CN1300735C - 车载电子控制装置 - Google Patents

Abstract

本发明提供车载电子控制装置，用EEPROM等容易电改写的非易失性存储器构成数据存储器，同时实施该数据存储器的存储内容发生异常时的异常判断和异常对策。上述车载电子控制装置还具有基准数据存储器、数据存储器异常判断手段和对RAM存储器的至少两个传送手段。基准数据存储手段存储对数据存储器进行写入的可变控制常数数据的基准数据。数据存储器异常判断手段判断在数据存储器中写入的可变控制常数数据是否正常。第1传送手段将可变控制常数数据从数据存储器传送到RAM存储器将其写入。第2传送手段从基准数据存储器对RAM存储器写入基于基准数据的推定可变控制常数数据。

Description

车载电子控制装置

技术领域

本发明涉及例如进行汽车发动机燃料供给或供气用的节流阀的开关控制等的车载电子控制装置，尤其涉及与微处理器一起使用并且写入各种可变控制常数数据的非易失性数据存储器中，使该数据存储器发生异常时的代替运转成为可能的改进的车载电子控制装置。

背景技术

具有从外部工具写入受控车型对应的控制程序和控制常数等的非易失性程序存储器、写入可变控制常数数据的非易失性数据存储器、运算处理用的RAM存储器以及连接所述程序存储器、所述数据存储器和所述RAM存储器的微处理器，并且根据来自车载传感器群的输入信号以及所述程序存储器和所述数据存储器的内容控制车载电气负荷群的车载电子控制装置中，用EEPROM等容易电写入的非易失性数据存储器构成所述数据存储器，并且对该数据存储器写入各种学习数据、车辆固有数据、分析维护数据等，作为有效运行控制数据和利用外部工具进行诊断的数据有效利用，这种情况已广泛付诸实用。

日本特开2001-182607号公报和日本特开平10-252547号公报揭示的“车辆控制装置”中阐述的对策可改善以下情况。即，为了消除控制对象随时间变化或个体间差别等影响，而评价过去的控制结果，并修改控制参数和控制逻辑用的学习数据，从RAM存储器写入并保存到EEPROM存储器，以应对蓄电池布线断路或蓄电池电压异常降低的过程中，可能偶然切断电源开关的情况。

日本特开2000-185606号公报揭示的“车载电子控制单元和该电子控制单元的交换方法”阐述了这样的情况，即对EEPROM等非易失性数据存储器写入VIN码(车辆固有数据)，因发生不便等而交换、装配车载电子控制单元时，改善其操作性。

日本特开平8-121238号公报揭示的“车辆信息存储装置”阐述了这样的情况，即为了在EEPROM写入并保存长期的分析维护数据而每规定周期提取并存储所需数据的手段。

此外，有关本发明，日本特开2000-257502号公报中揭示的“汽车用电子控制装置”阐述了这样的情况，即切断电源开关使车辆运转停止后，电子控制装置的电源延迟切断，并且在该期间将RAM存储器的数据适当分开写入到构成作为程序存储器的快速擦写存储器和数据存储器双方或某一方的EEPROM。

特开2001-227402号公报中揭示的“车载电子控制装置”阐述了这样的情况，即减轻微处理器负担，同时求程序存储器的校验和(checksum)。

专利文献1：特开2001-182607号公报

专利文献2：特开平10-252547号公报

专利文献3：特开2000-185606号公报

专利文献4：特开平8-121238号公报

专利文献5：特开2000-257502号公报

专利文献6：特开2001-227402号公报

已有技术存在问题的说明

这些已有技术均涉及车载电子控制装置中EEPROM存储器等非易失性数据存储器的有效利用和对该数据存储器的存储数据写入方法和写入定时的改善，没有谈到万一非易失性数据存储器保存的数据异常时的处理。

非易失性数据存储器存储的数据仅为过去的履历信息，只要是内容不影响当前或今后的运转控制的数据，则安全上没有问题，但存放对微处理器工作有影响的可变控制常数数据时，安全上存在问题。

发明内容

本发明的目的是，改善上述问题，并提供一种车载电子控制装置，该装置通过采取非易失性数据存储器异常诊断和异常时的对策手段，能提高车辆控制的安全性，同时扩大非易失性数据存储器的有效利用及其有效利用范围。

本发明的一种车载电子控制装置，具有至少写入与受控车辆对应的控制程序的非易失性程序存储器、至少写入可变控制常数数据的非易失性数据存储器、运算处理用的RAM存储器和连接所述程序存储器、所述数据存储器及所述RAM存储器的微处理器；并根据来自车载传感器群的输入信号、在所述程序存储器写入的控制程序和在所述数据存储器写入的可变控制常数数据，控制车载电气负荷群；该车载电子控制装置还具有基准数据存储器，所述程序存储器包含作为对所述数据存储器的数据存储器异常判断单元和对所述RAM存储器的第1和第2传送单元的控制程序；所述基准数据存储器由存放在所述数据存储器写入的可变控制常数数据的基准数据的，可电写入的非易失性存储器构成；所述数据存储器异常判断单元具备能够判断在所述数据存储器写入的可变控制常数数据是否正常的结构；所述第1传送单元是在所述数据存储器异常判断单元判断为所述数据存储器写入的可变控制常数数据正常时起作用，从所述数据存储器向所述RAM存储器传送并写入可变控制常数数据的单元；又，所述第2传送单元是在所述数据存储器异常判断单元判断为所述数据存储器写入的可变控制常数数据异常时起作用，从所述基准数据存储器对所述RAM存储器写入基于所述基准数据的推定可变控制常数数据的单元；所述微处理器根据在所述RAM存储器写入的可变控制常数数据或推定可变控制常数数据，控制所述车载电气负荷群。

根据上述组成，即使数据存储器异常时，也可用传送并写入RAM存储器的推定可变控制常数数据运转车辆。而且，也可在容易改写的非易失性数据存储器预先存放安全上和性能上重要的可变控制常数数据。又，利用学习手段将微处理器改写并校正的RAM存储器内的可变控制常数数据传送并盖写在数据存储器内加以保存，以此可以根据校正后的可变控制常数数据进行更有效的车辆控制。

本发明的另一种车载电子控制装置，具有至少写入与受控车辆对应的控制程序的非易失性程序存储器、至少写入可变控制常数数据的非易失性数据存储器、运算处理用的RAM存储器和连接所述程序存储器、所述数据存储器及所述RAM存储器的微处理器；并根据来自车载传感器群的输入信号、在所述程序存储器写入的控制程序和在所述数据存储器写入的可变控制常数数据，控制车载电气负荷群，所述数据存储器具有第1、第2数据存储器，该第1、第2数据存储器在结构上做成相互重复地写入多个可变控制常数数据的至少一部分；所述车载电子控制装置还具有基准数据存储器，所述程序存储器包含作为对所述第1、第2数据存储器的数据存储器异常判断单元和对所述RAM存储器的第1、第2和第3传送单元的控制程序；所述基准数据存储器由对所述第1、第2数据存储器写入的多个可变控制常数数据分别写入的多个基准数据的可电写入的非易失性存储器构成；所述数据存储器异常判断单元具有能够判断在所述第1、第2数据存储器写入的多个可变控制常数数据各自是否正常的结构；所述第1传送单元是在所述数据存储器异常判断单元判断为所述第1、第2数据存储器写入的可变控制常数数据均正常时起作用，从所述第1和第2数据存储器中的一个对所述RAM存储器传送并写入可变控制常数数据的单元；所述第2传送单元是在所述数据存储器异常判断手段判断为所述第1、第2数据存储器写入的可变控制常数数据均异常时起作用，从所述基准数据存储器对所述RAM存储器写入基于所述基准数据的推定可变控制常数数据的单元；而所述第3传送单元是在所述数据存储器异常判断单元判断为所述第1、第2数据存储器写入的可变控制常数数据的任意一个异常时起作用，将该正常的一方的数据存储器中写入的可变控制常数数据传送并写入到所述RAM存储器的单元；所述微处理器根据所述RAM存储器中写入的可变控制常数数据或推定可变控制常数数据，控制所述车载电气负荷群。

根据以上组成，即使第1、第2数据存储器异常时，也可用写入RAM存储器的推定可变控制常数数据使其车辆运转。而且，也可在容易改写的非易失性的第1、第2数据存储器预先存放安全上和性能上重要的可变控制常数数据。又，利用学习手段将微处理器改写并校正的RAM存储器内的可变控制常数数据传送并盖写在数据存储器内加以保存，因而能根据校正后的可变控制常数数据进行更有效的车辆控制。

附图说明

图1是本发明实施形态1的总体组成框图。

图2是说明图1所示实施形态1的运作的流程图。

图3是本发明实施形态2的总体组成框图。

图4是说明图3所示实施形态2的运作的流程图。

附图中，100a、100b为车载电子控制装置，101为通断型车载传感器群，102为模拟型车载传感器群，103为车载电气负荷群，104为外部工具，106a为异常告警·显示器，106b为负荷电源继电器，107为电源开关，110为微处理器，111为程序存储器，111a为程序存储器，111b为基准数据存储器，112为数据存储器，112a为第1数据存储器，112b为第2数据存储器，112c为基准数据存储器，113为RAM存储器，118为控制电源单元，119为电源检测电路，120为监视时钟(watchdog timer)，121a为计数器(计数电路)，121b为异常存储手段，122为驱动停止电路，ER1为出错输出(数据存储器异常)，ER2为出错输出(复位手段)，ER3为出错输出(复位手段)，RST为复位信号输出，WD为监视信号，202、402为系统异常判断手段，205、405为丢失·混入检测手段(异常检测手段)，207、407为频带比较手段(异常判断手段)，209为第1传送手段，409a为第1、第3传送手段，409b为相互传送手段，211、411a、411b为异常履历存储手段(EEPROM)，213、413为第2传送手段，220、420为丢失·混入检测手段，221、421为一致性判断手段，222、422为频带比较手段，224、424为RAM异常检测手段，225、425为异常履历存储手段(RAM)，230、430为异常履历存储手段(FMEM)，241、441为退避处理手段，242为电源延迟切断电路。

