JP2021124959A - 制御装置 - Google Patents

Abstract

【課題】安全度が異なる複数のソフトウェアを利用して制御対象を制御する制御装置において、ハードウェア資源や処理負荷の増加を招くことなく、各ソフトウェアにおいて共通の機能をそれぞれ安全に実施できるようにする。【解決手段】制御装置１は、安全度が異なる複数のソフトウェアのプログラムを実行する制御部１０と、記憶部２０と、レジスタ１２とを備える。制御部は、他のプログラムの実行を禁止するプログラムを実行する際には、レジスタに割り込み禁止を設定し、そのプログラムが終了すると、レジスタに割り込み許可を設定する割り込み禁止処理を実施する。また制御部は、安全度が最も高いソフトウェアのプログラムの実行中には、割り込み許可の状態が保証されるタイミングで、レジスタを、割り込みを許可する初期状態に戻す。【選択図】図１

Description

本開示は、安全度が異なる複数のソフトウェアを実行することにより、制御対象を制御する制御装置に関する。

マイクロコンピュータ等にて構成される制御装置において、制御対象を制御するのに用いられるソフトウェアとしては、機能安全規格（ＩＳＯ２６２６２）に則って安全度が規定されたＡＳＩＬソフトウェア（以下、ＡＳＩＬソフト）が知られている。なお、ＡＳＩＬは、「Automotive Safety Integrity Level」の略であり、下記のＱＭは、「Quality Management 」の略である。

そして、ＡＳＩＬソフトが、ＡＳＩＬソフトよりも安全度が低いＱＭソフトウェア（以下、ＱＭソフト）と共に、一つの制御装置に組み込まれる場合には、特許文献１に記載のように、データの記憶領域が、ＱＭソフトとは異なる領域に設定される。これは、例えば、ＡＳＩＬソフトのデータがＱＭソフトからアクセスされて、不具合が生じるのを防止するためである。

特開２０１５−９９５１７号公報

上記のように、安全度が異なる複数のソフトウェアが利用される制御装置では、通常、安全度が異なるソフトウェア毎に、使用するメモリやレジスタ等のリソースが割り当てられる。

しかしながら、発明者の詳細な検討の結果、各ソフトウェアで使用したい共通の機能については、その機能を実現するリソースが一つであることから、ソフトウェア毎にリソースを分けることができない、という課題が見出された。

つまり、例えば、制御装置において、割り込み禁止やコア間の排他（通称セマフォ）等の機能については、その機能を実現するために特定のレジスタ若しくはメモリ領域が利用されることから、これらのリソースをソフトウェア毎に分けることはできない。

また、こうした排他機能をソフトウェア毎に実現できるようにするには、リソースが増加したり、１つの関数内で様々な条件判定をするために処理負荷が増加したりするので、制御装置のコストアップを招くという問題が発生する。

本開示は、安全度が異なる複数のソフトウェアを利用して制御対象を制御する制御装置において、ハードウェア資源や処理負荷の増加を招くことなく、各ソフトウェアにおいて共通の機能をそれぞれ安全に実施できるようにすることが望ましい。

本開示の１つの態様による制御装置は、安全度が異なる複数のソフトウェアのプログラムを実行する制御部と、制御部によるプログラムの実行時にデータの書き込み及び更新が行われる記憶部と、割り込み禁止／許可設定用のレジスタと、を備える。

そして、制御部は、複数のソフトウェアのプログラムの実行中に、他のプログラムの実行を禁止する際には、レジスタに割り込み禁止を設定することで、他のプログラムの実行を禁止し、実行中のプログラムが終了すると、レジスタに割り込み許可を設定することで、他のプログラムの実行を許可する割り込み禁止処理を実施する。

従って、レジスタに割り込み禁止が設定されているときには、制御部は、実行中のプログラムとは異なる他のプログラムを実施することができなくなり、制御部は、複数のソフトウェアのプログラムの一つを、排他的に実行することができる。

ところで、割り込み禁止／許可設定用のレジスタは、制御部が実行中のプログラムのバグ等によって、本来の設定状態から書き換えられることがある。また、この書き換えは、安全度が低いソフトウェアのプログラムの実行により発生する確率が高い。

そして、割り込み禁止／許可用のレジスタが、割り込み許可状態が正常であるにも関わらず、割り込み禁止状態に書き換えられると、制御部は、他のプログラムを実施できなくなる。また、割り込み禁止状態が正常であるにも関わらず、割り込み許可状態に書き換えられると、割り込みを禁止すべき他のプログラムが実施されてしまい、制御部は、安全度が異なる複数のソフトウェアのプログラムを正常に実施することができなくなる。

そこで、本開示の制御部は、複数のソフトウェアのうち、安全度が最も高いソフトウェアのプログラムを実行しているときには、割り込み許可の状態が保証されるタイミングで、レジスタを、割り込みを許可する初期状態に設定するように構成されている。

このため、本開示の制御装置によれば、割り込み許可／設定用のレジスタが間違って書き換えられた場合であっても、各ソフトウェアのプログラムを正常に実施できなくなるのを抑制することができる。

また、本開示の制御装置においては、安全度が最も高いソフトウェアのプログラムを実行しているときに、適正なタイミングでレジスタを初期状態に設定するだけでよいため、ハードウェア資源や処理負荷の増加を招くことなく、上記効果を得ることができる。

次に本開示の他の態様による制御装置は、安全度が異なる複数のソフトウェアのプログラムを実行する複数の制御部と、複数の制御部によるプログラムの実行時にデータの書き込み及び更新が行われる記憶部とを備える。そして、記憶部は、複数の制御部にて排他的に利用される共通記憶領域を有する。

複数の制御部は、それぞれ、複数のソフトウェアのプログラムの実行中に、共通記憶領域を利用する際には、制御部間排他処理を実行する。
制御部間排他処理においては、共通記憶領域に記憶されたデータから共通記憶領域が未使用状態であるか否かを判断し、共通記憶領域が他の制御部にて使用されている場合には、共通記憶領域が未使用状態となるまで、プログラムの実行を停止させる。

