JP6797588B2

JP6797588B2 - Verification system

Info

Publication number: JP6797588B2
Application number: JP2016144664A
Authority: JP
Inventors: 俊也丸地; 中谷　博司; 博司中谷; 馬場　賢二; 賢二馬場
Original assignee: Toshiba Corp; Toshiba Infrastructure Systems and Solutions Corp
Current assignee: Toshiba Corp; Toshiba Infrastructure Systems and Solutions Corp
Priority date: 2016-07-22
Filing date: 2016-07-22
Publication date: 2020-12-09
Anticipated expiration: 2036-07-22
Also published as: JP2018014046A

Description

本発明の実施形態は、検証システムに関する。 Embodiments of the present invention relates to a verification system.

従来から、プラント、フィールド機器等を監視・制御する制御装置（制御システム）は、生産性やアベイラビリティの観点から、連続運転が求められている。しかし、制御装置のプログラムにバグや脆弱性が発見された場合にはプログラムを更新する必要があり、一般的に、プログラムを更新している間は、制御装置を停止する必要がある。また、プログラムを更新した後、そのプログラムが適正に動作することを検証する必要もある。 Conventionally, control devices (control systems) that monitor and control plants, field equipment, etc. have been required to operate continuously from the viewpoint of productivity and availability. However, if a bug or vulnerability is found in the controller program, the program needs to be updated, and in general, the controller needs to be stopped while the program is being updated. It is also necessary to verify that the program works properly after updating the program.

特開２０１６−３１６２３号公報Japanese Unexamined Patent Publication No. 2016-31623

しかしながら、従来技術において、制御装置を停止することなくプログラムの更新と検証を行うことができるものはない。 However, in the prior art, there is nothing that can update and verify a program without stopping the control device.

そこで、本発明は、このような状況に鑑みてなされたものであり、制御装置を停止させることなくプログラムの更新と検証を行うことを課題とする。 Therefore, the present invention has been made in view of such a situation, and an object of the present invention is to update and verify a program without stopping the control device.

実施形態の検証システムは、複数の演算部を有する制御装置と、前記制御装置のプログラムを更新する際に、前記複数の演算部のうち１つの演算部の前記プログラムの更新および動作の検証を実施した後、検証結果が適正であれば、残りの前記演算部についても順次、前記プログラムの更新および動作の検証を実施する検証装置と、を備える。前記制御装置は、現在の動作モードが通常モードと検証モードのいずれであるのかを格納するモード格納部と、前記動作モードに応じて、外部からの入力データの入力先を前記複数の演算部の少なくともいずれかに切り替える入力動作切替部と前記動作モードに応じて、前記複数の演算部それぞれの演算結果の出力先を制御信号出力部と検証結果出力部のいずれかに切り替える出力動作切替部と前記出力動作切替部から受け取った前記演算結果である制御信号を被制御装置に出力する前記制御信号出力部と、前記出力動作切替部から受け取った前記演算結果である検証結果を前記検証装置に出力する前記検証結果出力部と、を備え、前記検証装置は、前記制御装置が使用する前記プログラム、更新プログラムを格納するとともに、検証用データと、前記制御装置から受信した検証結果と、を格納する記憶部と、前記制御装置のプログラムを更新する際に前記モード格納部が前記検証モードに遷移した場合、前記複数の演算部のうち１つの演算部に対して、前記更新プログラムを送信するとともに、前記検証用データによる動作の検証を実施した後、検証結果が適正であれば、残りの前記演算部についても順次、前記更新プログラムを送信するとともに、前記検証用データによる動作の検証を実施する検証部と、を備える。 The verification system of the embodiment implements a control device having a plurality of calculation units, and when updating a program of the control device, updates the program of one of the plurality of calculation units and verifies the operation. After that, if the verification result is appropriate, the remaining arithmetic units are also provided with a verification device that sequentially updates the program and verifies the operation. The control device has a mode storage unit that stores whether the current operation mode is a normal mode or a verification mode, and the plurality of arithmetic units that input data from the outside according to the operation mode. An input operation switching unit that switches to at least one of them, and an output operation switching unit that switches the output destination of the calculation result of each of the plurality of arithmetic units to either a control signal output unit or a verification result output unit according to the operation mode. The control signal output unit that outputs the control signal that is the calculation result received from the output operation switching unit to the controlled device and the verification result that is the calculation result received from the output operation switching unit are output to the verification device. A storage including the verification result output unit, the verification device stores the program and the update program used by the control device, and stores the verification data and the verification result received from the control device. When the mode storage unit transitions to the verification mode when updating the program of the control device and the unit, the update program is transmitted to one of the plurality of arithmetic units and the update program is transmitted. After verifying the operation with the verification data, if the verification result is appropriate, the verification unit that sequentially sends the update program to the remaining arithmetic units and verifies the operation with the verification data. And.

図１は、第１実施形態の検証システムの構成例を示すブロック図である。FIG. 1 is a block diagram showing a configuration example of the verification system of the first embodiment. 図２は、第１実施形態の検証システムの通常モード時の動作の説明図である。FIG. 2 is an explanatory diagram of the operation of the verification system of the first embodiment in the normal mode. 図３は、第１実施形態の検証システムの検証モード時の動作の説明図である。FIG. 3 is an explanatory diagram of the operation of the verification system of the first embodiment in the verification mode. 図４は、第１実施形態の検証システムの動作例を示すフローチャートである。FIG. 4 is a flowchart showing an operation example of the verification system of the first embodiment. 図５は、第１実施形態における検証結果の例を示す図である。FIG. 5 is a diagram showing an example of the verification result in the first embodiment. 図６は、第１実施形態における正常系比較検証の動作例を示すフローチャートである。FIG. 6 is a flowchart showing an operation example of normal system comparison verification in the first embodiment. 図７は、第１実施形態における異常系適正値データの例を示す図である。FIG. 7 is a diagram showing an example of abnormal system appropriate value data in the first embodiment. 図８は、第１実施形態における異常系比較検証の動作例を示すフローチャートである。FIG. 8 is a flowchart showing an operation example of the abnormal system comparison verification in the first embodiment. 図９は、第２実施形態の検証システムの構成例を示すブロック図である。FIG. 9 is a block diagram showing a configuration example of the verification system of the second embodiment. 図１０は、第２実施形態の検証システムの通常モード時の動作の説明図である。FIG. 10 is an explanatory diagram of the operation of the verification system of the second embodiment in the normal mode. 図１１は、第２実施形態の検証システムの検証モード時の動作の説明図である。FIG. 11 is an explanatory diagram of the operation of the verification system of the second embodiment in the verification mode. 図１２は、第２実施形態の検証システムの動作例を示すフローチャートである。FIG. 12 is a flowchart showing an operation example of the verification system of the second embodiment. 図１３は、第２実施形態における正常系保存データの例を示す図である。FIG. 13 is a diagram showing an example of normal system storage data in the second embodiment. 図１４は、第２実施形態における正常系比較検証の動作例を示すフローチャートである。FIG. 14 is a flowchart showing an operation example of normal system comparison verification in the second embodiment. 図１５（ａ）は、第２実施形態における検証プログラムの一部の例を示す図である。図１５（ｂ）は、第２実施形態における異常系保存データの例を示す図である。FIG. 15A is a diagram showing a partial example of the verification program according to the second embodiment. FIG. 15B is a diagram showing an example of abnormal system storage data in the second embodiment. 図１６は、第２実施形態における異常系比較検証の動作例を示すフローチャートである。FIG. 16 is a flowchart showing an operation example of the abnormal system comparison verification in the second embodiment.

以下、実施形態の検証システムおよび検証方法について、図面を参照して説明する。まず、図１〜図８を参照して第１実施形態について説明し、次に、図９〜図１６を参照して第２実施形態について説明する。 Hereinafter, the verification system and the verification method of the embodiment will be described with reference to the drawings. First, the first embodiment will be described with reference to FIGS. 1 to 8, and then the second embodiment will be described with reference to FIGS. 9 to 16.

（第１実施形態）
図１は、第１実施形態の検証システムＳの構成例を示すブロック図である。検証システムＳは、制御装置１、検証装置２、被制御装置３、および、検出装置４を備えている。 (First Embodiment)
FIG. 1 is a block diagram showing a configuration example of the verification system S of the first embodiment. The verification system S includes a control device 1, a verification device 2, a controlled device 3, and a detection device 4.

