特許 7115351 制御装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-08-01

(45)【発行日】2022-08-09

(54)【発明の名称】制御装置

(51)【国際特許分類】

   G06F 21/74 20130101AFI20220802BHJP

   G06F 12/14 20060101ALI20220802BHJP

   G05B 9/02 20060101ALI20220802BHJP

【ＦＩ】

G06F21/74

G06F12/14 510D

G05B9/02 Z

【請求項の数】 7

(21)【出願番号】P 2019023728

(22)【出願日】2019-02-13

(65)【公開番号】P2020135046

(43)【公開日】2020-08-31

【審査請求日】2020-12-15

(73)【特許権者】

【識別番号】000002945

【氏名又は名称】オムロン株式会社

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】八木 大介

(72)【発明者】

【氏名】小林 雄作

【審査官】岸野 徹

(56)【参考文献】

【文献】特開２０１４－０４８８４９（ＪＰ，Ａ）

【文献】特開２０１１－２５７８８９（ＪＰ，Ａ）

【文献】特開２０１７－２０４２８６（ＪＰ，Ａ）

【文献】特開２０１８－０６７０４７（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／７４

Ｇ０６Ｆ １２／１４

Ｇ０５Ｂ ９／０２

(57)【特許請求の範囲】

【請求項1】

駆動装置を制御する制御装置であって、
前記駆動装置に関してセーフティ制御を実行する第１演算部と、
前記駆動装置に関して標準制御を実行する第２演算部と、
前記第１演算部および前記第２演算部のいずれからもアクセス可能であって、前記セーフティ制御に係るデータを記憶する第１記憶領域と、前記標準制御に係るデータを記憶する第２記憶領域とを含む記憶部とを備え、
前記第１記憶領域および前記第２記憶領域の各々に対するアクセスを規定するモードとして、第１モードと第２モードとがあり、
前記第１記憶領域は、前記第１モードに対応する第１モード第１記憶領域と、前記第２モードに対応する第２モード第１記憶領域とを含み、
前記第２記憶領域は、前記第１モードに対応する第１モード第２記憶領域と、前記第２モードに対応する第２モード第２記憶領域とを含み、
前記第１演算部は、
前記第１モード第１記憶領域について、前記第１モードおよび前記第２モードのいずれであるかに応じてアクセスが許可または禁止され、
前記第２モード第１記憶領域について、前記第１モードおよび前記第２モードのいずれであってもアクセスが許可され、
前記第１モード第２記憶領域について、前記第１モードおよび前記第２モードのいずれであるかに応じてアクセスが許可または禁止され、
前記第２モード第２記憶領域について、前記第１モードおよび前記第２モードのいずれであってもアクセスが許可され、
前記第２演算部は、
前記第１モード第１記憶領域について、前記第１モードおよび前記第２モードのいずれであってもアクセスが禁止され、
前記第２モード第１記憶領域について、前記第１モードおよび前記第２モードのいずれであってもアクセスが禁止され、
前記第１モード第２記憶領域について、前記第１モードおよび前記第２モードのいずれであるかに応じてアクセスが許可または禁止され、
前記第２モード第２記憶領域について、前記第１モードおよび前記第２モードのいずれであってもアクセスが許可される、制御装置。

【請求項2】

複数のマイクロコントローラユニット（ＭＣＵ）を備え、
前記第１演算部は、前記セーフティ制御を実行するプロセッサコアであり、
前記第２演算部は、前記標準制御を実行するプロセッサコアであり、
前記複数のマイクロコントローラユニットのそれぞれは、前記セーフティ制御を実行するプロセッサコアを含み、
前記複数のマイクロコントローラユニットの少なくともいずれか一方は、前記標準制御を実行するプロセッサコアを含む、請求項１に記載の制御装置。

【請求項3】

前記複数のマイクロコントローラユニットのそれぞれに含まれる前記セーフティ制御を実行するプロセッサコア間においては、相互監視が行われる、請求項２に記載の制御装置。

【請求項4】

マイクロコントローラユニット（ＭＣＵ）を備え、
前記第１演算部は、前記セーフティ制御を実行するプロセッサコアであり、
前記第２演算部は、前記標準制御を実行するプロセッサコアであり、
前記マイクロコントローラユニットは、前記セーフティ制御を実行するプロセッサコアを複数含むとともに、前記標準制御を実行するプロセッサコアを少なくとも１つ以上含む、請求項１に記載の制御装置。

【請求項5】

前記記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブルを備え、
前記第１演算部は、前記データテーブルに基づき、前記第１記憶領域および前記第２記憶領域のいずれのメモリアドレスにもアクセス可能である一方で、
前記第２演算部は、前記第２記憶領域のメモリアドレスにアクセス可能であるのに対して前記第１記憶領域のメモリアドレスについてはアクセス制限されている、請求項１～請求項４のいずれか１項に記載の制御装置。

【請求項6】

前記第１演算部は、所定の命令に基づいて、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
前記第２演算部は、前記所定の命令に基づいて、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、請求項１～請求項４のいずれか１項に記載の制御装置。

【請求項7】

前記第１演算部は、前記セーフティ制御を実行するプロセッサコアであり、
前記第２演算部は、前記標準制御を実行するプロセッサコアであり、
前記標準制御を実行するプロセッサコアおよび前記セーフティ制御を実行するプロセッサコアを含むプロセッサを補助するコプロセッサとして、当該プロセッサによる前記第１記憶領域および前記第２記憶領域に対するアクセスを監視する監視プロセッサをさらに備え、
前記第２演算部は、前記監視プロセッサによって、前記第１記憶領域に対してアクセス制限されている、請求項１～請求項４のいずれか１項に記載の制御装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御装置に関し、より特定的には駆動装置を制御する制御装置に関する。

【背景技術】

【0002】

近年、様々な生産現場において、設備や機械を安全に使用するために、駆動装置に関して標準的な制御を行う演算部の他に、安全を担保する観点から駆動装置に関してセーフティな制御を行う演算部を備える制御装置が知られている。

【0003】

たとえば、国際公開第２０１５／１４５５６２号（特許文献１）においては、駆動装置に関する駆動制御を行う駆動ＣＰＵ（Central Processing Unit）と、駆動装置に関する安全制御を行う安全ＣＰＵとの両方を備えるコントローラが開示されている。また、特許文献１においては、駆動ＣＰＵと安全ＣＰＵとをデュアルコアプロセッサで実現してもよいことも開示されている。

【先行技術文献】

【特許文献】

【0004】

【文献】国際公開第２０１５／１４５５６２号

【発明の概要】

【発明が解決しようとする課題】

【0005】

特許文献１に開示されたコントローラのように、駆動ＣＰＵと安全ＣＰＵとをデュアルコアプロセッサで実現することができれば、装置の省スペース化および低コスト化を図ることが可能である。しかしながら、標準制御を行う演算部と、セーフティ制御を行う演算部とが共存した場合、特にセーフティ制御によって用いられるデータを保護する観点から安全を担保するための工夫が必要となるが、特許文献１に記載のコントローラにおいては何ら考慮されていなかった。

【0006】

本発明は、上述したような課題を解決することを一つの目的とし、標準制御を行う演算部とセーフティ制御を行う演算部とが共存する場合であっても安全を担保することができる制御装置を提供する。

【課題を解決するための手段】

【0007】

本開示の一例に従えば、駆動装置を制御する制御装置が提供される。制御装置は、駆動装置に関してセーフティ制御を実行する第１演算部と、駆動装置に関して標準制御を実行する第２演算部と、第１演算部および第２演算部のいずれからもアクセス可能であって、セーフティ制御に係るデータを記憶する第１記憶領域と、標準制御に係るデータを記憶する第２記憶領域とを含む記憶部とを備える。第１演算部は、第１記憶領域および第２記憶領域のいずれにもアクセス可能である一方で、第２演算部は、第２記憶領域にアクセス可能であるのに対して第１記憶領域についてはアクセス制限されている。

【0008】

この開示によれば、セーフティ制御を実行する第１演算部と標準制御を実行する第２演算部とが共存する場合であっても、第２演算部は、セーフティ制御に係るデータを記憶する第１記憶領域についてはアクセス制限されているため、標準制御を実行する第２演算部によってセーフティ制御に影響を与えることがなく、安全を担保することができる。

