JP2018136730A - 自動車用電子制御装置 - Google Patents

Abstract

【課題】マルチコアマイコンを搭載する自動車用電子制御装置において、ソフトウェア書き換えを安全に行う。【解決手段】コードフラッシュ上のソフトウェア書き換えを行う際、ソフトウェア書き換えを行うコアからの指令により、コードフラッシュ上で実行されているソフトウェア書き換えを行うコア以外のコアを、各コア用のＲＡＭ上、または、コア共通ＲＡＭ上のプログラムへ移行させる。【選択図】 図２

Description

本発明は、マルチコアマイコンを搭載する自動車用電子制御装置におけるソフトウェア書き換えに関する。

ＥＣＵ（Electrical Control Unit）などの自動車電子制御装置は、マイコンにより制御されており、そのマイコンには電気的にプログラムやデータが消去および書き込みが可能な不揮発性メモリであるコードフラッシュ、データフラッシュと、揮発性メモリであるＲＡＭ（Random Access Memory）を搭載し、コードフラッシュに記憶されている制御プログラムによって車両装置（例えば、エンジンの噴射・点火）を制御する。

近年、自動車制御の高度化・多機能化により、複数のコアを有するマイコンがＥＣＵに搭載されてきており、各コアは、自身のコアに割り当てられたソフトウェア機能のタスクを並行して実行する。

一方で、ＥＣＵのソフトウェアに不具合が発生した場合に修正ソフトウェアにアップデートするために、あるいは、より効率的な制御ソフトウェアに入れ替えるために、ＥＣＵはソフトウェア書き換え機能を有することがある。通常のソフトウェア書き換えは、有線あるいは無線により接続された外部の書き込みツールと通信を行い、外部の書き込みツールからＥＣＵに更新ソフトウェアを転送しながら、ＥＣＵがマイコンのコードフラッシュに書き込みを行う。ソフトウェア書き換えを行うにあたり、コードフラッシュの書き換え前にコードフラッシュの消去が必要となる。（特許文献１）

特開２０１５−１７２９７４号公報

ところで、マルチコアマイコンが採用されているＥＣＵでソフトウェア書き換えを実施する場合、コアが消去しようとしている消去ブロックに属するコードフラッシュで動作すると、不当命令実行や資源アクセス違反などの例外・割り込みが発生してしまう。

マルチコアマイコンにおいて、ソフトウェア書き換え機能を担当するコアが、その他の異なる機能を実行しているコアがコードフラッシュのどの位置に存在しているかを知ることは困難であり、また、その他の異なる機能を実行しているコアのコードフラッシュ上の位置を知ることが可能な場合でも、その全てのコアが消去しようとしている消去ブロックとは別位置のコードフラッシュ上で動作している状況を作り出す必要があったり、同期をとり時間待ちが発生してしまったりするなど、その管理が難しいという問題があった。

本発明では上記問題に鑑みなされたものであり、マルチコアマイコンにおけるソフトウェア書き換え実施時に、全てのコアが消去しようとしている消去ブロック上で動作することが無い状況を容易に構成する自動車用電子制御装置を提供することを目的とする。

本発明では、自動車用電子制御装置のソフトウェア書き換えにおいて、ソフトウェア書き換えを実施するコアの指令のもとに、ソフトウェア書き換えを実施するコア以外のコアをＲＡＭ上にあるプログラムに移行させ、消去しようとしている消去ブロックで動作することが無い状況にする。

前記ソフトウェア書き換えを実施するコアの指令は、コア間の割り込み機能を利用し執り行い、前記ＲＡＭ上にあるプログラムは、ソフトウェア書き換えを実施するコアの指令のもとに復帰するように構成した。

本発明によると、マルチコアマイコンにおけるソフトウェア書き換え、不当命令実行や資源アクセス違反などの例外・割り込みを発生させることなく実行することができる。

マルチコアマイコンの構成を示す図である。 コードフラッシュ内の消去ブロックの構成とコア１とコア２のプログラムカウンタの例を示す図である。 コードフラッシュ上のプログラムで動作していたコア２が、コア２用ＲＡＭ上のプログラムに移行する例を説明した図である。 コードフラッシュ上のプログラムで動作していたコア２とコア３が、コア共通ＲＡＭ上のプログラムに移行する例を説明した図である。 コードフラッシュ上のプログラムとＲＡＭ上のプログラムの例と、退避プログラムの動作を示すフローチャートである。

