JP2016130511A

JP2016130511A - 電子制御装置

Info

Publication number: JP2016130511A
Application number: JP2015129179A
Authority: JP
Inventors: 吉保二村; Yoshiyasu Nimura
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2015-01-08
Filing date: 2015-06-26
Publication date: 2016-07-21
Anticipated expiration: 2035-06-26
Also published as: JP6406139B2

Abstract

【課題】一時的な制御部の異常に対して制御部を復帰させることができ、且つ、恒久的な制御部の異常に対して所定のフェールセーフ処理を実行することができる電子制御装置を提供すること。
【解決手段】電子制御装置は、負荷の駆動を制御するマイコン２０、マイコン動作を監視する監視ＩＣ２１を備える。監視ＩＣは、監視信号に基づき、マイコンの異常時に異常信号を出力する第２異常検出部４０、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ部４１、異常信号に基づいてマイコンにリセット信号を出力するリセット部４２を有する。マイコンは、マイコンの動作状態を検出する第１異常検出部３０、検出信号に基づいて監視信号を出力する監視信号生成部３１、フェールセーフ信号の出力有無を判定する判定部３２を有する。フェールセーフ信号が出力されていると判定された場合、監視信号生成部は監視信号として正常信号を出力する。
【選択図】図２

Description

本発明は、少なくとも１つの負荷の駆動を制御する制御部と、制御部が正常に動作しているか否かを監視する監視部と、を備える電子制御装置に関する。

特許文献１には、少なくとも１つの負荷の駆動を制御するマイコン（制御部）と、マイコンが正常に動作しているか否かを監視する監視ＩＣ（監視部）と、を備える電子制御装置が開示されている。

特開２０１１−１２７５４６号公報

図１４は、特許文献１に記載の従来の電子制御装置におけるマイコン１２０及び監視ＩＣ１２１の概略構成を示している。図１５は、マイコン異常時の動作例を示すタイミングチャートである。なお、図１４では、後述する本実施形態の要素と共通乃至関連する要素に対し、本実施形態の要素の符号に１００を加算した符号を付与している。また、ここでは、従来の電子制御装置が、車両のエンジンＥＣＵ（Electronic Control Unit）に適用される場合について説明する。

マイコン１２０は、図示しない負荷として、インジェクタ、点火プラグ、及びスロットルバルブを開閉するためのモータの駆動を制御する。マイコン１２０は、機能安全のための機能を有している。具体的には、自身（マイコン１２０）の動作が妥当であるか否かを判定し、自身の異常を検出する第１異常検出部１３０と、監視信号を生成して監視ＩＣ１２１に出力する監視信号生成部１３１と、を有している。

第１異常検出部１３０は、マイコン１２０のプロセッサコアの動作を監視する安全機構（たとえばデュアルロックステップ）、ＲＡＭなどに付加するＥＣＣ（Error Correcting Code）回路、自己診断を行うＢＩＳＴ（Built In Self Test）回路などを有しており、マイコン１２０の動作が妥当であるか否かを判定する。すなわち、マイコン２０の異常を検出する。そして、検出結果（判定結果）を示す検出信号を監視信号生成部１３１に出力する。

監視信号生成部１３１は、第１異常検出部１３０の検出信号に基づいて、マイコン１２０の動作の妥当性を監視するための監視信号を生成する。そして、生成した監視信号を監視ＩＣ１２１に出力する。監視信号として、たとえば所定の真偽パターンやウォッチドッグクリア信号を生成する。真偽パターンの場合、マイコン１２０の動作が妥当（正常）な場合と、マイコン１２０の動作が妥当でない（異常）場合とで、異なる真偽パターンを生成する。ウォッチドッグクリア信号の場合、マイコン１２０の動作が正常の場合には、所定周期でウォッチドッグクリア信号を生成し、マイコン１２０の動作が異常の場合には、ウォッチドッグクリア信号の生成を停止する。このとき、たとえばＬレベルの信号が出力される。このように、監視信号生成部１３１は、マイコン２０の動作が正常な場合、正常であることを示す監視信号を出力し、異常な場合、異常であることを示す監視信号を出力する。

監視ＩＣ１２１は、第２異常検出部１４０と、フェールセーフ部１４１と、を有している。第２異常検出部１４０は、上記監視信号に基づいて、マイコン１２０が正常に動作しているか否かを判定する。そして、マイコン１２０の異常を検出すると、異常信号（たとえばＨレベルの信号）をフェールセーフ部１４１に出力する。

フェールセーフ部１４１は、たとえばカウンタ１４１ａを有している。ここでは、カウンタ１４１ａとしてダウンカウンタを採用している。カウンタ１４１ａは、異常信号をトリガとしつつ内部クロックにしたがって、図１５に示すように、異常確定閾値からダウンカウントする。カウント値がゼロになると、カウンタ１４１ａ、すなわちフェールセーフ部１４１は、上記した負荷のうちのモータを、予め設定された退避状態に保持させるために、図示しないＥＴＣ（Electronic Throttle Control）ドライバに、フェールセーフ信号（たとえばＨレベルの信号）を出力する。フェールセーフ部１４１は、電子制御装置の電源がオフされるまで、フェールセーフ信号を保持する。

ＥＴＣドライバは、フェールセーフ信号の出力が停止、すなわち監視ＩＣ１２１から入力される信号がＬレベルの場合、マイコン１２０からの制御信号にしたがってスロットル駆動信号を出力し、モータへの通電を行う。一方、フェールセーフ信号が入力されると、ＥＴＣドライバは、モータに対してスロットル停止信号を出力する。これにより、モータ制御停止となり、スロットルバルブが閉塞され、アクセルペダルが操作されていないときと同じ状態となる。そして、車両は、低速での退避走行となる。

しかしながら、上記した従来の電子制御装置では、マイコン１２０の正常復帰を試みる手段がない。したがって、宇宙線によるデータ化けのように、マイコン１２０の異常が一時的な場合でも、マイコン１２０を正常復帰させることができない。このように、フェールセーフに対する処置が敏感であった。

一方、マイコンの異常を検出し、異常時にマイコンをリセットさせる構成が知られている。図１６は、図１４に示した監視ＩＣ１２１にマイコンをリセットさせる機能を追加した構成を示している。図１７は、図１５に示す構成において、マイコン異常時の動作例を示すタイミングチャートである。

図１６に示すように、監視ＩＣ１２１は、第２異常検出部１４０及びフェールセーフ部１４１に加えて、リセット部１４２を有している。リセット部１４２は、たとえばカウンタ１４２ａと、ＮＯＴゲート１４２ｂと、を有している。ここでは、カウンタ１４２ａとしてダウンカウンタを採用している。カウンタ１４２ａは異常信号をトリガとしつつ内部クロックにしたがって、図１７に示すように、リセット閾値からダウンカウントする。カウント値がゼロになると、カウンタ１４２ａは、一定時間、Ｈレベルの信号を出力する。この信号は、ＮＯＴゲート１４２ｂにて反転され、Ｌレベルの信号としてマイコン１２０に出力される。このリセット部１４２から一定時間出力されるＬレベルの信号が、リセット信号である。一定時間経過後、マイコン１２０のリセット状態が解除されるとともに、カウンタ１４２ａのカウント値もクリアされて、リセット閾値に戻る。

この構成によれば、マイコン１２０の異常が一時的な場合に、リセット処理によって、マイコン１２０を正常復帰させることができる。しかしながら、図１７に示すように、マイコン１２０の異常が恒久的な場合、リセットが繰り返しなされることとなる。マイコン１２０がリセットされている間は、モータだけでなく、インジェクタや点火プラグも制御停止となる。

このように、図１６及び図１７に示す構成では、マイコン１２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる。言い換えれば、すべての負荷の駆動状態、すなわち、インジェクタ、点火プラグ、及びモータの各駆動状態よりなる駆動パターンが、フェールセーフ信号が出力されているときと、リセット信号が出力されているときとで異なる。

したがって、フェールセーフ信号が出力されている間にリセットがなされると、リセット期間以外でしか噴射、点火ができないため、エンジントルクが出ず、エンジンがストール状態となってしまう虞がある。すなわち、すべての負荷の駆動状態により決定される車両の制御状態が、フェールセーフ信号が出力されているときと、リセット信号が出力されているときとで異なるため、フェールセーフ信号の出力中にリセット信号が出力されると、所定のフェールセーフ処理（たとえば退避走行制御）を実行することができなくなる。

なお、マイコン１２０が１つの負荷のみを制御し、フェールセーフ信号が出力されているときと、リセット信号が出力されているときの負荷の駆動状態が異なる場合にも、同様の問題が生じる。また、マイコン１２０が、第１異常検出部１３０の検出信号に基づき、フェールセーフ信号を出力するフェールセーフ部を有する場合にも、同様の問題が生じる。

本発明は上記問題点に鑑み、一時的な制御部の異常に対して制御部を復帰させることができ、且つ、恒久的な制御部の異常に対して所定のフェールセーフ処理を実行することができる電子制御装置を提供することを目的とする。

ここに開示される発明は、上記目的を達成するために以下の技術的手段を採用する。なお、特許請求の範囲及びこの項に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、発明の技術的範囲を限定するものではない。

