JP2015033863A - 車両用電子制御装置 - Google Patents

Abstract

【課題】診断処理中からの通信開始を可能とし、以って、他の電子制御装置が通信停止時間に基づいて異常を誤判定することを抑制できる、車両用電子制御装置を提供する。
【解決手段】メインユニット２００に異常が発生した場合、及び、リレー５０１の診断結果が異常である場合に、リレー制御信号ＲＣＳがローレベルに切り替えられてリレー５０１がオフする。ＣＡＮ通信回路４００は、ＯＲ回路４０１とＣＡＮトランシーバ４０２とを備える。リレー制御信号ＲＣＳはＯＲ回路４０１にＣＡＮ通信のEnable、Disable指令信号として入力され、また、ＯＲ回路４０１にはＣＡＮコントロール部２０４が出力するＣＡＮコントロール信号ＮＣＳが入力される。ここで、リレー５０１の診断のためにリレー制御信号ＲＣＳをローレベルに切り替えられる場合、メインユニット２００はＣＡＮコントロール信号ＮＣＳをEnableにしてＣＡＮ通信が行えるようにする。
【選択図】図１

Description

本発明は、他の電子制御装置との間で通信を行うための通信回路を備えた車両用電子制御装置に関する。

特許文献１には、通信バスによって他の制御ユニットとＣＡＮ（Controller Area Network）通信が可能に接続された制御ユニットが、アクチュエータを制御すると共にＣＡＮデータを生成して送信するメインＣＰＵと、送信停止信号が入力されるとＣＡＮデータの通信バスへの送信を停止するＣＡＮドライバと、メインＣＰＵの異常を検出したときに送信停止信号をＣＡＮドライバに出力する監視ＩＣとを備えることが開示されている。

特開２０１１−１８９９１８号公報

ところで、車両用の電子制御装置では、一般的に、運転者によるスイッチ操作などによって電源投入されたときに、各種の診断を含む初期化処理を行い、その後に定常処理に移行する。
また、通信バスで相互に接続される電子制御装置では、他の電子制御装置からのＣＡＮデータ送信が途絶えている時間が長くなると、他の電子制御装置の異常状態を判定するよう構成される場合がある。

ここで、診断処理に伴って通信回路をディセーブル（Disable）状態として通信を意図的に停止させる場合があるため、初期化処理の終了を待ってＣＡＮ通信を開始させるようにすると、初期化処理の時間が長くなることでＣＡＮ通信の開始が遅れることになって、ＣＡＮデータ送信が途絶える時間が長くなり、以って、初期化処理中の電子制御装置について他の電子制御装置が異常を誤判定する可能性があった。

本発明は上記問題点に鑑みなされたものであり、診断処理中からの通信開始を可能とし、以って、他の電子制御装置が通信停止時間に基づいて異常を誤判定することを抑制できる、車両用電子制御装置を提供することを目的とする。

そのため、本願発明は、他の電子制御装置との間で通信を行うための通信回路を備えた車両用電子制御装置において、通信機能以外の診断処理に伴う前記通信回路の通信停止指令を無効とし前記通信回路を通信可能とするようにした。

上記発明によると、通信機能以外の診断処理に伴う通信停止指令が無効とされるから、診断処理中に通信回路による通信を開始させることが可能となり、診断処理に時間を要することで通信開始が過剰に遅れてしまうことを抑制して、通信異常が誤診断されることを抑制できる。

本発明の実施形態における電子制御装置の構成を示すブロック図である。 本発明の実施形態における電子制御装置の電源投入時における初期化処理の流れを示すタイムチャートである。 本発明の実施形態におけるリレー診断の流れを示すタイムチャートである。 本発明の実施形態におけるＣＡＮコントロール信号ＮＣＳの設定処理を示すフローチャートである。 本発明の実施形態の作用を説明するための電子制御装置の電源投入時における初期化処理の流れを示すタイムチャートである。

以下に本発明の実施の形態を説明する。
図１は、本発明に係る車両用電子制御装置の一例を示す図である。
図１に示す車両用電子制御装置１００Ａは、メインユニット２００、サブユニット３００、ＣＡＮ通信回路４００を主として備える。

メインユニット（メインプロセッサ、制御ユニット、メインＣＰＵ）２００は、車両のアクチュエータを駆動制御すると共に、他の車載電子制御装置１００Ｂとの間でＣＡＮ通信回路４００を介してＣＡＮ通信を行うユニットである。
なお、電子制御装置１００Ａと他の電子制御装置１００Ｂとの間の通信は、ＣＡＮ通信の他、ＡＵＤ通信、ＬＩＮ通信、ＦｌｅｘＲａｙ通信などの通信で行わせることができる。

