JP2021033700A

JP2021033700A - 電子制御装置

Info

Publication number: JP2021033700A
Application number: JP2019153896A
Authority: JP
Inventors: 敬介 ▲高▼木; Keisuke Takagi
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2019-08-26
Filing date: 2019-08-26
Publication date: 2021-03-01
Anticipated expiration: 2039-08-26
Also published as: JP7200883B2

Abstract

【課題】ＥＣＣ機能の無効化が正常に行えるか否かを検証することが可能な電子制御装置を提供する。【解決手段】電子制御装置は、ＣＰＵとメモリとを備え、メモリに対して書き込みおよび読み出しがなされるデータに対するＥＣＣ機能を有する。ＣＰＵは、無効化検証部を備える。無効化検証部は、ＥＣＣ機能の無効化命令を実行（Ｓ２０）した後にＥＣＣ異常を強制的に発生させ（Ｓ３０）、ＥＣＣ異常を検出するとＥＣＣ機能の無効化が不能であると判定する（Ｓ４０，Ｓ５０）、無効化検証処理を行う。【選択図】図２

Description

この明細書における開示は、電子制御装置に関する。

従来、車両等の制御を行う電子制御装置であって、メモリに読み書きするデータの誤りを検出および訂正するためのＥＣＣ（Error Correction Code）機能を備えた構成が知られている。例えば、特許文献１には、ＥＣＣ機能の有効化および無効化を行う電子制御装置が開示されている。特許文献１に開示された構成では、電子制御装置のマイコンが備えるＣＰＵは以下のように動作する。ＣＰＵは、データをメモリに書き込む際には、書き込み対象のデータに対応するＥＣＣを算出し、データと共にメモリに書き込む。データの読み出し時には、ＣＰＵは、読み出したデータのＥＣＣを算出し、当該データの書き込み時のＥＣＣと比較することにより、データの誤りが発生したか否かを判定する。ＣＰＵは、１ビットの誤りを判定すると、その読み出したデータをＥＣＣにより訂正し、２ビット以上の誤りを判定すると、ＥＣＣ異常を検出する。

また、特許文献１に開示された構成では、ＣＰＵは、ＥＣＣ異常を検出すると、ＥＣＣ異常からの復帰を試みる。それでもなおＥＣＣ異常が継続すると、ＣＰＵは、ＥＣＣ機能を無効化した状態で、メモリからデータを読み出す。その後、ＣＰＵは、ＥＣＣ機能を有効化してデータの書き込みを行う。

特開２０１７−８４１６３号公報

上記のようにＥＣＣ機能を無効化しようとした場合、何らかの理由により、ＥＣＣ機能が正常に無効化されないという事象が想定し得る。このような場合、ＥＣＣ異常が解消されず、マイコンをリセットすることで、ＥＣＣ異常からの復帰を試みることもある。しかし、マイコンをリセットすると、リセット期間中はマイコンが作動できないので車両等の制御が行えない。

上記の事情を鑑み、本開示は、ＥＣＣ機能の無効化が正常に行えるか否かを検証することが可能な電子制御装置を提供することを目的とする。

ここに開示する電子制御装置は、ＣＰＵ（５）と、メモリ（７）とを備え、メモリに対して書き込みおよび読み出しがなされるデータに対するＥＣＣ機能を有する。ＣＰＵは、無効化検証部を備えている。無効化検証部は、ＥＣＣ機能の無効化命令を実行した後にＥＣＣ異常を強制的に発生させ、ＥＣＣ異常を検出すると、ＥＣＣ機能の無効化が不能であると判定する無効化検証処理を行う。

この明細書における開示された複数の態様は、それぞれの目的を達成するために、互いに異なる技術的手段を採用する。請求の範囲およびこの項に記載した括弧内の符号は、後述する実施形態の部分との対応関係を例示的に示すものであって、技術的範囲を限定することを意図するものではない。この明細書に開示される目的、特徴、および効果は、後続の詳細な説明、および添付の図面を参照することによってより明確になる。

第１実施形態に係る電子制御装置１の概略構成を示すブロック図である。第１実施形態の処理の流れを示すフローチャートである。第２実施形態の処理の流れを示すフローチャートである。第３実施形態の処理の流れを示すフローチャートである。

