JP7447781B2 - 車載コンピュータ、コンピュータ実行方法及びコンピュータプログラム - Google Patents

Description

本開示は、車載コンピュータ、コンピュータ実行方法及びコンピュータプログラムに関する。

車両には、車載ネットワークに接続された複数の電子制御ユニット（ECU：Electronic Control Unit、以下、ＥＣＵと呼ぶ。）が搭載されている。近年、先進運転支援システム（ADAS: Advanced Driver-Assistance Systems）、自動運転技術、人工知能技術等の導入等、車両の高機能化に伴い、車両に搭載されるＥＣＵは増加傾向にある。また、パワー・トレーン系、ボディ系、シャシー系等の機能別に用意されたＥＣＵ間の密接な連携が必要になってきている。
そこで、機能別に搭載されていた複数のＥＣＵの機能を特定の車載コンピュータに統合及び集約することが考えられている。車載コンピュータは、例えば仮想化技術を用いて各ＥＣＵを仮想装置として生成し、各ＥＣＵの機能を実現するためのプログラムを仮想装置上で実行することにより、各種ＥＣＵの機能を統合する。
車載コンピュータのプロセッサは、複数のＥＣＵを再現する仮想装置、当該仮想装置上のプログラムに係るタスクをスケジューリングし、各仮想装置に係るタスクを切り替えて実行している。

特開２０１４－４９０１３号公報

ところで、複数コアのプロセッサを搭載している車載コンピュータをより安定して動作させたい場合、当該コアで動作していた仮想装置を他のコアへマイグレーションすることが考えられる。
一方、車載コンピュータに搭載されるような組み込みプロセッサにおいては、一のコアから他のコアへ仮想装置のマイグレーションを行う場合、車載コンピュータは、仮想装置のマイグレーションに際して、ＳＣＢ（System Control Block）、ＭＭＵ（Memory Protection Unit）、その他ペリフェラル等の複数の物理デバイスの状態、つまり物理デバイスのレジスタ値も変更する必要がある。

しかしながら、従来技術では、複数コアのプロセッサを搭載している車載コンピュータにおいて、物理デバイスのレジスタ値を設定変更する処理負荷を考慮して、仮想装置のマイグレーションを行う技術は開示されていない。

本開示の目的は、マルチコアプロセッサの一のコアが正常に動作していない場合に、当該一のコアで動作していた仮想装置を他の複数のコアのいずれかにマイグレーションする際、物理デバイスのレジスタ値を設定変更する処理負荷を考慮した仮想装置のマイグレーションを行うことができる車載コンピュータ、コンピュータ実行方法及びコンピュータプログラムを提供することにある。

本開示の目的は、複数コアのプロセッサを搭載している車載コンピュータをより安定して動作させるため、マルチコアプロセッサの一のコアで動作していた仮想装置を他の複数のコアのいずれかにマイグレーションする際、物理デバイスのレジスタ値を設定変更する処理負荷を考慮した仮想装置のマイグレーションを行うことができる車載コンピュータ、コンピュータ実行方法及びコンピュータプログラムを提供することにある。

本開示の一態様に係る車載コンピュータは、３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータであって、前記プロセッサは、前記複数のコアが動作しているか否かを判定し、一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする。

本開示の一態様に係るコンピュータ実行方法は、３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータは、前記複数のコアが動作しているか否かを判定し、一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする。

本開示の一態様に係るコンピュータプログラムは、３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータに、前記複数のコアが動作しているか否かを判定し、一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする処理を実行させる。

上記によれば、複数コアのプロセッサを搭載している車載コンピュータをより安定して動作させるため、マルチコアプロセッサの一のコアで動作していた仮想装置を他の複数のコアのいずれかにマイグレーションする際、物理デバイスのレジスタ値を設定変更する処理負荷を考慮した仮想装置のマイグレーションを行うことができる車載コンピュータ、コンピュータ実行方法及びコンピュータプログラムを提供することができる。

なお、本願は、このような特徴的なプロセッサを備える車載コンピュータとして実現することができるだけでなく、上記の通り、かかる特徴的な処理をステップとするコンピュータ実行方法として実現したり、かかるステップをコンピュータに実行させるためのコンピュータプログラムとして実現したりすることができる。また、車載コンピュータの一部又は全部を実現する半導体集積回路として実現したり、車載コンピュータを含むその他のシステムとして実現したりすることができる。

車載通信システムのネットワーク構成を示すブロック図である。 車載通信システムの構成例を示すブロック図である。 プロセッサの構成例を示すブロック図である。 車載コンピュータによって生成される仮想装置の概念図である。 デバイス構成テーブルの一例を示す概念図である。 第２物理デバイスの設定値の一例を示す概念図である。 実施形態１のコンテキストスイッチ及びマイグレーション処理に係る機能ブロック図である。 第１～第３コアの物理リソースを時分割して複数の仮想装置に割り当てた状態を示す説明図である。 実施形態１に係るマイグレーション処理手順を示すフローチャートである。 異常コアから正常コアへの仮想装置のマイグレーション方法を示す説明図である。 仮想装置に係る処理の実行スケジュールの変更を示す概念図である。 実施形態２に係るマイグレーション処理手順を示すフローチャートである。 実施形態２に係るマイグレーション処理手順を示すフローチャートである。

［本開示の実施形態の説明］
最初に本開示の実施態様を列記して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載コンピュータは、３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータであって、前記プロセッサは、前記複数のコアが動作しているか否かを判定し、一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする。

本態様にあっては、車載コンピュータをより安定して動作させるため、プロセッサの一のコアが正常に動作していない場合、当該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションする。この際、プロセッサは、仮想装置を他の複数のコアへマイグレーションするときの物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、仮想装置のマイグレーション先を特定し、特定されたマイグレーション先のコアへ一のコアで動作していた仮想装置をマイグレーションする。
従って、物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間を考慮した仮想装置のマイグレーションが可能である。

（２）本開示の一態様に係る車載コンピュータは、前記プロセッサは、前記一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間が最小の前記コアをマイグレーション先として特定する構成が好ましい。

本態様にあっては、プロセッサは、物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間が最小となる仮想装置のマイグレーション先を特定し、一のコアで動作していた仮想装置を他のコアへマイグレーションすることができる。

（３）本開示の一態様に係る車載コンピュータは、前記複数の仮想装置それぞれが使用する前記物理デバイスに設定するレジスタ値を含むデバイス構成テーブルを備え、前記プロセッサは、前記デバイス構成テーブルを参照して、前記一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量が最小の前記コアをマイグレーション先として特定する構成が好ましい。

本態様にあっては、プロセッサは、デバイス構成テーブルを参照することにより、物理デバイスのレジスタ値の変更量が最小となる仮想装置のマイグレーション先を特定し、一のコアで動作していた仮想装置を他のコアへマイグレーションすることができる。

（４）本開示の一態様に係る車載コンピュータは、前記複数の仮想装置は処理を実行する優先度を有しており、前記プロセッサは、前記複数の他のコアで動作する前記仮想装置のうち、前記一のコアで動作していた前記仮想装置よりも優先度が高く、最後に実行される前記仮想装置が使用する前記物理デバイスのレジスタ値からの変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定する構成が好ましい。

