オープンソース 保護OS
メモリ保護と時間保護を有する自動車向けリアルタイムOS

株式会社ヴィッツ
服部博行

開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

自動車に使われているコンピュータ
80年代：エンジン制御、トランスミッション制御
90年代：ナビ、ブレーキ制御、ハイブリッド（ＨＶ）
2000年〜:ＨＶ化、先進安全システム、ＩＴ・ＩＴＳ連携システム

従来モータとスイッチで構成されていた機能にもECUは使われている。
これは安全性を確保するため、挟み込みを防止したり、快適性をえるためにエアコンなどと協調する場合がある
ＥＣＵ間は通信をして複雑な連携が必須
開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

2

自動車制御システムが抱える問題点
引用：2005/1/24 JasPar 自動車制御ソフト・車載LAN標準化活動 トヨタ自動車 谷川浩
日経エレクトロニクス 2004/3/1 トヨタインサイド

開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

3

ソフトウェア開発量を抑えるソフトウェアプラットフォーム ( SFP) 化

ソフトPF必須要素
ソフトPF必須要素
標準
RTOS
標準RTOS
保護機能
保護機能
通信（CAN,LIN,FlexRay）
通信（CAN,LIN,FlexRay）

基盤ソフト
基盤ソフト （ソフトウェアプラットフォーム）（ソフトウェアプラットフォーム）

SFP化によるメリット
ソフトウェア部品流通
ソフトウェアの部品化による開発コードの抑制
開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

4

SPF化だけでは解決できない問題点
SFP化で解決もしくは軽減できる問題
・ソフトウェアの部品化促進、共通化、標準化！ソフトウェアの専用開発、テスト工数などの抑制が可能となる
ECU数の増加問題はSPFでは解決もしくは軽減できない
ECU問題はECU統合で解決する
トヨタ自動車 レクサスLS460では、３つのECU統合を実施
以下は、その統合例

この統合ではECU統合を安全且つ容易に実現するための保護機能付きプラット
フォームを使っているとの発表はない
出展:

開催場所：東京カンファレンスセンター・品川

日経 Automotive Technology 2007/11

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

5

ECU統合とは電装部品メーカA

電装部品メーカC

電装部品メーカB

エンジン制御アプリケーション

ブレーキ制御アプリケーション

AT制御
アプリケーション

RTOS

RTOS

RTOS

理想的なECU統合
異なるベンダーソフトウェアを同一ECUに乗せても、相互干渉は発生しない
電装部品メーカC

電装部品メーカB

電装部品メーカA
エンジン制御アプリケーション

ブレーキ制御アプリケーション

AT制御
アプリケーション

保護機能付きRTOS

開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

6

ECU統合に必要な保護機能
アプリケーションA

アプリケーションB

プログラム

プログラム

アプリケー
ションAのメモリ領域

アプリケーションAの利用できる時間

アプリケー
ションBのメモリ領域

アプリケーションBの利用できる時間

アプリケーションBの動作に障害

アプリケーションBの動作する時間がなくなる

OSのプログラム
OSのメモリ領域
OSの動作に障害開催場所：東京カンファレンスセンター・品川

OSの利用できる時間
通常はOSの動作が優先されるので、このケースはまれであるが、アプリケーションが終了できずOSが動作できない

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

7ECU統合に必要な保護機能
アプリケーションA

アプリケーションB

プログラム

プログラム

アプリケー
ションAのメモリ領域

アプリケーションAの利用できる時間

アプリケー
アプリケーションBを保護
ションBのメモリ領域

アプリケーションBの利用できる時間

OSの動作を保護

OSのプログラム
OSのメモリ領域

開催場所：東京カンファレンスセンター・品川

OSの利用できる時間

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

8

メモリ保護 機能概要
＜メモリ保護機能＞・プロセッサ内のMMUを改良し、MPU ( Memory Protection Unit ) を開発し利用する
・車載ソフトェアの特徴である静的マッピングを利用し、アドレス変換を用いない
アプリケーション1 (non-trusted)

