(57)【特許請求の範囲】
【請求項１】
マイクロコンピュータ（１０）と、
前記マイクロコンピュータの状態を監視する監視部（２０）と、
前記マイクロコンピュータと外部装置（２００）との間でバス配線（３００）を介して通信を行うための通信部（３０）と、を有し、
前記監視部は前記マイクロコンピュータの異常を検知すると、前記マイクロコンピュータの前記外部装置との通信を止めさせるとともに、前記マイクロコンピュータに異常が生じたことを示すエラー信号を、前記通信部を介して前記外部装置に出力し、
前記マイクロコンピュータと前記通信部とを接続する通信配線（１１）、および、前記監視部と前記通信部とを接続するエラー配線（２１）それぞれの前記通信部側の端部が互いに結線され、その結線された部位から延びた共通配線（５３）が前記通信部に接続されており、
前記通信配線には前記エラー配線の信号が前記マイクロコンピュータに入力することを防止する第１逆流防止素子（５１）が設けられ、
前記エラー配線には前記通信配線の信号が前記監視部に入力することを防止する第２逆流防止素子（５２）が設けられていることを特徴とする電子制御装置。
【請求項２】
前記マイクロコンピュータと前記通信部とを接続するための通信配線（１１）に設けられたスイッチ（４０）を有し、
前記監視部は前記マイクロコンピュータの異常を検知すると、前記スイッチを非駆動状態にして前記マイクロコンピュータと前記通信部との電気的な接続を遮断することを特徴とする請求項１に記載の電子制御装置。
【請求項３】
前記外部装置は複数の制御装置（２００）であって、前記エラー信号を受信すると前記マイクロコンピュータとの通信を止めることを特徴とする請求項１または請求項２に記載の電子制御装置。
【請求項４】
マイクロコンピュータ（１０）と、
前記マイクロコンピュータの状態を監視する監視部（２０）と、
前記マイクロコンピュータと外部装置（２００）との間でバス配線（３００）を介して通信を行うための通信部（３０）と、を有し、
前記監視部は前記マイクロコンピュータの異常を検知すると、前記マイクロコンピュータの前記外部装置との通信を止めさせるとともに、前記マイクロコンピュータに異常が生じたことを示すエラー信号を、前記通信部を介して前記外部装置に出力し、
前記外部装置は複数の制御装置（２００）であって、前記エラー信号を受信すると前記マイクロコンピュータとの通信を止め、
前記マイクロコンピュータと前記監視部とは双方向に信号を送受信可能となっており、
前記マイクロコンピュータは、前記監視部を介して前記通信部にチェック信号を出力し、前記バス配線から返ってきた前記チェック信号が送信した前記チェック信号と異なる場合、前記監視部、前記通信部、および、前記監視部と前記通信部とを電気的に接続するためのエラー配線（２１）の少なくとも１つに異常が生じていると判定し、前記外部装置との通信を止めることを特徴とする電子制御装置。
【請求項５】
前記マイクロコンピュータと前記通信部とを接続する通信配線（１１）、および、前記監視部と前記通信部とを接続するエラー配線（２１）それぞれの前記通信部側の端部が互いに結線され、その結線された部位から延びた共通配線（５３）が前記通信部に接続されており、
前記通信配線には前記エラー配線の信号が前記マイクロコンピュータに入力することを防止する第１逆流防止素子（５１）が設けられ、
前記エラー配線には前記通信配線の信号が前記監視部に入力することを防止する第２逆流防止素子（５２）が設けられていることを特徴とする請求項４に記載の電子制御装置。
【請求項６】
前記通信配線（１１）に設けられたスイッチ（４０）を有し、
前記スイッチ、前記第１逆流防止素子、および、前記第２逆流防止素子それぞれは前記監視部に含まれることを特徴とする請求項１〜３のいずれか１項または請求項５に記載の電子制御装置。
【請求項７】
前記マイクロコンピュータと前記通信部とを接続するための通信配線（１１）に設けられたスイッチ（４０）を有し、
前記監視部は前記マイクロコンピュータの異常を検知すると、前記スイッチを非駆動状態にして前記マイクロコンピュータと前記通信部との電気的な接続を遮断することを特徴とする請求項４に記載の電子制御装置。
【請求項８】
複数の入力信号の内の１つを選択し、その選択した１つの前記入力信号を出力する選択部（６０）を有し、
前記選択部の入力端子に、前記マイクロコンピュータに接続された前記通信配線、および、前記監視部に接続されたエラー配線（２１）それぞれの端部が接続され、自身の出力端子が前記通信部に接続されており、
前記選択部は、前記スイッチが駆動状態の場合に前記通信配線の信号を出力し、前記スイッチが非駆動状態の場合に前記エラー配線の信号を出力することを特徴とする請求項７に記載の電子制御装置。
【請求項９】
前記スイッチおよび前記選択部それぞれは前記監視部に含まれることを特徴とする請求項８に記載の電子制御装置。
【請求項１０】
