JP7414667B2 - 電子制御装置 - Google Patents

Description

本発明は、マイクロコンピュータ（マイコン）を備えた車両用の電子制御装置に関する。

自動車には、機能安全と呼ばれる制御の安全を担保するための機能が存在する。機能安全の制御は、原則として通常制御に干渉してはならないことが義務付けられている。このため、車両用の電子制御装置では、安全管理部分がそれ以外の部分からの影響を受けていないことを確認する必要がある。従来の診断方法では、レベル分けした構造に対する処理に対応していないものがあるため、独自に安全管理を実施しなければならない。

例えば、電子制御装置に搭載されているマイコンのメモリは、使用する範囲を機能毎にユーザが設定しているが、実行される制御が一時的に膨大になるなどの特定の条件においては、設計者の意図に反し、設定した範囲を超えて別の領域を書き換えてしまうことがある。このような、スタック領域のオーバーライトは、マイコンの暴走やリセットを引き起こすため、個別の検証と対処が必要となる。

そこで、特許文献１では、タイマ機能による割り込みハンドラを用いて一定周期毎にオーバライトチェックを行うことにより、各タスクのディスパッチとは非同期に、かつ動的に各タスクのスタックオーバーライトを検出している。

特開２００４－１５７６６２号公報

しかしながら、上記特許文献１に記載されている動的スタックオーバーライトのモニタ方法では、検証時にシステムがリセットされることがある。車両の走行中におけるシステムリセットは、意図しない車両挙動が発生する可能性があるため、たとえ一時的とはいえ好ましいものではない。

本発明は上記のような事情に鑑みてなされたもので、その目的とするところは、マイクロコンピュータを備えた車両用の電子制御装置において、機能安全に対応したスタック領域のオーバーライトの発生を抑制できる電子制御装置を提供することにある。

本発明の一態様に係る電子制御装置は、マイクロコンピュータを備える車両用の電子制御装置であって、スタック領域の使用量を監視し、スタック領域の余剰領域が所定範囲よりも少なくなった場合に、当該スタック領域の情報を外部記憶装置に記憶し、再起動の際に前記外部記憶装置に記憶した情報に基づきスタック領域を移動する、ことを特徴とする。

本発明では、スタック領域の使用量を監視してオーバーライトの可能性を評価し、オーバーライトする可能性ありとした領域をより安全な位置に移動するので、マイクロコンピュータを備えた車両用の電子制御装置において、機能安全に対応したスタック領域のオーバーライトを未然に防ぎ、プログラムの暴走を抑制することができる。

本発明の実施形態に係る車両用の電子制御装置の概略構成を示すブロック図である。 既存のソフトウェアのスタック構成について説明するための図である。 本発明の実施形態に係る電子制御装置におけるソフトウェアのスタック構成について説明するための図である。 ローカルＲＡＭ領域の空き領域について説明するための図である。 本発明の実施形態に係る電子制御装置における機能安全に対応したスタック領域のオーバーライト対策の動作を示すフローチャートである。 図５に続く動作を示すフローチャートである。 本発明の実施形態に係る電子制御装置における機能安全に対応したスタック領域のオーバーライト対策によるスタック構成の変化を示す図である。 図７における閾値の設定について説明するための図である。 図７における拡張領域の演算について説明するための図である。 図７における情報を外部記憶装置に記憶する動作について説明するための図である。 図７における初期化処理に組み込む内容について説明するための図である。 本発明の変形例について説明するためのもので、マイコンがメモリを２面搭載している場合のスタック領域の移動例を示す図である。

以下、本発明の実施形態について図面を参照して説明する。
図１は、本発明の実施形態に係る車両用の電子制御装置の概略構成を示している。車両１０に搭載されたエンジン（内燃機関）２０には、各種のセンサ３１が設けられており、これらセンサ３１で検出された信号がＥＣＭ（Engine Control Module）３０に入力される。センサ３１は、例えば吸入空気量センサ、クランク角センサ、アクセル開度センサ、水温センサ、カム角センサ、空燃比センサ、及び油温センサなどである。また、ＥＣＭ３０には、エンジン２０の運転及び停止のメインスイッチであるイグニッションスイッチ（図示せず）からの信号が入力される。

