JPH07507893A - プロセス制御コンピュータ用保安フロントエンド通信システムおよび方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 プロセス制御コンピュータ用保安フロントエンド通信システムおよび方法 発明の背景 本発明は一般にプロセス制御コンピュータとプラント／ローカルエリアネットワ ークとの間の“フロントエンド”通信技術に関し、特にプロセス制御コンピュー タの動作に影響しうるプラントエリアネットワークからのメツセージを安全に処 理することのできるフロントエンド通信システムに関する。

化学プラントおよび他の比較的規模の大きい処理プラントでは、制御コンピュー タとオペレータワークステーションのネットワークがそのプラント内で進行する 物理的なプロセスの自動制御を行うために必要である。例えば、１９８７年５月 ５日発行のジエーン他の米国特許第４．６６３．７０４号明細書には単一データ ハイウェイが、様々な入力／出力端末、データ獲得ステーション・制御装置、お よび記録保持装置等に接続されているプラントに関する分散型処理システムが開 示されて（する。同様に１９８６年８月１９日発行のヘンツエルの米国特許第４ ，６０７．２５６号明細書にはネットワーク内の物理的なコンピュータモジュー ルにデータを送るためにブランド制御バスを利用するプラント管理システムが示 されている。

それらプロセス制御コンピュータネットワークのあるものにおいてはプラント制 御およびモニタシステムの信頼性を高めるために冗長プロセス制御コンピュータ が用いられる。例えば、１９９１年４月６日付のフィービック他の米国特許第５ ，００８，８０５号明細書は発信プロセッサからのネットワークを介して送られ る制御メツセージとの比較のための制御スケジュールテーブルを同期的に処理す る１ホツトスタンバイ”冗長プロセッサを含むネットワーク型制御システムを示 している。この冗長受信プロセッサは発信プロセッサの故障の際、そのシステム の制御を行うように特記しているメモリに重複構成を維持する。他の例として、 １９９０年９月１８日付のマクロ−リン他の米国特許第４，９５８．２７０号明 細書は主コントローラと二次コントローラを用いるネットワーク型制御システム を示している。主データベースとそのデータベースの二次イメージとの間の一致 を維持するために、更新機能の効率を上げるための方法として変更された予定の 領域のみを更新する。同様に、１９８９年１０月３日付のスレータの米国特許第 ４，８７２゜１０６号明細書は主データプロセッサとバックアップデータプロセ ッサを用いるネットワーク型制御システムを示している。通常このバックアップ プロセッサはバックアップ動作モードとなっており、入力／出力装置についての 行うためあるいは入力／出力装置の状態に関するデータを受けるためには動作し ない。従って、入力／出力装置の制御は主プロセツサによってのみ行われる。し かしながら、主プロセツサは入力／出力装置の制御におけるその動作に関する状 態データを周期的にバックアッププロセッサに、それらプロセッサ間に接続した デュアルポートメモリを介して転送する。

上記ネットワーク型制御システムに対し、冗長プロセス制御コンピュータ用の他 の制御技術があり、二つのプロセス制御コンピュータは共に入力データで動作し て同一の出力装置に制御コマンドを出す。この形式の制御技術は、夫々の冗長プ ロセス制御コンピュータが共通の入力データにより独立して同時に動作するため に、アクティブリダンダンシ（以下、「活性的に冗長」ともいう）と呼ぶことが できる。この型式の制御技術が“三重冗長リモートフィールドユニットを有する プロセス制御インタフェースシステム１と題する１９９１年３月３１日付のグレ ーザ他の米国特許出願第０７／８６４，９３１号で論じられている。この出願は 本願の先行技術である。

制御技術としてアクティブリダンダンシを用いることにより、各活性的に冗長な プロセス制御コンピュータは一組の入力値を受けそして一組の出力値を発生する ときにプラントコンピュータネットワークとの通信において困難な問題が生じる 。活性的に冗長なプロセス制御コンピュータが入力そしてまたは出力値のいくつ かまたはすべてを差が存在する程度に仲裁または解決する場合には、複数組の入 力そしてまたは出力値が生じうる。例えば、−組の予仲裁および後仲裁入力デー タ値は夫々の活性的に冗長なプロセス制御コンピュータから潜在的に得ることが できる。従ってこれらデータの組のいくつかまたはすべてをそれらコンピュータ の動作に干渉することなくあるいはその動作速度を低下させることなくプラント ネットワークの他のコンピュータにより調和させて解析しうるようにすることが 望ましい。

更に、プラントネットワークのコンピュータの内の１個またはそれ以上が必要に 応じて活性的に冗長なプロセスコンピュータの夫々のプログラムにより用いられ るアナログ定数のような成る値を変更できるようにすることも望ましい。しかし ながら、そのようなアクティビティは、物理的装置の動作の予測可能な変化が保 証されるとき、成る方法で制限する必要がある。

従って本発明の主目的は活性的に冗長なプロセス制御コンピュータとプラント／ ローカルエリアネットワークとの間の信号転送を制御するための保安フロントエ ンド通信方式および方法を提供することである。

本発明の他の目的は活性的に冗長なプロセス制御コンピュータの動作に影響する プラント／ローカルからの命令を評価することのできる保安フロントエンド通信 システムを提供することである。

また本発明の他の目的は活性的に冗長なプロセス制御コンピュータのオペレーテ ィングプログラムとの間に適切な一致があるようにする保安フロントエンド通信 システムを提供することである。

更に他の目的は複数の活性的に冗長なプロセス制御コンピュータの内の１個が残 りのコンピュータの動作に悪影響を与えることな（改訂されたオペレーティング プログラムを受けることができるようになった保安フロントエンド通信システム を提供することである。

本発明の他の目的は伝送されているメツセージのタイプによりきまる複数の異な る通信プロトコルおよび暗号化技術を利用することのできる保安フロントエンド 通信システムおよび方法を提供することである。

発明の要約 上記目的を達成するために、本発明は複数の活性的に冗長なプロセス制御コンピ ュータとコンピュータネットワークとの間に介在する保安フロントエンド通信シ ステムを提供する。この保安フロントエンド通信システムはこのコンピュータネ ットワークの１以上のコンピュータエンティティとの間に時限通信コントラクト を作ることのできるフロントエンドコンピュータを含む。これら時限通信コント ラクトはフロントエンドコンピュータからの、予測できない信号の伝送に対する 受信可能レスポンスに基づく。詳細にはこの受信可能レスポンスは好適にはフロ ントエンドコンピュータにより発生される疑似−乱数の暗号化された変換の形を とる。更に、この時限通信コントラクトが終了する前にフロントエンドコンピュ ータは新しい疑似乱数を用いる。このコンピュータネットワークのコンピュータ エンティティ七の新しい時限通信コントラクトについてのネゴシェーションを行 う。

本発明の一つの形態において、このフロントエンドコンピュータはまた、ネット ワークエンティティからの書込コマンドメツセージがそのメツセージの宛先であ るプロセス制御コンピュータに送信すべきかどうかを決定するために用いられる 少くとも１個の許可テーブルを含む。

安全保護サーバーも、フロントエンドコンピュータに安全保護テーブルを送るた めにコンピュータネットワークに含まれる。この安全保護テーブルはフロントエ ンドコンピュータに接続するプロセス制御コンピュータに書込コマンドメツセー ジに送信許可されたネットワークエンティティを識別するために用いられる。

本発明の他の特徴および利点は好適な実施例の詳細な説明および添付する図面か ら明らかとなるものである。

図面の簡単な説明 図１は複数の活性的に冗長なプロセス制御コンピュータ用の、本発明によるステ ルスインターフエース（ｓｔｅｘｌｔｈ　１ｎｆｅｒ！ａｃｅ　） を利用する知能フロントエンド通信システムのブロック図である。

図２Ａおよび２Ｂは時間整合反射メモリバッファおよび図１の相関バッファに記 憶されるデータテーブルを示す図である。

図３は図１のステルスインターフエースのブロック図である。

図４Ａおよび４Ｂは図１および２のステルスインターフエースの概略図である。

図５Ａおよび５Ｂはステルスインターフエース用の二つのタイミング図である。

図６Ａ−６Ｅは本発明による保安および検証方法の特定の例を示すフローチャー トである。

図７は図１のフロントエンドコンピュータ用のアプリケーションソフトウェアの ブロック図である。

図８はフロントエンドコンピュータ用の構成を示す図である。

図９はフロントエンドコンピュータ内の反射メモリバッファと、ＩＦＳ回路内の 転送マツプと、プロセス制御コンピュータ内のデータメモリとの間の関係を示す 図である。

図１０は図１のＩＦＳ回路のブロック図である。

図１１は図１のＩＦＱ回路のブロック図である。

好適な実施例の詳細な説明 図１のブロック図は一対の活性的に冗長なプロセス制御コンピュータ１２ａ−１ ２ｂに接続する知能フロントエンド通信システム１０のブロック図を示す。プロ セス制御コンピュータ１２ａ−１２ｂの夫々はフィールドコンピュータユニット （図示せず）または他の適当なフィールド設備から共通の入力データを受ける。

これに関し、前記グレーザ他の米国特許出願第０７／８６４，９３１号はプロセ ス制御コンピュータ１２ａ−１２ｂのような一対の活性的に冗長なプロセス制御 コンピュータと制御下にある物理的なプロセスに直接に関連した入力／出力装置 との間の通信および制御リンクを詳細に述べている。

２個の活性的に動作するプロセス制御コンピュータの冗長度は単一の決定を行う プロセス制御コンピュータより成る障害許容力についての利点を有するが、本発 明の原理はプロセス制御コンピュータの特定の構成に限定されるものではない。

例えば、適正な場合には図１の２個のプロセス制御コンピュータ１２ａ−１２ｂ の代わりに３個のプロセス制御コンピュータを用いることが望ましいこともある 。

この実施例ではプロセス制御コンピュータ１２ａ−１２ｂは好適には１以上のフ ィールドコンピュータユニットからの信号のすべてについて同時に動作する。言 い換えると、プロセス制御コンピュータ１２ａ−１２ｂの夫々はフィールドから それらが受けるデータに基づき独立した決定を行うことができる。プロセス制御 コンピュータ１２ａ−１２ｂによりなされる決定は究極的には適正なフィールド コンピュータユニットにより特定の出力装置（例えば弁、ポンプモータおよび反 応炉の加熱装置）に指向される出力信号値を決定する。これら出力信号値は好適 には少くとも成る程度は２個の活性的に冗長なプロセス制御コンピュータ１２ａ −１２ｂを、それら信号のフィールドへの伝送前に調停されるが、２組の独立し た出力信号値をそれらフィールドコンピュータユニットに送ることができる。こ れに関して一つのフィールドコンピュータユニットから入る入力値は調停されう るちのであり、これが出力値の調停を不必要にすることになる。

その理由は、その場合に両プロセス制御コンピュータ１２ａ−１２ｂは同一のプ ロセス制御プログラムで作業を行っており、そして同一の調停流入力値で動作し ているからである。

可能な値の調停の好適な形態の例として、各プロセス制御コンピュータ１２ａ− １２ｂにおける対応する入力値テーブルが予定の時間周期中に比較されそして、 それら値の内の一方を各入力信号についてプロセス制御プログラムに適用すべく 選ぶことができる。この入力値の選択は、右側のプロセス制御コンピュータ１２ ｂにより決定される値が成る予定のパーセント限界（例えば２．５％）内にある とき左のプロセス制御コンピュータ１２ａにより決定される値の使用のような、 制御下にあるプロセスに対する適当な目安に基づき行うことができる。さもなけ れば、左また右のプロセス制御コンピュータの独自の入力値を、それらの値が予 定のパーセント限界となるとき用いてもよい。あるいは、左右のプロセス制御コ ンピュータからの異なる入力／出力値の選択はソフトウェアに基づき行うことが できる、このように、例えば成るプロセス条件下では値が左のプロセス制御コン ピュータにより決定されるか右のそれより決定されるかには無関係に高または低 値を選択する方がより適正である。

この調停プロセスを容易にするために並列通信リンク１４がプロセス制御コンピ ュータ１２ａと１２ｂの間に設けられる。並列通信リンク１４はこれらコンピュ ータ間で直接のデータおよびタイミング信号の転送を可能にするから、“主”　 リンクと呼ばれる。また、左のプロセス制御コンピュータ１２ａは“フォックス ”、右のコンピュータ１２ｂは“ドッグと示されている。このような名称はプロ セス制御コンピュータ１２ａ−１２ｂの別の動作モード用の表記である。

夫々のプロセス制御コンピュータ１２ａ−１２ｂは調停の必要な独立した決定を 行うが、今、フォックスモードとなっているプロセス制御コンピュータは２個の プロセス制御コンピュータの協働努力を相対的に同期化しておくために、ドッグ モードとなっているプロセス制御コンピュータをプログラムされたシーケンスで 次のステップに強制的に動かす能力を有する。更に、フォックスモードとなって いるプロセス制御コンピュータはそのプロセス制御プログラムサイクル（例えば １秒サイクル）のはじめにドッグモードとなっているプロセス制御コンピュータ にタイミング信号を送り、ドッグモードのコンピュータが同じく新しいプロセス 制御プログラムサイクルの開始を知ることができるようにする。プロセス制御コ ンピュータ１２ａ−１２ｂがそれら自体のクロック発振器の下で動作するとき、 このプログラムサイクルタイミング信号のドッグモードにあるプロセス制御コン ピュータによる検出と解釈はこれらプロセス制御コンピュータを同期的に相対的 な同期状態にある点で役立つものである。更に、ドッグモードのプロセス制御コ ンピュータのプログラムサイクルはそれがプログラムサイクルタイミング信号を 送りそして検出するに要する時間（例えば２０マイクロ秒から２０ミリ秒）だけ フォックスモードのプロセス制御コンピュータのプログラムサイクルに従う。

プロセス制御コンピュータ１２ａ−１２ｂが一時的に主リンク１４による通信が 不能となる場合には、各プロセス制御コンピュータは夫々自体で動作するときの モードでの動作を続行する。この動作モードにおいて、コンピュータ１２ａ−１ ２ｂのプログラムサイクルは互ＯＩこ時間的に序々に離れることになりつる。そ うであっても次に述べるように、フロントエンド通信システム１０はコンピュー タ１２ａ−１２ｂから入るデータが実時間解析に整合することができるように設 計されている。

図１に示すように、各プロセス制御コンピュータ１２ａ−１２ｂは本発明による ステルスインターフエースを含む。詳細にはプロセス制御コンピュータ１２ａは ステルスインターフエース回路１６ａを含み、コンピュータ１２ｂはステルスイ ンターフエース回路１６ｂを含む。

ステルスインターフエース回路１６ａ−１６ｂは同じ回路構成であるから、これ らを一般にステルスインターフエース回路１６と称する。フロントエンド通信シ ステム１０の冗長的と特質により、一般的な参照数字をこのシステム内の他の重 複する要素についても使用する。

ステルスインターフエース回路１６はそれが接続するプロセス制御コンピュータ と外部通信装置との間での透過データ転送を与える。これに関し、データ転送は 、プロセス制御コンピュータ１２の動作が１以上の外部通信装置へのそのデータ 転送により遅延したり悪影響を受けたりしないという点でそのコンピュータに対 しては透過である。またこのステルスインターフエース回路１６はコンピュータ １２の動作に影響を与えることなく外部通信装置からのメツセージの転送を可能 にする。外部通信装置の代表的な例が図１に示されており、これは一対の冗長フ ロントエンドコンピュータ１８ａ−１８ｂからなる。フロントエンドコンピュー タ１８ａ−１８ｂは通信路がそれらコンピュータの夫々のステルスインターフエ ース回路１６ａ−１５ｂの両方とのデータおよびメツセージの変換を可能にする ように与えられているから冗長なものである。