前記通信部は前記監視部に含まれることを特徴とする請求項９に記載の電子制御装置。
【請求項１１】
前記通信配線（１１）に設けられたスイッチ（４０）を有し、
前記スイッチ、前記第１逆流防止素子、および、前記第２逆流防止素子それぞれは前記監視部に含まれることを特徴とする請求項３に記載の電子制御装置。
【請求項１２】
前記通信部は前記監視部に含まれることを特徴とする請求項１１に記載の電子制御装置。
【請求項１３】
複数の前記制御装置それぞれは、前記エラー信号の受信時間が第１所定時間を下回る場合に前記マイクロコンピュータとの通信を行う第１通信状態、前記エラー信号の受信時間が前記第１所定時間を上回った場合に前記マイクロコンピュータとの通信を止めて複数の前記制御装置の間だけで通信を行う第２通信状態となり、
前記監視部は前記マイクロコンピュータの異常を検知すると、前記エラー信号を前記第１所定時間、前記通信部を介して前記外部装置に出力することを特徴とする請求項３〜５、７〜１２のいずれか１項に記載の電子制御装置。
【請求項１４】
複数の前記制御装置それぞれは、前記マイクロコンピュータからの信号の途絶が前記第１所定時間よりも長い第２所定時間を上回った場合、前記第２通信状態になることを特徴とする請求項１３に記載の電子制御装置。
【請求項１５】
前記監視部は前記マイクロコンピュータの異常を検知すると、前記マイクロコンピュータにリセット信号を出力して前記マイクロコンピュータに起動処理を行わせることを特徴とする請求項１〜１４のいずれか１項に記載の電子制御装置。
【請求項１６】
前記マイクロコンピュータと前記監視部とは双方向に信号を送受信可能となっており、
前記マイクロコンピュータは、前記監視部を介して前記通信部にチェック信号を出力し、前記バス配線から返ってきた前記チェック信号が送信した前記チェック信号と異なる場合、前記監視部、前記通信部、および、前記監視部と前記通信部とを電気的に接続するためのエラー配線（２１）の少なくとも１つに異常が生じていると判定し、前記外部装置との通信を止めることを特徴とする請求項３に記載の電子制御装置。
【請求項１７】
マイクロコンピュータ（１０）と、
前記マイクロコンピュータの状態を監視する監視部（２０）と、
前記マイクロコンピュータと外部装置（２００）との間でバス配線（３００）を介して通信を行うための通信部（３０）と、を有し、
前記監視部は前記マイクロコンピュータの異常を検知すると、前記マイクロコンピュータの前記外部装置との通信を止めさせるとともに、前記マイクロコンピュータに異常が生じたことを示すエラー信号を、前記通信部を介して前記外部装置に出力し、
前記マイクロコンピュータと前記通信部とを接続する通信配線（１１）、および、前記監視部と前記通信部とを接続するエラー配線（２１）それぞれの前記通信部側の端部が互いに結線され、その結線された部位から延びた共通配線（５３）が前記通信部に接続されていることを特徴とする電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部装置と通信を行う電子制御装置に関するものである。
【背景技術】
【０００２】
特許文献１に示されるように、自動車の内燃機関の駆動シーケンスを制御するための制御装置が知られている。制御装置は機能計算機を有しており、この機能計算機は接続ユニットを介してＣＡＮバスシステムと接続され、その機能が監視モジュールによって監視されている。機能計算機にエラーが生じると監視モジュールはエラー信号を生成し、接続ユニットのリセットへ出力する。これにより接続ユニットが非能動化され、故障した機能計算機による外部の制御装置への情報の送信が阻止される。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第５０２１１６３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上記したように特許文献１に示される制御装置では、故障した機能計算機によるＣＡＮバスシステムを介した情報の送信を阻止するべく接続ユニットが非能動化されている。したがって機能計算機にエラーが生じたことを示すエラー信号を、ＣＡＮバスシステムを介して外部の制御装置に送信することができなかった。
【０００５】
そこで本発明は上記問題点に鑑み、異常状態の機能計算機（マイクロコンピュータ）と外部の制御装置（外部装置）との通信を止めさせつつ、マイクロコンピュータの異常を外部装置に通知可能な電子制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記した目的を達成するための第１発明は、マイクロコンピュータ（１０）と、
マイクロコンピュータの状態を監視する監視部（２０）と、
マイクロコンピュータと外部装置（２００）との間でバス配線（３００）を介して通信
を行うための通信部（３０）と、を有し、