【0009】

上述の開示において、制御装置は、複数のマイクロコントローラユニット（ＭＣＵ）を備える。第１演算部は、セーフティ制御を実行するプロセッサコアであり、第２演算部は、標準制御を実行するプロセッサコアである。複数のマイクロコントローラユニットのそれぞれは、セーフティ制御を実行するプロセッサコアを含み、複数のマイクロコントローラユニットの少なくともいずれか一方は、標準制御を実行するプロセッサコアを含む。

【0010】

この開示によれば、単一のマイクロコントローラユニット内にセーフティ制御を実行するプロセッサコアと標準制御を実行するプロセッサコアとを共存させることで、装置の省スペース化および低コスト化を図ることができる。

【0011】

上述の開示において、複数のマイクロコントローラユニットのそれぞれに含まれるセーフティ制御を実行するプロセッサコア間においては、相互監視が行われる。

【0012】

この開示によれば、セーフティ制御を実行する複数のプロセッサコア間において相互監視が行われることで、より安全を担保することができる。

【0013】

上述の開示において、制御装置は、マイクロコントローラユニット（ＭＣＵ）を備える。第１演算部は、セーフティ制御を実行するプロセッサコアであり、第２演算部は、標準制御を実行するプロセッサコアである。マイクロコントローラユニットは、セーフティ制御を実行するプロセッサコアを複数含むとともに、標準制御を実行するプロセッサコアを少なくとも１つ以上含む。

【0014】

この開示によれば、単一のマイクロコントローラユニット内にセーフティ制御を実行するプロセッサコアと標準制御を実行するプロセッサコアとを共存させることで、装置の省スペース化および低コスト化を図ることができる。

【0015】

上述の開示において、制御装置は、記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブルを備える。第１演算部は、データテーブルに基づき、第１記憶領域および第２記憶領域のいずれのメモリアドレスにもアクセス可能である一方で、第２演算部は、第２記憶領域のメモリアドレスにアクセス可能であるのに対して第１記憶領域のメモリアドレスについてはアクセス制限されている。

【0016】

この開示によれば、記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブルに基づき、セーフティ制御に係るデータを記憶する第１記憶領域に対する第２演算部によるアクセスを制限することができる。

【0017】

上述の開示において、第１演算部は、所定の命令に基づいて、第１記憶領域および第２記憶領域のいずれにもアクセス可能である一方で、第２演算部は、所定の命令に基づいて、第２記憶領域にアクセス可能であるのに対して第１記憶領域についてはアクセス制限されている。

【0018】

この開示によれば、第１演算部が所定の命令に基づいてアクセスした場合と異なり、第２演算部が所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶する第１記憶領域に対する第２演算部によるアクセスを制限することができる。

【0019】

上述の開示において、記憶部に対するアクセスの許可および禁止を規定するモードとして、第１モードと、当該第１モードよりもアクセスが制限されている第２モードとが設けられている。第２演算部は、モードが第１モードおよび第２モードのいずれであるかに関わらず、第１記憶領域についてはアクセス制限されている。

【0020】

この開示によれば、記憶部に対するアクセスの許可および禁止を規定するモードが第１モード、および当該第１モードよりもアクセスが制限されている第２モードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶する第１記憶領域に対するアクセスを制限することができる。

【0021】

上述の開示において、第１演算部は、セーフティ制御を実行するプロセッサコアであり、第２演算部は、標準制御を実行するプロセッサコアである。制御装置は、標準制御を実行するプロセッサコアおよびセーフティ制御を実行するプロセッサコアを含むプロセッサを補助するコプロセッサとして、当該プロセッサによる第１記憶領域および第２記憶領域に対するアクセスを監視する監視プロセッサをさらに備える。第２演算部は、監視プロセッサによって、第１記憶領域に対してアクセス制限されている。

【0022】

この開示によれば、第１演算部および第２演算部を含むプロセッサによる第１記憶領域および第２記憶領域に対するアクセスを監視する監視プロセッサによって、セーフティ制御に係るデータを記憶する第１記憶領域に対する第２演算部によるアクセスを制限することができる。

【図面の簡単な説明】

【0023】

【図1】本実施の形態に係る制御装置の適用例を示す模式図である。

【図2】第１実施形態に係る制御装置のハードウェア構成例を示す模式図である。

【図3】第１実施形態に係る制御装置におけるアクセス制限方法の第１の例を説明するための模式図である。

【図4】第１実施形態に係る制御装置におけるアクセス制限方法の第１の例を説明するための模式図である。

【図5】第１実施形態に係る制御装置におけるアクセス制限方法の第２の例を説明するための模式図である。

【図6】第１実施形態に係る制御装置におけるアクセス制限方法の第２の例を説明するための模式図である。

【図7】第１実施形態に係る制御装置におけるアクセス制限方法の第３の例を説明するための模式図である。

【図8】第２実施形態に係る制御装置のハードウェア構成例を示す模式図である。

【図9】第２実施形態に係る制御装置におけるアクセス制限方法の第１の例を説明するための模式図である。

【図10】第２実施形態に係る制御装置におけるアクセス制限方法の第２の例を説明するための模式図である。

【図11】第２実施形態に係る制御装置におけるアクセス制限方法の第３の例を説明するための模式図である。

【発明を実施するための形態】

【0024】

本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

【0025】

［Ａ．適用例］
本発明が適用される場面の一例について説明する。

【0026】

図１は、本実施の形態に係る制御装置１００の適用例を示す模式図である。本実施の形態に係る制御システム１は、たとえば、ＩＥＣ ６１５０８などに規定されたセーフティ機能を提供する。制御システム１は、主に、制御装置１００と、セーフティデバイス３００と、駆動装置４３０とを備える。

【0027】

制御装置１００は、典型的には、プログラマブルコントローラ（Programmable Logic Controller：ＰＬＣ）などで構成され、制御対象から取得された入力データに関して予め定められたユーザプログラムを実行し、ユーザプログラムの実行によって算出される出力データに応じて制御対象に指令を与える。図１に示す例では、制御対象には、駆動装置４３０と、駆動装置４３０を駆動するドライバ４２０とが含まれる。

【0028】

たとえば、制御装置１００は、所定の駆動条件が成立したときに、駆動装置４３０を制御するための標準指令をドライバ４２０に出力することで、駆動装置４３０を駆動させたり停止させたりする。また、制御装置１００は、駆動装置４３０からのフィードバック信号などに基づいて、駆動装置４３０の位置や速度などを制御する。なお、駆動装置４３０は、ドライバ４２０によって駆動するサーボモータを想定するが、サーボモータに限らず、他の種類の駆動装置であってもよい。本実施の形態においては、このような制御装置１００による駆動装置４３０およびドライバ４２０に対する制御を「標準制御」とも称する。

【0029】

制御装置１００は、上述した標準制御に加えて、制御システム１における作業者の安全を担保するための制御を行う。

【0030】

たとえば、制御装置１００は、セーフティデバイス３００（非常停止スイッチ、セーフティドアスイッチ、セーフティライトカーテンなど）からのセーフティ入力を受け付けたときに、セーフティ指令をセーフティリレー４１０に出力する。セーフティリレー４１０は、ドライバ４２０に対する電力供給ライン上に配置されており、制御装置１００からのセーフティ指令に基づいて、電力供給を遮断するための制御を行う。これにより、ドライバ４２０に対する電力供給が遮断されるため、駆動装置４３０が停止する。このような制御装置１００によるセーフティリレー４１０を介した駆動装置４３０およびドライバ４２０に対する制御を「セーフティ制御」とも称する。なお、制御装置１００は、セーフティ制御として、駆動装置４３０に対する電力を調整することで、駆動装置４３０の位置や速度などを制御してもよい。

【0031】

制御装置１００が実行する標準制御およびセーフティ制御のそれぞれに係るユーザプログラムは、制御装置１００と通信可能に接続されたサポート装置５００から制御装置１００に提供される。

