(57)【要約】【課題】異常検出部の増加に由来してトータル診断時間が長くなることを抑制可能な電子制御装置を提供する。【解決手段】電子制御装置１は遮断信号の出力元として内部監視部、外部監視装置３０、及び電圧監視部５３を備える。各遮断信号出力元から出力される遮断信号は何れも、論理和出力部５４に入力される。論理和出力部５４は、複数の遮断信号出力元のうち、少なくとも何れか１つから遮断信号が入力されている場合に、遮断信号として機能する信号を駆動回路５２に出力し、駆動信号の出力を遮断する。カットパス診断部は、各遮断信号出力元の出力パターンと、論理和出力部５４の出力レベルとが整合しているか否かを、出力パターン毎に判定し、その判定結果に基づいて、各カットパスを診断する。【選択図】図１
2018001877.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された複数のセンサから入力されるデータに基づいて、所定のアクチュエータの制御量を算出し、その制御量に応じた制御信号を出力する演算装置（２０）と、
前記演算装置から出力される前記制御信号に応じた駆動信号を生成し、前記駆動信号を前記アクチュエータに出力する駆動回路（５２）と、を備える電子制御装置であって、
前記駆動回路の出力を遮断するための遮断信号を、所定の監視対象の異常動作を検出した場合に出力する遮断信号出力部（Ｆ２、３０、５３）を少なくとも３つ備え、
前記遮断信号出力部は、前記遮断信号として機能するカットレベルと、前記遮断信号として機能しない非カットレベルの何れかに該当するレベルの信号を出力するものであって、
前記駆動回路は、複数の前記遮断信号出力部の出力信号の論理和がカットレベルとなっている場合に前記駆動信号の出力を停止するように構成されており、
複数の前記遮断信号出力部の出力信号の論理和に相当するレベルの信号を出力する論理和出力部（５４）と、
複数の前記遮断信号出力部の出力パターンと前記論理和との対応関係に基づき、前記遮断信号が流れる経路である複数のカットパスの診断を行うカットパス診断部（Ｆ３１）と、
複数の前記遮断信号出力部の少なくとも１つの出力レベルをカットレベルに設定した状態において、前記演算装置から前記駆動回路に所定の制御量に対応する前記制御信号を一定時間出力させることによって、前記駆動回路の出力が前記遮断信号の前記論理和に基づいて遮断されるか否かを診断する遮断機能診断部（Ｆ３２）と、を備えることを特徴とする電子制御装置。
【請求項２】
請求項１において、
前記遮断信号出力部の出力パターン毎に前記論理和出力部が出力するべき信号レベルである適正レベルを示した適正レベルデータが登録されている適正レベル記憶部（Ｍ１）を備え、
前記カットパス診断部は、
前記遮断信号出力部の出力パターンが変化した場合に、前記論理和出力部が出力している前記論理和としての信号レベルが、前記適正レベルデータにおいて現在の出力パターンに対応付けられている前記適正レベルと合致しているか否かを判定する対応関係判定処理を実施し、
前記論理和としての信号レベルが現在の出力パターンに対応付けられている前記適正レベルと合致していない場合には、現在の出力パターンを不具合パターンとして登録する一方、合致している場合には当該出力パターンを正常パターンとして登録し、
不具合パターンとして登録された出力パターンが存在する場合には、複数の前記カットパスの少なくとも何れか１つに不具合が生じていると判定することを特徴とする電子制御装置。
【請求項３】
請求項２において、
前記カットパス診断部は、全ての出力パターンが正常パターンとして登録された場合には、全ての前記カットパスが正常であると判定することを特徴とする電子制御装置。
【請求項４】
請求項２又は３において、
前記カットパス診断部は、前記車両の走行用電源スイッチがオンに設定された場合に、複数の前記遮断信号出力部の全ての出力パターンのうちの少なくとも一部の出力パターンについての前記対応関係判定処理を実施することを特徴とする電子制御装置。
【請求項５】
請求項２から４の何れか１項において、
前記カットパス診断部は、出力パターン毎の前記対応関係判定処理の判定結果に基づいて、正常に前記遮断信号が伝達される前記カットパスである正常パスを特定し、
前記遮断機能診断部は、前記正常パスに対応する前記遮断信号出力部に前記遮断信号を出力させることによって、前記論理和をカットレベルにすることを特徴とする電子制御装置。
【請求項６】
請求項２から５の何れか１項において、
前記演算装置は、
複数の前記センサから入力されるデータに基づいて前記制御量を演算する制御演算部（Ｆ１）と、
複数の前記遮断信号出力部の１つとして、前記制御演算部が正常に動作しているか否かを判定する内部監視部と、を備え、
前記内部監視部は、前記制御演算部の異常動作を検出した場合に、前記遮断信号を出力することを特徴とする電子制御装置。
【請求項７】
請求項２から６の何れか１項において、
複数の前記遮断信号出力部の１つとして、前記演算装置の外部に、前記演算装置が正常に動作しているか否かを判定する外部監視装置を備え、
前記外部監視装置は、前記演算装置の異常動作を検出した場合に、前記遮断信号を出力することを特徴とする電子制御装置。
【請求項８】
請求項２から７の何れか１項において、
複数の前記遮断信号出力部の１つとして、前記駆動回路に印加されている電圧である駆動用電圧が正常であるか否かを判定する電圧監視部を備え、
前記電圧監視部は、前記駆動用電圧の異常を検出した場合に、前記遮断信号を出力することを特徴とする電子制御装置。
【請求項９】
請求項７において、
前記カットパス診断部は、前記外部監視装置の出力レベルを非カットレベルとする出力パターンについての前記対応関係判定処理が全て完了してから、前記外部監視装置の出力レベルをカットレベルに設定した出力パターンについての前記対応関係判定処理を実行することを特徴とする電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載されているアクチュエータの動作を制御する電子制御装置に関する。
【背景技術】
【０００２】
車両に搭載されたアクチュエータの動作を制御するための装置（以降、電子制御装置）は、車載センサから入力されるデータに基づいて種々の演算処理が実行するマイクロコンピュータ（以降、制御用マイコン）を主体として構成されている。この種の電子制御装置が備える制御用マイコンは、アクチュエータの動作を制御するための演算処理を実行する機能（以降、制御演算部）のほかに、制御演算部が正常に動作しているか否かを監視する機能（以降、自己診断機能）を備えていることが一般的である。
【０００３】
また、近年は、電子制御装置の標準的な安全設計思想として、制御用マイコンの外部に、制御用マイコン自体の異常動作を検出するモジュール（以降、外部監視装置）を設けた構成が一般的である。便宜上、外部監視装置と、制御用マイコンが備える自己診断機能とを区別しない場合には異常検出部と記載する。
【０００４】
これらの異常検出部は、監視対象の異常動作を検出すると、制御対象への駆動信号の出力を遮断するための信号（以降、遮断信号）を駆動回路に出力して、アクチュエータへの制御信号の出力を遮断させる。ここでの駆動信号とは制御対象とするアクチュエータに所望のトルクを出力させる信号である。駆動回路は、制御演算部の演算結果に応じた駆動信号を生成する回路である。制御演算部の演算結果は制御信号として駆動回路に入力される。
【０００５】
制御対象とするアクチュエータへの駆動信号の出力（換言すれば通電）を遮断することによって、車両の状態は所定の安全な状態へと移行する。例えば、電子制御装置の制御対象がスロットルバルブの開度を調整するモータ（以降、スロットルモータ）の場合には、遮断信号はスロットルモータへの通電を遮断するように作用する。これによって、スロットル弁が所定の中間開度となり、その結果、車両はトルク出力が制限された退避走行モードへと移行する。便宜上以降では、電子制御装置が備える、異常の検出に伴うアクチュエータの通電を遮断する機能を出力遮断機能と称する。
【０００６】
