特許 7397655 自動車用電子制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-05

(45)【発行日】2023-12-13

(54)【発明の名称】自動車用電子制御装置

(51)【国際特許分類】

   G06F 11/20 20060101AFI20231206BHJP

   B60R 16/02 20060101ALI20231206BHJP

   G06F 15/78 20060101ALI20231206BHJP

   G06F 15/177 20060101ALI20231206BHJP

【ＦＩ】

G06F11/20 623

B60R16/02 660G

G06F15/78 516

G06F15/177 Z

【請求項の数】 6

(21)【出願番号】P 2019228821

(22)【出願日】2019-12-19

(65)【公開番号】P2021096729

(43)【公開日】2021-06-24

【審査請求日】2022-06-13

(73)【特許権者】

【識別番号】509186579

【氏名又は名称】日立Ａｓｔｅｍｏ株式会社

(74)【代理人】

【識別番号】100129425

【弁理士】

【氏名又は名称】小川 護晃

(74)【代理人】

【氏名又は名称】西山 春之

(74)【代理人】

【識別番号】100168642

【弁理士】

【氏名又は名称】関谷 充司

(72)【発明者】

【氏名】富沢 寛

(72)【発明者】

【氏名】手島 大介

【審査官】坂東 博司

(56)【参考文献】

【文献】特開平０３－１８９３５６（ＪＰ，Ａ）

【文献】特開２０１１－０６５５２８（ＪＰ，Ａ）

【文献】特開２０１６－０９６４１４（ＪＰ，Ａ）

【文献】特開２０１０－０２０６２１（ＪＰ，Ａ）

【文献】特開２０００－２０７３７４（ＪＰ，Ａ）

【文献】特開２００８－３０５３１７（ＪＰ，Ａ）

【文献】特開２０１７－０６８３１４（ＪＰ，Ａ）

【文献】特開２０１３－１２５３５７（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／２０

Ｂ６０Ｒ １６／０２

Ｇ０６Ｆ １５／７８

Ｇ０６Ｆ １５／１７７

(57)【特許請求の範囲】

【請求項1】

マルチコアプロセッサを搭載した自動車用電子制御装置であって、
前記マルチコアプロセッサの各プロセッサコアに、当該プロセッサコアに特有の処理と他のプロセッサコアに特有の少なくとも１つの処理とを割り付け、前記マルチコアプロセッサが正常であれば、前記マルチコアプロセッサの各プロセッサコアが当該プロセッサコアに特有の処理を夫々実行し、前記マルチコアプロセッサの一部のプロセッサコアに故障が発生していれば、当該故障が発生したプロセッサコアに特有の処理を他のプロセッサコアが代行し、
前記プロセッサコアは、他のプロセッサコアの処理を代行している代行処理数が所定処理数以上である場合、実行中又は実行する前記処理を制限する、
自動車用電子制御装置。

【請求項2】

前記プロセッサコアは、前記処理を代行するとリソースの使用率が所定値以上になる場合、実行中又は実行する前記処理を制限する、
請求項１に記載の自動車用電子制御装置。

【請求項3】

前記プロセッサコアは、他のプロセッサコアを代行している代行コア数が所定コア数以上である場合、実行中又は実行する前記処理を制限する、
請求項１又は請求項２に記載の自動車用電子制御装置。

【請求項4】

前記処理の制限は、各処理に優先順位を予め設定しておき、前記優先順位が最下位の処理から順次停止することで行われる、
請求項１～請求項３のいずれか１つに記載の自動車用電子制御装置。

【請求項5】

前記処理の制限は、エンジン回転数を所定閾値に制限することで行われる、
請求項１～請求項３のいずれか１つに記載の自動車用電子制御装置。

【請求項6】

自動車用機能安全規格のＡＳＩＬに関連する処理とＱＭに関連する処理とが、異なるプロセッサコアに割り付けられた、
請求項１～請求項５のいずれか１つに記載の自動車用電子制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、マルチコアプロセッサを搭載した自動車用電子制御装置に関する。

