JP4725539B2 - 電子制御装置 - Google Patents

Description

本発明は、主マイクロコンピュータ及び副マイクロコンピュータを有する電子制御装置に関し、より詳しくは、主マイクロコンピュータの動作状態が異常であるときに、副マイクロコンピュータが主マイクロコンピュータに代わってフェイルセーフ信号を出力することで、当該電子制御装置の制御対象を安全（フェイルセーフ）側に制御する電子制御装置に関する。

この種の電子制御装置としては、従来、例えば特許文献１に記載の技術が知られている。以下、この文献に記載の技術を含め、従来一般に知られている技術を用いて、例えば、内燃機関の燃焼室の予熱機構を構成するグロープラグを点消灯するグローリレーのオンオフ制御や、内燃機関の燃焼室に燃料を噴射供給するインジェクタを駆動制御するＥＤＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｄｒｉｖｅ Ｕｎｉｔ：駆動回路）へ駆動電圧を供給するＥＤＵリレーのオンオフ制御を行う場合について、説明する。

従来の電子制御装置では、主マイクロコンピュータ（以下、主マイコンとも記載する）は、副マイクロコンピュータ（以下、副マイコンとも記載する）によって、その状態が監視される。すなわち、副マイコンは、主マイコンとの間での情報通信の途絶に基づいて主マイコンの動作状態を判断する。そして、主マイコンの動作状態が異常であると判断するとき、副マイコンは、グローリレーやＥＤＵリレーをオフとする電圧レベルのフェイルセーフ信号を出力する。これにより、グロープラグが消灯して燃焼室の予熱が行われなくなったり、燃焼室への燃料の噴射供給がされなくなったりする。このように、内燃機関は、電子制御装置によって、停止する側（安全側）に制御されることになる。

一方、従来の電子制御装置では、主マイコンは、内燃機関の始動時（特に冷間始動時）において、グローリレーやＥＤＵリレーをオンとする電圧レベルのイニシャル信号を出力し、燃焼室を予め暖めたり、燃焼室への燃料の噴射供給量を増量したりする。このようにして、内燃機関は、電子制御装置によってその始動性が高められている。

さらに、従来の電子制御装置では、主マイコンは、副マイコンに対してのみならず、電源ＩＣに対しても、ウォッチドッグ信号を出力する。電源ＩＣは、主マイコンから入力されるウォッチドッグ信号に基づき主マイコンの動作状態を判断し、主マイコンの動作状態が異常であると判断するとき、主マイコンをリセットする。主マイコンは、リセットされた直後にあっては、ハイインピーダンス状態となり、その電圧レベルが定まらない出力信号を出力するものの、リセットからの復帰後にあっては、正常な動作状態に戻ることが多く、そうした場合、上記始動時と同様に、イニシャル信号を出力する。
実開平２−０８４９０２号公報

ところで、主マイコンの動作状態が異常となると、まず、電源ＩＣへ出力されるはずのウォッチドッグ信号が途絶し、電源ＩＣは、主マイコンの動作状態を正常に戻すべく、主マイコンをリセットする。このリセットから復帰した主マイコンは、イニシャル信号をリレーに出力してこれをオンとするとともに副マイコンをリセットする。なお、このときリセットされた副マイコンは、ハイインピーダンス状態となり、特定の電圧レベルの信号をリレーに出力することができなくなる。こうした電源ＩＣからのリセット復帰後も主マイコンの動作状態が異常であると、電源ＩＣへ出力されるはずのウォッチドッグ信号は依然として途絶しているため、電源ＩＣは、主マイコンの動作状態を正常に戻すべく、主マイコンを再びリセットする。このリセットから復帰した主マイコンは、イニシャル信号をリレーに再び出力してこれをオンとするとともに副マイコンを再びリセットする。このときリセットされた副マイコンは、やはり、ハイインピーダンス状態となり、特定の電圧レベルの信号をリレーに出力することができなくなる。そして、このリセットから復帰した副マイコンは、主マイコンに代わり、フェイルセーフ信号をリレーに出力してこれをオフとする。こうしてフェイルセーフ状態となった後も、主マイコンの動作状態が依然として異常であると、電源ＩＣへ出力されるはずのウォッチドッグ信号がやはり途絶していることから、電源ＩＣは主マイコンの動作状態を正常に戻すべく、主マイコンを再度リセットする。このリセットから復帰した主マイコンは、イニシャル信号をリレーに再度出力してこれをオンとし、副マイコンを再度リセットする。なお、リセットされた副マイコンは、ハイインピーダンス状態となることから、特定の電圧レベルの信号をリレーに出力することができない。すなわち、副マイコンは、フェイルセーフ信号を継続してリレーに出力することはできず、主マイコンによるイニシャル信号がリレーに出力されて、リレーはオンとされる。そして、リセットから復帰した副マイコンによってフェイルセーフ信号がリレーに出力されて、リレーはオフとされる。

このように、主マイコンの動作状態が長期に渡って異常であると、すなわち、主マイコンの動作状態が正常にならない限り、グローリレーやＥＤＵリレーに入力される信号は、フェイルセーフ信号とイニシャル信号との間を交互に繰り返し変化する。既述したように、フェイルセーフ信号が出力されると、グローリレーやＥＤＵリレーはオフとされるのに対し、イニシャル信号が出力されると、グローリレーやＥＤＵリレーはオンとされる。そのため、リレーのオンオフが繰り返し実行されることになり、そうしたリレーに接点溶着が発生することが懸念される。接点溶着が生じると、もはや、リレーをオフにすることはできず、リレーは常にオンとなり、通電されることになってしまう。すなわち、制御対象を安全（フェイルセーフ）側に制御することはもはや難しい。

本発明は、こうした実情に鑑みてなされたものであって、その目的は、主マイクロコンピュータの動作状態が長期に渡って異常である場合でも、制御対象のフェイルセーフ処理を実行することのできる電子制御装置を提供することにある。

こうした目的を達成するため、請求項１に記載の発明では、リレーを含む負荷をオンオフ制御する主制御部と、前記主制御部から入力されるウォッチドッグ信号に基づく第１リセット条件が成立するとき、前記主制御部をリセットするためのリセット信号を前記主制御部に出力する電源部と、前記主制御部との情報通信に基づく第２リセット条件が成立するとき、リセット信号を前記主制御部に出力するとともに、前記主制御部による前記負荷のオンオフ制御が正常に行われないとするフェイルセーフ条件が成立するとき、前記負荷をオフとするフェイルセーフ信号を前記主制御部に代わって前記負荷に出力する副制御部とを備え、前記主制御部は、自身のリセット復帰後に、前記副制御部をリセットするリセット信号を出力するとともに、前記負荷をオンとするイニシャル信号を前記負荷に出力する電子制御装置であって、前記副制御部と前記負荷との間に介在し、前記フェイルセーフ条件が成立するとき、前記副制御部から、ともにローレベルに対応する電圧レベルの第１出力信号及び第２出力信号が入力され、これら第１及び第２出力信号から前記フェイルセーフ信号を生成し、前記負荷に出力するとともに、前記副制御部がリセットされても、リセットされる直前に前記負荷に出力していたフェイルセーフ信号の出力を継続するラッチ回路を備え、前記副制御部が前記ラッチ回路に出力する前記第１及び第２出力信号の電圧レベルは、前記副制御部がリセットされるときに不定となるものであり、前記ラッチ回路は、これら第１及び第２出力信号がそれぞれ入力される第１及び第２ＮＡＮＤゲートを組み合わせたラッチ部と、前記副制御部がリセットされて、前記第１及び第２出力信号の電圧レベルが不定となったときに、前記第１及び第２出力信号が入力される前記第１及び第２ＮＡＮＤゲートの入力端子の電圧レベルを、出力しているフェイルセーフ信号の電圧レベルが変化しないように固定するための抵抗器とを備えることとした。

電子制御装置としてのこのような構成においても、背景技術の欄に記載した従来技術と同様に、主制御部の動作状態が長期に渡って異常であると、第１リセット条件あるいは第２リセット条件が成立し、電源部あるいは副制御部によって、主制御部の動作状態が異常であると判断される。すると、主制御部の動作状態を正常に戻すべく、電源部あるいは副制御部は主制御部をリセットする。リセットされた主制御部は、自身のリセット復帰後に副制御部をリセットするとともに、イニシャル信号を負荷に出力してこれをオンとする（イニシャル処理）。こうしたイニシャル処理が繰り返し実行されても、主制御部の動作状態が正常に戻らず、依然として異常のままであると、フェイルセーフ条件が成立することがある。このフェイルセーフ条件が成立すると、主制御部に代わって副制御部がフェイルセーフ信号を出力する（フェイルセーフ処理）。また、フェイルセーフ処理の実行後にあっても、第１リセット条件あるいは第２リセット条件が成立するたびに、イニシャル処理が繰り返し実行される。このように、イニシャル処理及びフェイルセーフ処理が繰り返し実行される。

