WO2018173910A1 - 車両制御装置 - Google Patents

車両制御装置 Download PDF

Info

Publication number
WO2018173910A1
WO2018173910A1 PCT/JP2018/010156 JP2018010156W WO2018173910A1 WO 2018173910 A1 WO2018173910 A1 WO 2018173910A1 JP 2018010156 W JP2018010156 W JP 2018010156W WO 2018173910 A1 WO2018173910 A1 WO 2018173910A1
Authority
WO
WIPO (PCT)
Prior art keywords
state
vehicle control
unit
execution
deviation
Prior art date
Application number
PCT/JP2018/010156
Other languages
English (en)
French (fr)
Inventor
祐 石郷岡
朋仁 蛯名
一 芹沢
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to US16/481,320 priority Critical patent/US11372706B2/en
Publication of WO2018173910A1 publication Critical patent/WO2018173910A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0772—Means for error signaling, e.g. using interrupts, exception flags, dedicated error registers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/48—Program initiating; Program switching, e.g. by interrupt
    • G06F9/4806—Task transfer initiation or dispatching
    • G06F9/4812—Task transfer initiation or dispatching by interrupt, e.g. masked

Definitions

  • the present invention relates to a technique for facilitating analysis of the cause of a failure caused by unexpected interrupt processing.
  • the vehicle control system is composed of an ECU that operates an electronic vehicle control device, that is, an electronic control unit (Electronic Control Unit), and controls the vehicle by cooperation through communication.
  • the vehicle control device controls the entire vehicle by appropriately controlling the actuator based on the state of the control target.
  • interrupt processing may occur at a timing that should not occur due to an unexpected delay of the microcomputer, which may cause a malfunction. Problems caused by interrupt processing are difficult to trace from the results of the system state, so a technique for facilitating factor analysis is required. As a technique related to this, a technique for detecting a deviation from the state transition design has already been disclosed.
  • Patent Document 1 for the purpose of preventing system instability due to unintended interrupt processing, state transition simulation is performed in interrupt processing to detect deviations from the design.
  • the monitoring microcomputer monitors the interrupt request signal of the target microcomputer and performs a state transition simulation according to the signal. Detect deviations from the design.
  • Patent Document 1 a great overhead occurs because the state transition simulation is performed in the interrupt process, and there is a problem that is difficult to apply to a vehicle control apparatus having a high interrupt frequency.
  • Patent Document 2 is an invention in which a state transition simulation is performed by a monitoring microcomputer in view of the overhead problem.
  • the present invention has been made to solve the above-described problems, and detects a design deviation without impeding the real-time nature of interrupt processing, and malfunctions caused by unintended interrupt processing that suppresses false detection.
  • the purpose is to provide support technology for impact analysis.
  • the vehicle control apparatus of the present invention is different from the interruption determination process and the interruption determination unit that determines that the execution timing of the execution body has deviated from the design assumption and transitions to the monitoring state as an example.
  • a runtime verification unit that verifies the influence of deviation at timing.
  • the vehicle control device of the present invention only the deviation from the design is detected in the interrupt process, and the influence of the deviation is verified after the interrupt process. Therefore, the false detection can be suppressed while ensuring the real time property. Further, when an influence due to the deviation occurs, the state at the time of the deviation is notified together with the error code, so that the cause of the defect can be easily identified.
  • the vehicle control device determines that the execution body has deviated from the design assumption, makes a transition to the monitoring state, verifies the influence of the departure at a timing different from the interrupt processing in the monitoring state, and performs monitoring.
  • the state at the time of departure is notified together with the error code, so that it is possible to easily identify the cause of the failure while suppressing the false detection while ensuring the real time property.
  • FIG. 1 is a configuration diagram of a vehicle control device 1 according to Embodiment 1 of the present invention.
  • the vehicle control apparatus 1 includes an arithmetic unit (CPU) 11, a memory 12, an interrupt controller 14, a hardware timer 15, an analog / digital (AD) conversion controller 16, a direct memory address (DMA) controller 17, a network controller 18, and a crank angle sensor 19.
  • the advanced timer unit 20 and the input / output circuit 21 are provided.
  • the arithmetic unit 11 is assumed to be a single core, but is not limited thereto. For example, a multi-core such as a dual core may be used.
  • the program area of the memory 12 includes an initialization processing unit 121, a conversion activation processing unit 122, an analysis activation unit 123, an analysis processing unit 124, a reverse rotation time processing unit 125, a reverse rotation determination unit 126, an execution start declaration unit 127, an execution It has an end assertion unit 128, a departure determination unit 129, a runtime verification unit 130, a departure state notification unit 131, and an operating system 132.
  • the data storage area includes a constraint expression table 141, a parallel execution state 142, a monitoring state flag 143, a departure It has a state 144 and executable body characteristic information 145.
  • the network controller is an in-vehicle network such as Controller Area Network, FlexRay, and Ethernet. Moreover, the wireless communication which communicates with the exterior of a motor vehicle may be sufficient.
  • FIG. 2 is an example of the constraint expression table 141.
  • the ID 1411 of the first embodiment indicates an ID that can identify a constraint expression in a specific system state and soft state.
  • System status 1412 indicates the status of the system. For example, in the first embodiment, 1 indicates that the engine is in a normal rotation state, and 2 indicates that the engine is in a reverse rotation state.
  • a soft state 1413 indicates a soft state. For example, in the first embodiment, 1 indicates a sampling state, 2 indicates an analysis state, 3 indicates a waiting state, and 4 indicates a stop state.
  • a constraint equation 1414 indicates a constraint equation. For example, in the first embodiment, whether or not each execution body is executed corresponds to a bit having a different constraint expression.
  • crank angle sensor interrupt corresponds to the fourth bit
  • analysis start corresponds to the third bit
  • analysis processing corresponds to the second bit
  • reverse rotation processing unit corresponds to the first bit.
  • constraint equation in the first embodiment is 4 bits, it is not limited to this. For example, it may be 32 bits or 64 bits.
  • FIG. 3 shows an example of the parallel execution state 142.
  • the parallel execution state 1421 indicates the state of the execution body currently being executed in parallel.
  • FIG. 4 shows an example of the monitoring status flag 143.
  • the monitoring status flag 1431 indicates whether or not the current monitoring status. For example, in the first embodiment, 0 in the monitoring state flag 1431 indicates that the monitoring state is not in the monitoring state, and 1 indicates that the monitoring state is in the monitoring state.
  • FIG. 5 shows an example of the departure state 144.
  • a state 1441 indicates a parallel execution state at the time of departure.
  • the constraint equation ID 1442 corresponds to the ID 1411 of the constraint equation table 141.
