(57)【要約】【課題】基準電圧源や発振回路の数が増え、回路面積やコストが増える。【解決手段】ステップＳ１１で第１基準電圧源１０に異常があった場合は、ステップＳ１４の処理が行われる。まず、電圧比較器５０による多数決判定条件から第１基準電圧源１０を除外する。そして、第１レギュレータ７０、負荷駆動回路１１０、および通信インターフェース回路を停止する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。ステップＳ１３で第３基準電圧源３０に異常があった場合は、ステップＳ１６の処理が行われる。その後、ステップＳ１７で、故障警告灯を確認した運転者は、車両を自走させて修理工場等へ移動することが可能になる。【選択図】 図２
2015024677.tif 000002
【特許請求の範囲】
【請求項１】
バッテリーに直接接続され、またはバッテリーからの電圧を昇降圧して生成した電圧のいずれかより給電を受けて第１基準電圧を生成する第１基準電圧源と、
前記バッテリーからイグニションスイッチを経由した電圧、または前記バッテリーからイグニションスイッチを経由した電圧を昇降圧して生成した電圧のいずれかより給電を受けて第２基準電圧を生成する第２基準電圧源と、
前記第２基準電圧源を監視するために、前記バッテリーからイグニションスイッチを経由した電圧を受けて第３基準電圧を生成する第３基準電圧源と、
前記第１基準電圧、前記第２基準電圧、前記第３基準電圧のいずれか一つの電圧が、残りの２つの電圧と比較して所定の値以上離れた場合に異常と多数決判定する比較器と、
前記比較器の判定結果により異常通知信号を受けるエラー制御部とを備え、
前記エラー制御部は、異常が発生した基準電圧源を特定し、所定の動作に移行させることを特徴とする車載電子制御装置。
【請求項２】
請求項１に記載の車載電子制御装置において、
前記比較器は、前記第１基準電圧、前記第２基準電圧、前記第３基準電圧に比例した電圧値を用いて、もしくは、前記比例した電圧値と前記第１基準電圧、前記第２基準電圧、前記第３基準電圧とを組み合わせて異常を判定することを特徴とする車載電子制御装置。
【請求項３】
請求項１または２に記載の車載電子制御装置において、
前記第１基準電圧源から電圧が供給される第１レギュレータと、前記第２基準電圧源から電圧が供給される第２レギュレータと、外部負荷を駆動する負荷駆動回路と、外部制御装置と通信を行う通信インターフェース回路とをさらに備え、
前記エラー制御部は、前記比較器から異常通知信号を受けると、異常のある前記第１基準電圧源、前記第２基準電圧源、もしくは前記第３基準電圧源に応じて、前記第１レギュレータと、前記第２レギュレータと、前記負荷駆動回路と、前記通信インターフェース回路に対して動作、若しくは停止を指示することを特徴とする車載電子制御装置。
【請求項４】
請求項１または３のいずれか１項に記載の車載電子制御装置において、
前記第１レギュレータおよび前記第２レギュレータより電圧が供給されるマイクロコンピュータを備え、
前記エラー制御部は、前記比較器の判定結果による異常の発生した箇所が、前記第２基準電圧源を監視している前記第３基準電圧源であった場合に、前記マイクロコンピュータに前記第３基準電圧源が異常であることを通知し、
前記比較器は、異常のある前記第３基準電圧源を多数決判定条件から除外した上で、動作を継続することを特徴とする車載電子制御装置。
【請求項５】
請求項１または３のいずれか１項に記載の車載電子制御装置において、
前記第１レギュレータおよび前記第２レギュレータより電圧が供給されるマイクロコンピュータを備え、
前記エラー制御部は、前記比較器の判定結果による異常の発生した箇所が、前記第１基準電圧源、若しくは前記第２基準電圧源であった場合に、前記マイクロコンピュータに前記第１基準電圧源、若しくは前記第２基準電圧源が異常であることを通知し、
前記比較器は、異常のある前記第１基準電圧源、若しくは前記第２基準電圧源を多数決判定条件から除外し、
前記エラー制御部は、さらに、前記第１基準電圧源、若しくは前記第２基準電圧源を前記第３基準電圧源に切り替えることを特徴とする車載電子制御装置。
【請求項６】
バッテリーに直接接続され、またはバッテリーからの電圧を昇降圧して生成した電圧のいずれかより給電を受けて第１クロック信号を出力する第１発振回路と、
前記バッテリーからイグニションスイッチを経由した電圧、または前記バッテリーからイグニションスイッチを経由した電圧を昇降圧して生成した電圧のいずれかより給電を受けて第２クロック信号を出力する第２発振回路と、
前記第２発振回路を監視するために、前記バッテリーからイグニションスイッチを経由した電圧を受けて第３クロック信号を出力する第３発振回路と、
前記第１クロック信号、前記第２クロック信号、前記第３クロック信号のいずれか一つの周波数が、残りの２つの周波数と比較して所定の値以上離れた場合に異常と多数決判定する比較器と、
前記比較器の判定結果により異常通知信号を受けるエラー制御部とを備え、
前記エラー制御部は、異常が発生した発振回路を特定し、所定の動作に移行させることを特徴とする車載電子制御装置。
