JP2022053165A - 電子制御装置 - Google Patents

Abstract

【課題】電子制御装置において、供給装置による当該電子制御装置への電源供給を始動スイッチがオフになった後も維持するための信号が出力されない故障、を検出する。【解決手段】電子制御装置１０、２０は、供給部１３と、制御部１１と、を備える。供給部は、保持信号記憶部２６と、駆動部２３と、を備える。制御部は、実行部５２と、保持部５６と、判定部５４と、を備える。判定部は、始動スイッチがオンされている間、保持信号記憶部から少なくとも１つの保持信号の状態を取得し、取得された保持信号の状態に基づいて、保持信号が出力される経路に、停止前処理が実行されない故障である非実行故障が生じているか否かを判定するように構成される。【選択図】図１

Description

本開示は、電子制御装置に関する。

特許文献１には、車両に搭載される電子制御装置に電源を供給する供給装置の動作及び非動作を制御する技術が開示されている。

特開２００６－３－７７８９号公報

電子制御装置は、例えばイグニッションスイッチやスタートスイッチ等といった始動スイッチがオフされた後、当該電子制御装置への電源供給が停止する前に行うべき予め定められた停止前処理を行うように構成される。停止前処理には、例えば種々のデータをバックアップする処理等といった、予め定められた種々の処理が含まれ得る。

そこで、電子制御装置は、停止前処理を実行するために、始動スイッチがオフになった後も電子制御装置の少なくとも一部（例えば、マイコン）に対しては、供給装置による電源供給を維持するように構成される。例えば、電子制御装置が備えるマイコンは、供給装置を動作させるための信号を、少なくとも始動スイッチがオフになった後の所定期間は出力するように構成される。

しかしながら、供給装置を動作させるための信号が、始動スイッチがオフになった後に出力されないような故障が生じていると、始動スイッチのオフと共に供給装置による電子制御装置への電源供給が停止し、停止前処理が実行されない状態となるおそれがある。

そのため、供給装置による電源供給を始動スイッチがオフになった後も維持するための信号が出力されないような故障が生じていないことを、精度よく検出する必要がある。
本開示の１つの局面は、電子制御装置において、供給装置による該電子制御装置への電源供給を始動スイッチがオフになった後維持するための信号が出力されない故障、を精度よく検出する技術を提供する。

本開示の１つの局面は、電子制御装置において、供給装置による当該電子制御装置への電源供給を始動スイッチがオフになった後も維持するための信号が出力されない故障、を検出する技術を提供する。

本開示の一態様は、車両に搭載される電子制御装置（１０、２０）であって、供給部（１３）と、制御部（１１）と、を備える。供給部は、電源スイッチ（３１）のオンオフに拘わらず電源が常時供給されて動作する。制御部は、電源スイッチのオンにより電源が供給されて動作する。供給部は、保持信号記憶部（２６）と、駆動部（２３）と、を備える。

保持信号記憶部は、アクティブ状態及び非アクティブ状態のいずれかの状態である指示信号であって、制御部から出力される指示信号である少なくとも１つの保持信号の状態を記憶する。駆動部は、保持信号を含む複数の指示信号が入力され、複数の指示信号のうち少なくとも１つがアクティブ状態である場合に電源スイッチをオンする。制御部は、実行部（５２）と、保持部（５６、５７、５８）と、判定部（５４）と、を備える。

実行部は、エンジンを始動させるためにオンされる始動スイッチ（７）がオフされた後に予め定められた停止前処理を少なくとも実行する。保持部は、始動スイッチがオンされている間、及び、始動スイッチがオフされた後の所定期間であって少なくとも制御部が停止前処理を終了する迄の処理期間に、電源スイッチをオンするための少なくとも１つの指示信号を保持信号として駆動部へ出力するように構成される。

判定部は、始動スイッチがオンされている間、保持信号記憶部から少なくとも１つの保持信号の状態を取得し、取得された保持信号の状態に基づいて、保持信号が出力される経路に、停止前処理が実行されない故障である非実行故障が生じているか否かを判定するように構成される。

このような構成によれば、電子制御装置において、供給装置による当該電子制御装置への電源供給を始動スイッチがオフになった後も維持するための信号（すなわち、保持信号）が出力されない故障（すなわち、非実行故障）、を検出することができる。

第１実施形態のＥＣＵの構成を示すブロック図。 第１実施形態の保持出力処理を説明するフローチャート。 第１実施形態のオフ故障判定処理を説明するフローチャート。 第１オフ故障診断を説明するフローチャート。 第２オフ故障診断を説明するフローチャート。 第１実施形態の固定故障判定処理を説明するフローチャート。 第１固定故障診断を説明するフローチャート。 第２固定故障診断を説明するフローチャート。 第２実施形態のＥＣＵの構成を示すブロック図。

［１．第１実施形態］
［１－１．構成］
＜全体構成＞
図１に示す本実施形態の電子制御装置（以下、ＥＣＵ１０）は、例えば、車両（すなわち、自動車）に搭載されて、制御対象３の制御を行うものである。制御対象３は、例えばその車両の動力源を制御するものであってもよい。制御対象３としての動力源は、エンジンであってよく、モータであってもよい。ただし、制御対象３は、車両の動力源を制御するものに限定されず、車両における種々の構成であり得る。

ＥＣＵ１０には、車両のバッテリ５のプラス端子に接続される電源ライン１４が接続されており、その電源ライン１４からバッテリ５の電圧であるバッテリ電圧ＶＢが供給される。

また、車両では、当該車両の使用者によって始動スイッチ７がオンされると、その始動スイッチ７を介して電源ライン１５にバッテリ５から電圧が供給される。つまり、始動スイッチ７は、エンジンを始動させるためにオンされるスイッチである。始動スイッチ７には、例えば、ＩＧスイッチやスタートスイッチ等が含まれる。「ＩＧ」とは「イグニッション」の略である。電源ライン１５の電圧は、始動スイッチ７のオン、オフ状態（すなわち、車両がオン状態か否かでもある）を示す始動スイッチ信号Ｓｓとして、ＥＣＵ１０に入力される。

なお、図示していないが、ＥＣＵ１０には、車速信号、アクセルペダル信号、が入力される。車速信号は、車速センサによって検出される信号であり、車速を示す信号である。アクセルペダル信号は、アクセルペダルセンサによって検出される信号であり、アクセル開度を示す信号である。

ＥＣＵ１０は、マイクロコンピュータ（以下、マイコン１１）と、外部通信装置１２と、ＩＣ１３と、を備える。ＥＣＵ１０は、当該ＥＣＵ１０が備える全ての機能を実行可能なウェイクアップ状態と、当該ＥＣＵ１０が備える一部の機能のみを実行可能なスリープ状態と、を切り替え可能に構成されている。

具体的には、ウェイクアップ状態では、マイコン１１、外部通信装置１２、及びＩＣ１３の全てに電源が供給され、スリープ状態では、外部通信装置１２及びＩＣ１３に電源が供給され、マイコン１１には電源が供給されない。ここで、マイコン１１は、後述する電源スイッチとしての主電源回路３１のオンにより電源が供給され、主電源回路３１のオフにより電源の供給が停止される。一方、ＩＣ１３及び外部通信装置１２は、主電源回路３１のオンオフに拘わらず、電源が常時供給されて動作するように構成されている。

マイコン１１は、始動スイッチ７がオンされている間、ウェイクアップ状態では、外部通信装置１２を介して、制御対象３（例えば、本実施形態ではエンジン）を制御するための各種処理を実行する。また、マイコン１１は、始動スイッチ７がオフされた後は、予め定められた処理期間のあいだ、停止前処理を実行する。停止前処理は、始動スイッチ７がオフされた後であってＥＣＵ１０（すなわち、本実施形態ではマイコン１１）への電源供給が停止する前にＥＣＵ１０が行うべき予め定められた処理である。

停止前処理には、例えば、制御対象３を制御するための制御パラメータや必要とされるデータ、制御対象３の故障の状態を示す故障コード等といった、種々のデータをバックアップする処理が含まれる。バックアップとは、種々のデータをＥＣＵ１０が備えるメモリ（例えば、フラッシュメモリ等）に記憶すること（すなわち、書き込むこと）をいう。

また、停止前処理には、始動スイッチ７がオフされた後に制御対象３が備えるアクチュエータへの電源供給をオフすることにより、該アクチュエータに電源供給がオンされ続ける故障が生じていないことを診断する処理が含まれ得る。また、停止前処理には、ＥＣＵ１０毎に必要とされる種々の処理が含まれ得る。

外部通信装置１２は、通信線１９を介して制御対象３と接続され、制御対象３との間で予め定められた通信方式に従って通信を行う。通信方式としては、ＣＡＮやイーサネット等が挙げられる。ＣＡＮ及びイーサネットは登録商標である。外部通信装置１２には電源電圧（すなわち、後述する電源電圧Ｖｓ）が常時供給されている。

外部通信装置１２は、予め定められたウェイクアップ条件が成立すると、スリープ状態にあるＥＣＵ１０をウェイクアップ状態に切り替えるためのウェイクアップ信号Ｓｗを生成してＥＣＵ１０へ出力する。ウェイクアップ条件としては、例えば、外部通信装置１２によって、通信線１９を介してＥＣＵ１０をあて先とする通信フレームが受信されること、が挙げられる。

ウェイクアップ信号Ｓｗは、電源の供給が停止されているマイコン１１に電源を供給するために用いられ得る。本実施形態では、ウェイクアップ信号Ｓｗは、外部通信装置１２からマイコン１１及びＩＣ１３へ出力される。具体的には、ウェイクアップ信号Ｓｗはハイレベル又はローレベルの信号であり、ウェイクアップ条件が成立する場合にハイレベルのウェイクアップ信号Ｓｗが出力され、ウェイクアップ条件が成立しない場合にローレベルのウェイクアップ信号Ｓｗが出力される。

本実施形態では、ハイレベルは５Ｖであり、ローレベルは０Ｖである。但し、ハイレベル及びローレベルの信号電圧はこれに限定されるものではない。
ＩＣ１３は、バッテリ電圧ＶＢから、一定の電源電圧Ｖｍ及び一定の電源電圧Ｖｓを生成する。電源電圧Ｖｍはマイコン１１へ供給するための電圧であり、ＩＣ１３は電源電圧Ｖｍの供給及び供給停止を切り替える。電源電圧Ｖｓは少なくとも外部通信装置１２及びＩＣ１３へ供給するための電圧であり、ＩＣ１３は電源電圧Ｖｓを常時（すなわち、始動スイッチ７のオンオフに拘わらず）出力する。なお、ＩＣ１３は、電源電圧Ｖｓをマイコン１１の一部に供給するように構成されてもよい。

ＩＣ１３とマイコン１１とは、通信バス（以下、バス１６）を介して通信可能に接続される。バス１６は、予め定められた通信方式（例えば、ＳＰＩ）に従う。ＳＰＩは「Serial Peripheral Interface」の略である。

