JP7614860B2 - 車両用電子制御装置 - Google Patents

Description

本発明は、車両ネットワークに接続され、複数の電子制御装置間で通信を行う車両用電子制御装置に関する。

特許文献１には、簡素な構成でタイムアウトエラーの誤判定を抑制する、車両制御システムの通信エラー判定装置が記載されている。この特許文献１に開示されているシステムでは、複数のＥＣＵ（Electronic Control Unit）がＣＡＮ（Controller Area Network）で通信を行い、各々のＥＣＵが起動したタイミングでトリガーフレームを送信し、当該トリガーフレームを起点として通信エラー判定を行うことで、各ＥＣＵの起動時間の差による通信エラーの誤判定を抑制している。

特開２０１０－１３６５４４号公報

ところで、ＥＣＵの起動処理において、起動のトリガからマイコンの初期設定が完了し、通信データの送受信が可能となるまでの処理状態遷移のルートが複数存在する場合、遷移ルートによっては起動のトリガから通信データの送受信可能となるまでの時間に大きな差が生ずることがある。例えば、起動時間が最短の遷移ルートで起動したＥＣＵ１と、最長の遷移ルートで起動したＥＣＵ２においては、ＥＣＵ１のＣＡＮ送信データに対してＥＣＵ２がＡＣＫ（ACKnowledgement）を返さない。このため、ＥＣＵ１の送信エラーカウンタがカウントアップしてしまう。また、ＥＣＵ２からのＣＡＮ送信が行われないため、ＥＣＵ１がＣＡＮ未受信異常と判断する可能性がある。

更に、一般に、車両用電子制御装置では、イグニッションオンの際に、各種の自己・相互診断を実行している。この診断中に、通信が停止されている状態が長く続くと、車両に搭載された電子制御装置間の相互通信が異常状態と判断され、実際には正常な装置が異常状態として扱われる可能性がある。特に、複数のＣＰＵにより実現される機能の診断では、全体の確認が遅れるため、このような問題が生じる可能性が高まる。

本発明は上記のような事情に鑑みてなされたもので、その目的とするところは、起動時の意図しない通信異常や誤診断を抑制することができる車両用電子制御装置を提供することにある。

本発明の一態様に係る車両用電子制御装置は、車両に搭載された他の電子制御装置との間で通信を行う通信機能と、前記車両のイグニッションスイッチのオン時に自己診断を行い、所定時間通信がない場合に通信エラーと判定する判定機能と、を有する車両用電子制御装置であって、イグニッションオンになった場合に、パワーオンリセットを行った後、起動処理を実行し、通常起動ルートか否か、シャットダウン復帰起動ルートか否かに応じたウェイト時間を設定し、ウェイト時間経過後に通信を含む通常制御を行う。あるいはイグニッションオンになった場合に、パワーオンリセットを行った後、起動処理を実行し、起動パス毎に設定された適合値をＴｉｎｉｔ、パワーオンリセットが開始されてからリセット処理が完了するまでの時間をＴｈ、ソフトウェアの起動時間をＴｓとしたときに、「Ｔｉｎｉｔ＝Ｔｈ＋Ｔｓ」を取得して適合値を設定し、通常制御が開始されてから適合値により調整された所定時間経過した後に通信が可能となる、ことを特徴とする。

本発明によれば、遷移ルート（起動パス）により起こり得る長い起動時間を基に電子制御装置の相互通信を開始するタイミングを予め調整し、遷移ルートが異なる複数の電子制御装置の起動タイミングを近づけるようにすることで、機器間の相互通信を成立させながら起動時の意図しない通信異常や誤診断を抑制することができる。

本発明の実施形態に係る車両用電子制御装置が用いられる車両制御システムの概略構成を示すブロック図である。 従来の車両用電子制御装置における起動トリガから通信可能となるまでの参考例のタイムチャートである。 本発明の第１の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのタイムチャートである。 本発明の第１の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのフローチャートである。 本発明の第２の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのタイムチャートである。 本発明の第２の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのフローチャートである。

