JP6631473B2 - 電子制御装置 - Google Patents

Description

本発明は、自動車に搭載される電子制御装置において、当該電子制御装置内に設けられている電源回路が故障した場合に所定のフェールセーフ処理を実行する電子制御装置に関する。

車両に搭載された所定のアクチュエータを制御するための装置（いわゆる電子制御装置）は、車載センサから入力されるデータに基づいて種々の演算処理が実行するマイクロコンピュータ（以降、制御マイコン）や電源回路を備える。電源回路は、車載バッテリなどの車載電源から提供される電力に基づいて制御マイコン等の動作に適した電力を生成する回路である。

また、この種の電子制御装置は、電子制御装置が正常に動作しているか否かを監視する異常検出機能を備えていることが一般的である。仮に異常検出機能が所定の異常事象を検出した場合、制御マイコン等は、その異常事象に応じたフェールセーフ処理を実行する。

例えば異常監視機能によって電源回路の異常が検出された場合には、制御マイコン等はフェールセーフ処理として、制御対象とするアクチュエータの動作を停止させたり、アクチュエータの出力を所定のレベル以下に制限したりする。

また、特許文献１では、電源回路の故障に伴って電子制御装置が提供する機能が急に停止してしまうことを防止するため、電源回路、マイコン、駆動回路等を２重化する構成が提案されている。

特開２０１６−１２８３０８号公報

電源回路は、車載電源から供給される電力を取り扱うため、大きい電力に耐えることができる部品（以降、大電力部品）が多数必要となる。一般的に、大電力部品は、相対的に小さい電力を取り扱う部品（以降、小電力部品）に比べて故障しやすい。そのため、特許文献１に開示されているように電源回路を２重化した場合、電源回路部品（特に大電力部品）の増加により、故障率の増加が懸念される。

電源回路の故障率が増加した場合には、異常検知に伴うフェールセーフ処理が実行される頻度もまた増加する。車両機能（例えば駆動源の出力トルク）を制限するようなフェールセーフ処理の実行頻度が増加した場合、ユーザに違和感や煩わしさを与えてしまう恐れがある。

本発明は、この事情に基づいて成されたものであり、その目的とするところは、電源回路の故障に伴うフェールセーフ処理の実行頻度を低減可能な電子制御装置を提供することにある。

その目的を達成するための本発明は、車両に搭載されたセンサから入力されるデータに基づいて車両に搭載されている所定のアクチュエータの動作を制御するマイクロコンピュータであって、所定の動作電圧範囲が設定されている制御マイコン（１１、１２）と、制御マイコンに電力を供給する電源回路として、車両に搭載されている電源装置から供給される電圧を動作電圧範囲に含まれる所定の第１電圧に変換し、制御マイコンに電力を供給するための電源ラインである内部電源ライン（Ｌｎ）に出力する第１電源回路（１５）と、内部電源ラインに印加されている電圧に基づいて電源回路の異常動作を検出する異常検出部（１５１ｃ、Ｆ１）と、電源回路として、電源装置から供給される電圧を所定の第２電圧に変換して出力する第２電源回路（１６）と、異常検出部が電源回路の異常動作を検出した場合に所定のフェールセーフ処理を実行するフェールセーフ処理部（Ｆ３）と、を備え、第２電源回路が第２電圧を出力する第２電圧出力端子は、逆流阻止部を介して内部電源ラインと接続されており、逆流阻止部は、第２電源回路から内部電源ラインへと向かう方向には電流を流す一方、内部電源ラインから第２電源回路へと向かう方向には電流を流さず、かつ、通電時には所定量の電圧降下を生じさせるものであり、第２電圧は、第２電圧から逆流阻止部による電圧降下分を減算した電圧値が、第１電圧よりも低く、かつ、制御マイコンの動作電圧範囲の下限値よりも高い第３電圧となるように設定されていることを特徴とする。

以上の構成によれば、第１電源回路が正常に動作している場合、第１電源回路は内部電源ラインに第１電圧を出力する。第３電圧は第１電圧よりも低いため、第１電源回路が正常に動作している場合には、逆流阻止部は通電しない。そのため、第２電源回路の出力電圧は、内部電源ラインの印加電圧に影響を及ぼさない。内部電源ラインには第１電源回路が生成する第１電圧が印加される。

そのため、第１電源回路が正常に動作している場合には、第２電源回路に出力電圧の低下を招く故障（以降、出力低下故障）が生じた場合であっても、内部電源ラインの印加電圧に変化は生じない。内部電源ラインには第１電圧が印加された状態が維持される。

その結果、第２電源回路に生じた出力低下故障は、異常検出部によって電源回路の異常動作として検出されない。つまり、第２電源回路に出力低下故障が生じても、その故障によってフェールセーフ処理が実行されることはない。故に、電源回路の故障に伴うフェールセーフ処理の実行頻度を低減することができる。

なお、特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

本実施形態に係るＥＣＵ１を含む車両システムの構成を示す図である。 本実施形態にかかるＥＣＵ１の概略的な構成を示すブロック図である。 第１電源回路１５の構成の一例を示す図である。 第２電源回路１６の構成の一例を示す図である。 第１目標電圧、第２目標電圧、第２実効電圧の関係を示した図である。 サブマイコン１２の概略的な構成を表したブロック図である。 第１電源回路１５故障時の各部の作動を示すタイムチャートである。 第２電源回路１６故障時の各部の作動を示すタイムチャートである。

以下、本発明が適用された電子制御装置（以降、ＥＣＵ：Electronic Control Unit）１について図を用いて説明する。本実施形態におけるＥＣＵ１は、車両に搭載されているセンサ（つまり車載センサ）から入力されるデータに基づいて、車両の駆動源（例えばエンジン）の出力を制御する。

もちろん、他の態様として、ＥＣＵ１は、操舵アクチュエータを制御するものであってもよいし、制動システムを制御するものであってもよい。また、ＥＣＵ１は駆動源としてのモータの動作や、バッテリの充放電を制御するものであってもよい。ＥＣＵ１の制御対象や、ＥＣＵ１の役務は適宜設計されればよい。また、ＥＣＵ１は、駆動源としてエンジンとモータの両方を備える車両（つまりハイブリッドカー）や、モータのみを駆動源として備える車両（つまり電気自動車）で用いられてもよい。

本実施形態にかかるＥＣＵ１は、駆動源としてエンジンを備える車両に搭載されており、車載バッテリ２と電気的に接続されている。また、ＥＣＵ１は、図１に示すように、電子スロットル３、アクセルセンサ４、スロットルセンサ５、及び警告灯６のそれぞれと、車両内に構築されている通信ネットワーク（以降、ＬＡＮ：Local Area Network）７を介して接続されている。

