WO2025115486A1 - 動作制御装置、動作制御プログラムおよび電子制御装置 - Google Patents

動作制御装置、動作制御プログラムおよび電子制御装置 Download PDF

Info

Publication number
WO2025115486A1
WO2025115486A1 PCT/JP2024/038347 JP2024038347W WO2025115486A1 WO 2025115486 A1 WO2025115486 A1 WO 2025115486A1 JP 2024038347 W JP2024038347 W JP 2024038347W WO 2025115486 A1 WO2025115486 A1 WO 2025115486A1
Authority
WO
WIPO (PCT)
Prior art keywords
time
prohibition
executed
processing unit
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
PCT/JP2024/038347
Other languages
English (en)
French (fr)
Inventor
大輝 津田
大井　学
大悟 中山
洸介 西條
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ESOL CO LTD
Denso Corp
Original Assignee
ESOL CO LTD
Denso Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ESOL CO LTD, Denso Corp filed Critical ESOL CO LTD
Publication of WO2025115486A1 publication Critical patent/WO2025115486A1/ja
Anticipated expiration legal-status Critical
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/48—Program initiating; Program switching, e.g. by interrupt
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/52—Program synchronisation; Mutual exclusion, e.g. by means of semaphores

Definitions

  • the present disclosure relates to an operation control device that controls the operation of multiple virtual machines in a time-sharing manner with each virtual machine operating for a predetermined operating time for each operating cycle, an operation control program that is executed by the operation control device, and an electronic control device that includes the operation control device.
  • a vehicle such as an automobile is equipped with multiple electronic control units, which communicate with each other and work together to perform various processes.
  • electronic control units are sometimes abbreviated to ECUs.
  • ECUs electronice control units
  • the functions of multiple ECUs that previously operated independently are mounted as multiple virtual machines on a single microcomputer via a hypervisor.
  • microcomputers are sometimes abbreviated to microcomputers.
  • Patent Documents 1 and 2 disclose techniques related to this problem.
  • Patent Document 1 discloses a method of dividing tasks into several groups and adaptively dividing the processing time of these groups.
  • Patent Document 2 discloses a method of detecting and disabling an interrupt task that occurs during uninterruptible processing, thereby ensuring uninterruptible processing, by executing the interrupt task after the uninterruptible processing is completed.
  • the objective of this disclosure is to provide an operation control device, an operation control program, and an electronic control device that can prevent processes that must be executed continuously from being interrupted by a switching process.
  • the operation control device controls a plurality of virtual machines to operate in a time-sharing manner with each virtual machine operating for a predetermined operating time allocated for each operating cycle.
  • one of the plurality of virtual machines that is currently operating is defined as the operating machine.
  • the operation control device includes a first processing unit capable of executing a switching process to switch the operating machine, and a second processing unit capable of executing a prohibition process to prohibit the execution of the switching process and an authorization process to permit the execution of the switching process.
  • the operating machine transmits a prohibition request when starting a specific process that must be executed continuously, i.e., a process that cannot be interrupted or an atomic process, and transmits an authorization request when the specific process is completed.
  • the above configuration prevents the occurrence of a switching process that switches the operating machine when the operating machine is executing a specific process. In this way, it is possible to guarantee consistent operation until the specific process is completed. Furthermore, with the above configuration, when the second processing unit executes a judgment process and the remaining time is less than the set time, in other words, when it is extremely unlikely that the specific process that is about to be started can be completed before the operating time has elapsed, the prohibition process is not executed and, accordingly, the specific process is not executed. In this way, the specific process that is unlikely to be completed in that operating cycle can be executed in the next operating cycle. In this way, with the above configuration, it is possible to obtain the excellent effect of preventing the specific process, which is a process that must be executed continuously, from being interrupted by a switching process.
  • FIG. 1 is a diagram showing a schematic configuration of an integrated ECU and an ECU according to a first embodiment
  • FIG. 2 is a timing chart showing the operation of each part in a first comparative operation example according to a comparative example
  • FIG. 3 is a timing chart showing the operation of each part in a second comparative operation example according to a comparative example
  • FIG. 4 is a timing chart showing the operation of each unit in a first operation example according to the first embodiment
  • FIG. 5 is a timing chart showing the operation of each unit in a second operation example according to the first embodiment
  • FIG. 1 is a diagram showing a schematic configuration of an integrated ECU and an ECU according to a first embodiment
  • FIG. 2 is a timing chart showing the operation of each part in a first comparative operation example according to a comparative example
  • FIG. 3 is a timing chart showing the operation of each part in a second comparative operation example according to a comparative example
  • FIG. 4 is a timing chart showing the operation of each unit in a first
  • FIG. 6 is a timing chart showing the operation of each unit in a third operation example according to the first embodiment
  • FIG. 7 is a timing chart showing the operation of each unit in a fourth operation example according to the first embodiment
  • FIG. 8 is a timing chart showing the operation of each unit in a fifth operation example according to the first embodiment
  • FIG. 9 is a timing chart showing the operation of each unit in a sixth operation example according to the first embodiment
  • FIG. 10 is a timing chart showing the operation of each unit in a seventh operation example according to the first embodiment
  • FIG. 11 is a timing chart showing the operation of each unit in an eighth operation example according to the first embodiment
  • FIG. 12 is a timing chart showing the operation of each unit in a ninth operation example according to the first embodiment
  • FIG. 13 is a timing chart showing the operation of each part in a third comparative operation example according to a comparative example
  • FIG. 14 is a timing chart showing the operation of each unit in a tenth operation example according to the first embodiment
  • FIG. 15 is a timing chart showing the operation of each part in a fourth comparative operation example according to a comparative example
  • FIG. 16 is a timing chart showing the operation of each part in a fifth comparative operation example according to a comparative example
  • FIG. 17 is a timing chart showing the operation of each unit in an eleventh operation example according to the first embodiment
  • FIG. 18 is a diagram showing a specific example of allocation of the total margin time according to the first embodiment
  • FIG. 19 is a diagram illustrating an example of specific content of each process executed when a prohibition request according to the first embodiment is received;
  • FIG. 20 is a diagram illustrating an example of specific content of each process executed during a prohibited period according to the first embodiment;
  • FIG. 21 is a diagram illustrating an example of specific content of each process executed when an operation time according to a modified example ends;
  • FIG. 22 is a diagram illustrating an example of specific content of each process executed when a permission request according to the first embodiment is received;
  • FIG. 23 is a timing chart showing the operation of each unit in a twelfth operation example according to the second embodiment;
  • FIG. 24 is a timing chart showing the operation of each unit in a thirteenth operation example according to the second embodiment;
  • FIG. 25 is a timing chart showing the operation of each unit in a fourteenth operation example according to the second embodiment;
  • FIG. 26 is a timing chart showing the operation of each unit in the fifteenth operation example according to the third embodiment.
  • the integrated ECU 1 of this embodiment is mounted on a vehicle such as an automobile, and the functions of multiple ECUs that previously operated independently are mounted on the chip of a single microcomputer 3 via a hypervisor 2.
  • multiple ECUs include an engine ECU, an air conditioner ECU, a central gateway ECU, and a body ECU.
  • the functions of the multiple ECUs are mounted in units called virtual machines.
  • the hypervisor may be abbreviated to HV
  • the virtual machine may be abbreviated to VM.
  • the integrated ECU 1 has functions equivalent to two ECUs, ECU-A and ECU-B.
  • the integrated ECU 1 may have functions equivalent to three or more ECUs.
  • the ECU 4 is not integrated into the integrated ECU 1, but is provided independently like a conventional ECU.
  • the integrated ECU 1 and ECU 4 are connected via a bus communication line 5, which allows them to communicate with each other.
  • the ECU 4 is equipped with a microcomputer 6.
  • the microcomputer 6 is equipped with hardware such as a CPU, various storage devices, and various peripherals (not shown).
  • the various peripherals include communication hardware 7 for performing communications. Note that in this specification, hardware is sometimes abbreviated to HW.
  • the ECU 4 is equipped with an ECU-0 application A0 for implementing its main functions. Note that in this specification, application is sometimes abbreviated to app. Also, in the following explanations and drawings, ECU-0 app A0 is sometimes abbreviated to app A0.
  • the ECU 4 is equipped with a communication driver 8.
  • the communication driver 8 controls the communication HW 7 to perform data communication with other ECUs including the integrated ECU 1 via the bus communication line 5.
  • Both the application A0 and the communication driver 8 are realized by the CPU of the microcomputer 6 executing a computer program stored in a non-transitive physical storage medium and performing processing corresponding to the computer program, that is, they are realized by software.
  • the integrated ECU1 has two VMs, VM10 and VM11.
  • the functions of ECU-A are realized by VM10
  • the functions of ECU-B are realized by VM11.
  • VM10 has an ECU-A application A1 for realizing the main functions of ECU-A.
  • VM11 has an ECU-B app A2 for realizing the main functions of ECU-B. Note that in the following explanations and drawings, ECU-A app A1 and ECU-B app A2 may be abbreviated to app A1 and app A2, respectively.
  • HV2 is for running VM10 and VM11 on microcomputer 3.
  • Microcomputer 3 is an example of a computer, and includes a CPU (not shown) as its hardware, various storage devices, various peripherals, and the like.
  • the various peripherals include communication HW12 for communication.
  • the various storage devices include register 13.
  • Register 13 is a register to be protected, that is, a register for which protection settings can be made regarding writing.
  • VM10 includes communication driver 14.
  • VM11 includes communication driver 15.
  • Communication drivers 14 and 15 control communication HW12 to perform data communication with other ECUs, including ECU4, via bus communication line 5.
  • the HV2 functions as an operation control device that controls the operation of each of the multiple VMs 10 and 11 in a time-sharing manner with each VM 10 and 11 operating for a pre-allocated operating time for each operating cycle.
  • the integrated ECU 1 controls the multiple VMs 10 and 11 using time-sharing scheduling that allocates fixed operating times to each of the multiple VMs 10 and 11.
  • the integrated ECU 1 is an example of an electronic control device that includes a microcomputer 3, multiple VMs 10 and 11 operating on the microcomputer 3, and the HV2 that functions as an operation control device. Note that in this specification, the multiple VMs 10 and 11 that are currently operating may be referred to as operating machines.
  • HV2 VM10, and VM11 are all realized by the CPU of microcomputer 3 executing computer programs stored in a non-transient physical storage medium to execute processes corresponding to the computer programs, that is, they are realized by software.
  • the program executed by HV2 corresponds to an operation control program.
  • the HV2 has two functional blocks, a first processing unit 21 and a second processing unit 22.
  • the first processing unit 21 can execute a switching process to switch between operating machines. Each process executed by the first processing unit 21 corresponds to a first process.
  • the second processing unit 22 can execute a prohibition process to prohibit the execution of a switching process and an authorization process to permit the execution of a switching process. Each process executed by the second processing unit 22 corresponds to a second process.
  • the operating machine is configured to send a prohibition request when starting a specific process that must be executed sequentially, that is, a process that cannot be interrupted or is atomic, and to send a permission request when the specific process is completed.
  • “processes that must be executed sequentially” includes not only processes that will not be established and will fail if not executed sequentially, but also processes that will not provide the processing results desired by the user if not executed sequentially, that is, processes for which it is desirable to execute them sequentially.
  • the second processing unit 22 When the second processing unit 22 receives a prohibition request, it executes a judgment process to determine whether the remaining time, which is the time from that point until the time when the operating time has elapsed, is equal to or greater than a predetermined set time. If the result of the judgment process shows that the remaining time is equal to or greater than the set time, the second processing unit 22 executes the prohibition process, and if the remaining time is less than the set time, it does not execute the prohibition process. When the second processing unit 22 receives a permission request, it executes the permission process. The operating machine executes a specific process during the prohibition period, which is the period during which the prohibition process is being executed.
  • the first processing unit 21 is capable of extending the operating time by a predetermined margin time during the prohibited period.
  • the second processing unit 22 executes a judgment process using the time from when the prohibition request is received until the extended operating time has elapsed as the remaining time.
  • an available time that can be used as margin time is set for each operating cycle.
  • the first processing unit 21 extends the operating time by consuming the required margin time from the available time. In other words, the margin time is allocated and used from the available time.
  • the first processing unit 21 can allocate at least a portion of the remaining time to the operating time of the last operating machine. If the specific process has not been completed when the operating time has elapsed during the prohibited period, the first processing unit 21 can determine that an abnormality has occurred and execute one or both of a switching process and a notification process that notifies the outside of the abnormality. If the specific process has not been completed when the operating time has elapsed during the prohibited period, the first processing unit 21 can determine that an abnormality has occurred and execute a notification process that notifies the outside of the abnormality when it receives a permission request in the next or subsequent operating cycles.
  • the first processing unit 21 can cause the operating machine to repeatedly transmit the prohibition request until the prohibition process is executed. If the prohibition process is not executed after the operating machine transmits a prohibition request, the first processing unit 21 can place the operating machine in a standby state for a period until the switching process is executed, or place the operating machine in a state in which it can execute a process different from the specific process. If the prohibition process is not executed after the operating machine transmits a prohibition request, the first processing unit 21 can execute the switching process before the operating time allocated to the operating machine has elapsed.
  • the set time can be set by the following first setting method or second setting method.
  • the first setting method the set time is set in advance for each of multiple virtual machines.