ＥＣＭ３０は、これら各種のセンサ３１及びイグニッションスイッチからの信号に基づいて、予め記憶された制御プログラムに従って演算処理を行い、例えば燃料噴射弁、ＶＴＣ（Variable Timing Control）機構及び点火モジュールなどの各種装置の操作量あるいは制御量を算出し、これらの装置や装置を駆動するアクチュエータ３２などに制御信号を出力して制御する。

このＥＣＭ３０は、ＣＰＵ（Central Processing Unit）などのプロセッサ３３と、揮発性メモリの一例としてのＲＡＭ（Random Access Memory）３４と、制御プログラム及び各種データを記憶する不揮発性メモリの一例としてのＲＯＭ（Read Only Memory）３５と、車両情報（故障や異常の情報）及び学習値などを記憶する不揮発性メモリの一例としてのＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）３６と、入力と出力のインターフェースを行うための入出力インターフェース（入出力Ｉ／Ｆ）３７と、外部装置と通信を行うための外部通信インターフェース（外部通信Ｉ／Ｆ）３８と、バス３９とを備えている。

プロセッサ３３、ＲＡＭ３４、ＲＯＭ３５、ＥＥＰＲＯＭ３６、入出力Ｉ／Ｆ３７及び外部通信Ｉ／Ｆ３８は、バス３９によって相互に接続されている。また、外部通信Ｉ／Ｆ３８は、ケーブル４０を着脱可能に接続するコネクタ３８ａを有する。このコネクタ３８ａには、外部記憶装置５０がケーブル４０を介して接続される。

図２は、既存のソフトウェアのスタック構成を示しており、通常制御で使っているスタック領域と機能安全で使っているスタック領域以外にローカルＲＡＭ領域が存在し、このローカルＲＡＭ領域には空き領域（未使用）が存在する。すなわち、ＲＡＭ３４の記憶領域１００は、ローカルＲＡＭ領域（領域固定）１１０とその空き領域（未使用）１１０ａ、ＱＭ（Quality Management）スタック領域１２０、及びＡＳＩＬ（Automotive Safety Integrity Level）スタック領域１３０を有している。ローカルＲＡＭ領域１１０と空き領域１１０ａは、車種によって変動するものである。ＱＭスタック領域１２０のスタート位置は、アドレスが固定値で設定されている。また、ＡＳＩＬスタック領域１３０のスタート位置も、アドレスが固定値で設定されている。

ここで、ＡＳＩＬは、自動車向け機能安全規格ＩＳＯ２６２６２の安全度水準であり、ＱＭは、ＡＳＩＬより安全度水準が低くなっている。そして、ＱＭスタック領域に記憶されたソフトウェアが暴走した場合でも、安全度水準の高いＡＳＩＬスタック領域のソフトウェアの動作を阻害するのを抑制し、システムに影響を及ぼすのを防ぐようになっている。

上記スタック領域１２０，１３０は、使用する領域を機能毎にユーザが設定しており、制御が実行されるほど使用量が多くなり、制御が終わるたびにクリアされる。実行される制御が一時的に膨大になるなどの特定の条件を満たすと、設計者の意図に反し、設定範囲を超えて別の領域を書き換えてしまう、いわゆるオーバーライトが発生する可能性がある。

図３は、本発明に係るソフトウェアのスタック構成を示しており、図２に示した既存のソフトウェアと同様に、通常制御で使っているスタック領域と機能安全で使っているスタック領域以外にローカルＲＡＭ領域が存在し、ローカルＲＡＭ領域には空き領域（未使用）が存在する。すなわち、ＲＡＭ３４の記憶領域２００は、ローカルＲＡＭ領域（領域固定）２１０と空き領域（未使用）２１０ａ、ＱＭスタック領域２２０、及びＡＳＩＬスタック領域２３０を有している。

