JP2018059419A - 電子制御装置 - Google Patents

Abstract

【課題】保護領域をむやみに増加させることなく、安全保証設計を実現する。
【解決手段】電子制御装置１は、車両に搭載されるものであり、制御部７、強制駆動部８および電スロカット機構１５を備える。制御部７は、ハザードの要因となり得るアクチュエータ４、５を制御するものであり、機能安全上の保護を必要とする。強制駆動部８は、アクチュエータ４、５を強制的に駆動するものであり、機能安全上の保護を必要としない。電スロカット機構１５は、強制駆動部８によるアクチュエータ４、５の駆動が実行される際、スロットルモータ２への電源供給をカットすることで車両のシステムを安全側に移行する。
【選択図】図１

Description

本発明は、車両に搭載される電子制御装置に関する。

車両に搭載される電子制御装置では、機能安全において暴走などのハザードが発生しないような安全保証された設計にする必要がある。安全保証された設計にするためには、ハザードの要因となる保護すべき機能への侵害を防止すること、つまり非干渉性を実現する仕組みを適用し、保護されるべき領域（以下、保護領域と呼ぶ）と保護を必要としない領域（以下、非保護領域と呼ぶ）に分けて設計をする必要がある。

なお、上述した保護すべき機能としては、例えばソフトウェアであればプログラムやＲＡＭであり、ハードウェアであればドライバなどである。また、上記ソフトウェアの保護方法としては、メモリに外部からアクセスや書き換え不可の領域を設けることやＥＣＣを採用することなどが挙げられる。

また、上記ハードウェアの保護方法としては、故障しないように設計すること、システムを冗長化すること、監視用ＩＣでマイコンを監視することなどが挙げられる。また、上述した侵害とは、メモリなどへの不正アクセス、ノイズなどによるデータ化けなどが該当する。

上述した保護を必要としない機能としては、例えば強制駆動機能を挙げることができる。強制駆動とは、アクチュエータなどを、通常の制御に関係なく、強制的に駆動するものであり、例えば、異常個所を特定するための検査や、製造工程で実施される完成検査などで用いられる（例えば、特許文献１参照）。

特開２００５−２４８８２５号公報

上述したような安全保証された設計を実現するためには、ハザードの要因となる機能を全て保護領域に配置することが必要となる。しかし、保護領域をむやみに増加させることは、保護するための診断機能の増加に伴うリソースの増加、保護機能を検証するための作業の増加などに繋がるため、大きなデメリットとなる。

本発明は上記事情に鑑みてなされたものであり、その目的は、保護領域をむやみに増加させることなく、安全保証設計を実現することができる電子制御装置を提供することにある。

請求項１に記載の電子制御装置（１、２１、４１）は、車両に搭載されるものであり、制御部（７、２４、４４）と、強制駆動部（８、２５、４５）と、安全状態移行部（１５、３２、５４）と、を備える。制御部は、ハザードの要因となり得るアクチュエータ（４、５、２３、４３）を制御するものであり、機能安全上の保護を必要とする。また、強制駆動部は、上記アクチュエータを強制的に駆動するものであり、機能安全上の保護を必要としない。そして、安全状態移行部は、強制駆動部によるアクチュエータの駆動が実行される際、車両のシステムを安全側に移行する。

上記構成によれば、強制駆動部によるアクチュエータの駆動が実行される際、車両のシステムは安全側に移行されており、システムが暴走などのハザードに至ることはない。したがって、強制駆動部に対する保護を行う必要がなくなるため、保護領域を比較的小さい領域とすることが可能となる。したがって、上記構成によれば、保護領域をむやみに増加させることなく、安全保証設計を実現することができる。

第１実施形態に係る電子制御装置および周辺の構成を模式的に示す図 第２実施形態に係る電子制御装置および周辺の構成を模式的に示す図 第３実施形態に係る電子制御装置および周辺の構成を模式的に示す図

以下、本発明の複数の実施形態について図面を参照して説明する。なお、各実施形態において実質的に同一の構成には同一の符号を付して説明を省略する。
（第１実施形態）
以下、本発明の第１実施形態について図１を参照して説明する。

