JP7278470B2

JP7278470B2 - 検証装置

Info

Publication number: JP7278470B2
Application number: JP2022501513A
Authority: JP
Inventors: 光二嶋村
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-02-20
Filing date: 2020-02-20
Publication date: 2023-05-19
Anticipated expiration: 2040-02-20
Also published as: US20230050149A1; JPWO2021166167A1; CN115104087A; DE112020006774T5; WO2021166167A1

Description

本願は、検証装置に関するものである。

車載制御装置のソフトウェアの改良、不具合修正、機能追加による仕様変更等の改変を行う際には、改変箇所以外の部分が現行のソフトウェアと同様に機能するかどうかを調べる回帰テストを行う必要がある。このとき、多数のセンサまたは情報量の大きいセンサ等の入力を用いて、ソフトウェアに対する回帰テストを計画する場合がある。そのような場合、センサデータの組み合わせが膨大となり、回帰テストに時間がかかり、回帰テストの手順が繁雑となる。

特許文献１には、車両に実装されセンサからの入力に基づいて処理を実行し外部装置へ出力する障害物検出装置と、ソフトウェアの一部が変更された新ソフトウェアの検証を実行する検証装置について記載されている。障害物検出装置に並行して検証装置が設けられており、検証装置は障害物検出装置のセンサからの信号を用いて新ソフトウェアで処理を実行する。検証装置は、新ソフトウェアが処理した出力を障害物検出装置の出力と比較してソフトウェアの回帰テストを実施する。

特許文献２には、数十μｓ周期で演算を行うソフトウェアの処理時間が長くなって、処理が必要なタイミングに間に合わない時、処理時間が短い処理に切り替える制御装置について記載されている。

特開２０１９－３２６５６号公報特開２０１８－１３７８９５号公報

特許文献１に記載されたソフトウェアの回帰テストを、車載制御装置と検証装置の２つの装置を包含する車載機が備える、単一の演算処理装置で実行することが可能である。そうすれば、センサからの入力信号の共用、現行ソフトウェアによる出力と新ソフトウェアによる出力の比較を単一の演算処理装置内で実施でき、車載制御装置と検証装置を一体的に管理でき、効率的である。また、車載制御装置と検証装置を一体化することで、装置類全体の小型化、軽量化、コスト低減に貢献できる。

車載制御装置の中には特許文献２のように数十μｓ周期で処理を行うものがある。そのように短い周期で処理を実行する場合、特許文献１に記載されたソフトウェアの回帰テストを、車載機が備える単一の演算処理装置で実行すると、演算処理装置のソフトウェア実行負荷が問題となる場合がある。現行ソフトウェアと現行ソフトウェアから一部が変更された新ソフトウェアを並行して実行し、それらの処理結果の比較を短い周期で実行しなければならなくなり、演算処理装置の処理性能を超過してしまう場合がある。演算処理装置の処理性能を超過してしまうと、現行ソフトウェアによる車載制御装置の処理が所定周期で実行できないという問題が発生する。

演算処理装置のソフトウェア実行負荷が超過してしまうことを防ぐために、処理能力の高い演算処理装置を使用することができる。しかし、この場合、現行ソフトウェアと新ソフトウェアの２つのソフトウェアを短い周期で実行するために、二倍のソフトウェア実行負荷がかかることになり、より処理能力の高い演算処理装置が必要となり、コストアップに繋がる。

また、特許文献１に記載されたソフトウェアの不具合検出を車載制御装置と検証装置の処理を各々別の演算処理装置を用いて処理することもできる。その場合、車載制御装置と検証装置を一体とする場合と、別体とする場合がある。どちらの場合でも、短い時間で処理を実行するために、処理能力の高い演算処理装置が必要となる場合がある。この時、車載制御装置用の演算処理装置だけでなく、検証装置用の演算処理装置も高性能な演算処理装置に置換する必要がある。車載制御装置においてのみ高性能な演算処理装置を採用した場合、回帰テストの検証がうまく実施できないこととなる。車載制御装置で実行される現行プログラムと、検証装置で実行される新プログラムとを同期して実行させて、出力を比較する必要があるからである。このため、車載制御装置の処理の高速化に伴って、演算処理装置を２個とも高機能化する必要があり、コストアップに繋がる。

そこで、本願は、現行ソフトウェアを搭載した車載制御装置の動作に影響を与えず、現行ソフトウェアから一部が変更された新ソフトウェアの低コストで有効な回帰テストを実施できる検証装置を提供することを目的とする。

本願に係る検証装置は、
センサ部と、
車載機器制御用の現行プログラムを記録したプログラム記録部と、
センサ部の出力する信号を入力し、信号に基づいてプログラム記録部から読み出した現行プログラムを実行して処理結果を車載機器へ出力する第一プログラム処理部と、を有する車載制御装置の検証装置であって、
センサ部の出力する信号を入力し、信号に基づいて現行プログラムと同じプログラムを実行して処理結果を出力する第二プログラム処理部と、
センサ部の出力する信号を入力し、信号に基づいて現行プログラムに仕様変更を加えた新プログラムを実行して処理結果を出力する第三プログラム処理部と、
第三プログラム処理部の仕様変更に影響される出力を除いた第一出力部分と、第二プログラム処理部の出力の第一出力部分に対応する第二出力部分とを比較し同一性を判定する比較判定部と、を有したものである。

