特許 7605099 電子制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-16

(45)【発行日】2024-12-24

(54)【発明の名称】電子制御装置

(51)【国際特許分類】

   G06F 1/10 20060101AFI20241217BHJP

【ＦＩ】

G06F1/10 520

【請求項の数】 4

(21)【出願番号】P 2021214414

(22)【出願日】2021-12-28

(65)【公開番号】P2023097977

(43)【公開日】2023-07-10

【審査請求日】2024-02-08

(73)【特許権者】

【識別番号】000004260

【氏名又は名称】株式会社デンソー

(74)【代理人】

【識別番号】110000578

【氏名又は名称】名古屋国際弁理士法人

(72)【発明者】

【氏名】江角 悠

(72)【発明者】

【氏名】応 ギョウコン

【審査官】佐賀野 秀一

(56)【参考文献】

【文献】特開２０１１－１６４６７４（ＪＰ，Ａ）

【文献】特開２０１４－１４６２２２（ＪＰ，Ａ）

【文献】特開２００４－０２９９９２（ＪＰ，Ａ）

【文献】特開２００５－３１６７８４（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １／０４－ １／１４

(57)【特許請求の範囲】

【請求項1】

第１処理部（５、１３）と、通信経路（６）を介して前記第１処理部と通信するように構成された第２処理部（７）と、を備える電子制御装置（１）であって、
前記第２処理部は、
前記第２処理部内にて生成される内部クロック信号に従ってカウント動作を行い、前記第１処理部からの定期信号が受信される毎にカウント値をリセットするように構成された内部カウンタ（３３）と、
前記内部カウンタによるカウント値が予め定められた出力周期よりも長い予め定められた判定期間を前記内部クロック信号の周期で除した値に相当する判定周期値以上である場合に、状態信号を、前記第１処理部内で用いられる動作クロック信号の遅延を示すアクティブレベルに設定し、前記アクティブレベルに設定された前記状態信号を前記定期信号の受信によって非アクティブレベルに設定するように構成された比較部（３４）
を備え、
前記第１処理部は、
前記動作クロック信号であって前記内部クロック信号とは異なる前記動作クロック信号に従ってカウントされるカウント値が前記出力周期を前記動作クロック信号の周期で除した値に相当する出力周期値になる毎に、前記第２処理部から前記状態信号を取得し、取得した前記状態信号に基づいて前記動作クロック信号が遅延しているか否かを判定するように構成された遅延判定部（１５、Ｓ３０）と、
前記遅延判定部によって前記状態信号が取得された後に、前記定期信号を前記第２処理部に送信するように構成された信号送信部（１６、Ｓ４０）と、
を備える電子制御装置。

【請求項2】

請求項１に記載の電子制御装置であって、
前記第１処理部では、
前記遅延判定部は、
前記動作クロック信号に従ってカウントされるカウント値が前記出力周期値になる毎に、前記第２処理部から前記状態信号を取得するように構成された取得部（Ｓ１００）と、
前記取得部によって前記アクティブレベルである前記状態信号が連続して取得される連続回数をカウントするように構成されたカウント部（Ｓ１５０）と、
前記連続回数が予め定められた確定判定回数以上である場合に、前記動作クロック信号の遅延を確定するように構成された遅延確定部（Ｓ１７０）と、
を備える、電子制御装置。

【請求項3】

請求項２に記載の電子制御装置であって、
前記第１処理部では、
前記遅延判定部は、
前記取得部が、前記第２処理部から、前記状態信号を取得すると共に、前記状態信号が取得されるときの前記内部カウンタの前記カウント値を取得し、
前記連続回数が前記確定判定回数未満であると判定された場合に、前記連続回数が前記確定判定回数よりも小さい準判定回数以上であり、且つ、前記アクティブレベルである前記状態信号が前記準判定回数連続して取得されたときの前記内部カウンタの前記カウント値の合計値に相当する時間が予め定められた継続閾値以上である場合に、前記動作クロック信号の遅延を確定するように構成された早期遅延確定部（Ｓ１６５）
を更に備える、電子制御装置。

【請求項4】

請求項１から請求項３のいずれか一項に記載の電子制御装置であって、
前記第２処理部は、
前記状態信号が前記アクティブレベルである期間が予め定められた途絶異常確定期間以上である場合に、前記動作クロック信号が途絶していることを確定するように構成された途絶確定部（３５）
を更に備える電子制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、電子制御装置に関する。

【背景技術】

【0002】

従来、マイコンと、マイコンの異常を監視する監視ＩＣと、を備える電子制御装置が知られている。例えば、下記特許文献１には、監視ＩＣが、マイコンのエラー訂正回路により訂正不能なデータ誤りを検出した際に、マイコンの異常を検出する、という技術が提案されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１５－７２５６９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

例えば、電子制御装置では、監視ＩＣによって、マイコンの動作用クロックの遅れがマイコンの異常として検出されることが望まれる。
本開示の１つの局面は、電子制御装置において、マイコンの動作用クロックの遅れを検出する新たな技術を提供することにある。

【課題を解決するための手段】

【0005】

本開示の一態様は、第１処理部（５、１３）と、通信経路（６）を介して第１処理部と通信するように構成された第２処理部（７）と、を備える電子制御装置（１）である。第２処理部は、内部カウンタ（３３）と、比較部（３４）とを備える。内部カウンタは、第２処理部内にて生成される内部クロック信号に従ってカウント動作を行い、第１処理部からの定期信号が受信される毎にカウント値をリセットするように構成される。比較部は、内部カウンタによるカウント値が判定周期値以上である場合に、状態信号を、第１処理部内で用いられる動作クロック信号の遅延を示すアクティブレベルに設定する。判定周期値は、予め定められた出力周期よりも長い予め定められた判定期間を内部クロック信号の周期で除した値に相当する。比較部は、アクティブレベルに設定された状態信号を定期信号の受信によって非アクティブレベルに設定するように構成される。

【0006】

第１処理部は、遅延判定部（１５、Ｓ３０）と、信号送信部（１６、Ｓ４０）と、を備える。遅延判定部は、動作クロック信号であって内部クロック信号とは異なる動作クロック信号に従ってカウントされるカウント値が出力周期値になる毎に、第２処理部から状態信号を取得する。出力周期値は、出力周期を動作クロック信号の周期で除した値に相当する。遅延判定部は、取得した状態信号に基づいて動作クロック信号が遅延しているか否かを判定するように構成される。信号送信部は、遅延判定部によって状態信号が取得された後に、定期信号を第２処理部に送信するように構成される。

【0007】

このような構成によれば、電子制御装置では、第１処理部は、動作クロック信号が遅延しているか否かといった状態信号が示す情報を、状態信号が第１処理部自らの定期信号の送信によって非アクティブレベルに設定（すなわち、リセット）される前に取得する。これにより、第１処理部は、定期信号の送信前に取得した状態信号に基づいて、動作クロック信号が遅延しているか否かを判定することができる。

