JP7379932B2

JP7379932B2 - Control device, user program execution control method, and system program

Info

Publication number: JP7379932B2
Application number: JP2019152913A
Authority: JP
Inventors: 雅哉工藤; 紀昭鈴木; 満中村
Original assignee: Omron Corp
Current assignee: Omron Corp
Priority date: 2019-08-23
Filing date: 2019-08-23
Publication date: 2023-11-15
Anticipated expiration: 2039-08-23
Also published as: WO2021038923A1; JP2021033623A

Description

本発明は、制御対象を制御するためにユーザプログラムを実行する制御装置と、当該制御装置におけるユーザプログラムの実行制御方法と、当該制御装置を実現するためのシステムプログラムに関する。 The present invention relates to a control device that executes a user program to control a controlled object, a method for controlling execution of a user program in the control device, and a system program for realizing the control device.

様々な製造現場において、ＰＬＣ（Programmable Logic Controller）などの制御装置が導入されている。このような制御装置は、一種のコンピュータであり、ＲＡＭ（Random Access Memory）などの揮発性メモリと、ＣＰＵ（Central Processing Unit）などのプロセッサとを備える。揮発性メモリは、製造装置または製造設備などに応じて設計されたユーザプログラムを格納する。プロセッサは、揮発性メモリに格納されたユーザプログラムを構成する命令を順番に読み込み、逐次実行する。 Control devices such as PLCs (Programmable Logic Controllers) have been introduced at various manufacturing sites. Such a control device is a type of computer, and includes a volatile memory such as a RAM (Random Access Memory) and a processor such as a CPU (Central Processing Unit). The volatile memory stores a user program designed according to the manufacturing device or manufacturing equipment. A processor sequentially reads instructions constituting a user program stored in volatile memory and executes them sequentially.

揮発性メモリに格納されたユーザプログラムを実行する場合に、ユーザプログラムのデータが放射線の影響を受けて１ビット単位で破壊され、揮発性メモリにソフトエラーが発生することがある。このように、ユーザプログラムのデータが破壊されてソフトエラーが発生することがあるため、ソフトエラーの検出、および、検出したソフトエラーを修正する機能を制御装置に対して設けることが望まれている。 When executing a user program stored in a volatile memory, the data of the user program may be destroyed bit by bit due to the influence of radiation, and a soft error may occur in the volatile memory. In this way, data in the user program may be destroyed and soft errors may occur, so it is desired that the control device be provided with a function to detect and correct the detected soft errors. .

特開２００４－２２０５８０号公報（特許文献１）は、ユーザプログラムが格納されるユーザプログラムメモリに加えて、ユーザプログラムメモリに格納されたユーザプログラムと同一内容のデータが格納されたバックアップメモリとを備えたプログラマブルコントローラ用ユニットを開示する。このプログラマブルコントローラ用ユニットは、バックアップメモリとユーザプログラムメモリの内容を比較することで異常を検知し、異常を検知した場合にユーザプログラムメモリに格納されたユーザプログラムをバックアップメモリに格納されたデータに基づいて修復する。 Japanese Unexamined Patent Application Publication No. 2004-220580 (Patent Document 1) discloses a system that includes, in addition to a user program memory in which a user program is stored, a backup memory in which data having the same contents as the user program stored in the user program memory is stored. A programmable controller unit is disclosed. This programmable controller unit detects an abnormality by comparing the contents of the backup memory and user program memory, and when an abnormality is detected, the user program stored in the user program memory is changed based on the data stored in the backup memory. and repair it.

特開２００４－２２０５８０号公報Japanese Patent Application Publication No. 2004-220580

特許文献１に開示されたエラーの検知方法は、２つのメモリを互いに比較することでエラーを検知するため、比較結果を得るまでに時間がかかるという課題がある。 The error detection method disclosed in Patent Document 1 detects errors by comparing two memories with each other, so there is a problem that it takes time to obtain a comparison result.

本発明は、メモリに生じる誤りの検出および復元に要する時間を短縮することを目的とする。 An object of the present invention is to shorten the time required to detect and restore errors occurring in memory.

本開示の一例によれば、制御対象を制御するための制御装置が提供される。制御装置は、ユーザプログラムに含まれる命令を順次実行する命令実行部と、ユーザプログラムを格納する揮発性メモリと、揮発性メモリに格納されたユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリと、所定の実行順序に従って、ユーザプログラムに含まれる命令を揮発性メモリから読み出して命令実行部へ提供するアクセス制御部とを含む。揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、指定された領域に対応する誤り検出用の情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。アクセス制御部は、揮発性メモリから命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリから応答されると、誤りが発生している領域のデータをバックアップメモリから揮発性メモリにロードしなおし、揮発性メモリから命令を再度読み出すように構成されている。 According to an example of the present disclosure, a control device for controlling a controlled object is provided. The control device includes an instruction execution unit that sequentially executes instructions included in the user program, a volatile memory that stores the user program, and a backup user program that has the same content as the user program stored in the volatile memory. It includes a backup memory and an access control section that reads instructions included in the user program from the volatile memory and provides them to the instruction execution section according to a predetermined execution order. Volatile memory stores data with error detection information added, and in response to a read request, reads data based on the data in a specified area and the error detection information corresponding to the specified area. The device is configured to respond with the presence or absence of an error in the determined designated area. When reading an instruction from volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the access control unit reads the area where the error has occurred. The controller is configured to reload the data from the backup memory to the volatile memory and read the instructions again from the volatile memory.

本開示によれば、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。 According to the present disclosure, since the presence or absence of an error in a specified area is determined based on error detection information, compared to the case where the occurrence of an error is detected by comparing memories, The time required for processing can be shortened.

上述の開示において、揮発性メモリは、パリティチェックにより誤りの発生有無を応答するように構成されていてもよい。この構成によれば、１ビット単位の誤りを検知することができる。 In the above disclosure, the volatile memory may be configured to respond by parity check as to whether an error has occurred. According to this configuration, errors in 1-bit units can be detected.

上述の開示において、アクセス制御部は、命令実行部に命令を提供することを目的とした読み出しとは別に、揮発性メモリに格納されたデータを予め定められた順番に予め定められたタイミングで読み出し、読み出したデータを格納していた領域に誤りが発生していることが揮発性メモリから応答されると、バックアップメモリに格納されている命令を含むデータをバックアップメモリから揮発性メモリにロードしなおす。 In the above disclosure, the access control unit reads data stored in the volatile memory in a predetermined order at a predetermined timing, in addition to reading for the purpose of providing instructions to the instruction execution unit. When the volatile memory responds that an error has occurred in the area where the read data was stored, the data including instructions stored in the backup memory is reloaded from the backup memory to the volatile memory. .

この開示によれば、命令の実行順序によっては、呼び出される頻度が極めて低い命令にかかるデータに対しても、定期的に誤り検出と誤りの復元とが実行される。 According to this disclosure, error detection and error recovery are periodically performed on data related to instructions that are called extremely infrequently, depending on the execution order of the instructions.

上述の開示において、バックアップメモリは、バックアップ用のユーザプログラムを不揮発的に格納するメモリであってもよい。この場合に、揮発性メモリに格納されるユーザプログラムは、バックアップメモリからロードされる。 In the above disclosure, the backup memory may be a memory that non-volatilely stores a backup user program. In this case, the user program stored in volatile memory is loaded from backup memory.

この開示によれば、電断用のメモリをバックアップメモリに用いることができるため、バックアップメモリを別途用意する必要がなく、メモリ容量を削減することができる。 According to this disclosure, since the power-off memory can be used as a backup memory, there is no need to separately prepare a backup memory, and the memory capacity can be reduced.

上述の開示において、バックアップメモリは、バックアップ用のユーザプログラムを揮発的に格納するメモリであってもよい。アクセス制御部は、命令の実行に伴って揮発性メモリに格納されたデータの書き換えが必要な場合、揮発性メモリに格納されたデータおよびバックアップメモリに格納されたデータを書き換える。 In the above disclosure, the backup memory may be a memory that volatilely stores a backup user program. The access control unit rewrites the data stored in the volatile memory and the data stored in the backup memory when it is necessary to rewrite the data stored in the volatile memory due to execution of an instruction.

この開示によれば、揮発性メモリに格納されたデータに加えてバックアップメモリに格納されたデータを書き換えることで、データの書き換えが生じる命令を含むユーザプログラムのソフトエラーにも対応することができる。 According to this disclosure, by rewriting data stored in a backup memory in addition to data stored in a volatile memory, it is possible to cope with soft errors in user programs that include instructions that cause data to be rewritten.

本開示の別の一例によれば、制御対象を制御するための制御装置におけるユーザプログラムの実行制御方法が提供される。制御装置は、ユーザプログラムを格納する揮発性メモリと、揮発性メモリに格納されたユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリとを含む。揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、指定された領域に対応する誤り検出用の情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。ユーザプログラムの実行制御方法は、所定の実行順序に従って、ユーザプログラムに含まれる命令を揮発性メモリから読み出すステップと、揮発性メモリから命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリから応答されると、誤りが発生している領域のデータをバックアップメモリから揮発性メモリにロードしなおし、揮発性メモリから命令を再度読み出すステップと、揮発性メモリから読み出した命令を実行するステップとを含む。 According to another example of the present disclosure, a method for controlling execution of a user program in a control device for controlling a controlled object is provided. The control device includes a volatile memory that stores a user program, and a backup memory that stores a backup user program having the same content as the user program stored in the volatile memory. Volatile memory stores data with error detection information added, and in response to a read request, reads data based on the data in a specified area and the error detection information corresponding to the specified area. The device is configured to respond with the presence or absence of an error in the determined designated area. A user program execution control method includes the steps of reading instructions included in a user program from volatile memory according to a predetermined execution order, and when reading instructions from volatile memory, the instructions are stored in the area where the read instructions were stored. When the volatile memory responds that an error has occurred, the steps of reloading the data in the area where the error has occurred from the backup memory to the volatile memory and rereading the instructions from the volatile memory; and executing the instructions read from the physical memory.

