JP2023009818A - 車両用電子制御装置及び車両用電子制御装置による制御方法 - Google Patents

Abstract

【課題】車両用電子制御装置における動作の信頼性を向上させる。【解決手段】車両用電子制御装置が、車両を制御する第１処理の周期タスク及び第１処理よりも優先度が高い処理であって第１処理の周期タスクによる演算値を用いる第２処理の周期タスクを実行するプロセッサと、メモリとを備える。メモリは、第１処理による書き込みが可能な第１領域及び第２領域と第１領域の予備領域及び第２領域の予備領域とを含む。そして、プロセッサは、第１処理の周期タスクにおいて、演算値をメモリの前記第１領域に書き込んだ後、周期タスクが終了するまでの間に、第２領域に当該演算値を二重化して書き込むとともに第１領域の予備領域及び第２領域の予備領域にも当該演算値を書き込む。さらに、プロセッサは、第２処理の周期タスクにおいて、第１領域の値及び第２領域の値と第１領域の予備領域の値及び第２領域の予備領域の値とに基づいて演算値の整合性をチェックする。【選択図】図７

Description

本発明は、車両用電子制御装置及び車両用電子制御装置による制御方法に関する。

車両の電子制御における機能安全規格であるＩＳＯ２６２６２では、機能安全を実現するための指標としてＡＳＩＬ（Automotive Safety Integrity Level）が定められている。このようなＡＳＩＬに基づいた高い安全レベルが設定された処理を実行する車両制御装置の一例として、ＡＳＩＬ処理が用いるメモリ領域と、通常の制御処理を実行するＱＭ（Quality Management）処理が用いるメモリ領域とを区分する技術が提案されている。

特開２０１７－１９９２９４号公報

ここで、車両制御装置においてＡＳＩＬ処理の周期タスクとＱＭ処理の周期タスクとの両方が実行される構成において、ＱＭ処理の周期タスクによる演算値をＡＳＩＬ処理の周期タスクで用いる場合がある。この場合、ＱＭ処理において演算値をメモリに二重化して書き込み、ＡＳＩＬ処理において、メモリに書き込まれた演算値の整合性を当該二重化された値に基づいてチェックすることがある。しかし、ＱＭ処理はＡＳＩＬ処理よりも一般的に優先度が低く、車両制御装置の処理負荷が大きくなったときに、割り込み処理等によってＱＭ処理の周期タスクに遅れが生じることがある。この場合、ＱＭ処理の演算自体は正常に実行されているにも関わらず、ＱＭ処理が演算値を二重化して書き込む前にＡＳＩＬ処理によるチェックが行われるため、エラーが誤検出される可能性がある。なお、このような問題は、ＱＭ処理及びＡＳＩＬ処理のみならず、車両制御装置において異なる優先度の処理が連携して実行される場合全般において生じ得る。

そこで、本発明の１つの態様では、車両制御装置において優先度が低い処理が遅延することによって発生するエラーの誤検出を抑制し、車両制御装置の動作の信頼性を向上させることを目的とする。

本発明の１つの態様では、車両を制御する第１処理の周期タスク及び前記第１処理よりも優先度が高い処理であって前記第１処理の周期タスクによる演算値を用いる第２処理の周期タスクを実行するプロセッサと、電気的にデータを書き換え可能なメモリとを備えた車両用電子制御装置が、次のように構成される。まず、前記メモリが、前記第１処理による書き込みが可能な第１領域及び第２領域と前記第１領域の予備領域及び前記第２領域の予備領域とを含む。そして、前記プロセッサが、前記第１処理の周期タスクを実行するときに、当該周期タスクの前記演算値を前記メモリの前記第１領域に書き込んだ後、当該周期タスクが終了するまでの間に、前記第２領域に当該演算値を二重化して書き込むとともに前記第１領域の予備領域及び前記第２領域の予備領域に当該演算値を書き込む。さらに、前記プロセッサは、前記第２処理の周期タスクを実行するときに、前記第１領域の値及び前記第２領域の値と前記第１領域の予備領域の値及び前記第２領域の予備領域の値とに基づいて前記演算値の整合性をチェックする。

本発明によれば、車両制御装置において優先度が低い処理が遅延することによって発生するエラーの誤検出が抑制され、車両制御装置の動作の信頼性を向上させることが可能となる。

