JP2024000586A - 電子制御装置 - Google Patents

Abstract

【課題】簡単な構成で、容易に不正なアクセスを防止できる電子制御装置を提供する。【解決手段】電子制御装置（１００）は、制御プログラムを格納するメモリに外部からアクセス可能な第１の通信端子（１２ａ）を有する演算器（１０）と、演算器（１０）の状態を監視する演算器監視手段（２０）とを備え、演算器監視手段（２０）による演算器（１０）の監視に基づいて、演算器（１０）と演算器監視手段（２０）のうちの少なくとも一方から第１の制御信号を出力し、第１の制御信号があらかじめ定められた状態のとき、第１の通信端子（１２ａ）に接続された第１の第１の通信回路（１３ａ）の信号の振幅を低下させて第１の通信回路（１３ａ）による通信を停止させる。【選択図】図１

Description

本願は、電子制御装置に関するものである。

一般に、車両に搭載される電子制御装置は、回路基板に実装されたマイコン（Ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ）の内部メモリに書き込まれた制御プログラムに基づき、被制御対象の制御を行う演算器を備えているが、制御の改良、あるいはバージョンアップとして、制御プログラムの書き換えであるリプログラミング（Ｒｅｐｒｏｇｒａｍｍｉｎｇ）が行われることがある。また、車両の動作に不具合が生じた際には、不具合発生時の動作状態に関する情報をマイコンの内部メモリに記録し、外部からその情報を読み出して解析を行う場合がある。

従来、マイコンに対するリプログラミング機能、もしくはマイコンからの情報の読み出し機能を実現するため、電子制御装置には、リプログラミングもしくは情報の読み出しを行なうための通信回路が備えられている。この通信回路は、ワイヤハーネス（Ｗｉｒｅ Ｈａｒｎｅｓｓ）を介し、車両のダイアグノシスコネクタ（Ｄｉａｇｎｏｓｉｓ Ｃｏｎｎｅｃｔｏｒ）に接続される。車両の製造業者、販売業者、整備業者は、車両のダイアグノシスコネクタを利用して、電子制御装置のマイコンの内部メモリにアクセスを行うことができる。

前述のマイコンに対するリプログラミング機能、もしくはマイコンからの情報の読み出し機能は、車両に搭載される電子制御装置だけでなく、航空機搭載の電子制御装置、船舶搭載の電子制御装置、エレベータ、もしくはエスカレータに搭載の電子制御装置、ビル管理システムにおける電子制御装置、事務機器に搭載の電子制御装置、あるいは家庭用電化製品に搭載の電子制御装置、など様々な分野の電子制御装置に応用することが可能である。

車両に取り付けられたダイアグノシスコネクタは、広く知られたものであることから、正規の車両の製造業者、販売業者、整備業者、以外の第三者による不正なアクセスが行われる可能性がある。このような不正なアクセスにより制御プログラムの書き換えが行われると、予期せぬ車両トラブルを招く恐れがある。

また、遠隔操作により車両の制御が奪われる場合も想定でき、財産権の侵害、稼働率の低下（可用性の低下）、個人情報の流失、など、いわゆる、ＳＦＯＰ（Ｓａｆｅｔｙ Ｆｉｎａｎｃｉａｌ Ｏｐｅｒａｔｉｏｎａｌ Ｐｒｉｖａｃｙ）として想定される広範囲な分野における被害のリスクが生じる。また、前述の不正なアクセスにより、制御プログラムがメモリから抽出され、複製されてしまう恐れもある。

従来、不正アクセスを防止するため、セキュリティ性の改良として、通信に際しパスワードによるアクセス制限を課すことが行われている。しかし、車両の高機能化に伴い、不正アクセスが行われた際のリスクが大きくなってきていることから、多重のセキュリティ対策が求められている。

特許文献１には、前述の不正アクセスによるリスクを解決する方法として、対象装置に接続する第１の通信インターフェイスと、操作用外部機器に接続する第２の通信インターフェイスと、処理部と、不揮発性メモリとを備え、対象装置から保護コードを受信すると、処理部は、保護コード受信情報を不揮発性メモリに格納し、不揮発性メモリに保護コード受信情報が保存されていることを条件として、処理部により、第１の通信インターフェイスおよび第２の通信インターフェイスを用いた対象装置と、操作用外部機器と、の間の通信を遮断する技術が開示されている。

また、特許文献２には、秘匿信号が流れる信号線と、その信号線に端子が接続される部品と、を回路基板の部品内蔵層にレイアウトし、回路基板の表面に設けられた観測点に、所定の部品を介して暗号化された秘匿信号のみを出力する構成とし、観測点に現れる信号に対して上記所定の部品により施された暗号を解読することで、外部からの秘匿信号の観測および制御を行うようにした技術が開示されている。

特開２０１６―１３９３３８号公報 特開２００５－１３６３９１号公報

しかしながら、特許文献１には、通信を遮断する具体的な手段もしくは方法について言及されておらず、また、特許文献１に開示された従来の技術は、通信を遮断する条件が外部に接続された対象機器に依存する構成であることから、通信経路は通常時に開放されることとなり、セキュリティとしては不十分であるという課題があった。

また、特許文献２に開示された従来の技術は、回路基板の内部に暗号化を行う部品を内蔵する必要があり、電子制御装置の小型化、軽量化、コスト低減に対する妨げとなるという課題があった。

本願は、上記のような課題を解決するための技術を開示するものであり、簡単な構成で、容易に不正なアクセスを防止することができる電子制御装置を提供することを目的とする。

本願に開示される電子制御装置は、
制御プログラムを格納するメモリに外部からアクセス可能な第１の通信端子と、前記第１の通信端子からアクセス可能な領域とは異なる領域にアクセス可能な第２の通信端子と、を備え、前記制御プログラムに基づいて動作する演算器、
前記第１の通信端子を介して、外部機器と前記演算器との間で信号の伝達を行なう第１の通信回路、
前記第２の通信端子を介して、外部機器と前記演算器との間で信号の伝達を行なう第２の通信回路、
前記演算器が正常か否かを監視する演算器監視手段、
前記第１の通信回路により伝達される前記信号の振幅を低下させることにより、前記第１の通信回路による前記信号の伝達を停止させ得る第１の振幅低下手段、および、
少なくとも、前記演算器と、前記第１の通信回路と、前記第２の通信回路と、を搭載した回路基板、
を備え、
前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、
前記演算器監視手段による前記監視に基づいて第１の制御信号を発生し、前記第１の振幅低下手段に前記第１の制御信号を入力するように構成され、
前記第１の振幅低下手段は、
前記入力された前記第１の制御信号があらかじめ定められた状態にあるとき、前記第１の通信回路により伝達される前記信号の振幅を低下させて前記第１の通信回路による前記信号の伝達を停止させるように構成されている、
ことを特徴とする、
ものである。

本願に開示される電子制御装置によれば、簡単な構成で、容易に不正なアクセスを防止することができる電子制御装置が得られる。

実施の形態１による電子制御装置の全体構成を示す機能ブロック図である。 実施の形態１による電子制御装置における、第１の通信回路の構成を示す説明図である。 実施の形態１による電子制御装置における、第２の通信回路の構成を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の概略構成を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の変形例の概略構成を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の別の変形例の概略構成を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成、および第１の振幅低下手段と第１の通信回路との接続を示す説明図である。 実施の形態１による電子制御装置における、論理結合回路を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成の変形例を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成の別の変形例を示す説明図である。 実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成のさらに別の変形例を示す説明図である。 実施の形態２による電子制御装置における、第１の振幅低下手段の回路構成、および第１の振幅低下手段と第１の通信回路との接続を示す説明図である。 実施の形態３による電子制御装置の全体構成を示す機能ブロック図である。 実施の形態４による電子制御装置の全体構成を示す機能ブロック図である。 実施の形態４による電子制御装置における、計数カウンタの構成を示す説明図である。 図１１Ａに示す係数カウンタの動作を示す説明図である。 実施の形態５による電子制御装置の全体構成を示す機能ブロック図である。 実施の形態５による電子制御装置における、通信端子無効化手段の構成を示す説明図である。 実施の形態５による電子制御装置における、演算器の第１の通信端子の内部構成を示す説明図である。 実施の形態１による電子制御装置の動作を示す説明図である。 実施の形態２による電子制御装置における、第１の開閉器としてのアナログスイッチの動作を示す説明図である。 実施の形態２による電子制御装置の動作を示す説明図である。

