DE112018003505T5 - ACCESS CONTROL DEVICE - Google Patents

ACCESS CONTROL DEVICE Download PDF

Info

Publication number
DE112018003505T5
DE112018003505T5 DE112018003505.0T DE112018003505T DE112018003505T5 DE 112018003505 T5 DE112018003505 T5 DE 112018003505T5 DE 112018003505 T DE112018003505 T DE 112018003505T DE 112018003505 T5 DE112018003505 T5 DE 112018003505T5
Authority
DE
Germany
Prior art keywords
task
access
time
slot
state
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE112018003505.0T
Other languages
German (de)
Inventor
Yuki Tanaka
Fumio Narisawa
Satoshi Otsuka
Yasuhiro Oda
Tasuku Ishigooka
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Astemo Ltd
Original Assignee
Hitachi Automotive Systems Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Automotive Systems Ltd filed Critical Hitachi Automotive Systems Ltd
Publication of DE112018003505T5 publication Critical patent/DE112018003505T5/en
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/48—Program initiating; Program switching, e.g. by interrupt
    • G06F9/4806—Task transfer initiation or dispatching
    • G06F9/4843—Task transfer initiation or dispatching by program, e.g. task dispatcher, supervisor, operating system
    • G06F9/4881—Scheduling strategies for dispatcher, e.g. round robin, multi-level priority queues
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/52—Program synchronisation; Mutual exclusion, e.g. by means of semaphores
    • G06F9/526—Mutual exclusion algorithms

Abstract

Der Zweck der vorliegenden Erfindung ist, den Einfluss eines ausschließlichen Erlangens in Bezug auf gemeinsam verwendete Daten durch eine Aufgabe mit niedriger Priorität auf den Betrieb einer weiteren Aufgabe zu verhindern. Eine Zugriffssteuereinrichtung ist mit Folgendem versehen: einer Anwendungseinheit, die eine erste Aufgabe mit relativ niedriger Priorität und eine zweite Aufgabe mit relativ hoher Priorität enthält, wobei die Aufgaben auf der Grundlage der Priorität der Ausführung klassifiziert sind; einer Ausführungseinheit zum Ausführen der ersten Aufgabe und der zweiten Aufgabe; einer Systemzustandsmanagementeinheit zum Zuordnen eines Schlitzes, der eine vorgegebene Dauer für jede Aufgabe ist, zu jeder Aufgabe, die ausgeführt werden soll, und zum Setzen im Schlitz, der der ersten Aufgabe zugeordnet ist, einer ersten vorgegebenen Zeit am Ende des Schlitzes als eine Zugriffsüberwachungszeit; einer gemeinsam verwendeten Dateneinheit, auf die durch die erste Aufgabe und die zweite Aufgabe zugegriffen wird; und einer Datenzugriffssteuereinheit zum Verbieten eines Zugriffs auf die gemeinsam verwendete Dateneinheit durch die erste Aufgabe in der Zugriffsüberwachungszeit.The purpose of the present invention is to prevent the influence of exclusively acquiring shared data by a low priority task on the operation of another task. An access control device is provided with: an application unit containing a first task with a relatively low priority and a second task with a relatively high priority, the tasks being classified on the basis of the priority of execution; an execution unit for executing the first task and the second task; a system state management unit for assigning a slot that is a predetermined duration for each task to each task to be executed and for setting in the slot associated with the first task a first predetermined time at the end of the slot as an access guard time; a shared data unit accessed by the first task and the second task; and a data access control unit for prohibiting access to the shared data unit by the first task in the access monitoring time.

Description

Technisches GebietTechnical field

Die vorliegende Erfindung bezieht sich auf eine Zugriffssteuereinrichtung.The present invention relates to an access control device.

Technischer HintergrundTechnical background

In einer Steuereinrichtung werden verschiedene Aufgaben ausgeführt, die verschiedene Prioritäten besitzen. Es ist nötig, dass der Wirkablauf einer Aufgabe, die eine höhere Priorität besitzt, nicht durch eine Aufgabe, die eine niedrigere Priorität besitzt, behindert wird. PTL 1 offenbart eine Aufgabenausführungssteuereinrichtung, die eine Aufgabenplanung unter der Bedingung durchführt, dass in einem System die Priorität einer ersten Aufgabe höher als die Priorität einer zweiten Aufgabe ist, in dem ein Betriebsmittel durch die erste Aufgabe, in der eine geplante Ausführungsstartzeit vorhersagbar ist, und die zweite Aufgabe, in der eine Zeitdauer, für die ein gemeinsam verwendetes Betriebsmittel belegt ist und verwendet wird, bekannt ist, gemeinsam verwendet wird. Die Aufgabenausführungssteuereinrichtung enthält ein Zeitberechnungsmittel zum Erhalten einer nächsten geplanten Ausführungsstartzeit der ersten Aufgabe und einer geplanten Freigabezeit, zu der erwartet wird, dass die zweite Aufgabe das gemeinsam verwendete Betriebsmittel freigibt, vor der Belegung des gemeinsam verwendeten Betriebsmittels durch die zweite Aufgabe und ein Betriebsmittelmanagementmittel zum Vergleichen der nächsten geplanten Ausführungsstartzeit und der geplanten Freigabezeit, das der zweiten Aufgabe nicht erlaubt, das gemeinsam verwendete Betriebsmittel zu belegen, wenn die nächste geplante Ausführungsstartzeit früher als die geplante Freigabezeit ist, und der zweiten Aufgabe erlaubt, das gemeinsam verwendete Betriebsmittel zu belegen, wenn die nächste geplante Ausführungsstartzeit nicht früher als die geplante Freigabezeit ist.Various tasks with different priorities are carried out in a control device. It is necessary that the operational sequence of a task that has a higher priority is not impeded by a task that has a lower priority. PTL 1 discloses a task execution controller that performs task scheduling on the condition that, in a system, the priority of a first task is higher than the priority of a second task, in which a resource is predictable by the first task in which a scheduled execution start time is predictable, and the second task, in which a period of time for which a shared resource is occupied and used is known, is shared. The task execution control means includes time calculation means for obtaining a next scheduled execution start time of the first task and a scheduled release time at which the second task is expected to release the shared resource before the shared resource is occupied by the second task, and resource management means for comparison the next scheduled execution start time and the scheduled release time, which does not allow the second task to occupy the shared resource if the next scheduled execution start time is earlier than the scheduled release time, and the second task allows the shared resource to be occupied if the next scheduled execution start time is not earlier than the scheduled release time.

EntgegenhaltungslisteReply list

PatentliteraturPatent literature

PTL 1: JP 2003-131892 A PTL 1: JP 2003-131892 A

Zusammenfassung der ErfindungSummary of the invention

Technisches ProblemTechnical problem

In der Erfindung, die in PTL 1 beschrieben ist, kann ein Einfluss der Aufgabe, die die niedrigere Priorität besitzt, auf den Wirkablauf einer weiteren Aufgabe aufgrund eines ausschließlichen Erlangens gemeinsam verwendeter Daten nicht verhindert werden.In the invention described in PTL 1, an influence of the task which has the lower priority on the operation of another task cannot be prevented due to the exclusive acquisition of shared data.

Lösung des Problemsthe solution of the problem

Gemäß einem ersten Aspekt der vorliegenden Erfindung enthält eine Zugriffssteuereinrichtung Folgendes: eine Anwendungseinheit, die eine erste Aufgabe, die eine relativ niedrigere Priorität besitzt, und eine zweite Aufgabe, die eine relativ höhere Priorität besitzt, enthält, wobei die erste Aufgabe und die zweite Aufgabe durch die Priorität der Ausführung klassifiziert sind; eine Ausführungseinheit, die die erste Aufgabe und die zweite Aufgabe ausführt; einen Systemzustandsmanager, der jeder Aufgabe, die ausgeführt werden soll, einen Schlitz einer bestimmten Dauer zuweist, wobei die bestimmte Dauer für jede Aufgabe vorgegeben ist, und eine erste vorgegebene Zeit an einem Ende des Schlitzes, der der ersten Aufgabe zugewiesen ist, zu einer Zugriffsüberwachungszeit setzt;
eine gemeinsam verwendete Dateneinheit, auf die durch die erste Aufgabe und die zweite Aufgabe zugegriffen wird; und einen Datenzugriffs-Controller, der verbietet, dass die erste Aufgabe während der Zugriffsüberwachungszeit auf die gemeinsam verwendete Dateneinheit zugreift.According to a first aspect of the present invention, an access control device includes: an application unit that includes a first task that has a relatively lower priority and a second task that has a relatively higher priority, the first task and the second task performed by the execution priority is classified; an execution unit that executes the first task and the second task; a system state manager that assigns a slot of a certain duration to each task to be executed, the predetermined duration being predetermined for each task, and a first predetermined time at one end of the slot assigned to the first task at an access guard time puts;
a shared data unit accessed by the first task and the second task; and a data access controller that prohibits the first task from accessing the shared data unit during the access guard time.

Vorteilhafte Wirkungen der ErfindungAdvantageous effects of the invention

Gemäß der vorliegenden Erfindung kann der Einfluss der Aufgabe, die die niedrigere Priorität besitzt, auf den Wirkablauf einer weiteren Aufgabe aufgrund eines ausschließlichen Erlangens der gemeinsam verwendeten Daten verhindert werden.According to the present invention, the influence of the task having the lower priority on the operation of another task can be prevented due to the exclusive acquisition of the shared data.

FigurenlisteFigure list

  • [1] 1 ist ein schematisches Diagramm eines Fahrzeugsystems 2001.[ 1 ] 1 is a schematic diagram of a vehicle system 2001 .
  • [2] 2 ist ein Gesamtblockdiagramm einer Fahrzeugsteuereinrichtung 2002.[ 2nd ] 2nd Fig. 3 is an overall block diagram of a vehicle control device 2002 .
  • [3] 3 ist ein Diagramm eines Zustandsübergangs einer Aufgabe.[ 3rd ] 3rd is a diagram of a state transition of a task.
  • [4] 4 ist eine Ansicht, die ein Ausführungsbeispiel der Aufgabe darstellt.[ 4th ] 4th Fig. 12 is a view illustrating an embodiment of the object.
  • [5] 5 ist ein Diagramm, das ein Beispiel einer Planungstabelle 501 darstellt.[ 5 ] 5 is a diagram that is an example of a planning table 501 represents.
  • [6] 6 ist eine Ansicht, die eine genaue Konfiguration eines Aufgabenausführungs-Controllers 206 darstellt.[ 6 ] 6 Fig. 12 is a view showing a detailed configuration of a task execution controller 206 represents.
  • [7] 7 ist ein Ablaufplan, der den Wirkablauf einer Planungseinheit 108 darstellt.[ 7 ] 7 is a flow chart that shows the operational sequence of a planning unit 108 represents.
  • [8] 8 ist ein Ablaufplan, der einen Aufgabenwirkablauf darstellt.[ 8th ] 8th is a flowchart that represents a task effect flow.
  • [9] 9 ist eine Ansicht, die eine Datenzugriffsüberwachungszeit darstellt.[ 9 ] 9 Fig. 11 is a view illustrating a data access monitoring time.
  • [10] 10 ist ein Ablaufplan, der den Wirkablauf eines Systemzustandsmanagers 111 darstellt. [ 10th ] 10th is a flow chart showing the operational flow of a system state manager 111 represents.
  • [11] 11 ist ein Ablaufplan, der den Wirkablauf eines Aufgabenzustandsmanagers 107 darstellt.[ 11 ] 11 is a flow chart showing the operational flow of a task state manager 107 represents.
  • [12] 12 ist ein schematisches Diagramm, das einen Zugriff einer ersten Aufgabe 101 auf eine gemeinsam verwendete Dateneinheit 205 darstellt.[ 12th ] 12th Figure 3 is a schematic diagram showing an access of a first task 101 to a shared data unit 205 represents.
  • [13] 13 ist eine Ansicht, die eine Zugriffsüberwachungszeit einer Übergriffsaufgabe darstellt.[ 13 ] 13 Fig. 12 is a view illustrating an access watch time of an intrusion task.
  • [14] 14 ist eine Ansicht, die Einstellungsbeispiel der Zugriffsüberwachungszeit darstellt.[ 14 ] 14 Fig. 14 is a view showing an example of access guard time setting.
  • [15] 15 ist ein Ablaufplan, der den Wirkablauf eines Datenzugriffs-Controllers 105 darstellt.[ 15 ] 15 is a flow chart showing the operational sequence of a data access controller 105 represents.
  • [16] 16 ist ein Ablaufplan, der eine Prozedur zum Zugreifen auf allgemeine gemeinsam verwendete Daten darstellt.[ 16 ] 16 FIG. 11 is a flowchart illustrating a procedure for accessing common shared data.
  • [17] 17 ist ein Ablaufplan, der den Wirkablauf des Datenzugriffs-Controllers 105 in einer zweiten Ausführungsform darstellt.[ 17th ] 17th is a flow chart showing the operational sequence of the data access controller 105 in a second embodiment.
  • [18] 18 ist ein Ablaufplan, der den Wirkablauf eines Systemzustandsmanagers 111 in einer dritten Ausführungsform darstellt.[ 18th ] 18th is a flow chart showing the operational flow of a system state manager 111 in a third embodiment.
  • [19] 19 ist eine Ansicht, die eine Konfiguration einer CPU 208 in einer fünften Ausführungsform darstellt.[ 19th ] 19th is a view showing a configuration of a CPU 208 in a fifth embodiment.
  • [20] 20 ist eine Ansicht, die ein Beispiel einer Systemzustandstabelle 1901 darstellt.[ 20th ] 20th is a view showing an example of a system state table 1901 represents.
  • [21] 21 ist eine Ansicht, die ein Umschreiben der Systemzustandstabelle 1901 darstellt.[ 21 ] 21 is a view that is a rewrite of the system state table 1901 represents.
  • [22] 22 ist eine Ansicht, die eine Situation darstellt, in der eine Anforderung einer zweiten Aufgabe 102, auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, vervielfältigt wird.[ 22 ] 22 Fig. 14 is a view illustrating a situation in which a request for a second task 102 on the shared data unit 205 to access is reproduced.
  • [23] 23 ist ein Ablaufplan, der den Wirkablauf des Systemzustandsmanagers 111 in der fünften Ausführungsform darstellt.[ 23 ] 23 is a flow chart showing the operational flow of the system state manager 111 in the fifth embodiment.
  • [24] 24 ist eine Ansicht, die eine Gliederung des Wirkablaufs einer Fahrzeugsteuereinrichtung 2002 in einer sechsten Ausführungsform darstellt.[ 24th ] 24th Fig. 10 is a view showing an outline of the operation of a vehicle control device 2002 in a sixth embodiment.
  • [25] 25 ist ein Blockdiagramm einer Fahrzeugsteuereinrichtung 2002 in einer siebten Ausführungsform.[ 25th ] 25th Fig. 10 is a block diagram of a vehicle control device 2002 in a seventh embodiment.
  • [26] 26 ist eine Ansicht, die den Wirkablauf einer Zeitgebermerkerüberwachungseinrichtung 2303 darstellt.[ 26 ] 26 Fig. 4 is a view showing the operation of a timer flag monitor 2303 represents.
  • [27] 27 ist ein Ablaufplan, der den Wirkablauf eines Wirkablaufprotokollmanagers 213 in einer achten Ausführungsform darstellt.[ 27 ] 27 is a flow chart showing the operational flow of an operational flow log manager 213 in an eighth embodiment.
  • [28] 28 ist eine Ansicht, die ein Beispiel eines Wirkablaufprotokolls 1101 darstellt.[ 28 ] 28 Fig. 4 is a view showing an example of an impact flow log 1101 represents.

Beschreibung von AusführungsformenDescription of embodiments

Erste AusführungsformFirst embodiment

Im Folgenden wird eine Fahrzeugsteuereinrichtung gemäß einer ersten Ausführungsform, die eine Zugriffssteuereinrichtung ist, unter Bezugnahme auf 1 bis 16 beschrieben.Hereinafter, a vehicle control device according to a first embodiment, which is an access control device, with reference to FIG 1 to 16 described.

<Konfiguration eines Fahrzeugsystems><Configuration of a vehicle system>

1 ist ein schematisches Diagramm eines Fahrzeugsystems 2001, das mit einer Fahrzeugsteuereinrichtung 2002 ausgestattet ist. Das Fahrzeugsystem 2001 enthält eine Fahrzeugsteuereinrichtung 2002, einen drahtlosen Kommunikator 2003, eine Ansteuereinrichtung 2004, eine Erkennungseinrichtung 2005, eine Ausgabeeinrichtung 2006, eine Eingabeeinrichtung 2007 und eine Benachrichtigungseinrichtung 2008. Die Fahrzeugsteuereinrichtung 2002 ist eine elektronische Steuereinrichtung, die ein Fahrzeug steuert, nämlich eine ECU (elektronische Steuereinheit). Der drahtlose Kommunikator 2003 erfasst Informationen wie z. B. eine Karte. Zum Beispiel steuert die Ansteuereinrichtung 2004 eine Kraftmaschine, ein Rad, eine Bremse und eine Lenkvorrichtung an, um eine Bewegung des Fahrzeugs auf der Grundlage einer Wirkablaufanweisung von der Fahrzeugsteuereinrichtung 2002 zu steuern. Zum Beispiel ist die Erkennungseinrichtung 2005 eine Kamera oder ein Sensor, der Informationen erfasst, die von einer Außenwelt eingegeben werden, und Informationen zum Erzeugen von Außenwelterkennungsinformationen ausgibt. Die Ausgabeeinrichtung 2006 zeigt Informationen wie z. B. eine Fahrzeuggeschwindigkeit und eine Warnung an. Zum Beispiel hat die Eingabeeinrichtung 2007 ein Pedal und einen Griff, womit ein Fahrer eine Fahrzeugwirkablaufanweisung eingibt. Zum Beispiel hat die Benachrichtigungseinrichtung 2008 eine Lampe, eine LED und ein Lautsprecher, womit das Fahrzeugsystem 2001 die Außenwelt über einen Fahrzeugzustand informiert. 1 is a schematic diagram of a vehicle system 2001 that with a vehicle control device 2002 Is provided. The vehicle system 2001 contains a vehicle control device 2002 , a wireless communicator 2003 , a control device 2004 , a recognition device 2005 , an output device 2006 , an input device 2007 and a notification device 2008 . The vehicle control device 2002 is an electronic control device that controls a vehicle, namely an ECU (electronic control unit). The wireless communicator 2003 captures information such as B. a card. For example, the control device controls 2004 an engine, a wheel, a brake, and a steering device to control movement of the vehicle based on an operational sequence instruction from the vehicle control device 2002 to control. For example, the recognizer 2005 a camera or a sensor that captures information input from an outside world and outputs information for generating outside world recognition information. The output device 2006 shows information such as B. a vehicle speed and a warning. For example, the input device 2007 a pedal and a handle, whereby a driver inputs a vehicle operation sequence instruction. For example, the notification device 2008 a lamp, an LED and a loudspeaker, with which the vehicle system 2001 informs the outside world of a vehicle condition.