車載バッテリ２は、ＥＣＵ１に対して所定のバッテリ電圧Ｖｂを供給する二次電池である。車載バッテリ２が請求項に記載の電源装置に相当する。なお、車両には車載バッテリ２の出力電圧（以降、バッテリ電圧Ｖｂ）が常時印加されている電源ライン（以降、Ｂライン）と、ユーザによってイグニッションスイッチ（以下、ＩＧＳＷ）８がオンに設定された場合にバッテリ電圧Ｖｂが印加される電源ライン（以降、ＩＧ電源ライン）がある。ＥＣＵ１は、ＢラインとＩＧ電源ラインのそれぞれと接続されている。

電子スロットル３は、エンジンへの吸入空気量を調節するスロットル弁３１と、スロットル弁３１を動かすためのアクチュエータとしてのモータ（以降、スロットルモータ）３２とを、１つの製品としてまとめたものである。スロットルモータ３２の出力トルクは、ＥＣＵ１によって制御される。なお、電子スロットル３は、ＬＡＮ７を介さずに、ＥＣＵ１の制御信号が入力されるようにＥＣＵ１と電気的に接続されていてもよい。

アクセルセンサ４は、運転者によるアクセルペダルの操作位置をアクセル操作量として検出するセンサである。スロットルセンサ５は、スロットル弁３１の位置（換言すれば回転角度）をスロットル開度として検出するセンサである。アクセルセンサ４やスロットルセンサ５の検出結果はＥＣＵ１に逐次提供される。

警告灯６は、ＥＣＵ１の電源回路に所定の不具合が生じていることを乗員に通知するための装置であって、例えばＬＥＤ等を用いて実現されている。警告灯６は、ＥＣＵ１からの指示に基づき動作（すなわち点灯又は点滅）する。

ＥＣＵ１は、アクセルセンサ４やスロットルセンサ５から入力されるデータに基づいて出力トルクを制御する。これにより、エンジンの出力トルクを間接的に制御する。ＥＣＵ１は、図２に示すように、メインマイコン１１、サブマイコン１２、第１通信ドライバ１３、第２通信ドライバ１４、第１電源回路１５、第２電源回路１６、ダイオード１７、及び分圧部１８を備える。

メインマイコン１１やサブマイコン１２は、中央演算装置としてのＣＰＵ、不揮発性の記憶媒体であるＲＯＭ、揮発性の記憶媒体であるＲＡＭ、レジスタなどを用いて実現されているマイクロコンピュータ（以降、マイコン）である。メインマイコン１１は所定の電圧範囲で動作するように構成されている。つまり、動作電圧としての下限値及び上限値が規定されている。

ここでは一例として、メインマイコン１１は４．０Ｖ〜５．５Ｖの電圧で動作するように構成されているものとする。サブマイコン１２も同様に４．０Ｖ〜５．５Ｖの電圧で動作するように構成されている。便宜上、メインマイコン１１やサブマイコン１２が動作する電圧範囲のことを以降ではマイコン動作範囲と称する。マイコン動作範囲が請求項に記載の動作電圧範囲に相当する。メインマイコン１１やサブマイコン１２が請求項に記載の制御マイコンに相当する。特に、メインマイコン１１が請求項に記載の第１マイコンに、サブマイコン１２が請求項に記載の第２マイコンにそれぞれ相当する。

メインマイコン１１とサブマイコン１２は、双方向通信可能に接続されている。また、メインマイコン１１は第１通信ドライバ１３と双方向通信可能に接続されている。サブマイコン１２は第２通信ドライバ１４と双方向通信可能に接続されている。

メインマイコン１１はリセット信号の入力端子としてリセット入力端子Ｐｍ１を備えている。その他、メインマイコン１１は、電源用端子や、サブマイコン１２との通信用端子、第１通信ドライバ１３との通信用端子等を備える。メインマイコン１１の作動については別途後述する。

サブマイコン１２は、信号入力端子として、リセット入力端子Ｐｓ１、基準電圧入力端子Ｐｓ２、及びアナログ入力端子Ｐｓ３を備える。リセット入力端子Ｐｓ１は、リセット信号が入力される端子である。基準電圧入力端子Ｐｓ２は、後述するアナログデジタル変換において基準電圧として用いる信号が入力される端子である。アナログ入力端子Ｐｓ３は、アナログデジタル変換の対象とする電圧が入力される端子である。その他、サブマイコン１２は、電源用端子や、メインマイコン１１との通信用端子、第２通信ドライバ１４との通信用端子等を備える。サブマイコン１２の作動については別途後述する。

以降では一例としてＥＣＵ１が備える各部は正論理で動作するように構成されているものとする。もちろん、他の態様としてＥＣＵ１が備える各部は、負論理で動作するように構成されていても良い。

第１通信ドライバ１３は、メインマイコン１１がＬＡＮ７に接続している他のデバイス（例えばＥＣＵやセンサ等）と通信するためのドライバ回路である。第２通信ドライバ１４は、サブマイコン１２がＬＡＮ７に接続している他のデバイス（例えばＥＣＵやセンサ等）と通信するためのドライバ回路である。なお、本実施形態ではメインマイコン１１用の通信ドライバとサブマイコン１２用の通信ドライバを別々に設けた構成を採用しているがこれに限らない。メインマイコン１１とサブマイコン１２とで１つの通信ドライバを共用しても良い。

第１電源回路１５は、車載バッテリ２から入力されるバッテリ電圧Ｖｂを、メインマイコン１１等の動作に適した所定の電圧に変換して出力する回路モジュールである。ここでは一例として第１電源回路１５の出力電圧の目標値（以降、第１目標電圧）は５Ｖに設定されているものとする。すなわち、本実施形態の第１電源回路１５は、バッテリ電圧Ｖｂ＝１２Ｖを第１目標電圧としての５Ｖに変換して出力する。第１目標電圧が請求項に記載の第１電圧に相当する。

また、第１電源回路１５は、車載バッテリ２から入力される電力に基づいて、５５０ｍＡの電流を出力可能に構成されている。つまり、第１電源回路１５は、５Ｖ、５５０ｍＡの電力をメインマイコン１１等に供給する内部電源として機能する。図２中に示すＶ１は、第１電源回路１５の出力電圧（以降、第１出力電圧）を表している。第１電源回路１５は、第１出力電圧Ｖ１が４．９５Ｖから５．０５Ｖまでの範囲に収まるように構成されている。