監視部はマイクロコンピュータの異常を検知すると、マイクロコンピュータの外部装置
との通信を止めさせるとともに、マイクロコンピュータに異常が生じたことを示すエラー
信号を、通信部を介して外部装置に出力し、
マイクロコンピュータと通信部とを接続する通信配線（１１）、および、監視部と通信部とを接続するエラー配線（２１）それぞれの通信部側の端部が互いに結線され、その結線された部位から延びた共通配線（５３）が通信部に接続されており、
通信配線にはエラー配線の信号がマイクロコンピュータに入力することを防止する第１逆流防止素子（５１）が設けられ、
エラー配線には通信配線の信号が監視部に入力することを防止する第２逆流防止素子（５２）が設けられていることを特徴とする。
【０００７】
これによれば異常状態のマイクロコンピュータ（１０）と外部装置との通信が止められ、マイクロコンピュータ（１０）の異常がバス配線（３００）へのエラー信号の送信によって外部装置（２００）に通知される。したがって通信部を非駆動状態にしてマイクロコンピュータからの信号の途絶によって外部装置にマイクロコンピュータの異常を判定させる構成とは異なり、外部装置（２００）にてマイクロコンピュータ（１０）の異常を早く検出させることができる。さらに例示すれば、バス配線とは別にエラー信号を外部装置に出力するための信号線が電子制御装置と外部装置との間に設けられる構成とは異なり、このような信号線は不要なので、コストの増大が抑制される。
【０００８】
なお上記したようにマイクロコンピュータ（１０）の外部装置（２００）との通信を止めさせる具体的な構成としては、第２発明のように、マイクロコンピュータと通信部とを接続するための通信配線（１１）に設けられたスイッチ（４０）を有し、監視部はマイクロコンピュータの異常を検知すると、スイッチを非駆動状態にしてマイクロコンピュータと通信部との電気的な接続を遮断する構成を採用することができる。このように上記発明ではマイクロコンピュータ（１０）の外部装置（２００）との通信を止めさせる部材としてスイッチ（４０）を採用している。したがってこの部材として上記の信号線を採用した構成とは異なり、外部装置（２００）の数に応じて部材の数が増大しない。そのためにコストの増大が抑制される。
【０００９】
なお、特許請求の範囲に記載の請求項、および、課題を解決するための手段それぞれに記載の要素に括弧付きで符号をつけている。この括弧付きの符号は実施形態に記載の各構成要素との対応関係を簡易的に示すためのものであり、実施形態に記載の要素そのものを必ずしも示しているわけではない。括弧付きの符号の記載は、いたずらに特許請求の範囲を狭めるものではない。
【図面の簡単な説明】
【００１０】
【図１】第１実施形態に係る電子制御装置の概略構成を示すブロック図である。
【図２】電子制御装置の信号を示すタイミングチャートである。
【図３】比較構成を説明するための概念図である。
【図４】電子制御装置の変形例を示すブロック図である。
【図５】電子制御装置の変形例を示すブロック図である。
【図６】電子制御装置の変形例を示すブロック図である。
【図７】電子制御装置の変形例を示すブロック図である。
【発明を実施するための形態】
【００１１】
以下、本発明をハイブリッド自動車の電子制御装置（ＥＣＵ）に適用した場合の実施形態を図に基づいて説明する。
（第１実施形態）
図１〜図３に基づいて本実施形態に係る電子制御装置を説明する。なお図１では電子制御装置１００の他に制御装置２００とバス配線３００を図示している。
【００１２】
図１に示すように電子制御装置１００はバス配線３００を介して複数の制御装置２００それぞれと信号を送受信可能となっている。電子制御装置１００と複数の制御装置２００それぞれはハイブリッド自動車の制御系統を成す構成要素であって、例えばエンジンＥＣＵ、ブレーキＥＣＵ、バッテリーＥＣＵ、モータＥＣＵ、および、ハイブリッドＥＣＵなどである。これらは上記したようにバス配線３００を介して信号を送受信可能となっているが、通信プロトコルとしてはＣＡＮ通信を採用している。したがってバス配線３００に複数の信号が存在する場合、その信号の内の最も優先度の高い信号を発した装置が送信側になり、他の装置が受信側となる。複数の制御装置２００によって特許請求の範囲に記載の外部装置が構成されている。
【００１３】
電子制御装置１００はマイクロコンピュータ１０（以下、マイコン１０と示す）、監視部２０、通信部３０、スイッチ４０、および、逆流防止素子５１，５２を有する。図１に白抜き双方向矢印で示すようにマイコン１０と監視部２０とは内部通信によって互いに信号を送受信可能となっており、監視部２０とマイコン１０とはリセット配線２２を介して電気的に接続されている。そしてマイコン１０の出力端子には通信配線１１が接続され、監視部２０の出力端子にはエラー配線２１が接続されている。そしてこれら２つの配線１１，２１それぞれの通信部３０側の端部が互いに結線され、その結線された部位から通信部３０の入力端子へと共通配線５３が延びている。また上記した通信配線１１にはスイッチ４０と第１逆流防止素子５１それぞれが設けられ、エラー配線２１には第２逆流防止素子５２が設けられている。そして通信部３０の入出力端子が入出力配線３１を介してバス配線３００と電気的に接続され、その出力端子とマイコン１０の入力端子とが受信配線３２を介して電気的に接続されている。