一方、共通記憶領域が未使用状態であるか、或いは、未使用状態になると、共通記憶領域に未使用状態とは異なるデータを書き込むことで、プログラムを継続して実行する。そして、共通記憶領域の利用が完了すると、他の制御部が利用できるように、共通記憶領域に未使用状態を表す初期データを記憶する。

従って、各制御部は、それぞれ、プログラムの実行時に、記憶部の共通記憶領域を排他的に利用することができるようになる。
ところで、記憶部の共通記憶領域内のデータは、制御部が実行するプログラムのバグ等によって書き換えられることがある。そして、記憶部の共通記憶領域内のデータが書き換えられると、実行中のプログラムだけでなく、他のプログラムについても、正常に実施することができなくなってしまう。

また、記憶部の記憶領域内のデータの書き換えは、制御部が、安全度が低いソフトウェアのプログラムを実行することにより、発生する確率が高くなる。
そこで、本開示の制御部は、複数のソフトウェアのうち、安全度が最も高いソフトウェアのプログラムの実行中に、制御部間排他処理を実施していない状態が保証されるタイミングで、再初期化処理を実行するように構成される。そして、この再初期化処理では、共通記憶領域に、共通記憶領域が未使用状態であることを表す初期データを記憶する。

従って、本開示の制御装置によれば、安全度が低いソフトウェアのバグ等によって、記憶部の共通記憶領域内のデータが書き換えられた場合であっても、各制御部がプログラムを正常に実施できなくなるのを抑制することができる。

また、本開示の制御装置においては、安全度が最も高いソフトウェアのプログラムを実行しているときに、適正なタイミングで共通記憶領域に初期データを記憶するだけでよい。このため、ハードウェア資源や処理負荷の増加を招くことなく、上記効果を得ることができる。

第１実施形態の制御装置の構成を表すブロック図である。 割り込み禁止処理にて更新されるネスト回数を説明する説明図である。 割り込み禁止／許可及びネスト回数の変化を正常時と異常時とで比較して表すタイムチャートである。 図３に示す異常時に割り込み禁止／許可及びネスト回数を初期化する動作を表すタイムチャートである。 ＡＳＩＬソフトの定期タスクで割り込み禁止／許可及びネスト回数を初期化する動作を表す説明図である。 定期タスクの実行手順及びＡＳＩＬソフトの定期タスクで実行される再初期化処理を表すフローチャートである。 ＱＭソフト及びＡＳＩＬソフトの定期タスクが分散して実行される場合の再初期化処理の実行タイミングを表す説明図である。 変形例の異常判定処理を表すフローチャートである。 変形例において異常判定後に実行される再初期化処理の実行タイミングを表す説明図である。 第２実施形態の制御装置の構成を表すブロック図である。 ＡＳＩＬソフトの定期タスクにおけるコア間排他処理及び再初期化処理の実行タイミングをＣＰＵコア毎に表す説明図である。 各ＣＰＵコアの起動直後にコア間排他処理に関連して実行される初期化処理を表すフローチャートである。 各ＣＰＵコアにて実行されるコア間排他開始処理を表すフローチャートである。 各ＣＰＵコアにて実行されるコア間排他終了処理を表すフローチャートである。 各ＣＰＵコアにて実行されるコア間排他処理により変化するスピンロックバッファ、スピンロックオーナー、及びネスト回数を表す説明図である。 各ＣＰＵコアにて実行される再初期化処理を表すフローチャートである。

以下、図面を参照しながら、本開示の実施形態を説明する。
［第１実施形態］
本実施形態の制御装置は、例えば、車両に搭載されて、エンジン等の車両各部を制御するのに用いられる電子制御装置（以下、ＥＣＵ）１であり、ＣＰＵ１０、ＳＲＡＭ２０、ＲＯＭ３０及びタイマ４０を含む、マイクロコンピュータにて構成されている。

ＣＰＵ１０、ＳＲＡＭ２０、ＲＯＭ３０及びタイマ４０は、バス５０を介してデータを送受信可能に相互接続されている。なお、バス５０には、制御対象に設けられたセンサやアクチュエータとの間で検出信号や制御信号を送受信するインターフェイス、他のＥＣＵとの間でデータ通信を行う通信部、等も接続される。

ＣＰＵ１０は、本開示の制御部に相当するものであり、割り込み禁止／許可設定用のレジスタ１２が備えられている。また、ＳＲＡＭ２０は、本開示の記憶部に相当するものであり、その記憶領域の一部が、ＣＰＵ１０がプログラムを実行する際に、実行中のプログラムの階層を表すネスト回数を記憶するための記憶領域２２として設定されている。

ＲＯＭ３０には、ＣＰＵ１０が実行するプログラムとして、制御対象の制御の安全度を確保するために、安全度が高いＡＳＩＬソフトと、ＡＳＩＬソフトに比べて安全度が低いＱＭソフトとの、２種類のソフトウェアのプログラムが記憶されている。

そして、ＣＰＵ１０は、これらのプログラムの一つを実行しているときに、他のプログラムによる割り込みを禁止する必要があるときには、図２に示すように、レジスタ１２に割り込み禁止を設定して、他のプログラムの割り込みを禁止する。

また、ＣＰＵ１０が実行するプログラムは、図２に示す関数Ａ、関数Ｂ、関数Ｃのように階層化されており、ＣＰＵ１０は、例えば、時点Ｔａ１で最上位の関数Ａの実行を開始すると、ネスト回数を「１」に設定する。また、時点Ｔｂ１で中位の関数Ｂの実行を開始すると、ネスト回数を「２」に設定し、時点Ｔｃ１で最下位の関数Ｃの実行を開始すると、ネスト回数を「３」に設定する。

また、ＣＰＵ１０は、時点Ｔｃ２で関数Ｃの実行が完了すると、ネスト回数を「２」に戻し、時点Ｔｂ２で関数Ｂの実行が完了すると、ネスト回数を「１」に戻し、時点Ｔａ２で関数Ａの実行が完了すると、ネスト回数を初期値「０」に戻す。