図面を参照しながら、複数の実施形態を説明する。複数の実施形態において、機能的におよび／または構造的に対応する部分および／または関連付けられる部分には同一の参照符号、または百以上の位が異なる参照符号が付される場合がある。対応する部分および／または関連付けられる部分については、他の実施形態の説明を参照することができる。

以下、第１実施形態にかかる電子制御装置（ＥＣＵ：Electronic Control Unit）について図面を参照して説明する。図１に示すように、本実施形態の電子制御装置１は、エンジン制御装置の電子スロットル制御用モータの駆動を制御するために、マイクロコンピュータ（以下、マイコンと称する）２を有する。マイコン２は、アクセルペダルの踏み込み量を示すアクセル開度信号等を用いて、モータ３の制御を行う。走行用モータ３は、リレー４を介して直流電源から電源電圧が供給されて駆動する。リレー４は、マイコン２から入力する制御信号によりオン状態およびオフ状態を択一的に切り替える。なお、ここでは、モータ３を備えた車両を制御対象としているが、制御対象は電気自動車またはハイブリッド車に限定されない。

マイコン２は、ＣＰＵ５と、ＲＯＭ６と、ＲＡＭ７とを有する。ＣＰＵ５は制御部に相当する。ＲＡＭ７はメモリに相当する。マイコン２は、さらに、入出力ポート（Ｉ／Ｏ）１０と、バス１１とを有する。ＣＰＵ５は、ＲＯＭ６に格納されているコンピュータプログラムを実行することで、コンピュータプログラムに対応する処理を実行し、電子制御装置１の動作全般を制御する。入出力ポート１０は、ＡＣＣ信号、ＩＧ信号およびアクセル開度信号を外部から入力すると共に、リレー４およびモータ３へ制御信号を出力する。

ＣＰＵ５は、ＡＣＣ信号およびＩＧ信号により車両電源のオンオフを判定し、マイコン２の起動状態および停止状態を切り替える。ＡＣＣ信号は、アクセサリのオンオフを示す信号である。ＩＧ信号は、イグニッションのオンオフを示す信号である。すなわち、ＣＰＵ５は、ＡＣＣ信号のオンまたはＩＧ信号のオンにより車両電源のオンを判定すると、マイコン２を停止状態から起動状態に切り替える。一方、ＣＰＵ５は、ＡＣＣ信号のオフかつＩＧ信号のオフにより車両電源のオフを判定すると、マイコン２を起動状態から停止状態に切り替える。

ＲＡＭ７は、読み書きされるデータの誤りを検出および訂正するための、誤り訂正符号（ＥＣＣ）を生成するＥＣＣ機能を有する。ＲＡＭ７は、データを記憶するためのデータ記憶領域７ａと、ＥＣＣを記憶するためのＥＣＣ記憶領域７ｂと、レジスタ７ｃとを有する。レジスタ７ｃは、データ記憶領域７ａに記憶されているデータを一時的に退避させる。

書き込み対象データは、ＲＡＭ７のデータ記憶領域７ａに書き込まれる。このとき、ＣＰＵ５は、書き込み対象データのＥＣＣを算出し、算出したＥＣＣをＥＣＣ記憶領域７ｂに記憶する。その後、データ記憶領域７ａから当該データを読み出す際には、当該データの書き込み時に記憶されたＥＣＣを、ＲＡＭ７のＥＣＣ記憶領域７ｂから読み出す。この際、ＣＰＵ５は、データ記憶領域７ａから読み出したデータのＥＣＣを算出する。さらに、ＣＰＵ５は、ここで算出されたＥＣＣ（読み出し時のＥＣＣ）と、ＥＣＣ記憶領域７ｂから読み出したＥＣＣ（書き込み時のＥＣＣ）とを比較する。この比較結果により、ＲＡＭ７への書き込みから読み出しまでの間にデータ誤りが発生したか否かが判定される。ＣＰＵ５は、データ誤りが発生していないと判断すると、読み出したデータをそのまま処理する。一方、ＣＰＵ５は、データ誤りが発生したと判定し、かつ、その誤りがＥＣＣで訂正可能な範囲である場合は、読み出したデータをＥＣＣに基づいて訂正する。また、ＣＰＵ５は、データ誤りが発生したと判定し、かつ、その誤りがＥＣＣで訂正不可能である場合は「ＥＣＣ異常」を検出する。