【００１４】
以上の電気的な接続構成により、マイコン１０は通信配線１１、スイッチ４０、第１逆流防止素子５１、および、共通配線５３を介して通信部３０へ信号を送信可能となっている。そしてマイコン１０は受信配線３２を介して通信部３０から入力されるバス配線３００の信号を受信可能となっている。また監視部２０はエラー配線２１、第２逆流防止素子５２、および、共通配線５３を介して通信部３０へ信号を送信可能となっている。そして監視部２０はリセット配線２２を介してマイコン１０へ信号を送信可能となっており、内部通信によってマイコン１０と信号を送受信可能となっている。なお、内部通信はＳＰＩ（Ｓｅｒｉａｌ  Ｐｅｒｉｐｈｅｒａｌ  Ｉｎｔｅｒｆａｃｅ）を介して行われる。
【００１５】
マイコン１０は複数の制御装置２００との通信に基づいて互いに協調しながらアクチュエータ（図示略）を制御するものである。マイコン１０は動作モードとして、消費電力の抑えられた低消費モード、上記した通信や制御を行う通常動作モード、低消費モード若しくは停止状態から通常動作モードへと移行するための起動処理を行う初期化モードを有する。図２に示すように車両のイグニッションスイッチ（ＩＧスイッチ）がオン状態になると電子制御装置１００は初期化シーケンスを行うが、この際にマイコン１０は停止状態から初期化モードに移行する。この初期化モードにおいてマイコン１０は、監視部２０、エラー配線２１、共通配線５３、通信部３０、および、入出力配線３１を介してバス配線３００にチェック信号を出力する。このチェック信号は制御装置２００と応答処理するための信号ではなく、マイコン１０の監視状態および通信状態の信頼性が確保されているか否かをチェックするための信号である。したがってバス配線３００に出力したチェック信号そのものが入出力配線３１を介して通信部３０に入力され、受信配線３２を介して通信部３０からマイコン１０にチェック信号が送信される。マイコン１０は受信したチェック信号が送信したチェック信号と同一か否かを判定する。同一の場合、上記したチェック信号の通った監視部２０、エラー配線２１、第２逆流防止素子５２、共通配線５３、通信部３０、入出力配線３１、および、受信配線３２それぞれが正常であるとマイコン１０は判定する。これとは異なり同一ではない場合、上記のいずれか１つに異常があるとマイコン１０は判定する。この場合、マイコン１０は監視状態および通信状態の信頼性が確保されていないと判定し、制御装置２００との通信を止める。またマイコン１０は初期化モードから通常動作モードに移行すると監視信号を生成し、この監視信号を監視部２０へ出力する。本実施形態に係る監視信号は、監視部２０から送られる種々の簡易的な質問信号に対する応答信号である。
【００１６】
監視部２０は上記した質問信号をマイコン１０に出力し、マイコン１０から返答される監視信号に基づいてマイコン１０の状態を監視するものである。監視部２０は上記した質問信号に対する正しい監視信号の返答がなされたか否かを判定する。監視部２０は正しい監視信号の返答がなされた場合、マイコン１０は正常であると判定して監視を継続する。これとは異なり誤った監視信号の返答がなされた場合、監視部２０はマイコン１０が異常であると判定する。マイコン１０の異常を検知すると、監視部２０はマイコン１０の制御装置２００との通信を止めさせるとともに、エラー信号を通信部３０を介して制御装置２００に出力する。また監視部２０は上記のチェック信号を受信すると、そのチェック信号そのものを通信部３０へと出力する。
【００１７】
監視部２０は制御装置２００との通信を止めさせるため、図２に示すようにリセット信号をマイコン１０に出力する。こうすることでマイコン１０を異常状態から強制的に初期化モードに移行させて、起動処理を行わせる。また監視部２０はスイッチ４０を非駆動状態（オフ状態）にして、マイコン１０と通信部３０との電気的な接続を遮断する。こうすることでマイコン１０の制御装置２００との通信を止める。また監視部２０は通信部３０を介してエラー信号を制御装置２００に出力する。後で詳説するが、複数の制御装置２００それぞれはエラー信号を受信すると第２通信状態になり、電子制御装置１００との通信を止めて、複数の制御装置２００間のみで通信を行う。
【００１８】
通信部３０はＣＡＮトランシーバであり、マイコン１０とバス配線３００との間で信号を送受信するものである。上記したように通信部３０にはマイコン１０の信号の他に、監視部２０から出力されたエラー信号も入力される。通信部３０はこのエラー信号をバス配線３００に送信することで、上記のように複数の制御装置２００それぞれを第２通信状態にする。
