JP2022032510A - 異常判定装置および異常判定方法 - Google Patents

Abstract

【課題】バックアップメモリのデータ読み出し時に発生した異常の要因を特定すること。【解決手段】実施形態に係る異常判定装置は、バックアップメモリと、判定部とを備える。バックアップメモリは、主処理部に搭載され、かかる主処理部がリセットされてもデータを保持可能であり、書き換え可能である。判定部は、バックアップメモリへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、異常発生番地への再書き込みおよび再一致確認を行う第１確認処理、異常発生番地以外の番地への書き込みおよび読み出しによるＥＣＣ異常発生確認を行う第２確認処理、ならびに、ＥＣＣ異常注入によるＥＣＣ異常発生確認を行う第３確認処理の組み合わせにより、異常の要因を特定する。【選択図】図６

Description

開示の実施形態は、異常判定装置および異常判定方法に関する。

従来、車両に搭載され、エンジンやトランスミッション、カーナビゲーションといった車両の各種システムをそれぞれ電子制御するＥＣＵ（Electronic Control Unit）が知られている。かかるＥＣＵでは、内蔵されたマイコンが制御プログラムを実行することにより、割り当てられた各種機能を実現する。

また、ＥＣＵは、マイコンに搭載され、マイコンがリセットされてもデータを保持可能であり、書き換え可能でもあるバックアップＲＡＭ（Random Access Memory）を介したデータアクセスを行うことによって、たとえば重要なデータを保持し、処理する。

なお、こうしたバックアップＲＡＭを介したデータアクセスの信頼性を確保するために、たとえばＥＣＣ（Error Correcting Code）方式を用いてバックアップＲＡＭのデータ読み出し時に発生する異常を検出する技術が知られている（たとえば、特許文献１参照）。

特開昭６２－１６５２５４号公報

しかしながら、上述した従来技術には、バックアップＲＡＭのデータ読み出し時に発生した異常の要因まで特定するうえで、更なる改善の余地がある。

実施形態の一態様は、上記に鑑みてなされたものであって、バックアップメモリのデータ読み出し時に発生した異常の要因を特定することができる異常判定装置および異常判定方法を提供することを目的とする。

実施形態の一態様に係る異常判定装置は、バックアップメモリと、判定部とを備える。前記バックアップメモリは、主処理部に搭載され、該主処理部がリセットされてもデータを保持可能であり、書き換え可能である。前記判定部は、前記バックアップメモリへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、異常発生番地への再書き込みおよび再一致確認を行う第１確認処理、前記異常発生番地以外の番地への書き込みおよび読み出しによるＥＣＣ異常発生確認を行う第２確認処理、ならびに、ＥＣＣ異常注入による前記ＥＣＣ異常発生確認を行う第３確認処理の組み合わせにより、異常の要因を特定する。

実施形態の一態様によれば、バックアップメモリのデータ読み出し時に発生した異常の要因を特定することができる。

図１は、車載システムの概要説明図である。 図２は、実施形態に係る異常判定方法の概要説明図（その１）である。 図３は、実施形態に係る異常判定方法の概要説明図（その２）である。 図４は、実施形態に係る異常判定方法の概要説明図（その３）である。 図５は、実施形態に係る異常判定方法の概要説明図（その４）である。 図６は、実施形態に係るＥＣＵの構成例を示すブロック図である。 図７は、実施形態に係るＥＣＵのマイコンが実行する処理手順を示すフローチャート（その１）である。 図８は、実施形態に係るＥＣＵのマイコンが実行する処理手順を示すフローチャート（その２）である。 図９は、実施形態に係るＥＣＵのマイコンが実行する処理手順を示すフローチャート（その３）である。 図１０は、第１リカバリ処理の処理手順を示すフローチャートである。 図１１は、第２リカバリ処理の処理手順を示すフローチャートである。 図１２は、リセット処理の処理手順を示すフローチャートである。 図１３は、第１リカバリ処理後の通常処理の処理手順を示すフローチャートである。

以下、添付図面を参照して、本願の開示する異常判定装置および異常判定方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

また、以下では、「ＥＣＣ異常」と言った場合、たとえばシステム内部の電磁気的な干渉によるデータの符号誤りを指すものとする。したがって、「ＥＣＣ異常発生」と言った場合、ＥＣＣ方式により少なくともデータの符号誤りが検出されたものとする。なお、ここで、ＥＣＣ方式による符号誤りの訂正までは含まなくともよいし、含んでもよい。

また、以下では、実施形態に係る異常判定方法の概要について図１～図５を用いて説明した後に、実施形態に係る異常判定方法を適用したＥＣＵ１０（「異常判定装置」の一例に相当）の構成例について、図６～図１３を用いて説明することとする。

