JP2002323902A - 電子制御装置 - Google Patents

Abstract

(57)【要約】 【課題】電源スイッチのオフ後も電源の接続を継続させ
る機能を有した電子制御装置において、プログラムメモ
リのデータ異常時に、電源の遮断を確実に行う。 【解決手段】ＥＣＵ１は、キースイッチ２を介してバッ
テリ３に接続されるとともに、メインリレー４を介して
バッテリ３に接続され、キースイッチ２のオフ後、メイ
ンリレー４がオンに制御されバッテリ３への接続が継続
される。マイコン１１は、フラッシュメモリ１２の制御
プログラムに従い各種制御を実施する。監視回路１６
は、マイコン１１から出力されるウオッチドック信号Ｗ
ＤＣを監視し、その信号ＷＤＣの周期性が崩れたときマ
イコン１１をリセットする。マイコン１１は、フラッシ
ュメモリ１２のデータ異常時にマイコン１１の出力によ
りトランジスタ１９をオフする。トランジスタ１９のオ
フ時、キースイッチ２がオフされれば直ちにメインリレ
ー４がオフされる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、内燃機関等を制御
するための電子制御装置に係り、特に電源スイッチのオ
フ後においても電源の接続を継続させる機能を有する装
置に関するものである。

【０００２】

【従来の技術】内燃機関等を制御するための電子制御装
置（ＥＣＵ）において、昨今、制御プログラムを記憶す
るプログラムメモリとしてフラッシュメモリを使用する
ことが一般的になってきている。フラッシュメモリを使
用する場合、書き込み時の状態（書き込み電圧のバラツ
キ等）に起因して、書き込みデータに対し読み出しデー
タが異なるデータ化けの現象がごく希に発生する。この
データ化けが生じると、正しく動作しないプログラムが
実行され、ＥＣＵによる制御に支障を来すことが考えら
れる。そのため、ＥＣＵにおいてフラッシュメモリを使
用する場合、読み出しデータの異常をチェックサムなど
により検出し、そのデータ異常時に、内燃機関の運転停
止や内燃機関への燃料噴射量の制限等のフェールセーフ
処理を行うようにしている。また、データ異常時にて、
ＥＣＵの各種制御を司るマイクロコンピュータをリセッ
トさせる技術も一般的に採用されている。

【０００３】ところで、内燃機関を制御するＥＣＵに
は、バッテリへの接続を電源スイッチのオフ後も一定時
間継続し、所定の制御を実行した後、同ＥＣＵの出力信
号にてリレー回路（以下、メインリレーと言う）をオフ
することによりバッテリ電源を遮断する、といういわゆ
るメインリレー制御を実施するものがある。

【０００４】このメインリレー制御を実施するＥＣＵに
おいて、プログラムメモリのデータが化けてしまうと、
メインリレー制御が正常に実施できず、電源スイッチを
オフしてもメインリレーがオンのまま継続され、電源が
遮断できなくなるといった問題が生じる可能性がある。
また例えば、車載バッテリを駆動電源とするＥＣＵにお
いては、メインリレーがオフできなくなると、ＥＣＵに
バッテリ電源が供給され続け、バッテリが消耗するとい
った問題も生じてしまう。この場合、バッテリの消耗に
伴いバッテリ電圧が低下するため、ＥＣＵによる内燃機
関の始動制御等が実施できなくなるといったことも懸念
される。

【０００５】

【発明が解決しようとする課題】本発明は、上記問題に
着目してなされたものであって、電源スイッチのオフ後
も電源の接続を継続させる機能を有した電子制御装置に
おいて、プログラムメモリのデータ異常時に、電源の遮
断を確実に行うことができる電子制御装置を提供するこ
とである。

