车载控制装置或车载控制系统的制作方法

本发明涉及一种车载用电子控制装置。

背景技术：

车辆控制装置的电子控制化的加速使得近年来的车辆在每1辆中搭载有大量电子控制装置(参考专利文献1等)。这些电子控制装置的驱动电力供给自电池等电源。此外，在电源与电子控制装置之间通常插入有电源继电器作为驱动电力的供给/切断单元。此外，在该电子控制装置所控制的对象装置中通常也插入有电源继电器或者供给/切断电源的电路。

在各电子控制装置发生一些异常的情况下，必须朝安全方向对相应系统进行控制，通常是利用监视微型计算机或者自身的主微型计算机来检测异常，并切断对象装置的电源继电器或电源供给电路，由此转移至故障保险状态，这种技术已有揭示。

例如，在发动机的电子控制装置中，进行节气门控制/点火控制/燃料喷射控制的主微型计算机利用输入系统/运算系统/输出系统/存储系统而分别进行自身是否正常的自诊断，而且通过将子微型计算机这样的监视装置安装在同一电子控制装置内来监视主微型计算机的功能故障，在检测到故障的情况下，切断该电子控制装置所控制的电子节流阀的电源继电器，并在硬件上切断燃料喷射阀的输出部。

通过设为这种构成，即便因主微型计算机异常而导致无法保证将控制对象转移至故障保险状态，也可通过子微型计算机这样的监视装置而可靠地转移至故障保险，这种技术已为人所知。

此外，已知有如下技术：对与实现预先规定的功能的由LAN连接起来的多个电子控制装置相连的电源继电器设置进行统括控制的电子控制装置，通过电源继电器的状态来检测通信状态的有无，从而判定电源继电器是否故障(参考专利文献2等)。

现有技术文献

专利文献

专利文献1：日本专利特开2009-196453号公报

专利文献2：日本专利特开2008-88885号公报

技术实现要素：

发明要解决的问题

然而，专利文献1中所提出的方式的前提是在电子控制装置内安装有子微型计算机这样的监视装置，而若是新安装监视装置，则会导致电子控制装置的成本提高。

此外，在电子控制装置内未安装有监视装置的情况下，虽然有可能通过自诊断来检测到功能故障，但微型计算机内的某些故障部位(例如运算部或输出部)会导致无法转移至故障保险状态。

此外，有时因电子控制装置的安装面积等硬件的制约而导致无法安装监视装置，在该情况下也一样，即便可通过自诊断来检测到功能故障，某些故障部位也会导致无法保证能够可靠地转移至故障保险状态。

关于专利文献2，由于是通过与经由不同于作为故障检测对象的继电器的其他继电器而与电源连接的车载电子设备的通信来进行检测的方法，因此，除了监视装置和对象继电器所连接的电子控制装置以外，还需要与用以进行比较的其他电源继电器连接的电子控制装置，从而导致总的系统成本上升。

此外，该文献主要是着眼于异常检测的方法，并未记载异常检测后的系统方面的动作(故障保险处理)。

本发明是鉴于上述问题而成，其目的在于检测车辆用自动变速器的电子控制装置的电源切断电路的故障，并提供如下技术：通过上位电子控制装置来检测异常，在判断为异常的情况下，不依赖于车辆用自动变速器的电子控制装置而安全地转移至故障保险状态。

解决问题的技术手段

为了达成上述目的，本发明的特征在于具有以下手段。

本发明的一形态的车辆用自动变速器的电子控制装置(以下，称为ATCU)的监视系统的特征在于，包括：上位电子控制装置(以下，称为监视装置)，其作为检测ATCU的异常的硬件而独立；电力供给单元，其对ATCU及监视装置供给驱动电力；电力供给单元，其通过从外部对监视装置输入的启动用开关信号(以下，称为IGNSW)，在IGNSW为有效电平的情况下，对监视装置供给驱动电力；第1继电器(以下，称为IGN继电器)，其装入在电源供给单元与监视装置之间，供给/切断去往监视装置的电力；第2继电器(以下，称为ATCU继电器)，其由监视装置判断可否对ATCU供给驱动电力并控制电力的供给/切断，设置在IGN继电器的下游；以及通信线，其用以在ATCU和监视装置中进行诊断，监视装置在特定时刻对ATCU继电器进行ON/OFF操作，并与该时刻同步地确认来自ATCU的通信中断这一情况，由此确认ATCU继电器的故障。