第１電源回路１５の出力端子は、電源線である内部電源ラインＬｎと接続されている。故に、第１電源回路１５が正常に動作している場合、内部電源ラインＬｎには５Ｖが印加される。内部電源ラインＬｎは、メインマイコン１１及びサブマイコン１２のそれぞれの電源用端子と接続されている。また、内部電源ラインＬｎは、ダイオード１７を介して第２電源回路１６の出力端子とも接続されている。さらに、内部電源ラインＬｎは第２電圧監視部１６１ｂとも接続されている。第１電源回路１５は、ＩＧＳＷ８がオンに設定されている場合に駆動し、第１出力電圧Ｖ１として５Ｖを出力する。

図３は第１電源回路１５の具体的な回路構成の一例を示す図である。図３に示すように第１電源回路１５は、第１電源ＩＣ１５１、変換用付加回路１５２、及び制御用付加回路１５３を備える。第１電源ＩＣ１５１は、所定の機能を提供する集積回路である。第１電源ＩＣ１５１は、電力変換回路１５１ａ、電圧制御回路１５１ｂ、及び第１電圧監視部１５１ｃを備える。

変換用付加回路１５２にはバッテリ電圧Ｖｂ＝１２Ｖが入力される。変換用付加回路１５２は、電力変換回路１５１ａと協働して、出力電圧が所定の中間電圧Ｖ１ａとなるようにバッテリ電圧Ｖｂを電力変換する。中間電圧Ｖ１ａは、バッテリ電圧Ｖｂよりも低く、かつ、第１目標電圧としての５Ｖよりも高い値であればよい。ここでは一例として中間電圧Ｖ１ａ＝６Ｖに設定されている。

制御用付加回路１５３には、変換用付加回路１５２の出力電圧である中間電圧Ｖ１ａが入力される。前述の第１出力電圧Ｖ１とは、制御用付加回路１５３の出力電圧である。制御用付加回路１５３は、電圧制御回路１５１ｂと協働して、第１出力電圧Ｖ１が第１目標電圧となるように中間電圧Ｖ１ａを変換する。つまり、制御用付加回路１５３及び電圧制御回路１５１ｂは、第１目標電圧としての５Ｖを生成する定電圧回路として機能する。

なお、電力変換回路や定電圧回路は周知であるため、これらの詳細な説明は省略する。また、第１電源回路１５は、図３に示す構成以外の構成によって実現されていてもよい。第１電源回路１５は周知の回路構成を援用して実現されれば良い。

第１電圧監視部１５１ｃは、第１出力電圧Ｖ１を逐次取得する。そして、第１出力電圧Ｖ１が所定の第１電圧下限値以下となった場合に、当該事象を第１電源回路１５の異常動作として検出する。つまり、第１電圧監視部１５１ｃは、第１出力電圧Ｖ１に基づいて第１電源回路１５が正常に動作しているか否かを監視（換言すれば判定）する構成である。

第１電圧下限値は、第１目標電圧よりも小さい範囲において適宜設計されればよい。また、第１電圧下限値は、後述する第２実効電圧としての４．６Ｖよりも高い値に設定されていることが好ましい。ここでは一例として第１電圧下限値は４．８Ｖに設定されている。

第１電圧監視部１５１ｃは、第１出力電圧Ｖ１が所定の第１電圧下限値以下となった場合には、リセット信号としてのハイレベル信号を、メインマイコン１１のリセット入力端子Ｐｍ１へと出力する。これによりメインマイコン１１をリセット状態にする。なお、第１出力電圧Ｖ１が所定の第１電圧下限値よりも高い場合には、ローレベル信号を出力する。第１電圧監視部１５１ｃはコンパレータ等を用いて実現されれば良い。第１電圧監視部１５１ｃが請求項に記載の異常検出部に相当する。

第２電源回路１６は、車載バッテリ２から入力されるバッテリ電圧Ｖｂを、メインマイコン１１等の動作に適した所定の電圧に変換して出力する回路モジュールである。ここでは一例として第２電源回路１６の出力電圧の目標値（以降、第２目標電圧）は５．３Ｖに設定されているものとする。すなわち、本実施形態の第２電源回路１６は、バッテリ電圧Ｖｂ＝１２Ｖを第２目標電圧としての５．３Ｖに変換して出力する。第２目標電圧が請求項に記載の第２電圧に相当する。第２電源回路１６が５．３Ｖを出力する端子が請求項に記載の第２電圧出力端子に相当する。

また、第２電源回路１６は、車載バッテリ２から入力される電力に基づいて、５０ｍＡまでの電流を出力可能に構成されている。つまり、第２電源回路１６は、５．３Ｖ、５０ｍＡの電力を供給する内部電源として機能する。図２中に示すＶ２は、第２電源回路１６の出力電圧（以降、第２出力電圧）を表している。第２電源回路１６は、ＩＧＳＷ８がオンに設定されている場合に駆動し、第２出力電圧Ｖ２として５．３Ｖを出力する。

図４は第２電源回路１６の具体的な回路構成の一例を示す図である。図４に示すように第２電源回路１６は、第２電源ＩＣ１６１及び制御用付加回路１６２を備える。第２電源ＩＣ１６１は、所定の機能を提供する集積回路である。第２電源ＩＣ１６１は、電圧制御回路１６１ａ、及び第２電圧監視部１６１ｂを備える。

制御用付加回路１６２には、バッテリ電圧Ｖｂが入力される。前述の第２出力電圧Ｖ２は、制御用付加回路１６２の出力電圧である。制御用付加回路１６２は、電圧制御回路１６１ａと協働して、第２出力電圧Ｖ２が第１目標電圧となるようにバッテリ電圧Ｖｂを変換する。つまり、制御用付加回路１６２及び電圧制御回路１６１ａは、第１目標電圧としての５Ｖを生成する定電圧回路として機能する。なお、第２電源回路１６は、図４に示す構成以外の構成によって実現されていてもよい。第２電源回路１６は周知の回路構成を援用して実現されれば良い。

第２電圧監視部１６１ｂは、内部電源ラインＬｎに印加されている電圧の値を逐次取得する。そして、内部電源ラインＬｎに印加されている電圧が所定の第２電圧下限値以下となった場合に、当該事象を第２電源回路１６の異常動作として検出する。第２電圧監視部１６１ｂは、第１電圧監視部１５１ｃとは異なった基準で内部電源ラインＬｎに印加されている電圧を監視する構成である。