以下、本発明の実施形態について図面を参照して説明する。
図１は、本発明の実施形態に係る車両用電子制御装置が用いられる車両制御システムの概略構成を示している。ここでは、説明を簡単にするために二つの電子制御装置１００Ａ，１００Ｂが相互に通信し、車両のアクチュエータ５０２を駆動制御する構成を例示しているが、複数の電子制御装置が車両ネットワークに接続され、これらの電子制御装置が相互に通信を行って車両を制御する構成の車両制御システムに適用できる。

電子制御装置１００Ａは、メインユニット２００、サブユニット３００、及びＣＡＮ通信回路４００などを備えている。他の電子制御装置１００Ｂも、電子制御装置１００Ａと同様な構成になっている。
メインユニット２００は、メインプロセッサ、制御ユニット、あるいはメインＣＰＵ等として機能するもので、車両のアクチュエータ５０２を駆動制御すると共に、他の電子制御装置１００Ｂとの間でＣＡＮ通信回路４００を介してＣＡＮ通信を行うユニットである。

サブユニット３００は、サブプロセッサ、監視ユニット、あるいはサブＣＰＵ等として機能するもので、メインユニット２００の監視（診断）を行うユニットである。このサブユニット３００は、メインユニット２００の異常を検出したときに、メインユニット２００が制御するアクチュエータ５０２への電源供給ラインをスイッチングするリレー５０１をオフしてアクチュエータ５０２の駆動を停止し、また、係るアクチュエータ５０２の駆動停止に同期してＣＡＮ通信回路４００をディセーブル（Disable）状態にしてＣＡＮ通信を停止させる。
これらメインユニット２００とサブユニット３００は、ＲＯＭ、ＲＡＭ、ＣＰＵなどを含むプロセッサコアをそれぞれ有する。

ＣＡＮ通信回路（通信ユニット）４００は、ＯＲ回路４０１とＣＡＮトランシーバ４０２とを備える。ＯＲ回路（論理演算部）４０１には、メインユニット２００からのＣＡＮコントロール信号ＮＣＳと、リレー駆動回路５００のオン／オフを制御するリレー制御信号ＲＣＳとが入力される。ＣＡＮトランシーバ４０２は、ＯＲ回路４０１がハイレベル信号（イネーブル（Enable）信号）を出力するときにイネーブル（有効）状態、つまりＣＡＮ通信可能な状態となり、ＯＲ回路４０１がローレベル信号（ディセーブル信号）を出力するときにディセーブル（無効）状態、つまりＣＡＮ通信停止状態となる。

なお、ＣＡＮコントロール信号ＮＣＳは、ＣＡＮ通信を可能とする（ＣＡＮトランシーバ４０２をイネーブル状態とする）指令の場合にハイレベル信号として出力され、リレー制御信号ＲＣＳは、リレー５０１をオンさせる場合（アクチュエータ５０２に電源供給する場合）にハイレベル信号として出力される。また、リレー駆動回路５００は、リレー制御信号ＲＣＳがハイレベル信号であるときにリレー５０１をオン（閉成状態、電源供給状態）にする。

そして、ＣＡＮコントロール信号ＮＣＳとリレー制御信号ＲＣＳとの少なくとも一方がハイレベル信号であるときに、ＯＲ回路４０１はハイレベル信号を出力する。これにより、ＣＡＮトランシーバ４０２がイネーブル状態となってＣＡＮ通信回路４００によるＣＡＮ通信が可能となる。このとき、ＣＡＮ通信回路４００は、電子制御装置１００Ｂからの受信信号ＲＸをメインユニット２００に送信し、メインユニット２００からの送信信号ＴＸを電子制御装置１００Ｂに向けて送信する。

一方、ＣＡＮコントロール信号ＮＣＳ及びリレー制御信号ＲＣＳが共にローレベル信号であるときに、ＯＲ回路４０１はローレベル信号を出力する。これにより、ＣＡＮトランシーバ４０２がディセーブル状態となってＣＡＮ通信回路４００によるＣＡＮ通信が停止され、電子制御装置１００Ｂからの受信信号ＲＸはメインユニット２００に送信されず、また、メインユニット２００からの送信信号ＴＸが電子制御装置１００Ｂに向けて送信されない状態となる。