制御装置１は、プラント、フィールド機器等を監視・制御するコンピュータ装置であって、通信部１０１、入力動作切替部１０２、第１演算部１０３、第２演算部１０４、第１記憶部１０５、第２記憶部１０６、出力動作切替部１０７、制御信号出力部１０８、検証結果出力部１０９、モード格納部１１０、および、検出信号入力部１１１を備える。 The control device 1 is a computer device that monitors and controls a plant, field equipment, etc., and is a communication unit 101, an input operation switching unit 102, a first calculation unit 103, a second calculation unit 104, a first storage unit 105, and a first. 2. A storage unit 106, an output operation switching unit 107, a control signal output unit 108, a verification result output unit 109, a mode storage unit 110, and a detection signal input unit 111 are provided.

通信部１０１は、検証装置２との間でデータの送受信を行うためのインタフェースである。入力動作切替部１０２は、通信部１０１、第１演算部１０３、第２演算部１０４と接続され、モード格納部１１０を参照して動作モード（通常モード、検証モードのいずれか）に応じてデータの経路を第１演算部１０３、第２演算部１０４の間で切り替える。なお、検証モードとは、制御装置１が被制御装置３の制御を行いながら、検証装置２が制御装置１の更新プログラムの検証を行うモードである。また、通常モードとは、検証モード以外で制御装置１が被制御装置３の制御を行うモードである。 The communication unit 101 is an interface for transmitting and receiving data to and from the verification device 2. The input operation switching unit 102 is connected to the communication unit 101, the first calculation unit 103, and the second calculation unit 104, and refers to the mode storage unit 110 to perform data according to the operation mode (either normal mode or verification mode). The path of is switched between the first calculation unit 103 and the second calculation unit 104. The verification mode is a mode in which the verification device 2 verifies the update program of the control device 1 while the control device 1 controls the controlled device 3. Further, the normal mode is a mode in which the control device 1 controls the controlled device 3 other than the verification mode.

第１演算部１０３は、第１記憶部１０５に格納された制御プログラム等に基づき、入力情報に対する演算結果を出力する。第１記憶部１０５は、制御プログラム等を記憶する記憶手段である。 The first calculation unit 103 outputs the calculation result for the input information based on the control program or the like stored in the first storage unit 105. The first storage unit 105 is a storage means for storing a control program or the like.

第２演算部１０４は、第２記憶部１０６に格納された制御プログラム等に基づき、入力情報に対する演算結果を出力する。第２記憶部１０６は、制御プログラム等を記憶する記憶手段である。なお、以下において、第１演算部１０３と第２演算部１０４を特に区別しないときは、符号無しで単に「演算部」と記載する場合もある。 The second calculation unit 104 outputs the calculation result for the input information based on the control program or the like stored in the second storage unit 106. The second storage unit 106 is a storage means for storing a control program or the like. In the following, when the first calculation unit 103 and the second calculation unit 104 are not particularly distinguished, they may be simply described as "calculation unit" without a code.

出力動作切替部１０７は、第１演算部１０３、第２演算部１０４と接続され、モード格納部１１０を参照して動作モードに応じてそれらの演算結果の出力先を制御信号出力部１０８と検証結果出力部１０９のいずれかに切り替える。 The output operation switching unit 107 is connected to the first calculation unit 103 and the second calculation unit 104, and refers to the mode storage unit 110 to verify the output destination of those calculation results with the control signal output unit 108 according to the operation mode. Switch to any of the result output units 109.

制御信号出力部１０８は、出力動作切替部１０７から受け取った演算結果である制御信号を被制御装置３に出力する。検証結果出力部１０９は、出力動作切替部１０７から受け取った演算結果である検証結果を検証装置２に出力（送信）する。 The control signal output unit 108 outputs a control signal, which is a calculation result received from the output operation switching unit 107, to the controlled device 3. The verification result output unit 109 outputs (transmits) the verification result, which is the calculation result received from the output operation switching unit 107, to the verification device 2.

モード格納部１１０は、現在の動作モードが通常モードと検証モードのいずれであるのかを格納する。制御装置１は、モード格納部１１０の状態により、通常モードと検証モードの大きく２種類の異なる動作を行う。例えば、モード格納部１１０が通常モードから検証モードへ遷移すると、入力動作切替部１０２は、モード格納部１１０を参照して、検証装置２から受信した検証用データを更新対象の演算部にのみ入力するようにデータの経路を切り替える。また、出力動作切替部１０７は、モード格納部１１０を参照して、更新対象の演算部の検証結果を検証結果出力部１０９へ出力するようデータの経路を切り替える。 The mode storage unit 110 stores whether the current operation mode is the normal mode or the verification mode. The control device 1 performs two types of different operations, a normal mode and a verification mode, depending on the state of the mode storage unit 110. For example, when the mode storage unit 110 transitions from the normal mode to the verification mode, the input operation switching unit 102 refers to the mode storage unit 110 and inputs the verification data received from the verification device 2 only to the calculation unit to be updated. Switch the data path so that it does. Further, the output operation switching unit 107 refers to the mode storage unit 110 and switches the data path so as to output the verification result of the calculation unit to be updated to the verification result output unit 109.

なお、モード格納部１１０に保持される動作モードは、ユーザ端末（不図示）や検証装置２からの伝送情報によって変化してもよいし、また、ＤＩＰスイッチなどの物理的切り替えによって変化してもよい。検出信号入力部１１１は、検出装置４からの入力情報を受信する。 The operation mode held in the mode storage unit 110 may be changed by transmission information from the user terminal (not shown) or the verification device 2, or may be changed by physical switching of a DIP switch or the like. Good. The detection signal input unit 111 receives the input information from the detection device 4.

検証装置２は、制御装置１のプログラムを更新する際に、第１演算部１０３と第２演算部１０４のうち一方のプログラムの更新および動作の検証を実施した後、検証結果が適正であれば、他方についてもプログラムの更新および動作の検証を実施するコンピュータ装置である。検証装置２は、通信部２１、検証信号入力部２２、検証部２３、および、記憶部２４を備える。 When the verification device 2 updates the program of the control device 1, after updating the program of one of the first calculation unit 103 and the second calculation unit 104 and verifying the operation, if the verification result is appropriate. The other is also a computer device that updates the program and verifies the operation. The verification device 2 includes a communication unit 21, a verification signal input unit 22, a verification unit 23, and a storage unit 24.

通信部２１は、制御装置１との間でデータの送受信を行うためのインタフェースである。検証信号入力部２２は、制御装置１から出力された検証信号を入力する。 The communication unit 21 is an interface for transmitting and receiving data to and from the control device 1. The verification signal input unit 22 inputs the verification signal output from the control device 1.

検証部２３は、制御装置１のプログラムを更新する際にモード格納部１１０が検証モードに遷移した場合、第１演算部１０３と第２演算部１０４の一方に対して、更新プログラムを送信するとともに、検証用データによる動作の検証を実施した後、検証結果が適正であれば、他方についても、更新プログラムを送信するとともに、検証用データによる動作の検証を実施する。また、例えば、検証部２３は、演算部の検証結果について、出力値とタイミングのそれぞれが適正であるか否かを判定する。 When the mode storage unit 110 transitions to the verification mode when updating the program of the control device 1, the verification unit 23 transmits the update program to one of the first calculation unit 103 and the second calculation unit 104. After verifying the operation with the verification data, if the verification result is appropriate, the update program is sent to the other and the operation is verified with the verification data. Further, for example, the verification unit 23 determines whether or not the output value and the timing are appropriate for the verification result of the calculation unit.

また、例えば、検証部２３は、更新対象の演算部に対して、検証用データとして異常系テストのデータを送信し、当該演算部が異常系テストの出力値に対応して送信したエラーコードに基づいて、当該演算部の動作が適正か否かを判定する。また、例えば、検証部２３は、更新対象の演算部に対して、更新後の動作が不適正だと判定した場合には、更新前プログラムを再度配信する。 Further, for example, the verification unit 23 transmits the data of the abnormal system test as verification data to the calculation unit to be updated, and the error code transmitted by the calculation unit corresponding to the output value of the abnormal system test. Based on this, it is determined whether or not the operation of the calculation unit is appropriate. Further, for example, when the verification unit 23 determines that the operation after the update is inappropriate to the calculation unit to be updated, the verification unit 23 re-distributes the pre-update program.

