WO2018225461A1 - 処理装置及びコンピュータプログラム - Google Patents

処理装置及びコンピュータプログラム Download PDF

Info

Publication number
WO2018225461A1
WO2018225461A1 PCT/JP2018/018631 JP2018018631W WO2018225461A1 WO 2018225461 A1 WO2018225461 A1 WO 2018225461A1 JP 2018018631 W JP2018018631 W JP 2018018631W WO 2018225461 A1 WO2018225461 A1 WO 2018225461A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
unit
processing
storage unit
cpu
Prior art date
Application number
PCT/JP2018/018631
Other languages
English (en)
French (fr)
Inventor
松本　真
靖弘 藪内
剛志 萩原
前田　英樹
一郎 神田
隼人 四方
博史 浦山
Original Assignee
株式会社オートネットワーク技術研究所
住友電装株式会社
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社オートネットワーク技術研究所, 住友電装株式会社, 住友電気工業株式会社 filed Critical 株式会社オートネットワーク技術研究所
Publication of WO2018225461A1 publication Critical patent/WO2018225461A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing

Definitions

  • the present invention relates to a vehicle processing apparatus and a computer program.
  • the vehicle is equipped with an ECU (Electronic Control Unit) that controls the vehicle (see, for example, Patent Document 1).
  • the ECU described in Patent Document 1 is equipped with a microcomputer (hereinafter referred to as a microcomputer).
  • the microcomputer includes a CPU (Central Processing Unit), a RAM (Random Access Memory), and a storage unit. The CPU executes processing according to the computer program stored in the storage unit.
  • a CPU equipped with an MMU Memory Management Unit
  • MMU Memory Management Unit
  • the CPU includes a processing unit that executes processing and a data management unit that manages data.
  • the data management unit writes and reads data according to instructions from the processing unit.
  • the processing unit specifies a logical address and instructs the data management unit to write data.
  • the data management unit determines a physical address in the data area of the storage unit, writes data to the determined physical address, and stores a correspondence relationship between the logical address specified by the processing unit and the physical address where the data is written.
  • the processing unit designates a logical address and instructs reading of data.
  • the data management unit searches for a physical address corresponding to the designated logical address, and reads data stored in the searched physical address.
  • the processing unit does not need to manage data, and therefore can perform processing efficiently.
  • the data management unit determines an area (physical address) for storing data. For this reason, when the data management unit is operating, there is a problem that it is difficult to inspect the storage unit because data cannot be easily written into the inspection area.
  • the present invention has been made in view of such circumstances, and an object of the present invention is to provide a processing device and a computer program capable of easily inspecting a storage unit.
  • a processing apparatus is a processing apparatus for a vehicle including a processing element that executes processing and a storage unit that writes and reads data by the processing element. And a data management unit that writes data to the storage unit and reads data from the storage unit in accordance with instructions from the processing unit.
  • the data management unit operates as the processing unit. Data is directly written to the storage unit, the written data is read directly from the storage unit, and the storage unit is inspected based on the written data and the read data.
  • the processing unit causes the data management unit to perform the writing and reading when the data management unit is operating.
  • the processing unit loads a computer program related to an operating system after inspecting the storage unit, executes processing according to the loaded computer program, and the processing unit performs processing according to the computer program.
  • the data management unit is operating.
  • the number of the storage units is two or more, and the two or more storage units temporarily store a storage unit that stores a computer program related to an operating system. And a storage unit.
  • the processing device is characterized in that the processing unit inspects at least one of a communication unit that performs communication and a sensor mounted on a vehicle while the data management unit is operating. To do.
  • a computer program includes a processing unit that executes processing, a storage unit that stores data, and writing of data to the storage unit in accordance with instructions from the processing unit, and data storage from the storage unit
  • a computer program for causing a processing unit of a vehicle processing apparatus to perform processing to perform processing, wherein the data management unit is configured to read out data while the operation of the data management unit is stopped. And writing the data directly from the storage unit while the operation of the data management unit is stopped, and processing for inspecting the storage unit based on the written data and the read data
  • the processing unit is executed.
  • the processing unit directly writes data to the storage unit and reads data from the storage unit while the operation of the data management unit is stopped.
  • the storage unit is inspected by determining whether the written data and the read data match. For this reason, since the processing unit can easily write the data in the inspection area set in advance in the data area of the storage unit, it is possible to easily inspect the storage unit.
  • the processing unit inspects the storage unit and then loads the computer program related to the operating system.
  • the data management unit operates while the processing unit executes processing according to the computer program related to the operating system.
  • the processing unit inspects at least a storage unit in which a computer program related to the operating system is stored and a storage unit in which data is temporarily stored.
  • the processing unit inspects at least one of the communication unit and the sensor while the data management unit is operating.
  • the storage unit can be easily inspected.
  • FIG. 2 is a block diagram showing a main part configuration of an ECU in the first embodiment. It is explanatory drawing of the access to a 2nd memory
  • FIG. 6 is a block diagram showing a main part configuration of an ECU in a second embodiment. It is a flowchart which shows the procedure of a 1st test
  • FIG. 1 is a block diagram illustrating a main configuration of the ECU according to the first embodiment.
  • the ECU 1 functions as a processing device and is suitably mounted on the vehicle.
  • the ECU 1 is connected to an electric device (not shown) mounted on the vehicle.
  • ECU1 controls operation
  • the communication lines L1 and L2 are connected to the ECU 1 separately.
  • An external ECU (not shown) is further connected to the communication line L1.
  • the ECU 1 and the external ECU are mounted on the same vehicle.
  • An electric device mounted on the vehicle is also connected to the external ECU.
  • the external ECU also controls the operation of the electrical equipment connected to itself.
  • the ECU 1 communicates with an external ECU via the communication line L1. Communication via the communication line L1 is performed, for example, according to a CAN (Controller-Area-Network) protocol.
  • the ECU 1 and the external ECU cause the electric devices connected to the ECU 1 and the external ECU to perform a cooperative operation by communicating with each other.
  • the ECU 1 is connected to a second electric device (not shown) mounted on the vehicle by a communication line L2.
  • the ECU 1 receives data from the second electric device. Further, the ECU 1 transmits data instructing a specific operation via the communication line L2.
  • the second electric device is, for example, a camera that photographs the outside of the vehicle. In this case, the ECU 1 transmits data for instructing photographing to the second electric device, and receives data based on an image photographed by the second electric device from the second electric device.
  • Communication via the communication line L2 is performed according to a communication protocol related to Ethernet (registered trademark), for example.
  • the ECU 1 includes a microcomputer 20, a memory 21, a first communication unit 22, a first sensor 23, and a notification unit 24.
  • the memory 21, the first communication unit 22, the first sensor 23, and the notification unit 24 are connected to the microcomputer 20 separately.
  • the first communication unit 22 is connected to the communication line L1 in addition to the microcomputer 20.
  • the microcomputer 20 includes a first CPU 30, a first storage unit 31, a first RAM 32, and an interface 33. These are connected to the bus 34 separately.
  • the interface 33 is connected to the memory 21, the first communication unit 22, the first sensor 23, and the notification unit 24.
  • the first CPU 30 writes data to the memory 21 and reads data from the memory 21 via the interface 33.
  • the first CPU 30 instructs the first communication unit 22 to transmit data via the interface 33.
  • the first communication unit 22 transmits data in accordance with an instruction from the first CPU 30.
  • the first communication unit 22 receives data via the communication line L1.
  • the first CPU 30 acquires the data received by the first communication unit 22 from the first communication unit 22 via the interface 33.
  • the first sensor 23 is mounted on the vehicle and detects a physical quantity related to the vehicle. This physical quantity is vehicle speed, brightness outside the vehicle, or the like.
  • the first CPU 30 acquires information indicating the physical quantity detected by the first sensor 23 from the first sensor 23 via the interface 33.
  • the first CPU 30 outputs first request data for requesting a response to the first communication unit 22 and the first sensor 23 via the interface 33.
  • Each of the first communication unit 22 and the first sensor 23 outputs, to the interface 33, first response data indicating the input of the first request data when the first request data is input from the first CPU 30 via the interface 33.
  • the first CPU 30 acquires first response data from the interface 33.
  • the first CPU 30 outputs the first request data to the first communication unit 22, and the first communication unit 22 fails based on whether or not the first response data is input from the first communication unit 22 to the interface 33. It is determined whether or not.
  • the first CPU 30 outputs the first request data to the first sensor 23, and the first sensor 23 fails based on whether or not the first response data is input from the first sensor 23 to the interface 33. It is determined whether or not.
  • the first CPU 30 instructs the notification unit 24 to notify the failure via the interface 33.
  • the notification unit 24 outputs a notification signal instructing notification to a display device (not shown), and causes the display device to display a message indicating a failure of the ECU 1.
  • reporting part 24 lights the lamp which is not shown in figure as another example. As a result, the user is notified of the failure of the ECU 1.
  • the first storage unit 31 is, for example, a nonvolatile memory.
  • the first storage unit 31 stores a control program P1.
  • the first CPU 30 executes various processes including the first inspection process by executing the control program P1 stored in the first storage unit 31.
  • the first inspection process is a process for inspecting the memory 21, the first communication unit 22, the first sensor 23, the first storage unit 31, and the first RAM 32.
  • the control program P1 is a computer program for causing the first CPU 30 to execute various processes including the first inspection process.
  • the control program P1 may be stored in the storage medium E1 so that the computer (first CPU 30) can read it.
  • the control program P1 read from the storage medium E1 by a reading device (not shown) is stored in the first storage unit 31.
  • the storage medium E1 is an optical disk, a flexible disk, a magnetic disk, a magnetic optical disk, a semiconductor memory, or the like.
  • the optical disc is a CD (Compact Disc) -ROM (Read Only Memory), a DVD (Digital Versatile Disc) -ROM, or a BD (Blu-ray (registered trademark) Disc).
  • the magnetic disk is, for example, a hard disk.
  • the control program P1 may be downloaded from an external device (not shown) connected to a communication network (not shown), and the control program P1 may be stored in the first storage unit 31.
  • the process executed by the first CPU 30 according to the control program P1 includes a process of writing data to the first storage unit 31 or the first RAM 32 and a process of reading data from the first storage unit 31 or the first RAM 32.
  • the first RAM 32 is a memory that temporarily stores data. For this reason, when the microcomputer 20 stops its operation, the data stored in the first RAM 32 is erased.
  • the ECU 1 further includes a second CPU 40, a second storage unit 41, a second RAM 42, an interface 43, a second communication unit 44, and a second sensor 45.
  • the second CPU 40, the second storage unit 41, the second RAM 42 and the interface 43 are connected to the bus 46 separately.
  • the interface 43 is further connected to the interface 33 of the microcomputer 20, the second communication unit 44, and the second sensor 45.
  • the second communication unit 44 is further connected to the communication line L2.
  • the second CPU 40 instructs the second communication unit 44 through the interface 43 to transmit data instructing a specific operation.
  • the 2nd communication part 44 transmits the data which instruct
  • the second communication unit 44 receives data from the second electric device.
  • the second CPU 40 acquires data received by the second communication unit 44 from the second communication unit 44 via the interface 43.
  • the second electrical device is, for example, a camera that photographs the outside of the vehicle.
  • the second CPU 40 instructs the second communication unit 44 to transmit data for instructing photographing.
  • the second communication unit 44 transmits data instructing photographing to the second electric device.
  • the second electric device photographs the outside of the vehicle and transmits data based on the photographed image to the second communication unit 44.
  • the second communication unit 44 receives data from the second electric device.
  • the second CPU 40 acquires data received by the second communication unit 44.
  • the second sensor 45 is mounted on the vehicle and detects a physical quantity related to the vehicle. This physical quantity is vehicle speed, brightness outside the vehicle, or the like.
  • the second CPU 40 acquires information indicating the physical quantity detected by the second sensor 45 from the second sensor 45 via the interface 43.
  • the first CPU 30 outputs inspection data instructing inspection of the second storage unit 41, the second RAM 42, the second communication unit 44, and the second sensor 45 to the interface 43 through the interface 33.
  • the second CPU 40 is activated.
  • the second storage unit 41 is, for example, a nonvolatile memory.
  • the second storage unit 41 stores a startup program B1, a basic program B2, and an application program B3.
  • the second CPU 40 executes the startup process according to the startup program B1 stored in the second storage unit 41.
  • the startup process is a process of inspecting the second storage unit 41 and the second RAM 42 and loading the startup program B1 stored in the second storage unit 41 into the second RAM 42.
  • the activation program B1 is a computer program for causing the second CPU 40 to execute activation processing.
  • the second storage unit 41 also stores data other than the startup program B1, the basic program B2, and the application program B3.
  • the basic program B2 is a computer program related to the operating system.