第２電圧下限値は、後述する実効第２電圧としての４．６Ｖよりも低い値に設定されていればよく、その具体的な値は適宜設計されれば良い。ここでは一例として第２電圧下限値は４．２Ｖに設定されている。

第２電圧監視部１６１ｂは、内部電源ラインＬｎに印加されている電圧が所定の第２電圧下限値以下となった場合には、リセット信号としてのハイレベル信号を、サブマイコン１２のリセット入力端子へと出力する。なお、内部電源ラインＬｎに印加されている電圧が所定の第２電圧下限値よりも高い場合には、ローレベル信号を出力する。第２電圧監視部１６１ｂはコンパレータ等を用いて実現されれば良い。

第２電源回路１６の電圧出力端子は、ダイオード１７を介して内部電源ラインＬｎと接続されている。ダイオード１７は、内部電源ラインＬｎから第２電源回路１６への電流の流入を防ぐための構成である。

ダイオード１７は、第２電源回路１６の出力端子側から内部電源ラインＬｎ側へと電流が流れるように、第２電源回路１６の出力端子と内部電源ラインＬｎとの間に設けられている。ダイオード１７は、通電時に所定量の電圧降下を生じさせる。一例として本実施形態のダイオード１７は、通電時に０．７Ｖの電圧降下を生じさせるものとする。ダイオード１７が請求項に記載の逆流阻止部に相当する。

第２出力電圧Ｖ２のほうが内部電源ラインＬｎに印加されている電圧よりも所定の電圧降下量以上高い場合に通電する。第２目標電圧は５．３Ｖに設定されているため、第２電源回路１６の出力電圧がダイオード１７によって電圧降下された後の電圧（以降、第２実効電圧）は、４．６Ｖとなる。つまり、第２実効電圧は、図５に示すように第１目標電圧としての５．０Ｖよりも低い。

故に、第１電源回路１５が正常に動作している場合には、ダイオード１７は通電しない。それに伴い、第２電源回路１６が出力する第２出力電圧Ｖ２は、実質的にメインマイコン１１やサブマイコン１２等の動作に利用されない。第１電源回路１５が正常に動作している場合、メインマイコン１１等は、第１電源回路１５が供給する電力によって動作する。なお、第２実効電圧が請求項に記載の第３電圧に相当する。

第２出力電圧Ｖ２は、分圧部１８にも入力される。分圧部１８は、入力電圧の半分の電圧を出力する構成である。例えば第２電源回路１６が５．３Ｖを出力している場合には、２．６５Ｖを出力する。分圧部１８は、周知の抵抗分圧回路等を用いて実現されれば良い。

なお、本実施形態では分圧部１８は、入力電圧の半分の値を出力するように構成されているものとするが、これに限らない。入力電圧に所定の比率αを乗じた電圧を出力するように構成されていればよい。比率αは、第２目標電圧に比率αを乗じた値が第１目標電圧よりも小さい値となる範囲において適宜設計されればよく、例えば０．３や０．８であってもよい。比率αは少なくとも１よりかは小さい値である。なお、本実施形態は、比率αを０．５に設定した構成に相当する。

メインマイコン１１は、第１通信ドライバ１３から提供されるデータに基づいて、所定の制御対象（ここでは電子スロットル３）についての制御目標量を決定するマイコンである。例えば、メインマイコン１１は、アクセルセンサ４によって検出されるアクセル操作量から、スロットルモータ３２の制御量を算出し、当該制御量を、第１通信ドライバ１３及びＬＡＮ７を介して電子スロットル３に出力する。

また、メインマイコン１１は、サブマイコン１２との双方向通信によってサブマイコン１２が正常に動作しているか否かを監視する。サブマイコン１２が正常に動作しているか否かは、ウォッチドッグタイマ方式や宿題回答方式などといった、周知の方法を用いて判定することができる。ウォッチドッグタイマ方式とは、ウォッチドッグタイマがサブマイコン１２から入力されるウォッチドッグパルスによってクリアされずに満了した場合に、サブマイコン１２が異常動作していると判定する方式である。

また、宿題回答方式とは、メインマイコン１１が予め定められた監視用の信号をサブマイコン１２に送るとともに、サブマイコン１２から返送されてきた回答が正解であるか否かによってサブマイコン１２が正常であるか否かを判定する方式である。宿題回答方式においてサブマイコン１２は、メインマイコン１１から入力される監視用信号に応じた応答データを生成してメインマイコン１１に返送する。メインマイコン１１は、サブマイコン１２から受け取った応答データが、送信した監視用信号に対応するデータと異なる場合、あるいは所定の制限時間内でメインマイコン１１から応答信号が返送されてこない場合に、サブマイコン１２は正常に動作していない（つまり異常動作している）と判定する。なお、メインマイコン１１は、サブマイコン１２の異常動作を検知した場合には、サブマイコン１２にリセットをかけるなどの所定の復帰処理を実行する。

メインマイコン１１の電源用端子は、内部電源ラインＬｎと接続されており、第１電源回路１５又は第２電源回路１６から供給される電力に基づいて動作する。また、メインマイコン１１のリセット入力端子Ｐｍ１は、第１電圧監視部１５１ｃの出力端子と接続されている。リセット入力端子は、リセット信号としてのハイレベル信号が入力された場合に、メインマイコン１１の動作を停止させて初期状態に戻すための入力端子である。

したがって、第１電圧監視部１５１ｃの出力信号がハイレベルとなっている場合には、メインマイコン１１は動作を停止する。なお、第１電圧監視部１５１ｃの出力信号がハイレベルとなる場合とは、第１出力電圧Ｖ１が第１電圧下限値以下となっている場合である。つまり、第１電源回路１５が故障している場合である。本実施形態におけるメインマイコン１１は、第１電源回路１５が故障している場合には動作が停止した状態となる。

サブマイコン１２は、メインマイコン１１との双方向通信により、メインマイコン１１が正常に動作しているか否かの監視（つまり状態監視）を実施する。メインマイコン１１が正常に動作しているか否かは、前述の通り周知の方法を援用して判定することができる。サブマイコン１２は、メインマイコン１１の異常動作を検出した場合には、メインマイコン１１にリセットをかけるなどの所定の処理を実行する。

サブマイコン１２の電源用端子は、内部電源ラインＬｎと接続されており、第１電源回路１５又は第２電源回路１６から供給される電力に基づいて動作する。また、サブマイコン１２のリセット入力端子Ｐｓ１は、第２電圧監視部１６１ｂの出力端子と接続されている。リセット入力端子は、リセット信号としてのハイレベル信号が入力された場合にサブマイコン１２の動作を停止させて初期状態に戻すための入力端子である。

