(57)【特許請求の範囲】
【請求項１】
フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる第１負荷と、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが同じである第２負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記監視部が、
前記制御部の異常を検出すると、異常信号を出力する異常検出手段（３０）と、
前記第２負荷を予め設定された退避状態に保持させるために、前記異常信号に基づいて前記フェールセーフ信号を出力するフェールセーフ手段（３１）と、
前記異常信号に基づいて、前記制御部をリセットするための前記リセット信号を出力するリセット手段（３２）と、
を有する電子制御装置であって、
前記リセット手段は、前記異常信号が出力されている場合であっても、前記フェールセーフ信号が出力されている間は、前記リセット信号の出力を停止することを特徴とする電子制御装置。
【請求項２】
フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる第１負荷と、前記フェールセーフ信号が出力されているときの駆動状態と、前記リセット信号が出力されているときの駆動状態とが同じである第２負荷の駆動を制御する制御部（２０）と、
前記制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
前記監視部が、
前記制御部の異常を検出すると、異常信号を出力する異常検出手段（３０）と、
前記第２負荷を予め設定された退避状態に保持させるために、前記異常信号に基づいて前記フェールセーフ信号を出力するフェールセーフ手段（３１）と、
前記異常信号に基づいて、前記制御部をリセットするための前記リセット信号を出力するリセット手段（３２）と、を有し、
外部機器（４０，４４）からの信号を取得する電子制御装置であって、
前記リセット手段は、前記外部機器から前記リセット信号の出力を停止させるためのリセット停止信号を取得すると、前記異常信号が出力されている場合であっても、前記リセット信号の出力を停止することを特徴とする電子制御装置。
【請求項３】
前記外部機器としての他の電子制御装置（４０）と相互に異常を監視する請求項２に記載の電子制御装置であって、
前記リセット手段は、前記他の電子制御装置から前記リセット停止信号を取得すると、前記異常信号が出力されている場合であっても、前記リセット信号の出力を停止することを特徴とする電子制御装置。
【請求項４】
前記外部機器としての、ユーザにより操作されるスイッチ（４４）から信号を取得する請求項２に記載の電子制御装置であって、
前記リセット手段は、前記スイッチから前記リセット停止信号を取得すると、前記異常信号が出力されている場合であっても、前記リセット信号の出力を停止することを特徴とする電子制御装置。
【請求項５】
車両に搭載され、前記制御部が、前記第２負荷として、スロットルバルブ（１４）を開閉するためのモータ（１５）を制御し、前記第１負荷として、インジェクタ（１１）及び点火プラグ（１２）を制御する請求項１〜４いずれか１項に記載の電子制御装置であって、
前記フェールセーフ信号により、前記モータ、前記インジェクタ、及び前記点火プラグのうち、前記モータの駆動が停止されることを特徴とする電子制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、少なくとも１つの負荷の駆動を制御する制御部と、制御部が正常に動作しているか否かを監視する監視部と、を備える電子制御装置に関する。
【背景技術】
【０００２】
特許文献１には、少なくとも１つの負荷の駆動を制御するマイコン（制御部）と、マイコンが正常に動作しているか否かを監視する監視ＩＣ（監視部）と、を備える電子制御装置が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１１−１２７５４６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
図６は、特許文献１に記載の従来の電子制御装置における監視ＩＣの概略構成を示している。図７は、マイコン異常時の動作例を示すタイミングチャートである。なお、図６では、後述する本実施形態の要素と共通乃至関連する要素に対し、本実施形態の要素の符号に１００を加算した符号を付与している。また、ここでは、従来の電子制御装置が、車両のエンジンＥＣＵ（Electronic Control Unit）に適用された場合について説明する。
【０００５】
図示しないマイコンは、負荷として、インジェクタ、点火プラグ、及びスロットルバルブを開閉するためのモータの駆動を制御する。マイコンは、あらかじめ決定されたタイミングごとに、所定の監視データ（たとえば所定の真偽パターン）を監視ＩＣに出力する。
【０００６】
