JP2023089680A - 電子制御装置 - Google Patents

Abstract

【課題】使用する制御ソフトを切替える切替処理中においてシステムの安全を適切に保障する。【解決手段】 電子制御装置１は、制御ソフトを記憶可能な第１記憶部３ａと、制御ソフトを記憶可能な第２記憶部３ｂと、使用する制御ソフトを、前記第１記憶部及び前記第２記憶部のうち何れか一方に記憶されている制御ソフトから他方に記憶されている制御ソフトに切替える切替処理を実施するソフト切替部２ｂと、システムの安全を保障する安全保障動作を実施する安全保障部４と、前記切替処理の開始を検知すると、前記安全保障動作を開始させるソフト切替検知部２ｅと、を備える。【選択図】図１

Description

本発明は、電子制御装置に関する。

例えば車載用の電子制御装置においては、機能の向上や不具合の解消等を目的として制御ソフトウェア（以下、制御ソフトと称する）を更新可能に構成されている。制御ソフトを更新する際にはシステムの安全を保障することが求められている。例えば特許文献１には、制御ソフトの更新状況を検知し、制御ソフトの状態に基づいて稼働機能を制限する構成が開示されている。

国際公開第２０２１／０２４５８９号

制御ソフトを記憶する記憶領域として第１記憶部と第２記憶部とを有する２面構成では、第１記憶部及び第２記憶部のうち何れか一方に記憶されている制御ソフトを使用中に、新しい制御ソフトの更新データを他方に書き込むことで、他方に記憶されている制御ソフトを更新する。その後、切替条件が成立すると、使用する制御ソフトを、一方に記憶されている制御ソフトから他方に記憶されている制御ソフトに切替える切替処理を実施する。この場合、切替処理中でもシステムの安全を保障することが求められるが、上記した特許文献１の構成では、切替処理中におけるシステムの安全を保障することができない。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、使用する制御ソフトを切替える切替処理中においてシステムの安全を適切に保障することができる電子制御装置を提供することにある。

請求項１に記載した発明によれば、第１記憶部（３ａ）は、制御ソフトを記憶可能である。第２記憶部（３ｂ）は、制御ソフトを記憶可能である。ソフト切替部（２ｂ）は、使用する制御ソフトを、第１記憶部及び第２記憶部のうち何れか一方に記憶されている制御ソフトから他方に記憶されている制御ソフトに切替える切替処理を実施する。安全保障部（４）は、システムの安全を保障する安全保障動作を実施する。ソフト切替検知部（２ｅ）は、切替処理の開始を検知すると、安全保障動作を開始させる。

使用する制御ソフトを、第１記憶部及び第２記憶部のうち何れか一方に記憶されている制御ソフトから他方に記憶されている制御ソフトに切替える切替処理の開始をソフト切替検知部により検知すると、安全保障部による安全保障動作を開始させるようにした。使用する制御ソフトの切替中においてシステムの安全を適切に保障することができる。

第１実施形態を示す機能ブロック図 ブローチャート 状態遷移図 第２実施形態を示す機能ブロック図

以下、複数の実施形態について図面を参照して説明する。後続する実施形態において、先行する実施形態と重複する部分については説明を省略する場合がある。
（第１実施形態）
第１実施形態について図１から図３を参照して説明する。電子制御装置（ＥＣＵ：Electronic Control Unit）１は、例えば車両に搭載される車載用の電子制御装置であり、例えば駆動系の制御を行う装置、ＡＤＡＳ（Advanced Driving Assistant System）系の制御を行う装置、マルチメディア系の制御を行う装置等である。

電子制御装置１は、制御部２と、記憶部３と、安全保障部４とを備える。制御部２は、ＣＰＵ、ＲＯＭ、ＲＡＭ及びＩ／Ｏ等を有するマイクロコンピュータ（以下、マイコンと称する）を主体として構成され、非遷移的実体的記憶媒体に格納されているコンピュータプログラムを実行することでコンピュータプログラムに対応する処理を実行し、電子制御装置１の動作を制御する。

