JP6683104B2 - 電子制御装置 - Google Patents

Description

本発明は、自動車に搭載される電子制御装置であって、当該電子制御装置内に設けられている電源回路が故障した場合に所定のフェールセーフ処理を実行する電子制御装置に関する。

車両に搭載された所定のアクチュエータを制御するための装置（いわゆる電子制御装置）は、車載センサから入力されるデータに基づいて種々の演算処理が実行するマイクロコンピュータ（以降、制御マイコン）や電源回路を備える。電源回路は、車載バッテリなどの車載電源から提供される電力に基づいて制御マイコン等の動作に適した電力を生成する回路である。

また、この種の電子制御装置は、制御マイコンや電源回路等が正常に動作しているか否かを監視する異常検出機能を備えていることが一般的である。仮に異常検出機能が所定の異常事象を検出した場合、制御マイコン等は、その異常事象に応じたフェールセーフ処理を実行する。

例えば異常監視機能によって電源回路の異常が検出された場合には、制御マイコン等はフェールセーフ処理として、制御対象とするアクチュエータの動作を停止させたり、アクチュエータの出力を所定のレベル以下に制限したりする。

また、特許文献１では、電源回路の故障に伴って電子制御装置が提供する機能が急に停止してしまうことを防止するため、電源回路やマイコン等を２重化する構成が提案されている。

特開２０１６−１２８３０８号公報

電源回路は、車載電源から供給される電力を取り扱うため、大きい電力に耐えることができる部品（以降、大電力部品）が多数必要となる。一般的に、大電力部品は、相対的に小さい電力を取り扱う部品（以降、小電力部品）に比べて故障しやすい。そのため、特許文献１に開示されているように電源回路を２重化した場合、電源回路部品（特に大電力部品）の増加により、故障率の増加が懸念される。

電源回路の故障率が増加した場合には、異常検知に伴うフェールセーフ処理が実行される頻度もまた増加する。車両の機能（例えば駆動源の出力トルク）を制限するようなフェールセーフ処理の実行頻度が増加した場合、ユーザに違和感や煩わしさを与えてしまう恐れがある。

本発明は、この事情に基づいて成されたものであり、その目的とするところは、電源回路の故障に伴うフェールセーフ処理の実行頻度を低減可能な電子制御装置を提供することにある。

その目的を達成するための本発明は、車両に搭載されたセンサから入力されるデータに基づいて車両に搭載されている所定のアクチュエータの動作を制御するマイクロコンピュータである制御マイコン（１１、１２）と、車両に搭載されている電源装置から供給される電圧から制御マイコンを駆動するための電圧を生成して制御マイコンに供給する電源回路としての第１電源回路（１５）と、第１電源回路が出力する電圧に基づいて第１電源回路の異常動作を検出する異常検出部（２０）と、第１電源回路とは異なる電源回路であって、異常検出部の検出結果に応じて起動し、制御マイコンへの電力供給を行う第２電源回路（１６）と、第１電源回路の出力端子と第２電源回路の出力端子と制御マイコンの電源用端子とを接続する電源線である内部電源ライン（Ｌｎ）と、を備え、第１電源回路は、所定の信号源から制御を開始するための信号である起動信号が入力されたことをトリガとして制御マイコンへの電力供給を開始するものであり、第１電源回路の異常動作を検出しないときに、異常検出部は、第２電源回路を停止させる信号を出力し、第１電源回路の異常動作を検出したときに、異常検出部は、第２電源回路を起動させる信号を出力することを特徴とする。

以上の構成では異常検出部によって第１電源回路の異常動作が検出されていない場合（以降、通常時）、第２電源回路は動作していない。その為、通常時において仮に第２電源回路が故障していても、その故障が不具合として発現する（換言すれば検出される）ことはない。故に、電源回路の故障に伴うフェールセーフ処理の実行頻度を低減することができる。

なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

本実施形態に係るＥＣＵ１を含む車両システムの構成を示す図である。 本実施形態にかかるＥＣＵ１の概略的な構成を示すブロック図である。 第１電源回路１５の構成の一例を示す図である。 第２電源回路１６の構成の一例を示す図である。 ＥＣＵ１起動時の各部の作動を示すタイムチャートである。 第１電源回路１５故障時の各部の作動を示すタイムチャートである。 第１電源回路１５の故障が発生した場合のＩＧＳＷ８オフ時の作動を示すタイムチャートである。 第１電源回路１５が正常に動作している場合のＩＧＳＷ８オフ時の作動を示すタイムチャートである。 ＥＣＵ１の変形例を示した図である。 ＥＣＵ１の変形例を示した図である。 ＥＣＵ１の変形例を示した図である。

以下、本発明が適用された電子制御装置（以降、ＥＣＵ：Electronic Control Unit）１について図を用いて説明する。本実施形態におけるＥＣＵ１は、車両に搭載されているセンサ（つまり車載センサ）から入力されるデータに基づいて、車両の駆動源（例えばエンジン）の出力を制御する。

もちろん、他の態様として、ＥＣＵ１は操舵アクチュエータや、制動システムを制御するものであってもよい。また、ＥＣＵ１は駆動源としてのモータの動作や、バッテリの充放電を制御するものであってもよい。ＥＣＵ１の制御対象や、ＥＣＵ１の役務は適宜設計されればよい。また、ＥＣＵ１は、駆動源としてエンジンとモータの両方を備える車両（つまりハイブリッドカー）や、モータのみを駆動源として備える車両（つまり電気自動車）で用いられてもよい。

本実施形態にかかるＥＣＵ１は、駆動源としてエンジンを備える車両に搭載されており、車載バッテリ２と電気的に接続されている。また、ＥＣＵ１は、図１に示すように、電子スロットル３、アクセルセンサ４、スロットルセンサ５、及び警告灯６のそれぞれと、車両内に構築されている通信ネットワーク（以降、ＬＡＮ：Local Area Network）７を介して接続されている。

車載バッテリ２は、ＥＣＵ１に対して所定のバッテリ電圧Ｖｂを供給する二次電池である。車載バッテリ２が請求項に記載の電源装置に相当する。なお、車両には車載バッテリ２の出力電圧（以降、バッテリ電圧Ｖｂ）が常時印加されている電源ライン（以降、Ｂライン）と、ユーザによってイグニッションスイッチ（以下、ＩＧＳＷ）８がオンに設定された場合にバッテリ電圧Ｖｂが印加される電源ライン（以降、ＩＧ電源ライン）がある。ＥＣＵ１は、ＢラインとＩＧ電源ラインのそれぞれと接続されている。

電子スロットル３は、エンジンへの吸入空気量を調節するスロットル弁３１と、スロットル弁３１を動かすためのアクチュエータとしてのモータ（以降、スロットルモータ）３２とを、１つの製品としてまとめたものである。スロットルモータ３２の出力トルクは、ＥＣＵ１によって制御される。なお、電子スロットル３は、ＬＡＮ７を介さずに、ＥＣＵ１の制御信号が入力されるようにＥＣＵ１と電気的に接続されていてもよい。