  • the constraint equation ID 1442 is associated with the ID 1411 of the constraint equation table 141, but the present invention is not limited to this. It suffices if the constraint equation can be specified when used in deviation determination.
  • FIG. 6 is an example of the executable body characteristic information 145.
  • ID 1451 is an ID capable of identifying the execution body.
  • the influence information 1452 on other indicates whether or not there is a possibility of affecting other execution bodies. In the first embodiment, 1 indicates that there is an effect, and 0 indicates that there is no effect.
  • “Influencing” indicates, for example, that “the interrupt process indicated by ID 1451 writes without exclusive control to a global variable shared with other tasks”, but is not limited thereto. For example, the case where the execution time is extended and the real-time property is hindered, the address is destroyed by DMA transfer, or the forced reset is applied may be defined as affecting.
  • FIG. 7 is an operation flow of the initialization processing unit 121.
  • the initialization processing unit 121 sets the hardware timer 15 to start the AD conversion processing of the AD conversion controller 16 when it becomes equal to a specific timer counter.
  • the initialization processing unit 121 performs a setting to automatically return to the initial value 0 after the timer counter of the hardware timer 15 becomes equal to the value set in Step 1211.
  • the initialization processing unit 121 performs settings related to AD conversion in the AD controller 16 and settings for starting the transfer processing of the DMA transfer controller 17 after the conversion is completed.
  • the initialization processing unit 121 performs setting related to transfer in the DMA transfer controller 17 and setting for starting the analysis processing unit 123 by interrupt processing after transfer.
  • the initialization processing unit 121 sets the advanced timer unit 20 to start the conversion start processing unit 122 by interrupt processing with a specific pulse of the crank angle sensor 19.
  • the initialization processing unit 121 sets the advanced timer unit 20 to start the reverse rotation processing unit 125 by interrupt processing with a specific pulse of the crank angle sensor 19.
  • the initialization processing unit 121 sets the operating system 132 to activate the reverse rotation determination unit 126 and the runtime verification unit 130 at a cycle of 10 ms. (FIG. 7: Step 1218)
  • the initialization processing unit 121 sets communication in the network controller 18.
  • FIG. 8 is an operation flow of the conversion activation processing unit 122.
  • Step 1221 The conversion start processing unit 122 calls the execution start assertion unit 127 with 0b1000 as an argument.
  • the conversion activation processing unit 122 calls the departure determination unit 129 with 1 indicating ID as an argument.
  • FIG. 8: Step 1223 The conversion activation processing unit 122 activates the hardware timer 15.
  • FIG. 8: Step 1224 The conversion activation processing unit 122 calls the execution end assertion unit 128 with 0b1000 as an argument.
  • FIG. 9 is an operation flow of the analysis starting unit 123.
  • the analysis starting unit 123 calls the execution start asserting unit 127 with 0b0100 as an argument.
  • the analysis starting part 123 calls the deviation determination part 129 with 1 indicating ID as an argument.
  • the analysis starting unit 123 stops the hardware timer 15 and increments the transfer counter.
  • the analysis activation unit 123 determines whether the transfer counter is equal to or more than a specific number of times. If the determination result is true, the process proceeds to step 1235, and if it is false, the process proceeds to step 1237.
  • the analysis starting unit 123 sets the transfer counter to the initial value 0.
  • the analysis activation unit 123 activates the analysis processing unit 124 by interrupt processing.
  • the analysis activation unit 123 activates the hardware timer 15.
  • the analysis activation unit 123 calls the execution end assertion unit 128 with 0b0100 as an argument.
  • FIG. 10 is an operation flow of the analysis processing unit 124.
  • Step 1241 The analysis processing unit 124 calls the execution start assertion unit 127 with 0b0010 as an argument.
  • the analysis processing unit 124 calls the departure determination unit 129 with 2 indicating ID as an argument.
  • FIG. 10: Step 1243 The analysis processing unit 124 performs analysis processing.
  • Step 1244 The analysis processing unit 124 calls the execution end assertion unit 128 with 0b0010 as an argument.
  • FIG. 11 is an operation flow of the reverse rotation processing unit 125.
  • the reverse rotation processing unit 125 calls the execution start assertion unit 127 with 0b0001 as an argument.
  • the reverse rotation time processing unit 125 calls the departure determination unit 129 with 4 indicating ID as an argument.
  • the reverse rotation processing unit 125 performs the reverse rotation processing. For example, knock control is not required during reverse rotation, so the processing is stopped and initialization is performed.
  • the reverse rotation time processing unit 125 calls the execution end assertion unit 128 with 0b0001 as an argument.
  • FIG. 12 is an operation flow of the reverse rotation determination unit 126. Hereinafter, each step of FIG. 12 will be described. (FIG. 12: Step 1261)
  • the reverse rotation determination unit 126 determines whether or not the reverse rotation is based on the value of the crank angle sensor 19.
  • FIG. 13 is an operation flow of the execution start assertion unit 127.
  • Step 1271 The execution start assertion unit 127 takes OR with the parallel execution state 142 and the execution state flag of the argument, and overwrites the parallel execution state 142. Since the first embodiment is a single core, only the state of the execution body executed in parallel is stored in the parallel execution state, but the present invention is not limited to this. For example, in the case of multi-core, the state of the execution body executed in parallel is saved. When FPGA or GPGPU is used, these are also managed as the state of the execution body. Moreover, it is not restricted to these.
  • FIG. 14 is an operation flow of the execution end assertion unit 128. Hereinafter, each step of FIG. 14 will be described. (FIG. 14: Step 1281)
  • the execution end assertion unit 128 XORs the parallel execution state 142 and the execution state flag of the argument, and overwrites the parallel execution state 142.
  • FIG. 15 is an operation flow of the departure determination unit 129.
  • Step 1291 The execution end assertion unit 129 determines whether or not the departure state 144 is an initial value. If the determination result is true, the process proceeds to step 1292. If the determination result is false, the operation flow ends.
  • FIG. 15: Step 1292 The execution end assertion unit 129 determines that the OR result of the parallel execution state 142 and the constraint expression 1414 corresponding to the argument ID is not equal to the constraint expression 1414 corresponding to the argument ID. If the determination result is true, the process proceeds to step 1293. If the determination result is false, the operation flow ends.
  • FIG. 15 Step 1291
  • the execution end assertion unit 129 determines whether or not the departure state 144 is an initial value. If the determination result is true, the process proceeds to step 1292. If the determination result is false, the operation flow ends.
  • FIG. 15: Step 1292 The execution end assertion unit 129 determines that the OR result of the parallel execution state 142 and the constraint expression 1414
  • Step 1293 The execution end assertion unit 129 sets 1 to the monitoring state flag 143.
  • Step 1294 The execution end assertion unit 129 stores the parallel execution state in the state 1431 of the departure state 143 and the argument ID in the constraint expression ID 1432 of the departure state 143.
  • FIG. 16 is an operation flow of the runtime verification unit 130.