【０００６】

【課題を解決するための手段】請求項１に記載の発明で
は、電源スイッチがオフに操作された後も所定の制御が
完了するまではリレー回路がオンに制御され電源の接続
が継続される、いわゆるリレー制御が実施される。この
電子制御装置において、マイクロコンピュータは、プロ
グラムメモリに記憶した制御プログラムに従いリレー制
御を含む各種制御を実施するとともに、所定周期でオン
・オフするモニタ信号を出力する。ここで、プログラム
メモリに記憶したプログラムデータが異常となる時に
は、その異常データが処理されマイクロコンピュータに
よる制御が異常となる場合と、異常データが処理されず
マイクロコンピュータによる制御が正常状態で維持され
る場合とがある。マイクロコンピュータによる制御が異
常となる場合、マイクロコンピュータから出力されるモ
ニタ信号の周期性が崩れ、監視回路によりマイクロコン
ピュータがリセットされる。そして、リセット状態（初
期状態）が継続される場合、該リレー制御は禁止される
ので、電源スイッチのオフ操作により電源遮断を行うこ
とができる。一方、プログラムデータの異常時にマイク
ロコンピュータによる制御が正常状態で維持される場
合、マイクロコンピュータにより、プログラムデータが
異常である旨が判定され、リレー制御が禁止される。こ
れにより、リレー制御を実施するためのプログラムデー
タが異常となったとしても、電源スイッチのオフ操作に
より電源を遮断することができ、データ異常時に電源が
遮断できなくなるといった問題を回避することができ
る。このように、電源の接続を継続させる機能を有した
電子制御装置において、プログラムメモリのデータ異常
時にも確実に電源の遮断を行うことができる。

【０００７】また一般に、電子制御装置により駆動され
る電気負荷（アクチュエータ）は、リレー回路を介して
電源に接続されており、リレー回路を通して電源が供給
された時に電子制御装置による各種制御（アクチュエー
タの駆動制御等）が実施される。この場合には、請求項
２のように、電源スイッチがオンであれば、リレー制御
の許可・禁止にかかわらずリレー回路がオンされる。つ
まり、プログラムデータが異常となり、リレー制御が禁
止されたとしても、電源スイッチがオンであれば、リレ
ー回路のオンが維持されてマイクロコンピュータによる
各種制御が継続的に実行される。その後、電源スイッチ
がオフに操作されれば、リレー回路が直ちにオフされ
る。このように、リレー回路を通した電源の供給・遮断
を的確に行うことができる。

【０００８】請求項３に記載の電子制御装置は、電気的
にデータの書き替えが可能な不揮発性メモリを備え、電
源スイッチのオフ後、不揮発性メモリへのデータ書き込
みが完了するまでリレー回路をオンに制御する。上記の
発明では、プログラムデータの異常時にリレー制御が禁
止され、電源スイッチのオフにより電源が遮断されるた
め、不揮発性メモリへのデータ書き込み時に電源スイッ
チがオフされると、同不揮発性メモリに誤ったデータが
書き込まれることが考えられる。これに対し、請求項３
の発明では、プログラムデータの異常時におけるフェー
ルセーフ処理として、不揮発性メモリへのデータ書き込
みを禁止することにより、不揮発性メモリの誤書き込み
を防止することができる。

【０００９】請求項４に記載の発明では、マイクロコン
ピュータにより、プログラムメモリのチェックサム（プ
ログラムデータの加算値）が算出されるとともに、その
チェックサムと正常なサム値とが比較されて、プログラ
ムデータの異常が判定される。

【００１０】

【発明の実施の形態】以下、この発明を具体化した実施
の形態を図面に従って説明する。本実施の形態では、車
載エンジンを制御するための電子制御装置（ＥＣＵ）に
具体化している。

【００１１】図１に示すように、ＥＣＵ１は、電源スイ
ッチとしてのキースイッチ２を介して車載バッテリ３に
接続されている。キースイッチ２は、車両運転者による
イグニッションキー（図示せず）のキー操作によってオ
ン又はオフに切り替えられる。さらに、ＥＣＵ１は、リ
レー回路としてのメインリレー４を介して車載バッテリ
３に接続されている。メインリレー４は、電磁リレーか
らなり、リレーコイル４ａの非励磁状態でリレー接点４
ｂが開位置に保持され、リレーコイル４ａの励磁状態で
リレー接点４ｂが閉位置にシフトされるようになってい
る。このメインリレー４の開閉動作（オフ・オン）はＥ
ＣＵ１により制御される。なお、図示しないが、ＥＣＵ
１により駆動される電気負荷（アクチュエータ等）は、
メインリレー４を介して車載バッテリ３に接続されるよ
うになっている。

