JP7205439B2 - 電子制御装置 - Google Patents

Description

本開示は、中継機能を有した電子制御装置に関する。

例えば車載イーサネットの通信システムにおいては、異なるＶＬＡＮ間のフレームを中継する機能を有した電子制御装置が設けられる。ＶＬＡＮは「Virtual Local Area Network」の略である。下記の特許文献１に示されるように、中継機能を有した電子制御装置は、複数の外部通信ポートと、トランシーバとして機能するデバイスであるＰＨＹと、フレームの中継を行う中継部としてのスイッチと、スイッチを制御する装置（例えば、ＣＰＵ）と、を備える。ＰＨＹは「Physical Layer」の略である。

特開２０１８－７４２４３号公報

発明者の詳細な検討の結果、下記の課題が見出された。
中継機能を有した電子制御装置において、中継部を制御する処理部が正常に動作しなくなった場合には、中継部の正しい動作が期待できず、延いては、通信システムにおけるフレームの適切な中継及び処理が実現されなくなる可能性が高い。なお、単一故障による通信システムへの影響を低減する手法として、例えば、リング状のトポロジを採用すること等によりネットワークを二重化する手法も考えられるが、車両における部品数やハーネス数の増加を招き易い。

そこで、本開示の１つの局面は、中継機能の信頼性を高めることが可能な電子制御装置を提供する。

本開示の１つの態様による電子制御装置は、外部装置とフレームを送受信するための少なくとも１つの外部通信ポート（Ｐ１，Ｐ２）と、第１の処理部（４１）と、第２の処理部（５１）と、第１の電源部（４３）と、第２の電源部（５３）と、中継部（３０）と、異常検出部（４５）と、変更部（５１，Ｓ１３０～Ｓ１５０）と、を備える。

第１の電源部は、第１の処理部に電源電圧を供給する。第２の電源部は、第２の処理部に電源電圧を供給する。このため、第１の処理部と第２の処理部は、別々の電源電圧で動作することができる。中継部は、少なくとも１つの外部通信ポートを介したフレームの送受信と、第１の処理部及び第２の処理部とのフレームの送受信とが可能であり、受信したフレームの中継を行う。異常検出部は、第１の処理部と、第１の電源部から第１の処理部へ供給される電源電圧との、少なくとも一方の異常を検出する。変更部は、異常検出部により第１の処理部と第１の処理部への電源電圧との少なくとも一方の異常が検出された場合に、中継部を制御する処理部を、第１の処理部から第２の処理部に変更する。更に、変更部は、第１の処理部宛てのフレームが中継部から第２の処理部に転送されるように、中継部の設定を変更する。なお、第１の処理部宛てのフレームとは、第１の処理部を宛先とするフレームである。

このような構成によれば、異常検出部が異常を検出した場合、即ち、第１の処理部が正常に動作しない場合に、第１の処理部に代わって、第２の処理部が中継部を制御することができる。そして、第１の処理部宛てのフレームは、第２の処理部に転送されるため、正常に動作する第２の処理部によって処理されることができる。

よって、当該電子制御装置における中継機能の信頼性を高めることができ、延いては、当該電子制御装置が用いられる通信システムの信頼性を高めることができる。

第１実施形態の電子制御装置の構成を示す構成図である。 第１実施形態の電子制御装置で行われる処理のフローチャートである。 第１実施形態の電子制御装置の作用を説明する説明図である。 第２実施形態の電子制御装置の構成を示す構成図である。 第３実施形態の電子制御装置の構成を示す構成図である。 第３実施形態の電子制御装置で、更に行われる処理のフローチャートである。 第４実施形態の電子制御装置の構成を示す構成図である。 第４実施形態の電子制御装置で、更に行われる処理のフローチャートである。

以下、図面を参照しながら、本開示の実施形態を説明する。
［１．第１実施形態］
［１－１．構成］
図１に示す第１実施形態の電子制御装置（以下、ＥＣＵ）１は、例えば乗用車等の車両に搭載されたイーサネットの通信システムにおいて、少なくとも中継装置として機能するＥＣＵである。このため、ＥＣＵ１は、イーサネットのフレームを中継する機能を有する。イーサネットは、登録商標である。ＥＣＵは「Electronic Control Unit」の略である。

ＥＣＵ１は、当該ＥＣＵ１の外部に存在する装置（即ち、外部装置）とフレームを送受信するための外部通信ポートＰ１，Ｐ２を備える。外部通信ポートＰ１，Ｐ２には、車両内に配設された通信線Ｌ１，Ｌ２を介して、外部装置としての他のＥＣＵ１１，１２がそれぞれ接続されている。そして、ＥＣＵ１は、外部通信ポートＰ１，Ｐ２毎に、ＰＨＹ２１，２２を備える。

ＰＨＹ２１，２２は、イーサネット通信におけるトランシーバとして機能するデバイスであり、例えば、ＭＤＩ規格の物理層信号とＭＡＣ間通信で使用されるデータリンク層信号との変換を行う。ＭＤＩは「Media Device Interface」の略である。ＭＡＣは「Media Access Control」の略である。

ＰＨＹ２１，２２が備える送受信機能のうち、送信機能は、後述するイーサネットスイッチ３０からの送信データを、通信線上で伝送される通信信号に変換して当該ＰＨＹに対応する外部通信ポートへ出力する機能である。受信機能は、当該ＰＨＹに対応する外部通信ポートから入力される通信信号を受信データに変換してイーサネットスイッチ３０に出力する機能である。

そして、外部通信ポートＰ１は、ＰＨＹ２１を介して、イーサネットスイッチ３０が備える通信ポート３１～３４のうちの、通信ポート３１に接続されている。また、外部通信ポートＰ２は、ＰＨＹ２２を介して、イーサネットスイッチ３０の通信ポート３２に接続されている。なお、外部通信ポートＰ１，Ｐ２及びＰＨＹ２１，２２の数は、１つ又は３つ以上であっても良い。

