(57)【要約】      （修正有）【課題】シリアル通信異常が発生した際にデバイスを強制停止させることにともなう制御対象の不安定化を抑制する。【解決手段】本発明に係る電子制御装置は、演算装置からデバイスドライバに対して指令を送信するシリアル通信部の通信異常を検出すると、各デバイスに対してそれぞれ異なる時間間隔を空けて、停止指令を出力する。【選択図】図２
2015147460.tif 000002
【特許請求の範囲】
【請求項１】
電気機器を制御する装置であって、
前記電気機器に対する指令を出力する演算装置、
前記電気機器を駆動する駆動回路、
前記演算装置が出力する前記指令にしたがって前記駆動回路を制御する制御回路、
前記演算装置から前記制御回路に対して前記指令をシリアル通信により送信するシリアル通信部、
を備え、
前記電気機器は、第１および第２電気機器を含み、
前記制御回路は、前記シリアル通信部の通信異常を検出すると、前記通信異常を検出してから第１時間経過後に前記通信異常が継続している場合は前記第１電気機器の動作を強制停止させる前記指令を出力し、前記通信異常を検出してから前記第１時間とは異なる第２時間経過後に前記通信異常が継続している場合は前記第２電気機器の動作を強制停止させる前記指令を出力する
ことを特徴とする電子制御装置。
【請求項２】
前記制御回路は、前記電気機器が前記指令にしたがって停止している間に前記通信異常が解消されたことを検出した場合は、その検出からさらに第３時間が経過するまで前記電気機器に対する前記指令を維持することにより前記電気機器を停止させたまま維持し、前記第３時間経過後に前記指令を解除することにより前記電気機器を稼働させる
ことを特徴とする請求項１記載の電子制御装置。
【請求項３】
前記演算装置は、前記第１、第２、および第３時間のうち少なくともいずれかを指定する指令を前記制御回路に対して前記シリアル通信部を介して送信し、
前記制御回路は、前記演算装置から指定された前記第１、第２、または第３時間を用いて前記電気機器を制御する
ことを特徴とする請求項２記載の電子制御装置。
【請求項４】
前記シリアル通信部は、シリアル信号線を介して前記演算装置と前記制御回路を接続しており、
前記演算装置は、前記駆動回路を制御するための指令と、前記第１、第２、および第３時間のうち少なくともいずれかを指定する指令とを、同一の前記シリアル信号線を介して送信する
ことを特徴とする請求項３記載の電子制御装置。
【請求項５】
前記演算装置は、前記駆動回路を制御するための指令と、前記第１、第２、および第３時間のうち少なくともいずれかを指定する指令とを、それぞれ異なる送信周期で定期的に送信し、
前記駆動回路を制御するための指令の送信周期は、前記第１、第２、および第３時間のうち少なくともいずれかを指定する指令の送信周期よりも短い
ことを特徴とする請求項３記載の電子制御装置。
【請求項６】
前記駆動回路は、前記第１および第２電気機器毎に個別に設けられるとともに、単一の前記制御回路内に統合されている
ことを特徴とする請求項１から５のいずれか１項記載の電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電気機器を制御する電子制御装置に関する。
【背景技術】
【０００２】
自動車の制御システムにおいては、デバイスを制御するＣＰＵ（中央演算装置）と、デバイスを実際に駆動させるデバイスドライバとの間で、シリアル通信が広範に用いられている。シリアル通信により通信のデジタル化が可能となり、アナログ通信と比較して通信線の本数を減らし、ＣＰＵやデバイスドライバのコストを低減するとともに、基板の設置面積を低減することによるコスト低減も期待できる。近年においては、シリアル通信の通信速度を高速化し、今まで通信速度が低いためシリアル通信を不採用としていたデバイスもシリアル通信を採用するようになってきた。