【００１９】
スイッチ４０はマイコン１０と通信部３０との電気的な接続を制御するものである。このスイッチ４０の駆動状態は監視部２０によって制御されている。マイコン１０が低消費モード、初期化モード、若しくは、異常状態の場合、スイッチ４０は監視部２０によって非駆動状態にされる。これによりマイコン１０の信号がスイッチ４０を介してバス配線３００に送信されることが防止される。これとは異なりマイコン１０が通常動作モードの場合、スイッチ４０は監視部２０によって駆動状態とされる。これによりマイコン１０の信号がスイッチ４０を介してバス配線３００に送信されることが可能となる。
【００２０】
第１逆流防止素子５１はエラー配線２１の信号（エラー信号）がマイコン１０に入力することを防止するものであり、第２逆流防止素子５２は通信配線１１の信号（マイコン１０から送信された信号）が監視部２０に入力することを防止するものである。本実施形態において逆流防止素子５１，５２それぞれはダイオードであり、第１逆流防止素子５１のアノード電極がスイッチ４０を介してマイコン１０に接続され、そのカソード電極が共通配線５３を介して通信部３０に接続されている。また第２逆流防止素子５２のアノード電極が監視部２０に接続され、そのカソード電極が共通配線５３を介して通信部３０に接続されている。
【００２１】
次に、電子制御装置１００と複数の制御装置２００の通信状態について説明する。上記したように電子制御装置１００と複数の制御装置２００それぞれはハイブリッド自動車の制御系統を成す構成要素であって、同一の通信規則に従って信号を送受信する。電子制御装置１００と複数の制御装置２００とは上記のエラー信号を相互に出力し、そのエラー信号の受信時間（エラーカウント値）に応じて通信状態が変化する。
【００２２】
本実施形態ではバス配線３００の通信速度が５００ｋｂｐｓとなっており、２μｓｅｃに１ｂｉｔの信号を送信する。そして上記のエラー信号として本実施形態では１２μｓｅｃのエラーフレームが１２μｓｅｃ間隔で１６回出力される。したがってエラー信号の受信に係る時間は３７２μｓｅｃとなる。
【００２３】
電子制御装置１００と複数の制御装置２００は上記のエラーフレームをカウントするエラーカウンタを有しており、１つのエラーフレームを検出する度にエラーカウント値を８だけインクリメントする。したがって上記のエラー信号に含まれる全てのエラーフレームを受信するとエラーカウント値が１２８となる。
【００２４】
電子制御装置１００と複数の制御装置２００はエラーカウント値が１２８よりも小さい場合、すなわち、エラー信号の受信時間が３７２μｓｅｃよりも短い場合、電子制御装置１００と複数の制御装置２００とは相互に通信を行う第１通信状態になる。しかしながら例えば電子制御装置１００から上記のエラー信号が送信され、複数の制御装置２００のエラーカウント値が１２８を越えた場合、複数の制御装置２００の通信状態が変化する。すなわち、エラーカウント値が１２８を越えた場合（エラー時間の受信時間が３７２μｓｅｃを超えた場合）、複数の制御装置２００それぞれは電子制御装置１００との通信を止めて複数の制御装置２００の間だけで通信を行う第２通信状態になる。上記の３７２μｓｅｃが特許請求の範囲に記載の第１所定時間に相当する。
【００２５】
また電子制御装置１００と複数の制御装置２００それぞれは、互いに信号の送信時間間隔を計測しており、この計測時間が５０ｍｓｅｃを上回った場合においても第２通信状態になる。したがって例えば電子制御装置１００から何も信号が送信されなくなり、マイコン１０からの信号の途絶が５０ｍｓｅｃを超えると、複数の制御装置２００それぞれは第２通信状態になる。上記の５０ｍｓｅｃが特許請求の範囲に記載の第２所定時間に相当する。なお、エラーカウント値のインクリメントのみを説明したが、電子制御装置１００と複数の制御装置２００それぞれは正常に通信を行っている際に、所定間隔で通信が正常に行われていることを示す正常フレームを出力する。この正常フレームを受信すると、エラーカウント値が１だけディクリメントされる。
【００２６】
次に、電子制御装置１００と複数の制御装置２００との通信を図２に基づいてまとめて説明する。車両のイグニッションスイッチがオフ状態からオン状態に移行すると、電子制御装置１００と複数の制御装置２００それぞれは初期化シーケンスを行う。そして電子制御装置１００のマイコン１０はチェック信号を監視部２０に出力する。このチェック信号は監視部２０からエラー配線２１、第２逆流防止素子５２、共通配線５３、通信部３０、および、入出力配線３１を介してバス配線３００に出力される。そしてチェック信号はバス配線３００から入出力配線３１、通信部３０、および、受信配線３２を介してマイコン１０に入力される。図２に示すように受信配線３２のチェック信号と送信配線１１のチェック信号とが同一の場合、マイコン１０は監視状態および通信状態の信頼性が確保されていると判定し、通常動作モードに移行する。
