(57)【要約】  マイクロコントローラによる消費電力の抑制を可能とする。ＯＳ（１００）は、タスクに実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラ（２１）を一部に有する。プロセッサは、ＯＳ（１００）を実行することによって、パーティションスケジューラ（２１）を周期的に動作させる。パーティションスケジューラ（２１）は、タイムパーティション内においてタスクが実行に必要とする実行時間の占める割合に応じて、マイクロコントローラ（１５）の動作周波数を低下させる。
2012104900.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つのプロセッサを含むハードウェア資源と、
プログラムに対する前記プロセッサの実行時間の割り当てを制御するためのシステムプログラムと、を備え、
前記システムプログラムは、前記プログラムに前記実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラを一部に有し、
前記プロセッサは、前記システムプログラムを実行することによって、前記パーティションスケジューラを周期的に動作させ、
前記パーティションスケジューラは、前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合に応じて、前記ハードウェア資源の動作周波数を低下させる
安全制御装置。
【請求項２】
前記システムプログラムは、前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを一部に有し、
前記パーティションスケジューラは、前記実行テーブルを参照して、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１に記載の安全制御装置。
【請求項３】
前記パーティションスケジューラは、低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１または２に記載の安全制御装置。
【請求項４】
前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を変更しない
ことを特徴とする請求項１乃至３いずれか１項に記載の安全制御装置。
【請求項５】
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項４に記載の安全制御装置。
【請求項６】
前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１乃至３いずれか１項に記載の安全制御装置。
【請求項７】
前記パーティションスケジューラは、
前記ハードウェア資源の動作周波数を所定の動作周波数まで低下させる
ことを特徴とする請求項５又は６に記載の安全制御装置。
【請求項８】
プログラムにプロセッサの実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを前記プロセッサに選択・決定させるべく周期的に動作するステップと、
次にスケジューリングするタイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合に応じて、前記プロセッサを含むハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップと、
を備える制御対象の安全制御方法。
【請求項９】
前記安全制御方法は、
前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを参照して、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項８に記載の安全制御方法。
【請求項１０】
前記安全制御方法は、
低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項８または９に記載の安全制御方法。
【請求項１１】
前記スケジューリングパターンには、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションが更に含まれ、
前記安全制御方法は、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を前記プロセッサにより変更しない
ことを特徴とする請求項８乃至１０いずれか１項に記載の安全制御方法。
【請求項１２】
前記安全制御方法は、
前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップを更に備える
ことを特徴とする請求項１１に記載の安全制御方法。
【請求項１３】
前記スケジューリングパターンには、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションが更に含まれ、
前記安全制御方法は、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項８乃至１０いずれか１項に記載の安全制御方法。
【請求項１４】
前記安全制御方法は、
前記ハードウェア資源の動作周波数を前記プロセッサに所定の動作周波数まで低下させるべく動作する
ことを特徴とする請求項１２又は１３に記載の安全制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機能安全の確保のためにサービスロボットおよび輸送機器等に搭載される安全制御装置に関し、特に、コンピュータシステムを用いた安全制御装置に関する。
【背景技術】
【０００２】
サービスロボットは、外界センサや自己診断装置によって安全状態を常時監視し、何らかの危険を検知した場合に適切な安全制御ロジックを実行することで、機能安全を確保する必要がある。【０００３】
上述したサービスロボットのほか、運輸機器等の電気的な原理で動作するシステムを対象とした機能安全に関する国際標準としてIEC 61508が制定されている。IEC 61508では、機能安全の確保のために設けられるシステムのことを安全関連系と呼んでいる。IEC 61508は、マイクロプロセッサ及びPLC（Programmable Logic Controller）等のハードウェアとコンピュータプログラム（ソフトウェア）によって安全関連系を構築するための様々な技法を定めている。IEC 61508で定められている技法を用いることで、コンピュータシステムを用いて安全関連系を構築することが可能となる。【０００４】
一方で、近年、マイクロプロセッサ等のプログラマブル電子機器の処理能力が向上している。このため、マルチタスクＯＳ（Operating System）を利用し、１つのコンピュータシステム上で様々なアプリケーションプログラムを並列実行することで、サービスロボット及び自動車等の機器に搭載されている複数用途のコンピュータシステムを統合することができる。【０００５】
例えば特許文献１に、機能安全の確保に関するアプリケーションプログラム（以下、安全関連アプリケーションと呼ぶ）を、その他のアプリケーションプログラム（以下、非安全関連アプリケーションと呼ぶ）と共に１つのコンピュータシステム上で動作させる技術が開示されている。【０００６】
IEC 61508で定められている技法を、安全関連アプリケーションおよび非安全関連アプリケーションを含むソフトウェア全体に適用すると、非安全関連アプリケーションにまで適用する必要性が生じる。このため、ソフトウェア開発コストが増大するという問題がある。【０００７】
そこで、特許文献１に開示される技術では、システムプログラムのタイム・パーティションニングによって、安全関連アプリケーション（安全監視プログラム及び安全制御プログラム）を非安全関連アプリケーション（通常制御プログラム）から独立させている。このため、通常制御プログラムを安全関連系から除外することができ、コンピュータシステムを用いて構成される安全関連系の低コスト化に寄与することができる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１０−２７１７５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、タイム・パーティショニング機能を備える従来技術では、以下に説明する問題点があった。以下、図１１及び図１２を用いて、問題点について説明する。【００１０】
