JP2022083383A - 車載情報処理装置及び車載情報処理方法 - Google Patents

Abstract

【課題】車両に搭載される装置におけるマルチコア及び共有メモリの構成の採用に寄与することが期待できる車載情報処理装置及び車載情報処理方法を提供する。【解決手段】本実施の形態に係る車載情報処理装置は、車両に搭載され、並列的に処理を行う複数の処理部と、前記複数の処理部がアクセス可能な複数の共有記憶部とを備え、前記複数の処理部は、少なくとも１つの共有記憶部を介して情報の授受を行い、所定のタイミングで、情報の授受に用いる共有記憶部を変更する。前記共有記憶部の異常を検出する検出部を備え、前記所定のタイミングは、前記検出部が前記少なくとも１つの共有記憶部の異常を検出したタイミングであり、前記複数の処理部は、前記検出部が前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して情報の授受を行ってもよい。【選択図】図２

Description

本開示は、複数の処理部の間で情報の授受を行う車載情報処理装置及び車載情報処理方法に関する。

特許文献１においては、第１コア、第２コア及び共有メモリを備え、両コアが共有メモリを介して通信するマルチコア演算装置が記載されている。このマルチコア演算装置では、第１コアが制御対象である車両用駆動伝達装置の挙動変化の順序を示す挙動スケジュールを決定する挙動スケジュールアプリケーションを実行し、第２コアが車両用駆動伝達装置を動作させるアクチュエータを制御するアクチュエータ制御アプリケーション及び物理情報を取得して提供するセンシングアプリケーションを実行する。

特開２０１８－１３８４３号公報

特許文献１に記載のマルチコア演算装置は、複数のコアが共有メモリを介して通信を行う構成である。近年では、車両に搭載されるＥＣＵ（Electronic Control Unit）等の装置の高機能化が進められており、マルチコア及び共有メモリの構成が採用される場合がある。

本開示は、斯かる事情に鑑みてなされたものであって、その目的とするところは、車両に搭載される装置におけるマルチコア及び共有メモリの構成の採用に寄与することが期待できる車載情報処理装置及び車載情報処理方法を提供することにある。

本態様に係る車載情報処理装置は、車両に搭載され、並列的に処理を行う複数の処理部と、前記複数の処理部がアクセス可能な複数の共有記憶部とを備え、前記複数の処理部は、少なくとも１つの共有記憶部を介して情報の授受を行い、所定のタイミングで、情報の授受に用いる共有記憶部を変更する。

本願は、このような特徴的な制御部を備える装置として実現することができるだけでなく、かかる特徴的な処理をステップとする方法として実現したり、かかるステップをコンピュータに実行させるためのコンピュータプログラムとして実現したりすることができる。これらの装置の一部又は全部を実現する半導体集積回路として実現したり、これらの装置を含むその他の装置又はシステムとして実現したりすることができる。

上記によれば、車両に搭載される装置におけるマルチコア及び共有メモリの構成の採用に寄与することが期待できる。

本実施の形態に係る車載情報処理装置の構成を示すブロック図である。 ＲＡＭの記憶領域を説明するための模式図である。 本実施の形態に係る車載情報処理装置のアドレス変換部１１が行う処理の手順を示すフローチャートである。 本実施の形態に係る車載情報処理装置のコアがそれぞれ行う処理の手順を示すフローチャートである。 実施の形態２に係る車載情報処理装置のアドレス変換部１１が行う処理の手順を示すフローチャートである。 実施の形態３に係る車載情報処理装置の構成を示すブロック図である。 実施の形態３に係る車載情報処理装置の第１ＲＡＭ及び第２ＲＡＭの記憶領域を説明するための模式図である。 実施の形態４に係る車載情報処理装置の構成を示すブロック図である。 実施の形態４に係る車載情報処理装置が行う処理の手順を示すフローチャートである。 実施の形態４に係る車載情報処理装置が行う共有領域変更処理の手順を示すフローチャートである。

［本開示の実施の形態の説明］
最初に本開示の実施態様を列記して説明する。以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本態様に係る車載情報処理装置は、車両に搭載され、並列的に処理を行う複数の処理部と、前記複数の処理部がアクセス可能な複数の共有記憶部とを備え、前記複数の処理部は、少なくとも１つの共有記憶部を介して情報の授受を行い、所定のタイミングで、情報の授受に用いる共有記憶部を変更する。

本態様にあっては、車載情報処理装置が並列的に処理を行う複数の処理部と、この複数の処理部がアクセス可能な複数の共有記憶部とを備える。複数の処理部は、複数の共有記憶部のうちの少なくとも１つの共有記憶部を介して情報の授受を行うと共に、情報の授受に用いる共有記憶部を所定のタイミングで変更する。車載情報処理装置は、複数の共有記憶部を適宜に利用して様々な処理、例えば異常が生じた場合の対応又はセキュリティ性能の向上等のための処理を行うことができるため、車両に搭載される装置におけるマルチコア及び共有メモリの構成の採用に寄与することが期待できる。

（２）前記共有記憶部の異常を検出する検出部を備え、前記所定のタイミングは、前記検出部が前記少なくとも１つの共有記憶部の異常を検出したタイミングであり、前記複数の処理部は、前記検出部が前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して情報の授受を行うことが好ましい。

本態様にあっては、情報授受に用いる少なくとも１つの共有記憶部に異常を検出した場合、複数の処理部は、複数の共有記憶部のうちの別の共有記憶部を介して情報の授受を行う。これにより、少なくとも１つの共有記憶部に異常が生じた場合であっても、複数の処理部は、別の共有記憶部を介して情報の授受を継続して行うことが期待できる。

（３）前記所定のタイミングには、装置が起動されたタイミング、外部からの攻撃を検出したタイミング、所定の周期が経過したタイミング、装置の筐体が開かれたタイミング及び装置に接続されたコネクタが外されたタイミングのうちの少なくとも１つを含むことが好ましい。

本態様にあっては、情報の授受に用いる共有記憶部を変更する所定のタイミングには、装置が起動されたタイミング、外部からの攻撃を検出したタイミング、所定の周期が経過したタイミング、装置の筐体が開かれたタイミング及び装置に接続されたコネクタが外されたタイミング等のうちの少なくとも１つを含む。このようなタイミングで共有記憶部を変更することにより、例えば外部から装置内へ悪意の侵入又は攻撃等がなされた場合に、複数の処理部がいずれの共有記憶部を利用しているかを特定されること困難化し、共有記憶部に対する情報の改ざん等が行われることを困難化することが期待できる。

（４）前記複数の処理部は、情報の授受に用いる共有記憶部を、前記複数の共有記憶部からランダムに選択された共有記憶部に変更することが好ましい。

本態様にあっては、情報の授受に用いる共有記憶部を変更する場合に、複数の共有記憶部の中から一又は複数の共有記憶部が変更先としてランダムに選択される。これにより、複数の処理部が利用している共有記憶部が外部から特定されることを困難化することが期待できる。

（５）前記複数の処理部及び前記複数の共有記憶部の間に設けられ、前記処理部が記憶された情報にアクセスする際に用いる仮想アドレスと、前記共有記憶部の物理アドレスとを変換するアドレス変換部を備え、前記アドレス変換部は、前記所定のタイミングで、前記仮想アドレス及び前記物理アドレスの対応を変更して、前記複数の処理部が情報の授受を行う前記共有記憶部を切り替えることが好ましい。

本態様にあっては、複数の処理部及び複数の共有記憶部の間にアドレス変換部が介在し、処理部が用いる仮想アドレスと共有記憶部の物理アドレスとの変換を行う。車載情報処理装置は、所定のタイミングで仮想アドレス及び前記物理アドレスの対応を変更することで、複数の処理部が情報授受に用いる共有記憶部を切り替える。これにより、処理部は共有記憶部の物理アドレスを考慮せずに情報に対するアクセスを行うことができる。

（６）前記仮想アドレス及び前記物理アドレスの対応を記憶したアドレス変換テーブルを記憶する記憶部を備え、前記アドレス変換部は、前記記憶部に記憶された前記アドレス変換テーブルに基づいてアドレス変換を行い、前記所定のタイミングで、前記アドレス変換テーブルに記憶された対応を変更するが好ましい。

本態様にあっては、仮想アドレス及び前記物理アドレスの対応を記憶したアドレス変換テーブルが記憶部に記憶されており、アドレス変換部は記憶部からアドレス変換テーブルを読み出してアドレス変換を行う。車載情報処理装置は、所定のタイミングでアドレス変換テーブルの対応を変更することで、アドレス変換部によるアドレス変換を変更する。これにより、アドレス変換部によるアドレス変換を容易に変更することができる。