<Konfiguration der automatischen Fahr-ECU><Configuration of the automatic driving ECU>

2 ist ein Gesamtblockdiagramm der Fahrzeugsteuereinrichtung 2002. Ein genaues Blockdiagramm wird später dargestellt werden. Die Fahrzeugsteuereinrichtung 2002 enthält Software 216 und Hardware 215. Die Software 216 ist durch eine CPU 208 (die später beschrieben werden soll) implementiert, die ein Programm, das in einem ROM (der nicht dargestellt ist) gespeichert ist, in einem Datenspeicher 209 nutzbar macht und das Programm ausführt. 2nd Fig. 3 is an overall block diagram of the vehicle control device 2002 . A detailed block diagram will be presented later. The vehicle control device 2002 contains software 216 and hardware 215 . The software 216 is through a CPU 208 (which will be described later) which implements a program stored in a ROM (not shown) in a data memory 209 makes usable and runs the program.

Die Hardware 215 enthält die CPU 208, die eine Zentraleinheit ist, den Datenspeicher 209, der eine nichtflüchtige Speichereinrichtung ist, einen Zeitgeber 210, der den Zeitablauf einer Echtzeitsteuerung managt, einen Netzadapter 211, der auf ein Netz zugreift, und eine Peripherieeinrichtung 212 wie z. B. einen Sensor und eine automatische Bremsvorrichtung. Die CPU 208 ist eine sogenannte Einzelkern-CPU, die lediglich einen Kern enthält. Allerdings ist auch der Fall, in dem lediglich ein Kern verwendet wird, um eine Anwendungseinheit 214 (die später beschrieben werden soll) auszuführen, obwohl die CPU 208 mehrere Kerne enthält, im Umfang der ersten Ausführungsform enthalten. Die Software 216 enthält die Anwendungseinheit 214, eine gemeinsam verwendete Dateneinheit 205, einen Ausgabenausführungs-Controller 206, einen Wirkablaufprotokollmanager 213 und ein OS 207, das ein Betriebssystem ist.The hardware 215 contains the CPU 208 , which is a central unit, the data storage 209 , which is a non-volatile memory device, a timer 210 that manages the timing of real-time control, a network adapter 211 that accesses a network and a peripheral device 212 such as B. a sensor and an automatic braking device. The CPU 208 is a so-called single core CPU that contains only one core. However, it is also the case where only one core is used to form an application unit 214 (which will be described later) even though the CPU 208 contains a plurality of cores included in the scope of the first embodiment. The software 216 contains the application unit 214 , a shared data unit 205 , an expense execution controller 206 , an impact flow protocol manager 213 and an OS 207 that is an operating system.

Die Anwendungseinheit 214 enthält eine Sensorzusammenführung 201, die externe Informationen von einer Peripherieeinrichtung wie z. B. eine Sensoreinrichtung, eine Kartenzusammenführung 202, die Karteninformationen zum automatischen Fahren verarbeitet, ein ADAS (fortschrittliches Fahrassistenzsystem) 203, das eine Heckkollisionsvermeidung, ein Nachfolgefahren und eine Spurabweichungsvermeidung bereitstellt, und ein automatisches Parken 204, das ein automatisches Parken bereitstellt, verarbeitet. Allerdings ist die oben genannte Konfiguration der Anwendungseinheit 214 lediglich ein Beispiel und es ist ausreichend, dass mindestens eine Anwendung in der Anwendungseinheit 214 enthalten ist. Jede Anwendung wird mit mehreren Aufgaben konstruiert und jeder Aufgabe wird eine Priorität gegeben.The application unit 214 contains a sensor merge 201 which external information from a peripheral device such. B. a sensor device, a card merge 202 that processes automatic driving map information, an ADAS (Advanced Driver Assistance System) 203 that provides rear collision avoidance, follow-up driving, and lane departure avoidance, and automatic parking 204 which provides automatic parking processes. However, the above configuration of the application unit 214 just an example and it is sufficient that at least one application in the application unit 214 is included. Each application is constructed with multiple tasks and each task is given a priority.

Die gemeinsam verwendetet Dateneinheit 205 managt Daten, die in jeder Anwendung, die in der Anwendungseinheit 214 gespeichert ist, verwendet werden. Zum Beispiel sichert die gemeinsam verwendete Dateneinheit 205 einen Speicherbereich im Datenspeicher 209 und managt ein Lesen und ein Schreiben von Daten im Speicherbereich. Der Aufgabenausführungs-Controller 206 steuert die Ausführung der Aufgaben, die die Anwendung bilden. Die genaue Konfiguration und der genaue Wirkablauf des Aufgabenausführungs-Controllers 206 wird später beschrieben. Der Wirkablaufprotokollmanager 213 zeichnet den Wirkablauf jeder Aufgabe auf. Auf der Grundlage eines Zeitablaufs, der durch die Planungseinheit 108 festgelegt wird, managt der Aufgabenausführungs-Controller 206 jede von Aufgaben 101, 102 (die später beschrieben werden sollen) unter Verwendung eines Aufgabenzustandsmanagers 107 auf der Grundlage eines Zustandsübergangs (der später beschrieben werden soll).The shared data unit 205 manages data in every application, in the application unit 214 saved is used. For example, the shared data unit backs up 205 a memory area in the data memory 209 and manages reading and writing of data in the memory area. The task execution controller 206 controls the execution of the tasks that make up the application. The exact configuration and the precise operational sequence of the task execution controller 206 will be described later. The knockout protocol manager 213 records the operational sequence of each task. Based on a schedule that is passed through the planning unit 108 is set, the task execution controller manages 206 each of tasks 101 , 102 (to be described later) using a task state manager 107 based on a state transition (to be described later).

<Aufgabe><task>

Um die Anwendung, die in der Anwendungseinheit 214 enthalten ist, auszuführen, führt das OS 207 die Anwendung durch Unterteilen der Anwendung in Aufgaben, die Ausführungseinheiten sind, aus. Das OS 207 kann mehrere Aufgaben im Wesentlichen gleichzeitig ausführen, jedoch wird strenggenommen ein Rechenbetriebsmittel der CPU 208 in einer Zeitteilungsweise verwendet. Mit anderen Worten führt das OS 207 Aufgaben nacheinander im Zeitablauf aus. Jede Aufgabe wird in einem „Schlitz“ einer vorgegebenen Dauer ausgeführt.To the application in the application unit 214 is included, the OS performs 207 the application by dividing the application into tasks that are execution units. The OS 207 can perform multiple tasks essentially simultaneously, but strictly speaking it becomes a CPU computing resource 208 used in a time sharing manner. In other words, the OS leads 207 Tasks out one after the other over time. Each task is carried out in a “slot” of a given duration.

Aufgaben sind zur Ausführung nicht gleich wichtig, sondern es liegen abhängig von einem Verarbeitungsinhalt eine Aufgabe mit höherer Priorität, wobei eine Ausführungszeit gewährleistet werden soll, und eine Aufgabe mit niedrigerer Priorität, wobei die Ausführungszeit etwas verzögert werden kann, vor. In ISO 26262 werden Aufgaben in QM (Qualitätsmanagement), ASIL-A (Kraftfahrzeugsicherheitsintegritätsniveau-A), ASIL-B, ASIL-C und ASIL-D in aufsteigender Reihenfolge vom Standpunkt der Funktionssicherheit klassifiziert. Das heißt, dass dann, wenn die Aufgaben grob klassifiziert werden, ASIL einer Aufgabe entspricht, die die Ausführungszeit vom Standpunkt der Sicherheitsgewährleistung gewährleisten soll, und QM einer Aufgabe entspricht, die nicht sicherheitsrelevant ist und somit etwas Verzögerung der Ausführungszeit aufweisen kann. In der ersten Ausführungsform wird die Notwendigkeit der Gewährleistung der Ausführungszeit durch die Priorität ausgedrückt. Zum Beispiel wird die Aufgabe, die die Klassifizierung QM aufweist, auch als „Aufgabe niedrigerer Priorität“ bezeichnet und wird die Aufgabe, die die Klassifizierung ASIL-D aufweist, auch als eine „Aufgabe höherer Priorität“ bezeichnet.Tasks are not equally important for execution, but depending on a processing content there are a task with a higher priority, whereby an execution time is to be guaranteed, and a task with a lower priority, whereby the execution time can be somewhat delayed. In ISO 26262, tasks in QM (quality management), ASIL-A (automotive safety integrity level-A), ASIL-B, ASIL-C and ASIL-D are classified in ascending order from the point of view of functional safety. This means that if the tasks are roughly classified, ASIL corresponds to a task that is supposed to guarantee the execution time from the point of view of the security guarantee, and QM corresponds to a task that is not safety-relevant and can therefore have a slight delay in the execution time. In the first embodiment, the need to ensure execution time is expressed by priority. For example, the task that has the QM classification is also referred to as a “lower priority task” and the task that has the ASIL-D classification is also referred to as a “higher priority task”.

<Zustandsübergang der Aufgabe><Task state transition>

3 ist ein Diagramm eines Zustandsübergangs einer Aufgabe. Der Zustand der Aufgabe wir in die folgenden vier Zustände klassifiziert. Ein erster Zustand ist ein Ausführungszustand (LAUFEND) 301. Der Ausführungszustand 301 ist ein Zustand, in dem die Aufgabe in Ausführung ist, während die CPU 208 zugewiesen ist. Ein zweiter Zustand ist ein ausführbarer Zustand (BEREIT) 302. Der ausführbare Zustand 302 ist ein Zustand, in dem Bedingungen, um die Aufgabe auszuführen, erfüllt sind, jedoch eine weitere Aufgabe höherer Priorität in Ausführung ist, derart, dass die Aufgabe nicht ausgeführt werden kann. Ein dritter Zustand ist ein Bereitschaftszustand (WARTEN) 303. Der Bereitschaftszustand 303 ist ein Zustand, in dem die Ausführung ausgesetzt wird, bis eine gewisse Bedingung erfüllt ist. Ein vierter Zustand ist ein Ruhezustand (SCHLAFEND) 304. Der Ruhezustand ist ein Zustand, in dem die Aufgabe noch nicht aktiviert ist oder beendet ist. 3rd is a diagram of a state transition of a task. The state of the task is classified into the following four states. A first state is an execution state (ONGOING) 301 . The execution state 301 is a state in which the task is in progress while the CPU 208 is assigned. A second state is an executable state (READY) 302 . The executable state 302 is a state in which conditions to perform the task are met but another higher priority task is being executed such that the task cannot be executed. A third state is a standby state (WAIT) 303 . The ready state 303 is a State in which execution is suspended until a certain condition is met. A fourth state is an idle state (SLEEPING) 304 . Hibernation is a state in which the task is not yet activated or has ended.

Der Zustandsübergang der Aufgabe wird beschrieben. Die neu erstellte Aufgabe startet im Ruhezustand 304 und geht zum ausführbaren Zustand 302 über, wenn sie aktiviert wird. Wenn die Zeit, die der Aufgabe zugewiesen ist, eintritt, wird die Aufgabe versendet und geht zum Ausführungszustand 301 über und die Aufgabenverarbeitung wird ausgeführt. Wenn die Ausführung der Aufgabe abgeschlossen ist oder wenn die Zeit des zugewiesenen Schlitzes beendet ist, geht der Aufgabenzustand zum ausführbaren Zustand 302 über. Wenn die Aufgabe eine Betriebsmittelanforderung vornimmt und wenn das Betriebsmittel nicht mit ausschließlicher Steuerung erlangt werden kann, geht der Aufgabenzustand zum Bereitschaftszustand 303 über. Danach geht der Aufgabenzustand dann, wenn das Betriebsmittel freigegeben wird und durch die Aufgabe erlangt werden kann, vom Bereitschaftszustand 303 zum ausführbaren Zustand 302 über. Wenn die Aufgabe eine Anweisung zur erzwungenen Beendigung empfängt oder wenn die Aufgabe selbst eine Beendigungsverarbeitung durchführt, geht der Aufgabenzustand zum Ruhezustand 304 über.The state transition of the task is described. The newly created task starts in the idle state 304 and goes to the executable state 302 about when it is activated. When the time assigned to the task occurs, the task is sent and goes to the execution state 301 over and the task processing is carried out. When the execution of the task is completed, or when the time of the allocated slot has ended, the task state goes to the executable state 302 about. When the task makes a resource request and when the resource cannot be obtained with exclusive control, the task state goes to the ready state 303 about. Thereafter, when the resource is released and can be obtained by the task, the task state goes from the ready state 303 to the executable state 302 about. When the task receives a forced completion instruction or when the task itself completes, the task state goes to sleep 304 about.

<Zeitgesteuerte Planung><Scheduled planning>

4 ist eine Ansicht, die ein Ausführungsbeispiel der Aufgabe, die durch die zeitgesteuerte Planung gesteuert wird, darstellt. Die zeitgesteuerte Planung bedeutet, dass das OS 207 jede Aufgabe für eine vorgegebene Zeit zu einer vorgegebenen Zeit gemäß einer vorgegebenen Ausführungsreihenfolge ausführt. In 4 gibt die horizontale Achse einen Zeitverlauf an und SL1 bis SL9 sind Kennungen (die im Folgenden als „Schlitzkennungen“ bezeichnet werden), die jedem Schlitz zugewiesen sind. Wie in einer vergrößerten Ansicht in einem unteren Teil von 4 dargestellt ist, führt der Aufgabenausführungs-Controller 206 unmittelbar nach dem Start jedes Schlitzes eine Verarbeitung durch und dann wird die Aufgabe ausgeführt. In 4 ist die letzte Schlitzkennung SL9, jedoch kann die Schlitzkennung als SL10, SL11, ... weiter fortgesetzt werden. Jede Aufgabe wird in der Zeit des zugewiesenen Schlitzes ausgeführt. In 4 sind t_1 bis t_3 Kennungen (die im Folgenden als „Aufgabenkennungen“ bezeichnet werden), die die auszuführende Aufgabe identifizieren. Wenn der letzte Schlitz in der Reihe erreicht wird, kehrt die Aufgabe zum ersten Schlitz SL1 zurück, um die Zeitplanung fortzusetzen. 4th FIG. 12 is a view illustrating an embodiment of the task controlled by the scheduling. Scheduled planning means that the OS 207 executes each task for a predetermined time at a predetermined time according to a predetermined execution order. In 4th the horizontal axis indicates a time course, and SL1 to SL9 are identifiers (hereinafter referred to as “slot identifiers”) assigned to each slot. As in an enlarged view in a lower part of 4th is shown, the task execution controller performs 206 processing immediately after each slot starts and then the task is executed. In 4th is the last slot identifier SL9, however the slot identifier can be continued as SL10, SL11, ... Each task is performed in the time of the assigned slot. In 4th are t_1 to t_3 identifiers (hereinafter referred to as “task identifiers”) that identify the task to be performed. When the last slot in the row is reached, the task returns to the first slot SL1 to continue scheduling.

5 ist ein Diagramm, das ein Beispiel einer Planungstabelle 501, die für die zeitgesteuerte Planung verwendet wird, darstellt. Die Planungstabelle 501 enthält mehrere Datensätze und jeder Datensatz besitzt Felder der Schlitzkennung, einer Startzeit, einer Beendigungszeit, der Aufgabenkennung und eines Zeitfehlerbestimmungsmerkers. Die Schlitzkennung des Datensatzes ist im Feld der Schlitzkennung gespeichert. Die Startzeit und die Beendigungszeit des Schlitzes des Datensatzes sind in den Feldern der Startzeit und der Beendigungszeit gespeichert. Allerdings wird diese Zeit durch Setzen der Startzeit von SL1 zu null erhalten. Die Aufgabenkennung der Aufgabe, die im Datensatz ausgeführt wird, ist im Feld der Aufgabenkennung gespeichert. Ein Merker, auf den durch die Planungseinheit 108 (die später beschrieben wird) Bezug genommen wird, ist im Feld des Zeitfehlerbestimmungsmerkers gespeichert. Die Zeitfehlerbestimmung wird später genauer beschrieben. 5 is a diagram that is an example of a planning table 501 used for scheduling. The planning table 501 contains several data records and each data record has fields of the slot identifier, a start time, a completion time, the task identifier and a time error determination flag. The slot identifier of the data record is stored in the slot identifier field. The start time and the end time of the slot of the data record are stored in the fields of the start time and the end time. However, this time is obtained by setting the start time of SL1 to zero. The task identifier of the task that is executed in the data record is stored in the field of the task identifier. A flag on which by the planning unit 108 (which will be described later) is stored in the field of the timing error determination flag. The timing error determination will be described in more detail later.

Die Planungstabelle 501 wird auf der Grundlage von Informationen wie z. B. ein Ausführungszyklus jeder Aufgabe, eine angenommene längste Ausführungszeit und ein Sicherheitsanforderungsniveau zuvor erstellt. Die Länge eines Zyklus in der Planungstabelle 501 wird derart erstellt, dass sie dem Ausführungszyklus aller Aufgaben gerecht wird. Wenn ein Endpunkt des Zyklus erreicht wird, kehrt die Aufgabe zur Schlitzkennung SL1 zurück, um die Planung fortzusetzen. Zum Beispiel ist im Beispiel von 5 die letzte Schlitzkennung SL12 und ist die Beendigungszeit „5,1 ms“, derart, dass die Länge eines Zyklus 5,1 ms ist. Dann wird die Schlitzkennung SL1 nach der Schlitzkennung SL12 ausgeführt.The planning table 501 is based on information such as For example, an execution cycle of each task, an assumed longest execution time, and a security requirement level were previously created. The length of a cycle in the planning table 501 is created in such a way that it meets the execution cycle of all tasks. When an end point of the cycle is reached, the task returns to slot identifier SL1 to continue planning. For example, in the example of 5 the last slot identifier SL12 and the completion time is "5.1 ms", such that the length of a cycle is 5.1 ms. Then the slot identifier SL1 is executed after the slot identifier SL12.

