JP2024035588A - 制御装置、制御システムおよび制御方法 - Google Patents

Abstract

【課題】ネットワークの通信容量を圧迫することなく、アプリケーション用通信と評価・検証用通信とを同時に行うことができる制御装置を提供する。
【解決手段】第１の仮想機械を生成する第１のハイパーバイザと、第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械を生成する第２のハイパーバイザとを備える制御装置は、第１の仮想機械と第２の仮想機械との起動中に、第１のハイパーバイザと第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、第１のハイパーバイザと第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、ゲートウェイの通信容量とに基づいて、アプリケーション用通信の通信量および評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御部を備える。
【選択図】図２

Description

本開示は、制御装置、制御システムおよび制御方法に関する。

昨今、複数のＥＣＵを統合化して使用する統合ＥＣＵの流れの中で、複数のＥＣＵに跨って動作する仮想機械（ＶＭ：Virtual Machine）の評価・検証を行うニーズが高まっている。例えば、特許文献１には、ハイパーバイザによってメモリ上で管理される仮想ＣＰＵの実行状態および実行内容を示す仮想ＣＰＵのコンテキストおよびワーキングメモリを、汎用ネットワークを用いて物理的に異なるＥＣＵ上に転送することによって、複数のＥＣＵに跨る仮想化基盤を構築した例が開示されている。

特開２０２２－３１３６３号公報

複数のＥＣＵに跨って動作する仮想機械が、正しく動作しているか評価・検証を行う必要がある。このような仮想機械においてアプリケーション用通信と評価・検証用通信とを同時に行うと、アプリケーション用通信のみを行う場合と比べて、更に、仮想機械の各ステップの動作時刻（タイムスタンプ）や動作ログ等の通信を行うために通信量が増加する。ところが、特許文献１に開示された制御装置にあっては、異なるＥＣＵ間を接続するゲートウェイが備える通信ネットワークの通信容量を考慮していなかった。したがって、特許文献１に開示された制御装置において、アプリケーション用通信と評価・検証用通信とを同時に行うと、ネットワークの通信容量を圧迫するおそれがあり、正しい評価・検証を行うことができないおそれがあった。

本開示は、ネットワークの通信容量を圧迫することなく、アプリケーション用通信と評価・検証用通信とを同時に行うことができる制御装置を提供することを目的とする。

本開示に係る制御装置は、第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械の実行を制御する第２のハイパーバイザとを備えて、車両に搭載可能な制御装置であって、前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御部を備える。

本開示に係る制御装置、制御システムおよび制御方法によれば、ネットワークの通信容量を圧迫することなく、アプリケーション用通信と評価・検証用通信とを同時に行うことができる。

図１は、車両制御システムの概略構成の一例を示すブロック図である。 図２は、車両制御システムが備えるハイパーバイザの機能構成の一例を示す機能ブロック図である。 図３は、第１の実施形態のハイパーバイザが行う通信制御の概要を示す図である。 図４は、第１の実施形態のハイパーバイザが行う処理の流れの一例を示すフローチャートである。 図５は、第２の実施形態の車両制御システムの概略構成の一例を示すブロック図である。 図６は、第３の実施形態の車両制御システムの概略構成の一例を示すブロック図である。

（第１の実施形態）
以下、図面を参照しながら、本開示に係る車両制御システムの種々の実施の形態について説明する。

（車両制御システムの概略構成）
まず、以下に説明する全ての実施形態に係る車両制御システムの概略構成を説明する。車両制御システム１０ａは、車両に搭載されて、例えば、カーナビゲーションシステムに代表されるインフォテイメントシステムと、ＩＴＳシステム（ＩｎｔｅｌｌｉｇｅｎｔIn Ｔｒａｎｓｐｏｒｔａｔｉоｎ Ｓｙｓｔｅｍｓ：高度道路情報システム）とが連携動作することによって、所望の車両制御を行うシステムである。

図１は用いて、車両制御システム１０ａの概略構成を説明する。図１は、車両制御システムの概略構成の一例を示すブロック図である。

車両制御システム１０ａは、マシン１２ａとマシン１２ｂと、ゲートウェイ２０と、ＣＰＵ（１）２４ａとＣＰＵ（２）２４ｂと、ＣＰＵ（３）２４ｃとを備える。

マシン１２ａは、例えば、カーナビゲーション等のインフォテイメントシステムを構成する情報処理装置の一例である。マシン１２ａは、本開示における制御装置の一例である。また、マシン１２ｂは、例えば、ＩＴＳ（高度道路交通システム）を構成する情報処理装置の一例である。マシン１２ｂは、本開示における制御装置の一例である。なお、マシン１２ａとマシン１２ｂとは、物理的に隔たりがあってもよいし、１つのＥＣＵもしくはＣＰＵの中に、マシン１２ａとマシン１２ｂとが存在する形態であってもよい。

マシン１２ａは、仮想ＥＣＵ ＶＭ（１）１４ａと、仮想ＥＣＵ ＶＭ（２）１４ｂと、ハイパーバイザ１６ａとを備える。

仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとは、マシン１２ａで動作する各種アプリケーションの実行と、当該アプリケーションの動作に係る評価・検証等を実行する仮想機械である。ここで、評価・検証とは、例えば、マシン１２ａの動作状態に係る各種動作ログやタイムスタンプ等を含むトレースデータを出力する処理である。なお、仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとは、本開示における第１の仮想機械の一例である。

なお、仮想ＥＣＵ ＶＭ（１）１４ａと、仮想ＥＣＵ ＶＭ（２）１４ｂとは、異なるオペレーティングシステム（ＯＳ）で動作してもよい。また、マシン１２ａが備える仮想ＥＣＵ ＶＭの数は問わない。

