JP6896126B1 - 車載電子制御装置 - Google Patents

Abstract

【課題】ファンクショナルセーフティを実現する車載電子制御装置を提供する。【解決手段】監視部（１０）と制御部（２０）は、それぞれ複数の異常検出信号出力端子（１１−１、１１−２、２１−１、２１−２）を備え、複数の異常検出信号出力端子から出力される信号は、異常が優先されるよう構成された論理演算部（３０、３１）により演算された後、複数の出力禁止信号（３０−１、４０−１）として禁止信号出力端子から駆動部（５０）に入力され、論理演算部により、制御部または監視部の少なくとも一方の動作に異常があると判定されたとき、制御対象（６０）をあらかじめ定められた動作状態に保持するように構成した車載電子制御装置。【選択図】図１

Description

本発明は、車載電子制御装置に関するものである。

近年、車両の高機能化、複雑化に伴い、車両のファンクショナルセーフティ（Ｆｕｎｃｔｉｏｎａｌ Ｓａｆｅｔｙ）に関して導入された国際規格（ＩＳＯ２６２６２）において、ＳＧ（Ｓａｆｅｔｙ Ｇｏａｌ）を満足することが求められ、部品の故障時に車両挙動がＳＧを脅かさないように、電子スロットル制御用モータを停止させるなどして、速やかに車両を安全状態に移行させるためのフェールセーフ制御をおこなうことが車載電子制御装置に要求される。

一般に、エンジン制御を行う車載電子制御装置に実装されたマイコンは、主にインジェクタ、点火コイル、及びスロットルバルブを制御するが、近年の車載電子制御装置においては、故障検出を強化する手段として、マイコンが正常に動作しているかどうかを監視する監視ＩＣが備えられる。マイコンは監視ＩＣに対し、予め設定されたタイミングで監視信号を送信し、監視ＩＣは受信した監視信号に基づいて、マイコンの動作が正常であるか否かを監視する。このようにマイコンと監視ＩＣとが相互通信よって、マイコンと監視ＩＣとの間で相互に動作状態を確認し、動作異常が発生した際に、電子スロットル制御用モータを停止させる構成は周知である。

例えば、特許文献１には、マイコン２０と、マイコン２０が正常に動作しているか否かを監視する監視ＩＣ２１との間でデータ通信可能に構成された電子制御装置１０が開示されており、電子制御装置１０は、モータ１５を駆動するためのＥＴＣ（Ｅｌｅｃｔｒｏｎｉｃ Ｔｈｒｏｔｔｌｅ Ｃｏｎｔｒｏｌ）ドライバ２２を備え、ＥＴＣドライバ２２は、監視ＩＣ２１からフェールセーフ信号が入力されると、モータ１５に対してスロットル停止信号を出力し、車両の退避走行を可能とすることが記載されている。

また、特許文献２には、単一のマイクロコンピュータ１１がエンジンシステム２０及びトランスミッションシステム３０の両方の動作（例としてスロットル２１及び電磁弁３１の動作）を制御する複合型の電子制御装置が開示されており、複合型の電子制御装置１０において、マイクロコンピュータ１１が正常動作している状態で、エンジンシステム２０に障害が発生した場合、マイクロコンピュータ１１が給電制御回路１３及びスロットル制御回路１４の動作を安全側に制御し、マイクロコンピュータ１１が異常動作している場合には、監視部１２が給電制御回路１３及びスロットル制御回路１４の動作を安全側に制御して、エンジンシステム２０に関してフェールセーフを実現することが記載されている。

特開２０１６−１３０５１１号公報 特開２０１７−２０２７３８号公報

特許文献１に開示された従来の電子制御装置においては、監視ＩＣ２１からスロットルバルブを緊急停止することは可能であるが、マイコンから直接、モータ１５のスロットルバルブを緊急停止させることができないため、スロットルバルブの緊急停止が必要な場合に、監視ＩＣ２１が故障すると、モータ１５のスロットルバルブを停止させることができず、ファンクショナルセーフティ対応には不十分であり、改善の余地があった。

また、特許文献２に開示された従来の複合型の電子制御装置においては、マイコン１１に加えて監視部１２からも電磁弁３１を停止させることは可能であるが、マイコン１１が、監視部１２の異常を検出した際に、マイコン１１の遮断信号Ｆ１が、正常を示す論理レベルに固着故障した場合、マイコン１１は、電磁弁３１を停止させることができない。また、監視部１２が、マイコン１１の異常を検出した際に、監視部１２の遮断信号Ｆ２が、正常を示す論理レベルに固着故障した場合、監視部１２は、電磁弁３１を停止させることができない。併せて、リンプホーム時における、スロットル２１の開度についても言及されておらずファンクショナルセーフティ対応には不十分であり、改善の余地があった。

本発明は、上記のような問題点を解決するための技術を開示するものであり、ファンクショナルセーフティを実現する車載電子制御装置を提供することを目的とする。

本発明に開示される車載電子制御装置は,
駆動入力が停止されたときに予め定められた位置に保持される制御対象を駆動する出力を発生する駆動部と、
前記駆動部を制御する制御部と、
前記制御部の異常を検出する監視部と、
複数の入力端子と少なくとも一つの第一禁止信号出力端子とを備え、前記複数の入力端子に入力される信号の論理レベルに基づいて論理演算を行ない、前記論理演算の結果に基づく論理レベルの信号を前記第一禁止信号出力端子から出力する第一論理演算部と、
複数の入力端子と少なくとも一つの第二禁止信号出力端子とを備え、前記複数の入力端子に入力される信号の論理レベルに基づいて論理演算を行ない、前記論理演算の結果に基づく論理レベルの信号を前記第二禁止信号出力端子から出力する第二論理演算部と、
を備えた車載電子制御装置であって、
前記監視部は、複数の出力端子を有する第一判定部を備え、
前記制御部は、複数の出力端子を有する第二判定部を備え、
前記第一判定部と前記第二判定部とは、相互通信が行われるように相互に接続され、
前記第一判定部は、前記制御部の異常を判定したとき、又は前記相互通信により前記第二判定部の異常を検出したとき、異常検出信号を前記複数の出力端子を介して前記第一論理演算部の前記複数の入力端子に入力し、
前記第一論理演算部は、前記第一判定部から入力された異常検出信号の論理レベルに基づいて論理演算した論理レベルを有する第一出力禁止信号を、前記第一禁止信号出力端子から出力し、
前記第二判定部は、前記監視部の異常を判定したとき、又は前記相互通信により前記第一判定部の異常を検出したとき、異常検出信号を前記複数の出力端子を介して前記第二論理演算部の前記複数の入力端子に入力し、
前記第二論理演算部は、前記第二判定部から入力された異常検出信号の論理レベルに基づいて論理演算した論理レベルを有する第二出力禁止信号を、前記第二禁止信号出力端子から出力し、
前記駆動部は、
前記第一論理演算部の前記第一禁止信号出力端子に接続される第一駆動停止信号入力端子と、前記第二論理演算部の前記第二禁止信号出力端子に接続される第二駆動停止信号入力端子とを備え、少なくとも、前記第一駆動停止信号入力端子に前記第一出力禁止信号が入力され又は前記第二駆動停止信号入力端子に前記第二出力禁止信号が入力されととき、前記制御対象を駆動する前記出力の発生を停止して前記制御対象への前記駆動入力を停止し、前記制御対象が予め定められた位置に保持されるように構成されている、