本実施形態では、スタック領域２２０，２３０のスタートアドレスを固定値で設定していたのを変数に変更し、プログラムの処理によってスタック領域２２０，２３０を可変できるようにしている。また、ＡＳＩＬスタック領域２３０に閾値を設定しており、ＱＭスタック領域２２０の使用量が、この閾値を超えるか否かでオーバーライトを検知する。そして、空き領域２１０ａの割合を演算し、使用していない分をＡＳＩＬスタック領域２３０に移行する。

すなわち、ＱＭスタック領域２２０のスタート位置は、アドレスが変数に変更されている。また、ＡＳＩＬスタック領域２３０のスタート位置も、アドレスが変数に変更されている。更に、ＡＳＩＬスタック領域２３０に、破線で示すようにオーバーライトを検知するための閾値を設定している。
なお、ローカルＲＡＭ領域２１０と空き領域２１０ａは、車種によって変動する。

図４は、ローカルＲＡＭに空き領域が存在する理由について説明するための図である。図４（ａ）に示すように、開発時においては、ローカルＲＡＭ領域２１０の空き領域２１０ａは、ローカルＲＡＭ領域として定義されているが、実際には使用されていない領域を表す。このため、図４（ｂ）に示すように、出荷時においては、空き領域２１０ａをＱＭスタック領域２２０として用いる。ローカルＲＡＭ領域２１０は、制御が増えるとともに増加し、使用範囲はプログラム毎に異なるため、図４（ｃ）に示すように、空き領域３１０ａが少ないと別車種には適用できなくなるので、一番使用量が多いものに対応可能にする必要がある。すなわち、汎用性や流用性を考慮し、ローカルＲＡＭ領域２１０にマージン（空き領域２１０ａ）を設けている。

図５及び図６はそれぞれ、本発明の実施形態に係る電子制御装置における機能安全に対応したスタック領域のオーバーライト対策の動作を示すフローチャートである。図５はキーオン状態からキーオフしたときの動作を示しており、図６はキーオフ状態からキーオンしたときの動作を示している。
図５に示すように、まず、ＱＭスタック領域２２０の使用量が増加して、ＡＳＩＬスタック領域２３０の閾値を超えているか否かを判断し（ステップＳ１）、超えていると判断するとスタック領域拡張フラグを外部記憶装置５０にセットして（ステップＳ２）、拡張領域演算を実行する（ステップＳ３）。

一方、ステップＳ１で、ＡＳＩＬスタック領域２３０の閾値を超えていないと判断した場合には、通常制御を実行する（ステップＳ４）。
その後、キーオフ（Key-OFF）されると（ステップＳ５）、外部記憶装置５０に拡張経験フラグセット情報を格納し（ステップＳ６）、外部記憶装置５０に演算結果を格納して（ステップＳ７）終了する。

図６に示すように、キーオン（Key-ON）されると（ステップＳ８）、外部記憶装置５０の演算結果をスタック領域の初期位置に反映し（ステップＳ９）、閾値に演算結果を加算する（ステップＳ１０）。

図７は、機能安全に対応したスタック領域のオーバーライト対策について説明するためのもので、上述した手順の動作によるスタック構成の変化を示している。図７（ａ）に示すようにＱＭスタック領域２２０の使用量が増加し、破線で示すオーバーライトを検知する閾値を超えると、スタック拡張フラグをセットする。
次に、使用量の増加分を空き領域２１０ａに書き込むために、空き領域２１０ａにおいて拡張する範囲を演算する。
そして、マイコンの電源オフ時に外部記憶装置５０に拡張フラグ情報を記憶する。