（７）前記アドレス変換部は、装置の起動時に前記記憶部に記憶された前記アドレス変換テーブルを取得し、前記所定のタイミングで、前記記憶部に記憶された前記アドレス変換テーブルに記憶された対応を変更して、再起動することが好ましい。

本態様にあっては、車載情報処理装置の起動時にアドレス変換部が記憶部に記憶されたアドレス変換テーブルを取得し、取得したアドレス変換テーブルの内容に従ってアドレス変換を行う。車載情報処理装置は、所定のタイミングでアドレス変換テーブルの対応を変更し、装置の再起動を行う。これにより車載情報処理装置は、装置の再起動を行うことでアドレス変換部によるアドレス変換の変更を容易に反映させることができる。

（８）前記処理部からの情報の書き込み要求に対して、前記複数の共有記憶部はそれぞれ同じ情報を記憶することが好ましい。

本態様にあっては、処理部から情報の書き込み要求に対して複数の共有記憶部がそれぞれ同じ情報を記憶する。これにより、複数の共有記憶部にて情報をバックアップすることができる。異常検出等に応じて複数の処理部が情報授受に用いる共有記憶部を変更した場合であっても、変更後の共有記憶部に同じ情報が記憶されているため、複数の処理部が処理を継続することが容易である。

（９）前記複数の共有記憶部は、前記複数の処理部がアクセス可能な１つのメモリ素子に設けられた複数の記憶領域であることが好ましい。

本態様にあっては、１つのメモリ素子に設けられた複数の記憶領域が、複数の共有記憶部として用いられる。これにより、複数の共有記憶部を低コストで設けることが期待できる。

（１０）前記複数の共有記憶部は、前記複数の処理部がアクセス可能な複数のメモリ素子であることが好ましい。

本態様にあっては、複数のメモリ素子が、複数の共有記憶部として用いられる。これにより、例えば複数の共有記憶部に同じ情報をバックアップとして記憶しておく場合等に、情報の書き込み等を並行して行うことができ、処理の高速化が期待できる。

（１１）本態様に係る車載情報処理装置は、車両に搭載され、並列的に処理を行う複数の処理部と、前記複数の処理部がアクセス可能な複数の共有記憶部と、前記共有記憶部の異常を検出する検出部とを備え、前記複数の処理部は、少なくとも１つの共有記憶部を介して情報の授受を行い、前記検出部が前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して情報の授受を行う。

本態様にあっては、態様（２）と同様に、少なくとも１つの共有記憶部に異常が生じた場合であっても、複数の処理部は、別の共有記憶部を介して情報の授受を継続して行うことが期待できる。

（１２）本態様に係る車載情報処理方法は、並列的に処理を行う複数の処理部、及び、前記複数の処理部がアクセス可能な複数の共有記憶部を備える車載情報処理装置が、少なくとも１つの共有記憶部を介して前記複数の処理部の間の情報の授受を行い、所定のタイミングで、情報の授受に用いる共有記憶部を変更する。

本態様にあっては、態様（１）と同様に、車両に搭載される装置におけるマルチコア及び共有メモリの構成の採用に寄与することが期待できる。

［本開示の実施形態の詳細］
本開示の実施形態に係る車載情報処理装置の具体例を、以下に図面を参照しつつ説明する。本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

＜実施の形態１＞
＜装置構成＞
図１は、本実施の形態に係る車載情報処理装置の構成を示すブロック図である。本実施の形態に係る車載情報処理装置１０は、車両１００に搭載される例えばＥＣＵ（Electronic Control Unit）又はＧＷ（ゲートウェイ）等の種々の装置であり得る。車載情報処理装置１０は、プログラムを実行することによって種々の演算処理を行うＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等の処理部を複数備えている。本実施の形態においては、車載情報処理装置１０が３つの処理部を備えているものとし、これら３つの処理部をコア１～３と呼ぶ。

本実施の形態に係る車載情報処理装置１０は、上記のコア１～３、アドレス変換部１１、不揮発性記憶部１２及びＲＡＭ（Random Access Memory）２０等を備えて構成されている。アドレス変換部１１は、コア１～３と不揮発性記憶部１２及びＲＡＭ２０との間に設けられ、コア１～３から不揮発性記憶部１２及びＲＡＭ２０に対するアクセスを仲介する。コア１～３は、ＲＡＭ２０などのメモリにアクセス（データの書き込み及びデータの読み出し）する場合に、アクセス対象となる記憶領域を示すアドレスを指定する。コア１～３は、それぞれ個別のアドレス空間でデータを扱って処理を行っており、このアドレス空間のアドレス（仮想アドレス）と、ＲＡＭ２０のアドレス（物理アドレス）との変換をアドレス変換部１１が行っている。

不揮発性記憶部１２は、例えばフラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等のデータ書換可能な不揮発性のメモリ素子を用いて構成されている。不揮発性記憶部１２は、例えばコア１～３が実行するプログラム又はコア１～３の処理に用いられるデータ等が予め記憶され得る。本実施の形態において不揮発性記憶部１２は、アドレス変換部１１の処理に用いられるアドレス変換テーブル１３が予め記憶されている。アドレス変換テーブル１３は、例えばコア１～３が使用する仮想アドレスと、ＲＡＭ２０の物理アドレスとの対応が記憶されたテーブルである。

ＲＡＭ２０は、例えばＳＲＡＭ（Static Random Access Memory）又はＤＲＡＭ（Dynamic Random Access Memory）等のデータ書換可能な大容量のメモリ素子を用いて構成されている。なお車載情報処理装置１０は、ＲＡＭ２０に代えて、フラッシュメモリ等の不揮発性のメモリ素子を用いた記憶部を備えてもよい。ＲＡＭ２０は、コア１～３が行う種々の処理の処理過程で生じたデータを一時的に記憶する。本実施の形態においては、ＲＡＭ２０の記憶領域は複数の領域に分割されて用いられる。

図２は、ＲＡＭ２０の記憶領域を説明するための模式図である。本実施の形態に係る車載情報処理装置１０のＲＡＭ２０の記憶領域は、共有メモリ３０、コア１用メモリ２１、コア２用メモリ２２及びコア３用メモリ２３の大きく３つの記憶領域に分けて用いられる。更に共有メモリ３０は、第１共有領域、第２共有領域、第３共有領域、…、第Ｎ共有領域のＮ個の記憶領域に分けて用いられる（Ｎ＝１，２，３，…）。

ＲＡＭ２０のコア１用メモリ２１は、コア１がデータを記憶する専用の記憶領域であり、コア２及びコア３はアクセスすることができない記憶領域である。アドレス変換部１１は、コア１からＲＡＭ２０へのアクセス要求に対しては、仮想アドレスをこのコア１用メモリ２１の物理アドレスに変換する。同様に、ＲＡＭ２０のコア２用メモリ２２は、コア２がデータを記憶する専用の記憶領域であり、コア３及びコア１はアクセスすることができない記憶領域である。アドレス変換部１１は、コア２からＲＡＭ２０へのアクセス要求に対しては、仮想アドレスをこのコア２用メモリ２２の物理アドレスに変換する。ＲＡＭ２０のコア３用メモリ２３は、コア３がデータを記憶する専用の記憶領域であり、コア１及びコア２はアクセスすることができない記憶領域である。アドレス変換部１１は、コア３からＲＡＭ２０へのアクセス要求に対しては、仮想アドレスをこのコア３用メモリ２３の物理アドレスに変換する。

共有メモリ３０は、コア１～３がアクセスすることができる記憶領域である。車載情報処理装置１０のコア１～コア３は、ＲＡＭ２０の共有メモリ３０に対するデータの書き込み及び読み出しを行うことによって、複数のコア１～３間のデータの授受、即ち通信を実現する。また本実施の形態においてコア１～３は、ＲＡＭ２０の共有メモリ３０に記憶するデータには、誤り検出用の情報としてチェックサムなどを付す。コア１～３は、ＲＡＭ２０の共有メモリ３０からデータを読み出した場合、データに付されたチェックサムに基づいて誤り検出を行う。なお共有メモリ３０に記憶するデータに付す誤り検出用の情報は、チェックサムに限らず、例えばパリティ符号又は巡回符号等であってもよい。またデータに対する誤り検出用の情報の付与及び／又はこの情報に基づく誤り検出の処理は、コア１～３が行うのではなく、アドレス変換部１１が行ってもよい。

