JP7797886B2 - 車載制御装置、制御方法及びコンピュータプログラム - Google Patents

Description

本開示は、車載制御装置、制御方法及びコンピュータプログラムに関する。

従来より、１台のコンピュータを複数台のコンピュータであるかのように構成する仮想化技術が知られている。例えば、特許文献１には、ハイパーバイザーの機能により、車両に搭載されているＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）に複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ：仮想マシン）を構成する技術が開示されている。

特許文献１において、ＥＣＵに含まれるＶＭ構成部は、各ＶＭごとに設定された割当時間に基づいて、ＶＭを切り替える。例えば、ボデー制御ＶＭに６０ｍｓｅｃの処理時間が割り当てられた後に、マルチメディアＶＭに４０ｍｓｅｃの処理時間が割り当てられる。

ここで、ＶＭの処理時間が割当時間を超過すると、超過分の処理が次のサイクルに後回しにされ、後回しになる処理が積み重なることで処理の遅延が生じうる。特許文献１のＶＭ構成部は、ボデー制御ＶＭの処理時間が割当時間を超過する場合に、ボデー制御ＶＭよりも優先度の低い他のＶＭにおける余剰時間（割当時間から処理時間を減算した時間）をボデー制御ＶＭの割当時間に加算する。例えば、マルチメディアＶＭの処理に１５ｍｓｅｃの余剰時間がある場合、ＶＭ構成部は、マルチメディアＶＭの割当時間を２５ｍｓｅｃに短縮して、ボデー制御ＶＭの割当時間を７５ｍｓｅｃに延長する。これにより、特許文献１の技術では、処理の遅延を抑制する。

特開２０２１－６０９２３号公報

例えばＶＭにおいて、次のサイクルに繰り越すことができない処理（リアルタイム処理）を行う場合、ＶＭの割当時間は、想定される処理時間にある程度の余白時間を加算した時間とすることがある。このようなＶＭの場合、処理時間が割当時間を超過すると、それまで実行していた処理は失敗に終わり、次のサイクル等において再度処理をやり直す必要が生じうる。

特許文献１の技術は、リアルタイム処理を考慮していないため、確保する必要のある余白時間が他のＶＭの割当時間に充当されるおそれがあり、割当時間を削ったＶＭ（すなわち、余白時間が少なくなったＶＭ）において処理の失敗が生じるおそれがある。

ここで、ＶＭが自身を構成するＥＣＵ以外の装置（例えば、センサ等の外部装置）と通信を行う場合、当該外部装置の経年劣化の影響により、ＶＭにおける処理時間が増大することがある。従来は、経年劣化による処理時間の増大を見越して、余白時間を過剰に設定していたため、複数のＶＭを構成するＥＣＵの機能を効率的に発揮できていなかった。

本開示は、かかる事情に鑑みてなされたものであり、複数の仮想マシンを含む車載制御装置をより効率的に機能させることを目的とする。

本開示の車載制御装置は、車両に搭載される車載制御装置であって、制御部、記憶部及び通信部を含む物理リソースと、割当時間ごとに前記物理リソースを割り当てて複数の仮想マシンを生成する管理部と、を備え、前記複数の仮想マシンは、前記車載制御装置の外部に設けられている外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する第１仮想マシンと、次のサイクルに繰り越すことができる処理を実行する第２仮想マシンと、を含み、前記管理部は、前記外部装置の劣化を示す所定条件を満たす場合に、前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する第１制御を実行する、車載制御装置である。

本開示の制御方法は、車両に搭載される車載制御装置を制御する制御方法であって、制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて、複数の仮想マシンを生成する生成ステップと、前記車載制御装置の外部に設けられている外部装置の劣化を示す所定条件を満たす場合に、複数の前記仮想マシンのうち第１仮想マシンの割当時間を延長し、複数の前記仮想マシンのうち第２仮想マシンの割当時間を短縮する制御ステップと、を備え、前記第１仮想マシンは、前記外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンである、制御方法である。

本開示のコンピュータプログラムは、車両に搭載される車載制御装置を制御するためのコンピュータプログラムであって、前記コンピュータプログラムは、コンピュータに、制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて複数の仮想マシンを生成する生成ステップと、前記車載制御装置の外部に設けられている外部装置の劣化を示す所定条件を満たす場合に、複数の前記仮想マシンのうち第１仮想マシンの割当時間を延長し、複数の前記仮想マシンのうち第２仮想マシンの割当時間を短縮する制御ステップと、を実行させ、前記第１仮想マシンは、前記外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンである、コンピュータプログラムである。

本開示によれば、複数の仮想マシンを含む車載制御装置をより効率的に機能させることができる。

図１は、第１実施形態に係る車載制御装置とその周辺構成を例示する模式図である。 図２は、第１実施形態が解決しようとする課題を説明する図である。 図３は、第１実施形態に係る制御方法を例示するフローチャートである。 図４は、第１実施形態に係る更新テーブルを例示する図である。 図５は、第１実施形態に係る割当時間の変更を説明する図である。 図６は、第２実施形態に係る制御方法を例示するフローチャートである。 図７は、第２実施形態に係る割当時間の変更を説明する図である。 図８は、第２実施形態に係る割当時間の変更を説明する図である。 図９は、変形例に係る余白時間を説明する図である。

＜本開示の実施形態の概要＞
以下、本開示の実施形態の概要を列記して説明する。

（１）本開示の車載制御装置は、車両に搭載される車載制御装置であって、制御部、記憶部及び通信部を含む物理リソースと、割当時間ごとに前記物理リソースを割り当てて複数の仮想マシンを生成する管理部と、を備え、前記複数の仮想マシンは、前記車載制御装置の外部に設けられている外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する第１仮想マシンと、次のサイクルに繰り越すことができる処理を実行する第２仮想マシンと、を含み、前記管理部は、前記外部装置の劣化を示す所定条件を満たす場合に、前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する第１制御を実行する、車載制御装置である。

外部装置の劣化に起因して第１仮想マシンの処理時間が当初の割当時間よりも長くなる場合であっても、管理部が外部装置の劣化を所定条件に基づいて判断し、第１仮想マシンの割当時間を延長することで、第１仮想マシンの処理が失敗することを抑制することができる。このように構成することで、初期において第１仮想マシンの余白時間を余分に設定することを抑制しつつ、経年使用後にも第１仮想マシンの処理を継続させることができるため、車載制御装置を効率的に機能させることができる。

（２）前記所定条件は、基準時点から所定時間以上の時間が経過したこと、前記基準時点から前記外部装置が所定時間以上動作したこと、又は、前記基準時点から前記車両が所定距離以上の距離を走行したこと、を含んでもよい。前記基準時点は、前記外部装置の使用を開始した時点、又は、前記第１仮想マシンの割当時間を延長した時点、を含んでもよい。

このように構成することで、管理部は、外部装置の劣化をより容易に判断することができる。

（３）前記記憶部は、第１の割当時間と、前記第１の割当時間よりも長い第２の割当時間と、を記憶してもよく、前記管理部は、前記所定条件を満たす前は、前記第１仮想マシンの割当時間を前記第１の割当時間とし、前記所定条件を満たす場合に、前記第１仮想マシンの割当時間を前記第２の割当時間としてもよい。

管理部は、予め記憶されている第１の割当時間及び第２の割当時間を第１仮想マシンの割当時間とすることができるため、管理部において割当時間を算出する処理負荷を少なくすることができる。

（４）前記記憶部は、前記所定条件に関する情報と、前記第１の割当時間及び前記第２の割当時間を含む前記第１仮想マシンの割当時間と、を対応させたテーブルを記憶してもよく、前記管理部は、前記第１制御において、前記テーブルを参照して取得される割当時間に基づいて、前記第１仮想マシンの割当時間を延長してもよい。

割当時間を予めテーブルとして記憶することで、管理部において割当時間を算出する処理負荷を少なくすることができる。

（５）前記管理部は、前記第１制御の実行後に、前記第１仮想マシン及び前記第２仮想マシンの各割当時間をさらに変更する第２制御をさらに実行してもよく、前記第２制御は、第１サイクルにおける前記第１仮想マシンの処理時間を取得する制御と、取得した処理時間と前記第１仮想マシンに設定されている割当時間とに基づいて算出される余白時間又は当該余白時間の変化率が第１所定値を下回る場合に、前記第１サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する制御と、を含んでもよい。

このように構成することで、第１制御により第１仮想マシンの割当時間を外部装置の経年劣化による処理時間の増大を加味した割当時間に延長した状態で、さらに外部装置の外乱等に起因する一時的な処理時間の増大を加味して第１仮想マシンの割当時間を追加的に延長することができる。これにより、より現状に則した第１仮想マシンの割当時間を設定することができるため、車載制御装置の機能をより効率的に発揮させることができる。

（６）前記管理部は、前記第１仮想マシンの前記外部装置への通信リトライ回数が増加した場合に、前記第２制御を実行してもよい。

このように構成することで、管理部は、第１仮想マシンの処理時間の増大が見込まれる場合に第２制御を実行するため、管理部の制御負荷を削減することができる。

（７）前記管理部は、前記第２制御を実行した後に、前記第１仮想マシン及び前記第２仮想マシンの各割当時間を変更する第３制御をさらに実行してもよく、前記第３制御は、前記第１サイクル以降の第２サイクルにおける前記第１仮想マシンの処理時間を取得する制御と、取得した処理時間と前記第１制御において変更された前記第１仮想マシンの割当時間とに基づいて算出される余白時間が前記第１所定値より大きい値である第２所定値を超える場合に、前記第２サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を短縮し、前記第２仮想マシンの割当時間を延長する制御と、を含んでもよい。

第１仮想マシンの余白時間の増大に伴って、管理部が第１仮想マシンの割当時間を短縮することで、余白時間が過剰となることを抑制し、車載制御装置の機能をより効率的に発揮させることができる。

（８）前記管理部は、前記第１仮想マシンの前記外部装置への通信リトライ回数が減少した場合に、前記第３制御を実行してもよい。

このように構成することで、管理部は、第１仮想マシンの処理時間の減少が見込まれる場合に第３制御を実行するため、管理部の制御負荷を削減することができる。

（９）本開示の制御方法は、車両に搭載される車載制御装置を制御する制御方法であって、制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて、複数の仮想マシンを生成する生成ステップと、前記車載制御装置の外部に設けられている外部装置の劣化を示す所定条件を満たす場合に、複数の前記仮想マシンのうち第１仮想マシンの割当時間を延長し、複数の前記仮想マシンのうち第２仮想マシンの割当時間を短縮する制御ステップと、を備え、前記第１仮想マシンは、前記外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンである、制御方法である。

