JP6330643B2

JP6330643B2 - 電子制御装置

Info

Publication number: JP6330643B2
Application number: JP2014253384A
Authority: JP
Inventors: 高籠島; 慶神谷
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2014-12-15
Filing date: 2014-12-15
Publication date: 2018-05-30
Anticipated expiration: 2034-12-15
Also published as: DE102015224823B4; DE102015224823A1; JP2016115142A

Description

本発明は、制御対象の動作を制御する電子制御装置に関する。

従来、電子制御装置の一例として、特許文献１に開示された車両制御装置がある。この車両制御装置は、機能レベルである第１のレベルと、第１のレベルの監視レベルである第２のレベルと、コンピュータアーキテクチュアの保護に使われる第３のレベルを有している。車両制御装置は、第１のレベルの機能レベル内で、トルク目標値の設定用の各値が制御対象としてのハイブリッド駆動部に伝送される。このハイブリッド駆動部は、内燃機関と電気駆動部を有している。なお、第１レベルは、制御手段と言うことができる。また、第２のレベルは、監視手段と言うことができる。更に、第３のレベルは、検証手段と言うことができる。

車両制御装置は、監視手段内の比較段に、トルク許容値が入力されると共に、異常の発生を判定するための監視対象としてトルク実際値が入力される。トルク実際値は、内燃機関と電気駆動部とから出力される。比較段は、トルク許容値とトルク実際値とを比較する。そして、車両制御装置は、トルク実際値がトルク許容値を超過した場合にエラーアクション部が起動される。

特表２００９−５２２１５３号公報

ところで、電子制御装置の一例である車両制御装置は、常時、監視対象を監視することになる。しかしながら、電子制御装置は、必ずしも全ての監視対象を常時監視する必要があるというわけではない。つまり、電子制御装置は、あるタイミングでは複数の監視対象のうちの一つだけを監視すればよいこともある。電子制御装置は、全ての監視対象を常時監視すると、必要ない監視対象の監視も行うことになるため処理負荷が増えるという問題がある。

本発明は、上記問題点に鑑みなされたものであり、処理負荷を低減できる電子制御装置を提供することを目的とする。

上記目的を達成するために本発明は、
制御対象の動作を制御する制御手段（１１）と
制御対象の動作停止が必要な異常の発生を判定するための複数の監視対象を監視する手段であり、各監視対象の夫々に対応して設けられた複数の監視手段（１２ａ，１２ｂ）と、
各監視手段が正常に監視を行うことができる状態であるか否かを検証する手段であり、各監視手段の夫々に対応して設けられた複数の検証手段（２１ａ，２１ｂ）と、を備え、
各監視手段は、異常の発生を判定し、異常が発生すると判定した場合、制御手段によって制御されている制御対象の動作を強制的に停止させ、
各検証手段は、正常に監視を行うことができる状態でないと判定した場合、制御手段によって制御されている制御対象の動作を強制的に停止させる電子制御装置であって、
複数の監視対象のうち監視が必要な一つを判定すると共に、複数の監視手段のうち監視が必要と判定した監視対象に対応した一つを選択する第１選択手段（１２ｃ）と、
複数の検証手段のうち第１選択手段で選択された監視手段に対応した一つを選択する第２選択手段（２１ｃ）と、を更に備えており、
複数の監視手段のうち第１選択手段にて選択された監視手段のみが監視を実行すると共に、複数の検証手段のうち第２選択手段にて選択された検証手段のみが検証を実行することを特徴とする。

このように、本発明は、複数の監視手段のうち監視が必要な監視対象に対応した一つの監視手段を選択すると共に、この監視手段に対応した一つの検証手段を選択する。そして、本発明は、選択された一つの監視手段のみが監視を実行すると共に、この監視手段に対応して設けられた検証手段のみが検証を実行する。つまり、本発明は、監視が必要な監視対象に対応した一つの監視手段による監視、及び、この監視手段に対応した検証手段による検証を行っている場合、他の監視手段による監視、及び他の検証手段による検証を行う必要がない。よって、本発明は、複数の監視手段による監視と、複数の検証手段による検証とを常に行う場合よりも処理負荷を低減できる。

なお、特許請求の範囲、及びこの項に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、発明の技術的範囲を限定するものではない。

実施形態における電子制御装置の概略構成を示すブロック図である。実施形態における電子制御装置の処理動作を示すフローチャートである。変形例１における電子制御装置の処理動作を示すフローチャートである。変形例２における電子制御装置の処理動作を示すフローチャートである。

以下において、図面を参照しながら、発明を実施するための複数の形態を説明する。各形態において、先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において、構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を参照し適用することができる。

本実施形態では、図１に示すように、本発明を電子制御装置１００に適用した例を採用する。

電子制御装置１００は、自動車に搭載された車載電子装置である。また、自動車は、動力源としてのエンジン及びモータと、モータに電力を供給する電池とを備えている。また、電池は、公共の充電施設や家庭用のコンセントから充電プラグを介して充電可能に構成されている。言い換えると、自動車は、自身に対して取り付け及び取り外しが可能な充電プラグを介して電池への充電が可能に構成されている。つまり、自動車は、所謂プラグインハイブリッド自動車である。