本発明の一実施形態における電子制御装置の一例を示すブロック図である。 本発明の一実施形態における電子制御装置のＣＰＵ及びメモリ等の一例を示すブロック図である。 従来技術における電子制御装置の処理の具体例を示す説明図である。 従来技術における電子制御装置の処理の具体例を示す説明図である。 本発明の一実施形態における電子制御装置におけるＱＭ処理の一例を示すフローチャートである。 本発明の一実施形態における電子制御装置におけるＡＳＩＬ処理の一例を示すフローチャートである。 本発明の一実施形態における電子制御装置の処理の具体例を示す説明図である。

以下、添付された図面を参照し、本発明を実施するための実施形態の具体例について詳述する。なお、図面の一部においては、構成要素の符号のみを付し、名称の記載を省略している。

［本実施形態の電子制御装置の構成］
図１は、自動車などの車両に搭載される電子制御装置１の一例を示す。
電子制御装置１は、車両の走行駆動源であるエンジン２を電子制御するように構成され、マイクロコンピュータ１０を備える。マイクロコンピュータ１０は、ＣＰＵ１１、ＲＡＭ１２、ＲＯＭ１３を備える。また、電子制御装置１は、入出力インタフェース１４、通信インタフェース１５及びこれらを相互通信可能に接続する内部バス１６を備える。

ＣＰＵ１１は、プログラムに記述された命令セット（データの転送、演算、加工、制御、管理など）を実行するハードウェアであって、演算装置、命令や情報を格納するレジスタ、周辺回路等を含んで構成されている。ＣＰＵ１１は、ＲＯＭ１３に格納されたプログラムをＲＡＭ１２にロードして実行する。

ＲＡＭ１２は、電源供給遮断によってデータが消失する揮発性メモリであり、ＣＰＵ１１が動作中に使用する一時的な記憶領域を提供する。
ＲＯＭ１３は、電気的にデータを書き換え可能な不揮発性メモリであり、例えば、フラッシュＲＯＭやＥＥＰＲＯＭを含む。ＲＯＭ１３には、電子制御装置１を起動する際に動作する起動プログラムや車載機器を制御する制御プログラム、及び当該プログラムの処理において用いるパラメータ等のデータが格納される。

入出力インタフェース１４は、Ａ／Ｄコンバータ、Ｄ／Ａコンバータ、Ｄ／Ｄコンバータ等からなり、外部機器に対するアナログ信号及びデジタル信号の入出力機能を提供する。マイクロコンピュータ１０は、入出力インタフェース１４を介して、制御対象であるエンジン２と接続され、各種センサからの信号を受信する一方、エンジン２に対する制御信号を送信する。
通信インタフェース１５は、例えばＣＡＮ（Controller Area Network）トランシーバ等で構成され、車載ネットワーク等に接続する機能を提供する。
内部バス１６は、各デバイス間でデータを交換するための経路であって、アドレスを転送するためのアドレスバス、データを転送するためのデータバス、アドレスバスやデータバスで実際に入出力を行うタイミングや制御情報を伝送するコントロールバスを含んでいる。

エンジン２は、内燃機関を含んだ動力装置であり、車両の走行駆動源である。電子制御装置１は、アクセルやブレーキの操作等に基づく要求トルクや各種センサによる入力信号に基づき、エンジン２が備える吸気カム、排気カム、インジェクタ、点火プラグ、点火コイル、スロットル等を電子制御することによって、車輪への出力トルクを制御する。エンジン２の回転数が上昇してエンジン制御に用いる入力信号が増加すると、電子制御装置１のマイクロコンピュータ１０における処理負荷は増加する。

次に、マイクロコンピュータ１０が備えるＣＰＵ１１及びＲＡＭ１２について、図２を参照してさらに詳細に説明する。
ＣＰＵ１１は、当該ＣＰＵ１１によりプログラムが実行されることによって実現される、ＱＭ処理部１１１及びＡＳＩＬ処理部１１２を備える。

ＩＳＯ２６２６２においては、機能安全要求に基づき、危険事象の低い処理から高い処理へと順に、ＱＭ及びＡＳＩＬ（ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｄ）に分類されている。ＱＭ処理は通常の動作保証が適用される制御処理であり、ＡＳＩＬ処理は、ＱＭ処理に比べてより高い安全性が要求される制御処理である。すなわち、ＡＳＩＬ処理のほうがＱＭ処理よりも重要な処理であり、優先度が高い。本実施形態の車両制御装置１では、エンジン２の制御処理のうち、ＱＭ処理部１１１が通常の制御処理をＱＭ処理として実行する一方で、ＡＳＩＬ処理部１１２が優先度の高い制御処理をＡＳＩＬ処理として実行する。なお、ＱＭ処理が第１処理の一例であり、ＡＳＩＬ処理が第２処理の一例である。