本願に係る検証装置によれば、現行ソフトウェアを搭載した車載制御装置の動作に影響を与えず、現行ソフトウェアから一部が変更された新ソフトウェアと現行ソフトウェアを並行で実行させ出力を比較するので有効な回帰テストを低コストで実施することができる。

実施の形態１に係る検証装置の構成を示すブロック図である。実施の形態１に係る車載機のハードウェア構成を示した図である。実施の形態１に係る検証装置の検証周期設定を説明するフローチャートである。実施の形態１に係る検証装置の入力信号を説明するための図である。実施の形態１に係る検証装置の処理を説明するフローチャートである。実施の形態２に係る検証装置の処理を説明する第一のフローチャートである。実施の形態２に係る検証装置の処理を説明する第二のフローチャートである。実施の形態２に係る検証装置の処理を説明する第三のフローチャートである。実施の形態２に係る検証装置の処理を説明する第四のフローチャートである。実施の形態２に係る検証装置の処理を説明する第五のフローチャートである。実施の形態２に係る検証装置の処理を説明する第六のフローチャートである。実施の形態２に係る検証装置の処理を説明する第七のフローチャートである。実施の形態２に係る検証装置の処理を説明する第八のフローチャートである。

１．実施の形態１
以下、実施の形態１に係る検証装置について、図面を参照して説明する。

図１は、実施の形態１に係る検証装置３の構成を示すブロック図である。図２は、実施の形態１に係る車載機１のハードウェア構成を示した図である。図３は、実施の形態１に係る検証装置３の検証周期設定を説明するフローチャートである。図４は、実施の形態１に係る検証装置３の入力信号を説明するための図である。図５は、実施の形態１に係る検証装置３の処理を説明するフローチャートである。

＜車載機＞
図１に示すように、実施の形態１に係る車載機１は、車載制御装置２と検証装置３とで構成されている。図１では、実施の形態１に直接関与しない構成要素については、図示を省略している。車載機１は、電力変換制御、エンジン制御、変速機制御、ステアリング制御、ブレーキ制御、オーディオ制御、ビデオ制御、衝突予防制御、車間距離制御、ヘッドライト制御、ドア制御、パワーウィンドウ制御、無線キーロック制御、自動運転制御、故障診断制御等の車載機器を制御する制御装置であり、検証装置を伴っている。

車載機１の各機能は、車載機１が備えた処理回路により実現される。具体的には、車載機１は、図２に示すように、処理回路として、ＣＰＵ（Central Processing Unit）等の演算処理装置９０（コンピュータ）、演算処理装置９０とデータのやり取りをする記憶装置９１、演算処理装置９０に外部の信号を入力する入力回路９２、及び演算処理装置９０から外部に信号を出力する出力回路９３等を備えている。

演算処理装置９０として、ＡＳＩＣ（Application Specific Integrated Circuit）、ＩＣ（Integrated Circuit）、ＤＳＰ（Digital Signal Processor）、ＦＰＧＡ（Field Programmable Gate Array）、各種の論理回路、及び各種の信号処理回路等が備えられてもよい。また、演算処理装置９０として、同じ種類のものまたは異なる種類のものが複数備えられ、各処理が分担して実行されてもよい。記憶装置９１として、演算処理装置９０からデータを読み出し及び書き込みが可能に構成されたＲＡＭ（Random Access Memory）、演算処理装置９０からデータを読み出し可能に構成されたＲＯＭ（Read Only Memory）、フラッシュメモリ、ＥＰＲＯＭ、ＥＥＰＲＯＭ等の、不揮発性または揮発性の半導体メモリが備えられている。入力回路９２は、各種のセンサ及びスイッチが接続され、これらセンサ及びスイッチの出力信号を演算処理装置９０に入力するＡ／Ｄ変換器等を備えている。出力回路９３は、電気負荷が接続され、これら電気負荷に演算処理装置９０からの制御信号を変換して出力する駆動回路等を備えている。

車載機１が備える各機能は、演算処理装置９０が、ＲＯＭ等の記憶装置９１に記憶されたソフトウェア（プログラム）を実行し、記憶装置９１、入力回路９２、及び出力回路９３等の車載機１の他のハードウェアと協働することにより実現される。なお、車載機１が用いる閾値、判定値等の設定データは、ソフトウェア（プログラム）の一部として、ＲＯＭ等の記憶装置９１に記憶されている。

図１の車載機１の構成要素の機能について説明する。図１の車載機１の内部に記載された車載制御装置２、検証装置３および、１１から２０で示された各機能は、それぞれソフトウェアのモジュールで構成されるものであってもよいが、ソフトウェアとハードウェアの組み合わせによって構成されるものであってもよい。

＜車載制御装置＞
車載制御装置２は、センサ部１１、第一プログラム処理部１２、アクチュエータ部１３、プログラム記録部１４を備えている。実施の形態１では、車載制御装置２を電力変換装置として説明する。センサ部１１では交流電圧、交流電流等の入力信号を検出する。プログラム記録部１４に記録された電力変換処理プログラムが第一プログラム処理部１２に読み出される。第一プログラム処理部１２にてセンサ部１１で検出した入力信号を用いてプログラム処理が実行され、アクチュエータ部１３に出力され、電力変換器を制御する。