本態様にあっては、一のコアで動作していた復旧対象の仮想装置の優先度以上の優先度を有する仮想装置の実行を確保した上で、一のコアで動作していた仮想装置を他のコアへマイグレーションすることができる。

（５）本開示の一態様に係る車載コンピュータは、前記プロセッサは、前記複数の仮想装置のうち、一部の前記仮想装置を所定周期で定期的に動作させ、他の前記仮想装置を非定期的に動作させており、前記複数の他のコアで動作する前記仮想装置のうち、所定周期で定期的に動作する前記仮想装置が使用する前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定する構成が好ましい。

本態様あっては、所定周期で定期的に動作すべき仮想装置の実行を確保した上で、一のコアで動作していた仮想装置を他のコアへマイグレーションすることができる。

（６）本開示の一態様に係る車載コンピュータは、前記複数の仮想装置は処理を実行する優先度を有しており、前記プロセッサは、前記一のコアで動作していた前記仮想装置が複数である場合、前記一のコアで動作していた複数の前記仮想装置のうち、優先度が高い前記仮想装置を優先的に前記複数の他のコアへマイグレーションする構成が好ましい。

本態様にあっては、異常があった一のコアで動作していた仮想装置が複数である場合、当該一のコアで動作していた複数の前記仮想装置のうち、優先度が高い仮想装置を優先的に他のコアへマイグレーションすることができる。

（７）本開示の一態様に係る車載コンピュータは、前記一のコアで動作していた前記仮想装置が複数である場合、他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間の総和に基づいて、前記仮想装置のマイグレーション先を特定する構成が好ましい。

本態様にあっては、異常があった一のコアで動作していた仮想装置が複数である場合、当該一のコアで動作していた複数の仮想装置を他の複数のコアへマイグレーションするときの物理デバイスのレジスタ値の変更量又は物理デバイスのレジスタ値の変更に要する処理時間の総和が最小となるように、仮想装置のマイグレーション先を特定し、特定されたマイグレーション先のコアへ一のコアで動作していた複数の仮想装置をマイグレーションする。

（８）本開示の一態様に係るコンピュータ実行方法は、３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータは、前記複数のコアが動作しているか否かを判定し、一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする。

本態様によれば、態様（１）同様、物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間を考慮した仮想装置のマイグレーションが可能である。

（９）本開示の一態様に係るコンピュータプログラムは、３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータに、前記複数のコアが動作しているか否かを判定し、一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする処理を実行させる。

本態様によれば、態様（１）同様、物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間を考慮した仮想装置のマイグレーションが可能である。

［本開示の実施形態の詳細］
本開示の実施形態に係る車載システムを構成する車載コンピュータ、コンピュータ実行方法及びコンピュータプログラム、以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

以下、本開示をその実施形態を示す図面に基づいて具体的に説明する。図１は車載通信システムのネットワーク構成を示すブロック図、図２は車載通信システムの構成例を示すブロック図である。

本実施形態１に係る車載通信システムは、車載コンピュータ１と、複数の個別ＥＣＵ２と、当該個別ＥＣＵ２に接続された機器３と、車外通信装置４と、表示装置５とを備える。複数の個別ＥＣＵ２はそれぞれ車載通信線１２１にて車載コンピュータ１に接続されている。

車載コンピュータ１は、マルチコアのプロセッサ１０、記憶部１１、通信部１２、及び入出力Ｉ／Ｆ１３を備える。車載コンピュータ１は、統合ＥＣＵとも称される。

記憶部１１は、フラッシュメモリ又はＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性のメモリ素子である。記憶部１１は、仮想化オペレーティングシステム（仮想化ＯＳ）１１ａ、ゲストＯＳ１１ｂ、制御プログラム１１ｃ、本実施形態１に係るコンピュータプログラム（コンピュータＰＧ）１１ｄ及びデバイス構成テーブル１１ｅ、その他プロセッサ１０の動作に必要な各種データを記憶する。

仮想化オペレーティングシステム１１ａは、例えばＨｙｐｅｒｖｉｓｏｒである。仮想化オペレーティングシステム１１ａは、当該仮想化オペレーティングシステム１１ａ上に、仮想装置ＶＭ（図４参照）として動作する複数の仮想環境を構築する機能を有する。仮想環境、即ち仮想装置ＶＭは、プロセッサ１０、記憶部１１、通信部１２等を含む物理リソースを時分割して割り当ててなる仮想プロセッサ、仮想記憶部、仮想通信部等を含み、仮想的なＥＣＵのハードウェアとして動作する。
複数の仮想装置ＶＭは、当該装置に係る処理の実行に関する優先度を有する。記憶部１１は各仮想装置ＶＭの優先度を記憶している。安全性に関する処理、イベントに係る処理等、応答性が要求される処理を担う仮想装置ＶＭは高い優先度を有する。優先度が高い仮想装置ＶＭは、所定周期で定期的に動作する。言い換えると、優先度が高い仮想装置ＶＭは、リアルタイムで動作する。
ダイアグに関する機能等、応答性が要求されない処理を担う仮想装置ＶＭは低い優先度を有する。優先度が低い仮想装置ＶＭは、非定期的に動作する。言い換えると、優先度が低い仮想装置ＶＭは、非リアルタイムで動作する。

ゲストＯＳ１１ｂは、仮想化オペレーティングシステム１１ａによって生成された仮想装置ＶＭを動作させるためのＯＳである。ゲストＯＳ１１ｂは、仮想的ハードウェアを有する仮想装置ＶＭにインストールされ、仮想装置ＶＭの基本ＯＳとして機能する。ゲストＯＳ１１ｂは、例えば、ＡＵＴＯＳＡＲ ＯＳ、Ｌｉｎｕｘ（登録商標）、Ａｎｄｒｏｉｄ（登録商標）、ＱＮＸ（登録商標）、Ｕｂｕｎｔｕ（登録商標）等である。

制御プログラム１１ｃは、各仮想装置ＶＭのゲストＯＳ１１ｂ上で動作するプログラムであり、車載コンピュータ１に統合されたＥＣＵ（不図示）の機能を再現するためのものである。

仮想装置ＶＭはこれらの仮想ハードウェア上でゲストＯＳ１１ｂ及び制御プログラム１１ｃを動作させることによって、実物の物理的なＥＣＵの機能を再現する。つまり、仮想装置ＶＭは、車載通信線１２１に接続されたＥＣＵのように動作する。

コンピュータプログラム１１ｄは、プロセッサ１０の一部のコアが正常に動作していない場合に、当該コアで動作していた仮想装置ＶＭを、正常に動作するコアへ、効率的にマイグレーションするためのプログラムである。以下、車載コンピュータをより安定的に動作させる一例として、コアに異常が生じた場合を例にして、コンピュータプログラム１１ｄの処理等を説明する。なお、コンピュータプログラム１１ｄは、仮想化ＯＳ１１ａに組み込んでもよい。デバイス構成テーブル１１ｅの詳細は後述する。

