英ARM社は、自動車の安全系制御システム向けに、プロセッサコア「Cortex-R4/R4F」や「Cortex-M3」で、国際的な機能安全規格である「IEC61508/ISO26262」に対応していくための機能を強化している。});英ARM社は、自動車の安全系制御システム向けに、プロセッサコア「Cortex-R4/R4F」や「Cortex-M3」で、国際的な機能安全規格である「IEC61508/ISO26262」に対応していくための機能を強化している。IEC61508では、安全度水準(SIL)のレベルを安全側故障比率(SFF)に応じて3段階に分けている。SIL1はSFFが60%以上であり、例えばボディ制御などの用途に使うことが出来る。厳しいSIL3ではSFFが99%以上と定義されている。これは、パワートレインやブレーキシステム、エアバッグなどクリティカルな制御部分に適用される。「ARM7TDMI」など自己テスト(BIST)機能を備えたプロセッサコアで対応してきた。これに対して、SIL3など安全度水準が高いレベルになるとBIST機能だけでは不十分で、そのための新たな機能の追加が必要となる。このためARM社では、Tier1サプライヤと協力して、安全系制御システムに関する仕様の定義などを進めてきた。これに基づき、故障時にはなにも信号を送らないフェールサイレント機能や、システムの1部が故障した場合でもシステム全体に影響を与えずに動作し続けることを目標としたフォールトトレラント機能を実現する新たなソリューションを開発し、提案している。2プロセッサとコンパレータ内蔵その1つが、デュアルコアロックステップと呼ばれる1oo1D構成のソリューションである。このソリューションでは、EUC(被制御機器)内に、密結合された2つのプロセッサ(Cortex-R4/R4Fなど)およびコンパレータが内蔵されている。コンパレータが2つのプロセッサの演算結果を比較して、その結果が異なった場合はプロセッサからの出力をオフにして、ほかの系統へ障害を与えないように制御する。このとき、プロセッサ内部の動作については精査しない。ここではプロセッサをブラックボックスと見なしている。code)機能によりエラー訂正を行う。これだけだとSIL3のレベルに達しないために、SIL3に対応しようとすれば別な追加の対策が必要となるYogitech社と協力これに対して、1oo1D構成でプロセッサの内部エラーを監視できるようにしたホワイトボックスアーキテクチャはSIL3に対応するものである。このアーキテクチャはイタリアYogitech社と協力して開発したFMEA(故障モード影響解析)メソドロジとIPコア「fR_CPU_armcm3」を用いたもので、FMEAを実行してプロセッサの内部エラーを検証する仕組みとなっている。このIPはCortex-M3のモニタリングポートを介して接続される。Vittorelli氏は「この技術は、第3者認証機関であるドイツTUVからIEC61508規格SIL3の認定を受けている。Tier1サプライヤからも革新的な技術であると高く評価されており、採用に向けた具体的な検討がなされている」と語る。現時点でCortex-R4/R4Fはモニタリングポートをサポートしていない。1oo2D構成のソリューションさらに、上述した1oo1D構成のホワイトボックスアーキテクチャを並列接続してフォールトトレラント機能を実現する1oo2D構成のソリューションも用意している。片方がアクティブモードとなり、もう一方がスタンバイモードとなる。動作中のプロセッサに不具合が生じた場合は、瞬時にスタンバイモード側のプロセッサがアクティブモードに切り替わる。Vittorelli氏は「このソリューションは、1チップでも2チップ構成でも実現できる。2つのプロセッサコアを1チップ化する場合は、コモンモードエラーを削減するために、2つのチャンネルを物理的にどう分離して設計するかを十分に考慮しなければならない」と話す。ARM社のプロセッサコアは、ブレーキ制御システム向けに、約10年前から採用され続けてきた実績がある。エアバック用途向けでも高いシェアを持つという。した中でVittorelli氏は、「ARMにとって安全系の制御システム分野は重要な市場であり、機能安全に対する顧客の要求は今後もますます高まる。パートナー企業に対して恒久的にイノベーションを提供し続けていかなければならない」と述べた。SNSfacebooktwitterITmediaはアイティメディア株式会社の登録商標です。