ＥＣＵ１は、フレームの中継を行うイーサネットスイッチ（以下、スイッチ）３０と、メイン系回路部４０と、サブ系回路部５０と、備える。
メイン系回路部４０は、処理部としてのＣＰＵ４１と、ＣＰＵ４１によってアクセス可能な記憶装置４２と、電源回路４３と、を備える。電源回路４３は、車両に搭載されているメインバッテリ４４の電圧から一定の電源電圧を生成し、当該電源電圧をＣＰＵ４１と記憶装置４２とのそれぞれに供給する。

サブ系回路部５０も、処理部としてのＣＰＵ５１と、ＣＰＵ５１によってアクセス可能な記憶装置５２と、電源回路５３と、を備える。電源回路５３は、車両に搭載されているサブバッテリ５４の電圧から一定の電源電圧を生成し、当該電源電圧をＣＰＵ５１と記憶装置５２とのそれぞれに供給する。サブバッテリ５４は、メインバッテリ４４とは別のバッテリである。

なお、メイン系回路部４０において、電源回路４３からＣＰＵ４１と記憶装置４２とのそれぞれには、同じ電圧値の電源電圧が供給されても良いし、異なる電圧値の電源電圧が供給されても良い。同様に、サブ系回路部５０において、電源回路５３からＣＰＵ５１と記憶装置５２とのそれぞれには、同じ電圧値の電源電圧が供給されても良いし、異なる電圧値の電源電圧が供給されても良い。

記憶装置４２，５２は、例えば半導体メモリでも良いし、ハードディスクや他のディスク型記憶媒体にデータを記憶する装置でも良い。半導体メモリとしては、例えば揮発性のＲＡＭでも良いし、フラッシュメモリ等の書き換え可能な不揮発性メモリでも良い。

ＣＰＵ４１，５１のそれぞれは、図示が省略されたプログラム用メモリに格納されるプログラムを実行することにより、予め定められた様々な処理を行う。なお、以下では、ＣＰＵ４１のことを、メインＣＰＵ４１とも言う。また、ＣＰＵ５１のことを、サブＣＰＵ５１とも言う。

更に、メイン系回路部４０は、メインＣＰＵ４１に関する異常を検出する機能を有した異常検出部４５を備える。異常検出部４５は、ＷＤＣ監視部４６と、電源監視部４７と、を備える。

ＷＤＣ監視部４６は、メインＣＰＵ４１が正常であればメインＣＰＵ４１から所定時間以内毎に出力されるはずのＷＤＣ信号を監視する。そして、ＷＤＣ監視部４６は、メインＣＰＵ４１からＷＤＣ信号が出力されない継続時間が、上記所定時間よりも長く設定された閾値時間を超えた場合、あるいはＷＤＣ信号の出力周期が所定時間よりも短くなった場合に、メインＣＰＵ４１が異常であると判定する。メインＣＰＵ４１が異常であると判定されることは、メインＣＰＵ４１の異常が検出されたことに該当する。なお、ＷＤＣは「Watch Dog timer Clear」の略である。

電源監視部４７は、電源回路４３からメインＣＰＵ４１へ供給される電源電圧を監視し、当該電源電圧の値が所定の正常範囲内でなければ、当該電源電圧が異常であると判定する。電源電圧が異常であると判定されることは、電源電圧の異常が検出されたことに該当する。ＷＤＣ監視部４６によってメインＣＰＵ４１の異常が検出されていなくても、電源監視部４７によってメインＣＰＵ４１への電源電圧の異常が検出された場合には、メインＣＰＵ４１が正常に動作しない可能性がある。

異常検出部４５は、ＷＤＣ監視部４６によりメインＣＰＵ４１の異常が検出されるか、あるいは電源監視部４７によりメインＣＰＵ４１への電源電圧の異常が検出された場合に、メイン系異常が発生したことを示すメイン系異常通知をサブＣＰＵ５１に出力する。ここで言うメイン系異常とは、メインＣＰＵ４１に関する異常であり、本実施形態では、メインＣＰＵ４１の異常又はメインＣＰＵ４１への電源電圧の異常である。

異常検出部４５からのメイン系異常通知は、例えばＳＰＩ通信又はＵＡＲＴ通信等のデータ通信による通知であって良い。ＳＰＩは「Serial Peripheral Interface」の略である。ＵＡＲＴは「Universal Asynchronous Receiver/Transmitter」の略である。メイン系異常通知にデータ通信が用いられる場合、サブＣＰＵ５１には、検出された異常がメインＣＰＵ４１の異常と電源電圧の異常との何れであるかを区別して通知しても良い。つまり、メイン系異常通知には、検出された異常を識別可能な識別情報が含まれても良い。また、メイン系異常通知は、信号線の信号レベルによる通知であっても良い。この場合、信号線の信号レベルが、ハイとローとのうちで、予め定められた一方のレベルであれば、異常ありを示すように構成することができる。

異常検出部４５は、例えば、電源回路４３から出力される複数の電源電圧のうち、メインＣＰＵ４１へ供給される電源電圧とは別の電源電圧によって動作するように構成されて良い。また、異常検出部４５は、例えば、電源回路４３，５３とは別の、図示されない電源回路から供給される電源電圧によって動作するように構成されて良い。

スイッチ３０は、通信を行うための通信ポート３１～３４と、当該スイッチ３０を制御するための制御信号が入力される制御用ポート３５と、を備える。
通信ポート３１，３２は、前述したように、ＰＨＹ２１，２２を介して外部通信ポートＰ１，Ｐ２にそれぞれ接続されている。通信ポート３３は、メインＣＰＵ４１に接続されている。通信ポート３４は、サブＣＰＵ５１に接続されている。

このため、スイッチ３０は、外部通信ポートＰ１，Ｐ２を介した外部装置（例えばＥＣＵ１１，１２）とのフレームの送受信と、メインＣＰＵ４１及びサブＣＰＵ５１とのフレームの送受信とが可能である。なお、スイッチ３０が備える通信ポート３１～３４のうち、ＣＰＵ４１，５１に接続される通信ポート３３，３４以外の数は、１つ又は３つ以上であっても良い。

そして、スイッチ３０は、受信したフレームを中継するための中継処理を行う。
例えば、スイッチ３０は、通信ポート３１～３４の何れかから受信したフレーム（即ち、受信フレーム）内の宛先情報に基づいて、通信ポート３１～３４の何れかを受信フレームの転送先として選択し、当該選択した通信ポートから受信フレームを送信する。

