(57)【要約】アセンブリ（１０１）は、第１プロセッサ（１０３）及び第２プロセッサ（１０５）を備える。第１プロセッサは、第１コア（１０７）、第２コア（１０９）、及び制御インスタンス（１１３）を備える。第２プロセッサは第１コア（１１５）を備える。第１プロセッサの第１コア及び第２コア、並びに第２プロセッサの第１コアは、第１プロシージャを実行するよう構成されている。第１プロセッサの制御インスタンス（１１３）は、以下のステップを実行するよう構成されている。つまり、第１プロセッサの第１コア上での第１プロシージャの実行の結果を、第１プロセッサの第２コア上での第１プロシージャの実行の結果と比較するステップと、第１プロシージャの実行のこれらの結果が、第１プロセッサの第１コア及び第２コア上で相互に異なる場合、第１プロセッサの第１コア上での第１プロシージャの実行の結果及び第１プロセッサの第２コア上での第１プロシージャの実行の結果を、それぞれ、第２プロセッサの第１コア上での第１プロシージャの実行の結果と比較するステップと、である。【選択図】図１
2020506472.tif 000002
【特許請求の範囲】
【請求項１】
第１プロセッサ（１０３）及び第２プロセッサ（１０５）を備えるアセンブリ（１０１）であって、
第１プロセッサ（１０３）は、第１コア（１０７）、第２コア（１０９）、及び制御インスタンス（１１３）を備え、
第２プロセッサ（１０５）は第１コア（１１５）を備え、
第１プロセッサ（１０３）の第１コア（１０７）及び第２コア（１０９）、並びに第２プロセッサ（１０５）の第１コア（１１５）は、第１プロシージャを実行するよう構成され、
第１プロセッサ（１０３）の制御インスタンス（１１３）は、
第１プロセッサ（１０３）の第１コア（１０７）上での第１プロシージャの実行の結果を、第１プロセッサ（１０３）の第２コア（１０９）上での第１プロシージャの実行の結果と比較するステップと、
第１プロシージャの実行の前記結果が、第１プロセッサ（１０３）の第１コア（１０７）及び第２コア（１０９）上で相互に異なる場合、第１プロセッサ（１０３）の第１コア（１０７）上での第１プロシージャの実行の結果及び第１プロセッサ（１０３）の第２コア（１０９）上での第１プロシージャの実行の結果を、それぞれ、第２プロセッサ（１０５）の第１コア（１１５）上での第１プロシージャの実行の結果と比較するステップと、を実行するよう構成されていることを特徴とするアセンブリ（１０１）。
【請求項２】
請求項１に記載のアセンブリであって、第１プロシージャの実行の結果が、第１プロセッサ（１０３）の第１コア（１０７）及び第２コア（１０９）上で相互に異なり、第１プロセッサ（１０３）の第２コア（１０９）上での第１プロシージャの実行の結果及び第２プロセッサ（１０５）の第１コア（１１５）上での第１プロシージャの実行の結果が一致する場合、第１プロセッサ（１０３）の第１コア（１０７）を不活性化させ、第１プロシージャの実行の結果が、第１プロセッサ（１０３）の第１コア（１０７）及び第２コア（１０９）上で相互に異なり、第１プロセッサ（１０３）の第１コア（１０７）上での第１プロシージャの実行の結果及び第２プロセッサ（１０５）の第１コア（１１５）上での第１プロシージャの実行の結果が一致する場合、第１プロセッサ（１０３）の第２コア（１０９）を不活性化させることを特徴とするアセンブリ。
【請求項３】
請求項１又は２に記載のアセンブリであって、第１センサ及び第２センサを備え、
第１センサの少なくとも１つの信号は、第１プロセッサ（１０３）の第１コア（１０７）及び第２プロセッサ（１０５）の第１コア（１１５）に導かれ、
第２センサの少なくとも１つの信号は、第１プロセッサ（１０３）の第２コア（１０９）及び第２プロセッサ（１０５）の第１コア（１１５）に導かれることを特徴とするアセンブリ。
【請求項４】
請求項３に記載のアセンブリであって、第１センサ及び第２センサは、同一の物理量を測定するよう構成されていることを特徴とするアセンブリ。
【請求項５】
請求項１〜４の何れか一項に記載のアセンブリであって、
第１プロセッサ（１０３）は第３コア（１１１）を備え、
第２プロセッサ（１０５）は第２コア（１１７）、第３コア（１１９）、及び制御インスタンス（１２１）を備え、
第２プロセッサ（１０５）の第２コア（１１７）及び第３コア（１１９）、並びに第１プロセッサ（１０３）の第３コア（１１１）は、第２プロシージャを実行するよう構成され、
第１プロセッサ（１０５）の制御インスタンス（１２１）は、
