JP2011102549A - 車両用被制御部品の制御装置 - Google Patents

Abstract

【課題】 外部装置（例えば、ＥＣＵ）から受信したデータについてデータ矛盾を検出する車両用被制御部品の制御装置を提供する。
【解決手段】 ＮＯｘセンサコントローラ１０（車両用被制御部品の制御装置）は、ＥＣＵ３０（外部装置）から受信したデータに基づいて、ＮＯｘセンサ２０（車両用被制御部品）の制御を行う。ＮＯｘセンサコントローラ１０は、ＥＣＵ３０から新たに受信した受信データを、既に取得して現在有効な既得有効データと対比して、受信データが既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する判定手段（ステップＳ１の処理を行うマイクロコンピュータ１１）を備える。
【選択図】 図１

Description

本発明は、車両用被制御部品（車両に取り付けられ、制御装置の制御により作動する部品）の制御装置に関する。

車両用被制御部品としては、例えば、排気ガス中のＮＯｘ濃度を検出するＮＯｘセンサや、排気ガス中の酸素濃度を検出する酸素センサや、ディーゼルエンジンの燃焼室内を加熱するグロープラグなどが知られている。（例えば、特許文献１〜特許文献３参照）。

特開２００９−１３３８３４号公報 特開２００８−８６６７号公報 特開２００５−２４０７０７号公報

特許文献１〜特許文献３には、ＣＡＮ（車載用ネットワーク）等の通信路を通じて外部装置であるＥＣＵ（エンジンコントロールユニット）に接続された、車両用被制御部品（ＮＯｘセンサ、酸素センサ、またはグロープラグ）の制御装置が開示されている。この車両用被制御部品の制御装置は、外部装置であるＥＣＵから受信したデータに基づいて、車両用被制御部品の制御を行う。

ところで、外部装置であるＥＣＵ等から、誤ったデータが車両用被制御部品の制御装置に送られてくることがあり得る。従って、車両用被制御部品の制御装置において、外部装置（例えば、ＥＣＵなど）から新たに受信したデータが、既に取得して現在有効な既得有効データと矛盾した組み合わせとなる（以下、データ矛盾ともいう）ことがあり得る。例えば、ヒータ素子を内蔵した車両用被制御部品（例えば、ＮＯｘセンサ、酸素センサ、グロープラグなど）の制御装置であって、エンジン駆動中にヒータ素子を発熱させる処理を行う制御装置では、既得有効データとして「エンジンキーＯＦＦ」というデータを有している状態で、新たに、「ヒータ通電開始」というデータを受信した場合は、データ矛盾となる。「エンジンキーＯＮ」としなければ、「ヒータ通電開始」をすることはないからである。

データ矛盾が発生したときは、不適切なデータ（指令）に基づいて、車両用被制御部品の制御装置により、車両用被制御部品に対し不適切な処理（制御）が行われる虞がある。これにより、無駄な電力が消費されたり、車両用被制御部品の劣化や故障が生じるなど、データ矛盾に伴って不具合が生じる虞があった。このため、データ矛盾に対する適切な対応が求められていた。

本発明は、かかる現状に鑑みてなされたものであって、外部装置（例えば、ＥＣＵ）から受信したデータにかかるデータ矛盾に対処し得る、車両用被制御部品の制御装置を提供することを目的とする。

本発明の一態様は、外部装置から受信したデータに基づいて車両用被制御部品の制御を行う車両用被制御部品の制御装置であって、上記外部装置から新たに受信した受信データを、既に取得して現在有効な既得有効データと対比して、上記受信データが上記既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する判定手段を備える車両用被制御部品の制御装置である。

上述の車両用被制御部品の制御装置では、判定手段により、外部装置から新たに受信した受信データを、既に取得して現在有効な既得有効データと対比して、受信データが既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する。これにより、データ矛盾を検出することができる。このため、データ矛盾に対処する所定の処理を行うことが可能となる。すなわち、上述の車両用被制御部品の制御装置で、判定手段によりデータ矛盾であると判定された場合に、データ矛盾に対処する所定の処理を行うことが可能となる。

従って、例えば、判定手段によりデータ矛盾であると判定された場合に、データ矛盾に対処する処理（制御）を行うことで、車両用被制御部品に対し不適切な制御が行われることを防止（あるいは、適切な制御が行われなくなることを防止）することが可能となる。これにより、データ矛盾に伴って生じる不具合（無駄な電力消費、車両用被制御部品の劣化や故障等）の発生を防止することが可能となる。例えば、判定手段によりデータ矛盾であると判定された場合に、車両用被制御部品が作動しないようにする（制御停止、または制御停止状態の維持）ことで、車両用被制御部品に対し不適切な制御が行われることを防止（あるいは、適切な制御が行われなくなることを防止）できる。

なお、車両用被制御部品には、車両に取り付けられて、制御装置の制御により作動する部品のいずれもが含まれる。具体的には、車両用被制御部品として、例えば、ＮＯｘセンサ、酸素センサ、グロープラグ、液体状態検知センサ、燃料噴射装置などが挙げられる。

さらに、上記の車両用被制御部品の制御装置であって、前記判定手段において前記データ矛盾と判定された場合に、上記データ矛盾に対処する所定の処理を行う矛盾処理手段を備える車両用被制御部品の制御装置とすると良い。

上述の車両用被制御部品の制御装置では、判定手段においてデータ矛盾と判定された場合に、矛盾処理手段が、データ矛盾に対処する所定の処理を行う。これにより、車両用被制御部品に対し不適切な制御が行われることを防止（あるいは、適切な制御が行われなくなることを防止）することができる。なお、データ矛盾に対処する所定の処理の具体例については、後述の通りである。

さらに、上記の車両用被制御部品の制御装置であって、前記矛盾処理手段は、矛盾データ廃棄手段を含み、上記矛盾データ廃棄手段は、前記所定の処理として、前記判定手段において前記データ矛盾と判定された前記受信データである矛盾受信データを廃棄する処理を行い、上記矛盾受信データに基づいた前記車両用被制御部品の制御を行わないようにする手段である車両用被制御部品の制御装置とすると良い。

上述の車両用被制御部品の制御装置では、矛盾データ廃棄手段が、判定手段においてデータ矛盾と判定された受信データ（これを矛盾受信データという）を廃棄し、矛盾受信データに基づいた車両用被制御部品の制御を行わないようにする。これにより、不適切な受信データ（矛盾受信データ）に基づいて、車両用被制御部品に対し不適切な制御が行われることを防止することができる。このため、データ矛盾に伴って生じる不具合（無駄な電力消費、車両用被制御部品の劣化や故障等）の発生を防止することが可能となる。

さらに、上記いずれかの車両用被制御部品の制御装置であって、前記矛盾処理手段は、前記所定の処理として前記外部装置に対し前記データ矛盾を通知する通知手段を含む、車両用被制御部品の制御装置とすると良い。

上述の車両用被制御部品の制御装置では、判定手段においてデータ矛盾と判定された場合に、通知手段が、外部装置（例えば、ＥＣＵ）に対しデータ矛盾を通知する。これにより、外部装置（例えば、ＥＣＵ）は、データ矛盾の通知に基づいて、適切な対応（処理）をすることが可能となる。例えば、データ矛盾の通知を受信した外部装置が、車両用被制御部品に関するデータや制御をリセットすることで、データ矛盾を解消することが可能となる。あるいは、データ矛盾の通知を受信した外部装置が、外部装置の異常（故障）が発生した旨の警告ランプを点灯させ、運転者等に外部装置の点検・修理を促すことができる。外部装置の点検・修理を行うことで、データ矛盾を解消することが可能となる。

さらに、上記いずれかの車両用被制御部品の制御装置であって、前記矛盾処理手段は、前記制御装置が前記車両用被制御部品の制御を行っている場合に、前記所定の処理として上記車両用被制御部品の制御を停止する制御停止手段を含む、車両用被制御部品の制御装置とすると良い。