なお共有メモリ３０は、複数のコア１～３がアクセスすることができるが、少なくとも同じアドレスに対して複数のコア１～３が同時的にアクセスすることはできない。このためにアドレス変換部１１は、複数のコア１～３による共有メモリ３０への同時的なアクセスを禁止する排他処理（排他制御、相互排除、相互排他）を行う。排他処理は、例えばセマフォ又はモニタ等の既存の技術を用いて行われる。

また本実施の形態においてＲＡＭ２０の共有メモリ３０は、第１共有領域から第Ｎ共有領域までのＮ個の領域に分けられている。例えば車載情報処理装置１０が製造されて初めて動作した場合、コア１～３の間のデータの授受はＲＡＭ２０の共有メモリ３０の第１共有領域を用いて行われ、第２共有領域から第Ｎ共有領域までは利用されない。この際にアドレス変換部１１は、コア１～３から共有メモリ３０へのデータの書き込み又は読み出しの要求が与えられた場合、コア１～３が指定する仮想アドレスを、共有メモリ３０の第１共有領域の物理アドレスへ変換する。車載情報処理装置１０は、第１共有領域を用いたデータの授受に異常等が生じるまで、コア１～３の間のデータ授受に第１共有領域を継続的に使用する。

第１共有領域を用いたデータ授受において異常等が検出された場合、本実施の形態に係る車載情報処理装置１０は、コア１～３の間のデータ授受に用いる共有領域を第１共有領域から第２共有領域へ変更する。アドレス変換部１１は、コア１～３から共有メモリ３０へのデータの書き込み又は読み出しの要求が与えられた場合、コア１～３が指定する仮想アドレスを、共有メモリ３０の第２共有領域の物理アドレスへ変換する。車載情報処理装置１０は、第２共有領域を用いたデータの授受に異常等が生じるまで、コア１～３の間のデータ授受に第２共有領域を継続的に使用する。

このように車載情報処理装置１０は、共有メモリ３０の記憶領域を複数に分割した第１共有領域～第Ｎ共有領域の１つをコア１～３の間のデータ授受に使用し、使用している共有領域に異常等が生じるまではこの共有領域を使用し続ける。その後、コア１～３の間のデータ授受に使用している共有領域に異常等が生じた場合には、車載情報処理装置１０は、別の（次の）共有領域を使用する。なお本実施の形態において車載情報処理装置１０は、共有領域に異常等が生じたか否かを、共有領域から読み出したデータに付されたチェックサムに基づくデータの誤りが検出されたか否かにより判断する。

アドレス変換部１１は、予め不揮発性記憶部１２に記憶されたアドレス変換テーブル１３を読み出して、このアドレス変換テーブル１３に設定された変換規則等を自身のレジスタ等の記憶部に記憶し、記憶した変換規則等に従ってコア１～３の仮想アドレスをＲＡＭ２０の物理アドレスに変換する。アドレス変換テーブル１３は、例えば車載情報処理装置１０の設計者等により予め作成され、車載情報処理装置１０の製造段階等において不揮発性記憶部１２に書き込まれる。アドレス変換部１１は、例えば車載情報処理装置１０の起動時に不揮発性記憶部１２からアドレス変換テーブル１３を読み出して自身の記憶部に記憶し、アドレス変換の処理を開始する。

上述のように、本実施の形態に係る車載情報処理装置１０は、ＲＡＭ２０の共有メモリ３０のいずれかの共有領域を用いてコア１～３の間のデータ授受を行い、共有領域に異常等が生じた場合には、別の共有領域への切り替えを行う。このときに車載情報処理装置１０は、アドレス変換部１１による以後のアドレス変換の規則を変更する必要がある。本実施の形態に係る車載情報処理装置１０は、共有領域にて異常等が生じた場合に、不揮発性記憶部１２に記憶されたアドレス変換テーブル１３の変更を行うことによって、アドレス変換部１１によるアドレス変換を変更する。車載情報処理装置１０は、例えばコア１～３の共有メモリ３０へのアクセスに関する仮想アドレスをＲＡＭ２０の共有メモリ３０の第１共有領域の物理アドレスに変換する変換規則が設定されているアドレス変換テーブル１３に対し、第２共有領域の物理アドレスに変換するよう変換規則を変更する。不揮発性記憶部１２のアドレス変換テーブル１３の変更完了後に車載情報処理装置１０は、リセット又はリブート等により装置を再起動する。この再起動によりアドレス変換部１１は、変更されたアドレス変換テーブル１３を不揮発性記憶部１２から読み出してアドレス変換の処理を開始するため、アドレス変換の変換内容の変更が実現される。

なお車載情報処理装置１０によるアドレス変換テーブル１３の変更は、アドレス変換テーブル１３に設定された変換規則を直接的に書き換えてもよいが、例えば複数のアドレス変換テーブル１３を不揮発性記憶部１２に記憶しておくと共に、いずれのアドレス変換テーブル１３をアドレス変換部１１が読み出して使用するかを示すフラグ等の情報を書き換えることでアドレス変換テーブル１３の変更を行ってもよい。

またアドレス変換テーブル１３を変更する処理は、コア１～３のいずれか（例えば共有領域の異常を検出したコア）が行ってもよく、アドレス変換部１１が行ってもよく、これら以外の機能部が行ってもよい。本実施の形態に係る車載情報処理装置１０では、ＲＡＭ２０の共有メモリ３０の共有領域の異常検出を、共有領域から読み出したデータに付されたチェックサムに基づいてコア１～３が行い、異常が検出された場合にコア１～３からアドレス変換部１１へ通知を行い、アドレス変換部１１が不揮発性記憶部１２のアドレス変換テーブル１３の変更する処理を行うものとする。

＜フローチャート＞
図３は、本実施の形態に係る車載情報処理装置１０のアドレス変換部１１が行う処理の手順を示すフローチャートである。なお本フローチャートにおいては、コア１～３がＲＡＭ２０の共有メモリ３０にアクセスする際の処理手順を示し、ＲＡＭ２０のコア１用メモリ２１、コア２用メモリ２２又はコア３用メモリ２３に対するアクセスについては図示を省略している。本実施の形態に係る車載情報処理装置１０のアドレス変換部１１は、装置の起動に伴って例えば自身のレジスタの初期化等の起動処理を行う（ステップＳ１）。起動処理の完了後、アドレス変換部１１は、不揮発性記憶部１２に記憶されたアドレス変換テーブル１３を読み出して（ステップＳ２）、アドレス変換テーブル１３の設定に基づくアドレス変換の処理を開始する。

アドレス変換部１１は、コア１～３からＲＡＭ２０の共有メモリ３０に対するデータの書き込み又は読み出し等のアクセス要求が与えられたか否かを判定する（ステップＳ３）。アクセス要求が与えられていない場合（Ｓ３：ＮＯ）、アドレス変換部１１は、アクセス要求が与えられるまで待機する。アクセス要求が与えられた場合（Ｓ３：ＹＥＳ）、アドレス変換部１１は、ＲＡＭ２０の共有メモリ３０の共有領域について別のコア１～３からのアクセスを制限する排他処理を行う（ステップＳ４）。アドレス変換部１１は、アクセス要求元のコア１～３が指定した仮想アドレスを物理アドレスに変換してアクセス要求の対象となる共有領域にデータの書き込み又は読み出しのアクセスを実施する（ステップＳ５）。その後、アドレス変換部１１は、この共有領域に対するアクセスの制限を解除する排他終了処理を行う（ステップＳ６）。

アドレス変換部１１は、共有領域に対するアクセスを行ったコア１～３から異常ありの通知が与えられたか否かを判定する（ステップＳ７）。異常ありの通知を与えられていない場合（Ｓ７：ＮＯ）、アドレス変換部１１は、ステップＳ３へ処理を戻す。異常ありの通知を与えられた場合（Ｓ７：ＹＥＳ）、アドレス変換部１１は、現在のアクセス対象の共有領域から別の共有領域に切り替えるよう、不揮発性記憶部１２に記憶されたアドレス変換テーブル１３の設定内容を変更する（ステップＳ８）。アドレス変換テーブル１３の変更完了後、アドレス変換部１１は、車載情報処理装置１０をリセットする処理を行って（ステップＳ９）、処理を終了する。なおこのリセット処理により車載情報処理装置１０は再起動され、図示のフローチャートのステップＳ１の処理が開始される。