図１に示す電子制御装置１（以下、ＥＣＵ１と呼ぶ）は、車両に搭載されるものであり、電子スロットルエンジン制御システムに用いられる。ＥＣＵ１は、スロットルモータ２を駆動してスロットルバルブ３の開度を制御する。また、ＥＣＵ１は、複数のアクチュエータ４、５を駆動して内燃機関に相当するエンジン６の出力を制御する。

アクチュエータ４、５は、ハザードの要因となり得る車両の走行、つまりエンジン６の出力に関与するものである。具体的には、アクチュエータ４、５は、例えば可変バルブタイミング機構（ＶＶＴ）、排気ガス還流システム（ＥＧＲ）、インジェクタ、点火プラグなどを構成するものである。なお、図１では、２つのアクチュエータ４、５だけを図示しているが、ＥＣＵ１により３つ以上のアクチュエータを駆動する構成でもよい。

ＥＣＵ１は、制御部７、強制駆動部８、ドライバ９〜１１、切替スイッチＳＷ１、ＳＷ２、リレー１２、ＮＰＮ形のバイポーラトランジスタＴ１、Ｔ２（以下、トランジスタＴ１、Ｔ２と省略する）、ＮＯＲ回路１３、監視部１４などを備えている。車両に搭載されたバッテリ（図示略）から供給されるバッテリ電圧ＢＡＴＴが与えられる電源線Ｌｂとスロットルモータ２の電源供給端子との間には、リレー１２の接点１２ａおよびトランジスタＴ１が接続されている。

トランジスタＴ１のベースにはドライバ９から出力される駆動信号が与えられている。また、電源線Ｌｂと、回路の基準電位（０Ｖ）が与えられるグランド線Ｌｇとの間には、トランジスタＴ２およびリレー１２のコイル１２ｂが接続されている。トランジスタＴ２のベースには、ＮＯＲ回路１３の出力信号が与えられている。

制御部７は、ＡＳＩＬ（Automotive Safety Integrity Level）レベルが要求されているものであり、機能安全上の保護を必要とする。制御部７は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを有するマイクロコンピュータ（以下、マイコンと省略する）を主体として構成されている。

制御部７は、ドライバ９に電スロ駆動要求を表す信号Ｓａを出力する。ドライバ９は、信号Ｓａが与えられると、その信号Ｓａに基づいてトランジスタＴ１を駆動することでスロットルモータ２への通電を行う。また、制御部７は、切替スイッチＳＷ１、ＳＷ２を介して、ドライバ１０、１１に通常駆動要求を表す信号Ｓｂ、Ｓｃを出力する。ドライバ１０、１１は、信号Ｓｂ、Ｓｃが与えられると、それら信号Ｓｂ、Ｓｃに基づいてアクチュエータ４、５を駆動する。このような構成により、制御部７は、スロットルモータ２およびアクチュエータ４、５の駆動を制御する。

強制駆動部８は、ＡＳＩＬレベルが要求されていないものであり、機能安全上の保護を必要としない。強制駆動部８は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを有するマイコンを主体として構成されている。強制駆動部８は、切替スイッチＳＷ１、ＳＷ２を介して、ドライバ１０、１１に強制駆動要求を表す信号Ｓｄ、Ｓｅを出力する。ドライバ１０、１１は、信号Ｓｄ、Ｓｅが与えられると、それら信号Ｓｄ、Ｓｅに基づいてアクチュエータ４、５を駆動する。このような構成により、強制駆動部８は、アクチュエータ４、５を強制的に駆動する強制駆動を行うことが可能となっている。

強制駆動部８は、切替スイッチＳＷ１、ＳＷ２に強制駆動実行要求を表す信号Ｓｆ、Ｓｇを出力する。信号Ｓｆ、Ｓｇは、強制駆動を実行する場合にはハイレベル（例えば、ＥＣＵ１の電源電圧の電圧レベル）となり、強制駆動を実行しない場合にはロウレベル（例えば、各回路の基準電位である０Ｖ）となる。