この開示によれば、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。 According to this disclosure, since the presence or absence of an error in a specified area is determined based on error detection information, compared to the case where the occurrence of an error is detected by comparing memories, The time required for processing can be shortened.

本開示のさらに別の一例によれば、制御対象を制御するための制御装置を実現するためのシステムプログラムが提供される。制御装置は、ユーザプログラムを格納する揮発性メモリと、揮発性メモリに格納されたユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリとを含む。揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、指定された領域に対応する誤り検出用の情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。システムプログラムは制御装置のプロセッサに、所定の実行順序に従って、ユーザプログラムに含まれる命令を揮発性メモリから読み出すステップと、揮発性メモリから命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリから応答されると、誤りが発生している領域のデータをバックアップメモリから揮発性メモリにロードしなおし、揮発性メモリから命令を再度読み出すステップと、揮発性メモリから読み出した命令を実行するステップとを実行させる。 According to yet another example of the present disclosure, a system program for realizing a control device for controlling a controlled object is provided. The control device includes a volatile memory that stores a user program, and a backup memory that stores a backup user program having the same content as the user program stored in the volatile memory. Volatile memory stores data with error detection information added, and in response to a read request, reads data based on the data in a specified area and the error detection information corresponding to the specified area. The device is configured to respond with the presence or absence of an error in the determined designated area. The system program requires the processor of the control device to read the instructions included in the user program from volatile memory according to a predetermined execution order, and when the instructions are read from volatile memory, the area where the read instructions were stored. When the volatile memory responds that an error has occurred, reloading the data in the area where the error has occurred from the backup memory to the volatile memory, and rereading the instruction from the volatile memory; and executing the instructions read from the volatile memory.

本発明によれば、メモリに生じる誤りの検出および復元に要する時間を短縮することができる。 According to the present invention, the time required for detecting and restoring errors occurring in memory can be shortened.

本開示の適用例を模式的に説明するための図である。FIG. 2 is a diagram schematically illustrating an application example of the present disclosure. 制御装置１００の構成を模式的に示した図である。1 is a diagram schematically showing the configuration of a control device 100. FIG. プロセッサ１０２が実行する処理の一例を説明するためのフローチャートである。3 is a flowchart for explaining an example of processing executed by the processor 102. FIG. プロセッサ１０２が実行する処理の変形例を示す。A modification of the processing executed by the processor 102 is shown. 図４に示した処理を実行したときのデータの読出／書込／復元の模式図である。FIG. 5 is a schematic diagram of reading/writing/restoring data when the process shown in FIG. 4 is executed. ログデータの一例を示す図である。It is a figure showing an example of log data.

以下、図面を参照しつつ、本発明に従う各実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらについての詳細な説明は繰り返さない。なお、以下で説明される各実施の形態および各変形例は、適宜選択的に組み合わせてもよい。 Hereinafter, each embodiment according to the present invention will be described with reference to the drawings. In the following description, the same parts and components are given the same reference numerals. Their names and functions are also the same. Therefore, detailed explanations thereof will not be repeated. Note that the embodiments and modifications described below may be selectively combined as appropriate.

§１．適用例
図１を参照して、本発明が適用される場面の一例について説明する。図１は、本開示の適用例を模式的に説明するための図である。図１を参照して、本開示に係る制御装置１００Ｘは、例えば、ＰＬＣ（プログラマブルコントローラ）と称される産業用のコントローラに相当し、図示しない各種の製造設備や機械を制御する。制御装置１００Ｘによる制御においては、センサなどを用いて必要な情報を取得し、制御装置１００Ｘで実行されるプログラムに従って、それらの取得された情報を用いて予め定められた制御演算を実行することで、制御出力を算出する。 §1. Application Example An example of a situation where the present invention is applied will be described with reference to FIG. FIG. 1 is a diagram for schematically explaining an application example of the present disclosure. Referring to FIG. 1, a control device 100X according to the present disclosure corresponds to, for example, an industrial controller called a PLC (programmable controller), and controls various manufacturing equipment and machines (not shown). In the control by the control device 100X, necessary information is acquired using sensors, etc., and predetermined control calculations are executed using the acquired information according to the program executed by the control device 100X. , calculate the control output.

制御装置１００Ｘは、命令実行部２０２Ｘと、揮発性メモリ１０６Ｘと、バックアップメモリ１１０Ｘと、アクセス制御部２０４Ｘとを含む。 The control device 100X includes an instruction execution unit 202X, a volatile memory 106X, a backup memory 110X, and an access control unit 204X.

命令実行部２０２Ｘは、ユーザプログラム１１４に含まれる命令を順次実行する。ユーザプログラム１１４は、制御対象を制御することを目的として作成されたプログラム、制御装置１００と通信可能な他の装置（たとえば、データベース、他の制御装置、ＨＭＩ（Human Machine Interface）など）との間でデータの送受信を行うためのプログラムなど、任意のアプリケーションを実現するためのプログラムである。 The instruction execution unit 202X sequentially executes instructions included in the user program 114. The user program 114 is a program created for the purpose of controlling a controlled object, and is a program that is created for the purpose of controlling a controlled object, and is a program that is created for the purpose of controlling a controlled object. This is a program for implementing any application, such as a program for sending and receiving data.

アクセス制御部２０４Ｘは、所定の実行順序に従って、メインメモリ１０６からユーザプログラム１１４に含まれる命令を読み出して命令実行部２０２に提供する。 The access control unit 204X reads instructions included in the user program 114 from the main memory 106 and provides them to the instruction execution unit 202 in accordance with a predetermined execution order.

命令実行部２０２Ｘおよびアクセス制御部２０４Ｘは、たとえば、制御装置１００のプロセッサが、制御装置の基本的な機能を実現するためのシステムプログラムを実行することで実現される機能である。なお、命令実行部２０２Ｘおよびアクセス制御部２０４Ｘの機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）など）を用いて実装してもよい。たとえば、命令実行部２０２Ｘの機能を専用のハードウェア回路を用いて実装し、アクセス制御部２０４Ｘの機能を制御装置１００Ｘのプロセッサがシステムプログラムを実行することで実現してもよい。 The instruction execution unit 202X and the access control unit 204X are functions realized, for example, by the processor of the control device 100 executing a system program for realizing the basic functions of the control device. Note that some or all of the functions of the instruction execution unit 202X and the access control unit 204X may be implemented using a dedicated hardware circuit (for example, an ASIC (Application Specific Integrated Circuit) or an FPGA (Field-Programmable Gate Array)). You may. For example, the function of the instruction execution unit 202X may be implemented using a dedicated hardware circuit, and the function of the access control unit 204X may be realized by the processor of the control device 100X executing a system program.

揮発性メモリ１０６Ｘは、ユーザプログラム１１４を揮発的に格納する。揮発性メモリ１０６Ｘに格納されたユーザプログラム１１４は、実行用のプログラムであって、ユーザデータ１４０である。 The volatile memory 106X stores the user program 114 in a volatile manner. The user program 114 stored in the volatile memory 106X is a program for execution and is user data 140.

バックアップメモリ１１０Ｘは、揮発性メモリ１０６Ｘに格納されたユーザプログラム１１４と同一内容のバックアップ用のユーザプログラム１１４であるバックアップデータ１６０を格納する。バックアップメモリ１１０Ｘは、揮発性のメモリであっても、不揮発性のメモリであってもよい。 The backup memory 110X stores backup data 160, which is a backup user program 114 having the same content as the user program 114 stored in the volatile memory 106X. Backup memory 110X may be volatile memory or nonvolatile memory.

バックアップデータ１６０は、ユーザデータ１４０が破壊された際に当該ユーザデータ１４０を復元するために利用される。たとえば、ユーザデータ１４０が宇宙線中性子などにより破壊された場合に、揮発性メモリ１０６Ｘにバックアップデータ１６０をロードしなおすことで、破壊されたデータを復元する。 The backup data 160 is used to restore the user data 140 when the user data 140 is destroyed. For example, if the user data 140 is destroyed by cosmic ray neutrons or the like, the destroyed data is restored by reloading the backup data 160 into the volatile memory 106X.

揮発性メモリ１０６Ｘは、誤り検出機能を搭載したメモリであって、具体的には、データ１４２を格納する際に、データ１４２に誤り検出用の情報（検出用情報１４４Ｘ）を付加して格納する。また、揮発性メモリ１０６Ｘは、読み出し要求に応じて、指定された領域のデータを出力する場合に、指定された領域に誤りの発生有無を合わせて出力する。誤りの発生有無は、検出用情報１４４Ｘに基づいて決定される。誤りの発生有無は、たとえば、従来から知られているパリティチェックに従って決定される。 The volatile memory 106X is a memory equipped with an error detection function, and specifically, when storing the data 142, it adds error detection information (detection information 144X) to the data 142 and stores it. . Further, when the volatile memory 106X outputs data in a designated area in response to a read request, it also outputs whether or not an error has occurred in the designated area. Whether or not an error has occurred is determined based on the detection information 144X. Whether or not an error has occurred is determined, for example, according to a conventionally known parity check.

アクセス制御部２０４Ｘは、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリ１０６Ｘから応答されると、誤りが発生している領域のデータについて、バックアップメモリ１１０Ｘから揮発性メモリ１０６Ｘにロードしなおす。アクセス制御部２０４Ｘは、ロードしなおした後、揮発性メモリ１０６Ｘから命令を再度読み出す。 When the volatile memory 106X responds that an error has occurred in the area where the read instruction was stored, the access control unit 204X transfers the data in the area where the error has occurred from the backup memory 110X to the volatile memory 110X. Reload the data into the physical memory 106X. After reloading, the access control unit 204X reads the instruction again from the volatile memory 106X.

このように、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。 In this way, the presence or absence of an error in a specified area is determined based on the error detection information, so the processing is faster than when detecting an error by comparing memories. The time required can be shortened.