まず、図１１を用いて問題点について具体的に説明する。図１１Ａに例示するように、タイム・パーティショニング機能を備える従来のＯＳでは、ＯＳにより割り当てられたタイムパーティションＴＰ２に対して、ＴＰ２内で実行されるタスクが実際に必要とする時間が短いことが通常であり、少なからず実行時間が余ってしまうという問題がある。【００１１】
また、図１１Ｂに例示するように、割り込み処理を専用に実行させるために、ＴＰ１などのタイムパーティションに加えて割り込み処理専用のタイムパーティションを設けることが考えられるが、かかる場合に、割り込み処理が１つも存在しなったときには、割り込み処理専用タイムパーティションでは何ら処理が実行されないことになる。すなわち、図１１Ａ、Ｂに示すように、ＴＰ内で余った時間が存在する場合や、割り込み処理専用タイムパーティションが存在するような場合には、マイクロコントローラ（プロセッサを含む）は何ら処理を実行しないことになり、電力を無駄に消費することになってしまう。【００１２】
次に、図１２を用いて、上記の問題点についてより具体的に説明する。図１２に例示するように、タイム・パーティショニング機能を備える従来のＯＳでは、各タイムパーティションに割り当てる時間は、所定のタイマー周期（図では１Ｔｉｃｋ単位）の倍数単位しか与えることができない。このため、各タイムパーティションにおいて実際に必要となる時間との間で、乖離が生じる。しかし、タイムパーティションにおいて何ら処理が実行されていない場合であっても、ＯＳを動作させるマイクロコントローラ自体は、処理を実行している場合と同じ程度の計算能力で、常に動作し続けている。すなわち、タイムパーティション内で処理を実行中か否かに関わらず、マイクロコントローラは常に一定の動作周波数で動作を行っている。このため、タイムパーティション内での実行状況とは無関係に、マイクロコントローラでは、一定の消費電力を常に必要とする。【００１３】
本発明は、上述した知見に基づいてなされたものであって、マイクロコントローラによる消費電力の抑制を可能とする安全制御装置及び安全制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１４】
本発明の一態様にかかる安全制御装置は、少なくとも１つのプロセッサを含むハードウェア資源と、プログラムに対する前記プロセッサの実行時間の割り当てを制御するためのシステムプログラムと、を備える。前記システムプログラムは、前記プログラムに前記実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラを一部に有する。前記プロセッサは、前記システムプログラムを実行することによって、前記パーティションスケジューラを周期的に動作させる。前記パーティションスケジューラは、前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合に応じて、前記ハードウェア資源の動作周波数を低下させる。【００１５】
上述した本発明の一態様によれば、ハードウェア資源（マイクロコントローラ）による消費電力の抑制を実現することができる。【００１６】
また、前記システムプログラムは、前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを一部に有し、前記パーティションスケジューラは、前記実行テーブルを参照して、前記ハードウェア資源の動作周波数を低下させるようにしてもよい。【００１７】
さらにまた、前記パーティションスケジューラは、低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を低下させるようにしてもよい。【００１８】
また、前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、前記パーティションスケジューラは、前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を変更しないようにしてもよい。【００１９】
さらにまた、前記パーティションスケジューラは、前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を低下させるようにしてもよい。【００２０】
また、前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、前記パーティションスケジューラは、前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を低下させるようにしてもよい。【００２１】
さらにまた、前記パーティションスケジューラは、前記ハードウェア資源の動作周波数を所定の動作周波数まで低下させるようにしてもよい。
【発明の効果】
【００２２】
本発明によれば、マイクロコントローラによる消費電力の抑制を可能とする安全制御装置及び安全制御方法を提供することができる。
【図面の簡単な説明】
【００２３】
【図１】発明の実施の形態１にかかる安全制御装置の構成例を示すブロック図である。
【図２】発明の実施の形態１におけるタイム・パーティショニングの概念を説明するための図である。
【図３】発明の実施の形態１におけるリソース・パーティショニングの概念を説明するための概念図である。
【図４】図１に示したＯＳによって提供される実行環境で起動される、パーティションスケジューラとタスクとの関係を示す図である。
【図５Ａ】スケジューリングパターンの具体例を示す図である。
【図５Ｂ】スケジューリングパターンの具体例を示す図である。
【図６】パーティションスケジューラの処理手順の具体例を示すフローチャートである。
【図７】マイクロコントローラのリセット処理手順の具体例を示すフローチャートである。
【図８】マイクロコントローラのリセット処理手順の具体例を示すフローチャートである。
【図９】実行テーブルの具体例を示す図である。
【図１０】パーティションスケジューラの処理手順の具体例を示すフローチャートである。
【図１１Ａ】本発明の課題を説明するための図である。
【図１１Ｂ】本発明の課題を説明するための図である。
【図１２】本発明の課題を説明するための図である。
【発明を実施するための形態】
【００２４】
以下では、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。各図面において、同一要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明は省略される。
【００２５】
＜発明の実施の形態１＞
本実施の形態にかかる安全制御装置１は、サービスロボットや運輸機器等に搭載されて機能安全確保のための安全制御を実行する。安全制御装置１は、安全関連アプリケーションと非安全関連アプリケーションを同一のコンピュータシステムで実行するよう構成される。図１は、本実施の形態にかかる安全制御装置１の構成例を示すブロック図である。
【００２６】
プロセッサ１０は、プログラム（命令ストリーム）の取得、命令のデコード、命令のデコード結果に応じた演算処理を行う。なお、図１では、１つのプロセッサ１０のみを示しているが、安全制御装置１は、複数のプロセッサ１０を有するマルチプロセッサ構成であってもよい。また、プロセッサ１０は、マルチコアプロセッサでもよい。プロセッサ１０は、システムプログラムとしてのオペレーティングシステム（ＯＳ）１００を実行することによりマルチプログラミング環境を提供する。マルチプログラミング環境とは、複数のプログラムを定期的に切り替えて実行したり、あるイベントの発生に応じて実行するプログラムを切り替えたりすることによって、複数のプログラムがあたかも並列実行されているような環境を意味する。
【００２７】
マルチプログラミングは、マルチプロセス、マルチスレッド、マルチタスク等と呼ばれる場合もある。プロセス、スレッド及びタスクは、マルチプログラミング環境で並列実行されるプログラム単位を意味する。本実施の形態のプロセッサ１０が具備するマルチプログラミング環境は、マルチプロセス環境でもよいし、マルチスレッド環境でもよい。
【００２８】
実行用メモリ１１は、プロセッサ１０によるプログラム実行のために使用されるメモリである。実行用メモリ１１には、不揮発性メモリ１３からロードされたプログラム（ＯＳ１００及びアプリケーション１０１〜１０３等）、プロセッサ１０の入出力データ等が記憶される。なお、プロセッサ１０は、プログラムを不揮発性メモリ１３から実行用メモリ１１にロードすることなく、これらのプログラムを不揮発性メモリ１３から直接実行してもよい。
【００２９】