上述の車両用被制御部品の制御装置では、判定手段においてデータ矛盾と判定された場合で、制御装置が車両用被制御部品の制御を行っているときには、制御停止手段が、車両用被制御部品の制御を停止させる。これにより、車両用被制御部品の制御を継続したことによる不具合を防止することが可能となる。車両用被制御部品の制御を継続したことによる不具合としては、例えば、車両用被制御部品への不適切な制御に伴う車両用被制御部品の急速な劣化や、車両用被制御部品の故障などが挙げられる。

さらに、上記の車両用被制御部品の制御装置であって、前記判定手段は、前記制御停止手段により前記車両用被制御部品の制御を停止した後も、引き続き、新たに受信した受信データがデータ矛盾であるか否かを判定し、前記車両用被制御部品の制御装置は、上記制御停止手段により上記車両用被制御部品の制御が停止された後、上記判定手段がデータ矛盾でないと判定した場合に、上記車両用被制御部品の制御を再開する制御再開手段を備える車両用被制御部品の制御装置とすると良い。

上述の車両用被制御部品の制御装置では、制御停止手段により車両用被制御部品の制御が停止された後、判定手段がデータ矛盾でないと判定した場合、制御再開手段により、車両用被制御部品の制御を再開する。これにより、車両用被制御部品の制御を停止させても、その後データ矛盾が解消された場合には、適切に、車両用被制御部品の制御を再開することができる。この場合、データ矛盾のない正当なデータに基づいて、車両用被制御部品の制御を再開することができる。

なお、制御停止手段により車両用被制御部品の制御が停止された後に、判定手段においてデータ矛盾でないと判定される場合としては、例えば、車両用被制御部品の制御装置からデータ矛盾の通知を受信した外部装置が、車両用被制御部品に関するデータや制御をリセットすることにより、データ矛盾を解消した場合が挙げられる。

実施例１にかかるＮＯｘセンサユニットの概略構成図である。 実施例１にかかるデータ矛盾処理の流れを示すフローチャートである。 実施例２にかかる酸素センサユニットの概略構成図である。 実施例２にかかるデータ矛盾処理の流れを示すフローチャートである。 実施例３にかかるグロープラグユニットの概略構成図である。 実施例３にかかるデータ矛盾処理の流れを示すフローチャートである。

（実施例１）
次に、本発明の実施例１について、図面を参照しつつ説明する。
図１は、実施例１にかかるＮＯｘセンサユニット１の概略構成図である。ＮＯｘセンサユニット１は、図１に示すように、ＮＯｘセンサコントローラ１０と、ＮＯｘセンサ２０とを有している。なお、本実施例１では、ＮＯｘセンサ２０が車両用被制御部品に相当し、ＮＯｘセンサコントローラ１０が車両用被制御部品の制御装置に相当する。

ＮＯｘセンサ２０は、例えば、ＮＯｘ選択還元触媒が設けられた車両（内燃機関）の排気管（図示なし）のうちＮＯｘ選択還元触媒の下流側に取付けられ、ＮＯｘ選択還元触媒を通過した排気中のＮＯｘ濃度を検出する。なお、ＮＯｘ濃度を検出する際、排気中の酸素濃度も検出する（例えば、特開２００９−１３３８３４参照）。このＮＯｘセンサ２０は、図１に示すように、ヒータ２１と酸素検出部２２とＮＯｘ検出部２３とを有する平板状のセンサ素子２５を備えている。

センサ素子２５は、例えば、酸素検出部２２及びＮＯｘ検出部２３を有する素子部とヒータ２１とが積層された積層体により構成される（例えば、特開２００９−１３３８３４の図２参照）。ヒータ２１は、例えば、アルミナを主成分とする２つの絶縁層の間に、Ｐｔを主成分とするヒータパターンが埋設された構造体である。一方、素子部は、例えば、酸素イオン伝導性を有する固体電解質層（ジルコニアなど）とＰｔを主成分とする一対の電極とからなるセルを複数備える構造体であり、複数のセルのうちの１つが酸素濃度に応じた電流が流れる酸素検出部２２を構成し、それ以外のセルのうちの１つがＮＯｘ濃度に応じた電流が流れるＮＯｘ検出部２３を構成する。

ＮＯｘセンサコントローラ１０は、図１に示すように、インターフェース１２と、マイクロコンピュータ１１と、ヒータ制御回路１３と、酸素検出部制御回路１４と、ＮＯｘ検出部制御回路１５とを有している。このＮＯｘセンサコントローラ１０は、バッテリ（図示なし）に電気的に接続されており、このバッテリから供給される電力によって駆動する。

マイクロコンピュータ１１は、ＲＯＭ、ＲＡＭ、ＣＰＵ等により構成されている。このマイクロコンピュータ１１は、インターフェース１２に電気的に接続されている。インターフェース１２は、ＣＡＮ（車載用ネットワーク）３１を通じて、ＥＣＵ（エンジンコントロールユニット）３０に電気的に接続されている。これにより、ＥＣＵ３０とマイクロコンピュータ１１との間で、データの送受信を行うことができる。なお、本実施例１では、ＥＣＵ３０が外部装置に相当する。

さらに、マイクロコンピュータ１１は、ヒータ制御回路１３と酸素検出部制御回路１４とＮＯｘ検出部制御回路１５とに対し、電気的に接続されている。ヒータ制御回路１３は、ＮＯｘセンサ２０のヒータ２１に電気的に接続されている。酸素検出部制御回路１４は、ＮＯｘセンサ２０の酸素検出部２２に電気的に接続されている。ＮＯｘ検出部制御回路１５は、ＮＯｘセンサ２０のＮＯｘ検出部２３に電気的に接続されている。

このマイクロコンピュータ１１は、ＣＡＮ３１を通じてＥＣＵ３０からデータ（指令）を受信し、受信したデータ（指令）に基づいて、ＮＯｘセンサ２０（車両用被制御部品に相当する）の制御を行う。具体的には、例えば、マイクロコンピュータ１１は、ヒータ２１の制御に関するデータ（指令）を受信した場合は、そのデータ（指令）に従って、ヒータ制御回路１３を通じてヒータ２１の制御を行う。また、マイクロコンピュータ１１は、酸素検出部２２の制御に関するデータ（指令）を受信した場合は、そのデータ（指令）に従って、酸素検出部制御回路１４を通じて酸素検出部２２の制御を行う。また、マイクロコンピュータ１１は、ＮＯｘ検出部２３の制御に関するデータ（指令）を受信した場合は、そのデータ（指令）に従って、ＮＯｘ検出部制御回路１５を通じてＮＯｘ検出部２３の制御を行う。

ところで、ＥＣＵ３０からＮＯｘセンサコントローラ１０に、誤ったデータが送られてくることがあり得る。従って、ＮＯｘセンサコントローラ１０（詳細には、マイクロコンピュータ１１）においてＥＣＵ３０から新たに受信したデータが、マイクロコンピュータ１１において既に取得して現在有効なデータ（以下、既得有効データともいう）と矛盾した組み合わせとなる（以下、データ矛盾ともいう）ことがあり得る。

例えば、マイクロコンピュータ１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「ヒータ通電開始」というデータを受信した場合は、データ矛盾となる。「エンジンキーＯＮ」としなければ、「ヒータ通電開始」をすることはないからである。
また、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「エンジンアイドル中」というデータを受信した場合も、データ矛盾となる。「エンジンキーＯＮ」としなければ、エンジンがアイドリング状態となることはないからである。