ハイパーバイザ１６ａは、コンピュータを仮想化するためのソフトウェアである。ハイパーバイザ１６ａは、物理的なマシンの中に、仮想的なコンピュータである仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとを、それぞれ生成する。なお、ハイパーバイザ１６ａは、本開示における第１のハイパーバイザの一例である。

ハイパーバイザ１６ａは、メモリ（２－１）１８ａと、メモリ（２－２）１８ｂと、メモリ（２－３）１８ｃとを備える。メモリ（２－１）１８ａと、メモリ（２－２）１８ｂと、メモリ（２－３）１８ｃとは、マシン１２ａが備える主記憶装置（例えばＲＡＭ）を区分した記憶領域である。

メモリ（２－１）１８ａは、仮想ＥＣＵ ＶＭ（２）１４ｂをＣＰＵ（１）２４ａで動作させるためのデータ（例えばプログラム）等を記憶した記憶領域である。メモリ（２－２）１８ｂは、仮想ＥＣＵ ＶＭ（２）１４ｂをＣＰＵ（２）２４ｂで動作させるためのデータ等を記憶した記憶領域である。メモリ（２－３）１８ｃは、仮想ＥＣＵ ＶＭ（２）１４ｂをＣＰＵ（３）２４ｃで動作させるためのデータ等を記憶した記憶領域である。

ＣＰＵ（１）２４ａと、ＣＰＵ（２）２４ｂと、ＣＰＵ（３）２４ｃとは、それぞれ、ハイパーバイザ１６ａと協働することによって、仮想ＥＣＵ ＶＭ（１）１４ａと、仮想ＥＣＵ ＶＭ（２）１４ｂとを動作させる。

マシン１２ｂは、仮想ＥＣＵ ＶＭ（３）１４ｃと、仮想ＥＣＵ ＶＭ（４）１４ｄと、ハイパーバイザ１６ｂとを備える。

仮想ＥＣＵ ＶＭ（３）１４ｃと仮想ＥＣＵ ＶＭ（４）１４ｄとは、マシン１２ｂで動作する各種アプリケーションや評価・検証等を実行する仮想機械である。なお、仮想ＥＣＵ ＶＭ（３）１４ｃと仮想ＥＣＵ ＶＭ（４）１４ｄとは、本開示における第２の仮想機械の一例である。また、マシン１２ｂは、図１に示す仮想ＥＣＵ ＶＭ（２）１４ｂを備えてもよい。マシン１２ｂが備える仮想ＥＣＵ ＶＭ（２）１４ｂは、マシン１２ａが備える仮想ＥＣＵ ＶＭ（２）１４ｂを、マシン１２ｂに転送したものである。このように、仮想ＥＣＵ ＶＭを、異なるマシン間で転送することによって、ハイパーバイザ１６ｂ上で、仮想ＥＣＵ ＶＭ（２）１４ｂを動作させることができる。これによって、仮想ＥＣＵ ＶＭ（２）１４ｂの計算能力を増強することができる。

なお、仮想ＥＣＵ ＶＭ（３）１４ｃと、仮想ＥＣＵ ＶＭ（４）１４ｄとは、異なるオペレーティングシステムで動作してもよい。また、マシン１２ｂが備える仮想ＥＣＵ ＶＭの数は問わない。

ハイパーバイザ１６ｂは、コンピュータを仮想化するためのソフトウェアである。ハイパーバイザ１６ｂは、物理的なマシンの中に、仮想的なコンピュータである仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄをそれぞれ生成する。また、図１の例では、ＶＭ（２）１４ｂも生成する。なお、ハイパーバイザ１６ｂは、本開示における第２のハイパーバイザの一例である。

ハイパーバイザ１６ｂは、メモリ（２－３）１８ｃを備える。メモリ（２－３）１８ｃは、ハイパーバイザ１６ａから転送されたものである。メモリ（２－３）１８ｃは、マシン１２ａが備えていた仮想ＥＣＵ ＶＭ（２）１４ｂを、図１に点線で示すようにマシン１２ｂ上で仮想的に動作させるためのデータ等を記憶した記憶領域である。このように、仮想ＥＣＵ ＶＭ（２）１４ｂをマシン１２ｂ上で動作させることによって、仮想ＥＣＵ ＶＭ（２）１４ｂの計算能力を増強することができる。

ゲートウェイ２０は、マシン１２ａとマシン１２ｂとの間の通信を制御する。なお、ゲートウェイ２０が実現する具体的な通信方式は問わない。ゲートウェイ２０は、制御機構２２を備える。制御機構２２は、マシン１２ａとマシン１２ｂとの間に流れるデータ量を監視する。また、制御機構２２は、マシン１２ａとマシン１２ｂとの間に流れるデータ量、即ちアプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値が、ゲートウェイ２０の通信容量に対して、所定の割合以上である場合に、ゲートウェイ２０の通信容量が圧迫されていることを示す輻輳制御信号を出力する。なお、ゲートウェイ２０が例えばＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）で構成されている場合、制御機構２２は、例えばハブである。また、ゲートウェイ２０が例えばＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）で構成されている場合、制御機構２２は、例えばＶＩＰ（Ｖｅｈｉｃｌｅ Ｉｎｔｅｒｆａｃｅ Ｐｒоｃｅｓｓｏｒ）である。

車両制御システム１０ａにおいて、ハイパーバイザ１６ａとハイパーバイザ１６ｂとは、ゲートウェイ２０を介して、互いにアプリケーション用通信Ｃ１を行い、車両制御システム１０ａが有するアプリケーションを実行する。

