JP6458150B2 - 電子制御装置 - Google Patents

Description

本発明は、車両の電子制御を行う電子制御装置に関する。

従来、Ｆ／Ｓ（フェールセーフ）回路を有した電子制御装置において、電子制御装置が主制御部と監視制御部とを備え、監視制御部が主制御部を異常と判断した場合に、Ｆ／Ｓ回路を介して主制御部からの制御出力を停止し、危険な状態にならないよう制御対象を強制停止する方法が知られている（例えば、リレー駆動停止やＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）送信停止）。特許文献１には、このＣＡＮ送信停止に関する技術が開示されている。

特開２０１１−１８９９１８号公報

しかしながら、特許文献１に記載のような従来の電子制御装置においては、電源回路がＯＮ状態で、主制御部が異常と判断されたときにＦ／Ｓ回路が作動することを前提としており、主制御部がすでに異常な状態で電源回路がＯＮしたときには、Ｆ／Ｓ回路による強制遮断に遅れが生じることとなる。

その結果、Ｆ／Ｓ回路が作動するまでの間、意図しない動作が発生する恐れがあった（例えば、ＣＡＮ通信回路から送られる制御情報の送信出力を停止しようとしても他の電子制御装置に送信されてしまう等）。

また、昨今の電子制御装置においては、運転者の操作による電源起動の他に、複数の起動要因からなる電源起動条件があり、運転者が意図しないシステム起動が行われている状況があるため、上記意図しない動作の発生確率は増加の方向へ向かっている。さらに、システム起動は運転者が不在であっても行われる場合があり、その場合にもＦ／Ｓ回路の対応が遅れることで、意図しない動作が発生する恐れがあり、また、異常の発見が遅れる、という問題があった。

本発明は、主制御部に異常がある場合に意図しない動作が発生せず、より安全な制御を行う電子制御装置を提供することを目的とする。

本発明は上記の目的を達成するために、主制御部と、前記主制御部が異常か否かを監視する監視制御部と、前記主制御部および前記監視制御部に電力を供給する電源回路と、を備えた電子制御装置において、前記監視制御部から前記主制御部が異常か否かの信号を受けて保持する信号保持回路を備え、前記主制御部が異常であると前記監視制御部が判断したときに、前記監視制御部は前記信号保持回路を介して、前記電源回路をＯＦＦ状態に保つことを特徴とする。

本発明によれば、主制御部に異常がある場合に意図しない動作が発生せず、より安全な制御を行う電子制御装置を提供することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の一実施形態に係る電子制御装置であって、ＣＡＮ通信回路を採用した、電子制御装置１Ａを模式的に示すブロック図。 図１に示した電子制御装置１Ａがシステム停止状態に移行するにあたり、主制御部２が実行する処理を示すフローチャート。 図１に示した電子制御装置１Ａにおいてシステム停止とシステム起動をする様子を示すタイミングチャート。 図１に示した電子制御装置１Ａにおいて監視制御部４が主制御部２を異常と判断したときのシステム停止とシステム起動をする様子を示すタイミングチャートであって、ＣＡＮウェイクアップ信号１０ｂにより起動しようとした場合を説明する図。 図１に示した電子制御装置１Ａにおいて監視制御部４が主制御部２を異常と判断したときのシステム停止とシステム起動をする様子を示すタイミングチャートであって、キースイッチ８により起動される場合を説明する図。 本発明の図１とは別の実施形態に係る電子制御装置であって、タイマーＩＣ回路を採用した、電子制御装置１Ｂを模式的に示すブロック図。

以下、添付図面を参照して本発明の実施形態について説明する。

図１は、本発明の一実施形態に係る電子制御装置であって、ＣＡＮ通信回路を採用した、電子制御装置１Ａを模式的に示すブロック図である。

図１に示すように、電子制御装置１Ａは、主として、主制御部２と、監視制御部４と、電源回路３と、Ｆ／Ｓ回路１１と、信号保持回路５と、ＣＡＮ通信回路１０と、アクチュエータ出力Ｉ／Ｆ（インターフェース）９と、電力供給回路６と、で構成されている。