【０００３】
デバイスドライバにおいては、多数のデバイスドライバをＩＣ（集積回路）上に集約してより一層のコスト低減が図られている。近年においては、さらなるコスト低減の観点から、既存のＩＣ同士を統合化して集約するようになっている。
【０００４】
その一方で、デバイスドライバはデバイスと一体で開発されてきた経緯がある。そのため、デバイスドライバを集約化していく過程において、様々な機能をどのように集約し、コストとのバランスをとるかという課題が生じてきた。特に自動車は、不特定多数のユーザが様々な環境条件下で使用するため、フェイルセーフ設計が重要となっている。したがって、フェイルセーフ設計を集約化することも重要な課題の１つである。
【０００５】
例えば、シリアル通信線が異常となった場合について考える。シリアル通信においては少ない通信線に多くの情報が集約されるため、通信線１本に通信異常が生じた場合でも、アナログ通信のように残りの通信線によってバックアップすることができない。そのため内燃機関などの制御対象が停止し、安全性が低下するおそれがある。
【０００６】
下記特許文献１は、上記のような課題に鑑みて、エコーバックによるデータ照合により通信障害を防止している。その他、シリアル通信において用いる通信線の２重線化、通信内容の冗長化、などの対策も考えられる。
【０００７】
下記特許文献２においては、デバイスを駆動するＩＣはシリアル通信の異常を検出する手段を備えており、同手段が通信異常を所定時間にわたって検出した場合、デバイスを強制停止させるフェイルセーフを実施する。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−０６７７６１号公報
【特許文献２】特開２００１−３１２３１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上記特許文献２においては、自動車のブレーキ関連の制御を前提としてフェイルセーフ（デバイスの強制停止）を実施している。しかしブレーキ以外のデバイスにおいては、シリアル通信の異常が発生した場合、デバイスを直ちに強制停止することが必ずしも最適であるとは限らない。例えば、内燃機関の燃料噴射弁や点火コイルの通電を直ちに強制停止すると、燃料噴射量が要求量より少なくなる、点火時期が想定よりも早まる、などの状態が生じることが考えられる。その結果、ノッキングなどの予期しない不具合が発生するおそれがある。
【００１０】
本発明は、上記のような課題に鑑みてなされたものであり、シリアル通信異常が発生した際にデバイスを強制停止させることにともなう制御対象の不安定化を抑制することを目的とする。
【課題を解決するための手段】
【００１１】
本発明に係る電子制御装置は、演算装置からデバイスドライバに対して指令を送信するシリアル通信部の通信異常を検出すると、各デバイスに対してそれぞれ異なる時間間隔を空けて、停止指令を出力する。
【発明の効果】
【００１２】
本発明に係る電子制御装置によれば、シリアル通信異常時においてデバイス毎に停止タイミングを設定することにより、制御対象デバイスの動作が不安になるおそれを軽減することができる。
【図面の簡単な説明】
【００１３】
【図１】実施形態１に係るＥＣＵ１の構成図である。
【図２】シリアル通信線１３が断線した場合におけるチャンネル１（ｃｈ１）とチャンネル２（ｃｈ２）の制御動作を示すタイムチャートである。