<Konfiguration der Fahrzeugsteuereinrichtung><Configuration of the vehicle control device>

6 ist eine Ansicht, die die genaue Konfiguration des Aufgabenausführungs-Controllers 206 darstellt. Allerdings wird in 6 die Anwendungseinheit 214 unter der Annahme beschrieben, dass die Anwendungseinheit 214 mehrere erste Aufgaben 101, die ein niedrigeres Sicherheitsanforderungsniveau besitzen, und mehrere zweite Aufgaben 102, die ein höheres Sicherheitsanforderungsniveau besitzen, enthält. Die erste Aufgabe 101 und die zweite Aufgabe 102 sind Aufgaben, die eine beliebige Anwendung bilden, die in der Anwendungseinheit 214 enthalten ist. Im Folgenden wird auf die erste Aufgabe 101 und die zweite Aufgabe 102 gemeinsam einfach als eine „Aufgabe“ Bezug genommen. 6 Fig. 3 is a view showing the detailed configuration of the task execution controller 206 represents. However, in 6 the application unit 214 described on the assumption that the application unit 214 several first tasks 101 who have a lower level of security requirements and several second tasks 102 that have a higher level of security requirements. The first task 101 and the second task 102 are tasks that make up any application, in the application unit 214 is included. The following is the first task 101 and the second task 102 together simply referred to as a "task".

Der Aufgabenausführungs-Controller 206 enthält einen Datenzugriffs-Controller 105, eine Systemzustandsbestimmungseinheit 106, einen Aufgabenzustandsmanager 107 und eine Planungseinheit 108. Der Datenzugriffs-Controller 105 steuert eine Zugriffsanforderung von der Aufgabe auf die gemeinsam verwendete Dateneinheit 205 unter Verwendung eines Zugriffsmerkers (der später beschrieben werden soll). Die Systemzustandsbestimmungseinheit 106 bestimmt den Zustand des Systems unter Bezugnahme auf einen Systemzustandsmanager 111 (der später beschrieben werden soll), der den Systemzustand managt. Der Aufgabenzustandsmanager 107 managt den Aufgabenzustand. Die Planungseinheit 108 führt ein Zeitplanmanagement der Aufgabe zusammenwirkend mit dem Datenzugriffs-Controller 105, der Systemzustandsbestimmungseinheit 106 und dem Aufgabenzustandsmanager 107 durch.The task execution controller 206 contains a data access controller 105 , a system state determination unit 106 , a task health manager 107 and a planning unit 108 . The data access controller 105 controls an access request from the task to the shared data unit 205 using an access flag (to be described later). The system health determination unit 106 determines the state of the system below Reference to a health manager 111 (which will be described later) that manages the system state. The task state manager 107 manages the task status. The planning unit 108 carries out a schedule management of the task in cooperation with the data access controller 105 , the system health determination unit 106 and the task state manager 107 by.

Die Hardware 215 enthält eine Zugriffszeitüberwachungseinrichtung 109, eine Schlitzzeitüberwachungseinrichtung 110 und einen Systemzustandsmanager 111. Die Zugriffszeitüberwachungseinrichtung 109 ist durch den Zeitgeber 210 implementiert und überwacht eine Ankunft zu einer gesetzten Zugriffsüberwachungszeit. Die Zugriffsüberwachungszeit wird später beschrieben werden. Die Schlitzzeitüberwachungseinrichtung 110 ist durch den Zeitgeber 210 implementiert und überwacht eine Ankunft zu jeder Schlitzzeit. Der Systemzustandsmanager 111 ist durch eine Hardware-Schaltung (die nicht dargestellt ist) implementiert und managt den Systemzustand zusammenwirkend mit der Zugriffszeitüberwachungseinrichtung 109 und der Schlitzzeitüberwachungseinrichtung 110.The hardware 215 contains an access time monitor 109 , a slot time monitor 110 and a health manager 111 . The access time monitor 109 is through the timer 210 implements and monitors an arrival at a set access monitoring time. The access monitoring time will be described later. The slot time monitor 110 is through the timer 210 implements and monitors an arrival at any slot time. The health manager 111 is implemented by a hardware circuit (which is not shown) and manages the system state in cooperation with the access time monitoring device 109 and the slot time monitor 110 .

In diesem Fall sind die Zugriffszeitüberwachungseinrichtung 109, die Schlitzzeitüberwachungseinrichtung 110 und der Systemzustandsmanager 111 durch die Hardware konfiguriert. Allerdings können die Zugriffszeitüberwachungseinrichtung 109, die Schlitzzeitüberwachungseinrichtung 110 und der Systemzustandsmanager 111 Software enthalten. Allerdings sollte, wenn die Software enthalten ist, ein Betriebsmittel der Software unabhängig von dem der Software 216 sein und Wirkablaufzeitpunkte der Zugriffszeitüberwachungseinrichtung 109, der Schlitzzeitüberwachungseinrichtung 110 und des Systemzustandsmanagers 111 sollten den Wirkablaufzeitpunkt der Software 216 nicht beeinflussen.In this case, the access time monitor 109 , the slot time monitor 110 and the health manager 111 configured by the hardware. However, the access time monitor 109 , the slot time monitor 110 and the health manager 111 Software included. However, when the software is included, software resources should be independent of the software resources 216 be and effective expiry times of the access time monitoring device 109 , the slot time monitor 110 and the health manager 111 should be the effective time of the software 216 do not affect.

<Wirkablauf der Planungseinheit><Action sequence of the planning unit>

7 ist ein Ablaufplan, der den Wirkablauf der Planungseinheit 108 darstellt. Wenn die Startzeit eines Zeitschlitzes eintritt, startet die Planungseinheit 108 den Wirkablauf in Reaktion auf eine Wirkablaufanweisung vom Zeitgeber 210. Die CPU 208 ist ein Ausführungsgegenstand jedes unten beschriebenen Schritts. 7 is a flow chart that shows the operational sequence of the planning unit 108 represents. When the start time of a time slot occurs, the planning unit starts 108 the action sequence in response to an action sequence instruction from the timer 210 . The CPU 208 is an embodiment of each step described below.

Die Planungseinheit 108 bestimmt, ob die Aufgabe des vorherigen Schlitzes abgeschlossen ist (S101). Wenn die Aufgabe des vorherigen Schlitzes abgeschlossen ist (Ja in S101), setzt die Planungseinheit 108 den Zeitgeber 210, um das Wirken zur Beendigungszeit des aktuellen Schlitzes in der Planungstabelle 501 zu starten (S102). Die Planungseinheit 108 schaltet die Aufgabe, die dem aktuellen Schlitz zugewiesen ist, zum Ausführungszustand (S103). Wenn dem Schlitz keine Aufgabe zugewiesen ist, wird in dem Schlitz keine Aufgabe aktiviert. Die Ausführungszeit jeder Aufgabe wird durch eine Ausführung der Aufgabenausführungsverarbeitung zu der Zeit, die auf diese Weise bestimmt wurde, gewährleistet. Die Verarbeitung der Aufgabe, die zum Ausführungszustand übergeht, wird später unter Bezugnahme auf 8 beschrieben.The planning unit 108 determines whether the previous slot's task is complete ( S101 ). When the previous slot's task is completed (Yes in S101 ), sets the planning unit 108 the timer 210 to work at the end of the current slot in the planning table 501 to start ( S102 ). The planning unit 108 switches the task assigned to the current slot to the execution state ( S103 ). If no task is assigned to the slot, no task is activated in the slot. The execution time of each task is ensured by executing the task execution processing at the time determined in this way. The processing of the task going to the execution state will be described later with reference to FIG 8th described.

Wenn die Aufgabe des vorhergehenden Schlitzes nicht abgeschlossen ist (Nein in S101), bezieht sich die Planungseinheit 108 auf den Zeitfehlerbestimmungsmerker des Schlitzes in der Planungstabelle 501. Wenn die Zeitfehlerbestimmung „nicht vorzunehmen“ ist (Nein in S104), schaltet die Planungseinheit 108 die Aufgabe des vorherigen Schlitzes zum Bereitschaftszustand 303 (S105). Die Aufgabe, die zum Bereitschaftszustand 303 geschaltet werden soll, nämlich die Aufgabe, in der die Zeitfehlerbestimmung „vorzunehmen“ ist, wird in der Zeitplanungstabelle 501 als eine „Übergriffsaufgabe“ bezeichnet. Die Übergriffsaufgabe ist eine Aufgabe, deren Verarbeitung nicht in einem Schlitz abgeschlossen wird und somit eine lange Zeit benötigt und über mehrere Schlitze aktiviert ist. Wenn der Zeitfehlerbestimmungsmerker „vorzunehmen“ ist (Ja in S104), wird der Fehlermerker des vorhergehenden Schlitzes gesetzt (S106) und die Aufgabe des vorhergehenden Schlitzes wird zum Ruhezustand 304 geschaltet (S107). Weil das Durchführen der erzwungenen Beendigung eine lange Zeit benötigt, kann die Aufgabe in S107 vorübergehend zum Bereitschaftszustand 303 geschaltet werden und kann in einem leeren Schlitz zum Ruhezustand 304 geschaltet werden. Wenn die Ausführung in S105 oder S107 abgeschlossen ist, fährt die Verarbeitung zu S102 fort.If the task of the previous slot has not been completed (No in S101 ), refers to the planning unit 108 on the slot's time error determination flag in the planning table 501 . If the time error determination is "not to be carried out" (No in S104 ), the planning unit switches 108 abandoning the previous standby slot 303 ( S105 ). The task leading to standby 303 is to be switched, namely the task in which the time error determination is to be "made" is in the schedule table 501 referred to as an "encroachment task". The overreaching task is a task whose processing is not completed in one slot and thus takes a long time and is activated over several slots. If the time error determination flag is "to be carried out" (Yes in S104 ), the error flag of the previous slot is set ( S106 ) and the task of the previous slot becomes idle 304 switched ( S107 ). Because performing the forced termination takes a long time, the task in S107 temporarily to standby 303 can be switched and can go to sleep in an empty slot 304 be switched. If the execution in S105 or S107 processing is closed S102 away.

<Aufgabenwirkablauf><Task effect flow>

8 ist ein Ablaufplan, der den Wirkablauf jeder Aufgabe im Ausführungszustand darstellt. Die Aufgabe führt die Aufgabenverarbeitung, die einen Zugriff auf die gemeinsam verwendete Dateneinheit 205 enthält, durch (S301). Wenn die Ausführung abgeschlossen ist, wird ein Abschlussmerker gesetzt (S302), um der Planungseinheit 108 anzuzeigen, dass die Ausführung abgeschlossen ist. Die Planungseinheit 108 nimmt auf den Ausführungsabschlussmerker der Aufgabe, die im unmittelbar vorhergehenden Schlitz ausgeführt wird, Bezug und schaltet die Aufgabe von Interesse zum ausführbaren Zustand 302, wenn der Ausführungsabschlussmerker gesetzt ist. Die Aufgabe löscht den Ausführungsabschlussmerker, wenn die nächste Ausführung gestartet wird (S303). Allerdings kann die Planungseinheit 108 den Ausführungsabschlussmerker löschen. 8th is a flowchart showing the operational flow of each task in the execution state. The task performs the task processing, which gives access to the shared data unit 205 contains, by ( S301 ). When execution is complete, a final flag is set ( S302 ) to the planning unit 108 to indicate that execution is complete. The planning unit 108 refers to the execution completion flag of the task being executed in the immediately preceding slot and switches the task of interest to the executable state 302 if the execution completion flag is set. The task clears the completion flag when the next execution starts ( S303 ). However, the planning unit 108 delete the completion flag.

<Datenzugriffsüberwachungszeit der Aufgabe> <Task data access watchdog time>

9 ist eine Ansicht, die eine Datenzugriffsüberwachungszeit der Aufgabe darstellt. 9 stellt eine Situation dar, in der die erste Aufgabe 101 und die zweite Aufgabe 102 ausgeführt werden. Die erste Aufgabe 101 wird zwischen zugewiesenen Schlitzzeiten T1a und T1d aktiviert. In dem Schlitz, der der ersten Aufgabe 101 zugewiesen ist, wird die Zugriffsüberwachungszeit zum Überwachen eines Datenzugriffs von T1b bis T1d am Ende des Schlitzes bereitgestellt. Die Länge der Zugriffsüberwachungszeit ist länger als die Datenzugriffszeit, nämlich als die Zeit, die zum Zugriff der Aufgabe auf die gemeinsam verwendete Dateneinheit 205 benötigt wird, z. B. T1b bis T1c. Die Länge der Zugriffsüberwachungszeit ist ungeachtet der Aufgabe konstant. Weil die zweite Aufgabe 102 ein höheres Sicherheitsanforderungsniveau besitzt, wird die Zugriffsüberwachungszeit nicht zum Schlitz, der der zweiten Aufgabe 102 zugewiesen ist, gesetzt. 9 Fig. 11 is a view illustrating a data access monitoring time of the task. 9 represents a situation in which the first task 101 and the second task 102 be carried out. The first task 101 is between allocated slot times T1a and T1d activated. In the slot that the first task 101 is assigned, the access monitoring time for monitoring data access by T1b to T1d provided at the end of the slot. The length of the access monitoring time is longer than the data access time, namely the time it takes for the task to access the shared data unit 205 is needed, e.g. B. T1b to T1c . The length of the access monitoring time is constant regardless of the task. Because the second task 102 has a higher security requirement level, the access monitoring time does not become the slot of the second task 102 is assigned.

In der ersten Ausführungsform wird die Zeit, die die Zugriffüberwachungszeit ist, als ein „Zugriffsüberwachungszustand“ bezeichnet und die Zeit, die nicht die Zugriffsüberwachungszeit ist, wird als ein „Zugriffsnichtüberwachungszustand“ bezeichnet. Ein Zustand, der den Zugriffsüberwachungszustand oder den Zugriffsnichtüberwachungszustand annimmt, wird als ein „Systemzustand“ bezeichnet. Das heißt, wie in einem unteren Abschnitt von 9 dargestellt ist, der Systemzustand ist während einer normalen Zeit im Zugriffsnichtüberwachungszustand und ist seit einer vorgegebenen Zeit vor der Beendigung des Schlitzes, dem die erste Aufgabe 101 angehört, bis zur Beendigungszeit des Schlitzes der Zugriffsüberwachungszustand.In the first embodiment, the time that is the access monitoring time is referred to as an “access monitoring state” and the time that is not the access monitoring time is referred to as an “access non-monitoring state”. A state that assumes the access monitoring state or the access non-monitoring state is referred to as a “system state”. That is, as in a lower section of 9 the system state is in the access unmonitoring state during a normal time and has been for a predetermined time before the completion of the slot which the first task 101 listened to the access monitoring state until the slot's completion time.

<Wirkablauf des Systemzustandsmanagers><Operating sequence of the system state manager>

10 ist ein Ablaufplan, der den Wirkablauf des Systemzustandsmanagers 111 darstellt. Der Wirkablauf des Systemzustandsmanagers 111 wird unten unter Bezugnahme auf 9 beschrieben. Die CPU 208 ist ein Ausführungsgegenstand aller unten beschriebenen Schritte. 10th is a flow chart showing the operational flow of the system state manager 111 represents. The operational sequence of the system state manager 111 is described below with reference to 9 described. The CPU 208 is an execution item of all steps described below.

Der Systemzustandsmanager 111 bestimmt, ob die Aufgabe, die in jedem Schlitz zu Beginn des Schlitzes z. B. zur Zeit T1a in 9 ausgeführt werden soll, die erste Aufgabe 101 ist (S400A). Die Verarbeitung schreitet zu S401 fort, wenn bestimmt wird, dass die Aufgabe, die ausgeführt werden soll, die erste Aufgabe 101 ist. Wenn die Aufgabe, die ausgeführt werden soll, nicht die erste Aufgabe 101 ist, wenn also bestimmt wird, dass die Aufgabe, die ausgeführt werden soll, die zweite Aufgabe 102 ist, wird die Beendigungszeit des Schlitzes zur Schlitzzeitüberwachungseinrichtung 110 gesetzt (S400B), der Zeitgeber 210 beginnt zu zählen und die Verarbeitung fährt zu S404 fort. In S401 setzt der Systemzustandsmanager 111 die Startzeit der Zugriffsüberwachungszeit zur Schlitzzeitüberwachungseinrichtung 110, setzt die Beendigungszeit des Schlitzes zur Schlitzzeitüberwachungseinrichtung 110 und startet das Zählen.The health manager 111 determines whether the task performed in each slot at the beginning of the slot e.g. B. currently T1a in 9 to be performed, the first task 101 is ( S400A ). Processing is progressing S401 if it is determined that the task to be performed is the first task 101 is. If the task to be performed is not the first task 101 so if it is determined that the task to be performed is the second task 102 the completion time of the slot becomes the slot time monitor 110 set ( S400B ), the timer 210 begins to count and the processing closes S404 away. In S401 the system state manager sets 111 the start time of the access monitoring time to the slot time monitoring device 110 , sets the slot completion time to the slot time monitor 110 and starts counting.

Der Systemzustandsmanager 111 überwacht einen Registerzustand der Zugriffszeitüberwachungseinrichtung 109 und bestimmt aus dem Registerzustand, ob die gesetzt Zugriffsüberwachungszeit erreicht ist (S402). Die Verarbeitung bleibt in S402, wenn die Zugriffsüberwachungszeit nicht erreicht ist. Wenn bestimmt wird, dass die Zugriffsüberwachungszeit erreicht ist, schaltet der Systemzustandsmanager 111 den Systemzustand vom Zugriffsnichtüberwachungszustand zum Zugriffsüberwachungszustand (S403).The health manager 111 monitors a register state of the access time monitoring device 109 and determines from the register state whether the set access monitoring time has been reached ( S402 ). The processing remains in S402 if the access monitoring time has not been reached. When it is determined that the access monitoring time has expired, the health manager switches 111 the system state from the access non-monitoring state to the access monitoring state ( S403 ).