切替スイッチＳＷ１の接点は、信号Ｓｆがハイレベルのときに信号Ｓｄがドライバ１０に与えられ、信号Ｓｆがロウレベルのときに信号Ｓｂがドライバ１０に与えられるように切り替えられる。切替スイッチＳＷ２の接点は、信号Ｓｇがハイレベルのときに信号Ｓｅがドライバ１１に与えられ、信号Ｓｇがロウレベルのときに信号Ｓｃがドライバ１１に与えられるように切り替えられる。

強制駆動部８から出力される信号Ｓｆ、Ｓｇは、ＮＯＲ回路１３の各入力端子にも与えられるようになっている。そのため、信号Ｓｆ、Ｓｇの少なくとも一方がハイレベルである場合、つまり強制駆動が実行される場合には、ＮＯＲ回路１３の出力信号はロウベルとなる。これにより、トランジスタＴ２がオフ駆動されるため、リレー１２がオフしてスロットルモータ２に対する電源供給が不可能な状態となる。

また、信号Ｓｆ、Ｓｇの双方がロウレベルである場合、つまり強制駆動が実行されない場合には、ＮＯＲ回路１３の出力信号はハイレベルとなる。これにより、トランジスタＴ２がオン駆動されるため、リレー１２がオンしてスロットルモータ２に対する電源供給が可能な状態となる。

このような構成により、強制駆動部８による強制駆動が実行される際に、スロットルモータ２への電源供給をカットする電スロカット機構１５が構成されている。電スロカット機構１５によりスロットルモータ２への電源供給がカットされると、スロットルバルブ３が僅かに開いた状態、つまりエンジン６への吸入空気量が制限された状態となる。そうすると、車両は走行できるものの、退避走行が可能な程度の速度しか出せない、リンプホーム制御された状態になる。

すなわち、電スロカット機構１５は、強制駆動部８によるアクチュエータ４、５の強制駆動が実行される際、電子スロットルエンジン制御システムをリンプホーム制御に切り替えることにより、そのシステムの状態を安全側に移行するものであり、安全状態移行部に相当する。

監視部１４は、制御部７および強制駆動部８を監視する。ただし、監視部１４は、強制駆動部８により強制駆動が実行される際には、強制駆動部８に対する監視を行わないようになっている。監視部１４による監視の種類としては、ＲＯＭ診断、ＲＡＭ診断、マイコン診断、メモリ修復不可などが挙げられる。

ＲＯＭ診断は、マイコンのプログラムや動作を決めるパラメータが記憶されているＲＯＭ領域に対する診断である。この場合、診断対象となるＲＯＭ領域のＣＲＣ値やチェックサム値を予め計算した値とマイコンに計算させた値とが一致しない場合に異常と判定する。ＲＡＭ診断は、マイコンの演算結果が保存されるＲＡＭ領域に対する診断である。この場合、診断対象となるＲＡＭ領域にテストデータを書き込んだ後に読み出し、書き込んだデータと読み出したデータとが一致しない場合に異常と判定する。

マイコン診断は、マイコンに搭載されているロックステップ機構やＭＰＵ（Memory Protection Unit）、ＢＩＳＴ（Built In Self Test）により異常が検出された場合に異常と判定する。メモリ修復不可は、マイコンに搭載されているＥＣＣ機能で修復できない場合に異常と判定するものである。

監視部１４は、監視結果を表す信号ＳｈをＮＯＲ回路１３の入力端子に出力する。信号Ｓｈは、制御部７および強制駆動部８の少なくとも一方が異常であると判定した場合にはハイレベルとなり、制御部７および強制駆動部８の双方が正常であると判定した場合にはロウレベルとなる信号である。

このような構成により、信号Ｓｈがハイレベルである場合、つまり制御部７および強制駆動部８の少なくとも一方が異常と診断された場合、ＮＯＲ回路１３の出力信号はロウベルとなってトランジスタＴ２がオフ駆動されるため、リレー１２がオフしてスロットルモータ２に対する電源供給が不可能な状態となる。また、信号Ｓｈがロウレベルである場合、つまり制御部７および強制駆動部８の双方が正常であると診断された場合、ＮＯＲ回路１３の出力信号はハイレベルとなってトランジスタＴ２がオン駆動されるため、リレー１２がオンしてスロットルモータ２に対する電源供給が可能な状態となる。

