JP2023024931A - システム・オン・チップの分離された安全領域への障害の伝達 - Google Patents

Abstract

【課題】システム・オン・チップの領域を分離するシステム及び方法を提供すること。【解決手段】様々な実例では、集積回路には第１の部分及び第２の部分が含まれている。第１の部分には、第１の部分が少なくとも１つのエラー信号を第２の部分に送信したときに開始するタイマが含まれている。タイマは、少なくとも１つの障害に対応するデータが第１の部分からクリアされたときにリセットされ得る。第１の部分は、タイマが少なくとも所定の時間が経過したことを示すときに、タイムアウト・エラー信号を送信する。第２の部分は、少なくとも１つのエラー信号と、タイムアウト・エラー信号が送られた場合にタイムアウト・エラー信号とを受信する。第２の部分は、タイムアウト・エラー信号を受信した後に外部システムに通知することができる。【選択図】図１

Description

本出願は、２０２１年７月３０日に出願された「ＣＯＭＭＵＮＩＣＡＴＩＮＧ ＦＡＵＬＴＳ ＴＯ ＡＮ ＩＳＯＬＡＴＥＤ ＳＡＦＥＴＹ ＲＥＧＩＯＮ ＯＦ Ａ ＳＹＳＴＥＭ ＯＮ Ａ ＣＨＩＰ」なる名称のインド仮出願第２０２１１１０３４４９３号（代理人整理番号第２１－ＢＧ－１５２２ＩＮ０１）の利益を主張し、この仮出願の内容はすべて、参照により本書に組み込まれる。

少なくとも１つの実施例は、回路の１つの領域で発生した障害を回路の別の領域に伝達することに関連する。例えば、少なくとも１つの実施例は、本明細書で説明する様々な新規の手法を実装するシステム・オン・チップに関連する。別の例として、少なくとも１つの実施例は、そのようなシステム・オン・チップを含む自律車両に関連する。

自動車安全水準（ＡＳＩＬ：Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ）は、国際標準化機構（ＩＳＯ：Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａｔｉｏｎ）２６２６２機能安全規格によって定義された道路車両の機能安全のためのリスク分類システムである。このリスク分類システムには、ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、及びＡＳＩＬ－Ｄとして識別される４つのリスク分類レベルがあり、ＡＳＩＬ－Ｄが最も高いリスク分類レベルである。したがって、ＡＳＩＬ－Ｄとして指定されたコンポーネントは、より低いリスク分類レベル（ＡＳＩＬ－Ｂなど）が指定されたコンポーネントよりも安全要件が高く、また、より高価になる場合がある。多くの車載プラットフォームでは、自律又は半自律車両の様々な運転機能を制御する車載システム・オン・チップ（ＳｏＣ：Ｓｙｓｔｅｍ ｏｎ ａ Ｃｈｉｐ）に特定の障害が検出されると、少なくとも一部の安全サービスが外部制御ユニットによって実行される。一般的に、外部制御ユニットは、車載ＳｏＣ（例えば、ＡＳＩＬ－Ｂ）よりも高いリスク・レベル（例えば、ＡＳＩＬ－Ｄ）で動作し得る。

米国特許出願第１６／１０１，２３２号

「Ｔａｘｏｎｏｍｙ ａｎｄ Ｄｅｆｉｎｉｔｉｏｎｓ ｆｏｒ Ｔｅｒｍｓ Ｒｅｌａｔｅｄ ｔｏ Ｄｒｉｖｉｎｇ Ａｕｔｏｍａｔｉｏｎ Ｓｙｓｔｅｍｓ ｆｏｒ Ｏｎ－Ｒｏａｄ Ｍｏｔｏｒ Ｖｅｈｉｃｌｅｓ」（規格番号Ｊ３０１６－２０１８０６、２０１８年６月１５日発行、規格番号Ｊ３０１６－２０１６０９、２０１６年９月３０日発行、並びにこの規格の以前及び将来のバージョン）

残念ながら、このような外部制御ユニットはレイテンシを発生させ、また、ＤＲＡＭ、不揮発性メモリなど、車載ＳｏＣにも存在し、且つ各々が車載プラットフォーム内（例えば、回路基板上）のスペースを占有する別個のコンポーネントを必要とするため、高価になる可能性がある。

システム・オン・チップの領域を分離する本システム及び方法について、添付の図面を参照して以下に詳細に説明する。

本開示のいくつかの実施例による車載プラットフォームの例の図である。 本開示のいくつかの実施例による、車載ＳｏＣに統合された安全アイランドを車載ＳｏＣの他のコンポーネントに接続するインターフェースの例の図である。 本開示のいくつかの実施例による、安全アイランドをコクーン・モードと非分離モードとの間で遷移させる方法を示すフロー図である。 本開示のいくつかの実施例による、車載ＳｏＣの他のコンポーネントから安全アイランドに障害を伝達する障害インターフェースの例の図である。 本開示のいくつかの実施例による、安全アイランドに障害を伝達する方法を示すフロー図である。 本開示のいくつかの実施例による、ＳｏＣ障害アグリゲータから受信した割り込みを処理するためにプロセッサが使用し得る方法を示すフロー図である。 本開示のいくつかの実施例による、訂正されたエラー信号及び訂正されていないエラー信号を処理するためにＳＩ１１０が使用し得る方法を示すフロー図である。 本開示のいくつかの実施例による、ＳｏＣ障害アグリゲータ信号を処理するためにＳＩ１１０が使用し得る方法を示すフロー図である。 本開示のいくつかの実施例による、シビアリティの低い訂正されていないエラー（例えば、最小値）がアサートされた後に、安全アイランドのプロセッサによって送受信される信号の信号タイミング図の例を示す。 本開示のいくつかの実施例による、シビアリティの高い訂正されていないエラー（例えば、最大値）がアサートされた後に、安全アイランドのプロセッサによって送受信される信号の信号タイミング図の例を示す。 本開示のいくつかの実施例による、訂正されていないエラー（例えば、最大値）がアサートされた後であるが、安全アイランドはメールボックス割り込みを受信していない、安全アイランドのプロセッサによって送受信される信号の信号タイミング図の例を示す。 本開示のいくつかの実施例による、安全アイランドと車載ＳｏＣの他のコンポーネントとによって共有される揮発性メモリに定義されたカーブアウト部（ｃａｒｖｅ－ｏｕｔ）にデータを書き込む方法を示すフロー図である。 本開示のいくつかの実施例による、図７の方法を実行する安全アイランドのエラー検出ブロックの一例を示す。 本開示のいくつかの実施例による、カーブアウト部からデータを読み取るための方法を示すフロー図である。 本開示のいくつかの実施例による、図９の方法を実行する安全アイランドのエラー検出ブロックの一例を示す。 いくつかの実施例による、エラー検出ブロックにエグレス・タイマ及びイングレス・タイマが含まれている、又はエラー検出ブロックがこれらに接続されている場合に、エラー検出ブロックによって生成されるエラー通知を示すブロック図の図である。 本開示のいくつかの実施例による自律車両の例の図である。 本開示のいくつかの実施例による、図１２の自律車両の例のカメラ位置及び視野の一例である。 本開示のいくつかの実施例による、図１２の自律車両の例のシステム・アーキテクチャの例のブロック図である。 本開示のいくつかの実施例による、クラウドベースのサーバと図１２の自律車両の例との間の通信のためのシステム図である。 本開示のいくつかの実施例を実装する際の使用に適しているコンピューティング・デバイスの例のブロック図である。

より高いリスク・レベル（例えば、ＡＳＩＬ－Ｄ）で動作している回路の領域を、より低いリスク・レベル（例えば、ＡＳＩＬ－Ｂ）で動作している回路の他の領域から分離することに関連するシステム及び方法が開示される。例えば、機能安全専用の領域又は「アイランド」は、車載ＳｏＣなどのシステム・オン・チップ（「ＳｏＣ」）上の他のコンポーネントから（例えば、通信上）分離することができる。図１は、少なくとも１つの実施例による車載プラットフォーム１００の例の図である。車載プラットフォーム１００は、自律車両１２００（図１２を参照）の例などの自律又は半自律車両を実装することができる。車載プラットフォーム１００は、自動車技術者協会（ＳＡＥ：Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ）によって定義されているレベル０（運転自動化なし）よりも高い運転自律性のレベルを実装することができる車載処理システム１０２を含む。例えば、車載処理システム１０２は、ＳＡＥによって定義されているレベル２（部分運転自動化）からレベル５（完全運転自動化）まで実装することができる。レベル２システムは、高度運転者支援システム（ＡＤＡＳ：Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）と呼ばれることがある。

車載処理システム１０２は、少なくとも１つの車載ＳｏＣ１０４を含む。車載ＳｏＣ１０４は、少なくともいくつかの機能を実行するが、１つ又は複数の安全機能を任意選択の外部制御ユニット１０６（例えば、外部ＡＳＩＬ－Ｄマイクロコントローラ・ユニットを含む）にオフロードすることができる。任意選択の外部制御ユニット１０６は、車載ＳｏＣ１０４よりも高いリスク分類レベル（例えば、ＡＳＩＬ－Ｄ）で動作し、これに準拠し得る。任意選択の外部制御ユニット１０６を含む実施例では、車載ＳｏＣ１０４で障害が発生すると、その障害は任意選択の外部制御ユニット１０６に伝達される。このユニット１０６は、車載プラットフォーム１００を安全な状態に戻すために１つ又は複数の措置を行うことができる。このため、安全機能の少なくとも一部が任意選択の外部制御ユニット１０６によって実行され得る。しかしながら、任意選択の外部制御ユニット１０６は、レイテンシを発生させる場合があり、また、各々が車載プラットフォーム１００内（例えば、回路基板上）のスペースを占有する、ＤＲＡＭ、不揮発性メモリなどの別個のコンポーネントが必要になり得るため、高価になる可能性がある。

任意選択の外部制御ユニット１０６によって発生するレイテンシと費用の少なくとも一部を回避するために、図１の車載プラットフォーム１００は、車載ＳｏＣ１０４に統合された機能安全アイランド又は安全アイランド（ＳＩ：Ｓａｆｅｔｙ Ｉｓｌａｎｄ）１１０を含む。ＳＩ１１０は、車載ＳｏＣ１０４の残りの部分と比較してより高いリスク分類レベル（例えば、ＡＳＩＬ－Ｄ）で動作し、これに準拠するコンピュート・クラスタとして実装され得る。ＳＩ１１０は、任意選択の外部制御ユニット１０６によって通常実行される機能の少なくとも一部を実行することができる。ＳＩ１１０の存在は、任意選択の外部制御ユニット１０６を完全に省略したり、性能の低い及び／又はコストの低い外部制御ユニットを使用して実装したりすることを可能にする。例えば、任意選択の外部制御ユニット１０６が存在する場合、コントローラ・エリア・ネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋバス）バス上での通信の提供、車載ＳｏＣ１０４のリセット・コントローラの提供、及び／又はオンボード電圧モニタリングの実行など、１つ又は複数のレガシー機能を実行することができる。

車載ＳｏＣ１０４及び任意選択の外部制御ユニット１０６（存在する場合）に加えて、車載処理システム１０２は、車載ＳｏＣ１０４用の第１の（ＳｏＣ）クロック１１２、ＳＩ１１０用の第２の（ＳＩ）クロック１１４、及び電力管理集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）１１６を含み得る。車載処理システム１０２のコンポーネントの各々は、少なくとも部分的にハードウェアに実装されている。車載処理システム１０２の論理コンポーネント（例えば、車載ＳｏＣ１０４及び任意選択の外部制御ユニット１０６）の各々は、通常、１つ又は複数の集積回路チップ内のハードウェア論理回路に実装されている。論理は、ハードワイヤード若しくはプログラム可能であるか、又はハードワイヤードとプログラム可能な要素の組み合わせであり得る。加えて又は或いは、車載処理システム１０２のある機能は、組み込みマイクロプロセッサ又はマイクロコントローラによって実行されるソフトウェア又はファームウェアに実装されてもよい。

第１のクロック１１２及び第２のクロック１１４は、２つの別個のクロック信号を車載ＳｏＣ１０４に提供する。具体的には、第１の（ＳｏＣ）クロック１１２によって生成された第１のクロック信号が、ＳＩ１１０以外の車載ＳｏＣ１０４のコンポーネント１６０に提供され、第２の（ＳＩ）クロック１１４によって生成された第２のクロック信号がＳＩ１１０に提供される。したがって、ＳＩ１１０及び他のコンポーネント１６０は、別個のクロック・ドメイン内で動作していると特徴付けることができる。ＳＩ１１０のクロック・ドメインはＳＩクロック・ドメインと呼ばれ、他のコンポーネント１６０のクロック・ドメインはＳｏＣクロック・ドメインと呼ばれる。第１のクロック１１２及び第２のクロック１１４の各々は、少なくとも部分的に水晶発振器として実装され得る。第１の（ＳｏＣ）クロック１１２は、ワイヤ、信号トレースなどの第１のクロック接続（図示せず）を介して、車載ＳｏＣ１０４の他のコンポーネント１６０の少なくとも一部の各々に接続され得る。したがって、第１の（ＳｏＣ）クロック１１２は、第１のクロック接続（図示せず）を介して、車載ＳｏＣ１０４の他のコンポーネント１６０に第１のクロック信号を提供することができる。第２の（ＳＩ）クロック１１４は、ワイヤ、信号トレースなどの第２のクロック接続（図示せず）を介して、ＳＩ１１０のコンポーネントの少なくとも一部の各々に接続され得る。したがって、第２の（ＳＩ）クロック１１４は、第２のクロック接続（図示せず）を介して、ＳＩ１１０に第２のクロック信号を提供することができる。

電力管理ＩＣ１１６は、車載処理システム１０２の他のコンポーネントに電力を供給する。例えば、電力レール又は接続１１８Ａ～１１８Ｃが、それぞれ、電力管理ＩＣ１１６を車載ＳｏＣ１０４の他のコンポーネント１６０、ＳＩ１１０、及び任意選択の外部制御ユニット１０６に接続する。電力接続部１１８Ａ～１１８Ｃは、それぞれ、車載ＳｏＣ１０４の他のコンポーネント１６０、ＳＩ１１０、及び任意選択の外部制御ユニット１０６（存在する場合）を互いに電気的に分離するのに役立つ。したがって、ＳＩ１１０は、他のコンポーネント１６０及び任意選択の外部制御ユニット１０６（存在する場合）とは別個の電圧ドメイン内で動作することができる。ＳＩ１１０の電圧ドメインはＳＩ電圧ドメインと呼ばれ、他のコンポーネント１６０の電圧ドメインはＳｏＣ電圧ドメインと呼ばれる。電力管理ＩＣ１１６は、車載処理システム１０２のコンポーネントに十分な電力を供給する１つ又は複数の集積回路として実装され得る。電力接続部１１８Ａ～１１８Ｃの各々は、送電線、ワイヤ、電力トレースなどの導電性要素として実装され得る。

前述のように、ＳＩ１１０はＳＩクロック・ドメインとＳＩ電圧ドメインとで動作する。ＳＩクロック・ドメインとＳＩ電圧ドメインとは合わせてＳＩドメインと呼ぶ。同様に、他のコンポーネント１６０はＳｏＣクロック・ドメインとＳｏＣ電圧ドメインとで動作する。ＳｏＣクロック・ドメインとＳｏＣ電圧ドメインとは合わせてＳｏＣドメインと呼ぶ。

車載ＳｏＣ１０４の他のコンポーネント１６０には、メイン中央処理ユニット（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）コンプレックス１２０、補助安全ユニット１２２、車載ＳｏＣ機能を実行するための回路１２４、揮発性データ・ストレージ又はメモリ１２６（例えば、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ：Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））、及び不揮発性データ・ストレージ又はメモリ１２８が含まれ得る。メインＣＰＵコンプレックス１２０は、ＡＳＩＬ－Ｂで動作する１つ又は複数のプロセッサとして実装され得る。このような実施例では、ＳＩ１１０はより高いレベルのＡＳＩＬ（例えば、ＡＳＩＬ－Ｄ）で動作し得るため、車載ＳｏＣ１０４は、複数の又は混合されたＡＳＩＬで動作し得る。非限定的な例として、回路１２４は、１つ又は複数のディスプレイ、１つ又は複数の車載入出力（Ｉ／Ｏ：Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）コントローラ、１つ又は複数のメモリ・コントローラ、１つ又は複数のインターコネクトなどを実装するハードウェアを含み得る。図示する実施例では、回路１２４は、複数の論理ブロックＬＢ（１）～ＬＢ（Ｎ）を含む又は実装するものとして示されている。これらの論理ブロックの各々は知的財産（ＩＰ：Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ）としばしば呼ばれる。論理ブロックＬＢ（１）～ＬＢ（Ｎ）は、自律車両（例えば、図１２に示す自律車両１２００）内に様々な機能を実装することができる。

任意選択の外部制御ユニット１０６には、コントローラ１３０、障害アグリゲータ１３２、揮発性データ・ストレージ又はメモリ１３６（例えば、ＤＲＡＭ）、及び不揮発性データ・ストレージ又はメモリ１３８が含まれ得る。任意選択の外部制御ユニット１０６にはまた、任意選択の外部制御ユニット１０６によって実行される安全機能を実装する１つ又は複数の論理ブロック（図示せず）が含まれ得る。コントローラ１３０は、ＡＳＩＬ－Ｄで動作する１つ又は複数のプロセッサ（例えば、マイクロコントローラ）として実装され得る。コントローラ１３０は、不揮発性メモリ１３８に記憶されている１つ又は複数の車載オープン・システム・アーキテクチャ（ＡＵＴＯＳＡＲ：Ａｕｔｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ）ソフトウェア規格に準拠した命令などの命令を実行する。この命令は、障害アグリゲータ１３２が車載ＳｏＣ１０４から障害を受信した場合に、コントローラ１３０に適切な措置を行うように指示し得る。

１つ又は複数の実施例では、ＳＩ１１０には、プロセッサ１４０、割り込みコントローラ１４１、ＳＩ障害アグリゲータ１４２、揮発性データ・ストレージ又はメモリ１４６（例えば、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：Ｓｔａｔｉｃ Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））、及び１つ又は複数の論理ブロック１４８が含まれている。プロセッサ１４０は、高ランクのＡＳＩＬ－Ｄ安全プロセッサなど、プロセッサのクラスタとして実装され得る。プロセッサ１４０は、ブート時に不揮発性メモリ１２８から取得し、揮発性メモリ１４６に記憶されたＡＵＴＯＳＡＲソフトウェア規格に準拠した命令などの命令１４９を実行する。この命令１４９は、ＳＩ障害アグリゲータ１４２が車載ＳｏＣ１０４の他のコンポーネント１６０から障害を受信した場合に、プロセッサ１４０に適切な措置を行うように指示し得る。論理ブロック１４８は、ＳＩ１１０によって実行される安全機能の実装に役立ち得る。

補助安全ユニット１２２は、リアルタイム安全補助処理ユニットとして実装され得る、及び／又はＡＳＩＬ－Ｂ以上のランクにされ得る。つまり、補助安全ユニット１２２は、ＳｏＣドメイン内の他のコンポーネントと同じリスク分類レベル又はより高いリスク分類レベルで動作し得る。補助安全ユニット１２２には、プロセッサ１５０、１つ又は複数のＳｏＣ障害アグリゲータ１５２、割り込みコントローラ１５４、及び、メールボックス１５６と呼ばれる１つ又は複数の論理ブロックが含まれている。ＳＩ障害アグリゲータ１４２及び障害アグリゲータ１３２（存在する場合）の各々は、ＳｏＣ障害アグリゲータ１５２から障害を受信することができる。したがって、ＳｏＣ障害アグリゲータ１５２は、１つ又は複数の障害インターフェース１７０を介して障害アグリゲータ１３２に接続でき、１つ又は複数の障害インターフェース１７２を介してＳＩ障害アグリゲータ１４２に接続される。障害インターフェース１７０及び１７２の各々には、ＳｏＣ障害アグリゲータ１５２の各々を障害アグリゲータ１３２又はＳＩ障害アグリゲータ１４２のうちの対応する１つに物理的に接続するワイヤ、信号トレースなどの接続が含まれている。

メールボックス１５６には、プロセッサ１５０が書き込み、プロセッサ１４０が読み取る第１のメールボックスと、プロセッサ１４０が書き込み、プロセッサ１５０が読み取る第２のメールボックスとが含まれ得る。メールボックス１５６は、プロセッサ１５０（例えば、ＡＳＩＬ－Ｂ以上のランクの中央処理ユニット（「ＣＰＵ」））によって使用されて、メールボックス割り込みを割り込みコントローラ１４１に報告し、割り込みコントローラ１４１から割り込みを受信し得る。したがって、障害インターフェース１７２には、メールボックス１５６を割り込みコントローラ１４１に接続する信号導体が少なくとも１つ含まれている。各メールボックス割り込みには、エラーのシビアリティを示すシビアリティ識別子が含まれている。非限定的な例として、シビアリティ識別子は最小値（例えば、ゼロ）から最大値（例えば、７）までの数値であり得る。別の非限定的な例として、割り込みには、シビアリティを示すように先験的にエンコードされた割り込み番号があってもよい。プロセッサ１４０及び／又はプロセッサ１５０は、障害情報をメールボックス１５６に書き込むことができる。障害情報には、エラーが発生した論理ブロック名、論理ブロック診断識別子、障害の性質、シビアリティ識別子など、障害を発生させたエラーに関する情報が含まれる。

ＳＩ１１０を車載ＳｏＣ１０４に統合すると、任意選択の外部制御ユニット１０６も省略した場合に、多数の別個のコンポーネント（例えば、揮発性メモリ１３６及び不揮発性メモリ１３８）を車載処理システム１０２から省略することが可能になり得る。それでもなお、ＳＩ１１０を車載ＳｏＣ１０４の他のコンポーネント１６０（例えば、メインＣＰＵコンプレックス１２０、補助安全ユニット１２２、回路１２４、揮発性メモリ１２６、及び不揮発性メモリ１２８）から分離して、他のコンポーネント１６０のうちの１つ又は複数に生じる可能性のある問題がＳＩ１１０に悪影響を与えないようにすることが必要である。例えば、このような分離は、ＳＩ１１０が、車載ＳｏＣ１０４の他のコンポーネント１６０のうちの１つ又は複数で発生する停止状態による影響を受けないようにするのに役立ち得る。他のコンポーネント１６０のうちの１つ又は複数で発生する可能性のある停止状態のタイプの非限定的な例には、ランダムな障害、クロックの問題、電力の問題、及び／又は電圧の問題がある。空間的近接性と、ＳＩ１１０が車載ＳｏＣ１０４の他のコンポーネント１６０と共有する１つ又は複数のインターフェース２００（図２を参照）とにより、このような停止状態はＳＩ１１０に移行し、そのためにＳＩ１１０が車載ＳｏＣ１０４に統合されたフォールバック及び／又はフェイルセーフ機能を実行できなくする可能性がある。このため、車載処理システム１０２は、ＳＩ１１０を車載ＳｏＣ１０４の他のコンポーネント１６０から絶縁して、車載ＳｏＣ１０４と任意選択の外部制御ユニット１０６との間の分離に匹敵する分離を実現している。このような分離は、第１のクロック１１２及び第２のクロック１１４、第１の電力接続部１１８Ａ及び第２の電力接続部１１８Ｂ、並びにインターフェース２００によって実現することができる。

第１の（ＳｏＣ）クロック１１２は、第２の（ＳＩ）クロック１１４（例えば、別個の基準水晶を含む）とは別個であり、これは、ＳＩ１１０を車載ＳｏＣ１０４の他のコンポーネント１６０から分離するのに役立つ。同様に、第１の電力接続部１１８Ａは、第２の電力接続部１１８Ｂとは別個であり、これは、ＳＩ１１０を車載ＳｏＣ１０４の他のコンポーネント１６０から分離するのに役立つ。前述のように、ＳＩ１１０は、車載ＳｏＣ１０４の他のコンポーネント１６０とは別個のＳＩ電圧ドメインで動作し得る。しかし、別個の第２の（ＳＩ）クロック１１４と別個の第２の電力接続部１１８Ｂを使用しても、ＳＩ１１０はインターフェース２００（図２を参照）を介して車載ＳｏＣ１０４の他のコンポーネント１６０と通信する。

論理ブロック１４８には、専用の第２の（ＳＩ）クロック１１４に接続されたクロック及びリセット回路２３０（図２を参照）が含まれている。専用の第２の（ＳＩ）クロック１１４は、クロック及びリセット回路２３０の基準クロックとして使用され得る。例えば、クロック及びリセット回路２３０には、ＳＩ１１０の他の機能クロック及びデバッグ・クロックを派生させるために使用される内部専用位相ロック・ループ（ＰＬＬ：Ｐｈａｓｅｄ－Ｌｏｃｋｅｄ Ｌｏｏｐ）が含まれている場合がある。非限定的な例として、クロック及びリセット回路２３０は、ＰＬＬから派生され得るデバッグ・クロック信号及びテスト・クロック信号を提供することができる。クロック及びリセット回路２３０は、ＳＩ１１０内で使用されるすべてのクロック及びリセット信号を生成することができる。つまり、クロック及びリセット回路２３０は、ＳＩドメイン内で使用されるクロック信号及びリセットを生成することができる。加えて又は或いは、第２の（ＳＩ）クロック１１４は、論理ブロック１４８のうちの１つ又は複数の機能クロックとして直接使用することもできる。このようにして、ＳＩ１１０はローカルで生成されたクロック信号及びリセット、並びに／又は第２の（ＳＩ）クロック１１４によって提供されるクロック信号を使用する。ＳＩ１１０では、他のコンポーネント１６０からのクロック信号又はリセットは使用されない。クロック及びリセット回路２３０は、他のコンポーネント１６０内のリセットを生成する論理（例えば、リセット・ブロック）からの摂動がＳＩ１１０のコンポーネントに到達しないことを確実にするのに役立つ。

図２は、少なくとも１つの実施例による、ＳＩ１１０を車載ＳｏＣ１０４の他のコンポーネント１６０に接続するインターフェース２００の図である。図２を参照すると、インターフェース２００は、車載ＳｏＣ１０４内のＳＩ１１０の回路と論理の論理的分離を提供する。図示する実施例では、インターフェース２００には、障害インターフェース１７２、揮発性メモリ・インターフェース２００Ａ、第１の制御バックボーン・インターフェース２００Ｂ、第２の制御バックボーン・インターフェース２００Ｃ、セキュア・コンテンツ・インターフェース２００Ｄ、デバッグ・インターフェース２００Ｅ、及びテスト・インターフェース２００Ｆが含まれている。障害インターフェース１７２は、ＳｏＣ障害アグリゲータ１５２から論理的に分離されていなくてもよいが、各障害インターフェースは１つ又は複数の電圧レベル・シフタ２４０を通過するか又はそれらを含んでいてもよい。各電圧レベル・シフタ２４０はＳＩ電圧ドメインとＳｏＣ電圧ドメインとの間の電気的分離を提供する。電圧レベル・シフタ２４０の各々は、電気的分離を提供するが、電圧レベル・シフタ２４０は、割り込みストーム、障害ストーム、及び／又は連続アサートなど、いくつかのタイプの故障に対して適切な分離を提供しない場合がある。ＳＩ障害アグリゲータ１４２には、障害インターフェース１７２経由で障害情報を受信し、プロセッサ１４０によって実行される命令１４９にそのような故障の通知を提供する１つ又は複数のステータス・ビット２４２が含まれている場合がある。図示する実施例では、ステータス・ビット２４２には、ステータス・ビット「ＢＴ１」、「ＢＴ２」、及び「ＢＴ３」（図４を参照）が含まれている。命令１４９は、プロセッサ１４０にこの通知を使用して、障害インターフェース１７２で発生する停止状態を緩和するように指示する。

揮発性メモリ・インターフェース２００Ａは、プロセッサ１４０と車載ＳｏＣ１０４の揮発性メモリ１２６との間のインターフェースである。揮発性メモリ・インターフェース２００Ａにより、プロセッサ１４０は揮発性メモリ１２６に情報を書き込み、揮発性メモリ１２６から情報を読み取ることができる。揮発性メモリ・インターフェース２００Ａには、ワイヤ、信号トレースなど、揮発性メモリ１２６との１つ又は複数の接続が含まれている。揮発性メモリ・インターフェース２００Ａには、論理的分離制御部２２０、アクセス・タイマ２２２、及びドメイン同期回路２２４が含まれ得る。論理的分離制御部２２０には、プロセッサ１４０によって選択的にロック及びロック解除できるゲート又はロック機構が含まれている。アクセス・タイマ２２２により、プロセッサ１４０によって開始されたアクセス試行がタイムアウトできる。

ドメイン同期回路２２４には、位相同期回路と電圧レベル・シフタとが含まれている。位相同期回路は、別個の第１のクロック１１２及び第２のクロック１１４（図１を参照）を使用して生成されたＳＩドメイン及びＳｏＣドメインにわたって通信される信号の位相を同期するのに役立つ。クロック及びリセット回路２３０によって生成されたリセットは、位相同期回路など、ＳＩ及びＳｏＣ電圧及びクロック・ドメインを横断する任意の要素によって使用され得る。位相同期回路には、各々、別個の合成トップ（ｓｙｎｔｈｅｓｉｓ ｔｏｐ）として機能し得るＳｏＣ部分とＳＩ部分とがある。ＳｏＣ部分は物理的にＳｏＣドメインに存在し、ＳＩ部分は物理的にＳＩドメインに存在する。ＳＩ部分とＳｏＣ部分の両方の論理は、クロック及びリセット回路２３０によって生成されたリセットを使用する。したがって、ＳＩ１１０によって生成されるリセットは、ＳＩ１１０よりも低いＡＳＩＬで動作し得る車載ＳｏＣ１０４の論理によって使用され得るが、車載ＳｏＣ１０４によって生成されるリセットは、ＳＩ１１０に伝達されず、ＳＩ１１０によって使用され得ない。非限定的な例として、位相同期回路は、スプリット・ファースト・イン・ファースト・アウト（ＦＩＦＯ：Ｆｉｒｓｔ－Ｉｎ－Ｆｉｒｓｔ－Ｏｕｔ）などとして実装され得る。ドメイン同期回路２２４の電圧レベル・シフタは、電圧レベル・シフタ２４０と実質的に同一であり、ＳＩ及びＳｏＣ電圧ドメインを介して送信される信号の電圧を調整して、信号がＳＩ及びＳｏＣドメインを介して安全に通信できるようにすることができる。アクセス・タイマ２２２がプロセッサ１４０によるアクセスがタイムアウトしたことを示す場合、要求はドメイン同期回路２２４から削除され得る（例えば、スプリットＦＩＦＯからポップされる）。

揮発性メモリ・インターフェース２００Ａがロック解除されると、プロセッサ１４０は揮発性メモリ１２６にアクセスすることができ、揮発性メモリ１２６は、アクセス・タイマ２２２を開始する。アクセス・タイマ２２２が第１の所定の時間を超えて経過していて、揮発性メモリ１２６からの応答が受信されていないことを示す場合、プロセッサ１４０は、安全障害を示し、論理的分離制御部２２０を使用して揮発性メモリ・インターフェース２００Ａをロックする。任意選択で、ロック解除されているインターフェース２００のいずれかをロックし、また、任意選択で、車載プラットフォーム１００（図１を参照）を安全な状態に戻すように構成されている１つ又は複数の措置を行う。一方、アクセス・タイマ２２２が第１の所定の時間が経過したことを示す前に応答が受信される場合、アクセス・タイマ２２２は自身をリセットし、プロセッサ１４０はアクセスを完了し、また、プロセッサ１４０はアクセスが完了した後に、揮発性メモリ・インターフェース２００Ａをロックする。したがって、揮発性メモリ・インターフェース２００Ａは、プロセッサ１４０が揮発性メモリ１２６にアクセスしていない場合は常にロックされたままになる。これは、揮発性メモリ１２６からＳＩ１１０に移動する障害及び／又は停止状態からＳＩ１１０を保護するのに役立つ。

第１の制御バックボーン・インターフェース２００Ｂ及び第２の制御バックボーン・インターフェース２００Ｃは、プロセッサ１４０と制御バックボーン２１０との間のインターフェースである。制御バックボーン２１０は、バスなどとして実装され得る。第１の制御バックボーン・インターフェース２００Ｂは、プロセッサ１４０から制御バックボーン２１０への通信用で、第２の制御バックボーン・インターフェース２００Ｃは、制御バックボーン２１０からプロセッサ１４０への通信用である。非限定的な例として、プロセッサ１４０は制御バックボーン２１０を介して、車載ＳｏＣ１０４の他のコンポーネント１６０の少なくとも一部（例えば、回路１２４、メールボックス１５６、及び不揮発性メモリ１２８）にアクセスできる。

第１の制御バックボーン・インターフェース２００Ｂにより、プロセッサ１４０は制御バックボーン２１０に命令及び／又は情報を送信できる。第１の制御バックボーン・インターフェース２００Ｂには、論理的分離制御部２２０、アクセス・タイマ２２２、ドメイン同期回路２２４、及びファイアウォール２２６が含まれ得る。第１の制御バックボーン・インターフェース２００Ｂの論理的分離制御部２２０は、揮発性メモリ・インターフェース２００Ａの論理的分離制御部２２０と実質的に同一であり、また、実質的に同一に機能する。したがって、第１の制御バックボーン・インターフェース２００Ｂの論理的分離制御部２２０により、プロセッサ１４０は第１の制御バックボーン・インターフェース２００Ｂをロックしたり、ロック解除したりできる。第１の制御バックボーン・インターフェース２００Ｂのアクセス・タイマ２２２により、プロセッサ１４０によって開始されたアクセス試行がタイムアウトできる。第１の制御バックボーン・インターフェース２００Ｂのドメイン同期回路２２４は、揮発性メモリ・インターフェース２００Ａのドメイン同期回路２２４と実質的に同一であり、また、実質的に同一に機能する。第１の制御バックボーン・インターフェース２００Ｂのファイアウォール２２６は、１つ又は複数のセキュリティ・ルールを実装し、該セキュリティ・ルールに基づいて各通信を許可したりブロックしたりする。

第２の制御バックボーン・インターフェース２００Ｃにより、プロセッサ１４０は制御バックボーン２１０から命令及び／又は情報を受信できる。第２の制御バックボーン・インターフェース２００Ｃには、論理的分離制御部２２０、ドメイン同期回路２２４、及びファイアウォール２２６が含まれ得る。第２の制御バックボーン・インターフェース２００Ｃの論理的分離制御部２２０は、揮発性メモリ・インターフェース２００Ａの論理的分離制御部２２０と実質的に同一であり、また、実質的に同一に機能する。したがって、第２の制御バックボーン・インターフェース２００Ｃの論理的分離制御部２２０により、プロセッサ１４０は第２の制御バックボーン・インターフェース２００Ｃをロックしたり、ロック解除したりできる。第２の制御バックボーン・インターフェース２００Ｃのドメイン同期回路２２４は、揮発性メモリ・インターフェース２００Ａのドメイン同期回路２２４と実質的に同一であり、また、実質的に同一に機能する。第２の制御バックボーン・インターフェース２００Ｃのファイアウォール２２６は、１つ又は複数のセキュリティ・ルールを実装し、該セキュリティ・ルールに基づいて各通信を許可したり、ブロックしたりする。

セキュア・コンテンツ・インターフェース２００Ｄは、プロセッサ１４０とセキュア・コンテンツ回路２１２との間のインターフェースである。セキュア・コンテンツ・インターフェース２００Ｄにより、プロセッサ１４０は、セキュア・コンテンツ回路２１２から命令及び／又は情報（例えば、セキュアなコンテンツ及び／又は機密コンテンツ）を受信できる。セキュア・コンテンツ・インターフェース２００Ｄには、論理的分離制御部２２０及びドメイン同期回路２２４が含まれ得る。セキュア・コンテンツ・インターフェース２００Ｄの論理的分離制御部２２０は、揮発性メモリ・インターフェース２００Ａの論理的分離制御部２２０と実質的に同一であり、また、実質的に同一に機能する。したがって、セキュア・コンテンツ・インターフェース２００Ｄの論理的分離制御部２２０により、プロセッサ１４０はセキュア・コンテンツ・インターフェース２００Ｄをロックしたり、ロック解除したりできる。セキュア・コンテンツ・インターフェース２００Ｄのドメイン同期回路２２４は、揮発性メモリ・インターフェース２００Ａのドメイン同期回路２２４と実質的に同一であり、また、実質的に同一に機能する。

デバッグ・インターフェース２００Ｅは、プロセッサ１４０とデバッグ回路２１４との間のインターフェースである。デバッグ・インターフェース２００Ｅにより、プロセッサ１４０はデバッグ回路２１４から命令及び／又は情報を受信できる。デバッグ・インターフェース２００Ｅには、論理的分離制御部２２０及びドメイン同期回路２２４が含まれ得る。デバッグ・インターフェース２００Ｅの論理的分離制御部２２０は、揮発性メモリ・インターフェース２００Ａの論理的分離制御部２２０と実質的に同一であり、また、実質的に同一に機能する。したがって、デバッグ・インターフェース２００Ｅの論理的分離制御部２２０により、プロセッサ１４０はデバッグ・インターフェース２００Ｅをロックしたり、ロック解除したりできる。デバッグ・インターフェース２００Ｅのドメイン同期回路２２４は、揮発性メモリ・インターフェース２００Ａのドメイン同期回路２２４と実質的に同一で、機能する。前述したように、ＳＩ１１０及び他のコンポーネント１６０は、別個のクロック・ドメインで動作する。１つ又は複数の実施例では、デバッグ回路２１４など、車載ＳｏＣ１０４の他のコンポーネント１６０のうちの１つ又は複数の外部クロックからの信号はＳＩ１１０に供給されない。車載ＳｏＣ１０４によって実行されるデバッグ機能は、デバッグ・インターフェース２００Ｅのドメイン同期回路２２４を介してデバッグ・クロック信号を受信する。この信号は、車載ＳｏＣ１０４によって実行されるデバッグ機能を、ＳＩ１１０によって生成されたデバッグ・クロック信号及び／又は第２の（ＳＩ）クロック１１４を使用することに切り替えるか又は変換する。ＳＩ１１０がミッション・モードになっている間（例えば、車両が走行中）は、デバッグ論理は使用されないため、ＳＩ１１０はデバッグ・クロックに第１のクロック・ゲートを含んで、デバッグ・クロック信号によって生じる可能性がある干渉を防止する。非限定的な例として、第１のクロック・ゲートはクロック及びリセット回路２３０のコンポーネントであり得る。第１のクロック・ゲートは、プロセッサ１４０によって設定された第１の構成ビットを使用して制御できる（例えば、選択的にオンオフが切り替えられる）。

テスト・インターフェース２００Ｆは、プロセッサ１４０とテスト回路２１６との間のインターフェースである。テスト・インターフェース２００Ｆにより、プロセッサ１４０はテスト回路２１６から命令及び／又は情報を受信できる。テスト・インターフェース２００Ｆには、論理的分離制御部２２０及びドメイン同期回路２２４が含まれ得る。テスト・インターフェース２００Ｆの論理的分離制御部２２０は、揮発性メモリ・インターフェース２００Ａの論理的分離制御部２２０と実質的に同一であり、また、実質的に同一に機能する。したがって、テスト・インターフェース２００Ｆの論理的分離制御部２２０により、プロセッサ１４０はテスト・インターフェース２００Ｆをロックしたり、ロック解除したりできる。テスト・インターフェース２００Ｆのドメイン同期回路２２４は、揮発性メモリ・インターフェース２００Ａのドメイン同期回路２２４と実質的に同一であり、また、実質的に同一に機能する。前述のように、テスト回路２１６など、車載ＳｏＣ１０４の他のコンポーネント１６０のうちの１つ又は複数からの外部信号は、この構成によってＳＩ１１０に供給されることが防止される。車載ＳｏＣ１０４によって実行されるテスト機能は、デバッグ・インターフェース２００Ｅのドメイン同期回路２２４を介してテスト・クロック信号を受信する。この信号は、車載ＳｏＣ１０４によって実行されるテスト機能を、ＳＩ１１０によって生成されたテスト・クロック信号及び／又は第２の（ＳＩ）クロック１１４を使用することに切り替えるか又は変換する。ＳＩ１１０がミッション・モードになっている間（例えば、車両が走行中）は、テスト論理は使用されないため、ＳＩ１１０はテスト・クロックに第２のクロック・ゲートを含んで、テスト・クロック信号によって生じる可能性のある干渉を防止する。非限定的な例として、第２のクロック・ゲートはクロック及びリセット回路２３０のコンポーネントであり得る。第２のクロック・ゲートは、プロセッサ１４０によって設定された第２の構成ビットを使用して制御できる（例えば、選択的にオンオフが切り替えられる）。

ＳＩ１１０には、分離又はコクーン・モードと非分離モードとの少なくとも２つの動作モードがある。ＳＩ１１０がコクーン・モードで動作している場合、ＳＩ１１０に入ることが許可される車載ＳｏＣ１０４からの唯一の情報は障害情報であり、この情報は、障害インターフェース１７２を介してＳＩ１１０に入る。このようにして、ＳＩ障害アグリゲータ１４２は、車載ＳｏＣ１０４及びＳＩ１１０の累積的な正常性状態を維持する。一方、ＳＩ１１０が非分離モードで動作している場合、情報はインターフェース２００のうちの１つ又は複数を介してＳＩ１１０に入ることができる。ＳＩ１１０がコクーン・モードで動作しているか、非分離モードで動作しているかは、プロセッサ１４０で実行される命令１４９によって少なくとも部分的に、且つインターフェース２００によって少なくとも部分的に判定される。