アクセルセンサ４は、運転者によるアクセルペダルの操作位置をアクセル操作量として検出するセンサである。スロットルセンサ５は、スロットル弁３１の位置（換言すれば回転角度）をスロットル開度として検出するセンサである。アクセルセンサ４やスロットルセンサ５の検出結果はＥＣＵ１に逐次提供される。

警告灯６は、ＥＣＵ１の電源回路に所定の不具合が生じていることを乗員に通知するための装置であって、例えばＬＥＤ等を用いて実現されている。警告灯６は、ＥＣＵ１からの指示に基づき動作（すなわち点灯又は点滅）する。

ＥＣＵ１は、アクセルセンサ４やスロットルセンサ５から入力されるデータに基づいてスロットルモータ３２を制御する。これにより、エンジンの出力トルクを間接的に制御する。ＥＣＵ１は、図２に示すように、メインマイコン１１、サブマイコン１２、第１通信ドライバ１３、第２通信ドライバ１４、第１電源回路１５、第２電源回路１６、駆動維持部１７、第１電源起動部１８、第２電源起動部１９、異常検出部２０、安定化フィルタ２１、及び遅延フィルタ２２を備える。

メインマイコン１１やサブマイコン１２は、中央演算装置としてのＣＰＵ、不揮発性の記憶媒体であるＲＯＭ、揮発性の記憶媒体であるＲＡＭ、レジスタなどを用いて実現されているマイクロコンピュータ（以降、マイコン）である。メインマイコン１１は所定の電圧範囲で動作するように構成されている。つまり、動作電圧としての下限値及び上限値が規定されている。

ここでは一例として、メインマイコン１１は４．０Ｖ〜５．５Ｖの電圧で動作するように構成されているものとする。サブマイコン１２も同様に４．０Ｖ〜５．５Ｖの電圧で動作するように構成されている。便宜上、メインマイコン１１やサブマイコン１２が動作する電圧範囲のことを以降ではマイコン動作範囲と称する。マイコン動作範囲が請求項に記載の動作電圧範囲に相当する。

メインマイコン１１とサブマイコン１２は、双方向通信可能に接続されている。また、メインマイコン１１は第１通信ドライバ１３と双方向通信可能に接続されている。サブマイコン１２は第２通信ドライバ１４と双方向通信可能に接続されている。メインマイコン１１はリセット信号の入力端子としてリセット入力端子を備えている。

サブマイコン１２は、異常検出部２０の出力信号が入力される入力端子を備える。また、サブマイコン１２は、信号の出力端子として、第１電源保持端子、第２電源保持端子、及びクリア信号出力端子を備える。サブマイコン１２は書き換え可能な不揮発性の記憶媒体である不揮発性メモリ１２１を備える。メインマイコン１１及びサブマイコン１２の作動については別途後述する。

メインマイコン１１及びサブマイコン１２のそれぞれが請求項に記載の制御マイコンに相当する。特に、メインマイコン１１が請求項に記載の第１マイコンに相当し、サブマイコン１２が請求項に記載の第２マイコンに相当する。

以降では一例としてＥＣＵ１が備える各部は正論理で動作するように構成されているものとする。もちろん、他の態様としてＥＣＵ１が備える各部は、負論理で動作するように構成されていても良い。駆動維持部１７や、第１電源起動部１８、第２電源起動部１９、異常検出部２０等は、ローレベルとハイレベルと２レベルの信号を出力するように構成されている。

第１通信ドライバ１３は、メインマイコン１１がＬＡＮ７に接続している他のデバイス（例えばＥＣＵやセンサ等）と通信するためのドライバ回路である。第２通信ドライバ１４は、サブマイコン１２がＬＡＮ７に接続している他のデバイス（例えばＥＣＵやセンサ等）と通信するためのドライバ回路である。なお、本実施形態ではメインマイコン１１用の通信ドライバとサブマイコン１２用の通信ドライバを別々に設けた構成を採用しているがこれに限らない。メインマイコン１１とサブマイコン１２とで１つの通信ドライバを共用しても良い。

第１電源回路１５は、車載バッテリ２から入力されるバッテリ電圧Ｖｂを、メインマイコン１１等の動作に適した所定の電圧に変換して出力する回路モジュールである。ここでは一例としてメインマイコン１１やサブマイコン１２に入力する電圧の目標値（以降、目標印加電圧）は５Ｖに設定されているものとする。すなわち、本実施形態の第１電源回路１５は、バッテリ電圧Ｖｂ＝１２Ｖを目標印加電圧としての５Ｖに変換して出力する。

また、第１電源回路１５は、車載バッテリ２から入力される電力に基づいて、５５０ｍＡの電流を出力可能に構成されている。つまり、第１電源回路１５は、５Ｖ、５５０ｍＡの電力をメインマイコン１１等に供給する内部電源として機能する。図２中に示すＶ１は、第１電源回路１５の出力電圧（以降、第１出力電圧）を表している。第１電源回路１５は、第１出力電圧Ｖ１が４．９５Ｖから５．０５Ｖまでの範囲に収まるように構成されている。

図３は第１電源回路１５の具体的な回路構成の一例を示す図である。図３に示すように第１電源回路１５は、電力変換回路１５１ａと電圧制御回路１５１ｂとが実装された第１電源ＩＣ１５１と、変換用付加回路１５２と、制御用付加回路１５３と、を備える。

変換用付加回路１５２にはバッテリ電圧Ｖｂ＝１２Ｖが入力される。変換用付加回路１５２は、電力変換回路１５１ａと協働して、出力電圧が所定の中間電圧Ｖ１ａとなるようにバッテリ電圧Ｖｂを電力変換する。中間電圧Ｖ１ａは、目標印加電圧としての５Ｖよりも高く、かつ、バッテリ電圧Ｖｂよりも低い値であればよい。ここでは一例として中間電圧Ｖ１ａは６Ｖに設定されている。

制御用付加回路１５３には、変換用付加回路１５２の出力電圧である中間電圧Ｖ１ａが入力される。前述の第１出力電圧Ｖ１とは、制御用付加回路１５３の出力電圧である。制御用付加回路１５３は、電圧制御回路１５１ｂと協働して、第１出力電圧Ｖ１が目標印加電圧となるように中間電圧Ｖ１ａを変換する。

なお、電力変換回路や定電圧回路は周知であるため、これらの詳細な説明は省略する。また、第１電源回路１５は、図３に示す構成以外の構成によって実現されていてもよい。第１電源回路１５は周知の回路構成を援用して実現されれば良い。

上述した第１電源回路１５は、信号入力端子として、第１電源起動部１８の出力端子と接続されている端子（以降、第１起動入力端子）を備える。第１電源回路１５は、第１電源起動部１８からハイレベルの信号が入力されている場合に駆動し、出力電圧Ｖ１として５Ｖを出力する。第１電源起動部１８から入力されている信号がハイレベルではない場合、つまり、ローレベル信号が入力されている場合、第１電源回路１５は停止する。第１電源回路１５が停止している場合の第１出力電圧Ｖ１は０Ｖである。第１電源起動部１８が出力するハイレベル信号が、第１電源回路１５にとっての駆動信号として機能する。