＜検証装置＞
検証装置３は、現行プログラムと新プログラムとを並行して実行させて出力を比較し、新プログラムの回帰テストを行う装置である。検証装置３は、新プログラム記録部１５、第二プログラム処理部１６、第三プログラム処理部１７、比較判定部１８、検証周期設定部１９、検証記録部２０を備えている。第二プログラム処理部１６では、プログラム記録部１４から読み出された現行プログラムの複製が配置される。第三プログラム処理部１７では新プログラム記録部１５から読み出された新プログラムが配置される。第二プログラム処理部１６と第三プログラム処理部１７は、センサ部１１で検出された入力信号を検証周期設定部１９で設定された周期で取得し処理を実行する。第二プログラム処理部１６と第三プログラム処理部１７の処理結果は比較判定部１８で比較し、現行プログラムから仕様変更した新プログラムの仕様変更に出力が影響を受ける改変箇所以外における処理結果が同一となっているかを検証する。新プログラムは現行プログラムの一部を改変したプログラムである。

すなわち、実施の形態１に係る検証装置３は、センサ部１１と車載制御装置２の現行プログラムを記録したプログラム記録部１４と、センサ部１１の出力する信号を入力し、信号に基づいてプログラム記録部１４から読み出した現行プログラムを実行して処理結果をアクチュエータ部１３へ出力する第一プログラム処理部１２と、を有する車載制御装置２、の検証をする検証装置３であって、
センサ部１１の出力する信号を入力し、信号に基づいて現行プログラムと同じプログラムを実行して処理結果を出力する第二プログラム処理部１６と、
センサ部１１の出力する信号を入力し、信号に基づいて現行プログラムに仕様変更を加えた新プログラムを実行して処理結果を出力する第三プログラム処理部１７と、
第三プログラム処理部１７の出力のうち仕様変更に影響される出力を除いた第一出力部分と、第二プログラム処理部１６の出力のうち第一出力部分に対応する第二出力部分とを比較し同一性を判定する比較判定部１８と、を有したものである。

このように、検証装置３は、現行ソフトウェアを搭載した車載制御装置２の動作に影響を与えず、現行ソフトウェアから一部が変更された新ソフトウェアと現行ソフトウェアを並行で実行させ出力を比較するので有効な回帰テストを低コストで実施することができる。実際の車両に搭載して、センサ部１１から信号を入力するので、予め多岐にわたる入力情報を用意する必要がなく、実態に即した検証を実施することができる。

また、例えば、車載制御装置２の実行周期を短縮しなければならない場合でも、車載制御装置２の第一プログラム処理部１２の処理周期を高めるだけで要求を満足することができる。第二プログラム処理部１６、第三プログラム処理部１７の処理周期を短縮しなくても、検証装置の現行プログラムと新プログラムの実行による出力の比較の機能は達成できるからである。よって、車載制御装置２の制御周期の短縮に対し、検証装置３はそのまま対応でき、低コストで有効な回帰テストを実施できる。

さらに、検証装置３が現行プログラムをプログラム記録部１４から読み出すようにすれば、新プログラムと比較する対象の一致性を確保でき、プログラムのバージョン間違いを防止できる。さらに、プログラムの保管場所を共有することで、メモリ等の資源を効率的に利用することができる。また、検証装置３が現行プログラムと比較する新プログラムを読み出す新プログラム記録部１５を設けることで、比較すべき新プログラムを差し換えることが容易になり、ソフトウェア開発効率の向上に寄与することとなる。

＜検証周期設定部＞
図１の検証周期設定部１９について説明する。検証周期設定部１９は、検証装置３による、新ソフトウェアと現行ソフトウェアを並行で実行させ出力を比較する周期を設定する機能を持つ。検証周期設定部１９は、車載制御装置２の制御周期である第一の周期以上の値を検証周期である第二の周期に設定することができる。ここではソフトウェア実行負荷を考慮して、第二の周期を第一の周期よりも大きい値に設定する場合の利点を記載するが、車載機１のソフトウェア実行負荷に充分な余裕がある場合は、第二の周期を第一の周期と同一としても問題ないことは、言うまでもない。同一の周期とした場合は、実際の車両の制御タイミングで、新プログラムの検証ができるので有意であり、高い検証効率を維持できる。ソフトウェアの実行負荷が所定値（例えば５０％）以下の場合は第二の周期を第一の周期と同一として高い検証効率を維持し、ソフトウェアの実行負荷が所定値（例えば５０％）より高い場合は第二の周期を第一の周期より大きく（例えば２倍に）してソフトウェア実行負荷が過大となるのを防止してもよい。また、第二の周期をソフトウェア実行負荷の増大に応じて連続的に大きく変化させることによって、ソフトウェア実行負荷が過大となるのを防止してもよい。第二の周期を第一の周期より大きい値に設定した場合の利点について以下に述べる。

車載制御装置２の制御周期である第一の周期以上の値を検証装置３の検証周期である第二の周期に設定すると、検証装置３による検証回数が、車載制御装置２によるアクチュエータ部１３の制御回数以下となる。ここで、検証回数が減少した場合は、車載制御装置２の制御性に影響を及ぼすことはなく、検証装置３に係る演算処理装置９０のソフトウェア実行負荷が減少することとなり、車載機１全体の演算処理装置９０のソフトウェア実行負荷が減少する。

これによって、例えば車載機１が、単一の演算処理装置９０によって、第一プログラム処理部１２、第二プログラム処理部１６、第三プログラム処理部１７のソフトウェアの処理を実行している場合、その演算処理装置９０のソフトウェア実行負荷が減少することとなり、車載機１のより実効周期の短い処理が可能となり、もしくは追加機能の処理が可能となるので意義が大きい。