【図３】シリアル通信線１３上でノイズが断続的に発生した場合におけるｃｈ１の制御動作を示すタイムチャートである。
【図４】ＥＣＵ１の動作を説明するフローチャートである。
【発明を実施するための形態】
【００１４】
＜実施の形態１＞
図１は、本発明の実施形態１に係るＥＣＵ（電子制御装置）１の構成図である。ＥＣＵ１は、１以上（本実施形態１においては３つ）のデバイス（電気機器）３をＯＮ／ＯＦＦ制御する装置である。デバイス３は、電源２から電力供給を受ける。
【００１５】
ＥＣＵ１は、ＣＰＵ（演算装置）１１とＩＣ（制御回路）１２を備える。ＣＰＵ１１はさらに、指令部１１１と送信部１１２を備える。指令部１１１は、ＩＣ１２に対する指令を生成し出力する。送信部１１２は、シリアル通信線１３を介してその指令をＩＣ１２に対して送信する。送信部１１２は、シリアル通信線１３を介して複数の指令を直列化して送信するので、個々のデータを識別できるようにするため、各データにデータ識別符号を付加した上で送信する。
【００１６】
ＩＣ１２は、受信部１４、デバイスドライバ（駆動回路）１５を備える。図１においては、デバイスドライバ１５はデバイス３毎に設けられているが、必ずしもこれに限られるものではなく単一のデバイスドライバ１５が複数のデバイス３を駆動するようにしてもよい。
【００１７】
受信部１４は、送信部１１２から受信したデータ内に含まれるデータ識別符号にしたがって、受信したデータをそれぞれ後述するＯＮ／ＯＦＦ指令レジスタ１５１、強制停止遅延時間レジスタ１５２、稼働許可遅延時間レジスタ１５３に振り分けて保存する。データ識別符号を認識できない場合はシリアル通信異常が発生したとみなし、エラー（Ｆｎｇ）レジスタ１５４をセットする。
【００１８】
デバイスドライバ１５は、ＣＰＵ１１が送信する指令にしたがってデバイス３をＯＮ／ＯＦＦ制御する回路であり、ＯＮ／ＯＦＦ指令レジスタ１５１、強制停止遅延時間レジスタ１５２、稼働許可遅延時間レジスタ１５３、タイマ１５５、稼働許可部１５６、スイッチ１５７を備える。
【００１９】
ＯＮ／ＯＦＦ指令レジスタ１５１は、デバイス３に対するＯＮ／ＯＦＦ指令（Ｆｓｗ［ｎ］）を格納する。強制停止遅延時間レジスタ１５２と稼働許可遅延時間レジスタ１５３は、それぞれ後述する強制停止遅延時間Ｔｓｔｏｐ［ｎ］と稼働許可遅延時間Ｔｓｔｏｐ２［ｎ］を格納する。添字ｎはチャネル番号であり、各チャネルはそれぞれ各デバイス３に対応する。
【００２０】
タイマ１５５は、エラーレジスタ１５４の立ち上がりエッジ（セットエッジ）または立ち下がりエッジ（クリアエッジ）からの経過時間を計測する。
【００２１】
稼働許可部１５６は、各レジスタが格納しているＯＮ／ＯＦＦ指令（Ｆｓｗ［ｎ］）、強制停止遅延時間（Ｔｓｔｏｐ［ｎ］）、稼働許可遅延時間（Ｔｓｔｏｐ２［ｎ］）、エラー（Ｆｎｇ）、およびタイマ１５５の計測値に基づいて、スイッチ１５７をＯＮ／ＯＦＦ制御する。スイッチ１５７がＯＮになるとデバイス３に対するＯＮ指令が送信され、ＯＦＦになるとＯＮ指令が遮断される（すなわちＯＦＦ指令が出力される）。これらの詳細動作については後述の図２〜図３を用いて改めて説明する。
【００２２】
図２は、シリアル通信線１３が断線した場合におけるチャンネル１（ｃｈ１）とチャンネル２（ｃｈ２）の制御動作を示すタイムチャートである。ｃｈ１はデバイス１に対する制御チャネルであり、ｃｈ２はデバイス２に対する制御チャネルである。ここでは時刻Ｔ２０１において断線が発生したものと仮定し、Ｔ２０１以降はエラー（Ｆｎｇ）レジスタ１５４がセットされている。
