JP2013148957A - Safety control device and safety control method - Google Patents
Safety control device and safety control method Download PDFInfo
- Publication number
- JP2013148957A JP2013148957A JP2012006968A JP2012006968A JP2013148957A JP 2013148957 A JP2013148957 A JP 2013148957A JP 2012006968 A JP2012006968 A JP 2012006968A JP 2012006968 A JP2012006968 A JP 2012006968A JP 2013148957 A JP2013148957 A JP 2013148957A
- Authority
- JP
- Japan
- Prior art keywords
- program
- execution
- safety control
- safety
- control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims description 68
- 238000012545 processing Methods 0.000 claims abstract description 26
- 238000005192 partition Methods 0.000 claims description 81
- 230000008672 reprogramming Effects 0.000 claims description 54
- 230000008569 process Effects 0.000 claims description 46
- 230000006870 function Effects 0.000 description 84
- 238000012544 monitoring process Methods 0.000 description 41
- 238000004891 communication Methods 0.000 description 13
- 238000004364 calculation method Methods 0.000 description 12
- 230000005856 abnormality Effects 0.000 description 11
- 238000000638 solvent extraction Methods 0.000 description 11
- 230000004044 response Effects 0.000 description 8
- 238000010586 diagram Methods 0.000 description 7
- 230000002159 abnormal effect Effects 0.000 description 4
- 230000005540 biological transmission Effects 0.000 description 4
- 230000005484 gravity Effects 0.000 description 3
- 230000002123 temporal effect Effects 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 2
- 230000009467 reduction Effects 0.000 description 2
- 238000005352 clarification Methods 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 230000018109 developmental process Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 238000010295 mobile communication Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000004092 self-diagnosis Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 230000000007 visual effect Effects 0.000 description 1
Images
Landscapes
- Safety Devices In Control Systems (AREA)
- Programmable Controllers (AREA)
Abstract
Description
本発明は、機能安全の確保のためにサービスロボットおよび輸送機器等に搭載される安全制御装置に関し、特に、コンピュータシステムを用いた安全制御装置に関する。 The present invention relates to a safety control device mounted on a service robot, transportation equipment and the like for ensuring functional safety, and more particularly to a safety control device using a computer system.
サービスロボットは、外界センサや自己診断装置によって安全状態を常時監視し、何らかの危険を検知した場合に適切な安全制御ロジックを実行することで、機能安全を確保する必要がある。 Service robots must ensure functional safety by constantly monitoring the safety state with external sensors and self-diagnosis devices and executing appropriate safety control logic when any danger is detected.
上述したサービスロボットのほか、運輸機器等の電気的な原理で動作するシステムを対象とした機能安全に関する国際標準としてIEC 61508が制定されている。IEC 61508では、機能安全の確保のために設けられるシステムのことを安全関連系と呼んでいる。IEC 61508は、マイクロプロセッサ及びPLC(Programmable Logic Controller)等のハードウェアとコンピュータプログラム(ソフトウェア)によって安全関連系を構築するための様々な技法を定めている。IEC 61508で定められている技法を用いることで、コンピュータシステムを用いて安全関連系を構築することが可能となる。 In addition to the service robots described above, IEC 61508 has been established as an international standard for functional safety for systems that operate on electrical principles such as transportation equipment. In IEC 61508, a system provided for ensuring functional safety is called a safety-related system. IEC 61508 defines various techniques for constructing a safety-related system using hardware such as a microprocessor and a PLC (Programmable Logic Controller) and a computer program (software). By using the technique defined in IEC 61508, it is possible to construct a safety-related system using a computer system.
一方で、近年、マイクロプロセッサ等のプログラマブル電子機器の処理能力が向上している。このため、マルチタスクOS(Operating System)を利用し、1つのコンピュータシステム上で様々なアプリケーションプログラムを並列実行することで、サービスロボット及び自動車等の機器に搭載されている複数用途のコンピュータシステムを統合することができる。 On the other hand, in recent years, the processing capability of programmable electronic devices such as microprocessors has improved. For this reason, a multi-task OS (Operating System) is used, and various application programs are executed in parallel on one computer system, thereby integrating multiple-use computer systems installed in service robots and automobiles. can do.
例えば特許文献1に、機能安全の確保に関するアプリケーションプログラム(以下、安全関連アプリケーションと呼ぶ)を、その他のアプリケーションプログラム(以下、非安全関連アプリケーションと呼ぶ)と共に1つのコンピュータシステム上で動作させる技術が開示されている。
For example,
IEC 61508で定められている技法を、安全関連アプリケーションおよび非安全関連アプリケーションを含むソフトウェア全体に適用すると、非安全関連アプリケーションにまで適用する必要性が生じる。このため、ソフトウェア開発コストが増大するという問題がある。 When the technique defined in IEC 61508 is applied to the entire software including safety-related applications and non-safety-related applications, it is necessary to apply even to non-safety-related applications. For this reason, there is a problem that the software development cost increases.
そこで、特許文献1に開示される技術では、システムプログラムのタイム・パーティションニングによって、安全関連アプリケーション(安全監視プログラム及び安全制御プログラム)を非安全関連アプリケーション(通常制御プログラム)から独立させている。このため、通常制御プログラムを安全関連系から除外することができ、コンピュータシステムを用いて構成される安全関連系の低コスト化に寄与することができる。
Therefore, in the technique disclosed in
ロボットは、極限環境下でも利用がされる等、様々な状況下で動作が要求されるようになってきている。その1つとして、ロボットが動作中であっても、そのロボットを制御するソフトウェアを新しいものに更新することが要求される場合がある。例えば、ロボットの動作を極力停止したくないような場合には、動作中にソフトウェアを更新することで、動作が停止する時間を短縮することができる。 Robots are required to operate in various situations, such as being used even in extreme environments. For example, even when the robot is operating, it may be required to update the software that controls the robot to a new one. For example, when it is desired not to stop the operation of the robot as much as possible, the time during which the operation stops can be shortened by updating the software during the operation.
しかしながら、上述した、タイム・パーティションニングを採用したシステムにおいて、安全関連アプリケーションによって安全機能を実行中に、ソフトウェアを新しく書き換える作業(リプログラミング)を実行した場合には、安全性を維持するために、ソフトウェアの更新後も継続して安全機能を実行可能とする仕組みが必要であるという課題がある。それに対して、特許文献1は、そもそも、リプログラミングに関する技術を開示したものではない。
However, in the above-described system adopting time partitioning, when a safety function is being executed by a safety-related application and a work for rewriting software (reprogramming) is executed, in order to maintain safety, There is a problem that it is necessary to have a mechanism that allows the safety function to be continuously executed even after the software is updated. On the other hand,
本発明は、上述した知見に基づいてなされたものであって、制御対象を制御するプログラムを更新した場合であっても、安全性を維持することを可能とする安全制御装置及び安全制御方法を提供することを目的とする。 The present invention has been made based on the above-described knowledge, and provides a safety control device and a safety control method capable of maintaining safety even when a program for controlling a controlled object is updated. The purpose is to provide.
本発明の第1の態様にかかる安全制御装置は、制御対象の機能安全を確保するための制御に関する安全制御処理を実行する安全制御プログラムと、その他の前記制御対象の制御に関する通常制御処理を実行する通常制御プログラムと、を含む実行プログラムが格納されるプログラム記憶部と、前記安全制御処理を実行していることを示す安全制御実行情報が格納される実行情報記憶部と、前記実行プログラムを実行するプログラム実行部と、を備え、前記プログラム実行部は、前記安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を実行している場合、前記安全制御実行情報を前記実行情報記憶部に格納し、前記実行している実行プログラムを、前記プログラム記憶部に格納された新たな前記実行プログラムに更新したときに、前記実行情報記憶部に前記安全機能実行情報が格納されている場合、前記新たな実行プログラムに含まれる安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を引き継いで実行するものである。 The safety control device according to the first aspect of the present invention executes a safety control program that executes a safety control process related to control for ensuring functional safety of a control target, and a normal control process related to control of the other control target. A normal storage control program that stores an execution program, an execution information storage that stores safety control execution information indicating that the safety control process is being executed, and the execution program A program execution unit that executes the safety control program, and executes the safety control execution information when the safety control process is executed in the execution of the safety control program. A new execution program stored in the program storage unit is stored in the information storage unit. When the safety function execution information is stored in the execution information storage unit when updated to a program, the safety control program included in the new execution program is executed, and the safety control program is executed in the execution of the safety control program. The control process is taken over and executed.
本発明の第2の態様にかかる安全制御装置は、制御対象の機能安全を確保するための制御に関する安全制御処理を実行する安全制御プログラムと、その他の前記制御対象の制御に関する通常制御処理を実行する通常制御プログラムと、を含む実行プログラムが格納されるプログラム記憶部と、前記安全制御処理を実行していることを示す安全制御実行情報が格納される実行情報記憶部と、前記実行プログラムを実行するプログラム実行部と、を備え、前記プログラム実行部は、前記安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を実行している場合、前記安全制御実行情報を前記実行情報記憶部に格納し、前記実行している安全制御プログラムを、前記プログラム記憶部に格納された新たな前記安全制御プログラムに更新したときに、前記実行情報記憶部に前記安全機能実行情報が格納されている場合、前記新たな安全制御プログラムの実行において前記安全制御処理を引き継いで実行するものである。 The safety control device according to the second aspect of the present invention executes a safety control program that executes a safety control process related to control for ensuring functional safety of a control target, and a normal control process related to control of the other control target. A normal storage control program that stores an execution program, an execution information storage that stores safety control execution information indicating that the safety control process is being executed, and the execution program A program execution unit that executes the safety control program, and executes the safety control execution information when the safety control process is executed in the execution of the safety control program. A new safety control program stored in the program storage unit is stored in the information storage unit. When updating the control program, when the safety function execution information in the execution information storage unit is stored, and executes take over the safety control processing in the execution of the new safety control program.
