JP2024076683A - 電子制御装置 - Google Patents

Abstract

【課題】異常になった仮想マシンの処理を他の仮想マシンが適切に代行する技術を提供する。
【解決手段】電子制御装置２は、ハイパーバイザ１００と複数の仮想マシン１１０～１６０とを備える。複数の仮想マシンには、対象仮想１２０マシンと代行仮想マシン１６０とが設定されている。ハイパーバイザの判定部１０４は、対象仮想マシンが正常か異常かを判定する。ハイパーバイザのコピー部１０６は、対象仮想マシンが正常の場合、対象仮想マシンに割り当てられた揮発性メモリ３０の記憶領域に記憶されているデータを、代行仮想マシンに割り当てられた揮発性メモリの記憶領域にコピーする。代行仮想マシンの代行部１０６は、対象仮想マシンが異常の場合、代行仮想マシンに割り当てられた揮発性メモリの記憶領域にコピーされたデータに基づき、対象仮想マシンの処理を代行する。
【選択図】図１

Description

本開示は、仮想マシンの処理を代行する技術に関する。

下記の特許文献１に記載されている技術では、マルチコアのＣＰＵを備えるマイクロコントローラにおいて、第１コアと第２コアとが予め割り当てられた処理を実行しながら、互いに相手のコアが正常か異常かを監視する。そして、一方のコアが異常になると、他方のコアは一方のコアが実行していた処理を代行する。

特開２０１２－０７３７４８号公報

一方のコアが異常になったときに、一方のコアが実行していた処理を他方のコアが代行する場合、他方のコアは、一方のコアが記憶していたデータを引き継いで使用する。
しかしながら、一方のコアが異常になったときに一方のコアが記憶していたデータが、正常か異常かを判定することは困難である。

発明者の詳細な検討の結果、このように正常か異常かを判定できないデータを使用すると、一方のコアが実行していた処理を他方のコアが適切に代行できないという課題が見出された。コアを仮想マシンに置き換えても同様の課題が生じる。

本開示の１つの局面は、異常になった仮想マシンの処理を他の仮想マシンが適切に代行する技術を提供することが望ましい。

本開示の１つの態様による電子制御装置（２～６）は、ハイパーバイザ（１００）と、ハイパーバイザにより動作を制御される複数の仮想マシン（１１０～１７０）と、を備える。

複数の仮想マシンには、正常か異常かを監視される監視対象となる少なくとも１つの対象仮想マシン（１２０、１３０）と、対象仮想マシンが異常の場合に対象仮想マシンの処理を代行する少なくとも１つの代行仮想マシン（１６０、１７０）とが設定されている。

１つまたは複数の対象仮想マシンの処理を１つの代行仮想マシンが代行する。
ハイパーバイザは、判定部（１０４、Ｓ４２０）と、コピー部（１０６、Ｓ４２２）と、を備える。

判定部は、対象仮想マシンが正常か異常かを判定する。コピー部は、対象仮想マシンが正常であると判定部が判定すると、揮発性メモリ（３０）において対象仮想マシンに割り当てられた記憶領域（３４、３６）に記憶されているデータを、揮発性メモリにおいて代行仮想マシンに割り当てられた記憶領域（４２、４４）にコピーする。

代行仮想マシンは、対象仮想マシンが異常であると判定部が判定すると、揮発性メモリにおいて代行仮想マシンに割り当てられた記憶領域にコピーされたデータに基づき、対象仮想マシンの処理を代行するように構成された代行部（１６２、１７２、Ｓ４３０）を備える。

このような構成によれば、対象仮想マシンが正常だったときに、揮発性メモリにおいて代行仮想マシンに割り当てられた記憶領域にコピーされた対象仮想マシンのデータは正常である。

したがって、対象仮想マシンが異常になると、代行仮想マシンに割り当てられた記憶領域にコピーされた対象仮想マシンの正常なデータに基づいて、代行仮想マシンは対象仮想マシンの処理を適切に代行できる。

第１実施形態の電子制御装置の構成を示すブロック図。 仮想マシンが異常になったときの処理の代行を説明する模式図。 メモリの構成を示す模式図。 代行処理を示すシーケンス図。 仮想マシンのスケシューリングを説明する説明図。 対象仮想マシンが実行する処理を示すフローチャート。 ハイパーバイザが実行する処理を示すフローチャート。 代行仮想マシンが実行する処理を示すフローチャート。 第２実施形態の電子制御装置の構成を示すブロック図。 メモリの構成を示す模式図。 仮想マシンのスケシューリングを説明する説明図。 第３実施形態の電子制御装置の構成を示すブロック図。 メモリの構成を示す模式図。 仮想マシンのスケシューリングを説明する説明図。