【００２３】
Ｔ２０１以前においては、ｃｈ１、ｃｈ２におけるデバイスＯＮ／ＯＦＦ指令Ｆｓｗ＿ｃｐｕ［１］、Ｆｓｗ＿ｃｐｕ［２］は、各チャネルにおけるＯＮ／ＯＦＦ指令レジスタ１５１に格納される。したがってＦｓｗ＿ｃｐｕとＦｓｗは一致している。Ｔ２０１以降においては、受信部１４はＣＰＵ１１が送信する指令をシリアル通信線１３経由で受信することができず、Ｆｓｗ［１］、Ｆｓｗ［２］はＴ２０１におけるＦｓｗ［１］ 、Ｆｓｗ［２］（ＯＮ状態）のままになっている。
【００２４】
稼働許可部１５６は、ｃｈ１については、Ｔ２０１から強制停止遅延時間（Ｔｓｔｏｐ［１］）が経過した時刻Ｔ２０２において、強制停止フラグ（Ｆｓｔｏｐ［１］）をセットする。スイッチ１５７はこれにともなってＯＦＦとなり、したがって出力［１］はＯＦＦとなる。ｃｈ２については、Ｔ２０１から強制停止遅延時間（Ｔｓｔｏｐ［２］）が経過した時刻Ｔ２０４において、強制停止フラグ（Ｆｓｔｏｐ［２］）をセットする。これにより出力［２］はＯＦＦとなる。
【００２５】
本実施形態１においては、複数のデバイスドライバ１５をＩＣ１２上に集約しているので、強制停止遅延時間をチャネル間で共通にすることも可能である。しかし本実施形態１においては、ｃｈ１の強制停止遅延時間Ｔｓｔｏｐ［１］とｃｈ２の強制停止遅延時間Ｔｓｔｏｐ［２］は互いに異なるようにした。この理由について以下に説明する。
【００２６】
ｃｈ１においてｃｈ２と同じ強制停止遅延時間を用いた場合、ＯＮ時間が長過ぎて部品の故障を招く場合がある。他方、ｃｈ２においてｃｈ１と同じ強制停止遅延時間を用いた場合、ＯＮ時間が短過ぎる場合がある。例えばｃｈ２のデバイス３が内燃機関の燃料噴射弁や点火コイルである場合、ＯＮ時間が短過ぎると、燃料噴射量が要求量より少なくなる、点火時期が想定よりも早まる、などの想定外の動作が発生する可能性がある。その結果、ノッキングが発生するおそれがある。本実施形態１においては以上のような不具合を抑制するため、強制停止遅延時間をチャンネル毎に設定できるようにしている。
【００２７】
シリアル通信線１３の断線と異なり、シリアル通信線１３上においてノイズが断続的に繰り返し発生する場合もある。ノイズは断線と異なり断続的に発生する場合があり、したがって通信異常と復帰が短期的に繰り返される可能性がある。このとき、通信異常が断続的に発生するので、従来のように通信異常にともなってデバイス３を強制停止させると、強制停止とその解除が繰り返されることになる。そうすると、上述のノッキングもこれにともなって断続的に繰り返し発生し、内燃機関が故障するおそれがある。またスイッチ１５７が過熱故障する可能性も考えられる。以下ではこのようなシリアル通信線１３上における断続的ノイズの影響を抑制する制御動作について説明する。
【００２８】
図３は、シリアル通信線１３上でノイズが断続的に発生した場合におけるｃｈ１の制御動作を示すタイムチャートである。図３に示す例では、Ｔ３００〜Ｔ３０２の期間とＴ３０３〜Ｔ３０４の期間において通信異常が発生し、Ｆｎｇがセットされている。図２と同様に、エラー（Ｆｎｇ）レジスタ１５４がセットされている期間は、受信部１４はＣＰＵ１１が送信する指令を受信することができず、レジスタＦｓｗ［１］はＴ３００〜Ｔ３０２とＴ３０３〜Ｔ３０４それぞれの期間において同じ状態（ＯＮ状態）のままとなっている。
【００２９】
