知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024115749
(43)【公開日】2024-08-27
(54)【発明の名称】電子制御装置
(51)【国際特許分類】
G06F 11/07 20060101AFI20240820BHJP
G06F 21/62 20130101ALI20240820BHJP
G06F 9/455 20180101ALI20240820BHJP
【ＦＩ】
G06F11/07 196
G06F21/62
G06F9/455 150
G06F11/07 140C
【審査請求】未請求
【請求項の数】5
【出願形態】ＯＬ
(21)【出願番号】P 2023021574
(22)【出願日】2023-02-15
(71)【出願人】
【識別番号】000004260
【氏名又は名称】株式会社デンソー
(74)【代理人】
【識別番号】110000578
【氏名又は名称】名古屋国際弁理士法人
(72)【発明者】
【氏名】佐々木 満
(72)【発明者】
【氏名】国部 浩生
【テーマコード（参考）】
5B042
【Ｆターム（参考）】
5B042GA22
5B042KK04
(57)【要約】
【課題】本開示の１つの局面は、異常な仮想マシンが資源にアクセスすることを抑制する技術を提供する。
【解決手段】本開示の１つの態様による電子制御装置１０は、複数の仮想マシン４０～７０と、複数の仮想マシンの動作を管理するハイパーバイザ３０と、複数の仮想マシンがアクセスする資源２０と、を備える。複数の仮想マシンのうち監視仮想マシン４０は、監視仮想マシン以外の他の仮想マシン５０～７０が正常か異常かを判定するように構成された判定部４２を備える。ハイパーバイザは、他の仮想マシンの少なくともいずれかが異常と判定部が判定すると、異常な仮想マシンの資源に対するアクセスを禁止するアクセス管理部３２を備える。
【選択図】図１
【解決手段】本開示の１つの態様による電子制御装置１０は、複数の仮想マシン４０～７０と、複数の仮想マシンの動作を管理するハイパーバイザ３０と、複数の仮想マシンがアクセスする資源２０と、を備える。複数の仮想マシンのうち監視仮想マシン４０は、監視仮想マシン以外の他の仮想マシン５０～７０が正常か異常かを判定するように構成された判定部４２を備える。ハイパーバイザは、他の仮想マシンの少なくともいずれかが異常と判定部が判定すると、異常な仮想マシンの資源に対するアクセスを禁止するアクセス管理部３２を備える。
【選択図】図１
【特許請求の範囲】
【請求項1】
複数の仮想マシン（４０～７０）と、
前記複数の仮想マシンの動作を管理するハイパーバイザ（３０）と、
前記複数の仮想マシンがアクセスする資源（２０）と、
を備える電子制御装置（１０）であって、
前記複数の仮想マシンのうち監視仮想マシン（４０）は、前記監視仮想マシン以外の他の前記仮想マシン（５０～７０）が正常か異常かを判定するように構成された判定部（４２、Ｓ４００～Ｓ４０６）を備え、
前記ハイパーバイザは、他の前記仮想マシンの少なくともいずれかが異常と前記判定部が判定すると、異常な前記仮想マシンの前記資源に対するアクセスを禁止するように構成されたアクセス管理部（３２、Ｓ４１０～Ｓ４１８）を備える、
電子制御装置。
前記複数の仮想マシンの動作を管理するハイパーバイザ（３０）と、
前記複数の仮想マシンがアクセスする資源（２０）と、
を備える電子制御装置（１０）であって、
前記複数の仮想マシンのうち監視仮想マシン（４０）は、前記監視仮想マシン以外の他の前記仮想マシン（５０～７０）が正常か異常かを判定するように構成された判定部（４２、Ｓ４００～Ｓ４０６）を備え、
前記ハイパーバイザは、他の前記仮想マシンの少なくともいずれかが異常と前記判定部が判定すると、異常な前記仮想マシンの前記資源に対するアクセスを禁止するように構成されたアクセス管理部（３２、Ｓ４１０～Ｓ４１８）を備える、
電子制御装置。
【請求項2】
