WO2022137665A1 - 電子制御装置 - Google Patents

電子制御装置 Download PDF

Info

Publication number
WO2022137665A1
WO2022137665A1 PCT/JP2021/033207 JP2021033207W WO2022137665A1 WO 2022137665 A1 WO2022137665 A1 WO 2022137665A1 JP 2021033207 W JP2021033207 W JP 2021033207W WO 2022137665 A1 WO2022137665 A1 WO 2022137665A1
Authority
WO
WIPO (PCT)
Prior art keywords
software
control software
buffer
transmission information
driver
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/033207
Other languages
English (en)
French (fr)
Inventor
将史 溝口
朋仁 蛯名
祐 石郷岡
一 芹沢
健一 長田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Astemo Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Astemo Ltd filed Critical Hitachi Astemo Ltd
Priority to DE112021005326.4T priority Critical patent/DE112021005326T5/de
Priority to US18/254,451 priority patent/US12117943B2/en
Priority to CN202180079795.8A priority patent/CN116635274B/zh
Publication of WO2022137665A1 publication Critical patent/WO2022137665A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/10—Program control for peripheral devices
    • G06F13/102—Program control for peripheral devices where the program performs an interfacing function, e.g. device driver
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operations
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/1417—Boot up procedures
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0778—Dumping, i.e. gathering error/state information after a fault for later diagnosis
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2213/00—Indexing scheme relating to interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F2213/40—Bus coupling