以下、図を参照しながら、本開示の実施形態を説明する。
［１．第１実施形態］
［１－１．構成］
図１および図２に示す電子制御装置であるマイクロコンピュータ２は、例えば、車両に搭載されており、メモリ２０と、ハイパーバイザ１００と、仮想マシン１１０～ＶＭ１６０と、を備える。マイクロコンピュータ２は例えばマルチコアのマイクロコンピュータである。以下、ハイパーバイザを略してＨＶ、仮想マシンを略してＶＭ、マイクロコンピュータを略してマイコンとも言う。

メモリ２０は、ＲＡＭ３０と、ＲＯＭ５０と、図示しないフラッシュメモリ等を備える。ＨＶ１００とＶＭ１１０～ＶＭ１６０とは、ＲＡＭ３０に設定された図示しない共有メモリ領域にデータを書き込んだり読み出したりすることにより、互いに通信をする。

６個のＶＭ１１０～ＶＭ１６０は、後述する車両制御等を実行する機能をソフトウェアで仮想化したものである。図１および図２では、６個のＶＭ１１０～ＶＭ１６０を図示しているが、これは例示であり、ＶＭの数は６個に限るものではない。

図３に示すように、ＶＭ１１０～ＶＭ１６０のそれぞれに対応して、ＲＡＭ３０の記憶領域３２～４２とＲＯＭ５０の記憶領域５２～６２とが割り当てられている。ＶＭ１２０に割り当てられているＲＯＭ５０の記憶領域５４のデータは、予め、ＶＭ１６０に割り当てられているＲＯＭ５０の記憶領域６２にコピーされている。

尚、図３では、図を省略するために、ＲＡＭ３０とＲＯＭ５０とは、共通のメモリ領域として記載されているが、当然のことながら異なるメモリ領域である。
ＨＶ１００は、ＶＭ制御部１０２と、判定部１０４と、コピー部１０６と、を備える。ＶＭ制御部１０２は、ＶＭ１１０～ＶＭ１６０に割り当てるコア、メモリ２０等のハードウェアリソースを管理し、ＶＭ１１０～ＶＭ１６０の動作を制御する。本実施形態では、ＶＭ１１０～ＶＭ１６０のそれぞれに１個のコアが割り当てられる。

判定部１０４は、図４に示すように、ＶＭ１２０による自己診断結果に基づいて、ＶＭ１２０が正常か異常かを判定する。つまり、ＶＭ１２０は、正常か異常かを監視される監視対象となる対象仮想マシンである。

コピー部１０６は、ＶＭ１２０が正常であると判定部１０４が判定すると、図３および図４に示すように、ＶＭ１２０に割り当てられているＲＡＭ３０の記憶領域３４のデータを、ＶＭ１６０に割り当てられているＲＡＭ３０の記憶領域４２にコピーする。コピーされるＲＡＭ３０の記憶領域３４のデータには、ＶＭ１２０が実行するプログラムが含まれる。

６個のＶＭ１１０～ＶＭ１６０のうち、５個のＶＭ１１０～ＶＭ１５０は、ボディ制御、エンジン制御、等の車両制御を実行する。ＶＭ１６０は、ＶＭ１２０が異常になると、ＶＭ１２０が正常時に実行していた処理を代行する。つまり、ＶＭ１６０は、対象仮想マシンであるＶＭ１２０が異常の場合にＶＭ１２０の処理を代行する代行仮想マシンである。

ＶＭ１１０、１２０は前述した車両制御を実行する実行部１１２、１２２を備える。図１および図２には図示しないが、ＶＭ１３０～１５０も、車両制御を実行する実行部を備える。ＶＭ１２０は、さらに自己診断を実行する診断部１２４を備える。

ＶＭ１６０は、ＶＭ１２０が異常になるとＶＭ１２０が正常時に実行していた処理を代行する代行部１６２を備える。ＶＭ１６０は、ＶＭ１２０が正常の場合、ＨＶ１００から起動されず、待機状態である。