【請求項７】
請求項６に記載の車載電子制御装置において、
前記比較器は、前記第１クロック信号、前記第２クロック信号、前記第３クロック信号に比例した周波数を用いて、もしくは、前記比例した周波数と前記第１クロック信号、前記第２クロック信号、前記第３クロック信号とを組み合わせて異常を判定することを特徴とする車載電子制御装置。
【請求項８】
請求項６または７に記載の車載電子制御装置において、
マイクロコンピュータとシリアル通信を行うシリアル通信回路と、外部負荷を駆動する負荷駆動回路と、外部制御装置と通信を行う通信インターフェース回路とを備え、
前記エラー制御部は、前記比較器から異常通知信号を受けると、異常のある前記第１発振回路、前記第２発振回路、もしくは前記第３発振回路に応じて、前記シリアル通信回路と、前記負荷駆動回路と、前記通信インターフェース回路に対して動作、若しくは停止を指示することを特徴とする車載電子制御装置。
【請求項９】
請求項６または８のいずれか１項に記載の車載電子制御装置において、
前記第２クロック信号に基づいてマイクロコンピュータとシリアル通信を行うシリアル通信回路を備え、
前記エラー制御部は、前記比較器の判定結果による異常の発生した箇所が、前記第２発振回路を監視している前記第３発振回路であった場合に、前記マイクロコンピュータに前記第３発振回路が異常であることを通知し、
前記比較器は、異常のある前記第３発振回路を多数決判定条件から除外した上で、動作を継続することを特徴とする車載電子制御装置。
【請求項１０】
請求項６または８のいずれか１項に記載の車載電子制御装置において、
前記第２クロック信号に基づいてマイクロコンピュータとシリアル通信を行うシリアル通信回路を備え、
前記エラー制御部は、前記比較器の判定結果による異常の発生した箇所が、前記第１発振回路、若しくは前記第２発振回路であった場合に、前記マイクロコンピュータに前記第１発振回路、若しくは前記第２発振回路が異常であることを通知し、
前記比較器は、異常のある前記第１発振回路、若しくは前記第２発振回路を多数決判定条件から除外し、
前記エラー制御部は、さらに、前記第１発振回路、若しくは前記第２発振回路を前記第３発振回路に切り替えることを特徴とする車載電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載される車載電子制御装置に関する。
【背景技術】
【０００２】
車載電子制御装置において、主の基準電圧源とこの主の基準電圧源を監視するための副の基準電圧源の２つの基準電圧源を使用する技術がある。主の基準電圧源はレギュレータに供給され、レギュレータはマイクロコンピュータ等へ電力を給電する。ここで、基準電圧源が２つあり、いずれかの基準電圧源に異常が発生した場合、異常が発生したことは検知できるが、どちらの基準電圧源に異常が発生したかを特定することはできない。その結果、異常が発生したのが監視用の副基準電圧源であっても、レギュレータの機能喪失により、レギュレータから給電を受けているマイクロコンピュータ等の機能まで喪失してしまう。
そのような問題を避けるため、基準電圧源を３つ以上設け、それぞれの電圧を比較し多数決を取ることで、異常が発生している基準電圧源を特定する方法が用いられる場合がある。（特許文献１）
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−０２２１５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、基準電圧源の数が増えるので、回路面積やコストが増えるという問題がある。
【課題を解決するための手段】
【０００５】
請求項１に記載の車載電子制御装置は、バッテリーに直接接続され、またはバッテリーからの電圧を昇降圧して生成した電圧のいずれかより給電を受けて第１基準電圧を生成する第１基準電圧源と、バッテリーからイグニションスイッチを経由した電圧、またはバッテリーからイグニションスイッチを経由した電圧を昇降圧して生成した電圧のいずれかより給電を受けて第２基準電圧を生成する第２基準電圧源と、第２基準電圧源を監視するために、バッテリーからイグニションスイッチを経由した電圧を受けて第３基準電圧を生成する第３基準電圧源と、第１基準電圧、第２基準電圧、第３基準電圧のいずれか一つの電圧が、残りの２つの電圧と比較して所定の値以上離れた場合に異常と多数決判定する比較器と、比較器の判定結果により異常通知信号を受けるエラー制御部とを備え、エラー制御部は、異常が発生した基準電圧源を特定し、所定の動作に移行させることを特徴とする。
請求項６に記載の車載電子制御装置は、バッテリーに直接接続され、またはバッテリーからの電圧を昇降圧して生成した電圧のいずれかより給電を受けて第１クロック信号を出力する第１発振回路と、バッテリーからイグニションスイッチを経由した電圧、またはバッテリーからイグニションスイッチを経由した電圧を昇降圧して生成した電圧のいずれかより給電を受けて第２クロック信号を出力する第２発振回路と、第２発振回路を監視するために、バッテリーからイグニションスイッチを経由した電圧を受けて第３クロック信号を出力する第３発振回路と、第１クロック信号、第２クロック信号、第３クロック信号のいずれか一つの周波数が、残りの２つの周波数と比較して所定の値以上離れた場合に異常と多数決判定する比較器と、比較器の判定結果により異常通知信号を受けるエラー制御部とを備え、エラー制御部は、異常が発生した発振回路を特定し、所定の動作に移行させることを特徴とする。
