JP2018032328A - 電子制御装置 - Google Patents

Abstract

【課題】車両制御を実行するマイクロコンピュータが正常であるか異常であるかを適切に監視する技術を提供する。
【解決手段】電子制御装置１０は、少なくとも一つの第１のマイクロコンピュータ２０と、一つの第２のマイクロコンピュータ３０と、を備えている。第１のマイクロコンピュータは、車両制御を実行するための演算を行う。第２のマイクロコンピュータは、第１のマイクロコンピュータの演算結果に基づいて、第１のマイクロコンピュータが正常であるか異常であるかを監視する。
【選択図】図１

Description

本開示は、車両制御を実行するマイクロコンピュータが正常であるか異常であるかを監視する技術に関する。

車両制御を実行するマイクロコンピュータが正常であるか異常であるかを監視する技術が知られている。例えば、特許文献１に記載の技術では、マイクロコンピュータが第１のプログラムを実行することにより車両の駆動ユニットの出力を制御し、マイクロコンピュータが第２のプログラムを実行することにより第１のプログラムによる出力制御をモニタして監視する。

第２のプログラムは、第１のプログラムと同じ演算対象のデータを入力して演算することにより、第１のプログラムが駆動ユニットの出力制御のために演算する演算結果が正常であるか異常であるかを監視する。

特表平１１−５０５５８７号公報

特許文献１に記載の技術では、一つのマイクロコンピュータが第１のプログラムと第２のプログラムとの両方を実行するので、両方のプログラムが参照する演算対象のデータが同じメモリに格納されている可能性がある。

この場合、例えばメモリに格納されている演算対象のデータがメモリの異常のためにビットの反転等により異常値になり、第１のプログラムが異常なデータに基づいて演算する演算結果が異常値になると、第２のプログラムの演算結果も異常値になる。

このように、一つのマイクロコンピュータが第１のプログラムと第２のプログラムとの両方を実行する構成では、マイクロコンピュータのハードウェア資源に異常が発生すると、第２のプログラムは第１のプログラムの演算結果が正常であるか異常であるかを適切に監視できない。

本開示の一側面は、車両制御を実行するマイクロコンピュータが正常であるか異常であるかを適切に監視する技術を提供することにある。

本開示の一態様は、少なくとも一つの第１のマイクロコンピュータ（２０）と、一つの第２のマイクロコンピュータ（３０）と、を備えている。
第１のマイクロコンピュータは、車両制御を実行するための演算を行う。第２のマイクロコンピュータは、第１のマイクロコンピュータの演算結果に基づいて、第１のマイクロコンピュータが正常であるか異常であるかを監視する。

この構成によれば、車両制御を実行する第１のマイクロコンピュータと、第１のマイクロコンピュータが正常であるか異常であるかを監視する第２のマイクロコンピュータとは異なるマイクロコンピュータである。

つまり、第１のマイクロコンピュータと、第２のマイクロコンピュータとは、演算を実行する演算部と、演算対象のデータを格納するメモリと、演算部がメモリのデータをアクセスするデータ線、などのハードウェア資源をマイクロコンピュータ毎に備えており、共有していない。

したがって、第１のマイクロコンピュータのハードウェア資源に異常が発生して第１のマイクロコンピュータの演算結果が異常になっても、第２のマイクロコンピュータのハードウェア資源が正常であれば、第１のマイクロコンピュータの演算結果に基づいて、第１のマイクロコンピュータが正常であるか異常であるかを適切に監視できる。

尚、この欄および特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

本実施形態の電子制御装置を示すブロック図。 電子制御装置が実行する車両制御処理を示すシーケンス図。

以下、本開示を実施するための形態を図に基づいて説明する。
［１．構成］
図１に示す電子制御装置１０は、少なくともモータを駆動源とする車両に搭載されており、高圧電池２１０からモータ用インバータ、エアコン等の車載装置に供給する高電圧をスイッチングするリレー２１２、２１４のオン、オフを制御する。

