WO2012104897A1 - 安全制御装置および安全制御方法 - Google Patents

安全制御装置および安全制御方法 Download PDF

Info

Publication number
WO2012104897A1
WO2012104897A1 PCT/JP2011/000525 JP2011000525W WO2012104897A1 WO 2012104897 A1 WO2012104897 A1 WO 2012104897A1 JP 2011000525 W JP2011000525 W JP 2011000525W WO 2012104897 A1 WO2012104897 A1 WO 2012104897A1
Authority
WO
WIPO (PCT)
Prior art keywords
time
partition
safety
program
task
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2011/000525
Other languages
English (en)
French (fr)
Inventor
平　哲也
浩司 尾藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to EP11824295.7A priority Critical patent/EP2680094B1/en
Priority to JP2012505536A priority patent/JP5240402B2/ja
Priority to PCT/JP2011/000525 priority patent/WO2012104897A1/ja
Priority to US13/498,829 priority patent/US8457766B2/en
Priority to CN201180004525.7A priority patent/CN103026309B/zh
Publication of WO2012104897A1 publication Critical patent/WO2012104897A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B25—HAND TOOLS; PORTABLE POWER-DRIVEN TOOLS; MANIPULATORS
    • B25J—MANIPULATORS; CHAMBERS PROVIDED WITH MANIPULATION DEVICES
    • B25J9/00—Program-controlled manipulators
    • B25J9/16—Program controls
    • B25J9/1674—Program controls characterised by safety, monitoring, diagnostic
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B25—HAND TOOLS; PORTABLE POWER-DRIVEN TOOLS; MANIPULATORS
    • B25J—MANIPULATORS; CHAMBERS PROVIDED WITH MANIPULATION DEVICES
    • B25J9/00—Program-controlled manipulators
    • B25J9/16—Program controls
    • B25J9/1656—Program controls characterised by programming, planning systems for manipulators
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0426—Programming the control sequence
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/48—Program initiating; Program switching, e.g. by interrupt
    • G06F9/4806—Task transfer initiation or dispatching
    • G06F9/4843—Task transfer initiation or dispatching by program, e.g. task dispatcher, supervisor, operating system
    • G06F9/4881—Scheduling strategies for dispatcher, e.g. round robin, multi-level priority queues
    • G06F9/4887—Scheduling strategies for dispatcher, e.g. round robin, multi-level priority queues involving deadlines, e.g. rate based, periodic
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24211—Override normal program, execute urgency program so machine operates safe
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25343—Real time multitasking
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25347—Multitasking machine control
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/30—Nc systems
    • G05B2219/34—Director, elements to supervisory
    • G05B2219/34382—Preemptive multitasking, cpu decides upon priority scheme, which task to start
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/30—Nc systems
    • G05B2219/34—Director, elements to supervisory
    • G05B2219/34383—Dynamic preemptive, special event register manages time slices for applications