また、既得有効データとして「エンジン回転数＝０rpm」というデータが記憶されている状態で、新たに、「ヒータコントロールＯＮ」というデータを受信した場合も、データ矛盾となる。エンジンが駆動していない状態で、ＮＯｘセンサ２０のヒータ２１を制御することはないからである。
また、既得有効データとして「エンジンアイドル中」というデータが記憶されている状態で、新たに、「エンジン回転数＝０rpm」というデータを受信した場合も、データ矛盾となる。エンジンがアイドリング状態であるときに、エンジン回転数が０rpmとなることはあり得ないからである。

また、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「Ｆｕｅｌ Ｃｕｔ中」というデータを受信した場合は、データ矛盾となる。「Ｆｕｅｌ Ｃｕｔ中」というデータは、本来、車両運転中（エンジン駆動時）にアクセルペダルを離しているときに送信されてくるデータである。従って、「エンジンキーＯＦＦ」の状態では車両運転中（エンジン駆動時）ではないため、この状態で「Ｆｕｅｌ Ｃｕｔ中」というデータを受信することは矛盾する。

データ矛盾が発生したときは、受信データが不適切なデータ（指令）であると考えられる。その原因は、ＣＡＮ３１の不具合（ノイズの侵入）やＥＣＵ３０の異常（故障）であると考えられる。ＥＣＵ３０が異常（故障）である場合には、ＥＣＵ３０から受信したデータに基づいてＮＯｘセンサ２０の制御を行うことで、ＮＯｘセンサ２０の劣化が促進されたり、ＮＯｘセンサ２０が故障（破損）に至る虞もある。

これに対し、本実施例１のＮＯｘセンサコントローラ１０では、マイクロコンピュータ１１が、ＥＣＵ３０から新たに受信した受信データを、マイクロコンピュータ１１において一時記憶されている既得有効データと対比する。そして、新たな受信データが、既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する。

さらに、マイクロコンピュータ１１は、データ矛盾であると判定した場合に、データ矛盾に対処する所定の処理を行う。
例えば、マイクロコンピュータ１１は、データ矛盾であると判定した場合、データ矛盾と判定した受信データ（以下、矛盾受信データともいう）を廃棄し、矛盾受信データに基づいたＮＯｘセンサ２０の制御を行わないようにする。これにより、不適切な受信データ（矛盾受信データ）に基づいて、ＮＯｘセンサ２０に対し不適切な制御が行われることを防止することができる。

具体的には、例えば、車両のエンジンキーがＯＦＦであるときは、マイクロコンピュータ１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが一時的に記憶されている状態となっている。この状態で、新たに、「ヒータ通電開始」というデータを受信した場合は、マイクロコンピュータ１１は、データ矛盾であると判定する。その後、マイクロコンピュータ１１は、「ヒータ通電開始」という矛盾受信データを廃棄し、ヒータ２１への通電を開始しないようにする。これにより、ヒータ２１への無駄な通電（バッテリの無駄な電力消費）や、ＮＯｘセンサ２０の故障（例えば、センサ素子２５の破損）などを防止することができる。

また、マイクロコンピュータ１１は、データ矛盾であると判定した場合、ＥＣＵ３０に対しデータ矛盾を通知する。このデータ矛盾の通知に基づいて、ＥＣＵ３０は、適切な対応（処理）をすることが可能となる。例えば、データ矛盾の通知を受信したＥＣＵ３０が、ＮＯｘセンサ２０に関するデータや制御をリセットすることで、データ矛盾を解消することができる。あるいは、データ矛盾の通知を受信したＥＣＵ３０が、ＥＣＵ３０の異常（故障）が発生した旨の警告ランプを点灯させ、車両の運転者等にＥＣＵ３０の点検・修理を促すことができる。ＥＣＵ３０の点検・修理を行うことで、データ矛盾を解消することができる。

また、マイクロコンピュータ１１は、データ矛盾であると判定した時点において、ＮＯｘセンサ２０に対し何らかの制御を行っている場合には、ＮＯｘセンサ２０の制御を停止する。これにより、ＮＯｘセンサ２０の制御を継続したことによる不具合を防止することができる。

具体的には、データ矛盾が発生したときには、ＥＣＵ３０が異常（故障）である場合がある。ＥＣＵ３０が異常（故障）である場合において、例えば、ヒータ２１に対し通電の制御を行っているときには、ＥＣＵ３０からヒータ２１の通電制御に関する適切なデータが送信されない虞があり、さらには、「ヒータ通電停止」のデータも送信されない虞がある。このような場合には、ヒータ２１に電流が流れ続け、ヒータ２１、酸素検出部２２、またはＮＯｘ検出部２３が過昇温（許容温度を超えた昇温）となって破損し、ＮＯｘセンサ２０の故障に至る虞がある。

これに対し、本実施例１のＮＯｘセンサコントローラ１０は、上述のように、データ矛盾であると判定した場合において、ＮＯｘセンサ２０の制御を行っているときには、ＮＯｘセンサ２０の制御を停止する。上記の例では、データ矛盾であると判定したときに、ヒータ２１に対する通電の制御を行っているので、直ちに、ヒータ２１に対する通電の制御を停止する。これにより、上述のようなＮＯｘセンサ２０の故障を防止することができる。

さらに、マイクロコンピュータ１１は、上述のようにＮＯｘセンサ２０の制御を停止した後も、引き続き、新たに受信した受信データがデータ矛盾であるか否かを判定する。そして、マイクロコンピュータ１１は、ＮＯｘセンサ２０の制御を停止した後、新たに受信した受信データがデータ矛盾でないと判定した場合（すなわち、データ矛盾が解消された場合）には、ＮＯｘセンサ２０の制御を再開する。これにより、ＮＯｘセンサ２０の制御を停止させても、その後データ矛盾が解消された場合には、適切に、ＮＯｘセンサ２０の制御を再開することができる。この場合、データ矛盾のない正当なデータに基づいて、ＮＯｘセンサ２０の制御を再開することができる。

なお、ＮＯｘセンサ２０の制御を停止した後に、新たに受信したデータがデータ矛盾でないと判定される場合（データ矛盾が解消される場合）としては、例えば、前述のように、データ矛盾の通知を受信したＥＣＵ３０が、ＮＯｘセンサ２０に関するデータや制御をリセットすることで、データ矛盾を解消した場合が挙げられる。

次に、本実施例１のＮＯｘセンサコントローラ１０によるデータ矛盾処理について、図２を参照して説明する。
まず、ステップＳ１において、ＮＯｘセンサコントローラ１０のマイクロコンピュータ１１は、ＣＡＮ３１を通じて、ＥＣＵ３０からのデータを受信する毎に（例えば、１０ｍ秒毎に）、受信したデータにデータ矛盾があるか否かを判定する。すなわち、マイクロコンピュータ１１は、ＥＣＵ３０から新たに受信した受信データを、マイクロコンピュータ１１において一時記憶されている既得有効データと対比し、新たな受信データが、既得有効データと矛盾した組み合わせとなるか否かを判定する。

ステップＳ１において、データ矛盾である（ＹＥＳ）と判定した場合は、ステップＳ２に進み、受信した矛盾データを廃棄し、矛盾受信データに基づいたＮＯｘセンサ２０の制御を行わないようにする。例えば、マイクロコンピュータ１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「ヒータ通電開始」というデータを受信した場合は、ステップＳ１において、データ矛盾である（ＹＥＳ）と判定される。その後、ステップＳ２において、マイクロコンピュータ１１は、「ヒータ通電開始」という矛盾受信データを廃棄し、ヒータ２１への通電を開始しないようにする。これにより、前述のような、ＮＯｘセンサ２０の故障（例えば、センサ素子２５の破損）を防止することができる。