【００１２】ＥＣＵ１は、マイクロコンピュータ（マイ
コン）１１、フラッシュメモリ１２、ＥＥＰＲＯＭ１
３、電源回路１４、分圧回路１５、監視回路１６等を備
えている。マイコン１１は、ＣＰＵ、ＲＡＭ等からなる
論理演算回路として構成されており、同マイコン１１に
より周知のエンジン制御が実施される。すなわち、マイ
コン１１は、図示しない各種センサ・スイッチの信号を
取り込み、エンジンの運転状態を判断する。また、プロ
グラムメモリとしてのフラッシュメモリ１２には、燃料
噴射制御や点火時期制御などのエンジン制御を実施する
ための制御プログラムが記憶されている。マイコン１１
は、このフラッシュメモリ１２の制御プログラムに従
い、その時々のエンジン運転状態に応じて目標の噴射量
や点火時期等を演算し、その演算結果に基づき各種アク
チュエータ（図示しないインジェクタやイグナイタ等）
を制御する。ＥＥＰＲＯＭ１３は、電気的にデータの書
き換えが可能な不揮発性メモリであって、エンジン制御
において算出した学習データ等を記憶保持する。このＥ
ＥＰＲＯＭ１３の記憶データは、バッテリ交換等の電源
遮断時においても保持され、その後のエンジン制御に継
続的に使用されるようになっている。

【００１３】電源回路１４はメインリレー４のリレー接
点４ｂに接続されており、電源回路１４にはメインリレ
ー４を通してバッテリ電源が供給される。このバッテリ
電源の供給により、電源回路１４は、マイコン１１の作
動電圧（５Ｖ）を生成し同電圧をマイコン１１等に供給
する。つまり、メインリレー４のオン時に、バッテリ電
源が電源回路１４に供給されて作動電圧（５Ｖ）が生成
される。そして、同電圧がマイコン１１を含む各種電子
部品に供給され、ＥＣＵ１における各種制御が実施され
る。

【００１４】一方、分圧回路１５はキースイッチ２に接
続されており、分圧回路１５にはキースイッチ２を通し
てバッテリ電源が供給される。この分圧回路１５では、
バッテリ３の電源電圧（１２Ｖ）がマイコン１１の取り
込み可能な電圧値（０Ｖ〜５Ｖの範囲の電圧値）に分圧
される。マイコン１１は、分圧回路１５からの電圧値を
取り込み、それによりキースイッチ２のオン又はオフを
判定する。

【００１５】さらに、ＥＣＵ１には、メインリレー４を
制御するためにダイオード１７、ＮＰＮ型のトランジス
タ１８、ＰＮＰ型のトランジスタ１９等が配設されてい
る。トランジスタ１８のコレクタはメインリレー４のリ
レーコイル４ａに接続され、トランジスタ１８のエミッ
タは車載バッテリ３のマイナス端子に接続されている。
また、トランジスタ１８のベースは、ダイオード１７を
介してキースイッチ２に接続されるとともに、抵抗２０
を介して車載バッテリ３のマイナス端子に接続されてい
る。さらに、トランジスタ１８のベースは、トランジス
タ１９のコレクタに接続されている。トランジスタ１９
のエミッタは抵抗２１を介してリレー接点４ｂに接続さ
れ、トランジスタ１９のベースはマイコン１１に接続さ
れている。このように構成した場合、キースイッチ２が
オンされている限り、トランジスタ１８はオンされ、メ
インリレー４を通じてバッテリ電源が電源回路１４に供
給される。一方、キースイッチ２のオフ時には、マイコ
ン１１の出力により、トランジスタ１８，１９を駆動
し、メインリレー４によるバッテリ電源の供給・遮断を
切り替えるようにしている。