記憶部３は、第１記憶部３ａと、第２記憶部３ｂと、第３記憶部３ｃとを備える。第１記憶部３ａ及び第２記憶部３ｂは、それぞれ制御ソフトを記憶可能である。第３記憶部３ｃは、切替検知ソフトを記憶可能である。各記憶部３ａ～３ｃは独立しており、第１記憶部３ａに記憶されている制御ソフト、第２記憶部３ｂに記憶されている制御ソフト、第３記憶部３ｃに記憶されている切替検知ソフトは、それぞれ他のソフトからの影響を受けることがないと共に他のソフトに影響を与えることなく起動可能である。

制御部２は、通常制御処理部２ａと、ソフト切替部２ｂと、マイコン監視部２ｃと、マイコン監視送信部２ｄと、ソフト切替検知部２ｅとを備える。通常制御処理部２ａは、第１記憶部３ａ及び第２記憶部３ｂのうち何れか一方に記憶されている制御ソフトを択一的に使用する。第１記憶部３ａ及び第２記憶部３ｂのうち一方に記憶されている制御ソフトを通常制御処理部２ａが使用中では、新しい制御ソフトの更新データを他方に書き込み可能となり、新しい制御ソフトの更新データを他方に書き込むことで、他方に記憶される制御ソフトを更新可能となる。この場合、制御ソフトの更新データは、例えば電子制御装置１が通信ネットワーク側のセンター装置と無線接続することで、センター装置から無線通信により取得されても良いし、電子制御装置１がダイアグツールと有線接続することで、ダイアグツールから有線通信により取得されても良い。

ソフト切替部２ｂは、切替条件の成立を監視している。ソフト切替部２ｂは、第１記憶部３ａ及び第２記憶部３ｂのうち何れか一方に記憶されている制御ソフトを使用中のときに切替条件が成立すると、使用する制御ソフトを、一方に記憶されている制御ソフトから他方に記憶されている制御ソフトに切替える切替処理を実施する。切替条件は、例えばユーザがソフト切替えの承諾操作を行ったこと、書き込まれた更新データが改ざんされていない正常なデータであること、電子制御装置１へ動作電源を供給するバッテリの残量が所定容量以上であること等である。

マイコン監視部２ｃは、制御部２の動作状態を監視しており、制御部２の動作状態が正常であることを検知中は正常通知をマイコン監視送信部２ｄへ出力し、制御部２の動作状態が異常であることを検知すると、異常通知をマイコン監視送信部２ｄへ出力する。マイコン監視送信部２ｄは、マイコン監視部２ｃから正常通知の入力を検知中は正常通知を安全保障部４へ出力し、マイコン監視部２ｃから異常通知の入力を検知すると、正常通知の出力を停止する。

安全保障部４は、電子制御装置１を一つのノードとして含むシステムの安全を保障する安全保障動作としてフェイルセーフを実施可能である。フェイルセーフは、システムにおいて例えば誤作動による障害が発生した場合に、システムの安全を保障する動作である。電子制御装置１が駆動系の制御を行う装置であれば、例えばアクチュエータカットを実施してシステムの安全を保障する。電子制御装置１がマルチメディア系の制御を行う装置であれば、例えばドライバに向けて表示する情報量を減らす等の機能制限を実施してシステムの安全を保障する。安全保障部４は、マイコン監視送信部２ｄから正常通知の入力を検知中はフェイルセーフを開始せずに待機しており、マイコン監視送信部２ｄから正常通知の入力を検知しなくなると、フェイルセーフを開始する。安全保障部４は、フェイルセーフを開始した後に、マイコン監視送信部２ｄから正常通知の入力の検知を再開すると、フェイルセーフを終了する。

本実施形態では、上記したシステムにおいて例えば誤作動による障害が発生した場合だけでなく、使用する制御ソフトを切替える切替処理を実施中にもフェイルセーフを実施するように構成されている。

ソフト切替検知部２ｅは、第３記憶部３ｃに記憶されている切替検知ソフトを起動してソフト切替部２ｂを監視し、切替処理の開始、切替処理の正常終了、切替処理中の異常発生を検知する。ソフト切替検知部２ｅは、切替処理の開始を検知すると、切替開始通知を安全保障部４へ出力する。安全保障部４は、ソフト切替検知部２ｅから切替開始通知の入力を検知すると、上記したマイコン監視送信部２ｄから正常通知の入力を検知しなくなったときと同様に、フェイルセーフを開始する。