また、データの誤りを検出する機能を備えた揮発性メモリは、市場に一般的に流通している。本開示に係る制御装置１００Ｘは、このような一般的に流通している揮発性メモリ１０６Ｘを利用しつつ、誤りが発生している場合に揮発性メモリ１０６Ｘから命令を再度読み出す処理をプロセッサに実行させるように構成すればよく、容易に実現することが可能である。 Further, volatile memories equipped with a function of detecting data errors are generally available on the market. The control device 100X according to the present disclosure utilizes such a generally available volatile memory 106X and causes the processor to execute a process of re-reading instructions from the volatile memory 106X when an error occurs. It is possible to easily realize this by just configuring it so as to make it happen.

また、データの誤りをハードウェア的に検知し、かつ訂正する機能を有するメモリが存在するが、このようなメモリは高価である。本開示に係る制御装置１００Ｘは、誤り検出機能のみを備えるメモリを利用することでも実現可能であるため、コストを抑えて実現することが可能である。 Furthermore, there are memories that have a function of detecting and correcting data errors using hardware, but such memories are expensive. The control device 100X according to the present disclosure can be realized by using a memory that only has an error detection function, so it can be realized at low cost.

なお、揮発性メモリ１０６Ｘは、データの誤りをハードウェア的に検知し、かつ訂正する機能を有するメモリであってもよい。この場合、たとえば、メモリによりデータの訂正ができない場合であっても、プロセッサの処理としてデータをロードしなおすように構成することで、メモリが備える訂正機能を補うことができる。 Note that the volatile memory 106X may be a memory having a function of detecting and correcting data errors using hardware. In this case, for example, even if data cannot be corrected by the memory, the correction function provided by the memory can be supplemented by configuring the data to be reloaded as a processor process.

また、本開示にかかる制御装置１００Ｘは、命令を実行する前に、データをロードしなおすため、誤ったデータに従って命令が実行されることを防止することができる。 Furthermore, since the control device 100X according to the present disclosure reloads data before executing an instruction, it is possible to prevent the instruction from being executed according to incorrect data.

また、命令を実行した後に、誤ったデータをロードしなおす場合には、誤ったデータに従って命令を実行して更新される入出力データについてもバックアップをとっておくことが望まれる。これに対して、本開示にかかる制御装置１００Ｘは、命令を実行する前に、誤ったデータをロードしなおすため、入出力データのバックアップを必ずしもとっておく必要がなく、メモリの削減をすることができる。 Further, when reloading erroneous data after executing an instruction, it is desirable to back up the input/output data that is updated by executing the instruction according to the erroneous data. In contrast, since the control device 100X according to the present disclosure reloads erroneous data before executing an instruction, it is not necessarily necessary to back up input/output data, and memory can be reduced. I can do it.

また、本開示に係る制御装置１００Ｘは、データの読み出し要求に応じて、誤りの発生有無の応答がされる。そのため、ユーザプログラム１１４全体を実行した後に誤りの発生有無を行うような場合に比べてデータの誤りを早くに発見することができる。 Furthermore, in response to the data read request, the control device 100X according to the present disclosure responds to the presence or absence of an error. Therefore, data errors can be discovered earlier than in the case of checking whether an error has occurred after executing the entire user program 114.

なお、データを復元するタイミングは、誤りの発生有無の応答がされたときであってもよく、また、誤りの発生有無の応答がされたあと、当該誤りの発生有無にかかるデータの命令を実行するときであってもよい。 Note that the timing for restoring data may be when a response indicating whether an error has occurred is received, or after a response indicating whether an error has occurred, an instruction for the data related to whether an error has occurred may be executed. It may be time to do so.

また、誤りが発生している場合、誤りが発生しているデータのみをバックアップメモリ１１０Ｘからロードしなおしてもよく、また、読み出した命令単位でデータをバックアップメモリ１１０Ｘからロードしなおしてもよく、また、ユーザプログラム１１４全体をロードしなおすことで誤りが発生しているデータをロードしなおしてもよい。 Further, if an error has occurred, only the data in which the error has occurred may be reloaded from the backup memory 110X, or the data may be reloaded from the backup memory 110X in units of read instructions. Alternatively, data in which an error has occurred may be reloaded by reloading the entire user program 114.

なお、誤りが発生している場合にロードをしなおす場合、誤りが発生しているデータのみ、または、読み出した命令にかかるデータを読み出すようにした方が、ユーザプログラム１１４全体をロードしなおす場合に比べて、復元に要する時間を短縮することができる。 Note that when reloading when an error has occurred, it is better to read only the data where the error has occurred or the data related to the read instruction when reloading the entire user program 114. The time required for restoration can be reduced compared to

§２．具体例
＜Ａ．制御装置１００の構成＞
図２は、制御装置１００の構成を模式的に示した図である。図２においては、制御装置１００の中心的な処理を行う構成の一部を示している。 §2. Specific example <A. Configuration of control device 100>
FIG. 2 is a diagram schematically showing the configuration of the control device 100. In FIG. 2, a part of the configuration that performs central processing of the control device 100 is shown.

図２を参照して、制御装置１００は、プロセッサ１０２、メインメモリ１０６およびフラッシュメモリ１０８を有する。プロセッサ１０２、メインメモリ１０６、およびフラッシュメモリ１０８は、ワンチップマイコンに搭載された形で制御装置１００に設けられていてもよく、また、各々、別々に搭載された形で制御装置１００に設けられていてもよい。 Referring to FIG. 2, control device 100 includes a processor 102, main memory 106, and flash memory 108. The processor 102, the main memory 106, and the flash memory 108 may be provided in the control device 100 in the form of being mounted on a one-chip microcomputer, or may be provided in the control device 100 in the form of being individually mounted. You can leave it there.

プロセッサ１０２は、フラッシュメモリ１０８に格納されたシステムプログラム１１２を直接実行することで、ユーザプログラム１１４をメインメモリ１０６に展開して順次実行する。プロセッサ１０２は、ユーザプログラム１１４を読み出して、メインメモリ１０６に展開して実行することで、制御対象に対する制御を実現する。なお、システムプログラム１１２をメインメモリ１０６に展開して実行するような構成であってもよいが、システムプログラム１１２がメインメモリ１０６に展開されることなく直接実行されることで、制御装置１００を実現するための重要なプログラムが宇宙線中性子などの放射線の影響を受けて化けることを防止することができる。 By directly executing the system program 112 stored in the flash memory 108, the processor 102 expands the user program 114 into the main memory 106 and sequentially executes it. The processor 102 reads the user program 114, expands it to the main memory 106, and executes it, thereby realizing control over the controlled object. Note that the system program 112 may be configured to be expanded to the main memory 106 and executed, but the control device 100 may be implemented by directly executing the system program 112 without being expanded to the main memory 106. It is possible to prevent important programs that are needed for the program from being corrupted by the effects of radiation such as cosmic rays and neutrons.

フラッシュメモリ１０８は、不揮発性メモリであって、システムプログラム１１２およびユーザプログラム１１４を含む各種プログラムおよび、各種プログラムで利用される各種パラメータを保持する。本実施の形態において、フラッシュメモリ１０８は、メインメモリ１０６に展開される実行用のユーザプログラム１１４と同一内容のユーザプログラム１１４であるバックアップデータ１６０を格納するバックアップメモリとして機能する。 The flash memory 108 is a non-volatile memory and holds various programs including a system program 112 and a user program 114, and various parameters used by the various programs. In the present embodiment, the flash memory 108 functions as a backup memory that stores backup data 160 that is a user program 114 having the same content as the user program 114 for execution developed in the main memory 106 .

システムプログラム１１２は、ファームウェアであって、制御装置１００を実現するためのプログラムである。ユーザプログラム１１４は、システムプログラム１１２以外のプログラムであって、たとえば、制御対象を制御することを目的として作成されたプログラム、制御装置１００と通信可能な他の装置（たとえば、データベース、他の制御装置、ＨＭＩなど）との間でデータの送受信を行うためのプログラムなどを含み得る。 The system program 112 is firmware and is a program for realizing the control device 100. The user program 114 is a program other than the system program 112, for example, other devices that can be communicated with a program created for the purpose of controlling the control object, a database, other control device (for example, a database, other control device. , HMI, etc.).

なお、システムプログラム１１２、およびシステムプログラム１１２以外のユーザプログラム１１４などのデータを、互いに異なる不揮発性メモリに格納するように構成してもよい。この場合に、メインメモリ１０６に展開することなく直接実行されるシステムプログラム１１２は高速のフラッシュメモリに格納し、書き換え頻度の高いユーザプログラム１１４等のデータについては別の不揮発性メモリに格納してもよい。 Note that data such as the system program 112 and the user program 114 other than the system program 112 may be stored in different nonvolatile memories. In this case, the system program 112 that is executed directly without being expanded to the main memory 106 may be stored in a high-speed flash memory, and data such as the user program 114 that is frequently rewritten may be stored in another non-volatile memory. good.

メインメモリ１０６は、揮発性メモリであって、プロセッサ１０２がユーザプログラム１１４を実行するときの実行用のユーザデータ１４０を保持する。 Main memory 106 is a volatile memory and holds user data 140 for execution when processor 102 executes user program 114 .

なお、図２に記載していないものの、制御装置１００は、他の装置と通信するためのインターフェイス、および、内部バスを通じて連結される機能ユニットとの間でデータを遣り取りするための内部バスコントローラ、メモリカードに格納されたデータの読み書きを行うためのメモリカードインターフェイスなどを備える。 Although not shown in FIG. 2, the control device 100 includes an interface for communicating with other devices, and an internal bus controller for exchanging data with functional units connected via an internal bus. It is equipped with a memory card interface for reading and writing data stored in the memory card.

制御装置１００と連結される機能ユニットとしては、Ｉ／Ｏ（Input Output）ユニット、セーフティＩ／Ｏユニット、通信ユニット、モーションコントローラユニット、温度調整ユニット、パルスカウンタユニットなどを包含し得る。 Functional units connected to the control device 100 may include an I/O (Input Output) unit, a safety I/O unit, a communication unit, a motion controller unit, a temperature adjustment unit, a pulse counter unit, and the like.