具体的には、実行用メモリ１１は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）等のランダムアクセス可能な揮発性メモリとすればよい。図１の実行用メモリ１１は、論理的な構成単位を示している。すなわち、実行用メモリ１１は、例えば、複数のＳＲＡＭデバイスの組み合わせ、複数のＤＲＡＭデバイスの組み合わせ、又はＳＲＡＭデバイスとＤＲＡＭデバイスの組み合わせでもよい。
【００３０】
Ｉ／Ｏポート１２は、外部デバイスとの間のデータ送受信に使用される。例えば、安全制御装置１がサービスロボットに搭載される場合であれば、外部デバイスは、サービスロボット周囲の障害物を計測可能な視覚センサ、サービスロボットを動作させるアクチュエータ等である。
【００３１】
不揮発性メモリ１３は、電力の供給を受けることなく、実行用メモリ１１に比べて安定的に記憶内容を維持することが可能なメモリデバイスである。例えば、不揮発性メモリ１３は、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ハードディスクドライブ若しくは光ディスクドライブ、又はこれらの組み合わせである。不揮発性メモリ１３は、ＯＳ１００及びアプリケーション１０１〜１０３を格納する。なお、不揮発性メモリ１３の少なくとも一部は安全制御装置１から取り外し可能に構成されてもよい。例えば、アプリケーション１０１〜１０３が格納されたメモリを取り外し可能としてもよい。また、不揮発性メモリ１３の少なくとも一部は、安全制御装置１の外部に配置されてもよい。
【００３２】
ＯＳ１００は、プロセッサ１０によって実行されることにより、プロセッサ１０及び実行用メモリ１１及び不揮発性メモリ１３等のハードウェア資源を利用して、タスクスケジューリングを含むタスク管理、割り込み管理、時間管理、資源管理、タスク間同期およびタスク間通信機構の提供等を行う。
【００３３】
さらに、機能安全の確保に関連する安全監視アプリケーション１０１及び安全制御アプリケーション１０３の通常制御アプリケーション１０２からの独立性を高めるため、ＯＳ１００は、ハードウェア資源を、時間的および空間的に保護する機能を有する。ここで、ハードウェア資源とは、プロセッサ１０、実行用メモリ１１、Ｉ／Ｏポート１２を含む。
【００３４】
このうち、時間的な保護は、プロセッサ１０の実行時間という時間的な資源をパーティショニングすることにより行う。具体的に述べると、時間的な保護は、プロセッサ１０の実行時間をパーティショニングし、各パーティション（タイムパーティションと呼ぶ）にタスク（プロセス又はスレッド）を割り当てることにより行う。ＯＳ１００のスケジューリング機能（パーティションスケジューラ２１）は、各タイムパーティション（以下、ＴＰと略称する場合がある。）に割り当てられたタスクに対して、プロセッサ１０の実行時間を含む資源の利用を保証する。
【００３５】
図２は、タイム・パーティショニングに関する概念図である。図２の例では、予め定められた１サイクル時間を３つのＴＰ１、ＴＰ２及びＴＰ３に分割する例を示している。例えば、１サイクル時間を１００Ｔｉｃｋとした場合、このうち前半の２０ＴｉｃｋがＴＰ１、中間の３０ＴｉｃｋがＴＰ２、後半の５０ＴｉｃｋがＴＰ３と規定される。
【００３６】
また、図２の例では、第１アプリケーション（ＡＰＬ１）〜第４アプリケーション（ＡＰＬ４）が、ＴＰ１〜ＴＰ３のいずれかに割り当てられている。ＯＳ１００のスケジューリング機能（パーティションスケジューラ２１）は、時間の経過に応じて、ＴＰ１〜ＴＰ３のいずれをアクティブにするかを選択・決定する。そして、アクティブなＴＰに割り当てられているアプリケーションが、プロセッサ１０で実行される。
【００３７】
一方、空間的な保護は、実行用メモリ１１及びＩ／Ｏポート１２を含む固定的な資源をパーティショニングし、各パーティション（リソースパーティションと呼ぶ）にタスクを割り当てることにより行う。ＯＳ１００のスケジューリング機能（パーティションスケジューラ２１）は、予め割り当てられたリソースパーティション（以下、ＲＰと略称する場合がある。）を超えてタスクが他のリソースにアクセスすることを禁止する。
【００３８】
図３は、リソース・パーティショニングに関する概念図である。図３の例では、２つのＲＰ（ＲＰ１及びＲＰ２）を示している。ＲＰ１には、実行用メモリ１１及び不揮発性メモリ１３の一部（Ａ領域）と、Ｉ／Ｏポート１２の一部（ポートＡ）が割り当てられている。また、ＲＰ２には、実行用メモリ１１及び不揮発性メモリ１３の他の一部（Ｂ領域）と、Ｉ／Ｏポート１２の他の一部（ポートＢ）が割り当てられている。ＲＰ１からはＲＰ２に割り当てられたリソースへのアクセスが禁止され、ＲＰ２からはＲＰ１に割り当てられたリソースへのアクセスが禁止される。
【００３９】
なお、全てのリソースがいずれかのＲＰに排他的に割り当てられる必要はない。つまり、複数のＲＰによって共有されるリソースがあってもよい。例えば、サービスロボットの安全制御を行う場合、アクチュエータには、通常制御アプリケーション１０１及び安全制御アプリケーション１０２の双方からアクセスできる必要がある。よって、通常制御アプリケーション１０１が属するＲＰと安全制御アプリケーション１０２が属するＲＰによって、アクチュエータを制御するためのＩ／Ｏポートを共有するとよい。
【００４０】
図１に戻り説明を続ける。アプリケーション１０１〜１０３は、ＯＳ１００及びプロセッサ１０によって提供されるマルチプログラミング環境で実行される。このうち、安全監視アプリケーション１０１は、通常制御アプリケーション１０２の実行状況の監視と、安全制御アプリケーション１０３の実行状況の監視と、Ｉ／Ｏポート１２への入出力データの監視と、をプロセッサ１０に実行させるための命令コードを含む。さらに、安全監視アプリケーション１０１は、パーティションスケジューラ２１への結果通知をプロセッサ１０に実行させるための命令コードを含む。つまり、安全監視アプリケーション１０１は、安全関連アプリケーションである。
【００４１】
また、通常制御アプリケーション１０２は、サービスロボット等の制御対象に通常の機能・動作を行わせるための制御手順をプロセッサ１０に実行させるための命令コードを含む。さらに、通常制御アプリケーション１０２は、パーティションスケジューラ２１への結果通知をプロセッサ１０に実行させるための命令コードを含む。つまり、通常制御アプリケーション１０２は、非安全関連アプリケーションである。
【００４２】
また、安全制御アプリケーション１０３は、何らかの異常が検出された場合に対応して、機能安全を確保するために定められた制御手順をプロセッサ１０に実行させるための命令コードを含む。さらに、安全制御アプリケーション１０３は、パーティションスケジューラ２１への結果通知をプロセッサ１０に実行させるための命令コードを含む。つまり、安全制御アプリケーション１０３は、安全関連アプリケーションである。
【００４３】
リセット回路１４は、ＯＳ１００からの信号に基づき、マイクロコントローラ１５のリセットを行う。リセット回路１４を用いたマイクロコントローラ１５のリセット機構については後述する。
【００４４】
続いて以下では、パーティションスケジューラ２１と、アプリケーション１０１〜１０３の起動により生成されるタスクと、の関係について、図４を用いて説明する。図４は、ＯＳ１００によって提供されるマルチプログラミング環境で起動される、パーティションスケジューラ２１とタスク２４、２６、２８との関係を示す図である。
【００４５】
マイクロコントローラ１５は、プロセッサ１０、実行用メモリ１１、Ｉ／Ｏポート１２、不揮発性メモリ１３等を含む。なお、図４では、マイクロコントローラ１５の外部にリセット回路１４を備える構成を例示しているが、マイクロコントローラ１５の内部にリセット回路１４を含む構成としてもよい。
【００４６】
マイクロコントローラ１５には、外部のクロック源からのクロック信号が供給され、プロセッサ１０等は、このクロック信号に基づく所定のタイマー周期で動作する。本実施の形態では、所定のタイマー周期を、１Ｔｉｃｋであるとして説明する。このため、プロセッサ１０によりＯＳ１００が実行されることで、パーティションスケジューラ２１が１Ｔｉｃｋごとに動作すると共に、各ＴＰ内で、タスクスケジューラ２３、２５、２７およびタスク（安全監視タスク２４、通常制御タスク２６、安全制御タスク２８）が、１Ｔｉｃｋごとに動作する。
【００４７】