さらに、ＣＰＵ１１は、メモリ保護機能を実現するＭＰＵ（Memory Protection Unit）１１３を備える。メモリ保護機能は、意図しないプログラムの処理によるメモリの不正使用を検出及び抑止する機能であり、メモリやレジスタの領域を区分した上で、それぞれの領域についてアクセス制御を行う。例えば、メモリ保護機能によれば、プログラムの処理によってアクセスを許可する領域を区分し、処理間の干渉を防ぐことが可能である。本実施形態では、ＭＰＵ１１３の機能によって、ＲＡＭ１２の領域を、ＱＭ処理部１１１によって実行されるＱＭ処理が用いる領域と、ＡＳＩＬ処理部１１２によって実行されるＡＳＩＬ処理が用いる領域とに区分する。

ＲＡＭ１２は、ＱＭ処理部１１１によって実行されるＱＭ処理が用いる領域であるＱＭラベル１２１、ＱＭ二重化ラベル１２２、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４を備える。また、ＲＡＭ１２は、ＡＳＩＬ処理部１１２によって実行されるＡＳＩＬ処理が用いる領域であるＡＳＩＬラベル１２５を備える。

ＱＭ処理部１１１で実行されるＱＭ処理は、ＱＭラベル１２１、ＱＭ二重化ラベル１２２、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４への書き込みが可能である。しかし、前述したＭＰＵ１１３によるメモリ保護機能により、ＱＭ処理によるＡＳＩＬラベル１２５への書き込みは許可されておらず不可能である。このため、ＡＳＩＬ処理部１１２によって実行されるＡＳＩＬ処理においてＱＭ処理による演算値を用いる場合には、ＱＭラベル１２１に書き込まれた値をＡＳＩＬ処理によって読み出し、当該値をＡＳＩＬラベル１２５に書き込んで使用する。なお、ＱＭラベル１２１、ＱＭ二重化ラベル１２２、ＱＭバッファ１２３、ＱＭ二重化バッファ１２４及びＡＳＩＬラベル１２５が、それぞれ、第１領域、第２領域、第１領域の予備領域、第２領域の予備領域及び第３領域の一例である。

［本実施形態と従来技術との相違点］
ここで、本発明に関する説明をより明確にするため、従来の電子制御装置と、前述した本発明の実施形態の一例である電子制御装置１との構成の相違点を説明しつつ、従来技術の課題（問題点）について説明する。従来技術の電子制御装置においては、前述した本実施形態の電子制御装置１と同様に、ＲＡＭにおいて、ＱＭラベル１２１及びＱＭ二重化ラベル１２２に相当する領域を備えている。しかし、従来技術の電子制御装置のＲＡＭでは、前述した電子制御装置１と異なり、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４に相当する領域が含まれていなかった。

図３は、このような従来技術の電子制御装置における処理の具体例を示す図である。当該具体例では、ＱＭ処理部が、ＱＭ処理の１０ｍｓ（ミリ秒）の周期タスクをバックグラウンドで実行している。

当該ＱＭ処理の周期タスクにおいて、ＱＭ処理部が、ＱＭラベルへの演算値の書き込みを行う（Ｓ９０１）。その結果、「0xFF」だったＱＭラベルの値が、「0x01」に書き換えられる。その後、ＱＭ処理部が、ＱＭラベルに書き込まれた値である「0x01」を読み出す（Ｓ９０２）。そして、ＱＭ処理部は、読み出したＱＭラベルの値である「0x01」と同じ値をＱＭ二重化ラベルに書き込む（Ｓ９０３）。その結果、「0xFF」だったＱＭ二重化ラベルの値も、「0x01」に書き換えられる。

