JP2021076021A

JP2021076021A - Electronic control unit

Info

Publication number: JP2021076021A
Application number: JP2019200707A
Authority: JP
Inventors: 宏太郎渡邊; Kotaro Watanabe; 浩生国部; Hiroo Kunibe
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2019-11-05
Filing date: 2019-11-05
Publication date: 2021-05-20

Abstract

To provide an electronic control unit capable of restrict process continuation by an abnormal core.SOLUTION: An ECU 1 includes CPU cores 11 and 12, a ROM 13, an MPU 15, and an error control unit 19. The CPU cores 11 and 12 output a control signal for controlling a control target by executing a control program. The ROM 13 stores the control program. The MPU 15 controls access to the ROM 13 from the CPU cores 11 and 12 based on preset access control information. The error control unit 19 determines whether an abnormality occurs in the first CPU core 11 or not. If an abnormality occurs in the first CPU core 11, the second CPU core 12 restrict an erroneous interference caused by the first CPU core 11 outputting a control signal to the control target, using the MPU 15, without substituting a control process executed by the second CPU core 12 for a control process by the first CPU core 11.SELECTED DRAWING: Figure 1

Description

本開示は、複数のＣＰＵコアを備える電子制御装置に関する。 The present disclosure relates to an electronic control device including a plurality of CPU cores.

特許文献１には、第１コアと第２コアとを備えるマルチコアＣＰＵにおいて、第２コアの異常を検出すると第１コアが第２コアの処理を代行し、第１コアの異常を検出すると第２コアが第１コアの処理を代行することが記載されている。 According to Patent Document 1, in a multi-core CPU including a first core and a second core, when an abnormality of the second core is detected, the first core takes over the processing of the second core, and when an abnormality of the first core is detected, the first core It is described that the two cores take over the processing of the first core.

特開２０１２−７３７４８号公報Japanese Unexamined Patent Publication No. 2012-73748

特許文献１に記載の技術では、例えば第１コアの異常を検出した場合に、第１コアの処理を第２コアが代行するための引継ぎに時間が掛かってしまい、異常なコアによる処理が継続してしまうおそれがある。 In the technique described in Patent Document 1, for example, when an abnormality in the first core is detected, it takes time for the second core to take over the processing of the first core, and the processing by the abnormal core continues. There is a risk of doing so.

本開示は、異常なコアによる処理の継続を抑制することを目的とする。 It is an object of the present disclosure to suppress the continuation of processing by an abnormal core.

本開示の一態様は、複数のＣＰＵコア（１１，１２）を備える電子制御装置（１）であって、プログラム記憶部（１３）と、アクセス制御部（１５）と、異常判断部（１９）と、干渉抑制部（Ｓ１０）とを備える。 One aspect of the present disclosure is an electronic control device (1) including a plurality of CPU cores (11, 12), which includes a program storage unit (13), an access control unit (15), and an abnormality determination unit (19). And an interference suppressing unit (S10).

複数のＣＰＵコアは、制御プログラムを実行することにより、制御プログラムに対応する制御対象を制御するための制御信号を出力する。
プログラム記憶部は、制御プログラムを記憶するように構成される。アクセス制御部は、予め設定されたアクセス制御情報に基づいて、複数のＣＰＵコアによるプログラム記憶部へのアクセスを制御するように構成される。 By executing the control program, the plurality of CPU cores output control signals for controlling the control target corresponding to the control program.
The program storage unit is configured to store the control program. The access control unit is configured to control access to the program storage unit by a plurality of CPU cores based on preset access control information.

異常判断部は、複数のＣＰＵコアのうち予め設定された少なくとも一つのＣＰＵコアを異常判断対象コア（１１）として、異常判断対象コアで異常が発生しているか否かを判断するように構成される。 The abnormality determination unit is configured to determine whether or not an abnormality has occurred in the abnormality determination target core, using at least one preset CPU core among the plurality of CPU cores as the abnormality determination target core (11). To.

干渉抑制部は、異常判断対象コアで異常が発生していると異常判断部が判断した場合に、異常判断対象コアが実行していた制御処理を異常判断対象コア以外のＣＰＵコアで代行させることなく、アクセス制御部を用いて、異常判断対象コアが制御対象へ制御信号を出力する不正干渉を抑制するように構成される。 When the abnormality judgment unit determines that an abnormality has occurred in the abnormality judgment target core, the interference suppression unit substitutes the control processing executed by the abnormality judgment target core by a CPU core other than the abnormality judgment target core. Instead, the access control unit is used to suppress unauthorized interference in which the abnormal determination target core outputs a control signal to the control target.

このように構成された本開示の電子制御装置は、異常判断対象コアの代行を別のＣＰＵコアにさせることなく、異常判断対象コアが制御対象へ制御信号を出力する不正干渉を抑制する。これにより、本開示の電子制御装置は、異常判断対象コアの処理を別のＣＰＵコアが代行するための引継ぎに時間が掛かってしまうという事態が発生せず、異常なＣＰＵコアによる処理の継続を抑制することができる。 The electronic control device of the present disclosure configured in this way suppresses unauthorized interference in which the abnormality determination target core outputs a control signal to the control target without causing another CPU core to act for the abnormality determination target core. As a result, the electronic control device of the present disclosure does not cause a situation in which it takes time for another CPU core to take over the processing of the core subject to abnormality determination, and the processing by the abnormal CPU core can be continued. It can be suppressed.

ＥＣＵの構成を示すブロック図である。It is a block diagram which shows the structure of an ECU. 第１ＣＰＵコアの構成を示す図である。It is a figure which shows the structure of the 1st CPU core. 第１実施形態のＥＣＵにおける情報の流れを示すブロック図である。It is a block diagram which shows the flow of information in the ECU of 1st Embodiment. 第１実施形態のＭＰＵ設定変更処理を示すフローチャートである。It is a flowchart which shows the MPU setting change process of 1st Embodiment. ＭＰＵによるアクセス禁止の具体例を示すシーケンス図である。It is a sequence diagram which shows the specific example of access prohibition by MPU. 第２実施形態のＥＣＵにおける情報の流れを示すブロック図である。It is a block diagram which shows the flow of information in the ECU of 2nd Embodiment. 第２実施形態のＭＰＵ設定変更処理を示すフローチャートである。It is a flowchart which shows the MPU setting change process of 2nd Embodiment.

