JP2015214226A - 車載電子制御装置 - Google Patents

Abstract

【課題】制御手段の動作を監視する監視手段の監視機能が正常に動作するかを検査する検査間隔が長くなることを防止しながら、遮断出力機能の検査も支障を生じることなく行うことができる車載電子制御装置を提供する。
【解決手段】マイコン１０は、イグニッションスイッチのＯＦＦ時に加えてアイドリングストップ時にも自己監視部１３及びモニタモジュール２０の検査動作を実行する。これにより、イグニッションスイッチＯＮ期間が長い場合であっても、検査動作の間隔を短縮することができ、システムの信頼性を高めることができる。
【選択図】図１

Description

本発明は、制御対象に対して所定の制御動作を行う制御手段が当該制御手段の動作を監視する監視手段の監視機能が正常に動作するかを検査する検査動作を実行する車載電子制御装置に関する。

従来、制御対象を制御するマイクロコンピュータ（以下、マイコン）と、このマイコンの動作を監視する監視ＩＣとで構成された電子制御装置が提供されている（特許文献１参照）。
一方、特許文献２によれば、マイコンは、所定のＩＣテスト実行タイミングにて、意図的に「マイコン異常」と判定されるテスト回答を監視ＩＣに送信し、そのテスト回答に対する監視ＩＣからの判定結果が「マイコン異常」であるか否かで、ＩＣの機能テストを実施することが記載されている（請求項１０参照）。

特許文献２の請求項１０に係る発明によれば、マイコンからのテスト回答の正誤を判定する監視ＩＣの正誤判定機能が正常か否かを、マイコン側にてランタイム（イグニッションスイッチＯＮ時）に検証することができるので、監視ＩＣの異常判定回路の誤判定を検出した場合は、その誤判定の回数をカウントし所定回数となったことで異常を確定することが可能となる。

特開２００７−２７５８号公報 特許第４４３２９８８号公報

しかしながら、特許文献２の請求項１０に係る発明は、監視ＩＣの機能の一部（エラー検出回路の異常回数カウント用のカウンタ動作のみ等）を検査しているにすぎず、危険を未然に回避する効果はランタイム中に検査している部分的な異常判定機能に限定されるという問題がある。

一方、制御対象を駆動するための所定の駆動回路に対する監視手段による遮断出力機能が有効かの検査をランタイム中に実施すると、電子制御装置がエンジンＥＣＵ（Electronic Control Unit）であれば遮断出力によるエンジン出力抑制状態ではエンストの懸念がある。そのため、マイコン暴走時に監視手段の異常判定機能及び遮断出力機能が有効に機能するかどうかは当該検査だけでは十分に確認できていないという問題がある。

上記課題を解決する手段として、イグニッションスイッチＯＮからイグニッションスイッチＯＦＦ時に所定の手順を踏んで、異常判定回路の詳細と、遮断出力の有効性とを確認できるが、イグニッションスイッチＯＮ期間が長いと、イグニッションスイッチＯＦＦして運転終了するタイミングまで遮断出力の有効性が確認できないため、ランタイム中に遮断出力の有効性が確認できないという懸念がある。

しかしながら、特許文献２の請求項１０に係る発明は、監視ＩＣによる異常判定機能の有効性を、遮断出力機能を含めて確認するものでもなく、異常判定機能を詳細に検査するものでもない。つまり、異常判定機能の一部（異常回数検出用カウンタのカウンタ動作のみ）を検査しているにすぎず、例えば信頼できないソフトウェアの暴走で安全機能（例えばトルクモニタ）の実行が侵害されたときに、監視ＩＣの遮断出力機能が有効に機能するかどうかは当該検査だけでは十分に確認できない。
要するに、危険を未然に回避する効果はランタイム中に検査している部分的な異常判定機能に限定されるという問題があるし、遮断出力機能の検査をランタイム中に実施するとエンジンＥＣＵであればエンストの懸念がある。

本発明は上記事情に鑑みてなされたもので、その目的は、制御手段の動作を監視する監視手段の監視機能が正常に動作するかを検査する検査間隔が長くなることを防止しながら、遮断出力機能の検査を車両に支障を生じることなく行うことができる車載電子制御装置を提供することにある。