［１－２．処理］
次に、マイコン２が実行する処理について説明する。
（１）スケジューリング
図５に示すように、ＶＭ１２０の正常時、ＨＶ１００とＶＭ１１０～ＶＭ１５０とには、１ｍｓの周期において、実行時間が割り当てられている。ＶＭ１２０の正常時、ＶＭ１６０は待機状態であるから、ＶＭ１６０に割り当てられる実行時間は０μｓである。

ＶＭ１２０が異常になると、ＶＭ１２０に割り当てられていた２００μｓの実行時間がＶＭ１６０に割り当てられる。そして、ＶＭ１２０に代わってＶＭ１６０がＶＭ１２０の実行タイミングで起動され、ＶＭ１２０の処理を代行する。尚、ＶＭ１６０は、ＶＭ１２０の処理を代行するだけであり、ＶＭ１２０の自己診断処理は実行しない。

（２）ＶＭ１２０の処理
図６に示すフローチャートは、ＨＶ１００によりＶＭ１２０が起動されると実行される。
まず、Ｓ４００においてＶＭ１２０の実行部１２２は、車両制御等の通常処理を実行する。通常処理の終了後、Ｓ４０２においてＶＭ１２０の診断部１２４は、ＲＡＭ診断を実行する。

診断部１２４は、ＲＡＭ診断として、ＶＭ１２０に割り当てられたＲＡＭ３０の記憶領域３４において、例えば読み出し、書き込みを行う際に、ＥＣＣにより、ＶＭ１２０に割り当てられたＲＡＭ３０の記憶領域３４が正常か異常かを診断する。ＥＣＣは、Error Correcting Codeの略である。

ＲＡＭ診断は、ＥＣＣに限るものではなく、書き込みデータが正常に読み出せるか否かにより実行されてもよい。
Ｓ４０４において診断部１２４は、ＲＡＭ診断の結果が正常であるか否かを判定する。Ｓ４０４の判定がＹｅｓである、つまりＲＡＭ診断の結果が正常の場合、処理はＳ４０８に移行する。

Ｓ４０４の判定がＮｏである、つまりＲＡＭ診断の結果が異常の場合、Ｓ４０６において診断部１２４は、ＨＶ１００に、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させるように要求する。この要求は、例えば代行フラグをオンにすることにより実現される。

Ｓ４０８において診断部１２４は、ＲＯＭ診断を実行する。診断部１２４は、ＲＯＭ診断として、ＶＭ１２０に割り当てられたＲＯＭ５０の記憶領域５４において、例えばＣＲＣにより、ＶＭ１２０に割り当てられたＲＯＭ５０の記憶領域５４が正常か異常かを診断する。ＣＲＣは、Cyclic Redundancy Checkの略である。

ＲＯＭ診断は、ＣＲＣに限るものではなく、チェックサムが一致するか否かにより行ってもよい。
Ｓ４１０において診断部１２４は、ＲＯＭ診断の結果が正常であるか否かを判定する。Ｓ４１０の判定がＹｅｓである、つまりＲＯＭ診断の結果が正常の場合、処理はＳ４１４に移行する。

Ｓ４１０の判定がＮｏである、つまりＲＯＭ診断の結果が異常の場合、Ｓ４１２において診断部１２４は、ＨＶ１００に、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させるように要求する。

Ｓ４１４において診断部１２４は、実行部１２２が実行する処理フローにおいて、実行すべきステップが実行されているか否かのフロー診断を実行する。
Ｓ４１６において診断部１２４は、フロー診断の結果が正常であるか否かを判定する。Ｓ４１６の判定がＹｅｓである、つまりフロー診断の結果が正常の場合、本処理は終了する。

Ｓ４１６の判定がＮｏである、つまりフロー診断の結果が異常の場合、Ｓ４１８において診断部１２４は、ＨＶ１００に、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させるように要求する。

（３）ＨＶ１００の処理
図７に示すフローチャートは、前述した図６のＶＭ１２０の処理が終了すると、ＨＶ１００により実行される。

Ｓ４２０においてＨＶ１００の判定部１０４は、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させる代行要求があるか否かを判定する。この判定は、例えば、前述した代行フラグがオンかオフかに基づいて行われる。

Ｓ４２０の判定がＮｏである、つまり代行要求がない場合、Ｓ４２２においてＨＶ１００のコピー部１０６は、ＶＭ１２０に割り当てられたＲＡＭ３０の記憶領域３４のデータを、ＶＭ１６０に割り当てられたＲＡＭ３０の記憶領域４２にコピーする。Ｓ４２２の実行後、本処理は終了する。

