JP6149797B2

JP6149797B2 - In-vehicle electronic control unit

Info

Publication number: JP6149797B2
Application number: JP2014097687A
Authority: JP
Inventors: 宏紀岡田; 英一郎川上
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2014-05-09
Filing date: 2014-05-09
Publication date: 2017-06-21
Anticipated expiration: 2034-05-09
Also published as: JP2015214226A

Description

本発明は、制御対象に対して所定の制御動作を行う制御手段が当該制御手段の動作を監視する監視手段の監視機能が正常に動作するかを検査する検査動作を実行する車載電子制御装置に関する。 The present invention relates to an in-vehicle electronic control device that executes an inspection operation for inspecting whether or not a monitoring function of a monitoring unit that performs a predetermined control operation on a controlled object operates normally. .

従来、制御対象を制御するマイクロコンピュータ（以下、マイコン）と、このマイコンの動作を監視する監視ＩＣとで構成された電子制御装置が提供されている（特許文献１参照）。
一方、特許文献２によれば、マイコンは、所定のＩＣテスト実行タイミングにて、意図的に「マイコン異常」と判定されるテスト回答を監視ＩＣに送信し、そのテスト回答に対する監視ＩＣからの判定結果が「マイコン異常」であるか否かで、ＩＣの機能テストを実施することが記載されている（請求項１０参照）。 2. Description of the Related Art Conventionally, there has been provided an electronic control device including a microcomputer (hereinafter referred to as a microcomputer) that controls a control target and a monitoring IC that monitors the operation of the microcomputer (see Patent Document 1).
On the other hand, according to Patent Document 2, the microcomputer intentionally transmits a test response that is determined to be “microcomputer abnormality” to the monitoring IC at a predetermined IC test execution timing, and determines the test response from the monitoring IC. It is described that the function test of the IC is performed depending on whether or not the result is “microcomputer abnormality” (see claim 10).

特許文献２の請求項１０に係る発明によれば、マイコンからのテスト回答の正誤を判定する監視ＩＣの正誤判定機能が正常か否かを、マイコン側にてランタイム（イグニッションスイッチＯＮ時）に検証することができるので、監視ＩＣの異常判定回路の誤判定を検出した場合は、その誤判定の回数をカウントし所定回数となったことで異常を確定することが可能となる。 According to the invention according to claim 10 of Patent Document 2, whether or not the correctness determination function of the monitoring IC for determining the correctness of the test response from the microcomputer is normal is verified on the microcomputer side at runtime (when the ignition switch is ON). Therefore, when an erroneous determination of the abnormality determination circuit of the monitoring IC is detected, it is possible to determine the abnormality by counting the number of erroneous determinations and reaching a predetermined number.

特開２００７−２７５８号公報JP 2007-2758 A 特許第４４３２９８８号公報Japanese Patent No. 4432988

しかしながら、特許文献２の請求項１０に係る発明は、監視ＩＣの機能の一部（エラー検出回路の異常回数カウント用のカウンタ動作のみ等）を検査しているにすぎず、危険を未然に回避する効果はランタイム中に検査している部分的な異常判定機能に限定されるという問題がある。 However, the invention according to claim 10 of Patent Document 2 only inspects a part of the function of the monitoring IC (only the counter operation for counting the number of abnormalities of the error detection circuit, etc.), and avoids danger. There is a problem that the effect of doing is limited to the partial abnormality judgment function that is inspected during runtime.

一方、制御対象を駆動するための所定の駆動回路に対する監視手段による遮断出力機能が有効かの検査をランタイム中に実施すると、電子制御装置がエンジンＥＣＵ（Electronic Control Unit）であれば遮断出力によるエンジン出力抑制状態ではエンストの懸念がある。そのため、マイコン暴走時に監視手段の異常判定機能及び遮断出力機能が有効に機能するかどうかは当該検査だけでは十分に確認できていないという問題がある。 On the other hand, if an inspection is performed during runtime to check whether the cutoff output function by the monitoring means for the predetermined drive circuit for driving the controlled object is effective, the engine with the cutoff output is used if the electronic control unit is an engine ECU (Electronic Control Unit). There is concern about engine stall when output is suppressed. For this reason, there is a problem that whether or not the abnormality determination function and the cutoff output function of the monitoring unit function effectively when the microcomputer runs away cannot be sufficiently confirmed only by the inspection.

上記課題を解決する手段として、イグニッションスイッチＯＮからイグニッションスイッチＯＦＦ時に所定の手順を踏んで、異常判定回路の詳細と、遮断出力の有効性とを確認できるが、イグニッションスイッチＯＮ期間が長いと、イグニッションスイッチＯＦＦして運転終了するタイミングまで遮断出力の有効性が確認できないため、ランタイム中に遮断出力の有効性が確認できないという懸念がある。 As a means to solve the above problems, the details of the abnormality determination circuit and the effectiveness of the shutoff output can be confirmed by following a predetermined procedure when the ignition switch is turned on from the ignition switch ON, but if the ignition switch ON period is long, There is a concern that the effectiveness of the cutoff output cannot be confirmed during runtime because the effectiveness of the cutoff output cannot be confirmed until the timing when the operation is ended after the switch is turned off.

しかしながら、特許文献２の請求項１０に係る発明は、監視ＩＣによる異常判定機能の有効性を、遮断出力機能を含めて確認するものでもなく、異常判定機能を詳細に検査するものでもない。つまり、異常判定機能の一部（異常回数検出用カウンタのカウンタ動作のみ）を検査しているにすぎず、例えば信頼できないソフトウェアの暴走で安全機能（例えばトルクモニタ）の実行が侵害されたときに、監視ＩＣの遮断出力機能が有効に機能するかどうかは当該検査だけでは十分に確認できない。
要するに、危険を未然に回避する効果はランタイム中に検査している部分的な異常判定機能に限定されるという問題があるし、遮断出力機能の検査をランタイム中に実施するとエンジンＥＣＵであればエンストの懸念がある。 However, the invention according to claim 10 of Patent Document 2 does not confirm the effectiveness of the abnormality determination function by the monitoring IC, including the cutoff output function, and does not inspect the abnormality determination function in detail. That is, only a part of the abnormality determination function (only the counter operation of the abnormality count detection counter) is inspected, for example, when execution of a safety function (for example, torque monitor) is violated due to unreliable software runaway Whether or not the cutoff output function of the monitoring IC functions effectively cannot be sufficiently confirmed only by the inspection.
In short, there is a problem that the effect of avoiding dangers is limited to the partial abnormality judgment function that is inspected during runtime. There are concerns.