具体实施方式

实施形态1

(1)实施形态1的组成详细说明

以下对图1即表示本发明车载电子控制装置实施形态1的总体组成框图进行说明。

图1用虚线方框示出实施形态1的车载电子控制装置100a。该车载电子控制装置100a具有示于该虚线框周围的外部设备和示于该虚线框内部的内部设备。该内部设备装在1块电路板上收入密封框体。

首先，车载电子控制装置100a的外部设备包含通断型(数字型)车载传感器群101、模拟型车载传感器群102、通断型车载电气负荷群103、外部工具104、车载电池105、异常告警·显示器106a、负荷电源继电器106b、电源开关107和电源继电器108a。

通断型车载传感器群101包含例如发动机旋转传感器、曲柄角传感器、车速传感器等。模拟型车载传感器群102包含例如加速位置传感器、节流阀位置传感器、水温传感器、排气氧浓度传感器、气流传感器等。通断型车载电气负荷群包含例如发动机点火线圈、燃料喷射控制用电磁阀、供气节流阀开度控制用电动机等。外部工具104用于在车载电子控制装置100a出厂时或维护检修时，通过装卸连接器(未示出)连接车载电子控制装置100a，对后文说明的非易失性程序存储器111a传送并写入控制程序和控制常数，或者读出车载电子控制装置100a的内部状态以进行检修。

负荷电源继电器106b具有输出节点(未示出)。电源开关107是例如点火开关。电源继电器108a具有输出节点108b、108c。电源继电器108a以和电源开关107的闭路动作连动的方式，从车载电池105得到通电，使输出节点108b、108c导通。输出节点108c的导通使车载电气负荷群103的电源电路闭路，输出节点108b的导通使从车载电池105到车载电子控制装置110a的控制电源单元118的供电电路闭路。

车载电池105与车载电子控制装置100a的控制电源单元118之间除输出节点108b外，还设置电源开关107和直接连接电路，使电源开关107开路时，也进行休眠供电。部分车载电气负荷群103通过负荷电源继电器106b的输出节点(未示出)使电源电路闭路。

车载电子控制装置100a的内部设备包含微处理器110、程序存储器111a、数据存储器112、RAM存储器113、接口电路114、115、116和117、控制电源单元118、电源检测电路119、监视时钟120、计数器(计数电路)121a以及驱动停止电路122。

微处理器110例如是32位的微处理器。程序存储器111a用快速擦写存储器组成的非易失性存储器构成。该快速擦写存储器为大容量存储器，能借助外部工具104成批电擦除或写入几字节的数据。

数据存储器112用EEPROM组成的非易失性存储器构成，即使不用外部工具104写入和擦除信息，由微处理器110以1字节为单位按电气方式进行该擦写，与上述快速擦写存储器相比，容量小且比较贵。

EEPROM比RAM存储器所需写入时间长，因而至少在发动机高速旋转时难以从微处理器写入，需要在低速旋转或发动机停止时进行写入。

RAM存储器113是随机存取存储器，用于运算处理。程序存储器111a通过双向总线连接微处理器，数据存储器112通过双向串行总线连接微处理器110，RAM存储器113通过双向总线连接微处理器110。

程序存储器111a的组成部分包含基准数据存储器。该基准数据存储器结构上使用程序存储器111a的部分存储区。

接口电路114是连接通断型车载传感器群101和微处理器110的数字输入接口电路，由信号电压电平变换电路、噪声滤波器、数据选择器等构成。接口电路115是连接模拟型车载传感器群102和微处理器110的模拟输入接口电路，由噪声滤波器、多通道AD变换器、数据选择器等构成。接口电路116是连接车载电气负荷群103和微处理器110的输出接口电路，由输出锁存器、功率晶体管构成。接口电路117是串联外部工具104的工具接口电路，外部工具104用该工具接口电路117连接微处理器110。

控制电源单元118从车载电池105接受直接供电，还通过电源开关107或电源继电器108a的输出接点108b从车载蓄电池105接受供电。该控制电源单元118产生车载电子控制装置100a内使用的稳定控制电源输出。

电源检测电路119检测出电源开关107闭路，对计数器(计数电路)121a的复位输入R提供脉冲输出，使该计数器的当前计数值初始化为0，同时清除计数器输出。

监视时钟120监视微处理器110产生的作为监视信号WD的脉冲串，并且在该信号WD的脉冲宽度超过规定值时，产生复位信号输出RST，使微处理器110重新启动。

计数器(计数电路)121a是具有计数输入C和复位输入R的计数器，并且该计数器121a在计数输入C的逻辑电平从低电平(L)变化到高电平(H)的次数为规定值以上时，产生计数输出。该计数器121a的计数输入C上连接微处理器110产生的出错输出ER2和监视时钟120的复位信号输出RST。

驱动停止电路122用逻辑电路，具体地说是逻辑积元件构成，该逻辑积元件的输入上连接计数器121a的计数输出的逻辑反相输入和微处理器110的负荷电源驱动输出DR2，驱动停止电路122的输出上连接负荷电源继电器106b。

异常告警·显示器106a由微处理器110产生的出错输出ER1驱动。

车载电子控制装置100a还包含作为驱动电路元件的NPN晶体管123、电阻124、125和126。晶体管123的集电极端子连接电源继电器108a的电磁线圈。电阻124的一端通过电源开关107连接车载电池105，另一端连接晶体管123的基极端子。电阻124是第1驱动电阻，在电源开关107闭路时，使晶体管123导通。电阻125是稳定电阻，连接在晶体管123的基极与发射极端子之间。电阻126是第2驱动电阻，将微处理器110的驱动输出DR1连接到晶体管123的基极端子，借助微处理器110产生的驱动输出DR1使晶体管123导通。电源开关107一闭路，电源继电器108a就动作，使微处理器110工作，从而产生驱动输出DR1时，即使电源开关107开路，也能使电源继电器108a保持动作，直到驱动输出DR1的输出停止。

结构上还做成即使电源继电器108a通电，也让负荷电源继电器106b不通电，因而也能停止诸如吸气节流阀开关驱动电机等对车辆安全行驶影响重大的部分车载电气负荷的供电。这时，即使负荷电源继电器106b不通电，也利用电源继电器108a的通电，控制成有效利用燃料喷射控制和发动机点火控制等基本功能，利用该控制确保车辆的退避运转。

(2)实施形态1的作用和运作详细说明

下面对图1那样组成的本发明实施形态1说明其作用和运作。

图1中，微处理器110根据通断型车载传感器群101的工作状态、模拟型车载传感器群102的信号电平以及程序存储器111a和数据存储器112及RAM存储器113的记录内容，控制车载电气负荷群103。程序存储器111a和数据存储器112上预先从外部工具104写入控制程序和控制常数。除控制程序外，程序存储器111a上还写入固定控制常数。

数据存储器112上预先写入第1、第2和第3数据，同时还在后文说明的退避处理工序中写入异常履历信息。该第1数据是车载电子控制装置100a的控制装置固有数据。该控制装置固有数据是校正值数据，用于例如校正该车载电子控制装置内置的恒压电源装置的输出电压精度、AD变换器的变换精度等部件偏差，虽然对于各车载电子控制装置100a该值不同，但在各车载电子控制装置100a出厂测试阶段一旦作为初始值存放，就是以后不变化的半固定可变控制常数。

数据存储器112中写入的第2数据是车辆固有数据，第3数据是学习记忆数据。

该车辆固有数据是选定装载该车载电子控制装置100a的车辆的控制规格用的车型数据或该车载电子控制装置100a上外部连接的车载传感器的特性精度信息等环境数据，装载到车辆前未确定，根据装载的车辆决定。该车辆固有数据在装载到多部车辆的各车载电子控制装置100a中，是相互不同的值，但一部车辆装载的一套车载电子控制装置100a中，相应于该装载车辆将其作为初始值存放，并且一旦存放，就是以后不变的半固定可变控制常数数据。

数据存储器112中作为第3数据写入的学习记忆数据是作为车辆运转特性实测结果取得的运转控制数据或有关车载传感器、电气负荷特性劣化等的变动数据，并且是设想在运转开始时作为初始值暂时存放后，根据与车辆运转经历对应的学习效果在规定范围内变动的流动的可变控制常数数据。具体而言，这些可变控制常数数据从外部工具104预先写入其初始值，但在控制装置出厂检查时、装载到真车首次通电时和车辆实用运转中，由微处理器110自动选取，通过RAM存储器113退避并保存到数据存储器112。