換言すれば、リレー５０１をオフする指令に基づきリレー制御信号ＲＣＳがローレベルに設定されていても、メインユニット２００からハイレベルのＣＡＮコントロール信号ＮＣＳを出力することで、リレー制御信号ＲＣＳによるＣＡＮ通信の停止指令が無効とされ、ＣＡＮ通信回路４００によるＣＡＮ通信を可能とすることができるように構成されている。

また、メインユニット２００からローレベルのＣＡＮコントロール信号ＮＣＳが出力されているときには、リレー制御信号ＲＣＳに応じてＣＡＮトランシーバ４０２のディセーブル状態、イネーブル状態が切り替えられ、リレー制御信号ＲＣＳがローレベルになることで、リレー５０１（リレー駆動回路５００）がオフされてアクチュエータ５０２の駆動が停止され、係るアクチュエータ５０２の駆動停止に同期してＣＡＮトランシーバ４０２がディセーブル状態に切り替わってＣＡＮ通信回路４００によるＣＡＮ通信が停止される。

後述するように、リレー制御信号ＲＣＳは、メインユニット２００のプロセッサの異常が検出されたときにローレベルに設定されるよう構成されており、プロセッサに異常が発生したときに、アクチュエータ５０２の駆動を停止しかつＣＡＮ通信を停止することで、車両を安全側に制御するフェイルセーフが実施される。

サブユニット３００は、例えば例題演算方式でメインユニット（プロセッサ）２００の演算機能の異常を診断（監視）する演算機能監視部３０１と、メインユニット２００におけるリレー５０１の診断結果を示す信号に基づいてリレー５０１のオン／オフを制御する信号を出力するリレー出力部３０２と、演算機能監視部３０１の出力を入力するＮＯＴ回路（インバータ回路）３０４と、ＮＯＴ回路３０４の出力及びリレー出力部３０２の出力を入力するＡＮＤ回路３０５とを備える。
演算機能監視部３０１は、メインユニット２００に向けて例題を出力し、この例題に従ってメインユニット２００が演算した結果である回答データを入力し、回答データと期待値とを照合することで、メインユニット２００の演算機能が正常であるか異常であるかを診断する。

演算機能監視部３０１におけるメインユニット２００の診断結果を示す信号は、ＮＯＴ回路３０４によって反転されてＡＮＤ回路３０５の一方の入力端子に入力される。
ここで、演算機能監視部３０１は、メインユニット２００の演算機能が正常であればローレベル信号を出力し、メインユニット２００の演算機能が異常であればハイレベル信号を出力する。従って、メインユニット２００の演算機能が正常であればハイレベル信号がＡＮＤ回路３０５に入力され、メインユニット２００の演算機能が異常であればローレベル信号がＡＮＤ回路３０５に入力されることになる。

リレー出力部３０２は、メインユニット２００におけるリレー５０１の診断結果を示す信号を入力し、診断結果が正常であってリレー５０１をオンする場合にはハイレベル信号を出力し、診断結果が異常であってリレー５０１をフェイル処理としてオフする場合にはローレベル信号を出力する。そして、リレー出力部３０２は、ＡＮＤ回路３０５の他方の入力端子にリレー５０１の正常、異常に応じた信号を出力する。

従って、サブユニット３００の演算機能監視部３０１がメインユニット２００の演算機能が正常であると診断し、かつ、リレー５０１は正常であるとメインユニット２００が診断してリレー５０１のオンを指令する場合に、ＡＮＤ回路３０５の２つの入力が共にハイレベル信号となりＡＮＤ回路３０５はハイレベル信号を出力する。