請求項１に記載の電子制御装置であって、
前記ハイパーバイザは、異常な前記仮想マシンにフェールセーフを実行するように構成されたフェールセーフ部（３４、Ｓ４２０）をさらに備える、
電子制御装置。
前記ハイパーバイザは、異常な前記仮想マシンにフェールセーフを実行するように構成されたフェールセーフ部（３４、Ｓ４２０）をさらに備える、
電子制御装置。
【請求項3】
請求項１に記載の電子制御装置であって、
前記資源の少なくとも１つは、前記複数の仮想マシンの間の通信に使用される共有メモリ（２２）である、
電子制御装置。
前記資源の少なくとも１つは、前記複数の仮想マシンの間の通信に使用される共有メモリ（２２）である、
電子制御装置。
【請求項4】
請求項１に記載の電子制御装置であって、
他の前記仮想マシンのそれぞれについて、それぞれの前記仮想マシンが正常なときの前記資源に対するアクセス権が前記資源のそれぞれに対して設定されている、
電子制御装置。
他の前記仮想マシンのそれぞれについて、それぞれの前記仮想マシンが正常なときの前記資源に対するアクセス権が前記資源のそれぞれに対して設定されている、
電子制御装置。
【請求項5】
請求項４に記載の電子制御装置であって、
前記アクセス管理部（Ｓ４１６、Ｓ４１８）は、異常な前記仮想マシンが正常になったと前記判定部が判定すると、正常になった前記仮想マシンの前記資源に対する前記アクセス権を、前記仮想マシンが正常なときの前記アクセス権に設定するように構成されている、
電子制御装置。
前記アクセス管理部（Ｓ４１６、Ｓ４１８）は、異常な前記仮想マシンが正常になったと前記判定部が判定すると、正常になった前記仮想マシンの前記資源に対する前記アクセス権を、前記仮想マシンが正常なときの前記アクセス権に設定するように構成されている、
電子制御装置。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、仮想マシンの動作を管理する技術に関する。
【背景技術】
【0002】
下記の特許文献１には、電子制御装置において、第１の仮想ＣＰＵで実行されるアプリケーションプログラムの動作を、第２の仮想ＣＰＵで実行される監視プログラムが監視する技術が記載されている。監視プログラムは、アプリケーションプログラムが一定周期でレジスタに所定値を書き込むか否かを判定することにより、アプリケーションプログラムが正常に動作しているかを判定する。
【0003】
監視プログラムは、アプリケーションプログラムが正常に動作していないと判定すると、第１の仮想ＣＰＵをリセットする。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０１１－２２９３４号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、発明者の詳細な検討の結果、リセットされて正常な状態に復帰する前の第１の仮想ＣＰＵが、電子制御装置のメモリ、入出力装置、などの資源にアクセスする可能性があるという課題が見出された。
【0006】
例えば、正常な状態に復帰する前の第１の仮想ＣＰＵは、メモリに不正なデータを書き込んだり、入出力装置を不正に作動させたり、など、電子制御装置の資源に不正なアクセスを行う可能性がある。
【0007】
本開示の１つの局面は、異常な仮想マシンが資源にアクセスすることを抑制する技術を提供することが望ましい。
【課題を解決するための手段】
【0008】
本開示の１つの態様による電子制御装置（１０）は、複数の仮想マシン（４０～７０）と、複数の仮想マシンの動作を管理するハイパーバイザ（３０）と、複数の仮想マシンがアクセスする資源（２０）と、を備える。
【0009】
複数の仮想マシンのうち監視仮想マシン（４０）は、監視仮想マシン以外の他の仮想マシン（５０～７０）が正常か異常かを判定するように構成された判定部（４２、Ｓ４００～Ｓ４０６）を備える。
【0010】