従って、レジスタ１２に割り込み禁止が設定されている場合、ＳＲＡＭ２０の記憶領域２２には、ＣＰＵ１０が実行中のプログラムの進行に応じて更新されるネスト回数が「１」から順に記憶される。そして、全プログラムが終了すると、ネスト回数が「０」に戻り、割り込み禁止の設定も解除されることになる。

つまり、図３に示すように、車両のイグニッションスイッチ（以下、ＩＧ）がオン状態となって、ＥＣＵ１が制御を開始すると、ＣＰＵ１０は上記各プログラムを実行し、そのプログラムの進行に応じて他のプログラムによる割り込みを禁止する。

そして、図３の上欄に示すように、正常時には、割り込み禁止中に、プログラムの進行に応じてネスト回数が更新され、実行中のプログラムが終了するとネスト回数が「０」に戻り、割り込み禁止が解除されて、他のプログラムを実行できるようになる。

しかしながら、レジスタ１２に記憶された割り込み禁止／許可の状態や、ＳＲＡＭ２０の記憶領域２２に記憶された割り込み禁止のネスト回数は、ＣＰＵ１０が実行中のプログラムのバグ等によって、正規の値から書き換えられることがある。

例えば、図３の下欄は、こうした異常時の例として、割り込み許可状態にあるとき、時点ｔ０で、本来「０」であるネスト回数が「１」又は「−１」に書き換えられたときの挙動を表している。

図３の下欄に示すように、ネスト回数が「１」に書き換えられた「異常１」の場合には、その後、割り込み禁止を行うプログラムが実行されると、そのプログラムの進行に応じてネスト回数が「２」、「３」…へと更新される。そして、そのプログラムが終了しても、ネスト回数は「１」に保持されることから、レジスタ１２は、割り込み許可状態に戻らず、割り込み禁止状態が保持され、他のプログラムを実行することができなくなる。

また、ネスト回数が「−１」に書き換えられた「異常２」の場合には、その後、割り込み禁止を行うプログラムが実行されると、そのプログラムの進行に応じてネスト回数が「０」、「１」…へと更新される。このため、割り込み禁止を行うプログラムの実行中に、ネスト回数が「０」に戻ったときには、本来割り込み禁止を継続すべきタイミングで、レジスタ１２が割り込み許可状態に書き換えられて、プログラムを正常に実行することができない。

そこで、本実施形態では、図４に示すように、ＩＧがオン状態となって、ＣＰＵ１０が起動し、初期化処理が完了すると、その後、所定の割り込み再初期化周期が経過した時点ｔ１で、レジスタ１２及びＳＲＡＭ２０の記憶領域２２を初期化するようにされている。

つまり、ＣＰＵ１０は、レジスタ１２を割り込み許可状態に設定し、ＳＲＡＭ２０の記憶領域２２のネスト回数を「０」に設定する再初期化処理を、所定の再初期化周期で周期的に実行するのである。

この結果、プログラムのバグ等によって、レジスタ１２やＳＲＡＭ２０の記憶領域２２に異常な値が設定されたとしても、これら各部を周期的に初期化することで、その後のプログラムを正常に実行できるようになる。

そして、本実施形態では、この再初期化処理を、図５に示すようにＡＳＩＬソフトの定期タスクで、その定期タスクの開始直後のタイミングｔｓ、若しくは、その定期タスクの終了直前のタイミングｔｅで実行するようにされている。

すなわち、ＣＰＵ１０にて実行されるプログラムの中で、ＡＳＩＬソフトのプログラムは、ＱＭソフト等の他のプログラムに比べて安全度が最も高く、プログラムの実行中にレジスタ１２やＳＲＡＭ２０の記憶領域２２が誤って書き換えられる可能性は極めて低い。

そして、ＣＰＵ１０は、ＱＭソフト及びＡＳＩＬソフトの定期タスクをそれぞれ一定周期で実行し、正常時には、その定期タスクの開始直後若しくは終了直前には、ネスト回数は「０」になり、他のプログラムの割り込みが許可される。

そこで、本実施形態では、ＣＰＵ１０が、ＡＳＩＬソフトの定期タスクを実行する際、割り込み許可の状態が保証される、定期タスクの先頭領域若しくは終了領域で、再初期化処理を実行し、レジスタ１２及びＳＲＡＭ２０の記憶領域２２を初期化するのである。

以下、ＣＰＵ１０における定期タスクの実行手順、及び、ＡＳＩＬソフトの定期タスクで実行される再初期化処理について、図６に示すフローチャートに沿って説明する。
図６に示すように、ＣＰＵ１０は、ＱＭソフト或いはＡＳＩＬソフトの定期タスクを実行する際には、Ｓ１１０にて、定期タスクの先頭領域で開始処理を実行する。そして、開始処理が終了すると、ＣＰＵ１０は、他のプログラムを実行することのないよう、Ｓ１２０にて、レジスタ１２を割り込み禁止状態に設定し、続くＳ１３０にて、ＳＲＡＭ２０の記憶領域２２に記憶されたネスト回数を、カウントアップ（＋１）する。

次に、Ｓ１４０では、定期タスクのプログラムに従い、定期タスクにて実行すべき所定の制御処理を実行する。なお、この制御処理を実行する際、定期タスクのプログラムが図２に示したように階層化されている場合には、関数Ａ、Ｂ、Ｃ、といった実行中のプログラムに応じて、ネスト回数を更新する。

そして、Ｓ１４０での制御処理が終了すると、Ｓ１５０にて、ＳＲＡＭ２０の記憶領域２２に記憶されたネスト回数をカウントダウン（−１）することにより、Ｓ１３０にてカウントアップする前の値に戻し、Ｓ１６０に移行する。

Ｓ１６０では、Ｓ１５０にて更新されたネスト回数は、初期値「０」であるか否かを判断する。そして、ネスト回数が初期値「０」であれば、制御処理は正常に終了したと判断して、Ｓ１７０に移行し、レジスタ１２を割り込み許可状態に設定することで、他のプログラムの実行を許可した後、Ｓ１８０に移行する。また、ネスト回数が初期値「０」でなければ、そのままＳ１８０に移行する。