一方、演算機能監視部３０１がメインユニット２００の異常状態を判定した場合には、ＡＮＤ回路３０５の一方の入力信号がローレベル信号になることで、ＡＮＤ回路３０５はローレベル信号を出力する。
また、メインユニット２００がリレー５０１は異常であると診断してリレー５０１のオフを指令する場合に、ＡＮＤ回路３０５の一方の入力信号がローレベル信号になることで、ＡＮＤ回路３０５はローレベル信号を出力する。

サブユニット３００は、ＡＮＤ回路３０５の出力を外部のＡＮＤ回路６００の一方の入力端子に出力する。
ＡＮＤ回路６００の他方の入力端子にはリレー出力部７００の出力が入力される。リレー出力部７００には、メインユニット２００の自己診断部２０３の出力が入力される。

自己診断部２０３は、メインユニット２００が正常であればローレベル信号をリレー出力部７００に出力し、メインユニット２００が異常であればハイレベル信号をリレー出力部７００に出力する。
そして、リレー出力部７００は、自己診断部２０３の出力がローレベル信号であるときにハイレベル信号をＡＮＤ回路６００に出力し、自己診断部２０３の出力がハイレベル信号であるときにローレベル信号をＡＮＤ回路６００に出力する。

つまり、リレー出力部７００は、メインユニット２００における自己診断の結果が正常である場合にハイレベル信号を出力し、メインユニット２００における自己診断の結果が異常である場合にはフェイル処理としてのリレー５０１のオフを実行すべくローレベル信号を出力する。
ＡＮＤ回路６００の他方の入力端子にはリレー出力部７００の出力が入力されるから、演算機能監視部３０１がメインユニット２００の正常を診断しかつメインユニット２００におけるリレー５０１の診断結果が正常である場合であってＡＮＤ回路６００の一方の入力端子にハイレベル信号が入力される場合であっても、メインユニット２００の自己診断結果が異常でリレー出力部７００の出力がローレベルであれば、ＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）はローレベルになる。

このように、演算機能監視部３０１がメインユニット２００の正常を診断し、かつ、メインユニット２００におけるリレー５０１の診断結果が正常で、かつ、メインユニット２００の自己診断結果が正常である場合に、ＡＮＤ回路６００の出力であるリレー制御信号ＲＣＳはハイレベル信号になる。
一方、演算機能監視部３０１がメインユニット２００の異常を診断した場合、メインユニット２００がリレー５０１の異常を診断した場合、メインユニット２００の自己診断結果が異常である場合は、ＡＮＤ回路６００の出力であるリレー制御信号ＲＣＳはローレベル信号になる。

リレー駆動回路５００は、ＡＮＤ回路６００の出力（リレー制御信号ＲＣＳ）がハイレベル信号であるときにリレー５０１をオン（閉成状態）に駆動し、ＡＮＤ回路６００の出力がローレベル信号であるときにリレー５０１をオフ（開成状態）に駆動する。
リレー５０１は、オン（閉成状態）であるときにアクチュエータ５０２へ電源電力を供給し、オフ（開成状態）であるときにアクチュエータ５０２への電源電力の供給を遮断する。
なお、リレー５０１として、電磁リレーを用いることができ、また、ＭＯＳＦＥＴなどの半導体リレーを用いることができる。また、アクチュエータ５０２は、例えば、ソレノイドやモータなどである。

上記構成により、演算機能監視部３０１がメインユニット２００の異常を診断した場合、メインユニット２００がリレー５０１の異常を診断した場合、メインユニット２００の自己診断結果が異常である場合に、リレー制御信号ＲＣＳがローレベルになる。これによって、リレー５０１がオフされてアクチュエータ５０２への電源電力の供給が遮断される。
更に、リレー制御信号ＲＣＳはＯＲ回路４０１に出力されるから、ＣＡＮコントロール信号ＮＣＳがローレベルである状態でリレー制御信号ＲＣＳがローレベルに切り替わればアクチュエータ５０２の駆動停止に同期してＣＡＮ通信回路４００によるＣＡＮ通信が停止されることになる。