【００１６】具体的には、エンジンの始動に際してキー
スイッチ２がオンに操作されると、トランジスタ１８が
オンされ、メインリレー４のリレーコイル４ａが励磁状
態（オン状態）となり、バッテリ電源がメインリレー４
を介してＥＣＵ１に供給される。このとき、メインリレ
ー４を介してアクチュエータ等にもバッテリ電源が供給
され、マイコン１１によるエンジン制御が開始される。
一方、エンジンの停止に際してキースイッチ２がオフに
操作された後も、マイコン出力により一定時間だけトラ
ンジスタ１８，１９のオンが継続され、バッテリ電源が
ＥＣＵ１に供給される。このとき、ＥＥＰＲＯＭ１３の
書き込み処理を完了する、又はダイアグ処理を完了す
る、といった所定の処理の実施後に、トランジスタ１
８，１９がオフされる。これにより、メインリレー４の
リレーコイル４ａが非励磁状態（オフ状態）となり、Ｅ
ＣＵ１へのバッテリ電源が遮断される。なお上述したよ
うに、メインリレー４を用いてバッテリ３への接続を継
続させる制御は一般的にメインリレー制御と称されてい
る。

【００１７】また、マイコン１１には、監視回路１６が
接続されている。マイコン１１は、所定周期でオン・オ
フするモニタ信号としてのウオッチドック信号ＷＤＣを
監視回路１６に出力する。一方、監視回路１６は、ウオ
ッチドック信号ＷＤＣが予め定められた周期でオン・オ
フするとき、それに応答してマイコン１１への出力をＨ
レベルに保持する。これにより、マイコン１１のリセッ
ト端子がＨレベルで保持される。また、マイコン１１に
よる制御が異常となる場合、マイコン１１は適切なウオ
ッチドック信号ＷＤＣを出力することができなくなり、
ウオッチドック信号ＷＤＣの周期性が崩れる。この場
合、監視回路１６は、ウオッチドック信号ＷＤＣにより
マイコン１１の制御が異常であるとしてマイコン１１に
対してリセット信号ＲＳＴを出力する。このリセット信
号ＲＳＴによりマイコン１１がリセットされる。そし
て、そのリセット時における初期状態ではトランジスタ
１９がオフとなる。このとき、キースイッチ２がオフで
あれば、トランジスタ１８がオフされ、それに伴いメイ
ンリレー４がオフされるようになっている。

【００１８】従来技術において説明したように、プログ
ラムメモリとしてフラッシュメモリ１２を使用する場合
には、書き込みデータに対し読み出しデータが異なるデ
ータ化け（データ異常）が生じる可能性がある。そのた
め、本実施の形態では、マイコン１１によって、フラッ
シュメモリ１２のチェックサム（プログラムデータの加
算値）が算出され、そのチェックサムに基づいてフラッ
シュメモリ１２のプログラムデータの異常が判定される
ようになっている。

【００１９】具体的には、図２に示すように、フラッシ
ュメモリ１２において、チェックサムを計算するための
プログラムが記憶領域Ａに、チェックサムの調整コード
が記憶領域Ｂに、エンジン制御等の制御プログラムが記
憶領域Ｃにそれぞれ記憶されている。そして、チェック
サムは、フラッシュメモリ１２におけるアドレス０ｘ０
０００番地から０ｘＦＦＦＦ番地（「０ｘ」は１６進数
を示す）までの全記憶領域のデータを加算することによ
り求められる。なお、調整コードとして、チェックサム
が「０ｘＡＡ５５」となるデータ値が予め設定されてい
る。従って、チェックサムが、「０ｘＡＡ５５」であれ
ば正常、「０ｘＡＡ５５」以外であれば異常と判定され
る。