ハイパーバイザは、他の仮想マシンの少なくともいずれかが異常と判定部が判定すると、異常な仮想マシンの資源に対するアクセスを禁止するアクセス管理部（３２、Ｓ４１０～Ｓ４１８）を備える。
【0011】
このような構成によれば、電子制御装置の資源に対して異常な仮想マシンのアクセスが禁止されるので、異常な仮想マシンが電子制御装置の資源に不正なアクセスをすることが抑制される。
【図面の簡単な説明】
【0012】
【図1】本実施形態の電子制御装置の構成を示すブロック図。
【図2】仮想マシンが正常なときのアクセス権の設定を説明する図。
【図3】仮想マシンが異常になったときのアクセス権の設定を説明する図。
【図4】監視仮想マシンによる監視処理を示すフローチャート。
【図5】ハイパーバイザによるアクセス権設定処理を示すフローチャート。
【図6】ハイパーバイザによるフェールセーフ処理を示すフローチャート。
【発明を実施するための形態】
【0013】
以下、図を参照しながら、本開示の実施形態を説明する。
［１．構成］
図１に示す電子制御装置１０は、例えば、車両に搭載されており、資源２０と、ハイパーバイザ３０と、仮想マシン４０～７０と、を備える。以下、電子制御装置はＥＣＵ、ハイパーバイザはＨＶ、仮想マシンはＶＭ、とも記載される。
［１．構成］
図１に示す電子制御装置１０は、例えば、車両に搭載されており、資源２０と、ハイパーバイザ３０と、仮想マシン４０～７０と、を備える。以下、電子制御装置はＥＣＵ、ハイパーバイザはＨＶ、仮想マシンはＶＭ、とも記載される。
【0014】
ＥＣＵ１０は、ＣＰＵ、ＲＡＭ、ＲＯＭ、入出力インタフェース、などを備える１個または複数のマイクロコンピュータを中心に構成される。ＣＰＵは、ＲＯＭ等の非遷移的実体的記録媒体に記憶されているプログラムを実行する。当該プログラムが実行されることで、当該プログラムに対応する処理が実行される。
【0015】
資源２０は、共有メモリ２２と、入出力装置２４と、などを備える。図示しないが、資源２０として、車載ネットワークへのインタフェースなども含まれる。
ＨＶ３０は、ＶＭ４０～７０の動作を管理する機能ブロックとして、ＲＯＭに格納されたプログラムをＣＰＵが実行することにより実現されるアクセス管理部３２と、フェールセーフ部３４と、を備える。
ＨＶ３０は、ＶＭ４０～７０の動作を管理する機能ブロックとして、ＲＯＭに格納されたプログラムをＣＰＵが実行することにより実現されるアクセス管理部３２と、フェールセーフ部３４と、を備える。
【0016】
アクセス管理部３２は、ＶＭ５０～７０の資源２０に対するアクセス権を管理する。ＶＭ４０は、資源２０に対するアクセス権をアクセス管理部３２により管理されておらず、資源２０に対するアクセスが許可されている。フェールセーフ部３４は、異常なＶＭ５０～７０に対して、リセットなどのフェールセーフを実行する。
【0017】
ＶＭ４０～７０は、共有メモリ２２にデータを書き込んだり読み出したりすることにより、ＶＭ４０～７０の間で互いに通信する。ＶＭ４０～７０は、入出力装置２４を使用して互いに通信してもよい。入出力装置２４は、例えば、センサ、アクチュエータ等の外部装置でもよいし、ＶＭ４０～７０間ではなく、ＶＭ４０～７０と他のＥＣＵとの通信手段である通信装置でもよい。
【0018】
ＶＭ４０は、ＲＯＭに格納されたプログラムをＣＰＵが実行することにより実現される機能ブロックとして、判定部４２と、通知部４４と、を備える。判定部４２は、ＶＭ４０以外のＶＭ５０～７０が正常か異常かを判定する。通知部４４は、資源２０に対するＶＭ５０～７０のアクセス権の設定要求を、ＨＶ３０に通知する。
【0019】
ＶＭ５０～７０は、ＲＯＭに格納されたプログラムをＣＰＵが実行することにより実現される機能ブロックとして、それぞれ処理部５２、６２、７２と、診断部５４、６４、７４と、を備える。処理部５２、６２、７２には、それぞれ、車両を制御する車両制御が割り当てられている。
【0020】
