JP6341069B2 - 電子制御装置 - Google Patents

Description

本発明は、電子制御装置に関する。

従来、特許文献１に記載の電子制御装置がある。この電子制御装置は、エンジンの駆動を制御するマイクロコンピュータと、制御部の動作を監視する監視ＩＣとを有している。以下では、便宜上、マイクロコンピュータを「マイコン」と略記する。マイコンは、その機能を検出するためのテストを選択するテスト選択手段を有している。マイコンは、テスト選択手段により選択されるテストを実施するとともに、その実施結果であるテスト回答を監視ＩＣに送信する。監視ＩＣは、マイコンから送信されるテスト回答に基づいてマイコンが正常であるか否かを判定する。監視ＩＣは、マイコンが異常であると判定した回数が所定回数以上となった場合には、フェイルセーフ信号を出力することによりエンジン出力を制限する。

また、特許文献１の電子制御装置では、マイコンが監視ＩＣの動作を監視している。詳しくは、マイコンは、異常と判定されるテスト回答を監視ＩＣに意図的に送信し、監視ＩＣが異常と判定するか否かを検証することにより、監視ＩＣの動作を監視している。

特開２００８−２２６０４３号公報

ところで、監視ＩＣは、フェイルセーフ信号を外部に出力するための信号出力部や出力端子を有している。これらの信号出力部や出力端子に信号固着等の異常が生じると、監視ＩＣからフェイルセーフ信号が適切に出力されない可能性がある。このような状況を回避するためにも、監視ＩＣからフェイルセーフ信号が正常に出力されるか否かを検証する必要がある。一般的に、監視ＩＣからフェイルセーフ信号が正常に出力されるか否かを検証する検査は、運転者がイグニションスイッチをオフしたタイミングでのみ実施しているが、信頼性向上のために車両走行中にも実施したいという要望がある。その検証方法の一つとして、例えばマイコンが誤回答のテスト回答を意図的に監視ＩＣに所定回数以上送信することにより、監視ＩＣからフェイルセーフ信号が正常に出力されるか否かをマイコンが検証するという方法が考えられる。しかしながら、車両走行中に監視ＩＣからフェイルセーフ信号が出力されてしまうと、制御対象であるエンジンの出力が制限されてしまうため、運転者に大きな違和感を与えるおそれがある。

本発明は、こうした実情に鑑みてなされたものであり、その目的は、制御対象の動作への影響を抑えつつ、フェイルセーフ信号が正常に出力されるか否かを検証することのできる電子制御装置を提供することにある。

上記課題を解決する電子制御装置（１）は、制御部（３）と、監視部（４）と、出力検証部（３３，４０１）とを備える。制御部は、制御対象（Ａ）の駆動を制御する。監視部は、制御部を監視するとともに、制御部の異常検知回数を示すエラーカウンタ（Ｃｅ）の値が判定規定値に達した際にフェイルセーフ信号を出力する。出力検証部は、監視部からフェイルセーフ信号が正常に出力されるか否かを検証する。監視部からフェイルセーフ信号が正常に出力されるか否かを検証する際に、制御部は、当該制御部の異常を意図的に監視部に検知させる。監視部からフェイルセーフ信号が正常に出力されるか否かを検証する際に、監視部は、判定規定値よりも小さい検査用規定値を有し、エラーカウンタの値が検査用規定値に達した際に、ワンショットパルス信号を出力する。出力検証部は、ワンショットパルス信号に基づき、監視部からフェイルセーフ信号が正常に出力されるか否かを検証する。

この構成によれば、出力検証部は、ワンショットパルス信号に基づいて、監視部からフェイルセーフ信号が正常に出力されるか否かを検証することができる。また、監視部からフェイルセーフ信号に代えてワンショットパルス信号が出力されるのであれば、制御対象がフェイルセーフ信号に応じた動作を行う期間を極短くすることができる。よって、制御対象の動作への影響を抑えることができる。