  • the runtime verification unit 130 specifies an execution body ID that deviates from the design by XORing the constraint expression 1414 based on the state 1431 of the departure state 143 and the constraint expression ID 1432 of the departure state.
  • the runtime verification unit 130 determines whether or not the execution body ID specified in the execution body characteristic information 145 affects other things. If the determination result is true, the process proceeds to step 1303. If the determination result is false, the process proceeds to step 1304.
  • the runtime verification unit 130 calls the departure state storage unit 131a.
  • the runtime verification unit 130 releases the monitoring state by setting the monitoring state flag to 0.
  • FIG. 17 is an operation flow of the departure state notification unit 131.
  • the departure state notification unit 131 transmits a departure state 143 to the network together with an error code indicating the cause of the failure.
  • notification is made by transmitting a deviation state to the network, but the present invention is not limited to this.
  • the deviation state may be stored as a log, and the log may be referred to at the time of maintenance or software update.
  • FIG. 18 shows an operation scenario as an example of the vehicle control device 1 according to the first embodiment.
  • the system state represents the engine state, and the soft state performs state transition according to the system state.
  • sampling, knock analysis, ignition, and sampling timing waiting are repeated in the case of normal rotation, and processing is stopped in the case of reverse rotation.
  • the crank angle interruption is activated by a specific pulse, and an appropriate processing unit of the conversion activation processing unit 122 and the reverse rotation time processing unit 125 is selected and executed according to the pulse.
  • the selection is performed in this way, but the present invention is not limited to this. For example, it may be executed at the same timing.
  • the transfer completion interrupt is activated at the end of DMA transfer and executes the analysis activation unit 123.
  • the software interrupt is issued by the analysis activation unit 123 and executes the analysis processing unit 124.
  • Verification tasks are periodically executed by the operating system to perform runtime verification 130.
  • the verification task is executed with a low priority so as not to disturb the real-time property of other interrupt processing.
  • the runtime verification 130 is executed with a lower priority than the interrupt processing.
  • the present invention is not limited to this unless the real-time property is hindered. For example, it may be executed immediately after the interrupt process. However, the deadline that the runtime verification must be executed must be executed within the time of the diagnostic test interval in the Fault Tolerant Time Interval (FTTI) defined in the functional safety standard ISO26262.
  • FTTI Fault Tolerant Time Interval
  • the parallel execution state indicates a change in the value of the parallel execution state 142
  • the constraint expression indicates a change in the constraint expression 1414 corresponding to the system state and the soft state at the timing.
  • the monitoring state flag indicates a change in the value of the monitoring state flag 143
  • the departure state indicates a change in the value of the departure state 144.
  • the network indicates the state of the network controller 18. In the first embodiment, initialization is performed to stop the AD conversion controller 16 when the system state changes to reverse rotation and the crank angle state is just the timing for executing the reverse rotation processing unit. If AD conversion is in progress, a stop command is not accepted and the conversion is stopped after the conversion is completed.
  • the present invention can be applied to a multi-core microcomputer, a many-core microcomputer, an FPGA-mounted microcomputer, and the like.
  • the analysis starting unit 123 detects a deviation from the design and transitions to a monitoring state. Thereafter, the influence of the defect is verified by the runtime verification unit 130, and since the result is true, the deviation state is notified via the network.
  • Embodiment 1 since the deviation from the design is detected in the parallel execution state described by the constraint expression, the processing overhead can be reduced.
  • the constraint expression only the outline of the deviation from the design can be confirmed, and the influence of the deviation can be examined in detail separately from the interrupt processing, and the real-time property of the interrupt processing can be ensured.
  • Embodiment 1 it is not determined whether or not the parallel execution state satisfies the constraint expression only by the deviation determination unit 129, but the present invention is not limited to this.
  • the runtime verification unit 130 may make an additional determination with a more detailed constraint expression.
  • the deviation determination unit 129 may determine the task level parallel execution state, and the runtime verification unit 130 may determine the function level parallel execution state.
  • the departure determination unit 129 determines the parallel execution state for the tasks that are initially activated by the departure determination unit 129.
  • the runtime verification unit 130 may determine the parallel execution state including the second task.
  • the method for detecting a deviation from the design is not limited to the constraint equation.
  • a state transition simulation may be used.
  • Embodiment 1 only one constraint expression table is prepared, but the present invention is not limited to this. Two or more may be sufficient.
  • the departure determination unit 129 and the runtime verification unit 130 are mounted on the same ECU as the monitored vehicle control device, but this is not a limitation.
  • the determination may be made while executing in parallel on another computer, or by analyzing the operation log.
  • the anti-abnormal process such as fail-safe is not immediately executed, so that a decrease in availability due to a false detection can be prevented.
  • the monitoring state flag is cleared and the monitoring state is released, but the present invention is not limited to this.
  • the monitoring state may not be released, or the monitoring state may be released when the system is turned off. Moreover, it is not restricted to these.
  • Embodiment 1 there is a method of overwriting the departure state, but this is not restrictive.
  • the state after the departure determination may be continuously stored in chronological order. Moreover, it is not restricted to these.
  • the runtime verification unit 130 determines that there is a malfunction
  • the departure state is notified, but the present invention is not limited to this.
  • the deviation state may be stored, and fail safe processing may be performed.
  • the departure determining unit 129 determines that the execution body has deviated from the design assumption, makes a transition to the monitoring state, and the runtime verification unit 130 monitors the monitoring state.
  • the deviation effect is verified at a different timing from the interrupt processing, and if an error is detected in the monitoring state, the deviation state notification unit 131 notifies the state at the time of departure together with the error code. Therefore, it is suitable for an automobile control system that requires real-time performance and high reliability. Moreover, since the cause of the failure can be easily identified, it is suitable for an automobile control system that requires safety.
  • Deviation determination unit 129 Deviation determination unit, 130 Runtime verification unit, 131a Deviation state storage unit, 131 Deviation state notification unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本発明は、割り込み処理のリアルタイム性を阻害せずに設計の逸脱を検知し、また誤検知を抑制とする意図しない割り込み処理による不具合の影響解析支援技術を提供する。上記課題を解決するために、実行体の実行タイミングが設計想定から逸脱していることを判定し、監視状態に遷移する逸脱判定部１２９と、割り込み処理とは異なるタイミングで逸脱影響を検証するランタイム検証部１３０と、を備える。