次いで、ステップＳ３に進み、マイクロコンピュータ１１は、異常判定カウンタをインクリメントする。その後、ステップＳ４に進み、マイクロコンピュータ１１は、異常判定カウンタの値が２以上であるか否かを判定する。本実施例１では、２回以上連続したデータ矛盾でない場合は、異常判定カウンタの値が１となるので、異常判定カウンタの値が２以上でない（ＮＯ）と判定されることになる。一方、２回以上連続したデータ矛盾である場合は、異常判定カウンタの値が２以上となるので、異常判定カウンタの値が２以上である（ＹＥＳ）と判定されることになる。

ステップＳ４において、異常判定カウンタの値が２以上である（ＹＥＳ）と判定した場合は、ステップＳ５に進み、データ異常フラグをセットする。このように、本実施例１では、２回以上連続したデータ矛盾が発生した場合に、ＥＣＵ３０が異常（故障）であると判断し、ＣＡＮ３１を通じてＥＣＵ３０からＮＯｘセンサコントローラ１０に送信されるデータ（以下、単に、ＣＡＮデータともいう）が異常である（正当でないデータが送信される）と判断する。

このように、本実施例１では、マイクロコンピュータ１１は、１回のデータ矛盾を検出（ステップＳ１においてデータ矛盾と判定）したら、直ちに、ＣＡＮデータが異常（したがって、ＥＣＵ３０が異常）であると判断するのではなく、２回以上連続したデータ矛盾を検出した場合に、初めて、ＣＡＮデータが異常（したがって、ＥＣＵ３０が異常）であると判断する。ＥＣＵ３０が正常であっても、一時的にＣＡＮ３１にノイズが侵入した場合には、データ矛盾が生じることもあり得るからである。このようにして、本実施例１では、ＣＡＮデータの異常判定（ＥＣＵ３０の異常判定）の信頼性を高めている。

次いで、ステップＳ６に進み、マイクロコンピュータ１１は、ＮＯｘセンサ２０の制御中であるか否かを判定する。ＮＯｘセンサ２０の制御中である（ＹＥＳ）と判定した場合は、ステップＳ７に進み、ＮＯｘセンサ２０の制御を停止する。例えば、マイクロコンピュータ１１がヒータ制御回路１３を通じてヒータ２１の通電制御を行っている場合は、ＮＯｘセンサ２０の制御中である（ＹＥＳ）と判定し、直ちに、ヒータ２１に対する通電の制御を停止する。これにより、例えば、前述のような、センサ素子２５の過昇温によるＮＯｘセンサ２０の故障を防止することができる。また、マイクロコンピュータ１１が、酸素検出部制御回路１４を通じて酸素検出部２２の制御を行っている場合は、酸素検出部２２の制御を停止する。また、マイクロコンピュータ１１が、ＮＯｘ検出部制御回路１５を通じてＮＯｘ検出部２３の制御を行っている場合は、ＮＯｘ検出部２３の制御を停止する。

その後、ステップＳ８に進み、マイクロコンピュータ１１は、データ異常フラグがセットされているか否かを判定する。また、ステップＳ６において、ＮＯｘセンサ２０の制御中でない（ＮＯ）と判定した場合も、ステップＳ８に進み、データ異常フラグがセットされているか否かを判定する。前述のように、ステップＳ５においてデータ異常フラグをセットしているので、データ異常フラグがセットされている（ＹＥＳ）と判定する。次いで、ステップＳ９に進み、ＥＣＵ３０に対し、データ矛盾（異常）を通知する。

一方、ステップＳ４において、異常判定カウンタの値が２以上でない（ＮＯ）と判定した場合は、ステップＳ８に進み、マイクロコンピュータ１１は、データ異常フラグがセットされているか否かを判定する。この場合は、ステップＳ５においてデータ異常フラグをセットしていないので、データ異常フラグがセットされていない（ＮＯ）と判定する。
ステップＳ８において、データ異常フラグがセットされていない（ＮＯ）と判定すると、ステップＳＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

また、ステップＳ１において、データ矛盾でない（ＮＯ）と判定した場合は、ステップＳＡに進み、異常判定カウンタの値をクリアする。次いで、ステップＳＢに進み、データ異常フラグがセットされているか否かを判定する。データ異常フラグがセットされていない（ＮＯ）と判定した場合は、ステップＳＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

一方、ステップＳＢにおいて、データ異常フラグがセットされている（ＹＥＳ）と判定した場合は、ステップＳＣに進み、データ異常フラグをリセットする。次いで、ステップＳＤに進み、マイクロコンピュータ１１は、「ステップＳＣにおいてリセットしたデータ異常フラグを先のステップＳ５においてセットしたときに、マイクロコンピュータ１１がＮＯｘセンサ２０の制御を行っていたか否か」を判定する。すなわち、マイクロコンピュータ１１が、ヒータ制御回路１３を通じてヒータ２１の通電制御を行っていたか否か、酸素検出部制御回路１４を通じて酸素検出部２２の制御を行っていたか否か、ＮＯｘ検出部制御回路１５を通じてＮＯｘ検出部２３の制御を行っていたか否かを判定する。

先のステップＳ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１が、ＮＯｘセンサ２０の制御を行っていた場合は、ステップＳ７において、ＮＯｘセンサ２０の制御を停止している。このため、ステップＳＤにおいて、先のステップＳ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１がＮＯｘセンサ２０の制御を行っていた（ＹＥＳ）と判定した場合は、ステップＳＥに進み、マイクロコンピュータ１１は、ＮＯｘセンサ２０の制御を再開する。

この場合は、ステップＳ７においてＮＯｘセンサ２０の制御を停止した後、新たに受信した受信データがデータ矛盾でないと判定された場合（すなわち、データ矛盾が解消された場合）である。このため、ＮＯｘセンサ２０の制御を再開することで、データ矛盾のない正当なデータに基づいて、ＮＯｘセンサ２０の制御を適切に行うことができる。

例えば、ステップＳ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１がヒータ制御回路１３を通じてヒータ２１の通電制御を行っており、ステップＳ７においてヒータ２１の通電制御を停止していた場合は、ステップＳＥにおいて、マイクロコンピュータ１１は、ヒータ２１の通電制御を再開する。これにより、データ矛盾のない正当なデータに基づいて、ヒータ２１の通電制御を適切に行うことができる。

なお、この場合、マイクロコンピュータ１１は、ヒータ２１の通電制御を再開して、酸素検出部２２及びＮＯｘ検出部２３の固体電解質層（ジルコニアなど）が活性化した後に、酸素検出部２２を利用した酸素濃度の検出及びＮＯｘ検出部２３を利用したＮＯｘ濃度の検出を再開する。

その後、ステップＳＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。
一方、ステップＳＤにおいて、先のステップＳ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１がＮＯｘセンサ２０の制御を行っていない（ＮＯ）と判定した場合は、ＮＯｘセンサ２０の制御を停止している状態を保ったまま、ステップＳＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

なお、本実施例１では、ステップＳ１の処理を行うマイクロコンピュータ１１が、判定手段に相当する。また、ステップＳ２〜Ｓ９の処理を行うマイクロコンピュータ１１が、矛盾処理手段に相当する。このうち、ステップＳ２の処理を行うマイクロコンピュータ１１が矛盾データ廃棄手段に相当し、ステップＳ９の処理を行うマイクロコンピュータ１１が通知手段に相当し、ステップＳ７の処理を行うマイクロコンピュータ１１が制御停止手段に相当する。また、ステップＳＥの処理を行うマイクロコンピュータ１１が、制御再開手段に相当する。

（実施例２）
次に、本発明の実施例２について、図面を参照しつつ説明する。
図３は、実施例２にかかる酸素センサユニット２の概略構成図である。酸素センサユニット２は、図３に示すように、酸素センサコントローラ１１０と、酸素センサ１２０とを有している。なお、本実施例２では、酸素センサ１２０が車両用被制御部品に相当し、酸素センサコントローラ１１０が車両用被制御部品の制御装置に相当する。