なお、上記各種プログラムは、車載コンピュータ１の製造段階において記憶部１１に書き込まれる態様でもよいし、外部サーバ装置（不図示）から配信された上記各種プログラムを車載コンピュータ１が取得して記憶部１１に書き込む態様であってもよい。また、メモリカード又は光ディスク等のコンピュータ読み取り可能な記録媒体に記録された上記各種プログラムを車載コンピュータ１が読み出して記憶部１１に書き込む態様であってもよい。
上記各種プログラムの提供方法は、上記の通り、ネットワークを介した配信の態様で提供されてもよいし、記録媒体に記録された態様で提供されてもよい。

プロセッサ１０は、記憶部１１に記憶された仮想化オペレーティングシステム１１ａ、ゲストＯＳ１１ｂ、制御プログラム１１ｃ、コンピュータプログラム１１ｄ、デバイス構成テーブル１１ｅ等を読み出して実行することにより、種々の演算処理を行い、本実施形態１に係るコンピュータ実行方法を実施する。

通信部１２は、例えば、１００ＢＡＳＥ－Ｔ１又は１０００ＢＡＳＥ－Ｔ１等の通信プロトコルに準拠して通信を行うイーサネット（登録商標）ＰＨＹ部である。なお、イーサネット（登録商標）は一例であり、通信部１２は、ＣＡＮ（Controller Area Network）、ＣＡＮ－ＦＤ、ＦｌｅｘＲａｙ、ＣＸＰＩ（Clock Extension Peripheral Interface）、ＬＩＮ（Local Interconnect Network）等の通信プロトコルで通信を行う通信回路であってもよい。
通信部１２には、上記通信プロトコルに準拠した車載通信線１２１を介して複数の個別ＥＣＵ２が接続されている。個別ＥＣＵ２は、例えば図１に示すように、車両Ｃの右前、左前、右後、左後等、特定のエリアに設けられた機器３の動作を制御する電子制御ユニットである。機器３は、車外を撮像する車載カメラ、ＬＩＤＡＲ（Light Detection And Ranging）、車内カメラ等の各種センサである。また機器３は、ドアの施解錠装置、ドアミラー、シート等を動作させるアクチュエータである。機器３は、エンターテイメント系の画像、音声を出力するオーディオ装置であっても良い。機器３は、電子制御ユニットであっても良い。
個別ＥＣＵ２による機器３の制御及び各種演算処理は車載コンピュータ１側で実行されるように構成することができる。つまり、車載コンピュータ１は、機器３の動作を制御するＥＣＵを、仮想装置ＶＭとして再現させることができる。

入出力Ｉ／Ｆ１３は、車外通信装置４及び表示装置５等と通信するためのインタフェースである。車外通信装置４及び表示装置５は、シリアルケーブル等のワイヤーハーネスを介して入出力Ｉ／Ｆ１３に接続されている。

車外通信装置４は、無線通信を行うためのアンテナ４０を備え、ＷｉＦｉ等のインターネット通信ネットワーク、３Ｇ、ＬＴＥ、４Ｇ、５Ｇ等のモバイル通信ネットワークを通じて無線通信を行う通信装置である。車外通信装置４は、例えばテレマティクス制御ユニット（ＴＣＵ）である。なお、本実施形態１は車外通信装置４と車載コンピュータ１が別体であるものとして説明するが、車載コンピュータ１が車外通信装置４の構成ないし機能を有するように構成しても良い。

表示装置５は、例えばカーナビゲーションのディスプレイ等のＨＭＩ（Human Machine Interface）装置である。表示装置５は、車載コンピュータ１のプロセッサ１０から入出力Ｉ／Ｆ１３を介して出力されたデータ又は情報を表示する。

図３は、プロセッサ１０の構成例を示すブロック図である。プロセッサ１０は、演算装置であるＣＰＵ（Central Processing Unit）１１１、ＲＡＭ（Random Access Memory）１１２、第１物理デバイス１１３ａ、第２物理デバイス１１３ｂ、第３物理デバイス１１３ｃ、及び計時部１１５を備える。

ＣＰＵ１１１は、例えば第１コア１１０ａ、第２コア１１０ｂ、第３コア１１０ｃを備える。第１～第３コア１１０ａ，１１０ｂ，１１０ｃのうち、動作異常のあるコアを適宜、異常コアと呼ぶ。また、第１～第３コア１１０ａ，１１０ｂ，１１０ｃのうち、正常に動作しているコアを適宜、正常コアと呼ぶ。なお、ＣＰＵ１１１が備えるコアの数は特に限定されるものでは無い。
第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃは、例えば、ＳＣＢ（System Control Block）、ＭＭＵ（Memory Protection Unit）、その他ペリフェラル等である。第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃは、少なくとも各デバイスの状態を制御するためのレジスタ１１４ａ，１１４ｂ，１１４ｃを有する。
作図の便宜上、図４では一つのコア、例えば第１コア１１０ａが使用する一組の第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃを図示しているが、プロセッサ１０は、更に第２コア１１０ｂが使用する他の一組の第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃ、第３コア１１０ｃが使用する他の一組の第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃを備える。つまり、プロセッサ１０は、複数のコアそれぞれが使用する複数の物理デバイスを備える。
また、プロセッサ１０が備える物理デバイスの数は特に限定されるものでは無い。

ＲＡＭ１１２は揮発性のメモリ素子の一例である。仮想装置ＶＭを生成したプロセッサ１０のＲＡＭ１１２は、ＴＣＢ（Task Control Block）及びデバイス構成テーブル１１ｅを記憶する。

ＴＣＢは、仮想装置ＶＭに係るコンテキスト情報を含む。コンテキスト情報は、仮想装置ＶＭが動作し、制御プログラム１１ｃを実行しているときのＣＰＵ１１１の状態、即ちＣＰＵ１１１のレジスタの値（以下、適宜ＣＰＵ１１１のレジスタ値と呼ぶ。）を含む。例えば、ＲＡＭ１１２は、コンテキストスイッチが行われる前後の２つの仮想装置ＶＭのコンテキスト情報を記憶する。つまり、ＲＡＭ１１２は、コンテキストスイッチの際にＣＰＵ１１１のレジスタから退避されたコンテキスト情報と、ＣＰＵ１１１のレジスタに復元するコンテキスト情報とを記憶する。より詳細には、ＲＡＭ１１２は、第１～第３コア１１０ａ，１１０ｂ，１１０ｃそれぞれのコンテキスト情報を記憶する。なお、３つの仮想装置ＶＭを動作させる際、ＲＡＭ１１２は、各仮想装置ＶＭを制御していたときのＣＰＵ１１１のコンテキスト情報を記憶する。

デバイス構成テーブル１１ｅについて説明する。各仮想装置ＶＭが動作するときの第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃに設定される値（以下、適宜第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値と呼ぶ。）は固定的であってもよいし、動的に変更されるものであってもよい。図３のＲＡＭ１１２は、記憶部１１が記憶するデバイス構成テーブル１１ｅを読み出して記憶した状態を示している。