ただし、電子制御装置としての上記構成では、フェイルセーフ条件が成立するとき、副制御部から、ともにローレベルに対応する電圧レベルの第１出力信号及び第２出力信号が入力され、これら第１及び第２出力信号からフェイルセーフ信号を生成し、負荷に出力するとともに、副制御部がリセットされても、リセットされる直前に負荷に出力していたフェイルセーフ信号の負荷への出力を継続するラッチ回路を備えている。特に、フェイルセーフ条件の成立後にあって、第１リセット条件あるいは第２リセット条件が成立するたびに、イニシャル処理が繰り返し実行されるとき、主制御部はこのイニシャル処理に併せて副制御部をリセットする。副制御部は、リセットされることでハイインピーダンス状態となり、特定の電圧レベルの第１及び第２出力信号を出力することができず、副制御部から出力される第１及び第２出力信号の電圧レベルは不定となる。そのため、主制御部から負荷に出力されるイニシャル信号により、負荷はオン制御されるようにも思われる。しかしながら、ラッチ回路が、副制御部がリセットされる直前に出力していたフェイルセーフ信号の負荷への出力を継続する。したがって、負荷は、オフとされたままとなる。

このように、電子制御装置としての上記構成によれば、主制御部の動作状態が長期に渡って異常であったとしても、負荷に出力される信号がフェイルセーフ信号とイニシャル信号との間を交互に繰り返し変化するようなことはなくなり、リレーもオンオフが繰り返し実行されることがなくなるため、リレーに接点溶着が発生することが防止される。したがって、主制御部の動作状態が長期に渡って異常であったとしても、制御対象をフェイルセーフ側に制御することができるようになる。

上記請求項１に記載の構成において、例えば請求項２に記載の発明のように、前記主制御部から出力されて前記電源部へ入力される前記ウォッチドッグ信号が途絶して以後第１判定期間を経過することを、前記第１リセット条件として採用してもよい。また、上記請求項１または２に記載の構成において、例えば請求項３に記載の発明のように、前記主制御部と前記副制御部との間での情報通信が途絶して以後第２判定期間を経過することを、前記第２リセット条件として採用してもよい。電子制御装置としてのこのような構成によれば、簡易な方法でありながらも、主制御部の動作状態が異常であることを的確に判断することができ、リセットを通じて主制御部を正常に復帰させることを図ることができるようになる。

こうした構成において、例えば請求項４に記載の発明では、前記主制御部の連続リセット回数が所定回数を超えることを前記フェイルセーフ条件として採用することとした。これにより、主制御部の動作状態を正常に戻そうとする試みを所定回数だけ図った上で、フェイルセーフ処理を実行することができるようになる。

ところで、副制御部がラッチ回路に出力する信号にノイズが重畳されるようなことがあると、電圧レベルに変動が生じ、負荷が誤動作することが懸念される。例えば、ラッチ回路から負荷に対し、フェイルセーフ信号が出力されるべきところ、イニシャル信号が出力されてしまうと、負荷を安全側に駆動することはできなくなってしまう。

その点、上記請求項１〜４に記載の構成において、例えば請求項５に記載の発明では、
前記副制御部は、該副制御部と前記負荷との間に介在する前記ラッチ回路に出力する第１及び第２出力信号を所定時間ごとに繰り返し更新出力することとした。

電子制御装置としてのこのような構成では、副制御部は、第１及び第２出力信号の電圧レベルを変える必要があるときには当然のこと、第１及び第２出力信号の電圧レベルを変える必要がなくても、所定時間ごとに繰り返し更新出力するため、第１及び第２出力信号にノイズが重畳され、負荷が誤動作しようとしても、その動作を即座に修正することができるようになる。また、負荷に含まれるリレーは機械式であることが多いため、所定時間を十分に短くすることで、負荷が誤動作を開始する前に、所望する動作をするように修正することができるようになる。

さらに、例えば請求項６に記載の発明のように、前記ラッチ回路は、前記第１及び第２ＮＡＮＤゲートの駆動初期における電圧レベルを固定するためのコンデンサを含んで構成されることとしてもよい。これにより、動作が最も不安定になりやすい駆動初期において、ラッチ部の動作が安定するようになる。

また、こうしたリレーとしては、例えば請求項７に記載の発明のように、内燃機関の燃焼室の予熱機構を構成するグロープラグを点消灯するグローリレーを採用することができ、あるいは、例えば請求項８に記載の発明のように、内燃機関の燃焼室に燃料を噴射供給するインジェクタを駆動制御するＥＤＵへ駆動電圧を供給するＥＤＵリレーを採用することができる。

以下、本発明に係る電子制御装置の一実施の形態について、図１〜図１０を参照して説明する。まず、図１及び図２を併せ参照して、本実施の形態の電子制御装置の構成及び機能について説明する。なお、図１は、本実施の形態の電子制御装置全体の構成を示すブロック図であり、図２は、同実施の形態の電子制御装置のラッチ回路の一例を示す等価回路図である。

同図１に示されるように、電子制御装置１は、基本的に、背景技術の欄に記載した従来の電子制御装置に準じて構成されている。すなわち、電源部としての電源ＩＣ１０、主制御部としてのメインマイクロコンピュータ（以下、メインマイコンとも記載する）２０、副制御部としてのサブマイクロコンピュータ（以下、サブマイコンとも記載する）３０等々を備えている。ただし、本実施の形態の電子制御装置１では、サブマイコン３０がリセットされる直前にリレー５０に印加していた電圧レベルを保持し、この電圧レベルと同一の電圧レベルの信号をリレー５０に継続して印加するラッチ回路４０を備えることで、メインマイコン２０の動作状態が長期に渡って異常である場合でも、リレー５０の接点溶着が生じることを防止して、フェイルセーフ側にリレー５０を制御しようとしている。なお、本実施の形態の電子制御装置１は、例えば内燃機関の燃焼室の予熱機構を構成するグロープラグ（いずれも図示略）を点消灯するグローリレー５０のオンオフ制御を行うものとして具体化されている。

図１に示されるように、メインマイコン２０は、そのＣＰＵ端子が、例えば「５Ｖ」の定電圧源Ｖｃに抵抗器５１１を介して接続されているとともに、リレー５０をオンオフ制御するためのトランジスタ５４１のゲートに抵抗器５１２を介して接続されている。さらに、メインマイコン２０のＣＰＵ端子は、抵抗器５１２及び５３１を介して接地されている。

また、メインマイコン２０は、図１に示されるように、当該メインマイコン２０のＷＤＣ端子が電源ＩＣ１０のＷＤＣ１端子に接続されている。ここで、メインマイコン２０は、その動作状態が正常であるとき、基本的に、例えば「８ミリ秒」を１周期とするパルス状のウォッチドッグ信号をこのＷＤＣ端子を介して電源ＩＣ１０に常時出力する。しかしながら、メインマイコン２０は、その動作状態が異常であるとき、そもそも、そうしたウォッチドッグ信号を出力することができない。こうした状況に鑑みて、電源ＩＣ１０は、ウォッチドッグ信号に基づき、メインマイコン２０の動作状態を常に監視している。

また、メインマイコン２０は、図１に示されるように、当該メインマイコン２０のＲＥＳＢ１１端子が電源ＩＣ１０のＲＥＳＥＴ１１端子に接続されている。既述したように、電源ＩＣ１０は、メインマイコン２０から出力されるウォッチドッグ信号に基づきメインマイコン２０の動作状態を常に監視しており、後述する第１リセット条件が成立すると、メインマイコン２０の動作状態を正常に戻すべく、ＲＥＳＥＴ１１端子を介してリセット信号を出力する。そしてメインマイコン２０は、ＲＥＳＢ１１端子にリセット信号が入力されると、リセットされる。なお、メインマイコン２０はリセットされるとハイインピーダンス状態となり、そのＣＰＵ端子から特定の電圧レベルの信号を出力することができず、ＣＰＵ端子における電圧レベルは不定となる。

また、メインマイコン２０は、図１に示されるように、当該メインマイコン２０のＲＥＳＥＴ１２端子がサブマイコン３０のＲＥＳＢ１２端子に接続されている。ここで、メインマイコン２０は、当該メインマイコン２０が電源ＩＣ１０によってリセットされ、このリセットから復帰すると、ＲＥＳＥＴ１２端子を介してサブマイコン３０にリセット信号を出力する。そしてサブマイコン３０は、ＲＥＳＢ１２端子にリセット信号が入力されることでリセットされる。なお、サブマイコン３０もメインマイコン２０と同様に、リセットされるとハイインピーダンス状態となり、後述するＣＰＵＦ端子やＬＡＴＣＨ端子から特定の電圧レベルの出力信号を出力することができず、これら端子における電圧レベルは不定となる。

