WO2020166328A1 - 制御装置 - Google Patents

制御装置 Download PDF

Info

Publication number
WO2020166328A1
WO2020166328A1 PCT/JP2020/003096 JP2020003096W WO2020166328A1 WO 2020166328 A1 WO2020166328 A1 WO 2020166328A1 JP 2020003096 W JP2020003096 W JP 2020003096W WO 2020166328 A1 WO2020166328 A1 WO 2020166328A1
Authority
WO
WIPO (PCT)
Prior art keywords
safety
storage area
control
access
standard
Prior art date
Application number
PCT/JP2020/003096
Other languages
English (en)
French (fr)
Inventor
大介 八木
雄作 小林
Original Assignee
オムロン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オムロン株式会社 filed Critical オムロン株式会社
Priority to EP20756160.6A priority Critical patent/EP3926480A4/en
Priority to US17/424,367 priority patent/US11875065B2/en
Priority to CN202080010051.6A priority patent/CN113330429A/zh
Publication of WO2020166328A1 publication Critical patent/WO2020166328A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1416—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights
    • G06F12/145—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights the protection being virtual, e.g. for virtual blocks or segments before a translation mechanism
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/0671—In-line storage system
    • G06F3/0683—Plurality of storage devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0721—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU]
    • G06F11/0724—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU] in a multiprocessor or a multi-core unit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1416—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights
    • G06F12/1425—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights the protection being physical, e.g. cell, word, block
    • G06F12/1441—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights the protection being physical, e.g. cell, word, block for a range
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1458—Protection against unauthorised use of memory or access to memory by checking the subject access rights
    • G06F12/1491—Protection against unauthorised use of memory or access to memory by checking the subject access rights in a hierarchical protection system, e.g. privilege levels, memory rings
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/0604—Improving or facilitating administration, e.g. storage management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0655—Vertical data movement, i.e. input-output transfer; data movement between one or more hosts and one or more storage devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1458—Protection against unauthorised use of memory or access to memory by checking the subject access rights
    • G06F12/1466—Key-lock mechanism
    • G06F12/1475—Key-lock mechanism in a virtual system, e.g. with translation means
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2212/00—Indexing scheme relating to accessing, addressing or allocation within memory systems or architectures
    • G06F2212/10—Providing a specific technical effect
    • G06F2212/1052—Security improvement

