JP2018067239A - 電子制御装置 - Google Patents

Abstract

【課題】負荷を駆動停止することなく通常処理を継続できる電子制御装置を提供する。【解決手段】電子制御装置１において、演算装置２は、アクチュエータ５を駆動制御する制御信号をアクチュエータ駆動装置４に出力する。監視装置３は、演算装置の動作を監視し演算装置が異常を生じたときにリセット信号ＲＳＴ２をリセット信号線２４を通じて演算装置に出力する。機能監視部１９は、リセット信号線２４のリセット信号ＲＳＴ２が演算装置の本来の異常時に生じる監視対象リセット信号となるか又は演算装置の本来の異常時以外に生じる監視対象外リセット信号となるかを判別する。【選択図】図１

Description

本発明は、電子制御装置に関する。

監視装置が演算装置により発行されるウォッチドッグ信号を監視し、このウォッチドッグ信号に異常を生じたときに演算装置にリセット信号を出力するシステムが一般に提供されている。このとき、監視装置が演算装置に発行するリセット信号の発行回数をカウントし、所定回数に達したときにアクチュエータを駆動停止する技術が提供されている（例えば、特許文献１参照）。

特開２００２−２３５５９８号公報

近年、例えばユーザによりイグニッションキーなどの電源スイッチがオフされたときに、電子制御装置の電源供給がオフされるまで、電子制御装置はアクチュエータを駆動停止するための停止信号を出力し続けることが望まれている。このような改良を施すことで、機能安全性を高めることができる。

この場合、演算装置が終了処理している最中に、再度ユーザにより電源スイッチがオン操作されると、演算装置をリセットするためにリセット信号がリセット信号線に発行される。しかし、このリセット信号線に入力されるリセット信号が、演算装置の初期化信号として発行されるリセット信号であるか、演算装置が暴走しているときのリセット信号であるか、を判別できないと、例えば特許文献１記載の技術を適用したときには、意図しないタイミングでリセット信号の発行回数をカウントしてしまい、直ちに所定回数に達してしまい、アクチュエータを駆動停止してしまうという問題を生じる。これにより、商品性を悪化させてしまうという課題があった。

本発明の目的は、意図しないタイミングでリセット信号が発行されたとしても負荷を駆動停止することなく通常処理を継続できるようにした電子制御装置を提供することにある。

請求項１記載の発明によれば、判別部がリセット信号線に入力されるリセット信号が演算装置の本来の異常時に生じる監視対象リセット信号となるか又は演算装置の本来の異常時以外に生じる監視対象外リセット信号となるかを判別する。このため、リセット信号がリセット信号線に発行されたとしても、このリセット信号が演算装置の本来の異常時に生じたものであるか、本来の異常時以外で生じたものであるかを判別することができる。このとき、本来の異常時以外で生じたリセット信号であるときには、負荷を駆動停止することなく、通常処理を継続できるようになる。

請求項２記載の発明によれば、監視対象リセット信号の発行時には計数部が監視対象リセット信号の発生回数をカウントし、駆動制御停止出力部はこの発生回数が所定値以上になると負荷の駆動制御を停止する停止信号を出力する。このため、監視対象リセット信号が所定値以上になったときには負荷の駆動制御を停止できる。また、たとえ監視対象外のリセット信号がリセット信号線に発行されたとしても、このリセット信号をカウントすることがないため負荷を駆動制御停止することはない。

一実施形態における電子制御装置の電気的構成を機能的に示す図 処理の流れを示すタイミングチャート（その１） 処理内容を概略的に説明するフローチャート 処理の流れを示すタイミングチャート（その２） 機能監視部の処理内容を概略的に説明するフローチャート

以下、電子制御装置の一実施形態について図面を参照しながら説明する。図１は電子制御装置の電気的構成を機能的に示している。図１に示すように、電子制御装置１は、演算装置２と、監視回路３と、アクチュエータ駆動装置（駆動装置相当）４と、を備える。アクチュエータ駆動装置４は、電子制御装置１の外部に構成されていても良い。