夫々のフロントエンドコンピュータ１８ａ−１８ｂはステルスインターフエース 回路１６ａ−１６ｂと参照数字２０で一般的に示すプラント／ローカルエリアネ ットワークとの間に高度の知能インターフェースを与える。

しかしながら、夫々の冗長フロントエンドコンピュータ１８ａ−１８ｂは夫々の ステルスインターフエース回路１６ａ−１６ｂと通信することができるから、こ の冗長度は不要であるそして単一のフロントエンドコンピュータを適正なアプリ ケーションで利用しつる。更に、後述するように、各ステルスインターフエース 回路はフロントエンドコンピュータ１８ａ−１８ｂと同様に他の外部通信装置と の間でデータおよびメツセージの交換を行うことができる。　図１に示すように 、ステルスインターフエース回路１６はデュアルポートメモリ’ＤＰＭ”２２を 特徴としており、これはプロセス制御コンピュータ１２のバス構造にある。事実 、この実施例ではデュアルポートデータメモリ２２はプロセス制御コンピュータ １２用の主あるいは唯一のデータメモリである。このように、本発明によれば、 ステルスインターフ、Ｌ−ス回路１６は外部装置にプロセス制御コンピュータ自 体のデータメモリへの直接アクセスを選択的に許可する。デュアルポートデータ メモリ２２はプロセス制御コンピュータ１２のバス構造に接続する内部ボートと 、ステバスポートとも呼ぶ外部ボートを含んでいる。デュアルポートデータメモ リ２２は付加的なボートを与えるように構成することもできるが、このメモリは 好適には複数の外部通信装置がステバスポートに交互にアクセスしうるようにす る調停回路を含んでいる。すなわち、２個以上の外部装置が究極的にはステバス ポートのデータおよびアドレスラインに接続しうるが、デュアルポートメモリへ のアクセスがステバスポートを介して許可されるとき与えられた一つの時点では １個の外部装置のみがステバスポートのデータおよびアドレスラインを使用する ことができる。

この実施例ではこのステルスインターフエース調停回路はアクセス権を付与に対 して先着順サービス法を使用する。

しかしながら本発明によれば、この調停回路はステバスポートについてのみ動作 する。ステルスインターフエース回路１６の内部および外部ボート間には調停は ない。

むしろ外部／ステバスポートからのデュアルポートデータメモリ２２へのアクセ スはプロセス制御コンピュータ１２がデュアルポートメモリをアクセスできない ときにおいてのみ使用可能である。詳細に述べると、ここに示す本発明の形にお いて、プロセス制御コンピュータ１２のマシンサイクルがデュアルポートメモリ １６へのアクセスを制御するために利用される。周知のように、任意のコンピュ ータの中央処理ユニットは１以上のデータワードで動作するように１以上のプロ グラムド命令を取出しデコードしなければならない。フオンノイマンアーキテク チャに基づくコンピュータでは一般に一つの命令を取出し、デコードしそして実 行するには数コンピュータクロックサイクルを要する。しかしながら、この実施 例ではプロセス制御コンピュータ１２はバーバードアーキテクチャに基づいてお り、これは演算コード命令とこの命令用のオペランドデータが同一クロックサイ クルにおいて取出しつるようになっている。その理由は、ノ＼−Ｉく−ドアーキ テクチャに基づくコンピュータは物理的に分離した命令およびデータ記憶装置を 含み、夫々の記憶装置が中央処理装置へのそれ自体のアドレスおよびデータライ ンを有するからである。このように、一つの命令の取出しおよびデコードを行う プロセス制御コンピュータ１２用のクロックサイクルの部分中、デュアルポート データメモリ２２はステバスポートからアクセスすることができる。次に、デー タ記憶装置からのオペランドの取出しを行うプロセス制御コンピュータ１２用の クロックサイクルの部分において、このプロセス制御コンビュ−夕は内部ポート からデュアルポートデータメモリ２２へのアクセスを有する。

本発明によればステルスインターフエース回路１６はステバスポートがデュアル ポートデータメモリ１６へのアクセスを有する時を決定するためにプロセス制御 コンピュータ１２のメモリクロック信号の特定の遷移をモニタする。これに関し 、プロセス制御コンピュータ自体は、プロセス制御コンピュータ１２がデュアル ポートデータメモリ２２をアクセスする必要がない期間においてのみ外部アクセ スがステルスインターフエース回路１６により許可されるから、この外部アクセ スには影響されない。

事実、プロセス制御コンピュータ１２は外部的に発生された読取／書込アクティ ビリティがそのデータ記憶装置に対して実際に生じていることを知る必要もない 。しかしながら、本発明によれば、ステバスポートに関する限り、デュアルポー トデータメモリ２２からの“読取”能力とデュアルポートメモリへの“書込”能 力との間に重要な差異がある。外部通信装置がデュアルポートデータメモリ２２ の夫々およびそのメモリロケーションを読取ることができることは望ましいが、 デュアルポートメモリ内のメモリロケーションに外部装置が書込みを行う能力に ついてはそうではない。これに関し、デュアルポートデータメモリ２２は制御下 の物理的プロセスに関連した動的データのみならずアナログおよびディジタル定 数のような他のプロセス制御変数をも記憶する。

従って、デュアルポートデータメモリ２２は２組の“論理”メモリ部分、すなわ ち変数部分２４とメールボックス部分２６を含む。これらメモリ部分は同一の物 理的メモリ回路チップまたはチップ群内にあったとしても別々に扱われるから、 論理的には異なっている。この実施例においては、メールボックス部分２６はデ ュアルポートデータメモリ２２内の２５６個のメモリワードロケーション（各１ ６ビツト）のセットからなり、変数部分２４はデュアルポートデータメモリ２２ の残りのメモリロケーション（例えば１ブロツクが６４にメモリワードロケーシ ョン）からなる。変数部分２４はまたプロセス制御コンピュータ１２からフロン トエンドコンピュータ１８へのシステムメツセージを保持するためのメツセージ 領域を含む。メールボックス部分２６は外部装置、例えばフロントエンドコンピ ュータ１８ａ−１８ｂからのメツセージを記憶するための特定の領域をメモリに 与えるために用いられる。これに関し、メールボックス部分２６のメモリロケー ションは物理的に連続している必要はない。メールボックス部分２６は使用され るメツセージ伝送プロトコルにより、一時に２個以上のメツセージを保持するよ うに構成されているが、メールボックス部分は一つのメツセージ全体を保持する に充分な大きさであればよい。これらメツセージは低い頻度で得られる遠隔フィ ールドコンピュータユニットからヘルス／状態データを集めて伝送するプロセス 制御コンピュータ１２についての外部要求程度の簡単なものでよい。夫々のメツ セージはまたデュアルポートデータメモリ２２に記憶された一つの特定の変数を 変えるためのコマンドを含む。

更にデュアルポートメモリ２２のメールボックス部分２６もプロセス制御コンピ ュータ１２にプログラム改訂を電子的に移すためにも用いられる。

後述するようにステルスインターフエース回路１６はいかなる外部エンティティ もデュアルポートデータメモリ２２の変数部分２４のいかなるメモリロケーショ ンに書込むことのないようにするガーディアン回路を含む。

このように、デュアルポートデータメモリ２２のメモリロケーションの内のいく つかあるいはすべてがステバスポートから読取りうるが、外部エンティティはデ ュアルポートデータメモリ２２のメールボックス部分２６のメモリロケーション にのみ書込みを行うことができる。本発明のこの特徴は、外部エンティティがプ ロセス制御コンピュータ１２のデータ処理動作により悪影響を受けないようにす るハードウェアセーフカートがプロセス制御コンピュータ１２に設けるものであ る。後述するように、本発明のこの特徴はデュアルポートデータメモリ２２の特 定のメモリロケーションあるいはメモリロケーション群への外部書込アクセスを 許可しあるいは拒否するためにも使用できる。

ステバスポートに対しデータを急速にポンプするために、図１のフロントエンド 通信システム１０はまたステバスに対するインターフェース“ＩＦＳ”回路２８ 、Ｑバスに対するインターフェース“ＩＦＱ”回路３０およびそれらの間に設け た１組の光フアイバーケーブル３２を含む。ＩＦＳ回路２８はデュアルポートメ モリ２２のステバスポートに接続し、ＩＦＱ回路３０はフロントエンドコンピュ ータ１２のステバスポートの“Ｑバス”にある。フロントエンド通信システム１ ０の冗長性により、ＩＦＳ回路２８ａはデュアルポートメモリ２２ａのステバス ポートに接続し、ＩＦＳ回路２８ｂはデュアルポートメモリ２２ｂのステバスポ ートに接続する。同様に、ＩＦＱ回路３０　ａはフロントエンドコンピュータ１ ８ａのＱバスに接続し、ＩＦＱ回路３０ｂはフロントエンドコンピュータ１８ｂ のＱバスに接続する。この実施例において、フロントエンドコンピュータ１８は 好適にはディジタルエクイツブメントコ−ポレーション″ＤＥＣ”社の実時間Ｅ ＬＮオペレーティングシステムを用いるＭＩ　ＣＲＯＶＡＸ３４００　’：１” ｙピユータからなる。ＤＥＣ社からのＶＡＸコンピュータ群はかなりの速度およ びネットワーキング上の利点を有するが、他の適当なフロントエンドコンピュー タを適当なアプリケーションにおいては使用できる。

ステルスインターフエース回路１６ａ−１６ｂの両方に対する双方向通信をフロ ントエンドコンピュータ１８ａ−１８ｂの夫々が行うことができるように光フア イバケーブル３２は実際には２組の送信および受信光ファイバ（例えば６２．５ ／１２５１０．２７５ＮＡ型７ｙイバ）を含んでいる。しかしながら、便宜上図 １では夫々のフロントエンドコンピュータ１８ａ−１８ｂについての別々の送信 および受信光ファイバは単一のチャンネルで夫々示されている。このように、光 フアイバチャンネル３４ａはフロントエンドコンピュータ１８ａからステルスイ ンターフエース回路２２ａに情報を送る光ファイバとステルスインターフエース 回路２２ａから情報を受ける光ファイバを含む。同様に、光フアイバチャンネル ３６ａはフロントエンドコンピュータ１８ａからステルスインターフエース回路 ２２ｂに情報を送る光ファイバとステルスインターフエース回路２２ｂから情報 を受ける光ファイバを含む。この光フアイバ構成はフロントエンドコンピュータ １８ｂについても同じである。

この実施例において、ＩＦＳ回路２８、ＩＦＱ回路３０および光フアイバケーブ ル３２のこの組合せは、フロントエンドコンピュータ１８ａ−１８ｂがプロセス 制御コンピュータ１２ａ−１２ｂから離れて配置しうるようにする光伝送インタ ーフェースを与える。例えばこの実施例ではフロントエンドコンピュータ１８ａ −１８ｂをプロセス制御コンピュータ１２ａ−１２ｂから最大２Ｋｍだけ離して 配置することができる。更にファイバ分散データインターフェース“ＦＤＤ　Ｉ ”プロトコルを用いてＩＦＱ回路とＩＦＳ回路の間で光フアイバケーブル３２を 介して情報を送ることができる。

ＩＦＳ回路２８はデュアルポートデータメモリ２２のステルスポートに対し情報 を転送するための適当なアドレスおよびデータバッファ回路（図示せず）を含む 。■ＦＳ回路２８はまたデュアルポートデータメモリ２２の選ばれたロケーショ ンからのデータが連続する一つのデータブロックとして集められ転送されうるよ うにするトランスファマツプ３７を含む。トランスファマツプ３７はデュアルポ ートデータメモリ２２内の使用可能なメモリロケーションのすべてがらデータを 集めるに充分なアドレス記憶容量をもつスタティックＲＡＭを含むことができる 。

更に、ＩＦＳ回路２８はトランスミッタ３８ａとレシーバ４０ａのような別々の トランスミッタおよびレシーバ回路を夫々のフロントエンドコンピュータ１８ａ −１８ｂについて含んでいる。トランスミッタ３８ａはステルスボートからの並 列データワード（例えば１６ビツト）を光フアイバケーブル３２の内の１本を介 して送信するに適した直列ピットストリームに変換する。同様にレシーバ４０ａ はフロントエンドコンピュータ１８からの直列ピットストリームをＩＦＳ回路バ ッファの内の１個以上を介してステルスポートに送るための並列データワードに 変換する。トランスミッタ３８ｂとレシーバ４０ｂのような対応するトランスミ ッタおよびレシーバ群がｌＦＱ回路３０に設けである。以上から、２組のトラン スミツターレシーバ対の使用によりデータが両方のＩＦＳ回路２８ａ−２８ｂと 両方のＩＦＱ回路３０ａ−３０ｂの間で同時に転送そしてまたは受信しうろこと になることは明らかである。このように、例えばＩＦＳ回路２８ａはプロセス制 御コンピュータ１２ａから得られたデータを両方のフロントエンドコンピュータ １８ａ−１８ｂに同時に送ることができる。

便宜上図示しないが、レーザまたはＬＥＤ光源がトランスミッタ（例えば３８ａ −３８ｂ）の夫々とそれらについての光ファイバとの間に配置される。同様に、 光検出器もレシーバ（例えばレシーバ４０ａ−４０ｂ）の夫々と対応する光ファ イバとの間に配置される。例えば、これら光変換器はＡＴ＆Ｔ　０ＤＬ２００型 の変換器でよい。光フアイバケーブルはその速度について、同軸ケーブルのよう な媒体と比較して低いエラー率および保安性において有利であるが、他の適当な データ伝送媒体を適当なアプリケーションにおいて使用してもよい。

この実施例において、ＩＦＳおよびＩＦＱ回路におけるトランスミッタとレシー バは好適にはカリフォルニア州すンタクララ、オーエンスストリー）２３００の トリクインドセミコンダクタ社の“Ｇａｚｅｌｌｅ”ＧＡ９０１１トランスミッ タおよびＧＡ９０１２レシーバのような高性能ガリウム砒素チップセットである 。これら特定のトランスミッタおよびレシーバは２００Ｍビット／秒を越えるデ ータ伝送速度を可能にするものである。これらトランスミッタおよびレシーバは ＦＤＤＩ群基準４Ｂ１５　Ｂエンコーディングを使用してデータを５０ポーワー ドにエンコードすることができる４０ビットワイド並列バスを利用する。このエ ンコードにおいて４ビツトデータニブルが５ボ一コード記号に変換される。従っ て、４　Ｂ１５　Ｂエンコードは一つのデータフレームを含むために１０個の４ ビツトデータニブル１０個の５ボ一記号を発生する。ＧＡ９０１１トランスミッ タも直列ストリームを“ＮＲＺ”フォーマットからの“ＮＲＺ　Ｉ”フォーマッ トに変換するのであり、これはデータおよびクロック信号の伝送を単一の波形と 組合せたものである。ＮＲＺＩ波形では論理１がビット一時間−フレームにおけ る極性遷移を、０がそのような遷移のないことを示す。

これら論理１とＯはボーと呼ばれモして５ボーを一組とするグループを記号と呼 ぶ。例えば“００００”である４ビツト２進入力は“１１１１０”というボーの ２連記号に変換され、“１０１１”という４ビツト２進入力は“１０１１１”と いう５ボ一２進記号出力に変換される。

４　Ｂ１５　ＢコーティングとＮＲＺＩフォーマツティングの使用は光フアイバ ケーブルを介しての高速データ伝送の信頼性を著しく向上させる。ＧＡ９０１２ レシーバは組込み型のクロックおよびデータ回復（例えばＮＲＺ■からＮＲＺへ の変換）を有し、そしてまた入来５Ｂ記号の有効性をモニタする。これに関し、 ４Ｂ１５ＢコーテイングはＧＡ９０１２レシーバでチェックされる多数の無効記 号を発生する。光フアイバリンクに跨がるノイズまたはジッタにより１個以上の ボーが意図しない値へと変化するから、無効記号の検出は検出されない伝送エラ ーの可能性を減少させる。