实施形态1中，程序存储器111a内的基准数据存储器11b上从外部工具104预先写入基准数据。该基准数据包含对所述控制装置固有数据和车辆固有数据中至少一方的固有数据以及所述学习记忆数据的上下限值数据。该上下限值数据是诸如12.3～14.5那样的数据，是具有对可变控制常数数据的允许变动幅度的数据。该上下限值数据可代之以包含所述可变控制常数数据的代表值和关于该代表值的允许变动幅度的变动数据。该代表值和对于该代表值的变动数据是例如13.1(-0.8～+1.4)那样的数据。13.1是代表值，(-0.8～+1.4)是该代表值的允许变动数据。

数据存储器112存储的数据存在异常时，微处理器110的出错数据ER1(数据存储器异常)使异常告警·显示器106a工作。程序存储器111a和基准数据存储器111b的存储信息存在异常时，产生出错输出ER2(复位手段)，使微处理器110复位后，重新启动，同时用计数器121a对重新启动进行计数，该计数值超过规定值时，切断负荷电源继电器106b。

监视时钟120监视微处理器110产生的监视信号WD，该信号WD的宽度如果存在异常，则使微处理器110复位后重新启动，同时计数器121a将其与出错输出ER2合在一起计数。

即使切断负荷电源继电器106b，也可利用电源继电器108a的接点108c使发动机燃料喷射用电磁阀和点火线圈动作，能进行安全的退避运转。作为微处理器110复位、重新启动的原因的异常为重复发生暂时性噪声的情况下，如果暂时切断电源开关107后重新启动，电源检测电路119可使计数器121a复位，可恢复负荷电源继电器106b的动作。

对晶体管123的第2驱动电阻126用于电源开关107开路后延迟规定时间切断对车载电子控制装置100a的供电，该延迟时间内，对数据存储器112写入并保存RAM存储器存放的可变控制常数数据和后文说明的异常履历数据等。

下面参照图2所示运作说明用流程图说明图1那样组成的实施形态1的运作。该图2所示的流程图示出微处理器110对程序存储器111a、基准数据存储器111b、数据存储器112和RAM存储器113进行的异常诊断操作和伴随异常的对策处理操作。

图2中，工序200是运作开始工序，涉及微处理器110对各存储器111a、111b、112、113的异常诊断操作和异常时的对策处理。工序201a在工序200后接着起作用，是判断电源开关107是否导通的判断工序。工序201b是首次操作判断工序，在工序201a中电源开关107导通，因而在判断工序201a判断为“是”时起作用，并且根据后文说明的工序201c设定的首次操作标记是否置位(set)，判断是否首次操作。工序202是系统异常判断工序，在判断工序201b中作判断首次操作时起作用，对包含基准数据存储器111b的程序存储器111a内存放的全部信息进行总和校验，检测各信息中是否有位信息丢失、混入。

利用工序202进行的总和校验操作通常包含奇偶校验功能，这些总和校验所需的总和数据存放在存储器111a和111b中。可用奇偶校验代替总和校验。

工序203是工序202后接着起作用的判断工序，判断包含基准数据存储器111b的程序存储器111a中存放的控制程序和基准数据是正常还是异常。该判断工序203在包含基准数据存储器111b的程序存储器111a存储的信息中不存在位信息丢失、混入等异常，判断为“是”时，转至工序201c，而在发生异常并且判断为“否”时，转至工序230。工序201c是首次操作存储用的标记设定工序，工序204是工序201c后接着起作用的驱动输出工序。该驱动输出工序204中，微处理器110产生电源继电器驱动输出DR1和负荷电源继电器驱动输出DR2。工序205是工序204后接着起作用的对数据存储器112的异常检测工序，该异常检测工序205对写入数据存储器112内的全部数据进行总和校验操作，检测这些数据中是否存在位信息丢失、混入。该工序205进行的总和校验也可代之以奇偶校验。该总和校验需要的总和数据写在数据存储器112中。

工序206是工序205后接着起作用的判断工序，该判断工序206在数据存储器112内的数据不发生位信息丢失、混入等异常，判断为“是”时，转移至工序207，而存在异常，判断为“否”时，转至工序211。工序207是频带比较工序，判断数据存储器112内写入的可变控制常数数据是否基准数据存储器111b内存放的基准数据，即是否该可变控制常数数据的上下限值范围内的值。

工序208是工序207后接着起作用的频带一致性判断工序，根据工序207进行的频带比较，可变控制常数数据在其上下限值以内时，判断为“是”，并转至工序209，而发生可变控制常数数据在该上下限值以外的异常时，判断为“否”，并转至工序211。工序205、206、207、208是对数据存储器112的数据存储器异常判断工序。

工序209是对RAM存储器113传送并写入数据存储器112内存储的数据的第1传送工序。工序210是工序209后接着起作用的运作结束工序，微处理器110在运作结束工序210进行其他控制操作后，再次转移到运作开始工序200。

工序211是异常履历存储工序，在工序205中数据存储器112的异常判断结果为异常时和工序207中频带比较存在异常时，存储这些信息。工序212在工序211后接着起作用，是产生出错输出ER1的工序。工序213是工序212后接着起作用的第2传送工序，将该第2传送工序将基准数据存储器111b存放的基准数据，即可变控制常数数据的上下限值数据的平均值或该可变控制常数数据的代表值，作为推定可变控制常数数据，传送并写入到RAM存储器113。该第2传送工序213转移到运作结束工序210。

工序220是判断工序201b判断为不是首次操作时起作用的异常检测工序，并且是对RAM存储器113的位信息异常检测工序。该异常检测工序220对RAM存储器113内存放的数据中至少由工序209和工序213传送并写入的可变控制常数数据的写入区进行总和校验操作，检测其是否存在位信息丢失、混入。该工序220进行的总和校验也可代之以奇偶校验。该总和校验需要的总和数据写入RAM存储器113，尤其写入工序209和工序213传送并写入的可变控制常数数据的写入区。

工序221是工序220后接着起作用的一致性判断工序，该一致性判断工序221检测数据存储器112和RAM存储器113中写入的可变控制常数数据与后文说明的履历信息数据是否相互一致。

但是，RAM存储器113内的可变控制常数数据和后文说明的履历信息数据由于伴随有学习校正和履历变化，因而变化标记(未图示)动作时不进行一致性判断；由后文说明的工序241进行对数据存储器112的退避传送时，上述变化标记复位。

工序222是工序221后接着起作用的频带比较工序，检测传送并写入到RAM存储器113的可变控制常数数据是否写入基准数据存储器111b内的基准数据，即是否该可变控制常数数据的上下限值数据以内的值。工序223是工序222后接着起作用的判断工序，如果工序220至工序222中全部检测结果正常，并且工序223判断为“是”，则转移至运作结束工序210，而从工序220至工序222的某一工序的检测结果如果有异常，则转移至工序225。工序224是由工序220至工序222组成的RAM异常检测工序块，工序225是异常履历存储工序，具有能够在利用工序块224进行的RAM存储器113的异常判断结果为异常时存储该信息，并且接着工序225后，转至判断工序206的结构。

工序230是含基准数据存储器111b的程序存储器111a的异常履历存储工序，系统异常判断工序202每次进行含基准数据存储器的程序存储器111a的异常判断时如果其判断结果为异常，则将表示该异常的内容的代码号连同该异常的发生次数一起存储。工序231在工序230后接着起作用，是产生出错输出ER2的工序，出错输出ER2使微处理器110复位后重新启动，同时使计数器121a对出错输出ER2的发生次数进行计数。结构上做成能够在工序231后转至运作结束工序210。

工序241是在判断工序201a中判断为电源开关107的导通变成截止时起作用的退避处理工序。该工序241将RAM存储器存放的作为各种学习数据、即可变控制常数数据和工序211、工序225、工序230的异常履历信息传送到数据存储器112进行保存。工序242在工序241后接着起作用，是使驱动输出DR1和DR2停止的工序。工序242后，转至运作结束工序210。

下面概括地再次说明以上的运作。接通电源开关107的首次运作中，利用工序202进行含基准数据存储器111b的程序存储器111a的异常诊断，又利用工序205进行数据存储器112的异常诊断。

相当于系统异常判断手段的工序202检测出异常时，在工序231产生出错输出ER2，并且如图1所示，使微处理器110复位后重新启动，又由计数器121a对异常发生进行计数并累加。

作为对含基准数据存储器111b的程序存储器111b的异常履历存储手段的工序230，存储表示异常内容的代码号和异常发生次数。利用工序231产生出错输出ER2，同时使微处理器复位后重新启动。出错输出ER2的发生次数和监视时钟120的复位信号输出RST的发生次数的总和超过规定值时，图1的计数器121a递增计数，并且切断负荷电源继电器106b。

相当于数据存储器112的异常判断手段的工序205和工序207中检测出异常时，作为异常履历存储手段的工序211中，存储表示该异常内容的代码号和异常发生次数，并且由工序211产生出错输出ER1，使图1的异常告警·显示器106a工作，同时利用作为第2传送手段的工序213将作为基准数据平均值或代表值的推定可变控制常数数据从基准数据存储器111b写入RAM存储器113。

相当于数据存储器112的异常判断手段的工序205如果检测出异常，则利用作为频带比较手段的工序207判断数据存储器112存储的可变控制常数数据是否基准数据存储器111b存放的基准数据范围内的值，如果频带不一致，即该数据为基准数据范围以外的值，则由工序212产生出错输出ER1，使图1的异常告警·显示器106a工作，同时利用作为第2传送手段的工序213将基准数据，即作为可变控制常数数据的上下限值的平均值或作为代表值的推定可变控制常数数据从基站数据存储器111b写入RAM存储器113。