【００２０】本実施の形態において、所定時間（例え
ば、８ｍｓ）毎にチェックサムが算出され、そのチェッ
クサムが正常値の「０ｘＡＡ５５」であれば、前記メイ
ンリレー制御が実施される。一方、チェックサムが「０
ｘＡＡ５５」以外の異常値であれば、メインリレー制御
が禁止されトランジスタ１９が強制的にオフに制御され
るようになっている。

【００２１】以下、マイコン１１が実行する処理を図３
〜図６のフローチャートを用いて説明する。先ず、マイ
コン１１は、図３のステップ１００において、フラッシ
ュメモリ１２のチェックサムを求める。このチェックサ
ムの計算処理について詳述すると、図４のステップ２０
０にて、マイコン１１は、チェックサムＳｕｍの初期値
として「０ｘ００００」をセットするとともに、ステッ
プ２１０にて、加算データを指定するアドレスＡｄｄｒ
に開始アドレスの「０ｘ００００」をセットする。

【００２２】続くステップ２２０においてマイコン１１
は、アドレスＡｄｄｒで指定される２バイト分のデータ
をチェックサムＳｕｍに加えるとともに、ステップ２３
０に移行して、アドレスＡｄｄｒに「０ｘ０００２」を
加える。そして、ステップ２４０では、マイコン１１
は、アドレスＡｄｄｒが「０ｘ１００００」以上となっ
たか否かを判定する。ここで、否定判別した場合、マイ
コン１１はステップ２２０に戻り、ステップ２２０〜２
４０の処理を繰り返し実行する。この処理により、フラ
ッシュメモリ１２におけるアドレス０ｘ００００番地〜
０ｘＦＦＦＦ番地のデータがチェックサムＳｕｍに順次
加算されることとなる。そして、ステップ２２０にて０
ｘＦＦＦＦ番地のデータがチェックサムＳｕｍに加算さ
れた場合、続くステップ２３０ではアドレスＡｄｄｒが
「０ｘ１００００」となるため、マイコン１１は、ステ
ップ２４０で肯定判別してステップ２５０に移行する。
このとき、チェックサムＳｕｍは、フラッシュメモリ１
２におけるアドレス０ｘ００００番地から０ｘＦＦＦＦ
番地までの全記憶領域のデータ加算値となる。

【００２３】そして、ステップ２５０において、チェッ
クサムＳｕｍが正常値の「０ｘＡＡ５５」であれば、マ
イコン１１はステップ２６０に移行し、チェックサムＳ
ｕｍが正常である旨を例えば１ビットのフラグ情報
「０」として記憶する。一方、チェックサムＳｕｍが異
常値であれば、マイコン１１はステップ２７０に移行し
てチェックサムＳｕｍが異常である旨を例えばフラグ情
報「１」として記憶する。

【００２４】このステップ２６０又は２７０の処理後に
おいて、マイコン１１は、図３のステップ１１０に移行
する。そして、マイコン１１は、図４のステップ２６０
又は２７０で記憶したフラグ情報に基づき、チェックサ
ムＳｕｍが正常であるか否かを判定する。同ステップ１
１０において、肯定判別した場合にはステップ１２０に
移行してメインリレー制御を実施し、否定判別した場合
にはステップ１３０に移行してトランジスタ１９をオフ
する。このトランジスタ１９のオフ時において、キース
イッチ２がオフであれば、メインリレー４は直ちにオフ
となる。なお、ステップ１２０の処理後又はステップ１
３０の処理後において、マイコン１１は、ステップ１０
０に戻りステップ１００〜１３０の処理を所定時間（例
えば８ｍｓ）毎に繰り返し実行する。