Description

車両制御装置
　本発明は、予期しない割り込み処理による不具合の要因分析を容易にする技術に関するものである。
車両制御システムは電子化された車両制御装置を操作するＥＣＵ、すなわち電子制御装置（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）で構成され、通信を介して連携することで車両を制御している。車両制御装置は制御対象の状態に基づいて、適切にアクチュエータを制御することにより、車両全体を制御している。制御退場の状態に基づいてリアルタイムに制御するためには、センサ起因のイベントによって電子制御処理を開始する割り込み処理を実施する必要がある。しかしながら、マイコンの予期せぬ遅延などにより、起きるはずのないタイミングで割り込み処理が発生し、不具合を発生させる可能性がある。割り込み処理起因の不具合は、システム状態の結果から要因を辿ることが難しいため、要因分析を容易化する技術が求められている。これに関する技術として、状態遷移設計からの逸脱を検知する技術がすでに公開されている。
　下記の特許文献１では、意図しない割り込み処理が発生することによるシステムの不安定化防止を目的として、割り込み処理内で状態遷移シミュレーションを行い、設計からの逸脱を検知する。
　下記の特許文献２では、意図しない割り込み処理が発生することによるシステムの不安定化防止を目的として、監視マイコンが対象マイコンの割り込み要求信号を監視し、信号に応じて状態遷移シミュレーションを行うことで、設計からの逸脱を検知する。
特許第４８７４４４０号 特許第４４９６２０５号
　しかし、上記の特許文献１では割り込み処理内で状態遷移シミュレーションを実施するために多大なオーバヘッドが生じ、割り込み頻度が高い車両制御装置には適用困難な課題がある。上記の特許文献２はこのオーバヘッドの課題を鑑みて、監視マイコンで状態遷移シミュレーションを実施する発明である。
　しかしながら、制御ソフトの大規模化や複雑化、マルチコア化に伴い、状態遷移設計の正しさを維持することが難しくなってきており、上記の特許文献１と上記の特許文献２の双方とも、設計された状態遷移から逸脱した際に直ぐにエラーと判定するために、誤検知が多発する課題がある。
　本発明は、上記のような課題を解決するためになされたものであり、割り込み処理のリアルタイム性を阻害せずに設計の逸脱を検知し、また誤検知を抑制とする意図しない割り込み処理による不具合の影響解析支援技術を提供することを目的とする。
　上記課題を解決するため、本発明の車両制御装置は一例として、実行体の実行タイミングが設計想定から逸脱していることを判定し、監視状態に遷移する逸脱判定部と、割り込み処理とは異なるタイミングで逸脱影響を検証するランタイム検証部と、を備える。
　本発明に係る車両制御装置によれば、割り込み処理内で設計からの逸脱のみを検知し、割り込み処理後に逸脱影響を検証するため、リアルタイム性を担保しつつ、誤検知を抑制可能となる。また、逸脱による影響が起こる場合には、エラーコードと共に逸脱時の状態を通知するため、不具合の要因特定を容易に行うことが可能になる。
実施の形態１に係る車両制御装置の構成図 制約式テーブルの例 並列実行状態の例 監視状態フラグの例 逸脱状態の例 実行体特性情報の例 初期化処理開始部の動作フロー 変換起動処理部の動作フロー 解析起動部の動作フロー 解析処理部の動作フロー 逆回転時処理部の動作フロー 逆回転判定部の動作フロー 実行開始表明部の動作フロー 実行終了表明部の動作フロー 逸脱判定部の動作フロー ランタイム検証部の動作フロー 逸脱状態通知部の動作フロー 実施の形態１に係る車両制御装置の動作シナリオ
　本発明に係る車両制御装置は、実行体の起動が設計想定から逸脱していることを判定し、監視状態に遷移させ、監視状態では割り込み処理とは別のタイミングで逸脱影響を検証し、監視状態でエラーを検出した場合にはエラーコードと共に逸脱時の状態を通知するため、リアルタイム性を担保しつつ、誤検知を抑制し、不具合の要因特定を容易に行うことが可能になる。
  以下、図面を用いて本発明の実施の形態について説明する。
　＜実施の形態１＞
  実施の形態１では本発明をエンジン制御システムのノック制御に適用したときを例題として解説する。
　図１は、本発明の実施の形態１に関わる車両制御装置１の構成図である。車両制御装置１は演算装置（ＣＰＵ）１１、メモリ１２、割り込みコントローラ１４、ハードウェアタイマ１５、アナログデジタル（ＡＤ）変換コントローラ１６、Ｄｉｒｅｃｔ　Ｍｅｍｏｒｙ　Ａｄｄｒｅｓｓ（ＤＭＡ）コントローラ１７、ネットワークコントローラ１８、クランク角センサ１９、アドバンストタイマユニット２０、入出力回路２１を備える。本実施の形態１では演算装置１１はシングルコアを想定しているが、これに限らない。例えばデュアルコアのようなマルチコアであっても良い。メモリ１２のプログラム領域には、初期化処理部１２１、変換起動処理部１２２、解析起動部１２３、解析処理部１２４、逆回転時処理部１２５、逆回転判定部１２６、実行開始表明部１２７、実行終了表明部１２８、逸脱判定部１２９、ランタイム検証部１３０、逸脱状態通知部１３１、オペレーティングシステム１３２を有し、データ記憶領域には、制約式テーブル１４１、並列実行状態１４２、監視状態フラグ１４３、逸脱状態１４４、実行体特性情報１４５を有する。ネットワークコントローラはＣｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　ＮｅｔｗｏｒｋやＦｌｅｘＲａｙ、Ｅｔｈｅｒｎｅｔのような車載ネットワークである。また自動車の外部と通信する無線通信であってもよい。
　図２は制約式テーブル１４１の例である。実施の形態１のＩＤ１４１１は特定のシステム状態とソフト状態における制約式を識別可能なＩＤを示す。システム状態１４１２はシステムの状態を示す。例えば、実施の形態１では、１はエンジンが正常回転状態であることを示し、２はエンジンが逆回転状態であることを示す。ソフト状態１４１３はソフトの状態を示す。例えば、実施の形態１では、１はサンプリング状態、２は解析状態、３は待ち状態、４は停止状態を示す。制約式１４１４は制約式を示す。例えば、実施の形態１では、各々の実行体の実行の有無が制約式の異なるビットに対応する。例えば、クランク角センサ割り込みは４ビット目、解析起動は３ビット目、解析処理は２ビット目、逆転時処理部は１ビット目が該当している。実施の形態１における制約式は４ビットであるが、これに限らない。例えば、３２ビットでも良いし、６４ビットなどでも良い。
　図３は平行実行状態１４２の例である。並列実行状態１４２１は現在の並列に実行されている実行体の状態を示す。
　図４は監視状態フラグ１４３の例である。監視状態フラグ１４３１は現在が監視状態であるか否かを示す。例えば、実施の形態１では監視状態フラグ１４３１の０は監視状態でないことを示し、１は監視状態であることを示す。
　図５は逸脱状態１４４の例である。状態１４４１は逸脱時の並列実行状態を示す。制約式ＩＤ１４４２は制約式テーブル１４１のＩＤ１４１１に対応する。実施の形態１では、制約式ＩＤ１４４２を制約式テーブル１４１のＩＤ１４１１に対応させているがこれに限らない。逸脱判定で使用した際の制約式が特定できれば良い。