酸素センサ１２０は、例えば、車両（内燃機関）の排気管（図示なし）に取付けられ、排気中の酸素濃度を検出する。この酸素センサ１２０は、図３に示すように、ヒータ１２１と酸素検出部１２２とを有する平板状のセンサ素子１２５を備えている。

センサ素子１２５は、例えば、酸素検出部１２２を有する素子部とヒータ１２１とが積層された積層体により構成される（特開２００８−８６６７及び特開２００８−２３３０６５参照）。ヒータ１２１は、例えば、アルミナを主成分とする２つの絶縁層の間に、Ｐｔを主成分とするヒータパターンが埋設された構造体である。一方、素子部は、例えば、酸素イオン伝導性を有する固体電解質層（ジルコニアなど）とＰｔを主成分とする一対の電極とからなる２つのセルの間に、中空の測定室を介在させて積層した構造体であり、２つのセルのうちの１つが、酸素濃度に応じた電流が流れる酸素検出部１２２を構成する。

酸素センサコントローラ１１０は、図３に示すように、インターフェース１１２と、マイクロコンピュータ１１１と、ヒータ制御回路１１３と、酸素検出部制御回路１１４とを有している。この酸素センサコントローラ１１０は、バッテリ（図示なし）に電気的に接続されており、このバッテリから供給される電力によって駆動する。

マイクロコンピュータ１１１は、ＲＯＭ、ＲＡＭ、ＣＰＵ等により構成されている。このマイクロコンピュータ１１１は、インターフェース１１２に電気的に接続されている。インターフェース１１２は、ＣＡＮ（車載用ネットワーク）３２を通じて、ＥＣＵ（エンジンコントロールユニット）３０に電気的に接続されている。これにより、ＥＣＵ３０とマイクロコンピュータ１１１との間で、データの送受信を行うことができる。なお、本実施例２でも、ＥＣＵ３０が外部装置に相当する。

さらに、マイクロコンピュータ１１１は、ヒータ制御回路１１３と酸素検出部制御回路１１４とに対し、電気的に接続されている。ヒータ制御回路１１３は、酸素センサ１２０のヒータ１２１に電気的に接続されている。酸素検出部制御回路１１４は、酸素センサ１２０の酸素検出部１２２に電気的に接続されている

このマイクロコンピュータ１１１は、ＣＡＮ３２を通じてＥＣＵ３０からデータ（指令）を受信し、受信したデータ（指令）に基づいて、酸素センサ１２０（車両用被制御部品に相当する）の制御を行う。具体的には、例えば、マイクロコンピュータ１１１は、ヒータ１２１の制御に関するデータ（指令）を受信した場合は、そのデータ（指令）に従って、ヒータ制御回路１１３を通じてヒータ１２１の制御を行う。また、マイクロコンピュータ１１１は、酸素検出部１２２の制御に関するデータ（指令）を受信した場合は、そのデータ（指令）に従って、酸素検出部制御回路１１４を通じて酸素検出部１２２の制御を行う。

ところで、実施例１のＮＯｘセンサコントローラ１０と同様に、本実施例２の酸素センサコントローラ１１０にも、ＥＣＵ３０から誤ったデータが送られてくることがあり得る。従って、酸素センサコントローラ１１０（詳細には、マイクロコンピュータ１１１）においてＥＣＵ３０から新たに受信したデータが、マイクロコンピュータ１１１において既に取得して現在有効なデータ（既得有効データ）と矛盾した組み合わせとなる（データ矛盾となる）ことがあり得る。

これに対し、本実施例２の酸素センサコントローラ１１０でも、実施例１のＮＯｘセンサコントローラ１０と同様に、マイクロコンピュータ１１１が、ＥＣＵ３０から新たに受信した受信データを、マイクロコンピュータ１１１において一時記憶されている既得有効データと対比する。そして、新たな受信データが、既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する。

さらに、マイクロコンピュータ１１１は、データ矛盾であると判定した場合に、実施例１のマイクロコンピュータ１１と同様に、データ矛盾に対処する所定の処理を行う。
例えば、マイクロコンピュータ１１１は、データ矛盾であると判定した場合、データ矛盾と判定した受信データ（矛盾受信データ）を廃棄し、矛盾受信データに基づいた酸素センサ１２０の制御を行わないようにする。これにより、不適切な受信データ（矛盾受信データ）に基づいて、酸素センサ１２０に対し不適切な制御が行われることを防止することができる。

また、マイクロコンピュータ１１１は、データ矛盾であると判定した場合、実施例１のマイクロコンピュータ１１と同様に、ＥＣＵ３０に対しデータ矛盾を通知する。このデータ矛盾の通知に基づいて、ＥＣＵ３０は、実施例１で記述したように、適切な対応（処理）をすることが可能となる。

また、マイクロコンピュータ１１１は、実施例１のマイクロコンピュータ１１と同様に、データ矛盾であると判定した時点において酸素センサ１２０に対し何らかの制御を行っている場合には、酸素センサ１２０の制御を停止する。これにより、酸素センサ１２０の制御を継続したことによる不具合（例えば、酸素センサ１２０の故障など）を防止することができる。

さらに、マイクロコンピュータ１１１は、上述のように酸素センサ１２０の制御を停止した後も、引き続き、新たに受信した受信データがデータ矛盾であるか否かを判定する。そして、マイクロコンピュータ１１１は、酸素センサ１２０の制御を停止した後、新たに受信した受信データがデータ矛盾でないと判定した場合（すなわち、データ矛盾が解消された場合）には、酸素センサ１２０の制御を再開する。これにより、酸素センサ１２０の制御を停止させても、その後データ矛盾が解消された場合には、適切に、酸素センサ１２０の制御を再開することができる。この場合、データ矛盾のない正当なデータに基づいて、酸素センサ１２０の制御を再開することができる。

次に、本実施例１の酸素センサコントローラ１１０によるデータ矛盾処理について、図４を参照して説明する。
まず、ステップＴ１において、酸素センサコントローラ１１０のマイクロコンピュータ１１１は、ＣＡＮ３２を通じて、ＥＣＵ３０からのデータを受信する毎に（例えば、１０ｍ秒毎に）、受信したデータにデータ矛盾があるか否かを判定する。すなわち、マイクロコンピュータ１１１は、ＥＣＵ３０から新たに受信した受信データを、マイクロコンピュータ１１１において一時記憶されている既得有効データと対比し、新たな受信データが、既得有効データと矛盾した組み合わせとなるか否かを判定する。

ステップＴ１において、データ矛盾である（ＹＥＳ）と判定した場合は、ステップＴ２に進み、受信した矛盾データを廃棄し、矛盾受信データに基づいた酸素センサ１２０の制御を行わないようにする。例えば、マイクロコンピュータ１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「Ｆｕｅｌ Ｃｕｔ中」というデータを受信した場合は、ステップＴ１において、データ矛盾である（ＹＥＳ）と判定される。その後、ステップＴ２において、マイクロコンピュータ１１１は、「Ｆｕｅｌ Ｃｕｔ中」という矛盾受信データを廃棄し、このデータ（指令）に基づいた処理（例えば、特開２００８−２３３０６５参照）を行わないようにする。

次いで、ステップＴ３に進み、マイクロコンピュータ１１１は、異常判定カウンタをインクリメントする。その後、ステップＴ４に進み、マイクロコンピュータ１１１は、実施例１のマイクロコンピュータ１１と同様に、異常判定カウンタの値が２以上であるか否かを判定する。異常判定カウンタの値が２以上である（ＹＥＳ）と判定した場合は、ステップＴ５に進み、データ異常フラグをセットする。本実施例２でも、実施例１と同様に、異常判定カウンタの値が２以上の場合（すなわち、２回以上連続したデータ矛盾が発生した場合）は、ＥＣＵ３０が異常（故障）であると判断し、ＣＡＮ３２を通じてＥＣＵ３０から酸素センサコントローラ１１０に送信されるデータが異常である（正当でないデータが送信される）と判断する。