まず、本実施形態に係る異常判定方法の概要について図１～図５を用いて説明する。図１は、車載システム１の概要説明図である。また、図２～図５は、実施形態に係る異常判定方法の概要説明図（その１）～（その４）である。なお、図２は、比較例に係る異常判定方法の概要を示すものとなっている。

図１に示すように、車両Ｖは、車載システム１を備える。車載システム１は、複数のＥＣＵ１０－１～１０－ｎを備える。ＥＣＵ１０－１～１０－ｎは、ＣＡＮ（Controller Area Network）等のネットワークＮにより相互通信可能に接続され、それぞれ制御プログラムを実行することによって制御対象２０－１～２０－ｎを電子制御する。制御対象２０－１～２０－ｎは、たとえばエンジンやトランスミッション、カーナビゲーションといった各種システムである。

ここで、各ＥＣＵ１０が実行する制御プログラムは、ＥＣＵ１０が内蔵するマイコンが有するバックアップＲＡＭを介したデータアクセス、すなわちデータの書き込みおよび読み出しを行う。これにより、たとえばマイコンがリセットされても、制御プログラムは、バックアップＲＡＭに保持されたデータを用いて処理を行うことができる。

なお、こうしたバックアップＲＡＭを介したデータアクセスの信頼性を確保するために、たとえば比較例に係る異常判定方法では、「二面確認」と「ＥＣＣ異常発生確認」とを行う。

具体的には、図２に示すように、「二面確認」では、バックアップＲＡＭにデータを書き込む際に２つの領域Ａ，Ｂに対し同じデータを書き込み、読み出す際に領域Ａ，Ｂからそれぞれ読み出して一致するか否かを判定する。言い換えれば、「二面確認」では、バックアップＲＡＭの領域Ａ，Ｂへ二面書きされたデータが読み出されて一致確認される。また、「ＥＣＣ異常発生確認」では、バックアップＲＡＭに接続されたＥＣＣモジュールが、ＥＣＣ異常が発生したか否かを判定する。

そして、「二面確認」および「ＥＣＣ異常発生確認」のうちの少なくともいずれかでＮＧ（すなわち、「二面確認」の場合は不一致、「ＥＣＣ異常発生確認」の場合は異常あり）となった場合には、「ＲＡＭ故障」と判定される。

しかしながら、図３に示すように、「二面確認」における一致／不一致、および、「ＥＣＣ異常発生確認」における異常あり／異常なしの各事象の組み合わせからは、「正常」以外の異常につき、＃１～＃７の要因を想定することが可能である。また、ひいては、これら＃１～＃７の要因に応じた、リカバリ可否判定およびリカバリが可能である。

これに対し、図２に示した比較例に係る異常判定方法では、一律に「ＲＡＭ故障」と取り扱われてしまうため、たとえばリカバリが可能なケースであってもリカバリを行うことができない。

そこで、実施形態に係る異常判定方法では、バックアップＲＡＭへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、第１確認処理、第２確認処理および第３確認処理の組み合わせにより、異常の要因を特定することとした。

具体的には、図４に示すように、実施形態に係る異常判定方法では、バックアップＲＡＭのデータ読み出し時に異常が発生した場合に（図中の「少なくともいずれかでＮＧ」参照）、第１確認処理として、領域Ａ，Ｂへの再書き込みおよび再一致確認を行う（ステップＳ１）。

また、第２確認処理として、領域Ａ，Ｂ以外の領域Ｃへの書き込みおよび読み出しによるＥＣＣ異常発生確認を行う（ステップＳ２）。また、第３確認処理として、ＥＣＣ異常注入によるＥＣＣ異常発生確認を行う（ステップＳ３）。なお、ＥＣＣ異常注入は、ＥＣＵ１０のマイコンが有する、意図的にＥＣＣ異常を発生させることができる機能である。

そして、実施形態に係る異常判定方法では、これら第１確認処理、第２確認処理および第３確認処理の処理結果の組み合わせに基づいて、図３に示した異常の要因＃１～＃７を特定する。

また、実施形態に係る異常判定方法では、特定した要因＃１～＃７に応じて、リカバリ可否を判定する。リカバリ可否は、救済可否あるいは継続動作可否とも言うことができる。リカバリ可否は、たとえば車両Ｖの機能安全に関し、ＩＳＯ ２６２６２規格で定義されたリスク分類システムであるＡＳＩＬ（Automotive Safety Integrity Level）に基づいて判定される。

