JP2022093876A - 制御装置およびその保守支援装置 - Google Patents

Abstract

【課題】 シーケンス監視や定周期プログラムの処理時間の監視等によって、正常に動作しているか否かを効率よく監視すること。
【解決手段】 複数の定周期プログラムによって実現される機能又は該機能の一部であり、任意に設定可能な処理グループごとに、前記複数の定周期プログラムのうち監視対象の定周期プログラムの識別情報を実行順序識別可能に登録した定義テーブルと、前記監視対象の定周期プログラムの実行履歴をメモリに記録する記録手段と、前記実行履歴に基づいて、前記監視対象の定周期プログラムが前記定義テーブルに定めた実行順序で動作しているか否かを監視する監視手段と、を備える。
【選択図】 図１

Description

本発明は、オペレーティングシステム（以下、「ＯＳ」という。）を使用しない定周期割り込みのプログラムを実行する制御装置およびその保守支援装置に係り、特に予め設定された複数の定周期プログラムからなる処理グループごとに、そのプログラムの実行シーケンスが正常か否かを監視することのできる制御装置およびその保守支援装置に関する。

一般に、車載機器（モータ駆動装置）などの制御装置では、ＯＳは使用されず、異なる優先順位の定周期割込みで動作するプログラムが複数実装される。このような制御装置のプログラムの実行監視には、ウォッチドッグタイマ（ＷＤＴ）が用いられることが多い。このとき、ハードウェアのウォッチドッグタイマは通常は装置に１個のみであるため、複数の定周期割込みプログラムの実行監視には、各プログラムに対応してソフトウェアカウンタが設けられる。そして、各定周期割り込みプログラムの実行時に、対応するソフトウェアカウンタを更新し、このソフトウェアカウンタが定期的に更新されているか否かを確認することで監視を行う。

この場合、各定周期割込み処理が監視時間内に動作しているか否かの確認はできるものの、実行シーケンスの監視、即ち各定周期が正しい順序で動作しているか否かの監視はできない。実行シーケンスの監視に関しては下記の先行技術がある。

特許文献１では、プログラム内のモジュールの予想経路と実際に動作した経路を比較して実行経路を検証する方法が提案されている。特許文献２では、プログラム内のモジュールのシーケンス番号と処理時間を対応付けて管理を行い、予めシーケンス番号と処理時間を対応付けた情報をテーブルに格納しておき、実際に動作したモジュールのシーケンス（順番）が予め格納した順番と一致するかどうか、および処理時間が所定時間以内であるかを検証する方法が提案されている。また、特許文献３では、関数の実行履歴をメモリに記録しておき、例えば、正常動作時（過去）とエラー発生時（今回）の関数の実行履歴を比較することで、プログラムの動作の差異を発見することを可能とするプログラム動作比較方法が提案されている。

特開昭６３－２４４２３９号公報 特許第５４９３９２９号公報 特開２００９－２４４９６９号公報

しかしながら、特許文献１、２では、制御装置のプログラム構成全体を考慮したものではなく、例えば、制御装置のプログラムが、複数の優先順位の異なる定周期割込みのプログラムから構成されている場合については開示されていない。特許文献３では、プログラムの過去の実行履歴と現在の実行履歴を比較して検証を行う方式であり、実行履歴同士を比較するものである。このため、単に実行履歴の違いを検出できるに留まり、過去の実行履歴が正しいという保証は無い。また、特許文献３の技術によると、実行履歴の記録対象の関数がプログラム実行中に呼び出される全ての関数となるため、実行履歴記録用のメモリ領域が大量に必要になる。また、関数の実行履歴の記録有無、および比較対象とする実行履歴の範囲は外部ツールからの指示（例えば、デバッガからの指示）による制御が必要と考えられる。従って、デバッガと組み合わせて実現するような用途には適しているものの、制御装置内で動作しているプログラムで常時実行シーケンスの監視を行うような場合には上記のメモリ領域やデバッガの問題を解決する必要がある。

本発明は、上述のかかる事情に鑑みてなされたものであり、シーケンス監視や定周期プログラムの処理時間の監視等によって、正常に動作しているか否かを効率よく監視することのできる制御装置およびその保守支援装置を提供することを目的とする。

上記の目的を達成するため、本発明に係る制御装置は、複数の定周期プログラムによって実現される機能又は該機能の一部であり、任意に設定可能な処理グループごとに、前記複数の定周期プログラムのうち監視対象の定周期プログラムの識別情報を実行順序識別可能に登録した定義テーブルと、
前記監視対象の定周期プログラムの実行履歴をメモリに記録する記録手段と、
前記実行履歴に基づいて、前記監視対象の定周期プログラムが前記定義テーブルに定めた実行順序で動作しているか否かを監視する監視手段と、
を備えることを特徴とする。