本発明によれば、制御対象の動作への影響を抑えつつ、フェイルセーフ信号が正常に出力されるか否かを検証することができる。

電子制御装置の第１実施形態についてその構成を示すブロック図。 第１実施形態の電子制御装置についてその監視ＩＣから出力されるフェイルセーフ信号及びワンショットパルス信号の波形を示すグラフ。 第１実施形態の電子制御装置についてそのマイコンにより実行される処理の手順を示すフローチャート。 （ａ）〜（ｆ）は、第１実施形態の電子制御装置について、マイコンからのテスト回答、検査用規定値Ｃｔｈ２、監視ＩＣでの検査結果、エラーカウンタＣｅ、タイマＴ、監視ＩＣの出力、及び検査結果記憶部の記憶情報の推移を示すタイミングチャート。 電子制御装置の第２実施形態についてその構成を示すブロック図。 電子制御装置の第３実施形態についてその構成を示すブロック図。 第３実施形態の電子制御装置についてそのフィルタ部を通過したワンショットパルス信号の波形を示すグラフ。 電子制御装置の第４実施形態についてそのマイコンにより実行される処理の手順を示すフローチャート。 電子制御装置の第５実施形態についてそのマイコンにより実行される処理の手順を示すフローチャート。 （ａ）〜（ｆ）は、第５実施形態の電子制御装置について、マイコンからのテスト回答、検査用規定値Ｃｔｈ２、監視ＩＣでの検査結果、エラーカウンタＣｅ、タイマＴ、監視ＩＣの出力、及び検査結果記憶部の記憶情報の推移を示すタイミングチャート。 電子制御装置の他の実施形態についてその構成を示すブロック図。

＜第１実施形態＞
以下、電子制御装置（ＥＣＵ）の一実施形態について説明する。
本実施形態の電子制御装置１は車両に搭載されている。図１に示されるように、電子制御装置１は、車両に搭載された各種センサＳの出力信号に基づき、電気負荷としてのアクチュエータＡの駆動を制御する。例えば電子制御装置１がエンジンの吸入空気量を制御するエンジン制御装置である場合、センサＳは、アクセルペダルの踏み込み量を検出するアクセルポジションセンサからなり、アクチュエータＡは、電子スロットル弁を駆動させるためのアクチュエータからなる。電子制御装置１は、駆動装置２と、制御部としてのマイクロコンピュータ３と、監視部としての監視ＩＣ４とを備えている。以下では、便宜上、マイクロコンピュータを「マイコン」と略記する。

マイコン３は、例えばＭＣＵ（ Micro Processing Unit）からなり、各種制御機能３０を有している。制御機能３０は、ＣＰＵやＲＯＭ等のハード的な構成と、ＲＯＭに記憶された制御プログラム等のソフトウェア的な構成とからなる。マイコン３は、各種制御機能３０により、例えばセンサＳの出力信号に基づき駆動装置２を駆動させるための制御信号を生成する。マイコン３は、各種制御機能３０により生成された制御信号を駆動装置２に送信する。

駆動装置２は、端子Ｔ２０，Ｔ２１、及びそれらに接続される給電線Ｗ１，Ｗ２を介してアクチュエータＡに電力を供給することにより、アクチュエータＡを駆動させる。駆動装置２は、マイコン３から送信される制御信号に基づきアクチュエータＡの供給電圧を制御する。すなわち、マイコン３は、制御信号により駆動装置２を介してアクチュエータＡの駆動を制御する。

監視ＩＣ４は、マイコン３の制御機能３０が正常に動作しているか否かを車両走行中に監視する。監視ＩＣ４は、マイコン３の制御機能３０の異常を検出した場合、フェイルセーフ信号Ｓｆｓを駆動装置２に出力する。図２に実線で示されるように、本実施形態のフェイルセーフ信号Ｓｆｓは、その信号レベルのハイレベルが非アクティブ電位に設定され、ローレベルがアクティブ電位に設定された信号からなる。

図１に示されるように、駆動装置２は、監視ＩＣ４から送信されるフェイルセーフ信号Ｓｆｓを、入力端子Ｔ２２を介して受信すると、フェイルセーフ処理を実行する。フェイルセーフ処理は、アクチュエータＡの駆動を制限すべくアクチュエータへの供給電圧を変化させる処理からなる。例えばフェイルセーフ処理は、アクチュエータＡの供給電圧を制限させることによりアクチュエータＡの駆動を制限する処理や、アクチュエータＡの供給電圧を遮断することによりアクチュエータＡを停止させる処理等からなる。例えばアクチュエータＡが電子スロットル弁からなる場合には、フェイルセーフ処理として、吸入吸気量を絞る処理等が実行される。

また、本実施形態のマイコン３は、監視ＩＣ４が正常に動作しているか否かを車両走行中に監視している。マイコン３は、監視ＩＣ４に異常が検出された場合、車両のインストルメントパネルに設けられた警告灯を点灯させる等して、監視ＩＣ４の異常を運転者に報知する等のフェイルセーフ処理を実行する。

次に、マイコン３及び監視ＩＣ４の相互監視の構成について詳しく説明する。はじめに、監視ＩＣ４がマイコン３を監視する構成について説明する。

マイコン３は、テスト選択検証部３１と、テスト結果管理部３２とを有している。
テスト選択検証部３１は、監視ＩＣ４からの指令に基づき今回実施すべきテスト処理を選択する。具体的には、テスト選択検証部３１は、予め設定された複数のテストＩＤの中から単数乃至複数のテストＩＤを選択する。テストＩＤは、複数のテスト処理毎に予め付された識別情報を表す。マイコン３は、テスト選択検証部３１により選択されたテストＩＤに対応するテスト処理を複数のテスト対象＃１，＃２，…の各々について実施する。テスト対象＃１，＃２，…は、マイコン３の各種制御機能３０に対して個別に設定されている。テスト対象＃１，＃２，…には、ハード的な構成のみならず、ソフトウェア的な構成も含まれている。テスト結果管理部３２は、マイコン３により行われたテスト処理の結果を表すテスト回答を作成し、実施したテストＩＤとそのテスト回答とを監視ＩＣ４に送信する。