開示された発明のひとつは、少なくとも１つの負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
制御部が、
該制御部の動作状態を検出する第１異常検出手段（３０）と、
第１異常検出手段の検出信号に基づいて、該制御部の動作の妥当性を監視するための監視信号を生成して監視部に出力する監視信号生成手段（３１）と、を有し、
監視部が、
監視信号に基づいて制御部の異常を検出し、異常信号を出力する第２異常検出手段（４０）と、
負荷の少なくとも１つを予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、を有し、
制御部により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
制御部が、フェールセーフ手段からフェールセーフ信号が出力されているか否かを判定する判定手段（３２）をさらに有し、
判定手段によりフェールセーフ信号が出力されていると判定された場合に、監視信号生成手段は、制御部の動作によらず、監視信号として制御部が正常であることを示す正常信号を出力することを特徴とする。

これによれば、一時的な制御部の異常に対して、リセット手段から出力されるリセット信号により、制御部を正常復帰させることができる。

また、フェールセーフ信号が出力されている間は、監視信号生成手段から、監視信号として正常信号が出力される。これにより、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。すなわち、恒久的な制御部の異常に対してフェールセーフ処理を実行することができる。

開示された他の発明のひとつは、
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
監視部が、
制御部の異常を検出し、異常信号を出力する異常検出手段（４０）と、
負荷の少なくとも１つを予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、
監視部の監視機能を有効又は無効に設定する設定手段（４３，４４）と、を有し、
制御部により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
制御部が、
フェールセーフ手段からフェールセーフ信号が出力されているか否かを判定する判定手段（３２）と、
設定手段が監視機能を設定するための設定信号を生成して出力する設定信号生成手段（３３）と、を有し、
設定手段は、設定信号に基づいて監視部の監視機能を有効又は無効に設定し、
判定手段によりフェールセーフ信号が出力されていると判定された場合に、設定信号生成手段は、設定信号として監視部による監視機能を無効にするための信号を出力することを特徴とする。

また、フェールセーフ信号が出力されている間は、設定信号生成手段から、設定信号として監視部による監視機能を無効にするための信号が出力される。これにより、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。すなわち、恒久的な制御部の異常に対してフェールセーフ処理を実行することができる。

開示された他の発明のひとつは、
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
制御部が、
該制御部の動作状態を検出する第１異常検出手段（３０）と、
第１異常検出手段の検出信号に基づいて、該制御部の動作の妥当性を監視するための監視信号を生成して監視部に出力する監視信号生成手段（３１）と、を有し、
監視部が、
監視信号に基づいて制御部の異常を検出し、異常信号を出力する第２異常検出手段（４０）と、
負荷の少なくとも１つを予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、を有し、
外部機器（５０，５３）からの信号を取得し、
制御部により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
外部機器からリセット信号の出力を停止させるためのリセット停止信号が出力されている場合に、監視信号生成手段は、制御部の動作によらず、監視信号として制御部が正常であることを示す正常信号を出力することを特徴とする。

また、外部機器からリセット停止信号が出力されると、監視信号生成手段から、監視信号として正常信号が出力される。これにより、リセット信号の出力が停止される。このように外部機器からのリセット停止信号によっても、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。すなわち、恒久的な制御部の異常に対してフェールセーフ処理を実行することができる。

開示された他の発明のひとつは、
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
監視部が、
制御部の異常を検出し、異常信号を出力する異常検出手段（４０）と、
負荷の少なくとも１つを予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、
監視部の監視機能を有効又は無効に設定する設定手段（４３）と、を有し、
外部機器（５０，５３）からの信号を取得し、
制御部により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
制御部が、設定手段が監視機能を設定するための設定信号を生成して出力する設定信号生成手段（３３）を有し、
設定手段は、設定信号に基づいて監視部の監視機能を有効又は無効に設定し、
外部機器からリセット信号の出力を停止させるためのリセット停止信号が出力されている場合に、設定信号生成手段は、設定信号として監視部による監視機能を無効にするための無効信号を出力することを特徴とする。

また、外部機器からリセット停止信号出力されると、設定信号生成手段から、設定信号として監視部による監視機能を無効にするための信号が出力される。これにより、リセット信号の出力が停止される。このように外部機器からのリセット停止信号によっても、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。すなわち、恒久的な制御部の異常に対してフェールセーフ処理を実行することができる。

開示された他の発明のひとつは、
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
制御部が、
該制御部の動作状態を検出し、検出信号として出力する第１異常検出手段（３０）と、
検出信号に基づいて、制御部の動作の妥当性を監視するための監視信号を生成し、監視部に出力する監視信号生成手段（３１）と、
負荷の少なくとも１つを予め設定された退避状態に保持させるために、検出信号として出力される制御部の異常を示す信号に基づいて、フェールセーフ信号を出力するフェールセーフ手段（３４）と、
を有し、
監視部が、
監視信号に基づいて制御部の異常を検出し、異常信号を出力する第２異常検出手段（４０）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、を有し、
制御部により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
フェールセーフ手段からフェールセーフ信号が出力されている場合に、監視信号生成手段は、制御部の動作によらず、監視信号として制御部が正常であることを示す正常信号を出力することを特徴とする。

第１実施形態に係る電子制御装置の概略構成を示す図である。図１に示す電子制御装置のうち、マイコン及び監視ＩＣの概略構成を示す図である。監視信号生成部の処理を示すフローチャートである。マイコン異常時の動作例を示すタイミングチャートである。第１変形例を示す図である。第２実施形態に係る電子制御装置のうち、マイコン及び監視ＩＣの概略構成を示す図である。マイコン異常時の動作例を示すタイミングチャートである。第３実施形態に係る電子制御装置を含む電子制御システムの概略構成を示す図である。監視信号生成部の処理を示すフローチャートである。第４実施形態に係る電子制御装置を含む電子制御システムの概略構成を示す図である。第３実施形態に係る電子制御装置を含む電子制御システムの概略構成を示す図である。マイコン異常時の動作例を示すタイミングチャートである。第２変形例を示す図である。従来の電子制御装置において、マイコン及び監視ＩＣの概略構成を示す図である。マイコン異常時の動作例を示すタイミングチャートである。図１４に示す監視ＩＣに対し、リセット機能を追加した構成を示す図である。マイコン異常時の動作例を示すタイミングチャートである。

以下、本発明の実施形態を図に基づいて説明する。なお、各実施形態において、共通乃至関連する要素には同一の符号を付与するものとする。

（第１実施形態）
先ず、図１を用いて、本実施形態に係る電子制御装置の概略構成を説明する。

図１に示す電子制御装置１０は、車両のエンジンＥＣＵ（Electronic Control Unit）として構成されている。この電子制御装置１０は、負荷の駆動を制御する制御部としてのマイコン２０と、マイコン２０が正常に動作しているか否かを監視する監視部としての監視ＩＣ２１と、を備えている。マイコン２０は、インジェクタ１１、点火プラグ１２、及び電子スロットル１３のスロットルバルブ１４を開閉するためのモータ１５の駆動を制御する。すなわち、インジェクタ１１、点火プラグ１２、及びモータ１５が、特許請求の範囲に記載の負荷に相当する。さらに電子制御装置１０は、モータ１５を駆動するためのＥＴＣ（Electronic Throttle Control）ドライバ２２を備えている。

インジェクタ１１は、燃料を噴射供給する電磁駆動式の弁であり、図示しない吸気マニホールドの各気筒の吸気ポート周辺に取り付けられている。ソレノイドコイルへの通電によりニードルバルブが変位し、燃料が噴射される。点火プラグ１２は、図示しないエンジンのシリンダヘッドに、気筒毎に取り付けられている。点火プラグ１２には、点火コイル等よりなる点火装置を通じて、目標とする点火時期において高電圧が印加される。この高電圧の印加により、各点火プラグ１２の対向電極間に火花放電が発生し、燃焼室内に導入された空気と燃料との混合気が着火され燃焼される。スロットルバルブ１４は、吸気管の吸気通路を開閉してエンジンの各気筒に導入される空気量を調整するためのものである。このスロットルバルブ１４の開度は、モータ１５によって調節される。

モータ１５への通電を停止すると、スロットルバルブ１４は閉位置となる。閉位置において、スロットルバルブ１４は、吸気通路を完全に遮断するのではなく、わずかに空気を流通させる程度、吸気通路を遮断する。この閉位置とは、従来の機械式スロットルにおいて、アクセルペダルが操作されていないときの状態と同じであり、エンジンの燃焼室へ供給可能な空気量が最も少なくなる状態である。

マイコン２０は、ＣＰＵ、ＲＯＭ、ＲＡＭ、レジスタ、及びＩ／Ｏポートなどを備えて構成されたマイクロコンピュータである。マイコンにおいて、ＣＰＵが、ＲＡＭやレジスタの一時記憶機能を利用しつつ、ＲＯＭに予め記憶された制御プログラム、バスを介して取得した各種データなどに応じて信号処理を行う。また、この信号処理で得られた信号を、バスに出力したりする。このようにして、マイコンは、各種機能を実行する。

本実施形態では、マイコン２０が、イグニッション信号、エンジン回転数、エンジン冷却水温、吸気圧、空燃比、アクセル開度などに基づいて、インジェクタ１１による燃料噴射量、点火プラグ１２の点火時期、スロットルバルブ１４のスロットル開度などを制御する。すなわち、マイコン２０は、インジェクタ１１と、点火プラグ１２と、モータ１５を駆動するＥＴＣドライバ２２とのそれぞれに、制御信号を出力する。