［第１実施形態］
以下に本開示の第１実施形態を図面とともに説明する。
本実施形態の電子制御装置１（以下、ＥＣＵ１）は、車両に搭載され、図１に示すように、マイクロコンピュータ２（以下、マイコン２）と、入力回路３と、出力回路４とを備える。ＥＣＵは、Electronic Control Unitの略である。 [First Embodiment]
The first embodiment of the present disclosure will be described below together with the drawings.
The electronic control device 1 (hereinafter, ECU 1) of the present embodiment is mounted on a vehicle and includes a microcomputer 2 (hereinafter, microcomputer 2), an input circuit 3, and an output circuit 4, as shown in FIG. ECU is an abbreviation for Electronic Control Unit.

マイコン２は、入力回路３を介して入力される各種信号に基づいてエンジンの状態を検出する。そしてマイコン２は、エンジンの状態に基づいて、エンジンを制御するための制御信号を出力回路４を介して出力する。 The microcomputer 2 detects the state of the engine based on various signals input via the input circuit 3. Then, the microcomputer 2 outputs a control signal for controlling the engine via the output circuit 4 based on the state of the engine.

マイコン２は、第１ＣＰＵコア１１と、第２ＣＰＵコア１２と、ＲＯＭ１３と、ＲＡＭ１４と、メモリ保護装置１５（以下、ＭＰＵ１５）と、入出力部１６と、タイマモジュール１７，１８と、エラー管理装置１９と、割込コントローラ２０と、バス２１とを備える。ＭＰＵは、Memory Protection Unitの略である。以下、第１ＣＰＵコア１１および第２ＣＰＵコア１２をまとめてＣＰＵコア１１〜１２ともいう。 The microcomputer 2 includes a first CPU core 11, a second CPU core 12, a ROM 13, a RAM 14, a memory protection device 15 (hereinafter, MPU 15), an input / output unit 16, timer modules 17, 18 and an error management device 19. The interrupt controller 20 and the bus 21 are provided. MPU is an abbreviation for Memory Protection Unit. Hereinafter, the first CPU core 11 and the second CPU core 12 are collectively referred to as CPU cores 11 to 12.

マイクロコンピュータの各種機能は、ＣＰＵコア１１〜１２が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、ＲＯＭ１３が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。なお、ＣＰＵコア１１〜１２が実行する機能の一部または全部を、一つあるいは複数のＩＣ等によりハードウェア的に構成してもよい。また、ＥＣＵ１を構成するマイクロコンピュータの数は１つでも複数でもよい。 Various functions of the microcomputer are realized by executing a program in which CPU cores 11 to 12 are stored in a non-transitional substantive recording medium. In this example, ROM 13 corresponds to a non-transitional substantive recording medium in which a program is stored. In addition, by executing this program, the method corresponding to the program is executed. In addition, a part or all of the functions executed by the CPU cores 11 to 12 may be configured in hardware by one or a plurality of ICs or the like. Further, the number of microcomputers constituting the ECU 1 may be one or a plurality.

第１ＣＰＵコア１１および第２ＣＰＵコア１２は、車両に搭載されているエンジンを制御するための各種制御処理を分散して実行する。
ＲＯＭ１３は、不揮発性メモリであり、エンジンを制御する各種制御処理を実行するための制御プログラムを記憶する。 The first CPU core 11 and the second CPU core 12 distribute and execute various control processes for controlling an engine mounted on a vehicle.
The ROM 13 is a non-volatile memory and stores a control program for executing various control processes for controlling the engine.

ＲＡＭ１４は、揮発性メモリであり、ＣＰＵコア１１〜１２の演算結果等を一時的に記憶する。
ＭＰＵ１５は、ＣＰＵコア１１〜１２によるＲＯＭ１３およびＲＡＭ１４へのアクセスを制御する。ＭＰＵ１５は、第１ＣＰＵコア１１のアクセスを制御するためのアクセス制御情報が設定される複数の第１アクセス設定レジスタと、第２ＣＰＵコア１２のアクセスを制御するためのアクセス制御情報が設定される複数の第２アクセス設定レジスタとを備える。複数の第１アクセス設定レジスタはそれぞれ、ＲＯＭ１３およびＲＡＭ１４において互いに重複しない複数の記憶領域が割り当てられている。同様に、複数の第２アクセス設定レジスタはそれぞれ、ＲＯＭ１３およびＲＡＭ１４において互いに重複しない複数の記憶領域が割り当てられている。 The RAM 14 is a volatile memory, and temporarily stores the calculation results of the CPU cores 11 to 12.
The MPU 15 controls access to the ROM 13 and the RAM 14 by the CPU cores 11-12. The MPU 15 has a plurality of first access setting registers in which access control information for controlling access of the first CPU core 11 is set, and a plurality of first access setting registers in which access control information for controlling access of the second CPU core 12 is set. It has a second access setting register. Each of the plurality of first access setting registers is allocated a plurality of storage areas that do not overlap each other in the ROM 13 and the RAM 14. Similarly, each of the plurality of second access setting registers is allocated a plurality of storage areas that do not overlap each other in the ROM 13 and the RAM 14.

入出力部１６は、マイコン２の外部とＣＰＵコア１１〜１２との間でデータの入出力を行わせるための回路である。
タイマモジュール１７，１８は、クランク角およびカム角を示す信号を出力する回路である。 The input / output unit 16 is a circuit for inputting / outputting data between the outside of the microcomputer 2 and the CPU cores 11-12.
The timer modules 17 and 18 are circuits that output signals indicating a crank angle and a cam angle.

エラー管理装置１９は、第１ＣＰＵコア１１の異常を検出する装置である。
割込コントローラ２０は、様々な割込要因の発生を示す割込要求信号を入力し、入力した割込要求信号に対応する割込要因毎に予め設定された優先度に基づいて、優先度が最も高い割込要因に対応した割込信号をＣＰＵコア１１〜１２へ出力する。 The error management device 19 is a device that detects an abnormality in the first CPU core 11.
The interrupt controller 20 inputs interrupt request signals indicating the occurrence of various interrupt factors, and the priority is set based on the priority set in advance for each interrupt factor corresponding to the input interrupt request signal. The interrupt signal corresponding to the highest interrupt factor is output to the CPU cores 11-12.