ＥＣＣ異常が検出された場合、ＣＰＵ５は、ＥＣＣ機能を無効化する命令を実行することができる。ＣＰＵ５は、この命令を実行するとＥＣＣ機能を無効化させ、ＲＡＭ７に対するデータの読み書きを、ＥＣＣを用いずに行う。この場合、ＣＰＵ５は、書き込み対象のデータをデータ記憶領域７ａに書き込むが、ＥＣＣの算出および記憶は行わない。また、読み出し時には、データ記憶領域７ａから対象データの読み出しを行うが、書き込み時のＥＣＣと読み出し時のＥＣＣとの比較は行わない。したがって、ＥＣＣ機能の無効化命令にしたがってＥＣＣ機能が正常に無効化されれば、ＥＣＣ異常が検出されることはない。

また、ＣＰＵ５は、ＥＣＣ機能が無効化された状態から、ＥＣＣ機能を有効化するために、ＥＣＣ機能の有効化命令を実行することもできる。ＣＰＵ５は、ＥＣＣ機能の有効化命令を実行すると、ＥＣＣを用いたデータの読み書きを再開する。

なお、前述のようにＥＣＣ機能を無効化する命令を実行した場合であっても、何らかの理由でＥＣＣ機能が正常に無効化されないことがある。この場合、ＣＰＵ５が無効化命令を実行した後も、ＥＣＣ異常が検出され、ＥＣＣ異常検出の通知がＣＰＵ５へ繰り返し送られることとなる。

これを鑑み、電子制御装置１では、ＥＣＣ機能の無効化命令に応じてＥＣＣ機能の無効化が正常に行われるか否かを検証する処理（無効化検証処理）を行う。言い換えると、電子制御装置１のＣＰＵ５は、無効化検証処理を行う機能部として、無効化検証部（図示せず）を有する。なお、無効化検証部は、ＣＰＵ５が所定のプログラムを実行することによって実現される機能モジュールであり、固有のハードウエア回路として実現される必要はない。以下、図２を参照し、無効化検証処理の流れを説明する。

図２は、第１実施形態の無効化検証処理の流れを示すフローチャートである。無効化検証処理は、ＣＰＵ５の制御で実行され、任意のタイミングで開始することができる。ＣＰＵ５は、例えば、ＩＧ信号のオン時またはオフ時等の所定のタイミングで、この処理を開始しても良い。あるいは、ＣＰＵ５は、車両の動作中に所定周期でこの処理を開始しても良い。ＣＰＵ５は、無効化検証処理を開始すると、最初に、所定の条件に基づき、ＥＣＣ機能の無効化が可能であるか否かを判断する（Ｓ１０）。ＥＣＣ機能の無効化が可能な条件が満たされていれば（Ｓ１０にてＹｅｓ）、ＣＰＵ５は、ＥＣＣ機能の無効化命令を実行する（Ｓ２０）。続いて、ＣＰＵ５は、ＥＣＣ異常を強制的に発生させる（Ｓ３０）。

このように、無効化検証処理では、Ｓ３０でＥＣＣ異常を強制的に発生させる。ゆえに、車両の走行または使用状況が、ＥＣＣ異常が生じても大きな影響を受けない状況であることが、Ｓ１０における「ＥＣＣ機能の無効化が可能な条件」となる。したがって、ＥＣＣ機能の無効化が可能な条件とは、例えば、車両がエンジンストップ状態またはアイドリング状態であること、とすることができる。または、車両走行用のモータ３が作動していないことを条件としても良い。あるいは、ＥＣＣ機能の無効化は、車両走行中に行うことも不可能ではないが、電子制御装置１が高負荷状態でないことが条件となる。

上記のＳ３０において、ＥＣＣ異常を強制的に発生させる手法としては、例えば、ＲＡＭ７において初期化されていない領域をアドレス指定してデータの読み書きを行うこと等がある。あるいは、読み書きデータに対して強制的に１ビット誤りを発生させる回路を設け、この回路によるデータ操作によってＥＣＣ異常を発生させても良い。

ＣＰＵ５は、Ｓ３０においてＥＣＣ異常を強制的に発生させた後、ＥＣＣ異常が検出されるか否かを判定する（Ｓ４０）。ＣＰＵ５は、ＥＣＣ異常を検出した場合（Ｓ４０にてＹｅｓ）、ＥＣＣ機能の無効化不能であると判定する（Ｓ５０）。つまり、Ｓ２０においてＥＣＣ機能の無効化命令を実行したにも拘らず、Ｓ４０でＥＣＣ異常が検出されたということは、ＥＣＣ機能が正常に無効化されていないことを意味する。ＣＰＵ５は、Ｓ５０においてＥＣＣ機能の無効化不能の判定をすると、無効化不能フラグをオンにする（Ｓ６０）。