したがって、第２電圧監視部１６１ｂの出力信号がハイレベルとなっている場合には、サブマイコン１２は動作を停止する。なお、第２電圧監視部１６１ｂの出力信号がハイレベルとなる場合とは、内部電源ラインＬｎに印加されている電圧が第２電圧下限値以下となっている場合である。内部電源ラインＬｎに印加されている電圧が第２電圧下限値以下となっている場合とは、第１電源回路１５と第２電源回路１６の両方に、出力電圧が低下するパターンの故障（以降、出力低下故障）が生じている場合に相当する。つまり、第１電源回路１５と第２電源回路１６の両方に出力低下故障が生じている場合に、第２電圧監視部１６１ｂの出力信号がハイレベルとなってサブマイコン１２がリセットされる。

また、サブマイコン１２の基準電圧入力端子Ｐｓ２は、内部電源ラインＬｎと接続されている。つまり、基準電圧入力端子Ｐｓ２には、内部電源ラインＬｎの印加電圧が入力される。さらに、サブマイコン１２のアナログ入力端子Ｐｓ３には、分圧部１８の出力電圧が入力される。つまり、アナログ入力端子Ｐｓ３には第２出力電圧Ｖ２を１／２倍した電圧が入力される。アナログ入力端子Ｐｓ３が請求項に記載のモニタ電圧入力端子に相当する。

このサブマイコン１２は、図６に示すように、アナログ入力端子Ｐｓ３に入力されている電圧をデジタル値に変換するアナログデジタル変換部（以降、ＡＤＣ：Analog-to-digital converter）１２１を備える。ＡＤＣ１２１は、基準電圧入力端子Ｐｓ２に入力されている電圧（つまり基準電圧）を基準としてアナログデジタル変換（以降、ＡＤ変換）を実施する。具体的には、ＡＤＣ１２１は基準電圧として５Ｖが入力されていることを前提として、ＡＤ変換を実施するものである。

ＡＤＣ１２１の分解能は適宜設計されればよい。例えばＡＤＣ１２１はアナログ入力端子Ｐｓ３に入力されている電圧を８ビットで表すものとする。便宜上以降では、アナログ入力端子Ｐｓ３に入力されている電圧をモニタ電圧と称する。アナログ入力端子Ｐｓ３は分圧部１８の出力と接続されているため、モニタ電圧は、第２出力電圧Ｖ２を１／２倍した電圧である。ＡＤＣ１２１によるモニタ電圧のＡＤ変換は逐次（例えば１００ミリ秒毎に）実施される。ＡＤＣ１２１によるモニタ電圧の読み取り値（換言すればＡＤ変換結果）は、後述する第１電源監視部Ｆ１や第２電源監視部Ｆ２に逐次提供される。

サブマイコン１２は、図６に示すように、機能ブロックとして第１電源監視部Ｆ１、第２電源監視部Ｆ２、及びフェールセーフ処理部Ｆ３を備える。第１電源監視部Ｆ１、第２電源監視部Ｆ２、及びフェールセーフ処理部Ｆ３は、ＣＰＵがＲＯＭに格納されている所定のプログラムを実行することにより（つまりソフトウェアとして）実現されている。もちろん、他の態様として第１電源監視部Ｆ１、第２電源監視部Ｆ２、及びフェールセーフ処理部Ｆ３の一部又は全部は、ＩＣ等を用いてハードウェアとして実現されていても良い。

第１電源監視部Ｆ１は、第２電源回路１６が正常に動作していることを前提として、ＡＤＣ１２１の読み取り値に基づいて、第１電源回路１５の異常動作を検出する機能ブロックである。なお、第１電源回路１５の異常動作を検出することは、第１電源回路１５が正常に動作しているか否かを判定することに相当する。第１電源監視部Ｆ１もまた請求項に記載の異常検出部に相当する。

第１電源回路１５と第２電源回路１６の両方が正常に動作している場合、基準電圧として設計通りの５Ｖが入力されるため、ＡＤＣ１２１は設計通りに動作し、読み取り値は、第２出力電圧Ｖ２の５．３Ｖを１／２倍した２．６５Ｖと一致するはずである。そのため、ＡＤＣ１２１の読み取り値を２倍した値は、第２目標電圧である５．３と一致することが期待される。なお、ここでの一致は完全な一致に限らない。第２目標電圧である５．３Ｖと読み取り値を２倍した値の差が、予め設定されている許容範囲内に収まっている場合も含む。許容範囲は、読み取り誤差や分圧部１８の分圧誤差に基づいて決定されればよい。

一方、第２電源回路１６が正常に動作している状態において、第１電源回路１５の出力電圧が５Ｖよりも低下している場合には、ＡＤＣ１２１は、モニタ電圧を実際の電圧値である２．６５Ｖよりも高い値に読み取ってしまう。基準電圧が設計値よりも低下しているにも関わらず、ＡＤＣ１２１は５Ｖを基準としてＡＤ変換するためである。例えば、第１出力電圧Ｖ１が４．６Ｖまで低下している場合、ＡＤＣ１２１は、モニタ電圧を２．６５／４．６×５＝２．８８Ｖと読み取ってしまう。その結果、読み取り値を２倍した値が５．７６Ｖとなり、第２目標電圧である５．３Ｖを超過する。

第１電源監視部Ｆ１は、ＡＤＣ１２１の読み取り値を２倍した値が、所定のモニタ電圧上限値よりも高い場合に、第１電源回路１５が異常動作（具体的には出力が低下）していると判定する。つまり、第１電源監視部Ｆ１は、ＡＤＣ１２１の読み取り値に基づいて第２出力電圧Ｖ２を特定し、その特定した電圧値がモニタ電圧上限値よりも高い場合に、第１電源回路が異常動作していると判定するものである。

モニタ電圧上限値としての具体的な値は、第２目標電圧よりも高い範囲において適宜設計されれば良い。ここでは一例としてモニタ電圧上限値は、５．５Ｖに設定されているものとする。もちろん、モニタ電圧上限値は、５．６Ｖや５．７Ｖなどであっても良い。モニタ電圧上限値は、第２目標電圧に所定の裕度を加えた値とすればよい。

第２電源監視部Ｆ２は、第１電源回路１５が正常に動作していることを前提として、ＡＤＣ１２１の読み取り値に基づいて、第２電源回路１６の異常動作を検出する機能ブロックである。なお、第２電源回路１６の異常動作を検出することは、第２電源回路１６が正常に動作しているか否かを判定することに相当する。