  • the set time can be set based on the time required for a specific process that the virtual machine to be set is likely to execute. If there is one specific process that the virtual machine is likely to execute, the set time can be set to a time corresponding to the time required for that specific process. Note that the time corresponding to the time required for the specific process includes not only the same time as the time required for the specific process, but also a time with a specified margin added to that time.
  • the set time can be set to a time corresponding to the longest time required for each of the multiple specific processes.
  • the longest time required for each of the multiple specific processes does not only include a time equal to the longest time required for each of the multiple specific processes, but also includes a time with a specified margin added to that time.
  • the second processing unit 22 when the second processing unit 22 receives a prohibition request, it sets the set time based on the time required for the specific process to be started by the operating machine that sent the prohibition request.
  • the set time can be set to a time corresponding to the time required for the specific process to be started by the operating machine that sent the prohibition request. Note that the time corresponding to the time required for the specific process includes not only the same time as the time required for the specific process, but also a time with a specified margin added to that time.
  • each term may be expressed differently as follows: Specific process ⁇ Task Switching process starts ⁇ VM switching Operation cycle ⁇ HV cycle Available time ⁇ Overall margin time
  • the HV cycle is 1000 ⁇ sec, and the total margin time is 50 ⁇ sec.
  • the period when the operating machine is VM10 is represented as "VM10”
  • the period when the operating machine is VM11 is represented as “VM11”
  • the period when the first processing unit 21 is executing switching processing is represented as "HV”
  • the period when the operating machine is executing a task is represented as "Task”
  • the period when the microcontroller 3 is transitioning to a mode that reduces power consumption is represented as "Halt”
  • the period when prohibited processing is being executed is represented as "disable”.
  • FIG. 4 The first operation example shown in Fig. 4 is based on the assumption that the VM10 starts executing a task during its operation and completes the task without interruption.
  • the VM10 transmits a prohibition request to the HV2 when a predetermined time has elapsed since the VM10 was switched to the operating machine.
  • the HV2 receives the prohibition request transmitted from the VM10, it executes a determination process.
  • the remaining time plus 50 ⁇ s which is the unused time of the total margin time, is assumed to be longer than the set time.
  • HV2 executes the prohibition process at the time when it receives the prohibition request.
  • VM10 which is the operating machine, starts executing a task.
  • the task is not completed when the initial operating time allocated to VM10 has elapsed. Therefore, the first processing unit 21 extends the operating time until the task being executed by VM10 is completed. In this case, the operating time is extended by consuming 20 ⁇ s from the total margin time.
  • FIG. 9 The sixth operation example shown in Fig. 9 is based on the assumption that the VM10 starts executing a task in the middle of its operation time and completes the task without interrupting it or extending the operation time.
  • the VM10 transmits a prohibition request to the HV2 when a predetermined time has elapsed since the VM10 was switched to the operation machine.
  • the HV2 receives the prohibition request transmitted from the VM10, it executes a determination process.
  • the third comparative operation example shown in FIG. 13 differs from the second comparative operation example in that the contents of the tasks are specified.
  • the communication between the integrated ECU 1 and the ECU 4 is divided into multiple parts, and all communication data must be transmitted or received from the VM 10 to the ECU 4 within a predetermined time, for example, 100 ⁇ s.
  • the VM 10 performs the above-mentioned communication as a task.
  • the communication performed by the VM 10 is divided into two parts.
  • VM10 transmits or receives communication data for the first time to ECU4 when a predetermined time has elapsed since VM10 was switched to the operating machine. Thereafter, the operating time allocated to VM10 ends before VM10 transmits or receives communication data for the second time to ECU4, and therefore the first processing unit 21 performs switching processing. In other words, at this point, communication processing is interrupted. Then, in the next HV cycle, VM10 transmits or receives communication data for the second time to ECU4 when VM10 is switched to the operating machine.
  • VM switching occurs after the first transmission or reception of communication data, and the second transmission or reception of communication data is performed in the next HV cycle, so all communication data is not transmitted or received within 100 ⁇ s.
  • VM 10 since the communication processing is completed normally, VM 10 does not retransmit or rereceive the communication data, and there is a risk that communication between the integrated ECU 1 and ECU 4 will remain unsuccessful.
  • VM 10 executes the first transmission or reception of communication data to ECU 4 in that HV cycle, it can execute the second transmission or reception of communication data to ECU 4 consecutively.
  • all communication data can be transmitted or received within 100 ⁇ sec.
  • communication processing can be completed continuously without being interrupted by VM switching.
  • the write control for the register 13 includes three processes: "protection release” for releasing the protection setting of the register 13, "write” for writing to the register 13, and "protection reset” for resetting the protection setting of the register 13.
  • VM10 starts write control when a predetermined time has elapsed since VM10 was switched to the operating machine. That is, VM10 first performs the protection release process, and then starts the write process. Thereafter, the operating time allocated to VM10 ends before VM10 completes the write process, and so the first processing unit 21 performs the switch process. That is, in this case, VM switching occurs during the write process, which causes the write control to be interrupted.
  • the fifth comparative operation example shown in Fig. 16 differs from the fourth comparative operation example in the timing at which VM switching occurs. That is, in the fifth comparative operation example, the operation time allocated to VM 10 ends after the execution of the protection release process and before the start of the write process, so the switching process is performed by the first processing unit 21. That is, in this case, VM switching occurs after the execution of the protection release process, which causes the write control to be interrupted.
  • VM11 which is subsequently switched to the operating machine, will perform write control on register 13, which will result in another VM11 resetting protection on register 13.
  • VM10 attempts to start a write process at the point when it is switched to the operating machine, but because register 13 is set to protection, it will be unable to perform the write, and as a result, VM10 will not be able to successfully complete its write control on register 13.
  • the eleventh operation example shown in FIG. 17 assumes write control to the register 13 as the specific content of the task, as in the fourth and fifth comparative operation examples.
  • the VM 10 transmits a prohibition request to the HV 2 when a predetermined time has elapsed since the VM 10 was switched to the operating machine.
  • the HV 2 receives the prohibition request transmitted from the VM 10
  • the HV 2 executes a judgment process. In this case, it is assumed that the time obtained by adding 50 ⁇ s, which is the unused time of the total margin time, to the remaining time is longer than the set time. Then, the HV 2 executes the prohibition process at the time when the prohibition request is received.
  • VM10 which is the operating machine, starts write control. That is, VM10 first performs the protection release process, and then starts the write process. Thereafter, the initial operating time allocated to VM10 ends before VM10 completes the write process. In this case, however, the first processing unit 21 extends the operating time until the task being executed by VM10 is completed.
  • VM10 can continuously execute all processes in the write control in that HV cycle.
  • the problems that arise in the fourth and fifth comparison operation examples do not occur, and a series of processes in the write control can be completed normally.
  • write control will be executed during the operation time in the next HV cycle, as in the seventh operation example.
  • case 3 20 ⁇ sec is consumed as margin time in VM10, and 25 ⁇ sec is consumed as margin time in VM11.
  • case 2 is a case in which VM10 and VM11 share the total margin time, with 5 ⁇ sec remaining in the total margin time.
  • case 4 40 ⁇ sec is consumed as margin time in VM10, and the remaining 10 ⁇ sec is unused and remains as a remainder.
  • each process executed when the HV2 receives a prohibition request can be as shown in Fig. 19.
  • the second processing unit 22 executes the process as shown in Fig. 19 every time a prohibition request is received.
  • step S101 it is determined whether or not a time T1 obtained by adding a usable margin time to the time from when the prohibition request is received to when the operation time has elapsed is equal to or greater than a set time T2.
  • step S101 becomes "YES” and the process proceeds to step S102.
  • step S102 prohibition processing is executed. After step S102 is executed, this process ends.
  • time T1 is less than time T2, step S101 becomes "NO”, the prohibition processing of step S102 is not executed, and this process ends.
  • each process executed by the first processing unit 21 of the HV 2 during the prohibition period can be as shown in Fig. 20.
  • the first processing unit 21 executes the process as shown in Fig. 20 at predetermined intervals during the prohibition period.
  • step S201 it is determined whether or not the time T3, which is the margin time consumed during the prohibition period, is equal to or greater than the set margin time T4.
  • step S201 becomes "YES” and the process proceeds to step S202.
  • step S202 a sticking error is issued and notified.
  • Step S202 corresponds to the notification process.
  • step S203 a sticking error flag is set.
  • step S204 switching process is performed.
  • step S204 this process ends.
  • time T3 is less than time T4
  • step S201 becomes "NO" and the process ends without executing steps S202 to S204, i.e., notification process, switching process, and other processes.
  • a sticking error is issued and a sticking error flag is set, and then VM switching is performed, thereby ensuring real-time performance for the entire HV2.
  • issuing a sticking error can be used as a basis for deciding whether to re-execute processing on the VM or to restart the VM.
  • the first processing unit 21 can perform each process according to a modified example shown in FIG. 21, instead of each process according to this embodiment shown in FIG. 20.
  • Each process according to the modified example shown in FIG. 21 is executed when the operation time that is the initial operation time allocated to the VM plus a set margin time, that is, the operation time including the margin, ends, and differs from each process according to this embodiment shown in FIG. 20 in that step S211 is provided instead of step S201.
  • step S211 it is determined whether or not the state is prohibited in which execution of the switching process is prohibited.
  • step S211 becomes "YES” and the process proceeds to step S202.
  • step S211 becomes "NO” and the process proceeds to step S204, where the switching process is performed and then the process ends.
  • a sticking error flag is set, that is, it is determined that the VM is stuck.
  • each process executed when the HV2 receives a permission request can be as shown in FIG. 22.
  • the second processing unit 22 executes the process as shown in FIG. 22 every time a permission request is received.
  • step S301 it is determined whether a sticking error flag is set, in other words, whether the sticking error flag is set.
  • the sticking error flag being set is referred to as an error flag being "on.”
  • step S302 a sticking error is issued and notified.
  • Step S302 corresponds to the notification process. After step S302 is executed, the process proceeds to step S303, where the permission process is executed. After step S303 is executed, this process ends. On the other hand, if the sticking error flag is not set, step S301 becomes "NO", and the process of step S302, i.e., the notification process, is not executed, and the process proceeds to step S303, where the permission process is executed. According to this type of process, by issuing a sticking error even when the permission process is executed, it is possible to clearly indicate that the execution of a specific process has ended after a sticking of the prohibited period has occurred.
  • the HV 2 included in the integrated ECU 1 of this embodiment controls the operation of each of the multiple VMs 10 and 11 in a time-division manner for an operation time previously allocated for each HV cycle, and includes a first processing unit 21 capable of executing a switching process for switching between operating machines, and a second processing unit 22 capable of executing a prohibition process for prohibiting the execution of the switching process and a permission process for permitting the execution of the switching process.
  • the VMs 10 and 11 are configured to transmit a prohibition request when starting a specific process, and transmit a permission request when completing the specific process.
  • the second processing unit 22 When the second processing unit 22 receives a prohibition request, it executes a judgment process to determine whether the remaining time, which is the time from that point until the end of the operating time, is equal to or greater than a predetermined set time, and as a result, if the remaining time is equal to or greater than the set time, it executes the prohibition process, and if the remaining time is less than the set time, it does not execute the prohibition process. In addition, when the second processing unit 22 receives a permission request, it executes the permission process. The operating machine executes a specific process during the prohibition period, which is the period during which the prohibition process is being executed.
  • the above configuration prevents the occurrence of a switching process that switches the operating machine when the operating machine is executing a specific process. In this way, it is possible to ensure consistent operation until the specific process is completed. Furthermore, with the above configuration, when the second processing unit 22 executes a judgment process to determine that the remaining time is less than the set time, in other words, when it is highly unlikely that the specific process that is about to be started can be completed before the operating time has elapsed, the prohibition process is not executed, and therefore the specific process is not executed. In this way, the specific process that is unlikely to be completed in that HV cycle can be executed in the next HV cycle. In this way, the configuration of this embodiment has the excellent effect of preventing the specific process, which is a process that must be executed continuously, from being interrupted by the switching process.
  • the set time can be set in advance for each of the multiple VMs 10 and 11. In this way, the operating time of each VM can be managed uniformly.
  • the set time can be set based on the time required for the specific process started by the operating machine that sent the prohibition request. In this way, in cases where the specific process cannot be completed normally for some reason, it is possible to keep the extension of the operating time to a minimum, thereby ensuring real-time performance.
  • the first processing unit 21 can put the operating machine in a state in which it can execute a process other than the specific process for the period until the switching process is executed. In this way, it becomes possible to execute other processes during the time until the VM switching, and as a result, the resources of the microcomputer 3 can be used effectively. If the prohibition process is not executed after the operating machine sends a prohibition request, the first processing unit 21 can execute the switching process before the operating time allocated to the operating machine has elapsed. In this way, if there is no process that can be executed in the operating machine other than the specific process, it becomes possible to operate another VM, and as a result, the resources of the microcomputer 3 can be used effectively.