また、ハイパーバイザ１６ａとハイパーバイザ１６ｂとは、ゲートウェイ２０を介して、互いに評価・検証用通信Ｃ２を行い、車両制御システム１０ａが動作する際のマシン１２ａとマシン１２ｂおよび仮想ＥＣＵが実行するアプリケーションの動作状態の評価・検証を行う。なお、車両制御システム１０ａは、実験環境における評価・検証・解析・分析の他に、車両等製品に搭載された際の動作状態の監視・診断等を行ってもよい。

本実施形態では、本開示の制御装置を車両制御システム１０ａに適用した例を説明するが、制御装置の適用範囲は車載用に限定されるものではなく、例えば、家電製品等の一般の組み込み機器全般に適用することが可能である。

（ハイパーバイザの機能構成）
図２を用いて、ハイパーバイザ１６ａの機能構成を説明する。図２は、車両制御システムが備えるハイパーバイザの機能構成の一例を示す機能ブロック図である。なお、ここでは、ハイパーバイザ１６ａの機能構成を説明するが、ハイパーバイザ１６ｂも、ハイパーバイザ１６ａと同じ機能構成を有する。

ハイパーバイザ１６ａは、メモリ（２－１）１８ａ、メモリ（２－２）１８ｂ、メモリ（２－３）１８ｃが記憶するプログラムを、ＣＰＵ（１）２４ａ、ＣＰＵ（２）２４ｂ、ＣＰＵ（３）２４ｃでそれぞれ実行することによって、図２に示す動作制御部３１と、情報転送部３２と、通信容量取得部３３と、通信量判定部３４と、通信制御部３５と、アプリケーション実行部３６と、評価・検証実行部３７とを、機能部位として実現する。

動作制御部３１は、仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとの起動、動作中断、動作再開を制御する。即ち、動作制御部３１は、仮想機械の仮想的な電源オン／オフと、仮想的な動作中断と動作再開とを行う。

更に、動作制御部３１は、アプリケーション動作と評価・検証動作とが完了したかを監視する。

情報転送部３２は、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄの起動前に、評価・検証用の仮想ＣＰＵコンテキストを、ハイパーバイザ１６ａからハイパーバイザ１６ｂに転送する。仮想ＣＰＵコンテキストとは、ハイパーバイザによってメモリ上で管理される仮想ＣＰＵの実行状態および実行内容であり、特許文献１の中ではパリティデータとも呼ばれる。なお、情報転送部３２は、本開示における転送部の一例である。

通信容量取得部３３は、ゲートウェイ２０の通信容量を取得する。

通信量判定部３４は、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄの起動中に、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で行う、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値が、ゲートウェイ２０の通信容量を圧迫しているかを判定する。

より具体的には、通信量判定部３４は、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値を、通信容量取得部３３が取得したゲートウェイ２０の通信容量と比較することによって、ゲートウェイ２０の通信容量が圧迫しているかを判定する。また、通信量判定部３４は、制御機構２２が出力する輻輳制御信号を受信した際に、ゲートウェイ２０の通信容量が圧迫されているものと判断してもよい。詳しくは後述する（図３参照）。

また、通信量判定部３４は、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で送信すべきデータのうち、未送信のデータ量を監視する。

通信制御部３５は、第１の仮想機械である仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂと、第２の仮想機械である仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄとの起動中に、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で実行されるアプリケーション用通信Ｃ１の実行状況と、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で実行される評価・検証用通信Ｃ２の実行状況と、ゲートウェイ２０の通信容量とに基づいて、アプリケーション用通信Ｃ１の通信量および評価・検証用通信Ｃ２の通信量のうちの少なくとも一方を動的に制限する。例えば、通信量判定部３４の判定結果に基づいて、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量とを、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値がゲートウェイ２０の通信容量を超えないように制御する。

より具体的には、通信制御部３５は、制御機構２２が出力する輻輳制御信号を受信した場合に、評価・検証用通信Ｃ２の通信量を制限することによって、アプリケーション用通信Ｃ１の通信を優先させる。

また、通信制御部３５は、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で未送信のデータ量が所定値以上である場合に、第１の仮想機械である仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂと、第２の仮想機械である仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄの動作を中断させて、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で未通信のデータのバックポートを行う。ここでいうバックポートとは、仮想ＥＣＵコンテキストまたはデバイスコンテキストのうち、より新しいデータを保持するマシンから別のマシンにデータを送り返す動作のことを指す。なお、第１の仮想機械と第２の仮想機械の動作を中断させる条件は、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で未送信のデータ量が所定値以上である場合に限定されるものではなく、動作の中断条件は適宜設定してよい。

また、通信制御部３５は、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で未送信のデータ量が所定値を下回った場合に、第１の仮想機械である仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂと、第２の仮想機械である仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄの動作を再開させる。なお、第１の仮想機械と第２の仮想機械の動作を再開させる条件は、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で未送信のデータ量が所定値を下回った場合に限定されるものではなく、動作の再開条件は適宜設定してよい。

アプリケーション実行部３６は、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄに対して、アプリケーションを実行させる。

評価・検証実行部３７は、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄに対して、車両制御システム１０ａの動作に係る評価・検証を実行させる。

（通信制御の概要）
図３を用いて、ハイパーバイザ１６ａが行う通信制御の概要を説明する。図３は、第１の実施形態のハイパーバイザが行う通信制御の概要を示す図である。

時刻ｔａにおいて、マシン１２ａは、ハイパーバイザ１６ａを起動する。そして、ハイパーバイザ１６ａの情報転送部３２は、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄが起動する前に、が起動する前に、仮想ＣＰＵコンテキストをハイパーバイザ１６ｂに送信（転送）する。