そして、ＡＳＩＬ処理部が、当該ＱＭラベルに書き込まれた演算値を用いてＡＳＩＬ処理を行う。このとき、ＡＳＩＬ処理部は、ＱＭ処理によってメモリに書き込まれた演算値の整合性をチェックすることにより、ＱＭ処理が正常に実行されたかを確認する。具体的には、ＡＳＩＬ処理部は、ＱＭラベルに書き込まれた値とＱＭ二重化ラベルに書き込まれた値との両方を読み出す（Ｓ９０４）。そして、ＡＳＩＬ処理部は、ＱＭラベルの値とＱＭ二重化ラベルの値とが一致していることをチェックする。図３の例の場合、このタイミングにおいてＱＭラベルの値とＱＭ二重化ラベルの値とが共に「0x01」である。このため、ＡＳＩＬ処理部は、当該「0x01」の値をＡＳＩＬラベルに書き込み（Ｓ９０５）、処理を継続する。この場合においては、ＱＭラベルに書き込まれた演算値の整合性のチェックにおいて、エラーは検出されない。

一方で、図４は、このような従来技術の電子制御装置における処理において、ＱＭ処理の１０ｍｓの周期タスクをバックグラウンドで実行しているときに、エンジン２の制御処理における負荷が増加し、ＱＭ処理に遅延が出る場合の具体例について示す図である。

図３の場合と同様に、ＱＭ処理の周期タスクにおいて、ＱＭ処理部が、ＱＭラベルへの演算値の書き込みを行う（Ｓ９１１）。その結果、「0xFF」だったＱＭラベルの値が、「0x01」に書き換えられる。その後、通常であれば、ＱＭ処理部が、ＱＭラベルに書き込まれた値を読み出してＱＭ二重化ラベルに書き込む処理を行う。しかし、エンジン回転処理信号による割り込み処理が発生することにより、優先度の低いＱＭ処理において遅延が生じ、１０ｍｓでＱＭ処理の周期タスクが終了しない状況が発生している。一方で、優先度の高いＡＳＩＬ処理には割り込み処理による遅延が生じにくい。

このような場合、ＡＳＩＬ処理部は、ＱＭ処理によってＱＭ二重化ラベルにＱＭラベルの値が書き込まれるよりも前に、ＱＭラベルの値とＱＭ二重化ラベルの値との両方を読み出し（Ｓ９１２）、両者の値が一致していることをチェックすることとなる。このとき、ＱＭラベルの値が「0x01」である一方で、ＱＭ二重化ラベルの値は「0xFF」であり、両者の値は一致しない。このため、ＡＳＩＬ処理部では、ＡＳＩＬラベルに対し、制御処理を安全に実行することが可能な代替値を書き込む（Ｓ９１３）。また、このときＲＡＭの値にエラーが生じていることがＭＰＵによって検出される。

その後、ＱＭ処理部は、ＱＭラベルの値を読み出し（Ｓ９１４）、読み出したＱＭラベルの値である「0x01」と同じ値をＱＭ二重化ラベルに書き込む（Ｓ９１５）。その結果、「0xFF」だったＱＭ二重化ラベルの値も「0x01」に書き換えられる。このように、ＱＭ処理の演算自体は正常に行われており、ＱＭラベルの値とＱＭ二重化ラベルの値とはこのタイミングで一致する。しかし、前述したように、ＱＭ処理の周期タスクが遅延したことにより、すでにＭＰＵによるエラー検出がなされてしまっている。このように、従来技術においては、ＱＭ処理が遅延するときに、本来検出される必要のないエラーが誤検出されてしまうという問題点がある。

［本実施形態の電子制御装置における処理］
本発明の実施形態の一例である電子制御装置１は、図２に示したようにＱＭバッファ１２３及びＱＭ二重化バッファ１２４を備えることにより、このような問題点を解消することが可能である。以下、本発明の実施形態である電子制御装置１における処理について、図１及び図２とともに、図５～図７を参照しつつ説明する。

図５は、ＱＭ処理部１１１によって実行されるＱＭ処理の周期タスクのうち、ＲＡＭ１２へのアクセスに関連する処理を示す。
ステップ１００１（図ではＳ１００１と表記する）で、ＱＭ処理部１１１は、ＱＭ処理の周期タスクによる演算値をＱＭラベル１２１に書き込む。
ステップ１００２で、ＱＭ処理部１１１は、ＱＭ処理の当該周期タスクが終了するまでの間の所定のタイミングで、ＱＭラベル１２１に書き込んだ値を読み出す。

