WO2020059347A1 - 電子制御装置 - Google Patents

電子制御装置 Download PDF

Info

Publication number
WO2020059347A1
WO2020059347A1 PCT/JP2019/031268 JP2019031268W WO2020059347A1 WO 2020059347 A1 WO2020059347 A1 WO 2020059347A1 JP 2019031268 W JP2019031268 W JP 2019031268W WO 2020059347 A1 WO2020059347 A1 WO 2020059347A1
Authority
WO
WIPO (PCT)
Prior art keywords
circuit
unit
processing
diagnostic
electronic control
Prior art date
Application number
PCT/JP2019/031268
Other languages
English (en)
French (fr)
Inventor
健一 新保
鳥羽　忠信
坂本　英之
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to CN201980051181.1A priority Critical patent/CN112513819A/zh
Priority to US17/272,098 priority patent/US11327863B2/en
Publication of WO2020059347A1 publication Critical patent/WO2020059347A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/26—Functional testing
    • G06F11/273—Tester hardware, i.e. output processing circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/2205—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using arrangements specific to the hardware being tested
    • G06F11/2236—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using arrangements specific to the hardware being tested to test CPU or processors
    • G06F11/2242—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using arrangements specific to the hardware being tested to test CPU or processors in multi-processor systems, e.g. one processor becoming the test master
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware

Definitions

  • the present invention relates to an electronic control unit.
  • Patent Document 1 discloses an element that can be reconfigured by programming, a duplicated circuit that is at least a duplicate of the circuit, and an output of both the circuit and the duplicated circuit for inspecting a circuit configured by programming the element.
  • An information processing apparatus comprising: means for configuring a test circuit including a comparator for comparing the element with a partial configuration of a region prepared so that the element can be reconfigured; and means for changing the circuit to be tested. It has been disclosed.
  • An electronic control device includes a reconfigurable diagnostic circuit unit used for diagnosing each of a plurality of processing circuits that process an input signal; An input data storage unit for temporarily storing output signals of the plurality of processing circuits; an output data storage unit for temporarily storing output signals of the plurality of processing circuits; A reconfiguration control unit that sequentially writes the circuit configuration information to the unit, and when the circuit configuration information is written to the diagnostic circuit unit, the diagnostic circuit unit uses the input signal stored in the input data storage unit.
  • a diagnostic control unit that performs an arithmetic operation, and a comparator that diagnoses each of the plurality of processing circuits by comparing the output of the diagnostic circuit unit and the output signal stored in the output data storage unit.
  • FIG. 3 is a diagram illustrating an example of a sequence table included in the sequencer 113.
  • Processing sequence diagram of the electronic control unit 3 according to the first embodiment Schematic diagram showing the operation of the second processing circuit 1012 Configuration diagram of an electronic control unit 3A according to the second embodiment Configuration diagram of an electronic control unit 3B according to the third embodiment
  • Sequence diagram of the electronic control unit 3 according to the third embodiment A conceptual diagram showing a configuration of an FPGA 100C according to a fourth embodiment.
  • the electronic control device is mounted on the vehicle, but may be used outside the vehicle, for example, in a calculation room.
  • FIG. 1 is a configuration diagram of the electronic control unit 3 according to the first embodiment.
  • the electronic control unit 3 includes an FPGA 100 that is a reconfigurable logic circuit, a reconfiguration data memory 11 that stores information of circuits included in the FPGA 100, and a control CPU 1 that is a central processing unit.
  • the electronic control unit 3 receives sensor information from an external sensor group 10 mounted on the vehicle.
  • the external sensor group 10 includes two or more sensors.
  • the sensor is, for example, a camera, a millimeter-wave radar, a LIDAR (Laser Imaging Detection and Ranging), an ultrasonic sensor, or the like.
  • the external sensor group 10 may include a plurality of sensors of the same type.
  • the control CPU 1 performs calculations for vehicle control using data 1011a to 1013a, which will be described later, which are outputs of the FPGA 100.
  • this calculation is called “CPU calculation”
  • the time required for CPU calculation is called “CPU calculation time”.
  • the CPU calculation is, for example, a prediction of the movement of an object existing around the vehicle or a trajectory plan of the vehicle.
  • the control CPU 1 performs processing at the time of error.
  • the processing at the time of an error is to interrupt the operation and continue the output in the immediately preceding control cycle, or to shift to a degenerate operation.
  • the FPGA 100 includes a first processing circuit 1011, a second processing circuit 1012, a third processing circuit 1013, a diagnostic circuit unit 111, a synchronization receiving unit 112, a sequencer 113, an input data storage unit 114, and an output data storage It includes a unit 115, a comparator 116, a diagnosis control unit 117, and a reconstruction control unit 118.
  • the first processing circuit 1011, the second processing circuit 1012, and the third processing circuit 1013 are collectively referred to as a “processing circuit” 101.
  • the synchronous receiving unit 112 and the processing circuit 101 execute the core functions of the electronic control device 3. Although described later in detail, other configurations are used for diagnosis of the processing circuit 101.
  • the configuration excluding the diagnostic circuit unit 111 included in the FPGA 100 is reconfigured on the logic circuit of the PFGA 100 when the FPGA 100 is started. These pieces of circuit information are stored in the reconfiguration data memory 11 or a ROM (not shown).
  • the first processing circuit 1011, the second processing circuit 1012, and the third processing circuit 1013 operate in parallel and perform fusion processing in which a plurality of pieces of sensor information output from the external sensor group 10 are combined.
  • the fusion process is, for example, a process of calculating a distance to an object by combining camera image data and radar information, or a process of performing object recognition by complementing LIDAR information when camera information is poor in bad weather. It is.
  • the processing circuit 101 does not directly receive the sensor information from the external sensor group 10, but receives the sensor information via the synchronous receiving unit 112.
  • ⁇ Operation results of the first processing circuit 1011, the second processing circuit 1012, and the third processing circuit 1013 are referred to as data 1011 a, data 1012 b, and data 1013 a.
  • the operation result of the processing circuit 101 is also referred to as “output data”.
  • the sensor information input to the processing circuit 101 is also referred to as “input data”.
  • FPGA operation the operations performed by the processing circuit 101 are collectively referred to as “FPGA operation”, and the time required for the FPGA operation is referred to as “FPGA operation time”.
  • FPGA operation time the time required for the calculation by each processing circuit 101 is different, the longest processing time is called the FPGA calculation time.
  • the electronic control unit 3 executes from the collection of the sensor information to the vehicle control by the control CPU 1 during a control period T which is a predetermined time, and repeats this. Since the control CPU 1 uses the data 1011a to 1013a output by the FPGA 100, the control CPU 1 performs the calculation after the calculation by the FPGA 100 is completed. That is, the control cycle T is longer than the sum of the FPGA operation time and the CPU operation time.
  • the control cycle T has a length at least three times as long as the FPGA operation time. Details will be described later.
  • the synchronization receiving unit 112 buffers the sensor information transmitted from each sensor, and absorbs the latency between the sensor and the FPGA 100, for example, a variation in signal transmission timing due to a difference in cable length.
  • the operation of the synchronization receiving unit 112 is, for example, as follows. That is, the sensor having the longest cable length known in advance is distinguished from the other sensors, and the synchronous receiving unit 112 temporarily stores the sensor information received from the other sensors. When receiving the sensor information from the sensor having the longest cable length, the synchronous receiving unit 112 outputs the sensor information to the processing circuit 101 and the input data storage unit 114 together with the temporarily stored signal. However, the synchronous receiving section 112 writes into the input data storage section 114 only once in the first control cycle T described later.
  • the input data storage unit 114 is a storage area in which sensor information is temporarily stored. However, the input data storage unit 114 may be a memory circuit or a flip-flop.
  • the output data storage unit 115 is a storage area in which the operation result of the processing circuit 101 is temporarily stored.
  • the diagnostic circuit section 111 is a common diagnostic circuit area for the processing circuit 101, and is rewritten and used for the same processing circuit as the diagnosis target by dynamic reconfiguration.
  • the sensor information read from the input data storage unit 114 is input to the diagnostic circuit unit 111 after the reconstruction, and the calculation result is output to the comparator 116.
  • the diagnostic circuit unit 111 is first rewritten to the same processing circuit as the first processing circuit 1011, and the sensor information input to the first processing circuit 1011 is input.
  • the diagnostic circuit unit 111 is rewritten to the same processing circuit as the second processing circuit 1012, and the sensor information input to the second processing circuit 1012 is input.
  • the comparator 116 compares the operation result output from the diagnostic circuit unit 111 with the output data 115a output from the output data storage unit 115. However, the output data 115a is output from the output data storage unit 115 to the comparator 116 by the operation of the diagnosis control unit 117. If the two do not match, the comparator 116 outputs an error signal 116a to the control CPU 1. The comparator 116 may output a signal notifying that it is normal to the control CPU 1 when they match, or may not output the signal. When the comparison is completed, the comparator 116 outputs a signal indicating that the comparison is completed to the sequencer 113.
  • the sequencer 113 manages the order of diagnosing the processing circuit 101 and the reconfiguration timing of the diagnosing circuit according to a sequence table described later. Specifically, the sequencer 113 transmits the reconfiguration start timing signal 113a and the identification information 113b indicating the processing circuit to be diagnosed to the reconfiguration control unit 118, and the identification information 113b indicating the processing circuit to be diagnosed to the diagnosis control unit 117. Is output.