第１電源回路１５の出力端子は、電源線である内部電源ラインＬｎと接続されている。故に、第１電源回路１５が正常に動作している場合、内部電源ラインＬｎには５Ｖが印加される。内部電源ラインＬｎは、メインマイコン１１及びサブマイコン１２のそれぞれの電源用端子と接続されている。さらに、内部電源ラインＬｎは異常検出部２０とも接続されている。また、内部電源ラインＬｎには、第２電源回路１６の出力端子とも接続されている。

第２電源回路１６は、車載バッテリ２から入力されるバッテリ電圧Ｖｂを目標印加電圧に変換して出力する回路モジュールである。すなわち、本実施形態の第２電源回路１６は、バッテリ電圧Ｖｂ＝１２Ｖを目標印加電圧としての５Ｖに変換して出力する。

また、第２電源回路１６は、車載バッテリ２から入力される電力に基づいて、５０ｍＡまでの電流を出力可能に構成されている。つまり、第２電源回路１６は、５Ｖ、５０ｍＡの電力を供給する内部電源として機能する。図２中に示すＶ２は、第２電源回路１６の出力電圧（以降、第２出力電圧）を表している。

図４は第２電源回路１６の具体的な回路構成の一例を示す図である。図４に示すように第２電源回路１６は、電圧制御回路１６１ａが実装された第２電源用ＩＣ１６１と、制御用付加回路１６２と、を備える。

制御用付加回路１６２には、バッテリ電圧Ｖｂが入力される。前述の第２出力電圧Ｖ２は、制御用付加回路１６２の出力電圧である。制御用付加回路１６２は、電圧制御回路１６１ａと協働して、第２出力電圧Ｖ２が目標印加電圧となるようにバッテリ電圧Ｖｂを変換する。なお、第２電源回路１６は、図４に示す構成以外の構成によって実現されていてもよい。第２電源回路１６は周知の回路構成を援用して実現されれば良い。

上述した第２電源回路１６は、入力端子として、第２電源起動部１９の出力端子と接続されている端子（以降、第２起動入力端子）を備えている。第２電源回路１６は、第２電源起動部１９からハイレベル信号が入力されている場合に駆動し、第２出力電圧Ｖ２として５Ｖを出力する。第２電源起動部１９からハイレベル信号が入力されていない場合、換言すれば第２電源起動部１９からローレベル信号が出力されている場合、第２電源回路１６は停止する。第２電源回路１６が停止している場合、第２出力電圧Ｖ２は０Ｖとなる。第２電源起動部１９が出力するハイレベル信号が第２電源回路１６にとっての駆動信号として機能する。

第２電源回路１６の出力端子は、内部電源ラインＬｎと接続されている。故に、第２電源回路１６が正常に動作している場合、内部電源ラインＬｎには５Ｖが印加される。ただし、後述するように第２電源回路１６は、第１電源回路１５が正常に動作している間は、動作しないように構成されている。

駆動維持部１７は、２つの入力端子と１つの出力端子を備えており、２つの入力端子の一方はＩＧ電源ラインと接続されている。また、他方の入力端子は、サブマイコン１２が備える第１電源保持端子と接続されている。

駆動維持部１７は、２つの入力信号の論理和を出力する構成であり、周知のＯＲ回路を用いて実現されれば良い。周知のＯＲ回路には、ワイヤードＯＲも含まれる。ＩＧＳＷ８がオンに設定されている場合、ＩＧ電源ラインには所定の閾値以上の電圧信号（すなわちハイレベル信号）が入力される。

駆動維持部１７は、ＩＧＳＷ８がオンに設定されているか、若しくは、サブマイコン１２からハイレベル信号が入力された場合に、ハイレベルの信号を出力する。ＩＧＳＷ８がオンに設定されておらず、かつ、サブマイコン１２から第１保持信号が入力されていない場合には、ローレベルの信号を出力する。駆動維持部１７の出力信号は、第１電源起動部１８及び遅延フィルタ２２に入力される。ＩＧＳＷ８のオンに伴ってＩＧ電源ラインから駆動維持部１７に入力されるハイレベル信号が請求項に記載の起動信号に相当する。また、ＩＧＳＷ８が請求項に記載の信号源に相当する。

第１電源起動部１８は、２つの入力端子と１つの出力端子を備えており、２つの入力端子の一方は、駆動維持部１７の出力端子と接続されている。つまり、第１電源起動部１８には、駆動維持部１７の出力信号が入力される。また、他方の入力端子には、第２電源起動部１９の出力信号を反転した信号が入力される。つまり、第２電源起動部１９の出力信号がハイレベルである場合にはローレベルが入力される一方、第２電源起動部１９の出力信号がローレベルである場合にはハイレベルが入力される。

第１電源起動部１８は、２入力の論理積を出力する構成であり、周知のＡＮＤ回路を用いて実現されればよい。第１電源起動部１８は、駆動維持部１７の出力がハイレベルであり、かつ、第２電源起動部１９の出力がローレベルである場合に、ハイレベル信号を出力する。その他の場合、すなわち、駆動維持部１７の出力がローレベルであるか、若しくは、第２電源起動部１９の出力がハイレベルである場合には、ローレベル信号を出力する。

第２電源起動部１９は、２つの入力端子と１つの出力端子を備えており、２つの入力端子の一方は異常検出部２０の出力端子と接続されている。また、他方の入力端子は、サブマイコン１２が備える第２電源保持端子と接続されている。

第２電源起動部１９は、２つの入力信号の論理和を出力する構成であり、周知のＯＲ回路を用いて実現されれば良い。第２電源起動部１９は、異常検出部２０がハイレベル信号を出力しているか、若しくは、サブマイコン１２からハイレベル信号が入力された場合に、ハイレベル信号を出力する。第２電源起動部１９は、異常検出部２０がハイレベル信号を出力されておらず、かつ、サブマイコン１２から第２電源保持信号が入力されていない場合には、ローレベルの信号を出力する。

第２電源起動部１９の出力信号は、第２電源回路１６に入力される。また、第２電源起動部１９の出力端子は、メインマイコン１１が備えるリセット入力端子とも接続されている。故に、第２電源起動部１９がハイレベル信号を出力している間は、メインマイコン１１がリセット状態で保持され、動作を停止することになる。さらに、第２電源起動部１９の出力信号は、ハイレベル／ローレベルが反転されて第１電源起動部１８に入力される。

異常検出部２０は、内部電源ラインＬｎと接続されており、異常検出部２０は起動している間、内部電源ラインＬｎに印加されている電圧の値を逐次取得する。そして、内部電源ラインＬｎに印加されている電圧が所定の正常範囲外の値となった場合に、当該事象を第１電源回路１５の異常動作として検出する。つまり、異常検出部２０は、内部電源ラインＬｎに印加されている電圧が所定の正常範囲外の値となった場合に、第１電源回路１５が正常に動作していない（換言すれば異常が生じた）と判定する構成に相当する。

なお、後述するようにＩＧＳＷ８がオンとなってから第１電源回路１５の異常動作が検出されるまでは、第２電源回路１６を動作させず、第１電源回路１５のみの出力電圧が内部電源ラインＬｎに印加される。したがって、内部電源ラインＬｎに印加されている電圧を監視することは、第１電源回路１５の出力電圧を監視することに相当する。