【背景技術】

【0002】

自動車のエンジン、自動変速機及びブレーキなどを電子制御するため、特開２００９－２１５９４４号公報（特許文献１）に記載されるように、１つのパッケージに複数のプロセッサコアが封入されたマルチコアプロセッサを搭載した自動車用電子制御装置が提案されている。このような自動車用電子制御装置では、制御対象を制御するアプリケーションプログラムを機能（処理）ごとに分割し、複数のプロセッサコアに機能を分散して割り付けることで、処理負荷を抑制しつつ、並列処理によって高速処理を実現している。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００９－２１５９４４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、マルチコアプロセッサの一部のプロセッサコアが故障すると、そのプロセッサコアに割り付けられていた機能が実行できなくなり、例えば、最低限の機能を維持するリンプホーム機能によって、自動車に搭載された機器を制御しなければならなかった。リンプホーム機能によって自動車の搭載機器を制御すると、自動車のドライバビリティが低下し、ドライバの意図とおりの加速、定常及び減速走行ができなくなってしまう。

【0005】

そこで、本発明は、マルチコアプロセッサの一部のプロセッサコアに故障が発生しても、そこに割り付けられた処理を他のプロセッサコアで実行可能とした、自動車用電子制御装置を提供することを目的とする。

【課題を解決するための手段】

【0006】

このため、マルチコアプロセッサを搭載した自動車用電子制御装置において、マルチコアプロセッサの各プロセッサコアに、プロセッサコアに特有の処理と他のプロセッサコアに特有の少なくとも１つの処理とを割り付け、マルチコアプロセッサが正常であれば、マルチコアプロセッサの各プロセッサコアがこれに特有の処理を夫々実行する。また、自動車用電子制御装置において、マルチコアプロセッサの一部のプロセッサコアに故障が発生していれば、故障が発生したプロセッサコアに特有の処理を他のプロセッサコアが代行する。このとき、プロセッサコアは、他のプロセッサコアの処理を代行している代行処理数が所定処理数以上である場合、実行中又は実行する前記処理を制限する。

【発明の効果】

【0007】

本発明によれば、マルチコアプロセッサの一部のプロセッサコアに故障が発生しても、そこに割り付けられた処理を他のプロセッサコアで実行可能であるため、例えば、自動車のドライバビリティの低下を抑制することができる。