Definitions

  • This disclosure relates to an electronic control device.
  • a microcomputer (hereinafter referred to as a "microcomputer") is equipped with a CPU (Central Processing Unit), a memory, a peripheral, and the like. Peripherals include one or more peripheral circuits to provide various functions to a microcomputer.
  • Patent Document 1 discloses a device for restarting a peripheral when the peripheral becomes abnormal.
  • microcomputers equipped with multiple control software have been known. From the viewpoint of size and cost, there is a limit to the number of peripheral circuits mounted on the microcomputer. Therefore, a plurality of control software may share one peripheral circuit.
  • the present disclosure provides a technique capable of the second control software to continue processing by using the peripheral circuit even in a situation where an abnormality occurs in the first control software.
  • the electronic control device includes a memory for storing the first control software and the second control software, a CPU for executing the first control software and the second control software, the first control software, and the first control software. It includes a peripheral circuit used by the second control software.
  • the memory further includes a first buffer and a second buffer.
  • the CPU has a first storage process for storing the first peripheral transmission information, which is transmission information from the first control software to the peripheral circuit, in the first buffer, and the second control software.
  • a second storage process for storing the second peripheral transmission information, which is transmission information to the peripheral circuit, in the second buffer, and outputting the first peripheral transmission information from the first buffer to the peripheral circuit.
  • the first output process and the second output process for outputting the second peripheral transmission information from the second buffer to the peripheral circuit are configured to be executed.
  • the CPU interrupts at least one of the first storage process and the first output process in a specific situation in which an abnormality related to the first control software occurs, and the second storage process and the second output process are interrupted. It is configured to continue output processing.
  • the electronic control device performs the processing (second storage processing and second output processing) related to the second control software even in the specific situation where the abnormality related to the first control software occurs. You can continue. Further features relating to the present invention will be apparent from the description herein and the accompanying drawings. In addition, problems, configurations, and effects other than those described above will be clarified by the following description of the embodiments.
  • the following plurality of examples relate to an electronic control device equipped with a plurality of control software, respectively.
  • an embodiment of an electronic control device equipped with two control softwares first control software and second control software
  • the configuration of the electronic control device is not limited to this, and the electronic control device may further include other control software (for example, a third control software and a fourth control software).
  • FIG. 1 is a diagram showing a hardware configuration of an electronic control device.
  • the electronic control device 1000 includes a microcomputer 900 and a power supply circuit 901.
  • the microcomputer 900 includes a CPU 1, a peripheral 2, a memory 3, and a bus 4.
  • the CPU 1, the peripheral 2, and the memory 3 are connected to each other via the bus 4. Therefore, the CPU 1 can access the peripheral 2 and the memory 3 via the bus 4.
  • Memory 3 stores a plurality of software.
  • the CPU 1 executes the software stored in the memory 3.
  • the microcomputer 900 further includes a self-reset signal output terminal 911 and an external reset terminal 912.
  • the self-reset signal output terminal 911 and the external reset terminal 912 are each connected to the power supply circuit 901.
  • the microcomputer 900 outputs a reset request signal to the power supply circuit 901 via the self-reset signal output terminal 911.
  • the power supply circuit 901 inputs an external reset signal to the external reset terminal 912 in response to the reset request signal.
  • the microcomputer 900 receives the external reset signal, the microcomputer 900 is restarted.
  • the CPU 1 includes a plurality of cores. Specifically, the CPU 1 includes a main CPU core 100, a first CPU core 101, and a second CPU core 102.
  • the first CPU core 101 includes a first MPU (Memory Protection Unit) 101a.
  • the first MPU 101a includes setting information regarding an area of the memory 3 accessible to the first CPU core 101 (hereinafter, referred to as “first accessible area”).
  • the first MPU 101a allows the first CPU core 101 to access the first accessible area.
  • the first MPU 101a prohibits the first CPU core 101 from accessing an area other than the first accessible area.
  • the second CPU core 102 includes the second MPU 102a.
  • the second MPU 102a includes setting information regarding an area of the memory 3 accessible to the second CPU core 102 (hereinafter, referred to as a “second accessible area”).
  • the second MPU 102a allows the second CPU core 102 to access the second accessible area.
  • the second MPU 102a prohibits the second CPU core 102 from accessing an area other than the second accessible area.
  • the main CPU core 100 executes processing related to the main OS (Operating System) 301 (see FIG. 2).
  • the first CPU core 101 executes processing related to the first control software 310 (see FIG. 2).
  • the second CPU core 102 executes processing related to the second control software 320 (see FIG. 2).
  • the CPU 1 is not limited to the above configuration.
  • the CPU 1 may include four or more CPU cores.
  • the CPU 1 may include a plurality of first CPU cores 101.
  • each of the plurality of first CPU cores 101 includes the first MPU 101a.
  • the CPU 1 may include a plurality of second CPU cores 102.
  • each of the plurality of second CPU cores 102 includes the second MPU 102a.
  • the peripheral 2 includes a plurality of peripheral circuits.
  • the peripheral circuit refers to a circuit other than the CPU 1 and the memory 3 among the components mounted on the microcomputer 900.
  • Examples of peripheral circuits include a CAN (Controller Area Network) controller, an analog-to-digital converter (A / D converter), a direct memory access controller, a GPIO (General Purpose Input / Output), and the like.
  • the peripheral 2 includes a shared peripheral circuit 200, a first peripheral circuit 201, and a second peripheral circuit 202.
  • the shared peripheral circuit 200 includes a CAN controller 200a.
  • the first peripheral circuit 201 includes a first GPIO pin 201a for analog.
  • the second peripheral circuit 202 includes a second GPIO pin 202a for digital use.
  • the shared peripheral circuit 200 is a peripheral circuit used by both the first control software 310 (that is, the first CPU core 101) and the second control software 320 (that is, the second CPU core 102).
  • the shared peripheral circuit 200 is also accessed from the main CPU core 100.
  • the first peripheral circuit 201 is a peripheral circuit used only by the first control software 310 (that is, the first CPU core 101).
  • the second peripheral circuit 202 is a peripheral circuit used only by the second control software 320 (that is, the second CPU core 102).
  • FIG. 2 is a diagram showing software stored in the memory 3.
  • the memory 3 stores a plurality of software.
  • the memory 3 stores the control task 300, the main OS 301, and the CAN driver 302.
  • the main CPU core 100 executes these softwares 300 to 302.
  • the main OS 301 initializes the CAN driver 302.
  • the CAN driver 302 is software corresponding to the shared peripheral circuit 200, and is software that outputs an operation command to the CAN controller 200a.
  • the main OS 301 starts the first sub OS 311 and the second sub OS 321. That is, the main OS 301 transmits a start command of the first sub OS 311 to the first CPU core 101, and sends a start command of the second sub OS 321 to the second CPU core 102.
  • the main OS 301 activates the control task 300 in a cycle of 1 ms.
  • the execution cycle of the control task 300 is 1 ms, but the present invention is not limited to this.
  • the detailed processing contents of the control task 300 will be described later.
  • the memory 3 further stores the first control software 310, the first sub OS 311 and the first GPIO pin driver 312, and the first virtual CAN driver 313.
  • the first CPU core 101 executes these softwares 310 to 313.
  • the first sub OS311 initializes the first GPIO pin driver 312 according to the boot command from the main OS301.
  • the first GPIO pin driver 312 is software that outputs an operation instruction to the first GPIO pin 201a.
  • the first sub OS311 starts the first control software 310 according to the start command from the main OS 301.
  • the first control software 310 includes one or more tasks.
  • the task of the first control software 310 is executed by the first sub-OS 311 at a predetermined timing.
  • the first control software 310 transmits the first peripheral transmission information at a predetermined timing.
  • the first peripheral transmission information is information transmitted to the CAN controller 200a.
  • the first sub OS311 initializes the first virtual CAN driver 313 according to the start command from the main OS301.
  • the first virtual CAN driver 313 is software that intervenes between the first control software 310 and the CAN driver 302, and is software that processes the first peripheral transmission information.
  • the first virtual CAN driver 313 includes a first buffer 313a.
  • the first virtual CAN driver 313 stores the first peripheral transmission information in the first buffer 313a.
  • the memory 3 further stores the second control software 320, the second sub OS 321, the second GPIO pin driver 322, and the second virtual CAN driver 323.
  • the second CPU core 102 executes these softwares 320 to 323.
  • the software executed by the second CPU core 102 will be described.
  • software 320 to 323 will be described as the subject. However, since the subject that executes the software 320 to 323 is the second CPU core 102, the subject may be replaced with the second CPU core 102.
  • the second sub OS 321 initializes the second GPIO pin driver 322 according to the boot command from the main OS 301.
  • the second GPIO pin driver 322 is software that outputs an operation instruction to the second GPIO pin 202a.
  • the second sub OS 321 starts the second control software 320 according to the start command from the main OS 301.
  • the second control software 320 includes one or more tasks.
  • the task of the second control software 320 is executed at a predetermined timing by the second sub OS 321.
  • the second control software 320 transmits the second peripheral transmission information at a predetermined timing.
  • the second peripheral transmission information is information transmitted to the CAN controller 200a.
  • the second sub OS 321 initializes the second virtual CAN driver 323 according to the start command from the main OS 301.
  • the second virtual CAN driver 323 is software that intervenes between the second control software 320 and the CAN driver 302, and is software that processes the second peripheral transmission information.
  • the second virtual CAN driver 323 includes a second buffer 323a.
  • the second virtual CAN driver 323 stores the second peripheral transmission information in the second buffer 323a.
  • FIG. 3 is a diagram showing setting information regarding the first accessible area in the first MPU 101a.
  • the first CPU core 101 has a read right and a write right for the storage area of the software 310 to 313.
  • the first CPU core 101 does not have a read right and a write right for an area other than the storage area of the software 310 to 313. This makes it possible to prevent the first control software 310 (that is, the first CPU core 101) from affecting the main OS 301 and the second control software 320.
  • FIG. 4 is a diagram showing setting information regarding the second accessible area in the second MPU 102a.
  • the second CPU core 102 has a read right and a write right for the storage area of the software 320 to 323.
  • the second CPU core 102 does not have a read right and a write right for an area other than the storage area of the software 320 to 323. This makes it possible to prevent the second control software 320 (that is, the second CPU core 102) from affecting the main OS 301 and the first control software 310.
  • the main CPU core 100 can access all the areas of the memory 3.
  • FIG. 5 is a diagram showing a connection relationship between the electronic control device 1000 and an external device.
  • the processing contents of the first control software 310 and the second control software 320 will be described.
  • the plurality of sensors 511 and the plurality of actuators 512 are arranged outside the electronic control device 1000.
  • the plurality of sensors 511 and the plurality of actuators 512 are each connected to the first GPIO pin 201a.
  • the first control software 310 accesses the first GPIO pin 201a and inputs an analog signal to each of the plurality of actuators 512. Further, the first control software 310 receives analog signals from each of the plurality of sensors 511 via the first GPIO pin 201a. The first control software 310 transmits the first peripheral transmission information based on these analog signals.
  • the first peripheral transmission information is a CAN message transmitted from the first control software 310 to each of the other electronic control devices 540.
  • the first peripheral transmission information is output to the CAN controller 200a via the first buffer 313a, as will be described later.
  • the CAN controller 200a receives the first peripheral transmission information.
  • the CAN controller 200a converts the first peripheral transmission information into a physical signal, and transmits the physical signal to another electronic control device 540 via the CAN bus 530.
  • the plurality of sensors 521 and the plurality of actuators 522 are arranged outside the electronic control device 1000.
  • the plurality of sensors 521 and the plurality of actuators 522 are each connected to the second GPIO pin 202a.
  • the second control software 320 accesses the second GPIO pin 202a and inputs a digital signal to each of the plurality of actuators 522. Further, the second control software 320 receives digital signals from each of the plurality of sensors 521 via the second GPIO pin 202a. The second control software 320 transmits the second peripheral transmission information based on these digital signals.
  • the second peripheral transmission information is a CAN message transmitted from the second control software 320 to each of the other electronic control devices 540.
  • the second peripheral transmission information is output to the CAN controller 200a via the second buffer 323a, as will be described later.
  • the CAN controller 200a receives the second peripheral transmission information.
  • the CAN controller 200a converts the second peripheral transmission information into a physical signal, and transmits the physical signal to another electronic control device 540 via the CAN bus 530.
  • FIG. 6 is a diagram showing an outline of the operation of the CAN driver 302 and the operation of the CAN controller 200a.
  • the CAN driver 302 stores the first peripheral transmission information in a predetermined location in the internal register 200b of the CAN controller 200a.
  • the CAN controller 200a stores the first peripheral transmission information in the CAN frame 600 according to a predetermined CAN protocol. Then, the CAN controller 200a converts the CAN frame 600 into a physical signal and transmits it to the CAN bus 530.
  • FIG. 7 is a diagram showing an input / output relationship between a plurality of software.
  • there are two virtual CAN drivers that is, a first virtual CAN driver 313 and a second virtual CAN driver 323) in front of the CAN driver 302.
  • the first control software 310 and the second control software 320 use the first virtual CAN driver 313 and the second virtual CAN driver 323, respectively.
  • the control task 300 alternately accesses the first virtual CAN driver 313 and the second virtual CAN driver 323, and alternately outputs the first peripheral transmission information 710 and the second peripheral transmission information 720 to the CAN driver 302. do.
  • one CAN driver 302 can be used while separating the processing of the first control software 310 and the processing of the second control software 320.
  • the first control software 310 transmits the first peripheral transmission information 710 to the first virtual CAN driver 313.
  • the first virtual CAN driver 313 stores the first peripheral transmission information 710 in the first buffer 313a.
  • the second control software 320 transmits the second peripheral transmission information 720 to the second virtual CAN driver 323.
  • the second virtual CAN driver 323 stores the second peripheral transmission information 720 in the second buffer 323a.
  • the control task 300 takes out the first peripheral transmission information 710 from the first buffer 313a and outputs the first peripheral transmission information 710 to the CAN driver 302.
  • the control task 300 takes out the second peripheral transmission information 720 from the second buffer 323a and outputs the second peripheral transmission information 720 to the CAN driver 302.
  • FIG. 8 is a diagram illustrating a process flow when the first control software 310 transmits the first peripheral transmission information 710.
  • the first control software 310 designates the CAN message ID and data as the first peripheral transmission information 710.
  • the first control software 310 calls CAN_send_virtio1 (ID, data).
  • CAN_send_virtio1 (ID, data) is a command for transmitting the first peripheral transmission information 710 to the first virtual CAN driver 313.
  • the first peripheral transmission information 710 includes the CAN message ID 711 and the data 712.
  • the first virtual CAN driver 313 receives the first peripheral transmission information 710.
  • the first virtual CAN driver 313 stores the first peripheral transmission information 710 in the first buffer 313a.
  • the second control software 320 transmits the second peripheral transmission information 720.
  • the second control software 320 designates the CAN message ID and data as the second peripheral transmission information 720.
  • the second control software 320 calls CAN_send_virtio2 (ID, data).
  • CAN_send_virtio2 (ID, data) is a command for transmitting the second peripheral transmission information 720 to the second virtual CAN driver 323.
  • the second peripheral transmission information 720 includes the CAN message ID 721 and the data 722.
  • the second virtual CAN driver 323 receives the second peripheral transmission information 720.
  • the second virtual CAN driver 323 stores the second peripheral transmission information 720 in the second buffer 323a.
  • FIG. 9 is a diagram showing the data structure of the first buffer 313a.
  • the first buffer 313a has a ring buffer structure, which is one of the implementations of the First-In-First-Out queue.
  • Each element of the first buffer 313a is a structure composed of a set of CAN message ID and data.
  • the substance of the ring buffer is the structure array buffer_virtio1 [12].
  • the number of elements in the array is set to 12, but the number is not limited to this.
  • the first virtual CAN driver 313 calculates the index backward representing the buffer end position as follows (backward ⁇ (backward + 1)% 12 ). Here, "%" is an operator for finding the remainder when (backward + 1) is divided by 12.
  • the first virtual CAN driver 313 assigns "0" to the backward.
  • the first virtual CAN driver 313 stores the first peripheral transmission information 710 in buffer_virtio1 [backward]. As described above, the first virtual CAN driver 313 stores the first peripheral transmission information 710 at the end of the first buffer 313a.
  • a storage process of the first peripheral transmission information 710 is referred to as a “first storage process”.
  • FIG. 10 is a diagram showing the data structure of the second buffer 323a.
  • the second buffer 323a has a ring buffer structure, which is one of the implementations of the First-In-First-Out queue.
  • Each element of the second buffer 323a is a structure composed of a set of CAN message ID and data.
  • the substance of the ring buffer is the structure array buffer_virtio2 [12].
  • the number of elements in the array is set to 12, but the number is not limited to this.
  • the second virtual CAN driver 323 stores the second peripheral transmission information 720 in buffer_virtio2 [backward]. As described above, the second virtual CAN driver 323 stores the second peripheral transmission information 720 at the end of the second buffer 323a.
  • a storage process of the second peripheral transmission information 720 is referred to as a “second storage process”.
  • FIG. 11 is a state transition diagram held inside the control task 300.
  • the control task 300 is a task started by the main OS 301 in a cycle of 1 ms.
  • the control task 300 alternately executes the first output process and the second output process.
  • control task 300 is in the first state St1. In this case, the control task 300 executes the first output process.
  • the control task 300 determines whether or not the second buffer 323a is empty after executing the first output process. If the second buffer 323a is not empty, the control task 300 transitions from the first state St1 to the second state St2. On the other hand, when the second buffer 323a is empty and the first buffer 313a is not empty (that is, when only the second buffer 323a is empty), the control task 300 maintains the first state St1. In this case, the control task 300 repeatedly executes the first output process.
  • both the first buffer 313a and the second buffer 323a are empty after the control task 300 executes the first output process, the control task 300 changes from the first state St1 to the third state St3. And transition. In this case, the control task 300 does nothing. After that, when the first buffer 313a is not empty (that is, when the first peripheral transmission information 710 is stored in the first buffer 313a), the control task 300 moves from the third state St3 to the first state St1. Transition. Alternatively, if the second buffer 323a is not empty (that is, the second peripheral transmission information 720 is stored in the second buffer 323a), the control task 300 moves from the third state St3 to the second state St2. Transition.
  • control task 300 has transitioned from the first state St1 to the second state St2. In this case, the control task 300 executes the second output process.
  • the control task 300 determines whether or not the first buffer 313a is empty after executing the second output process. If the first buffer 313a is not empty, the control task 300 transitions from the second state St2 to the first state St1. On the other hand, when the first buffer 313a is empty and the second buffer 323a is not empty (that is, when only the first buffer 313a is empty), the control task 300 maintains the second state St2. In this case, the control task 300 repeatedly executes the second output process.
  • the control task 300 changes from the first state St1 to the third state St3. And transition. In this case, the control task 300 does nothing. After that, when the first buffer 313a is not empty (that is, when the first peripheral transmission information 710 is stored in the first buffer 313a), the control task 300 moves from the third state St3 to the first state St1. Transition. Alternatively, if the second buffer 323a is not empty (that is, the second peripheral transmission information 720 is stored in the second buffer 323a), the control task 300 moves from the third state St3 to the second state St2. Transition.
  • an abnormality may occur with respect to the first control software 310.
  • a situation is referred to as a "specific situation".
  • the specific situation includes, for example, a situation in which an abnormality has occurred in the first control software 310, and a situation in which an abnormality has occurred in the software and hardware related to the first control software 310.
  • the specific situation means a situation in which at least one of the following (1) to (3) occurs.
  • the first control software 310 executes processing other than normal processing (so-called exception processing).
  • the normal processing is the transmission processing of the first peripheral transmission information 710.
  • Exception handling includes, for example, access to areas other than the first accessible area (out-of-area access), processing related to deadline mistakes, and the like.
  • An abnormality has occurred in the software related to the first control software 310 (for example, the first GPIO pin driver 312).
  • An abnormality has occurred in the hardware related to the first control software 310.
  • Such hardware includes (a) the CPU 1 and the memory 3, (b) the sensor 511 and the actuator 522 connected to the first GPIO pin 201a, and (c) the destination of the first peripheral transmission information 710.
  • a common peripheral circuit 200 and the like can be mentioned.
  • the first control software 310 transmits the first interruption command to the first virtual CAN driver 313 in a specific situation.
  • the first suspension command includes a command for suspending the first storage process and a command for initializing the first buffer 313a.
  • the first virtual CAN driver 313 suspends (prohibits) the first storage process in response to the first suspension command. Further, the first virtual CAN driver 313 initializes the first buffer 313a (that is, emptys the first buffer 313a) in response to the first interruption command.
  • the first virtual CAN driver 313 can initialize the first buffer 313a by substituting the index forward indicating the buffer start position into the index backward indicating the buffer end position.