演算装置２は、例えばワンチップのマイクロコンピュータであり、図示しないが、例えばＣＰＵや、ＲＯＭ及びＲＡＭ等によるメモリ、Ｉ／Ｏ、Ａ／Ｄ変換回路、割込制御回路、システム制御回路、並びに、通信回路等を備える。この演算装置２は、メモリに記憶されたプログラムを実行することで負荷としてのアクチュエータ５を駆動制御する。アクチュエータ５は、例えば電子スロットルなどの車両用負荷であり、例えばスロットルバルブを開閉するためのモータを一例として挙げることができる。

演算装置２にはドライバ要求に応じた各種センサ６のセンサ信号（又はスイッチ信号（図示せず））が入力される。センサ６は、例えばアクセルポジションセンサ等である。例えばアクセルポジションセンサは、例えばドライバ要求により操作可能なアクセルペダルの操作量を電気変換するセンサである。図１に示すように、演算装置２は、前述のハードウェア構成にてＣＰＵが非遷移的記録媒体としてのＲＯＭに記憶されたプログラムに基づいて処理を実行する。これにより演算装置２は、少なくとも、実制御部７、実制御機能監視部８、及び、自身監視制御部９、の機能ブロックの動作を実現する。

演算装置２の実制御部７は、通常時において、各種センサ６のセンサ信号を入力し、このセンサ信号に基づいてアクチュエータ５を実際に駆動制御する（図１のLevel1参照）。このとき、実制御部７はアクチュエータ駆動装置４に制御信号を出力し、アクチュエータ駆動装置４がこの制御信号に応じてアクチュエータ５を駆動制御する。

また実制御部７は、監視回路３の内部、後述するリレー駆動部１４に信号線を通じて電源リレー保持信号２８を出力するようになっている。この電源リレー保持信号２８は、演算装置２が実制御部７によりアクチュエータ駆動装置４を通じてアクチュエータ５を駆動制御するときに、リレー駆動部１４に電源リレー保持を指令するための信号であり、リレー駆動部１４が、誤って電源リレー２６を遮断しないようにするための指令信号を示している。この電源リレー保持信号２８は、機能監視部１９にも入力されている。

実制御機能監視部８は、アクチュエータ駆動装置４に通電遮断要求信号を出力するための出力線１０を接続している。実制御部７がアクチュエータ駆動装置４を通じてアクチュエータ５を駆動しているときには、実制御機能監視部８は、実制御部７による実制御機能が正常に機能しているか否かを監視し、実制御機能に異常を生じたときには出力線１０を通じて通電遮断要求信号をアクチュエータ駆動装置４に出力する（図１のLevel2参照）。これにより、アクチュエータ駆動装置４がアクチュエータ５の駆動制御を停止しフェールセーフ処理する。例えばアクチュエータ５が電子スロットルである場合には、フェールセーフ処理することで、センサ信号がたとえ変化したとしてもスロットルバルブの開度を僅かな一定の開度状態に保持できるようになり、例えばドライバによるアクセルの踏み込み度が変化したとしても一定速度（例えば２０ｋｍ／ｈ）で車両走行できるようになる。このとき、演算装置２はフェールセーフ処理に移行したことをドライバに報知することで、ドライバは修理工場に依頼しこの状態から復旧させることが必要となる。

他方、自身監視制御部９は、外部の監視装置３との間で通信し、この通信内容に応じて演算装置２自身を監視制御するように構成され、ウォッチドッグ信号生成部１１、及び、機能監視部１２を備える。ウォッチドッグ信号生成部１１はパルス状のウォッチドッグ信号ＷＤを生成し監視装置３に出力する。

他方、監視装置３は、例えばＡＳＩＣ、又は、マイコン及びＡＳＩＣのハイブリッド回路により演算装置２と一体又は別体で構成され、その内部を機能的に記載すると、波形整形部１３、リレー駆動部１４、パワーオンリセット（ＰＯＲ：Power On Reset）回路１５、電源部１６、及び、監視部１７としての機能を備える。