外部装置の劣化に起因して第１仮想マシンの処理時間が当初の割当時間よりも長くなる場合であっても、制御ステップにおいて外部装置の劣化を所定条件に基づいて判断し、第１仮想マシンの割当時間を延長することで、第１仮想マシンの処理が失敗することを抑制することができる。このように構成することで、初期において第１仮想マシンの余白時間を余分に設定することを抑制しつつ、経年使用後にも第１仮想マシンの処理を継続させることができるため、車載制御装置を効率的に機能させることができる。

（１０）本開示のコンピュータプログラムは、車両に搭載される車載制御装置を制御するためのコンピュータプログラムであって、前記コンピュータプログラムは、コンピュータに、制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて複数の仮想マシンを生成する生成ステップと、前記車載制御装置の外部に設けられている外部装置の劣化を示す所定条件を満たす場合に、複数の前記仮想マシンのうち第１仮想マシンの割当時間を延長し、複数の前記仮想マシンのうち第２仮想マシンの割当時間を短縮する制御ステップと、を実行させ、前記第１仮想マシンは、前記外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンである、コンピュータプログラムである。

外部装置の劣化に起因して第１仮想マシンの処理時間が当初の割当時間よりも長くなる場合であっても、制御ステップにおいて外部装置の劣化を所定条件に基づいて判断し、第１仮想マシンの割当時間を延長することで、第１仮想マシンの処理が失敗することを抑制することができる。このように構成することで、初期において第１仮想マシンの余白時間を余分に設定することを抑制しつつ、経年使用後にも第１仮想マシンの処理を継続させることができるため、車載制御装置を効率的に機能させることができる。

＜本開示の実施形態の詳細＞
以下、図面を参照しつつ、本発明の実施形態の詳細を説明する。

［１．第１実施形態］
［１．１ 車載制御装置とその周辺構成］
図１は、第１実施形態に係る車載制御装置１とその周辺構成を例示する模式図である。
車載制御装置１は、車両Ｖ１に搭載されている装置であり、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）とも称される。車両Ｖ１は、例えば自動車であるが、車両Ｖ１の種類は特に限定されない。車両Ｖ１には、車載制御装置１の他に、複数の外部装置３０が搭載されている。複数の外部装置３０は、複数のＥＣＵ３１と、複数のセンサ３２と、複数の通信装置３３とを含む。

ＥＣＵ３１は、例えば車両Ｖ１の各部（例えば、制動装置、ドア、バッテリ、エアコン等）を制御する装置（操作系ＥＣＵ）である。ＥＣＵ３１の機能は特に限定されず、ＥＣＵ３１は、センサ３２と通信して、車両Ｖ１の各部の状態を監視する装置（認知系ＥＣＵ）であってもよい。ＥＣＵ３１は、例えば後述の通信部１６に通信線３１ａを介して接続されている。

センサ３２は、例えば車両Ｖ１の周辺を監視するためのＬｉＤＡＲ（Ｌｉｇｈｔ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒａｎｇｉｎｇ）である。センサ３２の内容は特に限定されず、センサ３２は、車両Ｖ１内の温度を検知する温度センサであってもよいし、車両Ｖ１に人が乗ったことを検知する人感センサであってもよい。センサ３２は、例えば後述の通信部１６に通信線３２ａを介して接続されている。

通信装置３３は、例えばＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）であり、インターネット等のネットワークを介して車外装置４と無線通信を行う。通信装置３３は、例えば後述の通信部１６に通信線３３ａを介して接続されている。

車外装置４は、車両Ｖ１の外部に設置されている装置である。車外装置４は、例えば、制御部、記憶部及び通信部を備えるサーバである。車外装置４の記憶部は、例えば、車載制御装置１及びＥＣＵ３１を制御するためのプログラム又はデータを記憶する。例えば車載制御装置１又はＥＣＵ３１の製造者は、必要に応じて当該プログラム又はデータを修正し、修正されたプログラム又はデータを随時、車外装置４の記憶部に格納する。車外装置４の通信部は、修正されたプログラム又はデータを、更新データとして通信装置３３に送信する。

車載制御装置１は、後述の仮想化技術によって、複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ：仮想マシン）１３として機能するＥＣＵである。すなわち、車載制御装置１は、複数の仮想的なＥＣＵとして機能する統合ＥＣＵである。複数のＶＭ１３のそれぞれの機能は、特に限定されない。例えば、ＶＭ１３は、通信装置３３から入力される更新データをＥＣＵ３１に中継する装置であってもよい。この場合、ＶＭ１３は、例えばセントラルゲートウェイ（ＣＧＷ：Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ）のように、複数の異なるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）が車両Ｖ１内に存在するネットワーク環境で、各ＬＡＮに存在する複数のＥＣＵ３１がそれぞれ送信又は受信するデータの中継をしてもよい。また、ＶＭ１３は、上記のＥＣＵ３１と同様に、車両Ｖ１の各部を制御する装置であってもよいし、車両Ｖ１の各部の状態を監視する装置であってもよい。

［１．２ 車載制御装置の内部構成］
車載制御装置１は、各種の物理リソース１１と、物理リソース１１を割り当てて複数のＶＭ１３を生成する管理部１２と、を備える。物理リソース１１は、制御部１４と、記憶部１５と、通信部１６と、読取部１７と、を含む。制御部１４、記憶部１５、通信部１６及び読取部１７は、例えばバスによって互いに電気的に接続されている。

制御部１４は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。制御部１４は、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってもよいし、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の集積回路であってもよい。

記憶部１５は、揮発性メモリと、不揮発性メモリと有し、各種のデータを記憶する。揮発性メモリは、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。不揮発性メモリは、例えばフラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）又はＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等を含む。

記憶部１５は、不揮発性メモリに、例えばコンピュータプログラム１５ａと、仮想化オペレーティングシステム１５ｂ（以下、「仮想化ＯＳ１５ｂ」と称する。）と、ゲストオペレーティングシステム１５ｃ（以下、「ゲストＯＳ１５ｃ」と称する。）と、を記憶している。

読取部１７は、コンピュータが読取り可能な記録媒体１８から情報を読み取る。記録媒体１８は、例えばＣＤ、ＤＶＤ等の光学ディスク又はＵＳＢフラッシュメモリである。読取部１７は、例えば光学ドライブ又はＵＳＢ端子である。記録媒体１８には複数のコンピュータプログラム１５ａ、仮想化ＯＳ１５ｂ及び複数のゲストＯＳ１５ｃが記録されており、記録媒体１８を読取部１７に読み取らせることで、複数のコンピュータプログラム１５ａ、仮想化ＯＳ１５ｂ及び複数のゲストＯＳ１５ｃは、記憶部１５の不揮発性メモリに記憶される。

複数のコンピュータプログラム１５ａは、管理部１２としての機能を実現するためのプログラムと、複数のＶＭ１３において後述のアプリケーション１３ｂを実現するためのプログラム（アプリケーションプログラム）と、を含む。

複数のゲストＯＳ１５ｃは、各ＶＭ１３を動作させるためのＯＳである。ゲストＯＳ１５ｃは特に限定されないが、例えば、Ａｕｔｏｓａｒ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ａｎｄｒｏｉｄ（登録商標）、ＱＮＸ（登録商標）又はＵｂｕｎｔｕ（登録商標）であってもよい。

なお、複数のコンピュータプログラム１５ａ、仮想化ＯＳ１５ｂ及び複数のゲストＯＳ１５ｃは、車外装置４から送信され、通信装置３３及び通信部１６を介して、記憶部１５に記憶されてもよい。

通信部１６は、複数のＥＣＵ３１と通信線３１ａを介して接続する第１の通信インターフェースと、複数のセンサ３２と通信線３２ａを介して接続する第２の通信インターフェースと、通信装置３３と通信線３３ａを介して接続する第３の通信インターフェースとを含む。通信線３１ａ，３２ａ，３３ａの通信規格は特に限定されないが、例えばＣＡＮ又はイーサネット（Ｅｔｈｅｒｎｅｔ：登録商標）である。通信線３１ａ，３２ａ，３３ａの通信規格は、同一の通信規格であってもよいし、それぞれ異なる通信規格であってもよい。

制御部１４は、記憶部１５からコンピュータプログラム１５ａ、仮想化ＯＳ１５ｂ及びゲストＯＳ１５ｃを読出して、これら１５ａ～１５ｃに基づいて各種の演算及び処理を実行することで、後述の各種の機能を実現する。管理部１２及び複数のＶＭ１３の各種の動作は、制御部１４の演算及び処理によって実現される。

管理部１２は、仮想化ＯＳ１５ｂに基づいて物理リソース１１を適宜に割り当てることで、複数のＶＭ１３がそれぞれ動作可能な複数の仮想環境を構築する。仮想化ＯＳ１５ｂは、例えばハイパーバイザー（Ｈｙｐｅｒｖｉｓｏｒ：登録商標）である。なお、仮想化ＯＳ１５ｂは、その他の仮想化ソフトウェアであってもよい。例えば、仮想化ＯＳ１５ｂは、ホスト型の仮想化ソフトウェアであってもよいし、コンテナ型の仮想化ソフトウェアであってもよい。

複数のＶＭ１３は、割当時間ごとに物理リソース１１が割り当てられることで構成される仮想ハードウェアをそれぞれ含む。仮想ハードウェアは、例えば仮想制御部、仮想記憶部及び仮想通信部を有する。ＶＭ１３は、当該仮想ハードウェア上でゲストＯＳ１３ａを動作させ、このゲストＯＳ上で各種のアプリケーション１３ｂを動作させることにより、実物の物理的なＥＣＵ（例えば、ＥＣＵ３１）のように機能する。ゲストＯＳ１３ａは、記憶部１５に記憶されている複数のゲストＯＳ１５ｃのうち、管理部１２によって割り当てられた１個のゲストＯＳ１５ｃに相当する。

複数のＶＭ１３は、ＶＭ２１と、ＶＭ２２と、ＶＭ２３とを含む。以降では、ＶＭ２１、ＶＭ２２及びＶＭ２３を特に区別しない場合に「ＶＭ１３」と総称する。図１の例では、管理部１２は、これら３個のＶＭ１３を生成するが、管理部１２は４個以上のＶＭ１３を生成してもよい。

ＶＭ２１は、外部装置３０と通信するＶＭである。また、ＶＭ２１はリアルタイム性が要求される処理（リアルタイム処理）を実行するＶＭである。ＶＭ２１は、外部装置３０に要求信号を送信し、当該要求信号に応じて外部装置３０から送信されるデータを受信するＶＭである。例えば、ＶＭ２１は、センサ３２からデータを受信して、当該データに各種の処理を施した後、他のＶＭ２２，２３に当該データを送信するＶＭである。ＶＭ２１は、車外装置４から通信装置３３を経由して提供される更新データ等の各種のデータを他のＶＭ２２，２３及びＥＣＵ３１に中継するＶＭであってもよい。