　図６は実行体特性情報１４５の例である。ＩＤ１４５１は実行体を識別可能なＩＤである。他への影響情報１４５２は、他の実行体に影響を与える可能性の有無を示す。実施の形態１では１は影響を与えることを示し、０は影響を与えないことを示す。影響を与えるとは、例えば、「ＩＤ１４５１が示す割り込み処理が、他のタスクと共有するグローバル変数に対して排他制御なしでｗｒｉｔｅする」ことを示すが、これに限らない。例えば、実行時間が伸びてしまい、リアルタイム性を阻害する場合や、ＤＭＡ転送でアドレス破壊を行ってしまう場合、強制リセットがかかってしまう場合などを、影響を与えると定義しても良い。
　以降より、実施の形態１に係る動作フローの詳細を説明する。
  図７は初期化処理部１２１の動作フローである。以下、図７の各ステップについて説明する。
  （図７：ステップ１２１１）初期化処理部１２１は、ハードウェアタイマ１５に対して、特定のタイマカウンタと等しくなった際にＡＤ変換コントローラ１６のＡＤ変換処理を起動するように設定する。
  （図７：ステップ１２１２）初期化処理部１２１は、ハードウェアタイマ１５のタイマカウンタがステップ１２１１で設定した値と等しくなった後に、自動で初期値０に戻る設定を行う。
  （図７：ステップ１２１３）初期化処理部１２１は、ＡＤコントローラ１６にＡＤ変換に関する設定と、変換終了後にＤＭＡ転送コントローラ１７の転送処理を起動する設定を実施する。
  （図７：ステップ１２１４）初期化処理部１２１は、ＤＭＡ転送コントローラ１７に転送に関する設定と転送後に解析処理部１２３を割り込み処理で起動する設定を実施する。
  （図７：ステップ１２１５）初期化処理部１２１は、アドバンストタイマユニット２０にクランク角センサ１９の特定のパルスで変換起動処理部１２２を割り込み処理で起動する設定を行う。
  （図７：ステップ１２１６）初期化処理部１２１は、アドバンストタイマユニット２０にクランク角センサ１９の特定のパルスで逆回転時処理部１２５を割り込み処理で起動する設定を行う。
  （図７：ステップ１２１７）初期化処理部１２１は、10ms周期で逆回転判定部１２６とランタイム検証部１３０を起動するようにオペレーティングシステム１３２に設定する。
  （図７：ステップ１２１８）初期化処理部１２１は、ネットワークコントローラ１８に通信の設定を行う。
　図８は変換起動処理部１２２の動作フローである。以下、図８の各ステップについて説明する。
  （図８：ステップ１２２１）変換起動処理部１２２は０ｂ１０００を引数に実行開始表明部１２７を呼び出す。
  （図８：ステップ１２２２）変換起動処理部１２２はＩＤを示す１を引数に逸脱判定部１２９を呼び出す。
  （図８：ステップ１２２３）変換起動処理部１２２はハードウェアタイマ１５を起動させる。
  （図８：ステップ１２２４）変換起動処理部１２２は０ｂ１０００を引数に実行終了表明部１２８を呼び出す。
　図９は解析起動部１２３の動作フローである。以下、図９の各ステップについて説明する。
  （図９：ステップ１２３１）解析起動部１２３は０ｂ０１００を引数に実行開始表明部１２７を呼び出す。
  （図９：ステップ１２３２）解析起動部１２３はＩＤを示す１を引数に逸脱判定部１２９を呼び出す。
  （図９：ステップ１２３３）解析起動部１２３はハードウェアタイマ１５を停止させ、転送カウンタをインクリメントする。
  （図９：ステップ１２３４）解析起動部１２３は転送カウンタが特定の回数以上であるかを判定する。判定結果が真である場合にはステップ１２３５に進み、偽である場合にはステップ１２３７に進む。
  （図９：ステップ１２３５）解析起動部１２３は転送カウンタを初期値０にセットする。
  （図９：ステップ１２３６）解析起動部１２３は解析処理部１２４を割り込み処理で起動する。
  （図９：ステップ１２３７）解析起動部１２３はハードウェアタイマ１５を起動させる。
  （図９：ステップ１２３８）解析起動部１２３は０ｂ０１００を引数に実行終了表明部１２８を呼び出す。
　図１０は解析処理部１２４の動作フローである。以下、図１０の各ステップについて説明する。
  （図１０：ステップ１２４１）解析処理部１２４は０ｂ００１０を引数に実行開始表明部１２７を呼び出す。
  （図１０：ステップ１２４２）解析処理部１２４はＩＤを示す２を引数に逸脱判定部１２９を呼び出す。
  （図１０：ステップ１２４３）解析処理部１２４は解析処理を行う。
  （図１０：ステップ１２４４）解析処理部１２４は０ｂ００１０を引数に実行終了表明部１２８を呼び出す。
　図１１は逆回転時処理部１２５の動作フローである。以下、図１１の各ステップについて説明する。
  （図１１：ステップ１２５１）逆回転時処理部１２５は０ｂ０００１を引数に実行開始表明部１２７を呼び出す。
  （図１１：ステップ１２５２）逆回転時処理部１２５はＩＤを示す４を引数に逸脱判定部１２９を呼び出す。
  （図１１：ステップ１２５３）逆回転時処理部１２５は逆回転時の処理を行う。例えば、逆回転時にはノック制御が不要になるため、処理を停止させて初期化を行う。
  （図１１：ステップ１２５４）逆回転時処理部１２５は０ｂ０００１を引数に実行終了表明部１２８を呼び出す。
　図１２は逆回転判定部１２６の動作フローである。以下、図１２の各ステップについて説明する。
  （図１２：ステップ１２６１）逆回転判定部１２６はクランク角センサ１９の値に基づいて逆回転しているか否かを判定する。
　図１３は実行開始表明部１２７の動作フローである。以下、図１３の各ステップについて説明する。
  （図１３：ステップ１２７１）実行開始表明部１２７は並列実行状態１４２と引数の実行状態フラグでＯＲをとり、並列実行状態１４２に上書きする。実施の形態１はシングルコアであるため、並列実行状態には並行に実行される実行体の状態しか保存されていないが、これに限らない。例えば、マルチコアの場合には並列に実行される実行体の状態を保存する。またＦＰＧＡやＧＰＧＰＵを使用する場合には、それらも実行体の状態として管理する。またこれらに限らない。
　図１４は実行終了表明部１２８の動作フローである。以下、図１４の各ステップについて説明する。
  （図１４：ステップ１２８１）実行終了表明部１２８は並列実行状態１４２と引数の実行状態フラグでＸＯＲをとり、並列実行状態１４２に上書きする。
　図１５は逸脱判定部１２９の動作フローである。以下、図１５の各ステップについて説明する。
  （図１５：ステップ１２９１）実行終了表明部１２９は逸脱状態１４４が初期値であるかを判定する。判定結果が真である場合にはステップ１２９２に進み、偽である場合には本動作フローを終了する。
  （図１５：ステップ１２９２）実行終了表明部１２９は並列実行状態１４２と引数のＩＤに対応する制約式１４１４をＯＲした結果が引数のＩＤに対応する制約式１４１４と等しくないことを判定する。判定結果が真である場合にはステップ１２９３に進み、偽である場合には本動作フローを終了する。
  （図１５：ステップ１２９３）実行終了表明部１２９は監視状態フラグ１４３に１をセットする。
  （図１５：ステップ１２９４）実行終了表明部１２９は並列実行状態を逸脱状態１４３の状態１４３１に、引数のＩＤを逸脱状態１４３の制約式ＩＤ１４３２に保存する。