たとえばＡＳＩＬでは、ＩＳＯ ２６２６２に準拠する車載コンポーネントの危害発生の可能性と許容可能性に基づいて安全性要件を定めている。

これに基づき、実施形態に係る異常判定方法では、図５に示すように、異常の要因＃１～＃７のうち、ＥＣＣモジュール故障以外の要因である＃１，＃３～＃５については、リカバリ可と判定する。また、ＥＣＣモジュール故障が要因である＃２，＃６，＃７については、リカバリ不可と判定する。

また、実施形態に係る異常判定方法では、リカバリ可と判定した＃１，＃３～＃５のうち、＃１，＃４については、第１リカバリ処理を実行する。また、それ以外の＃３，＃５については、第２リカバリ処理を実行する。

なお、図４に示した第１確認処理、第２確認処理および第３確認処理の組み合わせの詳細については、図７～図９を用いた説明で後述する。また、図５に示した第１リカバリ処理および第２リカバリ処理については、図１０～図１２を用いた説明で後述する。

このように、実施形態に係る異常判定方法は、バックアップＲＡＭへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、第１確認処理、第２確認処理および第３確認処理の組み合わせにより、異常の要因を特定する。

第１確認処理では、領域Ａ，Ｂへの再書き込みおよび再一致確認を行う。第２確認処理では、領域Ａ，Ｂ以外の領域Ｃへの書き込みおよび読み出しによるＥＣＣ異常発生確認を行う。第３確認処理では、ＥＣＣ異常注入によるＥＣＣ異常発生確認を行う。

したがって、実施形態に係る異常判定方法によれば、バックアップＲＡＭのデータ読み出し時に発生した異常の要因を特定することができる。

以下、上述した実施形態に係る異常判定方法を適用したＥＣＵ１０の構成例について、さらに具体的に説明する。

図６は、実施形態に係るＥＣＵ１０の構成例を示すブロック図である。なお、図６では、本実施形態の特徴を説明するために必要な構成要素のみを機能ブロックで表しており、一般的な構成要素についての記載を省略している。

換言すれば、図６に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。例えば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

また、図６を用いた説明では、既に説明済みの構成要素については、説明を簡略するか、省略する場合がある。

図６に示すように、ＥＣＵ１０は、マイコン１１と、電源ＩＣ１２，１３とを備える。まず、電源ＩＣ１２，１３から説明する。

電源ＩＣ１２は、車両Ｖのバッテリ２に対し、たとえば図示略のイグニッションスイッチを介して接続され、マイコン１１へバッテリ電源を供給する。また、電源ＩＣ１２は、マイコン１１からのリセット要求に応じてマイコン１１をリセットさせる。

電源ＩＣ１３は、車両Ｖのバッテリ２に接続され、後述するバックアップＲＡＭ１１１ｃに対しバッテリ電源を供給する。

マイコン１１は、記憶部１１１と、ＥＣＣモジュール１１２と、制御部１１３とを備える。記憶部１１１は、たとえば、ＲＡＭ、ＲＯＭ（Read Only Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子等によって実現される。記憶部１１１は、レジスタおよびキャッシュを含む。

また、図６の例では、記憶部１１１は、制御プログラム１１１ａと、使用中ＲＡＭ情報１１１ｂとを記憶する。制御プログラム１１１ａは、ＥＣＵ１０に割り当てられた電子制御機能を実現するためにマイコン１１において実行されるプログラムである。使用中ＲＡＭ情報１１１ｂは、バックアップＲＡＭ１１１ｃにおいて使用中の領域を示す情報である。なお、本実施形態では、使用中の領域の既定値は領域Ａ，Ｂであるものとする。

また、記憶部１１１は、バックアップＲＡＭ１１１ｃを含む。バックアップＲＡＭ１１１ｃは、バッテリ２から供給される電力により、バッテリ２が保たれている間、内部に格納されているデータを保持することができるＲＡＭである。言い換えれば、バックアップＲＡＭ１１１ｃは、装置電源が保たれていれば情報を保持可能なメモリである。バックアップＲＡＭ１１１ｃは、たとえばフリップフロップで構成されたＳＲＡＭ（Static Random Access Memory）によって実現される。

ＥＣＣモジュール１１２は、記憶部１１１に接続され、後述するプログラム実行部１１３ａがバックアップＲＡＭ１１１ｃを介したデータアクセスを行う際に、上述した「ＥＣＣ異常発生確認」処理を実行する。また、ＥＣＣモジュール１１２は、「ＥＣＣ異常発生確認」処理の処理結果を後述する判定部１１３ｂへ出力する。

制御部１１３は、コントローラ（controller）であり、たとえば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、マイコン１１内部の記憶デバイスに記憶されている各種プログラム（たとえば制御プログラム１１１ａ）がＲＡＭを作業領域として実行されることにより実現される。また、制御部１１３は、たとえば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現することができる。