【0032】

制御装置１００は、駆動装置４３０に関して上述したセーフティ制御を実行する第１演算部１０１と、駆動装置４３０に関して上述した標準制御を実行する第２演算部１０２とを備える。さらに、制御装置１００は、第１演算部１０１および第２演算部１０２のいずれからもアクセス可能であって、セーフティ制御に係るデータを記憶する第１記憶領域１０３１と、標準制御に係るデータを記憶する第２記憶領域１０３２とを含む記憶部１０３を備える。

【0033】

「第１演算部」および「第２演算部」は、所定のプロセッサに含まれるプロセッサコアであってもよいし、プロセッサあるいはＣＰＵそのものであってもよい。また、「第１演算部」および「第２演算部」は、その両方が単一のプロセッサに含まれるプロセッサコアであってもよいし、複数のプロセッサのそれぞれに含まれるプロセッサコアであってもよい。

【0034】

本明細書において、「標準制御」および「セーフティ制御」の用語を対比的に用いる。「標準制御」は、予め定められた要求仕様に沿って、駆動装置４３０などの制御対象を制御するための処理の総称である。一方、「セーフティ制御」は、制御システム１における設備や機械などによって人の安全が脅かされることを防止するための処理を総称する。「セーフティ制御」は、ＩＥＣ ６１５０８などに規定されたセーフティ機能を実現するための要件を満たすように設計される。

【0035】

このように構成された制御装置１００において、第１演算部１０１は、セーフティ制御に係るデータを記憶する第１記憶領域１０３１、および標準制御に係るデータを記憶する第２記憶領域１０３２のいずれにもアクセス可能であり、これらの記憶領域にアクセスすることで、セーフティ制御を実行する。

【0036】

ここで、上述したように、セーフティ制御はＩＥＣ ６１５０８などに規定されており、制御装置１００のメーカ側で予めセーフティ制御に係るプログラムやデータが設計されている。このため、標準制御に係るプログラムやデータに基づき、第２演算部１０２によって第１記憶領域１０３１にアクセスされてしまうと、安全を担保することができないおそれがある。そこで、本実施の形態に係る制御装置１００においては、第２演算部１０２は、標準制御に係るデータを記憶する第２記憶領域１０３２についてはアクセス可能であるのに対して、セーフティ制御に係るデータを記憶する第１記憶領域１０３１についてはアクセス制限されている。たとえば、制御装置１００においては、第２演算部１０２のアクセス先が第１記憶領域１０３１である場合、例外処理が行われることで、第２演算部１０２による第１記憶領域１０３１に対するアクセスが制限される。

【0037】

これにより、セーフティ制御を実行する第１演算部１０１と標準制御を実行する第２演算部１０２とが共存する場合であっても、第２演算部１０２は、セーフティ制御に係るデータを記憶する第１記憶領域１０３１についてはアクセス制限されているため、標準制御を実行する第２演算部１０２によって第１記憶領域１０３１に格納されたセーフティ制御に係るデータに影響を与えることがなく、安全を担保すことができる。

【0038】

［Ｂ．第１実施形態］
第１実施形態に係る制御装置１００について説明する。

【0039】

＜ａ１．制御装置のハードウェア構成例＞
図２は、第１実施形態に係る制御装置１００のハードウェア構成例を示す模式図である。図２に示すように、制御装置１００は、複数のマイクロコントローラユニット（Microcontroller Unit：ＭＣＵ）と、当該複数のＭＣＵのそれぞれに対応する複数のＲＡＭ（Random access memory）とを備える。本実施の形態においては、制御装置１００は、ＭＣＵ１１０およびＭＣＵ１２０と、ＭＣＵ１１０に対応するＲＡＭ１１５と、ＭＣＵ１２０に対応するＲＡＭ１２５とを備える。なお、ＭＣＵおよびＲＡＭは、２つに限らず、３つ以上設けられてもよい。

【0040】

また、制御装置１００は、ストレージ１３０と、ＵＳＢコントローラ１４０と、メモリカードインターフェイス１５０と、ローカルバスインターフェイス１６０とを備える。これらのコンポーネントは、ブリッジ１０５３を介してプロセッサバス１０５１，１０５２に接続されている。ＭＣＵ１１０は、プロセッサバス１０５１に接続され、ＭＣＵ１２０は、プロセッサバス１０５２に接続されている。

【0041】

ストレージ１３０は、要求されるセーフティ機能に応じてユーザによって作成されたセーフティ制御に係るセーフティプログラム１３２、および制御対象に応じてユーザによって作成された標準制御に係る標準プログラム１３４など、各種のプログラムやデータを格納する。

【0042】

ＵＳＢコントローラ１４０は、ＵＳＢ接続を介して、サポート装置５００などとの間でデータを遣り取りする。

【0043】

メモリカードインターフェイス１５０は、受け付けたメモリカードに対してデータを書き込み、メモリカードから各種データ（ログやトレースデータなど）を読み出すように構成されている。

【0044】

ローカルバスインターフェイス１６０は、ローカルバスを介して、制御装置１００に接続されたセーフティリレー４１０、ドライバ４２０、およびセーフティデバイス３００などの任意のデバイスとの間でデータを遣り取りする。

【0045】

ＭＣＵ１１０は、プロセッサ１１６と、セーフティＲＯＭ（Read Only Memory）１１２と、標準ＲＯＭ１１４とを含む。

【0046】

プロセッサ１１６は、マルチコアプロセッサであり、セーフティコア１１６２と、標準コア１１６４とを含む。セーフティコア１１６２は、「第１演算部」の一例であり、セーフティ制御に係る制御演算を実行する。標準コア１１６４は、「第２演算部」の一例であり、標準制御に係る制御演算を実行する。このように、単一のプロセッサ１１６内において、セーフティ制御に係るセーフティコア１１６２と、標準制御に係る標準コア１１６４とを共存させることで、装置の省スペース化および低コスト化を図ることができる。

【0047】

セーフティＲＯＭ１１２は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム１１２２を格納し、セーフティコア１１６２に接続されている。

【0048】

標準ＲＯＭ１１４は、標準制御に係る基本的な機能を実現するための標準システムプログラム１１４２を格納し、標準コア１１６４に接続されている。

【0049】

ＭＣＵ１２０は、プロセッサ１２６と、セーフティＲＯＭ１２２と、標準ＲＯＭ１２４とを含む。

【0050】

プロセッサ１２６は、マルチコアプロセッサであり、セーフティコア１２６２と、標準コア１２６４とを含む。セーフティコア１２６２は、「第１演算部」の一例であり、セーフティ制御に係る制御演算を実行する。標準コア１２６４は、「第２演算部」の一例であり、標準制御に係る制御演算を実行する。

【0051】

このように、単一のプロセッサ１２６内において、セーフティ制御に係るセーフティコア１２６２と、標準制御に係る標準コア１２６４とを共存させることで、セーフティコアと標準コアとを別々のプロセッサにそれぞれ含めるよりも、装置の省スペース化および低コスト化を図ることができる。

【0052】

セーフティＲＯＭ１２２は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム１２２２を格納し、セーフティコア１２６２に接続されている。

【0053】

標準ＲＯＭ１２４は、標準制御に係る基本的な機能を実現するための標準システムプログラム１２４２を格納し、標準コア１２６４に接続されている。

【0054】

プロセッサ１１６と、プロセッサ１２６との間においては、クロスコミュニケーションによってその動作や状態が相互に監視されるように制御装置１００が構成されている。これより、プロセッサ１１６およびプロセッサ１２６のうちのいずれかに異常が生じた場合でも、その異常が検出される。

【0055】

たとえば、プロセッサ１１６およびプロセッサ１２６のそれぞれは、プログラムを並列的に実行する。また、プロセッサ１１６およびプロセッサ１２６のそれぞれは、図示しないウォッチドッグタイマを有している。プロセッサ１１６は、自身が有するウォッチドッグタイマを定期的にリセットし、プロセッサ１２６も、自身が有するウォッチドッグタイマを定期的にリセットする。プロセッサ１１６は、プロセッサ１２６によってウォッチドッグタイマが定期的にリセットされているかを監視し、プロセッサ１２６は、プロセッサ１１６によってウォッチドッグタイマが定期的にリセットされているかを監視することで、プロセッサ間で異常の有無を相互監視するようになっている。