Definitions

  • the present invention relates to a safety control device mounted on a service robot, transportation equipment or the like for ensuring functional safety, and more particularly to a safety control device using a computer system.
  • the service robot needs to ensure functional safety by constantly monitoring the safety state with external sensors and self-diagnosis devices and executing appropriate safety control logic when any danger is detected.
  • IEC 61508 has been established as an international standard for functional safety for systems that operate on electrical principles such as transport equipment.
  • IEC 61508 a system provided for ensuring functional safety is called a safety-related system.
  • IEC 61508 defines various techniques for constructing safety-related systems using hardware such as microprocessors and PLCs (Programmable Logic Controllers) and computer programs (software). By using the technique defined in IEC 61508, it is possible to construct a safety-related system using a computer system.
  • Patent Literature 1 discloses a technique for causing an application program (hereinafter referred to as a safety-related application) related to ensuring functional safety to operate on one computer system together with other application programs (hereinafter referred to as a non-safety-related application). Has been.
  • a safety-related application an application program related to ensuring functional safety to operate on one computer system together with other application programs (hereinafter referred to as a non-safety-related application). has been.
  • the safety-related applications safety monitoring program and safety control program
  • the non-safety-related applications normal control program
  • the normal control program can be excluded from the safety-related system, which can contribute to the cost reduction of the safety-related system configured using the computer system.
  • Patent Document 1 has the following problems.
  • TP1 is a time partition that executes a safety monitoring program
  • TP2 is a time partition that executes a normal control program
  • TP3 is a time partition that executes a safety control program.
  • the system program according to the prior art switches time partitions according to a predetermined fixed scheduling pattern. Therefore, for example, when an abnormality occurs when scheduling is performed according to the scheduling pattern (fixed pattern) for normal control shown in the upper part of FIG. 11A, the scheduling pattern (fixed for safety control) shown in the lower part of FIG. The scheduling pattern is switched to (pattern), and thereafter, scheduling is performed according to the scheduling pattern (fixed pattern) at the time of safety control.
  • FIG. 12 shows a specific example of a scheduling pattern during normal control according to the prior art.
  • FIG. 13 shows a specific example of a processing procedure related to task initialization processing by a system program according to the prior art.
  • a time resource for executing the task needs to be given.
  • at least one time partition is required for task initialization processing.
  • FIG. 13 shows a specific example of a processing procedure related to task initialization processing by a system program according to the prior art.
  • the task related to TPX (any one of TP1 to TP3) is operated by the partition scheduler (S111), and the initialization of the tasks related to TPX is completed until the task initialization processing related to all time partitions is completed.
  • the conversion process is sequentially executed (S112 to S114).
  • the partition scheduler operates the task for TPX, and thereafter, normal task process execution is started (S115).
  • the safety monitoring process 21 selects a scheduling pattern that defines the switching order and timing of time partitions, and the OS 100 performs partition scheduling according to the scheduling pattern. (See paragraphs 0036 and 0039 of FIG. 4, Patent Document 1, etc.). That is, it is disclosed that the OS 100 switches time partitions according to a fixed scheduling pattern designated by the safety monitoring process 21.
  • the OS 100 disclosed in Patent Document 1 depends on the selection result by the safety monitoring process 21 in TP1 with respect to the switching of the partition, skipping TP1 originally scheduled in the scheduling pattern is not possible. It is not possible. Further, the OS 100 disclosed in Patent Document 1 is merely a monitoring of the execution status of the normal control process 22 and the monitoring of input / output data of the I / O port 12 by the safety monitoring process 21 in TP1. (See paragraph 0036 of Patent Document 1, etc.) In consideration of the execution status of the safety control process 23 and the safety monitoring process 21 itself, it is not possible to select / determine which TP is to be skipped. It is.
  • the partition scheduling function is not independent from the process generated in each time partition, and the partition scheduling function can grasp the execution status of all processes. Therefore, there is a problem that a time partition that does not need to be executed cannot be intentionally skipped. As a result, the above-described problems cannot be solved.
  • the present invention has been made based on the above-described knowledge, and an object thereof is to provide a safety control device and a safety control method that enable skipping of time partitions that do not need to be executed.
  • a safety control device includes a hardware resource including at least one processor, (a) a safety monitoring program for monitoring occurrence of an abnormality related to a control target, and (b) control of the control target at a normal time. And (c) a system program for controlling the allocation of the execution time of the processor to the safety control program related to the control of the controlled object at the time of abnormality.
  • the system program includes (d) a first time partition that assigns the execution time to the safety monitoring program, (e) a second time partition that assigns the execution time to the normal control program, and (f) the safety control.
  • a partition scheduler for selecting and determining the next time partition to be scheduled is included in part according to a scheduling pattern including a third time partition for assigning the execution time to the program.
  • the processor periodically operates the partition scheduler by executing the system program.
  • the partition scheduler is a program that does not need to be executed among the time partitions included in the scheduling pattern in response to an execution result notification from a program executed in at least one time partition of the first to third time partitions. Skip time partitions containing.
  • the partition scheduler can grasp the situation regarding each time partition in a unified manner, and can skip time partitions that do not need to be executed.
  • the partition scheduler receives the execution notification result that an abnormality has been detected by the safety monitoring program executed in the first time partition, in the subsequent scheduling, other than the third time partition You may skip the time partition.
  • the partition scheduler receives the execution notification result that an abnormality has been detected by the safety monitoring program executed in the first time partition, in the subsequent scheduling, other than the third time partition You may skip the time partition.
  • the partition scheduler skips the third time partition in the subsequent scheduling in response to the completion of the program initialization process in the first to third time partitions. You may do it. Thereby, a longer execution time can be assigned to the normal control program.
  • a reset circuit for resetting the hardware resource, wherein the partition scheduler is an abnormality having an emergency stop from a program executed in at least one time partition of the first to third time partitions.
  • a reset instruction signal may be output to the reset circuit, and the reset circuit may reset the hardware resource when receiving the reset instruction signal.
  • system further comprises a reset circuit for resetting the hardware resources, wherein the partition scheduler periodically transmits a signal to the reset circuit, and is included in at least one time partition of the first to third time partitions.
  • the partition scheduler periodically transmits a signal to the reset circuit, and is included in at least one time partition of the first to third time partitions.
  • the transmission of the signal to the reset circuit is stopped, and the reset circuit stops the signal transmitted from the partition scheduler.
  • the hardware resource may be reset.
  • Embodiment 1 of invention It is a block diagram which shows the structural example of the safety control apparatus concerning Embodiment 1 of invention. It is a figure for demonstrating the concept of the time partitioning in Embodiment 1 of invention. It is a conceptual diagram for demonstrating the concept of the resource partitioning in Embodiment 1 of invention. It is a figure which shows the relationship between the partition scheduler and task started by the execution environment provided by OS shown in FIG. It is a figure which shows the specific example of a scheduling pattern. It is a figure which shows the specific example of a scheduling pattern. It is a flowchart which shows the specific example of the process sequence of a partition scheduler. It is a flowchart which shows the specific example of the reset process procedure of a microcontroller.
  • the safety control device 1 is mounted on a service robot, a transportation device, or the like, and executes safety control for ensuring functional safety.
  • the safety control device 1 is configured to execute a safety-related application and a non-safety-related application on the same computer system.
  • FIG. 1 is a block diagram illustrating a configuration example of the safety control device 1 according to the present embodiment.
  • the processor 10 obtains a program (instruction stream), decodes an instruction, and performs arithmetic processing according to the instruction decoding result.
  • the safety control device 1 may have a multiprocessor configuration having a plurality of processors 10.
  • the processor 10 may be a multi-core processor.
  • the processor 10 provides a multiprogramming environment by executing an operating system (OS) 100 as a system program.
  • OS operating system
  • a multi-programming environment is an environment in which multiple programs are executed in parallel by periodically switching and executing multiple programs, or by switching the programs to be executed in response to the occurrence of a certain event. means.
  • Multiprogramming is sometimes called multiprocess, multithread, multitask, etc.
  • a process, a thread, and a task mean a program unit that is executed in parallel in a multiprogramming environment.
  • the multi-programming environment included in the processor 10 of the present embodiment may be a multi-process environment or a multi-thread environment.
  • the execution memory 11 is a memory used for program execution by the processor 10.
  • the execution memory 11 stores programs (such as the OS 100 and applications 101 to 103) loaded from the nonvolatile memory 13, input / output data of the processor 10, and the like.
  • the processor 10 may directly execute these programs from the nonvolatile memory 13 without loading the programs from the nonvolatile memory 13 to the execution memory 11.
  • the execution memory 11 may be a random accessible volatile memory such as SRAM (Static Random Access Memory) or DRAM (Dynamic Random Access Memory).
  • SRAM Static Random Access Memory
  • DRAM Dynamic Random Access Memory
  • the execution memory 11 in FIG. 1 represents a logical unit. That is, the execution memory 11 may be, for example, a combination of a plurality of SRAM devices, a combination of a plurality of DRAM devices, or a combination of an SRAM device and a DRAM device.
  • the I / O port 12 is used for data transmission / reception with an external device.
  • the external device is a visual sensor that can measure an obstacle around the service robot, an actuator that operates the service robot, or the like.
  • the non-volatile memory 13 is a memory device capable of stably maintaining the stored contents as compared with the execution memory 11 without receiving power supply.
  • the nonvolatile memory 13 is a ROM (Read Only Memory), a flash memory, a hard disk drive or an optical disk drive, or a combination thereof.
  • the nonvolatile memory 13 stores the OS 100 and the applications 101 to 103.
  • at least a part of the nonvolatile memory 13 may be configured to be removable from the safety control device 1.
  • the memory storing the applications 101 to 103 may be removable.
  • at least a part of the nonvolatile memory 13 may be disposed outside the safety control device 1.
  • the OS 100 is executed by the processor 10 to use task resources including task scheduling, interrupt management, time management, resource management using hardware resources such as the processor 10, the execution memory 11, and the nonvolatile memory 13. Provides inter-task synchronization and inter-task communication mechanism.
  • the OS 100 has a function of protecting hardware resources temporally and spatially.
  • the hardware resources include the processor 10, the execution memory 11, and the I / O port 12.
  • temporal protection is performed by partitioning a temporal resource called the execution time of the processor 10. Specifically, temporal protection is performed by partitioning the execution time of the processor 10 and assigning a task (process or thread) to each partition (referred to as a time partition).
  • the scheduling function (partition scheduler 21) of the OS 100 guarantees the use of resources including the execution time of the processor 10 for tasks assigned to each time partition (hereinafter sometimes referred to as TP).
  • FIG. 2 is a conceptual diagram related to time partitioning.
  • a predetermined cycle time is divided into three TP1, TP2, and TP3 is shown.
  • the first 20 Tick is defined as TP1
  • the middle 30 Tick is defined as TP2
  • the second 50 Tick is defined as TP3.
  • the first application (APL1) to the fourth application (APL4) are assigned to any one of TP1 to TP3.
  • the scheduling function (partition scheduler 21) of the OS 100 selects and determines which of TP1 to TP3 is activated as time elapses. Then, the application assigned to the active TP is executed by the processor 10.
  • partitioning fixed resources including the execution memory 11 and the I / O port 12 and assigning tasks to each partition referred to as a resource partition.
  • the scheduling function (partition scheduler 21) of the OS 100 prohibits a task from accessing other resources beyond a pre-assigned resource partition (hereinafter sometimes referred to as RP).
  • FIG. 3 is a conceptual diagram related to resource partitioning.
  • two RPs RP1 and RP2 are shown.
  • a part of the execution memory 11 and the nonvolatile memory 13 (A area) and a part of the I / O port 12 (port A) are allocated to RP1.
  • another part (B area) of the execution memory 11 and the nonvolatile memory 13 and another part (port B) of the I / O port 12 are allocated to RP2.
  • Access from RP1 to the resource assigned to RP2 is prohibited, and access from RP2 to the resource assigned to RP1 is prohibited.
  • the actuator needs to be accessible from both the normal control application 101 and the safety control application 102. Therefore, the I / O port for controlling the actuator may be shared by the RP to which the normal control application 101 belongs and the RP to which the safety control application 102 belongs.
  • the applications 101 to 103 are executed in a multiprogramming environment provided by the OS 100 and the processor 10.
  • the safety monitoring application 101 executes the processor 10 to monitor the execution status of the normal control application 102, monitor the execution status of the safety control application 103, and monitor input / output data to the I / O port 12.
  • Instruction code to make it Further, the safety monitoring application 101 includes an instruction code for causing the processor 10 to execute a result notification to the partition scheduler 21. That is, the safety monitoring application 101 is a safety related application.
  • the normal control application 102 includes an instruction code for causing the processor 10 to execute a control procedure for causing a control target such as a service robot to perform a normal function / operation. Further, the normal control application 102 includes an instruction code for causing the processor 10 to execute a result notification to the partition scheduler 21. That is, the normal control application 102 is a non-safety related application.
  • the safety control application 103 includes an instruction code for causing the processor 10 to execute a control procedure determined to ensure functional safety in response to a case where some abnormality is detected. Further, the safety control application 103 includes an instruction code for causing the processor 10 to execute a result notification to the partition scheduler 21. That is, the safety control application 103 is a safety-related application.
  • the reset circuit 14 resets the microcontroller 15 based on a signal from the OS 100. A reset mechanism of the microcontroller 15 using the reset circuit 14 will be described later.
  • FIG. 4 is a diagram showing the relationship between the partition scheduler 21 and the tasks 24, 26, and 28 that are activated in the multiprogramming environment provided by the OS 100.
  • the microcontroller 15 includes a processor 10, an execution memory 11, an I / O port 12, a non-volatile memory 13, and the like. 4 illustrates a configuration in which the reset circuit 14 is provided outside the microcontroller 15, but a configuration in which the reset circuit 14 is included in the microcontroller 15 may be employed.
  • the clock signal from an external clock source is supplied to the microcontroller 15, and the processor 10 and the like operate at a predetermined timer cycle based on this clock signal.
  • the predetermined timer cycle is described as 1 Tick. For this reason, when the processor 10 executes the OS 100, the partition scheduler 21 operates every 1 Tick, and in each TP, task schedulers 23, 25, 27 and tasks (safety monitoring task 24, normal control task 26, The safety control task 28) operates every 1 tick.
  • the partition scheduler 21 operates every 1 tick and performs TP switching (partition scheduling).
  • the partition scheduler 21 selects and determines which of TP1 to TP3 is activated during the next 1 Tick. Furthermore, the partition scheduler 21 starts the operation of the task scheduler related to the selected TP.
  • the partition scheduler 21 refers to the scheduling table 22 and performs partition scheduling in accordance with a scheduling pattern that defines TP settings.
  • the scheduling table 22 holds a scheduling pattern that defines the TP switching order and timing.
  • the scheduling table 22 holds at least two different scheduling patterns. One is a scheduling pattern that is applied when abnormality detection by the safety monitoring task 24 is not performed (that is, during normal time). The other is a scheduling pattern applied when an abnormality is detected by the safety monitoring task 24.
  • normal control scheduling pattern A scheduling pattern applied at the time of detecting an abnormality is called a “safe control scheduling pattern”.
  • FIG. 5A shows a specific example of the normal control scheduling pattern.
  • TP2 to which the normal control task 26 belongs is assigned to the first half (T1) of one cycle time.
  • TP1 to which the safety monitoring task 24 belongs is assigned to the second half (T2) of one cycle time.
  • T1 to which the safety monitoring task 24 belongs is assigned to the second half (T2) of one cycle time.
  • FIG. 5B shows a specific example of the safety control scheduling pattern.
  • TP3 to which the safety control task 28 belongs is assigned to the first half (T3) of one cycle time.
  • TP1 to which the safety monitoring task 24 belongs is assigned to the second half (T4) of one cycle time.