一方、Ｓ４０において所定の時間が経過してもＥＣＣ異常の通知がない場合（Ｓ４０においてＮｏ）は、ＣＰＵ５は、Ｓ７０へ処理を進める。つまり、この場合は、Ｓ３０で強制的に発生させたＥＣＣ異常がＳ４０で検出されないので、ＥＣＣ機能が正常に無効化されていると判定できる。

その後、ＣＰＵ５は、ＥＣＣ機能を有効化する命令を実行する（Ｓ７０）。さらに、ＣＰＵ５は、無効化不能フラグがオンになっているか否かを判定する（Ｓ８０）。無効化不能フラグがオンになっている場合（Ｓ８０にてＹｅｓ）、ＣＰＵ５は、後処理を実行する（Ｓ９０）。この後処理とは、後の解析のために必要なデータを取得したり、ユーザに警告を通知したりする処理である。例えば、ＣＰＵ５は、ＥＣＣ機能の無効化が不能である原因を後に解析できるように、電子制御装置１内の各種データを記憶しても良い。この各種データは、マイコン２内部またはマイコン２外部の不揮発性メモリ領域であって、サービスツールで読み取りが可能なメモリ領域に記憶することが好ましい。サービスツールでこのデータを読み取って解析することにより、ＥＣＣ機能の無効化不能状態となったときの状況を把握することが可能となる。あるいは、後処理として、ＣＰＵ５が、車両のユーザに対して、ＥＣＣ機能の無効化不能が発生したことを通知すると共に点検を促すメッセージ等を出力しても良い。なお、このメッセージは、ＥＣＣ機能の無効化不能状態が所定頻度を超えて発生した場合にのみ、出力するようにしても良い。

以上のとおり、本実施形態にかかる電子制御装置１によれば、ＣＰＵ５からＥＣＣ機能の無効化命令を実行した後、ＥＣＣ異常を強制的に発生させる。そして、ＥＣＣ異常が検出された場合、ＣＰＵ５は、ＥＣＣ機能の無効化が不能であると判定し、必要な後処理を行う。これにより、本当のＥＣＣ異常が発生した場合にＥＣＣ機能の無効化ができないという潜在的な故障を検出することが可能となる。この結果、ＥＣＣ機能の無効化不能状態に陥って電子制御装置１のリセットが連続するといった不具合を、事前に回避することができる。

［第２実施形態］
以下、第２実施形態について説明する。第２実施形態にかかる電子制御装置１の構成は、第１実施形態と同じである。ただし、第２実施形態の電子制御装置１は、ＣＰＵ５による処理の内容が第１実施形態とは異なる。

第２実施形態においては、電子制御装置１は、無効化検証処理の前に、ＥＣＣ機能が正常であるか否かを判定するＥＣＣ機能検証処理を行う。言い換えると、電子制御装置１のＣＰＵ５は、ＥＣＣ機能検証処理を行うＥＣＣ機能検証部（図示せず）をさらに備える。ＥＣＣ機能検証処理においては、ＥＣＣ機能が有効な状態でＥＣＣ異常を強制的に発生させ、そのＥＣＣ異常を検出すると、ＥＣＣ機能が正常であると判定する。なお、ＥＣＣ機能検証部は、ＣＰＵ５が所定のプログラムを実行することによって実現される機能モジュールであり、固有のハードウエア回路として実現される必要はない。

図３は、第２実施形態の処理の流れを示すフローチャートである。なお、図３におけるＳ１１０〜Ｓ１９０は、第１実施形態において説明したＳ１０〜Ｓ９０と同じであるので、詳しい説明は省略する。図３に示すように、本実施形態の処理は、Ｓ１１０とＳ１２０との間にＳ１１１とＳ１１２とが追加されている点で、第１実施形態と異なっている。

