JP2021189988A - 電子制御装置及び電子制御装置の制御方法 - Google Patents

Abstract

【課題】ロックステップコアを設けることなく、電子制御装置が有する複数のコアの監視を実現する。【解決手段】複数のコアとメモリとを備える電子制御装置は、複数のコアの中から、第１種コアとなるコアと、第２種コアとなるコアとを選択することによって、ロックステップ方式の動作を実行させるコアペアを複数生成する切替制御部と、複数のコアペアの各々について、第１種コア及び第２種コアが同期して実行したプログラムの演算結果を比較することによって、第１種コア及び第２種コアの少なくともいずれかに異常が発生しているか否かを示す判定結果を出力するエラー検出部と、を備え、エラー検出部は、複数のコアペアの判定結果に基づいて、異常が発生しているコアを特定する。【選択図】 図１

Description

本発明は、電子制御装置に関する。

機能安全要求では、安全要求、又は安全目標を侵害する潜在的な可能性のある障害及び故障を防止する必要があり、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等の演算装置が正しく機能していることを診断するための診断処理を実行する必要がある。

診断処理の手法として、２個以上のＣＰＵに同じ命令（プログラム）を同期実行させ、各ＣＰＵの演算結果を比較し、演算結果に差がある場合に異常と判定するロックステップ方式が一般的に活用されている。

近年、演算装置の性能の向上による診断対象となるコアの増加に伴って、診断機能を向上させ、かつ、コアに異常が発生した場合でも、診断機能を喪失させない仕組みが必要である。これに対して特許文献１に記載の技術が知られている。

特許文献１には、「複数のコアとそのコア数よりも少数のロックステップコアとを有するマルチコアプロセッサを備える情報処理装置は、エラー許容できない第１エラーレベルのプログラムスレッドがロックステップコアの数を超えて時間重複しないようにプログラムをスケジューリングする。第１エラーレベルのプログラムスレッドがあるときは第１エラーレベルのプログラムスレッドを、第１エラーレベルのプログラムスレッドが無いときは何れかのコアが実行する第２エラーレベルのプログラムスレッドを、それぞれロックステップコアに同期実行させる。コアとロックステップコアとの命令実行結果の比較によりコアを監視する」ことが記載されている。

特開２０１６−１５７２４７号公報 特開平０７−３０２２０７号公報

特許文献１に記載の技術では、ロックステップコアが故障した場合、診断機能を喪失してしまう。そのため、機能診断の喪失を回避するために冗長性を確保する必要があり、すなわち、ロックステップコアを複数設ける必要がある。搭載するロックステップコアの数を増やすと回路面積が増大するため、電子制御装置が大規模となり、消費電流及びコストが増大するという問題があった。

本発明は、ロックステップコアを設けることなく、コアを監視可能な電子制御装置を提供する。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、複数のコアと、前記複数のコアに接続されるメモリと、を備える電子制御装置であって、前記複数のコアは３つ以上であって、前記電子制御装置は、前記複数のコアの中から、第１種コアとなる前記コアと、第２種コアとなる前記コアとを選択することによって、前記第１種コア及び前記第２種コアから構成され、ロックステップ方式の動作を実行させるコアペアを複数生成する切替制御部と、前記複数のコアペアの各々について、前記第１種コア及び前記第２種コアが同期して実行したプログラムの演算結果を比較することによって、前記第１種コア及び前記第２種コアの少なくともいずれかに異常が発生しているか否かを示す判定結果を出力するエラー検出部と、を備え、前記第１種コアは、当該第１種コア及び前記第２種コアに前記プログラムを実行させ、前記エラー検出部は、前記複数のコアペアの前記判定結果に基づいて、異常が発生している前記コアを異常コアとして特定する。

本発明によれば、複数のコアを有する電子制御装置は、ロックステップコアを設けることなく、コアを監視できる。

本実施形態の電子制御装置の構成の一例を示す図である。 本実施形態の切替器の構成の詳細を示す図である。 本実施形態の電子制御装置の処理の概念を説明するフローチャートである。 本実施形態の第１制御レジスタの構成の一例を示す図である。 本実施形態の第２制御レジスタの構成の一例を示す図である。 本実施形態の結果レジスタの構成の一例を示す図である。 実施例１の電子制御装置が実行する診断処理におけるコア間の同期した処理のタイミングチャートの一例を示す図である。 実施例１の電子制御装置の結果レジスタの遷移の一例を示す図である。 実施例１の電子制御装置が実行するコア選択処理の一例を説明するフローチャートである。