ことを特徴とする。

また、本発明に開示される車載電子制御装置は、
駆動入力が停止されたときに予め定められた位置に保持される制御対象を駆動する出力を発生する駆動部と、前記駆動部を制御する制御部と、前記制御部の動作状態を監視する監視部とを備え、前記監視部が前記制御部の動作状態の異常を検出したとき、前記駆動部の出力を停止させるように構成された車載電子制御装置であって、
それぞれ、入力された複数の信号の論理レベルに基づいて論理演算を行ない、当該論理演算に基づく論理レベルを有する出力を生成するように構成された、第一論理演算部および第二論理演算部、を有し、
前記監視部は、前記制御部の動作状態を監視し、前記制御部の動作状態が正常であると判定したときと、前記制御部の動作状態が異常であると判定したときとで、異なる論理レベルとなる複数の第一異常検出信号を出力するように構成され、
前記制御部は、監視部の動作状態を監視し、前記監視部の動作状態が正常であると判定したときと、前記監視部の動作状態が異常であると判定したときとで、異なる論理レベルとなる、複数の第二異常検出信号を出力するように構成され、
前記第一論理演算部は、前記監視部から出力された前記複数の第一異常検出信号がそれぞれ入力され、前記入力された複数の第一異常検出信号の論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第一出力禁止信号を出力するように構成され、
前記第一出力禁止信号は、前記第一論理演算部に入力された前記複数の第一異常検出信号の論理レベルが、何れも前記制御部の動作状態が正常であると判定したときに対応する論理レベルであれば、当該正常であると判定したときに対応する論理レベルを有し、前記第一論理演算部に入力された前記複数の第一異常検出信号のうちの少なくとも一つが、前記制御部の動作状態が異常であると判定したときに対応する論理レベルであれば、当該異常であると判定したときに対応する論理レベルを有し、
前記第二論理演算部は、前記制御部から出力された前記複数の第二異常検出信号がそれぞれ入力され、前記入力された複数の第二異常検出信号の論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第二出力禁止信号を出力するように構成され、
前記第二出力禁止信号は、前記第二論理演算部に入力された前記複数の第二異常検出信号の論理レベルが、何れも前記監視部の動作状態が正常であると判定したときに対応する論理レベルであれば、当該正常であると判定したときに対応する論理レベルを有し、前記第二論理演算部に入力された前記複数の第二異常検出信号のうちの少なくとも一つが、前記監視部の動作状態が異常であると判定したときに対応する論理レベルであれば、当該異常であると判定したときに対応する論理レベルを有し、
前記駆動部は、前記第一出力禁止信号と前記第二出力禁止信号とがそれぞれ入力され、前記第一出力禁止信号が前記制御部の動作状態が異常であると判定したときに対応する論理レベルにあるか、又は、前記第二出力禁止信号が前記監視部の動作状態が異常であると判定したときに対応する論理レベルにあれば、前記制御対象を駆動する前記出力の発生を停止して前記制御対象への前記駆動入力を停止し、前記制御対象が予め定められた位置に保持されるように構成されている、
ことを特徴とする。

さらに、本発明に開示される車載電子制御装置は、
駆動入力が停止されたときに予め定められた位置に保持される制御対象を駆動する出力を発生する駆動部と、前記駆動部を制御する制御部と、前記制御部の動作状態を監視する監視部とを備え、前記監視部が前記制御部の動作状態の異常を検出したとき、前記駆動部の出力を停止させるように構成された車載電子制御装置であって、
それぞれ、入力された複数の信号の論理レベルに基づいて論理演算を行ない、当該論理演算に基づく論理レベルを有する出力を生成するように構成された、第一論理演算部および第二論理演算部、を有し、
前記監視部は、前記制御部の動作状態を監視し、前記制御部の動作状態が正常であると判定したときと、前記制御部の動作状態が異常であると判定したときとで、異なる論理レベルとなる複数の第一異常検出信号を出力するように構成され、
前記制御部は、監視部の動作状態を監視し、前記監視部の動作状態が正常であると判定したときと、前記監視部の動作状態が異常であると判定したときとで、異なる論理レベルとなる、複数の第二異常検出信号を出力するとともに、自己の動作状態を監視し、前記自己の動作状態が正常であると判定したときと、前記自己の動作状態が異常であると判定したときとで、異なる論理レベルとなる、複数の自己異常検出信号を出力するように構成され、
前記第一論理演算部は、前記監視部から出力された前記複数の第一異常検出信号と、前記制御部から出力された前記複数の自己異常検出信号のうちの一つと、がそれぞれ入力され、前記入力された複数の第一異常検出信号と前記自己異常検出信号のうちの一つ、との論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第一出力禁止信号を出力するように構成され、
前記第一出力禁止信号は、前記第一論理演算部に入力された前記複数の第一異常検出信号の論理レベルが、何れも前記制御部の動作状態が正常であると判定したときに対応する論理レベルで、かつ前記自己異常検出信号のうちの一つが前記制御部の動作状態が正常であると判定したときの論理レベルであれば、前記制御部の動作状態が正常であると判定したときに対応する論理レベルを有し、前記第一論理演算部に入力された前記複数の第一異常検出信号と前記自己異常検出信号のうちの一つと、のうちの少なくとも一つが、前記制御部の動作状態が異常であると判定したときに対応する論理レベルであれば、当該異常であると判定したときに対応する論理レベルを有し、
前記第二論理演算部は、前記制御部から出力された前記複数の第二異常検出信号と、前記制御部から出力された前記複数の自己異常検出信号のうちの別の一つと、がそれぞれ入力され、前記入力された複数の第二異常検出信号と前記自己異常検出信号のうちの別の一つと、の論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第二出力禁止信号を出力するように構成され、
前記第二出力禁止信号は、前記第二論理演算部に入力された前記複数の第二異常検出信号の論理レベルが、何れも前記監視部の動作状態が正常であると判定したときに対応する論理レベルで、かつ前記自己異常検出信号のうちの別の一つが前記制御部の動作状態が正常であると判定したときの論理レベルであれば、前記監視部および前記制御部の動作状態が正常であると判定したときに対応する論理レベルを有し、前記第二論理演算部に入力された前記複数の第二異常検出信号のうちの少なくとも一つが、前記監視部の動作状態が異常であると判定したときに対応する論理レベルであるか、又は前記自己異常検出信号のうちの別の一つが、前記制御部の動作状態が異常であると判定したときに対応する論理レベルであれば、前記監視部又は前記制御部が異常であると判定したときに対応する論理レベルを有し、
前記駆動部は、前記第一出力禁止信号と前記第二出力禁止信号とがそれぞれ入力され、前記第一出力禁止信号が前記制御部の動作状態が異常であると判定したときに対応する論理レベルにあるか、又は、前記第二出力禁止信号が前記監視部もしくは前記制御部の動作状態が異常であると判定したときに対応する論理レベルにあれば、前記制御対象を駆動する前記出力の発生を停止して前記制御対象への前記駆動入力を停止し、前記制御対象が予め定められた位置に保持されるように構成されている、
構成されている、
ことを特徴とする。

