を説明する。図３は、図１に示す出力制御回路１６の第１例を示す図である。出力制御回路１６は、スイッチング素子３０及び３２と、抵抗３１を備える。図示の構成例は、スイッチング素子３０及び３２としてＮＰＮ型トランジスタを使用するが、他のタイプの能動素子をスイッチング素子として使用してもよい。以下に説明する他の実施例でも同様である。

【0042】

トランジスタ３２は、出力制御信号ＤＥＦに応じて、マイクロプロセッサ１０の出力線１７のＡ点に電気的に接続される制御線１８と上記所定値に対応する電位との間の接続を開閉する。図３に示す例の場合、トランジスタ３２は、出力制御信号ＤＥＦが値「Ｖ１」であるとき制御線１８とグランド（ＧＮＤ）とを接続し、出力制御信号ＤＥＦが値「Ｖ２」であるとき制御線１８とグランド（ＧＮＤ）との接続を切断する。この場合、所定値に対応する電位が示す論理値は「Ｌ」である。

【0043】

トランジスタ３０のコレクタは抵抗３１を介して所定の正電位が与えられ、エミッタは接地され、出力制御信号ＤＥＦはトランジスタ３０のベースに入力される。トランジスタ３０のコレクタ電圧はトランジスタ３２のベースに入力され、トランジスタ３２のエミッタが接地される。このようにトランジスタ３０及び３２を接続することにより、制御線１８が接続されるトランジスタ３２のコレクタは、出力制御信号ＤＥＦの論理値に応じてグランドに接続される。

【0044】

次に、ウオッチドッグカウンタ信号ＷＤＣとスリープ信号ＳＬによるマイクロプロセッサの出力論理値の制御方法について説明する。まず、比較のために、図１〜図３を参照して上述した制御装置による制御方法とは異なる他の制御方法を説明する。図４は、マイクロプロセッサの出力論理値の他の制御方法の一例を示す。

【0045】

なお、図４の制御方法の例は、マイクロプロセッサ１０が動作を開始した直後の出力制御信号ＤＥＦの初期値が「Ｖ２」である点で、少なくとも図１〜図３を参照して上述した制御装置の制御方法と異なる。図１〜図３を参照して上述した制御装置は、マイクロプロセッサ１０が動作を開始してから、所定期間Ｔ１に亘ってウオッチドッグカウンタ信号が入力されるまでの間の出力制御信号ＤＥＦの初期値は「Ｖ１」である。

【0046】

図４の（Ａ）は、バッテリ２から制御装置１への電源供給のスイッチ３のオンオフを示すタイムチャートであり、図４の（Ｂ）は、マイクロプロセッサ１０への供給電源へ変換する電源回路１１のオンオフを示すタイムチャートである。

【0047】

図４の（Ｃ）〜図４の（Ｇ）は、それぞれ、ウオッチドッグカウンタ信号ＷＤＣ、リセット信号ＲＳ、出力制御信号ＤＥＦ、マイクロプロセッサ１０の論理出力値、及び出力ドライバ１２の出力のタイムチャートを示す。

【0048】

時刻ｔ１においてスイッチ３がオンになり、電源回路１１がオンになることによってマイクロプロセッサ１０が動作を開始する。図４の（Ｃ）はウオッチドッグカウンタ信号ＷＤＣのタイムチャートは、ウオッチドッグカウンタ信号ＷＤＣの入力がないことを示している。

【0049】

マイクロプロセッサ１０の動作中に、所定期間Ｔ０に亘ってウオッチドッグカウンタ信号ＷＤＣが入力されないとき、時刻ｔ２においてリセット信号ＲＳの値は論理値「Ｈ」から「Ｌ」に変化し、マイクロプロセッサ１０がリセットされる。マイクロプロセッサ１０のリセット後にリセット信号ＲＳの論理値は「Ｈ」に復帰する。