バス１６には、複数の信号線が含まれる。例えば、バス１６には、マイコン１１からＩＣ１３にマイコン１１が通信相手（すなわち、ＩＣ１３）を選択したことを示す信号を出力するための信号線が含まれる。また、バス１６には、マイコン１１からＩＣ１３に同期通信用の通信クロックを出力するための信号線が含まれる。また、バス１６には、マイコン１１からＩＣ１３へのデータ転送用の信号線、ＩＣ１３からマイコン１１へのデータ転送用の信号線、が含まれる。なお、バス１６は、ＳＰＩ以外の通信方式に従うものであってもよい。

＜ＩＣ１３＞
ＩＣ１３は、電源回路２１と、入力回路２２と、駆動部２３と、装置内通信部２４と、指令部２５と、保持信号記憶部としてのレジスタ２６と、を備える。電源回路２１は、主電源回路３１及び副電源回路３２を備える。主電源回路３１及び副電源回路３２には、バッテリ電圧ＶＢが常時供給されている。

ここで、主電源回路３１は、バッテリ電圧ＶＢから電源電圧Ｖｍを生成するための回路である。主電源回路３１は、少なくともスイッチ（すなわち、電源スイッチ）として構成されており、駆動部２３から出力される駆動信号Ｓｄが主電源回路３１のオンオフを切り替える信号として供給されている。主電源回路３１は、リレー、半導体スイッチ等であり得る。なお、本実施形態では、主電源回路３１は、電源スイッチとして作動するとともに、一定の電圧を出力するレギュレータとしても作動するように構成される。

駆動信号Ｓｄは、ハイレベル（すなわち、上述のように５Ｖ）又はローレベル（すなわち、上述のように０Ｖ）の信号である。主電源回路３１は、駆動信号Ｓｄがハイレベルである場合に、電源ライン１４を介して、当該ＥＣＵ１０に入力される動作用電源としてのバッテリ電圧ＶＢから一定の電源電圧Ｖｍ（例えば、５Ｖ）を生成して出力する。

なお、主電源回路３１は、駆動信号Ｓｄがローレベルである場合に、電源電圧Ｖｍを生成せず、電源電圧Ｖｍを出力しない。つまり、主電源回路３１は、駆動信号Ｓｄがハイレベルである場合にオンされ、駆動信号Ｓｄがローレベルである場合にオフされる電源スイッチとして構成されている。このような主電源回路３１によって、駆動信号Ｓｄに従って、マイコン１１への電源電圧Ｖｍの供給及び供給停止が切り替えられる。

一方、副電源回路３２は、バッテリ電圧ＶＢから一定の電源電圧Ｖｓ（例えば、５Ｖ）を生成して、常時（すなわち、始動スイッチ７のオンオフに拘わらず）出力する。
入力回路２２は、始動スイッチ７を経由して電源ライン１５に出力される信号を、アクティブ状態及び非アクティブ状態のいずれかの状態である信号に変換して、始動スイッチ信号Ｓｓとして駆動部２３及びマイコン１１に出力する。なお以下では、アクティブ状態及び非アクティブ状態のいずれかの状態である信号であって、駆動部２３へ入力される信号を、指示信号ともいう。なお、アクティブ状態及び非アクティブ状態のいずれかの状態である、とは、アクティブ状態及び非アクティブ状態のいずれかの状態をとり得る、ということを表す。例えば、指示信号には始動スイッチ信号Ｓｓが含まれる。

本実施形態では、始動スイッチ７がオンされると、入力回路２２からハイレベルの始動スイッチ信号Ｓｓが出力され、始動スイッチ７がオフされると、入力回路２２からローレベルの始動スイッチ信号Ｓｓが出力される。ハイレベルが上述のアクティブ状態に相当し、ローレベルが上述の非アクティブ状態に相当する。ただし、アクティブ状態及び非アクティブ状態の信号レベルは、これに限定されるものではなく、ハイレベル及びローレベルが逆であってもよい。

駆動部２３には、複数（すなわち、複数種）の指示信号が入力される。本実施形態では、駆動部２３に入力される指示信号には、上述の始動スイッチ信号Ｓｓ、上述のウェイクアップ信号Ｓｗ、後述する保持信号、が含まれる。

保持信号とは、マイコン１１から出力される少なくとも１つの指示信号である。保持信号は、始動スイッチ７がオンされている間、及び、始動スイッチ７がオフされた後の処理期間のあいだ少なくとも、主電源回路３１をオンするために出力される。処理期間は、始動スイッチ７がオフされた後の所定期間であってマイコン１１が後述する停止前処理を終了する迄の期間である。本実施形態では、保持信号は、複数であり、第１保持信号Ｓｈ１と第２保持信号Ｓｈ２とを含む。

駆動部２３は、保持信号を含む複数の指示信号に従って、複数の指示信号のうち少なくとも１つがアクティブ状態である場合に、主電源回路３１にハイレベルの駆動信号Ｓｄを出力する。ハイレベルの駆動信号Ｓｄが出力されることによって、電源スイッチとしての主電源回路３１がオンされる。これにより、マイコン１１に電源電圧Ｖｍが供給される。

装置内通信部２４は、バス１６に接続され、マイコン１１との間でＳＰＩ通信を行う。
指令部２５は、ＳＰＩ通信によりマイコン１１から受信した指令に基づいて動作する。例えば、指令部２５は、マイコン１１からＳＰＩ通信により、データとデータを書き込む記憶領域が指定された書き込み指令を受信すると、指定された記憶領域にデータを書き込む。また、指令部２５は、マイコン１１からＳＰＩ通信により、データを読み出す記憶領域が指定された読み出し指令を受信すると、指定された記憶領域からデータを読み出し、読み出したデータをＳＰＩ通信によりマイコン１１へ送信する。

レジスタ２６は、少なくとも１つの保持信号の状態を記憶する。保持信号は、上述のように、マイコン１１から出力される指示信号であり、アクティブ状態及び非アクティブ状態のいずれかの状態の信号である。つまり、レジスタ２６は、保持信号の状態を記憶している。本実施形態では、レジスタ２６は、複数の記憶領域を備える。具体的には、レジスタ２６は、第１記憶領域４１と、第１記憶領域４１とは異なる記憶領域である第２記憶領域４２と、を備える。

第１記憶領域４１に第１保持信号Ｓｈ１が保存され、第２記憶領域４２に第２保持信号Ｓｈ２が保存される。なお、以下では、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２に共通の説明を記載するとき、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２を、単に保持信号と記載することがある。

（第１記憶領域４１）
第１記憶領域４１は、バス１６に含まれる複数の信号線とは異なる少なくとも１つ（例えば、本実施形態では１つ）の信号線である接続線１７よって、マイコン１１における保持部５６としての第１出力部５７と接続されている。第１出力部５７からは第１保持信号Ｓｈ１が出力される。これにより、第１保持信号Ｓｈ１の状態が第１記憶領域４１に記憶されるようになっている。ＩＣ１３内において、第１記憶領域４１と駆動部２３とは信号線によって接続される。

以下でいう「保持部５６（例えば、第１出力部５７）が保持信号（例えば、第１保持信号Ｓｈ１）を駆動部２３へ出力する」とは、保持部５６が保持信号を、接続線１７を介して第１記憶領域４１へ出力すること、を含む。

第１記憶領域４１には第１保持信号Ｓｈ１の状態が記憶されているので、マイコン１１は、第１記憶領域４１から第１保持信号Ｓｈ１の状態を取得することにより、駆動部２３に実際に入力される第１保持信号Ｓｈ１の状態を検出することができる。

なお、指令部２５は、マイコン１１から、ＳＰＩ通信により、データを読み出す記憶領域として第１記憶領域４１を指定した読み出し指令を受信すると、指定された記憶領域からデータとしての第１保持信号Ｓｈ１を読み出す。指令部２５は、読み出した第１保持信号Ｓｈ１（すなわち、第１保持信号Ｓｈ１の状態）をＳＰＩ通信によりマイコン１１へ送信する。

以下でいう「保持信号記憶部（例えば、第１記憶領域４１）から保持信号（例えば、第１保持信号Ｓｈ１）を取得する」とは、ＳＰＩ通信により、保持信号記憶部から保持信号を読み出すことを含む。

（第２記憶領域４２）
第２記憶領域４２には第２保持信号Ｓｈ２の状態が記憶される。具体的には、マイコン１１の第１出力部５７からは、バス１６を介してＳＰＩ通信により、データとしての第２保持信号Ｓｈ２と、書き込み領域として第２記憶領域４２を指定する書き込み指令とが出力される。これにより、第２保持信号Ｓｈ２の状態が第２記憶領域４２に記憶されるようになっている。ＩＣ１３内において、第２記憶領域４２と駆動部２３とは信号線によって接続される。

以下でいう「保持部５６（例えば、第１出力部５７）が保持信号（例えば、第２保持信号Ｓｈ２）を駆動部２３へ出力する」とは、保持部５６が保持信号の状態をバス１６を介してＳＰＩ通信を用いて上述のように書き込むこと、を含む。すなわち、上述のように書き込み指令とデータ（すなわち、第２保持信号Ｓｈ２）とを出力すること、が含まれる。

第２記憶領域４２には第２保持信号Ｓｈ２の状態が記憶されているので、マイコン１１は、第２記憶領域４２から第２保持信号Ｓｈ２の状態を取得することにより、駆動部２３に実際に入力される第２保持信号Ｓｈ２の状態を検出することができる。

なお、指令部２５は、マイコン１１から、ＳＰＩ通信により、データを読み出す記憶領域として第２記憶領域４２を指定した読み出し指令を受信すると、指定された記憶領域からデータとしての第２保持信号Ｓｈ２を読み出す。指令部２５は、読み出した第２保持信号Ｓｈ２（すなわち、第２保持信号Ｓｈ２の状態）をＳＰＩ通信によりマイコン１１へ送信する。

以下でいう「保持信号記憶部（例えば、第２記憶領域４２）から保持信号（例えば、第２保持信号Ｓｈ２）を取得する」とは、ＳＰＩ通信により、保持信号記憶部から保持信号を読み出すことを含む。

（ＩＣ１３の動作）
このように構成されたＩＣ１３では、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうち少なくとも一方がアクティブ状態である場合に、駆動部２３はハイレベルの駆動信号Ｓｄを主電源回路３１に供給する。換言すれば、ＩＣ１３は、始動スイッチ信号Ｓｓ及びウェイクアップ信号Ｓｗが共に非アクティブ状態であっても、少なくとも１つの保持信号がアクティブ状態であれば、マイコン１１に電源電圧Ｖｍを供給するように作動する。

（電源電圧Ｖｍの供給停止の検出について）
主電源回路３１を動作させるための保持信号が、始動スイッチ７がオフになった後に出力されないような故障（例えば、バス１６における通信線の断線、接続線１７の断線等）が生じていると、停止前処理が実行されないおそれがある。始動スイッチ７のオフと共に主電源回路３１によるＥＣＵ１０への電源電圧Ｖｍの供給が停止するおそれがあるからである。