また、制御装置１００は、制御対象に関するセーフティ機能を実現するための制御演算を実行するセーフティユニットであってもよい。 Further, the control device 100 may be a safety unit that executes control calculations for realizing safety functions related to a controlled object.

＜Ｂ．プロセッサおよびメインメモリの機能構成＞
図２を参照して、プロセッサ１０２およびメインメモリ１０６の機能構成について説明する。プロセッサ１０２は、命令実行部２０２と、アクセス制御部２０４と、レジスタ２０６と、アクセスインターフェイス２２０とを含む。 <B. Functional configuration of processor and main memory>
The functional configuration of processor 102 and main memory 106 will be described with reference to FIG. 2. Processor 102 includes an instruction execution unit 202, an access control unit 204, a register 206, and an access interface 220.

命令実行部２０２は、演算器であって、１または複数の演算回路から構成されている。命令実行部２０２は、メインメモリ１０６から読み込んだ命令を実行する。 The instruction execution unit 202 is an arithmetic unit, and is composed of one or more arithmetic circuits. The instruction execution unit 202 executes instructions read from the main memory 106.

アクセス制御部２０４は、システムプログラム１１２が実行されることで実現される機能であって、アクセスインターフェイス２２０を制御することで、プロセッサ１０２とフラッシュメモリ１０８とメインメモリ１０６との間のデータの遣り取りを制御することで、所定の実行順序に従って、ユーザプログラム１１４に含まれる命令をメインメモリ１０６から読み出して命令実行部２０２へ提供する。 The access control unit 204 is a function realized by executing the system program 112, and controls the access interface 220 to exchange data between the processor 102, flash memory 108, and main memory 106. Under the control, instructions included in the user program 114 are read from the main memory 106 and provided to the instruction execution unit 202 in accordance with a predetermined execution order.

レジスタ２０６は、エラーアドレスレジスタ２０８と、エラーステータスレジスタ２１０と、命令レジスタ２１２とを含み得る。プロセッサ１０２は、他の種類のレジスタをさらに備えていてもよい。 Registers 206 may include an error address register 208, an error status register 210, and an instruction register 212. Processor 102 may further include other types of registers.

エラーアドレスレジスタ２０８は、メインメモリ１０６内においてソフトエラーの発生しているエリア（アドレス）を保持する。 The error address register 208 holds an area (address) in the main memory 106 where a soft error has occurred.

エラーステータスレジスタ２１０は、メインメモリ１０６内においてソフトエラーが発生している状態にあることを保持する。 The error status register 210 holds that a soft error has occurred in the main memory 106.

命令レジスタ２１２は、命令実行部２０２が実行する命令を保持する。プロセッサ１０２は、命令レジスタ２１２を複数備えてもよい。 The instruction register 212 holds instructions executed by the instruction execution unit 202. Processor 102 may include multiple instruction registers 212.

アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って制御され、メインメモリ１０６およびフラッシュメモリ１０８との間でデータの遣り取りを行う。 The access interface 220 is controlled according to instructions from the access control unit 204 and exchanges data between the main memory 106 and the flash memory 108.

メインメモリ１０６は、アドレスデコーダ６０２と、メモリセル６０４と、読出／書込回路６０６と、パリティチェック回路６１０とを備える。 Main memory 106 includes address decoder 602, memory cells 604, read/write circuit 606, and parity check circuit 610.

アドレスデコーダ６０２は、アドレスバス４０２を介してプロセッサ１０２に接続されている。アドレスデコーダ６０２は、アドレスバス４０２上に出力された信号をデコードすることでアドレスを特定し、メモリセル６０４のうち特定したアドレスのセルを活性化させる。アドレスデコーダ６０２によってデコードされた結果は、パリティチェック回路６１０に出力される。 Address decoder 602 is connected to processor 102 via address bus 402. The address decoder 602 specifies the address by decoding the signal output on the address bus 402, and activates the cell at the specified address among the memory cells 604. The result decoded by address decoder 602 is output to parity check circuit 610.

メモリセル６０４には、実行用のユーザプログラム１１４であるユーザデータ１４０が格納される。メモリセル６０４には、データ１４２が誤り検出用の情報としてパリティビット１４４が付加された状態で格納される。 Memory cell 604 stores user data 140, which is user program 114 for execution. Data 142 is stored in memory cell 604 with parity bit 144 added as information for error detection.

読出／書込回路６０６は、コントロールバス４０４およびデータバス４０６を介してプロセッサ１０２に接続されている。読出／書込回路６０６は、コントロールバス４０４からの制御信号に応じて、メモリセル６０４に対し、データの読み出しまたは書き込みを行う。 Read/write circuit 606 is connected to processor 102 via control bus 404 and data bus 406. Read/write circuit 606 reads or writes data to memory cell 604 in response to a control signal from control bus 404 .

読出／書込回路６０６は、パリティ生成回路６０８を有する。パリティ生成回路６０８は、データバス４０６を介して送信されたデータ１４２からパリティビット１４４を生成する。読出／書込回路６０６は、データの書き込みを行う場合、アドレスデコーダ６０２によって活性化されたセルに、パリティ生成回路６０８が生成したパリティビット１４４を付加して、データバス４０６を介して送られたデータ１４２を格納する。 Read/write circuit 606 has parity generation circuit 608. Parity generation circuit 608 generates parity bits 144 from data 142 transmitted via data bus 406 . When writing data, the read/write circuit 606 adds a parity bit 144 generated by the parity generation circuit 608 to the cell activated by the address decoder 602 and sends the cell via the data bus 406. Data 142 is stored.

読出／書込回路６０６は、データの読み出しを行う場合、アドレスデコーダ６０２によって活性化されたセルに格納されたデータ（データ１４２およびパリティビット１４４）を読み出し、データバス４０６に出力する。また、読出／書込回路６０６は、読み出したデータ（データ１４２およびパリティビット１４４）をパリティチェック回路６１０に出力する。なお、読出／書込回路６０６は、データバス４０６にデータ１４２だけを出力するようにしてもよい。 When reading data, read/write circuit 606 reads data (data 142 and parity bit 144) stored in cells activated by address decoder 602 and outputs it to data bus 406. Further, read/write circuit 606 outputs the read data (data 142 and parity bit 144) to parity check circuit 610. Note that the read/write circuit 606 may output only the data 142 to the data bus 406.

パリティチェック回路６１０は、エラーバス４０８を介してプロセッサ１０２に接続されている。パリティチェック回路６１０は、読出／書込回路６０６から出力されたデータに誤りが発生しているか否かをパリティチェックによりチェックする。たとえば、書き込み時のデータ１４２が、宇宙線中性子などにより破壊される場合、１ビット単位で破壊される。パリティビット１４４が付与されたデータ１４２が宇宙線中性子により２ビット以上破壊される可能性は低いため、パリティチェックをすることで宇宙線中性子により破壊されているか否かを検知することができる。なお、パリティチェックの方法について、従来技術であるため、詳細な説明は省略する。 Parity check circuit 610 is connected to processor 102 via error bus 408. Parity check circuit 610 checks whether an error has occurred in the data output from read/write circuit 606 by performing a parity check. For example, if the data 142 at the time of writing is destroyed by cosmic ray neutrons or the like, it will be destroyed bit by bit. Since it is unlikely that two or more bits of the data 142 to which the parity bit 144 has been added will be destroyed by cosmic ray neutrons, it is possible to detect whether the data 142 has been destroyed by cosmic ray neutrons by performing a parity check. Note that since the parity check method is a conventional technique, a detailed explanation will be omitted.

パリティチェック回路６１０は、データ誤りの発生有無と、アドレスデコーダ６０２から出力されたアドレス（パリティチェックをしたセルのアドレス）とをエラーバス４０８に出力する。なお、パリティチェック回路６１０は、データ誤りが発生している場合にのみ、データ誤りの発生と、アドレスとをエラーバス４０８に出力するようにしてもよい。 The parity check circuit 610 outputs to the error bus 408 whether or not a data error has occurred and the address output from the address decoder 602 (the address of the cell subjected to the parity check). Note that the parity check circuit 610 may output the occurrence of a data error and the address to the error bus 408 only when a data error has occurred.

なお、図２に示した構成は一例であって、データ誤りを検出するための回路を有する揮発性メモリであれば、図２に示した構成に限られない。また、データ誤りを検出する方法は、パリティチェックに限られず、任意の方法を適用可能である。 Note that the configuration shown in FIG. 2 is an example, and the configuration is not limited to that shown in FIG. 2 as long as the volatile memory has a circuit for detecting data errors. Furthermore, the method for detecting data errors is not limited to parity checking, and any method can be applied.

プロセッサ１０２とフラッシュメモリ１０８とは、アドレスバス４１０、コントロールバス４１２、およびデータバス４１４を介して接続されている。プロセッサ１０２は、これらのバスを介してシステムプログラム１１２を実行する。また、プロセッサ１０２は、これらのバスを介して、適宜、フラッシュメモリ１０８からプログラムをメインメモリ１０６に展開して、ユーザプログラム１１４を実行する。 Processor 102 and flash memory 108 are connected via address bus 410, control bus 412, and data bus 414. Processor 102 executes system programs 112 via these buses. Further, the processor 102 appropriately loads programs from the flash memory 108 into the main memory 106 via these buses, and executes the user program 114.

＜プロセッサの処理＞
図３は、プロセッサ１０２が実行する処理の一例を説明するためのフローチャートである。以下では、ステップは、単に「Ｓ」と記載する。図３に示すフローチャートは、プロセッサ１０２がシステムプログラム１１２を実行することで実現される。図３に示すフローチャートは、制御装置１００に電源が供給されると実行される。 <Processor processing>
FIG. 3 is a flowchart for explaining an example of processing executed by the processor 102. Hereinafter, a step will be simply written as "S". The flowchart shown in FIG. 3 is realized by the processor 102 executing the system program 112. The flowchart shown in FIG. 3 is executed when power is supplied to the control device 100.