  • the second embodiment will be described below with reference to FIGS.
  • a change is made to the setting of the available time in the first embodiment.
  • an available time is set for each of the multiple VMs 10 and 11.
  • the first processing unit 21 extends the operating time by consuming the required margin time from the available time corresponding to the operating machine.
  • the margin time is allocated and used from the available time corresponding to the operating machine.
  • the available time may be referred to as the per-VM margin time.
  • the per-VM margin time is 20 ⁇ sec for both VM10 and VM11.
  • Twelfth Operation Example The twelfth operation example shown in Fig. 23 is based on the assumption that the VM10 starts executing a task during its operation and completes the task without interruption.
  • the VM10 transmits a prohibition request to the HV2 when a predetermined time has elapsed since the VM10 was switched to the operating machine.
  • the HV2 Upon receiving the prohibition request transmitted from the VM10, the HV2 executes a determination process.
  • the remaining time plus 20 ⁇ s which is the per-VM margin time corresponding to VM10, is assumed to be longer than the set time.
  • HV2 executes the prohibition process at the time when the prohibition request is received.
  • VM10 which is the operating machine, starts executing a task.
  • the task is not completed when the initial operating time allocated to VM10 has elapsed. Therefore, the first processing unit 21 extends the operating time until the task being executed by VM10 is completed. In this case, the operating time is extended by consuming only 20 ⁇ s, which is the entire per-VM margin time.
  • VM10 can extend its operation time up to the per-VM margin time, and can continuously complete a task that is an uninterruptible process.
  • VM10 sends a permission request when it completes the task.
  • HV2 ends the prohibition process and executes the permission process. This causes the first processing unit 21 to execute the switching process. In this way, even if the operation time is extended, real-time performance can be ensured by immediately switching VMs after the task is completed.
  • FIG. 24 Thirteenth Operation Example
  • the thirteenth operation example shown in FIG. 24 is based on the assumption that VM10 and VM11 start executing a task during their operation time and complete the task without interruption.
  • the operation of VM10 during its operation time is the same as that of the twelfth operation example.
  • VM11 transmits a prohibition request to HV2 when a predetermined time has elapsed since VM11 was switched to the operating machine.
  • HV2 Upon receiving the prohibition request transmitted from VM11, HV2 executes a determination process.
  • the remaining time plus 20 ⁇ s which is the per-VM margin time corresponding to VM11, is assumed to be longer than the set time.
  • HV2 executes the prohibition process at the time when it receives the prohibition request.
  • VM11 which is the operating machine, begins executing a task. In this case, the task is not completed when the initial operating time assigned to VM11 has elapsed.
  • the first processing unit 21 extends the operating time until the task being executed by VM11 is completed.
  • the operating time is extended by consuming 20 ⁇ s, which is the entire per-VM margin time.
  • VM11 can extend its operating time up to the per-VM margin time, and can continuously complete a task that is an uninterruptible process.
  • VM11 sends a permission request when it completes the task.
  • HV2 receives the permission request, it ends the prohibition process and executes the permission process. This causes the first processing unit 21 to execute the switching process.
  • a margin time is given to each VM, so that a VM with a relatively high priority does not monopolize the margin time, and as a result, the same amount of margin time can be secured for a VM with a relatively low priority.
  • FIG. 25 The fourteenth operation example shown in Fig. 25 is based on the assumption that the VM10 starts executing a task in the middle of its operation time and does not complete the task.
  • the VM10 transmits a prohibition request to the HV2 when a predetermined time has elapsed since the VM10 was switched to the operating machine.
  • the HV2 receives the prohibition request transmitted from the VM10, it executes a determination process.
  • the remaining time plus 20 ⁇ s which is the per-VM margin time corresponding to VM10, is assumed to be longer than the set time.
  • HV2 executes the prohibition process at the time when the prohibition request is received.
  • VM10 which is the operating machine, begins executing a task.
  • the task is not completed when the initial operating time assigned to VM10 has elapsed. Therefore, the first processing unit 21 extends the operating time until the task being executed by VM10 is completed.
  • the first processing unit 21 determines that an abnormality has occurred and executes notification processing.
  • notification processing a fixation error is issued to indicate that it has been detected that the prohibited period during which VM switching is prohibited has become fixed.
  • the first processing unit 21 executes switching processing while VM switching remains in this prohibited state.
  • VM11 sends a prohibition request to HV2 when a predetermined time has elapsed since VM11 was switched to the operating machine.
  • HV2 receives the prohibition request sent from VM11, it executes a judgment process. In this case, it is assumed that the remaining time plus 20 ⁇ s, which is the per-VM margin time corresponding to VM11, is longer than the set time. In this case, HV2 executes the prohibition process at the time it receives the prohibition request. In conjunction with the start of the prohibition process, VM11, which is the operating machine, starts executing the task.
  • the task is not completed when the initial operation time allocated to VM11 has elapsed. Therefore, the first processing unit 21 extends the operation time until the task being executed by VM11 is completed. In this case, the operation time is extended by consuming 20 ⁇ s, which is the entire margin time per VM.
  • VM11 sends a permission request when it completes the task.
  • HV2 receives the permission request, it ends the prohibition process and executes the permission process.
  • the first processing unit 21 executes the switching process.
  • VM10 resumes task execution from the point at which it is switched to the operating machine.
  • the task executed by VM10 is completed when a predetermined time has elapsed since VM10 was switched to the operating machine.
  • VM10 transmits a permission request when the task is completed.
  • HV2 receives the permission request, it ends the prohibition process and executes the permission process.
  • HV2 also executes a notification process, which issues a sticking error. After that, when the operating time allocated to VM10 has elapsed, the first processing unit 21 executes the switching process.
  • a per-VM margin time is set for each of the multiple VMs 10 and 11, and the first processing unit 21 extends the operating time by consuming the required margin time from the per-VM margin time corresponding to the operating machine.
  • all of the VMs 10 and 11 can use the per-VM margin time of 20 ⁇ s as their margin time, regardless of their priority.
  • a margin time is given to each VM, so that a VM with a relatively high priority does not monopolize the margin time, and margin time can be secured for a VM with a relatively low priority as well.
  • the second embodiment will be described below with reference to FIG.
  • a change is made to the first embodiment with respect to the processing content of the first processing unit 21.
  • the first processing unit 21 does not extend the operation time during the prohibited period. That is, in this embodiment, a margin time such as an overall margin time or a margin time for each VM is not set.
  • FIG. 26 The fifteenth operation example shown in Fig. 26 is based on the assumption that the VM10 starts executing a task in the middle of its operation time and does not complete the task.
  • the VM10 transmits a prohibition request to the HV2 when a predetermined time has elapsed since the VM10 was switched to the operating machine.
  • the HV2 receives the prohibition request transmitted from the VM10, it executes a determination process.
  • HV2 executes the prohibition process at the time when the prohibition request is received.
  • VM10 which is the operating machine, starts executing a task.
  • the task has not been completed even when the operating time allocated to VM10 has elapsed due to some reason such as an abnormality or a malfunction.
  • the first processing unit 21 determines that an abnormality has occurred and executes a notification process.
  • a fixation error is issued to indicate that it has been detected that the prohibited period in which VM switching is prohibited has become fixed.
  • the first processing unit 21 executes the switching process while VM switching remains in this prohibited state.
  • VM11 sends a prohibition request to HV2 when a predetermined time has elapsed since VM11 was switched to the operating machine.
  • HV2 receives the prohibition request sent from VM11, it executes a judgment process. In this case, it is assumed that the remaining time is longer than the set time. Then, HV2 executes the prohibition process at the time when it receives the prohibition request.
  • VM11 which is the operating machine, starts executing a task. In this case, the task is completed before the operating time assigned to VM11 has elapsed.
  • VM11 sends a permission request when it completes the task.
  • HV2 receives the permission request, it ends the prohibition process and executes the permission process. As a result, the first processing unit 21 executes the switching process.
  • VM10 resumes task execution from the point at which it is switched to the operating machine.
  • the task executed by VM10 is completed when a predetermined time has elapsed since VM10 was switched to the operating machine.
  • VM10 transmits a permission request when the task is completed.
  • HV2 receives the permission request, it ends the prohibition process and executes the permission process.
  • HV2 also executes a notification process, which issues a sticking error. After that, when the operating time allocated to VM10 has elapsed, the first processing unit 21 executes the switching process.
  • no margin time such as an overall margin time or a margin time for each VM is set.
  • more operating time can be allocated to all of the VMs 10 and 11 than in the above-mentioned embodiments in which a margin time is set.
  • This disclosure is not limited to the HV2 that controls each of the multiple VMs that run on the microcomputer 3 that constitutes the integrated ECU 1 mounted on the vehicle using time-sharing scheduling, but can be applied to general operation control devices that control each of the multiple VMs that run on a computer to run in a time-sharing manner for a predetermined operating time assigned to each operating cycle.
  • control unit and the method described in the present disclosure may be realized by a dedicated computer provided by configuring a processor and memory programmed to execute one or more functions embodied in a computer program.
  • control unit and the method described in the present disclosure may be realized by a dedicated computer provided by configuring a processor with one or more dedicated hardware logic circuits.
  • control unit and the method described in the present disclosure may be realized by one or more dedicated computers configured by combining a processor and memory programmed to execute one or more functions with a processor configured with one or more hardware logic circuits.
  • the computer program may be stored in a computer-readable non-transient tangible recording medium as instructions executed by the computer.
  • An operation control device that performs control for operating each of a plurality of virtual machines (10, 11) in a time-sharing manner for an operation time previously assigned to each operation cycle, If one of the plurality of virtual machines that is currently in operation is defined as an operating machine, A first processing unit (21) capable of executing a switching process for switching the operating machine; a second processing unit (22) capable of executing a prohibition process for prohibiting execution of the switching process and an authorization process for authorization of execution of the switching process; Equipped with the operating machine is adapted to transmit a prohibition request when starting a specific process that must be executed continuously, and to transmit a permission request when completing the specific process; The second processing unit is When the prohibition request is received, a determination process is executed to determine whether or not a remaining time, which is a time from the prohibition request to a time when the operation time has elapsed, is equal to or longer than a predetermined set time.
  • the operation machine is a motion control device that executes the specific process during a prohibited period during which the prohibited process is being executed.
  • the first processing unit is configured to extend the operation time by a predetermined margin time during the prohibited period,
  • the second processing unit executes the judgment process by setting the remaining time as the time from the time the prohibition request is received to the time the extended operation time has elapsed.
  • An available time is set for each operation cycle, The operation control device according to claim 2, wherein the first processing unit extends the operation time by consuming the required margin time from the available time.
  • an available time is set for each of the plurality of virtual machines, The operation control device according to [2], wherein the first processing unit is configured to extend the operation time by consuming the required margin time from the available time corresponding to the operating machine.
  • the first processing unit is configured to allocate at least a portion of the remainder of the available time to the operating time of the operating machine that operates last in the operating cycle when the operating machine that operates last is started.
  • An operation control program to be executed by an operation control device (2) that controls each of a plurality of virtual machines (VM10, VM11) to operate in a time-division manner for an operation time previously assigned to each operation cycle, the program comprising: If one of the plurality of virtual machines that is currently in operation is defined as an operating machine, A first process capable of executing a switching process for switching the operating machine; a second process capable of executing a prohibition process for prohibiting execution of the switching process and an authorization process for authorization of execution of the switching process; Including, the operating machine is adapted to transmit a prohibition request when starting a specific process that must be executed continuously, and to transmit a permission request when completing the specific process; In the second process, When the prohibition request is received, a determination process is executed to determine whether or not a remaining time, which is a time from the prohibition request to a time when the operation time has elapsed, is equal to or longer than a predetermined set time.
  • the operating machine is an operating control program that executes the specific process during a prohibited period during which the prohibited process is being executed.
  • An electronic control device including: a computer (3); a plurality of virtual machines (VM10, VM11) that operate on the computer; and an operation control device (2) that controls each of the plurality of virtual machines to operate in a time-sharing manner for an operation time that is assigned in advance for each operation cycle, If one of the plurality of virtual machines that is currently in operation is defined as an operating machine,
  • the motion control device includes: A first processing unit (21) capable of executing a switching process for switching the operating machine; a second processing unit (22) capable of executing a prohibition process for prohibiting execution of the switching process and an authorization process for authorization of execution of the switching process; Equipped with the operating machine is adapted to transmit a prohibition request when starting a specific process that must be executed continuously, and to transmit a permission request when completing the specific process;
  • the second processing unit is When the prohibition request is received, a determination process is executed to determine whether or not a remaining time, which is a time from the prohibition request to a time when the operation time has elapsed, is equal to or
  • the operating machine is an electronic control device that executes the specific process during a prohibited period during which the prohibited process is being executed.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)