サブユニット（サブプロセッサ、監視ユニット、サブＣＰＵ）３００は、メインユニット２００の監視（診断）を行うユニットである。
そして、サブユニット３００は、メインユニット２００の異常を検出したときに、メインユニット２００が制御するアクチュエータ５０２への電源供給ラインをスイッチングするリレー５０１をオフしてアクチュエータ５０２の駆動を停止し、また、係るアクチュエータ５０２の駆動停止に同期してＣＡＮ通信回路４００をDisable状態にしてＣＡＮ通信を停止させる。
なお、メインユニット２００及びサブユニット３００は、ＲＯＭ、ＲＡＭ、ＣＰＵなどを含むプロセッサコアをそれぞれ有する。

ＣＡＮ通信回路（通信ユニット）４００は、ＯＲ回路４０１とＣＡＮトランシーバ４０２とを備える。
ＯＲ回路（論理演算部）４０１には、メインユニット２００からのＣＡＮコントロール信号ＮＣＳと、リレー駆動回路５００のオン，オフを制御するリレー制御信号ＲＣＳとが入力され、ＣＡＮトランシーバ４０２は、ＯＲ回路４０１がハイレベル信号（Enable信号）を出力するときにEnable（有効）状態つまりＣＡＮ通信可能な状態となり、ＯＲ回路４０１がローレベル信号（Disable信号）を出力するときにDisable（無効）状態つまりＣＡＮ通信停止状態となる。

なお、ＣＡＮコントロール信号ＮＣＳは、ＣＡＮ通信を可能とする（ＣＡＮトランシーバ４０２をEnable状態とする）指令の場合にハイレベル信号として出力され、リレー制御信号ＲＣＳは、リレー５０１をオンさせる場合（アクチュエータ５０２に電源供給する場合）にハイレベル信号として出力される。また、リレー駆動回路５００は、リレー制御信号ＲＣＳがハイレベル信号であるときにリレー５０１をオン（閉成状態、電源供給状態）にする。

そして、ＣＡＮコントロール信号ＮＣＳとリレー制御信号ＲＣＳとの少なくとも一方がハイレベル信号であるときにＯＲ回路４０１はハイレベル信号を出力し、これによりＣＡＮトランシーバ４０２がEnable状態となってＣＡＮ通信回路４００によるＣＡＮ通信が可能となる。このとき、ＣＡＮ通信回路４００は、他の電子制御装置１００Ｂからの受信信号ＲＸをメインユニット２００に送信し、メインユニット２００からの送信信号ＴＸを他の電子制御装置１００Ｂに向けて送信する。

一方、ＣＡＮコントロール信号ＮＣＳ及びリレー制御信号ＲＣＳが共にローレベル信号であるときにＯＲ回路４０１はローレベル信号を出力し、これにより、ＣＡＮトランシーバ４０２がDisable状態となってＣＡＮ通信回路４００によるＣＡＮ通信が停止され、他の電子制御装置１００Ｂからの受信信号ＲＸはメインユニット２００に送信されず、また、メインユニット２００からの送信信号ＴＸが他の電子制御装置１００Ｂに向けて送信されない状態となる。
換言すれば、リレー５０１をオフする指令に基づきリレー制御信号ＲＣＳがローレベルに設定されていても、メインユニット２００からハイレベルのＣＡＮコントロール信号ＮＣＳを出力することで、リレー制御信号ＲＣＳによるＣＡＮ通信の停止指令が無効とされ、ＣＡＮ通信回路４００によるＣＡＮ通信を可能とすることができるように構成されている。

また、メインユニット２００からローレベルのＣＡＮコントロール信号ＮＣＳが出力されているときには、リレー制御信号ＲＣＳに応じてＣＡＮトランシーバ４０２のDisable状態、Enable状態が切り替えられ、リレー制御信号ＲＣＳがローレベルになることで、リレー５０１（リレー駆動回路５００）がオフされてアクチュエータ５０２の駆動が停止され、係るアクチュエータ５０２の駆動停止に同期してＣＡＮトランシーバ４０２がDisable状態に切り替わってＣＡＮ通信回路４００によるＣＡＮ通信が停止される。
後述するように、リレー制御信号ＲＣＳは、メインユニット２００のプロセッサの異常が検出されたときにローレベルに設定されるよう構成されており、プロセッサに異常が発生したときに、アクチュエータ５０２の駆動を停止しかつＣＡＮ通信を停止することで、車両を安全側に制御するフェイルセーフが実施される。

サブユニット３００は、例えば例題演算方式でメインユニット（プロセッサ）２００の演算機能の異常を診断（監視）する演算機能監視部３０１と、メインユニット２００におけるリレー５０１の診断結果を示す信号に基づいてリレー５０１のオン，オフを制御する信号を出力するリレー出力部３０２と、演算機能監視部３０１の出力を入力するＮＯＴ回路３０４と、ＮＯＴ回路３０４の出力及びリレー出力部３０２の出力を入力するＡＮＤ回路３０５とを備える。
演算機能監視部３０１は、メインユニット２００に向けて例題を出力し、この例題に従ってメインユニット２００が演算した結果である回答データを入力し、回答データと期待値とを照合することで、メインユニット２００の演算機能が正常であるか異常であるかを診断する。