実施の形態１．
以下、実施の形態１による電子制御装置について、図を参照して説明する。図１は、実施の形態１による電子制御装置の全体構成を示す機能ブロック図である。図１に示す実施の形態１による電子制御装置は、外部機器との通信機能を備えている。図１において、電子制御装置１００は、回路基板９０を主体として構成されている。回路基板９０には、メモリ１１を有する演算器１０と、演算器監視手段２０と、第１の通信回路１３ａと、第２の通信回路１３ｂと、第１の開閉器３１ａを有する第１の振幅低下手段３０ａと、が実装されている。

演算器１０は、例えばマイコン、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、などのような、任意のプログラムに基づいて演算処理を行うように構成されている。上記プログラムは、一般的には演算器１０の内部に設け有れたメモリ１１に書き込まれているが、プログラムの規模が大きく大容量のメモリが必要な場合などでは、演算器１０の外部に設けられたメモリに書き込まれることもある。

第１の通信回路１３ａは、たとえばＪＴＡＧ（Ｊｏｉｎｔ Ｔｅｓｔ Ａｃｔｉｏｎ Ｇｒｏｕｐ）通信を行うＪＴＡＧインターフェイスであり、電子制御装置１００の外部からパルス信号である信号により、演算器１０に設けられた第１の通信端子１２ａを介して、メモリ１１を含むプログラム領域に対して、もしくは演算器１０の外部にメモリを備えた場合にはそのメモリに対して、アクセスが可能に構成されている。

図２は、実施の形態１による電子制御装置における、第１の通信回路の構成を示す説明図である。図２において、第１の通信回路１３ａは、バッファ１３ａ１と抵抗１３ａ２との直列接続体により構成されている。なお、図２では、バッファ１３ａ１を用いた構成としているが、電圧変換が必要な場合には、バッファ１３ａ1に代えてレベルシフタ（Ｌｅｖｅｌ Ｓｈｉｆｔｅｒ）を用いてもよい。このことは、後述の実施の形態２から実施の形態５においても同様である。

図１において、第２の通信回路１３ｂは、あらかじめ定められたプログラムに基づき、電子制御装置１００の外部機器とパルス信号により通信を行い、演算器１０に設けられた第２の通信端子１２ｂを介して、第１の通信回路１３ａがアクセスする演算器１０の領域とは異なる領域に、アクセスする際のインターフェイスである。

図３は、実施の形態１による電子制御装置における、第２の通信回路の構成を示す説明図である。図３において、第２の通信回路１３ｂは、汎用のＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）通信用ＩＣとしてのＣＡＮトランシーバ（ＣＡＮ Ｔｒａｎｓｃｅｉｖｅｒ）１３ｂ１と、その周辺回路１３ｂ２と、で構成されたいわゆるＣＡＮインターフェイスである。ＣＡＮ通信、ＣＡＮインターフェイス、については広く知られたものであることからその説明は省略する。ＣＡＮトランシーバ１３ｂ１は、バス入出力端子ＣＡＮＨと、ＣＡＮＬと、送信データ入力端子Ｔｘと、受信データ入出力端子Ｒｘとを有する。

なお、第２の通信回路１３ｂは、通信方式、およびそのインターフェイスをＣＡＮに限定されるものではなく、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、ＳＥＮＴ（Ｓｉｎｇｌｅ Ｅｄｇｅ Ｎｉｂｂｌｅ Ｔｒａｎｓｍｉｓｓｉｏｎ）、などの他の方式であってもよい。このことは、後述の実施の形態２から実施の形態５においても同様である。

以上のことから、第２の通信回路１３ｂを介したアクセスは、あらかじめ定められたプログラムに基づくものであることから、アクセス範囲を任意に設定可能であるが、第１の通信回路１３ａを介したアクセス範囲は、演算器１０の有する機能に依存するため、不正アクセスが行われた際のリスクも大きくなることがあり得るので、第１の通信回路１３ａに基づく通信に対してはセキュリティ面での対策が求められることとなる。

図１において、演算器監視手段２０は、演算器１０が正常か否か、特に、演算器１０が外部から不正なアクセスを受けている正常ではない状態であるか否か、を検出するものである。例えば、相応するコード表を演算器１０、演算器監視手段２０の双方に保有しておき、演算器１０から無作為のコードを演算器監視手段２０に送信を行い、無作為のコードを受信した演算器監視手段２０は、相応したコードを演算器１０に返信する。この返信されたコードが正常であるか否かにより、演算器１０が正常であるか否か判定を行うことが可能である。

なお、演算器１０が外部から不正なアクセスを受けているか否かの検出の仕方は、演算器監視手段２０がコードを送信し、演算器１０から返信されるまでの時間に制限を設け、制限時間内に返信がない場合は、不正アクセスを受けている最中であると判定する、などの他の方法であってもよい。このことは後述の実施の形態２から実施の形態５においても同様である。

演算器１０と、演算器監視手段２０と、のうちの少なくとも一方は、第１の制御信号Ｓ１ａを出力し、第１の振幅低下手段３０ａに入力する。第１の制御信号Ｓ１ａは、演算器１０が正常であれば、ローレベル（以下、Ｌレベルと称する）となり、演算器１０が異常もしくは不正アクセスを受けているなどで正常ではないと判定すれば、あらかじめ定められた出力状態としての、ハイレベル（以下、Ｈレベルと称する）又は無信号となる。

第１の振幅低下手段３０ａは、演算器１０又は演算器監視手段２０から出力される第１の制御信号Ｓ１ａが、あらかじめ定められた出力状態としてのＨレベル又は無信号のとき、第１の通信回路１３ａの内部の信号の振幅を低下させて、第１の通信回路１３ａによる通信を遮断する。

第１の振幅低下手段３０ａは、例えば、図４Ａ、又は図４Ｂ、又は図４Ｃ、に示すように構成されている。すなわち、図４Ａは、実施の形態１による電子制御装置における、第１の振幅低下手段の概略構成を示す説明図、図４Ｂは、実施の形態１による電子制御装置における、第１の振幅低下手段の変形例の概略構成を示す説明図、図４Ｃは、実施の形態１による電子制御装置における、第１の振幅低下手段の別の変形例の概略構成を示す説明図である。

図４Ａにおいて、第１の通信回路１３ａに接続された第１の振幅低下手段３０ａは、抵抗５２と、第１の通信回路１３ａのノードからＧＮＤノードに至る第１の通電経路の導通および遮断を行う第１の開閉器３１ａと、の直列接続体により構成されている。図４Ｂに示す第１の振幅低下手段３０ａの変形例では、ダイオード５７と、第１の通信回路１３ａのノードからＧＮＤノードに至る第１の通電経路の導通および遮断を行う第１の開閉器３１ａと、の直列接続体により構成されている。図４Ｃに示す第１の振幅低下手段３０ａの別の変形例では、回路基板に配線されたパターン５７１と、第１の通信回路１３ａのノードからＧＮＤノードに至る第１の通電経路の導通および遮断を行う第１の開閉器３１ａと、の直列接続体により構成されている。

図４Ａと図４Ｂと図４Ｃにそれぞれ示す第１の振幅低下手段３０ａのうちの何れを用いるかは、第１の開閉器３１ａの内部の回路の構成、第１の通信回路１３ａの内部回路の構成、などに合わせて選択可能である。

なお、図４Ａと図４Ｂと図４Ｃにそれぞれ示す第１の振幅低下手段３０ａの何れの場合も、ジャンパ（Ｊｕｍｐｅｒ）を追加した構成としてもよい。このことは後述の実施の形態２から実施の形態５においても同様である。