  • the first virtual CAN driver 313 interrupts the first storage process and initializes the first buffer 313a in response to the first interruption command. Since the first buffer 313a is empty, the control task 300 maintains the second state St2 (see FIG. 11). In other words, the control task 300 interrupts the first output process. On the other hand, the control task 300 continues the second storage process and the second output process.
  • the first control software 310 and the second control software 320 use the first virtual CAN driver 313 and the second virtual CAN driver 323, respectively.
  • the control task 300 alternately accesses the first virtual CAN driver 313 and the second virtual CAN driver 323, and alternately outputs the first peripheral transmission information 710 and the second peripheral transmission information 720 to the CAN driver 302. do.
  • the processing of the first control software 310 and the processing of the second control software 320 are separated. Therefore, the second control software 320 can continue the second storage process and the second output process even in the specific situation where the abnormality related to the first control software 310 occurs. That is, the second control software 320 can continue to transmit the second peripheral transmission information 720 to the CAN controller 200a.
  • the inappropriate first peripheral transmission information 710 may be output to the CAN driver 302. Since the first virtual CAN driver 313 initializes the first buffer 313a, it is possible to prevent the above-mentioned problems from occurring.
  • the first CPU core 101 executes the process related to the first control software 310
  • the second CPU core 102 executes the process related to the second control software 320. Therefore, the two CPU cores 101 and 102 can continue processing independently of each other. It is possible to prevent the processing executed by one CPU core from affecting the processing executed by the other CPU core.
  • the same process is executed even when an abnormality occurs in the second control software 320.
  • the second control software 320 transmits a second interruption command to the second virtual CAN driver 323.
  • the second suspension command includes a command for suspending the second storage process and a command for initializing the second buffer 323a.
  • the second virtual CAN driver 323 suspends (prohibits) the second storage process in response to the second suspend command. Further, the second virtual CAN driver 323 initializes the second buffer 323a.
  • the second virtual CAN driver 323 can initialize the second buffer 323a by substituting the index forward indicating the buffer start position into the index backward indicating the buffer end position.
  • FIG. 12 is a diagram showing an input / output relationship between a plurality of software in this example.
  • the control task 300 is configured to execute all of the first storage process, the second storage process, the first output process, and the second output process.
  • the control task 300 receives the first peripheral transmission information 710 from the first control software 310 and executes the first storage process. Further, the control task 300 receives the second peripheral transmission information 720 from the second control software 320 and executes the second storage process.
  • the control task 300 executes the first output process and the second output process according to the state transition diagram of FIG.
  • the first control software 310 transmits a third interruption command to the control task 300 in a specific situation.
  • the third suspension command includes only the command for suspending the first storage process.
  • the control task 300 suspends the first storage process in response to the third suspension command.
  • the control task 300 continues the first output process until the first buffer 313a becomes empty. When the first buffer 313a becomes empty, the control task 300 interrupts the first output process. On the other hand, the control task 300 continues the second storage process and the second output process.
  • the second control software 320 can continue the second storage process and the second output process even in a specific situation.
  • the third interruption command includes only the command for interrupting the first output processing.
  • the control task 300 interrupts the first output process in response to the third interruption command.
  • the control task 300 may continue only the first storage process.
  • the control task 300 may continue the first storage process until all the elements of the array of the first buffer 313a are filled. When all the elements of the array of the first buffer 313a are filled, the control task 300 interrupts the first storage process. On the other hand, the control task 300 continues the second storage process and the second output process.
  • control task 300 may interrupt both the first storage process and the first output process in a specific situation. Therefore, the first peripheral transmission information 710 in the first buffer 313a is held.
  • Example 3 The configuration of the electronic control device 1000 in the third embodiment will be described. Hereinafter, the differences from the first embodiment will be mainly described. As shown in FIG. 13, in this example, the memory 3 further stores the initialization task 304 and the diagnostic task 305. The main CPU core 100 further executes these softwares 304 and 305. The same components as those in the first embodiment are designated by the same reference numerals, and the description thereof will be omitted.
  • the main OS 301 initializes the CAN driver 302.
  • the main OS 301 activates the control task 300 and the initialization task 304 in a cycle of 1 ms.
  • the execution cycle of the control task 300 and the initialization task 304 is 1 ms, but the present invention is not limited to this.
  • the main OS 301 activates the diagnostic task 305 at a cycle of 10 ms.
  • the execution cycle of the diagnostic task 305 is 10 ms, but is not limited to this.
  • FIG. 14 is an example of the diagnostic information table 1400 generated by the diagnostic task 305.
  • the diagnosis information table 1400 includes a diagnosis target 1401 and a state 1402 as constituent items.
  • the diagnosis target 1401 is hardware or software to be diagnosed.
  • the state 1402 is information indicating whether the diagnosis target 1401 is in a normal state or an abnormal state.
  • the diagnostic task 305 monitors whether each of the diagnostic targets 1401 in the diagnostic information table 1400 is operating normally at a cycle of 10 ms. Accordingly, the diagnostic task 305 updates the state 1402 of the diagnostic information table 1400.
  • the diagnostic task 305 confirms whether the hardware of the electronic control device 1000 is operating normally.
  • the hardware here includes a main CPU core 100, a first CPU core 101, a second CPU core 102, a CAN controller 200a, a first GPIO pin 201a and a second GPIO pin 202a.
  • the diagnostic task 305 has a first accessible area (area of memory 3 accessible by the first CPU core 101) and a second accessible area (area of memory 3 accessible by the second CPU core 102). Check if there is a memory error in.
  • the memory error may be detected by a method such as parity check and CRC (Cyclic Redundancy Check), or may be detected by other methods.
  • the diagnostic task 305 confirms whether the first control software 310 is operating normally.
  • the diagnostic task 305 may determine that an abnormality has occurred in the first control software 310 when the first control software 310 is executing exception handling. Further, the diagnostic task 305 confirms whether the second control software 320 is operating normally.
  • the diagnosis task 305 determines that the diagnosis target 1401 is operating normally, the diagnosis task 305 sets the corresponding state 1402 to "normal". When the diagnosis task 305 determines that an abnormality has occurred in the diagnosis target 1401, the corresponding state 1402 is set to "abnormal”. As a result, the initialization task 304 can confirm whether or not each of the diagnosis targets 1401 is operating normally by referring to the diagnosis information table 1400.
  • the diagnostic information table 1400 is not limited to the above example.
  • the diagnostic task 305 may confirm whether the first sub OS 311 and the second sub OS 321 are operating normally.
  • FIG. 15 is an example of the initialization policy table 1500 held by the initialization task 304.
  • the initialization policy table 1500 includes the target 1501 in which the abnormality has occurred and the initialization policy 1502 as configuration items.
  • the initialization policy 1502 indicates which initialization process is to be executed.
  • the initialization process includes a whole initialization process, a first initialization process, and a second initialization process.
  • the initialization task 304 determines whether or not an abnormality has occurred in the diagnosis target 1401 by referring to the diagnosis information table 1400. When an abnormality has occurred in the diagnosis target 1401, the initialization task 304 refers to the initialization policy table 1500 to set the initialization policy 1502 corresponding to the diagnosis target (that is, the target 1501 in which the abnormality has occurred). get. The initialization task 304 executes the initialization process according to the acquired initialization policy 1502.
  • the initialization task 304 executes the entire initialization process. Further, when the CAN controller 200a has an abnormality, the initialization task 304 executes the entire initialization process.
  • the initialization task 304 executes the first initialization process.
  • the initialization task 304 executes the second initialization process.
  • FIG. 16 is an example of the initialization range table 1600 held by the initialization task 304.
  • the initialization range table 1600 shows which hardware and software each initialization process initializes.
  • the overall initialization process is a process that initializes all hardware and software.
  • the initialization task 304 executes the entire initialization process as follows.
  • the initialization task 304 outputs a reset request signal to the power supply circuit 901 via the self-reset signal output terminal 911.
  • the power supply circuit 901 inputs an external reset signal to the external reset terminal 912 in response to the reset request signal.
  • the microcomputer 900 receives the external reset signal, the microcomputer 900 is restarted. In this way, all the hardware and software on the microcomputer 900 are initialized.
  • the first initialization process is a process for initializing the hardware and software related to the first CPU core 101.
  • the initialization task 304 executes the first initialization process as follows.
  • the initialization task 304 restarts the first CPU core 101.
  • the initialization task 304 restarts the first sub OS 311.
  • the initialization task 304 sends a predetermined start command to the first sub-OS 311.
  • the first sub-OS 311 initializes the first GPIO pin driver 312 according to the start command from the initialization task 304.
  • the first sub OS 311 initializes the first virtual CAN driver 313.
  • the first buffer 313a becomes empty.
  • the first sub OS311 restarts the first control software 310.
  • the first sub OS311 initializes the first accessible area.
  • the second initialization process is a process for initializing the hardware and software related to the second CPU core 102.
  • the initialization task 304 executes the second initialization process as follows.
  • the initialization task 304 restarts the second CPU core 102. Further, the initialization task 304 restarts the second sub OS 321.
  • the initialization task 304 sends a predetermined start command to the second sub OS 321.
  • the second sub OS 321 initializes the second GPIO pin driver 322 according to the start command from the initialization task 304. Further, the second sub OS 321 initializes the second virtual CAN driver 323. As a result, the second buffer 323a becomes empty. Further, the second sub OS 321 restarts the second control software 320. Further, the second sub OS 321 initializes the second accessible area.
  • the initialization task 304 changes the hardware and software to be initialized according to the hardware and software in which the abnormality has occurred. For example, if the hardware and software 1510 (see FIG. 15) related to the first CPU core 101 have an abnormality, the initialization task 304 executes the first initialization process.
  • the initialization task 304 can initialize only the hardware and software 1510 related to the first CPU core 101. While the first initialization process is being executed, the first storage process and the first output process are interrupted. On the other hand, while the first initialization process is being executed, the second virtual CAN driver 323 continues the second storage process, and the control task 300 continues the second output process. Therefore, the second control software 320 can continue to transmit the second peripheral transmission information 720 to the CAN controller 200a.
  • the initialization task 304 executes the second initialization process.
  • the initialization task 304 can initialize only the hardware and software 1520 associated with the second CPU core 102. While the second initialization process is being executed, the second storage process and the second output process are interrupted. On the other hand, while the second initialization process is being executed, the first virtual CAN driver 313 continues the first storage process, and the control task 300 continues the first output process. Therefore, the first control software 310 can continue to transmit the first peripheral transmission information 710 to the CAN controller 200a.
  • the configuration of the electronic control device 1000 according to the fourth embodiment will be described. Hereinafter, the differences from the third embodiment will be mainly described.
  • the memory 3 includes an area for managing the first initialization processing flag and an area for managing the second initialization processing flag.
  • the first initialization processing flag is managed in the first accessible area.
  • the first initialization processing flag takes either a True or False value.
  • the first initialization processing flag is a True value during the period during which the first initialization processing is being executed.
  • the first initialization processing flag is a False value during the period when the first initialization processing is not executed.
  • the first virtual CAN driver 313 executes the first storage processing, and the control task 300 executes the first output processing.
  • the initialization task 304 sets the first initialization processing flag to True when starting the first initialization processing. Therefore, the first virtual CAN driver 313 suspends the first storage process, and the control task 300 suspends the first output process.
  • the initialization task 304 sets the first initialization processing flag to False when the first initialization processing is completed. Therefore, the first virtual CAN driver 313 restarts the first storage process, and the control task 300 restarts the first output process. According to the above configuration, the first storage process and the first output process can be restarted in response to the completion of the first initialization process.
  • the second initialization processing flag is managed in the second accessible area.
  • the second initialization processing flag takes either a True or False value.
  • the second initialization processing flag is a True value during the period during which the second initialization processing is being executed.
  • the second initialization processing flag is a False value during the period when the second initialization processing is not executed.
  • the second virtual CAN driver 323 executes the second storage processing, and the control task 300 executes the second output processing.
  • the initialization task 304 sets the second initialization processing flag to True when starting the second initialization processing. Therefore, the second virtual CAN driver 323 interrupts the second storage process, and the control task 300 interrupts the second output process.
  • the initialization task 304 sets the second initialization processing flag to False when the second initialization processing is completed. Therefore, the second virtual CAN driver 323 restarts the second storage process, and the control task 300 restarts the second output process. According to the above configuration, the second storage process and the second output process can be restarted in response to the completion of the second initialization process.
  • the first virtual CAN driver 313 sets the first initialization processing flag to True when initializing the first buffer 313a.
  • the first virtual CAN driver 313 suspends the first storage process, and the control task 300 suspends the first output process.
  • the first virtual CAN driver 313 sets the first initialization processing flag to False when the initialization of the first buffer 313a is completed. Therefore, the first virtual CAN driver 313 restarts the first storage process, and the control task 300 restarts the first output process.
  • the memory 3 further includes a first dummy buffer.
  • FIG. 17 is a diagram showing the data structure of the first dummy buffer 313b.
  • the first dummy buffer 313b has a ring buffer structure, which is one of the implementations of the First-In-First-Out queue.
  • Each element of the first dummy buffer 313b is a process of waiting for a predetermined time tm (so-called wait process).
  • the substance of the ring buffer is the structure array dummy_buffer_virtio1 [12].
  • the number of elements in the array is set to 12, but the number is not limited to this.
  • the above time tm is from the time when the first control software 310 calls CAN_send_virtio1 (ID, data) to the time when the CAN driver 302 stores the first peripheral transmission information 710 in the internal register 200b of the CAN controller 200a. It is the average value of the processing time. In other words, the time tm is the average value of the time until the first peripheral transmission information 710 arrives at the CAN controller 200a from the first control software 310. When the average value of the above processing times is 50 ms, the time tm in the wait process is set to 50 ms.
  • the first control software 310 transmits the first interruption command to the first virtual CAN driver 313 in the above-mentioned specific situation.
  • the first virtual CAN driver 313 suspends the first storage process in response to the first suspension command.
  • the first virtual CAN driver 313 initializes the first buffer 313a.
  • the first virtual CAN driver 313 acquires the number of the first peripheral transmission information 710 stored in the first buffer 313a before initializing the first buffer 313a. That is, the first virtual CAN driver 313 acquires the number of elements of the array in which the first peripheral transmission information 710 is stored in the first buffer 313a. For example, it is assumed that the first peripheral transmission information 710 is stored in 7 of the 12 elements. In this case, the first virtual CAN driver 313 stores the same number of wait processes in the first dummy buffer 313b.
  • the first virtual CAN driver 313 stores seven wait processes in the first dummy buffer 313b. As shown in FIG. 17, the first virtual CAN driver 313 stores wait processing in each of dummy_buffer_virtio1 [0] to dummy_buffer_virtio1 [6]. Further, the first virtual CAN driver 313 assigns "0" to the index forward at the tip of the buffer and "6" to the index backward at the end of the buffer.
  • control task 300 alternately takes out data from the first dummy buffer 313b and the second buffer 323a. That is, the control task 300 alternately executes the wait process (wait process of 50 ms) and the second output process.
  • the first virtual CAN driver 313 may store the wait process in the first dummy buffer 313b at a predetermined first cycle in a specific situation. As a result, the first virtual CAN driver 313 simulates the timing at which the first control software 310 calls CAN_send_virtio1 (ID, data).
  • the first cycle in which the first virtual CAN driver 313 stores the wait process is the average value of the time intervals in which the first control software 310 calls CAN_send_virtio1 (ID, data).
  • the first cycle is not limited to a fixed cycle, and may be a value calculated according to the Poisson stochastic process using the average value of the time intervals as a parameter.
  • the control task 300 Normally, the control task 300 alternately executes the first output process and the second output process. Therefore, the control task 300 executes the second output process at a substantially constant cycle.
  • the control task 300 since the control task 300 continuously executes the second output process without executing the first output process (see FIG. 11), the second output process is performed. The execution cycle becomes extremely short. According to this example, since the control task 300 alternately executes the wait process and the second output process, the cycle in which the second output process is executed is maintained at a constant cycle.
  • the first control software 310 is software that controls an engine in a hybrid electric vehicle (hereinafter referred to as "HEV").
  • HEV hybrid electric vehicle
  • the first control software 310 is software for generating torque in an engine.
  • the first control software 310 transmits information related to the torque target value to be generated in the engine (opening amount of the intake valve, fuel injection amount, ignition timing, etc.) as the first peripheral transmission information 710.
  • the second control software 320 is software that controls a plurality of power sources (engine and inverter motor) in the HEV.
  • the second control software 320 transmits information regarding the torque target value to be generated in each of the engine and the inverter motor as the second peripheral transmission information 720.
  • the HEV uses the engine as a power source for power generation and the motor as a power source for traveling.
  • software for engine control and software for HEV control are mounted on one microcomputer 900. Therefore, cost reduction can be realized.
  • Example 7 The configuration of the electronic control device 1000 in the seventh embodiment will be described.
  • the first control software 310 is software according to QM (Quality Management) according to the functional safety standard ISO26262.
  • the second control software 320 is software according to ASIL (Automotive Safety Integrity Level) -C.
  • the safety standards required by the second control software 320 are higher than the safety standards required by the first control software 310.
  • the second control software 320 which has a higher safety standard, can continue to transmit the second peripheral transmission information 720 to the CAN controller 200a even in a specific situation in which an abnormality occurs with respect to the first control software 310. Since the abnormality related to the first control software 310 does not affect the second control software 320, the electronic control device 1000 can realize the function of FFI (Freedom From Interference).
  • FFI Freedom From Interference
  • Example 8> The configuration of the electronic control device 1000 in the eighth embodiment will be described.
  • the second control software 320 is configured to perform some of the processing of the first control software 310 in addition to the normal processing (transmission processing of the second peripheral transmission information 720). May be good.
  • the electronic control device 1000 can maintain the processing of both the first control software 310 and the second control software 320 even when a specific situation occurs.
  • the first control software 310 is software that controls the engine as described above.
  • the second control software 320 is software that controls a plurality of power sources (engine and inverter motor) in the HEV as described above.
  • the second control software 320 may further perform a part of the processing of the first control software 310 (output of information related to the torque target value to be generated by the engine) in a specific situation.
  • the second control software 320 may reduce its functionality. For example, the second control software 320 changes the content of the data of the second peripheral transmission information 720, or changes the speed at which normal processing (transmission processing of the second peripheral transmission information 720) is executed. You may. According to the above configuration, it is possible to increase the possibility that the second control software 320 can continue the processing.
  • the first control software 310 is software that controls an engine
  • the second control software 320 is software that controls a plurality of power sources (engine and inverter motor) in an HEV.
  • the second control software 320 may, in certain circumstances, change the target value of the torque generated by the inverter motor to a relatively small value to drive the vehicle with the minimum torque (minimum torque). That is, fail-safe driving may be performed).
  • the vehicle in which the abnormality has occurred can be moved to a safe position.
  • the present invention is not limited to the above-described embodiments, and various designs are designed without departing from the spirit of the present invention described in the claims. You can make changes.
  • the above-described embodiment has been described in detail in order to explain the present invention in an easy-to-understand manner, and is not necessarily limited to the one including all the described configurations.
  • it is possible to replace a part of the configuration of one embodiment with the configuration of another embodiment and it is also possible to add the configuration of another embodiment to the configuration of one embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)
  • Hardware Redundancy (AREA)