図４は、本実施の形態に係る車載情報処理装置１０のコア１～３がそれぞれ行う処理の手順を示すフローチャートである。なお本フローチャートにおいては、コア１～３がＲＡＭ２０の共有メモリ３０にアクセスする際の処理手順を示し、ＲＡＭ２０のコア１用メモリ２１、コア２用メモリ２２又はコア３用メモリ２３に対するアクセスについては図示を省略している。

本実施の形態に係る車載情報処理装置１０のコア１～３は、ＲＡＭ２０の共有メモリ３０に対するデータの書き込みを行う必要があるか否かを判定する（ステップＳ２１）。データの書き込みを行う必要がある場合（Ｓ２１：ＹＥＳ）、コア１～３は、書き込むデータにチェックサムを付与する（ステップＳ２２）。コア１～３は、このデータを書き込むアドレスとチェックサムを付与したデータとを含む書き込み要求をアドレス変換部１１へ出力し（ステップＳ２３）、ステップＳ２１へ処理を戻す。

データの書き込みを行う必要がない場合（Ｓ２１：ＮＯ）、コア１～３は、ＲＡＭ２０の共有メモリ３０からデータの読み出しを行う必要があるか否かを判定する（ステップＳ２４）。データの読み出しを行う必要がない場合（Ｓ２４：ＮＯ）、コア１～３は、ステップＳ２１へ処理を戻す。データの読み出しを行う必要がある場合（Ｓ２４：ＹＥＳ）、コア１～３は、データを読み出すアドレスを含む読み出し要求をアドレス変換部１１へ出力する（ステップＳ２５）。コア１～３は、読み出し要求に応じてＲＡＭ２０の共有メモリ３０から読み出されたデータを取得する（ステップＳ２６）。コア１～３は、読み出したデータに付されたチェックサムを確認する処理を行う（ステップＳ２７）。コア１～３は、チェックサムの確認結果に基づいて、ＲＡＭ２０の共有メモリ３０の異常の有無を判定する（ステップＳ２８）。異常がない場合（Ｓ２８：ＮＯ）、コア１～３は、ステップＳ２１へ処理を戻す。異常がある場合（Ｓ２８：ＹＥＳ）、コア１～３は、アドレス変換部１１に異常を通知して（ステップＳ２９）、ステップＳ２１へ処理を戻す。

＜まとめ＞
以上の構成の本実施の形態に係る車載情報処理装置１０は、並列的に処理を行う複数のコア１～３と、このコア１～３がアクセス可能な複数の共有領域を含む共有メモリ３０とを備える。複数のコア１～３は、複数の共有領域のうちの少なくとも１つの共有領域を介して情報の授受を行う。情報授受に用いる少なくとも１つの共有領域に異常を検出した場合、複数のコア１～３は、別の共有領域を介して情報の授受を行う。これにより、少なくとも１つの共有領域に異常が生じた場合であっても、複数のコア１～３は、別の共有領域を介して情報の授受を継続して行うことが期待できる。

また本実施の形態に係る車載情報処理装置１０は、複数のコア１～３及び複数の共有領域を有するＲＡＭ２０の間にアドレス変換部１１が介在し、コア１～３が用いる仮想アドレスとＲＡＭ２０の物理アドレスとの変換をアドレス変換部１１が行う。複数のコア１～３が情報授受に用いる少なくとも１つの共有領域に異常を検出した場合、アドレス変換部１１が仮想アドレス及び物理アドレスの対応を変更することで、複数のコア１～３が情報授受に用いる共有領域を切り替える。これにより、コア１～３は、共有領域の物理アドレスを考慮することなく情報に対するアクセスを行うことができる。

また本実施の形態に係る車載情報処理装置１０は、仮想アドレス及び物理アドレスの対応を記憶したアドレス変換テーブル１３が不揮発性記憶部１２に記憶されており、アドレス変換部１１は不揮発性記憶部１２からアドレス変換テーブル１３を読み出してアドレス変換を行う。車載情報処理装置１０は、複数のコア１～３が情報の授受に用いる少なくとも１つの共有領域に異常を検出した場合、アドレス変換テーブル１３の対応を変更することで、アドレス変換部１１によるアドレス変換を変更する。これにより、アドレス変換部１１によるアドレス変換を容易に変更することができる。

また本実施の形態に係る車載情報処理装置１０は、車載情報処理装置１０の起動時にアドレス変換部１１が不揮発性記憶部１２に記憶されたアドレス変換テーブル１３を取得し、取得したアドレス変換テーブル１３の内容に従ってアドレス変換を行う。車載情報処理装置１０は、複数のコア１～３が情報の授受に用いる少なくとも１つの共有領域に異常を検出した場合には、不揮発性記憶部１２のアドレス変換テーブル１３の内容を変更した後に、車載情報処理装置１０の再起動を行う。これにより、車載情報処理装置１０の再起動を行うことでアドレス変換部１１によるアドレス変換の変更を容易に反映させることができる。

また本実施の形態に係る車載情報処理装置１０は、１つのＲＡＭ２０の共有メモリ３０に設けられた複数の領域が、コア１～３が情報の授受に用いる複数の共有領域として用いられる。これにより、コア１～３が情報の授受に用いる複数の共有領域を低コストで実現することができる。

なお本実施の形態においては、車載情報処理装置１０の再起動によりアドレス変換部１１のアドレス変換テーブル１３を更新するものとしたが、これに限るものではなく、再起動以外の方法でアドレス変換部１１のアドレス変換テーブル１３を更新してもよい。例えば、異常を検出した場合に不揮発性記憶部１２のアドレス変換テーブル１３を変更し、変更完了後にアドレス変換部１１が再起動を伴わずに不揮発性記憶部１２からアドレス変換テーブル１３を取得して以後のアドレス変換の処理に用いてもよい。

また本実施の形態においては、共有領域からデータを読み出した際に、この共有領域についての異常の有無を判定しているが、これに限るものではなく、例えば共有領域に対するデータの書き込みを行う際に異常の有無を判定してもよい。また共有領域の異常を検出した場合にアドレス変換テーブル１３を変更して車載情報処理装置１０を再起動する処理をアドレス変換部１１が行うのではなく、コア１～３のいずれかが行ってもよい。

＜実施の形態２＞
実施の形態２に係る車載情報処理装置１０は、ＲＡＭ２０の共有メモリ３０の複数の共有領域に同じデータを書き込む。実施の形態２に係る車載情報処理装置１０のアドレス変換部１１は、コア１～３から共有メモリ３０に対するデータの書き込み要求を与えられた場合、例えば共有メモリ３０の第１共有領域及び第２共有領域に同じデータを書き込む。その後、コア１～３からこのデータの読み出し要求を与えられた場合、アドレス変換部１１は第１共有領域に書き込んだデータを読み出して要求元のコア１～３へ与える。

読み出したデータに付されたチェックサムに基づいて第１共有領域に異常が生じたと判断した場合、車載情報処理装置１０は、アドレス変換部１１のアドレス変換テーブル１３を変更することによって、データの書き込み及び読み出しを行う共有領域を第１共有領域から第２共有領域へ切り替える。以後、車載情報処理装置１０のアドレス変換部１１は、コア１～３からの書き込み要求に応じて、第２共有領域及び第３共有領域に同じデータを書き込む。またコア１～３からの読み出し要求に応じて、アドレス変換部１１は、第２共有領域に書き込んだデータを読み出してコア１～３へ与える。

即ち、実施の形態２に係る車載情報処理装置１０は、ＲＡＭ２０の複数の共有領域について、第ｉ共有領域及び第ｉ＋１共有領域（ｉ＝１，２，…，Ｎ－１）に同じデータを書き込む。複数の共有領域に対する同じデータの書き込みは、並列的に行われてもよく、逐次的に行われてもよい。車載情報処理装置１０は、データを読み出す場合には、第ｉ共有領域に記憶されたデータを読み出す。ただし車載情報処理装置１０は、第ｉ＋１共有領域のデータを読み出してもよい。また車載情報処理装置１０は、２つの共有領域からデータを読み出して一致することを確認して要求元のコア１～３にデータを与えてもよい。この場合、２つの共有領域から読み出したデータが一致しない場合には、車載情報処理装置１０は、共有領域に異常が生じたと判断してもよい。