電子制御装置１Ａは、不図示の車載バッテリに接続されたバッテリ端子７から電力供給を受け、キースイッチ８からの信号または、ＣＡＮ通信回路１０の出力ポート１０ａから出力されるＣＡＮウェイクアップ信号１０ｂを、Ｆ／Ｓ回路１３を介して入力ポート３１で受けることによって電源回路３が起動し、内部電力ＶＣＣを各制御部へ供給するとともに、リセット出力３２から出力されるリセット信号により主制御部２（リセット入力２４でリセット信号を受ける）および監視制御部４（リセット入力４５でリセット信号を受ける）の初期化を行うことによって、システム起動状態となる。主制御部２は、入力ポート２１ａでキースイッチ８からの信号を受け、入力ポート２１ｂでＦ／Ｓ回路１２を介してＣＡＮウェイクアップ信号１０ｂを受ける。

主制御部２は、各種入力信号およびＣＡＮ通信データを基にアクチュエータ１４の駆動（出力ポート２５からＦ／Ｓ回路１１およびアクチュエータ出力Ｉ／Ｆ９を介してアクチュエータ１４に対する信号を出力する）と、ＣＡＮ通信による他の電子制御装置１５との制御情報授受を行う（ＣＡＮポート２３によりＣＡＮ通信回路１０を介して他の電子制御装置１５と通信を行う）。また、キースイッチ８のＯＦＦによるシステム停止移行中にはキースイッチ８がＯＦＦでも電源保持信号２６ａを出力ポート２６から出力し続けることで、システム停止処理や各種診断処理を実施出来る構成としている。

また、電子制御装置１Ａはフェールセーフとして主制御部２が正常に動作しているか常時監視を行う監視制御部４を備え、通信ポート４３によって主制御部２の通信ポート２２からの演算結果を監視し、主制御部２に異常があると判断したときには、出力Ｉ／Ｆ停止信号４２によりＦ／Ｓ回路１１を介してアクチュエータ出力をＯＦＦ、ＣＡＮ送信停止信号４４により信号保持回路５を介してＣＡＮ通信の送信停止を出来る構成としている。監視制御部４は、入力ポート４１で起動信号１３ａを受ける。

以下、本実施形態の主要な構成である信号保持回路５と電力供給回路６について詳しく説明する。

信号保持回路５は、フリップフロップ回路５１と、論理回路５２と、論理回路５３と、を有する。

フリップフロップ回路５１の入力側には、起動信号１３ａと、ＣＡＮ送信停止信号４４が接続され、またバッテリ端子７を介して車載バッテリから電力供給を受ける。このフリップフロップ回路５１では、ＣＡＮ送信停止信号４４を受けたときの起動信号１３ａの状態に応じて、論理回路５３への出力を決定する。

論理回路５２の入力側には、ＣＡＮ送信停止信号４４と、ＶＣＣが接続され、この論理回路５２では、電源回路３からＶＣＣが出力され、且つＣＡＮ送信停止信号４４が出力停止のときに、停止信号５４の出力を許可する。

論理回路５３の出力は、電力供給回路６と、ＣＡＮ通信回路１０と、Ｆ／Ｓ回路１２のそれぞれに接続されており、論理回路５３は、フリップフロップ回路５１と、論理回路５２がともにＨｉ信号を出力したときに、各接続先へ停止信号５４を出力する。

以上の構成により、監視制御部４は主制御部２に異常があると判断したときにはＣＡＮ送信停止信号４４を出力し、このＣＡＮ送信停止信号４４を受けた信号保持回路５は停止信号５４を出力する。これにより、ＣＡＮ通信回路１０はＣＡＮデータ送信停止となり、またＦ／Ｓ回路１２はＣＡＮウェイクアップ信号１０ｂを遮断する。その状態はキースイッチ８のＯＦＦ後も継続され、再度キースイッチ８がＯＦＦからＯＮに切り替わったときに、停止信号５４は破棄される。

ここで、キースイッチ８は、運転者の操作により切り替えられるスイッチ（例えば、イグニッションスイッチ）とすることが好ましい。運転者がいる状況で電子制御装置１Ａを起動することで、運転者が車両の異常を早期に発見することが可能となるからである。