図６に示すように、監視ＩＣ１２１は、異常検出部１３０と、フェールセーフ部１３１と、を有している。異常検出部１３０は、上記監視データに基づいて、マイコンが正常に動作しているか否かを判定する。そして、マイコンの異常を検出すると、異常信号（たとえばＨレベルの信号）をフェールセーフ部１３１に出力する。
【０００７】
フェールセーフ部１３１は、たとえばカウンタ１３１ａを有している。ここでは、カウンタ１３１ａとしてダウンカウンタを採用している。カウンタ１３１ａは、異常信号をトリガとしつつ内部クロックにしたがって、図７に示すように、異常確定閾値からダウンカウントする。カウント値がゼロになると、カウンタ１３１ａ、すなわちフェールセーフ部１３１は、上記した負荷のうちでモータを、予め設定された退避状態に保持させるために、図示しないＥＴＣ（Electronic Throttle Control）ドライバに、フェールセーフ信号（たとえばＨレベルの信号）を出力する。
【０００８】
ＥＴＣドライバは、フェールセーフ信号の出力が停止、すなわち監視ＩＣ１２１から入力される信号がＬレベルの場合、マイコンからの制御信号にしたがってスロットル駆動信号を出力し、モータへの通電を行う。一方、フェールセーフ信号が入力されると、ＥＴＣドライバは、モータに対してスロットル停止信号を出力する。これにより、モータ制御停止となり、スロットルバルブが閉塞され、アクセルペダルが操作されていないときと同じ状態となる。そして、車両は、低速での退避走行となる。
【０００９】
しかしながら、上記した従来の電子制御装置では、マイコン異常の状態から、マイコンの正常復帰を試みる手段がない。したがって、宇宙線によるデータ化けのように、マイコンの異常が一時的な場合でも、マイコンを正常復帰させることができない。このように、フェールセーフに対する処置が敏感であった。
【００１０】
一方、マイコンの異常を検出し、異常時にマイコンをリセットさせる機構（たとえばウォッチドッグ検出機構）が知られている。図８は、図６に示した監視ＩＣ１２１にマイコンをリセットさせる機能を追加した構成を示している。図９は、図８に示す構成において、マイコン異常時の動作例を示すタイミングチャートである。
【００１１】
図８に示すように、監視ＩＣ１２１は、異常検出部１３０及びフェールセーフ部１３１に加えて、リセット部１３２を有している。リセット部１３２は、たとえばカウンタ１３２ａと、ＮＯＴゲート１３２ｂと、を有している。ここでは、カウンタ１３２ａとしてダウンカウンタを採用している。カウンタ１３２ａは異常信号をトリガとしつつ内部クロックにしたがって、図９に示すように、リセット閾値からダウンカウントする。カウント値がゼロになると、カウンタ１３２ａは、一定時間、Ｈレベルの信号を出力する。この信号は、ＮＯＴゲート１３２ｂにて反転され、Ｌレベルの信号としてマイコンに出力される。このリセット部１３２から一定時間出力されるＬレベルの信号が、リセット信号である。一定時間経過後、マイコンのリセット状態が解除されるとともに、カウンタ１３２ａのカウント値もクリアされて、リセット閾値に戻る。
【００１２】
この構成によれば、マイコンの異常が一時的な場合に、リセット処理によって、マイコンを正常復帰させることができる。しかしながら、図９に示すように、マイコンの異常が恒久的な場合、リセットが繰り返しなされることとなる。マイコンがリセットされている間は、モータだけでなく、インジェクタや点火プラグも制御停止となる。フェールセーフ信号が出力されている間にリセットがなされると、リセット期間以外でしか噴射、点火ができないため、エンジントルクが出ず、エンジンがストール状態となってしまう虞がある。
【００１３】
このように、マイコンにより制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる場合、フェールセーフ信号の出力中に、リセット信号が出力されると、所定のフェールセーフ処理（たとえば退避走行）を実行することができなくなる。
【００１４】
なお、マイコンが１つの負荷のみを制御し、フェールセーフ信号が出力されているときと、リセット信号が出力されているときの負荷の駆動状態が異なる場合にも、同様の問題が生じる。
【００１５】
本発明は上記問題点に鑑み、一時的な制御部の異常に対して制御部を復帰させることができ、且つ、恒久的な制御部の異常に対して所定のフェールセーフ処理を実行することができる電子制御装置を提供することを目的とする。
【課題を解決するための手段】
【００１６】
ここに開示される発明は、上記目的を達成するために以下の技術的手段を採用する。なお、特許請求の範囲及びこの項に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、発明の技術的範囲を限定するものではない。
【００１７】
開示された発明のひとつは、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる第１負荷と、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが同じである第２負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