請求項１の発明によれば、アイドリングストップ時に監視手段の監視機能が正常に動作するかを検査する検査動作を実行するので、イグニッションスイッチＯＦＦ時に検査動作を実行する場合に比較して、検査間隔の短縮を図ることができる。しかも、この検査動作の終了時にアイドリングストップが継続している場合は、制御対象を駆動するための駆動回路に対して監視手段からの遮断出力が有効に機能するかを検査する遮断出力検査動作を実行するので、車両に影響することなく監視手段の遮断出力機能を検査することができる。

第１実施形態における電子制御装置を示す機能ブロック図 マイコンの検査動作を示すフローチャート 検査タイミングを示す図 第２実施形態におけるマイコンの検査動作を示すフローチャート 第３実施形態におけるマイコンの検査動作を示すフローチャート 検査タイミングを示す図 第４実施形態におけるマイコンの検査動作を示すフローチャート 検査タイミングを示す図 第５実施形態におけるマイコンの検査動作を示すフローチャート 検査タイミングを示す図

（第１実施形態）
本発明をエンジンＥＣＵに適用した第１実施形態について、図１から図３を参照して説明する。
図１に示す電子制御装置１（車載電子制御装置に相当）はエンジンＥＣＵで、マイコン１０（制御手段に相当）、モニタモジュール２０（監視手段、第２監視手段に相当）、駆動回路３０（駆動手段に相当）を備えて構成されており、アクチュエータ２（制御対象に相当）の駆動制御を行う。アクチュエータ２は例えば図示しない電子スロットルバルブを開閉駆動するスロットルバルブ用モータである。

マイコン１０は、アクチュエータ２の駆動制御を行うための各種演算処理を行うもので、入力部１１、制御部１２、自己監視部１３（監視手段、第１監視手段に相当）、プログラム実行部１４、通信部１５、外部通信部１６、カウンタ１７、記憶部１８を備えて構成されている。

マイコン１０の主体をなす制御部１２は、入力部１１を通じて例えばアクセルペダル操作量などを示す各種外部信号を入力し、入力した外部信号に基づいてアクチュエータ２に対する制御量（駆動量）を演算する演算処理を実行し、その演算結果（駆動指令）を駆動回路３０に出力する。

駆動回路３０は、制御部１２からの駆動指令に応じてアクチュエータ２を駆動制御する。アクチュエータ２は、駆動回路３０による駆動制御に応じて電子スロットルバルブの開閉駆動を行う。電子スロットバルブにはスロットルバルブ用センサ３が設けられており、電子スロットバルブの開度を検出して開度を示す開度信号を出力する。制御部１２は、スロットルバルブ用センサ３からの開度信号を入力部１１を介して入力することにより電子スロットルバルブの開度を取得する。

自己監視部１３は、制御部１２からの駆動指令の妥当性を監視するもので、入力部１１から制御部１２へ入力される各種外部信号を同時に入力して制御部１２による演算処理と同一の演算処理を実行する。そして、演算処理の結果（駆動指令）と制御部１２から取得した駆動指令とを比較し、比較結果が異なっていた場合は、制御部１２による駆動指令の妥当性を否定する信号として駆動回路３０に出力される遮断出力をアクティブとする。この遮断出力は、駆動回路３０に対するDisable信号である。このDisable信号がアクティブになると、駆動回路３０によりアクチュエータ２が閉鎖側に制御されてエンジンのトルクが制限されるので、車両として異常な状態になることが防止される。この場合、電子スロットルバルブは閉鎖側に制御されるにしても最小燃料供給状態は確保されるので、エンジンによる最低限の走行可能な状態は確保される。

プログラム実行部１４は、自己監視部１３の異常の有無を監視するための監視プログラムを実行するもので、マイコン１０の通信部１５を通じてモニタモジュール２０から入力する監視プログラムの実行を指示するテスト信号に基づき、監視プログラムの実行を開始する。監視プログラムの実行に際しては、プログラム実行部１４が監視プログラムにより指示される所定のデータを自己監視部１３に出力してこれを予め演算させておく。その後、自己監視部１３による演算結果を入力し、その演算結果を通信部１５を通じてモニタモジュール２０に出力する。