また、図４Ａ、図４Ｂ、図４Ｃでは、第１の開閉器３１ａが閉じるもしくは導通することにより、第１の通信回路１３ａのノードをＧＮＤノードに接続するよう構成しているが、第１の通信回路１３ａの内部の信号の振幅を低下させるものであれば、第１の通信回路１３ａのノードを、他の電位を有するノードもしくは交流電源、に接続するよう構成してもよい。このことは後述の実施の形態３から実施の形態５においても同様である。

第１の開閉器３１ａは、外部から印加される電気信号に基づいて第１の通電経路の導通および遮断を切り替えるものであり、トランジスタ、電界効果型トランジスタ（ＦＥＴ：Ｆｉｅｌｄ Ｅｆｆｅｃｔ Ｔｒａｎｓｉｓｔｏｒ）といった半導体素子、あるいは半導体素子を組み合わせた開閉回路、もしくはリレーのような機械式開閉器であってもよい。このことは後述の実施の形態２から実施の形態５においても同様である。

図５は、実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成、および第１の振幅低下手段と第１の通信回路との接続を示す説明図である。なお、第１の通信回路１３ａは、説明のため簡略化し、抵抗５１のみとして表現しており、電子制御装置１００の外部から入力された第１の通信回路１３ａによる通信の信号を、第１の通信端子１２ａに伝達するだけの構成としている。

図５において、第１の通信回路１３ａは、電子制御装置１００の外部に存在する外部機器から抵抗５１を介し、演算器１０の第１の通信端子１２ａに接続するよう構成されている。第１の振幅低下手段３０ａは、抵抗５２、ＧＮＤノード、第１の開閉器３１ａにより構成されている。第１の通信回路１３ａを構成する抵抗５１における第１の通信端子１２ａ側の端部は、第１の振幅低下手段３０ａを構成する抵抗５２の一端にも接続されている。抵抗５２の他端は、第１の振幅低下手段３０ａの内部に配置された第１の開閉器３１ａを介して、ＧＮＤノードに接続されている。

第１の開閉器３１ａは、電源ノードＶｃｃと、抵抗５３と、抵抗５４と、ＮＰＮ型トランジスタ５５と、により構成されている。電源ノードＶｃｃは、抵抗５３の一端に接続されている。抵抗５３の他端は、抵抗５４を介しＮＰＮ型トランジスタ５５のベース端子に接続されるとともに、演算器監視手段２０にも接続されており、演算器１０と演算器監視手段２０とのうちの少なくとも一方が出力する第１の制御信号Ｓ１ａが、第１の開閉器３１ａに入力されるよう構成されている。

ＮＰＮ型トランジスタ５５のコレクタ端子は、第１の振幅低下手段３０ａを構成する抵抗５２に接続されており、ＮＰＮ型トランジスタ５５のエミッタ端子は、第１の振幅低下手段３０ａのＧＮＤノードに接続されている。

つぎに、第１の振幅低下手段３０ａの動作について説明する。第１の制御信号Ｓ１ａがＨレベルのときは、抵抗５４を介し、ＮＰＮ型トランジスタ５５にベース電流が供給され、ＮＰＮ型トランジスタ５５は導通する。これにより、第１の通信回路１３ａを構成する抵抗５１から、抵抗５２を介し、ＧＮＤノードに至る第１の通電経路が導通することとなる。

ＮＰＮ型トランジスタ５５が導通することにより、電子制御装置１００の外部から入力された信号は、第１の通信回路１３ａを構成する抵抗５１と、第１の振幅低下手段３０ａを構成する抵抗５２とにより分圧され、その振幅を低下させた上で演算器１０の第１の通信端子１２ａに伝達されることとなる。このとき、抵抗５１の抵抗値をＲ５１、抵抗５２の抵抗値をＲ５２、とおけば、電子制御装置１００の外部から入力された信号の振幅低下率Ａは、下記の式（１）で表される。
Ａ＝Ｒ５１／（Ｒ５１＋Ｒ５２）・・・・・式（１）
ここで、振幅低下率Ａを、演算器１０が認識不能となるように大きく設定することにより、第１の通信回路１３ａによる通信を停止させることができる。

なお、抵抗５１の許容電力、およびＮＰＮ型トランジスタ５５の許容電流、に十分余裕がある場合は、抵抗５２をジャンパもしくは配線パターンに置き換え、［振幅低下率Ａ＝１００％］とし、第１の通信端子１２ａの電位をＧＮＤ電位に固定するようにしてもよい。このことは後述の実施の形態３から実施の形態５においても同様である。

一方、第１の制御信号Ｓ１ａがＬレベルのときは、第１の開閉器３１ａを構成するＮＰＮ型トランジスタ５５にベース電流が供給されず、ＮＰＮ型トランジスタ５５は非導通となり、抵抗５１から、抵抗５２を介し、ＧＮＤノードに至る第１の通電経路が遮断されることとなる。つまり、電子制御装置１００の外部に存在する外部機器から入力された信号は、その振幅を低下させることなく、第１の通信端子１２ａに伝達されて第１の通信回路１３ａによる通信を行うことができる。

第１の制御信号Ｓ１ａが無信号であるときは、電源ノードＶｃｃから抵抗５３、抵抗５４を介し、ＮＰＮ型トランジスタ５５にベース電流が供給され、ＮＰＮ型トランジスタ５５が導通し、第１の制御信号Ｓ１ａがＨレベルのときと同じ動作を行い、第１の通信回路１３ａによる通信を停止することができる。

図１５は、実施の形態１による電子制御装置の動作を示す説明図であって、第１の開閉器３１ａおよび第１の振幅低下手段３０ａの動作と、第１の通信回路１３ａによる通信との関係を示している。図１５に示すように、第１の制御信号Ｓ１ａがＨレベルのときは、第１の開閉器３１ａが導通して第１の振幅低下手段３０ａが動作し、第１の通信回路１３ａによる通信は停止する。

一方、第１の制御信号Ｓ１ａがＬレベルのときは、第１の開閉器３１ａが非導通となって前述の第１の通電経路が遮断され、第１の振幅低下手段３０ａが非動作となり、第１の通信回路１３ａによる通信が可能となる。また、第１の制御信号Ｓ１ａが無信号のときは、第１の開閉器３１ａが導通して第１の振幅低下手段３０ａが動作し、第１の通信回路１３ａによる通信は停止する。

このように、演算器１０と演算器監視手段２０とのうちの少なくとも一方、から出力される第１の制御信号Ｓ１ａにより、通信を可能にし又は停止させる、ように第１の通信回路１３ａによる通信を制御することが可能となっている。また、演算器監視手段２０の故障、演算器監視手段２０と第１の振幅低下手段３０ａとを接続する配線の断線、などの不具合が生じた場合の異常時にも、第１の制御信号Ｓ１ａが無信号となることで、第１の通信回路１３ａによる通信を停止させることができる。

図６は、実施の形態１による電子制御装置における、論理結合回路を示す説明図である。図１においては、演算器１０と演算器監視手段２０とのうちの少なくとも一方から、第１の制御信号Ｓ１ａを出力する構成としているが、図６に示すように、演算器１０から制御信号１０ａを出力するとともに演算器監視手段２０から制御信号２０ａを出力し、論理結合回路ＯＲにより制御信号１０ａ、２０ａの論理和をとり、その論理和を第１の制御信号Ｓ１ａとする、などにより第１の振幅低下手段３０ａの動作条件を任意に設定することが可能である。

また、図５においては、抵抗５３の一端を電源ノードＶｃｃに接続し、第１の制御信号Ｓ１ａが無信号であった際に、ＮＰＮ型トランジスタ５５のベース電流を電源ノードＶｃｃから供給するように構成しているが、第１の通信回路１３ａの内部でその振幅を低下できる構成であれば、外部機器から入力される通信信号からベース電流を供給するようにしてもよい。このことは後述の実施の形態３から実施の形態５においても同様である。