【0056】

また、たとえば、プロセッサ１１６およびプロセッサ１２６のそれぞれは、プログラムを並列的に実行する際に、そのプログラムの実行に係る制御演算の計算結果を相互に確認し合うことで、プロセッサ間で異常の有無を相互監視するようになっている。すなわち、一方のプロセッサに何らかの異常が生じて制御演算の計算結果が不正確となると、他方のプロセッサにおける制御演算の計算結果と一致しなくなるため、他方のプロセッサは、計算結果が一致しないことを検出することで、一方のプロセッサに異常が生じたことを検出することができる。

【0057】

このように、セーフティ制御を実行する複数のセーフティコア１１６２およびセーフティコア１２６２間において相互監視が行われることで、より安全を担保することができる。

【0058】

制御装置１００は、異常が生じたプロセッサについては、電力供給を遮断するなどの処理を行うことで、異常が生じた状態でセーフティ制御が実行されることを防止する。このように、独立して設けられた複数のプロセッサ１１６，１２６は、動作や状態を相互に監視することで、異常の発生を検出することができる。特に、セーフティコア１１６２，１２６２は、安全を担保するためのセーフティ制御を実行するものであるため、相互に監視することで、より安全レベルを高めることができる。

【0059】

ＲＡＭ１１５は、「記憶部」の一例である。ＲＡＭ１１５の記憶領域には、セーフティ記憶領域１１５２と、標準記憶領域１１５４とが含まれる。セーフティ記憶領域１１５２は、「第１記憶領域」の一例であり、セーフティ制御を実行するためのデータを格納する。標準記憶領域１１５４は、「第２記憶領域」の一例であり、標準制御を実行するためのデータを格納する。

【0060】

プロセッサ１１６のセーフティコア１１６２は、セーフティＲＯＭ１１２に格納されたセーフティシステムプログラム１１２２を読み出し、ＲＡＭ１１５内の記憶領域に展開して実行することで、セーフティ制御を実現する。同様に、プロセッサ１１６の標準コア１１６４は、標準ＲＯＭ１１４に格納された標準システムプログラム１１４２を読み出し、ＲＡＭ１１５内の記憶領域に展開して実行することで、標準制御を実現する。

【0061】

このように、プロセッサ１１６のセーフティコア１１６２および標準コア１１６４は、ＲＡＭ１１５にアクセスすることでセーフティ制御や標準制御を実行するが、セーフティコア１１６２から標準記憶領域１１５４に対してはアクセスが許可されている一方で、安全を担保する観点から、標準コア１１６４からセーフティ記憶領域１１５２に対してはアクセスが制限されている。たとえば、制御装置１００においては、標準コア１１６４のアクセス先がセーフティ記憶領域１１５２である場合、例外処理が行われることで、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスが制限される。

【0062】

これにより、標準コア１１６４によるアクセスによってセーフティ記憶領域１１５２に格納されたセーフティ制御に係るデータに何らかの異常が生じることを防止することができ、安全を担保することができる。

【0063】

ＲＡＭ１２５は、「記憶部」の一例である。ＲＡＭ１２５の記憶領域には、セーフティ記憶領域１２５２と、標準記憶領域１２５４とが含まれる。セーフティ記憶領域１２５２は、「第１記憶領域」の一例であり、セーフティ制御を実行するためのデータが格納される。標準記憶領域１２５４は、「第２記憶領域」の一例であり、標準制御を実行するためのデータが格納される。

【0064】

プロセッサ１２６のセーフティコア１２６２は、セーフティＲＯＭ１２２に格納されたセーフティシステムプログラム１２２２を読み出し、ＲＡＭ１２５内の記憶領域に展開して実行することで、セーフティ制御を実現する。同様に、プロセッサ１２６の標準コア１２６４は、標準ＲＯＭ１２４に格納された標準システムプログラム１２４２を読み出し、ＲＡＭ１２５内の記憶領域に展開して実行することで、標準制御を実現する。

【0065】

このように、プロセッサ１２６のセーフティコア１２６２および標準コア１２６４は、ＲＡＭ１２５にアクセスすることでセーフティ制御や標準制御を実行するが、セーフティコア１２６２から標準記憶領域１２５４に対してはアクセスが許可されている一方で、安全を担保する観点から、標準コア１２６４からセーフティ記憶領域１２５２に対してはアクセスが制限されている。たとえば、制御装置１００においては、標準コア１２６４のアクセス先がセーフティ記憶領域１２５２である場合、例外処理が行われることで、標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスが制限される。

【0066】

これにより、標準コア１２６４によるアクセスによってセーフティ記憶領域１２５２に格納されたセーフティ制御に係るデータに何らかの異常が生じることを防止することができ、安全を担保することができる。

【0067】

＜ｂ１．制御装置におけるアクセス制限方法の第１の例＞
図３および図４は、第１実施形態に係る制御装置１００ａにおけるアクセス制限方法の第１の例を説明するための模式図である。なお、図３に示す制御装置１００ａのハードウェア構成例においては、図２に示す制御装置１００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。

【0068】

図３に示すように、制御装置１００ａのＭＣＵ１１０ａは、プロセッサ１１６に接続されたＭＭＵ（Memory Management Unit）１１７を含む。ＭＭＵ１１７は、メモリ保護機能を有しており、プロセッサ１１６内のコアが自身に割り当てられていない記憶領域にアクセスすることを防ぐ。具体的には、ＭＭＵ１１７においては、図４に示す変換テーブル６００が起動時に設定され、制御装置１００ａは、この変換テーブル６００を利用して標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを制限する。

【0069】

たとえば、標準ＲＯＭ１１４には、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを制限するための制限データ１１４４が含まれる。ＭＣＵ１１０ａの起動時において、この制限データ１１４４がＭＭＵ１１７に設定されることで、標準コア１１６４に対応する変換テーブル６００が構築される。なお、図示は省略するが、セーフティＲＯＭ１１２においても変換テーブル６００を構築するためのデータが格納されており、当該データがＭＣＵ１１０ａの起動時にＭＭＵ１１７に設定されることで、セーフティコア１１６２に対応する変換テーブル６００が構築される。

【0070】

変換テーブル６００は、「データテーブル」の一例であり、図４に示すように、セーフティコア１１６２および標準コア１１６４のいずれの種別であるかを特定するための属性情報と、ＲＡＭ１１５の物理アドレスに変換される仮想アドレスとを含む。

【0071】

たとえば、ＲＡＭ１１５の物理アドレスは、システム用の物理アドレス範囲１（たとえば、００００～３ＦＦＦ）と、セーフティ制御用の物理アドレス範囲２（たとえば、４０００～４ＦＦＦ）と、標準制御用の物理アドレス範囲３（たとえば、５０００～５ＦＦＦ）と、セーフティ制御用の物理アドレス範囲４（たとえば、６０００～６ＦＦＦ）と、標準制御用の物理アドレス範囲５（たとえば、７０００～７ＦＦＦ）とに分割されている。セーフティ制御用の物理アドレス範囲２および物理アドレス範囲４は、セーフティ記憶領域１１５２に対応するアドレス範囲である。標準制御用の物理アドレス範囲３および物理アドレス範囲５は、標準記憶領域１１５４に対応するアドレス範囲である。

【0072】

変換テーブル６００の仮想アドレスは、システム分のアドレス範囲を除いており、セーフティ制御用の仮想アドレス範囲１（たとえば、００００～０ＦＦＦ）と、標準制御用の仮想アドレス範囲２（たとえば、１０００～１ＦＦＦ）と、セーフティ制御用の仮想アドレス範囲３（たとえば、２０００～２ＦＦＦ）と、標準制御用の仮想アドレス範囲４（たとえば、３０００～３ＦＦＦ）とに分割されている。仮想アドレス範囲１は物理アドレス範囲２に、仮想アドレス範囲２は物理アドレス範囲３に、仮想アドレス範囲３は物理アドレス範囲４に、仮想アドレス範囲４は物理アドレス範囲５に、それぞれ変換可能である。

【0073】

セーフティコア１１６２および標準コア１１６４のそれぞれは、変換テーブル６００に割り当てられた仮想アドレスにアクセスすることで、ＲＡＭ１１５の物理アドレスにアクセスすることができる。