パーティションスケジューラ２１は、１Ｔｉｃｋごとに動作し、ＴＰの切り替え（パーティション・スケジューリング）を行う。パーティションスケジューラ２１は、次の１Ｔｉｃｋの間にＴＰ１〜ＴＰ３のいずれをアクティブにするかを選択・決定する。さらに、パーティションスケジューラ２１は、選択したＴＰに関するタスクスケジューラの動作を開始させる。
【００４８】
パーティションスケジューラ２１によるパーティション・スケジューリングについて具体的に述べると、パーティションスケジューラ２１は、スケジューリングテーブル２２を参照し、ＴＰの設定を定めたスケジューリングパターンに従って、パーティション・スケジューリングを行う。
【００４９】
スケジューリングテーブル２２は、ＴＰの切り替え順序およびタイミングを規定したスケジューリングパターンを保持している。なお、スケジューリングテーブル２２は、少なくとも２つの異なるスケジューリングパターンを保持している。１つは、安全監視タスク２４による異常検知が行われていない場合（つまり通常時）に適用されるスケジューリングパターンである。もう１つは、安全監視タスク２４によって異常が検知された場合に適用されるスケジューリングパターンである。以下では、通常時に適用されるスケジューリングパターンを"通常制御スケジューリングパターン"と呼ぶ。また、異常検知時に適用されるスケジューリングパターンを"安全制御スケジューリングパターン"と呼ぶ。
【００５０】
図５Ａは、通常制御スケジューリングパターンの具体例を示している。図５Ａでは、通常制御タスク２６が属するＴＰ２が１サイクル時間の前半（Ｔ１）に割り当てられている。また、安全監視タスク２４が属するＴＰ１が１サイクル時間の後半（Ｔ２）に割り当てられている。図５Ａのスケジューリングパターンによれば、通常制御タスク２６と安全監視タスク２４が繰り返しスケジューリングされる。
【００５１】
図５Ｂは、安全制御スケジューリングパターンの具体例を示している。図５Ｂでは、安全制御タスク２８が属するＴＰ３が１サイクル時間の前半（Ｔ３）に割り当てられている。また、安全監視タスク２４が属するＴＰ１が１サイクル時間の後半（Ｔ４）に割り当てられている。図５Ｂのスケジューリングパターンによれば、安全制御タスク２８と安全監視タスク２４が繰り返しスケジューリングされる。
【００５２】
図４に戻り説明を続ける。タスクスケジューラ２３、２５、２７は、それぞれが属するＴＰ内でのタスクのスケジューリングを行う。各ＴＰ内でのタスクのスケジューリングには、一般的な優先度ベースのスケジューリングを適用すればよい。なお、図４では、各ＴＰはそれぞれ１つのタスクのみを含むものとして図示しているが、実際には、１以上のタスクが含まれている。例えば、通常制御用のＴＰ２内には、通常制御タスクＡ及び通常制御タスクＢの２つのタスクが含まれていてもよい。
【００５３】
安全監視タスク２４は、安全監視アプリケーション１０１の起動によって生成されるタスクである。図４の例では、安全監視タスク２４は、ＴＰ１及びＲＰ１に割り当てられている。安全監視タスク２４は、非安全関連アプリケーションである通常制御タスク２６の実行状況の監視と、安全関連アプリケーションである安全制御タスク２８の実行状況の監視と、Ｉ／Ｏポート１２の入出力データを監視する。さらに、安全監視タスク２４は、タスクの実行状況を、パーティションスケジューラ２１へ通知する。
【００５４】
通常制御タスク２６は、通常制御アプリケーション１０２の起動によって生成されるタスクである。図４の例では、通常制御タスク２６は、ＴＰ２及びＲＰ２に割り当てられている。通常制御タスク２６は、サービスロボット等の制御対象に通常の機能・動作を行わせるための制御を行う。さらに、通常制御タスク２６は、タスクの実行状況を、パーティションスケジューラ２１へ通知する。
【００５５】
安全制御タスク２８は、安全制御アプリケーション１０３の起動によって生成されるタスクである。図４の例では、安全制御タスク２８は、ＴＰ３及びＲＰ３に割り当てられている。安全制御タスク２８は、何らかの異常が検出された場合に対応して、機能安全を確保するために定められた制御を行う。さらに、安全制御タスク２８は、タスクの実行状況を、パーティションスケジューラ２１へ通知する。なお、各タスクからパーティション２１へと結果を通知する具体的な構成としては、様々な手法を採用することができる。例えば、タスクがＯＳ１００のシステムコール（サービスコール）を呼び出し、ＯＳ１００を介して、パーティションスケジューラ２１に結果を通知することができる。また、例えば、タスクの実行状況に関するフラグを実行用メモリ１１に格納するものとして、タスクがその実行状況に応じてフラグの値を設定し、パーティションスケジューラ２１がフラグの設定値に応じてタスクの実行状況を判断することもできる。
【００５６】
上述したように、パーティションスケジューラ２１が１Ｔｉｃｋごとに動作し、ＴＰ１〜ＴＰ３のいずれをアクティブにするかを選択・決定する。さらに、パーティションスケジューラ２１が、選択したＴＰに関するタスクスケジューラの動作を開始させる。そして、タスクスケジューラ２３、２５、２７が動作を開始することでタスクのスケジューリングが行われ、プロセッサ１０が、タスクスケジューラ２３、２５、２７によりスケジューリングされた順序に従って、ＴＰ内でのタスクを実行していく。これによって、アクティブなＴＰに割り当てられているアプリケーションが、プロセッサ１０で実行される。
【００５７】
続いて以下では、パーティションスケジューラ２１によるパーティション・スケジューリングについて、図６を用いて説明する。図６は、パーティションスケジューラ２１の処理手順の具体例を示すフローチャートである。なお、図６では、通常制御スケジューリングパターン（例えば図５Ａ）または安全制御スケジューリングパターン（例えば図５Ｂ）に従って、スケジューリングを実行する場合を例に説明する。すなわち、ＴＰ２またはＴＰ３に続く次のＴＰはＴＰ１であり、かつ、ＴＰ２での異常がＴＰ１で検知された場合に、ＴＰ１からの結果を受けて次に選択・決定されるＴＰはＴＰ３である場合を例に説明する。
【００５８】
まず、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、ＴＰＸのタスクスケジューラを動作させる（Ｓ１１）。ここで、変数ＸはＴＰの番号を示し、Ｘは１以外の値とする。すなわち、Ｓ１１では、安全監視用のＴＰ１を除いた、ＴＰ２又はＴＰ３のいずれかを動作させる。
【００５９】
Ｓ１１で動作を開始したＴＰＸのタスクスケジューラは、ＴＰＸ内のタスクを優先度に応じて実行する（Ｓ１２）。そして、１Ｔｉｃｋが経過すると、パーティションスケジューラ２１が、ＴＰのスケジューリングを開始する（Ｓ１３）。すなわち、パーティションスケジューラ２１は、スケジューリングパターンに従って、次の１Ｔｉｃｋの間にいずれのＴＰをアクティブにするかを選択・決定する。
【００６０】
パーティションスケジューラ２１は、次にアクティブにするＴＰを変更しない（Ｓ１４でＮｏ）場合には、Ｓ１１に戻り、同一のＴＰＸについての動作を継続させる。このため、ＴＰＸの切り替えタイミングとなるまでの間、Ｓ１１〜Ｓ１４までの処理が繰り返される。
【００６１】
パーティションスケジューラ２１は、次にアクティブにするＴＰを変更する（Ｓ１４でＹｅｓ）場合には、その変更するタイムパーティションのタスクスケジューラを動作させる（Ｓ１５）。ここでは、ＴＰ１のタスクスケジューラを動作させる。そして、ＴＰ１のタスクスケジューラ２３が、ＴＰ１内のタスクを優先度に応じて実行する（Ｓ１６）。
【００６２】
ＴＰ１で実行される安全監視タスク２４は、通常制御タスク２６の実行状況の監視と、Ｉ／Ｏポート１２の入出力データの監視を行い、これらが正常であるか判断する（Ｓ１７）。判断の結果、異常であると判断した（Ｓ１８でＮｏ）場合、安全監視タスク２４は、パーティションスケジューラ２１に対して、その結果を通知する（Ｓ１９）。
【００６３】
１Ｔｉｃｋが経過すると、パーティションスケジューラ２１が、再びスケジューリングを開始する（Ｓ２０）。パーティションスケジューラ２１は、スケジューリングパターンに従って、次の１Ｔｉｃｋの間にいずれのＴＰをアクティブにするかを選択・決定し、次にアクティブにするＴＰを変更しない（Ｓ２１でＮｏ）場合には、Ｓ１５に戻り、ＴＰ１についての動作を継続させる。
【００６４】
パーティションスケジューラ２１は、次にアクティブにするＴＰを変更する（Ｓ２１でＹｅｓ）場合には、さらに、Ｓ１９でのＴＰ１からの通知結果に応じて、ＴＰＸが正常であったか否かを判断する（Ｓ２２）。判断の結果、異常であった（Ｓ２２でＮｏ）場合、パーティションスケジューラ２１は、次の１Ｔｉｃｋの間にアクティブにするＴＰとして、ＴＰ３を選択・決定する（Ｓ２３）。