この場合、種々のデータのバックアップの最新状態が記憶されないことになる。このため、始動スイッチ７のオフ後にマイコンへの電源電圧Ｖｍの供給が停止するような故障が生じているかをマイコンによって検出することが望ましい。例えば、始動スイッチ７のオフ後に上述の保持信号が出力されないような故障が生じていないことをマイコンによって精度よく検出することが望ましい。

仮に、マイコンを、始動スイッチ７がオンからオフになったときに、停止前処理を実行するとともに、始動スイッチ７がオンからオフになってからの経過時間が所定の待ち時間閾値を超えた場合に経過フラグをセットするように構成するとする。以下、このように構成された装置を比較装置という。経過時間はマイコンが備える計測タイマにより計測する。

比較装置では、次回に始動スイッチ７がオフからオンになったときに経過フラグがセットされていることに基づいて、前回に始動スイッチ７がオフになった直後にマイコンへの電源供給が停止していなかったと診断することが可能となる。計測タイマはマイコンにより作動するため、マイコンへの電源供給が停止すると計測タイマが作動せず、経過フラグがセットされないためである。

なお、処理負荷軽減のため、比較装置を、電源電圧Ｖｍが瞬断した場合は上述の診断を行わず、電源電圧Ｖｍが所定時間以上供給停止となった場合に上述の診断を行うように構成することが考えられる。マイコンが備えるＲＡＭは、マイコンへの電源供給が所定時間以上途絶するとブランク状態となる。例えば、比較装置は、電源の瞬断が、マイコンが備えるＲＡＭの状態がブランク状態とならない程度の長さであれば上述の診断を行わず、ブランク状態となる程度の長さであれば上述の診断を行うように構成されてもよい。

しかしながら、ＲＡＭの状態がブランク状態となる程度の瞬断の長さは、個々のマイコンの性能によって異なる。例えば、クランキング等による約数十ｍｓｅｃ程度の瞬断によってＲＡＭの状態がブランク状態となるような性能のマイコンがある。仮にクランキング等によってこのような性能のマイコンへの電源供給の瞬断が生じた場合に、比較装置において上述のような診断を行おうとすると、誤った診断結果となるおそれがある。正常に保持信号が出力されていたとしても、クランキング等によるマイコンへの電源供給の瞬断により計測タイマが作動せず、経過フラグがセットされないためである。

本実施形態のマイコン１１は、個々のマイコンの性能に依存することなく、始動スイッチ７のオフ後に保持信号が出力されないような故障が生じていないことを診断できるように構成されることが望ましい。

＜マイコン１１＞
マイコン１１は、図示は省略されているが、ＣＰＵと、例えばＲＯＭ又はＲＡＭ、フラッシュメモリ等の半導体メモリ（以下、メモリ）と、備える。そして、マイコン１１における各機能は、ＣＰＵが上述のメモリに格納されたプログラムを実行することにより実現される。ここでいう機能として、マイコン１１は、装置外通信部５１、実行部５２、内部通信部５３、判定部５４、診断部５５、及び保持部５６を備える。

上記メモリに格納されたプログラムが実行されることで、プログラムに対応する方法が実行される。また、マイコン１１は、１パッケージ化されたものでもよいし、例えばＣＰＵとメモリ等が別々のパッケージになっている構成のものでもよい。ＣＰＵとメモリ等が別々のパッケージになっている場合、図１における外部通信装置１２は、例えばＣＰＵに内蔵されてもよい。また、マイコン１１又はＣＰＵは、ＭＰＵ（すなわち、Micro Processing Unit）と呼ばれてもよい。また、マイコン１１の機能の一部又は全部は、一つあるいは複数のハードウェアを用いて実現されてもよい。例えば、マイコン１１の機能がハードウェアである電子回路によって実現される場合、その電子回路は、デジタル回路、又はアナログ回路、あるいはこれらの組合せによって実現されてよい。

装置外通信部５１は、外部通信装置１２を用いて通信線１９を介して制御対象３との間で予め定められた通信方式（例えば、本実施形態ではＣＡＮ）で通信を行う。
実行部５２は、装置外通信部５１を用いて、制御対象３の制御を行う。また、実行部５２は、始動スイッチ７がオフされた後に上述の停止前処理を少なくとも実行する。実行部５２は、停止前処理が完了すると、完了フラグをセットするように構成され得る。なお、停止前処理が実行される前は、完了フラグはリセットされている。

また、実行部５２は、上述の入力回路２２を介して入力された始動スイッチ信号Ｓｓがアクティブ状態の場合に始動フラグをセットし、始動スイッチ信号Ｓｓが非アクティブ状態である場合に始動フラグをリセットする。

保持部５６は、第１出力部５７を備える。第１出力部５７は、始動スイッチ７がオンされている間、及び、始動スイッチ７がオフされた後の少なくとも上述の処理期間に、主電源回路３１をオンするための保持信号を駆動部２３へ出力するように構成される。

具体的には、第１出力部５７は、始動スイッチ７がオンされている間、アクティブ状態の第１保持信号Ｓｈ１及びアクティブ状態の第２保持信号Ｓｈ２を駆動部２３へ出力する。また、第１出力部５７は、処理期間は、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうち少なくとも一方をアクティブ状態として、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２を駆動部２３へ出力する。

判定部５４は、始動スイッチ７がオンされている間、レジスタ２６から保持信号の状態を繰り返し取得する。判定部５４は、取得された保持信号の状態に基づいて、保持信号が出力される経路に非実行故障が生じているか否かを判定するように構成される。非実行故障とは、始動スイッチ７がオフされた後に停止前処理が実行されない故障をいう。

非実行故障は、換言すれば、始動スイッチ７がオフされた後の停止前処理が実行されるべき処理期間に、主電源回路３１がオンにならない故障（以下、オフ故障ともいう）であるといえる。なお、非実行故障の要因としては、例えば、保持信号が出力される経路における信号線の断線が含まれる。判定部５４は、オフ故障診断処理を実行することによって、該機能を実現する。

診断部５５は、始動スイッチ７がオフされた後に、第１保持信号Ｓｈ１が出力される経路又は第２保持信号Ｓｈ２が出力される経路において、いずれかの保持信号をアクティブ状態に固定する固定故障が生じているか否かを判定するように構成される。診断部５５は、固定故障判定処理を実行することによって、該機能を実現する。

［１－２．処理］
以下、マイコン１１における保持部５６としての第１出力部５７、判定部５４、及び診断部５５が実行する処理についてフローチャートを用いて説明する。

［１－２－１．保持部５６が実行する処理］
次に、保持部５６としての第１出力部５７が実行する保持出力処理について、図２のフローチャートを用いて説明する。保持出力処理は、始動スイッチ７がオンされてから、少なくとも停止前処理が終了する迄の間、電源スイッチとしての主電源回路３１をオンするための処理である。第１出力部５７は、始動スイッチ７がオンされたことをきっかけとして本処理を開始し、停止前処理が終了する迄の間予め定められた周期で本処理を繰り返し実行する。

Ｓ１では、第１出力部５７は、始動スイッチ７がオンされた直後であるか否かを判定する。第１出力部５７は、始動スイッチ７がオンされた直後であると判定される場合に処理をＳ２へ移させ、始動スイッチ７がオンされた直後でないと判定される場合に処理をＳ２へ移させる。例えば、第１出力部５７は、始動フラグがオフからオンに変化した場合に、始動スイッチ７がオンされた直後であると判定するように構成され得る。

Ｓ２では、第１出力部５７は、アクティブ状態の第１保持信号Ｓｈ１を駆動部２３へ出力する。これにより、始動スイッチ７がオンされた直後に、第１記憶領域４１にアクティブ状態の第１保持信号Ｓｈ１が記憶される。

Ｓ３では、第１出力部５７は、アクティブ状態の第２保持信号Ｓｈ２を駆動部２３へ出力する。つまり、第１出力部５７は、内部通信部５３を用いて、バス１６を介したＳＰＩ通信によって、第２保持信号Ｓｈ２をアクティブ状態で第２記憶領域４２に書き込むための書き込み指令を出力する。これにより、始動スイッチ７がオンされた直後に、第２記憶領域４２に、アクティブ状態の第２保持信号Ｓｈ２が記憶される。

そして、第１出力部５７は、以上で本保持出力処理を終了する。
Ｓ４では、第１出力部５７は、停止前処理が完了したか否かを判定する。第１出力部５７は、停止前処理が完了したと判定された場合に処理をＳ５へ移行させ、始動スイッチ７がオフされていないと判定された場合に、以上で本保持出力処理を終了する。第１出力部５７は、完了フラグがセットされている場合に、停止前処理が完了したと判定するように構成され得る。

Ｓ５では、第１出力部５７は、非アクティブ状態の第１保持信号Ｓｈ１を駆動部２３へ出力する。これにより、第１記憶領域４１に、非アクティブ状態の第１保持信号Ｓｈ１が記憶される。

Ｓ６では、第１出力部５７は、非アクティブ状態の第２保持信号Ｓｈ２を駆動部２３へ出力する。つまり、第１出力部５７は、内部通信部５３を用いて、バス１６を介したＳＰＩ通信によって、第２保持信号Ｓｈ２を非アクティブ状態で第２記憶領域４２に書き込むための書き込み指令を出力する。これにより、第２記憶領域４２に、非アクティブ状態の第２保持信号Ｓｈ２が記憶される。そして、第１出力部５７は、以上で本保持出力処理を終了する。

このように構成された第１出力部５７は、始動スイッチ７がオンされてから停止前処理が終了する迄の間、駆動部２３へアクティブ状態の保持信号を出力する。これにより、始動スイッチ７がオンされてから停止前処理が終了する迄の間、主電源回路３１が継続してオンされマイコン１１に電源電圧Ｖｍが継続して供給される。

なお、マイコン１１は、始動スイッチ７がオンされてから停止前処理が終了する迄の間、マイコン１１によって定期的な処理が実行されていない空き時間であるアイドルタスク期間に、保持信号をアクティブ状態に更新するように構成され得る。アイドルタスク期間を利用することによって、マイコン１１の処理負荷の増加を抑制しつつ、保持信号を更新することができる。ここでいう処理負荷の増加とは、実行すべき処理が同時期に重なることをいう。本実施形態では、保持信号は、第１保持信号Ｓｈ１と第２保持信号Ｓｈ２とを含んでおり、冗長構成になっている。

［１－２－２．判定部５４が実行する処理］
＜オフ故障判定処理＞
次に、判定部５４が実行するオフ故障判定処理について、図３のフローチャートを用いて説明する。判定部５４は、予め定められた周期で、本処理を繰り返し実行する。非実行故障は始動スイッチ７がオフされた後に影響が生じる故障である。このため、判定部５４は、処理負荷の低減を考慮して、相対的に低い周期（例えば、約百ｍｓｅｃ～約数百ｍｓｅｃ）で本オフ故障判定処理を実行してもよい。