  • T3 first half
  • T4 second half
  • the safety control task 28 and the safety monitoring task 24 are repeatedly scheduled.
  • each TP is illustrated as including only one task, but actually includes one or more tasks.
  • the normal control task A and the normal control task B may be included in the normal control TP2.
  • the safety monitoring task 24 is a task generated when the safety monitoring application 101 is activated.
  • the safety monitoring task 24 is assigned to TP1 and RP1.
  • the safety monitoring task 24 monitors the execution status of the normal control task 26 that is a non-safety related application, monitors the execution status of the safety control task 28 that is a safety related application, and monitors input / output data of the I / O port 12. To do. Further, the safety monitoring task 24 notifies the partition scheduler 21 of the task execution status result.
  • the normal control task 26 is a task generated when the normal control application 102 is activated. In the example of FIG. 4, the normal control task 26 is assigned to TP2 and RP2. The normal control task 26 performs control for causing a control target such as a service robot to perform a normal function / operation. Further, the normal control task 26 notifies the partition scheduler 21 of the task execution status result.
  • the safety control task 28 is a task generated when the safety control application 103 is activated.
  • the safety control task 28 is assigned to TP3 and RP3.
  • the safety control task 28 performs control determined to ensure functional safety in response to any abnormality being detected. Further, the safety control task 28 notifies the partition scheduler 21 of the task execution status result.
  • a task can call a system call (service call) of the OS 100 and notify the partition scheduler 21 of the result via the OS 100.
  • the task sets a flag value according to the execution status, and the partition scheduler 21 executes the task according to the flag set value. The situation can also be judged.
  • the partition scheduler 21 operates every 1 tick, and selects and determines which of TP1 to TP3 is activated. Further, the partition scheduler 21 starts the operation of the task scheduler related to the selected TP. Then, task scheduling is performed by the task schedulers 23, 25, and 27 starting operations, and the processor 10 executes the tasks in the TP according to the order scheduled by the task schedulers 23, 25, and 27. Go. As a result, the application assigned to the active TP is executed by the processor 10.
  • FIG. 6 is a flowchart showing a specific example of the processing procedure of the partition scheduler 21.
  • FIG. 6 illustrates an example in which scheduling is performed according to a normal control scheduling pattern (for example, FIG. 5A) or a safety control scheduling pattern (for example, FIG. 5B). That is, when the next TP following TP2 or TP3 is TP1, and when an abnormality in TP2 is detected in TP1, the next TP selected and determined based on the result from TP1 is TP3 Will be described as an example.
  • a normal control scheduling pattern for example, FIG. 5A
  • a safety control scheduling pattern for example, FIG. 5B
  • the partition scheduler 21 that operates every 1 tick operates the task scheduler of TPX (S11).
  • the variable X indicates the number of TP, and X is a value other than 1. That is, in S11, either TP2 or TP3 except for TP1 for safety monitoring is operated.
  • the task scheduler of TPX that started the operation in S11 executes the task in TPX according to the priority (S12).
  • the partition scheduler 21 starts TP scheduling (S13). That is, the partition scheduler 21 selects and determines which TP is to be activated during the next 1 Tick according to the scheduling pattern.
  • the partition scheduler 21 If the partition scheduler 21 does not change the TP to be activated next (No in S14), the partition scheduler 21 returns to S11 and continues the operation for the same TPX. Therefore, the processing from S11 to S14 is repeated until the TPX switching timing comes.
  • the partition scheduler 21 When changing the TP to be activated next (Yes in S14), the partition scheduler 21 operates the task scheduler of the time partition to be changed (S15). Here, the task scheduler of TP1 is operated. Then, the task scheduler 23 of TP1 executes the tasks in TP1 according to the priority (S16).
  • the safety monitoring task 24 executed by TP1 monitors the execution status of the normal control task 26 and the input / output data of the I / O port 12, and determines whether these are normal (S17). As a result of the determination, if it is determined that there is an abnormality (No in S18), the safety monitoring task 24 notifies the partition scheduler 21 of the result (S19).
  • the partition scheduler 21 starts scheduling again (S20).
  • the partition scheduler 21 selects and determines which TP to activate during the next 1 Tick according to the scheduling pattern, and if the TP to be activated next is not changed (No in S21), returns to S15. , The operation for TP1 is continued.
  • the partition scheduler 21 changes the TP to be activated next (Yes in S21), the partition scheduler 21 further determines whether or not TPX is normal according to the notification result from TP1 in S19 (S22). . If the result of the determination is abnormal (No in S22), the partition scheduler 21 selects and determines TP3 as the TP to be activated during the next 1 Tick (S23).
  • the partition scheduler 21 selects and determines a TPX other than TP1 and TP3 as a TP to be activated during the next 1 Tick (S24).
  • S15 TP2 is changed to TP1, and remains TP1 from S15 to S21.
  • TPX TP3 is satisfied in S23 (that is, the safety control scheduling pattern starting from TP3 is switched).
  • TP3 safety monitoring
  • TP1 normal control
  • TP3 safety control
  • TP5 safety control partitions
  • the partition scheduler 21 determines the type of abnormal state of the execution status (data input / output) related to TPX, and selects either TP3 or TP5 for safety control according to the abnormal type. Good.
  • either TP2 or TP4 for normal control may be selected.
  • the OS 100 includes the partition scheduler 21 that selects and determines the partition to be activated next in response to a notification from the TP1 for safety monitoring or a notification from each TP. ing.
  • the partition scheduler 21 operates at a predetermined timer period independently of the tasks executed in each TP. Since the partition scheduler 21 that operates independently at a predetermined timer cycle has a partition scheduling function, the following effects can be obtained.
  • the safety monitoring task 24 selects and determines a scheduling pattern in addition to monitoring the execution status of the normal control task 26 and monitoring input / output data of the I / O port 12. Therefore, it is necessary to allocate the execution time required for the selection / determination for TP2 to which the safety monitoring task 24 belongs.
  • the safety monitoring task 24 and the normal control task 26 need to be executed alternately. For this reason, in the conventional technology, the scheduling pattern selection / determination by the safety monitoring task 24 is executed every time as the normal control task 26 is executed. This is necessary for the selection and determination of the scheduling pattern by the safety monitoring task 24.
  • the safety monitoring task 24 itself does not need to execute the selection / determination of the scheduling pattern.
  • the execution time required for the partition scheduler 21 to select and determine the scheduling pattern is short. Therefore, compared with the prior art, the safety monitoring TP1 can be assigned in a shorter time, and the normal control TP2 can be assigned for a longer time.
  • the partition scheduler 21 selects and determines TP3 for safety control in response to a result notification from TP1 (S23) or selects and determines TP2 for normal control.
  • S23 result notification from TP1
  • TP2 selects and determines TP2 for normal control.
  • S24 the present invention is not limited to this.
  • the TP3 for safety control may be selected and determined according to the result notification from each TP.
  • the partition scheduler 21 that operates independently of each TP adopts a configuration in which the result notification is received from all TPs, so that the partition scheduler 21 can grasp the situation regarding all TPs in an integrated manner. For this reason, for example, the partition scheduler 21 can execute a determination such as skipping a TP that does not need to be executed in consideration of the status of each TP based on a result notification from each TP. Therefore, it is possible to intentionally skip only time partitions that do not need to be executed. Further, for example, the partition scheduler 21 can determine and select the next partition only from the TP in the normal state in consideration of the status of each TP based on the result notification from the safety monitoring TP1. Therefore, compared to the prior art, there is an effect that more accurate partition scheduling can be realized.
  • FIGS. 7 and 8 are flowcharts showing a specific example of the reset processing procedure of the microcontroller 15 using the reset circuit 14.
  • the partition scheduler 21 that operates every 1 tick has a reset function of the microcontroller 15.
  • the partition scheduler 21 detects an abnormality in the OS 100, it performs an abnormality treatment in conjunction with the reset circuit 14.
  • the reset circuit 14 resets the microcontroller 15 based on a signal from the partition scheduler 21.
  • TPX is a TP other than TP1 and TP3.
  • the safety monitoring task 24 belonging to TP1 determines whether the abnormality in TPX is an abnormality that can be handled by the safety control task 28 belonging to TP3 (S36). . If it is not an abnormality that can be dealt with by TP3 (No in S36), the safety monitoring task 24 belonging to TP1 notifies the partition scheduler 21 that the abnormality has an emergency stop (S37). The partition scheduler 21 that has received the notification from the safety monitoring task 24 belonging to TP1 outputs a reset instruction signal to the reset circuit 14, and the reset circuit 14 that has received the reset instruction signal resets the microcontroller 15 (S38).
  • the safety monitoring task 24 belonging to TP1 notifies the partition scheduler 21 that TPX is abnormal (S39). Receiving the notification from TP1, the partition scheduler 21 switches from TPX to TP3 (S40).
  • TPX is a TP other than TP1 and TP3.
  • the partition scheduler 21 stops the transmission signal to the reset circuit 14, and in S63, the partition scheduler 21 sends a signal to the reset circuit 14. Is different in sending. Further, the difference in S61 of FIG. 8 is that the reset circuit 14 resets the microcontroller 15 in response to the transmission signal from the partition scheduler 21 being interrupted.
  • the other processing from S58 to S64 shown in FIG. 8 is basically the same as the processing from S36 to S40 shown in FIG.
  • the partition scheduler 21 in addition to the case where the partition scheduler 21 intentionally instructs the reset circuit 14 to reset, the partition scheduler 21 itself does not operate normally for some reason, or the partition scheduler 21 Even when a failure occurs in the signal line that transmits the transmission signal to the reset circuit 14, the microcontroller 15 can be reliably reset. At the same time, it can be assured that TP switching is normally executed every 1 tick.
  • the partition scheduler 21 outputs the reset instruction signal to the reset circuit 14 or stops the transmission signal to the reset circuit 14 in response to the result notification from the TP1.
  • the reset instruction signal may be output to the reset circuit 14 or the transmission signal to the reset circuit 14 may be stopped in response to the result notification from any of TP1 to TP3.
  • the safety control device according to the present embodiment is a modification of the safety control device 1 described above.
  • the overall configuration of the safety control device according to the present embodiment may be the same as the configuration of the safety control device 1 shown in FIG.
  • the task execution environment provided by the OS included in the safety control device according to the present embodiment may be the same as the configuration of the task execution environment shown in FIG.
  • FIG. 9 is a flowchart showing a specific example of the processing procedure of the partition scheduler 21 according to the present embodiment.
  • the description of the same processing content as that described in FIG. 6 will be simplified, and different processing content will be described in more detail.
  • the partition scheduler 21 operating every 1 tick operates the task scheduler of TPX (S81).
  • the variable X indicates the number of TP, and X is a value other than 1. Note that the processing contents from S81 to S83 in FIG. 9 are the same as the processing contents from S11 to S13 in FIG. 6, and thus detailed description thereof is omitted here.
  • FIG. 9 illustrates an example in which scheduling is started according to a normal control scheduling pattern (for example, FIG. 5A) and switched to a safety control scheduling pattern (for example, FIG. 5B). That is, an example in which the next TP following TP2 is TP1, and when an abnormality in TP2 is detected in TP1, the next TP selected and determined based on the result from TP1 is TP3.
  • a normal control scheduling pattern for example, FIG. 5A
  • a safety control scheduling pattern for example, FIG. 5B
  • the partition scheduler 21 determines whether a task at TP3 is currently being executed (S95). If the task is not being executed in TP3 (No in S95), the partition scheduler 21 returns to S81 and continues the operation for the same TPX if the TP to be activated next is not changed (No in S84). Let Note that the processing content from S85 to S93 in FIG. 9 is the same as the processing content from S15 to S23 in FIG. 6, and therefore detailed description thereof is omitted here.
  • TPX TP3 is obtained in S93 (that is, the safety control scheduling pattern starts from TP3).
  • the partition scheduler 21 may receive a result notification from a task at TP3, and may determine to switch to TP2 according to the content of the result notification at TP3.
  • TP1 for safety monitoring TP2 for normal control
  • TP3 for safety control there may be a plurality of normal control partitions and safety control partitions such as TP3.
  • TP2 and TP4 for normal control there are two TP2 and TP4 for normal control, TP1 for safety monitoring, and two TP3 and TP5 for safety control, and these five TPs (TP1 to TP5) are combined to form a scheduling pattern. It may be configured.
  • the partition scheduler 21 determines whether any task at the TP3 or TP5 for safety control is currently being executed.
  • the partition scheduler 21 executes the execution status (data input) related to TPX.
  • the type of the abnormal state (output) is determined, and either TP3 or TP5 for safety control may be selected according to the type.
  • the TP for executing a task other than that for safety control is skipped, and only the task at TP3 for safety control is performed. Can be executed.
  • an abnormality occurs when scheduling is performed according to the scheduling pattern at the time of normal control shown in the upper part of FIG. 11B, it is possible to switch to the scheduling pattern shown in the lower part of FIG. And it can be executed continuously. Thereby, the process by a safety control program can be started more rapidly.
  • the partition scheduler 21 receives a result notification from each TP and adopts a configuration in which switching is performed in consideration of the status of all TPs, it is safe to use any predetermined scheduling pattern. Switching to TP3 for control and TP3 can be continued until safety is ensured. Furthermore, it is possible to switch the time partition to TP2 (return to the normal control pattern) by determining that safety is ensured by executing TP3 based on the result notification from TP3. Therefore, it is possible to appropriately perform safety control when an abnormality occurs.
  • the safety control device according to the present embodiment is a modification of the safety control device 1 described above.
  • the overall configuration of the safety control device according to the present embodiment may be the same as the configuration of the safety control device 1 shown in FIG.
  • the task execution environment provided by the OS included in the safety control device according to the present embodiment may be the same as the configuration of the task execution environment shown in FIG.
  • FIG. 10 is a flowchart showing a specific example of the processing procedure of the partition scheduler 21 according to the present embodiment.
  • FIG. 10 shows a specific example of a processing procedure related to task initialization processing by the partition scheduler 21.
  • the partition scheduler 21 that operates every 1 tick operates the task scheduler of TPX (S101).
  • the variable X indicates the number of the TP, and all types of TPs included in the scheduling pattern are targeted as the TP.
  • the task initialization process is executed when the task scheduler of TPX that has started operation in S101 executes the task in TPX.
  • the partition scheduler 21 determines whether the task initialization process in TPX is completed (S102). If the task initialization process has not ended (No in S102), the process returns to S101, and the task initialization process in TPX is continued. For example, the partition scheduler 21 may determine whether the task initialization process in the TPX has been completed based on the notification of the execution status result from the TPX. Further, when the initialization process is completed, the task may set a flag value so as to indicate the completion of the initialization process, and the partition scheduler 21 may determine the termination according to the flag value. Good.
  • the partition scheduler 21 determines whether the task initialization process is completed for all types of TPs included in the scheduling pattern (S103). . If the task initialization process has not been completed for all TPs (No in S103), the partition scheduler 21 switches to the next TPX (S104). As a result, the process returns to S101, and the task initialization process in the switched TPX is continued.
  • the partition scheduler 21 When the task initialization process is completed for all TPs (Yes in S103), the partition scheduler 21 subsequently selects / determines other TPs other than TP3 as TPXs to be activated, The task scheduler of the determined TPX is operated (S105). For example, the partition scheduler 21 skips TP3 and executes only TP1 and TP2. As a method for selecting and determining only other TPs except TP3, for example, when the next time partition candidate to be activated is TP3, the partition scheduler 21 selects a time partition other than TP3. ⁇ You may decide.
  • the execution time is given to all TPs only at the time of task initialization processing, and after the execution of normal task processing is started, the task for safety control is performed.
  • TP3 for executing the control can be skipped, and only TP1 for executing the task for safety monitoring and TP2 for executing the task for normal control can be executed.
  • the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the gist of the present invention already described.
  • each of the above-described embodiments may be implemented, or a plurality of embodiments may be combined.
  • an execution time is assigned to all TPs, and after the execution of normal task processing is started, TP3 is skipped and only TP1 and TP2 are executed.
  • the configuration may be combined with a configuration in which switching to a scheduling pattern starting from TP3 is performed, and in the subsequent scheduling, a TP other than TP3 is skipped and only a task at TP3 is executed.
  • Safety control apparatus 10
  • Processor 11 Execution memory 12 I / O port 13
  • Non-volatile memory 14 Reset circuit 15
  • Safety monitoring task 26 Normal control task 28
  • Safety control task 100 Operating System 101 Safety Monitoring Application 102 Normal Control Application 103 Safety Control Application