監視部が、
制御部の異常を検出すると、異常信号を出力する異常検出手段（３０）と、
第２負荷を予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（３１）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（３２）と、
を有する電子制御装置であって、
リセット手段は、異常信号が出力されている場合であっても、フェールセーフ信号が出力されている間は、リセット信号の出力を停止することを特徴とする。
【００１８】
これによれば、一時的な制御部の異常に対して、リセット手段から出力されるリセット信号により、制御部を正常復帰させることができる。
【００１９】
また、異常信号が出力されている場合であっても、フェールセーフ信号が出力されている間は、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。すなわち、恒久的な制御部の異常に対してフェールセーフ処理を実行することができる。
【００２０】
開示された他の発明のひとつは、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる第１負荷と、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが同じである第２負荷の駆動を制御する制御部（２０）と、
制御部が正常に動作しているか否かを監視する監視部（２１）と、を備え、
監視部が、
制御部の異常を検出すると、異常信号を出力する異常検出手段（３０）と、
第２負荷を予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力するフェールセーフ手段（３１）と、
異常信号に基づいて、制御部をリセットするためのリセット信号を出力するリセット手段（３２）と、を有し、
外部機器（４０，４４）からの信号を取得する電子制御装置であって、
リセット手段は、外部機器からリセット信号の出力を停止させるためのリセット停止信号を取得すると、異常信号が出力されている場合であっても、リセット信号の出力を停止することを特徴とする。
【００２１】
これによれば、一時的な制御部の異常に対して、リセット手段から出力されるリセット信号により、制御部を正常復帰させることができる。
【００２２】
また、異常信号が出力されている場合であっても、外部機器からリセット停止信号を取得すると、リセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。すなわち、恒久的な制御部の異常に対してフェールセーフ処理を実行することができる。
【図面の簡単な説明】
【００２３】
【図１】第１実施形態に係る電子制御装置の概略構成を示す図である。
【図２】監視ＩＣの概略構成を示す図である。
【図３】マイコン異常時の動作例を示すタイミングチャートである。
【図４】第２実施形態に係る電子制御装置を含む電子制御システムの概略構成を示す図である。
【図５】監視ＩＣの概略構成を示す図である。
【図６】従来の電子制御装置において、監視ＩＣの概略構成を示す図である。
【図７】マイコン異常時の動作例を示すタイミングチャートである。
【図８】図６に示す監視ＩＣに対し、リセット機能を追加した構成を示す図である。
【図９】マイコン異常時の動作例を示すタイミングチャートである。
【発明を実施するための形態】
【００２４】
以下、本発明の実施形態を図に基づいて説明する。なお、各実施形態において、共通乃至関連する要素には同一の符号を付与するものとする。
【００２５】
（第１実施形態）
先ず、図１を用いて、本実施形態に係る電子制御装置の概略構成を説明する。
【００２６】
図１に示す電子制御装置１０は、車両のエンジンＥＣＵ（Electronic Control Unit）として構成されている。この電子制御装置１０は、負荷の駆動を制御する制御部としてのマイコン２０と、マイコン２０が正常に動作しているか否かを監視する監視部としての監視ＩＣ２１と、を備えている。マイコン２０は、インジェクタ１１、点火プラグ１２、及び電子スロットル１３のスロットルバルブ１４を開閉するためのモータ１５の駆動を制御する。さらに電子制御装置１０は、モータ１５を駆動するためのＥＴＣ（Electronic Throttle Control）ドライバ２２を備えている。
【００２７】
インジェクタ１１は、燃料を噴射供給する電磁駆動式の弁であり、図示しない吸気マニホールドの各気筒の吸気ポート周辺に取り付けられている。ソレノイドコイルへの通電によりニードルバルブが変位し、燃料が噴射される。点火プラグ１２は、図示しないエンジンのシリンダヘッドに、気筒毎に取り付けられている。点火プラグ１２には、点火コイル等よりなる点火装置を通じて、目標とする点火時期において高電圧が印加される。この高電圧の印加により、各点火プラグ１２の対向電極間に火花放電が発生し、燃焼室内に導入された空気と燃料との混合気が着火され燃焼される。スロットルバルブ１４は、吸気管の吸気通路を開閉してエンジンの各気筒に導入される空気量を調整するためのものである。このスロットルバルブ１４の開度は、モータ１５によって調節される。
