JP2017102545A - 電子制御装置 - Google Patents

Abstract

【課題】制御機能部の追加に対し、監視部のコスト上昇を回避しつつ、フレキシブルに対応する。
【解決手段】電子制御装置１は、第１〜第３のプロセッサ１９〜２１に、複数の制御機能部１９ａ、２０ａ、２１ａと、複数の制御モニタ機能部１９ｂ、２０ｂ、２１ｂと、複数の制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃとが配置され、第４のプロセッサ２２に、複数の検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃと、故障判定機能の検査機能部２２ｄと、フェールセーフ調停部２２ｅとが配置される。複数の検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃと、故障判定機能の検査機能部２２ｄと、フェールセーフ調停部２２ｅとをソフトウェアにより実現する。
【選択図】図１

Description

本発明は、電子制御装置に関する。

例えばトルク制御やアイドリングストップ制御等を行う複数の制御機能部がマイコン内の別々のプロセッサに配置されている電子制御装置が供されている。この種の電子制御装置では、各々の制御と、それらの各々の制御の監視とを別々のプロセッサで行う。そして、電子制御装置では、監視対象となる制御の識別情報を付加した監視結果を監視部に出力し、各々の制御のフェールセーフ処理を行う。このような構成により、安全性と可用性とを両立している（例えば特許文献１参照）。

特開２０１４−８５７６１号公報

上記した構成において、例えばトランスミッション制御等の制御機能部を新たに追加する場合には、故障判定機能部を監視部に設けることで対応可能である。しかしながら、故障判定機能部をハードウェアにより実現するので、故障判定機能用及びフェールセーフ用の端子数が増え、監視部のコストが上昇するという問題がある。又、フレキシブルな対応が困難であるという問題もある。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、制御機能部の追加に対し、監視部のコスト上昇を回避しつつ、フレキシブルに対応することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、複数の検査機能の故障判定機能部（２２ａ、２２ｂ、２２ｃ）と、故障判定機能の検査機能部（２２ｄ）と、フェールセーフ調停部（２２ｅ）とが配置されるプロセッサ（２２）と、複数の制御機能部（１９ａ、２０ａ、２１ａ）と、複数の制御モニタ機能部（１９ｂ、２０ｂ、２１ｂ）と、複数の制御モニタの検査機能部（１９ｃ、２０ｃ、２１ｃ）とが配置されるプロセッサ（１９〜２１）とが異なるように構成した。これにより、複数の検査機能の故障判定機能部と、故障判定機能の検査機能部と、フェールセーフ調停部とをソフトウェアにより実現することができる。即ち、それらをソフトウェアにより実現することで、それらをハードウェアにより実現する従来とは異なり、制御機能部の追加に対し、故障判定機能用及びフェールセーフ用の端子数が増えることがなく、監視部のコスト上昇を回避しつつ、フレキシブルに対応することができる。

本発明の第１の実施形態を示す機能ブロック図 ソフトウェアの重要度を示す図 リードアクセス権限及びライト／リードアクセス権限を示す図 本発明の第２の実施形態を示す機能ブロック図 本発明の第３の実施形態を示す機能ブロック図

（第１の実施形態）
以下、本発明を、車両のトランスミッション（Ｔ／Ｍ）制御、アイドリングストップ（ＩＳＳ）制御及びトルク制御を行う電子制御装置に適用した第１の実施形態について図１から図３を参照して説明する。電子制御装置（ＥＣＵ：Electronic Control Unit）１は、マイコン２（演算処理装置に相当）と、入力回路３と、監視ＩＣ４（監視部に相当）と、トランスミッション駆動回路５（制御対象に相当）と、スタータリレー駆動回路６（制御対象に相当）と、スロットルモータ駆動回路７（制御対象に相当）と、ＯＲ回路８〜１０とを有する。トランスミッション駆動回路５、スタータリレー駆動回路６及びスロットルモータ駆動回路７は、アクチュエータ駆動回路として機能する。

マイコン２は、自動車向けの機能安全に関する国際規格であるＩＳＯ２６２６２が適用されている構成である。尚、図１では、アクチュエータ駆動回路５〜７へのカット信号の信号線を破線の矢印により示しており、カット信号を除く各種信号の信号線を実線の矢印により示している。更に、後述する各々の機能部における監視対象の関係を二点鎖線の矢印により示している。