監視ＩＣ４は、テスト回答確認部４０と、フェイルセーフ（Ｆ／Ｓ）出力部４１とを有している。

テスト回答確認部４０はロジック回路からなり、正誤判定回路４００と、エラーカウンタＣｅとを有している。正誤判定回路４００は、マイコン３から送信されるテスト回答の正誤を判定する。テスト回答確認部４０は、正誤判定回路４００によりマイコン３のテスト回答が誤りであると判定した場合には、エラーカウンタＣｅの値をインクリメントする。すなわち、エラーカウンタＣｅは、マイコン３の異常検知回数を示している。なお、エラーカウンタＣｅの初期値は「０」に設定されている。また、テスト回答確認部４０は、正誤判定回路４００によるテスト回答の正誤の判定結果を示すテスト回答確認結果、それに対応するテスト処理のテストＩＤ、及びエラーカウンタＣｅの値をマイコン３のテスト選択検証部３１に送信する。

テスト選択検証部３１は、監視ＩＣ４から送信されるテスト回答確認結果、テストＩＤ、及びエラーカウンタＣｅの値に基づいて、次回に実施すべきテスト処理のテストＩＤを選択する。したがって、マイコン３及び監視ＩＣ４の処理は、「テスト選択検証部３１→テスト結果管理部３２→テスト回答確認部４０→テスト選択検証部３１→…」の順で繰り返し行われることとなる。

こうしたマイコン３及び監視ＩＣ４による一連の処理が所定の周期で行われることにより、テスト回答確認部４０がマイコン３のテスト回答の正誤を所定の周期で判定する。テスト回答確認部４０は、エラーカウンタＣｅの値がインクリメントされて「１」となった時点からタイマＴの計測を開始する。テスト回答確認部４０は、タイマＴが予め定められた第１閾値時間Ｔｔｈ１に達するまでにエラーカウンタＣｅの値が判定規定値Ｃｔｈ１に達しなかった場合には、エラーカウンタＣｅの値をクリアして「０」に戻す。テスト回答確認部４０は、エラーカウンタＣｅの値が第１閾値時間Ｔｔｈ１に達した場合には、フェイルセーフ信号ＳｆｓをＦ／Ｓ出力部４１、監視ＩＣ４の出力端子Ｔ４０、及び信号線Ｗ３を介して駆動装置２に送信する。

駆動装置２は、監視ＩＣ４から送信されるフェイルセーフ信号Ｓｆｓを、入力端子Ｔ２２を介して取り込む。図２に示されるように、駆動装置２は、入力端子Ｔ２２の電位が認識下限電位Ｖｍｉｎ以下になることに基づき、フェイルセーフ信号Ｓｆｓを受信したと判断する。認識下限電位Ｖｍｉｎは、フェイルセーフ信号Ｓｆｓのアクティブ電位と非アクティブ電位との間の電位に設定されている。すなわち、駆動装置２は、フェイルセーフ信号Ｓｆｓの受信により、入力端子Ｔ２２の電位が認識下限電位Ｖｍｉｎ以下になると、フェイルセーフ信号Ｓｆｓを受信したと判断し、フェイルセーフ処理を実行する。

次に、マイコン３が監視ＩＣ４を監視する構成について説明する。
監視ＩＣ４は、出力検証部４０１と、検証結果記憶部４０２とを有している。
出力検証部４０１は、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを検証する。詳しくは、出力検証部４０１は、判定規定値Ｃｔｈ１よりも小さい値に設定された検査用規定値Ｃｔｈ２を有しており、エラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に達すると、Ｆ／Ｓ出力部４１を介して出力端子Ｔ４０からワンショットパルス信号Ｓｐを出力する。

図２に一点鎖線で示されるように、ワンショットパルス信号Ｓｐは、パルス幅Ｈの短い信号であり、極短い期間だけアクティブ電位となる信号である。ワンショットパルス信号Ｓｐのパルス幅Ｈは、例えばワンショットパルス信号Ｓｐが駆動装置２に入力された場合でも、アクチュエータＡの動作への影響がないように、あるいはアクチュエータＡの動作への影響があったとしてもそれが極僅かなように設定される。