【図面の簡単な説明】

【0008】

【図1】ＥＣＵの構成を示すブロック図である。

【図2】起動周期と送信周期とを説明する説明図である。

【図3】ＩＣを用いてクロックの途絶を検出する様子を示す説明図である。

【図4】ＩＣを用いてクロックが速くなる異常を検出する様子を示す説明図である。

【図5】ＩＣを用いてクロックが遅れる異常が検出されない様子を示す説明図である。

【図6】第１実施形態における定期処理のフローチャートである。

【図7】第１実施形態における遅延判定処理のフローチャートである。

【図8】第１実施形態におけるＥＣＵの作動を示す説明図である。

【図9】第２実施形態における定期処理のフローチャートである。

【図10】第２実施形態における遅延判定処理のフローチャートである。

【図11】第２実施形態におけるＥＣＵの作動を示す説明図である。

【発明を実施するための形態】

【0009】

以下、図面を参照しながら、本開示の実施形態を説明する。なお、本明細書内でいう「等しい」とは、厳密な意味での等しいことに限るものではなく、同様の効果を奏するのであれば厳密に等しいことでなくてもよい。また以下では、各種パラメータについて適宜数値を用いて説明するが、これらのパラメータは記載された数値に限定されるものではない。また、図面は、特徴を分かり易く記載するため、必ずしも時間軸上の長さ等を厳密に表すものではない。

【0010】

［１．第１実施形態］
［１－１．構成］
図１に示す電子制御装置（以下、ＥＣＵ１）は、車両に搭載され、例えば車両の駆動系を制御する。ＥＣＵ１の制御対象としての駆動系は、例えば、トランスミッションであってもよい。但し、制御対象は、トランスミッションを含む駆動系に限定されるものではなく、車両における種々の構成であり得る。

【0011】

ＥＣＵ１は、マイクロコンピュータ（以下、マイコン５）と、集積回路（以下、ＩＣ７）とを備える。ＥＣＵは、Electronic Control Unitの略であり、ＩＣはintegrated circuitの略である。ＥＣＵ１は、発振器３、ドライバ８を更に備えていてもよい。ドライバ８は、ドライバ８の制御対象であるフェイルセーフ制御対象９（例えば、各種アクチュエータ）を制御するための駆動回路であり得る。

【0012】

ＥＣＵ１において、マイコン５とＩＣ７とは、通信バス６（以下、バス６）を介して、予め定められた通信方式（例えば、ＳＰＩ）に従って、クロック同期式通信を行う。ＳＰＩは、Serial Peripheral Interfaceの略である。

【0013】

＜マイコン５＞
マイコン５は、図示は省略されているが、ＣＰＵや、ＲＯＭ、ＲＡＭ、フラッシュメモリ等といったメモリ、等を有する。ＣＰＵは、例えば、ＲＯＭに格納されたプログラムを実行することにより、各種の機能を実現する。当該プログラムが実行されることで、当該プログラムに対応する方法が実行される。マイコン５は、機能として、通信部１０と、動作クロック生成部１１と、起動部１２と、定期処理部１３と、を備える。

【0014】

通信部１０は、バス６を介して、ＩＣ７が備える通信部３０と、クロック同期式通信（すなわち、ＳＰＩ通信）を行う。バス６は、図示しないが、マイコン５からＩＣ７に同期通信用の通信クロックを供給するクロック信号線と、マイコン５からＩＣ７へのデータ転送用の信号線と、ＩＣ７からマイコン５へのデータ転送用の信号線と、マイコン５がＩＣ７を通信相手として選択しているか否かを示す信号線と、を備える。通信部１０は、例えば、動作クロック生成部１１によって生成される動作クロック信号（以下、動作クロックＣＫｍ）を取得し、分周又は逓倍して一定周波数の通信クロックを生成してクロック信号線に出力し、通信クロックに同期するデータの送受信を行う。

【0015】

動作クロック生成部１１は、水晶発振子やセラミック発振子等を含む発振器３が発生する発振信号から、予め定められた周波数の上述の動作クロックＣＫｍを生成する。動作クロックＣＫｍはマイコン５内で用いられるクロック信号である。例えば、マイコン５のＣＰＵは、動作クロックＣＫｍに従って動作する。

【0016】

起動部１２は、定期処理部１３を繰り返し起動する。起動部１２は、定期処理部１３を起動する周期が、予め定められた出力周期（例えば、１０ｍｓｅｃ）となるように作動する。ここでいう出力周期とは、所謂設計仕様として予め定められている値（以下、設計値）をいう。

【0017】

具体的には、例えば、起動部１２は、動作クロックＣＫｍに従ってカウント動作を行い、カウント値が予め定められた出力周期値となる毎にリセットされるカウンタ（以下、起動カウンタ４０）を備えていてもよい。ここでいうリセットとは、カウント値を０に設定することをいう。起動部１２は、起動カウンタ４０によるカウント値が０から出力周期値となる毎に起動信号を出力し、起動信号の出力によって定期処理部１３を起動してもよい。

【0018】

出力周期値は、設計値である出力周期（すなわち、１０ｍｓｅｃ）を動作クロックＣＫｍの周期、具体的には、動作クロックＣＫｍの周期の設計値でカウントした値に相当する。以下では、周期の設計値を設計周期ともいう。換言すれば、出力周期値は、設計値である出力周期を動作クロックＣＫｍの設計周期で除した値に相当する。なお、以下では、実際の動作クロックＣＫｍの周期を単に動作クロックＣＫｍの周期ともいう。

【0019】

これによると、起動部１２は、「動作クロックＣＫｍの周期×出力周期値」毎に起動信号を出力し、定期処理部１３は、「動作クロックＣＫｍの周期×出力周期値」毎に起動される。つまり、定期処理部１３が実際に起動される周期（以下、起動周期Ｔｃ）は「動作クロックＣＫｍの周期×出力周期値」となる。

【0020】

動作クロックＣＫｍの周期が動作クロックＣＫｍの設計周期に等しい場合、起動周期Ｔｃは設計値である出力周期に等しくなり、定期処理部１３は出力周期（すなわち、１０ｍｓｅｃ）毎に起動される。但し、後述する種々の要因により、実際の動作クロックＣＫｍの周期が動作クロックＣＫｍの設計周期よりも長くなったり短くなったりする、動作クロックＣＫｍの異常が生じ得る。このような動作クロックＣＫｍの異常が生じている場合、結果として、定期処理部１３が実際に起動される周期である起動周期Ｔｃは出力周期よりも長く、又は短くなる。

【0021】

なお、起動部１２は、上述の構成に限定されるものではない。例えば、動作クロックＣＫｍに従って作動するマイコン５は、マイコン５の所定周期毎（例えば、１０ｍｓｅｃ）のタイマ割込み処理の中で、定期処理部１３の機能を実現してもよい。１０ｍｅｓｅｃ毎のタイマ割込み処理は、動作クロックＣＫｍに従って作動する。この場合、１０ｍｅｓｅｃ毎のタイマ割込み処理が起動部１２としての処理に相当する。また、マイコン５にて、１０ｍｅｓｅｃ毎のタイマ割込みのタイミングを生成する（すなわち、タイミングをカウントする）図示しない回路が、上述の起動カウンタ４０に相当する。