作为频带比较手段的工序207判断如果正常，则转至作为第1传送手段的工序209，将数据存储器112内的含可变控制常数数据的数据传送到RAM存储器113进行写入。

如上所述，在对RAM存储器113写入可变控制常数数据后，由作为RAM异常检测手段的工序块224定期进行RAM存储器113的诊断，如果RAM存储器113中写入的可变控制常数数据存在异常，则在作为异常履历存储手段的工序225存储表示该异常的内容的代码号和异常发生次数，并且根据数据存储器112的状态，利用工序209和工序213再次进行对RAM存储器113的写入处理。

一旦切断电源开关107，就利用作为退避处理手段的工序241将异常履历信息和各种学习数据(即可变控制常数的数据)传送到数据存储器112加以保存，接着利用作为电源延迟切断手段的工序242使电源继电器驱动输出DR1和负荷电源继电器驱动输出DR2停止。

(3)实施形态1的效果的说明

这样，实施形态1具有基准数据存储器111b、对非易失性数据存储器112的数据存储器异常判断手段205、206、207和208、以及对RAM存储器113的第1、第2传送手段209、213，所述数据存储器异常判断手段206、208将数据存储器中写入的可变控制常数数据判断为正常时，从所述数据存储器112对所述RAM存储器113传送并写入可变控制常数数据，而在将数据存储器112中写入的可变控制常数数据判断为异常时，从基准数据存储器111b对RAM存储器113写入基于基准数据的推定可变控制常数数据。根据基于这种结构，即使数据存储器112异常时，也可用RAM存储器113中写入的推定可变控制常数数据使车辆运转。同时，安全上和性能上重要的可变控制常数数据也可以预先存放并保存在容易改写的非易失性数据存储器112中，因而能用学习手段校正RAM存储器113内的可变控制常数数据，并且根据该校正的可变控制常数数据进行更有效的车辆控制。

实施形态1中，程序存储器111a和基准数据存储器111b用非易失性快速擦写存储器构成，数据存储器112用非易失性EEPROM构成，因而能方便地在数据存储器112中修改可变控制常数数据，并且基准数据存储器111b与程序存储器111a一起使用同一快速擦写存储器，结构简单。

实施形态1中，基准数据包含对于可变控制常数数据的上下限值数据，能一边诊断数据存储器112和RAM存储器113中写入的可变控制常数数据是否在该上下限值数据的频带内，一边安全地进行车辆运转控制。

基准数据为对数据存储器112和RAM存储器113中写入的可变控制常数数据的代表值及其变动数据的情况下，同样也能一边诊断可变控制常数数据是否在该变动数据的频带内，一边安全地进行车辆运转控制。

实施形态1，其数据存储器112存储的可变控制常数数据存储控制装置固有数据或车辆固有数据中的至少一种的固有数据以及学习记忆数据，所述控制装置固有数据为控制装置100a的组成部件的校正值数据，而车辆固有数据包含车辆的车型数据和车载传感器的环境数据中的至少一种的数据，学习记忆数据包含装载控制装置100a的车辆的运转控制数据和有关车载电气负荷特性劣化的变动数据中至少一种的数据，基准数据存储器111b中存放的基准数据包含对于可变控制常数数据的上下限值数据或可变控制常数数据的代表值及其允许变动幅度数据中的一种。因此，利用RAM存储器113和数据存储器112能一边改写并保存多种可变控制常数数据，一边安全而且有自由度地控制车辆。

实施形态1中，对数据存储器112的数据存储器异常判断手段具有位信息丢失·混入检测手段205和频带比较手段207，该比较手段207对写入数据存储器112的可变控制常数数据和写入基准数据存储器111b的基准数据进行比较，比较写入数据存储器112的可变控制常数数据是否在基准数据的允许范围内。位信息丢失·混入检测手段205和频带比较手段207判断写入数据存储器112的可变控制常数数据是否正常。因此，可从位信息丢失、混入和频带比较两方面可靠地诊断写入数据存储器112的可变控制数据。

又，所述位信息丢失·混入检测手段205包含数字位的总和校验或奇偶校验，因而能简便地检测出位信息的丢失、混入。

实施形态1具有对RAM存储器113的RAM异常检测手段224，该检测手段224具有位信息丢失·混入检测手段220、判断传送并写入RAM存储器113的可变控制常数数据与数据存储器112内的可变控制常数数据一致性的一致性判断手段221以及对基准数据的频带比较手段222；该RAM异常检测手段224判断为写入RAM存储器113的可变控制常数数据异常时，由数据存储器异常判断手段205、206、207、208进行数据存储器112的异常判断，并且根据其结果，由第1、第2传送手段209、213中任一个进行对RAM存储器113的传送和写入。因此，如果写入RAM存储器113的可变控制常数数据正常，则不随便对RAM存储器113进行可变控制常数数据的传送和写入，可减小由发生异常的数据存储器112进行异常可变控制常数数据写入的危险性。

实施形态1具有响应对于数据存储器112的数据存储器异常判断手段205、206、207、208的异常告警·显示器106a。该异常告警·显示器106a通报微处理器110根据利用第2传送手段213从基准数据存储器111b写入到RAM存储器113的推定可变控制常数数据，控制车载电气负荷103的情况，因而操作者能确实了解数据存储器112的异常。即使数据存储器112的可变控制常数数据存在异常，并且进行基于写入RAM存储器113的推定可变控制常数数据的运转，操作者却未发觉该数据存储器112异常，认为是在例如燃耗和排气净化并非最佳状态下运转，但异常告警·显示器106a能够明确指出数据存储器112异常，促使维护检修，并且能谋求提高安全性。

实施形态1还具有异常履历存储手段211、225和230、退避处理手段241以及电源延迟切断手段242。异常履历存储手段211、异常履历存储手段225、异常履历存储手段230分别将数据存储器112、RAM存储器113、含基准数据存储器111b的程序存储器111a各自的异常发生及其异常内容存储到RAM存储器113。退避处理手段241将利用异常履历存储手段221、225、230存储到RAM存储器113的异常信息与学习校正后的可变控制常数数据一起传送到数据存储器112加以保存。电源延迟切断手段242从电源开关107开路后至少延迟退避处理手段241完成退避处理为止的延迟时间，才将控制电源118切断。因此，在电源开关107开路并且完成车辆控制的时刻，将由异常履历存储手段211、225、230存储在RAM存储器113的异常履历信息与学习校正后的可变控制常数数据一起退避到数据存储器112，使异常履历信息能够保存，即使从车载电池105取出后，车载电子控制装置100a也可用外部工具104详细分析异常履历信息。

实施形态1具有系统异常判断手段202、利用出错输出ER2的复位手段、利用计数器的计数电路121a和驱动停止电路122。系统异常判断手段202通过检测出对于含基准数据存储器111b的程序存储器111a的位信息丢失、混入，判断系统是否正常。利用出错输出ER2的复位手段在系统异常判断手段202作出系统异常判断时起作用，使微处理器110暂时复位后重新启动。计数电路121a在利用出错输出ER2的微处理器110的复位次数超过规定值时，产生计数输出，同时在电源开关107重新接通时被复位。驱动停止电路122是逻辑电路，在计数电路121a进行递增计数并且产生计数输出时起作用，切断部分车载电气负荷103。

因此，包含基准数据存储器111b的程序存储器111a存在异常时，驱动停止电路122可使吸气节流阀开度控制电机等特定负荷停止，确保安全，同时可有效利用燃料喷射控制和发动机点火控制等基本功能，使车辆能够退避运转，而且异常原因为暂时的噪声时，可暂时切断电源开关107再重新接通，恢复到正常状态。

实施形态1还具有监视时钟120。该监视时钟120采用定时器电路，能够在微处理器110产生的监视信号WD的脉冲宽度异常时，产生使微处理器110暂时复位后重新启动的复位信号输出RST。计数器121a根据监视时钟120的复位信号输出RST进行计数。

因此，利用微处理器110的监视时钟120的外部诊断，能够提高安全性。

实施形态2

下面说明本发明的实施形态2。

(1)实施形态2的组成的详细说明

图3示出本发明实施形态2的总体组成框图。以和图1的不同点为中心说明图3。

图3用虚线方框示出实施形态2的车载电子控制装置100b。该车载电子控制装置100b具有该虚线框周围所示的外部设备和该虚线框内部所示的内部设备。该内部设备装在1块电路板上收入密封框体。

首先，上述外部设备包含通断型(数字型)车载传感器群101、模拟型车载传感器群102、通断型车载电气负荷群103、外部工具104、车载电池105、异常告警·显示器106a、负荷电源继电器106b、电源开关107、和电源延迟切断电路109。这些外部设备除电源延迟切断电路109外，与图1所示的基本相同。

电源延迟切断电路109是通过接通电源开关107，开始对车载电子控制装置100b供电，并且通过切断电源开关107，在间隔规定时间的延迟时间停止供电的电源延迟切断电路。该规定时间为后文所述的退避处理工序441的退避处理完成前的时间。

车载电子控制装置100b的内部设备包含微处理器110、程序存储器111、数据存储器112a和112b、基准数据存储器112c、RAM存储器113、接口电路114、115、116、和117、控制电源单元118、电源检测电路119、监视时钟120、异常存储电路121b和驱动停止电路122。

这些内部设备中，RAM存储器113、接口电路114、115、116和117、控制电源单元118、电源检测电路119、监视时钟120和驱动停止电路122与图1所示的相同。