Landscapes

  • Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Mechanical Engineering (AREA)
  • Robotics (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • General Engineering & Computer Science (AREA)
  • Debugging And Monitoring (AREA)
  • Safety Devices In Control Systems (AREA)
  • Programmable Controllers (AREA)
  • Manipulator (AREA)

Abstract

　実行が不要なタイムパーティションのスキップを可能とする。ＯＳ（１００）は、安全監視プログラムに実行時間を割り当てるＴＰ１、通常制御プログラムに実行時間を割り当てるＴＰ２、および安全制御プログラムに実行時間を割り当てるＴＰ３を含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジ ューラ（２１）を一部に有する。プロセッサは、ＯＳ（１００）を実行することによって、パーティションスケジューラ（２１）を周期的に動作させる。パーティションスケジューラ（２１）は、ＴＰ１乃至ＴＰ３の少なくとも１つのタイムパーティション内で実行されるプログラムからの実行結果通知に応じて、スケジューリングパターンに含まれるＴＰのうちで実行不要なプログラムを含むＴＰをスキップする。

Description

安全制御装置および安全制御方法
　本発明は、機能安全の確保のためにサービスロボットおよび輸送機器等に搭載される安全制御装置に関し、特に、コンピュータシステムを用いた安全制御装置に関する。
　サービスロボットは、外界センサや自己診断装置によって安全状態を常時監視し、何らかの危険を検知した場合に適切な安全制御ロジックを実行することで、機能安全を確保する必要がある。
　上述したサービスロボットのほか、運輸機器等の電気的な原理で動作するシステムを対象とした機能安全に関する国際標準としてIEC 61508が制定されている。IEC 61508では、機能安全の確保のために設けられるシステムのことを安全関連系と呼んでいる。IEC 61508は、マイクロプロセッサ及びPLC（Programmable Logic Controller）等のハードウェアとコンピュータプログラム（ソフトウェア）によって安全関連系を構築するための様々な技法を定めている。IEC 61508で定められている技法を用いることで、コンピュータシステムを用いて安全関連系を構築することが可能となる。
　一方で、近年、マイクロプロセッサ等のプログラマブル電子機器の処理能力が向上している。このため、マルチタスクＯＳ（Operating System）を利用し、１つのコンピュータシステム上で様々なアプリケーションプログラムを並列実行することで、サービスロボット及び自動車等の機器に搭載されている複数用途のコンピュータシステムを統合することができる。
　例えば特許文献１に、機能安全の確保に関するアプリケーションプログラム（以下、安全関連アプリケーションと呼ぶ）を、その他のアプリケーションプログラム（以下、非安全関連アプリケーションと呼ぶ）と共に１つのコンピュータシステム上で動作させる技術が開示されている。
　IEC 61508で定められている技法を、安全関連アプリケーションおよび非安全関連アプリケーションを含むソフトウェア全体に適用すると、非安全関連アプリケーションにまで適用する必要性が生じる。このため、ソフトウェア開発コストが増大するという問題がある。
　そこで、特許文献１に開示される技術では、システムプログラムのタイム・パーティションニングによって、安全関連アプリケーション（安全監視プログラム及び安全制御プログラム）を非安全関連アプリケーション（通常制御プログラム）から独立させている。このため、通常制御プログラムを安全関連系から除外することができ、コンピュータシステムを用いて構成される安全関連系の低コスト化に寄与することができる。
特開２０１０－２７１７５９号公報
　しかしながら、特許文献１に例示されるような従来の安全制御装置には、以下に説明するような問題点があった。
　まず、第１の問題点について、図１１Ａを用いて具体的に説明する。なお、図１１Ａでは、ＴＰ１は安全監視プログラムを実行するタイムパーティションであり、ＴＰ２は通常制御プログラムを実行するタイムパーティションであり、ＴＰ３は安全制御プログラムを実行するタイムパーティションである。
　従来技術に係るシステムプログラムは、予め定められた固定スケジューリングパターンに従って、タイムパーティションの切り替えを行っていた。このため、例えば、図１１Ａの上部に示す通常制御時のスケジューリングパターン（固定パターン）に従ってスケジューリングが行われていた場合に異常が発生したときには、図１１Ａの下部に示す安全制御時のスケジューリングパターン（固定パターン）へとスケジューリングパターンが切り替えられ、以後は、安全制御時のスケジューリングパターン（固定パターン）に従ってスケジューリングを行っていた。
　しかしながら、異常の種類によっては、異常発生時に即座の対応を要するものが存在する。このような異常に関して、例えば図１１Ａの下部に示す安全制御時のスケジューリングパターンに従ってスケジューリングを実行すると、異常対応のために即時の実行が求められるＴＰ３のみならず、発生した異常に関しては実行が不必要であるＴＰ１についてまでもが繰り返して実行されてしまう。このため、安全が確保されるまでの間はＴＰ３を即時かつ連続して実行させる必要があるにも関わらず、固定パターンとして含まれているＴＰ１までをも実行する必要があった。
　従って、異常発生時に、安全制御プログラムを実行するタイムパーティションのみを即時かつ連続して実行させることができず、安全制御プログラムによる処理の実行が遅れてしまい、その結果、異常発生時における安全制御が適切に行われないおそれがある、という問題点があった。
　次に、第２の問題点について、図１２及び図１３を用いて具体的に説明する。なお、図１２は、従来技術に係る通常制御時のスケジューリングパターンの具体例を示している。図１３は、従来技術に係るシステムプログラムによるタスク初期化処理に関する処理手順の具体例を示している。
　タイム・パーティションニング機能を備えるシステムプログラムにおいては、安全監視プログラム等によって生成されるタスクを実行するために、そのタスクを実行するタイムリソース（タイムパーティション）が与えられる必要がある。また、タイムパーティションが与えられてタスクを実行するためには、通常のタスク処理の実行に先立って初期化処理を行う必要がある。さらに、タスクの初期化処理のためには、少なくとも１つのタイムパーティションを必要とする。
　ここで、従来技術に係るシステムプログラムが、図１２に例示する基本的なスケジューリングパターンに従って、スケジューリングを実行していく場合を想定する。ここでは、基本的なスケジューリングパターンとして、１サイクル中に全ての種類のタイムパーティション（ここでは、ＴＰ１、ＴＰ２、ＴＰ３）を含んでいる場合を例に説明する。
　図１３に、従来技術に係るシステムプログラムによるタスク初期化処理に関する処理手順の具体例を示す。図１３では、パーティションスケジューラによってＴＰＸ（ＴＰ１～ＴＰ３のいずれかのＴＰ）に関するタスクが動作させられ（Ｓ１１１）、全てのタイムパーティションに関するタスクの初期化処理が終了するまでの間、ＴＰＸに関するタスクの初期化処理が順次、実行されていく（Ｓ１１２～Ｓ１１４）。そして、全てのタイムパーティションに関するタスクの初期化処理が終了した場合、パーティションスケジューラがＴＰＸに関するタスクを動作させ、以後、通常のタスク処理の実行が開始される（Ｓ１１５）。
　従って、従来技術に係るシステムプログラムが、図１３に例示した処理手順に基づいて基本的なスケジューリングパターン（例えば図１２）に従ってスケジューリングを実行する際には、まずは、最初のサイクルにおいて、全てのタイムパーティション（ＴＰ１、ＴＰ２、ＴＰ３）に関するタスクの初期化処理を、それぞれ少なくとも１つのタイムパーティションで実行し、全てのタスクについての初期化処理が終了した後に、２番目以後のサイクルに含まれるタイムパーティションにおいて、通常のタスク処理を開始することができる。
　しかし、異常が発生しない場合には、ＴＰ３に関しては通常のタスク処理が実行されることはない。このため、２番目以後のサイクルに含まれるＴＰ３は、何らタスクが実行されないことになる。すなわち、最初のサイクルにおいてＴＰ３に関するタスクの処理化処理を終了した場合に、２番目以後のサイクルに含まれるＴＰ３には、異常時以外は実行するタスクが存在しないことになる。よって、全てのタスクについての初期化処理が終了した以後、異常がほとんど発生しないような情況においても、実際には不要なＴＰ３が毎サイクルスケジューリングされることになる。
　通常制御プログラムにより生成されるタスクに関しては、安全監視プログラムにより生成されるタスク等と比較して、より長くの実行時間を確保できることが好ましいといえる。従来技術では、初期化処理が終了した以後においても不要なＴＰ３がスケジューリングされるために、結果として、通常制御プログラムにより生成されるタスクの実行時間（ＴＰ２）に対して、より長い時間を割り当てることができない、という問題点があった。
　本願の発明者は、特許文献１に開示された従来技術を鋭意検討し、上述したような問題点が以下の原因によって生じることを見出した。
　まず、特許文献１に開示されたＯＳ１００では、安全監視プロセス２１が、タイムパーティションの切り替え順序およびタイミングを規定するスケジューリングパターンの選択を行い、ＯＳ１００が、スケジューリングパターンに従って、パーティション・スケジューリングを行うものである（特許文献１の段落００３６及び段落００３９、図４など参照。）。すなわち、安全監視プロセス２１によって指定された固定のスケジューリングパターンに従って、ＯＳ１００がタイムパーティションの切り替えを行う点が開示されている。
　従って、特許文献１に開示されたＯＳ１００では、パーティションの切り替えに関して、ＴＰ１での安全監視プロセス２１による選択結果に依存するものであるために、スケジューリングパターンに当初予定されていたＴＰ１をスキップすることはできないものである。また、特許文献１に開示されたＯＳ１００では、ＴＰ１での安全監視プロセス２１によって、通常制御プロセス２２の実行状況の監視と、Ｉ／Ｏポート１２の入出力データの監視と、を行うものにすぎず（特許文献１の段落００３６など参照。）、安全制御プロセス２３や安全監視プロセス２１自身の実行状況を考慮した上で、いずれのＴＰをスキップ対象とするのかについて選択・決定することができないものである。
　このように、特許文献１に開示されたＯＳ１００では、各タイムパーティションにおいて生成されるプロセスからパーティション・スケジューリング機能が独立しておらず、また、パーティション・スケジューリング機能が全てのプロセスの実行状況を把握できていないために、実行が不要なタイムパーティションを意図的にスキップすることができないという課題があった。その結果、上述した問題点を解決することができないものであった。
　本発明は、上述した知見に基づいてなされたものであって、実行が不要なタイムパーティションのスキップを可能とする安全制御装置及び安全制御方法を提供することを目的とする。
　本発明の一態様にかかる安全制御装置は、少なくとも１つのプロセッサを含むハードウェア資源と、（ａ）制御対象に関する異常の発生を監視する安全監視プログラム、（ｂ）通常時における前記制御対象の制御に関連する通常制御プログラム、および（ｃ）異常時における前記制御対象の制御に関連する安全制御プログラムに対する前記プロセッサの実行時間の割り当てを制御するためのシステムプログラムと、を備える。前記システムプログラムは、（ｄ）前記安全監視プログラムに前記実行時間を割り当てる第１のタイムパーティション、（ｅ）前記通常制御プログラムに前記実行時間を割り当てる第２のタイムパーティション、および（ｆ）前記安全制御プログラムに前記実行時間を割り当てる第３のタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラを一部に有する。前記プロセッサは、前記システムプログラムを実行することによって、前記パーティションスケジューラを周期的に動作させる。前記パーティションスケジューラは、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムからの実行結果通知に応じて、前記スケジューリングパターンに含まれるタイムパーティションのうちで実行不要なプログラムを含むタイムパーティションをスキップする。
　上述した本発明の一態様によれば、パーティションスケジューラは、各タイムパーティションに関する状況を一元的に把握することができ、実行が不要なタイムパーティションについてはスキップすることが可能となる。
　また、前記パーティションスケジューラは、前記第１のタイムパーティション内で実行される前記安全監視プログラムによって異常が検知されたことの前記実行通知結果を受取ると、以後のスケジューリングでは、前記第３のタイムパーティション以外のタイムパーティションをスキップするものしてもよい。これにより、異常発生時に、安全制御プログラムを実行するタイムパーティションのみを即時かつ連続して実行させることができ、異常発生時における安全制御を適切に行うことができる。
　さらにまた、前記パーティションスケジューラは、前記第１乃至第３のタイムパーティション内でプログラムの初期化処理がそれぞれ実行されて終了したことに応じて、以後のスケジューリングでは、前記第３のタイムパーティションをスキップするものしてもよい。これにより、通常制御プログラムに対して、より長い実行時間を割り当てることができる。
　また、前記ハードウェア資源のリセットを行うリセット回路を更に備え、前記パーティションスケジューラは、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムから緊急停止を有する異常であるとの通知に応じて、前記リセット回路にリセット指示信号を出力し、前記リセット回路は、前記リセット指示信号を受けた場合に、前記ハードウェア資源のリセットを行うものしてもよい。
　さらにまた、前記ハードウェア資源のリセットを行うリセット回路を更に備え、前記パーティションスケジューラは、前記リセット回路に定期的に信号を送信し、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムから緊急停止を有する異常であるとの通知に応じて、前記リセット回路への前記信号の送信を停止し、前記リセット回路は、前記パーティションスケジューラから送信される前記信号が途絶えた場合に、前記ハードウェア資源のリセットを行うものとしてもよい。
　本発明によれば、実行が不要なタイムパーティションのスキップを可能とする安全制御装置及び安全制御方法を提供することができる。
発明の実施の形態１にかかる安全制御装置の構成例を示すブロック図である。 発明の実施の形態１におけるタイム・パーティショニングの概念を説明するための図である。 発明の実施の形態１におけるリソース・パーティショニングの概念を説明するための概念図である。 図１に示したＯＳによって提供される実行環境で起動される、パーティションスケジューラとタスクとの関係を示す図である。 スケジューリングパターンの具体例を示す図である。 スケジューリングパターンの具体例を示す図である。 パーティションスケジューラの処理手順の具体例を示すフローチャートである。 マイクロコントローラのリセット処理手順の具体例を示すフローチャートである。 マイクロコントローラのリセット処理手順の具体例を示すフローチャートである。 パーティションスケジューラの処理手順の具体例を示すフローチャートである。 初期化処理時における処理手順の具体例を示すフローチャートである。 本発明の課題を説明するための図である。 本発明による効果を説明するための図である。 本発明の課題を説明するための図である。 本発明の課題を説明するための図である。
　以下では、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。各図面において、同一要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明は省略される。
＜発明の実施の形態１＞
　本実施の形態にかかる安全制御装置１は、サービスロボットや運輸機器等に搭載されて機能安全確保のための安全制御を実行する。安全制御装置１は、安全関連アプリケーションと非安全関連アプリケーションを同一のコンピュータシステムで実行するよう構成される。図１は、本実施の形態にかかる安全制御装置１の構成例を示すブロック図である。
　プロセッサ１０は、プログラム（命令ストリーム）の取得、命令のデコード、命令のデコード結果に応じた演算処理を行う。なお、図１では、１つのプロセッサ１０のみを示しているが、安全制御装置１は、複数のプロセッサ１０を有するマルチプロセッサ構成であってもよい。また、プロセッサ１０は、マルチコアプロセッサでもよい。プロセッサ１０は、システムプログラムとしてのオペレーティングシステム（ＯＳ）１００を実行することによりマルチプログラミング環境を提供する。マルチプログラミング環境とは、複数のプログラムを定期的に切り替えて実行したり、あるイベントの発生に応じて実行するプログラムを切り替えたりすることによって、複数のプログラムがあたかも並列実行されているような環境を意味する。
　マルチプログラミングは、マルチプロセス、マルチスレッド、マルチタスク等と呼ばれる場合もある。プロセス、スレッド及びタスクは、マルチプログラミング環境で並列実行されるプログラム単位を意味する。本実施の形態のプロセッサ１０が具備するマルチプログラミング環境は、マルチプロセス環境でもよいし、マルチスレッド環境でもよい。
　実行用メモリ１１は、プロセッサ１０によるプログラム実行のために使用されるメモリである。実行用メモリ１１には、不揮発性メモリ１３からロードされたプログラム（ＯＳ１００及びアプリケーション１０１～１０３等）、プロセッサ１０の入出力データ等が記憶される。なお、プロセッサ１０は、プログラムを不揮発性メモリ１３から実行用メモリ１１にロードすることなく、これらのプログラムを不揮発性メモリ１３から直接実行してもよい。
　具体的には、実行用メモリ１１は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等のランダムアクセス可能な揮発性メモリとすればよい。図１の実行用メモリ１１は、論理的な構成単位を示している。すなわち、実行用メモリ１１は、例えば、複数のＳＲＡＭデバイスの組み合わせ、複数のＤＲＡＭデバイスの組み合わせ、又はＳＲＡＭデバイスとＤＲＡＭデバイスの組み合わせでもよい。
　Ｉ／Ｏポート１２は、外部デバイスとの間のデータ送受信に使用される。例えば、安全制御装置１がサービスロボットに搭載される場合であれば、外部デバイスは、サービスロボット周囲の障害物を計測可能な視覚センサ、サービスロボットを動作させるアクチュエータ等である。