さらに、図５では、第１の振幅低下手段３０ａは、第１の開閉器３１ａにおけるＮＰＮ型トランジスタ５５に常時ベース電流を供給して、ＧＮＤノードへの第１の通電経路が常閉となるように構成されているが、第１の振幅低下手段３０ａおよび第１の開閉器３１ａは、この構成に限定されるものではなく、以下述べるように様々な形態での構成が可能である。

図７Ａは、実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成の変形例を示す説明図である。図７Ａにおいて、第１の振幅低下手段３０ａは、第１の開閉器３１ａ、ＧＮＤノードにより構成されている。第１の開閉器３１ａは、常閉型リレー５６と電源ノードＶｃｃにより構成されている。第１の通信回路１３ａを構成する抵抗５１の第１の通信端子１２ａ側は、第１の開閉器３１ａを構成する常閉型リレー５６の接点５６１を介して、ＧＮＤノードに接続されている。常閉型リレー５６のコイル５６２の一端は、電源ノードＶｃｃに接続されている。コイル５６２の他端には、第１の制御信号Ｓ１ａが入力される。

図７Ａに示す第１の振幅低下手段３０ａによれば、第１の制御信号Ｓ１ａがＬレベルのとき以外は、第１の通信回路１３ａを構成する抵抗５１の第１の通信端子１２ａ側は、ＧＮＤノードに接続されることとなり、前述の図５に示す第１の振幅低下手段３０ａおよび第１の開閉器３１ａと同様に、図１５に示す動作を行うことができる。

図７Ｂは、実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成の別の変形例を示す説明図である。図７Ｂにおいて、第１の振幅低下手段３０ａは、第１の開閉器３１ａ、ＧＮＤノード、抵抗５８により構成されている。第１の開閉器３１ａは、電源ノードＶｃｃ、ダイオード５７、抵抗５９、ＰＮＰ型トランジスタ６０により構成されている。第１の通信回路１３ａを構成する抵抗５１の第１の通信端子１２ａ側は、第１の開閉器３１ａを構成するダイオード５７のアノード側に接続されている。ダイオード５７のカソード側は、抵抗５８を介し、ＧＮＤノードに接続されている。

ＰＮＰ型トランジスタ６０のエミッタ端子は、電源ノードＶｃｃに接続され、コレクタ端子は、ダイオード５７と抵抗５８との接続点に接続されている。ＰＮＰ型トランジスタ６０のベース端子には、抵抗５９を介して第１の制御信号Ｓ１ａが入力される。

図７Ｂに示す第１の振幅低下手段３０ａによれば、第１の制御信号Ｓ１ａがＬレベルのとき以外は、第１の開閉器３１ａを構成するＰＮＰ型トランジスタ６０が非導通となり、第１の通信回路１３ａを構成する抵抗５１から、ダイオード５７と抵抗５８を介し、ＧＮＤノードに流れる第１の通電経路が導通することとなる。

一方、第１の制御信号Ｓ１ａがＬレベルのときは、第１の開閉器３１ａを構成するＰＮＰ型トランジスタ６０が導通し、電源ノードＶｃｃの電源電圧を通信波形のＨレベルより高く設定しておくことで、第１の通信回路１３ａを構成する抵抗５１から、ダイオード５７と抵抗５８を介して、ＧＮＤノードに流れる第１の通電経路が遮断されることとなる。

したがって、図７Ｂに示す第１の振幅低下手段３０ａによれば、図５に示す第１の振幅低下手段３０ａと同様に、図１５に示す動作を行うことができる。

図７Ｃは、実施の形態１による電子制御装置における、第１の振幅低下手段の回路構成のさらに別の変形例を示す説明図である。図７Ｃにおいて、第１の振幅低下手段３０ａは、第１の開閉器３１ａにより構成されている。第１の開閉器３１ａは、ダイオード６１、バッファ６２、抵抗６３により構成されている。

なお、バッファ６２は、入力信号のレベルがＨレベルのときは、Ｈレベルの信号を出力し、入力信号がＬレベルのときは、Ｌレベルの信号を出力する。出力するＨレベルの信号の電圧値、及びＬレベルの信号の電圧値は、バッファ６２の電源電圧の値に依存する。

第１の通信回路１３ａを構成する抵抗５１の第１の通信端子１２ａ側は、第１の開閉器３１ａにおけるダイオード６１のカソード側に接続されている。ダイオード６１のアノード側は、バッファ６２の出力端子に接続されている。バッファ６２の入力端子は、抵抗６３を介して電源ノードＶｃｃに接続されている。また、バッファ６２の入力端子には、第１の制御信号Ｓ１ａが入力される。

図７Ｃに示す第１の振幅低下手段３０ａによれば、第１の制御信号Ｓ１ａがＬレベルのとき以外は、第１の開閉器３１ａを構成するバッファ６２の出力がＨレベルとなり、バッファ６２の出力端子からダイオード６１を介して第１の通信回路１３ａを構成する抵抗５１に至る第１の通電経路が導通することとなる。

一方、第１の制御信号Ｓ１ａがＬレベルのときは、第１の開閉器３１ａを構成するバッファ６２の出力がＬレベルとなるものの、ダイオード６１の整流作用により、バッファ６２の出力端子からダイオード６１を介して第１の通信回路１３ａを構成する抵抗５１に至る第１の通電経路が遮断される。

したがって、第１の振幅低下手段３０ａによれば、図５に示す第１の振幅低下手段３０ａと同様に、図１５に示す動作を行うことができる。

このように、第１の振幅低下手段３０ａおよび第１の開閉器３１ａは、様々な形態で実現が可能である。このことは、後述の実施の形態３から実施の形態５においても同様である。

以上述べたように、実施の形態１による電子制御装置によれば、簡単な構成で、容易に、不正なアクセスを防止することができる。

実施の形態２．
つぎに、実施の形態２による電子制御装置について説明する。前述の実施の形態１では、第１の制御信号Ｓ１ａにより常閉型の第１の開閉器３１ａを導通させ、第１の通信回路１３ａの内部のノードをあらかじめ定められた電位を有するノードに接続するか又は第１の通電経路を遮断することにより、第１の通信回路１３ａの内部の信号伝達経路のインピーダンスを上昇させて、第１の通信回路１３ａの内部の信号の振幅を低下させるよう構成していたが、実施の形態２では、第１の制御信号Ｓ１ａにより制御される常開型の第１の開閉器３１ａにより、第１の通信回路１３ａの内部経路のインピーダンスを上昇させることで、第１の通信回路１３ａの内部の信号の振幅を低下させるよう構成したものである。

図８は、実施の形態２による電子制御装置における、第１の振幅低下手段の回路構成、および第１の振幅低下手段と第１の通信回路との接続を示す説明図である。実施の形態２による電子制御装置の全体構成は、図１に示す実施の形態１による電子制御装置の全体構成と同一である。

図８において、第１の通信回路１３ａは、電子制御装置１００の外部から抵抗５１と第１の振幅低下手段３０ａとの直列接続体を介して、演算器１０の第１の通信端子１２ａに接続されるように構成されている。第１の振幅低下手段３０ａは、抵抗６４、ＧＮＤノード、第１の開閉器３１ａにより構成されている。

なお、図８では、第１の開閉器３１ａは、制御端子ＣＯＮＴに入力される信号に応じて、入出力端子Ｉ／Ｏと入出力端子Ｏ／Ｉとの間の経路を導通又は遮断する、いわゆるアナログスイッチにより構成されており、図１６に示す動作を行なう。すなわち、図１６は、実施の形態２による電子制御装置における、第１の開閉器としてのアナログスイッチの動作を示す説明図である。

図１６において、制御端子ＣＯＮＴがＨレベルのときは、入出力端子Ｉ／Ｏと入出力端子Ｏ／Ｉの間は導通し、制御端子ＣＯＮＴがＬレベルのときは、入出力端子Ｉ／Ｏと入出力端子Ｏ／Ｉの間は遮断される。