車載機１が、複数の演算処理装置９０を有し、車載制御装置２と検証装置３にそれぞれ別の演算処理装置９０を配置している場合、第二の周期を第一の周期より大きく設定すると、検証装置３の演算処理装置９０のソフトウェア実行負荷が減少することとなり、検証装置３の演算処理装置９０をより演算速度の遅い演算処理装置９０に置き換えてコスト削減することができる。もしくは、検証装置３の演算処理装置９０に別の機能の処理をさせることも可能となり、意義が大きい。

さらに、検証周期設定部１９は、センサ部１１が検出した入力信号が周期的性質を有する場合、入力信号の周期を算出し、入力信号の周期に基づいて、検証装置３の検証周期である第二の周期を設定することができる。

入力信号が、変化しない時、検証装置３の現行プログラムと新プログラムの実行による出力の比較の結果も変化しない。よって、入力信号が緩やかな変化しかしない場合は、検証装置３の検証周期である第二の周期を大きな値に設定しても、検証結果に差が生じないので、問題ない。

逆に、入力信号が短時間で変化する場合は、検証装置３の検証周期である第二の周期を小さな値とすることで、検証頻度を高めて検証効率を上げることができる。よって入力信号の周期に基づいて第二の周期を設定することは、意義が大きい。

さらに、検証周期設定部１９は、センサ部１１が検出した入力信号が周期的性質を有する場合、入力信号の周期よりも短く、かつ入力信号の周期を整数で除した周期と異なる値に、検証周期である第二の周期を設定することができる。

このように、検証周期である第二の周期を設定することで、検証周期が入力信号の周期の整数倍となることを避けることができる。検証周期が周期的性質を有する場合、入力信号の周期の整数倍で入力信号を使用すると、入力信号の同じ値の部分だけをサンプリングすることとなり、検証のための入力値が限定されて検証効率が低下するからである。よって、検証周期である第二の周期を、入力信号の周期よりも短く、かつ入力信号の周期を整数で除した周期と異なる値に、設定することで検証に用いられる入力値の種類が増え検証効率が向上するので意義が大きい。

さらに、検証周期設定部１９は、検証装置３の検証周期である第二の周期が、車載制御装置２の制御周期である第一の周期の整数倍と異なる値に設定することができる。

検証周期が制御周期の整数倍となった場合、検証装置３による検証が、車載制御装置２のプログラム処理の所定回数毎の実施となってしまう。これによって、所定回数毎にセンサ部１１から入力される信号があり、この入力により現行プログラムと新プログラムの実行による出力の差が存在する場合、タイミングによってこの出力差を生じる入力信号が、検証装置３では検出されない場合が発生しうる。

よって、検証装置３の検証周期である第二の周期を、車載制御装置２の制御周期である第一の周期の整数倍と異なる値に設定することで、車載制御装置２のプログラム処理のタイミングと検証装置３による検証処理のタイミングを少しずつずらして、検証処理の入力値の種類を増加させ、検証効率の向上に寄与することができるので意義が大きい。

図１に記載されている比較判定部１８と検証記録部２０について説明する。

＜比較判定部＞
検証装置３では、センサ部１１の出力する信号を入力し、信号に基づいて第二プログラム処理部１６で現行プログラムを実行して処理結果を出力し、第三プログラム処理部１７で新プログラムを実行して処理結果を出力し、二つの処理結果を比較している。しかし、新プログラムは、仕様変更に影響されて、現行プログラムと異なる値を出力する領域が存在する場合がある。

比較判定部１８は、仕様変更内容から、出力値が異なる領域が存在する場合は、新プログラムによる出力の、その領域の出力を除いた第一出力部分を抽出する。そして、現行プログラムを第二プログラム処理部１６で実行した処理結果の出力のうち、第一出力部分に対応する出力部分を第二出力部分として抽出する。

比較判定部１８は、第二プログラム処理部１６の出力の一部である第二出力部分と、第三プログラム処理部１７の出力の一部である第一出力部分を比較し、同一性を判定する。

新プログラムにバグがある場合、本来、現行プログラムと同じ挙動をしなくてはならない場合に、異なる出力をする場合がある。また、新プログラムのバグによって、思ってもいない動作をする場合のほかに、仕様変更の内容と、プログラム作成者の仕様変更の解釈が異なっている場合がある。そのような場合に、仕様変更によって及ぼす影響が、当初考慮していた領域と異なる領域に及ぶ場合がある。

このような場合に、比較判定部１８は、第一出力部分と第二出力部分の同一性が崩れ、比較判定部１８が不一致である旨判定する。比較判定部１８による比較結果は、検証記録部２０に記録される。判定結果が不一致の場合は、現行プログラムの出力結果及び新プログラムの出力結果と、処理に使用した入力信号の値が検証記録部２０に記録される。

＜検証記録部＞
判定結果が異なる場合の、入力信号と出力信号の記録を解析することで、新プログラムの問題点を解明することができるので、これらを検証記録部２０へ記憶する意義が大きい。検証記録部２０に記録された、一致する場合と不一致の場合の記録と、不一致の場合の入力信号と各出力信号の記録は、車両内の通信線もしくは無線通信を介して取り出してもよい。取り出した検証情報は、新プログラムの改良に即座に利用することができるので、ソフトウェア開発効率を高めるために有効である。