ＣＰＵ５は、第１実施形態と同様に、最初に、所定の条件に基づき、ＥＣＣ機能の無効化が可能であるか否かを判断する（Ｓ１１０）。ＥＣＣ機能の無効化が可能な条件が満たされていれば（Ｓ１１０にてＹｅｓ）、ＣＰＵ５は、Ｓ１２０においてＥＣＣ機能の無効化命令を実行する前に、Ｓ１１１およびＳ１１２の処理を行う。すなわち、ＣＰＵ５は、ＥＣＣ機能の無効化命令を実行する前に、ＥＣＣ異常を強制的に発生させ（Ｓ１１１）、ＥＣＣ異常が検出されるか否かを判定する（Ｓ１１２）。ＣＰＵ５は、ＥＣＣ異常を検出した場合（Ｓ１１２にてＹｅｓ）、Ｓ１２０へ処理を進める。つまり、Ｓ１１１において強制的に発生させたＥＣＣ異常がＳ１１２で正しく検出された場合、ＥＣＣ機能は正常に動作していると判定できる。したがって、その後、第１実施形態と同様に、ＣＰＵ５は、Ｓ１２０〜Ｓ１９０の処理を実行する。

一方、Ｓ１１２において所定の時間が経過してもＥＣＣ異常の通知がない場合（Ｓ１１２においてＮｏ）は、ＣＰＵ５は、無効化検証処理を終了する。つまり、この場合は、ＥＣＣ機能の無効化命令を実行する前であるにも拘らず、Ｓ１１１で強制的に発生させたＥＣＣ異常がＳ１１２で検出されていない。したがって、この場合は、ＥＣＣ機能に異常がある可能性がある。よって、その後のＳ１２０〜Ｓ１９０の処理を継続する意義がないため、ＣＰＵ５は、無効化検証処理を終了する。

以上のとおり、第２実施形態では、ＥＣＣ機能の無効化命令を実行する前に、ＥＣＣ異常を強制的に発生させ、そのＥＣＣ異常が検出されるか否かを判定する。これにより、ＥＣＣ機能を無効化する前に、ＥＣＣ機能が正常に働いているか否かを確認することができる。この結果、ＥＣＣ機能に異常がある場合と、ＥＣＣ機能は正常に動作しているがＥＣＣ機能の無効化が不能である場合とを、峻別することが可能となる。

［第３実施形態］
以下、第３実施形態について説明する。第３実施形態にかかる電子制御装置１の構成は、第１実施形態と同じである。ただし、第３実施形態の電子制御装置１は、ＣＰＵ５による処理の内容が第１実施形態とは異なる。

第３実施形態においては、電子制御装置１は、無効化検証処理の後にＥＣＣ機能の有効化命令を実行し、ＥＣＣ機能が正常に有効化されたか否かを判定する有効化検証処理を行う。言い換えると、電子制御装置１のＣＰＵ５は、有効化検証処理を行う有効化検証部（図示せず）をさらに備える。なお、有効化検証部は、ＣＰＵ５が所定のプログラムを実行することによって実現される機能モジュールであり、固有のハードウエア回路として実現される必要はない。

以下、第１実施形態と異なる部分について、図４を参照しながら説明する。図４におけるＳ２１０〜Ｓ２７０、およびＳ２９０は、第１実施形態において説明したＳ１０〜Ｓ７０、およびＳ９０と同じである。図４に示すように、本実施形態の処理は、Ｓ２７０の後にＳ２７１〜Ｓ２７４が追加され、Ｓ８０の代わりにＳ２８１が実行される点で、第１実施形態と異なっている。

本実施形態では、Ｓ２７０においてＥＣＣ機能を有効化する命令を実行した後に、ＣＰＵ５が、ＥＣＣ異常を強制的に発生させる（Ｓ２７１）。その後、ＣＰＵ５は、ＥＣＣ異常が検出されるか否かを判定する（Ｓ２７２）。Ｓ２７２においてＥＣＣ異常が検出された場合（Ｓ２７２においてＹｅｓ）、ＣＰＵ５は、Ｓ２８１へ処理を進める。すなわち、この場合は、Ｓ２７０においてＥＣＣ機能を有効化する命令を実行した後に、ＥＣＣ機能が正常に有効化されていると判断することができる。

一方、Ｓ２７２において所定時間を経過してもＥＣＣ異常が検出されなかった場合（Ｓ２７２においてＮｏ）は、ＣＰＵ５は、ＥＣＣ機能の有効化が不能であると判定する（Ｓ２７３）。ＣＰＵ５は、さらに、有効化不能フラグをオンにする（Ｓ２７４）。すなわち、この場合は、Ｓ２７０においてＥＣＣ機能を有効化する命令が実行されたにも拘らず、ＥＣＣ機能が正常に有効化されていないと判断することができる。