また実施の形態２に係る車載情報処理装置１０は、ＲＡＭ２０がＳＲＡＭ又はＤＲＡＭ等の揮発性のメモリ素子を用いて構成されている場合、共有領域の異常を検出して不揮発性記憶部１２のアドレス変換テーブル１３を変更した後、装置の再起動を行うことなく、アドレス変換部１１が不揮発性記憶部１２からアドレス変換テーブル１３を取得して仮想アドレス及び物理アドレスの対応を変更する事が好ましい。または、再起動を行った場合にＲＡＭ２０に記憶されたデータが初期化されない構成であることが好ましい。これにより、第ｉ＋１共有領域に書き込んだデータを用いてコア１～３が処理を継続して行うことが期待できる。なお車載情報処理装置１０は、ＲＡＭ２０が不揮発性のメモリ素子を用いて構成されている場合、装置の再起動を行ってもよく、行わなくてもよい。

図５は、実施の形態２に係る車載情報処理装置１０のアドレス変換部１１が行う処理の手順を示すフローチャートである。なお本フローチャートにおいては、コア１～３がＲＡＭ２０の共有メモリ３０にアクセスする際の処理手順を示し、ＲＡＭ２０のコア１用メモリ２１、コア２用メモリ２２又はコア３用メモリ２３に対するアクセスについては図示を省略している。

実施の形態２に係る車載情報処理装置１０のアドレス変換部１１は、コア１～３からＲＡＭ２０の共有メモリ３０に対するデータの書き込み要求が与えられたか否かを判定する（ステップＳ４１）。書き込み要求が与えられた場合（Ｓ４１：ＹＥＳ）、アドレス変換部１１は、ＲＡＭ２０の共有メモリ３０の共有領域について別のコア１～３からのアクセスを制限する排他処理を行う（ステップＳ４２）。アドレス変換部１１は、書き込み要求元のコア１～３が指定した仮想アドレスを物理アドレスに変換して書き込み要求の対象となる共有領域にデータの書き込みを行う（ステップＳ４３）。更にアドレス変換部１１は、ステップＳ４３にてデータを書き込んだ共有領域の次の共有領域に同じデータの書き込みを行う（ステップＳ４４）。その後、アドレス変換部１１は、この共有領域に対するアクセスの制限を解除する排他終了処理を行って（ステップＳ４５）、ステップＳ４１へ処理を戻す。

コア１～３から書き込み要求が与えられていない場合（Ｓ４１：ＮＯ）、アドレス変換部１１は、コア１～３からＲＡＭ２０の共有メモリ３０に対するデータの読み出し要求が与えられたか否かを判定する（ステップＳ４６）。読み出し要求が与えられていない場合（Ｓ４６：ＮＯ）、アドレス変換部１１は、ステップＳ４１へ処理を戻す。読み出し要求が与えられた場合（Ｓ４６：ＹＥＳ）、アドレス変換部１１は、ＲＡＭ２０の共有メモリ３０の共有領域について別のコア１～３からのアクセスを制限する排他処理を行う（ステップＳ４７）。アドレス変換部１１は、読み出し要求元のコア１～３が指定した仮想アドレスを物理アドレスに変換して読み出し要求の対象となる共有領域からデータの読み出しを行う（ステップＳ４８）。その後、アドレス変換部１１は、この共有領域に対するアクセスの制限を解除する排他終了処理を行う（ステップＳ４９）。

アドレス変換部１１は、共有領域に対するデータの読み出しを行ったコア１～３から異常ありの通知が与えられたか否かを判定する（ステップＳ５０）。異常ありの通知を与えられていない場合（Ｓ５０：ＮＯ）、アドレス変換部１１は、ステップＳ４１へ処理を戻す。異常ありの通知を与えられた場合（Ｓ５０：ＹＥＳ）、アドレス変換部１１は、現在のアクセス対象の共有領域から別の共有領域に切り替えるよう、不揮発性記憶部１２に記憶されたアドレス変換テーブル１３の設定内容を変更する（ステップＳ５１）。その後、アドレス変換部１１は、不揮発性記憶部１２からアドレス変換テーブル１３を取得して（ステップＳ５２）、変更されたアドレス変換テーブル１３の設定を反映したアドレス変換を開始し、ステップＳ４１へ処理を戻す。

以上の構成の実施の形態２に係る車載情報処理装置１０は、コア１～３からのデータの書き込み要求に対して、複数の共有領域にそれぞれ同じデータを書き込む。これにより複数の共有領域にてデータをバックアップすることができる。異常検出に応じて複数のコア１～３が情報授受に用いる共有領域を変更した場合であっても、変更後の共有領域に同じデータが記憶されているため、コア１～３が処理を継続することが容易である。

なお実施の形態２においては、車載情報処理装置１０が複数の共有領域のうちの２つの共有領域に同じデータを書き込んでいるが、これに限るものではなく、３つ以上の共有領域に同じデータを書き込んでもよく、全ての共有領域に同じデータを書き込んでもよい。

また、実施の形態２に係る車載情報処理装置のその他の構成は、実施の形態１に係る車載情報処理装置と同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

＜実施の形態３＞
図６は、実施の形態３に係る車載情報処理装置１０の構成を示すブロック図である。実施の形態３に係る車載情報処理装置１０は、コア１～３がアクセス可能なＲＡＭを複数備えている。図示の例では、車載情報処理装置１０は、第１ＲＡＭ１２１と第２ＲＡＭ１２２との２つのＲＡＭを備えている。第１ＲＡＭ１２１及び第２ＲＡＭ１２２は同じ容量であることが好ましいが、これに限るものではなく、容量が異なっていてもよい。

図７は、実施の形態３に係る車載情報処理装置１０の第１ＲＡＭ１２１及び第２ＲＡＭ１２２の記憶領域を説明するための模式図である。実施の形態３に係る車載情報処理装置１０の第１ＲＡＭ１２１の記憶領域は、共有メモリ３０、コア１用メモリ２１、コア２用メモリ２２及びコア３用メモリ２３の大きく３つの記憶領域に分けて用いられる。同様に、第２ＲＡＭ１２２の記憶領域は、共有メモリ３０、コア１用メモリ２１、コア２用メモリ２２及びコア３用メモリ２３の大きく３つの記憶領域に分けて用いられる。第１ＲＡＭ１２１及び第２ＲＡＭ１２２のコア１用メモリ２１は、コア１がデータを記憶する専用の記憶領域であり、コア２及びコア３はアクセスすることができない記憶領域である。同様に、コア２用メモリ２２は、コア２がデータを記憶する専用の記憶領域であり、コア３及びコア１はアクセスすることができない記憶領域である。コア３用メモリ２３は、コア３がデータを記憶する専用の記憶領域であり、コア１及びコア２はアクセスすることができない記憶領域である。

第１ＲＡＭ１２１及び第２ＲＡＭ１２２の共有メモリ３０は、コア１～３がアクセスすることができる記憶領域である。実施の形態３に係る共有メモリ３０は、図２に示した共有メモリのように複数の共有領域に分割して使用されるのではなく、共有メモリ３０全体を１つの共有領域として使用される。例えば車載情報処理装置１０が製造されて初めて動作した場合、コア１～３によるデータの書き込み及びデータの読み出しと、コア１～３の間のデータの授受は第１ＲＡＭ１２１を用いて行われ、第２ＲＡＭ１２２は利用されない。この際にアドレス変換部１１は、コア１～３からデータの書き込み又は読み出しの要求が与えられた場合、コア１～３が指定する仮想アドレスを、第１ＲＡＭ１２１の物理アドレスへ変換する。車載情報処理装置１０は、第１ＲＡＭ１２１を用いたデータの書き込み又は読み出しに異常等が生じるまで、コア１～３によるデータの書き込み及び読み出しに第１ＲＡＭ１２１を継続的に使用する。

第１ＲＡＭ１２１を用いたデータの書き込み及び読み出しにおいて異常等が検出された場合、実施の形態３に係る車載情報処理装置１０は、コア１～３のデータの書き込み及び読み出しに用いるＲＡＭを第１ＲＡＭ１２１から第２ＲＡＭ１２２へ変更する。アドレス変換部１１は、コア１～３からデータの書き込み又は読み出しの要求が与えられた場合、コア１～３が指定する仮想アドレスを、第２ＲＡＭ１２２の物理アドレスへ変換する。