潜在的なエラーに対する付加的な保護を与えるために、ＩＦＳ回路２８からのデ ータ伝送は、転送されるべきデータ（すなわち、４０ビツト入カデータフレーム ）、１６ビツトの宛先アドレスフィールド、４ビツトの制御コードフィールドお よび４ビツトのエラー検出コードフィールドからなるデータフレームとされる。

これらデータフレームは好適には少くとも１個の周期フレームにより光フアイバ リンク上で互いに分離される。潜在的な物理的リンクエラーはバーストまたはク ラスタの性質を有するから、エラーコードは４個までの連続するビットエラーを 検出できなくてはならない。これに関し、マスクされたエラーが以降のデータ処 理動作を潜在的に破壊することのないようにするために水平冗長検査”ＬＲＣ” コードが用いられる。この形式のエラーコードは“水平パリティチェック”とも 呼ばれる。ＬＲＣコードではパリティビットを含む４ビツトニブルが発生されて 次に示すようにエンコードされたデータストリーム内の所定数のデータニブルに ついてそのエンコードされたデータストリームに挿入される。

ｂ４　ｂ３　ｂ２　ｂｌ データニブルＩＩＸ　ｘ　ｘ　ｘｌ データニブル２１Ｘ　Ｘ　Ｘ　ＸＩ データニブル３１Ｘ　ｘ　ｘ　ｘｌ データニブル８１Ｘ　Ｘ　Ｘ　ＸＩ データニブル９１Ｘ　ｘ　ｘ　ｘｌ データニブル１０１　Ｐ４　Ｐ３　Ｐ２　ｐＨ但し、Ｐｉ＝ｂｉｌＸｏｒ　ｂｉ ２Ｘｏ・・・Ｘｏｒｉｂ９およびｉ＝ビット位置１−４゜このように、このパリ ティチェックキャラクタのｉ番目のビットは隅パリティ条件下でデータニブル１ −９のｉ番目の情報ビット位置をチェックする。ＬＲＣエラーチェックと４　Ｂ １５　ＢエンコーディングとＮＺＲＩ変換の組合せによりフロントエンド通信シ ステム１０が目標とするＩＥ＠１２のボーエラー率“ＢＥＲ”を与えることがで きる。巡回冗長検査“ＣＲＣ”　コードをＬＲＣコードの代わりに使用してもよ いが、このより複雑なＣＲＣコードはＩＦＱおよび■ＦＳ回路を更に複雑なもの とすることになる。更に、ＬＲＣコーティングはＩＦＳおよびＩＦＱ回路間のデ ュアル光フアイバチャンネル信号伝送を容易に実現し、そしてＧａｚｅｌｌｅ） ランスミッタ３８ａ−３８ｂおよびレシーバ４０ａ−４０ｂの真の同期特性をＬ ＲＣ型プロトコルをフレームとするに用いることができる。

ＩＦＱ回路３０はマイクロプロセッサ４２（例えばインテル８０１８６チツプ） を含み、これはフロントエンドコンピュータ１８についてデータポンプを与える 。マイクロプロセッサ４２はすべてのＩＦＱ／ＩＦＳプロトコル制御およびプロ セス制御コンピュータ１２ａ−１２ｂからネットワーク２０上の宛先へのデータ の中について責任をもつばかりでなくＩＦＳおよびＩＦＱ回路に対する書込みア クティビティの完全性を制御する作用も有する。例えば、マイクロプロセッサ４ ２はＩＦＳ回路２８内のトランスファマツプ３７をプログラムするために用いる ことができ、それ故、必要なものがすべての使用可能な変数（例えば入力／出力 値、アラームおよび事象）でないとすれば、デュアルポートデータメモリ２２内 の特定の副データセットのみが集められてフロントエンドコンピュータ１８に送 られる。このように、トランスファマツプ３７の実際の内容は特定のプロセス制 御アプリケーションによりきまる。

ＩＦＱ回路３０とＩＦＳ回路の間のすべての信号伝送はＩＦＱ回路のマイクロプ ロセッサ４２の制御下で行われる。これに関し、ＩＦＱ回路３０からＩＦＳ回路 ２８へのデータ伝送には三つのタイプがある。すなわち、“ロードトランスファ マツプ”、“センドコマンドメツセージ”および“レシーブデータ“である。ロ ードトランスファマツプ伝送はＩＦＱ回路３０がＩＦＳ回路２８のトランスファ マツプ３７に、ＩＦＳ回路からのデータメモリ送信バーストを扱う特定の変数ア ドレスをロードしうるようにする。レシーブデータ伝送は、ＩＦＳ回路２８にデ ュアルポートデータメモリ２２からのメモリの要求されたセグメントをもどさせ る。

コマンドメツセージ伝送はＩＦＳ回路２８への書込ロック要求でスタートする。

入来バッファがフリーであるとすると、ＩＦＳ回路２８はデュアルポートデータ メモリ２２のメールボックス部分２６に書込ロックを主張し、ＩＦＱ回路３０に 肯定応答をもどす。ＩＦＱ回路３０はこのとき、そのメツセージが完全に記憶さ れそしてプロセス制御コンピュータ１２により読取られるまで他の装置がメール ボックス部分２６に書込めないように保証をしつつそのメツセージを伝送する。

しかしながら、通信フローがステルスインターフエース回路１６に接続する外部 エンティティの内の１つにより妨害されないようにするために書込ロックには時 間の制限が与えられる。また、メツセージ伝送は、データバーストがＩＦＳ回路 ２８から入る時間中には生じない。

データ伝送保護の他の方法として、ＩＦＱ回路３０はメツセージが正しく送られ て記憶されるようにするために、デュアルポートデータメモリ２２のメールボッ クス部分２６に送られて記憶されたメツセージをＩＦＳ回路２８に読みもどさせ る。メツセージが正確に受信されて記憶されたことをＩＦＱ回路３０が決定して しまうと、ＩＦＱ回路は新しいメツセージのピックアップをプロセス制御コンピ ュータ１２に知らせるフラグをセットする。

このデータ検査が成功しない場合には全体としてのメツセージ伝送プロセスが繰 り返される。

またＩＦＱ回路３０はプロセスデータバッファ４４を含み、これは便宜上図１に ブロックの形で示されている。

しかしながら、このプロセスデータバッファ４４はプロセス制御コンピュータ１ ２ａ−１２ｂの夫々について別々のデータテーブルを記憶するに充分な記憶容量 を含む（例えば２６２．１４４バイト）。夫々のデータテーブルは５ＤＳＳおよ びＤＳＳデータ伝送の両方を含む。更に、ＤＭＡバッファ（図示せず）も受信中 のデータを処理する際の融通性を与えるために設けることが出来る。

これに関し、ＩＦＳ回路２８とＩＦＱ回路３０はＩＦＱ回路３０とフロントエン ドコンピュータ１８のＱバスとの間の双方向直接メモリアクセス“ＤＭＡ”転送 を容易にするように構成される。このように、フロントエンドコンピュータ１８ の中央処理装置４５はＩＦＱ回路３０に対するデータ転送の処理に対しかなりの 時間を与える必要はない。従って、ＤＭＡバッファは好適にはプロセスデータバ ッファ４４からフロントエンドコンピュータ１８のＱバスにある適当なメモリへ のデータブロック（例えば一時に８にバイト）のＤＭＡ転送を行うためのバケッ トブリゲート領域として使用される。

ＤＭＡ転送の使用によりプロセス制御コンピュータ１２ａ−１２ｂからネットワ ーク２０の１個以上のコンピュータへの実時間データを使用可能にする目的を達 成するためのフロントエンド通信システム１０の能力を向上させる。詳細には、 フロントエンド通信システム１０はワンセコンドタイムレゾリュージョン（ｏｎ ｅ−ｓｅｃｏｎｄ　ｔｉｍｔ　＋ｅｓｏｌｕｔｉｏｎ）以内のプロセス制御コン ピュータ１２ａ−１２ｂの夫々からのプレリンクおよびボスト調停データの両方 についてのネットワーク照会を要求し、それを受けそしてそれに応答するように 設計される。例えばこの実施例において、プロセス制御コンピュータ１２ａ−１ ２ｂの夫々はワンセコンドプログラムサイクル毎にシーケンスデータステーブル ストローブ″５ＤＤＳ″信号出す。この信号はプレリンクダイナミックアナログ ／ディジタル入力データの約１０２４　（１６ビツト）ワードが安定であってデ ュアルポートデータメモリ２２で使用可能であることを示す。この特定のデータ セットは主リンク１４にまたがるデータ伝送を介してプロセス制御コンピュータ １２　ａ　−１，２ｂ間でまた調停されていないためリプレリンクデータと呼ば れる。次に、同じワンセコンドプログラムサイクルにおいて、プロセス制御コン ピュータ１２ａ−１２ｂの夫々はデータステーブルストローブＤＤＳ”信号を出 す。この信号は一組のボスト調停入力データと出力データが安定でありそしてデ ュアルポートデータメモリ２２で使用可能であることを示す。

このデータセットは入力値がこのプログラムサイクルのこの時点までに調停され すなわち解決されているため、ボスト調停と呼ばれる。この実施例において、ボ スト調停データセットは入力および出力値の両方（およびデュアルポートデータ メモリ２２内に記憶された他の変数）を含むから、６５，５３６　（１６ビツト ）ワードまでを含むことが出来る。

また、この時点でプロセス制御コンピュータ１２ａ−１２ｂのプログラムサイク ルの第１の機能の内の一つは直前のプログラムサイクルで得られたボスト調停入 力データから出力値の決定を行うことである。従って、調停後データセットは現 在のプログラムサイクルからの調停された入力値と直前のプログラムサイクルか らの出力値を含む。

また、プレリンクおよびポスト調停データセットのコピーを得る機能はプロセス 制御コンピュータ１２ａ−１２ｂの動作を遅れさせてはならないということを理 解することは重要である。このように、例えば、フロントエンド通信システム１ ０はプロセス制御コンピュータ１２ａ−１２ｂが調停プロセスによりそれらデー タ値の内の１以上を変更する能力をもつ必要が生じる前にプレリンクデータセッ トのコピーを得るに充分に高速でなくてはならない。従って、この実施例におい てはフロントエンド通信システム１０は５ＤＳＳ信号がデータの安定性を保証す るために初めに生じる１０ミリ秒の時間内にプレリンクデータセットを得ること が出来る必要がある。同様に、フロントエンド通信システム１０は５ＤＳＳ信号 が初めに生じた５０ミリ秒の時間内にポスト調停データセットを得ることが出来 ねばならない。これに関し、これらデータセットの夫々は夫々のフロントエンド コンピュータ１８ａ−１８ｂによりプロセス制御コンピュータ１２ａ−１２ｂの 両方から独立的に獲得される必要がある。更に、フロントエンドコンピュータ１ ８ａ−１８ｂの夫々はまた５ＤＳＳおよびＤＳＳデータの獲得ウィンドー外の時 間周期中にプロセス制御コンピュータ１２ａ−１２ｂの一方または両方にメツセ ージを送ることが出来ねばならない。

フロントエンド通信システム１０のデータ転送ブロックネック（ｂＬｏｃｋｎｅ ｃｋ　）を伴わずに５ＤＳＳおよびＤＳＳデータセットを獲得する能力を容易に しそしてまた受信中のそれらデータセットをグループ化し時間的に整合させる能 力を与えるために、フロントエンドコンピュータ１８ａ−１８ｂの夫々はプロセ ス制御コンピュータ１２ａ−１２ｂの夫々について少くとも３個の反射バッファ からなるバッファセットを含む。これら論理的に独立した反射バッファまたはシ ャドウメモリの夫々はフロントエンドコンピュータ１８内の同一の物理的なメモ リチップまたはチップセット内にある。図１に示すようにフロントエンドコンピ ュータ１８ａ内のこの反射バッファセットは一般に左のプロセス制御コンピュー タ１２ａ用のＺＥＲＯバッファ“ＺＬ”４６ａと、右のプロセス制御コンピュー タ１２ｂ用のＺＥＲＯバッファ“ＺＲ”４８ａと、左のプロセス制御コンピュー タ用のＯＮＥバッフソフＯＬ’　と、右のプロセス制御コンピュータ用のＯＮＥ バッファ“ＯＲ’″と、左のプロセス制御コンピュータ用のＴＷＯバッファ“Ｔ Ｌ”と、右のプロセス制御コンピュータ用のＴＷＯバッファ”ＴＲ”を含む。更 に、対応する反射バッファセットが左プロセスコンピュータ１２ａ用のＺＥＲＯ バッファ“ＺＬ”４６ｂおよび右プロセス制御コンピュータ１２ａ用のＺＥＲＯ バッファ“ＺＲ”４８ｂのようにフロントエンドコンピュータ１８ｂに内蔵され る。

ＩＦＱ回路３０はＤＭＡデータ転送を用いて“ラウントロピン”法でその左右の バッファに書込みを行う。すなわち、ＩＦＱ回路３０はＺＥＲＯバッフｙ４６ａ に左のプロセス制御コンピュータ１２ａから一つの特定のプロセス制御サイクル のプレリンクおよびポスト調停データを入れる。次に次のプロセス制御サイクル についてのプレリンクおよびポスト調停データが左のプロセス制御コンピュータ １２ａから入るとき、ＩＦＱ回路３０はそのデータを記憶するためにＯＮＥバッ ファ５０ａにインクレメントを行う。同様にＩＦＱ回路３０は第三のプロセス制 御サイクルについてのプレリンクおよびポスト調停データがその記憶のために左 のプロセス制御コンピュータ１２ａから入るときにＴＷＯバッファ５４ａに指向 する。次に、左のプロセス制御コンピュータ１２ａからの時間的に第４のプロセ ス制御サイクルについてのプレリンクおよびポスト調停データを記憶すべきとき には■ＦＱ回路３０はデータ記憶のためにＺＥＲＯバッファ４６ａにもどる。勿 論ＩＦＱ回路３０は右のプロセス制御コンピュータ１２ｂについて用いられる３ 個の反射バッファ４８ａ、５２ａおよび５６ａにプレリンクおよびポスト調停デ ータを個々に転送するために同じラウントロピンシーケンスを用いる。

例示のために図１は左プロセス制御コンピュータ１２ａ用の３個の反射メモリバ ッファ（４６ａ、５０　ａ、５４ａ）および右プロセス制御コンピュータ１２ｂ 用の３個の反射メモリバッファ（４８ａ、５２　ａ、５６　ａ）を示している。

しかしながら、５ＤＳＳおよびＤＳＳデータ転送は独立したＤＭＡ事象として扱 われるから、これら反射メモリバッファは好適にはそれら事象の夫々について独 立した反射メモリバッファを含む。従って、フロントエンドコンピュータ１８に は全部で１２個の反射メモリバッファが設けられる。更に、これら反射メモリバ ッファの夫々は個々に追跡され、ぞれ故それらバッファの順序は下記の規則に従 う必要はない。