  • the second CPU 40 executes various processes including the second inspection process according to the basic program B2.
  • the second inspection process is a process for inspecting the second communication unit 44 and the second sensor 45.
  • the processing executed by the second CPU 40 according to the basic program B2 includes processing for loading the application program B3 into the second RAM 42.
  • the second CPU 40 executes processing according to the basic program B2 and the application program B3.
  • the second CPU 40 functions as a processing element.
  • the basic program B2 is a computer program for causing the second CPU 40 to execute various processes including the second inspection process.
  • the application program B3 is a computer program for causing the second CPU 40 to execute various processes.
  • each of the start program B1, the basic program B2, and the application program B3 may be stored in the storage medium E2 so that the computer (second CPU 40) can read the program.
  • the activation program B1, the basic program B2, and the application program B3 read from the storage medium E2 by a reading device (not shown) are stored in the second storage unit 41.
  • the storage medium E2 is an optical disk, a flexible disk, a magnetic disk, a magnetic optical disk, a semiconductor memory, or the like.
  • the startup program B1, the basic program B2, and the application program B3 are downloaded from an external device (not shown) connected to a communication network (not shown), and the startup program B1, the basic program B2, and the application program B3 are stored in the second storage unit 41. May be.
  • the second CPU 40 executes processing in accordance with the activation program B1, the basic program B2, or the application program B3.
  • the process executed by the second CPU 40 includes a process of writing data to the second storage unit 41, a process of writing data to the second RAM 42, a process of reading data from the second storage unit 41, and a process of reading data from the second RAM 42. It is.
  • the second RAM 42 is a memory that temporarily stores data. For this reason, when the microcomputer 20 stops its operation, the data stored in the second RAM 42 is erased.
  • the MMU is mounted on the second CPU 40, and the second CPU 40 has a processing unit 50 and a data management unit 51.
  • the processing unit 50 executes processing according to the activation program B1, the basic program B2, and the application program B3.
  • the data management unit 51 writes data to the second storage unit 41, writes data to the second RAM 42, reads data from the second storage unit 41, and reads data from the second RAM 42.
  • FIG. 2 is an explanatory diagram of access to the second storage unit 41 and the second RAM 42.
  • the processing unit 50 When the processing unit 50 is executing processing according to the activation program B1, that is, when the data management unit 51 is not operating, the processing unit 50 stores data in the second storage unit 41 and the second RAM 42, respectively. Direct access to the specified data area. Therefore, the processing unit 50 directly writes and reads data to and from the second storage unit 41 and the second RAM 42 without using the data management unit 51.
  • An inspection area is provided in advance in each data area of the second storage unit 41 and the second RAM 42. The inspection area is an area where data is written and read in the inspection. When the data management unit 51 stops operating, the processing unit 50 can write data in the inspection area.
  • the processing unit 50 When the processing unit 50 is executing processing according to the basic program B2, that is, when the data management unit 51 is operating, the processing unit 50 designates a logical address and writes data to the designated logical address.
  • the data management unit 51 is instructed.
  • the data management unit 51 determines the physical address of the second storage unit 41 or the second RAM 42 to which data is to be written in the data areas of the second storage unit 41 and the second RAM 42, and writes the data to the determined physical address.
  • the logical address is a virtual address
  • the physical address is an actual address.
  • the data management unit 51 stores a correspondence relationship between the logical address designated by the processing unit 50 and the physical address where data is actually written.
  • the data management unit 51 determines an area (physical address) in which data is to be written, so the processing unit 50 cannot easily write data to the inspection area.
  • the processing unit 50 when the processing unit 50 is executing processing according to the basic program B2, the processing unit 50 designates a logical address and instructs the data management unit 51 to read data relating to the designated logical address.
  • the data management unit 51 searches the physical address of the second storage unit 41 or the second RAM 42 corresponding to the designated logical address, and reads the data stored in the searched physical address. Data read by the data management unit 51 is acquired by the processing unit 50.
  • the processing unit 50 when the processing unit 50 is executing processing according to the basic program B2, that is, when the data management unit 51 is operating, the data management unit 51 writes data according to the instruction of the processing unit 50. And reading. For this reason, since the processing unit 50 does not need to manage data, the processing can be executed efficiently.
  • the processing unit 50 of the second CPU 40 illustrated in FIG. 1 outputs second request data for requesting a response to the second communication unit 44 and the second sensor 45 via the interface 43.
  • the second communication unit 44 and the second sensor 45 each output second response data indicating the input of the second request data to the interface 43. To do.
  • the processing unit 50 acquires second response data from the interface 43.
  • the processing unit 50 outputs the second request data to the second communication unit 44, and the second communication unit 44 fails based on whether or not the second response data is input from the second communication unit 44 to the interface 43. It is determined whether or not.
  • the processing unit 50 outputs the second request data to the second sensor 45, and the second sensor 45 fails based on whether or not the second response data is input from the second sensor 45 to the interface 43. It is determined whether or not.
  • the processing unit 50 of the second CPU 40 performs inspection according to the activation program B1 and the basic program B2, and outputs result data indicating normality or failure to the interface 33 of the microcomputer 20 via the interface 43.
  • “Normal” in the result data means that the second storage unit 41, the second RAM 42, the second communication unit 44, and the second sensor 45 are all normal.
  • “Failure” in the result data means that at least one of the second storage unit 41, the second RAM 42, the second communication unit 44, and the second sensor 45 has failed.
  • the first CPU 30 obtains result data via the interface 33.
  • FIG 3 and 4 are flowcharts showing the procedure of the first inspection process.
  • the first CPU 30 After the first CPU 30 is activated, the first CPU 30 first executes the first inspection process according to the control program P1. For example, the first CPU 30 is activated when the ignition switch of the vehicle is turned on and the power supply to the ECU 1 is started.
  • the first CPU 30 writes data in the first storage unit 31 (step S1).
  • the first CPU 30 writes data in a preset inspection area in the data area of the first storage unit 31.
  • the first CPU 30 reads the data written in step S1 from the first storage unit 31 (step S2).
  • step S3 the first CPU 30 determines whether or not the first storage unit 31 has failed.
  • step S3 the first CPU 30 determines that the first storage unit 31 has not failed, that is, is normal when the data written in step S1 matches the data read in step S2.
  • the first CPU 30 determines that the first storage unit 31 has failed when the data written in step S1 and the data read in step S2 do not match.
  • the first CPU 30 determines that the first storage unit 31 has not failed (S3: NO)
  • the first CPU 30 writes data in the first RAM 32 (step S4).
  • the first CPU 30 writes data in a preset inspection area in the data area of the first RAM 32.
  • the first CPU 30 reads the data written in step S4 from the first RAM 32 (step S5).
  • step S6 the first CPU 30 determines whether or not the first RAM 32 is out of order.
  • step S6 the first CPU 30 determines that the first RAM 32 has not failed, that is, is normal when the data written in step S4 matches the data read in step S5.
  • step S5 the data written in step S4 and the data read in step S5 do not match, the first CPU 30 determines that the first RAM 32 has failed.
  • the first CPU 30 determines that the first RAM 32 has not failed (S6: NO)
  • the first CPU 30 writes data to the memory 21 via the interface 33 (step S7).
  • the first CPU 30 writes data in the inspection area set in advance in the data area of the memory 21.
  • the first CPU 30 reads the data written in step S7 from the memory 21 via the interface 33 (step S8).
  • step S9 determines whether or not the memory 21 has failed.
  • step S9 if the data written in step S7 matches the data read in step S8, the first CPU 30 determines that the memory 21 has not failed, that is, is normal. The first CPU 30 determines that the memory 21 has failed when the data written in step S7 does not match the data read in step S8.
  • step S10 When the first CPU 30 determines that the memory 21 has not failed (S9: NO), the first CPU 30 outputs the first request data to the first communication unit 22 via the interface 33 (step S10).
  • step S11 the first CPU 30 determines whether or not the first communication unit 22 has failed (step S11).
  • step S ⁇ b> 11 when the first response data is input from the first communication unit 22 to the interface 33 before the first reference time elapses after the execution of step S ⁇ b> 10, the first CPU 30 It is determined that there is no failure, that is, normal. If the first response data is not input from the first communication unit 22 to the interface 33 before the first reference time elapses after the execution of step S10, the first CPU 30 breaks down. It is determined that The first reference time is constant and set in advance.
  • the first CPU 30 When it is determined that the first communication unit 22 has not failed (S11: NO), the first CPU 30 outputs the first request data to the first sensor 23 via the interface 33 (step S12). Next, the first CPU 30 determines whether or not the first sensor 23 has failed (step S13). In step S13, when the first response data is input from the first sensor 23 to the interface 33 before the second reference time elapses after the execution of step S12, the first CPU 30 breaks down the first sensor 23. Not determined, that is, determined to be normal. When the first response data is not input from the first sensor 23 to the interface 33 before the second reference time elapses after the execution of step S12, the first CPU 30 determines that the first sensor 23 has failed. judge. The second reference time is constant and set in advance.
  • the interface The notification unit 24 is instructed to notify the failure via the step 33 (step S14).
  • the notification unit 24 displays at least one message in the memory 21, the first communication unit 22, the first sensor 23, the first storage unit 31, and the first RAM 32 by displaying a message on the display device or lighting a lamp. Notify that one has failed. At this time, the component that has failed may be notified.
  • the first CPU 30 determines that the first sensor 23 has not failed (S13: NO)
  • the first CPU 30 outputs the inspection data to the interface 43 via the interface 33 (step S15).
  • the second CPU 40 is activated, sequentially executes the activation process and the second inspection process, and outputs the result data to the interface 33 of the microcomputer 20 via the interface 43.
  • the configuration for outputting data between the interfaces 33 and 43 may be a configuration for serially outputting a plurality of packets constituting the data. Further, when the interfaces 33 and 43 are connected by a plurality of conductors, the configuration for outputting data between the interfaces 33 and 43 may be a configuration for outputting a plurality of packets constituting the data in parallel. Good.
  • the first CPU 30 determines whether or not the result data has been input to the interface 33 after executing Step S15 (Step S16). When the first CPU 30 determines that the result data is not input (S16: NO), the first CPU 30 executes step S16 again and waits until the result data is input to the interface 33.
  • the result data input to the interface 33 is at least one of the second storage unit 41, the second RAM 42, the second communication unit 44, and the second sensor 45. It is determined whether or not one failure is indicated (step S17).
  • the first CPU 30 instructs the notification unit 24 to notify the failure via the interface 33 (step S18).
  • the notification unit 24 displays a message on the display device or turns on a lamp, so that at least one of the second storage unit 41, the second RAM 42, the second communication unit 44, and the second sensor 45 has failed. Notify that there is.
  • reporting part 24 may alert
  • the first CPU 30 ends the first inspection process.
  • the first CPU 30 executes various processes different from the first inspection process, and controls the operation of the electrical equipment connected to the ECU 1.
  • the first CPU 30 ends the first inspection process after executing Step S18. In this case, the first CPU 30 ends the operation.
  • the first CPU 30 inspects the memory 21, the first communication unit 22, the first sensor 23, the first storage unit 31, and the first RAM 32.
  • FIG. 5 is a flowchart showing the procedure of the startup process.
  • the second CPU 40 is activated. Specifically, in the second CPU 40, the processing unit 50 is activated while the data management unit 51 is stopped.
  • the processing unit 50 first executes the activation process according to the activation program B1. While the startup process is being executed, the data management unit 51 stops operating.
  • the processing unit 50 writes data in the second storage unit 41 (step S21). Specifically, the processing unit 50 writes the data directly in the inspection area set in advance in the data area of the second storage unit 41 without using the data management unit 51. Since the data management unit 51 is stopped, the processing unit 50 can directly write data in the inspection area of the second storage unit 41. Next, the processing unit 50 reads the data written in step S21 directly from the second storage unit 41 without using the data management unit 51 (step S22).
  • step S23 determines whether or not the second storage unit 41 has failed.
  • step S23 when the data written in step S21 matches the data read in step S22, the processing unit 50 determines that the second storage unit 41 has not failed, that is, is normal. . If the data written in step S21 and the data read in step S22 do not match, the processing unit 50 determines that the second storage unit 41 is out of order. As described above, the processing unit 50 inspects the second storage unit 41 based on the data written in step S21 and the data read in step S22.
  • the processing unit 50 determines that the second storage unit 41 has not failed (S23: NO)
  • the processing unit 50 writes data in the second RAM 42 (step S24). Specifically, the processing unit 50 directly writes data in the inspection area set in advance in the data area of the second RAM 42 without using the data management unit 51. Since the data management unit 51 is stopped, the processing unit 50 can directly write data in the inspection area of the second RAM 42.
  • the processing unit 50 reads the data written in step S24 directly from the second RAM 42 without using the data management unit 51 (step S25).
