WO2021038923A1 - 制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム - Google Patents

制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム Download PDF

Info

Publication number
WO2021038923A1
WO2021038923A1 PCT/JP2020/007778 JP2020007778W WO2021038923A1 WO 2021038923 A1 WO2021038923 A1 WO 2021038923A1 JP 2020007778 W JP2020007778 W JP 2020007778W WO 2021038923 A1 WO2021038923 A1 WO 2021038923A1
Authority
WO
WIPO (PCT)
Prior art keywords
volatile memory
data
memory
error
instruction
Prior art date
Application number
PCT/JP2020/007778
Other languages
English (en)
French (fr)
Inventor
雅哉 工藤
紀昭 鈴木
中村　満
Original Assignee
オムロン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オムロン株式会社 filed Critical オムロン株式会社
Publication of WO2021038923A1 publication Critical patent/WO2021038923A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/048—Monitoring; Safety
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/08—Error detection or correction by redundancy in data representation, e.g. by using checking codes
    • G06F11/10—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating

Definitions

  • the present invention relates to a control device that executes a user program to control a controlled object, a method for controlling execution of the user program in the control device, and a system program for realizing the control device.
  • Control devices such as PLC (Programmable Logic Controller) have been introduced at various manufacturing sites.
  • a control device is a kind of computer, and includes a volatile memory such as a RAM (Random Access Memory) and a processor such as a CPU (Central Processing Unit).
  • the volatile memory stores a user program designed according to a manufacturing apparatus or a manufacturing facility.
  • the processor sequentially reads the instructions that make up the user program stored in the volatile memory and executes them sequentially.
  • the data of the user program When executing a user program stored in volatile memory, the data of the user program may be destroyed in 1-bit units due to the influence of radiation, and a soft error may occur in the volatile memory. In this way, the data of the user program may be destroyed and a soft error may occur. Therefore, it is desired that the control device be provided with a function of detecting the soft error and correcting the detected soft error. ..
  • Patent Document 1 Japanese Unexamined Patent Publication No. 2004-220580 (Patent Document 1) includes, in addition to a user program memory in which a user program is stored, a backup memory in which data having the same contents as the user program stored in the user program memory is stored.
  • the unit for the programmable controller is disclosed. This programmable controller unit detects an abnormality by comparing the contents of the backup memory and the user program memory, and when the abnormality is detected, the user program stored in the user program memory is based on the data stored in the backup memory. To repair.
  • Patent Document 1 detects an error by comparing two memories with each other, so that there is a problem that it takes time to obtain a comparison result.
  • An object of the present invention is to reduce the time required for detecting and restoring an error occurring in a memory.
  • a control device for controlling a controlled object.
  • the control device stores an instruction execution unit that sequentially executes instructions included in the user program, a volatile memory for storing the user program, and a backup user program having the same contents as the user program stored in the volatile memory. It includes a backup memory and an access control unit that reads instructions included in a user program from a volatile memory and provides them to an instruction execution unit according to a predetermined execution order.
  • the volatile memory stores data by adding information for error detection, and is based on the data in the specified area and the information for error detection corresponding to the specified area in response to a read request. It is configured to respond whether or not an error has occurred in the specified area to be determined.
  • the access control unit When the access control unit reads an instruction from the volatile memory, the area where the error occurs when the volatile memory responds that an error has occurred in the area where the read instruction was stored. It is configured to reload the data from the backup memory into the volatile memory and read the instructions from the volatile memory again.
  • the presence or absence of an error in the detection of an error in a specified area is determined based on the information for error detection. Therefore, as compared with the case where the error is detected by comparing the memories.
  • the processing time can be shortened.
  • the volatile memory may be configured to respond to the presence or absence of an error by a parity check. According to this configuration, an error in 1-bit units can be detected.
  • the access control unit reads the data stored in the volatile memory in a predetermined order and at a predetermined timing, in addition to the read for the purpose of providing the instruction to the instruction execution unit. , When the volatile memory responds that an error has occurred in the area where the read data was stored, the data including the instructions stored in the backup memory is reloaded from the backup memory to the volatile memory. ..
  • error detection and error restoration are periodically executed even for data related to instructions that are called extremely infrequently.
  • the backup memory may be a memory that non-volatilely stores the user program for backup.
  • the user program stored in the volatile memory is loaded from the backup memory.
  • the memory for power interruption can be used as the backup memory, it is not necessary to prepare the backup memory separately, and the memory capacity can be reduced.
  • the backup memory may be a memory for volatilely storing a user program for backup.
  • the access control unit rewrites the data stored in the volatile memory and the data stored in the backup memory.
  • an execution control method of a user program in a control device for controlling a control target includes a volatile memory for storing the user program and a backup memory for storing the user program for backup having the same contents as the user program stored in the volatile memory.
  • the volatile memory stores data by adding information for error detection, and is based on the data in the specified area and the information for error detection corresponding to the specified area in response to a read request. It is configured to respond whether or not an error has occurred in the specified area to be determined.
  • the execution control method of the user program is a step of reading the instructions included in the user program from the volatile memory according to a predetermined execution order, and an area in which the read instructions are stored when the instructions are read from the volatile memory.
  • the step of reloading the data in the area where the error has occurred from the backup memory to the volatile memory and rereading the instruction from the volatile memory, and the volatile Includes a step to execute an instruction read from the sex memory.
  • the presence or absence of an error in the detection of an error in a specified area is determined based on the information for error detection. Therefore, as compared with the case where the error is detected by comparing the memories.
  • the processing time can be shortened.
  • a system program for realizing a control device for controlling a controlled object includes a volatile memory for storing the user program and a backup memory for storing the user program for backup having the same contents as the user program stored in the volatile memory.
  • the volatile memory stores data by adding information for error detection, and is based on the data in the specified area and the information for error detection corresponding to the specified area in response to a read request. It is configured to respond whether or not an error has occurred in the specified area to be determined.
  • the system program tells the processor of the control device the step of reading the instructions included in the user program from the volatile memory according to a predetermined execution order, and the area where the read instructions are stored when the instructions are read from the volatile memory. When the volatile memory responds that an error has occurred, the data in the area where the error has occurred is reloaded from the backup memory to the volatile memory, and the instruction is read again from the volatile memory. The step of executing the instruction read from the volatile memory is executed.
  • the presence or absence of an error in the detection of an error in a specified area is determined based on the information for error detection. Therefore, as compared with the case where the error is detected by comparing the memories.
  • the processing time can be shortened.
  • the time required for detecting and restoring an error occurring in a memory can be shortened.
  • FIG. 1 is a diagram for schematically explaining an application example of the present disclosure.
  • the control device 100X corresponds to, for example, an industrial controller called a PLC (programmable controller), and controls various manufacturing facilities and machines (not shown).
  • PLC programmable controller
  • necessary information is acquired by using a sensor or the like, and a predetermined control calculation is executed using the acquired information according to the program executed by the control device 100X. , Calculate the control output.
  • the control device 100X includes an instruction execution unit 202X, a volatile memory 106X, a backup memory 110X, and an access control unit 204X.
  • the instruction execution unit 202X sequentially executes the instructions included in the user program 114.
  • the user program 114 is between a program created for the purpose of controlling a control target and another device (for example, a database, another control device, HMI (Human Machine Interface), etc.) capable of communicating with the control device 100. It is a program for realizing an arbitrary application such as a program for sending and receiving data with.
  • the access control unit 204X reads the instructions included in the user program 114 from the main memory 106 and provides them to the instruction execution unit 202X according to a predetermined execution order.
  • the instruction execution unit 202X and the access control unit 204X are functions realized by, for example, the processor of the control device 100 executing a system program for realizing the basic functions of the control device. Note that some or all of the functions of the instruction execution unit 202X and the access control unit 204X are implemented using a dedicated hardware circuit (for example, ASIC (Application Specific Integrated Circuit) or FPGA (Field-Programmable Gate Array)). You may.
  • the function of the instruction execution unit 202X may be implemented by using a dedicated hardware circuit
  • the function of the access control unit 204X may be realized by the processor of the control device 100X executing the system program.
  • the volatile memory 106X volatilely stores the user program 114.
  • the user program 114 stored in the volatile memory 106X is a program for execution and is user data 140.
  • the backup memory 110X stores backup data 160, which is a backup user program 114 having the same contents as the user program 114 stored in the volatile memory 106X.
  • the backup memory 110X may be a volatile memory or a non-volatile memory.
  • the backup data 160 is used to restore the user data 140 when the user data 140 is destroyed. For example, when the user data 140 is destroyed by cosmic ray neutrons or the like, the destroyed data is restored by reloading the backup data 160 into the volatile memory 106X.
  • the volatile memory 106X is a memory equipped with an error detection function. Specifically, when the data 142 is stored, the error detection information (detection information 144X) is added to the data 142 and stored. .. Further, when the volatile memory 106X outputs the data in the designated area in response to the read request, the volatile memory 106X outputs the data in the designated area together with the presence or absence of an error. Whether or not an error has occurred is determined based on the detection information 144X. Whether or not an error occurs is determined, for example, according to a conventionally known parity check.
  • the access control unit 204X When the access control unit 204X responds from the volatile memory 106X that an error has occurred in the area where the read instruction is stored, the data in the area where the error has occurred is volatile from the backup memory 110X. Reload to the sex memory 106X. After reloading, the access control unit 204X reads the instruction from the volatile memory 106X again.
  • the presence or absence of an error in the detection of an error in the specified area is determined based on the information for error detection, so that the processing can be performed as compared with the case where the error is detected by comparing the memories.
  • the time required can be shortened.
  • Volatile memory with a function to detect data errors is generally distributed in the market.
  • the control device 100X uses such a generally distributed volatile memory 106X, and executes a process of re-reading an instruction from the volatile memory 106X when an error occurs in the processor. It is possible to easily realize it by configuring it so as to make it.