本発明に開示される車載電子制御装置によれば、ファンクショナルセーフティを実現する車載電子制御装置が得られる。

実施の形態１による車載電子制御装置の概略構成を示す構成図である。 実施の形態１による車載電子制御装置における第一論理演算部の構成例を示す回路図である。 実施の形態１による車載電子制御装置における第二論理演算部の構成例を示す回路図である。 実施の形態１による車載電子制御装置における第一論理演算部の別の構成例を示す回路図である。 実施の形態１による車載電子制御装置における第二論理演算部の別の構成例を示す回路図である。 実施の形態１による車載電子制御装置における第一論理演算部の入出力信号の真理値表を示す説明図である。 実施の形態１による車載電子制御装置における第二論理演算部の入出力信号の真理値表を示す説明図である。

実施の形態１．
以下、実施の形態１による車載電子制御装置について説明する。図１は、実施の形態１による車載電子制御装置の概略構成を示す構成図である。図１において、車載電子制御装置１００は、監視部１０と、制御部２０と、第一論理演算部３０と、第二論理演算部４０と、駆動部としてのモータドライバＩＣ５０と、により構成され、車載電子制御装置１００の外部には、モータドライバＩＣ５０により駆動される制御対象としての電子スロットルバルブ６０が備えられている。なお、制御対象は、電子スロットルバルブ６０に限られるものではなく、他の車載電子機器であってもよく、また、制御対象は１種類ではなく複数種類設けられていてもよい。さらに、制御対象として、同一種類の装置が複数個設けられていてもよい。

監視部１０は、例えば、ＬＳＩにより構成され、第一判定部１１を備える。監視部１０の第一判定部１１と、後述の制御部２０の第二判定部２１とは、相互通信ＭＣにより接続されている。例えば、監視部１０の第一判定部１１は、制御部２０の第二判定部２１へ監視信号を送信し、制御部２０の第二判定部２１からの応答信号を受信し、受信した応答信号に基づいて制御部２０の動作状態を判定する。また、制御部２０の第二判定部２１は、監視部１０の第一判定部１１へ監視信号を送信し、監視部１０の第一判定部１１からの応答信号を受信し、受信した応答信号に基づいて監視部１０の動作状態を判定する。このように、監視部１０の第一判定部１１と制御部２０の第二判定部２１との間で相互通信ＭＣを行うことで、監視部１０と制御部２０が互いに相手方の動作異常を監視し合い、相手方の動作状態の異常の顕出回数があらかじめ設定された回数を超えた場合に、相手方の動作状態が異常であるとの判定を行う。

第一判定部１１は、複数の出力端子、ここでは二つの出力端子を備え、これらの出力端子は、それぞれ、後述の第一論理演算部３０の複数の入力端子に接続されている。第一判定部１１の一方の出力端子から第一異常検出信号１１−１が出力され、他方の出力端子から第一異常検出信号１１−２が出力され、第一論理演算部３０に入力される。第一異常検出信号１１−１は、第一判定部１１により、制御部２０の動作が正常であると判定されると、出力する論理レベルがＨｉとなり、制御部２０の動作が異常であると判定されると、出力する論理レベルがＬｏとなる。第一異常検出信号１１−２は、第一判定部１１により、制御部２０の動作が正常であると判定されると、出力する論理レベルがＨｉとなり、制御部２０の動作が異常であると判定されると、出力する論理レベルがＬｏとなる。

制御部２０は、例えば、マイコンで構成され、図示していない制御信号により、制御対象としての電子スロットルバルブ６０を駆動するモータドライバＩＣ５０を制御するように構成されている。制御部２０は、前述の相互通信ＭＣにより監視部１０の動作を監視する第二判定部２１と、例えば、デュアルロックステップ方式による演算結果の比較により制御部２０の動作異常を検出する自己異常判定部２２と、を備える。

第二判定部２１は、複数の出力端子、ここでは二つの出力端子を備え、これらの出力端子は、それぞれ、後述の第二論理演算部４０の複数の入力端子に接続されている。第二判定部２１の一方の出力端子から第二異常検出信号２１−１が出力され、他方の出力端子から第二異常検出信号２１−２が出力され、第二論理演算部４０に入力される。第二異常検出信号２１−１は、第二判定部２１により監視部１０の動作が正常であると判定されると、出力する論理レベルがＬｏとなり、監視部１０の動作が異常であると判定されると、出力する論理レベルがＨｉとなる。第二異常検出信号２１−２は、第二判定部２１により監視部１０の動作が正常であると判定されると、出力する論理レベルがＬｏとなり、監視部１０の動作が異常であると判定されると、出力する論理レベルがＨｉとなる。

自己異常判定部２２は、複数の出力端子、ここでは二つの出力端子を備え、これらの出力端子のうちの一方は、第一論理演算部３０の複数の入力端子の一つに接続され、他方の出力端子は、第二論理演算部４０の複数の入力端子の一つに接続されている。自己異常判定部２２の前述の一方の出力端子から自己異常検出信号２２−１が出力され第一論理演算部３０へ入力され、他方の出力端子から自己異常検出信号２２−２が出力され第二論理演算部４０へ入力される。自己異常検出信号２２−１は、自己異常判定部２２により制御部２０の動作が正常であると判定されると、出力する論理レベルがＨｉとなり、制御部２０の動作が異常であると判定されると、出力する論理レベルがＬｏとなる。自己異常検出信号２２−２は、自己異常判定部２２により制御部２０の動作が正常であると判定されると、出力する論理レベルがＬｏとなり、制御部２０の動作が異常であると判定されると、出力する論理レベルがＨｉとなる。つまり、自己異常検出信号２２−１と、自己異常検出信号２２−２は、制御部２０の動作が正常の場合と異常の場合とでそれぞれの論理レベルが反転し、制御部２０の動作が正常であっても異常であっても、自己異常検出信号２２−１と自己異常検出信号２２−２との論理レベルは、互いに相反するものとなる。