ところで、遮断信号が流れる経路（以降、カットパス）の何処かに不具合が発生している場合には、出力遮断機能が正常に作動しないことが懸念される。そのため、自動車の電気／電子に関する安全規定である国際標準化機構（International Organization for Standardization：ＩＳＯ）２６２６２６では、１ドライビングサイクルの中で少なくとも１回は、カットパスが正常な状態であるか否か（換言すれば有効であるか否か）を診断することが義務付けられている。
【０００７】
カットパスが正常な状態であるか否か（換言すれば有効であるか否か）を診断する方法としては、例えば特許文献１に開示されている方法がある。特許文献１に開示の方法では、制御演算部が駆動回路に対してアクチュエータの駆動させるための制御信号を入力している状態において、異常検出部が遮断信号を出力する。そして、遮断信号を出力し始めてから所定の第１時間経過した時点における制御対象の状態と、その時点からさらに所定の第２時間経過した時点における制御対象の状態とを比較する。それらの状態が一致していない場合にカットパスに不具合が生じていると判定する。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００９−１３８２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
特許文献１に開示の方法では、１つのカットパスの有効性の診断に第１時間と第２時間とを足した時間だけ必要となる。また、通常、カットパスは異常検出部毎に設けられる。そのような事情を鑑みると、電子制御装置が備える異常検出部の数に比例して、電子制御装置が備える出力遮断機能の診断に要する合計時間（以降、トータル診断時間）が長くなってしまうことが懸念される。
【００１０】
本発明は、この事情に基づいて成されたものであり、その目的とするところは、異常検出部の増加に由来してトータル診断時間が長くなることを抑制可能な電子制御装置を提供することにある。
【課題を解決するための手段】
【００１１】
その目的を達成するための本発明は、車両に搭載された複数のセンサから入力されるデータに基づいて、所定のアクチュエータの制御量を算出し、その制御量に応じた制御信号を出力する演算装置（２０）と、演算装置から出力される制御信号に応じた駆動信号を生成し、駆動信号をアクチュエータに出力する駆動回路（５０）と、を備える電子制御装置であって、駆動回路の出力を遮断するための遮断信号を、所定の監視対象の異常動作を検出した場合に出力する遮断信号出力部（Ｆ２、３０、５３）を少なくとも３つ備え、遮断信号出力部は、遮断信号として機能するカットレベルと、遮断信号として機能しない非カットレベルの何れかに該当するレベルの信号を出力するものであって、駆動回路は、複数の遮断信号出力部の出力信号の論理和がカットレベルとなっている場合に駆動信号の出力を停止するように構成されており、複数の遮断信号出力部の出力信号の論理和に相当する信号レベルを出力する論理和出力部（５４）と、複数の遮断信号出力部の出力パターンと論理和との対応関係に基づき、遮断信号が流れる経路である複数のカットパスの診断を行うカットパス診断部（Ｆ３１）と、複数の遮断信号出力部の少なくとも１つの出力レベルをカットレベルに設定した状態において、演算装置から駆動回路に所定の制御量に対応する制御信号を一定時間出力させることによって、駆動回路の出力が遮断信号の論理和に基づいて遮断されるか否かを診断する遮断機能診断部（Ｆ３２）と、を備えることを特徴とする。
【００１２】
以上の構成ではカットパス診断部が複数の遮断信号出力部の出力パターンと各遮断信号出力部の出力信号の論理和との対応関係に基づいて、複数のカットパスのそれぞれが正常であるか否かを診断する。また、駆動回路は、複数の遮断信号出力部の出力信号の論理和がカットレベルとなっている場合に駆動信号の出力を停止するように構成されている。そのため、複数の遮断信号出力部の少なくとも１つの出力レベルをカットレベルに設定した場合には、論理和がカットレベルとなって駆動信号の出力が遮断されるはずである。
【００１３】
したがって、複数の遮断信号出力部の少なくとも１つの出力レベルをカットレベルに設定した状態において、演算装置に制御信号を出力させることによって、駆動回路の出力が遮断信号の論理和に基づいて遮断されるか否かを診断することができる。
【００１４】
このような構成によれば、出力遮断機能の診断のために演算装置から駆動回路へ制御信号を一定時間出力する回数は１回でよい。つまり、遮断信号出力部が複数存在する場合であっても、一定時間制御信号を出力し続ける処理を複数回実施する必要がない。なお、遮断信号出力部は所定の監視対象の異常を検出した場合に遮断信号を出力する要素であるため、上述の遮断信号出力部は異常検出部に相当する。
【００１５】
したがって、以上の構成によれば、電子制御装置が備える異常検出部の増加に由来して、トータル診断時間が長くなることを抑制できる。
【００１６】
なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１７】
【図１】電子制御装置１の概略的な構成を示すブロック図である。
【図２】マイコン２０が備える機能を示した機能ブロック図である。
【図３】対応関係データの内容を表した図である。
【図４】電子制御装置１の状態遷移図である。
【図５】ＩＧオン時診断処理について説明するためのフローチャートである。
【図６】図５に示すフローチャートの続きを表した図である。
【図７】ＩＧオフ時診断処理について説明するためのフローチャートである。
【図８】図７に示すフローチャートの続きを表した図である。
【図９】第１カットパスに不具合が生じている場合の出力パターンと論理和出力部５４の出力レベルを表した図である。
【図１０】第２カットパスに不具合が生じている場合の出力パターンと論理和出力部５４の出力レベルを表した図である。
【図１１】第３カットパスに不具合が生じている場合の出力パターンと論理和出力部５４の出力レベルを表した図である。
【図１２】カットパス診断部Ｆ３１による一連の処理の流れを説明するための図である。
【図１３】論理和出力部５４の実現態様の一例を示した図である。
【発明を実施するための形態】
【００１８】
以下、本発明が適用された電子制御装置１について図を用いて説明する。電子制御装置１は、車両に搭載されており、図１に示すように、車載電源２、アクセルセンサ３、スロットルセンサ４、及びスロットルアクチュエータ６のそれぞれと接続されている。
【００１９】
本実施形態では一例として電子制御装置１が搭載された車両（以降、搭載車両）は、駆動源としてエンジンを備える車両とするが、これに限らない。搭載車両は、モータのみを駆動源として備える車両（いわゆる電気自動車）であってもよいし、エンジンとモータの両方を駆動源として備える車両（いわゆるハイブリッドカー）であってもよい。
【００２０】
また、電子制御装置１には、図示しないイグニッションスイッチ（以下、ＩＧＳＷ）のオン／オフ状態を示す信号が入力される。なお、ＩＧＳＷがオンからオフに切り替えられた後も、電子制御装置１における全ての処理が終了するまでは、電子制御装置１には動作用の電力が車載電源２から供給され続けるように構成されている。車載電源２は、例えば車載バッテリである。車載電源２は電子制御装置１に対して所定の電源電圧Ｖｂを供給する。ＩＧＳＷが請求項に記載の走行用電源スイッチに相当する。
【００２１】
アクセルセンサ３は、運転者によるアクセルペダルの操作位置をアクセル操作量として検出するセンサである。スロットルセンサ４は、エンジンへの吸入空気量を調節するスロットル弁５の位置（換言すれば回転角度）をスロットル開度として検出するセンサである。アクセルセンサ３やスロットルセンサ４の検出結果は電子制御装置１に逐次提供される。
【００２２】
スロットルアクチュエータ６は、スロットル弁５の開度を調整するアクチュエータである。スロットルアクチュエータ６の出力は、電子制御装置１によって制御される。なお、スロットル弁５は、スロットルアクチュエータ６の駆動が停止された場合、予め設定された中間開度となるように構成されている。中間開度は、例えば、エンジンの所定出力での運転（例えばアイドリング運転や退避走行）が可能な開度である。