以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。

［第１実施例］
図１はｎ個のコアを持つマルチコアマイコンの構成を示す図である。マルチコアマイコンは、プログラムの演算処理を実施するコア１〜ｎと、各コア専用でアクセスすることのできるコア１〜ｎ用の揮発性ＲＡＭ１１〜１ｎと、コア共通でアクセスすることができる不揮発性のメモリであるコードフラッシュ１００と、コア共通でアクセスすることができる揮発性のＲＡＭであるコア共通ＲＡＭ２００から構成される。各コアから相互に割り込みを発生させることができるコア間割り込み機能を備えている。

ソフトウェアの実行プログラムはコードフラッシュに配置され、各コアは、コードフラッシュ内のプログラムをそれぞれ実行する。

図２はコードフラッシュ内の消去ブロックの構成とコア１とコア２のプログラムカウンタの例を示す図である。図２に示すとおり、コードフラッシュは複数のｍ個の消去ブロック１０１〜１０ｍから構成される。コードフラッシュのデータ書込みを行う際には、事前に消去状態である必要があり、コードフラッシュの消去は消去ブロック単位で行われる。

ソフトウェアの書き換えを行う際には、ソフトウェアの書き換えのセキュリティアクセス許可されたあとに、ソフトウェアの書き換え対象領域に対応する消去ブロックを消去し、外部より接続される書込みツールよりデータを書き込んでいく。

ここで、コードフラッシュ内の消去ブロックを消去する際に、消去しようとしている消去ブロックで動作するコアが存在すると、消去された状態のコードフラッシュをプログラムと誤って実行してしまい、不当命令実行や資源アクセス違反などの例外・割り込みが発生し、例外・割り込み処理が正しく行われないと、マイコンがリセット状態となってしまう。

言い換えると、ソフトウェア書き換えを途中で失敗することなく、安全に行うためには、消去ブロックを指し示すようなプログラムカウンタが無い状態にすることが好ましい。

図２には、コアを２つ搭載するマイコンのコードフラッシュ１００と、コードフラッシュ上のコア１のプログラムが動作している先を示すコア１用プログラムカウンタ２０１と、コードフラッシュ上のコア２のプログラムが動作している先を示すコア２用プログラムカウンタ２０２の例も示している。

コア２用プログラムカウンタ２０２がコードフラッシュ１００の消去ブロック１０４上で動作している際に、消去ブロック１０４の消去が実行された場合、コア２が実行するプログラムが不当命令実行や例外・割り込みを発生させてしまう。

ＥＣＵのソフトウェア書き換えの手段には、複数のコードフラッシュを備えるマイコンを採用し、複数あるコアのうちのいくつがソフトウェア書き換え機能として動作し、それ以外のコアは通常動作しているプログラムを実行する方式が存在する。ソフトウェア書き換えが完了後は、次回ＥＣＵの起動時に、新しく書込みが行われたコードフラッシュが選択されプログラムが実行される。この方式は主に無線によるＥＣＵのソフトウェア書き換えに利用される。

ここでは、ソフトウェア書き換えを実行する際に、通常実行されているモードから、ソフトウェア書き換えの為の専用モードへ移行し、通常動作しているプログラムは実行されていない方式を前提としている。この方式は、ソフトウェア書き換えの頻度が少ないシステムを対象にしたＥＣＵのソフトウェア書き換えに利用される。

図３は２つのコアを有するマイコンにおいて、ソフトウェア書き換えを行うコア１の指令により、コードフラッシュ上のプログラムで動作していたコア２が、コア２用ＲＡＭ上のプログラムに移行する第１実施例の一例を示した図である。

まず、ソフトウェア書き換えを実行するコアからのコア間割り込みが発生した場合に、専用の処理が実行できるように、マイコンの起動時に各コアで個別に、割込みの許可設定を行う。前記専用処理は、コア２用ＲＡＭの退避プログラム領域３１２に移行するための処理を実施する。

具体的には、コードフラッシュ１００で実行中のコア２用のプログラムカウンタ２０２を、コア２用ＲＡＭの退避プログラム領域３１２にある退避時に実行するプログラムが実行できるＲＡＭ上のプログラムカウンタ３０２にアドレスを変更する。

コア２用ＲＡＭの退避プログラム領域３１２に対し、ソフトウェア書き換えを実行するコア以外のコアであるコア２により、予め退避時に実行するプログラムを展開する。このコア２用ＲＡＭの退避プログラム領域３１２に退避時実行プログラムを展開するタイミングは、実際にソフトウェア書き換えが許可されてから実行してもよいし、マイコンの起動時に各コアで個別に行ってもよい。