  • diagnosis order the order of diagnosing the processing circuit 101 is also referred to as “diagnosis order”.
  • the reconfiguration control unit 118 Upon receiving the reconfiguration start timing signal 113a from the sequencer 113, the reconfiguration control unit 118 reconfigures the diagnostic circuit unit 111 into the specified processing circuit according to the identification information 113b indicating the processing circuit to be diagnosed.
  • the reconfiguration control unit 118 reads reconfiguration data of the processing circuit specified by the identification information 113b from the reconfiguration data memory 11 existing outside the FPGA 100, and executes reconfiguration of the diagnostic circuit unit 111.
  • the reconfiguration control unit 118 notifies the diagnosis control unit 117 of a reconfiguration completion signal 118a.
  • the diagnostic control unit 117 controls reading of input data of the diagnostic circuit unit 111 and output data for diagnosis.
  • the diagnosis control unit 117 recognizes the number of the processing circuit to be diagnosed based on the identification information 113b input from the sequencer 113, similarly to the reconstruction control unit 118.
  • the diagnosis control unit 117 Upon receiving the reconfiguration completion signal 118a from the reconfiguration control unit 118, the diagnosis control unit 117 reads the same data as the data input to the processing circuit to be diagnosed from the input data storage unit 114, and inputs the same data to the diagnostic circuit unit 111. I do. Further, the diagnosis control unit 117 reads out the output data of the processing circuit to be diagnosed from the output data storage unit 115 and inputs the data to the comparator 116.
  • FIG. 2 is a diagram showing an example of a sequence table included in the sequencer 113.
  • the sequencer 113 outputs a reconfiguration start timing signal 113a, identification information 113b of the circuit to be diagnosed, and the like according to the sequence table.
  • the first column from the left of the table shown in FIG. 2 shows the processing number
  • the second column shows the identification information of the circuit to be diagnosed
  • the third column shows the processing number to be executed next
  • the fourth column shows the next processing. Indicates the waiting time.
  • the reconfiguration start timing signal 113b is output together with the identification information 113a indicating the processing circuit 101.
  • the information is simply called a sequence table, and the information need not be stored in a table format. That is, the information shown in FIG. 2 only needs to be stored, and the format used for storing the information is arbitrary.
  • FIG. 3 is a processing sequence diagram of the electronic control unit 3.
  • the control cycle T is a time equal to or longer than the sum of the time of the FPGA operation and the time of the CPU operation.
  • the external sensor group 10 includes three sensors, and the sensor information to be output is A, B, and X. However, hereinafter, numbers are added to the output sensor information in the order of output, for example, A0, A1, A2, A3,.
  • the cycle at which the external sensor group 10 outputs sensor information is not constant, and the cycle of X is the longest.
  • the synchronous receiver 112 buffers A and B when it receives it, and stores it in the processing circuit 101 and the input data storage 114 together with the latest A and B that it receives when it receives X.
  • the information stored in the input data storage unit 114 is maintained during the control cycle T.
  • the output data of each processing circuit 101 is collectively stored in the output data storage unit 115, and this data is also held until the end of the control cycle T.
  • the diagnostic circuit unit 111 performs the same arithmetic processing as the first processing circuit 1011 using the input data 114a read by the diagnostic control unit 117.
  • the diagnostic circuit unit 111 performs a diagnosis by using the comparator 116 to compare the operation result with the operation result of the first processing circuit 1011 stored in the output data storage unit 115, that is, the output data 115a.
  • the diagnosis result 116a is notified to the control CPU1.
  • the diagnostic circuit unit 111 is reconfigured by the reconfiguration control unit 118 into the same circuit as the second processing circuit 1012.
  • the input data A0 and X0 are read from the input data storage unit 114 using the reconfiguration completion signal 118a as a trigger, and used as input data of the diagnostic circuit unit 111.
  • the input data A0 and X0 are the same as the data used by the second processing circuit 1012 for the operation.
  • the diagnostic circuit unit 111 the same arithmetic processing as that of the second processing circuit 1012 is performed. The result of this operation is compared with the actual output data of the processing circuit 1012 temporarily stored in the output data storage unit 115 to make a diagnosis.
  • the diagnostic circuit unit 111 is reconfigured by the reconfiguration control unit 118 into the same circuit as the third processing circuit 1013, and the calculation and comparison are performed in the same manner. Then, the diagnostic circuit 111 writes the same circuit as the first processing circuit 1011 by reconfiguration in preparation for the calculation in the next control cycle. As described above, the diagnostic circuit unit 111 is reconfigured into various processing circuits 101 by the reconfiguration control unit 118, and the diagnostic processing is repeated.
  • the same processing as the first processing circuit 1011 by the diagnostic circuit unit 111 is performed almost simultaneously with the FPGA processing, but the same processing as the second processing circuit 1012 by the diagnostic circuit unit 111 is performed thereafter. . Then, the same processing as that of the third processing circuit 1013 by the diagnostic circuit unit 111 is further performed thereafter, and the processing ends before the same control cycle T ends. Therefore, the control cycle T is at least three times as long as the FPGA processing time. However, this is because the FPGA processing includes parallel processing by three circuits. If the FPGA processing includes parallel processing by five circuits, the control cycle T is at least five times as long as the FPGA processing time.
  • FIG. 4 is a schematic diagram showing the operation of the second processing circuit 1012.
  • the captured image and the vehicle speed are input to the second processing circuit 1012.
  • the second processing circuit 1012 determines whether or not the input captured image is pure white.
  • the second processing circuit 1012 executes a process R1 when determining that the captured image is pure white, and performs a process R2 when determining that the captured image is not pure white.
  • the process R1 not only the photographed image but also the vehicle speed is used, and in the process R2, only the photographed image is used. Then, the result of the processing R1 or R2 is output, and the processing of the first processing circuit ends.
  • the following configuration is also conceivable as an operation similar to the duplication of processing (hereinafter, referred to as “pseudo duplication”). That is, in the pseudo-duplexing, the input data storage unit 114 is not used, and the output of the external sensor group 10 is read at the timing when the diagnosis circuit unit 111 performs the calculation, and the diagnosis circuit unit 111 and the processing circuit 101 perform the calculation simultaneously. As a result, the two perform the calculation using the same sensor data and compare the calculation results to perform the pseudo duplication. However, in this pseudo-duplexing, sensor data different from the sensor data used by the control CPU 20 for calculation is used, so that the data used by the control CPU 1 for calculation is not guaranteed to be duplicated. Therefore, this pseudo-duplexing is not sufficient, and requires the input data storage unit 114 as in the present embodiment.
  • the electronic control unit 3 is configured to temporarily diagnose the reconfigurable diagnostic circuit unit 111 used for diagnosing each of the plurality of processing circuits 101 that process the input sensor information, and to temporarily store the input sensor information.
  • An output data storage unit 115 for temporarily storing output signals of a plurality of processing circuits, and the same circuit information as the processing circuit 101 in the diagnostic circuit unit 111 as circuit configuration information.
  • a diagnostic control unit 117 that causes the diagnostic circuit unit 111 to perform an operation using the sensor information stored in the input data storage unit 114 when the circuit configuration information is written to the diagnostic circuit unit 111.
  • a comparator 11 that diagnoses each of the plurality of processing circuits by comparing the output of the diagnostic circuit unit 111 and the output signal stored in the output data storage unit 115 Provided with a door. Therefore, by using the input data storage unit 114 and the output data storage unit 115, diagnosis can be performed under the same operating conditions as in actual use, and the reliability of the electronic control device and the in-vehicle system can be further improved.
  • the electronic control unit 3 includes a sequencer 113 that manages a diagnosis order, which is a diagnosis order in a plurality of processing circuits, and issues a reconfiguration instruction to a reconfiguration control unit 118.
  • the output signal stored in the output data storage unit 115 used by the comparator 116 for comparison is determined based on the diagnostic order managed by the sequencer 113. Therefore, the order of diagnosing the processing circuit 101 can be managed.
  • the processing circuit 101 operates at every predetermined processing cycle.
  • the circuit information of any one of the plurality of processing circuits is written into the diagnostic circuit unit 111 at one time.