【００２５】次に、図４のステップ１２０のメインリレ
ー制御について、図５を用いて説明する。先ず、図５の
ステップ３００においてマイコン１１は、バッテリ３の
電源電圧を分圧した電圧値を分圧回路１５から取り込
み、その電圧値に基づいてキースイッチ２がオフか否か
を判定する。同ステップ３００において、キースイッチ
２がオンと判定した場合は、マイコン１１はステップ３
１０に移行してメインリレー４をオン（トランジスタ１
８，１９をオン）した後本処理を終了する。一方、キー
スイッチ２がオフと判定した場合は、マイコン１１はス
テップ３２０に移行して、ＥＥＰＲＯＭ１３の書き込み
処理やダイアグ処理等の所定の処理が完了したか否かを
判定する。ここで、例えば、ＥＥＰＲＯＭ１３の書き込
み処理が完了していなければ、マイコン１１はステップ
３１０に移行してメインリレー４をオンして本処理を終
了する。一方、ＥＥＰＲＯＭ１３の書き込み処理等の所
定処理が完了していれば、マイコン１１はステップ３３
０に移行してメインリレー４をオフ（トランジスタ１
８，１９をオフ）して本処理を終了する。

【００２６】また、ＥＥＰＲＯＭ１３の書き込み処理と
しては、図６に示すように、マイコンは、ステップ４０
０にてチェックサムが正常か否かを判定する。なおこの
判定は、図４のステップ２６０又はステップ２７０にて
記憶したフラグ情報（チェックサムＳｕｍの判定結果）
を参照することにより行う。そして、チェックサムＳｕ
ｍが正常の場合（フラグ情報「０」の場合）には、マイ
コン１１はステップ４１０に進み、ＥＥＰＲＯＭ１３へ
のデータの書き込みを行う。一方、チェックサムＳｕｍ
が異常の場合（フラグ情報「１」の場合）には、マイコ
ン１１はステップ４１０の処理を迂回し、ＥＥＰＲＯＭ
１３へのデータ書き込みを禁止する。ここで、フラッシ
ュメモリ１２におけるチェックサムＳｕｍが異常の場合
には、図３のステップ１３０によりトランジスタ１９が
オフされるので、キースイッチ２のオフにより、トラン
ジスタ１８がオフされメインリレー４を通したバッテリ
電源の供給が遮断されてしまう。この場合、車両運転者
による突然のキーオフによって、バッテリ電源が遮断さ
れＥＥＰＲＯＭ１３へのデータの誤書き込みが懸念され
るが、チェックサムＳｕｍの異常時にて、ＥＥＰＲＯＭ
１３へのデータ書き込みを禁止することにより、データ
誤書き込みが回避される。

【００２７】因みに、フラッシュメモリ１２のデータ異
常時にて、マイコン１１がウオッチドック信号ＷＤＣを
強制的にＨレベル又はＬレベルに固定することにより、
監視回路１６からリセット信号ＲＳＴを出力させてマイ
コン１１をリセットすることも可能である。この具体的
な方法としては、例えば、図７に示す処理により実現す
る。図７において、ステップ２００〜２５０の処理は図
４の処理と同一である。すなわち、マイコン１１はステ
ップ２００〜２４０の処理により、フラッシュメモリ１
２におけるチェックサムＳｕｍを算出し、ステップ２５
０にて、チェックサムＳｕｍが正常であるか否かを判定
する。そして、マイコン１１は、チェックサムＳｕｍが
正常であれば図７の処理を終了する一方、チェックサム
Ｓｕｍが異常であればステップ２８０に移行する。この
ステップ２８０は無限ループとなっており、マイコン１
１が同ステップ２８０に移行した場合は、他の処理が停
止されるようになる。その結果、マイコン１１はウオッ
チドック信号ＷＤＣを出力することができなくなり、ウ
オッチドック信号ＷＤＣがＨレベル又はＬレベルに固定
される。これにより、監視回路１６からリセット信号Ｒ
ＳＴが出力されてマイコン１１がリセットされる。

【００２８】このように、図７の処理を採用した場合、
フラッシュメモリ１２の一部のプログラムデータが異常
となると、マイコン１１がリセットされてしまう。例え
ば、メインリレー制御においてメインリレー４をオフに
制御するプログラム（図５のステップ３３０に相当する
プログラム）のみが異常となった場合、他の制御（エン
ジン制御）が正常に実施できるのにも拘わらず、マイコ
ン１１がリセットされてしまう。