【００６５】
判断の結果、正常であった（Ｓ２２でＹｅｓ）場合、パーティションスケジューラ２１は、次の１Ｔｉｃｋの間にアクティブにするＴＰとして、ＴＰ１とＴＰ３以外のＴＰＸを選択・決定する（Ｓ２４）。
【００６６】
図６で示した処理に関して、パーティション・スケジューリングの具体例を説明する。
まず、図５Ａに例示した通常制御スケジューリングパターンに従って、Ｓ１１においてスケジューリングを開始した場合を説明する。この場合、Ｓ１１ではＴＰＸ＝ＴＰ２として開始し、Ｓ１２〜Ｓ１４にかけてもＴＰＸ＝ＴＰ２のままである。そして、Ｓ１５でＴＰ２からＴＰ１へと変更され、Ｓ１５〜Ｓ２１にかけてＴＰ１のままである。Ｓ１８でＴＰ２に関する実行状況（データ入出力）が正常であると判定されていた場合には、Ｓ２４では、ＴＰＸ＝ＴＰ２となる（つまり、ＴＰ２から開始する通常制御スケジューリングパターンが継続される。）。一方で、Ｓ１８でＴＰ２に関する実行状況（データ入出力）が異常であると判定されていた場合には、Ｓ２３で、ＴＰＸ＝ＴＰ３となる（つまり、ＴＰ３から開始する安全制御スケジューリングパターンに切り替わる。）。
【００６７】
また、図５Ｂに例示した安全制御スケジューリングパターンに従って、Ｓ１１においてスケジューリングを開始した場合を説明する。この場合、Ｓ１１ではＴＰＸ＝ＴＰ３として開始し、Ｓ１２〜Ｓ１４にかけてもＴＰＸ＝ＴＰ３のままである。そして、Ｓ１５でＴＰ３からＴＰ１へと変更され、Ｓ１５〜Ｓ２１にかけてＴＰ１のままである。Ｓ１８でＴＰ３に関する実行状況（データ入出力）が正常であると判定されていた場合には、Ｓ２４では、ＴＰＸ＝ＴＰ２となる（つまり、ＴＰ２から開始する通常制御スケジューリングパターンに切り替わる。）。一方で、Ｓ１８でＴＰ３に関する実行状況（データ入出力）に異常があると判定されていた場合には、Ｓ２３で、ＴＰＸ＝ＴＰ３となる（つまり、ＴＰ３から開始する安全制御スケジューリングパターンが継続される。）。
【００６８】
なお、上述の例では、スケジューリングパターンとして、３つのＴＰ（安全監視用のＴＰ１、通常制御用のＴＰ２、安全制御用のＴＰ３）のみを組み合わせた場合を例に説明したが、ＴＰ２のような通常制御用パーティションや、ＴＰ３のような安全制御用パーティションについては、それぞれ複数個存在するものとしてもよい。例えば、２つの通常制御用のＴＰ２及びＴＰ４と、安全監視用のＴＰ１と、２つの安全制御用のＴＰ３及びＴＰ５と、が存在し、これら５つのＴＰ（ＴＰ１〜ＴＰ５）を組み合わせてスケジューリングパターンを構成してもよい。この場合、Ｓ２３では、パーティションスケジューラ２１が、ＴＰＸに関する実行状況（データ入出力）の異常状態の種類を判定し、その異常種類に応じて、安全制御用のＴＰ３またはＴＰ５のいずれかを選択すればよい。また、Ｓ２４では、通常制御用のＴＰ２またはＴＰ４のいずれかを選択すればよい。
【００６９】
上述したように、本実施の形態では、ＯＳ１００は、安全監視用のＴＰ１からの通知、または、各ＴＰからの通知に応じて、次にアクティブとするパーティションを選択・決定するパーティションスケジューラ２１を備えている。パーティションスケジューラ２１は、各ＴＰ内で実行されるタスクとは独立して、所定のタイマー周期で動作する。所定のタイマー周期で独立して動作するパーティションスケジューラ２１がパーティション・スケジューリング機能を有することで、以下の効果を奏することができる。
【００７０】
まず、一般的に、通常制御タスク２６の実行時間を十分に確保するために、安全監視タスク２４の実行時間を可能な限り短縮したいという要求がある。従来技術（例えば特許文献１）では、安全監視タスク２４が、通常制御タスク２６の実行状況の監視と、Ｉ／Ｏポート１２の入出力データの監視と、に加えて、スケジューリングパターンの選択・決定についても行っていたために、この選択・決定に要する実行時間についても、安全監視タスク２４が属するＴＰ２に関して割り当てておく必要があった。
【００７１】
また、機能安全の確保を保証するためには、基本的には、安全監視タスク２４と通常制御タスク２６とが交互に実行される必要がある。このため、従来技術では、通常制御タスク２６の実行に伴って安全監視タスク２４によるスケジューリングパターンの選択・決定までもが毎回実行されることになり、複数のサイクルにわたって合計すると、多くの実行時間を、安全監視タスク２４によるスケジューリングパターンの選択・決定のために要することになってしまう。
【００７２】
これに対して、本実施の形態によれば、安全監視タスク２４自体は、スケジューリングパターンの選択・決定を実行する必要がない。また、パーティションスケジューラ２１がスケジューリングパターンの選択・決定に要する実行時間は短時間で済む。このため、従来技術と比較して、安全監視用のＴＰ１はより短時間の割り当てで済み、かつ、通常制御用のＴＰ２にはより長時間の割り当てを行うことができるという効果を奏する。
【００７３】
さらに、図６で例示した処理では、パーティションスケジューラ２１が、ＴＰ１からの結果通知に応じて、安全制御用のＴＰ３を選択・決定する（Ｓ２３）、または、通常制御用のＴＰ２を選択・決定する（Ｓ２４）ものとして説明したが、本発明はこれに限定されない。例えば、安全監視用のＴＰ１のみからパーティションスケジューラ２１に対して結果を通知する構成に代えて、ＴＰ１〜ＴＰ３のそれぞれからパーティションスケジューラ２１に対して実行状況結果を通知する構成とし、パーティションスケジューラ２１が、各ＴＰからの結果通知に応じて、安全制御用のＴＰ３を選択・決定するものとしてもよい。
【００７４】
各ＴＰとは独立に動作するパーティションスケジューラ２１が、全てのＴＰから結果通知を受ける構成を採用することで、パーティションスケジューラ２１は、全てのＴＰに関する状況を一元的に把握することができる。このため、例えば、パーティションスケジューラ２１が、各ＴＰからの結果通知に基づいて各ＴＰの状況を考慮した上で、実行が不要なＴＰについてはスキップするなどの判断を実行することができる。従って、実行が不要なタイムパーティションのみを意図的にスキップすることができるという効果を奏する。また、例えば、パーティションスケジューラ２１が、安全監視用のＴＰ１からの結果通知に基づいて各ＴＰの状況を考慮した上で、正常状態にあるＴＰのみから次のパーティションを決定・選択することができる。従って、従来技術と比較して、より正確なパーティション・スケジューリングを実現することができるという効果を奏する。
【００７５】
続いて以下では、リセット回路１４を用いたマイクロコントローラ１５のリセット機構について、図７及び図８を用いて説明する。図７及び図８は、リセット回路１４を用いたマイクロコントローラ１５のリセット処理手順の具体例を示すフローチャートである。
【００７６】
本実施の形態では、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、マイクロコントローラ１５のリセット機能を有している。パーティションスケジューラ２１は、ＯＳ１００における異常を検出した場合に、リセット回路１４と連動して異常処置を行う。リセット回路１４は、パーティションスケジューラ２１からの信号に基づき、マイクロコントローラ１５のリセットを行う。
【００７７】
まず、図７を用いて、リセット回路１４を用いたマイクロコントローラ１５のリセット処理手順の具体例について説明する。図７に示す処理では、パーティションスケジューラ２１からリセット指示信号を受けた場合に、リセット回路１４がマイクロコントローラ１５をリセットするものである。なお、図７では、ＴＰＸは、ＴＰ１とＴＰ３以外のＴＰである。
【００７８】
まず、Ｓ３１〜Ｓ３３では、パーティションスケジューラ２１がＴＰＸの動作を開始させることで、次にアクティブにするＴＰが変更されるまでの間、ＴＰＸに関する処理が実行される。そして、パーティションスケジューラ２１がＴＰ１のタスクスケジューラ２３の動作を開始させた（Ｓ３４）後に、ＴＰ１に属する安全監視タスク２４が、ＴＰＸに関する処理（入出力）が正常であったかを判断する（Ｓ３５）。判断の結果、正常であった（Ｓ３５でＹｅｓ）場合、Ｓ３１に戻り、同一のＴＰＸについての動作が継続される。
【００７９】