電子制御装置１００は、第１処理部１０と第２処理部２０とを備えており、制御対象２００を制御するものである。

本実施形態では、一例として、エンジンへの吸入空気量を調節する電子スロットルと、電池と充電プラグとの電気的な接続状態を接続及び非接続にするバッテリ装置とを含む制御対象２００を採用している。制御対象２００は、電子制御装置１００からの制御信号に応じて動作するものである。制御対象２００の一部である電子スロットルは、電子制御装置１００からの制御信号に応じてスロットルバルブの開閉動作を行う。一方、制御対象２００の一部であるバッテリ装置は、電子制御装置１００からの制御信号に応じて、電池と充電プラグとに介在されたリレーの開閉動作を行う。つまり、バッテリ装置は、リレーを閉状態にすることで、電池と充電プラグとの電気的な接続状態を接続にすると共に、リレーを開状態にすることで、電池と充電プラグとの電気的な接続状態を非接続にする。また、後程詳しく説明するが、制御対象２００は、電子制御装置１００からの停止信号に応じて、動作を停止するものである。

電子制御装置１００は、３レベル監視コンセプトを備えている。電子制御装置１００は、レベル１としての車両制御部１１と、レベル２としての緊急停止判定部１２と、レベル３としての機能検証部２１を備えている。電子制御装置１００は、第１処理部１０が車両制御部１１と緊急停止判定部１２とを備えており、第２処理部２０が機能検証部２１を備えている。つまり、第１処理部１０は、機能ブロックとして、車両制御部１１と緊急停止判定部１２とを備えて構成されている。一方、第２監視部１２ｂは、機能ブロックとして、機能検証部２１を備えて構成されている。更に、電子制御装置１００は、第１処理部１０が第１選択部１２ｃを備えており、第２処理部２０が第２選択部２１ｃを備えている。

また、第１処理部１０は、ＣＰＵによって構成されている。一方、第２処理部２０は、第１処理部１０とは異なるＣＰＵによって構成されている。つまり、第１処理部１０と第２処理部２０とは、別体に設けられている。また、電子制御装置１００は、第１処理部１０と第２処理部２０の他に、ＲＯＭ、ＲＡＭ、レジスタなどの記憶部及びＩ／Ｏなどを含むマイコンを備えて構成されている。つまり、第１処理部１０と第２処理部２０は、マイコンの一部と言うこともできる。第１処理部１０と第２処理部２０の夫々は、ＲＡＭやレジスタの一時記憶機能を利用しつつ、予め決められた順序に従ってＲＯＭに記憶されたプログラムを実行すると共に、Ｉ／Ｏを介して取得した信号などに応じて信号処理を行う。よって、電子制御装置１００は、第１処理部１０、第２処理部２０、記憶部、Ｉ／Ｏなどのハードウェアと、ＲＯＭに記憶されたプログラムなどのソフトウェアとを備えて構成されていると言うことができる。

なお、ＣＰＵは、Central Processing Unitの略称である。ＲＯＭは、Read Only Memoryの略称である。ＲＡＭは、Random Access Memoryの略称である。Ｉ／Ｏは、Input/Outputの略称である。また、第２処理部２０は、ＡＳＩＣによって構成されていてもよい。ＡＳＩＣは、Application Specific Integrated Circuitの略称である。

なお、車両制御部１１と緊急停止判定部１２は、電子制御装置１００の記憶部を共用している。同様に、第１監視部１２ａ、第２監視部１２ｂ、及び第１選択部１２ｃは、電子制御装置１００の記憶部を共用している。

車両制御部１１は、制御対象２００の動作を制御するものであり、特許請求の範囲における制御手段に相当する。車両制御部１１は、制御対象２００に制御信号を出力することで、制御対象２００の動作を制御する。

緊急停止判定部１２は、第１監視部１２ａ、第２監視部１２ｂを備えて構成されている。第１監視部１２ａは、特許請求の範囲における第１監視手段に相当する。一方、第２監視部１２ｂは、特許請求の範囲における第２監視手段に相当する。詳述すると、緊急停止判定部１２は、制御対象２００の動作停止が必要な異常の発生を判定するための複数の監視対象を監視する手段であり、各監視対象の夫々に対応して設けられた第１監視部１２ａと第２監視部１２ｂとを備えている。

第１監視部１２ａと第２監視部１２ｂの夫々は、異常の発生を判定し、異常が発生すると判定した場合、制御対象２００の動作を緊急停止させる。つまり、第１監視部１２ａと第２監視部１２ｂの夫々は、異常が発生すると判定した場合、車両制御部１１によって制御されている制御対象２００の動作を強制的に停止させる。第１監視部１２ａと第２監視部１２ｂの夫々は、制御対象２００に対して停止信号を出力することで、制御対象２００の動作を強制的に停止させる。つまり、この停止信号は、車両制御部１１から出力されている制御信号よりも優先されることになる。

第１監視部１２ａは、複数の監視対象の一つとして、自動車がオーバーランするかを監視する。つまり、第１監視部１２ａは、電子スロットルの動作停止が必要な異常の発生を判定するため監視対象として、自動車がオーバーランするか否かを監視する。言い換えると、第１監視部１２ａは、自動車の走行停止が必要な異常の発生を判定するための監視対象として、自動車がオーバーランするか否かを監視する。第１監視部１２ａは、自動車のアクセルペダルの踏込状態やトルクの有無など複数の情報に基づいて、自動車がオーバーランするか否かを監視することになる。よって、第１監視部１２ａは、複数の情報に基づいて監視対象を監視すると言うことができる。