なお、後述する第１オフ故障正常フラグＦｏｆｆ＿Ｔ１及び第１オフ故障異常フラグＦｏｆｆ＿Ｆ１は初期状態ではリセットされている。また、後述する第２オフ故障正常フラグＦｏｆｆ＿Ｔ２及び第２オフ故障異常フラグＦｏｆｆ＿Ｆ２は初期状態ではリセットされている。

Ｓ１０では、判定部５４は、ＩＣ監視情報及び通信監視情報を取得する。ＩＣ監視情報は、ＩＣ１３が正常に作動しているか否かを表す情報である。通信監視情報は、バス１６による通信（すなわち、本実施形態ではＳＰＩ通信）が正常に実行されているか否かを表す情報である。

ここで、マイコン１１は、例えば、ＩＣ１３の動作良否を監視するＩＣ監視処理を行うように構成され得る。この場合、例えば、ＩＣ１３は、図示していないが、所定時間毎にパルス信号であるウォッチドッグパルスを出力するように構成される。マイコン１１は、ＩＣ監視処理では、ウォッチドッグパルスを監視して、ウォッチドッグパルスが所定時間毎に出力されている場合に、ＩＣ１３が正常であることを示すＩＣ監視情報を生成してマイコン１１が備えるメモリに記憶する。

また、マイコン１１は、ウォッチドッグパルスがＩＣ１３から出力されない継続時間が規定時間に達したと判定すると、ＩＣ１３が異常であることを示すＩＣ監視情報を生成してマイコン１１が備えるメモリに記憶する。なお、ＩＣ監視処理は、上述の処理に限定されるものではなく、ＩＣ１３の動作良否を検知するための種々の処理であり得る。

一方、マイコン１１は、例えば、バス１６による通信の良否を監視する通信監視処理を行うように構成され得る。マイコン１１は、通信監視処理では、ＩＣ１３へ出力する指令に対する応答をＩＣ１３から受信している場合に、バス１６による通信が正常に実行されていることを示す通信監視情報を生成し、マイコン１１が備えるメモリに記憶する。

また、マイコン１１は、ＩＣ１３へ出力する指令に対する応答をＩＣ１３から受信していない場合に、バス１６による通信が正常に実行されていないことを示す通信監視情報を生成し、マイコン１１が備えるメモリに記憶する。なお、通信監視処理は、上述の処理に限定されるものではなく、バス１６の通信良否を検知するための種々の処理であり得る。

判定部５４は、ＩＣ監視情報及び通信監視情報を、マイコン１１が備える上述のメモリから取得する。
Ｓ２０では、判定部５４は、ＩＣ監視情報及び通信監視情報に基づいて、ＩＣ１３が正常であり、且つ、バス１６によるＩＣ１３との通信が正常であるか、否か、を判定する。判定部５４は、ＩＣ１３が正常であり、且つ、バス１６によるＩＣ１３との通信が正常である場合に、処理をＳ５０へ移行させる。判定部５４は、ＩＣ１３の状態及びバス１６によるＩＣ１３との通信の少なくとも一方に異常が生じている場合に、処理をＳ３０へ移行させる。

Ｓ３０では、判定部５４は、第１オフ故障正常カウンタのカウント値Ｃｏｆｆ＿Ｔ１、及び、第１オフ故障異常カウンタのカウント値Ｃｏｆｆ＿Ｆ１をリセット（すなわち、クリアして０に）する。カウント値Ｃｏｆｆ＿Ｔ１、カウント値Ｃｏｆｆ＿Ｆ１は、第１保持信号Ｓｈ１の出力経路に非実行故障が生じているか否かを判定するために用いられる値である。

続くＳ４０では、判定部５４は、第２オフ故障正常カウンタのカウント値Ｃｏｆｆ＿Ｔ２、及び、第２オフ故障異常カウンタのカウント値Ｃｏｆｆ＿Ｆ２をリセット（すなわち、クリアして０に）する。カウント値Ｃｏｆｆ＿Ｔ２、カウント値Ｃｏｆｆ＿Ｆ２は、第２保持信号Ｓｈ２の出力経路に非実行故障が生じているか否かを判定するために用いられる値である。

そして、判定部５４は、以上でオフ故障判定処理を終了する。つまり、判定部５４は、ＩＣ１３の状態及びＩＣ１３との通信状態のいずれか一方に異常が生じている場合は、非実行故障が生じているか否かの判定を実行せず、オフ故障判定処理を終了する。

Ｓ５０では、判定部５４は、第１オフ故障診断を実行する。後述するように、第１オフ故障診断では、判定部５４は、ＩＣ１３の第１記憶領域４１から取得された複数回ぶんの第１保持信号Ｓｈ１の状態に基づいて、第１保持信号Ｓｈ１が出力される経路に非実行故障が生じているか否かを判定する。判定部５４は、非実行故障が生じていると判定される場合に、第１オフ故障異常フラグＦｏｆｆ＿Ｆ１をセットする。

続くＳ６０では、判定部５４は、第２オフ故障診断を実行する。後述するように、第２オフ故障診断では、判定部５４は、ＩＣ１３の第２記憶領域４２から取得された複数回ぶんの第２保持信号Ｓｈ２の状態に基づいて、第２保持信号Ｓｈ２が出力される経路に非実行故障が生じているか否かを判定する。判定部５４は、非実行故障が生じていると判定される場合に、第２オフ故障異常フラグＦｏｆｆ＿Ｆ２をセットする。そして、判定部５４は、処理をＳ７０へ移行させる。

Ｓ７０では、判定部５４は、第１オフ故障診断の実行結果、及び第２オフ故障診断の実行結果を種々の態様で出力する。例えば、判定部５４は、第１オフ故障診断の実行結果、及び、第２オフ故障診断の実行結果を、車両が備える他の電子制御装置等に出力するように構成され得る。第１オフ故障異常フラグＦｏｆｆ＿Ｆ１がセットされていることが、第１保持信号Ｓｈ１が出力される経路に非実行故障が生じているという実行結果を示す。第２オフ故障異常フラグＦｏｆｆ＿Ｆ２がセットされていることが、第２保持信号Ｓｈ２が出力される経路に非実行故障が生じているという実行結果を示す。

例えば、判定部５４は、第１保持信号Ｓｈ１の出力経路（又は、第２保持信号Ｓｈ２の出力経路）に非実行故障が生じていると判定された場合に、運転者や他の電子制御装置への報知のための出力を行うように構成され得る。又は、判定部５４は、第１保持信号Ｓｈ１の出力経路及び第２保持信号Ｓｈ２の出力経路の両方に非実行故障が生じていると判定された場合にのみ、運転者や他の電子制御装置への報知のための出力を行うように構成され得る。

また例えば、判定部５４は、第１保持信号Ｓｈ１の出力経路及び第２保持信号Ｓｈ２の出力経路の少なくとも一方に非実行故障が生じていると判定された場合に、制御対象３の制御パラメータとして、より安全側の制御パラメータを用いるように構成され得る。

そして、判定部５４は、以上で本オフ故障判定処理を終了する。
＜第１オフ故障診断＞
次に、オフ故障判定処理のＳ５０で実行される第１オフ故障診断について図４を用いて説明する。

Ｓ１１０では、判定部５４は、バス１６を用いたＩＣ１３との通信によって、第１記憶領域４１から第１保持信号Ｓｈ１の状態を取得する。判定部５４は、取得した第１保持信号Ｓｈ１の状態を第１状態モニタ値として、マイコン１１が備えるメモリに記憶する。

Ｓ１１１では、判定部５４は、第１状態モニタ値がアクティブ状態であるか否かを判定する。判定部５４は、第１状態モニタ値がアクティブ状態である場合に処理をＳ１１２へ移行させ、第１状態モニタ値が非アクティブ状態である場合に処理をＳ１１５へ移行させる。

Ｓ１１２では、判定部５４は、第１オフ故障正常カウンタのカウント値Ｃｏｆｆ＿Ｔ１をカウントアップし（すなわち、１増加させ）、第１オフ故障異常カウンタのカウント値Ｃｏｆｆ＿Ｆ１をクリアする（すなわち、０にする）。

続くＳ１１３では、判定部５４は、予め定められた複数回数である判定回数Ｈ（例えば、３回）以上連続して、第１状態モニタ値がアクティブ状態であるか否かを判定する。具体的には、判定部５４は、カウント値Ｃｏｆｆ＿Ｔ１が判定回数Ｈ以上（すなわち、３以上）であり、且つ、第１オフ故障異常フラグＦｏｆｆ＿Ｆ１がリセットされている場合に、判定回数Ｈ以上連続して第１状態モニタ値がアクティブ状態である、と判定する。

ここで、判定部５４は、カウント値Ｃｏｆｆ＿Ｔ１が判定回数Ｈ以上であり、且つ、第１オフ故障異常フラグＦｏｆｆ＿Ｆ１がリセットされている場合に処理をＳ１１４へ移行させる。一方、判定部５４は、カウント値Ｃｏｆｆ＿Ｔ１が判定回数Ｈ以上であること、及び、第１オフ故障異常フラグＦｏｆｆ＿Ｆ１がリセットされていること、のうち少なくとも一方が満たされていない場合に、本第１オフ故障診断を終了する。

Ｓ１１４では、判定部５４は、第１オフ故障正常フラグＦｏｆｆ＿Ｔ１をセットし、第１オフ故障異常フラグＦｏｆｆ＿Ｆ１をリセットし、本第１オフ故障診断を終了する。
Ｓ１１５では、判定部５４は、第１オフ故障正常カウンタのカウント値Ｃｏｆｆ＿Ｔ１をクリアし（すなわち、０にし）、第１オフ故障異常カウンタのカウント値Ｃｏｆｆ＿Ｆ１をカウントアップする（すなわち、１増加させる）。

Ｓ１１６では、判定部５４は、上述の判定回数Ｈ（例えば、３回）連続して第１状態モニタ値が非アクティブ状態であるか否かを判定する。具体的には、判定部５４は、カウント値Ｃｏｆｆ＿Ｆ１が判定回数Ｈ以上（すなわち、３以上）である場合に判定回数Ｈ以上連続して第１状態モニタ値が非アクティブ状態である、と判定する。ここで、判定部５４は、カウント値Ｃｏｆｆ＿Ｆ１が判定回数Ｈ以上である場合に処理をＳ１１７へ移行させる。一方、判定部５４は、カウント値Ｃｏｆｆ＿Ｆ１が判定回数Ｈ未満である場合に、本第１オフ故障診断を終了する。

Ｓ１１７では、判定部５４は、第１オフ故障正常フラグＦｏｆｆ＿Ｔ１をセットし、第１オフ故障異常フラグＦｏｆｆ＿Ｆ１をリセットし、本第１オフ故障診断を終了する。
＜第２オフ故障診断＞
次に、オフ故障判定処理のＳ６０で実行される第２オフ故障診断について図５を用いて説明する。判定部５４は、第２オフ故障診断では、第２保持信号Ｓｈ２に基づいて、第１オフ故障診断と同様の処理を実行する。