以下、本発明の実施例を、図面を用いて説明する。ただし、本発明は以下に示す実施例の記載内容に限定して解釈されるものではない。本発明の思想ないし趣旨から逸脱しない範囲で、その具体的構成を変更し得ることは当業者であれば容易に理解される。以下に説明する発明の構成において、同一又は類似する構成又は機能には同一の符号を付し、重複する説明は省略する。本明細書等における「第１」、「第２」、「第３」等の表記は、構成要素を識別するために付するものであり、必ずしも、数又は順序を限定するものではない。図面等において示す各構成の位置、大きさ、形状、及び範囲等は、発明の理解を容易にするため、実際の位置、大きさ、形状、及び範囲等を表していない場合がある。したがって、本発明では、図面等に開示された位置、大きさ、形状、及び範囲等に限定されない。

まず、本発明の概要について説明する。

図１は、本実施形態の電子制御装置１００の構成の一例を示す図である。

電子制御装置１００は、３つ以上のコア１０１で構成されるマルチコアプロセッサ、メモリ１０２、切替器１０３、エラー検出器１０４、第１制御レジスタ１０５、第２制御レジスタ１０６、及び結果レジスタ１０７を備える。

図１に示すマルチコアプロセッサは、Ｎ個のコア１０１で構成される。各コア１０１は、互いに独立して動作可能である。ここで、コア１０１に付された（１）、（２）等の符号はコア番号を表す。尚、Ｎは３以上の整数である。

メモリ１０２は、各コア１０１が実行するプログラムを格納し、また、プログラムが使用するワークエリアとしても利用される。コア１０１は、メモリ１０２からプログラムを読み出し、実行する。尚、各コア１０１は、通信線１１０を介してメモリ１０２と接続する。

本実施形態のメモリ１０２には、切替制御部１２０を実現するプログラムと、動作検証に用いるプログラム（検証プログラム）とが格納される。尚、メモリ１０２には電子制御装置１００を搭載する装置の制御プログラム等が格納されてもよい。

切替制御部１２０は、故障又は障害が発生したコア１０１を特定するための診断処理を実行する。切替制御部１２０は、ロックステップ方式の動作を実行させるコアペアを構成する監視対象のコア１０１及び監視するコア１０１を切り替える機能を有する。切替制御部１２０の機能の詳細については後述する。

本明細書では、監視対象のコアを第１種コアと記載し、監視するコアを第２種コアと記載する。また、本明細書では、故障又は障害があるコアを異常コアと記載する。尚、コア１０１の故障はハードウェア的及びソフトウェア的な故障を含み、コア１０１の障害はハードウェア的及びソフトウェア的な異常を含む。

エラー検出器１０４は、ロックステップ方式のエラー検出手段を実現する。具体的には、エラー検出器１０４は、２個のコア１０１が同期して実行した同一処理（検証プログラム）の演算結果を比較し、演算結果に違いがある場合、コアペアを構成する少なくともいずれかのコア１０１に故障又は障害が発生していると判定する。尚、ロックステップ方式のエラー検出手段は、例えば、特許文献２に開示されているバス照合型検出方式等が知られている。

切替器１０３は、エラー検出器１０４に値を出力するコア１０１を切り替える。切替器１０３は、後述するように、エラー検出器１０４とコア１０１との間の接続を切り替えるセレクタ２００、２０１（図２参照）を含む。切替器１０３及びエラー検出器１０４は、通信線１１８、１１９を介して互いに接続される。切替器１０３は、通信線１１８、１１９を介して、第１種コア及び第２種コアの演算結果をエラー検出器１０４に出力する。

第１制御レジスタ１０５は、第１種コアとして選択されたコア１０１を示す値を格納する。第２制御レジスタ１０６は、第２種コアとして選択されたコア１０１を示す値を格納する。第１制御レジスタ１０５及び第２制御レジスタ１０６に格納される値は、通信線１１８、１１９とコア１０１との接続を制御するために用いられる。

尚、電子制御装置１００は、切替器１０３に含まれるセレスタの数だけ制御レジスタを含む。本実施形態では、切替器１０３は二つのセレクタ２００、２０１を含むため、電子制御装置１００は、第１制御レジスタ１０５及び第２制御レジスタ１０６を含む。