波形整形部１３は電源スイッチ信号入力部としても機能する。監視部１７は、ウォッチドッグ信号（ＷＤ）監視部１８、及び、機能監視部１９を備える。機能監視部１９は、判別部、駆動制御停止出力部として機能し、演算装置２の機能監視部１２と協調して機能を監視する（図１中のLevel3参照）。

監視装置３には、イグニッションキースイッチによる電源スイッチ２２が接続されている。この電源スイッチ２２は、自動車のエンジン始動に用いられるスイッチであり、電源スイッチ信号ＳＷを監視装置３に出力する。電源スイッチ２２は、例えばエンジン始動に用いられる電子式のプッシュスイッチであっても良いが、以下では、電源スイッチ２２から出力される信号を電源スイッチ信号ＳＷと総称して説明する。この電源スイッチ信号ＳＷは、電源スイッチ２２の切替時にノイズを生じるため、このノイズを除去するため波形整形部１３に入力されている。波形整形部１３は、電源スイッチ信号ＳＷに含まれるノイズを除去することで波形整形し、電源スイッチ信号ＳＷを監視部１７中の機能監視部１９に出力すると共にリレー駆動部１４に出力する。

リレー駆動部１４は、車両始動時に電源スイッチ信号ＳＷがオフからオンに入力されると電源リレー駆動信号をオン出力することで電源リレー２６を通じてバッテリ電源Ｖbattを内部の電源部１６に通電する。電源部１６は、バッテリ電源Ｖbattが通電されると演算装置用電源Ｖｄを生成し演算装置２に出力する。なお演算装置２は、演算装置用電源Ｖｄが供給されると動作を開始するようになっており、演算装置２は、演算装置用電源Ｖｄが供給されると、自身監視制御部９による自身監視制御機能により外部の監視装置３との間で通信バス２３を通じて通信処理を開始できる。

監視部１７のウォッチドッグ信号監視部１８は、演算装置２のウォッチドッグ信号生成部１１により生成されたウォッチドッグ信号ＷＤを監視し、異常を生じたときには、リセット信号線２４、及び、ＯＲゲート２７を通じてリセット信号ＲＳＴ２をアクティブレベルとして出力する。

監視部１７の機能監視部１９は、ウォッチドッグ信号監視部１８のリセット信号ＲＳＴ２が演算装置２の本来の異常時に生じる監視対象リセット信号となるか又は演算装置２の本来の異常時以外に生じる監視対象外リセット信号となるかを判別する判別部としての機能を備える。機能監視部１９は、この判別機能を実現するため、計数部２０と、フラグ記憶部２１と、を備える。計数部２０は、監視対象リセット信号の発生回数をカウントするカウンタ等により構成される。フラグ記憶部２１はカウント禁止フラグの記憶領域を備える。

機能監視部１９は、リセット信号線２４に生じるリセット信号を監視し、計数部２０により監視対象リセット信号の発生回数をカウントする。機能監視部１９は、本来の異常時以外に生じる監視対象外リセット信号となっているときには当該監視対象外リセット信号を無視し、計数部２０は監視対象リセット信号としてカウントしない。機能監視部１９は、アクチュエータ駆動装置４に通電遮断要求信号を出力するための出力線２５を接続している。機能監視部１９は、ウォッチドッグ信号監視部１８による監視結果に基づいて異常を生じたときには通電遮断要求信号を出力線２５を通じてアクチュエータ駆動装置４に出力することで、アクチュエータ駆動装置４によりアクチュエータ５の駆動制御を停止可能になっている。これにより、Level2、Level３の複数段階でフェールセーフ処理可能になっている。