電力供給回路６は、論理回路６１と、論理回路６２と、を有する。

論理回路６１の入力側には、停止信号５４と、ＶＣＣが接続されている。論理回路６１は、停止信号５４が入力され、且つＶＣＣの供給が停止すると、論理回路６２への出力を停止する。

論理回路６２の入力側には、バッテリ端子７と、論理回路６１の出力が接続され、出力側はＣＡＮ通信回路１０に接続される。

これにより、起動信号１３ａがＯＮであればＶＣＣが供給されるためＣＡＮ通信回路１０への電力供給は行われるが、停止信号５４が出力され且つ起動信号１３ａがＯＦＦとなると、ＣＡＮ通信回路１０への電力供給は遮断されることとなる。

これによって、監視制御部４が主制御部２を異常と判断した後は、キースイッチ８以外でのシステム起動を制限することが可能となる。

例えば、従来のＣＡＮウェイクアップ機能を有する電子制御装置の場合、主制御部の異常を判断し、自らの電源をＯＦＦしてシステム停止した場合であっても、他の制御装置からＣＡＮ信号による起動を強制されてしまう場合があった。これに対して、本実施形態によれば、主制御部２の異常時にはキースイッチ８以外の起動を制限することが可能である。

図２は、図１に示した電子制御装置１Ａがシステム停止状態に移行するにあたり、主制御部２が実行する処理を示すフローチャートである。

起動信号１３ａがＯＦＦすると（ステップ１０１）、電子制御装置１Ａはシステム停止シーケンスとして、他の電子制御装置１５のシステム停止要求（ステップ１０２）、監視制御部４の診断（例えば、出力Ｉ／Ｆ停止信号４２のモニタ）（ステップ１０３）を実施する。

他の電子制御装置１５のシステム停止要求は、ＣＡＮ通信回路１０を介して他の電子制御装置１５へ送信され、受信した他の電子制御装置１５はシステム停止シーケンスへ移行する。これにより、他の電子制御装置１５からのデータ受信がなくなることとなる。

主制御部２は、前記処理を実施中において、出力ポート２６から電源回路３の入力ポート３１へ電源保持信号２６ａを出力し続け、処理が完了すると、電源保持信号２６ａの出力を停止し（ステップ１０４）、電源回路３は電力供給を停止することから、電子制御装置１Ａはシステム停止（ステップ１０５）となる。

図３Ａは、図１に示した電子制御装置１Ａにおいてシステム停止とシステム起動をする様子を示すタイミングチャートである。

まず、図２に示したフローチャートに基づきシステム停止となる。図３Ａに示すように主制御部２が正常の場合、信号保持回路５からの停止信号５４は出力されないため、ＣＡＮ通信回路１０を介して受信する他の電子制御装置１５からの起動要求により、電子制御装置１Ａはシステム起動が可能である。

図３Ｂは、図１に示した電子制御装置１Ａにおいて監視制御部４が主制御部２を異常と判断したときのシステム停止とシステム起動をする様子を示すタイミングチャートであって、ＣＡＮウェイクアップ信号１０ｂにより起動しようとした場合を説明する図である。

図３Ｂに示すように主制御部２が異常の場合、出力Ｉ／Ｆ停止信号４２、ＣＡＮ送信停止信号４４が出力され、これに伴い停止信号５４が出力される。停止信号５４は論理回路１２の出力を停止することから、ＣＡＮウェイクアップ信号１０ｂが遮断されることとなり、電源回路３はキースイッチ８のＯＦＦでＯＦＦ状態（ＶＣＣ出力停止）となる。電源回路３からのＶＣＣ出力が停止すると、ＣＡＮ通信回路１０の電源供給を遮断することとなる。これにより、ＣＡＮ通信回路１０を介して受信する他の電子制御装置１５からの起動要求では、前記電子制御装置１Ａはシステム起動しないこととなる。

図３Ｃは、図１に示した電子制御装置１Ａにおいて監視制御部４が主制御部２を異常と判断したときのシステム停止とシステム起動をする様子を示すタイミングチャートであって、キースイッチ８により起動される場合を説明する図である。