制御部１１３は、プログラム実行部１１３ａと、判定部１１３ｂと、リカバリ処理部１１３ｃとを有し、以下に説明する情報処理の機能や作用を実現または実行する。

プログラム実行部１１３ａは、制御プログラム１１１ａを読み出して実行することにより、ＥＣＵ１０に割り当てられた電子制御機能を実現する。また、プログラム実行部１１３ａは、たとえば処理上の重要なデータにつき、バックアップＲＡＭ１１１ｃを介したデータアクセスを行いつつ、処理を実行する。

判定部１１３ｂは、プログラム実行部１１３ａがバックアップＲＡＭ１１１ｃを介したデータアクセスを行う際に、上述した「二面確認」処理を実行するとともに、ＥＣＣモジュール１１２からの「ＥＣＣ異常発生確認」処理の処理結果を取得する。

また、判定部１１３ｂは、「二面確認」処理の処理結果および「ＥＣＣ異常発生確認」処理の処理結果に基づき、バックアップＲＡＭ１１１ｃのデータ読み出し時に異常が発生したか否かを判定する。

また、判定部１１３ｂは、バックアップＲＡＭ１１１ｃのデータ読み出し時に異常が発生した場合に、上述した第１確認処理、第２確認処理および第３確認処理を実行する。

図６に示すように、判定部１１３ｂは、第１確認処理部１１３ｂａと、第２確認処理部１１３ｂｂと、第３確認処理部１１３ｂｃとを有する。第１確認処理部１１３ｂａは、第１確認処理を実行する。第２確認処理部１１３ｂｂは、第２確認処理を実行する。第３確認処理部１１３ｂｃは、第３確認処理を実行する。

また、判定部１１３ｂは、第１確認処理、第２確認処理および第３確認処理の組み合わせに基づき、バックアップＲＡＭ１１１ｃのデータ読み出し時に異常が発生した場合の異常の要因＃１～＃７（図３参照）を特定する。また、判定部１１３ｂは、特定された要因をリカバリ処理部１１３ｃへ出力する。

リカバリ処理部１１３ｃは、判定部１１３ｂによって特定された要因＃１～＃７に基づき、所定のリカバリ処理を実行する。リカバリ処理部１１３ｃは、特定された要因が＃１，＃４である場合に、リカバリ可であると判定し、第１リカバリ処理を実行する。また、リカバリ処理部１１３ｃは、特定された要因が＃３，＃５である場合に、リカバリ可であると判定し、第２リカバリ処理を実行する。

図６に示すように、リカバリ処理部１１３ｃは、第１リカバリ処理部１１３ｃａと、第２リカバリ処理部１１３ｃｂとを有する。

第１リカバリ処理部１１３ｃａは、第１リカバリ処理を実行する。第１リカバリ処理では、マイコン１１を誤動作防止のために一旦リセットし、バックアップＲＡＭ１１１ｃへのデータアクセスに際して使用する領域を領域Ａ，Ｂ以外の別領域（たとえば領域Ｙ，Ｚ）に切り替えて、マイコン１１を通常の処理へ移行させる。

第２リカバリ処理部１１３ｃｂは、第２リカバリ処理を実行する。第２リカバリ処理では、第１リカバリ処理と同様にマイコン１１を一旦リセットし、バックアップＲＡＭ１１１ｃへのデータアクセスに際して使用する領域は領域Ａ，Ｂに保持したまま、マイコン１１を通常の処理へ移行させる。

なお、リカバリ処理部１１３ｃは、マイコン１１のリセットに際しては、電源ＩＣ１２へリセット要求を出力する。

また、リカバリ処理部１１３ｃは、特定された要因が＃２，＃６，＃７である場合に、リカバリ不可であると判定し、マイコン１１を継続動作不可確定時のシーケンスへ移行させる。なお、継続動作不可確定時のシーケンスは、一例として、たとえばＥＣＵ１０が自動運転制御を実行するＥＣＵである場合、自動運転制御の継続が不可であるとして、車両Ｖを安全に路肩等へ緊急停止させるようなシーケンスを指す。

次に、実施形態に係るＥＣＵ１０のマイコン１１が実行する処理手順について、図７～図１３を用いて説明する。図７～図９は、実施形態に係るＥＣＵ１０のマイコン１１が実行する処理手順を示すフローチャート（その１）～（その３）である。

また、図１０は、第１リカバリ処理の処理手順を示すフローチャートである。また、図１１は、第２リカバリ処理の処理手順を示すフローチャートである。また、図１２は、リセット処理の処理手順を示すフローチャートである。また、図１３は、第１リカバリ処理後の通常処理の処理手順を示すフローチャートである。