実施の形態３に係る車載情報処理装置１０は、第１ＲＡＭ１２１の共有メモリ３０を用いてコア１～３の間のデータ授受を行う。第１ＲＡＭ１２１の共有メモリ３０に異常等が生じた場合、車載情報処理装置１０は、第２ＲＡＭ１２２への切り替えを行う。このときに車載情報処理装置１０は、不揮発性記憶部１２に記憶されたアドレス変換テーブル１３の変更を行うことによって、アドレス変換部１１によるアドレス変換の対応を変更する。車載情報処理装置１０は、例えばコア１～３の共有メモリ３０へのアクセスに関する仮想アドレスを第１ＲＡＭ１２１の共有メモリ３０の物理アドレスに変換する変換規則が設定されているアドレス変換テーブル１３に対し、第２ＲＡＭ１２２の共有メモリ３０の物理アドレスに変換するよう変換規則を変更する。

以上の構成の実施の形態３に係る車載情報処理装置１０は、複数のメモリ素子を第１ＲＡＭ１２１及び第２ＲＡＭ１２２として備え、第１ＲＡＭ１２１を介してコア１～３がデータの授受を行い、第１ＲＡＭ１２１に異常が生じた場合には、第１ＲＡＭ１２１から第２ＲＡＭ１２２への切り替えを行い、第２ＲＡＭ１２２を介してコア１～３がデータの授受を行う。これにより、第１ＲＡＭ１２１に異常が生じた場合であっても、複数のコア１～３は、第２ＲＡＭ１２２を介してデータの授受を継続して行うことが期待できる。

なお実施の形態３においては、車載情報処理装置１０が第１ＲＡＭ１２１及び第２ＲＡＭ１２２の２つを備える構成を示したが、これに限るものではなく、車載情報処理装置１０が３つ以上のＲＡＭを備えて異常検出に応じて順番に使用するＲＡＭを切り替えてもよい。また実施の形態３に係る車載情報処理装置１０は、第１ＲＡＭ１２１の共有メモリ３０にて異常を検出した場合のみでなく、コア１用メモリ２１、コア２用メモリ２２又はコア３用メモリ２３にて異常を検出した場合にも第１ＲＡＭ１２１から第２ＲＡＭ１２２への切り替えを行ってよい。この場合には、コア１用メモリ２１、コア２用メモリ２２及びコア３用メモリ２３に気多くされるデータにチェックサム等の誤り検出用の情報が付される。また車載情報処理装置１０の第２ＲＡＭ１２２にコア１用メモリ２１、コア２用メモリ２２及びコア３用メモリ２３が設けられる構成としたが、これに限るものではなく、第２ＲＡＭ１２２には共有メモリのみが設けられる構成であってもよく、この場合に第２ＲＡＭ１２２の容量は第１ＲＡＭ１２１の容量よりも少なくてよい。

また実施の形態３に係る車載情報処理装置１０は、第１ＲＡＭ１２１及び第２ＲＡＭ１２２の共有メモリ３０に、図２に示した第１共有領域～第Ｎ共有領域を設けてもよい。この場合に車載情報処理装置１０は、第１ＲＡＭ１２１の共有メモリ３０の第１共有領域から第Ｎ共有領域までを順に切り替えて使用し、第１ＲＡＭ１２１の共有メモリ３０の第Ｎ共有領域に異常を検出した場合に、第２ＲＡＭ１２２の共有メモリ３０の第１共有領域への切り替えを行う。また実施の形態３に係る車載情報処理装置１０は、実施の形態２に係る車載情報処理装置１０と同様に、第１ＲＡＭ１２１及び第２ＲＡＭ１２２の両方に同じデータを書き込んでもよい。

また、実施の形態３に係る車載情報処理装置のその他の構成は、実施の形態１に係る車載情報処理装置と同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

＜実施の形態４＞
実施の形態１～３に係る車載情報処理装置は、異常検出に対して共有メモリ３０の第１共有領域～第Ｎ共有領域の切り替えを行うことによって、異常による悪影響を排除する構成である。これに対して実施の形態４に係る発明は、外部からの悪意のある浸入又は攻撃等に対して、共有メモリ３０の第１共有領域～第Ｎ共有領域のいずれを利用しているかを特定されることを防止し、共有メモリ３０に対する不正なデータの書き換え等が行われることを防止する構成である。

図８は、実施の形態４に係る車載情報処理装置の構成を示すブロック図である。実施の形態４に係る車載情報処理装置は、コア１～３、アドレス変換部１１、不揮発性記憶部１２、ＲＡＭ２０、通信部４１５、コネクタ検知部４１６及び筐体開検知部４１７等を備えて構成されている。コア１～３、アドレス変換部１１、不揮発性記憶部１２及びＲＡＭ２０については、図１に示した実施の形態１に係る車載情報処理装置が備えるものと同様であるため、説明を省略する。

通信部４１５は、車両１００に備えられた車内ネットワークを介して他の装置との間で通信を行う。通信部４１５は、例えばＣＡＮ（Controller Area Network）又はイーサネット（登録商標）等の通信プロトコルに基づく通信を行う。車載情報処理装置１０は車内ネットワークを構成する通信線に接続され、通信部４１５は、コア１～３から与えられた送信用のデータを電気信号に変換して通信線へ出力することによりデータを送信する。通信部４１５は、通信線の電位をサンプリングして取得することにより、通信線上の電気信号をデジタルのデータに変換し、変換したデータを受信データとしてコア１～３へ与える。

コネクタ検知部４１６は、車載情報処理装置が備える一又は複数のコネクタに対する、通信線又は電源線等に設けられたコネクタの接続状態を検知する。コネクタ検知部４１６は、例えば自身のコネクタを介して流れる電流量及びその変化等を検知することによって、自身のコネクタに対する通信線等のコネクタが接続されているか否かを検知する。コネクタ検知部４１６は、自身のコネクタに通信線等のコネクタが接続された場合、及び、接続されているコネクタが外された場合に、その旨をコア１～３等へ通知する。

筐体開検知部４１７は、車載情報処理装置１０の筐体が開かれたことを検知する。車載情報処理装置１０は、例えば合成樹脂又は金属等の筐体に、コア１～３等の回路素子が搭載された回路基板が収容された構成である。筐体は、例えば直方体形状であり、その一面が着脱可能な蓋とされている。筐体開検知部４１７は、例えば蓋の着脱に応じてオン／オフが切り替えられるスイッチに接続され、このスイッチのオン／オフの状態を検知することによって、筐体が開かれたか否かを検知し、検知結果をコア１～３等へ通知する。

車載情報処理装置は、複数のコア１～３がＲＡＭ２０の共有メモリ３０に含まれる第１共有領域～第Ｎ共有領域のいずれか１つ（複数であってもよい）を利用してデータの書き込み及び読み出しを行い、コア１～３の間でのデータの授受を行う。実施の形態４に係る車載情報処理装置は、所定のタイミングでコア１～３が利用する共有メモリ３０の第１共有領域～第Ｎ共有領域を変更する処理を行うことで、コア１～３がいずれの共有領域を利用しているかを外部から特定されることを困難化する。

実施の形態４において車載情報処理装置が共有領域の変更処理を行う所定タイミングには、例えば以下の（１）～（５）が採用され得る。ただし共有領域の変更処理を行う所定タイミングには、以下の（１）～（５）とは異なるタイミングが採用されてもよい。
（１）車載情報処理装置が起動される都度、共有領域を変更する。
（２）外部から車載情報処理装置への何らかの攻撃を検出した場合に、共有領域を変更する。
（３）所定の周期で共有領域の変更を繰り返して行う。
（４）車載情報処理装置の筐体が開かれた場合に共有領域を変更する。
（５）車載情報処理装置に接続されたコネクタが外された場合に共有領域を変更する。

（１）装置起動時
実施の形態４に係る車載情報処理装置は、例えば車両１００のイグニッションスイッチがオフ状態からオン状態へ切り替えられた場合に、バッテリ等からの電力が供給されて起動する。車載情報処理装置は、例えばコア１～３内のレジスタ及びＲＡＭ２０の初期化等の処理を含む起動処理を行った後、ＲＡＭ２０の共有メモリ３０の共有領域を変更する処理を開始する。

車載情報処理装置は、例えば第１共有領域～第Ｎ共有領域のＮ個の共有領域から１個の共有領域をランダムに選択する。なお、共有領域の選択方法はランダム以外の方法であってもよい。共有領域の選択は、例えば車載情報処理装置１０のコア１～３のいずれか１つが行ってもよく、アドレス変換部１１が行ってもよく、これら以外の制御回路等が行ってもよい。車載情報処理装置は、Ｎ個の共有領域からランダムに選択した１つの共有領域をコア１～３が共有する記憶領域となるよう、不揮発性記憶部１２のアドレス変換テーブル１３を変更する。車載情報処理装置のアドレス変換部１１は、不揮発性記憶部１２から変更されたアドレス変換テーブル１３を取得し、取得したアドレス変換テーブル１３に従ってコア１～３のＲＡＭ２０に対するアクセス制御を行う。