【0074】

ここで、仮想アドレスは、セーフティコア１１６２および標準コア１１６４のそれぞれについて、アクセスの許可または禁止が設定されている。たとえば、セーフティコア１１６２は、セーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３に限らず、標準制御用の仮想アドレス範囲２についてもアクセスが許可されている。一方、標準コア１１６４は、標準制御用の仮想アドレス範囲２および仮想アドレス範囲４についてはアクセスが許可されているのに対して、セーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３についてはアクセスが禁止（制限）されている。

【0075】

このように、ＭＭＵ１１７において設定される変換テーブル６００においては、標準コア１１６４によるセーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３に対するアクセスが制限されるため、仮想アドレス範囲１および仮想アドレス範囲３に対応するＲＡＭ１１５におけるセーフティ制御用の物理アドレス範囲２および物理アドレス範囲４（すなわち、セーフティ記憶領域１１５２）に対する標準コア１１６４によるアクセスも制限される。これにより、ＲＡＭ１１５の物理アドレスに対するアクセスの許可および禁止を規定する変換テーブル６００に基づき、セーフティ制御に係るデータを記憶するセーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスを制限することができる。

【0076】

同様に、制御装置１００ａのＭＣＵ１２０ａは、プロセッサ１２６に接続されたＭＭＵ１２７を含む。ＭＭＵ１２７は、ＭＭＵ１１７と同様に、メモリ保護機能を有しており、プロセッサ１２６内のコアが自身に割り当てられていない記憶領域にアクセスすることを防ぐ。具体的には、ＭＭＵ１２７においては、ＭＭＵ１１７と同様に、図４に示す変換テーブル６００が起動時に設定され、制御装置１００ａは、この変換テーブル６００を利用して標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスを制限する。なお、ＭＭＵ１２７の変換テーブル６００は、ＭＭＵ１１７の変換テーブル６００と同様の構成および機能を有するため、その説明を省略する。

【0077】

このように、ＭＭＵ１２７において設定される変換テーブル６００においては、セーフティ制御用の仮想アドレス範囲１および仮想アドレス範囲３に対する標準コア１２６４によるアクセスが制限されるため、仮想アドレス範囲１および仮想アドレス範囲３に対応するＲＡＭ１２５におけるセーフティ制御用の物理アドレス範囲２および物理アドレス範囲４（すなわち、セーフティ記憶領域１２５２）に対する標準コア１２６４によるアクセスが制限されている。これにより、ＲＡＭ１２５の物理アドレスに対するアクセスの許可および禁止を規定する変換テーブル６００に基づき、セーフティ制御に係るデータを記憶するセーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。

【0078】

なお、図３および図４に示すアクセス制限方法の第１の例においては、セーフティコアと標準コアとで共通の変換テーブル６００を用い、属性情報に基づきアクセスの許可または禁止を設定していたが、セーフティコア用の変換テーブル６００と標準コア用の変換テーブル６００とを設けてもよい。

【0079】

また、図３および図４に示すアクセス制限方法の第１の例においては、ＭＭＵを採用したが、ＭＭＵと同様にメモリ保護機能を有するＭＰＵ（Memory Protection Unit）を採用してもよい。なお、ＭＰＵにおいては、仮想アドレスから物理アドレスへの変換を行わないため、物理アドレスに対応するアドレス範囲ごとに、セーフティコアおよび標準コアのそれぞれについて、アクセスの許可または禁止を設定すればよい。

【0080】

＜ｃ１．制御装置におけるアクセス制限方法の第２の例＞
図５および図６は、第１実施形態に係る制御装置１００ｂにおけるアクセス制限方法の第２の例を説明するための模式図である。なお、図５に示す制御装置１００ｂのハードウェア構成例においては、図２に示す制御装置１００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図６においては、「記憶部」の一例としてＲＡＭを例示しているが、「記憶部」に対してはＲＡＭなどの揮発性メモリに限らず、ＲＯＭなどの不揮発性メモリを適用してもよく、その他、セーフティ制御に係るデータや標準制御に係るデータを記憶する記憶領域を含むものであれば、いずれの記憶媒体を適用してもよい。

【0081】

図５および図６に示すように、制御装置１００ｂのＭＣＵ１１０ｂは、セーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスが制限されている。

【0082】

具体的には、図６に示すように、プロセッサ１１６の状態を示すモードとして、セーフティコア１１６２および標準コア１１６４のそれぞれについて特権モードとユーザモードとが設けられている。また、ＲＡＭ１１５へのアクセス設定においても、セーフティ記憶領域１１５２および標準記憶領域１１５４のそれぞれにおいて特権モードとユーザモードとが指定されている。特権モードは「第１モード」の一例であり、ユーザモードは「第２モード」の一例である。

【0083】

セーフティコア１１６２および標準コア１１６４のそれぞれについて、ユーザモードに設定されている場合、アプリケーション１１６２ｐ，１１６４ｐにおける所定の命令が実行されたときに、特権モードに指定されている記憶領域にはアクセスが禁止されている。つまり、ユーザモードに設定されているときには、特権モードに設定されているときよりもアクセスが制限されている。

【0084】

たとえば、セーフティコア１１６２がユーザモードに設定されている場合、アプリケーション１１６２ｐにおける所定の命令が実行されたときに、セーフティ記憶領域１１５２および標準記憶領域１１５４のそれぞれにおいてユーザモードに指定されている記憶領域についてはアクセスが許可されているのに対して、セーフティ記憶領域１１５２および標準記憶領域１１５４のそれぞれにおいて特権モードに指定されている記憶領域についてはアクセスが禁止されている。

【0085】

また、たとえば、標準コア１１６４がユーザモードに設定されている場合、アプリケーション１１６４ｐにおける所定の命令が実行されたときに、標準記憶領域１１５４においてユーザモードに指定されている記憶領域についてはアクセスが許可されているのに対して、標準記憶領域１１５４において特権モードに指定されている記憶領域についてはアクセスが禁止されている。

【0086】

ここで、注目すべきは、標準コア１１６４は、特権モードおよびユーザモードのいずれに設定されているかに関わらず、セーフティ記憶領域１１５２における特権モードおよびユーザモードのいずれに指定された記憶領域に対してもアクセスが制限されている点である。たとえば、標準コア１１６４のアクセス先がセーフティ記憶領域１１５２である場合、例外処理が行われることで、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスが制限される。

【0087】

つまり、セーフティコア１１６２がアプリケーション１１６２ｐにおける所定の命令に基づいてＲＡＭ１１５にアクセスした場合、図６に示すようにセーフティ記憶領域１１５２および標準記憶領域１１５４のいずれにもアクセス可能である一方で、標準コア１１６４がアプリケーション１１６４ｐにおける同じ所定の命令に基づいてＲＡＭ１１５にアクセスした場合、図６に示すように標準記憶領域１１５４についてはアクセス可能である一方で、セーフティ記憶領域１１５２についてはアクセス制限される。

【0088】

このように、セーフティコア１１６２が所定の命令に基づいてアクセスした場合と異なり、標準コア１１６４が同じ所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶するセーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスを制限することができる。

【0089】

また、ＲＡＭ１１５の記憶領域に対するアクセスの許可および禁止を規定するモードが特権モード、および当該特権モードよりもアクセスが制限されているユーザモードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶するセーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスを制限することができる。

【0090】

同様に、図５および図６に示すように、制御装置１００ｂのＭＣＵ１２０ｂは、セーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスが制限されている。なお、図６に示すプロセッサ１２６の状態を示すモードおよびＲＡＭ１２５へのアクセス設定は、上述したプロセッサ１１６の状態を示すモードおよびＲＡＭ１１５へのアクセス設定と同じであるため、その説明を省略する。

【0091】

セーフティコア１２６２がアプリケーション１２６２ｐにおける所定の命令に基づいてＲＡＭ１２５にアクセスした場合、図６に示すようにセーフティ記憶領域１２５２および標準記憶領域１２５４のいずれにもアクセス可能である一方で、標準コア１２６４がアプリケーション１２６４ｐにおける同じ所定の命令に基づいてＲＡＭ１２５にアクセスした場合、図６に示すように標準記憶領域１２５４についてはアクセス可能である一方で、セーフティ記憶領域１２５２についてはアクセス制限される。たとえば、標準コア１２６４のアクセス先がセーフティ記憶領域１２５２である場合、例外処理が行われることで、セーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスが制限される。