この場合、停止信号５４が出力されている状態であってもキースイッチ８をＯＮすると、電源回路３が起動しＶＣＣ出力を開始することから、システム起動は可能となる。

上記実施形態の電子制御装置１Ａを採用した場合の実施例について以下に説明する。

例えば、充電機能を有する電気自動車またはプラグインハイブリッド自動車においては、運転者が充電設定を行い（例えば、充電ポートに充電ケーブルを差し込む）車両から離れた後に、監視制御部４が主制御部２を異常と判断した場合、主制御部２が異常であることから図２に示すフローチャートの処理を実施出来ない。これにより、システム停止要求を受信しない他の電子制御装置１５はＣＡＮ通信可能な状態のままとなり、ＣＡＮ通信回路１０へ起動要求（ＣＡＮデータ送信）を繰り返すこととなる。

しかし、図１に示した実施形態の信号保持回路５および電力供給回路６によれば、異常判定後、ＣＡＮ通信回路１０の電源遮断が継続されるため、ＣＡＮウェイクアップ信号１０ｂは出力されず、電源回路３はＯＦＦ状態を保持する。

以上により、運転者が車両へ戻ってキースイッチ８をＯＮするまで、電子制御装置１Ａはシステム停止を継続する。

異常発生後、強制停止した電子制御装置１Ａが再度電源投入されるのは、運転者によるキースイッチ８の操作であるため、無人では異常状態の制御装置１Ａが動作することは無く、運転者のキースイッチ８の操作で初めてコーションランプ点灯により、運転者は車両の異常を知ることが可能となる。

また、上記状態で信号保持回路５および電力供給回路６を有していない場合、電子制御装置１Ａは継続してシステム停止出来ないため、１２Ｖバッテリの電圧低下を引き起こすという問題もある。これは、電子制御装置１Ａからのシステム停止要求を受けなかった他の電子制御装置１５が送信した起動要求（ＣＡＮ信号）をＣＡＮ通信回路１０が受信し、ＣＡＮウェイクアップ信号１０ｂを出力することで、電源回路３がＯＮ状態となり制御装置１Ａおよび起動したシステムが電力を消費してしまうためである。運転者は、車両の充電が完了すると自動的にシステム停止状態になると思っているが、実際、異常時にはシステムが不正に起動することとなり、その間電力は消費されることとなる。この状態が放置された場合、電子制御装置１Ａの電力供給元である１２Ｖバッテリが電圧低下を起こし、運転者によるキースイッチ８のＯＮの際にコーションランプを点灯できなくなったり、最悪バッテリ過放電による劣化で交換に陥ったりする可能性がある。但し、本実施形態の信号保持回路５および電力供給回路６を有することで、この問題を解決することが可能となる。

図４は、本発明の図１とは別の実施形態に係る電子制御装置であって、タイマーＩＣ回路を採用した、電子制御装置１Ｂを模式的に示すブロック図である。

図４において、図１に示した電子制御装置１Ａと同じ構成については同じ参照番号を付して詳しい説明を省略する。

図１に示した電子制御装置１Ａでは、ＣＡＮウェイクアップ信号１０ｂを出力するＣＡＮ通信回路１０を有する構成であったが、本実施形態の電子制御装置１Ｂでは、これに代えて、タイマーＩＣ回路７０を有する。

図４に示すように、電子制御装置１Ｂは、主として、主制御部２と、監視制御部４と、電源回路３と、Ｆ／Ｓ回路１１と、信号保持回路５と、タイマーＩＣ回路７０と、アクチュエータ出力Ｉ／Ｆ（インターフェース）９と、電力供給回路６と、で構成されている。タイマーＩＣ回路７０は所定時間ごとにウェイクアップ信号７０ｂを出力する。

電子制御装置１Ｂは、不図示の車載バッテリに接続されたバッテリ端子７から電力供給を受け、キースイッチ８からの信号または、タイマーＩＣ回路７０の出力ポート７０ａから出力されるウェイクアップ信号７０ｂを、Ｆ／Ｓ回路１３を介して入力ポート３１で受けることによって電源回路３が起動し、内部電力ＶＣＣを各制御部へ供給するとともに、リセット出力３２から出力されるリセット信号により主制御部２（リセット入力２４でリセット信号を受ける）および監視制御部４（リセット入力４５でリセット信号を受ける）の初期化を行うことによって、システム起動状態となる。主制御部２は、入力ポート２１ａでキースイッチ８からの信号を受け、入力ポート２１ｂでＦ／Ｓ回路１２を介してウェイクアップ信号７０ｂを受ける。