図４は、車載コンピュータ１によって生成される仮想装置ＶＭの概念図、図５はデバイス構成テーブル１１ｅの一例を示す概念図である。仮想化オペレーティングシステム１１ａは、例えば図４に示すように、３つの仮想装置ＶＭを生成する。仮想装置ＶＭは、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃの全部又は一部を使用する。第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃに設定される値は、仮想装置ＶＭによって異なる。第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃを示すブロックの下側に示す３つのブロックは、下側から順に第１物理デバイス１１３ａのレジスタ１１４ａ、第２物理デバイス１１３ｂのレジスタ１１４ｂ、第３物理デバイス１１３ｃのレジスタ１１４ｃに設定される値を示している。
図４中、「ＶＤ：Ａ＿０」は、第１物理デバイス１１３ａのレジスタ１１４ａに設定される値「Ａ＿０」を示している。「ＶＤ：Ｂ＿０」及び「ＶＤ：Ｂ＿１」は、第２物理デバイス１１３ｂのレジスタ１１４ｂに設定される値「Ｂ＿０」及び「Ｂ＿１」を示している。「ＶＤ：Ｃ＿０」は、第３物理デバイス１１３ｃのレジスタ１１４ｃに設定される値「Ｃ＿０」を示している。破線で示された空白のブロックは、第３物理デバイス１１３ｃが使用されないことを示している。
なお、図４には３つの仮想装置ＶＭを図示しているが、仮想化オペレーティングシステム１１ａで動作する仮想装置ＶＭの数は３つに限定されるものではない。

図５に示すデバイス構成テーブル１１ｅは、「仮想装置」列、「第１物理デバイス」列、「第２物理デバイス」列、「第３物理デバイス」列を含むテーブルである。「仮想装置」列は、複数の仮想装置ＶＭそれぞれを識別するための識別データＶＭ［０］、ＶＭ［１］、ＶＭ［２］…を格納している。以下、識別データＶＭ［０］が示す仮想装置ＶＭを仮想装置ＶＭ０、識別データＶＭ［１］が示す仮想装置ＶＭを仮想装置ＶＭ１、識別データＶＭ［２］が示す仮想装置ＶＭを仮想装置ＶＭ２と表記する。
「第１物理デバイス」列は、該当する仮想装置ＶＭが第１物理デバイス１１３ａを使用するか否か、使用する場合、レジスタ１１４ａに設定される値を格納する。図５に示す例では、全ての仮想装置ＶＭが第１物理デバイス１１３ａを使用し、レジスタ１１４ａに設定される値は同じ「Ａ＿０」である。
「第２物理デバイス」列は、該当する仮想装置ＶＭが第２物理デバイス１１３ｂを使用するか否か、使用する場合、レジスタ１１４ｂに設定される値を格納する。図５に示す例では、全ての仮想装置ＶＭが第２物理デバイス１１３ｂを使用しており、仮想装置ＶＭ０，ＶＭ１のレジスタ１１４ａ，１１４ｂに設定される値は「Ｂ＿０」、仮想装置ＶＭ２のレジスタ１１４ｃに設定される値は「Ｂ＿１」である。
「第３物理デバイス」列は、該当する仮想装置ＶＭが第３物理デバイス１１３ｃを使用するか否か、使用する場合、レジスタ１１４ｃに設定される値を格納する。図５に示す例では、一つの仮想装置ＶＭ２が第３物理デバイス１１３ｃを使用しており、仮想装置ＶＭ２のレジスタ１１４ｃに設定される値は「Ｃ＿０」である。「該当無し」は、第３物理デバイス１１３ｃが使用されないことを示している。

図６は、第２物理デバイス１１３ｂの設定値の一例を示す概念図である。図６Ａは、第２物理デバイス１１３ｂのレジスタ１１４ｂに設定される値「Ｂ＿０」を示し、図６Ｂは、第２物理デバイス１１３ｂのレジスタ１１４ｂに設定される値「Ｂ＿１」を示している。「識別子（アドレス）」は、レジスタ１１４ｂのアドレスを示し、「設定値」は、各アドレスで指定されたレジスタ１１４ｂに設定される数値である。

図７は実施形態１のコンテキストスイッチ及びマイグレーション処理に係る機能ブロック図である。車載コンピュータ１は、機能部としてのデバイス設定記憶部１１１ａ、スケジューラ１１１ｂ、デバイス設定管理部１１１ｃ、実行判定部１１１ｄ、コア状態検知部１１１ｅ及び復旧先決定部１１１ｆを備える。

デバイス設定記憶部１１１ａは、ＴＣＢ又はコンテキスト情報を記憶する機能部である。デバイス設定記憶部１１１ａは、仮想装置ＶＭに係るＣＰＵ１１１のレジスタ値、詳細には複数の仮想装置ＶＭに係る第１及び第２コア１１０ａ，１１０ｂのレジスタ値をコンテキスト情報として記憶する。より具体的には、デバイス設定記憶部１１１ａは、ＣＰＵ１１１で動作させる仮想装置ＶＭを切り替える際、動作中の仮想装置ＶＭを制御していた第１コア１１０ａのレジスタの値を退避し、コンテキスト情報として記憶する。同様に、動作中の仮想装置ＶＭを制御していた第２コア１１０ｂ及び第３コア１１０ｃのレジスタの値を退避し、コンテキスト情報として記憶する。
デバイス設定記憶部１１１ａは、スケジューラ１１１ｂからの問合せに対して、デバイス設定記憶部１１１ａが記憶するコンテキスト情報、つまり、コンテキストスイッチによって次に動作する仮想装置ＶＭに係るＣＰＵ１１１のレジスタの値を返す。デバイス設定記憶部１１１ａを構成する主なハードウェアはＲＡＭ１１２である。

スケジューラ１１１ｂは、仮想装置ＶＭに対するＣＰＵ１１１のハードウェア資源の割当及び切り替えを管理する機能部である。言い換えると、スケジューラ１１１ｂは、複数の仮想装置ＶＭを第１～第３コア１１０ａ，１１０ｂ，１１０ｃに割り当てコンテキストスイッチして実行する順序を管理する機能部である。

第１～第３コア１１０ａ，１１０ｂ，１１０ｃは割り当てられた各仮想装置ＶＭに係る処理を実行する。仮想装置ＶＭに係る処理には、仮想装置ＶＭを構成する仮想プロセッサ、仮想記憶部、仮想通信部等をエミュレートする処理、ゲストＯＳ１１ｂ、制御プログラム１１ｃを動作させる処理等が含まれる。
スケジューラ１１１ｂは、応答性が要求される仮想装置ＶＭに係る処理が、所定周期で定期的に実行されるように、仮想装置ＶＭを切り替える。応答性が要求される仮想装置ＶＭは、例えば自動車用機能安全規格格に基づくＡＳＩＬ(Automotive Safety Integrity Level)に該当する機能又はデータを扱う装置である。