記憶部２４は、プログラム、更新プログラム、検証用データ、正常系適正値データ、異常系適正値データ、検証結果等を格納する。 The storage unit 24 stores programs, update programs, verification data, normal system appropriate value data, abnormal system appropriate value data, verification results, and the like.

プログラム（更新前プログラム）と更新プログラムは、制御装置１によって使用される。検証用データは、正常系検証用データと異常系検証用データとから構成される。正常系検証用データとは、正常系テストで検証用に用いられるデータである。正常系テストとは、正常な入力に対して適正な出力がされるかを調べるテストである。 The program (pre-update program) and the update program are used by the control device 1. The verification data is composed of normal system verification data and abnormal system verification data. The normal system verification data is the data used for verification in the normal system test. The normal system test is a test to check whether a proper output is output for a normal input.

一方、異常系検証用データとは、異常系テストで検証用に用いられるデータである。異常系テストとは、異常な入力に対して適正な出力（例えば適正なエラーコードの出力）がされるかを調べるテストである。 On the other hand, the abnormal system verification data is data used for verification in the abnormal system test. The abnormal system test is a test for checking whether an appropriate output (for example, an output of an appropriate error code) is output for an abnormal input.

正常系適正値データは、正常系テストの正解データであり、つまり、正常系テストに関して適正か否かを判定するためのデータである。異常系適正値データは、異常系テストの正解データであり、つまり、異常系テストに関して適正か否かを判定するためのデータである。検証結果は、正常系テストの結果、および、異常系テストの結果である。 The normal system appropriate value data is the correct answer data of the normal system test, that is, the data for determining whether or not the normal system test is appropriate. The abnormal system appropriate value data is the correct answer data of the abnormal system test, that is, the data for determining whether or not the abnormal system test is appropriate. The verification results are the results of the normal system test and the results of the abnormal system test.

被制御装置３は、制御装置１によって制御される装置である。検出装置４は、検出信号を出力する各種のセンサである。 The controlled device 3 is a device controlled by the control device 1. The detection device 4 is various sensors that output a detection signal.

次に、検証システムＳの通常モード時の動作について説明する。図２は、第１実施形態の検証システムＳの通常モード時の動作の説明図である。通常モードでは、入力動作切替部１０２は、検出装置４からのＤＩ（Digital Input）やＡＩ（Analog Input）といったデータ入力情報を検出信号入力部１１１経由で受け取ると（Ｓ１、Ｓ２）、第１演算部１０３と第２演算部１０４の両方へ転送する（Ｓ３，Ｓ４）。 Next, the operation of the verification system S in the normal mode will be described. FIG. 2 is an explanatory diagram of the operation of the verification system S of the first embodiment in the normal mode. In the normal mode, when the input operation switching unit 102 receives data input information such as DI (Digital Input) and AI (Analog Input) from the detection device 4 via the detection signal input unit 111 (S1, S2), the first calculation is performed. Transfer to both the unit 103 and the second calculation unit 104 (S3, S4).

第１演算部１０３は、この入力値（データ入力情報）を用いて、第１記憶部１０５に格納された制御プログラムに基づき演算し、演算結果を出力動作切替部１０７に送る（Ｓ５）。また、第２演算部１０４は、この入力値（データ入力情報）を用いて、第２記憶部１０６に格納された制御プログラム（第１記憶部１０５に格納された制御プログラムと同じ）に基づき演算し、演算結果を出力動作切替部１０７に送る（Ｓ６）。 The first calculation unit 103 uses this input value (data input information) to perform a calculation based on the control program stored in the first storage unit 105, and sends the calculation result to the output operation switching unit 107 (S5). Further, the second calculation unit 104 uses this input value (data input information) to perform a calculation based on the control program stored in the second storage unit 106 (same as the control program stored in the first storage unit 105). Then, the calculation result is sent to the output operation switching unit 107 (S6).

出力動作切替部１０７は、受け取った演算結果を制御信号出力部１０８に送る（Ｓ７）。このとき、出力動作切替部１０７は、受け取った演算結果の二重化比較照合や、先着優先処理などのデータ選択処理を実施してもよい。次に、制御信号出力部１０８は、演算結果（制御信号）を被制御装置３に送信する（Ｓ８）。被制御装置３（アクチュエータなど）は、受信した演算結果（制御信号）によって制御される。なお、通常モードでは、検証装置２は、使用されないため、除外してもよい。 The output operation switching unit 107 sends the received calculation result to the control signal output unit 108 (S7). At this time, the output operation switching unit 107 may perform data selection processing such as duplication comparison collation of the received calculation result and first-come-first-served priority processing. Next, the control signal output unit 108 transmits the calculation result (control signal) to the controlled device 3 (S8). The controlled device 3 (actuator or the like) is controlled by the received calculation result (control signal). In the normal mode, the verification device 2 is not used and may be excluded.

次に、検証システムＳの検証モード時の動作について説明する。図３は、第１実施形態の検証システムＳの検証モード時の動作の説明図である。ユーザは、制御装置１のプログラムを更新する場合、モード格納部１１０の動作モードを通常モードから検証モードに切り替える。これによって、入力動作切替部１０２と出力動作切替部１０７がデータの経路を切り替える。 Next, the operation of the verification system S in the verification mode will be described. FIG. 3 is an explanatory diagram of the operation of the verification system S of the first embodiment in the verification mode. When updating the program of the control device 1, the user switches the operation mode of the mode storage unit 110 from the normal mode to the verification mode. As a result, the input operation switching unit 102 and the output operation switching unit 107 switch the data path.

まず、通常モードと同様の動作は、第１演算部１０３が実行する（Ｓ１→Ｓ２→Ｓ３→Ｓ５→Ｓ７→Ｓ８）。 First, the first calculation unit 103 executes the same operation as in the normal mode (S1 → S2 → S3 → S5 → S7 → S8).

一方、プログラムの更新、検証の動作時のデータの流れは、図３の破線で示す通りである。以下、図４を参照して具体的に説明する。図４は、第１実施形態の検証システムＳの動作例を示すフローチャートである。 On the other hand, the data flow during program update and verification operations is as shown by the broken line in FIG. Hereinafter, a specific description will be given with reference to FIG. FIG. 4 is a flowchart showing an operation example of the verification system S of the first embodiment.

まず、検証装置２の検証部２３は、記憶部２４に格納された更新プログラムを制御装置１の第２演算部１０４に送信する（Ｓ１０１）。第２演算部１０４は、その更新プログラムを受信（ダウンロード）する（Ｓ１０２）。 First, the verification unit 23 of the verification device 2 transmits the update program stored in the storage unit 24 to the second calculation unit 104 of the control device 1 (S101). The second calculation unit 104 receives (downloads) the update program (S102).

次に、検証部２３は、Ｓ１０３〜Ｓ１０８で正常系テストを実行する。具体的には、検証部２３は、記憶部２４に格納された正常系検証用データ（検出装置４からの検出信号を模したデータ）を第２演算部１０４に送信する（Ｓ１０３）。第２演算部１０４はその正常系検証用データを受信する（Ｓ１０４）。次に、第２演算部１０４は、更新プログラムと正常系検証用データを用いて制御演算を実行し（Ｓ１０５）、演算結果を検証装置２に出力する（Ｓ１０６）。検証装置２はその演算結果を受信する（Ｓ１０７）。 Next, the verification unit 23 executes the normal system test in S103 to S108. Specifically, the verification unit 23 transmits the normal system verification data (data imitating the detection signal from the detection device 4) stored in the storage unit 24 to the second calculation unit 104 (S103). The second calculation unit 104 receives the normal system verification data (S104). Next, the second calculation unit 104 executes a control calculation using the update program and the normal system verification data (S105), and outputs the calculation result to the verification device 2 (S106). The verification device 2 receives the calculation result (S107).