５ｅｃｏｎｄ　Ｎ：　（ＺＥＲＯ−３ＤＳＳ−Ｌ　ＺＥＲＯ−ＤＳＳ−Ｌ　ＺＥ ＲＯ−ＳＤＤ Ｓ−ＲＺＥＲＯ−ＤＳＳ−Ｒ） ＳｅｃｏｎｄＮ＋１　：　（ＯＮＥ−３ＤＳＳ−Ｌ　０ＮＥ−ＤＳＳ−Ｌ　０Ｎ Ｅ−３ＤＤＳ− Ｒ０ＮＥ−ＤＳＳ−Ｒ） ｓｅｃｏｎｄＮ＋２　：　（ＴＷＯ−３ＤＳＳ−Ｌ　ＴＷＯ−ＤＳＳ−Ｌ　ＴＷ Ｏ−ＳＤＤＲ− ＲＴＷＯ−ＤＳＳ−Ｒ） むしろこれらバッファの順序は次に示すような他の規則の元に行うことも出来る ： ５ｅｃｏｎｄ　Ｎ：　（ＯＮＥ−８ＤＳＳ−Ｌ　ＴＷＯ−ＤＳＳ−Ｌ　ＺＥＲＯ −８ＤＤＳ− Ｒ０ＮＥ−ＤＳＳ−Ｒ） ｓｅｃｏｎｄＮ＋１　：　（ＴＷＯ−３ＤＳＳ−ＬＺＥＲＯ−ＤＳＳ−Ｌ　０Ｎ Ｅ− ３ＤＤＳ−ＲＴＷＯ−ＤＳＳ−Ｒ） ｓ　ｅ　ｃｏｎｄＮ＋２　：　（ＺＥＲＯ−８ＤＳＳ−Ｌ　−０ＮＥ−ＤＳＳ− Ｌ　ＴＷＯ−８Ｄ ＤＳ−ＲＺＥＲＯ−ＤＳＳ−Ｒ） 対応する左および右の反射バッファ（例えばバッファ４６ａと４８ａ）は、ドッ グモードのプロセス制御コンピュータのプログラム時間ラインはフォックスモー ドのプロセス制御コンピュータのプログラム時間ラインに予め決定しうる時間間 隔（例えば２０マイクロ秒から２０ミリ秒）だけ追従するから、同一時点では一 般に充填されない。しかしながら、これら時間ラインは上記のように主リンク１ ４にまたがる通信が不能である場合にはかなり分離することになる。左および右 の５ＤＳＳまたはＤＳＳ信号がほぼ同一時点で主張されるときであっても、この 情報のＩＦＱ回路３０への転送とそれにつづくその情報の適正な反射メモリへの 転送に要する遅延はプロセス制御コンピュータとＩＦＳ回路のハードウェアによ り見られる事象間よりもフロントエンドコンピュータ１８のアプリケーションソ フトウェアにより見られる事象間の時間スキューは大きくなる。それにも拘らず 、コンピュータネットワーク２０に究極的に使用可能となるそれらデータセット が同一のプログラムサイクル（例えばワンセコンド周期）内のプロセス制御コン ピュータ１２ａ−１２ｂからのデータを表わすようにすることはフロントエンド コンピュータ１８の機能である。これに関し、フロントエンドコンピュータ１８ のアプリケーションソフトウェアは“ＭＩ　５ｙｎｃ″と称される、個々のデー タ転送事象を、特定のプロセス制御サイクルについてのプレリンクおよびポスト 調停データの“スナップショルド”を表わすバッファの集合セットにグループ化 する手順を含む。

ＭＩＳｙｎｃ手順は入来データの転送の状態をトラックするために一群の反射メ モリバッファ管理構造（Ｍｌ−ＲＭＢＭＳ）を使用する。ＤＭＡ転送が完了した ことをＩＦＱ回路のドライバソフトウェアがＭＩ　５ｙｎｃ手順に信号するとき 、ＭＩ　５ｙｎｃは要求される情報を適正なＭＩ　ＲＭＢＭＳデータ構造に記録 する。一群のバッファが受信し記憶（すなわち左５ＤＳＳ、右５ＤＳＳ。

左ＤＳＳおよび右ＤＳＳ）したとＭ　Ｉ　Ｓ　ｙ　ｎ　ｃが決定するとき、それ がポインタにより大域データ構造（ＭＩ−ＲＭ　ＤＡＴＡ）を新しく受信したデ ータに更新する。

これらポインタはＭＩ　ＲＭＢＭＳデータ構造からコピーされる。従って、ＭＩ 　ＲＭ　ＤＡＴＡは現在使用可能な“完全”なまたは時間的に整合した反射メモ リバッファ群に対するポインタを含む。フロントエンドコンピュータ１２がラウ ントロピン手順内のどこにあるかにより、現在の時間整合した反射メモリバッフ ァ群は１つの時間インターバルによってＴＷＯバッファ５４ａと５６ａであり、 次の時間インターバルにおいてＯＮ　Ｅ　／クツノア５０ａと５２ａであり、そ してその次の時間インターバルにおいてＺＥＲＯバッファ４６ａと４８ａである 。

プロセス制御コンピュータ１２ａ−１２ｂの１個からの５ＤＳＳまたはＤＳＳデ ータがＩＦＱ回路３０により受信されない場合にはＭＩＳｙｎｃはＭＩ　ＲＡ　 ＤＡＴＡポインタを更新するために適正なタイムアウト（例えば７００ミリ秒） を用いて時間整合したままとなる。どのバッファが使用不能かを示すためのイン ジケーションも与えられる。

ＭＩ　ＲＡ　ＤＡＴＡ内のバッフ７ポインタは相互排除セマフォーすなわち“ミ ューチフス（ｍｕｔｅｘ）”により保護される。ＭＩＳＹＮＣはＭＩ　ＲＡ　Ｄ ＡＴＡへの新しいポインタをコピーする前にこのミューテックスを要求しそして それをコピー完了直後に解放する。

ネットワークエンティティが反射メモリデータのアクセスを要求するとき、ＭＩ 　ＲＡ　ＤＡＴＡポインタのコピーがミューテックスを要求し、それらノ（ラフ アポインタを局所データ構造にコピーしそしてそのミューチフスを解放すること により行われる。データ照合または読取のためのアプリケーションはこのポイン タのコピーを用いるから、ミューチフスについての競合は最少となりそしてＭ　 Ｉ　Ｓ　ｙ　ｎ　ｃは次のデータセットが記憶されると直ちに新しいポインタで ＭＩ　ＲＡ　ＤＡＴＡを更新することが出来る。これに関し、この方法はＭＩ　 ５ｙｎｃがＭＩ　ＲＡ　ＤＡＴＡを新しいポインタで更新する間に読取アプリケ ーションが同一の反射メモリバッファ群をアクセスしうるようにする。読取アプ リケーションは最近の整合した反射メモリバッファ群をアクセスするから、読取 アプリケーションは一つの群の反射メモリバッファ（例えばＴＷＯバッファ５４ ａと５６８）をアクセスし、次の読取アプリケーションがＭＩＳｙｎｃがＭＩ　 ＲＡＤＡＴＡを新しいポインタで更新すると他の群の反射メモリバッファ群（例 えばＯＮＥバッファ５０ａと５２ａ）に対するアクセスを与えられる。

また、反射メモリをアクセスするアプリケーションは参照されたバッファが新し く入るデータによりオーツ＜−ライトされる前に走行完了しうる。フロントエン ド通信システム１０の一実施例では反射メモリデータを要求するアプリケーショ ンは１秒未満で完了するに充分に高い実行優先度を割り当てられる。しかしなが ら、フロントエンドコンピュータ１８は、完了することに、より長い走行時間を 要するアプリケーションの開発を許すために付加的なバッフ１群を用いて構成す ることが出来る。

また、以上から、フロトンエンドコンピュータ１８ａ−１８ｂの使用により、通 信システム１０は特定のデータ要求に答えるに必要な知能を有しつるようにされ る。

またフロントエンドコンピュータ１８ａ−１８ｂの使用によりプロセス制御コン ピュータ１２ａ−１２ｂが事実上実時間データの送信を続けうるように高速のチ ェックを可能にする。更に、フロントエンドコンピュータ１８ａ−１８ｂは、ま た好適にはプロセス制御コンピュータ１２ａ−１２ｂからの読取または書込要求 がその要求を送ったコンピュータネットワーク２０上のエンティティに対し許可 されるかどうかについての決定をなすようにプログラムされる。後述するように フロントエンドコンピュータ１８ａ−１８ｂはこれら決定を容易とするためにそ れらのメモリ内に保安テーブルと２つの許可テーブルを含む。保安テーブルは通 信がコンピュータネットワーク２０上の種々のエンティティとの間に完全に許可 されるかどうかの決定に用いられ、許可テーブルはデュアルポートデータメモリ ２２ａ−２２ｂ内の特定のロケーションに影響するそのコンピュータネットワー ク上のエンティティからの書込コマンドメツセージの検査に用いられる。

フロントエンドコンピュータ１８ａ−１８ｂはまた相関バッファ５８ａと６０ａ のよさな付加的な少くとも一つの反射バッファ群を利用する。ＤＳＳデータセッ トは現在のプログラムサイクルからのポスト調停入力値データと直前のプログラ ムサイクルのポスト調停入力値にもとづく出力値を含むという事実から、一つの データテーブルにおいて、特定のプログラムサイクルについての出力値とそれら 出力値を決定するために用いられた入力値とを相関させることが望ましい。従っ て、フロントエンドコンピュータ１８ａは相関バッファ５８ａと６０８を用いて 現在のＤＳＳデータセットからポスト調停入力値のコピーを記憶させそして同一 の相関バッファ内の次のデータセットからの出力値のコピーを記憶するために次 のＤＳＳデータセットの整合を待つ。これに関し、このコピー手順は反射メモリ バッファの最近に時間整合したセットから行われる。このように、例えば図２Ａ は時間整合したバッファ内のデータテーブルの例を、図２Ｂは相関バッファＣＬ 内のデータテーブルの同様の例を示している。いずれにしてもフロントエンドコ ンピュータ１８ａ−１８ｂの時間整合能力はプロセス制御コンピュータ１２ａ− １２ｂの動作および制御下にある物理的プロセスの両方の分析のための強力な診 断手段を与える。例えば、入力データ値に対して行われた調停は、ブリンクおよ びボスト調停入力データ値は時間的に整合しそしてフロントエンドコンピュータ １８ａ−１８ｂにより使用可能とされるから、プロセス制御コンピュータ１２ａ −１２ｂの両方について分析されうる。

図１のコンピュータネットワーク２０は一般に直接制御セグメント、プロセス情 報セグメントおよび大域ネットワーク“ＷＡＮ”への接続を含む。これらネット ワークセグメントの夫々は好適にはエサ−ネットコンブライアンド（Ｅｔｈｅｒ ｎｅｔ　ｃｏｍｐｌｉａｎｔ）媒体およびＩＥＥ８０２．３互換通信プロトコル を用いる。

直接制御セグメントはデュアルプラントエリアネットワーク“ＰＡＮ−１”と“ ＰＡＮ−２０からなり、プロセス情報セグメントはプラントエリアネットワーク “ＰＡＮ−３”からなる。少くとも１個のブリッジ６２がＰＡＮ−１とＰＡＮ− ２セグメントの相互接続に用いられる。

更に少くとも１個のブリッジ６４がＰＡＮ−２セグメントとＰＡＮ−３セグメン トの相互接続に用いられる。ＰＡＮ−１セグメントとＰＡＮ−３セグメントの相 互接続に他のブリッジを用いてもよい。１個以上のブリッジ６６もＰＡＮ−３セ グメントとＶＡＮの相互接続に用いることが出来る。

フロントエンドコンピュータ１８ａはＰＡＮ−１セグメントに結合され、フロン トエンドコンピュータ１８ｂはＰＡＮ−２セグメントに結合される。単一のプラ ントエリアネットワークを設けてもよいが、ここに示すデュアルプラントエリア ネットワークの使用は単一エリアに対し通信および冗長度についての利点を有す る。これに関し、これらブリッジは一般にネットワークセグメントの夫々につい てのトラヒック量を減少させるためにエサ−ネットハードウェアにより通信をフ ィルタする。例えば、保安サーバ６８とオペレータステーション７０間の通信は ブリッジ６２を介してＰＡＮ−１セグメントには送られない、ブリッジ６２−６ ６もネットワークセグメント間の物理的な分離を与えるものであり、従って、ネ ットワークセグメントの１つに障害が生じたとしてもその障害は他のセグメント に悪影響を与えない。更にこれらブリッジの内の１個以上は更にネットワーク２ ０の全体としての保安性を向上させるために特定のデータ通信プロトコルの識別 にもとづき通信のフィルタリングに用いられる。例えば、ブリッジ６４はＰＡＮ −２とＰＡＮ−３セグメントの一方から他方への保安サーバ６８により用いられ るエサ−ネットコンブライアントプロトコルを用いるメツセージの伝送を防止す るために使用出来る。

同様に、ブリッジ６４はデュアルポートデータメモリのメールボックス部分２６ への情報の書込に用いられるエサ−ネットコンブライアントプロトコルを用いる メツセージの伝送を防止するために用いることが出来る。

コンピュータネットワーク２０はまたオペレータワークステーション７０と７２ のような複数のオペレータワークステーションを含む。図１に示すように、これ らオペレータワークステーションは異なるネットワークセグメントに配置され、 そしてオペレータワークステーションの数は特定のプロセス制御アプリケーショ ンによりきまる。１個以上のこのようなオペレータワークステーションがフロン トエンドコンピュータ１８ａ−１８ｂから入るデータを見たり分析するために用 いられる。更にこれらオペレータワークステーションはプロセス制御コンピュー タ１２ａ−１２ｂにコマンドメツセージを送らせるような適正な部分をフロント エンドコンピュータ１８ａ−１８ｂに送るために許可された制御ループオペレー タにより使用されつる。

更にネットワーク２０は種々の機能を行うことの出来るプロセス情報コンピュー タ７４を含む。例えば、このプロセス情報コンピュータはフロントエンドコンピ ュータ１２ａ−１２ｂから入るプロセスデータのヒストリを記憶するために用い ることが出来る。更に、このプロセス情報コンピュータ７４はフロントエンドコ ンピュータ１８ａ−１８ｂにあるコンピュータプログラム並びにプロセス制御コ ンピュータ１２ａ−１２ｂにあるプログラムを変更するに必要なコンパイラを記 憶するために用いることが出来る。プロセス情報コンピュータ７４はまたプロセ ス制御コンピュータ１２ａ−１２ｂにオペレーティングプログラムの改訂を転送 するためのローディングアシスタントソフトウェアを含む。またこのネットワー クはそれに接続する諸コンピュータ間での種々のサービスおよびトラッキング機 能を行うめたに用いることの出来る制御ルームデータ管理プログラムコンピュー タ７６を含む。

エキスパートダウンロードアシスタント７８はフロントエンドコンピュータ１８ ａ−１８ｂ内のプログラム改訂を容易にするために設けられる。これに対し、プ ロセス情報コンピュータ７４内のローディングアシストソフトウェアは新しいコ ンピュータプログラムを少くとも１個のフロントエンドコンピュータ１８ａ−１ ８ｂとデュアルポートデータメモリ２２のメールボックス部分２６を介してプロ セス制御コンピュータ１２ａ−１２ｂの内の１個にダウンロードするために用い られる。ダウンロードアシスタント７８はそれ自体のネットワークコンピュータ にあってもよく、あるいはプロセス情報システムコンピュータ７４のような適当 なネットワークコンピュータ内にあってもよい。

このローディングアシスタントはまた改訂されたプログラムを有するプロセス制 御コンピュータに、その改訂されたプログラムの実時間テストを可能にするモー ドでのオペレーションをスタートさせるために用いることが出来る。この動作モ ードではプロセス制御コンピュータは入力データを受けて決定を出力するが、こ れら出力決定はフィールド計測器には伝送されない。これはプラント技術者がそ れら改訂を検査出来るようにすると共に更にフォックスまたはドッグモードのよ うな活性の動作モードとするようにプロセス制御コンピュータに命令する前に必 要であれば更に改訂を行わせるものである。