【００２３】
電子制御装置１は、アクセルセンサ３やスロットルセンサ４から入力されるデータに基づいて、スロットルアクチュエータ６を制御する装置である。電子制御装置１は、図１に示すように、電源回路モジュール１０、マイクロコンピュータ（以降、マイコン）２０、外部監視装置３０、リレーＭＯＳ４０、及び駆動ユニット５０を備える。本明細書におけるＭＯＳは、スイッチング素子としてのＮチャネルＭＯＳＦＥＴを指す。なお、本実施形態ではスイッチング素子としてＮチャネルＭＯＳＦＥＴを採用しているがこれに限らない。スイッチング素子として、ＮチャネルＭＯＳＦＥＴの代わりに、その他の周知の素子（例えばＩＧＢＴ）を採用してもよい。
【００２４】
電源回路モジュール１０は、電子制御装置１が車載電源２と接続し、車載電源２からの電力供給を受けるための回路モジュールである。例えば電源回路モジュール１０は、車載電源２が供給する電源電圧を、マイコン２０等の動作に適した所定の電圧に調整して出力する。電源回路モジュール１０によって調整された電圧は、マイコン２０など、電子制御装置１が備える種々の部材に供給される。
【００２５】
マイコン２０は、中央演算装置としてのＣＰＵ２１、揮発性メモリであるＲＡＭ２２、不揮発性の記憶媒体であるＲＯＭ２３等を備える。ＲＯＭ２３には、種々のプログラムや演算処理に用いられるパラメータ等が格納されている。ＲＡＭ２２やＲＯＭ２３は、ＣＰＵ２１が種々の演算処理を実行するためのアドレス空間を提供する。以降においてＲＡＭ２２とＲＯＭ２３とを区別しない場合には単にメモリと記載する。なお、マイコン２０は、上述した部材の他にも、マイコン２０を構成する種々の部材を接続するバスや、バスコントローラ、割り込みコントローラ、入出力ポート、クロック発振器などを備えている。
【００２６】
マイコン２０は、ＣＰＵ２１がＲＯＭ２３に格納されたプログラムを実行することによって発現する機能ブロックとして、図２に示すように、制御演算部Ｆ１と、内部監視部Ｆ２と、診断処理部Ｆ３と、を備える。また、マイコン２０は、後述する対応関係データを記憶している対応関係記憶部Ｍ１を備える。対応関係記憶部Ｍ１は、ＲＯＭ２３が備える記憶領域を用いて実現されればよい。マイコン２０が請求項に記載の演算装置に相当する。
【００２７】
制御演算部Ｆ１は、アクセルセンサ３によって検出されるアクセル操作量から、スロットル弁５の目標開度（換言すれば目標位置）を演算する。そして、スロットルセンサ４によって検出される実際のスロットル開度をその目標開度にするためのスロットルアクチュエータ６の制御量を算出し、当該制御量に応じた制御信号を駆動ユニット５０に出力する。
【００２８】
内部監視部Ｆ２は、制御演算部Ｆ１が正常に動作しているか否かを判定（換言すれば監視）する。制御演算部Ｆ１が正常に動作しているか否かの判定方法は周知の方法を援用することができる。
【００２９】
例えば、内部監視部Ｆ２は、アクセルセンサ３によって検出されているアクセル操作量から、エンジンの許容トルクを算出するとともに、スロットルセンサ４によって検出されているスロットル開度から、現在エンジンが発生しているトルクの推定値である推定トルクを算出する。そして、許容トルクと推定トルクとを比較した結果、推定トルクが許容トルクを超過している場合に、制御演算部Ｆ１が異常動作していると判定する。なお、許容トルクは、例えば、アクセル操作量から考えられるエンジンの出力トルクの最大値とすればよい。
【００３０】
また、内部監視部Ｆ２は、複数のコアで同じ演算処理を実施させた結果、それらの演算結果が一致しなかった場合に、制御演算部Ｆ１が正常に動作していないと判定してもよい。さらに、メモリに格納するデータにはＥＣＣ（Error Correcting Code）を付加するように制御演算部Ｆ１等がプログラムされている場合には、内部監視部Ｆ２は、当該ＥＣＣによってデータのエラーを検出してもよい。当然、データのエラーを検出した場合には、制御演算部Ｆ１が正常に動作していないと判定する。なお、制御演算部Ｆ１は正常に動作していないと判定することは制御演算部Ｆ１の異常動作を検出することに相当する。
【００３１】
この内部監視部Ｆ２は、制御演算部Ｆ１が正常に動作していないと判定した場合には、遮断信号線Ｌ１に対して遮断信号を出力する。遮断信号は、制御演算部Ｆ１による制御信号を無効化するための信号である。
【００３２】
遮断信号線Ｌ１には、ローレベルとハイレベルと２レベルの信号が流れるように構成されており、ここでは一例としてハイレベルの信号が遮断信号として機能するものとする。したがって、本実施形態における内部監視部Ｆ２は、制御演算部Ｆ１が正常に動作していると判定している場合にはローレベルの信号を遮断信号線Ｌ１に出力する一方、異常動作していると判定している場合にはハイレベルの信号を遮断信号線Ｌ１に出力する。ハイレベルが請求項に記載のカットレベルに対応し、ローレベルが請求項に記載の非カットレベルに対応する。
【００３３】
以降では便宜上、内部監視部Ｆ２が出力する遮断信号を第１の遮断信号とも記載する。第１の遮断信号は、遮断信号線Ｌ１を介して駆動ユニット５０が備える論理和出力部５４に入力される。内部監視部Ｆ２は遮断信号の出力元としての役割を担うため、請求項に記載の遮断信号出力部に相当する。
【００３４】
なお、本実施形態では内部監視部Ｆ２はＣＰＵ２１が所定のプログラムを実行することによって実現されるものとするが、これに限らない。内部監視部Ｆ２はハードウェアとして実現されていても良い。例えば、ＥＣＣ等を用いてメモリ異常を検出する機能は、専用のＩＣチップを用いて実現されても良い。
【００３５】
診断処理部Ｆ３は、より細かい機能ブロックとして、後述するカットパス診断処理を実施するカットパス診断部Ｆ３１と、遮断機能診断処理を実行する遮断機能診断部Ｆ３２とを備える。なお、カットパス診断処理は、電子制御装置１の起動処理と並行して実施するＩＧオン時診断処理と、ＩＧＳＷがオフされたことに基づいて実施するＩＧオフ時処理を備える。つまり、本実施形態における診断処理部Ｆ３は、一連のカットパス診断処理を、ＩＧオン時に実施する前半パートとＩＧオフ時に実行する後半パートの２パートに分割して実行する。
【００３６】
診断処理部Ｆ３は、カットパス診断処理を実行するためのサブ機能として、電圧エラー信号を出力する機能を備える。電圧エラー信号は、後述する電圧監視部５３に駆動用電圧Ｖｄｄが異常であると判定させる信号である。駆動用電圧は、駆動回路５２に供給される電圧であって、リレーＭＯＳ４０のソース側の電圧に相当する。
【００３７】
その他、マイコン２０は、外部監視装置３０に対してウォッチドッグパルスを定期的に出力する機能等を備える。
【００３８】
外部監視装置３０は、マイコン２０が正常に動作しているか否かを監視する。そして、異常を検知した場合には、遮断信号を遮断信号線Ｌ２に出力する。遮断信号線Ｌ２には、ローレベルとハイレベルと２レベルの信号が流れるように構成されており、ハイレベルの信号が遮断信号として機能する。
【００３９】
すなわち、外部監視装置３０は、マイコン２０が正常に動作していると判定している場合にはローレベルの信号を遮断信号線Ｌ１に出力する一方、マイコン２０が異常動作していると判定している場合には遮断信号として機能するハイレベルの信号を出力する。外部監視装置３０も、内部監視部Ｆ２と同様に、遮断信号の出力元としての役割を担う。つまり、外部監視装置３０は請求項に記載の遮断信号出力部に相当する。以降では便宜上、外部監視装置３０が出力する遮断信号を第２の遮断信号とも記載する。第２の遮断信号は、遮断信号線Ｌ２を介して駆動ユニット５０が備える論理和出力部５４に入力される。
【００４０】
なお、マイコン２０が正常に動作しているか否かは、ウォッチドッグタイマ方式や宿題回答方式などといった、周知の方法を用いて判定することができる。ウォッチドッグタイマ方式では、ウォッチドッグタイマがマイコン２０から入力されるウォッチドッグパルスによってクリアされずに満了した場合に、マイコン２０が異常動作していると判定する。
【００４１】