【図面の簡単な説明】

【0008】

【図1】自動車に搭載された電子制御システムの一例を示す概要図である。

【図2】電子制御装置の一例を示す内部構造図である。

【図3】正常時のデュアルコアプロセッサの状態を示す説明図である。

【図4】故障時のデュアルコアプロセッサの状態を示す説明図である。

【図5】プロセッサコアの異常を相互監視する第１の監視方法の説明図である。

【図6】プロセッサコアの異常を相互監視する第２の監視方法の説明図である。

【図7】プロセッサコアの異常を相互監視する第３の監視方法の説明図である。

【図8】プロセッサコアの異常を相互監視する第４の監視方法の説明図である。

【図9】正常時のクアッドコアプロセッサの状態を示す説明図である。

【図10】１つのプロセッサコアに故障が発生したときのクアッドコアプロセッサの状態を示す説明図である。

【図11】２つのプロセッサコアに故障が発生したときのクアッドコアプロセッサの状態を示す説明図である。

【図12】代行処理の制限が不要である一例の説明図である。

【図13】代行処理の制限が必要となる一例の説明図である。

【図14】代行処理の制限が不要である他の例の説明図である。

【図15】代行処理の制限が必要となる他の例の説明図である。

【図16】代行処理の制限が必要となる他の例の説明図である。

【図17】処理の実行に制限をかける第１の方法の説明図である。

【図18】処理の実行に制限をかける第２の方法の説明図である。

【図19】正常時のペンタコアプロセッサの状態を示す説明図である。

【図20】１つのプロセッサコアに故障が発生したときのペンタコアプロセッサの状態を示す説明図である。

【図21】２つのプロセッサコアに故障が発生したときのペンタコアプロセッサの状態を示す説明図である。

【図22】３つのプロセッサコアに故障が発生したときのペンタコアプロセッサの状態を示す説明図である。

【図23】自動車用機能安全規格が適用された、正常時のオクタコアプロセッサの状態を示す説明図である。

【図24】自動車用機能安全規格が適用された、ＡＳＩＬ領域の１つのプロセッサコアに故障が発生したときのオクタコアプロセッサの状態を示す説明図である。

【図25】自動車用機能安全規格が適用された、ＱＭ領域の１つのプロセッサコアに更に故障が発生したときのオクタコアプロセッサの状態を示す説明図である。

【図26】自動車用機能安全規格が適用された、ＡＳＩＬ領域の１つのプロセッサコアに更に故障が発生したときのオクタコアプロセッサの状態を示す説明図である。

【図27】自動車用機能安全規格が適用された、ＡＳＩＬ領域の１つのプロセッサコアに更に故障が発生したときのオクタコアプロセッサの状態を示す説明図である。

【図28】自動車用機能安全規格が適用された、ＡＳＩＬ領域のすべてのプロセッサコアに故障が発生したときのオクタコアプロセッサの状態を示す説明図である。

【発明を実施するための形態】

【0009】

以下、添付された図面を参照し、本発明を実施するための実施形態について詳述する。
図１は、自動車に搭載された電子制御システムの一例を示している。

【0010】

トラック、バス、乗用車及び建設機械などの自動車１００は、燃料噴射装置、点火装置、自動変速機、ＡＢＳ（Antilock Braking System）、アダプティブクルーズコントロールシステムなどを電子制御する、複数の電子制御装置（ＥＣＵ）２００を搭載している。各電子制御装置２００は、例えば、ＣＡＮ（Controller Area Network）やＦｌａｘＲａｙ（登録商標）などの車載ネットワーク３００を介して、任意のデータを交換可能に接続されている。そして、各電子制御装置２００は、単独で、又は他の電子制御装置２００と協同して制御対象を電子制御する。なお、図示の自動車１００は、５つの電子制御装置２００を搭載しているが、その数は５つに限らず、任意の個数とすることができる。

【0011】

電子制御装置２００は、図２に示すように、マルチコアプロセッサ２２０を搭載している。マルチコアプロセッサ２２０は、２つのプロセッサコア２２０Ａと、２つのプロセッサコア２２０Ａが共有する共有メモリ２２０Ｂと、を有している。ここで、共有メモリ２２０Ｂとしては、アクセス速度に優れたキャッシュメモリとすることができる。また、マルチコアプロセッサ２２０は、２つのプロセッサコア２２０Ａを有するデュアルコアプロセッサに限らず、３つ以上のプロセッサコア２２０Ａを有していてもよい。なお、以下の説明においては、プロセッサコア２２０ＡをコアＮ（Ｎ：１以上の自然数）と称することとする。

【0012】

最初に、図３及び図４を参照し、本実施形態の概要について説明する。
マルチコアプロセッサ２２０のコア１及び２には、図３に示すように、コア１に特有の処理１，３及び５と、コア２に特有の処理２及び４と、が夫々割り付けられている。即ち、コア１及び２には、マルチコアプロセッサ２２０として実行するすべての処理１～５が夫々割り付けられている。従って、コア１及び２は、処理１～５のうち任意の処理を実行することができる。図示の例では、コア１及び２に故障が発生していない正常状態において、コア１が処理１，３及び５を実行し、コア２が処理２及び４を分散して実行する。そして、コア１及び２は、後述する監視方法によって異常を相互監視し、監視先に故障が発生したか否かを検知する。

【0013】

コア１がコア２に故障が発生したことを検知すると、図４に示すように、コア１は、コア２に割り付けられていた処理２及び４を代行、要するに、コア１に特有の処理１，３及び５に加えて、コア２に特有の処理２及び４を実行する。このようにすれば、電子制御装置２００において、マルチコアプロセッサ２２０の一部のプロセッサコア２２０Ａに故障が発生しても、そこに割り付けられていた処理を他のプロセッサコア２２０Ａが代行して実行するため、例えば、自動車１００のドライバビリティの低下を抑制することができる。