また、メインマイコン２０は、図１に示されるように、当該メインマイコン２０のＷＤＣ端子がサブマイコン３０のＷＤＣ２端子に接続されている。さらに、メインマイコン２０は、ＣＰＵ（図示略）を介することなくメモリ（図示略）間で直接にデータのやり取りを行う、いわゆるＤＭＡ（Ｄｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ）方式にて、リレー５０のオンオフ制御に係る情報通信をサブマイコン３０と行うべく、サブマイコン３０に接続されている。このメインマイコン２０とサブマイコン３０との間での情報通信においては、リレー５０のオンオフ制御に係る情報が交換されているだけでなく、メインマイコン２０は、当該メインマイコン２０が起動（リセットから復帰）した旨をサブマイコン３０に送信したり、逆に、サブマイコン３０は、当該サブマイコン３０が起動（リセットからの復帰）した旨をメインマイコン２０に送信したりする。

ここで、メインマイコン２０は、その動作状態が正常であるとき、既述したように、基本的に、常時、パルス状のウォッチドッグ信号をＷＤＣ端子を介してサブマイコン３０に出力する。また、メインマイコン２０の動作状態が正常であるとき、当該メインマイコン２０−サブマイコン３０間で、上述した情報通信がほとんど常時行われる。しかしながら、メインマイコン２０は、その動作状態が異常であるとき、そもそも、ウォッチドッグ信号を出力することはできないことが多い。また、メインマイコン２０の動作状態が異常であるとき、情報通信を行おうにも行うことができないことが多い。こうした状況に鑑みて、サブマイコン３０は、これらウォッチドッグ信号やＤＭＡ通信の通信状態に基づき、メインマイコン２０の動作状態を常に監視している。

また、メインマイコン２０は、図１に示されるように、当該メインマイコン２０のＲＥＳＢ２端子がサブマイコン３０のＲＥＳＥＴ２端子に接続されている。サブマイコン３０は、ＲＥＳＥＴ２端子を介してリセット信号を出力する。そして、ＲＥＳＢ２端子にリセット信号が入力されると、メインマイコン２０は、リセットされる。

他方、サブマイコン３０は、図１に示されるように、ＷＤＣ２端子がメインマイコン２０のＷＤＣ端子に接続されており、ＲＥＳＢ１２端子がメインマイコン２０のＲＥＳＥＴ１２端子に接続されている。また、ＲＥＳＥＴ２端子がメインマイコン２０のＲＥＳＢ２端子に接続されている。このうち、ＷＤＣ２端子に対しては、既述したように、メインマイコン２０からウォッチドッグ信号が入力されている。サブマイコン３０は、このウォッチドッグ信号や先のＤＭＡ通信の通信状態に基づいて、メインマイコン２０の動作状態を常に監視している。そしてサブマイコン３０は、先のＤＭＡ通信の通信状態に基づく後述する第２リセット条件が成立するとき、ＲＥＳＥＴ２端子を介してメインマイコン２０にリセット信号を出力する。なお、メインマイコン２０は、ＲＥＳＢ２端子にリセット信号が入力されることでリセットされる。

また、サブマイコン３０は、図１に示されるように、当該サブマイコン３０のＥＷＤＣ端子がメインマイコン２０のＥＷＤＣ１端子に接続されている。ここで、サブマイコン３０は、その動作状態が正常であるとき、基本的に、例えば８ｍ秒を１周期とするパルス状のウォッチドッグ信号をこのＥＷＤＣ端子を介してメインマイコン２０に常時出力する。しかしながら、サブマイコン３０は、その動作状態が異常であるとき、そもそも、そうしたウォッチドッグ信号を出力することができない。こうした状況に鑑みて、メインマイコン２０は、ウォッチドッグ信号に基づき、サブマイコン３０の動作状態を常に監視している。

また、サブマイコン３０は、図１に示されるように、そのＣＰＵＦ端子及びＬＡＴＣＨ端子がラッチ回路４０に接続されている。ここで、サブマイコン３０は、メインマイコン２０の動作状態が正常であると判断すると、メインマイコン２０によるリレー５０のオンオフ制御を阻害しないようにするため、論理Ｈｉレベルに対応する電圧レベルにて第１及び第２出力信号をＣＰＵＦ端子及びＬＡＴＣＨ端子にそれぞれ出力する。一方、サブマイコン３０は、メインマイコン２０の動作状態が異常であると判断すると（後述するフェイルセーフ条件成立時）、メインマイコン２０によるリレー５０の的確なオンオフ制御を期待することはできないため、リレー５０を安全側に動作させるべく、論理Ｌｏレベルに対応する電圧レベルにて第１及び第２出力信号をＣＰＵＦ端子及びＬＡＴＣＨ端子にそれぞれ出力する。他方、サブマイコン３０は、第１リセット条件あるいは第２リセット条件が成立してメインマイコン２０によりリセットされると、当該サブマイコン３０は第１及び第２出力信号を特定の電圧レベルにてＣＰＵＦ端子及びＬＡＴＣＨ端子にそれぞれ出力することができないため、これらＣＰＵＦ端子及びＬＡＴＣＨ端子にそれぞれ出力される第１及び第２出力信号の電圧レベルは不定となる。

ラッチ回路４０は、図１及び図２に示すように、基本的に、サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子に接続されるＮＡＮＤゲート４３１及び４３２を組み合わせたラッチ部４３と、ＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルが不定となるときに、これらの電圧レベルを固定するための抵抗器４１２及び４１３と、ラッチ部４３の駆動初期の出力信号の電圧レベルを固定するための、コンデンサ４４１を含む初期位相固定回路４４等々を有している。

詳しくは、同図２に示されるように、ラッチ部４３を構成するＮＡＮＤゲート４３１及び４３２は、２つの入力端子Ｉｎ１及びＩｎ２と１つの出力端子Ｏｕｔをそれぞれ有している。このうち、ＮＡＮＤゲート４３１の一方の入力端子Ｉｎ１は、基本的に、サブマイコン３０（図１）のＣＰＵＦ端子に接続されているとともに、他方の入力端子Ｉｎ２は、ＮＡＮＤゲート４３２の出力端子Ｏｕｔに接続されている。なお、入力端子Ｉｎ１は、例えば「５Ｖ」の定電圧源Ｖｃにも、プルアップ抵抗として機能する抵抗器４１２を介して接続されている。また、ＮＡＮＤゲート４３１の出力端子Ｏｕｔは、基本的に、トランジスタ４５３のゲートに抵抗器４５１を介して接続されているとともに、ＮＡＮＤゲート４３２の入力端子Ｉｎ２に初期位相固定回路４４を介して接続されている。この出力端子Ｏｕｔはさらに、抵抗器４５１及びプルダウン抵抗として機能する４５２を介して接地されてもいる。一方、ＮＡＮＤゲート４３２の一方の入力端子Ｉｎ１は、トランジスタ４２３に接続されているとともに、プルアップ抵抗として機能する抵抗器４１３を介して定電圧源Ｖｃに接続されている。他方の入力端子Ｉｎ２は、初期位相固定回路４４を構成するインバータ４４４の出力端子Ｏｕｔに接続されている。また、ＮＡＮＤゲート４３２の出力端子Ｏｕｔは、ＮＡＮＤゲート４３１の入力端子Ｉｎ２に接続されている。

また、図２に示されるように、初期位相固定回路４４は、コンデンサ４４１、抵抗器４４２、ＮＡＮＤゲート４４３、及び、インバータ４４４を有している。このうち、コンデンサ４４１は、一端が抵抗器４１１を介して定電圧源Ｖｃに接続されており、他端が接地されている。ＮＡＮＤゲート４４３の一方の入力端子Ｉｎ２は、抵抗器４４２及び４１１を介して定電圧源Ｖｃに接続されており、他方の入力端子Ｉｎ１は、ラッチ部４３を構成するＮＡＮＤゲート４３１の出力端子Ｏｕｔに接続されている。ＮＡＮＤゲート４４３の出力端子Ｏｕｔは、インバータ４４４を介して、ラッチ部４３を構成するＮＡＮＤゲート４３２の入力端子Ｉｎ２に接続されている。

以上のようにして構成された電子制御装置１に電源が投入され、メインマイコン２０、サブマイコン３０、及び、ラッチ回路４０が動作開始した直後にあっては、基本的に、各種能動素子の出力端子における電圧レベルは不定となっている。特に、メインマイコン２０のＣＰＵ端子の電圧レベルや、サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子の電圧レベル、さらには、ラッチ回路４０を構成する能動素子の出力端子における電圧レベルは不定となっており、次のようにして電圧レベルが安定する。なお、図３に各端子における電圧レベルを一覧にして示す。