また、宿題回答方式とは、外部監視装置３０が予め定められた監視用の信号をマイコン２０に送るとともに、マイコン２０から返送されてきた回答が正解であるか否かによってマイコン２０が正常であるか否かを判定する方法である。宿題回答方式においてマイコン２０は、外部監視装置３０から入力される監視用信号に基づいて所定の演算を行い、その演算結果を外部監視装置３０に返送する。外部監視装置３０は、マイコン２０から受け取った演算結果が正常値と異なる場合、あるいは所定の制限時間内でマイコン２０から演算結果が回答されない場合に、マイコン２０は正常に動作していない（つまり異常動作している）と判定する。
【００４２】
なお、マイコン２０が異常動作しているという外部監視装置３０の判定結果（以降、マイコン異常判定）は、マイコン２０が所定の異常判定解除処理を実行しないと解除できないように構成されている。異常判定解除処理の具体的な内容は、設計事項であるが、マイコン２０のリセット処理を伴うことが一般的である。例えば、マイコン２０はリセット処理を実行して、再起動した後に所定の解除キーコードを外部監視装置３０に出力することで、マイコン異常判定を解除することができる。
【００４３】
リレーＭＯＳ４０は、車載電源２から駆動回路５２への電力の供給状態（つまり通電／遮断）を切り替えるリレーとして機能するＭＯＳである。リレーＭＯＳ４０のオン／オフは、マイコン２０によって制御される。リレーＭＯＳ４０がオンとなっている場合、車載電源２から駆動回路５２へ電力が供給され、オフとなっている場合に遮断される。
【００４４】
駆動ユニット５０は、概略的には、マイコン２０から入力される制御信号に応じた電流信号（以降、駆動信号）を生成してスロットルアクチュエータ６に出力するユニットである。この駆動ユニット５０が出力する駆動信号によって、スロットルアクチュエータ６はマイコン２０が出力する制御信号に応じたトルクを出力し、スロットル弁５の開度を目標開度へと導く。この駆動ユニット５０は、より細かい構成要素として、信号分配器５１、駆動回路５２、電圧監視部５３、及び論理和出力部５４を備える。
【００４５】
信号分配器５１は、マイコン２０から入力されている信号を、その信号の種別に応じたポートへと出力するための部材である。信号分配器５１は、例えばロジック回路素子等を用いて実現することができる。信号分配器５１は、マイコン２０から電圧エラー信号が入力されている場合には、当該電圧エラー信号を電圧監視部５３に出力する。また、マイコン２０から入力されている制御信号を駆動回路５２に出力する。
【００４６】
駆動回路５２は、制御信号に応じた駆動信号を生成するための回路であって、第１プリドライバ５２１、第２プリドライバ５２２、第１出力用ＭＯＳ５２３、及び第２出力用ＭＯＳ５２４を用いて実現される。以降において第１プリドライバ５２１と第２プリドライバ５２２とを区別しない場合にはプリドライバと記載する。また、第１出力用ＭＯＳ５２３と第２出力用ＭＯＳ５２４を区別しない場合には出力用ＭＯＳと記載する。
【００４７】
各種プリドライバは、後続する出力用ＭＯＳを駆動させるための電流（つまり駆動電流）を生成する役割を担う。すなわち、第１プリドライバ５２１は、第１出力用ＭＯＳ５２３を駆動させるためのドライバであり、第２プリドライバ５２２は、第２出力用ＭＯＳ５２４を駆動させるためのドライバである。第１プリドライバ５２１がオン状態となっている場合、第１出力用ＭＯＳ５２３が通電状態（つまりオン）となる。また、第２プリドライバ５２２がオン状態となっている場合、第２出力用ＭＯＳ５２４がオンとなる。
【００４８】
第１プリドライバ５２１及び第２プリドライバ５２２のそれぞれには、信号分配器５１を介して、マイコン２０からの制御信号が入力される。第１プリドライバ５２１及び第２プリドライバ５２２のそれぞれは、制御信号に基づいて動作する。これによって、第１出力用ＭＯＳ５２３及び第２出力用ＭＯＳ５２４もまた、制御信号に応じて通電／遮断状態が切り替わり、所望の開度を実現する駆動信号がスロットルアクチュエータ６に出力される。
【００４９】
また、第１プリドライバ５２１及び第２プリドライバ５２２のそれぞれには、マイコン２０からの制御信号の他に、論理和出力部５４の出力も入力される。第１プリドライバ５２１及び第２プリドライバ５２２は、論理和出力部５４の出力信号に応じてその動作が制御される。具体的には、第１プリドライバ５２１は、論理和出力部５４からハイレベルの信号が入力されている場合、第１プリドライバ５２１自体がオフ状態となり、その結果、第１出力用ＭＯＳ５２３もオフ状態となる。第２プリドライバ５２２も同様である。
【００５０】
そのため、論理和出力部５４の出力がハイレベルとなっている場合には、第１出力用ＭＯＳ５２３や第２出力用ＭＯＳ５２４がオフとなって、駆動信号の出力が遮断される。また、論理和出力部５４の出力がローレベルとなっている場合には、第１出力用ＭＯＳ５２３や第２出力用ＭＯＳ５２４が、制御信号に基づいて動作し、所望の開度を実現する駆動信号がスロットルアクチュエータ６へと出力される。
【００５１】
電圧監視部５３は、駆動用電圧が予め設定された正常範囲に収まっているか否かに基づいて、駆動用電圧が正常であるか否かを判定する。具体的には、電圧監視部５３は、駆動用電圧が正常範囲に収まっている場合には、駆動用電圧は正常であると判定する。一方、駆動用電圧が正常範囲以外の値をとっている場合や、マイコン２０から電圧エラー信号が注入されている場合には、駆動用電圧は異常であると判定する。正常範囲は、駆動用電圧は正常であると判定する値の範囲として予め設定されていればよい。電圧監視部５３は、駆動回路５２に過電圧が印加されている状態等を異常状態として検出する。
【００５２】
電圧監視部５３は、駆動用電圧が異常であると判定している場合、遮断信号線Ｌ３に遮断信号を出力する。遮断信号線Ｌ３に流れる信号の態様は、他の遮断信号線Ｌ１、Ｌ２と同様である。遮断信号線Ｌ３には、ローレベルとハイレベルと２レベルの信号が流れるように構成されており、ハイレベルの信号が遮断信号として機能するものとする。電圧監視部５３は、駆動用電圧が正常範囲内の値となっている場合にはローレベルの信号を遮断信号線Ｌ３に出力する一方、駆動用電圧が正常範囲外の値となっている場合には遮断信号として、ハイレベルの信号を出力する。
【００５３】
このように、電圧監視部５３もまた内部監視部Ｆ２や外部監視装置３０と同様に、遮断信号の出力元としての役割を担う。つまり電圧監視部５３は請求項に記載の遮断信号出力部に相当する。以降では便宜上、電圧監視部５３が出力する遮断信号を第３の遮断信号とも記載する。第３の遮断信号は、遮断信号線Ｌ３を介して論理和出力部５４に入力される。
【００５４】
論理和出力部５４は、遮断信号線Ｌ１〜Ｌ３のうちの少なくとも何れか１つがハイレベルに設定されている場合には、ハイレベルに設定された信号を出力する。また、遮断信号線Ｌ１〜Ｌ３の全てがローレベルに設定されている場合には、ローレベルに設定された信号を出力する。つまり、論理和出力部５４は、遮断信号線Ｌ１〜Ｌ３の流れる信号の論理和を出力する。論理和出力部５４の出力レベルは診断処理部Ｆ３に提供される。
【００５５】
図３は、種々の遮断信号が流れる経路（以降、カットパス）の何れもが正常である場合の、遮断信号出力元毎の出力状態（以降、出力パターン）と論理和出力部５４の出力レベルの対応関係を示している。対応関係記憶部Ｍ１が記憶している対応関係データは、図３と同様の内容を示すデータである。つまり、対応関係データは、複数の遮断信号出力元の出力パターン毎の、論理和出力部５４が出力するべき信号レベルである適正レベルを示した適正レベルデータに相当する。したがって対応関係記憶部Ｍ１が請求項に記載の適正レベル記憶部に相当する。
【００５６】
ここでのカットパスには、遮断信号が流れる遮断信号線だけでなく、遮断信号の出力元の出力ポートや、論理和出力部５４の入力ポートなども含まれる。便宜上、第１の遮断信号が流れる経路を第１カットパス、第２の遮断信号が流れる経路を第２カットパス、第３の遮断信号が流れる経路を第３カットパスとそれぞれ称する。
【００５７】