図２Ａは、実施の形態１による車載電子制御装置における第一論理演算部の構成例を示す回路図である。図２Ａに示すように、第一論理演算部３０は、例えばＡＮＤゲート３１により構成されている。第一異常検出信号１１−１と、第一異常検出信号１１−２と、自己異常検出信号２２−１とは、入力端子３１１、３１２、３１３を介して第一論理演算部３０にそれぞれ入力され、出力信号である第一出力禁止信号３０−１は、出力端子から出力端子３１４を介してモータドライバＩＣ５０へ入力される。

入力端子３１１、３１２、３１３と出力端子３１４のうちの何れかが断線したときに、不定な論理レベルとなることを防止するために、入力端子３１１、３１２、３１３と接地電位部との間にそれぞれプルダウン抵抗３２１、３２２、３２３が接続され、出力端子３１４と接地電位部との間にプルダウン抵抗３２４が接続されている。したがって、入力端子３１１、３１２、３１３と、出力端子３１４のうちの何れかが断線したときには、その断線した入力端子又は出力端子の論理レベルは、異常検出側であるＬｏに固定される。

図３Ａは、実施の形態１による車載電子制御措置における第一論理演算部の別の構成例を示す回路図である。第一論理演算部３０は、異常を示す論理レベルであるＬｏが優先されて出力される構成とされるのであれば、単一のＡＮＤゲートによる構成とせず、図３Ａに示すように複数のＡＮＤゲートにより構成してもよい。すなわち、図３Ａにおいて、第一論理演算部３０は、例えばＡＮＤゲート３１Ａと、ＡＮＤゲート３１Ｂとにより構成されている。ＡＮＤゲート３１Ａの出力端子３１４Ａは、ＡＮＤゲート３１Ｂの入力側に接続されている。

第一異常検出信号１１−１と、第一異常検出信号１１−２とは、入力端子３１１、３１２を介してＡＮＤゲート３１Ａにそれぞれ入力される。ＡＮＤゲート３１Ａの出力信号と自己異常検出信号２２−１とは、ＡＮＤゲート３１Ａの出力端子３１４Ａと入力端子３１３をそれぞれ介してＡＮＤゲート３１Ｂに入力される。ＡＮＤゲート３１Ｂの出力信号である第一出力禁止信号３０−１は、出力端子３１４Ｂを介してモータドライバＩＣ５０へ出力される。

入力端子３１１、３１２、３１３と接地電位部との間には、それぞれ、プルダウン抵抗３２１、３２２、３２３が接続され、ＡＮＤゲート３１Ａの出力端子３１４ＡとＡＮＤゲート３１Ｂの出力端子３１４Ｂと接地電位部との間には、それぞれプルダウン抵抗３２４Ａ、３２４Ｂが接続されている。したがって、入力端子３１１、３１２、３１３と出力端子３１４Ａ、３１４Ｂのうちの何れかが断線したときには、断線した入力端子又は出力端子の論理レベルは、異常検出側であるＬｏに固定される。

図４は、実施の形態１による車載電子制御装置における第一論理演算部の入出力信号の真理値表を示す説明図であって、第一判定部１１の出力である第一異常検出信号１１−１と第一異常検出信号１１―２、自己異常判定部２２の出力である自己異常検出信号２２−１、および第一論理演算部３０の出力である第一出力禁止信号３０−１、のそれぞれの論理レベルを、ケース１、ケース２、ケース３、ケース４、ケース５、ケース６、ケース７、およびケース８ごとに示し、かつ、それぞれのケースごとに、正常か異常かの判定結果を示している。

図４において、ケース１では、第一異常検出信号１１−１と第一異常検出信号１１−２の論理レベルがともにＨｉであり、制御部２０が正常であると第一判定部１１が判定したことを示し、自己異常検出信号２２−１の論理レベルもＨｉであって、自己の制御部２０が正常であると自己異常判定部２２が判定したことを示している。したがって、ケース１では、第一論理演算部３０から出力される第一出力禁止信号３０−１の論理レベルはＨｉとなって、第一禁止信号出力端子Ａ１を介して、後述するモータドライバＩＣ５０の第一駆動停止信号入力端子としての第一モータ駆動停止信号入力端子Ａ２に入力される。このケース１では、車載電子制御装置１００が正常であることを示している。

一方、ケース８では、第一異常検出信号１１−１と第一異常検出信号１１−２の論理レベルがともにＬｏであり、制御部２０が異常であると第一判定部１１が判定したことを示し、自己異常検出信号２２−１の論理レベルもＬｏであって、自己の制御部２０が異常であると自己異常判定部２２が判定したことを示している。したがって、ケース８では、第一論理演算部３０から出力される第一出力禁止信号３０−１の論理レベルはＬｏとなって、第一禁止信号出力端子Ａ１を介して、モータドライバＩＣ５０の第一モータ駆動停止信号入力端子Ａ２に入力される。このケース８では、車載電子制御装置１００が異常であることを示している。なお、ここで、異常には、第一論理演算部３０の入力端子の断線異常、あるいは接続不良などを含むものとする。

ケース４は、制御部２０の正常を第一判定部１１が判定しており、第一異常検出信号１１−１と第一異常検出信号１１−２の論理レベルがともにＨｉであるが、自己の制御部２０の異常を自己異常判定部２２が判定し、自己異常検出信号２２−１の論理レベルがＬｏになり、その結果、第一論理演算部３０からの第一出力禁止信号３０−１の論理レベルがＬｏとなっている。このケース４では、車載電子制御装置１００が異常であることを示している。なお、ここで、異常には、第一論理演算部３０の入力端子の断線異常、あるいは接続不良などを含むものとする。

ケース５は、自己の制御部２０を正常と自己異常判定部２２が判定して自己異常検出信号２２−１がＨｉとなっているが、制御部２０の異常を第一判定部１１が判定し、その第一異常検出信号１１−１と第一異常検出信号１１−２の論理レベルがともにＬｏとなり、その結果、第一論理演算部３０からの第一出力禁止信号３０−１の論理レベルがＬｏとなっている。このケース５では、車載電子制御装置１００が異常であることを示している。と判断される。なお、ここで、異常には、第一論理演算部３０の入力端子の断線異常、あるいは接続不良などを含むものとする。