【発明の効果】
【０００６】
本発明によれば、既にある基準電圧源や発振回路を利用しているので、回路面積やコストの増加は最小限に抑えられる。
【図面の簡単な説明】
【０００７】
【図１】第１の実施の形態に係わる車載電子制御装置の回路構成図である。
【図２】第１の実施の形態のエラー制御部の動作を示すフローチャートである。
【図３】第１の実施の形態の切替回路を選択させるエラー制御部の動作を示すフローチャートである。
【図４】第２の実施の形態に係わる車載電子制御装置の回路構成図である。
【図５】第２の実施の形態のエラー制御部の選択を示すフローチャートである。
【図６】第２の実施の形態の切替回路を動作させるエラー制御部の動作を示すフローチャートである。
【発明を実施するための形態】
【０００８】
（第１の実施の形態）
図１は、第１の実施の形態に係わる車載電子制御装置１００とその周辺の装置を示す回路構成図である。車載電子制御装置１００には、バッテリー２００が第１のバッテリーラインＢＡＴＴを介して接続される。また、バッテリー２００はイグニションスイッチ４０に接続され、イグニションスイッチ４０は第２のバッテリーラインＶＢを介して車載電子制御装置１００に接続される。
【０００９】
車載電子制御装置１００から第１の定電圧ラインＶａおよび第２の定電圧ラインＶｃは、マイクロコンピュータ２１０に接続され、第１の定電圧ラインＶａからの電圧はマイクロコンピュータ２１０内の揮発性のメモリ２２０へ供給される。
【００１０】
マイクロコンピュータ２１０は、各種センサから情報を受信して、各種の制御をソフトウェア処理によって行い、処理データをメモリ２２０へ格納する。
【００１１】
車載電子制御装置１００は、第１基準電圧源１０、第２基準電圧源２０、第３基準電圧源３０を有し、各基準電圧源の電圧は、図示省略するが、バッテリー２００より供給される。第１基準電圧源１０の第１基準電圧Ｖ１は切替回路Ｓ１を介して第１レギュレータ７０へ供給される。第１レギュレータ７０の電圧は第１の定電圧ラインＶａを介してマイクロコンピュータ２１０へ供給される。
【００１２】
第２基準電圧源２０の第２基準電圧Ｖ２は切替回路Ｓ２を介して第２レギュレータ８０へ供給される。第２レギュレータ８０の電圧は第２の定電圧ラインＶｃを介してマイクロコンピュータ２１０へ供給される。
【００１３】
切替回路Ｓ１、および切替回路Ｓ２は通常はａ点側に接続されている。切替回路Ｓ１、および切替回路Ｓ２のｂ点側には第３基準電圧源３０の第３基準電圧Ｖ３が供給されている。
【００１４】
電圧比較器５０には、第１基準電圧Ｖ１、第２基準電圧Ｖ２、および第３基準電圧Ｖ３が供給され、第１基準電圧Ｖ１、第２基準電圧Ｖ２、および第３基準電圧Ｖ３のいずれか一つの電圧が、残りの２つの電圧と比較して所定の値以上離れた場合に異常であると多数決判定する。電圧比較器５０は、第１基準電圧Ｖ１、第２基準電圧Ｖ２、第３基準電圧Ｖ３に比例した電圧値を、例えば、第１レギュレータ７０、第２レギュレータ８０の出力より用いて、もしくは、これらの比例した電圧値と第１基準電圧Ｖ１、第２基準電圧Ｖ２、第３基準電圧Ｖ３とを組み合わせて判定することもできる。
【００１５】
エラー制御部６０は電圧比較器５０よりその判定結果である異常通知信号を受ける。エラー制御部６０は、異常のある基準電圧に応じた異常通知信号により、第１レギュレータ７０、第２レギュレータ８０、負荷駆動回路１１０と、通信インターフェース回路１２０に対して動作、若しくは停止を指示する。さらに、エラー制御部６０は、電圧の異常をマイクロコンピュータ２１０へ通知と共に、切替回路Ｓ１、および切替回路Ｓ２へ切替信号を出力する。
【００１６】
負荷駆動回路１１０はマイクロコンピュータ２１０より外部負荷１７０を駆動する回路であり、通信インターフェース回路１２０は、マイクロコンピュータ２１０と外部電子制御装置１８０との間でデータや命令を送受信する回路である。
【００１７】
以下、第１の実施の形態に係わる車載電子制御装置１００の動作を図２及び図３を参照して説明する。
【００１８】
図２は、エラー制御部６０の動作を示すフローチャートである。エラー制御部６０はＣＰＵとその処理プログラムを内蔵し、以下に示す各ステップを実行するものとして説明する。なお、一部のステップには動作説明の理解のために人的な処理も含まれている。電圧比較器５０による多数決判定処理が行われた結果、その出力結果に基づいて、ステップＳ１１で第１基準電圧源１０に異常があったか判定され、ステップＳ１２で第２基準電圧源２０に異常があったか判定され、ステップＳ１３で第３基準電圧源３０に異常があったか判定される。具体的には、第１基準電圧源１０と、第２基準電圧源２０と、第３基準電圧源３０のそれぞれの基準電圧Ｖ１とＶ２とＶ３を比較し、多数決を取ることで、基準電圧源の異常診断が電圧比較器５０により行われてその判定が行われる。
