特許 7589668 情報処理装置、車両、及び情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-18

(45)【発行日】2024-11-26

(54)【発明の名称】情報処理装置、車両、及び情報処理方法

(51)【国際特許分類】

   G06F 11/07 20060101AFI20241119BHJP

   G06F 9/455 20180101ALI20241119BHJP

【ＦＩ】

G06F11/07 157

G06F11/07 140R

G06F9/455 150

【請求項の数】 3

(21)【出願番号】P 2021180654

(22)【出願日】2021-11-04

(65)【公開番号】P2023069059

(43)【公開日】2023-05-18

【審査請求日】2023-11-08

(73)【特許権者】

【識別番号】000003207

【氏名又は名称】トヨタ自動車株式会社

(74)【代理人】

【識別番号】110001519

【氏名又は名称】弁理士法人太陽国際特許事務所

(72)【発明者】

【氏名】水谷 太貴

【審査官】松平 英

(56)【参考文献】

【文献】特開２０１９－１４４７８５（ＪＰ，Ａ）

【文献】特開昭６２－１５４０３７（ＪＰ，Ａ）

【文献】特開２０２０－０９１６８３（ＪＰ，Ａ）

【文献】特開２０２１－０９３００２（ＪＰ，Ａ）

【文献】特開２０１７－２２８１５９（ＪＰ，Ａ）

【文献】特開２０１８－０４１２１１（ＪＰ，Ａ）

【文献】特開２０２０－１４９１３０（ＪＰ，Ａ）

【文献】特開２０２０－１２９２３８（ＪＰ，Ａ）

【文献】特開２０１９－１８５１３０（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｂ６０Ｒ１６／００－１７／０２

Ｇ０６Ｆ ９／４５５－９／５４

１１／０７

１１／２８－１１／３６

(57)【特許請求の範囲】

【請求項1】

複数の仮想マシンの生成、実行、及び前記複数の仮想マシンの異常検出機能の提供のそれぞれを行うソフトウエアの仮想マシン管理部、並びに、前記異常検出機能の双方へクロック信号を供給するハードウエアの供給部と、
前記供給部の前記クロック信号の供給を監視することにより、前記仮想マシン管理部の異常を検出するハードウエアの異常検出部と、
を含み、
前記異常検出部は、予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマである情報処理装置。

【請求項2】

複数の仮想マシンの生成、実行、及び前記複数の仮想マシンの異常検出機能の提供のそれぞれを行うソフトウエアの仮想マシン管理部、並びに、前記異常検出機能の双方へクロック信号を供給するハードウエアの供給部と、
前記供給部の前記クロック信号の供給を監視することにより、前記仮想マシン管理部の異常を検出するハードウエアの異常検出部と、
を含み、
前記異常検出部は、予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマである情報処理装置を搭載した車両。

【請求項3】

複数の仮想マシンの生成、実行、及び前記複数の仮想マシンの異常検出機能の提供のそれぞれを行うソフトウエアの仮想マシン管理部、並びに、前記異常検出機能の双方へクロック信号をハードウエアの供給部から供給し、
予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマであるハードウエアの異常検出部が、前記供給部の前記クロック信号の供給を監視することにより、前記仮想マシン管理部の異常を検出する情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、異常を検出する情報処理装置、車両、及び情報処理方法に関する。

【背景技術】

【0002】

特許文献１には、仮想マシンの故障検出をウォッチドッグタイマのタイムアウトを用いて検出することが記載されている。詳細には、特許文献１には、複数の仮想マシンが搭載された複数の汎用装置と、仮想マシンの稼働系と待機系の二系統による二重化運転を制御する仮想マシン制御装置とで構成される二重化運転システムにおいて、ウォッチドッグタイマのタイムアップ等を用いて仮想マシンの故障を検出することが記載されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０２０－１３５１０１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