【0092】

このように、セーフティコア１２６２が所定の命令に基づいてアクセスした場合と異なり、標準コア１２６４が同じ所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶するセーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。

【0093】

また、ＲＡＭ１２５の記憶領域に対するアクセスの許可および禁止を規定するモードが特権モード、および当該特権モードよりもアクセスが制限されているユーザモードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶するセーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。

【0094】

＜ｄ１．制御装置におけるアクセス制限方法の第３の例＞
図７は、第１実施形態に係る制御装置１００ｃにおけるアクセス制限方法の第３の例を説明するための模式図である。なお、図７に示す制御装置１００ｃのハードウェア構成例においては、図２に示す制御装置１００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。

【0095】

図７に示すように、制御装置１００ｃのＭＣＵ１１０ｃは、プロセッサ１１６に接続された監視プロセッサ１１９を含む。監視プロセッサ１１９は、プロセッサ１１６を補助するコプロセッサであり、ＦＰＧＡ（Field Programmable Gate Array)やＡＳＩＣ（Application Specific Integrated Circuit）などで構成される。監視プロセッサ１１９は、プロセッサ１１６に含まれるセーフティコア１１６２および標準コア１１６４のそれぞれについて、ＲＡＭ１１５の記憶領域に対するアクセスを監視する。なお、監視プロセッサ１１９は、ＭＣＵ１１０ｃの中に含まれるものに限らず、ＭＣＵ１１０ｃの外側から当該ＭＣＵ１１０ｃのプロセッサ１１６を監視するものであってもよい。

【0096】

具体的には、監視プロセッサ１１９は、セーフティコア１１６２によるセーフティ記憶領域１１５２に対するアクセスを許可し、セーフティコア１１６２による標準記憶領域１１５４に対するアクセスを許可し、標準コア１１６４による標準記憶領域１１５４に対するアクセスを許可し、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを禁止する。たとえば、標準コア１１６４のアクセス先がセーフティ記憶領域１１５２であると監視プロセッサ１１９によって検出された場合、例外処理が行われることで、セーフティ記憶領域１１５２に対する標準コア１１６４によるアクセスが制限される。

【0097】

これにより、プロセッサ１１６によるセーフティ記憶領域１１５２および標準記憶領域１１５４に対するアクセスを監視する監視プロセッサ１１９によって、標準コア１１６４によるセーフティ記憶領域１１５２に対するアクセスを制限することができる。

【0098】

同様に、図７に示すように、制御装置１００ｃのＭＣＵ１２０ｃは、プロセッサ１２６に接続された監視プロセッサ１２９を含む。監視プロセッサ１２９は、プロセッサ１２６を補助するコプロセッサであり、ＦＰＧＡやＡＳＩＣなどで構成される。監視プロセッサ１２９は、プロセッサ１２６に含まれるセーフティコア１２６２および標準コア１２６４のそれぞれについて、ＲＡＭ１２５の記憶領域に対するアクセスを監視する。なお、監視プロセッサ１２９は、ＭＣＵ１２０ｃの中に含まれるものに限らず、ＭＣＵ１２０ｃの外側から当該ＭＣＵ１２０ｃのプロセッサ１２６を監視するものであってもよい。

【0099】

具体的には、監視プロセッサ１２９は、セーフティコア１２６２によるセーフティ記憶領域１２５２に対するアクセスを許可し、セーフティコア１２６２による標準記憶領域１２５４に対するアクセスを許可し、標準コア１２６４による標準記憶領域１２５４に対するアクセスを許可し、標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスを禁止する。たとえば、標準コア１２６４のアクセス先がセーフティ記憶領域１２５２であると監視プロセッサ１２９によって検出された場合、例外処理が行われることで、標準コア１２６４によるセーフティ記憶領域１２５２に対するアクセスが制限される。

【0100】

これにより、プロセッサ１２６によるセーフティ記憶領域１２５２および標準記憶領域１２５４に対するアクセスを監視する監視プロセッサ１２９によって、セーフティ記憶領域１２５２に対する標準コア１２６４によるアクセスを制限することができる。

【0101】

［Ｃ．第２実施形態］
第２実施形態に係る制御装置２００について説明する。

【0102】

＜ａ２．制御装置のハードウェア構成例＞
図８は、第２実施形態に係る制御装置２００のハードウェア構成例を示す模式図である。図２に示す第１実施形態に係る制御装置１００は、複数のＭＣＵのそれぞれにセーフティコアが含まれかつ複数のＭＣＵの少なくともいずれか一方に標準コアが含まれていたが、図８に示す第２実施形態に係る制御装置２００は、単一のＭＣＵに複数のセーフティコアが含まれかつ少なくとも１つ以上の標準コアが含まれる点で、両者が異なる。

【0103】

具体的には、図８に示すように、制御装置２００は、１つのＭＣＵ２１０と、ＭＣＵ２１０に対応するＲＡＭ２１５とを備える。なお、ＭＣＵおよびＲＡＭは、１つに限らず、２つ以上設けられてもよい。

【0104】

また、制御装置２００は、ストレージ２３０と、ＵＳＢコントローラ２４０と、メモリカードインターフェイス２５０と、ローカルバスインターフェイス２６０とを備える。これらのコンポーネントは、プロセッサバス２０５を介して接続されている。

【0105】

ストレージ２３０、ＵＳＢコントローラ２４０、メモリカードインターフェイス２５０、およびローカルバスインターフェイス２６０のそれぞれは、図２に示すストレージ１３０、ＵＳＢコントローラ１４０、メモリカードインターフェイス１５０、およびローカルバスインターフェイス１６０のそれぞれと同様の構成を有する。なお、ストレージ２３０は、要求されるセーフティ機能に応じてユーザによって作成されたセーフティ制御に係るセーフティプログラム２３２、および制御対象に応じてユーザによって作成された標準制御に係る標準プログラム２３４など、各種のプログラムやデータが格納される。

【0106】

ＭＣＵ２１０は、プロセッサ２１６と、セーフティＲＯＭ２１２と、セーフティＲＯＭ２１４と、標準ＲＯＭ２２２と、標準ＲＯＭ２２４とを含む。

【0107】

プロセッサ２１６は、マルチコアプロセッサであり、セーフティコア２１６２と、セーフティコア２１６４と、標準コア２２６２と、標準コア２２６４とを含む。セーフティコア２１６２およびセーフティコア２１６４のそれぞれは、「第１演算部」の一例であり、セーフティ制御に係る制御演算を実行する。標準コア２２６２および標準コア２２６４のそれぞれは、「第２演算部」の一例であり、標準制御に係る制御演算を実行する。

【0108】

このように、単一のプロセッサ２１６内において、セーフティ制御に係るセーフティコア２１６２およびセーフティコア２１６４と、標準制御に係る標準コア２２６２および標準コア２２６４とを共存させることで、セーフティコアと標準コアとを別々のプロセッサにそれぞれ含めるよりも、装置の省スペース化および低コスト化を図ることができる。

【0109】

セーフティＲＯＭ２１２は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム２１２２を格納し、セーフティコア２１６２に接続されている。

【0110】

セーフティＲＯＭ２１４は、セーフティ制御に係る基本的な機能を実現するためのセーフティシステムプログラム２１４２を格納し、セーフティコア２１６４に接続されている。

【0111】

標準ＲＯＭ２２２は、標準制御に係る基本的な機能を実現するための標準システムプログラム２２２２を格納し、標準コア２２６２に接続されている。

【0112】

標準ＲＯＭ２２４は、標準制御に係る基本的な機能を実現するための標準システムプログラム２２４２を格納し、標準コア２２６４に接続されている。

【0113】

ＲＡＭ２１５は、「記憶部」の一例である。ＲＡＭ２１５の記憶領域には、セーフティ記憶領域２１５２と、標準記憶領域２２５２とが含まれる。セーフティ記憶領域２１５２は、「第１記憶領域」の一例であり、セーフティ制御を実行するためのデータが格納される。標準記憶領域２２５２は、「第２記憶領域」の一例であり、標準制御を実行するためのデータが格納される。