【００１９】
ステップＳ１１で第１基準電圧源１０に異常があったと判定された場合は、ステップＳ１４の処理が行われる。まず、電圧比較器５０による多数決判定条件から第１基準電圧源１０を除外する。そして、第１レギュレータ７０、負荷駆動回路１１０、および通信インターフェース回路を停止する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
【００２０】
ステップＳ１２で第２基準電圧源２０に異常があったと判定された場合は、ステップＳ１５の処理が行われる。まず、電圧比較器５０による多数決判定条件から第２基準電圧源２０を除外する。そして、第２レギュレータ８０、負荷駆動回路１１０、および通信インターフェース回路を停止する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
【００２１】
ステップＳ１３で第３基準電圧源３０に異常があったと判定された場合は、ステップＳ１６の処理が行われる。まず、電圧比較器５０による多数決判定条件から第３基準電圧源３０を除外する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
【００２２】
次のステップＳ１７では、車載電子制御装置１００は車両を自走可能な状態にしているので、故障警告灯を確認した運転者は、車両を自走させて修理工場等へ移動することが可能になる。
【００２３】
次のステップＳ１８では、多数決判定を行う電圧比較器５０に対して、第３基準電圧源３０を多数決判定条件から除外し、第１基準電圧源１０または第２基準電圧源２０、若しくはこれらの電圧源に比例して生成された電圧の電圧比較を行う。すなわち、電圧比較は各基準電圧源を用いて比較しても良く、各基準電圧源に比例して生成された電圧を用いて比較しても良い。この電圧比較により、電圧差が所定のしきい値を超えた場合には、第１基準電圧源１０と第２基準電圧源２０のいずれかに異常が発生したと判断し、エラー制御部６０に通知される。
【００２４】
ステップＳ１８で、異常が発生していなければ、ステップＳ１７で、車両を自走させて修理工場等へ移動することが可能である。
【００２５】
ステップＳ１８で、異常が発生していれば、車両が危険な状態に陥ることを防ぐため、次のステップＳ１９に進み、車載電子制御装置１００から信号が外部に出力しないように車載電子制御装置１００を停止して安全状態に移行する。
【００２６】
図３は、異常があった基準電圧源を切替える切替回路Ｓ１、Ｓ２を用いた場合のエラー制御部６０の動作を示すフローチャートである。
【００２７】
電圧比較器５０による多数決判定処理が行われた結果、その出力結果に基づいて、ステップＳ２０で第２基準電圧源２０に異常があったか判定され、ステップＳ２１で第１基準電圧源１０に異常があったか判定される。
【００２８】
ステップＳ２０で第２基準電圧源２０に異常があったと判定された場合は、ステップＳ２２の処理が行われる。まず、切替回路Ｓ２を動作させてｂ点側に接点を切替える。これにより、第２レギュレータ８０の基準電圧が第２基準電圧源２０から第３基準電圧源３０に切り替得られる。そして、電圧比較器５０による多数決判定条件から第２基準電圧源２０を除外する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
【００２９】
ステップＳ２１で第１基準電圧源１０に異常があったと判定された場合は、ステップＳ２３の処理が行われる。まず、切替回路Ｓ１を動作させてｂ点側に接点を切替える。これにより、第１レギュレータ７０の基準電圧が第１基準電圧源１０から第３基準電圧源３０に切り替得られる。そして、電圧比較器５０による多数決判定条件から第１基準電圧源１０を除外する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
その後、ステップＳ２４では、車載電子制御装置１００は車両を自走可能な状態にしているので、車両を自走させて修理工場等へ移動することが可能である。
【００３０】
第１の実施の形態によれば、以下のような作用効果がある。
（１）車載電子制御装置１００には、イグニションスイッチ４０が開路している場合でも、メモリ２２０にある情報を保持するために常時給電を続ける第１レギュレータ７０を用いる。バッテリー上がり防止のため、このような場合には消費電力を極力抑えた専用電源回路が用いられるのが一般的であり、その電源回路ブロックには専用の第１基準電圧源１０を用いる。この第１基準電圧源１０は、車載電子制御装置１００がバッテリー２００に接続している間は、常に動作して第１基準電圧Ｖ１を生成している。そのため、この第１基準電圧源１０と、主の第２基準電圧源２０と、副の第３基準電圧源３０のそれぞれの基準電圧Ｖ１とＶ２とＶ３を比較し、多数決を取ることで、基準電圧源の異常診断を行う。
【００３１】