【００２７】
マイコン１０が通常動作モードに移行すると監視部２０はマイコン１０に質問信号を出力して監視信号を監視するとともに、スイッチ４０をオン状態にする。こうすることで監視部２０はマイコン１０の状態を監視するとともに、送信配線１１と共通配線５３とを介してマイコン１０の信号を通信部３０に出力させる。バス配線３００および受信配線３２それぞれにはマイコン１０の送信した信号と複数の制御装置２００の送信した信号とが含まれている。これら複数の信号の内の最も優先度の高い信号を発した装置が送信側になり、他の装置が受信側となる。この時にマイコン１０と複数の制御装置２００とは相互に信号を送受信する第１通信状態となっている。
【００２８】
しかしながら図２に示すようにマイコン１０の異常が監視部２０によって検知されると、監視部２０は以下の処理を行う。すなわち監視部２０はスイッチ４０を非駆動状態にしてマイコン１０と通信部３０との電気的な接続を遮断し、マイコン１０にリセット信号を出力する。また監視部２０はエラー信号を通信部３０を介してバス配線３００に出力する。これにより異常状態のマイコン１０と複数の制御装置２００との通信が行われることが防止され、複数の制御装置２００が第１通信状態から第２通信状態に移行する。
【００２９】
リセット信号の入力によって起動処理を行うとマイコン１０は再び上記したチェック信号の送信を行う。そしてマイコン１０は監視状態および通信状態の信頼性が確保されていると判定すると通常動作モードに移行する。通常動作モードに移行するとマイコン１０は上記の正常フレームを複数の制御装置２００に出力し始める。この正常フレームの入力によってエラーカウント値が１２８を下回ると複数の制御装置２００は第２通信状態から第１通信状態に戻り、電子制御装置１００と制御装置２００との間で通信が再び行われる。なお、図２では第２通信状態から第１通信状態への変化を、マイコン１０が通常動作モードに移行したタイミングにて行われるように図示している。
【００３０】
次に、本実施形態に係る電子制御装置１００の作用効果を説明する。上記したように監視部２０によってマイコン１０の制御装置２００との通信が止めさせられ、エラー信号が通信部３０を介して制御装置２００に出力されている。したがって通信部を非駆動状態にしてマイコンからの信号の途絶によって制御装置にマイコンの異常を判定させる構成とは異なり、制御装置２００にてマイコン１０の異常を早く検出させることができる。さらに例示すれば、バス配線とは別にエラー信号を制御装置に出力するための信号線が電子制御装置と外部装置との間に設けられる構成とは異なり、このような信号線は不要なので、コストの増大が抑制される。
【００３１】
上記したようにマイコン１０の制御装置２００との通信を止めさせる部材として本実施形態ではスイッチ４０を採用している。したがってこの部材として、上記のように監視部と制御装置とを電気的に接続する信号線を採用した構成とは異なり、制御装置２００の数に応じて部材の数が増大しない。そのためにコストの増大が抑制される。また、監視部２０からマイコン１０へとリセット信号を出力することでマイコン１０の制御装置２００との通信を止めさせてもいる。そのため上記した比較構成と比べてコストの増大が抑制される。
【００３２】
上記の信号線を用いる比較構成の場合、以下の点が特に問題となる。本実施形態の電子制御装置１００と複数の制御装置２００それぞれはハイブリッド自動車の制御系統を成す構成要素である。具体的に言えば、電子制御装置１００と複数の制御装置２００それぞれはエンジンＥＣＵ、ブレーキＥＣＵ、バッテリーＥＣＵ、モータＥＣＵ、および、ハイブリッドＥＣＵなどである。これに対して通常のガソリン自動車の場合、上記の構成要素の内ハイブリッドＥＣＵが不要になり、バス配線３００を介して通信するのはエンジンＥＣＵとブレーキＥＣＵである。このようにバス配線３００を介して接続されるＥＣＵの数がガソリン自動車と比べてハイブリッド自動車の方が多いのは、ハイブリッド自動車の場合、走行状態に応じてエンジン、モータ、および、バッテリーなどを協調制御しなくてはならないためである。このような協調制御するための構成要素は車両に局在していないため、上記の比較構成の場合、信号線を車両に張り巡らすことになる。例えば図３に示すように車両内部に隔壁４００が設けられると、車両の内部空間が前方側と後方側とに分断される。この例では車両前方にエンジンＥＣＵ、ブレーキＥＣＵ、および、モータＥＣＵが位置し、車両後方にハイブリッドＥＣＵとバッテリーＥＣＵが位置する。この配置において信号線４１０を車両に張り巡らせるためには隔壁４００に貫通穴４２０などを形成しなくてはならなくなる。したがって上記の比較構成の場合、車両全体の設計を変更しなくてはならなくなる。これに対して本発明に係る電子制御装置１００では、その内部構造を工夫することで、マイコン１０の制御装置２００との通信を止めさせつつ、制御装置２００にエラー信号を出力している。したがって上記の比較構成とは異なり、車両全体の設計を変更しなくともよくなる。以上により比較構成と比べてコストの増大が顕著に抑制される。