なお、電子スロットルの動作停止とは、スロットルバルブの開状態を停止することであり、スロットルバルブを開状態から閉状態にすることである。また、ここでのオーバーランとは、ドライバが自動車を走行させる意図がないにもかかわらず、自動車が走行してしまうことを示している。

第２監視部１２ｂは、複数の監視対象の一つとして、充電プラグを介した電池への充電時に異常が生じるか否かを監視する。つまり、第２監視部１２ｂは、バッテリ装置の動作停止が必要な異常の発生を判定するため監視対象として、電池への充電時に異常が生じるか否かを監視する。電池への充電時に生じる異常とは、例えば、過充電やファイヤーハザードなどである。第２監視部１２ｂは、電池の温度や電圧など複数の情報に基づいて、電池への充電時に異常が生じるか否かを監視することになる。よって、第２監視部１２ｂは、複数の情報に基づいて監視対象を監視すると言うことができる。なお、バッテリ装置の動作停止とは、リレーの閉状態を停止することであり、リレーを閉状態から開状態にすることである。

更に、緊急停止判定部１２は、第１選択部１２ｃを備えて構成されている。第１選択部１２ｃは、特許請求の範囲における第１選択手段に相当する。第１選択部１２ｃは、複数の監視対象のうち監視が必要な一つを判定すると共に、第１監視部１２ａと第２監視部１２ｂのうち監視が必要と判定した監視対象に対応した一つを選択する。言い換えると、第１選択部１２ｃは、監視が必要と判定した監視対象に応じて、動作させる監視部を第１監視部１２ａと第２監視部１２ｂのいずれかに切り替えると言うことができる。

第１選択部１２ｃは、環境状態信号に基づいて、監視が必要な一つの監視対象を判定する。環境状態信号としては、例えば、自動車に対して充電プラグが取り付けられているか否かを示す信号を採用する。つまり、第１選択部１２ｃは、環境状態信号に基づいて、自動車に充電プラグが取り付けられている接続状態であるか、自動車に充電プラグが取り付けられていない非接続状態であるかを判定できる。そして、第１選択部１２ｃは、充電プラグが接続状態である場合、充電プラグを介した電池への充電時に異常が生じるか否かの監視が必要と判定して第２監視部１２ｂを選択する。また、第１選択部１２ｃは、充電プラグが非接続状態である場合、自動車がオーバーランするか否かの監視が必要と判定して第１監視部１２ａを選択する。このように、環境状態信号は、監視対象の切り替えを示す信号であり、特許請求の範囲における切替信号に相当する。また、充電プラグの接続状態は、プラグイン充電中と称することもできる。

なお、環境状態信号は、自動車に対して充電プラグが取り付けられた際にオンし、自動車から充電プラグが取り外された際にオフするスイッチから出力されたオン信号及びオフ信号を採用できる。よって、第１選択部１２ｃは、スイッチから出力されたオン信号とオフ信号とに基づいて、充電プラグが接続状態であるか非接続状態であるかを判定する。このため、第１選択部１２ｃは、充電プラグが接続状態であるか非接続状態であるかを容易に判定できると言うことができる。つまり、第１選択部１２ｃによる充電プラグが接続状態であるか非接続状態であるかの判定は、第１監視部１２ａや第２監視部１２ｂによる複数の情報に基づいた監視対象の監視よりも容易である。

機能検証部２１は、第１検証部２１ａ、第２検証部２１ｂ、第２選択部２１ｃを備えて構成されている。

第１検証部２１ａと第２検証部２１ｂは、特許請求の範囲における検証手段に相当する。第１検証部２１ａと第２検証部２１ｂは、第１監視部１２ａと第２監視部１２ｂの夫々が正常に監視を行うことができる状態であるか否かを検証する手段であり、第１監視部１２ａと第２監視部１２ｂの夫々に対応して設けられている。

第１検証部２１ａと第２検証部２１ｂは、正常に監視を行うことができる状態でないと判定した場合、制御対象２００の動作を緊急停止させる。つまり、第１検証部２１ａと第２検証部２１ｂは、正常に監視を行うことができる状態でないと判定した場合、車両制御部１１によって制御されている制御対象２００の動作を強制的に停止させる。

第１検証部２１ａは、第１監視部１２ａに対応して設けられている。第１検証部２１ａは、第１監視部１２ａで使用する電子制御装置１００におけるハードウェアやソフトウェアが正常であるか否かによって、第１監視部１２ａが正常に監視を行うことができる状態であるか否かを検証する。

例えば、第１監視部１２ａは、第１検証部２１ａに対して、予め決められた所定のタイミングで検証用信号を送信するように設定されている。つまり、第１監視部１２ａは、第１検証部２１ａからの指示ではなく、自発的に検証用信号を送信するように設定されている。そして、第１検証部２１ａは、この検証用信号に基づいて、第１監視部１２ａで使用するハードウェアやソフトウェアが正常であるか否かを判定することで、第１監視部１２ａが正常に監視を行うことができる状態であるか否かを検証する。この場合、この検証用信号は、機能検証用信号と称することができる。