  • step S26 determines whether or not the second RAM 42 has failed.
  • step S26 when the data written in step S24 matches the data read in step S25, the processing unit 50 determines that the second RAM 42 has not failed, that is, is normal.
  • the processing unit 50 determines that the second RAM 42 has failed.
  • the processing unit 50 inspects the second RAM 42 based on the data written in step S24 and the data read in step S25.
  • the processing unit 50 determines that the second storage unit 41 is malfunctioning (S23: YES) or when it is determined that the second RAM 42 is malfunctioning (S26: YES), the result data indicating the malfunction is displayed.
  • the data is output to the interface 33 of the microcomputer 20 via the interface 43 (step S27).
  • 1st CPU30 of the microcomputer 20 performs step S18 of a 1st test
  • the result data indicating the failure may include information indicating the component that has failed.
  • the notification unit 24 may notify the failure and may notify the component that has failed.
  • the process part 50 complete finishes a starting process, after performing step S27. In this case, the processing unit 50 ends the operation.
  • the processing unit 50 loads the basic program B2 stored in the second storage unit 41 into the second RAM 42 (step S28). After executing step S28, the processing unit 50 ends the activation process. Thereafter, the data management unit 51 is activated, and the processing unit 50 executes the second inspection process according to the basic program B2 loaded in step S28. As described above, when the processing unit 50 is executing processing according to the basic program B2, the data management unit 51 writes and reads data, and the processing unit 50 stores the data area in the second storage unit 41 or the second RAM 42. There is no direct access to.
  • FIG. 6 is a flowchart showing the procedure of the second inspection process.
  • the processing unit 50 of the second CPU 40 executes the second inspection process according to the basic program B2. While the second inspection process is being executed, the data management unit 51 is operating. In the second inspection process, first, the processing unit 50 outputs the second request data to the second communication unit 44 via the interface 43 (step S31), and determines whether or not the second communication unit 44 is out of order. Determination is made (step S32).
  • step S32 when the second response data is input from the second communication unit 44 to the interface 43 before the third reference time elapses after the execution of step S31, the processing unit 50 performs the second communication unit 44. Is determined not to be faulty, that is, normal.
  • the processing unit 50 breaks down the second communication unit 44. It is determined that The third reference time is constant and set in advance. Thus, the processing unit 50 inspects the second communication unit 44.
  • step S34 when it is determined that the second communication unit 44 has not failed (S32: NO), the processing unit 50 outputs the second request data to the second sensor 45 via the interface 43 (step S33). Then, it is determined whether or not the second sensor 45 has failed (step S34).
  • step S ⁇ b> 34 when the second response data is input from the second sensor 45 to the interface 43 before the fourth reference time elapses after the execution of step S ⁇ b> 33, the processing unit 50 fails in the second sensor 45. It is not determined, that is, it is determined to be normal. When the second response data is not input from the second sensor 45 to the interface 43 before the fourth reference time elapses after the execution of step S33, the processing unit 50 has failed. Is determined.
  • the fourth reference time is constant and set in advance. As described above, the processing unit 50 inspects the second sensor 45.
  • the processing unit 50 determines that the second communication unit 44 is malfunctioning (S32: YES) or when it is determined that the second sensor 45 is malfunctioning (S34: YES), the result indicating the malfunction Data is output to the interface 33 of the microcomputer 20 through the interface 43 (step S35).
  • 1st CPU30 of the microcomputer 20 performs step S18 of a 1st test
  • the result data may include information indicating a component that has failed.
  • the notification unit 24 may notify the failure and may notify the component that has failed.
  • the processing unit 50 ends the second inspection process after executing Step S35. In this case, the processing unit 50 ends the operation.
  • the processing unit 50 When it is determined that the second sensor 45 has not failed (S34: NO), the processing unit 50 outputs the result data indicating normality to the interface 33 of the microcomputer 20 via the interface 43 (step S36). Thus, the first CPU 30 of the microcomputer 20 determines that the result data does not indicate a failure in step S17 of the first inspection process, and ends the first inspection process.
  • the process part 50 complete
  • the processing unit 50 of the second CPU 40 executes various processes different from the second inspection process according to the basic program B2 and the application program B3.
  • the processing unit 50 of the second CPU 40 directly writes data to the second storage unit 41 and reads data from the second storage unit 41 while the operation of the data management unit 51 is stopped.
  • the second storage unit 41 is inspected by determining whether the written data matches the read data.
  • the processing unit 50 of the second CPU 40 directly writes data to the second RAM 42 and reads data from the second RAM 42 while the operation of the data management unit 51 is stopped.
  • the second RAM 42 is inspected by determining whether the read data matches the read data. For this reason, since the processing unit 50 can easily write data in the inspection areas of the second storage unit 41 and the second RAM 42, it is possible to easily inspect the second storage unit 41 and the second RAM 42, respectively.
  • the processing unit 50 inspects the second communication unit 44 and the second sensor 45.
  • FIG. 7 is a block diagram showing a main configuration of the ECU according to the second embodiment.
  • the differences between the second embodiment and the first embodiment will be described. Since the configuration other than the configuration described later is the same as that in the first embodiment, the same reference numerals as those in the first embodiment are given to the components common to the first embodiment, and the description thereof is omitted. To do.
  • the ECU 1 in the second embodiment includes the microcomputer 20, the memory 21, the first communication unit 22, the first sensor 23, the second CPU 40, the second storage unit 41, the second RAM 42, the interface 43, and the second.
  • a communication unit 44 and a second sensor 45 are provided.
  • the ECU 1 according to the second embodiment further includes an internal connector 60 instead of the notification unit 24.
  • the internal connector 60 is connected to the interface 33 of the microcomputer 20.
  • the internal connector 60 is detachably connected to the external connector 70.
  • the external connector 70 is connected to the inspection device 71.
  • the inspection device 71 When the internal connector 60 is connected to the external connector 70, the inspection device 71 outputs the second inspection data to the interface 33 of the microcomputer 20 via the external connector 70 and the internal connector 60.
  • the second inspection data includes the memory 21, the first communication unit 22, the first sensor 23, the first storage unit 31, the first RAM 32, the second storage unit 41, the second RAM 42, the second communication unit 44, and the second sensor 45. Data for instructing inspection.
  • the first CPU 30 executes the first inspection process when the second inspection data is input to the interface 33.
  • the inspection data is interfaced via the interface 33 as in the first embodiment.
  • the second CPU 40 performs a startup process and a second inspection process, and outputs the result data to the interface 33 of the microcomputer 20 via the interface 43.
  • the first CPU 30 outputs second result data indicating normality or failure to the inspection device 71 to the inspection device 71 via the interface 33, the internal connector 60, and the external connector 70.
  • “Normal” of the second result data indicates that the memory 21, the first communication unit 22, the first sensor 23, the first storage unit 31, the first RAM 32, the second storage unit 41, the second RAM 42, the second communication unit 44, and the second This means that all of the two sensors 45 are normal.
  • the “failure” of the second result data includes the memory 21, the first communication unit 22, the first sensor 23, the first storage unit 31, the first RAM 32, the second storage unit 41, the second RAM 42, the second communication unit 44, and the second This means that at least one of the two sensors 45 has failed. For example, the user inspects the ECU 1 using the inspection device 71 before shipping the ECU 1.
  • the configuration for outputting data between the interface 33 and the inspection device 71 may be a configuration for serially outputting a plurality of packets constituting the data.
  • the configuration for outputting data between the interface 33 and the inspection device 71 is a configuration for outputting a plurality of packets constituting the data in parallel. It may be.
  • Step 8 and 9 are flowcharts showing the procedure of the first inspection process.
  • the first CPU 30 executes the first inspection process when the second inspection data is input to the interface 33.
  • Steps S41 to S53, S55, and S56 of the first inspection process in the second embodiment are the same as steps S1 to S13, S15, and S16 of the first inspection process in the first embodiment. Therefore, detailed description of steps S41 to S53, S55, and S56 is omitted.
  • the first CPU 30 determines that the first storage unit 31 has failed (S43: YES), determines that the first RAM 32 has failed (S46: YES), determines that the memory 21 has failed. If it is determined (S49: YES), if it is determined that the first communication unit 22 has failed (S51: YES), or if it is determined that the first sensor 23 has failed (S53: YES), the interface 33, the second result data indicating the failure is output to the inspection device 71 via the internal connector 60 and the external connector 70 (step S54). At this time, the second result data may include information indicating the component that has failed.
  • the first CPU 30 determines that the first sensor 23 has not failed (S53: NO)
  • the first CPU 30 outputs inspection data to the interface 43 via the interface 33 (step S55).
  • the first CPU 30 stands by until result data is input from the second CPU 40 to the interface 43 via the interface 43.
  • step S57 when the result data input to the interface 33 indicates normality, the first CPU 30 outputs second result data indicating normality.
  • the first CPU 30 outputs second result data indicating the failure.
  • the second result data output in step S57 has a failure. It may include information indicating a component that is present.
  • the first CPU 30 ends the first inspection process after executing Step S54.
  • the processing unit 50 of the second CPU 40 ends the operation when the second inspection process is completed.
  • the first inspection process is a process executed when second inspection data is input to the interface 33.
  • the activation process and the second inspection process are processes that are executed when inspection data is input to the interface 43.
  • the condition for starting the second CPU 40 is not only that the inspection data is input to the interface 33.
  • the second CPU 40 executes a second activation process when activated under other conditions different from the condition that the inspection data is input to the interface 33.
  • the processing unit 50 of the second CPU 40 loads the activation program B1 stored in the second storage unit 41 into the second RAM 42. Thereafter, the processing unit 50 ends the second activation process.
  • the processing unit 50 does not execute the second inspection process and performs other processes except the second inspection process according to the basic program B2. Execute.
  • the ECU 1 in the second embodiment has the same effects as the ECU 1 in the first embodiment.
  • the ECU 1 may not include all of the memory 21, the first communication unit 22, and the first sensor 23.
  • the configuration of the ECU 1 may be a configuration including one or two of the memory 21, the first communication unit 22, and the first sensor 23. In this case, the number of objects to be inspected is reduced to one or two. Similarly, the ECU 1 does not need to include both the second communication unit 44 and the second sensor 45.
  • the configuration of the ECU 1 may be a configuration including one of the second communication unit 44 and the second sensor 45. In this case, in the second inspection process, one of the second communication unit 44 and the second sensor 45 is inspected.
  • both the first storage unit 31 and the first RAM 32 it is not necessary to inspect both the first storage unit 31 and the first RAM 32, and only one of the first storage unit 31 and the first RAM may be inspected.
  • both the second storage unit 41 and the second RAM 42 need not be inspected, and only one of the second storage unit 41 and the second RAM 42 may be inspected.
  • the configuration for inspecting the first communication unit 22 is a configuration in which the first request data is output to the first communication unit 22 and the determination is made based on whether or not the first response data is input from the first communication unit 22. It is not limited.
  • the first communication unit 22 is instructed to cause the external ECU connected to the communication line L1 to transmit data instructing transmission to the first communication unit 22. Then, the first communication unit 22 may be inspected based on whether or not the first communication unit 22 has received data from the external ECU before the first reference time has elapsed since the data was transmitted.
  • the configuration for inspecting the second communication unit 44 is a configuration in which the second request data is output to the second communication unit 44 and the determination is made based on whether or not the second response data is input from the second communication unit 44. It is not limited to.
  • the second communication unit 44 is instructed to cause the second electrical device connected to the communication line L2 to transmit data instructing transmission to the second communication unit 44. Then, the second communication unit 44 is inspected based on whether or not the second communication unit 44 has received data from the second electric device before the third reference time has elapsed since the data was transmitted. Also good.
  • the configuration for inspecting the first sensor 23 is not limited to the configuration for outputting the first request data to the first sensor 23 and determining whether or not the first response data is input from the first sensor 23. For example, when the first sensor 23 detects brightness, the first sensor 23 is irradiated with light. Then, the first sensor 23 may be inspected by determining whether or not the physical quantity detected by the first sensor 23 is a value within a predetermined range.
  • the configuration for inspecting the second sensor 45 is not limited to the configuration for outputting the second request data to the second sensor 45 and determining whether or not the second response data is input from the second sensor 45. For example, when the second sensor 45 detects brightness, the second sensor 45 is irradiated with light. Then, the second sensor 45 may be inspected by determining whether or not the physical quantity detected by the second sensor 45 is a value within a predetermined range.

