JP2019007412A - 電子制御装置 - Google Patents

Abstract

【課題】制御部に異常が発生した場合でも制御部による制御を継続させることができる電子制御装置を提供すること。【解決手段】ＥＣＵ１００は、メータ２００や電子スロットル装置３００などの外部装置に対して制御信号を出力することで、外部装置を制御するマイコン１０を備えている。マイコン１０は、制御信号を出力するための演算処理を行うマイコンコア１１と、マイコンコア１１の動作を監視するロックステップコア１２と、マイコン１０内の状態を管理するものであり、マイコン１０内が異常状態であるか否かを判定する異常管理機構１３と、を備えている。異常管理機構１３は、マイコン１０内が異常状態であると判定した場合、マイコンコア１１の動作を継続させつつ、ロックステップコア１２の動作を停止させる。【選択図】図１

Description

本開示は、電子制御装置に関する。

従来、特許文献１に開示されているように、マイコンと、マイコンの動作を監視するＩＣとを備えたＥＣＵがある。

特開２０１６−７１６３５号公報

ところで、制御部を備えた電子制御装置では、制御部に何らかの異常が発生した場合、制御部をリセットすることが考えられる。このように、電子制御装置は、制御部をリセットすることで、制御部の異常状態が継続されることを抑制できる。

また、電子制御装置は、制御部に異常が発生した場合であっても、制御部による制御が要求されることもある。しかしながら、電子制御装置は、制御部に何らかの異常が発生したことで制御部をリセットする場合、制御部による制御を中断してしまうという問題がある。

本開示は、上記問題点に鑑みなされたものであり、制御部に異常が発生した場合でも制御部による制御を継続させることができる電子制御装置を提供することを目的とする。

上記目的を達成するために本開示は、
外部装置に対して制御信号を出力することで、外部装置を制御する制御部（１０）を備えた電子制御装置であって、
制御部は、
制御信号を出力するための演算処理を行う演算部（１１）と、
演算部の動作を監視する監視用演算部（１２）と、
制御部内の状態を管理するものであり、制御部内が異常状態であるか否かを判定する状態管理部（１３）と、を備えており、
状態管理部は、制御部内が異常状態であると判定した場合、演算部の動作を継続させつつ、監視用演算部の動作を停止させることを特徴とする。

これによって、本開示は、制御部内に異常があると判定されたとしても、制御信号の出力を継続させることができ、外部装置を制御することができる。また、本開示は、制御部内に異常があると判定された場合に、監視用演算部の動作を停止させるため、制御部の処理負荷を低減できる。

なお、特許請求の範囲、およびこの項に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本開示の技術的範囲を限定するものではない。

第１実施形態におけるＥＣＵの概略構成を示すブロック図である。 第１実施形態におけるＥＣＵの処理動作を示すフローチャートである。 第２実施形態におけるＥＣＵの処理動作を示すフローチャートである。 第３実施形態におけるＥＣＵの処理動作を示すフローチャートである。 第４実施形態におけるＥＣＵの処理動作を示すフローチャートである。 第５実施形態におけるＥＣＵの処理動作を示すフローチャートである。 第５実施形態における監視ＩＣの処理動作を示すフローチャートである。

以下において、図面を参照しながら、本開示を実施するための複数の形態を説明する。各形態において、先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において、構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を参照し適用することができる。

（第１実施形態）
本実施形態では、電子制御装置をＥＣＵ（Electronic Control Unit）１００に適用する。ＥＣＵ１００は、図１に示すように、主にマイコン１０と監視ＩＣ２０とを備えており、メータ２００や電子スロットル装置３００と電気的に接続されている。また、ＥＣＵ１００は、車両に搭載可能に構成されており、車載制御装置とも言える。