本発明の第3の態様にかかる安全制御方法は、制御対象の機能安全を確保するための制御に関する安全制御処理を実行する安全制御プログラムと、その他の前記制御対象の制御に関する通常制御処理を実行する通常制御プログラムと、を含む実行プログラムの実行を開始するステップと、前記安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を実行している場合、前記安全制御処理を実行していることを示す安全制御実行情報を実行情報記憶部に格納するステップと、前記実行している実行プログラムを、新たな前記実行プログラムに更新したときに、前記実行情報記憶部に前記安全機能実行情報が格納されている場合、前記新たな実行プログラムに含まれる安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を引き継いで実行するものである。 A safety control method according to a third aspect of the present invention executes a safety control program that executes a safety control process related to control for ensuring functional safety of a control target, and a normal control process related to control of the other control target. A step of starting execution of an execution program including a normal control program, and executing the safety control program when executing the safety control program and executing the safety control process. Storing safety control execution information indicating execution in the execution information storage unit; and when the execution program being executed is updated to a new execution program, the safety information is stored in the execution information storage unit. When the function execution information is stored, the safety control program included in the new execution program is executed, and the safety execution program is executed. And it executes take over the safety control processing in the execution of the control program.
上述した本発明の各態様によれば、制御対象を制御するプログラムを更新した場合であっても、安全性を維持することを可能とする安全制御装置及び安全制御方法を提供することができる。 According to each aspect of the present invention described above, it is possible to provide a safety control device and a safety control method capable of maintaining safety even when a program for controlling a controlled object is updated.
以下では、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。各図面において、同一要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明は省略される。 Hereinafter, specific embodiments to which the present invention is applied will be described in detail with reference to the drawings. In the drawings, the same elements are denoted by the same reference numerals, and redundant description is omitted as necessary for the sake of clarity.
<発明の実施の形態1>
本実施の形態にかかる安全制御装置1は、サービスロボットや運輸機器等に搭載されて機能安全確保のための安全制御を実行する。安全制御装置1は、安全関連アプリケーションと非安全関連アプリケーションを同一のコンピュータシステムで実行するよう構成される。図1は、本実施の形態にかかる安全制御装置1の構成例を示すブロック図である。
<
The
プロセッサ10は、プログラム(命令ストリーム)の取得、命令のデコード、命令のデコード結果に応じた演算処理を行う。なお、図1では、1つのプロセッサ10のみを示しているが、安全制御装置1は、複数のプロセッサ10を有するマルチプロセッサ構成であってもよい。また、プロセッサ10は、マルチコアプロセッサでもよい。プロセッサ10は、システムプログラムとしてのオペレーティングシステム(OS)100を実行することによりマルチプログラミング環境を提供する。マルチプログラミング環境とは、複数のプログラムを定期的に切り替えて実行したり、あるイベントの発生に応じて実行するプログラムを切り替えたりすることによって、複数のプログラムがあたかも並列実行されているような環境を意味する。
The
マルチプログラミングは、マルチプロセス、マルチスレッド、マルチタスク等と呼ばれる場合もある。プロセス、スレッド及びタスクは、マルチプログラミング環境で並列実行されるプログラム単位を意味する。本実施の形態のプロセッサ10が具備するマルチプログラミング環境は、マルチプロセス環境でもよいし、マルチスレッド環境でもよい。
Multiprogramming is sometimes called multiprocess, multithread, multitask, and the like. A process, a thread, and a task mean a program unit that is executed in parallel in a multiprogramming environment. The multi-programming environment included in the
実行用メモリ11は、プロセッサ10によるプログラム実行のために使用されるメモリである。実行用メモリ11には、不揮発性メモリ13からロードされたプログラム(OS100及びアプリケーション101〜104等)、プロセッサ10の入出力データ等が記憶される。なお、プロセッサ10は、プログラムを不揮発性メモリ13から実行用メモリ11にロードすることなく、これらのプログラムを不揮発性メモリ13から直接実行してもよい。
The
具体的には、実行用メモリ11は、SRAM(Static Random Access Memory)、DRAM(Dynamic Random Access Memory)等のランダムアクセス可能な揮発性メモリとすればよい。図1の実行用メモリ11は、論理的な構成単位を示している。すなわち、実行用メモリ11は、例えば、複数のSRAMデバイスの組み合わせ、複数のDRAMデバイスの組み合わせ、又はSRAMデバイスとDRAMデバイスの組み合わせでもよい。
Specifically, the
I/Oポート12は、外部デバイスとの間のデータ送受信に使用される。例えば、安全制御装置1がサービスロボットに搭載される場合であれば、外部デバイスは、各種センサ及びサービスロボットを動作させるアクチュエータ等である。この場合、各種センサは、例えば、サービスロボット周囲の障害物を計測可能な視覚センサ、サービスロボットの姿勢を検知するための姿勢センサ、及びサービスロボットのアクチュエータの状態を検知するための回転センタ等のサービスロボットの内外の状態を検出するセンサを含む。
The I /
不揮発性メモリ13は、電力の供給を受けることなく、実行用メモリ11に比べて安定的に記憶内容を維持することが可能なメモリデバイスである。例えば、不揮発性メモリ13は、ROM(Read Only Memory)、フラッシュメモリ、ハードディスクドライブ若しくは光ディスクドライブ、又はこれらの組み合わせである。不揮発性メモリ13は、OS100及びアプリケーション101〜104を格納する。なお、不揮発性メモリ13の少なくとも一部は安全制御装置1から取り外し可能に構成されてもよい。例えば、アプリケーション101〜104が格納されたメモリを取り外し可能としてもよい。また、不揮発性メモリ13の少なくとも一部は、安全制御装置1の外部に配置されてもよい。
The
OS100は、プロセッサ10によって実行されることにより、プロセッサ10及び実行用メモリ11及び不揮発性メモリ13等のハードウェア資源を利用して、タスクスケジューリングを含むタスク管理、割り込み管理、時間管理、資源管理、タスク間同期およびタスク間通信機構の提供等を行う。
The
さらに、機能安全の確保に関連する安全監視アプリケーション101及び安全制御アプリケーション103の通常制御アプリケーション102からの独立性を高めるため、OS100は、ハードウェア資源を、時間的および空間的に保護する機能を有する。ここで、ハードウェア資源とは、プロセッサ10、実行用メモリ11、I/Oポート12を含む。
Further, in order to increase the independence of the
このうち、時間的な保護は、プロセッサ10の実行時間という時間的な資源をパーティショニングすることにより行う。具体的に述べると、時間的な保護は、プロセッサ10の実行時間をパーティショニングし、各パーティション(タイムパーティションと呼ぶ)にタスク(プロセス又はスレッド)を割り当てることにより行う。OS100のスケジューリング機能(パーティションスケジューラ21)は、各タイムパーティション(以下、TPと略称する場合がある。)に割り当てられたタスクに対して、プロセッサ10の実行時間を含む資源の利用を保証する。
Of these, temporal protection is performed by partitioning a temporal resource called the execution time of the
図2は、タイム・パーティショニングに関する概念図である。図2の例では、予め定められた1サイクル時間を3つのTP1、TP2及びTP3に分割する例を示している。例えば、1サイクル時間を100Tickとした場合、このうち前半の20TickがTP1、中間の30TickがTP2、後半の50TickがTP3と規定される。 FIG. 2 is a conceptual diagram related to time partitioning. In the example of FIG. 2, an example in which a predetermined cycle time is divided into three TP1, TP2, and TP3 is shown. For example, when one cycle time is 100 Tick, the first 20 Tick is defined as TP1, the middle 30 Tick is defined as TP2, and the second 50 Tick is defined as TP3.