前述の通り、第１電源回路１５と第２電源回路１６の両方が正常に動作している場合、基準電圧として設計通りの５Ｖが入力されるため、ＡＤＣ１２１は設計通りに動作し、読み取り値は、第２出力電圧Ｖ２の５．３Ｖを１／２倍した２．６５Ｖと一致するはずである。そのため、ＡＤＣ１２１の読み取り値を２倍した値は、第２目標電圧である５．３と一致するはずである。

一方、第１電源回路１５が正常に動作している状態において、第２電源回路１６の出力電圧が５．３Ｖよりも低下している場合には、モニタ電圧も低下するため、ＡＤＣ１２１の読み取り値は２．６５Ｖよりも低い値となる。例えば、第２出力電圧Ｖ２が５．０Ｖまで低下している場合、ＡＤＣ１２１の読み取り値は２．５Ｖとなる。その結果、読み取り値を２倍した値は第２目標電圧である５．３Ｖよりも低い値（具体的には５．０Ｖ）となる。

第２電源監視部Ｆ２は、ＡＤＣ１２１の読み取り値を２倍した値が、所定のモニタ電圧下限値よりも高い場合に、第２電源回路１６が異常動作（具体的には出力低下）していると判定する。モニタ電圧下限値としての具体的な値は、第２目標電圧よりも低い範囲において適宜設計されれば良い。ここでは一例としてモニタ電圧下限値は、５．０Ｖに設定されているものとする。もちろん、モニタ電圧下限値は、４．９Ｖや４．７Ｖなどであっても良い。第２目標電圧から所定の裕度を減算した値とすればよい。なお、第２電源監視部Ｆ２は、第１電圧監視部１５１ｃや第１電源監視部Ｆ１によって第１電源回路１５の異常動作が検出された以降においては、動作を停止するものとする。第１電源回路１５が異常動作している場合には、５Ｖ以外の電圧が基準電圧入力端子Ｐｓ２に入力されるためである。

フェールセーフ処理部Ｆ３は、第１電圧監視部１５１ｃ及び第１電源監視部Ｆ１の少なくとも何れか一方が第１電源回路１５の異常動作を検出した場合に、所定のフェールセーフ処理を実行する。

例えばフェールセーフ処理部Ｆ３は、フェールセーフ処理として、スロットルモータ３２の駆動を停止させることによって、エンジンの動作を退避走行モードへと移行させる。退避走行モードは、エンジンの出力トルクを所定の抑制レベル以下に制限する動作モードである。退避走行モードによって、ユーザは車両を安全な場所まで走行させることができる。なお、サブマイコン１２が駆動回路を介してスロットルモータ３２と接続されている場合は、当該駆動回路の出力を遮断することで退避走行を実現してもよい。

また、フェールセーフ処理部Ｆ３は、フェールセーフ処理として、当該ＥＣＵ１に不具合が生じたことをＬＡＮ７に接続している他のＥＣＵに通知する。その他、フェールセーフ処理部Ｆ３は、フェールセーフ処理として、警告灯６を点灯させてもよい。警告灯６を点灯させることにより、ユーザに対してＥＣＵ１に不具合が生じたことを通知できる。フェールセーフ処理としてはその他、第１電源回路１５に異常が生じた時の状況を示す情報（例えば日時等）を書き換え可能な不揮発性メモリ１２２に記録してもよい。

なお、本実施形態の構成によれば、第１電圧監視部１５１ｃの検出結果は、サブマイコン１２には入力されない。しかしながら、第１電圧監視部１５１ｃが第１電源回路１５の異常動作を検出した場合にはメインマイコン１１の動作が停止する。そのため、フェールセーフ処理部Ｆ３は、メインマイコン１１の動作が停止したことに基づいて、第１電圧監視部１５１ｃが第１電源回路１５の異常動作を検出したことを認識することができる。なお、他の態様としてフェールセーフ処理部Ｆ３は第１電圧監視部１５１ｃの検出結果を取得できるように構成してもよい。

その他、サブマイコン１２は、ＩＧＳＷ８がオフとなった場合には、所定のシャットダウン処理を実行する。例えばサブマイコン１２は、シャットダウン処理として、次回起動時に必要なデータを不揮発性メモリ１２２に書き込んだり、ＲＡＭをクリアしたりする。

また、サブマイコン１２は、第２電源監視部Ｆ２が第２電源回路１６の異常動作を検出した場合には、第２電源回路１６が正常に動作しないことを示すデータ（以降、第２電源異常データ）を、不揮発性メモリ１２２に記録する。第２電源異常データは、発生日時を示すデータを含んでいることが好ましい。

このように不揮発性メモリ１２２に第２電源異常データを保存することによって、車両（特にＥＣＵ１）のメンテナンス等に役立てることができる。なお、サブマイコン１２は、第２電源監視部Ｆ２が第２電源回路１６の異常動作を検出した場合、第２電源回路１６に不具合が生じたことを他の当該ＥＣＵ１に対して通知してもよい。また、警告灯６を点灯させてもよい。

さらにサブマイコン１２は、ＩＧＳＷ８がオンとなってからオフになるまで、第２電源監視部Ｆ２によって第２電源回路１６の異常動作が検出されなかった場合には、第２電源回路１６が正常に動作することを示すデータ（以降、第２電源正常データ）を不揮発性メモリ１２２に記録してもよい。なお、仮に不揮発性メモリ１２２に第２電源正常データを保存するように構成する場合には、サブマイコン１２は、起動時に初期化処理の一環として不揮発性メモリ１２２に保存されている第２電源正常データをクリア（換言すれば削除）することが好ましい。

本実施形態におけるサブマイコン１２はメインマイコン１１に比べて実行すべき演算処理が少なく設計されている。そのため、サブマイコン１２の駆動に必要な電流は、メインマイコン１１の駆動に必要な電流よりも少ない。また、第１電源故障時にはメインマイコン１１は動作を停止するため、電流を消費しない。よって、第２電源回路１６の電流供給能力を第１電源回路１５の電流供給能力よりも低く設計することができる。

＜第１電源回路１５故障時の作動について＞
次に図７に示すタイムチャートを用いてＥＣＵ１が起動時、及び、第１出力電圧Ｖ１が第１電圧下限値以下となった時の、各構成要素の作動について説明する。図７に示すＴ１０は、ＩＧＳＷ８がオンとなったタイミングを表しており、Ｔ１２は、第１出力電圧Ｖ１が第１電圧下限値以下となったタイミングを表している。