Ｓ１２０では、判定部５４は、バス１６を用いたＩＣ１３との通信によって、第２記憶領域４２から第２保持信号Ｓｈ２の状態を取得する。判定部５４は、取得した第２保持信号Ｓｈ２の状態を第２状態モニタ値として、マイコン１１が備えるメモリに記憶する。

Ｓ１２１では、判定部５４は、第２状態モニタ値がアクティブ状態であるか否かを判定する。判定部５４は、第２状態モニタ値がアクティブ状態である場合に処理をＳ１２２へ移行させ、第２状態モニタ値が非アクティブ状態である場合に処理をＳ１２５へ移行させる。

Ｓ１２２では、判定部５４は、第２オフ故障正常カウンタのカウント値Ｃｏｆｆ＿Ｔ２をカウントアップし（すなわち、１増加させ）、第２オフ故障異常カウンタのカウント値Ｃｏｆｆ＿Ｆ２をクリアする（すなわち、０にする）。

続くＳ１２３では、判定部５４は、予め定められた複数回数である判定回数Ｈ（例えば、３回）以上連続して、第２状態モニタ値がアクティブ状態であるか否かを判定する。具体的には、判定部５４は、カウント値Ｃｏｆｆ＿Ｔ２が判定回数Ｈ以上（すなわち、３以上）であり、且つ、第２オフ故障異常フラグＦｏｆｆ＿Ｆ２がリセットされている場合に、判定回数Ｈ以上連続して第２状態モニタ値がアクティブ状態である、と判定する。

ここで、判定部５４は、カウント値Ｃｏｆｆ＿Ｔ２が判定回数Ｈ以上であり、且つ、第２オフ故障異常フラグＦｏｆｆ＿Ｆ２がリセットされている場合に処理をＳ１２４へ移行させる。一方、判定部５４は、カウント値Ｃｏｆｆ＿Ｔ２が判定回数Ｈ以上であること、及び、第２オフ故障異常フラグＦｏｆｆ＿Ｆ２がリセットされていること、のうち少なくとも一方が満たされていない場合に、本第２オフ故障診断を終了する。

Ｓ１２４では、判定部５４は、第２オフ故障正常フラグＦｏｆｆ＿Ｔ２をセットし、第２オフ故障異常フラグＦｏｆｆ＿Ｆ２をリセットし、本第２オフ故障診断を終了する。
Ｓ１２５では、判定部５４は、第２オフ故障正常カウンタのカウント値Ｃｏｆｆ＿Ｔ２をクリアし（すなわち、０にし）、第２オフ故障異常カウンタのカウント値Ｃｏｆｆ＿Ｆ２をカウントアップする（すなわち、１増加させる）。

Ｓ１２６では、判定部５４は、上述の判定回数Ｈ（例えば、３回）連続して第２状態モニタ値が非アクティブ状態であるか否かを判定する。具体的には、判定部５４は、カウント値Ｃｏｆｆ＿Ｆ２が判定回数Ｈ以上（すなわち、３以上）である場合に判定回数Ｈ以上連続して第２状態モニタ値が非アクティブ状態である、と判定する。ここで、判定部５４は、カウント値Ｃｏｆｆ＿Ｆ２が判定回数Ｈ以上である場合に処理をＳ１２７へ移行させる。一方、判定部５４は、カウント値Ｃｏｆｆ＿Ｆ２が判定回数Ｈ未満である場合に、本第２オフ故障診断を終了する。

Ｓ１２７では、判定部５４は、第２オフ故障正常フラグＦｏｆｆ＿Ｔ２をセットし、第２オフ故障異常フラグＦｏｆｆ＿Ｆ２をリセットし、本第２オフ故障診断を終了する。
＜固定故障判定処理＞
次に、診断部５５が実行する固定故障判定処理について、図６のフローチャートを用いて説明する。固定故障には、第１保持信号Ｓｈ１が出力される経路において第１保持信号Ｓｈ１がアクティブ状態に固定される故障、及び、第２保持信号Ｓｈ２が出力される経路において第２保持信号Ｓｈ２がアクティブ状態に固定される故障、が含まれる。診断部５５は、始動スイッチ７がオフされたことをきっかけとして、所定の周期で繰り返し固定故障判定処理を実行する。

なお、後述する第１固定故障正常フラグＦｏｎ＿Ｔ１及び第１固定故障異常フラグＦｏｎ＿Ｆ１は初期状態ではリセットされている。また、後述する第２固定故障正常フラグＦｏｎ＿Ｔ２及び第２固定故障異常フラグＦｏｎ＿Ｆ２は初期状態ではリセットされている。

Ｓ２００では、診断部５５は、上述のＩＣ監視情報及び上述の通信監視情報を取得する。また、診断部５５は、第１オフ故障正常フラグＦｏｆｆ＿Ｔ１及び第１オフ故障異常フラグＦｏｆｆ＿Ｆ１と、第２オフ故障正常フラグＦｏｆｆ＿Ｔ２及び第２オフ故障異常フラグＦｏｆｆ＿Ｆ２と、を取得する。

Ｓ２０５では、診断部５５は、ＩＣ１３が正常であり、且つ、バス１６によるＩＣ１３との通信が正常であり、且つ、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２が出力される経路に非実行故障（すなわち、オフ故障）が生じていない場合に、処理をＳ２２５へ移行させる。つまり、診断部５５は、固定故障の有無を判定するために処理をＳ２２５へ移行させる。診断部５５は、ＩＣ１３が正常でない、又は、バス１６によるＩＣ１３との通信が正常でない、又は、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２が出力される経路の少なくとも一方に非実行故障が生じている場合に、処理をＳ２１０へ移行させる。

Ｓ２１０では、診断部５５は、第１固定故障正常カウンタのカウント値Ｃｏn＿Ｔ１、及び、第１固定故障異常カウンタのカウント値Ｃｏn＿Ｆ１をリセット（すなわち、クリアして０に）する。カウント値Ｃｏn＿Ｔ１、カウント値Ｃｏn＿Ｆ１は、第１保持信号Ｓｈ１が出力される経路に固定故障が生じているか否かを判定するために第１固定故障診断にて用いられる値である。第１固定故障診断は、第１保持信号Ｓｈ１が出力される経路に固定故障が生じているか否かを判定するための処理である。

Ｓ２１５では、診断部５５は、第２固定故障正常カウンタのカウント値Ｃｏn＿Ｔ２、及び、第２固定故障異常カウンタのカウント値Ｃｏn＿Ｆ２をリセット（すなわち、クリアして０に）する。カウント値Ｃｏn＿Ｔ２、カウント値Ｃｏn＿Ｆ２は、第２保持信号Ｓｈ２が出力される経路に固定故障が生じているか否かを判定するために第２固定故障診断にて用いられる値である。第２固定故障診断は、第２保持信号Ｓｈ２が出力される経路に固定故障が生じているか否かを判定するための処理である。

つまり、診断部５５は、Ｓ２１０－Ｓ２１５では、第１固定故障診断及び第２固定故障診断を実行せずに、本固定故障判定処理を終了する。
Ｓ２２０では、診断部５５は、後述する第１固定故障診断が完了しているか否かを判定する。診断部５５は、第１固定故障診断が完了している場合に処理をＳ２３５へ移行させ、第１固定故障診断が完了していない場合に処理をＳ２２５へ移行させる。診断部５５は、第１固定故障正常フラグＦｏｎ＿Ｔ１及び第１固定故障異常フラグＦｏｎ＿Ｆ１のうち一方がセットされている場合に、第１固定故障診断が完了していると判定する。

Ｓ２２５では、診断部５５は、第１出力部５７に、非アクティブ状態である第１保持信号Ｓｈ１を駆動部２３に出力させ、且つ、アクティブ状態である第２保持信号Ｓｈ２を駆動部２３に出力させる。

例えば、診断部５５は、第１出力部５７に切替指示を出力するように構成され得る。切替指示は、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうち、一方を対象信号とし他方を非対象信号として選択することを指示する。第１出力部５７は、切替指示に従って、非アクティブ状態である対象信号を駆動部２３に出力し、アクティブ状態である非対象信号を駆動部２３に出力するように構成され得る。

本ステップでは、診断部５５は、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうち、第１保持信号Ｓｈ１を対象信号とし第２保持信号Ｓｈ２を非対象信号として選択することを指示する切替指示を出力する。これにより、第１出力部５７は、切替指示に従って、非アクティブ状態である第１保持信号Ｓｈ１を駆動部２３に出力し、アクティブ状態である第２保持信号Ｓｈ２を駆動部２３に出力する。

続くＳ２３０では、診断部５５は、後述する第１固定故障診断を実行する。第１固定故障診断では、診断部５５は、第１出力部５７によって非アクティブ状態である対象信号（すなわち、第１保持信号Ｓｈ１）及びアクティブ状態である非対象信号（すなわち、第２保持信号Ｓｈ２）が出力されている間、レジスタ２６から対象信号の状態を繰り返し取得する。

そして診断部５５は、取得された対象信号としての第１保持信号Ｓｈ１の状態に基づいて、対象信号が出力される経路において該対象信号をアクティブ状態に固定する固定故障が生じているか否かを判定する。診断部５５は、第１固定故障診断を終了すると、本固定故障判定処理を終了する。つまり、本固定故障判定処理が実行される次のサイクルで、Ｓ２０５にて肯定判定され、且つ、Ｓ２２０にて肯定判定された場合に、処理はＳ２３５へ移行される。

Ｓ２３５では、診断部５５は、後述する第２固定故障診断が完了しているか否かを判定する。診断部５５は、第２固定故障診断が完了している場合に本固定故障判定処理を終了し、第２固定故障診断が完了していない場合に処理をＳ２４０へ移行させる。診断部５５は、第２固定故障正常フラグＦｏｎ＿Ｔ２及び第２固定故障異常フラグＦｏｎ＿Ｆ２のうち一方がセットされている場合に、第２固定故障診断が完了していると判定する。

Ｓ２４０では、診断部５５は、第１出力部５７に、アクティブ状態である第１保持信号Ｓｈ１を駆動部２３に出力させ、且つ、非アクティブ状態である第２保持信号Ｓｈ２を駆動部２３に出力させる。本ステップでは、診断部５５は、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうち、第１保持信号Ｓｈ１を非対象信号とし第２保持信号Ｓｈ２を対象信号として選択することを指示する切替指示を出力する。これにより、第１出力部５７は、切替指示に従って、アクティブ状態である第１保持信号Ｓｈ１を駆動部２３に出力し、非アクティブ状態である第２保持信号Ｓｈ２を駆動部２３に出力する。

つまり、診断部５５は、第１固定故障診断が完了した後に、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２において対象信号及び非対象信号を入れ替えて、一方である第１保持信号Ｓｈ１を非対象信号とし、他方である第２保持信号Ｓｈ２を対象信号とする。そして、診断部５５は、非アクティブ状態である対象信号を駆動部２３に出力し、アクティブ状態である非対象信号を前記駆動部に出力する。

