JP6129499B2 - 自動車用電子制御システム - Google Patents

Description

本発明は、複数のプロセッサを備えた自動車用電子制御システムに関する。

自動車のエンジン，変速機，ブレーキなどを電子制御するため、特開２００９−２１５９４４号公報（特許文献１）に記載されるように、１つのパッケージ内に複数のコアを封入したマルチコアプロセッサを搭載した自動車用電子制御システムが提案されている。マルチコアプロセッサを搭載した自動車用電子制御システムにおいては、制御対象を制御するプログラムを機能ごとに分割したモジュールを、複数のコアに分散して割り付けることが考えられている。

特開２００９−２１５９４４号公報

しかしながら、あるコアに異常が発生すると、そのコアに割り付けられているモジュールが実行できなくなり、所望の機能を発揮することができなくなってしまう。なお、このような不具合は、マルチコアプロセッサを搭載した自動車用電子制御システムに限らず、１つの筐体に複数のプロセッサを搭載した自動車用電子制御システム、複数の電子制御装置を相互に接続した自動車用電子制御システムでも起こり得る。

そこで、本発明は、プロセッサに異常が発生しても、そこに割り付けられた機能を保障した、自動車用電子制御システムを提供することを目的とする。

自動車用電子制御システムは、不揮発性メモリ及び揮発性メモリを有し、実行可能なプログラムのオブジェクトコードが相互に異なるプロセッサを複数備え、その不揮発性メモリにプログラム及び制御データを格納する。そして、自動車用電子制御システムは、プロセッサの異常時にそのプロセッサに特有の機能を実現するプログラムを、他のプロセッサで実行可能なオブジェクトコードで記述してプロセッサの不揮発性メモリに格納しておき、少なくともプロセッサの起動時に、そのプロセッサから他のプロセッサに転送して他のプロセッサの揮発性メモリに格納しておく。ここで、プロセッサとは、マルチコアプロセッサにおける各コア、マルチプロセッサにおける各プロセッサ、複数の電子制御装置に夫々搭載される各プロセッサのことを意味する。

あるプロセッサに異常が発生した場合には、他のプロセッサの揮発性メモリに予め格納されたプログラムを実行することで、異常が発生したプロセッサに特有の機能が実現され、そこに割り付けられた機能を保障することができる。

自動車用エンジンシステムの構成図である。 電子制御システムの第１実施例の説明図である。 電子制御システムの第２実施例の説明図である。 電子制御システムの第３実施例の説明図である。 各電子制御システムに共通する技術的思想の説明図である。 異常監視処理の一例を示すフローチャートである。 プログラム展開処理の一例を示すフローチャートである。 復旧処理の一例を示すフローチャートである。 多数のプロセッサを有する電子制御システムの運用形態を示し、（Ａ）は各プロセッサが他のプロセッサを相互に監視する形態の説明図、（Ｂ）及び（Ｃ）は特定のプロセッサが他のプロセッサを監視する形態の説明図である。

以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。
図１は、本実施形態に係る電子制御システムが適用され得る、自動車用エンジンのシステム構成を示す。

エンジン１０は、例えば、直列４気筒ガソリンエンジンであり、各気筒に吸気（吸入空気）を導入するための吸気管１２には、エンジン１０の負荷の一例としての吸気流量Ｑを検出する吸気流量センサ１４が取り付けられている。吸気流量センサ１４としては、例えば、エアフローメータなどの熱線式流量計を使用することができる。なお、エンジン１０の負荷としては、吸気流量Ｑに限らず、例えば、吸気負圧、過給圧力、スロットル開度、アクセル開度など、トルクと密接に関連する状態量を使用することができる。

各気筒の燃焼室１６に吸気を導入する吸気ポート１８には、その開口を開閉する吸気弁２０が配設されている。吸気弁２０の吸気上流に位置する吸気管１２には、吸気ポート１８に向けて燃料を噴射する燃料噴射弁２２が取り付けられている。燃料噴射弁２２は、電磁コイルへの通電によって磁気吸引力が発生すると、スプリングによって閉弁方向に付勢されている弁体がリフトして開弁し、燃料を噴射する、電磁式の噴射弁である。燃料噴射弁２２には、その開弁時間に比例した燃料が噴射されるように、所定圧力に調圧された燃料が供給されている。

燃料噴射弁２２から噴射された燃料は、吸気ポート１８と吸気弁２０との隙間を介して燃焼室１６に吸気と共に導入され、点火プラグ２４の火花点火によって着火燃焼し、その燃焼による圧力がピストン２６をクランクシャフト（図示省略）に向けて押し下げることで、クランクシャフトを回転駆動させる。

また、燃焼室１６から排気を導出する排気ポート２８には、その開口を開閉する排気弁３０が配設され、排気弁３０が開弁することで、排気ポート２８と排気弁３０との隙間を介して、排気が排気管３２へと排出される。排気管３２には、触媒コンバータ３４が配設されており、排気中の有害物質は、触媒コンバータ３４によって無害成分に浄化された後、排気管３２の終端開口から大気中に放出される。ここで、触媒コンバータ３４としては、例えば、排気中のＣＯ（一酸化炭素），ＨＣ（炭化水素）及びＮＯｘ（窒素酸化物）を同時に浄化する三元触媒を使用することができる。

燃料噴射弁２２及び点火プラグ２４は、マイクロコンピュータ（プロセッサ）を内蔵した電子制御システム１００によって制御される。電子制御システム１００は、各種センサからの信号を入力し、予め記憶されたプログラムに従って、燃料噴射弁２２及び点火プラグ２４の各操作量を決定し出力する。燃料噴射弁２２による燃料噴射制御においては、例えば、各気筒の吸気行程に合わせて個別の燃料噴射を行う、いわゆる「シーケンシャル噴射制御」が行われる。

電子制御システム１００には、吸気流量センサ１４の信号に加え、エンジン１０の冷却水温度（水温）Ｔｗを検出する水温センサ３６、エンジン１０の回転速度Ｎｅを検出する回転速度センサ３８、排気中の空燃比Ａ／Ｆを検出する空燃比センサ４０の各信号が入力される。

電子制御システム１００は、次のように、燃料噴射弁２２及び点火プラグ２４を制御する。即ち、電子制御システム１００は、吸気流量センサ１４及び回転速度センサ３８から吸気流量Ｑ及び回転速度Ｎｅを夫々読み込み、これらに基づいてエンジン運転状態に応じた基本燃料噴射量を算出する。また、電子制御システム１００は、水温センサ３６から水温Ｔｗを読み込み、基本燃料噴射量を水温Ｔｗなどで補正した燃料噴射量を算出する。そして、電子制御システム１００は、エンジン運転状態に応じたタイミングで、燃料噴射量に応じた燃料を燃料噴射弁２２から噴射し、点火プラグ２４を適宜作動させて燃料と吸気との混合気を着火燃焼させる。このとき、電子制御システム１００は、空燃比センサ４０から空燃比Ａ／Ｆを読み込み、排気中の空燃比Ａ／Ｆが理論空燃比に近づくように、燃料噴射弁２２をフィードバック制御する。

電子制御システム１００は、不揮発性メモリ及び揮発性メモリを有するプロセッサを複数備え、不揮発性メモリにプログラム及び制御データを格納する。そして、電子制御システム１００は、プロセッサの異常時に、そのプロセッサに特有の機能を実現するプログラムを、予め他のプロセッサの揮発性メモリに格納しておく。ここで、電子制御システム１００としては、例えば、次のような構成のものが考えられる。なお、以下の実施例では、２つのプロセッサを備えた電子制御システム１００を説明するが、プロセッサの個数は３つ以上であってもよい。

図２は、電子制御システム１００の第１実施例を示す。
電子制御システム１００は、マルチコア環境を有する、１台の電子制御装置１１０から構成される。電子制御装置１１０は、ＣＡＮ（Controller Area Network）などの車載ネットワーク２００に接続するための通信回路１１２と、マルチコアプロセッサ１１４と、を内蔵する。マルチコアプロセッサ１１４は、プロセッサとしての２つのコア１１４Ａ及び１１４Ｂと、各コア１１４Ａ及び１１４Ｂが夫々独占して使用するメモリ１１６Ａ及び１１６Ｂと、コア１１４Ａ及び１１４Ｂを接続するバス１１８と、を１つのパッケージに封入したものである。なお、マルチコアプロセッサ１１４としては、各コア１１４Ａ及び１１４Ｂで共有可能なメモリを有していてもよい。

図３は、電子制御システム１００の第２実施例を示す。なお、先の第１実施例と共通する構成については同一符号を付すことで、その説明を省略又は簡略化するものとする（以下同様。）。

電子制御システム１００は、マルチプロセッサ環境を有する、１台の電子制御装置１２０から構成される。電子制御装置１２０は、車載ネットワーク２００に接続するための通信回路１２２と、２つのプロセッサ１２４及び１２６と、を内蔵する。プロセッサ１２４及び１２６は、夫々、シングルコアのプロセッサであって、メモリ１２４Ａ及び１２６Ａを１つのパッケージに封入したものである。

図４は、電子制御システム１００の第３実施例を示す。
電子制御システム１００は、車載ネットワーク２００を介して相互に接続された、２台の電子制御装置１３０から構成される。各電子制御装置１３０は、車載ネットワーク２００に接続するための通信回路１３２と、１つのプロセッサ１３４と、を内蔵する。プロセッサ１３４は、シングルコアのプロセッサであって、メモリ１３４Ａを１つのパッケージに封入したものである。

なお、電子制御システム１００においては、第１〜第３実施例で説明した構成を適宜組み合わせるようにしてもよい。
次に、電子制御システム１００の第１〜第３実施例において、共通する技術的思想について説明する。なお、以下の説明では、第１実施例のコア１１４Ａ及び１１４Ｂ、第２実施例のプロセッサ１２４及び１２６、第３実施例の２つのプロセッサ１３４を、夫々、「プロセッサＡ」及び「プロセッサＢ」と称して区別する。また、第１実施例のメモリ１１６Ａ及び１１６Ｂ、第２実施例のメモリ１２４Ａ及び１２６Ａ、第３実施例の２つのメモリ１３４Ａを、夫々、「メモリＡ」及び「メモリＢ」と称して区別する。

プロセッサＡ及びＢが独占使用するメモリＡ及びＢは、図５に示すように、揮発性メモリの一例としてのＲＡＭ（Random Access Memory）と、不揮発性メモリの一例としてのＲＯＭ（Read Only Memory）と、を夫々有する。ここで、ＲＯＭとしては、例えば、電気的にデータの書き込みが可能な、フラッシュＲＯＭを使用することができる。

プロセッサＡが独占使用するメモリＡのＲＯＭには、制御対象を制御するためのプログラムＡに加え、プロセッサＡに異常が発生した場合に、プロセッサＢが独占使用するメモリＢのＲＡＭで実行させるプログラム（以下「ＲＡＭプログラム」という）Ａが予め格納されている。ＲＡＭプログラムＡは、プロセッサＡとプロセッサＢの環境が異なる場合、プロセッサＢで実行可能なオブジェクトコードで記述されている。ここで、ＲＡＭプログラムＡとしては、プログラムＡにより実現される機能のうち、例えば、リンプホーム機能を実現するプログラムなどが想定される（以下同様）。

一方、プロセッサＢが独占使用するメモリＢのＲＯＭには、制御対象を制御するためのプログラムＢに加え、プロセッサＢに異常が発生した場合に、プロセッサＡが独占使用するメモリＡのＲＡＭで実行させるＲＡＭプログラムＢが予め格納されている。ＲＡＭプログラムＢは、プロセッサＡとプロセッサＢの環境が異なる場合、プロセッサＡで実行可能なオブジェクトコードで記述されている。

なお、プログラムＡ及びＢは、制御対象であるエンジン１０などを制御するためのプログラムにより実現される機能を２つに分割したモジュールである。
そして、電子制御システム１００が起動、要するに、プロセッサＡ及びＢが起動されたことを契機として、メモリＡのＲＯＭに格納されていたＲＡＭプログラムＡをメモリＢのＲＡＭに転送して展開すると共に、メモリＢのＲＯＭに格納されていたＲＡＭプログラムＢをメモリＡのＲＡＭに転送して展開する。従って、プロセッサＡ及びＢは、ＲＡＭにＲＡＭプログラムＡ及びＢが夫々展開されることで、例えば、リンプホーム機能を実現するプログラムを実行することができる。

その後、例えば、プロセッサＡに異常が発生した場合、これを検知したプロセッサＢは、メモリＢのＲＡＭに格納されたＲＡＭプログラムＡを実行することで、本来であればプロセッサＡで実現される機能を代行することができる。よって、プロセッサＡ又はＢの一方に異常が発生しても、そこに割り付けられた機能を保障することができる。

図６は、電子制御システム１００が起動されたことを契機として、プロセッサＡ及びＢが夫々実行する異常監視処理の一例を示す。なお、ここで説明する制御プログラムは、前述したプログラムＡ及びＢ並びにＲＡＭプログラムＡ及びＢとは異なるプログラムであって、メモリＡ及びＢのＲＯＭに予め格納されている。また、プロセッサＡ及びＢ並びにメモリＡ及びＢを区別する必要がない場合には、これらを「プロセッサ」及び「メモリ」と称するものとする。

ステップ１（図では「Ｓ１」と略記する。以下同様。）では、プロセッサが、例えば、メモリのＲＯＭに格納されている制御データを読み出すなどの初期化を実行する。
ステップ２では、プロセッサが、メモリのＲＯＭに格納されているＲＡＭプログラムを他のプロセッサに転送する。

ここで、一のプロセッサから他のプロセッサに転送するＲＡＭプログラムについて、保障したい機能などを考慮して、転送元と転送先、転送対象のＲＡＭプログラムなどを予め設定しておく必要がある。また、ＲＡＭプログラムの転送方法についても、例えば、ＣＡＮ通信を利用する方法、各プロセッサからアクセス可能な共有メモリを利用する方法など、プロセッサ環境に応じて予め設定しておく必要がある。電子制御システム１００のプロセッサ環境が共通する場合には、メモリのＲＯＭに格納されたプログラムが再配置可能なように設計されていれば、例えば、そのプログラムに含まれるリンプホーム機能の部分だけを他のプロセッサに転送することもできる。

さらに、ＲＡＭプログラムのサイズが大きく、電子制御システム１００の起動時に転送することが困難である場合には、ＲＡＭプログラムを分割して転送してもよい。また、複数のＲＡＭプログラムを転送する場合には、重要度の高いＲＡＭプログラムを起動時に転送し、これよりも重要度の低いＲＡＭプログラムをその後に適宜転送するなど、ＲＡＭプログラムの重要度に応じて、その転送タイミングを変更してもよい。但し、プロセッサに異常が発生する前に、ＲＡＭプログラムの転送が完了する必要がある。

なお、ＲＡＭプログラムの転送中に、電子制御システム１００への電源供給が遮断された場合には、メモリのＲＡＭの内容が不定となるため、初期化から再実行すればよい。
ステップ３では、プロセッサが、ＲＡＭプログラムの転送元のプロセッサ（他のプロセッサ）に異常が発生（可能性も含む）しているか否かを判定する。ＲＡＭプログラム転送元のプロセッサに異常が発生しているか否かは、例えば、一定時間ごとに相互に通信を行い、相手からの通信がない場合に、そのプロセッサに異常が発生したと判定することができる。また、プロセッサに自己診断機能が備えられている場合には、自己診断により異常が発生又は異常が発生する可能があると診断されたときに、相手側に異常発生を通知することで、この通知の有無によりプロセッサに異常が発生したか否かを判定することもできる。そして、プロセッサは、ＲＡＭプログラム転送元のプロセッサに異常が発生していると判定すれば処理をステップ４へと進める一方（Ｙｅｓ）、ＲＡＭプログラム転送元のプロセッサに異常が発生していないと判定すればステップ３の処理を繰り返す（Ｎｏ）。

ステップ４では、プロセッサが、他のプロセッサから転送されたＲＡＭプログラムのうち、異常が発生したプロセッサから転送されたＲＡＭプログラムを実行する。従って、異常が発生したプロセッサに割り付けられた機能を保障することができる。

ステップ５では、プロセッサが、異常が発生したプロセッサに復旧命令を送信する。復旧命令の送信元及び送信先である２つのプロセッサが共有メモリを有している場合には、共有メモリに復旧命令を書き込むことで、復旧命令を送信することができる。

ステップ６では、プロセッサが、異常が発生したプロセッサから復旧完了通知があったか否かを判定する。そして、プロセッサは、復旧完了通知があったと判定すれば処理をステップ７へと進める一方（Ｙｅｓ）、復旧判定通知がないと判定すれば処理をステップ８へと進める（Ｎｏ）。

ステップ７では、プロセッサが、異常が発生したプロセッサにＲＡＭプログラムを再送する。即ち、異常が発生したプロセッサでは、初期化又はリセットが実行されるので、メモリのＲＡＭに展開されたＲＡＭプログラムが消失する可能性がある。このため、将来の異常発生に備えて、ＲＡＭプログラムを再送する。その後、プロセッサは、処理をステップ３へと戻す。

ステップ８では、プロセッサが、異常が発生したプロセッサに復旧命令を送信してから所定時間経過したか否か、要するに、タイムアウトが発生したか否かを判定する。ここで、所定時間としては、例えば、プロセッサの初期化又はリセットに要する時間よりも若干長い時間とすることができる。そして、プロセッサは、復旧命令を送信してから所定時間経過したと判定すれば処理をステップ９へと進める一方（Ｙｅｓ）、復旧命令を送信してから所定時間経過していないと判定すれば処理をステップ６へと戻す（Ｎｏ）。

ステップ９では、プロセッサが、異常が発生したプロセッサが復旧できないことを外部装置に通知する。ここで、外部装置としては、例えば、プロセッサの動作を監視する監視マイコン、故障警告灯などを想定することができる。監視マイコンにプロセッサが復旧できないことを通知した場合には、例えば、その監視マイコンがプロセッサをリセットすることで、プロセッサが正常に復帰する可能性がある。また、故障警告灯にプロセッサが復旧できないことを通知した場合には、これが点灯することで、例えば、車両運転者などに故障発生を報知することができる。なお、リセットなどによってもプロセッサの異常が復旧できない場合には、そのプロセッサを強制的に停止するようにしてもよい。

図７は、プロセッサがＲＡＭプログラムを受信したことを契機として、プロセッサが実行するプログラム展開処理の一例を示す。
ステップ１１では、プロセッサが、他のプロセッサから転送されたＲＡＭプログラムを、メモリのＲＡＭに展開する。ここで、ＲＡＭプログラムが分割して転送された場合には、プロセッサは、分割されたＲＡＭプログラムを再構築してＲＡＭに展開する。

なお、受信したＲＡＭプログラムの正当性を判断するために、ＲＡＭプログラムにＣＲＣ（Cyclic Redundancy Check）、チェックサム、パリティなどを付加しておき、これらを利用して正当性をチェックするようにしてもよい。そして、ＲＡＭプログラムの正当性が判断できた場合には、そのＲＡＭプログラムの実行を可能にする一方、ＲＡＭプログラムの正当性が判断できない場合には、ＲＡＭプログラムの再送を依頼するようにすればよい。

図８は、プロセッサが復旧命令を受信したことを契機として、プロセッサが実行する復旧処理の一例を示す。なお、プロセッサが完全に故障した場合には、復旧処理を実行できないことはいうまでもない。

ステップ２１では、プロセッサが、例えば、メモリのＲＯＭに格納されている制御データを読み出すなどの初期化を実行する。
ステップ２２では、プロセッサが、自己診断機能による診断結果を読み込み、初期化により正常に復帰したか否かを判定する。そして、プロセッサは、自己診断結果が正常であると判定すれば処理をステップ２３へと進める一方（Ｙｅｓ）、自己診断結果が異常であると判定すれば処理を終了させる（Ｎｏ）。

ステップ２３では、プロセッサが、復旧命令の送信元であるプロセッサに、復旧完了通知を送信する。
このような電子制御システム１００によれば、電子制御システム１００の起動を契機として、各プロセッサのＲＯＭに格納されているＲＡＭプログラムが他のプロセッサに転送される。一方、ＲＡＭプログラムを受信したプロセッサは、ＲＡＭプログラムをＲＡＭに展開し、ＲＡＭプログラム転送元のプロセッサの異常発生に備える。そして、あるプロセッサに異常が発生した場合には、そのプロセッサからＲＡＭプログラムが転送されたプロセッサは、ＲＡＭに展開されているＲＡＭプログラムを実行することで、異常が発生したプロセッサで実現される機能を代行し、そこに割り付けられていた機能を保障する。

また、異常が発生したプロセッサにおいては、復旧命令に応答して初期化が実行されるため、例えば、ノイズ重畳による演算ミスなどの軽微な異常を復旧させることができる。一方、復旧命令を送信したプロセッサにおいては、復旧命令に対する復旧完了命令が所定時間内になければ、異常が発生したプロセッサは初期化では復旧できないと判断することができる。この場合には、異常が発生したプロセッサが復旧できないことを、監視マイコン、故障警告灯などの外部装置に通知することで、そのプロセッサをリセットしたり、運転者などに故障発生を報知することができる。

異常が発生したプロセッサにのみ接続されているセンサがある場合には、他のプロセッサにおいて、そのセンサで検出したセンサ値を利用することができない。この場合には、他のプロセッサは、他のセンサからセンサ値を推定したり、異常発生までのセンサ値の履歴情報などからセンサ値を推定し、このセンサ値を利用してＲＡＭプログラムの機能を実現するようにすればよい。なお、センサ値として、固定値を用いてもよい。

電子制御システム１００が多数のプロセッサを有する場合には、図９（Ａ）に示すように、各プロセッサが他のプロセッサを相互に監視する形態だけではなく、図９（Ｂ）及び（Ｃ）に示すように、ＲＡＭプログラムだけを実行するプロセッサを明確に分けるようにしてもよい。この場合、ＲＯＭに格納されたプログラムを実行するプロセッサと、ＲＡＭに格納されたＲＡＭプログラムを実行するプロセッサと、が競合したときには、ＲＡＭプログラムを実行するプロセッサを優先させることができる。

ここで、前記実施形態から把握し得る請求項以外の技術的思想について、以下に効果と共に記載する。
（イ）前記揮発性メモリに格納するプログラムは、前記プロセッサの起動を契機として、一のプロセッサから他のプロセッサに分割して転送される、ことを特徴とする請求項１又は請求項２に記載の自動車用電子制御システム。
かかる構成によれば、前記プログラムが一度に転送できない場合にも、これを分割することで転送することができる。

（ロ）前記揮発性メモリに格納するプログラムは、前記揮発性メモリを有するプロセッサで実行可能なオブジェクトコードで記述されている、ことを特徴とする請求項１〜請求項３、（イ）のいずれか１つに記載の自動車用電子制御システム。
かかる構成によれば、プロセッサ環境が異なるプロセッサにおいて、他のプロセッサに特有の機能を実現するプログラムを実行することができる。

（ハ）前記プロセッサは、マルチコア環境における各コア、マルチプロセッサ環境における各プロセッサ、ネットワークを介して接続された複数の電子制御装置の各プロセッサである、ことを特徴とする請求項１〜請求項３、（イ）、（ロ）のいずれか１つに記載の自動車用電子制御システム。
かかる構成によれば、複数のプロセッサを有する各種の電子制御システムにおいて、各プロセッサに異常が発生しても、そこに割り付けられた機能を保障することができる。

（ニ）前記プロセッサに異常が発生した場合には、初期化を実行する、ことを特徴とする請求項１〜請求項３、（イ）〜（ハ）のいずれか１つに記載の自動車用電子制御システム。
かかる構成によれば、軽微な異常を復帰させることができる。

（ホ）前記初期化を実行しても異常が復帰できない場合には、前記プロセッサをリセットする、ことを特徴とする（ニ）に記載の自動車用電子制御システム。
かかる構成によれば、例えば、プロセッサが暴走しても、これを解消することができる。

（ヘ）前記プロセッサに異常が発生したか否かは、各プロセッサ間で行う通信、自己診断機能に基づいて判定する、ことを特徴とする請求項１〜３、（イ）〜（ホ）のいずれか１つに記載の自動車用電子制御システム。
かかる構成によれば、プロセッサの異常を検知することができる。

１００ 電子制御システム
１１０ 電子制御装置
１１４ マルチコアプロセッサ
１１４Ａ，１１４Ｂ コア（プロセッサ）
１１６Ａ，１１６Ｂ メモリ
１２０ 電子制御装置
１２４，１２６ プロセッサ
１２４Ａ，１２６Ａ メモリ
１３０ 電子制御装置
１３４ プロセッサ
１３４Ａ メモリ
２００ 車載ネットワーク

Claims (2)

1. 不揮発性メモリ及び揮発性メモリを有し、実行可能なプログラムのオブジェクトコードが相互に異なるプロセッサを複数備え、前記不揮発性メモリにプログラム及び制御データを格納した自動車用電子制御システムであって、
   前記プロセッサの異常時に該プロセッサに特有の機能を実現するプログラムを、他のプロセッサで実行可能なオブジェクトコードで記述して前記プロセッサの前記不揮発性メモリに格納しておき、少なくとも前記プロセッサの起動時に、当該プロセッサから他のプロセッサに転送して当該他のプロセッサの前記揮発性メモリに格納しておく、
   ことを特徴とする自動車用電子制御システム。
2. 前記揮発性メモリに格納するプログラムは、前記プロセッサの前記揮発性メモリに展開されることで実行可能となる、ことを特徴とする請求項１に記載の自動車用電子制御システム。