その後、ＣＰＵ５は、無効化不能フラグまたは有効化不能フラグがオンになっているか否かを判断する（Ｓ２８１）。少なくともいずれかのフラグがオンになっている場合は（Ｓ２８１においてＹｅｓ）、ＣＰＵ５は、後処理を実施する（Ｓ２９０）。後処理において、ＣＰＵ５は、ＥＣＣ機能が正しく有効化されないという事象についても、解析用データを収集したり、車両のユーザに警告等を出力したりすることができる。

以上のとおり、本実施形態によれば、ＥＣＣ機能を有効化する命令が実行された後に、ＥＣＣ異常を強制的に発生させ、そのＥＣＣ異常が検出されるか否かを判定する。これにより、ＥＣＣ機能を有効化した前に、ＥＣＣ機能が正常に有効化されているか否かを確認することができる。

［他の実施形態］
この明細書および図面等における開示は、例示された実施形態に制限されない。開示は、例示された実施形態と、それらに基づく当業者による変形態様を包含する。例えば、開示は、実施形態において示された部品および／または要素の組み合わせに限定されない。開示は、多様な組み合わせによって実施可能である。開示は、実施形態に追加可能な追加的な部分をもつことができる。開示は、実施形態の部品および／または要素が省略されたものを包含する。開示は、ひとつの実施形態と他の実施形態との間における部品および／または要素の置き換え、または組み合わせを包含する。開示される技術的範囲は、実施形態の記載に限定されない。開示されるいくつかの技術的範囲は、請求の範囲の記載によって示され、さらに請求の範囲の記載と均等の意味および範囲内での全ての変更を含むものと解されるべきである。

例えば、上記の各実施形態においては、ＥＣＣ機能を実現する回路がＲＡＭ７に組み込まれた構成を例示した。しかし、ＲＡＭ７とは独立して設けられた装置がＥＣＣ機能を実現する構成としても良い。あるいは、ＣＰＵ５が所定のプログラムを実行するソフトウエア処理によって、ＥＣＣ機能を実現する構成としても良い。すなわち、ＥＣＣ機能は、ＣＰＵ５（制御部）およびＲＡＭ７（メモリ）とは独立したハードウエアで実現されても良いし、ＣＰＵ５およびＲＡＭ７のいずれかに組み込まれた状態で実現されても良い。

１：電子制御装置、２：マイコン、３：モータ、４：リレー、５：ＣＰＵ、６：ＲＯＭ、７：ＲＡＭ、７ａ：データ記憶領域、７ｂ：ＥＣＣ記憶領域、７ｃ：レジスタ

Claims

制御部（５）と、メモリ（７）とを備え、前記メモリに対して書き込みおよび読み出しがなされるデータに対するＥＣＣ機能を有する電子制御装置であって、
前記制御部は、
ＥＣＣ機能の無効化命令を実行した後にＥＣＣ異常を強制的に発生させ、前記ＥＣＣ異常を検出するとＥＣＣ機能の無効化が不能であると判定する、無効化検証処理を行う無効化検証部を備えた、
電子制御装置。
前記制御部は、
ＥＣＣ機能が有効な状態でＥＣＣ異常を強制的に発生させ、前記ＥＣＣ異常を検出するとＥＣＣ機能が正常であると判定する、ＥＣＣ機能検証処理を行うＥＣＣ機能検証部をさらに備え、
前記制御部は、
前記ＥＣＣ機能検証部によってＥＣＣ機能が正常であると判定された後に、前記無効化検証部に前記無効化検証処理を実行させる、
請求項１に記載の電子制御装置。
前記制御部は、
前記無効化検証部に前記無効化検証処理を実行させた後、ＥＣＣ機能の有効化命令を実行し、ＥＣＣ異常を強制的に発生させ、前記ＥＣＣ異常を検出するとＥＣＣ機能が正常に有効化されたと判定する、有効化検証処理を行う有効化検証部をさらに備えた、
請求項１に記載の電子制御装置。
前記無効化検証部が、前記ＥＣＣ機能の無効化命令を実行する前に、ＥＣＣ機能の無効化が可能か否かを判定し、前記無効化が可能な条件が成立している場合にのみ、前記ＥＣＣ機能の無効化命令を実行する、
請求項１〜３のいずれか一項に記載の電子制御装置。