また、図2の例では、第1アプリケーション(APL1)〜第4アプリケーション(APL4)が、TP1〜TP3のいずれかに割り当てられている。OS100のスケジューリング機能(パーティションスケジューラ21)は、時間の経過に応じて、TP1〜TP3のいずれをアクティブにするかを選択・決定する。そして、アクティブなTPに割り当てられているアプリケーションが、プロセッサ10で実行される。
In the example of FIG. 2, the first application (APL1) to the fourth application (APL4) are assigned to any one of TP1 to TP3. The scheduling function (partition scheduler 21) of the
一方、空間的な保護は、実行用メモリ11及びI/Oポート12を含む固定的な資源をパーティショニングし、各パーティション(リソースパーティションと呼ぶ)にタスクを割り当てることにより行う。OS100のスケジューリング機能(パーティションスケジューラ21)は、予め割り当てられたリソースパーティション(以下、RPと略称する場合がある。)を超えてタスクが他のリソースにアクセスすることを禁止する。
On the other hand, spatial protection is performed by partitioning fixed resources including the
図3は、リソース・パーティショニングに関する概念図である。図3の例では、2つのRP(RP1及びRP2)を示している。RP1には、実行用メモリ11及び不揮発性メモリ13の一部(A領域)と、I/Oポート12の一部(ポートA)が割り当てられている。また、RP2には、実行用メモリ11及び不揮発性メモリ13の他の一部(B領域)と、I/Oポート12の他の一部(ポートB)が割り当てられている。RP1からはRP2に割り当てられたリソースへのアクセスが禁止され、RP2からはRP1に割り当てられたリソースへのアクセスが禁止される。
FIG. 3 is a conceptual diagram related to resource partitioning. In the example of FIG. 3, two RPs (RP1 and RP2) are shown. A part of the
なお、全てのリソースがいずれかのRPに排他的に割り当てられる必要はない。つまり、複数のRPによって共有されるリソースがあってもよい。例えば、サービスロボットの安全制御を行う場合、アクチュエータには、通常制御アプリケーション102及び安全制御アプリケーション103の双方からアクセスできる必要がある。よって、通常制御アプリケーション102が属するRPと安全制御アプリケーション103が属するRPによって、アクチュエータを制御するためのI/Oポートを共有するとよい。
Note that not all resources need to be exclusively assigned to any RP. That is, there may be a resource shared by a plurality of RPs. For example, when performing safety control of a service robot, the actuator needs to be accessible from both the
図1に戻り説明を続ける。アプリケーション101〜104は、OS100及びプロセッサ10によって提供されるマルチプログラミング環境で実行される。このうち、安全監視アプリケーション101は、通常制御アプリケーション102の実行状況の監視と、安全制御アプリケーション103の実行状況の監視と、I/Oポート12への入出力データの監視と、をプロセッサ10に実行させるための命令コードを含む。さらに、安全監視アプリケーション101は、パーティションスケジューラ21への結果通知をプロセッサ10に実行させるための命令コードを含む。つまり、安全監視アプリケーション101は、安全関連アプリケーションである。
Returning to FIG. The
また、通常制御アプリケーション102は、サービスロボット等の制御対象に通常の機能・動作を行わせるための制御手順をプロセッサ10に実行させるための命令コードを含む。さらに、通常制御アプリケーション102は、パーティションスケジューラ21への結果通知をプロセッサ10に実行させるための命令コードを含む。つまり、通常制御アプリケーション102は、非安全関連アプリケーションである。
Further, the
また、安全制御アプリケーション103は、何らかの異常が検出された場合に対応して、機能安全を確保するために定められた制御手順をプロセッサ10に実行させるための命令コードを含む。さらに、安全制御アプリケーション103は、パーティションスケジューラ21への結果通知をプロセッサ10に実行させるための命令コードを含む。つまり、安全制御アプリケーション103は、安全関連アプリケーションである。
Further, the
また、リプログラミングアプリケーション104は、安全制御装置1において実行されるプログラム100〜104を更新するための処理手順をプロセッサ10に実行させるための命令コードを含む。さらに、リプログラミングアプリケーション104は、パーティションスケジューラ21への結果通知をプロセッサ10に実行させるための命令コードを含む。
Further, the reprogramming application 104 includes an instruction code for causing the
リセット回路14は、OS100からの信号に基づき、マイクロコントローラ15のリセットを行う。パーティションスケジューラ21からリセット回路14に定期的に送信信号を送信するようにし、リセット回路14は、パーティションスケジューラ21からの送信信号が途絶えた場合に、マイクロコントローラ15をリセットする。例えば、パーティションスケジューラ21は、後述するように、1Tickごとに動作するタイミングで送信信号を送信する。また、OS100で異常を検知した場合、又は、アプリケーション101〜103のいずれかから異常を示す結果通知を受けた場合に、パーティションスケジューラ21がリセット回路14にリセット信号を送信するようにして、それに応じて、リセット回路14がマイクロコントローラ15をリセットするようにしてもよい。このようにすることで、マイクロコントローラ15に不具合が発生した場合に、マイクロコントローラ15をリセットして復旧することができる。
The
続いて、図4を参照して、本発明の実施の形態1にかかる実行用メモリ11及び不揮発性メモリ13のメモリ構成について説明する。図4は、本発明の実施の形態1にかかる実行用メモリ11及び不揮発性メモリ13のメモリ構成を示す図である。
Next, with reference to FIG. 4, the memory configurations of the
図4に示すように、不揮発性メモリ13は、ブートプログラム領域90と、実行用プログラム領域91、及び更新用プログラム領域92を含む。ブートプログラム領域には、ブートプログラム50が格納される。実行用プログラム領域91及び更新用プログラム領域92のそれぞれは、OS100、安全監視アプリケーション101、通常制御アプリケーション102、安全制御アプリケーション103、及びリプログラミングアプリケーション104を含む実行プログラムが格納される。
As shown in FIG. 4, the
ブートプログラム50は、実行用プログラム領域91に格納された実行プログラムに含まれるOS100を実行用メモリ11にロードして起動する。これによって、OS100によって、実行用プログラム領域91に格納された実行プログラムに含まれる各アプリケーション101〜104が起動される。その後に、リプログラミングアプリケーション104は、安全制御装置1で動作させるプログラム100〜104を更新する場合、新しい実行プログラムを更新用プログラム領域92に格納して、安全制御装置1を再起動する。安全制御装置1が再起動されたとき、ブートプログラム50は、更新用プログラム領域92に格納されたOS100を実行用メモリ11にロードして起動する。これによって、OS100によって、更新用プログラム領域92に格納された実行プログラムに含まれる各アプリケーション101〜104が起動される。その結果、安全制御装置1によって動作する各プログラム100〜104が、新しいプログラム100〜104に更新される。
The
そして、次に、リプログラミングアプリケーション104によって、安全制御装置1で動作させるプログラム100〜104を更新する場合には、実行用プログラム領域91に対して、新しい実行プログラムが格納されることになる。すなわち、実行用に利用される領域と、更新用に利用される領域とは、交互に入れ替わることになる。このようにすることで、実行プログラムの書き込みに失敗した場合等、新しい実行プログラムを正常に起動することができない場合に、更新前の実行プログラムによって、安全制御装置1を動作させることができる。
Then, when the reprogramming application 104 updates the
また、図4に示すように、実行用メモリ11は、安全機能の実行状態を保管する領域94(以下、「状態保持RAM」と呼ぶ)が含まれている。状態保持RAM93には、後述するように、安全機能の実行状態を示す安全機能情報31が格納される。
As shown in FIG. 4, the
続いて以下では、パーティションスケジューラ21と、アプリケーション101〜104の起動により生成されるタスクと、の関係について、図5を用いて説明する。図5は、OS100によって提供されるマルチプログラミング環境で起動される、パーティションスケジューラ21とタスク24、26、28、30との関係を示す図である。
Subsequently, the relationship between the
マイクロコントローラ15は、プロセッサ10、実行用メモリ11、I/Oポート12、不揮発性メモリ13等を含む。なお、図5では、マイクロコントローラ15の外部にリセット回路14を備える構成を例示しているが、マイクロコントローラ15の内部にリセット回路14を含む構成としてもよい。
The
マイクロコントローラ15には、外部のクロック源からのクロック信号が供給され、プロセッサ10等は、このクロック信号に基づく所定のタイマー周期で動作する。本実施の形態では、所定のタイマー周期を、1Tickであるとして説明する。このため、プロセッサ10によりOS100が実行されることで、パーティションスケジューラ21が1Tickごとに動作すると共に、各TPにおいて、タスクスケジューラ23、25、27、29およびタスク(安全監視タスク24、通常制御タスク26、安全制御タスク28、リプログラミングタスク30)が1Tickごとに動作する。
The
パーティションスケジューラ21は、1Tickごとに動作し、TPの切り替え(パーティション・スケジューリング)を行う。パーティションスケジューラ21は、次の1Tickの間にTP1〜TP4のいずれをアクティブにするかを選択・決定する。さらに、パーティションスケジューラ21は、選択したTPに関するタスクスケジューラの動作を開始させる。
The
パーティションスケジューラ21によるパーティション・スケジューリングについて具体的に述べると、パーティションスケジューラ21は、スケジューリングテーブル22を参照し、TPの設定を定めたスケジューリングパターンに従って、パーティション・スケジューリングを行う。
More specifically, partition scheduling by the
スケジューリングテーブル22は、TPの切り替え順序およびタイミングを規定したスケジューリングパターンを保持している。スケジューリングテーブル22は、例えば、実行用メモリ11に予め格納されている。なお、スケジューリングテーブル22は、少なくとも2つの異なるスケジューリングパターンを保持している。1つは、安全監視タスク24による異常検知が行われていない場合(つまり通常時)に適用されるスケジューリングパターンである。もう1つは、安全監視タスク24によって異常が検知された場合に適用されるスケジューリングパターンである。以下では、通常時に適用されるスケジューリングパターンを"通常制御スケジューリングパターン"と呼ぶ。また、異常検知時に適用されるスケジューリングパターンを"安全制御スケジューリングパターン"と呼ぶ。
The scheduling table 22 holds a scheduling pattern that defines the TP switching order and timing. For example, the scheduling table 22 is stored in advance in the
図6Aは、通常制御スケジューリングパターンの具体例を示している。図6Aでは、1サイクル時間において、時系列順に、通常制御タスク26が属するTP2の期間(T1)、安全監視タスク24が属するTP1の期間(T2)、及びリプログラミングタスク30が属するTP4の期間(T3)が割り当てられている。図6Aのスケジューリングパターンによれば、通常制御タスク26、安全監視タスク24、及びリプログラミングタスク30が繰り返しスケジューリングされる。
FIG. 6A shows a specific example of the normal control scheduling pattern. In FIG. 6A, in one cycle time, in a chronological order, the period TP2 to which the
図6Bは、安全制御スケジューリングパターンの具体例を示している。図6Bでは、1サイクル時間において、時系列順に、安全制御タスク28が属するTP3の期間(T4)、安全監視タスク24が属するTP1の期間(T5)、及びリプログラミングタスク30が属するTP4の期間(T6)が割り当てられている。図6Bのスケジューリングパターンによれば、安全制御タスク28、安全監視タスク24、及びリプログラミングタスク30が繰り返しスケジューリングされる。
FIG. 6B shows a specific example of the safety control scheduling pattern. In FIG. 6B, in one cycle time, in a chronological order, the period of TP3 to which the safety control task 28 belongs (T4), the period of TP1 to which the
図5に戻り説明を続ける。タスクスケジューラ23、25、27、29は、それぞれが属するTP内でのタスクのスケジューリングを行う。各TP内でのタスクのスケジューリングには、一般的な優先度ベースのスケジューリングを適用すればよい。なお、図5では、各TPはそれぞれ1つのタスクのみを含むものとして図示しているが、1以上のタスクが含まれるようにしてもよい。例えば、通常制御用のTP2内には、通常制御タスクA及び通常制御タスクBの2つのタスクが含まれていてもよい。 Returning to FIG. The task schedulers 23, 25, 27, and 29 perform task scheduling in the TP to which each belongs. For scheduling tasks in each TP, general priority-based scheduling may be applied. In FIG. 5, each TP is illustrated as including only one task, but one or more tasks may be included. For example, the normal control task A and the normal control task B may be included in the normal control TP2.