診断部５４、６４、７４は、それぞれ、自ＶＭが正常か異常かを診断し、その診断結果を、自ＶＭに割り当てられた共有メモリ２２の領域に書き込む。例えば、診断部５４、６４、７４は、自己診断により自ＶＭが正常か異常かを診断する。
【0021】
自己診断として、ＲＯＭ診断とＲＡＭ診断とレジスタ診断とフロー診断とＣＰＵ診断と、などが実行される。
ＲＡＭ診断は、ＶＭ５０～７０のそれぞれに割り当てられた図示しないＲＡＭの記憶領域において、例えば読み出しおよび書き込みを行う際に、ＥＣＣにより、ＲＡＭの記憶領域が正常か異常かを判定することにより実行される。ＥＣＣは、Error Correcting Codeの略である。
ＲＡＭ診断は、ＶＭ５０～７０のそれぞれに割り当てられた図示しないＲＡＭの記憶領域において、例えば読み出しおよび書き込みを行う際に、ＥＣＣにより、ＲＡＭの記憶領域が正常か異常かを判定することにより実行される。ＥＣＣは、Error Correcting Codeの略である。
【0022】
ＲＡＭ診断は、ＥＣＣに限るものではなく、書き込みデータが正常に読み出せるか否かにより実行されてもよい。
ＲＯＭ診断は、ＶＭ５０～７０のそれぞれに割り当てられた図示しないＲＯＭの記憶領域において、例えばＣＲＣにより、ＲＯＭの記憶領域が正常か異常かを診断する。ＣＲＣは、Cyclic Redundancy Checkの略である。
ＲＯＭ診断は、ＶＭ５０～７０のそれぞれに割り当てられた図示しないＲＯＭの記憶領域において、例えばＣＲＣにより、ＲＯＭの記憶領域が正常か異常かを診断する。ＣＲＣは、Cyclic Redundancy Checkの略である。
【0023】
ＲＯＭ診断は、ＣＲＣに限るものではなく、チェックサムが一致するか否かにより行ってもよい。
レジスタ診断は、例えば、ＶＭ５０～７０のそれぞれに割り当てられた図示しないレジスタに書き込んだデータが正常に読み出せるか否かにより実行される。
レジスタ診断は、例えば、ＶＭ５０～７０のそれぞれに割り当てられた図示しないレジスタに書き込んだデータが正常に読み出せるか否かにより実行される。
【0024】
フロー診断は、ＶＭ５０～７０のそれぞれが実行する処理フローにおいて、実行すべきステップが実行されているか否かを判定することにより実行される。
ＣＰＵ診断は、次のようにして実行される。まず、ＶＭ４０がＶＭ５０～７０に出した例題をそれぞれの診断部５４、６４、７４が演算し、その演算結果を自ＶＭに割り当てられた供給メモリ２２に書き込む。ＶＭ４０の判定部４２は、ＶＭ５０～７０の演算結果と例題に対する回答期待値とを比較し、ＶＭ５０～７０のそれぞれが正常か異常かを判定する。
ＣＰＵ診断は、次のようにして実行される。まず、ＶＭ４０がＶＭ５０～７０に出した例題をそれぞれの診断部５４、６４、７４が演算し、その演算結果を自ＶＭに割り当てられた供給メモリ２２に書き込む。ＶＭ４０の判定部４２は、ＶＭ５０～７０の演算結果と例題に対する回答期待値とを比較し、ＶＭ５０～７０のそれぞれが正常か異常かを判定する。
【0025】
［２．アクセス権］
図２に示すように、ＶＭ５０～７０には、資源２０である共有メモリ２２と入出力装置２４とに対して、通常アクセス権が設定されている。通常アクセス権は、ＶＭ５０～７０が正常な場合に、共有メモリ２２と入出力装置２４とに対してＶＭ５０～７０に設定されているアクセス権である。アクセス権は、それぞれのＶＭ５０～７０について、資源２０のそれぞれに対して、本実施形態では共有メモリ２２と入出力装置２４とのそれぞれに対して設定されている。
図２に示すように、ＶＭ５０～７０には、資源２０である共有メモリ２２と入出力装置２４とに対して、通常アクセス権が設定されている。通常アクセス権は、ＶＭ５０～７０が正常な場合に、共有メモリ２２と入出力装置２４とに対してＶＭ５０～７０に設定されているアクセス権である。アクセス権は、それぞれのＶＭ５０～７０について、資源２０のそれぞれに対して、本実施形態では共有メモリ２２と入出力装置２４とのそれぞれに対して設定されている。