Der Systemzustandsmanager 111 überwacht den Registerzustand der Schlitzzeitüberwachungseinrichtung 110 und bestimmt aus dem Registerzustand, ob die eingestellte Beendigungszeit des Schlitzes erreicht ist (S404). Die Verarbeitung bleibt in S404, wenn die Beendigungszeit des Schlitzes nicht erreicht ist. Wenn bestimmt wird, dass die Beendigungszeit des Schlitzes erreicht ist, schaltet der Systemzustandsmanager 111 den Systemzustand vom Zugriffsüberwachungszustand zum Zugriffsnichtüberwachungszustand (S405). In S406 bestimmt der Systemzustandsmanager 111, ob das System beendet werden soll, z. B. ob ein Zündschlüsselschalter des Fahrzeugs, in dem die Fahrzeugsteuereinrichtung 2002 montiert ist, abgeschaltet ist. Der Systemzustandsmanager 111 kehrt zu S400A zurück, wenn bestimmt wird, dass das System nicht beendet werden soll, und beendet den Wirkablauf in 10, wenn bestimmt wird, dass das System beendet werden soll.The health manager 111 monitors the register status of the slot time monitoring device 110 and determines from the register state whether the set completion time of the slot has been reached ( S404 ). The processing remains in S404 when the slot completion time has not been reached. When it is determined that the slot completion time is reached, the health manager switches 111 the system state from the access monitoring state to the access non-monitoring state ( S405 ). In S406 determines the health manager 111 whether the system should be closed, e.g. B. whether an ignition key switch of the vehicle in which the vehicle control device 2002 is mounted, is switched off. The health manager 111 returns S400A back if it is determined that the system should not be ended, and ends the knitting sequence in 10th when it is determined that the system should be shut down.

<Wirkablauf des Aufgabenzustandsmanagers><How the Task State Manager Works>

11 ist ein Ablaufplan, der den Wirkablauf des Aufgabenzustandsmanagers 107 darstellt. Wenn der Aufgabenzustandsmanager 107 aufgerufen wird, wird auch bestimmt, zu welchem Zustand geschaltet werden soll. Das heißt, der Aufgabenzustandsmanager 107 wird unter Angabe eines des Bereitschaftszustands, des Ruhezustands und des ausführbaren Zustands aufgerufen. 11 is a flow chart that shows the operational flow of the task state manager 107 represents. If the task state manager 107 is called, it is also determined to which state to switch. That is, the task state manager 107 is called with a specification of the standby state, the idle state and the executable state.

Wenn der Übergang zum Bereitschaftszustand angegeben ist (Ja in S501), schaltet der Zustandsmanager 107 die Aufgabe zum Bereitschaftszustand (S502). Wenn bestimmt wird, dass der angegebene Zustand nicht der Bereitschaftszustand ist (Nein in S501), bestimmt der Zustandsmanager 107, ob der Übergang zum Ruhezustand angegeben ist (S503). Wenn bestimmt wird, dass der Übergang zum Ruhezustand angegeben ist, schaltet der Zustandsmanager 107 die Aufgabe zum Ruhezustand (S504). Wenn bestimmt wird, dass der Übergang zum Ruhezustand nicht angegeben ist, schaltet der Zustandsmanager 107 die Aufgabe zum ausführbaren Zustand (S505).If the transition to the ready state is specified (yes in S501), the state manager switches 107 the standby task ( S502 ). If it is determined that the specified state is not the standby state (No in S501), the state manager determines 107 whether the transition to the idle state is specified (S503). If it is determined that the transition to hibernation is specified, the Condition manager 107 the quiescent task ( S504 ). If it is determined that the transition to hibernation is not specified, the state manager switches 107 the task about the executable state ( S505 ).

<Zugriff auf die gemeinsam verwendete Dateneinheit><Access to the shared data unit>

12 ist ein schematisches Diagramm, das den Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 darstellt. Wenn die erste Aufgabe 101 den Zugriff auf die gemeinsam verwendete Dateneinheit 205 versucht, erfasst der Datenzugriffs-Controller 105 den Systemzustand, der durch den Systemzustandsmanager 111 gemanagt wird, über die Systemzustandsbestimmungseinheit 106. Der Datenzugriffs-Controller 105 erlaubt der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, wenn bestimmt wird, dass der Systemzustand sich im Zugriffsnichtüberwachungszustand befindet. Wenn bestimmt wird, dass der Systemzustand sich im Zugriffsüberwachungszustand befindet, verweigert der Datenzugriffs-Controller 105 den Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 und schaltet die erste Aufgabe 101 unter Verwendung des Aufgabenzustandsmanagers 107 zum Ruhezustand 304. Allerdings kann der Datenzugriffs-Controller 105 dann, wenn der Systemzustand im Zugriffsüberwachungszustand ist, statt den Aufgabenzustand der ersten Aufgabe 101 zum Ruhezustand 304 zu schalten, den Aufgabenzustand zum Bereitschaftszustand 303 schalten oder eine Endlosschleife ausführen und die Zeitfehlerbestimmung vornehmen. 12th is a schematic diagram showing the access of the first task 101 to the shared data unit 205 represents. If the first task 101 access to the shared data unit 205 tries to capture the data access controller 105 the system health by the health manager 111 is managed via the system state determination unit 106 . The data access controller 105 allows the first task 101 to the shared data unit 205 to access when it is determined that the system state is in the access unmonitored state. If the system state is determined to be in the access monitor state, the data access controller denies 105 access to the first task 101 to the shared data unit 205 and turns on the first task 101 using the task state manager 107 to the idle state 304 . However, the data access controller can 105 when the system state is in the access monitoring state instead of the task state of the first task 101 to the idle state 304 to switch the task state to the standby state 303 switch or execute an endless loop and carry out the timing error determination.

<Datenzugriffssteuerung der Übergriffsaufgabe><Data access control of the intrusion task>

13 ist eine Ansicht, die die Zugriffsüberwachungszeit der Übergriffsaufgabe darstellt. Das Beispiel in 13 stellt eine Situation dar, in der die erste Aufgabe 101 und die zweite Aufgabe 102 ausgeführt werden. Die erste Aufgabe 101 ist über die mehreren Schlitze aktiviert. Insbesondere ist die erste Aufgabe 101 in einem Schlitz von der Zeit T2a zu T2d und einem Schlitz von der Zeit T2e zu T2h aktiviert. Das heißt, die erste Aufgabe 101 im Beispiel von 13 ist die Übergriffsaufgabe. Selbst in den Schlitzen, denen die Übergriffsaufgabe zugewiesen ist, wird die Zugriffsüberwachungszeit zur Datenzugriffsüberwachung am Ende aller Schlitze, die der Aufgabe, die das niedrigere Sicherheitsanforderungsniveau besitzt, zugewiesen sind, bereitgestellt. Im Beispiel von 13 sind die Zeiten T2b bis T2d und die Zeiten T2f bis T2h die Zugriffsüberwachungszeit. Wie im unteren Abschnitt von 13 dargestellt ist, ist der Systemzustand während der Zugriffsüberwachungszeit zum Zugriffsüberwachungszustand gesetzt. 13 Fig. 12 is a view illustrating the access monitoring time of the intrusion task. The example in 13 represents a situation in which the first task 101 and the second task 102 be carried out. The first task 101 is activated via the multiple slots. In particular, the first task 101 in a slit of time T2a to T2d and a slot from time T2e to T2h activated. That is, the first task 101 in the example of 13 is the overreaching task. Even in the slots to which the intrusion task is assigned, the access watchdog time for data access monitoring is provided at the end of all slots assigned to the task which has the lower level of security requirements. In the example of 13 are the times T2b to T2d and the times T2f to T2h the access monitoring time. As in the lower section of 13 is shown, the system state is set to the access monitoring state during the access monitoring time.

Wenn die erste Aufgabe 101 den Zugriff auf die gemeinsam verwendete Dateneinheit 205 versucht, führt der Datenzugriffs-Controller 105 den folgenden Prozess durch, wenn sich der Systemzustand im Zugriffsüberwachungszustand befindet. Das heißt, der Datenzugriffs-Controller 105 verbietet, dass die erste Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 zugreift, und schaltet den Aufgabenzustand der ersten Aufgabe 101 unter Verwendung des Aufgabenzustandsmanagers 107 zum Bereitschaftszustand. Allerdings kann der Datenzugriffs-Controller 107 dann, wenn der Systemzustand im Zugriffsüberwachungszustand ist, statt den Aufgabenzustand der ersten Aufgabe 101 zum Bereitschaftszustand 303 zu schalten, die Endlosschleife ausführen und den Aufgabenzustand in der Zeitfehlerbestimmung zum Bereitschaftszustand 303 schalten. Der Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 wird zu Zeiten außer der Zugriffsüberwachungszeit des nachfolgenden Zeitschlitzes der ersten Aufgabe 101 nämlich zu den Zeiten T2e bis T2f gestartet. Wenn die erste Aufgabe 101 den Zugriff auf die gemeinsam verwendete Dateneinheit 205 versucht, greift die erste Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 zu, wenn der Systemzustand im Zugriffsnichtüberwachungszustand ist.If the first task 101 access to the shared data unit 205 tried, the data access controller performs 105 through the following process when the system state is in the access monitor state. That is, the data access controller 105 prohibits the first task 101 to the shared data unit 205 accesses and switches the task status of the first task 101 using the task state manager 107 to standby. However, the data access controller can 107 when the system state is in the access monitoring state instead of the task state of the first task 101 to standby 303 to switch, execute the endless loop and the task state in the time error determination to the standby state 303 switch. Access to the first task 101 to the shared data unit 205 becomes at times other than the access monitoring time of the subsequent time slot of the first task 101 namely at times T2e to T2f started. If the first task 101 access to the shared data unit 205 tried the first task 101 to the shared data unit 205 to when the system state is in the access unmonitoring state.

<Zuordnung einer Zugriffsüberwachungszeit auf der Grundlage eines zugewiesenen Schlitzes><Allocation of an access monitoring time based on an assigned slot>

14 ist eine Ansicht, die Einstellungsbeispiel der Zugriffsüberwachungszeit darstellt. Die Tatsache, dass die Zugriffsüberwachungszeit durch den Aktivierungszeitpunkt der Aufgabe, die das höhere Sicherheitsanforderungsniveau besitzt, nicht beeinflusst wird, sondern durch die Schlitzzeit der Aufgabe, die das niedrigere Sicherheitsanforderungsniveau besitzt, bestimmt ist, wird unten beschrieben. 14 Fig. 14 is a view showing an example of access guard time setting. The fact that the access monitoring time is not affected by the activation time of the task that has the higher security requirement level but is determined by the slot time of the task that has the lower security requirement level is described below.

Im Beispiel von 14 besitzt eine dritte Aufgabe ein niedrigeres Sicherheitsanforderungsniveau, ähnlich zur ersten Aufgabe 101. Die erste Aufgabe 101 ist zu den Zeiten T3a bis T3d und den Zeiten T3j bis T3l aktiviert. Die dritte Aufgabe ist zu den Zeiten T3f bis T3h aktiviert. Die Zugriffsüberwachungszeit ist zu den Zeiten T3b bis T3d, den Zeiten T3f bis T3h und den Zeiten T3j bis T3l zugeteilt, die das Ende der Schlitze sind, die jeweils der ersten Aufgabe 101 und der dritten Aufgabe zugewiesen sind. Auf diese Weise kann durch Zuteilen der Zugriffsüberwachungszeit auf der Grundlage der Schlitzzeit der Aufgabe, die das niedrigere Sicherheitsanforderungsniveau besitzt, der Einfluss des Aufgabenschaltens während des Ausschlusses verhindert werden, selbst wenn keine Informationen über das Vorliegen oder das Fehlen des Zugriffs auf die gemeinsam verwendete Dateneinheit 205 oder Informationen über die Details des Zugriffsziels vorliegen.In the example of 14 A third task has a lower level of security requirements, similar to the first task 101 . The first task 101 is at the times T3a to T3d and times T3j to T3l activated. The third task is at the times T3f to T3h activated. The access monitoring time is at times T3b to T3d , the times T3f to T3h and times T3j to T3l allotted which are the end of the slots, each of the first task 101 and assigned to the third task. In this way, by assigning the access guarding time based on the slot time of the task having the lower security requirement level, the influence of task switching during the exclusion can be prevented even if there is no information about the existence or lack of access to the shared data unit 205 or information about the details of the access target.

<Wirkablauf des Datenzugriffs-Controllers 105> <Action sequence of the data access controller 105 >

15 ist ein Ablaufplan, der den Wirkablauf des Datenzugriffs-Controllers 105 darstellt. Die CPU 208 ist ein Ausführungsgegenstand jedes unten beschriebenen Schritts. 15 is a flow chart showing the operational sequence of the data access controller 105 represents. The CPU 208 is an embodiment of each step described below.

Wenn der Datenzugriffs-Controller 105 von der Aufgabe eine Anforderung zum Zugriff auf die gemeinsam verwendete Dateneinheit 205 empfängt, prüft die Systemzustandsbestimmungseinheit 106 den Systemzustand (S201). Wenn bestimmt wird, dass der Systemzustand im Zugriffsnichtüberwachungszustand ist (Nein in S201), schaltet der Datenzugriffs-Controller 105 den Zugriffsmerker, der den Zustand des Zugriffs auf die gemeinsam verwendete Dateneinheit 205 angibt, zu „zugreifen“ (S202) und ermöglicht den Zugriff auf die gemeinsam verwendete Dateneinheit 205 (S203). Wenn der Zugriff der Aufgabe auf die gemeinsam verwendete Dateneinheit 205 abgeschlossen ist, schaltet der Datenzugriffs-Controller 105 den Zugriffsmerker zu „nicht zugreifen“ (S204).If the data access controller 105 from the task a request to access the shared data unit 205 receives, checks the health determination unit 106 the system state ( S201 ). When it is determined that the system state is in the access unmonitoring state (No in S201 ), the data access controller switches 105 the access flag, the state of access to the shared data unit 205 indicates to "access" (S202) and enables access to the shared data unit 205 ( S203 ). When the task accesses the shared data unit 205 is completed, the data access controller switches 105 the access flag to "do not access" ( S204 ).

Wenn der Systemzustand im Zugriffsüberwachungszustand ist (Ja in S201), bestimmt der Datenzugriffs-Controller 105 einen Inhalt des Zeitfehlerbestimmungsmerkers des aktuellen Zeitschlitzes in der Planungstabelle 501 (S205). Wenn der Zeitfehlerbestimmungsmerker „nicht vorzunehmen“ ist (Nein in S205), schaltet der Datenzugriffs-Controller 105 den Aufgabenzustand unter Verwendung des Aufgabenzustandsmanagers 107 zum Bereitschaftszustand 303 (S206). Der Datenzugriffs-Controller 105 führt den Datenzugriff durch, nachdem der Aufgabenzustand im nachfolgenden Schlitz (S202, S203, S204) zum Ausführungszustand 301 übergeht. Wenn der Zeitfehlerbestimmungsmerker „vorzunehmen“ ist (Ja in S205), schaltet der Datenzugriffs-Controller 105 einen Inmargenfehlermerker des aktuellen Schlitzes zu EIN (S207), erzwingt ein Beenden der Aufgabe im Ausführungszustand 301 und setzt die Aufgabe zum Ruhezustand 304 (S208). Allerdings kann die Aufgabe, weil es eine lange Zeit dauert, die erzwungene Beendigung durchzuführen, in S208 vorübergehend zum Bereitschaftszustand 303 übergehen und in einem leeren Schlitz zum Ruhezustand 304 übergehen.If the system state is in the access monitoring state (Yes in S201 ) determines the data access controller 105 a content of the time error determination flag of the current time slot in the planning table 501 ( S205 ). If the time error determination flag is "not to be made" (No in S205 ), the data access controller switches 105 the task state using the task state manager 107 to standby 303 ( S206 ). The data access controller 105 performs data access after the task state in the subsequent slot ( S202 , S203 , S204 ) on the execution status 301 transforms. If the time error determination flag is "to be carried out" (Yes in S205 ), the data access controller switches 105 an margin error flag of the current slot to ON ( S207 ), forces the task to be terminated in the execution state 301 and puts the task to sleep 304 (S208). However, because it takes a long time to perform the forced termination, the task can temporarily go to the standby state in S208 303 go to sleep in an empty slot 304 pass over.

Gemäß der ersten Ausführungsform können die folgenden Wirkungen erreicht werden.According to the first embodiment, the following effects can be achieved.

(1) Die Fahrzeugsteuereinrichtung 2002 enthält die Anwendungseinheit 214, die die erste Aufgabe 101, die die relativ niedrigere Priorität besitzt, und die zweite Aufgabe 102, die die relativ höhere Priorität besitzt, die durch die Ausführungspriorität klassifiziert wurden, enthält, den Systemzustandsmanager 111, der jeder auszuführenden Aufgabe den Schlitz einer bestimmten Dauer zuweist, wobei die bestimmte Dauer für jede Aufgabe vorgegeben ist, und die erste vorgegebene Zeit am Ende des Schlitzes, der der ersten Aufgabe zugewiesen ist, zur Zugriffsüberwachungszeit setzt, die gemeinsam verwendete Dateneinheit 205, auf die durch die erste Aufgabe 101 und die zweite Aufgabe 102 zugegriffen wird, und den Datenzugriffs-Controller 105, der verhindert, dass die erste Aufgabe 101 während der Zugriffsüberwachungszeit auf die gemeinsam verwendete Dateneinheit 205 zugreift.(1) The vehicle control device 2002 contains the application unit 214 that the first task 101 , which has the relatively lower priority, and the second task 102 health manager, which has the relatively higher priority that was classified by execution priority 111 , which assigns the slot of a certain duration to each task to be executed, the certain duration being predetermined for each task, and the first predetermined time at the end of the slot assigned to the first task at the access monitoring time, sets the shared data unit 205 to which by the first task 101 and the second task 102 is accessed, and the data access controller 105 that prevents the first task 101 during the access monitoring time on the shared data unit 205 accesses.