各コア１０１は、通信線１１２を介して第１制御レジスタ１０５と接続し、通信線１１３を介して第２制御レジスタ１０６と接続する。コア１０１は、通信線１１２を介して第１制御レジスタ１０５に値を書き込み、また、通信線１１３を介して第２制御レジスタ１０６に値を書き込む。切替器１０３は、通信線１１４を介して第１制御レジスタ１０５と接続し、通信線１１５を介して第２制御レジスタ１０６と接続する。切替器１０３は、通信線１１４を介して第１制御レジスタ１０５の値を読み出し、通信線１１５を介して第２制御レジスタ１０６の値を読み出す。

結果レジスタ１０７は、エラー検出器１０４の判定結果を格納する。結果レジスタ１０７に格納される判定結果は異常コアを特定するために用いられる。

各コア１０１は、通信線１１７を介して結果レジスタ１０７と接続する。エラー検出器１０４は、通信路１１６を介して結果レジスタ１０７と接続する。エラー検出器１０４は、通信路１１６を介して結果レジスタ１０７に判定結果を書き込み、また、結果レジスタ１０７に格納される判定結果を読み出す。

ここで、図１を用いて電子制御装置１００の動作概念について説明する。

（処理Ａ）切替制御部１２０を実行するコア１０１は第１種コアとしてコア（１）を選択し、第２種コアとしてコア（３）を選択する。コア（１）が切替制御部１２０として動作を開始する。尚、切替制御部１２０は、予め設定された情報に基づいて第１種コア及び第２種コアとなるコア１０１を選択する。

（処理Ｂ）切替制御部１２０として動作するコア（１）は、コア（１）及びコア（３）に割込を発生させ、また、コア（１）が第１種コアとなり、コア（３）が第２種コアとなるように切替器１０３内のセレクタ２００、２０１（図２参照）を切り替える。コア（１）及びコア（３）は、それぞれ、同じ検証プログラムを同期して実行し、演算結果を切替器１０３に出力する。切替器１０３は、２つの演算結果をエラー検出器１０４に出力する。

（処理Ｃ）エラー検出器１０４は、２つの演算結果が等しいか否かを判定する。２つの演算結果が等しい場合、エラー検出器１０４は正常を示す判定結果を結果レジスタ１０７に書き込む。２つの演算結果が異なる場合、エラー検出器１０４は異常を示す判定結果を結果レジスタ１０７に書き込む。

切替制御部１２０は、第１種コア及び第２種コアとなるコア１０１を切り替えることによって新たなコアペア（第１種コア及び第２種コアの組合せ）を生成し、当該コアペアについて（処理Ａ）、（処理Ｂ）、（処理Ｃ）を実行する。すなわち、各コアペアに対して（処理Ａ）、（処理Ｂ）、（処理Ｃ）が繰り返し実行される。

（処理Ｄ）全てのコアペアについて（処理Ａ）、（処理Ｂ）、（処理Ｃ）が実行された後、エラー検出器１０４は、結果レジスタ１０７に格納される判定結果を読み出し、当該判定結果に基づいて異常コアを特定する。

ここでは、切替制御部１２０が、切替器１０３に含まれるセレクタ２００、２０１の切替等の処理を実行しているが、ＲＴＯＳ（Ｒｅａｌ Ｔｉｍｅ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が切替制御部１２０の処理の一部又は全部を実行してもよい。また、エラー検出器１０４が異常コアの特定等の処理を実行しているが、ＲＴＯＳがエラー検出器１０４の処理の一部又は全部を実行してもよい。

図２は、本実施形態の切替器１０３の構成の詳細を示す図である。

切替器１０３は２つのセレクタ２００、２０１を含む。切替制御部１２０は、第１制御レジスタ１０５に格納される値に基づいて、切替器１０３に、第１種コアとして選択されたコア１０１と接続する通信線１１１が通信線１１８につながるようにセレクタ２００の切替を指示する。また、切替制御部１２０は、第２制御レジスタ１０６に格納される値に基づいて、切替器１０３に、第２種コアとして選択されたコア１０１と接続する通信線１１１が通信線１１９につながるようにセレクタ２０１の切替を指示する。