まず、当該電子制御装置１に電源が投入されると、初期位相固定回路４４を構成するＮＡＮＤゲート４４３の一方の入力端子Ｉｎ２における電圧レベルは、コンデンサ４４１に電荷が蓄えられるまでの僅かな期間、論理Ｌｏレベルに対応する電圧レベルとなる。したがって、他方の入力端子Ｉｎ１はＮＡＮＤゲート４３１の出力端子Ｏｕｔに接続されておりその電圧レベルは不定であるものの、ＮＡＮＤゲート４４３の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。また、後段に接続されたインバータ４４４の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、さらに後段に接続されたＮＡＮＤゲート４３２の入力端子Ｉｎ２における電圧レベルも、論理Ｌｏレベルに対応する電圧レベルとなる。ここで、ＮＡＮＤゲート４３２の入力端子Ｉｎ１における電圧レベルは、抵抗器４１３によってプルアップされているため、論理Ｈｉレベルに対応する電圧レベルとなる。したがって、ＮＡＮＤゲート４３２の入力端子Ｉｎ１及びＩｎ２における電圧レベルはそれぞれ、論理Ｈｉレベル及び論理Ｌｏレベルに対応する電圧レベルであるため、ＮＡＮＤゲート４３２の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。

一方、サブマイコン３０のＣＰＵＦ端子における電圧レベルは不定であるものの、抵抗器４１２によってプルアップされているため、ＮＡＮＤゲート４３１の入力端子Ｉｎ１における電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。なお、ＮＡＮＤゲート４３１の入力端子Ｉｎ２における電圧レベルは、ＮＡＮＤゲート４３２の出力端子Ｏｕｔにおける電圧レベルと同一であるため、上述したように、論理Ｈｉレベルに対応する電圧レベルとなる。したがって、ＮＡＮＤゲート４３１の入力端子Ｉｎ１及びＩｎ２における電圧レベルは両方とも、論理Ｈｉレベルに対応する電圧レベルとなるため、Ｏｕｔ端子における電圧レベルは、論理Ｌｏに対応する電圧レベルとなる。

この間、コンデンサ４４１に電荷が十分に蓄えられるため、ＮＡＮＤゲート４４３の入力端子Ｉｎ２における電圧レベルは論理Ｈｉレベルに対応する電圧レベルに変化する。また、上述したように、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルが論理Ｌｏレベルに対応する電圧レベルになるため、ＮＡＮＤゲート４４３の入力端子Ｉｎ１における電圧レベルは論理Ｌｏレベルに対応する電圧レベルに定まる。ただし、後段に接続された各能動素子の出力端子における電圧レベルに変化はないため、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルに対応する電圧レベルのままで安定することになる。なお、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルに対応する電圧レベルであるため、後段に接続されたトランジスタ４５３は駆動せず、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子（図１）における電圧レベルはオープンとなる。

ちなみに、オープンとされたＣＰＵＦ＿ＫＯ端子における電圧レベルは、トランジスタ５４１（図１）のゲートに印加される電圧レベルと略同一となる。具体的には、論理Ｈｉレベルに対応する電圧レベルとなる。詳しくは、図１に示されるように、電源が投入されて間もないため、メインマイコン２０のＣＰＵ端子における電圧レベルも不定である。そうした場合にあっては、抵抗器５１１がプルアップ抵抗として機能し、経路「定電圧源Ｖｃ→抵抗器５１１→抵抗器５１２→抵抗器５３１→ＧＮＤ」をたどって電流が流れる。このとき、抵抗器５１１〜５３１による定電圧「５Ｖ」の分圧値がトランジスタ５４１のゲートに印加される。これら抵抗器５１１〜５３１の抵抗値は、この分圧値がトランジスタ５４１の駆動電圧（論理Ｈｉレベル）に達するように設定されているため、ＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｈｉレベルと略同一の電圧レベルとなる（実際には、抵抗器５２１による電圧降下があるため、若干低くなる）。ちなみに、トランジスタ５４１はオンとされ、このトランジスタ５４１に接続されているリレー５０もオンとされる（イニシャル状態）。なお、当該電子制御装置１が搭載される内燃機関の始動性を向上するべく、リレー５０は、イニシャル状態において、オン制御されるようにしている。

このように初期位相固定回路４４が作動することにより、当該電子制御装置１への電源投入直後の、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは論理Ｈｉレベルに対応する電圧レベルに確定される。

次に、メインマイコン２０の動作状態が正常であるときの当該電子制御装置１の動作について説明する。

メインマイコン２０の動作状態が正常であるとき、サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなり、図２に示されるように、経路「ＬＡＴＣＨ端子→抵抗器４２１→抵抗器４２２→ＧＮＤ」をたどって電流が流れる。すると、論理Ｈｉレベルに対応する電圧レベルの抵抗器４２１及び４２２による分圧値がトランジスタ４２３のゲートに印加され、トランジスタ４２３はオンとされる。トランジスタ４２３がオンとされると、経路「定電圧源Ｖｃ（図２）→抵抗器４１３→トランジスタ４２３→ＧＮＤ」をたどって電流が流れ、ラッチ部４３を構成するＮＡＮＤゲート４３２の入力端子Ｉｎ１における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルとなる。そのため、ＮＡＮＤゲート４３２の入力端子Ｉｎ２における電圧レベルが論理Ｈｉレベルに対応する電圧レベルであろうと、論理Ｌｏレベルに対応する電圧レベルであろうと、ＮＡＮＤゲート４３２の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。そして、ＮＡＮＤゲート４３１の入力端子Ｉｎ１及びＩｎ２における電圧レベルは共に論理Ｈｉレベルに対応する電圧レベルであるため、出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなる。したがって、先の電源投入初期における動作と同様に、後段に接続されたトランジスタ４５３は駆動せず、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子（図１）における電圧レベルはオープンとなる（メインマイコン２０によるリレー５０のオンオフ制御を阻害しない）。

ちなみに、リレー５０（図１）をオン制御するときにあっては（通常時）、メインマイコン２０は、論理Ｈｉレベルに対応する電圧レベルにて第３出力信号をＣＰＵ端子に出力する。すると、このＣＰＵ端子における電圧は定電圧源Ｖｃとほぼ同一となり、経路「ＣＰＵ端子→抵抗器５１２→抵抗器５３１→ＧＮＤ」をたどって電流が流れる。このとき、抵抗器５１２及び５３１による論理Ｈｉレベルに対応する電圧レベルの分圧値がトランジスタ５４１のゲートに印加される。これら抵抗器５１２及び５３１の抵抗値は、この分圧値がトランジスタ５４１の駆動電圧に達するように設定されているため、トランジスタ５４１はオンとされ、このトランジスタ５４１に接続されているリレー５０もオンとされる。

一方、リレー５０（図１）をオフ制御するときにあっては、メインマイコン２０は、論理Ｌｏレベルに対応する電圧レベルにて第３出力信号をＣＰＵ端子に出力する。すると、このＣＰＵ端子における電圧よりも定電圧源Ｖｃの方が高電位となり、経路「定電圧源Ｖｃ→抵抗器５１１→ＣＰＵ端子」をたどって電流が流れる。このとき、トランジスタ５４１のゲートの電圧レベルは、論理Ｌｏレベルに対応する電圧レベルが印加されることになる。したがって、トランジスタ５４１はオンとされず、このトランジスタ５４１に接続されているリレー５０もオンとされない。

次に、メインマイコン２０の動作状態が異常であるときの当該電子制御装置１の動作について説明する。

ここで、本実施の形態では、メインマイコン２０の動作状態が異常であり、リレー５０のオンオフ制御を正常に行うことができないと判定するためのフェイルセーフ条件として、「サブマイコン３０が連続してリセットされる回数が所定回数（例えば２回）に達すること」を採用しており、そうしたサブマイコン３０がリセットされる条件としては、第１リセット条件あるいは第２リセット条件が成立することを採用している。なお、第１リセット条件としては、「メインマイコン２０から電源ＩＣ１０へ入力されるはずのウォッチドッグ信号が途絶して以後第１判定期間（例えば４０ミリ秒）を経過すること」を採用しており、第２リセット条件としては、「メインマイコン２０とサブマイコン３０との間での情報通信が途絶されて以後第２判定期間（例えば１００ミリ秒）を経過すること」を採用している。

本来であれば、メインマイコン２０の動作状態が異常である場合のフェイルセーフであるため、フェイルセーフ条件として、サブマイコン３０が連続してリセットされる回数を採用するのではなく、メインマイコン２０が連続してリセットされる回数を採用すべきである。しかしながら、既述したように、メインマイコン２０がリセットされると、その復帰後、サブマイコン３０をリセットするため、メインマイコン２０の連続リセット回数は、基本的に、サブマイコン３０の連続リセット回数と同一となる。したがって、本実施の形態では、サブマイコン３０の連続リセット回数を採用している。

ただし、実際には、メインマイコン２０はサブマイコン３０の動作状態を常に監視しており、サブマイコン３０の動作状態が異常となったと判断されるとき、メインマイコン２０はサブマイコン３０をリセットするため、厳密には、メインマイコン２０の連続リセット回数は、サブマイコン３０の連続リセット回数と同一にはならないこともある。こうした連続リセット回数の差異に対しては、後述するように、サブマイコン３０は、第１及び第２リセット条件のうちどちらの条件が成立したことによりメインマイコン２０がリセットされるのかについて履歴を残す。また、メインマイコン２０も、サブマイコン３０の動作状態が異常となったためサブマイコン３０をリセットした旨、履歴に残す。したがって、サブマイコン３０は、これら履歴及び自身の連続リセット回数に基づき、メインマイコン２０の連続リセット回数を的確にカウントしている。