また、マイコン２０は、監視ＩＣ２１との間でデータ通信可能に構成されており、監視ＩＣ２１に対し、予め設定されたタイミングで所定の監視信号を送信する。監視ＩＣ２１は、上記監視信号を受信し、受信した監視信号に基づいて、マイコン２０が正常であるか否かを監視する。そして、マイコン２０が異常であると判定すると、フェールセーフ信号をＥＴＣドライバ２２に出力する。本実施形態では、フェールセーフ信号をマイコン２０にも出力する。また、リセット信号をマイコン２０に出力する。監視ＩＣ２１からリセット信号が出力されている間、マイコン２０はリセットされる。

なお、マイコン２０の異常とは、マイコン２０そのものが異常である場合だけでなく、マイコン２０は正常であっても、取得した各種データ（すなわち各種センサなど）の異常により、結果として負荷を正常に制御できない状態となっている場合も含む。

ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがって、モータ１５へスロットル駆動信号を出力し、モータ１５への通電を行うことにより、モータ１５を駆動する。これにより、スロットルバルブ１４が所定の開度になる。

ＥＴＣドライバ２２は、監視ＩＣ２１からフェールセーフ信号が入力されると、モータ１５に対してスロットル停止信号を出力する。すなわち、モータ１５への通電を停止する。これにより、モータ制御停止となり、スロットルバルブ１４が上記した閉位置となる。一方、監視ＩＣ２１からのフェールセーフ信号の出力が停止されている場合、ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがってスロットル駆動信号を出力し、モータ１５への通電を行う。

次に、図２及び図３に基づき、マイコン２０及び監視ＩＣ２１について説明する。

マイコン２０は、機能安全のための機能を有している。図２に示すように、マイコン２０は、自身の動作が妥当であるか否かを検出する、すなわち自身の異常を検出する第１異常検出部３０と、監視信号を生成して監視ＩＣ２１に出力する監視信号生成部３１と、フェールセーフ信号が出力されているか否かを判定する判定部３２と、を有している。第１異常検出部３０が特許請求の範囲に記載の第１異常検出手段に相当し、監視信号生成部３１が監視信号生成手段に相当する。また、判定部３２が判定手段に相当する。

第１異常検出部３０は、プロセッサコアの動作を監視する安全機能（たとえばデュアルロックステップ）、ＲＡＭなどに付加するＥＣＣ（Error Correcting Code）回路、自己診断を行うＢＩＳＴ（Built In Self Test）回路などを有しており、マイコン２０の動作が妥当であるか否かを判定する。すなわち、マイコン２０の動作状態を検出する。第１異常検出部３０は、マイコン２０が正常に動作しているか否かを検出する。そして、検出結果（判定結果）を示す検出信号を監視信号生成部３１に出力する。

監視信号生成部３１は、第１異常検出部３０の検出信号に基づいて、監視ＩＣ２１がマイコン２０の動作の妥当性を監視するための監視信号を生成する。監視信号として、たとえば、所定の真偽パターンやウォッチドッグクリア信号を生成する。そして、生成した監視信号を監視ＩＣ２１に出力する。

真偽パターンの場合、マイコン２０の動作が妥当（正常）な場合と、マイコン２０の動作が妥当でない（異常）場合とで、異なる真偽パターンを生成する。ウォッチドッグクリア信号の場合、マイコン２０の動作が正常の場合には、所定周期でウォッチドッグクリア信号を生成し、マイコン２０の動作が異常の場合には、ウォッチドッグクリア信号の生成を停止し、たとえばＬレベルの信号を出力する。このように、監視信号生成部３１は、マイコン２０の動作が正常な場合、正常であることを示す監視信号を出力し、異常な場合、異常であることを示す監視信号を出力する。

判定部３２には、後述する監視ＩＣ２１のフェールセーフ部４１の出力信号が入力される。判定部３２は、フェールセーフ部４１の出力信号がフェールセーフ信号であるか否かを判定する。そして、その判定結果を示す判定信号を、監視信号生成部３１に出力する。

図３は、監視信号を生成するための監視信号生成部３１の処理を示すフローチャートである。この処理は、電子制御装置１０の電源が投入された状態で、予め設定されたタイミングで繰り返し実行される。

先ず、監視信号生成部３１は、判定部３２から入力される判定信号が、フェールセーフ信号が出力されていることを示す信号であるか否かを判定する（ステップＳ１０）。ステップＳ１０において、フェールセーフ信号に対応する信号と判定すると、次いで、監視信号生成部３１は、監視信号として、マイコン２０が正常であることを示す正常信号を生成し、監視ＩＣ２１に出力する（ステップＳ１１）。そして、一連の処理を終了する。

ステップＳ１０において、フェールセーフ信号が出力されていないことを示す信号と判定すると、次いで、監視信号生成部３１は、第１異常検出部３０から入力される信号が、マイコン２０の動作正常を示す信号であるか否かを判定する（ステップＳ１２）。そして、ステップＳ１２において、マイコン２０の動作正常を示す信号であると判定すると、監視信号生成部３１が上記したステップＳ１１の処理を実行する。そして、一連の処理を終了する。

ステップＳ１２において、マイコン２０の動作正常を示す信号ではないと判定すると、監視信号生成部３１が、監視信号として、マイコン２０が異常であることを示す異常信号を生成し、監視ＩＣ２１に出力する（ステップＳ１３）。そして、一連の処理を終了する。

一方、監視ＩＣ２１は、第２異常検出部４０と、フェールセーフ部４１と、リセット部４２と、を有している。第２異常検出部４０が特許請求の範囲に記載の第２異常検出手段に相当し、フェールセーフ部４１がフェールセーフ手段に相当する。また、リセット部４２が、リセット手段に相当する。

第２異常検出部４０には、監視信号生成部３１から監視信号が入力される。第２異常検出部４０は、監視信号に基づいて、マイコン２０が正常であるか否かを判定する。そして、マイコン２０が正常ではないと判定、すなわちマイコン２０の異常を検出すると、異常信号を出力する。たとえば監視信号としての真偽パターンが、マイコン２０の異常を示すパターンであると判定すると、異常信号としてＨレベルの信号を出力する。一方、真偽パターンが、マイコン２０の正常を示すパターンであると判定すると、異常信号ではなく、Ｌレベルの信号を出力する。

フェールセーフ部４１は、異常信号が入力されると、負荷の少なくとも１つを予め設定された退避状態に保持させるために、フェールセーフ信号を生成し、出力する。本実施形態では、インジェクタ１１、点火プラグ１２、及びモータ１５のうち、モータ１５のみを退避状態に保持させるために、ＥＴＣドライバ２２に対してフェールセーフ信号を出力する。フェールセーフ信号により、モータ１５への通電が停止され、スロットルバルブ１４は閉位置となる。さらに本実施形態では、フェールセーフ部４１が、フェールセーフ信号をマイコン２０の判定部３２にも出力する。

フェールセーフ部４１は、カウンタ４１ａを有している。後述するように、カウンタ４１ａは、異常信号の入力をトリガとし、内部クロックにしたがってダウンカウントする。そして、カウント値がゼロになると、フェールセーフ信号としてＨレベルの信号を出力する。フェールセーフ部４１は、カウンタ４１ａのカウント値がゼロになるまで、Ｌレベルの信号を出力する。カウンタ４１ａのカウント値、すなわちフェールセーフ部４１の出力は、電子制御装置１０の電源が投入されている間において保持される。車両のイグニッションキーがオフされて、電子制御装置１０の電源がオフされると、カウンタ４１ａのカウント値はクリアされる。したがって、フェールセーフ信号が出力されると、電子制御装置１０の電源がオフされるまでフェールセーフ信号の出力状態が保持される。

リセット部４２は、異常信号が入力されると、マイコン２０をリセットするためのリセット信号を生成し、マイコン２０に出力する。本実施形態では、リセット信号としてＬレベルの信号を一定時間出力する。リセット信号によりマイコン２０がリセットされ、リセット信号が出力されている期間は、負荷の制御がされない状態となる。すなわち、インジェクタ１１による燃料噴射が停止し、点火プラグ１２による点火が停止する。また、モータ１５への通電が停止し、スロットルバルブ１４は閉位置となる。

リセット部４２は、カウンタ４２ａと、ＮＯＴゲート４２ｂと、を有している。カウンタ４２ａも、異常信号の入力をトリガとし、内部クロックにしたがってダウンカウントする。そして、カウント値がゼロになると、一定時間、Ｈレベルの信号を出力する。カウンタ４２ａの出力は、ＮＯＴゲート４２ｂにより反転される。したがって、カウンタ４２ａの出力がＨレベルの場合、ＮＯＴゲート４２ｂは、Ｌレベルの信号を出力する。このように、リセット部４２は、リセット信号としてＬレベルの信号を出力する。リセット部４２は、カウンタ４２ａのカウント値がゼロになるまでの間、Ｈレベルの信号を出力する。

次に、図４に基づき、マイコン２０に恒久的な異常が生じたときの動作について説明する。図４では、便宜上、リセットによるモータ１５の駆動停止期間にハッチングを施している。

上記したように、監視ＩＣ２１の第２異常検出部４０は、マイコン２０から入力された監視信号が、正常であるか否かを判定する。マイコン２０が正常であると判定すると、正常であることを示すＬレベルの信号を出力する。このため、フェールセーフ部４１のカウンタ４１ａがカウントを開始せず、フェールセーフ部４１からＬレベルの信号が出力される。すなわち、フェールセーフ信号の出力が停止（ＯＦＦ）される。