電子制御装置１０は、メインマイクロコンピュータ２０と、サブマイクロコンピュータ３０と、ＡＳＩＣ４０と、選択部５０、５２、５４と、出力部６０、６２と、を備えている。以下、マイクロコンピュータをマイコンとも言う。ＡＳＩＣは、Application Specific Integrated Circuitの略である。

メインマイコン２０は、ＣＰＵ２２と、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の半導体メモリ２４とを備えている。サブマイコン３０も、ＣＰＵ３２と、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の半導体メモリ３４とを備えている。以下、半導体メモリを単にメモリとも言う。

メインマイコン２０とサブマイコン３０との各機能は、ＣＰＵ２２、３２が非遷移的実体的記録媒体に記憶されているプログラムを実行することにより実現される。この例では、メモリ２４、３４が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムが実行されることで、プログラムに対応する方法が実行される。

メインマイコン２０とサブマイコン３０とは、それぞれ入力線１００、１０２からアクセル開度、シフトポジション、電池充電深度等のデータを入力する。
メインマイコン２０は、入力線１００から入力したアクセル開度、シフトポジション、電池充電深度等のデータを演算し、高圧電池２１０のプラス側のリレー２１２をオンにするかオフにするかを制御する制御信号を制御線１０４に出力する。また、メインマイコン２０は、通常、出力線１２０にオン信号を出力する。

尚、図１では、高圧電池２１０のプラス側のリレー２１２をオンにするかオフにするかを制御する回路だけを図示しているが、メインマイコン２０は、制御線１０４とは異なる制御線により、高圧電池２１０のマイナス側のリレー２１４オンにするかオフにするかを制御する。メインマイコン２０がリレー２１２用の制御線１０４に出力する制御信号と、リレー２１４用の図示しない制御線に出力する制御信号とは同じである。

そして、後述する選択部５０と出力部６０とサブマイコン３０の出力線１０６と同様の回路がリレー２１４にも設置されている。さらに、後述する出力部６２によるリレー２１２用の出力部６０への電力供給の制御が、リレー２１４用の出力部に対しても行われる。

リレー２１２、２１４に対するオン、オフ制御は実質的に同じであるから、この後、リレー２１４に対するオン、オフ制御の説明は省略し、リレー２１２に対するオン、オフ制御について説明する。

メインマイコン２０は、リレー２１２のオン、オフ制御以外にも、例えばＣＡＮ通信により他の電子制御装置に、車両の駆動源であるモータの出力トルクの設定、高圧電池２１０の充電量の設定等を指令する。ＣＡＮはController Area Networkの略であり、登録商標である。

サブマイコン３０は、入力線１０２から入力したアクセル開度、シフトポジション、電池充電深度等のメインマイコン２０と同じ演算対象のデータを、メインマイコン２０と同じ演算プログラムで演算する。

サブマイコン３０は、通信線１４０を介したマイコン間通信によりメインマイコン２０の演算結果を受信する。そして、メインマイコン２０から受信した演算結果と、サブマイコン３０の演算結果とを比較し、一致しているか否かによって、メインマイコン２０が制御線１０４に出力する制御信号を電子制御装置１０から出力することを許可するか禁止するかを決定する出力信号を出力線１０６に出力する。

サブマイコン３０は、メインマイコン２０の演算結果とサブマイコン３０の演算結果とが一致する場合、メインマイコン２０は正常であると判断し、出力信号として許可を表すオン信号を出力線１０６に出力する。サブマイコン３０は、メインマイコン２０の演算結果とサブマイコン３０の演算結果とが一致しない場合、メインマイコン２０は異常であると判断し、出力信号として禁止を表すオフ信号を出力線１０６に出力する。

サブマイコン３０は、通常、オン信号を出力線１０６に出力しており、メインマイコン２０の演算結果とサブマイコン３０の演算結果とが一致しない場合、出力線１０６にオフ信号を出力する。