プロセス制御コンピュータ１２ａ−１２ｂがそれらの特定の製造制御オペレーシ ョンを行う方法のプログラム改訂による変更が決定されるときにはプロセス制御 コンピュータ１２ａ−１２ｂについてのこの改訂されたプログラムはソースプロ グラミング言語から実行可能なファイルまたは動的にリンクしたファイル群にコ ンパイルしなければならない。好適な実施例ではコンパイル手順中に実行可能な コードに固有の識別子が埋め込まれる。この識別子はプロセス制御コンピュータ １２ａ−１２ｂについての改訂されたソフトウェアのバージョンを表わす（また はそうでなければそれに関連する）。このプログラムバージョン識別子はプロセ ス制御コンピュータ１２ａ−１２ｂにより実行されているプログラムのバージョ ンとそれらプロセス制御コンピュータへの書込コマンドをメツセージの検査に用 いられるフロントエンドコンピュータ１ｇａ−１８ｂ内のファイル／テーブルと の間の適正な整合を保証するために用いられる。

上記のように、フロントエンドコンピュータ１８ａ−１８ｂの夫々は左プロセス 制御コンピュータ１２ａ用の“ＰＬ”許可テーブル８０ａと右プロセス制御コン ピュータ１２ｂ用の“ＰＲ″許可テーブル８２ａのような２個の許可テーブルを 含む。これら許可テーブルはコンピュータネットワーク２０上のエンティティが デュアルポートデータメモリ２２ａ−２２ｂ内の特定のロケーションの内容の変 更を許可されたかどうかを決定するためにフロントエンドコンピュータ１８ａ− １８ｂにより使用される。しかしながら、許可テーブルのデータ構造は書込コマ ンドメツセージから変更されるプロセス制御コンピュータ１２ａ−１２ｂ内の任 意のメモリロケーションまたはエリアの内容を保護するように構成される。

オペレータワークステーション７０−７２の内の１個からの書込コマンドメツセ ージのような書込コマンドプロトコルを用いるメツセージがネットワーク上のエ ンティティからフロントエンドコンピュータ１８に入るとき、”ｄａｔａ　ｗｒ ｉｔｅ　ｃｈｅｃｋ’サブルーチンがフロトンエンドコンピュータの中央処理装 置により呼出される。このｄａｔａ　ｗｒｉｔｅ　ｃｈｅｃｋルーチンは書込コ マンドメツセージ内に識別される変数エレメントと変更の許可または拒否をなさ れるべき許可テーブル内の変数エレメントとの間の比較を行う。例えば、フロン トエンドコンピュータ１８ａが左プロセス制御コンピュータ１２ａにより実行さ れているプログラムにより使用されるアナログ利得“ＡＧ”ファクタを増／減す る書込コマンドメツセージを受けるとすれば、フロントエンドコンピュータ１８ ａは許可テーブル８０ａ内での特定のＡＧファクタについてエレメントワードを 見つけ、そして一つのビットがこのファクタの変更に必要な許可を拒否するよう にセットされているかどうかを決定する。

許可が否定されればフロントエンドコンピュータ１８ａはプロセス制御コンピュ ータ１２ａに書込コマンドメツセージを送らない。事実、フロントエンドコンピ ュータ１８ａは好適にはその書込コマンドメツセージをはじめに送ったコンピュ ータネットワーク２０上のホストエンティティに応答メツセージを送ってこのホ ストエンティティに書込エラーの生じたことを知らせる。

以上から、フロントエンドコンピュータ１８ａ−１８ｂに記憶されたＰＬおよび ＲＲ許可テーブルはプロセス制御コンピュータ１２ａ−１２ｂの夫々により実行 されているプログラムのバージョンと密に整合されねばならぬことがわかる。こ れら許可テーブルの夫々が夫々のプロセス制御コンピュータ１２ａ−１２ｂによ り実行されているプログラムと充分に整合するようにするために、上記のプログ ラムバージョン識別子も、それら許可テーブルがコンパイルされるときにそれら に埋込まれる。このプログラムバージョン識別子は検査された書込コマンドメツ セージと共にプロセス制御コンピュータ１２に送られ、それによりコンピュータ １２が、このコマンドされた変数変更がそのプログラムバージョンに対し適正で あることを確認することが出来る。

この検査プロセスの保安性を向上させるために、許可テーブルからのプログラム バージョン識別子は好適には、書込コマンドメツセージと共にそれが目的とする プロセス制御コンピュータ１２用のステルスインターフエース回路１６のメール ボックス部分２６に送られる前に適当な暗号化アルゴリズムにより変更される。

この書込コマンドメツセージを受けるプロセス制御コンピュータ１２はこのバー ジョン識別子をデコードし、そしてそれらが整合したかどうかを決定するために それとそのプログラムに埋込まれたプログラムバージョン識別子とを比較する。

もし、プログラムバージョン識別子が整合したならばプロセス制御コンピュータ １２はコマンド変数変更を行う。そうでない場合にはプロセス制御コンピュータ １２はその書込コマンドメツセージを捨てそしてフロントエンドコンピュータ１ ８に適当なエラーメツセージを送ることにより応答を行う。

ＰＬおよびＰＲ許可テーブルはまた好適にはコンピュータネットワーク２０上の 特定のホストエンティティについて書込コマンド許可決定をなしうるようにする データ構造を有する。すなわち、許可テーブル８０ａはオペレータワークステー ション７２からは許されない特定の変数の変化をオペレータワークステーション ７０から行いうるようにする。このように、これら許可テーブルは数個のステー ション特定テーブル部分と省略テーブル部分を有する。しかしながら、コンピュ ータネットワーク２０上の一つのホストエンティティで適当なパスワードを用い ることにより適正な許可テーブルのチェックをバイパスする能力も与えられてい る。しかしながら、この場合、このトランザクションおよびそのホストエンティ ティの識別（例えばＣＰＵ識別子）を識別するログをつくりフロントエンドコン ピュータ１８に記憶すべきである。

プロセス制御コンピュータ１２ａ−１２ｂについての別々の許可テーブルの使用 はプロセス制御コンピュータの内の一方についてプログラムのダウンロード動作 を可能にし、その間他方のプロセス制御コンピュータが製造プロセスを制御しつ づけるという利点を有する。事実、改訂されたプログラム（およびフロントエン ドコンピュータ１８ａにロードされた対応する許可テーブル８０ａ）が次々にプ ロセス制御コンピュータ１８ａに転送された後にも、別々の許可テーブルの使用 によりフロントエンドコンピュータ１８ａはプロセス制御コンピュータ１２ｂを 目的とする書込コマンドメツセージとは異なるプロセス制御コンピュータ１２ａ 用の書込コマンドメツセージを検出しつる。場合によってはプロセス制御コンピ ュータ１２ａ−１２ｂを能動制御モードにおいて異なるプログラムバージョンで 走行させることは勧められないが、受動オペレーティングモードが改訂されたプ ログラムを有するプロセス制御コンピュータについて用いられ、その間他方のプ ロセス制御コンピュータは能動制御モードとなっている。そのような場合、プラ ント技術者は受動プロセス制御コンピュータ用の書込コマンドメツセージを出す ために最終プログラムテスト中にダウンロードアシスタント７８を用い、その開 催のプラント技術者が同じフロントエンドコンピュータ１８を介して能動プロセ ス制御コンピュータに書込コマンドメツセージを出す。

保安サーバ６８はネットワーク２０上で通信を行うそのネットワークのコンピュ ータの夫々に通知を行うために用いられる。これに関し、保安サーバはそのネッ トワーク上の有効なエンティティの夫々について固有の保安テーブルを記憶して いる。これら保安テーブルの夫々は特定のネットワークコンピュータが双方向通 信を行うネットワークコンピュータエンティティを識別する。例えば、フロント エンドコンピュータ１８ａ−１８ｂの場合には、スタートアップについての第１ 機能の内の一つは保安テーブル１８から夫々の保安テーブルを得ることである。

従って、図１に示す保安サーバ６８はフロントエンドコンピュータ１８ａについ て保安テーブル“８１１′およびフロントエンドコンピュータ１８ｂについて保 安テーブル“Ｓ２”を記憶する。保安サーバは上述のＰＬおよびＰＬ許可テーブ ルをフロントエンドコンピュータ１８に送るためにも使用しうるが、好適には新 しくコンパイルされた許可テーブルをダウンロードアシスタント７８から受ける ようにする。これに関し、ダウンロードアシスタントはＩＦＳ回路２８用のトラ ンスファマツプ３７を適正な許可テーブルと共にフロントエンドコンピュータ１ ８に送るためにも使用される。

保安サーバ６８からフロトンエンドコンピュータ１８ａ−１８ｂへの保安テーブ ル転送の完全性を保証するために、この実施例ではこれら転送を有効化する方法 が利用される。この方法によれば、フロントエンドコンピュータ１８は、保安サ ーバ６８が適正な保安テーブルを送るためのプレリュードとしてそれ自体を識別 することを要求するための乱数または疑似乱数を放送ネットワークメツセージに 埋め込む。この保安サーバは他のタイプのネットワークメツセージと共に使用さ れるものとは異なる保安プロトコル識別子を利用する肯定メツセージでこの要求 に応答する。特に、この肯定メツセージはフロントエンドコンピュータ１８から の変換された状態の乱数を含む。これに関し、適当な暗号化アルゴリズムを用い てこの乱数を変更し、そしてその乱数は許可されないエンティティにとってデコ ードが困難であるビット数（例えば３２ビツト）を有する。この肯定メツセージ の受信によりフロントエンドコンピュータ１８はその乱数を得るために暗号化プ ロセスを逆にするかあるいは送信されそして受信された乱数間の比較を行うため にその元の乱数を暗号化する。これら乱数が整合したとすると、フロトンエンド コンピュータ１８は肯定メツセージが有効な保安サーバから受信されたものであ ることを決定し、そして転送プロセスが行われることになる。

フロントエンドコンピュータ１８ａ−１８ｂとコンビエータネットワーク２０上 の他のエンティティとの間の通信の保安性を更に向上させるために、付加的な検 証手順が行われる。詳細に述べると、この付加的な検証手順はフロトンエンドコ ンピュータ１８ａ−１８ｂと、書込コマンドメツセージが認識されたネットワー クエンティティ間の通信を許すために利用される。この検証方法によれば、フロ ントエンドコンピュータ１８は、書込メツセージ容量を有するものとして認めら れるネットワーク２０上の各ホストエンティティのエサ−ネットアドレスに周期 的にコントラクトオファ−メツセージを送る。これらコントラクトオファ−メツ セージの夫々は乱数または疑似乱数または他の適当な予測不能なメツセージ成分 を含む。ホストエンティティが認識されたその書込コマンドメツセージを有しつ るようにするために、それはそのコントラクトオファ−メツセージに対し予定の 時間（例えば１０秒）内にこの予測不能なメツセージ成分の変換バージョンを含 むコントラクトアクセプタンスメツセージで応答しなければならない。この目的 には適当な暗号化アルゴリズムを使用出来るが、好適にはこの暗号化アルゴリズ ムは保安サーバ６８からの保安テーブルの転送を有効にするために用いられる暗 号化アルゴリズムとは異なったものである。更に、保安メツセージプロトコルは これらコントラクトオファ−およびアクセプタンスメツセージについて使用出来 る。

フロントエンドコンピュータ１８はこのときコントラクトアクセプタンスメツセ ージに埋め込まれた乱数を解読し、フロントエンドコンピュータと保安テーブル に含まれているホストエンティティ用の特定のエサ−ネットアドレスにあるこの ホストエンティティとの間に時限通信コントラクトが成立したかどうかを決定す る。この時限通信コントラクトは、フロントエンドコンピュータ１８と特定のホ ストエンティティとの間の書込コマンドメツセージリンクを信頼性のあるそして 特定なものであるように保証する。このように例えばフロントエンドコンピュー タ１８ａは新しい乱数（例えば３２ビツト長）を含むオペレータワークステーシ ョン７２のエサ−ネットアドレスにコントラクトオファ−メツセージを送る。こ のオペレータワークステーション７２はこの特定の乱数の暗号化されたバージョ ンを含むコントラクトアクセプタンスメツセージをもってそれに応答する。次に フロントエンドコンピュータ１８ａはこの数をその目的のためにそのメモリに記 憶したコントラクトアルゴリズムキーで暗号化し、あるいはその暗号化アルゴリ ズムを用いてオファ−数とアクセプタンス数の比較を行う。これら数が整合すれ ばフロトンエンドコンピュータ１８ａは予定の時間だけオペレータワークステー ション７２からの書込コマンドメツセージを処理する。他方、これらの数が整合 しない場合には、フロトンエンドコンピュータ１８ａは保安テーブルＳ１からオ ペレータワークステーション７２のエサ−ネットアドレスについての書込コマン ド許可ビットを不能にしてこのオペレータワークステーションからの書込コマン ドメツセージを無視すべきことを示す。

書込コマンドメツセージについてつくられた通信コントラクトはそれら特定のメ ツセージの伝送上の安全性を向上するために時間的に制限される。この実施例で はこの通信コントラクトは初期化後２０秒以内に自動的に消滅する。しかしなが ら、書込コマンドメツセージを送る能力が中断されないようにするために、コン トラクトオファ−メツセージはフロントエンドコンピュータ１８から周期的にネ ットワーク２０上の適正なホストエンティティの夫々に送られるべきであり、こ れがこの連続性を与えることになる。例えば、２０秒の通信コントラクトではコ ントラクトオファ−が約１０秒毎の速度で送られるとよい。すなわち、認識可能 な書込コマンドメツセージを送ることの出来るホストエンティティの夫々は１０ 秒毎にフロトンエンドコンピュータ１８の夫々から新しい乱数を受ける。

一つのホストエンティティがフロントエンドコンピュータ１８からのコントラク トオファ−メツセージに応答しない場合にはそのフロントエンドコンピュータは 好適には時限通信コントラクトをつくりあるいは維持する試みを３回行う。これ ら３回の試みに対しても応答がないときにはフロントエンドコンピュータ１８は その保安テーブルからのこのホストエンティティのエサ−ネットアドレスについ ての書込コマンド許可ビットを不能にする。

その場合、影響を受けるホストエンティティは保安サーバ６８がフロントエンド コンピュータ１８に新しい保安テーブルを送るまでフロントエンドコンビエータ １８によりその書込コマンドメツセージが処理されえないようになる。

以上から、乱数は保安テーブルの転送を容易にするためまたは書込コマンドメツ セージ用の時限通信コントラクトを成立させるためにのみ暗号化すればよいこと がわかる。しかしながら保安テーブルそれ自体または書込コマンドメツセージは 適正なアプリケーションにおけると同じ（暗号化されうるちのである。それにも 拘ず、保安メツセージと書込コマンドメツセージについての異るエサ−ネットプ ロトコルの使用、保安メツセージと書込コマンドメツセージについての異る暗号 化アルゴリズムとの使用、書込コマンド通信コントラクトの短時間への時限、お よびフロントエンドコンピュータ１８の夫々についての特定の許可テーブルの使 用は組合せによりプロセス制御コンピュータ１２ａ−１２ｂについての非常に高 度の通信および書込コマンドの安全を保証するものである。付加的な保護はステ ルスインターフエース回路１６のガーディアン回路、ＰＬおよびＰＲ許可テーブ ルへのプログラムバージョン識別子の埋め込みおよび、検査された書込コマンド メツセージがプロセス制御コンピュータ１２ａ−１２ｂに送られるとき、のフロ ントエンドコンピュータ１８ａ−１８ｂによるそれらプログラムバージョン識別 子の暗号化により実質的に与えられる。これに関し、プログラムバージョン識別 子についてフロントエンドコンピュータ１８ａ−１８ｂにより用いられる暗号化 アルゴリズムは保安テーブル転送に用いられる暗号化アルゴリズムまたは書込コ マンドメツセージ用の時限通信コントラクトをつくるために用いられる暗号化ア ルゴリズムとは異る。

図３はステルスインターフエース回路１６のブロック図である。また図４Ａ−４ Ｂはこのステルスインターフエース回路１６の概略図である。ステルスインター フエース回路１６はプロセス制御コンピュータ１２の内部バス構造１００と外部 に向かうステバスポート１０２の間に配置される。ステルスインターフエース回 路１６は一組の適当なバッファを介してバス構造１００に接続する。