本発明は上記事情に鑑みてなされたもので、その目的は、制御手段の動作を監視する監視手段の監視機能が正常に動作するかを検査する検査間隔が長くなることを防止しながら、遮断出力機能の検査を車両に支障を生じることなく行うことができる車載電子制御装置を提供することにある。 The present invention has been made in view of the above circumstances, and its purpose is to prevent an increase in the inspection interval for inspecting whether the monitoring function of the monitoring means for monitoring the operation of the control means operates normally. An object of the present invention is to provide an in-vehicle electronic control device capable of performing an output function inspection without causing any trouble to the vehicle.

請求項１の発明によれば、アイドリングストップ時に監視手段の監視機能が正常に動作するかを検査する検査動作を実行するので、イグニッションスイッチＯＦＦ時に検査動作を実行する場合に比較して、検査間隔の短縮を図ることができる。しかも、この検査動作の終了時にアイドリングストップが継続している場合は、制御対象を駆動するための駆動回路に対して監視手段からの遮断出力が有効に機能するかを検査する遮断出力検査動作を実行するので、車両に影響することなく監視手段の遮断出力機能を検査することができる。 According to the first aspect of the present invention, since the inspection operation for inspecting whether the monitoring function of the monitoring means operates normally when idling stops is performed, the inspection interval is compared with the case where the inspection operation is performed when the ignition switch is OFF. Can be shortened. In addition, when the idling stop is continued at the end of the inspection operation, the interruption output inspection operation for inspecting whether the interruption output from the monitoring means functions effectively with respect to the drive circuit for driving the controlled object. Since it performs, the interruption | blocking output function of a monitoring means can be test | inspected, without affecting a vehicle.

第１実施形態における電子制御装置を示す機能ブロック図Functional block diagram showing the electronic control unit in the first embodiment マイコンの検査動作を示すフローチャートFlow chart showing microcomputer inspection operation 検査タイミングを示す図Diagram showing inspection timing 第２実施形態におけるマイコンの検査動作を示すフローチャートThe flowchart which shows the test | inspection operation | movement of the microcomputer in 2nd Embodiment. 第３実施形態におけるマイコンの検査動作を示すフローチャートThe flowchart which shows the test | inspection operation | movement of the microcomputer in 3rd Embodiment. 検査タイミングを示す図Diagram showing inspection timing 第４実施形態におけるマイコンの検査動作を示すフローチャートThe flowchart which shows the test | inspection operation | movement of the microcomputer in 4th Embodiment. 検査タイミングを示す図Diagram showing inspection timing 第５実施形態におけるマイコンの検査動作を示すフローチャートThe flowchart which shows the test | inspection operation | movement of the microcomputer in 5th Embodiment. 検査タイミングを示す図Diagram showing inspection timing

（第１実施形態）
本発明をエンジンＥＣＵに適用した第１実施形態について、図１から図３を参照して説明する。
図１に示す電子制御装置１（車載電子制御装置に相当）はエンジンＥＣＵで、マイコン１０（制御手段に相当）、モニタモジュール２０（監視手段、第２監視手段に相当）、駆動回路３０（駆動手段に相当）を備えて構成されており、アクチュエータ２（制御対象に相当）の駆動制御を行う。アクチュエータ２は例えば図示しない電子スロットルバルブを開閉駆動するスロットルバルブ用モータである。 (First embodiment)
A first embodiment in which the present invention is applied to an engine ECU will be described with reference to FIGS. 1 to 3.
An electronic control device 1 (corresponding to an on-vehicle electronic control device) shown in FIG. 1 is an engine ECU, and includes a microcomputer 10 (corresponding to control means), a monitor module 20 (corresponding to monitoring means and second monitoring means), and a drive circuit 30 (driving). The actuator 2 (corresponding to the control target) is controlled. The actuator 2 is, for example, a throttle valve motor that opens and closes an electronic throttle valve (not shown).

マイコン１０は、アクチュエータ２の駆動制御を行うための各種演算処理を行うもので、入力部１１、制御部１２、自己監視部１３（監視手段、第１監視手段に相当）、プログラム実行部１４、通信部１５、外部通信部１６、カウンタ１７、記憶部１８を備えて構成されている。 The microcomputer 10 performs various arithmetic processes for performing drive control of the actuator 2, and includes an input unit 11, a control unit 12, a self-monitoring unit 13 (corresponding to a monitoring unit and a first monitoring unit), a program execution unit 14, The communication unit 15, the external communication unit 16, the counter 17, and the storage unit 18 are provided.

マイコン１０の主体をなす制御部１２は、入力部１１を通じて例えばアクセルペダル操作量などを示す各種外部信号を入力し、入力した外部信号に基づいてアクチュエータ２に対する制御量（駆動量）を演算する演算処理を実行し、その演算結果（駆動指令）を駆動回路３０に出力する。 The control unit 12 which is the main body of the microcomputer 10 inputs various external signals indicating, for example, an accelerator pedal operation amount through the input unit 11, and calculates a control amount (driving amount) for the actuator 2 based on the input external signal. The process is executed, and the calculation result (drive command) is output to the drive circuit 30.

駆動回路３０は、制御部１２からの駆動指令に応じてアクチュエータ２を駆動制御する。アクチュエータ２は、駆動回路３０による駆動制御に応じて電子スロットルバルブの開閉駆動を行う。電子スロットバルブにはスロットルバルブ用センサ３が設けられており、電子スロットバルブの開度を検出して開度を示す開度信号を出力する。制御部１２は、スロットルバルブ用センサ３からの開度信号を入力部１１を介して入力することにより電子スロットルバルブの開度を取得する。 The drive circuit 30 drives and controls the actuator 2 in accordance with a drive command from the control unit 12. The actuator 2 opens and closes the electronic throttle valve in accordance with drive control by the drive circuit 30. The electronic slot valve is provided with a throttle valve sensor 3, which detects the opening degree of the electronic slot valve and outputs an opening degree signal indicating the opening degree. The control unit 12 acquires the opening degree of the electronic throttle valve by inputting the opening degree signal from the throttle valve sensor 3 via the input unit 11.

自己監視部１３は、制御部１２からの駆動指令の妥当性を監視するもので、入力部１１から制御部１２へ入力される各種外部信号を同時に入力して制御部１２による演算処理と同一の演算処理を実行する。そして、演算処理の結果（駆動指令）と制御部１２から取得した駆動指令とを比較し、比較結果が異なっていた場合は、制御部１２による駆動指令の妥当性を否定する信号として駆動回路３０に出力される遮断出力をアクティブとする。この遮断出力は、駆動回路３０に対するDisable信号である。このDisable信号がアクティブになると、駆動回路３０によりアクチュエータ２が閉鎖側に制御されてエンジンのトルクが制限されるので、車両として異常な状態になることが防止される。この場合、電子スロットルバルブは閉鎖側に制御されるにしても最小燃料供給状態は確保されるので、エンジンによる最低限の走行可能な状態は確保される。 The self-monitoring unit 13 monitors the validity of the drive command from the control unit 12, and simultaneously inputs various external signals input from the input unit 11 to the control unit 12 and is the same as the arithmetic processing by the control unit 12. Perform arithmetic processing. Then, the result of the arithmetic processing (drive command) is compared with the drive command acquired from the control unit 12, and if the comparison result is different, the drive circuit 30 is used as a signal that denies the validity of the drive command by the control unit 12. The cut-off output that is output to is activated. This cutoff output is a Disable signal for the drive circuit 30. When this Disable signal becomes active, the actuator 2 is controlled to the closed side by the drive circuit 30 and the engine torque is limited, so that an abnormal state of the vehicle is prevented. In this case, the minimum fuel supply state is ensured even if the electronic throttle valve is controlled to the closed side, so that the minimum travelable state by the engine is ensured.