また、第１検証部２１ａは、テスト信号を第１処理部１０に送信して、第１監視部１２ａに対して、テスト信号に応じた処理を実行させると共に、その実行結果である回答信号を送信させる。そして、第１検証部２１ａは、第１監視部１２ａからの回答信号に基づいて、第１監視部１２ａで使用するハードウェアやソフトウェアが正常であるか否かを判定することで、第１監視部１２ａが正常に監視を行うことができる状態であるか否かを検証してもよい。この場合、このテスト信号及び回答信号は、機能検証用信号と称することができる。

第２検証部２１ｂは、第２監視部１２ｂに対応して設けられている。第２検証部２１ｂは、第２監視部１２ｂで使用する電子制御装置１００におけるハードウェアやソフトウェアが正常であるか否かによって、第２監視部１２ｂが正常に監視を行うことができる状態であるか否かを検証する。

例えば、第２監視部１２ｂは、第２検証部２１ｂに対して、予め決められた所定のタイミングで検証用信号を送信するように設定されている。つまり、第２監視部１２ｂは、第２検証部２１ｂからの指示ではなく、自発的に検証用信号を送信するように設定されている。そして、第２検証部２１ｂは、この検証用信号に基づいて、第２監視部１２ｂで使用するハードウェアやソフトウェアが正常であるか否かを判定することで、第２監視部１２ｂが正常に監視を行うことができる状態であるか否かを検証する。

また、第２検証部２１ｂは、テスト信号を第１処理部１０に送信して、第２監視部１２ｂに対して、テスト信号に応じた処理を実行させると共に、その実行結果である回答信号を送信させる。そして、第２検証部２１ｂは、第２監視部１２ｂからの回答信号に基づいて、第２監視部１２ｂで使用する電子制御装置１００におけるハードウェアやソフトウェアが正常であるか否かを判定する。これによって、第２検証部２１ｂは、第２監視部１２ｂが正常に監視を行うことができる状態であるか否かを検証してもよい。

第２選択部２１ｃは、特許請求の範囲における第２選択手段に相当する。第２選択部２１ｃは、第１検証部２１ａと第２検証部２１ｂのうち、第１選択部１２ｃで選択された監視部に対応した一つを選択する。例えば、第２選択部２１ｃは、第１選択部１２ｃと同様に、環境状態信号に基づいて、複数の監視対象のうち監視が必要な一つを判定する。そして、第２選択部２１ｃは、第１検証部２１ａと第２検証部２１ｂのうち、監視が必要と判定した監視対象を監視する監視部に対応した一つを選択する。よって、第２選択部２１ｃは、充電プラグが接続状態である場合、第２監視部１２ｂに対応した第２検証部２１ｂを選択する。また、第２選択部２１ｃは、充電プラグが非接続状態である場合、第１監視部１２ａに対応した第１検証部２１ａを選択する。

なお、環境状態信号は、第１処理部１０と第２処理部２０に共通に入力される。つまり、第２選択部２１ｃは、第１選択部１２ｃと同様の環境状態信号に基づいて、充電プラグが接続状態であるか非接続状態であるかを判定できる。よって、第２選択部２１ｃは、充電プラグが接続状態であるか非接続状態であるかを容易に判定できると言うことができる。

ここで、図２を用いて、電子制御装置１００の処理動作に関して説明する。電子制御装置１００は、所定時間毎に図２のフローチャートで示す処理を実行する。

ステップＳ１０では、プラグイン充電中であるか否かを判定する。電子制御装置１００は、プラグイン充電中であると判定した場合はステップＳ２０へ進む。詳述すると、プラグイン充電中であるか否かの判定は、第１選択部１２ｃと第２選択部２１ｃが行う。第１選択部１２ｃは、プラグイン充電中であると判定した場合、充電プラグを介した電池への充電時に異常が生じるか否かの監視が必要とみなして第２監視部１２ｂを選択する。第２選択部２１ｃは、プラグイン充電中であると判定した場合、第２監視部１２ｂに対応した第２検証部２１ｂを選択する。

一方、電子制御装置１００は、プラグイン充電中でないと判定した場合はステップＳ３０へ進む。第１選択部１２ｃは、プラグイン充電中でないと判定した場合、自動車がオーバーランするか否かの監視が必要と判定して第１監視部１２ａを選択する。第２選択部２１ｃは、プラグイン充電中でないと判定した場合、第１監視部１２ａに対応した第１検証部２１ａを選択する。

ステップＳ２０では、充電時の異常を監視する。第２監視部１２ｂは、充電プラグを介した電池への充電時に異常が生じるか否かを監視する。そして、ステップＳ４０では、第２監視部を検証する。第２検証部２１ｂは、第２監視部１２ｂが正常に監視を行うことができる状態であるか否かを検証する。このように、電子制御装置１００は、プラグイン充電中の場合、オーバーランを監視することなく、充電プラグを介した電池への充電時に異常が生じるか否かのみを監視する。よって、電子制御装置１００は、第１検証部２１ａによる検証は必要なく、第２検証部２１ｂのみが検証を行えばよい。

