WO2020148870A1 - 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム - Google Patents

代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム Download PDF

Info

Publication number
WO2020148870A1
WO2020148870A1 PCT/JP2019/001292 JP2019001292W WO2020148870A1 WO 2020148870 A1 WO2020148870 A1 WO 2020148870A1 JP 2019001292 W JP2019001292 W JP 2019001292W WO 2020148870 A1 WO2020148870 A1 WO 2020148870A1
Authority
WO
WIPO (PCT)
Prior art keywords
alternative
ecu
identifier
unit
control device
Prior art date
Application number
PCT/JP2019/001292
Other languages
English (en)
French (fr)
Inventor
整 山本
裕喜 小中
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2020565509A priority Critical patent/JP6899978B2/ja
Priority to PCT/JP2019/001292 priority patent/WO2020148870A1/ja
Publication of WO2020148870A1 publication Critical patent/WO2020148870A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems

Definitions

  • the present invention relates to a fail operational technology in which, when a failure occurs in an ECU (Electronic Control Unit), the processing of the failed ECU is continued by another ECU.
  • ECU Electronic Control Unit
  • Patent Document 1 when a failure of an ECU that is the minimum necessary for traveling of a vehicle is detected, an alternative ECU having the required performance is selected from other ECUs that have not failed according to a predetermined priority order. , Substituting a failed ECU with a selected ECU. As a result, in Patent Document 1, the fail operation of the ECU, which is the minimum necessary for traveling of the vehicle, is realized without simply multiplexing the ECU.
  • An object of the present invention is to make it possible to reduce the time during which a process that is being executed by a failed ECU is stopped.
  • the alternative control device is A failure detection unit that detects that one of a plurality of ECUs (Electronic Control Units) mounted on the moving body has failed, A failure that is the ECU in which the failure detection unit has detected a failure from an alternative storage unit that stores, for each ECU, an alternative identifier that is an alternative ECU identifier and a process identifier that is an identifier of a termination process to end.
  • An alternative selection unit for reading the alternative identifier and the processing identifier for a machine, The process indicated by the process identifier read by the alternative selection unit is ended for the alternative device, which is the ECU indicated by the alternative identifier read by the alternative selection unit, and is executed by the failed device.
  • a processing instruction unit for instructing to execute the processing.
  • the alternative identifier and the process identifier of the failed device are read from the alternative storage unit, and the process indicated by the process identifier is completed for the alternative device indicated by the alternative identifier. And instruct to execute the process that was being executed by the faulty machine. Since the ECU for substitution is specified only by reading the alternative identifier or the like from the alternative storage unit, it is possible to specify the ECU for substitution in a short time.
  • FIG. 1 is a configuration diagram of a fail operational system 10 according to the first embodiment.
  • FIG. 3 is a configuration diagram of an alternative control device 20 according to the first embodiment.
  • FIG. FIG. 3 is a configuration diagram of an ECU 30 according to the first embodiment.
  • 3 is a flowchart of the operation of the alternative control device 20 according to the first embodiment.
  • 3 is a flowchart of the operation of an ECU 30 that is an alternative machine according to the first embodiment.
  • FIG. 5 is an explanatory diagram of a specific example of the operation of the fail operation system according to the first embodiment.
  • the block diagram of the alternative control apparatus 20 which concerns on the modification 1. 5 is a configuration diagram of an alternative control device 20 according to the second embodiment.
  • FIG. 9 is a flowchart of registration processing according to the second embodiment.
  • Embodiment 1 ***Composition explanation*** A configuration of a fail operational system 10 according to the first embodiment will be described with reference to FIG.
  • the fail operational system 10 includes an alternative control device 20 mounted on the moving body 100 and a plurality of ECUs 30 mounted on the moving body 100.
  • the alternative control device 20 and each ECU 30 are connected via a transmission line 40.
  • the moving body 100 is a vehicle, a ship, an aircraft, or the like.
  • the alternative control device 20 is a computer such as an ECU.
  • the alternative control device 20 includes hardware such as a processor 21, a memory 22, a storage 23, and a communication interface 24.
  • the processor 21 is connected to other hardware via a signal line and controls these other hardware.
  • the alternative control device 20 includes, as functional components, a failure detection unit 211, an alternative selection unit 212, and a processing instruction unit 213.
  • the function of each functional component of the alternative control device 20 is realized by software.
  • the storage 23 stores programs that realize the functions of the functional components of the alternative control device 20. This program is read into the memory 22 by the processor 21 and executed by the processor 21. As a result, the function of each functional component of the alternative control device 20 is realized.
  • the storage 23 also realizes the alternative storage unit 231.
  • the alternative storage unit 231 may be realized by a storage provided outside the alternative control device 20.
  • the configuration of the ECU 30 according to the first embodiment will be described with reference to FIG.
  • the ECU 30 includes hardware such as a processor 31, a memory 32, a storage 33, and a communication interface 34.
  • the processor 31 is connected to other hardware via a signal line and controls these other hardware.
  • the ECU 30 includes a resource securing unit 311 and a process executing unit 312 as functional components.
  • the function of each functional component of the ECU 30 is realized by software.
  • the storage 33 stores programs that implement the functions of the functional components of the ECU 30. This program is read into the memory 32 by the processor 31 and executed by the processor 31. As a result, the function of each functional component of the ECU 30 is realized.
  • the processors 21 and 31 are ICs (Integrated Circuits) that perform processing.
  • the specific examples of the processors 21 and 31 are a CPU (Central Processing Unit), a DSP (Digital Signal Processor), and a GPU (Graphics Processing Unit).
  • the memories 22 and 32 are storage devices that temporarily store data.
  • the specific examples of the memories 22 and 32 are SRAM (Static Random Access Memory) and DRAM (Dynamic Random Access Memory).
  • the storages 23 and 33 are storage devices that store data.
  • the storage 23 is, as a specific example, an HDD (Hard Disk Drive).
  • the storage 33 is a ROM (Read Only Memory) as a specific example.
  • the storages 23 and 33 are SD (registered trademark, Secure Digital) memory card, CF (CompactFlash, registered trademark), NAND flash, flexible disk, optical disk, compact disk, Blu-ray (registered trademark) disk, DVD (Digital Versatile Disk), etc. It may be a portable recording medium.
  • the communication interfaces 24 and 34 are interfaces for communicating with external devices.
  • the communication interfaces 24 and 34 are, for example, Ethernet (registered trademark), USB (Universal Serial Bus), and HDMI (registered trademark, High-Definition Multimedia Interface) ports.
  • FIG. 2 only one processor 21 is shown. However, there may be a plurality of processors 21, and the plurality of processors 21 may execute the programs that realize the respective functions in cooperation with each other. Similarly, a plurality of processors 31 may be provided, and the plurality of processors 31 may execute programs that implement respective functions in cooperation with each other.