時刻ｔｂにおいて、仮想ＣＰＵコンテキストの送信が完了すると、ハイパーバイザ１６ａの動作制御部３１は、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄを起動する。そして、ハイパーバイザ１６ａの通信量判定部３４は、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で行う、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値が、ゲートウェイ２０の通信容量を圧迫しているかを判定する。そして、ハイパーバイザ１６ａの通信制御部３５は、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値がゲートウェイ２０の通信容量を超えないように制御する。具体的には、ハイパーバイザ１６ａの通信制御部３５は、評価対象の仮想ＥＣＵ ＶＭが動作しているときは、評価・検証用通信Ｃ２の通信量を減らして、アプリケーション用通信Ｃ１を優先させる。

そして、時刻ｔｃにおいて、評価・検証用通信Ｃ２に係る未送信データが所定値以上であると判定されると、ハイパーバイザ１６ａの動作制御部３１は、計時動作を停止することによって、評価対象のＥＣＵ ＶＭの動作を一時中断する。そして、通信制御部３５は、評価対象のＥＣＵ ＶＭの動作が中断している間に、バックポートしきれていないデータを、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で通信する。

更に、時刻ｔｄにおいて、評価・検証用通信Ｃ２に係る未送信データが所定値未満になったと判定されると、ハイパーバイザ１６ａの動作制御部３１は、計時動作を再開する。そして、通信制御部３５は、ハイパーバイザ１６ａに対して、時刻ｔｂと時刻ｔｃとの間で行った通信制御を繰り返し行わせる。

（ハイパーバイザが行う処理の流れ）
図４を用いて、ハイパーバイザ１６ａが行う処理の流れを説明する。図４は、第１の実施形態のハイパーバイザが行う処理の流れの一例を示すフローチャートである。なお、ハイパーバイザ１６ｂは、ハイパーバイザ１６ａと協働することによって、図４に示すのと同じ処理を実行する。

動作制御部３１は、ハイパーバイザ１６ａを起動する（ステップＳ１１）。

情報転送部３２は、仮想ＣＰＵコンテキストとメモリ内容とを、ハイパーバイザ１６ａからハイパーバイザ１６ｂに転送する（ステップＳ１２）。

動作制御部３１は、仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとを起動する（ステップＳ１３）。

通信制御部３５は、アプリケーション用通信Ｃ１と評価・検証用通信Ｃ２とを交互に実行する（ステップＳ１４）。

動作制御部３１は、アプリケーション動作と評価・検証動作とが完了したかを判定する（ステップＳ１５）。アプリケーション動作と評価・検証動作とが完了したと判定される（ステップＳ１５：Ｙｅｓ）と、ハイパーバイザ１６ａは、図４の処理を終了する。一方、アプリケーション動作と評価・検証動作とが完了したと判定されない（ステップＳ１５：Ｎｏ）と、ステップＳ１６に進む。

ステップＳ１５において、アプリケーション動作と評価・検証動作とが完了したと判定されないと、通信量判定部３４は、ゲートウェイ２０から輻輳制御信号を受信したかを判定する（ステップＳ１６）。ゲートウェイ２０から輻輳制御信号を受信したと判定される（ステップＳ１６：Ｙｅｓ）とステップＳ１７に進む。一方、ゲートウェイ２０から輻輳制御信号を受信したと判定されない（ステップＳ１６：Ｎｏ）と、ステップＳ１４に戻る。

ステップＳ１６において、ゲートウェイ２０から輻輳制御信号を受信したと判定されると、通信制御部３５は、アプリケーション動作を優先させる通信制御を行う（ステップＳ１７）。

通信量判定部３４は、輻輳制御信号を受信してから所定時間経過したときに、未送信の評価・検証用データ量が所定値以上あるかを判定する（ステップＳ１８）。未送信の評価・検証用データ量が所定値以上あると判定される（ステップＳ１８：Ｙｅｓ）とステップＳ１９に進む。一方、未送信の評価・検証用データ量が所定値以上あると判定されない（ステップＳ１８：Ｎｏ）と、ステップＳ１４に戻る。

ステップＳ１８において、未送信の評価・検証用データ量が所定値以上あると判定されると、動作制御部３１は、仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとの動作を中断させる（ステップＳ１９）。

通信制御部３５は、未送信の評価・検証用データのバックポートを行う（ステップＳ２０）。

通信量判定部３４は、未送信の評価・検証用データ量が所定値未満であるかを判定する（ステップＳ２１）。未送信の評価・検証用データ量が所定値未満であると判定される（ステップＳ２１：Ｙｅｓ）とステップＳ２２に進む。一方、未送信の評価・検証用データ量が所定値未満であると判定されない（ステップＳ２１：Ｎｏ）と、ステップＳ２０に戻る。

ステップＳ２１において、未送信の評価・検証用データ量が所定値未満であると判定されると、動作制御部３１は、仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂとの動作を再開させる（ステップＳ２２）。その後、ステップＳ１４に戻って、前記した処理を繰り返す。