図１に示されるように、出力検証部４０１は、出力端子Ｔ４０からワンショットパルス信号Ｓｐを出力した際、出力端子Ｔ４０に配線Ｗ４を介して電気的に接続された入力端子Ｔ４１の電位の変化を監視する。出力検証部４０１は、入力端子Ｔ４１の電位の変化がワンショットパルス信号Ｓｐに対応した変化を示している場合には、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されると判定する。これに対し、出力検証部４０１は、入力端子Ｔ４１の電位の変化がワンショットパルス信号Ｓｐに対応した変化を示さなかった場合、例えば入力端子Ｔ４１の電位が非アクティブ電位のまま変化しなかったような場合には、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されないと判定する。具体的には、Ｆ／Ｓ出力部４１及び出力端子Ｔ４０の少なくとも一方に異常が生じていると判定する。

出力検証部４０１は、このような検証処理を通じて監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを検証し、その検証結果を検証結果記憶部４０２に記憶する。検証結果記憶部４０２はレジスタからなる。

なお、出力検証部４０１は、監視ＩＣ４からのフェイルセーフ信号Ｓｆｓの出力が正常であるか否かを検証する際、タイマＴに対して設定された閾値時間を、第１閾値時間Ｔｔｈ１よりも短い第２閾値時間Ｔｈ２に設定する。

マイコン３は、監視ＩＣ４にテスト回答を送信する際に、監視ＩＣ４により「誤」と判定されるテスト回答を意図的に監視ＩＣ４に送信することにより、監視ＩＣ４の動作を監視する。次に、図３を参照して、監視ＩＣ４の動作を監視するためにマイコン３により実行される処理の手順を詳しく説明する。

図３に示されるように、マイコン３は、まず、検査フラグＦがオン状態になっているか否かを判断する（ステップＳ１０）。検査フラグＦは、マイコン３に設けられたタイマにより車両の走行中に所定の周期でオンされる。マイコン３は、検査フラグＦがオフ状態である場合には（ステップＳ１０：ＮＯ）、そのまま処理を終了する。

マイコン３は、所定の周期毎に検査フラグＦがオン状態であると判断すると（ステップＳ１０：ＹＥＳ）、エラーカウンタＣｅに対して設定された判定規定値Ｃｔｈ１に基づいて検査用規定値Ｃｔｈ２を設定する（ステップＳ１１）。具体的には、マイコン３は、以下の式ｆに基づいて検査用規定値Ｃｔｈ２を設定する。なお、「ｎ」は、１以上の整数であり、予め設定されている。
Ｃｔｈ２＝Ｃｔｈ１−ｎ （ｆ）

また、マイコン３は、設定した検査用規定値Ｃｔｈ２を監視ＩＣ４に送信する（ステップＳ１２）。これにより、監視ＩＣ４は検査用規定値Ｃｔｈ２の情報をマイコン３から取得する。

次に、マイコン３のテスト結果管理部３２は、監視ＩＣ４にテスト回答を送信する際に、監視ＩＣ４により「誤」と判定されるテスト回答を意図的に作成し、これを監視ＩＣ４に送信する（ステップＳ１３）。すなわち、マイコン３は、当該マイコン３の異常を意図的に監視ＩＣ４に検知させる。以下では、便宜上、監視ＩＣ４により「誤」と判定されるテスト回答を「検査用テスト回答」と称する。マイコン３は、監視ＩＣ４への検査用テスト回答の送信回数が検査用規定値Ｃｔｈ２に達したか否かを判定する（ステップＳ１４）。マイコン３は、検査用テスト回答の送信回数が検査用規定値Ｃｔｈ２に達していない場合には（ステップＳ１４：ＮＯ）、ステップＳ１３の処理を再度実行する。

マイコン３は、検査用テスト回答の送信回数が検査用規定値Ｃｔｈ２に達した場合には（ステップＳ１４：ＹＥＳ）、監視ＩＣ４から出力検証結果を取得する（ステップＳ１５）。出力検証結果の取得はテスト選択検証部３１により行われる。テスト選択検証部３１は、監視ＩＣ４の検証結果記憶部４０２に記憶された検証結果を読み込むことにより、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを判定する（ステップＳ１６）。なお、テスト選択検証部３１は、監視ＩＣ４からのフェイルセーフ信号Ｓｆｓの出力が異常であると判断した場合には、車両のインストルメントパネルに設けられた警告灯を点灯させる等して、監視ＩＣ４の異常を運転者に報知する。また、マイコン３は、検査フラグＦをオフ状態に設定した後（ステップＳ１７）、一連の処理を終了する。