マイコン１０は、特許請求の範囲における制御部に相当する。マイコン１０は、ＥＣＵ１００の外部に設けられた外部装置に対して制御信号を出力することで、外部装置を制御する。本実施形態では、外部装置としてメータ２００や電子スロットル装置３００を採用している。マイコン１０は、主にマイコンコア１１、ロックステップコア１２、異常管理機構１３、記憶部１４、温度センサ１５、電源管理部１６、Ｉ／Ｏ部１７などを備えている。マイコン１０は、Ｉ／Ｏ部１７と、監視ＩＣ２０のＩＣ側ポート２１とを介して監視ＩＣ２０と電気的に接続されている。

マイコンコア１１は、特許請求の範囲における演算部に相当する。マイコンコア１１は、制御信号を出力するための演算処理を行う。つまり、マイコンコア１１は、後程説明する記憶部１４に記憶されているプログラムを実行することで各種演算を行い、演算結果を出力することで各種制御を行う。

また、マイコンコア１１は、例えばマイコンＩ／ＯとＥＣＵ入出力部を介して、メータ２００と電気的に接続されている。マイコンコア１１は、メータ２００に対して、ランプ点灯指示を示す制御信号を出力することで、メータ２００の表示制御を行う。言い換えると、マイコンコア１１は、メータ２００へランプ点灯要求を行う。また、マイコンコア１１は、例えばマイコンＩ／Ｏと駆動ＩＣを介して、電子スロットル装置３００におけるスロットルモータと電気的に接続されている。なお、マイコンＩ／Ｏ、ＥＣＵ入出力部、駆動ＩＣは、図示を省略している。

ロックステップコア１２は、特許請求の範囲における監視用演算部に相当する。ロックステップコア１２は、後程説明する記憶部１４に記憶されているプログラムを実行することで各種演算を行う。また、ロックステップコア１２は、マイコンコア１１の動作を監視する。例えば、ロックステップコア１２は、マイコンコア１１と同じ演算処理を行ない、ロックステップコア１２の演算結果と、マイコンコア１１の演算結果とを比較する。そして、ロックステップコア１２は、両演算結果が予め決められた対応関係となっていない場合、例えば一致していない場合に異常と判定する。

このように、マイコン１０は、マイコンコア１１とロックステップコア１２の二つのコアを備えており、両コア１１、１２が同じ演算処理を行う。しかしながら、制御信号を出力するのはマイコンコア１１である。ロックステップコア１２は、マイコンコア１１の動作を監視するために設けられている。

異常管理機構１３は、特許請求の範囲における状態管理部に相当する。異常管理機構１３は、マイコン１０内の状態を管理するものであり、マイコン１０内が異常状態であるか否かを判定する。後程詳しく説明するが、異常管理機構１３は、マイコン１０内が異常状態であると判定した場合、マイコンコア１１の動作を継続させつつ、ロックステップコア１２の動作を停止させる。

異常管理機構１３は、マイコン１０の温度、マイコン１０の消費電流、マイコン１０の消費電力の少なくとも一つに基づいて、マイコン１０が異常状態であるか否かを判定する。例えば、異常管理機構１３は、マイコン１０の温度に基づいて、マイコン１０内が異常状態であるか否かを判定することで、マイコン１０が高温異常を判定できる。また、異常管理機構１３は、マイコン１０の消費電流や消費電力に基づいて、マイコン１０内が異常状態であるか否かを判定することで、マイコン１０内の回路異常を判定できる。

例えば、異常管理機構１３は、マイコン１０の温度と温度異常閾値とを比較して、マイコン１０の温度が温度異常閾値に達している場合は異常状態と判定し、達していない場合は異常状態と判定しない。異常管理機構１３は、後程説明する温度センサ１５からマイコン１０の温度を取得可能に構成されている。

マイコン１０の温度が温度異常閾値に達していた場合、マイコン１０の消費電力が過剰とみなすことができる。よって、異常管理機構１３は、マイコン１０の温度に基づいて異常状態と判定した場合、ロックステップコア１２の動作を停止させることでマイコン１０の消費電力を低減させて、マイコン１０の温度を下げる。なお、温度が温度異常閾値に達している異常状態は、高温異常や、高温状態と言い換えることもできる。