ステップ１００２で、ＱＭ処理部１１１は、ＱＭラベル１２１に書き込んだ値と同じ値を、ＱＭ二重化ラベル１２２に書き込む。
ステップ１００３で、ＱＭ処理部１１１は、ＱＭラベル１２１に書き込んだ値と同じ値を、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４に書き込む。なお、ステップ１００２の処理及びステップ１００３の処理との間には、可能な限り時間差が生じないことが望ましい。

図６は、ＡＳＩＬ処理部１１２によって実行されるＡＳＩＬ処理の周期タスクにおける、ＲＡＭ１２へのアクセスに関連する処理を示す。
ステップ１０１１で、ＡＳＩＬ処理部１１２は、ＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値とを読み出す。
ステップ１０１２で、ＡＳＩＬ処理部１１２は、ＱＭ処理の周期タスクによりＲＡＭ１２に書き込まれた演算値の整合性をチェックする。具体的には、ＡＳＩＬ処理部１１２は、ＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値とが一致しているか否かをチェックする。両者が一致している場合にはステップ１０１３に進み、両者が一致していない場合にはステップ１０１５に進む。
ステップ１０１３で、ＡＳＩＬ処理部１１２は、ＱＭラベル１２１の値をＡＳＩＬラベル１２５に書き込む。

ステップ１０１４で、ＡＳＩＬ処理部１１２は、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値とを読み出す。
ステップ１０１５で、ＡＳＩＬ処理部１１２は、さらに、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値とを用いて、ＱＭ処理の周期タスクによって書き込まれた演算値の整合性をチェックする。より具体的には、ＡＳＩＬ処理部１１２は、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値とが一致しているか否かをチェックする。両者が一致している場合にはステップ１０１６に進み、両者が一致していない場合にはステップ１０１７に進む。

ステップ１０１６で、ＡＳＩＬ処理部１１２は、ＱＭバッファ１２３の値をＡＳＩＬラベル１２５に書き込む。この場合、ＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値とは一致していないが、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値とが一致しているため、ＭＰＵ１１３によるエラーの検出は行われない。
ステップ１０１７で、ＡＳＩＬ処理部１１２は、ＡＳＩＬラベル１２５に対し、制御処理を安全に実行することが可能な代替値を書き込む。このとき、ＭＰＵ１１３により、ＲＡＭ１２の値にエラーが生じていることが検出される。しかし、前述のように、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値に基づいて整合性のチェックが行われているため、少なくとも、ＱＭ処理の周期タスクの遅延に起因して不要なエラーが誤検出されることは抑制される。

図７は、本実施形態に係る電子制御装置１の処理において、図４で示した従来技術と同様にＱＭ処理の１０ｍｓの周期タスクをバックグラウンドで実行しているときに、エンジン２の制御処理における負荷が増加し、ＱＭ処理に遅延が出る場合の具体例について示す図である。なお、図７で示すステップの符号は、図４で示したＱＭ処理部１１１による処理及び図５で示したＡＳＩＬ処理部１１２による処理において対応するステップの符号と一致している。

ＱＭ処理の周期タスクにおいて、ＱＭ処理部１１１が、ＱＭラベル１２１への演算値の書き込みを行う（Ｓ１００１）。その結果、「0xFF」だったＱＭラベル１２１の値が、「0x01」に書き換えられる。その後、通常であれば、ＱＭ処理部１１１が、ＱＭラベル１２１に書き込まれた値を読み出してＱＭ二重化ラベル１２２に書き込む処理を行う。しかし、エンジン回転処理信号による割り込み処理が発生していることにより、優先度の低いＱＭ処理において遅延が生じ、ＱＭ処理の周期タスクが１０ｍｓで終了しない状況が発生している。一方で、優先度の高いＡＳＩＬ処理には割り込み処理による遅延が生じにくい。

このため、ＡＳＩＬ処理部１１２は、ＱＭ処理のステップ１００２によってＱＭ二重化ラベル１２２にＱＭラベル１２１の値が書き込まれるよりも前に、ＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値との両方を読み出すこととなる（Ｓ１０１１）。そして、ＡＳＩＬ処理部１１２は、ＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値とが一致していることをチェックする。このとき、ＱＭラベル１２１の値が「0x01」である一方で、ＱＭ二重化ラベル１２２の値は「0xFF」であり、両者の値は一致しない。

したがって、ＡＳＩＬ処理部１１２では、さらに、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値との両方を読み出す（Ｓ１０１４）。このとき、ＱＭバッファ１２３の値とＱＭ二重化バッファ１２４の値は共に「0xFF」であり、両者は一致している。このため、ＡＳＩＬ処理部１１２は、当該「0xFF」の値をＡＳＩＬラベル１２５に書き込み（Ｓ１０１６）、処理を継続する。