（２）攻撃検出時
車載情報処理装置１０は、通信部４１５にて車両１００に搭載された他の装置と車内ネットワークを介した通信を行っている。実施の形態４に係る車載情報処理装置１０の通信部４１５は、車内ネットワークを介した車載情報処理装置１０への外部からの攻撃を検知する機能を有している。通信部４１５は、例えば未登録の識別情報（ＣＡＮ－ＩＤなど）が付されたデータを受信した場合、一定時間に車内ネットワークへ送信されるデータ量が閾値を超えた場合、又は、所定の周期で送信されるべきデータをこの周期とは異なるタイミングで受信した場合等に、車載情報処理装置１０への攻撃がなされたことを検出することができる。攻撃を検出した通信部４１５は、その旨をコア１～３等へ通知する。通信部４１５により攻撃が検知された場合、車載情報処理装置１０は、Ｎ個の共有領域からランダムに１つを選択し、選択した共有領域への変更を行う。

（３）所定周期
実施の形態４に係る車載情報処理装置１０は、予め定められた周期で、コア１～３が利用する共有領域の変更を行う。共有領域の変更を行う所定周期は、例えば数分～数十分、数時間～数日等の適宜の期間が定められ得る。車載情報処理装置１０は、共有領域の変更を行った後、自身のタイマ機能等による計時を開始し、タイマによる経過時間が所定周期として定められた時間に達した場合に、Ｎ個の共有領域からランダムに１つを選択し、選択した共有領域への変更を行う。

（４）筐体開
実施の形態４に係る車載情報処理装置１０は、上述のように筐体開検知部４１７を備えている。筐体開検知部４１７が車載情報処理装置１０の筐体が開かれた（筐体の蓋が外された）ことを検知した場合、車載情報処理装置１０は、Ｎ個の共有領域からランダムに１つを選択し、選択した共有領域への変更を行う。

（５）コネクタ外し
実施の形態４に係る車載情報処理装置１０は、上述のようにコネクタ検知部４１６を備えている。車載情報処理装置１０のコネクタから通信線のコネクタが外されたことをコネクタ検知部４１６が検知した場合、車載情報処理装置１０は、Ｎ個の共有領域からランダムに１つを選択し、選択した共有領域への変更を行う。

図９は、実施の形態４に係る車載情報処理装置１０が行う処理の手順を示すフローチャートである。なお本図に示す処理は、車載情報処理装置１０のコア１～３のいずれか１つ又はアドレス変換部１１により行われる。ただし本処理を行う別の機能部又は回路等が車載情報処理装置１０に備えられていてもよい。以下の説明では、コア１が処理を行うものとして記載する。

実施の形態４に係る車載情報処理装置のコア１は、車載情報処理装置１０の起動に伴って例えば自身のレジスタの初期化等の起動処理を行う（ステップＳ６１）。起動処理の終了後、コア１は、ＲＡＭ２０の共有メモリ３０が有する複数の共有領域のうち、コア１～３がデータの授受に用いる共有領域を変更する処理を行う（ステップＳ６２）。共有領域変更処理の終了後、コア１は、自身が有するタイマによる計時をスタートする（ステップＳ６３）。このタイマは、共有領域変更処理を実行する周期を判断するためのものである。

コア１は、タイマにより計時される経過時間が予め設定された時間を超えたか否かに基づいて、前回の共有領域変更処理の実施から所定周期が経過したか否かを判定する（ステップＳ６４）。所定周期を経過した場合（Ｓ６４：ＹＥＳ）、コア１は、共有領域変更処理を行い（ステップＳ６８）、タイマをリセットして（ステップＳ６９）、ステップＳ６４へ処理を戻す。

所定周期を経過していない場合（Ｓ６４：ＮＯ）、コア１は、通信部４１５からの通知の有無に基づいて、外部からの攻撃の有無を判定する（ステップＳ６５）。外部からの攻撃を受けた場合（Ｓ６５：ＹＥＳ）、コア１は、共有領域変更処理を行い（ステップＳ６８）、タイマをリセットして（ステップＳ６９）、ステップＳ６４へ処理を戻す。

外部からの攻撃を受けていない場合（Ｓ６５：ＮＯ）、コア１は、筐体開検知部４１７からの通知の有無に基づいて、車載情報処理装置１０の筐体が開かれたか否かを判定する（ステップＳ６６）。筐体が開かれた場合（Ｓ６６：ＹＥＳ）、コア１は、共有領域変更処理を行い（ステップＳ６８）、タイマをリセットして（ステップＳ６９）、ステップＳ６４へ処理を戻す。

筐体が開かれていない場合（Ｓ６６：ＮＯ）、コア１は、コネクタ検知部４１６からの通知に基づいて、車載情報処理装置１０のコネクタに接続された通信線のコネクタが外されたか否かを判定する（ステップＳ６７）。コネクタが外された場合（Ｓ６７：ＹＥＳ）、コア１は、共有領域変更処理を行い（ステップＳ６８）、タイマをリセットして（ステップＳ６９）、ステップＳ６４へ処理を戻す。コネクタが外されていない場合（Ｓ６７：ＮＯ）、コア１は、ステップＳ６４へ処理を戻す。

図１０は、実施の形態４に係る車載情報処理装置１０が行う共有領域変更処理の手順を示すフローチャートである。本図に示す共有領域変更処理は、図９に示したフローチャートのステップＳ６２及びＳ６８にて行われる処理である。

実施の形態４に係る車載情報処理装置のコア１は、他のコア２，３に対して共有領域変更処理の開始を通知する（ステップＳ８１）。この通知を受けた他のコア２，３は、例えば自身の処理を一時的に停止し、共有領域変更処理の終了まで待機することができる。

コア１は、ＲＡＭ２０の共有メモリ３０が有する複数の共有領域（第１共有領域～第Ｎ共有領域）から、コア１～３が利用する一又は複数の共有領域をランダムに選択する（ステップＳ８２）。コア１は、選択した共有領域がコア１～３により利用されるよう、不揮発性記憶部１２のアドレス変換テーブル１３を変更する（ステップＳ８３）。

コア１は、アドレス変換部１１に対して不揮発性記憶部１２からのアドレス変換テーブル１３の読み出しを指示する（ステップＳ８４）。この指示に応じてアドレス変換部１１は変更されたアドレス変換テーブル１３を読み出し、以後のアドレス変換を読み出したアドレス変換テーブル１３に従って行う。

コア１は、他のコア２，３に対して共有領域変更処理の終了を通知し（ステップＳ８５）、共有領域変更処理を終了する。この通知に応じて他のコア２，３は、共有領域変更処理の終了まで一時停止していた処理を再開することができる。

以上の構成の実施の形態４に係る車載情報処理装置１０は、複数のコア１～３が情報の授受等に用いるＲＡＭ２０の共有メモリ３０の共有領域を、所定のタイミングで変更する。これにより車載情報処理装置１０はセキュリティ性能の向上等が期待できるため、車両に搭載される装置におけるマルチコア及び共有メモリの構成の採用に寄与することが期待できる。

実施の形態４に係る車載情報処理装置１０において共有領域を変更する所定のタイミングには、車載情報処理装置１０が起動されたタイミング、外部からの攻撃を通信部４１５が検出したタイミング、所定の周期が経過したタイミング、車載情報処理装置１０の筐体が開かれたことを筐体開検知部４１７が検知したタイミング及び車載情報処理装置１０のコネクタに接続された通信線のコネクタが外されたタイミング等のうちの少なくとも１つを含む。このようなタイミングで共有領域を変更することにより、車載情報処理装置１０は、例えば外部から装置内へ悪意の侵入又は攻撃等がなされた場合に、複数のコア１～３がいずれの共有領域を利用しているかを特定されること困難化し、共有領域に対する情報の改ざん等が行われることを困難化することが期待できる。

実施の形態４に係る車載情報処理装置１０は、ＲＡＭ２０の共有メモリ３０が有する複数の共有領域（第１共有領域～第Ｎ共有領域）の中から、コア１～３が利用する一又は複数の共有領域をランダムに選択する。これにより車載情報処理装置１０は、複数のコア１～３が利用している共有領域が外部から特定されることを困難化することが期待できる。