車載ＳｏＣ１０４の他のコンポーネント１６０で発生する可能性のある安全に関する重要な問題がインターフェース２００のうちの１つ又は複数を介してＳＩ１１０に到達することを防止するのに役立つように、インターフェース２００の各々には、プロセッサ１４０によって選択的にロックされたり、ロック解除されたりする別個の論理的分離制御部２２０が含まれている。論理的分離制御部２２０のロック機構がプロセッサ１４０によってロックされている場合、ロック機構は、ロックされたインターフェースを介して車載ＳｏＣ１０４とＳＩ１１０との間のすべての通信を防止する。一方、インターフェースはプロセッサ１４０によってロック解除されて、ロック解除されたインターフェースを介してそのような通信を可能にし得る。したがって、プロセッサ１４０は選択的にＳＩ１１０をコクーン・モード又は非分離モードにすることができる。すべてのインターフェース２００がロックされている場合は常に、プロセッサ１４０は揮発性メモリ１２６又は不揮発性メモリ１２８のいずれにもアクセスできず、ＳＩ１１０内に存在する揮発性メモリ１４６（例えば、ＳＲＡＭ）に記憶されている命令１４９を実行する。

ここで、図３を参照すると、本明細書に説明される方法３００の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るコンピューティング・プロセスが含まれる。例えば、様々な機能は、メモリ（例えば、図１、図２、及び図４に示す揮発性メモリ１４６）に記憶された命令（例えば、図１、図２、及び図４に示す命令１４９）をプロセッサ（例えば、図１、図２、及び図４に示すプロセッサ１４０）が実行することによって実行され得る。方法３００はまた、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法３００は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法３００は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法３００は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明されているものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

図３は、本開示のいくつかの実施例による、ＳＩ１１０をコクーン・モードと非分離モードとの間で遷移させる方法３００を示すフロー図である。説明を容易にするために、方法３００はプロセッサ１４０（図１、図２、及び図４を参照）によって実行されているものとして説明する。図３を参照すると、第１のブロック３０２において、プロセッサ１４０は、車載ＳｏＣ１０４の他のコンポーネント１６０（図１及び図２を参照）のうちの１つと通信する必要があると判定する。例えば、この通信は揮発性メモリ・インターフェース２００Ａ又は第１の制御バックボーン・インターフェース２００Ｂを介して行われ得る。これらのインターフェースの各々により、ＳＩ１１０が車載ＳｏＣ１０４の他のコンポーネント１６０との通信を開始できる。或いは、この通信は、第２の制御バックボーン・インターフェース２００Ｃ、セキュア・コンテンツ・インターフェース２００Ｄ、デバッグ・インターフェース２００Ｅ、又はテスト・インターフェース２００Ｆを介して行われてもよい。これらのインターフェースの各々により、ＳＩ１１０が車載ＳｏＣ１０４の他のコンポーネント１６０によって開始された通信を受信できる。前述のように、ＳＩ１１０がコクーン・モードか非分離モードかに関係なく、通信は障害インターフェース１７２（図２を参照）を介して行われる。

プロセッサ１４０が車載ＳｏＣ１０４の他のコンポーネント１６０のうちの特定の１つと通信する必要がある場合は常に、プロセッサ１４０は、通信を試みる前に該特定のコンポーネントとの通信が安全であると判断する。この判断を行うために、ブロック３０４では、プロセッサ１４０はＳＩ障害アグリゲータ１４２の内容をチェックすることができる。このＳＩ障害アグリゲータ１４２は、ＳＩ１１０の外部にあるＳｏＣ障害アグリゲータ１５２から、障害インターフェース１７２（図２を参照）を介して障害情報を受信する。前述のように、障害インターフェース１７２は、ＳｏＣ障害アグリゲータ１５２から論理的に分離されていないが、各障害インターフェースは、ＳＩ電圧ドメインとＳｏＣ電圧ドメインとの間の電気的分離を提供する電圧レベル・シフタ２４０を通過するか又はそれらを含んでいてもよい。

判断ブロック３０６では、プロセッサ１４０はＳＩ障害アグリゲータ１４２で障害が検出されたかどうかを判定する。少なくとも１つの障害が検出される場合、つまり、他のコンポーネント１６０のうちの１つ又は複数について識別された障害が、ＳｏＣ障害アグリゲータ１５２によってＳＩ障害アグリゲータ１４２に報告される場合、判断ブロック３０６の判断は「はい」である。プロセッサ１４０は、ＳＩ障害アグリゲータ１４２内のステータス・ビット２４２を使用して障害を検出し得る。ステータス・ビット２４２は、車載ＳｏＣ１０４の正常性を追跡することを特徴とする場合がある。或いは、ＳＩ障害アグリゲータ１４２はプロセッサ１４０に割り込みを送信することによって、プロセッサ１４０に障害を通知してもよい。それ以外の場合、障害が検出されないと、判断ブロック３０６の判断は「いいえ」である。

判断ブロック３０６の判断が「はい」の場合、ブロック３０８では、プロセッサ１４０は１つ又は複数の訂正措置を行うことができる。訂正措置は、車両を安全な状態にするのに役立ち得る。非限定的な例として、このような訂正措置には、車両のブレーキをかけること、車両の減速、路肩への車両の経路指定などが含まれ得る。その後、プロセッサ１４０はブロック３０４に戻ってもよい。

判断ブロック３０６の判断が「いいえ」の場合、ブロック３１０では、プロセッサ１４０は、特定のコンポーネントに接続されているインターフェース２００のうちの特定のインターフェースの論理的分離制御部２２０のロック機構がロックされていた場合に、該特定のインターフェースのロック機構をロック解除する。つまり、プロセッサ１４０は、ＳＩ障害アグリゲータ１４２に障害が記憶されていない場合、特定のインターフェースを介して車載ＳｏＣ１０４の特定のコンポーネントに安全にアクセスできると判定することができる。したがって、プロセッサ１４０は、ブロック３１０において、特定のインターフェースをロック解除する。

次に、ブロック３１２では、プロセッサ１４０は、ロック解除された特定のインターフェースを介して特定のコンポーネントに通信を送ることができ、又は特定のコンポーネントから通信を受信できる。特定のインターフェースは、特定のインターフェースのアクセス・タイマ２２２を自動的に開始する。特定のインターフェースがロック解除されると、プロセッサ１４０は、車載ＳｏＣ１０４への１つ又は複数の強く順序付けられたアクセス（一度に１つ）を開始することができる。アクセス・タイマ２２２は、アクセス毎に自動的に開始する。したがって、アクセス・タイマ２２２は、プロセッサ１４０によって特定のアクセスが開始されるとすぐにカウントダウンを開始することができる。

判断ブロック３１４では、タイムアウトが発生したかどうかをプロセッサ１４０が判定する。アクセス・タイマ２２２が第１の所定の時間を超えて経過していて、特定のコンポーネントからの応答が受信されていないことを示す場合、判断ブロック３１４の判断は「はい」である。それ以外の場合、アクセス・タイマ２２２が第１の所定の時間を超えて経過したことを示す前に特定のコンポーネントから応答が受信されると、判断ブロック３１４の判断は「いいえ」である。

判断ブロック３１４の判断が「はい」の場合、ブロック３１６では、プロセッサ１４０は安全障害が発生したことを示す。次に、ブロック３１８では、プロセッサ１４０は、特定のインターフェースの論理的分離制御部２２０のロック機構をロックする。任意選択で、ロック解除されている任意の他のインターフェースの論理的分離制御部２２０のロック機構をロックし、また、任意選択で、車載プラットフォーム１００を安全な状態に戻すように構成されている１つ又は複数の措置を行う。

一方、判断ブロック３１４の判断が「いいえ」の場合、ブロック３２０では、プロセッサ１４０は通信を完了する。アクセス・タイマ２２２は自動的にリセットされる。次に、ブロック３１８では、プロセッサ１４０は、特定のインターフェースのロック機構をロックする。したがって、方法３００は、プロセッサ１４０が車載ＳｏＣ１０４の他のコンポーネント１６０のうちの１つにアクセスしていない場合は常にインターフェース２００がロックされたままにする。その後、方法３００は終了する。

ＳＩ１１０は、車載ＳｏＣ１０４がブートされたときに、共有の不揮発性メモリ１２８から命令１４９（例えば、システムを安全な状態にするための重要な命令）を、その内部の揮発性メモリ１４６にコピーすることで、共有の不揮発性メモリ１２８へのアクセスを回避することができる。プロセッサ１４０は、ＳＩ１１０が、車両の運転サイクルを有効にするミッション・モードに入る前に命令１４９を認証及び検証することができる。ＳＩ１１０は、ミッション・モードと、コクーン・モード又は非分離モードのいずれかとで、同時に動作することができる。命令１４９は揮発性メモリ１４６に残る。これにより、プロセッサ１４０が共有の不揮発性メモリ１２８にアクセスすることを回避できる。例えば、アプリケーション・コード、フュージョン・データなどの重要でないデータは、ＳＩ１１０に含まれている内部のダイレクト・メモリ・アクセス（ＤＭＡ：Ｄｉｒｅｃｔ Ｍｅｍｏｒｙ Ａｃｃｅｓｓ）エンジン４０２（図４を参照）を使用して、共有の揮発性メモリ１２６から取得され得る。ＤＭＡエンジン４０２は、任意選択でプロセッサ１４０のコンポーネントであってもよい。ＤＭＡエンジン４０２の故障は、プロセッサ１４０に悪影響を及ぼすことはない。これは、共有の揮発性メモリ１２６から取得したデータをページングする間にＤＭＡエンジン４０２が故障しても、プロセッサ１４０は揮発性メモリ１４６に記憶された命令１４９を実行し続けるためである。

図４は、本開示のいくつかの実施例による、障害インターフェース１７２の図である。図４を参照すると、車載ＳｏＣ１０４の論理ブロックＬＢ（１）～ＬＢ（Ｎ）は、それぞれ、関連付けられた第１の障害アグリゲータ２６０－１～２６０－Ｎであり得る。第１の障害アグリゲータ２６０－１～２６０－Ｎは、それぞれ論理ブロックＬＢ（１）～ＬＢ（Ｎ）によって生成された障害を集約し、第１の集約された障害信号を車載ＳｏＣ１０４の補助安全ユニット１２２に送信する。補助安全ユニット１２２は、第１の障害アグリゲータ２６０－１～２６０－Ｎから受信した第１の集約された障害信号を集約し、存在する場合は、任意選択の外部制御ユニット１０６（図１を参照）に１つ又は複数の第２の集約された障害信号を送信する第２のＳｏＣ障害アグリゲータ１５２を実装する。任意選択の外部制御ユニット１０６に第２の集約された障害信号によって障害が通知されると、任意選択の外部制御ユニット１０６は、いくつかの可能な措置の中から１つ又は複数の措置を行うことができる。第一に、任意選択の外部制御ユニット１０６は障害をクリアすることができる。第二に、任意選択の外部制御ユニット１０６は訂正措置を行うことができる。第三に、任意選択の外部制御ユニット１０６は外部システム（例えば、１つ又は複数の外部マイクロコントローラ、１つ又は複数の外部エージェントなど）に通知することができる。ただし、前述のように、いくつかの実施例では任意選択の外部制御ユニット１０６は省略されてもよい。

図１を参照すると、前述のように、ＳＩ１１０が車載ＳｏＣ１０４の他のコンポーネント１６０から分離されている間に、ＳＩ１１０と車載ＳｏＣ１０４の他のコンポーネント１６０との間で少なくとも一部の通信を有効にする必要がある。特に、車載ＳｏＣ１０４の論理ブロックＬＢ（１）～ＬＢ（Ｎ）で発生する障害は、障害インターフェース１７２を介してＳＩ１１０に伝達されなければならない。このような通信を提供する１つの方法は、第１の障害アグリゲータ２６０－１～２６０－Ｎ（図４を参照）に第１の集約された障害信号を直接ＳＩ１１０に送信させることである。そのためには、障害インターフェース１７２に、ＳＩ１１０と第１の障害アグリゲータ２６０－１～２６０－Ｎの各々との間の別個の伝送線又は信号導体が含まれている必要がある。これは、車載ＳｏＣ１０４の他のコンポーネント１６０からＳＩ１１０が分離されていることによって複雑になる。例えば、図２を参照すると、電圧レベル・シフタ２４０に、信号導体毎に個別の電圧レベル・シフタを含める必要がある。さらに、ＳＩ１１０と車載ＳｏＣ１０４の他のコンポーネント１６０との間の信号導体の数が多いほど、ＳＩ１１０は車載ＳｏＣ１０４で発生する干渉に対してより脆弱になる。

代わりに、図４を参照して、ＳｏＣ障害アグリゲータ１５２の各々を、次の３つの信号導体によってＳＩ１１０に接続することができる：（１）訂正されたエラー信号導体４１０、（２）訂正されていないエラー信号導体４１２、及び（３）ＳｏＣ障害アグリゲータ信号導体４１４。この配置により、障害インターフェース１７２は、論理ブロックＬＢ（１）～ＬＢ（Ｎ）からの障害を、多すぎて電気的干渉を引き起こすほどに多くの導体を障害インターフェース１７２に含めることなく、且つ大きすぎて車載ＳｏＣ１０４及び／又はＳＩ１１０内の混雑を引き起こしてしまうほどに障害インターフェース１７２を大きくすることなく、ＳＩ１１０に報告することができる。信号導体４１０、４１２、及び４１４は、それぞれステータス・ビット「ＢＴ１」、「ＢＴ２」、及び「ＢＴ３」を設定できる。ステータス・ビットの各々は、設定された後、続いてプロセッサ１４０によってクリアされ得る。

メールボックス１５６は、メールボックス割り込み信号導体４１６によってＳＩ１１０の割り込みコントローラ１４１に接続され得る。信号導体４１０～４１６の各々は、ワイヤ、信号トレースなどとして実装され得る。

図５Ａは、本開示のいくつかの実施例による、ＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）に障害を伝達する方法５００を示すフロー図である。ここで、図５Ａを参照すると、本明細書に説明される方法５００の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るコンピューティング・プロセスが含まれる。例えば、メモリに記憶された命令を実行するプロセッサ（例えば、図１及び図４に示すプロセッサ１５０）によって、様々な機能が実行され得る。方法５００の少なくとも一部は、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法５００は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法５００は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法５００は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明するものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

説明を容易にするために、方法５００は、ＳｏＣ障害アグリゲータ１５２（図１、図２、及び図４を参照）のうちの特定の１つによって実行されているものとして説明する。つまり、方法５００はハードウェアによって実行され得る。図５Ａを参照すると、第１のブロック５０２において、特定のＳｏＣ障害アグリゲータは、第１の障害アグリゲータ２６０－１～２６０－Ｎ（図２及び図４を参照）の少なくとも一部分から第１の集約された障害信号を受信する。

ブロック５０６では、特定のＳｏＣ障害アグリゲータは、訂正されたエラーによって引き起こされた障害を識別する第１の集約された障害信号を、訂正されたエラー信号に集約する。次に、ブロック５０８では、特定のＳｏＣ障害アグリゲータは、訂正されたエラー信号を、訂正されたエラー信号導体４１０（図４を参照）を介してＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）に送信する。ブロック５１０では、特定のＳｏＣ障害アグリゲータは、訂正されたエラー毎に割り込みを割り込みコントロール１５４（図１及び図４を参照）に送る。割り込みコントローラ１５４は、割り込みを補助安全ユニット１２２（図１及び図４を参照）のプロセッサ１５０（図１及び図４を参照）に転送する。各割り込みは、割り込みに関連付けられた訂正されたエラーをプロセッサ１５０に通知する。

ブロック５１２では、特定のＳｏＣ障害アグリゲータは、訂正されたエラー信号内に識別される第１の訂正されたエラーについて訂正されたエラー・タイマ４２０Ｃ（図４を参照）を開始する。

判断ブロック５１４では、特定のＳｏＣ障害アグリゲータは、第１の訂正されたエラーが特定のＳｏＣ障害アグリゲータからクリアされたかどうかを判定する。訂正されたエラー・タイマ４２０Ｃ（図４を参照）が第２の所定の時間を超えて経過したことを示す前に第１の訂正されたエラーがクリアされている場合、判断ブロック５１４の判断は「はい」である。それ以外の場合、判断ブロック５１４の判断は「いいえ」である。判断ブロック５１４の判断が「はい」の場合、ブロック５１５では、特定のＳｏＣ障害アグリゲータは措置を行わない。一方、判断ブロック５１４の判断が「いいえ」の場合、特定のＳｏＣ障害アグリゲータは判断ブロック５１６に進む。

判断ブロック５１６では、プロセッサ１５０は訂正されたエラー・タイマ４２０Ｃ（図４を参照）が、第２の所定の時間を超えて経過したことを示すかどうか、つまり、訂正されたエラー・タイマ４２０Ｃがタイムアウトしたか又は期限切れになったかどうかを判定する。第２の所定の時間が経過している場合、判断ブロック５１６の判断は「はい」である。それ以外の場合、判断ブロック５１６の判断は「いいえ」である。判断ブロック５１６の判断が「はい」の場合、特定のＳｏＣ障害アグリゲータはブロック５１８に進む。それ以外の場合、判断ブロック５１６の判断が「いいえ」の場合、特定のＳｏＣ障害アグリゲータは判断ブロック５１４に戻り、第１の訂正されたエラーがプロセッサ１５０によってクリアされるのを待機する。したがって、特定のＳｏＣ障害アグリゲータは、第１の訂正されたエラーがクリアされたかどうか、及び訂正されたエラー・タイマ４２０Ｃが期限切れになったかどうかをモニタリングし続ける。訂正されたエラー・タイマ４２０Ｃが期限切れになる前に第１の訂正されたエラーがクリアされた場合、特定のＳｏＣ障害アグリゲータは、ブロック５１５で措置を行わない。一方、第１の訂正されたエラーがクリアされる前に訂正されたエラー・タイマ４２０Ｃが期限切れになる場合、特定のＳｏＣ障害アグリゲータはブロック５１８に進む。ブロック５１８では、特定のＳｏＣ障害アグリゲータは、ＳｏＣ障害アグリゲータ信号を、ＳｏＣ障害アグリゲータ信号同体４１４（図４を参照）を介してＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）に送信する。

ブロック５２０では、特定のＳｏＣ障害アグリゲータは、訂正されていないエラーによって引き起こされた障害を識別する、ブロック５０２で受信された第１の集約された障害信号を、訂正されていないエラー信号に集約する。次に、ブロック５２２では、特定のＳｏＣ障害アグリゲータは、訂正されていないエラー信号を、訂正されていないエラー信号導体４１２（図４を参照）を介してＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）に送信する。ブロック５２４では、特定のＳｏＣ障害アグリゲータは、訂正されていないエラー毎に割り込みを割り込みコントロール１５４（図１及び図４を参照）に送る。割り込みコントローラ１５４は、割り込みを補助安全ユニット１２２（図１及び図４を参照）のプロセッサ１５０（図１及び図４を参照）に転送する。各割り込みは、割り込みに関連付けられた訂正されていないエラーをプロセッサ１５０に通知する。

ブロック５２６では、特定のＳｏＣ障害アグリゲータは、訂正されていないエラー信号内に識別される第１の訂正されていないエラーについて訂正されていないエラー・タイマ４２０Ｕ（図４を参照）を開始する。

判断ブロック５２８では、特定のＳｏＣ障害アグリゲータは、第１の訂正されていないエラーが特定のＳｏＣ障害アグリゲータからクリアされたかどうかを判定する。訂正されていないエラー・タイマ４２０Ｕ（図４を参照）が第３の所定の時間を超えて経過したことを示す前に第１の訂正されていないエラーがクリアされている場合、判断ブロック５２８の判断は「はい」である。それ以外の場合、判断ブロック５２８の判断は「いいえ」である。判断ブロック５２８の判断が「はい」の場合、ブロック５２９では、特定のＳｏＣ障害アグリゲータは措置を行わない。判断ブロック５２８の判断が「いいえ」の場合、特定のＳｏＣ障害アグリゲータは判断ブロック５３０に進む。

判断ブロック５３０では、プロセッサ１５０は訂正されていないエラー・タイマ４２０Ｕが、第３の所定の時間を超えて経過したことを示すかどうか、つまり、訂正されていないエラー・タイマ４２０Ｕ（図４を参照）がタイムアウトしたか又は期限切れになったかどうかを判定する。第３の所定の時間が経過している場合、判断ブロック５３０の判断は「はい」である。それ以外の場合、判断ブロック５３０の判断は「いいえ」である。判断ブロック５３０の判断が「はい」の場合、特定のＳｏＣ障害アグリゲータはブロック５３２に進む。一方、判断ブロック５３０の判断が「いいえ」の場合、特定のＳｏＣ障害アグリゲータは判断ブロック５２８に戻り、第１の訂正されていないエラーがプロセッサ１５０によってクリアされるのを待機する。したがって、特定のＳｏＣ障害アグリゲータは、第１の訂正されていないエラーがクリアされたかどうか、及び訂正されていないエラー・タイマ４２０Ｕが期限切れになったかどうかをモニタリングし続ける。訂正されていないエラー・タイマ４２０Ｕが期限切れになる前に第１の訂正されていないエラーがクリアされた場合、特定のＳｏＣ障害アグリゲータは、ブロック５２９で措置を行わない。一方、第１の訂正されていないエラーがクリアされる前に訂正されていないエラー・タイマ４２０Ｕが期限切れになる場合、特定のＳｏＣ障害アグリゲータはブロック５３２に進む。ブロック５３２では、特定のＳｏＣ障害アグリゲータは、ＳｏＣ障害アグリゲータ信号を、ＳｏＣ障害アグリゲータ信号同体４１４（図４を参照）を介してＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）に送信する。この時点で、方法５００は終了する。

図５Ｂは、本開示のいくつかの実施例による、プロセッサ１５０（図１及び図４を参照）がＳｏＣ障害アグリゲータ１５２（図１、図２、及び図４を参照）から受信した割り込みを処理するために使用し得る方法５４０を示すフロー図である。ここで、図５Ｂを参照すると、本明細書に説明される方法５４０の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るコンピューティング・プロセスが含まれる。例えば、メモリに記憶された命令を実行するプロセッサ（例えば、プロセッサ１５０）によって、様々な機能が実行され得る。方法５４０の少なくとも一部は、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法５４０は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法５４０は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法５４０は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明されているものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

説明を容易にするために、方法５４０はプロセッサ１５０（図１及び図４を参照）によって実行されているものとして説明する。図５Ｂを参照すると、第１のブロック５４１において、プロセッサ１５０は、ＳｏＣ障害アグリゲータ１５２のうちの特定のＳｏＣ障害アグリゲータから特定の割り込みを受信する。次に、ブロック５４２では、プロセッサ１５０は、特定の割り込み内に識別された１つ又は複数のエラーをトリアージし、エラーに対処するために１つ又は複数の訂正措置を行うことができる。

プロセッサ１５０がエラーをトリアージしている及び／又は訂正措置を行っているときに問題が発生した場合、プロセッサ１５０は特定の割り込みの処理を続けることはできない場合がある。これが発生した場合、判断ブロック５４３の判断は「はい」であり、ブロック５４４において、プロセッサ１５０は特定の割り込みに関してさらなる措置を行わない。一方、プロセッサ１５０が特定の割り込みをトリアージすることができ、任意選択で、訂正措置を行うことができる場合、判断ブロック５４３の判断は「いいえ」である。判断ブロック５４３の判断が「いいえ」である場合、ブロック５４５では、プロセッサ１５０は特定の割り込みに関連する情報をメールボックス１５６に書き込み、プロセッサ１４０がこのメールボックス１５６を読み取ることができる。次に、ブロック５４６では、プロセッサ１５０は、メールボックス割り込みをメールボックス割り込み信号導体４１６を介して、割り込みコントローラ１４１に送信する。メールボックス割り込みは、ブロック５４１で受信された割り込み内で識別されたエラーのシビアリティを示す。

次に、判断ブロック５４７において、プロセッサ１５０は、特定のＳｏＣ障害アグリゲータから、特定の割り込みの生成元の障害をプロセッサ１５０がクリアすべきかどうかを判定する。プロセッサ１５０が障害をクリアすると判断した場合、判断ブロック５４７の判断は「はい」である。それ以外の場合、判断ブロック５４７の判断は「いいえ」である。プロセッサ１５０によって行われた訂正措置がエラーに対処できたか、又は障害は訂正されたエラー（例えば、論理ブロックＬＢ（１）～ＬＢ（Ｎ）のうちの１つによって訂正されたエラー）によって生成された場合、判断ブロック５４７の判断は「はい」であり得る。別の非限定的な例として、プロセッサ１５０が、プロセッサ１４０がエラーをクリアしたことを示すメールボックス割り込みをプロセッサ１４０から受信した場合、判断ブロック５４７の判断は「はい」であり得る。判断ブロック５４７の判断が「いいえ」である場合、ブロック５４８では、プロセッサ１５０は特定の割り込みに関してさらなる措置を行わない。一方、判断ブロック５４７の判断が「はい」の場合、ブロック５４９では、プロセッサ１５０は特定のＳｏＣ障害アグリゲータから障害をクリアする。プロセッサ１５０は、特定のＳｏＣ障害アグリゲータから障害がクリアされたことをプロセッサ１４０に通知することができる。その後、方法５４０は終了する。

図５Ｃは、本開示のいくつかの実施例による、ＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）が訂正されたエラー信号及び訂正されていないエラー信号を処理するために使用し得る方法５５０を示すフロー図である。ここで、図５Ｃを参照すると、本明細書に説明される方法５５０の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るコンピューティング・プロセスが含まれる。例えば、様々な機能は、メモリ（例えば、図１、図２、及び図４に示す揮発性メモリ１４６）に記憶された命令（例えば、図１、図２、及び図４に示す命令１４９）をプロセッサ（例えば、図１、図２、及び図４に示すプロセッサ１４０）が実行することによって実行され得る。方法５５０の少なくとも一部は、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法５５０は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法５５０は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法５５０は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明されているものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

説明を容易にするために、方法５５０はＳＩ障害アグリゲータ１４２（図１、図２、及び図４を参照）及びプロセッサ１４０（図１、図２、及び図４を参照）によって実行されているものとして説明する。図５Ｃを参照すると、第１のブロック５５２において、ＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）のＳＩ障害アグリゲータ１４２は、ステータス・ビット「ＢＴ１」を設定する訂正されたエラー信号、及び／又はステータス・ビット「ＢＴ２」を設定する訂正されていないエラー信号を受信する。ＳＩ障害アグリゲータ１４２が訂正されたエラー信号導体４１０で訂正されたエラー信号を受信すると、ブロック５５４では、ＳＩ障害アグリゲータ１４２はプロセッサ１４０の割り込みコントローラ１４１（図１、図２、及び図４を参照）に割り込みを送る。この割り込みは、プロセッサ１４０に訂正されたエラーを知らせる。

判断ブロック５５６では、プロセッサ１４０（図１、図２、及び図４を参照）は、メールボックス割り込み信号導体４１６を介してプロセッサ１５０（図１及び図４を参照）からメールボックス割り込みを受信したかどうかを判定する。メールボックス割り込みが受信されている場合、メールボックス割り込みは訂正されたエラーのシビアリティを示す。プロセッサ１４０がメールボックス割り込みを受信している場合、判断ブロック５５６の判断は「はい」である。それ以外の場合、判断ブロック５５６の判断は「いいえ」である。判断ブロック５５６の判断が「いいえ」である場合、ブロック５５８では、プロセッサ１４０はメールボックス割り込みか、又は、ＳｏＣ障害アグリゲータ信号かのいずれかの受信を待機する。判断ブロック５５６の判断が「はい」の場合、プロセッサ１４０は判断ブロック５６０に進む。

判断ブロック５６０では、プロセッサ１４０（図１、図２、及び図４を参照）は、メールボックス１５６を読み取るかどうかを判断する。この判断は、メールボックス割り込みによってプロセッサ１４０に伝達された訂正されたエラーのシビアリティに少なくとも部分的に基づき得る。例えば、プロセッサ１４０は、訂正されたエラーのシビアリティが閾値（例えば、７）以上の場合にメールボックス１５６を読み取らないと判断し、訂正されたエラーのシビアリティが閾値を下回っている場合にメールボックス１５６を読み取ると判断することができる。判断ブロック５６０の判断が「はい」の場合、ブロック５６２では、プロセッサ１４０はメールボックス１５６を読み取る。次に、プロセッサ１４０はブロック５６４に進み、そこで、プロセッサ１４０は、例えば、ステータス・ビット「ＢＴ１」の設定を解除することによって、訂正されたエラーをクリアする。判断ブロック５６０の判断が「いいえ」の場合、プロセッサ１４０はブロック５６４に進み、例えば、ステータス・ビット「ＢＴ１」の設定を解除することによって、訂正されたエラーをクリアする。プロセッサ１４０がＳＩ障害アグリゲータ１４２から訂正されたエラーをクリアする前に、プロセッサ１４０は、訂正されたエラーに対応する障害が特定のＳｏＣ障害アグリゲータからクリアされたというプロセッサ１５０からの通知を待機してもよい。しかしながら、エラーは訂正されているため、いくつかの実施例では、プロセッサ１４０は、このような通知を最初に受信することなく、訂正されたエラーを単にクリアしてもよい。

ＳＩ障害アグリゲータ１４２が訂正されていないエラー信号導体４１２で訂正されていないエラー信号を受信すると、ブロック５６６では、ＳＩ障害アグリゲータ１４２はプロセッサ１４０の割り込みコントローラ１４１（図１、図２、及び図４を参照）に割り込みを送る。この割り込みは、プロセッサ１４０に訂正されていないエラーを知らせる。

判断ブロック５６８では、プロセッサ１４０（図１、図２、及び図４を参照）は、メールボックス割り込み信号導体４１６を介してプロセッサ１５０（図１及び図４を参照）からメールボックス割り込みを受信したかどうかを判定する。メールボックス割り込みが受信されている場合、メールボックス割り込みは訂正されていないエラーのシビアリティを示す。プロセッサ１４０がメールボックス割り込みを受信している場合、判断ブロック５６８の判断は「はい」である。それ以外の場合、判断ブロック５６８の判断は「いいえ」である。判断ブロック５６８の判断が「いいえ」である場合、ブロック５５８では、プロセッサ１４０はメールボックス割り込みか、ＳｏＣ障害アグリゲータ信号のいずれかの受信を待機する。判断ブロック５６８の判断が「はい」の場合、プロセッサ１４０は判断ブロック５７０に進む。

判断ブロック５７０では、プロセッサ１４０（図１、図２、及び図４を参照）は、メールボックス１５６を読み取るかどうかを判断する。この判断は、訂正されていないエラーのシビアリティに少なくとも部分的に基づき得る。例えば、プロセッサ１４０は、訂正されていないエラーのシビアリティが閾値（例えば、７）以上の場合にメールボックス１５６を読み取らないと判断し、訂正されたエラーのシビアリティが閾値を下回っている場合にメールボックス１５６を読み取ると判断することができる。判断ブロック５７０の判断が「はい」の場合、ブロック５７２では、プロセッサ１４０はメールボックス１５６を読み取る。その後、プロセッサ１４０はブロック５７３に進む。判断ブロック５７０の判断が「いいえ」の場合、プロセッサ１４０はブロック５７３に進む。

判断ブロック５７３では、プロセッサ１４０は、１つ又は複数の訂正措置を行うかどうかを判断する。判断ブロック５７３の判断が「はい」である場合、ブロック５７４では、プロセッサ１４０は、車両のブレーキをかけるなどの訂正措置を行う。その後、プロセッサ１４０はブロック５７５に進む。

判断ブロック５７３の判断が「いいえ」の場合、プロセッサ１４０は判断ブロック５７５に進む。判断ブロック５７５では、プロセッサ１４０は、外部システム４０４に通知するかどうかを判断する。判断ブロック５７５の判断が「はい」である場合、ブロック５７６では、プロセッサ１４０は外部システム４０４に通知し、ブロック５７８に進む。判断ブロック５７５の判断が「いいえ」の場合、プロセッサ１４０はブロック５７８に進む。

ブロック５７８では、プロセッサ１４０は、メールボックス１５６にメールボックス割り込みを送る、及び／又は例えば、ステータス・ビット「ＢＴ２」の設定を解除することによって訂正されていないエラーをクリアする。任意選択で、プロセッサ１４０は、障害情報をメールボックス１５６に書き込むことができる。プロセッサ１４０がＳＩ障害アグリゲータ１４２から訂正されていないエラーをクリアする前に、プロセッサ１４０は、訂正されていないエラーに対応する障害が特定のＳｏＣ障害アグリゲータからクリアされたというプロセッサ１５０からの通知を待機してもよい。その後、方法５５０は終了する。メールボックス割り込みは、プロセッサ１５０によって受信され、プロセッサ１５０が訂正されていないエラーに対応する障害をクリアするべきかどうかを判断する際に、判断ブロック５４７（図５Ｂを参照）で使用され得る。プロセッサ１５０は、任意選択で、この判断をする前に、プロセッサ１４０によって、メールボックス１５６に書き込まれた障害情報を読み取ることができる。

図５Ｄは、本開示のいくつかの実施例による、ＳＩ１１０（図１、図２、図４、図８、及び図１０を参照）がＳｏＣ障害アグリゲータ信号を処理するために使用し得る方法５８０を示すフロー図である。ここで、図５Ｄを参照すると、本明細書に説明される方法５８０の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るコンピューティング・プロセスが含まれる。例えば、様々な機能は、メモリ（例えば、図１、図２、及び図４に示す揮発性メモリ１４６）に記憶された命令（例えば、図１、図２、及び図４に示す命令１４９）をプロセッサ（例えば、図１、図２、及び図４に示すプロセッサ１４０）が実行することによって実行され得る。方法５８０の少なくとも一部は、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法５８０は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法５８０は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法５８０は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明されているものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

説明を容易にするために、方法５８０は、ＳＩ障害アグリゲータ１４２（図１、図２、及び図４を参照）、プロセッサ１４０（図１、図２、及び図４）、及びＳｏＣエラー処理回路４２２（図４を参照）によって実行されているものとして説明する。ＳｏＣエラー処理回路４２２は、ＳＩ障害アグリゲータ１４２のコンポーネントとして実装され得る。図５Ｄを参照すると、第１のブロック５８２において、ＳＩ障害アグリゲータ１４２（図１、図２、及び図４を参照）は、ステータス・ビット「ＢＴ３」を設定するＳｏＣ障害アグリゲータ信号を受信する。

図５Ｄに破線の矢印で示すように、ＳＩ障害アグリゲータ１４２（図１、図２、及び図４を参照）がＳｏＣ障害アグリゲータ信号を受信すると、ＳＩ１１０のＳｏＣエラー処理回路４２２（図４を参照）は、自動的にブロック５８４に進み、ＳｏＣエラーを含むＳｏＣエラー信号を外部システム４０４（図４を参照）に接続４０６（図４を参照）経由で自動的に送信することができる。或いは、ＳｏＣエラー処理回路４２２は、ブロック５８６に進み、ＳｏＣ障害タイマ４２４（図４を参照）を開始することもできる。ＳｏＣ障害タイマ４２４は、ＳｏＣ障害アグリゲータ信号が受信されるときと外部システム４０４が通知されるときとの間に遅延を発生させることがある。ＳｏＣ障害タイマ４２４が実行している最中に、プロセッサ１４０は１つ又は複数の訂正措置を行うことができる。訂正措置が成功した場合、プロセッサ１４０はステータス・ビット「ＢＴ２」の設定を解除することによって訂正されていないエラーをクリアし、ステータス・ビット「ＢＴ３」の設定を解除することによってＳｏＣ障害アグリゲータ・エラーをクリアすることができる。ＳｏＣ障害アグリゲータ・エラーをクリアすると、ＳｏＣ障害タイマ４２４が停止する。プロセッサ１４０がＳＩ障害アグリゲータ１４２から訂正されていないエラーをクリアする前に、プロセッサ１４０は、訂正されていないエラーに対応する障害が特定のＳｏＣ障害アグリゲータからクリアされたというプロセッサ１５０からの通知を待機してもよい。

ＳｏＣ障害タイマ４２４が開始された後、判断ブロック５８８では、ＳｏＣエラー処理回路４２２は、ＳｏＣ障害タイマ４２４が第４の所定の時間を超えて経過したことを示すかどうかを判断する。ＳｏＣ障害タイマ４２４が、第４の所定の時間を超えて経過していて、ＳｏＣ障害アグリゲータ・エラーがクリアされていないことを示す場合、判断ブロック５８８の判断は「はい」である。一方、ＳｏＣ障害タイマ４２４が第４の所定の時間が超えて経過したことを示す前に、ＳｏＣ障害アグリゲータ・エラーがクリアされると、判断ブロック５８８の判断は「いいえ」である。

判断ブロック５８８の判断が「いいえ」の場合、ブロック５９０では、ＳｏＣエラー処理回路４２２は、第４の所定の時間を超えて経過したことをＳｏＣ障害タイマ４２４が示すのを待機する。一方、ブロック５８８の判断が「はい」の場合、ブロック５８４では、ＳｏＣエラー処理回路４２２は、接続４０６（図４を参照）経由で、第１の訂正されていないエラーがクリアされておらず、ＳｏＣ障害アグリゲータ・エラーがアサートされていることを示す、ＳｏＣエラーを含むＳｏＣエラー信号を外部システム４０４（図４を参照）に送信する。ＳｏＣ障害タイマ４２４は、ＳｏＣエラーが送られると自動的に停止する及び／又はリセットされる。或いは、ＳｏＣエラー処理回路４２２がＳｏＣ障害タイマ４２４をリセットする場合があり、また、ＳｏＣ障害タイマ４２４が、ＳｏＣエラー処理回路４２２が何の措置も行わないで、単に期限切れになる場合もある。

ＳＩ障害アグリゲータ１４２（図１、図２、及び図４を参照）がＳｏＣ障害アグリゲータ信号を受信した後、ブロック５９２では、ＳＩ障害アグリゲータ１４２はプロセッサ１４０に割り込みを送る場合がある。ブロック５９４では、プロセッサ１４０が第１の訂正されていないエラーをトリアージする。判断ブロック５９５では、プロセッサ１４０は、１つ又は複数の訂正措置を行うかどうかを判断する。プロセッサ１４０が１つ又は複数の訂正措置を行うと判断した場合、判断ブロック５９５の判断は「はい」である。それ以外の場合、判断ブロック５９５の判断は「いいえ」である。判断ブロック５９５の判断が「いいえ」の場合、プロセッサ１４０はブロック５９６に進み、措置は行わない。一方、判断ブロック５９５の判断が「はい」の場合、ブロック５９７では、プロセッサ１４０は訂正措置を行う。

次に、ブロック５９８では、プロセッサ１４０は、メールボックス１５６にメールボックス割り込みを送る、及び／又は例えば、ステータス・ビット「ＢＴ３」の設定を解除することによってＳｏＣ障害アグリゲータ・エラーをクリアし、ステータス・ビット「ＢＴ２」の設定を解除することによって訂正されていないエラーをクリアする。ＳｏＣ障害アグリゲータ・エラーをクリアすると、ＳｏＣ障害タイマ４２４が停止する。メールボックス１５６に送られたメールボックス割り込みは、訂正されていないエラーがクリアされたこと、及び／又はプロセッサ１４０がブロック５９７で訂正措置を行ったことを示し得る。任意選択で、プロセッサ１４０は、障害情報をメールボックス１５６に書き込むことができる。プロセッサ１４０がＳＩ障害アグリゲータ１４２からＳｏＣ障害アグリゲータ・エラー及び訂正されていないエラーをクリアする前に、プロセッサ１４０は、訂正されていないエラーに対応する障害が特定のＳｏＣ障害アグリゲータからクリアされたというプロセッサ１５０からの通知を待機してもよい。その後、方法５８０は終了する。メールボックス割り込みはプロセッサ１５０によって受信され、プロセッサ１５０は、訂正されていないエラーに対応する障害をクリアすることができる。プロセッサ１５０は、任意選択で、障害をクリアする前にプロセッサ１４０によってメールボックス１５６に書き込まれた障害情報を読み取ることができる。