宛先情報としては、例えばＭＡＣアドレスが使用されて良い。また、スイッチ３０には、受信フレーム内の宛先情報としてのＭＡＣアドレス（即ち、宛先ＭＡＣアドレス）から、転送先の通信ポートを選択するための情報テーブルとして、ＭＡＣアドレステーブルが記憶されて良い。ＭＡＣアドレステーブルには、通信ポート３１～３４のそれぞれについて、その通信ポートの先に接続されている装置のＭＡＣアドレスが登録されて良い。

また、スイッチ３０は、制御用ポート３５に入力される制御信号により、当該スイッチ３０の動作に関する複数の内容について設定が可能に構成されている。制御信号によって設定可能な内容としては、例えば、フレームの宛先や、フレームの加工や、通信速度などがある。フレームの加工には、例えばデータを削減することが含まれる。

スイッチ３０は、例えば、電源回路４３，５３とは別の、図示されない電源回路から供給される電源電圧によって動作するように構成されて良い。
メインＣＰＵ４１は、スイッチ３０から当該ＣＰＵ４１に転送されたフレームを用いた制御として、例えばロギング制御を行うように構成されている。メインＣＰＵ４１が行うロギング制御は、当該ＣＰＵ４１に転送されたフレームの全て又は一部に含まれるデータを、記憶装置４２に記憶する制御である。

サブＣＰＵ５１も、スイッチ３０から当該ＣＰＵ５１に転送されたフレームを用いた制御として、例えばロギング制御を行うように構成されている。サブＣＰＵ５１が行うロギング制御は、当該ＣＰＵ５１に転送されたフレームの全て又は一部に含まれるデータを、記憶装置５２に記憶する制御である。

また、ＣＰＵ４１，５１のそれぞれは、当該ＣＰＵに転送されたフレーム内のデータに基づいて、車両における制御対象を制御するようになっていても良い。制御対象としては、例えば、車両の動力源や、車両周囲を撮影するカメラや、操舵装置や、制動装置等であって良い。

更に、ＥＣＵ１は、信号切替部６０を備える。
信号切替部６０は、メインＣＰＵ４１とサブＣＰＵ５１とのうちの一方からスイッチ３０の制御用ポート３５へ制御信号を入力させるように構成された回路である。このため、信号切替部６０は、第１スイッチ６１と、第２スイッチ６２と、を備える。

第１スイッチ６１は、オンすることで、メインＣＰＵ４１からの制御信号をスイッチ３０の制御用ポート３５に入力させる。具体的には、第１スイッチ６１は、オンすることで、メインＣＰＵ４１の端子のうちで制御信号を出力するための端子と、スイッチ３０の制御用ポート３５とを接続させる。

第２スイッチ６２は、オンすることで、サブＣＰＵ５１からの制御信号をスイッチ３０の制御用ポート３５に入力させる。具体的には、第２スイッチ６２は、オンすることで、サブＣＰＵ５１の端子のうちで制御信号を出力するための端子と、スイッチ３０の制御用ポート３５とを接続させる。第１スイッチ６１及び第２スイッチ６２としては、例えば、小信号用のスイッチング素子や、入出力を切り離す機能が備わったレベルシフタ等のバッファＩＣが使用されて良い。スイッチング素子は、例えばバイポーラトランジスタ又はＭＯＳＦＥＴであって良い。

そして、第１スイッチ６１と第２スイッチ６２のオンとオフは、サブＣＰＵ５１が出力する切替指令によって切り替えられる。具体的には、第１スイッチ６１と第２スイッチ６２は、サブＣＰＵ５１からの切替指令によって択一的にオンするように構成されている。

切替指令は、例えば、第１スイッチ６１のオン／オフを指令する第１信号と、第２スイッチ６２のオン／オフを指令する第２信号とを、含んで良いが、本実施形態では、切替指令は、１本の信号線によって伝達される単一制御信号である。

そして、信号切替部６０では、サブＣＰＵ５１からの単一制御信号がハイとローとの一方である通常時レベルならば、第１スイッチ６１と第２スイッチ６２とのうち、第１スイッチ６１がオンする。また、単一制御信号が通常時レベルと異なる方の非通常時レベルならば、第１スイッチ６１と第２スイッチ６２とのうち、第２スイッチ６２がオンする。例えば、第１スイッチ６１及び第２スイッチ６２としてＭＯＳＦＥＴが使用される場合、第１スイッチ６１及び第２スイッチ６２のうち、一方としてはｎチャネル型ＭＯＳＦＥＴが用いられ、他方としてはｐチャネル型ＭＯＳＦＥＴが用いられて良い。

そして、異常検出部４５によりメイン系異常が検出されていない通常時において、サブＣＰＵ５１からの単一制御信号（即ち、切替指令）は、デフォルト値としての上記通常時レベルになる。このため、通常時においては、第１スイッチ６１と第２スイッチ６２とのうち、第１スイッチ６１がオンする。よって、スイッチ３０は、メインＣＰＵ４１によって制御される。

また、異常検出部４５によりメイン系異常が検出された場合（即ち、メイン系異常発生時）には、サブＣＰＵ５１から信号切替部６０への単一制御信号が上記非通常時レベルに切り替わる。このため、メイン系異常発生時においては、図３に示すように、第１スイッチ６１と第２スイッチ６２とのうち、第２スイッチ６２がオンする。よって、スイッチ３０は、サブＣＰＵ５１によって制御される。

なお、ＣＰＵ４１，５１からスイッチ３０の制御用ポート３５への制御信号の伝送には、例えばＳＰＩ通信又はＩ２Ｃ通信が用いられて良い。Ｉ２Ｃは「Inter Integrated Circuit」の略である。

［１－２．処理］
次に、ＥＣＵ１において、異常検出部４５及びＣＰＵ４１，５１により行われる処理について、図２のフローチャートを用いて説明する。図２に示される処理は、例えば一定時間毎に繰り返し実行される。