ケース２、ケース３は、自己の制御部２０が正常であると自己異常判定部２２が判定し、制御部２０が正常であると第一判定部１１も判定しているものの、第一論理演算部３０の入力端子３１１又は３１２がたとえば断線もしくは接続不良である場合を示し、断線もしくは接続不良である入力端子３１１又は３１２がプルダウンされ、第一異常検出信号１１−１又は第一異常検出信号１１−２の論理レベルがＬｏとなっている。その結果、第一論理演算部３０からの第一出力禁止信号３０−１の論理レベルがＬｏとなっている。このケース２、ケース３では、車載電子制御装置１００が異常であることを示している。

ケース６、ケース７は、制御部２０の動作が正常であると第一判定部１１が判定しているものの、第一論理演算部３０の入力端子３１１又は３１２が、たとえば断線もしくは接続不良である場合を示し、断線もしくは接続不良である入力端子３１１又は３１２がプルダウンされており、断線もしくは接続不良である入力端子３１１又は３１２の論理レベルがＬｏとなっている。また、自己異常判定部２２が制御部２０の動作の異常を検出しているか、又は入力端子３１３がたとえば断線もしくは接続不良でありプルダウンされており、その論理レベルがＬｏとなっている。したがって、第一論理演算部３０からの第一出力禁止信号３０−１の論理レベルがＬｏとなる。このケース２、ケース３では、車載電子制御装置１００が異常であることを示している。

以上述べたように、第一論理演算部３０に入力される第一異常検出信号１１−１と、第一異常検出信号１１−２と、自己異常検出信号２２−１とのうち、いずれか一つでも論理レベルがＬｏとなった場合に、第一論理演算部３０の出力である第一出力禁止信号３０−１の論理レベルはＬｏとなり、第一禁止信号出力端子Ａ１を介してモータドライバＩＣ５０へ入力される。それ以外の場合、すなわちケース１では、前述のように第一出力禁止信号３０−１の論理レベルはＨｉとなる。

つぎに、第二論理演算部４０について説明する。図２Ｂは、実施の形態１による車載電子制御装置における第二論理演算部の構成例を示す回路図である。図３Ａに示すように、第二論理演算部４０は、例えばＯＲゲート４１により構成されている。自己異常検出信号２２−２と、第二異常検出信号２１−１と、第二異常検出信号２１−２とは、入力端子４１１、４１２、４１３を介して第二論理演算部４０にそれぞれ入力され、第二出力禁止信号４０−１は、出力端子４１４を介してモータドライバＩＣ５０へ入力される。

入力端子４１１、４１２、４１３と出力端子４１４のうちの何れかが断線もしくは接続不良となったときに、不定な論理レベルとなることを防止するために、入力端子４１１、４１２、４１３と、電源端子との間にそれぞれプルアップ抵抗４２１、４２２、４２３が接続され、出力端子４１４と電源端子との間にプルアップ抵抗４２４が接続されている。したがって、入力端子４１１、４１２、４１３と、出力端子４１４のうちの何れかが断線もしくは接続不良となったときには、その断線した入力端子又は出力端子の論理レベルは、異常検出側であるＨｉに固定される。

図３Ｂは、実施の形態１による車載電子制御措置における第二論理演算部の別の構成例を示す構成図である。第二論理演算部４０は、異常を示す論理レベルであるＨｉが優先されて出力される構成とされるのであれば、単一のＯＲゲートによる構成とせず、図３Ｂに示すように複数のＯＲゲートにより構成してもよい。すなわち、図３Ｂにおいて、第二論理演算部４０は、例えばＯＲゲート４１Ａと、ＯＲゲート４１Ｂとにより構成されている。ＯＲゲート４１Ａの出力端子４１４Ａは、ＯＲゲート４１Ｂの入力側に接続されている。

第二異常検出信号２１−１と、第二異常検出信号２１−２とは、入力端子４１１、４１２を介してＯＲゲート４１Ａにそれぞれ入力される。ＯＲゲート４１Ａの出力信号と、自己異常検出信号２２−２とは、ＯＲゲート４１Ａの出力端子４１４Ａと、入力端子４１３をそれぞれ介して、ＯＲゲート４１Ｂに入力される。ＯＲゲート４１Ｂの出力である第二出力禁止信号４０−１は、出力端子４１４Ｂを介してモータドライバＩＣ５０へ入力される。

入力端子４１１、４１２、４１３と電源端子との間には、それぞれプルアップ抵抗４２１、４２２、４２３が接続され、ＯＲゲート４１Ａの出力端子４１４ＡとＯＲゲート４１Ｂの出力端子４１４Ｂと電源端子との間には、それぞれプルアップ抵抗４２４Ａ、４２４Ｂが接続されている。したがって、入力端子４１１、４１２、４１３と出力端子４１４Ａ、４１４Ｂのうちの何れかが断線もしくは接続不良となったときには、断線もしくは接続不良となった入力端子又は出力端子の論理レベルは、異常検出側であるＨｉに固定される。

図５は、実施の形態１による車載電子制御装置における第二論理演算部の入出力信号の真理値表を示す説明図であって、自己異常判定部２２の出力である自己異常検出信号２２−２、第二判定部２１の出力である第二異常検出信号２１−１と第二異常検出信号２１―２」、および第二論理演算部４０の出力である第二出力禁止信号４０−１」、のそれぞれの論理レベルを、ケース１、ケース２、ケース３、ケース４、ケース５、ケース６、ケース７、およびケース８ごとに示し、かつ、それぞれのケースごとに、正常か異常かを示している。

図５において、ケース８では、第二異常検出信号２１−１と第二異常検出信号２１−２の論理レベルがともにＬｏであり、監視部１０が正常であると第二判定部２１が判定していることを示し、自己異常検出信号２２−２の論理レベルもＬｏであって、自己の制御部２０が正常であると自己異常判定部２２が判定していることを示している。したがって、ケース８では、第二論理演算部４０から出力される第二出力禁止信号４０−１の論理レベルはＬｏとなって、第二禁止信号出力端子Ｂ１を介して、モータドライバＩＣ５０の第二駆動停止信号入力端子としての第二モータ駆動停止信号入力端子Ｂ２に入力される。このケース８では、車載電子制御装置１００が正常であることを示している。

一方、ケース１では、第二異常検出信号２１−１と第二異常検出信号２１−２の論理レベルがともにＨｉであり、監視部１０が異常であると第二判定部２１が判定していることを示し、自己異常検出信号２２−２の論理レベルもＨｉであって、自己の制御部２０が異常であると自己異常判定部２２が判定していることを示している。したがって、ケース１では、第二論理演算部４０から出力される第二出力禁止信号４０−１の論理レベルはＨｉとなって、第二禁止信号出力端子Ｂ１を介して、モータドライバＩＣ５０の第二モータ駆動停止信号入力端子Ｂ２に入力される。このケース１では、車載電子制御装置１００が異常であることを示している。なお、ここで、異常には、第二論理演算部４０の入力端子の断線異常、あるいは接続不良などを含むものとする。