図５Ａ～図５Ｄでは、車載ＳｏＣ１０４にはプロセッサ１５０が含まれている。少なくともいくつかの実施例では、プロセッサ１５０は省略されてもよい。このような実施例では、方法５４０は実行されない。各障害について、特定のＳｏＣ障害アグリゲータがＳｏＣ障害アグリゲータ・エラーを生成してＳＩ障害アグリゲータ１４２に送る（ブロック５１８及びブロック５３２）。プロセッサ１５０が存在しないため、メールボックス割り込みは、割り込みコントローラ１４１に送信されず、したがって、プロセッサ１４０はプロセッサ１４０が動作する前にＳｏＣ障害アグリゲータ信号を待機する（図５Ｃのブロック５５８）。次に、ＳｏＣ障害アグリゲータ・エラーが受信される（図５Ｄのブロック５８２）と、ＳＩ１１０は、方法５５０（図５Ｃを参照）で受信された訂正されたエラー及び訂正されていないエラー毎にトリアージを行う（図５Ｄのブロック５９４）ために、他のコンポーネント１６０に進出する。トリアージが成功した場合、プロセッサ１４０は訂正措置を行う（図５Ｄのブロック５９７）。一方、トリアージに失敗した場合、プロセッサ１４０は措置を行わない（図５Ｄのブロック５９６）。これにより、ＳｏＣ障害タイマ４２４の期限が切れた後、ＳｏＣエラー処理回路４２２は（ソフトウェアの介入なしで）ＳｏＣエラーを送る（図５Ｄのブロック５８４）。ＳｏＣエラーは、外部システム４０４（例えば、任意選択の外部制御ユニット１０６、１つ又は複数の外部マイクロコントローラ、１つ又は複数の外部エージェントなど）に通知し、外部システム４０４が車載プラットフォーム１００（図１を参照）を安全な状態に戻すことを可能にする。

図６Ａ～図６Ｃは、ＳＩ１１０が訂正されたエラー信号、訂正されていないエラー信号、又はＳｏＣ障害アグリゲータ信号のうちの少なくとも１つによって特定の障害を通知された場合に、ＳＩ１１０が行い得る措置の例を示している。図６Ａは、本開示のいくつかの実施例による、シビアリティの低い訂正されていないエラー（例えば、最小値）がアサートされた後に、プロセッサ１４０によって送受信される信号の信号タイミング図の例を示している。図６Ａの線６１２Ａ～６１８Ａは、それぞれ、訂正されていないエラー信号、メールボックス割り込み信号、ＳｏＣ障害アグリゲーション信号、及びＳｏＣエラー信号を表している。訂正されていないエラー信号、メールボックス割り込み信号、ＳｏＣ障害アグリゲーション信号、及びＳｏＣエラー信号は、線６１０Ａで表されるクロック信号と同期されている。線６１０Ａで表されるクロック信号は、ＳＩドメイン内の第２の（ＳＩ）クロック１１４（図１を参照）に基づいて生成されている。

線６１２Ａは、訂正されていないエラー信号導体４１２（図４を参照）によってＳＩ障害アグリゲータ１４２に導かれた訂正されていないエラー信号を表す。線６１２Ａの一部分６２２Ａは、訂正されていないエラーのアサートを表す。訂正されていないエラー信号を受信した後（例えば、図５Ｃのブロック５５２）、ＳＩ障害アグリゲータ１４２はプロセッサ１４０に割り込みを送る（例えば、図５Ｃのブロック５６６）。

次に、図６Ａでは、割り込みコントローラ１４１がメールボックス割り込みを受信する（図５Ｃの判断ブロック５６８の判断が「はい」である）。線６１４Ａの一部分６２６Ａは、訂正されていないエラーのシビアリティを示すメールボックス割り込み（プロセッサ１５０によって送られる）を表す。メールボックス割り込みは、特定の障害のシビアリティが低いことを示しているため、プロセッサ１４０はメールボックス１５６にアクセスすると判断して（例えば、図５Ｃの判断ブロック５７０の判断が「はい」である）、メールボックス１５６の内容を読み取る（例えば、図５Ｃのブロック５７２）。メールボックス１５６に、特定の障害がクリアされたことを示す障害情報（プロセッサ１５０によって作成される）が含まれている場合、プロセッサ１４０はＳＩ障害アグリゲータ１４２内の特定の障害をクリアする（例えば、図５Ｃのブロック５７８）。訂正されたエラー・タイマ４２０Ｕが期限切れになる前にこれが起きた場合、ＳｏＣ障害アグリゲータ１５２はＳｏＣ障害アグリゲータ・エラーをアサートしない（例えば、図５Ａのブロック５２９）。

一方、メールボックス１５６の内容が、プロセッサ１５０が特定の障害をクリアしたことを示していない場合、プロセッサ１４０は１つ又は複数の訂正措置を行うことを判断し得る（例えば、図５Ｃの判断ブロック５７３の判断が「はい」である）。（例えば、図５Ｃのブロック５７４で行われた）訂正措置が成功した場合、プロセッサ１４０はプロセッサ１５０にエラーをディアサートする（又は障害をクリアする）ように通知し得る。例えば、プロセッサ１４０はプロセッサ１５０にメールボックス割り込みを送るか、及び／又はメールボックス１５６に障害情報を書き込むことができる。プロセッサ１５０がこの通知を受信してエラーをディアサートした後、プロセッサ１５０はプロセッサ１４０にエラーがディアサートされたことを（例えば、訂正されていないエラー信号、メールボックス割り込み、及び／又はメールボックス１５６に記憶されている障害情報を介して）通知する。この通知を受信した後、プロセッサ１４０は、例えば、ステータス・ビット「ＢＴ２」の設定を解除することによってエラーをクリアすることができる（例えば、図５Ｃのブロック５７８）。線６１２Ａの一部分６２４Ａは、プロセッサ１４０がメールボックス１５６を読み取り、訂正措置を行った後の訂正されていないエラーのディアサートを表す。曲線矢印６２８Ａは、プロセッサ１４０がメールボックス割り込みを受信したときと、プロセッサ１４０がエラーをディアサートした（又は障害をクリアした）ときとの間の遅延を表す。

訂正措置が成功すると、プロセッサ１４０はメールボックス１５６に、プロセッサ１４０が特定の障害をクリアしたことを示すメールボックス割り込みを送ることができる（例えば、図５Ｃのブロック５７８）。任意選択で、プロセッサ１４０は、障害情報をメールボックス１５６に書き込むことができる。プロセッサ１５０はメールボックス割り込みを受信し、特定の障害がプロセッサ１４０によって訂正されたと判定し（例えば、判断ブロック５４７の判断が「はい」である）、ＳｏＣ障害アグリゲータ１５２から特定の障害をクリアする（例えば、図５Ｂのブロック５４９）。訂正されていないエラー・タイマ４２０Ｕが期限切れになる前にこれが起きた場合、ＳｏＣ障害アグリゲータ１５２はＳｏＣ障害アグリゲータ・エラーをアサートしない（例えば、図５Ａのブロック５２９）。したがって、ＳｏＣ障害アグリゲータ１５２は、特定の障害をモニタリングして、プロセッサ１４０及び１５０のうちの１つによって処理したことを確実にし、訂正されていないエラー・タイマ４２０Ｕが期限切れになる前に特定の障害がクリアされていないときは、ＳｏＣ障害アグリゲータ１５２は、ＳｏＣエラー処理回路４２２に通知する。前述のように、プロセッサ１５０がエラーをディアサートした後、プロセッサ１５０はプロセッサ１４０にエラーがディアサートされたことを（例えば、訂正されていないエラー信号、メールボックス割り込み、及び／又はメールボックス１５６に記憶されている障害情報を介して）通知し、プロセッサ１４０はＳＩ障害アグリゲータ１４２内のエラーをクリアすることができる。

線６１６ＡはＳｏＣ障害アグリゲーション信号を表し、ＳｏＣ障害アグリゲーション・エラーがアサートされなかったことを示す。したがって、訂正されていないエラー・タイマ４２０Ｕが期限切れになる前に、訂正されていない障害がクリアされた。

線６１８Ａは、接続４０６経由で外部システム４０４（例えば、任意選択の外部制御ユニット１０６、１つ又は複数の外部マイクロコントローラ、１つ又は複数の外部エージェントなど）に送られ得るＳｏＣエラー信号を表す。訂正されていないエラーは処理され、ＳｏＣ障害アグリゲーション・エラーがアサートされなかったため、線６１８ＡはＳＩ１１０が訂正されていないエラーを外部システム４０４に通知しないことを示す（例えば、判断ブロック５７５の判断が「いいえ」である）。

図６Ｂは、本開示のいくつかの実施例による、シビアリティの高い訂正されていないエラー（例えば、最大値）がアサートされた後に、プロセッサ１４０によって送受信される信号の信号タイミング図の例を示している。図６Ｂの線６１２Ｂ～６１８Ｂは、それぞれ、訂正されていないエラー信号、メールボックス割り込み信号、ＳｏＣ障害アグリゲーション信号、及びＳｏＣエラー信号を表している。訂正されていないエラー信号、メールボックス割り込み信号、ＳｏＣ障害アグリゲーション信号、及びＳｏＣエラー信号は、線６１０Ｂで表されるクロック信号と同期されている。線６１０Ｂで表されるクロック信号は、ＳＩドメイン内の第２の（ＳＩ）クロック１１４（図１を参照）に基づいて生成されている。

線６１２Ｂは、訂正されていないエラー信号導体４１２（図４を参照）によってＳＩ障害アグリゲータ１４２に導かれた訂正されていないエラー信号を表す。線６１２Ｂの一部分６２２Ｂは、訂正されていないエラーのアサートを表す。訂正されていないエラー信号を受信した後（例えば、図５Ｃのブロック５５２）、ＳＩ障害アグリゲータ１４２はプロセッサ１４０に割り込みを送る（例えば、図５Ｃのブロック５６６）。

次に、図６Ｂでは、割り込みコントローラ１４１がメールボックス割り込みを受信する（例えば、図５Ｃの判断ブロック５６８の判断が「はい」である）。線６１４Ｂの一部分６２４Ｂは、メールボックス割り込みを表し、これは、第１の訂正されていないエラーが高いシビアリティ（例えば、７）を有することを示す。メールボックス割り込みは、特定の障害のシビアリティが高いことを示しているため、プロセッサ１４０はメールボックス１５６にアクセスしないと判断する（例えば、図５Ｃの判断ブロック５７０の判断が「いいえ」である）。例えば、プロセッサ１４０は、車載ＳｏＣ１０４の他のコンポーネント１６０にアクセスするのは危険すぎて、それを行うとＳＩ１１０に悪影響を及ぼす可能性があると判定することがある。図６Ｂでは、プロセッサ１４０はまた、１つ又は複数の訂正措置を行わないと判断する（例えば、図５Ｃの判断ブロック５７３の判断が「いいえ」である）。図６Ｂでは、ＳＩ１１０が１つ又は複数の訂正措置を行うことができないため、訂正されていないエラーはディアサートされていない。

しかしながら、プロセッサ１４０はＳｏＣエラー信号でＳｏＣエラーを送ることにより、外部システム４０４（図４を参照）に通知すると判断する（例えば、図５Ｃの判断ブロック５７５の判断が「はい」である）。次に、プロセッサ１４０は、ＳｏＣエラー信号を送る（例えば、図５Ｃのブロック５７６）。したがって、図６Ｂでは、障害のシビアリティが高い場合（例えば、最大値）、ＳＩ１１０は車載ＳｏＣ１０４にアクセスしない、訂正措置を行わない、そして、代わりに外部システム４０４を通知すると判断し得る。線６１８ＢはＳＩ１１０によって外部システム４０４に送られるＳｏＣエラー信号を表し、線６１８Ｂの一部分６２６ＢはＳｏＣエラーのアサートを表す。線６１６ＢはＳｏＣ障害アグリゲーション信号を表し、ＳｏＣ障害アグリゲーション・エラーがアサートされていることをまだ示していない。したがって、ＳＩ１１０は訂正されていないエラーが処理されていないことを認識し、ＳｏＣ障害アグリゲーション・エラーがアサートされる前に外部システム４０４に通知することを判断する。

図６Ｃは、本開示のいくつかの実施例による、訂正されていないエラー（例えば、最大値）がアサートされた後であるが、ＳＩ１１０はメールボックス割り込みを受信していない、プロセッサ１４０によって送受信される信号の信号タイミング図の例を示す。図６Ｃの線６１２Ｃ～６１８Ｃは、それぞれ、訂正されていないエラー信号、メールボックス割り込み信号、ＳｏＣ障害アグリゲーション信号、及びＳｏＣエラー信号を表している。訂正されていないエラー信号、メールボックス割り込み信号、ＳｏＣ障害アグリゲーション信号、及びＳｏＣエラー信号は、線６１０Ｃで表されるクロック信号と同期されている。線６１０Ｃで表されるクロック信号は、ＳＩドメイン内の第２の（ＳＩ）クロック１１４（図１を参照）に基づいて生成されている。

線６１２Ｃは、訂正されていないエラー信号導体４１２（図４を参照）によってＳＩ障害アグリゲータ１４２に導かれた訂正されていないエラー信号を表す。線６１２Ｃの一部分６２２Ｃは、訂正されていないエラーのアサートを表す。訂正されていないエラー信号を受信した後（例えば、図５Ｃのブロック５５２）、ＳＩ障害アグリゲータ１４２はプロセッサ１４０に割り込みを送る（例えば、図５Ｃのブロック５６６）。

図６Ｃでは、線６１４Ｃはメールボックス割り込みを受信したことを示していない。したがって、この例では、割り込みコントローラ１４１はメールボックス割り込みを受信しない（例えば、図５Ｃの判断ブロック５６８の判断が「いいえ」である）。これは、例えば、プロセッサ１５０が訂正されていないエラーのトリアージを完了できず（例えば、図５Ｂのブロック５４２）、プロセッサ１５０がメールボックス割り込みを送ることができない（図５Ｃの判断ブロック５４３の判断が「はい」である）場合に起こる可能性がある（例えば、図５Ｂのブロック５４４）。したがって、プロセッサ１４０は、メールボックス割り込み又はＳｏＣ障害アグリゲータ・エラーのいずれかを、いずれか最初に発生したものを受信するのを待機する（例えば、図５Ｃのブロック５５８）。

線６２８Ｃは、第３の所定の時間を表し、訂正されていないエラー・タイマ４２０Ｕが期限切れになったことを示す。プロセッサ１４０もプロセッサ１５０も第１の訂正されていないエラーをクリアできなかったため、訂正されていないエラー・タイマ４２０Ｕは期限切れになることができる（例えば、図５Ａの判断ブロック５３０の判断は「はい」である）。これにより、訂正されていないエラー信号をＳＩ１１０に送り、割り込みをプロセッサ１５０に送ったＳｏＣ障害アグリゲータ１５２のうちの特定の１つが、ＳｏＣ障害アグリゲータ信号をＳｏＣ障害アグリゲータ信号導体４１４を介してＳＩ障害アグリゲータ１４２に送信する（例えば、図５Ａのブロック５３２）。ＳＩ障害アグリゲータ１４２は、ＳｏＣ障害アグリゲータ信号を受信する（例えば、図５Ｄのブロック５８２）。線６１６Ｃの一部分６２４Ｃは、特定のＳｏＣ障害アグリゲータによってＳＩ１１０に送られるＳＩ障害アグリゲータ・エラーを表す。曲線矢印６３０Ｃは、ＳＩ１１０が訂正されていないエラーを受信したときと、ＳＩ１１０がＳＩ障害アグリゲータ・エラーを受信したときとの間の遅延を表す。

ＳＩ障害アグリゲータ信号を受信した後（例えば、図５Ｄのブロック５８２）、ＳＩ障害アグリゲータ１４２はプロセッサ１４０に割り込みを送る（例えば、図５Ｄのブロック５９２）。次に、プロセッサ１４０は、第１の訂正されていないエラーをトリアージして（例えば、図５Ｄのブロック５９４）、訂正措置を行うかどうかを判断することができる。プロセッサ１４０が訂正措置を行うことができない場合（例えば、図５Ｄの判断ブロック５９５の判断が「いいえ」である）、ＳｏＣエラー処理回路４２２はＳｏＣエラー信号を外部システム４０４に送る（例えば、図５Ｃのブロック５８４）。線６１２Ｃの一部分６２６Ｃは、外部システム４０４に送られたＳｏＣエラーを表す。ＳｏＣ障害タイマ４２４を使用する実施例では、ＳｏＣ障害タイマ４２４が期限切れになるとＳｏＣエラーが送られる。図６Ｃでは、線６３２Ｃは、第４の所定の時間を超えて経過したことを示している。これは、ＳｏＣ障害タイマ４２４の期限が切れたことを意味する。曲線矢印６３４Ｃは、ＳＩ１１０がＳＩ障害アグリゲータ・エラーを受信したときと、ＳＩ１１０がＳｏＣエラーをアサートしたときとの間の遅延を表す。したがって、ＳＩ１１０内のハードウェアは外部システム４０４に通知し、外部システム４０４は、車載プラットフォーム１００を安全な状態に戻すことを試みる。

図２を参照すると、前述のように、ＳＩ１１０と車載ＳｏＣ１０４の他のコンポーネント１６０とは、揮発性メモリ１２６を共有している。しかし、ＳＩ１１０は第１のリスク分類レベル内で動作し、車載ＳｏＣ１０４の他のコンポーネント１６０は、より低い第２のリスク分類レベル内で動作する可能性がある。例えば、ＳＩ１１０はＡＳＩＬ－Ｄで動作するが、揮発性メモリ１２６及びＳＩ１１０と揮発性メモリ１２６との間の通信パス（例えば、インターコネクト、メモリ・コントローラなど）を含む車載ＳｏＣの他のコンポーネントはＡＳＩＬ－Ｂで動作する場合がある。

ＳＩ１１０が揮発性メモリ１２６を車載ＳｏＣ１０４の他のコンポーネント１６０と共有できるようにするために、ＳＩ１１０による排他的な使用のために、別個の専用メモリ領域（「カーブアウト部」２５０と呼ばれる）が揮発性メモリ１２６に作成される。カーブアウト部２５０は、メインＣＰＵコンプレックス１２０（図１を参照）によって実行されるメモリ管理ソフトウェア（例えば、リッチＯＳメモリ管理リッチＯＳメモリ管理ソフトウェア）からは見えない場合がある。カーブアウト部２５０は、ブート時に作成及び構成することができ、所与のブート・サイクルの間、ＳＩ１１０専用のままにしておくことができる。例えば、カーブアウト部２５０のサイズは、カーブアウト部２５０を構成するために（例えば、メインＣＰＵコンプレックス１２０によって実行される）ソフトウェアによって使用される、ユーザが編集可能なソフトウェア・パラメータによって判断することができる。カーブアウト部２５０は、第１のサブセクション２５２（図８を参照）と第２のサブセクション２５４（図８を参照）とに分けることができる。ＳＩ１１０は、第１のリスク分類レベルで動作する通信パスを介してカーブアウト部２５０にアクセスでき、その通信パスを介したＳＩ１１０によるカーブアウト部２５０への任意のアクセスは、以下に説明するようなセキュリティ許可チェックを受けることになり得る。

ＳＩ１１０にはエラー検出ブロック２７２が含まれている。このブロックには、ＳＩ１１０の他のコンポーネントとカーブアウト部２５０との間に配置されたハードウェアが含まれている。したがって、エラー検出ブロック２７２は揮発性メモリ・インターフェース２００Ａのコンポーネントとして実装され得る。或いは、エラー検出ブロック２７２は、プロセッサ１４０と揮発性メモリ・インターフェース２００Ａとの間に配置されてもよい。このような実施例では、１つ又は複数の信号導体（例えば、ワイヤ、信号トレースなど）がエラー検出ブロック２７２を、プロセッサ１４０及び揮発性メモリ・インターフェース２００Ａの各々に接続することができる。

エラー検出ブロック２７２のハードウェアには、コード生成サブブロック２７３（図８を参照）が含まれている場合がある。コード生成サブブロック２７３は、周期的冗長検査（ＣＲＣ：Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）コードを生成するＣＲＣコード生成回路を使用して実装され得る。或いは、エラー検出ブロック２７２には、エラー訂正コード（ＥＣＣ：Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｏｎ Ｃｏｄｅ）など、異なるタイプのエラー検出コードを生成する他のタイプのコード生成回路が含まれていてもよい。エラー検出ブロック２７２のハードウェアは、エラー検出ブロック２７２を通過するデータに対して１つ又は複数のエラー検出コード（例えば、ＣＲＣコード）を判断する。例えば、エラー検出ブロック２７２は、エラー検出ブロック２７２を通過するデータの各バイト毎に別個のエラー検出コードを判断し得る。エラー検出コードは、バイトと、バイトが記憶されるカーブアウト部２５０のデータ・アドレスとに基づいて計算され得る。例えば、以下の式１を使用して、カーブアウト部２５０に書き込まれるデータの特定のバイトのエラー検出コードを判断することができる：
ｃｒｃ＿ｏｕｔ_{Ｂｙｔｅ ｘ}＝ＣＲＣ（Ｂｙｔｅ Ａｄｄｒｅｓｓ，Ｂｙｔｅ Ｄａｔａ） 式１

上記の式１では、変数「ｃｒｃ＿ｏｕｔ_{Ｂｙｔｅ ｘ}」は、変数「Ｂｙｔｅ Ｄａｔａ」によって表されるバイトと、変数「Ｂｙｔｅ Ａｄｄｒｅｓｓ」によって表されるデータ・アドレスとに基づいて計算されるエラー検出コードを表す。式１では、関数「ＣＲＣ」は、変数「Ｂｙｔｅ Ｄａｔａ」及び「Ｂｙｔｅ Ａｄｄｒｅｓｓ」の値を入力として使用し、変数「ｃｒｃ＿ｏｕｔ_{Ｂｙｔｅ ｘ}」の値を出力する。関数「ＣＲＣ」の出力は、存在する場合、コード生成サブブロック２７３（図８を参照）によって少なくとも部分的に計算され得る。

エラー検出コードが判断された後、エラー検出ブロック２７２は、エラー検出コードのコード・アドレスを（例えば、オフセットを使用して）判断する。例えば、以下の式２を使用して、カーブアウト部２５０に書き込まれるデータの特定のバイトのエラー検出コードを判断することができる：
ｃｒｃ＿ｏｕｔ＿ａｄｄｒｅｓｓ＝ｗｒｉｔｅ＿ａｄｄｒｅｓｓ＋ｆｉｘｅｄ＿ｏｆｆｓｅｔ 式２

上記の式２では、変数「ｃｒｃ＿ｏｕｔ＿ａｄｄｒｅｓｓ」は、バイトの変数「ｗｒｉｔｅ＿ａｄｄｒｅｓｓ」によって表されるデータ・アドレスと、変数「ｆｉｘｅｄ＿ｏｆｆｓｅｔ」によって表されるオフセットとに基づいて計算されるコード・アドレスを表す。前述のように、カーブアウト部２５０はサブセクションに分けることができ、第１のサブセクション２５２（図８を参照）はデータを記憶し、第２のサブセクション２５４（図８を参照）はエラー検出コードを記憶する。したがって、上記の式１の変数「Ｂｙｔｅ Ａｄｄｒｅｓｓ」によって表されるデータ・アドレスは、第１のサブセクション２５２に置くことができ、上記の式２の変数「ｗｒｉｔｅ＿ａｄｄｒｅｓｓ」によって表されるコード・アドレスは、第２のサブセクション２５４に置くことができる。このような実施例では、変数「ｆｉｘｅｄ＿ｏｆｆｓｅｔ」の値は、エラー検出コードが第２のサブセクション２５４に確実に記憶されるように、カーブアウト部２５０の第１のサブセクション２５２のサイズと同じになり得る。このようにして、アドレス・ベースの分離を使用してエラー検出コードからデータを分離し、これにより、第１のサブセクション２５２及び第２のサブセクション２５４のうちの一方で発生する障害が他方のサブセクションに影響を与えないようにする。

エラー検出ブロック２７２は、データ・アドレス内へのデータの記憶とコード・アドレス内へのエラー検出コードの記憶との間に遅延（例えば、数クロック・サイクル）を発生させる。この遅延により、データに悪影響を与えるイベント（例えば、一時的イベント）がエラー検出コードにも悪影響を及ぼす可能性が低減する。つまり、遅延は共通原因故障や一時的故障からの耐性を提供するのに役立ち、これは、クロック・グリッチなどの問題からの保護を提供するのに役立つ。エラー検出ブロック２７２は、２バイト以上のデータとそれに対応するエラー検出コードをバッファしてから、それらをカーブアウト部２５０に記憶することができる。そして、エラー検出ブロック２７２は、第１のサブセクション２５２にデータのバイト（例えば、１６バイト）を記憶することができ、その後に遅延が続く。次に、エラー検出ブロック２７２は、第２のサブセクション２５４に、対応するエラー検出コード（例えば、１６バイト）を記憶することができる。

ここで、図７を参照すると、本明細書に説明される方法７００の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るプロセスが含まれる。例えば、方法７００はエラー検出ブロック２７２（図２、図８、及び図１０を参照）のハードウェアによって実行され得る。別の非限定的な例として、１つ又は複数の機能は、メモリ（例えば、図１、図２、及び図４に示す揮発性メモリ１４６）に記憶された命令（例えば、図１、図２、及び図４に示す命令１４９）をプロセッサ（例えば、図１、図２、及び図４に示すプロセッサ１４０）が実行することによって実行され得る。このような実施例では、方法７００の少なくとも一部は、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法７００は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法７００は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法７００は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明されているものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

図７は、本開示のいくつかの実施例による、カーブアウト部２５０（図２、図８、及び図１０を参照）にデータを書き込む方法７００を示すフロー図である。説明を容易にするために、方法７００はエラー検出ブロック２７２（図２、図８、及び図１０を参照）によって実行されているものとして説明する。方法７００が開始される前に、ＳＩドメインで動作するイニシエータ（例えば、プロセッサ１４０、ＤＭＡエンジン４０２など）が、データ及びデータ・アドレスを含む第１の書き込み命令をエラー検出ブロック２７２に転送する。イニシエータは、所定のサイズ（例えば、１６バイト）のデータをカーブアウト部２５０に書き込むことができる。

図７を参照すると、第１のブロック７０２において、エラー検出ブロック２７２（図２、図８、及び図１０を参照）は、イニシエータからデータ及びデータ・アドレスを含む第１の書き込み命令を受信する。ブロック７０４では、エラー検出ブロック２７２は、データの一部分と、その部分に対応するデータ・アドレスのうちの１つとを選択する。非限定的な例として、エラー検出ブロック２７２は、ブロック７０４において、データのバイトと、選択したバイトに対応するデータ・アドレスとを選択することができる。いくつかの実施例では、第１の書き込み命令には単一のデータ・アドレス（例えば、第１のアドレス）しか含まれていない場合がある。後続のデータ・アドレスは、その単一のアドレスに基づいて（例えば、所定のデータ・サイズを単一のデータ・アドレスに追加することによって）判断され得る。したがって、いくつかの実施例では、データ・アドレスは、データの少なくとも一部については、ブロック７０４において計算される場合がある。

次に、ブロック７０６では、エラー検出ブロック２７２は、ブロック７０４において選択されたデータの一部分のエラー検出コードを（例えば、上記の式１を使用して）判断する。次に、ブロック７０８では、エラー検出ブロック２７２は、ブロック７０４において選択されたデータの一部分と対応するデータ・アドレスとを含む第１の書き込み命令を、カーブアウト部２５０（図２、図８、及び図１０を参照）の第１のサブセクション２５２（図８及び図１０を参照）に転送する。第１の書き込み命令に従って、カーブアウト部２５０は、第１のサブセクション２５２の対応するデータ・アドレスに一部分を記憶する。

次のブロック７１０では、エラー検出ブロック２７２（図２、図８、及び図１０を参照）は、ブロック７０６において（例えば、上記の式２を使用して）判断されたエラー検出コードのコード・アドレスを判断する。ブロック７１２では、エラー検出ブロック２７２は、エラー検出コードをカーブアウト部２５０（図２、図８、及び図１０を参照）の第１のサブセクション２５２（図８及び図１０を参照）宛てに、コード・アドレスに記憶するために送るのを、待機する（例えば、数クロック・サイクル）。したがって、ブロック７１２では、エラー検出ブロック２７２は、データ・アドレス内へのデータの記憶とコード・アドレス内へのエラー検出コードの記憶との間に遅延を発生させる。エラー検出ブロック２７２には、ブロック７１２においてエラー検出ブロック２７２が待機する時間を判断するために使用される書き込み遅延タイマ（図示せず）が含まれていてもよい。したがって、エラー検出ブロック２７２は、コード・アドレス内への記憶のためにエラー検出コードをカーブアウト部２５０に送る前に、第５の所定の時間だけ待機することがある。次に、ブロック７１４では、エラー検出ブロック２７２は、ブロック７０６において判断されたエラー検出コードとブロック７１０において判断されたコード・アドレスとを含む第２の書き込み命令を、カーブアウト部２５０（図２、図８、及び図１０を参照）の第２のサブセクション２５４（図８及び図１０を参照）に転送する。したがって、データを記憶するために、エラー検出ブロック２７２は、ブロック７０８及びブロック７１４においてそれぞれ１回ずつで、２回カーブアウト部２５０にアクセスする。第２の書き込み命令に従って、カーブアウト部２５０は、第２のサブセクション２５４のコード・アドレスにエラー検出コードを記憶する。

次に、判断ブロック７１６では、エラー検出ブロック２７２（図２、図８、及び図１０を参照）は、記憶されていないデータがないかどうかを判定する。エラー検出ブロック２７２が、データの少なくとも一部が記憶されていないと判定した場合、判断ブロック７１６の判断は「はい」である。それ以外の場合、判断ブロック５１６の判断は「いいえ」である。判断ブロック７１６の判断が「はい」の場合、エラー検出ブロック２７２はブロック７０４に戻り、データの新しい部分を選択する。一方、判断ブロック７１６の判断が「いいえ」の場合、エラー検出ブロック２７２はブロック７０２に戻り、新しいデータ及び新しいデータ・アドレスを受信する。

前述のように、エラー検出ブロック２７２は、２バイト以上のデータとそれに対応するエラー検出コードをバッファしてから、それらをカーブアウト部２５０に記憶することができる。例えば、ブロック７０６～７１４の各々は、データの複数のブロック（例えば、ブロック７０４において選択される）に対して実行することができる。非限定的な例として、エラー検出ブロック２７２は、２バイト以上のデータに対してブロック７０６を実行してから、ブロック７０８において、第１の書き込み命令をカーブアウト部２５０に、データのバイトとそれに対応するデータ・アドレスとともに送ることができる。例えば、エラー検出ブロック２７２は、第１のデータ・アドレスとともにデータのバイトを第１のサブセクション２５２に送ることができる。第１のサブセクション２５２は、第１のデータ・アドレスから始まる連続したメモリ・アドレスにデータのバイトを書き込むことができる。次に、ブロック７１０では、エラー検出ブロック２７２は、ブロック７０６において判断された２つ以上のエラー検出コードのコード・アドレスを判断することができる。ブロック７１２では、エラー検出ブロック２７２は、データのバイトの書き込みとカーブアウト部２５０へのエラー検出コードの書き込みとの間に遅延を発生させる。次に、ブロック７１４では、エラー検出ブロック２７２は、エラー検出コードとコード・アドレスとを含む第２の書き込み命令を第２のサブセクション２５４に転送する。第２のサブセクション２５４は、コード・アドレスにエラーコード検出コードを書き込む。実装例の詳細に応じて、第２の書き込み命令には第１のコード・アドレスしか含まれていない場合があり、第２のサブセクション２５４は第１のコード・アドレスから始まる連続したメモリ・アドレスにエラー検出コードを書き込むことができる。

図８は、方法７００（図７を参照）を実行するエラー検出ブロック２７２の一例を示している。ＳＩ１１０には、プロセッサ１４０、ＤＭＡエンジン４０２など、各々ＳＩドメイン内で動作する１つ又は複数のイニシエータ８００が含まれ得る。図８では、イニシエータ８００にはイニシエータ８０２（例えば、プロセッサ１４０）が含まれている。イニシエータ８０２（例えば、プロセッサ１４０）は、所定のサイズ（例えば、１６バイト）のデータをカーブアウト部２５０に書き込むことができる。図８に示す例では、イニシエータ８０２は、１６バイトのデータと第１のデータ・アドレスとをエラー検出ブロック２７２に送る。データは、図８では、「ｗｄａｔａ＿ｉｎ［１２７：０］」という名前の１２８ビットの配列によって記憶又は表現され、第１のデータ・アドレスは、図８では、「Ａｄｄｒｅｓｓ＿０［３９：０］」という名前の４０ビットの配列によって記憶又は表現されている。しかしながら、実装例の詳細によっては、データは他のサイズを有していてもよく、１２８ビットは非限定的な例として提供されている。同様に、第１のデータ・アドレスも他のサイズを有していてもよく、４０ビットは非限定的な例として提供されている。データの第１のバイトは、第１のデータ・アドレスに記憶され、次のデータ・アドレスは、第１のデータ・アドレスに１バイトを追加することによってデータの第２のバイトについて識別され、以下同様であり得る。図８は、イニシエータ８０２が安全アイランド・インターコネクト８０８を介して、信号８０６で第１の書き込み命令８０４をエラー検出ブロック２７２に送っていることを示している。前述のように、第１の書き込み命令８０４にはデータと第１のデータ・アドレスとが含まれている。安全アイランド・インターコネクト８０８は、バスなどとして実装され得る。

安全アイランド・インターコネクト８０８は、第１の書き込み命令８０４をエラー検出ブロック２７２に供給する（例えば、図７のブロック７０２）。図示する実施例では、安全アイランド・インターコネクト８０８は、第１の書き込み命令８０４を信号８１０－０～８１０－１５で供給する。各信号には、データのバイト及び第１のデータ・アドレスのうちの１つが含まれている。この実施例では、エラー検出ブロック２７２は、データの各バイトのエラー検出コードを生成し、生成されるエラー検出コードはＣＲＣコードである。エラー検出ブロック２７２は、バイトが信号８１０－０～８１０－１５で受信されるとバイトの処理を開始することができる（例えば、図７のブロック７０４）。

次に、コード生成サブブロック２７３がデータの各バイトのエラー検出コードを判断する（例えば、図７のブロック７０６）。図８では、エラー検出コードを伝達する信号と、エラー検出コードに関連するカーブアウト部２５０からの応答を伝達する信号８３８とは、破線矢印によって示されている。したがって、コード生成サブブロック２７３は、データのバイトを信号８１２－０～８１２－１５で出力し、対応するエラー検出コードを信号８１４－０～８１４－１５で出力する。（データ）信号８１２－０～８１２－１５は、記憶のために第１のサブセクション２５２にルーティングされ、（コード）信号８１４－０～８１４－１５は、記憶のために第２のサブセクション２５４にルーティングされる。

エラー検出ブロック２７２は、第１の時間（例えば、図８では「Ｔｉｍｅ＝Ｔ０」と識別されている）に、（例えば、信号８１２－０～８１２－１５内の）データ及び第１のデータ・アドレスを、揮発性メモリ・インターフェース２００Ａ（図２を参照）を介して、カーブアウト部２５０の第１のサブセクション２５２に送る。つまり、エラー検出ブロック２７２は、第１の書き込み命令をカーブアウト部２５０の第１のサブセクション２５２に送る（例えば、図７のブロック７０８）。揮発性メモリ・インターフェース２００Ａは、車載ＳｏＣ１０４（図１、図２、及び図４を参照）のデータ・バックボーン及びメモリ・サブシステム８２６を介して、第１の書き込み命令をカーブアウト部２５０に伝達する。図８では、第１の書き込み命令は、エラー検出ブロック２７２によって、信号８２４で第１のサブセクション２５２に送られている。

第１のサブセクション２５２は、第１のデータ・アドレス（図８では「Ａｄｄｒｅｓｓ＿０」と表されている）に第１のバイト（図８では「Ｄａｔａ０」と表されている）を記憶し、第１のデータ・アドレスの後の後続のデータ・アドレスに後続のバイトを書き込むことによって、データをメモリに書き込む。この書き込みは、図８では「Ｔｉｍｅ＝Ｔ０」として表されている第１の時間に発生する。次に、第１のサブセクション２５２は、データが記憶されたことを確認する応答信号８２８をイニシエータ８０２に送る。応答信号８２８は、第１のサブセクション２５２によってデータ・バックボーン及びメモリ・サブシステム８２６に送られ、データ・バックボーン及びメモリ・サブシステム８２６が応答信号８２８を揮発性メモリ・インターフェース２００Ａ（図２を参照）に転送する。揮発性メモリ・インターフェース２００Ａがロック解除されると、揮発性メモリ・インターフェース２００Ａは応答信号８２８を第１の（データ）バッファ８２０に転送する。

第１の（データ）バッファ８２０は、カーブアウト部２５０から応答信号８２８で受信された「データ書き込み完了応答」を並べ替える。例えば、エラー検出ブロック２７２は、（例えば、図７のブロック７０８で送られる第１の書き込み命令で）書き込み命令Ａ及びＢのペアをカーブアウト部２５０に送ることができる。書き込み命令Ｂは、書き込み命令Ａの後にエラー検出ブロック２７２によって送られる。カーブアウト部２５０が書き込み命令Ａ及びＢに含まれるデータを書き込んだ後、カーブアウト部２５０は、第１及び第２のデータ書き込み完了応答をエラー検出ブロック２７２に送る。しかし、書き込み命令Ｂに対して受信される第２のデータ書き込み完了応答は、書き込み命令Ａに対する第１のデータ書き込み完了応答の前にエラー検出ブロック２７２に到達する場合がある。この場合、第１の（データ）バッファ８２０は、第２のデータ書き込み完了応答を記憶し、第１のデータ書き込み完了応答を待機し、第１のデータ書き込み完了応答が到着したらそれを送り、第２のデータ書き込み完了応答を第１のデータ書き込み完了応答の後に送る。したがって、第１の（データ）バッファ８２０は、データ書き込み完了応答を、応答信号８２８において予想される順序に置く。

第１の（データ）バッファ８２０は、応答信号８２８を安全アイランド・インターコネクト８０８に転送し、安全アイランド・インターコネクト８０８が応答信号８２８をイニシエータ８０２に転送する。この時点で、この例では、データ（例えば、１６バイト）が第１の単一の書き込み操作で第１のサブセクション２５２に書き込まれている。

エラー検出ブロック２７２はまた、第１のデータ・アドレスに基づいて第１のコード・アドレスを判断する（例えば、図７のブロック７１０）。図８では、第１のコード・アドレスは、第１のデータ・アドレスに１６メガバイト（ＭＢ：ＭｅｇａＢｙｔｅ）を加算することによって計算される。しかしながら、実装例の詳細によっては、オフセットは他のサイズを有していてもよく、１６ＭＢは例として提供されている。さらに、第１のコード・アドレスの位置は、他の方法及び／又は計算を使用して判断されてもよい。

エラー検出ブロック２７２は、第２の時間（例えば、図８では「Ｔｉｍｅ＝Ｔ１」と識別されている）まで待機する（例えば、図７のブロック７１２）。第１の時間と第２の時間とは異なる。第２の時間に、エラー検出ブロック２７２は、エラー検出コード及び第１のコード・アドレスを、揮発性メモリ・インターフェース２００Ａ（図２を参照）を介して、カーブアウト部２５０の第２のサブセクション２５４に送る。つまり、エラー検出ブロック２７２は、第２の書き込み命令をカーブアウト部２５０の第２のサブセクション２５４に送る（例えば、図７のブロック７１４）。揮発性メモリ・インターフェース２００Ａは、車載ＳｏＣ１０４（図１、図２、及び図４を参照）のデータ・バックボーン及びメモリ・サブシステム８２６を介して、第２の書き込み命令をカーブアウト部２５０に伝達する。図８では、第２の書き込み命令は、エラー検出ブロック２７２によって、信号８３４で第２のサブセクション２５４に送られている。

第２のサブセクション２５４は、第１のコード・アドレス（図８では「Ａｄｄｒｅｓｓ＿１」と表されている）に第１のエラー検出コード（図８では「ＣＲＣ０」と表されている）を記憶し、第１のコード・アドレスの後の後続のコード・アドレスに後続のエラー検出コードを書き込むことによって、エラー検出コードをメモリに書き込む。次に、第２のサブセクション２５４は、エラー検出コードが記憶されたことを確認する応答信号８３８をイニシエータ８０２に送る。図８に示す実施例では、応答信号８３８は、第２のサブセクション２５４によってデータ・バックボーン及びメモリ・サブシステム８２６に送られ、データ・バックボーン及びメモリ・サブシステム８２６が応答信号８３８を揮発性メモリ・インターフェース２００Ａ（図２を参照）に転送する。揮発性メモリ・インターフェース２００Ａがロック解除されると、揮発性メモリ・インターフェース２００Ａは応答信号８３８を第２の（コード）バッファ８２２に転送する。第２の（コード）バッファ８２２は、カーブアウト部２５０から応答信号８３８で受信された「コード書き込み完了応答」を並べ替える。例えば、エラー検出ブロック２７２は、書き込み命令Ａ及びＢに含まれるデータの第１及び第２のエラー検出コードをそれぞれ判断し、第１及び第２のエラー検出コードをカーブアウト部２５０に（例えば、第２の書き込み命令で）送る。カーブアウト部２５０が第１及び第２のエラー検出コードをメモリに書き込んだ後、カーブアウト部２５０は、第１及び第２のコード書き込み完了応答をそれぞれ第２の（コード）バッファ８２２に送る。しかし、第２のエラー検出コードに対して受信される第２のコード書き込み完了応答は、第１のエラー検出コードに対する第１のコード書き込み完了応答の前にエラー検出ブロック２７２に到達する場合がある。この場合、第２の（コード）バッファ８２２は、第２のコード書き込み完了応答を記憶し、第１のコード書き込み完了応答を待機し、第１のコード書き込み完了応答が到着したらそれを送り、第２のコード書き込み完了応答を第１のコード書き込み完了応答の後に送る。