また、異常管理機構１３は、マイコン１０の消費電流と電流異常閾値とを比較して、マイコン１０の消費電流が電流異常閾値に達している場合は異常状態と判定し、達していない場合は異常状態と判定しない。異常管理機構１３は、電源管理部１６からマイコン１０の消費電流を取得可能に構成されている。

マイコン１０の消費電流が電流異常閾値に達していた場合、マイコン１０の温度が高温であるとみなすことができる。よって、異常管理機構１３は、マイコン１０の消費電流に基づいて異常状態と判定した場合、ロックステップコア１２の動作を停止させて、マイコン１０の温度を下げる。

また、異常管理機構１３は、マイコン１０の消費電力と電力異常閾値とを比較して、マイコン１０の消費電力が電力異常閾値に達している場合は異常状態と判定し、達していない場合は異常状態と判定しない。異常管理機構１３は、電源管理部１６からマイコン１０の消費電力を取得可能に構成されている。

マイコン１０の消費電力が電流異常閾値に達していた場合、マイコン１０の温度が高温であるとみなすことができる。よって、異常管理機構１３は、マイコン１０の消費電力に基づいて異常状態と判定した場合、ロックステップコア１２の動作を停止させて、マイコン１０の温度を下げる。なお、消費電流が電流異常閾値に達している異常状態や消費電力が電力異常閾値に達している異常状態は、回路異常や、高温異常や、高温状態と言い換えることもできる。

さらに、異常管理機構１３は、例えば、マイコン１０の温度と消費電流の二つの情報を用いて異常状態であるか否かを判定してもよい。この場合、異常管理機構１３は、マイコン１０の温度が温度異常閾値に達しており、且つ、マイコン１０の消費電流が電流異常閾値に達している場合は異常状態と判定し、温度と消費電流のいずれか一方が異常閾値に達していない場合は異常状態と判定しない。これによって、異常管理機構１３は、一つの情報に基づいて異常状態であるか否かを判定するよりも判定精度を向上できる。

本実施形態では、マイコン１０の温度に基づいて、マイコン１０内が異常状態であるか否かを判定する異常管理機構１３を採用する。

異常管理機構１３は、異常状態であると判定した場合、監視ＩＣ２０に対して、異常状態であることを知らせてもよい。この場合、異常管理機構１３は、Ｉ／Ｏ部１７を介してＩＣ側ポート２１に、異常状態であることを示す信号を出力する。言い換えると、異常管理機構１３は、異常であると判定した場合、監視ＩＣ２０にエラー通知を行う。例えば、異常管理機構１３は、異常であると判定した場合、Ｉ／Ｏ部１７を介してＩＣ側ポート２１をオフからオンにする。

異常管理機構１３は、マイコンコア１１とは独立して動作する。これによって、異常管理機構１３は、監視ＩＣ２０に対して、確実にエラー通知を行うことができる。また、マイコン１０は、異常管理機構１３が行う処理をマイコンコア１１に行なわせるよりも、マイコンコア１１の処理負荷を低減できる。

異常管理機構１３は、異常状態であると判定して、ロックステップコア１２の動作を停止させた場合、マイコンコア１１に知らせる。この場合、異常管理機構１３は、マイコンコア１１に対して、ロックステップコア１２が動作停止状態であることを示す信号を出力する。

記憶部１４は、マイコンコア１１やロックステップコア１２などによって読み取り可能なプログラムおよびデータを非一時的に格納する非遷移的実体的記憶媒体である。この記憶媒体は、半導体メモリまたは磁気ディスクなどによって実現される。記憶部１４には、温度異常閾値などの異常閾値も記憶されている。なお、マイコン１０は、データを一時的に格納する揮発性メモリを備えていてもよい。