また、サブマイコン３０は、サブマイコン３０が搭載する図示しないウォッチドッグカウンタをクリアするパルスを通信線１４２を介してメインマイコン２０から受信する。所定時間内にメインマイコン２０からウォッチドッグカウンタをクリアするパルスを受信しない場合、サブマイコン３０は、メインマイコン２０は異常であると判断する。

この場合、サブマイコン３０は、メインマイコン２０が制御線１０４に出力する制御信号を電子制御装置１０から出力することを禁止するオフ信号を出力線１０６に出力する。
選択部５０は、サブマイコン３０が出力線１０６に出力する出力信号が許可を表すオン信号の場合、メインマイコン２０が制御線１０４に出力する制御信号をそのまま出力線１０８に出力する。選択部５０は、サブマイコン３０が出力線１０６に出力する出力信号が禁止を表すオフ信号の場合、メインマイコン２０が制御線１０４に出力する制御信号を遮断する。この場合、出力線１０８にはリレー２１２をオフにする制御信号が出力される。

出力部６０は、出力線１０８の信号を出力線１１０により電子制御装置１０からリレー２１２に出力する。出力部６０には、リレー２０２がオンの場合、１２Ｖ等の低圧電源２００から電力線１５０を介して電力が供給される。リレー２０２は、出力部６２が出力線１３０に出力する制御信号によりオン、オフされる。

サブマイコン３０は、出力部６０の出力をモニタ線１６０でモニタしている。出力線１０６に禁止を表すオフ信号を出力しているにも関わらず、出力部６０の出力がオンであることをモニタ線１６０の信号から検出すると、サブマイコン３０は通常はオン信号を出力している出力線１２２にオフ信号を出力する。

出力部６２の出力は、出力線１２０、１２２、１２４がすべてオンであり、その結果として選択部５２の出力線１２６と選択部５４の出力線１２８とがオンの場合にオンになる。出力線１２０、１２２、１２４の少なくとも一つがオフであれば、出力部６２の出力はオフになり、リレー２０２はオフになる。その結果、低圧電源２００から出力部６０への電力供給は遮断される。

低圧電源２００から出力部６０への電力供給が遮断されると、出力部６０から出力線１１０に出力される制御信号はオフになるので、リレー２１２はオフになる。これにより、高圧電池２１０から車載装置への高電圧の供給は遮断される。

上記以外にも、メインマイコン２０、サブマイコン３０は、リレー２０２の出力を電力線１５２、１５４を介して入力し、モニタしている。さらに、メインマイコン２０、サブマイコン３０は、高圧電池２１０から車載装置に高電圧が供給されているか否かを、高電圧センサ等のモニタ装置２１６が出力する電圧検出信号によりモニタ線１６２、１６４を介して入力し、モニタしている。

メインマイコン２０とサブマイコン３０とは、自マイコンが出力する信号に対応しない出力を電力線１５２、１５４またはモニタ線１６２、１６４から検出すると、駆動源であるモータの出力トルクを低下させる等のフェール処理を実行する。

ＡＳＩＣ４０は、サブマイコン３０と同じアルゴリズムで定期的に演算し、サブマイコン３０が同じアルゴリズムで定期的に演算する演算結果を通信線１４４を介して受信する。演算結果は０または１、あるいはＴＲＵＥまたはＦＡＬＳＥ等の単純な結果でよい。ＡＳＩＣ４０は、通信線１４４を介してサブマイコン３０から受信する演算結果がＡＳＩＣ４０の演算結果と一致しない場合、出力線１２４にオフ信号を出力する。

また、ＡＳＩＣ４０は、ＡＳＩＣ４０が搭載する図示しないウォッチドッグカウンタをクリアするパルスを通信線１４６を介してサブマイコン３０から受信する。ＡＳＩＣ４０は、所定時間内にサブマイコン３０からウォッチドッグカウンタをクリアするパルスを受信しない場合、制御線１７０、１７２を介してメインマイコン２０とサブマイコン３０とにリセット信号を同時に出力する。