仮想マシンの異常を検出するウォッチドッグタイマをソフトウエア的に提供する場合、ソフトウエアのウォッチドッグタイマ（ソフトウエアＷＤＴ）の異常を検出するためのハードウエアのウォッチドッグタイマ等が必要となる。この場合、図６に示すように、仮想マシン（ＶＭ）の生成及び実行を行うＨｙｐｅｒｖｉｓｏｒ５０を監視するハードウエアのウォッチドッグタイマ（ＷＤＴ）を含む複数のハードウエアのＷＤＴ５２、又は複数のインタフェースを持つハードウエアのＷＤＴが異常検出部として必要となる。また、異常検出部に対応して、ハイパーバイザー５０及びソフトウエアＷＤＴ５６のそれぞれにクロック供給するタイマ５４も必要となるためコストに影響する。

【0005】

本発明は、上記事実を考慮して成されたもので、単一のインタフェースを持つ単一の異常検出部で仮想マシンと仮想マシン管理部の双方の異常を検出可能な情報処理装置、車両、及び情報処理方法を提供することを目的とする。

【課題を解決するための手段】

【0006】

上記目的を達成するために請求項１に記載の情報処理装置は、複数の仮想マシンの生成、実行、及び前記複数の仮想マシンの異常検出機能の提供のそれぞれを行うソフトウエアの仮想マシン管理部、並びに、前記異常検出機能の双方へクロック信号を供給するハードウエアの供給部と、前記供給部の前記クロック信号の供給を監視することにより、前記仮想マシン管理部の異常を検出するハードウエアの異常検出部と、を含み、前記異常検出部は、予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマである。

【0007】

請求項１に記載の発明によれば、仮想マシン管理部では、複数の仮想マシンの生成、実行、及び複数の仮想マシンの異常検出機能の提供が行われ、供給部では、仮想マシン管理部及び異常検出機能の双方へクロック信号が供給される。これにより、仮想マシン管理部及び異常検出機能の双方が駆動される。

【0008】

そして、異常検出部では、供給部の前記クロック信号の供給を監視することにより、仮想マシン管理部の異常が検出される。これにより、仮想マシンの異常検出機能と、仮想マシン管理部へのクロック信号の供給を同じ供給部で行うので、故障により仮想マシンの異常検出機能にクロック信号が供給されなくなったとしたら、仮想マシン管理部にもクロック供給されていないことになるため仮想マシン管理部自体を監視している異常検出部により仮想マシンの異常検出機能の異常も検出できるので、単一のインタフェースを持つ単一の異常検出部で仮想マシンと仮想マシン管理部の双方の異常を検出できる。

【0009】

なお、前記異常検出部は、予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、予め定めた時間内に前記仮想マシン管理部から前記クロック信号が入力されない若しくは複数のクロック信号が入力された場合にリセット信号を出力するウインドウモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマを適用してもよい。これにより、仮想マシン管理部と仮想マシンの異常検出機能の双方の異常を検出できる。

【0010】

また、複数の仮想マシンの生成、実行、及び前記複数の仮想マシンの異常検出機能の提供のそれぞれを行うソフトウエアの仮想マシン管理部、並びに、前記異常検出機能の双方へクロック信号を供給するハードウエアの供給部と、前記供給部の前記クロック信号の供給を監視することにより、前記仮想マシン管理部の異常を検出するハードウエアの異常検出部と、を含み、前記異常検出部は、予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマである情報処理装置を搭載した車両としてもよい。

【0011】

また、複数の仮想マシンの生成、実行、及び前記複数の仮想マシンの異常検出機能の提供のそれぞれを行うソフトウエアの仮想マシン管理部、並びに、前記異常検出機能の双方へクロック信号をハードウエアの供給部から供給し、予め定めた時間内に前記クロック信号が前記仮想マシン管理部から入力されない場合にリセット信号を出力するタイムアウトモードのウォッチドッグタイマ、又は前記仮想マシン管理部から予め定めた信号が入力されない場合にリセット信号を出力するＱ＆Ａモードのウォッチドッグタイマであるハードウエアの異常検出部が、前記供給部の前記クロック信号の供給を監視することにより、前記仮想マシン管理部の異常を検出する情報処理方法としてもよい。