另一形态的监视装置的特征在于，在IGNSW从低电平变为有效电平的情况下，在实施普通控制之前实施ATCU继电器的故障诊断。

另一形态的监视装置的特征在于，在IGNSW从低电平变为有效电平的情况下，实施该微型计算机的自诊断，只有在诊断结果正常的情况下才将ATCU继电器设为ON而对ATCU供给电力。

另一形态的ATCU的特征在于，在启动后，实施该微型计算机的自诊断，只有在诊断结果正常的情况下才使用所述通信线向所述上位控制装置发送切断电路诊断要求。

另一形态的监视装置的特征在于，在使用通信线而从ATCU接收到切断电路诊断要求的情况下，将ATCU继电器控制为OFF而切断对ATCU的供电。

另一形态的ATCU的特征在于，其对供电被切断的ATCU将使用通信线的与监视装置的通信中断这一情况进行检测。

另一形态的监视装置的特征在于，在检测到通信中断的情况下，将ATCU的电源切断电路诊断判断为正常，相反，在尽管将ATCU继电器控制为OFF、但与ATCU的通信仍然生效的情况下，将电源切断电路诊断判断为异常。

另一形态的ATCU的特征在于，在从监视装置经由所述通信线而接收到电源切断电路诊断异常的信息的情况下，转移至故障保险状态例如待机状态，不进行车辆用自动变速器的控制即螺线管阀的液压控制。

发明的效果

根据本发明，通过利用并不限于安装在车辆用自动变速器的电子控制装置(ATCU)中、而是安装在近年来的大部分电子控制装置中的CAN等网络通信路径，可将其他电子控制装置当作ATCU的监视装置，而且，监视侧的其他电子控制装置控制ATCU的电源继电器。

通过设为上述系统构成，监视装置在计划好的时刻对ATCU继电器进行OFF操作，通过该操作来确认来自ATCU的通信状态，由此可检测ATCU继电器的ON/OFF故障。

此外，在监视装置检测到ATCU的异常的情况下，通过在监视侧将ATCU的电源继电器设为OFF，可停止ATCU的动作，从而可防止因ATCU失控而导致无法将电源继电器设为OFF而带来联锁等巨大损失。

此外，在ATCU继电器固定在ON状态的情况下，通过监视装置向ATCU发送故障信息，ATCU自身可进行转移至待机状态等故障保险处理。

如上所述，通过将车辆中所安装的其他电子控制装置作为监视装置，无须对ATCU自身安装监视电路，有可降低系统成本的优点。

附图说明

图1为表示展示本发明的实施方式的监视系统的一例的图。

图2为表示初次启动时的ELOP-ATCU间的监视步骤的流程图。

图3为表示普通动作时的ELOP-ATCU间的监视步骤的流程图。

图4为电源切断电路诊断步骤的说明图。

图5为平常(初次启动)时的电源切断电路诊断时间图。

图6为SSOFF延迟中的恢复时的电源切断电路诊断时间图。

图7为表示以往的ELOP-ATCU的关系的系统构成图。

图8为表示对于来自ELOP的问题数据的在ATCU中的回答数据的算出步骤的流程图。

具体实施方式

下面，使用附图，对本发明的实施例进行说明。

实施例1

使用图1至3，对本发明的第一实施例进行说明。

图1表示以控制车辆的自动变速器的变速器控制装置(以下，称为ATCU)1为监视对象的、本发明的一实施方式。作为监视对象，也可为对发动机、安全带、马达等搭载在车辆中的其他电气安装件进行控制的电子控制装置。