【００２８】
モータ１５への通電を停止すると、スロットルバルブ１４は閉位置となる。閉位置において、スロットルバルブ１４は、吸気通路を完全に遮断するのではなく、わずかに空気を流通させる程度、吸気通路を遮断する。この閉位置とは、従来の機械式スロットルにおいて、アクセルペダルが操作されていないときの状態と同じであり、エンジンの燃焼室へ供給可能な空気量が最も少なくなる状態である。
【００２９】
マイコン２０は、ＣＰＵ、ＲＯＭ、ＲＡＭ、レジスタ、及びＩ／Ｏポートなどを備えて構成されたマイクロコンピュータである。マイコンにおいて、ＣＰＵが、ＲＡＭやレジスタの一時記憶機能を利用しつつ、ＲＯＭに予め記憶された制御プログラム、バスを介して取得した各種データなどに応じて信号処理を行う。また、この信号処理で得られた信号を、バスに出力したりする。このようにして、マイコンは、各種機能を実行する。
【００３０】
本実施形態では、マイコン２０が、イグニッション信号、エンジン回転数、エンジン冷却水温、吸気圧、空燃比、アクセル開度などに基づいて、インジェクタ１１による燃料噴射量、点火プラグ１２の点火時期、スロットルバルブ１４のスロットル開度などを制御する。すなわち、マイコン２０は、インジェクタ１１、点火プラグ１２、及びモータ１５を駆動するＥＴＣドライバ２２のそれぞれに、制御信号を出力する。
【００３１】
また、マイコン２０は、監視ＩＣ２１との間でデータ通信可能に構成されており、監視ＩＣ２１に対し、予め設定されたタイミングで所定の監視データを送信する。本実施形態では、監視データとして所定の真偽パターンを送信する。
【００３２】
監視ＩＣ２１は、上記監視データを受信し、受信した監視データに基づいて、マイコン２０が正常であるか否かを監視する。そして、マイコン２０が異常であると判定すると、フェールセーフ信号をＥＴＣドライバ２２に出力する。また、リセット信号をマイコン２０に出力する。その詳細については、後述する。監視ＩＣ２１からリセット信号が出力されている間、マイコン２０はリセットされる。
【００３３】
なお、マイコン２０の異常とは、マイコン２０そのものが異常である場合だけでなく、マイコン２０は正常であっても、取得した各種データ（すなわち各種センサなど）の異常により、結果として負荷を正常に制御できない状態となっている場合も含む。
【００３４】
ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがって、モータ１５へスロットル駆動信号を出力し、モータ１５への通電を行うことにより、モータ１５を駆動する。これにより、スロットルバルブ１４が所定の開度になる。
【００３５】
ＥＴＣドライバ２２は、監視ＩＣ２１からフェールセーフ信号が入力されると、モータ１５に対してスロットル停止信号を出力する。すなわち、モータ１５への通電を停止する。これにより、モータ制御停止となり、スロットルバルブ１４が上記した閉位置となる。一方、監視ＩＣ２１からのフェールセーフ信号の出力が停止されている場合、ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがってスロットル駆動信号を出力し、モータ１５への通電を行う。
【００３６】
次に、図２に基づき、監視ＩＣ２１について説明する。
【００３７】
図２に示すように、監視ＩＣ２１は、異常検出部３０と、フェールセーフ部３１と、リセット部３２と、を有している。異常検出部３０が、特許請求の範囲に記載の異常検出手段に相当し、フェールセーフ部３１が、フェールセーフ手段に相当する。また、リセット部３２が、リセット手段に相当する。
【００３８】
異常検出部３０は、マイコン２０から監視データが入力されると、この監視データに基づいて、マイコン２０が正常であるか否かを判定する。そして、マイコン２０が正常ではないと判定、すなわちマイコン２０の異常を検出すると、異常信号を出力する。本実施形態では、監視データとしての真偽パターンが不合格パターンであると判定すると、異常信号としてＨレベルの信号を出力する。一方、真偽パターンが合格パターンであると判定すると、異常信号ではなく、Ｌレベルの信号を出力する。
【００３９】
フェールセーフ部３１は、異常信号が入力されると、負荷の少なくとも１つを予め設定された退避状態に保持させるために、フェールセーフ信号を生成し、出力する。本実施形態では、インジェクタ１１、点火プラグ１２、及びモータ１５のうち、モータ１５のみを退避状態に保持させるために、ＥＴＣドライバ２２に対してフェールセーフ信号を出力する。フェールセーフ信号により、モータ１５への通電が停止され、スロットルバルブ１４は閉位置となる。