Abstract

本発明は、第１の制御ソフトウェアに関する異常が生じた状況においても、第２の制御ソフトウェアがペリフェラル回路を使用して処理を継続することが可能な技術を提供することを課題とする。電子制御装置は、第１の制御ソフトウェア及び第２の制御ソフトウェアを格納するメモリ（３）と、第１の制御ソフトウェア及び第２の制御ソフトウェアを実行するＣＰＵ（１）と、第１の制御ソフトウェア及び第２の制御ソフトウェアによって使用されるペリフェラル回路（２００）と、を備える。メモリは、第１のバッファ（３１３ａ）と、第２のバッファ（３２３ａ）とを更に備える。ＣＰＵは、第１の制御ソフトウェアに関する異常が生じた特定状況において、第１のペリフェラル送信情報の第１のバッファへの格納処理及び第１のペリフェラル送信情報のペリフェラルへ送信処理の少なくとも一方を中断する。

Description

電子制御装置
　本開示は、電子制御装置に関する。
　マイクロコンピュータ（以下、「マイコン」と称呼する）は、ＣＰＵ（Central Processing Unit）、メモリ、及び、ペリフェラル等を備える。ペリフェラルは、マイコンに様々な機能を提供するために１つ以上のペリフェラル回路を含む。特許文献１は、ペリフェラルが異常状態になった場合にペリフェラルを再起動させる装置を開示している。
特開２０１１－１３８４０１号公報
　従来より、複数の制御ソフトウェアが搭載されたマイコンが知られている。サイズ及びコスト等の観点から、マイコン上に搭載されるペリフェラル回路の数に制限がある。従って、複数の制御ソフトウェアが１つのペリフェラル回路を共用する場合がある。
　上記の構成において、複数の制御ソフトウェアのうちの一方（以下、「第１の制御ソフトウェア」と称呼する）に関する異常が生じたと仮定する。このような状況においても、複数の制御ソフトウェアのうちの他方（以下、「第２の制御ソフトウェア」と称呼する）が、ペリフェラル回路を使用して処理を継続することが求められる。特許文献１に記載された装置は、ペリフェラル回路を再起動する。このような構成の場合、第２の制御ソフトウェアは、ペリフェラル回路の再起動が完了するまでペリフェラル回路を使用することができない。従って、第２の制御ソフトウェアが処理を継続できないという課題がある。
　そこで、本開示は、第１の制御ソフトウェアに関する異常が生じた状況においても、第２の制御ソフトウェアがペリフェラル回路を使用して処理を継続することが可能な技術を提供する。
　一以上の実施例において、以下の電子制御装置が提供される。当該電子制御装置は、第１の制御ソフトウェア及び第２の制御ソフトウェアを格納するメモリと、前記第１の制御ソフトウェア及び前記第２の制御ソフトウェアを実行するＣＰＵと、前記第１の制御ソフトウェア及び前記第２の制御ソフトウェアによって使用されるペリフェラル回路とを備える。前記メモリは、第１のバッファと、第２のバッファとを更に備える。前記ＣＰＵは、前記第１の制御ソフトウェアから前記ペリフェラル回路への送信情報である第１のペリフェラル送信情報を前記第１のバッファに格納する第１の格納処理と、前記第２の制御ソフトウェアから前記ペリフェラル回路への送信情報である第２のペリフェラル送信情報を前記第２のバッファに格納する第２の格納処理と、前記第１のバッファから前記ペリフェラル回路へ前記第１のペリフェラル送信情報を出力する第１の出力処理と、前記第２のバッファから前記ペリフェラル回路へ前記第２のペリフェラル送信情報を出力する第２の出力処理とを実行するように構成される。前記ＣＰＵは、前記第１の制御ソフトウェアに関する異常が生じた特定状況において、前記第１の格納処理及び前記第１の出力処理の少なくとも一方を中断し、前記第２の格納処理及び前記第２の出力処理を継続するように構成される。
　上記の構成によれば、電子制御装置は、第１の制御ソフトウェアに関する異常が生じた特定状況においても、第２の制御ソフトウェアに関連する処理（第２の格納処理及び第２の出力処理）を継続することができる。本発明に関連する更なる特徴は、本明細書の記述、添付図面から明らかになるものである。また、上記した以外の、課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
電子制御装置のハードウェア構成を示した図である。 メモリに格納されているソフトウェアの一例を示した図である。 第１のＭＰＵにおける第１のアクセス可能領域に関する設定情報の一例である。 第２のＭＰＵにおける第２のアクセス可能領域に関する設定情報の一例である。 電子制御装置と外部機器との接続関係を示した図である。 ＣＡＮドライバの動作及びＣＡＮコントローラの動作を説明するための図である。 複数のソフトウェア間の入力／出力の関係の一例を示した図である。 第１の制御ソフトウェアが第１のペリフェラル送信情報を送信する場合の処理の流れを説明するための図である。 第１のバッファのデータ構造の一例を示した図である。 第２のバッファのデータ構造の一例を示した図である。 制御タスクの内部に保持される状態遷移図である。 複数のソフトウェア間の入力／出力の関係の別の例を示した図である。 メモリに格納されているソフトウェアの別の例を示した図である。 診断情報テーブルの一例である。 初期化ポリシーテーブルの一例である。 初期化範囲テーブルの一例である。 第１のダミーバッファのデータ構造の一例を示した図である。
　以下、添付図面を参照して複数の実施例について説明する。添付図面は、具体的な実施例を示しているが、本発明の技術的範囲を限定的に解釈するために用いられるものではない。
　以下の複数の実施例は、それぞれ、複数の制御ソフトウェアが搭載された電子制御装置に関する。説明を簡単にするために、２つの制御ソフトウェア（第１の制御ソフトウェア及び第２の制御ソフトウェア）が搭載された電子制御装置の実施例について説明される。しかし、電子制御装置の構成は、これに限定されず、電子制御装置は、他の制御ソフトウェア（例えば、第３の制御ソフトウェア及び第４の制御ソフトウェア）を更に搭載していてもよい。
＜実施例１＞
（全体構成）
　図１は、電子制御装置のハードウェア構成を示した図である。電子制御装置１０００は、マイコン９００と、電源回路９０１とを備える。マイコン９００は、ＣＰＵ１と、ペリフェラル２と、メモリ３と、バス４とを備える。ＣＰＵ１、ペリフェラル２及びメモリ３は、バス４を介して互いに接続されている。従って、ＣＰＵ１は、バス４を介してペリフェラル２及びメモリ３にアクセス可能である。
　メモリ３は、複数のソフトウェアを格納している。ＣＰＵ１は、メモリ３に格納されたソフトウェアを実行する。
　マイコン９００は、更に、自己リセット信号出力端子９１１と、外部リセット端子９１２とを備える。自己リセット信号出力端子９１１及び外部リセット端子９１２は、それぞれ、電源回路９０１に接続されている。マイコン９００は、自己リセット信号出力端子９１１を介して電源回路９０１にリセット要求信号を出力する。電源回路９０１は、リセット要求信号に応じて、外部リセット端子９１２に外部リセット信号を入力する。マイコン９００が外部リセット信号を受け取ると、マイコン９００が再起動される。
（ＣＰＵ）
　ＣＰＵ１は、複数のコアを備える。具体的には、ＣＰＵ１は、メインＣＰＵコア１００と、第１のＣＰＵコア１０１と、第２のＣＰＵコア１０２とを備える。
　第１のＣＰＵコア１０１は、第１のＭＰＵ（Memory Protection Unit）１０１ａを含む。第１のＭＰＵ１０１ａは、第１のＣＰＵコア１０１がアクセス可能なメモリ３の領域（以下、「第１のアクセス可能領域」と称する）に関する設定情報を含む。第１のＭＰＵ１０１ａは、第１のＣＰＵコア１０１が第１のアクセス可能領域にアクセスすることを許可する。第１のＭＰＵ１０１ａは、第１のＣＰＵコア１０１が第１のアクセス可能領域以外の領域にアクセスすることを禁止する。
　第２のＣＰＵコア１０２は、第２のＭＰＵ１０２ａを含む。第２のＭＰＵ１０２ａは、第２のＣＰＵコア１０２がアクセス可能なメモリ３の領域（以下、「第２のアクセス可能領域」と称する）に関する設定情報を含む。第２のＭＰＵ１０２ａは、第２のＣＰＵコア１０２が第２のアクセス可能領域にアクセスすることを許可する。第２のＭＰＵ１０２ａは、第２のＣＰＵコア１０２が第２のアクセス可能領域以外の領域にアクセスすることを禁止する。
　メインＣＰＵコア１００は、メインＯＳ（Operating System）３０１（図２を参照）に関する処理を実行する。第１のＣＰＵコア１０１は、第１の制御ソフトウェア３１０（図２を参照）に関する処理を実行する。第２のＣＰＵコア１０２は、第２の制御ソフトウェア３２０（図２を参照）に関する処理を実行する。
　ＣＰＵ１は上記の構成に限定されない。ＣＰＵ１は４つ以上のＣＰＵコアを備えてもよい。例えば、ＣＰＵ１は、複数の第１のＣＰＵコア１０１を備えてもよい。この場合、複数の第１のＣＰＵコア１０１のそれぞれが、第１のＭＰＵ１０１ａを含む。例えば、ＣＰＵ１は、複数の第２のＣＰＵコア１０２を備えてもよい。この場合、複数の第２のＣＰＵコア１０２のそれぞれが、第２のＭＰＵ１０２ａを含む。
（ペリフェラル）
　ペリフェラル２は、複数のペリフェラル回路を備える。ペリフェラル回路とは、マイコン９００に搭載された構成要素のうち、ＣＰＵ１及びメモリ３以外の回路を指す。ペリフェラル回路の例として、例えば、ＣＡＮ（Controller Area Network）コントローラ、アナログ・デジタル・コンバータ（A/Dコンバータ）、ダイレクト・メモリ・アクセスコントローラ、及び、ＧＰＩＯ（General Purpose Input/Output）等が挙げられる。
　本例において、ペリフェラル２は、共用ペリフェラル回路２００と、第１のペリフェラル回路２０１と、第２のペリフェラル回路２０２とを備える。共用ペリフェラル回路２００は、ＣＡＮコントローラ２００ａを含む。第１のペリフェラル回路２０１は、アナログ用の第１のＧＰＩＯピン２０１ａを含む。第２のペリフェラル回路２０２は、デジタル用の第２のＧＰＩＯピン２０２ａを含む。
　共用ペリフェラル回路２００は、第１の制御ソフトウェア３１０（即ち、第１のＣＰＵコア１０１）及び第２の制御ソフトウェア３２０（即ち、第２のＣＰＵコア１０２）の両方によって使用されるペリフェラル回路である。なお、共用ペリフェラル回路２００は、メインＣＰＵコア１００からもアクセスされる。
　第１のペリフェラル回路２０１は、第１の制御ソフトウェア３１０（即ち、第１のＣＰＵコア１０１）のみによって使用されるペリフェラル回路である。第２のペリフェラル回路２０２は、第２の制御ソフトウェア３２０（即ち、第２のＣＰＵコア１０２）のみによって使用されるペリフェラル回路である。
（ソフトウェア）
　図２は、メモリ３に格納されているソフトウェアを示した図である。メモリ３は、複数のソフトウェアを格納している。メモリ３は、制御タスク３００と、メインＯＳ３０１と、ＣＡＮドライバ３０２とを格納している。メインＣＰＵコア１００は、これらのソフトウェア３００～３０２を実行する。
　メインＣＰＵコア１００によって実行される各ソフトウェアについて説明する。以降の説明において、ソフトウェア３００～３０２が主語として記載される。しかし、ソフトウェア３００～３０２を実行する主体はメインＣＰＵコア１００であるので、主語がメインＣＰＵコア１００に置き換えられてもよい。
　メインＯＳ３０１は、ＣＡＮドライバ３０２を初期化する。ＣＡＮドライバ３０２は、共用ペリフェラル回路２００に対応するソフトウェアであり、ＣＡＮコントローラ２００ａに動作命令を出力するソフトウェアである。
　更に、メインＯＳ３０１は、第１のサブＯＳ３１１及び第２のサブＯＳ３２１を起動する。即ち、メインＯＳ３０１は、第１のサブＯＳ３１１の起動命令を第１のＣＰＵコア１０１に送信し、第２のサブＯＳ３２１の起動命令を第２のＣＰＵコア１０２に送信する。
　更に、メインＯＳ３０１は、１ｍｓの周期で制御タスク３００を起動する。本例では、制御タスク３００の実行周期が１ｍｓであるが、これに限定されない。制御タスク３００の詳細な処理内容は後述する。
　メモリ３は、更に、第１の制御ソフトウェア３１０と、第１のサブＯＳ３１１と、第１のＧＰＩＯピンドライバ３１２と、第１の仮想ＣＡＮドライバ３１３とを格納している。第１のＣＰＵコア１０１は、これらのソフトウェア３１０～３１３を実行する。
　第１のＣＰＵコア１０１によって実行される各ソフトウェアについて説明する。以降の説明において、ソフトウェア３１０～３１３が主語として記載される。しかし、ソフトウェア３１０～３１３を実行する主体は第１のＣＰＵコア１０１であるので、主語が第１のＣＰＵコア１０１に置き換えられてもよい。
　第１のサブＯＳ３１１は、メインＯＳ３０１からの起動命令に従い、第１のＧＰＩＯピンドライバ３１２を初期化する。第１のＧＰＩＯピンドライバ３１２は、第１のＧＰＩＯピン２０１ａに動作命令を出力するソフトウェアである。
　第１のサブＯＳ３１１は、メインＯＳ３０１からの起動命令に従い、第１の制御ソフトウェア３１０を起動する。第１の制御ソフトウェア３１０は、１つ以上のタスクを含む。第１の制御ソフトウェア３１０のタスクは、第１のサブＯＳ３１１によって所定のタイミングで実行される。本例において、第１の制御ソフトウェア３１０は、所定のタイミングで第１のペリフェラル送信情報を送信する。第１のペリフェラル送信情報は、ＣＡＮコントローラ２００ａへ向けて送信される情報である。
　更に、第１のサブＯＳ３１１は、メインＯＳ３０１からの起動命令に従い、第１の仮想ＣＡＮドライバ３１３を初期化する。第１の仮想ＣＡＮドライバ３１３は、第１の制御ソフトウェア３１０とＣＡＮドライバ３０２との間に介在するソフトウェアであって、第１のペリフェラル送信情報を処理するソフトウェアである。具体的には、第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａを含む。第１の仮想ＣＡＮドライバ３１３は、第１のペリフェラル送信情報を第１のバッファ３１３ａに格納する。
　メモリ３は、更に、第２の制御ソフトウェア３２０と、第２のサブＯＳ３２１と、第２のＧＰＩＯピンドライバ３２２と、第２の仮想ＣＡＮドライバ３２３とを格納している。第２のＣＰＵコア１０２は、これらのソフトウェア３２０～３２３を実行する。
　第２のＣＰＵコア１０２によって実行されるソフトウェアについて説明する。以降の説明において、ソフトウェア３２０～３２３が主語として記載される。しかし、ソフトウェア３２０～３２３を実行する主体は第２のＣＰＵコア１０２であるので、主語が第２のＣＰＵコア１０２に置き換えられてもよい。
　第２のサブＯＳ３２１は、メインＯＳ３０１からの起動命令に従い、第２のＧＰＩＯピンドライバ３２２を初期化する。第２のＧＰＩＯピンドライバ３２２は、第２のＧＰＩＯピン２０２ａに動作命令を出力するソフトウェアである。
　第２のサブＯＳ３２１は、メインＯＳ３０１からの起動命令に従い、第２の制御ソフトウェア３２０を起動する。第２の制御ソフトウェア３２０は、１つ以上のタスクを含む。第２の制御ソフトウェア３２０のタスクは、第２のサブＯＳ３２１によって所定のタイミングで実行される。本例において、第２の制御ソフトウェア３２０は、所定のタイミングで第２のペリフェラル送信情報を送信する。第２のペリフェラル送信情報は、ＣＡＮコントローラ２００ａへ向けて送信される情報である。