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)
  • Stored Programmes (AREA)

Abstract

ＥＣＵ（１）において、第２ＣＰＵ（４０）は処理部（５０）及びデータ管理部（５１）を有する。データ管理部（５１）は、処理部（５０）の指示に従って、第２記憶部（４１）及び第２ＲＡＭ（４２）夫々にデータを書き込むとともに、第２記憶部（４１）及び第２ＲＡＭ（４２）夫々からデータを読み出す。処理部（５０）は、データ管理部（５１）が動作を停止している間に、データの書き込み及び読み出しを行い、第２記憶部（４１）及び第２ＲＡＭ（４２）夫々を検査する。処理部（５０）は、データ管理部（５１）が作動している場合、データ管理部（５１）にデータの書き込み及び読み出しを行わせる。

Description

処理装置及びコンピュータプログラム
　本発明は車両用の処理装置及びコンピュータプログラムに関する。
　車両には、車両に関する制御を行うＥＣＵ(Electronic Control Unit)が搭載されている（例えば、特許文献１を参照）。特許文献１に記載のＥＣＵには、マイクロコンピュータ（以下、マイコンという）が搭載されている。マイコンは、ＣＰＵ(Central Processing Unit)、ＲＡＭ(Random Access Memory)及び記憶部を有する。ＣＰＵは、記憶部に記憶されているコンピュータプログラムに従って処理を実行する。
特開２０１６－５１９１６号公報
　現在、大量のデータを生成する電気機器、例えばカメラが搭載された車両が普及している。このような電気機器から取得した大量のデータに基づいて車両に関する制御を行うＥＣＵでは、ＣＰＵは、記憶部へのデータの書き込みと、記憶部からのデータの読み出しとを頻繁に行う。
　記憶部へのデータの書き込みと、記憶部からのデータの読み出しとを頻繁に行うＣＰＵとして、例えば、ＭＭＵ(Memory Management Unit)が搭載されたＣＰＵが用いられる。このＣＰＵは、処理を実行する処理部と、データを管理するデータ管理部とを有する。データ管理部は、処理部の指示に従って、データの書き込み及び読み出しを行う。
　処理部は、論理アドレスを指定し、データ管理部にデータの書き込みを指示する。データ管理部は、記憶部のデータ領域において物理アドレスを決定し、決定した物理アドレスにデータを書き込み、処理部によって指定された論理アドレスと、データを書き込んだ物理アドレスとの対応関係を記憶する。
　また、処理部は、論理アドレスを指定し、データの読み出しを指示する。データ管理部は、指定された論理アドレスに対応する物理アドレスを検索し、検索した物理アドレスに記憶されているデータを読み出す。
　データ管理部が作動している場合、処理部は、データを管理する必要がないため、処理を効率的に実行することができる。
　記憶部を検査する構成として、記憶部のデータ領域において、予め設定された検査領域にデータを書き込み、書き込んだデータを検査領域から読み出し、書き込んだデータが読み出したデータと一致するか否かを判定する構成が考えられる。
　しかしながら、処理部とデータ管理部とを有するＣＰＵが用いられている場合、データを記憶する領域（物理アドレス）はデータ管理部が決定する。このため、データ管理部が作動している場合、データを検査領域に容易に書き込むことができないので、記憶部を検査することが難しいという問題がある。
　本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、記憶部を容易に検査することができる処理装置及びコンピュータプログラムを提供することにある。
　本発明に係る処理装置は、処理を実行する処理素子と、該処理素子によってデータの書き込み及び読み出しが行われる記憶部とを備える車両用の処理装置において、前記処理素子は、処理を実行する処理部と、該処理部の指示に従って、前記記憶部へのデータの書き込み、及び、該記憶部からのデータの読み出しを行うデータ管理部とを有し、前記処理部は、該データ管理部が動作を停止している間に、前記記憶部にデータを直接に書き込み、書き込んだデータを前記記憶部から直接に読み出し、書き込んだデータと、読み出したデータとに基づいて前記記憶部を検査し、前記処理部は、前記データ管理部が作動している場合、前記データ管理部に前記書き込み及び読み出しを行わせることを特徴とする。
　本発明に係る処理装置は、前記処理部は、前記記憶部を検査した後にオペレーティングシステムに係るコンピュータプログラムをロードし、ロードしたコンピュータプログラムに従って処理を実行し、前記処理部が該コンピュータプログラムに従って処理を実行している間、前記データ管理部は作動していることを特徴とする。
　本発明に係る処理装置は、前記記憶部の数は２以上であり、２以上の該記憶部には、オペレーティングシステムに係るコンピュータプログラムが記憶される記憶部と、データが一時的に記憶される記憶部とが含まれることを特徴とする。
　本発明に係る処理装置は、前記処理部は、前記データ管理部が作動している間に、通信を行う通信部、及び、車両に搭載されたセンサ中の少なくとも一方を検査することを特徴とする。
　本発明に係るコンピュータプログラムは、処理を実行する処理部と、データが記憶される記憶部と、該処理部の指示に従って、前記記憶部へのデータの書き込み、及び、前記記憶部からのデータの読み出しを行うデータ管理部とを備える車両用の処理装置の前記処理部に処理を実行させるコンピュータプログラムであって、前記データ管理部が動作を停止している間に、前記記憶部にデータを直接に書き込み、前記データ管理部が動作を停止している間に、書き込んだデータを前記記憶部から直接に読み出し、書き込んだデータと、読み出したデータとに基づいて前記記憶部を検査する処理を前記処理部に実行させることを特徴とする。
　本発明に係る処理装置及びコンピュータプログラムにあっては、処理部は、データ管理部が動作を停止している間に、記憶部へのデータの書き込みと、記憶部からのデータの読み出しとを直接に行い、書き込んだデータと読み出したデータとが一致するか否かを判定することによって記憶部を検査する。このため、処理部は、記憶部のデータ領域において、予め設定されている検査領域にデータを容易に書き込むことができるので、記憶部を容易に検査することが可能である。
　本発明に係る処理装置にあっては、処理部は、記憶部を検査した後、オペレーティングシステムに係るコンピュータプログラムをロードする。オペレーティングシステムに係るコンピュータプログラムに従って、処理部が処理を実行している間、データ管理部は作動している。
　本発明に係る処理装置にあっては、処理部は、少なくとも、オペレーティングシステムに係るコンピュータプログラムが記憶されている記憶部と、データが一時的に記憶される記憶部とを検査する。
　本発明に係る処理装置にあっては、処理部は、データ管理部が作動している間に、通信部及びセンサ中の少なくとも一方を検査する。
　本発明によれば、記憶部を容易に検査することができる。
実施の形態１におけるＥＣＵの要部構成を示すブロック図である。 第２記憶部及び第２ＲＡＭへのアクセスの説明図である。 第１検査処理の手順を示すフローチャートである。 第１検査処理の手順を示すフローチャートである。 起動処理の手順を示すフローチャートである。 第２検査処理の手順を示すフローチャートである。 実施の形態２におけるＥＣＵの要部構成を示すブロック図である。 第１検査処理の手順を示すフローチャートである。 第１検査処理の手順を示すフローチャートである。
　以下、本発明をその実施の形態を示す図面に基づいて詳述する。
（実施の形態１）
　図１は、実施の形態１におけるＥＣＵの要部構成を示すブロック図である。ＥＣＵ１は、処理装置として機能し、車両に好適に搭載されている。ＥＣＵ１には、車両に搭載された図示しない電気機器が接続されている。ＥＣＵ１は、自身に接続されている電気機器の動作を制御する。
　ＥＣＵ１には、通信線Ｌ１，Ｌ２が各別に接続されている。通信線Ｌ１には、更に、図示しない外部ＥＣＵが接続されている。ＥＣＵ１及び外部ＥＣＵは同一の車両に搭載される。外部ＥＣＵにも、車両に搭載された電気機器が接続されている。外部ＥＣＵも、自身に接続されている電気機器の動作を制御する。ＥＣＵ１は、通信線Ｌ１を介して、外部ＥＣＵと通信する。通信線Ｌ１を介した通信は、例えば、ＣＡＮ(Controller Area Network)プロトコルに従って行われる。ＥＣＵ１及び外部ＥＣＵは、相互に通信することによって、ＥＣＵ１及び外部ＥＣＵに接続されている電気機器に協調動作を行わせる。
　ＥＣＵ１は、通信線Ｌ２によって、車両に搭載された図示しない第２の電気機器に接続されている。ＥＣＵ１は、第２の電気機器からデータを受信する。また、ＥＣＵ１は、通信線Ｌ２を介して、特定の動作を指示するデータを送信する。第２の電気機器が、例えば、車外を撮影するカメラであると仮定する。この場合、ＥＣＵ１は、撮影を指示するデータを第２の電気機器に送信し、第２の電気機器が撮影した画像に基づくデータを第２の電気機器から受信する。通信線Ｌ２を介した通信は、例えば、イーサネット（登録商標）に係る通信プロトコルに従って行われる。
　ＥＣＵ１は、マイコン２０、メモリ２１、第１通信部２２、第１センサ２３及び報知部２４を備える。メモリ２１、第１通信部２２、第１センサ２３及び報知部２４は、マイコン２０に各別に接続されている。第１通信部２２は、マイコン２０の他に通信線Ｌ１に接続されている。マイコン２０は、第１ＣＰＵ３０、第１記憶部３１、第１ＲＡＭ３２及びインタフェース３３を有する。これらは、バス３４に各別に接続されている。インタフェース３３は、バス３４の他に、メモリ２１、第１通信部２２、第１センサ２３及び報知部２４に接続されている。
　第１ＣＰＵ３０は、インタフェース３３を介して、メモリ２１へのデータの書き込みと、メモリ２１からのデータの読み出しとを行う。第１ＣＰＵ３０は、インタフェース３３を介して、第１通信部２２にデータの送信を指示する。第１通信部２２は、第１ＣＰＵ３０の指示に従って、データを送信する。第１通信部２２は、通信線Ｌ１を介して、データを受信する。第１ＣＰＵ３０は、第１通信部２２が受信したデータを、インタフェース３３を介して、第１通信部２２から取得する。
　第１センサ２３は、車両に搭載されており、車両に関する物理量を検出する。この物理量は、車速、又は、車外の明るさ等である。第１ＣＰＵ３０は、第１センサ２３が検出した物理量を示す情報を、インタフェース３３を介して、第１センサ２３から取得する。
　第１ＣＰＵ３０は、インタフェース３３を介して、応答を要求する第１要求データを第１通信部２２及び第１センサ２３に出力する。第１通信部２２及び第１センサ２３夫々は、第１ＣＰＵ３０からインタフェース３３を介して第１要求データが入力された場合、第１要求データの入力を示す第１応答データを、インタフェース３３に出力する。第１ＣＰＵ３０は、インタフェース３３から第１応答データを取得する。
　第１ＣＰＵ３０は、第１要求データを第１通信部２２に出力し、第１通信部２２からインタフェース３３に第１応答データが入力されたか否かに基づいて、第１通信部２２が故障しているか否かを判定する。同様に、第１ＣＰＵ３０は、第１要求データを第１センサ２３に出力し、第１センサ２３からインタフェース３３に第１応答データが入力されたか否かに基づいて、第１センサ２３が故障しているか否かを判定する。
　第１ＣＰＵ３０は、インタフェース３３を介して、報知部２４に故障の報知を指示する。報知部２４は、第１ＣＰＵ３０の指示に従って、報知を行う。報知部２４は、一例として、報知を指示する報知信号を図示しない表示装置に出力し、表示装置に、ＥＣＵ１の故障を示すメッセージを表示させる。また、報知部２４は、他例として、図示しないランプを点灯させる。これにより、使用者に、ＥＣＵ１の故障が報知される。
　第１記憶部３１は、例えば、不揮発性メモリである。第１記憶部３１には、制御プログラムＰ１が記憶されている。第１ＣＰＵ３０は、第１記憶部３１に記憶されている制御プログラムＰ１を実行することによって、第１検査処理を含む種々の処理を実行する。第１検査処理は、メモリ２１、第１通信部２２、第１センサ２３、第１記憶部３１及び第１ＲＡＭ３２を検査する処理である。制御プログラムＰ１は、第１ＣＰＵ３０に第１検査処理を含む種々の処理を実行させるためのコンピュータプログラムである。