图1为以电动油泵控制装置(以下，称为ELOP)2为监视装置的ATCU 1的监视系统的概略图。包括：ATCU 1，其成为监视对象；ELOP 2，其作为硬件而独立于ATCU 1，成为监视侧；IGN继电器3，其供给/切断对ELOP 2的驱动电力；ATCU继电器4，其由ELOP 2进行ON/OFF控制，对ATCU供给/切断驱动电力；电源(电池，或者也可为未图示的发电机)5，其对各电子控制装置供给驱动电力；IGNSW 6，其通过来自驾驶员的操作而受到ON/OFF操作，控制是否对ELOP 2或各电子控制装置供给驱动电力；以及螺线管阀7，其根据来自ATCU 1的指令来连接/断开自动变速器的离合器。ATCU继电器4具有可实现电流的供给/切断的开关功能即可，可为通过接点移动来进行ON/OFF的机械式继电器，也可为利用半导体开关元件的半导体继电器。

ATCU 1包括：微型计算机8，其为进行对多个螺线管阀7的驱动量的算出以及输出的切换的控制电路；电源供给电路9，其将来自电源5的供给电压转换为微型计算机8的驱动电压而加以供给；通信I/F电路10，其用以与ELOP 2进行通信；以及驱动电路11，其将由微型计算机8算出的对螺线管阀7的驱动量转换为电压。

ELOP 2包括：微型计算机12，其为进行对油泵的驱动量的算出以及输出的控制电路，所述油泵对自动变速器的液压油进行加压；电源供给电路14，其将来自电源5的供给电压转换为微型计算机12的驱动电压而加以供给；通信I/F电路13，其用以与ATCU 1进行通信；以及ATCU继电器控制电路15，其对ATCU继电器4进行ON/OFF控制，从而控制供给至外部的电子控制装置即ATCU的电力。作为ATCU继电器控制电路15，图1中图示的是晶体管。在ATCU继电器4的驱动所需的电压为微型计算机12的输出电压便足够的情况、或者将晶体管配备在ELOP 2外部的情况下，ELOP 2内并非必需晶体管。在该情况下，作为ATCU继电器控制电路15，用以供微型计算机12驱动ATCU继电器4的输出信号线较为合适。

ATCU 1中所安装的通信I/F电路10和驱动电路11直接连接有ATCU继电器4的电源。此外，微型计算机8也隔着电源供给电路9而设置在ATCU继电器4的下游。

在电源供给电路9上分别连接有不经由IGN继电器3和ATCU继电器4而供给来自电源5的电力的路径、以及经由IGN继电器3和ATCU继电器4而供给来自电源5的电力的路径。在由驾驶员将IGNSW 6设为ON而使得IGN继电器3变为ON之后，通过ELOP 2将ATCU继电器4设为ON，由此，得以从经由各种继电器的路径供给电力。其后，电源供给电路9对微型计算机8等电子元件供给规定的驱动电压。微型计算机8接收来自电源供给电路9的驱动电压，在规定的重置处理之后，开始螺线管阀7的控制。

当由驾驶员将IGNSW 6设为OFF时，IGN继电器3变为OFF，从经由各种继电器的路径向电源供给电路9的电力供给被切断。此处，电源供给电路9经过规定的自关断延迟期间而转移至自关断期间，在有来自微型计算机8的指示之前，通过不经由各种继电器而供给自电源5的电压对微型计算机8供给驱动电压。微型计算机8在自关断期间内进行各种学习值的存储等处理，并指示电源供给电路9停止供给驱动电压，结束自关断期间。

此处，自关断延迟期间内为系统待机状态，就ATCU而言，为不发挥任何功能的状态。

再者，电源供给电路14也一样，与两种电源供给路径连接。

上述中，图1的监视系统在系统启动时及稳态下检测ATCU 1的异常，在异常时，监视装置将ATCU继电器4设为OFF，以此作为故障保险处理。

在图7中说明以往的系统概略图。不同于图1，在以往的系统中，没有ATCU继电器4、ATCU继电器控制电路15及其外围电路。

下面，对本实施例中的ATCU 1的异常检测处理的流程进行说明。图2为表示系统启动时的ATCU 1和ELOP 2的处理的流程的图。

首先，当IGNSW 6变为ON状态时，IGN继电器3变为ON，对ELOP 2的电源供给电路14供给电力，微型计算机12启动。

接着，启动后的微型计算机12进行内部功能是否存在故障的自诊断(S21)。此处的诊断具体有ROM/RAM诊断以及寄存器诊断等。

在诊断NG的情况下，转移至故障保险状态(S22)。在诊断OK的情况下，由微型计算机12获取IGNSW 6的电压状态(S23)。

接着，在IGNSW 6的获取电压为0V(OFF状态)而ELOP 2是启动的情况下，由于原本应该是没有电源供给的，因此判断为IGN继电器3的ON故障(S24)，从而转移至故障保险处理(S25)。