図７中の（Ａ）はＩＧ電源ラインの印加電圧、換言すればＩＧＳＷ８のオン／オフ状態を表している。（Ｂ）、（Ｃ）は、第１電源回路１５、第２電源回路１６の出力電圧を表しており、（Ｄ）は内部電源ラインＬｎに印加されている電圧、換言すれば各マイコンに入力されている電圧を表している。（Ｅ）、（Ｆ）は、第１電圧監視部１５１ｃ、第２電圧監視部１６１ｂの出力レベルを表している。（Ｇ）、（Ｈ）はメインマイコン１１、サブマイコン１２の動作状態を表している。

まずは、ＥＣＵ１の起動時の各構成要素の作動について説明する。ＥＣＵ１はＩＧＳＷ８がオンとなった場合に起動する。図７に示すように時刻Ｔ１０においてＩＧＳＷ８がオンに設定されると、第１電源回路１５及び第２電源回路１６が起動し、それぞれ所定の目標電圧を出力し始める。すなわち、第１電源回路１５は第１目標電圧としての５．０Ｖを出力するとともに、第２電源回路１６は第２目標電圧としての５．３Ｖを出力する。

前述の通り、第２実効電圧は、正常に動作している第１電源回路１５の出力電圧よりも低い。そのため、第１電源回路１５が正常に動作している場合、内部電源ラインＬｎには（Ｄ）に示すように第１電源回路１５が生成する５Ｖが印加される。第１電源回路１５や第２電源回路１６の立ち上がりに伴って、メインマイコン１１及びサブマイコン１２は起動する。第１電源回路１５が正常に動作している場合（つまり健全である場合）、メインマイコン１１とサブマイコン１２の両方が動作する。

また、時刻Ｔ１２において第１出力電圧Ｖ１が第１電圧下限値以下となった場合、（Ｅ）に示すように、第１電圧監視部１５１ｃがリセット信号としてのハイレベル信号を出力し始める。そのため、時刻Ｔ１２以降において、メインマイコン１１はリセット状態が保持され、実質的に動作を停止する。

また、第１出力電圧Ｖ１が４．６Ｖ未満まで低下した場合には、ダイオード１７が通電し、第２電源回路１６が生成する電力が内部電源ラインＬｎに供給され始める。これにより、内部電源ラインＬｎには、実効第２電圧が印加された状態が維持される。

つまり、第１電源回路１５に出力低下故障が生じた場合、メインマイコン１１は第１電圧監視部１５１ｃが出力するリセット信号によって動作を停止する一方、サブマイコン１２は第２電源回路１６が提供する電力によって動作を継続する。フェールセーフ処理部Ｆ３は、メインマイコン１１の動作が停止したことに基づいて、第１電源回路１５の異常動作を認識し、フェールセーフ処理を実行する。

また、本実施形態では第１電源回路１５の故障時にはメインマイコン１１にリセット信号を入力した状態を維持することによって、実質的にメインマイコン１１の動作を停止される。つまり、第１電源回路１５の異常検出以降においては、ＥＣＵ１内において電力を必要とする構成が減る。

そのため、第２電源回路１６の電流供給能力を第１電源回路１５の電流供給能力よりも低く設計することができる。当然、電流供給能力を低下させるほど、第２電源回路１６をより安価に実現することができる。上記構成によれば、第２電源回路１６をより安価に実現することができる。

特に、本実施形態のサブマイコン１２はメインマイコン１１に比べて実行すべき演算処理が少なくなるように設計されているため、消費電流もまた、メインマイコン１１よりも少ない。よって、第２電源回路１６の電流供給能力をより一層低減でき、より安価に第２電源回路１６を実現することができる。なお、第１電源回路１５の故障に起因してメインマイコン１１が停止しても、種々のフェールセーフ処理はサブマイコン１２によって実行されるため、従来と同様の安全性を担保することができる。

＜第２電源回路１６故障時の作動について＞
次に図８に示すフローチャートを用いて、ＥＣＵ１動作中に、第２電源回路１６に出力電圧が第１電圧下限値以下へと低下するパターンの故障（つまり出力低下故障）が生じた場合の、各構成要素の作動について説明する。図８に示すＴ２０は、第２出力電圧Ｖ２が５．０Ｖまで低下したタイミングを表している。図８中の（Ａ）〜（Ｈ）は、図７における（Ａ）〜（Ｈ）と同様の構成要素の作動を表している。

本実施形態の構成によれば、第１電源回路１５が健全である場合、内部電源ラインＬｎには第１電源回路１５が生成している電圧が印加されている。そのため、第２電源回路１６に出力低下故障が生じた場合であっても、（Ｄ）に示すように内部電源ラインＬｎには第１目標電圧としての５．０が印加された状態が維持される。

その結果、第２電源回路１６に生じた出力低下故障は、第１電圧監視部１５１ｃや第１電源監視部Ｆ１によっては検出されない。つまり、第２電源回路が故障しても、その故障によってフェールセーフ処理が実行されることはない。故に、電源回路の故障に伴うフェールセーフ処理の実行頻度を低減することができる。

なお、時刻Ｔ２０において第２出力電圧Ｖ２が５．０Ｖ以下となった場合、第２電源監視部Ｆ２が、当該電圧挙動を第２電源回路１６の異常動作として検出する。その結果、不揮発性メモリ１２２には、第２電源異常データが記録される。

以上、本発明の実施形態を説明したが、本発明は上述の実施形態に限定されるものではなく、以降で述べる種々の変形例も本発明の技術的範囲に含まれ、さらに、下記以外にも要旨を逸脱しない範囲内で種々変更して実施することができる。

なお、前述の実施形態で述べた部材と同一の機能を有する部材については、同一の符号を付し、その説明を省略する。また、構成の一部のみに言及している場合、他の部分については先に説明した実施形態の構成を適用することができる。

［変形例１］
第１電圧監視部１５１ｃは、監視対象とする電圧（つまり第１出力電圧Ｖ１）がマイコン動作電圧の上限値以上となった場合にリセット信号を出力するように構成されていても良い。第２電圧監視部１６１ｂも同様に、内部電源ラインＬｎに印加されている電圧がマイコン動作電圧の上限値以上となった場合にリセット信号を出力するように構成されていても良い。

［変形例２］
サブマイコン１２は、メインマイコン１１との通信によって、メインマイコン１１の動作を停止させることができるように構成されていることが好ましい。例えば、サブマイコン１２は、メインマイコン１１にリセット信号を入力可能に構成されていることが好ましい。そのような構成によれば、第１電源監視部Ｆ１が第１電源回路１５の異常動作を検出した場合には、メインマイコン１１の動作を停止させる制御信号をメインマイコン１１に出力し、メインマイコン１１を停止させることができる。