第１〜第３の全てのカットパスが正常である場合、各遮断信号出力元の出力パターンと、論理和出力部５４の入力パターンとは一致する。そのため、第１〜第３の遮断信号のそれぞれに対応するカットパスが正常である場合、論理和出力部５４の出力レベルは、各遮断信号出力元の出力パターンに対応するレベルとなる。
【００５８】
しかしながら、或る遮断信号線が、例えば接地電位を提供する信号線（以降、接地電位線）等といった他の信号線とショートしている場合には、遮断信号出力元の出力レベルと論理和出力部５４への入力レベルとが一致するとは限らない。また、或るカットパスが備える入力ポート、出力ポート、又はその両方が故障している場合にも、遮断信号出力元の出力レベルと論理和出力部５４への入力レベルとが異なるレベルとなる場合がある。
【００５９】
各遮断信号出力元の出力パターンと論理和出力部５４の出力レベルとが予め定義されているパターンではない場合には、複数のカットパスの何れかに不具合が生じていることを示唆する。前述の診断処理部Ｆ３は、このような思想に基づき、電子制御装置１が備える種々のカットパスが正常であるか否かを診断する機能ブロックである。
【００６０】
上述の論理和出力部５４は、周知の論理回路によって実現されれば良い。また、変形例２として後述するように、複数のスイッチング素子を用いて実現されても良い。具体的には複数のＭＯＳを並列接続したワイヤードＯＲ回路として実現することができる。
【００６１】
論理和出力部５４の出力するハイレベルに設定された信号は、前述の通り、駆動信号の出力を遮断するように機能する。つまり、論理和出力部５４の出力するハイレベルに設定された信号は、遮断信号として機能する。また、論理和出力部５４の出力レベルがハイレベルとなる場合とは、複数の遮断信号出力元の何れかが遮断信号を出力している場合である。以降では、複数の遮断信号出力元の何れかが遮断信号を出力することによって駆動信号の出力が遮断される機能のことを、出力遮断機能と称する。
【００６２】
＜電子制御装置１が取りうる状態について＞
次に、電子制御装置１が取りうる種々の状態について、図４を用いて説明する。図４に示すように電子制御装置１は概略的に、停止状態Ｓｔ１、起動状態Ｓｔ２、通常制御状態Ｓｔ３、検査実行状態Ｓｔ４、シャットダウン実行状態Ｓｔ５、ウォッチドッグ待機状態Ｓｔ６の６つの状態をとる。
【００６３】
停止状態Ｓｔ１は、電力供給が遮断され、動作が停止している状態である。停止状態Ｓｔ１において使用者（一般には運転者）によりＩＧＳＷがオンされると、イグニッション電源がオンとなって、起動状態Ｓｔ２へと遷移する。
【００６４】
起動状態Ｓｔ２では、マイコン２０の初期化や、各部の出力制限の解除といった、予め設定された起動シーケンスを実行する。マイコン２０の初期化では、ＲＡＭ２２やＲＯＭ２３のチェックや、プログラムのロード処理などが実行される。また、ＩＧＳＷがオンとなった直後における種々の遮断信号出力元は、実際の監視対象の状態に関わらずに、ハイレベルに設定された信号（つまり遮断信号）を出力するように構成されている。各遮断信号出力元に対する出力制限の解除とは、強制的なハイレベル出力を解除することを意味する。
【００６５】
また、リレーＭＯＳ４０は、ＩＧＳＷがオンとなった直後においてはオフ状態に設定されている。マイコン２０は、初期化が完了した後にリレーＭＯＳ４０をオフ状態からオン状態へと切り替える。これにより、駆動回路５２へ駆動用電圧を印加される。
【００６６】
起動シーケンスとしてプログラムされた種々の処理が完了すると、電子制御装置１は通常制御状態Ｓｔ３へと移行する。なお、上述した起動処理と並行して診断処理部Ｆ３は、ＩＧオン時カットパス診断処理を実行する。
【００６７】
通常制御状態Ｓｔ３は、制御演算部Ｆ１による目標制御量の演算が実行されたり、リアルタイムな状態に応じて遮断信号出力元が遮断信号を出力したりする状態である。通常制御状態Ｓｔ３において、ＩＧＳＷがオフされると検査実行状態Ｓｔ４に遷移する。
【００６８】
検査実行状態Ｓｔ４は、ＩＧオフ時診断処理を実行している状態である。ＩＧオフ時処理が完了すると、シャットダウン実行状態Ｓｔ５に移行する。シャットダウン実行状態Ｓｔ５では、所定のシャットダウン処理を実行する。シャットダウン処理では、例えば、異常情報をバックアップＲＡＭや、書き換え可能な不揮発性のメモリ（具体的にはフラッシュメモリ）等に保存する。シャットダウン処理が完了したら、停止状態Ｓｔ１に遷移する。ただし、シャットダウン処理の途中において再びＩＧＳＷがオンにされた場合には、ウォッチドッグ待機状態Ｓｔ６に遷移する。
【００６９】
ウォッチドッグ待機状態Ｓｔ６とは、マイコン２０が外部監視装置３０へのウォッチドッグパルスの出力を停止し、外部監視装置３０がカウントしているウォッチドッグタイマが満了するのを待機している状態である。ウォッチドッグタイマが満了すると、外部監視装置３０はハードウェア的にマイコン２０に対してリセットをかける。その結果、電子制御装置１は起動状態Ｓｔ２に遷移する。なお、リセットは、マイコン２０を初期状態に戻すことをさす。初期状態とはプログラムカウンタは０番地とし、各種タイマのカウント値などが予め決められた値に戻っている状態を指す。
【００７０】
＜ＩＧオン時診断処理＞
次に、図５及び図６に示すフローチャートを用いて、診断処理部Ｆ３がカットパス診断処理の一部として実行するＩＧオン時診断処理について説明する。図５に示すフローチャートは、ＩＧＳＷがオンとなって、電子制御装置１の状態が停止状態Ｓｔ１から起動状態Ｓｔ２へと遷移した場合に開始されれば良い。各ステップの実行主体は、マイコン２０（特に診断処理部Ｆ３のカットパス診断部Ｆ３１）である。
【００７１】
このＩＧオン時診断処理の開始時点では、前述の出力制限に基づき、各遮断信号出力元の出力レベルはハイレベルとなっている。また、リレーＭＯＳ４０はオフ状態となっている。つまり、ＩＧオン時診断処理の開始時点における遮断信号出力元の出力パターンは、図３の８番目の出力パターン（以降、第８出力パターン）となっている。
【００７２】
まずステップＳ１０１では、論理和出力部５４の出力レベルを参照して、ステップＳ１０２に移る。ステップＳ１０２では、論理和出力部５４の出力レベルが、現在の各遮断信号出力元の出力パターンに応じた（換言すれば適正な）出力レベルと合致しているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、対応関係データにおいて第８出力パターンに対応付けられている出力レベル（つまりハイレベル）である。
【００７３】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルが適正なレベルであると判定してステップＳ１０３に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルが不適正であると判定してステップＳ１０４に移る。ステップＳ１０２や、後述するＳ１０７、Ｓ１１２、Ｓ１１７、Ｓ２０２、Ｓ２０７、Ｓ２１２、Ｓ２１７が請求項に記載の対応関係判定処理に相当する。
【００７４】
ステップＳ１０３では、第８出力パターンを論理和出力部５４が現在の各遮断信号出力元の出力パターンに応じた出力レベルの信号を出力する出力パターン（以降、正常パターン）としてメモリに保存してステップＳ１０５に移る。ステップＳ１０４では、第８出力パターンを不具合パターンとしてメモリに保存してステップＳ１０５に移る。不具合パターンとは、論理和出力部５４の出力レベルが、現在の各遮断信号出力元の出力パターンに対応しない出力レベルとなる出力パターンである。なお、第８出力パターンが不具合パターンとなる場合とは、論理和出力部５４、又は、論理和出力部５４の出力ポートに接続する信号線に不具合が生じている場合である。
【００７５】
ステップＳ１０５では、リレーＭＯＳ４０をオフからオンに切り替える。これによって、駆動用電圧が駆動回路５２に印加される。また、電圧監視部５３に対する出力制限を解除する。これにより、電圧監視部５３の出力レベルはハイレベルからローレベルへと切り替わり、出力パターンは図３の７番目の出力パターン（以降、第７出力パターン）となる。リレーＭＯＳ４０のスイッチングと電圧監視部５３の出力制限解除が完了するとステップＳ１０６に移る。