演算機能監視部３０１におけるメインユニット２００の診断結果を示す信号は、ＮＯＴ回路３０４によって反転されてＡＮＤ回路３０５の一方の入力端子に入力される。
ここで、演算機能監視部３０１は、メインユニット２００の演算機能が正常であればローレベル信号を出力し、メインユニット２００の演算機能が異常であればハイレベル信号を出力する。従って、メインユニット２００の演算機能が正常であればハイレベル信号がＡＮＤ回路３０５に入力され、メインユニット２００の演算機能が異常であればローレベル信号がＡＮＤ回路３０５に入力されることになる。

リレー出力部３０２は、メインユニット２００におけるリレー５０１の診断結果を示す信号を入力し、診断結果が正常であってリレー５０１をオンする場合にはハイレベル信号を出力し、診断結果が異常であってリレー５０１をフェイル処理としてオフする場合にはローレベル信号を出力する。そして、リレー出力部３０２は、ＡＮＤ回路３０５の他方の入力端子にリレー５０１の正常、異常に応じた信号を出力する。

従って、サブユニット３００の演算機能監視部３０１がメインユニット２００の演算機能が正常であると診断し、かつ、リレー５０１は正常であるとメインユニット２００が診断してリレー５０１のオンを指令する場合に、ＡＮＤ回路３０５の２つの入力が共にハイレベル信号となりＡＮＤ回路３０５はハイレベル信号を出力する。
一方、演算機能監視部３０１がメインユニット２００の異常状態を判定した場合には、ＡＮＤ回路３０５の一方の入力信号がローレベル信号になることで、ＡＮＤ回路３０５はローレベル信号を出力する。
また、メインユニット２００がリレー５０１は異常であると診断してリレー５０１のオフを指令する場合に、ＡＮＤ回路３０５の一方の入力信号がローレベル信号になることで、ＡＮＤ回路３０５はローレベル信号を出力する。

サブユニット３００は、ＡＮＤ回路３０５の出力を外部のＡＮＤ回路６００の一方の入力端子に出力する。
ＡＮＤ回路６００の他方の入力端子にはリレー出力部７００の出力が入力される。リレー出力部７００には、メインユニット２００の自己診断部２０３の出力が入力される。

自己診断部２０３は、メインユニット２００が正常であればローレベル信号をリレー出力部７００に出力し、メインユニット２００が異常であればハイレベル信号をリレー出力部７００に出力する。
そして、リレー出力部７００は、自己診断部２０３の出力がローレベル信号であるときにハイレベル信号をＡＮＤ回路６００に出力し、自己診断部２０３の出力がハイレベル信号であるときにローレベル信号をＡＮＤ回路６００に出力する。

つまり、リレー出力部７００は、メインユニット２００における自己診断の結果が正常である場合にハイレベル信号を出力し、メインユニット２００における自己診断の結果が異常である場合にはフェイル処理としてのリレー５０１のオフを実行すべくローレベル信号を出力する。
ＡＮＤ回路６００の他方の入力端子にはリレー出力部７００の出力が入力されるから、演算機能監視部３０１がメインユニット２００の正常を診断しかつメインユニット２００におけるリレー５０１の診断結果が正常である場合であってＡＮＤ回路６００の一方の入力端子にハイレベル信号が入力される場合であっても、メインユニット２００の自己診断結果が異常でリレー出力部７００の出力がローレベルであれば、ＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）はローレベルになる。

このように、演算機能監視部３０１がメインユニット２００の正常を診断し、かつ、メインユニット２００におけるリレー５０１の診断結果が正常で、かつ、メインユニット２００の自己診断結果が正常である場合に、ＡＮＤ回路６００の出力であるリレー制御信号ＲＣＳはハイレベル信号になる。
一方、演算機能監視部３０１がメインユニット２００の異常を診断した場合、メインユニット２００がリレー５０１の異常を診断した場合、メインユニット２００の自己診断結果が異常である場合は、ＡＮＤ回路６００の出力であるリレー制御信号ＲＣＳはローレベル信号になる。

リレー駆動回路５００は、ＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）がハイレベル信号であるときにリレー５０１をオン（閉成状態）に駆動し、ＡＮＤ回路６００の出力がローレベル信号であるときにリレー５０１をオフ（開成状態）に駆動する。
リレー５０１は、オン（閉成状態）であるときにアクチュエータ５０２へ電源電力を供給し、オフ（開成状態）であるときにアクチュエータ５０２への電源電力の供給を遮断する。
なお、リレー５０１として、電磁リレーを用いることができ、また、ＭＯＳＦＥＴなどの半導体リレーを用いることができる。また、アクチュエータ５０２は、例えば、ソレノイドやモータなどである。