（第１の実施形態の作用効果）
以上説明したように、第１の実施形態に係るマシン１２ａ（制御装置）は、仮想ＥＣＵ ＶＭ（１）１４ａ（第１の仮想機械）と仮想ＥＣＵ ＶＭ（２）１４ｂ（第１の仮想機械）を生成するハイパーバイザ１６ａ（第１のハイパーバイザ）と、第１のハイパーバイザとゲートウェイ２０を介して通信を行う、仮想ＥＣＵ ＶＭ（３）１４ｃ（第２の仮想機械）と仮想ＥＣＵ ＶＭ（４）１４ｄ（第２の仮想機械）を生成するハイパーバイザ１６ｂ（第２のハイパーバイザ）とを備えて、車両に搭載可能な制御装置であって、第１の仮想機械と第２の仮想機械との起動中に、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で実行されるアプリケーション用通信Ｃ１の実行状況と、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で実行される評価・検証用通信Ｃ２の実行状況と、ゲートウェイ２０の通信容量とに基づいて、アプリケーション用通信Ｃ１の通信量および評価・検証用通信Ｃ２の通信量のうちの少なくとも一方を動的に制限する通信制御部３５と、を備える。したがって、ネットワークの通信容量を圧迫することなく、アプリケーション用通信と評価・検証用通信とを同時に行うことができる。

また、第１の実施形態に係るマシン１２ａ（制御装置）において、通信制御部３５は、仮想ＥＣＵ ＶＭ（１）１４ａ（第１の仮想機械）と仮想ＥＣＵ ＶＭ（３）１４ｃ（第２の仮想機械）と仮想ＥＣＵ ＶＭ（４）１４ｄ（第２の仮想機械）との起動中に、ハイパーバイザ１６ａ（第１のハイパーバイザ）とハイパーバイザ１６ｂ（第２のハイパーバイザ）との間で実行されるアプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値が、ゲートウェイ２０の通信容量を圧迫している場合に、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量とを、アプリケーション用通信Ｃ１の通信量と評価・検証用通信Ｃ２の通信量との合計値がゲートウェイ２０の通信容量を超えないように制御する。したがって、ネットワークの通信容量を圧迫することなく、アプリケーション用通信と評価・検証用通信とを同時に行うことができる。

また、第１の実施形態に係るマシン１２ａ（制御装置）において、通信制御部３５は、ゲートウェイ２０の通信量が閾値を超えたことを示す輻輳制御信号に基づいて、ゲートウェイ２０の通信容量を圧迫しているかを判定する。したがって、ゲートウェイ２０の通信容量が圧迫されているかを容易に判定することができる。

また、第１の実施形態に係るマシン１２ａ（制御装置）において、通信制御部３５は、輻輳制御信号を取得した場合に、アプリケーション用通信Ｃ１を優先させる。なお、このとき仮想ＥＣＵが実行するアプリケーションは、輻輳制御信号を考慮する必要が無い。したがって、アプリケーション用通信Ｃ１の動作に影響を与えることなく通信容量を制御することができる。

また、第１の実施形態に係るマシン１２ａ（制御装置）は、仮想ＥＣＵ ＶＭ（１）１４ａ（第１の仮想機械）と仮想ＥＣＵ ＶＭ（２）１４ｂ（第１の仮想機械）と仮想ＥＣＵ ＶＭ（３）１４ｃ（第２の仮想機械）と仮想ＥＣＵ ＶＭ（４）１４ｄ（第２の仮想機械）の起動前に、評価・検証用の仮想ＣＰＵの実行状態および実行内容を、ハイパーバイザ１６ａ（第１のハイパーバイザ）からハイパーバイザ１６ｂ（第２のハイパーバイザ）に転送する情報転送部３２（転送部）を更に備える。したがって、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間で、評価・検証のための情報を共有することができる。

また、第１の実施形態に係るマシン１２ａ（制御装置）において、通信制御部３５は、ハイパーバイザ１６ａ（第１のハイパーバイザ）とハイパーバイザ１６ｂ（第２のハイパーバイザ）との間で未送信のデータ量が所定値以上である場合に、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ（第１の仮想機械）と、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄ（第２の仮想機械）との動作を中断させて、ハイパーバイザ１６ａ（第１のハイパーバイザ）とハイパーバイザ１６ｂ（第２のハイパーバイザ）との間で未通信のデータの送信を行う。したがって、評価・検証用通信Ｃ２の未通信データが溜まった場合に、第１の仮想機械と第２の仮想機械との動作を中断させることによって、アプリケーション用通信Ｃ１の動作に影響を与えることなく未通信のデータを送受信することができる。

また、第１の実施形態に係るマシン１２ａ（制御装置）において、通信制御部３５は、ハイパーバイザ１６ａ（第１のハイパーバイザ）とハイパーバイザ１６ｂ（第２のハイパーバイザ）との間で未送信のデータ量が所定値を下回った場合に、仮想ＥＣＵ ＶＭ（１）１４ａ、仮想ＥＣＵ ＶＭ（２）１４ｂ（第１の仮想機械）と、仮想ＥＣＵ ＶＭ（３）１４ｃ、仮想ＥＣＵ ＶＭ（４）１４ｄ（第２の仮想機械）との動作を再開させる。したがって、通常の通信動作を容易に再開させることができるため、アプリケーション用通信Ｃ１および評価・検証用通信Ｃ２を連続的に動作させる場合であっても、長時間に亘って動作状態を評価・検証することができる。

（第２の実施形態）
次に、第２の実施形態である車両制御システム１０ｂについて説明する。

（車両制御システムの概略構成）
図５を用いて、車両制御システム１０ｂの概略構成を説明する。図５は、第２の実施形態の車両制御システムの概略構成の一例を示すブロック図である。なお、図５は、説明を簡単にするため、図１に示すＣＰＵ（１）２４ａ、ＣＰＵ（２）２４ｂ、ＣＰＵ（３）２４ｃを省略している。また、ゲートウェイ２０の内部構造も省略している。