なお実施の形態４においては、車載情報処理装置１０が共有領域の変更を行うタイミングとして、装置の起動タイミング、外部からの攻撃を検出したタイミング、所定周期が経過したタイミング、筐体が開かれたタイミング及びコネクタが外されたタイミングの５つを挙げたが、これらは一例である。車載情報処理装置１０は、上記の５つのタイミング以外の様々なタイミングで共有領域の変更処理を行ってよい。

実施の形態４に係る車載情報処理装置１０は、１つのＲＡＭ２０に複数の共有領域が設けられる構成であるが、これに限るものではない。車載情報処理装置１０は、実施の形態３に係る車載情報処理装置１０と同様に、複数のＲＡＭを備える構成であってよく、コア１～３が共有するＲＡＭを変更する構成であってよい。

また、実施の形態４に係る車載情報処理装置のその他の構成は、実施の形態１～３に係る車載情報処理装置と同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

車載情報処理装置は、マイクロプロセッサ、ＲＯＭ及びＲＡＭ等を含んで構成されるコンピュータを備える。マイクロプロセッサ等の演算処理部は、図３～図５に示すような、シーケンス図又はフローチャートの各ステップの一部又は全部を含むコンピュータプログラムを、ＲＯＭ、ＲＡＭ等の記憶部からそれぞれ読み出して実行してよい。これら複数の装置のコンピュータプログラムは、それぞれ、外部のサーバ装置等からインストールすることができる。また、これらのコンピュータプログラムは、それぞれ、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等の記録媒体に格納された状態で流通する。

今回開示された実施形態はすべての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

（付記）
（付記１）
車両に搭載され、
並列的に処理を行う複数の処理部と、
前記複数の処理部がアクセス可能な複数の共有記憶部と、
前記共有記憶部の異常を検出する検出部と
を備え、
前記複数の処理部は、
少なくとも１つの共有記憶部を介して情報の授受を行い、
前記検出部が前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して情報の授受を行う、
車載情報処理装置。
（付記２）
前記複数の処理部及び前記複数の共有記憶部の間に設けられ、前記処理部が記憶された情報にアクセスする際に用いる仮想アドレスと、前記共有記憶部の物理アドレスとを変換するアドレス変換部を備え、
前記アドレス変換部は、前記検出部が異常を検出した場合に、前記仮想アドレス及び前記物理アドレスの対応を変更して、前記複数の処理部が情報の授受を行う前記共有記憶部を切り替える、
付記１に記載の車載情報処理装置。
（付記３）
前記仮想アドレス及び前記物理アドレスの対応を記憶したアドレス変換テーブルを記憶する記憶部を備え、
前記アドレス変換部は、前記記憶部に記憶された前記アドレス変換テーブルに基づいてアドレス変換を行い、
前記検出部が異常を検出した場合に、前記アドレス変換テーブルに記憶された対応を変更する、
付記２に記載の車載情報処理装置。
（付記４）
前記アドレス変換部は、装置の起動時に前記記憶部に記憶された前記アドレス変換テーブルを取得し、
前記検出部が異常を検出した場合に、前記記憶部に記憶された前記アドレス変換テーブルに記憶された対応を変更して、再起動する、
付記３に記載の車載情報処理装置。
（付記５）
前記処理部からの情報の書き込み要求に対して、前記複数の共有記憶部はそれぞれ同じ情報を記憶する、
付記１から付記４までのいずれか１つに記載の車載情報処理装置。
（付記６）
前記複数の共有記憶部は、前記複数の処理部がアクセス可能な１つのメモリ素子に設けられた複数の記憶領域である、
付記１から付記５までのいずれか１つに記載の車載情報処理装置。
（付記７）
前記複数の共有記憶部は、前記複数の処理部がアクセス可能な複数のメモリ素子である、
付記１から付記５までのいずれか１つに記載の車載情報処理装置。
（付記８）
並列的に処理を行う複数の処理部、及び、前記複数の処理部がアクセス可能な複数の共有記憶部を備える車載情報処理装置が、
少なくとも１つの共有記憶部を介して前記複数の処理部の間の情報の授受を行い、
前記共有記憶部の異常を検出し、
前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して前記複数の処理部の間の情報の授受を行う、
車載情報処理方法。

１～３ コア（処理部、検出部）
１０ 車載情報処理装置
１１ アドレス変換部
１２ 不揮発性記憶部（記憶部）
１３ アドレス変換テーブル
２０ ＲＡＭ
２１ コア１用メモリ
２２ コア２用メモリ
２３ コア３用メモリ
３０ 共有メモリ（共有記憶部）
１００ 車両
１２１ 第１ＲＡＭ
１２２ 第２ＲＡＭ
４１５ 通信部
４１６ コネクタ検知部
４１７ 筐体開検知部

Claims (12)

1. 車両に搭載され、
   並列的に処理を行う複数の処理部と、
   前記複数の処理部がアクセス可能な複数の共有記憶部と
   を備え、
   前記複数の処理部は、
   少なくとも１つの共有記憶部を介して情報の授受を行い、
   所定のタイミングで、情報の授受に用いる共有記憶部を変更する、
   車載情報処理装置。
2. 前記共有記憶部の異常を検出する検出部を備え、
   前記所定のタイミングは、前記検出部が前記少なくとも１つの共有記憶部の異常を検出したタイミングであり、
   前記複数の処理部は、前記検出部が前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して情報の授受を行う、
   請求項１に記載の車載情報処理装置。
3. 前記所定のタイミングには、装置が起動されたタイミング、外部からの攻撃を検出したタイミング、所定の周期が経過したタイミング、装置の筐体が開かれたタイミング及び装置に接続されたコネクタが外されたタイミングのうちの少なくとも１つを含む、
   請求項１又は請求項２に記載の車載情報処理装置。
4. 前記複数の処理部は、情報の授受に用いる共有記憶部を、前記複数の共有記憶部からランダムに選択された共有記憶部に変更する、
   請求項３に記載の車載情報処理装置。
5. 前記複数の処理部及び前記複数の共有記憶部の間に設けられ、前記処理部が記憶された情報にアクセスする際に用いる仮想アドレスと、前記共有記憶部の物理アドレスとを変換するアドレス変換部を備え、
   前記アドレス変換部は、前記所定のタイミングで、前記仮想アドレス及び前記物理アドレスの対応を変更して、前記複数の処理部が情報の授受を行う前記共有記憶部を切り替える、
   請求項１から請求項４までのいずれか１つに記載の車載情報処理装置。
6. 前記仮想アドレス及び前記物理アドレスの対応を記憶したアドレス変換テーブルを記憶する記憶部を備え、
   前記アドレス変換部は、前記記憶部に記憶された前記アドレス変換テーブルに基づいてアドレス変換を行い、
   前記所定のタイミングで、前記アドレス変換テーブルに記憶された対応を変更する、
   請求項５に記載の車載情報処理装置。
7. 前記アドレス変換部は、装置の起動時に前記記憶部に記憶された前記アドレス変換テーブルを取得し、
   前記所定のタイミングで、前記記憶部に記憶された前記アドレス変換テーブルに記憶された対応を変更して、再起動する、
   請求項６に記載の車載情報処理装置。
8. 前記処理部からの情報の書き込み要求に対して、前記複数の共有記憶部はそれぞれ同じ情報を記憶する、
   請求項１から請求項７までのいずれか１つに記載の車載情報処理装置。
9. 前記複数の共有記憶部は、前記複数の処理部がアクセス可能な１つのメモリ素子に設けられた複数の記憶領域である、
   請求項１から請求項８までのいずれか１つに記載の車載情報処理装置。
10. 前記複数の共有記憶部は、前記複数の処理部がアクセス可能な複数のメモリ素子である、
    請求項１から請求項８までのいずれか１つに記載の車載情報処理装置。
11. 車両に搭載され、
    並列的に処理を行う複数の処理部と、
    前記複数の処理部がアクセス可能な複数の共有記憶部と、
    前記共有記憶部の異常を検出する検出部と
    を備え、
    前記複数の処理部は、
    少なくとも１つの共有記憶部を介して情報の授受を行い、
    前記検出部が前記少なくとも１つの共有記憶部の異常を検出した場合に、別の共有記憶部を介して情報の授受を行う、
    車載情報処理装置。
12. 並列的に処理を行う複数の処理部、及び、前記複数の処理部がアクセス可能な複数の共有記憶部を備える車載情報処理装置が、
    少なくとも１つの共有記憶部を介して前記複数の処理部の間の情報の授受を行い、
    所定のタイミングで、情報の授受に用いる共有記憶部を変更する、
    車載情報処理方法。
    

Images