また、リセット部４２のカウンタ４２ａもカウントを開始せず、カウンタ４２ａからＬレベルの信号が出力され、ＮＯＴゲート４２ｂにて反転されて、Ｈレベルの信号となる。すなわち、リセット信号の出力が停止される。

このように、マイコン２０が正常と判定された状態では、ＥＴＣドライバ２２に、フェールセーフ部４１からＬレベルの信号が入力される。したがって、ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがってスロットル駆動信号を出力し、モータ１５への通電を行う。なお、インジェクタ１１及び点火プラグ１２も、マイコン２０からの制御信号によって制御される。このように、車両は、通常制御される。

また、マイコン２０の判定部３２にも、フェールセーフ部４１からＬレベルの信号が入力される。すなわち、フェールセーフ信号ではない信号が入力される。このため、監視信号生成部３１は、監視信号として、第１異常検出部３０の検出結果に応じた信号を生成して出力する。

一方、第２異常検出部４０が、マイコン２０から入力された監視信号が正常ではないと判定し、異常信号（Ｈレベルの信号）を出力すると、フェールセーフ部４１のカウンタ４１ａがカウントを開始し、内部クロックにしたがって異常確定閾値からダウンカウントする。そして、カウント値がゼロになると、フェールセーフ部４１からＨレベルの信号が出力される。すなわち、フェールセーフ信号が出力（ＯＮ）される。

また、異常信号をトリガとして、リセット部４２のカウンタ４２ａもカウントを開始し、内部クロックにしたがってリセット閾値からダウンカウントする。そして、カウント値がゼロになると、一定時間、Ｈレベルの信号を出力する。この信号は、ＮＯＴゲート４２ｂにて反転されて、Ｌレベルの信号となる。

ここで、フェールセーフ処理は、マイコン２０の恒久異常に対する処理であり、リセット処理は、マイコン２０の一時的な異常に対する処理である。したがって、同じ異常信号をトリガとしても、フェールセーフ信号の生成に要する時間より、リセット信号の生成に要する時間のほうが短い。すなわち、本実施形態では、異常確定閾値のほうがリセット閾値よりも大きい値が設定されている。

したがって、異常信号の出力後、カウンタ４２ａの値が、カウンタ４１ａの値よりも先にゼロになる。これにより、マイコン２０がリセットされる。このとき、マイコン２０からＥＴＣドライバ２２へ制御信号が出力されないため、ＥＴＣドライバ２２から出力されるスロットル駆動信号は、モータ１５への通電を停止する駆動停止信号となる。これにより、スロットルバルブ１４が閉位置となる。

カウンタ４２ａのカウント値は、一定時間経過後クリアされ、リセット閾値がセットされる。しかしながら、図４に示すように、マイコン２０に恒久的な異常が生じている場合には、異常信号が継続して出力されるため、カウンタ４２ａが、再度ダウンカウントを開始する。本実施形態では、カウンタ４２ａの２回目のダウンカウントの途中に、カウンタ４１ａの値がゼロになる。

フェールセーフ部４１からフェールセーフ信号が出力されるまでは、ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがってスロットル駆動信号を出力し、モータ１５への通電を行う。また、監視信号生成部３１は、監視信号として、第１異常検出部３０の検出結果に応じた信号を生成して出力する。

カウンタ４１ａのカウント値がゼロになると、フェールセーフ部４１からフェールセーフ信号としてＨレベルの信号が出力される。すると、判定部３２にてフェールセーフ部４１の出力信号がフェールセーフ信号であると判定され、監視信号生成部３１から、監視信号として正常信号が出力される。これにより、第２異常検出部４０は、マイコン２０が正常であると判定し、Ｌレベルの信号を出力する。したがって、リセット部４２に入力されていた信号が、異常信号から正常状態を示すＬレベルの信号に切り替わり、カウンタ４２ａのカウントが停止する。第２異常検出部４０の出力信号が、異常信号（Ｈレベル）から正常状態を示すＬレベルの信号に切り替わっても、電子制御装置１０の電源がオフされるまで、フェールセーフ信号が保持される。したがって、フェールセーフ部４１からフェールセーフ信号が出力されている間、リセット信号の出力が停止される。

なお、フェールセーフ部４１からフェールセーフ信号が出力されるため、ＥＴＣドライバ２２は、モータ１５に対してスロットル停止信号を出力する。すなわち、モータ１５への通電を停止する。これにより、モータ制御停止となり、スロットルバルブ１４が閉位置となる。フェールセーフ信号が出力されても、インジェクタ１１及び点火プラグ１２は、マイコン２０からの制御信号によって制御されるため、車両は、低速での退避走行となる。このように、車両は、退避走行制御される。

次に、本実施形態に係る電子制御装置１０の効果について説明する。

本実施形態によれば、監視ＩＣ２１がリセット部４２を有している。したがって、マイコン２０の一時的な異常に対して、リセット部４２から出力されるリセット信号により、マイコン２０を正常復帰させることができる。

また、マイコン２０が判定部３２を有しており、判定部３２の判定信号が監視信号生成部３１に入力される。そして、フェールセーフ信号が出力されている間は、監視信号生成部３１から、監視信号として正常信号が出力される。これにより、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０に恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。

特に本実施形態では、マイコン２０により制御されるインジェクタ１１、点火プラグ１２、及びモータ１５のうち、モータ１５のみをフェールセーフ信号によって退避状態に保持させる。詳しくは、モータ１５への通電を停止する。したがって、フェールセーフ信号が出力されても、インジェクタ１１及び点火プラグ１２は、マイコン２０により制御される。このように、フェールセーフ信号が出力されているときには、負荷であるインジェクタ１１、点火プラグ１２、及びモータ１５のうち、モータ１５のみが制御停止になり、車両が退避走行制御の状態となる。

一方、リセット信号が出力されているときには、マイコン２０がリセットされるため、インジェクタ１１、点火プラグ１２、及びモータ１５が制御停止になる。このように、リセット信号が出力されているときには、負荷であるインジェクタ１１、点火プラグ１２、及びモータ１５のすべてが制御停止になり、車両が駆動停止制御の状態となる。

このように、本実施形態では、マイコン１２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる。言い換えれば、すべての負荷の駆動状態、すなわち、インジェクタ１１、点火プラグ１２、及びモータ１５の各駆動状態よりなる駆動パターンが、フェールセーフ信号が出力されているときと、リセット信号が出力されているときとで異なる。そして、すべての負荷の駆動状態により決定される車両の制御状態が、フェールセーフ信号が出力されているときと、リセット信号が出力されているときとで異なる。しかしながら、フェールセーフ信号の出力中にリセット信号が出力されることはないため、車両が低速での退避走行を行うことができる。すなわち、エンジンがストール状態になるのを抑制することができる。

また、恒久的なマイコン２０の異常に対して所定のフェールセーフ処理を実行するために、本実施形態では、フェールセーフ信号が出力されていると、監視信号生成部３１が監視信号として正常信号を出力する。したがって、監視ＩＣ２１（ハードウェア）の構成を変更することなく、上記効果を奏することができる。

本実施形態では、上記したように、監視信号生成部３１に判定部３２の判定信号が入力される。そして、フェールセーフ信号が出力されていることを示す判定信号が入力されると、監視信号生成部３１は、監視信号として正常信号を出力する例を示した。しかしながら、図５に示す第１変形例のように、第１異常検出部３０に判定部３２の判定信号が入力される。そして、フェールセーフ信号が出力されていることを示す判定信号が入力されると、第１異常検出部３０は、マイコン２０の動作状態が正常であることを示す検出信号を出力する構成を採用することもできる。この構成でも、判定部３２によりフェールセーフ信号が出力されていると判定された場合、監視信号生成部３１が、マイコン２０の動作によらず、監視信号として正常信号を出力する。したがって、第１実施形態同様の効果を奏することができる。

（第２実施形態）
本実施形態は、先行実施形態を参照できる。このため、先行実施形態に示した電子制御装置１０と共通する部分についての説明は省略する。

図６に基づき、本実施形態に係る電子制御装置１０について説明する。図６は、図２に対応しており、電子制御装置１０のうち、マイコン２０及び監視ＩＣ２１の概略構成を示している。

図６に示すように、マイコン２０は、第１異常検出部３０、監視信号生成部３１、及び判定部３２に加え、さらに設定信号生成部３３を有している。また、監視ＩＣ２１は、第２異常検出部４０、フェールセーフ部４１、及びリセット部４２に加え、さらに監視有無設定部４３及びＡＮＤゲート４４を有している。なお、設定信号生成部３３が特許請求の範囲に記載の設定信号生成手段に相当し、第２異常検出部４０が異常検出手段に相当する。また、監視有無設定部４３及びＡＮＤゲート４４が、設定手段に相当する。

第１実施形態同様、マイコン２０の判定部３２には、フェールセーフ部４１の出力信号が入力される。判定部３２は、フェールセーフ部４１の出力信号がフェールセーフ信号か否かを判定し、その判定結果を示す判定信号を、監視信号生成部３１ではなく、設定信号生成部３３に対して出力する。

設定信号生成部３３は、判定部３２の判定信号に基づいて、監視ＩＣ２１の監視機能を有効又は無効に設定するための設定信号を生成し、監視ＩＣ２１に対して出力する。監視機能を有効にする場合、設定信号としてたとえばＨレベルの信号、監視機能を無効にする場合、設定信号としてＬレベルの信号を出力する。以下において、監視機能を有効にするためのＨレベルの信号を有効信号、監視機能を無効にするためのＬレベルの信号を無効信号とも称する。