安全監視タスク24は、安全監視アプリケーション101の起動によって生成されるタスクである。図5の例では、安全監視タスク24は、TP1及びRP1に割り当てられている。安全監視タスク24は、非安全関連アプリケーションである通常制御タスク26の実行状況の監視と、安全関連アプリケーションである安全制御タスク28の実行状況の監視と、I/Oポート12の入出力データを監視する。安全監視タスク24は、自身が属するRP1に割り当てられた実行用メモリ11のリソースを使用しながら、自身の処理を実行するために必要な演算等を行う。さらに、安全監視タスク24は、タスクの実行状況を、パーティションスケジューラ21へ通知する。
The
通常制御タスク26は、通常制御アプリケーション102の起動によって生成されるタスクである。図5の例では、通常制御タスク26は、TP2及びRP2に割り当てられている。通常制御タスク26は、サービスロボット等の制御対象に通常の機能・動作を行わせるための制御を行う。通常制御タスク26は、自身が属するRP2に割り当てられた実行用メモリ11のリソースを使用しながら、自身の処理を実行するために必要な演算等を行う。さらに、通常制御タスク26は、タスクの実行状況を、パーティションスケジューラ21へ通知する。
The
安全制御タスク28は、安全制御アプリケーション103の起動によって生成されるタスクである。図5の例では、安全制御タスク28は、TP3及びRP3に割り当てられている。安全制御タスク28は、何らかの異常が検出された場合に対応して、機能安全を確保するために定められた制御を行う。安全制御タスク28は、自身が属するRP3に割り当てられた実行用メモリ11のリソースを使用しながら、自身の処理を実行するために必要な演算等を行う。さらに、安全制御タスク28は、タスクの実行状況を、パーティションスケジューラ21へ通知する。
The safety control task 28 is a task generated when the
また、安全制御タスク28は、機能安全を確保するために定められた制御(安全機能)の実行を開始した場合には、安全機能情報31を状態保持RAM93に格納する。安全制御タスク28は、機能安全を確保するために定められた制御(安全機能)の実行を終了した場合には、状態保持RAM93から安全機能情報31を削除する。また、安全制御タスク28は、実行開始時に、状態保持RAM93に安全機能情報31が格納されている場合には、安全機能を実行する。これによって、安全機能の実行中にプログラム100〜104の更新が行われた場合であっても、安全機能の実行を引き継ぐことが可能となる。
Further, the safety control task 28 stores the safety function information 31 in the
リプログラミングタスク30は、リプログラミングアプリケーション104の起動によって生成されるタスクである。図5の例では、リプログラミングタスク30は、TP4及びRP4に割り当てられている。リプログラミングタスク30は、安全制御装置1において実行されるプログラム100〜104を更新する。リプログラミングタスク30は、自身が属するRP4に割り当てられた実行用メモリ11のリソースを使用しながら、自身の処理を実行するために必要な演算等を行う。さらに、リプログラミングタスク30は、タスクの実行状況を、パーティションスケジューラ21へ通知する。
The reprogramming task 30 is a task generated by starting up the reprogramming application 104. In the example of FIG. 5, the reprogramming task 30 is assigned to TP4 and RP4. The reprogramming task 30 updates the
安全機能情報31は、安全機能を実行していることを示す情報となる。安全制御タスク28によって、安全機能が実行されている場合に安全機能情報31が状態保持RAM93に格納される。ここで、安全機能情報31は、厳密には、どの安全機能が実行されているかを示す情報となる。例えば、安全機能情報31の値によって、複数の安全機能のうち、どの安全機能が実行されているかを示すようにする。すなわち、安全制御タスク28は、複数の安全機能のうち、いずれか1つ以上を実行可能である。さらに、安全制御タスク28が実行可能な安全機能の種類及び数は、更新前後のプログラムで異なっていてもよい。安全機能の種類として、例えば、制御対象の停止、制御対象の低速化等がある。
The safety function information 31 is information indicating that the safety function is being executed. When the safety function is executed by the safety control task 28, the safety function information 31 is stored in the
なお、各タスクからパーティションスケジューラ21へと結果を通知する具体的な構成としては、様々な手法を採用することができる。例えば、タスクがOS100のシステムコール(サービスコール)を呼び出し、OS100を介して、パーティションスケジューラ21に結果を通知することができる。例えば、タスク間通信を行うシステムコールを呼び出すことによって通知をするようにしてもよい。また、例えば、タスクの実行状況に関するフラグを実行用メモリ11に格納するものとして、タスクがその実行状況に応じてフラグの値を設定し、パーティションスケジューラ21がフラグの設定値に応じてタスクの実行状況を判断することもできる。
Various methods can be adopted as a specific configuration for notifying the result from each task to the
上述したように、パーティションスケジューラ21が1Tickごとに動作し、TP1〜TP3のいずれをアクティブにするかを選択・決定する。さらに、パーティションスケジューラ21が、選択したTPに関するタスクスケジューラの動作を開始させる。そして、タスクスケジューラ23、25、27、29が動作を開始することでタスクのスケジューリングが行われ、プロセッサ10が、タスクスケジューラ23、25、27、29によりスケジューリングされた順序に従って、TP内でのタスクを実行していく。これによって、アクティブなTPに割り当てられているアプリケーションが、プロセッサ10で実行される。
As described above, the
続いて以下では、パーティションスケジューラ21によるパーティション・スケジューリングについて、図7を用いて説明する。図7は、発明の実施の形態1にかかるパーティションスケジューラ21の処理手順の具体例を示すフローチャートである。
Next, partition scheduling by the
なお、図7では、通常制御スケジューリングパターン(例えば図6A)または安全制御スケジューリングパターン(例えば図6B)に従って、スケジューリングを実行する場合を例に説明する。すなわち、TP2またはTP3に続く次のTPはTP1であり、TP1に続く次のTPはTP4であり、かつ、TP2での異常がTP1で検知された場合に、TP1からの結果を受けて次に選択・決定されるTPはTP3である場合を例に説明する。 Note that FIG. 7 illustrates an example in which scheduling is performed according to a normal control scheduling pattern (for example, FIG. 6A) or a safety control scheduling pattern (for example, FIG. 6B). That is, if the next TP following TP2 or TP3 is TP1, the next TP following TP1 is TP4, and an abnormality in TP2 is detected by TP1, A case where the selected / determined TP is TP3 will be described as an example.
OS100は、1Tick経過するごとに(S11)、パーティションスケジューラ21を起動する(S12)。パーティションスケジューラ21は、スケジューリングパターンを参照して、TPの切り替えタイミングか否かを判定する(S13)。
The
TPの切り替えタイミングでないと判定した場合(S13でNo)、パーティションスケジューラ21は、同一のTPXについての動作を継続させる。このため、TPの切り替えタイミングとなるまでの間、S11〜S13、S15、S16の処理が繰り返される。ここで、変数XはTPの番号を示し、Xは1〜4のうちのいずれかの値となる。すなわち、通常制御スケジューリングパターンに従ってパーティション・スケジューリングを実施している場合は、安全制御用のTP3を除いた、TP2、TP1、及びTP4のいずれかを動作させる。
If it is determined that it is not the TP switching timing (No in S13), the
一方、TPの切り替えタイミングであると判定した場合(S13でYes)、パーティションスケジューラ21は、TPの切り替えを実行する(S14)。このように、パーティションスケジューラ21は、次にアクティブにするTPを変更する(S13でYes)場合には、さらに、切り替え前のTPに属するタスクからの通知結果に応じて、切り替え前のTPが正常であったか否かを判断する。判断の結果、切り替え前のTPが異常であった場合、パーティションスケジューラ21は、次の1Tickの間にアクティブにするTPXを、安全制御スケジューリングパターンに従って、TP1、TP3、及びTP4のいずれかから選択・決定する。判断の結果、正常であった場合、パーティションスケジューラ21は、次の1Tickの間にアクティブにするTPXを、通常制御スケジューリングパターンに従って、TP1、TP2、及びTP4のいずれかを選択・決定する。
On the other hand, when it is determined that it is TP switching timing (Yes in S13), the
パーティションスケジューラ21は、現在アクティブになっているTPXのタスクスケジューラを動作させる(S15)。S15で動作を開始したTPXのタスクスケジューラは、TPX内のタスクを優先度に応じて実行する(S16)。
The
そして、1Tickが経過すると(S11)、パーティションスケジューラ21が、再びTPのスケジューリングを開始する(S12)。すなわち、パーティションスケジューラ21は、スケジューリングパターンに従って、次の1Tickの間にいずれのTPをアクティブにするかを選択・決定する。
When 1 Tick elapses (S11), the
図7で示した処理に関して、パーティション・スケジューリングの具体例を説明する。まず、図6Aに例示した通常制御スケジューリングパターンに従って、S15においてTP2がアクティブの状態からスケジューリングを開始した場合を説明する。この場合、S15ではTPX=TP2として開始し、続くS16、S11〜S13にかけてもTPX=TP2のままである。そして、S13でNoが続く限り、TPX=TP2の状態が維持される。S13でYesとなり、S14でTP2からTP1へと変更された場合、続くS15〜S16、S11〜S13にかけてTP1のままである。そして、S13でNoが続く限り、TPX=TP1の状態が維持される。S13でYesとなり、S14でTP1からTP4へと変更された場合、続くS15〜S16、S11〜S13にかけてTP4のままである。そして、S13でNoが続く限り、TPX=TP4の状態が維持される。TP1がアクティブのときに、S16で、TP2に関する実行状況(データ入出力等)が正常であると判定されていた場合には、次のS14では、TPX=TP2となる(つまり、TP2から開始する通常制御スケジューリングパターンが継続される。)。一方で、S16で、TP2に関する実行状況(データ入出力等)が異常であると判定されていた場合には、次のS14で、TPX=TP3となる(つまり、TP3から開始する安全制御スケジューリングパターンに切り替わる。)。 A specific example of partition scheduling will be described with respect to the processing shown in FIG. First, according to the normal control scheduling pattern illustrated in FIG. 6A, the case where scheduling is started from the active state of TP2 in S15 will be described. In this case, TPX = TP2 is started in S15, and TPX = TP2 remains even in subsequent S16 and S11 to S13. And as long as No continues in S13, the state of TPX = TP2 is maintained. If S13 is Yes and TP2 is changed to TP1 in S14, TP1 remains in S15 to S16 and S11 to S13. As long as No continues in S13, the state of TPX = TP1 is maintained. If the answer is Yes in S13 and the TP1 is changed to TP4 in S14, TP4 remains as it is in subsequent S15 to S16 and S11 to S13. And as long as No continues in S13, the state of TPX = TP4 is maintained. When it is determined in S16 that the execution status (data input / output, etc.) related to TP2 is normal when TP1 is active, TPX = TP2 in the next S14 (that is, start from TP2). Normal control scheduling pattern continues.) On the other hand, if it is determined in S16 that the execution status (data input / output, etc.) relating to TP2 is abnormal, TPX = TP3 (that is, a safety control scheduling pattern starting from TP3) in the next S14. Switch to.)