こうしたフェイルセーフ条件が成立するときにあっては、メインマイコン２０を１度リセットしても正常な動作状態に至らなかったことを意味するため、メインマイコン２０によるリレー５０の的確なオンオフ制御を期待することはできない。そのため、サブマイコン３０は、メインマイコン２０に代わり、リレー５０をフェイルセーフ側にオフ制御するフェイルセーフ処理を行う。具体的には、サブマイコン３０は、ＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルを論理Ｌｏレベルに対応する電圧レベルとし、図２及び図３に示されるように、ラッチ部４３を構成するＮＡＮＤゲート４３１の入力端子Ｉｎ１における電圧レベルを論理Ｌｏレベルに対応する電圧レベルとする。そのため、ＮＡＮＤゲート４３１の入力端子Ｉｎ２における電圧レベルが、論理Ｈｉレベルに対応する電圧レベルであろうと、論理Ｌｏレベルに対応する電圧レベルであろうと、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。そして、初期位相固定回路４４を構成するＮＡＮＤゲート４４３の入力端子Ｉｎ１における電圧レベルも論理Ｈｉレベルに対応する電圧レベルとなり、ひいては、ラッチ部４３を構成するＮＡＮＤゲート４３２の入力端子Ｉｎ２における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなる。一方、サブマイコン３０はＬＡＴＣＨ端子における電圧レベルを論理Ｌｏレベルに対応する電圧レベルとするため、トランジスタ４２３はオフとされる。すると、抵抗器４１３によってプルアップされるため、ＮＡＮＤゲート４３２の入力端子Ｉｎ１における電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。したがって、ＮＡＮＤゲート４３２の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルに対応する電圧レベルに安定する。すると、経路「ＮＡＮＤゲート４３１の出力端子Ｏｕｔ→抵抗器４５１→抵抗器４５２→ＧＮＤ」をたどって電流が流れ、論理Ｈｉレベルに対応する電圧レベルの抵抗器４５１及び４５２による分圧値がトランジスタ４５３のゲートに印加され、トランジスタ４５３はオンとされる。そして、経路「定電圧源Ｖｃ（図１）→抵抗器５１１→抵抗器５１２→抵抗器５２１→トランジスタ４５３→ＧＮＤ」をたどって電流が流れることとなる。このとき、トランジスタ５４１のゲートに印加される電圧は論理Ｌｏレベルに対応する電圧レベルとなり、トランジスタ５４１はオフとされる。このトランジスタ５４１がオフとされると、リレー５０もオフとされ、安全側にオフ制御されたこととなる。なおこのとき、ＣＰＵＦ＿ＫＯ端子における電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなる。

また、第１リセット条件あるいは第２リセット条件が成立するとき、電源ＩＣ１０あるいはサブマイコン３０は、メインマイコン２０の動作状態を正常に戻すべく、メインマイコン２０をリセットする。なお、メインマイコン２０がリセットされると、メインマイコン２０のＣＰＵ端子における電圧レベルは不定となる。また、メインマイコン２０は、このリセットからの復帰後にサブマイコン３０をリセットするため、サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルも不定となる。こうした場合においては、サブマイコン３０がリセットされる直前に、当該電子制御装置１がイニシャル時または正常時にあったか、あるいは、当該電子制御装置１がフェイルセーフ時にあったかによって、ラッチ回路４０の動作が異なる。

例えば、当該電子制御装置１がイニシャル時または正常時にあったとき、すなわち、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルが論理Ｌｏレベルに対応する電圧レベルであったとき、ＮＡＮＤゲート４３１及び４３２の各入力端子Ｉｎ１における電圧レベルは、抵抗器４１２及び４１３によってそれぞれプルアップされるため、図３にリセット時１として示すように、論理Ｈｉレベルに対応する電圧レベルとなる。一方、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルが論理Ｌｏレベルに対応する電圧レベルであったため、ＮＡＮＤゲート４３２の入力端子Ｉｎ２における電圧レベルも、論理Ｌｏレベルに対応する電圧レベルとなる。そのため、ＮＡＮＤゲート４３２の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなり、ＮＡＮＤゲート４３１の入力端子Ｉｎ２における電圧レベルも論理Ｈｉレベルに対応する電圧レベルとなる。ＮＡＮＤゲート４３１の入力端子Ｉｎ１及びＩｎ２における電圧レベルが共に論理Ｈｉレベルに対応する電圧レベルあるため、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルで安定することとなる。もともと、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルであったことから、リセット条件が成立してサブマイコン３０がリセットされたとしても、その電圧レベルは保持されることとなる。したがって、リレー５０のオンオフ制御も、サブマイコン３０がリセットされる直前の制御と同様の制御が維持されることとなる。

また例えば、当該電子制御装置１がフェイルセーフ時にあったとき、すなわち、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルが論理Ｈｉレベルに対応する電圧レベルであったとき、ＮＡＮＤゲート４３１及び４３２の各入力端子Ｉｎ１における電圧レベルは、抵抗器４１２及び４１３によってそれぞれプルアップされるため、図３にリセット時２として示すように、論理Ｈｉレベルに対応する電圧レベルとなる。一方、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルが論理Ｈｉレベルに対応する電圧レベルであったため、ＮＡＮＤゲート４３２の入力端子Ｉｎ２における電圧レベルも論理Ｈｉレベルに対応する電圧レベルとなる。そのため、ＮＡＮＤゲート４３２の出力端子Ｏｕｔにおける電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、ＮＡＮＤゲート４３１の入力端子Ｉｎ２における電圧レベルも論理Ｌｏレベルに対応する電圧レベルとなる。ＮＡＮＤゲート４３１の入力端子Ｉｎ１における電圧レベルが論理Ｈｉレベルに対応する電圧レベルであり、入力端子２における電圧レベルが論理Ｌｏレベルに対応する電圧レベルであるため、ＮＡＮＤゲート４３１の出力端子Ｏｕｔにおける電圧レベルは論理Ｈｉレベルで安定することとなる。もともと、論理Ｈｉレベルであったことから、リセット条件が成立してサブマイコン３０がリセットされたとしても、フェイルセーフ状態が優先され、その電圧レベルが保持されることとなる。したがって、リレー５０のオンオフ制御も、サブマイコン３０がリセットされる直前の制御と同様の制御が維持されることとなる。

以上説明した本実施の形態の電子制御装置１によれば、メインマイコン２０の動作状態が長期に渡って異常であったとしても、フェイルセーフ処理とイニシャル処理とを交互に繰り返すことに起因して生じるリレー５０の接点溶着が生じることを抑制することができるようになり、制御対象（リレー５０）をフェイルセーフ側に制御することができるようになる。

ところで、サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルにノイズが重畳されるようなことがあると、こうしたノイズが重畳することに起因して、ＣＰＵＦ＿ＫＯ端子における電圧レベルが変化してしまい、リレー５０のオンオフ制御に誤動作が生じることが懸念される。

その点、本実施の形態では、サブマイコン３０は、ＣＰＵＦ端子及びＬＡＴＣＨ端子から出力する第１及び第２出力信号の電圧レベルを変える必要がない場合であっても、そのＣＰＵＦ端子及びＬＡＴＣＨ端子に例えば「８ミリ秒」毎に第１及び第２出力信号を繰り返し出力し、ＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルを更新することとしている。これにより、サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルにノイズが重畳され、リレー５０が誤動作しようとしても、その動作を即座に修正することができるようになる。

次に、図４〜図６を併せ参照して、電源ＩＣ１０及びサブマイコン３０が実行するリセット処理及びフェイルセーフ処理の処理手順について説明する。なお、図４は、主に電源ＩＣ１０によるメインマイコン２０のリセット処理の処理手順の一例を示したものであり、図５は、サブマイコン３０によるメインマイコン２０のリセット処理の処理手順の一例を示したものである。また、図６は、サブマイコン３０によるフェイルセーフ処理の処理手順の一例を示したものである。

当該電子制御装置１に電源が投入された後、電源ＩＣ１０及びサブマイコン３０は、図４に示される上記第１リセット条件に係るリセット処理を実行している。具体的には、電源ＩＣ１０及びサブマイコン３０は、メインマイコン２０から入力されるウォッチドッグ信号に基づいてメインマイコン２０の動作状態を監視している。