Abstract

第１処理部（２１）は、前記複数の仮想マシンのうち動作中のものである動作マシンを切り替える切り替え処理を実行する。第２処理部（２２）は、前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行する。前記動作マシンは、特定処理を開始する際に禁止要求を送信するとともに前記特定処理を完了した際に許可要求を送信する。前記第２処理部は、前記禁止要求を受信したとき、残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行し、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しない。前記第２処理部は、前記許可要求を受信したとき、前記許可処理を実行する。前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する。

Description

動作制御装置、動作制御プログラムおよび電子制御装置 関連出願の相互参照
　本出願は、２０２３年１１月２８日に出願された日本出願番号２０２３－２００７１３号に基づくもので、ここにその記載内容を援用する。
　本開示は、複数の仮想マシンのそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置、動作制御装置に実行させる動作制御プログラムおよび動作制御装置を備えた電子制御装置に関する。
　例えば自動車などの車両には複数の電子制御装置が搭載されており、それら複数の電子制御装置は、互いの間で通信を行い連携して各種の処理を行うようになっている。なお、本明細書では、電子制御装置のことをＥＣＵと省略することがある。近年、車両に搭載されるＥＣＵの数が増加する傾向であることから、複数のＥＣＵを１つに統合するという方法が実施されている。このように統合されたＥＣＵである統合ＥＣＵでは、従来単独で動作していた複数のＥＣＵの機能が、ハイパーバイザーを介して１つのマイクロコンピュータ上に複数の仮想マシンとして搭載されることになる。なお、本明細書では、マイクロコンピュータのことをマイコンと省略することがある。
　従来のＥＣＵでは１つのマイコンのリソースを１つのＥＣＵの機能により占有可能であったが、統合ＥＣＵでは１つのマイコンのリソースを複数の仮想マシンのそれぞれが使用することになる。そのため、統合ＥＣＵでは、複数の仮想マシンに対して固定の動作時間を割り当てる時分割スケジューリングでの制御が行われる。時分割スケジューリングにより、複数の仮想マシンのそれぞれは、予め割り当てられた動作時間で個別に動作するため、各仮想マシン間で協調してリソースを割り振る必要がなくなる。
　上記構成では、所定の仮想マシンが動作する際、動作時間が消費された段階で動作中の仮想マシンを切り替える切り替え処理が実行されることになる。つまり、上記構成では、動作中の処理が完了したか否かに関係なく切り替え処理が実行される可能性がある。そのため、上記構成では、連続して実行しなければならない処理、つまり中断不可能な処理またはアトミックな処理の実行中に切り替え処理が実行されてしまい、その結果、中断不可能な処理などが中断されてしまう、という課題が生じることになる。
　このような課題に関連する従来技術として特許文献１、２に開示される技術を挙げることができる。まず、特許文献１には、タスクをいくつかのグループに分割し、それらグループの処理時間を適応的に時分割する方法が開示されている。続いて、特許文献２には、中断不可能な処理中に対して割り込みタスクが発生した場合、その割り込みタスクを検出して割り込みタスクを無効化し、中断不可能な処理が完了後に割り込みタスクを実行することで中断不可能な処理を保証する方法が開示されている。
米国特許第９３６１１５６号明細書 特開２００２－１５７１３２号公報
　しかし、特許文献１に開示される従来技術では、中断不可能な処理について考慮されておらず、また、特許文献２に開示される従来技術では、動作中の仮想マシンを切り替える切り替え処理のような事前に割り込みが発生すると分かっている処理と中断不可能な処理が完了せずに割り込みタスクが実行されない可能性があることを考慮できていない。このようなことから、上記従来技術では、上記した課題を解決することが困難であった。
　本開示の目的は、連続して実行しなければならない処理が切り替え処理により中断されることを防止することができる動作制御装置、動作制御プログラムおよび電子制御装置を提供することにある。
　本開示の一態様において、動作制御装置は、複数の仮想マシンのそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う。この場合、前記複数の仮想マシンのうち動作中のものを動作マシンとする。前記動作制御装置は、前記動作マシンを切り替える切り替え処理を実行することができる第１処理部と、前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理部と、を備える。前記動作マシンは、連続して実行しなければならない処理、つまり中断不可能な処理またはアトミックな処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっている。
　前記第２処理部は、前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行する。前記第２処理部は、前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっている。また、前記第２処理部は、前記許可要求を受信したとき、前記許可処理を実行するようになっている。前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する。
　上記構成によれば、動作マシンが特定処理を実行しているときに動作マシンを切り替える切り替え処理が発生することが防止される。このようにすれば、特定処理が完了するまで一貫した動作を保証することができる。また、上記構成によれば、第２処理部が判断処理を実行することにより、残り時間が設定時間未満の時間である場合、言い換えると、これから開始しようとする特定処理を動作時間が経過するまでに完了することができる可能性が極めて低い場合、禁止処理が実行されず、それに伴い、特定処理も実行されない。このようにすれば、その動作周期で完了する見込みのない特定処理を、次の動作周期にて実行することができる。このように、上記構成によれば、連続して実行しなければならない処理である特定処理が切り替え処理により中断されることを防止することができるという優れた効果が得られる。
　本開示についての上記目的およびその他の目的、特徴や利点は、添付の図面を参照しながら下記の詳細な記述により、より明確になる。その図面は、
図１は、第１実施形態に係る統合ＥＣＵおよびＥＣＵの構成を模式的に示す図であり、 図２は、比較例に係る第１比較動作例における各部の動作内容を表すタイミングチャートであり、 図３は、比較例に係る第２比較動作例における各部の動作内容を表すタイミングチャートであり、 図４は、第１実施形態に係る第１動作例における各部の動作内容を表すタイミングチャートであり、 図５は、第１実施形態に係る第２動作例における各部の動作内容を表すタイミングチャートであり、 図６は、第１実施形態に係る第３動作例における各部の動作内容を表すタイミングチャートであり、 図７は、第１実施形態に係る第４動作例における各部の動作内容を表すタイミングチャートであり、 図８は、第１実施形態に係る第５動作例における各部の動作内容を表すタイミングチャートであり、 図９は、第１実施形態に係る第６動作例における各部の動作内容を表すタイミングチャートであり、 図１０は、第１実施形態に係る第７動作例における各部の動作内容を表すタイミングチャートであり、 図１１は、第１実施形態に係る第８動作例における各部の動作内容を表すタイミングチャートであり、 図１２は、第１実施形態に係る第９動作例における各部の動作内容を表すタイミングチャートであり、 図１３は、比較例に係る第３比較動作例における各部の動作内容を表すタイミングチャートであり、 図１４は、第１実施形態に係る第１０動作例における各部の動作内容を表すタイミングチャートであり、 図１５は、比較例に係る第４比較動作例における各部の動作内容を表すタイミングチャートであり、 図１６は、比較例に係る第５比較動作例における各部の動作内容を表すタイミングチャートであり、 図１７は、第１実施形態に係る第１１動作例における各部の動作内容を表すタイミングチャートであり、 図１８は、第１実施形態に係る全体マージン時間の割り振りに関する具体例を示す図であり、 図１９は、第１実施形態に係る禁止要求を受信したときに実行される各処理の具体的な内容の一例を模式的に示す図であり、 図２０は、第１実施形態に係る禁止期間に実行される各処理の具体的な内容の一例を模式的に示す図であり、 図２１は、変形例に係る動作時間が終了したときに実行される各処理の具体的な内容の一例を模式的に示す図であり、 図２２は、第１実施形態に係る許可要求を受信したときに実行される各処理の具体的な内容の一例を模式的に示す図であり、 図２３は、第２実施形態に係る第１２動作例における各部の動作内容を表すタイミングチャートであり、 図２４は、第２実施形態に係る第１３動作例における各部の動作内容を表すタイミングチャートであり、 図２５は、第２実施形態に係る第１４動作例における各部の動作内容を表すタイミングチャートであり、 図２６は、第３実施形態に係る第１５動作例における各部の動作内容を表すタイミングチャートである。
　以下、複数の実施形態について図面を参照して説明する。なお、各実施形態において実質的に同一の構成には同一の符号を付して説明を省略する。
　　　（第１実施形態）
　以下、第１実施形態について図１～図２２を参照して説明する。
　図１に示すように、本実施形態の統合ＥＣＵ１は、例えば自動車などの車両に搭載されるものであり、従来単独で動作していた複数のＥＣＵの機能がハイパーバイザー２を介して１つのマイコン３のチップ上に搭載されたものである。複数のＥＣＵの具体例としては、例えばエンジンＥＣＵ、エアコンＥＣＵ、セントラルゲートウェイＥＣＵおよびボデーＥＣＵなどを挙げることができる。この場合、複数のＥＣＵの機能は、仮想マシンという単位で搭載される。なお、本明細書では、ハイパーバイザーのことをＨＶと省略することがあるとともに、仮想マシンのことをＶＭと省略することがある。
　統合ＥＣＵ１は、ＥＣＵ－ＡおよびＥＣＵ－Ｂという２つのＥＣＵに相当する機能を備えている。統合ＥＣＵ１は、３つ以上のＥＣＵに相当する機能を備えていてもよい。ＥＣＵ４は、統合ＥＣＵ１として統合されることなく、従来のＥＣＵと同様に独立して設けられている。統合ＥＣＵ１およびＥＣＵ４は、バス通信線５を介して接続されており、これにより互いの間で通信を行うことが可能となっている。
　ＥＣＵ４は、マイコン６を備えている。マイコン６は、そのハードウェアとして図示しないＣＰＵ、各種の記憶装置、各種のペリフェラルなどを備えている。各種のペリフェラルには、通信を行うための通信ハードウェア７などが含まれる。なお、本明細書では、ハードウェアのことをＨＷと省略することがある。ＥＣＵ４は、その主たる機能を実現するためのＥＣＵ－０アプリケーションＡ０を備えている。なお、本明細書ではアプリケーションのことをアプリと省略することがある。また、以下の説明および図面では、ＥＣＵ－０アプリＡ０のことをアプリＡ０と省略することがある。
　ＥＣＵ４は、通信ドライバ８を備えている。通信ドライバ８は通信ＨＷ７を制御して統合ＥＣＵ１を含む他のＥＣＵとの間でバス通信線５を介したデータ通信を行うものである。アプリＡ０および通信ドライバ８は、いずれもマイコン６が備えるＣＰＵが非遷移的実体的記憶媒体に格納されているコンピュータプログラムを実行してコンピュータプログラムに対応する処理を実行することにより実現されている、つまりソフトウェアにより実現されている。
　統合ＥＣＵ１は、２つのＶＭ１０およびＶＭ１１を備えている。この場合、ＥＣＵ－Ａの機能はＶＭ１０により実現され、ＥＣＵ－Ｂの機能はＶＭ１１により実現される。ＶＭ１０は、ＥＣＵ－Ａの主たる機能を実現するためのＥＣＵ－ＡアプリケーションＡ１を備えている。ＶＭ１１は、ＥＣＵ－Ｂの主たる機能を実現するためのＥＣＵ－ＢアプリＡ２を備えている。なお、以下の説明および図面では、ＥＣＵ－ＡアプリＡ１およびＥＣＵ－ＢアプリＡ２のことを、それぞれアプリＡ１およびアプリＡ２と省略することがある。
　ＨＶ２は、マイコン３上でＶＭ１０およびＶＭ１１を動作させるためのものである。マイコン３は、コンピュータの一例であり、そのハードウェアとして図示しないＣＰＵ、各種の記憶装置、各種のペリフェラルなどを備えている。各種のペリフェラルには、通信を行うための通信ＨＷ１２などが含まれる。各種の記憶装置には、レジスタ１３が含まれる。レジスタ１３は、プロテクション対象のレジスタ、つまり書き込みに関する保護設定を行うことができるレジスタである。ＶＭ１０は、通信ドライバ１４を備えている。ＶＭ１１は、通信ドライバ１５を備えている。通信ドライバ１４、１５は、通信ＨＷ１２を制御してＥＣＵ４を含む他のＥＣＵとの間でバス通信線５を介したデータ通信を行うものである。
　この場合、ＨＶ２は、複数のＶＭ１０およびＶＭ１１のそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置として機能する。つまり、統合ＥＣＵ１では、複数のＶＭ１０およびＶＭ１１に対して固定の動作時間を割り当てる時分割スケジューリングでの制御が行われる。また、この場合、統合ＥＣＵ１は、マイコン３と、マイコン３上で動作する複数のＶＭ１０およびＶＭ１１と、動作制御装置として機能するＨＶ２と、を備えた電子制御装置の一例である。なお、本明細書では、複数のＶＭ１０およびＶＭ１１のうち動作中のものを動作マシンと称することがある。
　ＨＶ２、ＶＭ１０およびＶＭ１１は、いずれもマイコン３が備えるＣＰＵが非遷移的実体的記憶媒体に格納されているコンピュータプログラムを実行してコンピュータプログラムに対応する処理を実行することにより実現されている、つまりソフトウェアにより実現されている。なお、上記したコンピュータプログラムのうちＨＶ２が実行するプログラムは、動作制御プログラムに相当する。
　ＨＶ２は、第１処理部２１および第２処理部２２といった２つの機能ブロックを備えている。第１処理部２１は、動作マシンを切り替える切り替え処理を実行することができる。第１処理部２１により実行される各処理は、第１処理に相当する。第２処理部２２は、切り替え処理の実行を禁止する禁止処理および切り替え処理の実行を許可する許可処理を実行することができる。第２処理部２２により実行される各処理は、第２処理に相当する。
　この場合、動作マシンは、連続して実行しなければならない処理、つまり中断不可能な処理またはアトミックな処理である特定処理を開始する際に禁止要求を送信するとともに、特定処理を完了した際に許可要求を送信するようになっている。本明細書において、「連続して実行しなければならない処理」とは、連続して実行しなかった場合に処理が成立せずに失敗となるような処理だけでなく、連続して実行しなかった場合にユーザが所望するレベルの処理結果が得られないような処理、つまり連続して実行することが望ましいような処理をも含む。
　第２処理部２２は、禁止要求を受信したとき、その時点から動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行する。第２処理部２２は、判断処理の結果、残り時間が設定時間以上の時間である場合には禁止処理を実行するとともに、残り時間が設定時間未満の時間である場合には禁止処理を実行しないようになっている。第２処理部２２は、許可要求を受信したとき、許可処理を実行するようになっている。動作マシンは、禁止処理が実行されている期間である禁止期間中に特定処理を実行するようになっている。
　第１処理部２１は、禁止期間中、動作時間を所定のマージン時間だけ延長することができるようになっている。第１処理部２１により上記延長が行われる場合、第２処理部２２は、禁止要求を受信した時点から延長した動作時間が経過する時点までの時間を残り時間として判断処理を実行することになる。本実施形態では、動作周期毎にマージン時間として使用することができる使用可能時間が設定されている。第１処理部２１は、使用可能時間から必要とするマージン時間を消費する形で動作時間の延長を行うようになっている。すなわち、マージン時間は、使用可能時間から割り当てられて使用されるようになっている。
　第１処理部２１は、動作周期において最後に動作する動作マシンの動作が開始される際に使用可能時間に余りがある場合、その余りの少なくとも一部を最後に動作する動作マシンの動作時間に割り当てることができる。第１処理部２１は、禁止期間において動作時間が経過した時点で特定処理が完了していない場合、異常が発生したと判断して切り替え処理および異常を外部に通知する通知処理の一方または双方を実行することができる。第１処理部２１は、禁止期間において動作時間が経過した時点で特定処理が完了していない場合、異常が発生したと判断して次回以降の動作周期において許可要求を受信すると異常を外部に通知する通知処理を実行することができる。
　第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、禁止処理が実行されるまで動作マシンに禁止要求の送信を繰り返し実行させることができる。第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、切り替え処理が実行されるまでの期間、動作マシンを待機状態とする、または、動作マシンを特定処理とは異なる別の処理を実行可能な状態とすることができる。第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、動作マシンに割り当てられた動作時間が経過する前に切り替え処理を実行することができる。
　設定時間は、以下の第１設定手法または第２設定手法により設定することができる。第１設定手法では、設定時間は、複数の仮想マシンのそれぞれ毎に予め設定される。この場合、設定時間は、その設定対象となる仮想マシンが実行する可能性がある特定処理に要する時間に基づいて設定することができる。設定時間は、仮想マシンが実行する可能性がある特定処理が１つである場合、その特定処理に要する時間に対応する時間に設定することができる。なお、特定処理に要する時間に対応する時間とは、特定処理に要する時間と同じ時間だけでなく、その時間に対して所定のマージンを持たせた時間をも含む。
　また、設定時間は、仮想マシンが実行する可能性がある特定処理が複数ある場合、複数の特定処理のそれぞれに要する時間のうち最も長い時間に対応する時間に設定することができる。なお、複数の特定処理のそれぞれに要する時間のうち最も長い時間とは、複数の特定処理のそれぞれに要する時間のうち最も長い時間と同じ時間だけでなく、その時間に対して所定のマージンを持たせた時間をも含む。