上記構成により、演算機能監視部３０１がメインユニット２００の異常を診断した場合、メインユニット２００がリレー５０１の異常を診断した場合、メインユニット２００の自己診断結果が異常である場合に、リレー制御信号ＲＣＳがローレベルになり、これによってリレー５０１がオフされてアクチュエータ５０２への電源電力の供給が遮断される。
更に、リレー制御信号ＲＣＳはＯＲ回路４０１に出力されるから、ＣＡＮコントロール信号ＮＣＳがローレベルである状態でリレー制御信号ＲＣＳがローレベルに切り替わればアクチュエータ５０２の駆動停止に同期してＣＡＮ通信回路４００によるＣＡＮ通信が停止されることになる。

但し、メインユニット２００からハイレベルのＣＡＮコントロール信号ＮＣＳが出力されている状態では、リレー制御信号ＲＣＳがローレベルになってもＣＡＮ通信回路４００によるＣＡＮ通信は可能な状態に保持される。
なお、リレー制御信号ＲＣＳをローレベルにする条件は、上記の診断結果に限定されるものではなく、例えば、メインユニット２００がサブユニット３００を監視し、サブユニット（プロセッサ）３００の異常を検出したときに、リレー制御信号ＲＣＳをローレベルに制御することができる。

メインユニット２００は、サブユニット３００の演算機能監視部３０１からの例題データを受信し、受信した例題を演算して回答を演算機能監視部３０１に出力する例題演算部（ＡＬＵ診断部）２０１を備えている。
また、メインユニット２００は、リレー５０１の診断（閉固着、開固着異常などの診断）を行うリレー診断部２０２を備え、このリレー診断部２０２は、サブユニット３００のリレー出力部３０２に診断結果を示す信号、換言すれば、リレー５０１のオン，オフ指令信号を出力する。

また、メインユニット２００は、自己診断部２０３を備える。この自己診断部２０３は、タイマ／クロック診断、タスク実行周期診断、Ａ／Ｄ変換診断、電源回路診断、ＣＰＵ機能診断などの各種の自己診断を実施し、診断結果を示す信号を外部のリレー出力部７００に出力する。
更に、メインユニット２００は、ＣＡＮ通信回路４００のＯＲ回路４０１に対してＣＡＮコントロール信号ＮＣＳを出力するＣＡＮコントロール部２０４、ＣＡＮ通信回路４００を介して受信信号ＲＸを受信しＣＡＮ通信回路４００に向けて送信する送信信号ＴＸ（ＣＡＮデータ）を生成するＣＡＮ通信部２０５を備える。

図２は、図１に例示した電子制御装置１００Ａに電源が投入されたとき（車両のメインスイッチであるイグニッションスイッチＩＧＮがオンされたとき）の初期化処理の流れの一例を示すタイムチャートである。
図２に示す初期化処理（Initialize処理）においては、まずマイコンの初期化、プログラムの初期化などが行われ、係る初期化処理での各種診断で異常が検出されなければ、ＡＮＤ回路６００の出力がハイレベルに設定されてＣＡＮ通信回路４００がEnable状態になるので、初期化処理が終了した時点（時刻ｔ１）において、ＣＡＮ通信部２０５及びＣＡＮ通信回路４００を用いたＣＡＮ通信を開始させる。
そして、ＣＡＮ通信を開始させた後、初期化処理の残りの処理としてリレー診断を開始し、リレー診断が終了した時点（時刻ｔ２）から定時処理（定時制御）を開始させる。

メインユニット２００のリレー診断部２０２によるリレー診断は、例えば、リレー制御信号ＲＣＳを診断のために意図的に切り替えることで、リレー５０１をオン状態からオフ状態に切り替える制御、また、オフ状態からオン状態に切り替える制御を行い、係る制御状態とリレー５０１の端子電圧との相関に基づき、リレー５０１の異常の有無（オン固着又はオフ固着の有無）を診断する。
なお、リレー５０１の異常には、リレー５０１自体の故障の他、リレー駆動回路５００の故障、ＡＮＤ回路３０５，６００の故障などが含まれる。

ここで、例えば、メインユニット２００やサブユニット３００からの出力とは無関係にリレー制御信号ＲＣＳがローレベル（オフ状態）を維持し、ハイレベルに切り替わらない異常が発生した場合、メインユニット２００は、リレー診断が終了したときに診断の結果が異常であることに基づきＣＡＮコントロール信号ＮＣＳをローレベルに切り替える。
これにより、ＯＲ回路４０１の２つの入力は全てローレベルとなってＣＡＮ通信回路４００はDisable状態となり、ＣＡＮ通信は停止される。このため、他の電子制御装置１００Ｂは、電子制御装置１００Ａとの間でのＣＡＮ通信が停止したことに基づいて電子制御装置１００Ａの異常を判定できる。