【0014】

図５は、コア１及び２が異常を相互監視する、第１の監視方法を示している。
マルチコアプロセッサ２２０の共有メモリ２２０Ｂには、コア１及び２に特有のカウンタＣＮＴ１及びＣＮＴ２が夫々設けられている。コア１及び２は、定周期でカウンタＣＮＴ１及びＣＮＴ２を夫々カウントアップし、そのカウント値が所定値に達すると、カウンタＣＮＴ１及びＣＮＴ２をリセットする。また、コア１及び２は、監視先のコアに特有のカウンタが変化しているか否か、即ち、コア１がカウンタＣＮＴ２の変化を監視し、コア２がカウンタＣＮＴ１の変化を監視する。そして、コア１及び２は、監視先のカウンタが停止して変化していなければ、そのコアに故障が発生していると診断する。このようにすれば、ＡＤコンバータ、タイマなどの周辺機器を使用しなくても故障発生を検出することができ、電子制御装置２００のリソースを節約することができる。

【0015】

図６は、コア１及び２が異常を相互監視する、第２の監視方法を示している。
コア１及び２は、マルチコアプロセッサ２２０のタイマ出力機能を使用して、定周期のパルスＰＬＳ１及びＰＬＳ２を夫々出力する。また、コア１及び２は、マルチコアプロセッサ２２０のタイマ入力機能を使用して監視先のパルスの周期、即ち、コア１がパルスＰＬＳ２の周期を計測し、コア２がパルスＰＬＳ１の周期を計測する。そして、コア１及び２は、監視先のコアのパルス出力が停止していれば、そのコアが故障していると診断し、監視先のコアのパルス周期が異常であれば、コアは正常であるがタイマ機能が故障していると診断する。このようにすれば、電子制御装置２００のリソースとしてタイマ機能を使用するが、コアの故障だけでなく、タイマ機能の故障も検出することができる。

【0016】

図７は、コア１及び２が異常を相互監視する、第３の監視方法を示している。
コア１及び２は、ポート出力機能を使用して、アナログ出力ポートから定周期で変化するＯＮ／ＯＦＦ信号（例えば、５Ｖ信号／０Ｖ信号）を出力する。また、コア１及び２は、ＡＤ機能（アナログデジタル変換機能）を使用して、アナログ出力ポートから出力されたＯＮ／ＯＦＦ信号の電圧レベルを計測する。そして、コア１及び２は、監視先のコアのＯＮ／ＯＦＦ信号が停止して変化していなければ、そのコアが故障していると診断し、監視先のコアのＯＮ／ＯＦＦ信号の電圧レベルが異常（例えば、３．５Ｖ／０Ｖ）であれば、コアは正常であるがＡＤ機能が故障していると診断する。このようにすれば、電子制御装置２００のリソースとしてポート出力機能及びＡＤ機能を使用するが、コアの故障だけでなく、ＡＤ機能の故障も検出することができる。

【0017】

図８は、コア１及び２が異常を相互監視する、第４の監視方法を示している。
コア１及び２は、ＳＣＩ（Serial Communication Interface）、ＳＰＩ（Serial Peripheral Interface）又はＣＡＮなどの通信機能を使用して、所定のデータを相互に送信する。また、コア１及び２は、通信機能を使用して、監視先のコアが送信したデータを受信する。そして、コア１及び２は、監視先のコアからデータが送信されておらず通信が停止していれば、そのコアが故障していると診断し、監視先のコアから送信されたデータが異常であれば、コアは正常であるが通信機能が故障していると診断する。このようにすれば、電子制御装置２００のリソースとして通信機能を使用するが、コアの故障だけでなく、通信機能の故障も検出することができる。

【0018】

マルチコアプロセッサ２２０は、デュアルコアプロセッサに限らず、図９～図１１に示すような、４つのプロセッサコア２２０Ａを有するクアッドコアプロセッサであってもよい。