　第２手法では、第２処理部２２は、禁止要求を受信したとき、禁止要求を送信した動作マシンが開始する特定処理に要する時間に基づいて設定時間を設定する。設定時間は、禁止要求を送信した動作マシンが開始する特定処理に要する時間に対応する時間に設定することができる。なお、特定処理に要する時間に対応する時間とは、特定処理に要する時間と同じ時間だけでなく、その時間に対して所定のマージンを持たせた時間をも含む。
　次に、上記構成の作用について、図２～図２１を参照して説明する。
　以下の説明では、各用語について下記のように別の言い方をする場合がある。
　　　特定処理　→　タスク
　　　切り替え処理が開始されること　→　ＶＭ切り替え
　　　動作周期　→　ＨＶ周期
　　　使用可能時間　→　全体マージン時間
　この場合、ＨＶ周期が１０００μ秒になっており、全体マージン時間が５０μ秒になっているものとする。図２～図１７などでは、動作マシンがＶＭ１０である期間を「ＶＭ１０」と表し、動作マシンがＶＭ１１である期間を「ＶＭ１１」と表し、第１処理部２１が切り替え処理を実行している期間を「ＨＶ」と表し、動作マシンがタスクを実行している期間を「Task」と表し、マイコン３が消費電力を低減するモードに遷移している期間を「Halt」と表し、禁止処理が実行されている期間を「disable」と表している。
　以下の説明では、本実施形態との比較のため、本実施形態による動作例の説明に加え、従来技術に相当する比較例による動作例である比較動作例の説明も行うこととする。なお、比較例は、本実施形態に対して第２処理部２２を省くとともに第２処理部２２により実行される各処理に関連する処理も省いたものとなっている。
　　［１－１］第１比較動作例
　図２に示す第１比較動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともに、そのタスクを動作時間内に中断することなく完了することができた場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点においてタスクの実行を開始する。この場合、ＶＭ１０により実行されるタスクは、動作時間が終了する時点よりも前の時点において完了となっている。その後、ＶＭ１０に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　　［１－２］第２比較動作例
　図３に示す第２比較動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともに、そのタスクを動作時間内に完了することができなかった場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点においてタスクの実行を開始する。この場合、ＶＭ１０により実行されるタスクは、ＶＭ１０に割り当てられた動作時間が経過した時点でも完了していないが、この時点において第１処理部２１により切り替え処理が行われることから、タスクが中断される。
　このように中断されたタスクは、次のＨＶ周期において再開される。すなわち、次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点からタスクの実行を再開する。この場合、ＶＭ１０により実行されるタスクは、ＶＭ１０が動作マシンへと切り替えられた時点から所定時間が経過した時点において完了となっている。このように、比較例では、タスクの実行中にＶＭ切り替えが発生した場合、タスクが中断されてしまい、期待する機能が動作しないことが考えられる。これに対し、本実施形態では、タスクの実行中にＶＭ切り替えが発生しない機能を導入することにより、このような課題の解決を図るようになっている。
　　［２－１］第１動作例
　図４に示す第１動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともにそのタスクを中断することなく完了することができた場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、タスクは、ＶＭ１０に割り当てられた当初の動作時間が経過した時点では完了しない。そのため、第１処理部２１は、ＶＭ１０により実行されているタスクが完了するまで動作時間を延長する。この場合、全体マージン時間から２０μ秒だけ消費して動作時間の延長が行われる。
　このような第１動作例によれば、ＶＭ１０は、その動作時間が２０μ秒だけ延長されることにより、中断不可能な処理であるタスクを連続して完了させることができる。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。これにより、第１処理部２１は、切り替え処理を実行する。このように、動作時間が延長された場合であっても、タスク完了後に直ちにＶＭ切り替えが行われることによりリアルタイム性を確保することができる。
　　［２－２］第２動作例
　図５に示す第２動作例は、ＶＭ１０、ＶＭ１１が動作時間の途中においてタスクの実行を開始するとともにそのタスクを中断することなく完了することができた場合を想定したものである。この場合、ＶＭ１０の動作時間における動作は、第１動作例と同様である。そして、この場合、ＶＭ１１は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である３０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１１は、タスクの実行を開始する。この場合、タスクは、ＶＭ１１に割り当てられた当初の動作時間が経過した時点では完了しない。
　そのため、第１処理部２１は、ＶＭ１１により実行されているタスクが完了するまで動作時間を延長する。この場合、全体マージン時間から１０μ秒だけ消費して動作時間の延長が行われる。このような第２動作例によれば、ＶＭ１１は、その動作時間が１０μ秒だけ延長されることにより、中断不可能な処理であるタスクを連続して完了させることができる。ＶＭ１１は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。これにより、第１処理部２１は、切り替え処理を実行する。
　このように、動作時間が延長された場合であっても、タスク完了後に直ちにＶＭ切り替えが行われることによりリアルタイム性を確保することができる。第２動作例から分かるように、本実施形態の構成によれば、全体マージン時間に未だ使用されていない時間がある限り、複数のＶＭから要求された分だけマージン時間を割り当てることができる。本実施形態のように、ＨＶ周期全体でマージン時間を設定することで適応的にＶＭ毎に要求するマージン時間を分配することができる。
　　［２－３］第３動作例
　図６に示す第３動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともにそのタスクが完了しなかった場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、タスクは、ＶＭ１０に割り当てられた当初の動作時間が経過した時点では完了しない。そのため、第１処理部２１は、ＶＭ１０により実行されているタスクが完了するまで動作時間を延長する。
　ただし、この場合、異常、故障などの何らかの理由により、全体マージン時間の全てである５０μ秒を消費して動作時間の延長が行われても、タスクが完了しなかったものとする。そうすると、第１処理部２１は、異常が発生したと判断し、通知処理を実行する。通知処理では、ＶＭ切り替えが禁止された状態である禁止期間が固着したことを検知した旨を表す固着エラーが発行される。また、このとき、第１処理部２１は、このようにＶＭ切り替えが禁止された状態のまま、切り替え処理を行う。
　そして、この場合、ＶＭ１１は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。この場合、ＶＭ１０により全体マージン時間の全てが使用されたことに起因して、残り時間が設定時間より短いものであるとする。そのため、ＨＶ２が禁止処理を実行せず、その結果、ＶＭ１１は、このＨＶ周期においてタスクの実行を開始することができない。
　このように、動作マシンであるＶＭ１１が禁止要求を送信した後に禁止処理が実行されなかった場合、第１処理部２１は、切り替え処理が実行されるまでの期間、動作マシンであるＶＭ１１を待機状態とする。なお、この場合、第１処理部２１は、切り替え処理が実行されるまでの期間、動作マシンであるＶＭ１１をタスクとは異なる別の処理を実行可能な状態とすることもできる。その後、ＶＭ１１に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点からタスクの実行を再開する。この場合、ＶＭ１０により実行されるタスクは、ＶＭ１０が動作マシンへと切り替えられた時点から所定時間が経過した時点において完了となっている。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。また、このとき、ＨＶ２は、通知処理を行い、これにより固着エラーが発行される。このようにすれば、統合ＥＣＵ１において、ＶＭの再起動や処理の中断などの判断を行うことができる。
　その後、ＶＭ１０に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。ＶＭ１１は、自身が動作マシンへと切り替えられた時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１１は、タスクの実行を開始する。
　この場合、ＶＭ１１により実行されるタスクは、ＶＭ１１が動作マシンへと切り替えられた時点から所定時間が経過した時点において完了となっている。ＶＭ１１は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。その後、ＶＭ１１に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。第３動作例から分かるように、本実施形態の構成によれば、優先度が高いＶＭをＨＶ周期の先頭から順に動作させるようにすることで、優先度が高いＶＭに対して優先的にマージン時間を割り当てることができる。
　　［２－４］第４動作例
　図７に示す第４動作例は、第３動作例に対して次の点が異なっている。すなわち、第４動作例では、動作マシンであるＶＭ１１が禁止要求を送信した後に禁止処理が実行されなかった場合、第１処理部２１は、禁止処理が実行されるまで動作マシンであるＶＭ１１に禁止要求の送信を繰り返し実行させるようになっている。なお、図７では、繰り返し送信される禁止要求について、単なる矢印により表している。
　　［２－５］第５動作例
　図８に示す第５動作例は、第３動作例に対してＶＭ１１に関連する動作が異なっている。すなわち、第５動作例では、ＶＭ１１は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。この場合、ＶＭ１０により全体マージン時間の全てが使用されているためにＶＭ１１の動作時間の延長はできないものの、その時点から延長無しの動作時間が経過する時点までの残り時間が設定時間より短いものであるとする。
　そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１１は、タスクの実行を開始する。この場合、ＶＭ１１により実行されるタスクは、禁止処理が開始された時点から所定時間が経過した時点において完了となっている。ＶＭ１１は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。その後、ＶＭ１１に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　第５動作例から分かるように、本実施形態の構成によれば、全体マージン時間の全てが使用されており、マージン時間がない場合においても、タスクが完了するまでの時間を確保できる場合には禁止処理が行われるようになっており、その結果、当該動作時間中にタスクを連続して完了させることができる。
　　［２－６］第６動作例
　図９に示す第６動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともに、動作時間を延長することなくそのタスクを中断することなく完了することができた場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、ＶＭ１０により実行されるタスクは、禁止処理が開始された時点から所定時間が経過した時点において完了となっている。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。その後、ＶＭ１０に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　　［２－７］第７動作例
　図１０に示す第７動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始しようとしたものの、そのＨＶ周期における動作時間でのタスク実行ができずに次のＨＶ周期における動作時間でのタスク実行となる場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも短いものであるとする。そのため、ＨＶ２が禁止処理を実行せず、その結果、ＶＭ１０は、このＨＶ周期においてタスクの実行を開始することができない。そして、次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点でＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。
　そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、ＶＭ１０により実行されるタスクは、ＶＭ１０が動作マシンへと切り替えられた時点から所定時間が経過した時点において完了となっている。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。その後、ＶＭ１０に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　第７動作例から分かるように、本実施形態の構成によれば、動作マシンからＨＶへ禁止要求禁止が送信されたとき、ＨＶ２は残り時間が設定時間未満の時間であると判断した場合、禁止処理を実行しないため、そのＨＶ周期における動作時間において完了する見込みのないタスクを次のＨＶ周期における動作時間において実施することができる。このように、本実施形態の構成によれば、事前にＶＭ切り替えまでの時間が分かるため、むやみに動作時間を延長したりすることなく、また他のＶＭへ影響を及ぼしたりすることなく、リアルタイム性を確保することができる。
　　［２－８］第８動作例
　図１１に示す第８動作例は、ＨＶ周期において最後に動作する動作マシンの動作が開始される際に全体マージン時間に余りがある場合を想定したものである。この場合、ＶＭ１０およびＶＭ１１のいずれもタスクを実行しなかったことから、ＶＭ１１の動作が開始される際に全体マージン時間が消費されておらず５０μ秒そのまま残っているものとする。第１処理部２１は、このような全体マージン時間の余りの少なくとも一部を最後に動作する動作マシンであるＶＭ１１の動作時間に割り当てるようになっている。このようにすれば、マイコン３のリソースを有効活用し、何の処理も動作しない時間を無くすことができる。
　　［２－９］第９動作例
　図１２に示す第９動作例は、第７動作例に対して次の点が異なっている。なお、図１２の上段には、各動作例の比較のため、第７動作例を説明する際に使用した図１０と同様の図も記載されている。すなわち、図１２の下段に示すように、第９動作例では、第１処理部２１は、動作マシンであるＶＭ１０が禁止要求を送信した後に禁止処理が実行されなかった場合、動作マシンであるＶＭ１０に割り当てられた動作時間が経過する前に切り替え処理を実行するようになっている。
　このような第９動作例によれば、動作マシンであるＶＭ１０が禁止要求を送信した後に禁止処理が実行されなかった場合、ＶＭ１０に割り当てられた動作時間の残りの時間が、他のＶＭ１１に分け与えられる。このようにすれば、ＶＭ１０において他に動作可能な処理が存在しない場合にＶＭ１０で無駄な時間を消費することなく、その分の時間を他のＶＭ１１の動作時間として割り当てることが可能となり、その結果、マイコン３のリソースを有効活用することができる。
　　［１－３］第３比較動作例
　図１３に示す第３比較動作例は、第２比較動作例に対し、タスクの内容が具体化されている点が異なっている。この場合、統合ＥＣＵ１およびＥＣＵ４の間で行われる通信は、複数に分割されており、全ての通信データをＶＭ１０からＥＣＵ４へと例えば１００μ秒である所定時間以内に送信または受信する必要があるものとする。ＶＭ１０は、タスクとして、上記した通信を行うようになっている。ＶＭ１０が行う通信は、２回に分割されているものとする。
　この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点においてＥＣＵ４に対する１回目の通信データの送信または受信を実行する。その後、ＶＭ１０がＥＣＵ４に対する２回目の通信データの送信または受信を実行するよりも前の時点においてＶＭ１０に割り当てられた動作時間が終了することから第１処理部２１により切り替え処理が行われる。つまり、この時点で、通信の処理が中断される。そして、次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点においてＥＣＵ４に対する２回目の通信データの送信または受信を実行する。
　このように、第３比較動作例では、１回目の通信データの送信または受信の後にＶＭ切り替えが発生し、次のＨＶ周期で２回目の通信データの送信または受信が行われているため、１００μ秒以内に全ての通信データが送信または受信されていない。ただし、この場合、ＶＭ１０としては、通信の処理が正常に完了しているため、通信データの再送信または再受信を行うことがなく、統合ＥＣＵ１およびＥＣＵ４の間の通信が失敗したままになるおそれがある。
　　［２－１０］第１０動作例
　図１４に示す第１０動作例は、第１動作例に対し、タスクの内容が具体化されている点が異なっている。タスクの具体的な内容は、第３比較動作例と同様である。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、ＥＣＵ４に対する１回目の通信データの送信または受信を実行する。この場合も、第３比較動作例と同様、ＶＭ１０がＥＣＵ４に対する２回目の通信データの送信または受信を実行するよりも前に時点においてＶＭ１０に割り当てられた当初の動作時間が終了する。ただし、この場合、第１処理部２１は、ＶＭ１０により実行されているタスクが完了するまで動作時間を延長する。
　そのため、ＶＭ１０は、当該ＨＶ周期において、ＥＣＵ４に対する１回目の通信データの送信または受信を実行した後、それと連続してＥＣＵ４に対する２回目の通信データの送信または受信を実行することができる。このように、第１０動作例によれば、１００μ秒以内に全ての通信データを送信または受信することができる。つまり、第１０動作例によれば、通信の処理が、ＶＭ切り替えにより中断されることなく、連続して完了させることができる。