以下、本実施形態における動作を説明する。図２は、演算装置２に生じた異常が所定回に達したときにフェールセーフ処理に移行するまでのタイミングチャートを示している。図２に示すように、タイミングｔ１において電源スイッチ２２がオンされると、この電源スイッチ信号ＳＷのオン信号が監視装置３の波形整形部１３を通じてリレー駆動部１４に与えられる。監視回路３のリレー駆動部１４は、電源リレー２６をオン駆動することでバッテリ電源Ｖbattを電源部１６に入力させる。この電源部１６は、演算装置２用の電源Ｖｄを生成し演算装置２に出力する。他方、電源スイッチ２２がオンされると、パワーオンリセット回路１５はリセット信号ＲＳＴ１をアクティブレベルとしてＯＲゲート２７を通じてリセットResetとして出力するものの、入力クロックが演算装置２に安定的に入力されると、タイミングｔ２においてリセット信号ＲＳＴ１をノンアクティブレベルとしてＯＲゲート２７を通じて演算装置２に印加する。これによりリセット解除する。

その後、演算装置２の実制御部７は、センサ６からセンサ信号を入力しアクチュエータ駆動装置４を通じてアクチュエータ５を駆動制御する。このとき、タイミングｔ３において、実制御部７は信号線を通じて電源リレー保持信号２８をアクティブ状態として出力するが、この電源リレー保持信号２８は監視装置３のリレー駆動部１４及び機能監視部１９に与えられる。

この後、演算装置２のウォッチドッグ信号生成部１１は、タイミングｔ４においてパルス状のウォッチドッグ信号ＷＤを生成し、監視装置３に出力し始める。この後、演算装置２に何らかの異常を生じると、演算装置２の自身監視制御部９は、タイミングｔ５においてウォッチドッグ信号生成部１１によるウォッチドッグ信号ＷＤのパルス出力を停止する。すると、監視装置３のウォッチドッグ信号監視部１８は、タイマ（図示せず）により異常判定時間を計測し、このとき異常判定時間が閾値に達したときに異常であると判定し、タイミングｔ６においてリセット信号線２４及びＯＲゲート２７を通じてリセット信号ＲＳＴ２をアクティブレベルとして演算装置２に出力すると共に、リセット信号ＲＳＴ２のアクティブレベルを機能監視部１９に出力する。演算装置２は、リセット信号ＲＳＴ２のアクティブレベルをＯＲゲート２７を通じてリセットResetを入力すると自身をリセットする。

図３は、機能監視部１９の概略的な処理内容をフローチャートにより示している。機能監視部１９は、図３のＳ１においてウォッチドッグ信号監視部１８によりリセット信号線２４に発行されるリセット信号ＲＳＴ２を監視している。そして機能監視部１９は、図２のタイミングｔ６において図３のＳ２の処理を実行し、ウォッチドッグ信号監視部１８により発行されたリセット信号ＲＳＴ２のアクティブレベルが監視対象リセット信号であるか監視対象外リセット信号であるかを、少なくとも電源スイッチ信号ＳＷに基づいて判別する。

機能監視部１９は、タイミングｔ６において電源スイッチ信号ＳＷがオンされているため、ウォッチドッグ信号監視部１８により発行されたリセット信号ＲＳＴ２を監視対象リセット信号であると判定し、図３のＳ３において計数部２０によりリセット信号ＲＳＴ２の発行回数をインクリメントする。この図２のタイミングｔ６では、このリセット信号の発行回数が所定値（例えば２回）未満となっているため、機能監視部１９は、図３のＳ１に処理を戻し、再度リセット信号線２４のリセット信号ＲＳＴ２を監視し続ける。

また、演算装置２にはリセット信号ＲＳＴ２がアクティブレベルとして入力されるため、リセット機能により演算装置２は再起動する。すると演算装置２は、図２のタイミングｔ７においてパルス状のウォッチドッグ信号ＷＤを再度出力し始める。またこの後、演算装置２に何らかの異常を生じると、演算装置２は、図２のタイミングｔ８においてウォッチドッグ信号ＷＤのパルス出力を停止する。