【0019】

この場合、マルチコアプロセッサ２２０のコア１～コア４には、図９に示すように、コア１に特有のコア１処理、コア２に特有のコア２処理、コア３に特有のコア３処理、及びコア４に特有のコア４処理が夫々割り付けられている。即ち、コア１～４には、マルチコアプロセッサ２２０として実行するすべての処理（コア１処理、コア２処理、コア３処理及びコア４処理）が夫々割り付けられている。従って、コア１～４は、コア１処理、コア２処理、コア３処理及びコア４処理のうち任意の処理を実行することができる。図示の例では、コア１～４に故障が発生していない正常状態において、コア１がコア１処理を実行し、コア２がコア２処理を実行し、コア３がコア３処理を実行し、コア４がコア４処理を分散して実行する。そして、コア１～４は、順繰りに他のコアの異常を監視、即ち、コア１がコア２の異常を監視し、コア２がコア３の異常を監視し、コア３がコア４の異常を監視し、コア４がコア１の異常を監視する。

【0020】

コア２がコア３に故障が発生したことを検知すると、図１０に示すように、故障が発生したコア３を監視していたコア２は、コア３に割り付けられていたコア３処理を代行、要するに、コア２に特有のコア２処理に加えて、コア３に特有のコア３処理を実行する。また、コア３に故障が発生してコア４の異常が監視できなくなり、かつコア３の異常を監視する必要がなくなったため、コア２は、コア３に代えてコア４の異常を監視するように監視経路が再構成される。

【0021】

その後、コア２がコア４に故障が発生したことを検知すると、図１１に示すように、故障が発生したコア４を監視していたコア２は、コア４に割り付けられていたコア４処理を代行、要するに、コア２に特有のコア２処理、及びコア３に特有のコア３処理に加えて、コア４に割り付けられていたコア４処理を実行する。また、コア４に故障が発生してコア１の異常が監視できなくなり、かつコア４の異常を監視する必要がなくなったため、コア２は、コア４に代えてコア１の異常を監視するように監視経路が再構成される。

【0022】

このようにすれば、マルチコアプロセッサ２２０の一部のプロセッサコア２２０Ａに故障が発生した場合、その異常を監視していた他のプロセッサコア２２０Ａが、故障が発生したプロセッサコア２２０Ａに割り付けられていた処理を代行する。また、プロセッサコア２２０Ａの故障監視経路が再構成され、故障が発生していないすべてのプロセッサコア２２０Ａの異常が引き続いて監視される。従って、本実施形態は、デュアルコアプロセッサに限らず、クアッドコアプロセッサなど、３つ以上のプロセッサコア２２０Ａを有するマルチコアプロセッサ２２０にも適用可能であると共に、複数のプロセッサコア２２０Ａが故障しても対応可能であることを理解できるであろう。なお、プロセッサコア２２０Ａの故障監視経路は、上記の経路に限らず、所定規則に則って構成及び再構成されてもよい。

【0023】

ところで、マルチコアプロセッサ２２０の特定のプロセッサコア２２０Ａが、本来割り付けられていた処理に加え、他のプロセッサコア２２０Ａに割り付けられていた処理を代行すると、リソースの使用率が上昇して、制御が破綻してしまうおそれがある。そこで、以下で詳細を説明するように、処理を代行するとき、制御が破綻しないように、コアが実行する処理に制限をかけるようにしてもよい。

【0024】

ここで、デュアルコアプロセッサのコア１及び２に故障が発生していない正常状態において、図１２に示すように、コア１がこれに特有の処理１，３及び５を実行し、コア２がこれに特有の処理２及び４を実行することを想定する。この状態において、例えば、コア１のリソースの使用率が７０％であり、コア２のリソースの使用率が２０％であると仮定する。また、実行する処理に制限をかける条件として、例えば、コアのリソースの使用率が９０％以上とする。なお、制限をかける上記条件は一例であって、この値に限られないことに留意されたし（以下同様）。