設定信号生成部３３は、電子制御装置１０の電源が投入されると初期値として有効信号を出力する。そして、判定部３２により、フェールセーフ信号が出力されていると判定されるまで、有効信号を出力する。また、フェールセーフ信号が出力されていると判定されると、無効信号を出力する。すなわち、フェールセーフ部４１からフェールセーフ信号が出力されている間だけ、設定信号として無効信号を出力し、それ以外は、設定信号として有効信号を出力する。

監視有無設定部４３は、たとえばレジスタであり、入力される設定信号に基づいて、監視ＩＣ２１によるマイコン２０の監視機能の有効、無効を設定する。監視有無設定部４３には設定信号が書き込まれ、これにより、監視機能の有効、無効が設定される。監視有無設定部４３は、監視機能を有効にする場合にＨレベルの信号（すなわち１）を出力し、監視機能を無効にする場合にＬレベルの信号（すなわち０）を出力する。

ＡＮＤゲート４４は、第２異常検出部４０から入力される信号と、監視有無設定部４３から入力される信号とに応じた信号を、フェールセーフ部４１及びリセット部４２に出力する。フェールセーフ信号が出力されていない期間は、監視有無設定部４３からＨレベルの信号が入力される。したがって、第２異常検出部４０から異常信号（Ｈレベル）が入力されると、ＡＮＤゲート４４の出力はＨレベルとなる。一方、フェールセーフ信号が出力されている間は、監視有無設定部４３からＬレベルの信号が入力されるため、ＡＮＤゲート４４の出力はＬレベルとなる。

次に、図７に基づき、マイコン２０に恒久的な異常が生じたときの動作について説明する。図７では、便宜上、リセットによるモータ１５の駆動停止期間にハッチングを施している。

電子制御装置１０の電源が投入され、且つ、フェールセーフ信号が出力されるまでは、図７に示すように、設定信号として有効信号（Ｈレベルの信号）が出力される。このため、監視ＩＣ２１がマイコン２０を監視し、第２異常検出部４０から異常信号が出力されると、カウンタ４１ａ，４２ａがダウンカウントする。また、監視信号生成部３１は、判定部３２の判定結果によらず、第１異常検出部３０の検出結果のみに基づいて、監視信号を生成し、監視ＩＣ２１に対して出力する。したがって、フェールセーフ信号が出力されるまでは、第１実施形態とほぼ同じ動作となる。

カウンタ４１ａのカウント値がゼロになると、フェールセーフ部４１からフェールセーフ信号としてＨレベルの信号が出力される。すると、判定部３２にてフェールセーフ部４１からの出力信号がフェールセーフ信号であると判定され、設定信号生成部３３から、設定信号として、無効信号（Ｌレベルの信号）が出力される。これにより、監視有無設定部４３は、監視ＩＣ２１による監視機能を無効にするためにＬレベルの信号を出力し、ＡＮＤゲート４４の出力もＬレベルとなる。したがって、リセット部４２に入力されていた信号が、異常信号（Ｈレベルの信号）から正常状態を示すＬレベルの信号に切り替わり、カウンタ４２ａのカウントが停止する。したがって、フェールセーフ部４１からフェールセーフ信号が出力されている間、リセット信号の出力が停止される。なお、電子制御装置１０の電源がオフされるまで、フェールセーフ信号は保持される。

上記したように、本実施形態に係る電子制御装置１０によっても、第１実施形態同様の効果を奏することができる。

すなわち、監視ＩＣ２１がリセット部４２を有しているため、マイコン２０の一時的な異常に対して、リセット部４２から出力されるリセット信号により、マイコン２０を正常復帰させることができる。

また、フェールセーフ信号が出力されている間は、設定信号生成部３３から、設定信号として無効信号が出力される。これにより、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０に恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。

また、フェールセーフ信号の出力中にリセット信号が出力されることはないため、車両が低速での退避走行を行うことができる。すなわち、エンジンがストール状態になるのを抑制することができる。

また、恒久的なマイコン２０の異常に対して所定のフェールセーフ処理を実行するために、本実施形態では、フェールセーフ信号が出力されていると、設定信号生成部３３が設定信号として無効信号を出力する。したがって、監視ＩＣ２１（ハードウェア）の構成を変更することなく、上記効果を奏することができる。

（第３実施形態）
本実施形態は、先行実施形態を参照できる。このため、先行実施形態に示した電子制御装置１０と共通する部分についての説明は省略する。

図８に基づき、本実施形態に係る電子制御装置１０について説明する。なお、図８では、電子制御装置１０を含む電子制御システムを示している。また、図８では、便宜上、マイコン２０により制御される負荷、すなわちインジェクタ１１、点火プラグ１２、及びモータ１５の図示を省略している。さらに、ＥＴＣドライバ２２の図示も省略している。

電子制御装置１０は、第１実施形態同様、マイコン２０と、監視ＩＣ２１と、図示を省略したＥＴＣドライバ２２と、を備えている。さらに電子制御装置１０は、図８に示すように、ＣＡＮ（Controller Area Network）ドライバ２３と、ＯＲゲート２４と、を備えている。ＣＡＮは登録商標である。

マイコン２０及び監視ＩＣ２１の構成は、第１実施形態（図２参照）とほぼ同じである。異なるのは、本実施形態において、マイコン２０が判定部３２を有していない点と、フェールセーフ部４１がフェールセーフ信号をマイコン２０側に出力しない点にある。したがって、監視ＩＣ２１は、図示を省略するが、第２異常検出部４０、フェールセーフ部４１、及びリセット部４２を有している。

電子制御装置１０は、ＣＡＮバスを介して、ＣＡＮプロトコルにしたがい、他の電子制御装置５０と相互に通信を行う。他の電子制御装置５０も、マイコン５１やＣＡＮドライバ５２などを備えている。電子制御装置１０としてのエンジンＥＣＵに対し、他の電子制御装置５０としてブレーキＥＣＵなどを採用することができる。以下、他の電子制御装置５０を、単に電子制御装置５０とも称する。

ＣＡＮドライバ２３，５２は、周知のように、ＣＡＮコントローラやＣＡＮトランシーバをそれぞれ有している。マイコン２０は、ＣＡＮドライバ２３に対して通信データをＣＡＮバスに出力するように指示したり、電子制御装置５０などの他のノードからＣＡＮバスに出力された通信データを、ＣＡＮドライバ２３を介して取得したりする。同じく、マイコン５１は、ＣＡＮドライバ５２に対して通信データをＣＡＮバスに出力するように指示したり、電子制御装置１０などの他のノードからＣＡＮバスに出力された通信データを、ＣＡＮドライバ５２を介して取得したりする。

各電子制御装置１０，５０は、相互に異常を監視している。本実施形態では、異常検出の一手法として、通信途絶をカウントする周知の方法を採用している。電子制御装置５０には、電子制御装置１０から通信データが送信される。したがって、電子制御装置５０は、電子制御装置１０の存在を検出でき、電子制御装置１０について通信途絶カウンタを生成する。通信途絶カウンタは、たとえば時間の経過にしたがい増大し、通信データを受信するごとに初期化される。

電子制御装置１０のマイコン２０に異常が生じる前、電子制御装置１０は、必要なタイミングで通信データを送信するので、電子制御装置５０の通信途絶カウンタのカウント値が所定の閾値を超えることがない。すなわち、電子制御装置５０が、マイコン２０（電子制御装置１０）の異常を検出することはない。一方、マイコン２０に異常が生じて電子制御装置１０が通信データを送信できなくなると、電子制御装置５０の通信途絶カウンタが一様に増大し、閾値を超えた時点で、電子制御装置５０はマイコン２０の異常を検出する。

マイコン２０の異常を検出すると、電子制御装置５０のマイコン５１は、リセット停止信号を生成する。このリセット停止信号は、電子制御装置５０から出力され、電子制御装置１０のＯＲゲート２４に入力される。

このＯＲゲート２４には、スイッチ５３の出力信号が入力される。スイッチ５３は、車両の乗員（ユーザ）によって操作されることで、リセット停止信号を出力する。ＯＲゲート２４に、電子制御装置５０及びスイッチ５３の少なくとも一方からリセット停止信号が入力される場合、ＯＲゲート２４は、リセット停止信号としてＨレベルの信号を、マイコン２０の監視信号生成部３１に対して出力する。一方、電子制御装置５０及びスイッチ５３のいずれからもリセット停止信号が入力されない場合、ＯＲゲート２４は、Ｌレベルの信号を監視信号生成部３１に対して出力する。すなわち、リセット停止信号の出力が停止される。以上のように、電子制御システムは、電子制御装置１０，５０とスイッチ５３を備えている。

図９は、監視信号を生成するためのマイコン２０の処理を示すフローチャートである。この処理は、電子制御装置１０の電源が投入された状態で、予め設定されたタイミングで繰り返し実行される。

先ず、監視信号生成部３１は、ＯＲゲート２４から入力される信号が、リセット停止信号が出力されていることを示す信号であるか否かを判定する（ステップＳ２０）。ステップＳ２０において、リセット停止信号が出力されていることを示す信号と判定すると、次いで、監視信号生成部３１は、監視信号として、マイコン２０が正常であることを示す正常信号を生成し、監視ＩＣ２１に出力する（ステップＳ２１）。そして、一連の処理を終了する。