図２に示すように、ＥＣＵ１では、Ｓ１１０にて、異常検出部４５が、ＷＤＣ監視部４６又は電源監視部４７によってメイン系異常が検出されたか否かを判定する。
異常検出部４５は、上記Ｓ１１０にて、メイン系異常が検出されたと判定した場合には、Ｓ１２０にて、サブＣＰＵ５１へのメイン系異常通知を出力する。つまり、メイン系異常が発生したことをサブＣＰＵ５１に通知する。また、異常検出部４５は、上記Ｓ１１０にて、メイン系異常が検出されていないと判定した場合には、メイン系異常通知を出力しない。そして、この場合には、Ｓ１２０～Ｓ１５０がスキップされて、後述するＳ１６０の処理が行われる。

サブＣＰＵ５１は、異常検出部４５からのメイン系異常通知を受けると、Ｓ１３０にて、スイッチ３０を制御するＣＰＵ（即ち、スイッチ制御ＣＰＵ）の変更を行う。具体的には、サブＣＰＵ５１は、信号切替部６０への切替指令としての単一制御信号を、上記通常時レベルから上記非通常時レベルに切り替えることにより、スイッチ制御ＣＰＵを、メインＣＰＵ４１から当該サブＣＰＵ５１に変更する。つまり、メインＣＰＵ４１からの制御信号に代えて、サブＣＰＵ５１からの制御信号が、スイッチ３０の制御用ポート３５に入力されるように、信号切替部６０を切り替える。

サブＣＰＵ５１は、スイッチ制御ＣＰＵを当該サブＣＰＵ５１に変更した後、Ｓ１４０にて、スイッチ３０がフレームの送受信中であるか否かを判定し、フレームの送受信中であれば、スイッチ３０におけるフレームの送受信が完了するまで待つ。そして、サブＣＰＵ５１は、Ｓ１４０にて、スイッチ３０がフレームの送受信中ではないと判定した場合には、Ｓ１５０に進む。つまり、サブＣＰＵ５１は、スイッチ３０においてフレームの送受信が完了していることを確認してから、Ｓ１５０に進む。なお、サブＣＰＵ５１は、例えば、スイッチ３０の制御用ポート３５から、スイッチ３０の状態を示すステータス情報を読み出し、この読み出したステータス情報により、スイッチ３０がフレームの送受信中であるか否かを判定して良い。

そして、サブＣＰＵ５１は、Ｓ１５０では、スイッチ３０の制御用ポート３５に出力する制御信号により、スイッチ３０におけるフレームの宛先を変更する。具体的には、メインＣＰＵ４１宛てのフレームがスイッチ３０からサブＣＰＵ５１に転送されるように、スイッチ３０の設定を変更する。スイッチ３０は、Ｓ１５０での設定変更により、メインＣＰＵ４１宛てのフレームに含まれる宛先ＭＡＣアドレスを、サブＣＰＵ５１のＭＡＣアドレスに変更するようになっていても良い。

その後、サブＣＰＵ５１は、Ｓ１６０にて、スイッチ３０との間のフレームの送受信と、受信フレームに対する前述のロギング制御とを実施する。
また、メイン系異常が検出されていない通常時には、Ｓ１６０では、メインＣＰＵ４１、サブＣＰＵ５１ともに、スイッチ３０との間のフレームの送受信と、受信フレームに対する前述のロギング制御とを実施する。

異常検出部４５によりメイン系異常が検出された場合には、サブＣＰＵ５１によってＳ１５０の処理が実施されることにより、外部装置（例えばＥＣＵ１１，１２）からメインＣＰＵ４１宛てのフレームは、スイッチ３０によりサブＣＰＵ５１に転送される。また、外部装置からサブＣＰＵ５１宛てのフレームは、引き続きスイッチ３０によりサブＣＰＵ５１に転送される。

よって、メイン系異常が検出された場合、メインＣＰＵ４１は、少なくともロギング制御を行わず、サブＣＰＵ５１は、メインＣＰＵ４１宛てのフレームと、元々サブＣＰＵ５１宛てのフレームとについて、ロギング制御を行う。

［１－３．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）異常検出部４５によりメイン系異常が検出された場合、即ち、メインＣＰＵ４１が正常に動作しない場合に、図３に示すように、信号切替部６０において、第１スイッチ６１がオフに切り替わると共に、第２スイッチ６２がオンに切り替わる。このため、スイッチ制御ＣＰＵが、メインＣＰＵ４１からサブＣＰＵ５１に変更される。よって、正常に動作しないメインＣＰＵ４１に代わって、サブＣＰＵ５１によりスイッチ３０を制御することができる。

そして、サブＣＰＵ５１が図２のＳ１５０の処理を行ってスイッチ３０の設定を変更することにより、メインＣＰＵ４１宛てのフレームがスイッチ３０からサブＣＰＵ５１に転送されるようになる。このため、図３における点線の矢印Ｙ１に示すように、本来ならばメインＣＰＵ４１に転送される外部装置からのフレームが、メインＣＰＵ４１に転送されなくなり、図３における実線の矢印Ｙ２に示すように、サブＣＰＵ５１に転送されるようになる。なお、ここで言う「本来ならば」とは、メイン系異常が検出されていなければ、という意味である。よって、メインＣＰＵ４１宛てのフレームは、サブＣＰＵ５１によって処理されることができる。例えば、メインＣＰＵ４１宛てのフレームは、サブＣＰＵ５１によってロギング制御の対象とされるため、メインＣＰＵ４１宛てのフレームに含まれたデータを、サブ系回路部５０の記憶装置５２に記憶（即ち、ロギング）することができる。

従って、ＥＣＵ１における中継機能及びロギング機能の信頼性を高めることができ、延いては、ＥＣＵ１が用いられる通信システムの信頼性を高めることができる。例えば、車両において、走る、曲がる、止まるに関わるデータは常に正確な情報であることが要求されるため、それらのデータを中継したりロギングしたりする役割のＥＣＵについて、信頼性向上が求められている。そして、ＥＣＵ１によれば、こうした信頼性向上の要求に応じることができる。

（１ｂ）異常検出部４５からのメイン系異常通知を受けたサブＣＰＵ５１は、図２の１３０の処理により、スイッチ制御ＣＰＵをメインＣＰＵ４１から当該サブＣＰＵ５１に変更した後、図２のＳ１４０にて、スイッチ３０がフレームの送受信中であるか否かを判定する。そして、サブＣＰＵ５１は、スイッチ３０においてフレームの送受信が完了していることを確認してから、図２のＳ１５０の処理により、スイッチ３０におけるフレームの宛先変更を行う。このため、宛先変更の確実性を向上させることができる。