プログラム実行部１４は、自己監視部１３の異常の有無を監視するための監視プログラムを実行するもので、マイコン１０の通信部１５を通じてモニタモジュール２０から入力する監視プログラムの実行を指示するテスト信号に基づき、監視プログラムの実行を開始する。監視プログラムの実行に際しては、プログラム実行部１４が監視プログラムにより指示される所定のデータを自己監視部１３に出力してこれを予め演算させておく。その後、自己監視部１３による演算結果を入力し、その演算結果を通信部１５を通じてモニタモジュール２０に出力する。 The program execution unit 14 executes a monitoring program for monitoring the presence / absence of an abnormality in the self-monitoring unit 13, and uses a test signal that instructs execution of the monitoring program input from the monitor module 20 through the communication unit 15 of the microcomputer 10. Based on this, the execution of the monitoring program is started. When executing the monitoring program, the program execution unit 14 outputs predetermined data instructed by the monitoring program to the self-monitoring unit 13 and calculates it in advance. Thereafter, a calculation result by the self-monitoring unit 13 is input, and the calculation result is output to the monitor module 20 through the communication unit 15.

モニタモジュール２０は、通信部２１と異常判定回路２２とを備えて構成されている。通信部２１は、マイコン１０の通信部１５との間でシリアル通信による情報の授受を行う。モニタモジュール２０は、マイコン１０のプログラム実行部１４から通信部１５及び通信部２１を介して取込まれる情報に基づき、自己監視部１３の異常の有無を監視するハードウェアである。 The monitor module 20 includes a communication unit 21 and an abnormality determination circuit 22. The communication unit 21 exchanges information by serial communication with the communication unit 15 of the microcomputer 10. The monitor module 20 is hardware that monitors the presence or absence of an abnormality in the self-monitoring unit 13 based on information taken from the program execution unit 14 of the microcomputer 10 via the communication unit 15 and the communication unit 21.

モニタモジュール２０がマイコン１０の自己監視部１３を監視する場合、異常判定回路２２は、テスト信号を例えば所定期間毎にマイコン１０に出力すると共にマイコン１０（プログラム実行部１４）から出力される所定のデータの演算結果を入力し、その演算結果と自らが有する期待値とを比較し、その比較結果が異なる場合は妥当性を否定する信号として駆動回路３０に出力される遮断出力をアクティブとする。この遮断出力は、マイコン１０の自己監視部１３からの遮断出力と同様な駆動回路３０に対するDisable信号である。 When the monitor module 20 monitors the self-monitoring unit 13 of the microcomputer 10, the abnormality determination circuit 22 outputs a test signal to the microcomputer 10, for example, every predetermined period and at the same time is output from the microcomputer 10 (program execution unit 14). The operation result of data is input, the operation result is compared with the expected value of itself, and if the comparison result is different, the cutoff output that is output to the drive circuit 30 as a signal that negates the validity is activated. This cutoff output is a Disable signal for the drive circuit 30 similar to the cutoff output from the self-monitoring unit 13 of the microcomputer 10.

駆動回路３０は、基本的にマイコン１０からの駆動指令に基づいてアクチュエータ２の駆動制御を実行するが、次のような場合は駆動指令を無効とするようになっている。つまり、自己監視部１３或いはモニタモジュール２０の異常判定回路２２から出力される監視結果を示す遮断出力がアクティブとなった場合は、制御部１２からの駆動指令の信頼性が低く車両の安全性が低い可能性が高い。したがって、このような場合は、駆動回路３０は、車両の安全性を確保すべく、制御部１２による駆動指令を無効としてアクチュエータ２に対する駆動制御を実行しないするようになっている。この場合、電子スロットルバルブはアクチュエータ２により開放されない状態となるが、エンジンの駆動を維持するだけの最小燃料をエンジンに供給可能な状態となるので、エンジンによる最低限の走行可能なリンプフォーム走行（所定速度以下での走行モード）が可能な状態は確保される。 The drive circuit 30 basically executes the drive control of the actuator 2 based on the drive command from the microcomputer 10, but the drive command is invalidated in the following cases. That is, when the shut-off output indicating the monitoring result output from the abnormality monitoring circuit 22 of the self-monitoring unit 13 or the monitor module 20 becomes active, the reliability of the drive command from the control unit 12 is low and the vehicle safety is low. It ’s likely to be low. Therefore, in such a case, the drive circuit 30 does not execute the drive control on the actuator 2 by invalidating the drive command by the control unit 12 in order to ensure the safety of the vehicle. In this case, the electronic throttle valve is not opened by the actuator 2, but the minimum fuel sufficient to maintain the engine drive can be supplied to the engine. A state in which a travel mode at a predetermined speed or less) is possible is ensured.

外部通信部１６は、アイドリングストップ制御装置４とボディー系制御装置５との間で情報を送受信する。アイドリングストップ制御装置４から電子制御装置１へ送信される情報としては、アイドリングストップ実施判定結果及び再始動要求である。アイドリングストップ実施判定結果は、アイドリングストップ制御装置４がアイドリングストップ条件の成立に応じてエンジンを停止した場合にＯＫとなる。再始動要求は、アイドリングストップ制御装置４がアイドリングストップ条件の解除に応じてエンジンを再始動した場合にＯＮとなる。電子制御装置１からアイドリングストップ制御装置４に出力される信号としては、エンジン再始動禁止要求である。このエンジン再始動禁止要求は、アイドリングストップ制御装置４に対してアイドリングストップ条件が解除されてもエンジンの始動を禁止することを要求する場合にＯＮとなる。電子制御装置１からボディー系制御装置５へ出力される信号としては、警告灯ＯＮ要求である。この警告灯ＯＮ要求は、インストルメントパネルに設けられている警告灯の点灯を要求する場合にＯＮとなる。このような情報の伝達は後述するように各装置が有するフラグを介して行われる。 The external communication unit 16 transmits and receives information between the idling stop control device 4 and the body system control device 5. Information transmitted from the idling stop control device 4 to the electronic control device 1 includes an idling stop execution determination result and a restart request. The idling stop execution determination result is OK when the idling stop control device 4 stops the engine according to the establishment of the idling stop condition. The restart request is turned ON when the idling stop control device 4 restarts the engine in response to the release of the idling stop condition. The signal output from the electronic control device 1 to the idling stop control device 4 is an engine restart prohibition request. This engine restart prohibition request is turned ON when the idling stop control device 4 is requested to prohibit starting of the engine even when the idling stop condition is canceled. The signal output from the electronic control unit 1 to the body system control unit 5 is a warning lamp ON request. This warning light ON request is turned ON when a lighting of a warning light provided on the instrument panel is requested. Such information transmission is performed via a flag included in each device, as will be described later.

