JP6960453B2 - 再構成制御装置 - Google Patents

Description

本発明は、再構成制御装置に関する。

半導体プロセスの微細化に伴って、一つのデバイス内に複数のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央演算処理装置）コアを集積することが可能となっている。

産業用途や組込み用途では、複数のＣＰＵコアをマルチプロセッシングさせることにより消費電力を抑えながら高い処理性能を得るマルチコア構成、また複数のＣＰＵコア上で同一のソフトウェアプログラム（ソフト）を動作させて結果を照合することで高い信頼性を得るロックステップ（Ｌｏｃｋ−Ｓｔｅｐ、ＬＳ）コア構成を採る場合がある。
産業用途や組込み用途では実装のための面積、消費電力、コストなどの制約が大きく、その制約の下で高性能や高信頼を実現するためにはマルチコアやロックステップコアを採用することが考えられ、例えば特許文献１には、複数のコアと少ない数のロックステップコアを有し、エラーを許容できないレベルのプログラムをロックステップコアに同期して実行させる情報処理装置の例が記載されている。また特許文献２の例では、電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ、ＥＣＵ）を分散させた再構成可能信号処理システムの例が記載されている。

特開２０１６−１５７２４７号公報 特許第４４２２５９６号公報

ところで、従来のマルチコアとロックステップコアで実行させる技術について検討した結果、以下のようなことが明らかとなった。

特許文献１の例では、エラーが起きたマルチコアのプログラムを実行するためのロックステップコアを冗長に用意する必要があり、またマルチコアが３２ビットや６４ビットなど高性能なＣＰＵで実装される場合はロックステップコアも同様に高性能とする必要があるため、回路面積が増大しコストと消費電力が増大するという問題があった。

また特許文献２の例では、再構成するための冗長なＥＣＵが必要で、再構成のためのコンフィギュレーションデータを２つずつ保持するため高コストになり、再構成の制御も複雑になるため、リアルタイム性能が要求される組込み用途への適用が困難という問題があった。

そこで本発明では、産業用途や組込み用途にマルチコアやロックステップコアを適用する場合でも、高性能と高信頼を低コストに実現可能な仕組みを提供する。

上記課題を解決するために、例えば特許請求の範囲に記載の構成を採用する。本願は上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、マルチコアと、ロックステップコアと、前記ロックステップコアを第一のコアと第二のコアに動的に切り替えるシステム制御部を有し、前記マルチコアでエラー発生時に前記システム制御部が前記ロックステップコアをマルチコア動作に動的に切り替え、前記マルチコアで動作していたソフトウェアが前記第一のコアで動作中に前記システム制御部が前記マルチコアの再起動と診断を指示することを特徴とする。

本発明によれば、産業用途や組込み用途にマルチコアやロックステップコアを適用する場合でも、高性能と高信頼を低コストに実現することが可能になる。

上記した以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

実施例１における、本発明の再構成制御装置においてマルチコア動作とロックステップ動作をする構成の一例である。 実施例１の再構成制御装置におけるシステム制御部の構成方法の一例である。 実施例１の再構成制御装置における再構成制御部の構成方法の一例である。 実施例１の再構成制御装置においてロックステップ動作をマルチコア動作に切り替えた場合の構成を示す一例である。 図４の構成においてソフトが動作しているタイミングチャートを示す一例である。 実施例２における、本発明の再構成制御装置においてマルチコア動作とロックステップ動作をする構成の一例である。 実施例２の再構成制御装置におけるシステム制御部の構成方法の一例である。 実施例２の再構成制御装置における再構成制御部の構成方法の一例である。 実施例２の再構成制御装置においてロックステップ動作をマルチコア動作に切り替えた場合の構成を示す一例である。 図９の構成においてソフトが動作しているタイミングチャートを示す一例である。 実施例３における、本発明の再構成制御装置においてマルチコア動作とロックステップ動作をする構成の一例である。 実施例３の再構成制御装置においてロックステップ動作をマルチコア動作に切り替えた場合の構成を示す一例である。 本発明の再構成制御装置を車載システムに適用した場合の一例を示す図である。 本発明の再構成制御装置を産業制御システムに適用した場合の一例を示す図である。