【００７６】
ステップＳ１０６では、論理和出力部５４の出力レベルを参照して、ステップＳ１０７に移る。ステップＳ１０７では、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第７出力パターンに対応する出力レベル（つまりハイレベル）である。
【００７７】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルが適正なレベルであると判定してステップＳ１０８に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルが不適正であると判定してステップＳ１０９に移る。
【００７８】
ステップＳ１０８では、第７出力パターンを正常パターンとしてメモリに保存してステップＳ１１０に移る。ステップＳ１０９では、第７出力パターンを不具合パターンとしてメモリに保存してステップＳ１１０に移る。
【００７９】
ステップＳ１１０では、内部監視部Ｆ２の出力制限を解除し、遮断信号線Ｌ１への出力レベルをローレベルに設定させてステップＳ１１１に移る。このステップＳ１１０を実行することによって、出力パターンは図３の３番目の出力パターン（以降、第３出力パターン）となる。
【００８０】
ステップＳ１１１では、論理和出力部５４の出力レベルを参照して、ステップＳ１１２に移る。ステップＳ１１２では、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第３出力パターンに対応する出力レベル（つまりハイレベル）である。
【００８１】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルは適正なレベルであると判定してステップＳ１１３に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルは不適正であると判定してステップＳ１１４に移る。
【００８２】
ステップＳ１１３では、第３出力パターンを正常パターンとしてメモリに保存してステップＳ１１５に移る。ステップＳ１１４では、第３出力パターンを不具合パターンとしてメモリに保存してステップＳ１１５に移る。
【００８３】
ステップＳ１１５では、外部監視装置３０の出力制限を解除し、遮断信号線Ｌ２への出力レベルをローレベルに変更させてステップＳ１１６に移る。このステップＳ１１５を実行することによって、出力パターンは図３の１番目の出力パターン（以降、第１出力パターン）となる。
【００８４】
ステップＳ１１６では、論理和出力部５４の出力レベルを参照して、ステップＳ１１７に移る。ステップＳ１１７では、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第１出力パターンに対応する出力レベル（つまりローレベル）である。
【００８５】
したがって、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルが適正なレベルであると判定してステップＳ１１８に移る。一方、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルが不適正であると判定してステップＳ１１９に移る。
【００８６】
ステップＳ１１８では、第１出力パターンを正常パターンとしてメモリに保存して本フローを終了する。ステップＳ１１９では、第１出力パターンを不具合パターンとしてメモリに保存して本フローを終了する。
【００８７】
＜ＩＧオフ時診断処理＞
次に、図７及び図８に示すフローチャートを用いて、カットパス診断処理の一部として診断処理部Ｆ３が実行するＩＧオフ時診断処理について説明する。図７に示すフローチャートは、ＩＧＳＷがオンからオフとなった場合に開始されれば良い。このＩＧオフ時診断処理を実行している状態が、前述の検査実行状態Ｓｔ４に相当する。
【００８８】
なお、ＩＧオフ時診断処理の開始時点における各遮断信号出力元の出力レベルは、それぞれの監視対象の状態に応じたレベルである。ここでは一例として、通常制御状態Ｓｔ３から検査実行状態Ｓｔ４に遷移した段階では各部は正常に動作しており、各遮断信号出力元の出力レベルは何れもローレベルになっているものとする。つまり、各遮断信号出力元の出力パターンは第１出力パターンとなっている。
【００８９】
まず、ステップＳ２０１ではカットパス診断部Ｆ３１が、遮断信号線Ｌ１への内部監視部Ｆ２の出力レベルをハイレベルに設定させてステップＳ２０２に移る。このステップＳ２０１を実行することによって、各遮断信号出力元の出力パターンは図３の５番目の出力パターン（以降、第５出力パターン）となる。
【００９０】
ステップＳ２０２ではカットパス診断部Ｆ３１が、論理和出力部５４の出力レベルを参照して、ステップＳ２０３に移る。ステップＳ２０３では、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第５出力パターンに対応する出力レベル（つまりハイレベル）である。
【００９１】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルは適正なレベルであると判定してステップＳ２０３に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルは不適正であると判定してステップＳ２０４に移る。
【００９２】
ステップＳ２０３ではカットパス診断部Ｆ３１が、第５出力パターンを正常パターンとしてメモリに保存してステップＳ２０５に移る。ステップＳ２０４ではカットパス診断部Ｆ３１が、第５出力パターンを不具合パターンとしてメモリに保存してステップＳ２０５に移る。
【００９３】
ステップＳ２０５ではカットパス診断部Ｆ３１が、電圧エラー信号を出力して、電圧監視部５３に駆動用電圧が異常であると判定させる。つまり、遮断信号線Ｌ３への電圧監視部５３の出力レベルをハイレベルに設定させてステップＳ２０６に移る。このステップＳ２０５を実行することによって、出力パターンは図３の６番目の出力パターン（以降、第６出力パターン）となる。
【００９４】
ステップＳ２０６ではカットパス診断部Ｆ３１が、論理和出力部５４の出力レベルを参照して、ステップＳ２０７に移る。ステップＳ２０７では、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第６出力パターンに対応する出力レベル（つまりハイレベル）である。
【００９５】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルは適正なレベルであると判定してステップＳ２０８に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルは不適正であると判定してステップＳ２０９に移る。
【００９６】
ステップＳ２０８ではカットパス診断部Ｆ３１が、第６出力パターンを正常パターンとしてメモリに保存してステップＳ２１０に移る。ステップＳ２０９ではカットパス診断部Ｆ３１が、第６出力パターンを不具合パターンとしてメモリに保存してステップＳ２１０に移る。
【００９７】
ステップＳ２１０ではカットパス診断部Ｆ３１が、遮断信号線Ｌ１への内部監視部Ｆ２の出力レベルをローレベルに設定させてステップＳ２１１に移る。このステップＳ２１０を実行することによって、出力パターンは図３の２番目の出力パターン（以降、第２出力パターン）となる。
【００９８】
ステップＳ２１１ではカットパス診断部Ｆ３１が、論理和出力部５４の出力レベルを参照して、ステップＳ２１２に移る。ステップＳ２１２ではカットパス診断部Ｆ３１が、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第２出力パターンに対応する出力レベル（つまりハイレベル）である。
【００９９】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルは適正なレベルであると判定してステップＳ２１３に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルは不適正であると判定してステップＳ２１４に移る。