Application Application
エラー
1
2エラー

タスク1
OK

Operating System
エラー
エラー

OK

external data
Static datastackNG

OK

OK

OK

Application Application
12
Operating System

アプリケーション2

タスク１はタスク１の全てのリソースのアクセスが許可される

タスク2

割込み

external dataexternal data

Static data

Static data

stack

stack

タスク1
NGNG

external data
Static data

NGstack

非合意global data
合意global data

アクセス可能データ

NGNG

実行中のentityに属するスタック
同一アプリの全てのentityに属する
static data と external data
特別に合意した他アプリのグローバ
ル変数

メモリ保護
HISの保護を拡張し、Writeに加え、Rread,Execution にも対応

HISのメモリ保護 (HISの保護は書込みのみ)

HISと異なり、同一アプリケーション内でも保護可能（保護粒度をタスク単位管理した場合)
開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

9

メモリ保護 の実現方法

M32R①自分のプログラム
ROM

MPU②共有のプログラム
32bit長(検討中)③自分のデータ
上下端アドレス比較用
コンパレータRAM④スタック⑤共有のデータ（共有メモリ通信）
⑥共有空間

8組程度

⑦I/O
タスク切替時に、タスク(タスク切替時に、タスク(アプリ)アプリ)が所有する領域アドレスをコンパレータに設定し、メモリアクセス時にハードウェアによりチェックする。
アドレス部
アクセス属性部
RWX属性!タスク毎に切り替えたいのはスタック程度と考えているが、所有領域をタスク毎に管理すれば、タスク単位での保護が可能
アクセス属性を持つことにより、R/W/Xによる保護が可能
アクセス属性を持つことにより、R/W/Xによる保護が可能
領域データは静的に決まるため、タスク切替時に書込みのみで良い
領域データは静的に決まるため、アドレス変換は不要

開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

10

時間保護
時間保護；処理単位のプロセッサ実行時間を保護（保証）すること
ECU統合時のアプリケーション開発の注意点
・他のアプリケーション実行時間に影響をあたえてはいけない
・処理要求から完了までの時間を守らないとシステムが破綻する場合がある
時間保護には上記２種類の要求を満たすために、以下の２種類が必要

見積もり実行時間
実際の実行時間

優先度
高見積もり実行時間を越えるのは何らかの異常があり、他のアプリケーションに影響を与える可能性がある

アプリケーション１階層型スケジューラ
階層型スケジューラ

デッドライン

アプリケーション２
デッドライン

ただし、デッドラインモニタリングは監視機能であり、厳密な時間保護とは言えない
開催場所：東京カンファレンスセンター・品川

指定時間までに終了しないと動作不良が発生する場合など、デッドラインまでの終了を確認するのは重要
HIS
HIS
デッドラインモニタリング
デッドラインモニタリング

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

11

デッドラインモニタリングによる時間保護
running＜時間監視機能＞Timer cancel

Timer cancel

waitingsuspended

・HISの時間保護 (Deadline monitoring )タスクの動作開始と終了を捕まえて、デッドライン超過を監視する
監視対象はタスク単位

Timer set (start)

readyTimer set (start)

監視時間はタスク毎にOILで指定
タイマキャンセル前にタイマ設定時間経過 ( エクスパイヤ)すると当該タスクと同じアプリに属する全てのタスクが終了させられるタスク（複数形なのでアプリに属するタスク群) によって獲得されていた全てのOSEKリソースが開放される
OILで指定された、エラー発生時のエラーハンドラが起動される
この方式は、デッドラインまでに処理の完了を確認するには良い方法。しかし、保護という意味はほとんどない。
開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