以上説明した本実施形態によれば、次のような効果が得られる。
上記したような電子スロットルエンジン制御システムにおいて、エンジン６の出力に関与するアクチュエータ４、５を駆動するための制御は、制御部７および強制駆動部８により行われる。言い換えると、アクチュエータ４、５に対する出力は、制御部７および強制駆動部８の双方からの影響を受けるようになっている。そのため、制御部７および強制駆動部８のうち少なくともいずれかの制御が侵害された場合には、エンジン６が暴走するといったハザードが発生するおそれがある。そのため、従来では、制御部７および強制駆動部８の双方を保護領域として安全保証設計を行わなければならなかった。

これに対し、本実施形態では、強制駆動部８から出力される強制駆動実行要求を表す信号Ｓｆ、Ｓｇの少なくとも一方がハイレベルである場合、電スロカット機構１５によりスロットルモータ２に対する電源供給がカットされるようになっている。つまり、本実施形態では、強制駆動部８によるアクチュエータ４、５の強制駆動が実行される場合、それに合わせてスロットルモータ２への電源供給をカットすることによりエンジン６への吸入空気量が制限されたリンプホーム制御に切り替えられる。そのため、仮に強制駆動部８の制御が侵害された場合であっても、システムが暴走に至ることはない。

このようなことから、本実施形態では、強制駆動部８に対する保護を行う必要がなくなり、保護の対象としては、制御部７だけとなる。そのため、本実施形態における保護領域は、制御部７および強制駆動部８の双方を保護する場合に比べ、小さい領域とすることができる。したがって、本実施形態によれば、保護領域をむやみに増加させることなく、安全保証設計を実現することができる。

なお、強制駆動部８の制御が侵害されることにより、信号Ｓｆ、Ｓｇが異常、つまり本来の意図とは異なるレベルとなっても問題は生じない。その理由は、次の通りである。すなわち、信号Ｓｆ、Ｓｇがハイレベルである場合、アクチュエータ４、５に強制駆動要求を表す信号Ｓｄ、Ｓｅが与えられるものの、スロットルモータ２への電源供給がカットされるため、ハザードが発生することはない。また、信号Ｓｆ、Ｓｇがロウレベルである場合、スロットルモータ２への電源供給が可能な状態になるものの、アクチュエータ４、５には、保護された制御部７から出力される信号Ｓｂ、Ｓｃが与えられる。

つまり、上記構成によれば、強制駆動部８の制御が侵害されるなどして信号Ｓｆ、Ｓｇが本来の意図とは異なるレベルになったとしても、アクチュエータ４、５に強制駆動部８から出力される信号Ｓｆ、Ｓｇが与えられるとともに、スロットルモータ２への電源供給が可能な状態になることはなく、そのため、ハザードが発生することはない。

また、上記構成では、強制駆動部８による強制駆動が実行される際、エンジン６への吸入空気量を制限することによりシステムをリンプホーム制御に切り替え、システムを安全側に移行させるようになっている。そのため、強制駆動部８が侵害されるなどして強制駆動が意図せずに実行されたとしても、システムが暴走に至ることを防止しつつ、ユーザが車両を退避走行させるといった非常時回避の動作を行うことが可能となる。

強制駆動が実行される際、電スロカット機構１５によりシステムは安全側に移行されているため、敢えて監視部１４が強制駆動部８を監視する必要はない。そこで、本実施形態では、監視部１４は、強制駆動部８によるアクチュエータ４、５の強制駆動が実行される際、強制駆動部８に対する監視を行わないようにしている。このようにすれば、監視部１４による処理負荷を軽減することができる。

（第２実施形態）
以下、第２実施形態について図２を参照して説明する。
図２に示す電子制御装置２１（以下、ＥＣＵ２１と呼ぶ）は、インジェクタ２２への通電を制御するとともに、アクチュエータ２３を駆動してエンジン（図示略）の出力を制御する。アクチュエータ２３は、第１実施形態のアクチュエータ４、５と同様、ハザードの要因となり得る車両の走行に関与するものである。