【0022】

定期処理部１３は、通常処理部１４と、遅延判定部１５と、信号送信部１６と、を備える。
通常処理部１４は、ＥＣＵ１の制御対象を制御するための処理を実行する。

【0023】

遅延判定部１５は、動作クロックＣＫｍの遅延（以下、遅れともいう）が生じているか否かを判定する。ここでいう動作クロックＣＫｍの遅延とは、実際の（すなわち、作動中の）動作クロックＣＫｍの周期が、動作クロックＣＫｍの設計周期よりも長くなることをいう。

【0024】

信号送信部１６は、定期信号をＩＣ７に送信する（すなわち、ＳＰＩ通信にて定期信号を示すコマンドを送信する）。
定期処理部１３は、起動されると、通常処理部１４→遅延判定部１５→信号送信部１６といった予め定められた順に、これら一連の機能を実行する。定期処理部１３は、少なくとも遅延判定部１５の実行後に信号送信部１６を実行する。換言すれば、定期処理部１３は、少なくとも信号送信部１６を実行する前に遅延判定部１５を実行する。定期処理部１３がこれら一連の機能を実行する期間を１サイクルともいう。

【0025】

通常処理部１４、遅延判定部１５が処理の実行に要する時間は、サイクル毎に（すなわち、毎回）ほぼ変化しない（すなわち、等しい）ものとする。
これによると、図２に示すように、起動周期Ｔｃと、信号送信部１６によって定期信号が出力される時間間隔（すなわち、設計値ではない、実際の時間間隔）である送信周期Ｔｓとが、ほぼ等しくなる。

【0026】

例えば、動作クロックＣＫｍが正常である（すなわち、動作クロックＣＫｍの設計周期に等しい）場合、起動周期Ｔｃは出力周期に等しく、送信周期Ｔｓも出力周期に等しい。つまり、信号送信部１６は、動作クロックＣＫｍが正常である場合、出力周期（すなわち、１０ｍｓｅｃ）毎に定期信号を出力する。ただし、動作クロックＣＫｍが異常である場合（例えば、速くなったり、遅れたりしている場合）は、この限りではない。

【0027】

＜ＩＣ７＞
ＩＣ７は、マイコン５において動作クロックＣＫｍの異常が生じているか否かを監視（すなわち、判定）するためのＩＣである。動作クロックＣＫｍの異常としては、例えば、上述の動作クロックＣＫｍの遅延や、動作クロックＣＫｍが速くなること、更に、動作クロックＣＫｍの途絶が挙げられる。動作クロックＣＫｍが速くなるとは、作動中の動作クロックＣＫｍの周期が動作クロックＣＫｍの設計周期よりも短くなることをいう。

【0028】

なお、動作クロックＣＫｍが遅延する異常、速くなる異常は、例えば、発振器３や動作クロック生成部１１の異常によって生じ得る。発振器３の異常に関しては、制御電圧で制御される電圧制御発振器である場合の制御電圧の変動や、その他の要因等によって生じ得る。又、動作クロックＣＫｍの途絶は、例えば、上述の電圧制御発振器の制御電圧の途絶や断線、その他の要因等によって生じ得る。

【0029】

ＩＣ７は、通信部３０と、内部クロック生成部３１と、内部カウンタ３３と、比較ロジック部３４と、判定ロジック部３５と、フェイルセーフ部３６と、を備える。
通信部３０は、マイコン５の通信部１０との間でバス６を介してクロック同期式通信（すなわち、ＳＰＩ通信）を行い、マイコン５から予め定められた態様の信号を受信すると、上述の定期信号を受信したと判定する。例えば、通信部３０は、定期信号を受信したと判定したときに、所定の信号（以下、初期化信号）を内部カウンタ３３に出力してもよい。

【0030】

内部クロック生成部３１は、一定周波数の内部クロック信号（以下、内部クロックＣＫｉ）を生成する。内部クロックＣＫｉはＩＣ７内で用いられるクロック信号である。内部クロックＣＫｉは動作クロックＣＫｍとは異なるクロック信号である。異なるとは、例えば、クロック信号を生成する基となる発振信号が異なること（すなわち、異なる発振器が発生する発振信号であること）を含む。内部カウンタ３３と、比較ロジック部３４と、判定ロジック部３５と、フェイルセーフ部３６と、は内部クロックＣＫｉに基づいて作動する。

【0031】

内部カウンタ３３は、内部クロックＣＫｉに従ってカウント動作を行うカウンタである。内部カウンタ３３は、マイコン５から定期信号が受信される毎（例えば、通信部３０から上述の初期化信号が出力される毎）に、カウント値がリセットされる。つまり、内部クロックＣＫｉの周期と、リセットされる直前の内部カウンタ３３のカウント値とを乗算した値が、実際の定期信号が受信される時間間隔（すなわち、送信周期Ｔｓ）に相当する。

【0032】

比較ロジック部３４は、動作クロックＣＫｍの遅延又は途絶を判定するために、内部カウンタ３３のカウント値と所定の閾値との比較を行う。具体的には、比較ロジック部３４は、内部カウンタ３３によるカウント値を読み出す。例えば、比較ロジック部３４は、内部クロックＣＫｉに従って内部カウンタ３３によるカウント動作が行われる毎に、カウント値を読み出してもよい。

【0033】

比較ロジック部３４は、内部カウンタ３３によるカウント値が所定の閾値である第１判定周期値以上である場合、第１状態フラグをアクティブレベルに設定する。第１状態フラグは、アクティブレベルに設定される場合に、動作クロックＣＫｍが遅延していること（すなわち、より詳しくは遅延しているおそれがあること）を示す。ここでは、アクティブレベルとは、オンの状態（例えば、ハイレベルである１を示す状態）をいう。第１判定周期値は、比較ロジック部３４にて予め記憶されている。

【0034】

第１判定周期値は、上述の出力周期（すなわち、１０ｍｓｅｃ）よりも長い予め定められた第１判定期間（例えば、２０ｍｓｅｃ）を、内部クロックＣＫｉの設計周期でカウントした値に相当する。換言すれば、第１判定周期値は、第１判定期間を内部クロックＣＫｉの設計周期で除した値に相当する。第１判定期間は、動作クロックＣＫｍの遅延、ひいては動作クロックＣＫｍの途絶を判定するため閾値である。

【0035】

又、比較ロジック部３４は、内部カウンタ３３によるカウント値が第１判定周期値未満である場合、第１状態フラグを非アクティブレベルに設定する。ここでは、非アクティブレベルとは、オフの状態（例えば、ローレベルである０を示す状態）をいう。又、比較ロジック部３４は、アクティブレベルに設定された第１状態フラグを、定期信号の受信によって（例えば、初期化信号の出力によって）、非アクティブレベルに設定する。比較ロジック部３４は、記憶装置（例えば、レジスタ等）に、アクティブレベル又は非アクティブレベルの第１状態フラグを記憶する。