【0114】

セーフティコア２１６２は、セーフティＲＯＭ２１２に格納されたセーフティシステムプログラム２１２２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、セーフティ制御を実現する。セーフティコア２１６４は、セーフティＲＯＭ２１４に格納されたセーフティシステムプログラム２１４２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、セーフティ制御を実現する。同様に、標準コア２２６２は、標準ＲＯＭ２２２に格納された標準システムプログラム２２２２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、標準制御を実現する。標準コア２２６４は、標準ＲＯＭ２２４に格納された標準システムプログラム２２４２を読み出し、ＲＡＭ２１５内の記憶領域に展開して実行することで、標準制御を実現する。

【0115】

このように、プロセッサ２１６のセーフティコア２１６２，２１６４および標準コア２２６２，２２６４は、ＲＡＭ２１５にアクセスすることでセーフティ制御や標準制御を実行するが、セーフティコア２１６２，２１６４から標準記憶領域２２５２に対してはアクセスが許可されている一方で、安全を担保する観点から、標準コア２２６２，２２６４からセーフティ記憶領域２１５２に対してはアクセスが制限されている。たとえば、制御装置２００においては、標準コア２２６２，２２６４のアクセス先がセーフティ記憶領域２１５２である場合、例外処理が行われることで、標準コア２２６２，２２６４によるセーフティ記憶領域２１５２に対するアクセスが制限される。

【0116】

これにより、標準コア２２６２，２２６４によるアクセスによってセーフティ記憶領域２１５２に格納されたセーフティ制御に係るデータに何らかの異常が生じることを防止することができ、安全を担保することができる。

【0117】

＜ｂ２．制御装置におけるアクセス制限方法の第１の例＞
図９は、第２実施形態に係る制御装置２００ａにおけるアクセス制限方法の第１の例を説明するための模式図である。なお、図９に示す制御装置２００ａのハードウェア構成例においては、図８に示す制御装置２００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図９に示す第２実施形態に係る制御装置２００ａにおけるアクセス制限方法の第１の例においては、図３および図４に示す第１実施形態に係る制御装置１００ａにおけるアクセス制限方法の第１の例と同じ構成および機能を有する部分については、その説明を省略する。

【0118】

図９に示すように、制御装置２００ａのＭＣＵ２１０ａは、プロセッサ２１６に接続されたＭＭＵ２１７２，２１７４，２２７２，２２７４を含む。ＭＭＵ２１７２は、セーフティコア２１６２に接続され、ＭＭＵ２１７４は、セーフティコア２１６４に接続され、ＭＭＵ２２７２は、標準コア２２６２に接続され、ＭＭＵ２２７４は、標準コア２２６４に接続されている。ＭＭＵ２１７２，２１７４，２２７２，２２７４は、図３に示すＭＭＵ１１７やＭＭＵ１２７と同様に、メモリ保護機能を有しており、プロセッサ２１６内のコアが自身に割り当てられていない記憶領域にアクセスすることを防ぐ。具体的には、ＭＭＵ２２７２，２２７４においては、図４に示す変換テーブル６００が起動時に設定され、制御装置２００ａは、この変換テーブル６００を利用して標準コア２２６２，２２６４によるセーフティ記憶領域２１５２に対するアクセスを制限する。

【0119】

このように、ＭＭＵ２２７２，２２７４において設定される変換テーブル６００においては、セーフティ制御用の仮想アドレス範囲に対する標準コア２２６２，２２６４によるアクセスが制限される結果、仮想アドレス範囲に対応するＲＡＭ２１５におけるセーフティ制御用の物理アドレス範囲（すなわち、セーフティ記憶領域２１５２）に対する標準コア２２６２，２２６４によるアクセスが制限されている。これにより、ＲＡＭ２１５の物理アドレスに対するアクセスの許可および禁止を規定する変換テーブル６００に基づき、セーフティ制御に係るデータを記憶するセーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。

【0120】

＜ｃ２．制御装置におけるアクセス制限方法の第２の例＞
図１０は、第２実施形態に係る制御装置２００ｂにおけるアクセス制限方法の第２の例を説明するための模式図である。なお、図１０に示す制御装置２００ｂのハードウェア構成例においては、図８に示す制御装置２００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図１０に示す第２実施形態に係る制御装置２００ｂにおけるアクセス制限方法の第２の例においては、図５および図６に示す第１実施形態に係る制御装置１００ｂにおけるアクセス制限方法の第２の例と同じ構成および機能を有する部分については、その説明を省略する。また、図１０に示す例においても、図６に示す例と同様に、「記憶部」の一例としてＲＡＭを例示しているが、「記憶部」に対してはＲＡＭなどの揮発性メモリに限らず、ＲＯＭなどの不揮発性メモリを適用してもよく、その他、セーフティ制御に係るデータや標準制御に係るデータを記憶する記憶領域を含むものであれば、いずれの記憶媒体を適用してもよい。

【0121】

図１０に示すように、制御装置２００ｂのＭＣＵ２１０ｂは、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスが制限されている。

【0122】

具体的には、制御装置２００ｂにおいては、図６に示すように、プロセッサ２１６の状態を示すモードとして、セーフティコア２１６２，２１６４および標準コア２２６２，２２６４のそれぞれについて特権モードとユーザモードとが設けられている。また、ＲＡＭ２１５へのアクセス設定においても、セーフティ記憶領域２１５２および標準記憶領域２２５２のそれぞれにおいて特権モードとユーザモードとが指定されている。特権モードは「第１モード」の一例であり、ユーザモードは「第２モード」の一例である。

【0123】

セーフティコア２１６２，２１６４および標準コア２２６２，２２６４のそれぞれについて、ユーザモードに設定されている場合、アプリケーション２１６２ｐ，２１６４ｐ，２２６２ｐ，２２６４ｐにおける所定の命令が実行されたときに、特権モードに指定されている記憶領域にはアクセスが禁止されている。つまり、ユーザモードに設定されているときには、特権モードに設定されているときよりもアクセスが制限されている。

【0124】

また、セーフティコア２１６２，２１６４がアプリケーション２１６２ｐ，２１６４ｐにおける所定の命令に基づいてＲＡＭ２１５にアクセスした場合、図６に示すようにセーフティ記憶領域２１５２および標準記憶領域２２５２のいずれにもアクセス可能である一方で、標準コア２２６２，２２６４がアプリケーション２２６２ｐ，２２６４ｐにおける同じ所定の命令に基づいてＲＡＭ２１５にアクセスした場合、図６に示すように標準記憶領域２２５２についてはアクセス可能である一方で、セーフティ記憶領域２１５２についてはアクセス制限される。

【0125】

このように、セーフティコア２１６２，２１６４が所定の命令に基づいてアクセスした場合と異なり、標準コア２２６２，２２６４が同じ所定の命令に基づいてアクセスした場合には、セーフティ制御に係るデータを記憶するセーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。

【0126】

また、ＲＡＭ２１５の記憶領域に対するアクセスの許可および禁止を規定するモードが特権モード、および当該特権モードよりもアクセスが制限されているユーザモードのいずれであるかに関わらず、セーフティ制御に係るデータを記憶するセーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。

【0127】

＜ｄ２．制御装置におけるアクセス制限方法の第３の例＞
図１１は、第２実施形態に係る制御装置２００ｃにおけるアクセス制限方法の第３の例を説明するための模式図である。なお、図１１に示す制御装置２００ｃのハードウェア構成例においては、図８に示す制御装置２００のハードウェア構成例と同じ構成および機能を有する部分については同じ符号を付加し、その説明を省略する。また、図１１に示す第２実施形態に係る制御装置２００ｃにおけるアクセス制限方法の第３の例においては、図７に示す第１実施形態に係る制御装置１００ｃにおけるアクセス制限方法の第３の例と同じ構成および機能を有する部分については、その説明を省略する。