つまり、異常検出部２０は、第１電源回路１５の出力電圧に基づいて第１電源回路１５の異常動作を検出する構成である。なお、第１電源回路１５の異常動作を検出することは、第１電源回路１５が正常に動作しているか否かを判定することに相当する。ここでの正常範囲の下限値はマイコン動作範囲の下限値よりも高く、かつ、正常範囲の上限値はマイコン動作範囲の上限値よりも低く設定されているものとする。例えば正常範囲は４．５Ｖ〜５．２Ｖなどとすれば良い。正常範囲が請求項に記載の正常電圧範囲に相当する。

異常検出部２０は、第１電源回路１５の出力電圧が正常範囲内（境界値を含む）に収まっている場合には、ローレベル信号を出力する。また、異常検出部２０は第１電源回路１５の出力電圧が正常範囲外の値となっている場合にはハイレベル信号を出力する。異常検出部２０が出力するハイレベル信号は、第１電源回路１５に異常が生じていることを示す信号として機能する。そのため、異常検出部２０が出力するハイレベル信号のことを異常検出信号とも称する。異常検出部２０は、コンパレータやＡＮＤ回路等を用いて実現されれば良い。もちろん他の態様として異常検出部２０はＣＰＵによるソフトウェアの実行によって実現されても良い。

異常検出部２０は、上述した入力端子以外に加えて、サブマイコン１２が出力するクリア信号が入力される入力端子（以降、クリア信号入力端子）を備える。異常検出部２０は、いったん第１電源回路１５の異常動作を検出した場合、サブマイコン１２からクリア信号が入力されるまでハイレベル信号を出力し続ける。つまり、異常検出部２０は、いったんハイレベル信号を出力した場合には、クリア信号が入力されるまで出力レベルをハイレベルで保持（換言すればラッチ）する。異常検出部２０の出力信号は、第２電源起動部１９及びサブマイコン１２に入力される。なお、異常検出部２０がハイレベル信号を出力し続けることは、換言すれば、第１電源回路１５が正常に動作していないという判定結果を保持することに相当する。

この異常検出部２０は、図２に示すように遅延フィルタ２２及び安定化フィルタ２１を介して駆動維持部１７の出力端子と接続されている。つまり、駆動維持部１７の出力信号は、安定化フィルタ２１及び遅延フィルタ２２を介して異常検出部２０に入力される。異常検出部２０は、遅延フィルタ２２からハイレベル信号が入力された場合に起動して、第１電源回路１５の出力電圧の監視を開始する。

安定化フィルタ２１は、遅延フィルタ２２への入力レベルを安定させるためのフィルタである。ＩＧ電源ラインに印加される電圧は、オルタネータやＩＧ電源ラインに接続する他の電子機器（例えば他のＥＣＵ）の動作状態等によって変動しやすい。そのような電圧変動によって、駆動維持部１７の出力レベルが振動すると、異常検出部２０が誤動作する恐れがある。駆動維持部１７と異常検出部２０との間に安定化フィルタ２１を介在させることによって、駆動維持部１７の出力を安定化し、異常検出部２０が誤作動する恐れを低減することができる。

遅延フィルタ２２は、第１電源回路１５が起動した後（換言すれば目標印加電圧としての５Ｖを出力し始めた後）に異常検出部２０が起動するように、異常検出部２０の起動タイミングを調整するためのフィルタである。異常検出部２０の起動タイミングを調整することは、安定化フィルタ２１を介して駆動維持部１７から入力されるハイレベル信号を異常検出部２０に伝達するタイミングを調整することに相当する。遅延フィルタ２２は、コンデンサや抵抗を用いて実現されれば良い。

遅延フィルタ２２を導入する意義は次の通りである。ＩＧＳＷ８がオンとなってから第１出力電圧Ｖ１が５Ｖまで立ち上がるまでの間には所定時間Ｔａの遅延が存在する。仮に遅延フィルタ２２が存在しない場合には、第１電源回路１５の起動完了前に異常検出部２０が起動し、その結果、第１電源回路１５の起動完了前の電圧低下状態を第１電源回路１５の異常動作として誤検出してしまう恐れがある。一方、この遅延フィルタ２２を設けることによって、第１電源回路１５が立ち上がってから異常検出部２０が起動するようになる。そのため、上記の誤作動が生じる恐れを低減することができる。

つまり、異常検出部２０は、ＩＧ電源ラインからＥＣＵ１にハイレベル信号が入力された時点を起算時点として、当該起算時点から所定時間経過したタイミングで起動するように構成されている。遅延フィルタ２２は、第１電源回路１５の起動完了前の電圧低下状態と、第１電源回路１５の故障時の電圧低下状態とを切り分ける役割を担う。

メインマイコン１１は、第１通信ドライバ１３から提供されるアクセル踏込量などのデータに基づいて、所定の制御対象（ここでは電子スロットル３）についての制御目標量を算出するマイコンである。例えば、メインマイコン１１は、アクセルセンサ４によって検出されるアクセル操作量から、スロットルモータ３２の制御量を算出し、当該制御量を、第１通信ドライバ１３及びＬＡＮ７を介して電子スロットル３に出力する。

また、メインマイコン１１は、サブマイコン１２との双方向通信によってサブマイコン１２が正常に動作しているか否かを監視する。サブマイコン１２が正常に動作しているか否かは、ウォッチドッグタイマ方式や宿題回答方式などといった、周知の方法を用いて判定することができる。ウォッチドッグタイマ方式とは、ウォッチドッグタイマがサブマイコン１２から入力されるウォッチドッグパルスによってクリアされずに満了した場合に、サブマイコン１２が異常動作していると判定する方式である。

また、宿題回答方式とは、メインマイコン１１が予め定められた監視用の信号をサブマイコン１２に送るとともに、サブマイコン１２から返送されてきた回答が正解であるか否かによってサブマイコン１２が正常であるか否かを判定する方式である。宿題回答方式においてサブマイコン１２は、メインマイコン１１から入力される監視用信号に応じた応答信号を生成してメインマイコン１１に返送する。メインマイコン１１は、サブマイコン１２から受け取った応答信号の内容が、送信した監視用信号に対応するデータと異なる場合、あるいは所定の制限時間内でメインマイコン１１から応答信号が返送されてこない場合に、サブマイコン１２は正常に動作していない（つまり異常動作している）と判定する。なお、メインマイコン１１は、サブマイコン１２の異常動作を検知した場合には、サブマイコン１２にリセットをかけるなどの所定の復帰処理を実行する。

メインマイコン１１の電源用端子は、内部電源ラインＬｎと接続されており、第１電源回路１５又は第２電源回路１６から供給される電力に基づいて動作する。また、メインマイコン１１のリセット入力端子は、第２電源起動部１９の出力端子と接続されている。リセット入力端子は、リセット信号としてのハイレベル信号が入力された場合に、メインマイコン１１の動作を停止させて初期状態に戻すための入力端子である。