【００４０】
フェールセーフ部３１は、カウンタ３１ａを有している。後述するように、カウンタ３１ａは、異常信号の入力をトリガとし、内部クロックにしたがってダウンカウントする。そして、カウント値がゼロになると、フェールセーフ信号としてＨレベルの信号を出力する。
【００４１】
リセット部３２は、異常信号が入力されると、マイコン２０をリセットするためのリセット信号を生成し、マイコン２０に出力する。本実施形態では、リセット信号としてＬレベルの信号を一定時間出力する。リセット信号によりマイコン２０がリセットされ、リセット信号が出力されている期間は、負荷の制御がされない状態となる。すなわち、インジェクタ１１による燃料噴射が停止し、点火プラグ１２による点火が停止する。また、モータ１５への通電が停止し、スロットルバルブ１４は閉位置となる。
【００４２】
リセット部３２は、カウンタ３２ａと、ＮＯＴゲート３２ｂと、ＯＲゲート３２ｃと、を有している。カウンタ３２ａも、異常信号の入力をトリガとし、内部クロックにしたがってダウンカウントする。そして、カウント値がゼロになると、一定時間、Ｈレベルの信号を出力する。カウンタ３２ａの出力は、ＮＯＴゲート３２ｂにより反転される。したがって、カウンタ３２ａの出力がＨレベルの場合、ＮＯＴゲート３２ｂは、Ｌレベルの信号を出力する。
【００４３】
ＯＲゲート３２ｃには、フェールセーフ部３１（カウンタ３１ａ）の出力と、ＮＯＴゲート３２ｂの出力が入力される。フェールセーフ部３１からフェールセーフ信号（Ｈレベルの信号）が入力される場合には、ＮＯＴゲート３２ｂから出力される信号のレベルによらず、ＯＲゲート３２ｃからＨレベルの信号が出力される。
【００４４】
フェールセーフ部３１からＬレベルの信号が入力される場合、ＮＯＴゲート３２ｂからの入力に応じて、ＯＲゲート３２ｃの出力が決定される。ＮＯＴゲート３２ｂからＨレベルの信号が入力されると、ＯＲゲート３２ｃからＨレベルの信号が出力される。ＮＯＴゲート３２ｂからＬレベルの信号が入力されると、ＯＲゲート３２ｃからＬレベルの信号が出力される。
【００４５】
このように、フェールセーフ部３１からフェールセーフ信号が入力されると、リセット部３２からＨレベルの信号が出力される。すなわち、リセット信号の出力が停止される。フェールセーフ部からＬレベルの信号が入力され、且つ、ＮＯＴゲート３２ｂからＬレベルの信号が入力される場合のみ、リセット部３２からＬレベルの信号、すなわちリセット信号が出力される。そして、マイコン２０がリセットされる。
【００４６】
次に、図３に基づき、マイコン２０に恒久的な異常が生じたときの動作について説明する。図３では、便宜上、リセットによるモータ１５の駆動停止期間にハッチングを施している。
【００４７】
上記したように、監視ＩＣ２１の異常検出部３０は、マイコン２０から入力された監視データが、正常であるか否かを判定する。マイコン２０が正常であると判定すると、正常であることを示すＬレベルの信号を出力する。このため、フェールセーフ部３１のカウンタ３１ａがカウントを開始せず、カウンタ３１ａ（フェールセーフ部３１）からＬレベルの信号が出力される。すなわち、フェールセーフ信号の出力が停止される。
【００４８】
また、リセット部３２のカウンタ３２ａもカウントを開始せず、カウンタ３２ａからＬレベルの信号が出力され、ＮＯＴゲート３２ｂにて反転されて、Ｈレベルの信号となる。カウンタ３１ａからＬレベルの信号が入力され、ＮＯＴゲート３２ｂからＨレベルの信号が入力されるため、ＯＲゲート３２ｃ（リセット部３２）からＨレベルの信号が出力される。すなわち、リセット信号の出力が停止される。
【００４９】
このように、マイコン２０が正常と判定された状態では、ＥＴＣドライバ２２に、フェールセーフ部３１からＬレベルの信号が入力される。したがって、ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがってスロットル駆動信号を出力し、モータ１５への通電を行う。このとき、車両は、通常制御状態となる。
【００５０】
異常検出部３０がマイコン２０の異常を検出し、異常信号（Ｈレベルの信号）を出力すると、フェールセーフ部３１のカウンタ３１ａがカウントを開始し、内部クロックにしたがって異常確定閾値からダウンカウントする。そして、カウント値がゼロになると、フェールセーフ部３１からフェールセーフ信号（Ｈレベルの信号）が出力される。
【００５１】
また、異常信号をトリガとして、リセット部３２のカウンタ３２ａもカウントを開始し、内部クロックにしたがってリセット閾値からダウンカウントする。そして、カウント値がゼロになると、一定時間、Ｈレベルの信号を出力する。この信号は、ＮＯＴゲート３２ｂにて反転されて、Ｌレベルの信号となる。
【００５２】
ここで、フェールセーフ処理は、マイコン２０の恒久異常に対する処理であり、リセット処理は、マイコン２０の一時的な異常に対する処理である。したがって、同じ異常信号をトリガとしても、フェールセーフ信号の生成に要する時間より、リセット信号の生成に要する時間のほうが短い。本実施形態では、異常確定閾値のほうがリセット閾値よりも大きい値が設定されている。