　更に、第２のサブＯＳ３２１は、メインＯＳ３０１からの起動命令に従い、第２の仮想ＣＡＮドライバ３２３を初期化する。第２の仮想ＣＡＮドライバ３２３は、第２の制御ソフトウェア３２０とＣＡＮドライバ３０２との間に介在するソフトウェアであって、第２のペリフェラル送信情報を処理するソフトウェアである。具体的には、第２の仮想ＣＡＮドライバ３２３は、第２のバッファ３２３ａを含む。第２の仮想ＣＡＮドライバ３２３は、第２のペリフェラル送信情報を第２のバッファ３２３ａに格納する。
（第１のＭＰＵにおける設定情報）
　図３は、第１のＭＰＵ１０１ａにおける第１のアクセス可能領域に関する設定情報を示した図である。第１のＣＰＵコア１０１は、ソフトウェア３１０～３１３の格納領域に対して読み取り権及び書き込み権を有する。第１のＣＰＵコア１０１は、ソフトウェア３１０～３１３の格納領域以外の領域に対して読み取り権及び書き込み権を有していない。これにより、第１の制御ソフトウェア３１０（即ち、第１のＣＰＵコア１０１）が、メインＯＳ３０１及び第２の制御ソフトウェア３２０に影響を与えることを防止できる。
（第２のＭＰＵにおける設定情報）
　図４は、第２のＭＰＵ１０２ａにおける第２のアクセス可能領域に関する設定情報を示した図である。第２のＣＰＵコア１０２は、ソフトウェア３２０～３２３の格納領域に対して読み取り権及び書き込み権を有する。第２のＣＰＵコア１０２は、ソフトウェア３２０～３２３の格納領域以外の領域に対して読み取り権及び書き込み権を有していない。これにより、第２の制御ソフトウェア３２０（即ち、第２のＣＰＵコア１０２）が、メインＯＳ３０１及び第１の制御ソフトウェア３１０に影響を与えることを防止できる。
　なお、メインＣＰＵコア１００は、メモリ３の全ての領域にアクセスすることができる。
（外部の制御装置との接続構成）
　図５は、電子制御装置１０００と外部機器との接続関係を示した図である。以下では、第１の制御ソフトウェア３１０及び第２の制御ソフトウェア３２０のそれぞれの処理内容について説明する。
・第１の制御ソフトウェア
　複数のセンサ５１１及び複数のアクチュエータ５１２は、電子制御装置１０００の外部に配置されている。複数のセンサ５１１及び複数のアクチュエータ５１２は、それぞれ、第１のＧＰＩＯピン２０１ａに接続されている。
　第１の制御ソフトウェア３１０は、第１のＧＰＩＯピン２０１ａにアクセスして、複数のアクチュエータ５１２のそれぞれに対してアナログ信号を入力する。更に、第１の制御ソフトウェア３１０は、第１のＧＰＩＯピン２０１ａを介して、複数のセンサ５１１のそれぞれからアナログ信号を受け取る。第１の制御ソフトウェア３１０は、これらのアナログ信号に基づいて、第１のペリフェラル送信情報を送信する。
　本例において、第１のペリフェラル送信情報は、第１の制御ソフトウェア３１０から他の電子制御装置５４０のそれぞれに対して送信されるＣＡＮメッセージである。なお、第１のペリフェラル送信情報は、後述するように、第１のバッファ３１３ａを介して、ＣＡＮコントローラ２００ａに出力される。ＣＡＮコントローラ２００ａは、第１のペリフェラル送信情報を受け取る。ＣＡＮコントローラ２００ａは、第１のペリフェラル送信情報を物理的信号に変換し、当該物理的信号をＣＡＮバス５３０を介して他の電子制御装置５４０に対して送信する。
・第２の制御ソフトウェア
　複数のセンサ５２１及び複数のアクチュエータ５２２は、電子制御装置１０００の外部に配置されている。複数のセンサ５２１及び複数のアクチュエータ５２２は、それぞれ、第２のＧＰＩＯピン２０２ａに接続されている。
　第２の制御ソフトウェア３２０は、第２のＧＰＩＯピン２０２ａにアクセスして、複数のアクチュエータ５２２のそれぞれに対してデジタル信号を入力する。更に、第２の制御ソフトウェア３２０は、第２のＧＰＩＯピン２０２ａを介して、複数のセンサ５２１のそれぞれからデジタル信号を受け取る。第２の制御ソフトウェア３２０は、これらのデジタル信号に基づいて、第２のペリフェラル送信情報を送信する。
　本例において、第２のペリフェラル送信情報は、第２の制御ソフトウェア３２０から他の電子制御装置５４０のそれぞれに対して送信されるＣＡＮメッセージである。なお、第２のペリフェラル送信情報は、後述するように、第２のバッファ３２３ａを介して、ＣＡＮコントローラ２００ａに出力される。ＣＡＮコントローラ２００ａは、第２のペリフェラル送信情報を受け取る。ＣＡＮコントローラ２００ａは、第２のペリフェラル送信情報を物理的信号に変換し、当該物理的信号をＣＡＮバス５３０を介して他の電子制御装置５４０に対して送信する。
（ＣＡＮドライバ及びＣＡＮコントローラの動作）
　図６は、ＣＡＮドライバ３０２の動作及びＣＡＮコントローラ２００ａの動作の概要を示した図である。以下では、第１の制御ソフトウェア３１０が第１のペリフェラル送信情報を送信した場合について説明する。ＣＡＮドライバ３０２は、ＣＡＮコントローラ２００ａの内部レジスタ２００ｂの所定の場所に第１のペリフェラル送信情報を格納する。ＣＡＮコントローラ２００ａは、第１のペリフェラル送信情報を所定のＣＡＮプロトコルに従いＣＡＮフレーム６００に格納する。そして、ＣＡＮコントローラ２００ａは、ＣＡＮフレーム６００を物理的信号に変換してＣＡＮバス５３０に送信する。
　なお、第２の制御ソフトウェア３２０が第２のペリフェラル送信情報を送信した場合についても、ＣＡＮドライバ３０２及びＣＡＮコントローラ２００ａは、上記と同じように動作する。
（ソフトウェアの動作）
　図７は、複数のソフトウェア間の入力／出力の関係を示した図である。本例によれば、ＣＡＮドライバ３０２の前段に、２つの仮想的なＣＡＮドライバ（即ち、第１の仮想ＣＡＮドライバ３１３及び第２の仮想ＣＡＮドライバ３２３）が存在する。第１の制御ソフトウェア３１０及び第２の制御ソフトウェア３２０が、それぞれ、第１の仮想ＣＡＮドライバ３１３及び第２の仮想ＣＡＮドライバ３２３を使用する。制御タスク３００は、第１の仮想ＣＡＮドライバ３１３及び第２の仮想ＣＡＮドライバ３２３に交互にアクセスして、第１のペリフェラル送信情報７１０及び第２のペリフェラル送信情報７２０を交互にＣＡＮドライバ３０２に出力する。これにより、第１の制御ソフトウェア３１０の処理と第２の制御ソフトウェア３２０の処理とを分離しながら、１つのＣＡＮドライバ３０２を使用することができる。
　具体的には、第１の制御ソフトウェア３１０は、第１のペリフェラル送信情報７１０を第１の仮想ＣＡＮドライバ３１３に送信する。第１の仮想ＣＡＮドライバ３１３は、第１のペリフェラル送信情報７１０を第１のバッファ３１３ａに格納する。
　第２の制御ソフトウェア３２０は、第２のペリフェラル送信情報７２０を第２の仮想ＣＡＮドライバ３２３に送信する。第２の仮想ＣＡＮドライバ３２３は、第２のペリフェラル送信情報７２０を第２のバッファ３２３ａに格納する。
　制御タスク３００は、第１のバッファ３１３ａから第１のペリフェラル送信情報７１０を取り出し、第１のペリフェラル送信情報７１０をＣＡＮドライバ３０２に出力する。
　制御タスク３００は、第２のバッファ３２３ａから第２のペリフェラル送信情報７２０を取り出し、第２のペリフェラル送信情報７２０をＣＡＮドライバ３０２に出力する。
　以下、図７に示した各種ソフトウェアの具体的な処理内容について説明する。
・第１の制御ソフトウェア
　図８は、第１の制御ソフトウェア３１０が第１のペリフェラル送信情報７１０を送信する場合の処理の流れを説明する図である。第１の制御ソフトウェア３１０は、第１のペリフェラル送信情報７１０として、ＣＡＮメッセージID及びデータを指定する。第１の制御ソフトウェア３１０は、CAN_send_virtio1(ID, data)をコールする。CAN_send_virtio1(ID, data)は、第１のペリフェラル送信情報７１０を第１の仮想ＣＡＮドライバ３１３へ送信するコマンドである。第１のペリフェラル送信情報７１０は、ＣＡＮメッセージID７１１及びデータ７１２を含む。
・第１の仮想ＣＡＮドライバ
　第１の制御ソフトウェア３１０がCAN_send_virtio1(ID, data)をコールすると、第１の仮想ＣＡＮドライバ３１３は、第１のペリフェラル送信情報７１０を受け取る。第１の仮想ＣＡＮドライバ３１３は、第１のペリフェラル送信情報７１０を第１のバッファ３１３ａに格納する。
・第２の制御ソフトウェア
　第２の制御ソフトウェア３２０が第２のペリフェラル送信情報７２０を送信する場合についても同様である。第２の制御ソフトウェア３２０は、第２のペリフェラル送信情報７２０として、ＣＡＮメッセージID及びデータを指定する。第２の制御ソフトウェア３２０は、CAN_send_virtio2(ID, data)をコールする。CAN_send_virtio2(ID, data)は、第２のペリフェラル送信情報７２０を第２の仮想ＣＡＮドライバ３２３へ送信するコマンドである。図７に示すように、第２のペリフェラル送信情報７２０は、ＣＡＮメッセージID７２１及びデータ７２２を含む。
・第２の仮想ＣＡＮドライバ
　第２の制御ソフトウェア３２０がCAN_send_virtio2(ID, data)をコールすると、第２の仮想ＣＡＮドライバ３２３は、第２のペリフェラル送信情報７２０を受け取る。第２の仮想ＣＡＮドライバ３２３は、第２のバッファ３２３ａに第２のペリフェラル送信情報７２０を格納する。
・第１のバッファ
　図９は、第１のバッファ３１３ａのデータ構造を示した図である。第１のバッファ３１３ａは、First-In-First-Outキューの実装の１つであるリングバッファ構造を有する。第１のバッファ３１３ａの各要素は、ＣＡＮメッセージIDとデータの組からなる構造体である。リングバッファの実体は、構造体配列buffer_virtio1[12]である。なお、ここでは説明の都合上、配列の要素数を１２としているが、これに限定されない。
　第１の制御ソフトウェア３１０がCAN_send_virtio1(ID, data)をコールすると、第１の仮想ＣＡＮドライバ３１３は、バッファ終端位置を表すインデックスbackwardを以下のように演算する（backward←(backward + 1) % 12）。ここで、「%」は、(backward + 1)を１２で割ったときの余りを求める演算子である。なお、インデックスbackwardが配列終端（backward = 11）である場合、第１の仮想ＣＡＮドライバ３１３は、backwardに「０」を代入する。第１の仮想ＣＡＮドライバ３１３は、第１のペリフェラル送信情報７１０をbuffer_virtio1[backward]に格納する。このように、第１の仮想ＣＡＮドライバ３１３は、第１のペリフェラル送信情報７１０を第１のバッファ３１３ａの最後尾に格納する。以降において、このような第１のペリフェラル送信情報７１０の格納処理は、「第１の格納処理」と称呼される。
・第２のバッファ
　図１０は、第２のバッファ３２３ａのデータ構造を示した図である。第２のバッファ３２３ａは、First-In-First-Outキューの実装の１つであるリングバッファ構造を有する。第２のバッファ３２３ａの各要素はＣＡＮメッセージIDとデータの組からなる構造体である。リングバッファの実体は、構造体配列buffer_virtio2[12]である。なお、ここでは説明の都合上、配列の要素数を１２としているが、これに限定されない。
　第２の制御ソフトウェア３２０がCAN_send_virtio2(ID, data)をコールすると、第２の仮想ＣＡＮドライバ３２３は、バッファ終端位置を表すインデックスbackwardを以下のように演算する（backward←(backward + 1) % 12）。なお、インデックスbackwardが配列終端（backward = 11）である場合、第２の仮想ＣＡＮドライバ３２３は、backwardに「０」を代入する。第２の仮想ＣＡＮドライバ３２３は、第２のペリフェラル送信情報７２０をbuffer_virtio2[backward]に格納する。このように、第２の仮想ＣＡＮドライバ３２３は、第２のペリフェラル送信情報７２０を第２のバッファ３２３ａの最後尾に格納する。以降において、このような第２のペリフェラル送信情報７２０の格納処理は、「第２の格納処理」と称呼される。
・制御タスク
　制御タスク３００は、第１のバッファ３１３ａから第１のペリフェラル送信情報７１０を取り出す。図９に示すように、制御タスク３００は、バッファ先頭位置を示すインデックスforwardに含まれたデータbuffer_virtio1[forward]を、第１のペリフェラル送信情報７１０として取り出す。そして、制御タスク３００は、インデックスforwardを以下のように演算する（forward ← (forward + 1) % 12）。なお、インデックスforwardが配列終端（forward = 11）である場合、制御タスク３００は、インデックスforwardに「０」を代入する。制御タスク３００は、第１のペリフェラル送信情報７１０をＣＡＮドライバ３０２に出力する。以降において、このような第１のペリフェラル送信情報７１０の出力処理は、「第１の出力処理」と称呼される。
　制御タスク３００は、第２のバッファ３２３ａから第２のペリフェラル送信情報７２０を取り出す。図１０に示すように、制御タスク３００は、バッファ先頭位置を示すインデックスforwardに含まれたデータbuffer_virtio2[forward]を、第２のペリフェラル送信情報７２０として取り出す。そして、制御タスク３００は、インデックスforwardを以下のように演算する（forward ← (forward + 1) % 12）。なお、インデックスforwardが配列終端（forward = 11）である場合、制御タスク３００は、インデックスforwardに「０」を代入する。制御タスク３００は、第２のペリフェラル送信情報７２０をＣＡＮドライバ３０２に出力する。以降において、このような第２のペリフェラル送信情報７２０の出力処理は、「第２の出力処理」と称呼される。
　図１１は、制御タスク３００の内部に保持される状態遷移図である。制御タスク３００は、上述のように、メインＯＳ３０１によって１ｍｓの周期で起動されるタスクである。制御タスク３００は、第１の出力処理及び第２の出力処理を交互に実行する。
　例えば、いま、制御タスク３００が第１状態Ｓｔ１であると仮定する。この場合、制御タスク３００は、第１の出力処理を実行する。
　制御タスク３００は、第１の出力処理を実行した後に、第２のバッファ３２３ａが空であるか否かを判定する。第２のバッファ３２３ａが空でない場合は、制御タスク３００は、第１状態Ｓｔ１から第２状態Ｓｔ２へと遷移する。一方、第２のバッファ３２３ａが空であり且つ第１のバッファ３１３ａが空でない場合（即ち、第２のバッファ３２３ａのみが空である場合）、制御タスク３００は第１状態Ｓｔ１を維持する。この場合、制御タスク３００は、第１の出力処理を繰り返し実行する。
　なお、制御タスク３００が第１の出力処理を実行した後に、第１のバッファ３１３ａ及び第２のバッファ３２３ａの両方が空である場合、制御タスク３００は、第１状態Ｓｔ１から第３状態Ｓｔ３へと遷移する。この場合、制御タスク３００は、何も動作をしない。その後、第１のバッファ３１３ａが空でない場合（即ち、第１のペリフェラル送信情報７１０が第１のバッファ３１３ａに格納された場合）、制御タスク３００は、第３状態Ｓｔ３から第１状態Ｓｔ１へと遷移する。或いは、第２のバッファ３２３ａが空でない場合（即ち、第２のペリフェラル送信情報７２０が第２のバッファ３２３ａに格納された場合）、制御タスク３００は、第３状態Ｓｔ３から第２状態Ｓｔ２へと遷移する。