　　［１－４］第４比較動作例
　図１５に示す第４比較動作例は、タスクの具体的な内容として、レジスタ１３に対する書き込み制御を想定したものである。レジスタ１３に対する書き込み制御には、レジスタ１３の保護設定を解除する「保護解除」、レジスタ１３に対して書き込みを行う「書き込み」およびレジスタ１３の保護設定を再度行う「保護再設定」といった３つの処理が含まれる。
　この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において書き込み制御を開始する。すなわち、ＶＭ１０は、まず保護解除の処理を行い、その後、書き込みの処理を開始する。その後、ＶＭ１０が書き込みの処理を完了するよりも前の時点においてＶＭ１０に割り当てられた動作時間が終了することから第１処理部２１により切り替え処理が行われる。つまり、この場合、書き込みの処理中にＶＭ切り替えが発生し、それにより書き込み制御が中断されている。
　このとき、レジスタ１３の保護設定が解除されたままとなっている。そのため、この後に動作マシンへと切り替えられたＶＭ１１が、レジスタ１３に対する書き込みを行う可能性があり、そうすると、他のＶＭ１１によりレジスタ１３の内容が書き換えられてしまう。その後、次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点において書き込み処理を再開することになるが、前のＨＶ周期においてレジスタ１３の内容がＶＭ１１に書き換えられていることから、レジスタ１３の設定に誤りが生じるおそれがある。
　　［１－５］第５比較動作例
　図１６に示す第５比較動作例は、第４比較動作例に対し、ＶＭ切り替えが発生するタイミングが異なっている。すなわち、第５比較動作例では、保護解除の処理の実行後であり且つ書き込みの処理の開始前の時点においてＶＭ１０に割り当てられた動作時間が終了することから第１処理部２１により切り替え処理が行われる。つまり、この場合、保護解除の処理の実行後にＶＭ切り替えが発生し、それにより書き込み制御が中断されている。
　そして、この後に動作マシンへと切り替えられたＶＭ１１がレジスタ１３に対する書き込み制御を行う可能性があり、そうすると、他のＶＭ１１によりレジスタ１３に対して保護再設定が行われることになる。その後、次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点において書き込み処理を開始しようとするが、レジスタ１３が保護設定されているため、書き込みを行うことができなくなり、その結果、ＶＭ１０によるレジスタ１３の書き込み制御が正常に完了できなくなる。
　　［２－１１］第１１動作例
　図１７に示す第１１動作例は、タスクの具体的な内容として、第４比較動作例および第５比較動作例と同様、レジスタ１３に対する書き込み制御を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。この場合、残り時間に対して全体マージン時間のうち未だ使用されていない時間である５０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。
　禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、書き込み制御を開始する。すなわち、ＶＭ１０は、まず保護解除の処理を行い、その後、書き込みの処理を開始する。その後、ＶＭ１０が書き込みの処理を完了するよりも前の時点においてＶＭ１０に割り当てられた当初の動作時間が終了する。ただし、この場合、第１処理部２１は、ＶＭ１０により実行されているタスクが完了するまで動作時間を延長する。
　そのため、ＶＭ１０は、当該ＨＶ周期において、書き込み制御における全ての処理を連続して実行することができる。このように、本実施形態の構成によれば、第４比較動作例および第５比較動作例において生じる問題が発生することなく、書き込み制御における一連の処理を正常に完了することができる。なお、第１１動作例でも、判断処理において、残り時間に対してマージン時間を加えた時間が設定時間よりも短いものであるとの結果が得られた場合には、第７動作例と同様、次のＨＶ周期における動作時間で書き込み制御が実行されることになる。
　　［３］全体マージン時間の割り振り
　図１８に示すように、ＨＶ周期毎に設定された全体マージン時間がどのように各ＶＭ１０、ＶＭ１１に割り振られて消費されるのかは、図１８に示すように、様々なケースが考えられる。ケース１では、ＶＭ１０においてマージン時間として３０μ秒が消費されており、残りの２０μ秒が消費されずに余りとなっている。ケース２では、ＶＭ１０においてマージン時間として３０μ秒が消費されるとともにＶＭ１１においてマージン時間として２０μ秒が消費されている。つまり、ケース２は、ＶＭ１０とＶＭ１１とで全体マージン時間を分け合うとともに、全体マージン時間に余りが生じていないケースである。
　ケース３では、ＶＭ１０においてマージン時間として２０μ秒が消費されるとともにＶＭ１１においてマージン時間として２５μ秒が消費されている。つまり、ケース２は、ＶＭ１０とＶＭ１１とで全体マージン時間を分け合うとともに、全体マージン時間に５μ秒の余りが生じているケースである。ケース４では、ＶＭ１０においてマージン時間として４０μ秒が消費されており、残りの１０μ秒が消費されずに余りとなっている。
　ケース５では、ＶＭ１０においてマージン時間として５０μ秒が消費されており、全体マージン時間に余りが生じていない。ケース６では、ＶＭ１１においてマージン時間として５０μ秒が消費されており、全体マージン時間に余りが生じていない。ケース７では、ＶＭ１０、ＶＭ１１のいずれにおいてもマージン時間が消費されておらず、全体マージン時間の全てである５０μ秒の余りが生じている。このような全体マージン時間の割り振りに関するケースの数は、統合ＥＣＵ１に搭載されるＶＭの数に応じてさらに増加することになる。
　　［４－１］禁止要求を受信したときに実行される各処理の具体的な内容
　ＨＶ２が禁止要求を受信したときに実行する各処理は、具体的には、図１９に示すような内容とすることができる。第２処理部２２は、禁止要求を受信するたびに、図１９に示すような内容の処理を実行するようになっている。ステップＳ１０１では、禁止要求を受信した時点から動作時間が経過する時点までの時間に対して使用可能なマージン時間を加えた時間Ｔ１が設定時間である時間Ｔ２以上であるか否かが判断される。
　ここで、時間Ｔ１が時間Ｔ２以上である場合、ステップＳ１０１で「ＹＥＳ」となり、ステップＳ１０２に進む。ステップＳ１０２では、禁止処理が実行される。ステップＳ１０２の実行後、本処理が終了となる。一方、時間Ｔ１が時間Ｔ２未満である場合、ステップＳ１０１で「ＮＯ」となり、ステップＳ１０２の禁止処理が実行されることなく、本処理が終了となる。このような処理によれば、事前にＶＭ切り替えまでの時間が分かるため、むやみに動作時間を延長したりすることなく、また他のＶＭへ影響を及ぼしたりすることなく、リアルタイム性を確保することができる。
　　［４－２］禁止期間に実行される各処理の具体的な内容
　禁止期間にＨＶ２の第１処理部２１により実行される各処理は、具体的には、図２０に示すような内容とすることができる。第１処理部２１は、禁止期間中、所定の周期毎に、図２０に示すような内容の処理を実行するようになっている。ステップＳ２０１では、禁止期間中に消費されたマージン時間である時間Ｔ３が設定されたマージン時間である時間Ｔ４以上であるか否かが判断される。
　ここで、時間Ｔ３が時間Ｔ４以上である場合、ステップＳ２０１で「ＹＥＳ」となり、ステップＳ２０２に進む。ステップＳ２０２では、固着エラーが発行されて通知される。ステップＳ２０２は、通知処理に対応している。ステップＳ２０２の実行後はステップＳ２０３に進み、固着エラーフラグが設定される。ステップＳ２０３の実行後はステップＳ２０４に進み、切り替え処理が行われる。ステップＳ２０４の実行後、本処理が終了となる。一方、時間Ｔ３が時間Ｔ４未満である場合、ステップＳ２０１で「ＮＯ」となり、ステップＳ２０２～Ｓ２０４の処理、つまり通知処理および切り替え処理などの処理が実行されることなく、本処理が終了となる。
　このような処理によれば、消費されたマージン時間が設定されたマージン時間と同じになった場合に固着エラーを発行するとともに固着エラーフラグを設定し、その後にＶＭ切り替えを行うようになっているため、ＨＶ２全体でのリアルタイム性が保証される。また、上記処理によれば、固着エラーを発行することでＶＭに対して処理を再度実行させることや、ＶＭの再起動を行う判断材料とすることができる。
　なお、第１処理部２１は、図２０に示した本実施形態に係る各処理に代えて、図２１に示すような内容の変形例に係る各処理を行うことができる。図２１に示す変形例による各処理は、ＶＭに割り当てられた当初の動作時間に設定されたマージン時間を加えた動作時間、つまりマージン込みの動作時間が終了したときに実行されるものであり、図２０に示した本実施形態による各処理に対し、ステップＳ２０１に代えてステップＳ２１１が設けられている点が異なっている。ステップＳ２１１では、切り替え処理の実行が禁止された禁止状態であるか否かが判断される。
　ここで、禁止状態である場合、ステップＳ２１１で「ＹＥＳ」となり、ステップＳ２０２に進む。一方、禁止状態ではない場合、ステップＳ２１１で「ＮＯ」となり、ステップＳ２０４に進み、切り替え処理が行われた後に本処理が終了となる。このような変形例によれば、設定されたマージン時間を加えた動作時間が終了したときに切り替え処理の実行が禁止された禁止状態であれば、固着エラーフラグが設定される、つまりＶＭ固着と判断される。
　　［４－３］許可要求を受信したときに実行される各処理の具体的な内容
　ＨＶ２が許可要求を受信したときに実行する各処理は、具体的には、図２２に示すような内容とすることができる。第２処理部２２は、許可要求を受信するたびに、図２２に示すような内容の処理を実行するようになっている。ステップＳ３０１では、固着エラーフラグが設定されているか、言い換えると固着エラーフラグが立っているか、が判断される。なお、図２２では、固着エラーフラグが立っていることをエラーフラグ「オン」と称している。ここで、固着エラーフラグが立っている場合、ステップＳ３０１で「ＹＥＳ」となり、ステップＳ３０２に進む。ステップＳ３０２では、固着エラーが発行されて通知される。
　ステップＳ３０２は、通知処理に対応している。ステップＳ３０２の実行後はステップＳ３０３に進み、許可処理が実行される。ステップＳ３０３の実行後、本処理が終了となる。一方、固着エラーフラグが立っていない場合、ステップＳ３０１で「ＮＯ」となり、ステップＳ３０２の処理、つまり通知処理が実行されることなく、ステップＳ３０３に進み、許可処理が実行される。このような処理によれば、許可処理の実行時にも固着エラーを発行することにより、禁止期間の固着が生じたうえで特定処理の実行が終了したことを明確にすることができる。
　以上説明した本実施形態によれば、次のような効果が得られる。
　本実施形態の統合ＥＣＵ１が備えるＨＶ２は、複数のＶＭ１０、ＶＭ１１のそれぞれをＨＶ周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行うものであり、動作マシンを切り替える切り替え処理を実行することができる第１処理部２１と、切り替え処理の実行を禁止する禁止処理および切り替え処理の実行を許可する許可処理を実行することができる第２処理部２２と、を備える。ＶＭ１０、ＶＭ１１は、特定処理を開始する際に禁止要求を送信するとともに、特定処理を完了した際に許可要求を送信するようになっている。
　第２処理部２２は、禁止要求を受信したとき、その時点から動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、その結果、残り時間が設定時間以上の時間である場合には禁止処理を実行するとともに残り時間が設定時間未満の時間である場合には禁止処理を実行しないようになっている。また、第２処理部２２は、許可要求を受信したとき、許可処理を実行するようになっている。動作マシンは、禁止処理が実行されている期間である禁止期間中に特定処理を実行する。
　上記構成によれば、動作マシンが特定処理を実行しているときに動作マシンを切り替える切り替え処理が発生することが防止される。このようにすれば、特定処理が完了するまで一貫した動作を保証することができる。また、上記構成によれば、第２処理部２２が判断処理を実行することにより、残り時間が設定時間未満の時間である場合、言い換えると、これから開始しようとする特定処理を動作時間が経過するまでに完了することができる可能性が極めて低い場合、禁止処理が実行されず、それに伴い、特定処理も実行されない。このようにすれば、そのＨＶ周期で完了する見込みのない特定処理を、次のＨＶ周期にて実行することができる。このように、本実施形態の構成によれば、連続して実行しなければならない処理である特定処理が切り替え処理により中断されることを防止することができるという優れた効果が得られる。
　本実施形態では、切り替え処理の実行が禁止された禁止期間では、元々設定されていた動作時間をマージン時間だけ延長することが可能となっており、そのように延長された動作時間が経過するまで動作マシンによる特定処理の実行が継続される。このようにすれば、より確実に、特定処理を中断することなく、連続して完了することができる。また、本実施形態では、延長された動作時間が経過するまでに特定処理が完了しない場合には、通知処理および切り替え処理が行われる。
　このようにすれば、設定されたマージン時間を超えるような動作時間の延長が行われることがなく、特定のＶＭだけがむやみに長い時間動作するような事態の発生が防止され、他のＶＭの動作時間が減少するなどの悪影響が生じることがなくなりリアルタイム性を確保することができる。また、本実施形態によれば、固着エラーを通知する通知処理が行われることにより、特定処理が完了しなかった動作マシンに対して再起動や特定処理の再実行などを行うことができる。
　本実施形態では、ＨＶ周期毎に全体マージン時間が設定されており、第１処理部２１は、全体マージン時間から必要とするマージン時間を消費する形で動作時間の延長を行うようになっている。このようにすれば、ＨＶ２全体でマージン時間を設定することができるため、その設定を簡易なものとすることができる。また、このようにすれば、ＨＶ周期の中で適応的に各ＶＭが要求するマージン時間を分配することができる。さらに、このようにすれば、複数のＶＭのうち優先度が高いＶＭをＨＶ周期の先頭から順に動作させることで、相対的に優先度の高いＶＭに対して優先的にマージン時間を与えることができる。
　第１処理部２１は、ＨＶ周期において最後に動作する動作マシンの動作が開始される際に全体マージン時間に余りがある場合、その余りの少なくとも一部を最後に動作する動作マシンの動作時間に割り当てるようになっている。このようにすれば、無駄なマージン時間を無くすことができる。第１処理部２１は、禁止期間において動作時間が経過した時点で特定処理が完了していない場合、異常が発生したと判断して切り替え処理および異常を外部に通知する通知処理を実行する。このようにすれば、特定処理が正常に完了しない場合などにおいて、禁止処理が実行されたまま他のＶＭの動作時間に影響を与えてしまうことが防止されてリアルタイム性を確保することができるとともに、ＶＭの再起動や特定処理の中断の判断などを行うことができる。
　第１処理部２１は、禁止期間において動作時間が経過した時点で特定処理が完了していない場合、異常が発生したと判断して次回以降のＨＶ周期において許可要求を受信すると異常を外部に通知する通知処理を実行する。このようにすれば、禁止期間が固着したまま動作し続けていることを通知処理により報知することで、ＶＭの再起動や特定処理の中断の判断などを行うことができる。
　設定時間は、複数のＶＭ１０、ＶＭ１１のそれぞれ毎に予め設定することができる。このようにすれば、各ＶＭが動作する時間を一律に管理することができる。または、第２処理部２２が、禁止要求を受信したとき、禁止要求を送信した動作マシンが開始する特定処理に要する時間に基づいて設定時間を設定することができる。このようにすれば、何らかの理由により特定処理を正常に完了することができなかった場合などにおいて、動作時間を延長する時間を必要最小限に抑えることが可能となり、その結果、リアルタイム性を確保することができる。
　第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、禁止処理が実行されるまで動作マシンに禁止要求の送信を繰り返し実行させることができる。このようにすれば、ＶＭ切り替えまでの時間をＨＶ２に要求することなく、ＶＭだけで完結して処理を行うことができる。第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、切り替え処理が実行されるまでの期間、動作マシンを待機状態とすることができる。このようにすれば、マイコン３をスリープなどに遷移させて消費電力を低減することができる。
　第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、切り替え処理が実行されるまでの期間、動作マシンを特定処理とは異なる別の処理を実行可能な状態とすることができる。このようにすれば、ＶＭ切り替えまでの時間で他の処理を実行することが可能となり、その結果、マイコン３のリソースを有効活用することができる。第１処理部２１は、動作マシンが禁止要求を送信した後に禁止処理が実行されなかった場合、動作マシンに割り当てられた動作時間が経過する前に切り替え処理を実行することができる。このようにすれば、動作マシンにおいて特定処理のほかに実行可能な処理がない場合、他のＶＭを動作させることが可能となり、その結果、マイコン３のリソースを有効活用することができる。
　　　（第２実施形態）
　以下、第２実施形態について図２３～図２５を参照して説明する。
　本実施形態は、第１実施形態に対し、使用可能時間の設定について変更が加えられたものである。本実施形態では、複数のＶＭ１０、ＶＭ１１のそれぞれ毎に使用可能時間が設定されている。そのうえで、第１処理部２１は、動作マシンに対応する使用可能時間から必要とするマージン時間を消費する形で動作時間の延長を行うようになっている。すなわち、マージン時間は、動作マシンに対応する使用可能時間から割り当てられて使用されるようになっている。
　次に、上記構成の作用について説明する。
　以下の説明では、使用可能時間のことをＶＭ毎マージン時間と称することがある。この場合、ＶＭ毎マージン時間は、ＶＭ１０、ＶＭ１１のいずれについても、２０μ秒になっているものとする。
　　［２－１２］第１２動作例