在诊断OK的情况下，将ATCU继电器4操作为ON，启动ATCU 1(S26)。

在ATCU 1启动后，ATCU 1进行微型计算机8的内部功能是否存在故障的自诊断(S27)。此处的诊断具体有ROM/RAM诊断以及寄存器诊断等。

在诊断NG的情况下，转移至故障保险状态(S28)。在诊断OK的情况下，判断ATCU监视系统正常，转移至普通控制(S29)。

再者，本流程图中的所谓故障保险控制，是指以如下方式进行控制：微型计算机12自身转移至待机状态或待重编程状态，在IGNSW 6变为OFF之前不进行任何动作。

图3为表示系统启动后的普通控制时的ATCU 1和ELOP 2的处理的流程的图。

ELOP 2使用通信手段(此处，作为例子，设为使用通信I/F电路10、13的CAN通信)从ATCU 1接收ATCU 1的自诊断结果(S31)。此处的所谓自诊断，不仅仅是ROM/RAM诊断以及寄存器诊断等微型计算机内部的功能诊断，还包括ATCU 1主体的功能故障诊断，是由ATCU 1自身进行的诊断。

ELOP 2根据来自ATCU 1的自诊断结果而进行OK/NG判断(S32)，在诊断NG的情况下，ELOP 2转移至故障保险控制，将ATCU继电器4操作为OFF，切断对ATCU 1的通电(S33)。在这种情况下，由于ATCU 1可判定自身的异常状态，因此也能够以可由ATCU 1自身而不是ELOP 2将ATCU继电器4操作为OFF的方式进行接线。

在S32的诊断OK的情况下，ELOP 2通过CAN通信将用以检测ATCU 1的微型计算机功能故障详细而言为微型计算机的运算器的故障的问题数据发送至ATCU 1(S34)。

ATCU 1根据接收自ELOP 2的问题数据，使用微型计算机8的运算器来生成回答数据(S35)并答复ELOP 2(S36)。

ELOP 2根据接收自ATCU 1的回答数据进行OK/NG判断(S37)，在诊断NG的情况下，ELOP 2转移至故障保险控制，将ATCU继电器4操作为OFF，切断对ATCU 1的通电(S38)。

在诊断OK的情况下，判断ATCU 1正常而继续普通控制(S39)。通过以上诊断，ELOP 2可诊断ATCU 1自身无法判断的异常状态。

在本流程图中，对ELOP 2通过问题数据与回答数据的交互来进行ATCU 1的监视的例子进行了说明，而作为其他监视方法，也可采用ELOP 2对经由CAN通信而定期从ATCU 1发送的信号进行监视这样的看门狗计时器(ウォッチドッグタイマー)方式。

再者，本流程图中的所谓故障保险控制，是指ELOP 2的微型计算机12操作ATCU继电器控制电路15而将ATCU继电器4控制为OFF。

通过实施以上诊断，即便在ATCU 1中未安装有监视装置的情况下，也可通过将由网络连接起来的电子控制装置作为监视装置来检测ATCU 1的微型计算机等的故障/功能故障。即，可提供一种可在不改变现有的电子控制装置内的构成的情况下并且以最小的系统变更准确地检测电子控制装置的故障、并能够可靠地转移至故障保险状态的监视系统。

此外，若为本发明的系统构成，则在因ATCU 1的微型计算机失控而导致即便将ATCU继电器4设为OFF也无法使系统电源停止的情况下，也可通过在作为监视装置的ELOP 2侧将ATCU继电器4设为OFF来停止ATCU 1的功能也就是螺线管阀7的动作/网络通信，结果，自动变速器成为直连档位下的行驶，因此可防止因ATCU 1的失控而导致无法将电源继电器设为OFF而带来联锁等巨大损失。

此外，通过将车辆中所安装的其他电子控制装置作为监视装置，无须对ATCU 1自身安装监视装置，有可降低系统成本的优点。进而，在ATCU 1是与自动变速器一体安装这样的情况下，ATCU的尺寸和安装面积有严格制约，根据本发明，该制约也可得到满足。

以上，对本发明的一实施例构成进行了说明，但本发明并不限定于这种ATCU的监视系统，也可应用于具有如下功能的电子控制装置：通过停止电子控制装置的动作，朝对车辆而言安全的方向起作用。

实施例2

下面，使用图4、5，对第二实施例进行说明。在本实施例中，对利用监视装置的电源切断电路的诊断方法进行说明。与实施例1一样，能以图1中说明过的系统构成进行动作，因此省略系统构成的说明。

首先，当IGNSW 6变为ON状态时，IGN继电器3变为ON，对ELOP 2的电源供给电路14供给电力，微型计算机12启动。

接着，启动后的微型计算机12进行内部功能是否存在故障的自诊断(S201)。此处的诊断具体有ROM/RAM诊断以及寄存器诊断等。在诊断NG的情况下，转移至故障保险状态(S202)。在诊断OK的情况下，由微型计算机12获取IGNSW 6的电压状态(S203)。

此处，在IGNSW 6的获取电压为0V(OFF状态)而ELOP 2是启动的情况下，由于原本应该是没有电源供给的，因此判断为IGN继电器3的ON故障(S204)，从而转移至故障保险处理(S205)。

再者，此处的所谓故障保险控制，是指以如下方式进行控制：微型计算机12自身转移至待机状态或待重编程状态，在IGNSW 6变为OFF之前不进行任何动作。

在诊断OK的情况下，将ATCU继电器1操作为ON，启动ATCU 1(S206)。

启动后，ATCU 1进行微型计算机8的内部功能是否存在故障的自诊断(S207)。此处的诊断具体有ROM/RAM诊断以及寄存器诊断等。在诊断NG的情况下，转移至故障保险状态(S208)。在诊断OK的情况下，判断ATCU系统正常，转移至ATCU继电器1的切断电路诊断。

然后，ATCU 1对ELOP 2发送切断电路诊断开始要求(S209)。ELOP 2在从ATCU 1接收到切断电路诊断开始要求的情况下(S210)，发送诊断ATCU 1的微型计算机功能的问题(S211)。此处，ELOP 2将在从ATUC 1接收到误回答时进行递增计数的错误计数器设定为若再接收到1次误回答便确定异常的阈值。

ATCU 1从ELOP 2接收问题(S212)并在微型计算机8中运算该问题，由此制作回答，但此处是故意制作误回答(S213)。ATCU 1在制作误回答后，将该误回答答复ELOP 2(S214)。

接收到误回答的ELOP 2(S215)使错误计数器进行递增计数，由此确定异常，判断ATCU发生了功能故障(S216)，从而切断ATCU继电器4(设为OFF)作为故障保险(S217)。

此处，图8表示诊断ATCU 1的微型计算机功能的问题的制作方法的一例。

针对接收自ELOP的问题而进行被出题部诊断/控制部诊断，由此生成回答数据。

具体而言，首先，将来自ELOP的出题数据从8bit扩展至32bit，并进行是否得到了正常扩展的自诊断。

接着，对扩展数据进行比特反转，根据该数据而依序执行基本指令诊断、算术运算、逻辑运算、处理控制、数据传输作为控制部诊断，并使用微型计算机的运算器中所使用的所有指令集，由此制作回答数据。

继而，最后，将回答数据从32bit退回至8bit，结果，出题数据的反转值成为回答数据。

通过切断ATCU继电器4，连接在该继电器的下游的通信I/F电路10的电源被切断，使得与ELOP 2之间的通信中断，即，通信数据发生变化。

由于ELOP 2事先接收到了切断电路诊断要求，因此判断现阶段为切断电路诊断中，从而检测来自ATCU 1的通信中断(S218)。

此处，ATCU 1获取经由IGN继电器3和ATCU继电器4而供给自电源5的电压，在判断已达到IGNSW 6的OFF阈值的情况下，转移至通过不经由IGN继电器3和ATCU继电器4而供给自电源5的电压进行动作的自关断延迟处理(S219)。在尽管在S214中发送了误回答但未下降到IGNSW 6的OFF阈值的时间持续了一定时间的情况下，判断ATCU继电器4固定在ON(S220)，转移至故障保险处理(S221)。