一般の組み込み機器では、全てのハイパーバイザの配下に、当該ハイパーバイザが利用するデバイスを存在させている。そのため、特定のデバイスは、特定のハイパーバイザのみから制御できる構成になっている。本実施形態の車両制御システム１０ｂは、特定のデバイスを用いて処理を実行するハイパーバイザの配下に、当該特定のデバイスが存在していない場合に、ハイパーバイザが、仮想的にデバイスを生成する機能を有するものである。

車両制御システム１０ｂの概略構成は、第１の実施形態で説明した車両制御システム１０ａの概略構成とほぼ同じであるが、ハイパーバイザが使用するデバイスを、当該ハイパーバイザの配下に仮想的に生成する機能を有する点が異なる。

図５において、ハイパーバイザ１６ａの配下にはデバイス（Ａ）１９ａが存在しており、ハイパーバイザ１６ｂの配下にはデバイス（Ｂ）１９ｂが存在している。なお、デバイス（Ａ）１９ａ、デバイス（Ｂ）１９ｂには、例えば、シリアルポートなどの評価・検証の際に用いられるデバイスが含まれる。また、デバイスには、ディスプレイやスピーカ等の入出力デバイスや、Ｗｉ－Ｆｉ、Ｂｌｕｅｔооｔｈ（登録商標）等の通信デバイスなどが含まれる。

この場合、ハイパーバイザ１６ｂの配下にデバイス（Ａ）１９ａが存在しないため、ハイパーバイザ１６ｂがデバイス（Ａ）１９ａを使用することはできない。

車両制御システム１０ｂにおいて、ハイパーバイザ１６ｂは、自身の配下に、仮想的にデバイス（Ａ）１９ａを生成する機能を備えている。図５において、ハイパーバイザ１６ｂの配下に仮想的に形成されたデバイス（Ａ）１９ａは、仮想的なデバイスであることを示すために、点線で記載している。

なお、図５において、メモリ（２－Ａ）１８ｄは、仮想ＥＣＵ ＶＭ（２）１４ｂがデバイス（Ａ）１９ａを利用するためのデータを記憶した記憶領域である。ハイパーバイザ１６ａは、メモリ（２－３）１８ｃとメモリ（２－Ａ）１８ｄとをハイパーバイザ１６ｂに転送することによって、ハイパーバイザ１６ｂが、自身の配下に仮想的に生成したデバイス（Ａ）１９ａを用いた処理を実行可能とする。

また、ハイパーバイザ１６ｂの配下に生成されたデバイス（Ａ）１９ａは仮想的なデバイスであるため、ハイパーバイザ１６ｂが、デバイス（Ａ）１９ａを用いた処理を行う際には、評価・検証用通信Ｃ３を行うことによって、デバイス（Ａ）１９ａの使用データをハイパーバイザ１６ａに送り返す。そして、その際に発生する通信量がネットワーク容量を圧迫しないように、ハイパーバイザ１６ａとハイパーバイザ１６ｂとの間の通信は、第１の実施形態で説明した通信制御方法によって管理される。

このようにして、ハイパーバイザ１６ｂは、あたかも自身の配下にデバイス（Ａ）１９ａが存在するかのように動作する。

（ハイパーバイザの機能構成）
次に、車両制御システム１０ｂが備えるハイパーバイザ１６ａ，１６ｂの機能構成を説明する。ハイパーバイザ１６ａとハイパーバイザ１６ｂとは、いずれも、図２に示した機能構成に加えて、仮想デバイス生成部３８（非図示）を備える。

仮想デバイス生成部３８は、仮想ＣＰＵコンテキストを受信するハイパーバイザ１６ａ（第１のハイパーバイザ）またはハイパーバイザ１６ｂ（第２のハイパーバイザ）の配下に、仮想ＣＰＵコンテキストが利用するデバイスが存在しない場合に、該当するデバイスを仮想的に生成する。なお、仮想デバイス生成部３８は、本開示における生成部の一例である。

（第２の実施形態の作用効果）
以上説明したように、第２の実施形態に係るマシン１２ｂ（制御装置）は、評価・検証用の仮想ＣＰＵの実行状態および実行内容を受信するハイパーバイザ１６ｂ（第２のハイパーバイザ）の配下に、仮想ＣＰＵが利用するデバイスが存在しない場合に、ハイパーバイザ１６ｂの配下に、デバイスを仮想的に生成する仮想デバイス生成部３８（生成部）を更に備える。したがって、ハイパーバイザ１６ａ，１６ｂの配下に、当該ハイパーバイザ１６ａ，１６ｂが処理を行う際に使用するデバイスがない場合であっても、当該デバイスが存在するかのうように、処理を実行することができる。

（第３の実施形態）
次に、第３の実施形態である車両制御システム１０ｃについて説明する。

（車両制御システムの概略構成）
図６を用いて、車両制御システム１０ｃの概略構成を説明する。図６は、第３の実施形態の車両制御システムの概略構成の一例を示すブロック図である。なお、図６は、説明を簡単にするため、図１に示すＣＰＵ（１）２４ａ、ＣＰＵ（２）２４ｂ、ＣＰＵ（３）２４ｃを省略している。また、ゲートウェイ２０の内部構造も省略している。

車両制御システム１０ｃが備えるハイパーバイザ１６ａは、自身が有する機能の一部の実行を、仮想機械の一例であるＶＭホスト１５に任せる機能を有している。

具体的には、ＶＭホスト１５は、第１の実施形態や第２の実施形態において、ハイパーバイザ１６ａが行っていた、マシン１２ａの仮想的な電源オン／オフや、仮想的な動作中断と動作再開、また、ゲートウェイ２０から取得した輻輳制御信号に基づく通信制御などを行うことによって、ハイパーバイザ１６ａの機能の一部を代行する。