　なお、制御プログラムＰ１は、コンピュータ（第１ＣＰＵ３０）が読み取り可能に、記憶媒体Ｅ１に記憶されていてもよい。この場合、図示しない読み出し装置によって記憶媒体Ｅ１から読み出された制御プログラムＰ１が第１記憶部３１に記憶される。記憶媒体Ｅ１は、光ディスク、フレキシブルディスク、磁気ディスク、磁気光ディスク又は半導体メモリ等である。光ディスクは、ＣＤ（Compact Disc）－ＲＯＭ(Read Only Memory)、ＤＶＤ（Digital Versatile Disc）－ＲＯＭ、又は、ＢＤ（Blu-ray(登録商標) Disc）等である。磁気ディスクは、例えばハードディスクである。また、図示しない通信網に接続されている図示しない外部装置から制御プログラムＰ１をダウンロードし、制御プログラムＰ１を第１記憶部３１に記憶してもよい。
　第１ＣＰＵ３０が制御プログラムＰ１に従って実行する処理には、第１記憶部３１又は第１ＲＡＭ３２にデータを書き込む処理と、第１記憶部３１又は第１ＲＡＭ３２からデータを読み出す処理とが含まれる。第１ＲＡＭ３２は、一時的にデータを記憶するメモリである。このため、マイコン２０が動作を停止した場合、第１ＲＡＭ３２に記憶されているデータは消去される。
　ＥＣＵ１は、更に、第２ＣＰＵ４０、第２記憶部４１、第２ＲＡＭ４２、インタフェース４３、第２通信部４４及び第２センサ４５を備える。第２ＣＰＵ４０、第２記憶部４１、第２ＲＡＭ４２及びインタフェース４３はバス４６に各別に接続されている。インタフェース４３は、更に、マイコン２０のインタフェース３３、第２通信部４４及び第２センサ４５に接続されている。第２通信部４４は、更に、通信線Ｌ２に接続されている。
　第２ＣＰＵ４０は、インタフェース４３を介して、第２通信部４４に、特定の動作を指示するデータの送信を指示する。第２通信部４４は、第２ＣＰＵ４０の指示に従って、特定の動作を指示するデータを第２の電気機器に送信する。第２通信部４４は第２の電気機器からデータを受信する。第２ＣＰＵ４０は、第２通信部４４が受信したデータを、インタフェース４３を介して、第２通信部４４から取得する。
　第２の電気機器が、例えば、車外を撮影するカメラであると仮定する。この場合、第２ＣＰＵ４０は、第２通信部４４に、撮影を指示するデータの送信を指示する。第２通信部４４は、撮影を指示するデータを第２の電気機器に送信する。第２の電気機器は、車外を撮影し、撮影した画像に基づくデータを第２通信部４４に送信する。第２通信部４４は、第２の電気機器からデータを受信する。第２ＣＰＵ４０は、第２通信部４４が受信したデータを取得する。
　第２センサ４５は、車両に搭載されており、車両に関する物理量を検出する。この物理量は、車速、又は、車外の明るさ等である。第２ＣＰＵ４０は、第２センサ４５が検出した物理量を示す情報を、インタフェース４３を介して、第２センサ４５から取得する。
　マイコン２０において、第１ＣＰＵ３０は、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の検査を指示する検査データを、インタフェース３３介して、インタフェース４３に出力する。インタフェース４３に検査データが入力された場合、第２ＣＰＵ４０は起動する。
　第２記憶部４１は、例えば、不揮発性メモリである。第２記憶部４１には、起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３が記憶されている。第２ＣＰＵ４０は、第２記憶部４１に記憶されている起動プログラムＢ１に従って、起動処理を実行する。起動処理は、第２記憶部４１及び第２ＲＡＭ４２を検査するとともに、第２記憶部４１に記憶されている起動プログラムＢ１を第２ＲＡＭ４２にロードする処理である。起動プログラムＢ１は、第２ＣＰＵ４０に起動処理を実行させるためのコンピュータプログラムである。第２記憶部４１には、起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３以外の他のデータも記憶される。
　基本プログラムＢ２は、オペレーティングシステムに係るコンピュータプログラムである。第２ＣＰＵ４０は、基本プログラムＢ２に従って、第２検査処理を含む種々の処理を実行する。第２検査処理は、第２通信部４４及び第２センサ４５を検査する処理である。第２ＣＰＵ４０が基本プログラムＢ２に従って実行する処理には、アプリケーションプログラムＢ３を第２ＲＡＭ４２にロードする処理が含まれる。第２ＣＰＵ４０は、基本プログラムＢ２及びアプリケーションプログラムＢ３に従って処理を実行する。第２ＣＰＵ４０は処理素子として機能する。
　基本プログラムＢ２は、第２ＣＰＵ４０に、第２検査処理を含む種々の処理を実行させるためのコンピュータプログラムである。アプリケーションプログラムＢ３は、第２ＣＰＵ４０に種々の処理を実行させるためのコンピュータプログラムである。
　なお、起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３夫々は、コンピュータ（第２ＣＰＵ４０）が読み取り可能に、記憶媒体Ｅ２に記憶されていてもよい。この場合、図示しない読み出し装置によって記憶媒体Ｅ２から読み出された起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３が第２記憶部４１に記憶される。記憶媒体Ｅ２は、光ディスク、フレキシブルディスク、磁気ディスク、磁気光ディスク又は半導体メモリ等である。また、図示しない通信網に接続されている図示しない外部装置から起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３をダウンロードし、起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３を第２記憶部４１に記憶してもよい。
　前述したように、第２ＣＰＵ４０は、起動プログラムＢ１、基本プログラムＢ２又はアプリケーションプログラムＢ３に従って処理を実行する。第２ＣＰＵ４０が実行する処理には、第２記憶部４１にデータを書き込む処理、第２ＲＡＭ４２にデータを書き込む処理、第２記憶部４１からデータを読み出す処理、及び、第２ＲＡＭ４２からデータを読み出す処理が含まれる。第２ＲＡＭ４２は、一時的にデータを記憶するメモリである。このため、マイコン２０が動作を停止した場合、第２ＲＡＭ４２に記憶されているデータは消去される。
　第２ＣＰＵ４０にはＭＭＵが搭載されており、第２ＣＰＵ４０は処理部５０及びデータ管理部５１を有する。処理部５０は、起動プログラムＢ１、基本プログラムＢ２及びアプリケーションプログラムＢ３に従って処理を実行する。データ管理部５１は、第２記憶部４１へのデータの書き込み、第２ＲＡＭ４２へのデータの書き込み、第２記憶部４１からのデータの読み出し、及び、第２ＲＡＭ４２からのデータの読み出しを行う。
　図２は、第２記憶部４１及び第２ＲＡＭ４２へのアクセスの説明図である。処理部５０が起動プログラムＢ１に従って処理を実行している場合、データ管理部５１は動作を停止している。処理部５０が基本プログラムＢ２に従って処理を実行している間、データ管理部５１は作動している。
　処理部５０が起動プログラムＢ１に従って処理を実行している場合、即ち、データ管理部５１が動作を停止している場合、処理部５０は、第２記憶部４１及び第２ＲＡＭ４２夫々において、データが記憶されているデータ領域に直接にアクセスする。従って、処理部５０は、第２記憶部４１及び第２ＲＡＭ４２夫々に対して、データ管理部５１を介さずに、データの書き込み及び読み出しを直接に行う。第２記憶部４１及び第２ＲＡＭ４２夫々のデータ領域には、検査領域が予め設けられている。検査領域は、検査において、データの書き込み及び読み出しを行う領域である。データ管理部５１が動作を停止している場合、処理部５０は、検査領域にデータを書き込むことができる。
　処理部５０が基本プログラムＢ２に従って処理を実行している場合、即ち、データ管理部５１が作動している場合、処理部５０は、論理アドレスを指定し、指定した論理アドレスへのデータの書き込みをデータ管理部５１に指示する。データ管理部５１は、第２記憶部４１及び第２ＲＡＭ４２のデータ領域において、データを書き込むべき第２記憶部４１又は第２ＲＡＭ４２の物理アドレスを決定し、決定した物理アドレスにデータを書き込む。論理アドレスは仮想的なアドレスであり、物理アドレスは実際のアドレスである。データ管理部５１は、処理部５０によって指定された論理アドレスと、実際にデータを書き込んだ物理アドレスとの対応関係を記憶している。データ管理部５１が作動している場合、データ管理部５１が、データを書き込む領域（物理アドレス）を決定するため、処理部５０はデータを検査領域に容易に書き込むことができない。
　また、処理部５０が基本プログラムＢ２に従って処理を実行している場合、処理部５０は、論理アドレスを指定し、指定した論理アドレスに係るデータの読み出しをデータ管理部５１に指示する。データ管理部５１は、指定された論理アドレスに対応する第２記憶部４１又は第２ＲＡＭ４２の物理アドレスを検索し、検索した物理アドレスに記憶されているデータを読み出す。データ管理部５１が読み出したデータは、処理部５０によって取得される。
　以上のように、処理部５０が基本プログラムＢ２に従って処理を実行している場合、即ち、データ管理部５１が作動している場合、データ管理部５１は、処理部５０の指示に従って、データの書き込み及び読み出しを行う。このため、処理部５０は、データを管理する必要がないので、処理を効率的に実行することができる。
　図１に示す第２ＣＰＵ４０の処理部５０は、インタフェース４３を介して、応答を要求する第２要求データを第２通信部４４及び第２センサ４５に出力する。第２通信部４４及び第２センサ４５夫々は、処理部５０からインタフェース４３を介して第２要求データが入力された場合、第２要求データの入力を示す第２応答データを、インタフェース４３に出力する。処理部５０は、インタフェース４３から第２応答データを取得する。
　処理部５０は、第２要求データを第２通信部４４に出力し、第２通信部４４からインタフェース４３に第２応答データが入力されたか否かに基づいて、第２通信部４４が故障しているか否かを判定する。同様に、処理部５０は、第２要求データを第２センサ４５に出力し、第２センサ４５からインタフェース４３に第２応答データが入力されたか否かに基づいて、第２センサ４５が故障しているか否かを判定する。
　第２ＣＰＵ４０の処理部５０は、起動プログラムＢ１及び基本プログラムＢ２に従って検査を行い、正常又は故障を示す結果データを、インタフェース４３を介して、マイコン２０のインタフェース３３に出力する。結果データの「正常」は、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の全てが正常であることを意味する。結果データの「故障」は、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の少なくとも１つが故障していることを意味する。第１ＣＰＵ３０は、インタフェース３３を介して結果データを取得する。
　図３及び図４は第１検査処理の手順を示すフローチャートである。第１ＣＰＵ３０が起動した後、第１ＣＰＵ３０は制御プログラムＰ１に従って第１検査処理を最初に実行する。例えば、車両のイグニッションスイッチがオンとなり、ＥＣＵ１への給電が開始された場合に第１ＣＰＵ３０は起動する。
　まず、第１ＣＰＵ３０は、第１記憶部３１にデータを書き込む（ステップＳ１）。ここで、第１ＣＰＵ３０は、第１記憶部３１のデータ領域において、予め設定されている検査領域にデータを書き込む。次に、第１ＣＰＵ３０は、ステップＳ１で書き込んだデータを第１記憶部３１から読み出す（ステップＳ２）。
　次に、第１ＣＰＵ３０は、第１記憶部３１が故障しているか否かを判定する（ステップＳ３）。ステップＳ３では、第１ＣＰＵ３０は、ステップＳ１で書き込んだデータと、ステップＳ２で読み出したデータとが一致している場合、第１記憶部３１は故障していない、即ち、正常であると判定する。第１ＣＰＵ３０は、ステップＳ１で書き込んだデータと、ステップＳ２で読み出したデータとが一致していない場合、第１記憶部３１は故障していると判定する。
　第１ＣＰＵ３０は、第１記憶部３１が故障していないと判定した場合（Ｓ３：ＮＯ）、第１ＲＡＭ３２にデータを書き込む（ステップＳ４）。ここで、第１ＣＰＵ３０は、第１ＲＡＭ３２のデータ領域において、予め設定されている検査領域にデータを書き込む。次に、第１ＣＰＵ３０は、ステップＳ４で書き込んだデータを第１ＲＡＭ３２から読み出す（ステップＳ５）。
　次に、第１ＣＰＵ３０は、第１ＲＡＭ３２が故障しているか否かを判定する（ステップＳ６）。ステップＳ６では、第１ＣＰＵ３０は、ステップＳ４で書き込んだデータと、ステップＳ５で読み出したデータとが一致している場合、第１ＲＡＭ３２は故障していない、即ち、正常であると判定する。第１ＣＰＵ３０は、ステップＳ４で書き込んだデータと、ステップＳ５で読み出したデータとが一致していない場合、第１ＲＡＭ３２は故障していると判定する。