ステップＳ３０では、オーバーランを監視する。第１監視部１２ａは、自動車がオーバーランするか否かを監視する。そして、ステップＳ５０では、第１監視部を検証する。第１検証部２１ａは、第１監視部１２ａが正常に監視を行うことができる状態であるか否かを検証する。このように、電子制御装置１００は、プラグイン充電中でない場合、充電時に異常が生じるか否かを監視することなく、オーバーランのみを監視する。よって、電子制御装置１００は、第２検証部２１ｂによる検証は必要なく、第１検証部２１ａのみが検証を行えばよい。

このように、電子制御装置１００は、第１監視部１２ａと第２監視部１２ｂの夫々による監視を異なるタイミングで行わせることができると言える。同様に、電子制御装置１００は、第１検証部２１ａと第２検証部２１ｂの夫々による検証を異なるタイミングで行わせることができると言える。

また、電子制御装置１００は、第１選択部１２ｃと第２選択部２１ｃとを備えているため、監視対象を動的に切り替えることができると言える。よって、電子制御装置１００は、監視対象の切り替えに応じて、複数の監視部１２ａ，１２ｂを切り替えることができると共に、複数の検証部２１ａ，２１ｂを切り替えることができると言える。

ステップＳ６０では、第１選択部を検証する。第２処理部２０は、環境状態信号によらず、第１選択部１２ｃが正常に選択を行うことができる状態であるか否かを検証する（第２検証手段）。第２処理部２０は、第１選択部１２ｃで使用する電子制御装置１００におけるハードウェアやソフトウェアが正常であるか否かによって、第１選択部１２ｃが正常に選択を行うことができる状態であるか否かを検証する。

例えば、第１選択部１２ｃは、第２処理部２０に対して、予め決められた所定のタイミングで検証用信号を送信するように設定されている。つまり、第１選択部１２ｃは、第２処理部２０からの指示ではなく、自発的に検証用信号を送信するように設定されている。そして、第２処理部２０は、この検証用信号に基づいて、第１選択部１２ｃで使用するハードウェアやソフトウェアが正常であるか否かを判定することで、第１選択部１２ｃが正常に監視を行うことができる状態であるか否かを検証する。

また、第２処理部２０は、テスト信号を第１処理部１０に送信して、第１選択部１２ｃに対して、テスト信号に応じた処理を実行させると共に、その実行結果である回答信号を送信させる。そして、第２処理部２０は、第１選択部１２ｃからの回答信号に基づいて、第１選択部１２ｃで使用する電子制御装置１００におけるハードウェアやソフトウェアが正常であるか否かを判定する。これによって、第２処理部２０は、第１選択部１２ｃが正常に選択を行うことができる状態であるか否かを検証する。このように、電子制御装置１００は、環境状態信号を用いた場合であっても、第１選択部１２ｃが正常に選択を行うことができる状態であるか否かを検証するため安全性を確保できる。なお、電子制御装置１００は、ステップＳ６０を実行しなくてもよい。

以上のように、電子制御装置１００は、第１監視部１２ａと第２監視部１２ｂのうち監視が必要な監視対象に対応した一つの監視部を選択すると共に、第１検証部２１ａと第２検証部２１ｂのうち、選択した監視部に対応した一つの検証部を選択する。そして、電子制御装置１００は、選択された一つの監視部が監視を実行すると共に、この監視部に対応して設けられた検証部が検証を実行する。つまり、電子制御装置１００は、監視が必要な監視対象に対応した一つの監視部による監視、及び、この監視部に対応した検証部による検証を行っている場合、他の監視部による監視、及び他の検証部による検証を行う必要がない。よって、電子制御装置１００は、第１監視部１２ａと第２監視部１２ｂによる監視と、第１検証部２１ａと第２検証部２１ｂによる検証とを常に行う場合よりも処理負荷を低減できる。また、電子制御装置１００は、緊急停止判定部１２と機能検証部２１をシンプルにすることができるため、誤りが混入し難くなり安全性を確保できる。

また、電子制御装置１００は、全ての監視対象を常時監視する場合、第１監視部１２ａと第２監視部１２ｂによる監視と、第１検証部２１ａと第２検証部２１ｂによる検証を所定時間内に行う必要がある。しかしながら、電子制御装置１００は、監視が必要な監視対象に対応した一つの監視部による監視、及び、この監視部に対応した検証部による検証を行っている場合、他の監視部による監視、及び他の検証部による検証を行う必要がない。このため、電子制御装置１００は、所定時間内に、第１監視部１２ａによる監視と第１検証部２１ａによる検証、又は、第２監視部１２ｂによる監視と第２検証部２１ｂによる検証を行えばよい。よって、電子制御装置１００は、全ての監視対象を常時監視する場合よりスペックが低いマイコン、言い換えると処理能力が低いマイコンを採用できる。このため、電子制御装置１００は、コストアップを抑制できる。

なお、第１処理部１０と第２処理部２０は、少なくとも二つのプロセッサコアを有した一つのＣＰＵに搭載されていてもよい。このＣＰＵは、マルチコアＣＰＵと言うことができる。この場合、第１処理部１０と第２処理部２０は、一つのＣＰＵに搭載された別のコアに相当する。

また、本実施形態では、第１監視部１２ａと第２監視部１２ｂの二つの監視部が設けられた例を採用している。しかしながら、本発明は、これに限定されない。本発明は、三つ以上の監視部が設けられていてもよい。この場合は、各監視部に対応して、三つ以上の検証部が設けられる。