また、記憶装置９１に複数の制御用プログラムが設定されており、外部からの指示によって任意のプログラムが、プログラム記録部１４、新プログラム記録部１５に送られて記憶させる構成をとることができる。第一プログラム処理部１２、第二プログラム処理部１６で実行するプログラムはプログラム記録部１４から読み出したものである。第三プログラム処理部１７で実行する新プログラムは、新プログラム記録部１５から読み出したものである。よって、実行もしくは回帰テストを行うプログラムの差し替えを即座に行うことができる点、意義が大きい。また、通信回線を介して、車載機がプログラムを受信して記憶装置９１に格納する構成とすることもできる。そのようにすれば、外部からの指示によって、検証するプログラムを即座に差し換えることができ、ソフトウェア開発効率を高めるために有効である。

＜検証周期の設定の流れ＞
次に、実施の形態１の検証装置３において検証周期設定部１９が実施する検証周期の設定の流れを説明する。図３は、実施の形態１の検証装置３における検証周期設定の流れを説明するフローチャートである。

図３の処理は例えば５０μｓごとに実行される。ステップＳ１から開始された処理はステップＳ１０において、センサ部１１が検出した入力信号が周期的か否かを判定する。周期的か否かは記憶装置９１に順次記憶した過去の入力信号の大きさの履歴から判断する。入力信号が周期的であった場合は、ステップＳ２０に進み、周期的でなかった場合はステップＳ３０に進む。

ステップＳ２０において、入力信号の周期より小さく、かつ入力信号の周期を整数で除した周期と異なる値の周期を第二の周期として設定する。検証装置３の検証周期である第二の周期は、さらに車載制御装置２の第一の制御周期よりも大きい値を設定する。ステップＳ２０の後、ステップＳ９０へ進んで処理を終了する。

ステップＳ３０において、検証周期を予め決めていた規定値に設定する。なお、前記規定値は車載制御装置２の制御周期よりも大きい値である。ステップＳ３０の後、ステップＳ９０で処理を終了する。

センサ部１１が検出した入力信号の周期より小さく、かつ入力信号の周期を整数で除した周期と異なる値の周期で、さらに車載制御装置２の制御周期よりも大きい値について説明する。例えば、外部からの入力信号が５０Ｈｚの正弦波であった場合、入力信号の周期は２０ｍｓである。入力信号の変化を測定して電力変換制御を行うための車載制御装置の制御周期を５０μｓとする。このとき、入力信号の周期より小さく、かつ入力信号の周期を整数で除した周期でなく、さらに車載制御装置２の制御周期よりも大きい値として、例えば３ｍｓを検証周期に設定した場合を図４に示す。

検証装置３の検証周期である第二の周期を、車載制御装置２の制御周期である第一の周期より大きくすることで、検証装置のソフトウェア実行負荷を小さくすることができ、車載制御装置２の処理に与える影響を抑えることができる。さらに、図４に示すように、入力信号の周期より小さく、かつ入力信号の周期を整数で除した周期でない値を検証周期である第二の周期とすることで、検証に使用する入力信号を偏ることなく取り出すことができる。

図４について、詳しく説明する。図４には、検証周期である第二の周期と入力信号の取得について具体例を示している。図４は入力信号波形と検証周期で取得した入力信号の値を示している。入力信号は最大値が１００Ｖで５０Ｈｚの電圧の例について示している。

図４では、検証周期を３ｍｓとしており、検証周期タイミングである３ｍｓ、６ｍｓ、９ｍｓ、１２ｍｓ、１５ｍｓ、１８ｍｓ、２１ｍｓ、２４ｍｓ、２７ｍｓ、３０ｍｓ、３３ｍｓ、３６ｍｓ、３９ｍｓの時に入力信号を取得する。この時の入力信号の電圧値は、８０．９Ｖ、９５．１Ｖ、３０．９Ｖ、－５８．８Ｖ、－１００．０Ｖ、－５８．８Ｖ、３０．９Ｖ、９５．１Ｖ、８０．９Ｖ、０．０Ｖ、－８０．９Ｖ、－９５．１Ｖ、－３０．９Ｖとなる。このように、入力信号の周期より小さく、かつ入力信号の周期を整数で除した周期と異なる周期で、さらに車載制御装置２の制御周期である第一の周期よりも大きい値を検証周期である第二の周期に設定している。これにより、入力信号を取得するタイミングが入力信号の周期である２０ｍｓで同期することを回避できる。このため、検証に使用する入力信号の値が２０ｍｓ毎に同じ値の繰り返しとなるような偏りが発生することなく検証を実行することができる。よって、検証効率の向上に寄与することができる。

なお、実施の形態１では検証周期を３ｍｓについて示したが、３ｍｓに限らず、入力信号の周期より小さく、かつ入力信号の周期を整数で除した周期と異なる周期で、さらに車載制御装置２の制御周期よりも大きい値であればよい。

＜検証動作の流れ＞
検証装置３による、検証動作の流れについて説明する。図５は、実施の形態１の検証装置３における検証動作の流れを説明するフローチャートである。

図５のフローチャートは、例えば５０μｓ毎に実行される。ステップＳ１０１から処理を開始し、ステップＳ１０２で検証終了フラグがセットされているかどうか確認する。検証終了フラグがセットされている場合は、検証は不要なのでステップＳ１９９に進んで処理を終了する。

ステップＳ１０２において、検証終了フラグがセットされていなければ、ステップＳ１１０へ進む。ステップＳ１１０において、設定された検証周期の時間が経過し検証周期タイミング（例えば前回実行から３ｍｓ経過）になっているか否かを判定する。検証周期は、検証周期設定部１９が設定するものとする。ステップＳ１１０で、検証周期タイミングでない場合は、ステップＳ１９９で処理を終了する。