稼働許可部１５６は、エラー（Ｆｎｇ）レジスタ１５４が異常から復帰したＴ３０２から稼働許可遅延時間（Ｔｓｔｏｐ２［１］）が経過したＴ３０５までは、強制停止フラグ２（Ｆｓｔｏｐ２）をセットしておく。これにより、Ｆｎｇが復帰してもＴ３０５まではデバイス３は強制停止することになるので、強制停止とその解除が繰り返されることをＴ３０５までの期間において防ぐことができる。なお各チャネルの稼働許可遅延時間Ｔｓｔｏｐ２の値はノイズ発生頻度などの特性に応じて定めるので、各チャネルの強制停止遅延時間Ｔｓｔｏｐと同一でもよいし異なってもよい。
【００３０】
図４は、ＥＣＵ１の動作を説明するフローチャートである。以下、図４の各ステップについて説明する。
【００３１】
（図４：ステップＳ１００〜Ｓ１０１）
指令部１１１は、１０ｍｓ周期毎に停止遅延時間の指令値Ｔｓｔｏｐ＿ｃｐｕと稼働許可遅延時間の指令値Ｔｓｔｏｐ２＿ｃｐｕを出力する。送信部１１２は、これら指令値をＩＣ１２へ送信する。複数のチャネルについてそれぞれ値を指定する場合は、チャネル毎の指令値を送信する。
【００３２】
（図４：ステップＳ１０２）
受信部１４は、送信部１１２が付与したデータ識別符号がＩＣ１２のレジスタ内に登録されているパターンと合致するか否かを確認する。受信したデータのうちデータ識別符号があらかじめ登録されているパターンと合致しないものが１つでもあれば通信異常とみなす。通信異常が発生していると判断する場合はステップＳ１０４に進み、正常であればステップＳ１０３へ進む。
【００３３】
（図４：ステップＳ１０３）
受信部１４は、エラー（Ｆｎｇ）レジスタ１５４をクリア（０を代入）し、強制停止遅延時間レジスタ１５２に指令値Ｔｓｔｏｐ＿ｃｐｕを格納し、稼働許可遅延時間レジスタ１５３に指令値Ｔｓｔｏｐ２＿ｃｐｕを格納する。
【００３４】
（図４：ステップＳ１０４）
受信部１４は、エラー（Ｆｎｇ）レジスタ１５４をセット（１を格納）する。強制停止遅延時間レジスタ１５２と稼働許可遅延時間レジスタ１５３については、通信異常によって正常に更新されないおそれがあるため、本ステップでは更新しない。
【００３５】
（図４：ステップＳ１０５〜Ｓ１０６）
指令部１１１は、１μｓ周期毎にデバイス３に対するＯＮ／ＯＦＦ指令値Ｆｓｗ＿ｃｐｕを出力する。送信部１１２は、指令値をＩＣ１２へ送信する。複数のチャネルについてそれぞれ値を指定する場合は、チャネル毎の指令値を送信する。
【００３６】
（図４：ステップＳ１０５〜Ｓ１０６：補足）
Ｔｓｔｏｐ＿ｃｐｕとＴｓｔｏｐ２＿ｃｐｕは、フェイルセーフ制御用の指令値であり頻繁に用いるものではないため、比較的長い送信間隔で送信している。これに対しＦｓｗ＿ｃｐｕは、デバイス３を制御するために直接用いる指令値であるため、制御精度を確保する観点からできる限り短い間隔で送信することが望ましい。Ｔｓｔｏｐ＿ｃｐｕとＴｓｔｏｐ２＿ｃｐｕの送信間隔は長いので、通常の制御処理を妨げることなくこれらを適宜更新することができる。例えば各レジスタが何らかの原因でクリアされた場合などにおいて、本ステップにより改めて遅延時間をセットすることができる。
【００３７】
（図４：ステップＳ１０７〜Ｓ１０９）
受信部１４は、ステップＳ１０２と同様に通信異常の有無を判定する（Ｓ１０７）。受信部１４は、通信が正常であればエラーレジスタ１５４をクリアして指令値Ｆｓｗ＿ｃｐｕをＯＮ／ＯＦＦ指令レジスタ１５１に格納する（Ｓ１０８）。受信部１４は、通信異常であればエラー（Ｆｎｇ）レジスタ１５４をセット（１を格納）し、ＯＮ／ＯＦＦ指令レジスタ１５１は更新しない（Ｓ１０９）。
【００３８】
（図４：ステップＳ１００〜Ｓ１０９：補足）