すると、監視装置３のウォッチドッグ信号監視部１８はタイマにより異常判定時間を計測し、このとき異常判定時間が閾値に達したときに異常であると判定し、図２のタイミングｔ９においてリセット信号ＲＳＴ２のアクティブレベルをリセット信号線２４に出力する。これにより、リセット信号ＲＳＴ２のアクティブレベルが演算装置２及び機能監視部１９に入力される。演算装置２は、図２のタイミングｔ９においてリセット信号ＲＳＴ２のアクティブレベルをＯＲゲート２７を通じて入力すると、演算装置２自身をリセットする。

他方、同時に、監視装置３の機能監視部１９は、図２のタイミングｔ９において図３のＳ２の判別処理を実行し、ウォッチドッグ信号監視部１８により発行されたリセット信号ＲＳＴ２が監視対象リセット信号であるか監視対象外リセット信号であるかを、少なくとも電源スイッチ信号ＳＷに基づいて判別する。

機能監視部１９は、タイミングｔ９において電源スイッチ信号ＳＷがオンされているため、ウォッチドッグ信号監視部１８により発行されたリセット信号ＲＳＴ２のアクティブレベルを監視対象リセット信号であると判定し、図３のＳ３において計数部２０によりリセット信号ＲＳＴ２の発行回数をインクリメントする。この図２のタイミングｔ９においては、このリセット信号ＲＳＴ２の発行回数が所定値（例えば２回）以上となるため、機能監視部１９は通電遮断要求信号をアクチュエータ駆動装置４に出力する。これによりアクチュエータ５の駆動を停止できフェールセーフ処理できる。

フェールセーフ処理すると、図示しない報知装置が外部に通知する。このためドライバは車両を安全に停止し図２のタイミングｔ１０にて電源スイッチ２２をオフする。
電源スイッチ２２がオフされると、監視装置３のリレー駆動部１４がこの電源スイッチ信号ＳＷのオフ信号を入力するが、電源スイッチ信号ＳＷは波形整形部１３を通じて演算装置２の実制御部７にも入力される。演算装置２の実制御部７は、この電源スイッチ信号ＳＷのオフ信号を受け付けると、シャットダウン処理、所謂停止処理を行う。

この演算装置２が停止処理を行っている間も、監視装置３のリレー駆動部１４は、当該停止処理の終了時間よりも長く見込まれる所定時間Ｔ２の間、電源リレー２６のオン制御を継続する。これにより、監視装置３の電源部１６は、所定時間Ｔ２の間、演算装置用電源Ｖｄを演算装置２に供給する。

同時に、電源スイッチ信号ＳＷは、波形整形部１３を通じて機能監視部１９にも入力される。前述したように、演算装置２が停止処理を行っている間も、リレー駆動部１４は所定時間Ｔ２の間、電源リレー２６のオン制御を継続するが、この間、機能監視部１９は通電遮断要求信号をアクチュエータ駆動装置４に出力し続ける。そして、図２のタイミングｔ１１において所定時間Ｔ２を経過すると、リレー駆動部１４は電源リレー２６をオフする。すると、電源部１６が演算装置２への電源供給を停止する。

機能監視部１９は、リレー駆動部１４が電源リレー２６をオフし、電源部１６が演算装置用電源Ｖｄをオフするまでアクチュエータ駆動装置４への通電遮断要求信号を継続出力しているため、電源部１６が電源出力オフするまでアクチュエータ駆動装置４がアクチュエータ５を駆動開始することがなくなり、機能安全性を高めることができる。

したがって、演算装置２が停止処理しているときに、たとえ電源スイッチ２２がオフ操作されたとしても、このオフ操作に応じた誤動作を防止できる。その後、電源スイッチ２２が再度オンされると、図２のタイミングｔ２１以降に示すように、処理を繰り返すことになるが、この処理の説明は省略する。