ソフト切替検知部２ｅは、切替処理の正常終了を検知すると、切替正常終了通知を安全保障部４へ出力する。安全保障部４は、ソフト切替検知部２ｅから切替正常終了通知の入力を検知すると、フェイルセーフを終了する。ソフト切替検知部２ｅは、切替処理中の異常発生を検知すると、切替処理が開始される前の状態への復帰を待機し、切替処理が開始される前の状態への正常復帰を検知すると、切替正常復帰通知を安全保障部４へ出力する。安全保障部４は、ソフト切替検知部２ｅから切替正常復帰通知の入力を検知すると、フェイルセーフを終了する。

次に、上記した構成の作用について図２から図３を参照して説明する。
制御部２は、切替処理の開始を判定する開始判定処理を開始すると、切替処理を開始したか否かを判定する（Ｓ１）。制御部２は、切替条件が成立しておらず、切替処理を開始していないと判定すると（Ｓ１：ＮＯ）、開始判定処理を終了し、次の開始判定処理の開始を待機する。

制御部２は、切替条件が成立し、切替処理を開始したと判定すると（Ｓ１：ＹＥＳ）、切替開始通知を安全保障部４へ出力し（Ｓ２）、安全保障部４によるフェイルセーフを開始させる（Ｓ３）。制御部２は、安全保障部４によるフェイルセーフを開始させると、切替処理を正常終了したか否かを判定すると共に、切替処理中に異常発生したか否かを判定する（Ｓ４，Ｓ５）。

制御部２は、切替処理中に異常発生することなく切替処理を正常終了したと判定すると（Ｓ４：ＹＥＳ）、切替正常終了通知を安全保障部４へ出力し（Ｓ６）、安全保障部４によるフェイルセーフを終了させ（Ｓ７）、開始判定処理を終了する。一方、制御部２は、切替処理を正常終了することなく切替処理中に異常発生したと判定すると（Ｓ５：ＹＥＳ）、切替処理が開始される前の状態への復帰を実施する（Ｓ８）。制御部２は、切替処理を開始する前の状態に正常復帰すると、切替正常復帰通知を安全保障部４へ出力し（Ｓ９）、安全保障部４によるフェイルセーフを終了させ（Ｓ７）、開始判定処理を終了する。

制御部２は、上記した処理を行うことで、図３に示すように、使用する制御ソフトの切替中においてシステムの安全を適切に保障する。図３では、制御ソフトの更新データを第２記憶部２ｂに書き込み、使用する制御ソフトを、第１記憶部２ａに記憶されている制御ソフトから第２記憶部２ｂに記憶されている制御ソフトに切替える切替処理中にフェイルセーフを実施する場合を例示しているが、制御ソフトの更新データを第１記憶部２ａに書き込み、使用する制御ソフトを、第２記憶部２ｂに記憶されている制御ソフトから第１記憶部２ａに記憶されている制御ソフトに切替える場合も同様である。

以上に説明したように第１実施形態によれば、次に示す作用効果を得ることができる。
電子制御装置１において、使用する制御ソフトを切替える切替処理の開始を検知すると、安全保障部４によるフェイルセーフを開始するようにした。使用する制御ソフトの切替中においてシステムの安全を適切に保障することができる。

切替処理の正常終了を検知すると、安全保障部４によるフェイルセーフを終了するようにした。使用する制御ソフトの切替えを正常終了すると、フェイルセーフを速やかに解除することができる。

切替処理中の異常発生を検知すると、切替処理を開始する前の状態への復帰を待機し、切替処理を開始する前の状態への正常復帰を検知すると、安全保障部４によるフェイルセーフを終了するようにした。切替処理中に異常発生した場合でも、切替処理を開始する前の状態に正常復帰すると、フェイルセーフを速やかに解除することができる。

第３記憶部３ｃに記憶されている切替検知ソフトを起動し、切替処理の開始を検知するようにした。制御ソフトからの影響を受けることがないと共に制御ソフトに影響を与えることなく切替検知ソフトを起動することができ、切替処理の開始を適切に検知することができる。