以下、本発明の実施例を、図面を用いて説明する。

図１から図５を用いて、本発明の実施形態の一例を示す。

図１は、本発明の再構成制御装置の一例を示したものである。

図１に示した再構成制御装置は、コア１０、１１、１２、１３の４つのコアがマルチコア構成を採っている。
コア１０はメモリ５０と接続しメモリ５０にコア１０のソフトを配置して処理を行う。同様にコア１１はメモリ５１と、コア１２はメモリ５２と、コア１３はメモリ５３とそれぞれ接続しそれぞれのソフトをメモリに配置して処理を行う。
図１の例では、ソフトＡ（３０）はメモリ５０、５１に配置されてコア１０、１１でマルチコア動作する。一方、ソフトＢ（３１）はメモリ５２にのみ配置されてコア１２で動作し、同様にソフトＣ（３２）もメモリ５３のみに配置されてコア１３で動作する。
これらのコア１０、１１、１２、１３、メモリ５０、５１、５２、５３、ソフトＡ（３０）、ソフトＢ（３１）、ソフトＣ（３２）を纏めてここではマルチコアシステム２とする。
コア２０、２１は、ロックステップ（ＬＳ）を構成している。すなわち、コア２０、２１はメモリ６０を共有し、コア２０でソフトＰ（３３）を動作させ、コア２１でソフトＰ（３３）と同一のソフトＰ（３４）を動作させ、動作中に照合することでエラーが起こったことを検出する。
これらのコア２０、２１、メモリ６０、ソフトＰ（３３）、ソフトＰ（３４）を纏めてここではロックステップコアシステム３とする。

なお、コアのエラー検出手段としては、パリティ、ＥＣＣ（Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｏｎ Ｃｏｄｅ）、ウォッチドッグタイマなどの技術が知られている。また、ロックステップ動作中の照合手法としては特許第３１７５８９６号公報（特許文献３）に記載の技術などが知られている。

更に、図１に示したシステム制御部６は、コア１０から制御出力１００、コア１１から制御出力１０１、コア１２から制御出力１０２、コア１３から制御出力１０３、コア２０から制御出力１１１、コア２１から制御出力１１０をそれぞれ入力とし、コア１０に対しリセット信号７０、コア１１に対しリセット信号７１、コア１２に対しリセット信号７２、コア１３に対しリセット信号７３、コア２０に対し切り替え制御信号８１、コア２１に対し切り替え制御信号８０をそれぞれ出力し、更に制御出力１０４、１０５、１０６、１０７、１１３を制御ユニット１外部へ出力する。

図２は、図１に示したシステム制御部６の詳細な構成方法の一例を示したものである。

システム制御部６の内部にある再構成制御部８には、制御信号１００、１０１、１０２、１０３、１１０を入力とし、リセット信号７０、７１、７２、７３、および切り替え制御信号８１、８０を出力し、更に選択信号１２０を出力する構成となっている。

マルチプレクサ９０は、制御出力１００、１０１、１０２、１０３、１１１、１１０のうちいずれかの制御出力を選択信号１２０の値によって選択して制御出力１０４として出力する。マルチプレクサ９１、９２、９３、９４も同様である。

図３は、図２に示した再構成制御部８の詳細な構成方法の一例を示したものである。

図３に示す不揮発メモリ２００には、マルチコアシステムとロックステップコアシステムで動作させるソフトが配置されている。

制御出力選択部２０１は、制御出力１００、１０１、１０２、１０３および制御出力１１０を入力とし、不揮発メモリ２００に対しメモリアクセス信号２１１を出力する。このメモリアクセス信号２１１は、不揮発メモリ２００からソフトのバイナリデータ２１０を読み出すための信号である。例えば、図１においてコア１３でエラーが発生したときは制御出力１０３によってコア１３でのエラー情報が制御出力選択部２０１に入力され、制御出力選択部２０１はソフトＣ（３２）に対応した縮退ソフトのバイナリデータ２１０を不揮発メモリ２００から読み出すようにメモリアクセス信号２１１を出力する。