　制御タスク３００が、第１状態Ｓｔ１から第２状態Ｓｔ２に遷移したと仮定する。この場合、制御タスク３００は、第２の出力処理を実行する。
　制御タスク３００は、第２の出力処理を実行した後に、第１のバッファ３１３ａが空であるか否かを判定する。第１のバッファ３１３ａが空でない場合は、制御タスク３００は、第２状態Ｓｔ２から第１状態Ｓｔ１へと遷移する。一方、第１のバッファ３１３ａが空であり且つ第２のバッファ３２３ａが空でない場合（即ち、第１のバッファ３１３ａのみが空である場合）、制御タスク３００は第２状態Ｓｔ２を維持する。この場合、制御タスク３００は、第２の出力処理を繰り返し実行する。
　なお、制御タスク３００が第２の出力処理を実行した後に、第１のバッファ３１３ａ及び第２のバッファ３２３ａの両方が空である場合、制御タスク３００は、第１状態Ｓｔ１から第３状態Ｓｔ３へと遷移する。この場合、制御タスク３００は、何も動作をしない。その後、第１のバッファ３１３ａが空でない場合（即ち、第１のペリフェラル送信情報７１０が第１のバッファ３１３ａに格納された場合）、制御タスク３００は、第３状態Ｓｔ３から第１状態Ｓｔ１へと遷移する。或いは、第２のバッファ３２３ａが空でない場合（即ち、第２のペリフェラル送信情報７２０が第２のバッファ３２３ａに格納された場合）、制御タスク３００は、第３状態Ｓｔ３から第２状態Ｓｔ２へと遷移する。
（本実施例の特徴）
　電子制御装置１０００において、第１の制御ソフトウェア３１０に関する異常が生じ得る。以下、このような状況は、「特定状況」と称呼される。特定状況は、例えば、第１の制御ソフトウェア３１０に異常が生じた状況、並びに、第１の制御ソフトウェア３１０に関するソフトウェア及びハードウェアに異常が生じた状況を含む。
　本例において、特定状況は、以下の（１）～（３）のうちの少なくとも１つが生じた状況を意味する。
　（１）第１の制御ソフトウェア３１０が通常の処理以外の処理（所謂、例外処理）を実行する。ここで、通常の処理は、第１のペリフェラル送信情報７１０の送信処理である。例外処理は、例えば、第１のアクセス可能領域以外へのアクセス（領域外アクセス）、及び、デッドラインミスに関する処理等を含む。
　（２）第１の制御ソフトウェア３１０に関連するソフトウェア（例えば、第１のＧＰＩＯピンドライバ３１２）に異常が生じた。
　（３）第１の制御ソフトウェア３１０に関連するハードウェアに異常が生じた。このようなハードウェアとして、（ａ）ＣＰＵ１及びメモリ３、（ｂ）第１のＧＰＩＯピン２０１ａに接続されたセンサ５１１及びアクチュエータ５２２、並びに、（ｃ）第１のペリフェラル送信情報７１０の送信先である共用ペリフェラル回路２００等が挙げられる。
　第１の制御ソフトウェア３１０は、特定状況において、第１の中断指令を第１の仮想ＣＡＮドライバ３１３に送信する。第１の中断指令は、第１の格納処理を中断する指令、及び、第１のバッファ３１３ａを初期化する指令を含む。第１の仮想ＣＡＮドライバ３１３は、第１の中断指令に応じて、第１の格納処理を中断する（禁止する）。更に、第１の仮想ＣＡＮドライバ３１３は、第１の中断指令に応じて、第１のバッファ３１３ａを初期化する（即ち、第１のバッファ３１３ａを空にする）。第１の仮想ＣＡＮドライバ３１３は、バッファ終端位置を示すインデックスbackwardにバッファ先頭位置を示すインデックスforwardを代入することにより、第１のバッファ３１３ａを初期化することができる。
　このように、第１の仮想ＣＡＮドライバ３１３は、第１の中断指令に応じて、第１の格納処理を中断し、第１のバッファ３１３ａを初期化する。第１のバッファ３１３ａが空になるので、制御タスク３００は、第２状態Ｓｔ２を維持する（図１１を参照）。他の言い方をすれば、制御タスク３００は、第１の出力処理を中断する。一方、制御タスク３００は、第２の格納処理及び第２の出力処理を継続する。
　本実施例によれば、ＣＡＮドライバ３０２の前段に、２つの仮想的なＣＡＮドライバ３１３及び３２３が存在する。第１の制御ソフトウェア３１０及び第２の制御ソフトウェア３２０が、それぞれ、第１の仮想ＣＡＮドライバ３１３及び第２の仮想ＣＡＮドライバ３２３を使用する。制御タスク３００は、第１の仮想ＣＡＮドライバ３１３及び第２の仮想ＣＡＮドライバ３２３に交互にアクセスして、第１のペリフェラル送信情報７１０及び第２のペリフェラル送信情報７２０を交互にＣＡＮドライバ３０２に出力する。このように、第１の制御ソフトウェア３１０の処理と第２の制御ソフトウェア３２０の処理とが分離される。従って、第１の制御ソフトウェア３１０に関する異常が生じた特定状況においても、第２の制御ソフトウェア３２０が、第２の格納処理及び第２の出力処理を継続できる。即ち、第２の制御ソフトウェア３２０が、第２のペリフェラル送信情報７２０のＣＡＮコントローラ２００ａへの送信を継続することができる。
　更に、特定状況において、不適切な第１のペリフェラル送信情報７１０がＣＡＮドライバ３０２に出力される可能性がある。第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａを初期化するので、上記のような問題が生じるのを防ぐことができる。
　本例においては、第１のＣＰＵコア１０１が第１の制御ソフトウェア３１０に関する処理を実行し、第２のＣＰＵコア１０２が第２の制御ソフトウェア３２０に関する処理を実行する。従って、２つのＣＰＵコア１０１及び１０２が互いに独立して処理を継続できる。一方のＣＰＵコアによって実行される処理が、他方のＣＰＵコアによって実行される処理に影響を与えることを防ぐことができる。
　なお、第２の制御ソフトウェア３２０に関する異常が生じた場合でも同様の処理が実行される。第２の制御ソフトウェア３２０は、第２の中断指令を第２の仮想ＣＡＮドライバ３２３に送信する。第２の中断指令は、第２の格納処理を中断する指令、及び、第２のバッファ３２３ａを初期化する指令を含む。第２の仮想ＣＡＮドライバ３２３は、第２の中断指令に応じて、第２の格納処理を中断する（禁止する）。更に、第２の仮想ＣＡＮドライバ３２３は、第２のバッファ３２３ａを初期化する。第２の仮想ＣＡＮドライバ３２３は、バッファ終端位置を示すインデックスbackwardにバッファ先頭位置を示すインデックスforwardを代入することにより、第２のバッファ３２３ａを初期化することができる。
＜実施例２＞
　実施例２における電子制御装置１０００の構成について説明する。以下では、実施例１との違いを中心に説明する。図１２は、本例における複数のソフトウェア間の入力／出力の関係を示した図である。制御タスク３００は、第１の格納処理、第２の格納処理、第１の出力処理及び第２の出力処理の全てを実行するように構成される。
　制御タスク３００は、第１の制御ソフトウェア３１０から第１のペリフェラル送信情報７１０を受け取り、第１の格納処理を実行する。更に、制御タスク３００は、第２の制御ソフトウェア３２０から第２のペリフェラル送信情報７２０を受け取り、第２の格納処理を実行する。
　制御タスク３００は、図１１の状態遷移図に従って、第１の出力処理及び第２の出力処理を実行する。
　第１の制御ソフトウェア３１０は、特定状況において、第３の中断指令を制御タスク３００に送信する。第３の中断指令は、第１の格納処理を中断する指令のみを含む。制御タスク３００は、第３の中断指令に応じて、第１の格納処理を中断する。制御タスク３００は、第１のバッファ３１３ａが空になるまで第１の出力処理を継続する。第１のバッファ３１３ａが空になると、制御タスク３００は、第１の出力処理を中断する。一方、制御タスク３００は、第２の格納処理及び第２の出力処理を継続する。
　上記の構成によれば、特定状況においても、第２の制御ソフトウェア３２０が、第２の格納処理及び第２の出力処理を継続できる。
　別の例において、第３の中断指令は、第１の出力処理を中断する指令のみを含む。制御タスク３００は、第３の中断指令に応じて、第１の出力処理を中断する。制御タスク３００は、第１の格納処理のみを継続してもよい。制御タスク３００は、第１のバッファ３１３ａの配列の要素の全てが埋まるまで、第１の格納処理を継続してもよい。第１のバッファ３１３ａの配列の要素の全てが埋まると、制御タスク３００は、第１の格納処理を中断する。一方、制御タスク３００は、第２の格納処理及び第２の出力処理を継続する。
　更に別の例において、制御タスク３００は、特定状況において第１の格納処理及び第１の出力処理の両方を中断してもよい。従って、第１のバッファ３１３ａ内の第１のペリフェラル送信情報７１０が保持（ホールド）される。
＜実施例３＞
　実施例３における電子制御装置１０００の構成について説明する。以下では、実施例１との違いを中心に説明する。図１３に示すように、本例において、メモリ３は、初期化タスク３０４と、診断タスク３０５とを更に格納している。メインＣＰＵコア１００は、これらのソフトウェア３０４及び３０５を更に実行する。実施例１と同様の構成については、同一の符号を付してその説明を省略する。
　メインＯＳ３０１は、ＣＡＮドライバ３０２を初期化する。メインＯＳ３０１は、１ｍｓの周期で制御タスク３００及び初期化タスク３０４を起動する。本例では、制御タスク３００及び初期化タスク３０４の実行周期が１ｍｓであるが、これに限定されない。
　更に、メインＯＳ３０１は、１０ｍｓの周期で診断タスク３０５を起動する。本例では、診断タスク３０５の実行周期が１０ｍｓであるが、これに限定されない。
（診断情報テーブル）
　図１４は、診断タスク３０５が生成する診断情報テーブル１４００の例である。診断情報テーブル１４００は、構成項目として、診断対象１４０１と、状態１４０２とを含む。診断対象１４０１は、診断の対象となるハードウェア又はソフトウェアである。状態１４０２は、診断対象１４０１が正常な状態又は異常な状態であるかを表す情報である。
　診断タスク３０５は、１０ｍｓの周期で、診断情報テーブル１４００の診断対象１４０１のそれぞれが正常に動作しているかを監視する。それに応じて、診断タスク３０５は、診断情報テーブル１４００の状態１４０２を更新する。
　例えば、診断タスク３０５は、電子制御装置１０００のハードウェアが正常に動作しているかを確認する。ここでのハードウェアは、メインＣＰＵコア１００、第１のＣＰＵコア１０１、第２のＣＰＵコア１０２、ＣＡＮコントローラ２００ａ、第１のＧＰＩＯピン２０１ａ及び第２のＧＰＩＯピン２０２ａを含む。
　更に、診断タスク３０５は、第１のアクセス可能領域（第１のＣＰＵコア１０１がアクセスできるメモリ３の領域）及び第２のアクセス可能領域（第２のＣＰＵコア１０２がアクセスできるメモリ３の領域）にメモリエラーが発生していないかを確認する。メモリエラーは、パリティチェック及びＣＲＣ（Cyclic Redundancy Check）等の方法で検出されてもよいし、これ以外の方法で検出されてもよい。
　診断タスク３０５は、第１の制御ソフトウェア３１０が正常に動作しているかを確認する。診断タスク３０５は、第１の制御ソフトウェア３１０が例外処理を実行している場合、第１の制御ソフトウェア３１０に異常が生じていると判定してもよい。更に、診断タスク３０５は、第２の制御ソフトウェア３２０が正常に動作しているかを確認する。
　診断タスク３０５は、診断対象１４０１が正常に動作していると判定した場合、対応する状態１４０２を「正常」に設定する。診断タスク３０５は、診断対象１４０１に異常が生じていると判定した場合、対応する状態１４０２を「異常」に設定する。これにより、初期化タスク３０４は、診断情報テーブル１４００を参照することにより、診断対象１４０１のそれぞれが正常に動作しているか否かを確認することができる。
　なお、診断情報テーブル１４００は、上記の例に限定されない。診断タスク３０５は、第１のサブＯＳ３１１及び第２のサブＯＳ３２１がそれぞれ正常に動作しているかを確認してもよい。
　図１５は、初期化タスク３０４が保持する初期化ポリシーテーブル１５００の例である。初期化ポリシーテーブル１５００は、構成項目として、異常が生じている対象１５０１と、初期化ポリシー１５０２とを含む。初期化ポリシー１５０２は、どの初期化処理を実行するかを表す。本例において、初期化処理は、全体初期化処理、第１の初期化処理、及び、第２の初期化処理を含む。
　初期化タスク３０４は、診断情報テーブル１４００を参照することにより、診断対象１４０１に異常が生じているかを判定する。診断対象１４０１に異常が生じている場合、初期化タスク３０４は、初期化ポリシーテーブル１５００を参照することにより、その診断対象（即ち、異常が生じている対象１５０１）に対応する初期化ポリシー１５０２を取得する。初期化タスク３０４は、当該取得した初期化ポリシー１５０２に従って、初期化処理を実行する。
　メインＣＰＵコア１００に異常が生じている場合、初期化タスク３０４は、全体初期化処理を実行する。更に、ＣＡＮコントローラ２００ａに異常が生じている場合、初期化タスク３０４は、全体初期化処理を実行する。
　一方、「第１のＣＰＵコア１０１に関連するハードウェア及びソフトウェア１５１０」に異常が生じている場合、初期化タスク３０４は、第１の初期化処理を実行する。
　更に、「第２のＣＰＵコア１０２に関連するハードウェア及びソフトウェア１５２０」に異常が生じている場合、初期化タスク３０４は、第２の初期化処理を実行する。
　図１６は、初期化タスク３０４が保持する初期化範囲テーブル１６００の例である。初期化範囲テーブル１６００は、各初期化処理が、どのハードウェア及びソフトウェアを初期化するかを表す。
　全体初期化処理は、全てのハードウェア及びソフトウェアを初期化する処理である。初期化タスク３０４は、以下のように全体初期化処理を実行する。初期化タスク３０４は、自己リセット信号出力端子９１１を介して電源回路９０１にリセット要求信号を出力する。電源回路９０１は、リセット要求信号に応じて、外部リセット端子９１２に外部リセット信号を入力する。マイコン９００が外部リセット信号を受け取ると、マイコン９００が再起動される。このように、マイコン９００上の全てのハードウェア及びソフトウェアが初期化される。
　第１の初期化処理は、第１のＣＰＵコア１０１に関連するハードウェア及びソフトウェアを初期化する処理である。初期化タスク３０４は、以下のように第１の初期化処理を実行する。初期化タスク３０４は、第１のＣＰＵコア１０１を再起動する。更に、初期化タスク３０４は、第１のサブＯＳ３１１を再起動する。その後、初期化タスク３０４は、第１のサブＯＳ３１１に所定の起動命令を送信する。第１のサブＯＳ３１１は、初期化タスク３０４からの起動命令に従い、第１のＧＰＩＯピンドライバ３１２を初期化する。更に、第１のサブＯＳ３１１は、第１の仮想ＣＡＮドライバ３１３を初期化する。これにより、第１のバッファ３１３ａが空になる。更に、第１のサブＯＳ３１１は、第１の制御ソフトウェア３１０を再起動する。更に、第１のサブＯＳ３１１は、第１のアクセス可能領域を初期化する。
　第２の初期化処理は、第２のＣＰＵコア１０２に関連するハードウェア及びソフトウェアを初期化する処理である。初期化タスク３０４は、以下のように第２の初期化処理を実行する。初期化タスク３０４は、第２のＣＰＵコア１０２を再起動する。更に、初期化タスク３０４は、第２のサブＯＳ３２１を再起動する。その後、初期化タスク３０４は、第２のサブＯＳ３２１に所定の起動命令を送信する。第２のサブＯＳ３２１は、初期化タスク３０４からの起動命令に従い、第２のＧＰＩＯピンドライバ３２２を初期化する。更に、第２のサブＯＳ３２１は、第２の仮想ＣＡＮドライバ３２３を初期化する。これにより、第２のバッファ３２３ａが空になる。更に、第２のサブＯＳ３２１は、第２の制御ソフトウェア３２０を再起動する。更に、第２のサブＯＳ３２１は、第２のアクセス可能領域を初期化する。