各遅延時間の指令値をＣＰＵ１１からＩＣ１２へ送信することにより、ＩＣ１２はこれら遅延時間をあらかじめ記憶しておく必要がなくなる。したがって、ＩＣ１２の汎用性を高めることができる。自動車の運転条件や環境条件に応じてこれら遅延時間を調整する場合は、例えばＣＰＵ１１が実行するプログラムを書き換えることにより対処することができる。すなわち、ＩＣ１２内部のレジスタなどにこれら遅延時間を固定的に記憶させた状態でＩＣ１２を出荷する必要がなくなるので、ＩＣ１２は汎用的な運転条件や環境条件に対応することができる。
【００３９】
（図４：ステップＳ１１０）
稼働許可部１５６は、チャネルごとに以下のステップＳ１１１〜Ｓ１２３を実施する。フローチャート内のｎはチャネル番号を示す。
【００４０】
（図４：ステップＳ１１１）
稼働許可部１５６は、強制停止フラグ２（Ｆｓｔｏｐ２［ｎ］）がセットされているか否かをチェックする。セットされている場合はステップＳ１１２に進み、クリアされている場合はステップＳ１１４に進む。
【００４１】
（図４：ステップＳ１１２）
稼働許可部１５６は、タイマ［ｎ］１５５のカウント値をチェックする。カウント値が稼働許可遅延時間（Ｔｓｔｏｐ２［ｎ］）より大きければステップＳ１１３へ進み、そうでなければステップＳ１２１に進む。本ステップは、図３の稼働許可遅延時間Ｔｓｔｏｐ２が経過したか否かをチェックするためのものである。
【００４２】
（図４：ステップＳ１１３）
稼働許可部１５６は、タイマ［ｎ］１５５を初期化し、強制停止フラグ２（Ｆｓｔｏｐ２［ｎ］）をクリアする。本ステップは、図３のＴ３０５における処理に相当する。
【００４３】
（図４：ステップＳ１１４）
稼働許可部１５６は、エラー（Ｆｎｇ）レジスタ１５４をチェックする。同レジスタがクリアされていればステップＳ１１５に進み、そうでなければステップＳ１１７に進む。
【００４４】
（図４：ステップＳ１１５）
稼働許可部１５６は、エラー（Ｆｎｇ）レジスタ１５４の前回値Ｆｎｇ＿ｏｌｄがセットされているか否かをチェックする。セットされている場合はステップＳ１１６に進み、セットされていない場合はステップＳ１２１に進む。Ｆｎｇ＝０かつＦｎｇ＿ｏｌｄ＝１である場合は、Ｆｎｇが１から０に変化した、すなわち通信異常から復帰したことを示している。Ｆｎｇ＝０かつＦｎｇ＿ｏｌｄ＝０である場合は、通信が正常である状態が継続していることを示している。
【００４５】
（図４：ステップＳ１１６）
稼働許可部１５６は、タイマ［ｎ］１５５を初期化し、強制停止フラグ２（Ｆｓｔｏｐ２［ｎ］）をセットし、強制停止フラグ（Ｆｓｔｏｐ［ｎ］）をクリアする。本ステップは、図３のＴ３０２における処理に相当する。
【００４６】
（図４：ステップＳ１１７）
稼働許可部１５６は、エラー（Ｆｎｇ）レジスタ１５４の前回値Ｆｎｇ＿ｏｌｄがクリアされているか否かをチェックする。クリアされている場合はステップＳ１１８に進み、クリアされていない場合はステップＳ１１９に進む。Ｆｎｇ＝１かつＦｎｇ＿ｏｌｄ＝０である場合は、Ｆｎｇが０から１に変化した、すなわち通信異常が発生したことを示している。Ｆｎｇ＝１かつＦｎｇ＿ｏｌｄ＝１である場合は、通信異常が継続している状態を示している。
【００４７】
（図４：ステップＳ１１８）
稼働許可部１５６は、タイマ［ｎ］１５５を初期化する。本ステップは、図２のＴ２０１または図３のＴ３００における処理に相当する。
【００４８】
（図４：ステップＳ１１９）
稼働許可部１５６は、タイマ［ｎ］のカウント値をチェックする。カウント値がＴｓｔｏｐ［ｎ］より大きければステップＳ１２０に進み、そうでなければステップＳ１２１に進む。本ステップは、図２の強制停止遅延時間Ｔｓｔｏｐが経過したか否かをチェックするためのものである。
【００４９】
（図４：ステップＳ１２０）