【００３３】
さらに言えば、上記したようにハイブリッド自動車の場合、走行状態に応じてエンジン、モータ、および、バッテリーなどを協調制御しなくてはならないため、ＥＣＵの異常を素早く判定する必要がある。例えばマイコン１０からの信号の途絶だけに基づいて電子制御装置１００の異常を検出する場合、その異常を検出するのに５０ｍｓｅｃも時間がかかることになる。特にモータを制御するためには、モータの電気角度や流す電流を１００μｓｅｃ単位でフィードバックして、モータの回転数の演算処理を数ｍｓｅｃで行う。このモータの回転数の演算処理は、第１通信状態においてハイブリッドＥＣＵが行うが、このハイブリッドＥＣＵに異常が生じ、その異常を判定するのに５０ｍｓｅｃもの時間が必要になると、モータの回転数の演算処理が滞ることとなる。この結果、モータの回転数が速すぎたり遅すぎたりすることとなる。しかしながら本実施形態で示したようにエラー信号の受信時間は３７２μｓｅｃであり、このエラー信号を受信するとＥＣＵは第２通信状態になる。したがって上記構成とは異なり、素早くハイブリッドＥＣＵの異常を検出して他のＥＣＵが第２通信状態に移行することができる。この際に、上記のモータ回転数の演算処理をモータＥＣＵなどに代行させることで、モータの回転数の演算処理が滞り、モータの回転数が速すぎたり遅すぎたりすることが抑制される。
【００３４】
通信配線１１とエラー配線２１それぞれの通信部３０側の端部が互いに結線され、その結線された部位から通信部３０の入力端子へと共通配線５３が延びている。また通信配線１１に第１逆流防止素子５１が設けられ、エラー配線２１には第２逆流防止素子５２が設けられている。これによれば通信配線とエラー配線それぞれが独立して通信部に接続される構成と比べて、通信部３０の入力端子の増大が抑制される。またマイコン１０から通信配線１１に出力された信号が監視部２０に入力されることが抑制され、監視部２０からエラー配線２１に出力された信号がマイコン１０に入力されることが抑制される。
【００３５】
マイコン１０に異常がある場合、監視部２０はエラー信号を３７２μｓｅｃ出力することで、複数の制御装置２００を第２通信状態にする。これによれば複数の制御装置２００それぞれと異常状態のマイコン１０との通信を止めさせつつ、複数の制御装置２００間での通信を実現することができる。また複数の制御装置２００それぞれは、電子制御装置１００からの信号の途絶が５０ｍｓｅｃを上回った場合においても第２通信状態になる。これに対して上記したようにエラー信号に基づいて複数の制御装置２００それぞれが第２通信状態に移行するので、電子制御装置１００からの信号の途絶に基づいて第２通信状態に移行する場合と比べて、その移行時間が短くなる。
【００３６】
マイコン１０は送信したチェック信号と受信したチェック信号とが異なる場合、制御装置２００との通信を止める。これによればマイコン１０の監視状態および通信状態の信頼性が確保されていない状態において、マイコン１０と制御装置２００とが通信することが抑制される。
【００３７】
以上、本発明の好ましい実施形態について説明したが、本発明は上記した実施形態になんら制限されることなく、本発明の主旨を逸脱しない範囲において、種々変形して実施することが可能である。
【００３８】
本実施形態の監視信号は、監視部２０から送られる種々の簡易的な質問信号に対する応答信号である例を示した。しかしながら監視信号としては上記例に限定されず、例えばデューティ比とパルス周期それぞれが一定のパルス信号（ウォッチドッグ信号）を採用することもできる。この場合、監視部２０は監視信号の入力の有無、若しくは、上記のデューティ比やパルス周期の乱れに基づいてマイコン１０の状態を判定する。
【００３９】
本実施形態ではマイコン１０と監視部２０とが内部通信する例を示した。しかしながらマイコン１０と監視部２０とは内部通信できなくともよい。この場合、例えば図４に示すようにマイコン１０と監視部２０とはリセット配線２２および監視配線２３を介して電気的に接続される。そしてこの場合マイコン１０から出力される監視信号は上記のウォッチドッグ信号が採用され、このウォッチドッグ信号が監視配線２３を介してマイコン１０から監視部２０に出力される。なおもちろんではあるが、監視部２０からマイコン１０へのチェック信号の送信は行われない。
【００４０】