なお、第１の開閉器３１ａは、図１６に示す動作もしくはそれと同様の動作となるように、機械式リレー又は半導体リレーで構成してもよい。このことは後述の実施の形態３から実施の形態５においても同様である。

図８において、第１の開閉器３１ａを構成するアナログスイッチの制御端子ＣＯＮＴは、抵抗６４を介してＧＮＤノードに接続されるとともに、演算器監視手段２０にも接続されており、演算器監視手段２０が出力する第１の制御信号Ｓ１ａが第１の開閉器３１ａに入力される。

第１の制御信号Ｓ１ａがＨレベルのときは、第１の開閉器３１ａを構成するアナログスイッチの制御端子ＣＯＮＴはＨレベルとなり、入出力端子Ｉ／Ｏと入出力端子Ｏ／Ｉとの間が導通し、電子制御装置１００の外部に存在する外部機器から入力された信号は、その振幅を低下させることなく、第１の通信端子１２ａに伝達され、通信を行うことができる。

一方、第１の制御信号Ｓ１ａがＬレベルのときは、第１の開閉器３１ａを構成するアナログスイッチの制御端子ＣＯＮＴはＬレベルとなり、入出力端子Ｉ／Ｏと入出力端子Ｏ／Ｉとの間が遮断され、電子制御装置１００の外部に存在する外部機器から入力された信号は、第１の通信端子１２ａに伝達されず、その振幅はゼロとなり、第１の通信回路１３ａによる通信を停止させることができる。

また、第１の制御信号Ｓ１ａが無信号のときは、抵抗６４により、第１の開閉器３１ａを構成するアナログスイッチの制御端子ＣＯＮＴはＬレベルとなり、第１の制御信号Ｓ１ａがＬレベルのときと同じ動作となり、通信を停止することができる。図１６は、実施の形態２による電子制御装置における、第１の開閉器としてのアナログスイッチの動作を示す説明図であって、前述の動作を示している。

図１７は、実施の形態２による電子制御装置の動作を示す説明図である。図１７に示すように、第１の制御信号Ｓ１ａがＨレベルのときは、第１の開閉器３１ａが導通し、第１の振幅低下手段３０ａは非動作となり、第１の通信回路１３ａによる通信は可能となる。一方、第１の制御信号Ｓ１ａがＬレベルのときは、第１の開閉器３１ａが遮断され、第１の振幅低下手段３０ａが動作し、第１の通信回路１３ａによる通信が停止される。また、第１の制御信号Ｓ１ａが無信号のときは、第１の開閉器３１ａが遮断され、第１の振幅低下手段３０ａが動作し、第１の通信回路１３ａによる通信は停止する。

このように、演算器１０と演算器監視手段２０とのうちの少なくとも一方、から出力される第１の制御信号Ｓ１ａにより、通信を可能又は停止するように第１の通信回路１３ａによる通信を制御することが可能となっている。また、演算器監視手段２０の故障、演算器監視手段２０と第１の振幅低下手段３０ａとを接続する配線の断線、などの不具合が生じた場合の異常時にも、第１の制御信号Ｓ１ａが無信号となることで、第１の通信回路１３ａによる通信を停止させることができる。

以上のように、実施の形態２による電子制御装置によれば、簡単な回路で、且つ容易に、不正なアクセスを防止することができる。

実施の形態３．
つぎに、実施の形態３による電子制御装置について説明する。前述の実施の形態１による電子制御装置では、第１の通信回路１３ａの内部の信号の振幅を低下させる第１の振幅低下手段３０ａを備える構成としていたが、実施の形態３による電子制御装置では、第１の振幅低下手段の他に、さらに第２の通信回路１３ｂの内部の信号の振幅を低下させる第２の振幅低下手段３０ｂを備える構成としたものである。

図９は、実施の形態３による電子制御装置の全体構成を示す機能ブロック図である。図９において、図１と同一符号は、同一又は相当部分を示し、以下の説明では、実施の形態１との相違点を中心に説明する。

図９において、第２の振幅低下手段３０ｂは、実施の形態１および実施の形態２に示す第１の振幅低下手段３０ａと同一構成である。また、第２の開閉器３１ｂは、実施の形態１および実施の形態２に示す第１の開閉器３１ａと同一の構成となっている。第２の振幅低下手段３０ｂは、演算器１０又は演算器監視手段２０から出力される第２の制御信号Ｓ１ｂに基づき、第２の通信回路１３ｂの内部の信号の振幅を低下させるものである。

演算器１０と演算器監視手段２０とのうちの少なくとも一方は、演算器監視手段２０による演算器１０の監視結果に基づき第２の制御信号Ｓ１ｂを出力して、第２の振幅低下手段３０ｂに入力する。第２の振幅低下手段３０ｂは、第２の制御信号Ｓ１ｂがあらかじめ定められた状態にあるとき、第２の通信回路１３ｂの内部の信号の振幅を低下させるものであって、第２の通信回路１３ｂによる通信の可否の制御を行うことが可能となっている。

したがって、実施の形態３による電子制御装置１００は、第１の通信回路１３ａ、第２の通信回路１３ｂ、のそれぞれに対し、任意に通信を停止させることができる構成となっている。

以上のように、実施の形態３による電子制御装置によれば、簡単な回路で、且つ容易に、不正なアクセスを防止することができる。

実施の形態４．
つぎに、実施の形態４による電子制御装置について説明する。図１０は、実施の形態４による電子制御装置の全体構成を示す機能ブロック図である。図１０において、図９と同一符号は同一又は相当部分を示す。前述の実施の形態３による電子制御装置では、第１の通信回路１３ａ、第２の通信回路１３ｂ、のそれぞれに内部の信号の振幅を低下させる第１の振幅低下手段３０ａ、および第２の振幅低下手段３０ｂを備える構成としたが、実施の形態４による電子制御装置では、さらに演算器監視手段２０が検出した演算器１０の異常、すなわち演算器１０に対する外部からの不正なアクセス、の回数を計数する、計数カウンタ８０を備える構成としている。その他の構成は、実施の形態３の構成と同一である。

図１０において、計数カウンタ８０は、入力端子および出力端子を備え、演算器監視手段２０との信号のやり取りを行うように構成されている。図１１Ａは、実施の形態４による電子制御装置における、計数カウンタの構成を示す説明図である。

図１１Ａにおいて、計数カウンタ８０は、演算器監視手段２０からのパルス信号がＣＰ端子に入力される第１のＤフリップフロップ８０１と、第１のＤフリップフロップ８０１のＱ端子がＣＰ端子に接続された第２のＤフリップフロップ８０２と、第２のＤフリップフロップ８０２の反転Ｑ端子がＣＰ端子に入力された第３のＤフリップフロップ８０３と、により構成されている。

また、第１のＤフリップフロップ８０１と、第２のＤフリップフロップ８０２と、第３のＤフリップフロップ８０３の反転Ｑ端子は、それぞれ自身のＤ端子に接続されている。第１のＤフリップフロップ８０１のＣＰ端子は、計数カウンタ８０の入力端子を構成し、第３のＤフリップフロップ８０３のＱ端子は、計数カウンタ８０の出力端子を構成する。

図１１Ｂは、図１１Ａに示す計数カウンタの動作を示す説明図であって、Ａは入力信号、Ｂは出力信号、横軸は時刻ｔ、をそれぞれ示している。図１１Ａ、図１１Ｂにおいて、計数カウンタ８０の入力端子には、演算器監視手段２０から、Ａに示す入力信号Ｐ１、Ｐ２、Ｐ３、Ｐ４が入力されると、入力信号Ｐ１から４個目の入力信号Ｐ４の立ち上がりエッジに同期して、第３のＤフリップフロップ８０２のＱ端子である出力端子から、出力信号Ｑ１が立ち上がり、この出力信号Ｑ１が計数カウンタ８０の出力となる。