ケース６は、監視部１０が正常であると第二判定部２１が判定して第二異常検出信号２１−１と第二異常検出信号２１−２がともにＬｏとなっているが、自己の制御部２０が異常であると自己異常判定部２２が判定し、その自己異常検出信号２２−２の論理レベルがＨｉとなっており、その結果、第二論理演算部４０からの第二出力禁止信号４０−１の論理レベルがＨｉとなっている。このケース６では、車載電子制御装置１００が異常であることを示している。なお、ここで、異常には、第二論理演算部４０の入力端子の断線異常、あるいは接続不良などを含むものとする。

ケース２は、自己の制御部２０が正常であると自己異常判定部２２が判定して自己異常検出信号２２−２が論理レベルＬｏとなっているが、第二判定部２１が、監視部１０が異常であると判定し、その第二異常検出信号２１−１と第二異常検出信号２１−２の論理レベルがともにＨｉとなっており、その結果、第二論理演算部４０からの第二出力禁止信号４０−１の論理レベルがＨｉとなっている。このケース２では、車載電子制御装置１００が異常であることを示している。

ケース５、ケース７は、自己の制御部２０が正常であると自己異常判定部２２が判定し、自己異常検出信号２２−２の論理レベルがＨｉとなっているが、監視部１０が正常であると第二判定部２１が判定しているものの、第二論理演算部４０の入力端子４１１又は４１２が、たとえば断線もしくは接続不良である場合を示し、断線もしくは接続不良の入力端子４１１又は４１２がプルアップされてその論理レベルがＨｉとなっている。その結果、第二論理演算部４０からの第二出力禁止信号４０−１の論理レベルがＨｉとなっている。このケース５、ケース７では、車載電子制御装置１００が異常であることを示している。

ケース３、ケース４は、監視部１０の動作が正常であると第二判定部２１が判定しているものの、第二論理演算部４０の入力端子４１１又は４１２が、たとえば断線もしくは接続不良によりプルアップされ、その論理レベルがＨｉとなっている。また、自己の制御部２０が異常であることを自己異常判定部２２が判定しているか、又は入力端子４１３がたとえば断線もしくは接続不良であってプルアップされ、自己異常検出信号２２−１の論理レベルがＨｉとなっている。したがって、第二論理演算部４０からの第二出力禁止信号４０−１の論理レベルがＨｉとなっている。このケース３、ケース４では、車載電子制御装置１００が異常であることを示している。

以上述べたように、第二論理演算部４０に入力される第二異常検出信号２１−１と、第二異常検出信号２１−２と、自己異常検出信号２２−２とのうち、いずれか一つでも論理レベルがＨｉとなった場合に、第二論理演算部４０の出力である第二出力禁止信号４０−１の論理レベルはＨｉとなり、第二禁止信号出力端子Ｂ１を介してモータドライバＩＣ５０の第二モータ駆動停止信号入力端子Ｂ２へ入力される。それ以外の場合、すなわちケース「８」では、前述のように第二出力禁止信号４０−１の論理レベルはＬｏとなる。

つぎに、駆動部としてのモータドライバＩＣについて説明する。図１において、モータドライバＩＣ５０は、イネーブル端子である第一駆動停止信号入力端子としての第一モータ駆動停止信号入力端子Ａ２と、イネーブル端子である第二モータ駆動停止信号入力端子Ｂ２と、を備える。モータドライバＩＣ５０の第一モータ駆動停止信号入力端子Ａ２には、第一禁止信号出力端子Ａ１からの第一出力禁止信号３０−１が入力される。モータドライバＩＣ５０の第二モータ駆動停止信号入力端子Ｂ２には、第二禁止信号出力端子Ｂ１からの第二出力禁止信号４０−１が入力される。

モータドライバＩＣ５０は、第一モータ駆動停止信号入力端子Ａ２に、論理レベルがＨｉの信号が入力されると、制御部２０からの図示していない制御信号により、電子スロットルバルブ６０の開閉を行うことができるようになり、第一モータ駆動停止信号入力端子Ａ２に、論理レベルがＬｏの信号が入力されると、制御部２０からの図示してない制御信号に関わらず、電子スロットルバルブ６０をあらかじめ設定された開度に固定とするように構成されている。

また、第二モータ駆動停止信号入力端子Ｂ２に、論理レベルがＬｏの信号が入力されると、制御部２０からの図示していない制御信号により、電子スロットルバルブ６０の開閉を行うことができるようになり、第二モータ駆動停止信号入力端子Ｂ２に、論理レベルがＨｉの信号が入力されると、制御部２０からの図示していない制御信号に関わらず、電子スロットルバルブ６０をあらかじめ設定された開度に固定するように構成されている。

つまり、モータドライバＩＣ５０は、第一モータ駆動停止信号入力端子Ａ２と、第二モータ駆動停止信号入力端子Ｂ２とのうちの、何れか一方でも動作異常を示す信号が入力されると、電子スロットルバルブ６０をあらかじめ設定された開度に固定するように構成されている。

なお、あらかじめ設定された開度とは、車両の退避走行が可能なエンジン回転数を保持させる、電子スロットルバルブ６０の開度である。

以上のように、実施の形態１による車載電子制御装置によれば、制御部２０の異常時には、監視部１０から電子スロットルバルブ６０をあらかじめ設定された開度とし、車両の退避走行が可能なエンジン回転数を保持させることができる。また、監視部１０の異常時には、制御部２０から電子スロットルバルブ６０をあらかじめ設定された開度とし、車両の退避走行が可能なエンジン回転数を保持させることができる。

そして、自己異常判定部２２からの自己異常検出信号２２−１と自己異常検出信号２２−２とが、異なる論理レベルであることにより、自己異常検出信号２２−１と、自己異常検出信号２２−２と、第二異常検出信号２１−１と、第二異常検出信号２１−２とが、ショートなどにより、同時に正常信号である論理レベルＬｏとなった場合において、論理レベルＬｏとなった自己異常検出信号２２−１は、第一論理演算部３０を介して、モータドライバＩＣ５０の第一モータ駆動停止信号入力端子Ａ２に論理レベルＬｏの信号を入力させ、電子スロットルバルブ６０をあらかじめ設定された開度とし、車両の退避走行が可能なエンジン回転数を保持させることができる。したがった、ファンクショナルセーフティとして電子スロットルバルブに対する開度調整をより確実に行うことができる。