【００２９】これに対し、本実施の形態では、フラッシ
ュメモリ１２のプログラムデータの異常時において、ト
ランジスタ１９へのマイコン出力をオフして、メインリ
レー制御を禁止するようにした。また、データ異常時に
おいて、キースイッチ２がオンであれば、トランジスタ
１８がオンすることによりメインリレー４のオンが継続
され、電源の供給は保持される。よって、プログラムデ
ータの異常時においても、マイコン１１によるエンジン
制御を継続的に実施することが可能となる。その後、車
両運転者によるキー操作によってキースイッチ２がオフ
されたとき、メインリレー４がオフされ電源が遮断され
る。また例えば、エンジン制御を実施するためのプログ
ラムが異常となる場合、同プログラムがマイコン１１に
より実行されると、正常なエンジン制御が継続できなく
なる。この場合、マイコン１１から出力されるウオッチ
ドック信号ＷＤＣの周期性が崩れ、それに伴い監視回路
１６からリセット信号が出力されてマイコン１１がリセ
ットされる。このリセット状態（初期状態）が継続され
る場合、トランジスタ１９がオフとなり、電源接続を継
続させるためのメインリレー制御は禁止される。

【００３０】以上詳述した本実施の形態によれば、以下
に示す効果が得られる。 （１）ＥＣＵ１において、フラッシュメモリ１２のプロ
グラムデータの異常に伴いマイコン１１によるエンジン
制御が異常となる場合、監視回路１６によってマイコン
１１がリセットされる。そして、リセット状態（初期状
態）が継続される場合には、トランジスタ１９がオフと
なりメインリレー制御が禁止されるため、キースイッチ
２のオフ操作により直ちに電源遮断を行うことができ
る。一方、プログラムデータが異常となってもエンジン
制御が正常状態で維持されている場合、トランジスタ１
９へのマイコン出力がオフに制御され、メインリレー制
御が禁止される。これにより、キースイッチ２のオフ操
作によりバッテリ電源を遮断でき、従来技術のようにデ
ータ異常時にバッテリ電源が遮断できなくなるといった
問題が回避できる。このように、本実施の形態のＥＣＵ
１によれば、フラッシュメモリ１２のデータ異常時に、
電源の遮断を確実に行うことができる。

【００３１】（２）本実施の形態では、キースイッチ２
がオンであれば、トランジスタ１８がオンすることによ
り、メインリレー制御の許可・禁止（マイコン出力のオ
ン・オフ）にかかわらずメインリレー４がオンされる。
この場合、データ異常時においても、メインリレー４を
通してバッテリ電源が供給されてエンジン制御が継続的
に実施され、その後、キースイッチ２がオフに操作され
れば、メインリレー４が直ちにオフされる。このよう
に、メインリレー４を通した電源の供給・遮断を的確に
行うことができる。

【００３２】（３）プログラムデータの異常時には、フ
ェールセーフ処理として、ＥＥＰＲＯＭ１３へのデータ
書き込みが禁止される。この場合、ＥＥＰＲＯＭ１３の
データ誤書き込みを防止することができるので、誤った
データによりエンジン制御が実施されるのを回避するこ
とができる。

【００３３】なお、上記以外に次の形態にて具体化でき
る。上記実施の形態では、プログラムメモリとしてフラ
ッシュメモリ１２を使用し、そのデータの異常を検出す
るものであったが、これに限定するものではない。例え
ば、マスクＲＯＭにおいては、フラッシュメモリと比較
すればデータ化け（データ異常）の可能性は低くなるが
データ化けは起こりうるので、プログラムメモリとして
マスクＲＯＭを使用した場合において本発明を適用して
もよい。

【００３４】上記実施の形態では、メインリレー４を通
してバッテリ電源が供給されたときにエンジン制御を実
施するＥＣＵ１に具体化しており、データ異常を判定し
た時にも、キースイッチ２がオンであればメインリレー
４のオンを維持するものであったが、これに限定するも
のではない。例えば、アクチュエータ等がキースイッチ
２を介して接続され、キースイッチ２を通したバッテリ
電源の供給によりエンジン制御を実施できるＥＣＵに適
用してもよい。この場合には、キースイッチ２がオンで
あれば、メインリレー４をオフしてもエンジン制御を継
続できるので、データ異常時に、マイコン出力によりメ
インリレー４をオフするように構成してもよい。