第２の（コード）バッファ８２２は、応答信号８３８をドロップすることがある。或いは、第２の（コード）バッファ８２２は、応答信号８３８を安全アイランド・インターコネクト８０８に転送し、安全アイランド・インターコネクト８０８が応答信号８３８をイニシエータ８０２に転送してもよい。この時点で、この例では、エラー検出コード（例えば、１６バイト）が第２の単一の書き込み操作で第２のサブセクション２５４に書き込まれている。

揮発性メモリ・インターフェース２００Ａには、エラー検出ブロック２７２と揮発性メモリ１２６とを接続する２つのパラレルの、及び任意選択で専用のインターフェースが含まれている場合がある。データは第１のインターフェースを介して第１のデータ・アドレスに送られ、エラー検出コードは第２のインターフェースを介して第１のコード・アドレスに送られ得る。このような実施例では、エラー検出ブロック２７２は、エラー検出ブロック２７２が（例えば、信号８３４に）エラー検出コードと第１のコード・アドレスとを含む第２の書き込み命令を第２のサブセクション２５４に第２のインターフェースを介して送るのと同時に、（例えば、信号８２４に）データと第１のデータ・アドレスとを含む第１の書き込み命令を第１のサブセクション２５２に第１のインターフェースを介して送ることができる。さらに、（データ）応答信号８２８及び（コード）応答信号８３８は、それぞれ第１のバッファ８２０及び第２のバッファ８２２に、それぞれ第１及び第２のインターフェースを介して同時に送信することができる。

ＳＩ１１０のイニシエータ８０２（例えば、プロセッサ１４０）がカーブアウト部２５０からデータを読み取ることを望む場合、ＳＩ１１０はカーブアウト部２５０からデータとエラー検出コードの両方を受信する。ＳＩ１１０は、データがデータ・アドレスから読み取られるときと、エラー検出コードがコード・アドレスから読み取られるときとの間に遅延を発生させる。この遅延により、データに悪影響を与えるイベントがエラー検出コードにも悪影響を及ぼす可能性が低減する。ＳＩ１１０は、エラー検出ブロック２７２を介して読み取ったデータを渡す。エラー検出ブロック２７２は、読み取ったデータのチェック・コードを判断し、エラー検出コードとチェック・コードとを比較する。この比較は、以下の式３で表すことができる：
ＣＲＣ＿ｇｅｎ（Ｒｅｑｕｅｓｔｅｄ ａｄｄｒｅｓｓ，Ｆｅｔｃｈｅｄ Ｄａｔａ）＝＝ｃｒｃ＿ｉｎ_{Ｂｙｔｅ ｘ}（ＣＲＣ＿ａｄｄｒｅｓｓ） 式３

式３では、演算子「＝＝」は、演算子「＝＝」の左にある式が演算子「＝＝」の右にある式と等しいかどうかを示す。変数「Ｆｅｔｃｈｅｄ Ｄａｔａ」は、ブロック９０６において取得されたデータの少なくとも一部分（例えば、Ｂｙｔｅ ｘ）を表し、変数「Ｒｅｑｕｅｓｔｅｄ ａｄｄｒｅｓｓ」は、データのその部分のデータ・アドレスを表し、変数「ＣＲＣ＿ａｄｄｒｅｓｓ」は、データの一部分（例えば、Ｂｙｔｅ ｘ）のデータ・アドレスに基づいて判断されるコード・アドレスを表す。関数「ＣＲＣ＿ｇｅｎ」は、変数「Ｆｅｔｃｈｅｄ Ｄａｔａ」及び「Ｒｅｑｕｅｓｔｅｄ ａｄｄｒｅｓｓ」の値を入力として使用し、関数「ＣＲＣ＿ｇｅｎ」はその部分（例えば、Ｂｙｔｅ ｘ）のチェック・コードを出力する。関数「ＣＲＣ＿ｇｅｎ」は、上記の式１の関数「ＣＲＣ」と同一であり得る。関数「ＣＲＣ＿ｇｅｎ」の出力は、存在する場合、コード生成サブブロック２７３（図８を参照）によって少なくとも部分的に計算され得る。式「ｃｒｃ＿ｉｎ_{Ｂｙｔｅ ｘ}（ＣＲＣ＿ａｄｄｒｅｓｓ）」は、そのデータ・アドレスを使用してその部分（例えば、Ｂｙｔｅ ｘ）に対して判断されたコード・アドレスから取得されたエラー検出コードを表す。したがって、式３は、チェック・コードがエラー検出コードと等しいか、又は一致するかを判断する。エラー検出ブロック２７２は、チェック・コードがエラー検出コードと一致しない場合に不一致エラーを生成し得る。エラー検出ブロック２７２は、不一致エラーをイニシエータ８０２及びＳＩ障害アグリゲータ１４２に送り、これにより、命令１４９によって実装され、プロセッサ１４０によって実行される安全ソフトウェアによって不一致エラーがクリアされ得る。

ここで、図９を参照すると、本明細書に説明される方法９００の各ブロックには、ハードウェア、ファームウェア、及び／又はソフトウェアの任意の組み合わせを使用して実行され得るプロセスが含まれる。例えば、方法９００はエラー検出ブロック２７２（図２、図８、及び図１０を参照）のハードウェアによって実行され得る。別の非限定的な例として、１つ又は複数の機能は、メモリ（例えば、図１、図２、及び図４に示す揮発性メモリ１４６）に記憶された命令（例えば、図１、図２、及び図４に示す命令１４９）をプロセッサ（例えば、図１、図２、及び図４に示すプロセッサ１４０）が実行することによって実行され得る。方法９００の少なくとも一部は、コンピュータ記憶媒体に記憶されたコンピュータ使用可能命令としても具体化され得る。方法９００は、いくつか例を挙げると、スタンドアロン・アプリケーション、サービス又はホスト・サービス（スタンドアロン又は別のホスト・サービスとの組み合わせ）、又は別の製品へのプラグ・インによって提供され得る。また、方法９００は、例として、図１の車載プラットフォーム１００に関して説明される。しかしながら、方法９００は、加えて又は或いは、任意の１つのシステム、又は本明細書で説明されているものを含むが、これらに限定されないシステムの任意の組み合わせによって実行され得る。

図９は、本開示のいくつかの実施例による、カーブアウト部２５０（図２、図８、及び図１０を参照）からデータを読み取る方法９００を示すフロー図である。説明を容易にするために、方法９００はエラー検出ブロック２７２（図２、図８、及び図１０を参照）によって実行されているものとして説明する。方法９００が開始される前に、イニシエータ８０２（図８を参照）は、１つ又は複数のデータ・アドレスを含む第１の読み取り命令をエラー検出ブロック２７２に転送する。非限定的な例として、第１の読み取り命令には第１のデータ・アドレスしか含まれていない場合がある。図９を参照すると、第１のブロック９０２において、エラー検出ブロック２７２は、イニシエータ８０２からデータ・アドレスを含む第１の読み取り命令を受信する。ブロック９０４では、エラー検出ブロック２７２は、第１の読み取り命令を第１のサブセクション２５２に転送し、データ・アドレスに記憶されているデータを要求する。第１の読み取り命令に第１のデータ・アドレスしか含まれていない場合、第１のサブセクション２５２は、第１のデータ・アドレスから始まる連続するメモリ・アドレスから、所定量のデータ（例えば、１６バイト）を読み取ることができる。ブロック９０６では、エラー検出ブロック２７２は、第１のサブセクション２５２からデータ・アドレスに記憶されたデータを受信する。

次に、ブロック９０８では、エラー検出ブロック２７２は、データに対応するエラー検出コードのコード・アドレスを（例えば、上記の式２を使用して）判断する。非限定的な例として、コード・アドレスはデータ・アドレスに少なくとも部分的に基づいて判断され得る。例えば、上記の式２に従って、コード・アドレスの各々は、データ・アドレスのうちの対応する１つ（変数「ｗｒｉｔｅ＿ａｄｄｒｅｓｓ」の値）にオフセット（変数「ｆｉｘｅｄ＿ｏｆｆｓｅｔ」の値）を加算することによって計算することができる。実装例の詳細に応じて、エラー検出ブロック２７２は、第１のデータ・アドレスに基づいて第１のコード・アドレスしか識別しない場合がある。次に、ブロック９１０では、エラー検出ブロック２７２は、ブロック９０８で判断されたコード・アドレスに記憶されたエラー検出コードを要求するのを待機する（例えば、数クロック・サイクル）。したがって、ブロック９１０では、エラー検出ブロック２７２は、データの読み取りとコード・アドレスからのエラー検出コードの読み取りとの間に遅延を発生させる。エラー検出ブロック２７２には、ブロック９１０においてエラー検出ブロック２７２が待機する時間を判断するために使用される読み取り遅延タイマ（図示せず）が含まれていてもよい。したがって、エラー検出ブロック２７２は、第２のセクション２５４からエラー検出コードを要求する前に、第６の所定の時間だけ待機することがある。

待機後、次のブロック９１２で、エラー検出ブロック２７２は、ブロック９０８で判断されたコード・アドレスを含む第２の読み取り命令を第２のサブセクション２５４に送り、それらのコード・アドレスに記憶されているエラー検出コードを要求する。したがって、データを読み取るために、エラー検出ブロック２７２は、ブロック９０４及びブロック９１２においてそれぞれ１回ずつで、２回カーブアウト部２５０にアクセスする。第２の読み取り命令に第１のコード・アドレスしか含まれていない場合、第２のサブセクション２５４は、第１のコード・アドレスから始まる連続するメモリ・アドレスから、所定の数のエラー検出コード（例えば、１６バイト）を読み取ることができる。ブロック９１４では、エラー検出ブロック２７２は、第２のサブセクション２５４からコード・アドレスに記憶されたエラー検出コードを受信する。ブロック９１６では、エラー検出ブロック２７２は、ブロック９１４で取得したエラー検出コードの各々のチェック・コードを（例えば、上記の式１を使用して）判断する。

判断ブロック９１８において、エラー検出コードの各々について、エラー検出ブロック２７２は、エラー検出コードが、エラー検出コードに対応するチェック・コードと一致するかどうかを（例えば、上記の式３を使用して）判定する。エラー検出コードが、その対応するチェック・コードと一致する場合、判断ブロック９１８の判断は「はい」である。それ以外の場合、判断ブロック９１８の判断は「いいえ」である。判断ブロック９１８の判断が「はい」である場合、ブロック９２０では、エラー検出ブロック２７２は、エラー検出コードに対応するデータをイニシエータ８０２（図８を参照）に転送する。判断ブロック９１８の判断が「いいえ」である場合、ブロック９２２では、エラー検出ブロック２７２は、不一致エラーを生成し、これをイニシエータ８０２及びＳＩ障害アグリゲータ１４２（図１、図２、及び図４を参照）に送り、これにより、命令１４９によって実装され、プロセッサ１４０によって実行される安全ソフトウェアによって不一致エラーがクリアされ得る。任意選択で、ブロック９２２では、エラー検出ブロック２７２は、エラー検出コード（例えば、ＥＣＣとして実装されている）にデータの回復に使用でき得る情報（例えば、ビット）が含まれている場合、不一致を訂正することを試みてもよい。エラー検出ブロック２７２がエラーを訂正できる場合、エラー検出ブロック２７２はブロック９２２での不一致エラーの生成を省略することができる。ブロック９２０の後、エラー検出ブロック２７２はブロック９２０に進み、データをイニシエータ８０２に転送する。その後、方法９００は終了する。

エラー検出ブロック２７２は、一度に２バイト以上のデータとそれに対応するエラー検出コードをカーブアウト部２５０から読み取ることができる。例えば、ブロック９０４～９１４の各々は、データの複数のブロックに対して実行することができる。非限定的な例として、ブロック９０４では、エラー検出ブロック２７２は、第１のデータ・アドレスから２バイト以上のデータを要求する第１の読み取り命令を第１のサブセクション２５２に送ることができる。第１のサブセクション２５２は、第１のデータ・アドレスから始まる連続したメモリ・アドレスからデータのバイトを読み取り、データのバイトをエラー検出ブロック２７２に送ることができる。このデータのバイトは、エラー検出ブロック２７２がブロック９０６で受信する。次に、ブロック９０８では、エラー検出ブロック２７２は、データ・アドレスに基づいてコード・アドレスを判断することができる。実装例の詳細に応じて、エラー検出ブロック２７２は、第１のデータ・アドレスに基づいて第１のコード・アドレスしか識別しない場合がある。次に、ブロック９１０では、エラー検出ブロック２７２は、データのバイトの読み取りとカーブアウト部２５０からのエラー検出コードの読み取りとの間に遅延を発生させる。次に、エラー検出ブロック２７２は、ブロック９０６で取得されたデータのバイトについて、カーブアウト部２５０に記憶されているエラー検出コードを要求することができる。例えば、エラー検出ブロック２７２は、第１のコード・アドレスを第２のサブセクション２５４に送ることができる。第２のサブセクション２５４は、第１のコード・アドレスから始まる連続したメモリ・アドレスからエラー検出コードを読み取り、エラー検出コードをエラー検出ブロック２７２に送ることができる。このエラー検出コードは、エラー検出ブロック２７２がブロック９１４で受信する。次に、方法９００はブロック９１６で継続する。

図１０は、方法９００を実行するエラー検出ブロック２７２の一例を示している。この例では、プロセッサ１４０は、図８に示す例によって記憶されている１６バイトのデータをカーブアウト部２５０から読み取る。図１０では、読み取られたデータは「ｒｄａｔａ＿ｉｎ［１２７：０］」という名前の１２８ビットの配列によって記憶又は表現され、データは、「Ａｄｄｒｅｓｓ＿０［３９：０］」という名前の４０ビットの配列によって記憶又は表現されている第１のデータ・アドレスから始めて記憶される。図１０では、イニシエータ８０２（例えば、プロセッサ１４０）が、安全アイランド・インターコネクト８０８を介してエラー検出ブロック２７２に第１の読み取り命令１００４を送っていることを示している。安全アイランド・インターコネクト８０８は、第１の読み取り命令１００４をエラー検出ブロック２７２に供給する（例えば、図９のブロック９０２）。

エラー検出ブロック２７２は、第３の時間（例えば、図８では「Ｔｉｍｅ＝Ｔ３」と識別されている）に、第１のデータ・アドレスを、揮発性メモリ・インターフェース２００Ａ（図２を参照）を介して、カーブアウト部２５０の第１のサブセクション２５２に送る。つまり、エラー検出ブロック２７２は、第１の読み取り命令をカーブアウト部２５０の第１のサブセクション２５２に転送する（例えば、図９のブロック９０４）。揮発性メモリ・インターフェース２００Ａは、車載ＳｏＣ１０４のデータ・バックボーン及びメモリ・サブシステム８２６を介して、第１の読み取り命令をカーブアウト部２５０に伝達する。図１０では、第１の読み取り命令は、エラー検出ブロック２７２によって、信号１０１０で第１のサブセクション２５２に送られている。

第１のサブセクション２５２は、第１のデータ・アドレスにおける第１のバイト（「ｂｙｔｅ ０」）から始まるデータをメモリから読み取り、第１のデータ・アドレスの後の後続のデータ・アドレスからの後続のバイトを読み取る。ＳＩ１１０は、所定のサイズ（例えば、１６バイト）のデータをカーブアウト部２５０から読み取ることができる。次に、第１のサブセクション２５２は、読み取られたデータを含む応答信号１０１２をイニシエータ８０２に送る。応答信号１０１２は、第１のサブセクション２５２によってデータ・バックボーン及びメモリ・サブシステム８２６に送られ、データ・バックボーン及びメモリ・サブシステム８２６が応答信号１０１２を揮発性メモリ・インターフェース２００Ａ（図２を参照）に転送する。揮発性メモリ・インターフェース２００Ａがロック解除されると、揮発性メモリ・インターフェース２００Ａは応答信号１０１２を第１の（データ）バッファ８２０に転送する（例えば、図９のブロック９０６）。読み取られ、応答信号１０１２に含まれているデータは、自動的にデータ読み取り完了を示す。そのため、データ読み取り完了応答と特徴付けられ得る。第１の（データ）バッファ８２０がデータ書き込み完了応答に対して行うのと同様に、第１の（データ）バッファ８２０は、データ読み取り完了応答を、応答信号１０１２において予想される順序にすることができる。この時点で、この例では、データ（例えば、１６バイト）が第１の単一の読み取り操作で第１のサブセクション２５２から読み取られており、第１の（データ）バッファ８２０によって予想される順序に置かれている。

次に、エラー検出ブロック２７２は、第１のデータ・アドレスに基づいて第１のコード・アドレス（「Ａｄｄｒｅｓｓ＿１」）を判断する（例えば、図９のブロック９０８）。図１０では、第１のコード・アドレスは、第１のデータ・アドレス（「Ａｄｄｒｅｓｓ＿０」）に（例えば）１６メガバイト（「ＭＢ」）を加算することによって計算される。

次に、エラー検出ブロック２７２は、第４の時間（例えば、図１０では「Ｔｉｍｅ＝Ｔ４」と識別されている）まで待機する（例えば、図９のブロック９１０）。第４の時間に、エラー検出ブロック２７２は、揮発性メモリ・インターフェース２００Ａ（図２を参照）を介して、第２のサブセクション２５４内の第１のコード・アドレスに記憶されているエラー検出コードを要求する。つまり、エラー検出ブロック２７２は、第２の読み取り命令をカーブアウト部２５０の第２のサブセクション２５４に送る（例えば、図９のブロック９１２）。揮発性メモリ・インターフェース２００Ａは、車載ＳｏＣ１０４のデータ・バックボーン及びメモリ・サブシステム８２６を介して、第２の読み取り命令をカーブアウト部２５０に伝達する。図１０では、第２の読み取り命令は、エラー検出ブロック２７２によって、信号１０１４で第２のサブセクション２５４に送られている。

第２のサブセクション２５４は、第１のコード・アドレスにおける（例えば、「ｂｙｔｅ ０」の）第１のエラー検出コードを読み取り、第１のコード・アドレスの後の後続のコード・アドレスから後続のエラー検出コードを読み取ることによって、エラー検出コードをメモリから読み取る。図８及び図１０の例では、エラー検出コードの各々のサイズは１バイトである。次に、第２のサブセクション２５４は、メモリから読み取られたエラー検出コードを含む応答信号１０１６をイニシエータ８０２に送る。図１０では、エラー検出コードを伝達する信号と信号１０１４とは、破線矢印によって示されている。図１０に示す実施例では、応答信号１０１６は、第２のサブセクション２５４によってデータ・バックボーン及びメモリ・サブシステム８２６に送られ、データ・バックボーン及びメモリ・サブシステム８２６が応答信号１０１６を揮発性メモリ・インターフェース２００Ａ（図２を参照）に転送する。揮発性メモリ・インターフェース２００Ａがロック解除されると、揮発性メモリ・インターフェース２００Ａは応答信号１０１６を第２の（コード）バッファ８２２に転送する（例えば、図９のブロック９１４）。読み取られ、応答信号１０１６に含まれているエラー検出コードは、自動的にコード読み取り完了を示す。そのため、コード読み取り完了応答と特徴付けられ得る。第２の（コード）バッファ８２２がコード書き込み完了応答に対して行うのと同様に、第２の（コード）バッファ８２２は、コード読み取り完了応答を、応答信号１０１６において予想される順序に置くことができる。この時点で、この例では、エラー検出コード（例えば、１６バイト）が第２の単一の読み取り操作で第２のサブセクション２５４から読み取られており、第２の（コード）バッファ８２２によって予想される順序に置かれている。

エラー検出ブロック２７２が第４の時間（例えば、図１０では「Ｔｉｍｅ＝Ｔ４」と識別されている）まで待機すると（例えば、図９のブロック９１０）、エラー検出ブロック２７２は、第１の読み取り命令と第２の読み取り命令との間に単に時間間隔を空ける。エラー検出ブロック２７２は、エラー検出ブロック２７２が応答信号１０１２のデータを受信した後、第２のサブセクション２５４からエラー検出コードを要求することができる。或いは、エラー検出ブロック２７２は、第２のサブセクション２５４からエラー検出コードを要求する前に、応答信号１０１２のデータを受信するまで待機しなくてもよい。つまり、第４の時間は、応答信号１０１２が受信されたときではなく、第１の読み取り命令が送られたときに基づいて判断され得る。

前述のように、応答信号１０１２内でバイトは順不同であり得るため、第１の（データ）バッファ８２０はバイトを並べ替えることができる。同様に、第２の（コード）バッファ８２２は、応答信号１０１６内でエラー検出コードが順不同である場合に、エラー検出コードを並べ替えることができる。第１の（データ）バッファ８２０は、各々、データバイトのうちの１つを伝達する信号１０２２－０～１０２２－１５を出力し、第２の（コード）バッファ８２２は、各々、エラー検出コードのうちの１つを伝達する信号１０２４－０～１０２４－１５を出力する。信号１０２２－０～１０２２－１５は、それぞれ信号１０２４－０～１０２４－１５に対応している。第１のバッファ８２０及び第２のバッファ８２２は、信号１０２２－０～１０２２－１５及び１０２４－０～１０２４－１５をルーティング又は並べ替えて、データの各バイトを、バイトに対して作成されたエラー検出コードに関して既知の位置に配置することができる。図１０に示す実施例では、信号１０２２－０～１０２２－１５によって伝達されるバイトは、信号１０２４－０～１０２４－１５によって伝達されるエラー検出コードにインターリーブされる。したがって、図１０のように、データのバイトは網掛けブロックｂ０～ｂ１５によって表される位置に置かれ、エラー検出コードはブロックｃ０～ｃ１５によって表される位置に置かれる。

次に、コード生成サブブロック２７３がデータのバイトの各々についてチェック・コードを（例えば、上記の式１を使用して）判断する（例えば、図９のブロック９１６）。したがって、コード生成サブブロック２７３は、入力として、信号１０２２－０～１０２２－１５のデータのバイトと、信号１０２４－０～１０２４－１５の対応するエラー検出コードとを受信する。

エラー検出コードの各々について、エラー検出ブロック２７２は、エラー検出コードが、エラー検出コードに対応するチェック・コードと一致するかどうかを判定する（例えば、図９の判断ブロック９１８）。エラー検出ブロック２７２は、データのバイトを含むデータ信号１０３２とともに、図１０では、ＡＮＤゲートとして実装されているものとして示されている論理コンポーネント１０３４に転送されるパス信号１０３０において一致したかどうかを示す。パス信号１０３０が、バイトについて記憶されているエラー検出コードは、そのバイトに対して作成されたチェック・コードと一致することを示している場合、論理コンポーネント１０３４は、バイトをチェック済みデータ信号１０３６（データのバイトのみを含む）で出力し、チェック済みデータ信号１０３６をイニシエータ８０２に転送する。一方、パス信号１０３０が不一致を示している場合、論理コンポーネント１０３４はバイトをチェック済みデータ信号１０３６でイニシエータ８０２に転送しない。代わりに、エラー検出ブロック２７２はバイトを破棄する、及び／又はバイトを不一致が発生したことを示す情報（例えば、ゼロ）で置換することができる。非限定的な例では、不一致を生成したバイトのビットは０に設定され得る。チェック済みデータ信号１０３６は、イニシエータ８０２に転送される（例えば、図９のブロック９２０）。エラー検出ブロック２７２は、エラー検出コードがエラー検出コードに対応するチェック・コードと一致しない場合、不一致エラーを生成し、これをイニシエータ８０２に送ることができる（例えば、図９のブロック９２２）。つまり、パス信号１０３０が１つ又は複数の不一致を示している場合、エラー検出ブロック２７２は不一致エラーを生成し、これをイニシエータ８０２に送ることができる。或いは又は加えて、エラー検出ブロック２７２は、不一致エラーを、訂正されていないエラーとしてＳＩ障害アグリゲータ１４２に送る場合もある。したがって、カーブアウト部２５０への記憶中及び／又はカーブアウト部２５０からの取得中にデータ又はエラー検出コードで発生したエラーは検出され、（例えば、訂正されていないエラーとして）報告され得る。

前述のように、揮発性メモリ・インターフェース２００Ａには、エラー検出ブロック２７２と揮発性メモリ１２６とを接続する２つのパラレルの、及び任意選択で専用のインターフェースが含まれている場合がある。このような実施例では、エラー検出ブロック２７２は、エラー検出ブロック２７２が（例えば、信号１０１４に）第１のコード・アドレスを含む第２の読み取り命令を第２のサブセクション２５４に第２のインターフェースを介して送るのと同時に、（例えば、信号１０１０に）第１のデータ・アドレスを含む第１の読み取り命令を第１のサブセクション２５２に第１のインターフェースを介して送ることができる。さらに、第１のサブセクション２５２から読み取られた（例えば、且つ応答信号１０１２で送信される）データと、第２のサブセクション２５４から読み取られた（例えば、且つ応答信号１０１６で送信される）エラー検出コードとは、それぞれ、第１及び第２のインターフェースを介して同時に、それぞれ、第１のバッファ８２０及び第２のバッファ８２２に送信され得る。

図２を参照すると、エラー検出ブロック２７２には、エラー検出ブロック２７２がカーブアウト部２５０からデータを読み取る及び／又はカーブアウト部にデータを書き込む必要のある時間の長さを制限する、エグレス・タイマ２７４及びイングレス・タイマ２７６などの少なくとも１つのトランザクション・タイマが含まれているか、又は接続されている場合がある。エグレス・タイマ２７４及び／又はイングレス・タイマ２７６は、アクセスがエラー検出ブロック２７２を通過する場合は常に自動的に開始する。例えば、イングレス・タイマ２７６は、エラー検出ブロック２７２とイニシエータ８０２（例えば、プロセッサ１４０）との間でデータが通過する場合は常に開始することができ、エグレス・タイマ２７４は、エラー検出ブロック２７２とＳｏＣドメイン（例えば、カーブアウト部２５０）との間でデータが通過する場合は常に開始することができる。イングレス・タイマ２７６は、エラー検出ブロック２７２の機能をモニタリングするのに役立ち、及び／又は（例えば、エグレス・タイマ２７４が正常に機能していない場合に）エグレス・タイマ２７４のバックアップ機能を提供するのに役立ち得る。

書き込み操作中、（例えば、図７のブロック７０２において）イニシエータ８０２がエラー検出ブロック２７２にデータを渡してカーブアウト部２５０に書き込むと、イングレス・タイマ２７６が開始し得る。その後、（例えば、図７のブロック７０８において）データがエラー検出ブロック２７２及び／又はＳＩドメインから出たときに、エグレス・タイマ２７４が開始し得る。エグレス・タイマ２７４は、エラー検出ブロック２７２によって、応答（例えば、図８に示す応答信号８２８）がカーブアウト部２５０から受信されると、停止又はリセットされ得る。その後、エラー検出ブロック２７２によって、応答（例えば、図８に示す応答信号８２８）がイニシエータ８０２（図８を参照）に転送されると、イングレス・タイマ２７６が停止又はリセットされ得る。エグレス・タイマ２７４が第１の閾値時間を超えて時間が経過したことと、エラー検出ブロック２７２が応答を受信していないこととを示している場合、これはイニシエータ８０２がカーブアウト部２５０から応答（例えば、図８に示す応答信号８２８）を受信していないことを意味し、イニシエータ８０２（例えば、プロセッサ１４０）は、エグレス・タイムアウト・エラーを生成する。イングレス・タイマ２７６が第２の閾値時間を超えて時間が経過したことと、エラー検出ブロック２７２がイニシエータ８０２に応答を送信していないこととを示している場合、これはイニシエータ８０２がカーブアウト部２５０から応答を受信していないことを意味し、イニシエータ８０２はイングレス・タイムアウト・エラーを生成する。

読み取り操作中、（例えば、図９のブロック９０２において）エラー検出ブロック２７２がイニシエータ８０２から読み取り要求を受信すると、イングレス・タイマ２７６が起動し得る。次に、エラー検出ブロック２７２が、（例えば、図９のブロック９０４において）カーブアウト部２５０から、第１のデータ・アドレスに記憶されているデータを要求すると、エグレス・タイマ２７４が起動し得る。エグレス・タイマ２７４は、（例えば、図９のブロック９０６において）エラー検出ブロック２７２によって、カーブアウト部２５０からデータを受信すると、停止又はリセットされ得る。その後、エグレス・タイマ２７６は、（例えば、図９のブロック９２０において）エラー検出ブロック２７２によって、データがイニシエータ８０２に転送されると、停止又はリセットされ得る。エグレス・タイマ２７４が第１の閾値時間が経過していて、エラー検出ブロック２７２がカーブアウト部２５０からデータを受信していないことを示している場合、これはイニシエータ８０２がエラー検出ブロック２７２から（例えば、図１０に示すチェック済みデータ信号１０３６で）データを受信していないことを意味し、イニシエータ８０２は、エグレス・タイムアウト・エラーを生成する。イングレス・タイマ２７６が第２の閾値時間を超えて時間が経過したことと、エラー検出ブロック２７２がイニシエータ８０２にデータを送信していないこととを示している場合、これはイニシエータ８０２がカーブアウト部２５０からデータを受信していないことを意味し、イニシエータ８０２はイングレス・タイムアウト・エラーを生成する。

図１１は、いくつかの実施例による、エラー検出ブロック２７２にエグレス・タイマ２７４及びイングレス・タイマ２７６（図２を参照）が含まれている、又はこれらに接続されている場合に、エラー検出ブロック２７２（図２、図８、及び図１０を参照）によって生成されるエラー通知を示すブロック図の図である。図１１では、イニシエータ８０２（図８及び図１０を参照）が、第１の書き込み命令８０４（図８を参照）か又は第１の読み取り命令１００４（図１０を参照）のいずれかを含む信号１１０２を、エラー検出ブロック２７２に送る。前述したように、エグレス・タイマ２７４は、書き込み操作中に、データがエラー検出ブロック２７２及び／又はＳＩドメインから出ると起動し、エグレス・タイマ２７４は、読み取り操作中に、エラー検出ブロック２７２がカーブアウト部２５０から、第１のデータ・アドレスに記憶されているデータを要求すると起動し得る。ブロック１１０４は、エグレス・タイマ２７４がタイムアウトしたことを示す。エグレス・タイマ２７４は、例えば、エラー検出ブロック２７２が書き込み操作中にカーブアウト部２５０から応答（例えば、図８に示す応答信号８２８）を受信しておらず第１の閾値時間を超えて時間が経過した場合に、タイムアウトし得る。別の非限定的な例として、エグレス・タイマ２７４は、エラー検出ブロック２７２が読み取り操作中にエラー検出ブロック２７２からデータを（例えば、図１０に示す応答信号１０１２で）受信しておらず第１の閾値時間を超えて時間が経過した場合に、タイムアウトし得る。エグレス・タイマ２７４がタイムアウトすると、イニシエータ８０２（例えば、プロセッサ１４０）がエグレス・タイムアウト・エラー１１０６を生成し、エグレス・タイムアウト・エラー１１０６をエラー・ロガー１１０８に転送する。一方、エグレス・タイマ２７４がタイムアウトしていない場合、エグレス・タイマ２７４は停止又はリセットされ得る。これは、エラー検出ブロック２７２が書き込み操作中にカーブアウト部２５０から応答（例えば、応答信号８２８）を受信するか、又は、第１の閾値時間が経過する前に読み取り操作中にカーブアウト部２５０からデータ（例えば、応答信号１０１２で）を受信する場合に、起こる可能性がある。

前述のように、イングレス・タイマ２７６は、書き込み操作中に（例えば、図７のブロック７０２において）イニシエータ８０２がエラー検出ブロック２７２にデータを渡してカーブアウト部２５０に書き込むと起動し得る。又は、イングレス・タイマ２７６は、（例えば、図９のブロック９０２において）読み取り操作中にエラー検出ブロック２７２がイニシエータ８０２から読み取り要求を受信すると、起動し得る。したがって、イングレス・タイマ２７６（図２を参照）は、信号１１０２に第１の読み取り命令８０４（図８を参照）又は第１の読み取り命令１００４（図１０を参照）が含まれており、その命令がエラー検出ブロック２７２（図２、図８、及び図１０を参照）によって受信されると起動し得る。ブロック１１１４は、イングレス・タイマ２７６がタイムアウトしたことを示す。イングレス・タイマ２７６は、例えば、第２の閾値時間を超えて時間が経過していて、書き込み操作中にイニシエータ８０２（図８を参照）がカーブアウト部２５０から応答（例えば、図８に示す応答信号８２８）を受信しなかった場合にタイムアウトし得る。別の非限定的な例として、イングレス・タイマ２７６は、第２の閾値時間を超えて時間が経過しており、読み取り操作中にイニシエータ８０２がカーブアウト部２５０からデータ（例えば、図１０に示すチェック済みデータ信号１０３６）を受信していない場合にタイムアウトし得る。イングレス・タイマ２７６がタイムアウトすると、イニシエータ８０２はイングレス・タイムアウト・エラー１１１６を生成し、イングレス・タイムアウト・エラー１１１６をエラー・ロガー１１０８に転送する。一方、イングレス・タイマ２７６がタイムアウトしていない場合、イングレス・タイマ２７６は停止又はリセットされ得る。これは、エラー検出ブロック２７２が書き込み操作中に応答（例えば、応答信号８２８）をイニシエータ８０２に転送するか、又はエラー検出ブロック２７２が読み取り操作中にデータ（例えば、チェック済みデータ信号１０３６）をイニシエータ８０２に転送する場合に起こる可能性がある。

ブロック１１２４は、エラー検出ブロック２７２（図２、図８、及び図１０を参照）のコード生成サブブロック２７３（図２、図８、及び図１０を参照）が、エラー検出コード又はチェック・コードの生成中にエラーが発生したことを示すコード生成／チェック・エラー１１２６を生成することができることを示している。いくつかの実施例では、コード生成／チェック・エラー１１２６は、不一致が発生したことを示すために使用され得る。非限定的な例として、信号１１０２に第１の書き込み命令８０４が含まれている場合、コード生成サブブロック２７３はエラー検出コードを生成している間にコード生成エラーを生成することができる。他の非限定的な例として、信号１１０２に第１の読み取り命令１００４が含まれている場合、エラー検出ブロック２７２は、チェック・コードを生成している間に不一致エラー及び／又はコード生成エラーを生成することができる。これは、コード生成／チェック・エラー１１２６としてエラー・ロガー１１０８に転送される。

エラー・ロガー１１０８は、エラー１１０６、１１１６、及び１１２６をエラー通知１１３０に集約する障害アグリゲータとして機能することができ、エラー・ロガー１１０８はこの通知をＳＩ障害アグリゲータ１４２に送る。

車載ＳｏＣ１０４が最初にブートしたときに、ＳＩ１１０のプロセッサ１４０は、カーブアウト部２５０からデータをプリフェッチしようと試みることができる。プリフェッチとは、カーブアウト部２５０からのデータの非意図的な読み取りの一種であると特徴付けられ得る。共有の揮発性メモリ１２６は揮発性であるため、この時点で、カーブアウト部２５０は、エラー検出コードがないか、又は不一致エラー検出コードに関連付けられた初期化されていないデータを記憶している可能性がある。エラー検出ブロック２７２が不一致エラーを生成しないようにするために、ＳＩ１１０（例えば、プロセッサ１４０、ＤＭＡエンジン４０２など）は、プロセッサ１４０がプリフェッチする又はプリフェッチする可能性のあるデータについて、１つ又は複数のエラー検出コードをカーブアウト部２５０に書き込むことができる。非限定的な例として、ＳＩ１１０は初期データをカーブアウト部２５０に書き込むことができる。これにより、エラー検出ブロック２７２のハードウェアは、コード・アドレスに各々関連付けられている、初期データの１つ又は複数のエラー検出コードを判断する。次に、ＳＩ１１０によって、カーブアウト部２５０が、各エラー検出コードをその関連するコード・アドレスに記憶することができる。したがって、プリフェッチ操作中に、第２のサブセクション２５４によって記憶されるエラー検出コードは第１のサブセクション２５２に記憶されているデータに対応し、エラー検出ブロック２７２は不一致エラーを生成しない。

図２を参照すると、ＳＩ１１０は、車載プラットフォーム１００（図１を参照）がカーブアウト部２５０を必要としない場合、コード生成サブブロック２７３（図２、図８、及び図１０を参照）及び／又はエラー検出ブロック２７２（例えば、ソフトウェア・レジスタ書き込みを使用して）をオフにすることができる。例えば、ＳＩ１１０は、揮発性メモリ１２６が車載プラットフォーム１００に十分なリスク・レベルで動作している場合、コード生成サブブロック２７３及び／又はエラー検出ブロック２７２をオフにすることができる。

本明細書で説明されるこの配置及び他の配置は、実例としてのみ記載されていることを理解すべきである。他の配置及び要素（例えば、マシン、インターフェース、機能、順序、機能のグループ分けなど）を、示されているものに加えて又は代わりに使用することができ、また、いくつかの要素を完全に省略することもできる。さらに、本明細書で説明される要素のうちの多くは、個別の若しくは分散されたコンポーネントとして、又は他のコンポーネントと併せて、並びに任意の適切な組み合わせ及び場所で実装され得る機能的エンティティである。本明細書においてエンティティによって実行されていると説明される様々な機能は、ハードウェア、ファームウェア、及び／又はソフトウェアによって実行され得る。例えば、メモリに記憶された命令を実行するプロセッサによって、様々な機能が実行され得る。

自律車両の例
図１２は、本開示のいくつかの実施例による、自律車両の例１２００の図である。自律車両１２００（或いは、本明細書では「車両１２００」とも呼ぶ）には、自動車といった乗用車、トラック、バス、ファースト・レスポンダ車両、シャトル、電動又はモータ付き自転車、オートバイ、消防車、警察車両、救急車、ボート、建設用車両、潜水艦、ドローン、及び／又は別のタイプの車両（例えば、無人及び／又は１人若しくは複数の乗客を収容できる）が含まれ得るが、これらに限定されない。自律車両は、一般に、米国運輸省の一部門である幹線道路交通安全局（ＮＨＴＳＡ：Ｎａｔｉｏｎａｌ Ｈｉｇｈｗａｙ Ｔｒａｆｆｉｃ Ｓａｆｅｔｙ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ）によって定義される自動化レベルと、自動車技術者協会（ＳＡＥ）の「Ｔａｘｏｎｏｍｙ ａｎｄ Ｄｅｆｉｎｉｔｉｏｎｓ ｆｏｒ Ｔｅｒｍｓ Ｒｅｌａｔｅｄ ｔｏ Ｄｒｉｖｉｎｇ Ａｕｔｏｍａｔｉｏｎ Ｓｙｓｔｅｍｓ ｆｏｒ Ｏｎ－Ｒｏａｄ Ｍｏｔｏｒ Ｖｅｈｉｃｌｅｓ」（規格番号Ｊ３０１６－２０１８０６、２０１８年６月１５日発行、規格番号Ｊ３０１６－２０１６０９、２０１６年９月３０日発行、並びにこの規格の以前及び将来のバージョン）とに関して説明される。車両１２００は、ＳＡＥによって定義されている自律運転レベルのレベル２～レベル５のうちの１つ又は複数に従って機能することができる。例えば、車両１２００は、実施例に応じて、部分運転自動化（レベル２）、条件付き自動化（レベル３）、高自動化（レベル４）、及び／又は完全自動化（レベル５）が可能であり得る。

車両１２００には、シャシー、車両ボディ、ホイール（例えば、２個、４個、６個、８個、１８個など）、タイヤ、車軸、及び車両の他のコンポーネントなどのコンポーネントが含まれ得る。車両１２００には、内燃エンジン、ハイブリッド発電装置、完全電気エンジン、及び／又は別の推進システム・タイプなどの推進システム１２５０が含まれ得る。推進システム１２５０は、車両１２００の推進力を有効にするために、トランスミッションを含み得る車両１２００のドライブ・トレインに接続され得る。推進システム１２５０は、スロットル／アクセル１２５２からの信号の受信に応じて制御され得る。

ハンドルを含み得るステアリング・システム１２５４を使用して、推進システム１２５０が動作しているとき（例えば、車両が動いているとき）に車両１２００を（例えば、所望の経路又はルートに沿って）誘導することができる。ステアリング・システム１２５４は、ステアリング・アクチュエータ１２５６から信号を受信し得る。ハンドルは、完全自動化（レベル５）機能では任意選択であり得る。

ブレーキ・センサ・システム１２４６を使用して、ブレーキ・アクチュエータ１２４８及び／又はブレーキ・センサからの信号の受信に応じて、車両ブレーキを作動させることができる。