　不揮発性メモリ１３は、電力の供給を受けることなく、実行用メモリ１１に比べて安定的に記憶内容を維持することが可能なメモリデバイスである。例えば、不揮発性メモリ１３は、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ハードディスクドライブ若しくは光ディスクドライブ、又はこれらの組み合わせである。不揮発性メモリ１３は、ＯＳ１００及びアプリケーション１０１～１０３を格納する。なお、不揮発性メモリ１３の少なくとも一部は安全制御装置１から取り外し可能に構成されてもよい。例えば、アプリケーション１０１～１０３が格納されたメモリを取り外し可能としてもよい。また、不揮発性メモリ１３の少なくとも一部は、安全制御装置１の外部に配置されてもよい。
　ＯＳ１００は、プロセッサ１０によって実行されることにより、プロセッサ１０及び実行用メモリ１１及び不揮発性メモリ１３等のハードウェア資源を利用して、タスクスケジューリングを含むタスク管理、割り込み管理、時間管理、資源管理、タスク間同期およびタスク間通信機構の提供等を行う。
　さらに、機能安全の確保に関連する安全監視アプリケーション１０１及び安全制御アプリケーション１０３の通常制御アプリケーション１０２からの独立性を高めるため、ＯＳ１００は、ハードウェア資源を、時間的および空間的に保護する機能を有する。ここで、ハードウェア資源とは、プロセッサ１０、実行用メモリ１１、Ｉ／Ｏポート１２を含む。
　このうち、時間的な保護は、プロセッサ１０の実行時間という時間的な資源をパーティショニングすることにより行う。具体的に述べると、時間的な保護は、プロセッサ１０の実行時間をパーティショニングし、各パーティション（タイムパーティションと呼ぶ）にタスク（プロセス又はスレッド）を割り当てることにより行う。ＯＳ１００のスケジューリング機能（パーティションスケジューラ２１）は、各タイムパーティション（以下、ＴＰと略称する場合がある。）に割り当てられたタスクに対して、プロセッサ１０の実行時間を含む資源の利用を保証する。
　図２は、タイム・パーティショニングに関する概念図である。図２の例では、予め定められた１サイクル時間を３つのＴＰ１、ＴＰ２及びＴＰ３に分割する例を示している。例えば、１サイクル時間を１００Ｔｉｃｋとした場合、このうち前半の２０ＴｉｃｋがＴＰ１、中間の３０ＴｉｃｋがＴＰ２、後半の５０ＴｉｃｋがＴＰ３と規定される。
　また、図２の例では、第１アプリケーション（ＡＰＬ１）～第４アプリケーション（ＡＰＬ４）が、ＴＰ１～ＴＰ３のいずれかに割り当てられている。ＯＳ１００のスケジューリング機能（パーティションスケジューラ２１）は、時間の経過に応じて、ＴＰ１～ＴＰ３のいずれをアクティブにするかを選択・決定する。そして、アクティブなＴＰに割り当てられているアプリケーションが、プロセッサ１０で実行される。
　一方、空間的な保護は、実行用メモリ１１及びＩ／Ｏポート１２を含む固定的な資源をパーティショニングし、各パーティション（リソースパーティションと呼ぶ）にタスクを割り当てることにより行う。ＯＳ１００のスケジューリング機能（パーティションスケジューラ２１）は、予め割り当てられたリソースパーティション（以下、ＲＰと略称する場合がある。）を超えてタスクが他のリソースにアクセスすることを禁止する。
　図３は、リソース・パーティショニングに関する概念図である。図３の例では、２つのＲＰ（ＲＰ１及びＲＰ２）を示している。ＲＰ１には、実行用メモリ１１及び不揮発性メモリ１３の一部（Ａ領域）と、Ｉ／Ｏポート１２の一部（ポートＡ）が割り当てられている。また、ＲＰ２には、実行用メモリ１１及び不揮発性メモリ１３の他の一部（Ｂ領域）と、Ｉ／Ｏポート１２の他の一部（ポートＢ）が割り当てられている。ＲＰ１からはＲＰ２に割り当てられたリソースへのアクセスが禁止され、ＲＰ２からはＲＰ１に割り当てられたリソースへのアクセスが禁止される。
　なお、全てのリソースがいずれかのＲＰに排他的に割り当てられる必要はない。つまり、複数のＲＰによって共有されるリソースがあってもよい。例えば、サービスロボットの安全制御を行う場合、アクチュエータには、通常制御アプリケーション１０１及び安全制御アプリケーション１０２の双方からアクセスできる必要がある。よって、通常制御アプリケーション１０１が属するＲＰと安全制御アプリケーション１０２が属するＲＰによって、アクチュエータを制御するためのＩ／Ｏポートを共有するとよい。
　図１に戻り説明を続ける。アプリケーション１０１～１０３は、ＯＳ１００及びプロセッサ１０によって提供されるマルチプログラミング環境で実行される。このうち、安全監視アプリケーション１０１は、通常制御アプリケーション１０２の実行状況の監視と、安全制御アプリケーション１０３の実行状況の監視と、Ｉ／Ｏポート１２への入出力データの監視と、をプロセッサ１０に実行させるための命令コードを含む。さらに、安全監視アプリケーション１０１は、パーティションスケジューラ２１への結果通知をプロセッサ１０に実行させるための命令コードを含む。つまり、安全監視アプリケーション１０１は、安全関連アプリケーションである。
　また、通常制御アプリケーション１０２は、サービスロボット等の制御対象に通常の機能・動作を行わせるための制御手順をプロセッサ１０に実行させるための命令コードを含む。さらに、通常制御アプリケーション１０２は、パーティションスケジューラ２１への結果通知をプロセッサ１０に実行させるための命令コードを含む。つまり、通常制御アプリケーション１０２は、非安全関連アプリケーションである。
　また、安全制御アプリケーション１０３は、何らかの異常が検出された場合に対応して、機能安全を確保するために定められた制御手順をプロセッサ１０に実行させるための命令コードを含む。さらに、安全制御アプリケーション１０３は、パーティションスケジューラ２１への結果通知をプロセッサ１０に実行させるための命令コードを含む。つまり、安全制御アプリケーション１０３は、安全関連アプリケーションである。
　リセット回路１４は、ＯＳ１００からの信号に基づき、マイクロコントローラ１５のリセットを行う。リセット回路１４を用いたマイクロコントローラ１５のリセット機構については後述する。
　続いて以下では、パーティションスケジューラ２１と、アプリケーション１０１～１０３の起動により生成されるタスクと、の関係について、図４を用いて説明する。図４は、ＯＳ１００によって提供されるマルチプログラミング環境で起動される、パーティションスケジューラ２１とタスク２４、２６、２８との関係を示す図である。
　マイクロコントローラ１５は、プロセッサ１０、実行用メモリ１１、Ｉ／Ｏポート１２、不揮発性メモリ１３等を含む。なお、図４では、マイクロコントローラ１５の外部にリセット回路１４を備える構成を例示しているが、マイクロコントローラ１５の内部にリセット回路１４を含む構成としてもよい。
　マイクロコントローラ１５には、外部のクロック源からのクロック信号が供給され、プロセッサ１０等は、このクロック信号に基づく所定のタイマー周期で動作する。本実施の形態では、所定のタイマー周期を、１Ｔｉｃｋであるとして説明する。このため、プロセッサ１０によりＯＳ１００が実行されることで、パーティションスケジューラ２１が１Ｔｉｃｋごとに動作すると共に、各ＴＰ内で、タスクスケジューラ２３、２５、２７およびタスク（安全監視タスク２４、通常制御タスク２６、安全制御タスク２８）が、１Ｔｉｃｋごとに動作する。
　パーティションスケジューラ２１は、１Ｔｉｃｋごとに動作し、ＴＰの切り替え（パーティション・スケジューリング）を行う。パーティションスケジューラ２１は、次の１Ｔｉｃｋの間にＴＰ１～ＴＰ３のいずれをアクティブにするかを選択・決定する。さらに、パーティションスケジューラ２１は、選択したＴＰに関するタスクスケジューラの動作を開始させる。
　パーティションスケジューラ２１によるパーティション・スケジューリングについて具体的に述べると、パーティションスケジューラ２１は、スケジューリングテーブル２２を参照し、ＴＰの設定を定めたスケジューリングパターンに従って、パーティション・スケジューリングを行う。
　スケジューリングテーブル２２は、ＴＰの切り替え順序およびタイミングを規定したスケジューリングパターンを保持している。なお、スケジューリングテーブル２２は、少なくとも２つの異なるスケジューリングパターンを保持している。１つは、安全監視タスク２４による異常検知が行われていない場合（つまり通常時）に適用されるスケジューリングパターンである。もう１つは、安全監視タスク２４によって異常が検知された場合に適用されるスケジューリングパターンである。以下では、通常時に適用されるスケジューリングパターンを"通常制御スケジューリングパターン"と呼ぶ。また、異常検知時に適用されるスケジューリングパターンを"安全制御スケジューリングパターン"と呼ぶ。
　図５Ａは、通常制御スケジューリングパターンの具体例を示している。図５Ａでは、通常制御タスク２６が属するＴＰ２が１サイクル時間の前半（Ｔ１）に割り当てられている。また、安全監視タスク２４が属するＴＰ１が１サイクル時間の後半（Ｔ２）に割り当てられている。図５Ａのスケジューリングパターンによれば、通常制御タスク２６と安全監視タスク２４が繰り返しスケジューリングされる。
　図５Ｂは、安全制御スケジューリングパターンの具体例を示している。図５Ｂでは、安全制御タスク２８が属するＴＰ３が１サイクル時間の前半（Ｔ３）に割り当てられている。また、安全監視タスク２４が属するＴＰ１が１サイクル時間の後半（Ｔ４）に割り当てられている。図５Ｂのスケジューリングパターンによれば、安全制御タスク２８と安全監視タスク２４が繰り返しスケジューリングされる。
　図４に戻り説明を続ける。タスクスケジューラ２３、２５、２７は、それぞれが属するＴＰ内でのタスクのスケジューリングを行う。各ＴＰ内でのタスクのスケジューリングには、一般的な優先度ベースのスケジューリングを適用すればよい。なお、図４では、各ＴＰはそれぞれ１つのタスクのみを含むものとして図示しているが、実際には、１以上のタスクが含まれている。例えば、通常制御用のＴＰ２内には、通常制御タスクＡ及び通常制御タスクＢの２つのタスクが含まれていてもよい。
　安全監視タスク２４は、安全監視アプリケーション１０１の起動によって生成されるタスクである。図４の例では、安全監視タスク２４は、ＴＰ１及びＲＰ１に割り当てられている。安全監視タスク２４は、非安全関連アプリケーションである通常制御タスク２６の実行状況の監視と、安全関連アプリケーションである安全制御タスク２８の実行状況の監視と、Ｉ／Ｏポート１２の入出力データを監視する。さらに、安全監視タスク２４は、タスクの実行状況結果を、パーティションスケジューラ２１へ通知する。
　通常制御タスク２６は、通常制御アプリケーション１０２の起動によって生成されるタスクである。図４の例では、通常制御タスク２６は、ＴＰ２及びＲＰ２に割り当てられている。通常制御タスク２６は、サービスロボット等の制御対象に通常の機能・動作を行わせるための制御を行う。さらに、通常制御タスク２６は、タスクの実行状況結果を、パーティションスケジューラ２１へ通知する。
　安全制御タスク２８は、安全制御アプリケーション１０３の起動によって生成されるタスクである。図４の例では、安全制御タスク２８は、ＴＰ３及びＲＰ３に割り当てられている。安全制御タスク２８は、何らかの異常が検出された場合に対応して、機能安全を確保するために定められた制御を行う。さらに、安全制御タスク２８は、タスクの実行状況結果を、パーティションスケジューラ２１へ通知する。なお、各タスクからパーティション２１へと結果を通知する具体的な構成としては、様々な手法を採用することができる。例えば、タスクがＯＳ１００のシステムコール（サービスコール）を呼び出し、ＯＳ１００を介して、パーティションスケジューラ２１に結果を通知することができる。また、例えば、タスクの実行状況に関するフラグを実行用メモリ１１に格納するものとして、タスクがその実行状況に応じてフラグの値を設定し、パーティションスケジューラ２１がフラグの設定値に応じてタスクの実行状況を判断することもできる。
　上述したように、パーティションスケジューラ２１が１Ｔｉｃｋごとに動作し、ＴＰ１～ＴＰ３のいずれをアクティブにするかを選択・決定する。さらに、パーティションスケジューラ２１が、選択したＴＰに関するタスクスケジューラの動作を開始させる。そして、タスクスケジューラ２３、２５、２７が動作を開始することでタスクのスケジューリングが行われ、プロセッサ１０が、タスクスケジューラ２３、２５、２７によりスケジューリングされた順序に従って、ＴＰ内でのタスクを実行していく。これによって、アクティブなＴＰに割り当てられているアプリケーションが、プロセッサ１０で実行される。
　続いて以下では、パーティションスケジューラ２１によるパーティション・スケジューリングについて、図６を用いて説明する。図６は、パーティションスケジューラ２１の処理手順の具体例を示すフローチャートである。なお、図６では、通常制御スケジューリングパターン（例えば図５Ａ）または安全制御スケジューリングパターン（例えば図５Ｂ）に従って、スケジューリングを実行する場合を例に説明する。すなわち、ＴＰ２またはＴＰ３に続く次のＴＰはＴＰ１であり、かつ、ＴＰ２での異常がＴＰ１で検知された場合に、ＴＰ１からの結果を受けて次に選択・決定されるＴＰはＴＰ３である場合を例に説明する。
　まず、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、ＴＰＸのタスクスケジューラを動作させる（Ｓ１１）。ここで、変数ＸはＴＰの番号を示し、Ｘは１以外の値とする。すなわち、Ｓ１１では、安全監視用のＴＰ１を除いた、ＴＰ２又はＴＰ３のいずれかを動作させる。
　Ｓ１１で動作を開始したＴＰＸのタスクスケジューラは、ＴＰＸ内のタスクを優先度に応じて実行する（Ｓ１２）。そして、１Ｔｉｃｋが経過すると、パーティションスケジューラ２１が、ＴＰのスケジューリングを開始する（Ｓ１３）。すなわち、パーティションスケジューラ２１は、スケジューリングパターンに従って、次の１Ｔｉｃｋの間にいずれのＴＰをアクティブにするかを選択・決定する。
　パーティションスケジューラ２１は、次にアクティブにするＴＰを変更しない（Ｓ１４でＮｏ）場合には、Ｓ１１に戻り、同一のＴＰＸについての動作を継続させる。このため、ＴＰＸの切り替えタイミングとなるまでの間、Ｓ１１～Ｓ１４までの処理が繰り返される。
　パーティションスケジューラ２１は、次にアクティブにするＴＰを変更する（Ｓ１４でＹｅｓ）場合には、その変更するタイムパーティションのタスクスケジューラを動作させる（Ｓ１５）。ここでは、ＴＰ１のタスクスケジューラを動作させる。そして、ＴＰ１のタスクスケジューラ２３が、ＴＰ１内のタスクを優先度に応じて実行する（Ｓ１６）。
　ＴＰ１で実行される安全監視タスク２４は、通常制御タスク２６の実行状況の監視と、Ｉ／Ｏポート１２の入出力データの監視を行い、これらが正常であるか判断する（Ｓ１７）。判断の結果、異常であると判断した（Ｓ１８でＮｏ）場合、安全監視タスク２４は、パーティションスケジューラ２１に対して、その結果を通知する（Ｓ１９）。
　１Ｔｉｃｋが経過すると、パーティションスケジューラ２１が、再びスケジューリングを開始する（Ｓ２０）。パーティションスケジューラ２１は、スケジューリングパターンに従って、次の１Ｔｉｃｋの間にいずれのＴＰをアクティブにするかを選択・決定し、次にアクティブにするＴＰを変更しない（Ｓ２１でＮｏ）場合には、Ｓ１５に戻り、ＴＰ１についての動作を継続させる。
　パーティションスケジューラ２１は、次にアクティブにするＴＰを変更する（Ｓ２１でＹｅｓ）場合には、さらに、Ｓ１９でのＴＰ１からの通知結果に応じて、ＴＰＸが正常であったか否かを判断する（Ｓ２２）。判断の結果、異常であった（Ｓ２２でＮｏ）場合、パーティションスケジューラ２１は、次の１Ｔｉｃｋの間にアクティブにするＴＰとして、ＴＰ３を選択・決定する（Ｓ２３）。
　判断の結果、正常であった（Ｓ２２でＹｅｓ）場合、パーティションスケジューラ２１は、次の１Ｔｉｃｋの間にアクティブにするＴＰとして、ＴＰ１とＴＰ３以外のＴＰＸを選択・決定する（Ｓ２４）。
　図６で示した処理に関して、パーティション・スケジューリングの具体例を説明する。
　まず、図５Ａに例示した通常制御スケジューリングパターンに従って、Ｓ１１においてスケジューリングを開始した場合を説明する。この場合、Ｓ１１ではＴＰＸ＝ＴＰ２として開始し、Ｓ１２～Ｓ１４にかけてもＴＰＸ＝ＴＰ２のままである。そして、Ｓ１５でＴＰ２からＴＰ１へと変更され、Ｓ１５～Ｓ２１にかけてＴＰ１のままである。Ｓ１８でＴＰ２に関する実行状況（データ入出力）が正常であると判定されていた場合には、Ｓ２４では、ＴＰＸ＝ＴＰ２となる（つまり、ＴＰ２から開始する通常制御スケジューリングパターンが継続される。）。一方で、Ｓ１８でＴＰ２に関する実行状況（データ入出力）が異常であると判定されていた場合には、Ｓ２３で、ＴＰＸ＝ＴＰ３となる（つまり、ＴＰ３から開始する安全制御スケジューリングパターンに切り替わる。）。
　また、図５Ｂに例示した安全制御スケジューリングパターンに従って、Ｓ１１においてスケジューリングを開始した場合を説明する。この場合、Ｓ１１ではＴＰＸ＝ＴＰ３として開始し、Ｓ１２～Ｓ１４にかけてもＴＰＸ＝ＴＰ３のままである。そして、Ｓ１５でＴＰ３からＴＰ１へと変更され、Ｓ１５～Ｓ２１にかけてＴＰ１のままである。Ｓ１８でＴＰ３に関する実行状況（データ入出力）が正常であると判定されていた場合には、Ｓ２４では、ＴＰＸ＝ＴＰ２となる（つまり、ＴＰ２から開始する通常制御スケジューリングパターンに切り替わる。）。一方で、Ｓ１８でＴＰ３に関する実行状況（データ入出力）に異常があると判定されていた場合には、Ｓ２３で、ＴＰＸ＝ＴＰ３となる（つまり、ＴＰ３から開始する安全制御スケジューリングパターンが継続される。）。
　なお、上述の例では、スケジューリングパターンとして、３つのＴＰ（安全監視用のＴＰ１、通常制御用のＴＰ２、安全制御用のＴＰ３）のみを組み合わせた場合を例に説明したが、ＴＰ２のような通常制御用パーティションや、ＴＰ３のような安全制御用パーティションについては、それぞれ複数個存在するものとしてもよい。例えば、２つの通常制御用のＴＰ２及びＴＰ４と、安全監視用のＴＰ１と、２つの安全制御用のＴＰ３及びＴＰ５と、が存在し、これら５つのＴＰ（ＴＰ１～ＴＰ５）を組み合わせてスケジューリングパターンを構成してもよい。この場合、Ｓ２３では、パーティションスケジューラ２１が、ＴＰＸに関する実行状況（データ入出力）の異常状態の種類を判定し、その異常種類に応じて、安全制御用のＴＰ３またはＴＰ５のいずれかを選択すればよい。また、Ｓ２４では、通常制御用のＴＰ２またはＴＰ４のいずれかを選択すればよい。
　上述したように、本実施の形態では、ＯＳ１００は、安全監視用のＴＰ１からの通知、または、各ＴＰからの通知に応じて、次にアクティブとするパーティションを選択・決定するパーティションスケジューラ２１を備えている。パーティションスケジューラ２１は、各ＴＰ内で実行されるタスクとは独立して、所定のタイマー周期で動作する。所定のタイマー周期で独立して動作するパーティションスケジューラ２１がパーティション・スケジューリング機能を有することで、以下の効果を奏することができる。
