JP7655729B2

JP7655729B2 - 電子制御装置のシミュレーション装置

Info

Publication number: JP7655729B2
Application number: JP2021010304A
Authority: JP
Inventors: 和真福元; 悠史福島
Original assignee: Hitachi Astemo Ltd
Current assignee: Astemo Ltd
Priority date: 2021-01-26
Filing date: 2021-01-26
Publication date: 2025-04-02
Anticipated expiration: 2041-01-26
Also published as: JP2022114138A; WO2022162998A1

Description

本発明は、自動車の電子制御装置(ＥＣＵ : Electronic Control Unit)のシミュレーション装置に関する。

自動車のＥＣＵのソフトウェアを開発し、その機能を検証する場合、そのソフトウェアを汎用計算機上でデバッグすることが行われている。一方、自動運転の進展などによる自動車のＥＣＵのソフトウェアの複雑化、大規模化に伴い、電子制御装置でソフトウェアの検証を行う場合、デバッグに多くの時間を要している。

また、電子制御装置でソフトウェアのデバッグを行う場合、特定の機材を使用する必要があり、且つ、デバッグ手段にも制限があるため、意図する検証が容易に行えず、検証に時間を要している。特に、異常系の試験を行う際には、電子制御装置にエラー注入してその動作の確認をする必要があるが、前述の課題のため開発に時間を要している。

このように、複雑、大規模化する自動運転ソフトウェアの検証を効率的に実施することが課題となっている。特許文献１では、電子制御装置内のソフトウェアのシミュレーション方法に関して提案している。具体的にこの文献は、電子制御装置内の回路素子の検証を行う際、検証を行う回路素子を汎用計算機上で模擬し、シミュレーションを実行する方法を提案している。

複数のセンサから出力される物体情報を統合する処理や、自車両の走行経路を推定する処理などを行う自動運転のソフトウェアを開発する際、汎用計算機でプログラムを作成した後、コンパイルし、実行ファイルを電子制御装置へ転送し、動作検証を行う。この時、電子制御装置内のメモリ情報や出力情報を確認するには、専用のデバッグツールを使用することになる。しかしながら、電子制御装置では、タイミングやメモリアクセス等への制約が多く、効率よくデバッグを進めることができない。また、前述した通り、専用のデバッグツールを使用するため、開発費用にも影響がある。さらには、自動運転のソフトウェアの大規模、複雑化に伴い、電子制御装置でのデバッグは益々難しくなっている。

また、ソフトウェアの異常時の動作の検証を行う際は、例えば異なる複数のＣＰＵ（Central Processing Unit）コアやプロセスの状態を定期的に観察する必要があるなど、デバッグ作業自体が複雑化しており、容易にデバッグを進めることが難しい。特に、エラー注入した異常時の動作の確認には時間を要する。

上記特許文献１のように、電子制御装置の回路素子をシミュレートする方法は提案されているが、シミュレーション対象は回路素子に限定されている。また、このような構成では、ソフトウェアの異常状態を容易に再現することができない。

特開２０２０－８６７０１号公報

本発明は、ソフトウェアが大規模化、複雑化した場合でも、汎用計算機上でソフトウェアの振舞いや異常時の動作の試験を実施することができ、ソフトウェアの開発効率の向上を図ることができる電子制御装置のシミュレーション装置を提供するものである。

本発明に係る車両制御装置のシミュレーション装置は、車両制御装置の動作を汎用計算機上で模擬するシミュレーション装置であって、試験を実行する試験実施用汎用計算機と、前記試験を制御する試験制御用汎用計算機とを備える。前記試験実施用汎用計算機は、安全度要求の異なる複数のアプリケーションを含むアプリケーション部と、所定の場合に、前記複数のアプリケーションの動作の１つを終了させ、他のアプリケーションの動作を保証する負荷制御部と、前記複数のアプリケーションによる不正アクセスを検知し、所定の処置を実行するメモリ操作部と、前記複数のアプリケーションに関する保護機能を実現する保護機能部とを備える。前記試験制御用汎用計算機は、試験のシナリオを管理するシナリオ管理部と、前記シナリオに基づき前記試験を指示する試験指示部と、前記指示の内容に基づき試験データを生成するデータ制御部と、を備える。前記試験制御用汎用計算機から任意のタイミングで前記試験データを送信し、前記試験実施用汎用計算機にて、前記試験データに従い、前記保護機能部における前記保護機能の動作を確認する。