再者，此处的所谓故障保险控制，是指以如下方式进行控制：微型计算机8自身转移至待机状态或待重编程状态，在IGNSW 6变为OFF之前不进行任何动作。

ELOP 2在检测到来自ATCU 1的通信中断的情况下，判断ATCU继电器4的切断功能的动作正常，将切断电路诊断设为正常(S222)。

ELOP 2在判断切断电路诊断正常的情况下，再次将ATCU继电器4设为ON(S223)而再启动ATCU 1，转移至普通控制(S224)。如此，若在ATCU 1的自关断延迟处理中进行利用ELOP 2的电源切断电路的诊断，则可通过在自关断延迟处理中再次将ATCU继电器4设为ON而在微型计算机8完全停止之前使得ATCU 1转移至普通控制。因而，可在不使ATCU 1的微型计算机8完全停止的情况下实施利用ELOP 2的电源切断电路的诊断。

然后，ELOP 2在检测不到来自ATCU 1的通信中断的情况下，判断ATCU继电器1固定在ON，将切断电路诊断设为异常(S225)。

在判断切断电路诊断异常的情况下，ELOP 2将异常信息发送至ATCU 1(S226)，ATCU 1转移至故障保险状态。

再者，此处的所谓故障保险控制，是指以如下方式进行控制：微型计算机8自身转移至待机状态或待重编程状态，在IGNSW 6变为OFF之前不进行任何动作。

图6为表示对于切断电路诊断后转移至普通控制(定时处理)之后的驱动电源的低电压的处理的时间图。

当因IGNSW的振颤或者电源电压的暂时性降低而导致IGN RLY变为OFF时，处于IGN RLY的下游的TCU RLY会大致同时变为OFF。

于是，由于ATCU的IGNSW电压(VIGN)掉到了0V，因此ATCU转移至自关断延迟处理。

在该系统中，若将ELOP对电源电压的耐性设计得较高，则ELOP会继续进行普通处理(定时处理)而动作，只有ATCU的处理会停止。

此处，若在自关断延迟期间内IGNSW的振颤或者电源电压的状态恢复正常，则ATCU进行重启处理，可不进行自诊断处理(初始化处理)而恢复至定时处理。

通过设为上述那样的构成，即便在车辆行驶中发生IGNSW的振颤或者电源电压的暂时性降低，也可将ATCU系统停止的期间设计得最小。

如以上实施例中所说明，本发明的电子控制装置的监视系统包括：监视装置，其作为检测监视对象的电子控制装置的异常的硬件而独立；电力供给单元，其对电子控制装置及监视装置供给驱动电力；电力供给单元，其通过从外部对监视装置输入的启动用开关信号，在启动用开关信号为有效电平的情况下，对监视装置供给驱动电力；第1继电器，其装入在电源供给单元与监视装置之间，供给/切断去往监视装置的电力；第2继电器，其由监视装置判断可否对电子控制装置供给驱动电力并控制电力的供给/切断，设置在第1继电器的下游；以及通信线，其用以进行利用电子控制装置与监视装置的通信的诊断。

进而，成为监视对象的电子控制装置可包括：电源电路，在因来自监视装置的启动要求而使得第2继电器变为导通状态的情况下，输出使微型计算机动作的电压；微型计算机，其通过输出自电源电路的电压来进行动作；通信电路，其通过来自监视装置的启动要求信号而启动；以及螺线管阀的驱动电路，其通过来自监视装置的启动要求信号而启动。

进而，监视装置可至少包括：电源电路，在启动用开关信号为有效电平的情况下，输出使监视装置的微型计算机动作的电压；微型计算机，其通过输出自电源电路的电压而进行动作；以及通信电路，其通过供给自电源电路的电力而启动。