第２プロセッサ（１０５）の第２コア（１１７）上での第２プロシージャの実行の結果を、第２プロセッサ（１０５）の第３コア（１１９）上での第２プロシージャの実行の結果と比較するステップと、
第２プロシージャの実行の前記結果が、第２プロセッサ（１０５）の第２コア（１１７）及び第３コア（１１９）上で相互に異なる場合、第２プロセッサ（１０５）の第２コア（１１７）上での第２プロシージャの実行の結果及び第２プロセッサ（１０５）の第３コア（１１９）上での第２プロシージャの実行の結果を、それぞれ、第１プロセッサ（１０３）の第３コア（１１１）上での第２プロシージャの実行の結果と比較するステップと、を実行するよう構成されていることを特徴とするアセンブリ。
【請求項６】
請求項５に記載のアセンブリであって、第２プロシージャの実行の結果が、第２プロセッサ（１０５）の第２コア（１１７）及び第３コア（１１９）上で相互に異なり、第２プロセッサ（１０５）の第３コア（１１９）上での第２プロシージャの実行の結果及び第１プロセッサ（１０３）の第３コア（１１１）上での第２プロシージャの実行の結果が一致する場合、第２プロセッサ（１０５）の第２コア（１１７）を不活性化させ、第２プロシージャの実行の結果が、第２プロセッサ（１０５）の第２コア（１１７）及び第３コア（１１９）上で相互に異なり、第２プロセッサ（１０５）の第２コア（１１７）上での第２プロシージャの実行の結果及び第１プロセッサ（１０３）の第３コア（１１）上での第２プロシージャの実行の結果が一致する場合、第２プロセッサ（１０５）の第３コア（１１９）を不活性化させることを特徴とするアセンブリ。
【請求項７】
前２つの請求項の何れか一項に記載のアセンブリであって、
第３センサ及び第４センサを備え、
第３センサの少なくとも１つの信号は、第２プロセッサ（１０５）の第２コア（１１７）及び第１プロセッサ（１０３）の第３コア（１１１）に導かれ、
第４センサの少なくとも１つの信号は、第２プロセッサ（１０５）の第３コア（１１９）及び第１プロセッサ（１０３）の第３コア（１１１）に導かれることを特徴とするアセンブリ。
【請求項８】
請求項７に記載のアセンブリであって、第３センサ及び第４センサは、同一の物理量を測定することを特徴とするアセンブリ。
【請求項９】
請求項１〜８の何れか一項に記載のアセンブリを備える車両。
【請求項１０】
請求項１〜９の何れか一項に記載のアセンブリを使用する方法であって、
第１プロセッサ（１０３）の第１コア（１０７）及び第２コア（１０９）上で、第１プロシージャを実行するステップと、
第１プロセッサ（１０３）の第１コア（１０７）上での第１プロシージャの実行の結果を、第１プロセッサ（１０３）の第２コア（１０９）上での第１プロシージャの実行の結果と比較するステップと、
第１プロシージャの実行の前記結果が、第１プロセッサ（１０３）の第１コア（１０７）及び第２コア（１０９）上で相互に異なる場合、第１プロセッサ（１０３）の第１コア（１０７）上での第１プロシージャの実行の結果及び第１プロセッサ（１０３）の第２コア（１０９）上での第１プロシージャの実行の結果を、それぞれ、第２プロセッサ（１０５）の第１コア（１１５）上での第１プロシージャの実行の結果と比較するステップと、を含む方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、請求項１の上位概念に記載のアセンブリ及び請求項１０に記載の方法に関する。
【背景技術】
【０００２】
従来技術から既知のマルチプロセッサアーキテクチャは、自立走行車両によって課される未来の要件を満たすには、限定的に適するのみである。特に、ＡＳＩＬ‐Ｄ仕様を実装すべきである場合、ＩＳＯ２６２６２‐１規格の要件を満たすことは、困難である。
【０００３】
より動作信頼性の高いシステムを実装するための、一般的な解決策の一つは、システムのコンポーネントを監視し、障害が発生した場合に不活性化させることである。しかし、安全上重要な機能を実行するコンポーネントを不活性化させることは不可能である。安全上重要な機能を有するシステムは、フォールトトレラントでなければならず、また障害が発生した場合にも安全上重要な機能を更に実行可能であることを保証しなければならない。従来技術から既知のフォールトトレラントシステムは、C.Temple及びA.Vilela著、「Fehlertolerante Systeme im Fahrzeug - von Fail Safe zu Fail Operation（車両におけるフォールトトレラントシステム‐フェールセーフからフェールオペレーションへ）」Elektroniknet（ウェブサイト）、２０１４年７月、に記載されている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】C.Temple及びA.Vilela著、“Fehlertolerante Systeme im Fahrzeug - von Fail Safe zu Fail Operation（車両におけるフォールトトレラントシステム‐フェールセーフからフェールオペレーションへ）”、Elektroniknet、２０１４年7月