一方、リレー制御信号ＲＣＳがハイレベル（オン状態）を維持し、ローレベルに切り替わらない異常が発生した場合、ＯＲ回路４０１の一方の入力がハイレベルを維持することでＣＡＮ通信回路４００はEnable状態を維持することになる。しかし、このときメインユニット２００は、リレー故障を判定したことでＣＡＮデータ送信を停止する。このため、他の電子制御装置１００Ｂは、電子制御装置１００Ａとの間でのＣＡＮ通信が停止したことに基づいて電子制御装置１００Ａの異常を判定できる。

図３は、リレー診断の一例を示すタイムチャートであり、時刻ｔ１で電子制御装置１００Ａへの電源投入がなされ、時刻ｔ２でリレー出力（ＡＮＤ回路６００の出力）がローレベル（オフ）からハイレベル（オン）に切り替わって、アクチュエータ５０２に電源電力が供給される状態となり、更に、時刻ｔ３においてＣＡＮ通信可能な状態になる。
そして、時刻ｔ４でのリレー診断開始に伴ってリレー出力（リレー制御信号ＲＣＳ）をハイレベル（オン）からローレベル（オフ）に切り替え、更に、時刻ｔ５でリレー出力（リレー制御信号ＲＣＳ）をローレベル（オフ）からハイレベル（オン）に戻し、係るオン，オフ切り替えに応じてアクチュエータ５０２の電源電圧が変化するか否かに基づきリレー診断を行い、時刻ｔ５にてリレー診断を終了する。

なお、リレー診断は、少なくとも診断中にリレー制御信号ＲＣＳをローレベルにしてリレー５０１を意図的にオフする処理を実施するものであり、リレー５０１のオフ状態を複数回に分けて設定することができる。
ここで、ＡＮＤ回路６００の出力は、リレー５０１のオン，オフを制御するリレー制御信号ＲＣＳであると共にＣＡＮ通信回路４００のEnable、Disableの切り替え信号であり、ＣＡＮ通信回路４００がＡＮＤ回路６００の出力によってのみEnableとなる構成では、リレー診断のためにリレー５０１を一時的にオフするためにＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）をローレベルに切り替えると、同期してＣＡＮ通信回路４００がDisable状態になりＣＡＮ通信が停止されることになってしまう。そして、リレー診断のためにＣＡＮ通信が途絶えると、他の電子制御装置１００Ｂは電子制御装置１００Ａの異常を誤判定することになる。

そこで、メインユニット２００は、リレー診断中（少なくとも図３の時刻ｔ４から時刻ｔ５の間であってＡＮＤ回路６００の出力がローレベルに設定される間）にＣＡＮコントロール部２０４からハイレベルのＣＡＮコントロール信号ＮＣＳを出力することで、リレー診断に伴うＣＡＮ通信停止指令（リレー制御信号ＲＣＳ＝ローレベルによるDisable指令）を無効とし、ＣＡＮ通信回路４００をEnable状態に保持する。
これにより、リレー診断に伴ってＣＡＮ通信が停止されてしまい、他の電子制御装置１００Ｂが電子制御装置１００Ａの異常を誤判定することを抑制できる。

図４のフローチャートは、メインユニット２００（ＣＡＮコントロール部２０４）におけるＣＡＮコントロール信号ＮＣＳの出力制御の流れを示す。
メインユニット２００は、ステップＳ１００１でリレー診断中であるか否かを判定し、リレー診断中であって診断のためにリレー５０１を意図的にオフする場合には、ステップＳ１００２にてＣＡＮコントロール信号ＮＣＳをハイレベル（Enable）に設定する。これにより、リレー制御信号ＲＣＳのレベル（リレー５０１のオン，オフ）とは無関係に、ＣＡＮ通信回路４００はEnable状態に保持されることになる。

ＣＡＮトランシーバ４０２にEnable信号、Disable信号を出力するＯＲ回路４０１は、ＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）とＣＡＮコントロール部２０４の出力（ＣＡＮコントロール信号ＮＣＳ）との少なくとも一方がハイレベル信号であればハイレベル信号を出力し、ＣＡＮ通信回路４００をEnable状態とする。
従って、ＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）がリレー診断のためにローレベルに切り替わっても、ＣＡＮコントロール部２０４からハイレベル信号を出力していれば、ＣＡＮ通信回路４００はEnable状態に保持されることになり、ＡＮＤ回路６００のローレベル出力によってリレー５０１はオフに切り替えられるものの、ＣＡＮ通信回路４００がDisable状態に切り替わることを抑制できる。