ＥＣＵ２１は、制御部２４、強制駆動部２５、噴射要求制御部２６、ドライバ２７、Ｎチャネル型ＭＯＳトランジスタＭ２１、Ｍ２２（以下、トランジスタＭ２１、Ｍ２２と省略する）、切替スイッチＳＷ２１、リレー２８、ＡＮＤ回路２９、ＮＯＴ回路３０、監視部３１などを備えている。

電源線Ｌｂとグランド線Ｌｇとの間には、インジェクタ２２、トランジスタＭ２１およびリレー２８の接点２８ａが接続されている。トランジスタＭ２１のゲートには、噴射要求制御部２６から出力される噴射要求を表す信号Ｓｉが与えられている。また、電源線Ｌｂとグランド線Ｌｇとの間には、トランジスタＭ２２およびリレー２８のコイル２８ｂが接続されている。トランジスタＭ２２のゲートには、ＡＮＤ回路２９の出力信号が与えられている。

制御部２４は、第１実施形態の制御部７と同様、機能安全上の保護を必要とするものであり、マイコンを主体として構成されている。制御部２４は、切替スイッチＳＷ２１を介して、ドライバ２７に通常駆動要求を表す信号Ｓｊを出力する。ドライバ２７は、信号Ｓｊが与えられると、その信号Ｓｊに基づいてアクチュエータ２３を駆動する。このような構成により、制御部２４は、アクチュエータ２３の駆動を制御する。

強制駆動部２５は、第１実施形態の強制駆動部８と同様、機能安全上の保護を必要としないものであり、マイコンを主体として構成されている。強制駆動部２５は、切替スイッチＳＷ２１を介して、ドライバ２７に強制駆動要求を表す信号Ｓｋを出力する。ドライバ２７は、信号Ｓｋが与えられると、その信号Ｓｋに基づいてアクチュエータ２３を駆動する。このような構成により、強制駆動部２５は、アクチュエータ２３を強制的に駆動する強制駆動を行うことが可能となっている。

強制駆動部２５は、切替スイッチＳＷ２１に強制駆動実行要求を表す信号Ｓｌを出力する。信号Ｓｌは、強制駆動を実行する場合にはハイレベルとなり、強制駆動を実行しない場合にはロウレベルとなる。切替スイッチＳＷ２１の接点は、信号Ｓｌがハイレベルのときに信号Ｓｋがドライバ２７に与えられ、信号Ｓｌがロウレベルのときに信号Ｓｊがドライバ２７に与えられるように切り替えられる。

強制駆動部２５から出力される信号Ｓｌは、ＮＯＴ回路３０の入力端子にも与えられるようになっている。そのため、信号Ｓｌがハイレベルである場合、つまり強制駆動が実行される場合には、ＮＯＴ回路３０の出力信号はロウベルとなる。これにより、監視部３１から出力される信号Ｓｍのレベルに関係なく、ＡＮＤ回路２９の出力信号がロウレベルとなってトランジスタＭ２２がオフ駆動されるため、リレー２８がオフしてインジェクタ２２への通電が不可能な状態となる。

また、信号Ｓｌがロウレベルである場合、つまり強制駆動が実行されない場合には、ＮＯＴ回路３０の出力信号はハイレベルとなる。これにより、監視部３１から出力される信号ＳｍがハイレベルであればＡＮＤ回路２９の出力信号がハイレベルとなってトランジスタＭ２２がオン駆動されるため、リレー２８がオンしてインジェクタ２２への通電が可能な状態となる。

このような構成により、強制駆動部２５による強制駆動が実行される際に、インジェクタ２２への通電をカットする通電カット機構３２が構成されている。通電カット機構３２によりインジェクタ２２への通電がカットされると、エンジンへの燃料の噴射量が制限された状態となる。すなわち、通電カット機構３２は、強制駆動部２５によるアクチュエータ２３の強制駆動が実行される際、車両のシステムの状態を安全側に移行するものであり、安全状態移行部に相当する。