また、電子制御装置１Ｂはフェールセーフとして主制御部２が正常に動作しているか常時監視を行う監視制御部４を備え、通信ポート４３によって主制御部２の通信ポート２２からの演算結果を監視し、主制御部２に異常があると判断したときには、出力Ｉ／Ｆ停止信号４２によりＦ／Ｓ回路１１を介してアクチュエータ出力をＯＦＦ、ウェイクアップ停止信号４６により信号保持回路５を介して停止信号５４を出力出来る構成としている。

信号保持回路５は、フリップフロップ回路５１と、論理回路５２と、論理回路５３と、を有する。

フリップフロップ回路５１の入力側には、起動信号１３ａと、ウェイクアップ停止信号４６が接続され、またバッテリ端子７を介して車載バッテリから電力供給を受ける。このフリップフロップ回路５１では、ウェイクアップ停止信号４６を受けたときの起動信号１３ａの状態に応じて、論理回路５３への出力を決定する。

論理回路５２の入力側には、ウェイクアップ停止信号４６と、ＶＣＣが接続され、この論理回路５２では、電源回路３からＶＣＣが出力され、且つウェイクアップ停止信号４６が出力停止のときに、停止信号５４の出力を許可する。

論理回路５３の出力は、電力供給回路６と、Ｆ／Ｓ回路１２のそれぞれに接続されており、論理回路５３は、フリップフロップ回路５１と、論理回路５２がともにＨｉ信号を出力したときに、各接続先へ停止信号５４を出力する。

以上の構成により、監視制御部４は主制御部２に異常があると判断したときにはウェイクアップ停止信号４６を出力し、このウェイクアップ停止信号４６を受けた信号保持回路５は停止信号５４を出力する。これにより、Ｆ／Ｓ回路１２はウェイクアップ信号７０ｂを遮断する。その状態はキースイッチ８のＯＦＦ後も継続され、再度キースイッチ８がＯＦＦからＯＮに切り替わったときに、停止信号５４は破棄される。

電力供給回路６は、論理回路６１と、論理回路６２と、を有する。

論理回路６１の入力側には、停止信号５４と、ＶＣＣが接続されている。論理回路６１は、停止信号５４が入力され、且つＶＣＣの供給が停止すると、論理回路６２への出力を停止する。

論理回路６２の入力側には、バッテリ端子７と、論理回路６１の出力が接続され、出力側はタイマーＩＣ回路７０に接続される。

これにより、起動信号１３ａがＯＮであればＶＣＣが供給されるためタイマーＩＣ回路７０への電力供給は行われるが、停止信号５４が出力され且つ起動信号１３ａがＯＦＦとなると、タイマーＩＣ回路７０への電力供給は遮断されることとなる。

これによって、監視制御部４が主制御部２を異常と判断した後は、キースイッチ８以外でのシステム起動を制限することが可能となる。

（付記）
以上説明したように、本発明の電子制御装置は、
主制御部が異常か否かを監視する監視制御部と、前記主制御部および前記監視制御部各制御部に電力を供給する電源回路と、前記監視制御部から前記主制御部が異常か否かの信号を受けて保持する信号保持回路と、を備える。

上記電子制御装置において、前記電源回路は、車両のキースイッチを含む複数の起動要因を持ち、前記信号保持回路が前記電源回路をＯＦＦ状態に保持している間は、前記キースイッチ以外の起動要因では電源ＯＮしない構成を採用している。

上記電子制御装置において、前記信号保持回路は、キースイッチがＯＦＦからＯＮに切り替わったときにリセットされ、前記電源回路のＯＦＦ状態を破棄する構成を採用している。

上記電子制御装置において、前記前期信号保持回路はフリップフロップ回路による構成を採用している。

前記電子制御装置によれば、主制御部が異常状態と判断されたときに電源回路をＯＦＦ状態に保持することから、起動信号を抑制すること（例えば、ＣＡＮウェイクアップによるシステム起動、タイマーＩＣによる定時間起動などを抑制すること）が可能となり、主制御部の意図しない動作の発生を防ぐ。