本発明では、ＯＳを使用せず、複数の定周期プログラムを実行する制御装置において、制御装置内の監視対象の定周期プログラムの実行履歴を処理グループ単位で記録する一方、当該実行履歴と予め実行シーケンスを定義した内容とを比較することで、正しい実行シーケンスで動作しているか否かを監視する。

また、定義テーブルに登録した定周期プログラム（関数）のみを監視対象とし、この監視対象の定周期プログラムの実行シーケンスに着目して監視することにより、簡便かつ効率的に実行シーケンス異常を検知することができる。

さらに、監視手段が異常を検知したときにエラーを通知する手段を設けることで、エラー発生時に安全対策を実施することが可能となり、安全を担保することができる。

また、本発明に係る制御装置は、さらに監視対象の定周期プログラムごとに、前記監視対象の定周期プログラムの実行履歴を記録するか否かを判定するための履歴記録条件判定関数を備え、
前記定義テーブルは、夫々の前記監視対象の定周期プログラムの識別情報に関連付けて前記履歴記録条件判定関数のポインタを保存し、
前記記録手段は、前記定義テーブルに保存されている前記履歴記録条件判定関数のポインタを参照して該履歴記録条件判定関数を実行し、該履歴記録条件判定関数の判定結果に基づいて、該履歴記録条件判定関数に関連付けられた前記監視対象の定周期プログラムの実行履歴を前記メモリに記録することを特徴とする。

本発明では、監視対象の定周期プログラムごとに履歴記録条件判定関数を備える。この履歴記録条件判定関数は、対応する定周期プログラムが処理グループの目的とする機能を実現するための条件（履歴記録条件）を満たしているか否かを判定し、条件を満たしている場合は実行履歴を記録する。監視手段は、この実行履歴に基づいて、当該定周期プログラムが定義テーブルに定めた実行順序で動作しているか否かを監視する。

履歴記録条件判定関数を定周期プログラムとは別に管理可能にすることにより、安全機能の構築が容易になり、またシステム変更等に対して保守性、融通性が向上する。

好ましくは、前記定義テーブルは、処理グループを構成する監視対象の定周期プログラムごとに、ある定周期プログラムの実行時から次の定周期プログラムの実行時までの時間間隔に関する閾値を含み、前記監視手段は、当該閾値と前記実行履歴とに基づいて、異常を検知すると良い。実行シーケンス（順番）通りかつ規定時間内で動作していることを確認することで、制御装置の安全性をさらに向上させることができる。

なお、前記記録手段は、前記定周期プログラムの特定の命令文が実行されることにより起動することにより、効率的に実行履歴の記録処理を行うことができる。
好ましくは、前記定周期プログラムは、前記特定の命令文をｒｅｔｕｒｎ文にするのがよい。これにより、プログラムコードに実行履歴を記録する処理の呼び出しを直接記述する必要がなくなり、保守性の向上や柔軟な対応が可能となる。

また、本発明に係る保守支援装置は、上記の制御装置と通信可能な保守支援装置であって、
前記定周期プログラムコンパイル時のＭＡＰファイルと登録画面を通して入力された情報から前記定義テーブルを生成する手段と、
生成した前記定義テーブルを前記制御装置へ転送する手段と、
を備えたことを特徴とする。
これにより、実行シーケンスを変更する際に、プログラムコードの変更をする必要が無く、柔軟な対応が可能となる。

本発明によれば、ＯＳを使用しない制御装置において、監視対象の定周期プログラムの実行履歴を処理グループ単位で記録し、当該実行履歴と予め実行シーケンスを定義した内容とを比較することで、正しい実行シーケンスで動作しているか否かを効率よく監視することができる。

また、定義テーブルに実行履歴に時間情報を追加することにより、実行シーケンス監視に加えて、定周期プログラムの実行間隔の監視を行うことができ、処理遅延の検出を迅速に行うことができる。さらに、予め実行シーケンスを定義したプログラムのみ実行履歴を記録することにより、システム構築における融通性の向上およびメモリの使用量を節約できる。このため、限られたメモリ資源の制御装置においても、その運用中に常時監視が可能となり、制御装置の安全性が担保される。

本発明の実施の形態による制御装置およびその保守支援装置の機能ブロック図である。 図１の実行シーケンス監視対象関数定義テーブルのデータ構成図である。 図１の実行履歴記録領域に保存される関数実行履歴情報のデータ構成図である。 図３の関数実行履歴情報のデータ例である。 図１の関数実行履歴記録処理の手順を示すフローチャートである。 図１の実行シーケンス監視処理の手順を示すフローチャートである。 本発明の実施例による実行シーケンス監視対象関数定義テーブルのデータ例である。 本発明の実施例によるシーケンス概要説明図である。 本発明の実施例で用いられる定周期関数の履歴記録条件判定処理の手順を示すフローチャートである。 本発明の実施例による関数実行履歴情報のデータ例である。