  • the operation of the fail operational system 10 according to the first embodiment will be described with reference to FIGS. 4 to 7.
  • the operation of the alternative control device 20 in the operation of the fail operational system 10 according to the first embodiment corresponds to the alternative control method according to the first embodiment. Further, the operation of the alternative control device 20 in the operation of the fail operation system 10 according to the first embodiment corresponds to the processing of the alternative control program according to the first embodiment.
  • the alternative storage unit 231 stores, for each ECU 30, an alternative identifier that is an identifier of the alternative ECU 30 and a process identifier that is an identifier of the ending process to be ended.
  • Step S11 Failure detection process
  • the failure detection unit 211 monitors the plurality of ECUs 30 and attempts to detect that one of the plurality of ECUs 30 has a failure.
  • a method of detecting a failure for example, an existing method of transmitting a message and confirming the presence or absence of a response may be used. It should be noted that the failure detection unit 211 does not detect that all of the ECUs 30 have failed, but may detect that only some of the ECUs 30 that are performing a process that needs to be continuously operated have failed. Good.
  • Step S12 Failure determination process
  • the failure detection unit 211 determines whether or not the failure of the ECU 30 is detected in step S11. If detected, the failure detection unit 211 advances the process to step S13. On the other hand, if the failure is not detected, the failure detecting unit 211 returns the process to step S11 and tries again to detect that the ECU 30 has failed after a certain time has elapsed.
  • Step S13 Alternative selection process
  • the alternative selection unit 212 reads from the alternative storage unit 231 the alternative identifier and the process identifier for the failed machine that is the ECU 30 that has been detected to have failed in step S11.
  • the information shown in FIG. 4 is stored in the alternative storage unit 231, and when the ECU 30A fails, the identifier “B” of the ECU 30B is read as the alternative identifier and the identifier of the process y is used as the process identifier. A certain "y" is read.
  • Step S14 Processing instruction processing
  • the process instructing unit 213 terminates the process indicated by the process identifier read in step S13 for the alternative device, which is the ECU 30 indicated by the alternative identifier read in step S13, and is executed by the faulty device. Instruct to execute the process. Note that the processing instruction unit 213 does not instruct the alternative machine to execute all the processing executed by the failed machine, but executes only some of the processing that needs to be continuously operated. You may instruct them to do so.
  • Step S21 Resource securing process
  • the resource securing unit 311 ends the process indicated by the process identifier when instructed in step S14 of FIG.
  • the resources such as the processor 31 and the memory 32 in the ECU 30, which is the alternative machine, are increased, and the resources for executing the process executed by the failed machine are secured.
  • Step S22 Process execution process
  • the process execution unit 312 executes the process that was executed by the faulty machine.
  • the process executing unit 312 executes only the specified process when the process to be executed is specified among the processes executed by the faulty machine.
  • step S11 of FIG. 5 the alternative control device 20 detects that the ECU 30A has failed. Then, when the information illustrated in FIG. 4 is stored in the alternative storage unit 231, the alternative control device 20 reads the identifier “B” of the ECU 30B as the alternative identifier in step S13 of FIG. As a result, "y" which is the identifier of the process y is read. Then, in step S14 of FIG. 5, the alternative control device 20 instructs the ECU 30B, which is the alternative machine, to end the process y and to execute the process executed by the ECU 30A, which is the malfunctioning machine.
  • the ECU 30B that is the alternative machine ends the process y.
  • the ECU 30B executes the process P1 executed by the ECU 30A.
  • the ECU 30 that may be selected as a substitute machine stores an execution file of a substitute process in the storage 33 in advance.
  • the storage 33 of the ECU 30B stores a process P1 execution file that is an execution file of the process P1 executed by the ECU 30A.
  • the alternative control device 20 when the failure of the ECU 30 is detected, the alternative control device 20 reads the alternative identifier and the process identifier of the failed machine from the alternative storage unit 231. Then, the alternative control device 20 instructs the alternative machine indicated by the alternative identifier to terminate the processing indicated by the process identifier and execute the processing executed by the failed machine.
  • the ECU 30 for substitution is specified only by reading the alternative identifier or the like from the alternative storage unit 231, so it is possible to specify the ECU 30 for substitution in a short time. As a result, it is possible to shorten the time during which the processing executed in the failed ECU is stopped. As a result, the safety of the mobile object 100 can be increased.
  • each functional component is realized by software. However, as a first modification, each functional component may be realized by hardware. Differences between the first modification and the first embodiment will be described.
  • the alternative control device 20 includes an electronic circuit 25 instead of the processor 21, the memory 22, and the storage 23.
  • the electronic circuit 25 is a dedicated circuit that realizes the functions of each functional component, the memory 22, and the storage 23.
  • the electronic circuit 25 includes a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, a logic IC, a GA (Gate Array), an ASIC (Application Specific Integrated Circuit), and an FPGA (Field-Programmable Gate Array). is assumed.
  • Each functional constituent element may be realized by one electronic circuit 25, or each functional constituent element may be dispersed in a plurality of electronic circuits 25 and realized.
  • ⁇ Modification 2> As a second modification, some of the functional components may be implemented by hardware and the other functional components may be implemented by software.
  • the processor 21, the memory 22, the storage 23, and the electronic circuit 25 are called a processing circuit. That is, the function of each functional component is realized by the processing circuit.
  • Embodiment 2 differs from the first embodiment in that the alternative control device 20 registers information in the alternative storage unit 231 according to the situation of the mobile unit 100. In the second embodiment, these different points will be described, and description of the same points will be omitted.
  • the alternative control device 20 differs from the alternative control device 20 shown in FIG. 2 in that the alternative control device 20 includes an alternative determination unit 214 and a data registration unit 215.
  • the operation of the fail operational system 10 according to the second embodiment will be described with reference to FIGS. 10 to 11.
  • the operation of the alternative control device 20 in the operation of the fail operational system 10 according to the second embodiment corresponds to the alternative control method according to the second embodiment. Further, the operation of the alternative control device 20 in the operation of the fail operational system 10 according to the second embodiment corresponds to the processing of the alternative control program according to the second embodiment.