ステップＳ１１０で、検証周期タイミングである場合は、ステップＳ１２０に進む。ステップＳ１２０において、センサ部１１が検出した入力信号を取得する。

ステップＳ１２０の後、ステップＳ１３０において、センサ部１１が検出した入力信号に基づいて、プログラム記録部１４から読み出した現行プログラムを第二プログラム処理部１６で実行する。そして、センサ部１１が検出した入力信号に基づいて、新プログラム記録部１５から読み出した新プログラムを第三プログラム処理部１７で実行し、ステップＳ１４０に進む。

ステップＳ１４０において、比較判定部１８は、現行プログラムおよび新プログラムの処理結果を取得する。続くステップＳ１５０では、比較判定部１８は、予め記憶している新プログラムの仕様変更の情報に基づいて、新プログラムによる出力から仕様変更に影響される出力を除いた第一出力部分を抽出する。そして、現プログラムによる出力から、第一出力部分に対応する第二出力部分を抽出する。次に、ステップＳ１６０に進む。

ステップＳ１６０において、比較判定部１８は、第二出力部分と第一出力部分を比較し、同一性を判断する。同一であると判断した場合には、ステップＳ１７０へ進み、同一でないと判断した場合には、ステップＳ１８０へ進む。

ステップＳ１７０において、第二出力部分と第一出力部分が同一であったので、「処理結果が同一である」という情報のみを検証記録部２０へと保存しステップＳ１９０へ進む。

ステップＳ１８０では、第二出力部分と第一出力部分が同一でないので、「処理結果が同一でない」という情報と、同一でない場合の記録番号（記録連番）と、現行プログラムおよび新プログラムのそれぞれの処理結果と、処理に用いられた入力信号の情報とを検証記録部２０へ保存しステップＳ１９０へ進む。

ステップＳ１９０では、検証終了か否かを判定する。検証を続けると判断した場合はステップＳ１９２へ進み、検証終了フラグをクリアして、ステップＳ１９９で処理を終了する。検証終了フラグがクリアされている間、設定された検証周期で検証動作を継続することになる。

ステップＳ１９０で、検証終了と判断した場合はステップＳ１９１に進み、検証終了フラグをセットして、ステップＳ１９９で処理を終了する。これにより、次回から検証動作を行わないこととなる。なお、検証終了の判定には、設定された時間の経過、設定された検証回数の経過、外部からの指示信号等を用いることができる。

以上の手順で、検証周期設定部１９が決定した第二の周期で検証を実施することができる。車載制御装置２で通常の処理を実行しながら、検証装置３で新プログラムの仕様変更の影響を受けない出力部分の回帰テストを行い、結果を蓄積することができる。

実施の形態１における検証装置３は、車載制御装置２と共に車載機１に実装されているため、実際の車載制御に伴って取得される入力情報を用いて、現行プログラムと新プログラムとの並列処理による処理結果を比較するので、入力データのパターンを用意する必要がなく検証を行うことができる。さらに、検証装置３の検証周期を車載制御装置２の制御周期よりも大きく設定することで、検証装置３のソフトウェア実行負荷を小さくし、車載機１の演算処理装置９０の処理性能が足りなくなることを回避することができ、現行プログラムの車載制御装置の動作に影響を与えることなく、回帰テストの実行を容易とすることができる。

２．実施の形態２
実施の形態１では、検証装置３の検証実行の周期を長くして、検証装置３のソフトウェア実行負荷を低下させ、車載機１の演算処理装置９０の処理性能の不足を回避することについて説明した。実施の形態２では、検証装置３の検証処理全体の実行周期を長くするとともに、検証処理を細切れにして実行し、各部分の実行毎の演算処理装置９０の占有期間を短縮しソフトウェア実行負荷を低減する方法について、フローチャートを用いて説明する。

図６は、実施の形態２に係る検証装置３の処理を説明する第一のフローチャートである。図７は、実施の形態２に係る検証装置３の処理を説明する第二のフローチャートである。図８は、実施の形態２に係る検証装置３の処理を説明する第三のフローチャートである。図９は、実施の形態２に係る検証装置３の処理を説明する第四のフローチャートである。図１０は、実施の形態２に係る検証装置３の処理を説明する第五のフローチャートである。図１１は、実施の形態２に係る検証装置３の処理を説明する第六のフローチャートである。図１２は、実施の形態２に係る検証装置３の処理を説明する第七のフローチャートである。図１３は、実施の形態２に係る検証装置３の処理を説明する第八のフローチャートである。

実施の形態２では、現行プログラムを三分割して、三分の一ずつ分けて、順番に実行できる構成とした場合について記載している。同様に、新プログラムも三分割して、三分の一ずつわけて、順番に実行できる構成とした場合について記載している。このように、分割実行できる構成とすれば、演算処理装置９０を独占する時間を短くし、順番に実行することで演算処理装置９０のソフトウェア実行負荷を小さくすることができる。特に単一の演算処理装置９０で、車載制御装置２と検証装置３を制御する場合に、車載制御装置２の車載機器の制御周期が短い場合に、検証装置３の演算処理装置９０の独占期間を短くすることは、車載制御装置２の制御の障害となることを防ぎ、車載制御装置２の制御性を確保する上で有利である。