尚、セレクタ２００を第２種コアと接続するために用い、セレクタ２０１を第１種コアと接続するために用いてもよい。

尚、切替器１０３は、セレクタ２００、２０１の組を２つ以上含んでもよい。セレクタの組にあわせて複数のエラー検出器１０４及び結果レジスタ１０７を用意することによって、（処理Ａ）、（処理Ｂ）、（処理Ｃ）を並列に実行できる。（処理Ｄ）では、複数の結果レジスタ１０７に格納される判定結果をマージして、異常コアが特定される。

図３は、本実施形態の電子制御装置１００の処理の概念を説明するフローチャートである。

切替制御部１２０として動作するコア１０１は、第１種コア及び第２種コアを選択する（ステップＳ３０１）。このとき、第１種コアとして選択されたコア１０１が切替制御部１２０として動作を開始する。尚、第１種コア及び第２種コアが選択される前に切替制御部１２０として動作するコア１０１はいずれのコア１０１でもよい。

第１種コアは、検証プログラムの先頭アドレスをメモリ１０２に格納する（ステップＳ３０２）。

第１種コアは、第１種コア及び第２種コアにソフトウェア割り込みを発生させる（ステップＳ３０３）。ソフトウェア割り込みを用いて第１種コア及び第２種コアに検証プログラムを同期実行させるため、電子制御装置１００は割り込みに必要なハードウェアを有していなくてもよい。これによって、ハードウェアの規模を小さくできる。

尚、第１種コア及び第２種コアへの割込はソフトウェア割込に限定されない。２つのコア１０１に同時に割込を発生させることができる方法であればよい。

第１種コアは、第１制御レジスタ１０５及び第２制御レジスタ１０６の各々に、各コア１０１のコア番号を設定する（ステップＳ３０４）。第１制御レジスタ１０５及び第２制御レジスタ１０６の各々に値が設定された後、セレクタ２００、２０１は、対応するコア１０１の通信線１１１と接続するように切り替えられる。

第１種コア及び第２種コアは、メモリ１０２に格納される検証プログラムの先頭アドレスを読み出すことによって、当該プログラムに対応する処理を実行する（ステップＳ３０５）。各コア１０１の演算結果は切替器１０３を介してエラー検出器１０４に出力される。

エラー検出器１０４は、二つのコア１０１の演算結果を比較することによって判定結果（正常又は異常）を生成し、結果レジスタ１０７に判定結果を格納する（ステップＳ３０６）。

本実施例では、第１種コア及び第２種コアとなるコア１０１が切り替えられ、ステップＳ３０２からステップＳ３０６までの処理が実行される。

次に、第１制御レジスタ１０５、第２制御レジスタ１０６、及び結果レジスタ１０７に格納される値について説明する。

図４Ａは、本実施形態の第１制御レジスタ１０５の構成の一例を示す図である。図４Ｂは、本実施形態の第２制御レジスタ１０６の構成の一例を示す図である。図５は、本実施形態の結果レジスタ１０７の構成の一例を示す図である。

第１制御レジスタ１０５、第２制御レジスタ１０６、及び結果レジスタ１０７は、Ｎ個のビットを含む。各レジスタのＬＳＢ側から順に、コア番号に対応するコア１０１が対応付けられている。図４Ａ、図４Ｂ、及び図５の各レジスタの上方の０からＮ−１までの値はビットの桁を表す。図４Ａ、図４Ｂ、及び図５の各レジスタの上方の（１）から（Ｎ）までの値はコア番号を表す。

各レジスタのビットには０及び１のいずれかが格納される。ここで、各レジスタへの値の書き込みと、各レジスタを用いた制御について説明する。

第１制御レジスタ１０５の各ビットの初期値は０となっている。切替制御部１２０は、第１種コア及びエラー検出器１０４を接続するために、第１種コアに対応するビットに１を書き込む。これによって、セレクタ２００の接続が切り替えられる。

第２制御レジスタ１０６の各ビットの初期値は０となっている。切替制御部１２０は、第２種コア及びエラー検出器１０４を接続するために、第２種コアに対応するビットに１を書き込む。これによって、セレクタ２０１の接続が切り替えられる。

例えば、ＬＳＢ側から２番目のビットに１が設定された場合、セレクタ２０１は、コア（２）とエラー検出器１０４とを接続するように制御する。

結果レジスタ１０７の各ビットの初期値は０となっている。エラー検出器１０４は、第１種コア及び第２種コアの演算結果が一致する場合、第１種コア及び第２種コアの各々に対応するビットに０を書き込み、第１種コア及び第２種コアの演算結果が異なる場合、第１種コア及び第２種コアの各々に対応するビットに１を書き込む。尚、結果レジスタ１０７の各ビットへの値の書き込みは、対応するコア１０１が行ってもよい。