本実施形態では監視部２０、スイッチ４０、および、逆流防止素子５１，５２それぞれの包含関係について述べていなかった。しかしながら例えば図５において破線で囲って示すように、スイッチ４０と逆流防止素子５１，５２それぞれが監視部２０に含まれる構成を採用することもできる。すなわち、スイッチ４０と逆流防止素子５１，５２それぞれが監視部２０の形成された１つのチップに集積された構成を採用することもできる。これによればスイッチと２つの逆流防止素子それぞれが監視部とは別に製造される構成と比べて、製造コストの増大が抑制される。さらに言えば、図６に示すように通信部３０も監視部２０に含まれる構成を採用することもできる。すなわち、通信部３０も監視部２０の形成された１つのチップに集積された構成を採用することもできる。これによれば通信部が監視部とは別に製造される構成と比べて、製造コストの増大が抑制される。
【００４１】
本実施形態では通信配線１１とエラー配線２１それぞれの端部が結線され、その結線された部位から通信部３０へと共通配線５３が延び、通信配線１１に第１逆流防止素子５１が設けられ、エラー配線２１には第２逆流防止素子５２が設けられた例を示した。しかしながら通信部３０の入力端子の増大を抑制しつつ、マイコン１０の信号と監視部２０の信号（エラー信号）とを独立して通信部３０に出力する構成としては上記例に限定されない。例えば図７に示すように、電子制御装置１００が逆流防止素子５１，５２の代わりに選択部６０を有する構成を採用することができる。この選択部６０は複数の入力信号の内の１つを選択し、その選択した１つの入力信号を出力するものである。選択部６０の入力端子に通信配線１１とエラー配線２１それぞれが独立して接続され、自身の出力端子が出力配線６１を介して通信部３０に接続されている。選択部６０にはスイッチ４０の駆動状態を決める信号が入力されており、選択部６０はスイッチ４０が駆動状態の場合に通信配線１１の信号を出力し、スイッチ４０が非駆動状態の場合にエラー配線２１の信号を出力する。なおこの変形例の場合、スイッチ４０および選択部６０それぞれが監視部２０に含まれた構成を採用することもできる。すなわち、スイッチ４０および選択部６０それぞれが監視部２０の形成された１つのチップに集積された構成を採用することもできる。これによればスイッチと選択部それぞれが監視部とは別に製造される構成と比べて、製造コストの増大が抑制される。さらに言えば通信部３０が監視部２０に含まれた構成を採用することもできる。すなわち、通信部３０も監視部２０の形成された１つのチップに集積された構成を採用することもできる。これによれば通信部が監視部とは別に製造される構成と比べて、製造コストの増大が抑制される。
【００４２】
本実施形態では本発明に係る電子制御装置１００がハイブリッド自動車に適用された例を示した。しかしながら電子制御装置１００の適用としては上記例に限定されず、例えばガソリン自動車に適用してもよい。
【００４３】
本実施形態では通信プロトコルとしてＣＡＮ通信を採用した例を示した。しかしながら通信プロトコルとしてはこれに限定されず、例えばＬＩＮ通信を採用することもできる。
【００４４】
本実施形態では通信速度が５００ｋｂｐｓの例を示した。しかしながら通信速度としてはこれに限定されず、例えば５Ｍｂｐｓを採用することもできる。
【００４５】
本実施形態ではエラー信号として１２μｓｅｃのエラーフレームが１２μｓｅｃ間隔で１６回出力される例を示した。しかしながらエラーフレームの時間とその間隔は上記例に限定されない。要は、エラー信号に６ｂｉｔのエラーフレームが１６個含まれていればよい。エラー信号の時間は上記の通信速度に応じて変化する。
【００４６】
本実施形態では電子制御装置１００がスイッチ４０を有する例を示した。しかしながら監視部２０がマイコン１０の異常検知時にリセット信号をマイコン１０に出力する構成においては、リセット信号の入力によってマイコン１０の制御装置２００との通信が止まるので、スイッチ４０を電子制御装置１００が有していなくともよい。逆に、監視部２０がマイコン１０の異常検知時にスイッチ４０を非駆動状態にする構成においては、スイッチ４０の非駆動によってマイコン１０の制御装置２００との通信が止まるので、監視部２０からマイコン１０にリセット信号を出力しなくともよい。ただしマイコン１０を復帰させるためのリセット信号の出力は監視部２０とは異なる構成要素（例えば図示しない電源ＩＣなど）から出力される。
【符号の説明】
【００４７】
１０…マイコン（マイクロコンピュータ）
２０…監視部
３０…通信部
１００…電子制御装置
２００…制御装置
【図１】
0006536011.tif 000002
【図２】
0006536011.tif 000003
【図３】
0006536011.tif 000004
【図４】
0006536011.tif 000005
【図５】
0006536011.tif 000006
【図６】
0006536011.tif 000007
【図７】
0006536011.tif 000008