　図１６はランタイム検証部１３０の動作フローである。以下、図１６の各ステップについて説明する。
  （図１６：ステップ１３０１）ランタイム検証部１３０は逸脱状態１４３の状態１４３１と逸脱状態の制約式ＩＤ１４３２に基づいた制約式１４１４に対してＸＯＲを取ることで設計から逸脱した実行体ＩＤを特定する。
  （図１６：ステップ１３０２）ランタイム検証部１３０は実行体特性情報１４５において特定した実行体ＩＤが他に影響が与えるかを判定する。判定結果が真である場合にはステップ１３０３に進み、偽である場合にはステップ１３０４に進む。
  （図１６：ステップ１３０３）ランタイム検証部１３０は逸脱状態保存部１３１ａを呼び出す。
  （図１６：ステップ１３０４）ランタイム検証部１３０は監視状態フラグを０にセットすることで監視状態を解除する。
　図１７は逸脱状態通知部１３１の動作フローである。以下、図１７の各ステップについて説明する。
  （図１７：ステップ１３１１）逸脱状態通知部１３１は不具合原因を示すエラーコードと共に逸脱状態１４３をネットワークに送信する。実施の形態１は逸脱状態をネットワークに送信することで通知を行っているがこれに限らない。例えば、逸脱状態をログとして保存し、整備時やソフトウェア更新時にログを参照しても良い。また無線通信で自動車の外部にあるサーバに通知しても良い。
　図１８は実施の形態１における車両制御装置１の例となる動作シナリオである。システム状態はエンジンの状態を表し、ソフト状態はシステムの状態に応じた状態遷移を行う。
  実施の形態１では正回転の場合にはサンプリング、ノック解析、点火、サンプリングタイミング待ちを繰り返し、逆回転の場合には処理を停止する。クランク角割り込みは特定のパルスで起動され、パルスに応じて変換起動処理部１２２と逆回転時処理部１２５の適切な処理部を選択し、実行する。実施の形態１ではこのように選択を行うが、これに限らない。例えば同じタイミングで実行しても良い。転送完了割り込みはＤＭＡ転送終了時に起動され、解析起動部１２３を実行する。ソフトウェア割り込みは解析起動部１２３によって発行され、解析処理部１２４を実行する。検証タスクは周期的にオペレーティングシステムによって実行され、ランタイム検証１３０を実行する。検証タスクは他の割り込み処理のリアルタイム性を阻害しないように低い優先度で実行される。実施の形態１ではランタイム検証１３０を割り込み処理よりも低い優先度で実行する方法をとっているが、リアルタイム性を阻害しなければこれに限らない。例えば、割り込み処理の直後に実行しても良い。しかし、ランタイム検証が実行しなければらないデッドラインは機能安全規格ＩＳＯ２６２６２で定義されたＦａｕｌｔ　Ｔｏｌｅｒａｎｔ　Ｔｉｍｅ　Ｉｎｔｅｒｖａｌ（ＦＴＴＩ）におけるＤｉａｇｎｏｓｔｉｃ　Ｔｅｓｔ　Ｉｎｔｅｒｖａｌの時間以下で実行されなければならない。並列実行状態は並列実行状態１４２の値の変化を示し、制約式はそのタイミングにおけるシステム状態とソフト状態に対応した制約式１４１４の変化を示す。監視状態フラグは監視状態フラグ１４３の値の変化を示し、逸脱状態は逸脱状態１４４の値の変化を示す。ネットワークはネットワークコントローラ１８の状態を示す。
  実施の形態１ではシステム状態が逆回転に変化したタイミングで、クランク角の状態が丁度、逆回転時処理部を実行するタイミングであるとＡＤ変換コントローラ１６を停止させる初期化を実施するが、その際にＡＤ変換中である場合には停止命令を受け付けず、変換終了後に停止される。しかし、変換終了によりＤＭＡ転送が起こるために想定外の割り込みが発生したことを検知するシナリオを示している。実施の形態１ではこのような例題を用いているがこれに限らない。例えば、マルチコアマイコン、メニーコアマイコン、ＦＰＧＡ搭載マイコンなどにも適用可能である。本シナリオでは、解析起動部１２３で設計からの逸脱を検知し、監視状態に遷移する。その後、ランタイム検証部１３０によって不具合の影響を検証され、結果が真であったためネットワークを介して逸脱状態を通知する。
　実施の形態１では、設計からの逸脱を制約式で記載された並列実行状態で検知するため、処理のオーバヘッドを削減できる。制約式で記載することで設計からの逸脱の大枠のみを確認し、割り込み処理とは別に、逸脱の影響を詳細に調べることが可能になり、割り込み処理のリアルタイム性を担保できる。
　実施の形態１では、逸脱判定部１２９でのみ並列実行状態が制約式を充足するか判定を行っていないが、これに限らない。例えば、ランタイム検証部１３０でさらに詳細な制約式で追加判定を行って良い。例えば、逸脱判定部１２９でタスクレベルの並列実行状態の判定を行い、ランタイム検証部１３０で関数レベルの並列実行状態の判定を行っても良い。
　更に、例えば、タスクが他のタスクを起動するようなタスクチェインを用いたシステムである場合、逸脱判定部１２９で最初に起動されるタスク同士に対して逸脱判定部１２９で並列実行状態の判定を行い、ランタイム検証部１３０で２個目からのタスクも含めた並列実行状態の判定を行っても良い。
　実施の形態１では、設計からの逸脱を検知する方法は制約式に限らない。例えば、状態遷移シミュレーションでも良い。
　実施の形態１では、制約式テーブルを１つしか用意していないがこれに限らない。２つ以上でも良い。
　実施の形態１では、逸脱判定部１２９とランタイム検証部１３０を監視対象の車両制御装置と同じＥＣＵに搭載しているが、これに限らない。例えば、別のコンピュータ上で並列に実行しつつ判定しても良いし、動作ログを解析することによって判定しても良い。
　実施の形態１では、逸脱からの逸脱を検知しても、直ぐにフェールセーフのような対異常処理を実行しないため、誤検知による可用性低下を防止できる。
　実施の形態１では、ランタイム検証部１３０が不具合の影響がないと判定した際に監視状態フラグをクリアし、監視状態を解除しているがこれに限らない。例えば、監視状態を解除しないでも良いし、システムのＯＦＦに伴い監視状態を解除しても良い。またこれらに限らない。
　実施の形態１では、逸脱状態を上書きする方法としてあるが、これに限らない。逸脱判定後の状態を時系列順に保存し続けても良い。またこれらに限らない。
　実施の形態１では、ランタイム検証部１３０が不具合の影響があると判定した場合に、逸脱状態を通知しているが、これに限らない。逸脱状態を保存しても良いし、フェールセーフ処理を行っても良い。
　以上のように、本実施の形態１によれば、逸脱判定部１２９が、実行体の起動が設計想定から逸脱していることを判定し、監視状態に遷移させ、ランタイム検証部１３０が監視状態では割り込み処理とは別のタイミングで逸脱影響を検証し、監視状態でエラーを検出した場合には逸脱状態通知部１３１がエラーコードと共に逸脱時の状態を通知するため、割り込み処理のリアルタイム性を阻害せずに設計の逸脱を検知でき、更に誤検知による可用性低下を防止できるため、リアルタイム性と高信頼性が求められる自動車制御システムに好適である。また、不具合の要因特定が容易に行われるため、安全性が求められる自動車制御システムに好適である。
１２９　逸脱判定部、１３０　ランタイム検証部、１３１ａ　逸脱状態保存部、１３１　逸脱状態通知部。