  • the operation of the alternative control device 20 includes a registration process and an alternative control process.
  • the alternative control process is the process described in the first embodiment with reference to FIG.
  • the alternative control device 20 periodically executes the registration process.
  • the alternative control device 20 may perform the registration process each time the state of the mobile body 100 changes, instead of periodically performing the registration process.
  • the situation of mobile unit 100 is the moving environment of mobile unit 100.
  • the situation of the moving body 100 is a type of moving road such as a highway and a general road when the moving body 100 is a vehicle.
  • the status of the mobile unit 100 is a time zone such as daytime and nighttime, weather conditions such as fine weather, rain, and fog.
  • Step S31 Resource information acquisition process
  • the substitution determining unit 214 acquires resource information indicating the usage status of resources from each ECU 30.
  • the resource information indicates the resource amount used for each process executed by the ECU 30, and also indicates the current free resource amount not used by the ECU 30.
  • each ECU 30 includes a 4-core processor 31, and the upper limit of the usage rate of the processor 31 is 400%.
  • the memory 32 of each ECU 30 is 512 MB (megabytes).
  • Step S32 situation specifying process
  • the substitution determining unit 214 identifies the situation of the mobile unit 100. Specifically, the alternative determination unit 214 acquires information indicating the status of the mobile body 100 from an external device connected via the communication interface 24. For example, the alternative determination unit 214 acquires the position information indicating the position to which the mobile body 100 moves from the navigation system mounted on the mobile body 100.
  • step S33 to step S37 The processing from step S33 to step S37 is executed with each of the plurality of ECUs 30 as the target ECU 30.
  • steps S32 to S37 When it is detected in step S11 of FIG. 5 that only some of the ECUs 30 that are performing the process that needs to be continuously operated have failed, the processes of steps S32 to S37 have failed. It may be executed only for a part of the ECUs 30 that are targets for detecting that.
  • Step S33 Required Resource Identification Processing
  • the substitution determining unit 214 identifies the required resource amount required for the process executed by the target ECU 30, and the required resource amount according to the situation of the mobile body 100 identified in step S32. Note that, in step S14 of FIG. 5, when the substitution determining unit 214 instructs to execute only a part of the processing, one of the processing executed by the target ECU 30 is instructed to execute. Specify the required resource amount only for partial processing. Specifically, the alternative determination unit 214 executes each process in the target ECU 30 corresponding to the situation of the mobile unit 100 specified in step S32 from the resource amount table in which the required resource amount is set for each situation. Read out the necessary resources for the processing to be performed.
  • the alternative determination unit 214 acquires the required resource amount required for each process from a roadside device existing around the moving body 100 when moving on the road on which the moving body 100 moves.
  • the required resource amount can be acquired from the roadside device.
  • Step S34 Free resource amount determination process
  • the substitution determining unit 214 determines whether or not there is an ECU 30 other than the target ECU 30 that has a current free resource amount larger than the required resource amount specified in step S33. If the substitution determining unit 214 does not exist, the substitution determining unit 214 advances the process to step S35. On the other hand, the alternative determination unit 214, if present, advances the process to step S36.
  • Step S35 Free resource amount update process
  • the substitution determining unit 214 adds, to the target process, a process having a low priority that has not been added to the target process among the processes executed by the ECU 30 other than the target ECU 30.
  • the substitution determining unit 214 calculates the free resource amount of each ECU 30 other than the target ECU 30 when the target process is completed. Specifically, for each ECU 30 other than the target ECU 30, the substitution determining unit 214 adds the resource amount used by the target process to the current free resource amount, and thereby determines whether the target process is completed. Calculate the resource amount. Then, the substitution determining unit 214 sets the current free resource amount to the free resource amount when the target process is completed for each ECU 30 other than the target ECU 30, and returns the process to step S34.
  • the processing priority is set for each situation of the mobile unit 100 and is stored in the storage 23.
  • the processing priority changes according to the status of the mobile unit 100 because the necessity or importance of the processing changes according to the status of the mobile unit 100. For example, during traveling on a highway, processing for recognizing a signal is basically unnecessary. Therefore, a lower priority is set for the process for recognizing a signal when traveling on an expressway than when traveling on an ordinary road.
  • Step S36 Alternative device determination process
  • the substitution determining unit 214 identifies, as the substitutional ECU 30, the ECU 30 having the free resource amount larger than the required resource amount identified in step S32. Further, the alternative determination unit 214 determines the process set as the target process in step S35 in the alternative ECU 30 as the ending process. When a plurality of processes are set as the target processes in step S35 in the alternative ECU 30, the alternative determination unit 214 determines all the processes as the ending process.
  • Step S37 data registration process
  • the data registration unit 215 substitutes the identifier of the substitute ECU 30 determined in step S36 as the substitute identifier for the target ECU 30, and substitutes the termination process identifier determined in step S36 as the process identifier for the target ECU 30. Register in the storage unit 231.
  • the alternative control device 20 registers information in the alternative storage unit 231 according to the situation of the mobile unit 100. Therefore, it is possible to specify the appropriate ECU 30 as the substitute ECU 30 according to the situation of the moving body 100.
  • the alternative control device 20 causes the alternative storage unit 231 to regularly or irrespective of whether or not the ECU 30 has a failure, in the alternative storage unit 231. Register the information again. Therefore, when a failure occurs in the ECU 30, the alternative ECU 30 can be specified by simply reading the alternative identifier or the like from the alternative storage unit 231, so that the alternative ECU 30 can be specified in a short time. As a result, it is possible to shorten the time during which the processing executed in the failed ECU is stopped. As a result, the safety of the mobile object 100 can be increased.
  • 10 failure operational system 20 alternative control device, 21 processor, 22 memory, 23 storage, 24 communication interface, 25 electronic circuit, 211 failure detection part, 212 alternative selection part, 213 process instruction part, 214 alternative decision part, 215 data registration Part, 231, alternative storage part, 30 ECU, 31 processor, 32 memory, 33 storage, 34 communication interface, 311 resource securing part, 312 process executing part, 40 transmission line.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Hardware Redundancy (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