本発明によれば、ソフトウェアが大規模化、複雑化した場合でも、汎用計算機上でソフトウェアの動作や異常時の動作の試験を実施することができ、ソフトウェアの開発効率の向上を図ることができる電子制御装置のシミュレーション装置を提供することができる。

実施の形態に係る電子制御装置のシミュレーション装置を説明するブロック図である。時間保護試験の構成の一例を表す。時間保護試験の処理手順を示すフローチャートである。メモリ保護試験の構成の一例を表す。メモリ保護試験の処理手順を示すフローチャートである。データ保護試験の構成の一例を示す。

以下、添付図面を参照して本実施形態について説明する。添付図面では、機能的に同じ要素は同じ番号で表示される場合もある。なお、添付図面は本開示の原理に則った実施形態と実装例を示しているが、これらは本開示の理解のためのものであり、決して本開示を限定的に解釈するために用いられるものではない。本明細書の記述は典型的な例示に過ぎず、本開示の特許請求の範囲又は適用例を如何なる意味においても限定するものではない。

本実施形態では、当業者が本開示を実施するのに十分詳細にその説明がなされているが、他の実装・形態も可能で、本開示の技術的思想の範囲と精神を逸脱することなく構成・構造の変更や多様な要素の置き換えが可能であることを理解する必要がある。従って、以降の記述をこれに限定して解釈してはならない。

図１のブロック図を参照して、実施の形態に係る電子制御装置のシミュレーション装置を説明する。このシミュレーション装置は、シミュレーションを実施するための試験実施用汎用計算機１００と、シミュレーションを制御するための試験制御用汎用計算機１２０とを備える。試験実施用汎用計算機１００は、電子制御装置（Electronic Control Unit）の動作についてのシミュレーションを実行する装置であり、試験制御用汎用計算機１２０は、試験実施用汎用計算機１００に対し動作についてのシミュレーションを実行するための各種指示を送る装置である。

試験実施用汎用計算機１００と、試験制御用汎用計算機１２０とは、それぞれ別々の汎用コンピュータにより構成されてもよいし、試験実施用汎用計算機１００と試験制御用汎用計算機１２０とが１台の汎用コンピュータの中に実現されてもよい。試験実施用汎用計算機１００及び試験制御用汎用計算機１２０は、特別な制約は無いが、ＣＰＵ（Central Processing Unit）やＲＡＭ（Random Access Memory）などの記憶領域を含んで構成されているものとする。

試験実施用汎用計算機１００は、ＣＰＵ模擬部１０１、１０２と、試験制御部１０３と、オペレーティングシステム（ＯＳ）１０４とを備える。

ＣＰＵ模擬部１０１、１０２は、それぞれ、電子制御装置（ＥＣＵ）内の一のＣＰＵを模擬することが可能に構成される。ＣＰＵ模擬部１０１は、ある１つのＣＰＵを模擬するよう構成され、ＣＰＵ模擬部１０２は、これとは別の１つのＣＰＵを模擬するように構成される。試験実施用汎用計算機１００は、複数のＣＰＵ模擬部を備えることで、複数のＥＣＵ内のＣＰＵを非同期に模擬することが可能である。図示の例は、１つの試験実施用汎用計算機１００が２個のＣＰＵ模擬部１０１、１０２を備える例を示しているが、これは一例であり、これに限定されるものではない。

電子制御装置（ＥＣＵ）内のＣＰＵは、汎用計算機上のプロセス又はスレッドとして模擬される。試験実施用汎用計算機１００に搭載されるオペレーティングシステム１０４は、市販のオペレーティングシステムであってよい。