一方、リレー診断中でないためにリレー５０１が意図的にオフされる状況ではなく、リレー５０１のオフ制御が異常判定に基づき実施される場合、メインユニット２００は、ステップＳ１００３にてＣＡＮコントロール信号ＮＣＳをローレベル（Disable）に設定する。これにより、ＣＡＮ通信回路４００は、リレー制御信号ＲＣＳのレベルに応じてEnable状態とDisable状態とに切り替えられることになり、プロセッサやリレー５０１の異常が発生すると、リレー５０１がオフされかつＣＡＮ通信が停止される。
なお、リレー診断の開始（リレー５０１を診断のためにオフする制御の開始）に先立ってＣＡＮコントロール信号ＮＣＳをハイレベルに立ち上げておき、リレー診断の終了（診断のためのオフ状態からオン状態への復帰）から遅れてＣＡＮコントロール信号ＮＣＳをローレベルに立ち下げることができる。

また、リレー診断中であっても、リレー５０１がオンされるときにはＣＡＮコントロール信号ＮＣＳをローレベルとし、診断のためにリレー５０１をオフしているときにＣＡＮコントロール信号ＮＣＳをハイレベルとすることができる。
上記のようにして、リレー診断中にＣＡＮコントロール信号ＮＣＳをハイレベルに設定すれば、リレー診断の開始前からＣＡＮ通信を開始させても、リレー診断に伴ってＣＡＮ通信が停止（中断）してしまうことを抑制でき、リレー診断の開始前からＣＡＮ通信を開始させることができる。

そして、リレー診断の開始前からＣＡＮ通信を開始させれば、リレー診断に要する時間だけＣＡＮ通信の開始を早めることができ、電源投入時点から他の電子制御装置１００Ｂとの間でのＣＡＮ通信が成立するまでの時間を短くし、他の電子制御装置１００Ｂが、ＣＡＮ通信が成立するまでの時間に基づき電子制御装置１００Ａの異常を誤判定することを抑制できる。
また、リレー診断が完了すると（定常処理に移行すると）、ＣＡＮコントロール部２０４はＣＡＮコントロール信号ＮＣＳをローレベルに切り替えて保持することで、異常発生の検出に基づきリレー制御信号ＲＣＳによりリレー５０１がオフされるのに同期して、ＣＡＮ通信を停止させることができる。従って、アクチュエータ５０２がメインユニット２００によって誤って制御されることを抑制し、また、誤った情報やデータが電子制御装置１００Ａ（メインユニット２００）から他の電子制御装置１００Ｂに送信されてしまうことを抑制でき、更に、ＣＡＮ通信が停止することで他の電子制御装置１００Ｂは電子制御装置１００Ａの異常を判定できる。

図５に参考例として示す初期化処理では、マイコン初期化、プログラム初期化が終わると（時刻ｔ１）、引き続きリレー診断を行い、リレー診断が終了したとき（時刻ｔ２）にＣＡＮ通信を開始させている。
この図５に示す初期化処理では、リレー診断に伴ってＡＮＤ回路６００の出力がローレベルに切り替えられ、これに伴ってＣＡＮ通信回路４００がDisable状態になっても、他の電子制御装置１００Ｂとの間でのＣＡＮ通信を開始する前であるので、ＣＡＮ通信に影響を与えることはない。
しかし、図５に示す初期化処理では、リレー診断の終了までＣＡＮ通信を開始させることができず、電源投入からＣＡＮ通信開始までの時間が、図２に示すようにリレー診断の開始前（時刻ｔ１）から通信を開始させる場合に比べて長くなり、電子制御装置１００Ａとの間でＣＡＮ通信を行う他の電子制御装置１００Ｂが、ＣＡＮ通信が所定時間を超えて成立しないことで電子制御装置１００Ａの異常を誤判定してしまう可能性がある。

これに対し、リレー診断中にリレー診断に伴うＣＡＮ通信の停止指令を無効とし、ＣＡＮ通信回路４００を通信可能とする電子制御装置１００Ａでは、リレー診断に要する時間だけＣＡＮ通信の開始（ＣＡＮ通信の成立）を早めることができ、他の電子制御装置１００Ｂが、電子制御装置１００ＡとのＣＡＮ通信が成立するまでの時間に基づき電子制御装置１００Ａの異常を誤判定することを抑制できる。
例えば、通信機能の診断として、ＣＡＮ通信回路４００をDisable状態とEnable状態との間で切り替える制御を行って、Disable、Enableの切り替え機能が正常であるか否かを診断する場合には、診断中に通信可能状態に保持することはできず、通信機能診断の開始前にＣＡＮ通信を開始させたとしても、通信機能診断の開始に伴ってＣＡＮ通信が途絶えることになってしまう。