ステップＳ２０において、リセット停止信号が出力されていないことを示す信号と判定すると、次いで、監視信号生成部３１は、第１異常検出部３０から入力される信号が、マイコン２０の動作正常を示す信号であるか否かを判定する（ステップＳ２２）。そして、ステップＳ２２において、マイコン２０の動作正常を示す信号であると判定すると、監視信号生成部３１が上記したステップＳ２１の処理を実行する。そして、一連の処理を終了する。

ステップＳ２２において、マイコン２０の動作正常を示す信号ではないと判定すると、監視信号生成部３１が、監視信号として、マイコン２０が異常であることを示す異常信号を生成し、監視ＩＣ２１に出力する（ステップＳ２３）。そして、一連の処理を終了する。

なお、マイコン２０に恒久的な異常が生じたときの動作については、第１実施形態（図４参照）と基本的に同じであるため、図示を省略する。異なるのは、ＯＲゲート２４からリセット停止信号が出力されると、監視信号生成部３１から監視信号として正常信号が出力され、これにより、リセット信号の出力が停止される点にある。

また、電子制御装置５０及びスイッチ５３の少なくとも一方からリセット停止信号が出力されている間は、監視信号生成部３１から、監視信号として正常信号が出力される。本実施形態では、ＯＲゲート２４からリセット停止信号が入力されると、監視信号生成部３１が、監視信号として正常信号を出力する。そして、リセット部４２からのリセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０に恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。

また、恒久的なマイコン２０の異常に対して所定のフェールセーフ処理を実行するために、本実施形態では、リセット停止信号が出力されていると、監視信号生成部３１が監視信号として正常信号を出力する。したがって、監視ＩＣ２１（ハードウェア）の構成を変更することなく、上記効果を奏することができる。

なお、リセット停止信号を出力する外部機器として、電子制御装置５０とスイッチ５３の両方を備える例を示した。しかしながら、電子制御装置５０及びスイッチ５３の一方のみを備える構成としてもよい。この場合、ＯＲゲート２４は不要となる。外部機器として電子制御装置５０を採用する場合、乗員が操作することなく、リセット停止信号を出力できる。外部機器としてスイッチ５３を採用する場合、エンジンのストール状態を乗員が判断した上で、リセット停止信号を出力することができる。

本実施形態では、監視信号生成部３１にリセット停止信号が入力され、監視信号生成部３１が、監視信号として正常信号を出力する例を示した。しかしながら、上記した第１変形例（図５参照）のように、第１異常検出部３０にリセット停止信号が入力され、第１異常検出部３０が、マイコン２０の動作状態が正常であることを示す検出信号を出力する構成を採用することもできる。

リセット停止信号が出力されている場合、第１異常検出部３０は、マイコン２０の動作状態によらず、マイコン２０が正常に動作していることを示す検出信号を出力する。このため、監視信号生成部３１は、マイコン２０の動作によらず、監視信号として正常信号を出力する。したがって、上記実施形態と同様の効果を奏することができる。なお、ＯＲゲート２４を有する場合、監視信号生成部３１にはＯＲゲート２４からリセット停止信号が入力される。ＯＲゲート２４を有さない場合、すなわち、外部機器として電子制御装置５０及びスイッチ５３の一方のみを備える構成の場合、監視信号生成部３１には外部機器からリセット停止信号が入力される。

（第４実施形態）
本実施形態は、先行実施形態を参照できる。このため、先行実施形態に示した電子制御装置１０と共通する部分についての説明は省略する。

図１０に基づき、本実施形態に係る電子制御装置１０について説明する。なお、図１０では、第３実施形態（図８参照）同様、電子制御装置１０を含む電子制御システムを示している。また、便宜上、マイコン２０により制御される負荷、すなわちインジェクタ１１、点火プラグ１２、及びモータ１５の図示を省略している。さらに、ＥＴＣドライバ２２の図示も省略している。

電子制御装置１０は、第３実施形態同様、マイコン２０と、監視ＩＣ２１と、図示を省略したＥＴＣドライバ２２と、ＣＡＮドライバ２３と、ＯＲゲート２４と、を備えている。マイコン２０及び監視ＩＣ２１の構成は、第２実施形態（図６参照）とほぼ同じである。異なるのは、本実施形態において、マイコン２０が判定部３２を有していない点と、フェールセーフ部４１がフェールセーフ信号をマイコン２０側に出力しない点にある。したがって、マイコン２０は、図示しないが、第１異常検出部３０及び監視信号生成部３１も有している。また、監視ＩＣ２１は、図示しないが、第２異常検出部４０、フェールセーフ部４１、リセット部４２、及びＡＮＤゲート４４も有している。

各電子制御装置１０，５０は、相互に異常を監視している。本実施形態でも、第３実施形態同様、異常検出の一手法として、通信途絶をカウントする周知の方法を採用している。マイコン２０に異常が生じて電子制御装置１０が通信データを送信できなくなると、電子制御装置５０の通信途絶カウンタが一様に増大し、閾値を超えた時点で、電子制御装置５０はマイコン２０の異常を検出する。マイコン２０の異常を検出すると、電子制御装置５０のマイコン５１は、リセット停止信号を生成する。このリセット停止信号は、電子制御装置５０から出力され、電子制御装置１０のＯＲゲート２４に入力される。

また、ＯＲゲート２４には、第３実施形態同様、スイッチ５３の出力信号も入力される。ＯＲゲート２４に、電子制御装置５０及びスイッチ５３の少なくとも一方からリセット停止信号が入力される場合、ＯＲゲート２４は、リセット停止信号としてＨレベルの信号を、マイコン２０の設定信号生成部３３に対して出力する。一方、電子制御装置５０及びスイッチ５３のいずれからもリセット停止信号が入力されない場合、ＯＲゲート２４は、Ｌレベルの信号を設定信号生成部３３に対して出力する。すなわち、リセット停止信号の出力が停止される。

なお、マイコン２０に恒久的な異常が生じたときの動作については、第２実施形態（図６参照）と基本的に同じであるため、図示を省略する。異なるのは、ＯＲゲート２４からリセット停止信号が出力されると、設定信号生成部３３から設定信号として無効信号が出力され、これにより、リセット信号の出力が停止される点にある。

上記したように、本実施形態に係る電子制御装置１０によっても、第２実施形態同様の効果を奏することができる。

また、リセット停止信号が出力されている間は、設定信号生成部３３から、設定信号として無効信号が出力される。これにより、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０に恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。

また、恒久的なマイコン２０の異常に対して所定のフェールセーフ処理を実行するために、本実施形態では、リセット停止信号が出力されていると、設定信号生成部３３が設定信号として無効信号を出力する。したがって、監視ＩＣ２１（ハードウェア）の構成を変更することなく、上記効果を奏することができる。

なお、本実施形態においても、リセット停止信号を出力する外部機器として、電子制御装置５０とスイッチ５３の両方を備える例を示したが、電子制御装置５０及びスイッチ５３の一方のみを備える構成としてもよい。この場合、ＯＲゲート２４は不要となる。この場合、設定信号生成部３３には外部機器からリセット停止信号が入力される。

（第５実施形態）
本実施形態は、先行実施形態を参照できる。このため、先行実施形態に示した電子制御装置１０と共通する部分についての説明は省略する。

図１１に基づき、本実施形態に係る電子制御装置１０について説明する。図１１は、図２に対応しており、電子制御装置１０のうち、マイコン２０及び監視ＩＣ２１の概略構成を示している。

図１１に示すように、マイコン２０は、第１異常検出部３０及び監視信号生成部３１に加え、フェールセーフ部３４をさらに有している。また、監視ＩＣ２１は、第２異常検出部４０及びリセット部４２を有している。なお、フェールセーフ部３４が、特許請求の範囲に記載のフェールセーフ手段に相当する。

フェールセーフ部３４には、第１異常検出部３０の検出信号が入力される。フェールセーフ部３４は、負荷の少なくとも１つを予め設定された退避状態に保持させるために、マイコン２０の異常を示す検出信号に基づいてフェールセーフ信号を生成し、出力する。本実施形態でも、モータ１５のみを退避状態に保持させるために、ＥＴＣドライバ２２に対してフェールセーフ信号を出力する。フェールセーフ信号により、モータ１５への通電が停止され、スロットルバルブ１４は閉位置となる。さらにフェールセーフ部３４は、フェールセーフ信号を監視信号生成部３１にも出力する。

フェールセーフ部３４は、カウンタ３４ａを有している。カウンタ３４ａは、異常信号の入力をトリガとし、内部クロックにしたがってダウンカウントする。そして、カウント値がゼロになると、フェールセーフ信号としてＨレベルの信号を出力する。フェールセーフ部３４は、カウンタ３４ａのカウント値がゼロになるまで、Ｌレベルの信号を出力する。カウンタ３４ａのカウント値、すなわちフェールセーフ部３４の出力は、電子制御装置１０の電源が投入されている間において保持される。車両のイグニッションキーがオフされて、電子制御装置１０の電源がオフされると、カウンタ３４ａのカウント値はクリアされる。したがって、フェールセーフ信号が出力されると、電子制御装置１０の電源がオフされるまでフェールセーフ信号の出力状態が保持される。

監視信号生成部３１は、第１実施形態同様、第１異常検出部３０の検出信号に基づいて、監視ＩＣ２１がマイコン２０の動作の妥当性を監視するための監視信号を生成する。監視信号生成部３１は、マイコン２０の動作が正常な場合、監視信号として正常信号を出力し、異常な場合、監視信号として異常信号を出力する。監視信号生成部３１には、フェールセーフ部３４の出力信号が入力される。監視信号生成部３１は、フェールセーフ部３４の出力信号がフェールセーフ信号の場合、第１異常検出部３０から出力された検出信号によらず、監視信号として正常信号を生成し、監視ＩＣ２１に出力する。