続くＳ２４５では、診断部５５は、後述する第２固定故障診断を実行する。第２固定故障診断では、診断部５５は、第１出力部５７によって非アクティブ状態である対象信号（すなわち、第２保持信号Ｓｈ２）及びアクティブ状態である非対象信号（すなわち、第１保持信号Ｓｈ１）が出力されている間、レジスタ２６から対象信号の状態を繰り返し取得する。

そして診断部５５は、取得された対象信号としての第２保持信号Ｓｈ２の状態に基づいて、対象信号が出力される経路において該対象信号をアクティブ状態に固定する固定故障が生じているか否かを判定する。診断部５５は、第２固定故障診断を終了すると、本固定故障判定処理を終了する。

（第１固定故障診断）
次に、診断部５５が固定故障判定処理のＳ２３０で実行する第１固定故障診断について、図７のフローチャートを用いて説明する。

Ｓ３１０では、診断部５５は、対象信号としての第１保持信号Ｓｈ１をアクティブ状態から非アクティブ状態に切り替えた後の経過時間（すなわち、非アクティブ状態の第１保持信号Ｓｈ１を出力した以降の経過時間）を、経過カウンタを用いてカウントする。なお、経過カウンタの経過カウント値は、本固定故障判定処理が実行される前に初期化（すなわち、０にリセット）されている。診断部５５は、本ステップでは、経過カウント値を１増加させる。

Ｓ３１１では、診断部５５は、経過カウント値が１よりも大きい場合に処理をＳ３１２へ移行させ、経過カウント値が１以下である場合に本第１固定故障診断を終了する。つまり、第１保持信号Ｓｈ１をアクティブ状態から非アクティブ状態に切り替えたサイクルの次のサイクル以降において、Ｓ３１２以降の処理を実行する。

経過カウント値が１以下である場合に第１固定故障診断を終了するのは、切替指示によって実際に非アクティブ状態の第１保持信号Ｓｈ１が出力されるまでの遅延を考慮するためである。例えば、第１固定故障診断（すなわち、換言すれば第１故障診断を含む固定故障判定処理）が約１０ｍｓｅｃの周期で実行されるとする。この場合は、経過カウント値＞１の場合に、すなわち、対象信号としての第１保持信号Ｓｈ１をアクティブ状態から非アクティブ状態に切り替えてから約１０ｍｓｅｃが経過した後に、Ｓ３１２以降の処理が実行される。

Ｓ３１２では、診断部５５は、第１記憶領域４１から第１保持信号Ｓｈ１を取得する。診断部５５は、取得した第１保持信号Ｓｈ１の状態を、第１切替モニタ値として、マイコン１１が備えるメモリに記憶する。

続くＳ３１３では、診断部５５は第１切替モニタ値が非アクティブ状態であるか否かを判定する。診断部５５は、第１切替モニタ値が非アクティブ状態である場合に処理をＳ３１４へ移行させ、第１切替モニタ値がアクティブ状態である場合に処理をＳ３１７へ移行させる。

Ｓ３１４では、診断部５５は、第１固定故障正常カウンタのカウント値Ｃｏn＿Ｔ１をカウントアップし（すなわち、１増加させ）、第１固定故障異常カウンタのカウント値Ｃｏn＿Ｆ１をクリア（すなわち、０に）する。

続くＳ３１５では、診断部５５は、第１切替モニタ値が予め定められた複数回数である診断回数Ｓ（例えば、３回）以上連続して非アクティブ状態であるか否かを判定する。具体的には、診断部５５は、カウント値Ｃｏn＿Ｔ１が診断回数Ｓ（例えば、３回）以上である場合に、第１切替モニタ値が診断回数Ｓ以上連続して非アクティブ状態であると判定する。診断部５５は、カウント値Ｃｏn＿Ｔ１が診断回数Ｓ以上である場合に処理をＳ３１６へ移行させ、カウント値Ｃｏn＿Ｔ１が診断回数Ｓ未満である場合に、本第１固定故障診断処理を終了する。

Ｓ３１６では、診断部５５は、第１固定故障正常フラグＦｏｎ＿Ｔ１をセットし、第１固定故障異常フラグＦｏｎ＿Ｆ１をリセットして、本第１固定故障診断処理を終了する。なお、診断部５５は、本ステップでは、第１保持信号Ｓｈ１の出力経路に固定故障が生じていないことを、種々の態様で出力するように構成されてもよい。

例えば、診断部５５は、車両が備えるディスプレイに表示を行うことによって、第１保持信号Ｓｈ１の出力経路に固定故障が生じていないことを運転者等に報知するように構成され得る。また例えば、診断部５５は、第１保持信号Ｓｈ１の出力経路に固定故障が生じていないことを示すコードをマイコン１１が備えるメモリに記憶するように構成され得る。

Ｓ３１７では、診断部５５は、第１固定故障正常カウンタのカウント値Ｃｏn＿Ｔ１をクリア（すなわち、０に）し、第１固定故障異常カウンタのカウント値Ｃｏn＿Ｆ１をカウントアップする（すなわち、１増加させる）。

続くＳ３１８では、診断部５５は、第１切替モニタ値が上述の診断回数Ｓ（例えば、３回）以上連続してアクティブ状態であるか否かを判定する。具体的には、診断部５５は、カウント値Ｃｏn＿Ｆ１が診断回数Ｓ（例えば、３回）以上である場合に、第１切替モニタ値が診断回数Ｓ以上連続してアクティブ状態であると判定する。診断部５５は、カウント値Ｃｏn＿Ｆ１が診断回数Ｓ以上である場合に処理をＳ３１９へ移行させ、カウント値Ｃｏn＿Ｆ１が診断回数Ｓ未満である場合に、本第１固定故障診断処理を終了する。

Ｓ３１９では、診断部５５は、第１固定故障正常フラグＦｏｎ＿Ｔ１をリセットし、第１固定故障異常フラグＦｏｎ＿Ｆ１をセットして、本第１固定故障診断処理を終了する。なお、診断部５５は、本ステップでは、第１保持信号Ｓｈ１の出力経路に固定故障が生じていることを、種々の態様で出力するように構成されてもよい。

例えば、診断部５５は、車両が備えるディスプレイに表示を行うことによって、第１保持信号Ｓｈ１の出力経路に固定故障が生じていることを運転者等に報知するように構成され得る。また例えば、診断部５５は、第１保持信号Ｓｈ１の出力経路に固定故障が生じていることを示す故障コードをマイコン１１が備えるメモリに記憶するように構成され得る。

（第２固定故障診断）
次に、診断部５５が固定故障判定処理のＳ２４５で実行する第２固定故障診断について、図８のフローチャートを用いて説明する。診断部５５は、第２固定故障診断では、第１固定故障診断と同様に、第２保持信号Ｓｈ２に固定故障が生じているか否かを判定する。

Ｓ３２０では、診断部５５は、対象信号としての第２保持信号Ｓｈ２をアクティブ状態から非アクティブ状態に切り替えた後の経過時間（すなわち、非アクティブ状態の第２保持信号Ｓｈ２を出力した以降の経過時間）を、経過カウンタを用いてカウントする。なお、経過カウンタの経過カウント値は、本固定故障判定処理が実行される前に初期化（すなわち、０にリセット）されている。診断部５５は、本ステップでは、経過カウント値を１増加させる。

Ｓ３２１では、診断部５５は、経過カウント値が１よりも大きい場合に処理をＳ３２２へ移行させ、経過カウント値が１以下である場合に本第２固定故障診断を終了する。つまり、第２保持信号Ｓｈ２をアクティブ状態から非アクティブ状態に切り替えたサイクルの次のサイクル以降において、Ｓ３２２以降の処理を実行する。

経過カウント値が１以下である場合に第２固定故障診断を終了するのは、切替指示によって実際に非アクティブ状態の第２保持信号Ｓｈ２が出力されるまでの遅延を考慮するためである。例えば、第２固定故障診断（すなわち、換言すれば第２故障診断を含む固定故障判定処理）が約１０ｍｓｅｃの周期で実行されるとする。この場合は、経過カウント値＞１の場合に、すなわち、対象信号としての第２保持信号Ｓｈ２をアクティブ状態から非アクティブ状態に切り替えてから約１０ｍｓｅｃが経過した後に、Ｓ３２２以降の処理が実行される。

Ｓ３２２では、診断部５５は、第２記憶領域４２から第２保持信号Ｓｈ２を取得する。診断部５５は、取得した第２保持信号Ｓｈ２の状態を、第２切替モニタ値として、マイコン１１が備えるメモリに記憶する。

続くＳ３２３では、診断部５５は第２切替モニタ値が非アクティブ状態であるか否かを判定する。診断部５５は、第２切替モニタ値が非アクティブ状態である場合に処理をＳ３２４へ移行させ、第２切替モニタ値がアクティブ状態である場合に処理をＳ３２７へ移行させる。

Ｓ３２４では、診断部５５は、第２固定故障正常カウンタのカウント値Ｃｏn＿Ｔ２をカウントアップし（すなわち、１増加させ）、第２固定故障異常カウンタのカウント値Ｃｏn＿Ｆ２をクリア（すなわち、０に）する。

続くＳ３２５では、診断部５５は、第２切替モニタ値が予め定められた複数回数である診断回数Ｓ（例えば、３回）以上連続して非アクティブ状態であるか否かを判定する。具体的には、診断部５５は、カウント値Ｃｏn＿Ｔ２が診断回数Ｓ（例えば、３回）以上である場合に、第２切替モニタ値が診断回数Ｓ以上連続して非アクティブ状態であると判定する。診断部５５は、カウント値Ｃｏn＿Ｔ２が診断回数Ｓ以上である場合に処理をＳ３２６へ移行させ、カウント値Ｃｏn＿Ｔ２が診断回数Ｓ未満である場合に、本第２固定故障診断処理を終了する。

Ｓ３２６では、診断部５５は、第２固定故障正常フラグＦｏｎ＿Ｔ２をセットし、第２固定故障異常フラグＦｏｎ＿Ｆ２をリセットして、本第２固定故障診断処理を終了する。なお、診断部５５は、本ステップでは、第２保持信号Ｓｈ２の出力経路に固定故障が生じていないことを、種々の態様で出力するように構成されてもよい。

例えば、診断部５５は、車両が備えるディスプレイに表示を行うことによって、第２保持信号Ｓｈ２の出力経路に固定故障が生じていないことを運転者等に報知するように構成され得る。また例えば、診断部５５は、第２保持信号Ｓｈ２の出力経路に固定故障が生じていないことを示すコードをマイコン１１が備えるメモリに記憶するように構成され得る。

Ｓ３２７では、診断部５５は、第２固定故障正常カウンタのカウント値Ｃｏn＿Ｔ２をクリア（すなわち、０に）し、第２固定故障異常カウンタのカウント値Ｃｏn＿Ｆ２をカウントアップする（すなわち、１増加させる）。