  • the processing cycle T is longer than the sum of the respective operation times of the processing circuit 101. Therefore, all the processing circuits 101 can be duplicated in the control cycle T. In other words, if an error is detected, the electronic control unit 3 can recognize the occurrence of the error before the control cycle T is completed, so that appropriate measures can be taken.
  • the processing circuit 101 is configured in the reconfigurable FPGA 100. Therefore, the electronic control unit 3 can perform various calculations according to the situation, and any of the calculations can be duplicated by the diagnostic circuit unit 111.
  • an abnormal part is specified as follows. Is also good. For example, if an error is detected in the diagnosis in the first control cycle and the error does not recur in the diagnosis in the next control cycle, it is determined that the diagnostic circuit refreshed by the reconfiguration has an abnormality. If an error is detected twice consecutively, it is determined that the processing circuit 101 that is not always reconfigured has an abnormality.
  • the diagnostic circuit unit 111 not only the diagnostic circuit unit 111 but also various components such as the processing circuit 101, the synchronization receiving unit 112, and the input data storage unit 114 are mounted on the FPGA 100.
  • the diagnostic circuit unit 111 may be mounted on the FPGA 100, and the other components may be mounted on other than the FPGA 100.
  • the processing circuit 101 may be realized by a hardware circuit, may be realized by software processing, or may be configured on a logic circuit different from the FPGA 100.
  • the input data storage unit 114 and the output data storage unit 115 may be realized by a semiconductor memory provided outside the FPGA 100, or may be realized by a latch circuit.
  • the reconfiguration control unit 118 may reconfigure the processing circuit 101 as needed.
  • FIG. 5 is a configuration diagram of an electronic control unit 3A according to the second embodiment.
  • the same parts as those in FIG. 1 are denoted by the same reference numerals, and have the same configuration and operation, so that the description will be omitted.
  • the FPGA 100A differs from the first embodiment in that whether to use the processing circuit 101 can be controlled by control signals 20a to 20c from the control CPU 20.
  • the control signals 20a to 20c are also input to the sequencer 213, and the sequencer 213 can recognize which processing circuit is being used.
  • the control CPU 1 determines a processing circuit 101 that does not require the operation based on a predetermined rule or a predetermined operation, and outputs signals 20a to 20c corresponding to the processing circuit 101 that does not require the operation to the FPGA 100A.
  • the control CPU 1 according to the present embodiment determines a processing circuit 101 that does not require an operation, and thus can be referred to as an “unnecessary circuit determination unit”.
  • the sequencer 113 uses this information to control the reconfiguration of the diagnostic circuit and the diagnostic control so that the diagnosis is skipped for the unused processing circuit.
  • the information of the sequence table provided inside the sequencer 213 is masked using the control signals 20a to 20c. That is, the identification information of the circuit to be diagnosed in the second column from the left in FIG. 2 is masked using the control signals 20a to 20c. For example, when the control signal 20a for setting the first processing circuit 1011 to non-use is "High", the column of "1" of the identification information is masked. As a result, the case where "0" is described is handled, and the diagnosis of the first processing circuit 1011 is skipped.
  • the electronic control unit 3 includes the control CPU 1 that determines which of the plurality of processing circuits 101 requires no calculation.
  • the reconfiguration control unit 118 sequentially writes the same circuit information as the plurality of processing circuits except for the unnecessary circuits to the diagnostic circuit unit 111 as circuit configuration information. Therefore, by reducing unnecessary reconfiguration time and diagnosis time, the abnormality detection time in the control cycle can be shortened, so that the reliability of the electronic control device 3 and the in-vehicle system can be improved. There is also an effect of reducing power consumption by stopping processing circuits that are not used.
  • the reconfiguration control unit 118 may erase the processing circuit 101 determined not to be used by the control CPU 1, that is, reconfigure the processing circuit 101 into a blank circuit.
  • the diagnostic circuit unit 111 may use a blank circuit.
  • FIGS. 1 -Third embodiment- A third embodiment of the electronic control unit will be described with reference to FIGS.
  • the same components as those in the first embodiment are denoted by the same reference numerals, and the differences will be mainly described.
  • the points that are not particularly described are the same as in the first embodiment.
  • This embodiment is different from the first embodiment mainly in that the time to configure the logic circuit in the diagnostic circuit unit is hidden.
  • FIG. 6 is a configuration diagram of an electronic control unit 3B according to the third embodiment.
  • the diagnostic circuit unit 111 includes a first diagnostic circuit unit 111A, a second diagnostic circuit unit 111B, and a selecting unit 319 for selecting which diagnostic circuit is used for diagnosis. Be composed.
  • Each of the first diagnostic circuit unit 111A and the second diagnostic circuit unit 111B has a region in which any one of the first processing circuit 1011, the second processing circuit 1012, and the third processing circuit 1013 can be configured.
  • the sequencer 113 outputs not only the circuit identification information 113b for diagnosis control but also the circuit identification information 313c for reconfiguration to the diagnosis control unit 117 and the reconfiguration control unit 118.
  • the sequence table provided in the sequencer 313 also includes information on which area of the first diagnostic circuit unit 111A and the second diagnostic circuit unit 111B to perform reconstruction.
  • FIG. 7 is a sequence diagram of the electronic control unit 3 according to the third embodiment.
  • the same processes as those in FIG. 2 are denoted by the same reference numerals, and description thereof will be omitted.
  • a circuit equivalent to the first processing circuit 1011 is configured in the first diagnostic circuit unit 311A.
  • the selection unit 319 has selected the first diagnostic circuit unit side, so that the diagnosis of the first processing circuit 1011 is performed.
  • the reconfiguration control unit 118 performs the reconfiguration processing of the second diagnostic circuit unit 111B based on the reconfiguration circuit identification information 313c from the sequencer 113. Is carried out. As a result, a circuit equivalent to the second processing circuit 1012 to be diagnosed next is written in the second diagnostic circuit unit 111B.
  • the selecting unit 319 selects the second diagnostic circuit unit 111B, so that there is no waiting time for the reconfiguration and the next second processing circuit 1012 Diagnosis can be started.
  • the diagnostic circuit unit 111 includes a first diagnostic circuit unit 111A and a second diagnostic circuit unit 111B that can write the same circuit information as the processing circuits included in the plurality of processing circuits 101, respectively.
  • the diagnosis control unit 117 causes the reconfiguration control unit 118 to write the circuit information to the first diagnosis circuit unit 111A and the calculation by the processing circuit included in the second diagnosis circuit unit 111B to be executed in a time-series manner.
  • two diagnostic circuit units that is, the first diagnostic circuit unit 111A and the second diagnostic circuit unit 111B are provided, and the reconfiguration process and the diagnostic process are alternately performed in each of the two diagnostic circuit units. Therefore, the time required for the diagnostic circuit unit 111 to perform only the reconfiguration without performing the operation can be reduced as compared with the first embodiment, which leads to improvement in the reliability of the electronic control unit 3 and the in-vehicle system.
  • FIG. 8 is a conceptual diagram showing a configuration of an FPGA 100C according to the fourth embodiment.
  • the FPGA 100C uses the configuration of the FPGA 100 according to the first embodiment as one functional block, and includes a plurality of, for example, three functional blocks.
  • the sensor data synchronous receiving unit is further synchronized between the functional blocks, and realizes synchronous reception of the entire sensor data. For example, when the external sensor group 10 includes several tens of sensors, the external sensor group 10 is processed by dividing the cluster into front, rear, left and right clusters, and fusion processing is performed on the output data.
  • the time-division diagnosis processing described in the first embodiment is included in each of the function blocks. Can be executed in parallel.
  • the present invention is not limited to the above-described embodiments and modified examples, but includes various modified examples and equivalent configurations within the scope of the appended claims.
  • the above-described embodiments have been described in detail for easy understanding of the present invention, and the present invention is not necessarily limited to those having all the described configurations.
  • the control lines and the information lines are considered to be necessary for explanation, and do not necessarily indicate all the control lines and the information lines necessary for mounting. In fact, it may be considered that almost all components are interconnected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Logic Circuits (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