代替制御装置（２０）は、移動体（１００）に搭載された複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）（３０）のうちのいずれかＥＣＵ（３０）が故障したことを検出する。代替制御装置（２０）は、ＥＣＵ（３０）毎に代替用のＥＣＵ（３０）の識別子である代替識別子と終了させる終了処理の識別子である処理識別子とを記憶した代替記憶部から、故障したことが検出されたＥＣＵ（３０）である故障機についての代替識別子及び処理識別子を読み出す。代替制御装置（２０）は、読み出された代替識別子が示すＥＣＵ（３０）である代替機に対して、読み出された処理識別子が示す処理を終了して、故障機で実行されていた処理を実行するように指示する。

Description

代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム
　この発明は、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）に故障が発生した場合に、故障が発生したＥＣＵの処理を他のＥＣＵによって継続するフェールオペレーショナル技術に関する。
　人の手を介さずに車両を自動的に制御する自動運転の技術の研究が進んでいる。自動運転を実現する場合には、車両には複数のＥＣＵが搭載される。
　一部のＥＣＵが故障により処理が実行不可能な状態になると、車両の安全性に関わる場合がある。そのため、このようなＥＣＵに故障が発生した場合には、他のＥＣＵによって処理を継続するフェールオペレーショナルを実現する必要がある。
　フェールオペレーショナルの実現方法として、ＥＣＵを多重化しておき、故障が発生した場合に待機しているＥＣＵにより処理を継続させる方法がある。しかし、自動運転を実現するためのＥＣＵは、処理能力の高いプロセッサと、大容量のメモリとを搭載する必要があり、高価である。そのため、単純にＥＣＵを多重化させることはコスト面から困難である。
　特許文献１には、車両の走行に最低限必要なＥＣＵの故障を検知すると、予め定められた優先順位に従い、故障していない他のＥＣＵから必要な性能を有する代替用のＥＣＵを選定して、選定されたＥＣＵにより故障したＥＣＵを代替することが記載されている。これにより、特許文献１では、単純にＥＣＵを多重化させることなく、車両の走行に最低限必要なＥＣＵのフェールオペレーショナルを実現している。
特開２００２－２２１０７５号公報
　自動運転による車両の走行中にＥＣＵが故障した場合には、故障したＥＣＵで実行されていた処理が停止している時間をできる限り短くする必要がある。特許文献１に記載された技術では、ＥＣＵの故障が発生してから代替用のＥＣＵを特定する処理が実行される。そのため、代替用のＥＣＵが特定されるまでに時間がかかり、故障したＥＣＵで実行されていた処理が停止している時間が長くなってしまう。
　この発明は、故障したＥＣＵで実行されていた処理が停止している時間の短縮を可能にすることを目的とする。
　この発明に係る代替制御装置は、
　移動体に搭載された複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）のうちのいずれかＥＣＵが故障したことを検出する故障検出部と、
　ＥＣＵ毎に代替用のＥＣＵの識別子である代替識別子と終了させる終了処理の識別子である処理識別子とを記憶した代替記憶部から、前記故障検出部によって故障したことが検出された前記ＥＣＵである故障機についての前記代替識別子及び前記処理識別子を読み出す代替選択部と、
　前記代替選択部によって読み出された前記代替識別子が示すＥＣＵである代替機に対して、前記代替選択部によって読み出された前記処理識別子が示す処理を終了して、前記故障機で実行されていた処理を実行するように指示する処理指示部と
を備える。
　この発明では、ＥＣＵの故障が検出されると、代替記憶部から故障機についての前記代替識別子及び処理識別子が読み出され、代替識別子が示す代替機に対して前記処理識別子が示す処理を終了して、故障機で実行されていた処理を実行するように指示する。代替記憶部から代替識別子等を読み出すだけで代替用のＥＣＵが特定されるため、短時間で代替用のＥＣＵを特定することが可能である。
実施の形態１に係るフェールオペレーショナルシステム１０の構成図。 実施の形態１に係る代替制御装置２０の構成図。 実施の形態１に係るＥＣＵ３０の構成図。 実施の形態１に係る代替記憶部２３１に記憶される情報を示す図。 実施の形態１に係る代替制御装置２０の動作のフローチャート。 実施の形態１に係る代替機であるＥＣＵ３０の動作のフローチャート。 実施の形態１に係るフェールオペレーショナルシステムの動作の具体例の説明図。 変形例１に係る代替制御装置２０の構成図。 実施の形態２に係る代替制御装置２０の構成図。 実施の形態２に係る登録処理のフローチャート。 実施の形態２に係るリソース情報を示す図。
　実施の形態１．
　＊＊＊構成の説明＊＊＊
　図１を参照して、実施の形態１に係るフェールオペレーショナルシステム１０の構成を説明する。
　フェールオペレーショナルシステム１０は、移動体１００に搭載された代替制御装置２０と、移動体１００に搭載された複数のＥＣＵ３０とを備える。代替制御装置２０と各ＥＣＵ３０とは、伝送路４０を介して接続されている。
　移動体１００は、車両、船舶、又は、航空機等である。
　図２を参照して、実施の形態１に係る代替制御装置２０の構成を説明する。
　代替制御装置２０は、ＥＣＵといったコンピュータである。
　代替制御装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
　代替制御装置２０は、機能構成要素として、故障検出部２１１と、代替選択部２１２と、処理指示部２１３とを備える。代替制御装置２０の各機能構成要素の機能はソフトウェアにより実現される。
　ストレージ２３には、代替制御装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、代替制御装置２０の各機能構成要素の機能が実現される。
　また、ストレージ２３は、代替記憶部２３１を実現する。なお、代替記憶部２３１は、代替制御装置２０の外部に設けられたストレージによって実現されてもよい。
　図３を参照して、実施の形態１に係るＥＣＵ３０の構成を説明する。
　ＥＣＵ３０は、プロセッサ３１と、メモリ３２と、ストレージ３３と、通信インタフェース３４とのハードウェアを備える。プロセッサ３１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
　ＥＣＵ３０は、機能構成要素として、リソース確保部３１１と、処理実行部３１２とを備える。ＥＣＵ３０の各機能構成要素の機能はソフトウェアにより実現される。
　ストレージ３３には、ＥＣＵ３０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ３１によりメモリ３２に読み込まれ、プロセッサ３１によって実行される。これにより、ＥＣＵ３０の各機能構成要素の機能が実現される。
　プロセッサ２１，３１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。プロセッサ２１，３１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　メモリ２２，３２は、データを一時的に記憶する記憶装置である。メモリ２２，３２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ　Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　ストレージ２３，３３は、データを保管する記憶装置である。ストレージ２３は、具体例としては、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）である。ストレージ３３は、具体例としては、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）である。ストレージ２３，３３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ　Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｋ）といった可搬記録媒体であってもよい。