１つ又は複数のＣＰＵ、システム・オン・チップ（ＳｏＣ）１２０４（図１４）、及び／又はＧＰＵを含み得るコントローラ１２３６は、車両１２００の１つ又は複数のコンポーネント及び／又はシステムに信号（例えば、コマンドを表す）を提供することができる。例えば、コントローラは、信号を送って、１つ又は複数のブレーキ・アクチュエータ１２４８を介して車両ブレーキを動作させる、１つ又は複数のステアリング・アクチュエータ１２５６を介してステアリング・システム１２５４を動作させる、及び／又は１つ又は複数のスロットル／アクセル１２５２を介して推進システム１２５０を動作させることができる。コントローラ１２３６は、センサ信号を処理する１つ又は複数のオンボード（例えば、統合された）コンピューティング・デバイス（例えば、スーパーコンピュータ）が含まれており、操作コマンド（例えば、コマンドを表す信号）を出力して、自律運転を可能にする及び／又は車両１２００を運転する人間の運転者を支援することができる。コントローラ１２３６には、自律運転機能用の第１のコントローラ１２３６、機能安全機能用の第２のコントローラ１２３６、人工知能機能（例えば、コンピュータ・ビジョン）用の第３のコントローラ１２３６、インフォテインメント機能用の第４のコントローラ１２３６、緊急状態での冗長性用の第５のコントローラ１２３６、及び／又は他のコントローラが含まれ得る。いくつかの例では、単一のコントローラ１２３６が上記の機能のうちの２つ以上を処理してもよく、２つ以上のコントローラ１２３６が単一の機能を処理してもよく、及び／又はその任意の組み合わせであってもよい。

コントローラ１２３６は、１つ又は複数のセンサから受信したセンサ・データ（例えば、センサ入力）に応じて、車両１２００の１つ若しくは複数のコンポーネント及び／又はシステムを制御するための信号を提供することができる。センサ・データは、例えば、グローバル・ナビゲーション衛星システム・センサ１２５８（例えば、全地球測位システム・センサ）、ＲＡＤＡＲセンサ１２６０、超音波センサ１２６２、ＬＩＤＡＲセンサ１２６４、慣性測定ユニット（ＩＭＵ：Ｉｎｅｒｔｉａｌ Ｍｅａｓｕｒｅｍｅｎｔ Ｕｎｉｔ）センサ１２６６（例えば、加速度計、ジャイロスコープ、磁気コンパス、磁力計など）、マイク１２９６、ステレオ・カメラ１２６８、ワイドビュー・カメラ１２７０（例えば、魚眼カメラ）、赤外線カメラ１２７２、サラウンド・カメラ１２７４（例えば、３６０度カメラ）、長距離及び／又は中距離カメラ１２９８、（例えば、車両１２００の速度を測定するための）速度センサ１２４４、振動センサ１２４２、ステアリング・センサ１２４０、（例えば、ブレーキ・センサ・システム１２４６の一部としての）ブレーキ・センサ１２４６、及び／又は他のセンサ・タイプであり、限定されることなく、これらから受信され得る。

コントローラ１２３６のうちの１つ又は複数が、車両１２００の計器群１２３２から入力（例えば、入力データによって表される）を受信し、ヒューマンマシン・インターフェース（ＨＭＩ：Ｈｕｍａｎ－Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）ディスプレイ１２３４、可聴アナンシエータ、スピーカを介して、及び／又は車両１２００の他のコンポーネントを介して、（例えば、出力データ、表示データなどで表される）出力を提供することができる。出力には、車速、速度、時間、マップ・データ（例えば、図１４のＨＤマップ１２２２）、位置データ（例えば、マップ上などの車両１２００の位置）、方向、他の車両の位置（例えば、占有グリッド）、物体に関する情報、及びコントローラ１２３６によって知覚される物体のステータスなどの情報が含まれ得る。例えば、ＨＭＩディスプレイ１２３４には、１つ又は複数の物体（例えば、道路標識、注意標識、信号機の変化など）の存在に関する情報、及び／又は車両が行った、行っている、若しくはこれから行う運転操作に関する情報（例えば、ここで車線変更する、３キロメートル（約２マイル）先の３４Ｂ出口を出るなど）が表示され得る。

車両１２００にはさらに、ネットワーク・インターフェース１２２４が含まれている。これは１つ若しくは複数のワイヤレス・アンテナ１２２６及び／又はモデムを使用して、１つ又は複数のネットワークを介して通信することができる。例えば、ネットワーク・インターフェース１２２４は、ＬＴＥ、ＷＣＤＭＡ（登録商標）、ＵＭＴＳ、ＧＳＭ、ＣＤＭＡ２０００などを介した通信が可能である。ワイヤレス・アンテナ１２２６はまた、ブルートゥース（登録商標）、ブルートゥースＬＥ、Ｚ－Ｗａｖｅ、ジグビーなどのローカル・エリア・ネットワーク、及び／又はＬｏＲａＷＡＮ、ＳｉｇＦｏｘなどの低電力ワイド・エリア・ネットワーク（ＬＰＷＡＮ）を使用して、環境内の物体（例えば、車両、モバイル・デバイスなど）間の通信も可能にし得る。

前述のように、少なくともいくつかの実施例では、車載プラットフォーム１００（図１を参照）は、自律車両１２００のコンポーネントであり得る。このような実施例では、コントローラ１２３６に車載ＳｏＣ１０４が含まれている。

図１３は、本開示のいくつかの実施例による、図１２の自律車両１２００の例のカメラ位置及び視野の一例である。カメラとそれぞれの視野は、１つの実施例であり、限定を意図したものではない。例えば、追加及び／又は代替のカメラを含めることができ、並びに／或いはカメラを車両１２００の別の位置に設置することができる。

カメラのカメラ・タイプには、車両１２００のコンポーネント及び／又はシステムとの使用に適応され得るデジタル・カメラが含まれ得るが、これに限定されない。カメラは、自動車安全水準（ＡＳＩＬ）Ｂ及び／又は別のＡＳＩＬで動作し得る。カメラ・タイプは、実施例に応じて１秒当たり６０フレーム（ｆｐｓ：ｆｒａｍｅｓ ｐｅｒ ｓｅｃｏｎｄ）、１２０ｆｐｓ、２４０ｆｐｓなどの任意の画像キャプチャ・レートが可能であり得る。カメラはロール・シャッタ、グローバル・シャッタ、別のタイプのシャッター、又はそれらの組み合わせを使用することが可能であり得る。いくつかの実例では、カラー・フィルタ・アレイには、レッド・クリア・クリア・クリア（ＲＣＣＣ：Ｒｅｄ Ｃｌｅａｒ Ｃｌｅａｒ Ｃｌｅａｒ）カラー・フィルタ・アレイ、レッド・クリア・クリア・ブルー（ＲＣＣＢ：Ｒｅｄ Ｃｌｅａｒ Ｃｌｅａｒ Ｂｌｕｅ）カラー・フィルタ・アレイ、レッド・ブルー・グリーン・クリア（ＲＢＧＣ：Ｒｅｄ Ｂｌｕｅ Ｇｒｅｅｎ Ｃｌｅａｒ）カラー・フィルタ・アレイ、Ｆｏｖｅｏｎ Ｘ３カラー・フィルタ・アレイ、Ｂａｙｅｒセンサ（ＲＧＧＢ）カラー・フィルタ・アレイ、モノクロ・センサ・カラー・フィルタ・アレイ、及び／又は別のタイプのカラー・フィルタ・アレイが含まれ得る。いくつかの実施例では、ＲＣＣＣ、ＲＣＣＢ、及び／又はＲＢＧＣカラー・フィルタ・アレイを有するカメラなどのクリア・ピクセル・カメラを使用して、光の感受性を高めることができる。

いくつかの実例では、これらのカメラのうちの１つ又は複数を使用して、高度運転者支援システム（ＡＤＡＳ）機能を（例えば、冗長設計又はフェイルセーフ設計の一部として）実行することができる。例えば、多機能モノ・カメラを取り付けて、車線逸脱警報、交通標識アシスト、及びインテリジェント・ヘッドランプ・コントロールなどの機能を提供することができる。これらのカメラのうちの１つ又は複数（例えば、すべてのカメラ）は、同時に画像データ（例えば、ビデオ）を記録して提供することができる。

これらのカメラのうちの１つ又は複数は、カスタム設計（３Ｄプリントされた）アセンブリなどの取り付けアセンブリに取り付けられて、カメラの画像データ・キャプチャ機能を妨げる可能性のある、車の内部からの迷光及び反射（例えば、フロントガラス・ミラーに反射したダッシュボードからの反射）を遮断することができる。サイドミラー取り付けアセンブリを参照すると、サイドミラー・アセンブリは、カメラ取り付けプレートがサイドミラーの形状と一致するように、カスタム３Ｄプリントすることができる。いくつかの実例では、カメラは、サイドミラーに統合されていてもよい。サイドビュー・カメラの場合、カメラはキャビンの各コーナーにある４本の柱内に統合されていてもよい。

車両１２００の前の環境の部分を含む視野を有するカメラ（例えば、前面カメラ）をサラウンド・ビューに使用して、前向きの経路及び障害物を識別するのに役立ち、１つ又は複数のコントローラ１２３６及び／又は制御ＳｏＣを用いて、占有グリッドの生成及び／又は優先車両経路の判断に不可欠な情報を提供するのに役立ち得る。前面カメラを使用して、緊急ブレーキ、歩行者検知、及び衝突回避など、ＬＩＤＡＲと同じＡＤＡＳ機能のうちの多くを実行することができる。前面カメラはまた、車線逸脱警報（ＬＤＷ：Ｌａｎｅ Ｄｅｐａｔｕｒｅ Ｗａｒｎｉｎｇ）、自律クルーズ制御（ＡＣＣ：Ａｕｔｏｎｏｍｏｕｓ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）、及び／又は交通標識認識などの他の機能などのＡＤＡＳ機能及びシステムにも使用することができる。

例えば、相補型金属酸化膜半導体（ＣＭＯＳ：Ｃｏｍｐｌｅｍｅｎｔａｒｙ Ｍｅｔａｌ Ｏｘｉｄｅ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ）カラー・イメージャを含む単眼カメラ・プラットフォームなどの様々なカメラを前面構成で使用することができる。別の実例は、周辺から視界に入ってくる物体（例えば、歩行者、横断する交通、又は自転車）を知覚するために使用され得るワイドビュー・カメラ１２７０であり得る。図１３には１つのワイドビュー・カメラしか示されていないが、車両１２００には任意の数のワイドビュー・カメラ１２７０があってもよい。また、長距離カメラ１２９８（例えば、ロング・ビュー・ステレオ・カメラ・ペア）を、特にニューラル・ネットワークがまだトレーニングされていない物体について、奥行きベースの物体検出に使用することができる。長距離カメラ１２９８はまた、物体の検出及び分類だけでなく、基本的な物体の追跡にも使用することができる。

１つ又は複数のステレオ・カメラ１２６８を前面構成に含めることもできる。ステレオ・カメラ１２６８には、プログラマブル論理（例えば、ＦＰＧＡ）及びＣＡＮ又はイーサネット（登録商標）・インターフェースが統合されているマルチコア・マイクロプロセッサを単一のチップに提供し得るスケーラブルな処理ユニットを含む統合された制御ユニットが含まれている場合がある。このようなユニットを使用して、車両の環境の３Ｄマップを生成することができる。これには、画像内のすべての点の距離推定値が含まれる。別のステレオ・カメラ１２６８には、２つのカメラ・レンズ（左右に１つずつ）と、車両からターゲット物体までの距離を測定し、生成された情報（例えば、メタデータ）を使用して自律緊急ブレーキ及び車線逸脱警報機能を作動させ得る画像処理チップとを含み得るコンパクト・ステレオ・ビジョン・センサが含まれていてもよい。他のタイプのステレオ・カメラ１２６８を、本明細書に説明されているものに加えて、又はその代わりに使用することができる。

車両１２００の横の環境の部分を含む視野を有するカメラ（例えば、サイドビュー・カメラ）をサラウンド・ビューに使用して、占有グリッドを作成及び更新するだけでなく、側面衝撃衝突警報を生成するために使用される情報を提供することができる。例えば、サラウンド・カメラ１２７４（例えば、図１３に示す４つのサラウンド・カメラ１２７４）を車両１２００の周囲に配置することができる。サラウンド・カメラ１２７４には、ワイドビュー・カメラ１２７０、魚眼カメラ、３６０度カメラなどが含まれ得る。例えば、４つの魚眼カメラを車両の前部、後部、及び側部に配置することができる。別の配置では、車両は３つのサラウンド・カメラ１２７４（例えば、左、右、及び後部）を使用し、１つ又は複数の他のカメラ（例えば、前向きのカメラ）を４つ目のサラウンド・ビュー・カメラとして利用することができる。

車両１２００の後方の環境の部分を含む視界を有するカメラ（例えば、リヤビュー・カメラ）を、駐車支援、サラウンド・ビュー、後部衝突警報、並びに占有グリッドの作成及び更新に使用することができる。本明細書で説明するように、前面カメラとしても適しているカメラ（例えば、長距離及び／又は中距離カメラ１２９８、ステレオ・カメラ１２６８、赤外線カメラ１２７２など）を含むが、これらに限定されない様々なカメラを使用することができる。

図１４は、本開示のいくつかの実施例による、図１２の自律車両の例１２００のシステム・アーキテクチャの例のブロック図である。本明細書で説明されるこの配置及び他の配置は、実例としてのみ記載されていることを理解すべきである。他の配置及び要素（例えば、マシン、インターフェース、機能、順序、機能のグループ分けなど）を、示されているものに加えて又は代わりに使用することができ、また、いくつかの要素を完全に省略することもできる。さらに、本明細書で説明される要素のうちの多くは、個別の若しくは分散されたコンポーネントとして、又は他のコンポーネントと併せて、並びに任意の適切な組み合わせ及び場所で実装され得る機能的エンティティである。本明細書においてエンティティによって実行されていると説明される様々な機能は、ハードウェア、ファームウェア、及び／又はソフトウェアによって実行され得る。例えば、メモリに記憶された命令を実行するプロセッサによって、様々な機能が実行され得る。

図１４の車両１２００のコンポーネント、特徴、及びシステムの各々は、バス１２０２を介して接続されているものとして示されている。バス１２０２には、コントローラ・エリア・ネットワーク（ＣＡＮ）データ・インターフェース（或いは、本明細書では「ＣＡＮバス」とも呼ぶ）が含まれ得る。ＣＡＮは、車両１２００内のネットワークであり、ブレーキの作動、加速、制動、ステアリング、フロントガラスのワイパなど、車両１２００の様々な特徴及び機能の制御に役立つように使用され得る。ＣＡＮバスは、数十又は数百のノードを有するように構成され得る。各々、それ自体の固有の識別子（例えば、ＣＡＮ ＩＤ）を有している。ＣＡＮバスは、ハンドルの角度、対地速度、エンジンの毎分回転数（ＲＰＭ：Ｒｅｖｏｌｕｓｉｏｎｓ Ｐｅｒ Ｍｉｎｕｔｅ）、ボタン位置、及び／又は他の車両ステータス・インジケータを見つけるために読み取ることができる。ＣＡＮバスはＡＳＩＬ Ｂに準拠している場合がある。

本明細書では、バス１２０２はＣＡＮバスであるものとして説明されているが、これは限定を意図したものではない。例えば、ＣＡＮバスに加えて又はその代わりに、ＦｌｅｘＲａｙ及び／又はイーサネット（登録商標）を使用することができる。加えて、バス１２０２を表すために１つの線が使用されているが、これは、限定を意図したものではない。例えば、１つ又は複数のＣＡＮバス、１つ又は複数のＦｌｅｘＲａｙバス、１つ又は複数のイーサネット（登録商標）・バス、及び／又は異なるプロトコルを使用する１つ又は複数の他のタイプのバスを含み得る、任意の数のバス１２０２があってもよい。いくつかの実例では、２つ以上のバス１２０２を使用して異なる機能を実行するか、及び／又は冗長性のために使用することができる。例えば、第１のバス１２０２を衝突回避機能に使用し、第２のバス１２０２を作動制御に使用することができる。いずれの実例でも、各バス１２０２は車両１２００のどのコンポーネントとも通信することができ、２つ以上のバス１２０２が同じコンポーネントと通信することもできる。いくつかの実例では、各ＳｏＣ１２０４、各コントローラ１２３６、及び／又は車両内の各コンピュータは、同じ入力データ（例えば、車両１２００のセンサからの入力）にアクセスすることができ、また、ＣＡＮバスなどの共通バスに接続され得る。

車両１２００には、図１２に関して本明細書に説明されているように、１つ又は複数のコントローラ１２３６が含まれ得る。コントローラ１２３６は、様々な機能に使用され得る。コントローラ１２３６は、車両１２００の他の様々なコンポーネント及びシステムのいずれにも結合することができ、車両１２００の制御、車両１２００の人工知能、車両１２００のインフォテインメントなどに使用され得る。

車両１２００には、システム・オン・チップ（ＳｏＣ）１２０４が含まれ得る。ＳｏＣ１２０４には、ＣＰＵ１２０６、ＧＰＵ１２０８、プロセッサ１２１０、キャッシュ１２１２、アクセラレータ１２１４、データ・ストア１２１６、及び／又は図示されていない他のコンポーネント及び特徴が含まれ得る。ＳｏＣ１２０４は、様々なプラットフォーム及びシステムで車両１２００を制御するために使用することができる。例えば、ＳｏＣ１２０４は、１つ又は複数のサーバ（例えば、図１５のサーバ１２７８）からネットワーク・インターフェース１２２４を介してマップ・リフレッシュ及び／又は更新を取得し得るＨＤマップ１２２２を有するシステム（例えば、車両１２００のシステム）において組み合わせることができる。

ＣＰＵ１２０６には、ＣＰＵクラスタ又はＣＰＵコンプレックス（或いは、本明細書では、「ＣＣＰＬＥＸ」とも呼ぶ）が含まれ得る。ＣＰＵ１２０６には、複数のコア及び／又はＬ２キャッシュが含まれ得る。例えば、いくつかの実施例では、ＣＰＵ１２０６には、コヒーレントなマルチプロセッサ構成で８つのコアが含まれていてもよい。いくつかの実施例では、ＣＰＵ１２０６には、４つのデュアルコア・クラスタが含まれていてもよく、各クラスタに専用のＬ２キャッシュ（例えば、２ＭＢのＬ２キャッシュ）がある。ＣＰＵ１２０６（例えば、ＣＣＰＬＥＸ）は、ＣＰＵ１２０６のクラスタの任意の組み合わせを任意の所与の時間にアクティブにできるように、同時クラスタ操作をサポートするように構成され得る。

ＣＰＵ１２０６には、次の特徴のうちの１つ又は複数を含む電力管理機能を実装することができる：個々のハードウェア・ブロックは、動的電力を節約するために、アイドル時に自動的にクロックゲートされ得る、各コア・クロックは、ＷＦＩ／ＷＦＥ命令の実行によりコアがアクティブに命令を実行していない場合、ゲートされ得る、各コアは独立してパワーゲートされ得る、各コア・クラスタは、すべてのコアがクロックゲート又はパワーゲートされている場合、独立してクロックゲートされ得る、及び／又は各コア・クラスタは、すべてのコアがパワーゲートされている場合、独立してパワーゲートされ得る。ＣＰＵ１２０６はさらに、電力状態を管理するための拡張アルゴリズムを実装することができる。この場合、許可される電力状態と予想されるウェイクアップ時間が指定され、ハードウェア／マイクロコードがコア、クラスタ、及びＣＣＰＬＥＸの入るべき最適な電力状態を判断する。処理コアは、作業をマイクロコードにオフロードして、ソフトウェアでの簡素化された電力状態エントリ・シーケンスをサポートすることができる。

ＧＰＵ１２０８には、統合ＧＰＵ（或いは、本明細書では「ｉＧＰＵ」とも呼ぶ）が含まれ得る。ＧＰＵ１２０８は、プログラム可能であり、並列ワークロードに効率的であり得る。いくつかの実例では、ＧＰＵ１２０８は、拡張テンソル命令セットを使用する場合がある。ＧＰＵ１２０８には、１つ又は複数のストリーミング・マイクロプロセッサが含まれ得る。各ストリーミング・マイクロプロセッサには、Ｌ１キャッシュ（例えば、少なくとも９６ＫＢのストレージ容量を有するＬ１キャッシュ）が含まれている場合があり、また、ストリーミング・マイクロプロセッサのうちの２つ以上がＬ２キャッシュ（例えば、５１２ＫＢのストレージ容量を有するＬ２キャッシュ）を共有する場合がある。いくつかの実施例では、ＧＰＵ１２０８には、少なくとも８つのストリーミング・マイクロプロセッサが含まれ得る。ＧＰＵ１２０８は、コンピュータベースのアプリケーション・プログラミング・インターフェース（ＡＰＩ：Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を使用することができる。また、ＧＰＵ１２０８は、１つ又は複数の並列コンピューティング・プラットフォーム及び／又はプログラミング・モデル（例えば、ＮＶＩＤＩＡのＣＵＤＡ）を使用することができる。

ＧＰＵ１２０８は、自動車及び組み込み使用事例での最高のパフォーマンスのために電力最適化され得る。例えば、ＧＰＵ１２０８は、フィン電界効果トランジスタ（ＦｉｎＦＥＴ：Ｆｉｎ Ｆｉｅｌｄ－Ｅｆｆｅｃｔ Ｔｒａｎｓｉｓｔｏｒ）上で製作され得る。しかしながら、これは、限定を意図したものではなく、ＧＰＵ１２０８は他の半導体製造プロセスを使用して製作することができる。各ストリーミング・マイクロプロセッサには、複数のブロックに区分化された多数の混合精度処理コアを組み込むことができる。例えば、また、限定されることなく、６４個のＰＦ３２コアと３２個のＰＦ６４コアを４つの処理ブロックに区分化することができる。このような実例では、各処理ブロックには、１６個のＦＰ３２コア、８個のＦＰ６４コア、１６個のＩＮＴ３２コア、深層学習行列演算のための２つの混合精度ＮＶＩＤＩＡテンソル・コア、Ｌ０命令キャッシュ、ワープ・スケジューラ、ディスパッチ・ユニット、及び／又は６４ＫＢのレジスタ・ファイルが割り当てられ得る。また、ストリーミング・マイクロプロセッサには、計算及びアドレス指定計算の混合を有するワークロードの効率的な実行を提供するための独立した並行の整数及び浮動小数点データ経路が含まれている場合がある。ストリーミング・マイクロプロセッサには、並列スレッド間のより細かい細粒度の同期及び連携を可能にするために、独立したスレッド・スケジューリング能力が含まれている場合がある。ストリーミング・マイクロプロセッサには、プログラミングを単純化しながらパフォーマンスを向上させるために、組み合わされたＬ１データ・キャッシュ及び共有メモリ・ユニットが含まれ得る。

ＧＰＵ１２０８には、いくつかの実例では、約９００ＧＢ／秒のピーク・メモリ帯域幅を提供するために、高帯域幅メモリ（ＨＢＭ：Ｈｉｇｈ Ｂａｎｄｗｉｄｔｈ Ｍｅｍｏｒｙ）及び／又は１６ＧＢ ＨＢＭ２メモリ・サブシステムが含まれ得る。いくつかの実例では、ＨＢＭメモリに加えて又はその代わりに、グラフィックス・ダブル・データ・レート・タイプ５同期ランダム・アクセス・メモリ（ＧＤＤＲ５：Ｇｒａｐｈｉｃｓ Ｄｏｕｂｌｅ Ｄａｔａ Ｒａｔｅ Ｔｙｐｅ Ｆｉｖｅ Ｓｙｎｃｈｒｏｎｏｕｓ Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などの同期グラフィックス・ランダム・アクセス・メモリ（ＳＧＲＡＭ：Ｓｙｎｃｈｒｏｎｏｕｓ Ｇｒａｐｈｉｃｓ Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を使用することができる。

ＧＰＵ１２０８には、アクセス・カウンタを含む統一されたメモリ技術が含まれて、メモリ・ページに最も頻繁にアクセスするプロセッサへのそれらのメモリ・ページのより正確な移動が可能にされ、これにより、プロセッサ間で共有される記憶範囲の効率を向上させることができる。いくつかの実例では、アドレス変換サービス（ＡＴＳ：Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ Ｓｅｒｖｉｃｅ）サポートを使用して、ＧＰＵ１２０８がＣＰＵ１２０６のページ・テーブルに直接アクセスできるようにすることができる。このような実例では、ＧＰＵ１２０８のメモリ管理ユニット（ＭＭＵ：Ｍｅｍｏｒｙ Ｍａｎａｇｅｍｅｎｔ Ｕｎｉｔ）がミスを経験すると、アドレス変換要求がＣＰＵ１２０６に送信され得る。これに対応して、ＣＰＵ１２０６は、アドレスの仮想対物理マッピングのためのそのページ・テーブルを調べることができ、変換をＧＰＵ１２０８に送り返す。したがって、統一されたメモリ技術は、ＣＰＵ１２０６とＧＰＵ１２０８の両方のメモリに単一の統一された仮想アドレス空間を可能にすることができ、これにより、ＧＰＵ１２０８のプログラミングとアプリケーションのＧＰＵ１２０８へのポーティングが単純化される。

また、ＧＰＵ１２０８には、ＧＰＵ１２０８が他のプロセッサのメモリにアクセスする頻度を記録できるアクセス・カウンタが含まれ得る。アクセス・カウンタは、ページに最も頻繁にアクセスするプロセッサの物理メモリにメモリ・ページが移動することを確実にするのに役立ち得る。

ＳｏＣ１２０４には、本明細書に説明されているものを含めて任意の数のキャッシュ１２１２が含まれ得る。例えば、キャッシュ１２１２には、ＣＰＵ１２０６とＧＰＵ１２０８の両方に利用可能であるＬ３キャッシュ（例えば、ＣＰＵ１２０６とＧＰＵ１２０８の両方に接続されている）が含まれ得る。キャッシュ１２１２には、キャッシュ・コヒーレンス・プロトコル（例えば、ＭＥＩ、ＭＥＳＩ、ＭＳＩなど）を使用するなどして、線の状態を記録できるライトバック・キャッシュが含まれ得る。実施例に応じて、Ｌ３キャッシュは４ＭＢ以上が含まれ得るが、より小さいキャッシュ・サイズを使用してもよい。

ＳｏＣ１２０４には、ＤＮＮの処理など、車両１２００の様々なタスク又は操作のいずれかに関して処理を実行する際に活用できる算術論理演算ユニット（ＡＬＵ：Ａｒｉｔｈｍｅｔｉｃ Ｌｏｇｉｃ Ｕｎｉｔ）が含まれ得る。また、ＳｏＣ１２０４には、システム内で数学操作を実行するための浮動小数点演算ユニット（ＦＰＵ：Ｆｌｏａｔｉｎｇ Ｐｏｉｎｔ Ｕｎｉｔ）、又は他の数学コプロセッサ若しくは数値演算コプロセッサ・タイプが含まれていてもよい。例えば、ＳｏＣ１０４には、ＣＰＵ１２０６及び／又はＧＰＵ１２０８内の実行ユニットとして統合された１つ又は複数のＦＰＵが含まれていてもよい。

ＳｏＣ１２０４には、１つ又は複数のアクセラレータ１２１４（例えば、ハードウェア・アクセラレータ、ソフトウェア・アクセラレータ、又はこれらの組み合わせ）が含まれ得る。例えば、ＳｏＣ１２０４には、最適化されたハードウェア・アクセラレータ及び／又は大きなオンチップ・メモリが含まれ得るハードウェア・アクセラレーション・クラスタが含まれ得る。大きなオンチップ・メモリ（例えば、ＳＲＡＭの４ＭＢ）は、ハードウェア・アクセラレーション・クラスタがニューラル・ネットワーク及び他の計算を高速化することを可能にし得る。ハードウェア・アクセラレーション・クラスタを使用して、ＧＰＵ１２０８を補完し、且つＧＰＵ１２０８のタスクの一部を（例えば、他のタスクを実行するためにＧＰＵ１２０８のより多くのサイクルを解放するために）オフロードすることができる。一実例として、アクセラレータ１２１４は、加速に適しているように十分に安定している対象のワークロード（例えば、知覚、畳み込みニューラル・ネットワーク（ＣＮＮ：Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）など）に使用され得る。「ＣＮＮ」という用語には、本明細書で使用される場合、領域ベースの又は領域畳み込みニューラル・ネットワーク（ＲＣＮＮ：Ｒｅｇｉｏｎａｌ Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）及び（例えば、オブジェクト検出に使用されるような）高速ＲＣＮＮを含む、あらゆるタイプのＣＮＮが含まれ得る。

アクセラレータ１２１４（例えば、ハードウェア・アクセラレーション・クラスタ）には、深層学習アクセラレータ（ＤＬＡ：Ｄｅｅｐ Ｌｅａｒｎｉｎｇ Ａｃｃｅｌｅｒａｔｏｒ）が含まれ得る。ＤＬＡには、深層学習アプリケーション及び推論のために１秒あたり追加の１０兆回の操作を提供するように構成され得る１つ又は複数のテンソル処理ユニット（ＴＰＵ：Ｔｅｎｓｏｒ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が含まれ得る。ＴＰＵは、（例えば、ＣＮＮ、ＲＣＮＮなどの）画像処理機能を実行するように構成され、且つそのために最適化されたアクセラレータであり得る。ＤＬＡはさらに、特定のセットのニューラル・ネットワーク・タイプ及び浮動小数点演算、並びに推論のために最適化され得る。ＤＬＡの設計は、汎用ＧＰＵよりも多くのパフォーマンスを１ミリメートルあたりに提供することができ、ＣＰＵのパフォーマンスを大きく超える。ＴＰＵは、例えば、特徴と重みの両方についてＩＮＴ８、ＩＮＴ１６、及びＦＰ１６データ・タイプをサポートするなどの単一インスタンス畳み込み機能、並びにポストプロセッサ機能を含む、いくつかの機能を実行することができる。

ＤＬＡは、様々な機能のうちのいずれかの処理済みデータ又は未処理データに、ニューラル・ネットワーク、特にＣＮＮを迅速且つ効率的に実行することができる。ＣＮＮには、例えば、カメラ・センサからのデータを使用する物体識別及び検出のためのＣＮＮ、カメラ・センサからのデータを使用する距離推定のためのＣＮＮ、マイクからのデータを使用する緊急車両検出及び識別及び検出のためのＣＮＮ、カメラ・センサからのデータを使用する顔認識及び車両所有者識別のためのＣＮＮ、並びに／又はセキュリティ及び／若しくは安全関連イベントのためのＣＮＮを含むが、これらに限定されない。

ＤＬＡは、ＧＰＵ１２０８の任意の機能を実行することができ、また、推論アクセラレータを使用することによって、例えば、設計者は、任意の機能のためにＤＬＡ又はＧＰＵ１２０８のいずれかを対象にすることができる。例えば、設計者は、ＣＮＮの処理と浮動小数点演算をＤＬＡに集中させ、他の機能をＧＰＵ１２０８及び／又は他のアクセラレータ１２１４に委任することができる。

アクセラレータ１２１４（例えば、ハードウェア・アクセラレーション・クラスタ）には、プログラマブル・ビジョン・アクセラレータ（ＰＶＡ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｖｉｓｉｏｎ Ａｃｃｅｌｅｒａｔｏｒ）が含まれ得る。これは、或いは、本明細書では、コンピュータ・ビジョン・アクセラレータと呼ばれることもある。ＰＶＡは、高度運転者支援システム（ＡＤＡＳ）、自律運転、並びに／又は拡張現実（ＡＲ：Ａｕｇｕｍｅｎｔｅｄ Ｒｅａｌｉｔｙ）及び／若しくは仮想現実（ＶＲ：Ｖｉｒｔｕａｌ Ｒｅａｌｉｔｙ）アプリケーション用のコンピュータ・ビジョン・アルゴリズムを加速するように設計及び構成され得る。ＰＶＡは、パフォーマンスと柔軟性とのバランスをもたらすことができる。例えば、各ＰＶＡには、例えば、また、限定されることなく、任意の数の縮小命令セット・コンピュータ（ＲＩＳＣ：Ｒｅｄｕｃｅｄ Ｉｎｓｔｒｕｃｔｉｏｎ Ｓｅｔ Ｃｏｍｐｕｔｅｒ）コア、ダイレクト・メモリ・アクセス（ＤＭＡ）、及び／又は任意の数のベクトル・プロセッサが含まれ得る。

ＲＩＳＣコアは、画像センサ（例えば、本明細書に説明されているいずれかのカメラの画像センサ）、画像信号プロセッサなどと対話し得る。ＲＩＳＣコアの各々には、任意の量のメモリが含まれ得る。ＲＩＳＣコアは、実施例に応じて、いくつかのプロトコルのうちのいずれかを使用することができる。いくつかの実例では、ＲＩＳＣコアは、リアルタイム・オペレーティング・システム（ＲＴＯＳ：Ｒｅａｌ－Ｔｉｍｅ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を実行することができる。ＲＩＳＣコアは、１つ又は複数の集積回路デバイス、特定用途向け集積回路（ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、及び／又はメモリ・デバイスを使用して実装され得る。例えば、ＲＩＳＣコアには命令キャッシュ及び／又は密結合ＲＡＭが含まれ得る。

ＤＭＡは、ＰＶＡのコンポーネントが、ＣＰＵ１２０６とは無関係に、システム・メモリにアクセスすることを可能にし得る。ＤＭＡは、多次元アドレス指定及び／又は循環アドレス指定をサポートすることを含むが、これに限定されない、ＰＶＡに最適化を提供するために使用される任意の数の特徴をサポートすることができる。いくつかの実例では、ＤＭＡは、最大６以上の次元（これには、ブロック幅、ブロック高さ、ブロック深さ、水平ブロック・ステッピング、垂直ブロック・ステッピング、及び／又は深さステッピングが含まれ得る）のアドレス指定をサポートすることができる。

ベクトル・プロセッサは、コンピュータ・ビジョン・アルゴリズムのプログラミングを効率的且つ柔軟に実行し、信号処理能力を提供するように設計され得るプログラム可能なプロセッサであり得る。いくつかの実例では、ＰＶＡには、ＰＶＡコアと２つのベクトル処理サブシステム・パーティションとが含まれている場合がある。ＰＶＡコアには、プロセッサ・サブシステム、ＤＭＡエンジン（例えば、２つのＤＭＡエンジン）、及び／又は他の周辺機器が含まれていてもよい。ベクトル処理サブシステムは、ＰＶＡのプライマリ処理エンジンとして動作し、ベクトル処理ユニット（ＶＰＵ：Ｖｅｃｔｏｒ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、命令キャッシュ、及び／又はベクトル・メモリ（例えば、ＶＭＥＭ）が含まれ得る。ＶＰＵコアには、単一命令複数データ（ＳＩＭＤ：Ｓｉｎｇｌｅ Ｉｎｓｔｒｕｃｔｉｏｎ，Ｍｕｌｔｉｐｌｅ Ｄａｔａ）、超長命令語（ＶＬＩＷ：Ｖｅｒｙ Ｌｏｎｇ Ｉｎｓｔｒｕｃｔｉｏｎ Ｗｏｒｄ）デジタル信号プロセッサなどのデジタル信号プロセッサが含まれ得る。ＳＩＭＤとＶＬＩＷとの組み合わせは、スループット及び速度を高めることができる。

ベクトル・プロセッサの各々には、命令キャッシュが含まれ得、また、専用メモリに結合され得る。結果として、いくつかの実例では、ベクトル・プロセッサの各々は、他のベクトル・プロセッサとは無関係に実行するように構成され得る。他の実例では、特定のＰＶＡに含まれるベクトル・プロセッサは、データ並列性を採用するように構成され得る。例えば、いくつかの実施例では、単一のＰＶＡに含まれる複数のベクトル・プロセッサが、同じコンピュータ・ビジョン・アルゴリズムを、画像の異なる領域に実行することができる。他の実例では、特定のＰＶＡに含まれるベクトル・プロセッサが、同じ画像に異なるコンピュータ・ビジョン・アルゴリズムを同時に実行するか、又は一連の画像若しくは画像の部分に異なるアルゴリズムを実行することができる。特に、任意の数のＰＶＡをハードウェア・アクセラレーション・クラスタに含めることができ、また、任意の数のベクトル・プロセッサをＰＶＡの各々に含めることができる。また、ＰＶＡには、システム全体の安全性を高めるために、追加のエラー訂正コード（ＥＣＣ）メモリが含まれていてもよい。

アクセラレータ１２１４（例えば、ハードウェア・アクセラレーション・クラスタ）には、アクセラレータ１２１４に高帯域幅、低レイテンシＳＲＡＭを提供するためにコンピュータ・ビジョン・ネットワーク・オンチップ及びＳＲＡＭが含まれ得る。いくつかの実例では、オンチップ・メモリには、例えば、また、限定されることなく、ＰＶＡとＤＬＡの両方からアクセス可能であり得る８つのフィールド構成可能なメモリ・ブロックから成る、少なくとも４ＭＢのＳＲＡＭが含まれ得る。メモリ・ブロックの各ペアには、高度周辺バス（ＡＰＢ：Ａｄｖａｎｃｅｄ Ｐｅｒｉｐｈｅｒａｌ Ｂｕｓ）インターフェース、構成回路、コントローラ、及びマルチプレクサが含まれ得る。任意のタイプのメモリを使用できる。ＰＶＡ及びＤＬＡは、ＰＶＡ及びＤＬＡにメモリへの高速アクセスを提供するバックボーンを介してメモリにアクセスすることができる。バックボーンには、（例えば、ＡＰＢを使用して）ＰＶＡ及びＤＬＡをメモリに相互接続するコンピュータ・ビジョン・ネットワーク・オンチップが含まれ得る。

コンピュータ・ビジョン・ネットワーク・オンチップには、ＰＶＡとＤＬＡの両方が作動可能信号及び有効信号を提供することを、任意の制御信号／アドレス／データを送信する前に判断するインターフェースが含まれ得る。このようなインターフェースは、制御信号／アドレス／データを送信するための別個のフェーズ及び個別のチャネル、並びに連続データ転送のためのバーストタイプ通信を提供することができる。このタイプのインターフェースは、ＩＳＯ２６２６２又はＩＥＣ６１５０８規格に準拠していてよいが、他の規格及びプロトコルを使用することもできる。

いくつかの実例では、ＳｏＣ１２０４には、２０１８年８月１０日に出願された米国特許出願第１６／１０１，２３２号に記載されているようなリアルタイム・レイトレーシング・ハードウェア・アクセラレータが含まれ得る。リアルタイム・レイトレーシング・ハードウェア・アクセラレータは、ＲＡＤＡＲ信号解釈のための、音響伝播合成及び／又は分析のための、ＳＯＮＡＲシステムのシミュレーションのための、一般波伝播シミュレーションのための、ローカリゼーション及び／又は他の機能を目的とするＬＩＤＡＲデータに対する比較のための、並びに／或いは他の使用のための、リアルタイム視覚化シミュレーションを生成するために、（例えば、世界モデル内の）物体の位置及び規模を迅速且つ効率的に判断するために使用され得る。いくつかの実施例では、１つ又は複数のツリー・トラバーサル・ユニット（ＴＴＵ：Ｔｒｅｅ Ｔｒａｖｅｒｓａｌ Ｕｎｉｔ）を使用して、１つ又は複数のレイトレーシング関連の操作を実行することができる。

アクセラレータ１２１４（例えば、ハードウェア・アクセラレータ・クラスタ）には、自律運転のための幅広い用途がある。ＰＶＡは、ＡＤＡＳ及び自律車両の主要な処理段階に使用できるプログラム可能なビジョン・アクセラレータであり得る。ＰＶＡの能力は、低電力及び低レイテンシで、予測可能な処理を必要とするアルゴリズム・ドメインに適している。つまり、ＰＶＡは、低レイテンシ及び低電力とともに予測可能な実行時間を必要とする、小さなデータ・セット上でも、半高密度の又は高密度の通常の計算で良好に機能する。したがって、自律車両のプラットフォームとの関連で、ＰＶＡは、物体検出及び整数計算での操作において効率的であるので、クラシック・コンピュータ・ビジョン・アルゴリズムを実行するように設計されている。

例えば、本技術の一実施例によれば、ＰＶＡはコンピュータ・ステレオ・ビジョンを実行するために使用される。いくつかの実例では、半グローバル・マッチングベースのアルゴリズムを使用できるが、これは、限定を意図したものではない。レベル３～５の自律運転のための多くの用途では、動き推定／ステレオ・マッチング（例えば、ストラクチャ・フロム・モーション、歩行者認識、車線検出など）がオンザフライで必要である。ＰＶＡは、２つの単眼カメラからの入力に対してコンピュータ・ステレオ・ビジョン機能を実行することができる。

いくつかの実例では、ＰＶＡを使用して高密度オプティカル・フローを実行することができる。例えば、ＰＶＡを使用して未加工のＲＡＤＡＲデータを（例えば、４Ｄ高速フーリエ変換を使用して）処理して、次のＲＡＤＡＲパルスを発する前に処理済みのＲＡＤＡＲ信号を提供することができる。他の実例では、ＰＶＡは、例えば、未加工の飛行時間データを処理して処理済みの飛行時間データを提供することによって、飛行時間の深度処理に使用される。