なお、図１１Ａでは、Ｄフリップフロップを用いたパルスカウンタにより計数カウンタ８０を構成しているが、他の構成であってもよい。

図１０において、演算器監視手段２０が、演算器１０に対する外部からの不正アクセスを検出したとき、演算器監視手段２０から計数カウンタ８０に対し、図１１ＢのＡに示すように、不正アクセスが行なわれる毎に、Ｈレベルのパルス状の入力信号Ｐ１、Ｐ２、Ｐ３、Ｐ４を順次入力する。計数カウンタ８０は、演算器監視手段２０から４回目の入力信号Ｐ４が入力されたとき、つまり４回目の不正アクセスが行われたとき、計数カウンタ８０の出力がＬレベルからＨレベルの出力信号Ｑ１を発生する。

演算器監視手段２０は、計数カウンタ８０から出力されたＨレベルの出力信号Ｑ１を受け、第２の振幅低下手段３０ｂに対し、通信の信号の振幅を低下させるように第２の制御信号Ｓ１ｂを出力する。第２の制御信号Ｓ１ｂが入力された第２の振幅低下手段３０ｂは、第２の制御信号Ｓ１ｂに基づき、第２の通信回路１３ｂの内部の信号の振幅を低下させる動作を行い、第２の通信回路１３ｂを介した通信を停止させる。

また、演算器監視手段２０は、計数カウンタ８０から出力されたＨレベルの出力信号Ｑ１を受け、第１の振幅低下手段３０ａに対し、通信信号の振幅を低下させるように第１の制御信号Ｓ１ａを出力する。第１の制御信号Ｓ１ａが入力された第１の振幅低下手段３０ａは、第１の制御信号Ｓ１ａに基づき、第１の通信回路１３ａの内部の信号の振幅を低下させる動作を行い、第１の通信回路１３ａを介した通信を停止させる。

さらに、通信を停止させる時間は任意に設定することが可能であり、演算器監視手段２０にタイマを設けてもよいし、計数カウンタ８０にリセット機能を持たせ、あらかじめ定められた時間が経過したのちに計数カウンタ８０をリセットさせるよう構成してもよい。これらのことは後述の実施の形態５においても同様である。

また、演算器１０は、計数カウンタ８０による演算器の異常を検出した累積回数があらかじめ定められた回数を超過したとき、演算器監視手段２０による演算器１０の異常検出の有無に関わらず、第１の振幅低下手段３０ａによる第１の通信回路１３ａの内部の信号の振幅を低下させる振幅低下動作を停止させるとともに、第２の振幅低下手段３０ｂによる第２の通信回路１３ｂの内部の信号の振幅を低下させる振幅低下動作を停止させるように構成されている。

一方、演算器監視手段２０が、演算器１０に対する外部からの不正アクセスを検出していない場合は、第２の通信回路１３ｂを介した通信が可能である。また、外部機器から第２の通信回路１３ｂを介して、第１の通信端子１２ａによる通信を許可する正規の通信許可信号を受信したとき、第１の振幅低下手段３０ａによる第１の通信回路１３ａの内部の信号の振幅を低下させる振幅低下動作、を停止するように構成されており、これにより第１の通信端子１２ａを介した第１の通信回路１３ａによる通信が可能となる。

なお、図１０においては、計数カウンタ８０を単独で構成するようにしているが、計数カウンタ８０を演算器監視手段２０、第１の振幅低下手段３０ａ、などの他の構成要素と統合してもよい。また、図１１Ａ、図１１Ｂでは、４回目の不正アクセスにより、計数カウンタ８０の出力がＬレベルからＨレベルとなるよう構成しているが、出力レベルが切り替わる不正アクセスの回数は４回に限るものではなく、任意に設定可能であることは勿論である。次に述べる実施の形態５においても同様である。

以上のように、実施の形態４による電子制御装置によれば、簡単な回路で、且つ容易に、不正なアクセスを防止することができ、不正なアクセスが繰り返し行われた際は、複数の通信回路による通信を停止し、正規の通信許可信号を受信した際は、それらの通信回路によるアクセスを可能とすることができる。

実施の形態５．
つぎに、実施の形態５による電子制御装置について説明する。前述の実施の形態４による電子制御装置では、計数カウンタ８０を備え、演算器監視手段２０が検出した演算器１０に対する外部からの不正なアクセスの回数を計数カウンタ８０により計数し、不正アクセスがあらかじめ定められた回数となったときに、第１の通信回路１３ａを介した通信、および第２の通信回路１３ｂを介した通信、を停止するよう構成としたが、実施の形態５による電子制御装置では、さらに通信端子無効化手段８１を備える構成としたものである。

図１２は、実施の形態５による電子制御装置の全体構成を示す機能ブロック図である。図１２において、図１０と同一符号は、同一又は相当部分を示す。以下の説明では、実施の形態４と異なる点を主体に説明する。図１２において、通信端子無効化手段８１は、計数カウンタ８０から出力される信号を受け、第１の通信端子１２ａに過電圧を印加するように構成されている。ここで、過電圧とは、第１の通信端子１２ａの絶対最大定格範囲外の電圧のことである。

図１３は、実施の形態５による電子制御装置における、通信端子無効化手段の構成を示す説明図である。図１３において、通信端子無効化手段８１は、電源ノードＶＢ、ＧＮＤノード、抵抗６８、ＮＰＮ型トランジスタ６５、抵抗６６、ＰＮＰ型トランジスタ６７により構成されている。電源ノードＶＢは、第１の通信端子１２ａの絶対最大定格範囲外の高電圧を供給する。

ＰＮＰ型トランジスタ６７のエミッタ端子は、電源ノードＶＢに接続され、ベース端子は、抵抗６６を介して、ＮＰＮ型トランジスタ６５のコレクタ端子に接続されている。ＰＮＰ型トランジスタ６７のコレクタ端子は、第１の通信端子１２ａに接続されている。ＮＰＮ型トランジスタ６５のエミッタ端子は、ＧＮＤノードに接続され、ベース端子は、抵抗６８の一端に接続されている。抵抗６８の他端は、計数カウンタ８０から出力された信号が入力されるように構成されている。

ここで、計数カウンタ８０が、前述の実施の形態４と同様に不正アクセスをあらかじめ定められた回数だけ検出し、その出力がＬレベルからＨレベルとなったときに、通信端子無効化手段８１は、Ｈレベルの信号により抵抗６８を介しＮＰＮ型トランジスタ６５にベース電流が供給され、ＮＰＮ型トランジスタ６５が導通することとなる。これにより、ＰＮＰ型トランジスタ６７にベース電流が供給され、ＰＮＰ型トランジスタ６７も導通する。したがって、電源ノードＶＢから第１の通信端子１２ａに絶対最大定格範囲外である高電圧が印加される。

図１４は、実施の形態５による電子制御装置における、演算器の第１の通信端子の内部構成を示す説明図である。一般に、マイコン、もしくはＦＰＧＡの第１の通信端子１２ａには、図１４に示すように、その内部に２つのダイオード１２１、１２２の直列接続体が備えられており、過電圧を印加することでダイオード１２１，１２２に過電流が流れ、ショート故障に至るため、絶対最大定格電圧が規定されているが、実施の形態５では、不正アクセスが行われたときには、意図的に絶対最大定格範囲外の電圧を印加し、第１の通信端子１２ａを不可逆的に無効化するよう構成している。

なお、通信端子無効化手段８１は、図１３に示す構成に限るものではなく、また絶対最大定格範囲外の低電圧を印加する構成であってもよい。また、通信端子無効化手段８１は、演算器監視手段２０、第１の振幅低下手段３０ａ、第２の振幅低下手段３０ｂ、などの他の構成要素と統合されてもよい。