したがって、第２電源起動部１９の出力信号がハイレベルとなっている場合にはメインマイコン１１は動作を停止する。なお、第２電源起動部１９の出力信号がハイレベルとなる場合とは、例えば第１電源回路１５の異常動作等に起因して第２電源回路１６が駆動する場合である。そのため、第２電源回路１６が動作する場合にはメインマイコン１１は停止状態となる。

サブマイコン１２は、メインマイコン１１との双方向通信により、メインマイコン１１が正常に動作しているか否かの監視（つまり状態監視）を実施する。メインマイコン１１が正常に動作しているか否かは、前述の通り周知の方法を援用して判定することができる。サブマイコン１２は、メインマイコン１１の異常動作を検出した場合には、メインマイコン１１にリセットをかけるなどの所定の処理を実行する。

また、サブマイコン１２は、異常検出部２０の出力信号が入力される入力端子（以降、モニタ端子）を備える。サブマイコン１２は、異常検出部２０からハイレベル信号がモニタ端子に入力されている場合、換言すれば異常検出部２０が第１電源回路１５の異常動作を検出した場合、所定のフェールセーフ処理を実行する。

例えばサブマイコン１２は、フェールセーフ処理としてスロットルモータ３２の駆動を停止させることによって、エンジンの動作を退避走行モードへと移行させる。退避走行モードは、エンジンの出力トルクを所定の抑制レベル以下に制限する動作モードである。退避走行モードによって、ユーザは車両を安全な場所まで退避させることができる。なお、サブマイコン１２が駆動回路を介してスロットルモータ３２と接続されている場合は、当該駆動回路の出力を遮断することで退避走行を実現してもよい。

また、サブマイコン１２は、フェールセーフ処理として、当該ＥＣＵ１に不具合が生じたことをＬＡＮ７に接続している他のＥＣＵに通知する。その他、サブマイコン１２は、フェールセーフ処理として、警告灯６を点灯させてもよい。警告灯６を点灯させることにより、ユーザに対してＥＣＵ１に不具合が生じたことを通知できる。その他、第１電源回路１５に異常が生じた時の状況を示す情報（例えば日時等）を不揮発性メモリ１２１に記録してもよい。

サブマイコン１２は、ＩＧＳＷ８がオフとなった場合には、所定のシャットダウン処理を実行する。例えばサブマイコン１２は、シャットダウン処理として、次回起動時に必要なデータを不揮発性メモリ１２１に書き込んだり、ＲＡＭをクリアしたりする。

また、サブマイコン１２は、第１電源回路１５が正常に動作したままＩＧＳＷ８がオフになった時のシャットダウン処理として、第２電源回路１６が正常に動作するか否かを検査する処理（以降、検査処理）を実施し、その検査結果を不揮発性のメモリに書き込む。第２電源回路１６の検査手順については別途後述する。検査処理の結果、第２電源回路１６が正常に動作していることが確認できた場合には、第２電源回路１６が正常であること不揮発性メモリ１２１に書きこむ。便宜上、第２電源回路１６が正常であることを示すデータのことを動作確認データと称する。

さらにサブマイコン１２は、起動後、異常検出部２０によって第１電源回路１５の異常が検出されるまでは、第１電源保持端子からハイレベル信号を出力する。また、第１電源回路１５の異常動作が異常検出部２０によって検出された場合には、第１電源保持端子からの出力レベルをローレベルに移行させる。

第１電源保持端子からハイレベル信号が出力されている間は、駆動維持部１７の出力もハイレベルで維持される。そのため、車両走行中に不意にユーザがＩＧＳＷ８に切り替えた場合であっても、メインマイコン１１やサブマイコン１２による車両制御を継続させることができる。第１電源保持端子から出力されるハイレベル信号は、第１電源回路１５が駆動している状態を維持する信号として機能する。そのため、第１電源保持端子から出力されるハイレベル信号のことを第１電源保持信号とも称する。

また、サブマイコン１２は、異常検出部２０が第１電源回路１５の異常動作を検出されていない場合、第２電源保持端子からローレベル信号を出力する。異常検出部２０が第１電源回路１５の異常動作を検出した場合には、第２電源保持端子からハイレベル信号を出力し始める。いったん第２電源保持端子からハイレベル信号を出力し始めた場合には、ＩＧＳＷ８がオフとなって所定のシャットダウン処理が完了するまでその状態を維持する。

第２電源保持端子からハイレベル信号が出力されている間は、第２電源起動部１９の出力もハイレベルで維持される。そのため、第２電源回路１６が動作し続ける一方、第１電源回路１５は停止する。第２電源起動部１９の出力がハイレベルである場合には第１電源起動部１８の出力がローレベルとなるためである。

第２電源保持端子から出力されるハイレベル信号は、第２電源回路１６が駆動している状態を維持する信号として機能する。そのため、第２電源保持端子から出力されるハイレベル信号のことを第２電源保持信号とも称する。

また、サブマイコン１２は、第２電源保持端子からハイレベル信号を出力している状態において、ＩＧＳＷ８がオフになった場合には、クリア信号出力端子からクリア信号としてのハイレベル信号を出力する。これにより異常検出部２０の出力レベルはローレベルへ移行する。

なお、サブマイコン１２はメインマイコン１１に比べて実行すべき演算処理が少なく設計されている。そのため、サブマイコン１２の駆動に必要な電流は、メインマイコン１１の駆動に必要な電流よりも少ない。また、第１電源回路１５の故障時にはメインマイコン１１は動作を停止するため、メインマイコン１１は電流を消費しない。よって、第２電源回路１６の電流供給能力を第１電源回路１５の電流供給能力よりも低く設計することができる。本実施形態ではＥＣＵ１による制御処理を終了する条件（以降、終了条件）として、ＩＧＳＷ８がオフとなることを採用するが、これに限らない。終了条件は、ＥＣＵ１の役務に応じて適宜設計されれば良い。

＜ＥＣＵ１起動時の作動について＞
次に図５に示すタイムチャートを用いてＩＧＳＷ８がオンとなってＥＣＵ１が起動した時の各構成要素の作動について説明する。図５に示すＴ１０は、ＩＧＳＷ８がオンとなったタイミングを表している。

図５中の（Ａ）はＩＧ電源ラインの印加電圧を表している。（Ｂ）〜（Ｈ）は駆動維持部１７、第１電源起動部１８、第１電源回路１５、遅延フィルタ２２、異常検出部２０、第２電源起動部１９、及び第２電源回路１６の出力を表している。（Ｉ）は内部電源ラインＬｎに印加されている電圧を表しており、（Ｊ）、（Ｋ）はメインマイコン１１、サブマイコン１２の動作状態を表している。

図５の（Ｌ）、（Ｍ）は、第１電源保持端子及び第２電源保持端子の出力レベルを表している。（Ｎ）は動作確認データの記録内容を示している。ここでは一例として前回の検査処理によって、不揮発性メモリ１２１には第２電源回路１６は正常であることを示すデータが動作確認データとして記録されているものとする。