電子制御装置は、入力される信号を処理する複数の処理回路のそれぞれを診断するために用いられる、再構成可能な診断回路部と、入力される信号を一時的に格納する入力データ格納部と、複数の処理回路の出力信号を一時的に格納する出力データ格納部と、診断回路部に複数の処理回路と同一の回路情報を、診断回路部へ回路構成情報として順番に書き込む再構成制御部と、診断回路部に回路構成情報が書き込まれると、診断回路部に入力データ格納部に格納された入力される信号を用いて演算を行わせる診断制御部と、診断回路部の出力、および出力データ格納部に格納された出力信号を比較することで複数の処理回路のそれぞれを診断する比較器とを備える。

Description

電子制御装置
　本発明は、電子制御装置に関する。
　自動運転の実用化を目指した技術開発が進められている。自動運転は人間に代わり認知、判断、操作を行う必要があり、高度な情報処理や走行制御が求められる。また、自動運転に必要となる処理性能や機能はＡＩを含めて加速度的に増大しており、その要求に柔軟に対応するため、従来のＣＰＵや、ＧＰＵ、専用ハードウェアチップに加え、論理回路を自由にアップデート可能なＦＰＧＡ（Field-Programmable　Gate　Array）などのプログラマブルデバイスの活用が注目されている。特許文献１には、プログラミングにより再構成が可能な素子と、前記素子にプログラミングにより構成された回路を検査するため、少なくとも前記回路の複製である複製回路と、前記回路および前記複製回路の両出力を比較する比較器とを含む検査回路を、前記素子の再構成が可能に用意された領域の部分構成により構成させる手段と、検査対象の前記回路を変更する手段とを含む、情報処理装置が開示されている。
日本国特開２０１７－１２０９６６号公報
　特許文献１に記載されている発明では、信頼性に改善の余地がある。
　本発明の第１の態様による電子制御装置は、入力される信号を処理する複数の処理回路のそれぞれを診断するために用いられる、再構成可能な診断回路部と、前記入力される信号を一時的に格納する入力データ格納部と、前記複数の処理回路の出力信号を一時的に格納する出力データ格納部と、前記診断回路部に前記複数の処理回路と同一の回路情報を、前記診断回路部へ回路構成情報として順番に書き込む再構成制御部と、前記診断回路部に前記回路構成情報が書き込まれると、前記診断回路部に前記入力データ格納部に格納された前記入力される信号を用いて演算を行わせる診断制御部と、前記診断回路部の出力、および前記出力データ格納部に格納された前記出力信号を比較することで複数の処理回路のそれぞれを診断する比較器とを備える。
　本発明によれば、電子制御装置の更なる信頼性向上を実現できる。上記した以外の課題、構成および効果は、以下の発明を実施するための形態の説明により明らかにされる。
第１の実施の形態における電子制御装置３の構成図 シーケンサ１１３に含まれるシーケンステーブルの一例を示す図 第１の実施の形態における電子制御装置３の処理シーケンス図 第２処理回路１０１２の動作を表す模式図 第２の実施の形態における電子制御装置３Ａの構成図 第３の実施の形態における電子制御装置３Ｂの構成図 第３の実施の形態における電子制御装置３のシーケンス図 第４の実施の形態におけるＦＰＧＡ１００Ｃの構成を示す概念図
　以下、図面を参照して本発明の実施形態を説明する。以下の記載および図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略および簡略化がなされている。本発明は、他の種々の形態でも実施する事が可能である。特に限定しない限り、各構成要素は単数でも複数でも構わない。
―第１の実施の形態―
　以下、図１～図４を参照して、本発明に係る電子制御装置の第１の実施の形態を説明する。本実施の形態では、電子制御装置は車両に搭載されるが、車両の外部、たとえば計算室で使用されてもよい。
　図１は、第１の実施の形態における電子制御装置３の構成図である。電子制御装置３は、再構成可能な論理回路であるＦＰＧＡ１００と、ＦＰＧＡ１００に構成する回路の情報が格納される再構成データメモリ１１と、中央演算装置である制御ＣＰＵ１とを備える。電子制御装置３は、車両に搭載される外部センサ群１０からセンサ情報が入力される。
　外部センサ群１０には２つ以上のセンサが含まれる。センサとはたとえば、カメラ、ミリ波レーダ、ＬＩＤＡＲ（Laser　Imaging　Detection　and　Ranging）、超音波センサなどである。なお外部センサ群１０には同種のセンサが複数含まれてもよい。
　制御ＣＰＵ１は、ＦＰＧＡ１００の出力である後述するデータ１０１１ａ～１０１３ａを用いて車両制御のための演算を行う。以下ではこの演算を「ＣＰＵ演算」と呼び、ＣＰＵ演算に要する時間を「ＣＰＵ演算時間」と呼ぶ。ＣＰＵ演算はたとえば、車両周辺に存在する物体の移動予測や、車両の軌道計画である。制御ＣＰＵ１は、ＦＰＧＡ１００から後述するエラー信号１１６ａを受信すると、エラー時の処理を行う。エラー時の処理とは、演算を中断して直前の制御周期における出力を継続することや、縮退動作へと移行することである。
　ＦＰＧＡ１００は、第１処理回路１０１１と、第２処理回路１０１２と、第３処理回路１０１３と、診断回路部１１１と、同期受信部１１２と、シーケンサ１１３と、入力データ格納部１１４と、出力データ格納部１１５と、比較器１１６と、診断制御部１１７と、再構成制御部１１８とを備える。以下では、第１処理回路１０１１、第２処理回路１０１２、および第３処理回路１０１３をまとめて「処理回路」１０１と呼ぶ。ＦＰＧＡ１００の構成のうち、電子制御装置３の中核機能を実行するのが同期受信部１１２および処理回路１０１である。詳しくは後述するが、他の構成は処理回路１０１の診断のために用いられる。
　ＦＰＧＡ１００に含まれる診断回路部１１１を除く構成は、ＦＰＧＡ１００の起動時にＰＦＧＡ１００の論理回路上に再構成される。これらの回路情報は、再構成データメモリ１１または不図示のＲＯＭに格納される。
　第１処理回路１０１１、第２処理回路１０１２、および第３処理回路１０１３は並列に動作し、外部センサ群１０が出力する複数のセンサ情報を組み合わせるフュージョン処理を行う。フュージョン処理はたとえば、カメラの画像データとレーダ情報を組み合わせて物体までの距離を算出する処理や、悪天候下でカメラ情報の精度が悪い場合は、ＬＩＤＡＲの情報を補完し、物体認識を行う処理などである。ただし処理回路１０１は、外部センサ群１０からセンサ情報を直接に受け取るのではなく、同期受信部１１２を介してセンサ情報を受信する。
　第１処理回路１０１１、第２処理回路１０１２、および第３処理回路１０１３のそれぞれの演算結果を、データ１０１１ａ、データ１０１２ｂ、およびデータ１０１３ａと呼ぶ。また以下では、処理回路１０１の演算結果を「出力データ」とも呼ぶ。また処理回路１０１に入力されるセンサ情報を「入力データ」とも呼ぶ。
　以下では、処理回路１０１が行う演算をまとめて「ＦＰＧＡ演算」と呼び、ＦＰＧＡ演算に要する時間を「ＦＰＧＡ演算時間」と呼ぶ。ただしそれぞれの処理回路１０１が演算に要する時間が異なる場合は、最も長い処理時間をＦＰＧＡ演算時間と呼ぶ。
　電子制御装置３は、センサ情報の収集から制御ＣＰＵ１による車両制御までをあらかじめ定められた時間である制御周期Ｔの間に実行し、これを繰り返す。制御ＣＰＵ１の演算はＦＰＧＡ１００が出力するデータ１０１１ａ～１０１３ａを用いるので、ＦＰＧＡ１００による演算が完了してから制御ＣＰＵ１が演算を行う。すなわち、ＦＰＧＡ演算時間とＣＰＵ演算時間の和よりも制御周期Ｔのほうが長い。また制御周期Ｔは、ＦＰＧＡ演算時間の少なくとも３倍の長さがある。詳しくは後述する。
　同期受信部１１２は、それぞれのセンサから送信されるセンサ情報をバッファし、センサとＦＰＧＡ１００間のレイテンシ、たとえばケーブル長の違いによる信号伝達タイミングのばらつきなどを吸収する。同期受信部１１２の動作はたとえば次のとおりである。すなわち、あらかじめ判明しているケーブル長が最も長いセンサと他のセンサを区別し、同期受信部１１２は他のセンサから受信したセンサ情報は一時保存する。同期受信部１１２はケーブル長が最も長いセンサからセンサ情報を受信すると、一時保存した信号とともに処理回路１０１、および入力データ格納部１１４に出力する。ただし同期受信部１１２が入力データ格納部１１４に書き込みを行うのは、後述する制御周期Ｔにおいて最初の１回だけである。
　入力データ格納部１１４は、センサ情報が一時的に格納される記憶領域である。ただし入力データ格納部１１４はメモリ回路でもよいしフリップフロップでもよい。出力データ格納部１１５は、処理回路１０１の演算結果が一時的に格納される記憶領域である。
　診断回路部１１１は、処理回路１０１に対する共通の診断回路領域であり、動的再構成によって、診断対象と同じ処理回路に書き替えて使用する。再構成後の診断回路部１１１には、入力データ格納部１１４から読み出されたセンサ情報が入力され、演算結果は比較器１１６に出力される。たとえば診断回路部１１１はまず第１処理回路１０１１と同じ処理回路に書き換えられ、第１処理回路１０１１に入力されたセンサ情報が入力される。その次に診断回路部１１１は第２処理回路１０１２と同じ処理回路に書き換えられ、第２処理回路１０１２に入力されたセンサ情報が入力される。
　比較器１１６は、診断回路部１１１が出力する演算結果と、出力データ格納部１１５が出力する出力データ１１５ａとを比較する。ただし出力データ１１５ａは、診断制御部１１７の働きにより出力データ格納部１１５から比較器１１６に出力される。比較器１１６は、両者が一致しない場合は制御ＣＰＵ１にエラー信号１１６ａを出力する。比較器１１６は、両者が一致する場合は制御ＣＰＵ１に正常である旨を知らせる信号を出力してもよいし、信号を出力しなくてもよい。比較器１１６は比較が終了するとシーケンサ１１３に比較が終了した旨の信号を出力する。