次に、図４を参照して、本実施形態の電子制御装置１の動作について説明する。なお、図４の矢印は、マイコン３及び監視ＩＣ４のそれぞれの検査タイミングを表す。

図４（ｂ）に示されるように、マイコン３は、時刻ｔ１０で検査フラグＦがオン状態であると判断すると、検査用規定値Ｃｔｈ２を設定するとともに、これを監視ＩＣ４に送信する。また、図４（ａ）に示されるように、マイコン３は、時刻ｔ１０以降、監視ＩＣ４への検査用テスト回答の送信を開始する。したがって、図４（ｃ）に示されるように、監視ＩＣ４は、時刻ｔ１０以降、マイコン３から送信されるテスト回答が「誤」であるとの判定を繰り返す。そのため、図４（ｄ）に示されるように、監視ＩＣ４がマイコン３からのテスト回答が「誤」であると最初に判定する時刻ｔ１１以降、監視ＩＣ４のエラーカウンタＣｅが徐々に増加する。また、図４（ｅ）に示されるように、監視ＩＣ４のタイマＴの値も時刻ｔ１１から徐々に増加する。

図４（ｄ）に示されるように、監視ＩＣ４は、時刻ｔ１２でエラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に達すると、図４（ｆ）に示されるように、ワンショットパルス信号Ｓｐを出力する。監視ＩＣ４は、このワンショットパルス信号Ｓｐに基づき、監視ＩＣ４がフェイルセーフ信号Ｓｆｓを正常に出力できると判定すると、図４（ｇ）に示されるように、正常判定の結果を検証結果記憶部４０２に記憶させる。マイコン３は、時刻ｔ１２で検証結果記憶部４０２に記憶された判定結果を読み込むことにより、監視ＩＣ４からのフェイルセーフ信号Ｓｆｓの出力が正常であると判定する。

また、図４（ｄ），（ｅ）に示されるように、監視ＩＣ４は、時刻ｔ１３でタイマＴの値が検査用規定値Ｃｔｈ２に達すると、エラーカウンタＣｅ及びタイマＴのそれぞれの値をクリアする。

以上説明した本実施形態の電子制御装置１によれば、以下の（１）及び（２）に示される作用及び効果を得ることができる。

（１）出力検証部４０１は、ワンショットパルス信号Ｓｐに基づいて、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを検証することができる。また、監視ＩＣ４からフェイルセーフ信号に代えてワンショットパルス信号Ｓｐが出力されるのであれば、アクチュエータＡがフェイルセーフ信号に応じた動作を行う期間を極短くすることができる。これにより、アクチュエータＡの動作への影響を抑えることができるため、運転者の違和感を軽減することができる。また、車両挙動への影響を抑制することができるため、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かの検証を車両走行中に実行することができる。

（２）監視ＩＣ４には、フェイルセーフ信号Ｓｆｓ及びワンショットパルス信号Ｓｐが出力される出力端子Ｔ４０に配線Ｗ３，Ｗ４を介して接続される入力端子Ｔ４１を設けることとした。また、出力検証部４０１は、監視ＩＣ４からワンショットパルス信号Ｓｐが出力された際、入力端子Ｔ４１の電位変化に基づき、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを検証することとした。これにより、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを容易に検証することができる。

＜第２実施形態＞
次に、電子制御装置１の第２実施形態について説明する。以下、第１実施形態との相違点を中心に説明する。

図５に示されるように、本実施形態の電子制御装置１では、監視ＩＣ４の入力端子Ｔ４１が駆動装置２の給電線Ｗ２に配線Ｗ５を介して接続されている点で第１実施形態と異なる。電子制御装置１は、配線Ｗ５の途中にモニタ回路５を備えている。モニタ回路５は、配線Ｗ５及び給電線Ｗ２を介して駆動装置２の端子Ｔ２１の出力電圧を検出するとともに、検出した電圧に応じた電圧信号を出力する。モニタ回路５の出力信号は、監視ＩＣ４の入力端子Ｔ４１に入力される。

次に、本実施形態の電子制御装置１の動作について説明する。
監視ＩＣ４が出力端子Ｔ４０からワンショットパルス信号Ｓｐを出力し、このワンショットパルス信号Ｓｐが駆動装置２により受信されると、駆動装置２は、アクチュエータＡの駆動を制限すべく、アクチュエータＡへの供給電圧を一時的に変化させる。この際の電圧変化がモニタ回路５により検出される。監視ＩＣ４の出力検証部４０１は、入力端子Ｔ４１を介して入力されるモニタ回路５の出力信号に基づき駆動装置２の供給電圧の変化を検出する。出力検証部４０１は、出力端子Ｔ４０からワンショットパルス信号Ｓｐを出力した際、モニタ回路５の出力信号に基づき駆動装置２の供給電圧の変化を検出できた場合には、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されると判定する。これに対し、出力検証部４０１は、モニタ回路５の出力信号に基づき駆動装置２の供給電圧の変化を検出することができなかった場合には、監視ＩＣ４からのフェイルセーフ信号Ｓｆｓの出力が異常であると判断する。また、出力検証部４０１は、モニタ回路５の出力信号に基づき駆動装置２の供給電圧の変化を検出できたとしても、その変化がワンショットパルス信号Ｓｐに対応するものでない場合には、監視ＩＣ４からのフェイルセーフ信号Ｓｆｓの出力が異常であると判断する。