ＩＧＳＷ８がオンに設定されると、駆動維持部１７にバッテリ電圧Ｖｂが印加されるため、（Ｂ）に示すように駆動維持部１７の出力レベルはハイレベルとなる。また、ＥＣＵ１起動時においては、第２電源保持端子の出力レベル及び異常検出部２０の出力はローレベルであるため、第２電源起動部１９の出力レベルはローレベルである。そのため、（Ｃ）に示すように第１電源起動部１８の出力レベルもハイレベルとなり、第１電源回路１５が起動し始める。つまり、第１電源回路１５は、ＩＧＳＷ８がオンとなったことをトリガとしてメインマイコン１１等への電力供給を開始する。

図５の（Ｄ）に示すＴａは、第１電源回路１５が起動し始めてから出力電圧が目標印加電圧に収束するまでに要する時間（つまり立ち上がり時間）を表している。また、（Ｅ）に示す時間Ｔｂは、遅延フィルタ２２において、ハイレベル信号が入力されてからハイレベル信号を出力するまでの遅延時間を表している。遅延フィルタ２２は、遅延時間Ｔｂが第１電源回路１５の立ち上がり時間よりも長くなるように構成されている。

第１電源回路１５の立ち上がりが完了すると、内部電源ラインＬｎにも５Ｖが印加されるため、メインマイコン１１及びサブマイコン１２が起動する。サブマイコン１２は、起動に伴う初期化処理の過程において、第１電源保持端子からハイレベル信号を出力し始める。サブマイコン１２は、起動すると（Ｎ）に示すように、動作確認データをクリアする。つまり、第２電源回路１６が正常であることを示すデータを削除する。

なお、第１電源回路１５が正常に動作している場合、換言すれば、第１出力電圧Ｖ１が正常範囲に収まっている場合には、異常検出部２０の出力レベルはローレベルである。また、サブマイコン１２が第２電源保持端子から出力する信号のレベルもローレベルである。そのため、第２電源起動部１９は停止した状態が維持される。故に、第２出力電圧Ｖ２は０Ｖである。

＜第１電源回路故障時の作動について＞
次に、図６に示すタイムチャートを用いて第１電源回路１５が異常動作（例えば電圧低下）した時の各構成要素の作動について説明する。図６に示すＴ２０は、第１電源回路１５の電圧が正常範囲の下限値を下回ったタイミングを表している。

なお、図６の（Ａ）はＩＧ電源ラインの印加電圧、換言すればＩＧＳＷ８のオン／オフ状態を表している。（Ｂ）〜（Ｆ）は第１電源起動部１８、第１電源回路１５、異常検出部２０、第２電源起動部１９、第２電源回路１６の出力を表している。（Ｇ）は内部電源ラインＬｎに印加されている電圧を表しており、（Ｈ）、（Ｉ）は、第１電源保持端子及び第２電源保持端子の出力レベルを表している。（Ｊ）（Ｋ）は、メインマイコン１１、サブマイコン１２の動作状態を表している。なお、少なくともＩＧＳＷ８がオンとなっている限り、駆動維持部１７や遅延フィルタ２２の出力はハイレベルで維持される。そのため、それらの出力についてはここでは図示を省略している。

第１電源回路１５が故障し、第１出力電圧Ｖ１が正常範囲の下限値を下回ると、異常検出部２０は、当該電圧挙動を、第１電源回路１５の異常動作として検出する。そのため、（Ｃ）に示すように時刻Ｔ２０より異常検出部２０はハイレベル信号を出力し始める。

また、異常検出部２０の出力レベルがハイレベルに遷移したことに伴い、第２電源起動部１９の出力レベルもハイレベルに遷移する。そのため、第１電源起動部１８はＡＮＤ条件が成立しなくなり、ローレベル信号を出力し始める。

第２電源回路１６は、第２電源起動部１９からハイレベル信号が入力されていることを受けて起動し、５Ｖを出力し始める。また、第１電源回路１５は第１電源起動部１８の出力レベルがローレベルになったため、動作を停止する。つまり、第１電源回路１５が故障した場合には、第１電源回路１５に代わって第２電源回路１６が内部電源ラインＬｎに５Ｖを供給する。そのため、図６に示すように、種々のマイコンへの電力供給は維持される。なお、（Ｈ）（Ｉ）に示すようにサブマイコン１２は、第２電源保持信号の出力に伴って、第１電源保持信号の出力を停止する。

また、本実施形態では第１電源回路１５の故障時にはメインマイコン１１にリセット信号を入力されたままとなる。これにより、第１電源回路１５の故障時には実質的にメインマイコン１１は動作を停止した状態となる。

このような構成によれば、第１電源回路１５の異常検出以降においては、ＥＣＵ１内において電力を必要とする構成が減る。そのため、第２電源回路１６の電流供給能力を第１電源回路１５の電流供給能力よりも低く設計することができる。その結果、第２電源回路１６の導入コストを低減することができる。なお、メインマイコン１１が停止しても、種々のフェールセーフ処理はサブマイコン１２によって実行されるため、従来と同様の安全性を担保することができる。

＜第１電源故障時のシャットダウン処理について＞
次に、図７に示すタイムチャートを用いて第２電源回路１６が駆動している状態において、ＩＧＳＷ８がオフとなった場合の、各構成要素の作動について説明する。ＩＧＳＷ８がオフに設定された以降においてもサブマイコン１２は一定時間（例えば１秒）動作し続けて、所定のシャットダウン処理（例えばデータの退避等）を実施する。図７に示すＴ３０は、ＩＧＳＷ８がオフになったタイミングを表しており、Ｔ３１は、サブマイコン１２のシャットダウン処理が完了したタイミングを表している。

図７の（Ａ）はＩＧ電源ラインの印加電圧を表している。（Ｂ）はサブマイコン１２の動作状態を表している。（Ｃ）〜（Ｈ）は、異常検出部２０、第２電源保持端子、第２電源起動部１９、第２電源回路１６の出力を表している。（Ｇ）は、内部電源ラインＬｎへの印加電圧を表している。

サブマイコン１２は、ＩＧＳＷ８がオフとなった場合、異常検出部２０に対してクリア信号を出力する。そのため、（Ｃ）に示すように異常検出部２０の出力信号はローレベルとなる。一方、サブマイコン１２は、時刻Ｔ３１でシャットダウン処理が完了するまで、（Ｄ）に示すように第２電源保持信号を出力し続ける。そのため、第２電源起動部１９の出力レベルは、時刻Ｔ３１までハイレベルに維持される。よって、ＩＧＳＷ８がオフになった以降も所定時間、第２電源回路１６は動作を継続し、５Ｖを出力し続ける。

サブマイコン１２は、このようにして第２電源回路１６から供給される電力を用いて、シャットダウン処理を完了させ、最後に第２電源保持信号の出力を停止する。

＜第１電源健全時のシャットダウン処理について＞
次に、図８に示すタイムチャートを用いて、第１電源回路１５が正常に動作している状態で（つまり異常が発生せずに）ＩＧＳＷ８がオフになった場合の各構成要素の作動について説明する。ＩＧＳＷ８がオフに設定された以降においてもメインマイコン１１及びサブマイコン１２のそれぞれは一定時間（例えば１秒）動作し続けて、所定のシャットダウン処理（例えばデータの退避等）を実施する。また、ＩＧＳＷ８がオンとなってから第１電源回路１５に異常が発生しないままＩＧＳＷ８がオフとなった場合には、サブマイコン１２はシャットダウン処理の一環として検査処理を実行する。