モニタモジュール２０は、通信部２１と異常判定回路２２とを備えて構成されている。通信部２１は、マイコン１０の通信部１５との間でシリアル通信による情報の授受を行う。モニタモジュール２０は、マイコン１０のプログラム実行部１４から通信部１５及び通信部２１を介して取込まれる情報に基づき、自己監視部１３の異常の有無を監視するハードウェアである。

モニタモジュール２０がマイコン１０の自己監視部１３を監視する場合、異常判定回路２２は、テスト信号を例えば所定期間毎にマイコン１０に出力すると共にマイコン１０（プログラム実行部１４）から出力される所定のデータの演算結果を入力し、その演算結果と自らが有する期待値とを比較し、その比較結果が異なる場合は妥当性を否定する信号として駆動回路３０に出力される遮断出力をアクティブとする。この遮断出力は、マイコン１０の自己監視部１３からの遮断出力と同様な駆動回路３０に対するDisable信号である。

駆動回路３０は、基本的にマイコン１０からの駆動指令に基づいてアクチュエータ２の駆動制御を実行するが、次のような場合は駆動指令を無効とするようになっている。つまり、自己監視部１３或いはモニタモジュール２０の異常判定回路２２から出力される監視結果を示す遮断出力がアクティブとなった場合は、制御部１２からの駆動指令の信頼性が低く車両の安全性が低い可能性が高い。したがって、このような場合は、駆動回路３０は、車両の安全性を確保すべく、制御部１２による駆動指令を無効としてアクチュエータ２に対する駆動制御を実行しないするようになっている。この場合、電子スロットルバルブはアクチュエータ２により開放されない状態となるが、エンジンの駆動を維持するだけの最小燃料をエンジンに供給可能な状態となるので、エンジンによる最低限の走行可能なリンプフォーム走行（所定速度以下での走行モード）が可能な状態は確保される。

外部通信部１６は、アイドリングストップ制御装置４とボディー系制御装置５との間で情報を送受信する。アイドリングストップ制御装置４から電子制御装置１へ送信される情報としては、アイドリングストップ実施判定結果及び再始動要求である。アイドリングストップ実施判定結果は、アイドリングストップ制御装置４がアイドリングストップ条件の成立に応じてエンジンを停止した場合にＯＫとなる。再始動要求は、アイドリングストップ制御装置４がアイドリングストップ条件の解除に応じてエンジンを再始動した場合にＯＮとなる。電子制御装置１からアイドリングストップ制御装置４に出力される信号としては、エンジン再始動禁止要求である。このエンジン再始動禁止要求は、アイドリングストップ制御装置４に対してアイドリングストップ条件が解除されてもエンジンの始動を禁止することを要求する場合にＯＮとなる。電子制御装置１からボディー系制御装置５へ出力される信号としては、警告灯ＯＮ要求である。この警告灯ＯＮ要求は、インストルメントパネルに設けられている警告灯の点灯を要求する場合にＯＮとなる。このような情報の伝達は後述するように各装置が有するフラグを介して行われる。

カウンタ１７は、前回のイグニッションスイッチＯＦＦから今回のイグニッションスイッチＯＮに至るまでの時間を計時するので、イグニッションスイッチＯＦＦ時も動作可能なようにバッテリから給電される。記憶部１８は、ランタイム（イグニッションスイッチＯＮ）中に後述するように実施したモニタモジュール２０の検査結果を記憶すると共に後述する検査動作の中断ポイント（中断したプログラムアドレス）を記憶する。

以上のように、電子制御装置１では、駆動回路３０に対する駆動指令を自己監視部１３により自己監視する自己監視機能に加えて、自己監視機能の正常／異常をモニタモジュール２０により監視する２重の監視機能を備えている。したがって、このような監視機能を備えていない構成に比較して、アクチュエータ２に対する駆動制御にかかる信頼性が高い。