一方、フェールセーフ部３４からフェールセーフ信号が出力されていない場合、監視信号生成部３１は、第１異常検出部３０から出力された検出信号に基づいて監視信号を生成し、監視ＩＣ２１に出力する。たとえば、検出信号がマイコン２０の動作正常を示す信号である場合、監視信号生成部３１は、監視信号として正常信号を生成して出力する。また、検出信号がマイコン２０の動作異常を示す信号である場合、監視信号生成部３１は、監視信号として異常信号を生成して出力する。

第２異常検出部４０には、第１実施形態同様、監視信号生成部３１から監視信号が入力される。第２異常検出部４０は、監視信号に基づいて、マイコン２０が正常であるか否かを判定する。そして、マイコン２０が正常ではないと判定、すなわちマイコン２０の異常を検出すると、異常信号を出力する。

リセット部４２は、第１実施形態同様、異常信号が入力されると、マイコン２０をリセットするためのリセット信号を生成し、マイコン２０に出力する。

次に、図１２に基づき、マイコン２０に恒久的な異常が生じたときの動作について説明する。図１２では、便宜上、リセットによるモータ１５の駆動停止期間にハッチングを施している。図１２に示す動作は、基本的に第１実施形態に示す動作（図４参照）と同じである。監視ＩＣ２１側のフェールセーフ部４１に代えて、マイコン２０側にフェールセーフ部３４がある点が異なる。

第１異常検出部３０が、マイコン２０の異常を示す信号を出力すると、フェールセーフ部３４のカウンタ３４ａがカウントを開始し、内部クロックにしたがって異常確定閾値からダウンカウントする。そして、カウント値がゼロになると、フェールセーフ部３４からフェールセーフ信号（Ｈレベルの信号）が出力される。

また、監視信号としての異常信号をトリガとして、リセット部４２のカウンタ４２ａもカウントを開始し、内部クロックにしたがってリセット閾値からダウンカウントする。そして、カウント値がゼロになると、一定時間、Ｈレベルの信号を出力する。この信号は、ＮＯＴゲート４２ｂにて反転されて、Ｌレベルの信号となる。本実施形態でも、異常確定閾値のほうがリセット閾値よりも大きい値が設定されている。したがって、異常信号の出力後、カウンタ４２ａの値が、カウンタ３４ａの値よりも先にゼロになる。これにより、マイコン２０がリセットされる。

カウンタ４２ａのカウント値は、一定時間経過後クリアされ、リセット閾値がセットされる。しかしながら、図１２に示すように、マイコン２０に恒久的な異常が生じている場合には、異常信号が継続して出力されるため、カウンタ４２ａが、再度ダウンカウントを開始する。本実施形態では、カウンタ４２ａの２回目のダウンカウントの途中に、カウンタ３４ａの値がゼロになる。

カウンタ３４ａのカウント値がゼロになると、フェールセーフ部３４からフェールセーフ信号（Ｈレベルの信号）が出力される。すると、監視信号生成部３１から、監視信号として正常信号が出力される。これにより、第２異常検出部４０は、マイコン２０が正常であると判定し、Ｌレベルの信号を出力する。したがって、リセット部４２に入力されていた信号が、異常信号から正常状態を示すＬレベルの信号に切り替わり、カウンタ４２ａのカウントが停止する。第２異常検出部４０の出力信号が、異常信号（Ｈレベル）から正常状態を示すＬレベルの信号に切り替わっても、電子制御装置１０の電源がオフされるまで、フェールセーフ信号が保持される。したがって、フェールセーフ部３４からフェールセーフ信号が出力されている間、リセット信号の出力が停止される。

また、フェールセーフ部３４からフェールセーフ信号が出力されている間は、監視信号生成部３１から、監視信号として正常信号が出力される。これにより、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０に恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。

本実施形態では、上記したように、フェールセーフ部３４の出力が監視信号生成部３１に入力され、フェールセーフ信号が出力されている場合に、監視信号生成部３１は、監視信号として正常信号を出力する例を示した。しかしながら、第１変形例（図５参照）に示したように、フェールセーフ部３４の出力信号が第１異常検出部３０に入力され、フェールセーフ信号が出力されている場合に、第１異常検出部３０は、マイコン２０の動作状態が正常であることを示す検出信号を出力する構成を採用することもできる。

以上、本発明の好ましい実施形態について説明したが、本発明は上記実施形態になんら制限されることなく、本発明の主旨を逸脱しない範囲において、種々変形して実施することが可能である。

電子制御装置１０が備える監視部は、監視ＩＣ２１に限定されない。たとえば、マイコン２０とは別に設けられた監視マイコンを採用することもできる。

電子制御装置１０としては、エンジンＥＣＵに限定されない。エンジンＥＣＵ以外の車載ＥＣＵを採用することもできる。また、車載にも限定されない。

マイコン２０により、インジェクタ１１、点火プラグ１２、及び電子スロットル１３のモータ１５が制御され、フェールセーフ処理時にはモータ１５の駆動のみが停止され、リセット時には、インジェクタ１１、点火プラグ１２、及びモータ１５の駆動が停止される例を示した。

しかしながら、本発明は、マイコン１２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なるものであれば、適用することができる。言い換えれば、すべての負荷の駆動状態よりなる駆動パターンが、フェールセーフ信号が出力されているときと、リセット信号が出力されているときとで異なるものであれば、採用することができる。さらに言い換えれば、すべての負荷の駆動状態により決定される車両の制御状態が、フェールセーフ信号が出力されているときと、リセット信号が出力されているときとで異なるものであれば適用することができる。

したがって、マイコン２０により制御される負荷（制御対象）の数は特に限定されない。また、負荷も、インジェクタ１１、点火プラグ１２、及びモータ１５に限定されない。たとえば、マイコン２０により制御される負荷が１つのみであっても、フェールセーフ処理時とリセット時とで、負荷の駆動状態が異なるものであれば、本発明を適用することができる。

フェールセーフ部４１が、複数の負荷のうち、負荷の１つを予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力する例を示した。しかしながら、すべての負荷を予め設定された退避状態に保持させるために、フェールセーフ信号を出力する構成にも適用できる。また、すべての負荷の一部である複数の負荷を予め設定された退避状態に保持させるために、フェールセーフ信号を出力する構成にも適用できる。上記したように、マイコン１２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なるものであればよい。

カウンタ４１ａ，４２ａとして、ダウンカウンタの例を示したが、アップカウンタを採用することもできる。

第３実施形態及び第４実施形態では、外部機器としての電子制御装置５０を１つのみ備える例を示したが、外部機器として複数の電子制御装置を備える構成としてもよい。

第３実施形態及び第４実施形態では、ネットワークの通信プロトコルとしてＣＡＮを採用する例を示した。しかしながら、上記例に限定されるものではない。通信プロトコルとしては、たとえばＦｌｅｘＲａｙ（登録商標）を採用することもできる。電子制御装置５０としては、バスを介して電子制御装置１０（マイコン２０）の異常を監視でき、異常が生じていると判定したときにリセット停止信号を生成できる構成であればよい。

電子制御装置１０が、図１３に示す第２変形例のように、フェールセーフ信号の出力中にリセット信号が出力されるか否かを設定できるように構成されてもよい。図１３において、マイコン２０は、第１異常検出部３０、監視信号生成部３１、フェールセーフ部３４に加えて、コンフィグレーション部３５、ＡＮＤゲート３６、及びＯＲゲート３７をさらに有している。すなわち、第５実施形態（図１１参照）に、コンフィグレーション部３５、ＡＮＤゲート３６、及びＯＲゲート３７を追加した構成となっている。

コンフィグレーション部３５は、マイコン２０の機能部として構成されている。コンフィグレーション部３５には、フェールセーフ信号出力中のリセット信号の出力停止、及び、フェールセーフ信号出力中のリセット信号の出力許可のいずれかが設定されている。たとえば、出力停止の場合、Ｈレベルの信号（すなわち１）が設定され、出力許可の場合、Ｌレベルの信号（すなわち０）が設定される。コンフィグレーション部３５には、予め、出力停止及び出力許可のいずれかが設定されている。

ＡＮＤゲート３６には、コンフィグレーション部３５に設定されている信号と、フェールセーフ部３４の出力信号が入力される。そして、入力される信号がともにＨレベルの信号の場合、ＡＮＤゲート３６は、Ｈレベルの信号を出力する。したがって、コンフィグレーション部３５に出力許可が設定されている場合、ＡＮＤゲート３６の出力は、フェールセーフ部３４の出力信号によらずＬレベルとなる。

ＯＲゲート３７には、ＡＮＤゲート３６の出力と、第１異常検出部３０から出力された検出信号が入力される。ＯＲゲート３７は、入力される信号の少なくとも一方がＨレベルの場合に、Ｈレベルの信号を監視信号生成部３１に出力する。フェールセーフ信号が出力され、且つ、コンフィグレーション部３５に出力停止が設定されている場合、ＯＲゲート３７の出力は、Ｈレベルとなる。