実施の形態２では検証装置３による現行プログラムと新プログラムによる出力の比較をする回帰テストを、プログラムを７つの部分に分けて実行する場合について説明する。分割の数は７に限られない。

図６は、検証処理の分割したプログラムのうちどの部分を実行するかを決定する処理を示している。ステップＳ２０１で開始する処理は、例えば５０μｓ毎に実行される。ステップＳ２０２で、分割処理タイミングであるかどうか判定する。ステップＳ２０２では、設定された分割処理周期（例えば０．４ｍｓ）の時間が経過し分割したプログラムを実行する分割処理タイミングになっているか否かを判定する。分割処理周期は、検証周期設定部１９が設定するものとする。検証プログラムの、分割された処理の全体が実行される周期が第二の周期となる。ここでは、７つの部分を０．４ｍｓ毎に実行するので、全体として２．８ｍｓが第二の周期となる。

ステップＳ２０２において分割処理タイミングで無ければ、ステップＳ２０９で処理を終了する。ステップＳ２０２で分割処理タイミングである場合、ステップＳ２０３で実行カウンタを加算（１プラス）する。実行カウンタは、細切れで実行するプログラムのどの部分を実行するか決定する番号をカウントしており、図６の場合にはカウンタは１から７の値を取ることができる。

ステップＳ２０３の次に、ステップＳ２０４へ進んで実行カウンタが７より大きいかどうか確認する。７より大きくなるのは、ステップＳ２０３でカウンタを加算して８とした場合である。７より大きい場合はステップＳ２０５で実行カウンタに１が設定されステップＳ２０６へ進む。ステップＳ２０４で実行カウンタが７以下の場合はそのままステップＳ２０６へ進む。

ステップＳ２０６では、実行カウンタの番号によって、進むステップを規定している。実行カウンタが１の場合は、（１）で示しているステップＳ２５１へ進む。実行カウンタが２の場合は、（２）で示しているステップＳ３０１へ進む。実行カウンタが３の場合は、（３）で示しているステップＳ４０１へ進む。実行カウンタが４の場合は、（４）で示しているステップＳ５０１へ進む。実行カウンタが５の場合は、（５）で示しているステップＳ６０１へ進む。実行カウンタが６の場合は、（６）で示しているステップＳ７０１へ進む。実行カウンタが７の場合は、（７）で示しているステップＳ８０１へ進む。

図７は、実行カウンタが１の場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが１の場合、ステップＳ２５１へ進む。ステップＳ２５１の後、ステップＳ２５３でセンサ部１１が検出した入力信号を取得する。

ステップＳ２５３の次に、ステップＳ２５４で、センサ部１１が検出した入力信号に基づいて、プログラム記録部１４から読み出した現行プログラムのうち、三分割した第一部分を第二プログラム処理部１６で実行する。その後、ステップＳ２５９で処理を終了する。

図８は、実行カウンタが２の場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが２の場合、ステップＳ３０１へ進む。ステップＳ３０１の後、ステップＳ３０３で、現行プログラムのうち、三分割した第二部分を第二プログラム処理部１６で実行する。その後、ステップＳ３０９で処理を終了する。

図９は、実行カウンタが３の場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが３の場合、ステップＳ４０１へ進む。ステップＳ４０１の後、ステップＳ４０３で、現行プログラムのうち、三分割した第三部分を第二プログラム処理部１６で実行する。その後、ステップＳ４０４で処理結果を検証記録部２０へ保存する。その後、ステップＳ４０９で処理を終了する。

図１０は、実行カウンタが４の場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが４の場合、ステップＳ５０１へ進む。ステップＳ５０１の後、ステップＳ５０３で、センサ部１１が検出した入力信号に基づいて、新プログラム記録部１５から読み出した新プログラムのうち、三分割した第一部分を第三プログラム処理部１７で実行する。その後、ステップＳ５０９で処理を終了する。

図１１は、実行カウンタが５の場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが５の場合、ステップＳ６０１へ進む。ステップＳ６０１の後、ステップＳ６０３で、新プログラムのうち、三分割した第二部分を第三プログラム処理部１７で実行する。その後、ステップＳ６０９で処理を終了する。

図１２は、実行カウンタが６の場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが６の場合、ステップＳ７０１へ進む。ステップＳ７０１の後、ステップＳ７０３で、新プログラムのうち、三分割した第三部分を第三プログラム処理部１７で実行する。その後、ステップＳ７０４で処理結果を検証記録部２０へ保存する。その後、ステップＳ７０９で処理を終了する。

図１３は、実行カウンタが７場合のフローチャートを示している。図６のステップＳ２０６で実行カウンタが７の場合、ステップＳ８０１へ進む。ステップＳ８０１の後ステップＳ８０２で、比較判定部１８は検証記録部２０から現行プログラムおよび新プログラムの処理結果を取得する。

続くステップＳ８０３では、比較判定部１８は、予め記憶している新プログラムの仕様変更の情報に基づいて、新プログラムによる出力から仕様変更に影響される出力を除いた第一出力部分を抽出する。そして、現プログラムによる出力から、第一出力部分に対応する第二出力部分を抽出する。次に、ステップＳ８０４に進む。

ステップＳ８０４において、比較判定部１８は、第二出力部分と第一出力部分を比較し、同一性を判断する。同一であると判断した場合には、ステップＳ８０７へ進み、同一でないと判断した場合には、ステップＳ８０５へ進む。