Ｓ１０２において、プロセッサ１０２は、ユーザプログラム１１４をメインメモリ１０６に展開する。Ｓ１０２の処理により、メインメモリ１０６のメモリセル６０４にパリティビット１４４を付加したデータ１４２が格納される。 In S102, the processor 102 loads the user program 114 into the main memory 106. Through the process of S102, the data 142 with the parity bit 144 added is stored in the memory cell 604 of the main memory 106.

Ｓ１０４において、プロセッサ１０２は、実行対象の命令をメインメモリ１０６からフェッチする。より具体的には、アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って、実行対象の命令に対応するデータが格納されたアドレスをアドレスバス４０２に出力し、コントロールバス４０４に読み出しを要求する信号を出力する。 In S104, the processor 102 fetches an instruction to be executed from the main memory 106. More specifically, the access interface 220 outputs an address in which data corresponding to an instruction to be executed is stored to the address bus 402 according to instructions from the access control unit 204, and sends a signal requesting readout to the control bus 404. Output.

メインメモリ１０６は、プロセッサ１０２からの読み出し要求に対して、指定されたアドレスのデータ１４２と、当該指定されたアドレスのデータ１４２に対するパリティチェックの結果とを出力することで応答する。具体的には、アドレスデコーダ６０２は、アドレスバス４０２に出力されたアドレスのセルを活性化させ、また、アドレスをパリティチェック回路６１０に出力する。読出／書込回路６０６は、読み出しを要求する信号を受けて、活性化されているセルのデータ１４２およびパリティビット１４４をデータバス４０６と、パリティチェック回路６１０とに出力する。パリティチェック回路６１０は、データ１４２およびパリティビット１４４に基づいて、データ１４２の誤りの有無をチェックし、チェック結果と、チェックしたデータ１４２のアドレスとをエラーバス４０８に出力する。 The main memory 106 responds to the read request from the processor 102 by outputting data 142 at a designated address and a parity check result for the data 142 at the designated address. Specifically, address decoder 602 activates the cell of the address output to address bus 402 and outputs the address to parity check circuit 610. Read/write circuit 606 receives a signal requesting reading and outputs data 142 and parity bit 144 of activated cells to data bus 406 and parity check circuit 610. Parity check circuit 610 checks data 142 for errors based on data 142 and parity bit 144, and outputs the check result and the address of checked data 142 to error bus 408.

データバス４０６を介して送られたデータ１４２は、命令レジスタ２１２に格納される。エラーバス４０８を介して送られたデータのうちのチェックしたデータ１４２のアドレスは、エラーアドレスレジスタ２０８に格納される。エラーバス４０８を介して送られたデータのうちのチェック結果は、エラーステータスレジスタ２１０に格納される。 Data 142 sent via data bus 406 is stored in instruction register 212. The address of the checked data 142 of the data sent via the error bus 408 is stored in the error address register 208. The check results of the data sent via the error bus 408 are stored in the error status register 210.

Ｓ１０６において、プロセッサ１０２は、エラーがあるか否かを判定する。具体的には、プロセッサ１０２は、エラーステータスレジスタ２１０に格納されたチェック結果に基づいて判定する。 In S106, the processor 102 determines whether there is an error. Specifically, the processor 102 makes the determination based on the check result stored in the error status register 210.

エラーがあると判定された場合（Ｓ１０６においてＹＥＳ）、Ｓ１０８において、プロセッサ１０２は、データを復元する。具体的には、アクセス制御部２０４は、エラーアドレスレジスタ２０８に格納されているアドレスのデータをフラッシュメモリ１０８からメインメモリ１０６に再度ロードするようにアクセスインターフェイス２２０を制御する。 If it is determined that there is an error (YES in S106), the processor 102 restores the data in S108. Specifically, the access control unit 204 controls the access interface 220 to reload the data at the address stored in the error address register 208 from the flash memory 108 to the main memory 106.

たとえば、アクセス制御部２０４は、エラーアドレスレジスタ２０８に格納されているアドレスに基づいて、当該アドレスのデータが格納されたフラッシュメモリ１０８内のアドレスを特定する。アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って、特定されたアドレスをアドレスバス４１０に、読み出しを要求する信号をコントロールバス４１２に出力する。 For example, based on the address stored in the error address register 208, the access control unit 204 identifies the address in the flash memory 108 where data at the address is stored. The access interface 220 outputs the specified address to the address bus 410 and a read request signal to the control bus 412 in accordance with instructions from the access control unit 204.

そして、アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って、復元対象のデータ１４２が格納されたアドレスをアドレスバス４０２に、フラッシュメモリ１０８が読み出し要求に応じて出力したデータをデータバス４０６に、書き込みを要求する信号をコントロールバス４０４に、それぞれ出力する。 Then, the access interface 220 writes the address where the data 142 to be restored is stored to the address bus 402 and the data output by the flash memory 108 in response to the read request to the data bus 406 in accordance with the instruction from the access control unit 204. A signal requesting the same is output to the control bus 404, respectively.

メインメモリ１０６は、プロセッサ１０２からの書き込みを要求する信号を受けて、アドレスバス４０２を介して指定されたアドレスに、データバス４０６を介して送られたデータ１４２およびパリティビット１４４が書き込まれる。これにより、誤りのあるデータが、復元されることとなる。 Main memory 106 receives a write request signal from processor 102 and writes data 142 and parity bit 144 sent via data bus 406 to an address specified via address bus 402 . As a result, the erroneous data will be restored.

Ｓ１１０において、プロセッサ１０２は、エラーアドレスレジスタ２０８とエラーステータスレジスタ２１０のデータをクリアする。プロセッサ１０２は、Ｓ１１０の処理を実行した後、再度Ｓ１０４およびＳ１０６の処理を実行し、データが復元されたことでパリティエラーが解消されたことを確認する。 In S110, the processor 102 clears the data in the error address register 208 and error status register 210. After executing the process in S110, the processor 102 executes the processes in S104 and S106 again, and confirms that the parity error has been resolved by restoring the data.

図３に示す例では、エラーがないと判定されるまで、Ｓ１０８およびＳ１１０の処理を繰り返すものとしている。なお、Ｓ１０８およびＳ１１０の処理を所定回数繰り返し実行した場合には、ユーザプログラム１１４の実行を停止して、エラーをユーザに対して通知するようにしてもよい。 In the example shown in FIG. 3, the processes of S108 and S110 are repeated until it is determined that there is no error. Note that when the processes of S108 and S110 are repeatedly executed a predetermined number of times, the execution of the user program 114 may be stopped and the error may be notified to the user.

また、本実施の形態において、エラーバス４０８を介して送られたデータは、エラーアドレスレジスタ２０８とエラーステータスレジスタ２１０とに格納されるとした。なお、エラーバス４０８を介して送られたデータに基づいてエラーがあるか否かを判定し、エラーがある場合に、エラーアドレスレジスタ２０８とエラーステータスレジスタ２１０とにデータを格納するようにしてもよい。 Further, in this embodiment, data sent via the error bus 408 is stored in the error address register 208 and the error status register 210. Note that it is also possible to determine whether or not there is an error based on the data sent via the error bus 408, and to store the data in the error address register 208 and error status register 210 if there is an error. good.

エラーがないと判定された場合（Ｓ１０６においてＮＯ）、Ｓ１１２において、プロセッサ１０２は、フェッチした命令を実行する。具体的には、プロセッサ１０２の命令実行部２０２は、命令レジスタ２１２に格納されたデータ１４２が示す命令を実行する。 If it is determined that there is no error (NO in S106), the processor 102 executes the fetched instruction in S112. Specifically, the instruction execution unit 202 of the processor 102 executes the instruction indicated by the data 142 stored in the instruction register 212.

Ｓ１１４において、プロセッサ１０２は、ユーザプログラム１１４を１サイクル分実行したか否かを判定する。ユーザプログラム１１４を１サイクル分実行していないと判定された場合（Ｓ１１４においてＮＯ）、プロセッサ１０２は、Ｓ１２６に処理を切り替える。 In S114, the processor 102 determines whether the user program 114 has been executed for one cycle. If it is determined that the user program 114 has not been executed for one cycle (NO in S114), the processor 102 switches the process to S126.

ユーザプログラム１１４を１サイクル分実行したと判定された場合（Ｓ１１４においてＹＥＳ）、Ｓ１１６において、プロセッサ１０２は、データ１４２をダミーでメインメモリ１０６からフェッチする。 If it is determined that the user program 114 has been executed for one cycle (YES in S114), the processor 102 fetches dummy data 142 from the main memory 106 in S116.

Ｓ１１８，１２０，１２２の処理は、Ｓ１０６，１０８，１１０の処理と共通するため、説明を省略する。 The processing in S118, 120, and 122 is the same as the processing in S106, 108, and 110, so the description thereof will be omitted.

Ｓ１１８においてエラーがないと判定された場合、または、Ｓ１２０およびＳ１２２の処理が実行された後、Ｓ１２４において、プロセッサ１０２は、ダミーで読み出すアドレスを更新する。具体的には、プロセッサ１０２は、命令の実行結果に関わらず、アドレスを順次更新し、Ｓ１１８からＳ１２４の処理を繰り返すことで、ユーザプログラム１１４を複数サイクル実行したときに、メモリセル６０４内の全てのデータ１４２を少なくとも１度は読み出す。すなわち、プロセッサ１０２は、メモリセル６０４に格納されたデータを予め定められた順で読み出されるように、ダミーで読み出すアドレスを更新する。 If it is determined in S118 that there is no error, or after the processes in S120 and S122 are executed, in S124, the processor 102 updates the dummy read address. Specifically, the processor 102 sequentially updates the addresses regardless of the instruction execution result and repeats the processing from S118 to S124, so that when the user program 114 is executed for multiple cycles, all of the memory cells 604 are updated. The data 142 is read out at least once. That is, the processor 102 updates the dummy read address so that the data stored in the memory cell 604 is read out in a predetermined order.