また、図6Bに例示した安全制御スケジューリングパターンに従って、S15においてTP3がアクティブの状態からスケジューリングを開始した場合を説明する。この場合、S15ではTPX=TP3として開始し、続くS16、S11〜S13にかけてもTPX=TP3のままである。そして、S13でNoが続く限り、TPX=TP3の状態が維持される。S13でYesとなり、S14でTP3からTP1へと変更された場合、続くS15〜S16、S11〜S13にかけてTP1のままである。そして、S13でNoが続く限り、TPX=TP1の状態が維持される。S13でYesとなり、S14でTP1からTP4へと変更された場合、続くS15〜S16、S11〜S13にかけてTP4のままである。そして、S13でNoが続く限り、TPX=TP4の状態が維持される。TP1がアクティブのときに、S16で、TP3に関する実行状況(データ入出力等)が正常であると判定されていた場合には、次のS14では、TPX=TP2とする(つまり、TP2から開始する通常制御スケジューリングパターンに切り替わる。)。一方で、S16で、TP3に関する実行状況(データ入出力等)に異常があると判定されていた場合には、次のS14で、TPX=TP3となる(つまり、TP3から開始する安全制御スケジューリングパターンが継続される。)。 Further, a case will be described in which scheduling is started from the active state of TP3 in S15 according to the safety control scheduling pattern illustrated in FIG. 6B. In this case, TPX = TP3 is started in S15, and TPX = TP3 remains even in subsequent S16 and S11 to S13. And as long as No continues in S13, the state of TPX = TP3 is maintained. If the answer is Yes in S13 and the TP3 is changed to TP1 in S14, TP1 remains as it is in subsequent S15 to S16 and S11 to S13. As long as No continues in S13, the state of TPX = TP1 is maintained. If the answer is Yes in S13 and the TP1 is changed to TP4 in S14, TP4 remains as it is in subsequent S15 to S16 and S11 to S13. And as long as No continues in S13, the state of TPX = TP4 is maintained. When it is determined in S16 that the execution status (data input / output, etc.) relating to TP3 is normal when TP1 is active, TPX = TP2 is set in the next S14 (that is, starting from TP2). Switch to normal control scheduling pattern.) On the other hand, if it is determined in S16 that there is an abnormality in the execution status (data input / output, etc.) related to TP3, TPX = TP3 (that is, a safety control scheduling pattern starting from TP3) in the next S14. Will continue.)
なお、上述の例では、スケジューリングパターンとして、4つのTP(安全監視用のTP1、通常制御用のTP2、安全制御用のTP3、リプログラミング用のTP4)のみを組み合わせた場合を例に説明したが、TP2のような通常制御用パーティションや、TP3のような安全制御用パーティションについては、それぞれ複数個存在するものとしてもよい。例えば、2つの通常制御用のTP2及びTP5と、安全監視用のTP1と、2つの安全制御用のTP3及びTP6と、リプログラミング用のTP4が存在し、これら6つのTP(TP1〜TP6)を組み合わせてスケジューリングパターンを構成してもよい。この場合、S14では、パーティションスケジューラ21が、TPXに関する実行状況(データ入出力等)の異常状態の種類を判定し、その異常種類に応じて、安全制御用のTP3またはTP6のいずれかを選択すればよい。また、S14では、通常制御用のTP2またはTP5のいずれかを選択すればよい。
In the above-described example, the case where only four TPs (safety monitoring TP1, normal control TP2, safety control TP3, and reprogramming TP4) are combined as a scheduling pattern has been described as an example. There may be a plurality of normal control partitions such as TP2 and safety control partitions such as TP3. For example, there are two TP2 and TP5 for normal control, TP1 for safety monitoring, two TP3 and TP6 for safety control, and TP4 for reprogramming, and these six TPs (TP1 to TP6) are A scheduling pattern may be configured in combination. In this case, in S14, the
上述したように、本実施の形態では、OS100は、安全監視用のTP1からの通知、または、各TPからの通知に応じて、次にアクティブとするパーティションを選択・決定するパーティションスケジューラ21を備えている。パーティションスケジューラ21は、各TPにおいて実行されるタスクとは独立して、所定のタイマー周期で動作する。
As described above, in this embodiment, the
独立に動作するパーティションスケジューラ21が、全てのTPから結果通知を受ける構成とすることで、パーティションスケジューラ21は、全てのTPに関する状況を一元的に把握することができる。このため、例えば、安全監視用のTP1からの結果通知に応じて、パーティションスケジューラ21が次のパーティションを決定・選択しようとする場合には、パーティションスケジューラ21は、各TPの状況を考慮した上で、正常状態にあるTPのみから次のパーティションを決定・選択することもできる。これによれば、より正確なパーティション・スケジューリングを実現することができるという効果を奏する。
With the configuration in which the
続いて、図8を参照して、本発明の実施の形態1にかかるリプログラミング処理の処理手順について説明する。図8は、本発明の実施の形態1にかかるリプログラミング処理の処理手順の具体例を示すフローチャートである。 Next, with reference to FIG. 8, a processing procedure of reprogramming processing according to the first exemplary embodiment of the present invention will be described. FIG. 8 is a flowchart showing a specific example of the processing procedure of the reprogramming process according to the first embodiment of the present invention.
安全制御装置1の電源が投入されたとき、プロセッサ10は、ブートプログラム50を不揮発性メモリ13から実行用メモリ11にロードして起動する。ブートプログラム50は、実行用プログラム領域91に格納されたOS100を実行用メモリ11にロードして起動する。OS100は、実行用プログラム領域91に格納される各アプリケーション101〜104を実行用メモリ11にロードして起動する。これによって、図7を参照して説明したように、TPをスケジューリングしながら、各タスク24、26、28、30が実行される(S21)。
When the
異常が検出されていない場合には、パーティションスケジューラ21は、通常制御スケジューリングパターンに従って、TPのスケジューリングを継続する(S21、S22でNo、S24でNo)。何らかの異常が検出された場合には、パーティションスケジューラ21は、安全制御スケジューリングパターンに従って、TPのスケジューリングを開始する。そして、安全制御タスク28は、安全機能を実行している場合(S22でYes)、実行している安全機能を示す安全機能情報31を状態保持RAM93に格納する(S23)。
If no abnormality is detected, the
他方、リプログラミングタスク30は、プログラムの更新指示があった場合(S24でYes)、現在実行されている安全機能が、新たな実行プログラムでも実現可能か否かを判定する(S25)。ここで、プログラムの更新指示は、新たな実行プログラムを送信する外部装置との間で任意の通信手段による通信を可能とする通信デバイスを安全制御装置1に備えるようにして、外部装置からプロセッサ10(リプログラミングタスク30)に対して更新を指示する更新指示情報を送信することで更新指示を行うようにする。
On the other hand, when there is an instruction to update the program (Yes in S24), the reprogramming task 30 determines whether the currently executed safety function can be realized even with a new execution program (S25). Here, the program update instruction is sent from the external device to the
現在実行されている安全機能が、新たな実行プログラムでも実現可能でないと判定した場合(S25でNo)、リプログラミングタスク30は、プログラムの更新を抑止する。これによって、現在実行しているプログラム100〜104の実行が継続される(S21)。他方、現在実行されている安全機能が、新たな実行プログラムでも実現可能であると判定した場合(S25でYes)、リプログラミングタスク30は、プログラムを更新する(S26)。
If it is determined that the currently executed safety function cannot be realized even by a new execution program (No in S25), the reprogramming task 30 suppresses the update of the program. Thereby, the execution of the currently executed
ここで、現在実現されている安全機能が、新たな実行プログラムでも実現可能か否かは、実装されている安全機能を識別する識別情報を実行プログラムに含めておくようにして、その識別情報に基づいて判定するようにする。具体的には、リプログラミングタスク30は、更新指示に応じて、外部装置から新たな実行プログラムを受信して、更新用プログラム領域92に格納する。そして、リプログラミングタスク30は、更新用プログラム領域92に格納した新たな実行プログラムに含まれる識別情報によって識別される安全機能に、安全機能情報31が示す安全機能が含まれていない場合、その新たな実行プログラムへの更新を抑止する。また、リプログラミングタスク30は、新たな実行プログラムに含まれる識別情報によって識別される安全機能が、実行用プログラム領域91に格納されている実行プログラムに含まれる識別情報によって識別される安全機能を全て含んでいない場合に、その新たな実行プログラムへの更新を抑止するようにしてもよい。
Here, whether the currently implemented safety function can be realized even with a new execution program is determined by including identification information for identifying the implemented safety function in the execution program. Make a decision based on this. Specifically, the reprogramming task 30 receives a new execution program from the external device in response to the update instruction and stores it in the
ここで、外部装置は、例えば、PC又はサーバー等の情報処理装置である。また、通信手段は、どのような種類の通信手段を用いてもよく、無線通信又は有線通信もしくはそれらの組み合わせであってもよい。通信手段は、公衆交換電話網、移動体通信網、無線LAN、有線LAN、及びシリアル通信等である。 Here, the external device is an information processing device such as a PC or a server. Further, any type of communication means may be used as the communication means, and wireless communication, wired communication, or a combination thereof may be used. The communication means includes a public switched telephone network, a mobile communication network, a wireless LAN, a wired LAN, and serial communication.