これに対し、リレー診断のような通信機能以外の診断であって、リレー５０１を意図的にオン、オフ切り替えするもののＣＡＮ通信回路４００のDisable状態、Enable状態が診断に影響を与えない診断では、リレー５０１をオン、オフに切り替えて診断を行う一方で、ＣＡＮコントロール信号ＮＣＳによってＣＡＮ通信回路４００をEnable状態に保持すれば、診断開始前からＣＡＮ通信を開始させておくことができる。
なお、電源投入時の初期化処理は、図２に例示したものに限定されるものではないが、マイコン初期化やプログラム初期化を先に行わせ、メインユニット２００及びサブユニット３００のプロセッサが正常であると診断されてからリレー診断などの外部デバイスの診断を行わせることが好ましい。このため、図２に示した初期化処理の一例では、初期化処理の最後のステップとして、リレー診断を行わせ、係るリレー診断の開始前にＣＡＮ通信を開始させる構成としてある。

また、電子制御装置１００Ａでは、メインユニット２００の異常をサブユニット３００による監視及びメインユニット２００での自己診断で検出し、メインユニット２００に異常が発生したときにリレー５０１をオフする（アクチュエータ５０２の駆動を停止する）と共に、係るオフ制御に同期してＣＡＮ通信を停止させるから、メインユニット２００に異常が生じたときに、アクチュエータ５０２が誤制御されることを抑制し、また、メインユニット２００の異常がＣＡＮ通信を介して他の電子制御装置１００Ｂに影響することを抑制して、車両のフェイルセーフを図ることができる。

上記実施形態で説明した各技術的思想は、矛盾が生じない限りにおいて、適宜組み合わせて使用することができる。
また、好ましい実施形態を参照して本発明の内容を具体的に説明したが、本発明の基本的技術思想及び教示に基づいて、当業者であれば、種々の変形態様を採り得ることは自明である。
上記実施形態では、初期化処理に含まれるリレー診断において、ＣＡＮコントロール部２０４がＣＡＮコントロール信号ＮＣＳをハイレベルに設定し、ＣＡＮ通信回路４００をEnable状態に保持するが、リレー診断以外でリレー制御信号ＲＣＳがローレベルに設定される状況で、ＣＡＮコントロール信号ＮＣＳをハイレベルに設定することでＣＡＮ通信回路４００をEnable状態に保持させることができる。

例えば、メインユニット２００のリプログラミングがＣＡＮ通信を介して行われる場合、メインユニット２００とサブユニット３００との間での相互通信が停止することで、サブユニット３００はその監視機能によりメインユニット２００の異常を判定しリレー制御信号ＲＣＳをローレベルに設定することで、リレー５０１をオフし、ＣＡＮ通信回路４００のDisableを指令することになってしまう。
そこで、メインユニット２００のリプログラミング中は、ＣＡＮコントロール部２０４がＣＡＮコントロール信号ＮＣＳをハイレベルに設定することで、ＣＡＮ通信を介してリプログラミングを行えるようにする。

また、サブユニット３００が自己診断で自身のプロセッサの異常を診断することで、リレー制御信号ＲＣＳをローレベルに設定する場合であって、メインユニット２００が正常である場合に、ＣＡＮコントロール部２０４がＣＡＮコントロール信号ＮＣＳをハイレベルに設定することで、ＣＡＮ通信が行えるようにすることができる。
また、ＣＡＮ通信回路４００はＯＲ回路４０１を備えるが、リレーオフ制御に同期してＣＡＮ通信を停止でき、かつ、リレーオフ制御に伴うＣＡＮ通信の停止を無効とし、ＣＡＮ通信を可能にできる構成であればよく、ＯＲ回路４０１に限定されるものではない。

また、上記実施形態では、アクチュエータ５０２への電源供給をスイッチングするリレー５０１のオン、オフ指令が、ＣＡＮ通信回路４００にEnable，Disable指令として与えられる構成としたが、例えば、アクチュエータ５０２のオン、オフ指令がＣＡＮ通信回路４００にEnable，Disable指令として与えられる構成とすることができる。
この場合、メインユニット２００とサブユニット３００との少なくとも一方が異常になったときに、アクチュエータ５０２のオフ指令を出力させる一方、アクチュエータ５０２の診断のためにアクチュエータ５０２のオフ指令をメインユニット２００が出力する場合に、メインユニット２００がＣＡＮコントロール信号ＮＣＳとしてハイレベル信号を出力し、診断に伴うＣＡＮ通信の停止指令を無効とすることができる。
更に、上記実施形態の電子制御装置１００Ａは、メインユニット２００とサブユニット３００との２つのプロセッサを備えるが、１つのプロセッサ（ＣＰＵコア）を備える装置や、３つ以上のプロセッサ（ＣＰＵコア）を備える装置にも、本発明を適用できることは明らかである。