以上、本発明の好ましい実施形態について説明した。しかしながら、本発明は、上記した実施形態に何ら制限されることはなく、本発明の趣旨を逸脱しない範囲において、種々の変形が可能である。以下に、本発明の変形例１，２に関して説明する。上記の実施形態及び変形例１，２は、夫々単独で実施することも可能であるが、適宜組み合わせて実施することも可能である。本発明は、実施形態において示された組み合わせに限定されることなく、種々の組み合わせによって実施可能である。

（変形例１）
変形例１の電子制御装置１００は、上記実施形態と構成は同様であるが処理内容が異なる。このため、ここでは、上記実施形態と同様の符号を用いて、構成に関する説明を省略する。また、以下においては、変形例１の電子制御装置１００を単に電子制御装置１００とも記載する。

電子制御装置１００は、動力源としてのエンジンを備えた前進及び後進が可能な自動車に搭載されてなるものである。また、電子制御装置１００は、制御対象として、エンジンへの吸入空気量を調節する電子スロットルを含む。更に、電子制御装置１００は、環境状態信号として、シフトがリバースにあるか否かを示す信号が入力される。この環境状態信号は、シフトレバーがリバースになった際にオンし、シフトレバーがリバースから切り替えられた際にオフするスイッチから出力されたオン信号及びオフ信号を採用できる。よって、第１選択部１２ｃは、スイッチから出力されたオン信号とオフ信号とに基づいて、シフトがリバースであるか否かを判定する。

なお、自動車は、シフトがリバースの場合、ドライバがアクセルペダルを踏むことで後進する。また、自動車は、シフトがリバースでない場合、シフトがドライブである可能性があり、ドライバがアクセルペダルを踏むことで前進する可能性がある。

ここで、図３を用いて、電子制御装置１００の処理動作に関して説明する。電子制御装置１００は、所定時間毎に図３のフローチャートで示す処理を実行する。

ステップＳ１１では、シフトがリバースであるか否かを判定する。電子制御装置１００は、シフトがリバースであると判定した場合、すなわち自動車が後進状態であると判定した場合、ステップＳ２１へ進む。詳述すると、シフトがリバースであるか否かの判定は、第１選択部１２ｃと第２選択部２１ｃが行う。第１選択部１２ｃは、シフトがリバースであると判定した場合、自動車が後進方向にオーバーランするか否かの監視が必要とみなして第１監視部１２ａを選択する。第２選択部２１ｃは、シフトがリバースであると判定した場合、第１監視部１２ａに対応した第１検証部２１ａを選択する。

一方、電子制御装置１００は、シフトがリバースでないと判定した場合、すなわち自動車が後進状態でないと判定した場合、ステップＳ３１へ進む。第１選択部１２ｃは、シフトがリバースでないと判定した場合、自動車が前進方向にオーバーランするか否かの監視が必要と判定して第２監視部１２ｂを選択する。第２選択部２１ｃは、シフトがリバースでないと判定した場合、第２監視部１２ｂに対応した第２検証部２１ｂを選択する。

ステップＳ２１では、後進方向のみオーバーランを監視する。第１監視部１２ａは、自動車が後進方向にオーバーランするか否かを監視する。そして、ステップＳ４１では、第１監視部を検証する。第１検証部２１ａは、第１監視部１２ａが正常に監視を行うことができる状態であるか否かを検証する。このように、電子制御装置１００は、シフトがリバースの場合、前進方向へのオーバーランを監視することなく、後進方向へのオーバーランが生じるか否かのみを監視する。よって、電子制御装置１００は、第２検証部２１ｂによる検証は必要なく、第１検証部２１ａのみが検証を行えばよい。

ステップＳ３１では、前進方向のみオーバーランを監視する。第２監視部１２ｂは、自動車が前進方向にオーバーランするか否かを監視する。そして、ステップＳ５１では、第２監視部を検証する。第２検証部２１ｂは、第２監視部１２ｂが正常に監視を行うことができる状態であるか否かを検証する。このように、電子制御装置１００は、シフトがリバースでない場合、後進方向へオーバーランを監視することなく、前進方向へのオーバーランのみを監視する。よって、電子制御装置１００は、第１検証部２１ａによる検証は必要なく、第２検証部２１ｂのみが検証を行えばよい。ステップＳ６１では、ステップＳ６０と同様であるため説明を省略する。

変形例１の電子制御装置１００は、上記実施形態と同様の効果を奏することができる。

（変形例２）
変形例２の電子制御装置１００は、上記実施形態と構成は同様であるが処理内容が異なる。このため、ここでは、上記実施形態と同様の符号を用いて、構成に関する説明を省略する。また、以下においては、変形例２の電子制御装置１００を単に電子制御装置１００とも記載する。

電子制御装置１００は、動力源としてのエンジン及びモータジェネレータと、モータジェネレータに電力を供給すると共にモータジェネレータで発電された電力で充電可能な電池とを備えた自動車に搭載されてなるものである。つまり、自動車は、所謂ハイブリッド自動車である。