これに関し、バッファブロック１０４は２個の８ビツトバツフア回路Ｕ１７−Ｕ １８を含み、これらバッファ回路がプロセス制御コンピュータ１２のアドレスバ スからアドレス情報を受ける。同様に、バッファブロック１０６は２個の８ビツ トバツフア回路Ｕ６−Ｕ７を含み、御をプロセス制御コンピュータ１２から受け る。これらこれらバッファ回路がプロセス制御コンピュータ１２のデータバスか らデータ情報を受ける。

またこのステルスインターフエース回路１６は、プロセス制御コンピュータ１２ のバス構造１００に接続するデータ制御ブロック１０８を含む。図４Ａに示すよ うに、このデータ制御ブロック１０８は好適にはプログラマブルアレイロジック “ＰＡＬ“回路Ｕ１５（ＮえばＥＰ５１２）からなり、これがプロセス制御コン ピュータ１２から５ＤＳＳおよびＤＳＳ信号を検出するために用いられる。周知 のようにＰＡＬ回路は、複数の内部ＡＮＤゲートおよびＯＲゲートが所望の論理 機能を行うように構成されるようにプログラムされるフユージブルリンクを有す る。ＰＡＬ回路は論理機能を行う比較的安価な方法を与えるが、またこのＰＡＬ 回路はプロセス制御コンピュータ１２により発生される２個のエキストラストロ ーブ信号、すなわち“ＥＸＳ　１”と“ＥＸＳ２”、を検出するようにプログラ ムされる。これらエキストラストローブ信号の一方または両方がプロセス制御コ ンピュータ１２により用いられて、デュアルポートデータメモリ２２に記憶され た成るデータ、例えばグラフィック情報を表示するために用いられるデータ、か 安定であることを示す。

またステルスインターフエース回路１６はデュアルポートデータメモリ２２のア クセスに用いられる４個の制を含み、これらが外部ステバスポート１０２からア ドレ信号は“／ＥＮ　ＤＡＴＡＭＥＭ″、”Ｒ／Ｗ”オヨヒ“ＭＥＭＣＬＫ”で ある。これらの内はじめの三つの信号はプロセス制御コンピュータ１２がデュア ルポートデータメモリ２２に読取りを行おうとしているか書込みを行おうとして いるかに関係する。しかしながらＭＥＭＣＬＫはデュアルポートデータメモリ２ ２のアクセスに使用しうるプロセス制御コンピュータ１２のマシンサイクルにお ける時間を効果的に分割するメモリクロック信号である。ＭＥＭＣＬＫ信号は図 ５Ａのタイミング図に示すように５０％デユティクロック信号である。

このタイミング図に示す方法によれば、デュアルポートデータメモリ２２はＭＥ ＭＣＬＫが低のとき内部プロセス制御コンピュータボート１００がらアクセスさ れる。

ＭＥＭＣＬＫが高状態に転位すると、デュアルポートデータメモリ２２は外部ス テバスポート１０２がらアクセスされる。ＭＥＭＣＬＫ信号は４００ナノ秒の周 期（すなわち周波数２．５ＭＨｚ）を有するように示されているが、適当なアプ リケーションでは他の適当な周期およびデユティサイクルを用いることが出来る 。

ステルスインターフエース回路１６のステルスポート側には一組の適当なバッフ ァがアドレスおよびデータ情報の転送のために設けである。これに関し、バッフ ァブロック１１０は２個の８ビツトバツフア回路Ｕｌ−Ｕ２ス情報を受ける。同 様に、バッファブロック１１２は２個の８ビツトバツフア回路Ｕ４−Ｕ５を含み 、これらがデュアルポートデータメモリ２２とステバスポート１０２の間のデー タ情報を受送を行うことが出来る。

更に、ステルスインターフエース回路１６は調停回路１１４を含み、これはステ バスポート１０２の側の外部エンティティからバス要求信号を受ける。図５Ｂに 示すようにこの実施例は入来バス要求信号“／ＢＲＩ、、／ＢＲ４”について４ 本のチャンネルラインを与えている。

このように、ステルスインターフエース回路１６はステバスポート１０２に４個 までの異る外部エンティティを接続出来る。図４Ｂの調停回路１１４は４人力間 期バスアービタ（ａ＋ｂＮｅ＋　）回路Ｕ９を含み、これが受信した第一のバス 要求信号に対しバスアクセスを許可する。これに関し、特定のバス許可信号“／ Ｂ　Ｇ　１．、／Ｂ　Ｇ　４″は、そのチャンネルが使用についてクリアとなっ ているバスを獲得した特定の外部エンティティを究極的に通知するために発生さ れる。調停回路１１４は、図５Ａのタイミング図に示す任意バス要求（■ｙ−ｂ ｕｓ−＋ｅＢｔｓｊ＋ｉｐ）更にこのステルスインターフエース回路１６はステ バスポート制御回路１１６を含み、これがデュアルボートデータメモリ２２への アクセスを制御する。図４Ａ−４Ｂの制御回路１１６はＰＡＬ回路Ｕ１６、タイ マー回路ＵＩＯおよびチップＵ８に含まれる一組の３状態バツフアを含んでいる 。内部プロセス制御コンピュータバス１００についてのメモリアクセスの場合に はＰＡＬ回路Ｕ１６がチップ選択信号″／Ｃ８’″をバッファ１０４と１０６に 送り内部バスからのアドレスおよびデータ情報をラッチまたは捕獲する。プロセ ス制御コンピュータ１２がステルスインターフエース回路１６のデータバス１１ ８からデータをラッチまたは捕獲するときＰＡＬ回路Ｕ１６はまたエナブルメモ リリード信号“／Ｂ−ＥＭＲ”をバッファ１０６に送る。これに関し、ＰＡＬ回 路Ｕ１６はこのＭＥＭＣＬＫ信号とプロセス制御コンピュータ１２の中央処理ユ ニットクロック信号“ＣＰ”の両方に応答する。

外部ステバスポート１０２からのメモリアクセスの場合にはＰＡＬ回路Ｕ１６は エナブル信号’／ＳＰ　ＥＮ”をバッファ１１０と１１２に送り外部バスからの アドレスおよびデータ情報をラッチまたは捕獲する。外部エンティティがステル スインターフエース回路１６のデータバス１１８からデータのラッチまたは捕獲 を許可されたときＰＡＬ回路Ｕ１６はまたエナブルメモリリード信号“ＳＷ／Ｒ ”をバッファ１１２に送る。ＳＷ／Ｒ信号はステバスポートバス１０２に入り、 そして外部エンティティからの所望のデータのフロ一方向の指示を与える。

この実施例ではＳＲ／Ｗ信号はリードサイクルで活性の高、ライトサイ□クルで 活性の低である。ＳＲ／Ｗ信号は４個の潜在的外部ユーザーのすべてに共通であ り、バスを獲得した外部ユーザーがその活性Ｌ　ｏ　ｗ　／　Ｂ　Ｒ信号を受け るまで３状態に保持される。

ＰＡＬ　Ｕ１６はＳＷ／Ｒ信号をチェックポイントガ−ディアン回路１２０　（ ＰＡＬ回路Ｕ１３）に送り、書込動作について外部エンティティにより選択され たデュアルポートデータメモリ２２のアドレスについての検査を開始させる。こ れに関し、ガーディアン回路１２０は、アドレスがメールボックス部分２６内で なければデュアルポートデータメモリチップＵｌｌ−Ｕ１４をアクセスするため にチップエナブル信号“／ＣＥ“において必要な遷移を禁止するようにプログラ ムされる。

ステルスインターフエース回路１６の動作シーケンスについては、ステバスポー ト１０２からのメモリリード／ライトサイクルはデュアルポートデータメモリ２ ２をアクセスしようとする外部エンティティにより開始しなければならない。こ のサイクルは外部エンティティ、例えばフロントエンドコンピュータ１８ａ１か らバスリクエスト信号／ＢＲを送ることで開始される。バスリクエスト信号が入 ると、調停回路１１４は活性低の任意バス任意バス要求信号はＰＡＬ回路Ｕ１６ の内部フリップフロップに向けられ、このフリップフロップがクロック信号ＣＰ により動作する。従って、任意バス要求信号は、ステバスポートアクセスが図５ Ａのタイミング図に示すようにＭＥＭＣＬＫが高となるときに生じるようにクロ ック信号ＣＰの立下り前に与えられなくてはならない。

もしラッチされた任意バス要求信号が活性であれば、ステルスインターフエース 回路１６はステバスポートメモリサイクルを開始する。そうでなければステルス インターフエース回路１６は次のＭＥＭＣＬＫ信号周期までステバスポートメモ リサイクルを開始しない。

ステバスポートメモリサイクルが生じると、／５Ｐ−ＥＮ信号がＰＡＬ回路Ｕ１ ６により発生する。上記のように、この信号はステバスポートのアドレスおよび データバッファを動作可能にする。／ＳＰ　ＥＮ信号はまた調停回路１１４をエ ナブルとし、これによりバスを獲得した外部ユーザについて特定バス許可信号／ ＢＧを出す。

外部エンティティがそのバス許可信号を検出すると、それが読取ろうとするメモ リアドレスまたは書込動作に必要なアドレスおよびデータを伝送する。ＲＡ　Ｍ チップＵ１１−Ｕ１４が実際にアクセスされる前にアドレスは安定しなければな らないから、チップエナブル信号／ＣＥはＰＡＬ回路Ｕ１３により遅延されてア ドレスバッファ１１０からの遅延を可能にする。

１１８のデータは／ＣＥが活性となってから約４５ｎｓで安定する。これに関し 、図５Ｂのタイミング園内の“ＴＣＥ”のような記号は適正な遅延時間を示す。

ＰＡＬ回路Ｕ１６に向けられたリードラッチ信号ＲＤＬＡＴＣＨはこのとき外部 エンティティにより用１．Ｓられてバッファ１１２へのデータのラッチを示しま た（よそのデータが使用可能であることを示す、ステバスポート書込サイクルに ついては、アドレスノくス１２２のアドレスラインがガーディアン回路１２０に よりモニタされて究極的にステバスポート１０２への書込アクセスの許可または 拒否を行う。書込アクセスが拒否されたときにはガーディアン回路は活性の低い チップエナブル信号／ＣＥを発生せず、それ故ステルスポート１０２の外部エン ティティの選択されているデュアルポートデータメモリ２２内の特定のアドレス ロケーションへの書込みを制限する。この場合、ガーディアン回路１２０　ｔ！ ライトアドレス有効信号“ＷＲＡＤ　ＶＡＬ”を発生し、これが制御回路１１６ のＰＡＬ回路Ｕ１６に送られる。このＰＡＬ回路Ｕ１６は外部エンティティへの 送信のためのライトアドレスエラー信号’ＷＲＡＤ　ＥＲＲ’を発生することで 応答する。このライトアドレスエラー信号は活性の高であり、現在のメモリアク セスサイクル中にのみ有効であり、そしてこの信号はすべての外部エンティティ に共通である。

有効な書込アドレスへのステバスポートアクセスについてはガーディアン回路１ ２０は／ＣＥ信号を活性化する。更に外部エンティティからのＳＲ／Ｗ信号はバ ス許Ｕ１６もデュアルポートデータメモリ２２のＲＡＭチップＵｌｌ−Ｕ１４用 のライトエナブル信号／ＷＥを活性にし、そして／ＷＥ信号の立上りを利用して これらＲＡＭチップにデータを書込む。

また制御回路１１６はタイマー回路ＵＩＯを含み、これがバス許可信号／ＢＧの 内の一つが活性となってから約１５０ｎｓでＣＬＥＡＲ信号を発生する。このＣ ＬＥＡＲ信号はバッファチップＵ８内の３状態バツフアに各外部ユーザーへの個 々のバス許可信号“ＢＧＩＣＬＲ，、ＢＧ４　ＣＬＲ″を発生させるために用い られる。このＣＬＥＡＲ信号はまたステルスポートエナブル信号／ＳＰ　ＥＮを 減勢することによりステバスポートメモリサイクルをクリアするために用いられ る。

図６Ａ−６Ｅは上記の保安および検証方法の種々の態様を示すためのフローチャ ートである。これに関し、図６Ａは保安サーバ６８についてのサーチに向けられ るフロントエンドコンピュータ１８のブートアップ（ｂｏｏｔ　ｏｐ）手順の部 分を示す。保安サーバがフロントエンドコンピュータ１８に対しそれ自体適正に 識別されてしまうと、図６Ｂは保安テーブル（例えば保安テーブル８１）の転送 の手順を示す。そして図６０は保安テーブルで書込コマンド能力をもつものとし て識別されたオペレータステーションの夫々に対する時限通信コントラクトをつ くるための手順を示す。図６Ｄ−６Ｅはオペレータステーション（例えばオペレ ータステーション７２）から送られた書込コマンドメツセージを有効にするため の手順を示す。

図６Ａにおいて、ブロック２００は、フロントエンドコンピュータ“ＦＥＣ”が 保安サーバ６８がそれ自体をこのフロントエンドコンピュータに対して識別する ことを要求する放送メツセージをコンピュータネットワーク２０を介して送るこ とを示している。このメツセージは好適には保安メツセージについてエサ−ネッ トプロトコルを利用する。この放送ネットワークメツセージの内容は一般にブロ ック２０２に示しである。これに関し、このネットワークメツセージは宛先アド レス“ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ−ＦＦ”を含み、これによりこのメツセー ジはコンピュータネットワーク２ｏのＰＡＮ−１セグメントとＰＡＮ−２セグメ ントに動作的に結合する各エンティティに送られる。このネットワークメツセー ジはまたフロントエンドコンピュータの原始アドレスを含む。更にこのネットワ ークメツセージはタイプインシーツのデータ部分において、ＣＰＵ識別がフロン トエンドコンピュータ１８の接続するプロセス制御コンピュータ１２に対して与 えられる。更に、そして重要なことは、このネットワークメツセージのデータ部 分が３２ビツトの乱数のような予測不能なキーを含むことである。前述のように この乱数キーは保安サーバ６８の識別の検査に用いられる。

ブロック２０４は、保安サーバ６８が放送ネットワークメツセージ内の、フロン トエンドコンピュータの物理的なエサ−ネットアドレスおよびそのプロセス制御 コンピュータ１２のＣＰＵ　ＩＤのような情報のすべてをチェックすることを示 す。この情報がこのフロントエンドコンピュータ用の保安サーバに記憶された情 報に対応するとすれば、肯定メツセージ２０６はフロントエンドコンピュータの 物理的なエサ−ネットアドレスにもどされる。フロントエンドコンピュータが保 安サーバ６８の識別を検査しつるようにするため、肯定メツセージ２０６はフロ ントエンドコンピュータ１８から送られる乱数キーの変換を含む。上述のように この変換は保安サーバ６８からのメツセージに固有の暗号化アルゴリズムをもっ て行われる。

ダイヤモンド２０８は、フロントエンドコンピュータ１８が予定の時間だけ肯定 メツセージを待つことを示しはフロントエンドコンピュータはそのメモリに記憶 された最後の保安テーブルを用いあるいはこれがそのフロントエンドコンピュー タ１８が動作した初めの時であれば省略保安テーブルを用いる（ブロック２１ｏ ）。しかしながら、この肯定メツセージ２０６が時間内に入れば、フロントエン ドコンピュータ１８は肯定メツセージに含まれるそのキーの変換されたバージョ ンに対してその乱数キーをチェックする（ブロック２１２）。上述のように、こ の比較は保安メツセージ用の暗号化アルゴリズム乱数キーの変換を行うことによ りまたは対応する解読アルゴリズムを用いることにより行うことが出来る。変換 されたキーが期待されるキ一番号と一致すれば（ひし形２１４）、フロントエン ドコンピュータ１８は保安サーバ６８からの現在の保安テーブルのコピーを転送 するための図６Ｂに示す手順に入る（ブロック２１６）。そうでなければフロン トエンドコンピュータはこのブートアップ手順の部分から出てそれ以上のネット ワーク通信能力の累積を停止する（ブロック２１８）。本発明の一つの形態にお いてはこのフロントエンドコンピュータ１８はこの時点でネットワーク通信に入 ることが出来るが、保安テーブルのフロントエンドコンピュータへの転送が成功 する時までコンピュータネットワーク２０の一つのエンティティから入る書込コ マンドメツセージを処理しない。