そして、Ｓ１８０は、定期タスクの終了処理を実行し、当該定期タスクを終了する。
従って、ＣＰＵ１０による定期タスクの実行時には、図５に示すように、ＱＭソフト、ＡＳＩＬソフトのいずれのプログラムであっても、レジスタ１２が割り込み禁止状態に設定され、記憶領域２２に記憶されるネスト回数が「１」以上の値に設定される。そして、定期タスクの終了後は、レジスタ１２は割り込み許可状態になり、ＳＲＡＭ２０の記憶領域２２に記憶されたネスト回数は初期値「０」に戻る。

しかし、上述したように、レジスタ１２やＳＲＡＭ２０の記憶領域２２は、ＱＭソフト等のプログラムのバグにより書き換えられて、レジスタ１２が割り込み許可状態にならないとか、ネスト回数が初期値「０」に戻らないという、問題が生じることがある。

そこで、図６に示した定期タスクのうち、ＡＳＩＬソフトの定期タスクでは、Ｓ１１０の開始処理において、Ｓ１００の再初期化処理を実行するようにされている。
この再初期化処理は、レジスタ１２及びＳＲＡＭ２０の記憶領域２２を初期状態に戻すための処理であり、図６のＳ１００に記載のように実行される。

すなわち、再初期化処理は、Ｓ１０２にて、ＳＲＡＭ２０の記憶領域２２に記憶されたネスト回数を初期値「０」に書き換え、Ｓ１０４にて、レジスタ１２を割り込み許可状態に設定することにより、これら各パラメータを強制的に初期状態に戻す。

従って、本実施形態のＥＣＵ１においては、レジスタ１２及びＳＲＡＭ２０の記憶領域２２の値が異常な値に書き換えられても、ＣＰＵ１０がＡＳＩＬソフトの定期タスクを実行することで、その値を正常値に戻すことができる。よって、ＡＳＩＬソフトの定期タスクの実行後、ＣＰＵ１０は、各プログラムを正常に実行することができるようになる。

また、このためには、図６に示すＳ１００の再初期化処理を、ＡＳＩＬソフトの定期タスクの開始直後に実行される開始処理の一つとして実行するだけでよく、ハードウェア資源や処理負荷の増加を招くことがないので、低コストで実現できる。

なお、図６では、Ｓ１００の再初期化処理を、ＡＳＩＬソフトの定期タスクの先頭領域であるＳ１１０の開始処理にて実行するようにしているが、ＡＳＩＬソフトの定期タスクの終了領域であるＳ１８０の終了処理にて実行するようにしてもよい。

また、図５では、ＱＭソフトの定期タスクとＡＳＩＬソフトの定期タスクは連続的に実行されるように記載されているが、図７に示すように、これら各定期タスクは、それぞれ、異なるタイミングで分散して実施されてもよい。

そして、この場合でもＡＳＩＬソフトの定期タスクにおいて、割り込み禁止設定前の先頭領域、若しくは、割り込み禁止解除後の終了領域にて、再初期化処理を実行することで、上記と同様の効果を得ることができる。

また、本実施形態では、図４に示す一定の割り込み再初期化周期で、レジスタ１２及びＳＲＡＭ２０の記憶領域２２を周期的に初期化する具体例を説明するため、ＡＳＩＬソフトの定期タスクを実行する度に、再初期化処理を実行するものとした。

しかし、図４に示す割り込み再初期化周期は、障害が発生してから車両の安全性が損なわれるまでの許容時間として規定されたフォールトトレラント時間間隔（以下、ＦＴＴＩ）よりも短い時間であればよい。

このため、再初期化処理は、ＡＳＩＬソフトの定期タスクを所定回数実行する度に１回だけ実行するようにしてもよい。そして、この場合、ＣＰＵ１０は、ＡＳＩＬソフトの定期タスクを実行する度に、Ｓ１００の再初期化処理を実行する必要がないため、ＣＰＵ１０の処理負荷を軽減することができる。

［変形例］
上記第１実施形態では、レジスタ１２及びＳＲＡＭ２０の記憶領域２２は、ＡＳＩＬソフトの定期タスクにて実行される再初期化処理において、周期的に初期化されるものとして説明した。

しかし、レジスタ１２及びＳＲＡＭ２０の記憶領域２２の初期化は、必ずしも周期的に実施する必要はなく、レジスタ１２若しくはＳＲＡＭ２０の記憶領域２２の異常を検知した際に、実行するようにしてもよい。

つまり、レジスタ１２及びＳＲＡＭ２０の記憶領域２２が正常であれば、ＡＳＩＬソフトの定期タスクの先頭領域若しくは終了領域では、レジスタ１２には割り込み許可状態が設定され、ＳＲＡＭ２０の記憶領域２２にはネスト回数「０」が設定されている。

そこで、本変形例では、ＣＰＵ１０は、ＡＳＩＬソフトの定期タスクの先頭領域若しくは終了領域にて、図６に示すＳ１００の再初期化処理に代えて、図８に示すＳ２００の異常判定処理を実行する。

この異常判定処理では、Ｓ２１０にて、レジスタ１２は割り込み許可状態、ＳＲＡＭ２０の記憶領域２２はネスト回数「０」、の初期状態になっているか否かを判断することで、これら各部が正常か否かを判定する。

そして、Ｓ２１０にて、レジスタ１２及びＳＲＡＭ２０の記憶領域２２は正常であると判断されると、異常判定処理を終了し、Ｓ２１０にて、レジスタ１２及びＳＲＡＭ２０の少なくとも一方が異常であると判断されると、Ｓ２２０に移行する。

Ｓ２２０では、異常判定後、一定時間ΔＴ経過後に、Ｓ１００の再初期化処理が実行されるように、タイマ４０に一定時間ΔＴを設定して計時を開始させ、異常判定処理を終了する。

この結果、図９に示すように、ＡＳＩＬソフトの定期タスクにて実行される異常判定処理にて異常が判定されると、その後、一定時間ΔＴが経過したタイミングで、タイマ４０から割り込み信号が出力されることになる。