また図４は、電源スイッチ２２がオン状態からオフに切換えられた直後に再度オンに切換えられたときの各部の動作をタイミングチャートで示している。特に、演算装置２が停止処理を行っている最中に、電源スイッチ２２が再度オンに切替えられたときの動作説明図を示している。この図４に示す説明では、図２に図示した内容に加えて、機能監視部１９がフラグ記憶部２１に保持するカウント禁止フラグ、計数部２０によるカウント値も図示している。また図５は、カウント禁止フラグのオン条件をフローチャートを用いて示している。

図４に示す流れにおいても、前述した図２の説明と同様に、電源スイッチ２２がオンされると、演算装置２は、タイミングｔ１〜ｔ５に示すようにウォッチドッグ信号ＷＤを出力する。演算装置２は異常を生じると、当該異常に基づいて図４のタイミングｔ５〜ｔ６に示すようにリセット処理する。機能監視部１９は、リセット信号ＲＳＴ２を監視対象リセット信号と見做し、この発行回数を計数部２０によりカウントする。図４のタイミングｔ６では１回とカウントされる。図４に示すように、このタイミングｔ１〜ｔ６等の間、機能監視部１９は、フラグ記憶部２１にカウント禁止フラグをオフのまま保持する。

その後、図４のタイミングｔ３１において、電源スイッチ２２がオフされると、演算装置２は停止処理を開始する。演算装置２は停止処理を開始するものの、そのタイミングｔ３１から期間Ｔａ（＜Ｔ２）を経過したタイミングｔ３２において再度電源スイッチ２２がオンされたときにも、電源リレー保持信号２８が入力され続けられているため、電源部１６は、演算装置用電源Ｖｄの電源供給を継続する。電源は監視装置３にも供給され続けているため、パワーオンリセット回路１５はリセット信号ＲＳＴ１を出力しない。しかし、電源スイッチ信号ＳＷがタイミングｔ３２においてオフからオンになったときには、演算装置２はウォッチドッグ信号ＷＤを意図的に停止し自身をリセット処理する。

他方、監視装置３の機能監視部１９は、図５に示すように、電源スイッチ信号ＳＷがオフからオンしたときのタイミングｔ３２における電源リレー保持信号２８を入力し、当該電源リレー保持信号２８がアクティブ状態を継続していれば、図５のステップＳ１１、Ｓ１２においてＹＥＳと判定し、図４のタイミングｔ３２においてカウント禁止フラグをオフからオンにする。図５のＳ１３も参照。

そして機能監視部１９は、図４のタイミングｔ３３において図３のＳ２に示す判別処理を実行すると、ウォッチドッグ信号監視部１８により発行されたリセット信号ＲＳＴ２が監視対象リセット信号であるか監視対象外リセット信号であるかを判別する。

このとき機能監視部１９は、フラグ記憶部２１のカウント禁止フラグをオンにしているため、ウォッチドッグ信号監視部１８がリセット信号ＲＳＴ２を出力し、機能監視部１９が図３のＳ１においてリセット信号ＲＳＴ２を監視したとしても、このリセット信号ＲＳＴ２を監視対象外リセット信号と見做し、リセット信号ＲＳＴ２の発行回数をインクリメントすることなく図３のＳ１に処理を戻す。これにより、リセット信号ＲＳＴ２の発行回数は、カウントされることなく前回の発行回数（例えば１回）のまま保持されるようになる。図４のタイミングｔ３３における計数部２０のカウント値参照。

その後、機能監視部１９は、リセット信号ＲＳＴ２を監視し、ノンアクティブレベル「Ｌ」が入力されたことを確認すると、図４のタイミングｔ３４において、フラグ記憶部２１のカウント禁止フラグをオフに戻す。演算装置２は、図４のタイミングｔ３５において意図的に停止していたウォッチドッグ信号ＷＤを復帰させることで通常動作開始する。