プログラムは、マイコンコア１１やロックステップコア１２によって実行されることによって、マイコンコア１１やロックステップコア１２をこの明細書に記載される装置として機能させ、この明細書に記載される方法を実行するように制御装置を機能させる。マイコンコア１１やロックステップコア１２は、多様な要素を提供する。それらの要素の少なくとも一部は、機能を実行するための手段と呼ぶことができる。また、別の観点では、それらの要素の少なくとも一部を、構成的なブロック、またはモジュールと呼ぶことができる。

なお、ＥＣＵ１００が提供する手段および／または機能は、実体的なメモリ装置に記録されたソフトウェアおよびそれを実行するコンピュータ、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの組み合わせによって提供することができる。例えば、ＥＣＵ１００がハードウェアである電子回路によって提供される場合、それは多数の論理回路を含むデジタル回路、またはアナログ回路によって提供することができる。

温度センサ１５は、マイコン１０内の温度を測定し、測定結果を異常管理機構１３に出力する。つまり、温度センサ１５は、マイコン１０内の温度に応じた電気信号を測定結果として異常管理機構１３に出力する。

電源管理部１６は、マイコンコア１１やロックステップコア１２に電源を供給する。また、電源管理部１６は、異常管理機構１３からの指示に応じてロックステップコア１２に対する電源供給を停止する。つまり、異常管理機構１３は、異常状態であると判定した場合、電源管理部１６に対して、電源供給の停止を示す停止信号を出力する。このように、異常管理機構１３は、ロックステップコア１２への電源供給を止めることで、ロックステップコア１２の動作を停止させる。電源供給を止めることは、電源供給の遮断と言い換えることもできる。

ＥＣＵ１００は、ロックステップコア１２への電源の供給を止めることでロックステップコア１２の動作を停止させるために、ロックステップコア１２を容易に動作停止状態とすることができる。なお、電源管理部１６は、ロックステップコア１２への電源供給を停止させた後、マイコン１０がリセットされることで、ロックステップコア１２への電源供給を再開する。

監視ＩＣ２０は、例えば上記駆動ＩＣを介して電子スロットル装置３００におけるスロットルモータと電気的に接続されている。監視ＩＣ２０は、マイコン１０のリセットや、電子スロットル装置３００への電源供給の停止などを行う。また、監視ＩＣ２０は、駆動ＩＣを停止することでスロットルモータを停止させる。

メータ２００は、特許請求の範囲における表示装置に相当する。メータ２００は、車室内に設けられており、ドライバなどの乗員が視認可能に構成されている。メータ２００は、ＥＣＵ１００からの制御信号に応じて表示制御される。例えば、メータ２００は、ＥＣＵ１００からランプ点灯指示を示す制御信号が入力されるとランプを点灯させる。ＥＣＵ１００は、ランプ点灯指示を示す制御信号だけでなく、メータ２００の表示させる文字や画像を示す制御信号を出力してもよい。この場合、メータ２００は、制御信号が示す文字や像の表示を行う。なお、本実施形態では、メータ２００が電気的に接続されていないＥＣＵ１００であっても採用できる。

電子スロットル装置３００は、アクチュエータとしてのスロットルモータ、スロットルバルブなどを含んでいる。電子スロットル装置３００は、スロットルモータへ電源供給がなされている状態で、ＥＣＵ１００からの制御信号に応じてスロットルバルブの開度が制御される。電子スロットル装置３００は、スロットルモータへの電源供給が停止されている場合、スロットルバルブが完全に閉状態（全閉位置）とならず、スロットルバルブが全閉位置から僅かに開放した極小開きの開度となる。このため、電子スロットル装置３００は、スロットルモータへの電源供給が停止された状態でも微量の空気がエンジンに送り込まれるように構成されている。スロットルバルブは、スロットルモータへの電源供給が停止されている場合、リンプホーム走行を可能とする開度となると言える。なお、本実施形態では、電子スロットル装置３００が電気的に接続されていないＥＣＵ１００であっても採用できる。