【0036】

なお、本実施形態では更に、比較ロジック部３４は、動作クロックＣＫｍが速くなっていることを判定するために、内部カウンタ３３のカウント値と所定の閾値との比較を行う。具体的には、比較ロジック部３４は、マイコン５から定期信号が受信される毎（例えば、初期化信号が出力される毎）に内部カウンタ３３によるカウント値を読み出す。読み出されたカウント値は、送信周期Ｔｓを内部クロックＣＫｉの周期で除した値に等しい。

【0037】

比較ロジック部３４は、内部カウンタ３３によるカウント値が所定の閾値である第２判定周期値以下である場合、第２状態フラグをアクティブレベルに設定する。第２状態フラグは、アクティブレベルに設定される場合に、動作クロックＣＫｍが速くなっていること（すなわち、より詳しくは速くなっているおそれがあること）を示す。第２判定周期値は、比較ロジック部３４にて予め記憶されている。

【0038】

第２判定周期値は、上述の出力周期（すなわち、１０ｍｓｅｃ）よりも短い予め設定された第２判定期間（例えば、５ｍｓｅｃ）を、内部クロックＣｋｉの設計周期でカウントした値に相当する。換言すれば、第２判定周期値は、第２判定期間を内部クロックＣＫｉの設計周期で除した値に相当する。第２判定期間は、動作クロックＣＫｍが速くなっていることを判定するための閾値である。

【0039】

又、比較ロジック部３４は、定期信号が受信されたタイミングでの内部カウンタ３３によるカウント値が第２判定周期値よりも大きい場合、第２状態フラグを非アクティブレベルに設定する。比較ロジック部３４は、記憶装置（例えば、レジスタ等）に、アクティブレベル又は非アクティブレベルの第２状態フラグを記憶する。

【0040】

判定ロジック部３５は、比較ロジック部３４によって設定された第１状態フラグを読み出す。判定ロジック部３５は、図３に示すように、アクティブレベルに設定された第１状態フラグが取得される期間が予め定められた途絶異常確定期間以上となる場合に、動作クロックＣＫｍの途絶が生じていると判定（すなわち、確定）する。そして、判定ロジック部３５は、途絶判定フラグを、非アクティブレベル（例えば、ローレベルである０）からアクティブレベル（例えば、ハイレベルである１）に設定する。

【0041】

例えば、判定ロジック部３５は、開始時点から継続して第１状態フラグがアクティブレベルに設定されている経過時間を、内部クロックＣＫｉに従ってカウント動作を行うカウンタによってカウントしてもよい。開始時点とは、第１状態フラグが非アクティブレベルからアクティブレベルに設定された時点をいう。判定ロジック部３５は、このカウント値が途絶異常確定期間を内部クロックＣＫｉの設計周期で除した値以上である場合に、途絶判定フラグをアクティブレベルに設定してもよい。

【0042】

途絶判定フラグは、アクティブレベルに設定されているときに、動作クロックＣＫｍの途絶が生じていることを示す。途絶異常確定期間は、上述の第１判定期間よりも長い時間に設定され得る。例えば、途絶異常確定期間は、第１判定期間の数倍以上に設定されてもよい。途絶判定フラグによって、動作クロックＣＫｍの途絶が、ノイズ等の影響を抑制して、精度よく判定される。

【0043】

なお、本実施形態では更に、判定ロジック部３５は、比較ロジック部３４によって設定された第２状態フラグを読み出す。判定ロジック部３５は、図４に示すように、アクティブレベルに設定された第２状態フラグが取得される期間が予め定められたクロック異常確定期間以上となる場合に、動作クロックＣＫｍが速くなっていると判定（すなわち、速くなっている異常を確定）する。具体的には、判定ロジック部３５は、クロックエラーフラグを、非アクティブレベル（例えば、ローレベルである０）からアクティブレベル（例えば、ハイレベルである１）に設定する。

【0044】

クロックエラーフラグは、アクティブレベルに設定されているときに、動作クロックＣＫｍが速くなる異常が生じていること（すなわち、異常が確定されたこと）を示す。クロック異常確定期間は、少なくとも上述のマイコン５からの定期信号の出力周期（すなわち、１０ｍｓｅｃ）以上の相対的に長い時間に設定され得る。クロック異常確定期間は、上述の途絶異常確定期間と同一の値であっても異なる値であってもよい。クロックエラーフラグによって、動作クロックＣＫｍが速くなっていることが、ノイズ等の影響を抑制して、精度よく確定される。

【0045】

フェイルセーフ部３６は、判定ロジック部３５によって、途絶判定フラグがアクティブレベルにセットされた場合、又は、クロックエラーフラグがアクティブレベルにセットされた場合に、フェイルセーフ処理を実行する。例えば、フェイルセーフ処理としては、トランスミッションのクラッチを制御するソレノイドを駆動するための上位電源を強制的にオフすることで、車両に駆動力が伝達されないようにする（すなわち、ニュートラルの状態にする）処理であり得る。

【0046】

この場合、例えば、上位電源を強制的にオフするスイッチがフェイルセーフ制御対象９に相当し、スイッチをオフに切り替えるための駆動信号を生成する回路がドライバ８に相当する。なお、フェイルセーフ処理はこれに限定されるものではなく、車両の安全を確保するために車両の機能を制限する種々の処理であり得る。

【0047】

＜ＩＣ７単体による動作クロックＣＫｍの異常判定＞
上述のようにＩＣ７は、判定ロジック部３５が、アクティブレベルの第１状態フラグが途絶異常確定期間以上継続することによってアクティブレベルにセットされる途絶判定フラグを用いて、動作クロックＣＫｍの途絶を確定する。

【0048】

但し、第１状態フラグは、図５に示すように、動作クロックＣＫｍの遅延に対しては、定期信号が受信される毎にアクティブレベルであった第１状態フラグが非アクティブレベルに設定（すなわち、リセット）される。つまり、動作クロックＣＫｍの遅延に対しては、アクティブレベルの第１状態フラグが継続しない。このため、ＩＣ７単体では、例えばアクティブレベルの第１状態フラグが所定時間以上継続することによって遅延を確定するといったように、第１状態フラグを利用して動作クロックＣＫｍの遅延についての異常を確定することは困難である。

【0049】

そこで、ＥＣＵ１では、マイコン５の定期処理部１３が、定期処理の実行によって、ＩＣ７から第１状態フラグを取得し動作クロックＣＫｍの遅延についての異常確定を行う。
［１－２．処理］
定期処理部１３は、起動部１２によって起動されることをきっかけとして、定期処理を実行する。