  • control device 100X there is a memory having a function of detecting and correcting a data error by hardware, but such a memory is expensive. Since the control device 100X according to the present disclosure can be realized by using a memory having only an error detection function, it can be realized at a low cost.
  • the volatile memory 106X may be a memory having a function of detecting and correcting data errors by hardware.
  • the correction function provided in the memory can be supplemented by configuring the data to be reloaded as a process of the processor.
  • control device 100X since the control device 100X according to the present disclosure reloads the data before executing the instruction, it is possible to prevent the instruction from being executed according to the incorrect data.
  • control device 100X when reloading incorrect data after executing an instruction, it is desirable to back up the input / output data that is updated by executing the instruction according to the incorrect data.
  • the control device 100X since the control device 100X according to the present disclosure reloads erroneous data before executing the instruction, it is not always necessary to back up the input / output data, and the memory can be reduced. Can be done.
  • control device 100X responds with or without an error in response to a data read request. Therefore, it is possible to find an error in the data earlier than in the case where the error is generated or not after the entire user program 114 is executed.
  • the timing for restoring the data may be when a response regarding the presence or absence of an error is made, and after the response is made as to whether or not an error has occurred, a data command relating to the presence or absence of the error is executed. It may be time to do.
  • the data in which the error has occurred may be reloaded from the backup memory 110X, or the data may be reloaded from the backup memory 110X for each instruction read. Further, the data in which the error has occurred may be reloaded by reloading the entire user program 114.
  • FIG. 2 is a diagram schematically showing the configuration of the control device 100.
  • FIG. 2 shows a part of the configuration that performs the central processing of the control device 100.
  • the control device 100 includes a processor 102, a main memory 106, and a flash memory 108.
  • the processor 102, the main memory 106, and the flash memory 108 may be provided in the control device 100 in a form mounted on the one-chip microcomputer, or may be provided in the control device 100 in a form mounted separately. You may be.
  • the processor 102 directly executes the system program 112 stored in the flash memory 108, thereby expanding the user program 114 in the main memory 106 and sequentially executing the user program 114.
  • the processor 102 reads the user program 114, expands it in the main memory 106, and executes it to realize control of the controlled object.
  • the system program 112 may be expanded and executed in the main memory 106, but the control device 100 is realized by directly executing the system program 112 without expanding it in the main memory 106. It is possible to prevent the important programs for this from being transformed by the influence of radiation such as cosmic ray neutrons.
  • the flash memory 108 is a non-volatile memory and holds various programs including the system program 112 and the user program 114, and various parameters used in the various programs.
  • the flash memory 108 functions as a backup memory for storing backup data 160, which is a user program 114 having the same contents as the execution user program 114 expanded in the main memory 106.
  • the system program 112 is firmware and is a program for realizing the control device 100.
  • the user program 114 is a program other than the system program 112, for example, a program created for the purpose of controlling a control target, another device capable of communicating with the control device 100 (for example, a database, another control device). , HMI, etc.) may include a program for sending and receiving data to and from.
  • system program 112 and the user program 114 other than the system program 112 may be configured to be stored in different non-volatile memories.
  • system program 112 that is directly executed without being expanded in the main memory 106 may be stored in the high-speed flash memory, and the data such as the user program 114 that is frequently rewritten may be stored in another non-volatile memory. Good.
  • the main memory 106 is a volatile memory and holds user data 140 for execution when the processor 102 executes the user program 114.
  • control device 100 is an interface for communicating with other devices and an internal bus controller for exchanging data with a functional unit connected through an internal bus. It is equipped with a memory card interface for reading and writing data stored in the memory card.
  • the functional unit connected to the control device 100 may include an I / O (Input Output) unit, a safety I / O unit, a communication unit, a motion controller unit, a temperature control unit, a pulse counter unit, and the like.
  • I / O Input Output
  • safety I / O unit a safety I / O unit
  • communication unit a communication unit
  • motion controller unit a temperature control unit
  • pulse counter unit a pulse counter unit
  • control device 100 may be a safety unit that executes a control calculation for realizing a safety function related to a controlled object.
  • the processor 102 includes an instruction execution unit 202, an access control unit 204, a register 206, and an access interface 220.
  • the instruction execution unit 202 is an arithmetic unit and is composed of one or a plurality of arithmetic circuits.
  • the instruction execution unit 202 executes the instruction read from the main memory 106.
  • the access control unit 204 is a function realized by executing the system program 112, and by controlling the access interface 220, data can be exchanged between the processor 102, the flash memory 108, and the main memory 106. By controlling, the instructions included in the user program 114 are read from the main memory 106 and provided to the instruction execution unit 202 according to a predetermined execution order.
  • the register 206 may include an error address register 208, an error status register 210, and an instruction register 212. Processor 102 may further include other types of registers.
  • the error address register 208 holds an area (address) in which a soft error has occurred in the main memory 106.
  • the error status register 210 holds that a soft error has occurred in the main memory 106.
  • the instruction register 212 holds an instruction executed by the instruction execution unit 202.
  • the processor 102 may include a plurality of instruction registers 212.
  • the access interface 220 is controlled according to the instruction of the access control unit 204, and exchanges data between the main memory 106 and the flash memory 108.
  • the main memory 106 includes an address decoder 602, a memory cell 604, a read / write circuit 606, and a parity check circuit 610.
  • the address decoder 602 is connected to the processor 102 via the address bus 402.
  • the address decoder 602 identifies the address by decoding the signal output on the address bus 402, and activates the cell of the specified address among the memory cells 604.
  • the result decoded by the address decoder 602 is output to the parity check circuit 610.
  • User data 140 which is a user program 114 for execution, is stored in the memory cell 604.
  • Data 142 is stored in the memory cell 604 with the parity bit 144 added as information for error detection.
  • the read / write circuit 606 is connected to the processor 102 via the control bus 404 and the data bus 406.
  • the read / write circuit 606 reads or writes data to the memory cell 604 in response to the control signal from the control bus 404.
  • the read / write circuit 606 has a parity generation circuit 608.
  • the parity generation circuit 608 generates the parity bit 144 from the data 142 transmitted via the data bus 406.
  • the read / write circuit 606 is sent via the data bus 406 by adding the parity bit 144 generated by the parity generation circuit 608 to the cell activated by the address decoder 602. Stores data 142.
  • the read / write circuit 606 When reading data, the read / write circuit 606 reads the data (data 142 and parity bit 144) stored in the cell activated by the address decoder 602 and outputs the data to the data bus 406. Further, the read / write circuit 606 outputs the read data (data 142 and the parity bit 144) to the parity check circuit 610. The read / write circuit 606 may output only the data 142 to the data bus 406.
  • the parity check circuit 610 is connected to the processor 102 via the error bus 408.
  • the parity check circuit 610 checks whether or not an error has occurred in the data output from the read / write circuit 606 by a parity check. For example, when the data 142 at the time of writing is destroyed by cosmic ray neutrons or the like, it is destroyed in 1-bit units. Since it is unlikely that the data 142 to which the parity bit 144 is assigned is destroyed by two or more bits by cosmic ray neutrons, it is possible to detect whether or not the data 142 is destroyed by cosmic ray neutrons by performing a parity check. Since the method of parity check is a conventional technique, detailed description thereof will be omitted.
  • the parity check circuit 610 outputs the presence / absence of a data error and the address output from the address decoder 602 (the address of the cell for which the parity check has been performed) to the error bus 408.
  • the parity check circuit 610 may output the occurrence of the data error and the address to the error bus 408 only when a data error has occurred.
  • the configuration shown in FIG. 2 is an example, and the configuration is not limited to the configuration shown in FIG. 2 as long as it is a volatile memory having a circuit for detecting a data error. Further, the method for detecting a data error is not limited to the parity check, and any method can be applied.
  • the processor 102 and the flash memory 108 are connected via the address bus 410, the control bus 412, and the data bus 414.
  • the processor 102 executes the system program 112 via these buses. Further, the processor 102 appropriately expands the program from the flash memory 108 to the main memory 106 via these buses, and executes the user program 114.
  • FIG. 3 is a flowchart for explaining an example of the processing executed by the processor 102. In the following, the step is simply referred to as "S". The flowchart shown in FIG. 3 is realized by the processor 102 executing the system program 112. The flowchart shown in FIG. 3 is executed when power is supplied to the control device 100.
  • the processor 102 expands the user program 114 into the main memory 106.
  • the data 142 in which the parity bit 144 is added to the memory cell 604 of the main memory 106 is stored.
  • the processor 102 fetches the instruction to be executed from the main memory 106. More specifically, the access interface 220 outputs an address in which data corresponding to the instruction to be executed is stored to the address bus 402 according to the instruction of the access control unit 204, and outputs a signal requesting the control bus 404 to read. Output.
  • the main memory 106 responds to the read request from the processor 102 by outputting the data 142 at the specified address and the result of the parity check for the data 142 at the specified address.
  • the address decoder 602 activates the cell of the address output to the address bus 402, and also outputs the address to the parity check circuit 610.
  • the read / write circuit 606 receives the signal requesting read and outputs the data 142 and the parity bit 144 of the activated cell to the data bus 406 and the parity check circuit 610.
  • the parity check circuit 610 checks for the presence or absence of an error in the data 142 based on the data 142 and the parity bit 144, and outputs the check result and the address of the checked data 142 to the error bus 408.
  • the data 142 sent via the data bus 406 is stored in the instruction register 212.
  • the address of the checked data 142 among the data sent via the error bus 408 is stored in the error address register 208.
  • the check result of the data sent via the error bus 408 is stored in the error status register 210.
  • the processor 102 determines whether or not there is an error. Specifically, the processor 102 determines based on the check result stored in the error status register 210.
  • the processor 102 restores the data in S108. Specifically, the access control unit 204 controls the access interface 220 so that the data of the address stored in the error address register 208 is reloaded from the flash memory 108 to the main memory 106.
  • the access control unit 204 identifies the address in the flash memory 108 in which the data of the address is stored, based on the address stored in the error address register 208.
  • the access interface 220 outputs the specified address to the address bus 410 and a signal requesting reading to the control bus 412 according to the instruction of the access control unit 204.
  • the access interface 220 writes the address where the data 142 to be restored is stored to the address bus 402 and the data output by the flash memory 108 in response to the read request to the data bus 406 according to the instruction of the access control unit 204. Is output to the control bus 404, respectively.
  • the main memory 106 receives a signal requesting writing from the processor 102, and the data 142 and the parity bit 144 sent via the data bus 406 are written to the address specified via the address bus 402. As a result, the erroneous data will be restored.