本実施形態では、外部装置の一例として、メータ２００と電子スロットル装置３００を採用している。しかしながら、本開示は、これに限定されず、メータ２００や電子スロットル装置３００とは異なる電子機器を外部装置として採用することもできる。

ここで、図２を用いて、ＥＣＵ１００の処理動作に関して説明する。詳述すると、図２のフローチャートは、マイコン１０が実行する処理動作である。マイコン１０は、電源が供給されると、図２のフローチャートの実行を開始する。

ステップＳ１０では、温度測定を行う。マイコン１０は、温度センサ１５によって、マイコン１０の温度を測定する。そして、異常管理機構１３は、温度センサ１５の測定結果を取得する。

ステップＳ１１では、高温状態であるか否かを判定する。異常管理機構１３は、温度センサ１５の測定結果であるマイコン１０の温度と温度異常閾値とを比較することで、マイコン１０が高温状態であるか否かを判定する。異常管理機構１３は、マイコン１０の温度が温度異常閾値に達している場合は高温状態であると判定してステップＳ１２へ進み、マイコン１０の温度が温度異常閾値に達していない場合は高温状態であると判定せずにステップＳ１０へ戻る。このように、マイコン１０は、マイコン１０の温度が高温状態でないと判定した場合、ステップＳ１０、Ｓ１１を繰り返し実行する。

ステップＳ１２では、ロックステップコア１２への電源供給を遮断する。異常管理機構１３は、電源管理部１６に対して停止信号を出力する。電源管理部１６は、停止信号を取得すると、ロックステップコア１２への電源供給を遮断する。このように、異常管理機構１３は、ロックステップコア１２の電源供給を遮断することで、ロックステップコア１２の動作を停止させる。

このとき、電源管理部１６は、マイコンコア１１への電源供給を継続させつつ、ロックステップコア１２への電源供給を遮断する。これによって、マイコン１０は、マイコンコア１１が動作可能な状態で、ロックステップコア１２が動作不可能な状態となる。また、異常管理機構１３は、マイコンコア１１に対して、ロックステップコア１２が動作停止状態であることを示す信号を出力する。

なお、異常管理機構１３は、マイコンコア１１に対して、マイコン１０が高温状態であることを示す信号を出力してもよい。また、異常管理機構１３は、マイコン１０が高温異常の場合に、ロックステップコア１２の動作を停止させる。このため、ロックステップコア１２が動作停止状態であることを示す信号と、マイコン１０が高温異常であることを示す信号とは、同意とみなすことができる。

ステップＳ１３では、メータ２００へランプ点灯要求を行う。マイコンコア１１は、ランプ点灯指示を示す制御信号を出力することで、マイコン１０が高温異常であることをメータ２００に表示する。また、マイコンコア１１は、ランプ点灯指示を示す制御信号を出力することで、ロックステップコア１２が動作停止状態であることをメータ２００に表示するとも言える。当然ながら、マイコンコア１１は、ランプ点灯指示を示す制御信号を出力することで、マイコン１０が高温異常であるため、ロックステップコア１２を動作停止状態としていることをメータ２００に表示してもよい。

メータ２００は、マイコン１０の外部であり、且つ、ＥＣＵ１００の外部に設けられている。つまり、メータ２００は、ドライバなどの乗員が視認可能な位置に設けられている。よって、ＥＣＵ１００は、マイコン１０が高温異常であることや、ロックステップコア１２が動作停止状態であることをドライバなどの乗員に知らせることができる。