判断の結果、異常であった（Ｓ３５でＮｏ）場合、ＴＰ１に属する安全監視タスク２４が、ＴＰＸでの異常がＴＰ３に属する安全制御タスク２８で対応可能な異常であるかを判断する（Ｓ３６）。ＴＰ３で対応可能な異常ではなかった（Ｓ３６でＮｏ）場合、ＴＰ１に属する安全監視タスク２４が、パーティションスケジューラ２１に対して、緊急停止を有する異常であることを通知する（Ｓ３７）。ＴＰ１に属する安全監視タスク２４からの通知を受けたパーティションスケジューラ２１が、リセット回路１４にリセット指示信号を出力し、リセット指示信号を受けたリセット回路１４がマイクロコントローラ１５のリセットを行う（Ｓ３８）。
【００８０】
ＴＰ３で対応可能な異常であった（Ｓ３６でＹｅｓ）場合、ＴＰ１に属する安全監視タスク２４は、パーティションスケジューラ２１に対して、ＴＰＸが異常であることを通知する（Ｓ３９）。ＴＰ１からの通知を受けたパーティションスケジューラ２１は、ＴＰＸからＴＰ３へと切り替える（Ｓ４０）。
【００８１】
次に、図８を用いて、リセット回路１４を用いたマイクロコントローラ１５のリセット処理手順の他の具体例について説明する。図８に示す処理では、パーティションスケジューラ２１からリセット回路１４に定期的に信号を送信し、リセット回路１４は、パーティションスケジューラ２１からの送信信号が途絶えた場合に、マイクロコントローラ１５をリセットするものである。なお、図８では、ＴＰＸは、ＴＰ１とＴＰ３以外のＴＰである。
【００８２】
図７のＳ３１〜Ｓ３５にかけての処理と比較して、図８のＳ５３では、パーティションスケジューラ２１が１Ｔｉｃｋごとに動作する点が明確化され、また、Ｓ５４及びＳ５５で、パーティションスケジューラ２１がリセット回路１４に定期的に信号を送信する点で異なっている。その他の図８に示すＳ５１〜Ｓ５７にかけての処理は、図７に示したＳ３１〜Ｓ３５にかけての処理と基本的に同一である。
【００８３】
また、図７のＳ３６〜Ｓ４０にかけての処理と比較して、図８のＳ６０では、パーティションスケジューラ２１がリセット回路１４への送信信号を停止し、Ｓ６３では、パーティションスケジューラ２１がリセット回路１４への信号を送信する点で異なっている。さらに、図８のＳ６１では、パーティションスケジューラ２１からの送信信号が途絶えたことに応じて、リセット回路１４がマイクロコントローラ１５のリセットを行う点で異なっている。その他の図８に示すＳ５８〜Ｓ６４にかけての処理については、図７に示したＳ３６〜Ｓ４０にかけての処理と基本的に同一である。
【００８４】
さらに、図８のＳ７１及びＳ７２に示すように、Ｓ５１〜Ｓ６４にかけての処理と並行して、パーティションスケジューラ２１において不具合が発生した場合、または、パーティションスケジューラ２１からリセット回路１４への信号線において不具合が発生した場合には、パーティションスケジューラ２１からリセット回路１４への送信信号が伝達されなくなる。この場合にも、パーティションスケジューラ２１からの送信信号が途絶えたことに応じて、リセット回路１４がマイクロコントローラ１５のリセットを行う（Ｓ６１）。
【００８５】
図８に示した処理によれば、パーティションスケジューラ２１からリセット回路１４へ意図的にリセット指示を行う場合に加えて、パーティションスケジューラ２１自身が何らかの原因により正常に動作しない場合、または、パーティションスケジューラ２１からリセット回路１４へ送信信号を伝達する信号線に不具合が発生した場合においても、マイクロコントローラ１５のリセットを確実に行うことができる。また同時に、ＴＰの切り替えが、１Ｔｉｃｋごとに正常に実行されているかについても保証することができる。
【００８６】
なお、図７及び図８では、パーティションスケジューラ２１は、ＴＰ１からの結果通知に応じて、リセット回路１４へのリセット指示信号の出力、または、リセット回路１４への送信信号の停止を行うものとして説明したが、ＴＰ１〜ＴＰ３のいずれかからの結果通知に応じて、リセット回路１４へのリセット指示信号の出力、または、リセット回路１４への送信信号の停止を行うものとしてもよい。
【００８７】
＜発明の実施の形態２＞
本実施の形態にかかる安全制御装置は、上述した安全制御装置１の変形である。本実施の形態にかかる安全制御装置の全体的な構成は、図１に示した安全制御装置１の構成と同様とすればよい。また、本実施の形態にかかる安全制御装置が有するＯＳによって提供されるタスク実行環境は、図４に示したタスク実行環境の構成と同様とすればよい。
【００８８】
本実施の形態では、パーティションスケジューラ２１が、タイムパーティション内でタスクが必要とする実行時間に応じて、マイクロコントローラ１５の動作周波数を変更することを特徴とする。
【００８９】
なお、マイクロコントローラ１５の動作周波数とパーティションスケジューラ２１の動作周期（１Ｔｉｃｋごと）は、共に、同一の外部のクロック源からのクロック信号に基づいて決定されるが、マイクロコントローラ１５の動作周波数を変更する際には、マイクロコントローラ１５の動作周波数のみを独立に変更するものとしてもよい。あるいは、マイクロコントローラ１５の動作周波数とパーティションスケジューラ２１の動作周期（１Ｔｉｃｋごと）とが同期するものとして、パーティションスケジューラ２１が動作する１Ｔｉｃｋ時間、割り当てＴｉｃｋ数、及び実行時間と、変更後のマイクロコントローラ１５の動作周波数と、の整合性がとれるように、所定の演算式を用いて、変更後のマイクロコントローラ１５の動作周波数を求めるものとしてもよい。
【００９０】
次に、図９及び図１０を用いて、本実施の形態にかかる安全制御装置１による処理について、より詳細に説明する。本実施の形態では、パーティションスケジューラ２１が、実行テーブル（例えば図９）を保持している。そして、パーティションスケジューラ２１が、実行テーブルを参照して、タイムパーティション内でタスクが必要とする実行時間に応じて、マイクロコントローラ１５の動作周波数を変更する。なお、実行テーブルに関しては、パーティションスケジューラ２１が参照可能であればよく、パーティションスケジューラ２１が実行テーブルを保持するものとしてもよいし、ＯＳ１００が、パーティションスケジューラ２１とは独立して実行テーブルを保持するものとしてもよい。
【００９１】
図９は、実行テーブルの具体例を示している。パーティション名の列には、タイムパーティション名が設定されている。割り当てＴｉｃｋの列には、各タイムパーティションに割り当てるＴｉｃｋ数が設定されている。実行時間の列には、各タイムパーティションに割り当てられた実行時間に対して、タスクが実際に実行に必要とする実行時間の割合が設定されている。なお、実行テーブルのこれらの設定は、ユーザによって適当な値が予め設定される。
【００９２】
図１０は、本実施の形態に係るパーティションスケジューラ２１の処理手順の具体例を示すフローチャートである。
まず、１Ｔｉｃｋごとに動作するパーティションスケジューラ２１が、スケジューリングパターンに従って、タイムパーティションをスケジューリングする（Ｓ８１）。
【００９３】
パーティションスケジューラ２１は、Ｓ８１でスケジューリングされた次のタイムパーティションに関して、実行テーブルを参照する（Ｓ８２）。パーティションスケジューラ２１は、実行テーブルを参照して、次のタイムパーティションに関する、割り当てＴｉｃｋと、実行時間と、を取得する。
【００９４】
パーティションスケジューラ２１は、次のタイムパーティションが割り込み処理専用タイムパーティションであるかを判断する（Ｓ８３）。割り込み処理専用タイムパーティションでなかった（Ｓ８４でＮｏ）場合、パーティションスケジューラ２１は、次のタイムパーティションに関する実行時間に基づいて、マイクロコントローラ１５の動作周波数を低下させる（Ｓ８５）。具体的には、例えば、マイクロコントローラ１５には、その動作周波数を設定するためのレジスタが備えられており、変更したい動作周波数の値をパーティションスケジューラ２１が前記レジスタに設定することで、マイクロコントローラ１５の動作周波数を変更することができる。
【００９５】
マイクロコントローラ１５の動作周波数を最も低くさせる場合、タイムパーティションに割り当てられていた時間を１００％使用してタスクが実行される程度にまで低下させることができる。例えば、実行テーブルに設定された実行時間が５０％である場合には、マイクロコントローラ１５の動作周波数は、最も低い場合で、５０％の動作周波数まで低下させることができる。
【００９６】