図７に示すＴ４０は、ＩＧＳＷ８がオフになったタイミングを表しており、Ｔ４１は、メインマイコン１１のシャットダウン処理が完了したタイミングを表している。Ｔ４２は、サブマイコン１２でのシャットダウン処理が完了したタイミングを表している。

サブマイコン１２は、ＩＧＳＷ８がなった以降においても（Ｄ）に示すように第１電源保持信号を出力し続ける。そのため、第１電源起動部１８の出力もハイレベルで維持される。その結果、内部電源ラインＬｎには第１電源回路１５が生成する５Ｖが印加された状態が継続する。この第１電源回路１５が供給する電力によって、メインマイコン１１及びサブマイコン１２は、それぞれシャットダウン処理を実行する。

メインマイコン１１は、自身のシャットダウン処理が完了するとその旨を示す信号（以降、終了通知）をサブマイコン１２に出力する。サブマイコン１２は、メインマイコン１１からの終了通知を受信すると、第２電源保持信号を出力するとともに、第１電源保持信号の出力を停止する。

これにより、第１電源回路１５が停止する。また、第２電源保持信号によって第２電源起動部１９がハイレベルとなるため、第２電源回路１６が健全である場合、第２電源回路１６は起動して５Ｖを出力し始める。サブマイコン１２は、第２電源保持信号を出力してから所定時間Ｔｃｈｋ経過したタイミングでサブマイコン１２が動作できている場合には、第２電源回路１６は正常であることを、第２電源データとして不揮発性メモリ１２１に記録する。最後に第２電源保持信号の出力を停止して、第２電源回路１６を停止させる。

このようにサブマイコン１２がＩＧＳＷ８のオフ後に検査処理を実行することで、第２電源回路１６が正常に動作する場合には、不揮発性メモリ１２１に第２電源回路１６が正常であることを示すデータを残すことができる。また、第２電源回路１６が故障しており、第２電源回路１６が正常に起動しなかった場合には、不揮発性メモリ１２１において第２電源データが記録されるべきアドレス（以降、検査結果記録アドレス）には何も記録されない。つまり、第２電源データがクリアされた状態のままとなる。

したがって以上の構成によれば、サブマイコン１２は次回ＩＧＳＷ８がオンとなって起動時に、不揮発性メモリ１２１の検査結果記録アドレスを参照することで、第２電源回路１６が正常に動作するか否かを認識することができる。仮に第２電源回路１６が故障している場合には、警告灯６を点灯したり、他のＥＣＵにＥＣＵ１に不具合が生じていることを通知したりする。

＜実施形態のまとめ＞
以上の構成では異常検出部２０によって第１電源回路１５の異常動作が検出されていない場合（以降、通常時）、第２電源回路１６は動作しない。その為、通常時において仮に第２電源回路が故障していても、その故障が不具合として発現する（換言すれば検出される）ことはない。故に、電源回路の故障に伴うフェールセーフ処理の実行頻度を低減することができる。

また、第２電源回路１６が動作する場合とは、検査処理実行時と、第１電源回路１５が故障した場合だけである。つまり、第２電源回路１６の動作時間は、第１電源回路１５の動作時間に比べて短くなる。そのため、通算動作時間の増加に由来して第２電源回路１６が故障してしまう確率を抑制することができる。

さらに、第１電源回路１５が故障した場合には第２電源回路１６が起動してサブマイコン１２に電力を供給する。サブマイコン１２は、第２電源回路１６から供給される電力によって動作し、例えば退避走行の実現などのフェールセーフ処理を実行する。そのため、特許文献１に開示される従来技術と同様の安全性・利便性を提供することができる。

また、上記の構成では正常範囲をマイコン動作範囲内に設定している。このような構成によれば、各種マイコンが停止する前に、電力源を第２電源回路１６に切り替えることができる。

さらに、上記構成では正常範囲として下限値だけでなく上限値も規定している。そのため、電圧低下だけでなく、第１出力電圧Ｖ１が異常に高くなった場合も、異常動作として検出することができる。また、第１電源回路１５の出力電圧が正常範囲の上限値を超過する値になった場合には第１電源回路１５を停止させる。このような構成によれば、メインマイコン１１やサブマイコン１２にマイコン動作範囲の上限値を超えた電圧（つまり過電圧）を印加してしまう恐れを低減できる。したがって、第１電源回路１５の故障に起因して、メインマイコン１１やサブマイコン１２が故障してしまう恐れを低減することができる。

ところで、他の態様としては第１電源回路１５の異常動作検出後も第１電源回路１５を停止させずに、第２電源回路１６を動作させる構成も考えられる。そのような構成において第１電源回路１５に、第２電源回路１６の出力電圧（ここでは５Ｖ）よりも高い電圧を出力するタイプの故障が生じた場合、第２電源回路１６が実質的に機能しなくなる。第１電源回路１５と第２電源回路１６は共通の電源ライン（つまり、内部電源ラインＬｎ）に電圧を出力するためである。そのような課題に対し、上記構成では、第１電源回路１５の異常動作を検出した場合には、第１電源回路１５を停止させるため、第２電源回路１６の出力電圧を機能させることができる。

また、上記構成では異常検出部２０の出力と、サブマイコン１２の第２電源保持端子の出力の少なくとも何れか一方がハイレベルである場合には、第２電源回路１６は動作し続ける。したがって、異常検出部２０の出力信号が流れる信号線が断線した場合であっても、電力供給を継続することができる。つまり、ＥＣＵ１による車両制御を継続することができる。

また、上記構成によれば走行等の重要な制御実施中に一本の信号線の故障によって電源がオフとなり、制御停止となることを抑制できる。その結果、信頼性を向上することができる。

以上、本発明の実施形態を説明したが、本発明は上述の実施形態に限定されるものではなく、以降で述べる種々の変形例も本発明の技術的範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施することができる。

なお、前述の実施形態で述べた部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。また、構成の一部のみに言及している場合、他の部分については先に説明した実施形態の構成を適用することができる。

［変形例１］
上述した実施形態では、正常範囲をマイコン動作範囲内に設定した態様を開示したがこれに限らない。マイコン動作範囲を含むように、正常範囲をマイコン動作範囲よりも大きく設定しても良い。例えばマイコン動作範囲（４．０〜５．５Ｖ）に対して正常範囲を３．９Ｖ〜５．６Ｖに設定してもよい。

［変形例２］
第２電源回路１６をより安価に実現するために、第２電源回路１６を動作時にはメインマイコン１１の停止させる制御態様を開示した。メインマイコン１１を停止されれば第２電源回路１６に要求される電流供給能力を低く設計できるためである。