［変形例３］
フェールセーフ処理部Ｆ３は、メインマイコン１１が備えていても良い。また、メインマイコン１１とサブマイコン１２のそれぞれがフェールセーフ処理部Ｆ３に相当とする機能を備えていてもよい。メインマイコン１１が実行するフェールセーフ処理の内容と、サブマイコン１２が実行するフェールセール処理の内容は同一であってもよいし、異なるものであってもよい。フェールセーフ処理の具体的な内容や、フェールセーフ処理を実行する条件は適宜設計されればよい。

［変形例４］
上述した実施形態では、サブマイコン１２は、退避走行などの限定的な車両制御機能のみを備えるものとしたが、これに限らない。サブマイコン１２は、メインマイコン１１と同様の制御機能を提供するものであってもよい。

［変形例５］
以上では、請求項に記載の異常検出部として、第１電圧監視部１５１ｃと第１電源監視部Ｆ１の２つの構成を備える態様を開示したが、これに限らない。第１電圧監視部１５１ｃと第１電源監視部Ｆ１の何れか一方のみを備える構成を採用しても良い。また、第２電源監視部Ｆ２は任意の要素である。

１ ＥＣＵ（電子制御装置）、２ 車載バッテリ、３ 電子スロットル、８ イグニッションスイッチ、１１ メインマイコン、１２ サブマイコン、１３ 第１通信ドライバ、１４ 第２通信ドライバ、１５ 第１電源回路、１６ 第２電源回路、１７ ダイオード（逆流阻止部）、１８ 分圧部、１２１ ＡＤＣ（アナログデジタル変換部）、１２２ 不揮発性メモリ、１５１ｃ 第１電圧監視部（異常検出部）、１６１ｂ 第２電圧監視部、Ｆ１ 第１電源監視部（異常検出部）、Ｆ２ 第２電源監視部、Ｆ３ フェールセーフ処理部、Ｌｎ 内部電源ライン、Ｐｓ３ アナログ入力端子（モニタ電圧入力端子）

Claims (7)

1. 車両に搭載されたセンサから入力されるデータに基づいて前記車両に搭載されている所定のアクチュエータの動作を制御するマイクロコンピュータであって、所定の動作電圧範囲が設定されている制御マイコン（１１、１２）と、
   前記制御マイコンに電力を供給する電源回路として、前記車両に搭載されている電源装置から供給される電圧を前記動作電圧範囲に含まれる所定の第１電圧に変換し、前記制御マイコンに電力を供給するための電源ラインである内部電源ライン（Ｌｎ）に出力する第１電源回路（１５）と、
   前記内部電源ラインに印加されている電圧に基づいて前記電源回路の異常動作を検出する異常検出部（１５１ｃ、Ｆ１）と、
   前記電源回路として、前記電源装置から供給される電圧を所定の第２電圧に変換して出力する第２電源回路（１６）と、
   前記異常検出部が前記電源回路の異常動作を検出した場合に所定のフェールセーフ処理を実行するフェールセーフ処理部（Ｆ３）と、を備え、
   前記第２電源回路が前記第２電圧を出力する第２電圧出力端子は、逆流阻止部を介して前記内部電源ラインと接続されており、
   前記逆流阻止部は、前記第２電源回路から前記内部電源ラインへと向かう方向には電流を流す一方、前記内部電源ラインから前記第２電源回路へと向かう方向には電流を流さず、かつ、通電時には所定量の電圧降下を生じさせるものであり、
   前記第２電圧は、前記第２電圧から前記逆流阻止部による電圧降下分を減算した電圧値が、前記第１電圧よりも低く、かつ、前記動作電圧範囲の下限値よりも高い第３電圧となるように設定されていることを特徴とする電子制御装置。
2. 請求項１において、
   前記制御マイコンは、
   前記第２電圧出力端子の出力電圧に応じた電圧が入力されるモニタ電圧入力端子（Ｐｓ３）と、
   前記モニタ電圧入力端子に入力されている電圧が所定のモニタ電圧下限値よりも低い場合に、前記第２電源回路が異常動作していると判定する第２電源監視部（Ｆ２）と、を備えることを特徴とする電子制御装置。
3. 請求項２において、
   不揮発性の書き換え可能な記憶媒体である不揮発性メモリ（１２２）を備え、
   前記不揮発性メモリには、前記第２電源回路が異常動作していると前記第２電源監視部が判定した場合には、前記第２電源回路が正常に動作しないことを示すデータが記録されることを特徴とする電子制御装置。
4. 請求項１から３の何れか１項において、
   前記制御マイコンは、
   前記第２電圧出力端子の出力電圧に応じた電圧が入力されるモニタ電圧入力端子（Ｐｓ３）と、
   前記内部電源ラインに印加されている電圧を基準として、前記モニタ電圧入力端子に入力されている電圧をデジタル値に変換するアナログデジタル変換部（１２１）と、を備え、
   さらに前記制御マイコンは、前記異常検出部として、前記アナログデジタル変換部の変換結果に基づいて前記第２電圧出力端子の出力電圧を特定し、その特定した出力電圧が所定のモニタ電圧上限値よりも高い場合に、前記第１電源回路が異常動作していると判定する第１電源監視部を備えることを特徴とする電子制御装置。
5. 請求項４において、
   前記制御マイコンとして第１マイコンと第２マイコンを備え、
   前記第１マイコンと前記第２マイコンは双方向通信可能に構成されており、
   前記第２マイコンが、前記フェールセーフ処理部、前記モニタ電圧入力端子、前記アナログデジタル変換部、及び前記第１電源監視部を備え、
   前記第２マイコンは、前記第１電源監視部によって前記第１電源回路が異常動作していると判定されている場合には、前記第１マイコンとの通信によって前記第１マイコンの動作を停止させることを特徴とする電子制御装置。
6. 請求項１から４の何れか１項において、
   前記制御マイコンとして第１マイコンと第２マイコンを備え、
   前記第２マイコンが前記フェールセーフ処理部を備え、
   前記内部電源ラインに印加されている電圧が、前記第１電圧よりも低く、かつ、前記第３電圧よりも高い所定の第１電圧下限値よりも低下していることを、前記電源回路の異常動作として検出する第１電圧監視部を備え、
   前記異常検出部によって前記第１電源回路が異常動作していると判定されている場合には前記第１マイコンの動作を停止するように構成されていることを特徴とする電子制御装置。
7. 請求項１から６の何れか１項において、
   前記逆流阻止部は、ダイオードであることを特徴とする電子制御装置。

Images