Claims (13)

  1. 　実行体の実行タイミングが設計想定から逸脱していることを判定し、監視状態に遷移する逸脱判定部と、割り込み処理とは異なるタイミングで逸脱影響を検証するランタイム検証部と、を備えること特徴とする車両制御装置。
  2. 　前記監視状態でエラーを検出した場合には、エラーコードと共に逸脱時の状態を保存する逸脱状態保存部を備えることを特徴とする請求項１記載の車両制御装置。
  3. 　前記実行体は、割り込み処理、タスク、回路処理の少なくともいずれかであることを特徴とする請求項１記載の車両制御装置。
  4. 　前記逸脱時の状態は、前記実行体の実行状況であることを特徴とする請求項１記載の車両制御装置。
  5. 　設計想定からの逸脱を、前記実行体の並列実行制約が記載された制約式からの充足性で判定する前記逸脱判定部で構成されることを特徴とする請求項１記載の車両制御装置。
  6. 　前記並列実行制約とは、同時に並列実行が許可されたタスクや割り込み処理の群であることを特徴とする請求項５記載の車両制御装置。
  7. 　前記並列実行制約には、同じコア内における前記並行実行制約も含まれることを特徴とする請求項５記載の車両制御装置。
  8. 　前記並列実行制約は、マルチコアにおける処理やＧＰＵの処理、ＦＰＧＡの処理も含まれることを特徴とする請求項５記載の車両制御装置。
  9. 　前記割り込み処理とは異なる前記タイミングとは、前記割り込み処理が実行されていない時間、または前記割り込み処理の最後の時間、または前記割り込み処理より低い優先度でランタイム検証部を実行することを特徴とする請求項１記載の車両制御装置。
  10. 　各状態の状態遷移イベントの充足性で判定する前記逸脱判定部で構成されることを特徴とする請求項１記載の車両制御装置。
  11. 　イベント発生の充足性判定を、状態遷移シミュレーションで判定する前記逸脱判定部であることを特徴とする請求項１０記載の車両制御装置。
  12. 　監視対象のプログラムが状態遷移設計されたプログラムであることを特徴とする請求項１記載の車両制御装置。
  13. 　逸脱判定と、割り込み処理とは異なるタイミングで逸脱影響を検証するランタイム検証とをＰＣで実行し、実行体の実行状態のログから設計の前記逸脱判定する設計検証支援環境。
PCT/JP2018/010156 2017-03-24 2018-03-15 車両制御装置 WO2018173910A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/481,320 US11372706B2 (en) 2017-03-24 2018-03-15 Vehicle control device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-058394 2017-03-24
JP2017058394A JP6838234B2 (ja) 2017-03-24 2017-03-24 車両制御装置

Publications (1)

Publication Number Publication Date
WO2018173910A1 true WO2018173910A1 (ja) 2018-09-27

Family

ID=63585413

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/010156 WO2018173910A1 (ja) 2017-03-24 2018-03-15 車両制御装置

Country Status (3)