次に、検証部２３は、受信した演算結果を用いて正常系比較検証して（Ｓ１０８）、図５に示す検証結果（正常系テストの検証結果）を記憶部２４に格納する。ここで、図５は、第１実施形態における検証結果の例を示す図である。図５の検証結果について、左から順に、検証入力値は、正常系検証用データである。なお、この検証入力値は、制御装置１のとり得る最小から最大までのすべてでもよいし、間引いたものであってもよい。想定値は、正解データ（正常系適正値データ）である。読み込み値は、第２演算部１０４による演算結果である。前回出力との時間差は、実測値であり、許容範囲として「８〜１２ｍｓ」が設定されている。なお、この許容範囲は、ユーザごとに設定可能でもよいし、ベンダーが仕様として予め定義してもよい。判定は、ＯＫ（適正）とＮＧ（不適正）の２択である。 Next, the verification unit 23 compares and verifies the normal system using the received calculation result (S108), and stores the verification result (verification result of the normal system test) shown in FIG. 5 in the storage unit 24. Here, FIG. 5 is a diagram showing an example of the verification result in the first embodiment. Regarding the verification results of FIG. 5, in order from the left, the verification input values are normal system verification data. The verification input value may be all from the minimum to the maximum that the control device 1 can take, or may be thinned out. The assumed value is correct answer data (normal system appropriate value data). The read value is the calculation result by the second calculation unit 104. The time difference from the previous output is an actually measured value, and "8 to 12 ms" is set as an allowable range. This permissible range may be set for each user, or may be defined in advance by the vendor as a specification. The judgment is OK (appropriate) or NG (inappropriate).

次に、正常系比較検証（Ｓ１０８）の動作例について説明する。図６は、第１実施形態における正常系比較検証の動作例を示すフローチャートである。検証部２３は、すべての検証入力値について、Ｓ１０８２〜Ｓ１０８４を実行する（Ｓ１０８１〜Ｓ１０８５）。ただし、Ｓ１０８２とＳ１０８３のいずれかでＮｏとなった場合は、その時点で処理を終了する。 Next, an operation example of the normal system comparison verification (S108) will be described. FIG. 6 is a flowchart showing an operation example of normal system comparison verification in the first embodiment. The verification unit 23 executes S1082 to S1084 for all the verification input values (S1081 to S1085). However, if No in either S1082 or S1083, the process ends at that point.

Ｓ１０８２において、検証部２３は、読み込み値が想定値と同じであるか否かを判定し、Ｙｅｓの場合はＳ１０８３に進み、Ｎｏの場合はＳ１０８６に進む。Ｓ１０８３において、検証部２３は、前回出力との時間差が許容範囲内か否かを判定し、Ｙｅｓの場合はＳ１０８４に進み、Ｎｏの場合はＳ１０８６に進む。Ｓ１０８４において、検証部２３は、検証結果における判定結果としてＯＫを保存する（図５）。 In S1082, the verification unit 23 determines whether or not the read value is the same as the assumed value, and if Yes, the process proceeds to S1083, and if No, the process proceeds to S1086. In S1083, the verification unit 23 determines whether or not the time difference from the previous output is within the allowable range, and if Yes, the process proceeds to S1084, and if No, the process proceeds to S1086. In S1084, the verification unit 23 saves OK as a determination result in the verification result (FIG. 5).

Ｓ１０８６において、検証部２３は、検証結果における判定結果としてＮＧを保存する（図５）。その後、検証部２３は、記憶部２４に格納されている更新前プログラムを第２演算部１０４に配信する（Ｓ１０８７）。これは、更新プログラムが適正に動作しなかったためである。その後、検証部２３は、検証を終了し（Ｓ１０８８）、処理を終了する。なお、このＳ１０８８を経由した後は、図４の処理も中止する。また、動作モードを検証モードから通常モードに戻す。Ｓ１０８５を経由してＳ１０８を終了した場合は、図４の処理に戻る。 In S1086, the verification unit 23 saves NG as a determination result in the verification result (FIG. 5). After that, the verification unit 23 distributes the pre-update program stored in the storage unit 24 to the second calculation unit 104 (S1087). This is because the update did not work properly. After that, the verification unit 23 ends the verification (S1088) and ends the process. After passing through this S1088, the process of FIG. 4 is also stopped. Also, the operation mode is returned from the verification mode to the normal mode. When S108 is terminated via S1085, the process returns to the process of FIG.

図４に戻って、Ｓ１０８の後、検証部２３は、Ｓ１０９〜Ｓ１１４で異常系テストを実行する。具体的には、検証部２３は、記憶部２４に格納された異常系検証用データを第２演算部１０４に送信する（Ｓ１０９）。第２演算部１０４はその異常系検証用データを受信する（Ｓ１１０）。次に、第２演算部１０４は、更新プログラムと異常系検証用データを用いてエラー検出を実行し（Ｓ１１１）、エラーコードを検証装置２に送信する（Ｓ１１２）。検証装置２はそのエラーコードを受信する（Ｓ１１３）。 Returning to FIG. 4, after S108, the verification unit 23 executes the abnormal system test in S109 to S114. Specifically, the verification unit 23 transmits the abnormal system verification data stored in the storage unit 24 to the second calculation unit 104 (S109). The second calculation unit 104 receives the abnormal system verification data (S110). Next, the second calculation unit 104 executes error detection using the update program and the abnormal system verification data (S111), and transmits the error code to the verification device 2 (S112). The verification device 2 receives the error code (S113).

前記したように、異常系テストとは、異常な入力に対して適正な出力がされるかを調べるテストである。また、異常系適正値データは、異常系テストの正解データであり、つまり、異常系テストに関して適正か否かを判定するためのデータである。図７は、第１実施形態における異常系適正値データの例を示す図である。図７に示すように、異常系適正値データでは、エラーの種類とエラーコードとが対応付けられている。 As described above, the abnormal system test is a test for checking whether an appropriate output is obtained for an abnormal input. Further, the abnormal system appropriate value data is the correct answer data of the abnormal system test, that is, the data for determining whether or not the abnormal system test is appropriate. FIG. 7 is a diagram showing an example of abnormal system appropriate value data in the first embodiment. As shown in FIG. 7, in the abnormal system appropriate value data, an error type and an error code are associated with each other.

数値が許容範囲外のエラーには、エラーコード「００００」が対応付けられている。数値が許容範囲外のエラーとは、例えば、許容範囲が「０」〜「２０」のときに、「２１」という数値を受けた場合である。 An error code "0000" is associated with an error whose numerical value is out of the permissible range. An error in which the numerical value is out of the allowable range is, for example, a case where a numerical value of "21" is received when the allowable range is "0" to "20".

また、データ内容が異常のエラーには、エラーコード「０００１」が対応付けられている。データ内容が異常のエラーとは、例えば、データサイズが不適正である場合である。 Further, an error code "0001" is associated with an error whose data content is abnormal. An error in which the data content is abnormal is, for example, a case where the data size is inappropriate.

また、暗復号異常のエラーには、エラーコード「００１０」が対応付けられている。暗復号異常のエラーとは、例えば、暗号化データを復号化したら必ず先頭データが「０１２３」であるべきなのに別のデータになっている場合である。 Further, an error code "0010" is associated with the error of the dark decoding abnormality. The error of the dark decoding abnormality is, for example, a case where the first data should always be "0123" when the encrypted data is decrypted, but it is different data.

図４に戻って、Ｓ１１３の後、検証部２３は、受信したエラーコードを用いて異常系比較検証して（Ｓ１１４）、検証結果（不図示）を記憶部２４に格納する。次に、異常系比較検証（Ｓ１１４）の動作例について説明する。図８は、第１実施形態における異常系比較検証の動作例を示すフローチャートである。検証部２３は、すべての検証入力データ（異常系検証用データ）について、Ｓ１１４２、Ｓ１１４３を実行する（Ｓ１１４１〜Ｓ１１４４）。ただし、Ｓ１１４２でＮｏとなった場合は、その時点で処理を終了する。 Returning to FIG. 4, after S113, the verification unit 23 compares and verifies the abnormal system using the received error code (S114), and stores the verification result (not shown) in the storage unit 24. Next, an operation example of the abnormal system comparison verification (S114) will be described. FIG. 8 is a flowchart showing an operation example of the abnormal system comparison verification in the first embodiment. The verification unit 23 executes S1142 and S1143 for all the verification input data (abnormal system verification data) (S1141 to S1144). However, if No in S1142, the process ends at that point.

Ｓ１１４２において、検証部２３は、受信したエラーコードが適正であるか否かを判定し、Ｙｅｓの場合はＳ１１４３に進み、Ｎｏの場合はＳ１１４５に進む。Ｓ１１４２では、例えば、数値の許容範囲が「０」〜「２０」の場合に「２１」という数値が検証入力データであった場合に、エラーコード「００００」を受信すれば適正であり（Ｙｅｓ）、他のデータ（「００００」以外のエラーコード等）を受信すれば不適正である（Ｎｏ）。Ｓ１１４３において、検証部２３は、検証結果における判定結果としてＯＫを保存する。 In S1142, the verification unit 23 determines whether or not the received error code is appropriate, and if Yes, the process proceeds to S1143, and if No, the process proceeds to S1145. In S1142, for example, when the permissible range of numerical values is "0" to "20" and the numerical value "21" is the verification input data, it is appropriate if the error code "0000" is received (Yes). , If other data (error code other than "0000", etc.) is received, it is inappropriate (No). In S1143, the verification unit 23 saves OK as a determination result in the verification result.