　まず、一般的に、通常制御タスク２６の実行時間を十分に確保するために、安全監視タスク２４の実行時間を可能な限り短縮したいという要求がある。従来技術（例えば特許文献１）では、安全監視タスク２４が、通常制御タスク２６の実行状況の監視と、Ｉ／Ｏポート１２の入出力データの監視と、に加えて、スケジューリングパターンの選択・決定についても行っていたために、この選択・決定に要する実行時間についても、安全監視タスク２４が属するＴＰ２に関して割り当てておく必要があった。
　また、機能安全の確保を保証するためには、基本的には、安全監視タスク２４と通常制御タスク２６とが交互に実行される必要がある。このため、従来技術では、通常制御タスク２６の実行に伴って安全監視タスク２４によるスケジューリングパターンの選択・決定までもが毎回実行されることになり、複数のサイクルにわたって合計すると、多くの実行時間を、安全監視タスク２４によるスケジューリングパターンの選択・決定のために要することになってしまう。
　これに対して、本実施の形態によれば、安全監視タスク２４自体は、スケジューリングパターンの選択・決定を実行する必要がない。また、パーティションスケジューラ２１がスケジューリングパターンの選択・決定に要する実行時間は短時間で済む。このため、従来技術と比較して、安全監視用のＴＰ１はより短時間の割り当てで済み、かつ、通常制御用のＴＰ２にはより長時間の割り当てを行うことができるという効果を奏する。
　さらに、図６で例示した処理では、パーティションスケジューラ２１が、ＴＰ１からの結果通知に応じて、安全制御用のＴＰ３を選択・決定する（Ｓ２３）、または、通常制御用のＴＰ２を選択・決定する（Ｓ２４）ものとして説明したが、本発明はこれに限定されない。例えば、安全監視用のＴＰ１のみからパーティションスケジューラ２１に対して結果を通知する構成に代えて、ＴＰ１～ＴＰ３のそれぞれからパーティションスケジューラ２１に対して実行状況結果を通知する構成とし、パーティションスケジューラ２１が、各ＴＰからの結果通知に応じて、安全制御用のＴＰ３を選択・決定するものとしてもよい。
　各ＴＰとは独立に動作するパーティションスケジューラ２１が、全てのＴＰから結果通知を受ける構成を採用することで、パーティションスケジューラ２１は、全てのＴＰに関する状況を一元的に把握することができる。このため、例えば、パーティションスケジューラ２１が、各ＴＰからの結果通知に基づいて各ＴＰの状況を考慮した上で、実行が不要なＴＰについてはスキップするなどの判断を実行することができる。従って、実行が不要なタイムパーティションのみを意図的にスキップすることができるという効果を奏する。また、例えば、パーティションスケジューラ２１が、安全監視用のＴＰ１からの結果通知に基づいて各ＴＰの状況を考慮した上で、正常状態にあるＴＰのみから次のパーティションを決定・選択することができる。従って、従来技術と比較して、より正確なパーティション・スケジューリングを実現することができるという効果を奏する。
　続いて以下では、リセット回路１４を用いたマイクロコントローラ１５のリセット機構について、図７及び図８を用いて説明する。図７及び図８は、リセット回路１４を用いたマイクロコントローラ１５のリセット処理手順の具体例を示すフローチャートである。
　本実施の形態では、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、マイクロコントローラ１５のリセット機能を有している。パーティションスケジューラ２１は、ＯＳ１００における異常を検出した場合に、リセット回路１４と連動して異常処置を行う。リセット回路１４は、パーティションスケジューラ２１からの信号に基づき、マイクロコントローラ１５のリセットを行う。
　まず、図７を用いて、リセット回路１４を用いたマイクロコントローラ１５のリセット処理手順の具体例について説明する。図７に示す処理では、パーティションスケジューラ２１からリセット指示信号を受けた場合に、リセット回路１４がマイクロコントローラ１５をリセットするものである。なお、図７では、ＴＰＸは、ＴＰ１とＴＰ３以外のＴＰである。
　まず、Ｓ３１～Ｓ３３では、パーティションスケジューラ２１がＴＰＸの動作を開始させることで、次にアクティブにするＴＰが変更されるまでの間、ＴＰＸに関する処理が実行される。そして、パーティションスケジューラ２１がＴＰ１のタスクスケジューラ２３の動作を開始させた（Ｓ３４）後に、ＴＰ１に属する安全監視タスク２４が、ＴＰＸに関する処理（入出力）が正常であったかを判断する（Ｓ３５）。判断の結果、正常であった（Ｓ３５でＹｅｓ）場合、Ｓ３１に戻り、同一のＴＰＸについての動作が継続される。
　判断の結果、異常であった（Ｓ３５でＮｏ）場合、ＴＰ１に属する安全監視タスク２４が、ＴＰＸでの異常がＴＰ３に属する安全制御タスク２８で対応可能な異常であるかを判断する（Ｓ３６）。ＴＰ３で対応可能な異常ではなかった（Ｓ３６でＮｏ）場合、ＴＰ１に属する安全監視タスク２４が、パーティションスケジューラ２１に対して、緊急停止を有する異常であることを通知する（Ｓ３７）。ＴＰ１に属する安全監視タスク２４からの通知を受けたパーティションスケジューラ２１が、リセット回路１４にリセット指示信号を出力し、リセット指示信号を受けたリセット回路１４がマイクロコントローラ１５のリセットを行う（Ｓ３８）。
　ＴＰ３で対応可能な異常であった（Ｓ３６でＹｅｓ）場合、ＴＰ１に属する安全監視タスク２４は、パーティションスケジューラ２１に対して、ＴＰＸが異常であることを通知する（Ｓ３９）。ＴＰ１からの通知を受けたパーティションスケジューラ２１は、ＴＰＸからＴＰ３へと切り替える（Ｓ４０）。
　次に、図８を用いて、リセット回路１４を用いたマイクロコントローラ１５のリセット処理手順の他の具体例について説明する。図８に示す処理では、パーティションスケジューラ２１からリセット回路１４に定期的に信号を送信し、リセット回路１４は、パーティションスケジューラ２１からの送信信号が途絶えた場合に、マイクロコントローラ１５をリセットするものである。なお、図８では、ＴＰＸは、ＴＰ１とＴＰ３以外のＴＰである。
　図７のＳ３１～Ｓ３５にかけての処理と比較して、図８のＳ５３では、パーティションスケジューラ２１が１Ｔｉｃｋごとに動作する点が明確化され、また、Ｓ５４及びＳ５５で、パーティションスケジューラ２１がリセット回路１４に定期的に信号を送信する点で異なっている。その他の図８に示すＳ５１～Ｓ５７にかけての処理は、図７に示したＳ３１～Ｓ３５にかけての処理と基本的に同一である。
　また、図７のＳ３６～Ｓ４０にかけての処理と比較して、図８のＳ６０では、パーティションスケジューラ２１がリセット回路１４への送信信号を停止し、Ｓ６３では、パーティションスケジューラ２１がリセット回路１４への信号を送信する点で異なっている。さらに、図８のＳ６１では、パーティションスケジューラ２１からの送信信号が途絶えたことに応じて、リセット回路１４がマイクロコントローラ１５のリセットを行う点で異なっている。その他の図８に示すＳ５８～Ｓ６４にかけての処理については、図７に示したＳ３６～Ｓ４０にかけての処理と基本的に同一である。
　さらに、図８のＳ７１及びＳ７２に示すように、Ｓ５１～Ｓ６４にかけての処理と並行して、パーティションスケジューラ２１において不具合が発生した場合、または、パーティションスケジューラ２１からリセット回路１４への信号線において不具合が発生した場合には、パーティションスケジューラ２１からリセット回路１４への送信信号が伝達されなくなる。この場合にも、パーティションスケジューラ２１からの送信信号が途絶えたことに応じて、リセット回路１４がマイクロコントローラ１５のリセットを行う（Ｓ６１）。
　図８に示した処理によれば、パーティションスケジューラ２１からリセット回路１４へ意図的にリセット指示を行う場合に加えて、パーティションスケジューラ２１自身が何らかの原因により正常に動作しない場合、または、パーティションスケジューラ２１からリセット回路１４へ送信信号を伝達する信号線に不具合が発生した場合においても、マイクロコントローラ１５のリセットを確実に行うことができる。また同時に、ＴＰの切り替えが、１Ｔｉｃｋごとに正常に実行されているかについても保証することができる。
　なお、図７及び図８では、パーティションスケジューラ２１は、ＴＰ１からの結果通知に応じて、リセット回路１４へのリセット指示信号の出力、または、リセット回路１４への送信信号の停止を行うものとして説明したが、ＴＰ１～ＴＰ３のいずれかからの結果通知に応じて、リセット回路１４へのリセット指示信号の出力、または、リセット回路１４への送信信号の停止を行うものとしてもよい。
＜発明の実施の形態２＞
　本実施の形態にかかる安全制御装置は、上述した安全制御装置１の変形である。本実施の形態にかかる安全制御装置の全体的な構成は、図１に示した安全制御装置１の構成と同様とすればよい。また、本実施の形態にかかる安全制御装置が有するＯＳによって提供されるタスク実行環境は、図４に示したタスク実行環境の構成と同様とすればよい。
　次に、図９及び図１１Ｂを用いて、本実施の形態にかかる安全制御装置１による処理について、より詳細に説明する。図９は、本実施の形態に係るパーティションスケジューラ２１の処理手順の具体例を示すフローチャートである。なお、以下の説明では、図６で説明した処理と同一の処理内容については説明を簡略化し、異なる処理内容についてより詳細に説明する。
　まず、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、ＴＰＸのタスクスケジューラを動作させる（Ｓ８１）。ここで、変数ＸはＴＰの番号を示し、Ｘは１以外の値とする。なお、図９のＳ８１～Ｓ８３にかけての処理内容は、図６のＳ１１～Ｓ１３にかけての処理内容と同一であるため、ここではその詳細な説明を省略する。
　なお、図９では、通常制御スケジューリングパターン（例えば図５Ａ）に従ってスケジューリングを開始した場合に、安全制御スケジューリングパターン（例えば図５Ｂ）に切り替えた場合を例に説明する。すなわち、ＴＰ２に続く次のＴＰはＴＰ１であり、かつ、ＴＰ２での異常がＴＰ１で検知された場合に、ＴＰ１からの結果を受けて次に選択・決定されるＴＰはＴＰ３である場合を例に説明する。
　パーティションスケジューラ２１は、ＴＰ３でのタスクを現在実行中であるか判断する（Ｓ９５）。ＴＰ３でのタスクの実行中でない（Ｓ９５でＮｏ）場合、パーティションスケジューラ２１は、次にアクティブにするＴＰを変更しない（Ｓ８４でＮｏ）場合には、Ｓ８１に戻り、同一のＴＰＸについての動作を継続させる。なお、図９のＳ８５～Ｓ９３にかけての処理内容は、図６のＳ１５～Ｓ２３にかけての処理内容と同一であるため、ここではその詳細な説明を省略する。
　図９で示した処理に関して、パーティション・スケジューリングの具体例を説明する。
　ここでは、図５Ａに例示した通常制御スケジューリングパターンに従って、Ｓ８１においてスケジューリングを開始した場合を説明する。この場合、Ｓ８１ではＴＰＸ＝ＴＰ２として開始し、Ｓ８２～Ｓ８４にかけても、Ｓ９３を経てＴＰＸ＝ＴＰ３となるまでは、ＴＰＸ＝ＴＰ２のままである。そして、Ｓ８５でＴＰ２からＴＰ１へと変更され、Ｓ８５～Ｓ９１にかけてＴＰ１のままである。Ｓ８８でＴＰ２に関する実行状況（データ入出力）が正常であると判定されていた場合には、Ｓ９４では、ＴＰＸ＝ＴＰ２となる（つまり、ＴＰ２から開始する通常制御スケジューリングパターンが継続される。）。一方で、Ｓ８８でＴＰ２に関する実行状況（データ入出力）が異常であると判定されていた場合には、Ｓ９３で、ＴＰＸ＝ＴＰ３となる（つまり、ＴＰ３から開始する安全制御スケジューリングパターンに切り替わる。）。さらに、Ｓ９３においてＴＰＸ＝ＴＰ３となった場合には、Ｓ９５及びＳ９３において、パーティションスケジューラ２１によって、ＴＰＸ＝ＴＰ３が維持される。すなわち、パーティションスケジューラ２１は、ＴＰ３を連続して選択・決定するように、パーティション・スケジューリングを実行する。
　なお、図９の例では、ＴＰＸとしてＴＰ３が連続して選択・決定された後に、安全制御によって安全が確保された結果、ＴＰ３からＴＰ２へと切り替える処理については特に図示されていないが、これを実現するためには、例えば、パーティションスケジューラ２１が、ＴＰ３でのタスクからの結果通知を受ける構成として、ＴＰ３での結果通知の内容に応じて、ＴＰ２への切り替えを判断するものとしてもよい。
　なお、図９の例では、スケジューリングパターンとして、３つのＴＰ（安全監視用のＴＰ１、通常制御用のＴＰ２、安全制御用のＴＰ３）のみを組み合わせた場合を例に説明したが、ＴＰ２のような通常制御用パーティションや、ＴＰ３のような安全制御用パーティションについては、それぞれ複数個存在するものとしてもよい。例えば、２つの通常制御用のＴＰ２及びＴＰ４と、安全監視用のＴＰ１と、２つの安全制御用のＴＰ３及びＴＰ５と、が存在し、これら５つのＴＰ（ＴＰ１～ＴＰ５）を組み合わせてスケジューリングパターンを構成してもよい。この場合、Ｓ９５では、パーティションスケジューラ２１が、安全制御用のＴＰ３またはＴＰ５でのいずれかのタスクが現在実行中であるかを判断し、Ｓ８３では、パーティションスケジューラ２１が、ＴＰＸに関する実行状況（データ入出力）の異常状態の種類を判定し、その種類に応じて、安全制御用のＴＰ３またはＴＰ５のいずれかを選択すればよい。
　以上に説明した本実施の形態によれば、異常が発生した場合には、以後のスケジューリングでは、安全制御用以外のタスクを実行するためのＴＰはスキップし、安全制御用のＴＰ３でのタスクのみを実行させることができる。この結果、例えば図１１Ｂの上部に示す通常制御時のスケジューリングパターンに従ってスケジューリングが行われていた場合に異常が発生したときには、図１１Ｂの下部に示すスケジューリングパターンへと切り替えることができ、ＴＰ３のみを即時かつ連続して実行させることができる。これにより、安全制御プログラムによる処理をより迅速に開始することができる。
　また、パーティションスケジューラ２１が各ＴＰからの結果通知を受け、全てのＴＰの状況を考慮して切り替える構成を採用した場合には、予め定められたスケジューリングパターンがどのようなものであっても、安全制御用のＴＰ３へと切り替え、かつ、安全確保されまでの間はＴＰ３を継続させることができる。さらに、ＴＰ３の実行によって安全が確保されたことをＴＰ３からの結果通知に基づいて判断することで、タイムパーティションをＴＰ２へと切り替える（通常制御時のパターンに復帰させる）こともできる。従って、異常発生時における安全制御を適切に行うことができる。
＜発明の実施の形態３＞
　本実施の形態にかかる安全制御装置は、上述した安全制御装置１の変形である。本実施の形態にかかる安全制御装置の全体的な構成は、図１に示した安全制御装置１の構成と同様とすればよい。また、本実施の形態にかかる安全制御装置が有するＯＳによって提供されるタスク実行環境は、図４に示したタスク実行環境の構成と同様とすればよい。
　次に、図１０を用いて、本実施の形態にかかる安全制御装置１による処理について、より詳細に説明する。図１０は、本実施の形態に係るパーティションスケジューラ２１の処理手順の具体例を示すフローチャートである。図１０は、パーティションスケジューラ２１によるタスク初期化処理に関する処理手順の具体例を示している。
　まず、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、ＴＰＸのタスクスケジューラを動作させる（Ｓ１０１）。ここで、変数ＸはＴＰの番号を示し、ＴＰとしては、スケジューリングパターン中に含まれる全ての種類のＴＰが対象となる。
　Ｓ１０１で動作を開始したＴＰＸのタスクスケジューラが、ＴＰＸ内のタスクを実行することで、タスクの初期化処理が実行される。そして、１Ｔｉｃｋが経過すると、パーティションスケジューラ２１が、ＴＰＸでのタスクの初期化処理が終了したかを判断する（Ｓ１０２）。タスクの初期化処理が終了していない（Ｓ１０２でＮｏ）場合には、Ｓ１０１へと戻り、ＴＰＸでのタスクの初期化処理が継続される。なお、例えば、パーティションスケジューラ２１は、ＴＰＸからの実行状況結果の通知に基づいて、ＴＰＸでのタスクの初期化処理が終了したかを判断すればよい。また、初期化処理を終了した場合には、タスクが、初期化処理の終了を示すようにフラグの値を設定し、パーティションスケジューラ２１が、フラグの値に応じて、終了を判断するものとしてもよい。
　タスクの初期化処理が終了した（Ｓ１０２でＹｅｓ）場合には、パーティションスケジューラ２１は、スケジューリングパターン中に含まれる全ての種類のＴＰに関して、タスクの初期化処理が終了したかを判断する（Ｓ１０３）。全てのＴＰに関してタスクの初期化処理が終了していない（Ｓ１０３でＮｏ）場合には、パーティションスケジューラ２１は、次のＴＰＸへと切り替え（Ｓ１０４）る。この結果、Ｓ１０１へと処理が戻り、切り替えられたＴＰＸでのタスクの初期化処理が継続される。
　全てのＴＰに関してタスクの初期化処理が終了した（Ｓ１０３でＹｅｓ）場合には、パーティションスケジューラ２１は、以後は、アクティブにするＴＰＸとして、ＴＰ３を除く他のＴＰを選択・決定し、その選択・決定したＴＰＸのタスクスケジューラを動作させる（Ｓ１０５）。例えば、パーティションスケジューラ２１は、ＴＰ３をスキップし、ＴＰ１及びＴＰ２のみを実行させる。なお、ＴＰ３を除いて他のＴＰのみを選択・決定する手法としては、例えば、次にアクティブにするタイムパーティションの候補がＴＰ３であった場合に、パーティションスケジューラ２１が、ＴＰ３以外のタイムパーティションを選択・決定するようにすればよい。
　以上に説明した本実施の形態によれば、タスクの初期化処理時においてのみ全てのＴＰに対して実行時間が付与され、通常のタスク処理の実行が開始された以後は、安全制御用のタスクを実行させるためのＴＰ３はスキップし、安全監視用のタスクを実行させるためのＴＰ１及び通常制御用のタスクを実行させるためのＴＰ２のみを実行させることができる。
　従って、全てのＴＰに関してタスクの初期化処理が終了した以後で、異常がほとんど発生しないような情況においては、不要なＴＰ３を実行させずに済む。このため、結果として、通常制御プログラムにより生成されるタスクの実行時間（ＴＰ２）に対してより長い時間を割り当てることができる。
　さらに、本発明は上述した実施の形態のみに限定されるものではなく、既に述べた本発明の要旨を逸脱しない範囲において種々の変更が可能であることは勿論である。例えば、上述した各実施の形態それぞれを実施するものとしてもよいし、複数の実施の形態を組合せて実施するものとしてもよい。例えば、タスクの初期化処理時には全てのＴＰに対して実行時間を付与し、通常のタスク処理の実行が開始された以後は、ＴＰ３をスキップすると共にＴＰ１及びＴＰ２のみを実行させる構成と、さらに、異常が発生した場合には、ＴＰ３から開始するスケジューリングパターンへと切り替えて、以後のスケジューリングでは、ＴＰ３以外のＴＰをスキップすると共にＴＰ３でのタスクのみを実行させる構成と、を組み合わせてもよい。
１　安全制御装置
１０　プロセッサ
１１　実行用メモリ
１２　Ｉ／Ｏポート
１３　不揮発性メモリ
１４　リセット回路
１５　マイクロコントローラ
２１　パーティションスケジューラ
２２　スケジューリングテーブル
２３、２５、２７　タスクスケジューラ
２４　安全監視タスク
２６　通常制御タスク
２８　安全制御タスク
１００　オペレーティングシステム
１０１　安全監視アプリケーション
１０２　通常制御アプリケーション
１０３　安全制御アプリケーション