さらに、制御部１２は、エンジン停止時に自己監視部１３及びモニタモジュール２０が正常に動作するかを検査する機能を備えている。この場合、イグニッションスイッチＯＦＦによるエンジン停止時のみに自己監視部１３及びモニタモジュール２０を検査したのでは、イグニッションスイッチＯＦＦして運転終了するタイミングまで遮断出力の有効性が確認できないため、遮断出力の有効性が確認できない期間が長いという懸念がある。

このような事情から、本実施形態では、イグニッションスイッチＯＦＦ時に加えてアイドリングストップ時にも自己監視部１３及びモニタモジュール２０を検査するようにした。このようにアイドリングストップ時にも車両に支障を生じることなく検査可能とするために、電子制御装置１は、次のようにして検査動作を実行する。

以下、アイドリングストップ時の自己監視部１３及びモニタモジュール２０に対する検査動作について説明する。尚、イグニッションスイッチＯＦＦ時の検査動作も同様であることから、その説明は省略する。
マイコン１０は、図２に示すように、カウンタ１７に記憶されている計時時間により前回検査からの経過期間は所定時間以上かを判定する（Ｓ１０１）。所定時間以上の場合は（Ｓ１０１：ＹＥＳ。図３に示す「検査期間の期間取得」：ＯＫ）、アイドリングストップ実施判定ＯＫかを判定する（Ｓ１０２）。このアイドリングストップ実施判定は、アイドリングストップ制御装置４のアイドリングストップ実施判定フラグ（図３参照）を判定するもので、エンジンが停止したかを判断するためのものである。

次に、モニタモジュール２０の異常判定回路２２の検査を実施する（Ｓ１０３。図３に左斜線領域で示す）。具体的には、意図的に「マイコン異常」と判定されるテスト回答をモニタモジュール２０に送信し、そのテスト回答に対するモニタモジュール２０からの判定結果が「マイコン異常」であるか否かで、モニタモジュール２０の異常判定回路２２の監視機能テストを実施する。

異常判定回路２２に異常がない場合は（Ｓ１０４：ＹＥＳ）、再始動要求がないかを確認する（Ｓ１０５）。この再始動要求は、アイドリングストップ制御装置４の再始動要求フラグ（図３参照）により判定するもので、アイドリングストップ条件が解除されてエンジンが始動したかを判定するものである。再始動要求がない場合は（Ｓ１０５：ＹＥＳ）、遮断出力機能検査を実施する（Ｓ１０６。図３に右斜線領域で示す）。つまり、異常判定回路２２は上述した機能テストが所定回数異常であった場合は遮断出力をアクティブとする機能を有していることから、その機能をテストするのである。具体的には、異常判定回路２２が異常と判定する回数だけ上述の機能テストを連続して実行することで、異常判定回路２２からの遮断出力を強制的にアクティブとするものである。異常判定回路２２から駆動回路３０に対する遮断出力は、駆動回路３０に対するDisable信号である。
スロットルバルブ用センサ３は電子スロットバルブの開度を検出しており、マイコン１０は、スロットルバルブ用センサ３により電子スロットルバルブが閉鎖側に制御されたことを検知した場合に、異常判定回路２２の遮断出力機能は正常であると判定する。

一方、マイコン１０は、自己監視部１３からの遮断出力も強制的にアクティブ可能となっており、遮断出力検査では異常判定回路２２に続けて自己監視部１３の遮断出力機能も検査する。具体的には、自己監視部１３は、制御部１２と同一の演算を実行し、制御部１２から入力する駆動指令の妥当性を判定し、妥当性が失われた場合に遮断出力をアクティブとすることから、自己監視部１３に対して本来なら駆動指令を出力する演算動作を実行させながら自分からは駆動指令を出力することをしない。

すると、自己監視部１３は、駆動指令の妥当性が失われたとして遮断出力をアクティブとするので、アクチュエータ２により電子スロットバルブが閉鎖側に制御されるので、スロットバルブセンサにより検出した電子スロットバルブの開度に基づいて自己監視部１３の遮断出力機能を検査することができる。