リプログラミングタスク30は、プログラムを更新する場合、OS100に対して再起動を指示する。OS100は、リプログラミングタスク30からの指示に応じて、安全制御装置1を再起動する。これによって、ブートプログラム50によって、更新用プログラム領域92に格納された、新しいプログラム100〜104が起動される。
The reprogramming task 30 instructs the
そして、パーティションスケジューラ21は、状態保持RAM93に安全機能情報31が格納されているか否かを判定する(S27)。状態保持RAM93に安全機能情報31が格納されていないと判定した場合(S27でNo)、パーティションスケジューラ21は、通常通り、TPのスケジューリングを開始する(S21)。パーティションスケジューラ21は、例えば、通常制御スケジューリングパターンに従って、TPのスケジューリングを行う。
Then, the
他方、状態保持RAM93に安全機能情報31が格納されていると判定した場合(S27でYes)、パーティションスケジューラ21は、安全制御スケジューリングパターンに従って、TPのスケジューリングを開始する。そして、安全制御タスク28は、状態保持RAM93に安全機能情報31が格納されている場合、その安全機能情報31が示す安全機能を実行する(S28)。これによって、リプログラミング前に実行されていた安全機能を引き継いで実行することができる。
On the other hand, when it is determined that the safety function information 31 is stored in the state holding RAM 93 (Yes in S27), the
以上に説明したように、本実施の形態1では、安全制御タスク28を実行して、安全制御タスク28の実行において安全機能を実行している場合、安全機能情報31を状態保持RAM93に格納するようにしている。そして、実行している実行プログラムを、新たな実行プログラムに更新したときに、状態保持RAM93に安全機能情報31が格納されている場合、安全制御タスク28を実行して、安全制御タスク28の実行において安全機能を引き継いで実行するようにしている。
As described above, in the first embodiment, when the safety control task 28 is executed and the safety function is executed in the execution of the safety control task 28, the safety function information 31 is stored in the
これによれば、実行プログラムを更新した場合であっても、安全機能を引き継いで実行することが可能となる。したがって、制御対象を制御するプログラムを更新した場合であっても、安全性を維持することが可能となる。 According to this, even if the execution program is updated, the safety function can be taken over and executed. Therefore, safety can be maintained even when the program for controlling the controlled object is updated.
また、本実施の形態1では、実行プログラムに、その実行プログラムに含まれる安全制御アプリケーション103によって実行可能な安全機能を識別する識別情報を含めるようにしている。そして、新たな実行プログラムに含まれる識別情報に基づいて、新たな実行プログラムに含まれる安全制御アプリケーション103が、実行している安全機能を実行することができないと判定した場合、実行プログラムの更新を抑止するようにしている。
In the first embodiment, identification information for identifying a safety function that can be executed by the
これによれば、更新後の実行プログラムの安全機能を事前に確認して、更新によって安全性が損なわれてしまうことを防止することができる。 According to this, the safety function of the updated execution program can be confirmed in advance, and it is possible to prevent the safety from being lost due to the update.
<発明の実施の形態2>
続いて、本発明の実施の形態2について説明する。なお、本発明の実施の形態2は、安全制御装置1の構成、スケジューリングパターン、実行用メモリ11及び不揮発性メモリ13のメモリ構成、パーティションスケジューラ21とタスク24、26、28、30との関係、及びパーティションスケジューラ21の処理手順については、実施の形態1と同様であるため、説明を省略する。以下、説明の明確化のため、実施の形態1と同様の点については説明を省略し、異なる点について説明していく。
<Embodiment 2 of the Invention>
Next, a second embodiment of the present invention will be described. The second embodiment of the present invention includes the configuration of the
実施の形態1では、実行プログラム単位でプログラムを更新するようにしていたが、本実施の形態2では、TP単位でプログラムを更新する。 In the first embodiment, the program is updated in units of execution programs. However, in the second embodiment, the program is updated in units of TP.
すなわち、リプログラミングタスク30は、あるTPのプログラムを更新する場合には、そのTPに属するタスクに対応するアプリケーションをリプログラミングする。そして、リプログラミングが終了したとき、OS100は、リプログラミングされたアプリケーションに基づいて、TPに属するタスクを再起動する。
That is, when the reprogramming task 30 updates a program of a certain TP, the reprogramming task 30 reprograms the application corresponding to the task belonging to the TP. When the reprogramming is completed, the
続いて、図9を参照して、本発明の実施の形態2にかかるリプログラミング処理の処理手順について説明する。図9は、本発明の実施の形態2にかかるリプログラミング処理の処理手順の具体例を示すフローチャートである。本発明の実施の形態2にかかるリプログラミング処理は、発明の実施の形態1にかかるリプログラミング処理と比較して、さらに、S24とS25の間にS29が実行され、S27に代えてS30が実行される。その他、各処理S21〜S28においては、実施の形態1と異なる点について説明していく。
Next, with reference to FIG. 9, a processing procedure of reprogramming processing according to the second exemplary embodiment of the present invention will be described. FIG. 9 is a flowchart showing a specific example of the reprogramming processing procedure according to the second embodiment of the present invention. In the reprogramming process according to the second exemplary embodiment of the present invention, compared to the reprogramming process according to the first exemplary embodiment of the present invention, S29 is further executed between S24 and S25, and S30 is executed instead of S27. Is done. In addition, in each process S21-S28, a different point from
S21〜23については、図8を参照して説明した実施の形態1と同様である。本実施の形態2にかかるS24では、リプログラミングタスク30は、プログラムの更新指示をTP単位で受ける。例えば、外部装置から安全制御装置1に対して送信する更新指示情報に、更新対象となるTPを示す更新対象TP情報を含めるようにする。
S21 to 23 are the same as those in the first embodiment described with reference to FIG. In S24 according to the second embodiment, the reprogramming task 30 receives a program update instruction in units of TP. For example, the update instruction information transmitted from the external device to the
プログラムの更新指示があった場合(S24でYes)、リプログラミングタスク30は、安全機能を実行するTPの更新か否かを判定する(S29)。すなわち、安全機能を実行するタスクを含むTPの更新か否かを判定する。これは、外部装置から安全制御装置1に対して送信する情報に基づいて、どのように判定するようにしてもよい。例えば、更新指示情報において、更新対象のTPを示すようにし、更新指示情報が示すTPが、安全機能を実行するTPであるか否かによって判定するようにすればよい。
When there is a program update instruction (Yes in S24), the reprogramming task 30 determines whether or not it is an update of the TP that executes the safety function (S29). That is, it is determined whether or not the TP is updated including a task for executing the safety function. This may be determined in any way based on information transmitted from the external device to the
安全機能を実行するTP3の更新であると判定した場合(S29でYes)、リプログラミングタスク30は、S25に進む。なお、S25では、識別情報を更新対象のアプリケーションに含めておくようにして、その識別情報に基づいて判定するようにすればよい。他方、安全機能を実行するTP3の更新でないと判定した場合(S29でNo)、リプログラミングタスク30は、S26に進む。ここで、本実施の形態2にかかるS26では、更新対象となるTPのアプリケーションのみを外部装置から受信して、更新用プログラム領域92に格納する。
If it is determined that the TP3 is updated to execute the safety function (Yes in S29), the reprogramming task 30 proceeds to S25. In S25, the identification information may be included in the application to be updated, and the determination may be made based on the identification information. On the other hand, if it is determined that it is not an update of TP3 that executes the safety function (No in S29), the reprogramming task 30 proceeds to S26. Here, in S26 according to the second embodiment, only the TP application to be updated is received from the external device and stored in the
リプログラミングタスク30は、アプリケーションの格納が終わると、OS100に更新対象のTPに属するタスクの再起動を指示する。OS100は、リプログラミングタスク30からの指示に応じて、更新対象のTPに属するタスクを再起動する。このとき、OS100は、更新用プログラム領域92に格納された新たなアプリケーションを実行することで、タスクを起動する。
When the application is stored, the reprogramming task 30 instructs the
更新されたTPが安全機能を実行するTPでない場合、又は、更新されたTPが安全機能を実行するTPであっても、状態保持RAM93に安全機能情報31が格納されていない場合(S30でNo)は、そのまま、各タスク24、26、28、30の実行が継続される(S21)。
When the updated TP is not a TP that executes a safety function, or when the updated TP is a TP that executes a safety function, the safety function information 31 is not stored in the state holding RAM 93 (No in S30). ), The execution of each
他方、更新されたTPが安全機能を実行するTPであり、かつ、状態保持RAM93に安全機能情報31が格納されている場合には(S30でYes)、再起動された安全制御タスク28は、安全機能情報31が示す安全機能を実行する(S28)。これによって、リプログラミング前に実行されていた安全機能を引き継いで実行することができる。 On the other hand, when the updated TP is a TP that executes a safety function and the safety function information 31 is stored in the state holding RAM 93 (Yes in S30), the restarted safety control task 28 is: The safety function indicated by the safety function information 31 is executed (S28). As a result, the safety function that has been executed before reprogramming can be taken over and executed.
以上に説明したように、本実施の形態2のように、TP単位でプログラムの更新を行うよこともできる。これによれば、TP単位での柔軟なプログラムの更新を可能にしつつ、制御対象を制御するプログラムを更新した場合に安全性を維持することができる。 As described above, the program can be updated in units of TP as in the second embodiment. According to this, safety can be maintained when a program for controlling a control target is updated while enabling flexible update of a program in units of TPs.