稼働許可部１５６は、強制停止フラグ（Ｆｓｔｏｐ［ｎ］）をセットする。本ステップは、図２のＴ２０４における処理に相当する。
【００５０】
（図４：ステップＳ１２１）
稼働許可部１５６は、強制停止フラグ（Ｆｓｔｏｐ［ｎ］）がクリア、かつ強制停止フラグ２（Ｆｓｔｏｐ２［ｎ］）がクリア、かつＯＮ／ＯＦＦ指令（Ｆｓｗ［ｎ］）がセットされているか否かをチェックする。上記条件に該当する場合はステップＳ１２２に進み、そうでなければステップＳ１２３に進む。ＣＰＵ１１からＯＮ指令が出されていてもいずれかの強制停止フラグがセットされていればデバイス３に対してはＯＦＦ指令を出力することになるので、本ステップでこれらをチェックしている。
【００５１】
（図４：ステップＳ１２２〜Ｓ１２３）
稼働許可部１５６は、ＯＮ指令が出され強制指令フラグがセットされていなければスイッチ１５７をＯＮし（Ｓ１２２）、それ以外であればスイッチ１５７をＯＦＦする（Ｓ１２３）。
【００５２】
＜実施の形態１：まとめ＞
以上のように、本実施形態１に係るＥＣＵ１は、通信異常が発生してからデバイス３を強制停止するまでの時間をデバイス３毎に設定する。これにより、各デバイス３にとって最適なタイミングで強制停止させることができる。例えば、ブレーキ関連デバイスは異常発生からマイクロ秒オーダの時間が経過した後に強制停止させ、燃料噴射弁や点火コイルは内燃機関のシリンダ毎にノッキングを防止可能な時間（例えばミリ秒オーダ）が経過した後に強制停止させることができる。従来であれば、ブレーキ関連のデバイスドライバや内燃機関関連のデバイスドライバは１つのＩＣ上に統合することができなかったが、本実施形態１に係るＥＣＵ１は、これらデバイスドライバ１５を１つのＩＣ１２上へ統合することができる。
【００５３】
また本実施形態１に係るＥＣＵ１は、通信異常を検出してデバイス３を強制停止させた後に通信異常から復帰しても、稼働許可遅延時間Ｔｓｔｏｐ２が経過するまでは強制停止状態を維持する。これにより、通信異常が断続的に発生して強制停止とその解除が繰り返されることを抑制できる。したがって、前述したノッキング、スイッチング部の過熱による故障、制御対象が不安定化すること、などの不具合を抑制することができる。
【００５４】
＜実施の形態２＞
実施形態１においては、デバイス３として、燃料噴射弁、点火コイル、ブレーキ関連デバイスを例示した。デバイス３の例はこれらに限られるものではなく、例えば以下のようなＣＰＵ１１が制御する内燃機関用デバイスなど、電気的に駆動制御される様々な機器を制御対象とすることができる。
【００５５】
・可変吸気・排気バルブ制御弁（吸気・排気バルブタイミング制御弁、吸気・排気バルブリフト量制御弁）
・可変吸気弁（スワール流生成弁、タンブル流生成弁）
・圧力・流量の調整弁（燃料、吸気、排気ガス、蒸発燃料）
・電動ポンプ（冷却水用・オイル用・負圧生成用・燃料供給用）
・スタータモータ
・ヒータ（センサの活性化用）
【符号の説明】
【００５６】
１：ＥＣＵ、１１：ＣＰＵ、１１１：指令部、１１２：送信部、１２：ＩＣ、１３：シリアル通信線、１４：受信部、１５：デバイスドライバ、１５１：ＯＮ／ＯＦＦ指令レジスタ、１５２：強制停止遅延時間レジスタ、１５３：稼働許可遅延時間レジスタ、１５４：エラーレジスタ、１５５：タイマ、１５６：稼働許可部、１５７：スイッチ、２：電源、３：デバイス。
【図１】
2015147460.tif 000003
【図２】
2015147460.tif 000004
【図３】
2015147460.tif 000005
【図４】
2015147460.tif 000006