【００５３】
したがって、異常信号の出力後、カウンタ３２ａの値が、カウンタ３１ａの値よりも先にゼロになる。ＯＲゲート３２ｃに対し、フェールセーフ部３１からＬレベルの信号が入力され、ＮＯＴゲート３２ｂからＬレベルの信号が入力される場合、ＯＲゲート３２ｃからリセット信号としてＬレベルの信号が出力される。これにより、マイコン２０がリセットされる。このとき、マイコン２０からＥＴＣドライバ２２へ制御信号が出力されないため、ＥＴＣドライバ２２から出力されるスロットル駆動信号は、モータ１５への通電を停止する信号となる。これにより、スロットルバルブ１４が閉位置となる。
【００５４】
カウンタ３２ａのカウント値は、一定時間経過後クリアされ、リセット閾値がセットされる。しかしながら、図３に示すように、マイコン２０に恒久的な異常が生じている場合には、異常信号が継続して出力されるため、カウンタ３２ａが、再度ダウンカウントを開始する。本実施形態では、カウンタ３２ａの２回目のダウンカウントの途中に、カウンタ３１ａの値がゼロになる。
【００５５】
フェールセーフ部３１からフェールセーフ信号が出力されるまでは、ＯＲゲート３２ｃに対し、フェールセーフ部３１からＬレベルの信号が入力され、ＮＯＴゲート３２ｂからＨレベルの信号が入力される。したがって、ＯＲゲート３２ｃ（リセット部３２）からＨレベルの信号が出力される。このため、ＥＴＣドライバ２２は、マイコン２０からの制御信号にしたがってスロットル駆動信号を出力し、モータ１５への通電を行う。
【００５６】
カウンタ３１ａのカウント値がゼロになると、フェールセーフ部３１からフェールセーフ信号としてＨレベルの信号が出力される。ＯＲゲート３２ｃには、フェールセーフ部３１からＨレベルの信号が入力され、ＮＯＴゲート３２ｂからＨレベルの信号が入力されるため、ＯＲゲート３２ｃからＨレベルの信号が出力される。したがって、リセット信号の出力が停止される。
【００５７】
フェールセーフ部３１からフェールセーフ信号が出力されるため、ＥＴＣドライバ２２は、モータ１５に対してスロットル停止信号を出力する。すなわち、モータ１５への通電を停止する。これにより、モータ制御停止となり、スロットルバルブ１４が閉位置となる。フェールセーフ信号が出力されても、インジェクタ１１及び点火プラグ１２は、マイコン２０からの制御信号によって制御されるため、車両は、低速での退避走行となる。
【００５８】
次に、本実施形態に係る電子制御装置１０の効果について説明する。
【００５９】
本実施形態によれば、監視ＩＣ２１がリセット部３２を有している。したがって、マイコン２０の一時的な異常に対して、リセット部３２から出力されるリセット信号により、マイコン２０を正常復帰させることができる。
【００６０】
また、異常検出部３０から異常信号が出力されている場合であっても、フェールセーフ部３１からフェールセーフ信号が出力されている間は、リセット部３２からのリセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０に恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。
【００６１】
特に本実施形態では、マイコン２０により制御されるインジェクタ１１、点火プラグ１２、及びモータ１５のうち、モータ１５のみをフェールセーフ信号によって退避状態に保持させる。詳しくは、モータ１５への通電を停止する。したがって、フェールセーフ信号が出力されても、インジェクタ１１及び点火プラグ１２は、マイコン２０により制御される。このように、フェールセーフ信号が出力されているときには、モータ１５のみが制御停止になる。一方、リセット信号が出力されているときには、マイコン２０がリセットされるため、インジェクタ１１、点火プラグ１２、及びモータ１５が制御停止になる。このように、マイコン２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる。しかしながら、フェールセーフ信号の出力中にリセット信号が出力されることはないため、車両が低速での退避走行を行うことができる。すなわち、エンジンがストール状態になるのを抑制することができる。
【００６２】
（第２実施形態）
本実施形態において、第１実施形態に示した電子制御装置１０と共通する部分についての説明は割愛する。
【００６３】
図４及び図５に基づき、本実施形態に係る電子制御装置１０について説明する。なお、図４では、電子制御装置１０を含む電子制御システムを示している。また、図４では、便宜上、マイコン２０により制御される負荷、すなわちインジェクタ１１、点火プラグ１２、及びモータ１５の図示を省略している。さらに、ＥＴＣドライバ２２の図示も省略している。
【００６４】