一方、スケジューラ１１１ｂは、応答性が要求されない仮想装置ＶＭに係る処理については、処理能力に余裕がある第１～第３コア１１０ａ，１１０ｂ，１１０ｃで非定期的に実行されるように、仮想装置ＶＭを切り替える。つまり、第１～第３コア１１０ａ，１１０ｂ，１１０ｃは応答性が要求される仮想装置ＶＭを動作させた後、他の仮想装置ＶＭを動作させる余裕がある場合、応答性が要求されない仮想装置ＶＭを動作させる。応答性が要求されない仮想装置ＶＭは、例えば自動車用機能安全規格格に基づくＱＭ(Quality Management)レベルに該当する機能又はデータを扱う装置である。

図８は、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの物理リソースを時分割して複数の仮想装置ＶＭに割り当てた状態を示す説明図である。横向き矢印は時間の流れを示している。ＶＭｘ、ＶＭｙ、ＶＭｚ、ＶＭ０、ＶＭ１、ＶＭ２は、第１～第３コア１１０ａ，１１０ｂ，１１０ｃに割り当てられた応答性が要求される仮想装置ＶＭを示しており、各装置に係る処理が所定周期毎に定期的に実行させることを示している。第１コア１１０ａは、所定周期毎にＶＭｘ及びＶＭ０で示された２つの仮想装置ＶＭに係る処理を実行している。第２コア１１０ｂは、所定周期毎にＶＭｙ及びＶＭ１で示された２つの仮想装置ＶＭに係る処理を実行している。第３コア１１０ｃは、所定周期毎にＶＭｚ及びＶＭ２で示された２つの仮想装置ＶＭに係る処理を実行している。
ハッチングが付された部分は、仮想装置ＶＭのコンテキストスイッチ、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の設定変更に係る処理を示している。

ＶＭａ、ＶＭｂ、ＶＭｃは、処理を実行する余力がある第１～第３コア１１０ａ，１１０ｂ，１１０ｃに対して非定期的に割り当てられる応答性が要求されない仮想装置ＶＭである。図８においては、第１～第３コア１１０ａ，１１０ｂ，１１０ｃは、ＶＭｘ、ＶＭｙ、ＶＭｚ、ＶＭ０、ＶＭ１、ＶＭ２で示す仮想装置ＶＭに係る処理を終えた後、他の処理を実行する余力があるため、ＶＭａ、ＶＭｂ、ＶＭｃで示す仮想装置ＶＭに係る処理を実行している。

以下、コンテキストスイッチ前の仮想装置ＶＭ、つまり動作中の仮想装置ＶＭを示す情報を第１仮想装置情報と呼び、コンテキストスイッチ後の仮想装置ＶＭ、つまり次に動作させる仮想装置ＶＭを示す情報を第２仮想装置情報と呼ぶ。
スケジューラ１１１ｂは、第１～第３コア１１０ａ，１１０ｂ，１１０ｃに係る第１仮想装置情報及び第２仮想装置情報を実行判定部１１１ｄに与える。また、スケジューラ１１１ｂは、第１～第３コア１１０ａ，１１０ｂ，１１０ｃに係る第２仮想装置情報を用いて、当該第２仮想装置情報が示す仮想装置ＶＭのコンテキスト情報を問い合わせ、デバイス設定記憶部１１１ａから出力されるコンテキスト情報を取得する。スケジューラ１１１ｂは、取得したコンテキスト情報をデバイス設定管理部１１１ｃに与える。
なお、スケジューラ１１１ｂを構成する主なハードウェアはＣＰＵ１１１及び計時部１１５である。

実行判定部１１１ｄは、スケジューラ１１１ｂから与えられた第１仮想装置情報及び第２仮想装置情報を取得し、取得した第１及び第２仮想装置情報に基づいてデバイス構成テーブル１１ｅを参照し、第１～第３コア１１０ａ，１１０ｂ，１１０ｃに係るコンテキストスイッチ前及びコンテキストスイッチ後の仮想装置ＶＭに対応付けられた第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの設定値を読み出す。そして、実行判定部１１１ｄは、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの仮想装置ＶＭを切り替える際、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの設定値を変更する必要があるか否かを判定し、判定結果に基づくデバイス情報をデバイス設定管部に与える。
第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの設定値を変更する必要が無いと判定された場合、デバイス情報は、設定変更不要であることを示す情報を含む。第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの設定値を変更する必要があると判定された場合、デバイス情報は、設定値の変更を要する第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの識別子及び設定値を含む。なお、実行判定部１１１ｄを構成する主なハードウェアはＣＰＵ１１１である。

デバイス設定管理部１１１ｃは、スケジューラ１１１ｂから与えられたコンテキスト情報を取得し、ＣＰＵ１１１、即ち第１～第３コア１１０ａ，１１０ｂ，１１０ｃのレジスタ値を退避させ、取得したコンテキスト情報を復元する。つまり、デバイス設定管理部１１１ｃは、コンテキストスイッチ前の第１～第３コア１１０ａ，１１０ｂ，１１０ｃのレジスタ値を動作中の仮想装置ＶＭに係る第１～第３コア１１０ａ，１１０ｂ，１１０ｃのコンテキスト情報として、デバイス設定記憶部１１１ａに記憶させ、次いで、スケジューラ１１１ｂから取得したコンテキスト情報、つまりコンテキストスイッチ後の仮想装置ＶＭに係る第１～第３コア１１０ａ，１１０ｂ，１１０ｃのレジスタ値を第１～第３コア１１０ａ，１１０ｂ，１１０ｃのレジスタに設定する。
デバイス設定管理部１１１ｃは、実行判定部１１１ｄから与えられたデバイス情報を取得し、取得したデバイス情報が設定変更不要であることを示している場合、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの設定変更を行わずに、コンテキストスイッチに係る処理を終了する。ＣＰＵ１１１は、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃを書き換えることなく、直ちにコンテキストスイッチ後の仮想装置ＶＭに係る処理の実行を開始する。
一方、デバイス設定管理部１１１ｃは、取得したデバイス情報が、設定変更が必要な特定の第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの識別子及び設定値を示している場合、当該識別子及び設定値を用いて、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの設定値を変更する。ＣＰＵ１１１は、当該ＣＰＵ１１１のレジスタと、設定変更を要する特定の第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃを書き換え、コンテキストスイッチ後の仮想装置ＶＭに係る処理の実行を開始する。
デバイス設定管理部１１１ｃは第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更に係る処理を第１～第３コア１１０ａ，１１０ｂ，１１０ｃ毎に実行する。
なお、デバイス設定管理部１１１ｃを構成する主なハードウェアはＣＰＵ１１１である。

コア状態検知部１１１ｅは、プロセッサ１０の第１～第３コア１１０ａ，１１０ｂ，１１０ｃの状態を監視し、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの異常等を検知する機能部である。例えば、仮想化オペレーティングシステム１１ａは、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの動作状態を監視し、異常を検知することができる。ＣＰＵ１１１は、仮想化オペレーティングシステム１１ａの機能を利用して、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの異常を検知すればよい。コア状態検知部１１１ｅは、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの異常を検知した場合、異常コアを示す異常情報を復旧先決定部１１１ｆに与える。
なお、コア状態検知部１１１ｅを構成する主なハードウェアはＣＰＵ１１１である。

復旧先決定部１１１ｆは、コア状態検知部１１１ｅから出力された異常情報を取得した場合、異常コアで動作していた仮想装置ＶＭのマイグレーション先を決定する機能部である。復旧先決定部１１１ｆは、仮想装置ＶＭのマイグレーションに伴う第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値変更に係る処理負荷を考慮し、第１～第３コア１１０ａ，１１０ｂ，１１０ｃのうち当該処理負荷が最小となるコアをマイグレーション先として決定する。つまり、復旧先決定部１１１ｆは、仮想装置ＶＭのマイグレーションに伴う第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更量が最小となるコア、又はレジスタ値の変更に要する処理時間が最小となるコアをマイグレーション先として決定する。復旧先決定部１１１ｆは、異常コア及びマイグレーション先を示す情報をスケジューラ１１１ｂへ出力する。スケジューラ１１１ｂは、復旧先決定部１１１ｆから出力された情報を取得し、異常コアで実行していた仮想装置ＶＭが、復旧先決定部１１１ｆによって決定された第１～第３コア１１０ａ，１１０ｂ，１１０ｃで動作するように、仮想装置ＶＭに係るタスクのスケジュールを変更する。

以上の通り、デバイス設定記憶部１１１ａ、スケジューラ１１１ｂ、デバイス設定管理部１１１ｃ、実行判定部１１１ｄ、コア状態検知部１１１ｅ及び復旧先決定部１１１ｆによれば、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの異常が検知された場合、異常コアで動作していた仮想装置ＶＭを正常に動作している他の第１～第３コア１１０ａ，１１０ｂ，１１０ｃへマイグレーションする際、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更量又は変更に要する処理時間が最小になるように、マイグレーション先を決定することができる。そして、効率的に仮想装置ＶＭを復旧させることができる。

図９は実施形態１のマイグレーション処理手順を示すフローチャートである。プロセッサ１０は、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの状態を監視し、第１～第３コア１１０ａ，１１０ｂ，１１０ｃが異常であるか否かを判定する（ステップＳ１１１）。第１～第３コア１１０ａ，１１０ｂ，１１０ｃのいずれもが異常でないと判定した場合（ステップＳ１１１：ＮＯ）、つまり第１～第３コア１１０ａ，１１０ｂ，１１０ｃの全てが正常に動作している場合、プロセッサ１０は処理を終える。

第１～第３コア１１０ａ，１１０ｂ，１１０ｃのいずれかが異常であると判定した場合（ステップＳ１１１：ＹＥＳ）、プロセッサ１０は、異常コアで動作していた仮想装置ＶＭに係る処理を中断させる（ステップＳ１１２）。以下、異常コアで動作していた仮想装置ＶＭを復旧対象仮想装置（図中、復旧対象ＶＭ）と呼び、他の正常コアで動作中の仮想装置ＶＭを動作中仮想装置（図中、動作中ＶＭ）と呼ぶ。復旧対象仮想装置は、応答性が要求される仮想装置ＶＭ、例えば自動車用機能安全規格格に基づくＡＳＩＬに該当する機能又はデータを扱う装置である。

次いで、プロセッサ１０は、記憶部１１から復旧対象仮想装置及び動作中仮想装置の優先度を取得する（ステップＳ１１３）。そしてプロセッサ１０はデバイス構成テーブル１１ｅを参照し、各正常コアにおいて、復旧対象仮想装置の優先度以上の優先度を有する仮想装置ＶＭのうち、最後に実行される仮想装置ＶＭのデバイス構成情報を取得する（ステップＳ１１４）。デバイス構成情報は、最後に実行される仮想装置ＶＭが使用する物理デバイスを示す情報と、使用される物理デバイスに設定される設定値を含む。

次いで、プロセッサ１０は、ステップＳ１１４で取得したデバイス構成情報と、復旧対象仮想装置のデバイス構成情報とに基づいて、復旧対象仮想装置の復旧処理時間を正常コア毎に算出する（ステップＳ１１５）。プロセッサ１０は、例えば、設定変更が必要な第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの数、つまり変更量を、復旧処理時間として算出すればよい。また、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値を設定変更するために要する処理時間を記憶部１１に記憶しておき、プロセッサ１０は、設定変更を要する第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃの処理時間を加算することによって、復旧処理時間を算出してもよい。

そして、プロセッサ１０は、復旧処理時間が最短の正常コアをマイグレーション先である復旧先コアとして決定する（ステップＳ１１６）。

次いで、プロセッサ１０は、復旧対象仮想装置を復旧先コアに復旧させることが可能であるか否かを判定する（ステップＳ１１７）。具体的には、プロセッサ１０は、所定周期が終了する前に復旧対象仮想装置に係る処理を実行させることが可能であるか否かを判定する。復旧可能であると判定した場合（ステップＳ１１７：ＹＥＳ）、復旧対象仮想装置をスケジューラ１１１ｂに登録する（ステップＳ１１８）。つまり、プロセッサ１０は、ステップＳ１１６で決定した復旧先コアが復旧対象仮想装置に係る処理を実行するように、仮想装置ＶＭに係る処理の実行スケジュールを変更する。

次いで、プロセッサ１０は、復旧対象仮想装置の実行中に１周期（所定周期）が完了したか否かを判定する（ステップＳ１１９）。復旧対象仮想装置の実行中に１周期（所定周期）が完了しなかったと判定した場合（ステップＳ１１９：ＮＯ）、言い換えると１周期が完了する前に復旧対象仮想装置に係る処理が問題無く完了した場合、プロセッサ１０は、処理を終える。

ステップＳ１１７において復旧不能であると判定した場合（ステップＳ１１７：ＮＯ）、ステップＳ１１９において復旧対象仮想装置の実行中に１周期（所定周期）が完了したと判定した場合（ステップＳ１１９：ＹＥＳ）、プロセッサ１０は、復旧対象仮想装置の復旧を中断し（ステップＳ１２０）、エラー通知を行い（ステップＳ１２１）、処理を終える。

図１０は、異常コアから正常コアへの仮想装置のマイグレーション方法を示す説明図、図１１は、仮想装置ＶＭに係る処理の実行スケジュールの変更を示す概念図である。図１０Ａは、太線で示すタイミングで第１コア１１０ａが異常となった場合、第１コア１１０ａで実行していたＶＭ０で示す復旧対象仮想装置を第３コア１１０ｃに割り当てたときの状態を示している。図１０Ｂは、太線で示すタイミングで第１コア１１０ａが異常となった場合、第１コア１１０ａで実行していたＶＭ０で示す復旧対象仮想装置を第２コア１１０ｂに割り当てたときの状態を示している。

図１０Ａ及び図１０Ｂに示すように、復旧対象仮想装置を第３コア１１０ｃへマイグレーションする場合、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の設定変更に係る処理負荷が大きく、復旧対象仮想装置を第２コア１１０ｂへマイグレーションする場合、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の設定変更に係る処理負荷が小さいことを示している。また、図１０Ａに示すように、復旧対象仮想装置を第３コア１１０ｃへマイグレーションする場合、１周期が完了する前に復旧対象仮想装置に係る処理を終えることができないことを示している。
このような場合、プロセッサ１０は、図１０Ｂ及び図１１に示すように、復旧対象仮想装置を、第２コア１１０ｂへマイグレーションし、仮想装置ＶＭの実行スケジュールを変更する。より具体的には、プロセッサ１０は、第２コア１１０ｂで実行される優先度が高い仮想装置ＶＭｙ，ＶＭ１と、優先度が低い他の仮想装置ＶＭｂとの間に、復旧対象仮想装置ＶＭ０をスケジュール登録する。

以上の通り、実施形態１に係る車載コンピュータ１、コンピュータ実行方法及びコンピュータプログラム１１ｄによれば、プロセッサ１０の第１～第３コア１１０ａ，１１０ｂ，１１０ｃのいずれかが異常状態となり、異常コアで動作していた復旧対象仮想装置を他の正常コアのいずれかにマイグレーションする際、物理デバイスのレジスタ値を設定変更する処理負荷、設定変更処理時間、又はレジスタの変更量が最小となるように効率的に仮想装置ＶＭのマイグレーションを行うことができる。

具体的には、プロセッサ１０は、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更量又は第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更に要する処理時間が最小となる仮想装置ＶＭのマイグレーション先を特定し、異常コアで動作していた仮想装置ＶＭを正常コアへマイグレーションすることができる。

また、プロセッサ１０は、デバイス構成テーブル１１ｅを参照することにより、第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更量が最小となる仮想装置ＶＭのマイグレーション先を特定し、異常コアで動作していた仮想装置ＶＭを正常コアへマイグレーションすることができる。

更に、プロセッサ１０は、異常コアで動作していた復旧対象の仮想装置ＶＭの優先度以上の優先度を有する仮想装置ＶＭの実行を確保した上で、異常コアで動作していた仮想装置ＶＭを正常コアへマイグレーションすることができる。

更にまた、プロセッサ１０は、所定周期で定期的に動作すべき仮想装置ＶＭの実行を確保した上で、異常コアで動作していた仮想装置ＶＭを正常コアへマイグレーションすることができる。

なお、本実施形態１では、Ｈｙｐｅｒｖｉｓｏｒ型の仮想化オペレーティングシステム１１ａを用いて仮想環境を構築する例を説明したが、ホストＯＳ型の仮想化ソフトウェア、即ち基本ＯＳ上で動作する仮想化ソフトウェアを用いて仮想環境を構築しても良い。

（実施形態２）
実施形態２に係る車載コンピュータ１、コンピュータ実行方法及びコンピュータプログラム１１ｄは、復旧対象仮想装置が複数ある場合を考慮したマイグレーション処理手順が実施形態１と異なる。車載コンピュータ１等のその他の構成は、実施形態１に係る車載コンピュータ１等と同様であるため、同様の箇所には同じ符号を付し、詳細な説明を省略する。

図１２及び図１３は、実施形態２に係るマイグレーション処理手順を示すフローチャートである。プロセッサ１０は、実施形態１のステップＳ１１１及びステップＳ１１２と同様、第１～第３コア１１０ａ，１１０ｂ，１１０ｃの状態を監視し、第１～第３コア１１０ａ，１１０ｂ，１１０ｃが異常であるか否かを判定し（ステップＳ２１１）、異常であると判定した場合（ステップＳ２１１：ＹＥＳ）、プロセッサ１０は、異常コアで動作していた仮想装置ＶＭに係る処理を中断させる（ステップＳ２１２）。実施形態２においては、異常コアで動作していた仮想装置ＶＭは複数であり、これらを復旧対象仮想装置群と呼ぶ。

次いで、プロセッサ１０は、記憶部１１から復旧対象仮想装置群及び動作中仮想装置の優先度を取得する（ステップＳ２１３）。そして、プロセッサ１０は、復旧対象仮想装置群のうち、優先度が最も高い復旧対象仮想装置の優先度を選択する（ステップＳ２１４）。優先度が最も高い当該復旧対象仮想装置を復旧最高優先度仮想装置（図中、復旧最高優先度ＶＭ）と呼ぶ。

そしてプロセッサ１０はデバイス構成テーブル１１ｅを参照し、正常コアにおいて、復旧最高優先度仮想装置の優先度以上の優先度を有する仮想装置ＶＭのうち、最後に実行される仮想装置ＶＭのデバイス構成情報を取得する（ステップＳ２１５）。デバイス構成情報は、最後に実行される仮想装置ＶＭが使用する物理デバイスを示す情報と、使用される物理デバイスに設定される設定値を含む。

次いで、プロセッサ１０は、復旧最高優先度仮想装置が複数であるか否かを判定する（ステップＳ２１６）。復旧最高優先度仮想装置が複数であると判定した場合（ステップＳ２１６：ＹＥＳ）、プロセッサ１０は、ステップＳ２１５で取得したデバイス構成情報と、各復旧対象仮想装置のデバイス構成情報とに基づいて、各復旧対象仮想装置の復旧処理時間を正常コア毎に算出する（ステップＳ２１７）。そして、プロセッサ１０は、各復旧対象仮想装置の復旧処理時間の総和が最短となる組みあわせの復旧先コアを決定する（ステップＳ２１８）。
なお、プロセッサ１０は、各復旧対象仮想装置における設定変更が必要な第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの数、つまり変更量を算出し、変更量の総和が最小となる組みあわせの復旧先コアを決定してもよい。

復旧最高優先度仮想装置が複数でないと判定した場合（ステップＳ２１６：ＮＯ）、プロセッサ１０は、ステップＳ２１５で取得したデバイス構成情報と、復旧対象仮想装置のデバイス構成情報とに基づいて、復旧対象仮想装置の復旧処理時間を正常コア毎に算出する（ステップＳ２１９）。そして、プロセッサ１０は、復旧対象仮想装置の復旧処理時間が最短となる復旧先コアを決定する（ステップＳ２２０）。
なお、プロセッサ１０は、復旧対象仮想装置における設定変更が必要な第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ１１４ａ，１１４ｂ，１１４ｃの数、つまり変更量が最小となる復旧先コアを決定してもよい。

ステップＳ２１８又はステップＳ２２０の処理を終えたプロセッサ１０は、復旧対象仮想装置を復旧先コアに復旧させることが可能であるか否かを判定する（ステップＳ２２１）。復旧可能であると判定した場合（ステップＳ２２１：ＹＥＳ）、復旧対象仮想装置をスケジューラ１１１ｂに登録する（ステップＳ２２２）。復旧不能であると判定した場合（ステップＳ２２１：ＮＯ）、プロセッサ１０は、エラー通知を行う（ステップＳ２２３）。

ステップＳ２２２又はステップＳ２２３の処理を終えたプロセッサ１０は、復旧対象仮想装置群を更新する（ステップＳ２２４）。つまり、復旧対象仮想装置群から、ステップＳ２１４で特定された復旧最高優先度仮想装置を除外する。言い換えるとステップＳ２１５～２２３の処理で復旧に係る処理を終えた復旧最高優先度仮想装置以外の残りの復旧対象仮想装置についても復旧に係る処理を実行するため、復旧対象仮想装置群から復旧最高優先度仮想装置を除いたものを、新たな復旧対象仮想装置群として、以下の処理を実行する。