図６Ｂにおいてブロック２２０は、フロントエンドコンピュータ１８が保安サー バ６８の特定（論理的または物理的）のエサ−ネットアドレスに要求メツセージ を送ることにより保安テーブルのコピーを変換するための手順をスタートするこ とを示している。この物理的なエサ−ネットアドレスは図６Ａに述べたブートア ップ手順を介して学習し記憶したアドレスである。ブロック２２２は、この要求 メツセージがフロントエンドコンピュータ１８によりサービスされているプロセ ス制御コンピュータ用のＣＰＵ　ＩＤの識別を含むことを示す。更に、またフロ ントエンドコンピュータ１８はこのＣＰＵ　ＩＤが左プロセス制御コンピュータ １２ａ用か右プロセス制御コンピュータ１２ｂ用かについて情報をモードデータ （例えば左プロセス制御コンピュータ用のＭＬ）を介して保安サーバ６８に与え る。

この保安サーバがこの要求メツセージを受けると、それはそのメツセージ内のデ ータをチェックしそしてフロントエンドコンピュータ１８用の制御メツセージを つくる（ブロック２２４）。ブロック２２６に示すように、この制御メツセージ はフロントエンドコンピュータ１８に、その要求メツセージ内で識別されたプロ セス制御コンピュータについての保安テーブルにはいくつかのバイトが含まれて いるかを知らせる。フロントエンドコンピュータ１８は新しい乱数キーを含む肯 定メツセージでそれに応答する（ブロック２２８−２３０）。この保安サーバは 変換された乱数キーと共に保安テーブル（例えば左プロセス制御コンピュータ１ ２ａ用の保安テーブルＳ１）を送る（ブロック２３２−２３４）。そしてこのフ ロントエンドコンピュータ１８は変換されたキーが期待するキーと一致するかど うかを決定する（ひし形２３６）。これらキーが一致しなければフロントエンド コンピュータ１８はそのメモリに記憶された古いまたは現存する保安テーブルを 使用する（ブロック２３８）。そうでなければフロントエンドコンピュータ１８ は新しい保安テーブルを記憶しそして保安サーバに肯定メツセージをもどす（ブ ロック２４０−２４４）。フロントエンドコンピュータ１８はそれ自体の保安テ ーブルをつくるために編集能力を有することが出来るが、フロントエンドコンピ ュータが上記の機能専用となるように別のネットワーク保安サーバを用いるとよ い。

図６０は時限通信コントラクトをつくる手順を示す。

フロントエンドコンピュータ１８は、３２ビツトの乱数で表わされるウォッチド ッグ（ｖ！ｌｃｈ　ｄｏｇ　）キーを発生することで動作を開示する（ブロック ２４６）。フロントエンドコンピュータ１８はオペレータステーションの夫々の 物理的エサ−ネットアドレス（保安テーブル内で書込コマンドメツセージ能力を もつものとして識別された）にウォッチドッグメツセージを送る。これに関し、 これらは個々のウォッチドッグメツセージであって各メツセージについての新し いウォッチドッグキーを含む（ブロック２４８）。そのようなウォッチドッグメ ツセージを受ける各オペレータステーションはそのウォッチドッグキーの変換を 含むウォッチドッグリプライメツセージをもってそれに応答する（ブロック２５ ０−２５２）。

オペレータステーションは現在コンピュータネットワーク２０と通信を行ってい ないことがありうるから、フロントエンドコンピュータ１８は１０秒のようなリ プライ用の適当な時間だけ待つとよい（ひし形２５４）。オペレータステーショ ンがこの時間内にウォッチドッグリクエストメツセージ２４８に応答しない場合 にはフロントエンドコンピュータ１８は更にコンタクトを試みる（ひし形２５６ およびブロック２５８）。これら試み後にリプライがこのオペレータステーショ ンから入らない場合には、フロントエンドコンピュータ１８はそのオペレータス テーションの書込コマンド能力を不能にする（ブロック２６０）。しかしながら 、この書込コマンド能力は、更新された保安テーブルがフロントエンドコンピュ ータ１８に転送されるときのようにそれ以後に再び成立しうる。これに関し、保 安サーノく６８は上記の保安テーブル転送手順をフロントエンドコンピュータ１ ８への適当なネットワークメツセージを介して開始することが出来る。

オペレータステーションがウォッチドッグリクエストメツセージに応答した場合 には、フロントエンドコンピュータ１８はそのリプライメツセージ含まれる変換 されたウォッチドッグキーが期待されるキー数と一致するかどうかを決定する（ ひし形２６２）。この比較により一致がない場合（前述のように）、フロントエ ンドコンピュータ１８はそのリプライメツセージを無視する（２６４）。この時 点で、フロントエンドコンピュータ１８はこのオペレータステーションとの時限 通信コントラクトをつくる試みを再び行うかあるいはその書込コマンド能力を不 能にする。一致する場合にはフロントエンドコンピュータ１８は現在のキー位置 から元のキー位置にそのオペレータステーションの前の有効なウォッチドッグキ ーをコピーする（ブロック２６５）。そしてフロントエンドコンピュータ１８は リプライメツセージ内の受信した変換済のウォッチドッグキーを現在のキー位置 に保存する。

後述するように、現在および元のキーは時限通信コントラクトが有効である期間 中オペレータステーションからの書込コマンドメツセージの有効性を検査するた めに用いられる。これに関し、図６０に示す手順は、時限通信コントラクトが終 了する前に、オペレータステーションのフロントエンドコンピュータ１８により 処理されるそれらの書込コマンドメツセージをもつ連続的な能力を維持するため に、書込コマンド特権をもつオペレータステーションの夫々についてくり返され る。

レータステーション７２）からフロントエンドコンピュータ１８に送られた書込 コマンドメツセージを有効化するための手順を示す。この手順はオペレータステ ーションが書込コマンドメツセージをフロントエンドコンピュータ１８に送るこ とではじまる（ブロック２６８）。このメツセージは好適にはフロントエンドコ ンピュータ１８とコンピュータネットワーク２ｏの他のエンティティとの間の通 信に標準エサ−ネットプロトコルを利用する。

これに関し、書込コマンドメツセージは変更されるべき変数のみならず、時限通 信コントラクトからのウォッチドッグキー、受信プロセス制御コンピュータのＣ ＰＵ識別およびこのプロセス制御コンピュータ１２のプログラムバージョン識別 をも含んでいる。フロントエンドコンピュータ１８はこのときこの書込コマンド メツセージについていくつかのチェックを行う。例えばフロントエンドコンピュ ータ１８は保安テーブルを検査し、それがこの特定のオペレータステーション用 のエンティティを有するかというかを決定する（ひし形２７ｏ）。もしこのオペ レータステーションがその保安テーブルになければ、フロントエンドコンピュー タはこの書込コマンドメツセージをオペレータステーションにもどしそしてこの エラーの記憶ログを発生する（ブロック２７２）。

このオペレータステーションが保安テーブル内で識別されればフロントエンドコ ンピュータは書込コマンドビットがこのオペレータステーションについてセット されているかどうかの決定を行うべく保安テーブルをチェックする（ひし形２７ ４）。この時点でこの保安テーブルはフロントエンドコンピュータと通信するコ ンピュータネットワーク２０上のすべての有効なエンティティのエサ−ネットア ドレスのみならず、それらエンティティが書込コマンド特権を有しているかどう かのインジケーションをも含んでいることに留意され度い。この保安テーブルは 、ＣＰＵ識別のようなこれらエンティティの夫々に関係する付加的情報およびア ラームメツセージのようなプロセス制御コンピュータからの情報の特定のタイプ をこれらエンティティが要求しているかどうかの情報を含む。保安テーブルが書 込コマンド特権を示すためにセットされたビットを有していない場合には、フロ ントエンドコンピュータはその書込コマンドメツセージをオペレータステーショ ン（または他の原始エンティティ）にもどしそしてこのエラーをログにする（ブ ロック２７６）オペレータステーションが書込コマンド特権を有する場合には、 フロントエンドコンピュータはウォッチドッグキー（書込コマンドメツセージに 含まれる）が現在または元のウォッチドッグキーと一致するかどうかを決定する （ひし形２７８）。一致がなければフロントエンドコンピュータは無効ウォッチ ドッグメツセージをオペレータステーションにもどす（ブロック２８０）。一致 があればフロントエンドコンピュータは好適には書込コマンドメツセージに含ま れるプログラムバージョン識別が受信プロセス制御コンピュータ１２用のフロン トエンドコンピュータに記憶されたプログラムバージョン識別と一致するかどう かのチェックを行う（ひし形２８２）。

これらプログラムバージョン識別が一致しなければフロントエンドコンピュータ は無効プログラムバージョンメツセージをオペレータステーションにもどす（ブ ロック２８４）。

フロントエンドコンピュータ１８はまた受信プロセス制御コンピュータ用の許可 テーブルをバイパスすべきことをインジケーションが書込コマンドメツセージに 含まれているかどうかについてのチェックを行う（ひし形２８６）。許可テーブ ルのバイパス能力は特殊な特権をもつオペレータに割当てられるパスワードまた は物理的なキーの使用を必要とするその特権と考えることが出来る。

バイパスビットが書込コマンドメツセージにセットされていればフロントエンド コンピュータは好適には、特定の許可テーブルまたはテーブル部分であって、バ イパスが許可されていないときはアドレスされることになるものについてバイパ スが許可されるかどうかを決定するために許可テーブル（例えば許可テーブル８ ０ａ）をさらにチェックする（ひし形２８８）。この許可テーブルのバイパスが 許可されない場合にはフロントエンドコンピュータはこの方法では書込アクセス を使用出来ないことを示すメツセージをオペレータステーションに送る（ブロッ ク２９０）。この許可テーブルのバイパスが許可されればフロントエンドコンピ ュータは書込コマンドメツセージを、フロントエンドコンピュータの許可テーブ ルに記憶されたプログラムバージョン識別の変換されたバージョンと共に受信プ ロセス制御コンピュータに送る（ブロック２９２）。受信プロセス制御コンピュ ータ１２はこのとき、この変換されたプログラムバージョン識別がそのオペレー ティングプログラムのプログラムバージョン識別と一致するかどうかを書込コマ ンドメツセージにリストされた変数の変更の決定前に決定する。

書込コマンドメツセージがバイパスビットを有しない場合にはフロントエンドコ ンピュータ１８は、変更されるべき変数がそれらの書込コマンドビットセットを 有するかどうかを決定するために許可テーブルを検査する（ひし形２９４）。書 込コマンドビットがこれら変数の任意の１個についてセットされていなければフ ロントエンドコンピュータはオペレータステーションに書込アクセスメツセージ をもどさない（ブロック２９６）。他方、この書込コマンドメツセージが受入れ 可能であることをフロントエンドコンピュータが決定すれば、それがそのメツセ ージを上述のように受信プロセス制御コンプレッサに送る（ブロック２９２）。

図７はフロントエンドコンピュータ１８用のアプリケーションソフトウェア３０ ０のブロック図である。これに関し、図７はアプリケーションソフトウェアの、 フロントエンドコンピュータ１８のＱバス３０２およびコンピュータネットワー ク２０についてのエサ−ネットサービス３０４との対話を示している。このよう に、例えばＱバス３０２とＩＦＱドライバ３０８の間に双方向ラインが設けであ る。ＩＦＱドライバ３０８はフロントエンドコンピュータ１８のＣＰＵとの通信 を制御するためのデバイスドライバソフトウェアを表わす。ＩＦＱドライバ３０ ８はデータ記憶事象３１２を介して“ＭＩ　５ｙｎｃ”サブシステム３１０に結 合する。これに関し、ＭＩ　５ｙｎｃサブシステムは、例えばプロセス制御コン ピュータ１２ａ−１２ｂの内の一方からの５ＤＳＳデータが適正な一時（ｉｎｆ ｅｒｉａ＋　）バッファ（例えば一時バッファ４６ａまたは４８ｂ）に完全に入 っているとき、■ＦＱドライバ３０８からＤＭＡ完了の通知を受ける。図１の反 射メモリ４６ａ−５６ａは図７においては反射メモリ３１４として示しである。

また図７は反射メモリ３１４がフロントエンドコンピュータ１８のＱバス３０２ に動作的に結合することを示している。

ＭＩ　５ｙｎｃサブシステム３１０はアプリケーションソフトウェア３００の、 プロセス制御コンピュータ１２ａ−１２ｂの夫々からの５ＤＳＳおよびＤＳＳデ ータフレームを前述のように反射メモリ３１４の動作により同期させるように作 用する部分を表わす。またこのＭＩ　５ｙｎｃサブシステムはデータフレームが 処理用として使用可能なときを“ＭＩ　ＭＯＤヘルス（ｆｌｅＩ目ｈ）”モジュ ール３１６と“システムメツセージ（Ｓ７ｓｊｅ■ＭｅｓｓＢｅｓ）　”モジュ ール３１８に知らせる。更に、Ｍｌ！３ｙｎｃサブシステム３１０は例えばプロ セス制御コンピュータの一方がフロントエンドコンピュータ１８へのデータ送信 を停止したとき、反射メモリの更新が生じないかどうかを検出するためにも用い られる。この手順は“ＭＯＤ状態（Ｈｉｊｕｓ）　”モジュール３２０と“Ｍｌ ウォッチドッグ（Ｌｔｃｈｄｏｇ）　”モジュール３２２より行われる。Ｍ！ウ ォッチドッグモジュール３２２はフロントエンドコンピュータ１８がプロセス制 御コンピュータ１２ａ−１２ｂのいずれかからのデータ受信を停止したかどうか を検出するために２秒タイマーを用いる。

ＭＩ　ＭＯＤヘルスモジュール３１６はプロセス制御コンピュータ１２ａ−１２ ｂからフロントエンドコンピュータ１８に入るデータ内のヘルス（ｈｅｔｌｔｈ ）ビット変化を処理する。これに関し、ＭＩ　ＭＯＤ’、ルスモジュール３１６ はこれら変化を“ＥＶＴイベントハンドラ（Ｅｗｃｎｔ　Ｈｚｎｄｌｅ＋　）　 ”モジュール３２４に送る。同様にＭｌシステムメツセージモジュール３１８は プロセス制御コンピュータからのシステムメツセージを処理しモしてＥＶＴイベ ントハンドラモジュール３２４への要求に加わる。ＥＶＴイベントハンドラモジ ュール３２４はイベントバッファを処理し、プリントサービスモジュール３２６ への出力用のテキストをフォーマット化しそしてエラーおよびイベントログ内の 他のイベントを記録する。