以上説明した本実施形態の電子制御装置１によれば、上記の（１）の作用及び効果に加え、以下の（３）に示される作用及び効果を得ることができる。

（３）フェイルセーフ信号Ｓｆｓに対する駆動装置２の動作を含めて、フェイルセーフ信号Ｓｆｓの信頼性を検証することができるため、フェイルセーフ信号Ｓｆｓの有効性をより高い精度で検証することができる。

＜第３実施形態＞
次に、電子制御装置１の第３実施形態について説明する。以下、第１実施形態との相違点を中心に説明する。

図６に示されるように、本実施形態の電子制御装置１は、信号線Ｗ３にフィルタ部６を有している点で第１実施形態と異なる。フィルタ部６は、信号線Ｗ３における配線Ｗ４との接続点Ｐよりも駆動装置２側に設けられている。フィルタ部６は、監視ＩＣ４から駆動装置２に送信されるワンショットパルス信号Ｓｐの波形をなます機能を有している。より詳しくは、図７に示されるように、フィルタ部６は、フィルタ処理の施されたワンショットパルス信号Ｓｐの波形における最小電位が駆動装置２の入力端子Ｔ２２の認識下限電位Ｖｍｉｎ以下にならないようにワンショットパルス信号Ｓｐの波形をなます。

以上説明した本実施形態の電子制御装置１によれば、以下の（４）に示される作用及び効果を更に得ることができる。

（４）監視ＩＣ４から駆動装置２にワンショットパルス信号Ｓｐが送信された際に、駆動装置２の入力端子Ｔ２２の電位が認識下限電位Ｖｍｉｎ以下になり難くなる。これにより、ワンショットパルス信号Ｓｐに起因して駆動装置２の駆動が一時的に停止し難くなる。その結果、車両走行中に監視ＩＣ４から駆動装置２にワンショットパルス信号Ｓｐが送信された場合でも、車両挙動への影響を抑えることができるため、運転者の違和感を払拭することができる。

＜第４実施形態＞
次に、電子制御装置１の第４実施形態について説明する。以下、第１実施形態との相違点を中心に説明する。

本実施形態のマイコン３は、図３に示される処理に代えて、図８に示される処理を実行する。なお、図８に示される各処理のうち、図３に示される処理と同一の処理には同一の符号を付すことにより重複する説明を割愛する。

図８に示されるように、マイコン３は、検査用テスト回答の送信回数が検査用規定値Ｃｔｈ２に達した場合（ステップＳ１４：ＹＥＳ）、監視ＩＣ４から出力検証結果とエラーカウンタＣｅの値とを取得する（ステップＳ２０）。次に、マイコン３は、エラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に一致しているか否かを判断する（ステップＳ２１）。マイコン３は、エラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に一致している場合には（ステップＳ２１：ＹＥＳ）、監視ＩＣ４から取得した出力検証結果に基づき、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かを判定する（ステップＳ１６）。

マイコン３は、エラーカウンタＣｅの値が検査用規定値Ｃｔｈ２と一致しない場合には（ステップＳ２１：ＮＯ）、マイコン３及び監視ＩＣ４のテスト回答確認部４０の少なくとも一方に異常が生じていると判定する（ステップＳ２２）。

以上説明した本実施形態の電子制御装置１によれば、以下の（５）に示される作用及び効果を更に得ることができる。

（５）マイコン３に異常が生じた場合、監視ＩＣ４のエラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に達していないにも関わらず、検査用テスト回答の送信回数が検査用規定値Ｃｔｈ２に達したとマイコン３が誤判断する可能性がある。また、監視ＩＣ４の検証結果記憶部４０２に異常が生じた場合、エラーカウンタＣｅが異常値となる可能性がある。いずれの状況でも、検査用テスト回答の送信回数が検査用規定値Ｃｔｈ２に達したとマイコン３が判断した際に、実際にはエラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に達していない状況が生じ得る。このような状況では、監視ＩＣ４の検証結果記憶部４０２に正常な出力検証結果が記憶されていないため、マイコン３が検証結果記憶部４０２に記憶された出力検証結果に基づき監視ＩＣ４からのフェイルセーフ信号Ｓｆｓの出力が正常であるか否かを判定すると、誤判定を行うおそれがある。