【発明の効果】

【0012】

以上説明したように本発明によれば、単一のインタフェースを持つ単一の異常検出部で仮想マシンと仮想マシン管理部の双方の異常を検出可能な情報処理装置、車両、及び情報処理方法を提供できる。

【図面の簡単な説明】

【0013】

【図1】本実施形態に係るセントラルＥＣＵを搭載した車両を示す図である。

【図2】本実施形態に係るセントラルＥＣＵの概略構成を示すブロック図である。

【図3】タイムアウトモードを説明するための図である。

【図4】ウインドウモードを説明するための図である。

【図5】ＷＤＴで行われる処理の流れの一例を示すフローチャートである。

【図6】ソフトウエアＷＤＴの異常を検出するために、ハイパーバイザーを監視するハードウエアのＷＤＴを含む複数のハードウエアのＷＤＴを搭載した例を示す図である。

【発明を実施するための形態】

【0014】

以下、図面を参照して本発明の実施の形態の一例を詳細に説明する。本実施形態では、車両に搭載されたセントラルＥＣＵを情報処理装置の一例として説明する。本実施形態では、図１は、本実施形態に係るセントラルＥＣＵ（Electronic Control Unit）を搭載した車両を示す図であり、図２は、本実施形態に係るセントラルＥＣＵの概略構成を示すブロック図である。

【0015】

本実施形態に係るセントラルＥＣＵ１２は、車両１０に搭載され、車両１０に設けられた各種ＥＣＵを統合的に制御する。

【0016】

セントラルＥＣＵ１２には、ハードウエアとして、ＣＰＵ（Central Processing Unit）１４Ａ、ＲＯＭ（Read Only Memory）１４Ｂ、及びＲＡＭ（Random Access Memory）１４Ｃ等のコンピュータ構成１４を有する。

【0017】

本実施形態では、コンピュータを仮想化するためのソフトウエアである、仮想マシン管理部としてのＨｙｐｅｒｖｉｓｏｒ１６により、物理的なＣＰＵ１４Ａが仮想化され、仮想マシンとしてのＶＭ（Virtual Machine）１８が生成され、ＶＭ１８の実行が制御される。本実施形態では、Ｈｙｐｅｒｖｉｓｏｒ１６により複数のＶＭ１８が生成される。図２では、複数のＶＭ１８として、ＶＭ０～ＶＭ２の３つのＶＭ１８が生成された例を示す。

【0018】

また、Ｈｙｐｅｒｖｉｓｏｒ１６は、ウォッチドッグタイマ（ＷＤＴ：Watchdog timer）をソフトウエア的に提供するソフトウエアＷＤＴ２４が異常検出機能として実装されている。ソフトウエアＷＤＴ２４は、Ｈｙｐｅｒｖｉｓｏｒ１６によって生成された各ＶＭ１８を監視し、各ＶＭ１８の異常を検出する。

【0019】

また、セントラルＥＣＵ１２には、ハードウエアとして、供給部の一例としてのタイマ２２及び異常検出部の一例としてのＷＤＴ２０が設けられている。

【0020】

タイマ２２は、Ｈｙｐｅｒｖｉｓｏｒ１６に対してクロック信号を供給すると共に、ソフトウエアＷＤＴ２４に対してもクロック信号を供給する。すなわち、タイマ２２は、Ｈｙｐｅｒｖｉｓｏｒ１６及びソフトウエアＷＤＴ２４のそれぞれを駆動するクロック信号を供給する。