図７に示すように、プログラム実行部１１３ａは、使用中ＲＡＭ情報１１１ｂに基づき、領域Ａ，Ｂを使用中であるか否かを判定する（ステップＳ１０１）。ここで、領域Ａ，Ｂを使用中である場合（ステップＳ１０１，Ｙｅｓ）、プログラム実行部１１３ａは、領域Ａ，Ｂの読み出しを行う（ステップＳ１０２）。

そして、判定部１１３ｂが、かかる読み出しに際しての「ＥＣＣ異常発生確認」においてＥＣＣ異常が発生したか否かを判定する（ステップＳ１０３）。

ここで、ＥＣＣ異常が発生しなかった場合については（ステップＳ１０３，Ｎｏ）、図９を用いた説明で後述する。一方、ＥＣＣ異常が発生した場合（ステップＳ１０３，Ｙｅｓ）、つづいて判定部１１３ｂは、ステップＳ１０２の読み出しに際しての「二面確認」において領域Ａ，Ｂのデータが一致したか否かを判定する（ステップＳ１０４）。

ここで、領域Ａ，Ｂのデータが一致しなかった場合については（ステップＳ１０４，Ｎｏ）、図８を用いた説明で後述する。一方、領域Ａ，Ｂのデータが一致した場合（ステップＳ１０４，Ｙｅｓ）、判定部１１３ｂは、領域Ｃへ任意のデータを書き込んで読み出す（ステップＳ１０５）。

そして、判定部１１３ｂは、かかる読み出しに際しての「ＥＣＣ異常発生確認」においてＥＣＣ異常が発生したか否かを判定する（ステップＳ１０６）。なお、ステップＳ１０５，Ｓ１０６は、上述した「第２確認処理」に相当する。

そして、ここでＥＣＣ異常が発生しなかった場合（ステップＳ１０６，Ｎｏ）、判定部１１３ｂは、異常の要因を＃１と特定する（ステップＳ１０７）。そして、これに基づき、リカバリ処理部１１３ｃはリカバリ可と判定し（ステップＳ１０８）、第１リカバリ処理を実行する（ステップＳ１０９）。

一方、ＥＣＣ異常が発生した場合（ステップＳ１０６，Ｙｅｓ）、判定部１１３ｂは、異常の要因を＃２と特定する（ステップＳ１１０）。そして、これに基づき、リカバリ処理部１１３ｃはリカバリ不可と判定し（ステップＳ１１１）、マイコン１１を継続動作不可確定時のシーケンスへ移行させる。

なお、ステップＳ１０１で、領域Ａ，Ｂを使用中でない場合（ステップＳ１０１，Ｎｏ）、プログラム実行部１１３ａは、第１リカバリ処理後の通常処理を実行する（ステップＳ１１２）。かかる処理については、図１３を用いた説明で後述する。

また、ステップＳ１０４で領域Ａ，Ｂのデータが一致しなかった場合であるが（ステップＳ１０４，Ｎｏ）、かかる場合は、図８に示すように、判定部１１３ｂが、領域Ａ，Ｂへ任意のデータを書き込んで読み出す（ステップＳ２０１）。

そして、判定部１１３ｂは、かかる読み出しに際しての「二面確認」において領域Ａ，Ｂのデータが一致したか否かを判定する（ステップＳ２０２）。なお、ステップＳ２０１，Ｓ２０２は、上述した「第１確認処理」に相当する。

そして、ここで領域Ａ，Ｂのデータが一致した場合（ステップＳ２０２，Ｙｅｓ）、判定部１１３ｂは、異常の要因を＃３と特定する（ステップＳ２０３）。そして、これに基づき、リカバリ処理部１１３ｃはリカバリ可と判定し（ステップＳ２０４）、第２リカバリ処理を実行する（ステップＳ２０５）。

一方、領域Ａ，Ｂのデータが一致しなかった場合（ステップＳ２０２，Ｎｏ）、判定部１１３ｂは、異常の要因を＃４と特定する（ステップＳ２０６）。そして、これに基づき、リカバリ処理部１１３ｃはリカバリ可と判定し（ステップＳ２０７）、第１リカバリ処理を実行する（ステップＳ２０８）。

つづいて、図７のステップＳ１０３でＥＣＣ異常が発生しなかった場合であるが（ステップＳ１０３，Ｎｏ）、かかる場合は、図９に示すように、判定部１１３ｂが、図７のステップＳ１０２の読み出しに際しての「二面確認」において領域Ａ，Ｂのデータが一致したか否かを判定する（ステップＳ３０１）。