　通信インタフェース２４，３４は、外部の装置と通信するためのインタフェースである。通信インタフェース２４，３４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ　Ｍｕｌｔｉｍｅｄｉａ　Ｉｎｔｅｒｆａｃｅ）のポートである。
　図２では、プロセッサ２１は、１つだけ示されていた。しかし、プロセッサ２１は、複数であってもよく、複数のプロセッサ２１が、各機能を実現するプログラムを連携して実行してもよい。同様に、プロセッサ３１は、複数であってもよく、複数のプロセッサ３１が、各機能を実現するプログラムを連携して実行してもよい。
　＊＊＊動作の説明＊＊＊
　図４から図７を参照して、実施の形態１に係るフェールオペレーショナルシステム１０の動作を説明する。
　実施の形態１に係るフェールオペレーショナルシステム１０の動作における代替制御装置２０の動作は、実施の形態１に係る代替制御方法に相当する。また、実施の形態１に係るフェールオペレーショナルシステム１０の動作における代替制御装置２０の動作は、実施の形態１に係る代替制御プログラムの処理に相当する。
　図４を参照して、実施の形態１に係る代替記憶部２３１に記憶される情報を説明する。
　代替記憶部２３１は、ＥＣＵ３０毎に、代替用のＥＣＵ３０の識別子である代替識別子と、終了させる終了処理の識別子である処理識別子とを記憶する。
　図５を参照して、実施の形態１に係る代替制御装置２０の動作を説明する。
　（ステップＳ１１：故障検出処理）
　故障検出部２１１は、複数のＥＣＵ３０を監視して、複数のＥＣＵ３０のうちのいずれかＥＣＵ３０が故障したことの検出を試みる。故障の検出方法については、例えば、メッセージを送信して応答の有無を確認するといった既存の方法を用いればよい。
　なお、故障検出部２１１は、全てのＥＣＵ３０について故障したことを検出するのではなく、継続して動作させる必要がある処理を実行している一部のＥＣＵ３０についてのみ故障したことを検出してもよい。
　（ステップＳ１２：故障判定処理）
　故障検出部２１１は、ステップＳ１１でＥＣＵ３０が故障したことが検出されたか否かを判定する。
　故障検出部２１１は、検出された場合には、処理をステップＳ１３に進める。一方、故障検出部２１１は、検出されなかった場合には、処理をステップＳ１１に戻して、一定時間経過後に再びＥＣＵ３０が故障したことの検出を試みる。
　（ステップＳ１３：代替選択処理）
　代替選択部２１２は、代替記憶部２３１から、ステップＳ１１で故障したことが検出されたＥＣＵ３０である故障機についての代替識別子及び処理識別子を読み出す。
　例えば、図４に示す情報が代替記憶部２３１に記憶されており、ＥＣＵ３０Ａが故障した場合には、代替識別子としてＥＣＵ３０Ｂの識別子である“Ｂ”が読み出され、処理識別子として処理ｙの識別子である“ｙ”が読み出される。
　（ステップＳ１４：処理指示処理）
　処理指示部２１３は、ステップＳ１３で読み出された代替識別子が示すＥＣＵ３０である代替機に対して、ステップＳ１３で読み出された処理識別子が示す処理を終了して、故障機で実行されていた処理を実行するように指示する。
　なお、処理指示部２１３は、代替機に対して、故障機で実行されていた全ての処理を実行するように指示するのではなく、継続して動作させる必要がある一部の処理についてのみ実行するように指示してもよい。
　図６を参照して、実施の形態１に係る代替機であるＥＣＵ３０の動作を説明する。
　（ステップＳ２１：リソース確保処理）
　リソース確保部３１１は、図５のステップＳ１４で指示されると、処理識別子が示す処理を終了する。これにより、代替機であるＥＣＵ３０におけるプロセッサ３１及びメモリ３２といったリソースの空きが増え、故障機で実行されていた処理を実行するためのリソースが確保される。
　（ステップＳ２２：処理実行処理）
　処理実行部３１２は、ステップＳ２１でリソースが確保されると、故障機で実行されていた処理を実行する。この際、処理実行部３１２は、故障機で実行されていた処理のうち、実行する処理が指定されている場合には、指定された処理のみを実行する。
　図７を参照して、実施の形態１に係るフェールオペレーショナルシステムの動作の具体例を説明する。
　図５のステップＳ１１で、代替制御装置２０は、ＥＣＵ３０Ａが故障したことを検出したとする。すると、図４に示す情報が代替記憶部２３１に記憶されている場合には、図５のステップＳ１３で、代替制御装置２０は、代替識別子としてＥＣＵ３０Ｂの識別子である“Ｂ”を読み出し、処理識別子として処理ｙの識別子である“ｙ”を読み出す。そして、図５のステップＳ１４で、代替制御装置２０は、代替機であるＥＣＵ３０Ｂに対して、処理ｙを終了して、故障機であるＥＣＵ３０Ａで実行されていた処理を実行するように指示する。ここでは、ＥＣＵ３０Ａで実行されていた処理のうち、処理Ｐ１を実行するように指示されたとする。
　すると、図６のステップＳ２１で、代替機であるＥＣＵ３０Ｂは、処理ｙを終了する。そして、図６のステップＳ２２で、ＥＣＵ３０Ｂは、ＥＣＵ３０Ａで実行されていた処理Ｐ１を実行する。
　なお、代替機に選定される可能性のあるＥＣＵ３０は、代替する処理の実行ファイルを事前にストレージ３３に記憶している。例えば、図７では、ＥＣＵ３０Ｂのストレージ３３には、ＥＣＵ３０Ａで実行される処理Ｐ１の実行ファイルである処理Ｐ１実行ファイルが記憶されている。
　＊＊＊実施の形態１の効果＊＊＊
　以上のように、実施の形態１に係るフェールオペレーショナルシステム１０では、代替制御装置２０は、ＥＣＵ３０の故障が検出されると、代替記憶部２３１から故障機についての代替識別子及び処理識別子を読み出す。そして、代替制御装置２０は、代替識別子が示す代替機に対して処理識別子が示す処理を終了して、故障機で実行されていた処理を実行するように指示する。
　代替記憶部２３１から代替識別子等を読み出すだけで代替用のＥＣＵ３０が特定されるため、短時間で代替用のＥＣＵ３０を特定することが可能である。その結果、故障したＥＣＵで実行されていた処理が停止している時間を短くすることが可能である。これにより、移動体１００の安全性を高くすることが可能である。
　＊＊＊他の構成＊＊＊
　＜変形例１＞
　実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
　図８を参照して、変形例１に係る代替制御装置２０の構成を説明する。
　各機能構成要素がハードウェアで実現される場合には、代替制御装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路２５を備える。電子回路２５は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。
　電子回路２５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）が想定される。
　各機能構成要素を１つの電子回路２５で実現してもよいし、各機能構成要素を複数の電子回路２５に分散させて実現してもよい。
　＜変形例２＞
　変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
　プロセッサ２１とメモリ２２とストレージ２３と電子回路２５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
　実施の形態２．
　実施の形態２は、代替制御装置２０が移動体１００の状況に応じて代替記憶部２３１に情報を登録する点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
　＊＊＊構成の説明＊＊＊
　図９を参照して、実施の形態２に係る代替制御装置２０の構成を説明する。
　代替制御装置２０は、代替決定部２１４と、データ登録部２１５とを備える点が、図２に示す代替制御装置２０と異なる。
　＊＊＊動作の説明＊＊＊
　図１０から図１１を参照して、実施の形態２に係るフェールオペレーショナルシステム１０の動作を説明する。