この点、本実施形態のマイコン３は、エラーカウンタＣｅの値が検査用規定値Ｃｔｈ２に一致しない場合には、マイコン３及び監視ＩＣ４のテスト結果管理部３２の少なくとも一方に異常が生じていると判断することができる。これにより、上記のようなマイコン３の誤判定を回避することができるため、監視ＩＣ４からフェイルセーフ信号Ｓｆｓが正常に出力されるか否かをより的確に判定することができる。

＜第５実施形態＞
次に、電子制御装置１の第５実施形態について説明する。以下、第４実施形態との相違点を中心に説明する。

本実施形態のマイコン３は、図８に示される処理に代えて、図９に示される処理を実行する。なお、図９に示される各処理のうち、図８に示される処理と同一の処理には同一の符号を付すことにより重複する説明を割愛する。

図９に示されるように、本実施形態のマイコン３は、検査フラグＦがオン状態であると判断すると（ステップＳ１０：ＹＥＳ）、監視ＩＣ４からエラーカウンタＣｅの値を取得し、エラーカウンタＣｅの値が所定値Ｃｔｈ３以上であるか否かを判断する（ステップＳ３０）。所定値Ｃｔｈ３は、判定規定値Ｃｔｈ１よりも小さい値に設定されている。

マイコン３は、エラーカウンタＣｅの値が所定値Ｃｔｈ３以上である場合には（ステップＳ３０：ＹＥＳ）、そのまま処理を終了する。また、マイコン３は、エラーカウンタＣｅの値が所定値Ｃｔｈ３未満の場合には（ステップＳ３０：ＮＯ）、ステップＳ１１以降の処理を実行する。

次に、本実施形態の電子制御装置１の動作について説明する。
図１０に示されるように、時刻ｔ２０で検査フラグＦがオン状態となった際、エラーカウンタＣｅの値が所定値Ｃｔｈ３以上である場合には、それ以前に既に監視ＩＣ４によりマイコン３の異常が検出されている状況である。この場合、マイコン３は、時刻ｔ２０で監視ＩＣ４からフェイルセーフ信号が正常に出力されるか否かを検証する検証処理を開始しようとする際、エラーカウンタＣｅの値が所定値Ｃｔｈ３以上である場合には、そのまま検証処理を終了する。

以上説明した本実施形態の電子制御装置１によれば、以下の（６）に示される作用及び効果を更に得ることができる。

（６）図１０に示されるような状況で、仮にマイコン３が時刻ｔ２０から検査用テスト回答を監視ＩＣ４に送信したとすると、監視ＩＣ４は検査用テスト回答に基づきエラーカウンタＣｅの値をインクリメントしてしまう。この場合、検査用テスト回答の送信に基づきエラーカウンタＣｅが判定規定値Ｃｔｈ１に達してしまい、監視ＩＣ４から駆動装置２にフェイルセーフ信号Ｓｆｓが誤送信されるおそれがある。

この点、本実施形態の電子制御装置１では、検査フラグＦがオン状態となった際、エラーカウンタＣｅの値が所定値Ｃｔｈ３以上である場合には、マイコン３は検査用テスト回答を監視ＩＣ４に送信する処理を実行しない。これにより、検査用テスト回答の送信に基づき監視ＩＣ４がフェイルセーフ信号Ｓｆｓを誤送信する状況を回避できる。

＜他の実施形態＞
・図１１に示されるように、監視ＩＣ４には、エラーカウンタＣｅに基づきワンショットパルス信号Ｓｐを生成する信号生成部４０３のみを設けても良い。この場合、マイコン３には、監視ＩＣ４の信号線Ｗ３に配線Ｗ６を介して接続される入力端子Ｔ３０と、出力検証部３３と、検証結果記憶部３４とを設ける。出力検証部３３は、ワンショットパルス信号Ｓｐを出力する機能を除き、第１実施形態の出力検証部４０１と同等の機能を有している。また、検証結果記憶部３４は、第１実施形態の検証結果記憶部４０２と同等の機能を有している。このような構成であっても、第１実施形態の電子制御装置１と同等の作用及び効果を得ることができる。なお、同様の構成を第２〜第５実施形態の電子制御装置１で採用してもよい。

・各実施形態では、監視ＩＣ４によるマイコン３の検査、及びマイコン３による監視ＩＣ４の検査を車両走行中に行うこととしたが、それらの検査は車両走行中に限らず任意の時期に実行することが可能である。例えば車両のイグニッションスイッチのオン操作時やオフ操作時に監視ＩＣ４によるマイコン３の検査や、マイコン３による監視ＩＣ４の検査を行ってもよい。

・各実施形態のテスト回答確認部４０は、タイマＴが第１閾値時間Ｔｔｈ１に達するまでにエラーカウンタＣｅの値が判定規定値Ｃｔｈ１に達しないことを条件にエラーカウンタＣｅの値をクリアすることとした。これに代えて、テスト回答確認部４０は、例えば正誤判定回路４００によりマイコン３のテスト回答が正しいと判定された際に、エラーカウンタＣｅをクリア、あるいはデクリメントしてもよい。このような構成によれば、タイマＴが不要となるため、監視ＩＣ４の構成を簡素化することができる。