かかる移行処理の第１実施例によれば、ソフトウェア書き換えを実行するコア以外のコアは、ソフトウェア書き換えを実行するコアからのコア間の割り込みが発生した場合に、各コア専用のＲＡＭに展開されたプログラムに移行することできるように、コア間割り込みの設定と、コア専用ＲＡＭへのプログラムの展開を行う。

従って、ＥＣＵのソフトウェア書き換えを行う際に、消去される消去ブロックのコードフラッシュに実行されるコアが存在しない状況を作り出すことができ、ソフトウェア書き換え時の不当命令実行や資源アクセス違反などの例外・割り込みが発生することがなくなる。

要するに、ＥＣＵのソフトウェア書き換えの際に、マイコンのリセットがかかることがなく安全にソフトウェア書き換えを実施することができる。

［第２実施例］
図４は３つのコアを有するマイコンにおいて、ソフトウェア書き換えを行うコア1の指令により、コードフラッシュ上のプログラムで動作していたコア２とコア３が、コア共通ＲＡＭ２００上のプログラムに移行する第２実施例の一例を示した図である。

まず、ソフトウェア書き換えを実行するコアからのコア間割り込みが発生した場合に、専用の処理が実行できるように、マイコンの起動時に各コアで個別に、割込みの許可設定を行う。前記専用処理は、コア共用ＲＡＭ２００上の退避プログラム領域４００に移行するための処理を実施する。

具体的には、コードフラッシュ１００で実行中のコア２用のプログラムカウンタ２０２とコア３用のプログラムカウンタ２０３を、コア共用ＲＡＭ２００の退避プログラム領域４００にある退避時に実行するプログラムが実行できるＲＡＭ上のプログラムカウンタ３０２、３０３にアドレスを変更する。

コア共用ＲＡＭ２００の退避プログラム領域４００に対し、ソフトウェア書き換えを実行するコア１により、予め退避時に実行するプログラムを展開しておく。このコア共用ＲＡＭ２００の退避プログラム領域４００に退避時実行プログラムを展開するタイミングは、実際にソフトウェア書き換えが許可されてから実行してもよいし、マイコンの起動時に行ってもよい。

かかる移行処理の第２実施例によれば、ソフトウェア書き換えを実行するコア以外のコアは、ソフトウェア書き換えを実行するコアからのコア間割り込みが発生した場合に、コア共通ＲＡＭ２００に展開されたプログラムに移行することができるように、コア間割り込みを設定し、ソフトウェア書き換えを実行するコアはコア共通ＲＡＭ２００へのプログラム展開を行う。

従って、第１の実施形態と同様に、ＥＣＵのソフトウェア書き換えを行う際に、消去される消去ブロックのコードフラッシュに実行されるコアが存在しない状況を作り出すことができ、ソフトウェア書き換え時の不当命令実行や資源アクセス違反などの例外・割り込みが発生することがなくなる。

第１の実施形態では、各コアで実行される退避プログラムの動作を異なるものにし、動作を変えることが可能である。一方で、第２の実施形態は、第１の実施形態と比べて、各コアが同一の退避プログラムを利用することができ、ソフトウェア書き換えを実施するコアが退避する際に実行させたいプログラムを選ぶことができたり、共通化されることによるＲＡＭ使用量の削減ができたりする効果が得られる。

［第３実施例］
図５は退避プログラム中にコードフラッシュのアクセスに影響しないような例外・割り込みを利用する第３実施例の一例を示した図である。本例では、コードフラッシュ上のプログラムとＲＡＭ上のプログラムの例と、退避プログラムの動作を示すフローチャートを示している。

コードフラッシュには、通常時に実行されるプログラム５０２と、通常時に実行されるプログラム５０２が動作中に例外・割り込みが発生した際に実行する例外・割り込み処理情報を提供している通常プログラム５０２用のベクターテーブル５０１が配置されている。

ＲＡＭには退避プログラム５０４と、退避時に実行される退避プログラム５０４が動作中に例外・割り込みが発生した際に実行する例外・割り込み処理情報を提供している退避プログラム５０３用のベクターテーブル５０３が配置されるように、第１の実施形態と第２の実施形態で挙げられた方法でＲＡＭに展開する。

ソフトウェア書き換えを行うコアからの指令により、ソフトウェア書き換えを行うコア以外のコアであるコア２用のプログラムカウンタ２０２を、退避時に実行するプログラムが実行できるＲＡＭ上のプログラムカウンタ３０２に移行すると、退避処理の前処理Ｓ５０１が実行される。

