JP2008084315A - 制御装置ネットワークにおいてプログラムコードを分散して実行するシステムおよび方法 - Google Patents

Abstract

【課題】信頼性がより高く、容易かつ安価に実現可能な、制御装置ネットワークにおいてプログラムコードを分散して実行するシステムおよび方法を提供する。
【解決手段】制御装置ネットワークにおいてプログラムコード（Ｐ１、Ｐ２）を分散して実行するシステムおよび方法であって、少なくとも１つの装置（ＳＧ１）が、独自のハードウェアの欠陥を検出して、独自のコード（Ｐ１）をネットワークの少なくとも１つの他の制御装置（ＳＧ２）に伝送することが可能であり、伝送されたコード（Ｐ１）が伝送先の制御装置（ＳＧ２）で実行可能である。
【選択図】図２

Description

本発明は、制御装置ネットワークにおいてプログラムコードを分散して実行するシステムおよび方法に関わる。

従来、制御装置は、車両等に内蔵されており、特別に設定された限定的な機能に応じて配置されている。通常の動作において、制御装置は、部分負荷でのみ駆動する。しかし、その多くは、より高い（ピーク）負荷も処理できるように設計されている。さらに、多くの制御装置は、データ交換のためにネットワークを介して互いに接続されている。しかし、装置の１つがハードウェアの欠陥等で故障した場合、このようなシステム全体が使用不能になる可能性がある。

独国特許出願公開第１００２７００６号公報には、車両において動作フローを制御／調整するシステムが開示されている。このシステムは、制御／調整に必要な全プログラムが格納されている中央記憶装置を有している。記憶装置へのアクセスを介して、制御装置は、システム起動に際して、必要なプログラムを独自の作業用記憶領域にロードする。このように、車両の個々の機能ユニットの中央制御および修正が可能であるが、機能ユニットの潜在的な機能不全に対しては対応がなされていない。

本発明の課題は、信頼性がより高く、容易かつ安価に実現可能な、制御装置ネットワークにおいてプログラムコードを分散して実行するシステムおよび方法を提供することにある。

本発明の課題は、少なくとも１つの制御装置が独自のハードウェアの欠陥（Defekt）を検出し、独自のコードをネットワークの少なくとも１つの他の制御装置に伝送することが可能であり、伝送されたコードが伝送先の制御装置で実行可能な、特許請求の範囲に記載の請求項１に基づくシステムによって解決される。

本発明に基づくシステムの本質は、個々の装置の故障（Ausfaell）を補うために、ネットワークの共有リソースが利用されることにある。その際、伝送元の装置（Quellgeraet）のプログラムは、複数の様々な伝送先の装置（Zielsteuergeraet）に分散される（verteilen）。従って、ハードウェアに関する構成要素が故障した際、システムが機能不全に対して強くなり、引き続きシステムの機能性が保障される。さらに、冗長な記憶部を確保しなくてもよいので、システムのコストが削減される。

本発明に基づくシステムの好適な実施形態は、特許請求の範囲に記載の請求項２から請求項４において述べられている。

上記請求項に基づくシステムの好適な実施形態において、伝送元の制御装置がネットワークの他の制御装置に比較して、車両の安全性により関連するように構成されている。特に、アンチロック・ブレーキ・システム（ＡＢＳ）、電子安定性制御システム（ＥＳＣ）、および搭乗者拘束装置（エアバック、シートベルト）のための電子制御装置（ＥＣＵ）の機能が、個々のケースでシステムの機能性を引き続き保障するために、本発明に基づいて防護されている。従って、車両の信頼性が非常に高められる。

さらに、本発明の利点は、伝送元の制御装置が縮小された（reduzierten）プログラムを伝送先の制御装置へ伝達するように構成されていることにある。その際、縮小されたプログラムは、事実上安全性に非常に関わる重要な機能に制限されるので、伝送先の装置で必要となる空きリソースがより少なくなる。従って、すでに伝送先の装置で実行されているプログラムが損なわれず、または僅かなリソースが利用される。

本発明の更なる別の利点は、伝送先の制御装置が安全性に比較的関連しないプログラムおよび／またはプログラム部分を停止させる（abschalten）ように構成されていることにある。この停止は、伝送先の装置ですでに実行されている、および／または伝送先の装置に伝送されたプログラムおよび／またはプログラム部分に対して行われる。一方、安全性により関連しているプログラムは実行され続ける、または実行される。従って、伝送先の装置ではリソースが解放され（使用可能になる）、またはより少ないリソースの追加が要求されるので、可能な限り多くの安全性に関わる機能が実行される。

本発明の課題は、特許請求の範囲に記載の請求項５に基づく方法によっても解決される。制御装置において、ハードウェアの欠陥が検出された場合、制御装置のコードがネットワークの少なくとも１つの他の制御装置に伝送され、伝送されたコードが伝送先の制御装置において実行される。

その際、本発明に基づく方法の本質は、特に容易に構成され、安全なことにある。本発明は、ＣＡＮバス等、車載電子システムの通常の通信プロトコルにも適用されるので、容易に実現され、コストも安価である。

本発明に基づく方法の好適な実施形態は、特許請求の範囲に記載の請求項６から請求項８において述べられている。

上記請求項に基づく方法の好適な実施形態において、最初に、伝送先の制御装置がプログラムコードを実行するための空きリソースを有するか否かが確認され、空きリソースを有する場合、この空きリソースが伝送されたコードを実行するために予約されるように構成されている。従って、故障対策の施された各制御装置に、最初から通信相手を設定する必要はない。その代わり、空きリソースが設定され、必要に応じて、ネットワークの適切なリソースを有する制御装置で、プログラムまたはプログラム部分が動的に分散される。