まず、サブマイコン３０は、ウォッチドッグ信号が途絶してから１６ミリ秒が経過したか否かを判断するステップＳ１０２の判断処理、及び、ウォッチドッグ信号が正常に入力されるようになったか否かを判断するステップＳ１０４の判断処理を通じて、メインマイコン２０の動作状態が異常であるか否かを一次的に判断する。ここで、ステップＳ１０２の判断処理においては「Ｎｏ」であり、続くステップＳ１０４の判断処理においては「Ｙｅｓ」であるとき、メインマイコン２０の動作状態がそもそも正常である、あるいは、ウォッチドッグ信号が一時的に途絶しただけであるため、サブマイコン３０は、続くステップＳ１０６の処理において、後述するウォッチドッグ異常履歴を消去する。一方、ステップＳ１０２の判断処理において「ＮＯ」であり、続くステップＳ１０４の判断処理においても「Ｎｏ」であるとき、メインマイコン２０の動作状態が異常である可能性が高まりつつある。そのため、サブマイコン３０は、ステップＳ１０２及びＳ１０４の判断処理を繰り返し実行し、このステップＳ１０２の判断処理において「Ｙｅｓ」となったとき、ウォッチドッグ信号が１６ミリ秒間途絶したことから、メインマイコン２０の動作状態が異常である可能性が高いため、サブマイコン３０は、続くステップＳ１０８の処理として、ウォッチドッグ異常履歴を記憶する。なお、このウォッチドッグ異常履歴は、サブマイコン３０に備えられた適宜の記憶保持手段に記憶され、サブマイコン３０がリセットされても、その内容は保持される。

次に、電源ＩＣ１０は、ウォッチドッグ信号が途絶してから４０ミリ秒が経過したか否かを判断するステップＳ１１０、及び、ウォッチドッグ信号が正常に入力されるようになったか否かを判断するステップＳ１１２の判断処理を通じて、メインマイコン２０の動作状態が異常であるか否かを二次的に判断する。ここで、ステップＳ１１０の判断処理においては「Ｎｏ」であり、続くステップＳ１１２の判断処理においては「Ｙｅｓ」であるとき、メインマイコン２０の動作状態が異常であると一度は判断されたものの正常に復帰したため、サブマイコン３０は、先のステップＳ１０６の処理を通じて、ウォッチドッグ異常履歴を消去する。一方、ステップＳ１１０の判断処理において「Ｎｏ」であり、続くステップＳ１１２の判断処理においても「Ｎｏ」であるとき、メインマイコン２０の動作状態が異常である可能性は極めて高い。そのため、電源ＩＣ１０は、ステップＳ１１０の判断処理を繰り返し実行し、このステップＳ１１０の判断処理において「Ｙｅｓ」となったとき、ウォッチドッグ信号が４０ミリ秒もの間途絶したことから、電源ＩＣ１０は、続くステップＳ１１４の処理として、メインマイコン２０の動作状態を正常に戻すべく、メインマイコン２０をリセットする。なお、既述したように、メインマイコン２０が電源ＩＣ１０によってリセットされて該リセットから復帰すると、サブマイコン３０をリセットする。サブマイコン３０は、そうしたリセットからの復帰後、ウォッチドッグ異常履歴や後述する通信状態異常履歴等を参照することにより、メインマイコン２０の連続リセット回数を把握することができる。

また、当該電子制御装置１に電源が投入された後、サブマイコン３０は、図５に示される上記第２リセット条件に係るリセット処理を実行している。サブマイコン３０は、メインマイコン２０との情報通信の通信状態に基づいてメインマイコン２０の動作状態を監視する。

まず、サブマイコン３０は、ステップＳ２００の処理として、ＣＰＵＦ端子及びＬＡＴＣＨ端子に例えば「８ミリ秒」毎に第１及び第２出力信号を繰り返し出力し、ＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルを更新する。サブマイコン３０のＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルにノイズが重畳されると、このノイズに起因してリレー５０が誤動作することがあることは既述した通りである。このステップＳ２００の処理を通じて電圧レベルを更新することで、ノイズに起因してリレー５０に誤動作が生じることを防止するとともに、誤動作が生じた場合であっても即座に修正することができるようになる。

次に、サブマイコン３０は、情報通信が途絶してから１６ミリ秒が経過したか否かを判断するステップＳ２０２の判断処理、及び、情報通信が正常になったか否かを判断するステップＳ２０４の判断処理を通じて、メインマイコン２０の動作状態が異常であるか否かを一次的に判断する。ここで、ステップＳ２０２の判断処理においては「Ｎｏ」であり、続くステップＳ２０４の判断処理においては「Ｙｅｓ」であるとき、メインマイコン２０の動作状態がそもそも正常である、あるいは、情報通信が一時的に途絶しただけであるため、サブマイコン３０は、続くステップＳ２０６の処理において、後述する通信状態異常履歴を消去する。一方、ステップＳ２０２の判断処理において「ＮＯ」であり、続くステップＳ２０４の判断処理においても「Ｎｏ」であるとき、メインマイコン２０の動作状態が異常である可能性が高まりつつある。そのため、サブマイコン３０は、ステップＳ２０２及びＳ２０４の判断処理を繰り返し実行し、このステップＳ２０２の判断処理において「Ｙｅｓ」となったとき、情報通信が１６ミリ秒間途絶したことから、メインマイコン２０の動作状態が異常である可能性が高いため、サブマイコン３０は、続くステップＳ２０８の処理として、情報通信異常履歴を記憶する。なお、この情報通信異常履歴は、サブマイコン３０に備えられた適宜の記憶保持手段に記憶され、サブマイコン３０がリセットされても、その内容は保持される。

次に、サブマイコン３０は、情報通信が途絶してから１００ミリ秒が経過したか否かを判断するステップＳ２１０、及び、情報通信が正常になったか否かを判断するステップＳ２１２の判断処理を通じて、メインマイコン２０の動作状態が異常であるか否かを二次的に判断する。ここで、ステップＳ２１０の判断処理においては「Ｎｏ」であり、続くステップＳ２１２の判断処理においては「Ｙｅｓ」であるとき、メインマイコン２０の動作状態が異常であると一度は判断されたものの正常に復帰したため、サブマイコン３０は、先のステップＳ２０６の処理を通じて、情報通信異常履歴を消去する。一方、ステップＳ２１０の判断処理において「Ｎｏ」であり、続くステップＳ２１２の判断処理においても「Ｎｏ」であるとき、メインマイコン２０の動作状態が異常である可能性は極めて高い。そのため、サブマイコン３０は、ステップＳ２１０及びステップＳ２１２の判断処理を繰り返し実行し、このステップＳ２１０の判断処理において「Ｙｅｓ」となったとき、情報通信が１００ミリ秒もの間途絶したことから、サブマイコン３０は、続くステップＳ２１４の処理として、メインマイコン２０の動作状態を正常に戻すべく、メインマイコン２０をリセットする。なお、これも既述したように、メインマイコン２０が電源ＩＣ１０によってリセットされて該リセットから復帰すると、サブマイコン３０をリセットする。サブマイコン３０は、そうしたリセットからの復帰後、先のウォッチドッグ異常履歴やこの通信状態異常履歴等を参照することにより、メインマイコン２０の連続リセット回数を把握することができる。

また、当該電子制御装置１に電源が投入された後、サブマイコン３０は、図６に示されるフェイルセーフ処理を実行してもいる。サブマイコン３０は、ステップＳ３００の判断処理として、メインマイコン２０が連続してリセットされる回数が２回に到達したか否かを判断する。なおこのとき、サブマイコン３０は、先のウォッチドッグ異常履歴及び通信状態異常履歴等々を参照しつつ自身のリセット回数に基づき、メインマイコン２０の連続リセット回数を判断していることは既述した通りである。

ここで、メインマイコン２０は、リセットされると、多くの場合、その動作状態が正常に復帰する。そのため、ステップＳ３００の判断処理において「Ｎｏ」であるとき、メインマイコン２０が正常に復帰する可能性が高いため、既述したフェイルセーフ処理を行わない。しかしながら、ステップＳ３００の判断処理において「Ｙｅｓ」であるとき、メインマイコン２０は、１度リセットされてもなお動作状態が正常でないことを意味する。そのため、続くステップＳ３０２の処理として、既述したフェイルセーフ処理を実行する。なお、こうしてフェイルセーフ状態に入ると、サブマイコン３０は、続くステップＳ３０４及びＳ３０６の処理を通じて、先の通信状態異常履歴やウォッチドッグ異常履歴を消去する。