但し、メインユニット２００からハイレベルのＣＡＮコントロール信号ＮＣＳが出力されている状態では、リレー制御信号ＲＣＳがローレベルになってもＣＡＮ通信回路４００によるＣＡＮ通信は可能な状態に保持される。
なお、リレー制御信号ＲＣＳをローレベルにする条件は、上記の診断結果に限定されるものではない。例えば、メインユニット２００がサブユニット３００を監視し、サブユニット（プロセッサ）３００の異常を検出したときに、リレー制御信号ＲＣＳをローレベルに制御することができる。

メインユニット２００は、サブユニット３００の演算機能監視部３０１からの例題データを受信し、受信した例題を演算して回答を演算機能監視部３０１に出力する例題演算部（ＡＬＵ診断部）２０１を備えている。
また、メインユニット２００は、リレー５０１の診断（閉固着、開固着異常などの診断）を行うリレー診断部２０２を備え、このリレー診断部２０２は、サブユニット３００のリレー出力部３０２に診断結果を示す信号、換言すれば、リレー５０１のオン／オフ指令信号を出力する。

また、メインユニット２００は、自己診断部２０３を備える。この自己診断部２０３は、車両のイグニッションスイッチのオン時に自己診断を行い、所定時間通信がない場合に通信エラーと判定する判定機能を有する。更に、この自己診断部２０３は、タイマ／クロック診断、タスク実行周期診断、Ａ／Ｄ変換診断、電源回路診断、ＣＰＵ機能診断などの各種の自己診断を実施し、診断結果を示す信号を外部のリレー出力部７００に出力する。

更に、メインユニット２００は、ＣＡＮ通信回路４００のＯＲ回路４０１に対してＣＡＮコントロール信号ＮＣＳを出力するＣＡＮコントロール部２０４、ＣＡＮ通信回路４００を介して受信信号ＲＸを受信しＣＡＮ通信回路４００に向けて送信する送信信号ＴＸ（ＣＡＮデータ）を生成するＣＡＮ通信部２０５を備える。

図２は、従来の車両用電子制御装置における起動トリガから通信可能となるまで、すなわち、車両のメインスイッチであるイグニッションスイッチがオンされて電源が投入され、電子制御装置が通信データの送受信可能となるまでの参考例のタイムチャートを示している。
まず、時刻ｔ０にイグニッションスイッチがオンしてイグニッション信号ＩＧＮＳＷがハイレベルになると、このイグニッションスイッチのオンから、メインユニット２００及びサブユニット３００のパワーオンリセットが開始され、リセット処理が完了する時間Ｔｈ［ｓ］経過後の時刻ｔ１に、パワーオンリセット信号ＲＥＳＥＴがハイレベルになってリセットが解除される。この時刻ｔ１に起動処理が開始され、ソフトウェアの起動時間をＴｓ［ｓ］とすると、時刻ｔ２に起動処理が終了し、通常制御が開始されてＣＡＮ通信が可能となる。

ここで、時刻ｔ０～ｔ２間の期間が最長起動時間Ｔｍａｘであり、「Ｔｍａｘ＝Ｔｈ＋Ｔｓ」である。時間Ｔｈは電子制御装置のハードウェア構成により決定され、時間Ｔｓは電子制御装置のソフトウェアと、起動パスに介在される他の電子制御装置のソフトウェアによって決定される。時間Ｔｓは、ソフトウェアのバージョンによっても異なる。

図３は、本発明の第１の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのタイムチャートである。図２と比較すれば明らかなように、本実施形態では、電子制御装置の起動処理と通常制御との間に、ウェイト時間（待ち時間）を設け、起動後にＣＡＮ通信を含む通常制御を開始するタイミングを予め設定（調整）している。