マイコン１０は、異常判定回路２２または自己監視部１３に異常が無い場合は（Ｓ１０４：ＹＥＳ、Ｓ１０７：ＹＥＳ）、そのまま終了する。これに対して、異常判定回路２２または自己監視部１３に異常があると判定した場合は（Ｓ１０４：ＮＯ、Ｓ１０７：ＮＯ）、異常判定フラグをセットし（図３参照）、異常判定を所定回数以上したかを判定する（Ｓ１０８）。図３の場合には所定回数は２回であることから、異常判定フラグを２回セットしたかを判定する。所定回数未満の場合は（Ｓ１０８：ＮＯ）、異常判定回路２２及び遮断出力機能の検査を再度実施する。そして、再度の検査の結果、異常がなければ（Ｓ１０７：ＹＥＳ）、終了し、異常判定を所定回数（図３の場合は２回）した場合は（Ｓ１０８：ＹＥＳ）、異常処置を実行する（Ｓ１０９）。

この異常処置としては、インストルメントパネルの警告灯を点灯したり、アクチュエータ２により電子スロットバルブを閉鎖側に制御することによってエンジンがリンプフォーム動作を実行することによりリンプフォーム走行させたりするものである（図３参照）。つまり、イグニッションスイッチＯＦＦ時の検査時に異常確定した場合は、エンジン再始動禁止としても、駐車場での停止であることから車両に問題を生じることはないが、アイドリングストップで停止する場所は交差点のように道路上であり、エンジン再始動禁止としてしまうと、道路上で車両が停止し続けることになり、危険な状態となる。このため、異常処置として、警告灯によって運転者へ通知したり、リンプフォーム走行させたりすることで、危険な状態を回避することができる。
一方、アイドリングストップ時に異常判定回路２２の検査を実施し、異常判定回路２２の異常を判定した場合に、再始動要求があった場合は（Ｓ１０５：ＮＯ。図３の再始動要求フラグ）、検査を終了する。

このような実施形態によれば、次のような効果を奏することができる。
マイコン１０は、イグニッションスイッチのＯＦＦ時に加えてアイドリングストップ時にも自己監視部１３及びモニタモジュール２０の検査動作を実行するので、イグニッションスイッチＯＮ期間が長い場合であっても、検査動作の間隔を短縮することができ、システムの信頼性を高めることができる。

アイドリングストップ時に検査を実行するようにしたので、遮断出力を含めた機能が有効に動作するかを車両に影響することなく実施することができる。
前回検査動作を実行してからの期間が所定時間以下の場合は検査動作を実行しないので、過剰な検査を実施することがなく、マイコン１０のソフト処理の負荷を軽減することができる。

異常であると判定した回数が所定回数となった場合に異常を確定して異常処置を実行するようにしたので、異常検出の精度を高めることができる。
異常確定時の異常処置として、エンジン再始動を禁止せず警告灯を点灯したり、リンプフォーム動作させたりするようにしたので、車両の停止状態が継続して危険な状態となることを回避することができる。

（第２実施形態）
本発明の第２実施形態について図４を参照して説明する。この第２実施形態は、遮断出力の検査をマイコン１０の自己監視部１３のみ実行することを特徴とする。尚、図４では第１実施形態と同一ステップには同一ステップ番号を付して説明を省略し、異なるステップのみに新たなステップ番号を付した。以下の実施形態でも同じである。

第１実施形態では、モニタモジュール２０の異常判定回路２２の検査を実施した場合、モニタモジュール２０からの遮断出力が有効となることから、このような状態でアイドリングストップ要求が解除されてエンジン再始動が必要となった場合、モニタモジュール２０からの遮断出力を非アクティブとする必要がある。このようにマイコン１０によりモニタモジュール２０からの遮断出力を簡単に解除可能な構成は、システム上好ましくないと言える。例えば、モニタモジュール２０からの遮断出力をアクティブにしているのに、マイコン１０が例えば異常信号を受信してモニタモジュール２０からの遮断出力を誤って非アクティブとすることが考えられる。
そこで、本実施形態では、マイコン１０は、遮断出力の検査動作を実行する場合は、図４に示すように自己監視部１３の遮断出力のみ検査を実行し（Ｓ２０１）、モニタモジュール２０の遮断出力検査を実行しないようにした。