図７は、メインマイコン２０から出力されるウォッチドッグ信号が途絶した場合の本実施の形態の動作例を示すタイミングチャートである。次に、この図７を参照して説明する。

図７（ａ）〜（ｆ）に示されるように、例えば時刻ｔ７０において当該電子制御装置１に電源が投入されたとする。このとき、初期位相固定回路４４（図２）によって初期における電圧レベルが確定され、メインマイコン２０の動作状態が正常であるため、サブマイコン３０のＲＥＳＢ１２端子、ラッチ回路４０のＬＡＴＣＨ端子及びＣＰＵＦ端子並びにＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなっている。そして、図７（ｂ）に示すように、メインマイコン２０の動作状態が例えば時刻ｔ７１において異常となり、この時刻ｔ７１から４０ミリ秒経過してもなおウォッチドッグ信号が途絶したままであると、電源ＩＣ１０は、メインマイコン２０の動作状態が異常であると判断し、ＲＥＳＥＴ１１端子を介してメインマイコン２０をリセットする。そして、リセットされたメインマイコン２０がこのリセットから復帰すると、メインマイコン２０は、ＲＥＳＥＴ１２端子を介してサブマイコン３０をリセットする。具体的には、図７（ｃ）に示されるように、先の時刻ｔ７１から４０ミリ秒経過後の時刻ｔ７２において、サブマイコン３０のＲＥＳＢ１２端子における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルとされる。リセットされたサブマイコンのＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルは不定となるものの、ラッチ回路４０のＬＡＴＣＨ端子（正確にはトランジスタ４２３のゲート）における電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、ラッチ回路４０のＣＰＵＦ端子（正確にはＮＡＮＤゲート４３１の入力端子Ｉｎ１）における電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。その結果、図７（ｆ）に示されるように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなる。このリセットの復帰後も依然としてメインマイコン２０の動作状態が異常であってウォッチドッグ信号が出力されないと、電源ＩＣは、再び、メインマイコン２０をリセットし、このリセットから復帰したメインマイコン２０は、例えば時刻ｔ７３において、再び、サブマイコン３０をリセットする。

こうしてリセットされると、メインマイコン２０が連続してリセットされた回数が２回に達するフェイルセーフ条件が成立するため、サブマイコン３０は、例えば時刻ｔ７４において、そのＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルを論理Ｌｏレベルに対応する電圧レベルとするフェイルセーフ処理を実行する。すると、図７（ｄ）及び（ｅ）に示すように、ラッチ回路４０のＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルも論理Ｌｏレベルとされ、図７（ｆ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルも論理Ｌｏレベルに対応する電圧レベルとされる。さらには、リレー５０（図１）もオフとされ、フェイルセーフ状態となる。

時刻ｔ７４以後のフェイルセーフ状態にあっても、電源ＩＣ１０によるメインマイコン２０のリセット処理は継続して実行される。すなわち、リセット条件が成立して電源ＩＣ１０がメインマイコン２０をリセットし、このリセットから復帰したメインマイコン２０が、図７（ｃ）に示すように、例えば時刻ｔ７５においてサブマイコン３０をリセットすると、図７（ｄ）に示すように、ラッチ回路４０のＬＡＴＣＨ端子における電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、図７（ｅ）に示すように、ラッチ回路４０のＣＰＵＦ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなる。ただし、図７（ｆ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルを保持し、リレー５０（図１）もオフ制御されたままとなる。以降、リセット条件が成立して、電源ＩＣ１０によってメインマイコン２０がリセットされ、このリセット復帰後メインマイコン２０によってサブマイコン３０がリセットされても、ＣＰＵＦ＿ＫＯ端子における電圧レベルは、リセットされる直前と同一の電圧レベルを保持し、リレー５０のオンオフ制御を保持されるようになる。

図８は、メインマイコン２０とサブマイコン３０との間の情報通信が途絶した場合の本実施の形態の動作例を示すタイミングチャートである。次に、この図８を参照して説明する。

図８（ａ）〜（ｆ）に示されるように、例えば時刻ｔ８０において当該電子制御装置１に電源が投入されたとする。このとき、初期位相固定回路４４（図２）によって初期における電圧レベルが確定され、メインマイコン２０の動作状態が正常であるため、サブマイコン３０のＲＥＳＢ１２端子、ラッチ回路４０のＬＡＴＣＨ端子及びＣＰＵＦ端子並びにＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなっている。そして、図８（ａ）に示すように、メインマイコン２０の動作状態が例えば時刻ｔ８１において異常となり、この時刻ｔ８１から１００ミリ秒経過してもなおサブマイコン３０との情報通信が途絶したままであると、サブマイコン３０は、メインマイコン２０の動作状態が異常であると判断し、ＲＥＳＥＴ２端子を介してメインマイコン２０をリセットする。そして、リセットされたメインマイコン２０がこのリセットから復帰すると、メインマイコン２０は、ＲＥＳＥＴ１２端子を介してサブマイコン３０をリセットする。具体的には、図８（ｃ）に示されるように、先の時刻ｔ８１から１００ミリ秒経過後の時刻ｔ８２において、サブマイコン３０のＲＥＳＢ１２端子における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルとされる。リセットされたサブマイコンのＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルは不定となるものの、ラッチ回路４０のＬＡＴＣＨ端子（正確にはトランジスタ４２３のゲート）における電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、ラッチ回路４０のＣＰＵＦ端子（正確にはＮＡＮＤゲート４３１の入力端子Ｉｎ１）における電圧レベルは論理Ｈｉレベルに対応する電圧レベルとなる。その結果、図８（ｆ）に示されるように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなる。このリセットの復帰後も依然としてメインマイコン２０の動作状態が異常であって情報通信が行われないと、サブマイコン３０は、再び、メインマイコン２０をリセットし、このリセットから復帰したメインマイコン２０は、例えば時刻ｔ８３において、サブマイコン３０を再びリセットする。

こうしてリセットされると、メインマイコン２０が連続してリセットされた回数が２回に達するフェイルセーフ条件が成立するため、サブマイコン３０は、例えば時刻ｔ８４において、そのＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルを論理Ｌｏレベルに対応する電圧レベルとするフェイルセーフ処理を実行する。すると、図８（ｄ）及び（ｅ）に示すように、ラッチ回路４０のＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルも論理Ｌｏレベルとされ、図８（ｆ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルも論理Ｌｏレベルに対応する電圧レベルとされる。さらには、リレー５０（図１）もオフとされ、フェイルセーフ状態となる。

時刻ｔ８４以後のフェイルセーフ状態にあっても、サブマイコン３０よるメインマイコン２０のリセット処理は継続して実行される。すなわち、リセット条件が成立してサブマイコン３０がメインマイコン２０をリセットし、このリセットから復帰したメインマイコン２０が、図８（ｃ）に示すように、例えば時刻ｔ８５においてサブマイコン３０をリセットすると、図８（ｄ）に示すように、ラッチ回路４０のＬＡＴＣＨ端子における電圧レベルは論理Ｌｏレベルに対応する電圧レベルとなり、図８（ｅ）に示すように、ラッチ回路４０のＣＰＵＦ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなる。ただし、図８（ｆ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルを保持し、リレー５０（図１）もオフ制御されたままとなる。以降、リセット条件が成立して、サブマイコン３０によってメインマイコン２０がリセットされ、このリセット復帰後メインマイコン２０によってサブマイコン３０がリセットされても、ＣＰＵＦ＿ＫＯ端子における電圧レベルは、リセットされる直前と同一の電圧レベルを保持し、リレー５０のオフ制御を保持するようになる。

図９及び図１０は、サブマイコン３０のＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルを更新出力する本実施の形態の動作例及び更新出力しない動作例をそれぞれ示すタイミングチャートである。次に、これら図９及び図１０を併せ参照して説明する。

図９（ａ）〜（ｇ）及び図１０（ａ）〜（ｇ）に示されるように、例えば時刻ｔ９０において当該電子制御装置１に電源が投入されたとする。このとき、初期位相固定回路４４（図２）によって初期における電圧レベルが確定され、メインマイコン２０の動作状態が正常であるため、サブマイコン３０のＲＥＳＢ１２端子、ラッチ回路４０のＬＡＴＣＨ端子及びＣＰＵＦ端子並びにＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｈｉレベルに対応する電圧レベルとなっている。なお、図９においては、サブマイコン３０は、そのＬＡＴＣＨ端子及びＣＰＵＦ端子の電圧レベルを８ミリ秒毎に更新している（ステップＳ２００の処理（図５））。

ここで、図９（ａ）及び図１０（ａ）にそれぞれ示すノイズがサブマイコン３０のＬＡＴＣＨ端子（正確には、トランジスタ４２３のゲート）及びＣＰＵＦ端子（正確にはＮＡＮＤゲート４３１の入力端子Ｉｎ１）における電圧レベルに重畳されたとする。このとき、図９（ｅ）及び（ｆ）並びに図１０（ｅ）及び（ｆ）に示されるように、サブマイコン３０のＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルはそれぞれ徐々に低下し、例えば時刻ｔ９１及びｔ１０１において、論理Ｌｏレベルに対応する電圧レベルにまで低下する。そのため、図９（ｇ）及び図１０（ｇ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルに変化してしまう。

このように、ノイズが重畳することにより電圧レベルが変化したままであると、図１０（ｇ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、論理Ｌｏレベルに対応する電圧レベルのままであり、メインマイコン２０の動作状態が正常であるにもかかわらず、フェイルセーフ状態とされてしまう。

しかしながら、ノイズが重畳して電圧レベルが変化しても、サブマイコン３０がそのＬＡＴＣＨ端子及びＣＰＵＦ端子の電圧レベルを更新すると、図９（ｅ）及び（ｆ）に示すように、ラッチ回路４０のＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルが例えば時刻ｔ９２において更新されて、それぞれ論理Ｈｉレベルに対応する電圧レベルとなる。したがって、図９（ｇ）に示すように、ラッチ回路４０のＣＰＵＦ＿ＫＯ端子における電圧レベルは、時刻ｔ９２において、正常に復帰することとなる。