バス２１は、ＣＰＵコア１１〜１２、ＭＰＵ１５、入出力部１６、タイマモジュール１７，１８、エラー管理装置１９および割込コントローラ２０を、互いにデータ入出力可能に接続する。ＲＯＭ１３およびＲＡＭ１４は、ＭＰＵ１５を介してバス２１に接続される。 The bus 21 connects the CPU cores 11 to 12, the MPU 15, the input / output units 16, the timer modules 17 and 18, the error management device 19, and the interrupt controller 20 so that data can be input and output. The ROM 13 and the RAM 14 are connected to the bus 21 via the MPU 15.

図２に示すように、第１ＣＰＵコア１１は、マスターコア３１と、チェッカーコア３２と、ロックステップコンパレータ３３とを備える。
マスターコア３１およびチェッカーコア３２は、プログラムを実行するための演算ユニットおよびレジスタなどを備える。そして、マスターコア３１およびチェッカーコア３２は、同一の演算を並行して実行し、演算結果をロックステップコンパレータ３３へ出力する。 As shown in FIG. 2, the first CPU core 11 includes a master core 31, a checker core 32, and a lock step comparator 33.
The master core 31 and the checker core 32 include arithmetic units and registers for executing a program. Then, the master core 31 and the checker core 32 execute the same calculation in parallel, and output the calculation result to the lock step comparator 33.

ロックステップコンパレータ３３は、マスターコア３１からの演算結果と、チェッカーコア３２からの演算結果とを比較し、演算結果が一致しているか否かを示す比較結果情報をエラー管理装置１９へ出力する。 The lock step comparator 33 compares the calculation result from the master core 31 with the calculation result from the checker core 32, and outputs comparison result information indicating whether or not the calculation results match to the error management device 19.

エラー管理装置１９は、ロックステップコンパレータ３３から比較結果情報を取得すると、比較結果情報に基づいて、演算結果が一致しているか否かを判断する。そしてエラー管理装置１９は、演算結果が一致していない場合に、第１ＣＰＵコア１１で異常が発生していると判断し、ロックステップエラー情報を割込コントローラ２０へ出力する。 When the error management device 19 acquires the comparison result information from the lock step comparator 33, the error management device 19 determines whether or not the calculation results match based on the comparison result information. Then, when the calculation results do not match, the error management device 19 determines that an abnormality has occurred in the first CPU core 11 and outputs the lock step error information to the interrupt controller 20.

ロックステップエラー情報が割込コントローラ２０に入力されると、割込コントローラ２０は、ロックステップエラーに対応した割込信号を第２ＣＰＵコア１２へ出力する。
図３に示すように、メイン系の冗長信号がＡＤ変換器４１に入力され、サブ系の冗長信号がＡＤ変換器４２に入力される。 When the lock step error information is input to the interrupt controller 20, the interrupt controller 20 outputs an interrupt signal corresponding to the lock step error to the second CPU core 12.
As shown in FIG. 3, the redundant signal of the main system is input to the AD converter 41, and the redundant signal of the sub system is input to the AD converter 42.

ＡＤ変換器４１，４２は、入力されたアナログ信号の電圧値をデジタル値に変換する。ＡＤ変換器４１，４２は、入力回路３に内蔵されている。
メイン系の冗長信号は、メインアクセル開度信号、メインブレーキ信号およびメインスロットル開度信号を含む。 The AD converters 41 and 42 convert the voltage value of the input analog signal into a digital value. The AD converters 41 and 42 are built in the input circuit 3.
The main system redundant signal includes a main accelerator opening signal, a main brake signal, and a main throttle opening signal.

メインアクセル開度信号は、アクセルペダルの踏み込み量（以下、アクセル開度）を検出するメインアクセル開度センサから出力されるアナログ信号である。
メインブレーキ信号は、ブレーキペダルの踏み込み量を検出するメインブレーキペダルセンサから出力されるアナログ信号である。 The main accelerator opening signal is an analog signal output from the main accelerator opening sensor that detects the amount of depression of the accelerator pedal (hereinafter referred to as the accelerator opening).
The main brake signal is an analog signal output from the main brake pedal sensor that detects the amount of depression of the brake pedal.

メインスロットル開度信号は、スロットルバルブ１１１の開度（以下、スロットル開度）を検出するメインスロットル開度センサから出力されるアナログ信号である。
サブ系の冗長信号は、サブアクセル開度信号、サブブレーキ信号およびサブスロットル開度信号を含む。 The main throttle opening degree signal is an analog signal output from the main throttle opening degree sensor that detects the opening degree of the throttle valve 111 (hereinafter, throttle opening degree).
The redundant signal of the sub system includes a sub accelerator opening signal, a sub brake signal, and a sub throttle opening signal.

サブアクセル開度信号は、アクセル開度を検出するサブアクセル開度センサから出力されるアナログ信号である。サブアクセル開度センサは、メインアクセル開度センサとは別個のセンサである。 The sub-accelerator opening signal is an analog signal output from the sub-accelerator opening sensor that detects the accelerator opening. The sub-accelerator opening sensor is a sensor separate from the main accelerator opening sensor.

サブブレーキ信号は、ブレーキペダルの踏み込み量を検出するサブブレーキペダルセンサから出力されるアナログ信号である。サブブレーキペダルセンサは、メインブレーキペダルセンサとは別個のセンサである。 The sub-brake signal is an analog signal output from the sub-brake pedal sensor that detects the amount of depression of the brake pedal. The sub-brake pedal sensor is a sensor separate from the main brake pedal sensor.

サブスロットル開度信号は、スロットル開度を検出するサブスロットル開度センサから出力されるアナログ信号である。サブスロットル開度センサは、メインスロットル開度センサとは別個のセンサである。 The sub-throttle opening signal is an analog signal output from the sub-throttle opening sensor that detects the throttle opening. The sub-throttle opening sensor is a sensor separate from the main throttle opening sensor.

デジタルの非冗長信号は、タイマモジュール１７，１８に入力される。デジタルの非冗長信号は、クランク角信号およびカム角信号を含む。
クランク角信号は、エンジンのクランク軸の回転に応じて所定角度毎にクランク角センサから出力されるパルス信号である。 The digital non-redundant signal is input to the timer modules 17 and 18. Digital non-redundant signals include crank angle signals and cam angle signals.
The crank angle signal is a pulse signal output from the crank angle sensor at predetermined angles according to the rotation of the crankshaft of the engine.