【0026】
本実施形態では、ＶＭ４０は正常か異常かを判定されず、共有メモリ２２と入出力装置２４とに対してアクセス可能である。そこで、図２において、共有メモリ２２と入出力装置２４とに対するＶＭ４０の通常アクセス権には、設定が不要であることを示す「－」が記載されている。
【0027】
通常アクセス権の１はアクセスが許可されていることを表し、０はアクセスが禁止されていることを表す。
ＶＭ５０～７０の品質レベルとして、正常または異常が設定される。そして、正常に対して１のマスク値が設定され、異常に対して０のマスク値が設定される。
ＶＭ５０～７０の品質レベルとして、正常または異常が設定される。そして、正常に対して１のマスク値が設定され、異常に対して０のマスク値が設定される。
【0028】
前述したように、ＶＭ４０は正常か異常かを判定されないので、品質レベルも設定されず、マスク値も設定されない。
図３に示すように、例えばＶＭ５０が異常になると、品質レベルとして異常が設定され、マスク値が０に設定される。
図３に示すように、例えばＶＭ５０が異常になると、品質レベルとして異常が設定され、マスク値が０に設定される。
【0029】
ＶＭ５０のマスク値が０に設定されると、通常アクセス権とマスク値とがＡＮＤ処理され乗算されることにより、ＶＭ５０の共有メモリ２２と入出力装置２４とに対するアクセス権は０になる。これにより、ＶＭ５０の共有メモリ２２と入出力装置２４とに対するアクセスは禁止される。
【0030】
【0031】
Ｓ４００においてＶＭ４０の判定部４２は、共有メモリ２２に書き込まれた監視対象である対象ＶＭによる自己診断の診断結果が正常か否かを判定する。
また、判定部４２は、ＶＭ４０が対象ＶＭに出した例題の演算結果を診断結果として取得し、例題に対する対象ＶＭの演算結果と回答期待値とが一致するか否かにより、対象ＶＭの診断結果が正常か否かを判定する。
また、判定部４２は、ＶＭ４０が対象ＶＭに出した例題の演算結果を診断結果として取得し、例題に対する対象ＶＭの演算結果と回答期待値とが一致するか否かにより、対象ＶＭの診断結果が正常か否かを判定する。
【0032】
Ｓ４００の判定がＮｏである、つまり対象ＶＭの診断結果が異常の場合、処理はＳ４０６に移行する。
Ｓ４００の判定がＹｅｓである、つまり対象ＶＭの診断結果が正常の場合、Ｓ４０２において判定部４２は、対象ＶＭの品質レベルとして正常が設定されているか否かを判定する。Ｓ４０２の判定がＹｅｓである、つまり対象ＶＭの品質レベルとして正常が設定されている場合、判定部４２は本処理を終了する。
Ｓ４００の判定がＹｅｓである、つまり対象ＶＭの診断結果が正常の場合、Ｓ４０２において判定部４２は、対象ＶＭの品質レベルとして正常が設定されているか否かを判定する。Ｓ４０２の判定がＹｅｓである、つまり対象ＶＭの品質レベルとして正常が設定されている場合、判定部４２は本処理を終了する。
【0033】
Ｓ４０２の判定がＮｏである、つまり対象ＶＭの品質レベルとして異常が設定されている場合、Ｓ４０４において判定部４２は、対象ＶＭの品質レベルを正常に設定するようにＨＶ３０に要求し、本処理を終了する。
【0034】
Ｓ４０６において判定部４２は、対象ＶＭの品質レベルを異常に設定するようにＨＶ３０に要求する。Ｓ４０８において判定部４２は、対象ＶＭに対するフェールセーフをＨＶ３０に要求し、本処理を終了する。対象ＶＭに対するフェールセーフとして、例えば、対象ＶＭに対するリセットが要求される。
【0035】
Ｓ４０４～Ｓ４０８のＶＭ４０からＨＶ３０に対する要求は、例えば、判定部４２がＶＭ４０に割り当てられた共有メモリ２２の領域に要求を書き込むことにより行われる。
（２）ＨＶ３０のアクセス権設定処理
図５に示すアクセス権設定処理のフローチャートは、図４のＳ４０４とＳ４０６とにおいてＶＭ４０が品質レベルの変更を要求すると、ＨＶ３０により実行される。
（２）ＨＶ３０のアクセス権設定処理