　実施の形態２に係るフェールオペレーショナルシステム１０の動作における代替制御装置２０の動作は、実施の形態２に係る代替制御方法に相当する。また、実施の形態２に係るフェールオペレーショナルシステム１０の動作における代替制御装置２０の動作は、実施の形態２に係る代替制御プログラムの処理に相当する。
　実施の形態２では、代替制御装置２０の動作は、登録処理と、代替制御処理とを含む。代替制御処理は、実施の形態１において図５を参照して説明した処理である。
　図１０を参照して、実施の形態２に係る登録処理を説明する。
　実施の形態２では、代替制御装置２０は、定期的に登録処理を実行する。代替制御装置２０は、定期的に登録処理を実行するのではなく、移動体１００の状況が変わる度に登録処理を実行してもよい。
　実施の形態２では、移動体１００の状況は、移動体１００の移動環境である。具体例としては、移動体１００の状況は、移動体１００が車両の場合には、高速道路と一般道路といった移動する道路種別である。また、移動体１００の状況は、昼間及び夜間といった時間帯と、晴れと雨と霧といった気象条件と等である。
　（ステップＳ３１：リソース情報取得処理）
　代替決定部２１４は、各ＥＣＵ３０からリソースの使用状況を示すリソース情報を取得する。図１１に示すように、リソース情報は、ＥＣＵ３０で実行される処理毎に使用しているリソース量を示すとともに、ＥＣＵ３０において使用されていない現在の空きリソース量を示す。なお、図１１では、各ＥＣＵ３０は、４コアのプロセッサ３１を備えており、プロセッサ３１の使用率の上限は４００％としている。また、各ＥＣＵ３０のメモリ３２は、５１２ＭＢ（メガバイト）であるとしている。
　（ステップＳ３２：状況特定処理）
　代替決定部２１４は、移動体１００の状況を特定する。
　具体的には、代替決定部２１４は、通信インタフェース２４を介して接続された外部の装置から、移動体１００の状況を示す情報を取得する。例えば、代替決定部２１４は、移動体１００に搭載されたナビゲーションシステムから、移動体１００が移動する位置を示す位置情報を取得する。
　ステップＳ３３からステップＳ３７の処理は、複数のＥＣＵ３０それぞれを対象のＥＣＵ３０として実行される。
　なお、図５のステップＳ１１で、継続して動作させる必要がある処理を実行している一部のＥＣＵ３０についてのみ故障したことを検出する場合には、ステップＳ３２からステップＳ３７の処理は、故障したことを検出する対象となる一部のＥＣＵ３０についてのみ実行されればよい。
　（ステップＳ３３：必要リソース特定処理）
　代替決定部２１４は、対象のＥＣＵ３０で実行される処理で必要となる必要リソース量であって、ステップＳ３２で特定された移動体１００の状況に応じた必要リソース量を特定する。
　なお、代替決定部２１４は、図５のステップＳ１４で、一部の処理についてのみ実行するように指示する場合には、対象のＥＣＵ３０で実行される処理のうち、実行するように指示される一部の処理のみの必要リソース量を特定する。
　具体的には、代替決定部２１４は、各処理について、状況毎に必要リソース量が設定されたリソース量テーブルから、ステップＳ３２で特定された移動体１００の状況に対応する、対象のＥＣＵ３０で実行される処理についての必要リソースを読み出す。あるいは、代替決定部２１４は、移動体１００の周辺に存在する路側機から、移動体１００が移動する道路を移動する場合に、各処理で必要になる必要リソース量を取得する。ダイナミックマップが実現された場合には、路側機から必要リソース量を取得できるようになる可能性がある。
　（ステップＳ３４：空きリソース量判定処理）
　代替決定部２１４は、対象のＥＣＵ３０以外のＥＣＵ３０に、現在の空きリソース量がステップＳ３３で特定された必要リソース量よりも多いＥＣＵ３０が存在するか否かを判定する。
　代替決定部２１４は、存在しない場合には、処理をステップＳ３５に進める。一方、代替決定部２１４は、存在する場合には、処理をステップＳ３６に進める。
　（ステップＳ３５：空きリソース量更新処理）
　代替決定部２１４は、対象のＥＣＵ３０以外のＥＣＵ３０で実行される処理のうち、未だ対象の処理に加えられていない優先順位の低い処理を対象の処理に加える。代替決定部２１４は、対象の処理を終了した場合における、対象のＥＣＵ３０以外の各ＥＣＵ３０の空きリソース量を計算する。具体的には、代替決定部２１４は、対象のＥＣＵ３０以外の各ＥＣＵ３０について、現在の空きリソース量に対象の処理が使用しているリソース量を加えることにより、対象の処理を終了した場合における空きリソース量を計算する。
　そして、代替決定部２１４は、対象のＥＣＵ３０以外の各ＥＣＵ３０について、対象の処理を終了した場合における空きリソース量を、現在の空きリソース量に設定して、処理をステップＳ３４に戻す。
　なお、ここでは、移動体１００の状況毎に、処理の優先順位が設定され、ストレージ２３に記憶されているものとする。移動体１００の状況に応じて処理の優先順位が変化するのは、移動体１００の状況に応じて処理の必要性又は重要度が変化するためである。例えば、高速道路を走行中には、信号を認識するための処理は、原則不要となる。そのため、一般道路を走行中に比べ、高速道路を走行中には、信号を認識するための処理は、低い優先順位が設定される。
　（ステップＳ３６：代替機決定処理）
　代替決定部２１４は、対象のＥＣＵ３０以外のＥＣＵ３０のうち、空きリソース量がステップＳ３２で特定された必要リソース量よりも多いＥＣＵ３０を代替用のＥＣＵ３０として特定する。
　また、代替決定部２１４は、代替用のＥＣＵ３０において、ステップＳ３５で対象の処理として設定された処理を終了処理として決定する。代替決定部２１４は、代替用のＥＣＵ３０において、ステップＳ３５で複数の処理が対象の処理として設定された場合には、全ての処理を終了処理として決定する。
　（ステップＳ３７：データ登録処理）
　データ登録部２１５は、ステップＳ３６で決定された代替用のＥＣＵ３０の識別子を、対象のＥＣＵ３０についての代替識別子とし、ステップＳ３６で決定された終了処理の識別子を、対象のＥＣＵ３０についての処理識別子として代替記憶部２３１に登録する。
　＊＊＊実施の形態２の効果＊＊＊
　以上のように、実施の形態２に係るフェールオペレーショナルシステム１０は、代替制御装置２０が移動体１００の状況に応じて代替記憶部２３１に情報を登録する。そのため、移動体１００の状況に応じて適切なＥＣＵ３０を代替用のＥＣＵ３０として特定することが可能である。
　また、実施の形態２に係るフェールオペレーショナルシステム１０は、代替制御装置２０が、ＥＣＵ３０の故障の有無に関わらず、定期的に、又は、移動体１００の状況が変わる度に、代替記憶部２３１に情報を登録し直す。そのため、ＥＣＵ３０に故障が発生した場合には、代替記憶部２３１から代替識別子等を読み出すだけで代替用のＥＣＵ３０が特定されるため、短時間で代替用のＥＣＵ３０を特定することが可能である。その結果、故障したＥＣＵで実行されていた処理が停止している時間を短くすることが可能である。これにより、移動体１００の安全性を高くすることが可能である。
　＊＊＊他の構成＊＊＊
　＜変形例３＞
　実施の形態１，２では、自動運転車両といった移動体１００のＥＣＵ３０に故障が発生した場合について説明した。しかし、上述したフェールオペレーショナル技術は、介護用のロボットといったロボットに搭載されたＥＣＵ３０に故障が発生した場合にも適用可能である。また、上述したフェールオペレーショナル技術は、一般的なコンピュータシステムに対しても適用可能である。一般的なコンピュータシステムに対しても適用する場合には、上述したＥＣＵ３０をコンピュータと読み替えればよい。
　１０　フェールオペレーショナルシステム、２０　代替制御装置、２１　プロセッサ、２２　メモリ、２３　ストレージ、２４　通信インタフェース、２５　電子回路、２１１　故障検出部、２１２　代替選択部、２１３　処理指示部、２１４　代替決定部、２１５　データ登録部、２３１　代替記憶部、３０　ＥＣＵ、３１　プロセッサ、３２　メモリ、３３　ストレージ、３４　通信インタフェース、３１１　リソース確保部、３１２　処理実行部、４０　伝送路。