ＶＭ２２は、外部装置３０と通信しないＶＭである。より具体的には、ＶＭ２２は、車載制御装置１内において処理が完結するＶＭである。また、ＶＭ２２はリアルタイム処理を実行するＶＭである。ＶＭ２２は、例えば、ＶＭ２１からＶＭ２２に送信されたデータに基づいて車両Ｖ１の各部の状態を判定するＶＭである。ＶＭ２２は、例えば判定結果に関するデータをＶＭ２１に送信する。

ＶＭ２３は、リアルタイム性が比較的に要求されない処理を実行するＶＭである。ＶＭ２３は、例えば車載制御装置１の品質を管理するためのＶＭである。例えば、ＶＭ２３は、ＶＭ２１，２２の処理情報（例えば、処理の内容、処理時間等の履歴）を収集して、ＶＭ２１，２２が効率的に機能しているか否かを評価してもよい。

［１．３ 第１実施形態が解決しようとする課題］
図２は、第１実施形態が解決しようとする課題を説明する図である。図２中の（ａ），（ｂ）は、各ＶＭ２１，２２，２３のそれぞれの割当時間を示すタイミングチャートである。管理部１２は、所定のサイクルＴごとに各ＶＭ２１，２２，２３が動作する時間を割り当てる。すなわち、管理部１２はスケジューラとしての機能を有する。

図２の（ａ）を参照する。管理部１２は、所定のサイクルＴ１（以下、「第１サイクルＴ１」とも称する。）において、初めにＶＭ２１に割当時間Ｘ１１の間だけ物理リソース１１を割り当てる。ＶＭ２１は割り当てられた物理リソース１１を用いて所定の処理を実行する。以下、ＶＭが実際に処理を実行する時間を「処理時間」と称する。ＶＭ２１は、割当時間Ｘ１１の間に、処理時間Ｚ１１を費やして所定の処理を実行する。

ＶＭ２１は、第１サイクルＴ１において、次のサイクルＴ２（以下、「第２サイクルＴ２」とも称する。）に繰り越すことができない処理（リアルタイム処理）を実行する。すなわち、ＶＭ２１の処理が割当時間Ｘ１１の間に終了しない場合、当該処理は失敗となる。言い換えると、ＶＭ２１の処理はサイクルをまたいで中断及び再開することができない処理である。このため、処理時間Ｚ１１が割当時間Ｘ１１内に収まるように、割当時間Ｘ１１は処理時間Ｚ１１よりも長めに設定されている（Ｘ１１＞Ｚ１１）。以下、割当時間のうちＶＭの処理に用いられない時間を「余白時間」と称する。割当時間Ｘ１１に含まれる余白時間Ｙ１１は、割当時間Ｘ１１から処理時間Ｚ１１を減算することで求められる（Ｙ１１＝Ｘ１１－Ｚ１１）。

同様に、ＶＭ２２は、第１サイクルＴ１において、第２サイクルＴ２に繰り越すことができない処理（リアルタイム処理）を実行する。このため、ＶＭ２２の割当時間Ｘ１２は、ＶＭ２２が処理を実行する処理時間Ｚ１２と、ＶＭ２２の処理に用いられない余白時間Ｙ１２とを含む。

ＶＭ２３は、第１サイクルＴ１において、第２サイクルＴ２に繰り越すことができる処理を実行する。すなわち、ＶＭ２３の処理は、例えばＶＭ２３の割当時間Ｘ１３を費やして終了しなかった場合に、一旦中断して、次の第２サイクルＴ２におけるＶＭ２３の割当時間Ｘ１３において再開することができる処理である。このため、ＶＭ２３の割当時間Ｘ１３は、全て処理時間として費やされ、余白時間を含まない。なお、割当時間Ｘ１３に余白時間が含まれてもよい。

第１サイクルＴ１が終了すると、管理部１２は同じくＶＭ２１，２２，２３にそれぞれ割当時間Ｘ１１，Ｘ１２，Ｘ１３を割り当てて、第２サイクルＴ２を実行する。

図２の（ａ）は、例えば新品の外部装置３０（例えば、新品のセンサ３２）を使用している状態でのタイミングチャートを示している。新品の外部装置３０の場合、外部装置３０がほとんど劣化していないため、外部装置３０と通信するＶＭ２１の処理に遅れが生じておらず、処理時間Ｚ１１は割当時間Ｘ１１に収まっている。

図２の（ｂ）は、経年劣化した外部装置３０を使用している状態でのタイミングチャートを示している。外部装置３０が劣化すると、例えば外部装置３０から出力される信号が不安定となり、ＶＭ２１が外部装置３０（例えばセンサ３２）からデータを受信するまでより長い時間が掛かる場合がある。

より具体的には、外部装置３０から出力される信号が異常信号（信号強度が弱い若しくは極度に強い、又は、信号が示す値が極端に低い若しくは極端に高い）となる場合、当該信号を受信したＶＭ２１は外部装置３０に対して信号送信の再要求（通信リトライ）を行う。ＶＭ２１の外部装置３０への通信リトライを行う回数が増加すると、その分だけＶＭ２１が外部装置３０から所望のデータ（正常なデータ）を受信するまでの時間が長くなる。このため、ＶＭ２１の処理時間Ｚ１１が増大する。

図２の（ｂ）に示すように、処理時間Ｚ１１が割当時間Ｘ１１よりも長くなると、ＶＭ２１は処理を途中で中断せざるを得ず、ＶＭ２１の処理は失敗となる。例えば、ＶＭ２１の処理がセンサ３２から検知データの現在値を受信することである場合、割当時間Ｘ１１の間にセンサ３２から所望の検知データを受信できない場合、当該処理は失敗となる。

そして、ＶＭ２１の処理は次の第２サイクルＴ２に繰り越すことができないため、第２サイクルＴ２においても処理を始めから実行する（処理をやり直す）。例えば、ＶＭ２１がセンサ３２から検知データの現在値を受信する場合、ＶＭ２１は現時点にてセンサ３２が検知している値を取得する必要がある。このため、ＶＭ２１は、第１サイクルＴ１において処理が中断された後、次の第２サイクルＴ２において、第１サイクルＴ１時点の過去の検知データを引き続きセンサ３２から受信するのではなく、第２サイクルＴ２におけるセンサ３２の検知データの現在値を受信する。

そして、センサ３２は既に経年劣化しているため、第２サイクルＴ２の割当時間Ｘ１１においてもセンサ３２から出力される信号は依然として不安定であり、第２サイクルＴ２においてもＶＭ２１の処理時間Ｚ１１が割当時間Ｘ１１よりも長くなってＶＭ２１の処理が失敗するおそれがある。

このように、外部装置３０の経年劣化に起因して処理時間Ｚ１１が増大すると、ＶＭ２１が継続的に処理不良に陥るおそれがある。この課題の対応としては、処理時間Ｚ１１の増大を見越して、余白時間Ｙ１１を余分に確保するためにＶＭ２１の割当時間Ｘ１１を過剰に設定することが考えられる。しかしながら、余白時間Ｙ１１は、ＶＭ２１が処理を実行しない時間であるため、割当時間Ｘ１１に占める余白時間Ｙ１１の割合が大きいと（余白時間Ｙ１１が長いと）、複数のＶＭ１３を構成する車載制御装置１の機能を効率的に発揮できない。

そこで、本実施形態では、割当時間Ｘ１１の過剰な設定はせずに、初めは新品の外部装置３０と通信するＶＭ２１に適した割当時間Ｘ１１を設定する。そして、外部装置３０が劣化するような所定条件（例えば、所定時間の経過等）が満たされた場合に、管理部１２はＶＭ２１の割当時間Ｘ１１を延長する。また、管理部１２は、割当時間Ｘ１１の延長に伴ってサイクルの総時間が変化しないように、次のサイクルに繰り越すことができる処理を実行するＶＭ２３の割当時間Ｘ１３を短縮する。

すなわち、管理部１２は、外部装置３０に劣化がない間（すなわち、外部装置３０の出力が比較的安定している間）、ＶＭ２１の割当時間Ｘ１１をより短くする。例えば、外部装置３０劣化時に予想される増大後の処理時間Ｚ１１よりも初期の割当時間Ｘ１１を短くする。これにより、割当時間Ｘ１１に占める余白時間Ｙ１１の割合を比較的小さく抑え、車載制御装置１の機能を効率的に発揮させる。そして、経年により外部装置３０が劣化するおそれがある場合に、管理部１２はＶＭ２１の割当時間Ｘ１１を延長することで、ＶＭ２１における処理不良を抑制する。これにより、車載制御装置１をより長期にわたって効率的に機能させることができる。

以下、第１実施形態の管理部１２による制御方法を詳しく説明する。

［１．４ 制御方法］
図３は、第１実施形態に係る制御方法を例示するフローチャートである。図３は、管理部１２が実行する各種の制御を示している。これらの制御は、管理部１２が記憶部１５からコンピュータプログラム１５ａを読み取って各種の演算及び処理を実行することで実現される。図３に示す各ステップは、適宜順番が前後してもよい。

初めに、管理部１２は外部装置３０が劣化するような所定条件が満たされているか否かを監視する（ステップＳＴ１１）。管理部１２は、ステップＳＴ１１の監視を随時に実行してもよいし、定期的に（例えば、１週間おきに）実行してもよい。

所定条件は、例えば以下の（１）、（２）又は（３）を含む。
（１）所定の基準時点Ｐ１から所定時間以上の時間が経過したこと
（２）基準時点Ｐ１から外部装置３０が所定時間以上動作したこと
（３）基準時点Ｐ１から車両Ｖ１が所定距離以上の距離を走行したこと

上記（１）では、管理部１２は、外部装置３０を動作させたか否か、又は車両Ｖ１を走行させたか否かにかかわらず、基準時点Ｐ１から経過した時間によって外部装置３０が劣化したことを判定する。例えば、管理部１２は、ＣＰＵ等に内蔵されるタイマーを用いて基準時点Ｐ１からカウントを開始し、当該カウントが所定時間以上となった際に、所定条件が充足されていると判定する。

上記（２）では、管理部１２は、外部装置３０の動作時間によって外部装置３０が劣化したことを判定する。例えば、管理部１２は、ＣＰＵ等に内蔵されるタイマーを用いて基準時点Ｐ１から外部装置３０の動作中に限ってカウントを進め、当該カウントが所定時間以上となった際に、所定条件が充足されていると判定する。

上記（３）では、管理部１２は、車両Ｖ１の走行距離によって外部装置３０が劣化したことを判定する。例えば、管理部１２は、車両Ｖ１の走行距離を検知するセンサ３２から車両Ｖ１の走行距離に関するデータを取得して、基準時点Ｐ１からの走行距離が所定距離以上となった際に、所定条件が充足されていると判定する。

ここで、基準時点Ｐ１は、例えば以下の（４）又は（５）を含む。
（４）外部装置３０の使用を開始した時点
（５）ＶＭ２１の割当時間を延長した時点

上記（４）では、管理部１２は、例えば外部装置３０を車載制御装置１に新たに接続した時点を基準時点Ｐ１とする。このため、例えば古い外部装置３０から新しい外部装置３０に交換した時点で、上記（１）～（３）のカウントはリセットされる。一方で、ＶＭ２１の割当時間を延長しても、当該カウントはリセットされない。