次のマイコンの電源オン時に、図７（ａ）に示すようにＱＭスタック領域２２０を移動し、ＡＳＩＬスタック領域２３０を拡張する。
このように、初期化処理でスタック領域２２０，２３０の移動と拡張をそれぞれ行うことで、空き領域２１０ａの一部（ΔＡ）をＱＭスタック領域２２０として利用することで、機能同士が干渉し合うことなく機能安全規格を遵守できる。

図８は、ＡＳＩＬスタック領域２３０における閾値の設定について説明するためのもので、ＡＳＩＬスタック領域２３０内の所定範囲ΔＢ内で可変設定できるようにしている。この所定範囲ΔＢは複数段階に設定され、各段階の範囲に応じた領域の移動判断を行う。
上記閾値の設定には様々な態様が考えられ、例えば定数設定にすることで、ユーザが任意の値を設定できるようにしてもよい。また、段階的にいくつか閾値を設けて、より詳細な情報を得られるようにしてもよい。更に、閾値を超えた際にセットするフラグの情報は、診断制御に組み込んで診断ＮＧとして扱ってもよい。閾値を超えたときに、故障警告灯（ＭＩＬ）を点灯し、ユーザに知らせるようにしてもよい。

既存の制御では、スタック領域のオーバーライトが発生した場合、プログラムの暴走を防ぐためにマイコンのリセットを行っている。しかし、マイコンのリセットの原因は多数存在し、実際にオーバーライトによってリセットが起こっても原因の特定は難しい。閾値を超えた際にセットするフラグの情報を利用すれば、マイコンリセットの原因早期発見も見込まれ、フラグ情報を残すことで原因究明にも利用できる。

図９は、拡張領域の演算について説明するための図である。拡張する領域は、ローカルＲＡＭ領域２１０の最終アドレスと、ＱＭスタック領域２２０の開始アドレスから空き領域２１０ａを算出し、ユーザが設定した割合分拡張する。

例えば、図９（ａ）に示すように、ユーザが空き領域２１０ａ（ΔＡ１＋ΔＡ２）のうち５０％（ΔＡ２）を割り当てるように設定している場合には、ＱＭスタック領域２２０の最終アドレスがＡＳＩＬスタック領域２３０の破線で示す閾値を超えてフラグがセットされた場合に演算を実施する。そして、図９（ａ）に示すように、ＡＳＩＬスタック領域２３０に空き領域２１０ａのうち５０％（ΔＡ２）を割り当てる。

図１０は、情報を外部記憶装置５０に記憶する動作について説明するための図である。ＲＡＭ３４の情報は、揮発性メモリであるためマイコンの電源がオフ（Key-OFF）になるとすべて消失してしまう。このため、初期化処理でスタック領域２３０の拡張を行う場合、マイコンの電源がＯＦＦであっても消去されない不揮発性メモリに記憶させる必要がある。一方、マイコンの電源がオン（Key-ON）になると、外部記憶装置５０からＲＡＭ３４に情報を読み込む。

外部記憶装置５０に記憶させる情報としては、スタックの使用量が閾値を超えたことを表す情報と、拡張させる領域を表す演算結果がある。これら以外に、フラグがセットされた際の自動車の挙動データを取得してもよい。これによって、オーバーライト時の挙動が分かるため、ソフトウェアの改良による対策を早期に実装可能になる。また、診断ＮＧとして扱う場合には、フリーズフレームデータ（ＦＦＤ）として自動車の情報が記録される。

図１１は、初期化処理時に組み込む内容について説明するための図である。マイコンの電源投入時、外部記憶装置５０からフラグセット情報や拡張領域の演算結果が読み込まれた場合、スタック領域の開始アドレスに演算結果分を加算することでＱＭスタック領域２２０の移動とＡＳＩＬスタック領域２３０の拡張を行う。すなわち、ＱＭスタック領域２２０の開始アドレス（初期値アドレス「０ｘＸＸＸＸＸＸＸＸ」）に演算結果を加算し、ＡＳＩＬスタック領域２３０の開始アドレス（初期値アドレス「０ｘＹＹＹＹＹＹＹＹ」）に演算結果を加算する。また、破線で示す閾値の初期閾値アドレス「０ｘＺＺＺＺＺＺＺＺ」）に演算結果を加算する。