このように、ＥＣＵ１００は、マイコン１０内に異常があると判定した場合、すなわちマイコン１０が高温状態である判定した場合、マイコンコア１１の動作を継続させつつ、ロックステップコア１２の動作を停止させる。これによって、ＥＣＵ１００は、マイコン１０内に異常があると判定されたとしても、マイコンコア１１による制御信号の出力を継続させることができ、メータ２００を表示制御することができる。さらに、ＥＣＵ１００は、マイコン１０が高温状態と判定した場合に、ロックステップコア１２の動作を停止させるため、マイコン１０の温度を下げることができる。

さらに、ＥＣＵ１００は、マイコン１０がエンジン制御を行う場合、マイコン１０がリセットされることで、エンジンを停止させてしまう虞がある。しかしながら、ＥＣＵ１００は、マイコン１０が高温状態の場合であっても、マイコンコア１１の動作を継続させるため、ドライバの意図に反してエンジンを停止させてしまうことを抑制できる。

以上、本開示の好ましい実施形態について説明した。しかしながら、本開示は、上記実施形態に何ら制限されることはなく、本開示の趣旨を逸脱しない範囲において、種々の変形が可能である。以下に、本開示のその他の形態として、第２実施形態〜第５実施形態に関して説明する。上記実施形態および第２実施形態〜第５実施形態は、夫々単独で実施することも可能であるが、適宜組み合わせて実施することも可能である。本開示は、実施形態において示された組み合わせに限定されることなく、種々の組み合わせによって実施可能である。

（第２実施形態）
図３を用いて第２実施形態に関して説明する。第２実施形態のＥＣＵは、ＥＣＵ１００と同様の構成を有しており、ＥＣＵ１００と処理動作が異なる。このため、本実施形態では、便宜的に、ＥＣＵ１００と同じ符号を用いて説明する。なお、図３のフローチャートにおいては、図２のフローチャートと同じ処理に、同じステップ番号を付与する。よって、図２のフローチャートと同じステップ番号に関しては、上記実施形態を参照して適用できる。

マイコン１０は、電源が供給されると、図３のフローチャートの実行を開始する。ステップＳ２０では、異常を検出しているか否かを判定する。異常管理機構１３は、ロックステップコア１２がマイコンコア１１の異常を検出しているか否か、すなわちロックステップコア１２がマイコンコア１１を異常であると判定しているか否かを判定する。異常管理機構１３は、ロックステップコア１２がマイコンコア１１を異常と判定している場合はステップＳ２１へ進み、異常と判定していない場合はステップＳ１０へ進む。

なお、ロックステップコア１２は、例えばフラグなどを用いて、マイコンコア１１の監視結果を記憶してもよい。例えば、ロックステップコア１２は、マイコンコア１１が異常であると判定した場合にフラグをセットし、マイコンコア１１が異常であると判定していない場合にフラグをセットされていない状態にする。異常管理機構１３は、この記憶内容を確認することで、ロックステップコア１２がマイコンコア１１を異常であると判定しているか否かを判定することができる。

ステップＳ２１では、マイコン１０をリセットする。異常管理機構１３は、マイコンコア１１が異常であるとの判断結果を得た場合、監視ＩＣ２０に、マイコン１０のリセットを要求する。監視ＩＣ２０は、異常管理機構１３からリセット要求を受けると、マイコン１０をリセットする。

一方、ロックステップコア１２によってマイコンコア１１の動作が異常であると判定されていない場合、異常管理機構１３は、ステップＳ１０に進んで、図２と同様に処理を行う。このため、異常管理機構１３は、ステップＳ１０でＹＥＳ判定した場合、ロックステップコア１２がマイコンコア１１を異常と判定していないことを条件に、マイコンコア１１の動作を継続させつつ、ロックステップコア１２の動作を停止させる。

本実施形態のＥＣＵ１００は、第１実施形態で説明した効果を奏することができる。さらに、ＥＣＵ１００は、マイコン１０内が異常状態であると判定した状況でマイコンコア１１の動作を継続させる場合に、正常な状態のマイコンコア１１によって動作を継続させることができる。また、ＥＣＵ１００は、マイコンコア１１が正常に動作していることを条件として、ロックステップコア１２の動作を停止させるので、信頼性を維持することができると言える。このように、ＥＣＵ１００は、信頼性を維持しつつ、マイコン１０の温度を下げることができる。