そして、ＣＰＵ１０は、その割り込み信号にて、図６に示したＳ１００の再初期化処理を実行し、レジスタ１２及びＳＲＡＭ２０の記憶領域２２を初期化する。
従って、タイマ４０に計時させる一定時間ΔＴとして、ＦＴＴＩからＡＳＩＬソフトの定期タスクの実行周期を減じた時間よりも短い時間を設定しておけば、異常発生後、ＦＴＴＩが経過するまでの間に、必ず再初期化処理が実行されることになる。

このため、ＱＭソフト等によって、レジスタ１２若しくはＳＲＡＭ２０の記憶領域２２が異常な値に書き換えられたときには、ＦＴＴＩが経過するまでの間に、その値を初期値に戻すことができるようになる。

よって、本変形例においても、上記実施形態と同様、車両の安全性を損なうことなく、制御を継続することができるようになる。
また、本変形例によれば、レジスタ１２若しくはＳＲＡＭ２０の記憶領域２２が異常な値に書き換えられたときにだけ、再初期化処理が実行されることから、第１実施形態に比べて、再初期化処理の実行頻度を抑え、ＣＰＵ１０の処理負荷を低減することができる。

なお、第１実施形態及び本変形例では、Ｓ１００の再初期化処理を実行することで、レジスタ１２及びＳＲＡＭ２０の記憶領域２２を、定期的若しくは異常判定時に初期化するものとして説明した。

しかし、ネスト回数が、レジスタ１２が割り込み禁止状態に設定される度に任意の記憶領域に記憶される、テンポラリ変数である場合には、割り込み禁止状態から割り込み許可状態に切り替わる際に記憶領域が開放されるので、ネスト回数を初期化する必要はない。

従って、このような場合には、Ｓ１００の再初期化処理において、Ｓ１０２の処理を実行する必要はなく、レジスタ１２を初期化するＳ１０４の処理だけを実行するようにすればよい。また、変形例のＳ２００にて実行される異常判定処理では、Ｓ２１０において、レジスタ１２が正常か否かを判定するようにすればよい。

［第２実施形態］
次に、本開示の第２実施形態について説明する。
本実施形態の制御装置は、第１実施形態と同様、車両に搭載されて車両各部を制御するのに用いられるＥＣＵ１であり、第１実施形態と異なる点は、図１０に示すように、制御部として、第１ＣＰＵコア１０Ａと、第２ＣＰＵコア１０Ｂとを備えている点である。

つまり、本実施形態のＥＣＵ１は、ＣＰＵとしてデュアルコアのマルチプロセッサを備えており、ＲＯＭ３０に記憶されたＱＭソフトやＡＳＩＬソフトのプログラムを実行する際、２つのＣＰＵコア１０Ａ，１０Ｂにて並列処理することができるようにされている。

そして、記憶部としてのＳＲＡＭ２０には、各ＣＰＵコア１０Ａ，１０Ｂが共に利用可能な共通記憶領域２４が設定されている。
この共通記憶領域２４は、各ＣＰＵコア１０Ａ，１０Ｂが使用権を取得することにより排他的に利用可能となる領域である。そして、この共通記憶領域２４には、こうした排他機能を実現するためのパラメータとして、スピンロックバッファ、スピンロックオーナー、及び、ネスト回数が設定される。

ここで、スピンロックバッファは、共通記憶領域２４が使用されているか未使用状態であるかを表す情報である。そして、各ＣＰＵコア１０Ａ，１０Ｂは、スピンロックバッファの情報と使用中を表す情報（例えば「０ｘ００」）とを交換（ＳＷＡＰ）し、未使用状態を表す情報（例えば「０ｘ５Ａ」）を取得することで、使用権を取得する。

また、スピンロックオーナーは、使用権を取得したＣＰＵコアを特定する情報であり、各ＣＰＵコア１０Ａ，１０Ｂは、使用権を取得すると、スピンロックオーナーとして自身の値を設定する。

つまり、第１ＣＰＵコア１０Ａは、使用権を取得すると、スピンロックオーナーとして、例えば「０ｘ００」を設定し、第２ＣＰＵコア１０Ｂは、使用権を取得すると、スピンロックオーナーとして、例えば「０ｘ０１」を設定する。

また、各ＣＰＵコア１０Ａ，１０Ｂは、共通記憶領域２４の利用を終了すると、スピンロックバッファに、未使用状態を表す値（例えば「０ｘ５Ａ」）を設定し、スピンロックオーナーとして、フリーを表す値（例えば「０ｘＦＦ」）を設定する。

また、ネスト回数は、共通記憶領域２４の使用権を取得したＣＰＵコアが実行するプログラム（以下、コア間排他処理）の実施回数に応じて、初期値「０」から「１」，「２」，…と更新される値であり、例えば、０〜２５５の値を設定可能になっている。なお、コア間排他処理は、本開示の制御部間排他処理に相当する。

スピンロックバッファ、スピンロックオーナー、及び、ネスト回数の各パラメータは、各ＣＰＵコア１０Ａ，１０Ｂが、共通記憶領域２４を排他的に利用するコア間排他処理を実行する際に、共通記憶領域２４の未使用状態を表す初期値から書き換えられる。

つまり、例えば、図１１は、各ＣＰＵコア１０Ａ，１０Ｂが起動後、ＱＭソフト及びＡＳＩＬソフトの定期タスクを順に実行する際の動作を表している。
図１１に示すように、各ＣＰＵコア１０Ａ，１０Ｂは、起動すると、所定の初期化処理を実行し、その後、一定周期で、ＱＭソフト及びＡＳＩＬソフトの定期タスクを実行する。

そして、ＣＰＵコア１０Ａ，１０Ｂの内の一方（例えば第１ＣＰＵコア１０Ａ）は、初期化処理の実行時に、図１２に示す手順で、上記各パラメータを、未使用状態を表す初期値に設定する。

すなわち、第１ＣＰＵコア１０Ａは、初期化処理の実行時には、図１２に示すように、Ｓ２１０にて、スピンロックバッファに、未使用状態を表す値（例えば「０ｘ５Ａ」）を設定する。

そして、続くＳ２２０では、スピンロックオーナーに、フリーを表す値（例えば「０ｘＦＦ」）を設定し、続くＳ２３０にて、ネスト回数に「０」を表す値を設定する。この結果、上記各パラメータは、初期値に設定されることになる。