なお、本発明に係る電子制御装置は、上記実施の形態で例示した構成に限られるものではなく、本実施の形態を適宜変更した例えば次の形態として実行することもできる。

上記実施の形態では、第１リセット条件として、「メインマイコン２０から電源ＩＣ１０へ入力されるはずのウォッチドッグ信号が途絶して以後第１判定期間（例えば４０ミリ秒）を経過すること」を採用していたが、第１判定期間は４０ミリ秒に限らず任意である。同じく、上記実施の形態（変形例を含む）では、第２リセット条件として、「メインマイコン２０とサブマイコン３０との間での情報通信が途絶されて以後第２判定期間（例えば１００ミリ秒）を経過すること」を採用していたが、第２判定期間も１００ミリ秒に限らず任意である。また、第２リセット条件としては、第１リセット条件のように、メインマイコン２０とサブマイコン３０との間での情報通信が途絶されて以後の経過時間に替えて、もしくは、これに加えて、メインマイコン２０からサブマイコン３０へ入力されるウォッチドッグ信号が途絶して以後の経過時間に基づくこととしてもよい。

上記実施の形態（変形例を含む）では、メインマイコン２０が連続してリセットされる回数が２回に到達することをフェイルセーフ条件としていたが、そうした回数は２回に限らず任意である。メインマイコン２０は、その動作状態が一旦異常となってしまっても、リセット復帰後に正常に戻ることもある。したがって、メインマイコン２０の動作状態が正常に戻るような試みをした上で、フェイルセーフ処理に移行することが望ましい。そのため、フェイルセーフ条件としては、リセットされる回数にも限らない。第１リセット条件や第２リセット条件と同様に、メインマイコン２０から出力されるはずのウォッチドッグ信号が途絶して以後経過した期間に基づくフェイルセーフ条件としてもよく、あるいは、メインマイコン２０とサブマイコン３０との間の情報通信が途絶して以後経過した期間に基づくフェイルセーフ条件としてもよい。

上記実施の形態（変形例を含む）では、当該電子制御装置１の駆動初期において、ＮＡＮＤゲート４３１及び４３２の各端子における電圧レベルを固定するためのコンデンサ４４１を含んで初期位相固定回路４４を構成していたが、コンデンサに限らない。他に例えば定電圧源を備え、駆動初期においてのみ、ＮＡＮＤゲート４３２の入力端子Ｉｎ２における電圧レベルを論理Ｌｏレベルに対応する電圧レベルに固定することとしてもよい。駆動初期における電圧レベルを固定することができれば、その構成は任意である。

上記実施の形態（変形例を含む）では、サブマイコン３０は、第１及び第２出力信号の電圧レベルを変える必要がない場合であっても、そのＣＰＵＦ端子及びＬＡＴＣＨ端子に例えば「８ミリ秒」毎に第１及び第２出力信号を繰り返し出力し、ＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルを更新していたが、これに限らない。ＣＰＵＦ端子及びＬＡＴＣＨ端子における電圧レベルにノイズが重畳することがないのであれば、あるいは、重畳されてもリレー５０が誤動作しないのであれば、そうした更新を実行しなくともよい。

上記実施の形態（変形例を含む）では、当該電子制御装置の制御対象とするリレー５０として、内燃機関の燃焼室の予熱機構を構成するグロープラグを点消灯するグローリレーを採用していたが、これに限らない。他にも、内燃機関の燃焼室に燃料を噴射供給するインジェクタを駆動制御するＥＤＵへ駆動電圧を供給するＥＤＵリレーを採用してもよい。要は、イニシャル時とフェイルセーフ時とで、そのオンオフが異なるリレーであれば、本発明は同様に有効である。

本発明に係る電子制御装置の一実施の形態について、その全体の構成を示すブロック図。 同実施の形態のラッチ回路について、その構成の一例を示す等価回路図。 同実施の形態において、動作状態の別に、各端子における電圧レベルを一覧にて示す図。 同実施の形態において、電源ＩＣ１０及びサブマイコン３０によるメインマイコン２０のリセット処理の処理手順の一例を示すフローチャート。 同実施の形態において、サブマイコン３０によるメインマイコン２０のリセット処理の処理手順の一例を示すフローチャート。 同実施の形態におけるフェイルセーフ処理の処理手順の一例を示すフローチャート。 同実施の形態において、メインマイコン２０から出力されるウォッチドッグ信号が途絶した場合の動作例を示すタイミングチャート。 同実施の形態において、メインマイコン２０とサブマイコン３０との間の情報通信が途絶した場合の動作例を示すタイミングチャート。 同実施の形態において、ＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルを更新出力する場合の動作例を示すタイミングチャート。 同実施の形態において、ＬＡＴＣＨ端子及びＣＰＵＦ端子における電圧レベルを更新出力しない場合の動作例を示すタイミングチャート。

符号の説明

１…電子制御装置、１０…電源ＩＣ（電源部）、２０…メインマイクロコンピュータ（主制御部）、３０…サブマイクロコンピュータ（副制御部）、４０…ラッチ回路、４１１〜Ｒ４１３、４２１、４２２、４４２、４５１、４５２、５１１、５１２、５２１、５３１…抵抗器、４２３、４５３、５４１…トランジスタ、４３…ラッチ部、４３１、４３２、４４３、４４４……オペアンプ、４４…初期位相固定回路、４４１…コンデンサ、５０…リレー

Claims (8)

1. リレーを含む負荷をオンオフ制御する主制御部と、
   前記主制御部から入力されるウォッチドッグ信号に基づく第１リセット条件が成立するとき、前記主制御部をリセットするためのリセット信号を前記主制御部に出力する電源部と、
   前記主制御部との情報通信に基づく第２リセット条件が成立するとき、リセット信号を前記主制御部に出力するとともに、前記主制御部による前記負荷のオンオフ制御が正常に行われないとするフェイルセーフ条件が成立するとき、前記負荷をオフとするフェイルセーフ信号を前記主制御部に代わって前記負荷に出力する副制御部とを備え、
   前記主制御部は、自身のリセット復帰後に、前記副制御部をリセットするリセット信号を出力するとともに、前記負荷をオンとするイニシャル信号を前記負荷に出力する電子制御装置であって、
   前記副制御部と前記負荷との間に介在し、前記フェイルセーフ条件が成立するとき、前記副制御部から、ともにローレベルに対応する電圧レベルの第１出力信号及び第２出力信号が入力され、これら第１及び第２出力信号から前記フェイルセーフ信号を生成し、前記負荷に出力するとともに、前記副制御部がリセットされても、リセットされる直前に前記負荷に出力していたフェイルセーフ信号の出力を継続するラッチ回路を備え、
   前記副制御部が前記ラッチ回路に出力する前記第１及び第２出力信号の電圧レベルは、前記副制御部がリセットされるときに不定となるものであり、
   前記ラッチ回路は、これら第１及び第２出力信号がそれぞれ入力される第１及び第２ＮＡＮＤゲートを組み合わせたラッチ部と、前記副制御部がリセットされて、前記第１及び第２出力信号の電圧レベルが不定となったときに、前記第１及び第２出力信号が入力される前記第１及び第２ＮＡＮＤゲートの入力端子の電圧レベルを、出力しているフェイルセーフ信号の電圧レベルが変化しないように固定するための抵抗器とを備えることを特徴とする電子制御装置。
2. 前記第１リセット条件は、前記主制御部から出力されて前記電源部へ入力される前記ウォッチドッグ信号が途絶して以後第１判定期間を経過することである請求項１に記載の電子制御装置。
3. 前記第２リセット条件は、前記主制御部と前記副制御部との間での情報通信が途絶して以後第２判定期間を経過することである請求項１または２に記載の電子制御装置。
4. 前記フェイルセーフ条件は、前記主制御部の連続リセット回数が所定回数を超えることである請求項１〜３のいずれか一項に記載の電子制御装置。
5. 前記副制御部は、該副制御部と前記負荷との間に介在する前記ラッチ回路に出力する前記第１及び第２出力信号を所定時間ごとに繰り返し更新出力することを特徴とする請求項１〜４のいずれか一項に記載の電子制御装置。
6. 前記ラッチ回路は、前記第１及び第２ＮＡＮＤゲートの駆動初期における電圧レベルを固定するためのコンデンサを含んで構成されることを特徴とする請求項１に記載の電子制御装置。
7. 前記リレーは、内燃機関の燃焼室の予熱機構を構成するグロープラグを点消灯するグローリレーであることを特徴とする請求項１〜６のいずれか一項に記載の電子制御装置。
8. 前記リレーは、内燃機関の燃焼室に燃料を噴射供給するインジェクタを駆動制御するＥＤＵへ駆動電圧を供給するＥＤＵリレーであることを特徴とする請求項１〜６のいずれか一項に記載の電子制御装置。

Images