（１ｃ）メイン系異常通知は、異常検出部４５から、メインＣＰＵ４１を介さずに、サブＣＰＵ５１に出力される。このため、通知の確実性を向上させることができる。
（１ｄ）ネットワークを二重化することなく、冗長化の構成を極力少なくしつつ、信頼性を向上させることができる。

（１ｅ）物理的な通信パターンの切り替えは行っていないため、信号の劣化を招くことなく、メイン系異常による機能失陥を抑制することができる。
（１ｆ）スイッチ３０の制御用ポート３５に、ＣＰＵ４１，５１のうちの何れか一方のみが電気的に接続される構成であるため、メイン系異常が発生した場合に、メインＣＰＵ４１による影響を受けることなく、サブＣＰＵ５１によってスイッチ３０を制御することができる。

なお、上記実施形態では、メインＣＰＵ４１が第１の処理部に相当し、サブＣＰＵ５１が第２の処理部に相当し、電源回路４３が第１の電源部に相当し、電源回路５３が第２の電源部に相当し、スイッチ３０が中継部に相当する。また、サブＣＰＵ５１が変更部として機能する。そして、図２の処理のうち、Ｓ１３０～Ｓ１５０の処理が、変更部としての処理に相当する。

［２．第２実施形態］
［２－１．第１実施形態との相違点］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。なお、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

図４に示す第２実施形態のＥＣＵ１は、第１実施形態と比較すると、下記の事項が異なる。
ＥＣＵ１は、電源切替部７０を備える。電源切替部７０は、電源回路４３から出力される電源電圧と、電源回路５３から出力される電源電圧との、何れか一方を、スイッチ３０に動作用の電源電圧として供給するように構成された回路である。

そして、電源切替部７０には、サブＣＰＵ５１から信号切替部６０に出力される切替指令としての単一制御信号が入力される。電源切替部７０は、サブＣＰＵ５１からの単一制御信号が前述の通常時レベルである場合には、電源回路４３からの電源電圧をスイッチ３０に供給する。また、電源切替部７０は、サブＣＰＵ５１からの単一制御信号が前述の非通常時レベルである場合には、電源回路５３からの電源電圧をスイッチ３０に供給する。

このため、異常検出部４５によりメイン系異常が検出されていない通常時において、スイッチ３０には、電源切替部７０を介して、電源回路４３からの電源電圧が動作用の電源電圧として供給される。また、異常検出部４５によりメイン系異常が検出された場合において、スイッチ３０には、電源切替部７０を介して、電源回路５３からの電源電圧が動作用の電源電圧として供給される。

［２－２．効果］
以上詳述した第２実施形態によれば、前述した第１実施形態と同様の効果を奏し、更に、以下の効果を奏する。

（２ａ）異常検出部４５によりメイン系異常が検出された場合には、スイッチ３０に電源電圧を供給する電源部としての電源回路が、メイン系回路部４０における電源回路４３から、当該電源回路４３とは別の電源回路に変更される。なお、この第２実施形態において、電源回路４３から変更される別の電源回路は、サブ系回路部５０の電源回路５３であるが、電源回路４３，５３とは別に用意された電源回路であっても良い。

メイン系異常のうち、メインＣＰＵ４１への電源電圧の異常が電源監視部４７によって検出された場合には、電源回路４３自体に異常が発生している可能性がある。また、メイン系異常のうち、メインＣＰＵ４１の異常がＷＤＣ監視部４６によって検出された場合にも、メインＣＰＵ４１への電源電圧が異常である可能性があり、延いては、電源回路４３自体に異常が生じている可能性がある。このため、メイン系異常が検出された場合には、スイッチ３０に電源電圧を供給する電源回路が、電源回路４３から他の電源回路に変更されるようになっている。よって、スイッチ３０への確実な電源供給を実現し易い。

（２ｂ）スイッチ３０に電源電圧を供給する電源回路は、メイン系回路部４０の電源回路４３から、サブ系回路部５０の電源回路５３に変更される。このため、電源回路４３，５３とは別の電源回路を特別に用意しておく必要がなく、ＥＣＵ１における回路規模を抑制することができる。

なお、電源回路４３，５３のそれぞれからスイッチ３０には、ＣＰＵ４１，５１に供給される電源電圧と同じ電圧値の電源電圧が供給されても良いし、異なる電圧値の電源電圧が供給されても良い。

［３．第３実施形態］
［３－１．第１実施形態との相違点］
第３実施形態は、基本的な構成は第２実施形態と同様であるため、相違点について以下に説明する。なお、第１及び第２実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

図５に示す第３実施形態のＥＣＵ１は、第２実施形態と比較すると、下記〈３－１ａ〉～〈３－１ｃ〉の事項が異なる。
〈３－１ａ〉異常検出部４５からサブＣＰＵ５１へのメイン系異常通知には、検出された（即ち、発生した）異常を識別可能な識別情報が含まる。

〈３－１ｂ〉サブＣＰＵ５１から電源切替部７０には、信号切替部６０への切替指令とは別の電源切替指令が出力される。電源切替指令は、電源切替部７０に対して、電源回路４３からの電源電圧と、電源回路５３からの電源電圧との、何れを選択して出力するかを指令できれば、どのような形態の信号でも良い。本実施形態では、電源切替指令として、例えば１本の信号線によって伝達される単一制御信号が用いられている。以下では、電源切替部７０への電源切替指令としての単一制御信号を、信号切替部６０への切替指令としての単一制御信号と区別するために、電源切替信号という。

そして、電源切替部７０は、サブＣＰＵ５１からの電源切替信号がハイとローとの一方である通常時レベルの場合には、電源回路４３からの電源電圧をスイッチ３０に供給する。また、電源切替部７０は、サブＣＰＵ５１からの電源切替信号が通常時レベルと異なる方の非通常時レベルである場合には、電源回路５３からの電源電圧をスイッチ３０に供給する。