一方、他の態様として第２電源回路１６を動作時においてもメインマイコン１１とサブマイコン１２の両方を動作させてもよい。その場合、第２電源回路１６は、メインマイコン１１とサブマイコン１２の両方を駆動させるために必要な電流を供給しうる能力を備えるように構成されているものとする。図９は、第２電源回路１６動作時においてもメインマイコン１１が動作可能な回路構成の一例を示している。

［変形例３］
以上では、異常検出部２０が第１電源回路１５の異常を検出した場合には、第１電源回路１５が停止する構成を開示したがこれに限らない。例えば図１０に示すような、異常検出部２０が第１電源回路１５の異常を検出した以降においても第１電源回路１５が動作し続ける構成を採用しても良い。

なお、図１０に示す構成では、第２電源起動部１９の出力端子とメインマイコン１１のリセット入力端子とが接続されているため、第１電源回路１５の異常を検出した以降においては、メインマイコン１１は停止する。図１１は、第１電源回路１５の異常を検出した以降においても、メインマイコン１１と第１電源回路１５の両方共動作を継続する構成を示している。

［変形例４］
上述した実施形態では、サブマイコン１２は、退避走行などの限定的な車両制御機能のみを備えるものとしたが、これに限らない。サブマイコン１２は、メインマイコン１１と同様の車両制御を実行する機能を備えるものであってもよい。その他、以上ではＩＧＳＷ８がオンとなった場合に、ＥＣＵ１が起動する態様を開示したが、ＥＣＵ１の起動トリガは、これに限らない。ＥＣＵ１は、充電プラグが接続されたことを示す信号が入力された場合に起動しても良いし、内部のタイマの満了等によって自発的に起動してもよい。メインマイコン１１による電力供給を開始させるためのトリガとして機能する信号及び当該信号の出力元（すなわち信号源）は適宜設計されれば良い。

１ ＥＣＵ（電子制御装置）、２ 車載バッテリ、３ 電子スロットル、８ イグニッションスイッチ、１１ メインマイコン、１２ サブマイコン、１３ 第１通信ドライバ、１４ 第２通信ドライバ、１５ 第１電源回路、１６ 第２電源回路、１７ 駆動維持部、１８ 第１電源起動部、１９ 第２電源起動部、２０ 異常検出部、２１ 安定化フィルタ、２２ 遅延フィルタ、Ｌｎ 内部電源ライン

Claims (10)

1. 車両に搭載されたセンサから入力されるデータに基づいて前記車両に搭載されている所定のアクチュエータの動作を制御するマイクロコンピュータである制御マイコン（１１、１２）と、
   前記車両に搭載されている電源装置から供給される電圧から前記制御マイコンを駆動するための電圧を生成して前記制御マイコンに供給する電源回路としての第１電源回路（１５）と、
   前記第１電源回路が出力する電圧に基づいて前記第１電源回路の異常動作を検出する異常検出部（２０）と、
   前記第１電源回路とは異なる前記電源回路であって、前記異常検出部の検出結果に応じて起動し、前記制御マイコンへの電力供給を行う第２電源回路（１６）と、
   前記第１電源回路の出力端子と前記第２電源回路の出力端子と前記制御マイコンの電源用端子とを接続する電源線である内部電源ライン（Ｌｎ）と、を備え、
   前記第１電源回路は、所定の信号源から前記制御を開始するための信号である起動信号が入力されたことをトリガとして前記制御マイコンへの電力供給を開始するものであり、
   前記第１電源回路の異常動作を検出しないときに、前記異常検出部は、前記第２電源回路を停止させる信号を出力し、
   前記第１電源回路の異常動作を検出したときに、前記異常検出部は、前記第２電源回路を起動させる信号を出力することを特徴とする電子制御装置。
2. 請求項１において、
   前記制御マイコンには、当該制御マイコンが動作する電圧の下限値及び上限値が動作電圧範囲として設定されており、
   前記第１電源回路の出力電圧に対して、前記異常検出部が前記第１電源回路の出力電圧は正常であると見なす範囲である正常電圧範囲が予め設定されており、
   前記正常電圧範囲は、前記動作電圧範囲に含まれるように設定されており、
   前記異常検出部は、前記第１電源回路の出力電圧が前記正常電圧範囲外の値となっていることを、前記第１電源回路の異常動作として検出することを特徴とする電子制御装置。
3. 請求項２において、
   前記第１電源回路は、前記異常検出部によって前記第１電源回路の異常動作が検出された場合には、動作を停止することを特徴とする電子制御装置。
4. 請求項１から３の何れか１項において、
   前記制御マイコンとして第１マイコンと第２マイコンを備え、
   前記異常検出部によって前記第１電源回路の異常動作が検出されていない場合には、前記第１マイコンと前記第２マイコンの両方が動作する一方、
   前記異常検出部によって前記第１電源回路の異常動作が検出された場合には、前記制御マイコンは動作を停止することを特徴とする電子制御装置。
5. 請求項４において、
   前記第２マイコンは、
   前記第１電源回路からの電力供給がされていない場合においてもデータを保持可能なメモリ（１２１）を備え、
   前記第１電源回路及び前記第２電源回路のそれぞれの動作状態を制御するものであって、
   前記第２マイコンは、
   前記信号源から前記制御を開始するための所定の信号が入力されてから、前記制御を終了するための所定の終了条件が充足されるまでの間に前記第１電源回路の異常動作が検出されなかった場合には、前記終了条件の充足に伴って前記第１電源回路を停止させるとともに、前記第２電源回路を起動させ、
   前記第２電源回路を起動させてから一定時間経過した時点においてまだ前記第２マイコンが動作できている場合には前記第２電源回路は正常であることを示す動作確認データを前記メモリに記録することを特徴とする電子制御装置。
6. 請求項５において、
   前記第２マイコンは、起動する度に前記メモリに記録されている前記動作確認データを削除することを特徴とする電子制御装置。
7. 請求項５又は６において、
   前記異常検出部は、いったん前記第１電源回路の異常動作を検出した場合には、前記第１電源回路に異常が生じているという判定結果を、前記第２マイコンから所定のクリア信号が入力されるまで維持し、
   前記第１電源回路に異常が生じていると判定している間は、前記第２電源回路を起動させる信号として、前記第１電源回路に異常が生じていることを示す異常検出信号を出力するものであり、
   前記第２マイコンは、第２電源保持信号を出力することによって前記第２電源回路を動作させるものであって、
   前記第２電源回路は、前記異常検出部が前記異常検出信号を出力しているか、又は、前記第２マイコンが前記第２電源保持信号を出力している場合に動作することを特徴とする電子制御装置。
8. 請求項４から７の何れか１項において、
   前記第２マイコンは、前記異常検出部によって前記第１電源回路の異常動作が検出された場合、所定のフェールセーフ処理を実行することを特徴とする電子制御装置。
9. 請求項４から８の何れか１項において、
   前記第２電源回路は、前記第１マイコンと前記第２マイコンの両方を駆動させる電力を出力可能に構成されていることを特徴とする電子制御装置。
10. 請求項１から９の何れか１項において、
    前記異常検出部は、前記起動信号が入力された時点を起算時点として、前記起算時点から所定時間経過したタイミングで起動するように構成されていることを特徴とする電子制御装置。

Images