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の課題は、従来技術から既知の解決策に内在する決定を回避して、フォールトトレラントシステムを提供することである。特に、システムの可用性を高めるべきである。
【課題を解決するための手段】
【０００６】
この課題は、請求項１に記載のアセンブリ及び請求項１０に記載の方法によって解決される。好適な発展実施形態は、従属請求項に含まれる。
【０００７】
アセンブリは、第１プロセッサ及び第２プロセッサを備える。プロセッサは、１つ又は複数の命令‐プロシージャを読み取り、実行するよう構成されている電子回路である。
【０００８】
プロセッサは、それ自体で１つ又は複数の命令を実行することのできる部分を備えることができる。これらの部分を、「コア」と呼ぶ。
【０００９】
第１プロセッサは、第１コア、第２コア、及び制御インスタンスを示す。第２プロセッサは第１コアを備える。
【００１０】
第１プロセッサの第１コア及び第２コア、並びに第２プロセッサの第１コアは、それぞれ、第１プロシージャを実行するよう構成されている。これは、第１プロシージャを三重に、つまり第１プロセッサの第１コア及び第２コア上で、並びに第２プロセッサの第１コア上で、実行できることを意味する。
【００１１】
制御インスタンスは、別個のコアとして構成されてよく、又は既述のコアのうちの１つのコアに実装されてもよい。制御インスタンスは、結果を比較するステップを実行する手段として定義されている。
【００１２】
本発明により、第１プロセッサの制御インスタンスは、以下のステップを実行するよう構成されている。つまり、第１プロセッサの第１コア上での第１プロシージャの実行の結果を、第１プロセッサの第２コア上での第１プロシージャの実行の結果と比較するステップと、第１プロシージャの実行のこれらの結果が、第１プロセッサの第１コア及び第２コア上で相互に異なる場合、第１プロセッサの第１コア上での第１プロシージャの実行の結果及び第１プロセッサの第２コア上での第１プロシージャの実行の結果を、それぞれ、第２プロセッサの第１コア上での第１プロシージャの実行の結果と比較するステップと、である。
【００１３】
第１プロセッサの第１コアと第２コア上での第１プロシージャの実行の結果の差は、第１プロセッサの第１コア上での第１プロシージャの実行の結果を、第１プロセッサの第２コア上の第１プロシージャの実行の結果と比較することによって判定する。第１プロセッサの第１コアでの第１プロシージャの実行の結果及び第１プロセッサの第２コア上での第１プロシージャの実行の結果を、それぞれ、第２プロセッサの第１コア上での第１プロシージャの実行の結果と比較するステップは、第１プロシージャが第２プロセッサの第１コア上で実行されることを暗示する。
【００１４】
プロシージャの実行の結果、とは、一般に、プロシージャの実行と相関関係にある任意の値、と理解される。そのため、プロシージャが関数である場合、関数の出力値としてもよい。
【００１５】
本発明は、第１プロシージャを実行する際に三重の冗長性を提供する。第１プロシージャを実行する上述の３つのコアのうちの１つのコアが停止した又は１つのコアに障害が発生した場合、したがって、更に２つのコアを、冗長的に実行するために利用可能である。システム全体をスイッチオフする必要はない。
【００１６】
好適な発展実施形態において、第１プロシージャの実行の結果が、第１プロセッサの第１コア及び第２コア上で相互に異なり、第１プロセッサの第２コア上での第１プロシージャの実行の結果及び第２プロセッサの第１コア上での第１プロシージャの実行の結果が一致する場合、第１プロセッサの第１コアを不活性化させる。第１プロシージャの実行の結果が、第１プロセッサの第１コア及び第２コア上で相互に異なり、第１プロセッサの第１コア上での第１プロシージャの実行の結果及び第２プロセッサの第１コア上での第１プロシージャの実行の結果が一致する場合、第１プロセッサの第２コアを不活性化させる。第１プロセッサの第１コアと第２コア上での第１プロシージャの実行の結果の差は、第１プロセッサの第１コア又は第２コアに障害が存在することを示す。この場合、第２プロセッサの第１コア上での第１プロシージャの実行の結果と適合させることによって、第１プロセッサの障害のあるコアを、識別し、対応して不活性化させることができる。