［２．処理］
電子制御装置１０が実行する車両制御処理を図２のシーケンス図に基づいて説明する。図２において（処理１）〜（処理１０）の１０個の処理が一つの処理シーケンスを表している。一つの処理シーケンスは例えば１０ｍｓｅｃの周期で繰り返し実行される。

（処理１）メインマイコン２０は、入力線１００からアクセル開度、シフトポジション、電池充電深度等のデータを入力する。サブマイコン３０は、前回の処理シーケンスにおいて、出力線１０６にオフ信号を出力しているにも関わらず出力部６０の出力がオンになっている場合、出力線１２２にオフ信号を出力するフェール処理を実行する。

（処理２）メインマイコン２０は、（処理１）で入力したデータに基づいて、リレー２１２をオンにするかオフにするかを制御するための制御演算を実行する。サブマイコン３０は、入力線１０２から、メインマイコン２０と同じアクセル開度、シフトポジション、電池充電深度等のデータを入力する。

（処理３）メインマイコンは、（処理２）に続いてリレー２１２をオンにするかオフにするかを決定するための制御演算を実行する。サブマイコン３０は、（処理２）で入力したデータに基づいて、メインマイコン２０と同様に、リレー２１２をオンにするかオフにするかを制御するための制御演算を実行する。

（処理４）メインマイコン２０は、通信線１４０を介したマイコン間通信により、サブマイコン３０に（処理２）、（処理３）の演算結果として、リレー２１２をオンにするかオフにするかを送信する。サブマイコン３０は、（処理３）に続いてリレー２１２をオンにするかオフにするかを制御するための制御演算を実行する。

（処理５）メインマイコン２０は、車両の駆動源であるモータの出力トルクの設定、高圧電池２１０の充電量の設定等、サブマイコン３０がメインマイコン２０との演算結果が一致するか否かの判定対象とするリレー２１２をオンにするかオフにするか以外の制御演算を実行する。サブマイコン３０は、通信線１４０を介したマイコン間通信により、リレー２１２をオンにするかオフにするかの演算結果をメインマイコン２０から受信する。

（処理６）メインマイコン２０は、（処理５）に続いて、リレー２１２をオンにするかオフにするか以外の制御演算を実行する。サブマイコン３０は、リレー２１２をオンにするかオフにするかについて、メインマイコン２０から受信した演算結果と、サブマイコン３０の演算結果とが一致するか否かを判定する。

（処理７）メインマイコン２０とサブマイコン３０とは、（処理６）と同じ処理を実行する。
（処理８）メインマイコン２０は、（処理７）に続いて、リレー２１２をオンにするかオフにするか以外の制御演算を実行する。サブマイコン３０は、（処理６）、（処理７）の判定結果に基づいて、リレー２１２をオフにして高圧電池２１０からの高電圧の供給を禁止するために、出力線１０６にオフ信号を出力して選択部５０の出力をオフにするかを判定する。

（処理９）メインマイコン２０は、（処理２）、（処理３）の制御演算については演算結果を制御線１０４に出力し、（処理５）〜（処理８）の制御演算についてはＣＡＮ通信により演算結果を他の電子制御装置に出力する。

サブマイコン３０は、（処理８）の判定結果に基づいて、メインマイコン２０とサブマイコン３０との演算結果が一致しない場合、選択部５０からメインマイコン２０の制御信号が出力されることを禁止するために、出力線１０６にオフ信号を出力する。これにより、リレー２１２をオフにするオフ信号が出力部６０から出力される。

（処理１０）メインマイコン２０は、処理を実行せず待機する。サブマイコン３０は、モニタ線１６０により出力部６０の出力をモニタし、出力線１０６にオフ信号を出力しているにも関わらず、出力部６０の出力がオンになっているか否かを判定する出力フィードバック判定を行う。