不揮発メモリ２００から読み出されたバイナリデータ２１０は、信号結合回路２０２が制御出力選択部２０１から出力されるコアイネーブル信号２１２と結合し、切り替え制御信号８１、８０としてコア２０、２１に対し出力する。

また制御出力選択部２０１は選択信号１２０を出力する。この選択信号１２０は、図２に示したマルチプレクサ９０、９１、９２、９３、９４がそれぞれ出力する制御出力１０４、１０５、１０６、１０７、１１３を選択する信号である。例えば、図１においてコア１３でエラーが発生したときは、図３で説明した選択信号１２０により、図２に示した制御出力１０７へ制御出力１１１を選択して出力する。それ以外のマルチプレクサ９０は制御出力１００を選択して制御出力１０４として出力し、マルチプレクサ９１は制御出力１０１を選択して制御出力１０５として出力し、マルチプレクサ９２は制御出力１０２を選択して制御出力１０６として出力し、マルチプレクサ９４は制御出力１１０を選択して制御出力１１３として出力する。

図４は、実施例１における本発明の再構成制御装置において、ロックステップ動作をマルチコア動作に切り替えた場合の構成を示す一例であり、図１に示した再構成制御装置と比較して、ロックステップコアをロックステップ動作からマルチコア動作モードに切り替え、メモリ上に配置したソフトを入れ替えている部分が異なっている。

図４の制御ユニット１では、マルチコアシステム２内のコア１３でエラーが発生しソフトＣ（３２）が動作不可になった例を示している。

エラーが発生したコア１３からの制御出力１０３により、図３で説明した再構成制御部８によってシステム制御部６からの切り替え制御信号８１、８０によりコア２０、２１はロックステップ動作モードからマルチコア動作モードに切り替わり、ソフトＣ（３２）に対応した縮退ソフトＣ（３５）がメモリ６０に配置される。

このとき、エラーが発生したコア１３からの制御出力１０３は制御ユニット１の外部に制御出力１０７として出力せず、縮退ソフトＣ（３５）が動作中のコア２０の制御出力１１１を制御出力１０７として出力するように、図２で説明した再構成制御部８から選択信号１２０を出力する。

図５は、図４に示した再構成制御装置において、マルチコアシステムとロックステップコアシステムで動作するソフトのタイミングチャートを示した一例である。

制御周期Ｓ１では、マルチコアシステム２のコア１０、１１でソフトＡ（３０）が動作し、ソフトＡ（３０）に続けてコア１２でソフトＢ（３１）が動作し、更に続けてコア１３でソフトＣ（３２）が動作する。

また同じ制御周期Ｓ１において、ロックステップコアシステム３のコア２０でソフトＰ（３３）が動作し、コア２１でソフトＰ（３４）が動作し、ソフトＰ（３３）とソフトＰ（３４）は動作中に照合処理を行う。

図５の制御周期Ｓ２は制御周期Ｓ１と同様の動作である。

図５の制御周期Ｓ３において、コア１３でエラーが発生しソフトＣ（３２）が動作不可になった場合、図４で説明した縮退動作によってコア２０で縮退ソフトＣ（３５）を動作させ、コア１３はシステム制御部６からのリセット信号７３により復帰処理を行う。

このようにコア１３でエラーが発生しても、制御周期Ｓ３において、ソフトＡ（３０）、ソフトＢ（３１）、縮退ソフトＣ（３５）、ソフトＰ（３４）が動作可能なので、システム全体としては停止せずに縮退しながら処理を継続することができる。

図５では制御周期Ｓ４まで復帰処理を行って制御周期Ｓ５で復帰した例を示している。そのため制御周期Ｓ５では再びコア１３でソフトＣ（３２）が動作し、ロックステップコアシステム３のコア２０で動作するソフトＰ（３３）とコア２１で動作するソフトＰ（３４）が照合処理を行う。
このような構成を採ることで、マルチコアでエラーが発生した場合でも、既に実装されているロックステップコアをマルチコア動作に切り替えて縮退したソフトウェアを動作させることができるため、追加のハードウェアコストを必要とせずに制御システムの動作を継続することが可能になる。