ステップＳ８０７において、第二出力部分と第一出力部分が同一であるので、「処理結果が同一である」という情報のみを検証記録部２０へ保存しステップＳ８０９で処理を終了する。

ステップＳ８０５では、第二出力部分と第一出力部分が同一でないので、「処理結果が同一でない」という情報を検証記録部２０へ保存する。そしてステップＳ８０６で、同一でない場合の記録番号（記録連番）と、現行プログラムおよび新プログラムのそれぞれの処理結果と、処理に用いられた入力信号の情報とを検証記録部２０へ保存しステップＳ８０９で処理を終了する。

以上のように、実施の形態１の図５のフローチャートで示したプログラムを７分割して実行する実施の形態２の処理手順について説明した。このように分割して実行することによって、一度に実行するプログラムの実行時間を短縮することができる。演算処理装置９０の占有時間を短縮することによって、演算処理装置９０がより優先度の高い処理に迅速に対応できることとなるので、意義が大きい。ここでは、０．４ｍｓ毎に一つの分割部分を実行し、２．８ｍｓ毎に全体の処理を実行することになる。検証周期設定部１９は、検証処理の全体を実行する時間間隔を、検証周期である第二の周期として設定することができる。

図６から図１３のフローチャートでは、説明を簡単にするために、検証終了の判断と検証終了フラグのセット、クリアについて省略したが、この処理を追加することもできる。

実施の形態２では、入力信号の周期に対応した第二の周期の設定の説明を省略したが、実施の形態１と同様に対応することが可能である。また、第一の周期と、第二の周期との関係についても同様である。

実施の形態２では、検証装置３で実施する検証処理を細切れにして実行し、各部分の実行毎の演算処理装置９０の占有期間を短縮しソフトウェア実行負荷を低減する方法について説明した。検証装置３での検証処理を細切れにしてタイミングをずらして実行する以外に、検証処理を通常の優先順位の処理として実行し、車載制御装置２の制御処理を割り込み処理の中で実行するようにしても、同様の効果を得ることができる。通常処理の中で検証処理を実行しつつ、割込み処理によって必要なタイミングで遅滞なく車載制御装置２の制御処理を実行することができる。そして、検証処理の実施周期である第二の周期を、制御周期である第一の周期よりも長くすることによって、全体として演算処理装置９０のソフトウェア実行負荷を低減することができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１車載機、２車載制御装置、３検証装置、１１センサ部、１２第一プログラム処理部、１３アクチュエータ部、１４プログラム記録部、１５新プログラム記録部、１６第二プログラム処理部、１７第三プログラム処理部、１８比較判定部、１９検証周期設定部、２０検証記録部

Claims

センサ部と、
車載機器制御用の現行プログラムを記録したプログラム記録部と、
前記センサ部の出力する信号を入力し、前記信号に基づいて前記プログラム記録部から読みだした前記現行プログラムを実行して処理結果を車載機器へ出力する第一プログラム処理部と、を有する車載制御装置の検証装置であって、
前記センサ部の出力する前記信号を入力し、前記信号に基づいて前記現行プログラムと同じプログラムを実行して処理結果を出力する第二プログラム処理部と、
前記センサ部の出力する前記信号を入力し、前記信号に基づいて前記現行プログラムに仕様変更を加えた新プログラムを実行して処理結果を出力する第三プログラム処理部と、
前記第三プログラム処理部の出力のうち前記仕様変更に影響される出力を除いた第一出力部分と、前記第二プログラム処理部の出力のうち前記第一出力部分に対応する第二出力部分とを比較し同一性を判定する比較判定部と、を有した検証装置。
前記検証装置は、
前記センサ部の出力する前記信号を入力し、前記信号に基づいて、前記プログラム記録部から読みだした前記現行プログラムを実行して処理結果を出力する前記第二プログラム処理部と、
前記現行プログラムに前記仕様変更を加えた前記新プログラムを記憶した新プログラム記録部と、
前記センサ部の出力する前記信号を入力し、前記信号に基づいて、前記新プログラム記録部から読みだした前記新プログラムを実行して処理結果を出力する前記第三プログラム処理部と、を有した請求項１に記載の検証装置。
前記検証装置は、
前記第一プログラム処理部が前記現行プログラムを実行する第一の周期以上の第二の周期を設定する検証周期設定部を有し、
前記第二プログラム処理部は、前記第二の周期で前記現行プログラムを実行し、前記第三プログラム処理部は前記第二の周期で前記新プログラムを実行する請求項１または２に記載の検証装置。
前記検証周期設定部は、前記検証装置のソフトウェア実行負荷に応じて、前記第二の周期を設定する請求項３に記載の検証装置。
前記検証周期設定部は、前記センサ部の出力する前記信号が周期的信号であった場合に、前記センサ部の前記信号の周期に基づいて第二の周期を設定する請求項３または４に記載の検証装置。
前記検証周期設定部は、前記センサ部の出力する前記信号の前記周期よりも短く、かつ前記周期を整数で除した周期と異なる値に前記第二の周期を設定する請求項５に記載の検証装置。
前記検証周期設定部は、前記第二の周期を前記第一の周期の整数倍と異なる値に設定する請求項３から６のいずれか一項に記載の検証装置。
前記検証装置は、前記比較判定部が同一性を否定する判定をした場合、前記第二プログラム処理部の処理結果と、前記第三プログラム処理部の処理結果と、センサ信号の入力とを検証記録部へ保存する請求項１から７のいずれか一項に記載の検証装置。