  • the processor 102 clears the data in the error address register 208 and the error status register 210. After executing the process of S110, the processor 102 executes the processes of S104 and S106 again, and confirms that the parity error has been resolved by restoring the data.
  • the processes of S108 and S110 are repeated until it is determined that there is no error.
  • the processor 102 may stop the execution of the user program 114 and notify the user of the error.
  • the data sent via the error bus 408 is stored in the error address register 208 and the error status register 210. It should be noted that even if it is determined whether or not there is an error based on the data sent via the error bus 408, and if there is an error, the data is stored in the error address register 208 and the error status register 210. Good.
  • the processor 102 executes the fetched instruction in S112. Specifically, the instruction execution unit 202 of the processor 102 executes the instruction indicated by the data 142 stored in the instruction register 212.
  • the processor 102 determines whether or not the user program 114 has been executed for one cycle. When it is determined that the user program 114 has not been executed for one cycle (NO in S114), the processor 102 switches the process to S126.
  • the processor 102 fetches the data 142 as a dummy from the main memory 106.
  • the processor 102 updates the address read by the dummy. Specifically, the processor 102 sequentially updates the address regardless of the execution result of the instruction, and repeats the processes of S118 to S124, so that when the user program 114 is executed for a plurality of cycles, all the addresses in the memory cell 604 are executed. Data 142 is read at least once. That is, the processor 102 updates the address to be read by the dummy so that the data stored in the memory cell 604 is read in a predetermined order.
  • the processor 102 specifies the address in which the instruction to be executed next is stored according to the result of the instruction executed in S112.
  • the processor 102 executes the user program 114 by repeating the processes of S104 to S126.
  • Some of the instructions that make up the user program 114 are executed infrequently. If the processes S116 to S124 are not executed, the data for executing the instruction with low execution frequency will not be checked for a long period of time. Moreover, the parity check can detect only a 1-bit error. Therefore, if it is left unchecked for a long period of time and a destruction of 2 bits or more occurs, the destruction cannot be detected.
  • the data 142 stored in the main memory 106 is read at least once, so that the data for executing the infrequently executed instruction is executed. Can be prevented from being left unchecked for a long period of time.
  • timing for reading the data separately from the execution of the instruction is after the execution of the user program 114 for one cycle (S116), but the timing is not limited to this.
  • the timing for reading the data separately from the execution of the instruction may be, for example, after the execution of the user program 114 for a plurality of cycles, or after the execution of the plurality of instructions.
  • the timing of reading the data separately from the execution of the instruction may be during the execution of the user program 114.
  • the amount of data read in S116 is arbitrary and is not limited.
  • the memory for holding the backup data 160 used for data restoration is the flash memory 108, which is a non-volatile memory. That is, in the above embodiment, the data for holding the power failure stored in the non-volatile memory such as the flash memory 108 is used as the backup data. Therefore, it is not necessary to newly prepare data for backup, and the memory can be reduced.
  • the backup data 160 may be held separately from the data for holding the power failure.
  • the backup data 160 may be stored in a volatile memory such as the main memory 106 separately from the user data 140.
  • the time required for restoration can be shortened.
  • the backup data 160 may be stored in the main memory 106, or may be stored in another volatile memory different from the main memory 106.
  • the processor 102 reads the user program 114 into the memory that holds the backup data 160 when the user program 114 is expanded to the main memory 106.
  • the data of the user program 114 is updated with the execution of the instruction.
  • the data of the user program 114 may change dynamically as the instruction is executed.
  • the backup data 160 is also configured to be updated in the same manner as the data for execution.
  • the number of accesses to the backup data 160 increases. Therefore, when the user program 114 changes dynamically, it is preferable to store the backup data 160 in the volatile memory separately from the data for holding the power failure.
  • FIG. 4 shows a modified example of the processing executed by the processor 102.
  • FIG. 4 common step numbers are assigned to the processes common to those in FIG.
  • the process shown in FIG. 4 is different from the process shown in FIG. 3 in that the processes of S103, S113-1 and S113-2 are newly executed as the processes of S108'and S120'instead of S108 and S120.
  • processing different from the processing shown in FIG. 3 will be mainly described.
  • the processor 102 stores the backup data 160 in the main memory. That is, the processor 102 stores the user data 140 and the same backup data 160 as the user data 140 in the memory cell 604 of the main memory 106.
  • the process of S108' is different from the process of S108 in that the data referred to when reloading is not the data stored in the flash memory 108 but the backup data 160 stored in the main memory 106. (See FIG. 5).
  • the difference between the processing of S120'and the processing of S120 is common to the difference between the processing of S108'and the processing of S108.
  • the processor 102 determines whether or not there is a change in data. If there is a change in the data, it is necessary to rewrite the data. That is, by determining whether or not the data has been changed, it is determined whether or not the data needs to be rewritten. Specifically, the processor 102 determines whether or not the data has been changed as a result of the instruction executed in S112.
  • the processor 102 When there is a change in data (YES in S113-1), that is, when it is necessary to rewrite the data, the processor 102 rewrites the user data 140 and the backup data 160 in S113-2. When there is no change in the data (NO in S113-1), that is, when it is not necessary to rewrite the data, the processor 102 executes the processing after S114 without executing the processing in S113-2.
  • FIG. 5 is a schematic diagram of reading / writing / restoring data when the process shown in FIG. 4 is executed.
  • User data 140 for execution and backup data 160 are stored in the memory cell 604, respectively.
  • data is written to both the user data 140 and the backup data 160 (S113-2 in FIG. 4).
  • the backup data 160 is used to restore the data of the user data 140 (S108', S120' in FIG. 4). Further, when reading the data, it is read from the user data 140 and not from the backup data 160 (S104 in FIG. 4).
  • the backup data 160 will be destroyed, but the probability that both the user data 140 and the backup data 160 will be destroyed is extremely low. Therefore, it is less necessary to consider that the backup data 160 is destroyed.
  • a volatile memory for storing the backup data 160 may be separately provided.
  • only the user data 140 may be checked separately from the execution of the instruction, or the backup data 160 may be checked in addition to the user data 140. ..
  • the processor 102 when the data is restored in S108'and S120', the processor 102 also checks the data of the backup data 160, and if there is an error, notifies the error that the restoration cannot be performed. It may be configured as.
  • FIG. 6 is a diagram showing an example of log data.
  • the processor 102 leaves the date when the error is detected, the address where the data in which the error is stored, the data 142 before restoration, and the data 142 after restoration as log data 180. ..
  • the processor 102 includes the date and time when the error was detected, the data in which the error occurred, and the address where the data is stored. And may be left as log data.
  • the user can analyze the frequency at which the parity check error occurs, the cause of the occurrence, etc. by checking the log data 180.
  • the method for determining the presence or absence of an error is a parity check method. This is because volatile memories with an error detection function on the market often determine the presence or absence of an error by a parity check, so parity is an example of a method for determining the presence or absence of an error. I mentioned the check method.
  • the method for determining whether or not an error has occurred is not limited to this. In consideration of cost, it is preferable to provide the control device 100 with a volatile memory having a parity check function that is generally distributed in the market.
  • the backup data 160 may include data different from the user program 114, such as parameters necessary for executing the user program 114.
  • a control device for controlling a controlled object.
  • An instruction execution unit (202, 202X) that sequentially executes instructions included in a user program, and Volatile memory (106, 106X) for storing the user program and A backup memory (108,110X, 106) for storing a backup user program having the same contents as the user program stored in the volatile memory, and
  • An access control unit (204, 204X) that reads an instruction included in the user program from the volatile memory and provides the instruction to the instruction execution unit according to a predetermined execution order is provided.
  • the volatile memory adds information for error detection (144, 144X) to store data (142), and in response to a read request, data in a designated area and the designated area.
  • the control device is configured to respond (606, 608, 610) whether or not an error has occurred in the specified area, which is determined based on the corresponding error detection information.
  • an error occurs when the volatile memory responds that an error has occurred in the area where the read instruction is stored.
  • the control device is configured to reload the data in the area to be loaded from the backup memory into the volatile memory and read the instruction from the volatile memory again (S104, S106, S108, S108').
  • ⁇ Structure 2> The control device according to configuration 1, wherein the volatile memory is configured to respond with or without occurrence of an error by a parity check (610).
  • the access control unit reads the data stored in the volatile memory in a predetermined order and at a predetermined timing, separately from the reading for the purpose of providing the instruction to the instruction execution unit.
  • the volatile memory responds that an error has occurred in the area where the read data is stored, the data including the instruction stored in the backup memory is transferred from the backup memory to the volatile memory. (S116, S118, S120, S120', S124), the control device according to the configuration 1 or 2.
  • the backup memory is a memory (108) that non-volatilely stores the user program for backup.
  • the control device according to any one of configurations 1 to 3, wherein the user program stored in the volatile memory is loaded from the backup memory (S102).
  • the backup memory is a memory for volatilely storing the user program for backup (106).
  • the access control unit rewrites the data stored in the volatile memory and the data stored in the backup memory ( S113-1, S113-2), the control device according to any one of configurations 1 to 3.
  • ⁇ Structure 6> A method of controlling the execution of a user program in a control device for controlling a controlled object.
  • the control device (100, 100X) is Volatile memory (106, 106X) for storing the user program and A backup memory (108,110X, 106) for storing a backup user program having the same contents as the user program stored in the volatile memory is provided.
  • the volatile memory adds information for error detection (144, 144X) to store data (142), and in response to a read request, data in a designated area and the designated area. It is configured to respond (606, 608, 610) whether or not an error has occurred in the specified area, which is determined based on the corresponding error detection information.
  • a method for controlling execution of a user program comprising a step (S112) of executing an instruction read from the volatile memory.
  • the control device (100, 100X) is Volatile memory (106, 106X) for storing user programs and A backup memory (108,110X, 106) for storing a backup user program having the same contents as the user program stored in the volatile memory is provided.
  • the volatile memory adds information for error detection (144, 144X) to store data (142), and in response to a read request, data in a designated area and the designated area. It is configured to respond (606, 608, 610) whether or not an error has occurred in the specified area, which is determined based on the corresponding error detection information.
  • the system program is sent to the processor (102) of the control device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Automation & Control Theory (AREA)
  • Programmable Controllers (AREA)
  • Detection And Correction Of Errors (AREA)
  • Retry When Errors Occur (AREA)
  • Stored Programmes (AREA)
  • Techniques For Improving Reliability Of Storages (AREA)