更に、ＶＭホスト１５は、例えば、ハイパーバイザ１６ａの代わりに、仮想ＥＣＵ ＶＭ（１）１４ａから情報を収集してもよい。即ち、ＶＭホスト１５は、仮想ＥＣＵ ＶＭ（１）１４ａからハイパーバイザ１６ａを経由してＶＭホスト１５に至る情報通信Ｃ４を行ってもよい。

なお、ＶＭホスト１５は、仮想ＥＣＵ ＶＭ（２）１４ｂからハイパーバイザ１６ａを経由して情報通信Ｃ４を行い、仮想ＥＣＵ ＶＭ（２）１４ｂの情報を収集してもよい。

また、車両制御システム１０ｃにおいて、マシン１２ｂが、ＶＭホスト１５と同じ機能を有する仮想機械を備えてもよい。

（ハイパーバイザの機能構成）
次に、車両制御システム１０ｃが備えるハイパーバイザ１６ａの機能構成を説明する。ハイパーバイザ１６ａは、いずれも、図２に示した機能構成のうち、一部の機能をＶＭホスト１５に代行させる。どの部分の機能をＶＭホスト１５に代行させるかによって、ハイパーバイザ１６ａの機能構成は異なる。例えば、通信制御部３５が有する機能をＶＭホスト１５に代行させる場合、ハイパーバイザ１６ａは、図２に示した機能構成から、通信制御部３５を削除した機能構成を有する。また、通信量判定部３４と通信制御部３５とが有する機能をＶＭホスト１５に代行させる場合、ハイパーバイザ１６ａは、図２に示した機能構成から、通信量判定部３４と通信制御部３５を削除した機能構成を有する。

そして、ハイパーバイザ１６ａは、ＶＭホスト１５と情報通信Ｃ４を行う情報送受信機能、および、仮想ＥＣＵ ＶＭ（１）１４ａからハイパーバイザ１６ａを経由してＶＭホスト１５と情報通信Ｃ４を行う情報送受信機能を有する情報送受信部３９（非図示）を備える。

ＶＭホスト１５を設けることによって、ハイパーバイザ１６ａに改変（例えば仕様変更）が生じた場合に、ＶＭホスト１５の側を変更することによって、少ない手間で対応することができる。また、ＶＭホスト１５の不具合に対して、仮想ＥＣＵ ＶＭ（１）１４ａと仮想ＥＣＵ ＶＭ（２）１４ｂは影響を受けない。

一方、ＶＭホスト１５を設けることによって、情報通信Ｃ４を行う必要があるため、オーバーヘッドが増加することによって動作が遅くなるおそれがある。しかしながら、オーバーヘッドの量は、例えばハードウェア支援機構によって小さくすることができるため、前記したＶＭホスト１５を設ける効果が勝る。

（第３の実施形態の作用効果）
以上説明したように、第３の実施形態に係るマシン１２ａ（制御装置）は、ハイパーバイザ１６ａとの間で通信を行うことによって、当該ハイパーバイザ１６ａが行う処理の一部を代行するＶＭホスト１５（仮想機械）を備える。したがって、仕様変更等の改変作業を、ハイパーバイザ１６ａに手を加えることなく行うことができるため、少ない手間で対応することができる。

以上、本発明の実施の形態について説明したが、上述した実施の形態は、例として提示したものであり、本発明の範囲を限定することは意図していない。この新規な実施の形態は、その他の様々な形態で実施されることが可能である。また、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。また、この実施の形態は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

なお、本開示は、以下のような構成をとってもよい。

（１）
第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械の実行を制御する第２のハイパーバイザとを備える、車両に搭載可能な制御装置であって、
前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御部を備える、
制御装置。
（２）
前記通信制御部は、
前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の通信量と評価・検証用通信の通信量との合計値が、前記ゲートウェイの通信容量を圧迫している場合に、前記アプリケーション用通信の通信量と前記評価・検証用通信の通信量とを、前記アプリケーション用通信の通信量と前記評価・検証用通信の通信量との合計値が前記ゲートウェイの通信容量を超えないように制御する、
前記（１）に記載の制御装置。
（３）
前記通信制御部は、前記ゲートウェイの通信量が閾値を超えたことを示す輻輳制御信号に基づいて、前記ゲートウェイの通信容量を圧迫しているかを判定する、
前記（１）または（２）に記載の制御装置。
（４）
前記通信制御部は、
前記輻輳制御信号を取得した場合に、前記アプリケーション用通信を優先させる、
前記（３）に記載の制御装置。
（５）
前記第１の仮想機械と前記第２の仮想機械との起動前に、評価・検証用の仮想ＣＰＵの実行状態および実行内容を、前記第１のハイパーバイザから前記第２のハイパーバイザに転送する転送部を更に備える、
前記（１）乃至（４）のいずれかに記載の制御装置。
（６）
前記評価・検証用の仮想ＣＰＵの実行状態および実行内容を受信する前記第２のハイパーバイザの配下に、当該仮想ＣＰＵが利用するデバイスが存在しない場合に、前記第２のハイパーバイザの配下に、前記デバイスを仮想的に生成する生成部を更に備える、
前記（１）乃至（５）のいずれかに記載の制御装置。
（７）
前記通信制御部は、
前記第１のハイパーバイザと前記第２のハイパーバイザとの間で未送信のデータ量が所定値以上である場合に、前記第１の仮想機械と前記第２の仮想機械との動作を中断させて、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で未通信のデータの送信を行う、
前記（１）乃至（６）のいずれかに記載の制御装置。
（８）
前記通信制御部は、
前記第１のハイパーバイザと前記第２のハイパーバイザとの間で未送信のデータ量が所定値を下回った場合に、前記第１の仮想機械と前記第２の仮想機械との動作を再開させる、
前記（７）に記載の制御装置。
（９）
前記制御装置は、
前記第１のハイパーバイザとの間で通信を行うことによって、当該第１のハイパーバイザが行う処理の一部を代行する仮想機械を備える、
前記（１）乃至（８）のいずれかに記載の制御装置。
（１０）
第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う第２の仮想機械の実行を制御する第２のハイパーバイザとを備えて、車両に搭載可能な制御システムであって、
前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御部を備える、
制御システム。
（１１）
第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械の実行を制御する第２のハイパーバイザとを備えて、車両に搭載可能な制御装置が行う制御方法であって、
前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御プロセスを行う、
制御方法。