12

階層型スケジューラによる時間保護＜時間保護＞
・多段ディスパッチャー方式

サブスケジューラ：プリエンプティブな固定優先度ベーススケジューラ
アプリケーション内のタスク起動を管理する( アプリケーション毎に用意される。また、アプリケーション毎に異なるスケジューラでも良い )メインスケジューラ：
EDF ( Earliest Deadline First ) によるアプリケーションへのプロセッサ時間を割り当てる( プロセッサ利用率に応じた実施的プロセッサ時間）

・RTOSに組込むことにより、時間保護機能をOSレベルでサポート
・システム開発者が独自に実装しなくて良いため、開発者の負担を軽減
・複数ベンダーが低速プロセッサ上で開発・検証したアプリケーションを高速プロセッサ上で複合システムを構築することが可能となる
開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

13保護機能OSの実証実験
実証実験計画；ヴィッツ

実証実験-2007年4月17日に実証実験開始をプレスリリース

アイシン精機と東海理化が完全バックアップ-2007年10月30日にアイシン精機藤岡試験場で試験完了
関連記事
中日新聞 (2007/4/18)
日刊工業新聞 (2007/4/18)
読売新聞 中部版 (2007/4/18)
毎日新聞 (2007/4/28)

開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

14

注目度 主要自動車関連情報誌で紹介

開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

15

目標は自動車向けSPFの標準化
日本発国際標準AUTOSAR
AUTOSAR

車載基盤ソフトウェア
標準化団体

オープンソース
RTOSの提供

JasParJasPar

再利用自由なオープンソース
ライセンスはTOPPERSライセンス

自動車メーカ

会員／開発成果物利用

車載基盤ソフトウェア
標準団体標準となるための条件
標準となるための条件
・オープンソースで改変自由・オープンソースで改変自由・製品適応に制限がない
・製品適応に制限がない・メーカ色がない
・メーカ色がない

一般公開

配布形態

ECU関連
ソフトウェア開発

開発成果物をTOPPERSへ提供
TOPPERSへ提供

ヴィッツ
ヴィッツ
東海ソフト
東海ソフト
サニー技研
サニー技研

車両用ＲＴＯＳ
共同研究

共同研究
・通信・RTOS

名古屋大学
名古屋大学
高田・冨山研究室
高田・冨山研究室
産学官連携

委託研究

名古屋市工業研究所
名古屋市工業研究所
電装品
一次サプライヤー

ECU関連
ソフトウェア開発

アイシン精機
東海理化 など

技術面 ；次世代車両用OS の仕様を提案
営業面 ；先進的ｿﾌﾄ機能部品などの開発成果物を自動車メーカに等へ販売
開催場所：東京カンファレンスセンター・品川

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

16

自動車制御SPFへのロードマップ
今回の論文はこの部位

自動車制御プラットフォーム
自動車制御プラットフォーム

第8回 IP アワード
優秀賞受賞

コンポーネントコンポーネント

FlexRay対応
対応OS
OS拡張
拡張
FlexRay
FlexRay対応OS拡張

開催場所：東京カンファレンスセンター・品川

開発完了

FlexRay対応
対応COM
COM拡張
拡張FlexRay
FlexRay対応COM拡張(( FT-COM 類似)
FT類似FT-COM類似))

CAN/LIN
CAN/LIN
ミドルウェアミドルウェアCOMCOM
CCC0,CCC1
CCC0,CCC1COM
COM
CCCA,CCCB
CCCA,CCCBTOPPERS/OSEKTOPPERS/OSEK
Ver1.0Ver1.0FlexRay
FlexRay
発開開発
信信
通
代通世代
次次世

メモリ保護
メモリ保護

高高信
信
頼頼性
性
OOS
S

部品部
品化
化／／機機能
能分
分散
散技
技術
術

マルチプロセッサ
マルチプロセッサ

時間保護
時間保護

CAN/LIN
CAN/LIN
ドライバ
ドライバ

発開発
系
系開信
信
通通標準
標準
ＮＭ
ＮＭ

第10回 LSI IP デザインアワード 受賞発表会 2008/4/24

開発完了

17