図１２は、本発明の変形例について説明するためのもので、マイコンがメモリを２面搭載している場合のスタック領域の移動例を示している。図１２（ａ），（ｂ）に示すように、マイコンがメモリを２面搭載している場合には、例えば１面のＱＭスタック領域２２０を２面の空き領域４１０ａのような全く違う位置に移動してもよい。
このように、固定値となっていた領域の指定値を変数とすることで、スタック領域そのものの移動がソフトウェア内で可能になる。

ここで、上述した実施形態から把握し得る技術的思想について、以下にその効果と共に記載する。
電子制御装置は、その一つの態様において、
マイクロコンピュータと、外部記憶装置とを備える車両用の電子制御装置であって、
前記マイクロコンピュータは、
プログラムの実行中にスタック領域の使用量を監視し、
前記スタック領域の使用量が予め設定した閾値を超えた場合に、閾値を超えたことを表す情報を保持し、
電源がオフになる際に、前記保持した情報を前記外部記憶装置に記憶し、
再度電源がオンされた際に、当該マイクロコンピュータの初期化制御内で、前記外部記憶装置の情報を利用してオーバーライトされそうなスタック領域を移動する、
ことを特徴とする。

上記構成によると、スタック領域の使用量をマージン付きの閾値で監視し、結果を記録することでオーバーライト可能性を評価し、オーバーする可能性ありとした領域をより安全な位置に移動するようにしている。これによって、マイクロコンピュータを備えた車両用の電子制御装置において、機能安全に対応したスタック領域のオーバーライトを未然に防ぎ、プログラムの暴走を抑制することができる。

なお、本発明は、上述した実施形態に限定されるものではない。この実施形態で説明した構成は、本発明が理解及び実施できる程度に概略的に示したものに過ぎない。従って、本発明は、特許請求の範囲に示される技術的思想の範囲を逸脱しない範囲で様々な形態に変更することができる。

例えば、上述した実施形態では、外部記憶装置５０に情報を記憶する場合を例に取って説明したが、ＲＡＭ３４以外の不揮発性メモリであれば良く、ＥＣＭ３０内のＥＥＰＲＯＭ３６に記憶しても実質的に同様な作用効果が得られる。

１０…車両、２０…エンジン、３０…ＥＣＭ（電子制御装置）、３１…センサ、３２…アクチュエータ、３３…プロセッサ、３４…ＲＡＭ、３５…ＲＯＭ、３６…ＥＥＰＲＯＭ（不揮発性メモリ）、３７…入出力インターフェース、３８…外部通信インターフェース、３９…バス、４０…ケーブル、５０…外部記憶装置、２００…ＲＡＭの記憶領域、２１０…ローカルＲＡＭ領域、２１０ａ…空き領域、２２０…ＱＭスタック領域、２３０…ＡＳＩＬスタック領域

Claims (3)

1. マイクロコンピュータを備える車両用の電子制御装置であって、
   スタック領域の使用量を監視し、スタック領域の余剰領域が所定範囲よりも少なくなった場合に、当該スタック領域の情報を外部記憶装置に記憶し、再起動の際に前記外部記憶装置に記憶した情報に基づきスタック領域を移動する、ことを特徴とする電子制御装置。
2. 前記所定範囲は複数段階に設定され、各段階の範囲に応じた領域の移動判断を行う、ことを特徴とする請求項１に記載の電子制御装置。
3. 前記マイクロコンピュータに搭載されたＲＡＭの空き領域に応じて前記スタック領域の配置を変更することを特徴とする請求項１に記載の電子制御装置。