ＤＬＡを使用して、例えば、各物体検出の信頼の尺度を出力するニューラル・ネットワークを含む任意のタイプのネットワークを実行して、制御及び運転の安全性を高めることができる。このような信頼値は、確率として、又は他の検出と比較して各検出の相対的な「重み」を提供するものとして解釈され得る。この信頼値により、システムは、どの検出が、誤検出ではなく、真の検出と見なされるべきかに関するさらなる判断を行うことができる。例えば、システムは、信頼の閾値を設定し、閾値を超える検出のみを真の検出と見なすことができる。自動緊急ブレーキ（ＡＥＢ：Ａｕｔｏｍａｔｉｃ Ｅｍｅｒｇｅｎｃｙ Ｂｒａｋｉｎｇ）システムでは、誤検出は、車両に自動的に緊急ブレーキを実行させるが、これは明らかに望ましくない。したがって、最も信頼のある検知のみがＡＥＢのトリガと見なされるべきである。ＤＬＡは、信頼値を回帰するためにニューラル・ネットワークを実行することができる。ニューラル・ネットワークは、境界ボックスの次元、（例えば、別のサブシステムから）取得したグラウンド・プレーンの推定値、ニューラル・ネットワーク及び／又は他のセンサ（例えば、ＬＩＤＡＲセンサ１２６４又はＲＡＤＡＲセンサ１２６０）から取得された車両１２００の向き、距離、物体の３Ｄ位置の推定値と相関する慣性測定ユニット（ＩＭＵ）センサ１２６６の出力などの少なくともいくつかのパラメータのサブセットを入力として取る。

ＳｏＣ１２０４には、データ・ストア１２１６（例えば、メモリ）が含まれ得る。データ・ストア１２１６は、ＳｏＣ１２０４のオンチップ・メモリであり得、ＧＰＵ及び／又はＤＬＡで実行されるニューラル・ネットワークを記憶することができる。いくつかの実例では、データ・ストア１２１６は、冗長性及び安全性のためにニューラル・ネットワークの複数のインスタンスを記憶するのに十分な大きさの容量を有し得る。データ・ストア１２１６には、Ｌ２又はＬ３キャッシュ１２１２が含まれ得る。データ・ストア１２１６への参照には、本明細書に説明されているＰＶＡ、ＤＬＡ、及び／又は他のアクセラレータ１２１４に関連付けられたメモリへの参照が含まれ得る。

ＳｏＣ１２０４には、１つ又は複数のプロセッサ１２１０（例えば、組み込みプロセッサなど）が含まれ得る。プロセッサ１２１０には、ブート電力及び管理機能及び関連のセキュリティ強化を処理するために、専用プロセッサであり得るブート及び電力管理プロセッサと、サブシステムとが含まれ得る。ブート及び電力管理プロセッサは、ＳｏＣ１２０４のブート・シーケンスの一部であり得、実行時間電力管理サービスを提供し得る。ブート電力及び管理プロセッサは、クロック及び電圧のプログラミング、システムの低電力状態遷移における支援、ＳｏＣ１２０４の熱及び温度センサの管理、及び／又はＳｏＣ１２０４の電力状態の管理を提供することができる。各温度センサは、その出力周波数が温度に比例するリング発振器として実装でき、ＳｏＣ１２０４は、リング発振器を使用してＣＰＵ１２０６、ＧＰＵ１２０８、及び／又はアクセラレータ１２１４の温度を検出することができる。温度が閾値を超えていると判定された場合、ブート及び電力管理プロセッサは、温度障害ルーチンに入り、ＳｏＣ１２０４を低電力状態にするか、及び／又は車両１２００を安全停止まで運転代行モード（ｃｈａｕｆｆｅｕｒ ｔｏ ｓａｆｅ－ｓｔｏｐ ｍｏｄｅ）にする（例えば、車両１２００を安全停止させる）ことができる。

プロセッサ１２１０にはさらに、オーディオ処理エンジンとして機能し得る組み込みプロセッサのセットが含まれ得る。オーディオ処理エンジンは、複数のインターフェースを介したマルチチャネル・オーディオの完全なハードウェア・サポートと、オーディオＩ／Ｏインターフェースの広く柔軟な範囲とを可能にするオーディオ・サブシステムであり得る。いくつかの実例では、オーディオ処理エンジンは、専用ＲＡＭを有するデジタル信号プロセッサを有する専用プロセッサ・コアである。

プロセッサ１２１０にはさらに、低電力センサ管理及びウェイク使用事例をサポートするために必要なハードウェア特徴を提供できる常時オンのプロセッサ・エンジンが含まれ得る。常時オンのプロセッサ・エンジンには、プロセッサ・コア、密結合ＲＡＭ、サポートする周辺機器（例えば、タイマ及び割り込みコントローラ）、様々なＩ／Ｏコントローラ周辺機器、及びルーティング論理が含まれ得る。

プロセッサ１２１０にはさらに、自動車アプリケーションの安全管理を処理する専用のプロセッサ・サブシステムを含む安全クラスタ・エンジンが含まれ得る。安全クラスタ・エンジンには、２つ以上のプロセッサ・コア、密結合ＲＡＭ、サポートする周辺機器（例えば、タイマ、割り込みコントローラなど）、及び／又はルーティング論理が含まれ得る。安全モードでは、２つ以上のコアは、ロックステップ・モードで動作し、それらの動作間の差異を検出する比較論理を有する単一のコアとして機能し得る。

プロセッサ１２１０にはさらに、リアルタイム・カメラ管理を処理するための専用プロセッサ・サブシステムが含まれ得るリアルタイム・カメラ・エンジンが含まれ得る。

プロセッサ１２１０にはさらに、カメラ処理パイプラインの一部であるハードウェア・エンジンである画像信号プロセッサが含まれ得るハイ・ダイナミック・レンジ信号プロセッサが含まれ得る。

プロセッサ１２１０には、プレイヤ・ウインドウのための最終画像を生成するためにビデオ再生アプリケーションによって必要とされるビデオ後処理機能を実装する処理ブロック（例えば、マイクロプロセッサ上に実装される）であり得るビデオ画像合成器が含まれ得る。ビデオ映像合成器は、ワイドビュー・カメラ１２７０、サラウンド・カメラ１２７４、及び／又はキャビン内モニタリング・カメラ・センサにレンズ歪み補正を実行することができる。キャビン内モニタリング・カメラ・センサは、好ましくは、キャビン内イベントを識別し、それに応じて応答するように構成されている、高度なＳｏＣの別のインスタンス上で実行するニューラル・ネットワークによってモニタリングされる。キャビン内システムは、読唇術を実行して、携帯電話サービスをアクティブにしたり、電話をかけたり、電子メールを口述して書き取らせたり、車両の目的地を変更したり、車両のインフォテインメント・システム及び設定をアクティブにしたり若しくは変更したり、又は音声でアクティブにされるウェブ・サーフィンを提供したりすることができる。特定の機能は、車両が自律モードで動作している場合にのみ運転者が利用することができ、それ以外の場合は無効にされる。

ビデオ画像合成器には、空間的ノイズ低減と時間的ノイズ低減の両方のために、強化された時間的ノイズ低減が含まれ得る。例えば、ビデオで動きが発生する場合、ノイズ低減は、空間的情報に適切に重み付けし、隣接するフレームから提供される情報の重みを減少させる。画像又は画像の一部分に動きが含まれていない場合、ビデオ画像合成器によって実行される時間的ノイズ低減は、前の画像からの情報を使用して、現在の画像内のノイズを低減することができる。

ビデオ画像合成器はまた、入力ステレオ・レンズ・フレームでステレオ調整を実行するように構成され得る。ビデオ画像合成器はさらに、オペレーティング・システム・デスクトップが使用中であるときに、ユーザ・インターフェース合成に使用することができ、ＧＰＵ１２０８は、新しい表面を連続的にレンダリングする必要はない。ＧＰＵ１２０８の電源がオンで３Ｄレンダリングをアクティブに実行している場合でも、ビデオ画像合成器を使用してＧＰＵ１２０８をオフロードして、パフォーマンス及び応答性を向上させることができる。

ＳｏＣ１２０４にはさらに、カメラからのビデオ及び入力を受信するためのモバイル・インダストリ・プロセッサ・インターフェース（ＭＩＰＩ：Ｍｏｂｉｌｅ Ｉｎｄｕｓｔｒｙ Ｐｒｏｃｅｓｓｏｒ Ｉｎｔｅｒｆａｃｅ）カメラ・シリアル・インターフェース、高速インターフェース、並びに／又はカメラ及び関連ピクセル入力機能に使用できるビデオ入力ブロックが含まれ得る。ＳｏＣ１２０４にはさらに、ソフトウェアによって制御され得、特定の役割にコミットされていないＩ／Ｏ信号を受信するために使用され得る入力／出力コントローラが含まれ得る。

ＳｏＣ１２０４にはさらに、周辺機器、オーディオ・コーデック、電力管理、及び／又は他のデバイスとの通信を可能にするために、幅広い周辺機器インターフェースが含まれ得る。ＳｏＣ１２０４を使用して、（例えば、ギガビット・マルチメディア・シリアル・リンク及びイーサネット（登録商標）経由で接続されている）カメラからのデータ、センサ（例えば、イーサネット（登録商標）経由で接続され得るＬＩＤＡＲセンサ１２６４、ＲＡＤＡＲセンサ１２６０など）、バス１２０２からのデータ（例えば、車両１２００の速度、ハンドルの位置など）、（例えば、イーサネット（登録商標）又はＣＡＮバス経由で接続されている）ＧＮＳＳセンサ１２５８からのデータを処理することができる。ＳｏＣ１２０４にはさらに、独自のＤＭＡエンジンが含まれ得る、ＣＰＵ１２０６をルーチン・データ管理タスクから解放するために使用され得る、専用の高性能マス・ストレージ・コントローラが含まれ得る。

ＳｏＣ１２０４は、自動化レベル３～５に及ぶ柔軟なアーキテクチャを有するエンド・ツー・エンド・プラットフォームであり、これにより、多様性及び冗長性のためのコンピュータ・ビジョン及びＡＤＡＳ手法を活用し且つ効率的に使用し、深層学習ツールとともに、柔軟で信頼性のある運転ソフトウェア・スタックのプラットフォームを提供する包括的な機能安全アーキテクチャを提供することができる。ＳｏＣ１２０４は、従来のシステムよりも高速で信頼性が高く、さらにエネルギー効率及び空間効率に優れている場合がある。例えば、アクセラレータ１２１４は、ＣＰＵ１２０６、ＧＰＵ１２０８、及びデータ・ストア１２１６と組み合わせると、レベル３～５の自律車両に高速で効率的なプラットフォームを提供することができる。

したがって、本技術は、従来のシステムでは実現できない能力及び機能を提供する。例えば、コンピュータ・ビジョン・アルゴリズムはＣＰＵ上で実行され得る。コンピュータ・ビジョン・アルゴリズムは、様々なビジュアル・データにわたって様々な処理アルゴリズムを実行するために、Ｃプログラミング言語などの高水準プログラミング言語を使用して構成され得る。しかしながら、ＣＰＵは、例えば、実行時間及び電力消費量に関連するものなど、多くのコンピュータ・ビジョン・アプリケーションのパフォーマンス要件を満たすことができないことが多い。特に、多くのＣＰＵは、車両内ＡＤＡＳアプリケーションの要件であり、且つ実用レベル３～５の自律車両の要件である、複合物体検出アルゴリズムをリアルタイムで実行することができない。

従来のシステムとは対照的に、ＣＰＵコンプレックス、ＧＰＵコンプレックス、及びハードウェア・アクセラレーション・クラスタを提供することによって、本明細書で説明する本技術は、複数のニューラル・ネットワークが同時に及び／又は連続して実行されることを可能にし、且つ結果を組み合わせてレベル３～５の自律運転機能を有効にすることを可能にする。例えば、ＤＬＡ又はｄＧＰＵ（例えば、ＧＰＵ１２２０）上で実行されるＣＮＮには、テキスト及び単語認識が含まれており、これにより、スーパーコンピュータが、ニューラル・ネットワークが具体的にはトレーニングされていない標識を含む、交通標識を読み取って理解することができる。ＤＬＡにはさらに、標識を識別し、解釈し、及び意味論的理解を提供でき、且つその意味論的理解をＣＰＵコンプレックス上で実行されている経路計画モジュールに渡すことができるニューラル・ネットワークが含まれ得る。

別の実例として、レベル３、４、又は５の運転に必要とされるように、複数のニューラル・ネットワークを同時に実行することができる。例えば、電光を伴う「注意：点滅光は凍結状態を示す」から成る警告標識が、複数のニューラル・ネットワークによって独立して又は集合的に解釈される場合がある。標識自体は、第１のデプロイされたニューラル・ネットワーク（例えば、トレーニングされているニューラル・ネットワーク）によって交通標識として識別され得、「点滅光は凍結状態を示す」というテキストは、第２のデプロイされたニューラル・ネットワークによって解釈され得る。第２のデプロイされたニューラル・ネットワークは、車両の経路計画ソフトウェア（好ましくはＣＰＵココンプレックス上で実行している）に、点滅光が検知される場合は凍結状態が存在することを知らせる。点滅光は、第３のデプロイされたニューラル・ネットワークを複数のフレームで動作させて、車両の経路計画ソフトウェアに点滅光の存在（又は不在）を知らせることによって識別され得る。３つのニューラル・ネットワークはすべて、ＤＬＡ内及び／又はＧＰＵ１２０８上などで同時に実行できる。

いくつかの実例では、顔認識及び車両所有者の識別のためのＣＮＮが、カメラ・センサからのデータを使用して、車両１２００の認可された運転者及び／又は所有者の存在を識別することができる。常時オンのセンサ処理エンジンを使用して、所有者が運転者ドアに近づいたときに車両のロックを解除して、ライトを点け、また、セキュリティ・モードでは所有者が車両を離れたときに車両が動作しないようにすることができる。このようにして、ＳｏＣ１２０４は、盗難及び／又はカージャックに対するセキュリティを提供する。

別の実例では、緊急車両検出及び識別のためのＣＮＮが、マイク１２９６からのデータを使用して、緊急車両サイレンを検出及び識別することができる。一般的な分類器を使用してサイレンを検出し、手動で特徴を抽出する従来のシステムとは対照的に、ＳｏＣ１２０４は、環境音及び都市音の分類だけでなく、視覚データの分類にもＣＮＮを使用している。好ましい実施例では、ＤＬＡ上で実行されるＣＮＮは、緊急車両の相対的終速度を（例えば、ドップラー効果を使用することによって）識別するようにトレーニングされている。ＣＮＮはまた、ＧＮＳＳセンサ１２５８によって識別されるように、車両が動作している地域に固有の緊急車両を識別するようにトレーニングされていてもよい。したがって、例えば、欧州で動作しているときは、ＣＮＮは欧州のサイレンを検出しようとし、合衆国では、ＣＮＮは北米のサイレンのみを識別しようとする。緊急車両が検出されると、制御プログラムを使用して緊急車両安全ルーチンを実行し、緊急車両が通過するまで、超音波センサ１２６２に支援されて、車両を減速させ、道路の脇に寄せ、車両を駐車し、及び／又は車両をアイドリングさせることができる。

車両には、高速インターコネクト（例えば、ＰＣＩｅ）を介してＳｏＣ１２０４に結合され得るＣＰＵ１２１８（例えば、ディスクリートＣＰＵ、即ち、ｄＣＰＵ）が含まれ得る。例えば、ＣＰＵ１２１８にはＸ８６プロセッサが含まれ得る。ＣＰＵ１２１８を使用して、ＡＤＡＳセンサとＳｏＣ１２０４との間で不整合である可能性のある結果の調停、並びに／又はコントローラ１２３６及び／若しくはインフォテインメントＳｏＣ１２３０のステータス及び正常性のモニタリングなど、様々な機能のいずれかを実行することができる。

車両１２００には、高速インターコネクト（例えば、ＮＶＩＤＩＡのＮＶＬＩＮＫ）を介してＳｏＣ１２０４に結合され得るＧＰＵ１２２０（例えば、ディスクリートＧＰＵ、即ち、ｄＧＰＵ）が含まれ得る。ＧＰＵ１２２０は、冗長及び／又は異なるニューラル・ネットワークを実行することなどによって、追加の人工知能の機能を提供することができ、また、車両１２００のセンサからの入力（例えば、センサ・データ）に基づいてニューラル・ネットワークをトレーニング及び／又は更新するために使用することができる。

車両１２００にはさらに、１つ又は複数のワイヤレス・アンテナ１２２６（例えば、携帯電話アンテナ、ブルートゥース・アンテナなど、異なる通信プロトコル用の１つ又は複数のワイヤレス・アンテナ）が含まれ得るネットワーク・インターフェース１２２４が含まれ得る。ネットワーク・インターフェース１２２４を使用して、クラウド（例えば、サーバ１２７８及び／又は他のネットワーク・デバイスを有する）、他の車両、及び／又はコンピューティング・デバイス（例えば、乗客のクライアント・デバイス）とのインターネット経由のワイヤレス接続を可能にすることができる。他の車両と通信するには、２つの車両間に直接リンクが確立されてもよいし、及び／又は間接リンクが確立されてもよい（例えば、ネットワーク間及びインターネット経由）。直接リンクは、車両間通信リンクを使用して提供することができる。車両間通信リンクは、車両１２００に近接している車両（例えば、車両１２００の前、横、及び／又は後ろにいる車両）に関する情報を車両１２００に提供することができる。この機能は、車両１２００の協調適応型クルーズ制御機能の一部であり得る。

ネットワーク・インターフェース１２２４には、変調及び復調機能を提供し、コントローラ１２３６がワイヤレス・ネットワーク経由で通信することを可能にするＳｏＣが含まれ得る。ネットワーク・インターフェース１２２４には、ベースバンドから無線周波数へのアップコンバージョン、及び無線周波数からベースバンドへのダウン・コンバージョンのための無線周波数フロント・エンドが含まれ得る。周波数コンバージョンは、よく知られているプロセスを用いて実行することができる、及び／又はスーパーヘテロダイン・プロセスを使用して実行することができる。いくつかの実例では、無線周波数フロント・エンド機能は、別個のチップによって提供され得る。ネットワーク・インターフェースには、ＬＴＥ、ＷＣＤＭＡ（登録商標）、ＵＭＴＳ、ＧＳＭ、ＣＤＭＡ２０００、ブルートゥース（登録商標）、ブルートゥースＬＥ、Ｗｉ－Ｆｉ、Ｚ－Ｗａｖｅ、ジグビー、ＬｏＲａＷＡＮ、及び／又は他のワイヤレス・プロトコルを介する通信のためのワイヤレス機能が含まれ得る。

車両１２００にはさらに、外部（例えば、ＳｏＣ１２０４の外部の）ストレージが含まれ得るデータ・ストア１２２８が含まれ得る。データ・ストア１２２８には、ＲＡＭ、ＳＲＡＭ、ＤＲＡＭ、ＶＲＡＭ、フラッシュ、ハード・ディスク、並びに／又は少なくとも１ビットのデータを記憶し得る他のコンポーネント及び／若しくはデバイスなどの１つ又は複数のストレージ要素が含まれ得る。

車両１２００にはさらに、マッピング、知覚、占有グリッドの生成、及び／又は経路計画機能を支援するために、ＧＮＳＳセンサ１２５８（例えば、ＧＰＳ及び／又は支援付きＧＰＳセンサ）が含まれ得る。例えば、イーサネット（登録商標）・ツー・シリアル（ＲＳ－２３２）ブリッジを有するＵＳＢコネクタを使用するＧＰＳを含むが、これに限定されない任意の数のＧＮＳＳセンサ１２５８を使用することができる。

車両１２００にはさらに、ＲＡＤＡＲセンサ１２６０が含まれ得る。ＲＡＤＡＲセンサ１２６０は、暗闇及び／又は厳しい気象条件でも長距離にある車両を検出するために車両１２００によって使用され得る。ＲＡＤＡＲ機能安全レベルはＡＳＩＬ Ｂであり得る。ＲＡＤＡＲセンサ１２６０は、（例えば、ＲＡＤＡＲセンサ１２６０によって生成されたデータを送信するために）ＣＡＮ及び／又はバス１２０２を使用して、物体追跡データを制御及び物体追跡データにアクセスすることができ、いくつかの実例では、未加工データにアクセスするためにイーサネット（登録商標）へのアクセスを有する。様々なＲＡＤＡＲセンサ・タイプを使用することができる。例えば、また、限定されることなく、ＲＡＤＡＲセンサ１２６０は、前部、後部、及び側部のＲＡＤＡＲ使用に適している場合がある。ある実例では、パルス・ドップラーＲＡＤＡＲセンサが使用される。

ＲＡＤＡＲセンサ１２６０には、狭視野で長距離、広視野で短距離、短距離側部カバレージなど、異なる構成が含まれ得る。いくつかの実例では、長距離ＲＡＤＡＲを適応型クルーズ制御機能に使用してもよい。長距離ＲＡＤＡＲシステムは、２５０ｍの範囲内など、２つ以上の独立したスキャンによって実現される広い視野を提供することができる。ＲＡＤＡＲセンサ１２６０は、静止している物体と動いている物体を区別するのに役立ち、緊急ブレーキ支援及び前方衝突警報のためにＡＤＡＳシステムによって使用され得る。長距離ＲＡＤＡＲセンサには、複数の（例えば、６以上の）固定ＲＡＤＡＲアンテナと高速ＣＡＮ及びＦｌｅｘＲａｙインターフェースとを有するモノスタティック・マルチモーダルＲＡＤＡＲが含まれ得る。６つのアンテナを用いる実例では、中央の４つのアンテナが、隣接する車線の往来からの干渉を最小限に抑えながら、より高速で車両１２００の周囲を記録するように設計されている集束ビーム・パターンを作成し得る。他の２つのアンテナは視野を拡大することができ、車両１２００がいる車線に入ってくる又はそこから出て行く車両をすばやく検出することを可能にする。

中距離ＲＡＤＡＲシステムには、一実例として、最大１２６０ｍ（前部）又は８０ｍ（後部）の範囲と、最大４２度（前部）又は１２５０度（後部）の視野とが含まれ得る。短距離ＲＡＤＡＲシステムには、後部バンパの両端に取り付けられるように設計されたＲＡＤＡＲセンサが含まれ得るが、これに限定されない。後部バンパの両端に取り付けられる場合、このようなＲＡＤＡＲセンサシステムは、車両の後部及び隣にある死角を常にモニタリングする２つのビームを作成することができる。

短距離ＲＡＤＡＲシステムは、死角検出及び／又は車線変更支援のためにＡＤＡＳシステムで使用され得る。

車両１２００にはさらに、超音波センサ１２６２が含まれ得る。超音波センサ１２６２は、車両１２００の前部、背部、及び／又は側部に配置することができ、駐車支援並びに／又は占有グリッドの作成及び更新に使用することができる。様々な超音波センサ１２６２を使用することができ、異なる検出範囲（例えば、２．５ｍ、４ｍ）に異なる超音波センサ１２６２を使用することができる。超音波センサ１２６２は、ＡＳＩＬ Ｂの機能安全レベルで動作し得る。

車両１２００には、ＬＩＤＡＲセンサ１２６４が含まれ得る。ＬＩＤＡＲセンサ１２６４は、物体及び歩行者検出、緊急ブレーキ、衝突回避、及び／又は他の機能に使用することができる。ＬＩＤＡＲセンサ１２６４は、機能安全レベルＡＳＩＬ Ｂであり得る。いくつかの実例では、車両１２００には、（例えば、ギガビット・イーサネット（登録商標）・スイッチにデータを提供するために）イーサネット（登録商標）を使用し得る複数のＬＩＤＡＲセンサ１２６４（例えば、２個、４個、６個など）が含まれ得る。

いくつかの実例では、ＬＩＤＡＲセンサ１２６４は、３６０度の視野について物体及びその距離のリストを提供可能であり得る。市販されているＬＩＤＡＲセンサ１２６４の広告されている範囲は、約１００ｍで、精度は２ｃｍ～３ｃｍで、例えば、１００Ｍｂｐｓイーサネット（登録商標）接続のためのサポートがある場合がある。いくつかの実例では、１つ又は複数の非突出型のＬＩＤＡＲセンサ１２６４が使用され得る。このような実例では、ＬＩＤＡＲセンサ１２６４は、車両１２００の前部、後部、側部、及び／又はコーナーに埋め込まれ得る小型デバイスとして実装され得る。このような実例では、ＬＩＤＡＲセンサ１２６４は、水平方向に最大１２０度、垂直方向に最大３５度の視野を、低反射性物体でさえも２００ｍの範囲で提供することができる。前部に取り付けられたＬＩＤＡＲセンサ１２６４は、４５度～１３５度の水平視野について構成され得る。

いくつかの実例では、３ＤフラッシュＬＩＤＡＲなどのＬＩＤＡＲ技術も使用され得る。３ＤフラッシュＬＩＤＡＲは、レーザーのフラッシュを送信源として使用し、約２００ｍまでの車両の周囲を照明する。フラッシュＬＩＤＡＲユニットには、レーザー・パルスの通過時間と各ピクセルの反射光とを記録するレセプタが含まれている。これは、ひいては車両から物体までの範囲に対応する。フラッシュＬＩＤＡＲは、レーザー・フラッシュ毎に周囲の高精度で歪みのない画像が生成されることを可能にし得る。いくつかの実例では、車両１２００の各側に１つずつ、４つのフラッシュＬＩＤＡＲセンサを配備することができる。使用可能な３ＤフラッシュＬＩＤＡＲシステムには、ファン以外の可動部品のないソリッドステート３Ｄステアリング・アレイＬＩＤＡＲカメラ（例えば、非スキャンＬＩＤＡＲデバイス）が含まれている。フラッシュＬＩＤＡＲデバイスは、フレーム毎に５ナノ秒クラスのＩ（アイ・セーフ）レーザー・パルスを使用し、反射されたレーザー光を３Ｄ範囲点群及び共登録された強度データの形でキャプチャすることができる。フラッシュＬＩＤＡＲを使用することによって、また、フラッシュＬＩＤＡＲは可動部品のないソリッドステート・デバイスであることから、ＬＩＤＡＲセンサ１２６４はモーション・ブラー、振動、及び／又は衝撃の影響を受けにくくなり得る。

車両にはさらに、ＩＭＵセンサ１２６６が含まれ得る。ＩＭＵセンサ１２６６は、いくつかの実例では、車両１２００の後車軸の中央に設置することができる。ＩＭＵセンサ１２６６には、例えば、加速度計、磁力計、ジャイロスコープ、磁気コンパス、及び／又は他のセンサ・タイプが含まれ得るが、これらに限定されない。６軸アプリケーションなどのいくつかの実例では、ＩＭＵセンサ１２６６には、加速度計及びジャイロスコープが含まれ得るが、９軸アプリケーションでは、ＩＭＵセンサ１２６６には、加速度計、ジャイロスコープ、及び磁力計が含まれ得る。

いくつかの実施例では、ＩＭＵセンサ１２６６は、マイクロ電気機械システム（ＭＥＭＳ：Ｍｉｃｒｏ－Ｅｌｅｃｔｒｏ－Ｍｅｃｈａｎｉｃａｌ Ｓｙｓｔｅｍ）慣性センサ、高感度ＧＰＳ受信器、及び高度カルマン・フィルタリング・アルゴリズムを組み合わせて、位置、速度、及び姿勢の推定値を提供する、小型で高性能のＧＰＳ支援慣性航行システム（ＧＰＳ／ＩＮＳ：ＧＰＳ－Ａｉｄｅｄ Ｉｎｅｒｔｉａｌ Ｎａｖｉｇａｔｉｏｎ Ｓｙｓｔｅｍ）として実装され得る。したがって、いくつかの実例では、ＩＭＵセンサ１２６６は、ＧＰＳからＩＭＵセンサ１２６６へ速度変化を直接観察して関連付けることで、磁気センサからの入力を必要とせずに車両１２００が進行方向を推定することを可能にし得る。いくつかの実例では、ＩＭＵセンサ１２６６とＧＮＳＳセンサ１２５８とを、１つの統合ユニットに組み合わせることができる。

車両には、車両１２００内及び／又は車両１２００の周りに置かれるマイク１２９６が含まれ得る。マイク１２９６は、特に緊急車両の検出及び識別に使用され得る。

車両にはさらに、ステレオ・カメラ１２６８、ワイドビュー・カメラ１２７０、赤外線カメラ１２７２、サラウンド・カメラ１２７４、長距離及び／若しくは中距離カメラ１２９８、並びに／又は他のカメラ・タイプを含む、任意の数のカメラ・タイプが含まれ得る。カメラを使用して、車両１２００の周囲全体の画像データをキャプチャすることができる。使用されるカメラのタイプは、車両１２００の実施例及び要件によって異なり、また、任意の組み合わせのカメラ・タイプを使用して、車両１２００の周囲に必要なカバレージを提供することができる。また、カメラの数は、実施例によって異なり得る。例えば、車両には６つのカメラ、７つのカメラ、１０個のカメラ、１２個のカメラ、及び／又は別の数のカメラが含まれている場合がある。このカメラは、一例として、また、限定されることなく、ギガビット・マルチメディア・シリアル・リンク（ＧＭＳＬ：Ｇｉｇａｂｉｔ Ｍｕｌｔｉｍｅｄｉａ Ｓｅｒｉａｌ Ｌｉｎｋ）及び／又はギガビット・イーサネット（登録商標）をサポートしていてもよい。カメラの各々については、図１２及び図１３に関して本明細書でより詳細に説明している。

車両１２００にはさらに、振動センサ１２４２が含まれ得る。振動センサ１２４２は、車軸など、車両のコンポーネントの振動を測定することができる。例えば、振動の変化は路面の変化を示す場合がある。別の実例では、２つ以上の振動センサ１２４２が使用される場合、振動の差を使用して路面の摩擦又は滑りの程度を判定することができる（例えば、振動の差が動力駆動の車軸と自由回転車軸との間にある場合）。

車両１２００にはＡＤＡＳシステム１２３８が含まれ得る。ＡＤＡＳシステム１２３８には、いくつかの実例では、ＳｏＣが含まれ得る。ＡＤＡＳシステム１２３８には、自律／適応／自動クルーズ制御（ＡＣＣ：Ａｕｔｏｎｏｍｏｕｓ／Ａｄａｐｔｉｖｅ／Ａｕｔｏｍａｔｉｃ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）、協調適応型クルーズ制御（ＣＡＣＣ：Ｃｏｏｐｅｒａｔｉｖｅ Ａｄａｐｔｉｖｅ Ｃｒｕｉｓｅ Ｃｏｎｔｒｏｌ）、前方衝突警報（ＦＣＷ：Ｆｏｒｗａｒｄ Ｃｒａｓｈ Ｗａｒｎｉｎｇ）、自動緊急ブレーキ（ＡＥＢ）、車線逸脱警報（ＬＤＷ）、車線維持支援（ＬＫＡ：Ｌａｎｅ Ｋｅｅｐ Ａｓｓｉｓｔ）、死角警報（ＢＳＷ：Ｂｌｉｎｄ Ｓｐｏｔ Ｗａｒｎｉｎｇ）、後方交差交通警報（ＲＣＴＷ：Ｒｅａｒ Ｃｒｏｓｓ－Ｔｒａｆｆｉｃ Ｗａｒｎｉｎｇ）、衝突警報システム（ＣＷＳ：Ｃｏｌｌｉｓｉｏｎ Ｗａｒｎｉｎｇ Ｓｙｓｔｅｍ）、車線センタリング（ＬＣ：Ｌａｎｅ Ｃｅｎｔｅｒｉｎｇ）、並びに／又は他の特徴及び機能が含まれ得る。

ＡＣＣシステムは、ＲＡＤＡＲセンサ１２６０、ＬＩＤＡＲセンサ１２６４、及び／又はカメラを使用することができる。ＡＣＣシステムには、縦方向ＡＣＣ及び／又は横方向ＡＣＣが含まれ得る。縦方向ＡＣＣは、車両１２００の直前の車両までの距離をモニタリング及び制御し、車速を自動的に調整して前方車両から安全な距離を維持する。横方向ＡＣＣは、距離維持を実行し、必要に応じて車線変更を車両１２００に助言する。横方向ＡＣＣは、ＬＣ及びＣＷＳなどの他のＡＤＡＳアプリケーションに関連している。

ＣＡＣＣは、他の車両からの情報を使用する。これらの情報は、ネットワーク・インターフェース１２２４及び／又はワイヤレス・アンテナ１２２６を経由して、他の車両からワイヤレス・リンク経由で、又は間接的にネットワーク接続経由（例えば、インターネット経由）で受信され得る。直接リンクは車両間（Ｖ２Ｖ：Ｖｅｈｉｃｌｅ－ｔｏ－Ｖｅｈｉｃｌｅ）通信リンクによって提供され得、間接リンクはインフラストラクチャ－車両間（Ｉ２Ｖ：Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ｔｏ－Ｖｅｈｉｃｌｅ）通信リンクであり得る。一般に、Ｖ２Ｖ通信概念は、直前の車両（例えば、車両１２００のすぐ前にあり、車両１２００と同じ車線にある車両）に関する情報を提供し、Ｉ２Ｖ通信概念は、さらに前方の交通に関する情報を提供する。ＣＡＣＣシステムには、Ｉ２Ｖ情報源及びＶ２Ｖ情報源のいずれか又は両方が含まれ得る。車両１２００の前の車両の情報を所与として、ＣＡＣＣはより信頼性が高くなり得、交通の流れを滑らかにし、道路渋滞を低減する可能性がある。

ＦＣＷシステムは、運転者に危険を警告するように設計されており、これにより、運転者は訂正措置を行うことができる。ＦＣＷシステムは、専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣに結合されている前面カメラ及び／又はＲＡＤＡＲセンサ１２６０を使用する。専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣは、ディスプレイ、スピーカ、及び／又は振動コンポーネントなどの運転者フィードバックに電気的に結合されている。ＦＣＷシステムは、音、視覚的警報、振動、及び／又はクイック・ブレーキ・パルスなどの形で警報を提供することができる。

ＡＥＢシステムは、別の車両又は他の物体との前方衝突が今にも起こりそうなことを検知し、運転者が指定された時間又は距離パラメータ内に訂正措置を行わない場合は、自動的にブレーキをかけることができる。ＡＥＢシステムは、専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣに結合されている前面カメラ及び／又はＲＡＤＡＲセンサ１２６０を使用することができる。ＡＥＢシステムは、危険を検出すると、通常は最初に衝突を回避するための訂正措置を行うように運転者に警告する。運転手が訂正措置を行わない場合、ＡＥＢシステムは、自動的にブレーキをかけて、予測される衝突の影響を阻止しようとするか又は少なくとも軽減しようとすることができる。ＡＥＢシステムには、ダイナミック・ブレーキ・サポート及び／又は衝突緊急ブレーキなどの手法が含まれ得る。

ＬＤＷシステムは、車両１２００が車線区分線を交差すると、ハンドル又は座席の振動などの視覚的、聴覚的、及び／又は触覚的な警報を提供して運転者に警告する。方向指示灯を作動させることによって、運転者が意図的な車線逸脱を示す場合は、ＬＤＷシステムは作動しない。ＬＤＷシステムは、専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣに結合されている前面カメラを使用することができ、専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣは、ディスプレイ、スピーカ、及び／又は振動コンポーネントなどの運転者フィードバックに電気的に結合されている。

ＬＫＡシステムは、ＬＤＷシステムの変形形態である。ＬＫＡシステムは、車両１２００が車線から出始めた場合に車両１２００を訂正するためのステアリング入力又はブレーキを提供する。

ＢＳＷシステムは、自動車の死角にある車両を検出し、運転者に警告する。ＢＳＷシステムは、車線の合流又は変更が安全でないことを示す視覚的、聴覚的、及び／又は触覚的な警告を提供することができる。システムは、運転者が方向指示灯を使用すると、追加の警報を提供することができる。ＢＳＷシステムは、専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣに結合されている後面カメラ及び／又はＲＡＤＡＲセンサ１２６０を使用することができる。専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣは、ディスプレイ、スピーカ、及び／又は振動コンポーネントなどの運転者フィードバックに電気的に結合されている。

ＲＣＴＷシステムは、車両１２００がバックしているときに後面カメラの範囲外に物体が検出されると、視覚的、聴覚的、及び／又は触覚的な通知を提供することができる。いくつかのＲＣＴＷシステムには、衝突を回避するために車両のブレーキを確実にかけるＡＥＢが含まれていてもよい。ＲＣＴＷシステムは、専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣに結合されている１つ又は複数の後面ＲＡＤＡＲセンサ１２６０を使用することができる。専用プロセッサ、ＤＳＰ、ＦＰＧＡ、及び／又はＡＳＩＣは、ディスプレイ、スピーカ、及び／又は振動コンポーネントなどの運転者フィードバックに電気的に結合されている。

従来のＡＤＡＳシステムでは、誤検出結果が発生しやすく、これは、運転者にとってうっとうしく気を散らす可能性があるが、通常は壊滅的ではない。ＡＤＡＳシステムは運転者に警告し、運転者が安全状態が本当に存在するかどうかを判断し、それに応じて行動することを可能にするからである。しかしながら、自律車両１２００では、矛盾する結果の場合には、車両１２００自体が、プライマリ・コンピュータからの結果を聞き入れるか、セカンダリ・コンピュータ（例えば、第１のコントローラ１２３６又は第２のコントローラ１２３６）からの結果を聞き入れるかを判断しなければならない。例えば、いくつかの実施例では、ＡＤＡＳシステム１２３８は、バックアップ・コンピュータ合理性モジュールに知覚情報を提供するためのバックアップ及び／又はセカンダリ・コンピュータであり得る。バックアップ・コンピュータ合理性モニタは、ハードウェア・コンポーネント上で冗長な多様なソフトウェアを実行して、認識及び動的な運転タスクの障害を検出することができる。ＡＤＡＳシステム１２３８からの出力は、監視ＭＣＵに提供され得る。プライマリ・コンピュータからの出力とセカンダリ・コンピュータからの出力とが矛盾する場合、監視ＭＣＵは矛盾を調停して安全な動作を確保する方法を判断する必要がある。

いくつかの実例では、プライマリ・コンピュータは、選択した結果へのプライマリ・コンピュータの信頼を示す信頼スコアを監視ＭＣＵに提供するように構成され得る。信頼スコアが閾値を超えると、セカンダリ・コンピュータが矛盾する又は不整合の結果を提供するかどうかに関係なく、監視ＭＣＵはプライマリ・コンピュータの指導に従い得る。信頼スコアが閾値を満たしておらず、プライマリ・コンピュータとセカンダリ・コンピュータとが異なる結果（例えば、矛盾）を示している場合、監視ＭＣＵは、コンピュータ間で調停を行い、適切な結果を判断することができる。

監視ＭＣＵは、セカンダリ・コンピュータが誤アラームを提供する条件を、プライマリ・コンピュータ及びセカンダリ・コンピュータからの出力に基づいて判断するようにトレーニングされ、構成されているニューラル・ネットワークを実行するように構成され得る。したがって、監視ＭＣＵ内のニューラル・ネットワークは、セカンダリ・コンピュータの出力をいつ信頼できて、いつ信頼できないかを学習することができる。例えば、セカンダリ・コンピュータがＲＡＤＡＲベースのＦＣＷシステムである場合、監視ＭＣＵ内のニューラル・ネットワークは、いつＦＣＷシステムが、アラームをトリガする排水溝の格子又はマンホール・カバーなど、実際には危険ではない金属製の物体を識別しているかを学習することができる。同様に、セカンダリ・コンピュータがカメラベースのＬＤＷシステムである場合、監視ＭＣＵ内のニューラル・ネットワークは、自転車運転者又は歩行者が存在し、車線逸脱が実際に最も安全な操作である場合にＬＤＷをオーバーライドすることを学習することができる。監視ＭＣＵ上で動作するニューラル・ネットワークを含む実施例では、監視ＭＣＵには、関連するメモリとともにニューラル・ネットワークを実行するのに適したＤＬＡ又はＧＰＵの少なくとも１つが含まれ得る。好ましい実施例では、監視ＭＣＵには、ＳｏＣ１２０４のコンポーネントが含まれ得るか、及び／又は該コンポーネントとして含まれ得る。

他の実例では、ＡＤＡＳシステム１２３８には、従来のコンピュータ・ビジョンのルールを使用してＡＤＡＳ機能を実行するセカンダリ・コンピュータが含まれ得る。したがって、セカンダリ・コンピュータはクラシック・コンピュータ・ビジョン・ルール（ｉｆ－ｔｈｅｎ）を使用することができ、監視ＭＣＵにニューラル・ネットワークが存在することによって、信頼性、安全性、及びパフォーマンスを向上させることができる。例えば、多様な実装例及び意図的な非同一性によって、システム全体の耐障害性を、特に、ソフトウェア（又はソフトウェア・ハードウェア・インターフェース）機能によって生じる障害に対して高める。例えば、プライマリ・コンピュータ上で実行されているソフトウェアにソフトウェア・バグ又はエラーがあり、セカンダリ・コンピュータ上で実行されている非同一ソフトウェア・コードが全体的に同じ結果を提供する場合、監視ＭＣＵは、全体的な結果が正しく、プライマリ・コンピュータによって使用されているソフトウェア又はハードウェアのバグが重大なエラーの原因ではないとのより大きい信頼を有することができる。

いくつかの実例では、ＡＤＡＳシステム１２３８の出力は、プライマリ・コンピュータの知覚ブロック及び／又はプライマリ・コンピュータの動的運転タスク・ブロックに供給され得る。例えば、ＡＤＡＳシステム１２３８が、すぐ前に物体があることにより前方衝突警報を示している場合、知覚ブロックは、物体を識別するときにこの情報を使用することができる。他の実例では、セカンダリ・コンピュータには、トレーニングされ、したがって、本明細書に説明するように、誤検出のリスクを低減する独自のニューラル・ネットワークがあってもよい。