【0128】

図１１に示すように、制御装置２００ｃのＭＣＵ２１０ｃは、プロセッサ２１６に接続された監視プロセッサ２１９を含む。監視プロセッサ２１９は、プロセッサ２１６を補助するコプロセッサであり、ＦＰＧＡやＡＳＩＣなどで構成される。監視プロセッサ２１９は、プロセッサ２１６に含まれるセーフティコア２１６２，２１６４および標準コア２２６２，２２６４のそれぞれについて、ＲＡＭ２１５の記憶領域に対するアクセスを監視する。なお、監視プロセッサ２１９は、ＭＣＵ２１０ｃの中に含まれるものに限らず、ＭＣＵ２１０ｃの外側から当該ＭＣＵ２１０ｃのプロセッサ２１６を監視するものであってもよい。

【0129】

具体的には、監視プロセッサ２１９は、セーフティ記憶領域２１５２に対するセーフティコア２１６２，２１６４によるアクセスを許可し、標準記憶領域２２５２に対するセーフティコア２１６２，２１６４によるアクセスを許可し、標準記憶領域２２５２に対する標準コア２２６２，２２６４によるアクセスを許可し、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを禁止する。たとえば、標準コア２２６２，２２６４のアクセス先がセーフティ記憶領域２１５２であると監視プロセッサ２１９によって検出された場合、例外処理が行われることで、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスが制限される。

【0130】

これにより、プロセッサ２１６によるセーフティ記憶領域２１５２および標準記憶領域２２５２に対するアクセスを監視する監視プロセッサ２１９によって、セーフティ記憶領域２１５２に対する標準コア２２６２，２２６４によるアクセスを制限することができる。

【0131】

［Ｄ．付記］
以上のように、本実施の形態では以下のような開示を含む。

【0132】

［構成１］
駆動装置（４３０）を制御する制御装置（１００，２００）であって、
前記駆動装置に関してセーフティ制御を実行する第１演算部（１０１）と、
前記駆動装置に関して標準制御を実行する第２演算部（１０２）と、
前記第１演算部および前記第２演算部のいずれからもアクセス可能であって、前記セーフティ制御に係るデータを記憶する第１記憶領域（１０３１）と、前記標準制御に係るデータを記憶する第２記憶領域（１０３２）とを含む記憶部（１０３）とを備え、
前記第１演算部は、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
前記第２演算部は、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、制御装置（１００，２００）。

【0133】

［構成２］
複数のマイクロコントローラユニット（ＭＣＵ）（１１０，１２０）を備え、
前記第１演算部は、前記セーフティ制御を実行するプロセッサコア（１１６２，１２６２）であり、
前記第２演算部は、前記標準制御を実行するプロセッサコア（１１６４）であり、
前記複数のマイクロコントローラユニットのそれぞれは、前記セーフティ制御を実行するプロセッサコア（１１６）を含み、
前記複数のマイクロコントローラユニットの少なくともいずれか一方は、前記標準制御を実行するプロセッサコア（１１６４，１２６４）を含む、構成１の制御装置（１００）。

【0134】

［構成３］
前記複数のマイクロコントローラユニットのそれぞれに含まれる前記セーフティ制御を実行するプロセッサコア間においては、相互監視が行われる、構成２の制御装置（１００）。

【0135】

［構成４］
マイクロコントローラユニット（ＭＣＵ）（２１０）を備え、
前記第１演算部は、前記セーフティ制御を実行するプロセッサコア（２１６２，２１６４）であり、
前記第２演算部は、前記標準制御を実行するプロセッサコア（２２６２，２２６４）であり、
前記マイクロコントローラユニットは、前記セーフティ制御を実行するプロセッサコアを複数含むとともに、前記標準制御を実行するプロセッサコアを少なくとも１つ以上含む、構成１の制御装置（２００）。

【0136】

［構成５］
前記記憶部のメモリアドレスに対するアクセスの許可および禁止を規定するデータテーブル（６００）を備え、
前記第１演算部は、前記データテーブルに基づき、前記第１記憶領域および前記第２記憶領域のいずれのメモリアドレスにもアクセス可能である一方で、
前記第２演算部は、前記第２記憶領域のメモリアドレスにアクセス可能であるのに対して前記第１記憶領域のメモリアドレスについてはアクセス制限されている、構成１～構成４のいずれかの制御装置（１００ａ，２００ａ）。

【0137】

［構成６］
前記第１演算部は、所定の命令に基づいて、前記第１記憶領域および前記第２記憶領域のいずれにもアクセス可能である一方で、
前記第２演算部は、前記所定の命令に基づいて、前記第２記憶領域にアクセス可能であるのに対して前記第１記憶領域についてはアクセス制限されている、構成１～構成４のいずれかの制御装置（１００ｂ，２００ｂ）。

【0138】

［構成７］
前記記憶部に対するアクセスの許可および禁止を規定するモードとして、第１モードと、当該第１モードよりもアクセスが制限されている第２モードとが設けられており、
前記第２演算部は、前記モードが第１モードおよび前記第２モードのいずれであるかに関わらず、前記第１記憶領域についてはアクセス制限されている、構成６の制御装置（１００ｂ，２００ｂ）。

【0139】

［構成８］
前記第１演算部は、前記セーフティ制御を実行するプロセッサコア（１１６２，１２６２，２１６２，２１６４）であり、
前記第２演算部は、前記標準制御を実行するプロセッサコア（１１６４，１２６４，２１６４，２２６４）であり、
前記標準制御を実行するプロセッサコアおよび前記セーフティ制御を実行するプロセッサコアを含むプロセッサ（１１６，１２６，２１６）を補助するコプロセッサとして、当該プロセッサによる前記第１記憶領域および前記第２記憶領域に対するアクセスを監視する監視プロセッサ（１１９，１２９，２１９）をさらに備え、
前記第２演算部は、前記監視プロセッサによって、前記第１記憶領域に対してアクセス制限されている、構成１～構成４のいずれかの制御装置（１００ｃ，２００ｃ）。

【0140】

［Ｅ．利点］
本実施の形態に係る制御装置１００によれば、セーフティ制御を実行する第１演算部１０１と標準制御を実行する第２演算部１０２とが共存する場合であっても、第２演算部１０２は、セーフティ制御に係る第１記憶領域１０３１についてはアクセス制限されているため、標準制御を実行する第２演算部１０２によってセーフティ制御に影響を与えることがなく、安全を担保することができる。

【0141】

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

【符号の説明】

【0142】

１００，１００ａ，１００ｂ，１００ｃ，２００，２００ａ，２００ｂ，２００ｃ 制御装置、１０１ 第１演算部、１０２ 第２演算部、１０３ 記憶部、１０５１，１０５２，２０５ プロセッサバス、１１０，１２０，１１０ａ，１２０ａ，１１０ｂ，１２０ｂ，１１０ｃ，１２０ｃ，２１０ ＭＣＵ、１１２，１２２，２１２，２１４ セーフティＲＯＭ、１１４，１２４，２２２，２２４ 標準ロム、１１５，１２５，２１５ ＲＡＭ、１１６，１２６，２１６ プロセッサ、１１９，１２９，２１９ 監視プロセッサ、１３０，２３０ ストレージ、１３２，２３２ セーフティプログラム、１３４，２３４ 標準プログラム、１４０，２４０ ＵＳＢコントローラ、１５０，２５０ メモリカードインターフェイス、１６０，２６０ ローカルバスインターフェイス、３００ セーフティデバイス、４１０ セーフティリレー、４２０ ドライバ、４３０ 駆動装置、５００ サポート装置、６００ 変換テーブル、１０３１ 第１記憶領域、１０３２ 第２記憶領域、１０５３ ブリッジ、１１２２，１２２２，２１２２，２１４２ セーフティシステムプログラム、１１４２，１２４２，２２２２，２２４２ 標準システムプログラム、１１４４ 制限データ、１１５２，１２５２，２１５２ セーフティ記憶領域、１１５４，１２５４，２２５２ 標準記憶領域、１１６２，１２６２，２１６２，２１６４ セーフティコア、１１６２ｐ，１１６４ｐ，１２６２ｐ，１２６４ｐ，２１６２ｐ，２１６４ｐ，２２６２ｐ，２２６４ｐ アプリケーション、１１６４，１２６４，２２６２，２２６４ 標準コア、２１７２，２１７４，２２７２，２２７４ ＭＭＵ。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】