【0050】

＜定期処理＞
定期処理部１３が実行する定期処理について、図６のフローチャートを用いて説明する。定期処理は、起動部１２にて動作クロックＣＫｍに従う起動カウンタ４０によってカウントされるカウント値が出力周期値となる毎に、実行される。

【0051】

定期処理部１３は、ステップ（以下、Ｓ）１０では、通常処理を実行する。通常処理とは、ＥＣＵ１の制御対象を制御するための予め定められた処理をいう。例えば、定期処理部１３は、図示していないが、制御対象としてのトランスミッションを制御するための制御信号を出力する。

【0052】

定期処理部１３は、次にＳ２０では、通信部３０を用いてバス６を介して、ＩＣ７から第１状態フラグを取得する（すなわち、ＳＰＩ通信によってＩＣ７から第１状態フラグを読み出す）。定期処理部１３は、本ステップが実行される時点でＩＣ７の比較ロジック部３４（例えば、レジスタ等といった記憶装置）に記憶されている第１状態フラグを取得する。

【0053】

定期処理部１３は、続くＳ３０では、後述する遅延判定処理を実行することによって、動作クロックＣＫｍの遅延が生じているか否かを判定する。
定期処理部１３は、次にＳ４０では、通信部３０を用いてバス６を介して、ＳＰＩ通信によって、ＩＣ７に、定期信号を送信する（すなわち、ＳＰＩ通信にて定期信号を示すコマンドを送信する）。定期信号は、ＳＰＩ通信で用いられる所定の態様の信号である。そして、定期処理部１３は、以上で１サイクルの定期処理を終了する。

【0054】

＜遅延判定処理＞
次に、定期処理部１３が上述のＳ３０にて実行する遅延判定処理について、図７に示すフローチャートに基づいて説明する。

【0055】

定期処理部１３は、Ｓ１００では、第１状態フラグの読み出し結果を取得する。
定期処理部１３は、次にＳ１１０では、正常カウンタのカウント値（以下、正常カウント値ともいう）、異常カウンタのカウント値（以下、異常カウント値ともいう）、正常フラグ、及び異常フラグを取得する。正常カウンタ及び異常カウンタは定期処理部１３が備えるカウンタであり、カウント値は、例えばマイコン５が備えるメモリに記憶される。

【0056】

正常フラグ及び異常フラグは、動作クロックＣＫｍが遅延しているか否かを確定するためのフラグであり、例えばマイコン５が備えるメモリに記憶される。
異常フラグは、オンされた場合、動作クロックＣＫｍの遅れが生じているという判定結果（すなわち、確定結果）を示し、オフされた場合、動作クロックＣＫｍの遅れが生じていないという判定結果（すなわち、確定結果）を示す。正常フラグは、例えば動作クロックＣＫｍの遅れが生じて異常フラグが一度オンされた後に、動作クロックＣＫｍが正常に戻ったことを判定するためのフラグである。

【0057】

異常カウンタは、動作クロックＣＫｍの遅れを判定する際にノイズ等の影響を抑制するため、動作クロックＣＫｍの遅れが生じた回数をカウントする。正常カウンタは、例えばクロックの遅れが生じて異常フラグが一度オンされた後に動作クロックＣＫｍが正常に戻ったときに、正常に戻ったことを判定するためのカウンタである。

【0058】

定期処理部１３は、続くＳ１２０では、マイコン５とＩＣ７との通信が正常であるか否かを判定する。例えば、マイコン５は、通信部１０を介してＩＣ７へ出力する指示に対する応答をＩＣ７から受信している場合に通信が正常であると判定し、判定結果をメモリに記憶する通信監視機能を備えていてもよい。定期処理部１３は、メモリに記憶されている判定結果が正常を示す場合、マイコン５とＩＣ７との通信が正常に実行されていると判定してもよい。

【0059】

定期処理部１３は、マイコン５とＩＣ７との通信が正常であると判定された場合に処理をＳ１３０に移行させ、通信が正常でないと判定された場合に処理をＳ１６０に移行させる。

【0060】

定期処理部１３は、Ｓ１３０では、第１状態フラグが非アクティブレベルであるか否かを判定する。ここで、定期処理部１３は、第１状態フラグが非アクティブレベルであると判定された場合に処理をＳ１４０へ移行させる。定期処理部１３は、Ｓ１４０では正常カウンタによるカウント値をカウントアップ（例えば、１つ増加）し、異常カウンタによるカウント値をリセット（すなわち、０に設定）する。そして、定期処理部１３は、処理をＳ１６０へ移行する。

【0061】

一方、定期処理部１３は、第１状態フラグがアクティブレベルであると判定された場合に処理をＳ１５０へ移行させる。定期処理部１３は、Ｓ１５０では正常カウンタによるカウント値をリセット（すなわち、０に設定）し、異常カウンタによるカウント値をカウントアップ（例えば、１つ増加）する。そして、定期処理部１３は、処理をＳ１６０へ移行する。

【0062】

定期処理部１３は、Ｓ１６０では、異常カウンタによるカウント値が予め定められた確定判定回数（例えば、３）以上であるか否かを判定する。確定判定回数は、マイコン５が備えるメモリに予め記憶されている。本実施形態では確定判定回数が３である例を説明するが、確定判定回数はこれに限定されるものではない。確定判定回数は１以上の任意の整数であってよいが、２以上の整数であることが望ましい。

【0063】

定期処理部１３は、異常カウント値が確定判定回数以上である場合に処理をＳ１７０へ移行させ、異常カウント値が確定判定回数未満である場合に処理をＳ１８０へ移行させる。
定期処理部１３は、Ｓ１７０では、異常フラグをオン（すなわち、アクティブレベル）に設定し、正常フラグをオフ（すなわち、非アクティブレベル）に設定する。そして、定期処理部１３は、処理をＳ１８０へ移行する。

【0064】

なお、Ｓ１７０では、定期処理部１３は、異常フラグがオンとなると、フェイルセーフ処理を実行することが可能である。定期処理部１３は、異常フラグがオンとなると、例えば、通信部１０を用いてバス６を介したＳＰＩ通信により、ＩＣ７に対して、ＩＣ７に上述のフェイルセーフ処理を実行させる指示を出力してもよい。ＩＣ７は、この指示に従って、フェイルセーフ部３６を用いてフェイルセーフ処理を実行することができる。

【0065】

定期処理部１３は、Ｓ１８０では、異常フラグがオフであり、且つ、正常カウンタによるカウント値が１以上であるか否かを判定する。ここで、定期処理部１３は、肯定判定される場合に処理をＳ１９０へ移行させ、Ｓ１９０にて正常フラグをオンに設定し、以上で本遅延判定処理を終了する。一方、定期処理部１３は、Ｓ１８０にて否定判定される場合に、以上で本遅延判定処理を終了する。