このため、演算装置２が停止処理している間に、電源スイッチ２２がオンからオフ、また再度オンされたときに、演算装置２が意図的にウォッチドッグ信号ＷＤを停止したとしても、監視装置３は、このウォッチドッグ信号ＷＤの停止によるリセット信号ＲＳＴ２を監視対象外リセット信号と見做し、計数部２０によりカウントすることはない。このため、フェールセーフ処理して退避走行することなく、通常動作に復帰でき通常制御を継続できる。

＜比較例＞
仮に、カウント禁止フラグを設けるなどの処理を行っていないと、電源スイッチ２２がオンからオフ、再度オンされたときに、リセット回数を所定回以上カウントしてしまうことになりフェールセーフ処理に移行してしまう虞がある。

＜まとめ＞
本実施形態の特徴を概念的にまとめる。
演算装置２が異常を生じたときに監視装置３はリセット信号ＲＳＴ２のアクティブレベルをリセット信号線２４を通じて演算装置２に出力する。機能監視部１９は、リセット信号線２４に発行されるリセット信号ＲＳＴ２のアクティブレベルが演算装置２の本来の異常時に生じる監視対象リセット信号となるか又は演算装置２の本来の異常時以外に生じる監視対象外リセット信号となるかを判別する。このため、リセット信号ＲＳＴ２のアクティブレベルがリセット信号線２４に発行されたとしても、このリセット信号ＲＳＴ２のアクティブレベルが演算装置２の本来の異常時に生じたものであるか、本来の異常時以外で生じたものであるかを判別できる。このとき、本来の異常時以外で生じたものであるときには、フェールセーフ処理に移行することなく通常制御を継続できる。

また、監視対象リセット信号ＲＳＴ２のアクティブレベルの発行時には、計数部２０が監視対象リセット信号ＲＳＴ２の発生回数をカウントする。機能監視部１９はこの発生回数が所定値以上になると、アクチュエータ５を駆動制御停止するための通電遮断要求信号を停止信号としてアクチュエータ駆動装置４に出力する。このため、監視対象リセット信号ＲＳＴ２が所定値以上になったときには、アクチュエータ５の駆動制御を停止できフェールセーフ処理に移行できる。

また、たとえ監視対象外のリセット信号ＲＳＴ２がリセット信号線２４に発行されたとしても、このリセット信号ＲＳＴ２のアクティブレベル「Ｈ」の発行回数をカウントすることがないため、アクチュエータ５を駆動制御停止することがなくなり、フェールセーフ処理に移行することがなくなる。

機能監視部１９が、通電遮断要求信号をアクチュエータ駆動装置４に出力するときには、電源部１６が電源オフするまで当該通電遮断要求信号を継続するようにしているため、電源部１６が電源オフするまでアクチュエータ駆動装置４がアクチュエータ５を駆動開始可能に至ることがなくなり、機能安全性を高めることができる。

機能監視部１９は、演算装置２がアクチュエータ駆動装置４を通じてアクチュエータ５を駆動制御するときに電源保持を指令出力する電源リレー保持信号２８を入力し、電源スイッチ信号ＳＷがオフからオンするタイミングにおける電源リレー保持信号２８に応じて、リセット信号ＲＳＴ２が監視対象リセット信号であるか監視対象外リセット信号であるかを判別するようにしている。これにより、監視対象リセット信号であるか監視対象外リセット信号であるかを正確に判別できる。

具体例を詳述するならば、リセット信号ＲＳＴ２が発行される直前において、電源スイッチ信号ＳＷがオフからオンするタイミングにおいて電源リレー保持信号２８のアクティブ状態が継続していることを条件として、機能演算部１９はカウント禁止フラグをオフからオンしてフラグ記憶部２１に記憶させるようにしている。このため、その後、リセット信号ＲＳＴ２が発行されたとしても当該リセット信号ＲＳＴ２の発行回数をカウントすることがなくなる。