Claims (7)

  1. 　移動体に搭載された複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）のうちのいずれかＥＣＵが故障したことを検出する故障検出部と、
    　ＥＣＵ毎に代替用のＥＣＵの識別子である代替識別子と終了させる終了処理の識別子である処理識別子とを記憶した代替記憶部から、前記故障検出部によって故障したことが検出された前記ＥＣＵである故障機についての前記代替識別子及び前記処理識別子を読み出す代替選択部と、
    　前記代替選択部によって読み出された前記代替識別子が示すＥＣＵである代替機に対して、前記代替選択部によって読み出された前記処理識別子が示す処理を終了して、前記故障機で実行されていた処理を実行するように指示する処理指示部と
    を備える代替制御装置。
  2. 　前記代替制御装置は、さらに、
    　前記複数のＥＣＵそれぞれを対象のＥＣＵとして、前記対象のＥＣＵで実行される処理で必要となる必要リソース量であって、前記移動体の状況に応じて決まる必要リソース量に基づき、前記対象のＥＣＵについての前記代替用のＥＣＵと、前記終了処理とを決定する代替決定部と、
    　前記代替決定部によって決定された前記代替用のＥＣＵの識別子を前記対象のＥＣＵについての前記代替識別子とし、決定された前記終了処理の識別子を前記対象のＥＣＵについての前記処理識別子として、前記代替記憶部に登録するデータ登録部と
    を備える請求項１に記載の代替制御装置。
  3. 　前記代替決定部は、前記対象のＥＣＵ以外のいずれかのＥＣＵの空きリソース量が前記必要リソース量よりも多くなるまで、前記対象のＥＣＵ以外のＥＣＵで実行される処理について、前記移動体の状況に応じて決定された優先順位の低い処理から順に対象の処理に加えていき、前記対象の処理を終了した場合における前記対象のＥＣＵ以外のＥＣＵの空きリソース量を計算し、前記空きリソース量が前記必要リソース量よりも多いＥＣＵを前記代替用のＥＣＵとして決定するとともに、前記代替用のＥＣＵにおける前記対象の処理を前記終了処理として決定する
    請求項２に記載の代替制御装置。
  4. 　前記代替決定部は、定期的に、又は、前記移動体の状況が変わる度に、前記代替用のＥＣＵ及び前記終了処理を決定する
    請求項２又は３に記載の代替制御装置。
  5. 　代替制御装置の故障検出部が、移動体に搭載された複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）のうちのいずれかＥＣＵが故障したことを検出し、
    　前記代替制御装置の代替選択部が、ＥＣＵ毎に代替用のＥＣＵの識別子である代替識別子と終了させる終了処理の識別子である処理識別子とを記憶した代替記憶部から、故障したことが検出された前記ＥＣＵである故障機についての前記代替識別子及び前記処理識別子を読み出し、
    　前記代替制御装置の処理指示部が、読み出された前記代替識別子が示すＥＣＵである代替機に対して、読み出された前記処理識別子が示す処理を終了して、前記故障機で実行されていた処理を実行するように指示する代替制御方法。
  6. 　故障検出部が、移動体に搭載された複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）のうちのいずれかＥＣＵが故障したことを検出する故障検出処理と、
    　代替選択部が、ＥＣＵ毎に代替用のＥＣＵの識別子である代替識別子と終了させる終了処理の識別子である処理識別子とを記憶した代替記憶部から、前記故障検出処理によって故障したことが検出された前記ＥＣＵである故障機についての前記代替識別子及び前記処理識別子を読み出す代替選択処理と、
    　処理指示部が、前記代替選択処理によって読み出された前記代替識別子が示すＥＣＵである代替機に対して、前記代替選択処理によって読み出された前記処理識別子が示す処理を終了して、前記故障機で実行されていた処理を実行するように指示する処理指示処理と
    を行う代替制御装置としてコンピュータを機能させる代替制御プログラム。
  7. 　代替制御装置と、移動体に搭載された複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）とを備えるフェールオペレーショナルシステムであり、
    　前記代替制御装置は、
    　前記複数のＥＣＵのうちのいずれかＥＣＵが故障したことを検出する故障検出部と、
    　ＥＣＵ毎に代替用のＥＣＵの識別子である代替識別子と終了させる終了処理の識別子である処理識別子とを記憶した代替記憶部から、前記故障検出部によって故障したことが検出された前記ＥＣＵである故障機についての前記代替識別子及び前記処理識別子を読み出す代替選択部と、
    　前記代替選択部によって読み出された前記代替識別子が示すＥＣＵである代替機に対して、前記代替選択部によって読み出された前記処理識別子が示す処理を終了して、前記故障機で実行されていた処理を実行するように指示する処理指示部と
    を備え、
    　前記複数のＥＣＵそれぞれは、
    　前記処理指示部によって指示されると、前記処理識別子が示す処理を終了してリソースを確保するリソース確保部と、
    　前記リソース確保部によって前記リソースが確保されると、前記故障機で実行されていた処理を実行する処理実行部と
    を備えるフェールオペレーショナルシステム。
PCT/JP2019/001292 2019-01-17 2019-01-17 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム WO2020148870A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2020565509A JP6899978B2 (ja) 2019-01-17 2019-01-17 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム
PCT/JP2019/001292 WO2020148870A1 (ja) 2019-01-17 2019-01-17 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/001292 WO2020148870A1 (ja) 2019-01-17 2019-01-17 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム

Publications (1)

Publication Number Publication Date
WO2020148870A1 true WO2020148870A1 (ja) 2020-07-23

Family

ID=71614181

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/001292 WO2020148870A1 (ja) 2019-01-17 2019-01-17 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム

Country Status (2)

Country Link
JP (1) JP6899978B2 (ja)
WO (1) WO2020148870A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023021848A1 (ja) * 2021-08-20 2023-02-23 株式会社日立製作所 制御装置、制御装置の制御方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5864502A (ja) * 1981-10-15 1983-04-16 Hitachi Ltd プラント分散制御方法
JP2007257657A (ja) * 2007-05-07 2007-10-04 Hitachi Ltd 分散制御装置、システム及びコントローラ
JP2017171114A (ja) * 2016-03-24 2017-09-28 トヨタ自動車株式会社 車両用ソフトウェア割当てシステム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6698320B2 (ja) * 2015-11-16 2020-05-27 日立オートモティブシステムズ株式会社 処理装置および車両制御システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5864502A (ja) * 1981-10-15 1983-04-16 Hitachi Ltd プラント分散制御方法
JP2007257657A (ja) * 2007-05-07 2007-10-04 Hitachi Ltd 分散制御装置、システム及びコントローラ
JP2017171114A (ja) * 2016-03-24 2017-09-28 トヨタ自動車株式会社 車両用ソフトウェア割当てシステム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023021848A1 (ja) * 2021-08-20 2023-02-23 株式会社日立製作所 制御装置、制御装置の制御方法

Also Published As

Publication number Publication date
JPWO2020148870A1 (ja) 2021-03-11
JP6899978B2 (ja) 2021-07-07

Similar Documents

Publication Publication Date Title
CN109305197B (zh) 列车控制方法、系统和车载控制器
US11256495B2 (en) Onboard system and ECU
JP5353545B2 (ja) 車載ネットワーク装置
US11842185B2 (en) Gateway device, in-vehicle network system, and firmware update method
US7921341B2 (en) System and method for reproducing memory error
CN115658160B (zh) 基于多核异构soc的多操作系统升级方法、装置及系统
US11836475B2 (en) Electronic control unit, software update method, software update program product and electronic control system
WO2020148870A1 (ja) 代替制御装置、代替制御方法、代替制御プログラム及びフェールオペレーショナルシステム
US10452530B2 (en) Information processing apparatus and information processing method
US20200189609A1 (en) Smart vehicle system
KR20150019845A (ko) 메모리 공유 환경에서 데이터 무결성 감시 장치 및 방법
US11451411B2 (en) First relay device, second relay device, and relay system
CN111562973A (zh) 一种地图数据任务执行方法及电子设备
WO2019193845A1 (ja) 電子制御装置および電子制御システム
US20180068501A1 (en) Multiprocessor system and vehicle control system
JP2008024095A (ja) 車載システム
US20170293440A1 (en) Storage device and data saving method in the same
JP2009087107A (ja) 車両用制御システム
JP2008503833A (ja) 並列通信バスに連結された装置内で割込みメッセージを待ち行列に入れるためのコンピュータシステム及び方法
JP2018084871A (ja) 信号制御装置及び信号制御システム
WO2023112623A1 (ja) 車載制御装置、制御方法及びコンピュータプログラム
US10082967B2 (en) Transfer apparatus and recovery control device
US20220171612A1 (en) Electronic control unit, software update method, software update program product and electronic control system
US9773562B2 (en) Storage apparatus, flash memory control apparatus, and program
WO2018100720A1 (ja) データ収集装置及びデータ収集プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19909795

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020565509

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19909795

Country of ref document: EP

Kind code of ref document: A1