Ｓ４２０の判定がＹｅｓである、つまり代行要求がある場合、Ｓ４２４においてＨＶ１００のＶＭ制御部１０２は、ＶＭ１２０に割り当てられる実行時間を２００μｓから０μｓに変更してＶＭ１２０の実行を停止させる。

Ｓ４２６においてＶＭ制御部１０２は、ＶＭ１６０に割り当てられる実行時間を０μｓから２００μｓに変更して、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させる。この場合、ＶＭ１６０は、ＶＭ１２０が起動されていたタイミングで起動される。

（４）ＶＭ１６０の処理
図８に示すフローチャートは、ＨＶ１００によりＶＭ１６０が起動されると実行される。
Ｓ４３０においてＶＭ１６０の代行部１６２は、ＶＭ１２０の処理を代行する。この場合、ＶＭ１６０は、ＶＭ１２０の通常処理を代行するだけであり、ＶＭ１２０の自己診断処理は実行しない。

以上説明した第１実施形態では、マイコン２が電子制御装置に対応し、ＶＭ１２０が対象仮想マシンに対応し、ＶＭ１６０が代行仮想マシンに対応する。
また、Ｓ４０２、Ｓ４０４、Ｓ４０８、Ｓ４１０、Ｓ４１４、Ｓ４１６が診断部の処理に対応し、Ｓ４２０が判定部の処理に対応し、Ｓ４２２がコピー部の処理に対応し、Ｓ４３０が代行部の処理に対応する。

［１－３．効果］
以上説明した第１実施形態によれば、以下の効果を得ることができる。
（１ａ）対象仮想マシンであるＶＭ１２０が正常なときに、ＨＶ１００が、ＶＭ１２０に割り当てられたＲＡＭ３０の記憶領域３４のデータを、ＶＭ１６０に割り当てられたＲＡＭ３０の記憶領域４２にコピーする。また、ＶＭ１２０に割り当てられたＲＯＭ５０の記憶領域５４のデータは、予め、ＶＭ１６０に割り当てられたＲＯＭ５０の記憶領域６２にコピーされている。
これにより、ＶＭ１２０に異常が発生しても、ＲＡＭ３０の記憶領域４２にコピーされたＶＭ１２０の正常なデータと、予め、ＲＯＭ５０の記憶領域６２にコピーされていたＶＭ１２０のデータと、に基づいて、ＶＭ１６０はＶＭ１２０の処理を代行できる。

この場合、ＶＭ１２０が異常になる前のＶＭ１２０が正常だったときのデータを使用できるので、ＶＭ１６０はＶＭ１２０が実行していた処理を引き継いで適切に代行できる。
（１ｂ）ＶＭ１６０は、ＶＭ１２０の正常時には待機状態にあり何も処理を実行していない。そして、ＶＭ１２０が異常になると、ＶＭ１６０は、ＶＭ１２０の処理を代行する代行処理以外の処理を実行しない。これにより、代行処理以外の処理でＶＭ１６０の処理負荷が増加することを抑制できる。

［２．第２実施形態］
［２－１．第１実施形態との相違点］
第２実施形態は、基本的な構成は第１実施形態と同様であるため、相違点について以下に説明する。尚、第１実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

前述した第１実施形態では、代行仮想マシンであるＶＭ１６０が処理を代行する対象仮想マシンはＶＭ１２０の１個だけであった。これに対し、第２実施形態では、図９に示すマイコン４において、ＶＭ１６０が処理を代行する対象仮想マシンがＶＭ１２０とＶＭ１３０の２個である点で、第１実施形態と相違する。

［２－２．構成］
図９に示すマイコン４では、ＶＭ１３０は、ＶＭ１２０と同様に実行部１３２と診断部１３４とを備える。ＶＭ１２０とＶＭ１３０とが正常であるか異常であるかは、第１実施形態と同様に、ＶＭ１２０の診断部１２４とＶＭ１３０の診断部１３４とが、ＲＡＭ診断とＲＯＭ診断とフロー診断とを実行した結果で設定する代行フラグがオンかオフかにより判定される。

図１０に示すように、ＶＭ１２０に割り当てられているＲＯＭ４０の記憶領域５４のデータ、ならびにＶＭ１３０に割り当てられているＲＯＭ４０の記憶領域５６のデータは、予め、ＶＭ１６０に割り当てられているＲＯＭ４０の記憶領域６２にコピーされている。