【0021】

ＷＤＴ２０は、タイマ２２からＨｙｐｅｒｖｉｓｏｒ１６に供給されるクロック信号を監視することにより、コンピュータ構成１４の暴走や停止等による異常を検出する。

【0022】

ここで、Ｈｙｐｅｒｖｉｓｏｒ１６に実装されたソフトウエアＷＤＴ２４、及びハードウエアとして実装されたＷＤＴ２０による異常検出方法について説明する。

【0023】

ソフトウエアＷＤＴ２４及びＷＤＴ２０の異常検出方法としては、タイムアウトモード、ウインドウモード、及びＱ＆Ａモードのうち何れかが適用される。

【0024】

図３は、タイムアウトモードを説明するための図であり、図４は、ウインドウモードを説明するための図である。

【0025】

タイムアウトモードでは、ソフトウエアＷＤＴ２４が各ＶＭ１８へ供給するクロック信号等の信号を監視し、ＷＤＴ２０がタイマ２２から供給されるクロック信号等の信号を監視する。

【0026】

そして、図３に示すように、ソフトウエアＷＤＴ２４及びＷＤＴ２０が、信号の発生を検出してから予め定めたタイムアウト時間内に信号の発生を検出した場合は正常と判定する。一方、信号の発生の検出からタイムアウト時間内に信号の発生が検出されない場合は異常と判定して、リセット信号を出力する。

【0027】

ウインドウモードにおいても、ソフトウエアＷＤＴ２４が各ＶＭ１８へ供給するクロック信号等の信号を監視し、ＷＤＴ２０がタイマ２２から供給されるクロック信号等の信号を監視する。

【0028】

そして、図４に示すように、ソフトウエアＷＤＴ２４及びＷＤＴ２０が、タイムアウトモード同様に、信号の発生を検出してから予め定めたタイムアウト時間内に信号の発生を検出した場合は正常と判定する。一方、信号の発生の検出からタイムアウト時間内に信号の発生が検出されない場合は異常と判定して、リセット信号を出力する。また、ウインドウモードでは、更に、信号の発生を検出してから予め定めた検出時間以内に信号の発生を続けて検出した場合も異常と判定してリセット信号を出力する。

【0029】

ここで、タイムアウトモード、またはウインドウモードを適用する場合に、ソフトウエアＷＤＴ２４及びＷＤＴ２０で行われる具体的な処理について簡単に説明する。以下では、ＷＤＴ２０の処理を代表して説明する。図５は、ＷＤＴ２０で行われる処理の流れの一例を示すフローチャートである。

【0030】

ステップ１００では、ＷＤＴ２０が、タイマ信号を監視してステップ１０２へ移行する。すなわち、タイマ２２からＨｙｐｅｒｖｉｓｏｒ１６及びソフトウエアＷＤＴ２４のそれぞれに供給される信号を監視する。

【0031】

ステップ１０２では、ＷＤＴ２０が、異常検出したか否かを判定する。すなわち、タイムアウトモードの場合は、信号の発生を検出してから予め定めたタイムアウト時間内に信号が未検出であるか否かを判定する。また、ウインドウモードの場合は、信号の発生を検出してから予め定めた検出時間以内に信号検出、またはタイムアウト時間内に信号が未検出であるか否かを判定する。該判定が否定された場合にはステップ１００に戻って上述の処理を繰り返す。一方、判定が肯定された場合にはステップ１０４へ移行する。

【0032】

ステップ１０４では、ＷＤＴ２０が、リセット信号をコンピュータ構成１４に出力することにより、コンピュータ構成１４をリセットして一連の処理を終了する。

【0033】

一方、Ｑ＆Ａモードでは、予め定めたデータをソフトウエアＷＤＴ２４及びＷＤＴ２０に入力するように構成する。

【0034】

そして、ソフトウエアＷＤＴ２４及びＷＤＴ２０は、入力されるデータが予め決められたものと一致するか否かを判定し、一致している場合に正常と判定し、一致しない場合は異常と判定してリセット信号を出力する。