また、図１１に示すように、各ＣＰＵコア１０Ａ，１０Ｂは、ＱＭソフト及びＡＳＩＬソフトの定期タスクにおいて、コア間排他処理を実行する際には、そのコア間排他処理の開始時にコア間排他開始処理を実行することで、共通記憶領域２４の使用権を取得する。

なお、図１１には、コア間排他処理は、ＡＳＩＬソフトの定期タスクで実行されるものとして記載されているが、コア間排他処理は、ＱＭソフトの定期タスクでも、これら定期タスク以外のプログラムでも適宜実行される。

そして、そのコア間排他処理の開始時に実行されるコア間排他開始処理（以下、開始処理）では、図１３に示す手順で、上記各パラメータを、自身が共通記憶領域２４を使用中であることを表す値に設定する。

すなわち、図１３に示すように、開始処理においては、まずＳ３１０にて、当該開始処理を実行中であるＣＰＵコア自身の情報（以下、実行ＣＰＵ）を取得し、続くＳ３２０にて、現在設定されているスピンロックオーナーを読み込む。

次に、続くＳ３３０では、Ｓ３２０にて読み込んだスピンロックオーナーが、Ｓ３１０にて取得した実行ＣＰＵであるか否かを判断する。そして、スピンロックオーナーが実行ＣＰＵであれば、Ｓ３７０に移行して、ネスト回数をカウントアップ（＋１）し、当該開始処理を終了する。

Ｓ３３０にて、スピンロックオーナーは実行ＣＰＵではないと判断されると、共通記憶領域２４の使用権を取得するために、Ｓ３４０にて、スピンロックバッファの情報と使用中を表す情報（例えば「０ｘ００」）とを交換（ＳＷＡＰ）し、Ｓ３５０に移行する。

そして、Ｓ３５０では、Ｓ３４０でのＳＷＡＰの結果、未使用状態を表す情報（例えば「０ｘ５Ａ」）を取得できたか否かを判断し、未使用状態を表す情報を取得できていなければ、再度３４０に移行する。つまり、Ｓ３５０では、Ｓ３４０にて未使用状態を表す情報が取得されるまで、Ｓ３４０の処理を実行することで、未使用状態を表す情報が取得されるのを待つ。

Ｓ３５０にて、未使用状態を表す情報を取得できたと判断されると、共通記憶領域２４の使用権を取得できものとして、Ｓ３６０に移行する。そして、Ｓ３６０では、スピンロックオーナーに、実行ＣＰＵを設定し、続くＳ３７０にて、ネスト回数をカウントアップ（＋１）した後、当該開始処理を終了する。

次に、各ＣＰＵコア１０Ａ，１０Ｂは、コア間排他処理の終了時には、図１４に示す手順で、コア間排他終了処理を実行することにより、上記各パラメータを初期値に戻し、共通記憶領域２４を使用できるようにする。

図１４に示すように、コア間排他終了処理（以下、終了処理）においては、まずＳ４１０にて、ネスト回数を読み込み、続くＳ４２０にて、その読み込んだネスト回数は、開始処理実行後のコア間排他処理によって初期値「０」に戻されているか否かを判断する。

そして、Ｓ４２０にて、ネスト回数は初期値「０」ではないと判断されると、コア間排他処理は終了していない判断して、当該終了処理を終了する。
一方、Ｓ４２０にて、ネスト回数は初期値「０」であると判断されると、コア間排他処理は終了したと判断して、Ｓ４３０に移行し、スピンロックオーナーに、フリーを表す値（例えば「０ｘＦＦ」）を設定する。

そして、続くＳ４４０では、スピンロックバッファに、未使用状態を表す値（例えば「０ｘ５Ａ」）を設定し、当該終了処理を終了する。
このように、各ＣＰＵコア１０Ａ，１０Ｂは、コア間排他処理を実行する際には、開始処理を実行して、共通記憶領域２４の使用権を取得する。

従って、図１５に示すように、スピンロックバッファ、スピンロックオーナー、及び、ネスト回数は、使用権を取得したＣＰＵコアにより、共通記憶領域２４を使用中であることを表す値に設定され、他のＣＰＵコアは、共通記憶領域２４を使用できなくなる。

また、使用権を取得したＣＰＵコアがコア間排他処理を終了する際には、コア間排他処理の実行によりネスト回数が初期値「０」に戻り、スピンロックバッファ及びスピンロックオーナーも、終了処理にて初期値に戻される。

この結果、共通記憶領域２４は開放され、各ＣＰＵコア１０Ａ，１０Ｂは、コア間排他処理の開始処理にて、共通記憶領域２４の使用権を取得することができるようになる。
このように、共通記憶領域２４が開放されているときには、通常、スピンロックバッファ、スピンロックオーナー、及び、ネスト回数は、初期値になるが、これら各パラメータは、ＱＭソフトのバグ等によって書き換えられて、初期値に戻らないことがある。

そこで、本実施形態では、図１１に例示するように、ＡＳＩＬソフトの定期タスクにおいて、定期タスクの終了時に図１６に示す再初期化処理を実行することで、上記各パラメータを初期値に戻すようにされている。

図１６に示すように、この再初期化処理においては、まずＳ５１０にて、当該再初期化処理を実行中であるＣＰＵコア自身の情報（実行ＣＰＵ）を取得し、続くＳ５２０にて、現在設定されているスピンロックオーナーを読み込む。

次に、続くＳ５３０では、Ｓ５２０にて読み込んだスピンロックオーナーは、Ｓ５１０にて取得した実行ＣＰＵとは異なるもう一つのＣＰＵコア（他ＣＰＵ）であるか否かを判断する。

そして、スピンロックオーナーは、他ＣＰＵではない場合、つまり、スピンロックオーナーが実行ＣＰＵ、フリー、又は、設定範囲外の値である場合には、Ｓ５４０に移行して、スピンロックオーナーに、フリーを表す値（例えば「０ｘＦＦ」）を設定する。