〈３－１ｃ〉サブＣＰＵ５１は、異常検出部４５からのメイン系異常通知を受けた場合に、図２のＳ１３０の処理を行うと共に、図６の処理も行う。
図６に示すように、サブＣＰＵ５１は、Ｓ２１０にて、メイン系異常通知に含まれる異常の識別情報に基づいて、発生した異常がメインＣＰＵ４１への電源電圧の異常であるか否かを判定する。

サブＣＰＵ５１は、発生した異常がメインＣＰＵ４１への電源電圧の異常ではないと判定した場合には、そのまま当該図６の処理を終了するが、発生した異常がメインＣＰＵ４１への電源電圧の異常であると判定した場合には、Ｓ２２０に進む。

そして、サブＣＰＵ５１は、Ｓ２２０では、電源切替部７０への電源切替信号をデフォルト値としての通常時レベルから、非通常時レベルに切り替えることにより、スイッチ３０に電源電圧を供給する電源回路を、電源回路４３から電源回路５３に変更する。

［３－２．効果］
以上詳述した第３実施形態によれば、前述した第２実施形態の効果を奏し、さらに、以下の効果を奏する。

メイン系異常のうち、メインＣＰＵ４１への電源電圧の異常が検出された場合にだけ、スイッチ３０に電源電圧を供給する電源回路が、電源回路４３から電源回路５３に変更される。このため、電源回路４３とメインＣＰＵ４１とのうち、メインＣＰＵ４１の動作だけが異常になった場合には、電源回路４３からスイッチ３０に引き続き電源電圧が供給されることなり、電源回路の変更が実施される機会を少なくすることができる。

［４．第４実施形態］
［４－１．第１実施形態との相違点］
第４実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。なお、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

図７に示す第４実施形態のＥＣＵ１は、第１実施形態と比較すると、下記〈４－１ａ〉～〈４－１ｃ〉の事項が異なる。
〈４－１ａ〉サブ系回路部５０は、メイン系回路部４０と同様に、異常検出部５５を備える。以下では、異常検出部５５のことを、メイン系回路部４０の異常検出部４５と区別するために、サブ系異常検出部５５とも言う。

サブ系異常検出部５５は、ＷＤＣ監視部５６と、電源監視部５７と、を備える。
ＷＤＣ監視部５６は、サブＣＰＵ５１が正常であればサブＣＰＵ５１から所定時間以内毎に出力されるはずのＷＤＣ信号を監視する。そして、ＷＤＣ監視部５６は、サブＣＰＵ５１からＷＤＣ信号が出力されない継続時間が、上記所定時間よりも長く設定された閾値時間を超えた場合、あるいはＷＤＣ信号の出力周期が所定時間よりも短くなった場合に、サブＣＰＵ５１が異常であると判定する。サブＣＰＵ５１が異常であると判定されることは、サブＣＰＵ５１の異常が検出されたことに該当する。

電源監視部５７は、電源回路５３からサブＣＰＵ５１へ供給される電源電圧を監視し、当該電源電圧の値が所定の正常範囲内でなければ、当該電源電圧が異常であると判定する。ＷＤＣ監視部５６によってサブＣＰＵ５１の異常が検出されていなくても、電源監視部５７によってサブＣＰＵ５１への電源電圧の異常が検出された場合には、サブＣＰＵ５１が正常に動作しない可能性がある。

そして、サブ系異常検出部５５は、ＷＤＣ監視部５６によりサブＣＰＵ５１の異常が検出されるか、あるいは電源監視部５７によりサブＣＰＵ５１への電源電圧の異常が検出された場合に、サブ系異常が発生したことを示すサブ系異常通知を出力する。ここで言うサブ系異常とは、サブＣＰＵ５１に関する異常であり、本実施形態では、サブＣＰＵ５１の異常又はサブＣＰＵ５１への電源電圧の異常である。

サブ系異常検出部５５からのサブ系異常通知は、例えばＳＰＩ通信又はＵＡＲＴ通信等のデータ通信による通知であって良い。サブ系異常通知にデータ通信が用いられる場合、サブ系異常通知には、検出された異常を識別可能な識別情報が含まれても良い。また、サブ系異常通知は、信号線の信号レベルによる通知であっても良い。この場合、信号線の信号レベルが、ハイとローとのうちで、予め定められた一方のレベルであれば、異常ありを示すように構成することができる。

そして、サブ系異常検出部５５からのサブ系異常通知は、後述する遮断用スイッチ７２と、メインＣＰＵ４１とに入力されるようになっている。
なお、サブ系異常検出部５５は、例えば、電源回路５３から出力される複数の電源電圧のうち、サブＣＰＵ５１へ供給される電源電圧とは別の電源電圧によって動作するように構成されて良い。また、サブ系異常検出部５５は、例えば、電源回路４３，５３とは別の、図示されない電源回路から供給される電源電圧によって動作するように構成されて良い。

〈４－１ｂ〉ＥＣＵ１は、遮断用スイッチ７２を更に備える。遮断用スイッチ７２は、サブＣＰＵ５１から信号切替部６０へ切替指令を伝達するための信号線（以下、切替指令用信号線）上に設けられている。

遮断用スイッチ７２のデフォルトの状態はオンである。そして、遮断用スイッチ７２には、オフの指令として、サブ系異常検出部５５からのサブ系異常通知が入力される。このため、遮断用スイッチ７２は、サブ系異常検出部５５からサブ系異常通知が出力されると、オンからオフに切り替わって、切替指令用信号線を遮断する。切替指令用信号線が遮断されることで、サブＣＰＵ５１から信号切替部６０への切替指令の伝達が遮断される。

そして、切替指令用信号線は、遮断用スイッチ７２のオフによって遮断された場合には、信号切替部６０に入力される切替指令としての単一制御信号が前述の通常時レベルに固定されるように構成されている。

よって、サブ系異常検出部５５からサブ系異常通知が出力されて、遮断用スイッチ７２がオフした場合には、サブＣＰＵ５１から出力される切替指令に関わらず、信号切替部６０では、第１スイッチ６１と第２スイッチ６２とのうち、第１スイッチ６１がオンする。このため、スイッチ制御ＣＰＵは、メインＣＰＵ４１に固定される。つまり、スイッチ制御ＣＰＵが、サブＣＰＵ５１によって変更されてしまうことが阻止される。