また、電子制御装置１００は、制御対象として、エンジンへの吸入空気量を調節する電子スロットルと、モータジェネレータへの駆動電力を供給する電源回路であるインバータと、モータジェネレータから電池への充電を制御するバッテリ装置とを含む。更に、電子制御装置１００は、環境状態信号として、エンジンが始動中であるか否かを示す信号が入力される。言い換えると、環境状態信号は、自動車がエンジンを動力源として走行するか否かを示す信号である。この環境状態信号は、自動車が走行する際の動力源がエンジンになった際にオンし、自動車が走行する際の動力源がモータジェネレータになった際にオフするスイッチから出力されたオン信号及びオフ信号を採用できる。よって、第１選択部１２ｃは、スイッチから出力されたオン信号とオフ信号とに基づいて、自動車が走行する際の動力源がエンジンであるか否かを判定する。

ここで、図４を用いて、電子制御装置１００の処理動作に関して説明する。電子制御装置１００は、所定時間毎に図４のフローチャートで示す処理を実行する。

ステップＳ１２では、エンジンが始動中であるか否かを判定する。電子制御装置１００は、エンジンが始動中であると判定した場合、すなわち自動車がエンジンを動力源として走行すると判定した場合、ステップＳ２２へ進む。詳述すると、エンジンが始動中であるか否かの判定は、第１選択部１２ｃと第２選択部２１ｃが行う。第１選択部１２ｃは、エンジンが始動中であると判定した場合、エンジンに起因する自動車のオーバーランと電池の異常の監視が必要とみなして第１監視部１２ａを選択する。第２選択部２１ｃは、エンジンが始動中であると判定した場合、第１監視部１２ａに対応した第１検証部２１ａを選択する。

一方、電子制御装置１００は、エンジンが始動中でないと判定した場合、すなわち自動車が走行する際の動力源がモータジェネレータであると判定した場合、ステップＳ３２へ進む。第１選択部１２ｃは、エンジンが始動中でないと判定した場合、モータジェネレータに起因する自動車のオーバーランと電池の異常の監視が必要と判定して第２監視部１２ｂを選択する。第２選択部２１ｃは、エンジンが始動中でないと判定した場合、第２監視部１２ｂに対応した第２検証部２１ｂを選択する。なお、電池の異常とは、例えば、過充電やファイヤーハザードなどである。

ステップＳ２２では、エンジンに起因する自動車のオーバーランと電池の異常を監視する。第１監視部１２ａは、エンジンに起因して自動車がオーバーランするか否かを監視すると共に、エンジンに起因して電池に異常が生じるか否かを監視する。そして、ステップＳ４２では、第１監視部を検証する。第１検証部２１ａは、第１監視部１２ａが正常に監視を行うことができる状態であるか否かを検証する。このように、電子制御装置１００は、エンジンが始動中の場合、モータジェネレータに起因する自動車のオーバーランと電池の異常を監視することなく、エンジンに起因する自動車のオーバーランと電池の異常が生じるか否かのみを監視する。よって、電子制御装置１００は、第２検証部２１ｂによる検証は必要なく、第１検証部２１ａのみが検証を行えばよい。

ステップＳ３２では、モータジェネレータに起因する自動車のオーバーランと電池の異常を監視する。第２監視部１２ｂは、モータジェネレータに起因して自動車がオーバーランするか否かを監視すると共に、モータジェネレータに起因して電池に異常が生じるか否かを監視する。そして、ステップＳ５２では、第２監視部を検証する。第２検証部２１ｂは、第２監視部１２ｂが正常に監視を行うことができる状態であるか否かを検証する。

このように、電子制御装置１００は、エンジンが始動中でない場合、エンジンに起因する自動車のオーバーランと電池の異常を監視することなく、モータジェネレータに起因する自動車のオーバーランと電池の異常が生じるか否かのみを監視する。よって、電子制御装置１００は、第１検証部２１ａによる検証は必要なく、第２検証部２１ｂのみが検証を行えばよい。ステップＳ６２では、ステップＳ６０と同様であるため説明を省略する。

なお、第２監視部１２ｂは、インバータの動作停止が必要な異常の発生を判定するため監視対象として、モータジェネレータに起因して自動車がオーバーランするか否かを監視すると言うことができる。また、インバータの動作停止とは、インバータによるモータジェネレータへの電力供給を停止することである。よって、第２監視部１２ｂは、モータジェネレータに起因して自動車がオーバーランすると判定した場合は、インバータの動作停止を停止させることで、モータジェネレータによって自動車がオーバーランすることを防止する。

変形例２の電子制御装置１００は、上記実施形態と同様の効果を奏することができる。

（その他）
なお、環境状態信号は、上記実施形態及び変形例で説明した信号に限定されない。環境状態信号は、アクセルセンサなどの各種センサ信号や、イグニッションスイッチなどの各種スイッチ信号などであっても採用できる。

また、電子制御装置１００は、ブレーキコントローラ、シフトポジションコントローラ、トランスミッションコントローラなどにも適用できる。これらのコントローラは、異常が生じた際に、強制的に動作を停止させることが好ましい制御対象を制御するものである。例えば、シフトポジションコントローラは、異常が生じて意図せずパーキングレンジから切り替わる際に、この切り替わりを強制的に停止させることが好ましい。また、電子制御装置１００は、自動車に搭載されるものに限定されない。

１０第１処理部、１１車両制御部、１２緊急停止判定部、１２ａ第１監視部、１２ｂ第２監視部、１２ｃ第１選択部、２０第２処理部、２１機能検証部、２１ａ第１検証部、２１ｂ第２検証部、２１ｃ第２選択部、１００電子制御装置、２００制御対象