图3所示的微处理器110具有能够产生出错输出ER1、负荷电源驱动输出DR、出错输出ER3、监视信号WD的结构，并且能够输入复位信号RST。微处理器110与接口114、115、116、117的连接以及微处理器110与监视时钟120的连接和图1相同。

图3所示的程序存储器111也用快速擦写存储器构成，与图1的程序存储器11a相同，但程序存储器111没有基准数据存储器111b。数据存储器112a、112b分别称为第1、第2数据存储器，与基准数据存储器112c一起，都用EEPROM构成。这些存储器连同RAM存储器113，通过双向总线连接微处理器110。

作为异常存储手段的异常存储电路121b由具有置位输入S和复位输入R的触发电路构成。该异常存储电路121b在置位输入S的联机电平从低电平(L)变化到高电平(H)时，产生异常存储输出，并且置位输入S上连接微处理器110产生的出错输出ER3和监视时钟120的复位信号输出RST。

作为用逻辑积元件构成的驱动停止电路122，其输入上连接异常存储电路121b产生的异常存储输出的逻辑反相输入和微处理器110的负荷电源驱动输出DR，驱动停止电路122的输出上则连接负荷电源继电器106b。

异常告警·显示器106a由微处理器110产生的出错输出ER1驱动。

(2)实施形态2的作用和运作的详细说明

下面说明如图3那样构成的本发明实施形态2的作用和运作。

图3中微处理器110根据通断型车载传感器群101的工作状态、模拟型车载传感器群102的信号电平、程序存储器111的存储内容、第1和第2数据存储器112a和112b的存储内容、基准数据存储器112c的存储内容以及RAM存储器113的存储内容，对车载电气负荷群103进行控制。预先从外部工具104对程序存储器110、第1和第2数据存储器112a和112b以及基准数据存储器112c写入控制程序和控制常数。

图3所示的实施形态2中，第1、第2数据存储器112a、112b上都从外部工具104写入相同的数据，并且存储器112a和112b结构上为双重存储器。

第1、第2数据存储器112a、112b各自预先写入第1、第2和第3数据。该第1数据是车载电子控制装置100b的控制装置固有数据。该固有数据是校正值数据，用于校正例如该车载电子控制装置100b内置的恒压电源装置的输出电压精度、AD变换器的变换精度等部件偏差，虽然各车载电子控制装置100b中为不同的值，但在各车载电子控制装置100b的出厂测试阶段，一旦作为初始值存放，就是以后不变的半固定可变控制常数数据。

写入第1、第2数据存储器112a、112b的第2数据是车辆固有数据，并且第3数据是学习记忆数据。

该车辆固有数据是选定装载该车载电子控制装置100b的车辆控制规格用的车型数据或该车载电子控制装置100b外部连接的车载传感器的特性精度信息等环境数据，装车前未定，根据装载的车辆决定。该车辆固有数据在多部车辆各自装载的各车载电子控制装置100b中是相互不同的值，但一部车上装的一套车载电子控制装置100b根据该装载车辆作为初始值存放，并且一旦存放，就是以后不变的半固定可变控制常数数据。

作为第3数据写入第1、第2数据存储器112a、112b的学习记忆数据是作为车辆运转特性实测结果取得的运转控制数据或车载传感器、电气负荷的特性劣化信息等方面的变动数据，并且是流动可变控制常数数据，在运转开始时作为初始值暂时存放后，由相应于车辆运转经历的学习手段设想在规定范围内变动的情况。具体而言，该可变控制常数数据预先由外部工具104写入初始值，但在控制装置出厂检查时、装到真车后的首次通电时及车辆实际运行中，微处理器110自动选取，并通过RAM存储器113对数据存储器112a、112b进行盖写、修改，

图3所示的实施形态2中，预先由外部工具104对基准数据存储器112c写入基准数据。该基准数据包含所述控制装置固有数据和车辆固有数据中至少一种的固有数据以及学习记忆数据，这些基准数据是可变控制常数数据的允许上下限值数据。可用可变控制常数数据的代表值和对该代表值的允许变动幅度数据代替上下限值数据。

第1、第2数据存储器112a、112b的存储内容存在异常时，出错输出ER1使异常告警·显示器106a工作，但程序存储器111的存储内容和基准数据存储器112c的存储内容异常时，产生出错输出ER3，异常存储电路121b存储该信息，并且切断负荷电源继电器106b。

监视时钟120监视微处理器110产生的监视信号WD，如果信号WD的宽度异常，就对微处理器110提供复位信号RST，使微处理器110复位后重新启动，同时异常存储电路121b存储该信息，并且切断负荷电源继电器106b。

即使切断负荷电源继电器106b，装在车上的燃料喷射用电磁阀和点火线圈也可动作，因而能进行安全的退避运转，同时作为切断负荷电源继电器106b的原因的异常是暂时性噪声时，暂时切断电源开关107后重新启动，则电源检测电路119使异常存储电路121b复位，负荷电源继电器106b能恢复动作。

下面参照图4所示的运作说明流程图说明图3那样组成的实施形态2的运作。图4所示的流程图示出微处理器110对程序存储器111、第1和第2数据存储器112a和112b、基准数据存储器112c以及RAM存储器113进行的异常诊断操作和伴随异常的发生而采取的作为对策的处理操作。

图4中工序400是涉及微处理器110对各存储器111、112a、112b、112c、113的异常诊断操作和异常时的处理对策的运作开始工序。工序401在工序400后接着起作用，是判断检修运作模式的工序。该工序401通常由判断手段(未示出进行判断结果为“否”的判断，并且在电源接通后和发动机转速低时定期进行判断结果为“是”的判断操作。

工序402是判断工序401的判断结果为“是”时起作用的系统异常判断工序。该系统异常判断工序402进行对程序存储器111和基准数据存储器112c内存放的全部数据的总和校验操作，检测是否存在位信息丢失、混入。

工序403是工序402后接着起作用的判断工序，判断总和校验的结果是否正常。如果工序402校验位信息丢失、混入的结果表明程序存储器111和基准数据存储器112c不存在位信息丢失、混入等异常，并且工序403判断为“是”，则转至工序404，如果存在异常并且工序403判断为“否”，转至工序430。工序404是在工序403后接着起作用，使微处理器110产生负荷电源继电器驱动输出DR的工序。工序405是工序404后接着起作用的数据存储器异常判断工序，对第1、第2数据存储器112a、112b存放的全部数据进行总和校验操作，检测是否存在位信息丢失、混入。工序406a是工序405后接着起作用的判断工序，判断第1、第2数据存储器112a、112b双方是否正常而且相互一致。第1、第2数据存储器112a、112b双方存储的数据不存在位信息丢失、混入等异常，并且判断工序406a给出“是”的判断结果时，则转至工序409a，如果存在异常并且工序406a给出“否”的判断结果，则转至工序406b。

工序406b是工序406a后接着起作用的判断工序，判断第1、第2数据存储器112a、112b有一方异常。工序405对第1、第2数据存储器112a、112b的总和校验结果为第1、第2数据存储器112a、112b中某一方异常，并且判断工序406b给出“是”的判断结果，则转至工序409b，而由于第1、第2数据存储器112a和112b两者中存在异常或即使是两者都正常也相互不一致，判断工序406b给出“否”的判断结果，则分支到工序411b。工序409b是工序405检测出第1、第2数据存储器112a、112b的一方存在异常时起作用的相互传送插补工序，从第1、第2数据存储器112a、112b中正常的存储器对异常的存储器传送数据。工序407是工序409后接着起作用的频带判断工序，用基准数据存储器112c存储的基准数据对第1、第2数据存储器112a、112b存储的数据进行频带比较。具体而言，判断第1、第2数据存储器112a、112b中第1数据存储器112a内存储的数据是否基准数据存储器112c内存放的基准数据的上下限值以内的值，但相互传送插补工序409b使第1、第2数据存储器112a、112b存储的数据相同，因而可在第2数据存储器112b与第3数据存储器112c之间进行该频带比较。

工序408是工序407后接着起作用的判断工序，接收频带比较工序407的比较结果，判断频带的一致性，即判断第1或第2数据存储器112a或112b存储的数据是否在基准数据存储器112c存储的基准数据的频带内。如果频带比较中不存在异常，频带工序408发出“是”的判断，则进至工序411a，如果存在异常并且判断工序408发出“否”的判断，则分支至工序411b。工序411a是工序408判断为“是”时起作用的异常履历存储工序，在工序405的总和校验结果为第1、第2数据存储器112a、112b中的一个有异常而且频带不一致时，存储该异常履历。工序412a在工序411a后接着起作用，产生出错输出ER1。工序409是第1、第3传送工序，在工序406a或工序412a后接着起作用，对RAM存储器113传送并写入第1数据存储器112a存储的数据。工序410是工序409a后接着起作用的运作结束工序，微处理器110在运作结束工序410进行其他控制运作后，再次进至运作开始工序400。

工序411b是判断工序406b判断为“否”时起作用的异常履历存储工序，在工序405进行的第1、第2数据存储器112a、112b存储的数据的总和校验结果为第1、第2数据存储器112a、112b两者中存在异常时或即使是两者正常也相互不一致时、以及根据工序405和工序407的结果，单方异常而且正常方频带有异常时，存储该异常履历。工序412b在工序411b后接着起作用，产生出错输出ER1。工序413是工序412b后接着起作用的第2传送工序，把基准数据存储器112c存放的基准数据的平均值或代表值作为推定可变控制常数数据传送到RAM存储器113进行写入。工序413后，进至运作结束工序410。