进而，监视装置可在启动用开关信号为有效电平的情况下使监视装置的微型计算机动作，在启动时及稳态下进行微型计算机的自诊断，在确认微型计算机的动作正常之后将第2继电器设为导通。

进而，监视装置可在启动用开关信号为有效电平的情况下使监视电路的微型计算机动作，在启动时及稳态下进行微型计算机的自诊断，在判断所述微型计算机异常的情况下，通过通信电路向监视对象的控制装置发送异常信息并将第2继电器设为断开。

进而，成为监视对象的电子控制装置可在因来自监视装置的启动要求而使得第2继电器变为ON的情况下使微型计算机动作，在启动时进行微型计算机的自诊断，在判断自身异常的情况下转移至待机状态，不进行车辆用自动变速器等的控制(螺线管阀的液压控制等)。

进而，成为监视对象的电子控制装置可在第2继电器为导通状态的情况下使微型计算机动作，在稳态下进行车辆用自动变速器等的控制(螺线管阀的液压控制等)，而在稳态下还进行微型计算机的自诊断，在判断自身异常的情况下，通过通信电路向监视装置发送异常信息，其后，停止通信电路的输出，其后，微型计算机转移至待机状态，不进行车辆用自动变速器等的控制。

进而，监视装置可在稳态下将用以诊断微型计算机内的运算功能的问题数据经由通信电路发送至成为监视对象的电子控制装置。

进而，成为监视对象的电子控制装置可在稳态下接收发送自监视装置的问题数据并执行预先嵌入在微型计算机内的程序，由此制作回答数据。

进而，成为监视对象的电子控制装置可在稳态下通过通信电路将回答数据发送至监视装置。

进而，监视装置可接收来自成为监视对象的电子控制装置的回答数据，根据回答数据来诊断成为监视对象的电子控制装置的微型计算机内的运算功能是否正常。

进而，监视装置可在判断该诊断结果异常的情况下将第2继电器控制为断开。

进而，成为监视对象的电子控制装置可设为如下构成：在第2继电器已被控制为断开的情况下，在供给至微型计算机的电力被切断之前，可立即切断对所述通信电路和螺线管阀的驱动电路的供电。

根据本发明，通过利用并不限于安装在车辆用自动变速器的电子控制装置(ATCU)中、而是安装在近年来的大部分电子控制装置中的CAN等网络通信路径，可将其他电子控制装置当作ATCU的监视装置。

进而，通过从监视侧的电子控制装置向成为监视对象的电子控制装置发送诊断主微型计算机的功能的问题，成为监视对象的电子控制装置算出针对该问题的回答并答复监视侧的电子控制装置，可检测成为监视对象的电子控制装置侧的微型计算机故障。

此外，在监视侧的电子控制装置检测到成为监视对象的电子控制装置的异常的情况下，通过在监视侧将成为监视对象的电子控制装置的电源继电器设为OFF，可停止成为监视对象的电子控制装置的动作，在自动变速器控制的情况下，可停止螺线管阀的动作。结果，自动变速器成为直连档位下的行驶，因此可防止因成为监视对象的电子控制装置失控而导致无法将电源继电器设为OFF而带来联锁等巨大损失。

此外，在成为监视对象的电子控制装置的电源继电器固定为ON的情况下，通过监视装置向成为监视对象的电子控制装置发送故障信息，成为监视对象的电子控制装置自身可进行转移至待机状态等故障保险处理。

此外，通过将车辆中所安装的其他电子控制装置作为监视装置，无须对成为监视对象的电子控制装置自身安装监视装置，有可降低系统成本的优点。

产业上的可利用性

根据本发明，即便在因电子控制装置的安装面积等硬件的制约而导致无法安装切断电路诊断装置的情况下，只要具有某些通信手段，便可通过使上位的电子控制装置实施电源继电器的控制来轻易实现切断电路诊断。此外，只要是具有如下功能的电子控制装置，便可运用本发明，该功能为：在对象电子控制装置的功能异常时，上位的电子控制装置对电源继电器进行切断(OFF)控制，由此朝对车辆而言安全的方向起作用。

符号说明

1 ATCU

2 ELOP

4 ATCU继电器

10 通信I/F电路

13 通信I/F电路

15 ATCU继电器控制电路。