以上述べたように、実施の形態５による電子制御装置によれば、簡単な回路で、且つ容易に、不正なアクセスを防止することができ、不正なアクセスが繰り返し行われた際は、不可逆的に通信端子を無効化して、通信を不能とすることができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、又は複数の実施の形態に記載された様々な特徴、態様、および機能は特定の実施の形態の適用に限られるのではなく、単独で、又は様々な組み合わせで実施の形態に適用可能である。したがって、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。たとえば、少なくとも１つの構成要素を変形する場合、追加する場合、又は省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

つぎに、本願に開示した電子制御装置の態様を、以下に付記として記載する。
（付記１）
制御プログラムを格納するメモリに外部からアクセス可能な第１の通信端子と、前記第１の通信端子からアクセス可能な領域とは異なる領域にアクセス可能な第２の通信端子と、を備え、前記制御プログラムに基づいて動作する演算器、
前記第１の通信端子を介して、外部機器と前記演算器との間で信号の伝達を行なう第１の通信回路、
前記第２の通信端子を介して、外部機器と前記演算器との間で信号の伝達を行なう第２の通信回路、
前記演算器が正常か否かを監視する演算器監視手段、
前記第１の通信回路により伝達される前記信号の振幅を低下させることにより、前記第１の通信回路による前記信号の伝達を停止させ得る第１の振幅低下手段、および、
少なくとも、前記演算器と、前記第１の通信回路と、前記第２の通信回路と、を搭載した回路基板、
を備え、
前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、
前記演算器監視手段による前記監視に基づいて第１の制御信号を発生し、前記第１の振幅低下手段に前記第１の制御信号を入力するように構成され、
前記第１の振幅低下手段は、
前記入力された前記第１の制御信号があらかじめ定められた状態にあるとき、前記第１の通信回路により伝達される前記信号の振幅を低下させて前記第１の通信回路による前記信号の伝達を停止させるように構成されている、
ことを特徴とする電子制御装置。
（付記２）
前記第１の振幅低下手段は、前記第１の制御信号が無信号の状態にあるとき、前記第１の通信回路により伝達される前記信号の振幅を低下させるように構成されている、
ことを特徴とする付記１に記載の電子制御装置。
（付記３）
前記第１の振幅低下手段は、
ジャンパと、抵抗と、ダイオードと、前記回路基板に配線されたパターンと、のうちの少なくとも一つを含む第１の通電経路と、
前記第１の通電経路を導通又は遮断する第１の開閉器と、
を備え、
前記第１の開閉器は、
前記第１の通電経路を導通することにより、前記第１の通信回路のあらかじめ定められたノードを、前記第１の通電経路を介して前記回路基板におけるあらかじめ定められた電位を有するノードに接続するか、又は、
前記第１の通電経路を遮断することにより、前記第１の通信回路のインピーダンスを上昇させて、前記第１の通信回路により伝達される信号の振幅を低下させる、
ように構成されている、
ことを特徴とする付記１又は２に記載の電子制御装置。
（付記４）
前記第１の開閉器は、半導体素子により構成されている、
ことを特徴とする付記３に記載の電子制御装置。
（付記５）
前記第１の開閉器は、複数の電子部品により構成されている、
ことを特徴とする付記３に記載の電子制御装置。
（付記６）
前記第１の開閉器は、機械式開閉器により構成されている、
ことを特徴とする付記３に記載の電子制御装置。
（付記７）
前記第２の通信回路により伝達される前記信号の振幅を低下させることにより、前記第２の通信回路による前記信号の伝達を停止させ得る第２の振幅低下手段、
を備え、
前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、前記監視に基づく第２の制御信号を発生して前記第２の振幅低下手段に入力するように構成され、
前記第２の振幅低下手段は、前記入力された前記第２の制御信号があらかじめ定められた状態にあるとき、前記第２の通信回路により伝達される前記信号の振幅を低下させるように構成されている、
ことを特徴とする付記１から６のうちの何れか一つに記載の電子制御装置。
（付記８）
前記第２の振幅低下手段は、前記第２の制御信号が無信号の状態にあるとき、前記第２の通信回路により伝達される前記信号の振幅を低下させるように構成されている、
ことを特徴とする付記７に記載の電子制御装置。
（付記９）
前記第２の振幅低下手段は、
ジャンパと、抵抗と、ダイオードと、前記回路基板に配線されたパターンと、のうちの少なくとも一つを含む第２の通電経路と、
前記第２の通電経路を導通又は遮断する第２の開閉器と、
を備え、
前記第２の開閉器は、
前記第２の通電経路を導通することにより、前記第２の通信回路のあらかじめ定められたノードを、前記第２の通電経路を介して前記回路基板におけるあらかじめ定められた電位を有するノードに接続するか、又は、
前記第２の通電経路を遮断することにより、前記第２の通信回路のインピーダンスを上昇させて、前記信号の振幅を低下させるように構成されている、
ことを特徴とする付記７又は８に記載の電子制御装置。
（付記１０）
前記第２の開閉器は、半導体素子により構成されている、
ことを特徴とする付記９に記載の電子制御装置。
（付記１１）
前記第２の開閉器は、複数の電子部品により構成されている、
ことを特徴とする付記９に記載の電子制御装置。
（付記１２）
前記第２の開閉器は、機械式開閉器により構成されている、
ことを特徴とする付記９に記載の電子制御装置。
（付記１３）
前記演算器監視手段が前記演算器の異常を検出した回数を計数する計数カウンタを備え、
前記計数カウンタが計数した回数があらかじめ定められた回数に達したとき、
前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、
前記第１の制御信号を発生して前記第１の振幅低下手段に入力するとともに、前記第２の制御信号を発生して前記第２の振幅低下手段に入力し、前記第１の振幅低下手段により、前記第１の通信回路により伝達される前記信号の振幅を、あらかじめ定められた時間低下させるとともに、前記第２の振幅低下手段により、前記第２の通信回路により伝達される前記信号の振幅を前記あらかじめ定められた時間低下させる、
ように構成されている、
ことを特徴とする、付記７から１２のうちの何れか一つに記載の電子制御装置。
（付記１４）
前記演算器は、
前記演算器監視手段により前記演算器の異常が検出されておらず、かつ、前記外部機器から前記第２の通信端子に前記第１の通信端子による通信を許可する信号を受信しているときにのみ、前記第１の振幅低下手段による前記第１の通信回路の信号の振幅を低下させる動作を停止させる、ように構成されている、
ことを特徴とする、付記１３に記載の電子制御装置。
（付記１５）
前記演算器は、
前記計数カウンタによる演算器の異常を検出した累積回数があらかじめ定められた回数を超過したとき、前記演算器監視手段による前記演算器の異常検出の有無に関わらず、前記第１の振幅低下手段による前記第１の通信回路の信号の振幅を低下させる振幅低下動作を停止させるとともに、前記第２の振幅低下手段による前記第２の通信回路の信号の振幅を低下させる振幅低下動作を停止させる、ように構成されている。
ことを特徴とする付記１３又は１４に記載の電子制御装置。
（付記１６）
通信端子無効化手段を備え、
前記通信端子無効化手段は、前記計数カウンタによる前記演算器の異常を検出した回数があらかじめ定められた回数を超過したとき、前記第１の通信端子に、前記第１の通信端子の絶対最大定格範囲外の電圧を印加して、前記第１の通信端子の機能を無効化するように構成されている、
ことを特徴とする付記１３に記載の電子制御装置。

１００ 電子制御装置、１０ 演算器、１１ メモリ、２０ 演算器監視手段、
５１、５２、５３、５４、５８、５９、６３、６４、６６、６８、１３ａ２ 抵抗、
５７１ パターン、５５、６５ ＮＰＮ型トランジスタ、５６ 常閉型リレー、
５６１ 接点、５６２ コイル、５７、６１、１２１，１２２ ダイオード、
６０、６７ ＰＮＰ型トランジスタ、６２、１３ａ１ バッファ、８０ 計数カウンタ、
８１ 通信端子無効化手段、９０ 回路基板、１２ａ 第１の通信端子、
１２ｂ 第２の通信端子、１３ａ 第１の通信回路、１３ｂ 第２の通信回路、
１３ｂ１ ＣＡＮトランシーバ、１３ｂ２ 周辺回路、３０ａ 第１の振幅低下手段、
３０ｂ 第２の振幅低下手段、３１ａ 第１の開閉器、３１ｂ 第２の開閉器、
Ｓ１ａ 第１の制御信号、Ｓ１ｂ 第２の制御信号