（第３実施形態）
図４を用いて第３実施形態に関して説明する。第３実施形態のＥＣＵは、ＥＣＵ１００と同様の構成を有しており、ＥＣＵ１００と処理動作が異なる。このため、本実施形態では、便宜的に、ＥＣＵ１００と同じ符号を用いて説明する。なお、図４のフローチャートにおいては、図２および図３のフローチャートと同じ処理に、同じステップ番号を付与する。よって、図２および図３のフローチャートと同じステップ番号に関しては、上記実施形態を参照して適用できる。

第３実施形態は、図４に示すように、第１実施形態と第２実施形態とを組み合わせた実施形態である。よって、本実施形態のＥＣＵ１００は、第１実施形態および第２実施形態で説明した効果を奏することができる。

（第４実施形態）
図５を用いて第４実施形態に関して説明する。第４実施形態のＥＣＵは、ＥＣＵ１００と同様の構成を有しており、ＥＣＵ１００と処理動作が異なる。このため、本実施形態では、便宜的に、ＥＣＵ１００と同じ符号を用いて説明する。なお、図５のフローチャートにおいては、図３のフローチャートと同じ処理に、同じステップ番号を付与する。よって、図３のフローチャートと同じステップ番号に関しては、上記実施形態を参照して適用できる。

マイコン１０は、ステップＳ１２の後に、ステップＳ４０へ進む。ステップＳ４０では、マイコンコア１１は、ロックステップコア１２が動作停止状態であることを記憶部１４に記憶する。つまり、マイコンコア１１は、ロックステップコア１２が動作停止状態となった履歴を記憶部１４に記憶する。なお、記憶部１４は、ディーラや修理工場などで作業者が、記憶内容を確認することができるものとする。

ＥＣＵ１００は、第２実施形態で説明した効果を奏することができる。さらに、ＥＣＵ１００は、ロックステップコア１２が動作停止状態となったか否かを作業者に知らせることができる。なお、ＥＣＵ１００は、ステップＳ２０、Ｓ２１を行わなくてもよい。

（第５実施形態）
図６、図７を用いて第５実施形態に関して説明する。第５実施形態のＥＣＵは、ＥＣＵ１００と同様の構成を有しており、ＥＣＵ１００と処理動作が異なる。このため、本実施形態では、便宜的に、ＥＣＵ１００と同じ符号を用いて説明する。なお、図６のフローチャートにおいては、図３のフローチャートと同じ処理に、同じステップ番号を付与する。よって、図３のフローチャートと同じステップ番号に関しては、上記実施形態を参照して適用できる。ＥＣＵ１００は、走行駆動原としてエンジンを備えた車両に搭載され、電子スロットル装置３００のスロットルバルブ開度を制御するものである。

マイコン１０は、ステップＳ１２の後に、ステップＳ５０へ進む。ステップＳ５０では、監視ＩＣ２０へ出力する。つまり、異常管理機構１３は、異常状態であると判定した場合、監視ＩＣ２０に対して異常状態であることを知らせる。

一方、監視ＩＣ２０は、電源が供給されると、図７のフローチャートに示す処理をスタートする。ステップＳ６０では、ＩＣ側ポート２１がオンであるか否かを判定する。

監視ＩＣ２０は、ＩＣ側ポート２１がオンであるか否かによって、マイコン１０が異常状態であるか否かを判定する。監視ＩＣ２０は、ＩＣ側ポート２１がオンであると判定した場合、マイコン１０が異常状態であるとみなしてステップＳ６１へ進む。また、監視ＩＣ２０は、ＩＣ側ポート２１がオンであると判定しなかった場合、マイコン１０が異常状態でないとみなしてステップＳ６０へ戻る。