ここで、領域Ａ，Ｂのデータが一致しなかった場合（ステップＳ３０１，Ｎｏ）、判定部１１３ｂは、領域Ａ，ＢへＥＣＣ異常注入を行う（ステップＳ３０２）。そして、判定部１１３ｂは、領域Ａ，Ｂの読み出しを行う（ステップＳ３０３）。

そして、判定部１１３ｂは、かかる読み出しに際しての「ＥＣＣ異常発生確認」においてＥＣＣ異常が発生したか否かを判定する（ステップＳ３０４）。なお、ステップＳ３０２～Ｓ３０４は、上述した「第３確認処理」に相当する。

ここで、ＥＣＣ異常が発生した場合（ステップＳ３０４，Ｙｅｓ）、判定部１１３ｂは、異常の要因を＃５と特定する（ステップＳ３０５）。そして、これに基づき、リカバリ処理部１１３ｃはリカバリ可と判定し（ステップＳ３０６）、第２リカバリ処理を実行する（ステップＳ３０７）。

一方、ＥＣＣ異常が発生しなかった場合（ステップＳ３０４，Ｎｏ）、判定部１１３ｂは、領域Ａ，Ｂへ任意のデータを書き込んで読み出す（ステップＳ３０８）。

そして、判定部１１３ｂは、かかる読み出しに際しての「二面確認」において領域Ａ，Ｂのデータが一致したか否かを判定する（ステップＳ３０９）。なお、ステップＳ３０８，Ｓ３０９は、上述した「第１確認処理」に相当する。

そして、ここで領域Ａ，Ｂのデータが一致した場合（ステップＳ３０９，Ｙｅｓ）、判定部１１３ｂは、異常の要因を＃６と特定する（ステップＳ３１０）。一方、領域Ａ，Ｂのデータが一致しなかった場合（ステップＳ３０９，Ｎｏ）、判定部１１３ｂは、異常の要因を＃７と特定する（ステップＳ３１１）。

そして、これらに基づき、リカバリ処理部１１３ｃは、要因＃６，＃７のいずれの場合もリカバリ不可と判定し（ステップＳ３１２）、マイコン１１を継続動作不可確定時のシーケンスへ移行させる。

また、ステップＳ３０１で領域Ａ，Ｂのデータが一致した場合（ステップＳ３０１，Ｙｅｓ）、判定部１１３ｂは、正常と判定し（ステップＳ３１３）、バックアップＲＡＭ１１１ｃの読み出し１回分の処理を終了する。

次に、特定された異常の要因が＃１，＃４である場合に実行される第１リカバリ処理、および、要因が＃３，＃５である場合に実行される第２リカバリ処理の処理手順について説明する。

図１０に示すように、第１リカバリ処理では、リカバリ処理部１１３ｃが、使用中ＲＡＭ情報１１１ｂの使用中ＲＡＭを領域Ａ，Ｂからたとえば領域Ｙ，Ｚへ切り替える（ステップＳ４０１）。そして、リカバリ処理部１１３ｃは、リセット処理を実行する（ステップＳ４０２）。

また、図１１に示すように、第２リカバリ処理では、リカバリ処理部１１３ｃが、リセット処理を実行する（ステップＳ５０１）。ここで、図１０および図１１に示したリセット処理について説明する。

図１２に示すように、リセット処理では、リカバリ処理部１１３ｃが電源ＩＣ１２へリセット要求を出力し、かかるリセット要求に基づいて電源ＩＣ１２がマイコン１１をリセットさせる（ステップＳ６０１）。

リセットされたマイコン１１は、起動時の各種初期設定を行う（ステップＳ６０２）。そして、マイコン１１は、領域Ｙ，Ｚを使用中であるか否かを判定する（ステップＳ６０３）。領域Ｙ，Ｚを使用中であるか否かを判定することは、第１リカバリ処理の実行後であるか否かを判定することである。

ここで、領域Ｙ，Ｚを使用中である場合（ステップＳ６０３，Ｙｅｓ）、ステップＳ６０５へ移行する。また、領域Ｙ，Ｚを使用中でない場合（ステップＳ６０３，Ｎｏ）、使用中ＲＡＭ情報１１１ｂへ既定値である領域Ａ，Ｂを設定する（ステップＳ６０４）。

そして、マイコン１１は、バックアップＲＡＭ１１１ｃへ初期値を書き込み（ステップＳ６０５）、通常処理、すなわち図７に示したステップＳ１０１へ移行する。

次に、図７のステップＳ１１２として示した第１リカバリ処理後の通常処理の処理手順について説明する。図１３に示すように、第１リカバリ処理後の通常処理では、プログラム実行部１１３ａは、領域Ｙ，Ｚの読み出しを行う（ステップＳ７０１）。

そして、判定部１１３ｂが、かかる読み出しに際しての「ＥＣＣ異常発生確認」においてＥＣＣ異常が発生したか否かを判定する（ステップＳ７０２）。

ここで、ＥＣＣ異常が発生しなかった場合（ステップＳ７０２，Ｎｏ）、つづいて判定部１１３ｂは、ステップＳ７０１の読み出しに際しての「二面確認」において領域Ｙ，Ｚのデータが一致したか否かを判定する（ステップＳ７０３）。

ここで、領域Ｙ，Ｚのデータが一致した場合（ステップＳ７０３，Ｙｅｓ）、判定部１１３ｂは、正常と判定し（ステップＳ７０４）、第１リカバリ処理後の通常処理におけるバックアップＲＡＭ１１１ｃの読み出し１回分の処理を終了する。

また、ステップＳ７０２でＥＣＣ異常が発生した場合（ステップＳ７０２，Ｙｅｓ）、または、ステップＳ７０３で領域Ｙ，Ｚのデータが一致しなかった場合（ステップＳ７０３，Ｎｏ）、第１リカバリ処理後の異常であるため、リカバリ処理部１１３ｃはリカバリ不可と判定する（ステップＳ７０５）。そして、リカバリ処理部１１３ｃは、マイコン１１を継続動作不可確定時のシーケンスへ移行させる。

上述してきたように、実施形態に係るＥＣＵ１０（「異常判定装置」の一例に相当）は、バックアップＲＡＭ１１１ｃ（「バックアップメモリ」の一例に相当）と、判定部１１３ｂとを備える。バックアップＲＡＭ１１１ｃは、マイコン１１（「主処理部」の一例に相当）に搭載され、マイコン１１がリセットされてもデータを保持可能であり、書き換え可能である。判定部１１３ｂは、バックアップＲＡＭ１１１ｃへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、領域Ａ，Ｂ（「異常発生番地」の一例に相当）への再書き込みおよび再一致確認を行う第１確認処理、領域Ａ，Ｂ以外の領域Ｃ（「異常発生番地以外の番地」の一例に相当）への書き込みおよび読み出しによるＥＣＣ異常発生確認を行う第２確認処理、ならびに、ＥＣＣ異常注入によるＥＣＣ異常発生確認を行う第３確認処理の組み合わせにより、異常の要因を特定する。

したがって、実施形態に係るＥＣＵ１０によれば、バックアップＲＡＭ１１１ｃのデータ読み出し時に発生した異常の要因を特定することができる。

また、実施形態に係るＥＣＵ１０は、リカバリ処理部１１３ｃをさらに備える。リカバリ処理部１１３ｃは、判定部１１３ｂによって異常の要因がＥＣＣ異常発生確認を行うＥＣＣモジュール１１２の故障以外の要因であると特定された場合に、所定のリカバリ処理を実行する。

したがって、実施形態に係るＥＣＵ１０によれば、バックアップＲＡＭ１１１ｃのデータ読み出し時に異常が発生した場合であっても、リカバリ可である場合には、ＥＣＵ１０を継続動作させることが可能となる。また、これにより、ディーラー等での修理対応工数を削減させることが可能となる。

また、リカバリ処理部１１３ｃは、判定部１１３ｂによって異常の要因が領域Ａ，ＢにおけるＲＡＭ故障（「異常発生番地におけるメモリ故障」の一例に相当）であると特定された場合に、マイコン１１をリセットし、マイコン１１に領域Ｙ，Ｚ（「異常発生番地以外の番地」の一例に相当）を使用して通常処理を行わせる第１リカバリ処理を実行する。

したがって、実施形態に係るＥＣＵ１０によれば、領域Ａ，ＢにおけるＲＡＭ故障に応じたリカバリ処理により、継続動作することが可能となる。

また、リカバリ処理部１１３ｃは、判定部１１３ｂによって異常の要因がＲＡＭ故障以外の要因であると特定された場合に、マイコン１１をリセットし、マイコン１１に領域Ａ，Ｂを継続的に使用して通常処理を行わせる第２リカバリ処理を実行する。

したがって、実施形態に係るＥＣＵ１０によれば、領域Ａ，ＢにおけるＲＡＭ故障以外の要因、たとえばマイコン１１の電源瞬断によるデータ消失や、ＣＰＵ誤動作による別データの書き込み等の要因に応じたリカバリ処理により、継続動作することが可能となる。

また、リカバリ処理部１１３ｃは、判定部１１３ｂによって異常の要因がＥＣＣモジュール１１２の故障であると特定された場合に、リカバリ不可であると判定し、マイコン１１を継続動作不可確定時のシーケンスへ移行させる。