また、実施例１ではマルチコアシステムのコア数を４として説明したが、４に限らず様々なコア数で実装しても良い。

次に、図６から図１０を用いて、本発明の別の実施形態の一例を示す。

図６は、本発明の再構成制御装置における実施例１の図１と比較して、ロックステップコアシステムを１つ追加しデュアルロックステップコアシステム構成にした点が異なっている。
図６では、コア２０、２１、メモリ６０、ソフトＰ（３３）、ソフトＰ（３４）を纏めたロックステップコアシステム３に加えて、コア２２、２３、メモリ６１、ソフトＰ（３６）、ソフトＰ（３７）を纏めたロックステップコアシステム４がある。
ロックステップコアシステム４もロックステップコアシステム３と同様に、コア２２、２３はメモリ６１を共有し、コア２２でソフトＰ（３６）を動作させ、コア２３でソフトＰ（３６）と同一のソフトＰ（３７）を動作させ、動作中に照合することでエラーが起こったことを検出する。
更に、図６に示したシステム制御部７は、図１で説明したシステム制御部６と比較して、コア２２から制御出力１１５、コア２３から制御出力１１２をそれぞれ入力とし、コア２２に対し切り替え制御信号８３、コア２３に対し切り替え制御信号８２をそれぞれ出力し、更に制御出力１１４を制御ユニット５外部へ出力する部分を追加している。

図７は、図６に示したシステム制御部７の詳細な構成方法の一例を示したものであり、図２で説明したシステム制御部６と比較して、デュアルロックステップコアシステム構成に対応したマルチプレクサと制御信号を追加した部分が異なっている。

マルチプレクサ９０は、制御出力１００、１０１、１０２、１０３、１１１、１１０、１１５、１１２のうちいずれかの制御出力を選択信号１２０の値によって選択して制御出力１０４として出力する。マルチプレクサ９１、９２、９３、９４、及び新規に追加したマルチプレクサ９５も同様である。

図８は、図７に示した再構成制御部９の詳細な構成方法の一例を示したものであり、図３で説明した再構成制御部８と比較して、デュアルロックステップコアシステム構成に対応した制御出力と切り替え制御信号を追加した部分が異なっている。

図８の制御出力選択部２０３は、制御出力１００、１０１、１０２、１０３および制御出力１１０、１１２を入力とし、不揮発メモリ２００に対しメモリアクセス信号２１１を出力するもので、図３で説明した制御出力選択部２０１と同様の動作をする。

不揮発メモリ２００から読み出されたバイナリデータ２１０は、信号結合回路２０２によって制御出力選択部２０３が出力するコアイネーブル信号２１２と結合され、切り替え制御信号８１、８０をコア２０、２１に対して出力し、切り替え信号８３、８２をコア２２、２３に対し出力する。

図９は、実施例２における本発明の再構成制御装置において、ロックステップ動作をマルチコア動作に切り替えた場合の構成を示す一例であり、図６に示した再構成制御装置と比較して、ロックステップコアをロックステップ動作からマルチコア動作モードに切り替え、メモリ上に配置したソフトを入れ替えている部分が異なっている。

図９の制御ユニット５ではマルチコアシステム２内のコア１３でエラーが発生しソフトＣ（３２）が動作不可になった例を示している。

エラーが発生したコア１３からの制御出力１０３により、図３で説明した再構成制御部８によってシステム制御部７からの切り替え制御信号８１、８０によりコア２０、２１はロックステップ動作モードからマルチコア動作モードに切り替わり、ソフトＣ（３２）に対応した縮退ソフトＣ（３５）がメモリ６０に配置される。

このとき、エラーが発生したコア１３からの制御出力１０３は制御ユニット５の外部に制御出力１０７として出力せず、縮退ソフトＣ（３５）が動作中のコア２０の制御出力１１１を制御出力１０７として出力するよう、図７で説明した再構成制御部９から選択信号１２０を出力する。