【００１７】
好適な発展実施形態において、第２センサはアセンブリの一部である。第１センサの少なくとも１つの信号は、第１プロセッサの第１コア及び第２プロセッサの第１コアの両方に導かれる。対応して、第２センサの少なくとも１つの信号は、第１プロセッサの第２コア及び第２プロセッサの第１コアの両方に導かれる。好適には、信号が、各プロセッサ上で実行される第１プロシージャの入力データとして機能する。第１プロセッサの第１コア又は第１プロセッサの第２コアが障害のために不活性化される場合、発展実施形態に従って、第２プロセッサの第１コアは、対応するセンサ信号を利用可能である。これにより、第２プロセッサの第１コアが、不活性化されたプロセッサコアのタスクを引き継ぐことが可能になる。
【００１８】
更なる好適な発展実施形態において、第１センサ及び第２センサは、冗長的に構成されている。これは、第１センサ及び第２センサが、同一の物理量を測定するよう構成されていることを意味する。
【００１９】
アセンブリは、好適には、対称的に発展させる。これは、第１プロセッサ及びプロセッサが、同様に構成されていることを意味する。特に、第１プロセッサ及び第２プロセッサは、それぞれ、第１コア、第２コア、第３コア、及び制御インスタンスを備える。第２プロセッサの第２コア及び第３コア、並びに第１プロセッサの第３コアは、第２プロシージャを実行するよう構成されている。第１プロセッサの制御インスタンスは、第２プロセッサの制御インスタンスと類似して、以下のステップを実行するよう構成されている。つまり、第２プロセッサの第２コア上での第２プロシージャの実行の結果を、第２プロセッサの第３コア上での第２プロシージャの実行の結果と比較するステップと、第２プロシージャの実行のこれらの結果が、第２プロセッサの第２コア及び第３コア上で相互に異なる場合、第２プロセッサの第２コア上での第２プロシージャの実行の結果及び第２プロセッサの第３コア上での第２プロシージャの実行の結果を、それぞれ、第１プロセッサの第３コア上での第２プロシージャの実行の結果と比較するステップと、である。
【００２０】
好適な発展実施形態において、第１プロセッサの第１コア及び第２コアの不活性化と類似して、第２プロシージャの実行のこれらの結果が、第２プロセッサの第２コア及び第３コア上で相互に異なり、第２プロセッサの第３コア上での第２プロシージャの実行の結果及び第１プロセッサの第３コア上での第２プロシージャの実行の結果が一致する場合、第２プロセッサの第２コアを不活性化させる。第２プロシージャの実行のこれらの結果が、第２プロセッサの第２コア及び第３コア上で相互に異なり、第２プロセッサの第２コア上での第２プロシージャの実行の結果及び第１プロセッサの第３コア上での第２プロシージャの実行の結果が一致する場合がある。
【００２１】
第２プロセッサは、好適な発展実施形態において、第３センサ及び第４センサから入力信号を受信する。第３センサの少なくとも１つの信号は、第２プロセッサの第２コア及び第１プロセッサの第３コアに導かれる。対応して、第４センサの少なくとも１つの信号は、第２プロセッサの第３コア及び第１プロセッサの第３コアに導かれる。
【００２２】
第１センサ及び第２センサと同様に、第３センサ及び第４センサも、好適な実施形態において、冗長的に構成されている。第３センサ及び第４センサも、発展実施形態に従って、同一の物理量を測定する。
【００２３】
好適には、アセンブリを、車両、例えば自動車の一部として発展させる。特に、第１プロセッサは変速機制御装置の部分として発展させてよく、第２プロセッサはパワーエレクトロニクスを制御するために発展させてよい。本発明によるアセンブリを備える車両によって、運転者支援システムのための機能又は自立走行のための機能を、より動作信頼性を高めて実行可能である。
【００２４】