上記（５）では、管理部１２は、後述の第１制御（ステップＳＴ１６）を実行した時点を基準時点Ｐ１とする。このため、ステップＳＴ１６においてＶＭ２１の割当時間が延長されると、上記（１）～（３）のカウントはリセットされる。一方で、外部装置３０を交換しても、当該カウントはリセットされない。

なお、基準時点Ｐ１は、上記（４）と（５）を両方含んでもよい。すなわち、外部装置３０を交換した時点と、ＶＭ２１の割当時間が延長された時点と、の両方の時点において上記（１）～（３）のカウントがリセットされてもよい。

所定条件が満たされていない場合（ステップＳＴ１１のＮＯ）、管理部１２はステップＳＴ１１の監視を繰り返す。一方で、所定条件が満たされた場合（ステップＳＴ１１のＹＥＳ）、管理部１２は更新後の割当時間を取得する（ステップＳＴ１２）。具体的には、管理部１２は、記憶部１５から図４に示す更新テーブルを取得する。

図４は、第１実施形態に係る更新テーブルを例示する図である。更新テーブルは、所定時間又は所定距離と、ＶＭ２１，２２，２３の各割当時間とを対応させたテーブルであり、記憶部１５にパラメータとして記憶されている。図４の例では、１列目に更新対象のＶＭ１３であるＶＭ２１，２３が記載され、２列目以降には所定時間ごとのＶＭ２１，２２，２３の各割当時間が記載されている。更新テーブルの詳細は後述する。

なお、更新テーブルは車外装置４に記憶されていてもよい。この場合、ステップＳＴ１２の実行時に、管理部１２は、ネットワーク及び通信装置３３を介して車外装置４から更新テーブルを取得する。すなわち、管理部１２は、ＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）技術により、適時に更新テーブルを取得してもよい。

更新テーブルを取得した後、管理部１２は、変数ｉの値を「１」として（ステップＳＴ１３）、変数ｉが車載制御装置１が構成するＶＭ１３の個数Ｎ以下か否かを判定する（ステップＳＴ１４）。図１の例では、ＶＭ１３は３個（Ｎ＝３）であるため、１回目のステップＳＴ１４はＹＥＳのルートに進む。

次に、管理部１２は、ｉ台目のＶＭ１３が更新対象であるか否かを判定する（ステップＳＴ１５）。ここで、図１の例では、ＶＭ２１を１台目、ＶＭ２２を２台目、ＶＭ２３を３台目のＶＭと定義する。１回目のステップＳＴ１５において、管理部１２は、１台目のＶＭ１３であるＶＭ２１が更新対象か否かを判定する。本例において、ＶＭ２１，２３が更新対象であり、ＶＭ２２は更新対象でない。このため、１回目のステップＳＴ１５において、管理部１２はＹＥＳのルートに処理を進める。

続いて、管理部１２は、ｉ台目のＶＭ１３の割当時間を更新する（ステップＳＴ１６）。具体的には、管理部１２は、更新テーブルを参照して、ＶＭ２１の割当時間を更新する。ここで、更新テーブルについて、図４及び図５を参照して具体的に説明する。

図５は、第１実施形態に係る割当時間の更新を説明する図である。図５中の（ａ）は、更新前の割当時間を示すタイミングチャートであり、（ｂ）は更新後の割当時間を示すタイミングチャートである。

図４の更新テーブルは、所定条件が上記（１）又は（２）であり、基準時点Ｐ１が上記（４）である例を示している。例えば、基準時点Ｐ１から所定時間Ｄ１以上かつ所定時間Ｄ２未満の時間が経過している場合に、管理部１２はＶＭ２１の割当時間を「Ｘ１１」に設定し、ＶＭ２２の割当時間を「Ｘ１２」に設定し、ＶＭ２３の割当時間を「Ｘ１３」に設定する。所定時間Ｄ１は例えば「０」であり、割当時間Ｘ１１，Ｘ１２，Ｘ１３は各ＶＭ２１，２２，２３の割当時間の初期値である。例えば、管理部１２は、図５の（ａ）に示すように、外部装置３０が新品に交換される等により外部装置３０の使用を開始する時点で、記憶部１５の更新テーブルを参照し、各ＶＭ２１，２２，２３に初期値の割当時間Ｘ１１，Ｘ１２，Ｘ１３を設定する。

基準時点Ｐ１から所定時間Ｄ２以上かつ所定時間Ｄ３未満の時間が経過している場合、管理部１２は更新テーブルの３列目（Ｄ２の列）を参照する。そして、管理部１２は、図５の（ｂ）に示すように、ＶＭ２１を更新する場合には割当時間をＸ１１よりも長い「Ｘ２１」に設定し、ＶＭ２３を更新する場合には割当時間をＸ１３よりも短い「Ｘ２３」に設定する。ＶＭ２２は所定時間Ｄ２以上かつ所定時間Ｄ３未満の場合において割当時間の更新対象となっていないため、更新テーブルにおいて値は記載されていない。所定時間Ｄ２は、例えば３０日であり、所定時間Ｄ３は、例えば９０日である。

Ｘ１１からＸ２１への割当時間の増加分と、Ｘ１３からＸ２３への割当時間の減少分は、等しい（Ｘ２１－Ｘ１１＝Ｘ１３－Ｘ２３）。このため、ＶＭ２１，２３の割当時間を更新する前と、更新した後のサイクルは等しい（Ｘ１１＋Ｘ１２＋Ｘ１３＝Ｘ２１＋Ｘ１２＋Ｘ２３）。

同様に、基準時点Ｐ１から所定時間Ｄ３以上の時間が経過している場合、管理部１２は更新テーブルの４列目（Ｄ３の列）を参照して、ＶＭ２１の割当時間を「Ｘ３１」に設定し、ＶＭ２３の割当時間を「Ｘ３３」に設定する。Ｘ３１はＸ２１よりも長く、Ｘ３３はＸ２３よりも短い。このように、管理部１２は、所定時間がより長く経過するごとに（又は、所定距離がより長くなるごとに）、ＶＭ２１の割当時間を段階的に長くし、ＶＭ２３の割当時間を段階的に短くする。この場合も、Ｘ２１からＸ３１への割当時間の増加分と、Ｘ２３からＸ３３への割当時間の減少分は、等しい（Ｘ３１－Ｘ２１＝Ｘ２３－Ｘ３３）。

以下の説明では、例えば基準時点Ｐ１から所定時間Ｄ２が経過することで、ステップＳＴ１１の所定条件を満たした例を考える。この場合、１回目のステップＳＴ１６において、管理部１２はＶＭ２１の割当時間を「Ｘ１１」から「Ｘ２１」に延長する。続いて、管理部１２は変数ｉに「１」を加算する（ステップＳＴ１７）。これにより変数ｉは「２」となる。

ステップＳＴ１７の後、管理部１２はステップＳＴ１４に戻る。変数ｉ（＝２）は、依然としてＶＭ１３の個数Ｎ（＝３）以下であるため、２回目のステップＳＴ１４もＹＥＳのルートに進む。次に、管理部１２は、２回目のステップＳＴ１５を実行する。２台目のＶＭ１３であるＶＭ２２は外部装置３０と通信せず、さらにリアルタイム処理を行うＶＭであるため更新対象ではない。このため、２回目のステップＳＴ１５において、管理部１２はＮＯのルートに処理を進めて、ステップＳＴ１６をスキップする。続いて、管理部１２は変数ｉに「１」を加算する（ステップＳＴ１７）。これにより変数ｉは「３」となる。

２回目のステップＳＴ１７の後、管理部１２は３回目のステップＳＴ１４を実行する。変数ｉ（＝３）は、ＶＭ１３の個数Ｎ（＝３）以下であるため、３回目のステップＳＴ１４もＹＥＳのルートに進む。次に、管理部１２は、３回目のステップＳＴ１５を実行し、ＶＭ２３は更新対象であるためＹＥＳのルートに進み、更新テーブルを参照してＶＭ２３の割当時間を「Ｘ１３」から「Ｘ２３」に短縮する（ステップＳＴ１６）。続いて、管理部１２は変数ｉに「１」を加算して、変数ｉを「４」とする（ステップＳＴ１７）。

３回目のステップＳＴ１７の後、管理部１２は４回目のステップＳＴ１４を実行する。変数ｉ（＝４）は、ＶＭ１３の個数Ｎ（＝３）よりも大きいため、４回目のステップＳＴ１４はＮＯのルートに進み、管理部１２による一連の制御が終了する。上記のステップＳＴ１１からステップＳＴ１７までの一連の制御を、適宜「第１制御」とも称する。

以上に説明するように、管理部１２は、複数のＶＭ１３のスケジュール管理に関して、所定条件に基づいて外部装置３０の劣化を判定し、外部装置３０の劣化が想定される場合には、ＶＭ２１（外部装置３０と通信し、かつリアルタイム処理を行うＶＭ）の割当時間を延長する。

これにより、図５の（ｂ）に示すように、外部装置３０の劣化に起因してＶＭ２１の処理時間Ｚ１１が当初の割当時間Ｘ１１よりも長くなる場合であっても、割当時間を「Ｘ１１」から「Ｘ２１」に延長することで、ＶＭ２１の処理が失敗することを抑制することができる。このように構成することで、初期において余白時間Ｙ１１を余分に設定することを抑制しつつ、経年使用後にもＶＭ２１の処理を継続させることができるため、車載制御装置１を効率的に機能させることができる。

また、管理部１２は、ＶＭ２１の割当時間を延長することに伴い、次のサイクルに繰り越すことができる処理を実行するＶＭ２３の割当時間を短縮する。すなわち、管理部１２は、ＶＭ２３の割当時間を短縮することにより、ＶＭ２１に追加的に割り当てる時間を捻出する。ＶＭ２３の処理は途中で中断して、次のサイクルにて再開することが可能であるため、ＶＭ２３の割当時間が短くなったとしても、車載制御装置１の機能が低下するおそれは少ない（少なくとも、ＶＭ２１の処理の失敗が続く場合と比べて、車載制御装置１の機能低下のリスクは低い）。

また、管理部１２は、ＶＭ２１の割当時間を延長した分だけ、ＶＭ２３の割当時間を短縮するため、割当時間の更新前後において、１サイクルに掛かる時間は変化しない（例えば、Ｔ１＝Ｔ２）。このため、管理部１２における処理負担を抑制することができるため、より多くの物理リソース１１を管理部１２ではなく複数のＶＭ１３に割くことができ、車載制御装置１をより効率的に機能させることができる。

［２．第２実施形態］
次に、本開示の第２実施形態について説明する。第２実施形態において、第１実施形態と同じ構成については同じ符号を付して説明を省略する。第２実施形態は、管理部１２による制御方法の内容が第１実施形態と相違する。