図１０は、図９に示した再構成制御装置において、マルチコアシステムとロックステップコアシステムで動作するソフトのタイミングチャートを示した一例であり、図５で説明したタイミングチャートと比較して、ロックステップコアシステム４を追加した部分が異なっている。

図１０の制御周期Ｓ３において、コア１３でエラーが発生しソフトＣ（３２）が動作不可になった場合、図９で説明した縮退動作によってコア２０で縮退ソフトＣ（３５）を動作させ、コア１３はシステム制御部７からのリセット信号７３により復帰処理が行われる。

このようにコア１３でエラーが発生しても、制御周期Ｓ３において、ソフトＡ（３０）、ソフトＢ（３１）、縮退ソフトＣ（３５）、ソフトＰ（３４）が動作可能なので、システム全体としては停止せずに縮退しながら処理を継続することができる。

更にこの図１０では、ロックステップコアシステム４のコア２２でソフトＰ（３６）が動作し、コア２３でソフトＰ（３７）が動作し、ソフトＰ（３６）とソフトＰ（３７）は動作中に照合処理を行う。

このように、本発明の再構成制御装置をデュアルロックステップコアシステム構成とすることで、一方のロックステップコアシステムでエラーが発生してマルチコア動作に切り替わったとしても、もう一方のロックステップコアシステムがロックステップ動作を継続できるため、例えば機能安全規格への対応が要求されるような高い信頼性が必要となるシステムへ適用することが可能となる。

また、実施例２ではマルチコアシステムのコア数を４として説明したが、４に限らず様々なコア数で実装しても良い。

次に、図１１から図１２を用いて、本発明の別の実施形態の一例を示す。

図１１は、本発明の再構成制御装置における実施例１の図１と比較して、マルチコアシステムとロックステップコアシステムを分離してバスで接続した構成にした点が異なっている。

図１１のシステム制御部１６はマルチコアシステム２に対応し、システム制御部１７はロックステップコアシステム３に対応し、これらの間を制御バス３０１とメモリバス３０２で接続し、メモリバス３００には不揮発メモリ３００を接続している。
システム制御部１６、１７の内部構成は図２で説明したシステム制御部６の内部構成と同様にマルチプレクサと再構成制御部で構成される。
図１２は、実施例３における本発明の再構成制御装置において、ロックステップ動作をマルチコア動作に切り替えた場合の構成を示す一例であり、図１１に示した再構成制御装置と比較して、ロックステップコアをロックステップ動作からマルチコア動作モードに切り替え、メモリ上に配置したソフトを入れ替えている部分が異なっている。

図１２の制御ユニット１４、１５では、マルチコアシステム２内のコア１３でエラーが発生しソフトＣ（３２）が動作不可になった例を示している。

エラーが発生したコア１３からの制御出力１０３により、再構成制御部１６によってシステム制御部１７からの切り替え制御信号８１、８０によりコア２０、２１はロックステップ動作モードからマルチコア動作モードに切り替わり、ソフトＣ（３２）に対応した縮退ソフトＣ（３５）が不揮発メモリ３００からメモリバス３０２を介してメモリ６０に配置される。

このとき、エラーが発生したコア１３からの制御出力１０３は制御ユニット１４の外部に制御出力１０７として出力されず、縮退ソフトＣ（３５）が動作中のコア２０の制御出力１１１が制御出力１０７として出力されるように、再構成制御部１６、１７が選択信号を出力する。
このような構成にすることで、複数の制御ユニットで構成しなければならない制御システムであった場合でも、マルチコア構成のみの制御ユニットとロックステップコア構成のみの制御ユニットとの間でロックステップコアをマルチコア動作に切り替えて縮退したソフトウェアを動作させることができるため、冗長な追加のハードウェアコストを必要とせずに制御システムの動作を継続することが可能になる。