入力回路３は、ＥＣＵ１の外部から入力した各種信号をマイコン２に出力する。ＥＣＵ１の外部から入力回路３に入力される信号は、トランスミッション制御、アイドリングストップ制御及びトルク制御に用いられる信号であり、例えばシフト位置を示すシフト位置信号、ブレーキペダルの操作状態を示すブレーキ信号、アクセルペダルの操作状態を示すアクセル信号、車速を示す車速信号、運転者による始動用操作の有無を示す始動用操作信号及びエンジンの回転数を示す回転数信号等である。

監視ＩＣ４は、マイコン２の動作を監視する。トランスミッション駆動回路５は、マイコン２から入力する制御信号にしたがってギア１１の駆動を制御する。スタータリレー駆動回路６は、マイコン２から入力する制御信号にしたがってスタータリレー１２のオンオフを制御し、スタータ１３の駆動を制御する。スタータ１３が駆動することで、スタータ１３の回転力がギア１１を介してエンジン１４に伝達される。スロットルモータ駆動回路７は、マイコン２から入力する制御信号にしたがってスロットルモータ１５の駆動を制御する。スロットルモータ１５が駆動することで、スロットル１６の開度が調節され、エンジン１４への吸入空気量が調節される。

マイコン２は、第１の入出力ポート１７と、第２の入出力ポート１８と、第１〜第４のプロセッサ１９〜２２と、ＲＯＭ（Read Only Memory）２３と、ＲＡＭ（Random Access Memory）２４と、メモリプロテクションユニット２５と、通信回路２６とを有する。第１の入出力ポート１７、第２の入出力ポート１８、第１〜第４のプロセッサ１９〜２２、ＲＯＭ２３、ＲＡＭ２４及びメモリプロテクションユニット２５は、内部バス２７を介して相互接続されている。

第１の入出力ポート１７は、マイコン２の入力側のインタフェースとして機能し、入力回路３から各種信号を入力する。第２の入出力ポート１８は、マイコン２の出力側のインタフェースとして機能し、各種信号をアクチュエータ駆動回路５〜７に出力すると共に、カット信号をＯＲ回路８〜１０に出力する。ＲＯＭ２３は、後述する第１〜第４のプロセッサ１９〜２２に配置されている各々の機能部等が実行する各種プログラムを記憶している。第１〜第４のプロセッサ１９〜２２に配置されている各々の機能部等はソフトウェアにより実現されている。

第１のプロセッサ１９は、トランスミッション制御機能部１９ａと、トルク制御モニタ機能部１９ｂと、トルク制御モニタの検査機能部１９ｃとを有する。第２のプロセッサ２０は、アイドリングストップ制御機能部２０ａと、トランスミッション制御モニタ機能部２０ｂと、トランスミッション制御モニタの検査機能部２０ｃとを有する。第３のプロセッサ２１は、トルク制御機能部２１ａと、アイドリングストップ制御モニタ機能部２１ｂと、アイドリングストップ制御モニタの検査機能部２１ｃとを有する。

トランスミッション制御機能部１９ａは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、トランスミッションの制御を行う。トランスミッション制御モニタ機能部２０ｂは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、第１のプロセッサ１９によるトランスミッション制御機能部１９ａを監視する。トランスミッション制御モニタ機能部２０ｂは、トランスミッション制御機能部１９ａが異常であると判定すると、トランスミッション制御のフェールセーフ処理を行う。トランスミッション制御モニタの検査機能部２０ｃは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、トランスミッション制御モニタ機能部２０ｂを監視し、その監視結果を示す監視結果情報を作成して出力する。トランスミッション制御モニタの検査機能部２０ｃにより作成された監視結果情報は、その監視結果情報がトランスミッション制御モニタに関する情報であることを示す識別情報が付加され、第２のプロセッサ２０から内部バス２７を介して第４のプロセッサ２２に出力される。

アイドリングストップ制御機能部２０ａは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、アイドリングストップ制御を行う。アイドルストップ制御モニタ機能部２１ｂは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、第２のプロセッサ２０によるアイドルストップ制御機能部２０ａを監視する。アイドルストップ制御モニタ機能部２１ｂは、アイドルストップ制御機能部２０ａが異常であると判定すると、アイドルストップ制御のフェールセーフ処理を行う。アイドルストップ制御モニタの検査機能部２１ｃは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、アイドルストップ制御モニタ機能部２１ｂを監視し、その監視結果を示す監視結果情報を作成して出力する。アイドルストップ制御モニタの検査機能部２１ｃにより作成された監視結果情報は、その監視結果情報がアイドルストップ制御モニタに関する情報であることを示す識別情報が付加され、第３のプロセッサ２１から内部バス２７を介して第４のプロセッサ２２に出力される。

トルク制御機能部２１ａは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、トルク制御を行う。トルク制御モニタ機能部１９ｂは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、第３のプロセッサ２１によるトルク制御機能部２１ａを監視する。トルク制御モニタ機能部１９ｂは、トルク制御機能部２１ａが異常であると判定すると、トルク制御のフェールセーフ処理を行う。トルク制御モニタの検査機能部１９ｃは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、トルク制御モニタ機能部１９ｂを監視し、その監視結果を示す監視結果情報を作成して出力する。トルク制御モニタの検査機能部１９ｃにより作成された監視結果情報は、その監視結果情報がトルク制御モニタに関する情報であることを示す識別情報が付加され、第１のプロセッサ１９から内部バス２７を介して第４のプロセッサ２２に出力される。

このようにマイコン２は、トランスミッション制御、アイドリングストップ制御及びトルク制御について、各々の制御と、それらの各々の制御の監視とを第１〜第３のプロセッサ１９〜２１により別々のプロセッサで行うことで、安全性と可用性とを両立している。

第４のプロセッサ２２は、トランスミッション制御の検査機能の故障判定機能部２２ａと、アイドリングストップ制御の検査機能の故障判定機能部２２ｂと、トルク制御の検査機能の故障判定機能部２２ｃと、故障判定機能の検査機能部２２ｄと、フェールセーフ調停部２２ｅとを有する。トランスミッション制御の検査機能の故障判定機能部２２ａは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、第２のプロセッサ２０から内部バス２７を介して入力したトランスミッション制御モニタに関する監視結果情報によりトランスミッション制御モニタの検査機能を故障判定する。アイドリングストップ制御の検査機能の故障判定機能部２２ｂは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、第３のプロセッサ２１から内部バス２７を介して入力したアイドリングストップ制御モニタに関する監視結果情報によりアイドリングストップ制御モニタの検査機能を故障判定する。トルク制御の検査機能の故障判定機能部２２ｃは、ＲＯＭ２３に記憶されている該当するプログラムを実行し、第１のプロセッサ１９から内部バス２７を介して入力したトルク制御モニタに関する監視結果情報によりトルク制御モニタの検査機能を故障判定する。

故障判定機能の検査機能部２２ｄは、トランスミッション制御の検査機能の故障判定機能部２２ａ、アイドリングストップ制御の検査機能の故障判定機能部２２ｂ及びトルク制御の検査機能の故障判定機能部２２ｃを監視し、その監視結果を示す監視結果情報を作成して出力する。フェールセーフ調停部２２ｅは、マイコン２からのアクチュエータ駆動回路５〜７へのカット信号の出力（即ち制御対象への駆動停止指示）を調停する。即ち、フェールセーフ調停部２２ｅは、トランスミッション制御、アイドリングストップ制御及びトルク制御のうち何れかについてフェールセーフ処理を行う必要があると判定すると、カット信号を第２の入出力ポート１８から該当するＯＲ回路８〜１０に出力させることで、該当する制御のフェールセーフ処理を行う。

ＲＡＭ２４は、第１〜第４のプロセッサ１９〜２２の演算結果を記憶する。通信回路２６は、監視ＩＣ４との間でシリアル通信線を介してデータ通信を行う。即ち、通信回路２６は、第４のプロセッサ２２から監視結果情報を入力すると、その入力した監視結果情報をシリアル通信線を介して監視ＩＣ４に出力する。監視ＩＣ４は、通信回路２８と、マイコン監視機能部２９とを有する。通信回路２８は、マイコン２との間でシリアル通信線を介してデータ通信を行う。マイコン監視機能部２９は、監視ＩＣ４からのアクチュエータ駆動回路５〜７へのカット信号の出力を制御する。マイコン監視機能部２９は、マイコン２が異常であると判定すると、トランスミッション制御、アイドリングストップ制御及びトルク制御の全てについてフェールセーフ処理を行う必要があると判定し、カット信号を第２の入出力ポート１８からＯＲ回路８〜１０の全てに出力させることで、トランスミッション制御、アイドリングストップ制御及びトルク制御の全てについてフェールセーフ処理を行う。

次に、フェールセーフ調停部２２ｅについて説明する。ＩＳＯ２６２６２が適用されているマイコン２では、ソフトウェアの重要度がＱＭ（Quality Management）とＡＳＩＬ（Automotive Safety Integrity Level）−Ａ〜Ｄとの５段階に区分されており、ＡＳＩＬ−Ｄの重要度が最も高く設定されている。重要度が高いほどソフトウェアに対して厳格なプロセスや多くのテスト評価項目が課せられる。又、同一のマイコンに重要度が異なる複数のソフトウェアが混在する場合には互いのソフトウェアが干渉しない条件を満たす必要があり、その条件を満たさい場合には最も高い重要度に準じて他の重要度のソフトウェアを開発する必要があると規定されている。このような事情から、図２に示すように、メモリプロテクションユニット２５は、メモリプロテクションの機能により、ソフトウェアの重要度に応じてアクセスを許可するメモリやレジスタ領域を区分してソフトウェアの干渉を防止し、重要度の低いソフトウェアから重要度の高いソフトウェアへの異常の伝播をブロックする。

具体的には、図３に示すように、本実施形態では、トランスミッション制御機能部１９ａと、アイドリングストップ制御機能部２０ａと、トルク制御機能部２１ａとはＱＭに区分されている。又、アイドリングストップ制御モニタの検査機能部２１ｃと、アイドリングストップ制御の検査機能の故障判定機能部２２ｂと、トルク制御モニタの検査機能部１９ｃと、トルク制御の検査機能の故障判定機能部２２ｃとはＡＳＩＬ−Ａに区分されている。又、アイドリングストップ制御モニタ機能部２１ｂと、トランスミッション制御モニタの検査機能部２０ｃと、トランスミッション制御の検査機能の故障判定機能部２２ａとはＡＳＩＬ−Ｂに区分されている。又、トルク制御モニタ機能部１９ｂはＡＳＩＬ−Ｃに区分されている。又、トランスミッション制御モニタ機能部２０ｂはＡＳＩＬ−Ｄに区分されている。そして、フェールセーフ調停部２２ｅもＡＳＩＬ−Ｄに区分されている。

フェールセーフ調停部２２ｅは、各々の制御モニタ機能及び各々の検査機能から要求されるアクチュエータ駆動回路５〜７へのカット指示要求が格納されるＲＡＭ値に対し、自身よりも低い重要度のソフトウェアについてはリードアクセス権限を有し、自身と同じ重要度のソフトウェアについてはライト／リードアクセス権限を有し、マイコン２からのアクチュエータ駆動回路５〜７へのカット信号の出力を調停する。図３では、リードアクセス権限を片方向の矢印により示し、ライト／リードアクセス権限を両方向の矢印により示している。

このように制御モニタ機能部１９ｂ、２０ｂ、２１ｂから要求されるアクチュエータ駆動回路５〜７へのカット信号の出力と、制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃから要求されるアクチュエータ駆動回路５〜７へのカット信号の出力とを調停する。フェールセーフ調停部２２ｅを実現するソフトウェアに対してのみ第２の入出力ポート１８のレジスタ値に対するアクセス権限を設定することで、機能毎の個別に第２の入出力ポート１８のレジスタ値に対するアクセス権限を設定する必要がなくなる。その結果、第２の入出力ポート１８のポート数やアクセス権限を設定するメモリプロテクションのリソースを削減することができ、ハードウェアのリソースの使用を削減することができる。即ち、フェールセーフ調停部２２ｅを最も高い重要度であるＡＳＩＬ−Ｄに区分することで、アクチュエータ駆動回路５〜７へのカット信号の出力を制御する第２の入出力ポート１８のレジスタ値を一括して制御することができ、ハードウェアのリソースの使用を節約することができる。

以上説明したように第１の実施形態によれば、次に示す効果を得ることができる。
電子制御装置１において、第１〜第３のプロセッサ１９〜２１に、複数の制御機能部１９ａ、２０ａ、２１ａと、複数の制御モニタ機能部１９ｂ、２０ｂ、２１ｂと、複数の制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃとが配置され、第４のプロセッサ２２に、複数の検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃと、故障判定機能の検査機能部２２ｄと、フェールセーフ調停部２２ｅとが配置されるように構成した。これにより、複数の検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃと、故障判定機能の検査機能部２２ｄと、フェールセーフ調停部２２ｅとをソフトウェアにより実現することができる。即ち、それらをソフトウェアにより実現することで、それらをハードウェアにより実現する従来とは異なり、制御機能部の追加に対し、故障判定機能用及びフェールセーフ用の端子数が増えることがなく、監視ＩＣ４のコスト上昇を回避しつつ、フレキシブルに対応することができる。

又、フェールセーフ調停部２２ｅが、制御モニタ機能部１９ｂ、２０ｂ、２１ｂから要求されるアクチュエータ駆動回路５〜７へのカット信号の出力と、制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃから要求されるアクチュエータ駆動回路５〜７へのカット信号の出力とを調停するようにした。これにより、ハードウェアのリソースの使用を節約することができる。又、監視ＩＣ４が、故障判定機能の検査機能部２２ｄから出力される監視結果情報によりマイコン２が異常であると判定すると、カット信号をアクチュエータ駆動回路５〜７に出力するようにした。これにより、トランスミッション制御、アイドリングストップ制御及びトルク制御の全てについてフェールセーフ処理を行うことができる。

（第２の実施形態）
次に、本発明の第２の実施形態について図４を参照して説明する。尚、前述した第１の実施形態と同一部分については説明を省略し、異なる部分について説明する。第２の実施形態では、電子制御装置３１は、前述した第１の実施形態で説明した電子制御装置１から警告灯駆動回路３２が追加されている。第２の実施形態では、前述した第１の実施形態に対し、第１〜第３のプロセッサ１９〜２１に配置されている制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃが第４のプロセッサ２２に配置されている検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃ、故障判定機能の検査機能部２２ｄ及びフェールセーフ調停部２２ｅのうち少なくとも何れかに対して機能テストを実施する。制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃは、機能テストを実施したテスト結果により、検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃ、故障判定機能の検査機能部２２ｄ及びフェールセーフ調停部２２ｅのうち少なくとも何れかが異常であると判定すると、制御信号を第２の入出力ポート１８から警告灯駆動回路３２に出力させる。警告灯駆動回路３２は、第２の入出力ポート１８から制御信号を入力すると、駆動信号を警告灯ランプ３３に出力させ、警告灯ランプ３３を点灯させることで、その異常を例えば運転者等のユーザに報知する。

即ち、第４のプロセッサ２２においてソフトウェアの異常を判定した場合には、第１〜第３のプロセッサ１９〜２１においてソフトウェアの異常が発生した場合とは異なり、直ちに走行危険な状況に陥ることはない。このような事情から、制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃは、第４のプロセッサ２２においてソフトウェアの異常を判定すると、カット信号をアクチュエータ駆動回路５〜７に出力させずに退避走行モードには移行せず、制御信号を警告灯駆動回路３２に出力させることで、第４のプロセッサ２２におけるソフトウェアの異常を例えば運転者等のユーザに報知する。以上説明したように第２の実施形態によれば、前述した第１の実施形態と同様の作用効果が得られることに加え、第４のプロセッサ２２におけるソフトウェアの異常を例えば運転者等のユーザに報知することができる。

（第３の実施形態）
次に、本発明の第３の実施形態について図５を参照して説明する。尚、前述した第２の実施形態と同一部分については説明を省略し、異なる部分について説明する。第３の実施形態では、前述した第２の実施形態に対し、第１〜第３のプロセッサ１９〜２１に配置されている制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃが第４のプロセッサ２２に配置されている検査機能の故障判定機能部２２ａ、２２ｂ、２２ｃ、故障判定機能の検査機能部２２ｄ及びフェールセーフ調停部２２ｅのうち少なくとも何れかに対して実施した機能テストのテスト結果を監視ＩＣ４に出力する構成が追加されている。