〈４－１ｃ〉ＥＣＵ１では、サブ系異常検出部５５及びメインＣＰＵ４１によって、図８に示す処理も行われる。図８に示される処理は、例えば一定時間毎に繰り返し実行される。

図８に示すように、ＥＣＵ１では、Ｓ３１０にて、サブ系異常検出部５５が、ＷＤＣ監視部５６又は電源監視部５７によってサブ系異常が検出されたか否かを判定する。
サブ系異常検出部５５は、上記Ｓ３１０にて、サブ系異常が検出されたと判定した場合には、Ｓ３２０にて、メインＣＰＵ４１及び遮断用スイッチ７２へのサブ系異常通知を出力する。

サブ系異常検出部５５からサブ系異常通知が出力されることにより、遮断用スイッチ７２がオフして、サブＣＰＵ５１から信号切替部６０への切替指令の伝達が遮断される。詳しくは、切替指令としての単一制御信号のうち、非通常時レベルの単一制御信号の伝達が遮断される。

また、メインＣＰＵ４１は、サブ系異常検出部５５からのサブ系異常通知を受けると、Ｓ３３０にて、スイッチ３０がフレームの送受信中であるか否かを判定し、フレームの送受信中であれば、スイッチ３０におけるフレームの送受信が完了するまで待つ。そして、メインＣＰＵ４１は、Ｓ３３０にて、スイッチ３０がフレームの送受信中ではないと判定した場合には、Ｓ３４０に進む。つまり、メインＣＰＵ４１は、スイッチ３０においてフレームの送受信が完了していることを確認してから、Ｓ３４０に進む。なお、メインＣＰＵ４１は、例えば、スイッチ３０の制御用ポート３５から、スイッチ３０の状態を示すステータス情報を読み出し、この読み出したステータス情報により、スイッチ３０がフレームの送受信中であるか否かを判定して良い。

そして、メインＣＰＵ４１は、Ｓ３４０では、スイッチ３０の制御用ポート３５に出力する制御信号により、スイッチ３０におけるフレームの宛先を変更する。具体的には、サブＣＰＵ５１宛てのフレームがスイッチ３０からメインＣＰＵ４１に転送されるように、スイッチ３０の設定を変更する。スイッチ３０は、Ｓ３４０での設定変更により、サブＣＰＵ５１宛てのフレームに含まれる宛先ＭＡＣアドレスを、メインＣＰＵ４１のＭＡＣアドレスに変更するようになっていても良い。

メインＣＰＵ４１は、Ｓ３４０の処理を行った場合には、スイッチ３０から、元々メインＣＰＵ４１宛てのフレームと、本来ならばサブＣＰＵ５１宛てのフレームとを、受信することになる。そして、受信した各フレームについて例えばロギング制御を行う。ここで言う「本来ならば」とは、サブ系異常が検出されていなければ、という意味である。

また、サブ系異常検出部５５は、上記Ｓ３１０にて、サブ系異常が検出されていないと判定した場合には、サブ系異常通知を出力しない。そして、この場合には、Ｓ３２０～Ｓ３４０がスキップされる。

［４－２．効果］
以上詳述した第４実施形態によれば、前述した第１実施形態の効果を奏し、さらに、以下の効果を奏する。

（４ａ）サブ系異常検出部５５によってサブ系異常が検出された場合には、サブＣＰＵ５１によってスイッチ制御ＣＰＵが変更されることが阻止される。よって、正常に動作しないサブＣＰＵ５１によって、スイッチ制御ＣＰＵが誤ってメインＣＰＵ４１からサブＣＰＵ５１に変更されてしまうことを、抑制することができる。

（４ｂ）サブ系異常検出部５５によってサブ系異常が検出された場合には、遮断用スイッチ７２がオフして、サブＣＰＵ５１から信号切替部６０への切替指令の伝達が遮断されことにより、サブＣＰＵ５１によるスイッチ制御ＣＰＵの変更が阻止される。このため、スイッチ制御ＣＰＵの変更阻止の確実性を向上させることができる。

（４ｃ）サブ系異常検出部５５からのサブ系異常通知は、メインＣＰＵ４１を介さずに、遮断用スイッチ７２に出力される。このため、異常になったメインＣＰＵ４１が遮断用スイッチ７２をオフしてしまい、正常なサブＣＰＵ５１による信号切替部６０及びスイッチ３０の制御が不能になってしまうことを、回避することができる。

（４ｄ）サブ系異常検出部５５からのサブ系異常通知は、遮断用スイッチ７２だけでなく、メインＣＰＵ４１にも入力される。そして、メインＣＰＵ４１は、サブ系異常通知を受けた場合に、図８のＳ３４０の処理を行ってスイッチ３０の設定を変更することにより、サブＣＰＵ５１宛てのフレームがスイッチ３０からメインＣＰＵ４１に転送されるようにする。このため、本来ならばサブＣＰＵ５１に転送される外部装置からのフレームが、メインＣＰＵ４１に転送されるようになる。

よって、サブＣＰＵ５１宛てのフレームは、正常なメインＣＰＵ４１によって処理されることができる。例えば、サブＣＰＵ５１宛てのフレームが、メインＣＰＵ４１に受信されてロギング制御の対象とされることにより、サブＣＰＵ５１宛てのフレームに含まれたデータが、メイン系回路部４０の記憶装置４２に記憶（即ち、ロギング）される。よって、データの消失を抑制することができる。

なお、上記第４実施形態では、メイン系回路部４０の異常検出部４５が第１の異常検出部に相当し、サブ系回路部５０の異常検出部（即ち、サブ系異常検出部）５５が第２の異常検出部に相当し、遮断用スイッチ７２が阻止部に相当する。また、信号切替部６０への切替指令としての単一制御信号のうち、非通常時レベルの単一制御信号が、「第２の処理部からの制御信号が信号切替部によって中継部に入力されるようにするための切替指令」に相当する。サブＣＰＵ５１は、図２のＳ１３０～Ｓ１５０の処理を行うことで、第１の変更部として機能する。メインＣＰＵ４１は、図８のＳ３４０の処理を行うことで、第２の変更部として機能する。