Definitions

  • the present invention relates to a control device, and more specifically to a control device that controls a drive device.
  • Patent Document 1 a controller including both a drive CPU (Central Processing Unit) that performs drive control regarding a drive device and a safety CPU that performs safety control regarding a drive device is disclosed. Has been done. Patent Document 1 also discloses that the drive CPU and the safety CPU may be realized by a dual core processor.
  • drive CPU Central Processing Unit
  • the drive CPU and the safety CPU can be realized by a dual-core processor like the controller disclosed in Patent Document 1, it is possible to achieve space saving and cost reduction of the device.
  • arithmetic unit that performs standard control and an arithmetic unit that performs safety control coexist, it is necessary to devise to ensure safety, particularly from the viewpoint of protecting data used by safety control. No consideration was given to the controller described in.
  • An object of the present invention is to solve the above-mentioned problems, and it is possible to ensure safety even when an arithmetic unit that performs standard control and an arithmetic unit that performs safety control coexist. I will provide a.
  • a control device that controls a drive device.
  • the control device is accessible from a first calculation unit that executes safety control regarding the drive device, a second calculation unit that executes standard control regarding the drive device, and any of the first calculation unit and the second calculation unit.
  • a storage unit that includes a first storage area that stores data related to safety control and a second storage area that stores data related to standard control. The first arithmetic unit can access both the first storage area and the second storage area, while the second arithmetic unit can access the second storage area, while the second arithmetic section can access the first storage area. Access is restricted.
  • the second arithmetic unit stores the data related to the safety control. Since access to one storage area is restricted, safety can be ensured without affecting safety control by the second arithmetic unit that executes standard control.
  • the control device includes a plurality of microcontroller units (MCU).
  • the first arithmetic unit is a processor core that executes safety control
  • the second arithmetic unit is a processor core that executes standard control.
  • Each of the plurality of microcontroller units includes a processor core that executes safety control
  • at least one of the plurality of microcontroller units includes a processor core that executes standard control.
  • the control device includes a microcontroller unit (MCU).
  • the first arithmetic unit is a processor core that executes safety control
  • the second arithmetic unit is a processor core that executes standard control.
  • the microcontroller unit includes a plurality of processor cores that execute safety control and at least one processor core that executes standard control.
  • control device includes a data table that defines permission and prohibition of access to the memory address of the storage unit.
  • the first arithmetic unit can access any of the memory addresses of the first storage area and the second storage area based on the data table, while the second arithmetic unit can access the memory address of the second storage area.
  • access to the memory address of the first storage area is restricted.
  • the first operation unit can access both the first storage area and the second storage area based on a predetermined instruction, while the second operation unit can access based on the predetermined instruction.
  • the second storage area can be accessed, whereas the first storage area is restricted in access.
  • the first arithmetic unit stores data related to safety control when the second arithmetic unit accesses based on a predetermined instruction. Access to the storage area by the second arithmetic unit can be restricted.
  • the first mode and the second mode in which the access is restricted compared to the first mode are provided as the modes that specify the permission and prohibition of the access to the storage unit.
  • the second computing unit has access restrictions on the first storage area regardless of whether the mode is the first mode or the second mode.
  • the safety control is performed regardless of whether the mode that defines permission or prohibition of access to the storage unit is the first mode or the second mode in which access is restricted more than the first mode. It is possible to restrict access to the first storage area that stores data related to.
  • the first arithmetic unit is a processor core that executes safety control
  • the second arithmetic unit is a processor core that executes standard control
  • the control device further includes a monitor processor that monitors access to the first storage area and the second storage area by the processor as a coprocessor that assists a processor including a processor core that executes standard control and a processor core that executes safety control.
  • Prepare The second processor is restricted in access to the first storage area by the monitoring processor.
  • the monitoring processor that monitors access to the first storage area and the second storage area by the processor including the first calculation unit and the second calculation unit allows the first storage area that stores data related to safety control to be monitored. It is possible to restrict access by the second arithmetic unit.
  • FIG. 1 is a schematic diagram showing an application example of the control device 100 according to the present embodiment.
  • the control system 1 according to the present embodiment provides, for example, a safety function defined in IEC 61508 or the like.
  • the control system 1 mainly includes a control device 100, a safety device 300, and a drive device 430.
  • the control device 100 is typically composed of a programmable controller (Programmable Logic Controller: PLC) or the like, executes a predetermined user program with respect to input data acquired from a control target, and is calculated by executing the user program. A command is given to the controlled object according to the output data.
  • the control target includes a drive device 430 and a driver 420 that drives the drive device 430.
  • control device 100 outputs a standard command for controlling the drive device 430 to the driver 420 when a predetermined drive condition is satisfied, thereby driving or stopping the drive device 430. Further, the control device 100 controls the position, speed, etc. of the drive device 430 based on a feedback signal from the drive device 430.
  • the drive device 430 is assumed to be a servo motor driven by the driver 420, but the drive device 430 is not limited to the servo motor and may be another type of drive device. In the present embodiment, such control of drive device 430 and driver 420 by control device 100 is also referred to as “standard control”.
  • the control device 100 performs, in addition to the standard control described above, control for ensuring the safety of the worker in the control system 1.
  • the control device 100 when the control device 100 receives a safety input from the safety device 300 (emergency stop switch, safety door switch, safety light curtain, etc.), it outputs a safety command to the safety relay 410.
  • the safety relay 410 is arranged on the power supply line for the driver 420, and performs control for cutting off the power supply based on a safety command from the control device 100. As a result, the power supply to the driver 420 is cut off, and the drive device 430 is stopped.
  • safety control Such control of the drive device 430 and the driver 420 via the safety relay 410 by the control device 100 is also referred to as “safety control”.
  • the control device 100 may control the position, speed, etc. of the drive device 430 by adjusting the electric power to the drive device 430 as safety control.
  • Control device 100 User programs relating to standard control and safety control executed by the control device 100 are provided to the control device 100 from the support device 500 communicatively connected to the control device 100.
  • the control device 100 includes a first calculation unit 101 that executes the safety control described above for the drive device 430, and a second calculation unit 102 that executes the standard control described above for the drive device 430. Further, the control device 100 is accessible from both the first calculation unit 101 and the second calculation unit 102, and stores a first storage area 1031 that stores data related to safety control and data related to standard control. And a storage unit 103 including a second storage area 1032.
  • the “first arithmetic unit” and the “second arithmetic unit” may be a processor core included in a predetermined processor, or a processor or a CPU itself. Further, both of the “first arithmetic unit” and the “second arithmetic unit” may be processor cores included in a single processor, or may be processor cores included in each of a plurality of processors. Good.
  • Standard control is a general term for processes for controlling a control target such as the drive device 430 according to a predetermined required specification.
  • safety control is a generic term for processes for preventing the safety of people from being threatened by the equipment and machines in the control system 1.
  • Safety control is designed to meet the requirements for implementing the safety functions specified in IEC 61508 and the like.
  • the first calculation unit 101 is provided in both the first storage area 1031 for storing data related to safety control and the second storage area 1032 for storing data related to standard control. It is accessible, and safety control is executed by accessing these storage areas.
  • the safety control is specified in IEC 61508 and the like, and the maker side of the control device 100 pre-designs programs and data relating to the safety control. Therefore, if the second computing unit 102 accesses the first storage area 1031 based on the program or data related to the standard control, safety may not be guaranteed. Therefore, in the control device 100 according to the present embodiment, the second calculation unit 102 can access the second storage area 1032 that stores the data related to the standard control, while the data related to the safety control can be accessed.
  • Access is restricted to the first storage area 1031 that stores For example, in the control device 100, when the access destination of the second calculation unit 102 is the first storage area 1031, the exception processing is performed to limit the access to the first storage area 1031 by the second calculation unit 102. It
  • the second calculation unit 102 stores the data related to safety control. Since access to one storage area 1031 is restricted, safety is ensured without affecting the data related to safety control stored in the first storage area 1031 by the second calculation unit 102 that executes standard control. be able to.
  • FIG. 2 is a schematic diagram illustrating a hardware configuration example of the control device 100 according to the first embodiment.
  • the control device 100 includes a plurality of microcontroller units (MCUs) and a plurality of RAMs (Random access memories) corresponding to the respective MCUs.
  • control device 100 includes MCU 110 and MCU 120, RAM 115 corresponding to MCU 110, and RAM 125 corresponding to MCU 120. Note that the number of MCUs and RAMs is not limited to two, and three or more may be provided.
  • the control device 100 also includes a storage 130, a USB controller 140, a memory card interface 150, and a local bus interface 160. These components are connected to the processor buses 1051 and 1052 via the bridge 1053.
  • the MCU 110 is connected to the processor bus 1051 and the MCU 120 is connected to the processor bus 1052.
  • the storage 130 stores various programs and data such as a safety program 132 for safety control created by a user according to a required safety function and a standard program 134 for standard control created by a user according to a control target. To store.
  • the USB controller 140 exchanges data with the support device 500 or the like via a USB connection.
  • the memory card interface 150 is configured to write data to the received memory card and read various data (log, trace data, etc.) from the memory card.
  • the local bus interface 160 exchanges data with arbitrary devices such as the safety relay 410, the driver 420, and the safety device 300 connected to the control device 100 via the local bus.
  • the MCU 110 includes a processor 116, a safety ROM (Read Only Memory) 112, and a standard ROM 114.
  • the processor 116 is a multi-core processor and includes a safety core 1162 and a standard core 1164.
  • the safety core 1162 is an example of a “first arithmetic unit” and executes control arithmetic relating to safety control.
  • the standard core 1164 is an example of a “second arithmetic unit” and executes a control arithmetic operation related to standard control. In this way, by coexisting the safety core 1162 related to safety control and the standard core 1164 related to standard control in the single processor 116, space saving and cost reduction of the device can be achieved.
  • the safety ROM 112 stores a safety system program 1122 for realizing basic functions related to safety control, and is connected to the safety core 1162.
  • the standard ROM 114 stores a standard system program 1142 for realizing basic functions related to standard control, and is connected to a standard core 1164.
  • MCU 120 includes a processor 126, a safety ROM 122, and a standard ROM 124.
  • the processor 126 is a multi-core processor and includes a safety core 1262 and a standard core 1264.
  • the safety core 1262 is an example of a “first arithmetic unit” and executes a control arithmetic operation related to safety control.
  • the standard core 1264 is an example of a “second arithmetic unit” and executes a control arithmetic operation related to standard control.
  • the safety ROM 122 stores a safety system program 1222 for realizing basic functions related to safety control, and is connected to the safety core 1262.
  • the standard ROM 124 stores a standard system program 1242 for realizing basic functions related to standard control, and is connected to the standard core 1264.
  • the control device 100 is configured so that their operations and states are mutually monitored by cross communication. Thus, even if any of the processors 116 and 126 has an abnormality, the abnormality is detected.
  • each of the processor 116 and the processor 126 executes a program in parallel.
  • Each of the processors 116 and 126 has a watchdog timer (not shown).
  • the processor 116 periodically resets its own watchdog timer, and the processor 126 also periodically resets its own watchdog timer.
  • the processor 116 monitors whether the watchdog timer is regularly reset by the processor 126, and the processor 126 monitors whether the watchdog timer is regularly reset by the processor 116, thereby causing an abnormality between the processors.
  • Mutual monitoring is done for the presence or absence of.
  • each of the processor 116 and the processor 126 mutually confirms the calculation result of the control calculation related to the execution of the program, thereby checking whether there is an abnormality between the processors. It is designed to monitor each other. That is, when some abnormality occurs in one processor and the calculation result of the control calculation becomes inaccurate, the calculation result of the control calculation in the other processor does not match. Therefore, the other processor detects that the calculation result does not match. By doing so, it is possible to detect that an abnormality has occurred in one of the processors.
  • the mutual monitoring is performed between the plurality of safety cores 1162 and the safety cores 1262 that execute the safety control, so that the safety can be further secured.
  • the control device 100 prevents the safety control from being executed in the abnormal state by performing processing such as cutting off the power supply for the abnormal processor.
  • the plurality of independently provided processors 116 and 126 can detect the occurrence of an abnormality by mutually monitoring the operations and states.
  • the safety cores 1162 and 1262 execute safety control for ensuring safety, mutual safety can be raised by mutual monitoring.
  • the RAM 115 is an example of a “storage unit”.
  • the storage area of the RAM 115 includes a safety storage area 1152 and a standard storage area 1154.
  • the safety storage area 1152 is an example of a “first storage area”, and stores data for executing safety control.
  • the standard storage area 1154 is an example of a “second storage area” and stores data for executing standard control.
  • the safety core 1162 of the processor 116 realizes safety control by reading the safety system program 1122 stored in the safety ROM 112, expanding it in the storage area in the RAM 115, and executing it.
  • the standard core 1164 of the processor 116 realizes standard control by reading the standard system program 1142 stored in the standard ROM 114, expanding it in the storage area in the RAM 115, and executing it.
  • the safety core 1162 and the standard core 1164 of the processor 116 execute safety control and standard control by accessing the RAM 115, but access from the safety core 1162 to the standard storage area 1154 is permitted.
  • access from the standard core 1164 to the safety storage area 1152 is restricted.
  • exception processing is performed to limit access to the safety storage area 1152 by the standard core 1164.
  • the RAM 125 is an example of a “storage unit”.
  • the storage area of the RAM 125 includes a safety storage area 1252 and a standard storage area 1254.
  • the safety storage area 1252 is an example of a “first storage area”, and stores data for executing safety control.
  • the standard storage area 1254 is an example of a “second storage area”, and stores data for executing standard control.
  • the safety core 1262 of the processor 126 realizes safety control by reading the safety system program 1222 stored in the safety ROM 122, expanding it in the storage area of the RAM 125, and executing it.
  • the standard core 1264 of the processor 126 reads out the standard system program 1242 stored in the standard ROM 124, expands it in the storage area in the RAM 125, and executes it to implement standard control.
  • the safety core 1262 and the standard core 1264 of the processor 126 execute safety control and standard control by accessing the RAM 125, but the safety core 1262 is permitted to access the standard storage area 1254.
  • access from the standard core 1264 to the safety storage area 1252 is restricted.
  • exception processing is performed to limit access to the safety storage area 1252 by the standard core 1264.
  • First Example of Access Restriction Method in Control Device> 3 and 4 are schematic diagrams for explaining the first example of the access restriction method in the control device 100a according to the first embodiment.
  • the hardware configuration example of the control device 100a shown in FIG. 3 parts having the same configurations and functions as those of the hardware configuration example of the control device 100 shown in FIG. ..
  • the MCU 110a of the control device 100a includes an MMU (Memory Management Unit) 117 connected to the processor 116.
  • the MMU 117 has a memory protection function and prevents a core in the processor 116 from accessing a storage area that is not allocated to itself.
  • the conversion table 600 shown in FIG. 4 is set at startup, and the control device 100a uses this conversion table 600 to restrict access to the safety storage area 1152 by the standard core 1164.
  • the standard ROM 114 includes restriction data 1144 for restricting access to the safety storage area 1152 by the standard core 1164.
  • restriction data 1144 is set in the MMU 117, so that the conversion table 600 corresponding to the standard core 1164 is constructed.
  • the safety ROM 112 also stores data for constructing the conversion table 600, and the conversion table corresponding to the safety core 1162 is set by setting the data in the MMU 117 when the MCU 110a is started. 600 is built.
  • the conversion table 600 is an example of a “data table”, and as shown in FIG. 4, converted into attribute information for specifying which type is the safety core 1162 or the standard core 1164 and the physical address of the RAM 115. And the virtual address to be processed.
  • the physical addresses of the RAM 115 are the physical address range 1 for system (for example, 0000 to 3FFF), the physical address range 2 for safety control (for example, 4000 to 4FFF), and the physical address range 3 for standard control ( For example, it is divided into a physical address range 4 for safety control (for example, 6000 to 6FFF), a physical address range 5 for standard control (for example, 7000 to 7FFF).
  • the physical address range 2 and the physical address range 4 for safety control are address ranges corresponding to the safety storage area 1152.
  • the physical address range 3 and the physical address range 5 for standard control are address ranges corresponding to the standard storage area 1154.
  • the virtual address of the conversion table 600 excludes the address range for the system, and the virtual address range 1 for safety control (for example, 0000 to 0FFF) and the virtual address range 2 for standard control (for example, 1000 to 1FFF). , And a virtual address range 3 for safety control (for example, 2000 to 2FFF) and a virtual address range 4 for standard control (for example, 3000 to 3FFF).
  • the virtual address range 1 can be converted into the physical address range 2, the virtual address range 2 into the physical address range 3, the virtual address range 3 into the physical address range 4, and the virtual address range 4 into the physical address range 5, respectively.
  • Each of the safety core 1162 and the standard core 1164 can access the physical address of the RAM 115 by accessing the virtual address assigned to the conversion table 600.
  • access permission or prohibition is set to the virtual address for each of the safety core 1162 and the standard core 1164.
  • the safety core 1162 is permitted to access not only the virtual address range 1 and virtual address range 3 for safety control but also the virtual address range 2 for standard control.
  • the standard core 1164 is permitted to access the virtual address range 2 and the virtual address range 4 for the standard control, while accessing the virtual address range 1 and the virtual address range 3 for the safety control. It is prohibited (restricted).
  • the conversion table 600 set in the MMU 117 access to the virtual address range 1 and the virtual address range 3 for safety control by the standard core 1164 is restricted, so that the virtual address range 1 and the virtual address range 3 are limited. Access by the standard core 1164 to the physical address range 2 and the physical address range 4 for safety control (that is, the safety storage area 1152) in the corresponding RAM 115 is also restricted. As a result, based on the conversion table 600 that defines permission or prohibition of access to the physical address of the RAM 115, it is possible to restrict access by the standard core 1164 to the safety storage area 1152 that stores data related to safety control.
  • the MCU 120a of the control device 100a includes the MMU 127 connected to the processor 126.
  • the MMU 127 has a memory protection function and prevents the core in the processor 126 from accessing a storage area that is not assigned to itself.
  • the conversion table 600 shown in FIG. 4 is set at startup, and the control device 100a uses the conversion table 600 to access the safety storage area 1252 by the standard core 1264. To limit. Since the conversion table 600 of the MMU 127 has the same configuration and function as the conversion table 600 of the MMU 117, the description thereof will be omitted.
  • the access by the standard core 1264 to the virtual address range 1 and the virtual address range 3 for safety control is restricted, so that the virtual address range 1 and the virtual address range 3 are limited.
  • Access by the standard core 1264 to the physical address range 2 and the physical address range 4 for safety control (that is, the safety storage area 1252) in the corresponding RAM 125 is restricted.
  • the conversion table 600 that defines permission and prohibition of access to the physical address of the RAM 125, it is possible to restrict access by the standard core 1264 to the safety storage area 1252 that stores data related to safety control.
  • the conversion table 600 common to the safety core and the standard core is used, and the permission or prohibition of access is set based on the attribute information.
  • the conversion table 600 for the safety core and the conversion table 600 for the standard core may be provided.
  • MMU Memory Protection Unit
  • MPU Memory Protection Unit
  • access permission or prohibition may be set for each of the safety core and the standard core for each address range corresponding to the physical address.
  • Second example of access restriction method in control device> 5 and 6 are schematic diagrams for explaining the second example of the access restriction method in the control device 100b according to the first embodiment.
  • the hardware configuration example of the control device 100b shown in FIG. 5 parts having the same configurations and functions as those of the hardware configuration example of the control device 100 shown in FIG. ..
  • a RAM is illustrated as an example of the “storage unit” in FIG. 6, the “storage unit” is not limited to a volatile memory such as a RAM, and a non-volatile memory such as a ROM is applied.
  • any storage medium may be applied as long as it includes a storage area for storing data related to safety control and data related to standard control.
  • the MCU 110b of the control device 100b is restricted from accessing the safety storage area 1152 by the standard core 1164.
  • a privilege mode and a user mode are provided for each of the safety core 1162 and the standard core 1164. Also in the access setting to the RAM 115, the privilege mode and the user mode are designated in the safety storage area 1152 and the standard storage area 1154, respectively.
  • the privileged mode is an example of the “first mode”
  • the user mode is an example of the “second mode”.
  • the safety core 1162 when the safety core 1162 is set to the user mode, when the predetermined instruction in the application 1162p is executed, regarding the storage areas specified in the user mode in the safety storage area 1152 and the standard storage area 1154, respectively. Access is permitted, whereas access is prohibited to the storage areas designated in the privileged mode in each of the safety storage area 1152 and the standard storage area 1154.
  • the standard core 1164 when the standard core 1164 is set to the user mode, when a predetermined command in the application 1164p is executed, access to the storage area specified in the user mode in the standard storage area 1154 is permitted. On the other hand, access is prohibited to the storage area designated in the privileged mode in the standard storage area 1154.
  • the standard core 1164 does not affect the storage area designated as either the privilege mode or the user mode in the safety storage area 1152 regardless of whether the storage mode is set to the privilege mode or the user mode. Also, access is restricted. For example, when the access destination of the standard core 1164 is the safety storage area 1152, exception processing is performed to limit access to the safety storage area 1152 by the standard core 1164.
  • the safety core 1162 accesses the RAM 115 based on a predetermined instruction in the application 1162p, it can access both the safety storage area 1152 and the standard storage area 1154 as shown in FIG.
  • the standard storage area 1154 is accessible as shown in FIG. 6, but the safety storage area 1152 is restricted in access.
  • the safety storage area 1152 for storing data related to safety control is stored. Access by the standard core 1164 can be restricted.
  • the mode that defines permission or prohibition of access to the storage area of the RAM 115 is a privilege mode or a user mode in which access is restricted more than the privilege mode
  • data related to safety control is stored.
  • Access to the safety storage area 1152 by the standard core 1164 can be restricted.
  • the MCU 120b of the control device 100b is restricted from accessing the safety storage area 1252 by the standard core 1264. Since the mode indicating the state of the processor 126 and the access setting to the RAM 125 shown in FIG. 6 are the same as the mode indicating the state of the processor 116 and the access setting to the RAM 115, the description thereof will be omitted.
  • both the safety storage area 1252 and the standard storage area 1254 can be accessed as shown in FIG.
  • the standard storage area 1254 can be accessed while the safety storage area 1252 is restricted as shown in FIG.
  • exception processing is performed to limit access to the safety storage area 1252 by the standard core 1264.
  • the safety storage area 1252 for storing data related to safety control is stored. Access by the standard core 1264 can be restricted.
  • the mode that defines permission or prohibition of access to the storage area of the RAM 125 is a privilege mode or a user mode in which access is restricted more than the privilege mode
  • data related to safety control is stored.
  • Access to the safety storage area 1252 by the standard core 1264 can be restricted.
  • FIG. 7 is a schematic diagram for explaining a third example of the access restriction method in the control device 100c according to the first embodiment.
  • the hardware configuration example of the control device 100c shown in FIG. 7 parts having the same configurations and functions as those of the hardware configuration example of the control device 100 shown in FIG. ..
  • the MCU 110c of the control device 100c includes a monitoring processor 119 connected to the processor 116.
  • the monitoring processor 119 is a coprocessor that assists the processor 116, and is configured with an FPGA (Field Programmable Gate Array), an ASIC (Application Specific Integrated Circuit), or the like.
  • the monitoring processor 119 monitors access to the storage area of the RAM 115 for each of the safety core 1162 and the standard core 1164 included in the processor 116.
  • the monitoring processor 119 is not limited to the one included in the MCU 110c, and may be the one that monitors the processor 116 of the MCU 110c from the outside of the MCU 110c.
  • the monitoring processor 119 permits the safety core 1162 to access the safety storage area 1152, allows the safety core 1162 to access the standard storage area 1154, and allows the standard core 1164 to access the standard storage area 1154. However, access to the safety storage area 1152 by the standard core 1164 is prohibited. For example, when the monitoring processor 119 detects that the access destination of the standard core 1164 is the safety storage area 1152, exception processing is performed to limit the access by the standard core 1164 to the safety storage area 1152.
  • the monitoring processor 119 that monitors the access to the safety storage area 1152 and the standard storage area 1154 by the processor 116 can restrict the access to the safety storage area 1152 by the standard core 1164.
  • the MCU 120c of the control device 100c includes a monitoring processor 129 connected to the processor 126.
  • the monitoring processor 129 is a coprocessor that assists the processor 126, and is configured by an FPGA, ASIC, or the like.
  • the monitoring processor 129 monitors the access to the storage area of the RAM 125 for each of the safety core 1262 and the standard core 1264 included in the processor 126.
  • the monitoring processor 129 is not limited to the one included in the MCU 120c, and may be the one that monitors the processor 126 of the MCU 120c from the outside of the MCU 120c.
  • the monitoring processor 129 allows the safety core 1262 to access the safety storage area 1252, allows the safety core 1262 to access the standard storage area 1254, and allows the standard core 1264 to access the standard storage area 1254.
  • access to the safety storage area 1252 by the standard core 1264 is prohibited.
  • exception processing is performed to limit the access to the safety storage area 1252 by the standard core 1264.
  • the monitoring processor 129 that monitors the access to the safety storage area 1252 and the standard storage area 1254 by the processor 126 can restrict the access to the safety storage area 1252 by the standard core 1264.
  • FIG. 8 is a schematic diagram showing a hardware configuration example of the control device 200 according to the second embodiment.
  • the control device 100 according to the first embodiment shown in FIG. 2 includes a safety core in each of the plurality of MCUs and a standard core in at least one of the plurality of MCUs.
  • the control device 200 according to the second embodiment is different in that a single MCU includes a plurality of safety cores and at least one or more standard cores.
  • the control device 200 includes one MCU 210 and a RAM 215 corresponding to the MCU 210.
  • the number of MCUs and RAMs is not limited to one, and two or more may be provided.
  • the control device 200 also includes a storage 230, a USB controller 240, a memory card interface 250, and a local bus interface 260. These components are connected via the processor bus 205.
  • Each of the storage 230, the USB controller 240, the memory card interface 250, and the local bus interface 260 has the same configuration as the storage 130, the USB controller 140, the memory card interface 150, and the local bus interface 160 shown in FIG. ..
  • the storage 230 includes various programs such as a safety program 232 for safety control created by a user according to a required safety function, and a standard program 234 for standard control created by a user according to a control target. And data are stored.
  • the MCU 210 includes a processor 216, a safety ROM 212, a safety ROM 214, a standard ROM 222, and a standard ROM 224.
  • the processor 216 is a multi-core processor and includes a safety core 2162, a safety core 2164, a standard core 2262, and a standard core 2264.
  • Each of the safety core 2162 and the safety core 2164 is an example of a “first arithmetic unit” and executes a control arithmetic operation related to safety control.
  • Each of the standard core 2262 and the standard core 2264 is an example of a “second arithmetic unit” and executes a control arithmetic operation related to standard control.
  • the safety core 2162 and the safety core 2164 related to the safety control and the standard core 2262 and the standard core 2264 related to the standard control coexist, whereby the safety core and the standard core are separated from each other. Space saving and cost reduction of the device can be achieved as compared with including each in a separate processor.
  • the safety ROM 212 stores a safety system program 2122 for realizing basic functions related to safety control, and is connected to the safety core 2162.
  • the safety ROM 214 stores a safety system program 2142 for realizing basic functions related to safety control, and is connected to the safety core 2164.
  • the standard ROM 222 stores a standard system program 2222 for realizing basic functions related to standard control, and is connected to the standard core 2262.
  • the standard ROM 224 stores a standard system program 2242 for realizing basic functions related to standard control, and is connected to the standard core 2264.
  • the RAM 215 is an example of a “storage unit”.
  • the storage area of the RAM 215 includes a safety storage area 2152 and a standard storage area 2252.
  • the safety storage area 2152 is an example of a “first storage area”, and stores data for executing safety control.
  • the standard storage area 2252 is an example of a “second storage area”, and stores data for executing standard control.
  • the safety core 2162 realizes safety control by reading the safety system program 2122 stored in the safety ROM 212, expanding it in the storage area of the RAM 215, and executing it.
  • the safety core 2164 reads out the safety system program 2142 stored in the safety ROM 214, expands it in the storage area in the RAM 215, and executes it to realize safety control.
  • the standard core 2262 realizes standard control by reading the standard system program 2222 stored in the standard ROM 222, expanding it in the storage area in the RAM 215, and executing it.
  • the standard core 2264 realizes standard control by reading the standard system program 2242 stored in the standard ROM 224, expanding it in the storage area in the RAM 215, and executing it.
  • the safety cores 2162 and 2164 and the standard cores 2262 and 2264 of the processor 216 execute safety control and standard control by accessing the RAM 215.
  • the access from the standard cores 2262 and 2264 to the safety storage area 2152 is restricted from the viewpoint of ensuring safety.
  • the exception processing is performed to limit the access to the safety storage area 2152 by the standard cores 2262 and 2264.
  • FIG. 9 is a schematic diagram for explaining the first example of the access restriction method in the control device 200a according to the second embodiment.
  • parts having the same configurations and functions as those of the hardware configuration example of the control device 200 shown in FIG. 8 will be assigned the same reference numerals and explanation thereof will be omitted. ..
  • the first access restriction method in the control device 100a according to the first embodiment shown in FIGS the first access restriction method in the control device 100a according to the first embodiment shown in FIGS. The description of the parts having the same configurations and functions as those of the above example will be omitted.
  • the MCU 210 a of the control device 200 a includes MMUs 2172, 2174, 2272, 2274 connected to the processor 216.
  • the MMU 2172 is connected to the safety core 2162
  • the MMU 2174 is connected to the safety core 2164
  • the MMU 2272 is connected to the standard core 2262
  • the MMU 2274 is connected to the standard core 2264.
  • the MMUs 2172, 2174, 2272 and 2274 have a memory protection function and prevent the core in the processor 216 from accessing a storage area that is not allocated to itself.
  • the conversion table 600 shown in FIG. 4 is set at startup, and the control device 200a uses this conversion table 600 to access the safety storage area 2152 by the standard cores 2262 and 2264. Restrict.
  • the conversion table 600 set in the MMUs 2272 and 2274 access by the standard cores 2262 and 2264 to the virtual address range for safety control is restricted, and as a result, the safety control in the RAM 215 corresponding to the virtual address range is performed. Access by the standard cores 2262 and 2264 to the physical address range (that is, the safety storage area 2152) is restricted. As a result, based on the conversion table 600 that defines permission or prohibition of access to the physical address of the RAM 215, it is possible to restrict access by the standard cores 2262 and 2264 to the safety storage area 2152 that stores data related to safety control.
  • FIG. 10 is a schematic diagram for explaining a second example of the access restriction method in the control device 200b according to the second embodiment.
  • the hardware configuration example of the control device 200b shown in FIG. 10 parts having the same configurations and functions as those of the hardware configuration example of the control device 200 shown in FIG. . .
  • the second access restriction method in the control device 100b according to the first embodiment shown in FIGS. The description of the parts having the same configurations and functions as those of the above example will be omitted.
  • FIG. 10 as in the example shown in FIG.
  • a RAM is illustrated as an example of the “storage unit”, but the “storage unit” is not limited to a volatile memory such as a RAM. Instead, a non-volatile memory such as a ROM may be applied, and any storage medium may be applied as long as it includes a storage area for storing data related to safety control and data related to standard control. ..
  • the MCU 210b of the control device 200b is restricted from accessing the safety storage area 2152 by the standard cores 2262 and 2264.
  • a privilege mode and a user mode are provided for each of the safety cores 2162 and 2164 and the standard cores 2262 and 2264. ing. Also in the access setting to the RAM 215, the privilege mode and the user mode are designated in the safety storage area 2152 and the standard storage area 2252, respectively.
  • the privileged mode is an example of the “first mode”
  • the user mode is an example of the “second mode”.
  • the privilege mode is designated when a predetermined instruction in the application 2162p, 2164p, 2262p, 2264p is executed. Access to the storage area is prohibited. That is, when the user mode is set, access is more restricted than when the privilege mode is set.
  • both the safety storage area 2152 and the standard storage area 2252 can be accessed as shown in FIG.
  • the standard cores 2262 and 2264 access the RAM 215 based on the same predetermined instruction in the applications 2262p and 2264p
  • the standard storage area 2252 is accessible as shown in FIG. Access is restricted.
  • the safety cores 2162 and 2164 access based on a predetermined instruction
  • the standard cores 2262 and 2264 access based on the same predetermined instruction
  • the safety that stores data related to safety control is stored.
  • Access to the storage area 2152 by the standard cores 2262 and 2264 can be restricted.
  • FIG. 11 is a schematic diagram for explaining a third example of the access restriction method in the control device 200c according to the second embodiment.
  • the hardware configuration example of the control device 200c shown in FIG. 11 parts having the same configurations and functions as those in the hardware configuration example of the control device 200 shown in FIG. . .
  • the third example of the access restriction method in the control device 100c according to the first embodiment illustrated in FIG. Descriptions of parts having the same configurations and functions are omitted.
  • the MCU 210c of the control device 200c includes a monitoring processor 219 connected to the processor 216.
  • the monitoring processor 219 is a coprocessor that assists the processor 216, and is configured by an FPGA, ASIC, or the like.
  • the monitoring processor 219 monitors the access to the storage area of the RAM 215 for each of the safety cores 2162 and 2164 and the standard cores 2262 and 2264 included in the processor 216.
  • the monitoring processor 219 is not limited to the one included in the MCU 210c, and may be the one that monitors the processor 216 of the MCU 210c from the outside of the MCU 210c.
  • the monitoring processor 219 permits the safety cores 2162 and 2164 to access the safety storage area 2152, allows the safety cores 2162 and 2164 to access the standard storage area 2252, and allows the standard core 2262 to access the standard storage area 2252. , 2264 are permitted, and access to the safety storage area 2152 by the standard cores 2262, 2264 is prohibited.
  • exception processing is performed to limit the access to the safety storage area 2152 by the standard cores 2262 and 2264. R.
  • the access by the standard cores 2262 and 2264 to the safety storage area 2152 can be restricted by the monitoring processor 219 that monitors the access to the safety storage area 2152 and the standard storage area 2252 by the processor 216.
  • a plurality of microcontroller units (MCU) (110, 120) are provided,
  • the first arithmetic unit is a processor core (1162, 1262) that executes the safety control
  • the second arithmetic unit is a processor core (1164) that executes the standard control
  • Each of the plurality of microcontroller units includes a processor core (116) that performs the safety control
  • the first arithmetic unit is a processor core (2162, 2164) that executes the safety control
  • the second arithmetic unit is a processor core (2262, 2264) that executes the standard control
  • the first arithmetic unit can access any of the memory addresses of the first storage area and the second storage area based on the data table,
  • the first arithmetic unit is capable of accessing both the first storage area and the second storage area based on a predetermined instruction, Any one of Configuration 1 to Configuration 4, wherein the second arithmetic unit can access the second storage area based on the predetermined instruction, while access is restricted to the first storage area.
  • Control device 100b, 200b).
  • a first mode and a second mode in which access is more restricted than the first mode are provided as modes for defining permission and prohibition of access to the storage unit.
  • the second arithmetic unit is configured to control access to the first storage area regardless of whether the mode is the first mode or the second mode, and the control device (100b, 200b) according to Configuration 6. ..
  • the first arithmetic unit is a processor core (1162, 1262, 2162, 2164) that executes the safety control
  • the second arithmetic unit is a processor core (1164, 1264, 2164, 2264) that executes the standard control, Accessing the first storage area and the second storage area by the processor as a coprocessor that assists a processor (116, 126, 216) including a processor core that executes the standard control and a processor core that executes the safety control
  • a monitoring processor (119, 129, 219) for monitoring
  • the second arithmetic unit is a control device (100c, 200c) according to any one of configurations 1 to 4, wherein access to the first storage area is restricted by the monitoring processor.
  • control device 100 even when first calculation unit 101 that executes safety control and second calculation unit 102 that executes standard control coexist, second calculation unit 102 does not Since access to the first storage area 1031 related to safety control is restricted, safety can be ensured without affecting the safety control by the second calculation unit 102 that executes standard control.
  • 100, 100a, 100b, 100c, 200, 200a, 200b, 200c control device 101 first arithmetic unit, 102 second arithmetic unit, 103 storage unit, 1051, 1052, 205 processor bus, 110, 120, 110a, 120a, 110b, 120b, 110c, 120c, 210 MCU, 112, 122, 212, 214 Safety ROM, 114, 124, 222, 224 Standard ROM, 115, 125, 215 RAM, 116, 126, 216 Processor, 119, 129, 219 Monitoring processor, 130,230 storage, 132,232 safety program, 134,234 standard program, 140,240 USB controller, 150,250 memory card interface, 160,260 local bus interface, 300 safety device, 410 safety relay, 420 driver 430 drive device, 500 support device, 600 conversion table, 1031 first storage area, 1032 second storage area, 1053 bridge, 1122, 1222, 2122, 2142 safety system program, 1142, 1242, 2222, 2242 standard

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Human Computer Interaction (AREA)
  • Quality & Reliability (AREA)
  • Computer Hardware Design (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Storage Device Security (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

制御装置（１００）は、駆動装置（４３０）に関してセーフティ制御を実行する第１演算部（１０１）と、駆動装置（４３０）に関して標準制御を実行する第２演算部（１０２）と、第１演算部（１０１）および第２演算部（１０２）のいずれからもアクセス可能であって、セーフティ制御に係るデータを記憶する第１記憶領域（１０３１）と、標準制御に係るデータを記憶する第２記憶領域（１０３２）とを含む記憶部（１０３）とを備え、第１演算部（１０１）は、第１記憶領域（１０３１）および第２記憶領域（１０３２）のいずれにもアクセス可能である一方で、第２演算部（１０２）は、第２記憶領域（１０３２）にアクセス可能であるのに対して第１記憶領域（１０３１）についてはアクセス制限されている。

Description

制御装置
　本発明は、制御装置に関し、より特定的には駆動装置を制御する制御装置に関する。
　近年、様々な生産現場において、設備や機械を安全に使用するために、駆動装置に関して標準的な制御を行う演算部の他に、安全を担保する観点から駆動装置に関してセーフティな制御を行う演算部を備える制御装置が知られている。
　たとえば、国際公開第２０１５／１４５５６２号（特許文献１）においては、駆動装置に関する駆動制御を行う駆動ＣＰＵ（Central　Processing　Unit）と、駆動装置に関する安全制御を行う安全ＣＰＵとの両方を備えるコントローラが開示されている。また、特許文献１においては、駆動ＣＰＵと安全ＣＰＵとをデュアルコアプロセッサで実現してもよいことも開示されている。
国際公開第２０１５／１４５５６２号
　特許文献１に開示されたコントローラのように、駆動ＣＰＵと安全ＣＰＵとをデュアルコアプロセッサで実現することができれば、装置の省スペース化および低コスト化を図ることが可能である。しかしながら、標準制御を行う演算部と、セーフティ制御を行う演算部とが共存した場合、特にセーフティ制御によって用いられるデータを保護する観点から安全を担保するための工夫が必要となるが、特許文献１に記載のコントローラにおいては何ら考慮されていなかった。
　本発明は、上述したような課題を解決することを一つの目的とし、標準制御を行う演算部とセーフティ制御を行う演算部とが共存する場合であっても安全を担保することができる制御装置を提供する。
　本開示の一例に従えば、駆動装置を制御する制御装置が提供される。制御装置は、駆動装置に関してセーフティ制御を実行する第１演算部と、駆動装置に関して標準制御を実行する第２演算部と、第１演算部および第２演算部のいずれからもアクセス可能であって、セーフティ制御に係るデータを記憶する第１記憶領域と、標準制御に係るデータを記憶する第２記憶領域とを含む記憶部とを備える。第１演算部は、第１記憶領域および第２記憶領域のいずれにもアクセス可能である一方で、第２演算部は、第２記憶領域にアクセス可能であるのに対して第１記憶領域についてはアクセス制限されている。
　この開示によれば、セーフティ制御を実行する第１演算部と標準制御を実行する第２演算部とが共存する場合であっても、第２演算部は、セーフティ制御に係るデータを記憶する第１記憶領域についてはアクセス制限されているため、標準制御を実行する第２演算部によってセーフティ制御に影響を与えることがなく、安全を担保することができる。
　上述の開示において、制御装置は、複数のマイクロコントローラユニット（ＭＣＵ）を備える。第１演算部は、セーフティ制御を実行するプロセッサコアであり、第２演算部は、標準制御を実行するプロセッサコアである。複数のマイクロコントローラユニットのそれぞれは、セーフティ制御を実行するプロセッサコアを含み、複数のマイクロコントローラユニットの少なくともいずれか一方は、標準制御を実行するプロセッサコアを含む。
　この開示によれば、単一のマイクロコントローラユニット内にセーフティ制御を実行するプロセッサコアと標準制御を実行するプロセッサコアとを共存させることで、装置の省スペース化および低コスト化を図ることができる。
　上述の開示において、複数のマイクロコントローラユニットのそれぞれに含まれるセーフティ制御を実行するプロセッサコア間においては、相互監視が行われる。
　この開示によれば、セーフティ制御を実行する複数のプロセッサコア間において相互監視が行われることで、より安全を担保することができる。
　上述の開示において、制御装置は、マイクロコントローラユニット（ＭＣＵ）を備える。第１演算部は、セーフティ制御を実行するプロセッサコアであり、第２演算部は、標準制御を実行するプロセッサコアである。マイクロコントローラユニットは、セーフティ制御を実行するプロセッサコアを複数含むとともに、標準制御を実行するプロセッサコアを少なくとも１つ以上含む。
　この開示によれば、単一のマイクロコントローラユニット内にセーフティ制御を実行するプロセッサコアと標準制御を実行するプロセッサコアとを共存させることで、装置の省スペース化および低コスト化を図ることができる。
　上述の開示において、制御装置は、記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブルを備える。第１演算部は、データテーブルに基づき、第１記憶領域および第２記憶領域のいずれのメモリアドレスにもアクセス可能である一方で、第２演算部は、第２記憶領域のメモリアドレスにアクセス可能であるのに対して第１記憶領域のメモリアドレスについてはアクセス制限されている。
　この開示によれば、記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブルに基づき、セーフティ制御に係るデータを記憶する第１記憶領域に対する第２演算部によるアクセスを制限することができる。
　上述の開示において、第１演算部は、所定の命令に基づいて、第１記憶領域および第２記憶領域のいずれにもアクセス可能である一方で、第２演算部は、所定の命令に基づいて、第２記憶領域にアクセス可能であるのに対して第１記憶領域についてはアクセス制限されている。
　この開示によれば、第１演算部が所定の命令に基づいてアクセスした場合と異なり、第２演算部が所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶する第１記憶領域に対する第２演算部によるアクセスを制限することができる。
　上述の開示において、記憶部に対するアクセスの許可および禁止を規定するモードとして、第１モードと、当該第１モードよりもアクセスが制限されている第２モードとが設けられている。第２演算部は、モードが第１モードおよび第２モードのいずれであるかに関わらず、第１記憶領域についてはアクセス制限されている。
　この開示によれば、記憶部に対するアクセスの許可および禁止を規定するモードが第１モード、および当該第１モードよりもアクセスが制限されている第２モードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶する第１記憶領域に対するアクセスを制限することができる。
　上述の開示において、第１演算部は、セーフティ制御を実行するプロセッサコアであり、第２演算部は、標準制御を実行するプロセッサコアである。制御装置は、標準制御を実行するプロセッサコアおよびセーフティ制御を実行するプロセッサコアを含むプロセッサを補助するコプロセッサとして、当該プロセッサによる第１記憶領域および第２記憶領域に対するアクセスを監視する監視プロセッサをさらに備える。第２演算部は、監視プロセッサによって、第１記憶領域に対してアクセス制限されている。
　この開示によれば、第１演算部および第２演算部を含むプロセッサによる第１記憶領域および第２記憶領域に対するアクセスを監視する監視プロセッサによって、セーフティ制御に係るデータを記憶する第１記憶領域に対する第２演算部によるアクセスを制限することができる。
本実施の形態に係る制御装置の適用例を示す模式図である。 第１実施形態に係る制御装置のハードウェア構成例を示す模式図である。 第１実施形態に係る制御装置におけるアクセス制限方法の第１の例を説明するための模式図である。 第１実施形態に係る制御装置におけるアクセス制限方法の第１の例を説明するための模式図である。 第１実施形態に係る制御装置におけるアクセス制限方法の第２の例を説明するための模式図である。 第１実施形態に係る制御装置におけるアクセス制限方法の第２の例を説明するための模式図である。 第１実施形態に係る制御装置におけるアクセス制限方法の第３の例を説明するための模式図である。 第２実施形態に係る制御装置のハードウェア構成例を示す模式図である。 第２実施形態に係る制御装置におけるアクセス制限方法の第１の例を説明するための模式図である。 第２実施形態に係る制御装置におけるアクセス制限方法の第２の例を説明するための模式図である。 第２実施形態に係る制御装置におけるアクセス制限方法の第３の例を説明するための模式図である。
　本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。
　［Ａ．適用例］
　本発明が適用される場面の一例について説明する。
　図１は、本実施の形態に係る制御装置１００の適用例を示す模式図である。本実施の形態に係る制御システム１は、たとえば、ＩＥＣ　６１５０８などに規定されたセーフティ機能を提供する。制御システム１は、主に、制御装置１００と、セーフティデバイス３００と、駆動装置４３０とを備える。
　制御装置１００は、典型的には、プログラマブルコントローラ（Programmable　Logic　Controller：ＰＬＣ）などで構成され、制御対象から取得された入力データに関して予め定められたユーザプログラムを実行し、ユーザプログラムの実行によって算出される出力データに応じて制御対象に指令を与える。図１に示す例では、制御対象には、駆動装置４３０と、駆動装置４３０を駆動するドライバ４２０とが含まれる。
　たとえば、制御装置１００は、所定の駆動条件が成立したときに、駆動装置４３０を制御するための標準指令をドライバ４２０に出力することで、駆動装置４３０を駆動させたり停止させたりする。また、制御装置１００は、駆動装置４３０からのフィードバック信号などに基づいて、駆動装置４３０の位置や速度などを制御する。なお、駆動装置４３０は、ドライバ４２０によって駆動するサーボモータを想定するが、サーボモータに限らず、他の種類の駆動装置であってもよい。本実施の形態においては、このような制御装置１００による駆動装置４３０およびドライバ４２０に対する制御を「標準制御」とも称する。
　制御装置１００は、上述した標準制御に加えて、制御システム１における作業者の安全を担保するための制御を行う。
　たとえば、制御装置１００は、セーフティデバイス３００（非常停止スイッチ、セーフティドアスイッチ、セーフティライトカーテンなど）からのセーフティ入力を受け付けたときに、セーフティ指令をセーフティリレー４１０に出力する。セーフティリレー４１０は、ドライバ４２０に対する電力供給ライン上に配置されており、制御装置１００からのセーフティ指令に基づいて、電力供給を遮断するための制御を行う。これにより、ドライバ４２０に対する電力供給が遮断されるため、駆動装置４３０が停止する。このような制御装置１００によるセーフティリレー４１０を介した駆動装置４３０およびドライバ４２０に対する制御を「セーフティ制御」とも称する。なお、制御装置１００は、セーフティ制御として、駆動装置４３０に対する電力を調整することで、駆動装置４３０の位置や速度などを制御してもよい。
　制御装置１００が実行する標準制御およびセーフティ制御のそれぞれに係るユーザプログラムは、制御装置１００と通信可能に接続されたサポート装置５００から制御装置１００に提供される。
　制御装置１００は、駆動装置４３０に関して上述したセーフティ制御を実行する第１演算部１０１と、駆動装置４３０に関して上述した標準制御を実行する第２演算部１０２とを備える。さらに、制御装置１００は、第１演算部１０１および第２演算部１０２のいずれからもアクセス可能であって、セーフティ制御に係るデータを記憶する第１記憶領域１０３１と、標準制御に係るデータを記憶する第２記憶領域１０３２とを含む記憶部１０３を備える。
　「第１演算部」および「第２演算部」は、所定のプロセッサに含まれるプロセッサコアであってもよいし、プロセッサあるいはＣＰＵそのものであってもよい。また、「第１演算部」および「第２演算部」は、その両方が単一のプロセッサに含まれるプロセッサコアであってもよいし、複数のプロセッサのそれぞれに含まれるプロセッサコアであってもよい。
　本明細書において、「標準制御」および「セーフティ制御」の用語を対比的に用いる。「標準制御」は、予め定められた要求仕様に沿って、駆動装置４３０などの制御対象を制御するための処理の総称である。一方、「セーフティ制御」は、制御システム１における設備や機械などによって人の安全が脅かされることを防止するための処理を総称する。「セーフティ制御」は、ＩＥＣ　６１５０８などに規定されたセーフティ機能を実現するための要件を満たすように設計される。
　このように構成された制御装置１００において、第１演算部１０１は、セーフティ制御に係るデータを記憶する第１記憶領域１０３１、および標準制御に係るデータを記憶する第２記憶領域１０３２のいずれにもアクセス可能であり、これらの記憶領域にアクセスすることで、セーフティ制御を実行する。
　ここで、上述したように、セーフティ制御はＩＥＣ　６１５０８などに規定されており、制御装置１００のメーカ側で予めセーフティ制御に係るプログラムやデータが設計されている。このため、標準制御に係るプログラムやデータに基づき、第２演算部１０２によって第１記憶領域１０３１にアクセスされてしまうと、安全を担保することができないおそれがある。そこで、本実施の形態に係る制御装置１００においては、第２演算部１０２は、標準制御に係るデータを記憶する第２記憶領域１０３２についてはアクセス可能であるのに対して、セーフティ制御に係るデータを記憶する第１記憶領域１０３１についてはアクセス制限されている。たとえば、制御装置１００においては、第２演算部１０２のアクセス先が第１記憶領域１０３１である場合、例外処理が行われることで、第２演算部１０２による第１記憶領域１０３１に対するアクセスが制限される。
　これにより、セーフティ制御を実行する第１演算部１０１と標準制御を実行する第２演算部１０２とが共存する場合であっても、第２演算部１０２は、セーフティ制御に係るデータを記憶する第１記憶領域１０３１についてはアクセス制限されているため、標準制御を実行する第２演算部１０２によって第１記憶領域１０３１に格納されたセーフティ制御に係るデータに影響を与えることがなく、安全を担保すことができる。
　［Ｂ．第１実施形態］
　第１実施形態に係る制御装置１００について説明する。
　＜ａ１．制御装置のハードウェア構成例＞
　図２は、第１実施形態に係る制御装置１００のハードウェア構成例を示す模式図である。図２に示すように、制御装置１００は、複数のマイクロコントローラユニット（Microcontroller　Unit：ＭＣＵ）と、当該複数のＭＣＵのそれぞれに対応する複数のＲＡＭ（Random　access　memory）とを備える。本実施の形態においては、制御装置１００は、ＭＣＵ１１０およびＭＣＵ１２０と、ＭＣＵ１１０に対応するＲＡＭ１１５と、ＭＣＵ１２０に対応するＲＡＭ１２５とを備える。なお、ＭＣＵおよびＲＡＭは、２つに限らず、３つ以上設けられてもよい。
　また、制御装置１００は、ストレージ１３０と、ＵＳＢコントローラ１４０と、メモリカードインターフェイス１５０と、ローカルバスインターフェイス１６０とを備える。これらのコンポーネントは、ブリッジ１０５３を介してプロセッサバス１０５１，１０５２に接続されている。ＭＣＵ１１０は、プロセッサバス１０５１に接続され、ＭＣＵ１２０は、プロセッサバス１０５２に接続されている。
　ストレージ１３０は、要求されるセーフティ機能に応じてユーザによって作成されたセーフティ制御に係るセーフティプログラム１３２、および制御対象に応じてユーザによって作成された標準制御に係る標準プログラム１３４など、各種のプログラムやデータを格納する。
　ＵＳＢコントローラ１４０は、ＵＳＢ接続を介して、サポート装置５００などとの間でデータを遣り取りする。
　メモリカードインターフェイス１５０は、受け付けたメモリカードに対してデータを書き込み、メモリカードから各種データ（ログやトレースデータなど）を読み出すように構成されている。
　ローカルバスインターフェイス１６０は、ローカルバスを介して、制御装置１００に接続されたセーフティリレー４１０、ドライバ４２０、およびセーフティデバイス３００などの任意のデバイスとの間でデータを遣り取りする。
　ＭＣＵ１１０は、プロセッサ１１６と、セーフティＲＯＭ（Read　Only　Memory）１１２と、標準ＲＯＭ１１４とを含む。
　プロセッサ１１６は、マルチコアプロセッサであり、セーフティコア１１６２と、標準コア１１６４とを含む。セーフティコア１１６２は、「第１演算部」の一例であり、セーフティ制御に係る制御演算を実行する。標準コア１１６４は、「第２演算部」の一例であり、標準制御に係る制御演算を実行する。このように、単一のプロセッサ１１６内において、セーフティ制御に係るセーフティコア１１６２と、標準制御に係る標準コア１１６４とを共存させることで、装置の省スペース化および低コスト化を図ることができる。
　セーフティＲＯＭ１１２は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム１１２２を格納し、セーフティコア１１６２に接続されている。
　標準ＲＯＭ１１４は、標準制御に係る基本的な機能を実現するための標準システムプログラム１１４２を格納し、標準コア１１６４に接続されている。
　ＭＣＵ１２０は、プロセッサ１２６と、セーフティＲＯＭ１２２と、標準ＲＯＭ１２４とを含む。
　プロセッサ１２６は、マルチコアプロセッサであり、セーフティコア１２６２と、標準コア１２６４とを含む。セーフティコア１２６２は、「第１演算部」の一例であり、セーフティ制御に係る制御演算を実行する。標準コア１２６４は、「第２演算部」の一例であり、標準制御に係る制御演算を実行する。
　このように、単一のプロセッサ１２６内において、セーフティ制御に係るセーフティコア１２６２と、標準制御に係る標準コア１２６４とを共存させることで、セーフティコアと標準コアとを別々のプロセッサにそれぞれ含めるよりも、装置の省スペース化および低コスト化を図ることができる。
　セーフティＲＯＭ１２２は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム１２２２を格納し、セーフティコア１２６２に接続されている。
　標準ＲＯＭ１２４は、標準制御に係る基本的な機能を実現するための標準システムプログラム１２４２を格納し、標準コア１２６４に接続されている。
　プロセッサ１１６と、プロセッサ１２６との間においては、クロスコミュニケーションによってその動作や状態が相互に監視されるように制御装置１００が構成されている。これより、プロセッサ１１６およびプロセッサ１２６のうちのいずれかに異常が生じた場合でも、その異常が検出される。
　たとえば、プロセッサ１１６およびプロセッサ１２６のそれぞれは、プログラムを並列的に実行する。また、プロセッサ１１６およびプロセッサ１２６のそれぞれは、図示しないウォッチドッグタイマを有している。プロセッサ１１６は、自身が有するウォッチドッグタイマを定期的にリセットし、プロセッサ１２６も、自身が有するウォッチドッグタイマを定期的にリセットする。プロセッサ１１６は、プロセッサ１２６によってウォッチドッグタイマが定期的にリセットされているかを監視し、プロセッサ１２６は、プロセッサ１１６によってウォッチドッグタイマが定期的にリセットされているかを監視することで、プロセッサ間で異常の有無を相互監視するようになっている。
　また、たとえば、プロセッサ１１６およびプロセッサ１２６のそれぞれは、プログラムを並列的に実行する際に、そのプログラムの実行に係る制御演算の計算結果を相互に確認し合うことで、プロセッサ間で異常の有無を相互監視するようになっている。すなわち、一方のプロセッサに何らかの異常が生じて制御演算の計算結果が不正確となると、他方のプロセッサにおける制御演算の計算結果と一致しなくなるため、他方のプロセッサは、計算結果が一致しないことを検出することで、一方のプロセッサに異常が生じたことを検出することができる。
　このように、セーフティ制御を実行する複数のセーフティコア１１６２およびセーフティコア１２６２間において相互監視が行われることで、より安全を担保することができる。
　制御装置１００は、異常が生じたプロセッサについては、電力供給を遮断するなどの処理を行うことで、異常が生じた状態でセーフティ制御が実行されることを防止する。このように、独立して設けられた複数のプロセッサ１１６，１２６は、動作や状態を相互に監視することで、異常の発生を検出することができる。特に、セーフティコア１１６２，１２６２は、安全を担保するためのセーフティ制御を実行するものであるため、相互に監視することで、より安全レベルを高めることができる。
　ＲＡＭ１１５は、「記憶部」の一例である。ＲＡＭ１１５の記憶領域には、セーフティ記憶領域１１５２と、標準記憶領域１１５４とが含まれる。セーフティ記憶領域１１５２は、「第１記憶領域」の一例であり、セーフティ制御を実行するためのデータを格納する。標準記憶領域１１５４は、「第２記憶領域」の一例であり、標準制御を実行するためのデータを格納する。
　プロセッサ１１６のセーフティコア１１６２は、セーフティＲＯＭ１１２に格納されたセーフティシステムプログラム１１２２を読み出し、ＲＡＭ１１５内の記憶領域に展開して実行することで、セーフティ制御を実現する。同様に、プロセッサ１１６の標準コア１１６４は、標準ＲＯＭ１１４に格納された標準システムプログラム１１４２を読み出し、ＲＡＭ１１５内の記憶領域に展開して実行することで、標準制御を実現する。
　このように、プロセッサ１１６のセーフティコア１１６２および標準コア１１６４は、ＲＡＭ１１５にアクセスすることでセーフティ制御や標準制御を実行するが、セーフティコア１１６２から標準記憶領域１１５４に対してはアクセスが許可されている一方で、安全を担保する観点から、標準コア１１６４からセーフティ記憶領域１１５２に対してはアクセスが制限されている。たとえば、制御装置１００においては、標準コア１１６４のアクセス先がセーフティ記憶領域１１５２である場合、例外処理が行われることで、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスが制限される。
　これにより、標準コア１１６４によるアクセスによってセーフティ記憶領域１１５２に格納されたセーフティ制御に係るデータに何らかの異常が生じることを防止することができ、安全を担保することができる。
　ＲＡＭ１２５は、「記憶部」の一例である。ＲＡＭ１２５の記憶領域には、セーフティ記憶領域１２５２と、標準記憶領域１２５４とが含まれる。セーフティ記憶領域１２５２は、「第１記憶領域」の一例であり、セーフティ制御を実行するためのデータが格納される。標準記憶領域１２５４は、「第２記憶領域」の一例であり、標準制御を実行するためのデータが格納される。
　プロセッサ１２６のセーフティコア１２６２は、セーフティＲＯＭ１２２に格納されたセーフティシステムプログラム１２２２を読み出し、ＲＡＭ１２５内の記憶領域に展開して実行することで、セーフティ制御を実現する。同様に、プロセッサ１２６の標準コア１２６４は、標準ＲＯＭ１２４に格納された標準システムプログラム１２４２を読み出し、ＲＡＭ１２５内の記憶領域に展開して実行することで、標準制御を実現する。
　このように、プロセッサ１２６のセーフティコア１２６２および標準コア１２６４は、ＲＡＭ１２５にアクセスすることでセーフティ制御や標準制御を実行するが、セーフティコア１２６２から標準記憶領域１２５４に対してはアクセスが許可されている一方で、安全を担保する観点から、標準コア１２６４からセーフティ記憶領域１２５２に対してはアクセスが制限されている。たとえば、制御装置１００においては、標準コア１２６４のアクセス先がセーフティ記憶領域１２５２である場合、例外処理が行われることで、標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスが制限される。
　これにより、標準コア１２６４によるアクセスによってセーフティ記憶領域１２５２に格納されたセーフティ制御に係るデータに何らかの異常が生じることを防止することができ、安全を担保することができる。
　＜ｂ１．制御装置におけるアクセス制限方法の第１の例＞
　図３および図４は、第１実施形態に係る制御装置１００ａにおけるアクセス制限方法の第１の例を説明するための模式図である。なお、図３に示す制御装置１００ａのハードウェア構成例においては、図２に示す制御装置１００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。
　図３に示すように、制御装置１００ａのＭＣＵ１１０ａは、プロセッサ１１６に接続されたＭＭＵ（Memory　Management　Unit）１１７を含む。ＭＭＵ１１７は、メモリ保護機能を有しており、プロセッサ１１６内のコアが自身に割り当てられていない記憶領域にアクセスすることを防ぐ。具体的には、ＭＭＵ１１７においては、図４に示す変換テーブル６００が起動時に設定され、制御装置１００ａは、この変換テーブル６００を利用して標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを制限する。
　たとえば、標準ＲＯＭ１１４には、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを制限するための制限データ１１４４が含まれる。ＭＣＵ１１０ａの起動時において、この制限データ１１４４がＭＭＵ１１７に設定されることで、標準コア１１６４に対応する変換テーブル６００が構築される。なお、図示は省略するが、セーフティＲＯＭ１１２においても変換テーブル６００を構築するためのデータが格納されており、当該データがＭＣＵ１１０ａの起動時にＭＭＵ１１７に設定されることで、セーフティコア１１６２に対応する変換テーブル６００が構築される。
　変換テーブル６００は、「データテーブル」の一例であり、図４に示すように、セーフティコア１１６２および標準コア１１６４のいずれの種別であるかを特定するための属性情報と、ＲＡＭ１１５の物理アドレスに変換される仮想アドレスとを含む。
　たとえば、ＲＡＭ１１５の物理アドレスは、システム用の物理アドレス範囲１（たとえば、００００～３ＦＦＦ）と、セーフティ制御用の物理アドレス範囲２（たとえば、４０００～４ＦＦＦ）と、標準制御用の物理アドレス範囲３（たとえば、５０００～５ＦＦＦ）と、セーフティ制御用の物理アドレス範囲４（たとえば、６０００～６ＦＦＦ）と、標準制御用の物理アドレス範囲５（たとえば、７０００～７ＦＦＦ）とに分割されている。セーフティ制御用の物理アドレス範囲２および物理アドレス範囲４は、セーフティ記憶領域１１５２に対応するアドレス範囲である。標準制御用の物理アドレス範囲３および物理アドレス範囲５は、標準記憶領域１１５４に対応するアドレス範囲である。
　変換テーブル６００の仮想アドレスは、システム分のアドレス範囲を除いており、セーフティ制御用の仮想アドレス範囲１（たとえば、００００～０ＦＦＦ）と、標準制御用の仮想アドレス範囲２（たとえば、１０００～１ＦＦＦ）と、セーフティ制御用の仮想アドレス範囲３（たとえば、２０００～２ＦＦＦ）と、標準制御用の仮想アドレス範囲４（たとえば、３０００～３ＦＦＦ）とに分割されている。仮想アドレス範囲１は物理アドレス範囲２に、仮想アドレス範囲２は物理アドレス範囲３に、仮想アドレス範囲３は物理アドレス範囲４に、仮想アドレス範囲４は物理アドレス範囲５に、それぞれ変換可能である。
　セーフティコア１１６２および標準コア１１６４のそれぞれは、変換テーブル６００に割り当てられた仮想アドレスにアクセスすることで、ＲＡＭ１１５の物理アドレスにアクセスすることができる。
　ここで、仮想アドレスは、セーフティコア１１６２および標準コア１１６４のそれぞれについて、アクセスの許可または禁止が設定されている。たとえば、セーフティコア１１６２は、セーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３に限らず、標準制御用の仮想アドレス範囲２についてもアクセスが許可されている。一方、標準コア１１６４は、標準制御用の仮想アドレス範囲２および仮想アドレス範囲４についてはアクセスが許可されているのに対して、セーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３についてはアクセスが禁止（制限）されている。
　このように、ＭＭＵ１１７において設定される変換テーブル６００においては、標準コア１１６４によるセーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３に対するアクセスが制限されるため、仮想アドレス範囲１および仮想アドレス範囲３に対応するＲＡＭ１１５におけるセーフティ制御用の物理アドレス範囲２および物理アドレス範囲４（すなわち、セーフティ記憶領域１１５２）に対する標準コア１１６４によるアクセスも制限される。これにより、ＲＡＭ１１５の物理アドレスに対するアクセスの許可および禁止を規定する変換テーブル６００に基づき、セーフティ制御に係るデータを記憶するセーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスを制限することができる。
　同様に、制御装置１００ａのＭＣＵ１２０ａは、プロセッサ１２６に接続されたＭＭＵ１２７を含む。ＭＭＵ１２７は、ＭＭＵ１１７と同様に、メモリ保護機能を有しており、プロセッサ１２６内のコアが自身に割り当てられていない記憶領域にアクセスすることを防ぐ。具体的には、ＭＭＵ１２７においては、ＭＭＵ１１７と同様に、図４に示す変換テーブル６００が起動時に設定され、制御装置１００ａは、この変換テーブル６００を利用して標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスを制限する。なお、ＭＭＵ１２７の変換テーブル６００は、ＭＭＵ１１７の変換テーブル６００と同様の構成および機能を有するため、その説明を省略する。
　このように、ＭＭＵ１２７において設定される変換テーブル６００においては、セーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３に対する標準コア１２６４によるアクセスが制限されるため、仮想アドレス範囲１および仮想アドレス範囲３に対応するＲＡＭ１２５におけるセーフティ制御用の物理アドレス範囲２および物理アドレス範囲４（すなわち、セーフティ記憶領域１２５２）に対する標準コア１２６４によるアクセスが制限されている。これにより、ＲＡＭ１２５の物理アドレスに対するアクセスの許可および禁止を規定する変換テーブル６００に基づき、セーフティ制御に係るデータを記憶するセーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。
　なお、図３および図４に示すアクセス制限方法の第１の例においては、セーフティコアと標準コアとで共通の変換テーブル６００を用い、属性情報に基づきアクセスの許可または禁止を設定していたが、セーフティコア用の変換テーブル６００と標準コア用の変換テーブル６００とを設けてもよい。
　また、図３および図４に示すアクセス制限方法の第１の例においては、ＭＭＵを採用したが、ＭＭＵと同様にメモリ保護機能を有するＭＰＵ（Memory　Protection　Unit）を採用してもよい。なお、ＭＰＵにおいては、仮想アドレスから物理アドレスへの変換を行わないため、物理アドレスに対応するアドレス範囲ごとに、セーフティコアおよび標準コアのそれぞれについて、アクセスの許可または禁止を設定すればよい。
　＜ｃ１．制御装置におけるアクセス制限方法の第２の例＞
　図５および図６は、第１実施形態に係る制御装置１００ｂにおけるアクセス制限方法の第２の例を説明するための模式図である。なお、図５に示す制御装置１００ｂのハードウェア構成例においては、図２に示す制御装置１００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図６においては、「記憶部」の一例としてＲＡＭを例示しているが、「記憶部」に対してはＲＡＭなどの揮発性メモリに限らず、ＲＯＭなどの不揮発性メモリを適用してもよく、その他、セーフティ制御に係るデータや標準制御に係るデータを記憶する記憶領域を含むものであれば、いずれの記憶媒体を適用してもよい。
　図５および図６に示すように、制御装置１００ｂのＭＣＵ１１０ｂは、セーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスが制限されている。
　具体的には、図６に示すように、プロセッサ１１６の状態を示すモードとして、セーフティコア１１６２および標準コア１１６４のそれぞれについて特権モードとユーザモードとが設けられている。また、ＲＡＭ１１５へのアクセス設定においても、セーフティ記憶領域１１５２および標準記憶領域１１５４のそれぞれにおいて特権モードとユーザモードとが指定されている。特権モードは「第１モード」の一例であり、ユーザモードは「第２モード」の一例である。
　セーフティコア１１６２および標準コア１１６４のそれぞれについて、ユーザモードに設定されている場合、アプリケーション１１６２ｐ，１１６４ｐにおける所定の命令が実行されたときに、特権モードに指定されている記憶領域にはアクセスが禁止されている。つまり、ユーザモードに設定されているときには、特権モードに設定されているときよりもアクセスが制限されている。
　たとえば、セーフティコア１１６２がユーザモードに設定されている場合、アプリケーション１１６２ｐにおける所定の命令が実行されたときに、セーフティ記憶領域１１５２および標準記憶領域１１５４のそれぞれにおいてユーザモードに指定されている記憶領域についてはアクセスが許可されているのに対して、セーフティ記憶領域１１５２および標準記憶領域１１５４のそれぞれにおいて特権モードに指定されている記憶領域についてはアクセスが禁止されている。
　また、たとえば、標準コア１１６４がユーザモードに設定されている場合、アプリケーション１１６４ｐにおける所定の命令が実行されたときに、標準記憶領域１１５４においてユーザモードに指定されている記憶領域についてはアクセスが許可されているのに対して、標準記憶領域１１５４において特権モードに指定されている記憶領域についてはアクセスが禁止されている。
　ここで、注目すべきは、標準コア１１６４は、特権モードおよびユーザモードのいずれに設定されているかに関わらず、セーフティ記憶領域１１５２における特権モードおよびユーザモードのいずれに指定された記憶領域に対してもアクセスが制限されている点である。たとえば、標準コア１１６４のアクセス先がセーフティ記憶領域１１５２である場合、例外処理が行われることで、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスが制限される。
　つまり、セーフティコア１１６２がアプリケーション１１６２ｐにおける所定の命令に基づいてＲＡＭ１１５にアクセスした場合、図６に示すようにセーフティ記憶領域１１５２および標準記憶領域１１５４のいずれにもアクセス可能である一方で、標準コア１１６４がアプリケーション１１６４ｐにおける同じ所定の命令に基づいてＲＡＭ１１５にアクセスした場合、図６に示すように標準記憶領域１１５４についてはアクセス可能である一方で、セーフティ記憶領域１１５２についてはアクセス制限される。
　このように、セーフティコア１１６２が所定の命令に基づいてアクセスした場合と異なり、標準コア１１６４が同じ所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶するセーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスを制限することができる。
　また、ＲＡＭ１１５の記憶領域に対するアクセスの許可および禁止を規定するモードが特権モード、および当該特権モードよりもアクセスが制限されているユーザモードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶するセーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスを制限することができる。
　同様に、図５および図６に示すように、制御装置１００ｂのＭＣＵ１２０ｂは、セーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスが制限されている。なお、図６に示すプロセッサ１２６の状態を示すモードおよびＲＡＭ１２５へのアクセス設定は、上述したプロセッサ１１６の状態を示すモードおよびＲＡＭ１１５へのアクセス設定と同じであるため、その説明を省略する。
　セーフティコア１２６２がアプリケーション１２６２ｐにおける所定の命令に基づいてＲＡＭ１２５にアクセスした場合、図６に示すようにセーフティ記憶領域１２５２および標準記憶領域１２５４のいずれにもアクセス可能である一方で、標準コア１２６４がアプリケーション１２６４ｐにおける同じ所定の命令に基づいてＲＡＭ１２５にアクセスした場合、図６に示すように標準記憶領域１２５４についてはアクセス可能である一方で、セーフティ記憶領域１２５２についてはアクセス制限される。たとえば、標準コア１２６４のアクセス先がセーフティ記憶領域１２５２である場合、例外処理が行われることで、セーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスが制限される。
　このように、セーフティコア１２６２が所定の命令に基づいてアクセスした場合と異なり、標準コア１２６４が同じ所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶するセーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。
　また、ＲＡＭ１２５の記憶領域に対するアクセスの許可および禁止を規定するモードが特権モード、および当該特権モードよりもアクセスが制限されているユーザモードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶するセーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。
　＜ｄ１．制御装置におけるアクセス制限方法の第３の例＞
　図７は、第１実施形態に係る制御装置１００ｃにおけるアクセス制限方法の第３の例を説明するための模式図である。なお、図７に示す制御装置１００ｃのハードウェア構成例においては、図２に示す制御装置１００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。
　図７に示すように、制御装置１００ｃのＭＣＵ１１０ｃは、プロセッサ１１６に接続された監視プロセッサ１１９を含む。監視プロセッサ１１９は、プロセッサ１１６を補助するコプロセッサであり、ＦＰＧＡ（Field　Programmable　Gate　Array)やＡＳＩＣ（Application　Specific　Integrated　Circuit）などで構成される。監視プロセッサ１１９は、プロセッサ１１６に含まれるセーフティコア１１６２および標準コア１１６４のそれぞれについて、ＲＡＭ１１５の記憶領域に対するアクセスを監視する。なお、監視プロセッサ１１９は、ＭＣＵ１１０ｃの中に含まれるものに限らず、ＭＣＵ１１０ｃの外側から当該ＭＣＵ１１０ｃのプロセッサ１１６を監視するものであってもよい。
　具体的には、監視プロセッサ１１９は、セーフティコア１１６２によるセーフティ記憶領域１１５２に対するアクセスを許可し、セーフティコア１１６２による標準記憶領域１１５４に対するアクセスを許可し、標準コア１１６４による標準記憶領域１１５４に対するアクセスを許可し、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを禁止する。たとえば、標準コア１１６４のアクセス先がセーフティ記憶領域１１５２であると監視プロセッサ１１９によって検出された場合、例外処理が行われることで、セーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスが制限される。
　これにより、プロセッサ１１６によるセーフティ記憶領域１１５２および標準記憶領域１１５４に対するアクセスを監視する監視プロセッサ１１９によって、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを制限することができる。
　同様に、図７に示すように、制御装置１００ｃのＭＣＵ１２０ｃは、プロセッサ１２６に接続された監視プロセッサ１２９を含む。監視プロセッサ１２９は、プロセッサ１２６を補助するコプロセッサであり、ＦＰＧＡやＡＳＩＣなどで構成される。監視プロセッサ１２９は、プロセッサ１２６に含まれるセーフティコア１２６２および標準コア１２６４のそれぞれについて、ＲＡＭ１２５の記憶領域に対するアクセスを監視する。なお、監視プロセッサ１２９は、ＭＣＵ１２０ｃの中に含まれるものに限らず、ＭＣＵ１２０ｃの外側から当該ＭＣＵ１２０ｃのプロセッサ１２６を監視するものであってもよい。
　具体的には、監視プロセッサ１２９は、セーフティコア１２６２によるセーフティ記憶領域１２５２に対するアクセスを許可し、セーフティコア１２６２による標準記憶領域１２５４に対するアクセスを許可し、標準コア１２６４による標準記憶領域１２５４に対するアクセスを許可し、標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスを禁止する。たとえば、標準コア１２６４のアクセス先がセーフティ記憶領域１２５２であると監視プロセッサ１２９によって検出された場合、例外処理が行われることで、標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスが制限される。
　これにより、プロセッサ１２６によるセーフティ記憶領域１２５２および標準記憶領域１２５４に対するアクセスを監視する監視プロセッサ１２９によって、セーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。
　［Ｃ．第２実施形態］
　第２実施形態に係る制御装置２００について説明する。
　＜ａ２．制御装置のハードウェア構成例＞
　図８は、第２実施形態に係る制御装置２００のハードウェア構成例を示す模式図である。図２に示す第１実施形態に係る制御装置１００は、複数のＭＣＵのそれぞれにセーフティコアが含まれかつ複数のＭＣＵの少なくともいずれか一方に標準コアが含まれていたが、図８に示す第２実施形態に係る制御装置２００は、単一のＭＣＵに複数のセーフティコアが含まれかつ少なくとも１つ以上の標準コアが含まれる点で、両者が異なる。
　具体的には、図８に示すように、制御装置２００は、１つのＭＣＵ２１０と、ＭＣＵ２１０に対応するＲＡＭ２１５とを備える。なお、ＭＣＵおよびＲＡＭは、１つに限らず、２つ以上設けられてもよい。
　また、制御装置２００は、ストレージ２３０と、ＵＳＢコントローラ２４０と、メモリカードインターフェイス２５０と、ローカルバスインターフェイス２６０とを備える。これらのコンポーネントは、プロセッサバス２０５を介して接続されている。
　ストレージ２３０、ＵＳＢコントローラ２４０、メモリカードインターフェイス２５０、およびローカルバスインターフェイス２６０のそれぞれは、図２に示すストレージ１３０、ＵＳＢコントローラ１４０、メモリカードインターフェイス１５０、およびローカルバスインターフェイス１６０のそれぞれと同様の構成を有する。なお、ストレージ２３０は、要求されるセーフティ機能に応じてユーザによって作成されたセーフティ制御に係るセーフティプログラム２３２、および制御対象に応じてユーザによって作成された標準制御に係る標準プログラム２３４など、各種のプログラムやデータが格納される。
　ＭＣＵ２１０は、プロセッサ２１６と、セーフティＲＯＭ２１２と、セーフティＲＯＭ２１４と、標準ＲＯＭ２２２と、標準ＲＯＭ２２４とを含む。
　プロセッサ２１６は、マルチコアプロセッサであり、セーフティコア２１６２と、セーフティコア２１６４と、標準コア２２６２と、標準コア２２６４とを含む。セーフティコア２１６２およびセーフティコア２１６４のそれぞれは、「第１演算部」の一例であり、セーフティ制御に係る制御演算を実行する。標準コア２２６２および標準コア２２６４のそれぞれは、「第２演算部」の一例であり、標準制御に係る制御演算を実行する。
　このように、単一のプロセッサ２１６内において、セーフティ制御に係るセーフティコア２１６２およびセーフティコア２１６４と、標準制御に係る標準コア２２６２および標準コア２２６４とを共存させることで、セーフティコアと標準コアとを別々のプロセッサにそれぞれ含めるよりも、装置の省スペース化および低コスト化を図ることができる。
　セーフティＲＯＭ２１２は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム２１２２を格納し、セーフティコア２１６２に接続されている。
　セーフティＲＯＭ２１４は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム２１４２を格納し、セーフティコア２１６４に接続されている。
　標準ＲＯＭ２２２は、標準制御に係る基本的な機能を実現するための標準システムプログラム２２２２を格納し、標準コア２２６２に接続されている。
　標準ＲＯＭ２２４は、標準制御に係る基本的な機能を実現するための標準システムプログラム２２４２を格納し、標準コア２２６４に接続されている。
　ＲＡＭ２１５は、「記憶部」の一例である。ＲＡＭ２１５の記憶領域には、セーフティ記憶領域２１５２と、標準記憶領域２２５２とが含まれる。セーフティ記憶領域２１５２は、「第１記憶領域」の一例であり、セーフティ制御を実行するためのデータが格納される。標準記憶領域２２５２は、「第２記憶領域」の一例であり、標準制御を実行するためのデータが格納される。
　セーフティコア２１６２は、セーフティＲＯＭ２１２に格納されたセーフティシステムプログラム２１２２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、セーフティ制御を実現する。セーフティコア２１６４は、セーフティＲＯＭ２１４に格納されたセーフティシステムプログラム２１４２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、セーフティ制御を実現する。同様に、標準コア２２６２は、標準ＲＯＭ２２２に格納された標準システムプログラム２２２２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、標準制御を実現する。標準コア２２６４は、標準ＲＯＭ２２４に格納された標準システムプログラム２２４２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、標準制御を実現する。
　このように、プロセッサ２１６のセーフティコア２１６２，２１６４および標準コア２２６２，２２６４は、ＲＡＭ２１５にアクセスすることでセーフティ制御や標準制御を実行するが、セーフティコア２１６２，２１６４から標準記憶領域２２５２に対してはアクセスが許可されている一方で、安全を担保する観点から、標準コア２２６２，２２６４からセーフティ記憶領域２１５２に対してはアクセスが制限されている。たとえば、制御装置２００においては、標準コア２２６２，２２６４のアクセス先がセーフティ記憶領域２１５２である場合、例外処理が行われることで、標準コア２２６２，２２６４によるセーフティ記憶領域２１５２に対するアクセスが制限される。
　これにより、標準コア２２６２，２２６４によるアクセスによってセーフティ記憶領域２１５２に格納されたセーフティ制御に係るデータに何らかの異常が生じることを防止することができ、安全を担保することができる。
　＜ｂ２．制御装置におけるアクセス制限方法の第１の例＞
　図９は、第２実施形態に係る制御装置２００ａにおけるアクセス制限方法の第１の例を説明するための模式図である。なお、図９に示す制御装置２００ａのハードウェア構成例においては、図８に示す制御装置２００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図９に示す第２実施形態に係る制御装置２００ａにおけるアクセス制限方法の第１の例においては、図３および図４に示す第１実施形態に係る制御装置１００ａにおけるアクセス制限方法の第１の例と同じ構成および機能を有する部分については、その説明を省略する。
　図９に示すように、制御装置２００ａのＭＣＵ２１０ａは、プロセッサ２１６に接続されたＭＭＵ２１７２，２１７４，２２７２，２２７４を含む。ＭＭＵ２１７２は、セーフティコア２１６２に接続され、ＭＭＵ２１７４は、セーフティコア２１６４に接続され、ＭＭＵ２２７２は、標準コア２２６２に接続され、ＭＭＵ２２７４は、標準コア２２６４に接続されている。ＭＭＵ２１７２，２１７４，２２７２，２２７４は、図３に示すＭＭＵ１１７やＭＭＵ１２７と同様に、メモリ保護機能を有しており、プロセッサ２１６内のコアが自身に割り当てられていない記憶領域にアクセスすることを防ぐ。具体的には、ＭＭＵ２２７２，２２７４においては、図４に示す変換テーブル６００が起動時に設定され、制御装置２００ａは、この変換テーブル６００を利用して標準コア２２６２，２２６４によるセーフティ記憶領域２１５２に対するアクセスを制限する。
　このように、ＭＭＵ２２７２，２２７４において設定される変換テーブル６００においては、セーフティ制御用の仮想アドレス範囲に対する標準コア２２６２，２２６４によるアクセスが制限される結果、仮想アドレス範囲に対応するＲＡＭ２１５におけるセーフティ制御用の物理アドレス範囲（すなわち、セーフティ記憶領域２１５２）に対する標準コア２２６２，２２６４によるアクセスが制限されている。これにより、ＲＡＭ２１５の物理アドレスに対するアクセスの許可および禁止を規定する変換テーブル６００に基づき、セーフティ制御に係るデータを記憶するセーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。
　＜ｃ２．制御装置におけるアクセス制限方法の第２の例＞
　図１０は、第２実施形態に係る制御装置２００ｂにおけるアクセス制限方法の第２の例を説明するための模式図である。なお、図１０に示す制御装置２００ｂのハードウェア構成例においては、図８に示す制御装置２００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図１０に示す第２実施形態に係る制御装置２００ｂにおけるアクセス制限方法の第２の例においては、図５および図６に示す第１実施形態に係る制御装置１００ｂにおけるアクセス制限方法の第２の例と同じ構成および機能を有する部分については、その説明を省略する。また、図１０に示す例においても、図６に示す例と同様に、「記憶部」の一例としてＲＡＭを例示しているが、「記憶部」に対してはＲＡＭなどの揮発性メモリに限らず、ＲＯＭなどの不揮発性メモリを適用してもよく、その他、セーフティ制御に係るデータや標準制御に係るデータを記憶する記憶領域を含むものであれば、いずれの記憶媒体を適用してもよい。
　図１０に示すように、制御装置２００ｂのＭＣＵ２１０ｂは、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスが制限されている。
　具体的には、制御装置２００ｂにおいては、図６に示すように、プロセッサ２１６の状態を示すモードとして、セーフティコア２１６２，２１６４および標準コア２２６２，２２６４のそれぞれについて特権モードとユーザモードとが設けられている。また、ＲＡＭ２１５へのアクセス設定においても、セーフティ記憶領域２１５２および標準記憶領域２２５２のそれぞれにおいて特権モードとユーザモードとが指定されている。特権モードは「第１モード」の一例であり、ユーザモードは「第２モード」の一例である。
　セーフティコア２１６２，２１６４および標準コア２２６２，２２６４のそれぞれについて、ユーザモードに設定されている場合、アプリケーション２１６２ｐ，２１６４ｐ，２２６２ｐ，２２６４ｐにおける所定の命令が実行されたときに、特権モードに指定されている記憶領域にはアクセスが禁止されている。つまり、ユーザモードに設定されているときには、特権モードに設定されているときよりもアクセスが制限されている。
　また、セーフティコア２１６２，２１６４がアプリケーション２１６２ｐ，２１６４ｐにおける所定の命令に基づいてＲＡＭ２１５にアクセスした場合、図６に示すようにセーフティ記憶領域２１５２および標準記憶領域２２５２のいずれにもアクセス可能である一方で、標準コア２２６２，２２６４がアプリケーション２２６２ｐ，２２６４ｐにおける同じ所定の命令に基づいてＲＡＭ２１５にアクセスした場合、図６に示すように標準記憶領域２２５２についてはアクセス可能である一方で、セーフティ記憶領域２１５２についてはアクセス制限される。
　このように、セーフティコア２１６２，２１６４が所定の命令に基づいてアクセスした場合と異なり、標準コア２２６２，２２６４が同じ所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶するセーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。
　また、ＲＡＭ２１５の記憶領域に対するアクセスの許可および禁止を規定するモードが特権モード、および当該特権モードよりもアクセスが制限されているユーザモードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶するセーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。
　＜ｄ２．制御装置におけるアクセス制限方法の第３の例＞
　図１１は、第２実施形態に係る制御装置２００ｃにおけるアクセス制限方法の第３の例を説明するための模式図である。なお、図１１に示す制御装置２００ｃのハードウェア構成例においては、図８に示す制御装置２００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図１１に示す第２実施形態に係る制御装置２００ｃにおけるアクセス制限方法の第３の例においては、図７に示す第１実施形態に係る制御装置１００ｃにおけるアクセス制限方法の第３の例と同じ構成および機能を有する部分については、その説明を省略する。
　図１１に示すように、制御装置２００ｃのＭＣＵ２１０ｃは、プロセッサ２１６に接続された監視プロセッサ２１９を含む。監視プロセッサ２１９は、プロセッサ２１６を補助するコプロセッサであり、ＦＰＧＡやＡＳＩＣなどで構成される。監視プロセッサ２１９は、プロセッサ２１６に含まれるセーフティコア２１６２，２１６４および標準コア２２６２，２２６４のそれぞれについて、ＲＡＭ２１５の記憶領域に対するアクセスを監視する。なお、監視プロセッサ２１９は、ＭＣＵ２１０ｃの中に含まれるものに限らず、ＭＣＵ２１０ｃの外側から当該ＭＣＵ２１０ｃのプロセッサ２１６を監視するものであってもよい。
　具体的には、監視プロセッサ２１９は、セーフティ記憶領域２１５２に対するセーフティコア２１６２，２１６４によるアクセスを許可し、標準記憶領域２２５２に対するセーフティコア２１６２，２１６４によるアクセスを許可し、標準記憶領域２２５２に対する標準コア２２６２，２２６４によるアクセスを許可し、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを禁止する。たとえば、標準コア２２６２，２２６４のアクセス先がセーフティ記憶領域２１５２であると監視プロセッサ２１９によって検出された場合、例外処理が行われることで、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスが制限される。
　これにより、プロセッサ２１６によるセーフティ記憶領域２１５２および標準記憶領域２２５２に対するアクセスを監視する監視プロセッサ２１９によって、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。
　［Ｄ．付記］
　以上のように、本実施の形態では以下のような開示を含む。
　［構成１］
　駆動装置（４３０）を制御する制御装置（１００，２００）であって、
　前記駆動装置に関してセーフティ制御を実行する第１演算部（１０１）と、
　前記駆動装置に関して標準制御を実行する第２演算部（１０２）と、
　前記第１演算部および前記第２演算部のいずれからもアクセス可能であって、前記セーフティ制御に係るデータを記憶する第１記憶領域（１０３１）と、前記標準制御に係るデータを記憶する第２記憶領域（１０３２）とを含む記憶部（１０３）とを備え、
　前記第１演算部は、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
　前記第２演算部は、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、制御装置（１００，２００）。
　［構成２］
　複数のマイクロコントローラユニット（ＭＣＵ）（１１０，１２０）を備え、
　前記第１演算部は、前記セーフティ制御を実行するプロセッサコア（１１６２，１２６２）であり、
　前記第２演算部は、前記標準制御を実行するプロセッサコア（１１６４）であり、
　前記複数のマイクロコントローラユニットのそれぞれは、前記セーフティ制御を実行するプロセッサコア（１１６）を含み、
　前記複数のマイクロコントローラユニットの少なくともいずれか一方は、前記標準制御を実行するプロセッサコア（１１６４，１２６４）を含む、構成１の制御装置（１００）。
　［構成３］
　前記複数のマイクロコントローラユニットのそれぞれに含まれる前記セーフティ制御を実行するプロセッサコア間においては、相互監視が行われる、構成２の制御装置（１００）。
　［構成４］
　マイクロコントローラユニット（ＭＣＵ）（２１０）を備え、
　前記第１演算部は、前記セーフティ制御を実行するプロセッサコア（２１６２，２１６４）であり、
　前記第２演算部は、前記標準制御を実行するプロセッサコア（２２６２，２２６４）であり、
　前記マイクロコントローラユニットは、前記セーフティ制御を実行するプロセッサコアを複数含むとともに、前記標準制御を実行するプロセッサコアを少なくとも１つ以上含む、構成１の制御装置（２００）。
　［構成５］
　前記記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブル（６００）を備え、
　前記第１演算部は、前記データテーブルに基づき、前記第１記憶領域および前記第２記憶領域のいずれのメモリアドレスにもアクセス可能である一方で、
　前記第２演算部は、前記第２記憶領域のメモリアドレスにアクセス可能であるのに対して前記第１記憶領域のメモリアドレスについてはアクセス制限されている、構成１～構成４のいずれかの制御装置（１００ａ，２００ａ）。
　［構成６］
　前記第１演算部は、所定の命令に基づいて、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
　前記第２演算部は、前記所定の命令に基づいて、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、構成１～構成４のいずれかの制御装置（１００ｂ，２００ｂ）。
　［構成７］
　前記記憶部に対するアクセスの許可および禁止を規定するモードとして、第１モードと、当該第１モードよりもアクセスが制限されている第２モードとが設けられており、
　前記第２演算部は、前記モードが第１モードおよび前記第２モードのいずれであるかに関わらず、前記第１記憶領域についてはアクセス制限されている、構成６の制御装置（１００ｂ，２００ｂ）。
　［構成８］
　前記第１演算部は、前記セーフティ制御を実行するプロセッサコア（１１６２，１２６２，２１６２，２１６４）であり、
　前記第２演算部は、前記標準制御を実行するプロセッサコア（１１６４，１２６４，２１６４，２２６４）であり、
　前記標準制御を実行するプロセッサコアおよび前記セーフティ制御を実行するプロセッサコアを含むプロセッサ（１１６，１２６，２１６）を補助するコプロセッサとして、当該プロセッサによる前記第１記憶領域および前記第２記憶領域に対するアクセスを監視する監視プロセッサ（１１９，１２９，２１９）をさらに備え、
　前記第２演算部は、前記監視プロセッサによって、前記第１記憶領域に対してアクセス制限されている、構成１～構成４のいずれかの制御装置（１００ｃ，２００ｃ）。
　［Ｅ．利点］
　本実施の形態に係る制御装置１００によれば、セーフティ制御を実行する第１演算部１０１と標準制御を実行する第２演算部１０２とが共存する場合であっても、第２演算部１０２は、セーフティ制御に係る第１記憶領域１０３１についてはアクセス制限されているため、標準制御を実行する第２演算部１０２によってセーフティ制御に影響を与えることがなく、安全を担保することができる。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１００，１００ａ，１００ｂ，１００ｃ，２００，２００ａ，２００ｂ，２００ｃ　制御装置、１０１　第１演算部、１０２　第２演算部、１０３　記憶部、１０５１，１０５２，２０５　プロセッサバス、１１０，１２０，１１０ａ，１２０ａ，１１０ｂ，１２０ｂ，１１０ｃ，１２０ｃ，２１０　ＭＣＵ、１１２，１２２，２１２，２１４　セーフティＲＯＭ、１１４，１２４，２２２，２２４　標準ロム、１１５，１２５，２１５　ＲＡＭ、１１６，１２６，２１６　プロセッサ、１１９，１２９，２１９　監視プロセッサ、１３０，２３０　ストレージ、１３２，２３２　セーフティプログラム、１３４，２３４　標準プログラム、１４０，２４０　ＵＳＢコントローラ、１５０，２５０　メモリカードインターフェイス、１６０，２６０　ローカルバスインターフェイス、３００　セーフティデバイス、４１０　セーフティリレー、４２０　ドライバ、４３０　駆動装置、５００　サポート装置、６００　変換テーブル、１０３１　第１記憶領域、１０３２　第２記憶領域、１０５３　ブリッジ、１１２２，１２２２，２１２２，２１４２　セーフティシステムプログラム、１１４２，１２４２，２２２２，２２４２　標準システムプログラム、１１４４　制限データ、１１５２，１２５２，２１５２　セーフティ記憶領域、１１５４，１２５４，２２５２　標準記憶領域、１１６２，１２６２，２１６２，２１６４　セーフティコア、１１６２ｐ，１１６４ｐ，１２６２ｐ，１２６４ｐ，２１６２ｐ，２１６４ｐ，２２６２ｐ，２２６４ｐ　アプリケーション、１１６４，１２６４，２２６２，２２６４　標準コア、２１７２，２１７４，２２７２，２２７４　ＭＭＵ。

Claims (8)

  1. 　駆動装置を制御する制御装置であって、
    　前記駆動装置に関してセーフティ制御を実行する第１演算部と、
    　前記駆動装置に関して標準制御を実行する第２演算部と、
    　前記第１演算部および前記第２演算部のいずれからもアクセス可能であって、前記セーフティ制御に係るデータを記憶する第１記憶領域と、前記標準制御に係るデータを記憶する第２記憶領域とを含む記憶部とを備え、
    　前記第１演算部は、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
    　前記第２演算部は、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、制御装置。
  2. 　複数のマイクロコントローラユニット（ＭＣＵ）を備え、
    　前記第１演算部は、前記セーフティ制御を実行するプロセッサコアであり、
    　前記第２演算部は、前記標準制御を実行するプロセッサコアであり、
    　前記複数のマイクロコントローラユニットのそれぞれは、前記セーフティ制御を実行するプロセッサコアを含み、
    　前記複数のマイクロコントローラユニットの少なくともいずれか一方は、前記標準制御を実行するプロセッサコアを含む、請求項１に記載の制御装置。
  3. 　前記複数のマイクロコントローラユニットのそれぞれに含まれる前記セーフティ制御を実行するプロセッサコア間においては、相互監視が行われる、請求項２に記載の制御装置。
  4. 　マイクロコントローラユニット（ＭＣＵ）を備え、
    　前記第１演算部は、前記セーフティ制御を実行するプロセッサコアであり、
    　前記第２演算部は、前記標準制御を実行するプロセッサコアであり、
    　前記マイクロコントローラユニットは、前記セーフティ制御を実行するプロセッサコアを複数含むとともに、前記標準制御を実行するプロセッサコアを少なくとも１つ以上含む、請求項１に記載の制御装置。
  5. 　前記記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブルを備え、
    　前記第１演算部は、前記データテーブルに基づき、前記第１記憶領域および前記第２記憶領域のいずれのメモリアドレスにもアクセス可能である一方で、
    　前記第２演算部は、前記第２記憶領域のメモリアドレスにアクセス可能であるのに対して前記第１記憶領域のメモリアドレスについてはアクセス制限されている、請求項１～請求項４のいずれか１項に記載の制御装置。
  6. 　前記第１演算部は、所定の命令に基づいて、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
    　前記第２演算部は、前記所定の命令に基づいて、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、請求項１～請求項４のいずれか１項に記載の制御装置。
  7. 　前記記憶部に対するアクセスの許可および禁止を規定するモードとして、第１モードと、当該第１モードよりもアクセスが制限されている第２モードとが設けられており、
    　前記第２演算部は、前記モードが第１モードおよび前記第２モードのいずれであるかに関わらず、前記第１記憶領域についてはアクセス制限されている、請求項６に記載の制御装置。
  8. 　前記第１演算部は、前記セーフティ制御を実行するプロセッサコアであり、
    　前記第２演算部は、前記標準制御を実行するプロセッサコアであり、
    　前記標準制御を実行するプロセッサコアおよび前記セーフティ制御を実行するプロセッサコアを含むプロセッサを補助するコプロセッサとして、当該プロセッサによる前記第１記憶領域および前記第２記憶領域に対するアクセスを監視する監視プロセッサをさらに備え、
    　前記第２演算部は、前記監視プロセッサによって、前記第１記憶領域に対してアクセス制限されている、請求項１～請求項４のいずれか１項に記載の制御装置。
PCT/JP2020/003096 2019-02-13 2020-01-29 制御装置 WO2020166328A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP20756160.6A EP3926480A4 (en) 2019-02-13 2020-01-29 CONTROL DEVICE
US17/424,367 US11875065B2 (en) 2019-02-13 2020-01-29 Control device
CN202080010051.6A CN113330429A (zh) 2019-02-13 2020-01-29 控制装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019023728A JP7115351B2 (ja) 2019-02-13 2019-02-13 制御装置
JP2019-023728 2019-02-13

Publications (1)

Publication Number Publication Date
WO2020166328A1 true WO2020166328A1 (ja) 2020-08-20

Family

ID=72045600

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/003096 WO2020166328A1 (ja) 2019-02-13 2020-01-29 制御装置

Country Status (5)

Country Link
US (1) US11875065B2 (ja)
EP (1) EP3926480A4 (ja)
JP (1) JP7115351B2 (ja)
CN (1) CN113330429A (ja)
WO (1) WO2020166328A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115933997B (zh) * 2023-01-30 2023-06-13 南京芯驰半导体科技有限公司 数据访问方法、相关设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011257889A (ja) * 2010-06-07 2011-12-22 Fuji Electric Co Ltd 安全制御システム
JP2014048849A (ja) * 2012-08-30 2014-03-17 Fuji Electric Co Ltd 安全制御システム、及び安全制御システムのプロセッサ
WO2015145562A1 (ja) 2014-03-25 2015-10-01 三菱電機株式会社 プログラミング装置及び実行コード生成方法
JP2017204286A (ja) * 2017-06-28 2017-11-16 日立オートモティブシステムズ株式会社 車両用制御装置
JP2018067047A (ja) * 2016-10-17 2018-04-26 オークマ株式会社 制御装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101954733B1 (ko) 2012-10-26 2019-03-06 삼성전자주식회사 보안 콘텐츠를 처리하는 시스템 온 칩 및 그것을 포함하는 모바일 장치
US20170060783A1 (en) * 2015-09-01 2017-03-02 Mediatek Inc. Apparatus for performing secure memory allocation control in an electronic device, and associated method
KR20180066601A (ko) * 2016-12-09 2018-06-19 삼성전자주식회사 메모리 시스템의 구동 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011257889A (ja) * 2010-06-07 2011-12-22 Fuji Electric Co Ltd 安全制御システム
JP2014048849A (ja) * 2012-08-30 2014-03-17 Fuji Electric Co Ltd 安全制御システム、及び安全制御システムのプロセッサ
WO2015145562A1 (ja) 2014-03-25 2015-10-01 三菱電機株式会社 プログラミング装置及び実行コード生成方法
JP2018067047A (ja) * 2016-10-17 2018-04-26 オークマ株式会社 制御装置
JP2017204286A (ja) * 2017-06-28 2017-11-16 日立オートモティブシステムズ株式会社 車両用制御装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3926480A4

Also Published As

Publication number Publication date
JP7115351B2 (ja) 2022-08-09
US20220365730A1 (en) 2022-11-17
EP3926480A4 (en) 2022-11-23
CN113330429A (zh) 2021-08-31
EP3926480A1 (en) 2021-12-22
US11875065B2 (en) 2024-01-16
JP2020135046A (ja) 2020-08-31

Similar Documents

Publication Publication Date Title
DE102015103220B4 (de) System, umfassend ein Master-Sicherheitsprüfungsregister, Verfahren, Nichtflüchtiges Medium und maschinenlesbare Anweisungen
JP6705266B2 (ja) 制御装置、制御方法およびプログラム
US9098074B2 (en) Safety-related control unit and method for controlling an automated installation
WO2020166328A1 (ja) 制御装置
EP4135140A1 (en) Driving electric motor control system and method for ensuring safety thereof
WO2017090364A1 (ja) 車両制御装置
US11360832B2 (en) Operation method of robot operating system and a robot control method
JP6955858B2 (ja) 制御装置
JP2008242593A (ja) マルチプロセッサシステム及びマルチプロセッサシステムにおけるアクセス保護方法
DE102014011665B4 (de) System und Verfahren für DMA-Betrieb mit hoher Integrität
US10031862B2 (en) Memory protection unit, memory management unit, and microcontroller
US10783242B2 (en) Method and semiconductor circuit for protecting an operating system of a security system of a vehicle
JP2006338426A (ja) 計算機システム
US9829874B2 (en) Numerical control device
JP6349444B2 (ja) 車両用制御装置
JP5651209B2 (ja) マルチプロセッサシステム
JP6426666B2 (ja) プログラマブルコントローラ
JP2007042086A (ja) 入出力制御装置，入出力制御方法，プロセス制御装置及びプロセス制御方法
WO2022239331A1 (ja) 電子制御装置及び異常判定方法
CN107145333B (zh) 数据操作方法及其装置、应用、单片机及嵌入式系统
JPS5839307A (ja) プログラマブル・コントロ−ラ
JP5700223B2 (ja) 制御装置
WO2018074590A1 (ja) コントローラ
JPH0375883B2 (ja)
JPH02150924A (ja) メモリ装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20756160

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020756160

Country of ref document: EP

Effective date: 20210913