【0035】

具体的には、Ｑ＆ＡモードをソフトウエアＷＤＴ２４に適用する場合は、各ＶＭ１８が予め定めたデータとして「０１００００１０」等の予め定めたデータをソフトウエアＷＤＴ２４に入力するように構成する。そして、ソフトウエアＷＤＴ２４が各ＶＭ１８から入力されたデータが「０１００００１０」である場合に正常と判定する。一方、入力されたデータが「０１００００１１」のように、異なるデータが入力された場合は異常と判定する。そして、ＶＭ１８にリセット信号を出力してＶＭ１８をリセットする。

【0036】

一方、Ｑ＆ＡモードをＷＤＴ２０に適用する場合は、Ｈｙｐｅｒｖｉｓｏｒ１６が予め定めたデータとして「０１００００１０」等の予め定めたデータをＷＤＴ２０に入力するように構成する。そして、ＷＤＴ２０がＨｙｐｅｒｖｉｓｏｒ１６から入力されたデータが「０１００００１０」である場合に正常と判定する。一方、入力されたデータが「０１００００１１」のように、異なるデータが入力された場合は異常と判定する。そして、Ｈｙｐｅｒｖｉｓｏｒ１６にリセット信号を出力してＨｙｐｅｒｖｉｓｏｒ１６をリセットする。

【0037】

続いて、上述のように構成された本実施形態に係るセントラルＥＣＵ１２の作用について説明する。

【0038】

本実施形態に係るセントラルＥＣＵ１２では、Ｈｙｐｅｒｖｉｓｏｒ１６によって複数のＶＭ１８が生成され、各ＶＭ１８の動作がソフトウエアＷＤＴ２４によって監視される。

【0039】

ここで、各ＶＭ１８に異常が発生した場合には、ソフトウエアＷＤＴ２４によって検出され、異常が発生したＶＭ１８がリセットされる。これにより、ＶＭ１８の暴走や停止を検出して再起動することが可能となる。

【0040】

また、ハードウエアのＷＤＴ２０は、タイマ２２からＨｙｐｅｒｖｉｓｏｒ１６に供給されるクロック信号を監視する。Ｈｙｐｅｒｖｉｓｏｒ１６に異常が発生した場合には、ＷＤＴ２０によって検出され、Ｈｙｐｅｒｖｉｓｏｒ１６がリセットされる。これにより、Ｈｙｐｅｒｖｉｓｏｒ１６の暴走や停止を検出して再起動することが可能となる。

【0041】

また、本実施形態では、ソフトウエアＷＤＴ２４と、Ｈｙｐｅｒｖｉｓｏｒ１６へのクロック供給を同じタイマ２２で行うことで、故障によりソフトウエアＷＤＴ２４にクロック供給されなくなったとしたら、Ｈｙｐｅｒｖｉｓｏｒ１６にもクロックが供給されていないことになるため、Ｈｙｐｅｒｖｉｓｏｒ１６自体を監視しているハードウエアのＷＤＴ２０によりソフトウエアＷＤＴ２４の異常も検出できる。従って、単一のインタフェースを持つ単一のハードウエアのＷＤＴ２０でＶＭ１８とＨｙｐｅｒｖｉｓｏｒ１６の双方の異常を検出できる。

【0042】

なお、上記の実施形態では、ソフトウエアＷＤＴ２４をＨｙｐｅｒｖｉｓｏｒ１６に設ける例を説明したが、これに限るものではなく、例えば、ＶＭ１８毎にソフトウエアＷＤＴ２４を設ける形態としてもよい。

【0043】

さらに、本発明は、上記に限定されるものでなく、上記以外にも、その主旨を逸脱しない範囲内において種々変形して実施可能であることは勿論である。

【符号の説明】

【0044】

１０ 車両
１２ セントラルＥＣＵ（情報処理装置）
１４ コンピュータ構成
１６ Ｈｙｐｅｒｖｉｓｏｒ（仮想マシン管理部）
１８ ＶＭ（仮想マシン）
２０ ＷＤＴ（異常検出部）
２２ タイマ（供給部）
２４ ソフトウエアＷＤＴ（異常検出機能）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】