電子制御装置１０は、第１実施形態同様、マイコン２０と、監視ＩＣ２１と、ＥＴＣドライバ２２と、を備えている。さらに電子制御装置１０は、図４に示すように、ＣＡＮ（Controller Area Network）ドライバ２３を備えている。ＣＡＮは登録商標である。
【００６５】
電子制御装置１０は、ＣＡＮバスを介して、ＣＡＮプロトコルにしたがい、他の電子制御装置４０と相互に通信を行う。電子制御装置４０も、マイコン４１やＣＡＮドライバ４２などを備えている。電子制御装置１０としてのエンジンＥＣＵに対し、他の電子制御装置４０としてブレーキＥＣＵなどを採用することができる。以下、他の電子制御装置４０を、単に電子制御装置４０とも称す。
【００６６】
ＣＡＮドライバ２３，４２は、周知のように、ＣＡＮコントローラやＣＡＮトランシーバをそれぞれ有している。マイコン２０は、ＣＡＮドライバ２３に対して通信データをＣＡＮバスに出力するように指示したり、電子制御装置４０などの他のノードからＣＡＮバスに出力された通信データを、ＣＡＮドライバ２３を介して取得したりする。同じく、マイコン４１は、ＣＡＮドライバ４２に対して通信データをＣＡＮバスに出力するように指示したり、電子制御装置１０などの他のノードからＣＡＮバスに出力された通信データを、ＣＡＮドライバ４２を介して取得したりする。
【００６７】
各電子制御装置１０，４０は、相互に異常を監視している。本実施形態では、異常検出の一手法として、通信途絶をカウントする周知の方法を採用している。電子制御装置４０には、電子制御装置１０から通信データが送信される。したがって、電子制御装置４０は、電子制御装置１０の存在を検出でき、電子制御装置１０について通信途絶カウンタを生成する。通信途絶カウンタは、たとえば時間の経過にしたがい増大し、通信データを受信するごとに初期化される。
【００６８】
電子制御装置１０のマイコン２０に異常が生じる前、電子制御装置１０は、必要なタイミングで通信データを送信するので、電子制御装置４０の通信途絶カウンタのカウント値が所定の閾値を超えることがない。すなわち、電子制御装置４０が、マイコン２０（電子制御装置１０）の異常を検出することはない。一方、マイコン２０に異常が生じて電子制御装置１０が通信データを送信できなくなると、電子制御装置４０の通信途絶カウンタが一様に増大し、閾値を超えた時点で、電子制御装置４０はマイコン２０の異常を検出する。
【００６９】
マイコン２０の異常を検出すると、電子制御装置４０のマイコン４１は、リセット停止信号を生成する。このリセット停止信号は、電子制御装置４０から出力され、配線を介して、ＯＲゲート４３に入力される。
【００７０】
このＯＲゲート４３には、配線を介して、スイッチ４４が接続されている。スイッチ４４は、車両の乗員（ユーザ）によって操作されることで、リセット停止信号を出力する。ＯＲゲート４３に、電子制御装置４０及びスイッチ４４の少なくとも一方からリセット停止信号が入力される場合、ＯＲゲート４３は、リセット停止信号としてＨレベルの信号を監視ＩＣ２１に対して出力する。一方、電子制御装置４０及びスイッチ４４のいずれからもリセット停止信号が入力されない場合、ＯＲゲート４３は、Ｌレベルの信号を監視ＩＣ２１に対して出力する。すなわち、リセット停止信号の出力が停止される。以上のように、電子制御システムは、電子制御装置１０，４０とスイッチ４４を備えている。
【００７１】
図５に示すように、監視ＩＣ２１は、第１実施形態に示した監視ＩＣ２１（図２参照）とほぼ同じ構成になっている。第１実施形態では、フェールセーフ信号をリセット停止信号として用いるのに対し、本実施形態では、フェールセーフ信号に代えて、上記したリセット停止信号を用いる。
【００７２】
第１実施形態同様、異常検出部３０がマイコン２０の異常を検出し、異常信号（Ｈレベルの信号）を出力すると、異常信号をトリガとして、リセット部３２のカウンタ３２ａがカウントを開始し、内部クロックにしたがってリセット閾値からダウンカウントする。そして、カウント値がゼロになると、一定時間、Ｈレベルの信号を出力する。この信号は、ＮＯＴゲート３２ｂにて反転されて、Ｌレベルの信号となる。
【００７３】
ＯＲゲート３２ｃに対し、ＮＯＴゲート３２ｂからＬレベルの信号が入力され、ＯＲゲート４３からＬレベルの信号が入力される場合、ＯＲゲート３２ｃから、リセット信号としてＬレベルの信号が出力される。したがって、マイコン２０がリセットされる。
【００７４】
一方、ＯＲゲート３２ｃに対し、ＯＲゲート４３からリセット停止信号（Ｈレベルの信号）が入力されると、ＮＯＴゲート３２ｂからの出力のレベルによらず、ＯＲゲート３２ｃからの出力は、Ｈレベルの信号となる。すなわち、リセット信号の出力が停止される。したがって、ＮＯＴゲート３２ｂの出力がＬレベルであっても、リセット信号の出力が停止される。
【００７５】
このように、本実施形態に示す構成によっても、フェールセーフ部３１からフェールセーフ信号が出力されている間は、リセット部３２からのリセット信号の出力が停止される。したがって、フェールセーフ信号の出力中にリセット信号が出力されて、所定のフェールセーフ処理が実行できなくなる、ことが抑制される。このため、マイコン２０の恒久的な異常が生じたときに、フェールセーフ処理を確実に実行することができる。