また、実施例３の例ではマルチコアシステムのコア数を４として説明したが、４に限らず様々なコア数で実装しても良い。

次に、図１３を用いて、本発明の別の実施形態の一例を示す。図１３は、本発明の再構成制御装置を車載システムに適用した場合の一例を示したものである。

自動車５００の内部は複数の電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ、ＥＣＵ）を接続した形で構成している。
この自動車５００では、カメラ５０１がカメラＥＣＵ（５１１）と接続し、ステア５０２がステアＥＣＵ（５１２）と接続し、モーター５０３がモーターＥＣＵ（５１３）と接続しており、さらにカメラＥＣＵ（５１１）、ステアＥＣＵ（５１２）、モーターＥＣＵ（５１３）の各ＥＣＵはそれぞれ統合ＥＣＵ（５１４）と接続し、協調動作することで自動車としての制御を行う。

この構成において、例えばステアＥＣＵ（５１２）でエラーが発生した場合、本発明の再構成制御装置ではステアＥＣＵ（５１２）で動作するソフト４０を統合ＥＣＵ（５１４）で縮退ソフト４１として動作させることで、ステアＥＣＵ（５１２）が担っていた最低限の動作を継続し、周囲の状況に応じて前輪５０４と後輪５０５の回転を継続もしくは停止させることで自動車５００全体としては安全動作を担保する。

このように、本発明の再構成制御装置を適用することで、自動車を構成するＥＣＵの一部にエラーが発生した場合でも、自動車全体として縮退動作をしながら安全性を保つことが可能になる。

次に、図１４を用いて、本発明の別の実施形態の一例を示す。図１４は、本発明の再構成制御装置を産業制御システムに適用した場合の一例を示したものである。

この産業制御システムは、システムを統括制御するコンピュータ６００、コンピュータ６００によって制御する制御コントローラ６０１、制御機器６０４を制御するプログラマブルロジックコントローラ６０２、制御機器６０５を制御するプログラマブルロジックコントローラ６０３で構成し、制御コントローラ６０１、プログラマブルロジックコントローラ６０２、６０３はそれぞれ制御ネットワーク６０６を介して接続している。

この構成において、例えばプログラマブルロジックコントローラ６０２でエラーが発生した場合、本発明の再構成制御装置ではプログラマブルロジックコントローラ６０２で動作するソフト４２を制御ネットワーク６０６を介して制御コントローラ６０１で縮退ソフト４３として動作させることで、プログラマブルロジックコントローラ６０２が担っていた最低限の動作を継続し、制御機器６０４の動作を継続もしくは安全に停止させることで、産業制御システム全体としては安全動作を担保する。

以上のように、各実施例の再構成制御装置は、マルチコアと、ロックステップコアと、前記ロックステップコアを第一のコアと第二のコアに動的に切り替えるシステム制御部と、を有し、前記マルチコアでエラー発生時に前記システム制御部が前記ロックステップコアをマルチコア動作に動的に切り替え、前記マルチコアで動作していたソフトウェアが前記第一のコアで動作中に前記システム制御部が前記マルチコアの再起動と診断を指示する。

また、前記システム制御部は、前記マルチコアからの制御出力と前記ロックステップコアからの制御出力の値を元に選択信号を出力する再構成制御部と、前記選択信号の値に応じて前記マルチコアからの制御出力と前記ロックステップコアからの制御出力を選択するマルチプレクサと、を有する。

また、前記再構成制御部は、前記ソフトウェアを配置する不揮発メモリを有し、前記マルチコアからの制御出力と前記ロックステップコアからの制御出力の値を元に前記不揮発メモリから縮退ソフトウェアのバイナリデータを読み出す。

また、前記システム制御部は、前記マルチコアでエラー発生時に前記マルチコアからの制御出力の代わりに前記第一のコアからの制御出力を選択して出力する。

また、マルチコアと、第一のロックステップコアと、第二のロックステップコアと、前記第一のロックステップコアを第一のコアと第二のコアに動的に切り替えるシステム制御部を有し、前記マルチコアでエラー発生時に前記システム制御部が前記第一のロックステップコアをマルチコア動作に動的に切り替え、前記マルチコアで動作していたソフトウェアが前記第一のコアで動作中に前記システム制御部が前記マルチコアの再起動と診断を指示する。