監視信号生成部３１は、ＯＲゲート３７からＨレベルの信号が入力されると、監視信号として、マイコン２０の動作が正常であることを示す正常信号を出力する。フェールセーフ信号が出力され、且つ、コンフィグレーション部３５に出力停止が設定されている場合、監視信号生成部３１は、正常信号を出力する。したがって、フェールセーフ信号の出力中にリセット信号が出力されるのを抑制することができる。

なお、図１３に対し、フェールセーフ部４１を追加した構成を採用することもできる。この場合、２つのフェールセーフ部３４，４１のうち、先に出力されるフェールセーフ信号によって、フェールセーフ処理が実行される。２つのフェールセーフ部３４，４１を有するため、フェールセーフ処理をより確実に実行することができる。

図１３では、コンフィグレーション部３５に設定されている信号と、フェールセーフ部３４の出力信号が、ＡＮＤゲート３６に入力される例を示した。しかしながら、フェールセーフ部３４に代えて、フェールセーフ部４１の出力信号が、ＡＮＤゲート３６に入力される構成を採用することもできる。

また、ＯＲゲート３７の出力信号が、監視信号生成部３１ではなく、第１異常検出部３０に入力される構成を採用することもできる。ＯＲゲート３７の出力がＨレベルの場合、第１異常検出部３０は、マイコン２０の動作状態によらず、検出信号としてマイコン２０の動作が正常であることを示す信号を出力する。このため、監視信号生成部３１が、監視信号として、マイコン２０の動作が正常であることを示す正常信号を出力し、リセットが停止となる。

さらには、第３実施形態に示した構成（図８参照）に、図１３に示す構成、すなわちコンフィグレーション部３５、ＡＮＤゲート３６、及びＯＲゲート３７をさらに有する構成を組み合わせることもできる。

１０…電子制御装置、１１…インジェクタ、１２…点火プラグ、１３…電子スロットル、１４…スロットルバルブ、１５…モータ、２０…マイコン、２１…監視ＩＣ、２２…ＥＴＣドライバ、２３…ＣＡＮドライバ、２４…ＯＲゲート、３０…第１異常検出部、３１…監視信号生成部、３２…判定部、３３…設定信号生成部、３４…フェールセーフ部、３４ａ…カウンタ、３５…コンフィグレーション部、３６…ＡＮＤゲート、３７…ＯＲゲート、４０…第２異常検出部、４１…フェールセーフ部、４１ａ…カウンタ、４２…リセット部、４２ａ…カウンタ、４２ｂ…ＮＯＴゲート、４３…監視有無設定部、４４…ＡＮＤゲート、５０…他の電子制御装置、５１…マイコン、５２…ＣＡＮドライバ、５３…スイッチ

Claims

少なくとも１つの負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記制御部が、
該制御部の動作状態を検出する第１異常検出手段（３０）と、
前記第１異常検出手段の検出信号に基づいて、前記制御部の動作の妥当性を監視するための監視信号を生成し、前記監視部に出力する監視信号生成手段（３１）と、を有し、
前記監視部が、
前記監視信号に基づいて前記制御部の異常を検出し、異常信号を出力する第２異常検出手段（４０）と、
前記負荷の少なくとも１つを予め設定された退避状態に保持させるために、前記異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
前記異常信号に基づいて、前記制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、を有し、
前記制御部により制御される前記負荷の少なくとも１つについて、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
前記制御部が、前記フェールセーフ手段から前記フェールセーフ信号が出力されているか否かを判定する判定手段（３２）をさらに有し、
前記判定手段により前記フェールセーフ信号が出力されていると判定された場合に、前記監視信号生成手段は、前記制御部の動作によらず、前記監視信号として前記制御部が正常であることを示す正常信号を出力することを特徴とする電子制御装置。
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記監視部が、
前記制御部の異常を検出し、異常信号を出力する異常検出手段（４０）と、
前記負荷の少なくとも１つを予め設定された退避状態に保持させるために、前記異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
前記異常信号に基づいて、前記制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、
前記監視部の監視機能を有効又は無効に設定する設定手段（４３，４４）と、を有し、
前記制御部により制御される前記負荷の少なくとも１つについて、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
前記制御部が、
前記フェールセーフ手段から前記フェールセーフ信号が出力されているか否かを判定する判定手段（３２）と、
前記設定手段が監視機能を設定するための設定信号を生成して出力する設定信号生成手段（３３）と、を有し、
前記設定手段は、前記設定信号に基づいて前記監視部の監視機能を有効又は無効に設定し、
前記判定手段により前記フェールセーフ信号が出力されていると判定された場合に、前記設定信号生成手段は、前記設定信号として前記監視部による監視機能を無効にするための信号を出力することを特徴とする電子制御装置。
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記制御部が、
該制御部の動作状態を検出する第１異常検出手段（３０）と、
前記第１異常検出手段の検出信号に基づいて、前記制御部の動作の妥当性を監視するための監視信号を生成し、前記監視部に出力する監視信号生成手段（３１）と、を有し、
前記監視部が、
前記監視信号に基づいて前記制御部の異常を検出し、異常信号を出力する第２異常検出手段（４０）と、
前記負荷の少なくとも１つを予め設定された退避状態に保持させるために、前記異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
前記異常信号に基づいて、前記制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、を有し、
外部機器（５０，５３）からの信号を取得し、
前記制御部により制御される前記負荷の少なくとも１つについて、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
前記外部機器から前記リセット信号の出力を停止させるためのリセット停止信号が出力されている場合に、前記監視信号生成手段は、前記制御部の動作によらず、前記監視信号として前記制御部が正常であることを示す正常信号を出力することを特徴とする電子制御装置。
前記外部機器（５０）としての他の電子制御装置と相互に異常を監視する請求項３に記載の電子制御装置であって、
前記他の電子制御装置から前記リセット停止信号が出力されている場合に、前記監視信号生成手段は、前記監視信号として前記正常信号を出力することを特徴とする電子制御装置。
前記外部機器（５３）としての、ユーザにより操作されるスイッチから信号を取得する請求項３に記載の電子制御装置であって、
前記スイッチから前記リセット停止信号が出力されている場合に、前記監視信号生成手段は、前記監視信号として前記正常信号を出力することを特徴とする電子制御装置。
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記監視部が、
前記制御部の異常を検出し、異常信号を出力する異常検出手段（４０）と、
前記負荷の少なくとも１つを予め設定された退避状態に保持させるために、前記異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（４１）と、
前記異常信号に基づいて、前記制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、
前記監視部の監視機能を有効又は無効に設定する設定手段（４３）と、を有し、
外部機器（５０，５３）からの信号を取得し、
前記制御部により制御される前記負荷の少なくとも１つについて、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
前記制御部が、前記設定手段が監視機能を設定するための設定信号を生成して出力する設定信号生成手段（３３）を有し、
前記設定手段は、前記設定信号に基づいて前記監視部の監視機能を有効又は無効に設定し、
前記外部機器から前記リセット信号の出力を停止させるためのリセット停止信号が出力されている場合に、前記設定信号生成手段は、前記設定信号として前記監視部による監視機能を無効にするための無効信号を出力することを特徴とする電子制御装置。
前記外部機器（５０）としての他の電子制御装置と相互に異常を監視する請求項６に記載の電子制御装置であって、
前記他の電子制御装置から前記リセット停止信号が出力されている場合に、前記設定信号生成手段は、前記設定信号として前記無効信号を出力することを特徴とする電子制御装置。
前記外部機器（５３）としての、ユーザにより操作されるスイッチから信号を取得する請求項６に記載の電子制御装置であって、
前記スイッチから前記リセット停止信号が出力されている場合に、前記設定信号生成手段は、前記設定信号として前記無効信号を出力することを特徴とする電子制御装置。
少なくとも１つの負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記制御部が、
該制御部の動作状態を検出し、検出信号として出力する第１異常検出手段（３０）と、
前記検出信号に基づいて、前記制御部の動作の妥当性を監視するための監視信号を生成し、前記監視部に出力する監視信号生成手段（３１）と、
前記負荷の少なくとも１つを予め設定された退避状態に保持させるために、前記検出信号として出力される前記制御部の異常を示す信号に基づいて、フェールセーフ信号を出力するフェールセーフ手段（３４）と、
を有し、
前記監視部が、
前記監視信号に基づいて前記制御部の異常を検出し、異常信号を出力する第２異常検出手段（４０）と、
前記異常信号に基づいて、前記制御部をリセットするためのリセット信号を出力するリセット手段（４２）と、を有し、
前記制御部により制御される前記負荷の少なくとも１つについて、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが異なる電子制御装置であって、
前記フェールセーフ手段から前記フェールセーフ信号が出力されている場合に、前記監視信号生成手段は、前記制御部の動作によらず、前記監視信号として前記制御部が正常であることを示す正常信号を出力することを特徴とする電子制御装置。
前記制御部が、複数の前記負荷を制御する請求項１〜９いずれか１項に記載の電子制御装置であって、
前記フェールセーフ信号により、複数の前記負荷のうちの一部のみが、予め設定された退避状態に保持され、前記制御部により制御される前記負荷の少なくとも１つについて、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが異なることを特徴とする電子制御装置。
車両に搭載され、前記制御部が、複数の前記負荷として、スロットルバルブ（１４）を開閉するためのモータ（１５）、インジェクタ（１１）、及び点火プラグ（１２）を制御する請求項１０に記載の電子制御装置であって、
前記フェールセーフ信号により、前記モータ、前記インジェクタ、及び前記点火プラグのうち、前記モータの駆動が停止されることを特徴とする電子制御装置。