Ｓ１１４５において、検証部２３は、検証結果における判定結果としてＮＧを保存する。その後、検証部２３は、記憶部２４に格納されている更新前プログラムを第２演算部１０４に配信する（Ｓ１１４６）。これは、更新プログラムが適正に動作しなかったためである。その後、検証部２３は、検証を終了し（Ｓ１１４７）、処理を終了する。なお、このＳ１１４７を経由した後は、図４の処理も中止する。また、動作モードを検証モードから通常モードに戻す。Ｓ１１４４を経由してＳ１１４を終了した場合は、図４の処理に戻る。 In S1145, the verification unit 23 stores NG as a determination result in the verification result. After that, the verification unit 23 distributes the pre-update program stored in the storage unit 24 to the second calculation unit 104 (S1146). This is because the update did not work properly. After that, the verification unit 23 ends the verification (S1147) and ends the process. After passing through this S1147, the process of FIG. 4 is also stopped. Also, the operation mode is returned from the verification mode to the normal mode. When S114 is terminated via S1144, the process returns to the process of FIG.

図４に戻って、Ｓ１１４の後、検証部２３は、記憶部２４に格納されている更新前プログラムを第２演算部１０４に送信する（Ｓ１１５）。第２演算部１０４は、その更新前プログラムを受信（ダウンロード）する（Ｓ１１６）。ここで、第２演算部１０４を更新前プログラムに戻すのは、これから第１演算部１０３のプログラムの更新、検証を行うにあたり、その間、通常モードと同様の処理を第２演算部１０４に実行させるためである。 Returning to FIG. 4, after S114, the verification unit 23 transmits the pre-update program stored in the storage unit 24 to the second calculation unit 104 (S115). The second calculation unit 104 receives (downloads) the pre-update program (S116). Here, returning the second arithmetic unit 104 to the pre-update program is to cause the second arithmetic unit 104 to execute the same processing as in the normal mode during the update and verification of the program of the first arithmetic unit 103. Because.

次に、検証部２３は、Ｓ１１７〜Ｓ１３０において、第１演算部１０３のプログラムの更新、検証の処理を行うが、Ｓ１０１〜Ｓ１１４と同様であるため、説明を省略する。 Next, in S117 to S130, the verification unit 23 updates and verifies the program of the first calculation unit 103, but since it is the same as in S101 to S114, the description thereof will be omitted.

Ｓ１３０の後、つまり、第２演算部１０４、第１演算部１０３ともにプログラムの更新、検証で問題がなかった場合、検証部２３は、記憶部２４に格納された更新プログラムを制御装置１の第２演算部１０４に送信する（Ｓ１３１）。第２演算部１０４は、その更新プログラムを受信（ダウンロード）する（Ｓ１３２）。これにより、第２演算部１０４、第１演算部１０３ともに更新プログラムに更新された。その後、モード格納部１１０は検証モードから通常モードに遷移する。 After S130, that is, when there is no problem in updating and verifying the programs in both the second calculation unit 104 and the first calculation unit 103, the verification unit 23 transfers the update program stored in the storage unit 24 to the first control device 1. 2 Transmission to the calculation unit 104 (S131). The second calculation unit 104 receives (downloads) the update program (S132). As a result, both the second calculation unit 104 and the first calculation unit 103 have been updated to the update program. After that, the mode storage unit 110 transitions from the verification mode to the normal mode.

このように、第１実施形態の検証システムＳによれば、制御装置１を停止させることなくプログラムの更新と検証を行うことができる。具体的には、検証装置２の検証部２３は、制御装置１のプログラムを更新する際にモード格納部１１０が検証モードに遷移した場合、第１演算部１０３と第２演算部１０４の一方に対して、更新プログラムを送信するとともに、検証用データによる動作の検証を正常系テストと異常系テストの両方について実施した後、検証結果が適正であれば、他方についても同様の動作を実行する。これにより、制御装置１のプログラムを更新するだけでなく、更新後の動作も保障することができる。 As described above, according to the verification system S of the first embodiment, the program can be updated and verified without stopping the control device 1. Specifically, when the mode storage unit 110 transitions to the verification mode when updating the program of the control device 1, the verification unit 23 of the verification device 2 can be used as one of the first calculation unit 103 and the second calculation unit 104. On the other hand, after sending the update program and verifying the operation with the verification data for both the normal system test and the abnormal system test, if the verification result is appropriate, the same operation is executed for the other. As a result, not only the program of the control device 1 can be updated, but also the operation after the update can be guaranteed.

（第２実施形態）
次に、第２実施形態の検証システムＳについて説明する。なお、第１実施形態と同様の構成には同様の符号を付し、重複する説明を適宜省略する。図９は、第２実施形態の検証システムＳの構成例を示すブロック図である。 (Second Embodiment)
Next, the verification system S of the second embodiment will be described. The same components as those in the first embodiment are designated by the same reference numerals, and duplicate description will be omitted as appropriate. FIG. 9 is a block diagram showing a configuration example of the verification system S of the second embodiment.

図９の制御装置１は、図１の制御装置１と比較して、検証結果出力部１０９が無い点で異なっている。 The control device 1 of FIG. 9 is different from the control device 1 of FIG. 1 in that the verification result output unit 109 is not provided.

また、図９の検証装置２は、図１の検証装置２と比較して、次の点で異なっている。まず、検証信号入力部２２が無い。また、記憶部２４が正常系検証プログラムと異常系検証プログラムからなる検証プログラムをさらに記憶している。つまり、第２実施形態では、更新プログラムではなく、更新プログラムと演算内容が同一で検証結果送信機能を有する
検証プログラムを用いて検証を行う。検証プログラムの場合、更新プログラムとは異なり、図１１に示すように、制御装置１において演算の結果を出力動作切替部１０７に伝送しない。また、検証プログラムは、演算結果を保持し、検証入力値と、その検証入力値に基づいた演算結果（出力値）と演算周期を検証装置２へ伝送する機能を有している（図１３）。 Further, the verification device 2 of FIG. 9 is different from the verification device 2 of FIG. 1 in the following points. First, there is no verification signal input unit 22. Further, the storage unit 24 further stores a verification program including a normal system verification program and an abnormal system verification program. That is, in the second embodiment, the verification is performed using not the update program but a verification program having the same calculation content as the update program and having a verification result transmission function. In the case of the verification program, unlike the update program, as shown in FIG. 11, the control device 1 does not transmit the calculation result to the output operation switching unit 107. Further, the verification program has a function of holding the calculation result and transmitting the verification input value, the calculation result (output value) based on the verification input value, and the calculation cycle to the verification device 2 (FIG. 13). ..

また、検証装置２は、制御装置１と同一の場所に設置されるローカル機器でもよいし、クラウドサーバなど、遠隔地に設置されるものでもよい。 Further, the verification device 2 may be a local device installed at the same location as the control device 1, or may be installed at a remote location such as a cloud server.

また、例えば、検証部２３は、制御装置１のプログラムを更新する際にモード格納部１１０が検証モードに遷移した場合、第１演算部１０３と第２演算部１０４の一方に対して、検証プログラムを送信するとともに、検証プログラムを実行したその一方から受信した検証結果が適正であれば、他方についても、検証プログラムを送信する。 Further, for example, when the mode storage unit 110 transitions to the verification mode when updating the program of the control device 1, the verification unit 23 applies a verification program to one of the first calculation unit 103 and the second calculation unit 104. If the verification result received from one of the executions of the verification program is appropriate, the verification program is also transmitted to the other.

また、例えば、検証部２３は、第１演算部１０３と第２演算部１０４の一方に対して、検証プログラムを送信するとともに、検証プログラムを実行したその一方から受信した検証結果が適正であれば、その一方に更新プログラムを配信する。 Further, for example, if the verification unit 23 transmits the verification program to one of the first calculation unit 103 and the second calculation unit 104, and the verification result received from the execution of the verification program is appropriate. , Deliver updates to one of them.