　図２３に示す第１２動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともにそのタスクを中断することなく完了することができた場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対してＶＭ１０に対応するＶＭ毎マージン時間である２０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、タスクは、ＶＭ１０に割り当てられた当初の動作時間が経過した時点では完了しない。そのため、第１処理部２１は、ＶＭ１０により実行されているタスクが完了するまで動作時間を延長する。この場合、ＶＭ毎マージン時間の全てである２０μ秒だけ消費して動作時間の延長が行われる。
　このような第１２動作例によれば、ＶＭ１０は、ＶＭ毎マージン時間まで、その動作時間を延長することができ、中断不可能な処理であるタスクを連続して完了させることができる。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。これにより、第１処理部２１は、切り替え処理を実行する。このように、動作時間が延長された場合であっても、タスク完了後に直ちにＶＭ切り替えが行われることによりリアルタイム性を確保することができる。
　　［２－１３］第１３動作例
　図２４に示す第１３動作例は、ＶＭ１０、ＶＭ１１が動作時間の途中においてタスクの実行を開始するとともにそのタスクを中断することなく完了することができた場合を想定したものである。この場合、ＶＭ１０の動作時間における動作は、第１２動作例と同様である。そして、この場合、ＶＭ１１は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対してＶＭ１１に対応するＶＭ毎マージン時間である２０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１１は、タスクの実行を開始する。この場合、タスクは、ＶＭ１１に割り当てられた当初の動作時間が経過した時点では完了しない。
　そのため、第１処理部２１は、ＶＭ１１により実行されているタスクが完了するまで動作時間を延長する。この場合、ＶＭ毎マージン時間の全てである２０μ秒だけ消費して動作時間の延長が行われる。このような第１３動作例によれば、ＶＭ１１は、ＶＭ毎マージン時間まで、その動作時間を延長することができ、中断不可能な処理であるタスクを連続して完了させることができる。ＶＭ１１は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。これにより、第１処理部２１は、切り替え処理を実行する。
　このように、動作時間が延長された場合であっても、タスク完了後に直ちにＶＭ切り替えが行われることによりリアルタイム性を確保することができる。第１３動作例から分かるように、本実施形態の構成によれば、ＶＭ毎にマージン時間が与えられるため、優先度が相対的に高いＶＭがマージン時間を占有するようなことがなく、その結果、優先度が相対的に低いＶＭについても同程度にマージン時間を確保することができる。
　　［２－１４］第１４動作例
　図２５に示す第１４動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともにそのタスクが完了しなかった場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間に対してＶＭ１０に対応するＶＭ毎マージン時間である２０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、タスクは、ＶＭ１０に割り当てられた当初の動作時間が経過した時点では完了しない。そのため、第１処理部２１は、ＶＭ１０により実行されているタスクが完了するまで動作時間を延長する。
　ただし、この場合、異常、故障などの何らかの理由により、ＶＭ毎マージン時間の全てである２０μ秒を消費して動作時間の延長が行われても、タスクが完了しなかったものとする。そうすると、第１処理部２１は、異常が発生したと判断し、通知処理を実行する。通知処理では、ＶＭ切り替えが禁止された状態である禁止期間が固着したことを検知した旨を表す固着エラーが発行される。また、このとき、第１処理部２１は、このようにＶＭ切り替えが禁止された状態のまま、切り替え処理を行う。
　そして、この場合、ＶＭ１１は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。この場合、残り時間に対してＶＭ１１に対応するＶＭ毎マージン時間である２０μ秒を加えた時間が、設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１１は、タスクの実行を開始する。
　この場合、タスクは、ＶＭ１１に割り当てられた当初の動作時間が経過した時点では完了しない。そのため、第１処理部２１は、ＶＭ１１により実行されているタスクが完了するまで動作時間を延長する。この場合、ＶＭ毎マージン時間の全てである２０μ秒だけ消費して動作時間の延長が行われる。ＶＭ１１は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。これにより、第１処理部２１は、切り替え処理を実行する。
　次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点からタスクの実行を再開する。この場合、ＶＭ１０により実行されるタスクは、ＶＭ１０が動作マシンへと切り替えられた時点から所定時間が経過した時点において完了となっている。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。また、このとき、ＨＶ２は、通知処理を行い、これにより固着エラーが発行される。その後、ＶＭ１０に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　このような第１４動作例によれば、複数のＶＭ１０、ＶＭ１１のそれぞれ毎にＶＭ毎マージン時間が設定されていることから、ＶＭ１０およびＶＭ１１のうち一方がＶＭ毎マージン時間を消費したとしても、ＶＭ１０およびＶＭ１１のうち他方が禁止要求を送信した場合には、そのＶＭに割り当てられたＶＭ毎マージン時間の上限まで動作時間を延長して禁止処理を行うことができる。
　以上説明した本実施形態によれば、複数のＶＭ１０、ＶＭ１１のそれぞれ毎にＶＭ毎マージン時間が設定されており、第１処理部２１は、動作マシンに対応するＶＭ毎マージン時間から必要とするマージン時間を消費する形で動作時間の延長を行うようになっている。このようにすれば、優先度の高低に関係なく、全てのＶＭ１０、ＶＭ１１がいずれもＶＭ毎マージン時間である２０μ秒をマージン時間として使用することができる。つまり、本実施形態によれば、ＶＭ毎にマージン時間が与えられるため、優先度が相対的に高いＶＭがマージン時間を占有することなく、優先度が相対的に低いＶＭについてもマージン時間を確保することができる。
　　　（第３実施形態）
　以下、第２実施形態について図２６を参照して説明する。
　本実施形態は、第１実施形態に対し、第１処理部２１の処理内容について変更が加えられたものである。本実施形態では、第１処理部２１は、禁止期間中、動作時間の延長を行わないようになっている。つまり、本実施形態では、全体マージン時間またはＶＭ毎マージン時間といったマージン時間の設定が行われていない。
　次に、上記構成の作用について説明する。
　　［２－１５］第１５動作例
　図２６に示す第１５動作例は、ＶＭ１０が動作時間の途中においてタスクの実行を開始するとともにそのタスクが完了しなかった場合を想定したものである。この場合、ＶＭ１０は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１０から送信された禁止要求を受信すると、判断処理を実行する。
　この場合、残り時間が設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１０は、タスクの実行を開始する。この場合、異常、故障などの何らかの理由により、ＶＭ１０に割り当てられた動作時間が経過した時点でもタスクが完了しなかったものとする。そうすると、第１処理部２１は、異常が発生したと判断し、通知処理を実行する。通知処理では、ＶＭ切り替えが禁止された状態である禁止期間が固着したことを検知した旨を表す固着エラーが発行される。また、このとき、第１処理部２１は、このようにＶＭ切り替えが禁止された状態のまま、切り替え処理を行う。
　そして、この場合、ＶＭ１１は、自身が動作マシンへと切り替えられた時点から所定時間が経過した時点において、ＨＶ２に対して禁止要求を送信する。ＨＶ２は、ＶＭ１１から送信された禁止要求を受信すると、判断処理を実行する。この場合、残り時間が設定時間よりも長いものであるとする。そうすると、ＨＶ２は、禁止要求を受信した時点において禁止処理を実行する。禁止処理の開始に合わせて、動作マシンであるＶＭ１１は、タスクの実行を開始する。この場合、タスクは、ＶＭ１１に割り当てられた動作時間が経過した時点よりも前の時点において完了となっている。ＶＭ１１は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。これにより、第１処理部２１は、切り替え処理を実行する。
　次のＨＶ周期において、ＶＭ１０は、自身が動作マシンへと切り替えられた時点からタスクの実行を再開する。この場合、ＶＭ１０により実行されるタスクは、ＶＭ１０が動作マシンへと切り替えられた時点から所定時間が経過した時点において完了となっている。ＶＭ１０は、タスクを完了した際に許可要求を送信する。ＨＶ２は、許可要求を受信した時点において、禁止処理を終了して許可処理を実行する。また、このとき、ＨＶ２は、通知処理を行い、これにより固着エラーが発行される。その後、ＶＭ１０に割り当てられた動作時間が経過した時点において、第１処理部２１は、切り替え処理を行う。
　以上説明した本実施形態によれば、全体マージン時間またはＶＭ毎マージン時間といったマージン時間の設定が行われていない。このような本実施形態によれば、マージン時間の設定を行う上記各実施形態に比べ、全てのＶＭ１０、ＶＭ１１に対してより多くの動作時間を割り振ることができる。上記各実施形態では、設定された全体マージン時間またはＶＭ毎マージン時間のうち使用されなかった時間が無駄な時間になるおそれがあったが、本実施形態では、このような無駄な時間を生じさせることがない。また、本実施形態によれば、上記各実施形態と同様、禁止期間の固着検出が可能であるとともに、完了する見込みのない特定処理を次のＨＶ周期で動作させることができる。
　　　（その他の実施形態）
　なお、本開示は上記し且つ図面に記載した各実施形態に限定されるものではなく、その要旨を逸脱しない範囲で任意に変形、組み合わせ、あるいは拡張することができる。
　上記各実施形態で示した数値などは例示であり、それに限定されるものではない。
　本開示は、車両に搭載される統合ＥＣＵ１を構成するマイコン３上で動作する複数のＶＭのそれぞれを時分割スケジューリングでの制御を行うＨＶ２に限らず、コンピュータ上で動作する複数のＶＭのそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置全般に適用することができる。
　本開示は、実施例に準拠して記述されたが、本開示は当該実施例や構造に限定されるものではないと理解される。本開示は、様々な変形例や均等範囲内の変形をも包含する。加えて、様々な組み合わせや形態、さらには、それらに一要素のみ、それ以上、あるいはそれ以下、を含む他の組み合わせや形態をも、本開示の範疇や思想範囲に入るものである。
　本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリーを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリーと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。
　本開示は、特許請求の範囲に記載の発明に加え、以下のような発明を含む。
　［１］
　複数の仮想マシン（１０、１１）のそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置であって、
　前記複数の仮想マシンのうち動作中のものを動作マシンとすると、
　前記動作マシンを切り替える切り替え処理を実行することができる第１処理部（２１）と、
　前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理部（２２）と、
　を備え、
　前記動作マシンは、連続して実行しなければならない処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっており、
　前記第２処理部は、
　前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、
　前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっており、
　前記許可要求を受信したとき、前記許可処理を実行するようになっており、
　前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する動作制御装置。
　［２］
　前記第１処理部は、前記禁止期間中、前記動作時間を所定のマージン時間だけ延長することができるようになっており、
　前記第２処理部は、前記禁止要求を受信した時点から延長した前記動作時間が経過する時点までの時間を前記残り時間として前記判断処理を実行する［１］に記載の動作制御装置。
［３］
　前記動作周期毎に使用可能時間が設定されており、
　前記第１処理部は、前記使用可能時間から必要とする前記マージン時間を消費する形で前記動作時間の延長を行うようになっている［２］に記載の動作制御装置。
　［４］
　前記複数の仮想マシンのそれぞれ毎に使用可能時間が設定されており、
　前記第１処理部は、前記動作マシンに対応する前記使用可能時間から必要とする前記マージン時間を消費する形で前記動作時間の延長を行うようになっている［２］に記載の動作制御装置。
　［５］
　前記第１処理部は、前記動作周期において最後に動作する前記動作マシンの動作が開始される際に前記使用可能時間に余りがある場合、その余りの少なくとも一部を最後に動作する前記動作マシンの前記動作時間に割り当てるようになっている［３］に記載の動作制御装置。
　［６］
　前記第１処理部は、前記禁止期間において前記動作時間が経過した時点で前記特定処理が完了していない場合、異常が発生したと判断して前記切り替え処理および前記異常を外部に通知する通知処理の一方または双方を実行する［１］から［５］のいずれか一項に記載の動作制御装置。
　［７］
　前記第１処理部は、前記禁止期間において前記動作時間が経過した時点で前記特定処理が完了していない場合、異常が発生したと判断して次回以降の前記動作周期において前記許可要求を受信すると前記異常を外部に通知する通知処理を実行する［１］から［６］のいずれか一項に記載の動作制御装置。
　［８］
　前記設定時間は、前記複数の仮想マシンのそれぞれ毎に予め設定されている［１］から［７］のいずれか一項に記載の動作制御装置。
　［９］
　前記第２処理部は、前記禁止要求を受信したとき、前記禁止要求を送信した前記動作マシンが開始する前記特定処理に要する時間に基づいて前記設定時間を設定する［１］から［７］のいずれか一項に記載の動作制御装置。
　［１０］
　前記第１処理部は、前記動作マシンが前記禁止要求を送信した後に前記禁止処理が実行されなかった場合、前記禁止処理が実行されるまで前記動作マシンに前記禁止要求の送信を繰り返し実行させるようになっている［１］から［９］のいずれか一項に記載の動作制御装置。
　［１１］
　前記第１処理部は、前記動作マシンが前記禁止要求を送信した後に前記禁止処理が実行されなかった場合、前記切り替え処理が実行されるまでの期間、前記動作マシンを待機状態とする、または、前記動作マシンを前記特定処理とは異なる別の処理を実行可能な状態とするようになっている［１］から［９］のいずれか一項に記載の動作制御装置。
　［１２］
　前記第１処理部は、前記動作マシンが前記禁止要求を送信した後に前記禁止処理が実行されなかった場合、前記動作マシンに割り当てられた前記動作時間が経過する前に前記切り替え処理を実行する［１］から［９］のいずれか一項に記載の動作制御装置。
　［１３］
　複数の仮想マシン（ＶＭ１０、ＶＭ１１）のそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置（２）に実行させる動作制御プログラムであって、
　前記複数の仮想マシンのうち動作中のものを動作マシンとすると、
　前記動作マシンを切り替える切り替え処理を実行することができる第１処理と、
　前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理と、
　を含み、
　前記動作マシンは、連続して実行しなければならない処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっており、
　前記第２処理では、
　前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、
　前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっており、
　前記許可要求を受信したとき、前記許可処理を実行するようになっており、
　前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する動作制御プログラム。
　［１４］
　コンピュータ（３）と、前記コンピュータ上で動作する複数の仮想マシン（ＶＭ１０、ＶＭ１１）と、前記複数の仮想マシンのそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置（２）と、を備えた電子制御装置であって、
　前記複数の仮想マシンのうち動作中のものを動作マシンとすると、
　前記動作制御装置は、
　前記動作マシンを切り替える切り替え処理を実行することができる第１処理部（２１）と、
　前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理部（２２）と、
　を備え、
　前記動作マシンは、連続して実行しなければならない処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっており、
　前記第２処理部は、
　前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、
　前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっており、
　前記許可要求を受信したとき、前記許可処理を実行するようになっており、
　前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する電子制御装置。