以下、本発明の実施の形態について図面を参照しながら説明する。制御装置として、リアルタイム性の要求される車載機器を例にする。車載機器用のプログラムは、例えばＣ言語を用いた複数の関数で構築することができる。

図１に示すように、本実施の形態では、車載機器１の保守や開発支援を行う保守支援装置５において、処理グループごとに実行シーケンスの監視に必要な情報を登録した実行シーケンス監視対象関数定義テーブル（以下、「定義テーブル」という。）２１を作成し、これを車載機器１へ転送する。車載機器１は、この定義テーブル２１を参照しながら、車載機器１上で動作する複数の定周期プログラムの実行シーケンス監視を行う。

ここで、処理グループとは、複数の定周期関数が順次実行されることによって実現される機能あるいはその機能の一部を意味し、論理的なグループとして任意に設定することができる。
保守支援装置５は、汎用のコンピュータ装置（以下、単に「ＰＣ」という。）で実現することができる。車載機器１と保守支援装置５との間は、ＣＡＮ（Controller Area Network）等のシリアル通信Ｉ／Ｆを用いてデータの送受信を行う。

図１において、車載機器１のプログラムは定周期処理を実行する複数のプログラム（以下、本実施の形態において「関数」ともいう。）１１～１３、処理グループごとに設けられる実行シーケンス監視処理プログラム１４、および関数実行履歴記録処理プログラム１５から構成される。なお本実施形態では、定周期処理として、Ａ周期処理、Ｂ周期処理、Ｃ周期処理（例えば、Ａ周期＝１ｍｓ、Ｂ周期＝２ｍｓ、Ｃ周期＝３ｍｓ）の３種類として説明するが、周期の数や長さはこれに限られない。ここで、Ａ周期処理１１は、Ａ周期で実行される関数である。Ｂ周期処理、Ｃ周期処理についても同様である。

車載機器１のメモリ空間は、データ（ＲＯＭ）領域２０、データ（ＲＡＭ）領域３０、プログラム（ＲＯＭ）領域１０に割り付けられる。データ（ＲＯＭ）領域２０には処理グループごとに定義テーブル２１（２１ａ～２１ｎ）が保存される。データ（ＲＡＭ）領域３０には、定周期プログラム（関数）の実行履歴が記録される領域である実行履歴記録領域３１が処理グループごとに配置される。プログラム（ＲＯＭ）領域１０には、車載機器１の機能を実現する各定周期プログラム（関数）、定周期プログラム（関数）の実行履歴を実行履歴記録領域３１に保存する関数実行履歴記録処理プログラム１５、および処理グループごとに設けられ、定義テーブル２１の内容と実行履歴とを比較して夫々の処理グループの監視を行う実行シーケンス監視処理プログラム１４が格納される。この他、プログラム（ＲＯＭ）領域１０には、各定周期プログラムに対応して、夫々の定周期プログラムの履歴記録条件を判定するプログラムである履歴記録条件判定関数（図示せず）が格納される。

（定義テーブル２１の作成方法）
次に、保守支援装置５側での定義テーブル２１の作成方法について説明する。
図１に示すように、定義テーブル２１の作成は、保守支援装置５のディスプレイに表示される実行シーケンス監視登録画面５１を通して行われる。ユーザは、この画面を通して、定義テーブル２１の作成に必要な情報を登録する。実行シーケンス監視登録画面５１は、処理グループごとに定周期関数（定周期処理を実行する関数）を登録する画面領域５４を有し、処理グループごとの定義テーブル２１に対する読出しおよび書込みを行うためのボタン５２，５３が設けられている。

また、保守支援装置５は制御装置１で実行される関数のＭＡＰファイル６１を備えている。このＭＡＰファイル６１は一般にプログラムコードのコンパイル・リンク時に生成・出力されるファイルであり、例えば関数シンボル名、エントリアドレス、サイズ等の情報を含んでいる。このＭＡＰファイル６１の内容を参照することにより、効率的に定義テーブル２１に関数情報を登録することができる。

図２に定義テーブル２１の構成例を示す。
定義テーブル２１（２１ａ～２１ｎ）は処理グループ共通および処理グループ（１～ｎ）ごとに作成されるものである。また各定義テーブル２１はその処理グループに含まれる定周期関数の周期ごとに構成される。本実施の形態では、処理グループは、３種類の定周期（Ａ周期，Ｂ周期，Ｃ周期）で夫々実行される関数を持つものとして説明する。この場合、当該処理グループの定義テーブル２１は、図２に示すように、定周期関数の周期ごとにＡ周期用テーブル、Ｂ周期用テーブル、Ｃ周期用テーブルの３種類のテーブルで構成される。