Abstract

メモリに生じる誤りの検出および復元に要する時間を短縮する。揮発性メモリ（１０６Ｘ）は、誤り検出用の検出用情報（１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定されたアドレスのデータ、および、指定されたアドレスに対応する検出用情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。アクセス制御部（２０４Ｘ）は、揮発性メモリ（１０６Ｘ）から命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリ（１０６Ｘ）から応答されると、誤りが発生している領域のデータをバックアップメモリ（１１０Ｘ）から揮発性メモリ（１０６Ｘ）にロードしなおし、揮発性メモリ（１０６Ｘ）から命令を再度読み出す。

Description

制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム
　本発明は、制御対象を制御するためにユーザプログラムを実行する制御装置と、当該制御装置におけるユーザプログラムの実行制御方法と、当該制御装置を実現するためのシステムプログラムに関する。
　様々な製造現場において、ＰＬＣ（Programmable　Logic　Controller）などの制御装置が導入されている。このような制御装置は、一種のコンピュータであり、ＲＡＭ（Random　Access　Memory）などの揮発性メモリと、ＣＰＵ（Central　Processing　Unit）などのプロセッサとを備える。揮発性メモリは、製造装置または製造設備などに応じて設計されたユーザプログラムを格納する。プロセッサは、揮発性メモリに格納されたユーザプログラムを構成する命令を順番に読み込み、逐次実行する。
　揮発性メモリに格納されたユーザプログラムを実行する場合に、ユーザプログラムのデータが放射線の影響を受けて１ビット単位で破壊され、揮発性メモリにソフトエラーが発生することがある。このように、ユーザプログラムのデータが破壊されてソフトエラーが発生することがあるため、ソフトエラーの検出、および、検出したソフトエラーを修正する機能を制御装置に対して設けることが望まれている。
　特開２００４－２２０５８０号公報（特許文献１）は、ユーザプログラムが格納されるユーザプログラムメモリに加えて、ユーザプログラムメモリに格納されたユーザプログラムと同一内容のデータが格納されたバックアップメモリとを備えたプログラマブルコントローラ用ユニットを開示する。このプログラマブルコントローラ用ユニットは、バックアップメモリとユーザプログラムメモリの内容を比較することで異常を検知し、異常を検知した場合にユーザプログラムメモリに格納されたユーザプログラムをバックアップメモリに格納されたデータに基づいて修復する。
特開２００４－２２０５８０号公報
　特許文献１に開示されたエラーの検知方法は、２つのメモリを互いに比較することでエラーを検知するため、比較結果を得るまでに時間がかかるという課題がある。
　本発明は、メモリに生じる誤りの検出および復元に要する時間を短縮することを目的とする。
　本開示の一例によれば、制御対象を制御するための制御装置が提供される。制御装置は、ユーザプログラムに含まれる命令を順次実行する命令実行部と、ユーザプログラムを格納する揮発性メモリと、揮発性メモリに格納されたユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリと、所定の実行順序に従って、ユーザプログラムに含まれる命令を揮発性メモリから読み出して命令実行部へ提供するアクセス制御部とを含む。揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、指定された領域に対応する誤り検出用の情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。アクセス制御部は、揮発性メモリから命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリから応答されると、誤りが発生している領域のデータをバックアップメモリから揮発性メモリにロードしなおし、揮発性メモリから命令を再度読み出すように構成されている。
　本開示によれば、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。
　上述の開示において、揮発性メモリは、パリティチェックにより誤りの発生有無を応答するように構成されていてもよい。この構成によれば、１ビット単位の誤りを検知することができる。
　上述の開示において、アクセス制御部は、命令実行部に命令を提供することを目的とした読み出しとは別に、揮発性メモリに格納されたデータを予め定められた順番に予め定められたタイミングで読み出し、読み出したデータを格納していた領域に誤りが発生していることが揮発性メモリから応答されると、バックアップメモリに格納されている命令を含むデータをバックアップメモリから揮発性メモリにロードしなおす。
　この開示によれば、命令の実行順序によっては、呼び出される頻度が極めて低い命令にかかるデータに対しても、定期的に誤り検出と誤りの復元とが実行される。
　上述の開示において、バックアップメモリは、バックアップ用のユーザプログラムを不揮発的に格納するメモリであってもよい。この場合に、揮発性メモリに格納されるユーザプログラムは、バックアップメモリからロードされる。
　この開示によれば、電断用のメモリをバックアップメモリに用いることができるため、バックアップメモリを別途用意する必要がなく、メモリ容量を削減することができる。
　上述の開示において、バックアップメモリは、バックアップ用のユーザプログラムを揮発的に格納するメモリであってもよい。アクセス制御部は、命令の実行に伴って揮発性メモリに格納されたデータの書き換えが必要な場合、揮発性メモリに格納されたデータおよびバックアップメモリに格納されたデータを書き換える。
　この開示によれば、揮発性メモリに格納されたデータに加えてバックアップメモリに格納されたデータを書き換えることで、データの書き換えが生じる命令を含むユーザプログラムのソフトエラーにも対応することができる。
　本開示の別の一例によれば、制御対象を制御するための制御装置におけるユーザプログラムの実行制御方法が提供される。制御装置は、ユーザプログラムを格納する揮発性メモリと、揮発性メモリに格納されたユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリとを含む。揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、指定された領域に対応する誤り検出用の情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。ユーザプログラムの実行制御方法は、所定の実行順序に従って、ユーザプログラムに含まれる命令を揮発性メモリから読み出すステップと、揮発性メモリから命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリから応答されると、誤りが発生している領域のデータをバックアップメモリから揮発性メモリにロードしなおし、揮発性メモリから命令を再度読み出すステップと、揮発性メモリから読み出した命令を実行するステップとを含む。
　この開示によれば、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。
　本開示のさらに別の一例によれば、制御対象を制御するための制御装置を実現するためのシステムプログラムが提供される。制御装置は、ユーザプログラムを格納する揮発性メモリと、揮発性メモリに格納されたユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリとを含む。揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、指定された領域に対応する誤り検出用の情報に基づいて決定される指定された領域における誤りの発生有無、を応答するように構成されている。システムプログラムは制御装置のプロセッサに、所定の実行順序に従って、ユーザプログラムに含まれる命令を揮発性メモリから読み出すステップと、揮発性メモリから命令を読み出した場合に、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリから応答されると、誤りが発生している領域のデータをバックアップメモリから揮発性メモリにロードしなおし、揮発性メモリから命令を再度読み出すステップと、揮発性メモリから読み出した命令を実行するステップとを実行させる。
　この開示によれば、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。
　本発明によれば、メモリに生じる誤りの検出および復元に要する時間を短縮することができる。
本開示の適用例を模式的に説明するための図である。 制御装置１００の構成を模式的に示した図である。 プロセッサ１０２が実行する処理の一例を説明するためのフローチャートである。 プロセッサ１０２が実行する処理の変形例を示す。 図４に示した処理を実行したときのデータの読出／書込／復元の模式図である。 ログデータの一例を示す図である。
　以下、図面を参照しつつ、本発明に従う各実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらについての詳細な説明は繰り返さない。なお、以下で説明される各実施の形態および各変形例は、適宜選択的に組み合わせてもよい。
　§１．適用例
　図１を参照して、本発明が適用される場面の一例について説明する。図１は、本開示の適用例を模式的に説明するための図である。図１を参照して、本開示に係る制御装置１００Ｘは、例えば、ＰＬＣ（プログラマブルコントローラ）と称される産業用のコントローラに相当し、図示しない各種の製造設備や機械を制御する。制御装置１００Ｘによる制御においては、センサなどを用いて必要な情報を取得し、制御装置１００Ｘで実行されるプログラムに従って、それらの取得された情報を用いて予め定められた制御演算を実行することで、制御出力を算出する。
　制御装置１００Ｘは、命令実行部２０２Ｘと、揮発性メモリ１０６Ｘと、バックアップメモリ１１０Ｘと、アクセス制御部２０４Ｘとを含む。
　命令実行部２０２Ｘは、ユーザプログラム１１４に含まれる命令を順次実行する。ユーザプログラム１１４は、制御対象を制御することを目的として作成されたプログラム、制御装置１００と通信可能な他の装置（たとえば、データベース、他の制御装置、ＨＭＩ（Human　Machine　Interface）など）との間でデータの送受信を行うためのプログラムなど、任意のアプリケーションを実現するためのプログラムである。
　アクセス制御部２０４Ｘは、所定の実行順序に従って、メインメモリ１０６からユーザプログラム１１４に含まれる命令を読み出して命令実行部２０２Ｘに提供する。
　命令実行部２０２Ｘおよびアクセス制御部２０４Ｘは、たとえば、制御装置１００のプロセッサが、制御装置の基本的な機能を実現するためのシステムプログラムを実行することで実現される機能である。なお、命令実行部２０２Ｘおよびアクセス制御部２０４Ｘの機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application　Specific　Integrated　Circuit）またはＦＰＧＡ（Field-Programmable　Gate　Array）など）を用いて実装してもよい。たとえば、命令実行部２０２Ｘの機能を専用のハードウェア回路を用いて実装し、アクセス制御部２０４Ｘの機能を制御装置１００Ｘのプロセッサがシステムプログラムを実行することで実現してもよい。