Ｓ１２６において、プロセッサ１０２は、Ｓ１１２において実行した命令の結果に応じて、次に実行する命令が格納されたアドレスを特定する。プロセッサ１０２は、Ｓ１０４～Ｓ１２６の処理を繰り返すことで、ユーザプログラム１１４を実行する。 In S126, the processor 102 identifies the address where the next instruction to be executed is stored, depending on the result of the instruction executed in S112. The processor 102 executes the user program 114 by repeating the processing from S104 to S126.

ユーザプログラム１１４を構成する命令の中には、実行頻度の低いものも存在する。Ｓ１１６～Ｓ１２４の処理を実行しなかった場合には、実行頻度の低い命令を実行するためのデータについては、長期間に亘ってチェックされないこととなる。また、パリティチェックは、１ビットの誤りしか検出することができない。そのため、長期間に亘ってチェックされることなく放置されて２ビット以上の破壊が生じている場合、当該破壊を検出することができない。 Some of the instructions making up the user program 114 are executed less frequently. If the processes from S116 to S124 are not executed, data for executing instructions that are executed infrequently will not be checked for a long period of time. Furthermore, parity check can only detect a 1-bit error. Therefore, if two or more bits are destroyed due to being left unchecked for a long period of time, the destruction cannot be detected.

本実施の形態においては、Ｓ１１６～Ｓ１２４が繰り返し実行されることで、メインメモリ１０６に格納されたデータ１４２が少なくとも１度は読み出されることになるため、実行頻度の低い命令を実行するためのデータが長期間に亘ってチェックされることなく放置されてしまうことを防止することができる。 In this embodiment, by repeatedly executing steps S116 to S124, the data 142 stored in the main memory 106 is read out at least once. can be prevented from being left unchecked for a long period of time.

なお、命令の実行とは別にデータの読み出しをするタイミングは、ユーザプログラム１１４を１サイクル分実行した後としたが（Ｓ１１６）、これに限られない。命令の実行とは別にデータの読み出しをするタイミングは、たとえば、ユーザプログラム１１４を複数サイクル分実行した後であってもよく、また、複数の命令を実行した後であってもよい。また、制御装置１００に複数のプロセッサが搭載されている場合には、命令の実行とは別にデータの読み出しをするタイミングは、ユーザプログラム１１４の実行中であってもよい。また、Ｓ１１６において読み出すデータの量は、任意であり、限定されるものではない。 Note that the timing at which data is read separately from the instruction execution is after the user program 114 has been executed for one cycle (S116), but is not limited to this. The timing for reading data separately from the execution of an instruction may be, for example, after the user program 114 has been executed for a plurality of cycles, or after a plurality of instructions have been executed. Further, when the control device 100 is equipped with a plurality of processors, the timing for reading data separately from the execution of instructions may be during the execution of the user program 114. Further, the amount of data read in S116 is arbitrary and not limited.

＜変形例＞
（変形例１）
上記実施の形態においては、データの復元に用いるバックアップデータ１６０を保持するメモリは、不揮発性メモリであるフラッシュメモリ１０８とした。すなわち、上記実施の形態においては、フラッシュメモリ１０８のような不揮発性メモリに格納された電断保持用のデータを、バックアップ用のデータとして用いた。そのため、新たにバックアップ用のデータを用意する必要がなく、メモリを削減することができる。 <Modified example>
(Modification 1)
In the embodiment described above, the memory that holds the backup data 160 used for restoring data is the flash memory 108, which is a nonvolatile memory. That is, in the embodiment described above, data for maintaining power outage stored in a nonvolatile memory such as the flash memory 108 is used as backup data. Therefore, there is no need to newly prepare data for backup, and memory can be reduced.

なお、バックアップデータ１６０は、電断保持用のデータとは別に保持されていてもよい。たとえば、バックアップデータ１６０は、メインメモリ１０６のような揮発性メモリに、ユーザデータ１４０とは別に格納されていてもよい。プロセッサ１０２からのアクセスがフラッシュメモリ１０８に比べて早い揮発性メモリにバックアップデータ１６０を格納することで、復元にかかる時間を短縮することができる。バックアップデータ１６０は、メインメモリ１０６に格納されてもよく、また、メインメモリ１０６とは異なる別の揮発性メモリに格納されてもよい。 Note that the backup data 160 may be held separately from the data for holding power outage. For example, backup data 160 may be stored separately from user data 140 in volatile memory, such as main memory 106. By storing the backup data 160 in a volatile memory that is faster to access from the processor 102 than the flash memory 108, the time required for restoration can be shortened. Backup data 160 may be stored in main memory 106 or may be stored in another volatile memory different from main memory 106.

なお、バックアップデータ１６０を保持するメモリを揮発性メモリとする場合、プロセッサ１０２は、ユーザプログラム１１４をメインメモリ１０６に展開する際に、バックアップデータ１６０を保持するメモリにもユーザプログラム１１４を読み出す。 Note that when the memory that holds the backup data 160 is a volatile memory, the processor 102 also reads the user program 114 into the memory that holds the backup data 160 when expanding the user program 114 to the main memory 106.

＜変形例２＞
上記実施の形態においては、命令の実行に伴ってユーザプログラム１１４のデータが更新されることについて言及しなかった。なお、ユーザプログラム１１４によっては、命令の実行に伴って、ユーザプログラム１１４のデータが動的に変化することもある。このような場合には、バックアップデータ１６０についても、実行用のデータと同様に更新されるように構成することが好ましい。 <Modification 2>
In the above embodiments, no mention was made of updating the data of the user program 114 with the execution of instructions. Note that depending on the user program 114, the data of the user program 114 may change dynamically as instructions are executed. In such a case, it is preferable to configure the backup data 160 to be updated in the same way as the execution data.

ユーザプログラム１１４の実行に伴いデータを更新する場合、バックアップデータ１６０へのアクセス回数が増える。そのため、ユーザプログラム１１４が動的に変化する場合は、電断保持用のデータとは別に揮発性メモリにバックアップデータ１６０を格納しておくことが好ましい。 When updating data as the user program 114 is executed, the number of accesses to the backup data 160 increases. Therefore, when the user program 114 changes dynamically, it is preferable to store the backup data 160 in a volatile memory separately from the data for maintaining power outage.

図４は、プロセッサ１０２が実行する処理の変形例を示す。図４において、図３と共通する処理には共通のステップ番号を付す。図４に示す処理は、新たにＳ１０３、Ｓ１１３－１およびＳ１１３－２の処理を、Ｓ１０８およびＳ１２０の代わりにＳ１０８’およびＳ１２０’の処理を実行する点で図３に示す処理と異なる。以下では、図３に示す処理と異なる処理を中心に説明する。 FIG. 4 shows a modification of the processing executed by the processor 102. In FIG. 4, common step numbers are assigned to processes common to those in FIG. 3. The process shown in FIG. 4 differs from the process shown in FIG. 3 in that the processes in S103, S113-1, and S113-2 are newly executed, and the processes in S108' and S120' are newly executed in place of S108 and S120. Below, processing that is different from the processing shown in FIG. 3 will be mainly explained.

Ｓ１０３において、プロセッサ１０２は、バックアップデータ１６０をメインメモリに格納する。すなわち、プロセッサ１０２は、メインメモリ１０６のメモリセル６０４に、ユーザデータ１４０と、当該ユーザデータ１４０と同じバックアップデータ１６０とを格納する。 In S103, the processor 102 stores the backup data 160 in the main memory. That is, the processor 102 stores the user data 140 and the same backup data 160 as the user data 140 in the memory cell 604 of the main memory 106 .

Ｓ１０８’の処理は、Ｓ１０８の処理と比べて、再度ロードするときに参照するデータが、フラッシュメモリ１０８に格納されたデータではなく、メインメモリ１０６に格納されているバックアップデータ１６０である点が異なる（図５参照）。Ｓ１２０’の処理とＳ１２０の処理との違いは、Ｓ１０８’の処理とＳ１０８の処理との違いと共通する。 The processing in S108' differs from the processing in S108 in that the data referred to when reloading is not the data stored in the flash memory 108 but the backup data 160 stored in the main memory 106. (See Figure 5). The difference between the processing at S120' and the processing at S120 is the same as the difference between the processing at S108' and the processing at S108.

Ｓ１１３－１において、プロセッサ１０２は、データの変更があるか否かを判定する。データの変更がある場合には、データを書き換える必要がある。すなわち、データの変更があるか否かを判定することで、データを書き換える必要があるか否かが判定される。具体的には、プロセッサ１０２は、Ｓ１１２において実行した命令の結果、データの変更が生じたか否かを判定する。 In S113-1, the processor 102 determines whether there is a change in data. If there is a change in data, it is necessary to rewrite the data. That is, by determining whether there is a change in the data, it is determined whether the data needs to be rewritten. Specifically, the processor 102 determines whether data has been changed as a result of the instruction executed in S112.

データの変更がある場合（Ｓ１１３－１においてＹＥＳ）、すなわち、データを書き換える必要がある場合、プロセッサ１０２は、Ｓ１１３－２において、ユーザデータ１４０とバックアップデータ１６０とを書き換える。データの変更がない場合（Ｓ１１３－１においてＮＯ）、すなわち、データを書き換える必要がない場合、プロセッサ１０２は、Ｓ１１３－２の処理を実行することなく、Ｓ１１４以降の処理を実行する。 If there is a data change (YES in S113-1), that is, if the data needs to be rewritten, the processor 102 rewrites the user data 140 and backup data 160 in S113-2. If there is no data change (NO in S113-1), that is, if there is no need to rewrite the data, the processor 102 executes the processes from S114 onwards without executing the process of S113-2.