<発明の他の実施の形態>
本実施の形態では、TPのそれぞれに属するタスクが、それぞれ安全監視タスク24、通常制御タスク26及び安全制御タスク28である場合について例示したが、タスクの種類は、これに限られない。安全監視タスク24、通常制御タスク26及び安全制御タスク28に限られず、その他の制御対象の制御に関する任意の処理を実行するタスクを有するようにしてもよい。
<Other embodiments of the invention>
In the present embodiment, the case where the tasks belonging to each of the TPs are the
例えば、図10に示すようなタスク32〜34を有するようにしてもよい。なお、この場合、安全制御装置は、アプリケーション101〜103に代えて、タスク32〜34に対応するアプリケーションを有する必要があるが、その点は自明であるため図示及び説明を省略する。
For example, you may make it have the tasks 32-34 as shown in FIG. In this case, the safety control device needs to have applications corresponding to the
監視制御タスク32は、制御対象を制御する。具体的には、監視制御タスク32は、通常制御タスク33及び安全制御タスク34からの指令値に基づいて、制御対象のアクチュエータを制御する。通常制御タスク33は、制御対象に通常の機能・動作を行わせるための制御計算を行う。具体的には、通常制御タスク33は、通常制御におけるアクチュエータの制御計算をして、アクチュエータの指令値を算出する。通常制御タスク33は、算出した指令値を監視制御タスク32に出力する。安全制御タスク34は、機能安全を確保するために定められた制御計算を行う。具体的には、安全制御タスク34は、安全制御におけるアクチュエータの制御計算をして、アクチュエータの指令値を算出する。安全制御タスク34は、算出した指令値を監視制御タスク32に出力する。監視制御タスク32は、通常制御タスク33又は安全制御タスク34から出力された指令値に基づいてアクチュエータを制御する。
The
さらに、監視制御タスク32は、制御対象のセンサから、センサ値を取得する。監視制御タスク32は、取得したセンサ値を通常制御タスク33及び安全制御タスク34に出力する。通常制御タスク33及び安全制御タスク34のそれぞれは、監視制御タスク32から出力されたセンサ値に基づいて、アクチュエータの制御計算を行うようにしてもよい。なお、各タスク32〜34間での指令値及びセンサ値の受け渡しは、タスク間通信で行ってもよく、実行用メモリ11に設けられた、各タスク32〜34で共有してアクセス可能な領域である共有メモリを介して行うようにしてもよい。
Furthermore, the
上述した構成の場合、安全制御タスク34が、機能安全を確保するために定められた制御を行うための制御計算を行っている場合に、安全機能が実行されていることになる。そのため、この場合に、安全制御タスク34は、安全機能情報31を状態保持RAM93に格納する。そして、上述した実施の形態と同様にして、安全機能の実行を引き継ぐようにすればよい。
In the case of the above-described configuration, the safety function is executed when the
また、その他に、例えば、図11に示すようなタスク35〜37を有するようにしてもよい。なお、この場合、安全制御装置は、アプリケーション101〜103に代えて、タスク35〜37に対応するアプリケーションを有する必要があるが、その点は自明であるため図示及び説明を省略する。
In addition, for example,
監視タスク35は、制御対象のセンサから、センサ値を取得する。このセンサには、上述したように制御対象の姿勢を検知するための姿勢センサを含む。ここで説明する例では、制御対象として、人が搭乗することができる走行装置に適用した場合について説明する。この場合、監視タスク35は、搭乗者による重心移動を姿勢センサにより検知することができる。監視タスク35は、取得したセンサ値をHMI(Human Machine Interface)タスク37に出力する。
The
HMIタスク37は、監視タスク35から出力されたセンサ値に基づいて、制御対象のアクチュエータの制御計算をして、アクチュエータの指令値を算出する。HMIタスク37は、算出した指令値を制御タスク36に出力する。制御タスク36は、HMIタスク37から出力された指令値に基づいて、アクチュエータを制御する。なお、各タスク35〜37間での指令値及びセンサ値の受け渡しは、タスク間通信で行ってもよく、実行用メモリ11に設けられた、各タスク35〜37で共有してアクセス可能な領域である共有メモリを介して行うようにしてもよい。
Based on the sensor value output from the
上述した構成の場合、HMIタスク37が、機能安全を確保するために定められた制御を行うための制御計算を行っている場合に、安全機能が実行されていることになる。そのため、この場合に、HMIタスク37は、安全機能情報31を状態保持RAM93に格納する。そして、上述した実施の形態と同様にして、安全機能の実行を引き継ぐようにすればよい。
In the case of the configuration described above, the safety function is executed when the
また、上述した構成によれば、搭乗者の操作に応じて制御対象が制御されるというHMIを実現することができる。例えば、搭乗者が重心を前後に移動させることで制御対象が前後後退を行い、搭乗者が重心を左右に移動させることで制御対象が左右旋回を行うといった制御が可能となる。これについては、実施の形態1、2及び図10によって説明した例についても同様のことが言える。具体的には、安全監視タスク24又は監視制御タスク32が取得したセンサ値に応じて、通常制御タスク26及び安全制御タスク28、もしくは、通常制御タスク33及び安全制御タスク34が同様の制御をすることで、HMIを実現することが可能である。また、本実施の形態によれば、安全性を維持して制御対象の制御を行うことが可能となる。そのため、以上に説明したように、人が搭乗することができる走行装置を制御対象として適用することで、より安全性を向上した制御対象の制御を行うことが可能となる。
Moreover, according to the structure mentioned above, HMI that a control object is controlled according to a passenger | crew's operation is realizable. For example, it is possible to perform control such that the control object moves back and forth when the passenger moves the center of gravity back and forth, and the control object turns left and right when the passenger moves the center of gravity left and right. The same is true for the examples described with reference to
なお、走行装置として、例えば、立ち乗り方の同軸二輪車とすることもできる。その場合は、アクチュエータを制御することで、車輪が回転動作をすることになる。また、安全制御装置自体も制御対象に搭載される構成としてもよい。 In addition, as a traveling apparatus, it can also be set as the coaxial two-wheeled vehicle of standing up riding. In this case, the wheel rotates by controlling the actuator. Further, the safety control device itself may be mounted on the control target.
さらに、本発明は上述した実施の形態のみに限定されるものではなく、既に述べた本発明の要旨を逸脱しない範囲において種々の変更が可能であることは勿論である。 Furthermore, the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the gist of the present invention described above.
本実施の形態では、OSが、TP1〜TP4を有する場合について例示したが、TPの数は、これに限られない。スケジューリングパターンについても、本実施の形態に例示したものに限られない。 In the present embodiment, the case where the OS has TP1 to TP4 is illustrated, but the number of TPs is not limited to this. The scheduling pattern is not limited to that exemplified in the present embodiment.
本実施の形態では、タスクの数が4つである場合について例示したが、タスクの数も、これに限られない。例えば、本実施の形態では、TPがTP1〜TP4の4つである場合について例示したが、TPの数を4つ以外の数としてもよく、それぞれのTPが1つ以上の任意の数のタスクを有するようにしてもよい。 In the present embodiment, the case where the number of tasks is four is exemplified, but the number of tasks is not limited to this. For example, in the present embodiment, the case where the number of TPs is four (TP1 to TP4) is illustrated, but the number of TPs may be a number other than four, and each TP may have an arbitrary number of one or more tasks. You may make it have.
本実施の形態では、タイム・パーティショニングを採用したマルチタスクOSについて例示したが、これに限られない。タイム・パーティショニングを採用していないマルチタスクOSに適用することもできる。すなわち、TP単位ではなく、タスク(アプリケーション)単位でプログラムを更新するようにしてもよい。 In the present embodiment, the multitask OS adopting time partitioning is exemplified, but the present invention is not limited to this. The present invention can also be applied to a multitasking OS that does not employ time partitioning. That is, the program may be updated in units of tasks (applications) instead of units of TPs.
1 安全制御装置
10 プロセッサ
11 実行用メモリ
12 I/Oポート
13 不揮発性メモリ
14 リセット回路
15 マイクロコントローラ
21 パーティションスケジューラ
22 スケジューリングテーブル
23、25、27、29 タスクスケジューラ
24 安全監視タスク
26、33 通常制御タスク
28、34 安全制御タスク
30 リプログラミングタスク
31 安全機能情報
32 監視制御タスク
35 監視タスク
36 制御タスク
37 HMIタスク
50 ブートプログラム
90 ブートプログラム領域
91 実行用プログラム領域
92 更新用プログラム領域
93 状態保持RAM
100 オペレーティングシステム
101 安全監視アプリケーション
102 通常制御アプリケーション
103 安全制御アプリケーション
104 リプログラミングアプリケーション
1
100
Claims (7)
前記安全制御処理を実行していることを示す安全制御実行情報が格納される実行情報記憶部と、
前記実行プログラムを実行するプログラム実行部と、を備え、
前記プログラム実行部は、
前記安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を実行している場合、前記安全制御実行情報を前記実行情報記憶部に格納し、
前記実行している実行プログラムを、前記プログラム記憶部に格納された新たな前記実行プログラムに更新したときに、前記実行情報記憶部に前記安全機能実行情報が格納されている場合、前記新たな実行プログラムに含まれる安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を引き継いで実行する、
安全制御装置。 An execution program including a safety control program that executes a safety control process related to control for ensuring functional safety of a control target, and a normal control program that executes a normal control process related to control of the other control target is stored. A program storage unit;
An execution information storage unit that stores safety control execution information indicating that the safety control process is being executed;
A program execution unit for executing the execution program,
The program execution unit is
When the safety control program is executed and the safety control process is executed in the execution of the safety control program, the safety control execution information is stored in the execution information storage unit,
When the execution function being executed is updated to the new execution program stored in the program storage unit and the safety function execution information is stored in the execution information storage unit, the new execution A safety control program included in the program is executed, and the safety control process is executed in the execution of the safety control program;
Safety control device.