Die Fahrzeugsteuereinrichtung 2002 besitzt keine Informationen wie z. B. ob eine Aufgabe auf die gemeinsam verwendete Dateneinheit 205 zugreift oder auf welche Daten, die in der gemeinsam verwendeten Dateneinheit 205 enthalten sind, zugegriffen wird. Allerdings kann mit der Zugriffüberwachungszeit, die am Ende des Schlitzes, dem die erste Aufgabe 101 zugewiesen ist, bereitgestellt ist, die Situation, in der der Zugriff einer weiteren Aufgabe auf die gemeinsam verwendete Dateneinheit 205 aufgrund des Zugriffs der ersten Aufgabe 101, die die niedrigere Priorität besitzt, auf die gemeinsam verwendetet Dateneinheit 205 blockiert wird, verhindert werden. Ein gängiges Problem wird unter Bezugnahme auf 16 beschrieben.The vehicle control device 2002 has no information such as B. whether a task on the shared data unit 205 accesses or what data in the shared data unit 205 are included. However, with the access monitoring time that is at the end of the slot that the first task 101 is assigned, the situation is provided in which the access of another task to the shared data unit 205 due to access to the first task 101 that has the lower priority to the shared data unit 205 is blocked, prevented. A common problem is discussed with reference to 16 described.

16 ist ein Ablaufplan, der eine allgemeine Prozedur zum Zugreifen auf die gemeinsam verwendeten Daten darstellt. Als der allgemeine Zugriff auf die gemeinsam verwendeten Daten erlangt die Aufgabe, die auf die gemeinsam verwendeten Daten zugreift, einen Ausschluss, erlangt nämlich ein Zugriffsrecht auf die gemeinsam verwendeten Daten (S601). Anschließend wird die Datenverarbeitung ausgeführt (S602). Schließlich wird der Ausschluss freigegeben, d. h es wird das Zugriffsrecht auf die gemeinsam verwendeten Daten freigegeben (S603), und die Reihe der Verarbeitung wird beendet. Wenn der Schlitz der Aufgabe während der Datenverarbeitung von 16 beendet wird, wird die Verarbeitung zu einer weiteren Aufgabe geschaltet, ohne den Ausschluss freizugeben. In diesem Fall wird der Ausschluss nicht freigegeben, sofern die Verarbeitung der unterbrochenen Aufgabe nicht wiederaufgenommen wird. Bis zur Wiederaufnahme kann keine weitere Aufgabe den Ausschluss und den Zugriff auf die gemeinsam verwendeten Daten erlangen. 16 Figure 11 is a flowchart illustrating a general procedure for accessing the shared data. As the general access to the shared data, the task that accesses the shared data obtains an exclusion, namely, an access right to the shared data ( S601 ). The data processing is then carried out ( S602 ). Finally, the exclusion is released; h the right of access to the shared data is released ( S603 ), and the series of processing is ended. If the slot of the task during data processing from 16 processing is switched to another task without releasing the exclusion. In this case, the exclusion will not be released unless processing of the interrupted task is resumed. Until the resumption, no other task can gain the exclusion and access to the shared data.

Üblicherweise wird das oben genannte Problem erzeugt. Andererseits setzt die Fahrzeugsteuereinrichtung 2002 die vorgegebene Zeit am Ende des Schlitzes, der der ersten Aufgabe 101 zugewiesen ist, zur Zugriffsüberwachungszeit und verhindert den Zugriff auf die gemeinsam verwendete Dateneinheit 205 während der Zugriffsüberwachungszeit, so dass die Probleme vermieden werden können. Das heißt, dass in der Fahrzeugsteuereinrichtung 2002 die erste Aufgabe 101 das Ende des Schlitzes nicht erreicht, während sie das Zugriffsrecht hält, so dass die negative Wirkung einer weiteren Aufgabe, die auf die gemeinsam verwendete Dateneinheit 205 zugreift, aufgrund der ausschließlichen Erlangung durch die erste Aufgabe 101 verhindert werden kann. Ferner wird dieser Vorteil auch erhalten, wenn die Fahrzeugsteuereinrichtung 2002 nicht wie in der ersten Ausführungsform für jede Aufgabe Zugriff auf die gemeinsam verwendete Dateneinheit 205 hat. Das heißt, dass die Fahrzeugsteuereinrichtung 2002 den Einfluss auf den Wirkablauf einer weiteren Aufgabe aufgrund der ausschließlichen Erlangung durch die erste Aufgabe 101, die das niedrigere Sicherheitsanforderungsniveau besitzt, ungeachtet des Vorliegens oder des Fehlens der Zugriffsinformationen über die gemeinsam verwendete Dateneinheit 250, die zur ausschließlichen Steuerung verwendet wird, verhindern kann.Usually the above problem is created. On the other hand, the vehicle control device sets 2002 the specified time at the end of the slot, that of the first task 101 is assigned at the access monitoring time and prevents access to the shared data unit 205 during the access monitoring time so that the problems can be avoided. That is, in the vehicle control device 2002 the first task 101 does not reach the end of the slot while holding the access right, so the negative effect of another task on the shared data unit 205 accesses, due to the exclusive acquisition by the first task 101 can be prevented. Furthermore, this advantage is also obtained when the vehicle control device 2002 not access to the shared data unit for each task as in the first embodiment 205 Has. That is, the vehicle control device 2002 the influence on the effectiveness of another task due to the exclusive attainment of the first task 101 that has the lower level of security requirements regardless of the presence or absence of access information about the shared data unit 250 which is used for exclusive control.

(2) Die Zugriffsüberwachungszeit ist länger als die Zeit, die für das Zugreifen der ersten Aufgabe 101 auf die gemeinsam verwendeten Daten erforderlich ist. Deshalb wird der Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 vor dem Start der Zugriffsüberwachungszeit genehmigt, wenn die erste Aufgabe 101 ausreichend Zeit besitzt, auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen. Selbst wenn die erste Aufgabe 101 unmittelbar vor der Zugriffsüberwachungszeit beginnt, auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, kann, da die Zugriffsüberwachungszeit länger als die Zeit ist, die für das Zugreifen der ersten Aufgabe 101 auf die gemeinsam verwendeten Daten erforderlich ist, der Einfluss auf den Wirkablauf einer weiteren Aufgabe durch Abschließen der Freigabe des Ausschlusses im Schlitz verhindert werden.(2) The access guard time is longer than the time required to access the first task 101 on the shared data is required. That is why access is the first task 101 to the shared data unit 205 Approved before the start of the access monitoring time when the first task 101 has enough time on the shared data unit 205 to access. Even if the first task 101 immediately before the access monitoring time begins on the shared data unit 205 can access because the access monitoring time is longer than the time required to access the first task 101 on the shared data is required, the impact on the effectiveness of another task can be prevented by completing the release of the exclusion in the slot.

(3) Der Datenzugriffs-Controller 105 schaltet die erste Aufgabe 101, die den Zugriff auf die gemeinsam verwendete Dateneinheit 205 versucht, während der Zugriffsüberwachungszeit zum Beendigungszustand. Aus diesem Grund wird der Wirkablauf der ersten Aufgabe 101, die nicht auf die gemeinsam verwendete Dateneinheit 205 zugreifen kann, was die nächste Verarbeitung ist, beendet und das Betriebsmittel der CPU 208 kann gespart werden.(3) The data access controller 105 switches the first task 101 that have access to the shared data unit 205 tries to exit state during the access monitoring time. For this reason, the operational sequence becomes the first task 101 that are not on the shared data unit 205 can access what the next processing is, and the resource of the CPU 208 can be saved.

(4) Wenn die erste Aufgabe 101, die über mehrere Schlitze ausgeführt wird, den Zugriff auf die gemeinsam verwendete Dateneinheit 205 während der Zugriffsüberwachungszeit in einem beliebigen Schlitz außer einem letzten Schlitz versucht, bewirkt der Datenzugriffs-Controller 105, dass die erste Aufgabe 101 bis zur Startzeit des nächsten Schlitzes wartet. Aus diesem Grund kann die erste Aufgabe 101, die über mehrere Schlitze ausgeführt wird, in dem Schlitz, der als nächstes ausgeführt werden soll, auf die gemeinsam verwendete Dateneinheit 205 zugreifen.(4) If the first task 101 that runs over multiple slots, access to the shared data unit 205 If the data access controller tries to access any slot except a last slot during the access monitoring time 105 that the first task 101 waits until the start time of the next slot. Because of this, the first task 101 that is executed over multiple slots in the slot to be executed next on the shared data unit 205 access.

(5) Die Priorität wird auf der Grundlage des Niveaus der Funktionssicherheit, die für die Aufgabe erforderlich ist, bestimmt. Insbesondere wird die Aufgabe, die das höhere Funktionssicherheitsniveau z. B. ASIL-D besitzt, zur höheren Priorität gesetzt und die Aufgabe, die das niedrigere Funktionssicherheitsniveau z. B. QM besitzt, wird zur niedrigeren Priorität gesetzt. Folglich wird die Aufgabe, die ein höheres Funktionssicherheitsniveau besitzt, bevorzugt ausgeführt.(5) The priority is determined based on the level of operational safety required for the task. In particular, the task that the higher level of functional safety z. B. ASIL-D, set to higher priority and the task that the lower functional safety level z. B. owns QM is set to the lower priority. Consequently, the task which has a higher level of functional safety is preferably carried out.

(Erste Änderung)(First change)

In der ersten Ausführungsform werden lediglich zwei Prioritäten gesetzt. Allerdings können mindestens drei Prioritäten gesetzt werden. In diesem Fall wird die Verarbeitung durch Klassifizieren der Aufgaben in die höchste Priorität und weitere Prioritäten durchgeführt. Zum Beispiel werden die Prioritäten 1 bis 5 vorgesehen und die höhere Priorität sollte mit zunehmender Zahl vergeben werden. In diesem Fall entsprechen die Aufgaben, die die Prioritäten von 1 bis 4 besitzen, der Aufgabe, die die niedrigere Priorität besitzt, in der ersten Ausführungsform, nämlich der ersten Aufgabe 101. Lediglich die Aufgabe, die die Priorität 5 besitzt, entspricht der Aufgabe, die die höhere Priorität besitzt, in der ersten Ausführungsform, nämlich der zweiten Aufgabe 102.In the first embodiment, only two priorities are set. However, at least three priorities can be set. In this case, processing is performed by classifying the tasks into the highest priority and other priorities. For example, priorities 1 to 5 are provided and the higher priority should be assigned as the number increases. In this case, the tasks that have the priorities of 1 to 4 correspond to the task that has the lower priority in the first embodiment, namely the first task 101 . Only the task that has priority 5 corresponds to the task that has the higher priority in the first embodiment, namely the second task 102 .

(Zweite Änderung)(Second change)

In der ersten Ausführungsform wird die Priorität auf der Grundlage des Funktionssicherheitsniveaus, das für die Aufgabe erforderlich ist, bestimmt. Allerdings kann die Priorität der Aufgabe durch einen weiteren Index bestimmt werden. Zum Beispiel kann die Priorität der Aufgabe auf der Grundlage der Größenordnung des Einflusses auf eine weitere Aufgabe, einer Anwenderpräferenz oder des Funktionssicherheitsniveaus und einer Kombination davon bestimmt werden.In the first embodiment, the priority is determined based on the level of functional safety required for the task. However, the priority of the task can be determined by another index. For example, the priority of the task can be determined based on the magnitude of the influence on another task, a user preference or the functional safety level and a combination thereof.

Zweite AusführungsformSecond embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer zweiten Ausführungsform, die die Zugriffsteuereinrichtung ist, wird unter Bezugnahme auf 17 beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die zweite Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass der Fall, in dem der Zugriff auf die gemeinsam verwendete Dateneinheit 205 nicht im Schlitz beendet wird, betrachtet wird. Das heißt, in der zweiten Ausführungsform wird die folgende Aufgabe angenommen. Das heißt, eine bestimmte Aufgabe beginnt den Zugriff auf die gemeinsam verwendete Dateneinheit 205 vor dem Start der Zugriffüberwachungszeit und der Zugriff ist nicht abgeschlossen, selbst, wenn die Zugriffüberwachungszeit beginnt. Darüber hinaus wird, selbst wenn die Zugriffsüberwachungszeit endet, nämlich selbst wenn die Beendigungszeit des Schlitzes erreicht wird, der Zugriff auf die gemeinsam verwendetet Dateneinheit 205 nicht beendet.A vehicle control device according to a second embodiment, which is the access control device, is described with reference to FIG 17th described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The second embodiment is mainly different from the first embodiment in that the case where the shared data unit is accessed 205 is not finished in the slot is considered. That is, in the second embodiment, the following task is assumed. That is, one certain task begins accessing the shared data unit 205 before the start of the watchdog time and the access is not completed even when the watchdog time begins. In addition, even when the access monitoring time ends, namely even when the slot completion time is reached, the shared data unit is accessed 205 not finished.

In der zweiten Ausführungsform wird der Zugriffsmerker des Datenzugriffs-Controllers 105 verwendet. Zum Beispiel ist der Zugriffsmerker eine Information, die im Datenspeicher 209 gespeichert ist. Wie in der ersten Ausführungsform beschrieben wird, schaltet der Datenzugriffs-Controller 105 den Zugriffs-Merker zu „zugreifen“, wenn der Datenzugriffs-Controller 105 den Zugriff auf die gemeinsam verwendete Dateneinheit 205 in Reaktion auf die angeforderte Aufgabe genehmigt, und der Datenzugriffs-Controller 105 schaltet den Zugriffsmerker zu „nicht zugreifen“, wenn der Datenzugriff abgeschlossen worden ist. Wenn detektiert wird, dass der Zugriffsmerker zur Beendigung der Zugriffsüberwachungszeit „zugreifen“ ist, startet der Datenzugriffs-Controller 105 die Fahrzeugsteuereinrichtung 2002 neu, um die gesamte ausschließliche Steuerung zurückzusetzen.In the second embodiment, the access flag of the data access controller 105 used. For example, the access flag is information stored in the data store 209 is saved. As described in the first embodiment, the data access controller switches 105 to "access" the access flag when the data access controller 105 access to the shared data unit 205 approved in response to the requested task, and the data access controller 105 switches the access flag to "do not access" when the data access has been completed. If it is detected that the access flag is “access” at the end of the access monitoring time, the data access controller starts 105 the vehicle control device 2002 new to reset all exclusive controls.

Folglich kann der Einfluss auf eine weitere Aufgabe aufgrund des Ausschließens minimiert werden, wenn der Datenzugriff durchgeführt wird, während die Zugriffüberwachungszeit überschritten wird, und eine frühe Wiederherstellung kann erzielt werden. Wenn der Aufgabenzustand im Ausführungszustand ist, während der Zugriffsmerker am Beginn der Zugriffsüberwachungszeit „zugreifen“ ist, wird die Erzeugung einer Anomalie bestimmt und der Aufgabenzustandsmanager 107 kann die Aufgabe zum Bereitschaftszustand schalten. Das Ziel, das neu gestartet werden soll, ist nicht auf die Fahrzeugsteuereinrichtung 2002 beschränkt, sondern kann die Gesamtheit weiterer zu montierender Systeme sein.As a result, the impact on another task due to exclusion can be minimized if the data access is performed while the access monitoring time is exceeded, and early recovery can be achieved. If the task state is in the execution state while the access flag is “accessing” at the beginning of the access monitoring time, the generation of an anomaly is determined and the task state manager 107 can switch the task to standby. The target that is to be restarted is not on the vehicle control device 2002 limited, but can be the entirety of other systems to be assembled.

<Wirkablauf des Datenzugriffs-Controllers 105><Action sequence of the data access controller 105 >

17 ist ein Ablaufplan, der den Wirkablauf des Datenzugriffs-Controllers 105 in der zweiten Ausführungsform darstellt. Weil die Stücke der Verarbeitung bis zu S203 dieselben wie die der ersten Ausführungsform sind, wird die Beschreibung unterlassen. Wenn der Zugriff auf die gemeinsam verwendete Dateneinheit 205 in S203 gestartet wird, bestimmt der Datenzugriffs-Controller 105, ob der Zugriff der Aufgabe auf die gemeinsam verwendete Dateneinheit 205 endet und die Verarbeitung geht zu S204, wenn der Datenzugriffs-Controller 105 bestimmt, dass der Zugriff endet (Ja in S211). Wenn bestimmt wird, dass der Zugriff nicht endet (Nein in S211), bestimmt der Datenzugriffs-Controller 105, ob die Zugriffsüberwachungszeit endet. Der Datenzugriffs-Controller 105 startet die Fahrzeugsteuereinrichtung 2002 neu (S213), wenn bestimmt wird, dass die Zugriffsüberwachungszeit endet (Ja in S212). Die Verarbeitung kehrt zu S211 zurück, wenn der Datenzugriffs-Controller 105 bestimmt, dass die Zugriffsüberwachungszeit nicht endet (Nein in S212). 17th is a flow chart showing the operational sequence of the data access controller 105 in the second embodiment. Because the pieces of processing up to S203 same as those of the first embodiment, the description is omitted. If access to the shared data unit 205 in S203 is started, the data access controller determines 105 whether the task's access to the shared data unit 205 ends and processing goes on S204 when the data access controller 105 determines that access ends (yes in S211 ). If it is determined that access will not end (no in S211 ) determines the data access controller 105 whether the access monitoring time ends. The data access controller 105 starts the vehicle control device 2002 New ( S213 ) if it is determined that the access monitoring time ends (yes in S212 ). Processing is reversing S211 back when the data access controller 105 determines that the access monitoring time does not end (no in S212 ).

Gemäß der zweiten Ausführungsform, die oben beschrieben worden ist, können die folgenden Wirkungen erreicht werden.According to the second embodiment described above, the following effects can be achieved.