また、運転者のキースイッチ操作による起動信号で信号保持回路がリセットされ、これにより前記電子制御装置が起動し、その後車両のコーションランプが付くことから、運転者は車両システムが異常であることを認識することが可能となる。

また、以上説明した本発明は以下の構成を備える場合がある。

１．
主制御部（例えば、主制御部２）と、
前記主制御部が異常か否かを監視する監視制御部（例えば、監視制御部４）と、
前記主制御部および前記監視制御部に電力を供給する電源回路（例えば、電源回路３）と、
を備えた電子制御装置（例えば、電子制御装置１Ａ、電子制御装置１Ｂ）において、
前記監視制御部から前記主制御部が異常か否かの信号を受けて保持する信号保持回路（例えば、信号保持回路５）を備え、
前記主制御部が異常であると前記監視制御部が判断したときに、前記監視制御部は前記信号保持回路を介して、前記電源回路をＯＦＦ状態に保つことを特徴とする電子制御装置、とし、
このように構成することで、
・主制御部に異常がある場合に電源回路をＯＦＦ状態に保つことで、主制御部に異常がある場合に意図しない動作が発生せず、より安全な制御を行う電子制御装置を提供することができる。

２．
１．に記載の電子制御装置において、
前記電子制御装置は、外部車載制御装置（例えば、他の電子制御装置１５）とのデータの送受信を行うための通信回路（例えば、ＣＡＮ通信回路１０）を備え、
前記通信回路は、前記電源回路を介さずに車載バッテリからの電力供給を受け、前記外部車載制御装置からのデータ受信に応じてＯＦＦ状態からＯＮ状態に遷移するとともに前記電源回路をＯＮ状態に遷移させ、
前記信号保持回路は、前記外部車載制御装置からのデータ受信に関わらず前記電源回路のＯＦＦ状態を継続させることを特徴とする車載制御装置、とし、
このように構成することで、
・例えばＣＡＮウェイクアップ機能を有する電子制御装置においても、主制御部に異常がある場合に電源回路をＯＦＦ状態に保つことで、主制御部に異常がある場合に意図しない動作が発生せず、より安全な制御を行う電子制御装置を提供することができる。

３．
１．または２．に記載の電子制御装置において、
前記電源回路は、車両のキースイッチ（例えば、キースイッチ８）を含む複数の起動要件（例えば、ＣＡＮウェイクアップ信号１０ｂ、ウェイクアップ信号７０ｂ）を持ち、前記信号保持回路が前記電源回路をＯＦＦ状態に保持している間は、前記キースイッチ以外の起動要因では電源ＯＮしないことを特徴とする電子制御装置、とし、
このように構成することで、
・主制御部に異常がある場合にキースイッチのＯＮ以外では電源回路をＯＦＦ状態に保つことで、主制御部に異常がある場合に意図しない動作が発生せず、より安全な制御を行う電子制御装置を提供することができる。

４．
１．乃至３．のいずれか一項記載の電子制御装置において、
前記信号保持回路は、キースイッチがＯＦＦからＯＮに切り替わったときにリセットされ、
前記電源回路のＯＦＦ状態を破棄することを特徴とする電子制御装置、とし、
このように構成することで、
・キースイッチのＯＦＦからＯＮで電源回路のＯＦＦ状態が破棄されるので、この場合は電子制御装置が起動し、主制御部に異常があることを運転者に報知することができる場合がある。

５．
請求項１．乃至４．のいずれか一項記載の電子制御装置において、
前記信号保持回路はフリップフロップ回路であることを特徴とする電子制御装置、とし、
このように構成することで、
・簡単な回路構成で確実な処理を行うことができる場合がある。