続くＳ３２８では、診断部５５は、第２切替モニタ値が上述の診断回数Ｓ（例えば、３回）以上連続してアクティブ状態であるか否かを判定する。具体的には、診断部５５は、カウント値Ｃｏn＿Ｆ２が診断回数Ｓ（例えば、３回）以上である場合に、第２切替モニタ値が診断回数Ｓ以上連続してアクティブ状態であると判定する。診断部５５は、カウント値Ｃｏn＿Ｆ２が診断回数Ｓ以上である場合に処理をＳ３２９へ移行させ、カウント値Ｃｏn＿Ｆ２が診断回数Ｓ未満である場合に、本第２固定故障診断処理を終了する。

Ｓ３２９では、診断部５５は、第２固定故障正常フラグＦｏｎ＿Ｔ２をリセットし、第２固定故障異常フラグＦｏｎ＿Ｆ２をセットして、本第２固定故障診断処理を終了する。なお、診断部５５は、本ステップでは、第２保持信号Ｓｈ２の出力経路に固定故障が生じていることを、種々の態様で出力するように構成されてもよい。

例えば、診断部５５は、車両が備えるディスプレイに表示を行うことによって、第２保持信号Ｓｈ２の出力経路に固定故障が生じていることを運転者等に報知するように構成され得る。また例えば、診断部５５は、第２保持信号Ｓｈ２の出力経路に固定故障が生じていることを示す故障コードをマイコン１１が備えるメモリに記憶するように構成され得る。

このように、固定故障判定処理では、対象信号となる保持信号がアクティブ状態から非アクティブ状態に切り替わる指示が出力された際に、アクティブ状態である対象信号がレジスタ２６から取得された場合には、対象信号の出力経路に固定故障が生じていると判定される。

［１－３．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）マイコン１１は、実行部５２と、保持部５６（すなわち、第１出力部５７）と、判定部５４を備える。実行部５２は、始動スイッチ７がオフされた後に停止前処理を少なくとも実行する。第１出力部５７は、始動スイッチ７がオンされている間、及び、処理期間に、主電源回路３１をオンするための少なくとも１つの指示信号を保持信号として駆動部２３へ出力するように構成される。処理期間は、始動スイッチ７がオフされた後の所定期間であって少なくともマイコン１１が停止前処理を終了する迄の期間である。

判定部５４は、始動スイッチ７がオンされている間、レジスタ２６から少なくとも１つの保持信号（すなわち、第１保持信号Ｓｈ１、第２保持信号Ｓｈ２）の状態を取得する。判定部５４は、取得された保持信号の状態に基づいて、該保持信号が出力される経路に、非実行故障が生じているか否かを判定する。

これにより、ＥＣＵ１０において、主電源回路３１によるＥＣＵ１０への電源供給を始動スイッチ７がオフになった後も維持するための信号（すなわち、保持信号）が出力されない故障（すなわち、非実行故障）、を検出することができる。また、ＥＣＵ１０は、上述の比較装置のように、電源供給を受けるマイコンにて作動する計測タイマを用いた計測結果をＲＡＭに記憶して該計測結果に基づいて、非実行故障の有無を判定しない。このため、例えば電源の瞬断時におけるＲＡＭでの記憶保持の期間（すなわち、ＲＡＭが電源の瞬断によりブランク状態になるまでの期間）といったマイコンの性能に拘わらず、非実行故障を精度よく検出することができる。

（１ｂ）保持信号は複数であり、第１保持信号Ｓｈ１と第２保持信号Ｓｈ２とを含む。判定部５４は、保持信号としての第１保持信号Ｓｈ１が出力される経路において非実行故障が生じているか否かを判定し、且つ、保持信号としての第２保持信号Ｓｈ２が出力される経路において非実行故障が生じているか否かを判定する。つまり、保持信号は冗長構成となっているので、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうち一方が出力される経路に非実行故障が生じたとしても、他方の保持信号が駆動部２３へ出力される。結果として、マイコン１１に停止前処理を確実に実行させることができる。

（１ｃ）判定部５４は、保持信号の状態を繰り返し取得し、非アクティブ状態である保持信号が判定回数Ｈ取得された場合に、保持信号が出力される経路において非実行故障が生じていると判定する。判定回数Ｈは複数である。これにより、複数回の判定により、非実行故障が生じているとことを精度よく判定することができる。また、判定部５４は、非アクティブ状態である保持信号が判定回数Ｈ連続して取得された場合に、非実行故障が生じていると判定する。同一の判定が連続して得られた場合に判定を確定するので、非実行故障が生じているとことをより精度よく検出することができる。

（１ｄ）判定部５４は、保持信号の状態を繰り返し取得し、アクティブ状態である保持信号が判定回数Ｈ取得された場合に、保持信号が出力される経路において非実行故障が生じていないと判定する。判定回数Ｈは複数である。これにより、複数回の判定により、非実行故障が生じていないことを精度よく判定することができる。また、判定部５４は、アクティブ状態である保持信号が判定回数Ｈ連続して取得された場合に、非実行故障が生じていないと判定する。同一の判定が連続して得られた場合に判定を確定するので、非実行故障が生じていないことをより精度よく検出することができる。

（１e）第１出力部５７は、始動スイッチ７がオフされた後、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうちの一方を対象信号とし他方を非対象信号として、非アクティブ状態である対象信号を駆動部２３に出力する。また、第１出力部５７は、アクティブ状態である非対象信号を駆動部２３に出力する。診断部５５は、第１出力部５７によって非アクティブ状態である対象信号及びアクティブ状態である非対象信号が出力されている間、レジスタ２６から対象信号の状態を取得する。

そして、診断部５５は、取得された対象信号の状態に基づいて、対象信号が出力される経路において対象信号をアクティブ状態に固定する固定故障が生じているか否かを判定する。これにより、駆動部２３へ複数の保持信号のうちの他方（すなわち、非対象信号）を供給した状態で、複数の保持信号のうちの一方（すなわち、対象信号）が出力される経路において固定故障が生じているか否かを判定することができる。つまり、非実行故障が生じることを抑制しつつ、複数の保持信号のうちの一方が出力される経路において固定故障が生じているか否かを判定することができる。

（１ｆ）第１出力部５７は、診断部５５によって対象信号についての判定が完了した後に、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２のうちの上述の一方を非対象信号とし上述の他方を対象信号として、アクティブ状態である対象信号を駆動部２３に出力する。また、第１出力部５７は、非アクティブ状態である非対象信号を駆動部２３に出力する。ここでいう対象信号についての判定とは、対象信号が出力される経路において固定故障が生じているか否かの判定をいう。

診断部５５は、第１出力部５７によって非アクティブ状態である対象信号及びアクティブ状態である非対象信号が出力されている間、対象信号が出力される経路において対象信号をアクティブ状態に固定する故障である固定故障が生じているか否かを判定する。これにより、駆動部２３へ複数の保持信号のうちの一方（すなわち、非対象信号）を供給した状態で、複数の保持信号のうちの他方（すなわち、対象信号）が出力される経路において固定故障が生じているか否かを判定することができる。つまり、非実行故障が生じることを抑制しつつ、複数の保持信号のうちの他方が出力される経路において固定故障が生じているか否かを判定することができる。

（１ｇ）診断部５５は、対象信号の状態を繰り返し取得し、アクティブ状態である対象信号が予め定められた診断回数Ｓ取得された場合に、固定故障が生じていると判定する。診断回数Ｓは複数である。これにより、複数回の判定により、固定故障が生じていることを精度よく判定することができる。また、本実施形態の診断部５５は、アクティブ状態である保持信号が診断回数Ｓ連続して取得された場合に、固定故障が生じていると判定する。同一の判定が連続して得られた場合に判定を確定するので、固定故障が生じていることをより精度よく判定することができる。

（１ｈ）診断部５５は、対象信号の状態を繰り返し取得し、非アクティブ状態である対象信号が診断回数Ｓ取得された場合に、固定故障が生じていないと判定する。診断回数Ｓは複数である。これにより、複数回の判定により、固定故障が生じていないことを精度よく判定することができる。また、本実施形態の診断部５５は、非アクティブ状態である保持信号が診断回数Ｓ連続して取得された場合に、固定故障が生じていると判定する。同一の判定が連続して得られた場合に判定を確定するので、固定故障が生じていることをより精度よく判定することができる。
（１ｉ）マイコン１１は、予め定められた通信方式（例えば、本実施形態ではＳＰＩ通信）に従う通信を行うバス１６に接続されＩＣ１３との間で該通信方式に従う通信を行うように構成されている。第１出力部５７は、少なくとも１つの保持信号を、バス１６に含まれる信号線とは異なる信号線である接続線１７に出力するように構成される。これにより、バス１６による通信が実行されるか否かに拘わらず、第１保持信号Ｓｈ１を常に駆動部２３へ出力することができる。

なお、上述の実施形態において、ＥＣＵ１０が電子制御装置に相当し、マイコン１１が制御部に相当し、ＩＣ１３が供給部に相当する。レジスタ２６、第１記憶領域４１、第２記憶領域４２が保持信号記憶部に相当し、第１出力部５７及び第２出力部５８が保持部に相当する。アクティブ状態及び非アクティブ状態のいずれかが、保持信号の状態に相当する。第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２が保持信号に相当し、第１保持信号Ｓｈ１が主保持信号に相当し、第２保持信号Ｓｈ２が副保持信号に相当する。接続線１７が保持信号としての第１保持信号Ｓｈ１が出力される経路に相当し、バス１６が保持信号としての第２保持信号Ｓｈ２が出力される経路に相当する。

［２．第２実施形態］
［２－１．構成］
［全体構成］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。なお、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

上述した第１実施形態では、ＥＣＵ１０では、保持信号は複数の保持信号（すなわち、第１保持信号Ｓｈ１及び第２保持信号Ｓｈ２）を備えていた。これに対し、第２実施形態では、図９に示すように、ＥＣＵ２０は、１つの保持信号として、第１保持信号Ｓｈ１のみを備える点で、第１実施形態と相違する。この相違点に伴って、レジスタ２６は、第１記憶領域４１のみを備え、第２記憶領域４２を備えない。また、マイコン１１は、保持部５６としての第１出力部５７に代えて保持部５６としての第２出力部５８を備え、且つ、診断部５５を備えない。また、判定部５４が実行する処理が第１実施形態とは異なる。

［２－２．処理］
次に、第２実施形態のマイコン１１において、保持部５６としての第２出力部５８が第１実施形態の第１出力部５７に代えて実行する処理、及び、第２実施形態の判定部５４が、第１実施形態の判定部５４に代えて実行する処理、について説明する。

第２出力部５８は、上述の図２における保持出力処理から、第２保持信号Ｓｈ２に関する処理であるＳ３及びＳ６を削除した処理を実行する。
本実施形態の判定部５４は、図３におけるオフ故障判定処理から、第２保持信号Ｓｈ２に関する処理であるＳ４０及びＳ６０を削除した処理を実行する。判定部５４は、Ｓ７０では、第１オフ故障診断の実行結果のみを種々の態様で出力する。