このように、各実施例の再構成制御装置を適用することで、産業制御システムを構成する一部のコントローラにエラーが発生した場合でも、システム全体として縮退動作をしながら安全性を保つことが可能になる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１、５、１４、１５ … 制御ユニット
２ … マルチコアシステム
３、４ … ロックステップコアシステム
６、７、１６、１７ … システム制御部
８、９ … 再構成制御部
１０、１１、１２、１３、２０、２１、２２、２３ … コア
５０、５１、５２、５３、６０、６１ … メモリ
９０、９１、９２、９３、９４、９５ … マルチプレクサ
２００、３００ … 不揮発メモリ
２００ … 信号結合回路
２０１、２０３ … 制御出力選択部
５００ … 自動車
５０１ … カメラ
５０２ … ステア
５０３ … モーター
５０４ … 前輪
５０５ … 後輪
５１１ … カメラＥＣＵ
５１２ … ステアＥＣＵ
５１３ … モーターＥＣＵ
５１４ … 統合ＥＣＵ
６００ … コンピュータ
６０１ … 制御コントローラ
６０２、６０３ … プログラマブルロジックコントローラ
６０４、６０５ … 制御機器

Claims (6)

1. マルチコアと、
   ロックステップコアと、
   前記ロックステップコアを第一のコアと第二のコアに動的に切り替えるシステム制御部と、を有し、
   前記マルチコアは、第１ソフトウェアが動作する第三のコアと、第２ソフトウェアが動作する第四のコアと、を含み、
   前記ロックステップコアは、ロックステップ動作において、前記第一のコアと前記第二のコアとに同一の第３ソフトウェアを動作させ、動作中に結果を照合することでエラーが起こったことを検出し、
   前記マルチコアの前記第四のコアでのエラー発生時に前記システム制御部が前記ロックステップコアの前記第一のコアと前記第二のコアとを、前記ロックステップ動作から、前記第一のコアに前記第２ソフトウェアに対応する縮退第２ソフトウェアを動作させ、かつ、前記第二のコアに前記第３ソフトウェアを動作させるようなマルチコア動作に動的に切り替え、
   前記マルチコアの前記第四のコアで動作していた前記第２ソフトウェアに対応する前記縮退第２ソフトウェアが前記第一のコアで動作中に前記システム制御部が前記マルチコアの前記第四のコアの再起動と診断を指示することを特徴とする再構成制御装置。
2. 請求項１に記載の再構成制御装置において、
   前記システム制御部は、
   前記マルチコアからの制御出力と前記ロックステップコアからの制御出力の値を元に選択信号を出力する再構成制御部と、
   前記選択信号の値に応じて前記マルチコアからの制御出力と前記ロックステップコアからの制御出力を選択するマルチプレクサと、
   を有し、
   前記再構成制御部は、
   前記マルチコアおよび前記ロックステップコアにエラーがない場合、前記第１ソフトウェアが動作する前記第三のコアからの制御出力、前記第２ソフトウェアが動作する前記第四のコアからの制御出力、および、前記第３ソフトウェアが動作する前記第二のコアからの制御出力が前記マルチプレクサにより選択されて、前記マルチプレクサから前記再構成制御装置の外部へ出力される様に前記選択信号を生成し、
   前記再構成制御部は、
   前記マルチコアの前記第四のコアでのエラー発生時、前記第四のコアの前記制御出力のエラー情報の値を元に、
   前記第四のコアの前記制御出力に代えて、前記縮退第２ソフトウェアが動作する前記第一のコアからの制御出力が前記マルチプレクサにより選択されて、
   かつ、
   前記第１ソフトウェアが動作する前記第三のコアからの前記制御出力、および、前記第３ソフトウェアが動作する前記第二のコアからの前記制御出力が前記マルチプレクサにより選択されて、
   前記マルチプレクサから前記再構成制御装置の前記外部へ出力される様に前記選択信号を生成することを特徴とする再構成制御装置。
3. 請求項２に記載の再構成制御装置において、
   前記再構成制御部は、
   前記第２ソフトウェアに対応した前記縮退第２ソフトウェアを配置する不揮発メモリを有し、