　シーケンサ１１３は、後述するシーケンステーブルに従って、処理回路１０１を診断する順序および診断回路の再構成タイミングを管理する。具体的にはシーケンサ１１３は、再構成制御部１１８に再構成開始タイミング信号１１３ａと診断対象の処理回路を示す識別情報１１３ｂを送信し、診断制御部１１７に診断対象の処理回路を示す識別情報１１３ｂを出力する。なお以下では処理回路１０１を診断する順序を「診断順序」とも呼ぶ。
　再構成制御部１１８は、シーケンサ１１３からの再構成開始タイミング信号１１３ａを受信すると、診断対象の処理回路を示す識別情報１１３ｂに従って、診断回路部１１１を指定された処理回路に再構成する。再構成制御部１１８は、ＦＰＧＡ１００の外部に存在する再構成データメモリ１１から、識別情報１１３ｂで指定された処理回路の再構成データを読み出して診断回路部１１１の再構成を実行する。再構成制御部１１８は、再構成が完了すると診断制御部１１７に再構成完了信号１１８ａを通知する。
　診断制御部１１７は、診断回路部１１１の入力データおよび診断用の出力データの読み出し制御を行う。診断制御部１１７では、再構成制御部１１８と同様にシーケンサ１１３から入力される識別情報１１３ｂによって、診断対象の処理回路の番号を認識する。診断制御部１１７は、再構成制御部１１８から再構成完了信号１１８ａを受信すると、入力データ格納部１１４から、診断対象の処理回路に入力されたデータと同じデータを読み出し、診断回路部１１１に入力する。さらに診断制御部１１７は、出力データ格納部１１５から診断対象の処理回路の出力データを読み出し、比較器１１６に入力する。
　図２は、シーケンサ１１３に含まれるシーケンステーブルの一例を示す図である。シーケンサ１１３は、シーケンステーブルに従い、再構成開始タイミング信号１１３ａや、診断対象回路の識別情報１１３ｂなどを出力する。図２に示すテーブルの左から１列目は処理番号を示し、２列目は診断対象回路の識別情報、３列目は次に実行される処理番号、４列目は次の処理に移る際の待ち時間を示す。図２の例では、処理番号０では、処理回路１０１を示す識別情報１１３ａと合わせて再構成開始タイミング信号１１３ｂを出力する。処理番号０での診断処理が終了し、シーケンサ１１３に比較器１１６から信号が入力されると、次の処理番号１の内容が出力される。処理番号３まで進むと、次の処理番号が０になっており、処理番号０に戻って動作する。これは処理番号０～３の処理が繰り返されることを示す。
　なおここでは便宜的にシーケンステーブルと呼んでいるにすぎず、テーブル形式で情報が格納されていなくてもよい。すなわち図２に示す情報が格納されていればよく、情報の格納に用いる形式は任意である。
　図３は、電子制御装置３の処理シーケンス図である。図３では左から右に時間が経過している。前述のとおり制御周期Ｔは、ＦＰＧＡ演算の時間とＣＰＵ演算の時間の和以上の時間である。図３に示す例では外部センサ群１０は３つのセンサから構成されており、出力するセンサ情報はＡ、Ｂ、Ｘである。ただし以下では出力するセンサ情報に出力順に数字を付加し、たとえばＡ０、Ａ１、Ａ２、Ａ３、・・とする。図３に示すように外部センサ群１０がセンサ情報を出力する周期は一定ではなく、Ｘの周期が最も長い。
　図３には不図示の同期受信部１１２は、ＡおよびＢを受信するとバッファし、Ｘを受信すると受信した最新のＡおよびＢとともに処理回路１０１および入力データ格納部１１４に格納する。入力データ格納部１１４に格納された情報は、その制御周期Ｔの間は保持される。また、それぞれの処理回路１０１の出力データは、出力データ格納部１１５に一括して格納され、本データも制御周期Ｔの終了間際まで保持される。
　時刻ｔ０では診断回路部１１１は、すでに第１処理回路１０１１と同じ回路が再構成によって書き込まれている。診断回路部１１１は、診断制御部１１７によって読み出された入力データ１１４ａを用いて第１処理回路１０１１と同じ演算処理を行う。そして診断回路部１１１は比較器１１６を用いて、この演算結果と出力データ格納部１１５に格納されていた第１処理回路１０１１の演算結果、すなわち出力データ１１５ａと比較することで診断を行う。診断結果１１６ａは制御ＣＰＵ１に通知される。
　次に診断回路部１１１は、再構成制御部１１８によって、第２処理回路１０１２と同じ回路に再構成される。再構成が完了すると再構成完了信号１１８ａをトリガとして、入力データ格納部１１４から入力データＡ０とＸ０を読み出して、診断回路部１１１の入力データとして使用する。この入力データＡ０とＸ０は、第２処理回路１０１２が演算に使用したデータと同一である。診断回路部１１１では、第２処理回路１０１２と同様の演算処理が行われる。この演算結果は、出力データ格納部１１５に一時格納されていた実際の処理回路１０１２の出力データと比較されることで診断が行われる。
　最後に診断回路部１１１は、再構成制御部１１８によって、第３処理回路１０１３と同じ回路に再構成され、以下同様に演算と比較が行われる。そして診断回路部１１１は次の制御周期での演算に備えて、第１処理回路１０１１と同じ回路が再構成によって書き込まれる。このように診断回路部１１１は、再構成制御部１１８によって様々な処理回路１０１に再構成され、診断処理が繰り返される。
　図３に示すように、診断回路部１１１による第１処理回路１０１１と同一の処理はＦＰＧＡ処理とほぼ同時に行われるが、診断回路部１１１による第２処理回路１０１２と同一の処理はその後に行われる。そして診断回路部１１１による第３処理回路１０１３と同一の処理はさらにその後に行われ、その処理の終了は同一の制御周期Ｔが終わる前である。そのため制御周期ＴはＦＰＧＡ処理時間の少なくとも３倍の長さがある。ただしこれは、ＦＰＧＡ処理が３つの回路による並列処理を含むからであり、仮にＦＰＧＡ処理が５つの回路による並列処理を含む場合は、制御周期ＴはＦＰＧＡ処理時間の少なくとも５倍の長さとなる。
　図４は第２処理回路１０１２の動作を表す模式図である。図４に示す例では、第２処理回路１０１２には撮影画像と車速が入力される。第２処理回路１０１２は、入力された撮影画像が真っ白か否かを判断する。第２処理回路１０１２は、撮影画像が真っ白であると判断する場合は処理Ｒ１を実行し、撮影画像が真っ白ではないと判断する場合は処理Ｒ２を実行する。なお処理Ｒ１では撮影画像だけでなく車速も使用され、処理Ｒ２では撮影画像のみが用いられる。そして処理Ｒ１または処理Ｒ２の結果を出力して第１処理回路の処理を終了する。
　第２処理回路１０１２の動作が図４に示すものの場合は、センサの出力、すなわち撮影画像によって実行する処理が大きく異なる。そのため、処理回路１０１に入力されるセンサデータと、診断回路部１１１に入力されるセンサデータが少しでも異なる場合は、両者の演算が乖離することになる。そのため電子制御装置３に入力データ格納部１１４を設けて、処理回路１０１に入力したセンサデータを格納することが必要となる。
　なお処理の二重化に類似した演算（以下、「疑似二重化」と呼ぶ）として以下のような構成も考えられる。すなわち疑似二重化では入力データ格納部１１４を使用せず、診断回路部１１１が演算を行うタイミングで外部センサ群１０の出力を読み込み、診断回路部１１１と処理回路１０１が同時に演算を行う。これにより両者が同一のセンサデータを用いて演算を行い、演算結果を比較することで疑似的に二重化が行われる。しかしこの疑似二重化では、制御ＣＰＵ２０が演算に用いているセンサデータとは異なるセンサデータを用いることになるので、制御ＣＰＵ１が演算に用いているデータについては二重化が担保されていない。したがってこの疑似二重化では不十分であり、本実施の形態のように入力データ格納部１１４が必要である。
　上述した第１の実施の形態によれば、次の作用効果が得られる。
（１）電子制御装置３は、入力されるセンサ情報を処理する複数の処理回路１０１のそれぞれを診断するために用いられる、再構成可能な診断回路部１１１と、入力されるセンサ情報を一時的に格納する入力データ格納部１１４と、複数の処理回路の出力信号を一時的に格納する出力データ格納部１１５と、診断回路部１１１に処理回路１０１と同一の回路情報を、回路構成情報として順番に書き込む再構成制御部１１８と、診断回路部１１１に回路構成情報が書き込まれると、診断回路部１１１に入力データ格納部１１４に格納されたセンサ情報を用いて演算を行わせる診断制御部１１７と、診断回路部１１１の出力、および出力データ格納部１１５に格納された出力信号を比較することで複数の処理回路のそれぞれを診断する比較器１１６とを備える。そのため入力データ格納部１１４および出力データ格納部１１５を利用して、実使用時と同じ動作条件における診断が可能となり、電子制御装置および車載システムの更なる信頼性向上を実現できる。
（２）電子制御装置３は、複数の処理回路における診断の順序である診断順序を管理し、再構成制御部１１８への再構成指示を行うシーケンサ１１３を備える。比較器１１６が比較に用いる出力データ格納部１１５に格納された出力信号は、シーケンサ１１３が管理する診断順序に基づき決定される。そのため、処理回路１０１を診断する順番を管理できる。
（３）処理回路１０１は、あらかじめ定められた処理周期ごとに動作する。診断回路部１１１には一度には複数の処理回路のいずれか１つの回路情報が書き込まれる。処理周期Ｔは、処理回路１０１のそれぞれの演算時間の和よりも長い。そのため制御周期Ｔの中で全ての処理回路１０１の二重化が可能である。すなわち、仮にエラーが検出された場合には、電子制御装置３は制御周期Ｔが完了する前にエラー発生を認識できるので、適切な対処が可能となる。