試験実施用汎用計算機１００は、試験制御用汎用計算機１２０から送信される試験指示データを通信制御部を介して受信し、解析を行うことで、実施する試験シナリオを判別する。判別された試験シナリオに基づき試験実施用汎用計算機１００において試験が実施される。尚、試験制御用汎用計算機１２０から試験実施用汎用計算機１００へデータを送信する手段は、ＣＡＮ通信、Ｅｔｈｅｒｎｅｔ通信、シリアル通信等であってよく、特定の通信の方式には制限されない。

各ＣＰＵ模擬部（１０１、１０２）は、それぞれ、一例として、ラッパー部１１３、ミドルウェア部１１４、時間保護部１１５、メモリ保護部１１６、データ保護部１１７、ＡＰＩ部１１８、アプリケーション部１１９から構成される。

ラッパー部１１３は、電子制御装置と汎用計算機の差異を吸収する役割を有する。例えば、電子制御装置と汎用計算機では、使用するオペレーティングシステム（ＯＳ）のリソース、システムコール、使用するドライバに差異がある。ラッパー部１１３は、これらの差異を抽象化し、動作環境に応じて実行する処理の切り分けを行う。

ミドルウェア部１１４は、電子制御装置と汎用計算機で同じソースコードを用いる。ミドルウェア部１１４は、試験制御用汎用計算機１２０から送信される試験データを、電子制御装置と同様の処理フローで受信処理をし、その結果をデータ管理部の持つバッファへ格納する。データ管理部では、通信制御部から渡ったデータを管理し、ＡＰＩ部１１８からの指示に基づきデータの授受を行う。

アプリケーション部１１９は、例えば車両の周辺環境を認知する機能や、車両の認知結果に基づき自車の走行経路を計画する機能、車両の制御量を演算する機能などを備え、ＡＰＩ部１１８を介し必要な情報を取得する。また、アプリケーション部１１９は、安全度要求の異なる複数のアプリケーション（例：高安全度アプリ部、低安全度アプリ部）から構成される。

ＡＰＩ部１１８は、ミドルウェア部１１４とアプリケーション部１１９の間のデータの授受を仲介する。アプリケーション部１１９は、ＡＰＩ部１１８を介してミドルウェア部１１４とデータの受け渡しを実現する。

時間保護部１１５は、各アプリケーションの動作、例えばスレッドの動作が所定時間内に完了するか否かを確認する機能を有する。

メモリ保護部１１６は、各アプリケーションにおけるメモリへの不正アクセスがあるか否かを確認する機能を有する。

データ保護部１１７は、データの整合性を保証する。外部から送信されるメッセージがヘッダ情報を持つ場合、これらのヘッダ情報の内容を確認し、不正な書換えなどが無いかを確認する。不正な書換えが確認された場合、データの破棄など、事前に設定した処理を実行する。

時間保護部１１５、メモリ保護部１１６、データ保護部１１７は、複数のアプリケーションに関する保護機能を実現する保護機能部の一態様である。ＣＰＵ模擬部１０１、１０２は、時間保護部１１５、メモリ保護部１１６、データ保護部１１７の全てを含んでいてもよいし、１つのみを含んでいてもよい。また、時間保護部１１５、メモリ保護部１１６、データ保護部１１７以外の保護機能が設けられていてもよい。

次に、試験制御部１０３について説明する。試験制御部１０３は、一例として、負荷制御部１１１と、メモリ操作部１１２とを備える。負荷制御部１１１は、安全度要求が低い低安全度アプリ部が所定時間内に処理を完了できず、安全度要求が高い高安全度アプリ部の動作周期に影響を与える場合に、低安全度アプリ部を終了させ、高安全度アプリ部の動作周期を保証する。メモリ操作部１１２は、各アプリケーションが本来アクセス権を与えられていないメモリ領域にアクセスした際に、不正なアクセスを検知し、不正アクセスしたアプリケーションに事前に設定した処置を実行する。

試験制御用汎用計算機１２０は、試験制御部１２１と、オペレーティングシステム（ＯＳ）１２２とを有する。試験制御部１２１は、一例として、データ制御部１２３、試験指示部１２４、シナリオ管理部１２５とから構成され得る。オペレーティングシステム１２２は、試験実施用汎用計算機１００のオペレーティングシステム１０４と異なるものであってもよい。