【０１００】
ステップＳ２１３ではカットパス診断部Ｆ３１が、第２出力パターンを正常パターンとしてメモリに保存してステップＳ２１５に移る。ステップＳ２１４ではカットパス診断部Ｆ３１が、第２出力パターンを不具合パターンとしてメモリに保存してステップＳ２１５に移る。
【０１０１】
ステップＳ２１５ではカットパス診断部Ｆ３１が、外部監視装置３０にマイコン２０が異常動作していると判定させることで、遮断信号線Ｌ２への外部監視装置３０の出力レベルをハイレベルに変更させてステップＳ２１６に移る。このステップＳ２１５を実行することによって、出力パターンは図３の４番目の出力パターン（以降、第４出力パターン）となる。なお、マイコン２０は、例えば外部監視装置３０から入力された宿題に対して誤った回答を出力することで、外部監視装置３０にマイコン２０が異常動作していると判定させることができる。
【０１０２】
ステップＳ２１６ではカットパス診断部Ｆ３１が、論理和出力部５４の出力レベルを参照して、ステップＳ２１７に移る。ステップＳ２１７ではカットパス診断部Ｆ３１が、論理和出力部５４の出力レベルが適正な出力レベルとなっているか否かを判定する。ここでの論理和出力部５４の適正な出力レベルとは、第４出力パターンに対応する出力レベル（つまりハイレベル）である。
【０１０３】
したがって、論理和出力部５４の出力レベルがハイレベルとなっている場合には、論理和出力部５４の出力レベルは適正なレベルであると判定してステップＳ２１８に移る。一方、論理和出力部５４の出力レベルがローレベルとなっている場合には、論理和出力部５４の出力レベルは不適正であると判定してステップＳ２１９に移る。
【０１０４】
ステップＳ２１８ではカットパス診断部Ｆ３１が、第４出力パターンを正常パターンとしてメモリに保存してステップＳ２２２に移る。ステップＳ２１９ではカットパス診断部Ｆ３１が、第４出力パターンを不具合パターンとしてメモリに保存してステップＳ２２０に移る。
【０１０５】
ステップＳ２２０では遮断機能診断部Ｆ３２が、第８出力パターンが正常パターンとして登録されているか否かを判定する。第８出力パターンが正常パターンとして登録されている場合にはステップＳ２２０が肯定判定されてステップＳ２２１に移る。一方、第８出力パターンが正常パターンとして登録されていない場合にはステップＳ２２０が否定判定されてステップＳ２２３に移る。ステップＳ２２１では遮断機能診断部Ｆ３２が、内部監視部Ｆ２の出力レベルをハイレベルに設定することで、出力パターンを第８出力パターンに設定してステップＳ２２２に移る。
【０１０６】
ステップＳ２２２では遮断機能診断部Ｆ３２が、遮断機能診断処理を実行する。この遮断機能診断処理は、電子制御装置１が備える出力遮断機能が駆動回路５２に対して正常に作用しているか否か（換言すれば機能しているか否か）を判定する処理である。
【０１０７】
具体的には、遮断機能診断部Ｆ３２は、制御演算部Ｆ１に対して、スロットル弁５の開度を所定の検証用開度にする制御信号を駆動ユニット５０に一定時間出力するように要求する。検証用開度は、中間開度以外であればよいが、中間開度に対して所定の閾値以上大きい又は小さい値とすることが好ましい。制御演算部Ｆ１は遮断機能診断部Ｆ３２からの要求に基づき、検証用開度に対応する制御信号を生成して、駆動回路５２に出力し始める。そして、遮断機能診断部Ｆ３２はステップＳ２２２に移ってから所定の応答待機時間経過したタイミングでスロットル弁５の開度を参照し、中間開度となっているか否かを判定する。
【０１０８】
このステップＳ２２２を実行している時の論理和出力部５４の出力レベルはハイレベルに設定されているため、マイコン２０が駆動ユニット５０に制御信号を出力していても、駆動信号は出力されないはずである。そのため、制御信号を出力し始めてから応答待機時間経過した時点では、スロットル弁５の開度は中間開度になっているはずである。換言すれば、制御信号を出力し始めてから所定の応答待機時間経過した時点において、スロットル弁５の開度が中間開度以外の値（例えば検証用開度）になっている場合には、出力遮断機能が機能していないことを意味する。
【０１０９】
したがって、制御信号を出力し始めてから応答待機時間経過したタイミングでのスロットル弁５の開度が、中間開度と一致している場合には出力遮断機能が機能していると判定し、中間開度と一致していない場合には出力遮断機能が機能していないと判定する。なお、ここでの一致とは完全一致だけでなく、略一致も含む。ステップＳ２２２での判定結果はメモリに保存してステップＳ２２３に移る。
【０１１０】
ステップＳ２２３ではカットパス診断部Ｆ３１が、不具合箇所推定処理を実施して本フローを終了する。不具合箇所推定処理は、各出力パターンについての登録情報から、不具合が生じているカットパスが存在するか否かを判定するとともに、不具合が生じているカットパスが存在する場合には、不具合が生じている箇所を推定する処理である。
【０１１１】
具体的には、まず、カットパス診断部Ｆ３１は、不具合パターンとして登録されている出力パターンが存在するか否かを判定する。不具合パターンとして登録されている出力パターンが存在しない場合、すなわち全ての出力パターンが正常パターンとして登録されている場合には、全てのカットパスは正常であると判定する。一方、不具合パターンとして登録されている出力パターンが存在する場合には、複数のカットパスの何れに不具合が生じていると判定する。そして、複数のカットパスの何れに不具合が生じていると判定した場合には、不具合パターンとして登録されている出力パターンの番号から、不具合発生箇所を推定する。
【０１１２】
例えば、遮断信号線Ｌ１が接地電位線等に短絡し、第１カットパスの電位がローレベル相当の電位に固定されてしまっている場合には、図９に示すように、第５出力パターンが不具合パターンとして検出される。したがって、第５出力パターンが不具合パターンとして検出された場合には、第１カットパスに不具合が生じていると判定する。
【０１１３】
なお、第５出力パターン以外の出力パターンが正常パターンとして登録されている場合には、不具合が生じているカットパスは第１カットパスだけであって、残りのカットパスは正常であると判定すればよい。不具合箇所推定処理の結果、正常であると判定されたカットパスが請求項に記載の正常パスに相当する。なお、正常なカットパスとは、遮断信号が正常に伝達されるカットパスに相当する。
【０１１４】
また、第２カットパスの電位がローレベル相当の電位に固定されてしまっている場合には、図１０に示すように、第３出力パターンが不具合パターンとして検出される。したがって、第３出力パターンが不具合パターンとして検出された場合には、第２カットパスに不具合が生じていると判定すればよい。また、第３出力パターン以外の出力パターンが正常パターンとして登録されている場合には、残りのカットパスは正常に動作していると判定すればよい。
【０１１５】
さらに、第３カットパスの電位がローレベル相当の電位に固定されてしまっている場合には、図１１に示すように、第２出力パターンが不具合パターンとして検出される。したがって、第２出力パターンが不具合パターンとして検出された場合には、第３カットパスに不具合が生じていると判定すればよい。また、第２出力パターン以外の出力パターンが正常パターンとして登録されている場合には、残りのカットパスは正常に動作していると判定すればよい。このように不具合パターンとして検出された出力パターンや、正常パターンと判定された出力パターンに基づいて、不具合が発生しているカットパスや正常に機能しているカットパスを特定することができる。
【０１１６】
ところで、第１〜第３カットパスの何れかがハイレベル相当の電位に固定されてしまっている場合には、第１出力パターンが不具合パターンとして検出される。その場合には、第１〜第３カットパスのどれに不具合が生じているかは不明となるが、第１〜第３カットパスの何れかに不具合が生じていること自体は認識することができる。なお、或るカットパスがハイレベルに固定されてしまう場合とは、そのカットパスを構成する遮断信号線が駆動用電圧や電源電圧を提供する信号線（以降、高電圧線）と接触している場合などである。