次いで、ステップＴ６に進み、マイクロコンピュータ１１１は、酸素センサ１２０の制御中であるか否かを判定する。酸素センサ１２０の制御中である（ＹＥＳ）と判定した場合は、ステップＴ７に進み、酸素センサ１２０の制御を停止する。例えば、マイクロコンピュータ１１１がヒータ制御回路１１３を通じてヒータ１２１の通電制御を行っている場合は、酸素センサ２０の制御中である（ＹＥＳ）と判定し、直ちに、ヒータ１２１に対する通電の制御を停止する。これにより、例えば、センサ素子１２５の過昇温による酸素センサ１２０の故障を防止することができる。また、マイクロコンピュータ１１１が、酸素検出部制御回路１１４を通じて酸素検出部１２２の制御を行っている場合は、酸素検出部１２２の制御を停止する。

その後、ステップＴ８に進み、マイクロコンピュータ１１１は、データ異常フラグがセットされているか否かを判定する。また、ステップＴ６において、酸素センサ１２０の制御中でない（ＮＯ）と判定した場合も、ステップＴ８に進み、データ異常フラグがセットされているか否かを判定する。前述のように、ステップＴ５においてデータ異常フラグをセットしているので、データ異常フラグがセットされている（ＹＥＳ）と判定する。次いで、ステップＴ９に進み、ＥＣＵ３０に対し、データ矛盾（異常）を通知する。

一方、ステップＴ４において、異常判定カウンタの値が２以上でない（ＮＯ）と判定した場合は、ステップＴ８に進み、マイクロコンピュータ１１１は、データ異常フラグがセットされているか否かを判定する。この場合は、データ異常フラグをセットしていないので、データ異常フラグがセットされていない（ＮＯ）と判定する。
ステップＴ８において、データ異常フラグがセットされていない（ＮＯ）と判定すると、ステップＴＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

また、ステップＴ１において、データ矛盾でない（ＮＯ）と判定した場合は、ステップＴＡに進み、異常判定カウンタの値をクリアする。次いで、ステップＴＢに進み、データ異常フラグがセットされているか否かを判定する。データ異常フラグがセットされていない（ＮＯ）と判定した場合は、ステップＴＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

一方、ステップＴＢにおいて、データ異常フラグがセットされている（ＹＥＳ）と判定した場合は、ステップＴＣに進み、データ異常フラグをリセットする。次いで、ステップＴＤに進み、マイクロコンピュータ１１１は、「ステップＴＣにおいてリセットしたデータ異常フラグを先のステップＴ５においてセットしたときに、マイクロコンピュータ１１１が酸素センサ１２０の制御を行っていたか否か」を判定する。すなわち、マイクロコンピュータ１１１が、ヒータ制御回路１１３を通じてヒータ１２１の通電制御を行っていたか否か、酸素検出部制御回路１１４を通じて酸素検出部１２２の制御を行っていたか否かを判定する。

先のステップＴ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１１が、酸素センサ１２０の制御を行っていた場合は、ステップＴ７において、酸素センサ１２０の制御を停止している。このため、ステップＴＤにおいて、先のステップＴ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１１が酸素センサ１２０の制御を行っていた（ＹＥＳ）と判定した場合は、ステップＴＥに進み、マイクロコンピュータ１１１は、酸素センサ１２０の制御を再開する。

この場合は、ステップＴ７において酸素センサ１２０の制御を停止した後、新たに受信した受信データがデータ矛盾でないと判定された場合（すなわち、データ矛盾が解消された場合）である。このため、酸素センサ１２０の制御を再開することで、データ矛盾のない正当なデータに基づいて、酸素センサ１２０の制御を適切に行うことができる。

例えば、ステップＴ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１１がヒータ制御回路１１３を通じてヒータ１２１の通電制御を行っており、ステップＴ７においてヒータ１２１の通電制御を停止していた場合は、ステップＴＥにおいて、マイクロコンピュータ１１１は、ヒータ１２１の通電制御を再開する。これにより、データ矛盾のない正当なデータに基づいて、ヒータ１２１の通電制御を適切に行うことができる。

なお、この場合、マイクロコンピュータ１１１は、ヒータ１２１の通電制御を再開して、酸素検出部１２２の固体電解質層（ジルコニアなど）が活性化した後に、酸素検出部１２２を利用した酸素濃度の検出を再開する。

その後、ステップＴＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。
一方、ステップＴＤにおいて、先のステップＴ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１１が酸素センサ１２０の制御を行っていない（ＮＯ）と判定した場合は、酸素センサ１２０の制御を停止している状態を保ったまま、ステップＴＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

なお、本実施例２では、ステップＴ１の処理を行うマイクロコンピュータ１１１が、判定手段に相当する。また、ステップＴ２〜Ｔ９の処理を行うマイクロコンピュータ１１１が、矛盾処理手段に相当する。このうち、ステップＴ２の処理を行うマイクロコンピュータ１１１が矛盾データ廃棄手段に相当し、ステップＴ９の処理を行うマイクロコンピュータ１１１が通知手段に相当し、ステップＴ７の処理を行うマイクロコンピュータ１１１が制御停止手段に相当する。また、ステップＴＥの処理を行うマイクロコンピュータ１１１が、制御再開手段に相当する。

（実施例３）
次に、本発明の実施例３について、図面を参照しつつ説明する。
図５は、実施例３にかかるグロープラグユニット３の概略構成図である。グロープラグユニット３は、図５に示すように、グロープラグコントローラ２１０と、複数のグロープラグ２２０とを有している。なお、本実施例３では、グロープラグ２２０が車両用被制御部品に相当し、グロープラグコントローラ２１０が車両用被制御部品の制御装置に相当する。

グロープラグ２２０は、車両のディーゼルエンジン（図示なし）の燃焼室に取付けられ、燃焼室内を加熱する。従って、本実施例３のグロープラグユニット３は、ディーゼルエンジン（図示なし）の燃焼室の数だけ、グロープラグ２２０を備えている。例えば、４気筒のディーゼルエンジンを有する車両の場合には、グロープラグ２２０の数は４本となる。このグロープラグ２２０は、図５に示すように、ヒータ２２１を備えている。ヒータ２２１は、例えば、絶縁性セラミックからなるセラミック基体中に、発熱抵抗体が埋設されたセラミックヒータ素子として構成される（例えば、特開２００５−２４０７０７参照）。

グロープラグコントローラ２１０は、図５に示すように、インターフェース２１２と、マイクロコンピュータ２１１と、複数（グロープラグ２２０の数に等しい）のヒータ制御回路２１３とを有している。このグロープラグコントローラ２１０は、バッテリ（図示なし）に電気的に接続されており、このバッテリから供給される電力によって駆動する。

マイクロコンピュータ２１１は、ＲＯＭ、ＲＡＭ、ＣＰＵ等により構成されている。このマイクロコンピュータ２１１は、インターフェース１２に電気的に接続されている。インターフェース２１２は、ＣＡＮ（車載用ネットワーク）３３を通じて、ＥＣＵ（エンジンコントロールユニット）３０に電気的に接続されている。これにより、ＥＣＵ３０とマイクロコンピュータ２１１との間で、データの送受信を行うことができる。なお、本実施例３でも、ＥＣＵ３０が外部装置に相当する。

さらに、マイクロコンピュータ２１１は、ヒータ制御回路２１３に電気的に接続されている。ヒータ制御回路２１３は、グロープラグ２２０のヒータ２２１に電気的に接続されている。このマイクロコンピュータ２１１は、ＣＡＮ３３を通じてＥＣＵ３０からデータ（指令）を受信し、受信したデータ（指令）に基づいて、グロープラグ２２０（車両用被制御部品に相当する）の通電制御を行う。具体的には、マイクロコンピュータ２１１は、ヒータ２２１の通電制御に関するデータ（指令）を受信した場合は、そのデータ（指令）に従って、ヒータ制御回路２１３を通じてヒータ２２１の通電制御を行う。