このように元来ある基準電圧源を利用しているので、回路面積、コストの増加は最小限に抑えられる。これにより、第１基準電圧源１０と第２基準電圧源２０と第３基準電圧源３０の３つの基準電圧源で多数決方式のエラー制御を行うことが可能で、異常が発生した場合にはどの基準電圧源が異常かを特定することができる。
【００３２】
（２）第１基準電圧源１０, 第２基準電圧源２０、第３基準電圧源３０のいずれかで異常が発生した場合、異常が発生している基準電圧源に関連する機能の動作保証ができなくなる。例えば、第１基準電圧源１０に異常が発生した場合、第１基準電圧源１０に比例した電圧を生成する第１レギュレータ７０の第１の定電圧ラインＶａの電圧値は保証できなくなる。その場合、電圧Ｖａの給電を受けているマイクロコンピュータ２１０の動作は不定となり、その結果、マイクロコンピュータ２１０が制御する負荷駆動回路１１０と通信インターフェース回路１２０の動作も不定となる。その結果、第１レギュレータ７０と、マイクロコンピュータ２１０が制御している負荷駆動回路１１０と通信インターフェース回路１２０は、車載電子制御装置１００の外部にも接続されているため、車載電子制御装置１００内部で発生した異常が外部に伝搬してしまう可能性がある。
【００３３】
車載電子制御装置１００は、電圧比較器５０により、異常が発生している基準電圧源を特定することが可能である。一つの基準電圧源に異常が発生した時には、エラー制御部６０が異常のある基準電圧源とそれに関連する機能を停止させることで、基準電圧源内で発生した異常を車載電子制御装置１００の外部に伝搬するのを防ぐことができる。
【００３４】
（３）第１基準電圧源１０、第２基準電圧源２０、第３基準電圧源３０のいずれかに異常が発生した場合、発生した箇所によって車載電子制御装置１００の動作に与える影響度は異なる。第３基準電圧源３０の主な役割は、第２基準電圧源２０または第２基準電圧源２０に比例して生成された電圧が、所定の電圧範囲内にあるかを監視することである。つまり、第３基準電圧源３０に異常が発生しても、第２基準電圧源２０が正常に動作している限り、車載電子制御装置１００の動作に与える影響は軽微である。そのため、マイクロコンピュータ２１０は直ちに車両を安全状態に導く必要は無く、通常の車両制御を実行するようにあらかじめ設定しておくことが可能である。ただし、この状態を放置し、さらに第２基準電圧源２０に異常が発生した場合には、その異常は検知できず、車両が危険な状態に陥る可能性がある。
【００３５】
そのため、マイクロコンピュータ２１０は、故障警告灯を作動させて、車載電子制御装置１００に異常が発生していることを運転者に通知した上で、通常の車両制御を実行する。故障警告灯を確認した運転者は、車両を自走させて修理工場等へ移動することが可能になる。
【００３６】
（４）車載電子制御装置１００の電圧比較器５０は、第１基準電圧源１０または第２基準電圧源２０のいずれかに異常が発生しても、残りの２つの基準電圧源が正常に動作しているかを判断することが可能である。そのため、例えば第２基準電圧源２０に異常があり、他の基準電圧源が正常であった場合、第２基準電圧源２０の監視用に備え付けている第３基準電圧源３０が、第２基準電圧源２０の機能を代用することで、第２基準電圧源２０に関連する機能を動作させ続けることが可能になる。具体的には、第２レギュレータ８０の基準電圧は、第２基準電圧源２０か第３基準電圧源３０かを選択できるよう切替回路Ｓ２を備える。切替回路Ｓ２は、通常時は第２基準電圧源２０を選択し、第２基準電圧源２０に異常が発生した場合には、第３基準電圧源３０を選択する。これにより車載電子制御装置１００の機能の喪失を防ぐことが可能になる。車載電子制御装置１００は、第２基準電圧源２０には異常が発生していることを故障警告灯で運転手に通知した上で、自走することが可能になる。このように、主機能として使われている基準電圧源に異常が発生した場合は、異常が発生していない残り２つの基準電圧源を、異常のある基準電圧源の代用にすることで、車載電子制御装置の機能を維持できる。
【００３７】
（第２の実施の形態）
図４は、第２の実施の形態に係わる車載電子制御装置１００とその周辺の装置を示す回路構成図である。図１に示した第１の実施の形態と同一箇所には同一の符号を付した。車載電子制御装置１００には、バッテリー２００が第１のバッテリーラインＢＡＴＴを介して接続される。また、バッテリー２００はイグニションスイッチ４０に接続され、イグニションスイッチ４０は第２のバッテリーラインＶＢを介して車載電子制御装置１００に接続される。
【００３８】
車載電子制御装置１００は、第１発振回路１３０、第２発振回路１４０、第３発振回路１５０を有し、第１発振回路１３０の電圧は、第１のバッテリーラインＢＡＴＴより第１レギュレータ７０を介して供給される。第２発振回路１４０の電圧は、第２のバッテリーラインＶＢより第２レギュレータ８０を介して供給される。第３発振回路１５０の電圧は、図示省略するが、バッテリー２００より供給される。
【００３９】