本発明の利点は、全機能範囲に比較して限定されたプログラムが、伝送元の制御装置から伝送先の制御装置へ伝送されることにある。従って、伝送先の装置への過大な負荷が回避される、または僅かなリソースが利用される。また、安全性に関わる、プログラムの主機能が制限されることはない。

本発明の更なる利点は、伝送先の制御装置において、安全性に比較的関連しないプログラムおよび／またはプログラム部分が停止される点にある。従って、伝送先の装置が、優先順位の高い機能を集中的に実行するために利用され、システム全体が特に安全になる。

本発明によれば、信頼性がより高く、容易かつ安価に実現可能な、制御装置ネットワークにおいてプログラムコードを分散して実行するシステムおよび方法を提供することができる。

以下に、添付した図面を参照しながら、本発明の好適な実施形態について詳細に説明する。なお、本明細書および図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

図１では、ネットワーク１０を介して互いに接続されている、２つの正常な制御装置ＳＧ１およびＳＧ２が示されている。ネットワーク１０は、データおよびプログラムバスとして構成されている。このデータおよびプログラムバスを介して、制御装置ＳＧ１およびＳＧ２は、データおよびソフトウェア・プログラム部分を交換することができる。例えば、制御装置ＳＧ１はアンチロック・ブレーキ・システム、制御装置ＳＧ２はエンジン制御に関連しているとする。これらの適用（Anwendungen）の機能性は、各装置ＳＧ１およびＳＧ２で実行されるプログラムコードＰ１およびＰ２により複製される（abgebilden）。制御装置ＳＧ１においてハードウェアの欠陥が検出されると、装置ＳＧ２の空いた演算リソースが予約される。さらに、装置ＳＧ１のプログラムコードＰ１は、ネットワーク１０を介して伝達され、装置ＳＧ２で実行される。

図２では、欠陥を有する制御装置ＳＧ１の機能が他の制御装置ＳＧ２によって複製される構成が示されている。装置ＳＧ１のプログラムコードＰ１は、装置ＳＧ２に伝送され、コードＰ２と並行して実行されたのである。その際、基本的に、装置ＳＧ２のプログラムを損なわないために、制御装置ＳＧ１から縮小されたプログラムのみを伝達することも可能である。さらに、比較的優先順位の低いプログラムまたはプログラム部分も、制御装置２で停止され、安全性により関連しているプログラムが実行されることも可能である。

従って、特に安全性により関連している制御装置ＳＧ１のハードウェアが欠陥を有する際にも、アンチロック・ブレーキ・システムの残った機能は実行されるので、システムの耐故障性（Ausfalltoleranz）および信頼性が非常に向上する。欠陥を有する装置ＳＧ１から正常な制御装置ＳＧ２にコードＰ１を移すと、冗長な記憶部を準備する必要がないので、コストが削減される。本発明に基づく方法は、ネットワークの従来の通信機構に適用され、容易に実現される。また、容易に運営管理され、コストが安価である。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されない。当業者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

ネットワークを介して互いに接続されている、２つの正常な制御装置を示す説明図である。 欠陥を有する制御装置の機能が他の制御装置に複製される構成を示す説明図である。

符号の説明

ＳＧ１ 伝送元の制御装置
ＳＧ２ 伝送先の制御装置
Ｐ１、Ｐ２ プログラムコード
１０ ネットワーク

Claims (8)

1. 制御装置ネットワークにおいてプログラムコードを分散して実行するシステムであって、少なくとも１つの装置が独自のハードウェアの欠陥を検出して、前記独自のコードを前記ネットワークの少なくとも１つの他の制御装置に伝送することが可能であり、前記伝送されたコードが前記伝送先の制御装置で実行可能な、制御装置ネットワークにおいてプログラムコードを分散して実行するシステム。
2. 前記伝送元の制御装置が、前記ネットワークの前記他の制御装置と比較して車両の安全性により関連している、請求項１に記載のシステム。
3. 前記伝送元の制御装置が、縮小されたプログラムを前記伝送先の制御装置に伝達するように構成されている、請求項１または２に記載のシステム。
4. 前記伝送先の制御装置が、車両の安全性に比較的関連しないプログラムおよび／またはプログラム部分を停止させるように構成されている、請求項１〜３のいずれかに記載のシステム。
5. 制御装置ネットワークにおいてプログラムコードを分散して実行する方法であって、制御装置でハードウェアの欠陥が検出された場合、前記制御装置のコードが前記ネットワークの少なくとも１つの他の制御装置に伝送され、前記伝送されたコードが前記伝送先の制御装置において実行される、制御装置ネットワークにおいてプログラムコードを分散して実行する方法。
6. 最初に、前記伝送先の制御装置が前記プログラムコードを実行するための空きリソースを有するか否かが確認され、前記空きリソースを有する場合、前記空きリソースが前記伝送されたコードを実行するために予約される、請求項５に記載の方法。
7. 全機能範囲に比較して縮小されたプログラムが、前記伝送元の制御装置から前記伝送先の制御装置へ伝送される、請求項５または６に記載の方法。
8. 前記伝送先の制御装置で、車両の安全性に比較的関連しないプログラムおよび／またはプログラム部分が停止される、請求項５〜７のいずれかに記載の方法。

Images