すなわち、時刻ｔ１０にイグニッションスイッチがオンしてイグニッション信号ＩＧＮＳＷがハイレベルになると、このイグニッションスイッチのオンから、メインユニット２００及びサブユニット３００のパワーオンリセットが開始され、リセット処理が完了する時間Ｔｈ［ｓ］経過後の時刻ｔ１１に、パワーオンリセット信号ＲＥＳＥＴがハイレベルになってリセットが解除される。この時刻ｔ１１に起動処理が開始され、ソフトウェアの起動時間をＴｓ［ｓ］とすると、時刻ｔ１２に起動処理が終了する。時刻ｔ１２に起動処理が終了すると、時刻ｔ１３まではウェイト時間となる。ウェイト時間は、例えば各々の遷移ルートにおける処理時間を予め計測しておき、この差分から算出する。このウェイト時間は、車両制御システムに搭載された電子制御装置のうち、イグニッションオンから複数の起動パスを経由してＣＡＮ通信を開始するまでの時間が最も長い最長起動時間Ｔｍａｘとなるように設定する。そして、時刻ｔ１３にウェイト時間が終了すると、通常制御が開始されてＣＡＮ通信が可能となる。

このように起動処理を最長起動時間Ｔｍａｘまで延長することで、起動時間Ｔｗａｉｔを一定化することができる。換言すれば、車両制御システムに搭載されている複数の電子制御装置の起動を、起動トリガからＣＡＮ通信可能となるまでの時間が最も遅い電子制御装置の起動時間に揃えることができる。
なお、起動時間Ｔｗａｉｔは、「Ｔｗａｉｔ＝Ｔｍａｘ－Ｔｈ」で表すことができ、例えばメインユニット２００またはサブユニット３００に内蔵のタイマを用いて設定してもよい。また、必ずしも最長起動時間Ｔｍａｘに設定する必要はなく、車両に搭載された電子制御装置間の相互通信が異常状態と判断されない時間に調整してもよい。

図４は、本発明の第１の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのフローチャートである。まず、起動のトリガとなるイグニッション信号ＩＧＮＳＷを検出し（ステップＳ１）、イグニッション信号ＩＧＮＳＷのレベルにより、イグニッションオンか判定する（ステップＳ２）。イグニッションオン（ハイレベル）と判定されると、メインユニット２００及びサブユニット３００のパワーオンリセットを実行し（ステップＳ３）、パワーオンリセットが終了したか判定する（ステップＳ４）。
ステップＳ２で、イグニッションオンではない（ローレベル）と判定された場合には、イグニッション信号ＩＧＮＳＷがハイレベルになるまで待ち続ける。また、ステップＳ４で、メインユニット２００及びサブユニット３００のパワーオンリセットが終了していないと判定された場合には、ステップＳ３に戻ってパワーオンリセットを続行する。

ステップＳ４でメインユニット２００及びサブユニット３００のパワーオンリセットが終了したと判定されると、起動処理を開始する（ステップＳ５）。この起動処理には、起動パス（遷移ルート）の選択が含まれており、例えば通常起動ルートか、シャットダウン復帰起動ルートか、それ以外の起動ルートかが選択される。
次のステップＳ６では、通常起動ルートか否か判定し、通常起動ルートであると判定されると、ウェイト時間ΔＷｔ１を設定する（ステップＳ７）。ステップＳ６で通常起動ルートではないと判定されると、シャットダウン復帰起動ルートか否か判定し（ステップＳ８）、シャットダウン復帰起動ルートであると判定されると、ウェイト時間ΔＷｔ２を設定する（ステップＳ９）。ステップＳ８でシャットダウン復帰起動ルートではないと判定されると、ウェイト時間ΔＷｔ３を設定する（ステップＳ１０）。そして、設定したウェイト時間が経過したか判定し（ステップＳ１１）、経過した時点で通常制御を実行する（ステップＳ１２）。

上述したように、電子制御装置の起動処理と通常制御との間にウェイト時間を設け、遷移ルート（起動パス）により起こり得る長い起動時間を基に電子制御装置の相互通信を設定することで、機器間の相互通信は成立させながら起動時の意図しない通信異常や誤診断を抑制することができる。
また、車両ネットワークに接続された複数の電子制御装置の起動から通常制御の開始までの時間を合わせることができるので、どの起動パスを通ったとしても起動時間の差を少なくして通信エラーの発生及び誤判定を低減できる。

なお、上述した第１の実施形態では、起動後に通信を開始するタイミングを予め調整するようにしたが、自己診断を実行するタイミングを電子制御装置自身で設定することでウェイト時間に相当する遅延を生成するように構成してもよい。
また、遷移ルート（起動パス）が分かれば、ソフトウェアの起動時間Ｔｓが決まっているので、遷移ルートから起動時間Ｔｗａｉｔを算出してもよい。

更に、メインユニット２００のパワーオンリセットが解除されるまでの時間Ｔｈの精度を上げるために、サブユニット３００から時間Ｔｈを受信し、起動時間Ｔｗａｉｔを算出するように構成してもよい。
更にまた、サブユニット３００から時間Ｔｈが受信できない場合や、机上計算の時間Ｔｈより大きい場合には、時間Ｔｈを使用するフェイルセーフ（Ｆ／Ｓ）動作も考慮するとよい。

図５は、本発明の第２の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのタイムチャートである。本実施形態では、電子制御装置の起動時間別に通常制御に適合値を持たせている。
すなわち、時刻ｔ２０にイグニッションスイッチがオンしてイグニッション信号ＩＧＮＳＷがハイレベルになると、このイグニッションスイッチのオンから、メインユニット２００及びサブユニット３００のパワーオンリセットが開始され、リセット処理が完了する時間Ｔｈ［ｓ］経過後の時刻ｔ２１に、パワーオンリセット信号ＲＥＳＥＴがハイレベルになってリセットが解除される。この時刻ｔ１１に起動処理が開始され、ソフトウェアの起動時間をＴｓ［ｓ］とすると、時刻ｔ２２に起動処理が終了して通常制御が開始される。そして、通常制御が開始されてから所定時間経過した時刻ｔ２３に、ＣＡＮ通信が可能となる。この時刻ｔ２２，ｔ２３間の時間は、起動処理完了時に取得した「Ｔｉｎｉｔ＝Ｔｈ＋Ｔｓ」に基づき、起動パス毎に設定された適合値で調整される。この適合値は、起動パスによって変化し、起動トリガから通信可能となるまでの時間が長いと大きくなる。

図６は、本発明の第２の実施形態に係る電子制御装置における起動トリガから通信可能となるまでのフローチャートである。まず、起動のトリガとなるイグニッション信号ＩＧＮＳＷを検出し（ステップＳ２１）、イグニッション信号ＩＧＮＳＷのレベルにより、イグニッションオンか判定する（ステップＳ２２）。イグニッションオン（ハイレベル）と判定されると、メインユニット２００及びサブユニット３００のパワーオンリセットを実行し（ステップＳ２３）、パワーオンリセットが終了したか判定する（ステップＳ２４）。
ステップＳ２２で、イグニッションオンではない（ローレベル）と判定された場合には、イグニッション信号ＩＧＮＳＷがハイレベルになるまで待ち続ける。また、ステップＳ２４で、メインユニット２００及びサブユニット３００のパワーオンリセットが終了していないと判定された場合には、ステップＳ２３に戻ってパワーオンリセットを続行する。

ステップＳ２４でメインユニット２００及びサブユニット３００のパワーオンリセットが終了したと判定されると、起動処理を開始する（ステップＳ２５）。
起動処理が終了すると、適合値を設定するために「Ｔｉｎｉｔ＝Ｔｈ－Ｔｓ」を取得する（ステップＳ２６）。これによって、起動パス（遷移ルート）が認識され、適合値が設定される。
続いて、通常制御が開始され、設定された適合値に応じてＣＡＮ通信を開始するまでの時間が調整される（ステップＳ２７）。

このように起動パス別に適合値を持たせることで、通常制御側でＴｉｎｉｔに応じた制御を行うことができる。起動パスの相違により起こり得る長い起動時間を基に電子制御装置の相互通信を設定するので、機器間の相互通信は成立させながら起動時の意図しない通信異常や誤診断を抑制することができる。しかも、起動時間に対する適合への対応策として、起動時間毎に適合値を可変させる構成とすることで、動作パラメータを変更できる。