（第２実施形態）
第２実施形態について図４を参照して説明する。
第１実施形態は、ソフト切替検知部２ｅが切替開始通知、切替正常終了通知及び切替正常復帰通知を安全保障部４へ出力する構成であるが、第２実施形態は、ソフト切替検知部２ｅが切替開始通知、切替正常終了通知及び切替正常復帰通知をマイコン監視送信部２ｄへ出力する構成である。

マイコン監視送信部２ｄは、ソフト切替検知部２ｅから切替開始通知の入力を検知すると、正常通知の出力を停止する。安全保障部４は、マイコン監視送信部２ｄから正常通知の入力を検知しなくなると、フェイルセーフを開始する。マイコン監視送信部２ｄは、ソフト切替検知部２ｅから切替正常終了通知又は切替正常復帰通知の入力を検知すると、正常通知の出力を再開する。安全保障部４は、マイコン監視送信部２ｄから正常通知の入力を検知すると、フェイルセーフを終了する。

第２実施形態においても、電子制御装置１は、使用する制御ソフトを切替える切替処理の開始を検知すると、安全保障部４によるフェイルセーフを開始するようにした。使用する制御ソフトの切替中においてシステムの安全を適切に保障することができる。尚、マイコン監視送信部２ｄは、ソフト切替検知部２ｅから切替開始通知の入力を検知すると、正常通知の出力を停止することに代えて、異常通知を安全保障部４へ出力しても良く、安全保障部４は、マイコン監視送信部２ｄから異常通知の入力を検知すると、フェイルセーフを開始しても良い。

（その他の実施形態）
本開示は、実施例に準拠して記述されたが、当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、更には、それらに一要素のみ、それ以上、或いはそれ以下を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。

第１実施形態と第２実施形態とを組み合わせても良い。即ち、ソフト切替検知部２ｅが切替開始通知、切替正常終了通知及び切替正常復帰通知を安全保障部４とマイコン監視送信部２ｄの両方へ出力する構成としても良い。冗長な構成とすることで、例えばソフト切替検知部２ｅから安全保障部４へのデータ伝送及びソフト切替検知部２ｅからマイコン監視送信部２ｄへのデータ伝送のうち何れか一方に異常が発生した場合でも、使用する制御ソフトを切替える切替処理中におけるフェイルセーフを適切に実施することができる。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することにより提供された専用コンピュータにより実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によりプロセッサを構成することにより提供された専用コンピュータにより実現されても良い。若しくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路により構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。

図面中、１は電子制御装置、２は制御部、２ｂはソフト切替部、２ｅはソフト切替検知部、３ａは第１記憶部、３ｂは第２記憶部、３ｃは第３記憶部、４は安全保障部である。

Claims (4)

1. 制御ソフトを記憶可能な第１記憶部（３ａ）と、
   制御ソフトを記憶可能な第２記憶部（３ｂ）と
   使用する制御ソフトを、前記第１記憶部及び前記第２記憶部のうち何れか一方に記憶されている制御ソフトから他方に記憶されている制御ソフトに切替える切替処理を実施するソフト切替部（２ｂ）と、
   システムの安全を保障する安全保障動作を実施する安全保障部（４）と、
   前記切替処理の開始を検知すると、前記安全保障動作を開始させるソフト切替検知部（２ｅ）と、を備える電子制御装置。
2. 前記ソフト切替検知部は、前記切替処理の正常終了を検知すると、前記安全保障動作を終了させる請求項１に記載した電子制御装置。
3. 前記ソフト切替検知部は、前記切替処理中の異常発生を検知すると、前記切替処理が開始される前の状態への復帰を待機し、前記切替処理が開始される前の状態への正常復帰を検知すると、前記安全保障動作を終了させる請求項１又は２に記載した電子制御装置。
4. 前記第１記憶部及び前記第２記憶部の何れとも異なる第３記憶部（３ｃ）を備え、
   前記ソフト切替検知部は、前記第３記憶部に記憶されている切替検知ソフトを起動し、前記切替処理の開始を検知する請求項１から３の何れか一項に記載した電子制御装置。

Images