監視部３１は、第１実施形態の監視部１４と同様、制御部２４および強制駆動部２５を監視する。監視部３１は、監視結果を表す信号ＳｍをＡＮＤ回路２９の入力端子に出力する。信号Ｓｍは、制御部２４および強制駆動部２５の少なくとも一方が異常であると判定した場合にはロウレベルとなり、制御部２４および強制駆動部２５の双方が正常であると判定した場合にはハイレベルとなる信号である。

このような構成により、信号Ｓｍがロウレベルである場合、つまり制御部２４および強制駆動部２５の少なくとも一方が異常と診断された場合、ＮＯＴ回路３０の出力信号のレベルに関係なくＡＮＤ回路２９の出力信号がロウベルとなってトランジスタＭ２２がオフ駆動されるため、リレー２８がオフしてインジェクタ２２への通電が不可能な状態となる。また、信号Ｓｍがハイレベルである場合、つまり制御部２４および強制駆動部２５の双方が正常であると診断された場合、ＮＯＴ回路３０の出力信号がハイレベルであればＡＮＤ回路２９の出力信号がハイレベルとなってトランジスタＭ２２がオン駆動されるため、リレー２８がオンしてインジェクタ２２への通電が可能な状態となる。

以上説明した本実施形態によっても、第１実施形態と同様の効果が得られる。すなわち、本実施形態では、強制駆動部２５から出力される強制駆動実行要求を表す信号Ｓｌがハイレベルである場合、通電カット機構３２によりインジェクタ２２への通電がカットされるようになっている。つまり、本実施形態では、強制駆動部２５によるアクチュエータ２３の強制駆動が実行される場合、それに合わせてインジェクタ２２への通電をカットすることにより車両のシステムが安全側に移行される。そのため、仮に強制駆動部２５の制御が侵害された場合であっても、システムが暴走に至ることはない。

このようなことから、強制駆動部２５に対する保護を行う必要がなくなり、保護の対象としては、制御部２４だけとなる。そのため、本実施形態における保護領域は、制御部２４および強制駆動部２５の双方を保護する場合に比べ、小さい領域とすることができる。したがって、本実施形態によっても、保護領域をむやみに増加させることなく、安全保証設計を実現することができる。

（第３実施形態）
以下、第３実施形態について図３を参照して説明する。
図３に示す電子制御装置４１（以下、ＥＣＵ４１と呼ぶ）は、スタータモータ４２の駆動を制御するとともに、アクチュエータ４３を駆動してエンジン（図示略）の出力を制御する。アクチュエータ４３は、第１実施形態のアクチュエータ４、５と同様、ハザードの要因となり得る車両の走行に関与するものである。

ＥＣＵ４１は、制御部４４、強制駆動部４５、スタータ駆動要求制御部４６、ドライバ４７、Ｎチャネル型ＭＯＳトランジスタＭ４１、Ｍ４２（以下、トランジスタＭ４１、Ｍ４２と省略する）、切替スイッチＳＷ４１、ＮＯＴ回路４８、ＡＮＤ回路４９、ＮＯＲ回路５０、監視部５１などを備えている。

電源線Ｌｂとグランド線Ｌｇとの間には、リレー５２の接点５２ａ、スタータモータ４２およびリレー５３の接点５３ａが接続されている。また、電源線Ｌｂとグランド線Ｌｇとの間には、トランジスタＭ４１およびリレー５２のコイル５２ｂが接続されている。トランジスタＭ４１のゲートには、スタータ駆動要求制御部４６から出力されるスタータカット要求を表す信号Ｓｎを、ＮＯＴ回路４８を通じて反転させた信号が与えられている。

また、電源線Ｌｂとグランド線Ｌｇとの間には、トランジスタＭ４２およびリレー５３のコイル５３ｂが接続されている。トランジスタＭ５２のゲートには、ＡＮＤ回路４９の出力信号が与えられている。ＡＮＤ回路４９の一方の入力端子には、スタータ駆動要求制御部４６から出力されるスタータ駆動要求を表す信号Ｓｏが与えられている。ＡＮＤ回路４９の他方の入力端子には、ＮＯＲ回路５０の出力信号が与えられている。