サブマイコン３０は、出力線１０６にオフ信号を出力しているにも関わらず出力部６０の出力がオンになっている場合、次の処理シーケンスの（処理１）で出力線１２２にオフ信号を出力するフェール処理を実行する。

これにより、出力部６２の出力がオフになるのでリレー２０２がオフになり、低圧電源２００から出力部６０への電力供給が遮断される。すると、リレー２１２がオフになるので、高圧電池２１０から車載装置に高電圧が供給されることを遮断する。

［３．効果］
以上説明した上記実施形態によれば、以下の効果を得ることができる。
（１）高圧電池２１０から車載装置への高電圧の供給をオン、オフするリレー２１２を制御するメインマイコン２０と、メインマイコン２０が正常であるか異常であるかを監視するサブマイコン３０とを異なるマイコンで構成した。

したがって、メインマイコン２０とサブマイコン３０とは、演算を実行するＣＰＵ２２、３２と、演算をするためのデータを格納するメモリ２４、３４とＣＰＵ２２、３２がメモリ２４、３４をアクセスするデータ線、などのハードウェア資源を共有せず、マイコン毎に備えている。

この構成により、ハードウェア資源に異常が発生してメインマイコン２０の演算結果が異常になっても、サブマイコン３０のハードウェア資源が正常であれば、メインマイコン２０の演算結果に基づいて、メインマイコン２０が正常であるか異常であるかを適切に監視できる。

（２）サブマイコン３０は、出力部６０の出力を入力してモニタしているので、出力線１０６にオフ信号を出力しているにも関わらず出力部６０の出力がオンになっている場合、出力線１２２にオフ信号を出力して出力部６０への電力供給を遮断できる。

これにより、メインマイコン２０が異常になっている状態で出力部６０の出力がオンに固着していても、出力部６０への電力供給を遮断することにより、リレー２１２をオフにすることができる。

さらに、サブマイコン３０は、出力部６０の出力を入力してモニタしているので、出力部６０の出力がオンに固着していても、出力部６０への電力供給を遮断することにより、リレー２１２をオフにし、速やかに車載装置への高電圧の供給を遮断できる。

（３）ＡＳＩＣ４０がサブマイコン３０が正常であるか否かを監視しているので、メインマイコン２０を監視するサブマイコン３０が異常になっても、ＡＳＩＣ４０が出力線１２４にオフ信号を出力して出力部６０への電力供給を遮断できる。

上記実施形態では、メインマイコン２０が第１のマイクロコンピュータに対応し、サブマイコン３０が第２のマイクロコンピュータに対応し、ＡＳＩＣ４０が監視部に対応し、選択部５０が第１の選択部に対応し、選択部５２、５４が第２の選択部に対応し、出力部６０が出力部に対応し、出力部６２が出力制御部に対応し、リレー２１２がリレーに対応する。

また、メインマイコン２０が制御線１０４に出力する制御信号が制御信号に対応し、サブマイコン３０が出力線１０６に出力する出力信号が出力信号または第１の出力信号に対応し、サブマイコン３０が出力線１２２に出力する出力信号が出力信号または第２の出力信号に対応し、サブマイコン３０がモニタ線１６４から入力する信号が電圧検出信号に対応し、ＡＳＩＣ４０が出力線１２４に出力する出力信号が第２の出力信号に対応する。

［４．他の実施形態］
（１）上記実施形態では、第１のマイコンに対応するメインマイコン２０が車両制御としてリレー２１２をオンまたはオフし、第２のマイコンに対応するサブマイコン３０は、メインマイコン２０が正常であるか異常であるかを監視した。

これに対し、第１のマイコンが実行する車両制御はリレー２１２をオンまたはオフすることに限らず、どのような車両制御であってもよい。そして、第２のマイコンは、第１のマイコンが異常の場合、第１のマイコンが車両制御のために出力する制御信号が電子制御装置から出力されることを禁止する。