(6) Die Fahrzeugsteuereinrichtung 2002 enthält den Zugriffsmerker, der einen Zustand des Zugriffs der Aufgabe auf die gemeinsam verwendete Dateneinheit 205 angibt, und den Datenzugriffs-Controller 105, der den Zugriffsmerker setzt, wenn die Aufgabe den Zugriff auf die gemeinsam verwendete Dateneinheit 205 startet, und den Zugriffsmerker löscht, wenn die Aufgabe den Zugriff auf die gemeinsam verwendete Dateneinheit 205 beendet. Der Datenzugriffs-Controller 105 startet die Fahrzeugsteuereinrichtung 2002 neu, wenn der Zugriffsmerker bei der Beendigung der Zugriffsüberwachungszeit gesetzt ist. Aus diesem Grund kann dann, wenn der Datenzugriff über die Zugriffsüberwachungszeit durchgeführt wird, der Einfluss auf eine weitere Aufgabe aufgrund des Ausschlusses minimiert werden, um die frühe Wiederherstellung zu erzielen.(6) The vehicle control device 2002 contains the access flag, which indicates a state of access of the task to the shared data unit 205 specifies, and the data access controller 105 which sets the access flag when the task accesses the shared data unit 205 starts, and clears the access flag when the task accesses the shared data unit 205 completed. The data access controller 105 starts the vehicle control device 2002 new if the access flag is set at the end of the access monitoring time. For this reason, if the data access is performed via the access monitoring time, the influence on another task due to the exclusion can be minimized in order to achieve the early recovery.

Dritte AusführungsformThird embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer dritten Ausführungsform, die die Zugriffssteuereinrichtung ist, wird unter Bezugnahme auf 18 beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die dritte Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass die Zugriffsüberwachungszeit in dem Schlitz, der der zweiten Aufgabe 102 zugewiesen ist, bereitgestellt wird.A vehicle control device according to a third embodiment, which is the access control device, is described with reference to FIG 18th described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The third embodiment is mainly different from the first embodiment in that the access guard time in the slot is that of the second task 102 is assigned.

In der dritten Ausführungsform wird der Wirkablauf der Fahrzeugsteuereinrichtung 2002 beschrieben, wenn verboten wird, dass die zweite Aufgabe 102, die das höhere Sicherheitsanforderungsniveau besitzt, eine weitere Aufgabe beeinflusst. Das heißt, die Zugriffsüberwachungszeit für die Datenzugriffsüberwachung wird in der dritten Ausführungsführungsform selbst dann in einem letzten Teil des Schlitzes, der der vorhergehenden zweiten Aufgabe 102 zugewiesen ist, bereitgestellt, wenn der Schlitz neben dem Schlitz, der der zweiten Aufgabe 102 zugewiesen ist, der zweiten Aufgabe 102 zugewiesen ist. Als ein Ergebnis kann dann, wenn die zweite Aufgabe 102, die das höhere Sicherheitsanforderungsniveau besitzt, eine Fehlfunktion aufweist, der Einfluss auf eine weitere zweite Aufgabe 102, die das höhere Sicherheitsanforderungsniveau besitzt, verhindert werden.In the third embodiment, the operational sequence of the vehicle control device 2002 described when the second is prohibited task 102 that has the higher level of security requirements affects another task. That is, the access monitoring time for data access monitoring in the third embodiment is even in a last part of the slot that of the previous second task 102 is assigned provided when the slot is next to the slot which is the second task 102 assigned to the second task 102 is assigned. As a result, if the second task 102 that has the higher level of security requirements malfunctions, which affects another second task 102 which has the higher level of security requirements can be prevented.

<Wirkablauf eines Systemzustandsmanagers 111><Operating sequence of a system state manager 111 >

18 ist ein Ablaufplan, der den Wirkablauf des Systemzustandsmanagers 111 in der dritten Ausführungsform darstellt. Dieselben Stücke der Verarbeitung wie die der ersten Ausführungsform sind durch dieselben Schrittnummern bezeichnet und die Beschreibung wird unterlassen. Wenn in S400A eine negative Bestimmung vorgenommen wird, bestimmt der Systemzustandsmanager 111, ob die zweite Aufgabe 102 sowohl dem aktuellen Schlitz als auch dem nächsten Schlitz zugewiesen ist (S400C). Der Systemzustandsmanager 111 fährt zu S401 fort, wenn in S400C eine positive Bestimmung vorgenommen wird, und der Systemzustandsmanager 111 fährt zu S400B fort, wenn in S400C die negative Bestimmung vorgenommen wird. Weil die folgenden Wirkabläufe dieselben wie die der ersten Ausführungsform sind, wird ihre Beschreibung unterlassen. 18th is a flow chart showing the operational flow of the system state manager 111 in the third embodiment. The same pieces of processing as that of the first embodiment are denoted by the same step numbers and the description is omitted. If in S400A if a negative determination is made, the health manager determines 111 whether the second task 102 is assigned to both the current slot and the next slot ( S400C ). The health manager 111 drives to S401 away if in S400C a positive determination is made and the health manager 111 drives to S400B away if in S400C the negative determination is made. Because the following operations are the same as those of the first embodiment, their description is omitted.

Gemäß der dritten Ausführungsform, die oben beschrieben worden ist, kann der Einfluss der Aufgabe, die das höhere Sicherheitsanforderungsniveau besitzt, auf eine weitere Aufgabe durch Ändern des Zuteilungsziels der Zugriffsüberwachungszeit verhindert werden.According to the third embodiment described above, the influence of the task having the higher security requirement level on another task can be prevented by changing the assignment target of the access monitoring time.

Vierte AusführungsformFourth embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer vierten Ausführungsform, die die Zugriffssteuereinrichtung ist, wird beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die vierte Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass die Planungstabelle 501 automatisch erstellt wird.A vehicle control device according to a fourth embodiment, which is the access control device, will be described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The fourth embodiment is mainly different from the first embodiment in that the planning table 501 is created automatically.

Ein Entwicklungswerkzeug (das nicht dargestellt ist) erstellt die Planungstabelle 501 automatisch. Das Entwicklungswerkzeug erstellt die Planungstabelle 501 automatisch aus Entwurfsinformationen wie z. B. dem Arbeitszyklus jeder Aufgabe, der schlechtesten Ausführungszeit und dem Sicherheitsanforderungsniveau. Während des automatischen Erstellens wird auf der Grundlage der Informationen über das Sicherheitsanforderungsniveau bestimmt, ob die Zugriffsüberwachungszeit für die Datenzugriffsüberwachung im letzten Abschnitt jedes Schlitzes bereitgestellt werden soll. Wenn die Zugriffsüberwachungszeit bereitgestellt ist, wird die Schlitzzeit, die die Zugriffsüberwachungszeit enthält, zugeteilt.A development tool (not shown) creates the planning table 501 automatically. The development tool creates the planning table 501 automatically from design information such as B. the duty cycle of each task, the worst execution time and the level of security requirements. During automatic creation, it is determined based on the security requirement level information whether the access watchdog time for data access monitoring should be provided in the last section of each slot. When the access guard time is provided, the slot time that includes the access guard time is allocated.

Gemäß der vierten Ausführungsform wird die Planungstabelle 501 automatisch erstellt, derart, dass der Anwendungsentwurf vorgenommen werden kann, ohne die Notwendigkeit der Zugriffsüberwachungszeit zu berücksichtigen.According to the fourth embodiment, the planning table 501 Automatically created so that the application design can be done without considering the need for access monitoring time.

Fünfte AusführungsformFifth embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer fünften Ausführungsform, die die Zugriffssteuereinrichtung ist, wird unter Bezugnahme auf 19 bis 23 beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die fünfte Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass die CPU 208 der Fahrzeugsteuereinrichtung 2002 mehrere Kerne enthält.A vehicle control device according to a fifth embodiment, which is the access control device, is described with reference to FIG 19th to 23 described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The fifth embodiment is mainly different from the first embodiment in that the CPU 208 the vehicle control device 2002 contains several cores.

Die CPU 208 der fünften Ausführungsform ist eine sogenannte Mehrkern-CPU, die einen ersten Kern 1701, einen zweiten Kern 1702 und einen dritten Kern 1703 enthält, wie in 19 dargestellt ist. Allerdings kann die Anzahl von Kernen, die in der CPU 208 enthalten sind, zwei oder mehr sein und die Anzahl ist nicht beschränkt. Jeder Kern führt die erste Aufgabe 101, die das niedrigere Sicherheitsanforderungsniveau besitzt, und die zweite Aufgabe 102, die das höhere Sicherheitsanforderungsniveau besitzt, aus und jede Aufgabe greift auf die gemeinsam verwendete Dateneinheit 205 zu. In der fünften Ausführungsform wird der Systemzustand in drei Zustände nämlich einen Gesamtüberwachungszustand, einen Einzelüberwachungszustand und einen Nichtüberwachungszustand klassifiziert.The CPU 208 The fifth embodiment is a so-called multi-core CPU, which has a first core 1701 , a second core 1702 and a third core 1703 contains, as in 19th is shown. However, the number of cores that are in the CPU 208 Included are two or more and the number is not limited. Each core performs the first task 101 that has the lower level of security requirements, and the second task 102 , which has the higher level of security requirements, and each task accesses the shared data unit 205 to. In the fifth embodiment, the system state is classified into three states, namely an overall monitoring state, an individual monitoring state and a non-monitoring state.

20 ist eine Ansicht, die ein Beispiel einer Systemzustandstabelle 1901 darstellt. Die Systemzustandstabelle 1901 enthält Informationen darüber, ob jeder Kern im Einzelüberwachungszustand oder im Nichtüberwachungszustand ist, und einen „Zugriffsüberwachungszähler für alle Kerne“. Der Zugriffsüberwachungszähler für alle Kerne nimmt zwischen 0 und der Anzahl von Kernen zu oder ab. Ein Zustand, in dem ein Wert des Zugriffsüberwachungszählers für alle Kerne größer oder gleich 1 ist, wird als ein „Gesamtüberwachungszustand“ bezeichnet. Das heißt, der Zugriffsüberwachungszustand und der Zugriffsnichtüberwachungszustand der ersten Ausführungsform entsprechen dem Einzelüberwachungszustand und dem Nichtüberwachungszustand der fünften Ausführungsform und geben an, ob der Zugriff auf die gemeinsam verwendete Dateneinheit 205 in jedem Kern durchgeführt werden kann. Der Gesamtüberwachungszustand wirkt sich auf die gesamte Fahrzeugsteuereinrichtung 2002 nämlich alle Kerne aus. Im Gesamtüberwachungszustand ist ein neuer Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 in allen Kernen verboten. 20th is a view showing an example of a system state table 1901 represents. The system state table 1901 contains information about whether each core is in the single-monitor state or in the non-monitor state, and an "access monitor counter for all cores". The access monitoring counter for all cores increases or decreases between 0 and the number of cores. A state in which a value of the access monitoring counter is greater than or equal to 1 for all cores is referred to as an “overall monitoring state”. That is, the access monitor state and the access non-monitor state of the first embodiment correspond to the individual monitor state and the non-monitor state of FIG fifth embodiment and indicate whether access to the shared data unit 205 can be done in every core. The overall monitoring state affects the entire vehicle control device 2002 namely all the cores. In the overall monitoring state, a new access is the first task 101 to the shared data unit 205 prohibited in all cores.

In der fünften Ausführungsform setzt der Systemzustandsmanager 111 die Überwachungszeit nicht nur zur ersten Aufgabe 101, sondern auch zur zweiten Aufgabe 102. Allerdings wird die Überwachungszeit der zweiten Aufgabe 102 derart gesetzt, dass sie mindestens zweimal die Zugriffszeit ist.In the fifth embodiment, the health manager sets 111 the monitoring time not only for the first task 101 , but also for the second task 102 . However, the monitoring time becomes the second task 102 set so that it is at least twice the access time.

Wie die Systemzustandstabelle 1901 erneut geschrieben wird, wird unter Bezugnahme auf 21 beschrieben. Zu Beginn (T4b) der Zugriffüberwachungszeit im Schlitz für die erste Aufgabe 101 schaltet der Systemzustandsmanager 111 den Systemzustand des ersten Kerns zum individuellen Überwachungszustand. Zur Beendigung (T4c) der Zugriffsüberwachungszeit im Schlitz für die erste Aufgabe 101 schaltet der Systemzustandsmanager 111 den Systemzustand des ersten Kerns zum Nichtüberwachungszustand. Wie oben beschrieben worden ist, wird ein neuer Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 im Kern im individuellen Überwachungszustand verboten. Zu Beginn (T4e) der Zugriffsüberwachungszeit im Schlitz für die zweite Aufgabe 102 schaltet der Systemzustandsmanager 111 den Systemzustand des Kerns zum Einzelüberwachungszustand und erhöht den Zugriffsüberwachungszähler für alle Kerne um eins, um den Systemzustand des Kerns zum Gesamtüberwachungszustand zu schalten. Zur Beendigung (T4h) der Zugriffsüberwachungszeit im Schlitz für die zweite Aufgabe 102 schaltet der Systemzustandsmanager 111 den Systemzustand des Kerns zum Nichtüberwachungszustand und verringert den Zugriffsüberwachungszähler für alle Kerne um eins. Wenn der Wert des Zugriffsüberwachungszählers für alle Kerne durch die Verringerung null wird, wird der Gesamtüberwachungszustand freigegeben.Like the system status table 1901 is rewritten with reference to 21 described. At the beginning (T4b) of the access monitoring time in the slot for the first task 101 the system state manager switches 111 the system status of the first core to the individual monitoring status. To finish ( T4c ) the access monitoring time in the slot for the first task 101 the system state manager switches 111 the system status of the first core to the non-monitoring status. As described above, a new access becomes the first task 101 to the shared data unit 205 basically prohibited in individual monitoring status. At the beginning (T4e) of the access monitoring time in the slot for the second task 102 the system state manager switches 111 the system state of the core to the single monitoring state and increments the access monitoring counter for all cores by one to switch the system state of the core to the overall monitoring state. To finish ( T4h ) the access monitoring time in the slot for the second task 102 the system state manager switches 111 the system state of the core to the non-monitoring state and decreases the access monitoring counter for all cores by one. If the decrease in the access monitor counter value for all cores becomes zero, the overall monitor state is released.

Wie oben beschrieben worden ist, wird dann, wenn der Zugriffsüberwachungszähler für alle Kerne größer oder gleich eins ist, der Systemzustand des Kerns zum Gesamtüberwachungszustand gesetzt, derart, dass der neue Datenzugriff durch die erste Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 in allen Kernen verboten wird. Wenn die Anforderung für den Datenzugriff auf die gemeinsam verwendete Dateneinheit 205 durch die zweite Aufgabe 102 der mehreren Kerne 1701, 1702, 1703 vorgenommen wird, gibt der Datenzugriffs-Controller 105 die Priorität zum Datenzugriff durch die zweite Aufgabe 102, die die kürzeste Zeit bis zur Beendigungszeit des Schlitzes, der aktuell ausgeführt wird, aufweist. Allerdings kann dann, wenn der Systemzustand des Kerns nicht im Gesamtüberwachungszustand ist, wenn also ausreichend Zeit vorliegt, vor der Beendigung des Schlitzes in einem beliebigen Kern auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, der Datenzugriffs-Controller 105 bewirken, dass die zweite Aufgabe 102 auf die gemeinsam verwendete Dateneinheit 205 in der Reihenfolge zugreift, in der die Anforderung empfangen wird. Folglich kann selbst dann, wenn die erste Aufgabe 101 eines weiteren Kerns den Zugriff vor der Zugriffüberwachungszeit erlangt, eine Zeit zum Ausführen des Datenzugriffs durch die zweite Aufgabe 102 sichergestellt werden, nachdem der Datenzugriff durch die erste Aufgabe 101 abgeschlossen ist. Aus diesem Grund kann der Einfluss des Datenzugriffs durch die erste Aufgabe 101 auf den zweiten Kern 1702 in einer Vielkernumgebung verhindert werden. Die genaue Beschreibung wird unter Bezugnahme auf 22 vorgenommen.As described above, if the access monitor count for all cores is greater than or equal to one, the system state of the core is set to the overall monitor state such that the new data access by the first task 101 to the shared data unit 205 is forbidden in all cores. When the request for data access to the shared data unit 205 through the second task 102 of the multiple cores 1701 , 1702 , 1703 the data access controller issues 105 the priority for data access by the second task 102 that has the shortest time to the completion time of the slot that is currently being executed. However, if the system state of the core is not in the overall monitoring state, that is to say if there is sufficient time, the shared data unit can be terminated in any core before the slot is terminated 205 to access the data access controller 105 cause the second task 102 to the shared data unit 205 accesses in the order in which the request is received. Consequently, even if the first task 101 another core gains access before the access watchdog time, a time for the second task to perform data access 102 be ensured after data access by the first task 101 is completed. Because of this, the influence of data access through the first task 101 to the second nucleus 1702 can be prevented in a multi-core environment. The detailed description will be made with reference to FIG 22 performed.

22 ist eine Ansicht, die eine Situation darstellt, in der die Anforderung der zweiten Aufgabe 102, auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, vervielfältigt wird. In 22 verstreicht die Zeit von links nach rechts und die Zustände des ersten Kerns 1701, des zweiten Kerns 1702 und des dritten Kerns 1703 sind von oben dargestellt. Allerdings ist 22 ein schematisches Diagramm und die Länge der Zeitachse ist nicht gleichförmig. Zum Beispiel ist in 22 die Zugriffszeit des dritten Kerns 1703 viel länger als weitere gezeichnet. Allerdings ist dies auf ein Zeichenproblem zurückzuführen und alle Zugriffszeiten sind im Wesentlichen dieselben. Der erste Kern 1701 und der zweite Kern 1702 führen die zweite Aufgabe 102 aus und der dritte Kern 1703 führt die erste Aufgabe 101 aus. Die Beendigungszeit des Schlitzes im ersten Kern 1701 ist t6 und eine Gesamtüberwachungszeit beginnt von der Zeit t3, die aus der Überwachungszeit der zweiten Aufgabe 102 berechnet wird. Die Beendigungszeit des Schlitzes im zweiten Kern 1702 ist t7 und die Gesamtüberwachungszeit beginnt von der Zeit t5, die aus der Überwachungszeit der zweiten Aufgabe 102 berechnet wird. Zur Zeit t0 greift die erste Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 im dritten Kern 1703 zu. Der Zugriff wird bis zur Zeit t4 fortgesetzt. 22 Fig. 12 is a view illustrating a situation in which the request of the second task 102 on the shared data unit 205 to access is reproduced. In 22 time passes from left to right and the states of the first nucleus 1701 , the second core 1702 and the third core 1703 are shown from above. However 22 a schematic diagram and the length of the time axis is not uniform. For example, in 22 the access time of the third core 1703 drawn much longer than others. However, this is due to a drawing problem and all access times are essentially the same. The first core 1701 and the second core 1702 perform the second task 102 out and the third core 1703 performs the first task 101 out. The completion time of the slot in the first core 1701 is t6 and a total monitoring time starts from the time t3 that from the monitoring time of the second task 102 is calculated. The completion time of the slot in the second core 1702 is t7 and the total monitoring time starts from time t5 that from the monitoring time of the second task 102 is calculated. The first task takes effect at time t0 101 to the shared data unit 205 in the third core 1703 to. Access is up to now t4 continued.