【0050】

時刻ｔ１においてスイッチ３がオンになった直後の出力制御信号ＤＥＦの初期値は「Ｖ２」である。時刻ｔ２においてリセット信号ＲＳが出力されると、出力制御信号ＤＥＦの値は「Ｖ１」へ変化する。出力制御信号ＤＥＦの値は、リセット信号ＲＳの復帰後、所定期間Ｔ０よりも長い遅延時間が経過した後に「Ｖ２」へ復帰する。

【0051】

したがって、マイクロプロセッサ１０がリセットされてもマイクロプロセッサ１０が異常から回復せず、ウオッチドッグカウンタ信号ＷＤＣの出力が開始しない場合には、出力制御信号ＤＥＦの値は「Ｖ２」に回復しない。図４の（Ｅ）の例では、時刻ｔ２以降、出力制御信号ＤＥＦは「Ｖ１」の値を維持する。

【0052】

図４の（Ｆ）に示すタイムチャートは、異常により、マイクロプロセッサ１０の出力論理値が「Ｈ」になっている状態を示す。マイクロプロセッサ１０の出力論理値は、リセット期間を除いて値「Ｈ」のまま固定されている。

【0053】

出力制御信号ＤＥＦの値が「Ｖ１」である間、出力ドライバ１２の入力は所定値に固定される。図４の（Ｆ）に示すタイムチャートは、所定値を入力する出力ドライバ１２の出力がオフになる状態を示している。出力制御信号ＤＥＦにより、時刻ｔ２のリセット信号ＲＳ生成後は、マイクロプロセッサ１０の出力に関わらず出力ドライバ１２の出力はオフになる。出力ドライバ１２の出力がオフである間は負荷４が動作しないため安全性が保たれる。

【0054】

しかしながら、図４の制御方法の例の場合、スイッチ３がオンになる時刻ｔ１からリセット信号ＲＳが生成される時刻ｔ２までの間、異常によって出力ドライバ１２の出力がオンになり、負荷４に誤動作の恐れが生じる。

【0055】

図５は、制御方法の更なる他の例を示す。図５の制御方法の例では、ウオッチドッグカウンタ信号ＷＤＣの入力が無くても、マイクロプロセッサ１０がスリープ状態の間は出力制御信号ＤＥＦの値を「Ｖ１」へ変化させない点で、図１〜図３を参照して上述した制御装置の動作と異なる。

【0056】

図５の（Ａ）〜図５の（Ｇ）は、スイッチ３のオンオフ、電源回路１１のオンオフ、スリープ信号ＳＬ、ウオッチドッグカウンタ信号ＷＤＣ、出力制御信号ＤＥＦ、マイクロプロセッサ１０の論理出力値、及び出力ドライバ１２の出力のタイムチャートを示す。

【0057】

時刻ｔ１においてスイッチ３がオンになり、電源回路がオンになることによってマイクロプロセッサ１０が動作を開始する。図４の（Ｄ）のタイムチャートはウオッチドッグカウンタ信号ＷＤＣの入力があることを示している。

【0058】

時刻ｔ１においてスイッチ３がオンになった直後の出力制御信号ＤＥＦの初期値は「Ｖ２」である。所定期間Ｔ０に亘ってウオッチドッグカウンタ信号ＷＤＣが入力されているので、時刻ｔ２においてリセット信号ＲＳは生成されない。このため、出力制御信号ＤＥＦの値は「Ｖ２」を維持する。

【0059】

図５の（Ｃ）に示すように、時刻ｔ３において、マイクロプロセッサ１０がスリープ状態になることによって、スリープ信号ＳＬの値は「Ｈ」から「Ｌ」に変化する。マイクロプロセッサ１０がスリープ状態になると、ウオッチドッグカウンタ信号ＷＤＣの入力が中断する。図５の制御方法の例の場合、スリープ状態中は、ウオッチドッグカウンタ信号ＷＤＣの入力が中断しても、出力制御信号ＤＥＦの値を「Ｖ１」へ変化させない。

【0060】

図５の（Ｆ）は、マイクロプロセッサ１０のスリープ状態中の異常により、時刻ｔ４において、マイクロプロセッサ１０の出力論理値が「Ｈ」になっている状態を示す。このとき、出力制御信号ＤＥＦの値は依然として「Ｖ２」のままなので、異常によって出力ドライバ１２の出力がオンになり、負荷４に誤動作の恐れが生じる。