（２）上記実施形態では、サブマイコン３０が正常であるか異常であるかを監視する監視部をＡＳＩＣ４０で構成した。これに対し、サブマイコン３０が正常であるか異常であるかを監視する監視部をマイコンで構成してもよい。

（３）上記実施形態において、サブマイコン３０とＡＳＩＣ４０とが出力線１２２、１２４により出力部６２の出力をオフにする回路構成を除いてもよい。この場合、メインマイコン２０が異常であれば、メインマイコン２０が制御線１０４に出力する制御信号は、サブマイコン３０が出力線１０６に出力するオフ信号により電子制御装置１０からの出力を禁止される。

（４）上記実施形態において、メインマイコン２０が制御線１０４に出力する制御信号を選択部５０を介さず直接、出力部６０からリレー２１２に出力してもよい。
この場合、メインマイコン２０が異常であれば、メインマイコン２０が制御線１０４に出力する制御信号は、サブマイコン３０が出力線１２２にオフ信号を出力して出力部６０への電力供給を遮断することにより、電子制御装置１０からの出力を禁止される。

（５）上記実施形態では、一つのメインマイコン２０が正常であるか異常であるかを一つのサブマイコン３０が監視した。これに対し、二つ以上のメインマイコン２０が正常であるか異常であるかを一つのサブマイコン３０が監視してもよい。この場合、一つのサブマイコン３０は、二つ以上のそれぞれのメインマイコン２０の演算結果に基づいて、それぞれのメインマイコン２０が正常であるか異常であるかを監視する。

（６）サブマイコン３０が異常の場合、ＡＳＩＣ４０はメインマイコン２０が出力する制御信号を遮断する出力信号を選択部５０に出力してもよい。
（７）上記実施形態における一つの構成要素が有する複数の機能を複数の構成要素によって実現したり、一つの構成要素が有する一つの機能を複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を一つの構成要素によって実現したり、複数の構成要素が有する一つの機能を一つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加または置換してもよい。尚、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本開示の実施形態である。

（８）上述した電子制御装置の他、当該電子制御装置を構成要素とする車両制御システム、当該電子制御装置としてコンピュータを機能させるための車両制御プログラム、この車両制御プログラムを記録した記録媒体、車両制御方法など、種々の形態で本開示を実現することもできる。

１０：電子制御装置、２０：メインマイコン（第１のマイコン）、３０：サブマイコン（第２のマイコン）、４０：ＡＳＩＣ（監視部）、５０：選択部（第１の選択部）、５２、５４：選択部（第２の選択部）、６０：出力部、６２：出力部（出力制御部）、２１２、２１４：リレー

Claims (12)