試験制御部１２１は、シナリオ管理部１２５のシナリオに基づき、正常動作の指示、又は、各異常系のテストパターンを注入する。異常系の試験は、一例として、データ保護試験、時間保護試験、又はメモリ保護試験を含む。これらの試験が単独で行われても良いし、３つの試験が組み合わせた試験が行われても良い。

データ制御部１２３は、試験制御部１２１からの指令に基づき、異常データの生成を行う。データ制御部１２３は、異常系の試験時に正常データのヘッダ情報を書換えて異常データを生成し、試験実施用汎用計算機１００へ送信する。

試験指示部１２４は、シナリオ管理部１２５で指定されたシナリオに従い、各種試験の指示を生成する。生成された各種指示は、オペレーティングシステム１２２、１０４により、試験実施用汎用計算機１００に入力される。シナリオ管理部１２５は、試験実施用汎用計算機１００で実行される試験のシナリオを管理する。シナリオは、事前にユーザが指定することも可能であり、動的にユーザが追加、変更することも可能である。

図２は、時間保護部１１５により実行される時間保護試験の構成の一例を表す。アプリケーション部１１９には安全度要求の異なる複数のアプリケーション（高安全度アプリ部、低安全度アプリ部）を配置する。安全度要求が高い高安全度アプリ部２００は、例えばＡＳＩＬアプリであり、安全度要求が低い低安全度アプリ部２０１は、例えばＱＭアプリである。この時、ＱＭアプリに対しエラー注入を実施する。この時の処理フローを図３に示す。

試験制御用汎用計算機１２０より、時間保護試験の開始の指示があった場合、シナリオ管理部１２５において異常シナリオが生成され（図３のステップＳ１１）、この異常シナリオに従って、異常データがデータ制御部１２３において生成される。このとき、試験実施用汎用計算機１００の負荷制御部１１１は、異常データを注入する対象である低安全度アプリ部２０１のスレッドの実行優先度を上げ（ステップＳ１２）、且つ、対象の低安全度アプリ部２０１に対し、長期間ＣＰＵを占有する処理の実施指示を出す。これにより、低安全度アプリ部２０１がＣＰＵを占有する。

この時、時間保護部１１５は、予めスケジューリングされた低安全度アプリ部２０１の基準処理時間を、実際の処理時間と比較する。実際の処理時間は、低安全度アプリ部２０１の、テスト管理スレッドから供給される。低安全度アプリ部２０１の処理時間が基準時間を超過している場合、時間違反であると判断し（ステップＳ１３）、時間保護部１１５は、事前に実装された安全機能処理を実施する。例えば、対象の低安全度アプリ部２０１の停止などを実行する。

図４は、メモリ保護試験の構成の一例を表す。アプリケーション部１１９には安全度要求の異なるアプリケーション（高安全度アプリ部、低安全度アプリ部）を配置する。安全度要求が高い高安全度アプリ部２００は、例えばＡＳＩＬアプリであり、安全度要求が低い低安全度アプリ部２０１は、例えばＱＭアプリである。この時、ＱＭアプリに対しエラー注入を実施する。この時の処理フローを図５に示す。

試験制御用汎用計算機１２０より、メモリ保護試験の開始指示があった際、シナリオ管理部１２５において異常シナリオが生成され（図５のステップＳ２１）、この異常シナリオに従って、異常データがデータ制御部１２３において生成される。メモリアクセス違反指示を受信した低安全度アプリ部２０１は、本来アクセス許可が無いメモリ領域へアクセスする（ステップＳ２２）。この時、カーネルより不正なメモリアクセスに際し、アクセス違反信号ＳＩＧＳＥＧＶが発行される（ステップＳ２３）。メモリ保護部１１６は、発行された信号ＳＩＧＳＥＧＶを確認し、不正メモリアクセス違反を引き起した低安全度アプリ部２０１に対し事前に実装した保護機能を適用する。保護機能とは、例えば、対象アプリケーションのプロセスの停止処理（ステップＳ２４）等を含む。