（４）処理回路１０１は、再構成可能なＦＰＧＡ１００に構成される。そのため電子制御装置３は状況に応じた様々な演算が可能であり、いずれの演算についても診断回路部１１１により二重化が可能である。
（変形例１）
　比較器１１６がエラー信号を出力した場合、すなわち診断回路部１１１が出力する演算結果と、出力データ格納部１１５が出力する出力データ１１５ａとが一致しない場合に次のように異常個所を特定してもよい。たとえば、１度目の制御周期における診断でエラーが検出され、次の制御周期の診断でエラーが再発しない場合は、再構成によってリフレッシュされた診断回路側に異常があったと判断する。また２回連続でエラーが検出された場合は、常に再構成されない処理回路１０１に異常があると判断する。
（変形例２）
　上述した第１の実施の形態では、ＦＰＧＡ１００には診断回路部１１１だけでなく、処理回路１０１、同期受信部１１２、入力データ格納部１１４など様々な構成要素が実装された。しかしＦＰＧＡ１００には診断回路部１１１のみが実装され、他の構成要素はＦＰＧＡ１００以外に実装されてもよい。たとえば処理回路１０１は、ハードウエア回路により実現されてもよいし、ソフトウエア処理により実現されてもよいし、ＦＰＧＡ１００とは異なる論理回路上に構成されてもよい。入力データ格納部１１４および出力データ格納部１１５は、ＦＰＧＡ１００の外部に設けられた半導体メモリにより実現されてもよいし、ラッチ回路により実現されてもよい。
（変形例３）
　再構成制御部１１８は、必要に応じて処理回路１０１を再構成してもよい。
―第２の実施の形態―
　図５を参照して、電子制御装置の第２の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、一部の処理回路を使用しない場合がある点で、第１の実施の形態と異なる。
　図５は、第２の実施の形態における電子制御装置３Ａの構成図である。図１と同じ部分には同じ符号を付してあり、構成、動作が同じであるので、説明を省略する。ＦＰＧＡ１００Ａは、処理回路１０１を使用するか否かを制御ＣＰＵ２０からの制御信号２０ａ～２０ｃで制御可能な点が第１の実施の形態と異なる。制御信号２０ａ～２０ｃはシーケンサ２１３にも入力され、どの処理回路を使用しているのかをシーケンサ２１３が認識することができる。
　制御ＣＰＵ１は、あらかじめ定められたルール、または所定の演算に基づき演算が不要な処理回路１０１を決定し、演算が不要な処理回路１０１に対応する信号２０ａ～２０ｃをＦＰＧＡ１００Ａに出力する。本実施の形態における制御ＣＰＵ１は、演算が不要な処理回路１０１を決定するので、「不要回路決定部」と呼ぶこともできる。
　シーケンサ１１３はこの情報を利用し、診断回路の再構成および診断制御に関して、使用していない処理回路については診断をスキップするように制御する。具体的には、シーケンサ２１３の内部に備えられるシーケンステーブルの情報を制御信号２０ａ～２０ｃを用いてマスクする。すなわち図２の左から２列目における診断対象回路の識別情報を、制御信号２０ａ～２０ｃを用いてマスクする。たとえば、第１処理回路１０１１を不使用に設定する場合の制御信号２０ａが”High”の場合は、識別情報の「１」の欄をマスクする。これにより「０」が記載されている場合と同様に扱い、第１処理回路１０１１の診断をスキップする。
　上述した第２の実施の形態によれば、次の作用効果が得られる。
（５）電子制御装置３は、複数の処理回路１０１のうち演算が不要な処理回路１０１を決定する制御ＣＰＵ１を備える。再構成制御部１１８は、不要回路を除く複数の処理回路と同一の回路情報を、診断回路部１１１へ回路構成情報として順番に書き込む。そのため、不要な再構成時間や診断時間を削減することで、制御周期内における異常検出時間を短縮できるため、電子制御装置３および車載システムの信頼性を向上できる。また使用していない処理回路を停止することで消費電力を削減する効果も有する。
（第２の実施の形態における変形例）
　再構成制御部１１８は、制御ＣＰＵ１が使用しないと判断した処理回路１０１を消去、すなわちブランク回路に再構成してもよい。この場合に、ブランク回路を診断回路部１１１が使用してもよい。
―第３の実施の形態―
　図６～図７を参照して、電子制御装置の第３の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、診断回路部に論理回路を構成する時間を隠蔽する点で、第１の実施の形態と異なる。
　図６は、第３の実施の形態における電子制御装置３Ｂの構成図である。図１と同じ部分には同じ符号を付してあり、構成、動作が同じであるので、説明を省略する。第３の実施の形態では、診断回路部１１１は、第１診断回路部１１１Ａと、第２診断回路部１１１Ｂと、どちらの診断回路を診断に使用するかを選択するための選択部３１９とから構成される。第１診断回路部１１１Ａおよび第２診断回路部１１１Ｂのいずれも、第１処理回路１０１１、第２処理回路１０１２、および第３処理回路１０１３のうち任意の１つを構成可能な領域を有する。
　本実施の形態におけるシーケンサ１１３は、診断制御部１１７および再構成制御部１１８に、診断制御用の回路識別情報１１３ｂだけでなく、再構成用の回路識別情報３１３ｃを出力する。本実施の形態においてシーケンサ３１３に備えられるシーケンステーブルには、第１診断回路部１１１Ａと、第２診断回路部１１１Ｂのどちらの領域に対して再構成を行うかの情報も含まれる。
　図７は、第３の実施の形態における電子制御装置３のシーケンス図である。図７では図２と同じ処理には同一の符号を付して説明を省略する。本シーケンス図では、まず第１診断回路部３１１Ａに、第１処理回路１０１１と同等の回路が構成されている。また選択部３１９は、第１の診断回路部側を選択していることで、第１処理回路１０１１の診断が行われている。
　ここで、第１診断回路部１１１Ａの処理と平行して、再構成制御部１１８は、シーケンサ１１３からの再構成用の回路識別情報３１３ｃをもとに、第２診断回路部１１１Ｂの再構成処理を実施する。これにより第２診断回路部１１１Ｂには次の診断対象である第２処理回路１０１２と同等の回路が書き込まれる。再構成が完了し、さらに第１診断回路部１１１Ａの診断が終了すると、選択部３１９は第２診断回路部１１１Ｂを選択することによって、再構成による待ち時間が無く、次の第２処理回路１０１２の診断を開始することができる。
　上述した第３の実施の形態によれば、次の作用効果が得られる。
（６）診断回路部１１１は、複数の処理回路１０１に含まれる処理回路と同一の回路情報をそれぞれ書き込み可能な、第１診断回路部１１１Ａと第２診断回路部１１１Ｂとを含む。診断制御部１１７は、再構成制御部１１８による第１診断回路部１１１Ａへの回路情報の書き込みと、第２診断回路部１１１Ｂに構成した処理回路による演算とを時系列的に重複して実行させる。このように、２つの診断回路部、すなわち第１診断回路部１１１Ａと第２診断回路部１１１Ｂを設け、それぞれにおいて再構成処理と診断処理を交互に実行している。そのため、診断回路部１１１が演算を行わず再構成のみを行う時間を第１の実施の形態に比べて短縮でき、電子制御装置３および車載システムの信頼性向上につながる。
―第４の実施の形態―
　図８を参照して、電子制御装置の第４の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。
　図８は、第４の実施の形態におけるＦＰＧＡ１００Ｃの構成を示す概念図である。ＦＰＧＡ１００Ｃは、第１の実施の形態におけるＦＰＧＡ１００の構成を１つの機能ブロックとし、この機能ブロックを複数、たとえば３つ備える。また、センサデータの同期受信部は各機能ブロック間でさらに同期しており、全体のセンサデータの同期受信を実現する。たとえば外部センサ群１０に数十個のセンサが含まれる場合に、外部センサ群１０を前方、後方、左右などのクラスタに分けて処理し、その出力データを対象としてフュージョン処理を行う。
　このように、もともと並列で動作する複数の処理回路で構成される機能ブロックが、さらに複数内蔵された場合も、それぞれの機能ブロックの中で、第１の実施の形態において示した時分割診断処理を並行して実行できる。
　なお、本発明は前述した実施の形態および変形例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。たとえば、前述した実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されるものではない。また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてもよい。
　上述した各実施の形態および変形例は、それぞれ組み合わせてもよい。上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。
　次の優先権基礎出願の開示内容は引用文としてここに組み込まれる。
　日本国特許出願２０１８－１７５２１７（２０１８年９月１９日出願）
１…制御ＣＰＵ
３、３Ａ、３Ｂ…電子制御装置
１０…外部センサ群
１１…再構成データメモリ
２０…制御ＣＰＵ
１００、１００Ａ、１００Ｂ、１００Ｃ…ＦＰＧＡ
１０１…処理回路部
１１１…診断回路部
１１１Ａ…第１診断回路部
１１１Ｂ…第２診断回路部
１１２…同期受信部
１１３…シーケンサ
１１４…入力データ格納部
１１５…出力データ格納部
１１６…比較器
１１７…診断制御部
１１８…再構成制御部
３１９…選択部
１０１１…第１処理回路
１０１２…第２処理回路
１０１３…第３処理回路