　揮発性メモリ１０６Ｘは、ユーザプログラム１１４を揮発的に格納する。揮発性メモリ１０６Ｘに格納されたユーザプログラム１１４は、実行用のプログラムであって、ユーザデータ１４０である。
　バックアップメモリ１１０Ｘは、揮発性メモリ１０６Ｘに格納されたユーザプログラム１１４と同一内容のバックアップ用のユーザプログラム１１４であるバックアップデータ１６０を格納する。バックアップメモリ１１０Ｘは、揮発性のメモリであっても、不揮発性のメモリであってもよい。
　バックアップデータ１６０は、ユーザデータ１４０が破壊された際に当該ユーザデータ１４０を復元するために利用される。たとえば、ユーザデータ１４０が宇宙線中性子などにより破壊された場合に、揮発性メモリ１０６Ｘにバックアップデータ１６０をロードしなおすことで、破壊されたデータを復元する。
　揮発性メモリ１０６Ｘは、誤り検出機能を搭載したメモリであって、具体的には、データ１４２を格納する際に、データ１４２に誤り検出用の情報（検出用情報１４４Ｘ）を付加して格納する。また、揮発性メモリ１０６Ｘは、読み出し要求に応じて、指定された領域のデータを出力する場合に、指定された領域に誤りの発生有無を合わせて出力する。誤りの発生有無は、検出用情報１４４Ｘに基づいて決定される。誤りの発生有無は、たとえば、従来から知られているパリティチェックに従って決定される。
　アクセス制御部２０４Ｘは、読み出した命令を格納していた領域に誤りが発生していることが揮発性メモリ１０６Ｘから応答されると、誤りが発生している領域のデータについて、バックアップメモリ１１０Ｘから揮発性メモリ１０６Ｘにロードしなおす。アクセス制御部２０４Ｘは、ロードしなおした後、揮発性メモリ１０６Ｘから命令を再度読み出す。
　このように、指定された領域の誤りの検出を誤り検出用の情報に基づいて誤りの発生有無が決定されるため、メモリ間を比較して誤りの発生を検知する場合に比べて、処理にかかる時間を短縮することができる。
　また、データの誤りを検出する機能を備えた揮発性メモリは、市場に一般的に流通している。本開示に係る制御装置１００Ｘは、このような一般的に流通している揮発性メモリ１０６Ｘを利用しつつ、誤りが発生している場合に揮発性メモリ１０６Ｘから命令を再度読み出す処理をプロセッサに実行させるように構成すればよく、容易に実現することが可能である。
　また、データの誤りをハードウェア的に検知し、かつ訂正する機能を有するメモリが存在するが、このようなメモリは高価である。本開示に係る制御装置１００Ｘは、誤り検出機能のみを備えるメモリを利用することでも実現可能であるため、コストを抑えて実現することが可能である。
　なお、揮発性メモリ１０６Ｘは、データの誤りをハードウェア的に検知し、かつ訂正する機能を有するメモリであってもよい。この場合、たとえば、メモリによりデータの訂正ができない場合であっても、プロセッサの処理としてデータをロードしなおすように構成することで、メモリが備える訂正機能を補うことができる。
　また、本開示にかかる制御装置１００Ｘは、命令を実行する前に、データをロードしなおすため、誤ったデータに従って命令が実行されることを防止することができる。
　また、命令を実行した後に、誤ったデータをロードしなおす場合には、誤ったデータに従って命令を実行して更新される入出力データについてもバックアップをとっておくことが望まれる。これに対して、本開示にかかる制御装置１００Ｘは、命令を実行する前に、誤ったデータをロードしなおすため、入出力データのバックアップを必ずしもとっておく必要がなく、メモリの削減をすることができる。
　また、本開示に係る制御装置１００Ｘは、データの読み出し要求に応じて、誤りの発生有無の応答がされる。そのため、ユーザプログラム１１４全体を実行した後に誤りの発生有無を行うような場合に比べてデータの誤りを早くに発見することができる。
　なお、データを復元するタイミングは、誤りの発生有無の応答がされたときであってもよく、また、誤りの発生有無の応答がされたあと、当該誤りの発生有無にかかるデータの命令を実行するときであってもよい。
　また、誤りが発生している場合、誤りが発生しているデータのみをバックアップメモリ１１０Ｘからロードしなおしてもよく、また、読み出した命令単位でデータをバックアップメモリ１１０Ｘからロードしなおしてもよく、また、ユーザプログラム１１４全体をロードしなおすことで誤りが発生しているデータをロードしなおしてもよい。
　なお、誤りが発生している場合にロードをしなおす場合、誤りが発生しているデータのみ、または、読み出した命令にかかるデータを読み出すようにした方が、ユーザプログラム１１４全体をロードしなおす場合に比べて、復元に要する時間を短縮することができる。
　§２．具体例
　＜Ａ．制御装置１００の構成＞
　図２は、制御装置１００の構成を模式的に示した図である。図２においては、制御装置１００の中心的な処理を行う構成の一部を示している。
　図２を参照して、制御装置１００は、プロセッサ１０２、メインメモリ１０６およびフラッシュメモリ１０８を有する。プロセッサ１０２、メインメモリ１０６、およびフラッシュメモリ１０８は、ワンチップマイコンに搭載された形で制御装置１００に設けられていてもよく、また、各々、別々に搭載された形で制御装置１００に設けられていてもよい。
　プロセッサ１０２は、フラッシュメモリ１０８に格納されたシステムプログラム１１２を直接実行することで、ユーザプログラム１１４をメインメモリ１０６に展開して順次実行する。プロセッサ１０２は、ユーザプログラム１１４を読み出して、メインメモリ１０６に展開して実行することで、制御対象に対する制御を実現する。なお、システムプログラム１１２をメインメモリ１０６に展開して実行するような構成であってもよいが、システムプログラム１１２がメインメモリ１０６に展開されることなく直接実行されることで、制御装置１００を実現するための重要なプログラムが宇宙線中性子などの放射線の影響を受けて化けることを防止することができる。
　フラッシュメモリ１０８は、不揮発性メモリであって、システムプログラム１１２およびユーザプログラム１１４を含む各種プログラムおよび、各種プログラムで利用される各種パラメータを保持する。本実施の形態において、フラッシュメモリ１０８は、メインメモリ１０６に展開される実行用のユーザプログラム１１４と同一内容のユーザプログラム１１４であるバックアップデータ１６０を格納するバックアップメモリとして機能する。
　システムプログラム１１２は、ファームウェアであって、制御装置１００を実現するためのプログラムである。ユーザプログラム１１４は、システムプログラム１１２以外のプログラムであって、たとえば、制御対象を制御することを目的として作成されたプログラム、制御装置１００と通信可能な他の装置（たとえば、データベース、他の制御装置、ＨＭＩなど）との間でデータの送受信を行うためのプログラムなどを含み得る。
　なお、システムプログラム１１２、およびシステムプログラム１１２以外のユーザプログラム１１４などのデータを、互いに異なる不揮発性メモリに格納するように構成してもよい。この場合に、メインメモリ１０６に展開することなく直接実行されるシステムプログラム１１２は高速のフラッシュメモリに格納し、書き換え頻度の高いユーザプログラム１１４等のデータについては別の不揮発性メモリに格納してもよい。
　メインメモリ１０６は、揮発性メモリであって、プロセッサ１０２がユーザプログラム１１４を実行するときの実行用のユーザデータ１４０を保持する。
　なお、図２に記載していないものの、制御装置１００は、他の装置と通信するためのインターフェイス、および、内部バスを通じて連結される機能ユニットとの間でデータを遣り取りするための内部バスコントローラ、メモリカードに格納されたデータの読み書きを行うためのメモリカードインターフェイスなどを備える。
　制御装置１００と連結される機能ユニットとしては、Ｉ／Ｏ（Input　Output）ユニット、セーフティＩ／Ｏユニット、通信ユニット、モーションコントローラユニット、温度調整ユニット、パルスカウンタユニットなどを包含し得る。
　また、制御装置１００は、制御対象に関するセーフティ機能を実現するための制御演算を実行するセーフティユニットであってもよい。
　＜Ｂ．プロセッサおよびメインメモリの機能構成＞
　図２を参照して、プロセッサ１０２およびメインメモリ１０６の機能構成について説明する。プロセッサ１０２は、命令実行部２０２と、アクセス制御部２０４と、レジスタ２０６と、アクセスインターフェイス２２０とを含む。
　命令実行部２０２は、演算器であって、１または複数の演算回路から構成されている。命令実行部２０２は、メインメモリ１０６から読み込んだ命令を実行する。
　アクセス制御部２０４は、システムプログラム１１２が実行されることで実現される機能であって、アクセスインターフェイス２２０を制御することで、プロセッサ１０２とフラッシュメモリ１０８とメインメモリ１０６との間のデータの遣り取りを制御することで、所定の実行順序に従って、ユーザプログラム１１４に含まれる命令をメインメモリ１０６から読み出して命令実行部２０２へ提供する。
　レジスタ２０６は、エラーアドレスレジスタ２０８と、エラーステータスレジスタ２１０と、命令レジスタ２１２とを含み得る。プロセッサ１０２は、他の種類のレジスタをさらに備えていてもよい。
　エラーアドレスレジスタ２０８は、メインメモリ１０６内においてソフトエラーの発生しているエリア（アドレス）を保持する。
　エラーステータスレジスタ２１０は、メインメモリ１０６内においてソフトエラーが発生している状態にあることを保持する。
　命令レジスタ２１２は、命令実行部２０２が実行する命令を保持する。プロセッサ１０２は、命令レジスタ２１２を複数備えてもよい。
　アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って制御され、メインメモリ１０６およびフラッシュメモリ１０８との間でデータの遣り取りを行う。
　メインメモリ１０６は、アドレスデコーダ６０２と、メモリセル６０４と、読出／書込回路６０６と、パリティチェック回路６１０とを備える。
　アドレスデコーダ６０２は、アドレスバス４０２を介してプロセッサ１０２に接続されている。アドレスデコーダ６０２は、アドレスバス４０２上に出力された信号をデコードすることでアドレスを特定し、メモリセル６０４のうち特定したアドレスのセルを活性化させる。アドレスデコーダ６０２によってデコードされた結果は、パリティチェック回路６１０に出力される。
　メモリセル６０４には、実行用のユーザプログラム１１４であるユーザデータ１４０が格納される。メモリセル６０４には、誤り検出用の情報としてパリティビット１４４が付加された状態でデータ１４２が格納される。
　読出／書込回路６０６は、コントロールバス４０４およびデータバス４０６を介してプロセッサ１０２に接続されている。読出／書込回路６０６は、コントロールバス４０４からの制御信号に応じて、メモリセル６０４に対し、データの読み出しまたは書き込みを行う。
　読出／書込回路６０６は、パリティ生成回路６０８を有する。パリティ生成回路６０８は、データバス４０６を介して送信されたデータ１４２からパリティビット１４４を生成する。読出／書込回路６０６は、データの書き込みを行う場合、アドレスデコーダ６０２によって活性化されたセルに、パリティ生成回路６０８が生成したパリティビット１４４を付加して、データバス４０６を介して送られたデータ１４２を格納する。
　読出／書込回路６０６は、データの読み出しを行う場合、アドレスデコーダ６０２によって活性化されたセルに格納されたデータ（データ１４２およびパリティビット１４４）を読み出し、データバス４０６に出力する。また、読出／書込回路６０６は、読み出したデータ（データ１４２およびパリティビット１４４）をパリティチェック回路６１０に出力する。なお、読出／書込回路６０６は、データバス４０６にデータ１４２だけを出力するようにしてもよい。