【0061】

続いて、図１〜図３を参照して上述した制御装置における出力制御信号ＤＥＦの値の決定方法を説明する。図６は、出力制御信号ＤＥＦの値の決定方法の説明図である。なお、他の実施態様においては、下記のオペレーションＡＡ〜ＡＦの各オペレーションはステップであってもよい。

【0062】

オペレーションＡＡにおいて監視装置１５は、初期値「Ｖ１」を持つ出力制御信号ＤＥＦを出力する。オペレーションＡＢにおいて監視装置１５は、スイッチ３がオンになったか否かを判定する。スイッチ３がオフである場合（オペレーションＡＢ：Ｎ）、処理はオペレーションＡＡに戻る。スイッチ３がオンである場合（オペレーションＡＢ：Ｙ）、処理はオペレーションＡＣへ進む。

【0063】

オペレーションＡＣにおいて監視装置１５は、ウオッチドッグカウンタ信号ＷＤＣの入力が正常か否かを判定する。ウオッチドッグカウンタ信号ＷＤＣの入力が正常である場合、処理はオペレーションＡＥへ進む。ウオッチドッグカウンタ信号ＷＤＣの入力が正常でない場合、処理はオペレーションＡＤへ進む。

【0064】

オペレーションＡＤにおいて監視装置１５は、値「Ｖ１」を持つ出力制御信号ＤＥＦを出力する。その後処理をオペレーションＡＢへ戻す。オペレーションＡＥにおいて監視装置１５は、マイクロプロセッサ１０の動作モードが所定のモードであるか否かを判定する。所定のモードは、例えば上記説明したスリープ状態であってよい。マイクロプロセッサ１０の動作モードが所定のモードである場合（オペレーションＡＥ：Ｙ）、処理はオペレーションＡＤへ進む。マイクロプロセッサ１０の動作モードが所定のモードでない場合（オペレーションＡＥ：Ｎ）、処理はオペレーションＡＦへ進む。

【0065】

オペレーションＡＦにおいて、監視装置１５は、値「Ｖ２」を持つ出力制御信号ＤＥＦを出力する。その後処理をオペレーションＡＢへ戻す。

【0066】

続いて、図６の決定方法により決定される出力制御信号ＤＥＦによるマイクロプロセッサ１０の出力論理値の制御を説明する。図７は、図１〜図３を参照して上述した制御装置１において実施されるマイクロプロセッサ１０の出力論理値の制御を示す。

【0067】

図７の（Ａ）〜図７の（Ｇ）は、スイッチ３のオンオフ、電源回路１１のオンオフ、スリープ信号ＳＬ、ウオッチドッグカウンタ信号ＷＤＣ、出力制御信号ＤＥＦ、マイクロプロセッサ１０の論理出力値、及び出力ドライバ１２の出力のタイムチャートを示す。

【0068】

時刻ｔ１においてスイッチ３がオンになり、電源回路１１がオンになることによってマイクロプロセッサ１０が動作を開始する。また、図７の（Ｃ）に示すように、時刻ｔ３において、マイクロプロセッサ１０がスリープ状態になることによって、スリープ信号ＳＬの値は「Ｈ」から「Ｌ」に変化する。図７の（Ｄ）に示す通り、時刻ｔ１から時刻ｔ３までの間、ウオッチドッグカウンタ信号ＷＤＣが入力される。

【0069】

図７の（Ｅ）に示すように、出力制御信号ＤＥＦの初期値は「Ｖ１」であり、監視装置１５は、所定期間Ｔ１に亘ってウオッチドッグカウンタ信号が入力された時刻ｔ２に出力制御信号ＤＥＦの値を「Ｖ２」へ変化させる。

【0070】

このように、出力制御信号ＤＥＦの初期値を「Ｖ１」とすることにより、マイクロプロセッサ１０が動作を開始した直後にウオッチドッグカウンタ信号の入力が正常か否か判定するまでの間、誤って出力ドライバ１２を動作させてしまう問題が解消される。