一方、上記第４実施形態の構成及び処理は、第２実施形態及び第３実施形態に対しても適用して良い。
［５．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

例えば、異常検出部４５は、ＷＤＣ監視部４６と電源監視部４７との一方だけを備えても良い。異常検出部５５も、ＷＤＣ監視部５６と電源監視部５７との一方だけを備えても良い。

また、ＥＣＵ１にイーサネットとは別の通信プロトコルの通信線が接続され、当該通信線を介して受信されたデータも記憶装置４２，５２にロギングされて良い。別の通信プロトコルとしては、例えばＣＡＮ（即ち、Controller Area Network）又はＬＩＮ（即ち、Local Interconnect Network）であって良い。ＣＡＮは登録商標である。

また、ＣＰＵ、電源回路及び記憶装置を備える回路部の数は、２つに限らず、３つ以上であっても良い。そして、３つ以上の回路部のうちの少なくとも２つが、前述したメイン回路部４０とサブ系回路部５０との関係になっていれば良い。

また、本開示に記載のＥＣＵ１及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載のＥＣＵ１及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載のＥＣＵ１及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。ＥＣＵ１に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

また、上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

また、上述したＥＣＵ１の他、当該ＥＣＵ１を構成要素とするシステム、当該ＥＣＵ１としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、中継部の制御方法など、種々の形態で本開示を実現することもできる。

１…ＥＣＵ、Ｐ１，Ｐ２…外部通信ポート、３０…イーサネットスイッチ、４１…メインＣＰＵ、５１…サブＣＰＵ、４３…電源回路、５３…電源回路、４５…異常検出部。

Claims (8)

1. 外部装置とフレームを送受信するための少なくとも１つの外部通信ポート（Ｐ１，Ｐ２）と、
   第１の処理部（４１）と、
   第２の処理部（５１）と、
   前記第１の処理部へ電源電圧を供給するように構成された第１の電源部（４３）と、
   前記第２の処理部へ電源電圧を供給するように構成された第２の電源部（５３）と、
   前記少なくとも１つの外部通信ポートを介したフレームの送受信と、前記第１の処理部及び前記第２の処理部とのフレームの送受信とが可能であり、受信したフレームの中継を行うように構成された中継部（３０）と、
   前記第１の処理部と、前記第１の電源部から前記第１の処理部へ供給される前記電源電圧との、少なくとも一方の異常を検出するように構成された異常検出部（４５）と、
   前記異常検出部により前記第１の処理部と前記第１の処理部への前記電源電圧との少なくとも一方の異常が検出された場合に、前記中継部を制御する処理部を、前記第１の処理部から前記第２の処理部に変更すると共に、前記第１の処理部宛てのフレームが前記中継部から前記第２の処理部に転送されるように前記中継部の設定を変更するように構成された変更部（５１，Ｓ１３０～Ｓ１５０）と、を備える、
   電子制御装置。
2. 請求項１に記載の電子制御装置であって、
   前記変更部は、
   前記中継部を制御する処理部を、前記第１の処理部から前記第２の処理部に変更した後、前記中継部においてフレームの送受信が完了していることを確認してから、前記第１の処理部宛てのフレームが前記中継部から前記第２の処理部に転送されるように前記中継部の設定を変更するように構成されている、
   電子制御装置。
3. 請求項１又は請求項２に記載の電子制御装置であって、
   前記異常検出部は、第１の異常検出部（４５）であり、
   前記第２の処理部が、前記変更部として機能するように構成されており、
   更に、前記第２の処理部と、前記第２の電源部から前記第２の処理部へ供給される前記電源電圧との、少なくとも一方の異常を検出するように構成された第２の異常検出部（５５）と、
   前記第２の異常検出部により前記第２の処理部と前記第２の処理部への前記電源電圧との少なくとも一方の異常が検出された場合に、前記中継部を制御する処理部が前記第２の処理部によって変更されることを、阻止するように構成された阻止部（７２）と、を備える、
   電子制御装置。
4. 請求項３に記載の電子制御装置であって、
   前記中継部を制御するための制御信号を、前記第１の処理部と前記第２の処理部とのうちの一方から前記中継部に入力させるように構成された信号切替部（６０）、を更に備え、
   前記変更部として機能する前記第２の処理部は、
   前記第２の処理部からの前記制御信号が前記信号切替部によって前記中継部に入力されるようにするための切替指令を、前記信号切替部に出力することにより、前記中継部を制御する処理部を、前記第１の処理部から前記第２の処理部に変更するように構成され、
   前記阻止部は、
   前記第２の処理部から前記信号切替部への前記切替指令の伝達を遮断することにより、前記中継部を制御する処理部が前記第２の処理部によって変更されることを阻止するように構成されている、
   電子制御装置。
5. 請求項３又は請求項４に記載の電子制御装置であって、
   前記変更部は、第１の変更部（５１，Ｓ１３０～Ｓ１５０）であり、
   更に、前記第２の異常検出部により前記第２の処理部と前記第２の処理部への前記電源電圧との少なくとも一方の異常が検出された場合に、前記第２の処理部宛てのフレームが前記中継部から前記第１の処理部に転送されるように前記中継部の設定を変更するように構成された第２の変更部（４１，Ｓ３４０）、を備える、
   電子制御装置。
6. 請求項１ないし請求項５の何れか１項に記載の電子制御装置であって、
   前記異常検出部により前記第１の処理部と前記第１の処理部への前記電源電圧との少なくとも一方の異常が検出された場合に、前記中継部に電源電圧を供給する電源部が、前記第１の電源部から、前記第１の電源部とは別の電源部に変更される、
   電子制御装置。
7. 請求項６に記載の電子制御装置であって、
   前記異常検出部は、少なくとも前記第１の処理部へ供給される前記電源電圧の異常を検出するように構成され、
   前記異常検出部により前記第１の処理部への前記電源電圧の異常が検出された場合に、前記中継部に電源電圧を供給する電源部が、前記第１の電源部から前記別の電源部に変更される、
   電子制御装置。
8. 請求項６又は請求項７に記載の電子制御装置であって、
   前記別の電源部は、前記第２の電源部である、
   電子制御装置。

Images