また、続くＳ５５０では、スピンロックバッファに、未使用状態を表す値（例えば「０ｘ５Ａ」）を設定し、最後に、Ｓ５６０にて、ネスト回数に初期値「０」を設定し、当該再初期化処理を終了する。

また、Ｓ５３０にて、スピンロックオーナーは他ＣＰＵであると判断された場合には、他のＣＰＵコアが共通記憶領域２４を使用しているので、当該再初期化処理を終了する。
以上説明したように、本実施形態のＥＣＵ１においては、制御部として２つのＣＰＵコア１０Ａ，１０Ｂを備える。そして、各ＣＰＵコア１０Ａ，１０Ｂがプログラムを実行する際には、コア間排他処理を実行することにより、ＳＲＡＭ２０の共通記憶領域２４を排他的に利用できるようにされている。

また、各ＣＰＵコア１０Ａ，１０Ｂが、コア間排他処理を実行する際には、開始処理にて、共通記憶領域２４の使用権を取得し、スピンロックバッファ、スピンロックオーナー、及び、ネスト回数を、自身が使用中であることを表す値に設定する。そして、コア間排他処理を終了する際には、終了処理にて、これら各パラメータを初期値に戻すようにされている。

また、これら各パラメータは、ＱＭソフトのバグ等によって異常な値に書き換えられることがあるので、ＡＳＩＬソフトの定期タスクにおいて、再初期化処理を実行する。そして、この再初期化処理は、ＣＰＵコア自身がコア間排他処理を実行しておらず、他のＣＰＵコアが共通記憶領域２４を使用していない、という条件下で、上記各パラメータを初期値に戻すようにされている。

従って、本実施形態のＥＣＵ１によれば、上記各パラメータがＱＭソフトのバグ等によって異常な値に書き換えられても、ＡＳＩＬソフトの定期タスクの実行周期で、各パラメータを初期値に戻すことができる。

よって、ＣＰＵコア１０Ａ，１０Ｂは、コア間排他処理にて、ＳＲＡＭ２０の共通記憶領域を排他的に使用することで、各種プログラムを正常に実行できるようになる。
また、このためには、ＡＳＩＬソフトの定期タスクにおいて、図１６に示す再初期化処理を実行するだけでよく、ハードウェア資源や処理負荷の増加を招くことがないので、低コストで実現できる。

なお、図１１においては、図１６に示す再初期化処理を、ＡＳＩＬソフトの定期タスクの終了領域で実施するものとされているが、図１６に示す再初期化処理は、その定期タスクの先頭領域で実施するようにしてもよい。

また、図１１では、ＱＭソフトの定期タスクとＡＳＩＬソフトの定期タスクは連続的に実行されるように記載されているが、図７に示すように、これら各定期タスクは、それぞれ、異なるタイミングで分散して実施されてもよい。

そして、この場合でもＡＳＩＬソフトの定期タスクにおいて、コア間排他処理が実施されない先頭領域、若しくは、終了領域にて、図１６に示す再初期化処理を実行することで、上記と同様の効果を得ることができる。

また、本実施形態では、ＡＳＩＬソフトの定期タスクを実行する度に、図１６に示す再初期化処理を実行するものとして説明したが、再初期化処理を周期的に実行する際には、その実行周期をＦＴＴＩよりも短い時間に設定すればよい。

従って、図１６に示す再初期化処理は、第１実施形態と同様、ＡＳＩＬソフトの定期タスクの複数回に１回の割で実施するようにしてもよい。
また、図１６に示す再初期化処理において、上記各パラメータを初期値に設定するＳ５４０〜Ｓ５６０の処理は、必ずしも周期的に実行する必要はなく、例えば、各パラメータの異常を検知したときにだけ、各パラメータを初期値に設定するようにしてもよい。

つまり、第１実施形態の変形例と同様、ＡＳＩＬソフトの定期タスクにおいては、上記各パラメータの異常を判定する異常判定処理を実行する。
この異常判定処理では、図１６のＳ５１０〜Ｓ５３０を実行することで、スピンロックオーナーは他ＣＰＵではないことを確認した上で、上記各パラメータの少なくとも１つが初期値から外れているか否かを判断する。

そして、上記各パラメータの少なくとも１つが初期値から外れている場合には、異常と判断して、タイマ４０にＦＴＴＩよりも短い一定時間ΔＴを設定する。
この結果、異常判定処理にて異常が判定されると、その後、一定時間ΔＴが経過したタイミングで、タイマ４０から割り込み信号が出力されるので、異常を判定したＣＰＵコアが、その割り込み信号にて、再初期化処理を実行するようにする。

なお、このようにタイマ割り込みにて起動される再初期化処理においては、図１６に示したＳ５４０〜Ｓ５６０の処理を実行することで、上記各パラメータを初期値に設定するようにする。

このように、上記各パラメータの異常検出時にだけ、タイマ割り込みにて、再初期化処理を実行するようにしても、上記各パラメータの何れかが異常値に書き換えられてから、ＦＴＴＩが経過するまでの間に、各パラメータを初期値に戻すことができる。

よって、このようにしても、車両の安全性を損なうことなく、制御を継続することができるようになる。また、この場合、上記各パラメータの何れかが異常値に書き換えられたときにだけ、再初期化処理が実行されることから、再初期化処理の実行頻度を抑え、ＣＰＵ１０の処理負荷を低減することができる。

なお、図１６の再初期化処理では、Ｓ５４０〜Ｓ５６０において、スピンロックバッファ、スピンロックオーナー、及び、ネスト回数の各パラメータを、初期値に設定するものとして説明した。

しかし、コア間排他処理のネスト回数が、コア間排他処理が実行される度に任意の記憶領域に記憶されるテンポラリ変数である場合には、Ｓ５６０にて、ネスト回数を初期化する必要はない。

以上、本開示の実施形態について説明したが、本開示は上述の実施形態に限定されることなく、種々変形して実施することができる。
例えば、上記各実施形態では、安全度が異なる複数のソフトウェアとして、ＡＳＩＬソフトとＱＭソフトとを例に採り説明したが、ソフトウェアの安全度は更に細かく分類されることもある。例えば、ＡＳＩＬソフトは、ＡＳＩＬ−Ａ、ＡＳＩＬ−Ｂ、…というよう分類されることがある。