６．
２．に記載の車載制御装置において、
前記電源回路は、車両のキースイッチがＯＮのときに前記車載バッテリから電力供給され、
前記通信回路は、前記キースイッチのＯＮ／ＯＦＦに関わらず前記車載バッテリから電力供給されて前記外部車載制御装置からのデータを監視し、停止状態のときに前記外部車載制御装置へのデータ送信が禁止され、
前記信号保持回路は、前記キースイッチがＯＦＦのときも前記電源回路のＯＦＦ状態を保持することを特徴とする車載制御装置、とし、
このように構成することで、
・例えばＣＡＮウェイクアップ機能を有する電子制御装置において、主制御部に異常がある場合に、外部車載制御装置へのデータ送信が禁止され、キースイッチがＯＦＦのとき、電源回路をＯＦＦ状態に保つことで、主制御部に異常がある場合に意図しない動作が発生せず、より安全な制御を行う電子制御装置を提供することができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１Ａ…電子制御装置、２…主制御部、３…電源回路、４…監視制御部、５…信号保持回路、６…電力供給回路、７…バッテリ端子、８…キースイッチ、９…アクチュエータ出力Ｉ／Ｆ、１０…ＣＡＮ通信回路、１０ａ…出力ポート、１０ｂ…ＣＡＮウェイクアップ信号、１１…Ｆ／Ｓ回路、１２…Ｆ／Ｓ回路、１３…Ｆ／Ｓ回路、１３ａ…起動信号、１４…アクチュエータ、１５…他の電子制御装置、２１ａ…入力ポート、２１ｂ…入力ポート、２２…通信ポート、２３…ＣＡＮポート、２４…リセット入力、２５…出力ポート、２６…出力ポート、２６ａ…電源保持信号、２７…通信ポート、３１…入力ポート、３２…リセット出力、４１…入力ポート、４２…出力Ｉ／Ｆ停止信号、４３…通信ポート、４４…ＣＡＮ送信停止信号、４５…リセット入力、５１…フリップフロップ回路、５２…論理回路、５３…論理回路、５４…停止信号、６１…論理回路、６２…論理回路、７０…タイマーＩＣ回路、７０ａ…出力ポート、７０ｂ…タイマーＩＣウェイクアップ信号。

Claims (5)

1. 主制御部と、
   前記主制御部が異常か否かを監視する監視制御部と、
   前記主制御部および前記監視制御部に電力を供給する電源回路と、
   を備えた電子制御装置において、
   前記監視制御部から前記主制御部が異常か否かの信号を受けて保持する信号保持回路、
   外部車載制御装置とのデータの送受信を行うための通信回路、
   を備え、
   前記主制御部が異常であると前記監視制御部が判断したときに、前記監視制御部は前記信号保持回路を介して、前記電源回路をＯＦＦ状態に保ち、
   前記通信回路は、前記電源回路を介さずに車載バッテリからの電力供給を受け、前記電子制御装置を起動するよう要求する前記外部車載制御装置からのデータを受信したことに応じてＯＦＦ状態からＯＮ状態に遷移するとともに前記電源回路をＯＮ状態に遷移させる起動信号を出力するように構成されており、
   前記信号保持回路は、前記主制御部が異常であると前記監視制御部が判断している間においては、前記通信回路が前記データを受信したとしても前記電源回路のＯＦＦ状態を継続させる
   ことを特徴とする電子制御装置。
2. 請求項１に記載の電子制御装置において、
   前記電源回路は、車両のキースイッチを含む複数の起動要件を持ち、前記信号保持回路が前記電源回路をＯＦＦ状態に保持している間は、前記キースイッチ以外の起動要因では電源ＯＮしないことを特徴とする電子制御装置。
3. 請求項１に記載の電子制御装置において、
   前記信号保持回路は、キースイッチがＯＦＦからＯＮに切り替わったときにリセットされ、
   前記電源回路のＯＦＦ状態を破棄することを特徴とする電子制御装置。
4. 請求項１に記載の電子制御装置において、
   前記信号保持回路はフリップフロップ回路であることを特徴とする電子制御装置。
5. 請求項１に記載の電子制御装置において、
   前記電源回路は、車両のキースイッチがＯＮのときに前記車載バッテリから電力供給され、
   前記通信回路は、前記キースイッチのＯＮ／ＯＦＦに関わらず前記車載バッテリから電力供給されて前記外部車載制御装置からのデータを監視し、停止状態のときに前記外部車載制御装置へのデータ送信が禁止され、
   前記信号保持回路は、前記キースイッチがＯＦＦのときも前記電源回路のＯＦＦ状態を保持することを特徴とする電子制御装置。

Images