・上記実施形態の構成は、車両に搭載された電子制御装置１に限らず、適宜の電子制御装置に適用することが可能である。

・電子制御装置１の制御対象は、アクチュエータＡに限らず、適宜の電気負荷を採用することができる。

・本発明は上記の具体例に限定されるものではない。すなわち、上記の具体例に、当業者が適宜設計変更を加えたものも、本発明の特徴を備えている限り、本発明の範囲に包含される。例えば、前述した各具体例が備える各要素及びその配置や条件等は、例示したものに限定されるわけではなく適宜変更することができる。また、前述した実施形態が備える各要素は、技術的に可能な限りにおいて組み合わせることができ、これらを組み合わせたものも本発明の特徴を含む限り本発明の範囲に包含される。

１：電子制御装置
２：駆動装置
３：マイコン（制御部）
４：監視ＩＣ（監視部）
６：フィルタ部
３３，４０１：出力検証部
Ａ：アクチュエータ（制御対象，電気負荷）
Ｃｅ：エラーカウンタ
Ｔ３０，Ｔ４１：入力端子
Ｔ４０：出力端子
Ｗ４，Ｗ６：配線

Claims (7)

1. 電子制御装置（１）であって、
   制御対象（Ａ）の駆動を制御する制御部（３）と、
   前記制御部を監視するとともに、前記制御部の異常検知回数を示すエラーカウンタ（Ｃｅ）の値が判定規定値に達した際にフェイルセーフ信号を出力する監視部（４）と、
   前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証する出力検証部（３３，４０１）と、を備え、
   前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証する際に、前記制御部は、当該制御部の異常を意図的に前記監視部に検知させ、
   前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証する際に、前記監視部は、前記判定規定値よりも小さい検査用規定値を有し、前記エラーカウンタの値が前記検査用規定値に達した際に、ワンショットパルス信号を出力し、
   前記出力検証部は、前記ワンショットパルス信号に基づき、前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証することを特徴とする電子制御装置。
2. 前記出力検証部は、
   前記フェイルセーフ信号及び前記ワンショットパルス信号が出力される前記監視部の出力端子（Ｔ４０）に配線（Ｗ４，Ｗ６）を介して接続される入力端子（Ｔ３０，Ｔ４１）を有し、
   前記監視部から前記ワンショットパルス信号が出力された際、前記入力端子の電位変化に基づき、前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証することを特徴とする請求項１に記載の電子制御装置。
3. 前記制御部は、電気負荷（Ａ）を前記制御対象とするとともに、駆動装置（２）を介して前記電気負荷の駆動を制御するものであり、
   前記監視部は、前記フェイルセーフ信号を前記駆動装置に出力するものであり、
   前記駆動装置は、前記フェイルセーフ信号を受信した際、前記電気負荷の駆動を制限すべく前記電気負荷への供給電圧を変化させるものであり、
   前記出力検証部は、前記監視部から前記ワンショットパルス信号が出力された際、前記駆動装置から前記電気負荷への供給電圧の変化に基づき、前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証することを特徴とする請求項１に記載の電子制御装置。
4. 前記制御部は、当該制御部の異常を意図的に前記監視部に検知させるための検査用テスト回答を前記検査用規定値で示される回数分送信したと判断した際に、前記監視部から前記エラーカウンタの値を取得し、取得した前記エラーカウンタの値が前記検査用規定値と一致しているか否かを判断し、それらが一致しない場合には、当該制御部及び前記監視部の少なくとも一方に異常が生じていると判定することを特徴とする請求項１〜３のいずれか一項に記載の電子制御装置。
5. 前記制御部は、前記監視部から前記フェイルセーフ信号が正常に出力されるか否かを検証する検証処理を開始する際、前記エラーカウンタの値が所定値以上である場合、前記検証処理を行わないことを特徴とする請求項１〜４のいずれか一項に記載の電子制御装置。
6. 前記制御部は、電気負荷を前記制御対象とするとともに、前記電気負荷の駆動を駆動装置を介して制御するものであり、
   前記監視部は、前記フェイルセーフ信号を前記駆動装置に出力するものであり、
   前記ワンショットパルス信号のパルス幅は、前記電気負荷の動作への影響のないパルス幅に設定されていることを特徴とする請求項１〜５のいずれか一項に記載の電子制御装置。
7. 前記フェイルセーフ信号の波形をなますフィルタ部（６）を更に備えることを特徴とする請求項１〜６のいずれか一項に記載の電子制御装置。

Images