工序420是在判断工序401不进行检修运作并且判断为“否”时起作用的RAM异常检测工序，对RAM存储器113内存储的数据中，至少工序409a或工序413传送并写入的可变控制常数进行总和校验操作，检测是否存在位信息丢失、混入。工序421是工序420后接着起作用的比较工序，对第1数据存储器112a存储的数据和该第1存储器112a传送到RAM存储器113的数据进行比较，诊断这些数据是否一致。该比较工序421为一致性判断手段。

但是，RAM存储器113内的可变控制常数数据和后文说明的履历信息数据带有学习校正和履历变化，因而在变化标记(未示出)动作时，不进行一致性判断，并且在后文说明的工序441进行对第1、第2数据存储器112a、112b的退避传送时，使上述变化标记复位。

工序422是工序421后接着起作用的频带比较工序，比较RAM存储器内存储的可变控制常数数据是否基准数据存储器112c内存放的基准数据的上下限值以内的值。工序423是工序422后接着起作用的判断工序，如果工序420至工序422中，全部检查结果正常，则进至工序440。工序420至工序422中的任一工序如果检测出异常，则转至工序425。工序424是工序420至工序422构成的RAM异常检测工序块。工序425是异常履历存储工序，在工序块424进行的RAM存储器113的异常检测结果为异常时，存储该履历。结构形成能够在工序425后进至工序406a的结构。

工序430是在工序402对程序存储器111和基准数据存储器112c进行异常判断时起作用，并且存储该异常履历的异常履历存储工序。工序431在工序430后接着起作用，产生出错输出ER3。工序432在工序431后接着起作用，使驱动输出DR停止。工序432后进至运作结果工序410。

工序440是工序423判断为“是”时起作用的退避处理的判断工序，在执行退避处理时，判断为“是”，不进行退避处理时，判断为“否”。工序441是工序440判断为执行退避处理的“是”时起作用的退避处理工序，将RAM存储器存储的异常履历数据和学习校正后的可变控制常数数据传送到第1、第2数据存储器112a、112b进行保存。该工序441后，进至运作结束工序410。判断工序440判断为不执行退避处理的“否”时，也进至运作结束工序410。

判断工序440为判断手段，在例如发动机低速旋转中或切断电源开关107时，以几小时一次的比率整体上执行退避处理。

以上动作概括说明如下。即，接通电源开关107的首次运作和发动机低速旋转中，定期进行工序402的程序存储器111和基准数据存储器112c的异常诊断以及工序405进行的第1、第2数据存储器112a、112b的异常诊断。

相当于系统异常判断手段的工序402如果检测出异常，则在工序431产生出错输出ER3，并且图3所示的异常存储电路121b工作，切断负荷电源继电器106b。

作为程序存储器111和基准数据存储器112c的异常履历存储手段的工序430每次检测出异常都存储表示其异常内容的异常代码号和异常发生次数。

相当于对数据存储器112a、112b的数据存储器异常判断手段的工序405中如果存在异常，则工序406a、406b和工序408判断第1、第2数据存储器112a、112b中的一方异常和双方异常，并且由作为异常履历存储手段的工序411a、411b存储表示该异常内容的异常代码号和异常发生次数后，在工序412a、412b产生出错输出ER1，使图3的异常告警·显示器106a工作，同时作为第2传送手段的工序413将基准数据平均值或代表值数据作为推定可变控制常数数据，从基准数据存储器112c传送到RAM存储器113。

相当于数据存储器异常判断手段的工序405中如果不存在异常，则进至作为第1传送手段的工序409a，将第1数据存储器112a存储的数据传送到RAM存储器113进行写入。

如果第1、第2数据存储器112a、112b中的一方有异常，作为相互传送手段的工序409b使异常的一方的数据存储器正常化。该相互传送后，作为频带比较手段的工序407将第1或第2数据存储器112a或112b存储的数据与基准数据存储器112c存放的基准数据的范围进行比较，其结果如果异常，则为双方异常的处理，如果该频带比较正常，则相当于第3传送手段的工序409a将第1数据存储器112a存储的数据传送到RAM存储器113进行写入。

如上所述对RAM存储器113进行可变控制常数数据或推定可变控制常数数据的写入后，作为RAM异常检测手段的工序块424中，定期进行RAM存储器113的诊断，如果该诊断结果表示RAM存储器113的存储数据异常，则由作为异常履历存储手段的工序425存储其异常代码号和异常发生次数，并且工序409a或工序413根据第1、第2数据存储器112a、112b的状态再次对RAM存储器113进行写入处理。

在相当于退避处理手段的工序441，将各种异常履历信息和各种学习数据传送到第1、第2数据存储器112a、112b进行保存。

(3)实施形态2的效果说明

本实施形态2的车载动作控制装置中，非易失性数据存储器具有第1、第2数据存储器112a、112b，这第1、第2数据存储器112a、112b上相互重复地写入多个可变控制常数数据的至少一部分，对重复的数据成为双重数据存储器，因而能提高数据可靠性。

实施形态2具有基准数据存储器112c、对非易失性数据存储器112a、112b的数据存储器异常判断手段405、406a、406b、407和408、对RAM存储器113的第1、第2和第3传送手段409a、413、409a。数据存储器异常判断手段405、406a、406b、407和408结构上做成能够判断第1、第2数据存储器112a、112b写入的各可变控制常数数据是否正常。第1传送手段409a在判断为第1、第2数据存储器112a、112b上写入的可变控制常数数据均正常时，从第1数据存储器112a对RAM存储器113传送并写入可变控制常数数据。第2传送手段413采用在第1、第2数据存储器112a、112b写入的可变控制常数数据均异常时，或即使是均正常也是比较结果不一致时，从基准数据存储器112c对RAM存储器113写入基于基准数据的推定可变控制常数数据的手段。第3传送手段409a是在第1、第2数据存储器112a、112b写入的可变控制常数数据中的写入任一数据存储器的可变控制常数数据被判断为异常时，从其正常方的数据存储器对RAM存储器写入可变控制常数数据的手段。因此，即使第1、第2数据存储器112a、112b的双方正常、双方异常或单方异常，也可用写入RAM存储器113的可变控制常数数据或推定可变控制常数数据，使车辆能运转。同时，安全上和性能上重要的可变控制常数数据也预先存放并保存在容易改写的非易失性数据存储器112中，因而能用学习手段校正RAM存储器113内的可变控制常数数据，并且根据该校正的可变控制常数数据进行更有效的车辆控制。

实施形态2中，程序存储器111用非易失性快速擦写存储器构成，数据存储器112a、112b和基准数据存储器112c用非易失性EEPROM构成，因而能方便地在数据存储器112a、112b中修改可变控制常数数据，并且基准数据存储器112c与数据存储器112a、112b一起兼用同一EEPROM，能简化结构。

实施形态2中，基准数据是数据存储器112a、112b中写入的可变控制常数数据的上下限值数据，能诊断数据存储器112a、112b和RAM存储器113中写入的可变控制常数数据是否在该上下限值数据的频带内，同时能够安全地进行车辆运转控制。

基准数据为对数据存储器112a、112b和RAM存储器113中写入的可变控制常数数据的代表值及其变动数据的情况下，同样也能诊断数据存储器112a、112b和RAM存储器113中写入的可变控制常数数据是否在该变动数据的频带内，同时能够安全地进行车辆运转控制。

实施形态2，其数据存储器112a、112b存储的可变控制常数数据是存储控制装置固有数据或车辆固有数据中的至少一方的固有数据以及学习记忆数据，所述控制装置固有数据为控制装置100b的组成部件的校正值数据，而车辆固有数据包含车辆的车型数据、车载传感器的环境数据中至少一种的数据，学习记忆数据包含装载控制装置100b的车辆的运转控制数据、有关车载电气负荷特性劣化的变动数据中至少一种的数据，基准数据存储器112c中存放的基准数据包含可变控制常数数据的上下限值数据或可变控制常数数据的代表值及其允许变动幅度数据中的一种。因此，RAM存储器113和数据存储器112a、112b能改写并保存多种可变控制常数数据，同时能安全而且有自由度地控制车辆。

实施形态2中，对数据存储器112a、112b的数据存储器异常判断手段具有位信息丢失·混入检测手段405和频带比较手段407，该比较手段407对写入数据存储器112a、112b的可变控制常数数据和写入基准数据存储器112c的基准数据进行比较，比较写入数据存储器112a、112b的可变控制常数数据是否在基准数据的允许范围内。这些位信息丢失·混入检测手段405和频带比较手段407判断写入数据存储器112a、112b的可变控制常数数据是否正常。因此，可从位信息丢失、混入和频带比较两方面可靠地诊断写入数据存储器112a、112b的可变控制数据。

所述位信息丢失·混入检测手段405包含数字位的总和校验或奇偶校验，因而能简便地检测位信息的丢失、混入。

实施形态2具有对RAM存储器113的RAM异常检测手段424，该检测手段424具有位信息丢失·混入检测手段420、判断传送并写入RAM存储器113的可变控制常数数据与数据存储器112a、112b内的可变控制常数数据一致的一致性判断手段421以及对基准数据的频带比较手段422中的至少一个手段；该RAM异常检测手段424判断为写入RAM存储器113的多个可变控制常数数据异常时，由数据存储器异常判断手段406a、406b、407、408进行第1、第2数据存储器112a、112b的异常判断，并且根据其结果，由第1传送手段409a、第2传送手段413或第3传送手段409a中的任一个进行对RAM存储器113的传送和写入。因此，如果写入RAM存储器113的可变控制数据正常，则不随便对RAM存储器113进行可变控制常数数据的传送和写入，可减小从发生异常的数据存储器112a、112b写入异常的可变控制常数数据的危险性。