カウンタ１７は、前回のイグニッションスイッチＯＦＦから今回のイグニッションスイッチＯＮに至るまでの時間を計時するので、イグニッションスイッチＯＦＦ時も動作可能なようにバッテリから給電される。記憶部１８は、ランタイム（イグニッションスイッチＯＮ）中に後述するように実施したモニタモジュール２０の検査結果を記憶すると共に後述する検査動作の中断ポイント（中断したプログラムアドレス）を記憶する。 Since the counter 17 measures the time from the previous ignition switch OFF to the current ignition switch ON, power is supplied from the battery so that the counter 17 can operate even when the ignition switch is OFF. The storage unit 18 stores an inspection result of the monitor module 20 performed as described later during runtime (ignition switch ON) and stores an interruption point (interrupted program address) of an inspection operation described later.

以上のように、電子制御装置１では、駆動回路３０に対する駆動指令を自己監視部１３により自己監視する自己監視機能に加えて、自己監視機能の正常／異常をモニタモジュール２０により監視する２重の監視機能を備えている。したがって、このような監視機能を備えていない構成に比較して、アクチュエータ２に対する駆動制御にかかる信頼性が高い。 As described above, in the electronic control unit 1, in addition to the self-monitoring function for self-monitoring the drive command to the drive circuit 30 by the self-monitoring unit 13, the monitor module 20 monitors the normality / abnormality of the self-monitoring function. It has a monitoring function. Therefore, the reliability concerning the drive control with respect to the actuator 2 is high compared with the structure which is not provided with such a monitoring function.

さらに、制御部１２は、エンジン停止時に自己監視部１３及びモニタモジュール２０が正常に動作するかを検査する機能を備えている。この場合、イグニッションスイッチＯＦＦによるエンジン停止時のみに自己監視部１３及びモニタモジュール２０を検査したのでは、イグニッションスイッチＯＦＦして運転終了するタイミングまで遮断出力の有効性が確認できないため、遮断出力の有効性が確認できない期間が長いという懸念がある。 Furthermore, the control unit 12 has a function of inspecting whether the self-monitoring unit 13 and the monitor module 20 operate normally when the engine is stopped. In this case, if the self-monitoring unit 13 and the monitor module 20 are inspected only when the engine is stopped by turning off the ignition switch, the effectiveness of the shutoff output cannot be confirmed until the timing when the ignition switch is turned off and the operation is completed. There is concern that the period during which sex cannot be confirmed is long.

このような事情から、本実施形態では、イグニッションスイッチＯＦＦ時に加えてアイドリングストップ時にも自己監視部１３及びモニタモジュール２０を検査するようにした。このようにアイドリングストップ時にも車両に支障を生じることなく検査可能とするために、電子制御装置１は、次のようにして検査動作を実行する。 For this reason, in the present embodiment, the self-monitoring unit 13 and the monitor module 20 are inspected not only when the ignition switch is turned off but also when idling is stopped. Thus, in order to enable inspection without causing trouble to the vehicle even when idling is stopped, the electronic control unit 1 performs the inspection operation as follows.

以下、アイドリングストップ時の自己監視部１３及びモニタモジュール２０に対する検査動作について説明する。尚、イグニッションスイッチＯＦＦ時の検査動作も同様であることから、その説明は省略する。
マイコン１０は、図２に示すように、カウンタ１７に記憶されている計時時間により前回検査からの経過期間は所定時間以上かを判定する（Ｓ１０１）。所定時間以上の場合は（Ｓ１０１：ＹＥＳ。図３に示す「検査期間の期間取得」：ＯＫ）、アイドリングストップ実施判定ＯＫかを判定する（Ｓ１０２）。このアイドリングストップ実施判定は、アイドリングストップ制御装置４のアイドリングストップ実施判定フラグ（図３参照）を判定するもので、エンジンが停止したかを判断するためのものである。 Hereinafter, the inspection operation for the self-monitoring unit 13 and the monitor module 20 when idling is stopped will be described. Since the inspection operation when the ignition switch is OFF is the same, the description thereof is omitted.
As shown in FIG. 2, the microcomputer 10 determines whether the elapsed period from the previous inspection is equal to or longer than a predetermined time based on the time measured stored in the counter 17 (S101). If it is equal to or longer than the predetermined time (S101: YES. “Acquire period of inspection period”: OK shown in FIG. 3), it is determined whether the idling stop execution determination is OK (S102). This idling stop execution determination is to determine the idling stop execution determination flag (see FIG. 3) of the idling stop control device 4 and to determine whether the engine has stopped.

次に、モニタモジュール２０の異常判定回路２２の検査を実施する（Ｓ１０３。図３に左斜線領域で示す）。具体的には、意図的に「マイコン異常」と判定されるテスト回答をモニタモジュール２０に送信し、そのテスト回答に対するモニタモジュール２０からの判定結果が「マイコン異常」であるか否かで、モニタモジュール２０の異常判定回路２２の監視機能テストを実施する。 Next, the abnormality determination circuit 22 of the monitor module 20 is inspected (S103, indicated by the left hatched area in FIG. 3). Specifically, a test response that is intentionally determined to be “microcomputer abnormality” is transmitted to the monitor module 20, and whether the determination result from the monitor module 20 for the test response is “microcomputer abnormality” or not is monitored. A monitoring function test of the abnormality determination circuit 22 of the module 20 is performed.