Wie durch ein abwärts gerichtetes Dreieck zur Zeit t1 angezeigt wird, wird die Anforderung der zweiten Aufgabe 102, auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, im zweiten Kern 1702 erzeugt. Wie durch das abwärts gerichtete Dreieck zur nachfolgenden Zeit t2 angezeigt wird, wird die Anforderung der zweiten Aufgabe 102, auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, im ersten Kern 1703 erzeugt. Zur Zeit t3 wird die Gesamtüberwachungszeit im ersten Kern 1703 gestartet. Zur Zeit t4 ist der Zugriff der ersten Aufgabe 101 des dritten Kerns 1703 auf die gemeinsam verwendete Dateneinheit 205 abgeschlossen, der Datenzugriffs-Controller 105 bestimmt, dass die Zeit bis zur Beendigung des Schlitzes im ersten Kern 1701 kürzer als im zweiten Kern 1702 ist, und bewirkt, dass die zweite Aufgabe 102 des ersten Kerns 1701 auf die gemeinsam verwendete Dateneinheit 205 zugreift. Anschließend bewirkt dann, wenn der Zugriff des ersten Kerns 1701 auf die gemeinsam verwendete Dateneinheit 205 zur Zeit t5 abgeschlossen ist, der Datenzugriffs-Controller 105, dass der zweite Kern 1702 auf die gemeinsam verwendete Dateneinheit 205 zugreift.As indicated by a downward triangle at time t1, the request of the second task 102 on the shared data unit 205 to access, in the second core 1702 generated. Like through the downward triangle at the following time t2 appears, the request of the second task 102 on the shared data unit 205 to access, in the first core 1703 generated. For now t3 will the Total monitoring time in the first core 1703 started. For now t4 is access to the first task 101 of the third core 1703 to the shared data unit 205 completed, the data access controller 105 determines the time to complete the slot in the first core 1701 shorter than in the second core 1702 is, and causes the second task 102 of the first core 1701 to the shared data unit 205 accesses. It then does so when accessing the first core 1701 to the shared data unit 205 for now t5 is complete, the data access controller 105 that the second core 1702 to the shared data unit 205 accesses.

(Wirkablauf des Systemzustandsmanagers 111)(Operating sequence of the system state manager 111 )

23 ist ein Ablaufplan, der den Wirkablauf des Systemzustandsmanagers 111 in der fünften Ausführungsform darstellt. In 23 sind dieselben Wirkabläufe wie die der ersten Ausführungsform durch dieselben Schrittnummern bezeichnet und die Beschreibung wird unterlassen. Der Systemzustandsmanager 111 bestimmt, ob die Aufgabe, die in jedem Schlitz beim Start des Schlitzes ausgeführt wird, die erste Aufgabe 101 ist (S400A). Die Verarbeitung schreitet zu S401A fort, wenn bestimmt wird, dass die Aufgabe, die ausgeführt werden soll, die erste Aufgabe 101 ist (Ja in S400A). Wenn die Aufgabe, die ausgeführt werden soll, nicht die erste Aufgabe 101 ist, wenn also die zweite Aufgabe 102 ausgeführt wird (Nein in S400A), wird die folgende Verarbeitung in S400B durchgeführt. 23 is a flow chart showing the operational flow of the system state manager 111 in the fifth embodiment. In 23 The same operations as those of the first embodiment are denoted by the same step numbers, and the description is omitted. The health manager 111 determines whether the task performed in each slot at the start of the slot is the first task 101 is ( S400A ). Processing is progressing S401A if it is determined that the task to be performed is the first task 101 is (yes in S400A ). If the task to be performed is not the first task 101 is so if the second task 102 is executed (No in S400A ), the following processing in S400B carried out.

Das heißt, der Systemzustandsmanager 111 setzt die Beendigungszeit des Schlitzes zur Schlitzzeitüberwachungseinrichtung 110, berechnet die Startzeit der Zugriffsüberwachungszeit auf der Grundlage der Überwachungszeit für die zweite Aufgabe 102 und setzt die Startzeit der Zugriffsüberwachungszeit zur Zugriffszeitüberwachungseinrichtung 109, um das Zählen zu starten (S400B). Wenn der Systemzustandsmanager 111 bestimmt, dass die Überwachungszeit vorliegt (Ja in S420B), wird der Systemüberwachungszustand des Kerns zum Einzelüberwachungszustand geschaltet, der Zugriffüberwachungszähler für alle Kerne wird erhöht, um den Systemzustand zum Gesamtüberwachungszustand zu schalten (S403B), und die Verarbeitung fährt zu S404 fort. Allerdings wird dann, wenn sich der Systemzustand bereits im Gesamtüberwachungszustand befindet, lediglich der Zugriffsüberwachungszähler für alle Kerne erhöht.That is, the health manager 111 sets the slot completion time to the slot time monitor 110 , calculates the start time of the access monitoring time based on the monitoring time for the second task 102 and sets the start time of the access monitoring time to the access time monitoring device 109 to start counting ( S400B ). If the health manager 111 determines that the monitoring time is present (yes in S420B ), the core system monitor state is switched to the single monitor state, the access monitor counter for all cores is incremented to switch the system state to the overall monitor state (S403B), and processing closes S404 away. However, if the system state is already in the overall monitoring state, only the access monitoring counter for all cores is increased.

In S401A berechnet der Systemzustandsmanager 111 die Startzeit der Zugriffsüberwachungszeit auf der Grundlage der Überwachungszeit für die erste Aufgabe 101, setzt die Startzeit der Zugriffsüberwachungszeit zur Zugriffszeitüberwachungseinrichtung 109 und setzt die Beendigungszeit des Schlitzes zur Schlitzzeitüberwachungseinrichtung 110, um das Zählen zu starten, und die Verarbeitung fährt zu S402 fort. In S402 wird dann, wenn der Systemzustandsmanager 111 bestimmt, dass die Überwachungszeit vorliegt (Ja in S402A), der Systemüberwachungszustand des Kerns zum Einzelüberwachungszustand geschaltet und die Verarbeitung fährt zu S404 fort (S403A). Wenn in S404 bestimmt wird, dass die Schlitzzeit vorliegt, wird der Systemüberwachungszustand des Kerns zum Nichtüberwachungszustand geschaltet und der Zugriffsüberwachungszähler für alle Kerne wird verringert (S405A). Wenn der Wert des Zugriffsüberwachungszählers aufgrund der Verringerung für alle Kerne null wird, wird der Gesamtüberwachungszustand freigegeben.In S401A the health manager calculates 111 the start time of the access monitoring time based on the monitoring time for the first task 101 , sets the start time of the access monitoring time to the access time monitoring device 109 and sets the slot completion time to the slot time monitor 110 to start counting and processing closes S402 away. In S402 then when the health manager 111 determines that the monitoring time is present (yes in S402A ), the system monitoring status of the core is switched to the individual monitoring status and the processing closes S404 away ( S403A ). If in S404 if it is determined that the slot time is present, the system monitoring state of the core is switched to the non-monitoring state and the access monitoring counter for all cores is reduced ( S405A ). When the value of the access monitor counter becomes zero for all cores due to the decrease, the overall monitor state is released.

Gemäß der fünften Ausführungsform, die oben beschrieben worden ist, werden die folgenden Wirkungen erreicht.According to the fifth embodiment described above, the following effects are achieved.

(7) Die CPU 208 enthält die mehreren Kerne, die Aufgaben ausführen, der Systemzustandsmanager 111 setzt die zweite vorgegebene Zeit am Ende des Schlitzes, der der zweiten Aufgabe 102 zugewiesen ist, zur Gesamtzugriffsüberwachungszeit und die Dauer der Gesamtzugriffsüberwachungszeit ist größer oder gleich der Dauer der Einzelüberwachungszeit. Der Datenzugriffs-Controller 105 bestimmt, ob die Zugriffsüberwachungszeit in jedem Kern der CPU 208 vorliegt, und verbietet, dass die erste Aufgabe 101, die in allen Kernen während der gesamten Überwachungszeit ausgeführt wird, auf die gemeinsam verwendete Dateneinheit 205 zugreift. Aus diesem Grund kann dann, wenn die CPU 208, die die mehreren Kerne enthält, die mehreren Aufgaben parallel ausführen kann, der Einfluss der Aufgabe, die das niedrigere Sicherheitsanforderungsniveau besitzt, auf die Aufgabe, die das höhere Sicherheitsanforderungsniveau besitzt, verhindert werden, indem die Zugriffsüberwachungszeit in jedem Kern bereitgestellt wird. Wenn die Gesamtüberwachungszeit am Ende des Schlitzes der zweiten Aufgabe 102 bereitgestellt wird, um den Zugriff der ersten Aufgabe 101 auf die gemeinsam verwendete Dateneinheit 205 in allen Kernen zu beschränken, kann die zweite Aufgabe 102, die in einem beliebigen Kern ausgeführt wird, den Zugriff auf die gemeinsam verwendete Dateneinheit 205 priorisieren, um die Verzögerung der Ausführung zu verhindern.(7) The CPU 208 the health manager contains the multiple cores that perform tasks 111 sets the second predetermined time at the end of the slot, that of the second task 102 is assigned to the total access monitoring time and the duration of the total access monitoring time is greater than or equal to the duration of the individual monitoring time. The data access controller 105 determines whether the access guard time in each core of the CPU 208 is present and prohibits the first task 101 , which is executed in all cores during the entire monitoring time, on the shared data unit 205 accesses. For this reason, if the CPU 208 that contains the multiple cores that can perform multiple tasks in parallel, the influence of the task that has the lower security requirement level on the task that has the higher security requirement level can be prevented by providing the access guarding time in each core. If the total monitoring time at the end of the slot of the second task 102 is provided to access the first task 101 to the shared data unit 205 Restricting in all cores can be the second task 102 that runs in any core, access to the shared data unit 205 prioritize to avoid execution delay.

(8) Wenn die zweite Aufgabe 102 den Zugriff auf die gemeinsam verwendete Dateneinheit 205 in den mehreren Kernen versucht, gibt der Datenzugriffs-Controller 105 die Priorität zur zweiten Aufgabe 102, in der die Zeit bis zur Beendigung des Schlitzes, der aktuell ausgeführt wird, weniger als die Gesamtüberwachungszeit ist, um auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen. Aus diesem Grund wird dann, wenn die Zugriffe der zweiten Aufgaben 102 auf die gemeinsam verwendete Dateneinheit 205 miteinander überlappen, die Priorität dem Zugriff der Aufgabe, die die kürzere Zeit bis zur Beendigung der Ausführung besitzt, gegeben und der Zugriff der zweiten Aufgabe 102 auf die gemeinsam verwendete Dateneinheit 205 wird soviel wie möglich bereitgestellt.(8) If the second task 102 access to the shared data unit 205 Tried in the multiple cores, the data access controller returns 105 the priority to the second task 102 in which the time to complete the slot that is currently being executed is less than the total watch time to the shared data unit 205 to access. For this reason, when the accesses of the second tasks 102 to the shared data unit 205 overlap with each other, giving priority to access to the task that has the shorter time to complete execution and access to the second task 102 to the shared data unit 205 will be provided as much as possible.

(Änderung der fünften Ausführungsform)(Modification of the fifth embodiment)

Die gesamte Überwachungszeit kann länger sein als ein Produkt der Zeit, die die Aufgabe benötigt, um auf die gemeinsam verwendete Dateneinheit 205 zuzugreifen, und der Anzahl von Kernen. Folglich kann der Einfluss des Datenzugriffs durch die zweite Aufgabe 102, die aktuell ausgeführt wird, in einem weiteren Kern verhindert werden.The total monitoring time can be longer than a product of the time it takes the task to access the shared data unit 205 to access and the number of cores. Consequently, the influence of data access through the second task can be 102 that is currently running can be prevented in a further core.

Sechste AusführungsformSixth embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer sechsten Ausführungsform, die die Zugriffssteuereinrichtung ist, wird unter Bezugnahme auf 24 beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die sechste Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass die Fahrzeugsteuereinrichtung der sechsten Ausführungsform den Systemzustandsmanager nicht enthält.A vehicle control device according to a sixth embodiment, which is the access control device, is described with reference to FIG 24th described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The sixth embodiment is mainly different from the first embodiment in that the vehicle control device of the sixth embodiment does not include the system state manager.

In der sechsten Ausführungsform wird das Systemzustandsmanagement unter Verwendung mehrerer Modi eines Hardware-Zeitgebers und mehrerer Merker, die den Modi entsprechen, anstatt des Systemzustandsmanagers 111 durchgeführt. Der Zeitgeber enthält einen Merker, der angibt, dass die eingestellte Zeit erreicht ist.In the sixth embodiment, the health management is performed using multiple modes of a hardware timer and multiple flags corresponding to the modes instead of the health manager 111 carried out. The timer contains a flag that indicates that the set time has been reached.

24 ist eine Ansicht, die eine Gliederung des Wirkablaufs der sechsten Ausführungsform darstellt. Der Wirkablauf des Zeitgebers wird unter Bezugnahme auf 24 beschrieben. In einem kontinuierlichen Ausführungsmodus, der ein erster Modus ist, wird dann, wenn der Zähler die eingestellte Zeit (T5d) erreicht, ein Merker 1 zu einem Übereinstimmungszustand geschaltet, der Zähler wird zu null zurückgesetzt und das Zählen wird neu gestartet. Wenn das Zählen gestartet wird, geht der Merker 1 zu einem Nichtübereinstimmungszustand über. Die Aufgabe wird zu einer vorgegebenen Zeit unter Verwendung des ersten Modus zum Überwachen der Schlitzzeit aktiviert. 24th Fig. 12 is a view showing an outline of the operation of the sixth embodiment. The operation of the timer is described with reference to 24th described. In a continuous execution mode, which is a first mode, when the counter reaches the set time ( T5d ) is reached, a flag 1 is switched to a match state, the counter is reset to zero and counting is restarted. When the counting is started, the flag 1 goes to a mismatch state. The task is activated at a predetermined time using the first slot time monitor mode.

In einem Einzelausführungsmodus, der ein zweiter Modus ist, wird dann, wenn der Zähler die eingestellte Zeit (T5b) erreicht, ein Merker 2 zum Übereinstimmungszustand geschaltet und der Zähler wird gestoppt, bis die Zeit erneut gesetzt wird (T5d). Der zweite Modus wird verwendet, um die Zugriffsüberwachungszeit zu überwachen. Die Startzeit der Zugriffsüberwachungszeitwird beim Start des Schlitzes (T5a) gesetzt. Wenn die Aufgabe den Datenzugriff versucht, nimmt die Systemzustandsbestimmungseinheit 106 auf den Merker 2 Bezug, wenn der Merker 2 im Übereinstimmungszustand ist, wird bestimmt, dass der Systemzustand der Zugriffsüberwachungszustand ist, und der Datenzugriffs-Controller 105 verhindert den Datenzugriff durch die Aufgabe.In a single execution mode, which is a second mode, when the counter reaches the set time ( T5b ) reached, a flag 2nd switched to the match state and the counter is stopped until the time is set again ( T5d ). The second mode is used to monitor the access monitoring time. The start time of the access monitoring time is when the slot starts ( T5a ) set. When the task tries to access the data, the health determination unit takes 106 on the flag 2nd Reference if the flag 2nd is in the match state, it is determined that the system state is the access monitor state and the data access controller 105 prevents the task from accessing data.

Gemäß der sechsten Ausführungsform kann das Management des Systemzustands lediglich durch den Hardware-Zeitgeber unter Verwendung der mehreren Zeitgebermodi bereitgestellt werden.According to the sixth embodiment, the management of the system state can be provided only by the hardware timer using the plurality of timer modes.

Siebte AusführungsformSeventh embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer siebten Ausführungsform, die die Zugriffssteuereinrichtung ist, wird unter Bezugnahme auf 25 und 26 beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die siebte Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass eine FPGA verwendet wird.A vehicle control device according to a seventh embodiment, which is the access control device, is described with reference to FIG 25th and 26 described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The seventh embodiment is mainly different from the first embodiment in that an FPGA is used.

(Konfiguration)(Configuration)

25 ist ein Blockdiagramm, das die Fahrzeugsteuereinrichtung 2002 der siebten Ausführungsform darstellt. In der siebten Ausführungsform sind die Zugriffszeitüberwachungseinrichtung 109, die Schlitzzeitüberwachungseinrichtung 110 und der Systemzustandsmanager 111 in einer FPGA (feldprogrammierbare Gate-Anordnung) konfiguriert. Zusätzlich zur Konfiguration der ersten Ausführungsform ist ferner eine Zeitgebermerkerüberwachungseinrichtung 2303 in der FPGA bereitgestellt. 25th Fig. 3 is a block diagram showing the vehicle control device 2002 of the seventh embodiment. In the seventh embodiment, the access time monitor 109 , the slot time monitor 110 and the health manager 111 configured in an FPGA (field programmable gate arrangement). In addition to the configuration of the first embodiment, there is also a timer flag monitor 2303 provided in the FPGA.