尚、モニタモジュール２０の遮断出力の機能は、イグニッションスイッチＯＦＦ時に実行する。つまり、イグニッションスイッチＯＦＦ時にマイコン異常により遮断出力をアクティブしている場合に何らかの要因でモニタモジュール２０の遮断出力が誤って非アクティブとなるにしても車両に何の影響も生じないからである。

このような実施形態によれば、アイドリングストップ時の遮断出力の検査は自己監視部１３のみ検査するようにしたので、マイコン１０からモニタモジュール２０に対して遮断出力の解除を実行するように構成する必要がなくなり、システムの信頼性を高めることができる。

（第３実施形態）
本発明の第３実施形態について図５及び図６を参照して説明する。この第３実施形態は、モニタモジュール２０の監視機能の検査時に再始動が行われた場合は、検査を中断し、次のアイドリングストップ時に検査を再開することを特徴とする。

マイコン１０は、図５に示すように、アイドリングストップした場合は（Ｓ１０２：ＹＥＳ）、検査中断情報がないかを判定する（Ｓ３０１）。この場合、検査中断情報はないことから（Ｓ３０１：ＹＥＳ）、異常判定回路２２の検査を実施してから（Ｓ１０３）、再始動要求はないかを確認する（Ｓ３０４）。再始動要求がなければ（Ｓ３０４：ＹＥＳ）、ステップ１０４に移行し、以下、第１実施形態と同一の動作を実行する。再始動要求があった場合は（Ｓ３０４：ＹＥＳ）、中断ポイントを記憶部１８に保存する（Ｓ３０５．図６の中断フラグＯＮ）。そして、次のアイドリングストップ時において（Ｓ１０２：ＹＥＳ）、検査中断情報がある（中断フラグがＯＮである）ことから（Ｓ３０１：ＮＯ）、中断ポイントを記憶部１８より取得し（Ｓ３０２）、中断ポイントから検査を実施してから（Ｓ３０３）、ステップＳ３０４へ移行する。

このような実施形態によれば、検査動作を中断した場合は、中断ポイントから検査動作を再開するようにしたので、異常判定回路２２及び遮断出力の検査結果確定までの期間を短縮でき、システムの信頼性を高めることができる。

（第４実施形態）
本発明の第４実施形態について図７及び図８を参照して説明する。この第４実施形態は、アイドリングストップ時の車両停止期間を予測し、その予測した車両停止期間に応じて検査動作を実行するかを決定することを特徴とする。

車両停止期間が短いために、検査動作により自己監視部１３或いは異常判定回路２２からの遮断出力がアクティブとなっている期間に再始動要求が発生した場合は、遮断出力を非アクティブとするのに時間を要することから、再始動性（アイドリングストップ条件が解除してからエンジンが実際に始動するまでの時間）が悪化する懸念がある。
そこで、マイコン１０は、図７に示すように、予測した車両停止期間が所定時間以上かを判定し（Ｓ４０１）、所定時間以上であることを条件として（Ｓ４０１：ＹＥＳ）、ステップＳ１０２へ移行し、以下、第１実施形態と同一動作を実行する。

尚、アイドリングストップによる車両停止期間を予測するには、例えばカーナビゲーション装置から車両停止情報（信号待ち時間等）を取得して判断する（図８参照）。また、通勤経路のように毎日同一の道路を通行する場合は、同一交差点における停車位置と停車時間との関係から推測するようにしてもよい。また、渋滞によるアイドリングストップであると判断した場合は、車両停止時間が短いことが一般的であることから、検査動作を実行しないのが望ましい。

このような実施形態によれば、予測した車両停止期間が所定時間よりも短い場合は、アイドリングストップ時であっても検査動作を実行しないようにしたので、アイドリングストップ条件が解除されてからエンジンが実際に再始動するまでの時間を短縮することができ、ドライバビリティを向上させることができる。

（第５実施形態）
本発明の第５実施形態について図９及び図１０を参照して説明する。この第５実施形態は、第４実施形態において、予測した車両停止時間が連続して短かった場合の処理に関するものである。

マイコン１０は、図９に示すように、予測した車両停止期間が所定時間よりも短いことによるアイドリングストップ時の検査未実施が所定回数連続した場合は（Ｓ４０１：ＮＯ、Ｓ５０１：ＹＥＳ）、再始動要求がないことを確認してから（Ｓ１０５：ＹＥＳ）、自己監視部１３の遮断出力のみ検査を実施する（Ｓ５０２）。これは、検査未実施の期間が継続した場合、システムの信頼性が懸念されることから、このような場合は、システムにとって致命的となる部分のみ検査を優先して実施するためである。

このような実施形態によれば、予測した車両停止期間が短いことによる検査未実施が継続した場合は、システムにとって致命的となる部分である自己監視部１３の遮断出力のみ検査を実施するようにしたので、システムの信頼性を向上させることができる。

（その他の実施形態）
本発明は、上記実施形態に限定されることなく、次のように変形または拡張したり、各変形例を上記実施形態と組合せたり、各変形例を組合せるようにしてもよい。
上記各実施形態において、前回検査から経過期間は所定時間以上の判断を省略してもよい。
上記各実施形態において、異常判定が所定回数以上となった場合に異常処置を実行するようにしたが、１回の異常判定で異常処置を実行するようにしてもよい。
異常確定時の異常処置として、警告灯点灯かリンプフォーム動作のいずれかを実行してもよいし、情報センタに異常を自動的に通報するようにしてもよい。
本発明を、エンジンＥＣＵ以外のＥＣＵに適用するようにしてもよい。

図面中、１は電子制御装置（車載電子制御装置）、２はアクチュエータ（制御対象）、１０はマイコン（制御手段）、１３は自己監視部（監視手段、第１監視手段）、２０はモニタモジュール（監視手段、第２監視手段）、３０は駆動回路（駆動手段）である。

Claims (8)

1. 制御対象（２）に対して所定の制御動作を行う制御手段（１０）と、この制御手段の動作を監視する監視手段（１３，２０）とを備え、前記制御手段は、前記監視手段の監視機能が正常に動作するかを検査する検査動作を実行する車載電子制御装置（１）において、
   前記制御手段は、アイドリングストップ時に前記検査動作を実行し、前記検査動作の終了時にアイドリングストップが継続している場合は、制御対象を駆動するための駆動手段（３０）に対して前記監視手段から遮断出力が有効かを検査する遮断出力検査動作を実行することを特徴とする車載電子制御装置。
2. 前記制御手段は、アイドリングストップ時であっても、前記検査動作を前回実行してからの期間が所定時間未満の場合は前記検査動作及び前記遮断出力検査動作を実行しないことを特徴とする請求項１記載の車載電子制御装置。
3. 前記制御手段は、前記検査動作の結果、異常であると判定した回数が所定回数となった場合に異常を確定して所定の異常処置を実行することを特徴とする請求項１または２記載の車載電子制御装置。
4. 前記制御手段は、前記検査動作中に再始動が行われた場合は、その検査動作を中断して中断ポイントを記憶し、次回のアイドリングストップ時に前記中断ポイントから前記検査動作を再開することを特徴とする請求項１から３の何れか一項に記載の車載電子制御装置。
5. 前記制御手段は、前記アイドリングストップ期間が所定時間よりも短いと予測した場合は、前記検査動作及び前記遮断出力検査動作を実行しないことを特徴とする請求項１から４の何れか一項に記載の車載電子制御装置。
6. 前記監視手段は、前記制御手段が有する第１監視手段（１３）と、前記制御手段から独立した第２監視手段（２０）とから構成され、
   前記制御手段は、アイドリングストップ時は前記第１監視手段のみ前記遮断出力検査動作を実行することを特徴とする請求項１から５の何れか一項に記載の車載電子制御装置。
7. 前記監視手段は、前記制御手段が有する第１監視手段と、前記制御手段から独立した第２監視手段から構成され、
   前記制御手段は、前記アイドリングストップ期間が所定時間よりも短いと所定回数連続して予測した場合は、前記第１監視手段による前記遮断出力検査動作のみを実行することを特徴とする請求項１から５の何れか一項に記載の車載電子制御装置。
8. 前記所定の異常処置は、運転者に異常を通知するか、リンプフォーム動作させるかの少なくとも一方であることを特徴とする請求項３から７の何れか一項に記載の車載電子制御装置。

Images