   前記マルチコアの前記第四のコアでのエラー発生時、前記第一のコアに前記縮退第２ソフトウェアを動作させるように、前記第四のコアの前記制御出力のエラー情報の値を元に、前記不揮発メモリから前記縮退第２ソフトウェアのバイナリデータを読み出して前記第一のコアのメモリに配置させることを特徴とする再構成制御装置。
4. マルチコアと、
   第一のロックステップコアと、
   第二のロックステップコアと、
   前記第一のロックステップコアを第一のコアと第二のコアに動的に切り替えるシステム制御部を有し、
   前記マルチコアは、第１ソフトウェアが動作する第三のコアと、第２ソフトウェアが動作する第四のコアと、を含み、
   前記第二のロックステップコアは、第五のコアと第六のコアとを含み、
   前記第一のロックステップコアは、ロックステップ動作において、前記第一のコアと前記第二のコアとに同一の第３ソフトウェアを動作させ、動作中に結果を照合することでエラーが起こったことを検出し、
   前記第二のロックステップコアは、ロックステップ動作において、前記第五のコアと前記第六のコアとに同一の第４ソフトウェアを動作させ、動作中に結果を照合することでエラーが起こったことを検出し、
   前記マルチコアの前記第四のコアでのエラー発生時に前記システム制御部が前記第一のロックステップコアの前記第一のコアと前記第二のコアとを、前記ロックステップ動作から、前記第一のコアに前記第２ソフトウェアに対応する縮退第２ソフトウェアを動作させ、かつ、前記第二のコアに前記第３ソフトウェアを動作させるようなマルチコア動作に動的に切り替え、
   前記マルチコアの前記第四のコアで動作していた前記第２ソフトウェアに対応する前記縮退第２ソフトウェアが前記第一のコアで動作中に前記システム制御部が前記マルチコアの前記第四のコアの再起動と診断を指示することを特徴とする再構成制御装置。
5. 請求項４に記載の再構成制御装置において、
   前記システム制御部は、
   前記マルチコアからの制御出力と前記第一のロックステップコアからの制御出力と前記第二のロックステップコアからの制御出力の値を元に選択信号を出力する再構成制御部と、
   前記選択信号の値に応じて前記マルチコアからの制御出力と前記第一のロックステップコアからの制御出力と前記第二のロックステップコアからの制御出力とを選択するマルチプレクサと、
   を有し、
   前記再構成制御部は、
   前記マルチコアおよび前記第一のロックステップコアにエラーがない場合、前記第１ソフトウェアが動作する前記第三のコアからの制御出力、前記第２ソフトウェアが動作する前記第四のコアからの制御出力、前記第３ソフトウェアが動作する前記第二のコアからの制御出力、および、前記第４ソフトウェアが動作する前記第六のコアからの制御出力が前記マルチプレクサにより選択されて、前記マルチプレクサから前記再構成制御装置の外部へ出力される様に前記選択信号を生成し、
   前記再構成制御部は、
   前記マルチコアの前記第四のコアでのエラー発生時、前記第四のコアの前記制御出力のエラー情報の値を元に、
   前記第四のコアの前記制御出力に代えて、前記縮退第２ソフトウェアが動作する前記第一のコアからの制御出力が前記マルチプレクサにより選択されて、
   かつ、
   前記第１ソフトウェアが動作する前記第三のコアからの前記制御出力、前記第３ソフトウェアが動作する前記第二のコアからの前記制御出力、および、前記第４ソフトウェアが動作する前記第六のコアからの制御出力が前記マルチプレクサにより選択されて、
   前記マルチプレクサから前記再構成制御装置の前記外部へ出力される様に前記選択信号を生成することを特徴とする再構成制御装置。
6. 請求項５に記載の再構成制御装置において、
   前記再構成制御部は、前記第２ソフトウェアに対応した前記縮退第２ソフトウェアを配置する不揮発メモリを有し、
   前記マルチコアの前記第四のコアでのエラー発生時、前記第一のコアに前記縮退第２ソフトウェアを動作させるように、前記第四のコアの前記制御出力のエラー情報の値を元に、前記不揮発メモリから前記縮退第２ソフトウェアのバイナリデータを読み出して前記第一のコアのメモリに配置させることを特徴とする再構成制御装置。

Images