異常判定回路２２に異常がない場合は（Ｓ１０４：ＹＥＳ）、再始動要求がないかを確認する（Ｓ１０５）。この再始動要求は、アイドリングストップ制御装置４の再始動要求フラグ（図３参照）により判定するもので、アイドリングストップ条件が解除されてエンジンが始動したかを判定するものである。再始動要求がない場合は（Ｓ１０５：ＹＥＳ）、遮断出力機能検査を実施する（Ｓ１０６。図３に右斜線領域で示す）。つまり、異常判定回路２２は上述した機能テストが所定回数異常であった場合は遮断出力をアクティブとする機能を有していることから、その機能をテストするのである。具体的には、異常判定回路２２が異常と判定する回数だけ上述の機能テストを連続して実行することで、異常判定回路２２からの遮断出力を強制的にアクティブとするものである。異常判定回路２２から駆動回路３０に対する遮断出力は、駆動回路３０に対するDisable信号である。
スロットルバルブ用センサ３は電子スロットバルブの開度を検出しており、マイコン１０は、スロットルバルブ用センサ３により電子スロットルバルブが閉鎖側に制御されたことを検知した場合に、異常判定回路２２の遮断出力機能は正常であると判定する。 If there is no abnormality in the abnormality determination circuit 22 (S104: YES), it is confirmed whether there is a restart request (S105). This restart request is determined based on the restart request flag (see FIG. 3) of the idling stop control device 4, and it is determined whether the engine is started after the idling stop condition is canceled. When there is no restart request (S105: YES), a shutoff output function inspection is performed (S106, indicated by a right hatched area in FIG. 3). In other words, the abnormality determination circuit 22 has a function of activating the cutoff output when the above-described function test is abnormal for a predetermined number of times, so that the function is tested. Specifically, the interruption output from the abnormality determination circuit 22 is forcibly made active by continuously executing the above-described function test as many times as the abnormality determination circuit 22 determines to be abnormal. The cutoff output from the abnormality determination circuit 22 to the drive circuit 30 is a Disable signal for the drive circuit 30.
The throttle valve sensor 3 detects the opening degree of the electronic slot valve. When the microcomputer 10 detects that the electronic throttle valve is controlled to the closed side by the throttle valve sensor 3, the abnormality determination circuit 22 It is determined that the cutoff output function is normal.

一方、マイコン１０は、自己監視部１３からの遮断出力も強制的にアクティブ可能となっており、遮断出力検査では異常判定回路２２に続けて自己監視部１３の遮断出力機能も検査する。具体的には、自己監視部１３は、制御部１２と同一の演算を実行し、制御部１２から入力する駆動指令の妥当性を判定し、妥当性が失われた場合に遮断出力をアクティブとすることから、自己監視部１３に対して本来なら駆動指令を出力する演算動作を実行させながら自分からは駆動指令を出力することをしない。 On the other hand, the microcomputer 10 can also forcibly activate the shut-off output from the self-monitoring unit 13, and the shut-off output test also checks the shut-off output function of the self-monitoring unit 13 following the abnormality determination circuit 22. Specifically, the self-monitoring unit 13 executes the same calculation as that of the control unit 12, determines the validity of the drive command input from the control unit 12, and activates the cutoff output when the validity is lost. For this reason, the self-monitoring unit 13 does not output a drive command from itself while executing a calculation operation that normally outputs a drive command.

すると、自己監視部１３は、駆動指令の妥当性が失われたとして遮断出力をアクティブとするので、アクチュエータ２により電子スロットバルブが閉鎖側に制御されるので、スロットバルブセンサにより検出した電子スロットバルブの開度に基づいて自己監視部１３の遮断出力機能を検査することができる。 Then, since the self-monitoring unit 13 activates the cutoff output because the validity of the drive command is lost, the electronic slot valve is controlled to the closed side by the actuator 2, so the electronic slot valve detected by the slot valve sensor The cutoff output function of the self-monitoring unit 13 can be inspected based on the opening degree.

マイコン１０は、異常判定回路２２または自己監視部１３に異常が無い場合は（Ｓ１０４：ＹＥＳ、Ｓ１０７：ＹＥＳ）、そのまま終了する。これに対して、異常判定回路２２または自己監視部１３に異常があると判定した場合は（Ｓ１０４：ＮＯ、Ｓ１０７：ＮＯ）、異常判定フラグをセットし（図３参照）、異常判定を所定回数以上したかを判定する（Ｓ１０８）。図３の場合には所定回数は２回であることから、異常判定フラグを２回セットしたかを判定する。所定回数未満の場合は（Ｓ１０８：ＮＯ）、異常判定回路２２及び遮断出力機能の検査を再度実施する。そして、再度の検査の結果、異常がなければ（Ｓ１０７：ＹＥＳ）、終了し、異常判定を所定回数（図３の場合は２回）した場合は（Ｓ１０８：ＹＥＳ）、異常処置を実行する（Ｓ１０９）。 If there is no abnormality in the abnormality determination circuit 22 or the self-monitoring unit 13 (S104: YES, S107: YES), the microcomputer 10 ends as it is. On the other hand, when it is determined that there is an abnormality in the abnormality determination circuit 22 or the self-monitoring unit 13 (S104: NO, S107: NO), an abnormality determination flag is set (see FIG. 3), and the abnormality determination is performed a predetermined number of times. It is determined whether the above has been done (S108). In the case of FIG. 3, since the predetermined number of times is 2, it is determined whether the abnormality determination flag is set twice. When the number is less than the predetermined number (S108: NO), the abnormality determination circuit 22 and the cutoff output function are inspected again. If there is no abnormality as a result of the inspection again (S107: YES), the process is terminated. If the abnormality determination is performed a predetermined number of times (twice in the case of FIG. 3) (S108: YES), an abnormality treatment is executed (S108: YES). S109).

この異常処置としては、インストルメントパネルの警告灯を点灯したり、アクチュエータ２により電子スロットバルブを閉鎖側に制御することによってエンジンがリンプフォーム動作を実行することによりリンプフォーム走行させたりするものである（図３参照）。つまり、イグニッションスイッチＯＦＦ時の検査時に異常確定した場合は、エンジン再始動禁止としても、駐車場での停止であることから車両に問題を生じることはないが、アイドリングストップで停止する場所は交差点のように道路上であり、エンジン再始動禁止としてしまうと、道路上で車両が停止し続けることになり、危険な状態となる。このため、異常処置として、警告灯によって運転者へ通知したり、リンプフォーム走行させたりすることで、危険な状態を回避することができる。
一方、アイドリングストップ時に異常判定回路２２の検査を実施し、異常判定回路２２の異常を判定した場合に、再始動要求があった場合は（Ｓ１０５：ＮＯ。図３の再始動要求フラグ）、検査を終了する。 As this abnormal measure, the warning light on the instrument panel is turned on, or the electronic slot valve is controlled to the closed side by the actuator 2 so that the engine performs a limp foam operation and the limp foam travel is performed. (See FIG. 3). In other words, if an abnormality is confirmed at the time of inspection when the ignition switch is turned off, even if engine restart is prohibited, there will be no problem with the vehicle because it is a stop at the parking lot. If the engine is prohibited from being restarted on the road as described above, the vehicle continues to stop on the road, resulting in a dangerous state. For this reason, as an abnormal measure, a dangerous state can be avoided by notifying the driver with a warning light or running the limp form.
On the other hand, when the abnormality determination circuit 22 is inspected at the time of idling stop and the abnormality determination circuit 22 is determined to be abnormal, if there is a restart request (S105: NO. Restart request flag in FIG. 3), the inspection is performed. Exit.