したがって、実施形態に係るＥＣＵ１０によれば、ＥＣＣモジュール１１２の故障に応じた処置をとることが可能となり、機能安全を保つことが可能となる。

また、実施形態に係るＥＣＵ１０は、車両Ｖに搭載される。

したがって、実施形態に係るＥＣＵ１０によれば、たとえばＡＳＩＬに則した機能安全を保つことが可能となる。

なお、上述した実施形態では、ＫＡＭ（Keep Alive Memory）とも呼ばれるバックアップＲＡＭ１１１ｃを例に挙げたが、書き換えが可能であり、マイコン１１がリセットされても情報を保持可能なバックアップメモリであればよい。したがって、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）や、データフラッシュ等であってもよい。

また、上述した実施形態では、ＥＣＵ１０は車両Ｖに設けられることとしたが、無論、車両Ｖに限られるものではなく、たとえば船舶や航空機等に設けられてもよい。また、マイコン１１は、ＥＣＵ１０に内蔵されることとしたが、無論、ＥＣＵ１０以外の電子制御装置に設けられてもよい。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１ 車載システム
１０ ＥＣＵ
１１ マイコン
１２ 電源ＩＣ
１３ 電源ＩＣ
１１１ 記憶部
１１１ａ 制御プログラム
１１１ｂ 使用中ＲＡＭ情報
１１１ｃ バックアップＲＡＭ
１１２ ＥＣＣモジュール
１１３ 制御部
１１３ａ プログラム実行部
１１３ｂ 判定部
１１３ｂａ 第１確認処理部
１１３ｂｂ 第２確認処理部
１１３ｂｃ 第３確認処理部
１１３ｃ リカバリ処理部
１１３ｃａ 第１リカバリ処理部
１１３ｃｂ 第２リカバリ処理部
Ｖ 車両

Claims (7)

1. 主処理部に搭載され、該主処理部がリセットされてもデータを保持可能であり、書き換え可能なバックアップメモリと、
   前記バックアップメモリへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、異常発生番地への再書き込みおよび再一致確認を行う第１確認処理、前記異常発生番地以外の番地への書き込みおよび読み出しによるＥＣＣ異常発生確認を行う第２確認処理、ならびに、ＥＣＣ異常注入による前記ＥＣＣ異常発生確認を行う第３確認処理の組み合わせにより、異常の要因を特定する判定部と
   を備えることを特徴とする異常判定装置。
2. 前記判定部によって異常の要因が前記ＥＣＣ異常発生確認を行うＥＣＣモジュールの故障以外の要因であると特定された場合に、所定のリカバリ処理を実行するリカバリ処理部
   をさらに備えることを特徴とする請求項１に記載の異常判定装置。
3. 前記リカバリ処理部は、
   前記判定部によって異常の要因が前記異常発生番地におけるメモリ故障であると特定された場合に、前記主処理部をリセットし、前記主処理部に前記異常発生番地以外の番地を使用して通常処理を行わせる第１リカバリ処理を実行する
   ことを特徴とする請求項２に記載の異常判定装置。
4. 前記リカバリ処理部は、
   前記判定部によって異常の要因が前記メモリ故障以外の要因であると特定された場合に、前記主処理部をリセットし、前記主処理部に前記異常発生番地を継続的に使用して前記通常処理を行わせる第２リカバリ処理を実行する
   ことを特徴とする請求項３に記載の異常判定装置。
5. 前記リカバリ処理部は、
   前記判定部によって異常の要因が前記ＥＣＣモジュールの故障であると特定された場合に、リカバリ不可であると判定し、前記主処理部を継続動作不可確定時のシーケンスへ移行させる
   ことを特徴とする請求項２、３または４に記載の異常判定装置。
6. 車両に搭載されることを特徴とする請求項１～５のいずれか一つに記載の異常判定装置。
7. 主処理部に搭載され、該主処理部がリセットされてもデータを保持可能であり、書き換え可能なバックアップメモリを備える異常判定装置を用いた異常判定方法であって、
   前記バックアップメモリへ二面書きされて一致確認されるデータの読み出し時に異常が発生した場合に、異常発生番地への再書き込みおよび再一致確認を行う第１確認処理、前記異常発生番地以外の番地への書き込みおよび読み出しによるＥＣＣ異常発生確認を行う第２確認処理、ならびに、ＥＣＣ異常注入による前記ＥＣＣ異常発生確認を行う第３確認処理の組み合わせにより、異常の要因を特定する判定工程
   を含むことを特徴とする異常判定方法。

Images