ＨＶ１００の判定部１０４は、ＶＭ１２０とＶＭ１３０とがそれぞれ正常であるか異常であるかを、ＶＭ１２０とＶＭ１３０とのそれぞれの代行フラグに基づいて判定する。
コピー部１０６は、ＶＭ１２０が正常であれば、ＶＭ１２０に割り当てられているＲＡＭ３０の記憶領域３４のデータを、ＶＭ１６０に割り当てられているＲＡＭ３０の記憶領域４２にコピーする。また、コピー部１０６は、ＶＭ１３０が正常であれば、ＶＭ１３０に割り当てられているＲＡＭ３０の記憶領域３６のデータを、ＶＭ１６０に割り当てられているＲＡＭ３０の記憶領域４２にコピーする。

図１１に示すように、ＶＭ制御部１０２は、ＶＭ１２０が異常であれば、ＶＭ１２０に割り当てられていた実行時間の１００μｓを０μｓに変更し、ＶＭ１２０の実行を停止させる。そして、ＶＭ制御部１０２は、ＶＭ１６０に割り当てられている実行時間に１００μｓを加算して、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させる。

また、ＶＭ制御部１０２は、ＶＭ１３０が異常であれば、ＶＭ１３０に割り当てられていた実行時間を１００μｓから０μｓに変更し、ＶＭ１３０の実行を停止させる。そして、ＶＭ制御部１０２は、ＶＭ１６０に割り当てられている実行時間に１００μｓを加算して、ＶＭ１３０の処理をＶＭ１６０に切り替えて代行させる。

ＶＭ１６０の代行部１６２は、ＶＭ１２０またはＶＭ１３０の一方だけが異常であれば、一方だけの処理を代行し、ＶＭ１２０とＶＭ１３０との両方が異常であれば、両方の処理を代行する。代行部１６２がＶＭ１２０とＶＭ１３０との両方の処理を代行する場合、ＶＭ１６０には合計２００μｓの実行時間が割り当てられる。

尚、ＶＭ１６０の代行部１６２は、ＶＭ１２０とＶＭ１３０との通常処理を代行するだけであり、ＶＭ１２０とＶＭ１３０との自己診断処理は実行しない。
以上説明した第２実施形態では、マイコン４が電子制御装置に対応し、ＶＭ１２０、ＶＭ１３０が対象仮想マシンに対応し、ＶＭ１６０が代行仮想マシンに対応する。

［２－３．効果］
以上説明した第２実施形態によれば、以下の効果を得ることができる。
（２ａ）対象仮想マシンであるＶＭ１２０、ＶＭ１３０が正常なときに、ＨＶ１００は、ＶＭ１２０、ＶＭ１３０のそれぞれに割り当てられたＲＡＭ３０の記憶領域３４、３６のデータを、ＶＭ１６０に割り当てられたＲＡＭ３０の記憶領域４２にコピーする。

また、ＶＭ１２０に割り当てられたＲＯＭ５０の記憶領域５４のデータと、ＶＭ１３０に割り当てられたＲＯＭ５０の記憶領域５６のデータとは、予め、ＶＭ１６０に割り当てられたＲＯＭ５０の記憶領域６２にコピーされている。
これにより、ＶＭ１２０とＶＭ１３０との少なくともいずれかに異常が発生しても、ＲＡＭ３０の記憶領域４２とＲＯＭ５０の記憶領域６２とにコピーされたデータに基づいて、ＶＭ１６０はＶＭ１２０、ＶＭ１３０の処理を代行できる。

この場合、ＶＭ１２０、ＶＭ１３０が異常になる前のＶＭ１２０、ＶＭ１３０が正常だったときのデータを使用できるので、ＶＭ１６０はＶＭ１２０、ＶＭ１３０が実行していた処理を引き継いで適切に代行できる。

（２ｂ）ＶＭ１６０は、ＶＭ１２０、ＶＭ１３０の正常時には待機状態にあり何も処理を実行していない。そして、ＶＭ１２０、ＶＭ１３０が異常になると、ＶＭ１６０は、ＶＭ１２０、ＶＭ１３０の処理を代行する代行処理以外の処理を実行しない。これにより、代行処理以外の処理でＶＭ１６０の処理負荷が増加することを抑制できる。