　パリティチェック回路６１０は、エラーバス４０８を介してプロセッサ１０２に接続されている。パリティチェック回路６１０は、読出／書込回路６０６から出力されたデータに誤りが発生しているか否かをパリティチェックによりチェックする。たとえば、書き込み時のデータ１４２が、宇宙線中性子などにより破壊される場合、１ビット単位で破壊される。パリティビット１４４が付与されたデータ１４２が宇宙線中性子により２ビット以上破壊される可能性は低いため、パリティチェックをすることで宇宙線中性子により破壊されているか否かを検知することができる。なお、パリティチェックの方法について、従来技術であるため、詳細な説明は省略する。
　パリティチェック回路６１０は、データ誤りの発生有無と、アドレスデコーダ６０２から出力されたアドレス（パリティチェックをしたセルのアドレス）とをエラーバス４０８に出力する。なお、パリティチェック回路６１０は、データ誤りが発生している場合にのみ、データ誤りの発生と、アドレスとをエラーバス４０８に出力するようにしてもよい。
　なお、図２に示した構成は一例であって、データ誤りを検出するための回路を有する揮発性メモリであれば、図２に示した構成に限られない。また、データ誤りを検出する方法は、パリティチェックに限られず、任意の方法を適用可能である。
　プロセッサ１０２とフラッシュメモリ１０８とは、アドレスバス４１０、コントロールバス４１２、およびデータバス４１４を介して接続されている。プロセッサ１０２は、これらのバスを介してシステムプログラム１１２を実行する。また、プロセッサ１０２は、これらのバスを介して、適宜、フラッシュメモリ１０８からプログラムをメインメモリ１０６に展開して、ユーザプログラム１１４を実行する。
　＜プロセッサの処理＞
　図３は、プロセッサ１０２が実行する処理の一例を説明するためのフローチャートである。以下では、ステップは、単に「Ｓ」と記載する。図３に示すフローチャートは、プロセッサ１０２がシステムプログラム１１２を実行することで実現される。図３に示すフローチャートは、制御装置１００に電源が供給されると実行される。
　Ｓ１０２において、プロセッサ１０２は、ユーザプログラム１１４をメインメモリ１０６に展開する。Ｓ１０２の処理により、メインメモリ１０６のメモリセル６０４にパリティビット１４４を付加したデータ１４２が格納される。
　Ｓ１０４において、プロセッサ１０２は、実行対象の命令をメインメモリ１０６からフェッチする。より具体的には、アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って、実行対象の命令に対応するデータが格納されたアドレスをアドレスバス４０２に出力し、コントロールバス４０４に読み出しを要求する信号を出力する。
　メインメモリ１０６は、プロセッサ１０２からの読み出し要求に対して、指定されたアドレスのデータ１４２と、当該指定されたアドレスのデータ１４２に対するパリティチェックの結果とを出力することで応答する。具体的には、アドレスデコーダ６０２は、アドレスバス４０２に出力されたアドレスのセルを活性化させ、また、アドレスをパリティチェック回路６１０に出力する。読出／書込回路６０６は、読み出しを要求する信号を受けて、活性化されているセルのデータ１４２およびパリティビット１４４をデータバス４０６と、パリティチェック回路６１０とに出力する。パリティチェック回路６１０は、データ１４２およびパリティビット１４４に基づいて、データ１４２の誤りの有無をチェックし、チェック結果と、チェックしたデータ１４２のアドレスとをエラーバス４０８に出力する。
　データバス４０６を介して送られたデータ１４２は、命令レジスタ２１２に格納される。エラーバス４０８を介して送られたデータのうちのチェックしたデータ１４２のアドレスは、エラーアドレスレジスタ２０８に格納される。エラーバス４０８を介して送られたデータのうちのチェック結果は、エラーステータスレジスタ２１０に格納される。
　Ｓ１０６において、プロセッサ１０２は、エラーがあるか否かを判定する。具体的には、プロセッサ１０２は、エラーステータスレジスタ２１０に格納されたチェック結果に基づいて判定する。
　エラーがあると判定された場合（Ｓ１０６においてＹＥＳ）、Ｓ１０８において、プロセッサ１０２は、データを復元する。具体的には、アクセス制御部２０４は、エラーアドレスレジスタ２０８に格納されているアドレスのデータをフラッシュメモリ１０８からメインメモリ１０６に再度ロードするようにアクセスインターフェイス２２０を制御する。
　たとえば、アクセス制御部２０４は、エラーアドレスレジスタ２０８に格納されているアドレスに基づいて、当該アドレスのデータが格納されたフラッシュメモリ１０８内のアドレスを特定する。アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って、特定されたアドレスをアドレスバス４１０に、読み出しを要求する信号をコントロールバス４１２に、それぞれ出力する。
　そして、アクセスインターフェイス２２０は、アクセス制御部２０４の指示に従って、復元対象のデータ１４２が格納されたアドレスをアドレスバス４０２に、フラッシュメモリ１０８が読み出し要求に応じて出力したデータをデータバス４０６に、書き込みを要求する信号をコントロールバス４０４に、それぞれ出力する。
　メインメモリ１０６は、プロセッサ１０２からの書き込みを要求する信号を受けて、アドレスバス４０２を介して指定されたアドレスに、データバス４０６を介して送られたデータ１４２およびパリティビット１４４が書き込まれる。これにより、誤りのあるデータが、復元されることとなる。
　Ｓ１１０において、プロセッサ１０２は、エラーアドレスレジスタ２０８とエラーステータスレジスタ２１０のデータをクリアする。プロセッサ１０２は、Ｓ１１０の処理を実行した後、再度Ｓ１０４およびＳ１０６の処理を実行し、データが復元されたことでパリティエラーが解消されたことを確認する。
　図３に示す例では、エラーがないと判定されるまで、Ｓ１０８およびＳ１１０の処理を繰り返すものとしている。なお、Ｓ１０８およびＳ１１０の処理を所定回数繰り返し実行した場合には、プロセッサ１０２は、ユーザプログラム１１４の実行を停止して、エラーをユーザに対して通知するようにしてもよい。
　また、本実施の形態において、エラーバス４０８を介して送られたデータは、エラーアドレスレジスタ２０８とエラーステータスレジスタ２１０とに格納されるとした。なお、エラーバス４０８を介して送られたデータに基づいてエラーがあるか否かを判定し、エラーがある場合に、エラーアドレスレジスタ２０８とエラーステータスレジスタ２１０とにデータを格納するようにしてもよい。
　エラーがないと判定された場合（Ｓ１０６においてＮＯ）、Ｓ１１２において、プロセッサ１０２は、フェッチした命令を実行する。具体的には、プロセッサ１０２の命令実行部２０２は、命令レジスタ２１２に格納されたデータ１４２が示す命令を実行する。
　Ｓ１１４において、プロセッサ１０２は、ユーザプログラム１１４を１サイクル分実行したか否かを判定する。ユーザプログラム１１４を１サイクル分実行していないと判定された場合（Ｓ１１４においてＮＯ）、プロセッサ１０２は、Ｓ１２６に処理を切り替える。
　ユーザプログラム１１４を１サイクル分実行したと判定された場合（Ｓ１１４においてＹＥＳ）、Ｓ１１６において、プロセッサ１０２は、データ１４２をダミーでメインメモリ１０６からフェッチする。
　Ｓ１１８，１２０，１２２の処理は、Ｓ１０６，１０８，１１０の処理と共通するため、説明を省略する。
　Ｓ１１８においてエラーがないと判定された場合、または、Ｓ１２０およびＳ１２２の処理が実行された後、Ｓ１２４において、プロセッサ１０２は、ダミーで読み出すアドレスを更新する。具体的には、プロセッサ１０２は、命令の実行結果に関わらず、アドレスを順次更新し、Ｓ１１８からＳ１２４の処理を繰り返すことで、ユーザプログラム１１４を複数サイクル実行したときに、メモリセル６０４内の全てのデータ１４２を少なくとも１度は読み出す。すなわち、プロセッサ１０２は、メモリセル６０４に格納されたデータを予め定められた順で読み出されるように、ダミーで読み出すアドレスを更新する。
　Ｓ１２６において、プロセッサ１０２は、Ｓ１１２において実行した命令の結果に応じて、次に実行する命令が格納されたアドレスを特定する。プロセッサ１０２は、Ｓ１０４～Ｓ１２６の処理を繰り返すことで、ユーザプログラム１１４を実行する。
　ユーザプログラム１１４を構成する命令の中には、実行頻度の低いものも存在する。Ｓ１１６～Ｓ１２４の処理を実行しなかった場合には、実行頻度の低い命令を実行するためのデータについては、長期間に亘ってチェックされないこととなる。また、パリティチェックは、１ビットの誤りしか検出することができない。そのため、長期間に亘ってチェックされることなく放置されて２ビット以上の破壊が生じている場合、当該破壊を検出することができない。
　本実施の形態においては、Ｓ１１６～Ｓ１２４が繰り返し実行されることで、メインメモリ１０６に格納されたデータ１４２が少なくとも１度は読み出されることになるため、実行頻度の低い命令を実行するためのデータが長期間に亘ってチェックされることなく放置されてしまうことを防止することができる。
　なお、命令の実行とは別にデータの読み出しをするタイミングは、ユーザプログラム１１４を１サイクル分実行した後としたが（Ｓ１１６）、これに限られない。命令の実行とは別にデータの読み出しをするタイミングは、たとえば、ユーザプログラム１１４を複数サイクル分実行した後であってもよく、また、複数の命令を実行した後であってもよい。また、制御装置１００に複数のプロセッサが搭載されている場合には、命令の実行とは別にデータの読み出しをするタイミングは、ユーザプログラム１１４の実行中であってもよい。また、Ｓ１１６において読み出すデータの量は、任意であり、限定されるものではない。
　＜変形例＞
　（変形例１）
　上記実施の形態においては、データの復元に用いるバックアップデータ１６０を保持するメモリは、不揮発性メモリであるフラッシュメモリ１０８とした。すなわち、上記実施の形態においては、フラッシュメモリ１０８のような不揮発性メモリに格納された電断保持用のデータを、バックアップ用のデータとして用いた。そのため、新たにバックアップ用のデータを用意する必要がなく、メモリを削減することができる。
　なお、バックアップデータ１６０は、電断保持用のデータとは別に保持されていてもよい。たとえば、バックアップデータ１６０は、メインメモリ１０６のような揮発性メモリに、ユーザデータ１４０とは別に格納されていてもよい。プロセッサ１０２からのアクセスがフラッシュメモリ１０８に比べて早い揮発性メモリにバックアップデータ１６０を格納することで、復元にかかる時間を短縮することができる。バックアップデータ１６０は、メインメモリ１０６に格納されてもよく、また、メインメモリ１０６とは異なる別の揮発性メモリに格納されてもよい。
　なお、バックアップデータ１６０を保持するメモリを揮発性メモリとする場合、プロセッサ１０２は、ユーザプログラム１１４をメインメモリ１０６に展開する際に、バックアップデータ１６０を保持するメモリにもユーザプログラム１１４を読み出す。
　＜変形例２＞
　上記実施の形態においては、命令の実行に伴ってユーザプログラム１１４のデータが更新されることについて言及しなかった。なお、ユーザプログラム１１４によっては、命令の実行に伴って、ユーザプログラム１１４のデータが動的に変化することもある。このような場合には、バックアップデータ１６０についても、実行用のデータと同様に更新されるように構成することが好ましい。