カム角信号は、エンジンのカム軸の回転に応じて所定角度毎にカム角センサから出力されるパルス信号である。
タイマモジュール１７は、入力したクランク角信号およびカム角信号に基づいて、クランク角およびカム角を示す信号を第１ＣＰＵコア１１へ出力する。第１ＣＰＵコア１１は、エンジンの第１気筒１０１に対応する噴射パルス信号および点火パルス信号と、エンジンの第３気筒１０３に対応する噴射パルス信号および点火パルス信号とを出力する。 The cam angle signal is a pulse signal output from the cam angle sensor at predetermined angles according to the rotation of the cam shaft of the engine.
The timer module 17 outputs a signal indicating the crank angle and the cam angle to the first CPU core 11 based on the input crank angle signal and the cam angle signal. The first CPU core 11 outputs an injection pulse signal and an ignition pulse signal corresponding to the first cylinder 101 of the engine and an injection pulse signal and an ignition pulse signal corresponding to the third cylinder 103 of the engine.

タイマモジュール１８は、入力したクランク角信号およびカム角信号に基づいて、クランク角およびカム角を示す信号を第２ＣＰＵコア１２へ出力する。第２ＣＰＵコア１２は、エンジンの第２気筒１０２に対応する噴射パルス信号および点火パルス信号と、エンジンの第４気筒１０４に対応する噴射パルス信号および点火パルス信号とを出力する。 The timer module 18 outputs a signal indicating the crank angle and the cam angle to the second CPU core 12 based on the input crank angle signal and the cam angle signal. The second CPU core 12 outputs an injection pulse signal and an ignition pulse signal corresponding to the second cylinder 102 of the engine and an injection pulse signal and an ignition pulse signal corresponding to the fourth cylinder 104 of the engine.

アナログの非冗長信号は、ＡＤ変換器４１，４２に入力される。アナログの非冗長信号は、空燃比信号およびノック信号を含む。
空燃比信号は、エンジンから排出される排ガス中の酸素濃度からエンジンに供給された燃料混合気の空燃比を検出する空燃比センサから出力されるアナログ信号である。 The analog non-redundant signal is input to the AD converters 41 and 42. Analog non-redundant signals include air-fuel ratio signals and knock signals.
The air-fuel ratio signal is an analog signal output from the air-fuel ratio sensor that detects the air-fuel ratio of the fuel mixture supplied to the engine from the oxygen concentration in the exhaust gas discharged from the engine.

ノック信号は、エンジンのノッキングを検出するノッキングセンサから出力されるアナログ信号である。
第１ＣＰＵコア１１および第２ＣＰＵコア１２は、ＭＰＵ１５を介してＲＯＭ１３へアクセスし、ＭＰＵ１５を介してＲＯＭ１３からプログラムを読み込む。 The knock signal is an analog signal output from a knocking sensor that detects knocking of the engine.
The first CPU core 11 and the second CPU core 12 access the ROM 13 via the MPU 15, and read the program from the ROM 13 via the MPU 15.

第１ＣＰＵコア１１は、エンジンの第１気筒１０１と、エンジンの第３気筒１０３とを制御する制御信号を出力する。第２ＣＰＵコア１２は、エンジンの第２気筒１０２と、エンジンの第４気筒１０４と、スロットルバルブ１１１とを制御する制御信号を出力する。 The first CPU core 11 outputs a control signal for controlling the first cylinder 101 of the engine and the third cylinder 103 of the engine. The second CPU core 12 outputs a control signal for controlling the second cylinder 102 of the engine, the fourth cylinder 104 of the engine, and the throttle valve 111.

次に、第２ＣＰＵコア１２が実行するＭＰＵ設定変更処理の手順を説明する。ＭＰＵ設定変更処理は、ロックステップエラーに対応した割込信号が割込コントローラ２０から第２ＣＰＵコア１２に入力された場合に開始される処理である。 Next, the procedure of the MPU setting change process executed by the second CPU core 12 will be described. The MPU setting change process is a process started when an interrupt signal corresponding to a lock step error is input from the interrupt controller 20 to the second CPU core 12.

ＭＰＵ設定変更処理が実行されると、第２ＣＰＵコア１２は、図４に示すように、Ｓ１０にて、ＲＯＭ１３におけるアクチュエータ制御プログラム記憶領域への第１ＣＰＵコア１１からのフェッチアクセスを禁止するようにＭＰＵ１５の設定を変更して、ＭＰＵ設定変更処理を終了する。具体的には、第２ＣＰＵコア１２は、ＭＰＵ１５に設けられた複数の第１アクセス設定レジスタのうち、アクチュエータ制御プログラム記憶領域に対応している第１アクセス設定レジスタの値を、アクセス許可値からアクセス禁止値に書き換える。アクチュエータ制御プログラム記憶領域は、ＲＯＭ１３において、エンジンを作動させるためのアクチュエータ（例えば、インジェクタ、点火プラグ、スロットルモータ）を制御するプログラムを記憶する記憶領域である。アクセス許可値は、フェッチアクセスを許可するために予め設定された値である。アクセス禁止値は、フェッチアクセスを禁止するために予め設定された値である。 When the MPU setting change process is executed, the second CPU core 12 prohibits fetch access from the first CPU core 11 to the actuator control program storage area in the ROM 13 in S10 as shown in FIG. Change the setting of, and end the MPU setting change process. Specifically, the second CPU core 12 accesses the value of the first access setting register corresponding to the actuator control program storage area from the access permission value among the plurality of first access setting registers provided in the MPU 15. Rewrite to the prohibited value. The actuator control program storage area is a storage area for storing a program for controlling an actuator (for example, an injector, a spark plug, a throttle motor) for operating an engine in the ROM 13. The access permission value is a preset value for permitting fetch access. The access prohibition value is a preset value for prohibiting fetch access.