［２－３．効果］
以上詳述した第２実施形態によれば、上述した第１実施形態の効果（１ａ）、（１ｃ）－（１ｄ）を奏する。

［３．第３実施形態］
上述のＥＣＵ１０及びＥＣＵ２０（すなわち、具体的にはマイコン１１）は、フェールセーフ処理を実行するように構成されてもよい。ここでいうフェールセーフ処理とは、始動スイッチ７がオフになった後に実行される停止前処理に含まれる少なくとも１つの処理内容と同様の処理内容を、始動スイッチ７がオンの間にも少なくとも１回実行する処理をいう。換言すれば、フェールセーフ処理とは、始動スイッチ７がオンの間に停止前処理に含まれる少なくとも１つの処理内容と同様の処理内容が実行される実行頻度を増やすための処理である。

以下では、ＥＣＵ１０におけるフェールセーフ処理の例を説明する。
例えば、ＥＣＵ１０は、フラッシュメモリの書き換え可能回数を考慮して、制御対象３の制御パラメータのフラッシュメモリへの書き込みを、停止前処理として行うように構成され得る。

この場合、ＥＣＵ１０では、判定部５４は、図示しないが、図３に示すＳ７０に続いて更に、全ての保持信号の出力経路に非実行故障が生じていると判定された場合には、フェールセーフ処理を実行するように構成される。また、判定部５４は、少なくとも１つの保持信号の出力経路に非実行故障が生じていないと判定された場合には、図３のオフ故障判定処理を終了するように構成され得る。

具体的には、ＥＣＵ１０では、判定部５４は、第１保持信号Ｓｈ１の出力経路及び第２保持信号Ｓｈ２の出力経路の両方に非実行故障が生じている場合に、フェールセーフ処理を実行する。なお、ＥＣＵ２０では、判定部５４は、第１保持信号Ｓｈ１の出力経路に非実行故障が生じている場合に、フェールセーフ処理を実行する。

例えば、ＥＣＵ１０では、マイコン１１は、書き込み指示に従って、制御対象３の制御パラメータをフラッシュメモリへ書き込む書き込み部を備えるように構成され得る。
フェールセーフ処理では、判定部５４は、該書き込み部に対して、停止前処理としてだけでなく、制御パラメータに変化が生じるごとに該制御パラメータをフラッシュメモリへ書き込むための書き込み指示を出力するように構成され得る。つまり、制御パラメータをフラッシュメモリへ書き込む書き込み頻度が増加する。

これにより、全ての保持信号の出力経路に非実行故障が生じていない場合は、制御パラメータのフラッシュメモリへの書き込みは停止前処理によって実行されるので、フラッシュメモリの寿命の短縮を抑制することができる。また、全ての保持信号の出力経路に非実行故障が生じている場合には、制御パラメータのフラッシュメモリへの書き込み頻度が増加するので、仮に非実行故障が生じたとしても、直近の制御パラメータがフラッシュメモリへ記憶される。

また、判定部５４は、全ての保持信号の出力経路に非実行故障が生じている場合に、１トリップに対して複数回（例えば、所定時間毎に）制御パラメータをフラッシュメモリへ書き込むための書き込み指示を出力するように構成され得る。１トリップとは、始動スイッチ７がオンされてからオフされるまでの期間をいう。これにより、制御パラメータのフラッシュメモリへの書き込み頻度が増加し、仮に非実行故障が生じたとしても、直近に近いタイミングの制御パラメータをフラッシュメモリに記憶させることができる。

なお、本開示はこれに限定されるものではない。マイコン１１は、停止処理及びフェールセーフ処理において、上述の制御パラメータに代えて故障コードをフラッシュメモリへ記憶するように構成され得る。これにより、仮に全ての保持信号の出力経路に非実行故障が生じたとしても、直近に近いタイミングの故障コードをフラッシュメモリに記憶させることができる。また、フェールセーフ処理の対象となる処理内容は上述の例に限定されるものではなく、停止前処理の処理内容のうちの種々の処理内容であってよい。

［４．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

（４ａ）上記実施形態では、判定部５４は、同じ状態の保持信号が連続して判定回数Ｈ（すなわち、判定回数Ｈは複数）得られたことに基づいて、該保持信号の出力経路に非実行故障が生じているか否かを判定したが、本開示はこれに限定されるものではない。例えば、判定部５４は、同じ状態の保持信号が単に複数回得られたことに基づいて、該保持信号の出力経路に非実行故障が生じているか否かを判定してもよい。又は、判定部５４は、１回の保持信号の状態に基づいて、該保持信号の出力経路に非実行故障が生じているか否かを判定してもよい。

（４ｂ）上記実施形態では、診断部５５は、同じ状態の保持信号が連続して診断回数Ｓ（すなわち、診断回数Ｓは複数）得られたことに基づいて、該保持信号の出力経路に固定故障が生じているか否かを判定したが、本開示はこれに限定されるものではない。例えば、診断部５５は、同じ状態の保持信号が単に複数回得られたことに基づいて、該保持信号の出力経路に固定故障が生じているか否かを判定してもよい。又は、判定部５４は、１回の保持信号の状態に基づいて、該保持信号の出力経路に固定故障が生じているか否かを判定してもよい。

（４ｃ）判定部５４は、Ｓ７０において、上述のフェールセーフ処理のみを実行するように構成されてもよい。
（４ｄ）本開示に記載のマイコン１１及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載のマイコン１１及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載のマイコン１１及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。マイコン１１に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

（４ｅ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

（４ｆ）上述したＥＣＵ１０、２０、マイコン１１、ＩＣ１３の他、当該ＥＣＵ１０、２０を構成要素とするシステム、当該ＥＣＵ１０、２０を機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、故障判定方法など、種々の形態で本開示を実現することもできる。

７ 始動スイッチ、１０ ＥＣＵ、１１ マイコン、１３ ＩＣ、２０ ＥＣＵ、２３ 駆動部、２６ レジスタ、３１ 主電源回路、５４ 判定部、５６ 保持部、５７ 第１出力部、５８ 第２出力部。

Claims (8)

1. 車両に搭載される電子制御装置（１０、２０）であって、
   電源スイッチ（３１）のオンオフに拘わらず電源が常時供給されて動作する供給部（１３）と、
   前記電源スイッチのオンにより電源が供給されて動作する制御部（１１）と、
   を備え、
   前記供給部は、
   アクティブ状態及び非アクティブ状態のいずれかの状態である指示信号であって、前記制御部から出力される前記指示信号である少なくとも１つの保持信号の状態を記憶する保持信号記憶部（２６）と、
   前記保持信号を含む複数の前記指示信号が入力され、複数の前記指示信号のうち少なくとも１つが前記アクティブ状態である場合に前記電源スイッチをオンする駆動部（２３）と、
   を備え、
   前記制御部は、
   エンジンを始動させるためにオンされる始動スイッチ（７）がオフされた後に予め定められた停止前処理を少なくとも実行する実行部（５２）と、
   前記始動スイッチがオンされている間、及び、前記始動スイッチがオフされた後の所定期間であって少なくとも前記制御部が前記停止前処理を終了する迄の処理期間に、前記電源スイッチをオンするための少なくとも１つの前記指示信号を前記保持信号として前記駆動部へ出力するように構成される保持部（５６、５７、５８）と、
   前記始動スイッチがオンされている間、前記保持信号記憶部から少なくとも１つの前記保持信号の状態を取得し、取得された前記保持信号の状態に基づいて、前記保持信号が出力される経路に、前記停止前処理が実行されない故障である非実行故障が生じているか否かを判定するように構成される判定部（５４）と、
   を備える電子制御装置。
2. 請求項１に記載の電子制御装置であって、
   前記判定部は、前記保持信号の状態を繰り返し取得し、前記非アクティブ状態である前記保持信号が予め定められた判定回数取得された場合に、前記保持信号が出力される経路において前記非実行故障が生じていると判定する
   電子制御装置。
3. 請求項１又は請求項２に記載の電子制御装置であって、
   前記判定部は、前記保持信号の状態を繰り返し取得し、前記アクティブ状態である前記保持信号が予め定められた判定回数取得された場合に、前記保持信号が出力される経路において前記非実行故障が生じていないと判定する
   電子制御装置。
4. 請求項１から請求項３のいずれか一項に記載の電子制御装置であって、
   前記保持信号は複数であり、主保持信号と副保持信号とを含み、
   前記保持部（５６、５７）は、前記始動スイッチがオンされている間、前記アクティブ状態の前記主保持信号及び前記アクティブ状態の前記副保持信号を前記駆動部へ出力し、且つ、少なくとも前記始動スイッチがオフされた後の前記処理期間は、前記主保持信号及び前記副保持信号のうち少なくとも一方を前記アクティブ状態として前記主保持信号及び前記副保持信号を前記駆動部へ出力するように構成され、
   前記判定部は、前記始動スイッチがオンされている間、前記保持信号記憶部から前記保持信号としての前記主保持信号及び前記副保持信号の状態を取得し、取得された前記保持信号としての前記主保持信号の状態及び前記副保持信号の状態に基づいて、前記保持信号としての前記主保持信号が出力される経路において前記非実行故障が生じているか否かを判定し、且つ、前記保持信号としての前記副保持信号が出力される経路において前記非実行故障が生じているか否かを判定するように構成される
   電子制御装置。
5. 請求項４に記載の電子制御装置であって、
   前記保持部（５６、５７）は、前記始動スイッチがオフされた後、前記主保持信号及び前記副保持信号のうちの一方を対象信号とし他方を非対象信号として、前記非アクティブ状態である前記対象信号を前記駆動部に出力し、前記アクティブ状態である前記非対象信号を前記駆動部に出力するように構成され、
   前記保持部によって前記非アクティブ状態である前記対象信号及び前記アクティブ状態である前記非対象信号が出力されている間、前記保持信号記憶部から前記対象信号の状態を取得し、取得された前記対象信号の状態に基づいて、前記対象信号が出力される経路において前記対象信号を前記アクティブ状態に固定する固定故障が生じているか否かを判定する診断部（５５）と、
   を更に備える電子制御装置。
6. 請求項５に記載の電子制御装置であって、
   前記保持部は、前記診断部による判定が完了した後に、前記主保持信号及び前記副保持信号のうちの前記一方を非対象信号とし前記他方を対象信号として、前記非アクティブ状態である前記対象信号を前記駆動部に出力し、前記アクティブ状態である前記非対象信号を前記駆動部に出力するように構成され、
   前記診断部は、前記保持部によって前記非アクティブ状態である前記対象信号及び前記アクティブ状態である前記非対象信号が出力されている間、前記対象信号が出力される経路において前記固定故障が生じているか否かを判定する
   電子制御装置。
7. 請求項５又は請求項６に記載の電子制御装置であって、
   前記診断部は、前記対象信号の状態を繰り返し取得し、前記アクティブ状態である前記対象信号が予め定められた診断回数取得された場合に、前記固定故障が生じていると判定する
   電子制御装置。
8. 請求項５から請求項７のいずれか一項に記載の電子制御装置であって、
   前記診断部は、前記対象信号の状態を繰り返し取得し、前記非アクティブ状態である前記対象信号が予め定められた診断回数取得された場合に、前記固定故障が生じていないと判定する
   電子制御装置。

Images