【0066】

＜作動＞
上述のように構成された定期処理部１３を含むマイコン５及びＩＣ７（すなわち、ＥＣＵ１）の作動を図８に基づいて説明する。なお、図８では、例えば時刻ｔ１と時刻ｔ１１、時刻ｔ２と時刻ｔ２１、時刻ｔ３と時刻ｔ３１といった時間間隔等を、作動を説明するために、わかりやすい間隔で表示している。図８は、必ずしも実際のタイミングや時間間隔を厳密に表示するものではない。

【0067】

定期処理部１３は、動作クロックＣＫｍが遅れたか否かといった情報を示す第１状態フラグを、第１状態フラグが定期信号の受信（例えば、時刻ｔ１１、時刻ｔ２１、時刻ｔ３１等）によってリセットされる前（例えば、時刻ｔ１、時刻ｔ２、時刻ｔ３等）に、取得する。定期処理部１３は、（例えば、時刻ｔ１、時刻ｔ２、時刻ｔ３等において、）アクティブレベルの第１状態フラグが連続した回数（すなわち、アクティブレベルの第１状態フラグが定期処理にて連続したサイクル数）をカウントする。

【0068】

定期処理部１３は、アクティブレベルの第１状態フラグが確定判定回数（例えば、３回）以上連続した場合（例えば、時刻ｔ３）に、動作クロックＣＫｍが遅延しているとの判定を確定する。そして、定期処理部１３は、異常フラグをオンに設定し、正常フラグをオフに設定する。

【0069】

定期処理部１３は、例えば時刻ｔ３にて動作クロックＣＫｍが遅延しているとの判定が確定される（すなわち、異常フラグがオンに設定される）と、制御対象（すなわち、各種アクチュエータ）への出力を制限するフェイルセーフ処理を実行する。定期処理部１３は、フェイルセーフ処理の実行によって、動作クロックＣＫｍが遅延している場合であっても車両が安全に退避走行できるようにする。

【0070】

［１－３．効果］
以上詳述した第１実施形態によれば、以下の効果を奏する。
（１ａ）ＥＣＵ１では、ＩＣ７にて内部カウンタ３３は、内部クロックＣＫｉに従ってカウント動作を行い、マイコン５からの定期信号が受信される毎にカウント値がリセットされる。比較ロジック部３４は、内部カウンタ３３によるカウント値が、第１判定周期値以上である場合に、第１状態フラグをアクティブレベルに設定する。第１判定周期値は、設計値である出力周期（例えば、１０ｍｓｅｃ）よりも長い第１判定期間（例えば、２０ｍｓｅｃ）を内部クロックＣＫｉの周期で除した値に相当する。また、比較ロジック部３４は、前記アクティブレベルに設定された第１状態フラグを定期信号の受信によって非アクティブレベルに設定する。

【0071】

マイコン５は、定期処理部１３を備え、定期処理部１３は遅延判定部１５と信号送信部１６とを備える。遅延判定部１５は、動作クロックＣＫｍに従ってカウントされるカウント値が出力周期値になる毎にＩＣ７から第１状態フラグを取得して動作クロックＣＫｍが遅延しているか否かを判定する。出力周期値は、設計値である出力周期を動作クロックＣＫｍの設計周期で除した値に相当する。信号送信部１６は、遅延判定部１５によって第１状態フラグが取得された後に、定期信号をＩＣ７に送信する。

【0072】

これにより、マイコン５は、定期信号の送信によってリセットされる前の第１状態フラグに基づいて、動作クロックＣＫｍが遅延しているか否かを判定することができる。
また、予めＩＣ７を備えるＥＣＵ１において、ＩＣ７の設計変更を行うことなく、マイコン５によって動作クロックＣＫｍの遅延を判定することができる。ここでいうＩＣ７とは、動作クロックＣＫｍが遅延しているか否かを示す第１状態フラグを定期信号の受信によってリセットする上述のＩＣ７をいう。

【0073】

（１ｂ）マイコン５は、Ｓ１００では、動作クロックＣＫｍに従ってカウントされるカウント値が出力周期値になる毎に、ＩＣ７から第１状態フラグを取得する。マイコン５は、Ｓ１５０では、アクティブレベルである第１状態フラグが連続して取得される回数である連続回数（すなわち、異常カウント値）をカウントする。マイコン５は、Ｓ１７０では、連続回数が確定判定回数（例えば、３回）以上である場合に、動作クロックＣＫｍの遅延が生じていることを確定する。これにより、ノイズ等の影響を抑制し、動作クロックＣＫｍの遅延を精度よく判定することができる。

【0074】

（１ｃ）ＩＣ７は、第１状態フラグがアクティブレベルである期間が途絶判定期間以上である場合に、動作クロックＣＫｍが途絶していると判定する。これにより、動作クロックＣＫｍの途絶を、ノイズ等の影響を抑制して、精度よく判定することができる。

【0075】

（１ｄ）マイコン５は、定期処理部１３にて、動作クロックＣＫｍの遅延が生じていると判定すると、ＥＣＵ１による制御対象を作動させるための各種アクチュエータへの出力を制限するフェイルセーフ処理を実行する。これにより、動作クロックＣＫｍの遅延が生じている場合にも、車両を安全に退避走行させることができる。

【0076】

なお、上述の実施形態において、ＥＣＵ１が電子制御装置に相当し、マイコン５が第１処理部に相当し、バス６が通信経路に相当、ＩＣ７が第２処理部に相当し、比較ロジック部３４が比較部に相当する。判定ロジック部３５が途絶確定部に相当し、遅延判定部１５が遅延判定部に相当し、信号送信部１６が信号送信部に相当する。また、Ｓ３０が遅延判定部としての処理に相当し、Ｓ４０が信号送信部としての処理に相当する。Ｓ１００が取得部としての処理に相当し、Ｓ１５０がカウント部としての処理に相当し、Ｓ１７０が遅延確定部としての処理に相当する。また、第１状態フラグが状態信号に相当し、第１判定期間が判定期間に相当し、第１判定周期値が判定周期値に相当し、異常カウント値が連続回数に相当する。

【0077】

［２．第２実施形態］
［２－１．構成］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。なお、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

【0078】

上述した第１実施形態では、定期処理部１３は、アクティブレベルの第１状態フラグが確定判定回数（例えば、３回）連続して取得された場合に、動作クロックＣＫｍの遅延が生じていると判定した。これに対し、第２実施形態では、定期処理部１３は、ＩＣ７が備える内部カウンタ３３のカウンタ値を更に取得して動作クロックＣＫｍの遅延を判定する点で、第１実施形態と相違する。

【0079】

［２－２．処理］
第２実施形態の定期処理部１３が、第１実施形態の定期処理（すなわち、図６）に代えて実行する定期処理について、図９のフローチャートを用いて説明する。なお、図９におけるＳ１０－Ｓ２０、Ｓ４０の処理は、図６におけるＳ１０－Ｓ２０、Ｓ４０の処理と同様であるため、以下では説明を一部簡略化する。