ステップＳ６１では、電子スロットルをシャットオフする。監視ＩＣ２０は、電子スロットル装置３００に対して、スロットルモータへの電源供給の停止を示す制御信号を出力する。言い換えると、監視ＩＣ２０は、スロットルモータへの電源供給を停止させる。例えば、監視ＩＣ２０は、駆動ＩＣを停止することでスロットルモータへの電源供給を停止させる。

電子スロットル装置３００は、スロットルモータへの電源供給が停止されると、スロットルバルブが極小開きの開度となる。これによって、エンジンは、出力が制限される。

よって、スロットルモータへの電源供給の停止を示す制御信号は、エンジンの出力を制限するための制御信号と言うことができる。また、監視ＩＣ２０は、特許請求の範囲における出力制限部に相当する。

ＥＣＵ１００は、第２実施形態で説明した効果を奏することができる。さらに、ＥＣＵ１００は、マイコン１０が異常状態であると判定された場合に、エンジンの出力を制限できるため、車両が必要以上に加速することを抑制できる。よって、ＥＣＵ１００は、マイコン１０が異常状態であると判定された場合であっても、リンプホーム走行などの退避走行を可能にすることができる。なお、ＥＣＵ１００は、ステップＳ２０、Ｓ２１を行わなくてもよい。

１０…マイコン、１１…マイコンコア、１２…ロックステップコア、１３…異常管理機構、１４…記憶部、１５…温度センサ、１６…電源管理部、１７…Ｉ／Ｏ部、２０…監視ＩＣ、２１…ＩＣ側ポート、１００…ＥＣＵ、２００…メータ、３００…電子スロットル装置

Claims (8)

1. 外部装置に対して制御信号を出力することで、外部装置を制御する制御部（１０）を備えた電子制御装置であって、
   前記制御部は、
   前記制御信号を出力するための演算処理を行う演算部（１１）と、
   前記演算部の動作を監視する監視用演算部（１２）と、
   前記制御部内の状態を管理するものであり、前記制御部内が異常状態であるか否かを判定する状態管理部（１３）と、を備えており、
   前記状態管理部は、前記制御部内が異常状態であると判定した場合、前記演算部の動作を継続させつつ、前記監視用演算部の動作を停止させる電子制御装置。
2. 前記状態管理部は、前記制御部内が異常状態であると判定した場合、前記監視用演算部によって前記演算部の動作が異常であると判定されていないことを条件に、前記演算部の動作を継続させつつ、前記監視用演算部の動作を停止させる請求項１に記載の電子制御装置。
3. 前記状態管理部は、前記制御部の温度、前記演算部の消費電流、前記演算部の消費電力の少なくとも一つに基づいて、前記制御部内が異常状態であるか否かを判定する請求項１または２に記載の電子制御装置。
4. 前記状態管理部は、前記監視用演算部の動作を停止させた場合、前記監視用演算部が動作停止状態であることを前記外部装置としての表示装置（２００）に表示する請求項１乃至３のいずれか一項に記載の電子制御装置。
5. 前記制御部は、前記監視用演算部が動作停止状態であることを記憶する記憶部を備えている請求項１乃至４のいずれか一項に記載の電子制御装置。
6. 前記状態管理部は、前記演算部とは独立して動作する請求項４または５に記載の電子制御装置。
7. 前記状態管理部は、前記監視用演算部への電源供給を止めることで、前記監視用演算部の動作を停止させる請求項４または５に記載の電子制御装置。
8. 走行駆動原としてエンジンを備えた車両に搭載され、前記外部装置としての電子スロットルのスロットルバルブ開度を制御するものであって、
   前記状態管理部で前記制御部内が異常状態であると判定された場合、前記エンジンの出力を制限するための前記制御信号を前記電子スロットルに出力する出力制限部（２０）を、さらに備えている請求項１乃至７のいずれか一項に記載の電子制御装置。

Images