第１発振回路１３０の第１クロック信号ＣＫ１は切替回路Ｓ１を介してタイマー９０へ供給される。タイマー９０はイグニションスイッチ４０が開路している場合でも、カウント動作をする機能を備えている。このようなタイマー９０には専用の第１発振回路１３０が用いられており、この第１発振回路１３０は、バッテリー２００から第１レギュレータ７０を介して直接給電を受けているため、バッテリー２００に接続されている間は常に動作することが可能である。
【００４０】
第２発振回路１４０の第２クロック信号ＣＫ２は切替回路Ｓ２を介して周波数比較器１６０及びシリアル通信回路１９０へ供給される。シリアル通信回路１９０は第２クロック信号ＣＫ２に基づいてマイクロコンピュータとの間で通信を行う。第３発振回路１５０の第３クロック信号ＣＫ３は周波数比較器１６０へ供給される。
【００４１】
切替回路Ｓ１、および切替回路Ｓ２は通常はａ点側に接続されている。切替回路Ｓ１、および切替回路Ｓ２のｂ点側には第３発振回路１５０の第３クロック信号ＣＫ３が供給されている。
【００４２】
周波数比較器１６０は、第１クロック信号ＣＫ１、第２クロック信号ＣＫ２、第３クロック信号ＣＫ３のいずれか一つの周波数が、残りの２つの周波数と比較して所定の値以上離れた場合に異常と多数決判定する。周波数比較器１６０は、第１クロック信号ＣＫ１、第２クロック信号ＣＫ２、第３クロック信号ＣＫ３に比例した周波数を用いて、もしくは、比例した周波数と第１クロック信号ＣＫ１、第２クロック信号ＣＫ２、第３クロック信号ＣＫ３とを組み合わせて判定することもできる。
【００４３】
エラー制御部６０は周波数比較器１６０の判定結果により異常通知信号を受ける。エラー制御部６０は、周波数比較器１６０から異常通知信号を受けると、異常のある第１発振回路１３０、もしくは第２発振回路１４０、第３発振回路１５０に応じて、シリアル通信回路１９０、負荷駆動回路１１０、通信インターフェース回路１２０に対して動作、若しくは停止を指示する。さらに、エラー制御部６０は、周波数の異常をマイクロコンピュータ２１０へ通知すると共に、切替回路Ｓ１、および切替回路Ｓ２へ切替信号を出力する。
【００４４】
負荷駆動回路１１０はマイクロコンピュータ２１０より外部負荷１７０を駆動する回路であり、通信インターフェース回路１２０は、マイクロコンピュータ２１０と外部電子制御装置１８０とデータや命令を送受信する回路である。
【００４５】
以下、第２の実施の形態に係わる車載電子制御装置１００の動作を図５及び図６を参照して説明する。
【００４６】
図５は、エラー制御部６０の動作を示すフローチャートである。エラー制御部６０はＣＰＵとその処理プログラムを内蔵し、以下に示す各ステップを実行するものとして説明する。なお、一部のステップには動作説明の理解のために人的な処理も含まれている。周波数比較器１６０による多数決判定処理が行われた結果、その出力結果に基づいて、ステップＳ３０で第１発振回路１３０の出力周波数に異常があったか判定され、ステップＳ３１で第２発振回路１４０の出力周波数に異常があったか判定され、ステップＳ３２で第３発振回路１５０の出力周波数に異常があったか判定される。
【００４７】
具体的には、第１発振回路１３０と、第２発振回路１４０と、第３発振回路１５０のそれぞれのクロック信号ＣＫ１とＣＫ２とＣＫ３を比較し、多数決を取ることで、周波数の異常診断が周波数比較器１６０により行われてその判定結果を判断する。
【００４８】
ステップＳ３０で第１発振回路１３０の出力周波数に異常があったと判定された場合は、ステップＳ３３に進み、第１クロック信号ＣＫ１を周波数比較器１６０の多数決判定条件から除外する。そして、タイマー９０の動作を停止する。更に、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
【００４９】
次のステップＳ３４で、故障警告灯を確認した運転者は、車両を自走させて修理工場等へ移動することが可能になる。
【００５０】
次のステップＳ３５では、多数決判定を行う周波数比較器１６０に対して、第１発振回路１３０を多数決判定条件から除外し、第２発振回路１４０、または第３発振回路１５０、若しくはこれらの周波数に比例して生成された周波数の比較を行う。この比較で、周波数差が所定のしきい値を超えた場合には、第２発振回路１４０と第３発振回路１５０のいずれかに異常が発生したと判断し、エラー制御部６０に通知される。
【００５１】
ステップＳ３５で、異常が発生していなければ、ステップＳ３４では、車載電子制御装置１００は車両を自走可能な状態にしているので、車両を自走させて修理工場等へ移動することが可能である。
【００５２】
ステップＳ３５で、異常が発生していれば、エラー制御部６０はマイクロコンピュータ２１０に通知し、車両が危険な状態に陥ることを防ぐため、次のステップＳ４０に進み、車載電子制御装置１００からの信号出力を停止させて安全状態に移行する。
【００５３】
ステップＳ３１で第２発振回路１４０の出力周波数に異常があったと判定された場合は、ステップＳ３６に進み、第２クロック信号ＣＫ２を周波数比較器１６０の多数決判定条件から除外する。そして、シリアル通信回路１９０、負荷駆動回路１１０、通信インターフェース回路１２０の動作を停止する。更に、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。そして、次のステップＳ４０に進み、車載電子制御装置１００からの信号出力を停止させて安全状態に移行する。