図５に示すアクセス権設定処理のフローチャートは、図４のＳ４０４とＳ４０６とにおいてＶＭ４０が品質レベルの変更を要求すると、ＨＶ３０により実行される。
【0036】
Ｓ４１０においてＨＶ３０のアクセス管理部３２は、ＶＭ４０に割り当てられた共有メモリ２２の領域に書き込まれた品質レベルの設定要求を読み出し、対象ＶＭの品質レベルを正常に設定するか異常に設定するか、のいずれが要求されているかを判定する。
【0037】
Ｓ４１０の判定がＹｅｓである、つまり、対象ＶＭの品質レベルを正常に設定する要求の場合、Ｓ４１２においてアクセス管理部３２は、対象ＶＭの品質レベルを正常に設定し、処理をＳ４１６に移行する。
【0038】
Ｓ４１０の判定がＮｏである、つまり、対象ＶＭの品質レベルを異常に設定する要求の場合、Ｓ４１４においてアクセス管理部３２は、対象ＶＭの品質レベルを異常に設定し、処理をＳ４１６に移行する。
【0039】
Ｓ４１６においてアクセス管理部３２は、対象ＶＭの通常のアクセス権を読み出す。Ｓ４１８においてアクセス管理部３２は、対象ＶＭの通常のアクセス権と対象ＶＭの品質レベルに応じたマスク値とをＡＮＤ処理して乗算することにより、対象ＶＭのアクセス権を設定する。
【0040】
【0041】
Ｓ４２０においてＨＶ３０のフェールセーフ部３４は、対象ＶＭに対するフェールセーフとして、例えばＶＭをリセットし、本処理を終了する。
以上説明した実施形態では、ＶＭ４０が監視仮想マシンに対応し、ＶＭ５０～７０が監視仮想マシン以外の他の仮想マシンに対応する。
以上説明した実施形態では、ＶＭ４０が監視仮想マシンに対応し、ＶＭ５０～７０が監視仮想マシン以外の他の仮想マシンに対応する。
【0042】
また、Ｓ４００～Ｓ４０６が監視仮想マシンの判定部の処理に対応し、Ｓ４１０～Ｓ４１８がハイパーバイザのアクセス管理部の処理に対応し、Ｓ４２０がハイパーバイザのフェールセーフ部の処理に対応する。
【0043】
［４．効果］
以上説明した実施形態によれば、以下の効果を得ることができる。
（４ａ）監視仮想マシンであるＶＭ４０が自ＶＭ以外の他のＶＭ５０～７０のいずれかを異常と判定すると、ＨＶ３０が異常なＶＭの資源２０に対するアクセスを禁止する。
以上説明した実施形態によれば、以下の効果を得ることができる。
（４ａ）監視仮想マシンであるＶＭ４０が自ＶＭ以外の他のＶＭ５０～７０のいずれかを異常と判定すると、ＨＶ３０が異常なＶＭの資源２０に対するアクセスを禁止する。
【0044】
これにより、異常なＶＭがＨＶ３０にリセットされて正常な状態に復帰するまでの間に、資源２０に不正なアクセスを行うことを抑制できる。
その結果、異常なＶＭが、ＨＶ３０にリセットされて正常な状態に復帰するまでの間に、共有メモリ２２または入出力装置２４にアクセスして、他のＶＭと不正なＶＭ間の通信を行うことを抑制できる。
その結果、異常なＶＭが、ＨＶ３０にリセットされて正常な状態に復帰するまでの間に、共有メモリ２２または入出力装置２４にアクセスして、他のＶＭと不正なＶＭ間の通信を行うことを抑制できる。
【0045】
また、異常なＶＭが、ＨＶ３０にリセットされて正常な状態に復帰するまでの間に、資源２０にアクセスして不正な車両制御を行うことを抑制できる。
（４ｂ）異常なＶＭが正常になると、ＶＭが正常なときに設定されている資源２０に対する通常のアクセス権が設定されるので、正常だったときと同じアクセス権で資源２０にアクセスできる。
（４ｂ）異常なＶＭが正常になると、ＶＭが正常なときに設定されている資源２０に対する通常のアクセス権が設定されるので、正常だったときと同じアクセス権で資源２０にアクセスできる。
【0046】
［５．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は前述した実施形態に限定されることなく、種々変形して実施することができる。
以上、本開示の実施形態について説明したが、本開示は前述した実施形態に限定されることなく、種々変形して実施することができる。