【0025】

コア２に故障が発生すると、図１３に示すように、コア１は、コア１に特有の処理１，３及び５に加え、コア２に特有の処理２及び４を代行する。その結果、コア１のリソースの使用率が７０％＋２０％＝９０％となり、このままでは制御に破綻をきたしてしまい、コア１が実行する処理に制限をかける必要がある。

【0026】

プロセッサコア２２０Ａが実行する処理に制限をかける条件として、プロセッサコア２２０Ａのリソースの使用率に限らず、代行コア数、即ち、他のプロセッサコア２２０Ａを代行している個数でもあってもよく、またこれを更に適用してもよい。

【0027】

図１４～図１６は、マルチコアプロセッサ２２０が３つのプロセッサコア２２０Ａを有するトリプルコアプロセッサを使用し、プロセッサコア２２０Ａが実行する処理に制限をかける他の例を示している。ここでは、コア１～３に故障が発生していない正常状態において、図１４に示すように、コア１～３には、コア１に特有の処理１，３及び５、並びにコア２に特有の処理２及び４が夫々割り付けられているものとする。また、コア３は、コア１及びコア２の故障検知並びに代行制御を実行するものとする。なお、実行する処理に制限をかける条件として、例えば、代行コア数を２以上とするが、これに限られない。

【0028】

コア３がコア２に故障が発生したことを検知すると、図１５に示すように、コア３は、コア２に特有の処理２及び４を代行する。この場合、コア３の代行コア数は１となり、制限をかける条件が成立しないため、制限なしで処理２及び４を実行する。その後、コア３がコア１に故障が発生したことを検知すると、図１６に示すように、コア３は、コア２に特有の処理２及び４に加え、コア１に特有の処理１，３及び５を代行する。この場合、コア３の代行コア数は２となり、制限をかける条件が成立する。

【0029】

処理の実行に制限をかける第１の方法としては、図１７に示すように、各処理について優先順位を予め設定しておき、優先順位が最下位の処理から順次停止して、リソースの使用率を低減してもよい。図示の例は、リソースの使用率が９０％以上になったコアＮについて、どのように処理負荷を低減するのかを示している。リソースの使用率が、例えば、９５％になると、処理１～１００のうち優先順位が最下位の処理１００を停止する。処理１００を停止すると、リソースの使用率が９５％から９３％へと低下するが、依然としてリソースの使用率が９０％以上であるので、処理１～９９のうち優先順位が最下位の処理９９を更に停止する。処理９９を停止すると、リソースの使用率が９３％から９１％へと低下するが、依然としてリソースの使用率が９０％以上であるため、処理１～９８のうち優先順位が最下位の処理９８を更に停止する。このようにすると、リソースの使用率が９１％から８８％へと低下し、実行する処理に制限をかける条件が成立しなくなる。なお、実行を停止した処理９８～１００については、例えば、必要に応じて、機能を縮小したリンプホーム制御などを実行すればよい。

【0030】

処理の実行に制限をかける第２の方法としては、図１８に示すようにしてもよい。即ち、自動車１００の制御において、エンジン回転数が高くなるにつれて、回転数同期で発生する割り込み処理が増加し、その結果としてリソースの使用率が上昇する。このため、リソースの使用率が制限閾値（所定閾値）に達すると、例えば、燃料噴射量の低減、スロットルバルブの開度低減などを介して、エンジン回転数を制限してもよい。この場合、図示のように、エンジン回転数を制限閾値に制限することで、リソースの使用率を制限閾値未満にすることができる。

【0031】

マルチコアプロセッサ２２０は、デュアルコアプロセッサ、トリプルコアプロセッサ、クアッドコアプロセッサに限らず、図１９～図２２に示すような、５つのプロセッサコア２２０Ａを有するペンタコアプロセッサであってもよい。