制御部４４は、第１実施形態の制御部７と同様、機能安全上の保護を必要とするものであり、マイコンを主体として構成されている。制御部４４は、切替スイッチＳＷ４１を介して、ドライバ４７に通常駆動要求を表す信号Ｓｐを出力する。ドライバ４７は、信号Ｓｐが与えられると、その信号Ｓｐに基づいてアクチュエータ４３を駆動する。このような構成により、制御部４４は、アクチュエータ４３の駆動を制御する。

強制駆動部４５は、第１実施形態の強制駆動部８と同様、機能安全上の保護を必要としないものであり、マイコンを主体として構成されている。強制駆動部４５は、切替スイッチＳＷ４１を介して、ドライバ４７に強制駆動要求を表す信号Ｓｑを出力する。ドライバ４７は、信号Ｓｑが与えられると、その信号Ｓｑに基づいてアクチュエータ４３を駆動する。このような構成により、強制駆動部４５は、アクチュエータ４３を強制的に駆動する強制駆動を行うことが可能となっている。

強制駆動部４５は、切替スイッチＳＷ４１に強制駆動実行要求を表す信号Ｓｒを出力する。信号Ｓｒは、強制駆動を実行する場合にはハイレベルとなり、強制駆動を実行しない場合にはロウレベルとなる。切替スイッチＳＷ４１の接点は、信号Ｓｒがハイレベルのときに信号Ｓｑがドライバ４７に与えられ、信号Ｓｒがロウレベルのときに信号Ｓｐがドライバ４７に与えられるように切り替えられる。

強制駆動部４５から出力される信号Ｓｒは、ＮＯＲ回路５０の入力端子にも与えられるようになっている。そのため、信号Ｓｒがハイレベルである場合、つまり強制駆動が実行される場合には、監視部５１から出力される信号Ｓｓのレベルに関係なく、ＮＯＲ回路５０の出力信号はロウベルとなる。これにより、スタータ駆動要求制御部４６から出力される信号Ｓｏのレベルに関係なく、ＡＮＤ回路４９の出力信号がロウレベルとなってトランジスタＭ４２がオフ駆動されるため、リレー５３がオフしてスタータモータ４２への通電が不可能な状態となる。

また、信号Ｓｒがロウレベルである場合、つまり強制駆動が実行されない場合には、監視部５１から出力される信号ＳｓがロウレベルであればＮＯＲ回路５０の出力信号はハイレベルとなる。これにより、スタータ駆動要求制御部４６から出力される信号ＳｏがハイレベルであればＡＮＤ回路４９の出力信号がハイレベルとなってトランジスタＭ４２がオン駆動されるため、リレー５３がオンしてスタータモータ４２への通電が可能な状態となる。

このような構成により、強制駆動部４５による強制駆動が実行される際に、スタータモータ４２への通電をカットする通電カット機構５４が構成されている。通電カット機構５４によりスタータモータ４２への通電がカットされると、エンジンの始動ができない状態となる。すなわち、通電カット機構５４は、強制駆動部４５によるアクチュエータ４３の強制駆動が実行される際、車両のシステムの状態を安全側に移行するものであり、安全状態移行部に相当する。

監視部５１は、第１実施形態の監視部１４と同様、制御部４４および強制駆動部４５を監視する。監視部５１は、監視結果を表す信号ＳｓをＮＯＲ回路５０の入力端子に出力する。信号Ｓｓは、制御部４４および強制駆動部４５の少なくとも一方が異常であると判定した場合にはハイレベルとなり、制御部４４および強制駆動部４５の双方が正常であると判定した場合にはロウレベルとなる信号である。

このような構成により、信号Ｓｓがハイレベルである場合、つまり制御部４４および強制駆動部４５の少なくとも一方が異常と診断された場合、信号Ｓｏ、Ｓｒのレベルに関係なくＡＮＤ回路４９の出力信号がロウベルとなってトランジスタＭ４２がオフ駆動されるため、リレー５３がオフしてスタータモータ４２への通電が不可能な状態となる。