従って、このようにソフトウェアの安全度が３つ以上に分類されている場合には、これらのソフトウェアのうち、安全度が最も高いソフトウェアの定期タスク等で、上記各パラメータを初期化するようにすれば、上記各実施形態と同様の効果を得ることができる。

また、上記第２実施形態では、第１ＣＰＵコア１０Ａと第２ＣＰＵコア１０Ｂとの２つのＣＰＵコアを備えた制御装置について説明した。しかし、３つ以上のＣＰＵコアを備えた制御装置であっても、各ＣＰＵコアが再初期化処理を実行するように構成することで、上記第２実施形態と同様の効果を得ることができる。

また、上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。

本開示は、制御装置（ＥＣＵ１）の他、当該制御装置を構成要素とするシステム、当該制御装置としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体など、種々の形態で実現することができる。

１…ＥＣＵ、１０…ＣＰＵ、１０Ａ…第１ＣＰＵコア、１０Ｂ…第２ＣＰＵコア、１２…レジスタ、２０…ＳＲＡＭ、２２…記憶領域、２４…共通記憶領域

Claims (8)

1. 安全度が異なる複数のソフトウェアのプログラムを実行することにより制御対象を制御する制御部（１０）と、
   前記制御部による前記プログラムの実行時にデータの書き込み及び更新が行われる記憶部（２０）と、
   割り込み禁止／許可設定用のレジスタ（１２）と、
   を備え、前記制御部は、
   前記複数のソフトウェアのプログラムの実行中に、他のプログラムの実行を禁止する際には、前記レジスタに割り込み禁止を設定することで、他のプログラムの実行を禁止し、前記実行中のプログラムが終了すると、前記レジスタに割り込み許可を設定することで、他のプログラムの実行を許可する割り込み禁止処理を実施し、
   しかも、前記複数のソフトウェアのうち、前記安全度が最も高いソフトウェアのプログラムを実行しているときには、前記割り込み許可の状態が保証されるタイミングで、前記レジスタを、割り込みを許可する初期状態に設定する、再初期化処理を実施するよう構成されている、制御装置。
2. 請求項１に記載の制御装置であって、
   前記制御部は、前記安全度が最も高いソフトウェアのプログラムの一つとして、所定時間毎に定期タスクを実行し、該定期タスクにおいて前記割り込み禁止処理が実行されない先頭領域若しくは終了領域にて、前記再初期化処理を実施するように構成されている、制御装置。
3. 請求項１に記載の制御装置であって、
   前記制御部は、前記再初期化処理において、前記レジスタが前記初期状態に設定されているか否かを判断し、前記レジスタが前記初期状態でない場合には、タイマ割り込み用のタイマを起動することで、その後、前記制御対象の安全が侵害されない時間として規定されたフォールトトレラント時間が経過するまでの間に、タイマ割り込みにて、前記レジスタを初期状態に設定するように構成されている、制御装置。
4. 請求項１〜請求項３の何れか１項に記載の制御装置であって、
   前記制御部は、前記割り込み禁止処理の進行に応じてネスト回数を更新して、前記記憶部の所定の記憶領域（２２）に記憶し、前記割り込み禁止／許可設定用のレジスタを前記初期状態に設定するときには、前記記憶部の所定の記憶領域に記憶された前記ネスト回数を初期値に戻すように構成されている、制御装置。
5. 制御対象を制御するために、安全度が異なる複数のソフトウェアのプログラムを分散して実行する複数の制御部（１０Ａ，１０Ｂ）と、
   前記複数の制御部による前記プログラムの実行時にデータの書き込み及び更新が行われ、前記複数の制御部にて排他的に利用される共通記憶領域（２４）を有する記憶部（２０）と、
   を備え、
   前記複数の制御部は、それぞれ、
   前記複数のソフトウェアのプログラムの実行中に、前記共通記憶領域を利用する際には、前記共通記憶領域に記憶されたデータから前記共通記憶領域が未使用状態であるか否かを判断し、前記共通記憶領域が他の制御部にて使用されている場合には、前記共通記憶領域が未使用状態となるまで、前記プログラムの実行を停止させ、前記共通記憶領域が未使用状態になるか、或いは、未使用状態である場合には、前記共通記憶領域に未使用状態とは異なるデータを書き込むことで、前記プログラムを継続して実行し、前記共通記憶領域の利用が完了すると、他の制御部が利用できるように、前記共通記憶領域に未使用状態を表す初期データを記憶する、制御部間排他処理を実行し、
   しかも、前記複数のソフトウェアのうち、前記安全度が最も高いソフトウェアのプログラムの実行中には、前記制御部間排他処理を実施していない状態が保証されるタイミングで、前記共通記憶領域に前記初期データを記憶させる再初期化処理を実行する、
   ように構成されている、制御装置。
6. 請求項５に記載の制御装置であって、
   前記複数の制御部は、それぞれ、前記安全度が最も高いソフトウェアのプログラムの一つとして、所定時間毎に定期タスクを実行し、該定期タスクにおいて前記制御部間排他処理が実行されない先頭領域若しくは終了領域にて、前記再初期化処理を実行するように構成されている、制御装置。
7. 請求項５に記載の制御装置であって、
   前記複数の制御部は、それぞれ、前記再初期化処理において、前記共通記憶領域が未使用状態であるか否かを判断し、前記共通記憶領域が未使用状態ではないと判断すると、タイマ割り込み用のタイマを起動することで、その後前記制御対象の安全が侵害されない時間として規定されたフォールトトレラント時間が経過するまでの間に、タイマ割り込みにて、前記共通記憶領域に前記初期データを記憶させるように構成されている、制御装置。
8. 請求項５〜請求項７の何れか１項に記載の制御装置であって、
   前記複数の制御部は、それぞれ、前記制御部間排他処理の進行に応じてネスト回数を更新して、前記データの一つとして前記記憶部の前記共通記憶領域に記憶し、前記再初期化処理では、前記ネスト回数を初期値に戻すように構成されている、制御装置。

Images