また、例えば、検証部２３は、第１演算部１０３と第２演算部１０４の一方に対して、検証プログラムを送信するとともに、検証プログラムを実行したその一方から受信した検証結果が不適正であれば、その一方に更新前プログラムを再度配信する。 Further, for example, the verification unit 23 transmits a verification program to one of the first calculation unit 103 and the second calculation unit 104, and the verification result received from the execution of the verification program is inappropriate. If so, the pre-update program will be distributed to one of them again.

また、例えば、検証部２３は、更新対象の演算部に対して、正常系検証プログラムを送信し、それを実行した当該演算部から受信した計算結果と、記憶部２４の正常系適正値データとに基づいて、当該演算部の動作が適正か否かを判定する。 Further, for example, the verification unit 23 transmits a normal system verification program to the calculation unit to be updated, and the calculation result received from the calculation unit that executes the normal system verification program and the normal system appropriate value data of the storage unit 24. Based on, it is determined whether or not the operation of the calculation unit is appropriate.

また、例えば、検証部２３は、更新対象の演算部に対して、異常系検証プログラムを送信し、それを実行した当該演算部から受信した計算結果と、記憶部２４の異常系適正値データとに基づいて、当該演算部の動作が適正か否かを判定する。 Further, for example, the verification unit 23 transmits an abnormal system verification program to the calculation unit to be updated, and the calculation result received from the calculation unit that executes the abnormal system verification program and the abnormal system appropriate value data of the storage unit 24. Based on, it is determined whether or not the operation of the calculation unit is appropriate.

次に、検証システムＳの通常モード時の動作について説明する。図１０は、第２実施形態の検証システムＳの通常モード時の動作の説明図である。図１０のＳ２１〜Ｓ２８は、図２のＳ１〜Ｓ８と同様であるので、説明を省略する。 Next, the operation of the verification system S in the normal mode will be described. FIG. 10 is an explanatory diagram of the operation of the verification system S of the second embodiment in the normal mode. Since S21 to S28 in FIG. 10 are the same as S1 to S8 in FIG. 2, description thereof will be omitted.

次に、検証システムＳの検証モード時の動作について説明する。図１１は、第２実施形態の検証システムＳの検証モード時の動作の説明図である。ユーザは、制御装置１のプログラムを更新する場合、モード格納部１１０の動作モードを通常モードから検証モードに切り替える。これによって、入力動作切替部１０２と出力動作切替部１０７がデータの経路を切り替える。 Next, the operation of the verification system S in the verification mode will be described. FIG. 11 is an explanatory diagram of the operation of the verification system S of the second embodiment in the verification mode. When updating the program of the control device 1, the user switches the operation mode of the mode storage unit 110 from the normal mode to the verification mode. As a result, the input operation switching unit 102 and the output operation switching unit 107 switch the data path.

まず、通常モードと同様の動作は、第１演算部１０３が実行する（Ｓ２１→Ｓ２２→Ｓ２３→Ｓ２５→Ｓ２７→Ｓ２８）。 First, the first calculation unit 103 executes the same operation as in the normal mode (S21 → S22 → S23 → S25 → S27 → S28).

一方、プログラムの更新、検証の動作時のデータの流れは、図１１の破線で示す通りである。以下、図１２を参照して具体的に説明する。図１２は、第２実施形態の検証システムＳの動作例を示すフローチャートである。 On the other hand, the flow of data during the operation of program update and verification is as shown by the broken line in FIG. Hereinafter, a specific description will be given with reference to FIG. FIG. 12 is a flowchart showing an operation example of the verification system S of the second embodiment.

まず、検証装置２の検証部２３は、記憶部２４に格納された検証プログラム（正常系検証プログラム、異常系検証プログラムの両方）を制御装置１の第２演算部１０４に送信する（Ｓ２０１）。第２演算部１０４は、その検証プログラムを受信（ダウンロード）する（Ｓ２０２）。 First, the verification unit 23 of the verification device 2 transmits the verification program (both the normal system verification program and the abnormal system verification program) stored in the storage unit 24 to the second calculation unit 104 of the control device 1 (S201). The second calculation unit 104 receives (downloads) the verification program (S202).

次に、検証部２３は、Ｓ２０３〜Ｓ２０８で正常系テストを実行する。具体的には、検証部２３は、記憶部２４に格納された正常系検証用データを第２演算部１０４に送信する（Ｓ２０３）。第２演算部１０４はその正常系検証用データを受信する（Ｓ２０４）。次に、第２演算部１０４は、正常系検証プログラムと正常系検証用データを用いて制御演算を実行し（Ｓ２０５）、演算結果（出力値）を保存（蓄積）してから、ひとまとまりの演算結果として検証装置２に送信する（Ｓ２０６）。検証装置２はその演算結果を受信する（Ｓ２０７）。 Next, the verification unit 23 executes the normal system test in S203 to S208. Specifically, the verification unit 23 transmits the normal system verification data stored in the storage unit 24 to the second calculation unit 104 (S203). The second calculation unit 104 receives the normal system verification data (S204). Next, the second calculation unit 104 executes a control calculation using the normal system verification program and the normal system verification data (S205), saves (accumulates) the calculation result (output value), and then collects a set. The calculation result is transmitted to the verification device 2 (S206). The verification device 2 receives the calculation result (S207).

ここで、図１３は、第２実施形態における正常系保存データ（ひとまとまりの演算結果）の例を示す図である。図１３の正常系保存データについて、左から順に、検証入力値は、正常系検証用データである。演算結果は、検証入力値に基づいて演算した結果である。演算周期は、演算の時間長である。 Here, FIG. 13 is a diagram showing an example of normal system storage data (a set of calculation results) in the second embodiment. Regarding the normal system storage data of FIG. 13, the verification input values are the normal system verification data in order from the left. The calculation result is the result of calculation based on the verification input value. The calculation cycle is the time length of the calculation.

図１２に戻って、Ｓ２０７の後、検証部２３は、受信した演算結果を用いて正常系比較検証して（Ｓ２０８）、検証結果（図５と同様）を記憶部２４に格納する。この正常系比較検証（Ｓ２０８）の動作例について説明する。図１４は、第２実施形態における正常系比較検証の動作例を示すフローチャートである。 Returning to FIG. 12, after S207, the verification unit 23 compares and verifies the normal system using the received calculation result (S208), and stores the verification result (similar to FIG. 5) in the storage unit 24. An operation example of this normal system comparison verification (S208) will be described. FIG. 14 is a flowchart showing an operation example of normal system comparison verification in the second embodiment.

検証部２３は、すべての検証入力値について、Ｓ２０８２〜Ｓ２０８４を実行する（Ｓ２０８１〜Ｓ２０８５）。ただし、Ｓ２０８２とＳ２０８３のいずれかでＮｏとなった場合は、その時点で処理を終了する。 The verification unit 23 executes S2082 to S2084 for all the verification input values (S2081 to S2085). However, if No is obtained in either S2082 or S2083, the process ends at that point.

Ｓ２０８２において、検証部２３は、演算結果（図１３）が想定値（図５）と同じであるか否かを判定し、Ｙｅｓの場合はＳ２０８３に進み、Ｎｏの場合はＳ２０８６に進む。Ｓ２０８３において、検証部２３は、演算周期（図１３）が許容範囲（図５）内か否かを判定し、Ｙｅｓの場合はＳ２０８４に進み、Ｎｏの場合はＳ２０８６に進む。Ｓ２０８４において、検証部２３は、検証結果における判定結果としてＯＫを保存する。 In S2082, the verification unit 23 determines whether or not the calculation result (FIG. 13) is the same as the assumed value (FIG. 5). If Yes, the process proceeds to S2083, and if No, the process proceeds to S2086. In S2083, the verification unit 23 determines whether or not the calculation cycle (FIG. 13) is within the permissible range (FIG. 5), and if Yes, the process proceeds to S2084, and if No, the process proceeds to S2086. In S2084, the verification unit 23 saves OK as a determination result in the verification result.

Ｓ２０８６において、検証部２３は、検証結果における判定結果としてＮＧを保存する。その後、検証部２３は、記憶部２４に格納されている更新前プログラムを第２演算部１０４に配信する（Ｓ２０８７）。これは、検証プログラムが適正に動作しなかったためである。その後、検証部２３は、検証を終了し（Ｓ２０８８）、処理を終了する。なお、このＳ２０８８を経由した後は、図１２の処理も中止する。また、動作モードを検証モードから通常モードに戻す。Ｓ２０８５を経由してＳ２０８を終了した場合は、図１２の処理に戻る。 In S2086, the verification unit 23 saves NG as a determination result in the verification result. After that, the verification unit 23 distributes the pre-update program stored in the storage unit 24 to the second calculation unit 104 (S2087). This is because the verification program did not work properly. After that, the verification unit 23 ends the verification (S2088) and ends the process. After passing through this S2088, the process of FIG. 12 is also stopped. Also, the operation mode is returned from the verification mode to the normal mode. When S208 is terminated via S2085, the process returns to the process of FIG.

図１２に戻って、Ｓ２０８の後、検証部２３は、Ｓ２０９〜Ｓ２１４で異常系テストを実行する。具体的には、検証部２３は、記憶部２４に格納された異常系検証用データ（異常系テスト番号）を第２演算部１０４に送信する（Ｓ２０９）。第２演算部１０４はその異常系検証用データを受信する（Ｓ２１０）。次に、第２演算部１０４は、異常系検証プログラムと異常系検証用データを用いてエラー検出を実行し（Ｓ２１１）、エラーコードを保存（蓄積）してから、ひとまとまりの演算結果として検証装置２に送信する（Ｓ２１２）。検証装置２はその演算結果を受信する（Ｓ２１３）。 Returning to FIG. 12, after S208, the verification unit 23 executes the abnormal system test in S209 to S214. Specifically, the verification unit 23 transmits the abnormal system verification data (abnormal system test number) stored in the storage unit 24 to the second calculation unit 104 (S209). The second calculation unit 104 receives the abnormal system verification data (S210). Next, the second calculation unit 104 executes error detection using the abnormality system verification program and the abnormality system verification data (S211), saves (accumulates) the error code, and then verifies it as a set of calculation results. It is transmitted to the device 2 (S212). The verification device 2 receives the calculation result (S213).

なお、Ｓ２０６やＳ２１２での第２演算部１０４から検証装置２へのデータの送信タイミングは、処理の所定単位ごとでもよいし、一定数のデータサイズが保存された場合でもよいし、また、すべての処理が終わった場合でもよい。 The data transmission timing from the second calculation unit 104 to the verification device 2 in S206 or S212 may be for each predetermined unit of processing, may be when a certain number of data sizes are stored, or all. It may be the case when the processing of is completed.

ここで、図１５（ａ）は、第２実施形態における検証プログラムの一部の例を示す図である。図１５（ｂ）は、第２実施形態における異常系保存データ（ひとまとまりの演算結果）の例を示す図である。この検証プログラムにおいて、正常な処理では、ｂとｃの加算によりａを算出し（図１５（ａ）のＬ１）、ａとｄが一致する（図１５（ａ）のＬ５、Ｌ６）。そして、異常系テスト番号「１」のテスト（ＴＥＳＴ１）では、ａに１を加算することで（図１５（ａ）のＬ３）、ａ≠ｄという環境を創作可能になる（図１５（ａ）のＬ７〜Ｌ９）。なお、図１５（ａ）のＬ８の「ＥＲＲＯＲ」はエラーコード（例えば「００００」）を意味する。このような異常系テストを複数用意することで、図１５（ｂ）に示すような異常系保存データ（ひとまとまりの演算結果）を作成可能となる。また、検証装置２の記憶部２４の異常系適正値データには、この図１５（ｂ）に示す情報が正解テーブルとして保存されている。なお、このような検証プログラムを用いれば、図１２におけるＳ２０９、Ｓ２１０の処理を省略できる。 Here, FIG. 15A is a diagram showing a part of an example of the verification program in the second embodiment. FIG. 15B is a diagram showing an example of abnormal system storage data (a set of calculation results) in the second embodiment. In this verification program, in normal processing, a is calculated by adding b and c (L1 in FIG. 15 (a)), and a and d match (L5 and L6 in FIG. 15 (a)). Then, in the test (TEST1) of the abnormal system test number "1", by adding 1 to a (L3 in FIG. 15A), it becomes possible to create an environment in which a ≠ d (FIG. 15A). L7 to L9). The "ERROR" in L8 in FIG. 15A means an error code (for example, "0000"). By preparing a plurality of such abnormal system tests, it is possible to create abnormal system stored data (a set of calculation results) as shown in FIG. 15B. Further, the information shown in FIG. 15B is stored as a correct answer table in the abnormal system appropriate value data of the storage unit 24 of the verification device 2. If such a verification program is used, the processing of S209 and S210 in FIG. 12 can be omitted.

図１２に戻って、Ｓ２１３の後、検証部２３は、受信した演算結果（エラーコード）を用いて異常系比較検証して（Ｓ２１４）、検証結果（不図示）を記憶部２４に格納する。次に、異常系比較検証（Ｓ２１４）の動作例について説明する。図１６は、第２実施形態における異常系比較検証の動作例を示すフローチャートである。検証部２３は、すべての異常系テスト番号のテストについて、Ｓ２１４２、Ｓ２１４３を実行する（Ｓ２１４１〜Ｓ２１４４）。ただし、Ｓ２１４２でＮｏとなった場合は、その時点で処理を終了する。 Returning to FIG. 12, after S213, the verification unit 23 compares and verifies the abnormal system using the received calculation result (error code) (S214), and stores the verification result (not shown) in the storage unit 24. Next, an operation example of the abnormal system comparison verification (S214) will be described. FIG. 16 is a flowchart showing an operation example of the abnormal system comparison verification in the second embodiment. The verification unit 23 executes S2142 and S2143 for the tests of all the abnormal system test numbers (S2141 to S2144). However, if No in S2142, the process ends at that point.

Ｓ２１４２において、検証部２３は、エラーコードが適正であるか否かを判定し、Ｙｅｓの場合はＳ２１４３に進み、Ｎｏの場合はＳ２１４５に進む。Ｓ２１４３において、検証部２３は、検証結果における判定結果としてＯＫを保存する。 In S2142, the verification unit 23 determines whether or not the error code is appropriate, and if Yes, proceeds to S2143, and if No, proceeds to S2145. In S2143, the verification unit 23 saves OK as a determination result in the verification result.

Ｓ２１４５において、検証部２３は、検証結果における判定結果としてＮＧを保存する。その後、検証部２３は、記憶部２４に格納されている更新前プログラムを第２演算部１０４に配信する（Ｓ２１４６）。これは、検証プログラムが適正に動作しなかったためである。その後、検証部２３は、検証を終了し（Ｓ２１４７）、処理を終了する。なお、このＳ２１４７を経由した後は、図１２の処理も中止する。また、動作モードを検証モードから通常モードに戻す。Ｓ２１４４を経由してＳ２１４を終了した場合は、図１２の処理に戻る。 In S2145, the verification unit 23 stores NG as a determination result in the verification result. After that, the verification unit 23 distributes the pre-update program stored in the storage unit 24 to the second calculation unit 104 (S2146). This is because the verification program did not work properly. After that, the verification unit 23 ends the verification (S2147) and ends the process. After passing through this S2147, the process of FIG. 12 is also stopped. Also, the operation mode is returned from the verification mode to the normal mode. When S214 is terminated via S2144, the process returns to the process of FIG.

図１２に戻って、Ｓ２１４の後、検証部２３は、記憶部２４に格納されている更新前プログラムを第２演算部１０４に送信する（Ｓ２１５）。第２演算部１０４は、その更新前プログラムを受信（ダウンロード）する（Ｓ２１６）。ここで、第２演算部１０４を更新前プログラムに戻すのは、これから第１演算部１０３のプログラムの更新、検証を行うにあたり、その間、通常モードと同様の処理を第２演算部１０４に実行させるためである。 Returning to FIG. 12, after S214, the verification unit 23 transmits the pre-update program stored in the storage unit 24 to the second calculation unit 104 (S215). The second calculation unit 104 receives (downloads) the pre-update program (S216). Here, returning the second arithmetic unit 104 to the pre-update program is to cause the second arithmetic unit 104 to execute the same processing as in the normal mode during the update and verification of the program of the first arithmetic unit 103. Because.

次に、検証部２３は、Ｓ２１７〜Ｓ２３０において、第１演算部１０３のプログラムの更新、検証の処理を行うが、Ｓ２０１〜Ｓ２１４と同様であるため、説明を省略する。 Next, the verification unit 23 updates and verifies the program of the first calculation unit 103 in S217 to S230, but the description is omitted because it is the same as in S201 to S214.

Ｓ２３０の後、つまり、第２演算部１０４、第１演算部１０３ともにプログラムの更新、検証で問題がなかった場合、検証部２３は、記憶部２４に格納された更新プログラムを制御装置１の第２演算部１０４と第１演算部１０３に送信する（Ｓ２３１）。第２演算部１０４、第１演算部１０３は、その更新プログラムを受信（ダウンロード）する（Ｓ２３２、Ｓ２３３）。これにより、第２演算部１０４、第１演算部１０３ともに更新プログラムに更新された。その後、モード格納部１１０は検証モードから通常モードに遷移する。 After S230, that is, when there is no problem in updating and verifying the programs in both the second calculation unit 104 and the first calculation unit 103, the verification unit 23 transfers the update program stored in the storage unit 24 to the first control device 1. 2 Transmission to the calculation unit 104 and the first calculation unit 103 (S231). The second calculation unit 104 and the first calculation unit 103 receive (download) the update program (S232, S233). As a result, both the second calculation unit 104 and the first calculation unit 103 have been updated to the update program. After that, the mode storage unit 110 transitions from the verification mode to the normal mode.

このように、第２実施形態の検証システムＳによれば、制御装置１を停止させることなくプログラムの更新と検証を行うことができる。具体的には、検証装置２の検証部２３は、制御装置１のプログラムを更新する際にモード格納部１１０が検証モードに遷移した場合、第１演算部１０３と第２演算部１０４の一方に対して、検証プログラムを送信するとともに、正常系テストと異常系テストの両方について実施した後、検証結果が適正であれば、他方についても同様の動作を実行する。これにより、制御装置１のプログラムを更新するだけでなく、更新後の動作も保障することができる。また、制御装置１の検証の際に制御装置１からの実際の出力値を使用しないため、離れた場所に検証装置２を設置でき、利便性が向上する。 As described above, according to the verification system S of the second embodiment, the program can be updated and verified without stopping the control device 1. Specifically, when the mode storage unit 110 transitions to the verification mode when the program of the control device 1 is updated, the verification unit 23 of the verification device 2 may be placed on one of the first calculation unit 103 and the second calculation unit 104. On the other hand, after sending the verification program and performing both the normal system test and the abnormal system test, if the verification result is appropriate, the same operation is executed for the other. As a result, not only the program of the control device 1 can be updated, but also the operation after the update can be guaranteed. Further, since the actual output value from the control device 1 is not used when the control device 1 is verified, the verification device 2 can be installed at a distant place, and the convenience is improved.

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。 Although some embodiments of the present invention have been described, these embodiments are presented as examples and are not intended to limit the scope of the invention. These novel embodiments can be implemented in various other embodiments, and various omissions, replacements, and changes can be made without departing from the gist of the invention. These embodiments and modifications thereof are included in the scope and gist of the invention, and are also included in the scope of the invention described in the claims and the equivalent scope thereof.

例えば、制御装置１の演算部が３つ以上の場合であっても、同様に、それぞれの演算部について順番にプログラムの更新および動作の検証を実施することで、制御装置１を停止させることなくプログラムの更新と検証を行うことができる。 For example, even when there are three or more arithmetic units in the control device 1, the program is updated and the operation is verified in order for each arithmetic unit, so that the control device 1 is not stopped. You can update and verify the program.

１制御装置
１０１通信部
１０２入力動作切替部
１０３第１演算部
１０４第２演算部
１０５第１記憶部
１０６第２記憶部
１０７出力動作切替部
１０８制御信号出力部
１０９検証結果出力部
１１０モード格納部
１１１検出信号入力部
２検証装置
２１通信部
２２検証信号入力部
２３検証部
２４記憶部
３被制御装置
４検出装置
Ｓ検証システム 1 Control device 101 Communication unit 102 Input operation switching unit 103 1st calculation unit 104 2nd calculation unit 105 1st storage unit 106 2nd storage unit 107 Output operation switching unit 108 Control signal output unit 109 Verification result output unit 110 Mode storage unit 111 Detection signal input unit 2 Verification device 21 Communication unit 22 Verification signal input unit 23 Verification unit 24 Storage unit 3 Controlled device 4 Detection device S Verification system

Claims

A control device with multiple arithmetic units and
When updating the program of the control device, after updating the program of one of the plurality of arithmetic units and verifying the operation, if the verification result is appropriate, the remaining arithmetic units Also equipped with a verification device that sequentially updates the program and verifies its operation .
The control device
A mode storage unit that stores whether the current operation mode is normal mode or verification mode,
An input operation switching unit that switches the input destination of input data from the outside to at least one of the plurality of arithmetic units according to the operation mode.
An output operation switching unit that switches the output destination of the calculation result of each of the plurality of calculation units to either the control signal output unit or the verification result output unit according to the operation mode.
The control signal output unit that outputs the control signal that is the calculation result received from the output operation switching unit to the controlled device, and the control signal output unit.
A verification result output unit that outputs a verification result, which is a calculation result received from the output operation switching unit, to the verification device is provided.
The verification device is
A storage unit that stores the program and the update program used by the control device, and also stores the verification data and the verification result received from the control device.
When the mode storage unit transitions to the verification mode when updating the program of the control device, the update program is transmitted to one of the plurality of arithmetic units, and the verification data is transmitted. If the verification result is appropriate, the update program is sequentially transmitted to the remaining arithmetic units, and the verification unit that verifies the operation using the verification data is performed. A verification system to prepare .

When the mode storage unit transitions from the normal mode to the verification mode,
With reference to the mode storage unit, the input operation switching unit switches the data path so that the verification data received from the verification device is input only to the calculation unit to be updated.
The verification system according to claim 1 , wherein the output operation switching unit switches a data path so as to output the verification result of the calculation unit to be updated to the verification result output unit with reference to the mode storage unit.

The verification unit according to claim 1 or 2 , wherein the verification unit of the verification device determines whether or not the output value by the calculation unit and the timing of the output are appropriate for the verification result of the calculation unit. Verification system.

The verification unit of the verification device transmits the data of the abnormal system test as the verification data to the arithmetic unit to be updated, and the error transmitted by the arithmetic unit corresponding to the output value of the abnormal system test. based on the code, the verification system of any one of claims 3 or operation proper or not of the computation unit determines, from the claims 1.

Verification of the verification apparatus, with respect to the calculation of the updated, if the operation after update is determined to be a improper delivers again before the update of the program, claims 1 to 4 The verification system described in any one of the above.

A control device with multiple arithmetic units and
When updating the program of the control device, after updating the program of one of the plurality of arithmetic units and verifying the operation, if the verification result is appropriate, the remaining arithmetic units Also equipped with a verification device that sequentially updates the program and verifies its operation .
The control device is
A mode storage unit that stores whether the current operation mode is normal mode or verification mode,
An input operation switching unit for switching an input destination of input data from the outside to at least one of the plurality of arithmetic units according to the operation mode is provided.
The verification device is
A storage unit that stores the program, the update program, the verification program that has the same calculation content as the update program and has the verification result transmission function, and stores the verification result received from the control device.
When the mode storage unit transitions to the verification mode when updating the program of the control device, the verification program is transmitted to one of the plurality of arithmetic units, and the verification program is transmitted. If the verification result received from the executed calculation unit is appropriate, the remaining calculation units are also provided with a verification unit that sequentially transmits the verification program and performs verification based on the verification result by the verification program. , Verification system.

If the verification unit of the verification device transmits the verification program to one of the plurality of calculation units and the verification result received from the calculation unit that executes the verification program is appropriate. The verification system according to claim 6 , wherein the update program is delivered to the calculation unit.

The verification unit of the verification device transmits the verification program to one of the plurality of calculation units, and the verification result received from the calculation unit that executes the verification program is inappropriate. For example, the verification system according to claim 6 , wherein the program before the update is re-distributed to the calculation unit.

The storage unit of the verification device stores normal system appropriate value data which is correct answer data of the verification result by the verification program for normal system test.
The verification unit of the verification device transmits the verification program for normal system test to the calculation unit to be updated, and the calculation result received from the calculation unit that executes the verification program and the storage unit The verification system according to any one of claims 6 to 8 , which determines whether or not the operation of the calculation unit is appropriate based on the normal system appropriate value data.

The verification unit of the verification device transmits the verification program for the abnormality system test to the calculation unit to be updated, and the calculation unit executes the verification program to correspond to the output value of the abnormality system test. The verification system according to any one of claims 6 to 9 , wherein it is determined whether or not the operation of the calculation unit is appropriate based on the error code transmitted.