また、信号Ｓｓがロウレベルである場合、つまり制御部４４および強制駆動部４５の双方が正常であると診断された場合、信号Ｓｒがロウレベルであり且つ信号ＳｏがハイレベルであればＡＮＤ回路４９の出力信号がハイレベルとなってトランジスタＭ４２がオン駆動されるため、リレー５３がオンしてスタータモータ４２への通電が可能な状態となる。

以上説明した本実施形態によっても、第１実施形態と同様の効果が得られる。すなわち、本実施形態では、強制駆動部４５から出力される強制駆動実行要求を表す信号Ｓｒがハイレベルである場合、通電カット機構５４によりスタータモータ４２への通電がカットされるようになっている。つまり、本実施形態では、強制駆動部４５によるアクチュエータ４３の強制駆動が実行される場合、それに合わせてスタータモータ４２への通電をカットすることにより車両のシステムが安全側に移行される。そのため、仮に強制駆動部４５の制御が侵害された場合であっても、システムが暴走に至ることはない。

このようなことから、強制駆動部４５に対する保護を行う必要がなくなり、保護の対象としては、制御部４４だけとなる。そのため、本実施形態における保護領域は、制御部４４および強制駆動部４５の双方を保護する場合に比べ、小さい領域とすることができる。したがって、本実施形態によっても、保護領域をむやみに増加させることなく、安全保証設計を実現することができる。

（その他の実施形態）
なお、本発明は上記し且つ図面に記載した各実施形態に限定されるものではなく、その要旨を逸脱しない範囲で任意に変形、組み合わせ、あるいは拡張することができる。
上記各実施形態では、本発明を、電子スロットル制御、インジェクタ通電制御、スタータモータ駆動制御などを行う電子制御装置に適用した例に説明したが、本発明は、車両に搭載される電子制御装置全般に適用することができる。

本開示は、実施例に準拠して記述されたが、本開示は当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

１、２１、４１…電子制御装置、４、５、２３、４３…アクチュエータ、７、２４、４４…制御部、８、２５、４５…強制駆動部、１４、３１、５１…監視部、１５…電スロカット機構、３２、５４…通電カット機構。

Claims (6)

1. 車両に搭載される電子制御装置（１、２１、４１）であって、
   ハザードの要因となり得るアクチュエータ（４、５、２３、４３）を制御するものであり、機能安全上の保護を必要とする制御部（７、２４、４４）と、
   前記アクチュエータを強制的に駆動するものであり、機能安全上の保護を必要としない強制駆動部（８、２５、４５）と、
   前記強制駆動部による前記アクチュエータの駆動が実行される際、前記車両のシステムの状態を安全側に移行する安全状態移行部（１５、３２、５４）と、
   を備える電子制御装置。
2. 前記アクチュエータは、前記車両の走行に関与するものであり、
   前記安全状態移行部（１５）は、前記強制駆動部（８）による前記アクチュエータ（４、５）の駆動が実行される際、前記車両のシステムをリンプホーム制御に切り替えることで前記車両のシステムの状態を安全側に移行する請求項１に記載の電子制御装置。
3. 前記安全状態移行部は、前記車両が備える内燃機関（６）への吸入空気量を制限することにより前記リンプホーム制御への切り替えを実行する請求項２に記載の電子制御装置。
4. 前記安全状態移行部（３２）は、前記強制駆動部（２５）による前記アクチュエータ（２３）の駆動が実行される際、前記車両が備える内燃機関への燃料の噴射量を制限することで前記車両のシステムの状態を安全側に移行する請求項１に記載の電子制御装置。
5. 前記安全状態移行部（５４）は、前記強制駆動部（４５）による前記アクチュエータ（４３）の駆動が実行される際、前記車両が備えるスタータモータ（４２）への通電をカットすることで前記車両のシステムの状態を安全側に移行する請求項１に記載の電子制御装置。
6. さらに、前記強制駆動部を監視する監視部（１４、３１、５１）を備え、
   前記監視部は、前記強制駆動部による前記アクチュエータの駆動が実行される際、前記強制駆動部に対する監視を行わない請求項１から５のいずれか一項に記載の電子制御装置。

Images