实施形态2还具有相互传送插补手段409b。该相互传送插补手段409b在第1、第2数据存储器112a、112b的一方异常时起作用，对异常方的数据存储器传送并写入其正常方数据存储器中写入的可变控制常数数据。第3传送手段409a与第1传送手段409a相同，从第1、第2数据存储器112a、112b的一方对RAM存储器113传送并写入可变控制常数数据。因此，第1、第2数据存储器112a、112b的一方中写入的可变控制常数数据异常时，利用相互插补传送使第1、第2数据存储器112a、112b双方恢复正常状态，能继续作为双重系统进行工作，并且共用第1、第3传送手段409a，具有总能从一个数据存储器对RAM存储器113进行传送和写入的效果。

实施形态2具有响应对数据存储器112a、112b的数据存储器异常判断手段405、406a、406b、407、408的异常告警·显示器106a。该异常告警·显示器106a通报微处理器110根据利用第2传送手段413从基准数据存储器112c写入到RAM存储器113的推定可变控制常数数据或利用第3传送手段409a从第1或第2正常方数据存储器传送并写入到RAM存储器113的可变控制常数数据，控制车载电气负荷103的情况，因而操作者能确实了解数据存储器112a、112b的异常。即使数据存储器112a、112b的可变控制常数数据存在异常，并且进行基于写入RAM存储器113的推定可变控制常数数据的运转，操作者也未发觉该数据存储器112a、112b异常，认为是在例如燃耗和排气净化并非最佳状态下运转，而异常告警·显示器106a明确指明数据存储器112a、112b异常，促使维护检修，并且能谋求提高安全性。

实施形态2还具有异常履历存储手段411a、411b、425和430、退避处理手段441以及电源延迟切断手段109。异常履历存储手段411a和411b、异常履历存储手段425、异常履历存储手段430分别将数据存储器112a和112b、RAM存储器113、基准数据存储器112c和程序存储器111各自的异常发生情况及其异常内容存储到RAM存储器113。退避处理手段441将异常履历存储手段411a、411b、425、430存储到RAM存储器113的异常内容与学习校正后的可变控制常数数据一起传送到数据存储器112a、112b加以保存。电源延迟切断手段109从电源开关107开路后至少延迟退避处理手段441完成退避处理为止的延迟时间，才将控制电源118切断。因此，在电源开关107开路并且完成车辆控制的时刻，将异常履历存储手段411a、411b、425、430存储在RAM存储器113的异常履历信息与学习校正后的可变控制常数数据一起退避到数据存储器112a、112b，使异常履历信息得以保存，即使从车载电子控制装置100b取出车载电池105后，也可用外部工具104详细分析异常履历信息。

实施形态2还具有系统异常判断手段402、异常存储电路121b和驱动停止电路122。系统异常判断手段402结构上做成能够检测出对基准数据存储器112c和程序存储器111的位信息丢失、混入，以判断系统正常或异常。异常存储电路121b为异常运作存储电路，存储系统异常判断手段402进行系统异常判断的信息，同时在电源开关107再次接通时复位。驱动停止电路122是逻辑电路，在异常存储手段121b存储异常信息时起作用，切断车载电气负荷103的一部份。因此，基准数据存储器112c和程序存储器111一旦有异常，可停止对吸气节流阀开度控制电机等特定负荷供电，确保安全，同时可有效利用燃料喷射控制发动机点火控制等基本功能，使车辆能够退避运转。系统异常的原因为暂时的噪声时，暂时切断电源开关107后重新接通，可恢复到正常状态。

实施形态2还具有监视时钟120。该监视时钟120采用定时器电路，在微处理器110产生的监视信号WD的脉冲宽度异常时，产生使微处理器110暂时复位后重新启动的复位信号输出RST。异常存储电路121b也根据监视时钟120的复位信号输出RST进行异常信息存储。

因此，利用微处理器110的监视时钟120进行的外部诊断，可提高安全性。

其他实施形态

从以上的说明中可知本发明作为对写入可变控制常数的EEPROM等非易失性数据存储器的异常判断手段，进行总和校验检测位信息丢失、混入，并且在检测出异常时，作为后备信息，采用预先存入其他非易失性存储器的基准数据，使用平均值或代表值的代替控制常数。关于各种存储器的异常履历信息，添加发生时刻的信息，也能有助于采用外部工具的分析工作。

异常告警·显示器106，兼用作指示灯和说明显示器，操作人员便于识别异常的发生，并且能详细区分确认。

基准数据存储器为使用程序存储器111a的部分区域的图1的形态，也可用与其组合，数据存储器112a、112b可以如图3所示采用双重系统等各种变形形态。这种双重系统数据存储器的一方异常时，可利用相互传送使双方正常，而且从一方的数据存储器对运算用的RAM存储器进行传送和写入，也可从正常方的数据存储器直接对运算用的RAM存储器进行传送和写入。

但是，因一方的数据存储器损坏而用相互传送也不能使异常恢复时，需要把正常方的数据存储器存储的数据直接传送到RAM存储器。

对于尽管数据存储器112a和112b的总和校验和频带比较均正常，两者的内容却不一致的异常，也可以将两者的平均值作为推定可变控制常数数据写入RAM存储器113。

综上所述，采用本发明的车载动作控制装置，即使数据存储器异常时，也可根据基准数据存储器存放的基准数据，对RAM存储器写入推定可变控制常数数据，从而能够使车辆运转。同时，还能将安全上和性能上重要的可变控制常数数据也预先存放到容易改写的非易失性数据存储器中，并且用学习手段校正RAM存储器内的可变控制常数数据，将其传送到数据存储器加以保存，因而能根据该校正后的可变控制常数数据，进行安全而且更有效的车辆控制。

Claims (20)

1.一种车载电子控制装置，具有至少写入与受控车辆对应的控制程序的非易失性程序存储器、至少写入可变控制常数数据的非易失性数据存储器、运算处理用的RAM存储器和连接所述程序存储器、所述数据存储器及所述RAM存储器的微处理器；并根据来自车载传感器群的输入信号、在所述程序存储器写入的控制程序和在所述数据存储器写入的可变控制常数数据，控制车载电气负荷群，其特征在于，

该车载电子控制装置还具有基准数据存储器，所述程序存储器包含作为对所述数据存储器的数据存储器异常判断单元和对所述RAM存储器的第1和第2传送单元的控制程序；

所述基准数据存储器由存放在所述数据存储器写入的可变控制常数数据的基准数据的，可电写入的非易失性存储器构成；

所述数据存储器异常判断单元具备能够判断在所述数据存储器写入的可变控制常数数据是否正常的结构；

所述第1传送单元是在所述数据存储器异常判断单元判断为所述数据存储器写入的可变控制常数数据正常时起作用，从所述数据存储器向所述RAM存储器传送并写入可变控制常数数据的单元；

又，所述第2传送单元是在所述数据存储器异常判断单元判断为所述数据存储器写入的可变控制常数数据异常时起作用，从所述基准数据存储器对所述RAM存储器写入基于所述基准数据的推定可变控制常数数据的单元；

所述微处理器根据在所述RAM存储器写入的可变控制常数数据或推定可变控制常数数据，控制所述车载电气负荷群。

2.一种车载电子控制装置，具有至少写入与受控车辆对应的控制程序的非易失性程序存储器、至少写入可变控制常数数据的非易失性数据存储器、运算处理用的RAM存储器和连接所述程序存储器、所述数据存储器及所述RAM存储器的微处理器；并根据来自车载传感器群的输入信号、在所述程序存储器写入的控制程序和在所述数据存储器写入的可变控制常数数据，控制车载电气负荷群，其特征在于，

所述数据存储器具有第1、第2数据存储器，该第1、第2数据存储器在结构上做成相互重复地写入多个可变控制常数数据的至少一部分；

所述车载电子控制装置还具有基准数据存储器，所述程序存储器包含作为对所述第1、第2数据存储器的数据存储器异常判断单元和对所述RAM存储器的第1、第2和第3传送单元的控制程序；

所述基准数据存储器由对所述第1、第2数据存储器写入的多个可变控制常数数据分别写入的多个基准数据的可电写入的非易失性存储器构成；

所述数据存储器异常判断单元具有能够判断在所述第1、第2数据存储器写入的多个可变控制常数数据各自是否正常的结构；

所述第1传送单元是在所述数据存储器异常判断单元判断为所述第1、第2数据存储器写入的可变控制常数数据均正常时起作用，从所述第1和第2数据存储器中的一个对所述RAM存储器传送并写入可变控制常数数据的单元；

所述第2传送单元是在所述数据存储器异常判断手段判断为所述第1、第2数据存储器写入的可变控制常数数据均异常时起作用，从所述基准数据存储器对所述RAM存储器写入基于所述基准数据的推定可变控制常数数据的单元；

而所述第3传送单元是在所述数据存储器异常判断单元判断为所述第1、第2数据存储器写入的可变控制常数数据的任意一个异常时起作用，将该正常的一方的数据存储器中写入的可变控制常数数据传送并写入到所述RAM存储器的单元；

所述微处理器根据所述RAM存储器中写入的可变控制常数数据或推定可变控制常数数据，控制所述车载电气负荷群。

3.如权利要求1或2所述的车载电子控制装置，其特征在于，用同一非易失性快速擦写存储器构成程序存储器和所述基准数据存储器，又用非易失性EEPROM构成所述数据存储器。