【００７６】
なお、本実施形態では、リセット停止信号を出力する外部機器として、電子制御装置４０とスイッチ４４を備える例を示した。しかしながら、電子制御装置４０及びスイッチ４４の一方のみを備える構成としてもよい。この場合、ＯＲゲート４３は不要となる。外部機器として電子制御装置４０を採用する場合、乗員が操作することなく、リセット停止信号を出力できる。外部機器としてスイッチ４４を採用する場合、エンジンのストール状態を乗員が判断した上で、リセット停止信号を出力することができる。
【００７７】
また、外部機器としての電子制御装置４０を１つのみ備える例を示したが、外部機器として複数の電子制御装置を備える構成としてもよい。
【００７８】
本実施形態では、ネットワークの通信プロトコルとしてＣＡＮを採用する例を示した。しかしながら、上記例に限定されるものではない。通信プロトコルとしては、たとえばＦｌｅｘＲａｙ（登録商標）を採用することもできる。電子制御装置４０としては、バスを介して電子制御装置１０（マイコン２０）の異常を監視でき、異常が生じていると判定したときにリセット停止信号を生成できる構成であればよい。
【００７９】
以上、本発明の好ましい実施形態について説明したが、本発明は上記実施形態になんら制限されることなく、本発明の主旨を逸脱しない範囲において、種々変形して実施することが可能である。
【００８０】
電子制御装置１０が備える監視部は、監視ＩＣ２１に限定されない。たとえば、マイコン２０とは別に設けられた監視マイコンを採用することもできる。
【００８１】
電子制御装置１０としては、エンジンＥＣＵに限定されない。エンジンＥＣＵ以外の車載ＥＣＵを採用することもできる。また、車載にも限定されない。
【００８２】
マイコン２０により複数の負荷が制御され、複数の負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なる例を示した。詳しくは、マイコン２０により、インジェクタ１１、点火プラグ１２、及び電子スロットル１３のモータ１５が制御され、フェールセーフ処理時にはモータ１５の駆動が停止され、リセット時には、インジェクタ１１、点火プラグ１２、及びモータ１５の駆動が停止される例を示した。
【００８３】
しかしながら、本発明は、マイコン２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているとき（フェールセーフ処理時）の駆動状態と、リセット信号が出力されているとき（リセット処理時）の駆動状態とが異なるものであれば、適用することができる。したがって、マイコン２０により制御される負荷（制御対象）の数は特に限定されない。また、負荷も、インジェクタ１１、点火プラグ１２、及びモータ１５に限定されない。
【００８４】
たとえば、マイコン２０により制御される負荷が１つのみであっても、フェールセーフ処理時とリセット時とで、負荷の駆動状態が異なるものであれば、本発明を適用することができる。
【００８５】
フェールセーフ部３１が、複数の負荷のうち、負荷の１つを予め設定された退避状態に保持させるために、異常信号に基づいてフェールセーフ信号を出力する例を示した。しかしながら、すべての負荷を予め設定された退避状態に保持させるために、フェールセーフ信号を出力する構成にも適用できる。また、すべての負荷の一部である複数の負荷を予め設定された退避状態に保持させるために、フェールセーフ信号を出力する構成にも適用できる。上記したように、マイコン２０により制御される負荷の少なくとも１つについて、フェールセーフ信号が出力されているときの駆動状態と、リセット信号が出力されているときの駆動状態とが異なるものであればよい。
【００８６】
カウンタ３１ａ，３２ａとして、ダウンカウンタの例を示したが、アップカウンタを採用することもできる。
【符号の説明】
【００８７】
１０…電子制御装置、１１…インジェクタ、１２…点火プラグ、１３…電子スロットル、１４…スロットルバルブ、１５…モータ、２０…マイコン、２１…監視ＩＣ、２２…ＥＴＣドライバ、２３…ＣＡＮドライバ、３０…異常検出部、３１…フェールセーフ部、３１ａ…カウンタ、３２…リセット部、３２ａ…カウンタ、３２ｂ…ＮＯＴゲート、３２ｃ…ＯＲゲート、４０…他の電子制御装置、４１…マイコン、４２…ＣＡＮドライバ、４３…ＯＲゲート、４４…スイッチ
【図１】
0006398829.tif 000002
【図２】
0006398829.tif 000003
【図３】
0006398829.tif 000004
【図４】
0006398829.tif 000005
【図５】
0006398829.tif 000006
【図６】
0006398829.tif 000007
【図７】
0006398829.tif 000008
【図８】
0006398829.tif 000009
【図９】
0006398829.tif 000010