【0047】
（５ａ）前述した実施形態では、監視仮想マシンであるＶＭ４０は、他のＶＭに対する監視処理だけを行ったがこれに限るものではない。監視仮想マシンであるＶＭ４０は、監視処理に加えて、何等かの車両制御処理を行ってもよい。
【0048】
この場合、監視仮想マシンであるＶＭ４０が実行する車両制御処理は、処理負荷の小さいドアの開閉制御等の処理であることが望ましい。
（５ｂ）前述した実施形態では、ＶＭ５０～７０のそれぞれについて、それぞれのＶＭ５０～７０が正常なときの資源２０に対するアクセス権が、それぞれの資源２０について設定されているが、これに限るものではない。例えば、ＶＭ５０～７０のそれぞれについて、それぞれの資源２０について同じアクセス権が設定されていてもよい。
（５ｂ）前述した実施形態では、ＶＭ５０～７０のそれぞれについて、それぞれのＶＭ５０～７０が正常なときの資源２０に対するアクセス権が、それぞれの資源２０について設定されているが、これに限るものではない。例えば、ＶＭ５０～７０のそれぞれについて、それぞれの資源２０について同じアクセス権が設定されていてもよい。
【0049】
（５ｃ）前述した実施形態では、電子制御装置であるＥＣＵ１０は車両に搭載され、車両制御を実行したが、これに限るものではない。電子制御装置においてハイパーバイザが仮想マシンの動作を管理し、ハイパーバイザが異常な仮想マシンの資源に対するアクセスを禁止するのであれば、どのような技術分野で電子制御装置が使用されてもよい。
【0050】
（５ｄ）本開示に記載のＥＣＵ１０およびその手法は、コンピュータプログラムにより具体化された１つまたは複数の機能を実行するようにプログラムされたプロセッサおよびメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。
【0051】
あるいは、本開示に記載のＥＣＵ１０およびその手法は、１つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。
【0052】
もしくは、本開示に記載のＥＣＵ１０およびその手法は、１つまたは複数の機能を実行するようにプログラムされたプロセッサおよびメモリと１つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された１つ以上の専用コンピュータにより、実現されてもよい。
【0053】
また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷的実体的記録媒体に記憶されてもよい。マイコン２～６に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、１つまたは複数のハードウェアを用いて実現されてもよい。
【0054】
（５ｅ）前述した実施形態における１つの構成要素が備える複数の機能を、複数の構成要素によって実現したり、１つの構成要素が備える１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が備える複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、前述した実施形態の構成の一部を省略してもよい。また、前述した実施形態の構成の少なくとも一部を、他の前述した実施形態の構成に対して付加または置換してもよい。
【0055】
（５ｆ）前述したＥＣＵ１０の他、当該ＥＣＵ１０を構成要素とするシステム、当該ＥＣＵ１０としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、当該ＥＣＵ１０が実行する電子制御方法など、種々の形態で本開示を実現することもできる。
【0056】
［本明細書が開示する技術思想］
［項目１］
複数の仮想マシン（４０～７０）と、
前記複数の仮想マシンの動作を管理するハイパーバイザ（３０）と、