例えば、コア（２）及びコア（３）の演算結果が異なる場合、エラー検出器１０４は、ＬＳＢ側から２番目及び３番目のビットに１を書き込む。

尚、コア１０１からエラー検出器１０４への出力を切り替える切替器１０３は、切替制御部１２０の一機能として実現してもよい。また、エラー検出器１０４は、ソフトウェアを用いて実現してもよい。

電子制御装置１００の具体的な処理について説明する。

図６は、実施例１の電子制御装置１００が実行する診断処理におけるコア１０１間の同期した処理のタイミングチャートの一例を示す図である。尚、図６は、第１種コア及び第２種コアの切替のタイミングチャートとしても理解できる。

図６では、時刻Ｔ１において、コア（１）及びコア（２）が検証プログラムを同期実行し、時刻Ｔ２において、コア（２）及びコア（３）が検証プログラムを同期実行し、時刻Ｔ３において、コア（３）及びコア（Ｎ）が検証プログラムを同期実行し、時刻Ｔ４において、コア（Ｎ）及びコア（１）が検証プログラムを同期実行する。

図６において、斜線部は検証プログラムが同期実行されている期間を示し、空白部分は各コア１０１の独立した処理が実行されている期間を示す。

尚、同期実行する検証プログラムはコアペア毎に異なっていてもよいし、また、同一でもよい。

図７は、実施例１の電子制御装置１００の結果レジスタ１０７の遷移の一例を示す図である。

ここでは、図６に示すタイミングチャートにしたがって、コア１０１間で同期した処理が実行されたものとする。

本実施例では、切替制御部１２０はＲＴＯＳの一機能として組み込まれているものとする。尚、切替制御部１２０はＲＴＯＳと独立したモジュールでもよい。

ＲＴＯＳは、第１種コアとしてコア（１）を選択し（ステップＳ３０１）、第２種コアとしてコア（２）を選択し、検証プログラムの先頭アドレスをメモリ１０２に格納する（ステップＳ３０２）。

ＲＴＯＳは、コア（１）及びコア（２）に同時に割込を発生させる（ステップＳ３０３）。

ＲＴＯＳは、第１制御レジスタ１０５のＬＳＢ側から１番目のビットに１を書き込み、第２制御レジスタ１０６のＬＳＢ側から２番目のビットに１を書き込む（ステップＳ３０４）。

ＲＴＯＳは、コア（１）及びコア（２）に検証プログラムの先頭アドレスを渡す（ステップＳ３０５）。コア（１）及びコア（２）は時刻Ｔ１において同期して処理を実行する。また、各コア１０１の演算結果がエラー検出器１０４に入力される。

エラー検出器１０４は、演算結果を比較することによって判定結果を生成し、判定結果を結果レジスタ１０７に書き込む（ステップＳ３０６）。この結果、結果レジスタ１０７は、図７の一番上のような状態になったものとする。

ＲＴＯＳは、タイミングチャートにしたがって、コア（２）及びコア（３）、コア（３）及びコア（Ｎ）、コア（Ｎ）及びコア（１）についても同様の処理を実行する。

コア（２）及びコア（３）については、エラー検出器１０４は、第１種コア及び第２種コアの演算結果が異なるため、結果レジスタ１０７のＬＳＢ側から２番目及び３番目のビットに１を書き込む。その結果、結果レジスタ１０７は図７の上から２番目の状態に遷移する。

コア（３）及びコア（Ｎ）については、エラー検出器１０４は、第１種コア及び第２種コアの演算結果が一致するため、結果レジスタ１０７のＬＳＢ側から３番目及びＭＳＢ側から１番目のビットに０を書き込む。その結果、結果レジスタ１０７は図７の上から３番目の状態に遷移する。

コア（Ｎ）及びコア（１）については、エラー検出器１０４は、第１種コア及び第２種コアの演算結果が一致するため、結果レジスタ１０７のＬＳＢ側から１番目及びＭＳＢ側から１番目のビットに０を書き込む。その結果、結果レジスタ１０７は図７の上から４番目の状態に遷移する。