図６は、データ保護違反の構成の一例を表す。試験制御用汎用計算機１２０の試験指示部１２４では、シナリオ管理部１２５のシナリオに基づきデータ保護違反の試験指示をデータ制御部１２３に出力する。データ制御部１２３では、送信するメッセージのヘッダ部を改ざん（変更）し、改ざんしたメッセージを試験実施用汎用計算機１００へ送信する。試験実施用汎用計算機１００のデータ保護部１１７は、受信したメッセージのヘッダ部を解析し、ヘッダ部の改ざんを検知した際は、メッセージの破棄やアプリケーション部１１９への通知など、事前に実装した保護内容を適用する。

以上説明したように、本実施の形態のシミュレーション装置によれば、電子制御装置（ＥＣＵ）のソフトウェアが大規模化、複雑化した場合でも、汎用計算機上でソフトウェアの振舞いや異常時の動作の試験を実施することができ、ソフトウェアの開発効率の向上を図ることができる。具体的には、ソフトウェアの時間保護違反、メモリ保護違反、データ保護違反などを、汎用計算機上で模擬することが容易になる。

本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１００…試験実施用汎用計算機
１０１、１０２…ＣＰＵ模擬部
１０３…試験制御部
１０４…オペレーティングシステム
１１１…負荷制御部
１１２…メモリ操作部
１１３…ラッパー部
１１４…ミドルウェア部
１１５…時間保護部
１１６…メモリ保護部
１１７…データ保護部
１１８…ＡＰＩ部
１１９…アプリケーション部
１２０…試験制御用汎用計算機
１２１…試験制御部
１２２…オペレーティングシステム
１２３…データ制御部
１２４…試験指示部
１２５…シナリオ管理部
２００…高安全度アプリ部
２０１…低安全度アプリ部

Claims

車両制御装置の動作を汎用計算機上で模擬するシミュレーション装置であって、
試験を実行する試験実施用汎用計算機と、
前記試験を制御する試験制御用汎用計算機と
を備え、
前記試験実施用汎用計算機は、
安全度要求の異なる複数のアプリケーションを含むアプリケーション部と、
所定の場合に、前記複数のアプリケーションの動作の１つを終了させ、他のアプリケーションの動作を保証する負荷制御部と、
前記複数のアプリケーションによる不正アクセスを検知し、所定の処置を実行するメモリ操作部と、
前記複数のアプリケーションに関する保護機能を実現する保護機能部と、
を備え、
前記試験制御用汎用計算機は、
試験のシナリオを管理するシナリオ管理部と、
前記シナリオに基づき前記試験を指示する試験指示部と、
前記指示の内容に基づき試験データを生成するデータ制御部と、
を備え、
前記試験制御用汎用計算機から任意のタイミングで前記試験データを送信し、
前記試験実施用汎用計算機にて、前記試験データに従い、前記保護機能部における前記保護機能の動作を確認し、
前記試験制御用汎用計算機は、前記指示に基づき、メモリ保護違反、データ保護違反、時間保護違反の少なくとも１つの試験指示を前記試験実施用汎用計算機へ入力し、
前記データ保護違反の試験を実施する際、
前記試験指示部は、前記データ制御部に送信データのヘッダの情報の変更の指示を出し、
前記データ制御部は、前記指示の内容に基づき前記ヘッダの内容を変更し、その変更したデータを前記試験実施用汎用計算機へ送信し、前記保護機能部の動作試験を実施する、
ことを特徴とする、車両制御装置のシミュレーション装置。
前記時間保護違反の試験を実施する際、
前記データ制御部は、時間保護違反試験開始情報を、前記試験実施用汎用計算機へ送信し、
前記試験実施用汎用計算機は、前記負荷制御部にて、前記複数のアプリケーションの少なくとも１つの動作を制御して前記時間保護違反を発生させ、前記保護機能部が前記時間保護違反を検知する試験を実施する、請求項１に記載のシミュレーション装置。
前記メモリ保護違反の試験を実施する際、
前記試験実施用汎用計算機は、前記メモリ操作部にて、前記複数のアプリケーションの少なくとも１つに指示し、前記メモリ保護違反を発生させ、前記保護機能部が前記メモリ保護違反を検知する試験を実施する、請求項１に記載のシミュレーション装置。