このような実施形態によれば、次のような効果を奏することができる。
マイコン１０は、イグニッションスイッチのＯＦＦ時に加えてアイドリングストップ時にも自己監視部１３及びモニタモジュール２０の検査動作を実行するので、イグニッションスイッチＯＮ期間が長い場合であっても、検査動作の間隔を短縮することができ、システムの信頼性を高めることができる。 According to such an embodiment, the following effects can be produced.
Since the microcomputer 10 performs the inspection operation of the self-monitoring unit 13 and the monitor module 20 not only when the ignition switch is turned off but also when idling is stopped, the interval of the inspection operation is shortened even when the ignition switch ON period is long. Can increase the reliability of the system.

アイドリングストップ時に検査を実行するようにしたので、遮断出力を含めた機能が有効に動作するかを車両に影響することなく実施することができる。
前回検査動作を実行してからの期間が所定時間以下の場合は検査動作を実行しないので、過剰な検査を実施することがなく、マイコン１０のソフト処理の負荷を軽減することができる。 Since the inspection is executed at the time of idling stop, it can be carried out without affecting the vehicle whether or not the function including the shutoff output operates effectively.
Since the inspection operation is not performed when the period after the previous inspection operation is performed is equal to or shorter than a predetermined time, the excessive processing is not performed and the load of the software processing of the microcomputer 10 can be reduced.

異常であると判定した回数が所定回数となった場合に異常を確定して異常処置を実行するようにしたので、異常検出の精度を高めることができる。
異常確定時の異常処置として、エンジン再始動を禁止せず警告灯を点灯したり、リンプフォーム動作させたりするようにしたので、車両の停止状態が継続して危険な状態となることを回避することができる。 Since the abnormality is determined and the abnormality treatment is executed when the number of times that the abnormality is determined reaches a predetermined number, the abnormality detection accuracy can be improved.
Since the warning lamp is turned on and the limp foam operation is performed without prohibiting the engine restart as an abnormality measure when the abnormality is confirmed, it is avoided that the stop state of the vehicle continues and becomes a dangerous state. be able to.

（第２実施形態）
本発明の第２実施形態について図４を参照して説明する。この第２実施形態は、遮断出力の検査をマイコン１０の自己監視部１３のみ実行することを特徴とする。尚、図４では第１実施形態と同一ステップには同一ステップ番号を付して説明を省略し、異なるステップのみに新たなステップ番号を付した。以下の実施形態でも同じである。 (Second Embodiment)
A second embodiment of the present invention will be described with reference to FIG. The second embodiment is characterized in that only the self-monitoring unit 13 of the microcomputer 10 performs the inspection of the cutoff output. In FIG. 4, the same steps as those in the first embodiment are denoted by the same step numbers and the description thereof is omitted, and only new steps are denoted by new step numbers. The same applies to the following embodiments.

第１実施形態では、モニタモジュール２０の異常判定回路２２の検査を実施した場合、モニタモジュール２０からの遮断出力が有効となることから、このような状態でアイドリングストップ要求が解除されてエンジン再始動が必要となった場合、モニタモジュール２０からの遮断出力を非アクティブとする必要がある。このようにマイコン１０によりモニタモジュール２０からの遮断出力を簡単に解除可能な構成は、システム上好ましくないと言える。例えば、モニタモジュール２０からの遮断出力をアクティブにしているのに、マイコン１０が例えば異常信号を受信してモニタモジュール２０からの遮断出力を誤って非アクティブとすることが考えられる。
そこで、本実施形態では、マイコン１０は、遮断出力の検査動作を実行する場合は、図４に示すように自己監視部１３の遮断出力のみ検査を実行し（Ｓ２０１）、モニタモジュール２０の遮断出力検査を実行しないようにした。 In the first embodiment, when the abnormality determination circuit 22 of the monitor module 20 is inspected, the shut-off output from the monitor module 20 becomes valid. In this state, the idling stop request is canceled and the engine is restarted. Therefore, it is necessary to deactivate the cutoff output from the monitor module 20. Thus, it can be said that the structure which can cancel | release the interruption | blocking output from the monitor module 20 easily by the microcomputer 10 is unpreferable on a system. For example, it is conceivable that the cutoff output from the monitor module 20 is activated, but the microcomputer 10 receives, for example, an abnormal signal and erroneously deactivates the cutoff output from the monitor module 20.
Therefore, in this embodiment, when executing the inspection operation of the cutoff output, the microcomputer 10 checks only the cutoff output of the self-monitoring unit 13 as shown in FIG. 4 (S201) and the cutoff output of the monitor module 20 The inspection was not executed.

尚、モニタモジュール２０の遮断出力の機能は、イグニッションスイッチＯＦＦ時に実行する。つまり、イグニッションスイッチＯＦＦ時にマイコン異常により遮断出力をアクティブしている場合に何らかの要因でモニタモジュール２０の遮断出力が誤って非アクティブとなるにしても車両に何の影響も生じないからである。 The shutoff output function of the monitor module 20 is executed when the ignition switch is OFF. That is, if the shutoff output is activated due to a malfunction of the microcomputer when the ignition switch is OFF, even if the shutoff output of the monitor module 20 becomes inactive accidentally for some reason, no effect is produced on the vehicle.

このような実施形態によれば、アイドリングストップ時の遮断出力の検査は自己監視部１３のみ検査するようにしたので、マイコン１０からモニタモジュール２０に対して遮断出力の解除を実行するように構成する必要がなくなり、システムの信頼性を高めることができる。 According to such an embodiment, since only the self-monitoring unit 13 is inspected for the shutoff output when idling is stopped, the microcomputer 10 is configured to release the shutoff output from the monitor module 20. This eliminates the need to increase the reliability of the system.

（第３実施形態）
本発明の第３実施形態について図５及び図６を参照して説明する。この第３実施形態は、モニタモジュール２０の監視機能の検査時に再始動が行われた場合は、検査を中断し、次のアイドリングストップ時に検査を再開することを特徴とする。 (Third embodiment)
A third embodiment of the present invention will be described with reference to FIGS. The third embodiment is characterized in that when restart is performed during the inspection of the monitoring function of the monitor module 20, the inspection is interrupted and the inspection is restarted at the next idling stop.