車載機器においては、制御対象の状態や車両全体の整合等の都合で起動時間が変化した場合には、動作パラメータを変更したいという車両メーカ側の要求があるが、起動条件により起動時間が変化する機器の場合は、ＥＣＵを単一のパラメータで起動すると必ずしも適切な動作状態とならない惧れがあった。しかし、本第２の実施形態では、動作パラメータを変更できるので、このような要求にも応えることができる。

なお、上述した第１の実施形態と同様に、ソフトウェアの起動時間Ｔｓが決まっているので、本第２の実施形態でも遷移ルート（起動パス）が分かれば、遷移ルートから起動時間Ｔｗａｉｔの設定を行ってもよい。
また、メインユニット２００のパワーオンリセットが解除されるまでの時間Ｔｈの精度を上げるために、サブユニット３００から時間Ｔｈを受信し、起動時間Ｔｗａｉｔを算出するように構成してもよい。
更に、サブユニット３００から時間Ｔｈが受信できない場合や、机上計算の時間Ｔｈより大きい場合には、時間Ｔｈを使用するフェイルセーフ（Ｆ／Ｓ）動作も考慮するとよい。

以上、第１、第２の実施形態を用いて本発明の説明を行ったが、本発明は上記各実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。
例えば、電子制御装置１００Ａ，１００Ｂが、メインユニット２００と、このメインユニット２００の診断を行う監視用のサブユニット３００で構成されている場合を例に取って説明したが、自己診断機能を持っていればサブユニットは設けなくてもよい。
また、電子制御装置１００Ａ，１００Ｂ間の通信方式としてＣＡＮ通信を挙げたが、ＡＵＤ通信、ＬＩＮ通信、ＦｌｅｘＲａｙ通信など他の通信方式にも同様にして適用できる。

このように、上記第１、第２の実施形態には種々の段階の発明が含まれており、開示される複数の構成要件の適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件からいくつかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題の少なくとも１つが解決でき、発明の効果の欄で述べられている効果の少なくとも１つが得られる場合には、この構成要件が削除された構成が発明として抽出され得る。

１００Ａ，１００Ｂ…電子制御装置、２００…メインユニット、２０２…リレー診断部、２０３…自己診断部、２０４…ＣＡＮコントロール部、２０５…ＣＡＮ通信部、３００…サブユニット、３０１…演算機能監視部、３０５，６００…ＡＮＤ回路、４００…ＣＡＮ通信回路、４０１…ＯＲ回路、４０２…ＣＡＮトランシーバ、５００…リレー駆動回路、５０１…リレー、５０２…アクチュエータ

Claims (2)

1. 車両に搭載された他の電子制御装置との間で通信を行う通信機能と、前記車両のイグニッションスイッチのオン時に自己診断を行い、所定時間通信がない場合に通信エラーと判定する判定機能と、を有する車両用電子制御装置であって、
   イグニッションオンになった場合に、パワーオンリセットを行った後、起動処理を実行し、通常起動ルートか否か、シャットダウン復帰起動ルートか否かに応じたウェイト時間を設定し、ウェイト時間経過後に通信を含む通常制御を行う、ことを特徴とする車両用電子制御装置。
2. 車両に搭載された他の電子制御装置との間で通信を行う通信機能と、前記車両のイグニッションスイッチのオン時に自己診断を行い、所定時間通信がない場合に通信エラーと判定する判定機能と、を有する車両用電子制御装置であって、
   イグニッションオンになった場合に、パワーオンリセットを行った後、起動処理を実行し、起動パス毎に設定された適合値をＴｉｎｉｔ、パワーオンリセットが開始されてからリセット処理が完了するまでの時間をＴｈ、ソフトウェアの起動時間をＴｓとしたときに、「Ｔｉｎｉｔ＝Ｔｈ＋Ｔｓ」を取得して適合値を設定し、通常制御が開始されてから適合値により調整された所定時間経過した後に通信が可能となる、ことを特徴とする車両用電子制御装置。