エラー検出器１０４は、全てのコアペアついて処理が完了した後、結果レジスタ１０７を参照し、異常コアを特定する。具体的には、ＲＴＯＳは、１が格納されるビットに対応するコア１０１を、異常コアとして特定する。図７に示す結果レジスタ１０７の場合、コア（２）が異常コアとして特定される。尚、異常コアを特定する機能は、ＲＴＯＳが備えてもよい。

尚、実施例１では、すべてのコア１０１を同期して処理を実行しているが、最低３つのコアで上述した処理を行うことによって異常コアを特定できる。

エラー検出器１０４は、以降に処理において、コア（２）が第２種コアとして選択されないように制御する。具体的には、エラー検出器１０４は、第２種コアとして選択するコア１０１の中からコア（２）を除外するために、コア（２）のコア番号をメモリ１０２のワークエリアに格納する。

ここで、異常コアが特定された後の診断処理における第１種コア及び第２種コアの選択方法について説明する。

図８は、実施例１の電子制御装置１００が実行するコア選択処理の一例を説明するフローチャートである。

コア選択処理は、ステップＳ３０１に包含される処理である。ここでは、コア（２）が異常コアとして特定されたものとする。

ＲＴＯＳは、コア（１）を第１種コアとして選択し、第１種コアの識別情報としてコア（１）のコア番号をメモリ１０２のワークエリアに格納する（ステップＳ８０１）。

ＲＴＯＳは、コア（２）を第２種コアとして選択し、第２種コアの識別情報としてコア（２）のコア番号をメモリ１０２のワークエリアに格納する（ステップＳ８０２）。

ＲＴＯＳは、メモリ１０２のワークエリアに格納される異常コアのコア番号を参照する（ステップＳ８０３）。ここでは、ワークエリアには、コア（２）のコア番号が格納される。

ＲＴＯＳは、第２種コアとして選択されたコア１０１が異常コアであるか否かを判定する（ステップＳ８０４）。すなわち、ＲＴＯＳは、ワークエリアに格納された第２種コアのコア番号が、異常コアのコア番号と一致するか否かを判定する。第２種コアのコア番号が異常コアのコア番号と一致する場合、ＲＴＯＳは、第２種コアとして選択されたコア１０１が異常コアである判定する。

第２種コアとして選択されたコア１０１が異常コアでない場合、ＲＴＯＳは、第２種コアを変更することなくコア選択処理を終了する。

第２種コアとして選択されたコア１０１が異常コアである場合、ＲＴＯＳは、第２種コアを再選択する（ステップＳ８０５）。その後、ＲＴＯＳはコア選択処理を終了する。

具体的には、ＲＴＯＳは、第１種コアとして選択されたコア１０１及び異常コアとして特定されたコア１０１を除くコア１０１の中から第２種コアを選択し、第２種コアの識別情報として選択されたコア１０１のコア番号をメモリ１０２のワークエリアに格納する。ここでは、コア（２）の代わりに別のコア１０１が第２種コアとして選択される。

以上の処理を実行することによって、第２種コアとして選択されたコア１０１が異常コアである場合、正常なコア１０１に代替えされる。

尚、異常コアが複数ある場合、照合のパターンを変更することによって、異常コアを正常なコア１０１に代替することができる。

本発明によれば、電子制御装置１００は、第１種コア及び第２種コアを切り替えながら、コア１０１間で同期した処理を実行させることによって、異常コアを特定することができる。また、第２種コアが故障コアである場合、故障コア以外のコア１０１が第２種コアに代替えされるため、安定したコア１０１の異常診断を行うことができる。

電子制御装置１００に含まれるコア１０１の数にあわせて予めコアペアを設定する必要がないため、ハードウェアの制限を受けることなくコア１０１の異常診断を実現できる。

また、切替器１０３を用いて、エラー検出器１０４に演算結果を出力するコア１０１を切り替えるため、第１種コア及び第２種コアの同期処理の演算結果を比較するエラー検出器１０４は少なくてよい。これによって、電子制御装置１００の大規模化を抑えつつ、コア１０１の異常診断を実現できる。

尚、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。また、例えば、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるプロセッサが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｐｙｔｈｏｎ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。

さらに、実施例の機能を実現するソフトウェアのプログラムコードを、ネットワークを介して配信することによって、それをコンピュータのハードディスクやメモリ等の記憶手段又はＣＤ−ＲＷ、ＣＤ−Ｒ等の記憶媒体に格納し、コンピュータが備えるプロセッサが当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。