その後、ＱＭ処理部１１１は、ＱＭラベル１２１の値を読み出し（Ｓ１００２）、読み出したＱＭラベル１２１の値と同じ値をＱＭ二重化ラベル１２２に書き込む（Ｓ１００３）。すなわち、ＱＭ処理部１１１は、「0xFF」だったＱＭ二重化ラベル１２２の値を「0x01」に書き換える。このとき、ＱＭ処理部１１１は、ＱＭバッファ１２３とＱＭ二重化バッファ１２４に対してもＱＭラベル１２１の値を書き込む。すなわち、ＱＭ処理部１１１は、「0xFF」だったＱＭバッファ１２３及びＱＭ二重化バッファ１２４の値を「0x01」に書き換える。

この結果、次のＱＭ処理の周期タスクにおいて遅延が発生し、ＱＭ処理部１１１がＱＭラベル１２１の値を書き換えた後であってＱＭ二重化ラベル１２２にＱＭラベル１２１の値を書き込む前にＡＳＩＬ処理によるチェックが行われるとき、次のような状態となる。すなわち、当該チェックが行われるタイミングで、ＱＭラベル１２１には次のＱＭ処理の周期タスクにより新たな値が書き込まれているが、ＱＭ二重化ラベル１２２の値は「0x01」のままである。このため、ＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値とは一致していない。しかし、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４においては、次のＱＭ処理の周期タスクによりＱＭ二重化ラベル１２２とともにＱＭラベル１２１の値が新たに書き込まれるまで、前述した周期タスクにおいて書き込まれた「0x01」がそのまま維持される。このため、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４の値は一致していることとなり、不要なエラーが検出されるのを抑制することが可能となる。

［本実施形態による効果等］
このように、本実施形態によれば、電子制御装置１のＲＡＭ１２において、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４を備える。そして、ＱＭ処理部１１１がＱＭ処理の周期タスクにおいてＱＭラベル１２１の演算値をＱＭ二重化ラベル１２２に二重化して書き込むときに、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４に対しても同じ値を書き込む。そして、ＡＳＩＬ処理部１２２がＡＳＩＬ処理の周期タスクにおいてＱＭラベル１２１の値とＱＭ二重化ラベル１２２の値をチェックするときに、両者が一致していなければ、ＱＭバッファ１２３及びＱＭ二重化バッファ１２４を用いてチェックする。このため、ＱＭ二重化ラベル１２２へのＱＭラベル１２１の値の二重化処理が完了していない状態でＡＳＩＬ処理によるチェックが行われたときでも、エラーが検出されることを抑制することができる。したがって、例えば、ＱＭ処理に遅延が発生しているが、ＱＭ処理の演算自体は正常に行われているような場合に、不要なエラーが誤検出されることを抑制することが可能となる。その結果、電子制御装置１における動作の信頼性がより向上する。

なお、本実施形態の電子制御装置１では一例としてＩＳＯ２６２６２に基づいたＡＳＩＬ処理とＱＭ処理とを実行しているが、本発明は、電子制御装置において優先度が異なる複数の周期タスクを実行する構成であれば、他の構成にも適用可能である。より具体的には、本発明は、優先度の高い処理の周期タスクが、優先度の低い処理の周期タスクによってメモリに書き込まれた演算値の整合性をチェックするような構成を有する電子制御装置であれば、ＡＳＩＬ処理及びＱＭ処理を実行する電子制御装置に限らず適用することが可能である。

さらに、本実施形態の電子制御装置１では、ＭＰＵ１１３のメモリ保護機能によってＲＡＭ１２を区分してアクセス制御を行い、エラーを検出する構成としているが、本発明の実施において当該構成は必須ではない。すなわち、優先度の異なる処理がそれぞれ異なるメモリの領域を用い、複数の領域の値が一致していないときにエラー処理を行うプログラム（関数）を実行することが可能な構成であれば、本発明を実施することは可能である。

また、本実施形態の電子制御装置１は一例としてエンジン２を制御対象としているが、本発明を適用することが可能な電子制御装置の制御対象はこれに限定されるものではない。例えば、車両の走行駆動源としては、ハイブリッド自動車や電気自動車等の電動駆動部（モータ）等を制御対象としてもよい。さらに、電子制御装置１の制御対象は車両の走行駆動源に限定されるものでもなく、周期タスクが発生するような他の車載装置の制御処理を行う電子制御装置においても、本発明を適用することは可能である。