【0032】

この場合、図１９に示すように、マルチコアプロセッサ２２０の１つのプロセッサコア２２０Ａをメインコアとし、残りの４つのプロセッサコア２２０Ａをサブコア１～４として区別する。そして、メインコアは、サブコア１～４の故障を検知すると共にその代行を制御する処理を行う。このため、メインコアには、故障検知及び代行制御を行う処理が割り付けられている。また、メインコア及びサブコア１～４には、サブコア１に特有のコア１処理、サブコア２に特有のコア処理２、サブコア３に特有のコア処理３、及びサブコア４に特有のコア処理４が夫々割り付けられている。そして、サブコア１～４に故障が発生していない正常状態においては、メインコアがサブコア１～４の異常を監視し、サブコア１がコア処理１を実行し、サブコア２がコア処理２を実行し、サブコア３がコア処理３を実行し、かつサブコア４がコア処理４を実行している。

【0033】

メインコアがサブコア２に故障が発生したことを検知すると、図２０に示すように、メインコアは、故障が発生していないサブコア１，３及び４のうち、例えば、コア番号が最も小さいサブコア１に対し、サブコア２に特有のコア処理２を代行させる。その後、メインコアがサブコア３に故障が発生したことを更に検知すると、図２１に示すように、メインコアは、代行処理を行っていないサブコア４に対して、サブコア３に特有のコア処理３を代行させる。さらにその後、メインコアがサブコア１に故障が発生したことを更に検知すると、メインコアは、サブコア４が代行処理を行っていることから、図２２に示すように、サブコア１が実行していたコア処理１及びコア処理２を自分自身で代行する。なお、代行処理を実行するサブコア１～４は、代行処理を行っているか否かに代えて、例えば、リソースの使用率が最も低いサブコアとすることもできる。

【0034】

ところで、自動車の電子制御装置における機能安全のソフトウエア設計のコンセプトとして、アプリケーションプログラムを構成する複数のモジュールの機能安全に関し、自動車用機能安全規格（ＩＳＯ２６２６２）を適用する必要性がある。この場合、マルチコアプロセッサ２２０の一部のプロセッサコア２２０ＡがＡＳＩＬ（Automotive Safety Integrity Level）領域として使用され、残りのプロセッサコア２２０Ａが機能安全の適用が不要なＱＭ（Quality Management）領域として使用される。このようにすれば、ＡＳＩＬ領域とＱＭ領域とが異なるプロセッサコア２２０Ａに割り当てられることから、例えば、ＱＭ領域がＡＳＩＬ領域を侵害しないことを保証し易くなる。そして、メモリプロテクションの機能でアクセス制限を行う場合、ＡＳＩＬとして使用するコアのみＡＳＩＬ領域へのアクセスを許可すればよい。

【0035】

図２３～図２８は、マルチコアプロセッサ２２０が８つのプロセッサコア２２０Ａ（コア１～８）を有するオクタコアプロセッサを使用し、自動車用機能安全規格を適用した一例を示している。図示の例では、コア１～８に故障が発生していない正常状態において、コア１～４がＡＳＩＬ領域として使用され、ここにＡＳＩＬ処理が割り付けられ、コア５～８がＱＭ領域として使用され、ここにＱＭ処理が割り付けられているが、この限りではない。

【0036】

ＡＳＩＬ処理が割り付けられたコア１～４には、ＡＳＩＬアクセス制限を実行するアクセス制限が割り付けられ、ＱＭ処理が割り付けられたコア５～８には、ＱＭアクセス制限を実行するアクセス制限が割り付けられている。また、コア１～８には、代行制御を実行する処理、相互監視により他のコアの故障を検知する処理、コア１～４に特有のＡＳＩＬ処理１～４、コア５～８に特有のＱＭ処理１～４が夫々割り付けられている。ここで、コア１～４にＱＭ処理１～４が割り付けられ、コア５～８にＡＳＩＬ処理１～４が割り付けられている理由は、例えば、コア１～４又は５～８のすべてに故障が発生したとき、コア５～８又は１～４が代行処理を実行できようにするためである。そして、通常状態では、図２３に示すように、コア１が代行制御を実行し、コア１～８が故障検知及び特有のＡＳＩＬ処理又はＱＭ処理を実行している。