【００５４】
ステップＳ３２で第３発振回路１５０の出力周波数に異常があったと判定された場合は、ステップＳ３７に進み、第３クロック信号ＣＫ３を周波数比較器１６０の多数決判定条件から除外する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
【００５５】
次のステップＳ３８では、車載電子制御装置１００は車両を自走可能な状態にしているので、故障警告灯を確認した運転者は、車両を自走させて修理工場等へ移動することが可能になる。
【００５６】
次のステップＳ３９では、多数決判定を行う周波数比較器１６０に対して、第３発振回路１５０を多数決判定条件から除外し、第１発振回路１３０、または第２発振回路１４０、若しくはこれらの周波数に比例して生成された周波数の比較を行う。この比較で、周波数差が所定のしきい値を超えた場合には、第１発振回路１３０と第２発振回路１４０のいずれかに異常が発生したと判断し、エラー制御部６０に通知される。
【００５７】
ステップＳ３９で、異常が発生していなければ、ステップＳ３８で、車両を自走させて修理工場等へ移動することが可能である。
【００５８】
ステップＳ３９で、異常が発生していれば、次のステップＳ４０に進み、車載電子制御装置１００からの信号出力を停止させて安全状態に移行する。
【００５９】
図６は、異常があった発振回路を切替える切替回路Ｓ１、Ｓ２を用いた場合のエラー制御部６０の動作を示すフローチャートである。
【００６０】
周波数比較器１６０による多数決判定処理が行われた結果、その出力結果に基づいて、ステップＳ５０で第２発振回路１４０に異常があったか判定され、ステップＳ５１で第１発振回路１３０に異常があったか判定される。
【００６１】
ステップＳ５０で第２発振回路１４０に異常があったと判定された場合は、ステップＳ５２の処理が行われる。まず、切替回路Ｓ２を動作させてｂ点側に接点を切替える。これにより、第２発振回路１４０の出力が第３発振回路１５０からの出力に切り替得られる。そして、周波数比較器１６０による多数決判定条件から第２クロック信号ＣＫ２を除外する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
そして、ステップＳ５３で、車両を自走させて修理工場等へ移動することが可能である。
【００６２】
ステップＳ５１で第１発振回路１３０に異常があったと判定された場合は、ステップＳ５４の処理が行われる。まず、切替回路Ｓ１を動作させてｂ点側に接点を切替える。これにより、第１発振回路１３０の出力が第３発振回路１５０からの出力に切り替得られる。そして、周波数比較器１６０による多数決判定条件から第１クロック信号ＣＫ１を除外する。そして、マイクロコンピュータ２１０に通知し、マイクロコンピュータ２１０は故障警告灯で運転者に通知する。
そして、ステップＳ５３で、車両を自走させて修理工場等へ移動することが可能である。
【００６３】
第２の実施の形態によれば、以下のような作用効果がある。
（１）車載電子制御装置１００には、イグニションスイッチ４０が開路している場合でも、カウント動作をするタイマー９０を備えている場合がある。このようなタイマー９０には専用の発振回路１３０が用いられている。この発振回路１３０は、バッテリー２００から直接給電を受けているため、バッテリー２００に接続されている間は常に動作することが可能である。発振回路１３０のクロック信号ＣＫ１はマイクロコンピュータ２１０へ供給されるが、発振回路１３０に異常が発生した場合、マイクロコンピュータ２１０の機能まで喪失してしまう。そのため、この発振回路１３０と、主の発振回路１４０と、副の発振回路１５０のそれぞれのクロック信号ＣＫ１とＣＫ２とＣＫ３を比較し、多数決を取ることで、発振回路の異常診断を行うことが可能であり、さらに元来ある発振回路を利用しているので、回路面積、コストの増加は最小限に抑えられる。
【００６４】
（２）発振回路１３０、１４０、１５０のいずれかで異常が発生した場合、異常が発生している発振回路とそれに関連する機能の動作保証ができなくなる。例えば、発振回路１４０に異常が発生した場合、発振回路１４０が生成するクロック信号ＣＫ２を受けて動作するシリアル通信回路１９０の動作は保証できなくなる。その場合、シリアル通信回路１９０の接続先であるマイクロコンピュータ２１０との通信は不定となる。シリアル通信回路１９０を使って負荷駆動回路１１０と通信インターフェース回路１２０の制御情報をマイクロコンピュータ２１０と送受信している場合には、マイクロコンピュータ２１０が制御する負荷駆動回路１１０と通信インターフェース回路１２０の動作も不定となる。その場合、シリアル通信回路１９０と負荷駆動回路１１０と通信インターフェース回路１２０は、車載電子制御装置１００の外部にも接続されているため、車載電子制御装置１００内部で発生した異常が外部に伝搬してしまう可能性がある。