　以上のように、初期化タスク３０４は、異常が生じたハードウェア及びソフトウェアに応じて、初期化するハードウェア及びソフトウェアを変更する。例えば、第１のＣＰＵコア１０１に関連するハードウェア及びソフトウェア１５１０（図１５を参照）に異常が生じている場合、初期化タスク３０４は、第１の初期化処理を実行する。初期化タスク３０４は、第１のＣＰＵコア１０１に関連するハードウェア及びソフトウェア１５１０のみを初期化することができる。第１の初期化処理が実行されている間、第１の格納処理及び第１の出力処理は中断される。一方、第１の初期化処理が実行されている間、第２の仮想ＣＡＮドライバ３２３は第２の格納処理を継続し、制御タスク３００は第２の出力処理を継続する。従って、第２の制御ソフトウェア３２０が、第２のペリフェラル送信情報７２０のＣＡＮコントローラ２００ａへの送信を継続することができる。
　第２のＣＰＵコア１０２に関連するハードウェア及びソフトウェア１５２０（図１５を参照）に異常が生じている場合、初期化タスク３０４は、第２の初期化処理を実行する。初期化タスク３０４は、第２のＣＰＵコア１０２に関連するハードウェア及びソフトウェア１５２０のみを初期化することができる。第２の初期化処理が実行されている間、第２の格納処理及び第２の出力処理は中断される。一方、第２の初期化処理が実行されている間、第１の仮想ＣＡＮドライバ３１３は第１の格納処理を継続し、制御タスク３００は第１の出力処理を継続する。従って、第１の制御ソフトウェア３１０が、第１のペリフェラル送信情報７１０のＣＡＮコントローラ２００ａへの送信を継続することができる。
＜実施例４＞
　実施例４における電子制御装置１０００の構成について説明する。以下では、実施例３との違いを中心に説明する。メモリ３は、第１の初期化処理フラグを管理する領域と、第２の初期化処理フラグを管理する領域とを備える。
　第１の初期化処理フラグは、第１のアクセス可能領域において管理される。第１の初期化処理フラグは、True又はFalseのいずれかの値を取る。第１の初期化処理フラグは、第１の初期化処理が実行されている期間において、Trueの値である。第１の初期化処理フラグは、第１の初期化処理が実行されていない期間において、Falseの値である。
　第１の初期化処理フラグがFalseの場合、第１の仮想ＣＡＮドライバ３１３は第１の格納処理を実行し、制御タスク３００は第１の出力処理を実行する。初期化タスク３０４は、第１の初期化処理を開始する際に、第１の初期化処理フラグをTrueに設定する。従って、第１の仮想ＣＡＮドライバ３１３は第１の格納処理を中断し、制御タスク３００は第１の出力処理を中断する。初期化タスク３０４は、第１の初期化処理が完了した際に、第１の初期化処理フラグをFalseに設定する。従って、第１の仮想ＣＡＮドライバ３１３は第１の格納処理を再開し、制御タスク３００は第１の出力処理を再開する。上記の構成によれば、第１の初期化処理の完了に応じて、第１の格納処理及び第１の出力処理を再開させることができる。
　第２の初期化処理フラグは、第２のアクセス可能領域において管理される。第２の初期化処理フラグは、True又はFalseのいずれかの値を取る。第２の初期化処理フラグは、第２の初期化処理が実行されている期間において、Trueの値である。第２の初期化処理フラグは、第２の初期化処理が実行されていない期間において、Falseの値である。
　第２の初期化処理フラグがFalseの場合、第２の仮想ＣＡＮドライバ３２３は第２の格納処理を実行し、制御タスク３００は第２の出力処理を実行する。初期化タスク３０４は、第２の初期化処理を開始する際に、第２の初期化処理フラグをTrueに設定する。従って、第２の仮想ＣＡＮドライバ３２３は第２の格納処理を中断し、制御タスク３００は第２の出力処理を中断する。初期化タスク３０４は、第２の初期化処理が完了した際に、第２の初期化処理フラグをFalseに設定する。従って、第２の仮想ＣＡＮドライバ３２３は第２の格納処理を再開し、制御タスク３００は第２の出力処理を再開する。上記の構成によれば、第２の初期化処理の完了に応じて、第２の格納処理及び第２の出力処理を再開させることができる。
　本例は、実施例１に適用されてもよい。例えば、第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａを初期化する際に、第１の初期化処理フラグをTrueに設定する。第１の仮想ＣＡＮドライバ３１３は第１の格納処理を中断し、制御タスク３００は第１の出力処理を中断する。第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａの初期化が完了した際に、第１の初期化処理フラグをFalseに設定する。従って、第１の仮想ＣＡＮドライバ３１３は第１の格納処理を再開し、制御タスク３００は第１の出力処理を再開する。
＜実施例５＞
　実施例５における電子制御装置１０００の構成について説明する。以下では、実施例１との違いを中心に説明する。本例において、メモリ３は、第１のダミーバッファを更に含む。図１７は、第１のダミーバッファ３１３ｂのデータ構造を示した図である。第１のダミーバッファ３１３ｂは、First-In-First-Outキューの実装の１つであるリングバッファ構造を有する。第１のダミーバッファ３１３ｂの各要素は、所定時間ｔｍだけ待機する処理（所謂、wait処理）である。リングバッファの実体は、構造体配列dummy_buffer_virtio1[12]である。なお、ここでは説明の都合上、配列の要素数を１２としているが、これに限定されない。
　上記の時間ｔｍは、第１の制御ソフトウェア３１０がCAN_send_virtio1(ID, data)をコールした時点から、ＣＡＮドライバ３０２が第１のペリフェラル送信情報７１０をＣＡＮコントローラ２００ａの内部レジスタ２００ｂに格納する時点までの処理時間の平均値である。他の言い方をすれば、時間ｔｍは、第１のペリフェラル送信情報７１０が第１の制御ソフトウェア３１０からＣＡＮコントローラ２００ａへ到着するまでの時間の平均値である。上記の処理時間の平均値が５０ｍｓである場合、wait処理における時間ｔｍは、５０ｍｓに設定される。
　第１の制御ソフトウェア３１０は、上述の特定状況において、第１の中断指令を第１の仮想ＣＡＮドライバ３１３に送信する。第１の仮想ＣＡＮドライバ３１３は、第１の中断指令に応じて、第１の格納処理を中断する。第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａを初期化する。
　ここで、第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａを初期化する前に、第１のバッファ３１３ａに格納されている第１のペリフェラル送信情報７１０の数を取得する。即ち、第１の仮想ＣＡＮドライバ３１３は、第１のバッファ３１３ａの中で、第１のペリフェラル送信情報７１０が格納されている配列の要素数を取得する。例えば、１２個の要素の中で、７個の要素に第１のペリフェラル送信情報７１０が格納されていると仮定する。この場合、第１の仮想ＣＡＮドライバ３１３は、同じ数のwait処理を第１のダミーバッファ３１３ｂに格納する。
　第１の仮想ＣＡＮドライバ３１３は、７個のwait処理を第１のダミーバッファ３１３ｂに格納する。図１７に示すように、第１の仮想ＣＡＮドライバ３１３は、dummy_buffer_virtio1[0]～dummy_buffer_virtio1[6]のそれぞれに、wait処理を格納する。更に、第１の仮想ＣＡＮドライバ３１３は、バッファ先端のインデックスforwardに「０」を代入し、バッファ終端のインデックスbackwardに「６」を代入する。
　制御タスク３００は、特定状況において、第１のバッファ３１３ａの代わりに第１のダミーバッファ３１３ｂからデータを取り出す。即ち、制御タスク３００は、第１のダミーバッファ３１３ｂのバッファ先頭位置を示すインデックスforwardに含まれたデータ（即ち、wait処理）を取り出して、wait処理を実行する。そして、制御タスク３００は、インデックスforwardを以下のように演算する（forward ← (forward + 1) % 12）。なお、インデックスforwardが配列終端（forward = 11）である場合、制御タスク３００は、インデックスforwardに「０」を代入する。次に、制御タスク３００は、第２の出力処理を実行する。
　このように、制御タスク３００は、第１のダミーバッファ３１３ｂ及び第２のバッファ３２３ａからデータを交互に取り出す。即ち、制御タスク３００は、wait処理（５０ｍｓの待機処理）と第２の出力処理とを交互に実行する。
　なお、第１の仮想ＣＡＮドライバ３１３は、特定状況において、所定の第１の周期でwait処理を第１のダミーバッファ３１３ｂに格納してもよい。これにより、第１の仮想ＣＡＮドライバ３１３は、第１の制御ソフトウェア３１０がCAN_send_virtio1(ID, data)をコールするタイミングを模擬する。第１の仮想ＣＡＮドライバ３１３がwait処理を格納する第１の周期は、第１の制御ソフトウェア３１０がCAN_send_virtio1(ID, data)をコールする時間間隔の平均値である。なお、第１の周期は、一定の周期に限定されず、上記時間間隔の平均値をパラメータとして用いてポアソン確率過程に従って演算された値であってもよい。
　通常、制御タスク３００は第１の出力処理及び第２の出力処理を交互に実行する。従って、制御タスク３００は、実質的に一定の周期で第２の出力処理を実行する。これに対して、実施例１においては、制御タスク３００が第１の出力処理を実行することなく第２の出力処理を連続して実行する（図１１を参照）ので、第２の出力処理が実行される周期が極端に短くなる。本例によれば、制御タスク３００はwait処理と第２の出力処理を交互に実行するので、第２の出力処理が実行される周期が一定の周期に保たれる。
＜実施例６＞
　実施例６における電子制御装置１０００の構成について説明する。本例において、第１の制御ソフトウェア３１０は、ハイブリッド電気自動車（Hybrid Electric Vehicle、以下、「ＨＥＶ」と称呼する）におけるエンジンを制御するソフトウェアである。例えば、第１の制御ソフトウェア３１０は、エンジンでトルクを発生させるためのソフトウェアである。第１の制御ソフトウェア３１０は、エンジンで発生させるべきトルク目標値に関連する情報（吸気バルブの開口量、燃料噴射量、及び、点火のタイミング等）を第１のペリフェラル送信情報７１０として送信する。
　第２の制御ソフトウェア３２０は、ＨＥＶにおける複数の動力源（エンジン及びインバータ・モータ）を制御するソフトウェアである。第２の制御ソフトウェア３２０はエンジン及びインバータ・モータのそれぞれで発生させるべきトルク目標値に関する情報を第２のペリフェラル送信情報７２０として送信する。
　ＨＥＶは、エンジンを発電用の動力源として使用し、且つ、モータを走行用の動力源として使用する。本例によれば、エンジン制御用のソフトウェア及びＨＥＶ制御用のソフトウェアが１つのマイコン９００に搭載される。従って、低コスト化を実現することができる。
＜実施例７＞
　実施例７における電子制御装置１０００の構成について説明する。本例において、第１の制御ソフトウェア３１０は、機能安全規格ISO26262によるＱＭ(Quality Management)に従ったソフトウェアである。第２の制御ソフトウェア３２０は、ＡＳＩＬ（Automotive Safety Integrity Level）－Ｃに従ったソフトウェアである。
　従って、第２の制御ソフトウェア３２０が要求される安全基準は、第１の制御ソフトウェア３１０が要求される安全基準よりも高い。第１の制御ソフトウェア３１０に関する異常が生じた特定状況においても、より安全基準が高い第２の制御ソフトウェア３２０が、第２のペリフェラル送信情報７２０のＣＡＮコントローラ２００ａへの送信を継続することができる。第１の制御ソフトウェア３１０に関する異常が第２の制御ソフトウェア３２０に影響を与えないので、電子制御装置１０００は、ＦＦＩ(Freedom From Interference)の機能を実現することができる。
＜実施例８＞
　実施例８における電子制御装置１０００の構成について説明する。特定状況において、第２の制御ソフトウェア３２０は、通常の処理（第２のペリフェラル送信情報７２０の送信処理）に加えて、第１の制御ソフトウェア３１０の処理の一部を実行するように構成されてもよい。上記の構成によれば、特定状況が生じた場合においても、電子制御装置１０００は、第１の制御ソフトウェア３１０及び第２の制御ソフトウェア３２０の両方の処理を維持できる。
　例えば、第１の制御ソフトウェア３１０は、上述のように、エンジンを制御するソフトウェアである。第２の制御ソフトウェア３２０は、上述のように、ＨＥＶにおける複数の動力源（エンジン及びインバータ・モータ）を制御するソフトウェアである。この場合、第２の制御ソフトウェア３２０は、特定状況において、第１の制御ソフトウェア３１０の処理の一部（エンジンで発生させるべきトルク目標値に関連する情報の出力）を更に実行してもよい。
＜実施例９＞
　実施例９における電子制御装置１０００の構成について説明する。特定状況において、第２の制御ソフトウェア３２０が自身の機能を低下させてもよい。例えば、第２の制御ソフトウェア３２０は、第２のペリフェラル送信情報７２０のデータの内容を変更したり、又は、通常の処理（第２のペリフェラル送信情報７２０の送信処理）を実行する速度を変更してもよい。上記の構成によれば、第２の制御ソフトウェア３２０が処理を継続できる可能性を高めることができる。
　例えば、第１の制御ソフトウェア３１０は、エンジンを制御するソフトウェアであり、第２の制御ソフトウェア３２０は、ＨＥＶにおける複数の動力源（エンジン及びインバータ・モータ）を制御するソフトウェアである。この構成において、第２の制御ソフトウェア３２０は、特定状況において、インバータ・モータで発生されるトルクの目標値を比較的小さい値に変更して、最低限のトルクで車両を走行させてもよい（即ち、フェールセーフ走行を実行してもよい）。この構成によれば、異常が発生した車両を安全な位置まで移動させることができる。
　以上、本発明の実施形態について詳述したが、本発明は、前記の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の精神を逸脱しない範囲で、種々の設計変更を行うことができるものである。例えば、前記した実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
１０００　電子制御装置
１　ＣＰＵ
２　ペリフェラル
３　メモリ
４　バス
３００　制御タスク
３０１　メインＯＳ
３０２　ＣＡＮドライバ
３１０　第１の制御ソフトウェア
３１１　第１のサブＯＳ
３１２　第１のＧＰＩＯピンドライバ
３１３　第１の仮想ＣＡＮドライバ
３１３ａ　第１のバッファ
３２０　第２の制御ソフトウェア
３２１　第２のサブＯＳ
３２２　第２のＧＰＩＯピンドライバ
３２３　第２の仮想ＣＡＮドライバ
３２３ａ　第２のバッファ