車両１２００にはさらに、インフォテインメントＳｏＣ１２３０（例えば、車両内インフォテインメント・システム（ＩＶＩ：Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ））が含まれ得る。ＳｏＣとして図示及び説明されているが、インフォテインメント・システムはＳｏＣでなくてもよく、２つ以上の個別のコンポーネントを含んでいてもよい。インフォテインメントＳｏＣ１２３０には、オーディオ（例えば、音楽、携帯情報端末、ナビゲーション命令、ニュース、ラジオなど）、ビデオ（例えば、ＴＶ、映画、ストリーミングなど）、電話（例えば、ハンズフリー通話）、ネットワーク接続性（例えば、ＬＴＥ、Ｗｉ－Ｆｉ）、及び／又は情報サービス（例えば、ナビゲーション・システム、後方駐車支援、無線データ・システム、燃料レベル、総走行距離、ブレーキ燃料レベル、オイル・レベル、ドアの開閉、エア・フィルタ情報などの車両関連情報）を車両１２００に提供するために使用できるハードウェアとソフトウェアとの組み合わせが含まれ得る。例えば、インフォテインメントＳｏＣ１２３０には、ラジオ、ディスク・プレーヤ、ナビゲーション・システム、ビデオ・プレーヤ、ＵＳＢ及びブルートゥース接続性、カーピュータ（ｃａｒｐｕｔｅｒ）、車内エンターテインメント、Ｗｉ－Ｆｉ、ハンドル・オーディオ・コントロール、ハンズフリー音声コントロール、ヘッドアップ・ディスプレイ（ＨＵＤ：Ｈｅａｄｓ－Ｕｐ Ｄｉｓｐｌａｙ）、ＨＭＩディスプレイ１２３４、テレマティックス・デバイス、（例えば、様々なコンポーネント、特徴、及び／若しくはシステムを制御する並びに／又はそれらと対話するための）コントロール・パネル、及び／又は他のコンポーネントが含まれ得る。インフォテインメントＳｏＣ１２３０はさらに、ＡＤＡＳシステム１２３８からの情報、計画された車両操作などの自律運転情報、軌跡、周囲環境の情報（例えば、交差点情報、車両情報、道路情報など）、及び／又は他の情報などの（例えば、視覚的及び／又は可聴式の）情報を車両のユーザに提供するために使用され得る。

インフォテインメントＳｏＣ１２３０には、ＧＰＵ機能が含まれ得る。インフォテインメントＳｏＣ１２３０は、バス１２０２（例えば、ＣＡＮバス、イーサネット（登録商標）など）を介して、車両１２００の他のデバイス、システム、及び／又はコンポーネントと通信することができる。いくつかの実例では、プライマリ・コントローラ１２３６（例えば、車両１２００のプライマリ及び／又はバックアップ・コンピュータ）が故障した場合に、インフォテインメント・システムのＧＰＵが一部の自動運転機能を実行できるように、インフォテインメントＳｏＣ１２３０を監視ＭＣＵに結合することができる。このような実例では、インフォテインメントＳｏＣ１２３０は、本明細書に説明するように、車両１２００を安全停止まで運転代行モードに入れることができる。

車両１２００にはさらに、計器群１２３２（例えば、デジタル・ダッシュ、電子計器群、デジタル計器パネルなど）が含まれ得る。計器群１２３２には、コントローラ及び／又はスーパーコンピュータ（例えば、個別のコントローラ又はスーパーコンピュータ）が含まれ得る。計器群１２３２には、スピードメータ、燃料レベル、油圧、タコメータ、オドメータ、方向指示器、ギヤシフト位置指示器、シート・ベルト警報灯、駐車ブレーキ警報灯、エンジン異常灯、エアバッグ（ＳＲＳ）システム情報、照明コントロール、安全システム・コントロール、ナビゲーション情報などの計測セットが含まれ得る。いくつかの実例では、情報は、インフォテインメントＳｏＣ１２３０及び計器類１２３２に表示され得る、及び／又はそれらの間で共有され得る。つまり、計器類１２３２は、インフォテインメントＳｏＣ１２３０の一部として含まれていてもよく、逆もまた同様である。

前述のように、少なくともいくつかの実施例では、車載プラットフォーム１００（図１を参照）は、自律車両１２００のコンポーネントであり得る。このような実施例では、コントローラ１２３６に車載ＳｏＣ１０４が含まれている。例えば、車載ＳｏＣ１０４は、ＳｏＣ１２０４の１つとして実装され得る。

図１５は、本開示のいくつかの実施例による、クラウドベースのサーバと図１２の自律車両の例１２００との間の通信のためのシステム図である。システム１２７６には、サーバ１２７８、ネットワーク１２９０、及び車両１２００を含む車両が含まれ得る。サーバ１２７８には、複数のＧＰＵ１２８４（Ａ）～１２８４（Ｈ）（本明細書では集合的にＧＰＵ１２８４と呼ぶ）、ＰＣＩｅスイッチ１２８２（Ａ）～１２８２（Ｈ）（本明細書では集合的にＰＣＩｅスイッチ１２８２と呼ぶ）、及び／又はＣＰＵ１２８０（Ａ）～１２８０（Ｂ）（本明細書では集合的にＣＰＵ１２８０と呼ぶ）が含まれ得る。ＧＰＵ１２８４、ＣＰＵ１２８０、及びＰＣＩｅスイッチは、例えば、ＮＶＩＤＩＡによって開発されたＮＶＬｉｎｋインターフェース１２８８及び／又はＰＣＩｅ接続１２８６などであるが、これらに限定されない高速インターコネクトで相互接続され得る。いくつかの実例では、ＧＰＵ１２８４は、ＮＶＬｉｎｋ及び／又はＮＶＳｗｉｔｃｈ ＳｏＣを介して接続され、ＧＰＵ１２８４及びＰＣＩｅスイッチ１２８２は、ＰＣＩｅインターコネクトを介して接続されている。８つのＧＰＵ１２８４、２つのＣＰＵ１２８０、及び２つのＰＣＩｅスイッチが図示されているが、これは、限定を意図したものではない。実施例に応じて、サーバ１２７８の各々には、任意の数のＧＰＵ１２８４、ＣＰＵ１２８０、及び／又はＰＣＩｅスイッチが含まれ得る。例えば、サーバ１２７８の各々には、８個、１６個、３２個、及び／又はそれ以上のＧＰＵ１２８４が含まれていてもよい。

サーバ１２７８は、ネットワーク１２９０を介して、及び車両から、最近始まった道路工事など、予想外の又は変化した道路状況を示す画像を表す画像データを受信することができる。サーバ１２７８は、ネットワーク１２９０を介して、及び車両に、ニューラル・ネットワーク１２９２、更新されたニューラル・ネットワーク１２９２、及び／又は地図情報１２９４（交通及び道路状況に関する情報を含む）を送信することができる。地図情報１２９４の更新には、建設現場、道路の穴、迂回路、洪水、及び／又は他の障害物に関する情報など、ＨＤマップ１２２２の更新が含まれ得る。いくつかの実例では、ニューラル・ネットワーク１２９２、更新されたニューラル・ネットワーク１２９２、及び／又はマップ情報１２９４は、環境内の任意の数の車両から受信したデータにおいて表される新しいトレーニング及び／又は経験から、並びに／或いは（例えば、サーバ１２７８及び／又は他のサーバを使用して）データセンタで実行されたトレーニングに基づいてもたらされたものであり得る。

サーバ１２７８は、トレーニング・データに基づいて機械学習モデル（例えば、ニューラル・ネットワーク）をトレーニングするために使用され得る。トレーニング・データは、車両によって生成されてもよい、及び／又は、（例えば、ゲーム・エンジンを使用して）シミュレーションで生成されてもよい。いくつかの実例では、トレーニング・データは、タグ付けされ（例えば、ニューラル・ネットワークが教師あり学習からの恩恵を受ける場合）、及び／又は他の前処理が行われるが、他の実例では、トレーニング・データは、タグ付け及び／又は前処理されない（例えば、ニューラル・ネットワークが教師あり学習を必要としない場合）。トレーニングは、任意の１つ又は複数の機械学習手法のクラスに従って実行され得る。これには、教師ありトレーニング、半教師ありトレーニング、教師なしトレーニング、自己学習、強化学習、連合学習、転移学習、特徴学習（主成分分析及びクラスタ分析を含む）、多重線形部分空間学習、多様体学習、表現学習（スペア辞書学習を含む）、ルールベースの機械学習、異常検出、及びこれらの任意の変形例又は組み合わせが含まれるが、これらに限定されない。機械学習モデルがトレーニングされると、機械学習モデルは車両によって使用され得る（例えば、ネットワーク１２９０を介して車両に送信される）、及び／又は機械学習モデルは、車両を遠隔モニタリングするために、サーバ１２７８によって使用され得る。

いくつかの実例では、サーバ１２７８は、車両からデータを受信し、リアルタイム・インテリジェント推論のために、そのデータを最新のリアルタイム・ニューラル・ネットワークに適用することができる。サーバ１２７８には、深層学習スーパーコンピュータ、及び／又はＮＶＩＤＩＡによって開発されたＤＧＸ及びＤＧＸステーション・マシンなど、ＧＰＵ１２８４によって給電される専用のＡＩコンピュータが含まれ得る。しかしながら、いくつかの実例では、サーバ１２７８には、ＣＰＵ電源式のデータセンタのみを使用する深層学習インフラストラクチャが含まれていてもよい。

サーバ１２７８の深層学習インフラストラクチャは、高速且つリアルタイムの推論が可能であり得、また、その能力を使用して、車両１２００内のプロセッサ、ソフトウェア、及び／又は関連ハードウェアの正常性を評価及び検証することができる。例えば、深層学習インフラストラクチャは、一連の画像及び／又は車両１２００が（例えば、コンピュータ・ビジョン及び／又は他の機械学習物体分類手法を介して）その一連の画像において位置を特定した物体など、定期的な更新を車両１２００から受信することができる。深層学習インフラストラクチャは、独自のニューラル・ネットワークを実行して物体を識別し、それらを車両１２００によって識別された物体と比較することができ、結果が一致せず、車両１２００内のＡＩに異常があるとインフラストラクチャが判定した場合は、サーバ１２７８は車両１２００に信号を送信して、車両１２００のフェイルセーフ・コンピュータに制御を引き受け、乗員に通知し、安全な駐車操作を完了するよう指示することができる。

推論のために、サーバ１２７８には、ＧＰＵ１２８４と、１つ又は複数のプログラム可能な推論アクセラレータ（例えば、ＮＶＩＤＩＡのＴｅｎｓｏｒＲＴ）とが含まれ得る。ＧＰＵ電源式のサーバと推論アクセラレーションとの組み合わせは、リアルタイムの応答性を可能にすることができる。パフォーマンスがそれほど重要でない場合など、他の実例では、ＣＰＵ、ＦＰＧＡ、及び他のプロセッサによって給電されるサーバを推論に使用することができる。

コンピューティング・デバイスの例
図１６は、本開示のいくつかの実施例を実装する際の使用に適しているコンピューティング・デバイス１６００の例のブロック図である。コンピューティング・デバイス１６００には、次のデバイス、すなわち、メモリ１６０４、１つ又は複数の中央処理ユニット（ＣＰＵ）１６０６、１つ又は複数のグラフィックス処理ユニット（ＧＰＵ）１６０８、通信インターフェース１６１０、Ｉ／Ｏポート１６１２、入力／出力コンポーネント１６１４、電源１６１６、１つ又は複数のプレゼンテーション・コンポーネント１６１８（例えば、ディスプレイ）、及び１つ又は複数の論理ユニット１６２０を、直接又は間接的に結合するインターコネクト・システム１６０２が含まれ得る。

図１６の様々なブロックは、インターコネクト・システム１６０２を介して回線で接続されているものとして示されているが、これは限定を意図したものではなく、明確にするためだけのものである。例えば、いくつかの実施例では、ディスプレイ・デバイスなどのプレゼンテーション・コンポーネント１６１８は、Ｉ／Ｏコンポーネント１６１４と見なされ得る（例えば、ディスプレイがタッチ・スクリーンの場合）。別の実例として、ＣＰＵ１６０６及び／又はＧＰＵ１６０８には、メモリが含まれ得る（例えば、メモリ１６０４は、ＧＰＵ１６０８、ＣＰＵ１６０６、及び／又は他のコンポーネントのメモリに加えて、ストレージ・デバイスを表し得る）。つまり、図１６のコンピューティング・デバイスは例示にすぎない。すべて図１６のコンピューティング・デバイスの範囲内であると企図されるため、「ワークステーション」、「サーバ」、「ラップトップ」、「デスクトップ」、「タブレット」、「クライアント・デバイス」、「モバイル・デバイス」、「ハンドヘルド・デバイス」、「ゲーム・コンソール」、「電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）」、「仮想現実システム」、「拡張現実システム」、及び／又は他のデバイス若しくはシステムのタイプなどのカテゴリ間で区別はされない。

インターコネクト・システム１６０２は、アドレス・バス、データ・バス、制御バス、又はこれらの組み合わせなどの１つ又は複数のリンク又はバスを表し得る。インターコネクト・システム１６０２には、業界標準アーキテクチャ（ＩＳＡ：Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、拡張業界標準アーキテクチャ（ＥＩＳＡ：Ｅｘｔｅｎｄｅｄ Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ビデオ・エレクトロニクス・スタンダーズ・アソシエーション（ＶＥＳＡ：Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ）バス、ペリフェラル・コンポーネント・インターコネクト（ＰＣＩ）バス、ペリフェラル・コンポーネント・インターコネクト・エクスプレス（ＰＣＩｅ）バス、及び／又は別のタイプのバス若しくはリンクなど、１つ又は複数のバス又はリンクのタイプが含まれ得る。いくつかの実施例では、コンポーネント間に直接接続がある。一実例として、ＣＰＵ１６０６は、メモリ１６０４に直接接続され得る。さらに、ＣＰＵ１６０６は、ＧＰＵ１６０８に直接接続され得る。コンポーネント間に直接又はポイント・ツー・ポイント接続がある場合、インターコネクト・システム１６０２は、接続を実行するためにＰＣＩｅリンクを含み得る。これらの実例では、ＰＣＩバスがコンピューティング・デバイス１６００に含まれている必要はない。

メモリ１６０４には、様々なコンピュータ可読媒体が含まれ得る。コンピュータ可読媒体は、コンピューティング・デバイス１６００によってアクセスされ得る任意の利用可能な媒体であり得る。コンピュータ可読媒体には、揮発性及び不揮発性媒体の両方、並びにリムーバブル及び非リムーバブル媒体が含まれ得る。例として、また、限定ではないが、コンピュータ可読媒体には、コンピュータ記憶媒体及び通信媒体が含まれ得る。

コンピュータ記憶媒体には、コンピュータ可読命令、データ構造、プログラム・モジュール、及び／又は他のデータ・タイプなどの情報の記憶のための任意の方法又は技術で実装された揮発性及び不揮発性媒体の両方及び／又はリムーバブル及び非リムーバブル媒体が含まれ得る。例えば、メモリ１６０４は、コンピュータ可読命令（例えば、プログラム及び／又はオペレーティング・システムなどのプログラム要素を表す）を記憶し得る。コンピュータ記憶媒体には、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ若しくは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（ＤＶＤ：Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）若しくは他の光学ディスク・ストレージ、磁気カセット、磁気テープ、磁気ディスク・ストレージ若しくは他の磁気ストレージ・デバイス、又は、所望の情報を記憶するために使用され得、且つコンピューティング・デバイス１６００によってアクセスされ得る任意の他の媒体が含まれ得るが、これらに限定されない。本明細書で使用される場合、コンピュータ記憶媒体には、信号自体は含まれない。

コンピュータ記憶媒体は、搬送波又は他の輸送機構などの変調されたデータ信号でコンピュータ可読命令、データ構造、プログラム・モジュール、及び／又は他のデータ・タイプを実施例し得、任意の情報配信媒体を含む。「変調されたデータ信号」という用語は、信号内の情報を符号化するようにその特性のうちの１つ又は複数が設定又は変更されている信号を指し得る。例として、限定ではないが、コンピュータ記憶媒体には、有線ネットワーク又は直接有線接続などの有線メディア、並びに音響、ＲＦ、赤外線、及び他のワイヤレス媒体などのワイヤレス媒体が含まれ得る。上記のいずれかの組み合わせもまた、コンピュータ可読媒体の範囲に含まれる。

ＣＰＵ１６０６は、コンピュータ可読命令のうちの少なくともいくつかを実行して、コンピューティング・デバイス１６００の１つ又は複数のコンポーネントを制御して、本明細書で説明される方法及び／又はプロセスのうちの１つ又は複数を実行するように構成され得る。ＣＰＵ１６０６の各々には、多数のソフトウェア・スレッドを同時に処理することが可能である１つ又は複数のコア（例えば、１個、２個、４個、８個、２８個、７２個など）が含まれ得る。ＣＰＵ１６０６には、任意のタイプのプロセッサが含まれ得、また、実装されているコンピューティング・デバイス１６００のタイプに応じて、異なるタイプのプロセッサ（例えば、モバイル・デバイスではコア数が少ないプロセッサ、サーバではコア数が多いプロセッサ）が含まれ得る。例えば、コンピューティング・デバイス１６００のタイプに応じて、プロセッサは、縮小命令セット計算（ＲＩＳＣ）を使用して実装されるアドバンストＲＩＳＣマシン（ＡＲＭ：Ａｄｖａｎｃｅｄ ＲＩＳＣ Ｍａｃｈｉｎｅ）プロセッサ、又は複合命令セット計算（ＣＩＳＣ：Ｃｏｍｐｌｅｘ Ｉｎｓｔｒｕｃｔｉｏｎ Ｓｅｔ Ｃｏｍｐｕｔｉｎｇ）を使用して実装される×８６プロセッサであり得る。コンピューティング・デバイス１６００には、１つ又は複数のマイクロプロセッサ、又は数学コプロセッサなどの補助コプロセッサに加えて、１つ又は複数のＣＰＵ１６０６が含まれ得る。

ＣＰＵ１６０６に加えて又はそれに代えて、ＧＰＵ１６０８は、コンピュータ可読命令のうちの少なくともいくつかを実行して、コンピューティング・デバイス１６００の１つ又は複数のコンポーネントを制御して、本明細書で説明される方法及び／又はプロセスのうちの１つ又は複数を実行するように構成され得る。ＧＰＵ１６０８のうちの１つ又は複数が、（例えば、ＣＰＵ１６０６のうちの１つ又は複数との統合ＧＰＵであり得、及び／或いはＧＰＵのうちの１つ又は複数がディスクリートＧＰＵであり得る。実施例では、ＧＰＵ１６０８のうちの１つ又は複数が、ＣＰＵ１６０６のうちの１つ又は複数のコプロセッサであり得る。ＧＰＵ１６０８は、コンピューティング・デバイス１６００によって使用されて、グラフィックス（例えば、３Ｄグラフィックス）がレンダリングされるか、又は汎用計算が実行され得る。例えば、ＧＰＵ１６０８は、ＧＰＵでの汎用計算（ＧＰＧＰＵ：Ｇｅｎｅｒａｌ－Ｐｕｒｐｏｓｅ ｃｏｍｐｕｔｉｎｇ ｏｎ ＧＰＵ）に使用され得る。ＧＰＵ１６０８には、数百又は数千のソフトウェア・スレッドを同時に処理できる数百又は数千のコアが含まれ得る。ＧＰＵ１６０８は、レンダリング・コマンド（例えば、ホスト・インターフェース経由で受信したＣＰＵ１６０６からのレンダリング・コマンド）に応答して、出力画像のピクセル・データを生成し得る。ＧＰＵ１６０８には、ピクセル・データ、又はＧＰＧＰＵデータなどの任意の他の適切なデータを記憶するための、ディスプレイ・メモリなどのグラフィックス・メモリが含まれ得る。ディスプレイ・メモリは、メモリ１６０４の一部として含まれていてもよい。ＧＰＵ１６０８には、（例えば、リンクを介して）並行して動作する２つ以上のＧＰＵが含まれ得る。リンクは、ＧＰＵを直接接続することも（例えば、ＮＶＬＩＮＫを使用して）、スイッチを介してＧＰＵを接続することもできる（例えば、ＮＶＳｗｉｔｃｈを使用して）。組み合わされた場合、各ＧＰＵ１６０８は、出力の異なる部分又は異なる出力についてピクセル・データ又はＧＰＧＰＵデータを生成することができる（例えば、第１の画像に第１のＧＰＵ、及び第２の画像に第２のＧＰＵ）。各ＧＰＵは、独自のメモリが含まれていても、他のＧＰＵとメモリを共有してもよい。

ＣＰＵ１６０６及び／若しくはＧＰＵ１６０８に加えて又はそれらに代えて、論理ユニット１６２０は、コンピュータ可読命令のうちの少なくともいくつかを実行して、コンピューティング・デバイス１６００の１つ又は複数のコンポーネントを制御して、本明細書で説明される方法及び／又はプロセスのうちの１つ又は複数を実行するように構成され得る。実施例では、ＣＰＵ１６０８、ＧＰＵ１６０８、及び／又は論理ユニット１６２０は、方法、プロセス、及び／又はこれらの部分の任意の組み合わせを個別に又は共同で実行し得る。論理ユニット１６２０のうちの１つ若しくは複数が、ＣＰＵ１６０６及び／又はＧＰＵ１６０８のうちの１つ若しくは複数の一部であっても及び／又は統合されていてもよく、並びに／或いは論理ユニット１６２０のうちの１つ又は複数が、個別のコンポーネントであるか、そうでなければ、ＣＰＵ１６０６及び／又はＧＰＵ１６０８の外部にあってもよい。実施例では、論理ユニット１６２０のうちの１つ又は複数が、ＣＰＵ１６０６のうちの１つ又は複数及び／或いはＧＰＵ１６０８のうちの１つ又は複数のコプロセッサであり得る。

論理ユニット１６２０の例には、テンソル・コア（ＴＣ：Ｔｅｎｓｏｒ Ｃｏｒｅ）、テンソル処理ユニット（ＴＰＵ：Ｔｅｎｓｏｒ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ピクセル・ビジュアル・コア（ＰＶＣ：Ｐｉｘｅｌ Ｖｉｓｕａｌ Ｃｏｒｅ）、ビジョン処理ユニット（ＶＰＵ：Ｖｉｓｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、グラフィックス処理クラスタ（ＧＰＣ：Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｃｌｕｓｔｅｒ）、テクスチャ処理クラスタ（ＴＰＣ：Ｔｅｘｔｕｒｅ Ｐｒｏｃｅｓｓｉｎｇ Ｃｌｕｓｔｅｒ）、ストリーミング・マルチプロセッサ（ＳＭ：Ｓｔｒｅａｍｉｎｇ Ｍｕｌｔｉｐｒｏｃｅｓｓｏｒ）、ツリー・トラバーサル・ユニット（ＴＴＵ：Ｔｒｅｅ Ｔｒａｖｅｒｓａｌ Ｕｎｉｔ）、人工知能アクセラレータ（ＡＩＡ：Ａｒｔｉｆｉｃｉａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ａｃｃｅｌｅｒａｔｏｒ）、深層学習アクセラレータ（ＤＬＡ：Ｄｅｅｐ Ｌｅａｒｎｉｎｇ Ａｃｃｅｌｅｒａｔｏｒ）、算術論理ユニット（ＡＬＵ：Ａｒｉｔｈｍｅｔｉｃ－Ｌｏｇｉｃ Ｕｎｉｔ）、特定用途向け集積回路（ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、浮動小数点ユニット（ＦＰＵ：Ｆｌｏａｔｉｎｇ Ｐｏｉｎｔ Ｕｎｉｔ）、Ｉ／Ｏ要素、ペリフェラル・コンポーネント・インターコネクト（ＰＣＩ：Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）又はペリフェラル・コンポーネント・インターコネクト・エクスプレス（ＰＣＩｅ）要素など、１つ又は複数の処理コア及び／又はそのコンポーネントが含まれる。

通信インターフェース１６１０には、コンピューティング・デバイス１６００が、有線及び／又はワイヤレス通信を含む電子通信ネットワークを介して他のコンピューティング・デバイスと通信することを可能にする、１つ又は複数の受信器、送信器、及び／或いはトランシーバが含まれ得る。通信インターフェース１６１０には、ワイヤレス・ネットワーク（例えば、Ｗｉ－Ｆｉ、Ｚ－Ｗａｖｅ、ブルートゥース（登録商標）、ブルートゥースＬＥ、ジグビーなど）、有線ネットワーク（例えば、イーサネット（登録商標）又はＩｎｆｉｎｉＢａｎｄ経由の通信）、ロー・パワー・ワイド・エリア・ネットワーク（例えば、ＬｏＲａＷＡＮ、ＳｉｇＦｏｘなど）、及び／又はインターネットなどの多数の異なるネットワークのうちのいずれかを介した通信を可能にするためにコンポーネント及び機能が含まれ得る。

Ｉ／Ｏポート１６１２は、コンピューティング・デバイス１６００が、Ｉ／Ｏコンポーネント１６１４、プレゼンテーション・コンポーネント１６１８、及び／又は他のコンポーネント（そのうちのいくつかは、コンピューティング・デバイス１６００に組み込まれていても（例えば、統合されていても）よい）を含む他のデバイスに論理的に結合されることを可能にし得る。例示的なＩ／Ｏコンポーネント１６１４には、マイク、マウス、キーボード、ジョイスティック、ゲーム・パッド、ゲーム・コントローラ、衛星放送受信アンテナ、スキャナ、プリンタ、ワイヤレス・デバイスなどが含まれる。Ｉ／Ｏコンポーネント１６１４は、ユーザが生成したエア・ジェスチャ、声、又は他の生理学的入力を処理するナチュラル・ユーザ・インターフェース（ＮＵＩ：Ｎａｔｕｒａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を提供し得る。場合によっては、入力は、さらなる処理のために適切なネットワーク要素に送信され得る。ＮＵＩは、音声認識、スタイラス認識、顔認識、バイオメトリック認識、画面上と画面付近の両方のジェスチャ認識、エア・ジェスチャ、頭部及び目の追跡、並びにコンピューティング・デバイス１６００のディスプレイに関連付けられたタッチ認識（以下により詳細に説明される）の任意の組み合わせを実装し得る。コンピューティング・デバイス１６００には、ジェスチャ検出及び認識のために、立体カメラ・システム、赤外線カメラ・システム、ＲＧＢカメラ・システム、タッチ・スクリーン技術、及びこれらの組み合わせなどの深度カメラが含まれ得る。加えて、コンピューティング・デバイス１６００には、動きの検出を可能にする加速度計又はジャイロスコープ（例えば、慣性測定ユニット（ＩＭＵ：Ｉｎｅｒｔｉａ Ｍｅａｓｕｒｅｍｅｎｔ Ｕｎｉｔ）の一部として）が含まれ得る。いくつかの実例では、加速度計又はジャイロスコープの出力は、コンピューティング・デバイス１６００によって使用されて、没入感のある拡張現実又は仮想現実をレンダリングすることができる。

電源１６１６には、ハードワイヤード電源、バッテリ電源、又はこれらの組み合わせが含まれ得る。電源１６１６は、コンピューティング・デバイス１６００のコンポーネントが動作することを可能にするために、コンピューティング・デバイス１６００に給電し得る。

プレゼンテーション・コンポーネント１６１８には、ディスプレイ（例えば、モニタ、タッチ・スクリーン、テレビ画面、ヘッドアップ・ディスプレイ（ＨＵＤ）、他のディスプレイ・タイプ、又はこれらの組み合わせ）、スピーカ、及び／又は他のプレゼンテーション・コンポーネントが含まれ得る。プレゼンテーション・コンポーネント１６１８は、他のコンポーネント（例えば、ＧＰＵ１６０８、ＣＰＵ１６０６など）からデータを受信し、データを（例えば、画像、ビデオ、サウンドなどとして）を出力し得る。

本開示は、コンピュータ、又はパーソナル・データ・アシスタント若しくは他のハンドヘルド・デバイスなどの他のマシンによって実行される、プログラム・モジュールなどのコンピュータ実行可能命令を含むコンピュータ・コード又はマシン使用可能命令の一般的なコンテキストで説明され得る。一般に、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などが含まれるプログラム・モジュールは、特定のタスクを実行する、又は特定の抽象データ型を実装するコードを指す。本開示は、ハンドヘルド・デバイス、家電製品、汎用コンピュータ、より専門的なコンピューティング・デバイスなどが含まれる様々なシステム構成で実施され得る。本開示はまた、通信ネットワークを介してリンクされたリモート処理デバイスによってタスクが実行される分散コンピューティング環境で実施されてもよい。

本開示の少なくとも１つの実施例について、次の条項を考慮して説明することができる。

１．第１の部分と、第２の部分と、を備える集積回路であって、第１の部分は、第１のタイマを含み、第１の部分は、複数の論理ブロックに起因する少なくとも１つの障害に対応するデータを少なくとも１つのエラー信号に集約し、且つ少なくとも１つのエラー信号を送信し、第１のタイマは、少なくとも１つのエラー信号が送信されたときに開始し、且つ少なくとも１つの障害に対応するデータが第１の部分からクリアされたときにリセットされ、第１の部分は、第１のタイマが少なくとも第１の所定の時間が経過したことを示し、少なくとも１つの障害に対応するデータが第１の部分からクリアされていないときに、タイムアウト・エラー信号を送信し、第２の部分は、少なくとも１つのエラー信号と、タイムアウト・エラー信号が送られた場合にタイムアウト・エラー信号とを受信し、第２の部分は、タイムアウト・エラー信号を受信した後に外部システムに通知する、集積回路。

２．少なくとも１つの障害のうちの特定の障害に対して、第１の部分は、特定の障害を発生させたエラーを識別し、複数の論理ブロックのうちの少なくとも１つがエラーを訂正したことを第１の部分が判定するときに、第１の部分は、特定の障害に対応するデータを第１の部分からクリアし、第１の部分は、特定の障害に対応するデータが第１の部分からクリアされたことを第２の部分に通知し、第２の部分は、特定の障害に対応するデータを第２の部分からクリアする、条項１に記載の集積回路。

３．少なくとも１つの障害のうちの特定の障害に対して、第１の部分は、特定の障害を発生させたエラーを識別し、第１の部分は、エラーを訂正する１つ又は複数の措置を実行し、特定の障害に対応するデータを第１の部分からクリアし、第１の部分は、特定の障害に対応するデータが第１の部分からクリアされたことを第２の部分に通知し、第２の部分は、特定の障害に対応するデータを第２の部分からクリアする、条項１又は２に記載の集積回路。

４．少なくとも１つの障害のうちの特定の障害に対して、第１の部分は、特定の障害を発生させたエラーを識別し、第１の部分は、記憶場所に障害情報を書き込み、エラーのシビアリティを第２の部分に通知し、第２の部分は、エラーのシビアリティに少なくとも部分的に基づいて障害情報を読み取るかどうかを判断し、第２の部分は、エラーを訂正する１つ又は複数の措置を実行し、特定の障害に対応するデータを第１の部分からクリアするように第１の部分に通知し、第１の部分は、第１の部分が通知を受信した後に、特定の障害に対応するデータを第１の部分からクリアし、第１の部分は、特定の障害に対応するデータが第１の部分からクリアされたことを第２の部分に通知し、第２の部分は、特定の障害に対応するデータを第２の部分からクリアする、条項１から３までのいずれか１つに記載の集積回路。

５．少なくとも１つの障害のうちの特定の障害に対して、第１の部分は、特定の障害を発生させたエラーを識別し、第１の部分は、エラーのシビアリティを第２の部分に通知し、第２の部分は、エラーのシビアリティに基づいてエラーを外部システムに通知する、条項１から４までのいずれか１つに記載の集積回路。

６．第２の部分は、第２の部分がタイムアウト・エラー信号を受信したときに開始する第２のタイマを含み、第２のタイマは、少なくとも１つの障害に対応するデータが第２の部分からクリアされた後にリセットされ、第２の部分は、外部システムに通知する前に、第２のタイマが少なくとも第２の所定の時間が経過したことを示すまで待機する、条項１から５までのいずれか１つに記載の集積回路。

７．第２の部分は、タイムアウト・エラー信号を受信した後に１つ又は複数の訂正措置を実行し、少なくとも１つの障害に対応するデータをクリアするように第１の部分に通知し、第２の部分は、第２のタイマが少なくとも第２の所定の時間が経過したことを示す前に、第２の部分が少なくとも１つの障害に対応するデータをクリアするように第１の部分に通知したときに、外部システムに通知しない、条項６に記載の集積回路。

８．第１の部分は、少なくとも１つの障害に対応するデータを第２の部分からクリアする通知を受信した後に、少なくとも１つの障害に対応するデータを第１の部分からクリアし、第１の部分は、少なくとも１つの障害に対応するデータが第１の部分からクリアされたことを第２の部分に通知し、第２の部分は、少なくとも１つの障害に対応するデータを第２の部分からクリアする、条項７に記載の集積回路。

９．単一の半導体材料上に存在している、条項１から８までのいずれか１つに記載の集積回路。

１０．車載システムのシステム・オン・チップ（「ＳｏＣ」）の一部分を実装している、条項１から９までのいずれか１つに記載の集積回路。

１１．第２の部分は、第１の部分よりも高いリスク分類レベルで動作する、条項１から１０までのいずれか１つに記載の集積回路。

１２．少なくとも１つのエラー信号は、訂正されていないエラー信号を含み、少なくとも１つの障害に対応するデータは、訂正されていないエラー信号に第１の部分によって集約された、訂正されていない障害に対応するデータを含み、集積回路は、第１の部分から第２の部分へタイムアウト・エラー信号を導く第１の信号導体と、第１の部分から第２の部分へ訂正されていないエラー信号を導く第２の信号導体と、をさらに備える、条項１から１１までのいずれか１つに記載の集積回路。

１３．少なくとも１つのエラー信号は、訂正されたエラー信号を含み、少なくとも１つの障害に対応するデータは、訂正されたエラー信号に第１の部分によって集約された、訂正された障害に対応し、集積回路は、第１の部分から第２の部分へ訂正されたエラー信号を導く第３の信号導体をさらに備える、条項１１に記載の集積回路。

１４．第１の部分から第２の部分へシビアリティ信号を送信するための第１の部分と第２の部分との間の接続部であって、シビアリティ信号は、少なくとも１つの障害の各々のシビアリティ・レベルを示す、接続部をさらに備える、条項１から１３までのいずれか１つに記載の集積回路。

１５．各々、複数の論理ブロックのうちの少なくとも１つからの１つ又は複数の障害に対応するデータを受信し、１つ又は複数の障害に対応するデータを１つ又は複数のエラー信号に集約し、１つ又は複数のエラー信号を少なくとも１つのエラー信号に集約する第１の部分に、１つ又は複数のエラー信号を送信する、複数の障害アグリゲータをさらに備える、条項１から１４までのいずれか１つに記載の集積回路。

１６．集積回路の第１の回路によって、集積回路の論理ブロック内で起きた少なくとも１つのエラーによって、各々発生した少なくとも１つの障害に対応するデータを受信することと、第１の回路によって、少なくとも１つの障害に対応するデータを少なくとも１つのエラー信号に集約することと、第１の回路によって、集積回路の第２の回路に少なくとも１つのエラー信号を送信することであって、送信が第１のタイマを開始する、送信することと、第１の回路によって、少なくとも１つの障害のうちの特定の１つを発生させた１つ又は複数のエラーが訂正されたことを判定することと、第１の回路が１つ又は複数のエラーが訂正されたと判定した後に、第１の回路によって、特定の障害に対応するデータをクリアすることであって、第１のタイマは、少なくとも１つの障害に対応するデータがクリアされたときにリセットされる、クリアすることと、第１のタイマが少なくとも第１の所定の時間が経過したことを示すときに、第１の回路によって、タイムアウト・エラー信号を第２の回路に送信することと、第２の回路がタイムアウト・エラー信号を受信した後に、第２の回路によって、外部システムに通知することと、を含む方法。

１７．第１の回路によって、特定の障害を発生させた１つ又は複数のエラーを識別することと、第１の回路によって、１つ又は複数のエラーが集積回路の少なくとも１つの論理ブロックによって訂正されたことを判定することと、第１の回路によって、特定の障害に対応するデータが第１の回路からクリアされたことを第２の回路に知らせることと、第２の回路によって、特定の障害に対応するデータを第２の回路からクリアすることと、をさらに含む、条項１６に記載の方法。

１８．第１の回路によって、特定の障害を発生させた１つ又は複数のエラーを識別することと、第１の回路によって、１つ又は複数のエラーを訂正する１つ又は複数の措置を実行することと、第１の回路によって、特定の障害に対応するデータが第１の回路からクリアされたことを第２の回路に知らせることと、第２の回路によって、特定の障害に対応するデータを第２の回路からクリアすることと、をさらに含む、条項１６又は１７に記載の方法。

１９．第１の回路によって、特定の障害を発生させた１つ又は複数のエラーを識別することと、第１の回路によって、記憶場所に障害情報を書き込むことと、第１の回路によって、１つ又は複数のエラーのシビアリティを第２の回路に知らせることと、第２の回路によって、１つ又は複数のエラーのシビアリティに少なくとも部分的に基づいて障害情報を読み取るかどうかを判断することと、第２の回路によって、１つ又は複数のエラーを訂正する１つ又は複数の措置を実行することと、第２の回路によって、特定の障害を発生させた１つ又は複数のエラーが訂正されたことを第１の回路に知らせることと、特定の障害に対応するデータを第１の回路及び第２の回路からクリアすることと、をさらに含む、条項１６から１８までのいずれか１つに記載の方法。

２０．第１の回路によって、特定の障害を発生させた１つ又は複数のエラーを識別することと、第１の回路によって、１つ又は複数のエラーのシビアリティを第２の回路に知らせることと、第２の回路によって、エラーのシビアリティに基づいてエラーを外部システムに通知することと、をさらに含む、条項１６から１９までのいずれか１つに記載の方法。

２１．外部システムに通知する前に、第２のタイマが少なくとも第２の所定の時間が経過したことを示すまで、第２の回路によって待機することであって、第２のタイマは、第２の回路がタイムアウト・エラー信号を受信したときに開始し、少なくとも１つの障害に対応するデータが第２の回路からクリアされた後にリセットされる、待機することをさらに含む、条項１６から２０までのいずれか１つに記載の方法。

２２．タイムアウト・エラー信号を受信した後に、第２の回路によって、１つ又は複数の訂正措置を実行することであって、１つ又は複数の訂正措置は、少なくとも１つの障害の各々を発生させた少なくとも１つのエラーを訂正する、実行することと、少なくとも１つの障害に対応するデータを第１の回路及び第２の回路からクリアすることであって、第２の回路は、第２のタイマが少なくとも第２の所定の時間が経過したことを示す前に、少なくとも１つの障害に対応するデータが第２の回路からクリアされたときに外部システムに通知しない、クリアすることと、をさらに含む、条項２１に記載の方法。

２３．少なくとも１つの障害に対応するデータを第１の回路及び第２の回路からクリアすることは、第２の回路によって、少なくとも１つの障害の各々を発生させた少なくとも１つのエラーが訂正されたことを第１の回路に知らせること、第１の回路によって、少なくとも１つの障害のうちの各障害に対応するデータを第１の回路からクリアすることと、第１の回路によって、少なくとも１つの障害のうちの各障害に対応するデータが第１の回路からクリアされたことを第２の回路に知らせることと、第２の回路によって、少なくとも１つの障害のうちの各障害に対応するデータを第２の回路からクリアすることと、をさらに含む、条項２２に記載の方法。

２４．集積回路は、連続する半導体材料上に存在している、条項１６から２３までのいずれか１つに記載の方法。

２５．集積回路は、車載システムのシステム・オン・チップ（「ＳｏＣ」）の一部分を実装している、条項１６から２４までのいずれか１つに記載の方法。

２６．第１の回路は、第１の電圧ドメイン及び第１のクロック・ドメイン内で動作し、第２の回路は、第２の電圧ドメイン及び第２のクロック・ドメイン内で動作し、第２の電圧ドメインは、第１の電圧ドメインとは異なり、第２のクロック・ドメインは、第１のクロック・ドメインとは異なり、第２の回路は、第１の回路よりも高いリスク分類レベルで動作する、条項１６から２５までのいずれか１つに記載の方法。

２７．複数の障害アグリゲータの各々によって、複数の論理ブロックのうちの少なくとも１つからの１つ又は複数の障害を受信することと、複数の障害アグリゲータの各々によって、障害アグリゲータによって受信された１つ又は複数の障害に基づいてエラー信号を生成することと、複数の障害アグリゲータの各々によって、障害アグリゲータによって生成されたエラー信号を第１の回路に送信して、少なくとも１つの障害を含む複数のエラー信号を送信することであって、第１の回路は、少なくとも１つの障害に対応するデータを少なくとも１つのエラー信号に集約する、送信することと、をさらに含む、条項１６から２６までのいずれか１つに記載の方法。