【0080】

＜定期処理＞
本実施形態の定期処理部１３が実行する定期処理について、図９のフローチャートを用いて説明する。定期処理部１３は、Ｓ１０にて通常処理を実行し、Ｓ２０にて第１状態フラグを読み出した後、続くＳ２５では、内部カウンタ３３のカウント値を読み出す。定期処理部１３は、続くＳ３５では、図１０に示す遅延判定処理を実行し、遅延判定処理の実行後にＳ４０にて定期信号を送信する。

【0081】

＜遅延判定処理＞
次に、定期処理部１３が上述のＳ３５にて実行する遅延判定処理について、図１０に示すフローチャートに基づいて説明する。なお、本実施形態の遅延判定処理は、図７に示す第１実施形態の遅延処理に対して、Ｓ１０５、Ｓ１１５、Ｓ１４５、Ｓ１５５、Ｓ１６５が追加されている点で第１実施形態と相違する。以下では、第１実施形態と同様の処理については説明を一部簡略化する。

【0082】

定期処理部１３は、Ｓ１００にて第１状態フラグの読み出し結果を取得した後、続くＳ１０５では、内部カウンタ３３のカウント値の読み出し結果を取得する。例えば、定期処理部１３は、内部カウンタ３３のカウンタ値をＩＣ７からマイコン５へ送信させる指示を、バス６を介してＩＣ７（すなわち、通信部３０）へ送信してもよい。ＩＣ７（例えば、通信部３０）は、この指示に従って内部カウンタ３３のカウント値を読み出して、上述の指示への応答としてこのカウント値を、バス６を介してマイコン５（すなわち、通信部１０）へ送信してもよい。

【0083】

このようにして、定期処理部１３は、第１状態フラグと内部カウンタ３３のカウント値とを、定期信号の送信直前に取得する。つまり、動作クロックＣＫｍが途絶していない場合、内部カウンタ３３のカウント値は、実際の定期信号の受信間隔（すなわち、送信周期Ｔｓ）に相当する値を示しており、定期信号の送信周期Ｔｓを内部クロックＣＫｉの設計周期で除した値に等しい。

【0084】

定期処理部１３は、次にＳ１１０では、正常カウント値、異常カウント値、正常フラグ、及び異常フラグを取得する。
定期処理部１３は、続くＳ１１５では、マイコン５のメモリに記憶されている異常継続時間を取得する。異常継続時間は、ＩＣ７にて第１状態フラグが連続してアクティブレベルに設定される時間を示す。換言すれば、異常継続時間は、動作クロックＣＫｍが途絶せず遅延している場合に、ＩＣ７にて計測する定期信号の受信間隔（すなわち、送信周期Ｔｓ）の合計値を示す。

【0085】

定期処理部１３は、続くＳ１２０、Ｓ１３０では、図７に示すＳ１２０、Ｓ１３０と同様の処理を実行する。
ここで、定期処理部１３は、Ｓ１３０にて第１状態フラグが非アクティブレベルであると判定された場合に処理をＳ１４０に移行させる。定期処理部１３は、Ｓ１４０では正常カウント値をカウントアップ（例えば、１つ増加）し、異常カウント値をリセット（すなわち、０に設定しメモリに記憶）する。次に、定期処理部１３は、Ｓ１４５では、異常継続時間をリセット（すなわち、０に設定）し、処理をＳ１６０へ移行させる。

【0086】

一方、定期処理部１３は、Ｓ１３０にて第１状態フラグがアクティブレベルであると判定された場合に処理をＳ１５０に移行させ、Ｓ１５０では正常カウント値をリセット（すなわち、０に設定）し、異常カウント値をカウントアップ（例えば、１つ増加）する。

【0087】

次に、定期処理部１３は、Ｓ１５５では、メモリに記憶されている異常継続時間に、内部カウンタ３３によるカウント値に相当する時間を加算して新たな異常継続時間とし、この新たな異常継続時間をメモリに上書きして記憶し、処理をＳ１６０へ移行させる。内部カウンタ３３によるカウント値に相当する時間とは、内部クロックＣＫｉの設計周期にＳ１０５にて取得した内部カウンタ３３のカウント値を乗じた値をいう。

【0088】

定期処理部１３は、Ｓ１６０では、異常カウント値が予め定められた確定判定回数（例えば、３）以上である場合に処理をＳ１７０へ移行させ、異常カウント値が確定判定回数未満である場合に処理をＳ１６５へ移行させる。

【0089】

定期処理部１３は、Ｓ１６５では、異常カウント値が準判定回数以上であり、且つ、異常継続時間が予め定められた継続閾値（例えば、８０ｍｓｅｃ）以上であるか否かを判定する。

【0090】

準判定回数は、例えば、確定判定回数から予め定められた縮小値（例えば、１）を減じた値といったように、確定判定回数よりも小さい整数である。準判定回数は１以上の整数であり、この場合、確定判定回数は２以上の整数である。なお、本実施形態では、確定判定回数である３から縮小値としての１を減じた値（すなわち、３－１）である２が、準判定回数として設定される。

【0091】

継続閾値は、検出すべき遅延する動作クロックＣＫｍの周期の最小値として予め定められた遅延クロック周期（例えば、４０ｍｓｅｃ）と、確定判定回数（例えば、３）とを乗じた時間よりも、小さい時間（例えば、後述する８０ｍｓｅｃ）に設定され得る。但し、遅延クロック周期は、第１判定期間以上の任意の時間に設定され得る。

【0092】

ここで、定期処理部１３は、肯定判定される場合に処理をＳ１７０へ移行させ、Ｓ１７０では、異常フラグをオンに設定し、正常フラグをオフに設定し、ＩＣ７へフェイルセーフ処理を実行させる指示を出力し、処理をＳ１８０へ移行させる。一方、定期処理部１３は、否定判定される場合に処理をＳ１８０へ移行させる。

【0093】

定期処理部１３は、続くＳ１８０、Ｓ１９０では、図７に示すＳ１８０、Ｓ１９０と同様の処理を実行する。そして、定期処理部１３は、以上で遅延判定処理を終了する。
＜作動＞
上述のように構成された定期処理部１３を含むマイコン５及びＩＣ７を備えるＥＣＵ１の作動を、図１１に基づいて説明する。ここでは、動作クロックＣＫｍが、出力周期（すなわち、１０ｍｓｅｃ）よりも非常に遅い周期（例えば、９０ｍｓｅｃ）となった例を、動作クロックＣＫｍの遅延の例として説明する。

【0094】

時刻ｔ１では、ＩＣ７にてアクティブレベルに設定された第１状態フラグをマイコン５にて読み出す。これにより、異常カウント値は０から１にカウントアップされ、正常カウント値は、例えば正常カウンタによってカウント可能な最大値からリセット（すなわち、０に設定）される。そして、ＩＣ７から第１状態フラグと共に取得された内部カウンタ３３のカウント値に相当する時間（例えば、９０ｍｓｅｃ）が異常継続時間としてメモリに記憶される。時刻ｔ１では、異常判定フラグはオフに設定されており、正常判定フラグはオンに設定されている。ＥＣＵ１の制御対象（例えば、上述のトランスミッション）の制御を実行する各種アクチュエータに対しては、通常制御が行われている。