Claims (17)

1. 制御プログラムを格納するメモリに外部からアクセス可能な第１の通信端子と、前記第１の通信端子からアクセス可能な領域とは異なる領域にアクセス可能な第２の通信端子と、を備え、前記制御プログラムに基づいて動作する演算器、
   前記第１の通信端子を介して、外部機器と前記演算器との間で信号の伝達を行なう第１の通信回路、
   前記第２の通信端子を介して、外部機器と前記演算器との間で信号の伝達を行なう第２の通信回路、
   前記演算器が正常か否かを監視する演算器監視手段、
   前記第１の通信回路により伝達される前記信号の振幅を低下させることにより、前記第１の通信回路による前記信号の伝達を停止させ得る第１の振幅低下手段、および、
   少なくとも、前記演算器と、前記第１の通信回路と、前記第２の通信回路と、を搭載した回路基板、
   を備え、
   前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、
   前記演算器監視手段による前記監視に基づいて第１の制御信号を発生し、前記第１の振幅低下手段に前記第１の制御信号を入力するように構成され、
   前記第１の振幅低下手段は、
   前記入力された前記第１の制御信号があらかじめ定められた状態にあるとき、前記第１の通信回路により伝達される前記信号の振幅を低下させて前記第１の通信回路による前記信号の伝達を停止させるように構成されている、
   ことを特徴とする電子制御装置。
2. 前記第１の振幅低下手段は、前記第１の制御信号が無信号の状態にあるとき、前記第１の通信回路により伝達される前記信号の振幅を低下させるように構成されている、
   ことを特徴とする請求項１に記載の電子制御装置。
3. 前記第１の振幅低下手段は、
   ジャンパと、抵抗と、ダイオードと、前記回路基板に配線されたパターンと、のうちの少なくとも一つを含む第１の通電経路と、
   前記第１の通電経路を導通又は遮断する第１の開閉器と、
   を備え、
   前記第１の開閉器は、
   前記第１の通電経路を導通することにより、前記第１の通信回路のあらかじめ定められたノードを、前記第１の通電経路を介して前記回路基板におけるあらかじめ定められた電位を有するノードに接続するか、又は、
   前記第１の通電経路を遮断することにより、前記第１の通信回路のインピーダンスを上昇させて、前記第１の通信回路により伝達される信号の振幅を低下させる、
   ように構成されている、
   ことを特徴とする請求項１又は２に記載の電子制御装置。
4. 前記第１の開閉器は、半導体素子により構成されている、
   ことを特徴とする請求項３に記載の電子制御装置。
5. 前記第１の開閉器は、複数の電子部品により構成されている、
   ことを特徴とする請求項３に記載の電子制御装置。
6. 前記第１の開閉器は、機械式開閉器により構成されている、
   ことを特徴とする請求項３に記載の電子制御装置。
7. 前記第２の通信回路により伝達される前記信号の振幅を低下させることにより、前記第２の通信回路による前記信号の伝達を停止させ得る第２の振幅低下手段、
   を備え、
   前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、前記監視に基づく第２の制御信号を発生して前記第２の振幅低下手段に入力するように構成され、
   前記第２の振幅低下手段は、前記入力された前記第２の制御信号があらかじめ定められた状態にあるとき、前記第２の通信回路により伝達される前記信号の振幅を低下させるように構成されている、
   ことを特徴とする請求項１又は２に記載の電子制御装置。
8. 前記第２の振幅低下手段は、前記第２の制御信号が無信号の状態にあるとき、前記第２の通信回路により伝達される前記信号の振幅を低下させるように構成されている、
   ことを特徴とする請求項７に記載の電子制御装置。
9. 前記第２の振幅低下手段は、
   ジャンパと、抵抗と、ダイオードと、前記回路基板に配線されたパターンと、のうちの少なくとも一つを含む第２の通電経路と、
   前記第２の通電経路を導通又は遮断する第２の開閉器と、
   を備え、
   前記第２の開閉器は、
   前記第２の通電経路を導通することにより、前記第２の通信回路のあらかじめ定められたノードを、前記第２の通電経路を介して前記回路基板におけるあらかじめ定められた電位を有するノードに接続するか、又は、
   前記第２の通電経路を遮断することにより、前記第２の通信回路のインピーダンスを上昇させて、前記信号の振幅を低下させるように構成されている、
   ことを特徴とする請求項７に記載の電子制御装置。
10. 前記第２の振幅低下手段は、
    ジャンパと、抵抗と、ダイオードと、前記回路基板に配線されたパターンと、のうちの少なくとも一つを含む第２の通電経路と、
    前記第２の通電経路を導通又は遮断する第２の開閉器と、
    を備え、
    前記第２の開閉器は、
    前記第２の通電経路を導通することにより、前記第２の通信回路のあらかじめ定められたノードを、前記第２の通電経路を介して前記回路基板におけるあらかじめ定められた電位を有するノードに接続するか、又は、
    前記第２の通電経路を遮断することにより、前記第２の通信回路のインピーダンスを上昇させて、前記信号の振幅を低下させるように構成されている、
    ことを特徴とする請求項８に記載の電子制御装置。
11. 前記第２の開閉器は、半導体素子により構成されている、
    ことを特徴とする請求項９に記載の電子制御装置。
12. 前記第２の開閉器は、複数の電子部品により構成されている、
    ことを特徴とする請求項９に記載の電子制御装置。
13. 前記第２の開閉器は、機械式開閉器により構成されている、
    ことを特徴とする請求項９に記載の電子制御装置。
14. 前記演算器監視手段が前記演算器の異常を検出した回数を計数する計数カウンタを備え、
    前記計数カウンタが計数した回数があらかじめ定められた回数に達したとき、
    前記演算器と、前記演算器監視手段と、のうちの少なくとも一方は、
    前記第１の制御信号を発生して前記第１の振幅低下手段に入力するとともに、前記第２の制御信号を発生して前記第２の振幅低下手段に入力し、前記第１の振幅低下手段により、前記第１の通信回路により伝達される前記信号の振幅を、あらかじめ定められた時間低下させるとともに、前記第２の振幅低下手段により、前記第２の通信回路により伝達される前記信号の振幅を前記あらかじめ定められた時間低下させる、
    ように構成されている、
    ことを特徴とする、請求項７に記載の電子制御装置。
15. 前記演算器は、
    前記演算器監視手段により前記演算器の異常が検出されておらず、かつ、前記外部機器から前記第２の通信端子に前記第１の通信端子による通信を許可する信号を受信しているときにのみ、前記第１の振幅低下手段による前記第１の通信回路の信号の振幅を低下させる動作を停止させる、ように構成されている、
    ことを特徴とする、請求項１４に記載の電子制御装置。
16. 前記演算器は、
    前記計数カウンタによる演算器の異常を検出した累積回数があらかじめ定められた回数を超過したとき、前記演算器監視手段による前記演算器の異常検出の有無に関わらず、前記第１の振幅低下手段による前記第１の通信回路の信号の振幅を低下させる振幅低下動作を停止させるとともに、前記第２の振幅低下手段による前記第２の通信回路の信号の振幅を低下させる振幅低下動作を停止させる、ように構成されている、
    ことを特徴とする請求項１４に記載の電子制御装置。
17. 通信端子無効化手段を備え、
    前記通信端子無効化手段は、前記計数カウンタによる前記演算器の異常を検出した回数があらかじめ定められた回数を超過したとき、前記第１の通信端子に、前記第１の通信端子の絶対最大定格範囲外の電圧を印加して、前記第１の通信端子の機能を無効化するように構成されている、
    ことを特徴とする請求項１４に記載の電子制御装置。

Images