Claims (10)

  1. 　少なくとも１つのプロセッサを含むハードウェア資源と、
    　（ａ）制御対象に関する異常の発生を監視する安全監視プログラム、（ｂ）通常時における前記制御対象の制御に関連する通常制御プログラム、および（ｃ）異常時における前記制御対象の制御に関連する安全制御プログラムに対する前記プロセッサの実行時間の割り当てを制御するためのシステムプログラムと、を備え、
    　前記システムプログラムは、（ｄ）前記安全監視プログラムに前記実行時間を割り当てる第１のタイムパーティション、（ｅ）前記通常制御プログラムに前記実行時間を割り当てる第２のタイムパーティション、および（ｆ）前記安全制御プログラムに前記実行時間を割り当てる第３のタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラを一部に有し、
    　前記プロセッサは、前記システムプログラムを実行することによって、前記パーティションスケジューラを周期的に動作させ、
    　前記パーティションスケジューラは、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムからの実行結果通知に応じて、前記スケジューリングパターンに含まれるタイムパーティションのうちで実行不要なプログラムを含むタイムパーティションをスキップする
    　安全制御装置。
  2. 　前記パーティションスケジューラは、前記第１のタイムパーティション内で実行される前記安全監視プログラムによって異常が検知されたことの前記実行通知結果を受取ると、以後のスケジューリングでは、前記第３のタイムパーティション以外のタイムパーティションをスキップする
    　ことを特徴とする請求項１に記載の安全制御装置。
  3. 　前記パーティションスケジューラは、前記第１乃至第３のタイムパーティション内でプログラムの初期化処理がそれぞれ実行されて終了したことに応じて、以後のスケジューリングでは、前記第３のタイムパーティションをスキップする
    　ことを特徴とする請求項１又は２に記載の安全制御装置。
  4. 　前記ハードウェア資源のリセットを行うリセット回路を更に備え、
    　前記パーティションスケジューラは、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムから緊急停止を有する異常であるとの通知に応じて、前記リセット回路にリセット指示信号を出力し、
    　前記リセット回路は、前記リセット指示信号を受けた場合に、前記ハードウェア資源のリセットを行う
    　ことを特徴とする請求項１乃至３いずれか１項に記載の安全制御装置。
  5. 　前記ハードウェア資源のリセットを行うリセット回路を更に備え、
    　前記パーティションスケジューラは、前記リセット回路に定期的に信号を送信し、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムから緊急停止を有する異常であるとの通知に応じて、前記リセット回路への前記信号の送信を停止し、
    　前記リセット回路は、前記パーティションスケジューラから送信される前記信号が途絶えた場合に、前記ハードウェア資源のリセットを行う
    　ことを特徴とする請求項１乃至３いずれか１項に記載の安全制御装置。
  6. 　（ａ）制御対象に関する異常の発生を監視する安全監視プログラムにプロセッサの実行時間を割り当てる第１のタイムパーティション、（ｂ）通常時における前記制御対象の制御に関連する通常制御プログラムに前記実行時間を割り当てる第２のタイムパーティション、および（ｃ）異常時における前記制御対象の制御に関連する安全制御プログラムに前記実行時間を割り当てる第３のタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを前記プロセッサに選択・決定させるべく周期的に動作するステップと、
    　前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムからの実行結果通知に応じて、前記スケジューリングパターンに含まれるタイムパーティションのうちで実行不要なプログラムを含むタイムパーティションを前記プロセッサにスキップさせるべく動作するステップと、
    　を備える制御対象の安全制御方法。
  7. 　前記第１のタイムパーティション内で実行される前記安全監視プログラムによって異常が検知されたことの前記実行通知結果を受取ると、以後のスケジューリングでは、前記第３のタイムパーティション以外のタイムパーティションを前記プロセッサにスキップさせるべく動作するステップをさらに備える
    　ことを特徴とする請求項６に記載の安全制御方法。
  8. 　前記第１乃至第３のタイムパーティション内でプログラムの初期化処理がそれぞれ実行されて終了したことに応じて、以後のスケジューリングでは、前記第３のタイムパーティションを前記プロセッサにスキップさせるべく動作するステップをさらに備える
    　ことを特徴とする請求項６又は７に記載の安全制御方法。
  9. 　前記プロセッサを含むハードウェア資源のリセットを行うリセット回路を更に備え、
    　前記安全制御方法は、
    　前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムから緊急停止を有する異常であるとの通知に応じて、前記リセット回路にリセット指示信号を出力するステップと、
    　前記リセット回路を用いて、前記リセット指示信号を受けた場合に、前記ハードウェア資源のリセットを行うステップと、をさらに備える
    　ことを特徴とする請求項６乃至８いずれか１項に記載の安全制御方法。
  10. 　前記プロセッサを含むハードウェア資源のリセットを行うリセット回路を更に備え、
    　前記安全制御方法は、
    　前記リセット回路に定期的に信号を送信し、前記第１乃至第３のタイムパーティションの少なくとも１つのタイムパーティション内で実行されるプログラムから緊急停止を有する異常であるとの通知に応じて、前記リセット回路への前記信号の送信を停止するステップと、
    　前記リセット回路を用いて、前記パーティションスケジューラから送信される前記信号が途絶えた場合に、前記ハードウェア資源のリセットを行うステップと、をさらに備える
    　ことを特徴とする請求項６乃至８いずれか１項に記載の安全制御方法。
PCT/JP2011/000525 2011-01-31 2011-01-31 安全制御装置および安全制御方法 Ceased WO2012104897A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP11824295.7A EP2680094B1 (en) 2011-01-31 2011-01-31 Safety control device and safety control method
JP2012505536A JP5240402B2 (ja) 2011-01-31 2011-01-31 安全制御装置および安全制御方法
PCT/JP2011/000525 WO2012104897A1 (ja) 2011-01-31 2011-01-31 安全制御装置および安全制御方法
US13/498,829 US8457766B2 (en) 2011-01-31 2011-01-31 Safety controller and safety control method
CN201180004525.7A CN103026309B (zh) 2011-01-31 2011-01-31 安全控制装置以及安全控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2011/000525 WO2012104897A1 (ja) 2011-01-31 2011-01-31 安全制御装置および安全制御方法