Claims (6)

  1. 　入力される信号を処理する複数の処理回路のそれぞれを診断するために用いられる、再構成可能な診断回路部と、
    　前記入力される信号を一時的に格納する入力データ格納部と、
    　前記複数の処理回路の出力信号を一時的に格納する出力データ格納部と、
    　前記診断回路部に前記複数の処理回路と同一の回路情報を、前記診断回路部へ回路構成情報として順番に書き込む再構成制御部と、
    　前記診断回路部に前記回路構成情報が書き込まれると、前記診断回路部に前記入力データ格納部に格納された前記入力される信号を用いて演算を行わせる診断制御部と、
    　前記診断回路部の出力、および前記出力データ格納部に格納された前記出力信号を比較することで複数の処理回路のそれぞれを診断する比較器とを備える電子制御装置。
  2. 　請求項１に記載の電子制御装置において、
    　前記複数の処理回路における診断の順序である診断順序を管理し、前記再構成制御部への再構成指示を行うシーケンサをさらに備え、
    　前記比較器が比較に用いる前記出力データ格納部に格納された前記出力信号は、前記シーケンサが管理する前記診断順序に基づき決定される電子制御装置。
  3. 　請求項１に記載の電子制御装置において、
    　前記複数の処理回路は、あらかじめ定められた処理周期ごとに動作し、
    　前記診断回路部には一度には前記複数の処理回路のいずれか１つの回路情報が書き込まれ、
    　前記処理周期は、前記複数の処理回路のそれぞれの演算時間の和よりも長い電子制御装置。
  4. 　請求項１に記載の電子制御装置において、
    　前記診断回路部は、前記複数の処理回路に含まれる処理回路と同一の回路情報をそれぞれ書き込み可能な、第１領域と第２領域とを含み、
    　前記診断制御部は、前記再構成制御部による前記第１領域への回路情報の書き込みと、前記第２領域に構成した処理回路による演算とを時系列的に重複して実行させる電子制御装置。
  5. 　請求項１に記載の電子制御装置において、
    　前記複数の処理回路のうち演算が不要な処理回路である不要回路を決定する不要回路決定部をさらに備え、
    　前記再構成制御部は、前記不要回路を除く前記複数の処理回路と同一の回路情報を、前記診断回路部へ前記回路構成情報として順番に書き込む電子制御装置。
  6. 　請求項１に記載の電子制御装置において、
    　前記複数の処理回路は、再構成可能な論理回路に構成される電子制御装置。
PCT/JP2019/031268 2018-09-19 2019-08-07 電子制御装置 WO2020059347A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201980051181.1A CN112513819A (zh) 2018-09-19 2019-08-07 电子控制装置
US17/272,098 US11327863B2 (en) 2018-09-19 2019-08-07 Electronic control device for processing circuit diagnostics

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018175217A JP7045293B2 (ja) 2018-09-19 2018-09-19 電子制御装置
JP2018-175217 2018-09-19

Publications (1)

Publication Number Publication Date
WO2020059347A1 true WO2020059347A1 (ja) 2020-03-26

Family

ID=69887212

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/031268 WO2020059347A1 (ja) 2018-09-19 2019-08-07 電子制御装置

Country Status (4)

Country Link
US (1) US11327863B2 (ja)
JP (1) JP7045293B2 (ja)
CN (1) CN112513819A (ja)
WO (1) WO2020059347A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7065409B2 (ja) * 2018-09-25 2022-05-12 パナソニックＩｐマネジメント株式会社 処理システム、センサシステム、移動体、異常判定方法、及びプログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009003557A (ja) * 2007-06-19 2009-01-08 Hitachi Computer Peripherals Co Ltd 装置起動時診断方法、診断プログラム及び起動時診断装置
JP2017120966A (ja) * 2015-12-28 2017-07-06 株式会社リコー 情報処理装置、情報処理方法およびプログラム

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6526559B2 (en) * 2001-04-13 2003-02-25 Interface & Control Systems, Inc. Method for creating circuit redundancy in programmable logic devices
US8161362B2 (en) * 2005-06-10 2012-04-17 Hitachi, Ltd. Task management control apparatus and method, having redundant processing comparison
JP2008009795A (ja) * 2006-06-30 2008-01-17 Hitachi Ltd 診断装置，回線診断方法及び回線診断プログラム
CN101276298B (zh) * 2008-04-01 2010-06-02 中国科学院计算技术研究所 一种fpga电路故障检测装置
US9104403B2 (en) * 2010-08-18 2015-08-11 Freescale Semiconductor, Inc. Data processing system having selective redundancy and method therefor
US20120066551A1 (en) * 2010-09-15 2012-03-15 Alexandre Palus Run-time Verification of CPU Operation
JP2012150661A (ja) * 2011-01-19 2012-08-09 Toshiba Corp プロセッサ動作検査システム、及びその検査方法
WO2014041596A1 (ja) * 2012-09-11 2014-03-20 三菱電機株式会社 安全コントローラ
JP6111605B2 (ja) * 2012-11-08 2017-04-12 日本電気株式会社 コンピュータシステム、コンピュータシステムの診断方法及び診断プログラム
JP2014178793A (ja) * 2013-03-14 2014-09-25 Hitachi Ltd 情報処理システム
JP2015106594A (ja) * 2013-11-28 2015-06-08 富士通株式会社 診断装置、診断装置の制御方法、および診断装置の制御プログラム
JP2015115727A (ja) * 2013-12-11 2015-06-22 三菱電機株式会社 プログラマブルロジックデバイス
JP6280359B2 (ja) * 2013-12-17 2018-02-14 株式会社東芝 プログラマブルコントローラ
JP6464263B2 (ja) * 2015-06-22 2019-02-06 株式会社日立製作所 フィールドプログラマブルゲートアレイ
CN105843120B (zh) * 2016-04-06 2018-10-02 清华大学 一种可动态编程的信号检测电路及方法
US10628277B2 (en) * 2018-03-29 2020-04-21 Arm Ltd. Device, system and process for redundant processor error detection

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009003557A (ja) * 2007-06-19 2009-01-08 Hitachi Computer Peripherals Co Ltd 装置起動時診断方法、診断プログラム及び起動時診断装置
JP2017120966A (ja) * 2015-12-28 2017-07-06 株式会社リコー 情報処理装置、情報処理方法およびプログラム

Also Published As

Publication number Publication date
CN112513819A (zh) 2021-03-16
US20210318940A1 (en) 2021-10-14
JP2020046974A (ja) 2020-03-26
JP7045293B2 (ja) 2022-03-31
US11327863B2 (en) 2022-05-10

Similar Documents

Publication Publication Date Title
EP3264117B1 (en) Semiconductor device, diagnostic test, and diagnostic test circuit
JP2007508601A (ja) ハブベースの記憶システムにおけるダイレクトメモリアクセス用の装置および方法
JPS63141139A (ja) 構成の変更が可能なコンピュータ
US20170371560A1 (en) An apparatus for controlling access to a memory device, and a method of performing a maintenance operation within such an apparatus
EP3668015A2 (en) A multi-processor neural network processing apparatus
CN103729282B (zh) 一种用于从多个并联cpu追踪数据写入信号的方法和系统
US20210263811A1 (en) Parallel processing system runtime state reload
WO2020059347A1 (ja) 電子制御装置
US11318929B2 (en) Electronic control apparatus, electronic control system, and electronic control method
US10191829B2 (en) Semiconductor device and fault detection method therefor
KR20120103581A (ko) 메모리 어레이
US7096396B2 (en) Test system for circuits
JP2017102633A (ja) 情報処理装置および半導体集積回路装置
CN102369694A (zh) 用于传感器-驱动器系统的可配置状态的处理单元
KR940002904B1 (ko) 데이타 처리 시스템 및 이 시스템에 있어서의 다수 메모리 어레이 테스팅 방법
US20080126644A1 (en) System for generating access conflict in access conflict test
JP7221070B2 (ja) 電子制御装置、制御方法
CN110915138B (zh) 电子控制装置和电路的重构方法
US20220349940A1 (en) Method for testing a circuit system and a circuit system thereof
WO2018198616A1 (ja) 電子制御装置、論理回路の制御方法
JPH11353289A (ja) 並列処理プロセッサ及び並列処理方法
CN115107804A (zh) 域控制器及自动驾驶汽车
CN116300961A (zh) 传感器数据采集平台、自动驾驶系统及无人车
JP2020178265A (ja) 電子制御装置、制御システム
JP2004199658A (ja) デジタル信号処理装置、システム、方法およびホスト装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19862653

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19862653

Country of ref document: EP

Kind code of ref document: A1