［２．１ 第２実施形態が解決しようとする課題］
第１実施形態では、経年劣化によって外部装置３０の出力が不安定になることに起因するＶＭ２１の処理時間Ｚ１１の増大について説明した。外部装置３０の経年劣化は、例えば外部装置３０の交換によって回復することができるが、基本的には経時的に悪化の一途を辿ることになる。このため、第１実施形態では、ＶＭ２１の割当時間を、初期のＸ１１からＸ１１よりも長いＸ２１に更新し、その後、Ｘ２１よりも長いＸ３１に更新するというように、経時的に、より長い時間に順次更新する。

一方、外部装置３０は、経年劣化とは別に、外乱によって一時的に出力が不安定になる場合がある。外部装置３０が車両Ｖ１の周辺の状態を監視するセンサ３２である場合、車両Ｖ１の周囲の電磁波（例えば、車両Ｖ１の付近に電波塔があること）、天候（例えば、雨、雪、猛暑、極寒）、悪路（例えば、凹凸の激しい道路）等の影響を受けて、一時的に出力が不安定になる場合がある。このような場合、ＶＭ２１が外部装置３０からデータを受信するための処理時間Ｚ１１が一時的に増大することがある。

このように、外乱等による外部装置３０の出力が一時的に不安定になることに起因して処理時間Ｚ１１が増大すると、ＶＭ２１も一時的に処理不良に陥るおそれがある。例えば、このような一時的な処理時間Ｚ１１の増大を見越してＶＭ２１の割当時間Ｘ１１を過剰に設定すると、処理時間Ｚ１１が増大していないときに余白時間Ｙ１１が余分になり、車載制御装置１の効率が悪くなる。一方で、一時的な処理時間Ｚ１１の増大を考慮せずにＶＭ２１の割当時間Ｘ１１を設定すると、処理時間Ｚ１１が増大する際にＶＭ２１が処理不良となり、車載制御装置１の効率が悪くなる。

そこで、本実施形態では、割当時間Ｘ１１の過剰な設定はせずに、初めは出力が不安定になっていない正常状態の外部装置３０と通信するＶＭ２１に適した割当時間Ｘ１１を設定する。そして、管理部１２はＶＭ２１の処理時間Ｚ１１を常時収集し、処理時間Ｚ１１に応じてＶＭ２１の割当時間を延長又は短縮する。例えば、管理部１２は、処理時間Ｚ１１の増大を検出した場合にＶＭ２１の割当時間Ｘ１１をＸ４１に延長し、その後に処理時間Ｚ１１の減少を検出した場合にＶＭ２１の割当時間Ｘ４１をＸ５１に短縮する。また、管理部１２は、ＶＭ２１の割当時間の延長又は短縮に伴ってサイクルの総時間が変化しないように、次のサイクルに繰り越すことができる処理を実行するＶＭ２３の割当時間を短縮又は延長する。

すなわち、管理部１２は、外部装置３０が外乱の影響をほとんど受けずに正常に動作する間（すなわち、外部装置３０の出力が比較的安定している間）、ＶＭ２１の割当時間Ｘ１１を比較的短くすることで、割当時間Ｘ１１に占める余白時間Ｙ１１の割合を比較的小さく抑え、車載制御装置１の機能を効率的に発揮させる。ここで、割当時間Ｘ１１は、通常時の処理時間Ｚ１１よりも長く、外乱により外部装置３０の出力が不安定となった場合の処理時間Ｚ１１よりも短い。

そして、管理部１２は、外乱により外部装置３０の出力が不安定となる期間など、処理時間Ｚ１１が一時的に増大する間に限って、ＶＭ２１の割当時間を延長することで、ＶＭ２１における処理不良を抑制する。また、管理部１２は、処理時間Ｚ１１が減少する場合にはＶＭ２１の割当時間を短縮することで、ＶＭ２１の余白時間を短くして車載制御装置１の効率化を図る。このようにＶＭ２１の処理時間Ｚ１１に応じて機動的にＶＭ２１の割当時間を更新することで、車載制御装置１をより長期にわたって効率的に機能させることができる。

以下、第２実施形態の管理部１２による制御方法を詳しく説明する。

［２．２ 制御方法］
図６は、第２実施形態に係る制御方法を例示するフローチャートである。図６は、管理部１２が実行する各種の制御を示している。これらの制御は、管理部１２が記憶部１５からコンピュータプログラム１５ａを読み取って各種の演算及び処理を実行することで実現される。図６に示す各ステップは、適宜順番が前後してもよい。

図７及び図８は、第２実施形態に係る割当時間の更新を説明する図である。図７では、（ａ）から順にサイクルＴ０，Ｔ１，Ｔ２における様子を示している。図８では、（ａ）から順にサイクルＴ２，Ｔ３，Ｔ４における様子を示している。サイクルＴ０～Ｔ４は、この順に連続するサイクルであり、例えばサイクルＴ１はサイクルＴ０の次のサイクルであり、サイクルＴ２はサイクルＴ１の次のサイクルである。

本例において、外部装置３０の出力は、サイクルＴ１からサイクルＴ２の間、一時的に不安定となり、サイクルＴ３において安定に戻る。サイクルＴ０，Ｔ４において、外部装置３０の出力は安定している。このため、外部装置３０と通信するＶＭ２１の処理時間Ｚ１１は、サイクルＴ１，Ｔ２において増大しており、その他のサイクルＴ０，Ｔ３，Ｔ４では通常の処理時間Ｚ１１となっている。

管理部１２は、図６に示す制御方法を、例えばサイクルＴ０～Ｔ４の最後に、都度実行する。そして、管理部１２は、例えばサイクルＴ１以前の実行内容等に基づいて、サイクルＴ１以降に実行されるサイクル（例えば、サイクルＴ２）における各種の割当時間を更新する。

初めに、管理部１２は、変数ｉの値を「１」として（ステップＳＴ２０）、変数ｉが車載制御装置１が構成するＶＭ１３の個数Ｎ以下か否かを判定する（ステップＳＴ２１）。図１の例では、ＶＭ１３は３個（Ｎ＝３）であるため、１回目のステップＳＴ２０はＹＥＳのルートに進む。

次に、管理部１２は、ｉ台目のＶＭ１３が更新対象であるか否かを判定する（ステップＳＴ２２）。１回目のステップＳＴ２２において、管理部１２は、１台目のＶＭ１３であるＶＭ２１が更新対象か否かを判定する。本例において、外部装置３０と通信をし、かつリアルタイム処理を行うＶＭ２１が更新対象であり、ＶＭ２２，２３は更新対象でない。このため、１回目のステップＳＴ２２において、管理部１２はＹＥＳのルートに処理を進める。

続いて、管理部１２は、ｉ台目のＶＭ１３の現在の割当時間を取得する（ステップＳＴ２３）。例えば、管理部１２は記憶部１５から現在ＶＭ２１に設定されている割当時間Ｘ１１を読み出す。

その後、管理部１２は、ｉ台目のＶＭ１３の処理時間を取得する（ステップＳＴ２４）。例えば、管理部１２は、サイクルＴ０におけるＶＭ２１の処理時間Ｚ１１を取得する。より具体的には、管理部１２は、サイクルＴ０において、ＶＭ２１の処理開始時刻Ａ１と、ＶＭ２１の処理終了時刻Ａ２とを取得する。そして、時刻Ａ２から時刻Ａ１を減算して、処理時間Ｚ１１を取得する。

続いて、管理部１２は、ステップＳＴ２３，２４において取得した割当時間及び処理時間に基づいて、ｉ台目のＶＭ１３の余白時間を算出し、算出した余白時間が第１所定値Ｔｈ１を下回るか否かを判定する（ステップＳＴ２５）。例えば、管理部１２は、割当時間Ｘ１１から処理時間Ｚ１１を減算して、サイクルＴ０におけるＶＭ２１の余白時間Ｙ１１を算出する（Ｙ１１＝Ｘ１１－Ｚ１１）。そして、管理部１２は、算出した余白時間Ｙ１１が第１所定値Ｔｈ１を下回るか否かを判定する（Ｙ１１＜Ｔｈ１）。

第１所定値Ｔｈ１は、例えば初期値として設定されるＶＭ２１の割当時間Ｘ１１から、ＶＭ２１の通常の処理時間Ｚ１１を減算することで得られる余白時間Ｙ１１（例えば、図７（ａ）の余白時間Ｙ１１）よりも小さい値である。第１所定値Ｔｈ１は、例えば図７（ａ）の余白時間Ｙ１１の３分の１以上３分の２以下の範囲内の値であり、例えば余白時間Ｙ１１の半分の値である。通常の処理時間Ｚ１１は、外部装置３０が外乱の影響をほとんど受けずに正常に動作する場合のＶＭ２１の処理時間Ｚ１１であり、例えば図７（ａ）の処理時間Ｚ１１である。

このため、ステップＳＴ２５において、管理部１２は、ｉ台目のＶＭ１３の余白時間が通常時よりもある程度以上小さくなっているか否かを判定する。言い換えると、管理部１２は、ｉ台目のＶＭ１３の処理時間が増大して、当該ＶＭ１３に設定された割当時間を処理時間が上回るおそれがあることを判定する。管理部１２は、余白時間が第１所定値Ｔｈ１を下回ると判定すると（ステップＳＴ２５のＹＥＳ）、ｉ台目のＶＭ１３の割当時間を延長する（ステップＳＴ２６）。

サイクルＴ０におけるＶＭ２１の余白時間Ｙ１１は第１所定値Ｔｈ１以上であるため、１回目のステップＳＴ２５において管理部１２はＮＯのルートに進む。この場合、管理部１２は、算出した余白時間が第２所定値Ｔｈ２を超えるか否かを判定する（ステップＳＴ２７）。第２所定値Ｔｈ２は、例えば初期値として設定されるＶＭ２１の割当時間Ｘ１１から、ＶＭ２１の通常の処理時間Ｚ１１を減算することで得られる余白時間Ｙ１１（例えば、図７（ａ）の余白時間Ｙ１１）よりも大きい値である。すなわち、第２所定値Ｔｈ２は、第１所定値Ｔｈ１よりも大きい値である。第２所定値Ｔｈ２は、例えば、例えば図７（ａ）の余白時間Ｙ１１の３分の４以上３分の８以下の範囲内の値であり、例えば余白時間Ｙ１１の２倍の値である。

このため、ステップＳＴ２７において、管理部１２は、ｉ台目のＶＭ１３の余白時間が通常時よりもある程度以上大きくなっているか否かを判定する。言い換えると、管理部１２は、ｉ台目のＶＭ１３の処理時間が一旦増加した後に減少して、当該ＶＭ１３に設定された延長後の割当時間よりも処理時間が過少となることで車載制御装置１の制御に無駄が生じるおそれがあることを判定する。管理部１２は、余白時間が第２所定値Ｔｈ２を超えると判定すると（ステップＳＴ２７のＹＥＳ）、ｉ台目のＶＭ１３の割当時間を短縮する（ステップＳＴ２８）。