図５は、図４に示した処理を実行したときのデータの読出／書込／復元の模式図である。メモリセル６０４には、実行用のユーザデータ１４０と、バックアップデータ１６０とがそれぞれ格納されている。書き込み時は、ユーザデータ１４０およびバックアップデータ１６０の双方にデータが書き込まれる（図４のＳ１１３－２）。データを復元する場合は、バックアップデータ１６０を用いてユーザデータ１４０のデータを復元する（図４のＳ１０８’、Ｓ１２０’）。また、データを読み出す時は、ユーザデータ１４０から読み出され、バックアップデータ１６０からは読み出されない（図４のＳ１０４）。 FIG. 5 is a schematic diagram of data read/write/restore when the process shown in FIG. 4 is executed. The memory cell 604 stores user data 140 for execution and backup data 160, respectively. At the time of writing, data is written to both the user data 140 and the backup data 160 (S113-2 in FIG. 4). When restoring data, the user data 140 is restored using the backup data 160 (S108', S120' in FIG. 4). Furthermore, when reading data, it is read from the user data 140 and not from the backup data 160 (S104 in FIG. 4).

なお、バックアップデータ１６０が破壊されることも考えられるが、ユーザデータ１４０とバックアップデータ１６０とについて、共通のデータが両方とも破壊される確率は極めて低い。そのため、バックアップデータ１６０が破壊されることを考慮する必要性は低い。 Although it is possible that the backup data 160 may be destroyed, the probability that common data between the user data 140 and the backup data 160 will be destroyed is extremely low. Therefore, there is little need to consider that the backup data 160 will be destroyed.

なお、バックアップデータ１６０とユーザデータ１４０とを共通のメインメモリ１０６に格納する例を示したが、バックアップデータ１６０を格納するための揮発性メモリを別途設けてもよい。 Note that although an example has been shown in which the backup data 160 and the user data 140 are stored in the common main memory 106, a volatile memory for storing the backup data 160 may be provided separately.

また、Ｓ１１６～Ｓ１２４の処理を実行することで、命令の実行とは別にユーザデータ１４０だけをチェックするようにしてもよく、ユーザデータ１４０に加えてバックアップデータ１６０についてもチェックするようにしてもよい。 Furthermore, by executing the processes of S116 to S124, only the user data 140 may be checked separately from the execution of the command, or the backup data 160 may also be checked in addition to the user data 140. .

また、Ｓ１０８’およびＳ１２０’においてデータの復元をする場合に、プロセッサ１０２は、バックアップデータ１６０のデータについてもチェックするようにし、エラーがある場合には、復元することができないとしてエラーを通知するように構成してもよい。 Further, when restoring data in S108' and S120', the processor 102 also checks the data in the backup data 160, and if there is an error, notifies the user that the data cannot be restored. It may be configured as follows.

＜変形例３＞
上記実施の形態においては、パリティチェックをした結果、エラーとなった場合は、単にデータを復元するに留めたが、プロセッサ１０２は、エラーの情報をログとして残しても良い。 <Modification 3>
In the above embodiment, if an error occurs as a result of the parity check, the data is simply restored, but the processor 102 may leave error information as a log.

図６は、ログデータの一例を示す図である。プロセッサ１０２は、エラーが発生した場合に、エラーを検出した日と、エラーとなったデータが格納されているアドレスと、復元前のデータ１４２と、復元後のデータ１４２とをログデータ１８０として残す。 FIG. 6 is a diagram showing an example of log data. When an error occurs, the processor 102 records the date on which the error was detected, the address where the data in error is stored, the data 142 before restoration, and the data 142 after restoration as log data 180. .

なお、プロセッサ１０２は、バックアップデータ１６０を残していないデータに対してエラーが検知された場合においても、当該エラーが検知された日時と、エラーが発生したデータと、当該データが格納されているアドレスとをログデータとして残しても良い。 Note that even if an error is detected for data for which the backup data 160 is not left, the processor 102 stores the date and time when the error was detected, the data in which the error occurred, and the address where the data is stored. may be left as log data.

このように、ログデータ１８０を残すことで、ユーザは、ログデータ１８０を確認することで、パリティチェックエラーが発生している頻度、発生原因などを解析することができる。 By leaving the log data 180 in this way, the user can analyze the frequency of occurrence of parity check errors, the cause of their occurrence, etc. by checking the log data 180.

＜その他の変形例＞
上記実施の形態において、誤りの発生有無を決定する方法は、パリティチェックによる方法とした。これは、市場に流通している誤り検出機能付きの揮発性メモリは、誤りの発生有無の決定をパリティチェックにより実現していることが多いため、誤りの発生有無を決定する方法の一例としてパリティチェックによる方法を挙げた。なお、誤りの発生有無を決定する方法は、これに限られない。なお、コストの面を考慮すると、市場に一般的に流通しているパリティチェック機能付きの揮発性メモリを制御装置１００に設けることが好ましい。 <Other variations>
In the above embodiment, the method for determining whether an error has occurred is a parity check method. Volatile memories with error detection functions on the market often use a parity check to determine whether an error has occurred, so parity is an example of a method for determining whether an error has occurred. The method of checking was mentioned. Note that the method for determining whether an error has occurred is not limited to this. Note that in consideration of cost, it is preferable that the control device 100 be provided with a volatile memory with a parity check function that is generally available on the market.

上記実施の形態において、バックアップデータ１６０として、ユーザプログラム１１４のみを格納する例を示した。なお、バックアップデータ１６０は、ユーザプログラム１１４を実行する上で必要なパラメータ等のユーザプログラム１１４とは別のデータを含み得る。 In the embodiment described above, an example was shown in which only the user program 114 is stored as the backup data 160. Note that the backup data 160 may include data other than the user program 114, such as parameters necessary for executing the user program 114.

§３．付記
以上のように、上記の実施の形態および変形例は以下のような開示を含む。 §3. Supplementary Notes As described above, the above embodiments and modifications include the following disclosures.

＜構成１＞
制御対象を制御するための制御装置（１００，１００Ｘ）であって、
ユーザプログラムに含まれる命令を順次実行する命令実行部（２０２，２０２Ｘ）と、
前記ユーザプログラムを格納する揮発性メモリ（１０６，１０６Ｘ）と、
前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリ（１０８，１１０Ｘ，１０６）と、
所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出して前記命令実行部へ提供するアクセス制御部（２０４，２０４Ｘ）とを備え、
前記揮発性メモリは、誤り検出用の情報（１４４，１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており（６０６，６０８，６１０）、
前記アクセス制御部は、前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すように構成されている（Ｓ１０４，Ｓ１０６，Ｓ１０８，Ｓ１０８’）、制御装置。 <Configuration 1>
A control device (100, 100X) for controlling a controlled object,
an instruction execution unit (202, 202X) that sequentially executes instructions included in the user program;
a volatile memory (106, 106X) that stores the user program;
a backup memory (108, 110X, 106) that stores a backup user program having the same content as the user program stored in the volatile memory;
an access control unit (204, 204X) that reads instructions included in the user program from the volatile memory and provides them to the instruction execution unit according to a predetermined execution order;
The volatile memory stores data (142) with error detection information (144, 144 It is configured to respond with the presence or absence of an error in the specified area determined based on the corresponding error detection information (606, 608, 610),
When the access control unit reads an instruction from the volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the access control unit determines whether an error has occurred. The control device is configured to reload data in an area from the backup memory to the volatile memory, and read out the instruction again from the volatile memory (S104, S106, S108, S108').

＜構成２＞
前記揮発性メモリは、パリティチェックにより誤りの発生有無を応答するように構成されている（６１０）、構成１に記載の制御装置。 <Configuration 2>
The control device according to configuration 1, wherein the volatile memory is configured to respond whether or not an error has occurred through a parity check (610).

＜構成３＞
前記アクセス制御部は、前記命令実行部に命令を提供することを目的とした読み出しとは別に、前記揮発性メモリに格納されたデータを予め定められた順番に予め定められたタイミングで読み出し、当該読み出したデータを格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、前記バックアップメモリに格納されている当該命令を含むデータを前記バックアップメモリから前記揮発性メモリにロードしなおす（Ｓ１１６，Ｓ１１８，Ｓ１２０，Ｓ１２０’，Ｓ１２４）、構成１または構成２に記載の制御装置。 <Configuration 3>
The access control unit reads data stored in the volatile memory in a predetermined order at a predetermined timing, in addition to reading data for the purpose of providing instructions to the instruction execution unit. When the volatile memory responds that an error has occurred in the area where the read data was stored, the data including the instruction stored in the backup memory is transferred from the backup memory to the volatile memory. (S116, S118, S120, S120', S124), the control device according to Configuration 1 or Configuration 2.

＜構成４＞
前記バックアップメモリは、前記バックアップ用のユーザプログラムを不揮発的に格納するメモリ（１０８）であって、
前記揮発性メモリに格納される前記ユーザプログラムは、前記バックアップメモリからロードされる（Ｓ１０２）、構成１～構成３のうちいずれか１に記載の制御装置。 <Configuration 4>
The backup memory is a memory (108) that stores the backup user program in a non-volatile manner,
The control device according to any one of configurations 1 to 3, wherein the user program stored in the volatile memory is loaded from the backup memory (S102).

＜構成５＞
前記バックアップメモリは、前記バックアップ用のユーザプログラムを揮発的に格納するメモリであって（１０６）、
前記アクセス制御部は、前記命令の実行に伴って前記揮発性メモリに格納されたデータの書き換えが必要な場合、前記揮発性メモリに格納されたデータおよび前記バックアップメモリに格納されたデータを書き換える（Ｓ１１３－１，Ｓ１１３－２）、構成１～構成３のうちいずれか１に記載の制御装置。 <Configuration 5>
The backup memory is a memory that volatilely stores the backup user program (106),
The access control unit rewrites the data stored in the volatile memory and the data stored in the backup memory when it is necessary to rewrite the data stored in the volatile memory due to execution of the instruction. S113-1, S113-2), the control device according to any one of configurations 1 to 3.