ところで、実施例１，２と同様に、本実施例３のグロープラグコントローラ２１０にも、ＥＣＵ３０から誤ったデータが送られてくることがあり得る。従って、グロープラグコントローラ２１０（詳細には、マイクロコンピュータ２１１）においてＥＣＵ３０から新たに受信したデータが、マイクロコンピュータ２１１において既に取得して現在有効なデータ（既得有効データ）と矛盾した組み合わせとなる（データ矛盾となる）ことがあり得る。

これに対し、本実施例３のグロープラグコントローラ２１０でも、実施例１，２と同様に、マイクロコンピュータ２１１が、ＥＣＵ３０から新たに受信した受信データを、マイクロコンピュータ２１１において一時記憶されている既得有効データと対比する。そして、新たな受信データが、既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する。

例えば、マイクロコンピュータ２１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「中間昇温制御ＯＮ」というデータを受信した場合は、データ矛盾となる。ここで、中間昇温制御とは、車両運転中にグロープラグ２２０のヒータ２２１への通電制御を行って、ヒータ２２１の温度を所定温度にまで上昇させて、車両運転中における黒煙や白煙の発生を抑制する制御をいう。従って、「エンジンキーＯＦＦ」の状態（すなわち、エンジン停止状態）で、中間昇温制御を行うことは矛盾したことになる。

さらに、マイクロコンピュータ２１１は、データ矛盾であると判定した場合に、実施例１，２と同様に、データ矛盾に対処する所定の処理を行う。
例えば、マイクロコンピュータ２１１は、データ矛盾であると判定した場合、データ矛盾と判定した受信データ（以下、矛盾受信データともいう）を廃棄し、矛盾受信データに基づいたグロープラグ２２０の通電制御を行わないようにする。これにより、不適切な受信データ（矛盾受信データ）に基づいて、グロープラグ２２０に対し不適切な制御が行われることを防止することができる。

例えば、マイクロコンピュータ２１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「ヒータ通電開始」というデータを受信した場合は、データ矛盾となる。「エンジンキーＯＦＦ」の状態（すなわち、エンジン停止状態）で、ヒータ２２１への通電を行い、燃焼室内を加熱することはあり得ないからである。仮に、「エンジンキーＯＦＦ」の状態（すなわち、エンジン停止状態）で、「ヒータ通電開始」という矛盾受信データに基づいてヒータ２２１への通電を開始した場合は、バッテリの無駄な電力消費となる。さらに、通電時間が長時間に及んだ場合には、バッテリ上がりとなる虞がある。

これに対し、本実施例３では、マイクロコンピュータ２１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「ヒータ通電開始」というデータを受信した場合は、データ矛盾と判定する。そして、マイクロコンピュータ２１１は、「ヒータ通電開始」という受信データを廃棄し、ヒータ２２１への通電（不適切な制御に相当する）を行わないようにする。これにより、バッテリの無駄な電力消費やバッテリ上がりを防止することができる。

また、マイクロコンピュータ２１１は、データ矛盾であると判定した場合、実施例１のマイクロコンピュータ１１と同様に、ＥＣＵ３０に対しデータ矛盾を通知する。このデータ矛盾の通知に基づいて、ＥＣＵ３０は、実施例１で記述したように、適切な対応（処理）をすることが可能となる。

また、マイクロコンピュータ２１１は、実施例１，２と同様に、データ矛盾であると判定した時点においてグロープラグ２２０の通電制御を行っている場合には、グロープラグ２２０の通電制御を停止する。これにより、グロープラグ２２０の通電制御を継続したことによる不具合（例えば、グロープラグ２２０の故障など）を防止することができる。

例えば、マイクロコンピュータ２１１において、既得有効データとして「中間昇温制御ＯＮ」というデータが記憶されている状態で、新たに、「プリグロー開始」というデータを受信した場合は、データ矛盾となる。なお、プリグローとは、ディーゼルエンジンの始動時に、グロープラグ２２０のヒータ２２１に大電流を流す通電制御を行って、短時間（数秒）で燃焼室内の温度をディーゼルエンジンを始動させるのに十分な温度（例えば、１２５０℃）にまで昇温させることをいう。

中間昇温制御中に、「プリグロー開始」というデータ（指令）に従ってグロープラグ２２０のヒータ２２１に大電流を流す通電制御を行った場合には、ヒータ２２１（発熱抵抗体）の温度が許容温度を超えた過昇温となって破損し、グロープラグ２２０の故障に至る虞がある。

これに対し、本実施例３のグロープラグコントローラ２１０は、上述のように、データ矛盾であると判定した場合において、グロープラグ２２０の通電制御を行っている場合は、グロープラグ２２０の通電制御を停止する。上記の例では、データ矛盾であると判定したときに、ヒータ２２１に対し中間昇温の通電制御を行っているので、直ちに、ヒータ２２１に対する通電の制御を停止する。これにより、グロープラグ２２０の故障を防止することができる。

さらに、マイクロコンピュータ２１１は、上述のようにグロープラグ２２０の通電制御を停止した後も、引き続き、新たに受信した受信データがデータ矛盾であるか否かを判定する。そして、マイクロコンピュータ２１１は、グロープラグ２２０の通電制御を停止した後、新たに受信した受信データがデータ矛盾でないと判定した場合（すなわち、データ矛盾が解消された場合）には、グロープラグ２２０の通電制御を再開する。これにより、データ矛盾のない正当なデータに基づいて、グロープラグ２２０の通電制御を適切に再開することができる。

次に、本実施例１のグロープラグコントローラ２１０によるデータ矛盾処理について、図６を参照して説明する。
まず、ステップＵ１において、グロープラグコントローラ２１０のマイクロコンピュータ２１１は、ＣＡＮ３３を通じて、ＥＣＵ３０からデータを受信する毎に（例えば、１０ｍ秒毎に）、受信したデータにデータ矛盾があるか否かを判定する。すなわち、マイクロコンピュータ２１１は、ＥＣＵ３０から新たに受信した受信データを、マイクロコンピュータ２１１において一時記憶されている既得有効データと対比し、新たな受信データが、既得有効データと矛盾した組み合わせとなるか否かを判定する。

ステップＵ１において、データ矛盾である（ＹＥＳ）と判定した場合は、ステップＵ２に進み、受信した矛盾データを廃棄し、矛盾受信データに基づいたグロープラグ２２０の通電制御を行わないようにする。例えば、マイクロコンピュータ２１１において、既得有効データとして「エンジンキーＯＦＦ」というデータが記憶されている状態で、新たに、「中間昇温制御ＯＮ」というデータを受信した場合は、ステップＵ１において、データ矛盾である（ＹＥＳ）と判定される。その後、ステップＵ２において、マイクロコンピュータ２１１は、「中間昇温制御ＯＮ」という矛盾受信データを廃棄し、このデータ（指令）に基づいた通電制御（例えば、特開２００５−２４０７０７参照）を行わないようにする。

次いで、ステップＵ３に進み、マイクロコンピュータ２１１は、異常判定カウンタをインクリメントする。その後、ステップＵ４に進み、マイクロコンピュータ２１１は、異常判定カウンタの値が２以上であるか否かを判定する。異常判定カウンタの値が２以上である（ＹＥＳ）と判定した場合は、ステップＵ５に進み、データ異常フラグをセットする。異常判定カウンタの値が２以上の場合（すなわち、２回以上連続したデータ矛盾が発生した場合）は、ＥＣＵ３０が異常（故障）であると判断することができ、ＣＡＮ３３を通じてＥＣＵ３０からグロープラグコントローラ２１０に送信されるデータが異常である（正当でないデータが送信される）と判断できるからである。