１０ａ，１０ｂ，１０ｃ 車両制御システム
１２ａ，１２ｂ マシン（制御装置）
１４ａ 仮想ＥＣＵ ＶＭ（１）（第１の仮想機械）
１４ｂ 仮想ＥＣＵ ＶＭ（２）（第１の仮想機械）
１４ｃ 仮想ＥＣＵ ＶＭ（３）（第２の仮想機械）
１４ｄ 仮想ＥＣＵ ＶＭ（４）（第２の仮想機械）
１５ ＶＭホスト（仮想機械）
１６ａ ハイパーバイザ（第１のハイパーバイザ）
１６ｂ ハイパーバイザ（第２のハイパーバイザ）
２０ ゲートウェイ
２２ 制御機構
３１ 動作制御部
３２ 情報転送部（転送部）
３３ 通信容量取得部
３４ 通信量判定部
３５ 通信制御部
３６ アプリケーション実行部
３７ 評価・検証実行部
３８ 仮想デバイス生成部（生成部）
３９ 情報送受信部
Ｃ１ アプリケーション用通信
Ｃ２，Ｃ３ 評価・検証用通信
Ｃ４ 情報通信

Claims (11)

1. 第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械の実行を制御する第２のハイパーバイザとを備えて、車両に搭載可能な制御装置であって、
   前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御部を備える、
   制御装置。
2. 前記通信制御部は、
   前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の通信量と評価・検証用通信の通信量との合計値が、前記ゲートウェイの通信容量を圧迫している場合に、前記アプリケーション用通信の通信量と前記評価・検証用通信の通信量とを、前記アプリケーション用通信の通信量と前記評価・検証用通信の通信量との合計値が前記ゲートウェイの通信容量を超えないように制御する、
   請求項１に記載の制御装置。
3. 前記通信制御部は、前記ゲートウェイの通信量が閾値を超えたことを示す輻輳制御信号に基づいて、前記ゲートウェイの通信容量を圧迫しているかを判定する、
   請求項２に記載の制御装置。
4. 前記通信制御部は、
   前記輻輳制御信号を取得した場合に、前記アプリケーション用通信を優先させる、
   請求項３に記載の制御装置。
5. 前記第１の仮想機械と前記第２の仮想機械との起動前に、評価・検証用の仮想ＣＰＵの実行状態および実行内容を、前記第１のハイパーバイザから前記第２のハイパーバイザに転送する転送部を更に備える、
   請求項１に記載の制御装置。
6. 前記評価・検証用の仮想ＣＰＵの実行状態および実行内容を受信する前記第２のハイパーバイザの配下に、当該仮想ＣＰＵが利用するデバイスが存在しない場合に、前記第２のハイパーバイザの配下に、前記デバイスを仮想的に生成する生成部を更に備える、
   請求項５に記載の制御装置。
7. 前記通信制御部は、
   前記第１のハイパーバイザと前記第２のハイパーバイザとの間で未送信のデータ量が所定値以上である場合に、前記第１の仮想機械と前記第２の仮想機械との動作を中断させて、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で未通信のデータの送信を行う、
   請求項１に記載の制御装置。
8. 前記通信制御部は、
   前記第１のハイパーバイザと前記第２のハイパーバイザとの間で未送信のデータ量が所定値を下回った場合に、前記第１の仮想機械と前記第２の仮想機械との動作を再開させる、
   請求項７に記載の制御装置。
9. 前記制御装置は、
   前記第１のハイパーバイザとの間で通信を行うことによって、当該第１のハイパーバイザが行う処理の一部を代行する仮想機械を備える、
   請求項１に記載の制御装置。
10. 第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械の実行を制御する第２のハイパーバイザとを備えて、車両に搭載可能な制御システムであって、
    前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御部を備える、
    制御システム。
11. 第１の仮想機械の実行を制御する第１のハイパーバイザと、前記第１のハイパーバイザとゲートウェイを介して通信を行う、第２の仮想機械の実行を制御する第２のハイパーバイザとを備えて、車両に搭載可能な制御装置が行う制御方法であって、
    前記第１の仮想機械と前記第２の仮想機械との起動中に、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行されるアプリケーション用通信の実行状況と、前記第１のハイパーバイザと前記第２のハイパーバイザとの間で実行される評価・検証用通信の実行状況と、前記ゲートウェイの通信容量とに基づいて、前記アプリケーション用通信の通信量および前記評価・検証用通信の通信量のうちの少なくとも一方を動的に制限する通信制御プロセスを行う、
    制御方法。

Images