パーティションスケジューラ２１は、例えば図９に示した実行テーブルを参照した場合に、ＴＰ２に関しての動作周波数を５０％（２分の１）の動作周波数に低下させることができる。この場合、ＴＰ２内でのタスクの実行処理速度が５０％となるため、ＴＰ２内で実際に実行されるタスクは、２倍の時間をかけて実行されることになる。この結果、ＴＰ２内で実際に実行されるタスクの実行時間は、もともとは１Ｔｉｃｋ相当分の実行時間（２Ｔｉｃｋが割り当てられていたうちの５０％）であったのが、あたかも２Ｔｉｃｋ相当分の時間で実行されることになる。このため、ＴＰ２内では、無駄な処理が何ら実行されないことになる。つまり、ＴＰ２に割り当てられていた時間を１００％使用して、タスクが実行されるようになる。また、ＴＰ１に関しては、７５％（４分の３）の動作周波数に低下させることができる。
【００９７】
また、動作周波数を低下させる際には、各ＴＰに割り当てられたＴｉｃｋの時間全てを利用して実行することに代えて、低下後の動作周波数に基づいてマイクロコントローラ１５を動作させた場合に、タイムパーティションに割り当てられた時間に対してタスクによる実行時間が所定の割合に収まるように、マイクロコントローラ１５の動作周波数を低下させるようにしてもよい。具体的には、割り当てられたＴｉｃｋの時間分のＸ％を利用して実行できるように、マイクロコントローラ１５の動作周波数を低下させるようにしてもよい。例えば、Ｘ＝８０と設定すれば、割り当てられたＴｉｃｋの時間分の８０％を利用して実行できるように、マイクロコントローラ１５の動作周波数を低下させることになる。これにより、動作周波数を低下させた場合においても、残りの２０％分の時間を利用することができ、例えば、同一のタイムパーティション内で突発的に発生する割り込み処理について、この残った時間内で対応することができる。
【００９８】
図１０に戻り説明を続ける。次のタイムパーティションが割り込み処理専用タイムパーティションであった（Ｓ８４でＹｅｓ）場合、パーティションスケジューラ２１は、次のタイムパーティションにおいて、処理すべき割り込み処理が存在するか否かを判断する（Ｓ８６）。処理すべき割り込み処理が存在しなかった（Ｓ８５でＮｏ）場合には、パーティションスケジューラ２１は、次のタイムパーティションに関する実行時間に基づいて、マイクロコントローラ１５の動作周波数を所定の動作周波数に低下させる（Ｓ８７）。
【００９９】
割り込み処理専用タイムパーティションにおいて、処理すべき割り込み処理が存在した（Ｓ８５でＹｅｓ）場合には、パーティションスケジューラ２１は、まずは割り込み処理を実行する。パーティションスケジューラ２１は、割り込み処理の実行が終了されて同一タイムパーティション内で時間が余っていた場合には、マイクロコントローラ１５の動作周波数を所定の動作周波数に低下させる（Ｓ８８）。具体的に述べると、例えば、パーティションスケジューラ２１は、割り込み処理が終了又は休止したことを検出することで割り込み処理の終了の判定を行い、割り込み処理が終了していた場合には、割り込み処理専用タイムパーティションに割り当てられていたＴｉｃｋ数から、割り込み処理終了時までに経過したＴｉｃｋ数を減算することで、余りのＴｉｃｋがあるかどうか（すなわち、時間が余っているか）を判断することができる。
【０１００】
なお、Ｓ８７及びＳ８８では、割り込み処理専用タイムパーティションにおいて、処理すべき割り込み処理が存在しない、または、割り込み処理が終了したのであるから、マイクロコントローラ１５の動作周波数を所定の動作周波数をまで低下させる。所定の動作周波数は、ユーザによって適当な値が予め設定され、システムの制御に問題を及ぼさない範囲で最も低い動作周波数とすればよい。
【０１０１】
Ｓ８５、Ｓ８７、及びＳ８８において、マイクロコントローラ１５の動作周波数を低下させた場合には、低下後の動作周波数で動作するプロセッサ１０によってタスクが実行される。そして、１Ｔｉｃｋが経過した後には、Ｓ８１へと戻り処理が続けられ、次のタイムパーティションがスケジューリングされる。そして、Ｓ８３乃至Ｓ８８にかけて、次のタイムパーティションに関する実行時間に基づいて、変更すべきマイクロコントローラ１５の動作周波数が決定され、その決定された動作周波数へと変更される。
【０１０２】
以上に説明した本実施の形態によれば、パーティション内で、実際に必要となるタスクの実行時間は予め分かっている。このため、各パーティションへの割り当て時間を可能な限り無駄なく利用してタスクの実行を進めることができるように、パーティションスケジューラ２１が、必要実行時間が設定された実行テーブルを参照して、マイクロコントローラ１５の処理速度を抑制する。これによって、消費電力を抑制することができる。
【０１０３】
さらに、本発明は上述した実施の形態のみに限定されるものではなく、既に述べた本発明の要旨を逸脱しない範囲において種々の変更が可能であることは勿論である。例えば、上述した各実施の形態それぞれを実施するものとしてもよいし、複数の実施の形態を組合せて実施するものとしてもよい。
【符号の説明】
【０１０４】
１  安全制御装置
１０  プロセッサ
１１  実行用メモリ
１２  Ｉ／Ｏポート
１３  不揮発性メモリ
１４  リセット回路
１５  マイクロコントローラ
２１  パーティションスケジューラ
２２  スケジューリングテーブル
２３、２５、２７  タスクスケジューラ
２４  安全監視タスク
２６  通常制御タスク
２８  安全制御タスク
１００  オペレーティングシステム
１０１  安全監視アプリケーション
１０２  通常制御アプリケーション
１０３  安全制御アプリケーション
【図１】
2012104900.tif 000003
【図２】
2012104900.tif 000004
【図３】
2012104900.tif 000005
【図４】
2012104900.tif 000006
【図５Ａ】
2012104900.tif 000007
【図５Ｂ】
2012104900.tif 000008
【図６】
2012104900.tif 000009
【図７】
2012104900.tif 000010
【図８】
2012104900.tif 000011
【図９】
2012104900.tif 000012
【図１０】
2012104900.tif 000013
【図１１Ａ】
2012104900.tif 000014
【図１１Ｂ】
2012104900.tif 000015
【図１２】
2012104900.tif 000016
【手続補正書】
【提出日】平成23年12月14日(2011.12.14)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
少なくとも１つのプロセッサを含むハードウェア資源と、
プログラムに対する前記プロセッサの実行時間の割り当てを制御するためのシステムプログラムと、を備え、
前記システムプログラムは、前記プログラムに前記実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラを一部に有し、
前記プロセッサは、前記システムプログラムを実行することによって、前記パーティションスケジューラを周期的に動作させ、
前記パーティションスケジューラは、前記タイムパーティションに割り当てられた時間に対して当該タイムパーティション内における前記プログラムが実行に必要とする実行時間が占める割合に応じて、当該タイムパーティションにおける前記ハードウェア資源の動作周波数を低下させる
安全制御装置。
【請求項２】
前記システムプログラムは、前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを一部に有し、
前記パーティションスケジューラは、前記実行テーブルを参照して、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１に記載の安全制御装置。
【請求項３】
前記パーティションスケジューラは、低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１または２に記載の安全制御装置。
【請求項４】
前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を変更しない
ことを特徴とする請求項１乃至３いずれか１項に記載の安全制御装置。
【請求項５】
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項４に記載の安全制御装置。
【請求項６】
前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１乃至３いずれか１項に記載の安全制御装置。
【請求項７】
前記パーティションスケジューラは、
前記ハードウェア資源の動作周波数を所定の動作周波数まで低下させる