次いで、ステップＵ６に進み、マイクロコンピュータ２１１は、グロープラグ２２０の通電制御中であるか否かを判定する。グロープラグ２２０の通電制御中である（ＹＥＳ）と判定した場合は、ステップＵ７に進み、グロープラグ２２０の通電制御を停止する。これにより、例えば、ヒータ２２１の過昇温によるグロープラグ２２０の故障を防止することができる。

その後、ステップＵ８に進み、マイクロコンピュータ２１１は、データ異常フラグがセットされているか否かを判定する。また、ステップＵ６において、グロープラグ２２０の通電制御中でない（ＮＯ）と判定した場合も、ステップＵ８に進み、データ異常フラグがセットされているか否かを判定する。前述のように、ステップＵ５においてデータ異常フラグをセットしているので、データ異常フラグがセットされている（ＹＥＳ）と判定する。次いで、ステップＵ９に進み、ＥＣＵ３０に対し、データ矛盾（異常）を通知する。

一方、ステップＵ４において、異常判定カウンタの値が２以上でない（ＮＯ）と判定した場合は、ステップＵ８に進み、マイクロコンピュータ２１１は、データ異常フラグがセットされているか否かを判定する。この場合は、データ異常フラグをセットしていないので、データ異常フラグがセットされていない（ＮＯ）と判定する。
ステップＵ８において、データ異常フラグがセットされていない（ＮＯ）と判定すると、ステップＵＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

また、ステップＵ１において、データ矛盾でない（ＮＯ）と判定した場合は、ステップＵＡに進み、異常判定カウンタの値をクリアする。次いで、ステップＵＢに進み、データ異常フラグがセットされているか否かを判定する。データ異常フラグがセットされていない（ＮＯ）と判定した場合は、ステップＵＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

一方、ステップＵＢにおいて、データ異常フラグがセットされている（ＹＥＳ）と判定した場合は、ステップＵＣに進み、データ異常フラグをリセットする。次いで、ステップＵＤに進み、マイクロコンピュータ２１１は、「ステップＵＣにおいてリセットしたデータ異常フラグを先のステップＵ５においてセットしたときに、マイクロコンピュータ２１１がグロープラグ２２０の通電制御を行っていたか否か」を判定する。

先のステップＵ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ１１１が、グロープラグ２２０の通電制御を行っていた場合は、ステップＵ７において、グロープラグ２２０の通電制御を停止している。このため、ステップＵＤにおいて、先のステップＵ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ２１１がグロープラグ２２０の制御を行っていた（ＹＥＳ）と判定した場合は、ステップＵＥに進み、マイクロコンピュータ２１１は、グロープラグ２２０の通電制御を再開する。

この場合は、ステップＵ７においてグロープラグ２２０の通電制御を停止した後、新たに受信した受信データがデータ矛盾でないと判定された場合（すなわち、データ矛盾が解消された場合）である。このため、グロープラグ２２０の通電制御を再開することで、データ矛盾のない正当なデータに基づいて、グロープラグ２２０の通電制御を適切に行うことができる。

その後、ステップＵＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。
一方、ステップＵＤにおいて、先のステップＵ５においてデータ異常フラグをセットしたときに、マイクロコンピュータ２１１がグロープラグ２２０の通電制御を行っていない（ＮＯ）と判定した場合は、グロープラグ２２０の通電制御を停止している状態を保ったまま、ステップＵＦに進み、ＥＣＵ３０に対し、ＥＣＵ３０の正常を通知する。

なお、本実施例３では、ステップＵ１の処理を行うマイクロコンピュータ２１１が、判定手段に相当する。また、ステップＵ２〜Ｕ９の処理を行うマイクロコンピュータ２１１が、矛盾処理手段に相当する。このうち、ステップＵ２の処理を行うマイクロコンピュータ２１１が矛盾データ廃棄手段に相当し、ステップＵ９の処理を行うマイクロコンピュータ２１１が通知手段に相当し、ステップＵ７の処理を行うマイクロコンピュータ２１１が制御停止手段に相当する。また、ステップＵＥの処理を行うマイクロコンピュータ２１１が、制御再開手段に相当する。

以上において、本発明を実施例１〜３に即して説明したが、本発明は上記実施例に限定されるものではなく、その要旨を逸脱しない範囲で、適宜変更して適用できることはいうまでもない。
例えば、実施例１〜３では、車両用被制御部品として、ＮＯｘセンサ、酸素センサ、グロープラグを例示したが、本発明にかかる「車両用被制御部品の制御装置」の制御対象となる車両用被制御部品は、これらに限定されるものではない。本発明は、ＮＯｘセンサ、酸素センサ、グロープラグの他、液体状態検知センサ、燃料噴射装置など、車両に取り付けられて制御装置の制御により作動する部品（車両用被制御部品）の制御装置であれば、いずれの車両用被制御部品の制御装置についても適用することができる。

１ ＮＯｘセンサユニット
２ 酸素センサユニット
３ グロープラグユニット
１０ ＮＯｘセンサコントローラ（車両用被制御部品の制御装置）
１１，１１１，２１１ マイクロコンピュータ
２０ ＮＯｘセンサ（車両用被制御部品）
３０ ＥＣＵ（外部装置）
１１０ 酸素センサコントローラ（車両用被制御部品の制御装置）
１２０ 酸素センサ（車両用被制御部品）
２１０ グロープラグコントローラ（車両用被制御部品の制御装置）
２２０ グロープラグ（車両用被制御部品）

Claims (6)

1. 外部装置から受信したデータに基づいて車両用被制御部品の制御を行う
   車両用被制御部品の制御装置であって、
   上記外部装置から新たに受信した受信データを、既に取得して現在有効な既得有効データと対比して、上記受信データが上記既得有効データと矛盾した組み合わせとなるデータ矛盾であるか否かを判定する判定手段を備える
   車両用被制御部品の制御装置。
2. 請求項１に記載の車両用被制御部品の制御装置であって、
   前記判定手段において前記データ矛盾と判定された場合に、上記データ矛盾に対処する所定の処理を行う矛盾処理手段を備える
   車両用被制御部品の制御装置。
3. 請求項２に記載の車両用被制御部品の制御装置であって、
   前記矛盾処理手段は、矛盾データ廃棄手段を含み、
   上記矛盾データ廃棄手段は、
   前記所定の処理として、前記判定手段において前記データ矛盾と判定された前記受信データである矛盾受信データを廃棄する処理を行い、上記矛盾受信データに基づいた前記車両用被制御部品の制御を行わないようにする手段である
   車両用被制御部品の制御装置。
4. 請求項２または請求項３に記載の車両用被制御部品の制御装置であって、
   前記矛盾処理手段は、
   前記所定の処理として前記外部装置に対し前記データ矛盾を通知する通知手段を含む
   車両用被制御部品の制御装置。
5. 請求項２〜請求項４のいずれか一項に記載の車両用被制御部品の制御装置であって、
   前記矛盾処理手段は、
   前記制御装置が前記車両用被制御部品の制御を行っている場合に、前記所定の処理として上記車両用被制御部品の制御を停止する制御停止手段を含む
   車両用被制御部品の制御装置。
6. 請求項５に記載の車両用被制御部品の制御装置であって、
   前記判定手段は、
   前記制御停止手段により前記車両用被制御部品の制御を停止した後も、引き続き、新たに受信した受信データがデータ矛盾であるか否かを判定し、
   前記車両用被制御部品の制御装置は、
   上記制御停止手段により上記車両用被制御部品の制御が停止された後、上記判定手段がデータ矛盾でないと判定した場合に、上記車両用被制御部品の制御を再開する制御再開手段を備える
   車両用被制御部品の制御装置。

Images