マイコン１０は、図５に示すように、アイドリングストップした場合は（Ｓ１０２：ＹＥＳ）、検査中断情報がないかを判定する（Ｓ３０１）。この場合、検査中断情報はないことから（Ｓ３０１：ＹＥＳ）、異常判定回路２２の検査を実施してから（Ｓ１０３）、再始動要求はないかを確認する（Ｓ３０４）。再始動要求がなければ（Ｓ３０４：ＹＥＳ）、ステップ１０４に移行し、以下、第１実施形態と同一の動作を実行する。再始動要求があった場合は（Ｓ３０４：ＹＥＳ）、中断ポイントを記憶部１８に保存する（Ｓ３０５．図６の中断フラグＯＮ）。そして、次のアイドリングストップ時において（Ｓ１０２：ＹＥＳ）、検査中断情報がある（中断フラグがＯＮである）ことから（Ｓ３０１：ＮＯ）、中断ポイントを記憶部１８より取得し（Ｓ３０２）、中断ポイントから検査を実施してから（Ｓ３０３）、ステップＳ３０４へ移行する。 As shown in FIG. 5, when the idling is stopped (S102: YES), the microcomputer 10 determines whether there is inspection interruption information (S301). In this case, since there is no inspection interruption information (S301: YES), the abnormality determination circuit 22 is inspected (S103), and it is confirmed whether there is a restart request (S304). If there is no restart request (S304: YES), the process proceeds to step 104, and thereafter, the same operation as in the first embodiment is executed. When there is a restart request (S304: YES), the interruption point is stored in the storage unit 18 (S305. Interruption flag ON in FIG. 6). At the next idling stop (S102: YES), since there is inspection interruption information (the interruption flag is ON) (S301: NO), the interruption point is acquired from the storage unit 18 (S302), and the interruption point is obtained. After performing the inspection (S303), the process proceeds to step S304.

このような実施形態によれば、検査動作を中断した場合は、中断ポイントから検査動作を再開するようにしたので、異常判定回路２２及び遮断出力の検査結果確定までの期間を短縮でき、システムの信頼性を高めることができる。 According to such an embodiment, when the inspection operation is interrupted, the inspection operation is resumed from the interruption point. Therefore, the period until the abnormality determination circuit 22 and the inspection result of the cutoff output are confirmed can be shortened. Reliability can be increased.

（第４実施形態）
本発明の第４実施形態について図７及び図８を参照して説明する。この第４実施形態は、アイドリングストップ時の車両停止期間を予測し、その予測した車両停止期間に応じて検査動作を実行するかを決定することを特徴とする。 (Fourth embodiment)
A fourth embodiment of the present invention will be described with reference to FIGS. The fourth embodiment is characterized in that a vehicle stop period at the time of idling stop is predicted, and whether to perform an inspection operation is determined according to the predicted vehicle stop period.

車両停止期間が短いために、検査動作により自己監視部１３或いは異常判定回路２２からの遮断出力がアクティブとなっている期間に再始動要求が発生した場合は、遮断出力を非アクティブとするのに時間を要することから、再始動性（アイドリングストップ条件が解除してからエンジンが実際に始動するまでの時間）が悪化する懸念がある。
そこで、マイコン１０は、図７に示すように、予測した車両停止期間が所定時間以上かを判定し（Ｓ４０１）、所定時間以上であることを条件として（Ｓ４０１：ＹＥＳ）、ステップＳ１０２へ移行し、以下、第１実施形態と同一動作を実行する。 If the restart request is generated during the period when the shut-off output from the self-monitoring unit 13 or the abnormality determination circuit 22 is active due to the inspection operation because the vehicle stop period is short, the shut-off output is deactivated. Since time is required, there is a concern that the restartability (the time from when the idling stop condition is canceled until the engine is actually started) deteriorates.
Therefore, as shown in FIG. 7, the microcomputer 10 determines whether or not the predicted vehicle stop period is equal to or longer than a predetermined time (S401), and moves to step S102 on condition that it is equal to or longer than the predetermined time (S401: YES). Thereafter, the same operation as that of the first embodiment is performed.

尚、アイドリングストップによる車両停止期間を予測するには、例えばカーナビゲーション装置から車両停止情報（信号待ち時間等）を取得して判断する（図８参照）。また、通勤経路のように毎日同一の道路を通行する場合は、同一交差点における停車位置と停車時間との関係から推測するようにしてもよい。また、渋滞によるアイドリングストップであると判断した場合は、車両停止時間が短いことが一般的であることから、検査動作を実行しないのが望ましい。 In addition, in order to predict the vehicle stop period due to idling stop, for example, vehicle stop information (signal waiting time or the like) is acquired from a car navigation device and determined (see FIG. 8). Moreover, when passing the same road every day like a commuting route, you may make it guess from the relationship between the stop position and stop time in the same intersection. In addition, when it is determined that the idling stop is caused by a traffic jam, it is desirable that the inspection operation is not performed because the vehicle stop time is generally short.

このような実施形態によれば、予測した車両停止期間が所定時間よりも短い場合は、アイドリングストップ時であっても検査動作を実行しないようにしたので、アイドリングストップ条件が解除されてからエンジンが実際に再始動するまでの時間を短縮することができ、ドライバビリティを向上させることができる。 According to such an embodiment, when the predicted vehicle stop period is shorter than the predetermined time, the inspection operation is not performed even at the time of idling stop. Therefore, the engine is operated after the idling stop condition is released. The time until actual restart can be shortened, and drivability can be improved.

（第５実施形態）
本発明の第５実施形態について図９及び図１０を参照して説明する。この第５実施形態は、第４実施形態において、予測した車両停止時間が連続して短かった場合の処理に関するものである。 (Fifth embodiment)
A fifth embodiment of the present invention will be described with reference to FIGS. The fifth embodiment relates to processing when the predicted vehicle stop time is continuously short in the fourth embodiment.

マイコン１０は、図９に示すように、予測した車両停止期間が所定時間よりも短いことによるアイドリングストップ時の検査未実施が所定回数連続した場合は（Ｓ４０１：ＮＯ、Ｓ５０１：ＹＥＳ）、再始動要求がないことを確認してから（Ｓ１０５：ＹＥＳ）、自己監視部１３の遮断出力のみ検査を実施する（Ｓ５０２）。これは、検査未実施の期間が継続した場合、システムの信頼性が懸念されることから、このような場合は、システムにとって致命的となる部分のみ検査を優先して実施するためである。 As shown in FIG. 9, the microcomputer 10 restarts when the inspection not performed at the idling stop due to the predicted vehicle stop period being shorter than the predetermined time continues for a predetermined number of times (S401: NO, S501: YES). After confirming that there is no request (S105: YES), only the cutoff output of the self-monitoring unit 13 is inspected (S502). This is because the reliability of the system is a concern when the period in which the inspection is not performed continues, and in such a case, the inspection is preferentially performed only for a part that is fatal to the system.

このような実施形態によれば、予測した車両停止期間が短いことによる検査未実施が継続した場合は、システムにとって致命的となる部分である自己監視部１３の遮断出力のみ検査を実施するようにしたので、システムの信頼性を向上させることができる。 According to such an embodiment, when inspection non-execution due to a short predicted vehicle stop period continues, only the cutoff output of the self-monitoring unit 13 which is a critical part for the system is inspected. Therefore, the reliability of the system can be improved.