以下、定義テーブル２１の項目例について簡単に説明する。
１）処理グループ共通定義として「処理シーケンス全体監視時間」を設ける。本項目は、処理グループ内の監視「開始」から「終了」までの関数が実行される監視時間を示す。
以降は周期ごとに定義する項目である。
２）「登録数」は、当該周期内で実行シーケンスの監視対象として登録した関数の数である。
３）「周期」は、当該周期の時間を示す。
４）「優先順位」は、当該周期処理の動作優先順位（優先レベル）である。図２では最小の番号（優先順位：１）の優先順位が最も高いことを示す。
５）「関数シンボル名」は、当該周期内で実行シーケンスの監視対象とする関数名である。
６）「関数先頭アドレス」は、当該周期内で実行シーケンスの監視対象とする関数の先頭アドレスである。
７）「関数終端アドレス」は、当該周期内で実行シーケンスの監視対象とする関数の終端アドレスである。

８）「識別番号（実行番号）」では、処理グループ内の直前の関数の処理結果の条件に基づいて、条件が成立した場合に次の関数の処理が行われる順番を定義する。保守支援装置５の実行シーケンス監視登録画面を通して、処理グループごとにユニークな番号が付される。
９）「履歴記録条件判定関数ポインタ」：履歴記録条件判定関数は、これに紐付けられた監視対象の関数の実行履歴情報を記録するかどうかの判定処理を行う関数である。定義テーブル２１には、この履歴記録条件判定関数のポインタを登録しておき、対象関数の実行後にこのポインタを参照して対応する履歴記録条件判定関数を呼び出す。
１０）「監視開始／終了情報」では、処理グループ内で監視の開始および終了の情報を設定する。処理グループ内で最初に実行する関数に監視開始情報（フラグ）を設定し、処理グループ内で最後に実行する関数に監視終了情報（フラグ）を設定する。後述するように、監視開始情報がセットされている関数が実行されると、履歴への記録を有効とし、終了時すなわち監視終了情報がセットされている関数の実行後に処理グループ内での実行シーケンスをチェックする。
１１）「監視時間（ｍｓ）」は、自身の関数の直前の関数の実行後、自身の関数が実行されるまでの監視時間である。実行シーケンスチェック時には、この監視時間のチェックも行う。

保守支援装置５で作成された定義テーブル２１は、通信Ｉ／Ｆ経由から車載機器１へ転送され、車載機器１のデータ（ＲＯＭ）領域２０に書き込まれる。

各定周期処理（Ａ周期処理、Ｂ周期処理、Ｃ周期処理）は、定義テーブル２１に登録されている関数実行時に、当該関数から呼び出す関数実行履歴記録処理プログラム１５によって当該実行情報を実行履歴記録領域３１に記録する。実行シーケンス監視処理プログラム１４は、処理グループ内の最後の関数実行時に、後述する手順により、定義テーブル２１と実行履歴記録領域３１の内容を比較し、実行シーケンスの正常／異常を判断する。

車載機器１の実行履歴記録領域３１に記録される関数実行履歴情報のデータ構成を図３に示す。この関数実行履歴情報は処理グループごとに作成される。
１）「監視開始フラグ」は、処理グループ内の実行シーケンスの監視状態を示すフラグである。例えば、1で開始、0で停止を示す。
開始条件は履歴記録条件判定関数の処理結果が「記録有効」かつ定義テーブル２１の監視開始/終了情報が「開始」の場合に開始(1)とする。終了条件は履歴記録判定関数の処理結果が「記録有効」かつ定義テーブル２１の監視開始/終了情報が「終了」の場合に終了(2)とする。その他の場合は、無し(0)とする。
２）「履歴情報フラグ」は、対象関数が実行済であることを示すフラグである。識別番号（実行番号）に対応するビット位置のフラグを操作する。フラグセット条件は履歴記録条件判定関数の処理結果が「記録有効」かつ対象関数の実行履歴情報への記録が初回時の場合とする。フラグクリア条件は監視開始／終了情報が終了時とする。
３）「履歴記録カウンタ」は、関数の実行履歴情報の記録数である。カウンタ更新条件は履歴記録判定関数の処理結果が「記録有効」かつ対象関数の実行履歴情報への記録が初回時の場合とする。カウンタクリア条件は監視開始／終了情報が終了時とする。
４）「識別番号（実行番号）」は、実行された監視対象の関数の識別番号（実行番号）である。定義テーブル２１の内容がコピーされる。
５）「監視時間」は、実行された監視対象の関数の監視時間である。定義テーブル２１の内容がコピーされる。
６）「タイムスタンプ」には、監視対象の関数実行時に取得したタイムスタンプが格納される。

（関数実行履歴記録処理）
関数実行履歴記録処理プログラム１５は、関数が実行されたときに、図４に示す関数実行履歴情報を実行履歴記録領域３１へ記録する。当該領域３１のサイズは各周期処理での実行履歴記録数と実行シーケンス監視を行うタイミングを考慮してサイズを決定する。