【００３５】上記実施の形態では、車載エンジンの制御
を司るＥＣＵ１に本発明を具体化したが、他の制御を行
う電子制御装置に具体化してもよい。また、自動車以外
の用途にも適用できる。

【図面の簡単な説明】

【図１】実施の形態におけるＥＣＵの概要を示す構成
図。

【図２】フラッシュメモリにおけるメモリ配置を示す
図。

【図３】マイコンにより実行される処理を示すフローチ
ャート。

【図４】チェックサムの計算手順を示すフローチャー
ト。

【図５】メインリレー制御を示すフローチャート。

【図６】ＥＥＰＲＯＭの書き込み処理を示すフローチャ
ート。

【図７】比較例でのデータ異常時の処理を示すフローチ
ャート。

【符号の説明】

１…電子制御装置（ＥＣＵ）、２…電源スイッチとして
のキースイッチ、３…電源としての車載バッテリ、４…
リレー回路としてのメインリレー、１１…マイクロコン
ピュータ、１２…プログラムメモリとしてのフラッシュ
メモリ、１３…不揮発性メモリとしてのＥＥＰＲＯＭ、
１６…監視回路、ＷＤＣ…モニタ信号としてのウオッチ
ドック信号。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 11/30 ３０５ Ｇ０６Ｆ 1/00 ３３４Ｃ Ｆターム(参考） 3G084 CA07 DA26 DA31 EB10 EB17 EB22 EB24 5B001 AA14 AB01 AD03 AE02 5B011 EA10 MB16 5B042 GA33 GB08 JJ21 JJ29 KK02 KK03 KK04 5H209 AA10 DD04 DD13 EE11 FF05 GG04 GG13 HH06 HH19 HH33

Claims (4)

【特許請求の範囲】
1. 【請求項１】 電源スイッチを介して電源に接続される
   とともに、リレー回路を介して電源に接続され、前記電
   源スイッチのオフ後、所定の制御が完了するまで前記リ
   レー回路をオンに制御することにより電源の接続を継続
   させるリレー制御が実施され、該リレー制御は、初期状
   態では禁止されるとともに、電源スイッチのオンにて許
   可される電子制御装置において、 プログラムメモリに記憶した制御プログラムに従い前記
   リレー制御を含む各種制御を実施するとともに、所定周
   期でオン・オフするモニタ信号を出力するマイクロコン
   ピュータと、 前記マイクロコンピュータから出力されるモニタ信号を
   監視し、そのモニタ信号の周期性が崩れたときマイクロ
   コンピュータをリセットする監視回路と、を備え、 前記マイクロコンピュータは、前記プログラムメモリの
   プログラムデータが異常となったか否かを判定し、その
   データの異常時には、前記リレー制御を禁止することを
   特徴とする電子制御装置。
2. 【請求項２】 前記電源スイッチがオンであれば、前記
   リレー制御の許可・禁止にかかわらずリレー回路をオン
   させることを特徴とする請求項１に記載の電子制御装
   置。
3. 【請求項３】 電気的にデータの書き替えが可能な不揮
   発性メモリを備え、電源スイッチのオフ後、不揮発性メ
   モリへのデータ書き込みが完了するまでリレー回路をオ
   ンに制御する電子制御装置であって、 前記マイクロコンピュータは、前記プログラムデータの
   異常時に不揮発性メモリへのデータ書き込みを禁止する
   ことを特徴とする請求項１または２に記載の電子制御装
   置。
4. 【請求項４】 前記マイクロコンピュータは、前記プロ
   グラムメモリのチェックサムを算出するとともに、その
   チェックサムを正常なサム値と比較することにより、前
   記プログラムデータの異常を判定することを特徴とする
   請求項１〜３のいずれかに記載の電子制御装置。