Claims (14)

  1. 　複数の仮想マシン（１０、１１）のそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置であって、
    　前記複数の仮想マシンのうち動作中のものを動作マシンとすると、
    　前記動作マシンを切り替える切り替え処理を実行することができる第１処理部（２１）と、
    　前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理部（２２）と、
    　を備え、
    　前記動作マシンは、連続して実行しなければならない処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっており、
    　前記第２処理部は、
    　前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、
    　前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっており、
    　前記許可要求を受信したとき、前記許可処理を実行するようになっており、
    　前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する動作制御装置。
  2. 　前記第１処理部は、前記禁止期間中、前記動作時間を所定のマージン時間だけ延長することができるようになっており、
    　前記第２処理部は、前記禁止要求を受信した時点から延長した前記動作時間が経過する時点までの時間を前記残り時間として前記判断処理を実行する請求項１に記載の動作制御装置。
  3. 　前記動作周期毎に使用可能時間が設定されており、
    　前記第１処理部は、前記使用可能時間から必要とする前記マージン時間を消費する形で前記動作時間の延長を行うようになっている請求項２に記載の動作制御装置。
  4. 　前記複数の仮想マシンのそれぞれ毎に使用可能時間が設定されており、
    　前記第１処理部は、前記動作マシンに対応する前記使用可能時間から必要とする前記マージン時間を消費する形で前記動作時間の延長を行うようになっている請求項２に記載の動作制御装置。
  5. 　前記第１処理部は、前記動作周期において最後に動作する前記動作マシンの動作が開始される際に前記使用可能時間に余りがある場合、その余りの少なくとも一部を最後に動作する前記動作マシンの前記動作時間に割り当てるようになっている請求項３に記載の動作制御装置。
  6. 　前記第１処理部は、前記禁止期間において前記動作時間が経過した時点で前記特定処理が完了していない場合、異常が発生したと判断して前記切り替え処理および前記異常を外部に通知する通知処理の一方または双方を実行する請求項１から５のいずれか一項に記載の動作制御装置。
  7. 　前記第１処理部は、前記禁止期間において前記動作時間が経過した時点で前記特定処理が完了していない場合、異常が発生したと判断して次回以降の前記動作周期において前記許可要求を受信すると前記異常を外部に通知する通知処理を実行する請求項１から５のいずれか一項に記載の動作制御装置。
  8. 　前記設定時間は、前記複数の仮想マシンのそれぞれ毎に予め設定されている請求項１から５のいずれか一項に記載の動作制御装置。
  9. 　前記第２処理部は、前記禁止要求を受信したとき、前記禁止要求を送信した前記動作マシンが開始する前記特定処理に要する時間に基づいて前記設定時間を設定する請求項１から５のいずれか一項に記載の動作制御装置。
  10. 　前記第１処理部は、前記動作マシンが前記禁止要求を送信した後に前記禁止処理が実行されなかった場合、前記禁止処理が実行されるまで前記動作マシンに前記禁止要求の送信を繰り返し実行させるようになっている請求項１から５のいずれか一項に記載の動作制御装置。
  11. 　前記第１処理部は、前記動作マシンが前記禁止要求を送信した後に前記禁止処理が実行されなかった場合、前記切り替え処理が実行されるまでの期間、前記動作マシンを待機状態とする、または、前記動作マシンを前記特定処理とは異なる別の処理を実行可能な状態とするようになっている請求項１から５のいずれか一項に記載の動作制御装置。
  12. 　前記第１処理部は、前記動作マシンが前記禁止要求を送信した後に前記禁止処理が実行されなかった場合、前記動作マシンに割り当てられた前記動作時間が経過する前に前記切り替え処理を実行する請求項１から５のいずれか一項に記載の動作制御装置。
  13. 　複数の仮想マシン（ＶＭ１０、ＶＭ１１）のそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置（２）に実行させる動作制御プログラムであって、
    　前記複数の仮想マシンのうち動作中のものを動作マシンとすると、
    　前記動作マシンを切り替える切り替え処理を実行することができる第１処理と、
    　前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理と、
    　を含み、
    　前記動作マシンは、連続して実行しなければならない処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっており、
    　前記第２処理では、
    　前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、
    　前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっており、
    　前記許可要求を受信したとき、前記許可処理を実行するようになっており、
    　前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する動作制御プログラム。
  14. 　コンピュータ（３）と、前記コンピュータ上で動作する複数の仮想マシン（ＶＭ１０、ＶＭ１１）と、前記複数の仮想マシンのそれぞれを動作周期毎に予め割り当てられた動作時間ずつ時分割で動作させるための制御を行う動作制御装置（２）と、を備えた電子制御装置であって、
    　前記複数の仮想マシンのうち動作中のものを動作マシンとすると、
    　前記動作制御装置は、
    　前記動作マシンを切り替える切り替え処理を実行することができる第１処理部（２１）と、
    　前記切り替え処理の実行を禁止する禁止処理および前記切り替え処理の実行を許可する許可処理を実行することができる第２処理部（２２）と、
    　を備え、
    　前記動作マシンは、連続して実行しなければならない処理である特定処理を開始する際に禁止要求を送信するとともに、前記特定処理を完了した際に許可要求を送信するようになっており、
    　前記第２処理部は、
    　前記禁止要求を受信したとき、その時点から前記動作時間が経過する時点までの時間である残り時間が所定の設定時間以上の時間であるか否かを判断する判断処理を実行し、
    　前記判断処理の結果、前記残り時間が前記設定時間以上の時間である場合には前記禁止処理を実行するとともに、前記残り時間が前記設定時間未満の時間である場合には前記禁止処理を実行しないようになっており、
    　前記許可要求を受信したとき、前記許可処理を実行するようになっており、
    　前記動作マシンは、前記禁止処理が実行されている期間である禁止期間中に前記特定処理を実行する電子制御装置。
PCT/JP2024/038347 2023-11-28 2024-10-28 動作制御装置、動作制御プログラムおよび電子制御装置 Pending WO2025115486A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2023-200713 2023-11-28
JP2023200713A JP2025086620A (ja) 2023-11-28 2023-11-28 動作制御装置、動作制御プログラムおよび電子制御装置

Publications (1)

Publication Number Publication Date
WO2025115486A1 true WO2025115486A1 (ja) 2025-06-05

Family

ID=95897640

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2024/038347 Pending WO2025115486A1 (ja) 2023-11-28 2024-10-28 動作制御装置、動作制御プログラムおよび電子制御装置

Country Status (2)

Country Link
JP (1) JP2025086620A (ja)
WO (1) WO2025115486A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004127039A (ja) * 2002-10-03 2004-04-22 Seiko Epson Corp タスク排他制御方法及びタスク排他制御装置
JP2023032307A (ja) * 2021-08-26 2023-03-09 株式会社デンソーテン 仮想化制御装置および割り込み制御方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004127039A (ja) * 2002-10-03 2004-04-22 Seiko Epson Corp タスク排他制御方法及びタスク排他制御装置
JP2023032307A (ja) * 2021-08-26 2023-03-09 株式会社デンソーテン 仮想化制御装置および割り込み制御方法

Also Published As

Publication number Publication date
JP2025086620A (ja) 2025-06-09

Similar Documents

Publication Publication Date Title
JP6903784B2 (ja) 車両システム、車両およびこの種の車両システムの動作方法
JP5195913B2 (ja) マルチコアシステム、車両用電子制御ユニット、タスク切り替え方法
JP2006099331A (ja) 情報処理装置、割り込み処理制御方法、並びにコンピュータ・プログラム
JP2009223842A (ja) 仮想計算機制御プログラム及び仮想計算機システム
US10571993B2 (en) Micro controller unit
US12032983B2 (en) Method of accessing device in virtual environment
EP3036629B1 (en) Handling time intensive instructions
WO2025115486A1 (ja) 動作制御装置、動作制御プログラムおよび電子制御装置
CN115220864A (zh) 虚拟模式执行管理器
JP5996110B2 (ja) 計算機システム及び制御方法
JP7619222B2 (ja) 電子制御装置
US8522060B2 (en) Computer system, method for controlling the same, and program
US10269194B2 (en) Multiprocessor system and vehicle control system
US12578986B2 (en) Information processing device, vehicle, information processing method, and computer-readable storage medium
JP5842833B2 (ja) 情報処理装置、プログラム
JP2023032307A (ja) 仮想化制御装置および割り込み制御方法
CN118689599A (zh) 中断处理的方法、装置和电子设备
JP7754769B2 (ja) 管理装置、管理プログラムおよび電子制御装置
JP2024062067A (ja) 仮想化制御装置および仮想化制御方法
JP2025112863A (ja) 電子制御装置、メモリ領域の割り当て方法及びメモリ領域の割り当てプログラム
JP5703505B2 (ja) バスパーティション構造を備えるコンピュータ
JP2023152485A (ja) 処理装置
KR20260011635A (ko) 정적으로 정의된 작업을 활성화시키도록 구성된 멀티코어 프로세서 컴퓨터 시스템 및 이러한 멀티코어 프로세서의 관리 방법
JP2022098090A (ja) 車両制御装置
JP2013190929A (ja) マイクロコンピュータ

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24897175

Country of ref document: EP

Kind code of ref document: A1