前記複数の仮想マシンがアクセスする資源（２０）と、
を備える電子制御装置（１０）であって、
前記複数の仮想マシンのうち監視仮想マシン（４０）は、前記監視仮想マシン以外の他の前記仮想マシン（５０～７０）が正常か異常かを判定するように構成された判定部（４２、Ｓ４００～Ｓ４０６）を備え、
前記ハイパーバイザは、他の前記仮想マシンの少なくともいずれかが異常と前記判定部が判定すると、異常な前記仮想マシンの前記資源に対するアクセスを禁止するように構成されたアクセス管理部（３２、Ｓ４１０～Ｓ４１８）を備える、
電子制御装置。
［項目１］
複数の仮想マシン（４０～７０）と、
前記複数の仮想マシンの動作を管理するハイパーバイザ（３０）と、
前記複数の仮想マシンがアクセスする資源（２０）と、
を備える電子制御装置（１０）であって、
前記複数の仮想マシンのうち監視仮想マシン（４０）は、前記監視仮想マシン以外の他の前記仮想マシン（５０～７０）が正常か異常かを判定するように構成された判定部（４２、Ｓ４００～Ｓ４０６）を備え、
前記ハイパーバイザは、他の前記仮想マシンの少なくともいずれかが異常と前記判定部が判定すると、異常な前記仮想マシンの前記資源に対するアクセスを禁止するように構成されたアクセス管理部（３２、Ｓ４１０～Ｓ４１８）を備える、
電子制御装置。
【0057】
［項目２］
項目１に記載の電子制御装置であって、
前記ハイパーバイザは、異常な前記仮想マシンにフェールセーフを実行するように構成されたフェールセーフ部（３４、Ｓ４２０）をさらに備える、
電子制御装置。
項目１に記載の電子制御装置であって、
前記ハイパーバイザは、異常な前記仮想マシンにフェールセーフを実行するように構成されたフェールセーフ部（３４、Ｓ４２０）をさらに備える、
電子制御装置。
【0058】
［項目３］
項目１または２に記載の電子制御装置であって、
前記資源の少なくとも１つは、前記複数の仮想マシンの間の通信に使用される共有メモリ（２２）である、
電子制御装置。
項目１または２に記載の電子制御装置であって、
前記資源の少なくとも１つは、前記複数の仮想マシンの間の通信に使用される共有メモリ（２２）である、
電子制御装置。
【0059】
［項目４］
項目１から３のいずれか１項に記載の電子制御装置であって、
他の前記仮想マシンのそれぞれについて、それぞれの前記仮想マシンが正常なときの前記資源に対するアクセス権が、前記資源のそれぞれに対して設定されている、
電子制御装置。
項目１から３のいずれか１項に記載の電子制御装置であって、
他の前記仮想マシンのそれぞれについて、それぞれの前記仮想マシンが正常なときの前記資源に対するアクセス権が、前記資源のそれぞれに対して設定されている、
電子制御装置。
【0060】
［項目５］
項目１から４のいずれか１項に記載の電子制御装置であって、
前記アクセス管理部（Ｓ４１６、Ｓ４１８）は、異常な前記仮想マシンが正常になったと前記判定部が判定すると、正常になった前記仮想マシンの前記資源に対するアクセス権を、前記仮想マシンが正常なときの前記アクセス権に設定するように構成されている、
電子制御装置。
項目１から４のいずれか１項に記載の電子制御装置であって、
前記アクセス管理部（Ｓ４１６、Ｓ４１８）は、異常な前記仮想マシンが正常になったと前記判定部が判定すると、正常になった前記仮想マシンの前記資源に対するアクセス権を、前記仮想マシンが正常なときの前記アクセス権に設定するように構成されている、
電子制御装置。
【符号の説明】
【0061】
１０：ＥＣＵ（電子制御装置）、２０：資源、２２：共有メモリ（資源）、２４：入出力装置（資源）、３０：ＶＭ（ハイパーバイザ）、３２：アクセス管理部、３４：フェールセーフ部、４０：ＶＭ（監視仮想マシン）、４２：判定部、５０～７０：ＶＭ（監視仮想マシン以外の他の仮想マシン）
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】