Claims (11)

  1. 　第１の制御ソフトウェア及び第２の制御ソフトウェアを格納するメモリと、
    　前記第１の制御ソフトウェア及び前記第２の制御ソフトウェアを実行するＣＰＵと、
    　前記第１の制御ソフトウェア及び前記第２の制御ソフトウェアによって使用されるペリフェラル回路と
    　を備え、
    　前記メモリは、第１のバッファと、第２のバッファとを更に備え、
    　前記ＣＰＵは、
    　前記第１の制御ソフトウェアから前記ペリフェラル回路への送信情報である第１のペリフェラル送信情報を前記第１のバッファに格納する第１の格納処理と、
    　前記第２の制御ソフトウェアから前記ペリフェラル回路への送信情報である第２のペリフェラル送信情報を前記第２のバッファに格納する第２の格納処理と、
    　前記第１のバッファから前記ペリフェラル回路へ前記第１のペリフェラル送信情報を出力する第１の出力処理と、
    　前記第２のバッファから前記ペリフェラル回路へ前記第２のペリフェラル送信情報を出力する第２の出力処理と
    　を実行するように構成され、
    　前記ＣＰＵは、前記第１の制御ソフトウェアに関する異常が生じた特定状況において、　前記第１の格納処理及び前記第１の出力処理の少なくとも一方を中断し、
    　前記第２の格納処理及び前記第２の出力処理を継続する
    　ように構成された、
    　車両制御装置。
  2. 　請求項１に記載の車両制御装置において、
    　前記ＣＰＵは、前記特定状況において、前記第１のバッファを初期化する第１の初期化処理を実行するように構成された、
    　車両制御装置。
  3. 　請求項２に記載の車両制御装置において、
    　前記ＣＰＵは、前記第１の初期化処理において、前記第１の制御ソフトウェアに関連するソフトウェア及びハードウェアを更に初期化するように構成された、
    　車両制御装置。
  4. 　請求項２に記載の車両制御装置において、
    　前記ＣＰＵは、前記第１の初期化処理が完了した後に、前記第１の格納処理及び前記第１の出力処理を再開するように構成された、
    　車両制御装置。
  5. 　請求項１に記載の車両制御装置において、
    　前記メモリは、第１のダミーバッファを更に備え、
    　前記第１のダミーバッファは、所定時間だけ待機する待機処理を含み、
    　前記ＣＰＵは、前記特定状況において、前記待機処理と前記第２の出力処理とを交互に実行するように構成された、
    　車両制御装置。
  6. 　請求項５に記載の車両制御装置において、
    　前記所定時間は、前記第１のペリフェラル送信情報が前記第１の制御ソフトウェアから前記ペリフェラル回路へ到着するまでの時間の平均値である、
    　車両制御装置。
  7. 　請求項１に記載の車両制御装置において、
    　前記第２の制御ソフトウェアが要求される安全基準は、前記第１の制御ソフトウェアが要求される安全基準よりも高い、
    　車両制御装置。
  8. 　請求項１に記載の車両制御装置において、
    　前記第２の制御ソフトウェアは、前記特定状況において、前記第１の制御ソフトウェアの処理の一部を実行するように構成された、
    　車両制御装置。
  9. 　請求項１に記載の車両制御装置において、
    　前記第１の制御ソフトウェアは、ハイブリッド電気自動車におけるエンジンを制御するソフトウェアであり、
    　前記第２の制御ソフトウェアは、前記ハイブリッド電気自動車における前記エンジン及びモータを制御するソフトウェアである、
    　車両制御装置。
  10. 　請求項１に記載の車両制御装置において、
    　前記特定状況は、
    　前記第１の制御ソフトウェアが通常の処理以外の例外処理を実行する状況、
    　前記第１の制御ソフトウェアに関連するソフトウェアに異常が生じた状況、及び、
    　前記第１の制御ソフトウェアに関連するハードウェアに異常が生じた状況、
    　の少なくとも１つを含む、
    　車両制御装置。
  11. 　請求項１に記載の車両制御装置において、
    　前記ＣＰＵは、第１のＣＰＵコア及び第２のＣＰＵコアを少なくとも含み、
    　前記第１のＣＰＵコアは、前記第１の制御ソフトウェアを実行するように構成され、
    　前記第２のＣＰＵコアは、前記第２の制御ソフトウェアを実行するように構成された、　車両制御装置。
PCT/JP2021/033207 2020-12-23 2021-09-09 電子制御装置 Ceased WO2022137665A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE112021005326.4T DE112021005326T5 (de) 2020-12-23 2021-09-09 Elektronische steuervorrichtung
US18/254,451 US12117943B2 (en) 2020-12-23 2021-09-09 Electronic control device
CN202180079795.8A CN116635274B (zh) 2020-12-23 2021-09-09 电子控制装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020-214322 2020-12-23
JP2020214322A JP7518756B2 (ja) 2020-12-23 2020-12-23 電子制御装置

Publications (1)

Publication Number Publication Date
WO2022137665A1 true WO2022137665A1 (ja) 2022-06-30

Family

ID=82157479

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/033207 Ceased WO2022137665A1 (ja) 2020-12-23 2021-09-09 電子制御装置

Country Status (5)

Country Link
US (1) US12117943B2 (ja)
JP (1) JP7518756B2 (ja)
CN (1) CN116635274B (ja)
DE (1) DE112021005326T5 (ja)
WO (1) WO2022137665A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006039768A (ja) * 2004-07-23 2006-02-09 Mitsubishi Electric Corp 結果同期２重系コンピュータ
JP2012198806A (ja) * 2011-03-22 2012-10-18 Denso Corp 制御装置
JP2018100091A (ja) * 2018-02-07 2018-06-28 日本精工株式会社 電動パワーステアリング装置の制御装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5239636A (en) * 1988-09-09 1993-08-24 Advanced Micro Devices, Inc. Buffer memory subsystem for peripheral controllers
JP2011138401A (ja) 2009-12-28 2011-07-14 Fujitsu Ltd プロセッサシステム、プロセッサシステムの制御方法、及び制御回路
JP6393628B2 (ja) * 2015-01-21 2018-09-19 日立オートモティブシステムズ株式会社 車両制御装置
JP6699422B2 (ja) * 2016-07-19 2020-05-27 アイシン・エィ・ダブリュ株式会社 マルチコア演算装置
CN112638738B (zh) * 2020-09-21 2022-12-06 华为技术有限公司 车辆测速装置的故障诊断方法和故障诊断装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006039768A (ja) * 2004-07-23 2006-02-09 Mitsubishi Electric Corp 結果同期２重系コンピュータ
JP2012198806A (ja) * 2011-03-22 2012-10-18 Denso Corp 制御装置
JP2018100091A (ja) * 2018-02-07 2018-06-28 日本精工株式会社 電動パワーステアリング装置の制御装置

Also Published As

Publication number Publication date
JP2022100138A (ja) 2022-07-05
CN116635274B (zh) 2026-06-30
JP7518756B2 (ja) 2024-07-18
US20240020245A1 (en) 2024-01-18
DE112021005326T5 (de) 2023-09-07
US12117943B2 (en) 2024-10-15
CN116635274A (zh) 2023-08-22

Similar Documents

Publication Publication Date Title
JP5316128B2 (ja) 故障診断システム、電子制御ユニット、故障診断方法
US20030126322A1 (en) Method and apparatus for automatically transferring I/O blocks between a host system and a host adapter
JP3807250B2 (ja) クラスタシステム、コンピュータ及びプログラム
EP2328095A1 (en) Control software for distributed control, and electronic control device
US9563443B2 (en) Information processing device, peripheral device control method, and non-transitory computer readable medium storing filter driver for controlling a power state of a peripheral device
CN116635858A (zh) 一种安全隔离装置和方法
JP2978539B2 (ja) データ転送制御装置
JP2011022934A (ja) 電子制御ユニット、異常検出方法
US20190236035A1 (en) Standardized device driver having a common interface
JP2012128788A (ja) 車両制御装置、データ通信方法
US5712967A (en) Method and system for graceful recovery from a fault in peripheral devices using a variety of bus structures
JP7623887B2 (ja) 電子制御装置及び異常判定方法
JP2022123826A (ja) データ処理装置及びデータ処理システム
JP7518756B2 (ja) 電子制御装置
CN114967635A (zh) 控制装置、方法、存储介质和车辆
JP2004220326A (ja) 制御ソフトウエア構造およびこの構造を用いた制御装置
US20070109308A1 (en) Inter-cpu data transfer device
US10269194B2 (en) Multiprocessor system and vehicle control system
JP2009211537A (ja) 画像処理装置及びアクセス制御方法
JP2001188745A (ja) 制御装置及び制御方法
JP2004199187A (ja) Ｃｐｕ内蔵ｌｓｉ
EP3428799B1 (en) Data access device and access error notification method
JP7707930B2 (ja) 電子制御装置およびコンピュータプログラム
KR20110011528A (ko) 인터럽트 제어 프로세서를 구비한 ｄｍａ 제어기
JP3176472B2 (ja) データ転送方式

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21909823

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18254451

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 202180079795.8

Country of ref document: CN

122 Ep: pct application non-entry in european phase

Ref document number: 21909823

Country of ref document: EP

Kind code of ref document: A1