　第１ＣＰＵ３０は、第１ＲＡＭ３２が故障していないと判定した場合（Ｓ６：ＮＯ）、インタフェース３３を介して、メモリ２１にデータを書き込む（ステップＳ７）。ここで、第１ＣＰＵ３０は、メモリ２１のデータ領域において、予め設定されている検査領域にデータを書き込む。次に、第１ＣＰＵ３０は、ステップＳ７で書き込んだデータを、インタフェース３３を介してメモリ２１から読み出す（ステップＳ８）。
　次に、第１ＣＰＵ３０は、メモリ２１が故障しているか否かを判定する（ステップＳ９）。ステップＳ９では、第１ＣＰＵ３０は、ステップＳ７で書き込んだデータと、ステップＳ８で読み出したデータとが一致している場合、メモリ２１は故障していない、即ち、正常であると判定する。第１ＣＰＵ３０は、ステップＳ７で書き込んだデータと、ステップＳ８で読み出したデータとが一致していない場合、メモリ２１は故障していると判定する。
　第１ＣＰＵ３０は、メモリ２１が故障していないと判定した場合（Ｓ９：ＮＯ）、インタフェース３３を介して、第１要求データを第１通信部２２に出力する（ステップＳ１０）。次に、第１ＣＰＵ３０は、第１通信部２２が故障しているか否かを判定する（ステップＳ１１）。ステップＳ１１では、第１ＣＰＵ３０は、ステップＳ１０を実行してから第１基準時間が経過するまでに、第１通信部２２からインタフェース３３に第１応答データが入力された場合、第１通信部２２が故障していない、即ち、正常であると判定する。第１ＣＰＵ３０は、ステップＳ１０を実行してから第１基準時間が経過するまでに、第１通信部２２からインタフェース３３に第１応答データが入力されなかった場合、第１通信部２２が故障していると判定する。第１基準時間は、一定であり、予め設定されている。
　第１ＣＰＵ３０は、第１通信部２２が故障していないと判定した場合（Ｓ１１：ＮＯ）、インタフェース３３を介して、第１要求データを第１センサ２３に出力する（ステップＳ１２）。次に、第１ＣＰＵ３０は、第１センサ２３が故障しているか否かを判定する（ステップＳ１３）。ステップＳ１３では、第１ＣＰＵ３０は、ステップＳ１２を実行してから第２基準時間が経過するまでに、第１センサ２３からインタフェース３３に第１応答データが入力された場合、第１センサ２３が故障していない、即ち、正常であると判定する。第１ＣＰＵ３０は、ステップＳ１２を実行してから第２基準時間が経過するまでに、第１センサ２３からインタフェース３３に第１応答データが入力されなかった場合、第１センサ２３が故障していると判定する。第２基準時間は、一定であり、予め設定されている。
　第１ＣＰＵ３０は、第１記憶部３１が故障していると判定した場合（Ｓ３：ＹＥＳ）、第１ＲＡＭ３２が故障していると判定した場合（Ｓ６：ＹＥＳ）、メモリ２１が故障していると判定した場合（Ｓ９：ＹＥＳ）、第１通信部２２が故障していると判定した場合（Ｓ１１：ＹＥＳ）、又は、第１センサ２３が故障していると判定した場合（Ｓ１３：ＹＥＳ）、インタフェース３３を介して、報知部２４に故障の報知を指示する（ステップＳ１４）。報知部２４は、表示装置へのメッセージの表示、又は、ランプの点灯等を行うことにより、メモリ２１、第１通信部２２、第１センサ２３、第１記憶部３１及び第１ＲＡＭ３２中の少なくとも１つが故障している旨を報知する。このとき、故障している構成部を報知していもよい。
　第１ＣＰＵ３０は、ステップＳ１４を実行した後、第１検査処理を終了する。その後、第１ＣＰＵ３０は、インタフェース３３を介して検査データを送信することなく、即ち、第２ＣＰＵ４０を起動させることなく、動作を終了する。
　第１ＣＰＵ３０は、第１センサ２３が故障していないと判定した場合（Ｓ１３：ＮＯ）、インタフェース３３を介して、検査データをインタフェース４３に出力する（ステップＳ１５）。これにより、第２ＣＰＵ４０は起動し、起動処理及び第２検査処理を順次実行し、インタフェース４３を介して結果データをマイコン２０のインタフェース３３に出力する。
　インタフェース３３，４３間において、データを出力する構成は、データを構成する複数のパケットをシリアルに出力する構成であってもよい。また、インタフェース３３，４３が複数の導線によって接続されている場合においては、インタフェース３３，４３間において、データを出力する構成は、データを構成する複数のパケットをパラレルに出力する構成であってもよい。
　第１ＣＰＵ３０は、ステップＳ１５を実行した後、インタフェース３３に結果データが入力されたか否を判定する（ステップＳ１６）。第１ＣＰＵ３０は、結果データが入力されていないと判定した場合（Ｓ１６：ＮＯ）、ステップＳ１６を再び実行し、インタフェース３３に結果データが入力されるまで待機する。
　第１ＣＰＵ３０は、結果データが入力されたと判定した場合（Ｓ１６：ＹＥＳ）、インタフェース３３に入力された結果データが、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の少なくとも１つの故障を示しているか否かを判定する（ステップＳ１７）。第１ＣＰＵ３０は、結果データが故障を示していると判定した場合（Ｓ１７：ＹＥＳ）、インタフェース３３を介して、報知部２４に故障の報知を指示する（ステップＳ１８）。報知部２４は、表示装置へのメッセージの表示、又は、ランプの点灯等を行うことにより、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の少なくとも１つが故障している旨を報知する。
　なお、結果データに、故障している構成部を示す情報が含まれている場合には、報知部２４は、故障している構成部も報知してもよい。
　第１ＣＰＵ３０は、結果データが故障を示していない、即ち、正常を示している場合（Ｓ１７：ＮＯ）、第１検査処理を終了する。この場合、第１ＣＰＵ３０は、第１検査処理とは異なる種々の処理を実行し、ＥＣＵ１に接続されている電気機器の動作を制御する。
　第１ＣＰＵ３０は、ステップＳ１８を実行した後、第１検査処理を終了する。この場合、第１ＣＰＵ３０は動作を終了する。
　以上のように、第１検査処理では、第１ＣＰＵ３０は、メモリ２１、第１通信部２２、第１センサ２３、第１記憶部３１及び第１ＲＡＭ３２を検査する。
　図５は起動処理の手順を示すフローチャートである。前述したように、マイコン２０のインタフェース３３からインタフェース４３に検査データが入力された場合、第２ＣＰＵ４０は起動する。具体的には、第２ＣＰＵ４０において、データ管理部５１が停止している状態で処理部５０が起動する。処理部５０は、起動した場合、最初に起動プログラムＢ１に従って起動処理を実行する。起動処理が実行されている間、データ管理部５１は動作を停止している。
　起動処理では、まず、処理部５０は、第２記憶部４１にデータを書き込む（ステップＳ２１）。具体的には、処理部５０は、データ管理部５１を介さずに、第２記憶部４１のデータ領域において予め設定されている検査領域にデータを直接に書き込む。データ管理部５１が停止しているため、処理部５０は第２記憶部４１の検査領域にデータを直接に書き込むことができる。次に、処理部５０は、データ管理部５１を介さずに、ステップＳ２１で書き込んだデータを第２記憶部４１から直接に読み出す（ステップＳ２２）。
　次に、処理部５０は、第２記憶部４１が故障しているか否かを判定する（ステップＳ２３）。ステップＳ２３では、処理部５０は、ステップＳ２１で書き込んだデータと、ステップＳ２２で読み出したデータとが一致している場合、第２記憶部４１は故障していない、即ち、正常であると判定する。処理部５０は、ステップＳ２１で書き込んだデータと、ステップＳ２２で読み出したデータとが一致していない場合、第２記憶部４１は故障していると判定する。
　このように、処理部５０は、ステップＳ２１で書き込んだデータと、ステップＳ２２で読み出したデータとに基づいて、第２記憶部４１を検査する。
　処理部５０は、第２記憶部４１が故障していないと判定した場合（Ｓ２３：ＮＯ）、第２ＲＡＭ４２にデータを書き込む（ステップＳ２４）。具体的には、処理部５０は、データ管理部５１を介さずに、第２ＲＡＭ４２のデータ領域において予め設定されている検査領域にデータを直接に書き込む。データ管理部５１が停止しているため、処理部５０は、第２ＲＡＭ４２の検査領域にデータを直接に書き込むことができる。次に、処理部５０は、データ管理部５１を介さずに、ステップＳ２４で書き込んだデータを第２ＲＡＭ４２から直接に読み出す（ステップＳ２５）。
　次に、処理部５０は、第２ＲＡＭ４２が故障しているか否かを判定する（ステップＳ２６）。ステップＳ２６では、処理部５０は、ステップＳ２４で書き込んだデータと、ステップＳ２５で読み出したデータとが一致している場合、第２ＲＡＭ４２は故障していない、即ち、正常であると判定する。処理部５０は、ステップＳ２４で書き込んだデータと、ステップＳ２５で読み出したデータとが一致していない場合、第２ＲＡＭ４２は故障していると判定する。
　このように、処理部５０は、ステップＳ２４で書き込んだデータと、ステップＳ２５で読み出したデータとに基づいて、第２ＲＡＭ４２を検査する。
　処理部５０は、第２記憶部４１が故障していると判定した場合（Ｓ２３：ＹＥＳ）、又は、第２ＲＡＭ４２が故障していると判定した場合（Ｓ２６：ＹＥＳ）、故障を示す結果データを、インタフェース４３を介して、マイコン２０のインタフェース３３に出力する（ステップＳ２７）。これにより、マイコン２０の第１ＣＰＵ３０は、第１検査処理のステップＳ１８を実行し、報知部２４に報知を指示する。
　なお、故障を示す結果データに、故障している構成部を示す情報が含まれていてもよい。この場合においては、第１ＣＰＵ３０が第１検査処理のステップＳ１８を実行したとき、報知部２４は、故障を報知するとともに、故障している構成部を報知してもよい。
　処理部５０は、ステップＳ２７を実行した後、起動処理を終了する。この場合、処理部５０は動作を終了する。
　処理部５０は、第２ＲＡＭ４２が故障していないと判定した場合（Ｓ２６：ＮＯ）、第２記憶部４１に記憶されている基本プログラムＢ２を第２ＲＡＭ４２にロードする（ステップＳ２８）。処理部５０は、ステップＳ２８を実行した後、起動処理を終了する。その後、データ管理部５１が起動し、処理部５０は、ステップＳ２８でロードした基本プログラムＢ２に従って、第２検査処理を実行する。前述したように、処理部５０が基本プログラムＢ２に従って、処理を実行している場合、データ管理部５１がデータの書き込み及び読み出しを行い、処理部５０が第２記憶部４１又は第２ＲＡＭ４２のデータ領域に直接にアクセスすることはない。
　図６は第２検査処理の手順を示すフローチャートである。第２ＣＰＵ４０の処理部５０が、基本プログラムＢ２に従って、第２検査処理を実行する。第２検査処理が実行されている間、データ管理部５１は作動している。
　第２検査処理では、まず、処理部５０は、インタフェース４３を介して、第２要求データを第２通信部４４に出力し（ステップＳ３１）、第２通信部４４が故障しているか否かを判定する（ステップＳ３２）。
　ステップＳ３２では、処理部５０は、ステップＳ３１を実行してから第３基準時間が経過するまでに、第２通信部４４からインタフェース４３に第２応答データが入力された場合、第２通信部４４が故障していない、即ち、正常であると判定する。処理部５０は、ステップＳ３１を実行してから第３基準時間が経過するまでに、第２通信部４４からインタフェース４３に第２応答データが入力されなかった場合、第２通信部４４が故障していると判定する。第３基準時間は、一定であり、予め設定されている。このように、処理部５０は、第２通信部４４を検査する。
　次に、処理部５０は、第２通信部４４が故障していないと判定した場合（Ｓ３２：ＮＯ）、インタフェース４３を介して、第２要求データを第２センサ４５に出力し（ステップＳ３３）、第２センサ４５が故障しているか否かを判定する（ステップＳ３４）。ステップＳ３４では、処理部５０は、ステップＳ３３を実行してから第４基準時間が経過するまでに、第２センサ４５からインタフェース４３に第２応答データが入力された場合、第２センサ４５が故障していない、即ち、正常であると判定する。処理部５０は、ステップＳ３３を実行してから第４基準時間が経過するまでに、第２センサ４５からインタフェース４３に第２応答データが入力されなかった場合、第２センサ４５が故障していると判定する。第４基準時間は、一定であり、予め設定されている。このように、処理部５０は、第２センサ４５を検査する。