関数実行履歴記録処理プログラム１５の呼び出し（起動）タイミングは、関数の特定のコードを読み出したときである。例えば、プログラムコードがＣ言語で記述される場合、対象関数のreturn文が実行されるタイミングで呼ばれる構成とすることができる。この場合、Ｃ言語コンパイラのプリプロセッサ機能を利用して、return文を関数実行履歴記録処理プログラム１５を呼び出すマクロに置き換えることができる。マクロ置換の具体例を下記に示す。この方法により、制御処理のプログラムコードでは関数実行履歴記録処理プログラム１５の呼び出しを記述する必要がなくなる。
マクロ置換の具体例：#define return trace_func（）; return
ここで、trace_func（）は関数実行履歴記録処理プログラム１５の関数である。

次に、図５を用いて関数実行履歴記録処理プログラム１５の手順を説明する。
関数実行履歴記録処理プログラム１５は、監視対象判定処理部１５ａ、処理グループ初回実行判定処理部１５ｂ、処理グループ内関数初回実行判定処理部１５ｃ、及び異常検出処理部１５ｄによって構成される。

ここで、監視対象判定処理部１５ａは、本関数実行履歴記録処理プログラム１５が監視対象の関数から呼び出されているかをチェックし、監視対象の関数から呼び出されている場合には、処理グループ初回実行判定処理部１５ｂ又は処理グループ内関数初回実行判定処理部１５ｃの処理を行う。

処理グループ初回実行判定処理部１５ｂは、まだ監視が開始されておらず、処理グループ内で最初に実行される関数（監視開始/終了情報が開始）であり、かつ履歴記録条件判定が記録有効であった場合、関数実行履歴情報を実行履歴記録領域へ記録する。

処理グループ内関数初回実行判定処理部１５ｃは、すでに監視が開始されており、履歴記録条件判定が記録有効かつ、当該関数の実行が初回の場合に関数実行履歴情報を実行履歴記録領域へ記録する。

異常検出処理部１５ｄは、すでに監視が開始されており、処理グループ内で最後に実行される関数（監視開始/終了情報が終了）であった場合、実行シーケンスチェックを行う。実行シーケンスチェック結果がエラーの場合はエラー情報をセットする。

本関数実行履歴記録処理プログラム１５の呼び出しタイミングは、対象関数の出口処理（処理終了の直前）である。関数実行履歴記録処理プログラム１５は呼び出されると、図５のフローチャートに例示した処理を実行して、関数実行履歴情報（監視開始フラグ、履歴情報フラグ、履歴記録カウンタ、識別番号（実行番号）、監視時間、タイムスタンプ）を実行履歴記録領域へ記録する。

以下に関数実行履歴記録処理プログラム１５の処理手順について説明する。
図５において、関数実行履歴記録処理プログラム１５は起動されると、まず実行履歴記録領域の格納ポインタをセットする（ステップＳ１０１）。そして、タイムスタンプと関数復帰アドレスを取得する（ステップＳ１０２，Ｓ１０３）。その後、関数復帰アドレスをもとに以下に述べる定義テーブル２１の検索処理を実行する（ステップＳ１０４）。

まず、定義テーブル２１に当該関数の登録が有るか否かを判定し（ステップＳ１０５）、登録されていない場合は終了する。一方、ステップＳ１０５で登録がある場合は、次に監視開始フラグがセットされているか否かを判定する（Ｓ１０６）。この判定の結果、監視開始フラグがセットされていない場合は、監視開始／終了情報が「開始」か否かを判定する（Ｓ１０７）。この判定の結果、開始でない場合は終了し、「開始」の場合は、次に、履歴記録条件判定関数ポインタを取得する（Ｓ１０８）。そして、取得したポインタの履歴記録条件判定関数を実行する（Ｓ１０９）。この実行の結果、復帰値が「記録有効」の場合は（Ｓ１１０で「ＹＥＳ」）、監視開始フラグのセット、履歴情報フラグに識別番号に対応するビット情報をセット、履歴情報に識別番号を格納、履歴情報に定義テーブルの監視時間を格納、履歴情報にタイムスタンプを格納、履歴記録カウンタを１にセットの一連の処理を行う（Ｓ１１１～Ｓ１１６）

一方、ステップＳ１０６で監視開始フラグがセット済みの場合は、次に開始時のタイムスタンプと今回のタイムスタンプの差分から、処理シーケンス全体監視時間のチェックを行う（Ｓ１１７）。当該差分が監視時間内でない場合は（Ｓ１１８で「ＮＯ」）、エラー情報をセットして終了する（Ｓ１１９）。当該差分が監視時間内の場合は（Ｓ１１８で「ＹＥＳ」）、次に履歴記録条件判定関数ポインタを取得して、取得したポインタの履歴記録条件判定関数を実行する（Ｓ１２０，Ｓ１２１）。この実行の結果、復帰値が「記録有効であり」、かつ、履歴情報フラグに識別番号に対応するビット情報が未セットの場合は（Ｓ１２２，Ｓ１２３で「ＹＥＳ」）、履歴情報フラグに識別番号に対応するビット情報をセット、履歴情報に識別番号を格納、履歴情報に定義テーブルの監視時間を格納、履歴情報にタイムスタンプを格納、履歴記録カウンタの更新の一連の処理を行う（Ｓ１２４～Ｓ１２８）。

その後、監視開始／終了情報が「終了」の場合は（Ｓ１２９で「ＹＥＳ」）、実行シーケンス監視処理プログラム１４を起動して、実行シーケンスチェックを行い（Ｓ１３０）、エラーがあればエラー情報をセットして（Ｓ１３２）、終了する。

上記において、監視対象判定処理部１５ａはステップＳ１０１～ステップＳ１０５、処理グループ初回実行判定処理部１５ｂはステップＳ１０７～ステップＳ１１６、処理グループ内関数初回実行判定処理部１５ｃはステップＳ１０６及びステップＳ１１７～ステップＳ１２８、異常検出処理部１５ｄはステップＳ１２９～ステップＳ１３２の処理にそれぞれ対応する。

上記の処理手順により、定周期プログラムが起動されるごとに、ｒｅｔｕｒｎ文の実行タイミングで関数実行履歴記録処理も実行され、監視対象の関数の実行履歴のみが実行履歴記録領域３１に保存される。

（実行シーケンス監視処理）
次に、車載機器１で実行される実行シーケンス監視処理プログラム１４について図６に基づいて説明する。
実行シーケンス監視処理プログラム１４は、主に、定義テーブルに登録されている関数が全て実行されたか否かを判定する第一の実行シーケンスチェック部１４ａ、実行された関数が定義テーブルに登録された順番に実行されたか否かを判定する第二の実行シーケンスチェック部１４ｂ、および、処理グループ内の直前の関数の実行後、次の関数の実行までの時間間隔が監視時間以内であるか否かを判定する実行時間チェック部１４ｃによって構成される。

ここで、第一の実行シーケンスチェック部１４ａは、実行履歴記録領域の当該処理グループの実行履歴情報より履歴情報フラグを読出し、履歴情報フラグに対象関数のフラグが全てセットされているかを確認し、全てセットされている場合は正常とみなし、全てセットされていない場合は結果を実行シーケンス異常と判定する。

第二の実行シーケンスチェック部１４ｂは、実行履歴記録領域の当該処理グループの実行履歴情報の識別番号について、先頭から終端まで隣り合わせ（iとi+1番目）の２つの識別番号を順次比較し、昇順になっていれば、正常と判定する。比較結果が昇順になっていない場合は実行シーケンス異常と判定する。

実行時間チェック部１４ｃ実行履歴記録領域の当該処理グループの実行履歴情報のタイムスタンプについて、先頭から終端まで隣り合わせ（iとi+1番目）の２つのタイムスタンプの差分を算出し、その差分時間とi+1番目の監視時間を順次比較する。差分時間が監視時間以内の場合は結果を正常と判定する。差分時間が監視時間を超えている場合は実行時間異常と判定する。

以下に実行シーケンス監視処理プログラム１４の処理手順について説明する。
図６において、実行シーケンス監視処理プログラム１４は、関数実行履歴記録処理プログラム１５のステップＳ１３０の処理によって呼び出されると、まず「結果」変数に「正常」を保存する（Ｓ２０１）。続いて、実行履歴記録領域のアドレスを取得して、履歴情報フラグを取得する（Ｓ２０２，Ｓ２０３）。そして、履歴情報フラグに対象関数のフラグが全てセット済みか否かを判定し（Ｓ２０４）、判定結果が「ＮＯ」の場合は、「結果」変数に「実行シーケンス異常」を格納する（Ｓ２０５）。ステップＳ２０４の判定の結果が「ＹＥＳ」の場合は、次に変数ｎに履歴記録カウンタの値を入力する共に（Ｓ２０６）、変数ｉに０を入力する（Ｓ２０７）。そして、ｉ番目と（ｉ＋１）番目の識別番号を取得して（Ｓ２０８）、（ｉ＋１）番目の識別番号の方がｉ番目の識別番号よりも大きいか否かを判定する（Ｓ２０９）。この判定の結果が「ＮＯ」の場合は、「結果」変数に「実行シーケンス異常」を格納する（Ｓ２１０）。

ステップＳ２０９の判定の結果が「ＹＥＳ」の場合は、次にｉ番目と（ｉ＋１）番目のタイムスタンプの差を計算する（Ｓ２１１）。そして、このタイムスタンプの差が予め設定した監視時間以上の場合は（Ｓ２１２で「ＮＯ」）、「結果」変数に「実行時間異常」を入力する（Ｓ２１３）。一方ステップＳ２１２の判定の結果、タイムスタンプの差が予め設定した監視時間よりも小さい場合は（Ｓ２１２で「ＹＥＳ」）、次の識別番号ｉについて、ステップＳ２０８～ステップＳ２１３の処理を繰り返す（Ｓ２１５）。すなわち、記録領域に保存されている全識別番号について、第二のシーケンスチェック部１４ｂと実行時間チェック部１４ｃの処理を実行する。その後、記録領域の履歴情報フラグ、履歴記録カウンタ、監視開始フラグをクリアして（Ｓ２１６～Ｓ２１８）、「結果」変数の値を復帰値として終了する（Ｓ２１９）。
実行シーケンス監視処理プログラム１４は、以上の処理手順によって処理グループごとに実行シーケンス異常、実行時間異常を検出する。

（実施例）
次に、車載機器１が保守支援装置５などの上位装置からＣＡＮメッセージで指令を受けたときのモータ制御処理の例について図面を参照しながら説明する。
本実施例による車載装置１は、上位通信制御処理を実行する定周期プログラム（以下、「上位通信制御関数」）１３、制御コマンド処理を実行する定周期プログラム（以下、「制御コマンド処理関数」）１２、モータ制御処理を実行する定周期プログラム（以下、「モータ制御関数」）１１を備える。動作周期としては、上位通信制御関数１３が５ｍｓ周期、制御コマンド処理関数１２が１ｍｓ、モータ制御関数１１が１００μｓとする。

図８に上位装置からモータ制御指令を受けたときのシーケンス概要を示す。図８において、破線で囲んだ部分が処理グループとして定義テーブル２１に登録し、実行順序や動作時間の監視を行うシーケンス部分である。このモータ制御処理の処理グループに関する定義テーブル２１のデータ例を図７に示す。

以下、本処理グループに属する定周期関数の動作について簡単に説明する。図８において、車載機器１は上位装置からＣＡＮメッセージを受信すると、図示しない受信バッファに受信メッセージを格納する。そして、５ｍｓ周期で起動する上位通信制御関数１３によって受信バッファに格納されているメッセージを取り出し、受信処理を実行し正常受信であることを確認すると、制御コマンド処理関数１２に対してＣＡＮ受信メッセージを送信する。そして、履歴記録条件判定処理（１）を実行して終了し、次の周期を待つ。

制御コマンド処理関数１２は、定周期（１ｍｓ）の起動時にこのＣＡＮ受信メッセージを受信すると、受信データの解析処理を行い、モータ制御関数１１に対してコマンド（指令）データを送信する。そして、履歴記録条件判定処理（２）を実行して終了する。

モータ制御関数１１は１００μｓ周期で起動し、コマンド（指令）データからモータ制御データを作成してモータの制御を実行する。そして、履歴記録条件判定処理（３）を実行して終了する。

上述したように、各定周期関数１３～１１はそれぞれ終了前に履歴記録条件判定処理を実行する。具体的には、関数実行履歴記録処理プログラム１５が実行され、図５のフローチャートのステップＳ１０９、ステップ１２１において履歴記録条件判定関数が起動されることによって、履歴記録条件判定処理（１）～（３）が夫々実行される。

履歴記録条件判定処理（１）～（３）は、定周期関数ごとに異なる。本実施例による上位通信制御関数１３、制御コマンド処理関数１２、モータ制御関数１１の夫々の履歴記録条件判定処理手順を図９に示す。

図９（ａ）は、上位通信制御関数１３の履歴記録条件判定処理（１）のフローチャートである。履歴記録条件判定処理（１）では、ＣＡＮ受信メッセージがあり、かつ、受信フレームが運転（モータ制御）指令のとき、すなわちステップＳ３０１，ステップＳ３０２の判定結果が共に「ＹＥＳ」のときに、復帰値が「記録有効」となる（Ｓ３０３）。その他の場合は復帰値が「記録無効」となる（Ｓ３０４）。

一方、上位通信制御関数１３で実行される関数実行履歴記録処理プログラム１５の処理においては、上位装置からＣＡＮメッセージを受信した時点では、監視開始フラグはセットされていないため（図５のステップＳ１０６で「ＮＯ」）、ステップＳ１０７の方へ分岐し、ステップＳ１１０において履歴記録が有効であれば、ステップＳ１１１～Ｓ１１６の処理が実行され、実行履歴が記録される。

図９（ｂ）は、制御コマンド処理関数１２の履歴記録条件判定処理（２）のフローチャートである。履歴記録条件判定処理（２）では制御コマンドが運転（モータ制御）指令のときに（Ｓ４０１で「ＹＥＳ」）、復帰値が「記録有効」となる（Ｓ４０２）。その他の場合は復帰値が「記録無効」となる（Ｓ４０３）。

この処理グループにおいて、制御コマンド処理関数１２が起動するときは、既に監視開始フラグはセットされているため、関数実行履歴記録処理プログラム１５のステップＳ１０６の判定は「ＹＥＳ」となる。したがって、ステップＳ１２１で、この履歴記録条件判定処理（２）が実行されることになる。