【０１１７】
また、何れの出力パターンにおいても論理和出力部５４の出力レベルがローレベルである場合には、論理和出力部５４自体や、論理和出力部５４の出力先に相当する信号線に不具合が生じている可能性を示唆する。
【０１１８】
このようにして診断処理部Ｆ３は、不具合パターンとして登録されている出力パターンから不具合発生箇所を推定する。なお、診断処理部Ｆ３が推定した不具合発生箇所についての情報（以降、不具合情報）は、インジケータやディスプレイ、音声などで乗員に通知されればよい。また、不具合情報は、無線通信又は有線通信によって外部装置へ送信されても良い。
【０１１９】
＜実施形態のまとめ＞
以上の構成では、カットパス自体の診断は、遮断信号出力元の出力パターンと論理和出力部５４の出力レベルの対応関係に基づいて実行される。そして、カットパス自体の診断が完了した後に、正常に動作している出力パターンを用いて出力遮断機能の有効性を診断する（ステップＳ２２２）。
【０１２０】
このような構成によれば、スロットル開度の経時変化を用いた遮断機能診断処理を実施する回数は１回でよい。つまり、カットパスが複数存在する場合であっても、遮断機能診断処理を複数回実施する必要がない。そのため、カットパスの数に比例して全てのカットパスの有効性の診断に要する合計時間が増大することを回避することができる。
【０１２１】
なお、比較構成としては、ＩＧＳＷがオンからオフになったタイミングで、種々の診断処理をまとめて実行する構成が考えられる。本実施形態では一連の診断処理に要する時間を短縮できるため、このような比較構成に対して、ＩＧＳＷがオフとなってから電子制御装置１が停止状態Ｓｔ１に移行するまでに時間を短縮することができる。その結果、診断処理に伴う消費電力を抑制できる。
【０１２２】
特に、本実施形態では図１２に示すように、カットパス診断処理をＩＧオン時診断処理とＩＧオフ時診断処理の２パートに分割して実行する。このように起動シーケンス中にカットパス診断処理の一部を実施することで、検査実行状態Ｓｔ４が継続する時間を短縮することが可能となる。なお、図１２は、図５〜図８を用いて説明した一連のカットパス診断処理の内容をまとめた図である。
【０１２３】
さらに、上述した実施形態では、いったんマイコン異常判定させた以降において、外部監視装置３０の出力レベルをローレベルとする必要がある出力パターンについての対応関係判定処理は実施しない。具体的には、第４出力パターンについての対応関係判定処理（Ｓ２１７）を出力パターン毎の一連の判定処理の最後に実施する。このような態様によれば、マイコン２０はカットパス診断処理のために異常判定解除処理を実施する必要がないため、トータル診断時間をより一層短くすることができる。
【０１２４】
以上、本発明の実施形態を説明したが、本発明は上述の実施形態に限定されるものではなく、以降で述べる種々の変形例も本発明の技術的範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施することができる。
【０１２５】
なお、前述の実施形態で述べた部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。また、構成の一部のみに言及している場合、他の部分については先に説明した実施形態の構成を適用することができる。
【０１２６】
［変形例１］
上述した実施形態ではハイレベルに設定された信号が遮断信号として機能させる態様を開示したがこれに限らない。ローレベルに設定された信号を遮断信号として機能させてもよい。
【０１２７】
つまり、上述した実施形態ではハイアクティブ論理で各部を動作させる態様を開示したが、ローアクティブ論理に基づいて各部を動作させても良い。何れにしても、複数の遮断信号出力元の何れかが遮断信号を出力している場合に、駆動回路５２の出力が遮断されるように構成されていれば良い。
【０１２８】
［変形例２］
上述した実施形態では、論理和出力部５４の出力がプリドライバに入力される態様を開示したがこれに限らない。駆動回路５２は、プリドライバは備えていなくともよい。その場合、論理和出力部５４の出力は出力用ＭＯＳに入力されれば良い。
【０１２９】
また、駆動ユニット５０は、複数の遮断信号出力元の何れかが遮断信号を出力している場合にスロットルアクチュエータ６への駆動信号の出力が遮断されるように構成されていれば良い。そのため、駆動ユニット５０の出力段は図１３に示すように、ワイヤードＯＲ回路として構成されていても良い。なお、図１３では第２出力用ＭＯＳ５２４側の構成は省略している。
【０１３０】
［変形例３］
以上では、カットパス診断処理をＩＧオン時診断処理と、ＩＧオフ時診断処理の２パートに分けて実施する態様を開示したが、これに限らない。一連の処理をＩＧＳＷがオンとなった時にまとめて実施してもよい。また、一連の処理をＩＧＳＷがオフとなった時にまとめて実施してもよい。
【０１３１】
また、種々の出力パターンについての対応関係判定処理を実行する順番は、上述した順番に限らない。例えば第１、第２、第５、第６出力パターンの対応関係判定処理を実行した後に、第３、第４、第７、第８出力パターンの対応関係判定処理を実行してもよい。
【０１３２】
［変形例４］
上述した実施形態では、遮断機能診断処理を実行した後に、不具合箇所推定処理を実行する態様を開示したが、これに限らない。遮断機能診断処理の前に不具合箇所推定処理を実行してもよい。
【０１３３】
その場合には、遮断機能診断部Ｆ３２は、カットパス診断部Ｆ３１によって正常であると判定されたカットパス（つまり正常パス）を用いて遮断機能診断処理を実施することができる。すなわち、正常パスに対応する遮断信号出力元に遮断信号を出力させることで、出力遮断機能の有効性を診断する。このような態様によれば、不具合が生じているカットパスを用いて出力遮断機能の有効性を診断する可能性を低減することができる。
【０１３４】
［その他の変形例］
以上では電子制御装置１の制御対象をスロットルアクチュエータ６とする態様を開示したが、これに限らない。電子制御装置１の制御対象は、その他のアクチュエータであっても良い。
【０１３５】
また、以上では電子制御装置１が３つの遮断信号出力部を備える態様を開示したが、これに限らない。電子制御装置１は４つ以上の遮断信号出力部を備えていてもよい。例えば、アクセルセンサ３やスロットルセンサ４が正常に動作しているか否かを診断する機能を、遮断信号出力部として備えていてもよい。
【符号の説明】
【０１３６】
１  電子制御装置、２  車載電源、３  アクセルセンサ、４  スロットルセンサ、５  スロットル弁、６  スロットルアクチュエータ、１０  電源回路モジュール、２０  マイコン（演算装置）、３０  外部監視装置（遮断信号出力部）、４０  リレーＭＯＳ、５０  駆動ユニット、５１  信号分配器、５２  駆動回路、５３  電圧監視部（遮断信号出力部）、５４  論理和出力部、Ｆ１  制御演算部、Ｆ２  内部診断部（遮断信号出力部）、Ｆ３  診断処理部、Ｆ３１  カットパス診断部、Ｆ３２  遮断機能診断部、Ｍ１  対応関係記憶部（適正レベル記憶部）、Ｌ１〜Ｌ３  遮断信号線
【図１】
2018001877.tif 000003
【図２】
2018001877.tif 000004
【図３】
2018001877.tif 000005
【図４】
2018001877.tif 000006
【図５】
2018001877.tif 000007
【図６】
2018001877.tif 000008
【図７】
2018001877.tif 000009
【図８】
2018001877.tif 000010
【図９】
2018001877.tif 000011
【図１０】
2018001877.tif 000012
【図１１】
2018001877.tif 000013
【図１２】
2018001877.tif 000014
【図１３】
2018001877.tif 000015