　処理部５０は、第２通信部４４が故障していると判定した場合（Ｓ３２：ＹＥＳ）、又は、第２センサ４５が故障していると判定した場合（Ｓ３４：ＹＥＳ）、故障を示す結果データを、インタフェース４３を介して、マイコン２０のインタフェース３３に出力する（ステップＳ３５）。これにより、マイコン２０の第１ＣＰＵ３０は、第１検査処理のステップＳ１８を実行し、報知部２４に報知を指示する。
　なお、結果データに、故障している構成部を示す情報が含まれていてもよい。この場合においては、第１ＣＰＵ３０が第１検査処理のステップＳ１８を実行したとき、報知部２４は、故障を報知するとともに、故障している構成部を報知してもよい。
　処理部５０は、ステップＳ３５を実行した後、第２検査処理を終了する。この場合、処理部５０は動作を終了する。
　処理部５０は、第２センサ４５が故障していないと判定した場合（Ｓ３４：ＮＯ）、正常を示す結果データを、インタフェース４３を介して、マイコン２０のインタフェース３３に出力する（ステップＳ３６）。これにより、マイコン２０の第１ＣＰＵ３０は、第１検査処理のステップＳ１７において、結果データは故障を示していないと判定し、第１検査処理を終了する。
　処理部５０は、ステップＳ３６を実行した後、第２検査処理を終了する。この場合、第２ＣＰＵ４０の処理部５０は、基本プログラムＢ２及びアプリケーションプログラムＢ３に従って、第２検査処理とは異なる種々の処理を実行する。
　ＥＣＵ１では、第２ＣＰＵ４０の処理部５０は、データ管理部５１が動作を停止している間に、第２記憶部４１へのデータの書き込みと、第２記憶部４１からのデータの読み出しとを直接に行い、書き込んだデータと読み出したデータとが一致するか否かを判定することによって、第２記憶部４１を検査する。
　同様に、第２ＣＰＵ４０の処理部５０は、データ管理部５１が動作を停止している間に、第２ＲＡＭ４２へのデータの書き込みと、第２ＲＡＭ４２からのデータの読み出しとを直接に行い、書き込んだデータと読み出したデータとが一致するか否かを判定することによって、第２ＲＡＭ４２を検査する。このため、処理部５０は、第２記憶部４１及び第２ＲＡＭ４２夫々の検査領域にデータを容易に書き込むことができるので、第２記憶部４１及び第２ＲＡＭ４２夫々を容易に検査することができる。
　また、データ管理部５１が作動している間、即ち、処理部５０が基本プログラムＢ２に従って処理を実行している間、処理部５０は、第２通信部４４及び第２センサ４５を検査する。
（実施の形態２）
　図７は、実施の形態２におけるＥＣＵの要部構成を示すブロック図である。
　以下では、実施の形態２について、実施の形態１と異なる点を説明する。後述する構成を除く他の構成については、実施の形態１と共通しているため、実施の形態１と共通する構成部には実施の形態１と同一の参照符号を付してその説明を省略する。
　実施の形態２におけるＥＣＵ１は、実施の形態１と同様に、マイコン２０、メモリ２１、第１通信部２２、第１センサ２３、第２ＣＰＵ４０、第２記憶部４１、第２ＲＡＭ４２、インタフェース４３、第２通信部４４及び第２センサ４５を備える。実施の形態２におけるＥＣＵ１は、報知部２４の代わりに、内部コネクタ６０を更に備える。
　内部コネクタ６０は、マイコン２０のインタフェース３３に接続している。内部コネクタ６０は、外部コネクタ７０に着脱可能に接続される。外部コネクタ７０は、検査装置７１に接続されている。
　内部コネクタ６０が外部コネクタ７０に接続されている場合において、検査装置７１は、第２の検査データを、外部コネクタ７０及び内部コネクタ６０を介して、マイコン２０のインタフェース３３に出力する。第２の検査データは、メモリ２１、第１通信部２２、第１センサ２３、第１記憶部３１、第１ＲＡＭ３２、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の検査を指示するデータである。
　第１ＣＰＵ３０は、インタフェース３３に第２の検査データが入力された場合に第１検査処理を実行し、第１検査処理で、実施の形態１と同様に、インタフェース３３を介して、検査データをインタフェース４３に出力する。第２ＣＰＵ４０は、実施の形態１と同様に、起動処理及び第２検査処理を行い、インタフェース４３を介して、結果データをマイコン２０のインタフェース３３に出力する。
　第１ＣＰＵ３０は、インタフェース３３、内部コネクタ６０及び外部コネクタ７０を介して、検査装置７１に、正常又は故障を示す第２の結果データを検査装置７１に出力する。第２の結果データの「正常」は、メモリ２１、第１通信部２２、第１センサ２３、第１記憶部３１、第１ＲＡＭ３２、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の全てが正常であることを意味する。第２の結果データの「故障」は、メモリ２１、第１通信部２２、第１センサ２３、第１記憶部３１、第１ＲＡＭ３２、第２記憶部４１、第２ＲＡＭ４２、第２通信部４４及び第２センサ４５の少なくとも１つが故障していることを意味する。
　使用者は、例えば、検査装置７１を用いて、ＥＣＵ１を出荷する前に、ＥＣＵ１を検査する。
　インタフェース３３及び検査装置７１間において、データを出力する構成は、データを構成する複数のパケットをシリアルに出力する構成であってもよい。また、インタフェース３３及び検査装置７１が複数の導線によって接続されている場合においては、インタフェース３３及び検査装置７１間において、データを出力する構成は、データを構成する複数のパケットをパラレルに出力する構成であってもよい。
　図８及び図９は、第１検査処理の手順を示すフローチャートである。前述したように、実施の形態２では、第１ＣＰＵ３０は、インタフェース３３に第２の検査データが入力された場合に第１検査処理を実行する。
　実施の形態２における第１検査処理のステップＳ４１～Ｓ５３，Ｓ５５，Ｓ５６は、実施の形態１における第１検査処理のステップＳ１～Ｓ１３，Ｓ１５，Ｓ１６と同様である。このため、ステップＳ４１～Ｓ５３，Ｓ５５，Ｓ５６の詳細な説明を省略する。
　第１ＣＰＵ３０は、第１記憶部３１が故障していると判定した場合（Ｓ４３：ＹＥＳ）、第１ＲＡＭ３２が故障していると判定した場合（Ｓ４６：ＹＥＳ）、メモリ２１が故障していると判定した場合（Ｓ４９：ＹＥＳ）、第１通信部２２が故障していると判定した場合（Ｓ５１：ＹＥＳ）、又は、第１センサ２３が故障していると判定した場合（Ｓ５３：ＹＥＳ）、インタフェース３３、内部コネクタ６０及び外部コネクタ７０を介して、検査装置７１に、故障を示す第２の結果データを出力する（ステップＳ５４）。このとき、第２の結果データに、故障している構成部を示す情報が含まれていてもよい。
　第１ＣＰＵ３０は、ステップＳ５４を実行した後、第１検査処理を終了する。その後、第１ＣＰＵ３０は、インタフェース３３を介して検査データを出力することなく、即ち、第２ＣＰＵ４０を起動させることなく、動作を終了する。
　第１ＣＰＵ３０は、実施の形態１と同様に、第１センサ２３が故障していないと判定した場合（Ｓ５３：ＮＯ）、インタフェース３３を介して、インタフェース４３に検査データを出力する（ステップＳ５５）。第１ＣＰＵ３０は、第２ＣＰＵ４０からインタフェース４３を介して、インタフェース４３に結果データが入力されるまで待機する。
　第１ＣＰＵ３０は、インタフェース３３に結果データが入力されたと判定した場合（Ｓ５６：ＹＥＳ）、インタフェース３３、内部コネクタ６０及び外部コネクタ７０を介して、検査装置７１に、正常又は故障を示す第２の結果データを検査装置７１に出力する（ステップＳ５７）。ステップＳ５７では、第１ＣＰＵ３０は、インタフェース３３に入力された結果データが正常を示す場合、正常を示す第２の結果データを出力する。第１ＣＰＵ３０は、インタフェース３３に入力された結果データが故障を示す場合、故障を示す第２の結果データを出力する。
　故障を示す結果データがインタフェース３３に入力された場合において、結果データに、故障している構成部を示す情報が含まれているとき、ステップＳ５７で出力する第２の結果データに、故障している構成部を示す情報を含めてもよい。
　第１ＣＰＵ３０は、ステップＳ５４を実行した後、第１検査処理を終了する。
　第２ＣＰＵ４０の処理部５０は、第２検査処理を終了した場合、動作を終了する。第１検査処理は、第２の検査データがインタフェース３３に入力された場合に実行される処理である。起動処理及び第２検査処理は、検査データがインタフェース４３に入力された場合に実行される処理である。第２ＣＰＵ４０が起動する条件は、検査データがインタフェース３３に入力されることだけではない。第２ＣＰＵ４０は、検査データがインタフェース３３に入力されるという条件とは異なる他の条件で起動した場合、第２の起動処理を実行する。
　第２の起動処理では、第２ＣＰＵ４０の処理部５０は、第２記憶部４１に記憶されている起動プログラムＢ１を第２ＲＡＭ４２にロードする。その後、処理部５０は、第２の起動処理を終了する。第２の起動処理が終了して、データ管理部５１が作動した場合においては、処理部５０は、第２検査処理を実行せず、基本プログラムＢ２に従って、第２検査処理を除く他の処理を実行する。
　実施の形態２におけるＥＣＵ１は、実施の形態１におけるＥＣＵ１が奏する効果を同様に奏する。
　なお、実施の形態１，２において、ＥＣＵ１は、メモリ２１、第１通信部２２及び第１センサ２３の全てを備えていなくてもよい。ＥＣＵ１の構成は、メモリ２１、第１通信部２２及び第１センサ２３中の１つ又は２つを備える構成であってもよい。この場合、検査する対象の数が１つ又は２つに減少する。同様に、ＥＣＵ１は、第２通信部４４及び第２センサ４５の両方を備える必要はない。ＥＣＵ１の構成は、第２通信部４４及び第２センサ４５の一方を備える構成であってもよい。この場合、第２検査処理では、第２通信部４４及び第２センサ４５の一方が検査される。
　また、第１検査処理において、第１記憶部３１及び第１ＲＡＭ３２の両方を検査しなくてもよく、第１記憶部３１及び第１ＲＡＭの一方のみを検査してもよい。同様に、起動処理において、第２記憶部４１及び第２ＲＡＭ４２の両方を検査しなくてもよく、第２記憶部４１及び第２ＲＡＭ４２の一方のみを検査してもよい。
　更に、第１通信部２２を検査する構成は、第１通信部２２に第１要求データを出力し、第１通信部２２から第１応答データが入力されたか否かに基づいて判定する構成に限定されない。例えば、第１通信部２２に指示して、通信線Ｌ１に接続されている外部ＥＣＵに、第１通信部２２への送信を指示するデータを送信させる。そして、データが送信されてから第１基準時間が経過するまでに第１通信部２２が外部ＥＣＵからデータを受信したか否かに基づいて、第１通信部２２を検査してもよい。
　同様に、第２通信部４４を検査する構成は、第２通信部４４に第２要求データを出力し、第２通信部４４から第２応答データが入力されたか否かに基づいて判定する構成に限定されない。例えば、第２通信部４４に指示して、通信線Ｌ２に接続されている第２の電気機器に、第２通信部４４への送信を指示するデータを送信させる。そして、データが送信されてから第３基準時間が経過するまでに、第２通信部４４が第２の電気機器からデータを受信したか否かに基づいて、第２通信部４４を検査してもよい。
　また、第１センサ２３を検査する構成は、第１センサ２３に第１要求データを出力し、第１センサ２３から第１応答データが入力されたか否かを判定する構成に限定されない。例えば、第１センサ２３が明るさを検出する場合、第１センサ２３に光を照射する。そして、第１センサ２３が検出した物理量が所定の範囲内の値であるか否かを判定することによって、第１センサ２３を検査してもよい。
　同様に、第２センサ４５を検査する構成は、第２センサ４５に第２要求データを出力し、第２センサ４５から第２応答データが入力されたか否かを判定する構成に限定されない。例えば、第２センサ４５が明るさを検出する場合、第２センサ４５に光を照射する。そして、第２センサ４５が検出した物理量が所定の範囲内の値であるか否かを判定することによって、第２センサ４５を検査してもよい。
　開示された実施の形態１，２はすべての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上述した意味ではなく、請求の範囲によって示され、請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。
　１　ＥＣＵ（処理装置）
　４０　第２ＣＰＵ（処理素子）
　４１　第２記憶部
　４２　第２ＲＡＭ（記憶部）
　４４　第２通信部
　４５　第２センサ
　５０　処理部
　５１　データ管理部
　Ｂ１　起動プログラム
　Ｂ２　基本プログラム