２８．安全部分と、駆動部分と、第１の信号導体と、タイムアウト信号導体と、を備える自律車両の集積回路であって、安全部分は、自律車両を安全な状態にするために、複数の訂正措置を実行し、複数の訂正措置は、安全部分がタイムアウト・エラーがアサートされたことを検出したときに、外部システムに発信エラー信号を送信することを含み、駆動部分は、自律車両の少なくとも１つの機能を制御し、駆動部分は、駆動部分がエラー信号内の第１のアサートされたエラーを安全部分に送信したときに開始する第１のタイマを含み、第１のタイマは、駆動部分において最後のアサートされたエラーがディアサートされたときにリセットされ、駆動部分は、第１のタイマが少なくとも第１の所定の時間が経過したことを示すときに、タイムアウト・エラー信号内のタイムアウト・エラーをアサートし、第１の信号導体は、駆動部分から安全部分へエラー信号を導き、安全部分は、エラー信号内の各アサートされたエラーのアサートされたエラーを含み、タイムアウト信号導体は、駆動部分から安全部分へタイムアウト・エラー信号を導く集積回路。

２９．エラー信号内のアサートされた各エラーについて、駆動部分は、エラーがアサートされた理由を識別し、駆動部分の論理ブロックがエラーがアサートされた理由に適切に対処していると駆動部分が判定したときに、駆動部分は、駆動部分内のエラーをディアサートし、駆動部分は、駆動部分においてエラーがディアサートされたことを安全部分に通知し、駆動部分においてエラーがディアサートされたとの通知を安全部分が受信した後に、安全部分は、安全部分内のエラーをディアサートする、条項２８に記載の集積回路。

３０．エラー信号内のアサートされた各エラーについて、駆動部分は、エラーがアサートされた理由を識別し、駆動部分は、１つ又は複数の措置を実行して、エラーがアサートされた理由に対処し、駆動部分は、駆動部分内のエラーをディアサートし、駆動部分は、駆動部分においてエラーがディアサートされたことを安全部分に通知し、駆動部分においてエラーがディアサートされたとの通知を安全部分が受信した後に、安全部分は、安全部分内のエラーをディアサートする、条項２８又は２９に記載の集積回路。

３１．エラー信号内のアサートされた各エラーについて、駆動部分は、エラーがアサートされた理由を識別し、駆動部分は、記憶場所に情報を書き込み、安全部分にエラーのシビアリティを通知し、安全部分は、エラーのシビアリティに少なくとも部分的に基づいて情報を読み取るかどうかを判断し、安全部分は、複数の訂正措置のうちの少なくとも１つを実行して、エラーがアサートされた理由に対処し、安全部分は、エラーをディアサートするように駆動に通知し、駆動部分がエラーをディアサートするとの通知を受信した後に、駆動部分は、駆動部分内のエラーをディアサートし、駆動部分は、駆動部分においてエラーがディアサートされたことを安全部分に通知し、駆動部分においてエラーがディアサートされたとの通知を安全部分が受信した後に、安全部分は、安全部分内のエラーをディアサートする、条項２８から３０までのいずれか１つに記載の集積回路。

３２．エラー信号内のアサートされた各エラーについて、駆動部分は、エラーがアサートされた理由を識別し、駆動部分は、安全部分にエラーのシビアリティを通知し、安全部分は、エラーのシビアリティに基づいて外部システムにエラーを通知する、条項２８から３１のいずれか１つに記載の集積回路。

３３．安全部分は、安全部分がタイムアウト・エラー信号内のタイムアウト・エラーを受信したときに開始する第２のタイマを含み、第２のタイマは、安全部分がアサートされたエラーをもはや含まなくなったときにリセットされ、安全部分は、外部システムに発信エラー信号を送信する前に、第２のタイマが少なくとも第２の所定の時間が経過したことを示すまで待機する、条項２８から３２までのいずれか１つに記載の集積回路。

３４．安全部分は、タイムアウト・エラー信号内のタイムアウト・エラーを受信した後に、複数の訂正措置のうちの少なくとも１つを実行し、エラー信号内のアサートされた各エラーをディアサートするように駆動部分に通知し、第２のタイマが少なくとも第２の所定の時間が経過したことを示す前に、安全部分がエラー信号内のアサートされた各エラーをディアサートするように駆動部分に通知したときに、安全部分は発信エラー信号を送信しない、条項３３に記載の集積回路。

３５．単一の半導体材料上に存在している、条項２８から３４までのいずれか１つに記載の集積回路。

３６．安全部分は、駆動部分よりも高いリスク・レベルで動作する、条項２８から３５までのいずれか１つに記載の集積回路。

３７．エラー信号内の各アサートされたエラーは、訂正されていないエラーであり、エラー信号は、訂正されていないエラー信号であり、第１の信号導体は、訂正されていないエラー信号導体であり、駆動部分は、安全部分に、訂正されたエラー信号内のアサートされた訂正されたエラーを送信し、集積回路は、駆動部分から安全部分へ訂正されたエラー信号を導く訂正された信号導体であって、安全部分は、訂正されたエラー信号内の各アサートされた訂正されたエラーのアサートされた訂正されたエラーを含む、訂正された信号導体をさらに備える、条項２８から３６までのいずれか１つに記載の集積回路。

３８．駆動部分から安全部分へシビアリティ信号を送信するための駆動部分と安全部分との間の接続部であって、シビアリティ信号は、エラー信号内のアサートされたエラーのシビアリティ・レベルを示す、接続部をさらに備える、条項２８から３７までのいずれか１つに記載の集積回路。

３９．各々、複数の論理ブロックのうちの少なくとも１つからの１つ又は複数の障害を受信し、１つ又は複数の障害を１つ又は複数のエラー信号に集約し、１つ又は複数のエラー信号をエラー信号に集約する駆動部分に、１つ又は複数のエラー信号を送信する、複数の障害アグリゲータをさらに備える、条項２８から３８までのいずれか１つに記載の集積回路。

開示された実施例を説明するコンテキストにおける（特に、次の特許請求の範囲のコンテキストにおける）「ａ」及び「ａｎ」及び「ｔｈｅ」という用語及び同様の参照の使用は、本明細書に特に明記されていない限り、又はコンテキストによって明確に矛盾する場合を除き、用語の定義としてではなく、単数形及び複数形の両方を対象とするように解釈されるべきである。「備える（ｃｏｍｐｒｉｓｉｎｇ）」、「有する（ｈａｖｉｎｇ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、及び「包含する（ｃｏｎｔａｉｎｉｎｇ）」という用語は、特に明記されていない限り、非限定的用語（「～が含まれるが、これに限定されない」を意味する）と解釈されるものとする。「接続された（ｃｏｎｎｅｃｔｅｄ）」という用語は、修飾されておらず、物理的な接続を指す場合、何かが介在していたとしても、部分的に又は全体的に中に含まれる、取り付けられる、又は一緒に結合されると解釈されるべきである。本明細書における値の範囲の記載は、本明細書に特に明記されていない限り、範囲内の別個の各値を個別に参照する簡単な方法であることを単に意図するものであり、別個の各値は、本明細書で個別に記載されたかのように本明細書に組み込まれる。少なくとも１つの実施例では、「セット」又は「サブセット」という用語の使用（例えば、「アイテムのセット」）は、特に明記されていない限り、又はコンテキストによって矛盾する場合を除き、１つ又は複数のメンバーを含む空ではないコレクションと解釈されるべきである。さらに、特に明記されていない限り、又はコンテキストによって明確に矛盾する場合を除き、対応するセットの「サブセット」という用語は、対応するセットの適切なサブセットを示すとは限らず、サブセットと対応するセットとは等しくてもよい。

本明細書で使用される場合、２つ以上の要素に関する「及び／又は」の記載は、１つの要素のみ、又は要素の組み合わせを意味すると解釈されるべきである。例えば、「要素Ａ、要素Ｂ、及び／又は要素Ｃ」には、要素Ａのみ、要素Ｂのみ、要素Ｃのみ、要素Ａ及び要素Ｂ、要素Ａ及び要素Ｃ、要素Ｂ及び要素Ｃ、又は要素Ａ、Ｂ、及びＣが含まれ得る。

「Ａ、Ｂ、及びＣのうちの少なくとも１つ（ａｔ ｌｅａｓｔ ｏｎｅ ｏｆ Ａ，Ｂ，ａｎｄ Ｃ）」又は「Ａ、Ｂ及びＣのうちの少なくとも１つ（ａｔ ｌｅａｓｔ ｏｎｅ ｏｆ Ａ，Ｂ ａｎｄ Ｃ）」の形式の語句などの接続的な言語は、具体的に別段に述べられていない限り、又はコンテキストによって明確に矛盾する場合を除き、項目、用語などが、現在まで一般的に使用されるコンテキストで、Ａ若しくはＢ若しくはＣのいずれか、又はＡ及びＢ及びＣのセットの任意の空ではないサブセットであり得ると理解される。例えば、３つのメンバーを有するセットの例示的な例では、「Ａ、Ｂ、及びＣのうちの少なくとも１つ」及び「Ａ、Ｂ及びＣのうちの少なくとも１つ」という接続的な語句は、次のセット、すなわち、｛Ａ｝、｛Ｂ｝、｛Ｃ｝、｛Ａ，Ｂ｝、｛Ａ，Ｃ｝、｛Ｂ，Ｃ｝、｛Ａ，Ｂ，Ｃ｝のうちのいずれかを指す。したがって、このような接続的な言語は、特定の実施例に、Ａのうちの少なくとも１つ、Ｂのうちの少なくとも１つ、及びＣのうちの少なくとも１つが存在することが必要であることを意味することを意図したものではない。また、特に明記されていない限り、又はコンテキストによって矛盾する場合を除き、「複数」という用語は、複数の状態を示す（例えば、「複数の項目」は多数の項目を示す）。少なくとも１つの実施例では、複数における項目の数は、少なくとも２であるが、明示的に又はコンテキストによって示された場合は、より多くてもよい。さらに、特に明記されていない限り、又はコンテキストから明らかである場合を除き、「～に基づく（ｂａｓｅｄ ｏｎ）」という語句は、「少なくとも部分的に基づく（ｂａｓｅｄ ａｔ ｌｅａｓｔ ｉｎ ｐａｒｔ ｏｎ）」を意味し、「～のみに基づく（ｂａｓｅｄ ｓｏｌｅｌｙ ｏｎ）」を意味するものではない。

本明細書に説明するプロセスの操作は、本明細書に特に明記されていない限り、又はコンテキストによって明確に矛盾する場合を除き、任意の適切な順序で実行され得る。少なくとも１つの実施例では、本明細書に説明するプロセス（又はその変形形態及び／又は組み合わせ）などのプロセスは、実行可能な命令で構成された１つ又は複数のコンピュータ・システムの制御下で実行され、ハードウェア又はその組み合わせによって、１つ又は複数のプロセッサ上で集合的に実行されるコード（例えば、実行可能命令、１つ若しくは複数のコンピュータ・プログラム、又は１つ若しくは複数のアプリケーション）として実装される。少なくとも１つの実施例では、コードはコンピュータ可読記憶媒体に記憶される。少なくとも１つの実施例では、１つ又は複数のプロセッサによって実行可能な複数の命令を含むコンピュータ・プログラムの形式で記憶される。少なくとも１つの実施例では、コンピュータ可読記憶媒体は、一時的な信号（例えば、伝播する過渡的な電気又は電磁伝送）を除外するが、一時的な信号のトランシーバ内の非一時的なデータ・ストレージ回路（例えば、バッファ、キャッシュ、及びキュー）を含む、非一時的なコンピュータ可読記憶媒体である。少なくとも１つの実施例では、コード（例えば、実行可能コード又はソース・コード）は、実行可能命令が記憶された１つ又は複数の非一時的コンピュータ可読記憶媒体（又は実行可能命令を記憶する他のメモリ）のセットに記憶される。実行可能命令は、コンピュータ・システムの１つ又は複数のプロセッサによって実行されると（すなわち、実行された結果として）、コンピュータ・システムに本明細書で説明する操作を実行させる。少なくとも１つの実施例では、非一時的コンピュータ可読記憶媒体のセットは、複数の非一時的コンピュータ可読記憶媒体を含み、複数の非一時的コンピュータ可読記憶媒体の個々の非一時的記憶媒体のうちの１つ又は複数にはすべてのコードはないが、複数の非一時的コンピュータ可読記憶媒体は集合的にすべてのコードを記憶する。少なくとも１つの実施例では、異なる命令が異なるプロセッサによって実行されるように実行可能命令が実行される。少なくとも１つの実施例では、非一時的コンピュータ可読記憶媒体が命令を記憶し、メインの中央処理ユニット（「ＣＰＵ」）が命令のうちのいくつかを実行し、グラフィックス処理ユニット（「ＧＰＵ」）が他の命令を実行する。少なくとも１つの実施例では、コンピュータ・システムの異なるコンポーネントが別個のプロセッサを有し、異なるプロセッサが異なる命令のサブセットを実行する。

したがって、少なくとも１つの実施例では、コンピュータ・システムは、本明細書に説明するプロセスの操作を単独で又は集合的に実行する１つ又は複数のサービスを実装するように構成され、そのようなコンピュータ・システムは、操作の実行を可能にする適切なハードウェア及び／又はソフトウェアで構成される。さらに、本開示の少なくとも１つの実施例を実装するコンピュータ・システムは、単一のデバイスであり、また、別の実施例では、分散コンピュータ・システムが本明細書で説明される操作を実行し、単一のデバイスですべての操作を実行しないように、異なって動作する複数のデバイスを含む分散コンピュータ・システムである。

本明細書に提供される任意及びすべての実例又は例示的な言語（例えば、「など」）の使用は、単に本開示の実施例をより適切に示すことを意図したものであり、特に主張されていない限り、本開示の範囲に限定を課すものではない。本明細書における言語は、請求項に係わらない任意の要素が、本開示の実践に不可欠であることを示していると解釈されるべきではない。

本明細書に引用されている出版物、特許出願、及び特許を含むすべての参照資料は、各参照資料が個別に且つ具体的に、参照により組み込まれることが示され、本明細書にその全体が記載されているのと同じ程度まで参照により本明細書に組み込まれる。

説明及び特許請求の範囲では、「結合された（ｃｏｕｐｌｅｄ）」及び「接続された（ｃｏｎｎｅｃｔｅｄ）」という用語がその派生語とともに使用され得る。これらの用語は、相互の同義語として意図されていない場合があることが理解されるべきである。むしろ、特定の実例では、「接続された」又は「結合された」は、２つ以上の要素が相互に直接又は間接的に物理的又は電気的に接触していることを示すために使用され得る。「結合された」とは、２つ以上の要素が相互に直接接触していないが、相互に協働又は対話することを意味する場合もある。

特に明記されていない限り、明細書全体を通して、「処理」、「コンピューティング」、「計算」、「判定」などの用語は、コンピュータ若しくはコンピューティング・システム、又は同様の電子コンピューティング・デバイスのアクション及び／又はプロセスを指していることを理解できるであろう。該アクション及び／又はプロセスは、コンピューティング・システムのレジスタ及び／又はメモリ内の物理量（例えば、電子量）として表されるデータを操作し、且つ／或いは、こうしたデータをコンピューティング・システムのメモリ、レジスタ、又は他のそのような情報ストレージ、伝送又は表示デバイス内の物理量として同様に表される他のデータに変換する。

同様に、「プロセッサ」という用語は、レジスタ及び／又はメモリからの電子データを処理し、その電子データをレジスタ及び／又はメモリに記憶され得る他の電子データに変換する任意のデバイス又はデバイスの一部分を指し得る。非限定的な例として、「プロセッサ」はＣＰＵ又はＧＰＵであり得る。「コンピューティング・プラットフォーム」は、１つ又は複数のプロセッサを備え得る。本明細書で使用される場合、「ソフトウェア」プロセスには、少なくとも１つの実施例では、タスク、スレッド、及びインテリジェント・エージェントなど、時間の経過とともに作業を実行するソフトウェア・エンティティ及び／又はハードウェア・エンティティが含まれ得る。また、各プロセスは、命令を順次又は並列に、連続的又は断続的に実行するための、複数のプロセスを指している場合がある。「システム」及び「方法」という用語は、システムが１つ又は複数の方法を具体化することができ、方法がシステムと見なされ得る限りにおいて、本明細書では相互に交換可能に使用される。

少なくとも１つの実施例では、算術論理演算ユニットは、結果を生成するために１つ又は複数の入力を取る組み合わせ論理回路のセットである。少なくとも１つの実施例では、算術論理演算ユニットはプロセッサによって使用されて、加算、減算、又は乗算などの数学操作が実装される。少なくとも１つの実施例では、算術論理演算ユニットを使用して論理ＡＮＤ／ＯＲ又はＸＯＲなどの論理操作が実装される。少なくとも１つの実施例では、算術論理演算ユニットはステートレスであり、論理ゲートを形成するように配置された半導体トランジスタなどの物理的なスイッチング・コンポーネントから作られている。少なくとも１つの実施例では、算術論理演算ユニットは、関連クロックを有するステートフル論理回路として内部的に動作し得る。少なくとも１つの実施例では、算術論理演算ユニットは、内部ステートが関連するレジスタ・セットで維持されない非同期論理回路として構築され得る。少なくとも１つの実施例では、算術論理演算ユニットはプロセッサによって使用されて、プロセッサの１つ又は複数のレジスタに格納されたオペランドを結合して、プロセッサによって別のレジスタ又はメモリ位置に記憶できる出力を生成する。

少なくとも１つの実施例では、プロセッサによって取得された命令を処理した結果、プロセッサは１つ又は複数の入力又はオペランドを算術論理演算ユニットに提示し、算術論理演算ユニットに、算術論理演算ユニットの入力に提供された命令コードに少なくとも部分的に基づいて結果を生成させる。少なくとも１つの実施例では、プロセッサによってＡＬＵに提供される命令コードは、プロセッサによって実行される命令に少なくとも部分的に基づいている。少なくとも１つの実施例では、ＡＬＵ内の組み合わせ論理が入力を処理し、プロセッサ内のバスに置かれる出力を生成する。少なくとも１つの実施例では、プロセッサをクロックすると、ＡＬＵによって生成された結果が所望の場所に送られるように、プロセッサは出力バス上の宛先レジスタ、メモリの場所、出力デバイス、又は出力ストレージの場所を選択する。

本文書では、アナログ又はデジタル・データをサブシステム、コンピュータ・システム、又はコンピュータ実装マシンで取得、収集、受信、又は入力することについて参照を行うことができる。少なくとも１つの実施例では、アナログ及びデジタル・データの取得、収集、受信、又は入力のプロセスは、関数呼び出し又はアプリケーション・プログラミング・インターフェースへの呼び出しのパラメータとしてデータを受信することなど、様々なやり方で達成することができる。いくつかの実装例では、アナログ又はデジタル・データの取得、収集、受信、又は入力のプロセスは、シリアル又はパラレル・インターフェースを介してデータを転送することによって達成することができる。別の実装例では、アナログ又はデジタル・データの取得、収集、受信、又は入力のプロセスは、コンピュータ・ネットワークを介してデータを提供エンティティから収集エンティティに転送することによって達成することができる。アナログ又はデジタル・データの提供、出力、伝送、送信、又は提示についても参照を行うことができる。様々な実例では、アナログ又はデジタル・データの提供、出力、伝送、送信、又は提示のプロセスは、関数呼び出しの入力又は出力パラメータ、アプリケーション・プログラミング・インターフェースのパラメータ、又はプロセス間通信メカニズムとしてデータを転送することによって達成することができる。

上記の議論では、説明された手法の実装例を示しているが、他のアーキテクチャを使用して説明された機能を実装することもでき、本開示の範囲内であることを意図している。さらに、上記のように、議論の目的で特定の役割の分配が定義されているが、状況に応じて、様々な機能及び役割を異なるやり方で分配及び分割することができる。

さらに、主題は構造的特徴及び／又は方法論的行為に特化した言語で説明されているが、添付の特許請求の範囲における請求項に係る主題は、必ずしも説明される特定の特徴又は行為に限定されないことを理解されたい。むしろ、具体的な特徴及び行為は、特許請求の範囲を実装する模範的な形態として開示されている。

本開示の主題は、法的要件を満たすために、本明細書では具体的に説明されている。しかしながら、説明自体は、本開示の範囲を限定することを意図しているわけではない。むしろ、本発明者は、請求項に係る主題が他のやり方でも具体化され、他の現在又は将来の技術とともに、本文書に説明されるものと同様の異なるステップ又はステップの組み合わせが含まれるように企図している。さらに、本明細書では、「ステップ」及び／又は「ブロック」という用語を使用して、採用される方法の異なる要素を暗示し得るが、これらの用語は、個々のステップの順序が明示的に説明されていない限り、また、そのような場合を除き、本明細書に開示されている様々なステップ間の任意の特定の順序を意味するものと解釈されるべきではない。

他の変形形態は、本開示の趣旨内にある。したがって、開示された手法は様々な修正及び代替構造が可能であるが、その特定の例示の実施例は、図面に示され、上記で詳細に説明されている。しかしながら、本開示を、開示された特定の１つ又は複数の形式に限定する意図はなく、逆に、添付の特許請求の範囲に定義されているように、あらゆる修正、代替構造、及び本開示の趣旨及び範囲内に収まる均等物を対象とすることを意図していることが理解されるべきである。

Claims (39)

1. 第１のタイマを含む第１の部分であって、複数の論理ブロックに起因する少なくとも１つの障害に対応するデータを少なくとも１つのエラー信号に集約し、且つ前記少なくとも１つのエラー信号を送信し、前記第１のタイマは、前記少なくとも１つのエラー信号が送信されたときに開始し、且つ前記少なくとも１つの障害に対応する前記データが前記第１の部分からクリアされたときにリセットされ、前記第１の部分は、前記第１のタイマが少なくとも第１の所定の時間が経過したことを示し、前記少なくとも１つの障害に対応する前記データが前記第１の部分からクリアされていないときに、タイムアウト・エラー信号を送信する、第１の部分と、
   前記少なくとも１つのエラー信号、及び前記タイムアウト・エラー信号が送られた場合は前記タイムアウト・エラー信号を受信する第２の部分であって、前記タイムアウト・エラー信号を受信した後に外部システムに通知する、第２の部分と、
   を備える集積回路。
2. 前記少なくとも１つの障害のうちの特定の障害に対して、
   前記第１の部分は、前記特定の障害を発生させたエラーを識別し、
   前記複数の論理ブロックのうちの少なくとも１つが前記エラーを訂正したことを前記第１の部分が判定するときに、前記第１の部分は、前記特定の障害に対応する前記データを前記第１の部分からクリアし、
   前記第１の部分は、前記特定の障害に対応する前記データが前記第１の部分からクリアされたことを前記第２の部分に通知し、
   前記第２の部分は、前記特定の障害に対応する前記データを前記第２の部分からクリアする、請求項１に記載の集積回路。
3. 前記少なくとも１つの障害のうちの特定の障害に対して、
   前記第１の部分は、前記特定の障害を発生させたエラーを識別し、
   前記第１の部分は、前記エラーを訂正する１つ又は複数の措置を実行し、前記特定の障害に対応する前記データを前記第１の部分からクリアし、
   前記第１の部分は、前記特定の障害に対応する前記データが前記第１の部分からクリアされたことを前記第２の部分に通知し、
   前記第２の部分は、前記特定の障害に対応する前記データを前記第２の部分からクリアする、請求項１に記載の集積回路。
4. 前記少なくとも１つの障害のうちの特定の障害に対して、
   前記第１の部分は、前記特定の障害を発生させたエラーを識別し、
   前記第１の部分は、記憶場所に障害情報を書き込み、前記エラーのシビアリティを前記第２の部分に通知し、
   前記第２の部分は、前記エラーの前記シビアリティに少なくとも部分的に基づいて前記障害情報を読み取るかどうかを判断し、
   前記第２の部分は、前記エラーを訂正する１つ又は複数の措置を実行し、前記特定の障害に対応する前記データを前記第１の部分からクリアするように前記第１の部分に通知し、
   前記第１の部分は、前記第１の部分が前記通知を受信した後に、前記特定の障害に対応する前記データを前記第１の部分からクリアし、
   前記第１の部分は、前記特定の障害に対応する前記データが前記第１の部分からクリアされたことを前記第２の部分に通知し、
   前記第２の部分は、前記特定の障害に対応する前記データを前記第２の部分からクリアする、請求項１に記載の集積回路。
5. 前記少なくとも１つの障害のうちの特定の障害に対して、
   前記第１の部分は、前記特定の障害を発生させたエラーを識別し、
   前記第１の部分は、前記エラーのシビアリティを前記第２の部分に通知し、
   前記第２の部分は、前記エラーの前記シビアリティに基づいて前記エラーを前記外部システムに通知する、請求項１に記載の集積回路。
6. 前記第２の部分は、前記第２の部分が前記タイムアウト・エラー信号を受信したときに開始する第２のタイマを含み、
   前記第２のタイマは、前記少なくとも１つの障害に対応する前記データが前記第２の部分からクリアされた後にリセットされ、
   前記第２の部分は、前記外部システムに通知する前に、前記第２のタイマが少なくとも第２の所定の時間が経過したことを示すまで待機する、請求項１に記載の集積回路。
7. 前記第２の部分は、前記タイムアウト・エラー信号を受信した後に１つ又は複数の訂正措置を実行し、前記少なくとも１つの障害に対応する前記データをクリアするように前記第１の部分に通知し、前記第２の部分は、前記第２のタイマが少なくとも前記第２の所定の時間が経過したことを示す前に、前記第２の部分が前記少なくとも１つの障害に対応する前記データをクリアするように前記第１の部分に通知したときに、前記外部システムに通知しない、請求項６に記載の集積回路。
8. 前記第１の部分は、前記少なくとも１つの障害に対応する前記データを前記第２の部分からクリアする前記通知を受信した後に、前記少なくとも１つの障害に対応する前記データを前記第１の部分からクリアし、
   前記第１の部分は、前記少なくとも１つの障害に対応する前記データが前記第１の部分からクリアされたことを前記第２の部分に通知し、
   前記第２の部分は、前記少なくとも１つの障害に対応する前記データを前記第２の部分からクリアする、請求項７に記載の集積回路。
9. 単一の半導体材料上に存在している、請求項１に記載の集積回路。
10. 車載システムのシステム・オン・チップ（「ＳｏＣ」）の一部分を実装している、請求項１に記載の集積回路。
11. 前記第２の部分は、前記第１の部分よりも高いリスク分類レベルで動作する、請求項１に記載の集積回路。
12. 前記少なくとも１つのエラー信号は、訂正されていないエラー信号を含み、前記少なくとも１つの障害に対応する前記データは、前記訂正されていないエラー信号に前記第１の部分によって集約された、訂正されていない障害に対応するデータを含み、前記集積回路は、
    前記第１の部分から前記第２の部分へ前記タイムアウト・エラー信号を導く第１の信号導体と、
    前記第１の部分から前記第２の部分へ前記訂正されていないエラー信号を導く第２の信号導体と、
    をさらに備える、請求項１に記載の集積回路。
13. 前記少なくとも１つのエラー信号は、訂正されたエラー信号を含み、前記少なくとも１つの障害に対応する前記データは、前記訂正されたエラー信号に前記第１の部分によって集約された、訂正された障害に対応するデータを含み、前記集積回路は、
    前記第１の部分から前記第２の部分へ前記訂正されたエラー信号を導く第３の信号導体をさらに備える、請求項１１に記載の集積回路。
14. 前記第１の部分から前記第２の部分へシビアリティ信号を送信するための前記第１の部分と前記第２の部分との間の接続部であって、前記シビアリティ信号は、前記少なくとも１つの障害の各々のシビアリティ・レベルを示す、接続部をさらに備える、請求項１に記載の集積回路。
15. 各々、前記複数の論理ブロックのうちの少なくとも１つからの１つ又は複数の障害に対応するデータを受信し、前記１つ又は複数の障害に対応する前記データを１つ又は複数のエラー信号に集約し、前記１つ又は複数のエラー信号を前記少なくとも１つのエラー信号に集約する前記第１の部分に、前記１つ又は複数のエラー信号を送信する、複数の障害アグリゲータをさらに備える、請求項１に記載の集積回路。
16. 集積回路の第１の回路によって、前記集積回路の論理ブロック内で起きた少なくとも１つのエラーによって、各々発生した少なくとも１つの障害に対応するデータを受信することと、
    前記第１の回路によって、前記少なくとも１つの障害に対応する前記データを少なくとも１つのエラー信号に集約することと、
    前記第１の回路によって、前記集積回路の第２の回路に前記少なくとも１つのエラー信号を送信することであって、前記送信が第１のタイマを開始する、送信することと、
    前記第１の回路によって、少なくとも１つの障害のうちの特定の１つを発生させた１つ又は複数のエラーが訂正されたことを判定することと、
    前記第１の回路が前記１つ又は複数のエラーが訂正されたと判定した後に、前記第１の回路によって、前記特定の障害に対応する前記データをクリアすることであって、前記第１のタイマは、前記少なくとも１つの障害に対応する前記データがクリアされたときにリセットされる、クリアすることと、
    前記第１のタイマが少なくとも第１の所定の時間が経過したことを示すときに、前記第１の回路によって、タイムアウト・エラー信号を前記第２の回路に送信することと、
    前記第２の回路が前記タイムアウト・エラー信号を受信した後に、前記第２の回路によって、外部システムに通知することと、
    を含む方法。
17. 前記第１の回路によって、前記特定の障害を発生させた前記１つ又は複数のエラーを識別することと、
    前記第１の回路によって、前記１つ又は複数のエラーが前記集積回路の少なくとも１つの論理ブロックによって訂正されたことを判定することと、
    前記第１の回路によって、前記特定の障害に対応する前記データが前記第１の回路からクリアされたことを前記第２の回路に知らせることと、
    前記第２の回路によって、前記第２の回路からの前記特定の障害に対応する前記データをクリアすることと、
    をさらに含む、請求項１６に記載の方法。
18. 前記第１の回路によって、前記特定の障害を発生させた前記１つ又は複数のエラーを識別することと、
    前記第１の回路によって、前記１つ又は複数のエラーを訂正する１つ又は複数の措置を実行することと、
    前記第１の回路によって、前記特定の障害に対応する前記データが前記第１の回路からクリアされたことを前記第２の回路に知らせることと、
    前記第２の回路によって、前記特定の障害に対応する前記データを前記第２の回路からクリアすることと、
    をさらに含む、請求項１６に記載の方法。
19. 前記第１の回路によって、前記特定の障害を発生させた前記１つ又は複数のエラーを識別することと、
    前記第１の回路によって、記憶場所に障害情報を書き込むことと、
    前記第１の回路によって、前記１つ又は複数のエラーのシビアリティを前記第２の回路に知らせることと、
    前記第２の回路によって、前記１つ又は複数のエラーの前記シビアリティに少なくとも部分的に基づいて前記障害情報を読み取るかどうかを判断することと、
    前記第２の回路によって、前記１つ又は複数のエラーを訂正する１つ又は複数の措置を実行することと、
    前記第２の回路によって、前記特定の障害を発生させた前記１つ又は複数のエラーが訂正されたことを前記第１の回路に知らせることと、
    前記特定の障害に対応する前記データを前記第１の回路及び前記第２の回路からクリアすることと、
    をさらに含む、請求項１６に記載の方法。
20. 前記第１の回路によって、前記特定の障害を発生させた前記１つ又は複数のエラーを識別することと、
    前記第１の回路によって、前記１つ又は複数のエラーのシビアリティを前記第２の回路に知らせることと、
    前記第２の回路によって、前記エラーの前記シビアリティに基づいて前記エラーを前記外部システムに通知することと、
    をさらに含む、請求項１６に記載の方法。
21. 前記外部システムに通知する前に、第２のタイマが少なくとも第２の所定の時間が経過したことを示すまで、前記第２の回路によって待機することであって、前記第２のタイマは、前記第２の回路が前記タイムアウト・エラー信号を受信したときに開始し、前記少なくとも１つの障害に対応する前記データが前記第２の回路からクリアされた後にリセットされる、待機することをさらに含む、請求項１６に記載の方法。
22. 前記タイムアウト・エラー信号を受信した後に、前記第２の回路によって、１つ又は複数の訂正措置を実行することであって、前記１つ又は複数の訂正措置は、前記少なくとも１つの障害の各々を発生させた前記少なくとも１つのエラーを訂正する、実行することと、
    前記少なくとも１つの障害に対応する前記データを前記第１の回路及び前記第２の回路からクリアすることであって、前記第２の回路は、前記第２のタイマが少なくとも前記第２の所定の時間が経過したことを示す前に、前記少なくとも１つの障害に対応する前記データが前記第２の回路からクリアされたときに前記外部システムに通知しない、クリアすることと、
    をさらに含む、請求項２１に記載の方法。
23. 前記少なくとも１つの障害に対応する前記データを前記第１の回路及び前記第２の回路からクリアすることは、
    前記第２の回路によって、前記少なくとも１つの障害の各々を発生させた前記少なくとも１つのエラーが訂正されたことを前記第１の回路に知らせること、
    前記第１の回路によって、前記少なくとも１つの障害のうちの各障害に対応する前記データを前記第１の回路からクリアすることと、
    前記第１の回路によって、前記少なくとも１つの障害のうちの各障害に対応する前記データが前記第１の回路からクリアされたことを前記第２の回路に知らせることと、
    前記第２の回路によって、前記少なくとも１つの障害のうちの各障害に対応する前記データを前記第２の回路からクリアすることと、
    をさらに含む、請求項２２に記載の方法。
24. 前記集積回路は、連続する半導体材料上に存在している、請求項１６に記載の方法。
25. 前記集積回路は、車載システムのシステム・オン・チップ（「ＳｏＣ」）の一部分を実装している、請求項１６に記載の方法。
26. 前記第１の回路は、第１の電圧ドメイン及び第１のクロック・ドメイン内で動作し、
    前記第２の回路は、第２の電圧ドメイン及び第２のクロック・ドメイン内で動作し、
    前記第２の電圧ドメインは、前記第１の電圧ドメインとは異なり、
    前記第２のクロック・ドメインは、前記第１のクロック・ドメインとは異なり、
    前記第２の回路は、前記第１の回路よりも高いリスク分類レベルで動作する、請求項１６に記載の方法。
27. 複数の障害アグリゲータの各々によって、複数の論理ブロックのうちの少なくとも１つからの１つ又は複数の障害を受信することと、
    前記複数の障害アグリゲータの各々によって、前記障害アグリゲータによって受信された前記１つ又は複数の障害に基づいてエラー信号を生成することと、
    前記複数の障害アグリゲータの各々によって、前記障害アグリゲータによって生成された前記エラー信号を前記第１の回路に送信して、前記少なくとも１つの障害を含む複数のエラー信号を送信することであって、前記第１の回路は、前記少なくとも１つの障害に対応する前記データを前記少なくとも１つのエラー信号に集約する、送信することと、
    をさらに含む、請求項１６に記載の方法。
28. 自律車両の集積回路であって、
    前記自律車両を安全な状態にするために、複数の訂正措置を実行する安全部分であって、前記複数の訂正措置は、前記安全部分がタイムアウト・エラーがアサートされたことを検出したときに、外部システムに発信エラー信号を送信することを含む、安全部分と、
    前記自律車両の少なくとも１つの機能を制御する駆動部分であって、前記駆動部分がエラー信号内の第１のアサートされたエラーを前記安全部分に送信したときに開始する第１のタイマを含み、前記第１のタイマは、前記駆動部分において最後のアサートされたエラーがディアサートされたときにリセットされ、前記駆動部分は、前記第１のタイマが少なくとも第１の所定の時間が経過したことを示すときに、タイムアウト・エラー信号内の前記タイムアウト・エラーをアサートする、駆動部分と、
    前記駆動部分から前記安全部分へ前記エラー信号を導く第１の信号導体であって、前記安全部分は、前記エラー信号内の各アサートされたエラーのアサートされたエラーを含む、第１の信号同体と、
    前記駆動部分から前記安全部分へ前記タイムアウト・エラー信号を導くタイムアウト信号導体と、
    を備える集積回路。
29. 前記エラー信号内のアサートされた各エラーについて、
    前記駆動部分は、前記エラーがアサートされた理由を識別し、
    前記駆動部分の論理ブロックが前記エラーがアサートされた前記理由に適切に対処していると前記駆動部分が判定したときに、前記駆動部分は、前記駆動部分内の前記エラーをディアサートし、
    前記駆動部分は、前記駆動部分において前記エラーがディアサートされたことを前記安全部分に通知し、
    前記駆動部分において前記エラーがディアサートされたとの前記通知を前記安全部分が受信した後に、前記安全部分は、前記安全部分内の前記エラーをディアサートする、請求項２８に記載の集積回路。
30. 前記エラー信号内のアサートされた各エラーについて、
    前記駆動部分は、前記エラーがアサートされた理由を識別し、
    前記駆動部分は、１つ又は複数の措置を実行して、前記エラーがアサートされた前記理由に対処し、
    前記駆動部分は、前記駆動部分内の前記エラーをディアサートし、
    前記駆動部分は、前記駆動部分において前記エラーがディアサートされたことを前記安全部分に通知し、
    前記駆動部分において前記エラーがディアサートされたとの前記通知を前記安全部分が受信した後に、前記安全部分は、前記安全部分内の前記エラーをディアサートする、請求項２８に記載の集積回路。
31. 前記エラー信号内のアサートされた各エラーについて、
    前記駆動部分は、前記エラーがアサートされた理由を識別し、
    前記駆動部分は、記憶場所に情報を書き込み、前記安全部分に前記エラーのシビアリティを通知し、
    前記安全部分は、前記エラーの前記シビアリティに少なくとも部分的に基づいて前記情報を読み取るかどうかを判断し、
    前記安全部分は、前記複数の訂正措置のうちの少なくとも１つを実行して、前記エラーがアサートされた前記理由に対処し、
    前記安全部分は、前記エラーをディアサートするように前記駆動に通知し、
    前記駆動部分が前記エラーをディアサートするとの前記通知を受信した後に、前記駆動部分は、前記駆動部分内の前記エラーをディアサートし、
    前記駆動部分は、前記駆動部分において前記エラーがディアサートされたことを前記安全部分に通知し、
    前記駆動部分において前記エラーがディアサートされたとの前記通知を前記安全部分が受信した後に、前記安全部分は、前記安全部分内の前記エラーをディアサートする、請求項２８に記載の集積回路。
32. 前記エラー信号内のアサートされた各エラーについて、
    前記駆動部分は、前記エラーがアサートされた理由を識別し、
    前記駆動部分は、前記安全部分に前記エラーのシビアリティを通知し、
    前記安全部分は、前記エラーの前記シビアリティに基づいて前記外部システムに前記エラーを通知する、請求項２８に記載の集積回路。
33. 前記安全部分は、前記安全部分が前記タイムアウト・エラー信号内の前記タイムアウト・エラーを受信したときに開始する第２のタイマを含み、
    前記第２のタイマは、前記安全部分がアサートされたエラーをもはや含まなくなったときにリセットされ、
    前記安全部分は、前記外部システムに前記発信エラー信号を送信する前に、前記第２のタイマが少なくとも第２の所定の時間が経過したことを示すまで待機する、請求項２８に記載の集積回路。
34. 前記安全部分は、前記タイムアウト・エラー信号内の前記タイムアウト・エラーを受信した後に、前記複数の訂正措置のうちの少なくとも１つを実行し、前記エラー信号内のアサートされた各エラーをディアサートするように前記駆動部分に通知し、前記第２のタイマが少なくとも前記第２の所定の時間が経過したことを示す前に、前記安全部分が前記エラー信号内のアサートされた各エラーをディアサートするように前記駆動部分に通知したときに、前記安全部分は前記発信エラー信号を送信しない、請求項３３に記載の集積回路。
35. 単一の半導体材料上に存在している、請求項２８に記載の集積回路。
36. 前記安全部分は、前記駆動部分よりも高いリスク・レベルで動作する、請求項２８に記載の集積回路。
37. 前記エラー信号内の各アサートされたエラーは、訂正されていないエラーであり、前記エラー信号は、訂正されていないエラー信号であり、前記第１の信号導体は、訂正されていないエラー信号導体であり、前記駆動部分は、前記安全部分に、訂正されたエラー信号内のアサートされた訂正されたエラーを送信し、前記集積回路は、
    前記駆動部分から前記安全部分へ前記訂正されたエラー信号を導く訂正された信号導体であって、前記安全部分は、前記訂正されたエラー信号内の各アサートされた訂正されたエラーのアサートされた訂正されたエラーを含む、訂正された信号導体をさらに備える、請求項２８に記載の集積回路。
38. 前記駆動部分から前記安全部分へシビアリティ信号を送信するための前記駆動部分と前記安全部分との間の接続部であって、前記シビアリティ信号は、前記エラー信号内のアサートされたエラーのシビアリティ・レベルを示す、接続部をさらに備える、請求項２８に記載の集積回路。
39. 各々、複数の論理ブロックのうちの少なくとも１つからの１つ又は複数の障害を受信し、前記１つ又は複数の障害を１つ又は複数のエラー信号に集約し、前記１つ又は複数のエラー信号を前記エラー信号に集約する前記駆動部分に、前記１つ又は複数のエラー信号を送信する、複数の障害アグリゲータをさらに備える、請求項２８に記載の集積回路。

Images