Publications (1)

Publication Number Publication Date
WO2012104897A1 true WO2012104897A1 (ja) 2012-08-09

Family

ID=46602152

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/000525 Ceased WO2012104897A1 (ja) 2011-01-31 2011-01-31 安全制御装置および安全制御方法

Country Status (5)

Country Link
US (1) US8457766B2 (ja)
EP (1) EP2680094B1 (ja)
JP (1) JP5240402B2 (ja)
CN (1) CN103026309B (ja)
WO (1) WO2012104897A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113641094A (zh) * 2021-07-06 2021-11-12 江苏徐工工程机械研究院有限公司 预防工程机械控制器失效的安全系统及工程机械

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5321686B2 (ja) * 2011-01-31 2013-10-23 トヨタ自動車株式会社 安全制御装置および安全制御方法
JP5267737B2 (ja) * 2011-01-31 2013-08-21 トヨタ自動車株式会社 安全制御装置および安全制御方法
CN103080858B (zh) * 2011-01-31 2014-07-16 丰田自动车株式会社 安全控制装置及安全控制方法
JP2014211689A (ja) * 2013-04-17 2014-11-13 トヨタ自動車株式会社 安全制御装置および安全制御方法
CN106293673A (zh) * 2015-06-08 2017-01-04 中兴通讯股份有限公司 操作指令处理方法及装置
CN105150209A (zh) * 2015-08-14 2015-12-16 昆山巨林科教实业有限公司 搬运桁架机械手精确控制系统及方法
CN115855022A (zh) * 2017-04-07 2023-03-28 辉达公司 使用深度神经网络执行自主路径导航
EP3652037B1 (en) 2017-07-13 2023-09-13 Danfoss Power Solutions II Technology A/S Electromechanical controller
JP6871220B2 (ja) * 2018-11-08 2021-05-12 ファナック株式会社 制御システム
US20220222106A1 (en) * 2020-11-23 2022-07-14 Precise.ly, Inc. Automatic run suspension management

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS62245304A (ja) * 1986-04-17 1987-10-26 Fanuc Ltd 数値制御におけるプログラムスキツプ方式
JPH06282301A (ja) * 1991-03-15 1994-10-07 Nippondenso Co Ltd アンチスキッド制御装置
JPH06332338A (ja) * 1993-05-18 1994-12-02 Canon Inc 定着装置
JP2000207228A (ja) * 1999-01-18 2000-07-28 Star Micronics Co Ltd モ―タ制御装置
JP2003036177A (ja) * 2001-07-23 2003-02-07 Alps Electric Co Ltd プリンタの動作制御方法
JP2004258875A (ja) * 2003-02-25 2004-09-16 Toshiba Corp 伝送路二重化判定処理方法
JP2005063295A (ja) * 2003-08-19 2005-03-10 Matsushita Electric Ind Co Ltd 制御装置
JP2006109076A (ja) * 2004-10-05 2006-04-20 Nippon Telegr & Teleph Corp <Ntt> 端末装置の制御方法、無線通信システム、端末装置、制御プログラム、および記録媒体
JP2010271759A (ja) 2009-05-19 2010-12-02 Toyota Motor Corp 安全制御装置および安全制御方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11242618A (ja) * 1998-02-25 1999-09-07 Toto Ltd 燃焼機器の安全回路
JP2002086379A (ja) 2000-09-13 2002-03-26 Toshiba Corp ロボット、ロボットの制御方法およびロボットを動作するプログラムを記憶したコンピュータ読み取り可能な記憶媒体
JP2005190437A (ja) * 2003-12-26 2005-07-14 Fanuc Ltd 制御装置管理システム
JP4442358B2 (ja) * 2004-08-02 2010-03-31 株式会社デンソーウェーブ 制御装置及びコンピュータプログラム
DE102004054571B4 (de) 2004-11-11 2007-01-25 Sysgo Ag Verfahren zur Verteilung von Rechenzeit in einem Rechnersystem
CA2538503C (en) * 2005-03-14 2014-05-13 Attilla Danko Process scheduler employing adaptive partitioning of process threads
JP2008191823A (ja) 2007-02-02 2008-08-21 Omron Corp 安全管理方法、安全管理システムおよび安全制御機器
US8510741B2 (en) * 2007-03-28 2013-08-13 Massachusetts Institute Of Technology Computing the processor desires of jobs in an adaptively parallel scheduling environment
US7870299B1 (en) * 2008-02-06 2011-01-11 Westinghouse Electric Co Llc Advanced logic system
US9678483B2 (en) * 2011-01-26 2017-06-13 Honeywell International Inc. Programmable controller with both safety and application functions

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS62245304A (ja) * 1986-04-17 1987-10-26 Fanuc Ltd 数値制御におけるプログラムスキツプ方式
JPH06282301A (ja) * 1991-03-15 1994-10-07 Nippondenso Co Ltd アンチスキッド制御装置
JPH06332338A (ja) * 1993-05-18 1994-12-02 Canon Inc 定着装置
JP2000207228A (ja) * 1999-01-18 2000-07-28 Star Micronics Co Ltd モ―タ制御装置
JP2003036177A (ja) * 2001-07-23 2003-02-07 Alps Electric Co Ltd プリンタの動作制御方法
JP2004258875A (ja) * 2003-02-25 2004-09-16 Toshiba Corp 伝送路二重化判定処理方法
JP2005063295A (ja) * 2003-08-19 2005-03-10 Matsushita Electric Ind Co Ltd 制御装置
JP2006109076A (ja) * 2004-10-05 2006-04-20 Nippon Telegr & Teleph Corp <Ntt> 端末装置の制御方法、無線通信システム、端末装置、制御プログラム、および記録媒体
JP2010271759A (ja) 2009-05-19 2010-12-02 Toyota Motor Corp 安全制御装置および安全制御方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2680094A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113641094A (zh) * 2021-07-06 2021-11-12 江苏徐工工程机械研究院有限公司 预防工程机械控制器失效的安全系统及工程机械
CN113641094B (zh) * 2021-07-06 2024-02-02 江苏徐工工程机械研究院有限公司 预防工程机械控制器失效的安全系统及工程机械

Also Published As

Publication number Publication date
EP2680094A4 (en) 2014-08-06
US8457766B2 (en) 2013-06-04
US20120245709A1 (en) 2012-09-27
JP5240402B2 (ja) 2013-07-17
JPWO2012104897A1 (ja) 2014-07-03
CN103026309A (zh) 2013-04-03
EP2680094A1 (en) 2014-01-01
EP2680094B1 (en) 2017-12-13
CN103026309B (zh) 2015-04-29

Similar Documents

Publication Publication Date Title
JP5240402B2 (ja) 安全制御装置および安全制御方法
JP5267737B2 (ja) 安全制御装置および安全制御方法
EP2672342B1 (en) Safety control device and safety control method
JP5446447B2 (ja) 安全制御装置および安全制御方法
EP2677377B1 (en) Safety control device and safety control method
JP5136695B2 (ja) 安全制御装置および安全制御方法
JP5621857B2 (ja) 安全制御装置および安全制御方法
JP5834935B2 (ja) 安全制御装置及び安全制御方法
JP5633501B2 (ja) 制御装置および制御方法
JP5906584B2 (ja) 制御装置及び制御方法
JP2015212969A (ja) 情報処理装置およびｄｍａコントローラの動作確認方法

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201180004525.7

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 2012505536

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 2011824295

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 13498829

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11824295

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE