(57)【要約】【課題】第２のマイクロコンピュータが第１のマイクロコンピュータの機能毎に監視する監視機能を複数備えている場合、潜在故障等の機能安全対策に対応し得る技術を提供する。【解決手段】メインマイコン（２）の故障の有無をサブマイコン（３）が監視し、メインマイコン（２）がサブマイコン（３）の監視状態を診断する自動車用の電子制御装置であって、サブマイコン（３）は、メインマイコン（２）の機能毎に故障の有無を監視する複数の監視部（Ｍｎ）を備え、メインマイコン（２）は、各々の監視部（Ｍｎ）が正常に動作するか否かを診断する診断部（２２）を備え、診断部（２２）は、リセット可能なタイミングにおいて、監視部（Ｍｎ）の何れか１つに異常を検出したときにメインマイコン（２）の動作を停止させる第１の条件から、各々の監視部（Ｍｎ）が正常に動作しているか否かを順番に診断する第２の条件に切り替える。【選択図】図１
2018079737.tif 000002
【特許請求の範囲】
【請求項１】
第１のマイクロコンピュータの故障の有無を第２のマイクロコンピュータが監視し、前記第１のマイクロコンピュータが前記第２のマイクロコンピュータの監視状態を診断する自動車用の電子制御装置であって、
前記第２のマイクロコンピュータは、前記第１のマイクロコンピュータの機能毎に前記故障の有無を監視する複数の監視部を備え、
前記第１のマイクロコンピュータは、複数の前記監視部が正常に動作しているか否かを診断する診断部を備え、
前記診断部は、シャットダウンが可能なタイミングにおいて、前記監視部の何れか１つに異常を検出したときに前記第１のマイクロコンピュータをリセットする第１の条件から、複数の前記監視部が正常に動作しているか否かを順番に診断する第２の条件に切り替えることを特徴とする自動車用の電子制御装置。
【請求項２】
前記第１のマイクロコンピュータは、前記機能を担うメインのマイクロコンピュータであり、前記第２のマイクロコンピュータは、前記故障の有無を監視するサブのマイクロコンピュータであることを特徴とする請求項１に記載の自動車用の電子制御装置。
【請求項３】
前記診断部は、前記第２の条件下において、前記メインのマイクロコンピュータの各々の前記機能を異常な設定にすることで、前記監視部が該異常を検出するか否かを診断することを特徴とする請求項２に記載の自動車用の電子制御装置。
【請求項４】
前記診断部は、前記第２の条件下において、前記メインのマイクロコンピュータと前記サブのマイクロコンピュータとの間の通信を監視する監視部の異常の有無を最後に診断することを特徴とする請求項２又は請求項３に記載の自動車用の電子制御装置。
【請求項５】
第１のマイクロコンピュータの故障の有無を第２のマイクロコンピュータが監視し、前記第１のマイクロコンピュータが前記第２のマイクロコンピュータの監視状態を診断する自動車用の電子制御装置の診断方法であって、
前記第２のマイクロコンピュータの複数の監視部は、前記第１のマイクロコンピュータの機能毎に前記故障の有無を監視し、
前記第１のマイクロコンピュータの診断部は、シャットダウンが可能なタイミングにおいて、前記監視部の何れか１つに異常を検出したときに前記第１のマイクロコンピュータをリセットする第１の条件から、複数の前記監視部が正常に動作しているか否かを順番に診断する第２の条件に切り替えて前記監視部を診断することを特徴とする自動車用の電子制御装置の診断方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動車用の電子制御装置及びその診断方法に関する。
【背景技術】
【０００２】
従来から、自動車等の車両用電子制御システムの故障検出装置が知られている（特許文献１参照）。この故障検出装置によれば、第１のマイクロコンピュータと、その第１のマイクロコンピュータの故障の有無を監視する監視機能を有する第２のマイクロコンピュータを備えている。さらに、第１のマイクロコンピュータは、第２のマイクロコンピュータの監視機能が正しく動作しているか否かを判定する。具体的には、第１のマイクロコンピュータが、第２のマイクロコンピュータの監視機能（例えば監視回路等）に対して、故意に誤った診断用信号を送信して、その監視機能が故障検出信号を出力するか否かを判定する診断手段を備えている。
【０００３】
ところで、従来から、機能安全の国際基準（例えば、自動車用機能安全規格（ISO 26262））が知られている。そこで、例えば、潜在故障（レイテントフォールト）等の機能安全対策に、上記の診断手段を適用することが考えられる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−９９３２１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、上記の診断手段は、例えば、運転者のキーオフ操作後に電源が遮断されるまでのシャットダウンの最中に実行されるところ、毎回のキーオフ操作時に、監視機能の診断を切り替えるので、１回のシャットダウンで１つの監視機能しか診断ができない。したがって、監視機能が複数存在する場合について、潜在故障等の機能安全対策への対応が問題となる。
【０００６】
そこで、本発明は、上記問題点に鑑み、第２のマイクロコンピュータが第１のマイクロコンピュータの機能毎に監視する監視機能を複数備えている場合、潜在故障等の機能安全対策に対応し得る技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る自動車用の電子制御装置は、第１のマイクロコンピュータの故障の有無を第２のマイクロコンピュータが監視し、上記第１のマイクロコンピュータが上記第２のマイクロコンピュータの監視状態を診断する自動車用の電子制御装置であって、上記第２のマイクロコンピュータは、上記第１のマイクロコンピュータの機能毎に上記故障の有無を監視する複数の監視部を備え、上記第１のマイクロコンピュータは、複数の前記監視部が正常に動作しているか否かを診断する診断部を備え、上記診断部は、シャットダウンが可能なタイミングにおいて、上記監視部の何れか１つに異常を検出したときに上記第１のマイクロコンピュータをリセットする第１の条件から、複数の上記監視部が正常に動作しているか否かを順番に診断する第２の条件に切り替える。
【０００８】
また、本発明に係る自動車用の電子制御装置の診断方法は、第１のマイクロコンピュータの故障の有無を第２のマイクロコンピュータが監視し、上記第１のマイクロコンピュータが上記第２のマイクロコンピュータの監視状態を診断する自動車用の電子制御装置の診断方法であって、上記第２のマイクロコンピュータの複数の監視部は、上記第１のマイクロコンピュータの機能毎に上記故障の有無を監視し、上記第１のマイクロコンピュータの診断部は、シャットダウンが可能なタイミングにおいて、上記監視部の何れか１つに異常を検出したときに上記第１のマイクロコンピュータをリセットする第１の条件から、複数の上記監視部が正常に動作しているか否かを順番に診断する第２の条件に切り替えて上記監視部を診断する。
【発明の効果】
【０００９】
本発明によれば、第２のマイクロコンピュータが第１のマイクロコンピュータの機能毎に監視する監視機能を複数備えている場合、潜在故障等の機能安全対策に対応し得る技術を提供できる。
【図面の簡単な説明】
【００１０】
【図１】本実施形態における電子制御装置の構成例を示す機能ブロック図である。
【図２】本実施形態における電子制御装置の動作例を示すフローチャートである。
【図３】本実施形態における電子制御装置のタイムチャートの一例を示す説明図である。
【図４】本実施形態における電子制御装置のタイムチャートの一例を示す説明図である。
【図５】本実施形態における電子制御装置のタイムチャートの一例を示す説明図である。
【発明を実施するための形態】
【００１１】
以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。
[本実施形態の構成例]
図１は、本実施形態における電子制御装置の構成例を示す機能ブロック図である。図１に示す電子制御装置１は、自動車に搭載され、例えば、メインのマイクロコンピュータ（以下、「メインマイコン」という。）２及びそのメインマイコン２の故障の有無を監視するサブのマイクロコンピュータ（以下、「サブマイコン」という。）３を含む。ここで、メインマイコン２は、第１のマイクロコンピュータの一例であり、サブマイコン３は、第２のマイクロコンピュータの一例である。
【００１２】
また、電子制御装置１は、カットオフ回路４、電源回路５、ＩＧＮ（Ignition）６に接続されている。さらに、電子制御装置１は、図示省略の各種センサに接続されており、例えば、ＴＣＵ（Transmission Control Unit）用としてトランスミッションのソレノイドの制御を実行する。また、電子制御装置１も、一例として図示省略のＥＣＵ（Engine Control Unit）により制御されている。
【００１３】
メインマイコン２は、内部に、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、入出力回路（Ｉ／Ｏ）及び通信インタフェース（Ｉ／Ｆ）を含む（図示省略）。また、メインマイコン２は、第１機能Ｆ１、第２機能Ｆ２、・・・第ｎ機能Ｆｎ、不揮発性メモリ２０等のフラッシュＲＯＭ（Read Only Memory）、通信部２１及び診断部２２を備える。メインマイコン２は、第１機能Ｆ１、第２機能Ｆ２、・・・第ｎ機能Ｆｎについて、これらの機能を担うものである。ここで、本実施形態では、説明の便宜上、一例として、ｎ＝３の場合について例示するが、これに限定されない。
【００１４】
第１機能Ｆ１は、例えば、メインマイコン２の不揮発性メモリ２０やＲＡＭ等のメモリ診断をする機能モジュールである。第２機能Ｆ２は、例えば、メインマイコン２が正しい処理順序で動作しているか否かを確認するため、プログラムフローの診断をする機能モジュールである。第３機能Ｆ３は、例えば、いわゆるＷＤＴ（Watch Dog Timer）の機能モジュールである。また、メインマイコン２は、サブマイコン３と通信するための複数のポートＰ２１〜Ｐ２７や電源回路５を制御するためのポートＰ２８を備える。
【００１５】
一方、サブマイコン３は、内部に、ＣＰＵ、フラッシュＲＯＭ、ＲＡＭ、入出力回路（Ｉ／Ｏ）及び通信インタフェース（Ｉ／Ｆ）を含む（図示省略）。また、サブマイコン３は、切替スイッチＳＷやメインマイコン２の監視機能として、第１監視機能Ｍ１、第２監視機能Ｍ２、・・・第ｎ監視機能Ｍｎを備える。ここで、本実施形態では、説明の便宜上、ｎ＝３の場合について例示するが、これに限定されない。さらに、サブマイコン３は、通信監視機能Ｃ１、ＯＲ／ＡＮＤ切替Ｓ１を備える。また、サブマイコン３は、メインマイコン２と通信するための複数のポートＰ３１〜Ｐ３７やカットオフ回路を制御するためのポートＰ３８を備える。
【００１６】
サブマイコン３において、第１監視機能Ｍ１は、例えば、上記のメモリ診断処理が正しく動作しているか否かを判定するプログラムを実行して、第１機能Ｆ１を監視する。第２監視機能Ｍ２は、例えば、メインマイコン２のプログラムフローの診断が正しく動作しているか否かを判定するプログラムを実行して、第２機能Ｆ２を監視する。第３監視機能Ｍ３は、例えば、ＷＤＴが正しく動作しているか否かを判定するプログラムを実行して、第３機能Ｆ３を監視する。通信監視機能Ｃ１は、メインマイコン２との通信を監視する。ここで、第１監視機能Ｍ１、第２監視機能Ｍ２、第３監視機能Ｍ３及び通信監視機能Ｃ１は、それぞれ監視部の一例である。これらの監視部は、異常を検出すると、メインマイコン２について故障ありと判定する。ＯＲ／ＡＮＤ切替Ｓ１は、切替スイッチＳＷの切り替えを制御する。
【００１７】
ここで、サブマイコン３は、監視機能処理として、例えば一定周期で監視し、Ｈｉｇｈで正常、Ｌｏｗで異常を検出する。また、サブマイコン３は、所定時間の通信途絶により、通信監視機能Ｃ１が異常を検出するようにする。ＯＲ／ＡＮＤ切替Ｓ１は、ポートＰ３５で受信するデータを監視して、ＨｉｇｈでＡＮＤ条件、ＬｏｗでＯＲ条件に切り替える。なお、ＡＮＤ条件は、上記第２の条件に相当し、ＯＲ条件は、上記第１の条件に相当する。なお、第１の条件では、異常検出時に安全状態に移行させるため、メインマイコン２をリセットし、例えば、予め定めたフェール制御を実行する。
【００１８】
カットオフ回路４は、ソレノイドへの電源（消費される電力）の供給をカットする。ここで、本実施形態では、異常検出時にソレノイドへの電源の供給をカットしてフェール制御に移行するようにしている。
【００１９】
電源回路５は、ＷＡＫＥの処理を実行する。ＷＡＫＥの機能では、論理的に、Ｈｉｇｈ（オン）側になっていると電源がオン状態を表しており、Ｌｏｗ（オフ）側になると電源が落ちるようになっている。ＩＧＮ６は、イグニッションキーによりイグニッションスイッチがオンである場合に電源回路５に電力を供給する。
【００２０】
本実施形態では、通常、サブマイコン３のリセット処理により、リセットポートＰ２７を介してサブマイコン３からメインマイコン２へリセットの指示がなされ、メインマイコン２をシャットダウンする。但し、サブマイコン３の監視部に異常が発生した場合には、メインマイコン２が自らシャットダウンする。
【００２１】
また、通信部２１は、メインマイコン２の通信処理を制御する。診断部２２は、第１監視機能Ｍ１、第２監視機能Ｍ２、第３監視機能Ｍ３、通信監視機能Ｃ１が正常に動作しているか否かを診断する。診断部２２は、例えば、キーオフ操作により、シャットダウンに移行するタイミングにおいて、監視部の何れか１つに異常を検出したときにメインマイコン２をリセットする第１の条件から、第１監視機能Ｍ１、第２監視機能Ｍ２、第３監視機能Ｍ３及び通信監視機能Ｃ１等の監視部が正常に動作しているか否かを順番に診断する第２の条件に切り替える。
【００２２】
ここで、自動車の走行時には、診断部２２が監視部の何れか１つに異常を検出したときに、第１の条件を適用するのは、メインマイコン２の機能の内で１つでも異常が発生した場合、機能安全の観点から、例えば、すぐにフェール制御に移行できるようにするためである。なお、異常検出後に運転手に異常を通知する手段としては、例えば、故障警告灯（ＭＩＬ（Malfunction Indication Lamp）点灯）を利用してよい。
【００２３】
一方、キーオフ操作を受け付けた場合には、メインマイコン２は、第２の条件により、例えば、監視部の全てが正常であることを確認した上でメインマイコン２のリセットを実行する。したがって、この第２条件では、機能安全の観点から潜在故障の対策として１回のシャットダウンにより、サブマイコン３の複数の監視部が正常動作した旨を次回のキーオン操作時に保障することができる。つまり、第２条件を実行することは、サブマイコン３がメインマイコン２の機能毎に監視する監視機能を複数備えている場合、潜在故障等の機能安全対策に対応し得ることを意味する。以下、キーオフ操作を受け付けた場合の動作処理を詳細に説明する。
【００２４】
[本実施形態の動作処理]
図２は、本実施形態における電子制御装置の動作例を示すフローチャートである。図３は、本実施形態における電子制御装置のタイムチャートの一例を示す説明図である。図３では、ＩＧＮ６、ＯＲ／ＡＮＤ切替Ｓ１、第１機能Ｆ１、第２機能Ｆ２、第３機能Ｆ３、通信部２１の通信、リセットの実行タイミングやセルフシャットポートＰ２８を介したシャットダウンの実行タイミングを概略的に示している。また、説明をわかりやすくするため、各機能の応答状態の実行タイミングを示す第１機能Ｆ１のフィードバック（通信）、第２機能Ｆ２のフィードバック（通信）及び第３機能Ｆ３のフィードバック（通信）をタイミングチャートに示している。なお、以下の処理において、メインマイコン２は、メインマイコン２のＣＰＵが処理を実行し、サブマイコン３は、サブマイコン３のＣＰＵが処理を実行する。
【００２５】
ステップＳ１０１：メインマイコン２は、ＩＧＮ６を介して、イグニッションスイッチがオフされたか否かを判定する。イグニッションスイッチがオフされた場合（ステップＳ１０１：Ｙｅｓ）、ステップＳ１０２の処理に移行する（図３の時刻ｔ１参照）。イグニッションスイッチがオン状態であれば（ステップＳ１０１：Ｎｏ）、ステップＳ１０１の処理を繰り返す。但し、フローチャートには示していないが、イグニッションスイッチがオンされてオフされるまでの間について、診断部２２は、所定の周期で第１の条件の診断を実行する。
【００２６】
ステップＳ１０２：メインマイコン２の診断部２２は、サブマイコン３に対してＯＲ条件からＡＮＤ条件への切り替えの指示命令を送信する。サブマイコン３は、指示命令を受信すると、ＯＲ／ＡＮＤ切替Ｓ１は、切替スイッチＳＷの回路をＯＲ条件からＡＮＤ条件へ切り替える（図３の時刻ｔ２参照）。この切り替えにより、第１の条件から第２の条件に変更される。ここで、第２条件での診断を以下「ＡＮＤ手法」という。サブマイコン３は、タイムアウトにならない限り、ＡＮＤ条件の切替完了を示すデータとして「ＡＮＤ切替完了」をメインマイコン２へ送信する。
【００２７】
ステップＳ１０３：診断部２２は、ステップＳ１０２の処理後に「ＡＮＤ切替完了」の受信待ち状態に移行し、通信部２１が「ＡＮＤ切替完了」のデータを受信したか否かを判定する。「ＡＮＤ切替完了」のデータを受信した場合（ステップＳ１０３：Ｙｅｓ）、ステップＳ１０４の処理に移行する。一方、「ＡＮＤ切替完了」のデータを受信しない場合（ステップＳ１０３：Ｎｏ）、後述するステップＳ１１３に移行する。
【００２８】
ステップＳ１０４：診断部２２は、先ず、サブマイコン３の複数の監視部（第１監視機能Ｍ１、第２監視機能Ｍ２、第３監視機能Ｍ３）を順番にチェックするため、カウンタを初期設定（Ｘ＝１）する。
【００２９】
ステップＳ１０５：診断部２２は、メインマイコン２のＸ番目における監視対象の機能を故意に異常設定する（Ｘ＝１の場合、図３の時刻ｔ３参照）。これにより、サブマイコン３は、Ｘ番目の監視対象の機能を診断処理する。なお、故意に異常設定するのは、Ｘ番目の機能を監視する監視部が異常を検出できるか否かで正常動作の有無を容易に判定できるからである。
【００３０】
ここで、異常設定の手段として、例えば、メモリ診断であれば、メインマイコン２から、メモリ診断エラーとなるデータを送信し、サブマイコン３の第１監視機能Ｍ１が、正常であれば、そのデータに基づいて、メモリ診断エラーとして異常を検出する。そして、診断部２２は、サブマイコン３からメモリ診断エラー（異常検出）を示すデータを受信することで、第１監視機能Ｍ１が正常に動作していると判定することができる。
【００３１】
また、プログラムフローの診断であれば、メインマイコン２から、プログラムフローの診断エラーとなるデータを送信し、サブマイコン３の第２監視機能Ｍ２が、正常であれば、そのデータに基づいて、プログラムフローの診断エラーとして異常を検出する。そして、診断部２２は、サブマイコン３からプログラムフローの診断エラー（異常検出）を示すデータを受信することで、第２監視機能Ｍ２が正常に動作していると判定することができる。
【００３２】
さらに、ＷＤＴの診断であれば、メインマイコン２から第３監視機能Ｍ３に対し、ＷＤＴが正常であれば、所定周期のパルス信号を送信し、第３監視機能Ｍ３は、所定の周期でパルス信号を受信すると正常であると判定する。この場合、異常設定として、メインマイコン２から故意にパルス信号の送信を停止すると、第３監視機能Ｍ３が正常であれば、異常を検出する。そして、診断部２２は、サブマイコン３からＷＤＴのエラー（異常検出）を示すデータを受信することで、第３監視機能Ｍ３正常に動作していると判定することができる。
【００３３】
ステップＳ１０６：診断部２２は、サブマイコン３側で、Ｘ番目の監視対象の機能に対応する監視部が、異常検出に成功したか否かを判定する。成功した場合（ステップＳ１０６：Ｙｅｓ）、ステップＳ１０７の処理に移行する。一方、失敗した場合（ステップＳ１０６：Ｎｏ）、後述するステップＳ１１１の処理に移行する。
【００３４】
ステップＳ１０７：診断部２２は、次の監視部をチェックするため、カウンタをインクリメント（Ｘ＝Ｘ＋１）する。
【００３５】
ステップＳ１０８：診断部２２は、複数の監視部のチェックが終了したか否かを判定する。予め設定した監視部の数について、チェックが終了した場合（ステップＳ１０８：Ｙｅｓ）、ステップＳ１０９の処理に移行する。一方、チェックが終了していない場合（ステップＳ１０８：Ｎｏ）、ステップＳ１０５の処理に戻る。なお、ステップＳ１０５〜Ｓ１０８の処理の流れは、図３を用いて説明すると以下の通りである。すなわち、例えば、第１監視機能Ｍ１が第１機能Ｆ１の異常検出に成功した場合、第１機能Ｆ１のフィードバック（通信）として、サブマイコン３からメインマイコン２に、完了通知が送信され、完了通知の受信により、診断部２２は、次の第２機能Ｆ２に対して故意に異常設定する。以下、機能Ｘ（図２の例では、Ｘ＝３）まで、同様の処理を繰り返す。
【００３６】
ステップＳ１０９：診断部２２は、通信を故意に途絶する（図３の時刻ｔ４参照）。なお、本実施形態では、通信監視機能Ｃ１の異常の有無を最後に診断するのは、図３に示す通り、メインマイコン２がサブマイコン３から各機能の異常検知のフィードバックを通信にて受理するためである。これにより、診断部２２は、異常の有無を効率的に診断することができる。
【００３７】
ステップＳ１１０：診断部２２は、タイムアウトしたか否かを判定する。タイムアウトした場合（ステップＳ１１０：Ｙｅｓ）、後述するステップＳ１１５に移行する。一方、タイムアウトしていない場合（ステップＳ１１０：Ｎｏ）、タイムアウトするまで、ステップＳ１１０の処理を繰り返す。
【００３８】
ステップＳ１１１：診断部２２は、ステップＳ１０６でＮｏ判定された後、タイムアウトしたか否かを判定する。タイムアウトしていない場合（ステップＳ１１１：Ｎｏ）、ステップＳ１０５の処理に戻るが、既に、メインマイコン２の当該監視対象の機能を故意に異常設定しているので、そのまま、ステップＳ１０６の処理に移行してもよいし、必要に応じて、異常設定の再設定を実行してもよい。一方、タイムアウトした場合（ステップＳ１１１：Ｙｅｓ）、ステップＳ１１２に移行する。
【００３９】
ステップＳ１１２：診断部２２は、Ｘ番目の監視部について、故障判定をする。そして、診断部２２は、不揮発性メモリ２０に故障内容を記録する。
【００４０】
ステップＳ１１３：診断部２２は、ステップＳ１０３でＮｏ判定された後、タイムアウトしたか否かを判定する。タイムアウトしていない場合（ステップＳ１１３：Ｎｏ）、ステップＳ１０２の処理に戻るが、既に、切替スイッチＳＷの回路をＯＲ条件からＡＮＤ条件へ切り替えているので、そのまま、ステップＳ１０３の処理に移行してもよいし、必要に応じて、ＯＲ条件からＡＮＤ条件への切り替えをやり直してもよい。一方、タイムアウトした場合（ステップＳ１１３：Ｙｅｓ）、ステップＳ１１４に移行する。
【００４１】
ステップＳ１１４：診断部２２は、ＡＮＤ切替ライン（ＯＲ／ＡＮＤ切替Ｓ１）の故障判定をする。そして、メインマイコン２は、不揮発性メモリ２０に故障内容を記録する。
【００４２】
ステップＳ１１５：メインマイコン２は、リセットによりセルフシャットダウンを実行する（図３の時刻ｔ５参照）。具体的には、メインマイコン２は、メインマイコン２のＣＰＵをリセットし、このＣＰＵのリセットにて、セルフシャットポートはＬｏｗになり、シャットダウンを実行する。なお、メインマイコン２は、シャットダウンする前に、カットオフ回路４を介してＴＣＵのソレノイドへの電源の供給をカットし、また、サブマイコン３から、診断結果の通知を受信して、不揮発性メモリ２０にその診断結果を記録する。そして、図２に示すフローチャートの処理を終了する。
【００４３】
以上より、診断部２２が故意に異常に設定した場合、ステップＳ１１０からステップＳ１１５のルートを辿ると、サブマイコン３の監視機能の全てが、異常検出処理を実行することで正常に動作していることが裏付けられる。つまり、本実施形態では、リセットによりシャットダウンすることで全ての監視部について、正常であると判定することができる。
【００４４】
図４は、本実施形態における電子制御装置のタイムチャートの一例を示す説明図である。図４に示すタイムチャートは、診断部２２が、監視部（一例として、第２監視機能Ｍ２）の異常を検出した場合を例示している。診断部２２は、第２機能Ｆ２の処理において、時刻ｔ１で異常設定にしたにも拘わらず、一定時間待っても異常検出通知がサブマイコン３から受信できない場合、第２監視機能Ｍ２の故障と判断して、その旨を不揮発性メモリ２０に記録する（時刻ｔ２〜ｔ３の「第２機能Ｆ２・故障記録」を参照）。そして、不揮発性メモリ２０に記録完了後、メインマイコン２は、セルフシャットポートをＬｏｗにして、時刻ｔ３にてシャットダウンを開始する。なお、図４は、図２に示すフローチャートの処理において、ステップＳ１１２からステップＳ１１５のルートを辿った場合について例示している。
【００４５】
図５は、本実施形態における電子制御装置のタイムチャートの一例を示す説明図である。図５に示すタイムチャートは、図２に示すフローチャートの処理に示していないが、診断途中に、イグニッションスイッチがオフからオンに切り替わった場合について例示している。より具体的には、図５では、診断部２２が通信を途絶させた後に、イグニッションスイッチがオフからオンに切り替わった場合、診断部２２は、時刻ｔ１で全ての監視部（第１監視機能Ｍ１〜第３監視機能Ｍ３、通信監視機能Ｃ１）について、「故意の異常状態」を解除する。そして、全て正常復帰したことを確認した後、時刻ｔ２にて、サブマイコン３は、ＯＲ／ＡＮＤ切替Ｓ１を、ＡＮＤ条件からＯＲ条件へ戻す。これにより、第２条件から第１の条件に切り替わる。
【００４６】
以上より、本実施形態では、潜在故障等の機能安全対策に対応するべく、ＡＮＤ手法を採用し、上述したフローチャートの処理により、１回のシャットダウンで全ての監視部が正常動作していることを判定できる。
【００４７】
これにより、次回のメインマイコン２の起動時に、不揮発性メモリ２０を参照することで、前回の運転において、全ての監視部が正常に動作していたことがわかる。つまり、サブマイコン３による潜在故障の回避を実現するためには、サブマイコン３の監視部が正しく動作する旨を示す必要があるが、本実施形態では、容易に実現することができる。
【００４８】
以上、本件に開示する実施形態について明細書及び図面等を用いて説明したが、本件開示の技術は、本実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々の変更が可能である。
また、特許請求の範囲、明細書及び図面中において示した装置及び方法における動作等の各処理の実行順序は、前の処理の出力結果を後の処理で用いるのでない限り、任意の順序で実行してもよい場合がある点に留意すべきである。例えば、本実施形態では、第１監視機能Ｍ１、第２監視機能Ｍ２、第３監視機能Ｍ３の診断の順番を変更してもよい。
【００４９】
[上記実施形態の補足事項]
（１）上記実施形態では、図２において、何れか１つの監視部に異常が発生した場合、その旨を不揮発性メモリ２０に記録して、シャットダウンしたが、これに限られない。例えば、上記実施形態では、全ての監視部における異常の有無をチェックした後、異常が発生した監視部について、その旨を不揮発性メモリ２０に記録して、その後、シャットダウンするようにしてもよい。このようにすれば、１回のシャットダウンで、複数の監視部の異常を検出することができる。
（２）上記実施形態では、第２の条件下で診断中であって、ＡＮＤ条件への切り替えた後に、メインマイコン２が自己リセットした場合について特に言及していないが、この場合、診断を中止して、セルフシャットダウンするようにしてもよい。
（３）上記実施形態では、通信監視機能Ｃ１の異常の有無を最後に診断しており、実際に通信監視機能Ｃ１が故障しているか否かについて、フローチャートで示していない。そこで、上記実施形態では、例えば、診断の順序を、第ｎ監視機能→通信監視機能Ｃ１→第（ｎ＋１）監視機能と、第ｎ監視機能→第（ｎ＋１）監視機能→通信監視機能Ｃ１というように、交互に実行することで、異常の有無を判定するようにしてもよい。
（４）上記実施形態において、異常時の制御としてトランスミッションのソレノイドへの電源の供給をカットして、フェール制御に移行するようにしていた。但し、これに限られず、異常時の制御としては、例えば、電制スロットルの開度制限（最大開度、変化速度／変化率、特に開く側）等の電制スロットルの制御に適用して、フェール制御に移行するようにしてもよい。したがって、上記実施形態の診断方法は汎用性を有している。
（５）上記実施形態において、メインマイコン２とサブマイコン３とが電子制御装置１に内蔵されている場合について説明したが、サブマイコン３が外付けされるように構成された電子制御装置としてもよく、両者は、同様な作用効果が得られる。
【符号の説明】
【００５０】
１…電子制御装置
２…メインマイコン
３…サブマイコン
２２…診断部
Ｆ１…第１機能
Ｆ２…第２機能
Ｆ３…第３機能
Ｃ１…通信監視機能
Ｍ１…第１監視機能
Ｍ２…第２監視機能
Ｍ３…第３監視機能
【図１】
2018079737.tif 000003
【図２】
2018079737.tif 000004
【図３】
2018079737.tif 000005
【図４】
2018079737.tif 000006
【図５】
2018079737.tif 000007