ここで、上記実施形態から把握し得る請求項以外の技術的思想について、以下に効果と共に記載する。
（イ）メインユニットと、前記メインユニットの監視を行うサブユニットと、前記メインユニットが他の電子制御装置との間で通信を行うための通信ユニットとを備え、前記メインユニットによってアクチュエータを駆動制御する車両用電子制御装置において、
前記アクチュエータへの電源供給をスイッチングするリレーのオン、オフ指令が、前記通信ユニットにEnable，Disable指令として与えられ、
前記メインユニットは、前記リレーのオフ指令に応じた前記通信ユニットのDisable指令を無効とする機能を有する、車両用電子制御装置。
上記発明によると、リレーのオン、オフ指令に同期して通信ユニットをEnable，Disableに切り替えることができる一方、リレーのオン、オフ指令に関わらずに他の電子制御装置との通信を成立したい場合に、通信ユニットをEnableに保持することが可能である。

（ロ）前記サブユニットは、前記メインユニットが異常になったときに前記リレーのオフ指令を出力し、
前記メインユニットは、前記サブユニットが異常になったときに前記リレーのオフ指令を出力する、請求項（イ）記載の車両用電子制御装置。
上記発明によると、メインユニットが異常になったとき、及び、サブユニットが異常になったときに、リレーをオフし、かつ、通信を停止させることで、車両のフェイルセーフを図ることができる。

（ハ）前記メインユニットは、前記リレーの診断において前記リレーのオフ指令を出力し、当該オフ指令による前記通信ユニットのDisable指令を無効とする、請求項（イ）又は（ロ）記載の車両用電子制御装置。
上記発明によると、リレー診断のためにリレーがオフされるときに、通信ユニットをEnableに保持することができる。

（ニ）前記メインユニットは、電源投入時の初期化処理として前記リレーの診断を行い、前記リレーの診断開始前から前記他の電子制御装置との間での通信を開始する、請求項（ハ）記載の車両用電子制御装置。
上記発明によると、初期化処理においてリレーの診断を行う場合に、係るリレー診断の終了を待たずに他の電子制御装置との通信を開始させ、診断に伴うリレーオフ指令に基づき通信ユニットがDisableにならないように、リレーオフ指令に基づくDisable指令を無効とする。これにより、リレー診断終了後に通信を開始する場合よりも通信開始を早めることができ、通信開始が遅れることで他の電子制御装置が当該電子制御装置の異常を誤判定することを抑制できる。

（ホ）前記リレーのオン、オフ指令を前記通信ユニットのEnable，Disable指令として一方の入力端子に入力し、前記メインユニットからのEnable，Disable指令を他方の入力端子に入力する論理演算部を備え、
前記論理演算部は、入力端子の少なくとも一方にEnable指令が入力されているときに、前記通信ユニットをEnableにする、請求項（イ）から（ニ）のいずれか１つに記載の車両用電子制御装置。
上記発明によると、論理演算部は、入力端子の少なくとも一方にEnable指令が入力されているときに通信ユニットをEnableにするから、リレーのオフ指令が通信ユニットのDisable指令として入力されていても、メインユニットからEnable指令を出すことで、リレーのオフ指令に基づくDisable指令を無効とし、通信ユニットをEnableにできる。

（へ）前記メインユニットは、前記通信ユニットを介してリプログラミングが行われるときに、前記リレーのオフ指令に応じた前記通信ユニットのDisable指令を無効とする、請求項（ロ）記載の車両用電子制御装置。
上記発明によると、リプログラミングに伴いメインユニットとサブユニットとの間の通信が途絶えることで異常発生が判定されてリレーのオフ指令が出力されても、通信ユニットをEnableに保持して、通信ユニットを介したリプログラミングを行える。

１００Ａ…電子制御装置、１００Ｂ…他の電子制御装置、２００…メインユニット、２０２…リレー診断部、２０３…自己診断部、２０４…ＣＡＮコントロール部、２０５…ＣＡＮ通信部、３００…サブユニット、３０１…ＣＰＵ監視部、３０５，６００…ＡＮＤ回路、４００…通信回路、４０１…ＯＲ回路、４０２…ＣＡＮトランシーバ、５００…リレー駆動回路、５０１…リレー、５０２…アクチュエータ

Claims (3)

1. 他の電子制御装置との間で通信を行うための通信回路を備えた車両用電子制御装置において、
   通信機能以外の診断処理に伴う前記通信回路の通信停止指令を無効とし前記通信回路を通信可能とする、車両用電子制御装置。
2. 前記車両用電子制御装置に含まれるプロセッサの監視結果に応じて前記通信回路の通信を停止する、請求項１記載の車両用電子制御装置。
3. 前記車両用電子制御装置は、アクチュエータの駆動制御を行う装置であり、
   前記監視結果に応じて前記アクチュエータの駆動を停止し、この駆動停止に同期して前記通信回路の通信を停止する、請求項２記載の車両用電子制御装置。