上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

１００ 電子制御装置
１０１ コア
１０２ メモリ
１０３ 切替器
１０４ エラー検出器
１０５ 第１制御レジスタ
１０６ 第２制御レジスタ
１０７ 結果レジスタ
１１０、１１１、１１２、１１３、１１４、１１５、１１６、１１７、１１８、１１９ 通信線
１２０ 切替制御部
２００、２０１ セレクタ

Claims (6)

1. 複数のコアと、前記複数のコアに接続されるメモリと、を備える電子制御装置であって、
   前記複数のコアは３つ以上であって、
   前記電子制御装置は、
   前記複数のコアの中から、第１種コアとなる前記コアと、第２種コアとなる前記コアとを選択することによって、前記第１種コア及び前記第２種コアから構成され、ロックステップ方式の動作を実行させるコアペアを複数生成する切替制御部と、
   前記複数のコアペアの各々について、前記第１種コア及び前記第２種コアが同期して実行したプログラムの演算結果を比較することによって、前記第１種コア及び前記第２種コアの少なくともいずれかに異常が発生しているか否かを示す判定結果を出力するエラー検出部と、
   を備え、
   前記第１種コアは、当該第１種コア及び前記第２種コアに前記プログラムを実行させ、
   前記エラー検出部は、前記複数のコアペアの前記判定結果に基づいて、異常が発生している前記コアを異常コアとして特定することを特徴とする電子制御装置。
2. 請求項１に記載の電子制御装置であって、
   前記エラー検出部は、前記異常コアとして特定された前記コアの識別情報を前記メモリに書き込み、
   前記切替制御部は、
   前記第１種コアとなる前記コアと、前記第２種コアとなる前記コアとを選択した場合、前記識別情報を参照して、前記第２種コアとして選択された前記コアが前記異常コアであるか否かを判定し、
   前記第２種コアとして選択された前記コアが前記異常コアである場合、前記第１種コア及び前記第２種コアとして選択されている前記コアを除く前記複数のコアの中から前記第２種コアとなる前記コアを選択することを特徴とする電子制御装置。
3. 請求項１に記載の電子制御装置であって、
   前記第１種コアは、ソフトウェア割込を発生させることによって、前記第１種コア及び前記第２種コアに前記プログラムを実行させることを特徴とする電子制御装置。
4. 複数のコアと、前記複数のコアに接続されるメモリと、を有する電子制御装置の制御方法であって、
   前記複数のコアは３つ以上であって、
   前記電子制御装置は、切替制御部及びエラー検出部を含み、
   前記電子制御装置の制御方法は、
   前記切替制御部が、前記複数のコアの中から、第１種コアとなる前記コアと、第２種コアとなる前記コアとを選択することによって、ロックステップ方式の動作を実行させるコアペアを複数生成する第１のステップと、
   前記第１種コアが、当該第１種コア及び前記第２種コアに同期してプログラムを実行させる第２のステップと、
   前記エラー検出部が、前記複数のコアペアの各々について、前記第１種コア及び前記第２種コアが同期して実行した前記プログラムの演算結果を比較することによって、前記第１種コア及び前記第２種コアの少なくともいずれかに異常が発生しているか否かを示す判定結果を出力する第３のステップと、
   前記エラー検出部が、前記複数のコアペアの前記判定結果に基づいて、異常が発生している前記コアを異常コアとして特定する第４のステップと、を含むことを特徴とする電子制御装置の制御方法。
5. 請求項４に記載の電子制御装置の制御方法であって、
   前記第４のステップは、前記エラー検出部が、前記異常コアとして特定された前記コアの識別情報を前記メモリに書き込むステップを含み、
   前記第１のステップは、
   前記切替制御部が、前記第１種コア及び前記第２種コアとなる前記コアを選択した場合、前記識別情報を参照して、前記第２種コアとして選択された前記コアが前記異常コアであるか否かを判定するステップと、
   前記切替制御部が、前記第２種コアとして選択された前記コアが前記異常コアである場合、前記第１種コア及び前記第２種コアとして選択されている前記コアを除く前記複数のコアの中から前記第２種コアとなる前記コアを選択するステップと、を含むことを特徴とする電子制御装置の制御方法。
6. 請求項４に記載の電子制御装置の制御方法であって、
   前記第２のステップは、前記第１種コアが、ソフトウェア割込を発生させることによって、前記第１種コア及び前記第２種コアに前記プログラムを実行させるステップを含むことを特徴とする電子制御装置の制御方法。

Images