本発明による方法は、本発明によるアセンブリ又は好適な発展実施形態を使用して、以下のステップを実行する。つまり、第１プロセッサの第１コア及び第２コア上で、第１プロシージャを実行するステップと、第１プロセッサの第１コア上での第１プロシージャの実行の結果を、第１プロセッサの第２コア上での第１プロシージャの実行の結果と比較するステップと、第１プロシージャの実行のこれらの結果が、第１プロセッサの第１コア及び第２コア上で相互に異なる場合、第１プロセッサの第１コア上での第１プロシージャの実行の結果及び第１プロセッサの第２コア上での第１プロシージャの実行の結果を、それぞれ、第２プロセッサの第１コア上での第１プロシージャの実行の結果と比較するステップと、である。
【００２５】
好適には、この方法を、方法のステップを用いて更に発展させる。方法のステップは、上述のように、本発明によるアセンブリの好適な発展実施形態によって実行可能である。
【００２６】
本発明の好適な実施形態を図１に示す。この場合、一致する符号は、同一または機能的に同一の特徴を示す。
【図面の簡単な説明】
【００２７】
【図１】プロセッサアーキテクチャの図である。
【発明を実施するための形態】
【００２８】
図１のマルチプロセッサシステム１０１は、第１プロセッサ１０３及び第２プロセッサ１０５を備える。両方のプロセッサ１０３、１０５は、複数のコアを備える。そのため第１プロセッサ１０３は、第１コア１０７、第２コア１０９、第３コア１１１、及び制御インスタンス１１３を備える。対応して第２プロセッサ１０５は、第１コア１１５、第２コア１１７、第３コア１１９、及び制御インスタンス１２１を備える。
【００２９】
第１センサ信号１２３は、第１プロセッサの１０３の第１コア１０７及び第２プロセッサ１０５の第１コア１１５に印加される。第２センサ信号１２５は、第１プロセッサの１０３の第２コア１０９及び第２プロセッサ１０５の第１コア１１５に印加される。第１センサ信号１２３及び第２センサ信号１２５は、２つの異なるセンサを用いた単一の物理量の冗長測定に基づく。
【００３０】
それと類似して、第３センサ信号１２７は、第２プロセッサ１０５の第２コア１１７及び第１プロセッサ１０３の第３コア１１１に印加される。これと冗長的に実行される第４センサ信号１２９は、第２プロセッサ１０５の第３コア１１９及び第１プロセッサ１０３の第３コア１１１に印加される。同一の物理量を測定する２つの冗長センサは、第３センサ信号１２７及び第４センサ１２９信号を供給する。
【００３１】
第１プロセッサの第１コア１０７及び第２コア１０９、並びに第２プロセッサ１０５の第１コア１１５は、第１プロシージャを三重の冗長性で実行するよう機能する。第１プロセッサの制御インスタンス１１３は、第１プロセッサ１０３の第１コア１０７及び第２コア１０９による第１プロシージャの実行を監視し、それらの結果を比較する。これらが一致しない場合、第１プロセッサ１０３の制御インスタンス１１３は、第２プロセッサ１０５の第１コア１１５を参考とし、第１プロセッサ１０３の第１コア１０７又は第２コア１０９が誤作動しているかどうかを判定する。障害のあるコア１０７、１０９は、不活性化される。その後も、第１プロシージャを実行するために二重の冗長性が利用可能である。
【００３２】
第２プロセッサ１０５の第２コア１１７及び第３コア１１９、並びに第１プロセッサ１０３の第３コア１１１による第２プロシージャの実行は、上述した第１プロシージャの実行に類似する。
【００３３】
第１プロセッサ１０３を監視するために、第１ウォッチドッグ１３１が設けられている。対応して、第２プロセッサ１０５は第２ウォッチドッグ１３３によって監視される。ウォッチドッグ１３１、１３３によって、個々のプロセッサ１０３、１０５の全ての障害を傍受することが可能である。
【符号の説明】
【００３４】
１０１  マルチプロセッサシステム
１０３  第１プロセッサ
１０５  第２プロセッサ
１０７  第１プロセッサの第１コア
１０９  第１プロセッサの第２コア
１１１  第１プロセッサの第３コア
１１３  第１プロセッサの制御インスタンス
１１５  第２プロセッサの第１コア
１１７  第２プロセッサの第２コア
１１９  第２プロセッサの第３コア
１２１  第２プロセッサの制御インスタンス
１２３  第１信号
１２５  第２信号
１２７  第３信号
１２９  第４信号
１３１  第１ウォッチドッグ
１３３  第２ウォッチドッグ
【図１】
2020506472.tif 000003
【国際調査報告】
2020506472.tif 000004
2020506472.tif 000005
2020506472.tif 000006
2020506472.tif 000007
2020506472.tif 000008
2020506472.tif 000009