一旦、フェールセーフ処理に移行してしまうと、再度ディーラなどで点検、修理を施す必要を生ずることがあるが、本実施形態に示すように処理することで、フェールセーフ処理に移行する必要なく通常制御を継続できる。これにより、車両の信頼性を確保しながら、商品性の悪化を防ぐことができる。

なお図５は、カウント禁止フラグのオン条件を示しているが、図１や図４に示すタイミングｔ１において、通常通り車両が起動されるときに電源スイッチ２２がオフからオンされＳ１１の条件を満たしたとしても、このタイミングｔ１には電源リレー保持信号２８はノンアクティブレベルとされているためＳ１２の条件を満たすことはなく、カウント禁止フラグがオフからオンになることはない。

（他の実施形態）
本発明は、前述した実施形態に限定されるものではなく、種々変形して実施することができ、その要旨を逸脱しない範囲で種々の実施形態に適用可能である。例えば以下に示す変形又は拡張が可能である。

監視装置３の他に別途機能監視部１９の機能を備える構成を設け、監視装置３の外部の機能監視部１９が処理を実行するようにしても良い。
特許請求の範囲に記載した括弧内の符号は、本発明の一つの態様として前述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。前述実施形態の一部を、課題を解決できる限りにおいて省略した態様も実施形態と見做すことが可能である。また、特許請求の範囲に記載した文言によって特定される発明の本質を逸脱しない限度において、考え得るあらゆる態様も実施形態と見做すことが可能である。

また本発明は、前述した実施形態に準拠して記述したが、本発明は当該実施形態や構造に限定されるものではないと理解される。本発明は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範畴や思想範囲に入るものである。

図面中、１は電子制御装置、２は演算装置、３は監視装置、５はアクチュエータ（負荷）、１３は波形整形部（電源スイッチ信号入力部）、１６は電源部、１９は機能監視部（判別部、駆動制御停止出力部）、２０は計数部、２４はリセット信号線、を示す。

Claims (5)

1. 負荷（５）を駆動制御するための制御信号を駆動装置（４）に出力する演算装置（２）と、
   前記演算装置の動作を監視し当該演算装置が異常を生じたときにリセット信号（ＲＳＴ２）をリセット信号線（２４）を通じて前記演算装置に出力する監視装置（３）と、
   前記リセット信号線のリセット信号が前記演算装置の本来の異常時に生じる監視対象リセット信号となるか又は前記演算装置の本来の異常時以外に生じる監視対象外リセット信号となるかを判別する判別部（１９）と、
   を備える電子制御装置。
2. 前記監視対象リセット信号の発行時には当該監視対象リセット信号の発生回数をカウントする計数部（２０）と、
   前記計数部によりカウントされた監視対象リセット信号の発生回数が所定値以上になると前記負荷の駆動制御を停止する停止信号を出力する駆動制御停止出力部（１９）と、
   をさらに備える請求項１記載の電子制御装置。
3. 前記演算装置に演算装置用電源を供給するための電源部（１６）をさらに備え、
   前記駆動制御停止出力部は、前記停止信号を出力するときには前記電源部が演算装置用電源をオフするまで当該停止信号を継続する請求項２記載の電子制御装置。
4. 電源スイッチ信号（ＳＷ）を入力する電源スイッチ信号入力部（１３）をさらに備え、
   前記判別部は、前記演算装置が負荷を駆動制御するときに電源保持を指令出力する電源リレー保持信号（２８）を入力し、前記電源スイッチ信号がオフからオンするタイミングにおける前記電源リレー保持信号に応じて、前記リセット信号が前記監視対象リセット信号であるか前記監視対象外リセット信号であるかを判別する請求項１から３の何れか一項に記載の電子制御装置。
5. 前記監視対象リセット信号の発行時には当該監視対象リセット信号の発生回数をカウントする計数部（２０）を備え、
   前記判別部により前記リセット信号線に入力される信号が前記監視対象外リセット信号であると判別されたときには、前記計数部は、前記監視対象リセット信号の発生回数をカウントしないようにする請求項４記載の電子制御装置。
   

Images