ことを特徴とする請求項５又は６に記載の安全制御装置。
【請求項８】
プログラムにプロセッサの実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを前記プロセッサに選択・決定させるべく周期的に動作するステップと、
次にスケジューリングするタイムパーティションに割り当てられた時間に対して当該タイムパーティション内における前記プログラムが実行に必要とする実行時間が占める割合に応じて、当該タイムパーティションにおける前記プロセッサを含むハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップと、
を備える制御対象の安全制御方法。
【請求項９】
前記安全制御方法は、
前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを参照して、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項８に記載の安全制御方法。
【請求項１０】
前記安全制御方法は、
低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項８または９に記載の安全制御方法。
【請求項１１】
前記スケジューリングパターンには、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションが更に含まれ、
前記安全制御方法は、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を前記プロセッサにより変更しない
ことを特徴とする請求項８乃至１０いずれか１項に記載の安全制御方法。
【請求項１２】
前記安全制御方法は、
前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップを更に備える
ことを特徴とする請求項１１に記載の安全制御方法。
【請求項１３】
前記スケジューリングパターンには、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションが更に含まれ、
前記安全制御方法は、
前記割り込み処理専用タイムパーティションを含む前記スケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定し、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項８乃至１０いずれか１項に記載の安全制御方法。
【請求項１４】
前記安全制御方法は、
前記ハードウェア資源の動作周波数を前記プロセッサに所定の動作周波数まで低下させるべく動作する
ことを特徴とする請求項１２又は１３に記載の安全制御方法。
【手続補正書】
【提出日】平成25年7月5日(2013.7.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
少なくとも１つのプロセッサを含むハードウェア資源と、
プログラムに対する前記プロセッサの実行時間の割り当てを制御するためのシステムプログラムと、を備え、
前記システムプログラムは、前記プログラムに前記実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを選択・決定するパーティションスケジューラを一部に有し、
前記プロセッサは、前記システムプログラムを実行することによって、前記パーティションスケジューラを周期的に動作させ、
前記パーティションスケジューラは、前記タイムパーティションに割り当てられた時間に対して当該タイムパーティション内における前記プログラムが実行に必要とする実行時間が占める割合に応じて、当該タイムパーティションにおける前記ハードウェア資源の動作周波数を低下させ、
前記スケジューリングパターンは、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションを更に含み、
前記パーティションスケジューラは、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を変更しない
安全制御装置。
【請求項２】
前記システムプログラムは、前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを一部に有し、
前記パーティションスケジューラは、前記実行テーブルを参照して、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１に記載の安全制御装置。
【請求項３】
前記パーティションスケジューラは、低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１または２に記載の安全制御装置。
【請求項４】
前記パーティションスケジューラは、
前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１乃至３のいずれか１項に記載の安全制御装置。
【請求項５】
前記パーティションスケジューラは、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を低下させる
ことを特徴とする請求項１乃至４のいずれか１項に記載の安全制御装置。
【請求項６】
前記パーティションスケジューラは、
前記ハードウェア資源の動作周波数を所定の動作周波数まで低下させる
ことを特徴とする請求項４又は５に記載の安全制御装置。
【請求項７】
プログラムにプロセッサの実行時間を割り当てるタイムパーティションを含むスケジューリングパターンに従って、次にスケジューリングするタイムパーティションを前記プロセッサに選択・決定させるべく周期的に動作するステップと、
次にスケジューリングするタイムパーティションに割り当てられた時間に対して当該タイムパーティション内における前記プログラムが実行に必要とする実行時間が占める割合に応じて、当該タイムパーティションにおける前記プロセッサを含むハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップと、を備え、
前記スケジューリングパターンには、割り込み処理プログラムに前記実行時間を割り当てる割り込み処理専用タイムパーティションが更に含まれ、
前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップでは、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行される場合には、前記ハードウェア資源の動作周波数を前記プロセッサにより変更しない
制御対象の安全制御方法。
【請求項８】
前記安全制御方法は、
前記タイムパーティション内における前記プログラムが実行に必要とする実行時間の占める割合が、タイムパーティションごとに予め設定された実行テーブルを参照して、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項７に記載の安全制御方法。
【請求項９】
前記安全制御方法は、
低下後の動作周波数に基づいて前記ハードウェア資源を動作させた場合に、前記タイムパーティションに割り当てられた時間に対して前記プログラムによる実行時間が所定の割合に収まるように、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項７または８に記載の安全制御方法。
【請求項１０】
前記安全制御方法は、
前記割り込み処理専用タイムパーティション内における前記割り込み処理プログラムの実行が終了した場合には、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作するステップを更に備える
ことを特徴とする請求項７乃至９のいずれか１項に記載の安全制御方法。
【請求項１１】
前記安全制御方法は、前記割り込み処理専用タイムパーティション内において前記割り込み処理プログラムが実行されない場合には、前記ハードウェア資源の動作周波数を前記プロセッサに低下させるべく動作する
ことを特徴とする請求項７乃至１０のいずれか１項に記載の安全制御方法。
【請求項１２】
前記安全制御方法は、
前記ハードウェア資源の動作周波数を前記プロセッサに所定の動作周波数まで低下させるべく動作する
ことを特徴とする請求項１０又は１１に記載の安全制御方法。
【国際調査報告】
2012104900.tif 000017
2012104900.tif 000018