1. 車両制御を実行するための演算を行うように構成された少なくとも一つの第１のマイクロコンピュータ（２０）と、
   前記第１のマイクロコンピュータの演算結果に基づいて、前記第１のマイクロコンピュータが正常であるか異常であるかを監視するように構成された一つの第２のマイクロコンピュータ（３０）と、
   を備える電子制御装置（１０）。
2. 請求項１に記載の電子制御装置において、
   前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが演算対象のデータを演算した前記演算結果と、前記第２のマイクロコンピュータが同じ前記演算対象のデータを演算した演算結果とを比較して前記第１のマイクロコンピュータが正常であるか異常であるかを監視する、
   電子制御装置。
3. 請求項１または２に記載の電子制御装置において、
   前記第１のマイクロコンピュータが前記車両制御を実行するために出力する制御信号が前記電子制御装置から出力されることを許可するか禁止するかを前記第２のマイクロコンピュータの出力信号により選択するように構成された選択部（５０〜５４）をさらに備え、
   前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが正常の場合、前記制御信号が前記電子制御装置から出力されることを許可する前記出力信号を前記選択部に出力し、前記第１のマイクロコンピュータが異常の場合、前記制御信号が前記電子制御装置から出力されることを禁止する前記出力信号を前記選択部に出力する、
   電子制御装置。
4. 請求項３に記載の電子制御装置において、
   前記選択部（５０）は、前記制御信号と前記出力信号とを入力とする、
   電子制御装置。
5. 請求項４に記載の電子制御装置において、
   前記選択部を第１の選択部とし、前記出力信号を第１の出力信号とし、
   前記第１の選択部の出力を前記電子制御装置から出力するように構成された出力部（６０）と、
   前記出力部への電力供給をオンまたはオフにするように構成された出力制御部（６２）と、
   前記出力制御部が前記出力部への電力供給をオンまたはオフのいずれにするかを、前記第２のマイクロコンピュータが出力する第２の出力信号により選択するように構成された第２の選択部（５２、５４）と、
   をさらに備え、
   前記第２のマイクロコンピュータは、前記出力部の出力を入力し、前記第１のマイクロコンピュータが異常の場合に前記出力部から前記制御信号が出力されていると、前記出力部への前記電力供給をオフにする前記第２の出力信号を前記第２の選択部に出力する、
   電子制御装置。
6. 請求項３に記載の電子制御装置において、
   前記制御信号を前記電子制御装置から出力するように構成された出力部（６０）と、
   前記出力部への電力供給をオンまたはオフにするように構成された出力制御部（６２）と、
   をさらに備え、
   前記選択部（５２、５４）は、前記出力制御部が前記出力部への電力供給をオンまたはオフにするかを、前記第２のマイクロコンピュータが出力する前記出力信号により選択し、
   前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータが異常の場合、前記出力部への電力供給をオフにする前記出力信号を前記選択部に出力する、
   電子制御装置。
7. 請求項１から６のいずれか一項に記載の電子制御装置において、
   前記第２のマイクロコンピュータが正常であるか異常であるかを監視するように構成された監視部（４０）をさらに備える、
   電子制御装置。
8. 請求項７に記載の電子制御装置において、
   前記監視部は、前記第２のマイクロコンピュータが異常の場合、前記第１のマイクロコンピュータと前記第２のマイクロコンピュータとを同時にリセットする、
   電子制御装置。
9. 請求項４を引用する請求項７または８に記載の電子制御装置において、
   前記出力信号を第１の出力信号とし、
   前記選択部は、前記第１の出力信号と前記監視部が出力する第２の出力信号とにより前記制御信号を出力するか否かを選択し、
   前記監視部は、前記第２のマイクロコンピュータが正常の場合、前記制御信号が前記選択部から出力されることを許可する前記第２の出力信号を出力し、前記第２のマイクロコンピュータが異常の場合、前記制御信号が前記選択部から出力されることを禁止する前記第２の出力信号を出力する、
   電子制御装置。
10. 請求項６を引用する請求項７または８に記載の電子制御装置において、
    前記出力信号を第１の出力信号とし、
    前記選択部は、前記出力制御部が前記出力部への電力供給をオンまたはオフのいずれにするかを、前記第１の出力信号と前記監視部が出力する第２の出力信号とにより選択し、
    前記監視部は、前記第２のマイクロコンピュータが異常の場合、前記出力制御部が前記出力部への電力供給をオフにする前記第２の出力信号を前記選択部に出力する、
    電子制御装置。
11. 請求項３から６のいずれか一項、あるいは請求項３から６のいずれか一項を引用する請求項７、あるいは請求項３から６のいずれか一項を引用する請求項７を引用する請求項８、あるいは請求項９または１０に記載の電子制御装置において、
    前記制御信号は、高電圧により駆動される車載装置への高電圧の供給をオンまたはオフにするリレー（２１２、２１４）に対する制御信号である、
    電子制御装置。
12. 請求項１１に記載の電子制御装置において、
    前記第２のマイクロコンピュータは、前記高電圧が前記車載装置に供給されているか否かを検出する電圧検出信号を入力する、
    電子制御装置。

Images