なお、実施の形態１を適宜、変形、省略したりすることが可能である。

１０ 監視部、１１ 第一判定部、２０ 制御部、２１ 第二判定部、２２ 自己異常判定部、３０ 第一論理演算部、３１、３１Ａ、３１Ｂ ＡＮＤゲート、４１、４１Ａ、４１Ｂ ＯＲゲート、３１１、３１２、３１３、４１１、４１２、４１３ 入力端子、３１４、３１４Ａ、３１４Ｂ、４１４、４１４Ａ、４１４Ｂ 出力端子、４０ 第二論理演算部、５０ モータドライバＩＣ、６０ 電子スロットルバルブ、１００ 車載電子制御装置、Ａ１ 第一禁止信号出力端子、Ａ２ 第一モータ駆動停止信号入力端子、Ｂ１ 第二禁止信号出力端子、Ｂ２ 第二モータ駆動停止信号入力端子、３２１、３２２、３２３、３２４、３２４Ａ、３２４Ｂ プルダウン抵抗、４２１、４２２、４２３、４２４、４２４Ａ、４２４Ｂ プルアップ抵抗、１１−１、１１−２ 第一異常検出信号、２１−１、２１−２ 第二異常検出信号、２２−１、２２−２ 自己異常検出信号、３０−１ 第一出力禁止信号、４０−１ 第二出力禁止信号

Claims (13)