4.如权利要求1或2所述的车载电子控制装置，其特征在于，用非易失性快速擦写存储器构成所述程序存储器，用非易失性EEPROM构成所述数据存储器和所述基准数据存储器。

5.如权利要求1或2所述的车载电子控制装置，其特征在于，所述基准数据包含对在所述数据存储器写入的可变控制常数数据的上下限值数据，所述推定可变控制常数数据是所述上下限值数据的平均值。

6.如权利要求1或2所述的车载电子控制装置，其特征在于，所述基准数据包含在所述数据存储器写入的可变控制常数数据的代表值，同时还包含关于该代表值的允许变动幅度的允许范围数据，所述推定可变控制常数数据是所述代表值。

7.如权利要求1或2所述的车载电子控制装置，其特征在于，所述数据存储器具备这样的结构，即存储控制装置固有数据或车辆固有数据中的至少一固有数据和学习记忆数据作为可变控制常数数据；

所述控制装置固有数据是校正构成该车载电子控制装置的部件的偏差用的校正值数据，是作为初始值暂存则以后不变的控制常数；

所述车辆固有数据包含选定装载该车载电子控制装置的车辆的控制规格用的车型数据以及与该车载电子控制装置外部连接的车载传感器的环境数据中的至少一方的数据，是一旦作为初始值暂存以后就不改变的控制常数；

所述学习记忆数据包含作为装载该车载电子控制装置的车辆的运转特性的实测结果获得的运转控制数据以及有关所述车载传感器群和所述车载电气负荷群的特性劣化的变动数据中的至少一方的数据，是假想在运转开始时作为初始值暂存以后在规定的范围内变动的控制常数数据；

所述基准数据存储器存放的基准数据是对所述控制装置固有数据或车辆固有数据的至少一方的固有数据和所述学习记忆数据的基准数据，各基准数据包含上下限值数据或其代表值和该代表值的允许变动幅度数据中的任一数据。

8.如权利要求1或2所述的车载电子控制装置，其特征在于，所述数据存储器异常判断单元结构上做成这样的结构，即具有对所述数据存储器的位信息丢失·混入检测单元和对所述数据存储器写入的可变控制常数数据与所述基准数据存储器写入的基准数据进行比较并且比较所述可变控制常数数据是否在所述基准数据的允许范围内的频带比较单元，利用这些位信息丢失·混入检测单元和频带比较单元判断在所述数据存储器中写入的可变控制常数数据是正常还是异常的结构。

9.如权利要求8所述的车载电子控制装置，其特征在于，所述位信息丢失·混入检测单元包含总和校验或奇偶校验。

10.如权利要求1所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为对所述RAM存储器的退避处理单元和RAM异常检测单元的控制程序；

所述退避处理单元为数据保存单元，在规定周期或规定的时间内将所述微处理器进行改写更改的所述RAM存储器内的可变控制常数数据传送到所述数据存储器进行盖写；

所述RAM异常检测单元具有对所述RAM存储器的位信息丢失·混入检测单元、判断所述第1传送单元从数据存储器传送并写入到RAM存储器的可变控制常数数据内进行改写更改前的可变控制常数数据与所述数据存储器已经写入并加以保存的可变控制常数数据一致的一致性判断单元和对所述基准数据的频带比较单元中的至少一个单元；

所述RAM异常检测单元判断为在所述RAM存储器写入的数据异常时，利用所述数据存储器异常判断单元进行判断，并且根据其结果由所述第1、第2传送手段中的任一传送单元执行对所述RAM存储器的传送和写入。

11.如权利要求1或10所述的车载电子控制装置，其特征在于，还具有对所述数据存储器异常判断单元做出响应的异常告警·显示器；

所述异常告警·显示器通报所述微处理器利用所述第2传送单元从所述基准数据存储器写入到所述RAM存储器的推定可变控制常数数据进行车载电气负荷的控制的情况。

12.如权利要求1或10所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为异常履历存储单元、退避处理单元和电源延迟切断单元的控制程序；

所述异常履历存储单元为存储所述数据存储器、所述RAM存储器、所述程序存储器和所述基准数据存储器中的至少一个存储器的异常发生及其异常内容，并且将其存入所述RAM存储器的单元；

所述退避处理单元为数据保存单元，该单元将所述异常履历存储单元存放到RAM存储器的异常发生及其异常内容与所述可变控制常数数据一起传送到所述数据存储器；

所述电源延迟单元为这样的电源电路，即该电路能够延迟使电源开关开路起到至少所述退避处理单元的退避处理完成为止的延迟时间再切断控制电源。

13.如权利要求2所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为对RAM存储器的退避处理单元和RAM异常检测单元的控制程序；

所述退避处理单元为数据保存单元，能够在规定周期或规定的时间内将所述微处理器进行改写更改的所述RAM存储器内的可变控制常数数据传送到所述数据存储器进行盖写；

所述RAM异常检测单元具有对所述RAM存储器的位信息丢失·混入检测单元、判断所述第1、第2数据存储器写入的各可变控制常数数据与所述第1传送单元或第3传送单元传送并写入到RAM存储器的相应可变控制常数数据内进行改写更改前的可变控制常数数据一致的一致性判断单元和分别对各所述基准数据的频带比较单元中的至少一个单元；

所述RAM异常检测单元判断为在所述RAM存储器写入的可变控制常数数据异常时，由所述数据存储器异常判断单元对所述第1、第2数据存储器进行异常判断，并且根据其结果由所述第1、第2和第3传送单元中的任一传送单元执行对所述RAM存储器的传送和写入。

14.如权利要求2或13所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为相互传送插补单元的控制程序；

该相互传送插补单元为所述第1、第2数据存储器中的一个发生异常时起作用，并且将在该正常的一方的数据存储器中写入的可变控制常数数据传送并写入该异常方的数据存储器的单元；

所述第3传送单元是与所述第1传送单元一样从所述第1、第2数据存储器中的一方将所述可变控制常数数据传送并写入所述RAM存储器的单元。

15.如权利要求2或13所述的车载电子控制装置，其特征在于，还具有对所述数据存储器异常判断单元作出响应的异常告警·显示器；

所述异常告警·显示器通报所述微处理器利用所述第2传送单元写入所述RAM存储器的推定可变控制常数数据和所述第3传送单元传送并写入所述RAM存储器的可变控制常数数据中的至少一方进行车载电气负荷控制的情况。

16.如权利要求2或13所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为异常履历存储单元、退避处理单元的控制程序，所述车载电子控制装置还包含电源延迟切断电路；

所述异常履历存储单元为存储所述第1、第2数据存储器、所述RAM存储器、所述程序存储器和所述基准数据存储器中的至少一个存储器的异常发生及其异常内容，并且将其存入所述RAM存储器的单元；

所述退避处理单元为数据保存单元，该手段将所述异常履历存储单元存放于RAM存储器的异常内容与所述可变控制常数数据一起传送到所述第1、第2数据存储器；

所述电源延迟切断电路为电源电路，该电路延迟从使电源开关开路起到至少所述退避处理单元的退避处理完成为止的延迟时间后切断控制电源。

17.如权利要求1，2，10，13中任一项所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为系统异常判断单元的控制程序，所述车载电子控制装置还包含异常存储电路和驱动停止电路；

所述系统异常判断单元具有这样的结构，即具有对所述程序存储器和所述基准数据存储器的位信息丢失·混入检测单元，并且利用该位信息丢失·混入检测单元判断系统是正常还是异常；

所述异常存储电路为异常动作存储电路，该电路存储所述系统异常判断单元进行异常判断的情况，同时在接通电源时复位；

所述驱动停止电路为逻辑电路，该电路在所述异常动作存储电路存储异常时起作用，使对于所述车载电气负荷群的至少一部分的负荷电源继电器的驱动输出停止。

18.如权利要求17所述的车载电子控制装置，其特征在于，还具有监视时钟；

该监视时钟是在所述微处理器产生的监视信号的脉冲宽度异常时使所述微处理器暂时复位后重新启动的定时器电路；

所述异常存储电路根据所述定时器电路的输出进行对异常状况的存储动作。

19.如权利要求1，2，10，13中的任一项权利要求所述的车载电子控制装置，其特征在于，所述程序存储器还包含作为系统异常判断单元和复位单元的控制程序，所述车载电子控制装置还包含计数电路和驱动停止电路；

所述系统异常判断单元具有这样的结构，即具有对所述程序存储器和所述基准数据存储器的位信息丢失·混入检测单元，并且能够利用该位信息丢失·混入检测单元判断系统正常或异常；

所述复位单元为在所述系统异常判断单元进行系统异常判断时起作用，并使所述微处理器暂时复位后重新启动的单元；

所述计数电路是计数器电路，在所述复位单元使微处理器复位的次数超过规定值时，产生计数输出，同时在接通电源时复位；

所述驱动停止电路是逻辑电路，该电路在所述计数器电路产生计数输出时起作用，使对于所述车载电气负荷群的至少一部分的负荷电源继电器的驱动输出停止。

20.如权利要求19所述的车载电子控制装置，其特征在于，还具有监视时钟；

该监视时钟是定时器电路，在所述微处理器产生的监视信号的脉冲宽度异常时，使所述微处理器暂时复位后重新启动；

所述计数电路根据所述定时器电路的输出进行异常事件计数动作。

Images