【0071】

図７の（Ｅ）に示すように、時刻ｔ３においてマイクロプロセッサ１０がスリープ状態になると、監視装置１５は出力制御信号ＤＥＦの値を「Ｖ１」へ変化させる。その後の時刻ｔ４において、マイクロプロセッサ１０のスリープ状態中の異常によって、マイクロプロセッサ１０の出力論理値が「Ｈ」になる（図７の（Ｆ））。

【0072】

図７の（Ｅ）に示すように、時刻ｔ４において出力制御信号ＤＥＦの値は「Ｖ１」なので、出力ドライバ１２に入力される論理値は、出力ドライバ１２の出力をオフにするように定められた所定値に固定される。このため出力ドライバ１２の出力はオフのまま保たれ、安全性が確保される。

【0073】

本実施例によれば、スリープ状態などの、ウオッチドッグカウンタ信号の出力がないことが予定されている所定の動作モード中にマイクロプロセッサ１０に異常が発生した場合でも、負荷を制御するマイクロプロセッサ１０の出力論理値を所定値に固定できる。このため、所定の動作モード中に生じた異常によって負荷が危険側に動作することが防止できる。

【0074】

また、ウオッチドックカウンタ信号の異常時、及びマイクロプロセッサの所定の動作モード時のどちらでも出力論理値を固定する場合に、ウオッチドックカウンタ信号の監視により出力論理値を固定する処理と、所定の動作モード時に出力論理値を固定する処理との間で、出力論理値を固定する回路を兼用することができる。このため回路構成が簡素化される。

【0075】

次に、出力制御回路１６の他の構成例を説明する。Ａ点に与える上記所定値は、出力ドライバ１２に所定値が入力された場合に負荷４が安全側に動作するように、任意に定めてよい。したがって、出力ドライバ１２や負荷４に応じて適切な値が所定値として選択される。このため、所定値として、上記の例のように論理値「Ｌ」に対応する電位だけでなく論理値「Ｈ」に対応する電位を使用する場合もある。以下の構成例では、Ａ点の電位を論理値「Ｈ」に対応する所定値に固定する。図８は、図２に示す出力制御回路１６の第２例を示す図である。

【0076】

出力制御回路１６は、スイッチング素子３０及び３２と、抵抗３１を備える。トランジスタ３０のコレクタは抵抗３１を介して所定の正電位が与えられ、エミッタは接地され、出力制御信号ＤＥＦはトランジスタ３０のベースに入力される。トランジスタ３０のコレクタ電圧はトランジスタ３２のベースに入力され、論理値「Ｈ」に対応する電位にコレクタエミッタ間電圧に対応する電位差を加えた電位がトランジスタ３２のコレクタに与えられる。このようにトランジスタ３０及び３２を接続することにより、制御線１８が接続されるトランジスタ３２のエミッタは、出力制御信号ＤＥＦの論理値に応じて論理値「Ｈ」に対応する電位に接続される。

【0077】

上記の実施例では、監視装置１５はマイクロプロセッサ１０がスリープ状態であるとき、値「Ｖ１」の出力制御信号ＤＥＦを出力する。これに代えて又はこれに加えて、監視装置１５は、他の所定の動作モードの場合に値「Ｖ１」の出力制御信号ＤＥＦを出力するように構成されてもよい。例えば、監視装置１５は、マイクロプロセッサ１０がウオッチドックカウンタ信号ＷＤＣを出力しないことが予定されている他の所定の動作モードにおいて、値「Ｖ１」の出力制御信号ＤＥＦを出力してよい。このような動作モードとして、例えば、マイクロプロセッサ１０内の不揮発性メモリの書き換えを行う動作モードがある。

【符号の説明】

【0078】

１ 制御装置
１４ 出力遮断部
１５ 監視装置
１６ 出力制御回路
２０ 電源低下検知部
２１ 第１監視部
２２ 第２監視部
２３ 論理回路
２４ 制御信号生成部
２５ リセット信号生成部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】