ステップＳ２２４の処理を終えたプロセッサ１０は復旧対象仮想装置があるか否かを判定する（ステップＳ２２５）。復旧対象仮想装置があると判定した場合（ステップＳ２２５：ＹＥＳ）、プロセッサ１０は処理をステップＳ２１４へ戻す。

復旧対象仮想装置が無いと判定した場合（ステップＳ２２５：ＮＯ）、プロセッサ１０は、復旧対象仮想装置の実行中に１周期（所定周期）が完了したか否かを判定する（ステップＳ２２６）。復旧対象仮想装置の実行中に１周期（所定周期）が完了しなかったと判定した場合（ステップＳ２２６：ＮＯ）、言い換えると１周期が完了する前に復旧対象仮想装置に係る処理が問題無く完了した場合、プロセッサ１０は、処理を終える。

復旧対象仮想装置の実行中に１周期（所定周期）が完了したと判定した場合（ステップＳ２２６：ＹＥＳ）、プロセッサ１０は、復旧対象仮想装置の復旧を中断し（ステップＳ２２７）、登録済みの復旧対象仮想装置をスケジューラ１１１ｂから消去し（ステップＳ２２８）、エラー通知を行い（ステップＳ２２９）、処理を終える。

実施形態２に係る車載コンピュータ１、コンピュータ実行方法及びコンピュータプログラム１１ｄによれば、プロセッサ１０の第１～第３コア１１０ａ，１１０ｂ，１１０ｃのいずれかが異常であり、異常コアで動作していた複数の復旧対象仮想装置を他の正常コアのいずれかにマイグレーションする際、物理デバイスのレジスタ値を設定変更する処理負荷、設定変更処理時間、又はレジスタの変更量の総和が最小となるように効率的に仮想装置ＶＭのマイグレーションを行うことができる。

また、プロセッサ１０は、異常があった異常コアで動作していた仮想装置ＶＭが複数である場合、当該異常コアで動作していた複数の仮想装置ＶＭのうち、優先度が高い仮想装置ＶＭを優先的に正常コアへマイグレーションすることができる。

更に、プロセッサ１０は、異常コアで動作していた仮想装置ＶＭが複数である場合、当該異常コアで動作していた複数の仮想装置ＶＭを他の複数の正常コアへマイグレーションするときの第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更量又は第１～第３物理デバイス１１３ａ，１１３ｂ，１１３ｃのレジスタ値の変更に要する処理時間の総和が最小となるように、仮想装置ＶＭのマイグレーション先を特定し、特定されたマイグレーション先の正常コアへ異常コアで動作していた複数の仮想装置ＶＭをマイグレーションすることができる。

１ 車載コンピュータ
２ 個別ＥＣＵ
３ 機器
４ 車外通信装置
５ 表示装置
１０ プロセッサ
１１０ａ 第１コア
１１０ｂ 第２コア
１１０ｃ 第３コア
１１ 記憶部
１１ａ 仮想化オペレーティングシステム
１１ｂ ゲストＯＳ
１１ｃ 制御プログラム
１１ｄ コンピュータプログラム
１１ｅ デバイス構成テーブル
１２ 通信部
１３ 入出力Ｉ／Ｆ
４０ アンテナ
１１１ ＣＰＵ
１１１ａ デバイス設定記憶部
１１１ｂ スケジューラ
１１１ｃ デバイス設定管理部
１１１ｄ 実行判定部
１１１ｅ コア状態検知部
１１１ｆ 復旧先決定部
１１２ ＲＡＭ
１１３ａ 第１物理デバイス
１１３ｂ 第２物理デバイス
１１３ｃ 第３物理デバイス
１１４ａ，１１４ｂ，１１４ｃ レジスタ
１１５ 計時部
１２１ 車載通信線
ＶＭ 仮想装置
Ｃ 車両

Claims (9)

1. ３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータであって、
   前記プロセッサは、
   前記複数のコアが動作しているか否かを判定し、
   一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、
   特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする
   車載コンピュータ。
2. 前記プロセッサは、
   前記一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間が最小の前記コアをマイグレーション先として特定する
   請求項１に記載の車載コンピュータ。
3. 前記複数の仮想装置それぞれが使用する前記物理デバイスに設定するレジスタ値を含むデバイス構成テーブルを備え、
   前記プロセッサは、
   前記デバイス構成テーブルを参照して、前記一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量が最小の前記コアをマイグレーション先として特定する
   請求項２に記載の車載コンピュータ。
4. 前記複数の仮想装置は処理を実行する優先度を有しており、
   前記プロセッサは、
   前記複数の他のコアで動作する前記仮想装置のうち、前記一のコアで動作していた前記仮想装置よりも優先度が高く、最後に実行される前記仮想装置が使用する前記物理デバイスのレジスタ値からの変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定する
   請求項１～請求項３のいずれか１項に記載の車載コンピュータ。
5. 前記プロセッサは、
   前記複数の仮想装置のうち、一部の前記仮想装置を所定周期で定期的に動作させ、他の前記仮想装置を非定期的に動作させており、前記複数の他のコアで動作する前記仮想装置のうち、所定周期で定期的に動作する前記仮想装置が使用する前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定する
   請求項１～請求項４のいずれか１項に記載の車載コンピュータ。
6. 前記複数の仮想装置は処理を実行する優先度を有しており、
   前記プロセッサは、
   前記一のコアで動作していた前記仮想装置が複数である場合、前記一のコアで動作していた複数の前記仮想装置のうち、優先度が高い前記仮想装置を優先的に前記複数の他のコアへマイグレーションする
   請求項１～請求項５のいずれか１項に記載の車載コンピュータ。
7. 前記一のコアで動作していた前記仮想装置が複数である場合、他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間の総和に基づいて、前記仮想装置のマイグレーション先を特定する
   請求項１～請求項６のいずれか１項に記載の車載コンピュータ。
8. ３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータは、
   前記複数のコアが動作しているか否かを判定し、
   一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、
   特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする
   コンピュータ実行方法。
9. ３つ以上の複数のコアを有するプロセッサ及びレジスタを有する物理デバイスを含む物理リソースを備え、該物理リソースを時分割して割り当てることにより、３つ以上の複数の仮想装置を生成する車載コンピュータに、
   前記複数のコアが動作しているか否かを判定し、
   一の前記コアが動作していないと判定した場合、該一のコアで動作していた前記仮想装置を他の複数の前記コアへマイグレーションするときの前記物理デバイスのレジスタ値の変更量又は前記物理デバイスのレジスタ値の変更に要する処理時間に基づいて、前記仮想装置のマイグレーション先を特定し、
   特定されたマイグレーション先の前記コアへ前記一のコアで動作していた前記仮想装置をマイグレーションする
   処理を実行させるためのコンピュータプログラム。

Images