（２ｃ）ＶＭ１２０とＶＭ１３０との両方が異常になると、図１１示すように、ＶＭ１６０がＶＭ１２０とＶＭ１３０との両方の処理を連続して実行するので、１ｍｓの周期において、ＨＶ１００はＶＭ１６０を１回起動するだけでよい。これにより、ＨＶ１００の処理負荷を低減できる。

［３．第３実施形態］
［３－１．第２実施形態との相違点］
第３実施形態は、基本的な構成は第２実施形態と同様であるため、相違点について以下に説明する。第２実施形態と同じ符号は、同一の構成を示すものであって、先行する説明を参照する。

前述した第２実施形態では、対象仮想マシンである２個のＶＭ１２０、１３０に対し、代行仮想マシンとして１個のＶＭ１６０が設定されていた。
これに対し、第３実施形態では、図１２のマイコン６において、ＶＭ１２０が異常の場合は代行仮想マシンとしてＶＭ１６０が設定され、ＶＭ１３０が異常の場合は代行仮想マシンとしてＶＭ１７０が設定されている点で、第２実施形態と相違する。
［３－２．構成］
図１２に示すマイコン６は、７個のＶＭ１１０～ＶＭ１７０を備えている。ＶＭ１７０は、ＶＭ１６０と同様に代行部１７２を備える。

図１３に示すように、ＶＭ１２０に割り当てられているＲＯＭ５０の記憶領域５４のデータは、予め、ＶＭ１６０に割り当てられているＲＯＭ４０の記憶領域６２にコピーされている。

ＶＭ１３０に割り当てられているＲＯＭ４０の記憶領域５６のデータは、予め、ＶＭ１７０に割り当てられているＲＯＭ４０の記憶領域６４にコピーされている。
ＨＶ１００のコピー部１０６は、ＶＭ１２０が正常であれば、ＶＭ１２０に割り当てられているＲＡＭ３０の記憶領域３４のデータを、ＶＭ１６０に割り当てられているＲＡＭ３０の記憶領域４２にコピーする。

コピー部１０６は、ＶＭ１３０が正常であれば、ＶＭ１３０に割り当てられているＲＡＭ３０の記憶領域３６のデータを、ＶＭ１７０に割り当てられているＲＡＭ３０の記憶領域６４にコピーする。

図１４に示すように、ＶＭ制御部１０２は、ＶＭ１２０が異常であれば、ＶＭ１２０に割り当てられていた実行時間を１００μｓから０μｓに変更し、ＶＭ１２０の実行を停止させる。そして、ＶＭ制御部１０２は、ＶＭ１６０に割り当てられる実行時間を０μｓから１００μｓに変更し、ＶＭ１２０の処理をＶＭ１６０に切り替えて代行させる。

また、ＶＭ制御部１０２は、ＶＭ１３０が異常であれば、ＶＭ１３０に割り当てられていた実行時間を１００μｓから０μｓに変更し、ＶＭ１３０の実行を停止させる。そして、ＶＭ制御部１０２は、ＶＭ１７０に割り当てられる実行時間を０μｓから１００μｓに変更し、ＶＭ１２０の処理をＶＭ１７０に切り替えて代行させる。

尚、ＶＭ１６０の代行部１６２は、ＶＭ１２０の処理を代行するだけであり、ＶＭ１２０の自己診断処理は実行しない。また、ＶＭ１７０の代行部１７２は、ＶＭ１３０の処理を代行するだけであり、ＶＭ１３０の自己診断処理は実行しない。

以上説明した第３実施形態では、マイコン６が電子制御装置に対応し、ＶＭ１２０、ＶＭ１３０が対象仮想マシンに対応し、ＶＭ１６０、ＶＭ１７０が代行仮想マシンに対応する。

［３－３．効果］
以上説明した第３実施形態によれば、第１実施形態の効果（１ａ）～（１ｃ）と同様の効果を得ることができる。さらに、第１実施形態の効果（１ａ）～（１ｃ）において、ＶＭ１２０、１６０をＶＭ１３０、１７０に、記憶領域３４、４２、５４、６２をそれぞれ記憶領域３６、４４、５６、６４のそれぞれに置き換えた効果と同様の効果を得ることができる。

［４．他の実施形態］
以上、本開示の実施形態について説明したが、本開示は前述した実施形態に限定されることなく、種々変形して実施することができる。

（４ａ）前述した第１実施形態と第２実施形態とでは、対象仮想マシンであるＶＭ１２０、あるいはＶＭ１２０とＶＭ１３０とが正常の場合、代行仮想マシンであるＶＭ１６０は何の処理も実行しない。

これに対し、対象仮想マシンであるＶＭ１２０、あるいはＶＭ１２０とＶＭ１３０とが正常の場合、代行仮想マシンであるＶＭ１６０は、何等かの車両制御の通常処理を実行してもよい。

そして、対象仮想マシンであるＶＭ１２０、あるいはＶＭ１２０とＶＭ１３０との少なくともいずれかが異常になると、代行仮想マシンであるＶＭ１６０は、通常処理に加えて異常なＶＭの処理を代行してもよい。

あるいは、代行仮想マシンであるＶＭ１６０は、実行していた車両制御の通常処理を停止して異常なＶＭの処理を代行してもよい。この場合、ＶＭ１６０が実行する通常処理は、停止しても車両走行を阻害しないドアの開閉制御等の処理である。

（４ｂ）前述した第３実施形態では、第１実施形態と同様に、ＶＭ１３０が正常の場合、代行仮想マシンであるＶＭ１７０とは何の処理も実行しない。
これに対し、対象仮想マシンであるＶＭ１３０が正常の場合、代行仮想マシンであるＶＭ１７０は何等かの車両制御等の通常処理を実行してもよい。

そして、対象仮想マシンであるＶＭ１３０が異常になると、代行仮想マシンであるＶＭ１７０は、車両制御処理に加えて異常なＶＭの処理を代行してもよい。
あるいは、代行仮想マシンであるＶＭ１７０は、実行していた車両制御処理を停止してＶＭ１３０の処理を代行してもよい。この場合、ＶＭ１７０が実行する通常処理は、停止しても車両走行を阻害しないオーディオ制御等の処理である。

（４ｃ）前述した実施形態では、対象仮想マシンが異常になると、代行仮想マシンは対象仮想マシンの通常処理は代行するが、自己診断は実行しない。
これに対し、対象仮想マシンが異常になると、代行仮想マシンは対象仮想マシンの通常処理に加え、自己診断を実行してもよい。自己診断の結果、代行仮想マシンが異常の場合、代行仮想マシンを対象仮想マシンとする他の代行仮想マシンが異常な代行仮想マシンの処理を代行する。

異常な代行仮想マシンの処理を他の代行仮想マシンが代行することは、１段階で終了してもよいし、複数の段階まで行ってもよい。この場合、最終段階において、異常な代行仮想マシンの処理を代行する他の代行仮想マシンは、自己診断を実行しない。

（４ｄ）前述した実施形態では、電子制御装置であるマイコン２～６は車両に搭載され、車両制御を実行したが、これに限るものではない。電子制御装置で仮想マシンが実行され、異常な仮想マシンの処理を他の仮想マシンが代行するのであれば、どのような技術分野で電子制御装置が使用されてもよい。

（４ｅ）前述した実施形態では、マイコン２～６のそれぞれを電子制御装置として例示したがこれに限るものではない。例えば、電子制御装置は複数のマイコンを備えてもよい。
（４ｆ）本開示に記載のマイコン２～６およびその手法は、コンピュータプログラムにより具体化された１つまたは複数の機能を実行するようにプログラムされたプロセッサおよびメモリを構成することによって提供された専用コンピュータにより、実現されてもよい。

あるいは、本開示に記載のマイコン２～６およびその手法は、１つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されてもよい。

もしくは、本開示に記載のマイコン２～６およびその手法は、１つまたは複数の機能を実行するようにプログラムされたプロセッサおよびメモリと１つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された１つ以上の専用コンピュータにより、実現されてもよい。

また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されてもよい。マイコン２～６に含まれる各部の機能を実現する手法には、必ずしもソフトウェアが含まれている必要はなく、その全部の機能が、１つまたは複数のハードウェアを用いて実現されてもよい。

（４ｇ）前述した実施形態における１つの構成要素が備える複数の機能を、複数の構成要素によって実現したり、１つの構成要素が備える１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が備える複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、前述した実施形態の構成の一部を省略してもよい。また、前述した実施形態の構成の少なくとも一部を、他の前述した実施形態の構成に対して付加または置換してもよい。

（４ｈ）前述したマイコン２～６の他、当該マイコン２～６を構成要素とするシステム、当該マイコン２～６としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実体的記録媒体、当該マイコン２～６が実行する電子制御方法など、種々の形態で本開示を実現することもできる。

２～６：マイコン（電子制御装置）、１００：ＨＶ（ハイパーバイザ）、１０４：判定部、１０６：コピー部、１１０～１７０：ＶＭ（仮想マシン）、１１２、１２２、１３２：実行部、１２４、１３４：診断部、１６２、１７２：代行部

Claims (8)

1. ハイパーバイザ（１００）と、前記ハイパーバイザにより動作を制御される複数の仮想マシン（１１０～１７０、）と、を備える電子制御装置（２～６）であって、
   前記複数の仮想マシンには、正常か異常かを監視される監視対象となる少なくとも１つの対象仮想マシン（１２０、１３０）と、前記対象仮想マシンが異常の場合に前記対象仮想マシンの処理を代行する少なくとも１つの代行仮想マシン（１６０、１７０）とが設定され、
   １つまたは複数の前記対象仮想マシンの前記処理を１つの前記代行仮想マシンが代行し、
   前記ハイパーバイザは、
   前記対象仮想マシンが正常か異常かを判定するように構成された判定部（１０４、Ｓ４２０）と、
   前記対象仮想マシンが正常であると前記判定部が判定すると、揮発性メモリ（３０）において前記対象仮想マシンに割り当てられた記憶領域（３４、３６）に記憶されているデータを、前記揮発性メモリにおいて前記代行仮想マシンに割り当てられた記憶領域（４２、４４）にコピーするように構成されたコピー部（１０６、Ｓ４２２）と、
   を備え、
   前記代行仮想マシンは、前記対象仮想マシンが異常であると前記判定部が判定すると、前記揮発性メモリにおいて前記代行仮想マシンに割り当てられた前記記憶領域にコピーされた前記データに基づき、前記対象仮想マシンの処理を代行するように構成された代行部（１６２、１７２、Ｓ４３０）を備える、
   電子制御装置。
2. 請求項１に記載の電子制御装置であって、
   不揮発性メモリ（５０）において前記対象仮想マシンに割り当てられた記憶領域（５４、５６）に記憶されているデータは、前記不揮発性メモリにおいて前記代行仮想マシンに割り当てられた記憶領域（６２、６４）にコピーされており、
   前記代行部は、前記対象仮想マシンが異常の場合、前記揮発性メモリと前記不揮発性メモリとにおいて前記代行仮想マシンに割り当てられたそれぞれの前記記憶領域にコピーされた前記データに基づき、前記対象仮想マシンの処理を代行するように構成されている、
   電子制御装置。
3. 請求項１に記載の電子制御装置であって、
   前記代行仮想マシンは、前記対象仮想マシンが正常の場合、待機状態であるように構成されている、
   電子制御装置。
4. 請求項１に記載の電子制御装置であって、
   前記代行部は、前記対象仮想マシンが正常の場合、前記対象仮想マシンの処理を代行する代行処理以外の通常処理を実行し、前記対象仮想マシンが異常の場合、前記通常処理を停止して前記代行処理を実行するように構成されている、
   電子制御装置。
5. 請求項１に記載の電子制御装置であって、
   前記代行部は、前記対象仮想マシンが正常の場合、前記対象仮想マシンの処理を代行する代行処理以外の通常処理を実行し、前記対象仮想マシンが異常の場合、前記通常処理に加えて前記代行処理を実行するように構成されている、
   電子制御装置。
6. 請求項１に記載の電子制御装置であって、
   １つの前記代行仮想マシンの前記代行部は、１つの前記対象仮想マシンの処理を代行するように構成されている、
   電子制御装置。
7. 請求項１に記載の電子制御装置であって、
   １つの前記代行仮想マシンの前記代行部は、複数の前記対象仮想マシンの処理を代行するように構成されている、
   電子制御装置。
8. 請求項１に記載の電子制御装置であって、
   前記対象仮想マシンは、自己診断として前記揮発性メモリと前記不揮発性メモリと処理フローで実行するステップとの少なくともいずれかが正常か異常かを診断するように構成された診断部（１２４、１３４、Ｓ４０２、Ｓ４０４、Ｓ４０８、Ｓ４１０、Ｓ４１４、Ｓ４１６）をさらに備え、
   前記判定部は、前記診断部の診断結果に基づいて、前記対象仮想マシンが正常か異常かを判定するように構成されている、
   電子制御装置。

Images