26 ist eine Ansicht, die den Wirkablauf der Zeitgebermerkerüberwachungseinrichtung 2303 darstellt. Die Zeitgebermerkerüberwachungseinrichtung 2303 vergleicht ständig die Zeit des Zeitgebers mit der Zugriffszeitüberwachungseinrichtung 109 und der Schlitzzeitüberwachungseinrichtung 110. Die Zeitgebermerkerüberwachungseinrichtung 2303 schaltet den Überwachungsmerker zum Übereinstimmungszustand, wenn die Zugriffszeitüberwachungseinrichtung 109 mit dem Zeitgeber übereinstimmt (Zeit T6b in 26), und die Zeitgebermerkerüberwachungseinrichtung 2303 schaltet den Schlitzmerker zum Übereinstimmungszustand, wenn die Schlitzzeitüberwachungseinrichtung mit dem Zeitgeber übereinstimmt (Zeit T6d). Der Systemzustandsmanager 111 überwacht die Zustandsübergänge des Überwachungsmerkers und des Schlitzmerkers und schaltet den Systemzustand zum Zugriffsüberwachungszustand, wenn der Überwachungsmerker zum Übereinstimmungszustand übergeht (Zeit T6b). Wenn der Schlitzmerker zum Übereinstimmungszustand geschaltet wird (Zeit T6d), schaltet der Systemzustandsmanager 111 den Systemzustand zum Zugriffsnichtüberwachungszustand. 26 Fig. 14 is a view showing the operation of the timer flag monitor 2303 represents. The timer flag monitor 2303 constantly compares the time of the timer with the access time monitor 109 and the slot time monitor 110 . The timer flag monitor 2303 switches the watchdog flag to the match state when the access time monitor 109 coincides with the timer (time T6b in 26 ), and the timer flag monitor 2303 switches the Slot flag to match state when the slot time monitor matches the timer (time T6d). The health manager 111 monitors the status transitions of the monitoring flag and the slot flag and switches the system status to the access monitoring status when the monitoring flag changes to the matching status (time T6b). When the slot flag is switched to the match state (time T6d), the system state manager switches 111 the system state to the access unmonitoring state.

Gemäß der siebten Ausführungsform können die mehreren Zeiten unter Verwendung eines Zeitgebers durch die Zeitüberwachung und das Zustandsmanagement überwacht werden, wobei die FPGA verwendet wird.According to the seventh embodiment, the plural times can be monitored using a timer through the time monitor and the state management using the FPGA.

Achte AusführungsformEighth embodiment

Eine Fahrzeugsteuereinrichtung gemäß einer achten Ausführungsform, die die Zugriffsteuereinrichtung ist, wird unter Bezugnahme auf 27 und 28 beschrieben. Dieselben Komponenten wie die der ersten Ausführungsform werden durch dieselben Bezugszeichen bezeichnet und hauptsächlich wird unten ein Punkt, der von der ersten Ausführungsform verschieden ist, beschrieben. Die Punkte, die nicht besonders beschrieben werden, sind dieselben wie die der ersten Ausführungsform. Die achte Ausführungsform ist hauptsächlich dadurch von der ersten Ausführungsform verschieden, dass der Wirkablauf des Wirkablaufprotokollmanagers 213 verdeutlicht wird.A vehicle control device according to an eighth embodiment, which is the access control device, is described with reference to FIG 27 and 28 described. The same components as those of the first embodiment are denoted by the same reference numerals, and mainly a point different from the first embodiment is described below. The points that are not specifically described are the same as those of the first embodiment. The eighth embodiment is mainly different from the first embodiment in that the operation flow of the operation flow log manager 213 is made clear.

27 ist ein Ablaufplan, der den Wirkablauf eines Wirkablaufprotokollmanagers 213 darstellt. Der Wirkablaufprotokollmanager 213 erfasst (S701, S702) die Startzeit und die Beendigungszeit des Schlitzes in jedem Schlitz, die Aufgabenkennung und den Zustand bei der Beendigung des Schlitzes und zeichnet sie auf (S703). Insbesondere durch Aufzeichnen des Zustands zur Zeit der Beendigung wird ob die Aufgabe normalerweise aktiviert ist, eine Übergriffsaufgabe, die eine lange Wirkablaufzeit besitzt, die erzwungene Beendigung aufgrund der Erzeugung einer Anomalie, die Beendigung durch den Datenzugriff in der Zugriffsüberwachungszeit oder eine Übergriffunterbrechung durch den Datenzugriff in der Zugriffsüberwachungszeit im Wirkablaufprotokoll gehalten. 27 is a flow chart showing the operational flow of an operational flow log manager 213 represents. The knockout protocol manager 213 detects (S701, S702) the start time and the completion time of the slot in each slot, the task ID and the state at the completion of the slot, and records them (S703). In particular, by recording the state at the time of completion, whether the task is normally activated, an intrusion task that has a long expiration time, the forced termination due to the generation of an anomaly, the termination by the data access in the access monitoring time, or an interruption interruption by the data access in the access monitoring time is kept in the action log.

28 ist eine Ansicht, die ein Beispiel des Wirkablaufprotokolls 1101, das durch den Wirkablaufprotokollmanager 213 aufgezeichnet wurde, darstellt. Das Wirkablaufprotokoll 1101 zeichnet die Startzeit, die Beendigungszeit, die Aufgabenkennung und den Zustand bei der Beendigung in jedem Zeitschlitz auf. 28 Fig. 4 is a view showing an example of the knitting protocol 1101 by the functional flow protocol manager 213 was recorded. The impact protocol 1101 records the start time, the completion time, the task identifier and the state at the completion in each time slot.

Gemäß der achten Ausführungsform kann der Aufgabenzustand zu jeder Zeit durch Aufzeichnen des Wirkablaufprotokolls geprüft werden. Zusätzlich kann die Aufgabe, die den Datenzugriff versucht, zu einem Zeitpunkt, der eine weitere Aufgabe beeinflusst, gefunden werden.According to the eighth embodiment, the status of the task can be checked at any time by recording the operation process log. In addition, the task that is trying to access the data can be found at a point in time that affects another task.

Obwohl oben verschiedene Ausführungsformen und Änderungen beschrieben werden, ist die vorliegende Erfindung nicht auf diese Inhalte beschränkt. Weitere Aspekte, die als im Umfang des technischen Konzepts der vorliegenden Erfindung betrachtet werden, sind auch im Umfang der vorliegenden Erfindung enthalten.Although various embodiments and changes are described above, the present invention is not limited to this content. Other aspects that are considered to be within the scope of the technical concept of the present invention are also included within the scope of the present invention.

BezugszeichenlisteReference list

101101
erste Aufgabefirst task
102102
zweite Aufgabesecond task
105105
Datenzugriffs-ControllerData access controller
106106
SystemzustandsbestimmungseinheitSystem health determination unit
107107
AufgabenzustandsmanagerTask health manager
108108
PlanungseinheitPlanning unit
109109
ZugriffszeitüberwachungseinrichtungAccess time monitoring device
110110
SchlitzzeitüberwachungseinrichtungSlot time monitor
111111
SystemzustandsmanagerHealth manager
205205
gemeinsam verwendete Dateneinheitshared data unit
206206
Aufgabenausführungs-ControllerTask execution controller
208208
CPUCPU
210210
ZeitgeberTimer
213213
WirkablaufprotokollmanagerSequence log manager
214214
AnwendungseinheitApplication unit
215215
Hardwarehardware
216216
Softwaresoftware
501501
PlanungstabellePlanning table
11011101
WirkablaufprotokollAction log
19011901
SystemzustandstabelleSystem status table
20012001
FahrzeugsystemVehicle system
20022002
FahrzeugsteuereinrichtungVehicle control device
23032303
Zeitgebermerker-ÜberwachungseinrichtungTimer flag monitor

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of documents listed by the applicant has been generated automatically and is only included for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturPatent literature cited

  • JP 2003131892 A [0003]JP 2003131892 A [0003]

Claims (8)

Zugriffssteuereinrichtung, die Folgendes umfasst: eine Anwendungseinheit, die eine erste Aufgabe, die eine relativ niedrigere Priorität besitzt, und eine zweite Aufgabe, die eine relativ höhere Priorität besitzt, enthält, wobei die erste Aufgabe und die zweite Aufgabe durch die Priorität der Ausführung klassifiziert sind; eine Ausführungseinheit, die die erste Aufgabe und die zweite Aufgabe ausführt; einen Systemzustandsmanager, der jeder Aufgabe, die ausgeführt werden soll, einen Schlitz einer bestimmten Dauer zuweist, wobei die bestimmte Dauer für jede Aufgabe vorgegeben ist, und eine erste vorgegebene Zeit an einem Ende des Schlitzes, der der ersten Aufgabe zugewiesen ist, zu einer Zugriffsüberwachungszeit setzt; eine gemeinsam verwendete Dateneinheit, auf die durch die erste Aufgabe und die zweite Aufgabe zugegriffen wird; und einen Datenzugriffs-Controller, der verbietet, dass die erste Aufgabe während der Zugriffsüberwachungszeit auf die gemeinsam verwendete Dateneinheit zugreift.Access control device comprising: an application unit that includes a first task that has a relatively lower priority and a second task that has a relatively higher priority, the first task and the second task being classified by the priority of execution; an execution unit that executes the first task and the second task; a system state manager that assigns a slot of a certain duration to each task to be executed, the predetermined duration being predetermined for each task, and a first predetermined time at one end of the slot assigned to the first task at an access guard time puts; a shared data unit accessed by the first task and the second task; and a data access controller that prohibits the first task from accessing the shared data unit during the access monitoring time. Zugriffssteuereinrichtung nach Anspruch 1, wobei die Zugriffsüberwachungszeit länger als eine Zeit ist, die die erst Aufgabe benötigt, um auf die gemeinsam verwendete Dateneinheit zuzugreifen.Access control device after Claim 1 , wherein the access monitoring time is longer than a time that the first task needs to access the shared data unit. Zugriffssteuereinrichtung nach Anspruch 1, wobei der Datenzugriffs-Controller die erste Aufgabe, die den Zugriff auf die gemeinsam verwendete Dateneinheit versucht, während der Zugriffsüberwachungszeit zu einem Beendigungszustand schaltet.Access control device after Claim 1 wherein the data access controller switches the first task, which attempts to access the shared data unit, to a termination state during the access monitoring time. Zugriffssteuereinrichtung nach Anspruch 1, wobei dann, wenn die erste Aufgabe, die über mehrere Schlitze ausgeführt wird, den Zugriff auf die gemeinsam verwendete Dateneinheit während der Zugriffsüberwachungszeit in einem beliebigen Schlitz außer einem letzten Schlitz versucht, der Datenzugriffs-Controller bewirkt, dass die erste Aufgabe bis zu einer Startzeit eines nächsten Schlitzes wartet.Access control device after Claim 1 , and when the first multi-slot task attempts to access the shared data unit in any slot other than a last slot during the access guard time, the data access controller causes the first task to start up another slot is waiting. Zugriffssteuereinrichtung nach Anspruch 1, die ferner Folgendes umfasst: einen Zugriffsmerker, der einen Zustand des Zugriffs der Aufgabe auf die gemeinsam verwendete Dateneinheit angibt; und einen Merkermanager, der den Zugriffsmerker setzt, wenn die Aufgabe den Zugriff auf die gemeinsam verwendete Dateneinheit beginnt, und den Zugriffsmerker löscht, wenn die Aufgabe den Zugriff auf die gemeinsam verwendete Dateneinheit beendet, wobei der Datenzugriffs-Controller die Zugriffssteuereinrichtung neu startet, wenn der Zugriffsmerker bei der Beendigung der Zugriffsüberwachungszeit gesetzt ist.Access control device after Claim 1 further comprising: an access flag indicating a state of the task's access to the shared data unit; and a flag manager that sets the access flag when the task starts accessing the shared data unit and clears the access flag when the task ends access to the shared data unit, the data access controller restarting the access controller when the Access flag is set at the end of the access monitoring time. Zugriffssteuereinrichtung nach Anspruch 1, wobei die Ausführungseinheit, die die Aufgabe ausführt, mehrere Ausführungseinheiten umfasst, der Systemzustandsmanager ferner eine zweite vorgegebene Zeit am Ende des Schlitzes, der der zweiten Aufgabe zugewiesen ist, zu einer Gesamtzugriffsüberwachungszeit setzt, wobei die zweite vorgegebene Zeit größer oder gleich der ersten vorgegebenen Zeit ist, und der Datenzugriffs-Controller bestimmt, ob sich jede Ausführungseinheit während der Zugriffsüberwachungszeit befindet, und verhindert, dass die erste Aufgabe, die durch alle Ausführungseinheiten in der Gesamtzugriffsüberwachungszeit ausgeführt wird, auf die gemeinsam verwendete Dateneinheit zugreift.Access control device after Claim 1 wherein the execution unit performing the task includes multiple execution units, the health manager further sets a second predetermined time at the end of the slot assigned to the second task at a total access monitoring time, the second predetermined time greater than or equal to the first predetermined time and the data access controller determines whether each execution unit is during the access guard time and prevents the first task performed by all execution units in the total access guard time from accessing the shared data unit. Zugriffssteuereinrichtung nach Anspruch 6, wobei dann, wenn die zweite Aufgabe den Zugriff auf die gemeinsam verwendete Dateneinheit in den mehreren Ausführungseinheiten versucht, der Datenzugriffs-Controller den Zugriff der zweiten Aufgabe, die eine kürzere Zeit bis zu einem Ende des Schlitzes aufweist, auf die gemeinsam verwendete Dateneinheit priorisiert.Access control device after Claim 6 wherein when the second task attempts to access the shared data unit in the plurality of execution units, the data access controller prioritizes access of the second task, which has a shorter time to an end of the slot, to the shared data unit. Zugriffssteuereinrichtung nach Anspruch 1, wobei die Priorität auf der Grundlage eines Funktionssicherheitsniveaus, das für die Aufgabe erforderlich ist, bestimmt wird.Access control device after Claim 1 The priority is determined based on a level of functional safety required for the task.
DE112018003505.0T 2017-08-29 2018-07-18 ACCESS CONTROL DEVICE Pending DE112018003505T5 (en)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2017164747A JP6796040B2 (en) 2017-08-29 2017-08-29 Access control device
JP2017-164747 2017-08-29
PCT/JP2018/026818 WO2019044226A1 (en) 2017-08-29 2018-07-18 Access control device

Publications (1)

Publication Number Publication Date
DE112018003505T5 true DE112018003505T5 (en) 2020-04-23

Family

ID=65527283

Family Applications (1)

Application Number Title Priority Date Filing Date
DE112018003505.0T Pending DE112018003505T5 (en) 2017-08-29 2018-07-18 ACCESS CONTROL DEVICE

Country Status (4)

Country Link
JP (1) JP6796040B2 (en)
CN (1) CN110959152B (en)
DE (1) DE112018003505T5 (en)
WO (1) WO2019044226A1 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113259306A (en) * 2020-12-31 2021-08-13 上海自动化仪表有限公司 Temperature transmitter integrating function safety and information safety and operation method thereof

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003131892A (en) 2001-10-25 2003-05-09 Matsushita Electric Ind Co Ltd Task execution control device and method therefor

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0895807A (en) * 1994-09-21 1996-04-12 Toyota Motor Corp Task execution control method
JP4170227B2 (en) * 2002-01-24 2008-10-22 コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ Executing processing in a multiprocessing environment
JP4750350B2 (en) * 2003-03-13 2011-08-17 パナソニック株式会社 Task switching device, method and program
WO2012066622A1 (en) * 2010-11-15 2012-05-24 富士通株式会社 Access method, and multi-core processor system
JP5684629B2 (en) * 2011-03-31 2015-03-18 日本電気株式会社 Job management system and job management method
JP5726006B2 (en) * 2011-07-26 2015-05-27 三菱日立パワーシステムズ株式会社 Task and resource scheduling apparatus and method, and control apparatus

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003131892A (en) 2001-10-25 2003-05-09 Matsushita Electric Ind Co Ltd Task execution control device and method therefor

Also Published As

Publication number Publication date
JP2019045907A (en) 2019-03-22
CN110959152B (en) 2023-11-10
JP6796040B2 (en) 2020-12-02
WO2019044226A1 (en) 2019-03-07
CN110959152A (en) 2020-04-03

Similar Documents

Publication Publication Date Title
DE112013006452B4 (en) Audio output control device
DE202008016892U1 (en) Motor vehicle control device
DE102014201682A1 (en) Method for coexistence of software with different security levels in a multicore processor system
DE102010043569A1 (en) Method and apparatus for scheduling tasks for controlling hardware devices
DE102012009482A1 (en) A functionally expandable vehicle control device and method for supplementing the functionality of a vehicle control device
DE102005013913A1 (en) Interrupt request program and microcomputer
DE112019005584T5 (en) ARITHMETIC CONTROL DEVICE
DE102016219403A1 (en) PARALLELIZATION PROCESSING, PARALLELIZATION TOOL AND VEHICLE-ASSIGNED DEVICE
DE102007051803A1 (en) Method and device for data processing
DE112018003505T5 (en) ACCESS CONTROL DEVICE
WO1990002996A1 (en) Operating programme for a data processor
WO2003069424A2 (en) Limitation of the response time of a software process
DE102009025572A1 (en) A method for developing guaranteed real-time systems
DE102013016114B3 (en) Bus system and method for protected memory accesses
DE102020133748B4 (en) VEHICLE CONTROL UNIT WITH SYNCHRONOUS DRIVER
EP2126700B1 (en) Control of the run time behavior of processes
DE102016219449A1 (en) Parallelization method, parallelization tool and vehicle-mounted device
DE102018123563B4 (en) Method for inter-core communication in a multi-core processor
EP3705993B1 (en) System and method for locating and identifying computing nodes in a network
DE112020001541T5 (en) INFORMATION PROCESSING DEVICE, MOVING OBJECT AND INFORMATION PROCESSING METHODS
DE102019219260A1 (en) Method for operating a computing unit
DE102017100118A1 (en) Scalable control system for a motor vehicle
DE102020202860A1 (en) DATA EXCHANGE BETWEEN TWO OR MORE TASKS IN A PREEMPTIVE PROCEDURE
DE102015203695A1 (en) ELECTRONIC CONTROL UNIT
DE102022209700A1 (en) Device with exclusive allocation of resources to neural networks

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R081 Change of applicant/patentee

Owner name: HITACHI ASTEMO, LTD., HITACHINAKA-SHI, JP

Free format text: FORMER OWNER: HITACHI AUTOMOTIVE SYSTEMS, LTD., HITACHINAKA-SHI, IBARAKI, JP