前処理Ｓ５０１では、必要に応じて退避プログラムが実行される間の状態を設定する処理であり、例えば、ＥＣＵのソフトウェア書き換え中にコードフラッシュやＲＡＭへのアクセスが発生しないようにＤＭＡＣ（Direct Memory Access Controller）の退避プログラムで使用しない周辺機器の停止を行うこともできる。

退避終了条件判定Ｓ５０３にて退避終了条件が成立しない間は、退避中処理Ｓ５０２を繰り返し実施する。退避終了条件が成立した場合、復帰処理Ｓ５０４を実行し、退避プログラム５０４の実行を完了する。

退避終了条件判定Ｓ５０３は、コア共用ＲＡＭ２００や、コア共用のレジスタ（図示せず）を介して復帰情報をポーリング監視したり、復帰処理を実施するプログラムを退避プログラム用ベクターテーブル５０３にコア間割り込みを設定したりすることで判定が可能である。

かかる復帰処理の第３実施例によれば、退避プログラム用のベクターテーブルを、退避プログラムと同様に予めＲＡＭへ展開して利用することで、コードフラッシュのアクセスに影響しないような例外・割り込みを利用することができ、退避終了条件が成立したときに復帰処理を実施することができる。第３実施例は第１実施例と第２実施例のどちらにも適用することができる。

ここで、前記実施形態から把握し得る請求項以外の技術的思想について、以下に効果と共に記載する。

（イ）少なくとも２つのコアを有するマイコンを搭載する自動車用電子制御装置であって、あるコアが故障したと判定された際に、故障コア以外のコアからの指令により、故障コアを不揮発性メモリ上のプログラムで動作しているプログラムから、故障コア専用の揮発性メモリ上にあるプログラムへ移行することを特徴とする自動車用電子制御装置。
かかる技術的思想によれば、コア故障時のフェールセーフ処理とすることができる。

（ロ）少なくとも２つのコアを有するマイコンを搭載する自動車用電子制御装置であって、コアで共通してアクセスできる資源がどのタスクにも占有されていない資源に対してアクセスする際、資源へのアクセス優先度の高いタスクが実行されるコアがアクセスする際に、資源へのアクセス優先度の高いタスクが実行されるコアからの指令で、より低いアクセス優先度のタスクが実行されるコアを不揮発性メモリ上のプログラムで動作しているプログラムから、揮発性メモリ上にあるプログラムへ移行することを特徴とする自動車用電子制御装置。

かかる技術的思想によれば、複数のコアが同一資源を扱う場合のコアを跨いだ割込み禁止処理の効果を得ることができ、コアを跨いだセマフォ処理を構築することができる。

１〜ｎ コア１〜ｎ
１１〜１ｎ コア専用ＲＡＭ
１００ コードフラッシュ
２００ コア共通ＲＡＭ
１０１〜１０ｍ 消去ブロック
２０１ コア１用プログラムカウンタ
２０２ コア２用プログラムカウンタ
３０２ ＲＡＭに移行したコア２用プログラムカウンタ
３１２ コア２用ＲＡＭの退避プログラム領域
３０３ ＲＡＭに移行したコア３用プログラムカウンタ
４００ コア共通ＲＡＭの退避プログラム領域
５０１ 通常時実行プログラム用ベクターテーブル
５０２ 通常時実行プログラム
５０３ 退避時実行プログラム用ベクターテーブル
５０４ 退避時実行プログラム

Claims (4)

1. 複数のコア、前記複数のコアの実行プログラムが格納されている不揮発性メモリ、揮発性メモリ、を有するマルチコアマイコンを備え、
   前記複数のコアのうち、前記不揮発性メモリのプログラムによりソフトウェア書き換えを行うコアから指令を受けた他のコアは、揮発性メモリにあるプログラムへ移行することを特徴とする自動車用電子制御装置。
2. 前記揮発性メモリは、ソフトウェア書き換えを行うコア以外のコアのみがアクセスすることができる揮発性メモリであることを特徴とする請求項１に記載の自動車用電子制御装置。
3. 前記揮発性メモリは、コアが共通してアクセスすることができる共用の揮発性メモリであることを特徴とする請求項１に記載の自動車用電子制御装置。
4. ソフトウェア書き換えを行うコアから、不揮発性メモリ上のプログラムで動作しているソフトウェア書き換えを行うコア以外へのコアへの指令の発行に、コア間割込みを使用することを特徴とする請求項１乃至３の何れかに記載の自動車用電子制御装置。

Images