　ECUは、自身の電子回路に加えてシステムを構成するセンサー、アクチュエータなど全ての部品の故障によって制御異常を生じるリスクを有しています。制御異常を生じると本来の機能を発揮できないだけでなく、内容によっては、人身に害を及ぼすような事故を起こすことも有ります。従って電子制御システムは、これらのリスクをできるだけ小さくするように、個々の部品の安全性、信頼性に配慮することはもちろん、システム全体に故障の影響が出にくいようにECUの安全設計を行います。この一環として、故障診断機能やフェイルセーフ機能を持たせています。

　表1に発電機システムにかかわる故障について示します。ECUの故障診断機能は、電気的な故障を検出する機能が大半ですが、機械的な故障を検出する機能も含まれます。


No.	故障項目	故障内容
1	起動スイッチ・停止スイッチの故障	起動スイッチ（または停止スイッチ）回路が、断線またはショートにより、正しくオン／オフ検出が出来ない
2	コントロールスイッチ故障	コントロールスイッチ回路がショートして、正しく運転モードを検出できない
3	スロットルモーター故障	モーター断線によりスロットルが作動しない
4	スロットルポジションセンサー故障	センサー故障によりスロットル位置が検出できない
5	回転センサー故障	断線やセンサー故障により回転数が検出できない
6	水温センサー故障	断線やセンサー故障により水温を検出できない
7	エンジンオイル圧センサー故障	エンジンオイル圧スイッチが、オンしない。（オイルポンプ故障の場合を含む）
8	燃料ポンプ故障	回路またはリレー断線により燃料ポンプに通電できない
表1　エンジン発電機システムの故障項目（連載第3回の図1および連載第4回の図1参照）

　故障診断とは、電気回路の特性から回路が正常ならば起こり得ない入力状態や、電気的には正常でもエンジンの特性から起こるはずのない信号値を診断する機能で、制御ソフトの一部です。

　故障診断機能のテストは、故障診断ロジックが想定している異常なシステム状態を作り出して、ECUが故障診断の機能要件通りに故障検出することを検証する作業です。

　HILSインタフェース回路の設計段階でテスト目的やテスト内容を吟味して設計検討する必要があると述べましたが、特に故障診断機能のテストを行う上で、インタフェース回路が重要です。

　以下に個々の回路に関する故障診断機能テストを検討しましょう。

起動スイッチ、停止スイッチの異常

　表1-1項の起動スイッチ状態の詳細は、正常・異常を含めて、例えば表2のようになります。故障診断ロジックは、（4）～（7）を異常と判定します。

表2　起動・停止スイッチの状態（クリックで拡大）

HILSインタフェースで起動スイッチ、停止スイッチ故障を実現する

　表2の（4）、（5）の電源ショート故障は、スイッチ接点が固着してオン操作したのちしばらくオフに戻らない場合や、回路途中で12V配線とショートする場合に起こります。

　ECUのスイッチ固着検出方法の一例は、スイッチオン時間が長すぎる場合（10秒以上）にスイッチ固着と判定します。ここでスイッチオン時間は、通常の起動操作ではスイッチを押してから1～2秒でエンジンが始動して直後にスイッチを離す中、エンジンが始動しにくい場合を考慮してもスイッチを押し続ける時間が10秒を超えないことを前提としています。

　テストでショート故障を実現するには、スイッチ操作と関係なく入力端子電圧12Vを10秒以上続けます。

　また（6）、（7）の断線故障は、電気的にはオンでもオフでもない状態です。起動スイッチ・停止スイッチのように常に電源かGNDのどちらかにつながる回路では、スイッチが接触不良の場合や、配線が断線の場合にこの状態になります。

　ECUが断線故障を検出する方法は、例えば内部に断線検出用のパルス信号発生回路を追加することにより実現できます。正常－無操作のオフ（GND接続）状態にパルスを発生しても、ECU入力電圧はGNDにつながっているので0Vですが、断線状態になるとパルス電圧に等しい電圧が発生します。パルスと同期して、入力電圧の変化を監視することにより回路断線を診断することができます。パルス電圧の発生は瞬時に故障と判定できますので、判定時間を仮に0.5秒とします。

　テストで断線故障を実現するには完全な断線状態が必要です。図1（a）のトランジスタスイッチを適用したHILS回路（連載第3回の図2の再掲）では、オフ時に12V電源電圧が加わるので実現不可能です。図1（b）のように有接点のリレーを使ってGND接点リレーと12V接点リレーをともにオフすることによって断線故障を実現できます。