Country Link
US (1) US11372706B2 (ja)
JP (1) JP6838234B2 (ja)
WO (1) WO2018173910A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6984512B2 (ja) * 2018-03-22 2021-12-22 株式会社デンソー 電子制御装置
JP7006461B2 (ja) * 2018-04-02 2022-01-24 株式会社デンソー 電子制御装置および電子制御システム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001323836A (ja) * 2000-05-17 2001-11-22 Denso Corp クランク同期タスクの異常検出方法
JP2012248022A (ja) * 2011-05-27 2012-12-13 Toyota Motor Corp 情報処理装置、故障検出装置、故障検出方法
JP2013041501A (ja) * 2011-08-18 2013-02-28 Hitachi Automotive Systems Ltd 車両制御装置、車両制御システム
WO2016013155A1 (ja) * 2014-07-22 2016-01-28 株式会社デンソー 車両用装置及び状態遷移プログラム製品
JP2016057969A (ja) * 2014-09-11 2016-04-21 日立オートモティブシステムズ株式会社 プログラム検査装置、ソフトウェア検査装置、ｓａｔ制約条件データ、記憶媒体

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS4995548A (ja) * 1973-01-12 1974-09-10
JP4226085B2 (ja) * 1996-10-31 2009-02-18 株式会社ルネサステクノロジ マイクロプロセッサ及びマルチプロセッサシステム
US7260752B2 (en) * 2004-02-19 2007-08-21 International Business Machines Corporation Method and apparatus for responding to critical abstracted platform events in a data processing system
JP4874440B2 (ja) 2004-06-29 2012-02-15 株式会社デンソー 状態とイベントの組にアクションを割り当てた対応情報に基づいてプログラムを生成するプログラム生成プログラム、プログラム生成装置、およびプログラム生成方法、ならびに、これらによって生成されるプログラム
JP4820692B2 (ja) * 2006-05-30 2011-11-24 Ｏｋｉセミコンダクタ株式会社 センサ制御回路
JP4496205B2 (ja) 2006-12-18 2010-07-07 日立オートモティブシステムズ株式会社 制御用マイクロコンピュータの検証装置および車載用制御装置
US8255602B2 (en) * 2008-09-09 2012-08-28 Texas Instruments Incorporated Effective mixing real-time software with a non-real-time operating system
JP5542398B2 (ja) * 2009-09-30 2014-07-09 株式会社日立製作所 障害の根本原因解析結果表示方法、装置、及びシステム
DE102012205988A1 (de) * 2012-04-12 2013-10-17 Robert Bosch Gmbh Teilnehmerstation für ein Bussystem und Verfahren zur Übertragung von Nachrichten zwischen Teilnehmerstationen eines Bussystems
US9921937B2 (en) * 2014-01-23 2018-03-20 Microsoft Technology Licensing, Llc Behavior clustering analysis and alerting system for computer applications
KR20150129460A (ko) * 2014-05-12 2015-11-20 현대모비스 주식회사 차량용 지능형 배터리 센서 및 이를 이용한 데이터 저장 방법
US9542254B2 (en) * 2014-07-30 2017-01-10 International Business Machines Corporation Application-level signal handling and application-level memory protection
EP3482354A1 (en) * 2016-07-07 2019-05-15 Aspen Technology Inc. Computer systems and methods for performing root cause analysis and building a predictive model for rare event occurrences in plant-wide operations
CN107077408A (zh) * 2016-12-05 2017-08-18 华为技术有限公司 故障处理的方法、计算机系统、基板管理控制器和系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001323836A (ja) * 2000-05-17 2001-11-22 Denso Corp クランク同期タスクの異常検出方法
JP2012248022A (ja) * 2011-05-27 2012-12-13 Toyota Motor Corp 情報処理装置、故障検出装置、故障検出方法
JP2013041501A (ja) * 2011-08-18 2013-02-28 Hitachi Automotive Systems Ltd 車両制御装置、車両制御システム
WO2016013155A1 (ja) * 2014-07-22 2016-01-28 株式会社デンソー 車両用装置及び状態遷移プログラム製品
JP2016057969A (ja) * 2014-09-11 2016-04-21 日立オートモティブシステムズ株式会社 プログラム検査装置、ソフトウェア検査装置、ｓａｔ制約条件データ、記憶媒体

Also Published As

Publication number Publication date
US11372706B2 (en) 2022-06-28
JP6838234B2 (ja) 2021-03-03
JP2018160205A (ja) 2018-10-11
US20190354424A1 (en) 2019-11-21

Similar Documents

Publication Publication Date Title
US9058419B2 (en) System and method for verifying the integrity of a safety-critical vehicle control system
JP2000040075A (ja) マルチプロセッサ・コンピュ―タ・システムにおける決定論、ならびにそのためのモニタおよびプロセッサ
US9707908B2 (en) Driving device
WO2018173910A1 (ja) 車両制御装置
JP2010173633A (ja) 制御装置を調整するための方法および操作ユニット
JPS5968004A (ja) 車載用コンピユ−タのフエイルセ−フ方法
JP2009129463A (ja) 車両制御装置のリアルタイムシステムにおける一時的エラーの処理方法
US20120173933A1 (en) Profile-based execution monitoring
KR102020994B1 (ko) 결함 주입 테스트 방법 및 장치
JP2016066139A (ja) 車両制御装置
JPH02294739A (ja) 障害検出方式
JP2013507698A (ja) 安全性に関連したおよび安全性に関連していないソフトウェア・コンポーネントを１つのハードウェア・プラットフォーム上で実行する方法
JP2010113419A (ja) マルチコア制御装置
US20220222135A1 (en) Electronic control device
JP2007011639A (ja) 入出力制御装置，情報制御装置，入出力制御方法及び情報制御方法
JP6668226B2 (ja) 電子制御装置
US10514970B2 (en) Method of ensuring operation of calculator
WO2013073009A1 (ja) マイコンシステム、監視マイコン
JP2016203764A (ja) 車両の電子制御装置
JP2019191942A (ja) 制御装置および機能検査方法
US20140164850A1 (en) Avoiding processing flaws in a computer processor triggered by a predetermined sequence of hardware events
JP2002229811A (ja) 論理分割システムの制御方法
JP5425445B2 (ja) 処理制御システム、方法及びプログラム
KR20240112059A (ko) 결함 주입 테스트 방법 및 장치와 결함 주입 방법
JP7504222B2 (ja) 車載用制御システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18770213

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18770213

Country of ref document: EP

Kind code of ref document: A1