【0037】

ＡＳＩＬ領域のコア３に故障が発生したことが検知されると、図２４に示すように、代行制御を実行しているコア１は、故障が発生していないＡＳＩＬ領域のコア１，２及び４のうちリソースの使用率が最も低いコア４に対して、コア３に特有のＡＳＩＬ処理３を代行させる。なお、故障が発生したか否かは、先の第１～第４の監視方法のいずれかを使用して検出することができる。

【0038】

これに続いて、ＱＭ領域のコア５に故障が発生したことが検知されると、図２５に示すように、代行制御を実行しているコア１は、故障が発生していないＱＭ領域のコア６～８のうちリソースの使用率が最も低いコア６に対して、コア５に特有のＱＭ処理１を代行させる。その後、ＡＳＩＬ領域のコア１に故障が発生したことが更に検知されると、図２６に示すように、例えば、コア番号が最も小さいコア２が代行制御を代行し、故障が発生していないＡＳＩＬ領域のコア２又は３のうちリソースの使用率が最も低いコア２が、コア１に特有のＡＳＩＬ処理１を代行する。

【0039】

さらに、ＡＳＩＬ領域のコア２に故障が発生したことが検知されると、図２７に示すように、ＡＳＩＬ領域のコア４は、故障が発生したコア２に代わって代行制御を実行すると共に、コア２が実行していたＡＳＩＬ処理１及び２を代行する。このとき、コア４におけるリソースの使用率が制限閾値に達していないが、リソースの使用率が制限閾値以上になった場合、予め設定された優先順位に応じて優先順位が最下位の処理から順次停止するか、エンジン回転数を制限するようにしてもよい。なお、リソースの使用率による制限は、代行制御を行うときに実行するのが好ましい。

【0040】

この状態においてＡＳＩＬ領域のコア４に更に故障が発生すると、ＡＳＩＬ処理１～４を実行するＡＳＩＬ領域のコアがなくなってしまう。この場合、図２８に示すように、ＱＭ領域のコア５～８のうちリソースの使用率が最も低いコア７にＡＳＩＬ領域を割り当て、ＡＳＩＬ処理１～４を継続して実行できるようにする。このとき、コア７が実行していたＱＭ処理３は、ＱＭ領域の故障が発生していないコア６及び８のうち、リソースの使用率が小さいコア６に代行させる。

【0041】

従って、複数のプロセッサコア２２０Ａについて、その一部をＡＳＩＬ領域として使用し、残りの一部をＱＭ領域として使用しても、多様な故障に対して対応することができる。また、ＡＳＩＬ領域とＱＭ領域とが異なるプロセッサコア２２０Ａに割り当てられているため、故障が発生してもアクセス制限を変更する必要がなく、プログラム構造が複雑となることを抑制できる。

【0042】

なお、当業者であれば、様々な上記実施形態の技術的思想について、その一部を省略したり、その一部を適宜組み合わせたり、その一部を周知技術に置換したりすることで、新たな実施形態を生み出せることを容易に理解できるであろう。

【0043】

例えば、マルチコアプロセッサ２２０が３つ以上のプロセッサコア２２０Ａを有する場合、その一部のプロセッサコア２２０Ａについて上記実施形態を適用し、残りのプロセッサコア２２０Ａを従来のように使用してもよい。

【0044】

また、プロセッサコア２２０Ａが実行する処理に制限をかける条件として、リソースの使用率、代行コア数に限らず、代行処理数、即ち、他のプロセッサコア２２０Ａの処理を代行している個数であってもよく、またこれを更に適用してもよい。この場合、故障が発生したプロセッサコア２２０Ａが実行していた各処理は、１つのプロセッサコア２２０Ａが代行してもよく、また、複数のプロセッサコア２２０Ａが協働して代行してもよい。

【符号の説明】

【0045】

１００ 自動車
２００ 電子制御装置
２２０ マルチコアプロセッサ
２２０Ａ プロセッサコア

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】