（その他の実施形態）
本発明は、上記実施形態に限定されることなく、次のように変形または拡張したり、各変形例を上記実施形態と組合せたり、各変形例を組合せるようにしてもよい。
上記各実施形態において、前回検査から経過期間は所定時間以上の判断を省略してもよい。
上記各実施形態において、異常判定が所定回数以上となった場合に異常処置を実行するようにしたが、１回の異常判定で異常処置を実行するようにしてもよい。
異常確定時の異常処置として、警告灯点灯かリンプフォーム動作のいずれかを実行してもよいし、情報センタに異常を自動的に通報するようにしてもよい。
本発明を、エンジンＥＣＵ以外のＥＣＵに適用するようにしてもよい。 (Other embodiments)
The present invention is not limited to the above-described embodiment, and may be modified or expanded as follows, each modified example may be combined with the above-described embodiment, or each modified example may be combined.
In each of the above-described embodiments, the determination that the elapsed period from the previous inspection is a predetermined time or more may be omitted.
In each of the above-described embodiments, the abnormality treatment is executed when the abnormality determination is a predetermined number of times or more. However, the abnormality treatment may be executed by one abnormality determination.
As an abnormality measure when the abnormality is confirmed, either a warning lamp lighting or a limp form operation may be executed, or an abnormality may be automatically notified to the information center.
The present invention may be applied to an ECU other than the engine ECU.

図面中、１は電子制御装置（車載電子制御装置）、２はアクチュエータ（制御対象）、１０はマイコン（制御手段）、１３は自己監視部（監視手段、第１監視手段）、２０はモニタモジュール（監視手段、第２監視手段）、３０は駆動回路（駆動手段）である。 In the drawings, 1 is an electronic control device (vehicle-mounted electronic control device), 2 is an actuator (control target), 10 is a microcomputer (control means), 13 is a self-monitoring unit (monitoring means, first monitoring means), and 20 is a monitor module. (Monitoring means, second monitoring means), 30 is a drive circuit (drive means).

Claims

制御対象（２）に対して所定の制御動作を行う制御手段（１０）と、この制御手段の動作を監視する監視手段（１３，２０）とを備え、前記制御手段は、前記監視手段の監視機能が正常に動作するかを検査する検査動作を実行する車載電子制御装置（１）において、
前記制御手段は、アイドリングストップ時に前記検査動作を実行し、前記検査動作の終了時にアイドリングストップが継続している場合は、制御対象を駆動するための駆動手段（３０）に対して前記監視手段から遮断出力が有効かを検査する遮断出力検査動作を実行することを特徴とする車載電子制御装置。 A control means (10) for performing a predetermined control operation on the control object (2) and a monitoring means (13, 20) for monitoring the operation of the control means are provided, and the control means monitors the monitoring means. In the vehicle-mounted electronic control device (1) that executes an inspection operation for inspecting whether the function operates normally,
The control means executes the inspection operation at the time of idling stop. When the idling stop is continued at the end of the inspection operation, the control means from the monitoring means to the drive means (30) for driving the controlled object. A vehicle-mounted electronic control device that performs a shut-off output inspection operation for inspecting whether the shut-off output is valid.

前記制御手段は、アイドリングストップ時であっても、前記検査動作を前回実行してからの期間が所定時間未満の場合は前記検査動作及び前記遮断出力検査動作を実行しないことを特徴とする請求項１記載の車載電子制御装置。 The control means does not execute the inspection operation and the shut-off output inspection operation when the period from the previous execution of the inspection operation is less than a predetermined time even when idling is stopped. The on-vehicle electronic control device according to 1.

前記制御手段は、前記検査動作の結果、異常であると判定した回数が所定回数となった場合に異常を確定して所定の異常処置を実行することを特徴とする請求項１または２記載の車載電子制御装置。 3. The control unit according to claim 1, wherein when the number of times determined to be abnormal is a predetermined number of times as a result of the inspection operation, the control unit determines the abnormality and executes a predetermined abnormality treatment. In-vehicle electronic control device.

前記制御手段は、前記検査動作中に再始動が行われた場合は、その検査動作を中断して中断ポイントを記憶し、次回のアイドリングストップ時に前記中断ポイントから前記検査動作を再開することを特徴とする請求項１から３の何れか一項に記載の車載電子制御装置。 When the restart is performed during the inspection operation, the control means interrupts the inspection operation, stores the interruption point, and restarts the inspection operation from the interruption point at the next idling stop. The on-vehicle electronic control device according to any one of claims 1 to 3.

前記制御手段は、前記アイドリングストップ期間が所定時間よりも短いと予測した場合は、前記検査動作及び前記遮断出力検査動作を実行しないことを特徴とする請求項１から４の何れか一項に記載の車載電子制御装置。 The said control means does not perform the said test | inspection operation | movement and the said interruption | blocking output test | inspection operation | movement, when it is estimated that the said idling stop period is shorter than predetermined time. In-vehicle electronic control device.

前記監視手段は、前記制御手段が有する第１監視手段（１３）と、前記制御手段から独立した第２監視手段（２０）とから構成され、
前記制御手段は、アイドリングストップ時は前記第１監視手段のみ前記遮断出力検査動作を実行することを特徴とする請求項１から５の何れか一項に記載の車載電子制御装置。 The monitoring means includes a first monitoring means (13) included in the control means and a second monitoring means (20) independent of the control means,
The on-vehicle electronic control device according to any one of claims 1 to 5, wherein the control means executes the cutoff output inspection operation only at the first monitoring means when idling is stopped.

前記監視手段は、前記制御手段が有する第１監視手段と、前記制御手段から独立した第２監視手段から構成され、
前記制御手段は、前記アイドリングストップ期間が所定時間よりも短いと所定回数連続して予測した場合は、前記第１監視手段による前記遮断出力検査動作のみを実行することを特徴とする請求項１から５の何れか一項に記載の車載電子制御装置。 The monitoring means includes a first monitoring means included in the control means and a second monitoring means independent of the control means,
2. The control unit according to claim 1, wherein when the idling stop period is predicted to be shorter than a predetermined time continuously for a predetermined number of times, the control unit executes only the cutoff output inspection operation by the first monitoring unit. The on-vehicle electronic control device according to any one of 5.

前記所定の異常処置は、運転者に異常を通知するか、リンプフォーム動作させるかの少なくとも一方であることを特徴とする請求項３から７の何れか一項に記載の車載電子制御装置。 The on-vehicle electronic control device according to any one of claims 3 to 7, wherein the predetermined abnormality treatment is at least one of notifying a driver of abnormality and performing a limp-form operation.