図９（ｃ）は、モータ制御関数１１の履歴記録条件判定処理（３）のフローチャートである。履歴記録条件判定処理（３）では、運転状態が運転中であり、かつ、運転（モータ制御）指令コマンドの場合、すなわちステップＳ５０１，ステップ５０２の判定結果が共に「ＹＥＳ」の場合に、復帰値が「記録有効」となる（Ｓ５０３）。その他の場合は復帰値が「記録無効」となる（Ｓ５０４）。

この処理グループにおいて、モータ制御関数１１が起動するときは、既に監視開始フラグはセットされているため、関数実行履歴記録処理プログラム１５のステップＳ１０６の判定は「ＹＥＳ」となる。したがって、ステップＳ１２１で、この履歴記録条件判定処理（３）が実行されることになる。また、ステップＳ１２９において、監視終了となるため、実行シーケンスチェック（Ｓ１３０）が実行される。

本実施例による関数実行履歴情報の例を図１０に示す。この例は、実行シーケンス、監視時間ともに正常の場合である。

以上、本実施の形態によれば、保守支援装置側で処理グループごとに定周期プログラム（関数）の実行順序を規定した定義テーブルを生成し、この定義テーブルを制御装置へ転送する。制御装置は、定周期プログラム（関数）の実行履歴を保存する一方、実行履歴と定義テーブルの内容とを比較することにより、実行シーケンスの監視を効率よく行うことができる。

また、定義テーブルおよび実行履歴に時間情報を追加することにより、実行シーケンスに加え、定周期プログラム（関数）の処理時間や実行間隔の監視を行うことができる。さらに、予め実行シーケンスを定義したプログラムのみ実行履歴を記録することにより、メモリの使用量を節約できる。このため、限られたメモリ資源の制御装置においても、その運用中に常時監視が可能となり、制御装置の安全性が担保される。

１ 制御装置（車載機器）
５ 保守支援装置
１０ プログラム（ＲＯＭ）領域
１１～１３ 定周期プログラム（関数）
１４ 実行シーケンス監視処理プログラム（監視手段）
１５ 関数実行履歴記録処理プログラム（記録手段）
２０ データ（ＲＯＭ）領域
２１（２１ａ～２１ｎ） 実行シーケンス監視対象関数定義テーブル（定義テーブル）
３０ データ（ＲＡＭ）領域
３１ 実行履歴記録領域
５１ 実行シーケンス監視登録画面
６１ ＭＡＰファイル

Claims (6)

1. 複数の定周期プログラムによって実現される機能又は該機能の一部であり、任意に設定可能な処理グループごとに、前記複数の定周期プログラムのうち監視対象の定周期プログラムの識別情報を実行順序識別可能に登録した定義テーブルと、
   前記監視対象の定周期プログラムの実行履歴をメモリに記録する記録手段と、
   前記実行履歴に基づいて、前記監視対象の定周期プログラムが前記定義テーブルに定めた実行順序で動作しているか否かを監視する監視手段と、
   を備えることを特徴とする制御装置。
2. 前記監視対象の定周期プログラムごとに、前記監視対象の定周期プログラムの実行履歴を記録するか否かを判定するための履歴記録条件判定関数を備え、
   前記定義テーブルは、夫々の前記監視対象の定周期プログラムの識別情報に関連付けて前記履歴記録条件判定関数のポインタを保存し、
   前記記録手段は、前記定義テーブルに保存されている前記履歴記録条件判定関数のポインタを参照して該履歴記録条件判定関数を実行し、該履歴記録条件判定関数の判定結果に基づいて、該履歴記録条件判定関数に関連付けられた前記監視対象の定周期プログラムの実行履歴を前記メモリに記録することを特徴とする請求項１に記載の制御装置。
3. 前記定義テーブルは、処理グループを構成する監視対象の定周期プログラムごとに、ある定周期プログラムの実行時から次の定周期プログラムの実行時までの時間間隔に関する閾値を含み、
   前記監視手段は、当該閾値と前記実行履歴とに基づいて、異常を検知することを特徴とする請求項１又は２に記載の制御装置。
4. 前記記録手段は、前記定周期プログラムの特定の命令文が実行されることにより起動することを特徴とする請求項１～３のいずれか一項に記載の制御装置。
5. 前記特定の命令文はｒｅｔｕｒｎ文であることを特徴とする請求項４に記載の制御装置。
6. 請求項１～５のいずれか一項に記載の制御装置と通信可能な保守支援装置であって、
   前記定周期プログラムコンパイル時のＭＡＰファイルと登録画面を通して入力された情報から前記定義テーブルを生成する手段と、
   生成した前記定義テーブルを前記制御装置へ転送する手段と、
   を備えたことを特徴とする保守支援装置。

Images