Claims

制御対象の動作を制御する制御手段（１１）と
前記制御対象の動作停止が必要な異常の発生を判定するための複数の監視対象を監視する手段であり、各監視対象の夫々に対応して設けられた複数の監視手段（１２ａ，１２ｂ）と、
各監視手段が正常に監視を行うことができる状態であるか否かを検証する手段であり、各監視手段の夫々に対応して設けられた複数の検証手段（２１ａ，２１ｂ）と、を備え、
各監視手段は、異常の発生を判定し、異常が発生すると判定した場合、前記制御対象の動作を強制的に停止させ、
各検証手段は、正常に監視を行うことができる状態でないと判定した場合、前記制御対象の動作を強制的に停止させる電子制御装置であって、
複数の前記監視対象のうち監視が必要な一つを判定すると共に、複数の前記監視手段のうち監視が必要と判定した前記監視対象に対応した一つを選択する第１選択手段（１２ｃ）と、
複数の前記検証手段のうち前記第１選択手段で選択された前記監視手段に対応した一つを選択する第２選択手段（２１ｃ）と、を更に備えており、
複数の前記監視手段のうち前記第１選択手段にて選択された前記監視手段のみが監視を実行すると共に、複数の前記検証手段のうち前記第２選択手段にて選択された前記検証手段のみが検証を実行することを特徴とする電子制御装置。
前記第１選択手段は、前記監視対象の切り替えを示す切替信号を取得し、取得した前記切替信号に基づいて複数の前記監視対象のうち監視が必要な一つを判定するものであり、
前記切替信号によらず、前記第１選択手段が正常に選択を行うことができる状態であるか否かを検証する第２検証手段（Ｓ６０〜Ｓ６２）を備えていることを特徴とする請求項１に記載の電子制御装置。
前記第２選択手段は、前記切替信号を取得し、取得した前記切替信号に基づいて、複数の前記検証手段のうち前記第１選択手段で選択された前記監視手段に対応した一つを選択することを特徴とする請求項２に記載の電子制御装置。
第１処理部（１０）と、前記第１処理部とは異なる第２処理部（２０）と、を備えており、
前記制御手段、複数の前記監視手段、前記第１選択手段は、前記第１処理部に設けられており、
前記検証手段、前記第２選択手段は、前記第２処理部に設けられていることを特徴とする請求項１乃至３のいずれか一項に記載の電子制御装置。
動力源としてのエンジン及びモータと、前記モータに電力を供給する電池とを備えており、取り付け及び取り外しが可能な充電プラグを介して前記電池への充電が可能な自動車に搭載されてなるものであり、
複数の前記監視手段の一つである第１監視手段（１２ａ）は、前記自動車のオーバーランを複数の前記監視対象の一つとして監視し、
複数の前記監視手段の一つである第２監視手段（１２ｂ）は、前記充電プラグを介した前記電池への充電時の異常を複数の前記監視対象の一つとして監視するものであり、
前記第１選択手段は、前記充電プラグが非接続状態である場合に前記自動車のオーバーランの監視が必要と判定して前記第１監視手段を選択し、前記充電プラグが接続状態である場合に前記充電プラグを介した前記電池への充電時の異常の監視が必要と判定して前記第２監視手段を選択することを特徴とする請求項１乃至４のいずれか一項に記載の電子制御装置。
動力源としてのエンジンを備えた前進及び後進が可能な自動車に搭載されてなるものであり、
複数の前記監視手段の一つである第１監視手段（１２ａ）は、前記自動車の後進方向へのオーバーランを複数の前記監視対象の一つとして監視し、
複数の前記監視手段の一つである第２監視手段（１２ｂ）は、前記自動車の前進方向へのオーバーランを複数の前記監視対象の一つとして監視するものであり、
前記第１選択手段は、前記自動車が後進状態である場合に前記自動車の後進方向へのオーバーランの監視が必要と判定して前記第１監視手段を選択し、前記自動車が後進状態でない場合に前記自動車の前進方向へのオーバーランの監視が必要と判定して前記第２監視手段を選択することを特徴とする請求項１乃至４のいずれか一項に記載の電子制御装置。
動力源としてのエンジン及びモータジェネレータと、前記モータジェネレータに電力を供給すると共に前記モータジェネレータで発電された電力で充電可能な電池とを備えた自動車に搭載されてなるものであり、
複数の前記監視手段の一つである第１監視手段（１２ａ）は、複数の前記監視対象として、前記エンジンに起因する前記自動車のオーバーランと、前記電池への過充電とを監視し、
複数の前記監視手段の一つである第２監視手段（１２ｂ）は、複数の前記監視対象として、前記モータジェネレータに起因する前記自動車のオーバーランと、前記電池への過充電とを監視するものであり、
前記第１選択手段は、前記エンジンが始動中である場合に前記エンジンに起因する前記自動車のオーバーランと前記電池における異常の監視が必要と判定して前記第１監視手段（１２ａ）を選択し、前記エンジンが始動中でない場合に前記モータジェネレータに起因する前記自動車のオーバーランと前記電池における異常の監視が必要と判定して前記第２監視手段を選択することを特徴とする請求項１乃至４のいずれか一項に記載の電子制御装置。