　ユーザプログラム１１４の実行に伴いデータを更新する場合、バックアップデータ１６０へのアクセス回数が増える。そのため、ユーザプログラム１１４が動的に変化する場合は、電断保持用のデータとは別に揮発性メモリにバックアップデータ１６０を格納しておくことが好ましい。
　図４は、プロセッサ１０２が実行する処理の変形例を示す。図４において、図３と共通する処理には共通のステップ番号を付す。図４に示す処理は、新たにＳ１０３、Ｓ１１３－１およびＳ１１３－２の処理を、Ｓ１０８およびＳ１２０の代わりにＳ１０８’およびＳ１２０’の処理を実行する点で図３に示す処理と異なる。以下では、図３に示す処理と異なる処理を中心に説明する。
　Ｓ１０３において、プロセッサ１０２は、バックアップデータ１６０をメインメモリに格納する。すなわち、プロセッサ１０２は、メインメモリ１０６のメモリセル６０４に、ユーザデータ１４０と、当該ユーザデータ１４０と同じバックアップデータ１６０とを格納する。
　Ｓ１０８’の処理は、Ｓ１０８の処理と比べて、再度ロードするときに参照するデータが、フラッシュメモリ１０８に格納されたデータではなく、メインメモリ１０６に格納されているバックアップデータ１６０である点が異なる（図５参照）。Ｓ１２０’の処理とＳ１２０の処理との違いは、Ｓ１０８’の処理とＳ１０８の処理との違いと共通する。
　Ｓ１１３－１において、プロセッサ１０２は、データの変更があるか否かを判定する。データの変更がある場合には、データを書き換える必要がある。すなわち、データの変更があるか否かを判定することで、データを書き換える必要があるか否かが判定される。具体的には、プロセッサ１０２は、Ｓ１１２において実行した命令の結果、データの変更が生じたか否かを判定する。
　データの変更がある場合（Ｓ１１３－１においてＹＥＳ）、すなわち、データを書き換える必要がある場合、プロセッサ１０２は、Ｓ１１３－２において、ユーザデータ１４０とバックアップデータ１６０とを書き換える。データの変更がない場合（Ｓ１１３－１においてＮＯ）、すなわち、データを書き換える必要がない場合、プロセッサ１０２は、Ｓ１１３－２の処理を実行することなく、Ｓ１１４以降の処理を実行する。
　図５は、図４に示した処理を実行したときのデータの読出／書込／復元の模式図である。メモリセル６０４には、実行用のユーザデータ１４０と、バックアップデータ１６０とがそれぞれ格納されている。書き込み時は、ユーザデータ１４０およびバックアップデータ１６０の双方にデータが書き込まれる（図４のＳ１１３－２）。データを復元する場合は、バックアップデータ１６０を用いてユーザデータ１４０のデータを復元する（図４のＳ１０８’、Ｓ１２０’）。また、データを読み出す時は、ユーザデータ１４０から読み出され、バックアップデータ１６０からは読み出されない（図４のＳ１０４）。
　なお、バックアップデータ１６０が破壊されることも考えられるが、ユーザデータ１４０とバックアップデータ１６０とについて、共通のデータが両方とも破壊される確率は極めて低い。そのため、バックアップデータ１６０が破壊されることを考慮する必要性は低い。
　なお、バックアップデータ１６０とユーザデータ１４０とを共通のメインメモリ１０６に格納する例を示したが、バックアップデータ１６０を格納するための揮発性メモリを別途設けてもよい。
　また、Ｓ１１６～Ｓ１２４の処理を実行することで、命令の実行とは別にユーザデータ１４０だけをチェックするようにしてもよく、ユーザデータ１４０に加えてバックアップデータ１６０についてもチェックするようにしてもよい。
　また、Ｓ１０８’およびＳ１２０’においてデータの復元をする場合に、プロセッサ１０２は、バックアップデータ１６０のデータについてもチェックするようにし、エラーがある場合には、復元することができないとしてエラーを通知するように構成してもよい。
　＜変形例３＞
　上記実施の形態においては、パリティチェックをした結果、エラーとなった場合は、単にデータを復元するに留めたが、プロセッサ１０２は、エラーの情報をログとして残しても良い。
　図６は、ログデータの一例を示す図である。プロセッサ１０２は、エラーが発生した場合に、エラーを検出した日と、エラーとなったデータが格納されているアドレスと、復元前のデータ１４２と、復元後のデータ１４２とをログデータ１８０として残す。
　なお、プロセッサ１０２は、バックアップデータ１６０を残していないデータに対してエラーが検知された場合においても、当該エラーが検知された日時と、エラーが発生したデータと、当該データが格納されているアドレスとをログデータとして残しても良い。
　このように、ログデータ１８０を残すことで、ユーザは、ログデータ１８０を確認することで、パリティチェックエラーが発生している頻度、発生原因などを解析することができる。
　＜その他の変形例＞
　上記実施の形態において、誤りの発生有無を決定する方法は、パリティチェックによる方法とした。これは、市場に流通している誤り検出機能付きの揮発性メモリは、誤りの発生有無の決定をパリティチェックにより実現していることが多いため、誤りの発生有無を決定する方法の一例としてパリティチェックによる方法を挙げた。なお、誤りの発生有無を決定する方法は、これに限られない。なお、コストの面を考慮すると、市場に一般的に流通しているパリティチェック機能付きの揮発性メモリを制御装置１００に設けることが好ましい。
　上記実施の形態において、バックアップデータ１６０として、ユーザプログラム１１４のみを格納する例を示した。なお、バックアップデータ１６０は、ユーザプログラム１１４を実行する上で必要なパラメータ等のユーザプログラム１１４とは別のデータを含み得る。
　§３．付記
　以上のように、上記の実施の形態および変形例は以下のような開示を含む。
　＜構成１＞
　制御対象を制御するための制御装置（１００，１００Ｘ）であって、
　ユーザプログラムに含まれる命令を順次実行する命令実行部（２０２，２０２Ｘ）と、
　前記ユーザプログラムを格納する揮発性メモリ（１０６，１０６Ｘ）と、
　前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリ（１０８，１１０Ｘ，１０６）と、
　所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出して前記命令実行部へ提供するアクセス制御部（２０４，２０４Ｘ）とを備え、
　前記揮発性メモリは、誤り検出用の情報（１４４，１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており（６０６，６０８，６１０）、
　前記アクセス制御部は、前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すように構成されている（Ｓ１０４，Ｓ１０６，Ｓ１０８，Ｓ１０８’）、制御装置。
　＜構成２＞
　前記揮発性メモリは、パリティチェックにより誤りの発生有無を応答するように構成されている（６１０）、構成１に記載の制御装置。
　＜構成３＞
　前記アクセス制御部は、前記命令実行部に命令を提供することを目的とした読み出しとは別に、前記揮発性メモリに格納されたデータを予め定められた順番に予め定められたタイミングで読み出し、当該読み出したデータを格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、前記バックアップメモリに格納されている当該命令を含むデータを前記バックアップメモリから前記揮発性メモリにロードしなおす（Ｓ１１６，Ｓ１１８，Ｓ１２０，Ｓ１２０’，Ｓ１２４）、構成１または構成２に記載の制御装置。
　＜構成４＞
　前記バックアップメモリは、前記バックアップ用のユーザプログラムを不揮発的に格納するメモリ（１０８）であって、
　前記揮発性メモリに格納される前記ユーザプログラムは、前記バックアップメモリからロードされる（Ｓ１０２）、構成１～構成３のうちいずれか１に記載の制御装置。
　＜構成５＞
　前記バックアップメモリは、前記バックアップ用のユーザプログラムを揮発的に格納するメモリであって（１０６）、
　前記アクセス制御部は、前記命令の実行に伴って前記揮発性メモリに格納されたデータの書き換えが必要な場合、前記揮発性メモリに格納されたデータおよび前記バックアップメモリに格納されたデータを書き換える（Ｓ１１３－１，Ｓ１１３－２）、構成１～構成３のうちいずれか１に記載の制御装置。
　＜構成６＞
　制御対象を制御するための制御装置におけるユーザプログラムの実行制御方法であって、
　前記制御装置（１００，１００Ｘ）は、
　　前記ユーザプログラムを格納する揮発性メモリ（１０６，１０６Ｘ）と、
　　前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリ（１０８，１１０Ｘ，１０６）とを備え、
　前記揮発性メモリは、誤り検出用の情報（１４４，１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており（６０６，６０８，６１０）、
　所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出すステップ（Ｓ１０４）と、
　前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すステップ（Ｓ１０４，Ｓ１０６，Ｓ１０８，Ｓ１０８’）と、
　前記揮発性メモリから読み出した命令を実行するステップ（Ｓ１１２）とを備える、ユーザプログラムの実行制御方法。
　＜構成７＞
　制御対象を制御するための制御装置を実現するためのシステムプログラムであって、
　前記制御装置（１００，１００Ｘ）は、
　　ユーザプログラムを格納する揮発性メモリ（１０６，１０６Ｘ）と、
　　前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリ（１０８，１１０Ｘ，１０６）とを備え、
　前記揮発性メモリは、誤り検出用の情報（１４４，１４４Ｘ）を付加してデータ（１４２）を格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており（６０６，６０８，６１０）、
　前記システムプログラムは前記制御装置のプロセッサ（１０２）に、
　　所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出すステップ（Ｓ１０４）と、
　　前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すステップ（Ｓ１０４，Ｓ１０６，Ｓ１０８，Ｓ１０８’）と、
　　前記揮発性メモリから読み出した命令を実行するステップ（Ｓ１１２）とを実行させる、システムプログラム。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組み合わせても、実施することが意図される。
　１００，１００Ｘ　制御装置、１０２　プロセッサ、１０６　メインメモリ、１０６Ｘ　揮発性メモリ、１０８　フラッシュメモリ、１１０Ｘ　バックアップメモリ、１１２　システムプログラム、１１４　ユーザプログラム、１４０　ユーザデータ、１４２　データ、１４４　パリティビット、１４４Ｘ　検出用情報、１６０　バックアップデータ、１８０　ログデータ、２０２，２０２Ｘ　命令実行部、２０４，２０４Ｘ　アクセス制御部、２０６　レジスタ、２０８　エラーアドレスレジスタ、２１０　エラーステータスレジスタ、２１２　命令レジスタ、２２０　アクセスインターフェイス、４０２，４１０　アドレスバス、４０４，４１２　コントロールバス、４０６，４１４　データバス、４０８　エラーバス、６０２　アドレスデコーダ、６０４　メモリセル、６０６　読出／書込回路、６０８　パリティ生成回路、６１０　パリティチェック回路。