Claims (5)

  1. 　処理を実行する処理素子と、該処理素子によってデータの書き込み及び読み出しが行われる記憶部とを備える車両用の処理装置において、
    　前記処理素子は、
    　処理を実行する処理部と、
    　該処理部の指示に従って、前記記憶部へのデータの書き込み、及び、該記憶部からのデータの読み出しを行うデータ管理部と
    　を有し、
    　前記処理部は、該データ管理部が動作を停止している間に、前記記憶部にデータを直接に書き込み、書き込んだデータを前記記憶部から直接に読み出し、書き込んだデータと、読み出したデータとに基づいて前記記憶部を検査し、
    　前記処理部は、前記データ管理部が作動している場合、前記データ管理部に前記書き込み及び読み出しを行わせること
    　を特徴とする処理装置。
  2. 　前記処理部は、前記記憶部を検査した後にオペレーティングシステムに係るコンピュータプログラムをロードし、ロードしたコンピュータプログラムに従って処理を実行し、
    　前記処理部が該コンピュータプログラムに従って処理を実行している間、前記データ管理部は作動していること
    　を特徴とする請求項１に記載の処理装置。
  3. 　前記記憶部の数は２以上であり、
    　２以上の該記憶部には、オペレーティングシステムに係るコンピュータプログラムが記憶される記憶部と、データが一時的に記憶される記憶部とが含まれること
    　を特徴とする請求項１又は請求項２に記載の処理装置。
  4. 　前記処理部は、前記データ管理部が作動している間に、通信を行う通信部、及び、車両に搭載されたセンサ中の少なくとも一方を検査すること
    　を特徴とする請求項１から請求項３のいずれか１つに記載の処理装置。
  5. 　処理を実行する処理部と、データが記憶される記憶部と、該処理部の指示に従って、前記記憶部へのデータの書き込み、及び、前記記憶部からのデータの読み出しを行うデータ管理部とを備える車両用の処理装置の前記処理部に処理を実行させるコンピュータプログラムであって、
    　前記データ管理部が動作を停止している間に、前記記憶部にデータを直接に書き込み、
    　前記データ管理部が動作を停止している間に、書き込んだデータを前記記憶部から直接に読み出し、
    　書き込んだデータと、読み出したデータとに基づいて前記記憶部を検査する
    　処理を前記処理部に実行させることを特徴とするコンピュータプログラム。
PCT/JP2018/018631 2017-06-05 2018-05-15 処理装置及びコンピュータプログラム WO2018225461A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017110978A JP2018206075A (ja) 2017-06-05 2017-06-05 処理装置及びコンピュータプログラム
JP2017-110978 2017-06-05

Publications (1)

Publication Number Publication Date
WO2018225461A1 true WO2018225461A1 (ja) 2018-12-13

Family

ID=64566607

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/018631 WO2018225461A1 (ja) 2017-06-05 2018-05-15 処理装置及びコンピュータプログラム

Country Status (2)

Country Link
JP (1) JP2018206075A (ja)
WO (1) WO2018225461A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021192936A1 (ja) * 2020-03-27 2021-09-30 日立Astemo株式会社 車両用作動機構の制御装置及び制御方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0293847A (ja) * 1988-09-30 1990-04-04 Toshiba Corp 初期診断時のメモリテスト方式
JPH03147042A (ja) * 1989-11-01 1991-06-24 Fujitsu Ltd 仮想メモリシステムの試験方式
JP2013109392A (ja) * 2011-11-17 2013-06-06 Toyota Motor Corp 情報処理装置およびメモリ管理装置の動作確認方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0293847A (ja) * 1988-09-30 1990-04-04 Toshiba Corp 初期診断時のメモリテスト方式
JPH03147042A (ja) * 1989-11-01 1991-06-24 Fujitsu Ltd 仮想メモリシステムの試験方式
JP2013109392A (ja) * 2011-11-17 2013-06-06 Toyota Motor Corp 情報処理装置およびメモリ管理装置の動作確認方法

Also Published As

Publication number Publication date
JP2018206075A (ja) 2018-12-27

Similar Documents

Publication Publication Date Title
JP3138709B2 (ja) 車両用電子制御装置の自己故障診断方法及び装置
JP2010092127A (ja) コンピュータ装置、プロセッサ診断方法、及びプロセッサ診断制御プログラム
US20080103650A1 (en) Fault information management system and a method for implementing a fault information management system for a vehicle
TW201715245A (zh) 半導體裝置及診斷測試方法
JP2018088177A (ja) 情報処理装置、情報処理システム、情報処理方法、および情報処理プログラム
KR102401882B1 (ko) 메모리의 신뢰성을 향상시킬 수 있는 메모리 시스템 및 그 메모리 관리 방법
WO2018225461A1 (ja) 処理装置及びコンピュータプログラム
US20130167132A1 (en) System, electronic device with firmware updating function and method therefor
JP2010218510A (ja) 状態監視システムおよび状態監視方法
JP2018194336A (ja) 異常検知装置および異常検知方法
KR20150019836A (ko) 부팅 시 오류 검출 기능을 갖는 멀티미디어 장치 및 그 동작 방법
JP2009251936A (ja) プログラマブル表示器の画面プログラム自動試験システム
JP2015190956A (ja) 車載装置の検査システム、車載装置の検査用装置、車載装置、および、可搬型の記憶媒体
JP2013115521A (ja) 表示装置、及びそのプログラム
JP5419761B2 (ja) デバイス制御装置およびｃｐｕ
JP6466743B2 (ja) 警報器の調整方法及び警報器
JP4207722B2 (ja) 集積回路とその検査システム、検査装置、ならびに検査方法
US11892923B2 (en) Testing electronic products for determining abnormality
JP2015041253A (ja) 情報処理システム、制御装置、制御方法、および制御プログラム
JP2005215832A (ja) 情報処理装置および情報処理装置の検査方法
JP7281658B2 (ja) 車両用表示システムおよび車両用表示システムの画像表示方法
TW201928669A (zh) 電腦設備、診斷方法以及非暫時性電腦可讀儲存媒體
JP2002002419A (ja) 車両用電子制御ユニット
JPH08278924A (ja) アダプタ診断システム
JP2017076358A (ja) 情報処理装置、情報処理装置の制御方法及びそのプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18813881

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18813881

Country of ref document: EP

Kind code of ref document: A1