以上説明した本発明の実施形態は、本発明の技術的範囲で考え得る実施態様の一部に過ぎず、本発明の例示として開示されるものであって、本発明の技術的範囲を制限するものではない。また、各実施形態における機能的構成及び物理的構成は、前述の態様に限定されるものではなく、例えば、各機能や物理的資源を統合して実装したり、逆に、さらに分散して実装したり、さらには、構成の一部について他の構成の追加、削除、置換等をすることも可能である。

１…電子制御装置、１０…マイクロコンピュータ、１１…ＣＰＵ、１２…ＲＡＭ、１３…ＲＯＭ、１１１…ＱＭ処理部、１１２…ＡＳＩＬ処理部、１１３…ＭＰＵ、１２１…ＱＭラベル、１２２…ＱＭ二重化ラベル、１２３…ＱＭバッファ、１２４…ＱＭ二重化バッファ、１２５…ＡＳＩＬラベル

Claims (5)

1. 車両を制御する第１処理の周期タスク及び前記第１処理よりも優先度が高い処理であって前記第１処理の周期タスクによる演算値を用いる第２処理の周期タスクを実行するプロセッサと、電気的にデータを書き換え可能なメモリとを備えた車両用電子制御装置であって、
   前記メモリが、前記第１処理による書き込みが可能な第１領域及び第２領域と前記第１領域の予備領域及び前記第２領域の予備領域とを含み、
   前記プロセッサが、前記第１処理の周期タスクを実行するときに、当該周期タスクの前記演算値を前記メモリの前記第１領域に書き込んだ後、当該周期タスクが終了するまでの間に、前記第２領域に前記演算値を二重化して書き込むとともに前記第１領域の予備領域及び前記第２領域の予備領域に当該演算値を書き込み、前記第２処理の周期タスクを実行するときに、前記第１領域の値及び前記第２領域の値と前記第１領域の予備領域の値及び前記第２領域の予備領域の値とに基づいて前記演算値の整合性をチェックするように構成された、
   車両用電子制御装置。
2. 前記プロセッサは、前記第２処理の周期タスクを実行するときに、前記第１領域の値及び前記第２領域の値が一致しているか否かを判定し、前記第１領域の値及び前記第２領域の値が一致していない場合に、さらに前記第１領域の予備領域の値及び前記第２領域の予備領域の値が一致しているか否かを判定し、当該第１領域の予備領域の値及び当該第２領域の予備領域の値が一致しているときには、前記演算値の正常性のチェックにおいてエラーを検出しないように構成された、請求項１記載の車両用電子制御装置。
3. 前記メモリは、前記第１処理による書き込みが不可能であって前記第２処理による書き込みが可能な第３領域を含み、
   前記プロセッサは、前記第２処理の周期タスクを実行するときに、前記第１領域の値を前記第３領域に書き込んで使用する、請求項１又は２に記載の車両用電子制御装置。
4. 前記第１処理はＱＭ処理であり、前記第２処理はＡＳＩＬ処理である、請求項１～３のいずれか１項に記載の車両用電子制御装置。
5. 車両を制御する第１処理の周期タスク及び前記第１処理よりも優先度が高い処理であって前記第１処理の周期タスクによる演算値を用いる第２処理の周期タスクを実行するプロセッサと、電気的にデータを書き換え可能であって、前記第１処理による書き込みが可能な第１領域及び第２領域と前記第１領域の予備領域及び前記第２領域の予備領域とを含んだメモリとを備えた車両用電子制御装置の前記プロセッサが、
   前記第１処理の周期タスクを実行するときに、当該周期タスクの前記演算値を前記メモリの前記第１領域に書き込んだ後、当該周期タスクが終了するまでの間に、前記第２領域に当該演算値を二重化して書き込むとともに前記第１領域の予備領域及び前記第２領域の予備領域に当該演算値を書き込み、
   前記第２処理の周期タスクを実行するときに、前記第１領域の値及び前記第２領域の値と前記第１領域の予備領域の値及び前記第２領域の予備領域の値とに基づいて前記演算値の整合性をチェックする、
   車両用電子制御装置による制御方法。

Images