＜構成６＞
制御対象を制御するための制御装置におけるユーザプログラムの実行制御方法であって、
前記制御装置（１００，１００Ｘ）は、
前記ユーザプログラムを格納する揮発性メモリ（１０６，１０６Ｘ）と、
前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリ（１０８，１１０Ｘ，１０６）とを備え、
前記揮発性メモリは、誤り検出用の情報（１４４，１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており（６０６，６０８，６１０）、
所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出すステップ（Ｓ１０４）と、
前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すステップ（Ｓ１０４，Ｓ１０６，Ｓ１０８，Ｓ１０８’）と、
前記揮発性メモリから読み出した命令を実行するステップ（Ｓ１１２）とを備える、ユーザプログラムの実行制御方法。 <Configuration 6>
A method for controlling execution of a user program in a control device for controlling a controlled object, the method comprising:
The control device (100, 100X) is
a volatile memory (106, 106X) that stores the user program;
A backup memory (108, 110X, 106) for storing a backup user program having the same content as the user program stored in the volatile memory,
The volatile memory stores data (142) with error detection information (144, 144 It is configured to respond with the presence or absence of an error in the specified area determined based on the corresponding error detection information (606, 608, 610),
reading instructions included in the user program from the volatile memory according to a predetermined execution order (S104);
When an instruction is read from the volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the data in the area where the error has occurred is reloading the instruction from the backup memory to the volatile memory and rereading the instruction from the volatile memory (S104, S106, S108, S108');
A method for controlling execution of a user program, the method comprising: executing an instruction read from the volatile memory (S112).

＜構成７＞
制御対象を制御するための制御装置を実現するためのシステムプログラムであって、
前記制御装置（１００，１００Ｘ）は、
ユーザプログラムを格納する揮発性メモリ（１０６，１０６Ｘ）と、
前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリ（１０８，１１０Ｘ，１０６）とを備え、
前記揮発性メモリは、誤り検出用の情報（１４４，１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており（６０６，６０８，６１０）、
前記システムプログラムは前記制御装置のプロセッサ（１０２）に、
所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出すステップ（Ｓ１０４）と、
前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すステップ（Ｓ１０４，Ｓ１０６，Ｓ１０８，Ｓ１０８’）と、
前記揮発性メモリから読み出した命令を実行するステップ（Ｓ１１２）とを実行させる、システムプログラム。 <Configuration 7>
A system program for realizing a control device for controlling a controlled object,
The control device (100, 100X) is
volatile memory (106, 106X) for storing user programs;
A backup memory (108, 110X, 106) for storing a backup user program having the same content as the user program stored in the volatile memory,
The volatile memory stores data (142) with error detection information (144, 144 It is configured to respond with the presence or absence of an error in the specified area determined based on the corresponding error detection information (606, 608, 610),
The system program causes the processor (102) of the control device to:
reading instructions included in the user program from the volatile memory according to a predetermined execution order (S104);
When an instruction is read from the volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the data in the area where the error has occurred is reloading the instruction from the backup memory to the volatile memory and rereading the instruction from the volatile memory (S104, S106, S108, S108');
A system program that executes a step (S112) of executing an instruction read from the volatile memory.

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組み合わせても、実施することが意図される。 The embodiments disclosed this time should be considered to be illustrative in all respects and not restrictive. The scope of the present invention is indicated by the claims rather than the above description, and it is intended that all changes within the meaning and range equivalent to the claims are included. Further, the inventions described in the embodiments and each modification are intended to be implemented alone or in combination to the extent possible.

１００，１００Ｘ制御装置、１０２プロセッサ、１０６メインメモリ、１０６Ｘ揮発性メモリ、１０８フラッシュメモリ、１１０Ｘバックアップメモリ、１１２システムプログラム、１１４ユーザプログラム、１４０ユーザデータ、１４２データ、１４４パリティビット、１４４Ｘ検出用情報、１６０バックアップデータ、１８０ログデータ、２０２，２０２Ｘ命令実行部、２０４，２０４Ｘアクセス制御部、２０６レジスタ、２０８エラーアドレスレジスタ、２１０エラーステータスレジスタ、２１２命令レジスタ、２２０アクセスインターフェイス、４０２，４１０アドレスバス、４０４，４１２コントロールバス、４０６，４１４データバス、４０８エラーバス、６０２アドレスデコーダ、６０４メモリセル、６０６読出／書込回路、６０８パリティ生成回路、６１０パリティチェック回路。 100, 100X control device, 102 processor, 106 main memory, 106X volatile memory, 108 flash memory, 110X backup memory, 112 system program, 114 user program, 140 user data, 142 data, 144 parity bit, 144X detection information, 160 backup data, 180 log data, 202, 202X instruction execution unit, 204, 204X access control unit, 206 register, 208 error address register, 210 error status register, 212 instruction register, 220 access interface, 402, 410 address bus, 404 , 412 control bus, 406, 414 data bus, 408 error bus, 602 address decoder, 604 memory cell, 606 read/write circuit, 608 parity generation circuit, 610 parity check circuit.

Claims

A control device for controlling a controlled object,
an instruction execution unit that sequentially executes instructions included in the user program;
a volatile memory that stores the user program;
a backup memory that stores a backup user program having the same content as the user program stored in the volatile memory;
an access control unit that reads instructions included in the user program from the volatile memory and provides the instructions to the instruction execution unit according to a predetermined execution order;
The volatile memory stores data with error detection information added thereto, and also stores data in a specified area and error detection information corresponding to the specified area in response to a read request. The system is configured to respond with the presence or absence of an error in the specified area determined based on the
The access control unit includes:
When an instruction is read from the volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the data in the area where the error has occurred is is reloaded from the backup memory to the volatile memory, the instruction is read again from the volatile memory, and it is determined that no error has occurred in the area where the read instruction was stored in the volatile memory. When a response is received from the instruction execution unit, the instruction execution unit is configured to provide the instruction to the instruction execution unit to execute the instruction, and to specify the instruction to be executed next according to the execution result of the instruction.
In addition to reading for the purpose of providing instructions to the instruction execution unit , each time a predetermined condition is satisfied between the execution of the instruction and the identification of the next instruction to be executed , the volatile When data in a specified area of the data stored in the volatile memory is read out and a response is received from the volatile memory that an error has occurred in the area where the read data was stored, the data in the backup memory is read out. The data containing the instruction stored in the read data is reloaded from the backup memory to the volatile memory, and a response is received from the volatile memory indicating that no error has occurred in the area where the read data was stored. Then, the device is configured to perform a series of processing to specify an area to be read when the predetermined condition is satisfied next time so that the data stored in the volatile memory is read in a predetermined order. ,Control device.

2. The control device according to claim 1, wherein the volatile memory is configured to respond by parity check as to whether an error has occurred.

The backup memory is a memory that stores the backup user program in a non-volatile manner,
3. The control device according to claim 1, wherein the user program stored in the volatile memory is loaded from the backup memory.

The backup memory is a memory that volatilely stores the backup user program,
The access control unit rewrites the data stored in the volatile memory and the data stored in the backup memory when it is necessary to rewrite the data stored in the volatile memory due to execution of the instruction. The control device according to claim 1 or claim 2.

A method for controlling execution of a user program in a control device for controlling a controlled object, the method comprising:
The control device includes:
a volatile memory that stores the user program;
comprising a backup memory for storing a backup user program having the same content as the user program stored in the volatile memory;
The volatile memory stores data with error detection information added thereto, and also stores data in a specified area and error detection information corresponding to the specified area in response to a read request. The system is configured to respond with the presence or absence of an error in the specified area determined based on the
The user program execution control method is as follows:
reading instructions included in the user program from the volatile memory according to a predetermined execution order;
When an instruction is read from the volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the data in the area where the error has occurred is reloading the instruction from the backup memory to the volatile memory and rereading the instruction from the volatile memory ;
When the volatile memory responds that no error has occurred in the area storing the read instruction, executing the instruction read from the volatile memory;
identifying an instruction to be executed next according to the execution result of the instruction;
In addition to reading for the purpose of executing an instruction, a method for storing information in the volatile memory that is executed every time a predetermined condition is satisfied between the execution of the instruction and the identification of the instruction to be executed next. When the volatile memory responds that an error has occurred in the area where the read data was stored, the data stored in the backup memory is read. The data including the instruction is reloaded from the backup memory to the volatile memory, and when the volatile memory responds that no error has occurred in the area where the read data was stored, the volatile memory a series of steps of specifying an area to be read when the predetermined condition is satisfied next time so that the data stored in the storage memory is read in a predetermined order. .

A system program for realizing a control device for controlling a controlled object,
The control device includes:
volatile memory for storing user programs;
comprising a backup memory for storing a backup user program having the same content as the user program stored in the volatile memory;
The volatile memory stores data with error detection information added thereto, and also stores data in a specified area and error detection information corresponding to the specified area in response to a read request. The system is configured to respond with the presence or absence of an error in the specified area determined based on the
The system program causes the processor of the control device to
reading instructions included in the user program from the volatile memory according to a predetermined execution order;
When an instruction is read from the volatile memory, if the volatile memory responds that an error has occurred in the area where the read instruction was stored, the data in the area where the error has occurred is reloading the instruction from the backup memory to the volatile memory and rereading the instruction from the volatile memory;
When the volatile memory responds that no error has occurred in the area storing the read instruction, executing the instruction read from the volatile memory ;
specifying the next instruction to be executed according to the execution result of the instruction ;
The system program causes the processor to
In addition to reading for the purpose of executing an instruction, data stored in the volatile memory is read every time a predetermined condition is satisfied between the execution of the instruction and the identification of the next instruction to be executed. When data in a specified area is read out from the volatile memory, and the volatile memory responds that an error has occurred in the area where the read data was stored, the instruction stored in the backup memory is read out. is loaded from the backup memory to the volatile memory, and when the volatile memory responds that no error has occurred in the area where the read data was stored, the volatile memory A system program that executes a series of steps of specifying an area to be read when the predetermined condition is satisfied next time so that data stored in the computer is read out in a predetermined order.