1. 駆動入力が停止されたときに予め定められた位置に保持される制御対象を駆動する出力を発生する駆動部と、
   前記駆動部を制御する制御部と、
   前記制御部の異常を検出する監視部と、
   複数の入力端子と少なくとも一つの第一禁止信号出力端子とを備え、前記複数の入力端子に入力される信号の論理レベルに基づいて論理演算を行ない、前記論理演算の結果に基づく論理レベルの信号を前記第一禁止信号出力端子から出力する第一論理演算部と、
   複数の入力端子と少なくとも一つの第二禁止信号出力端子とを備え、前記複数の入力端子に入力される信号の論理レベルに基づいて論理演算を行ない、前記論理演算の結果に基づく論理レベルの信号を前記第二禁止信号出力端子から出力する第二論理演算部と、
   を備えた車載電子制御装置であって、
   前記監視部は、複数の出力端子を有する第一判定部を備え、
   前記制御部は、複数の出力端子を有する第二判定部を備え、
   前記第一判定部と前記第二判定部とは、相互通信が行われるように相互に接続され、
   前記第一判定部は、前記制御部の異常を判定したとき、又は前記相互通信により前記第二判定部の異常を検出したとき、異常検出信号を前記複数の出力端子を介して前記第一論理演算部の前記複数の入力端子に入力し、
   前記第一論理演算部は、前記第一判定部から入力された異常検出信号の論理レベルに基づいて論理演算した論理レベルを有する第一出力禁止信号を、前記第一禁止信号出力端子から出力し、
   前記第二判定部は、前記監視部の異常を判定したとき、又は前記相互通信により前記第一判定部の異常を検出したとき、異常検出信号を前記複数の出力端子を介して前記第二論理演算部の前記複数の入力端子に入力し、
   前記第二論理演算部は、前記第二判定部から入力された異常検出信号の論理レベルに基づいて論理演算した論理レベルを有する第二出力禁止信号を、前記第二禁止信号出力端子から出力し、
   前記駆動部は、
   前記第一論理演算部の前記第一禁止信号出力端子に接続される第一駆動停止信号入力端子と、前記第二論理演算部の前記第二禁止信号出力端子に接続される第二駆動停止信号入力端子とを備え、少なくとも、前記第一駆動停止信号入力端子に前記第一出力禁止信号が入力され又は前記第二駆動停止信号入力端子に前記第二出力禁止信号が入力されととき、前記制御対象を駆動する前記出力の発生を停止して前記制御対象への前記駆動入力を停止し、前記制御対象が予め定められた位置に保持されるように構成されている、
   ことを特徴とする車載電子制御装置。
2. 前記第一判定部の前記複数の出力端子から出力される信号と、前記第二判定部の前記複数の出力端子から出力される信号と、は互いに異なる論理レベルを有する、
   請求項１に記載の車載電子制御装置。
3. 前記第一論理演算部の前記第一禁止信号出力端子から出力される信号と、前記第二論理演算部の前記第二禁止信号出力端子から出力される信号と、は互いに異なる論理レベルを有する、
   請求項１又は２に記載の車載電子制御装置。
4. 前記制御部に自己の異常を判定する自己異常判定部を備え、
   前記自己異常判定部の出力端子は、前記第一論理演算部及び前記第二論理演算部のそれぞれの入力端子に接続されている、
   請求項１から３のうちの何れか一項に記載の車載電子制御装置。
5. 前記第一判定部は、あらかじめ設定された回数以上の回数で前記制御部の異常を検出したときに、前記制御部が異常であると判定するように構成されている、
   請求項１から４のうちの何れか一項に記載の車載電子制御装置。
6. 前記第一論理演算部と前記第二論理演算部とのうちの少なくとも一方は、前記入力端子と、前記第一禁止信号出力端子又は前記第二禁止信号出力端子と、のうちの少なくとも一方に、プルダウン抵抗又はプルアップ抵抗が接続されている、
   請求項１から５のうちの何れか一項に記載の車載電子制御装置。
7. 駆動入力が停止されたときに予め定められた位置に保持される制御対象を駆動する出力を発生する駆動部と、前記駆動部を制御する制御部と、前記制御部の動作状態を監視する監視部とを備え、前記監視部が前記制御部の動作状態の異常を検出したとき、前記駆動部の出力を停止させるように構成された車載電子制御装置であって、
   それぞれ、入力された複数の信号の論理レベルに基づいて論理演算を行ない、当該論理演算に基づく論理レベルを有する出力を生成するように構成された、第一論理演算部および第二論理演算部、を有し、
   前記監視部は、前記制御部の動作状態を監視し、前記制御部の動作状態が正常であると判定したときと、前記制御部の動作状態が異常であると判定したときとで、異なる論理レベルとなる複数の第一異常検出信号を出力するように構成され、
   前記制御部は、監視部の動作状態を監視し、前記監視部の動作状態が正常であると判定したときと、前記監視部の動作状態が異常であると判定したときとで、異なる論理レベルとなる、複数の第二異常検出信号を出力するように構成され、
   前記第一論理演算部は、前記監視部から出力された前記複数の第一異常検出信号がそれぞれ入力され、前記入力された複数の第一異常検出信号の論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第一出力禁止信号を出力するように構成され、
   前記第一出力禁止信号は、前記第一論理演算部に入力された前記複数の第一異常検出信号の論理レベルが、何れも前記制御部の動作状態が正常であると判定したときに対応する論理レベルであれば、当該正常であると判定したときに対応する論理レベルを有し、前記第一論理演算部に入力された前記複数の第一異常検出信号のうちの少なくとも一つが、前記制御部の動作状態が異常であると判定したときに対応する論理レベルであれば、当該異常であると判定したときに対応する論理レベルを有し、
   前記第二論理演算部は、前記制御部から出力された前記複数の第二異常検出信号がそれぞれ入力され、前記入力された複数の第二異常検出信号の論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第二出力禁止信号を出力するように構成され、
   前記第二出力禁止信号は、前記第二論理演算部に入力された前記複数の第二異常検出信号の論理レベルが、何れも前記監視部の動作状態が正常であると判定したときに対応する論理レベルであれば、当該正常であると判定したときに対応する論理レベルを有し、前記第二論理演算部に入力された前記複数の第二異常検出信号のうちの少なくとも一つが、前記監視部の動作状態が異常であると判定したときに対応する論理レベルであれば、当該異常であると判定したときに対応する論理レベルを有し、
   前記駆動部は、前記第一出力禁止信号と前記第二出力禁止信号とがそれぞれ入力され、前記第一出力禁止信号が前記制御部の動作状態が異常であると判定したときに対応する論理レベルにあるか、又は、前記第二出力禁止信号が前記監視部の動作状態が異常であると判定したときに対応する論理レベルにあれば、前記制御対象を駆動する前記出力の発生を停止して前記制御対象への前記駆動入力を停止し、前記制御対象が予め定められた位置に保持されるように構成されている、
   ことを特徴とする車載電子制御装置。
8. 駆動入力が停止されたときに予め定められた位置に保持される制御対象を駆動する出力を発生する駆動部と、前記駆動部を制御する制御部と、前記制御部の動作状態を監視する監視部とを備え、前記監視部が前記制御部の動作状態の異常を検出したとき、前記駆動部の出力を停止させるように構成された車載電子制御装置であって、
   それぞれ、入力された複数の信号の論理レベルに基づいて論理演算を行ない、当該論理演算に基づく論理レベルを有する出力を生成するように構成された、第一論理演算部および第二論理演算部、を有し、
   前記監視部は、前記制御部の動作状態を監視し、前記制御部の動作状態が正常であると判定したときと、前記制御部の動作状態が異常であると判定したときとで、異なる論理レベルとなる複数の第一異常検出信号を出力するように構成され、
   前記制御部は、監視部の動作状態を監視し、前記監視部の動作状態が正常であると判定したときと、前記監視部の動作状態が異常であると判定したときとで、異なる論理レベルとなる、複数の第二異常検出信号を出力するとともに、自己の動作状態を監視し、前記自己の動作状態が正常であると判定したときと、前記自己の動作状態が異常であると判定したときとで、異なる論理レベルとなる、複数の自己異常検出信号を出力するように構成され、
   前記第一論理演算部は、前記監視部から出力された前記複数の第一異常検出信号と、前記制御部から出力された前記複数の自己異常検出信号のうちの一つと、がそれぞれ入力され、前記入力された複数の第一異常検出信号と前記自己異常検出信号のうちの一つ、との論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第一出力禁止信号を出力するように構成され、
   前記第一出力禁止信号は、前記第一論理演算部に入力された前記複数の第一異常検出信号の論理レベルが、何れも前記制御部の動作状態が正常であると判定したときに対応する論理レベルで、かつ前記自己異常検出信号のうちの一つが前記制御部の動作状態が正常であると判定したときの論理レベルであれば、前記制御部の動作状態が正常であると判定したときに対応する論理レベルを有し、前記第一論理演算部に入力された前記複数の第一異常検出信号と前記自己異常検出信号のうちの一つと、のうちの少なくとも一つが、前記制御部の動作状態が異常であると判定したときに対応する論理レベルであれば、当該異常であると判定したときに対応する論理レベルを有し、
   前記第二論理演算部は、前記制御部から出力された前記複数の第二異常検出信号と、前記制御部から出力された前記複数の自己異常検出信号のうちの別の一つと、がそれぞれ入力され、前記入力された複数の第二異常検出信号と前記自己異常検出信号のうちの別の一つと、の論理レベルに基づいて前記論理演算を行ない、当該論理演算に基づく論理レベルを有する第二出力禁止信号を出力するように構成され、
   前記第二出力禁止信号は、前記第二論理演算部に入力された前記複数の第二異常検出信号の論理レベルが、何れも前記監視部の動作状態が正常であると判定したときに対応する論理レベルで、かつ前記自己異常検出信号のうちの別の一つが前記制御部の動作状態が正常であると判定したときの論理レベルであれば、前記監視部および前記制御部の動作状態が正常であると判定したときに対応する論理レベルを有し、前記第二論理演算部に入力された前記複数の第二異常検出信号のうちの少なくとも一つが、前記監視部の動作状態が異常であると判定したときに対応する論理レベルであるか、又は前記自己異常検出信号のうちの別の一つが、前記制御部の動作状態が異常であると判定したときに対応する論理レベルであれば、前記監視部又は前記制御部が異常であると判定したときに対応する論理レベルを有し、
   前記駆動部は、前記第一出力禁止信号と前記第二出力禁止信号とがそれぞれ入力され、前記第一出力禁止信号が前記制御部の動作状態が異常であると判定したときに対応する論理レベルにあるか、又は、前記第二出力禁止信号が前記監視部もしくは前記制御部の動作状態が異常であると判定したときに対応する論理レベルにあれば、前記制御対象を駆動する前記出力の発生を停止して前記制御対象への前記駆動入力を停止し、前記制御対象が予め定められた位置に保持されるように構成されている、
   ことを特徴とする車載電子制御装置。
9. 前記監視部から出力される前記複数の第一異常検出信号と、前記制御部から出力される前記複数の第二異常検出信号とは、互いに異なる論理レベルを有する、
   請求項７又は８に記載の車載電子制御装置。
10. 前記第一出力禁止信号と、前記第二出力禁止信号とは、互いに異なる論理レベルを有する、
    請求項７から９のうちの何れか一項に記載の車載電子制御装置。
11. 前記監視部は、あらかじめ設定された回数以上の回数で前記制御部の動作状態の異常を検出したときに、前記制御部の動作状態が異常であると判定するように構成されている、
    請求項７から１０のうちの何れか一項に記載の車載電子制御装置。
12. 前記第一論理演算部と前記第二論理演算部とのうちの少なくとも一方は、入力端子と出力端子とのうちの少なくとも一方に、プルダウン抵抗又はプルアップ抵抗が接続されている、
    ことを特徴とする請求項７から１１のうちの何れか一項に記載の車載電子制御装置。
13. 前記制御対象は、電子スロットルバルブであり、
    前記駆動部は、前記電子スロットルバルブの開度を制御するモータを駆動するモータドライバにより構成されている、
    ことを特徴とする請求項１から１２のうちの何れか一項に記載の車載電子制御装置。

Images