Claims (7)

  1. 　制御対象を制御するための制御装置であって、
    　ユーザプログラムに含まれる命令を順次実行する命令実行部と、
    　前記ユーザプログラムを格納する揮発性メモリと、
    　前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリと、
    　所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出して前記命令実行部へ提供するアクセス制御部とを備え、
    　前記揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており、
    　前記アクセス制御部は、前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すように構成されている、制御装置。
  2. 　前記揮発性メモリは、パリティチェックにより誤りの発生有無を応答するように構成されている、請求項１に記載の制御装置。
  3. 　前記アクセス制御部は、前記命令実行部に命令を提供することを目的とした読み出しとは別に、前記揮発性メモリに格納されたデータを予め定められた順番に予め定められたタイミングで読み出し、当該読み出したデータを格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、前記バックアップメモリに格納されている当該命令を含むデータを前記バックアップメモリから前記揮発性メモリにロードしなおす、請求項１または請求項２に記載の制御装置。
  4. 　前記バックアップメモリは、前記バックアップ用のユーザプログラムを不揮発的に格納するメモリであって、
    　前記揮発性メモリに格納される前記ユーザプログラムは、前記バックアップメモリからロードされる、請求項１～請求項３のうちいずれか１項に記載の制御装置。
  5. 　前記バックアップメモリは、前記バックアップ用のユーザプログラムを揮発的に格納するメモリであって、
    　前記アクセス制御部は、前記命令の実行に伴って前記揮発性メモリに格納されたデータの書き換えが必要な場合、前記揮発性メモリに格納されたデータおよび前記バックアップメモリに格納されたデータを書き換える、請求項１～請求項３のうちいずれか１項に記載の制御装置。
  6. 　制御対象を制御するための制御装置におけるユーザプログラムの実行制御方法であって、
    　前記制御装置は、
    　　前記ユーザプログラムを格納する揮発性メモリと、
    　　前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリとを備え、
    　前記揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており、
    　所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出すステップと、
    　前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すステップと、
    　前記揮発性メモリから読み出した命令を実行するステップとを備える、ユーザプログラムの実行制御方法。
  7. 　制御対象を制御するための制御装置を実現するためのシステムプログラムであって、
    　前記制御装置は、
    　　ユーザプログラムを格納する揮発性メモリと、
    　　前記揮発性メモリに格納された前記ユーザプログラムと同一内容のバックアップ用のユーザプログラムを格納するバックアップメモリとを備え、
    　前記揮発性メモリは、誤り検出用の情報を付加してデータを格納するとともに、読み出し要求に応じて、指定された領域のデータ、および、当該指定された領域に対応する誤り検出用の情報に基づいて決定される当該指定された領域における誤りの発生有無、を応答するように構成されており、
    　前記システムプログラムは前記制御装置のプロセッサに、
    　　所定の実行順序に従って、前記ユーザプログラムに含まれる命令を前記揮発性メモリから読み出すステップと、
    　　前記揮発性メモリから命令を読み出した場合に、当該読み出した命令を格納していた領域に誤りが発生していることが前記揮発性メモリから応答されると、誤りが発生している領域のデータを前記バックアップメモリから前記揮発性メモリにロードしなおし、前記揮発性メモリから当該命令を再度読み出すステップと、
    　　前記揮発性メモリから読み出した命令を実行するステップとを実行させる、システムプログラム。
PCT/JP2020/007778 2019-08-23 2020-02-26 制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム WO2021038923A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-152913 2019-08-23
JP2019152913A JP7379932B2 (ja) 2019-08-23 2019-08-23 制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム

Publications (1)

Publication Number Publication Date
WO2021038923A1 true WO2021038923A1 (ja) 2021-03-04

Family

ID=74675878

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/007778 WO2021038923A1 (ja) 2019-08-23 2020-02-26 制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム

Country Status (2)

Country Link
JP (1) JP7379932B2 (ja)
WO (1) WO2021038923A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115714908A (zh) * 2021-08-20 2023-02-24 荣耀终端有限公司 工作模式的切换控制方法、电子设备及可读存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS63142449A (ja) * 1986-12-04 1988-06-14 Fujitsu Ltd 制御メモリに対するパトロ−ルチエツク方式
JPH02178862A (ja) * 1988-12-29 1990-07-11 Nec Corp 情報処理装置
JP2003131955A (ja) * 2001-10-19 2003-05-09 Kyocera Corp データバックアップ回路

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5605507B2 (ja) 2011-06-14 2014-10-15 富士通株式会社 メモリ制御装置および制御方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS63142449A (ja) * 1986-12-04 1988-06-14 Fujitsu Ltd 制御メモリに対するパトロ−ルチエツク方式
JPH02178862A (ja) * 1988-12-29 1990-07-11 Nec Corp 情報処理装置
JP2003131955A (ja) * 2001-10-19 2003-05-09 Kyocera Corp データバックアップ回路

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115714908A (zh) * 2021-08-20 2023-02-24 荣耀终端有限公司 工作模式的切换控制方法、电子设备及可读存储介质

Also Published As

Publication number Publication date
JP7379932B2 (ja) 2023-11-15
JP2021033623A (ja) 2021-03-01

Similar Documents

Publication Publication Date Title
JP4868216B2 (ja) ファームウェア更新回路およびファームウェア更新方法
EP2770507B1 (en) Memory circuits, method for accessing a memory and method for repairing a memory
JP4834721B2 (ja) メモリ制御装置およびメモリ制御方法
CN107463516B (zh) 控制装置
JP2016167669A (ja) プログラマブル論理回路装置及びそのエラー検出方法
CN114328316A (zh) Dma控制器、soc系统及基于dma控制器的数据搬运方法
JP2008287351A (ja) メモリシステム、メモリコントローラ、制御方法及び制御プログラム
WO2021038923A1 (ja) 制御装置、ユーザプログラムの実行制御方法、およびシステムプログラム
WO2017162049A1 (zh) 驱动模块内存数据监测方法及装置
EP2370899B1 (en) Poison bit error checking code scheme
US11018693B2 (en) System and method for continuously verifying device state integrity
JP2013175118A (ja) 制御装置、及びそのメモリ故障検出方法、その自己診断方法
US8595442B1 (en) Redundantly validating values with a processor and a check circuit
JP2010181990A (ja) データプロセッサ
JP6332134B2 (ja) メモリ診断回路
El-Bayoumi An enhanced algorithm for memory systematic faults detection in multicore architectures suitable for mixed-critical automotive applications
JP5964265B2 (ja) 半導体集積回路装置
EP2352092B1 (en) Processor, information processing apparatus, and method of controlling processor
JP2004038541A (ja) メモリチェックシステムおよびメモリチェック方法、信号処理装置および信号処理装置のメモリチェック方法、ならびに、メモリチェックプログラム
US20240134743A1 (en) Electronic device, electronic system, method for operating an electronic device, and method for operating an electronic system
JP7142731B2 (ja) プログラマブルデバイス
JP4543505B2 (ja) マイクロコンピュータの制御方法及び異常監視装置
JP5645262B2 (ja) 情報処理装置
US20240142518A1 (en) Selecting an Output as a System Output Responsive to an Indication of an Error
JP2017059017A (ja) メモリアクセス部を備える制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20858859

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20858859

Country of ref document: EP

Kind code of ref document: A1