【００６５】
そこで、エラー制御部６０は、周波数比較器１６０から異常通知信号を受けると、異常のある発振回路を特定し、その異常の発生している発振回路に応じて、シリアル通信回路１９０と負荷駆動回路１１０と通信インターフェース回路１２０の、動作か停止かを個別に切り替える。
【００６６】
そのため、発振回路の一つに異常が発生した時には、エラー制御部６０が異常のある発振回路とそれに関連する機能を停止させることで、発振回路内で発生した異常を車載電子制御装置の外部に伝搬するのを防ぐことができる。
【００６７】
（３）発振回路１３０、１４０、１５０のいずれかに異常が発生した場合、発生した箇所によって車載電子制御装置１００の動作に与える影響度は異なる。発振回路１５０の主の役割は、発振回路１４０または発振回路１４０から分周して生成されたクロック信号が、所定の周波数範囲内にあるかを監視することである。つまり、発振回路１５０に異常が発生しても、発振回路１４０が正常に動作している限り、車載電子制御装置１００の動作に与える影響は軽微である。
【００６８】
また、例えば発振回路１３０で生成したクロック信号はタイマー９０に供給されるが、タイマー９０は車載電子制御装置１００の外部には影響を与えないため、発振回路１３０で異常が発生した場合でも、車載電子制御装置１００の動作に与える影響は軽微になる。
【００６９】
そのため、マイクロコンピュータ２１０は、故障警告灯を作動させて、車載電子制御装置１００に異常が発生していることを運転者に通知した上で、通常の車両制御を実行する。故障警告灯を確認した運転者は、車両を自走させて修理工場等へ移動することが可能になる。
【００７０】
このように、周波数監視を目的とした発振回路１５０が異常である場合、車載電子制御装置１００に与える影響は軽微であるため、運転者に異常が存在することを通知した上で、車両は通常の制御を実行することが可能である。
【００７１】
（４）車載電子制御装置１００の周波数比較器１６０のため、発振回路１４０に異常が発生しても、残りの２つの発振回路が正常に動作しているかを判断することが可能である。そのため、発振回路１４０に異常があり、他の発振回路が正常であった場合、発振回路１４０の監視用に備え付けている発振回路１５０が、発振回路１４０の機能を代用することで、発振回路１４０に関連する機能を動作させ続けることが可能になる。
【００７２】
具体的な手法としては、シリアル通信回路１９０の動作クロックは、発振回路１４０か１５０かを選択できるよう切替回路を備えておき、通常時は発振回路１４０を選択し、発振回路１４０に異常が発生した場合には、発振回路１５０を選択できる構成とする。これにより車載電子制御装置１００の機能の喪失を防ぐことが可能になる。
【００７３】
車載電子制御装置１００は、発振回路１４０には異常が発生していることを故障警告灯で運転手に通知した上で、自走することが可能になる。このように、監視目的では無い主機能に使われている発振回路に異常が発生した場合は、異常が発生していない残り２つの発振回路を、異常のある発振回路の代用にすることで、車載電子制御装置１００の機能を維持できる。
【００７４】
（変形例）
本発明は、以上説明した第１および第２の実施の形態を次のように変形して実施することができる。
（１）車載電子制御装置１００の電圧比較器５０、周波数比較器１６０、エラー制御部６０は図１、図４に示す回路構成で説明したが、同等の機能をマイクロコンピュータとソフトウェアにより実現しても良い。さらに、車載電子制御装置１００のその他の回路構成も、少なくともその機能の一部をマイクロコンピュータとソフトウェアにより実現するように構成しても良い。
【００７５】
本発明は、上記の実施の形態に限定されるものではなく、本発明の特徴を損なわない限り、本発明の技術思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。
【符号の説明】
【００７６】
１０  第１基準電圧源
２０  第２基準電圧源
３０  第３基準電圧源
４０  イグニションスイッチ
５０  電圧比較器
６０  エラー制御部
７０  第１レギュレータ
８０  第２レギュレータ
１００  車載電子制御装置
１１０  負荷駆動回路
１２０  通信インターフェース回路
１３０  第１発振回路
１４０  第２発振回路
１５０  第３発振回路
１６０  周波数比較器
１７０  外部負荷
１８０  外部電子制御装置
２００  バッテリー
２１０  マイクロコンピュータ
２２０  揮発性メモリ
ＢＡＴＴ  第１のバッテリーライン
ＶＢ  第２のバッテリーライン
Ｖ１  第１基準電圧
Ｖ２  第２基準電圧
Ｖ３  第３基準電圧
Ｖａ  第１の定電圧ライン
Ｖｃ  第２の定電圧ライン
【図１】
2015024677.tif 000003
【図２】
2015024677.tif 000004
【図３】
2015024677.tif 000005
【図４】
2015024677.tif 000006
【図５】
2015024677.tif 000007
【図６】
2015024677.tif 000008