制御モニタの検査機能部１９ｃ、２０ｃ、２１ｃは、テスト結果をプロセッサ毎に監視ＩＣ４に出力する。監視ＩＣ４は、マイコン２から入力するテスト結果を解析することで、トランスミッション制御、アイドリングストップ制御及びトルク制御のうちフェールセーフ処理を行う必要がある制御を特定する。そして、監視ＩＣ４は、カット信号を該当するアクチュエータ駆動回路５〜７に出力すると共に、制御信号を警告灯駆動回路３２に出力し、警告灯ランプ３３を点灯させることで、その異常を例えば運転者等のユーザに報知する。以上説明したように第３の実施形態によれば、前述した第１の実施形態と同様の作用効果が得られることに加え、トランスミッション制御、アイドリングストップ制御及びトルク制御のフェールセーフ処理を過剰に行うことを回避することができる。

（その他の実施形態）
本発明は、上記した実施形態で例示したものに限定されることなく、その範囲を逸脱しない範囲で任意に変形又は拡張することができる。
本実施形態では、トランスミッション制御、アイドリングストップ制御及びトルク制御を行う構成を例示したが、他の制御を行う構成でも良い。即ち、制御機能部や制御モニタ機能部等を有するプロセッサは、３個に限らず２個でも良いし４個以上でも良い。

図面中、１、３１は電子制御装置、２はマイコン（演算処理装置）、４は監視ＩＣ（監視部）、５〜７は駆動回路（制御対象）、１９ａ、２０ａ、２１ａは制御機能部、１９ｂ、２０ｂ、２１ｂは制御モニタ機能部、１９ｃ、２０ｃ、２１ｃは制御モニタの検査機能部、２２ａ、２２ｂ、２２ｃは検査機能の故障判定機能部、２２ｄは故障判定機能の検査機能部、２２ｅはフェールセーフ調停部である。

Claims (5)

1. 複数の制御対象（５〜７）を駆動する複数の制御機能部（１９ａ、２０ａ、２１ａ）と、
   前記複数の制御機能部を監視し、異常時に該当する制御対象の駆動を停止する複数の制御モニタ機能部（１９ｂ、２０ｂ、２１ｂ）と、
   前記複数の制御モニタ機能部を監視し、監視結果を外部に出力する複数の制御モニタの検査機能部（１９ｃ、２０ｃ、２１ｃ）と、
   前記複数の制御モニタの検査機能部の監視結果により当該制御モニタの検査機能を故障判定する複数の検査機能の故障判定機能部（２２ａ、２２ｂ、２２ｃ）と、
   前記複数の検査機能の故障判定機能部を監視し、監視結果を外部に出力する故障判定機能の検査機能部（２２ｄ）と、
   演算処置装置（２）からの制御対象への駆動停止指示を調停するフェールセーフ調停部（２２ｅ）と、
   前記演算処置装置から出力されるデータにより当該演算処置装置を監視する監視部（４）と、を備え、
   前記複数の検査機能の故障判定機能部と、前記故障判定機能の検査機能部と、前記フェールセーフ調停部とが配置されるプロセッサ（２２）は、前記複数の制御機能部と、前記複数の制御モニタ機能部と、前記複数の制御モニタの検査機能部とが配置されるプロセッサ（１９〜２１）とは異なる電子制御装置（１、３１）。
2. 請求項１に記載した電子制御装置において、
   前記フェールセーフ調停部は、各々の前記制御モニタ機能部から要求される制御対象への駆動停止指示と、各々の制御モニタの検査機能部から要求される制御対象への駆動停止指示とを調停し、該当する制御対象の駆動を停止する電子制御装置。
3. 請求項１又は２に記載した電子制御装置において、
   前記監視部は、前記故障判定機能の検査機能部から出力される監視結果情報により前記演算処置装置が異常であると判定した場合に、全ての制御対象の駆動を停止する電子制御装置。
4. 請求項１から３の何れか一項に記載した電子制御装置において、
   前記制御モニタの検査機能部は、前記検査機能の故障判定機能部、前記故障判定機能の検査機能部及び前記フェールセーフ調停部のうち少なくとも何れかに対して機能テストを実施し、前記検査機能の故障判定機能部、前記故障判定機能の検査機能部及び前記フェールセーフ調停部のうち少なくとも何れかが異常であると判定すると、異常を報知する電子制御装置。
5. 請求項４に記載した電子制御装置において、
   前記制御モニタの検査機能部は、前記検査機能の故障判定機能部、前記故障判定機能の検査機能部及び前記フェールセーフ調停部のうち少なくとも何れかに対して実施した機能テストのテスト結果を前記監視部に出力する電子制御装置。

Images