前記プログラム実行部は、前記新たな実行プログラムに含まれる識別情報に基づいて、当該新たな実行プログラムに含まれる安全制御プログラムが、前記実行している安全制御処理を実行することができないと判定した場合、前記実行プログラムの更新を抑止する、
請求項1に記載の安全制御装置。 The execution program further includes identification information for identifying the safety control process executable by the safety control program included in the execution program,
The program execution unit determines, based on the identification information included in the new execution program, that the safety control program included in the new execution program cannot execute the safety control process being executed. The update of the execution program is suppressed,
The safety control device according to claim 1.
前記安全制御実行情報は、前記複数の安全制御処理のうち、いずれの安全制御処理を実行しているかを示し、
前記プログラム実行部は、
前記安全制御プログラムの実行において前記安全制御処理を実行している安全制御処理を示す安全制御実行情報を前記実行情報記憶部に格納し、
前記新たな実行プログラムに含まれる安全制御プログラムが実行可能な複数の安全制御処理のうち、前記安全制御実行情報によって示される安全制御処理を引き継いで実行する、
請求項1又は2のいずれか1項に記載の安全制御装置。 The safety control program can execute any one or more of the plurality of safety control processes,
The safety control execution information indicates which safety control process is being executed among the plurality of safety control processes,
The program execution unit is
Storing the safety control execution information indicating the safety control process executing the safety control process in the execution of the safety control program in the execution information storage unit;
Of the plurality of safety control processes that can be executed by the safety control program included in the new execution program, the safety control process indicated by the safety control execution information is taken over and executed.
The safety control device according to claim 1 or 2.
前記プログラム実行部は、前記スケジューリング情報に従って、前記安全制御プログラム及び前記通常制御プログラムを実行する、
請求項1乃至3のいずれか1項に記載の安全制御装置。 The execution program includes scheduling information indicating scheduling contents of a plurality of time partitions including a safety control time partition in which the safety control program is executed and a normal control time partition in which the normal control program is executed,
The program execution unit executes the safety control program and the normal control program according to the scheduling information.
The safety control device according to any one of claims 1 to 3.
前記プログラム実行部は、前記リプログラミングプログラムを実行することによって、前記新たな実行プログラムを外部装置から受信して、前記プログラム記憶部に格納する、
請求項1乃至4のいずれか1項に記載の安全制御装置。 The execution program further includes a reprogramming program for executing processing for storing the new execution program in the program storage unit,
The program execution unit receives the new execution program from an external device by executing the reprogramming program, and stores the new execution program in the program storage unit.
The safety control device according to any one of claims 1 to 4.
前記安全制御処理を実行していることを示す安全制御実行情報が格納される実行情報記憶部と、
前記実行プログラムを実行するプログラム実行部と、を備え、
前記プログラム実行部は、
前記安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を実行している場合、前記安全制御実行情報を前記実行情報記憶部に格納し、
前記実行している安全制御プログラムを、前記プログラム記憶部に格納された新たな前記安全制御プログラムに更新したときに、前記実行情報記憶部に前記安全機能実行情報が格納されている場合、前記新たな安全制御プログラムの実行において前記安全制御処理を引き継いで実行する、
安全制御装置。 An execution program including a safety control program that executes a safety control process related to control for ensuring functional safety of a control target, and a normal control program that executes a normal control process related to control of the other control target is stored. A program storage unit;
An execution information storage unit that stores safety control execution information indicating that the safety control process is being executed;
A program execution unit for executing the execution program,
The program execution unit is
When the safety control program is executed and the safety control process is executed in the execution of the safety control program, the safety control execution information is stored in the execution information storage unit,
When the safety function execution information is stored in the execution information storage unit when the safety control program being executed is updated to the new safety control program stored in the program storage unit, the new Executing the safety control process in the execution of a safe control program,
Safety control device.
前記安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を実行している場合、前記安全制御処理を実行していることを示す安全制御実行情報を実行情報記憶部に格納するステップと、
前記実行している実行プログラムを、新たな前記実行プログラムに更新したときに、前記実行情報記憶部に前記安全機能実行情報が格納されている場合、前記新たな実行プログラムに含まれる安全制御プログラムを実行して、当該安全制御プログラムの実行において前記安全制御処理を引き継いで実行する、
を備えた安全制御方法。 Start of execution of an execution program including a safety control program that executes safety control processing related to control for ensuring functional safety of a control target, and a normal control program that executes normal control processing related to control of the other control target And steps to
When the safety control program is executed and the safety control process is executed in the execution of the safety control program, safety control execution information indicating that the safety control process is being executed is stored in the execution information storage unit And steps to
When the safety function execution information is stored in the execution information storage unit when the execution program being executed is updated to the new execution program, a safety control program included in the new execution program is Execute the safety control program in the execution of the safety control program,
Safety control method with.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2012006968A JP5834935B2 (en) | 2012-01-17 | 2012-01-17 | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2012006968A JP5834935B2 (en) | 2012-01-17 | 2012-01-17 | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2013148957A true JP2013148957A (en) | 2013-08-01 |
JP5834935B2 JP5834935B2 (en) | 2015-12-24 |
Family
ID=49046425
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2012006968A Expired - Fee Related JP5834935B2 (en) | 2012-01-17 | 2012-01-17 | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5834935B2 (en) |
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102015120314A1 (en) * | 2015-11-24 | 2017-05-24 | Pilz Gmbh & Co. Kg | Method of programming a safety controller |
CN111142368A (en) * | 2019-09-02 | 2020-05-12 | 浙江中控技术股份有限公司 | Failure protection method for batch controllers |
WO2022004447A1 (en) | 2020-07-03 | 2022-01-06 | ソニーグループ株式会社 | Information processing device, information processing method, information processing system, and program |
WO2022004446A1 (en) | 2020-07-03 | 2022-01-06 | ソニーグループ株式会社 | Information processing device, information processing method, information processing system, and program |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6819660B2 (en) | 2018-09-26 | 2021-01-27 | 横河電機株式会社 | Process control system, process control device, and program update method |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH11265284A (en) * | 1998-03-17 | 1999-09-28 | Hitachi Ulsi Systems Co Ltd | Data processor |
JP2005537584A (en) * | 2002-08-28 | 2005-12-08 | ピルツ ゲーエムベーハー アンド コー.カーゲー | SAFETY CONTROL DEVICE AND METHOD OF LOADING NEW OPERATING PROGRAM ON SAFETY CONTROL DEVICE |
JP2010262432A (en) * | 2009-05-01 | 2010-11-18 | Mitsubishi Electric Corp | Safety controller |
JP2010271759A (en) * | 2009-05-19 | 2010-12-02 | Toyota Motor Corp | Safety control device and safety control method |
-
2012
- 2012-01-17 JP JP2012006968A patent/JP5834935B2/en not_active Expired - Fee Related
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH11265284A (en) * | 1998-03-17 | 1999-09-28 | Hitachi Ulsi Systems Co Ltd | Data processor |
JP2005537584A (en) * | 2002-08-28 | 2005-12-08 | ピルツ ゲーエムベーハー アンド コー.カーゲー | SAFETY CONTROL DEVICE AND METHOD OF LOADING NEW OPERATING PROGRAM ON SAFETY CONTROL DEVICE |
JP2010262432A (en) * | 2009-05-01 | 2010-11-18 | Mitsubishi Electric Corp | Safety controller |
JP2010271759A (en) * | 2009-05-19 | 2010-12-02 | Toyota Motor Corp | Safety control device and safety control method |
Cited By (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102015120314A1 (en) * | 2015-11-24 | 2017-05-24 | Pilz Gmbh & Co. Kg | Method of programming a safety controller |
US10437571B2 (en) | 2015-11-24 | 2019-10-08 | Pilz Gmbh & Co. Kg | Method for programming a safety controller |
CN111142368A (en) * | 2019-09-02 | 2020-05-12 | 浙江中控技术股份有限公司 | Failure protection method for batch controllers |
CN111142368B (en) * | 2019-09-02 | 2023-08-04 | 浙江中控技术股份有限公司 | Batch controller failure protection method |
WO2022004447A1 (en) | 2020-07-03 | 2022-01-06 | ソニーグループ株式会社 | Information processing device, information processing method, information processing system, and program |
WO2022004446A1 (en) | 2020-07-03 | 2022-01-06 | ソニーグループ株式会社 | Information processing device, information processing method, information processing system, and program |
Also Published As
Publication number | Publication date |
---|---|
JP5834935B2 (en) | 2015-12-24 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP5446447B2 (en) | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD | |
US8880201B2 (en) | Safety controller and safety control method | |
US8756606B2 (en) | Safety controller and safety control method in which time partitions are scheduled according to a scheduling pattern | |
US8706265B2 (en) | Safety controller and safety control method | |
EP2677377B1 (en) | Safety control device and safety control method | |
JP5240402B2 (en) | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD | |
JP5834935B2 (en) | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD | |
JP5621857B2 (en) | SAFETY CONTROL DEVICE AND SAFETY CONTROL METHOD | |
US9373253B2 (en) | Safety controller and safety control method | |
JP5633501B2 (en) | Control apparatus and control method | |
JP5906584B2 (en) | Control apparatus and control method | |
JP5853716B2 (en) | Information processing apparatus and task control method | |
JP6004057B2 (en) | Information processing apparatus and DMA controller operation check method | |
JP5811865B2 (en) | Control device and program execution method | |
JP5803689B2 (en) | Information processing apparatus and DMA controller operation check method | |
JP5849731B2 (en) | Information processing apparatus and data storage method | |
JP5699910B2 (en) | Control apparatus and control method |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20140821 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20150624 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20150630 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20150828 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20151006 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20151019 |
|
R151 | Written notification of patent or utility model registration |
Ref document number: 5834935 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
LAPS | Cancellation because of no payment of annual fees |