【0095】

時刻ｔ２では、ＩＣ７にてアクティブレベルに設定された第１状態フラグをマイコン５にて読み出す。これにより、異常カウント値は１から２にカウントアップされ、正常カウント値はリセットされる（すなわち、リセットされた状態を維持する）。そして、ＩＣ７から第１状態フラグと共に取得された内部カウンタ３３のカウント値に相当する時間（例えば、９０ｍｓｅｃ）がメモリに既に記憶されている異常継続時間に加算される。加算後の異常継続時間が新たな異常継続時間（例えば、１８０ｍｓｅｃ）としてメモリに記憶される。

【0096】

時刻ｔ２では、アクティブレベルに設定された第１状態フラグが２回連続して検出されており（すなわち、異常カウント値＝２）、且つ、異常継続時間（すなわち、１８０ｍｓｅｃ）が継続閾値（すなわち、８０ｍｓｅｃ）以上となっている。このため、時刻ｔ２では、異常判定フラグはオンに設定され、正常判定フラグはオフに設定される。ＥＣＵ１の制御対象（例えば、上述のトランスミッション）の制御を実行する各種アクチュエータに対しては、フェイルセーフ処理により、通常よりも制能が制限される。

【0097】

これにより、異常カウント値が確定判定回数（例えば、３）以上となることを待たずに、動作クロックＣＫｍの遅延が確定される。また、結果として、異常カウント値が確定判定回数以上となることを待たずに、速やかにフェイルセーフ処理が実行される。

【0098】

［２－３．効果］
以上詳述した第２実施形態によれば、上述した第１実施形態の効果（１ａ）－（１ｄ）を奏し、さらに、以下の効果を奏する。

【0099】

（２ａ）マイコン５は、Ｓ１００ではＩＣ７から第１状態フラグを取得すると共に、Ｓ１０５では、第１状態フラグが取得されるときの内部カウンタ３３のカウント値を取得する。マイコン５は、Ｓ１６５では、異常カウント値が確定判定回数未満であると判定された場合に、異常カウント値が準判定回数以上であり、且つ、異常継続時間が継続閾値以上である場合に、動作クロック信号の遅延を確定する。準判定回数は確定判定回数よりも小さい値である。異常継続時間は、アクティブレベルである第１状態フラグが準判定回数連続して取得されたときの内部カウンタ３３のカウント値の合計値に相当する時間である。相当する時間とは、カウント値の合計値に内部カウンタ３３を動作させる内部クロックＣＫｉの設計周期を乗じた値をいう。

【0100】

これにより、動作クロックＣＫｍの周期が非常に長くなった場合、異常カウント値が確定判定回数以上となることを待たずに、動作クロックＣＫｍの遅延を速やかに確定することができる。また、結果として、異常カウント値が確定判定回数以上となることを待たずに、速やかにフェイルセーフ処理に移行することができる。

【0101】

（２ｂ）継続閾値は、検出すべき遅延クロック周期と確定判定回数とを乗じた値よりも小さい値に設定されてもよい。検出すべき遅延クロック周期は、検出すべき遅延する動作クロックＣＫｍの、周期の最小値として予め定められた値であり得る。これにより、（２ａ）の効果を得ることができる。

【0102】

なお、上述の実施形態において、Ｓ１００、Ｓ１０５が取得部としての処理に相当し、Ｓ１６５が早期遅延確定部としての処理に相当する。異常継続時間が合計値に相当する時間に相当する。

【0103】

［３．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。

【0104】

（３ａ）上述の実施形態において、図２に示すように、定期処理部の処理は、通常処理部→遅延判定部→信号送信部、という順番としたが、本開示はこれに限定されるものではない。遅延判定部と信号送信部の順番が変わらなければ遅いクロックに対する異常判定には問題ないため、遅延判定部→信号送信部→通常処理部としても良い。
また、上記実施形態では、定期処理部１３は、通常処理部１４、遅延判定部１５、信号送信部１６を備え、これら一連の機能を実行したが、本開示はこれに限定されるものではない。例えば、定期処理部１３は、遅延判定部１５、信号送信部１６のみを実行するものであってもよく、通常処理部１４、遅延判定部１５、信号送信部１６、に加えて更に他の機能を実行するものであってもよい。いずれの場合においても、定期処理部１３の各機能は予め定められた順に毎回実行され、各機能のうち遅延判定部１５は信号送信部１６よりも前に（すなわち、換言すれば信号送信部１６は遅延判定部１５よりも後に）実行される。

【0105】

（３ｂ）上述の実施形態において、マイコン５とＩＣ７とは、バス６を介してＳＰＩに従って通信を行うものであったが、通信方式は、クロック同期式通信であればよく、ＳＰＩに限定されるものではない。

【0106】

（３ｃ）上述の実施形態において、アクティブレベルがオフの状態（例えば、ローレベルである０を示す状態）であり、非アクティブレベルがオンの状態（例えば、ハイレベルである１を示す状態）であってもよい。

【0107】

（３ｄ）上述の実施形態において、マイコン５が実行する遅延判定処理において、異常継続時間はＩＣ７にて第１状態フラグが連続してアクティブレベルに設定される時間を示していたが、本開示はこれに限定されるものではない。異常継続時間は、ＩＣ７にて第１状態フラグが連続してアクティブレベルに設定される時間に相当する内部カウンタ３３のカウント値、又はカウント値の合計値を示していてもよい。この場合、継続閾値（例えば、８０ｍｓｅｃ）は、継続閾値という時間に相当する内部カウンタ３３のカウント値を示していてもよい。時間に相当する内部カウンタ３３のカウント値とは、時間を内部カウンタ３３を動作させる内部クロックＣＫｉの設計周期で除した値に相当する。マイコン５は、Ｓ１６５では、異常カウント値が準判定回数（すなわち、２）以上であり、且つ、カウント値で示された異常継続時間がカウント値で示された継続閾値以上であるか否か、を判定してもよい。

【0108】

（３ｅ）本開示に記載のＥＣＵ１、マイコン５、ＩＣ７及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載のＥＣＵ１、マイコン５、ＩＣ７及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の、ＥＣＵ１、マイコン５、ＩＣ７及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。ＥＣＵ１、マイコン５、ＩＣ７に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。

【0109】

（３ｆ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

【0110】

（３ｇ）上述したＥＣＵ１、マイコン５、ＩＣ７、又は定期処理部１３の他、当該ＥＣＵ１、マイコン５、ＩＣ７、又は定期処理部１３を機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、クロック遅延判定方法など、種々の形態で本開示を実現することもできる。

【符号の説明】

【0111】

１…ＥＣＵ、５…マイコン、６…バス、７…ＩＣ、１３…定期処理部、１５…遅延判定部、１６…信号送信部、３３…内部カウンタ、３４…比較ロジック部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】