サイクルＴ０におけるＶＭ２１の余白時間Ｙ１１は第２所定値Ｔｈ２以下であるため（Ｙ１１≦Ｔｈ２）、１回目のステップＳＴ２７において管理部１２はＮＯのルートに進む。その後、管理部１２は変数ｉに「１」を加算する（ステップＳＴ２９）。これにより変数ｉは「２」となる。

ステップＳＴ２９の後、管理部１２はステップＳＴ２１に戻る。変数ｉ（＝２）は、依然としてＶＭ１３の個数Ｎ（＝３）以下であるため、２回目のステップＳＴ２１もＹＥＳのルートに進む。次に、管理部１２は、２回目のステップＳＴ２２を実行する。２台目のＶＭ１３であるＶＭ２２は外部装置３０と通信しないため更新対象ではない。このため、２回目のステップＳＴ２２において、管理部１２はＮＯのルートに処理を進めて、ステップＳＴ２３～ＳＴ２８をスキップする。続いて、管理部１２は変数ｉに「１」を加算して（ステップＳＴ２９）、変数ｉは「３」となる。

２回目のステップＳＴ２９の後、管理部１２は３回目のステップＳＴ２１を実行し、変数ｉ（＝３）は、ＶＭ１３の個数Ｎ（＝３）以下であるため、ＹＥＳのルートに進む。次に、管理部１２は、３回目のステップＳＴ２２を実行し、ＶＭ２３は更新対象でないためＮＯのルートに進み、管理部１２は変数ｉに「１」を加算して、変数ｉを「４」とする（ステップＳＴ２９）。

３回目のステップＳＴ２９の後、管理部１２は４回目のステップＳＴ２１を実行する。変数ｉ（＝４）は、ＶＭ１３の個数Ｎ（＝３）よりも大きいため、４回目のステップＳＴ２１はＮＯのルートに進み、サイクルＴ０における管理部１２の一連の制御が終了する。この一連の制御において、ＶＭ２１は通常の処理時間Ｚ１１にて処理を行うため、割当時間Ｘ１１等の更新は実行されない。

続いて、管理部１２は第１サイクルＴ１の最後に、図６に示す制御方法を実行する。初めに、管理部１２は、サイクルＴ０の際と同様に、ステップＳＴ２０～ＳＴ２４を実行する。

続いて、管理部１２は、ステップＳＴ２３，２４において取得した割当時間Ｘ１１及び処理時間Ｚ１１に基づいて、ＶＭ２１の余白時間Ｙ１１を算出し、算出した余白時間Ｙ１１が第１所定値Ｔｈ１を下回るか否かを判定する（ステップＳＴ２５）。

図７（ｂ）に示すように、第１サイクルＴ１において、ＶＭ２１の処理時間Ｚ１１は増大しており、その分だけＶＭ２１の余白時間Ｙ１１は減少している。そして、第１サイクルＴ１におけるＶＭ２１の余白時間Ｙ１１は第１所定値Ｔｈ１を下回っているため、１回目のステップＳＴ２５において管理部１２はＹＥＳのルートに進む。

この場合、管理部１２は、ＶＭ２１の割当時間Ｘ１１を延長する（ステップＳＴ２６）。例えば、管理部１２は、ＶＭ２１の割当時間を「Ｘ１１」よりも長い「Ｘ４１」に変更する。更新後の割当時間Ｘ４１は、例えば記憶部１５に予め定められたパラメータとして格納されていてもよいし、現在の割当時間Ｘ１１又は処理時間Ｚ１１に基づいて算出される値でもよい。

例えば、管理部１２は、現在の割当時間Ｘ１１に所定の値（例えば、第１所定値Ｔｈ１）を加算した値を更新後の割当時間Ｘ４１としてもよい（Ｘ４１＝Ｘ１１＋Ｔｈ１）。また、管理部１２は、現在の処理時間Ｚ１１に所定の値（例えば、第２所定値Ｔｈ２）を加算した値を更新後の割当時間Ｘ４１としてもよい（Ｘ４１＝Ｚ１１＋Ｔｈ２）。

また、管理部１２は、ステップＳＴ２６において、割当時間Ｘ１１の延長分だけ、リアルタイム処理を実行しないＶＭ１３（本例ではＶＭ２３）の割当時間を短縮する。例えば、管理部１２は、ＶＭ２３の割当時間Ｘ１３を、Ｘ１３よりも短いＸ４３に変更する。そして、ＶＭ２１における割当時間の増加分（Ｘ４１－Ｘ１１）は、ＶＭ２３における割当時間の減少分（Ｘ１３－Ｘ４３）と等しい。これにより、１個のサイクルに掛かる時間を変更することなく、ＶＭ２１の割当時間を調整することができる。

管理部１２は、割当時間Ｘ１１を延長した後、変数ｉに「１」を加算して変数ｉを「２」とする（ステップＳＴ２９）。ステップＳＴ２９の後、管理部１２はステップＳＴ２１に戻る。ＶＭ２２，２３はいずれも更新対象ではないため、サイクルＴ０における処理と同様に、ステップＳＴ２１，ＳＴ２２，ＳＴ２９を２回ずつ実行し、４回目のステップＳＴ２１においてＮＯのルートに進むことで、第１サイクルＴ１における管理部１２の一連の制御が終了する。

管理部１２によるステップＳＴ２５，ＳＴ２６の一連の更新制御を、適宜「第２制御」とも称する。第２制御において、ＶＭ２１には処理時間Ｚ１１の増大と余白時間Ｙ１１の減少が生じるため、管理部１２はＶＭ２１の割当時間Ｘ１１を延長する制御を実行する。

第２制御により、第１サイクルＴ１に続く第２サイクルＴ２において、ＶＭ２１，２２，２３は、管理部１２によって図７（ｃ）に示す割当時間ごとに物理リソース１１が割り当てられる。ＶＭ２１の割当時間はＸ４１に延長されているため、処理時間Ｚ１１が増大していても、第２サイクルＴ２における余白時間Ｙ４１（＝Ｘ４１－Ｚ１１）は第１所定値Ｔｈ１以上の値となっている。このように、ＶＭ２１の処理時間の増大に伴って、管理部１２がＶＭ２１の割当時間を延長することで、余白時間を確保し、ＶＭ２１における処理不良を抑制することができる。

特に、管理部１２は余白時間Ｙ１１が第１所定値Ｔｈ１を下回ることをトリガーに、割当時間Ｘ１１を延長する。このため、ＶＭ２１の処理時間Ｚ１１が実際に割当時間Ｘ１１を上回ることを抑制しつつ、割当時間Ｘ１１を延長することができるため、ＶＭ２１における処理不良をより確実に抑制することができる。この結果、車載制御装置１の機能をより効率的に発揮させることができる。

次に、図６及び図８を参照して、延長した割当時間Ｘ４１を短縮する制御について説明する。図８（ａ）では、以下に説明するサイクルＴ３等と対比するために、図７（ｃ）のサイクルＴ２を再掲している。サイクルＴ３において、ＶＭ２１の処理時間Ｚ１１は減少する。このため、管理部１２は、処理時間Ｚ１１の減少に応じて、ＶＭ２１の割当時間を短縮することで、余白時間の余剰を削減する。

管理部１２は、サイクルＴ３の最後に、図６に示す制御方法を実行する。初めに、管理部１２は、サイクルＴ０の際と同様に、ステップＳＴ２０～ＳＴ２４を実行する。

続いて、管理部１２は、ステップＳＴ２３，２４において取得したＶＭ２１の割当時間Ｘ４１及び処理時間Ｚ１１に基づいて、ＶＭ２１の余白時間Ｙ４１を算出し、算出した余白時間Ｙ４１が第１所定値Ｔｈ１を下回るか否かを判定する（ステップＳＴ２５）。図８（ｂ）に示すように、サイクルＴ３において、ＶＭ２１の処理時間Ｚ１１は減少しており、その分だけＶＭ２１の余白時間Ｙ４１は増大している。そして、サイクルＴ３におけるＶＭ２１の余白時間Ｙ４１は第１所定値Ｔｈ１以上であるため、１回目のステップＳＴ２５において管理部１２はＮＯのルートに進む。

次に、管理部１２は、余白時間Ｙ４１が第２所定値Ｔｈ２を超えるか否かを判定する（ステップＳＴ２７）。本例の場合、余白時間Ｙ４１は第２所定値Ｔｈ２を超えるため（Ｙ４１＞Ｔｈ２）、管理部１２はステップＳＴ２７のＹＥＳのルートに進み、ＶＭ２１の割当時間Ｘ４１を短縮する（ステップＳＴ２８）。

例えば、管理部１２は、ＶＭ２１の割当時間を「Ｘ４１」よりも短い「Ｘ５１」に変更する。更新後の割当時間Ｘ５１は、例えば記憶部１５に予め定められたパラメータとして格納されていてもよいし、現在の割当時間Ｘ４１又は処理時間Ｚ１１に基づいて算出される値でもよい。

例えば、管理部１２は、現在の割当時間Ｘ４１から所定の値（例えば、第１所定値Ｔｈ１）を減算した値を更新後の割当時間Ｘ５１としてもよい（Ｘ５１＝Ｘ４１－Ｔｈ１）。また、管理部１２は、ＶＭ２１の割当時間を、延長前の割当時間Ｘ１１に戻してもよい（Ｘ５１＝Ｘ１１）。また、管理部１２は、現在の処理時間Ｚ１１に所定の値（例えば、第２所定値Ｔｈ２）を加算した値を更新後の割当時間Ｘ５１としてもよい（Ｘ５１＝Ｚ１１＋Ｔｈ２）。

また、管理部１２は、ステップＳＴ２８において、割当時間Ｘ４１の短縮分だけ、リアルタイム処理を実行しないＶＭ１３（本例ではＶＭ２３）の割当時間を延長する。例えば、管理部１２は、ＶＭ２３の割当時間Ｘ４３を、Ｘ４３よりも長いＸ５３に変更する。そして、ＶＭ２１における割当時間の減少分（Ｘ４１－Ｘ５１）は、ＶＭ２３における割当時間の増加分（Ｘ５３－Ｘ４３）と等しい。これにより、１個のサイクルに掛かる時間を変更することなく、ＶＭ２１の割当時間を調整することができる。

管理部１２は、割当時間Ｘ４１を短縮した後、変数ｉに「１」を加算して変数ｉを「２」とする（ステップＳＴ２９）。ステップＳＴ２９の後、管理部１２はステップＳＴ２１に戻る。ＶＭ２２，２３はいずれも更新対象ではないため、サイクルＴ０における処理と同様に、ステップＳＴ２１，ＳＴ２２，ＳＴ２９を２回ずつ実行し、４回目のステップＳＴ２１においてＮＯのルートに進むことで、サイクルＴ３における管理部１２の一連の制御が終了する。

管理部１２によるステップＳＴ２７，ＳＴ２８の一連の更新制御を、適宜「第３制御」とも称する。第３制御により、サイクルＴ３に続くサイクルＴ４において、ＶＭ２１，２２，２３は、管理部１２によって図８（ｃ）に示す割当時間ごとに物理リソース１１が割り当てられる。ＶＭ２１の割当時間はＸ５１に短縮されているため、処理時間Ｚ１１が減少していても、サイクルＴ４における余白時間Ｙ５１（＝Ｘ５１－Ｚ１１）は第２所定値Ｔｈ２以下の値となっている。このように、ＶＭ２１の処理時間の減少に伴って、管理部１２がＶＭ２１の割当時間を短縮することで、過剰な余白時間となることを抑制し、車載制御装置１の機能をより効率的に発揮させることができる。

［３．変形例］
以下、実施形態の変形例について説明する。変形例において、実施形態と同じ構成については同じ符号を付して説明を省略する。

［３．１ 第１実施形態の変形例］
上記の第１実施形態において、管理部１２は、予め設定されている更新テーブルに基づいてＶＭ２１の割当時間を延長する。しかしながら、更新テーブルが設定されていなくてもよく、例えば管理部１２は、所定条件が満たされた場合に、管理部１２はＶＭ２１の割当時間Ｘ１１に、Ｘ１１の所定割合（例えば、２０％）分だけ加算することで得られる割当時間Ｘ２１（すなわち、Ｘ２１はＸ１１の１．２倍）に変更してもよい。この場合、例えば、管理部１２は、所定条件が満たされるごとに割当時間を１．２倍ずつ延長することになるため、更新テーブルが不要となる。

上記の第１実施形態において、ＶＭ２１は１台のみ設けられている。しかしながら、管理部１２が割当時間を延長するＶＭ２１は複数台であってもよい。例えば、管理部１２は、２台のＶＭ２１の割当時間Ｘ１１を、それぞれ割当時間Ｘ２１に延長してもよい。この場合、管理部１２は、ＶＭ２３の割当時間Ｘ１３を、複数のＶＭ２１における割当時間の延長分の合計時間だけ短縮する。例えば、２台のＶＭ２１における割当時間が各（Ｘ２１－Ｘ１１）時間だけ延長された場合、管理部１２は、その合計時間だけＶＭ２３の割当時間を短縮する（Ｘ２３＝Ｘ１３－２・（Ｘ２１－Ｘ１１））。

上記の第１実施形態において、管理部１２は、予め設定されている更新テーブルに基づいてＶＭ２３の割当時間を短縮する。しかしながら、管理部１２は、ＶＭ２１の割当時間の延長分を算出して、その延長分だけＶＭ２３の割当時間を短縮するように構成してもよい。

［３．２ 第２実施形態の変形例］
［３．２．１ 第１実施形態と第２実施形態の組み合わせ］
上記の第１実施形態と第２実施形態を組み合わせてもよい。例えば、管理部１２は、はじめに図３に示す第１制御を実行した後に、図６に示す第２制御を実行してもよい。このように構成することで、第１制御により外部装置３０の経年劣化による処理時間Ｚ１１の増大を加味した割当時間（例えばＸ２１）に延長した状態で、さらに外部装置３０の外乱等に起因する一時的な処理時間Ｚ１１の増大を加味して割当時間を追加的に延長（例えば、Ｘ２１＋Ｔｈ１）することができる。これにより、より現状に則した割当時間を設定することができるため、車載制御装置１の機能をより効率的に発揮させることができる。

［３．２．２ 通信リトライ回数に基づく制御］
上記の第２実施形態の第２制御は、図６のステップＳＴ２４にて説明するように、各サイクルの最後に、都度、ＶＭ２１の処理時間Ｚ１１を取得する必要がある。ここで、前述のとおり、外部装置３０の出力が外乱等に起因して不安定になることで、ＶＭ２１から外部装置３０への通信をリトライする回数が増えることが、処理時間Ｚ１１が増大する一因である。

そこで、管理部１２は、ステップＳＴ２４を実行する前に、当該サイクルにおけるＶＭ２１から外部装置３０への通信リトライ回数をカウントしてもよい。この場合、通信リトライ回数が前回のサイクルにおける通信リトライ回数よりも所定値以上増加している場合に限ってステップＳＴ２４を実行し、通信リトライ回数が前回のサイクルにおける通信リトライ回数よりも所定値以上増加していない場合にはステップＳＴ２４からステップＳＴ２８までをすべてスキップしてステップＳＴ２９に進んでもよい。

すなわち、管理部１２は、ＶＭ２１の外部装置３０への通信リトライ回数が増加した場合に限って、第２制御（ステップＳＴ２５，ＳＴ２６）を実行してもよい。このように構成することで、管理部１２は、通信リトライ回数の増加という処理時間Ｚ１１の増大が見込まれる場合に限って処理時間Ｚ１１を取得し、その他の場合には処理時間Ｚ１１を取得しないため、管理部１２の制御負荷を削減することができる。

また、前述のとおり、外乱等の影響がなくなり、外部装置３０の出力が安定に戻ることで、ＶＭ２１から外部装置３０への通信をリトライする回数が減る（通常時に戻る）ことが、処理時間Ｚ１１が減少する一因である。

そこで、管理部１２は、ステップＳＴ２４を実行する前に、当該サイクルにおけるＶＭ２１から外部装置３０への通信リトライ回数をカウントする場合に、さらに通信リトライ回数が前回のサイクルにおける通信リトライ回数よりも所定値以上減少している場合に限ってステップＳＴ２４を実行し、通信リトライ回数が前回のサイクルにおける通信リトライ回数よりも所定値以上減少していない場合にはステップＳＴ２４からステップＳＴ２８までをすべてスキップしてステップＳＴ２９に進んでもよい。

すなわち、管理部１２は、ＶＭ２１の外部装置３０への通信リトライ回数が減少した場合に限って、第３制御（ステップＳＴ２７，ＳＴ２８）を実行してもよい。このように構成することで、管理部１２は、通信リトライ回数が所定範囲を超えて増加又は減少するという場合に限って処理時間Ｚ１１を取得し、その他の場合には処理時間Ｚ１１を取得しないため、管理部１２の制御負荷を削減することができる。

［３．２．３ 余白時間の変化率］
図９は、第２実施形態の変形例に係る余白時間Ｙ１１を説明する図である。
上記の第２実施形態の管理部１２は、余白時間Ｙ１１が第１所定値Ｔｈ１を下回る場合にＶＭ２１の割当時間を延長し（ステップＳＴ２６）、余白時間Ｙ１１が第２所定値Ｔｈ２を超える場合にＶＭ２１の割当時間を短縮する（ステップＳＴ２８）。しかしながら、管理部１２は、余白時間Ｙ１１の変化率に基づいてＶＭ２１の割当時間を延長又は短縮してもよい。

例えば、管理部１２は、ステップＳＴ２５において、複数個（例えば３個）の連続するサイクル（例えば、図９に示すように、サイクルＴ１１，Ｔ１２，Ｔ１３）における余白時間Ｙ１１の最小二乗法による近似直線Ｌ１を算出する。そして、管理部１２は、近似直線Ｌ１の傾きを、余白時間Ｙ１１の変化率α１として取得する。管理部１２は、余白時間Ｙ１１の変化率α１が第１所定値Ｔｈ１１（ここで、Ｔｈ１１＜０）を下回る場合に、ＶＭ２１の割当時間を延長する（ステップＳＴ２６）。

通常時であれば、複数個の連続するサイクルＴ１１，Ｔ１２，Ｔ１３において余白時間Ｙ１１の変化はほとんどないため、近似直線Ｌ１の傾き（変化率α１）は「０」又はその近傍の値となる。一方で、処理時間Ｚ１１が増大し、余白時間Ｙ１１が減少している場合、近似直線Ｌ１の傾きは０よりも小さくなる。このため、管理部１２は、余白時間Ｙ１１の変化率α１が負の数である第１所定値Ｔｈ１１を下回る場合に、ＶＭ２１の割当時間を延長してもよい。

同様に、管理部１２は、ステップＳＴ２７において、余白時間Ｙ１１の変化率α１が第２所定値Ｔｈ１２（ここで、Ｔｈ１２＞０）を超える場合に、ＶＭ２１の割当時間を短縮する（ステップＳＴ２８）。処理時間Ｚ１１が減少し、余白時間Ｙ１１が増大している場合、近似直線Ｌ１の傾きは０よりも大きくなる。このため、管理部１２は、余白時間Ｙ１１の変化率α１が正の数である第２所定値Ｔｈ１２を超える場合に、ＶＭ２１の割当時間を短縮してもよい。

［３．２．４ 余白時間の予測］
上記の第２実施形態の管理部１２は、例えばサイクルＴ１における実際の余白時間Ｙ１１に基づいて、ＶＭ２１の割当時間を延長又は短縮する。しかしながら、管理部１２は、複数個の連続するサイクルにおける複数の余白時間Ｙ１１に基づいて、次のサイクルにおける余白時間Ｙ１１を予測し、その予測値に基づいてＶＭ２１の割当時間を延長又は短縮してもよい。

例えば、管理部１２は、ステップＳＴ２５において、上記と同様に近似直線Ｌ１を算出する。そして、図９に示すように、近似直線Ｌ１をサイクルＴ１３以降に延長した場合に、サイクルＴ１３の次のサイクル１４（又は、サイクルＴ１３の２つ先のサイクルＴ１５）における近似直線Ｌ１の値ＰＶ１が第１所定値Ｔｈ２１を下回る場合に、ＶＭ２１の割当時間を延長する（ステップＳＴ２６）。ここで、第１所定値Ｔｈ２１は、例えば上記の第１所定値Ｔｈ１と同程度の値である。

値ＰＶ１は近似直線Ｌ１を延長して得られる予測値である。このように構成することで、実際の余白時間Ｙ１１がある程度小さくなる前に、管理部１２は、先手を打って、ＶＭ２１の割当時間を延長することができる。このため、ＶＭ２１における処理不良をより確実に抑制することができる。

同様に、管理部１２は、ステップＳＴ２７において、近似直線Ｌ１をサイクルＴ１３以降に延長した場合に、サイクルＴ１３の次のサイクル１４（又は、サイクルＴ１５）における近似直線Ｌ１の値ＰＶ１が第２所定値Ｔｈ２２を超える場合に、ＶＭ２１の割当時間を短縮する（ステップＳＴ２８）。ここで、第２所定値Ｔｈ２２は、例えば上記の第２所定値Ｔｈ２と同程度の値である。

このように構成することで、実際の余白時間Ｙ４１がある程度大きくなる前に、管理部１２は、先手を打って、ＶＭ２１の割当時間を短縮することができる。このため、車載制御装置１の機能をより効率的に発揮させることができる。

なお、上記では近似直線Ｌ１に基づいて余白時間の予測値ＰＶ１を取得するが、管理部１２はその他の手法によって余白時間の予測値ＰＶ１を取得してもよい。例えば、管理部１２は、機械学習又はディープラーニングにより取得される学習モデルを用いて、複数の連続するサイクルにおける複数の余白時間に基づいて、その次のサイクルにおける余白時間を予測してもよい。

［４．付記］
以上の説明は、以下に付記する特徴を含む。

［４．１ 付記１］
車両に搭載される車載制御装置であって、
制御部、記憶部及び通信部を含む物理リソースと、
割当時間ごとに前記物理リソースを割り当てて複数の仮想マシンを生成する管理部と、
を備え、
前記複数の仮想マシンは、
前記車載制御装置の外部に設けられている外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する第１仮想マシンと、
次のサイクルに繰り越すことができる処理を実行する第２仮想マシンと、を含み、
前記管理部は、前記第１仮想マシン及び前記第２仮想マシンの各割当時間を変更する第２制御を実行し、
前記第２制御は、
第１サイクルにおける前記第１仮想マシンの処理時間を取得する制御と、
取得した処理時間と前記第１仮想マシンに設定されている割当時間とに基づいて算出される余白時間又は当該余白時間の変化率が第１所定値を下回る場合に、前記第１サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する制御と、
を含む、車載制御装置。

［４．２ 付記２］
車両に搭載される車載制御装置を制御する制御方法であって、
制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて複数の仮想マシンを生成する生成ステップと、
複数の前記仮想マシンのうち第１仮想マシン及び第２仮想マシンの各割当時間を変更する制御ステップと、
を備え、
前記第１仮想マシンは、前記車載制御装置の外部に設けられている外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、
前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンであり、
前記制御ステップは、
第１サイクルにおける前記第１仮想マシンの処理時間を取得する取得ステップと、
取得した処理時間と前記第１仮想マシンに設定されている割当時間とに基づいて算出される余白時間又は当該余白時間の変化率が第１所定値を下回る場合に、前記第１サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する変更ステップと、
を含む、制御方法。

［４．３ 付記３］
車両に搭載される車載制御装置を制御するためのコンピュータプログラムであって、
前記コンピュータプログラムは、コンピュータに、
制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて複数の仮想マシンを生成する生成ステップと、
複数の前記仮想マシンのうち第１仮想マシン及び第２仮想マシンの各割当時間を変更する制御ステップと、
を実行させ、
前記第１仮想マシンは、前記車載制御装置の外部に設けられている外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、
前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンであり、
前記制御ステップは、
第１サイクルにおける前記第１仮想マシンの処理時間を取得する取得ステップと、
取得した処理時間と前記第１仮想マシンに設定されている割当時間とに基づいて算出される余白時間又は当該余白時間の変化率が第１所定値を下回る場合に、前記第１サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する変更ステップと、
を含む、コンピュータプログラム。

［５．補記］
なお、上記の実施形態については、その少なくとも一部を、相互に任意に組み合わせてもよい。また、今回開示された実施形態はすべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ 車載制御装置
１１ 物理リソース
１２ 管理部
１３ 仮想マシン（ＶＭ）
１３ａ ゲストＯＳ
１３ｂ アプリケーション
１４ 制御部
１５ 記憶部
１５ａ コンピュータプログラム
１５ｂ 仮想化オペレーティングシステム（仮想化ＯＳ）
１５ｃ ゲストオペレーティングシステム（ゲストＯＳ）
１６ 通信部
１７ 読取部
１８ 記録媒体
２１ ＶＭ
２２ ＶＭ
２３ ＶＭ
３０ 外部装置
３１ ＥＣＵ
３１ａ 通信線
３２ センサ
３２ａ 通信線
３３ 通信装置
３３ａ 通信線
４ 車外装置
Ｖ１ 車両
Ｔ１ サイクル（第１サイクル）
Ｔ２ サイクル（第２サイクル）
Ｔ３ サイクル
Ｔ４ サイクル
Ｔ１１ サイクル
Ｔ１２ サイクル
Ｔ１３ サイクル
Ｔ１４ サイクル
Ｘ１１ 割当時間
Ｘ１２ 割当時間
Ｘ１３ 割当時間
Ｘ２１ 割当時間
Ｘ２３ 割当時間
Ｘ３１ 割当時間
Ｘ３３ 割当時間
Ｘ４１ 割当時間
Ｘ４３ 割当時間
Ｘ５１ 割当時間
Ｘ５３ 割当時間
Ｚ１１ 処理時間
Ｚ１２ 処理時間
Ｙ１１ 余白時間
Ｙ１２ 余白時間
Ｙ４１ 余白時間
Ｙ５１ 余白時間
Ｐ１ 基準時点
Ｄ１ 所定時間
Ｄ２ 所定時間
Ｄ３ 所定時間
Ｔｈ１ 第１所定値
Ｔｈ１１ 第１所定値
Ｔｈ２１ 第１所定値
Ｔｈ２ 第２所定値
Ｔｈ１２ 第２所定値
Ｔｈ２２ 第２所定値
Ａ１ 処理開始時刻
Ａ２ 処理終了時刻
Ｌ１ 近似直線
α１ 変化率
ＰＶ１ 予測値

Claims (12)

1. 車両に搭載される車載制御装置であって、
   制御部、記憶部及び通信部を含む物理リソースと、
   割当時間ごとに前記物理リソースを割り当てて複数の仮想マシンを生成する管理部と、
   を備え、
   前記複数の仮想マシンは、
   前記車載制御装置の外部に設けられている外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する第１仮想マシンと、
   次のサイクルに繰り越すことができる処理を実行する第２仮想マシンと、を含み、
   前記管理部は、前記外部装置の劣化を示す所定条件を満たす場合に、前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する第１制御を実行する、
   車載制御装置。
2. 前記所定条件は、
   基準時点から所定時間以上の時間が経過したこと、
   前記基準時点から前記外部装置が所定時間以上動作したこと、又は、
   前記基準時点から前記車両が所定距離以上の距離を走行したこと、
   を含み、
   前記基準時点は、
   前記外部装置の使用を開始した時点、又は、
   前記第１仮想マシンの割当時間を延長した時点、
   を含む、請求項１に記載の車載制御装置。
3. 前記記憶部は、第１の割当時間と、前記第１の割当時間よりも長い第２の割当時間と、を記憶し、
   前記管理部は、前記所定条件を満たす前は、前記第１仮想マシンの割当時間を前記第１の割当時間とし、前記所定条件を満たす場合に、前記第１仮想マシンの割当時間を前記第２の割当時間とする、
   請求項１又は請求項２に記載の車載制御装置。
4. 前記記憶部は、前記所定条件に関する情報と、前記第１の割当時間及び前記第２の割当時間を含む前記第１仮想マシンの割当時間と、を対応させたテーブルを記憶し、
   前記管理部は、前記第１制御において、前記テーブルを参照して取得される割当時間に基づいて、前記第１仮想マシンの割当時間を延長する、
   請求項３に記載の車載制御装置。
5. 前記管理部は、前記第１制御の実行後に、前記第１仮想マシン及び前記第２仮想マシンの各割当時間をさらに変更する第２制御をさらに実行し、
   前記第２制御は、
   第１サイクルにおける前記第１仮想マシンの処理時間を取得する制御と、
   取得した処理時間と前記第１仮想マシンに設定されている割当時間とに基づいて算出される余白時間が第１所定値を下回る場合に、前記第１サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する制御と、
   を含む、
   請求項１から請求項４のいずれか１項に記載の車載制御装置。
6. 前記管理部は、前記第１仮想マシンの前記外部装置への通信リトライ回数が増加した場合に、前記第２制御を実行する、
   請求項５に記載の車載制御装置。
7. 前記管理部は、前記第１制御の実行後に、前記第１仮想マシン及び前記第２仮想マシンの各割当時間をさらに変更する第２制御をさらに実行し、
   前記第２制御は、
   第１サイクルにおける前記第１仮想マシンの処理時間を取得する制御と、
   取得した処理時間と前記第１仮想マシンに設定されている割当時間とに基づいて算出される余白時間の変化率が第１所定値を下回る場合に、前記第１サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を延長し、前記第２仮想マシンの割当時間を短縮する制御と、
   を含む、
   請求項１から請求項４のいずれか１項に記載の車載制御装置。
8. 前記管理部は、前記第１仮想マシンの前記外部装置への通信リトライ回数が増加した場合に、前記第２制御を実行する、
   請求項７に記載の車載制御装置。
9. 前記管理部は、前記第２制御を実行した後に、前記第１仮想マシン及び前記第２仮想マシンの各割当時間を変更する第３制御をさらに実行し、
   前記第３制御は、
   前記第１サイクル以降の第２サイクルにおける前記第１仮想マシンの処理時間を取得する制御と、
   取得した処理時間と前記第１制御において変更された前記第１仮想マシンの割当時間とに基づいて算出される余白時間が前記第１所定値より大きい値である第２所定値を超える場合に、前記第２サイクル以降のサイクルにおける前記第１仮想マシンの割当時間を短縮し、前記第２仮想マシンの割当時間を延長する制御と、
   を含む、請求項５又は請求項６に記載の車載制御装置。
10. 前記管理部は、前記第１仮想マシンの前記外部装置への通信リトライ回数が減少した場合に、前記第３制御を実行する、
    請求項９に記載の車載制御装置。
11. 車両に搭載される車載制御装置を制御する制御方法であって、
    制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて、複数の仮想マシンを生成する生成ステップと、
    前記車載制御装置の外部に設けられている外部装置の劣化を示す所定条件を満たす場合に、複数の前記仮想マシンのうち第１仮想マシンの割当時間を延長し、複数の前記仮想マシンのうち第２仮想マシンの割当時間を短縮する制御ステップと、
    を備え、
    前記第１仮想マシンは、前記外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、
    前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンである、制御方法。
12. 車両に搭載される車載制御装置を制御するためのコンピュータプログラムであって、
    前記コンピュータプログラムは、コンピュータに、
    制御部、記憶部及び通信部を含む物理リソースを割当時間ごとに割り当てて複数の仮想マシンを生成する生成ステップと、
    前記車載制御装置の外部に設けられている外部装置の劣化を示す所定条件を満たす場合に、複数の前記仮想マシンのうち第１仮想マシンの割当時間を延長し、複数の前記仮想マシンのうち第２仮想マシンの割当時間を短縮する制御ステップと、
    を実行させ、
    前記第１仮想マシンは、前記外部装置と通信し、かつ次のサイクルに繰り越すことができない処理を実行する仮想マシンであり、
    前記第２仮想マシンは、次のサイクルに繰り越すことができる処理を実行する仮想マシンである、コンピュータプログラム。