これにより、ＭＰＵ１５は、ＲＯＭ１３のアクチュエータ制御プログラム記憶領域に記憶されたプログラムに第１ＣＰＵコア１１がアクセスしようとした場合に、第１ＣＰＵコア１１によるＲＯＭ１３へのアクセスを禁止する。このため、第１ＣＰＵコア１１は、アクチュエータ制御プログラム記憶領域に記憶されたプログラムをＲＯＭ１３から読み出すことができなくなる。 As a result, the MPU 15 prohibits the first CPU core 11 from accessing the ROM 13 when the first CPU core 11 tries to access the program stored in the actuator control program storage area of the ROM 13. Therefore, the first CPU core 11 cannot read the program stored in the actuator control program storage area from the ROM 13.

次に、ＭＰＵ１５によるアクセス禁止の具体例を説明する。
図５に示すように、第１ＣＰＵコア１１は、演算結果が一致していないことを示す比較結果情報をエラー管理装置１９へ出力する。矢印Ｌ１は、第１ＣＰＵコア１１が比較結果情報をエラー管理装置１９へ出力することを示す。 Next, a specific example of access prohibition by MPU 15 will be described.
As shown in FIG. 5, the first CPU core 11 outputs comparison result information indicating that the calculation results do not match to the error management device 19. The arrow L1 indicates that the first CPU core 11 outputs the comparison result information to the error management device 19.

次にエラー管理装置１９は、矢印Ｌ２で示すように、ロックステップエラー情報を割込コントローラ２０へ出力する。
さらに割込コントローラ２０は、矢印Ｌ３で示すように、ロックステップエラーに対応した割込信号を第２ＣＰＵコア１２へ出力する。なお、割込コントローラ２０では、ロックステップエラー情報が入力された場合における割込信号出力先が予め第２ＣＰＵコア１２に設定されている。 Next, the error management device 19 outputs the lock step error information to the interrupt controller 20 as indicated by the arrow L2.
Further, the interrupt controller 20 outputs an interrupt signal corresponding to the lock step error to the second CPU core 12, as indicated by an arrow L3. In the interrupt controller 20, the interrupt signal output destination when the lock step error information is input is set in advance in the second CPU core 12.

そして第２ＣＰＵコア１２は、矢印Ｌ４で示すように、ＭＰＵ１５に対してＭＰＵ設定変更処理を実行する。これにより、矢印Ｌ５で示すように、ＲＯＭ１３におけるアクチュエータ制御プログラム記憶領域への第１ＣＰＵコア１１からのフェッチアクセスを禁止するようにＭＰＵ１５の設定が変更される。 Then, the second CPU core 12 executes the MPU setting change process for the MPU 15 as shown by the arrow L4. As a result, as shown by the arrow L5, the setting of the MPU 15 is changed so as to prohibit fetch access from the first CPU core 11 to the actuator control program storage area in the ROM 13.

その後、第１ＣＰＵコア１１は、矢印Ｌ６で示すように、ＲＯＭ１３のアクチュエータ制御プログラム記憶領域に対してプログラムフェッチを要求する。しかし、ＲＯＭ１３におけるアクチュエータ制御プログラム記憶領域への第１ＣＰＵコア１１からのフェッチアクセスが禁止されているため、第１ＣＰＵコア１１は、ＲＯＭ１３からプログラムを読み出すことができない。このため、第１ＣＰＵコア１１は、矢印Ｌ７で示すように、ＲＯＭ１３からのプログラムの読み出しを待機している状態となる。これにより、第１ＣＰＵコア１１は、エンジンの第１気筒１０１および第３気筒１０３に対する制御を中断した状態となる。一方、第２ＣＰＵコア１２は、エンジンの第２気筒１０２および第４気筒１０４に対する制御を継続する。 After that, the first CPU core 11 requests a program fetch from the actuator control program storage area of the ROM 13 as shown by the arrow L6. However, since fetch access from the first CPU core 11 to the actuator control program storage area in the ROM 13 is prohibited, the first CPU core 11 cannot read the program from the ROM 13. Therefore, as shown by the arrow L7, the first CPU core 11 is in a state of waiting for reading the program from the ROM 13. As a result, the first CPU core 11 is in a state in which the control of the first cylinder 101 and the third cylinder 103 of the engine is interrupted. On the other hand, the second CPU core 12 continues to control the second cylinder 102 and the fourth cylinder 104 of the engine.

このように構成されたＥＣＵ１は、ＣＰＵコア１１〜１２と、ＲＯＭ１３と、ＭＰＵ１５と、エラー管理装置１９とを備える。
ＣＰＵコア１１〜１２は、制御プログラムを実行することにより、制御プログラムに対応する制御対象を制御するための制御信号を出力する。本実施形態では、制御対象は、エンジンの第１気筒１０１と、エンジンの第２気筒１０２と、エンジンの第３気筒１０３と、エンジンの第４気筒１０４と、スロットルバルブ１１１とである。 The ECU 1 configured in this way includes CPU cores 11 to 12, ROM 13, MPU 15, and an error management device 19.
The CPU cores 11 to 12 output a control signal for controlling the control target corresponding to the control program by executing the control program. In the present embodiment, the control targets are the first cylinder 101 of the engine, the second cylinder 102 of the engine, the third cylinder 103 of the engine, the fourth cylinder 104 of the engine, and the throttle valve 111.

ＲＯＭ１３は、制御プログラムを記憶する。ＭＰＵ１５は、予め設定されたアクセス制御情報に基づいて、ＣＰＵコア１１〜１２によるＲＯＭ１３へのアクセスを制御する。
エラー管理装置１９は、第１ＣＰＵコア１１で異常が発生しているか否かを判断する。 The ROM 13 stores the control program. The MPU 15 controls access to the ROM 13 by the CPU cores 11 to 12 based on preset access control information.
The error management device 19 determines whether or not an abnormality has occurred in the first CPU core 11.

第２ＣＰＵコア１２は、第１ＣＰＵコア１１で異常が発生しているとエラー管理装置１９が判断した場合に、第１ＣＰＵコア１１が実行していた第１気筒１０１および第２気筒１０２の制御処理を第２ＣＰＵコア１２で代行させることなく、ＭＰＵ１５を用いて、第１ＣＰＵコア１１が制御対象へ制御信号を出力する不正干渉を抑制する。 When the error management device 19 determines that an abnormality has occurred in the first CPU core 11, the second CPU core 12 performs the control processing of the first cylinder 101 and the second cylinder 102 executed by the first CPU core 11. The MPU 15 is used to suppress unauthorized interference in which the first CPU core 11 outputs a control signal to the control target without having the second CPU core 12 act as a substitute.

このようにＥＣＵ１は、第１ＣＰＵコア１１の代行を第２ＣＰＵコア１２にさせることなく、第１ＣＰＵコア１１が制御対象へ制御信号を出力する不正干渉を抑制する。これにより、ＥＣＵ１は、第１ＣＰＵコア１１の処理を第２ＣＰＵコア１２が代行するための引継ぎに時間が掛かってしまうという事態が発生せず、異常な第１ＣＰＵコア１１による処理の継続を抑制することができる。 In this way, the ECU 1 suppresses unauthorized interference in which the first CPU core 11 outputs a control signal to the control target without causing the second CPU core 12 to act as the substitute for the first CPU core 11. As a result, the ECU 1 does not take a long time to take over the processing of the first CPU core 11 for the second CPU core 12 to take over, and suppresses the continuation of the abnormal processing by the first CPU core 11. Can be done.

第２ＣＰＵコア１２は、ＲＯＭ１３に記憶されている制御プログラムへ第１ＣＰＵコア１１がアクセスするのを禁止するようにアクセス制御情報を変更することにより、不正干渉を抑制する。これにより、ＥＣＵ１は、アクセス制御情報を変更するだけで、第１ＣＰＵコア１１による制御プログラムへのアクセスを禁止することができ、第１ＣＰＵコア１１をエンジン制御システムから早期に切り離すことができる。このため、ＥＣＵ１は、異常な第１ＣＰＵコア１１による処理の継続を必要最小限に抑制することができる。 The second CPU core 12 suppresses unauthorized interference by changing the access control information so as to prohibit the first CPU core 11 from accessing the control program stored in the ROM 13. As a result, the ECU 1 can prohibit access to the control program by the first CPU core 11 only by changing the access control information, and can disconnect the first CPU core 11 from the engine control system at an early stage. Therefore, the ECU 1 can suppress the continuation of processing by the abnormal first CPU core 11 to the minimum necessary.

また第２ＣＰＵコア１２が、アクセス制御情報を変更する。このようにＥＣＵ１は、正常なＣＰＵコアにアクセス制御情報を変更させるため、第１ＣＰＵコア１１によるアクセスを禁止するためのアクセス制御情報の変更が行われないという事態の発生を抑制することができる。 Further, the second CPU core 12 changes the access control information. In this way, since the ECU 1 causes the normal CPU core to change the access control information, it is possible to suppress the occurrence of a situation in which the access control information for prohibiting access by the first CPU core 11 is not changed.

ＥＣＵ１は、第１気筒１０１、第２気筒１０２、第３気筒１０３および第４気筒１０４を備えるエンジンを制御する。そしてＣＰＵコア１１〜１２は、４つの気筒１０１〜１０４を分担して、燃料噴射制御および点火制御を実行する。具体的には、第１ＣＰＵコア１１は、第１気筒１０１および第３気筒１０３における燃料噴射制御および点火制御を実行し、第２ＣＰＵコア１２は、第２気筒１０２および第４気筒１０４における燃料噴射制御および点火制御を実行する。 The ECU 1 controls an engine including a first cylinder 101, a second cylinder 102, a third cylinder 103, and a fourth cylinder 104. The CPU cores 11 to 12 share the four cylinders 101 to 104 to execute fuel injection control and ignition control. Specifically, the first CPU core 11 executes fuel injection control and ignition control in the first cylinder 101 and the third cylinder 103, and the second CPU core 12 executes fuel injection control in the second cylinder 102 and the fourth cylinder 104. And perform ignition control.

これにより、ＥＣＵ１は、第１ＣＰＵコア１１で異常が発生した場合には、第１気筒１０１および第３気筒１０３の駆動を停止する一方、第２気筒１０２および第４気筒１０４の駆動を継続することにより、エンジンを駆動し続けることができる。第１ＣＰＵコア１１で異常が発生した場合であっても、第２ＣＰＵコア１２は、異常発生前と同じ制御を継続して実行すればよく、第２ＣＰＵコア１２の処理負荷は増加しない。 As a result, when an abnormality occurs in the first CPU core 11, the ECU 1 stops driving the first cylinder 101 and the third cylinder 103, while continuing to drive the second cylinder 102 and the fourth cylinder 104. Allows the engine to continue to drive. Even if an abnormality occurs in the first CPU core 11, the second CPU core 12 may continue to execute the same control as before the abnormality occurs, and the processing load of the second CPU core 12 does not increase.

以上説明した実施形態において、ＲＯＭ１３はプログラム記憶部に相当し、ＭＰＵ１５はアクセス制御部に相当し、第１ＣＰＵコア１１は異常判断対象コアに相当し、エラー管理装置１９は異常判断部に相当し、Ｓ１０は干渉抑制部としての処理に相当する。 In the embodiment described above, the ROM 13 corresponds to the program storage unit, the MPU 15 corresponds to the access control unit, the first CPU core 11 corresponds to the abnormality determination target core, and the error management device 19 corresponds to the abnormality determination unit. S10 corresponds to the process as an interference suppressing unit.

［第２実施形態］
以下に本開示の第２実施形態を図面とともに説明する。なお第２実施形態では、第１実施形態と異なる部分を説明する。共通する構成については同一の符号を付す。 [Second Embodiment]
The second embodiment of the present disclosure will be described below together with the drawings. In the second embodiment, a part different from the first embodiment will be described. The same reference numerals are given to common configurations.

第２実施形態のＥＣＵ１は、マイコン２の構成と、ＭＰＵ設定変更処理とが変更された点が第１実施形態と異なる。
第２実施形態のＥＣＵ１は、図６に示すように、論理和回路５１が追加された点が第１実施形態と異なる。 The ECU 1 of the second embodiment is different from the first embodiment in that the configuration of the microcomputer 2 and the MPU setting change process are changed.
As shown in FIG. 6, the ECU 1 of the second embodiment is different from the first embodiment in that the OR circuit 51 is added.

論理和回路５１は、第１入力端子と第２入力端子と出力端子とを備える。論理和回路５１は、第１入力端子に入力した信号と、第２入力端子に入力した信号との論理和演算を行い、演算結果を示す信号を出力端子から出力する。論理和回路５１は、出力回路４に内蔵されている。 The OR circuit 51 includes a first input terminal, a second input terminal, and an output terminal. The OR circuit 51 performs an OR operation on the signal input to the first input terminal and the signal input to the second input terminal, and outputs a signal indicating the operation result from the output terminal. The OR circuit 51 is built in the output circuit 4.

第１入力端子は第１ＣＰＵコア１１に接続され、第２入力端子は第２ＣＰＵコア１２に接続され、出力端子はスロットルバルブ１１１に接続される。すなわち、第１ＣＰＵコア１１は、論理和回路５１を介してスロットルバルブ１１１へスロットル制御信号を出力することにより、スロットルバルブ１１１を制御することができる。また、第２ＣＰＵコア１２は、論理和回路５１を介してスロットルバルブ１１１へスロットル制御信号を出力することにより、スロットルバルブ１１１を制御することができる。 The first input terminal is connected to the first CPU core 11, the second input terminal is connected to the second CPU core 12, and the output terminal is connected to the throttle valve 111. That is, the first CPU core 11 can control the throttle valve 111 by outputting a throttle control signal to the throttle valve 111 via the OR circuit 51. Further, the second CPU core 12 can control the throttle valve 111 by outputting a throttle control signal to the throttle valve 111 via the OR circuit 51.

第２実施形態のＥＣＵ１では、第１ＣＰＵコア１１においてロックステップエラーが発生していない場合には、第１ＣＰＵコア１１が、スロットルバルブ１１１を制御するためのスロットル制御処理を実行し、第２ＣＰＵコア１２がスロットル制御処理を実行しない。 In the ECU 1 of the second embodiment, when the lock step error does not occur in the first CPU core 11, the first CPU core 11 executes the throttle control process for controlling the throttle valve 111, and the second CPU core 12 Does not perform throttle control processing.

次に、第２実施形態のＭＰＵ設定変更処理の手順を説明する。
第２実施形態のＭＰＵ設定変更処理は、Ｓ２０の処理が追加された点が第１実施形態と異なる。 Next, the procedure of the MPU setting change processing of the second embodiment will be described.
The MPU setting change process of the second embodiment is different from the first embodiment in that the process of S20 is added.

すなわち、図７に示すように、Ｓ１０の処理が終了すると、第２ＣＰＵコア１２は、Ｓ２０にて、第２ＣＰＵコア１２においてスロットル制御処理を開始させて、ＭＰＵ設定変更処理する。これにより、第２ＣＰＵコア１２は、スロットル制御処理を開始し、論理和回路５１を介してスロットルバルブ１１１へスロットル制御信号を出力することにより、スロットルバルブ１１１を制御する。 That is, as shown in FIG. 7, when the processing of S10 is completed, the second CPU core 12 starts the throttle control processing in the second CPU core 12 in S20 to perform the MPU setting change processing. As a result, the second CPU core 12 controls the throttle valve 111 by starting the throttle control process and outputting the throttle control signal to the throttle valve 111 via the OR circuit 51.

なお、第２実施形態のＭＰＵ設定変更処理におけるＳ１０の処理により、第１ＣＰＵコア１１は、アクチュエータ制御プログラム記憶領域に記憶されたプログラムをＲＯＭ１３から読み出すことができなくなる。これにより、第１ＣＰＵコア１１は、スロットル制御処理を実行することができなくなり、第１ＣＰＵコア１１は、スロットル制御信号を出力することができない。このため、第２実施形態のＥＣＵ１は、第１ＣＰＵコア１１からのスロットル制御信号と、第２ＣＰＵコア１２からのスロットル制御信号とが同時に論理和回路５１に入力される事態の発生を抑制することができる。 The process of S10 in the MPU setting change process of the second embodiment makes it impossible for the first CPU core 11 to read the program stored in the actuator control program storage area from the ROM 13. As a result, the first CPU core 11 cannot execute the throttle control process, and the first CPU core 11 cannot output the throttle control signal. Therefore, the ECU 1 of the second embodiment can suppress the occurrence of a situation in which the throttle control signal from the first CPU core 11 and the throttle control signal from the second CPU core 12 are simultaneously input to the OR circuit 51. it can.

このようにＥＣＵ１では、第１ＣＰＵコア１１は、エンジンに供給される空気量を調整するスロットルバルブ１１１を制御するスロットル制御処理を実行する。そしてＥＣＵ１は、第１ＣＰＵコア１１で異常が発生していると判断した場合に、第２ＣＰＵコア１２に、スロットル制御処理を開始させる。これにより、ＥＣＵ１は、第１ＣＰＵコア１１で異常が発生した場合であっても、スロットルバルブ１１１の制御を継続することができる。 As described above, in the ECU 1, the first CPU core 11 executes the throttle control process for controlling the throttle valve 111 that adjusts the amount of air supplied to the engine. Then, when the ECU 1 determines that an abnormality has occurred in the first CPU core 11, the second CPU core 12 causes the second CPU core 12 to start the throttle control process. As a result, the ECU 1 can continue to control the throttle valve 111 even when an abnormality occurs in the first CPU core 11.

以上説明した実施形態において、Ｓ２０はスロットル制御開始部としての処理に相当する。
以上、本開示の一実施形態について説明したが、本開示は上記実施形態に限定されるものではなく、種々変形して実施することができる。 In the embodiment described above, S20 corresponds to the process as the throttle control start unit.
Although one embodiment of the present disclosure has been described above, the present disclosure is not limited to the above embodiment, and can be implemented in various modifications.

［変形例１］
例えば上記実施形態では、異常判断対象コアが第１ＣＰＵコア１１である形態を示したが、異常判断対象コアの数は複数であってもよい。 [Modification 1]
For example, in the above embodiment, the mode in which the abnormality determination target core is the first CPU core 11 is shown, but the number of abnormality determination target cores may be a plurality.

本開示に記載のＥＣＵ１およびその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサおよびメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。あるいは、本開示に記載のＥＣＵ１およびその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。もしくは、本開示に記載のＥＣＵ１およびその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサおよびメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。ＥＣＵ１に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、一つあるいは複数のハードウェアを用いて実現されてもよい。 The ECU 1 and its method described in the present disclosure are realized by a dedicated computer provided by configuring a processor and memory programmed to perform one or more functions embodied by a computer program. You may. Alternatively, the ECU 1 and its method described in the present disclosure may be realized by a dedicated computer provided by configuring the processor with one or more dedicated hardware logic circuits. Alternatively, the ECU 1 and its method described in the present disclosure are configured by a combination of a processor and memory programmed to perform one or more functions and a processor composed of one or more hardware logic circuits. It may be realized by one or more dedicated computers. The computer program may also be stored on a computer-readable non-transitional tangible recording medium as an instruction executed by the computer. The method for realizing the functions of each part included in the ECU 1 does not necessarily include software, and all the functions may be realized by using one or a plurality of hardware.

上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加または置換してもよい。 A plurality of functions possessed by one component in the above embodiment may be realized by a plurality of components, or one function possessed by one component may be realized by a plurality of components. Further, a plurality of functions possessed by the plurality of components may be realized by one component, or one function realized by the plurality of components may be realized by one component. Further, a part of the configuration of the above embodiment may be omitted. In addition, at least a part of the configuration of the above embodiment may be added or replaced with the configuration of the other above embodiment.

上述したＥＣＵ１の他、当該ＥＣＵ１を構成要素とするシステム、当該ＥＣＵ１としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、装置制御方法など、種々の形態で本開示を実現することもできる。 In addition to the above-mentioned ECU 1, various systems such as a system having the ECU 1 as a component, a program for operating a computer as the ECU 1, a non-transitional substantive recording medium such as a semiconductor memory in which this program is recorded, and a device control method are used. The present disclosure can also be realized in the form.

１…ＥＣＵ、１１…第１ＣＰＵコア、１２…第２ＣＰＵコア、１３…ＲＯＭ、１５…ＭＰＵ、１９…エラー管理装置 1 ... ECU, 11 ... 1st CPU core, 12 ... 2nd CPU core, 13 ... ROM, 15 ... MPU, 19 ... Error management device

Claims

複数のＣＰＵコア（１１，１２）を備える電子制御装置（１）であって、
複数の前記ＣＰＵコアは、制御プログラムを実行することにより、前記制御プログラムに対応する制御対象を制御するための制御信号を出力し、
前記制御プログラムを記憶するように構成されたプログラム記憶部（１３）と、
予め設定されたアクセス制御情報に基づいて、複数の前記ＣＰＵコアによる前記プログラム記憶部へのアクセスを制御するように構成されたアクセス制御部（１５）と、
複数の前記ＣＰＵコアのうち予め設定された少なくとも一つの前記ＣＰＵコアを異常判断対象コア（１１）として、前記異常判断対象コアで異常が発生しているか否かを判断するように構成された異常判断部（１９）と、
前記異常判断対象コアで異常が発生していると前記異常判断部が判断した場合に、前記異常判断対象コアが実行していた制御処理を前記異常判断対象コア以外の前記ＣＰＵコアで代行させることなく、前記アクセス制御部を用いて、前記異常判断対象コアが前記制御対象へ前記制御信号を出力する不正干渉を抑制するように構成された干渉抑制部（Ｓ１０）と
を備える電子制御装置。 An electronic control device (1) having a plurality of CPU cores (11, 12).
By executing the control program, the plurality of CPU cores output control signals for controlling the control target corresponding to the control program.
A program storage unit (13) configured to store the control program, and
An access control unit (15) configured to control access to the program storage unit by the plurality of CPU cores based on preset access control information.
An abnormality configured to determine whether or not an abnormality has occurred in the abnormality determination target core, with at least one preset CPU core among the plurality of CPU cores as the abnormality determination target core (11). Judgment department (19) and
When the abnormality determination unit determines that an abnormality has occurred in the abnormality determination target core, the control processing executed by the abnormality determination target core is delegated by the CPU core other than the abnormality determination target core. An electronic control device including an interference suppression unit (S10) configured to suppress unauthorized interference in which the abnormality determination target core outputs the control signal to the control target using the access control unit.

請求項１に記載の電子制御装置であって、
前記干渉抑制部は、前記プログラム記憶部に記憶されている前記制御プログラムへ前記異常判断対象コアがアクセスするのを禁止するように前記アクセス制御情報を変更することにより、前記不正干渉を抑制する電子制御装置。 The electronic control device according to claim 1.
The interference suppressing unit is an electron that suppresses the unauthorized interference by changing the access control information so as to prohibit the abnormal determination target core from accessing the control program stored in the program storage unit. Control device.

請求項２に記載の電子制御装置であって、
複数の前記ＣＰＵコアのうち前記異常判断対象コア以外の前記ＣＰＵコア（１２）を前記干渉抑制部として機能させることにより、前記アクセス制御情報を変更する電子制御装置。 The electronic control device according to claim 2.
An electronic control device that changes the access control information by causing the CPU core (12) other than the abnormality determination target core among the plurality of CPU cores to function as the interference suppression unit.

請求項１〜請求項３の何れか１項に記載の電子制御装置であって、
当該電子制御装置は、複数の気筒（１０１，１０２，１０３，１０４）を備えるエンジンを制御し、
複数の前記ＣＰＵコアは、複数の前記気筒を分担して、分担した前記気筒における燃料噴射制御および点火制御を実行する電子制御装置。 The electronic control device according to any one of claims 1 to 3.
The electronic control device controls an engine having a plurality of cylinders (101, 102, 103, 104).
The plurality of CPU cores are electronic control devices that share the plurality of cylinders and execute fuel injection control and ignition control in the shared cylinders.

請求項４に記載の電子制御装置であって、
前記異常判断対象コアは、前記エンジンに供給される空気量を調整するスロットルバルブ（１１１）を制御するスロットル制御処理を実行し、
前記異常判断対象コアで異常が発生していると前記異常判断部が判断した場合に、複数の前記ＣＰＵコアのうち、前記異常判断対象コア以外で予め設定された一つの前記ＣＰＵコアに、前記スロットル制御処理を開始させるように構成されたスロットル制御開始部（Ｓ２０）を備える電子制御装置。 The electronic control device according to claim 4.
The abnormality determination target core executes a throttle control process for controlling a throttle valve (111) that adjusts the amount of air supplied to the engine.
When the abnormality determination unit determines that an abnormality has occurred in the abnormality determination target core, the CPU core set in advance other than the abnormality determination target core among the plurality of CPU cores is subjected to the above. An electronic control device including a throttle control start unit (S20) configured to start a throttle control process.