反射メモリ３１４は、それらについての読取動作を行う“ＭＩ　Ｃｌ５Ｓメモリ 読取”モジュール３２８に結合する。これに関し、ＭＩ　Ｃｌ５Ｓメモリ読取モ ジユール３２８は照合レスポンスをデータ／メツセージの転送用の標準エサ−ネ ットプロトコルにフォーマット化しそしてそのレスポンスをポート３３０を介し て要求ネットワークエンティティに向ける。“ＮＩ　Ｃｌ５Ｓ”モジュール３３ ２はデータ／メツセージの転送用の標準プロトコルを用いてネットワークエンテ ィティからの照合要求を受ける。ＮＩ　Ｃｌ５Ｓモジユール３３２はそのメツセ ージの初期保安チェックを行いそしてその要求をメツセージタイプにより決定さ れた通りに適当なプロセスに方向づける。例えばＮＩ　Ｃｌ５Ｓモジユール３３ ２は読取データメツセージをＭＩ　Ｃｌ５Ｓメモリ読取モジユール３２８に経路 指定する。更にこのＮＩＣｌ５Ｓモジユール３３２はプログラムダウンロード要 求を“Ｍｌダウンロートノ１ンドラー”モジュール３３４に方向づける。他の要 求メツセージは“Ｍｌメツセージサービス”モジュール３３４に向けられる。

アプリケーションソフトウェア３００はまたユーザインターフェースとの通信を 容易にするモジュールを含む。

これに関し、ユーザインターフェースは、プロセス制御コンピュータ１２ａ−１ ２ｂの一方へのインターフェースとは異りフロントエンドコンピュータ１８の動 作にウィンドーを与えるために用いられる。ユーザインターフェースソフトウェ アは、フロントエンドコンピュータ１８に直接接続する端末を介して“論理的” にアクセスしうる。ユーザインターフェースソフトウェアはまた保安サーバ６８ から走行されるアプリケーションを介して“遠隔的”にアクセスしつる。ユーザ インターフェースは特定のプロトコルについてのネットワーク通信を不能にしま たは再可能にし、診断機能を行い、フロントエンドコンピュータ１８を再びブー トし、反射メモリの更新をモニタし、ネットワークアクティビティをモニタし、 そして特権をもつフロントエンドコンピュータの機能へのアクセスを管理するた めに使用される。

ユーザインターフェース要求を扱うアブリケーションソフトウェアモジュールは ’ＮｌＮｌリモートユーザモジュール３３８ＵＩクロール”モジュール３４０お よび″Ｕｌサービス”モジュール３４２である。Ｎｌリモートユーザモジュール ３３８はユーザインターフェースそして有効な要求をＵｌサービスモジュール３ ４２に送る。ＵＩササ−スモジュール３４２はローカルおよびリモートユーザ要 求の両方についてのデータサーバを与える。ＵＩクロールモジュール３４０はロ ーカル端末のレスポンスを表示するためのローカルユーザインターフェースディ スプレイスクリーンを扱う。

アプリケーションソフトウェア３００はまた“ＮＩトランスミツトダン（Ｔ目ｎ ５ｍ１ｌ　Ｄｏｎｅ　）”モジュール３４４を含み、これはエサ−ネット書込完 了の通知を受けそしてネットワークインターフェーストランスミツトメツセージ バッファの任意待ち行列を維持する。更に’ＥＶＴ７ｙイルメイント（Ｆｉｌｅ 　Ｍ＊１ｎｉ）″モジュール３４６は古くなったイベントログファイルを削除す るために用いられる。更に“Ｎｌウォッチドッグモジュール３４８および“ＮＩ 　５Ｃ３Ｐ”モジュール３５０が上記のウォッチドッグ保安プロセスを行う。こ れに関し、Ｎｌウォッチドッグモジュール３４８はウォッチドッグ要求メツセー ジをオペレータステーションに送り、Ｎｌ５ｃｓｐモジユール３５０はリプライ メツセージ（並びに保安プロトコルを用いるすべての他のネットワークメツセー ジ）を処理する。またＮｌウォッチドッグモジュール３４８はリプライメツセー ジがウォッチドッグ要求メツセージの夫々に対して入ったかどうかをチェックす る。

ウォッチドッグリプライメツセージ以外にも、Ｎｌ５ｃｓｐモジユール３５０は 他のすべての保安プロトコルメツセージを“ＣＦＧコンフィグマネジャ（Ｃ＋ｎ １１１Ｍ５＋＋Ｂｅ＋　）　’モジュール３５２に送る。ＣＦＧコンフィグマネ ジャモジュール３５２は保安要求を処理しそして許可テーブル８０ａ−８２ａの 初期ローディングを行う。

またＣＦＧコンフィグマネジャモジュール３５２は図８について後述するメモリ マツプのローディングを行う。

アプリケーションソフトウェア３００はまた“ＭＩＦマスクプロセス（Ｍｘｓｔ ｇ＋　Ｐｒｏｃｅｓｓ）　”モジュール３５４を含み、これは他のフロントエン ドコンピュータの処理のすべてをつくるための基本的な初期化ルーチンを行う。

またＭＩＦマスクプロセスモジュール３５４はそれらプロセスのいずれかの予期 しない停止を検出するためにも用いられる。

図８はフロントエンドコンピュータ１８ａの構成を示す。特に、図８は、ＣＦＧ コンフィグマネジャモジュール３５２が保安サーバ６８およびダウンロードマイ スタンド７８と対話してフロントエンドコンピュータ１８ａをブートアップによ り構成するに必要な情報を得ることを示している。これに関し、ｃＦＧコンフィ グマネジャモジュール３５２はＭＩＦマスクプロセスモジュール３５４からの要 求に応じてこれら構成アクティビティを行う。すなわち、ＣＦＧコンフィグマネ ジャモジュール３５２は（前述のように）放送ネットワークメツセージにより保 安サーバ６８を位置ぎめしそして保安サーバから究極的に入る保安テーブルｓ１ をロードする。更にＣＦＧコンフィグマネジャモジュール３５２はまたダウンロ ードアシスタント７８からの許可テーブル８０ａ−８２ａをロードする。またこ のＣＦＧコンフィグマネジャモジュール３５２は図８に示すメモリマツプ３５６ のような、プロセス制御コンピュータ１２ａ−１２ｂの夫々についてのメモリマ ツプを受ける。これらメモリマツプはフロントエンドコンピュータ１８ａが転送 テーブル（例えば転送テーブル３７）をつくりそして反射メモリバッファ３１４ の夫々に入るデータを解釈しつるようにするために用いられる。すなわち、これ らメモリマツプの夫々はプロセス制御コンピュータ１２ａ−１２ｂの夫々につい てのデュアルポートデータメモリ２２の夫々のアドレス可能なロケーションに記 憶されるデータを識別する。このプロセスの部分として、このメモリマツプはプ ロセス制御コンピュータ１２のデュアルポートデータメモリ２２を論理的なセグ メントに分割する。第１のセグメント群は５ＤＳＳデータ値用に用いられ、ＤＳ Ｓデータ値は５ＤＳＳメモリセグメント並びに付加的なセグメントを含む。

上述のようにＭＩ　５ｙｎｃサブモジユール３１０は両プロセス制御コンピュー タ１２ａ−１２ｂ用の５ＤＳＳおよびＤＳＳデータの転送に対するＤＭＡ完了イ ベントを与えられたプロセス制御サイクルスナップショットについてのデータを 表わす結合した一対のデータテーブルに群化する。ここではＤＭＡ完了イベント は左５ＤＳＳバツフア、右５ＤＳＳバツフア、左ＤＳＳバッファおよび右ＤＳＳ バッファと呼ぶことにする。これらデータバッファの入力順序は変化しうるが、 ５ＤＳＳバツフアがＤＳＳバッファに先行する。

ＭＩ　５ｙｎｃサブシステム３１０は上記のように識別されたＤＭＡイベントに 応答する。これに関し、ＭＩＳｙｎｃサブシステム３１０はＤＭＡイベントの完 了を待ち、その後受信したバッファのタイプを決定するためにその状態をチェッ クする。受信したバッファが５ＤＳＳ／＜ソファでありフロントエンドコンピュ ータ１８が対応するＤＳＳバッファをすでに受信していれば、最終完了処理が行 われる。同様に、このタイプのバッファがすでに入っていれば、最終完了処理が 行われる。受けたバッファがこの第１のバッファでない場合には、ＭＩ　５ｙｎ ｃサブシステム３１０は現在の時刻と第１バッファが受けた時刻との間の時間差 をチェックする。

この差が予定の許容値、例えば０．７秒、を越えるならば最終完了処理のステッ プが行われる。もしこれが第１のバッファ（例えば左５ＤＳＳバツフア）であれ ば、そのバッファが入れられる時刻が記録される。このバッファがこの時点で期 待されるものでないときにはその状態が期待するものに変えられる。このバッフ ァに対するポインタもまた記録され、そしてこのバッファが受信したとしてマー クされる。

またＭＩ　５ｙｎｃサブシステム３１０はすべての期待されたバッファ（例えば 左／右５ＤＳＳおよび左５ＤＳＳバツフア）が受信したかどうかについてのチェ ックを行う。すべての期待されるバッファが受信していれば最終完了処理が行わ れる。この最終完了処理中に、受信したバッファのバッファポインタはシステム データ構造にコピーされ、これにより他のアプリケーションがこのデータアクセ スしうるようになる。この手順は“ミューテックス（ｍｕｔｔｔ　）　”と呼ば れる相互排除セマフォーにより、保護される。更に、すべての受信したバッファ についてのエラーカウンタが０にされる。いずれかの期待されたバッファが受信 していない場合には、関連するエラーカウンタが増分される。これらエラーカウ ンタがそのしきい値を越えれば、影響されるバッファが期待されないものとして マークされる。このときすべてのバッファは次のバッファ群についての処理の準 備のために受信されないものとしてマークされる。受信したメモリバッファをア クセスするアプリケージジンはこのとき使用のののための共用システムデータ外 のバッファポインタをコピーする。

ＭＩ　５ｙｎｃサブシステム３１０の動作をより詳細に示すために、このソフト ウェア用のモジュールシップシスおよび擬似コードを次に示す。更に、反射メモ リノくソファ３１４のデータ構造も擬似コードの解釈を容易にするために次に示 す。これらデータ構造は表１−３に、モジュールシップシスは表４にそして擬似 コードはその後に示しである。

表１：反射メモリデータ構造 データアイテム　データフォーマットの説明インク ＲＩＧＨＴ　ＤＳＳ　ＰＴＲポインタ　現在の右ＤＳＳ反射メモリバッファに対 するポインタ ＦＯＸ　ＤＳＳ　ＰＴＲポインタ　現在のフォックスＤＳＳ反射メモリバッファ に対するポインタ モリマツプ（左または右）に対するポインタＤＯＧ　ＭＡＰ　ＰＴＲポインタ　 現在のドッグバッファについての現在のメモリマツプ佐または右）に対するポイ ンタ ＦＯＸ　５ＩＤＥ　長ワード　フォックスであるチャンネルを示す。０＝左、１ ＝右、−１＝定義なし ＤＯＧ　５ＩＤＥ　長ワード　ドッグであるチャンネルを示す。０＝左、１＝右 、−１＝定義なし ＩＳＳ要求用の情報バイト。フォックス／ドッグ状態を含む ＩＳＳ要求用情報バイト。フォックス／ドッグウンドＣｌ５Ｓ要求用情報バイト 。左／右状態ドＣｌ５Ｓ要求についての情報バイト。左／右表２：反射メモリデ ータ構造 データアイテム　データフォーマットの説明から成る。各ＲＭＢＭＳエントリは 特定の反射メモリタイプα乙／右５ＤＳＳおよびＤＳＳ）をトラックしつづける ために用いられる。記ＳＳをアクセスするために定義される。

ＬＡＳＴ　ＲＥＣＥＩＶＥＤ　時間　このタイプの最後のバッファの受信時刻を 特定する ＤＭＡ　ＥＶＥＮＴ　オブジェ　このタイプのメモリバッファについてのＤＭＡ クト変数　完了が完了したときＩＦＱドライバにより通知されるイベント用ＶＡ ＸＥＬＮオブジェクト■Ｄを含む を呼び出すことにより通知されるイベント用のＶＡＸＥＬＮオブジェクトＩＤを 含む ＤＩＳＡＢＬＥ　ＥＶＥＮＴ　オブジェ　ＭＩＳｙｎｃにストローブカ坏能とな ったことクト変数　を通知する。ＭＩ　ＤＩＳＡＢＬＥ　５ＴＲＯＢＥＳを呼び 出すことによりこのタイプのメモリについてのＤＭＡ完了時にＩＦＱドライバに より通知されるイベント用ＶＡＸＥＬＮオブジェクトＩＤを含む ＰＥＮＤ　ＢＵＦＦ　ＰＴＲポインタ　現在の時間ウィンドーにおいてこのメモ リタイプについて受信したＤＭＡバッファに対するポインタを含む。ＭＩ　ＲＭ 　ＤＡＴＡに対するポインタをコピーすることによりＭＩＳｙｎｃによりナルに リセット ＲＭＢ　ＳＴＳ　長ワード　この反射メモリバッファの状態を示す長ワードピッ トマスク。個々のビットフィールドは次の通り。

ＲＭＢ　ＳＴＳ　Ｖ　この反射メモリタイプについてＥＸＰＥＣＴＥＤ　の関連 ストローブがエナブルとなったことを示す。従って、Ｄ ＭＡ完了が期待されることを示 ＲＥＣＥＩＶＥＤ　（７）ＤＭＡ完了が現在（７）ＤＭＡ時間ウィンドー内で生 じたことを 示すためにＭＩＳｙｎｃにより 使用されるＲＭＢ　ＳＴＳ内の ビット。完全なバッファセット が受信されそしてその後受信さ れたように個々のバッファタイ プについてセットされるとクリ アされる。

ＲＭＢ　ＳＤ　Ｖ　ビット　この反射メモリタイプＤＳＳ　ＢＵＦＦ　について のＤＭＡ完了が現在のＤＭＡ時間ウ イつド−内に生じたこ とを示すためのＭＩＳ ｙｎｃ０完全なバッフ ァセットが受信されそ して受信されたように 個々のバッファタイプ についてセットされた ときクリアされる。問 題の反射バッファタイ プが左ＤＳＳ反射メモ リバソファかまたは右 ＤＳＳ反射メモリバッ ファ用かを示す。

ＲＭＢ　ＳＴＳ　Ｖ　ビット　関連するストローブがＥＮＡＢＬＥ　エナブルと なったかど うかを示す。

Ｃ０Ｎ５　ＥＲＲＣ０ＵＮＴ　長ワード　このバッファタイプについて連続する 受信障害の数を特定する ＤＭＡ　ＥＲＲＣ０ＵＮＴ　長ワード　このバッファタイプについての連続する ＤＭＡ完了障害の数を特定する。

ＡＤＳＢ　構造　指示されたＤＭＡ完了状態に対しドライブにより用いられる非 同期データ状態ブロックを特定する。この構造はＩＦＱＳ　ＡＤＳＢタイプであ り状態フィールドとバッファ番号フィールドを含む ＢＵＦＥＥＲ［’ＴＲボイ：／夕　ＩＦＱＳ　ＥＮＡＢＬＥ　ＤＳＳまたはＳＤ Ｓアレイ　Ｓで特定される順にこの反射メモリタイプにっ［８］　いて用いられ る８個までのＤＭＡバッファアドレスをもつＢＵＦＦＥＲＰＴＲアレイ。このア レイは今受信したＤＭＡバッファのベースアドレスをとり出すためにＡＤＳＢで もどされるバッファ番号フィールドの添字を有する。このアレイの大きさは最大 数のＤＭＡバッファをＩＦＱトライバでサポートしうるようにする。

ＢＵＦＦ−旧ＳＴ　ＩＤＸ　長ワード　ＢＵＦＦ　ＨＩＳＴ　ＰＲＴ７ｔ／イ１ ．：対スルインデクス。最も最近に更新されたバッファを示す。

ＢＵＦＦ　ｌｌｌ５Ｔ　ＰＴＲポインタ　最も最近に受信したバッファからなる サーキュアレイ　ラーバッファ。ＤＭＡは最後の８秒間に受信し［８１たバッフ ァを示す。ＢＵＦＦ　ＨＩＳＴ　ＩＤＸは最も最近のエントリをポイントする。

表３：反射メモリデータ構造 １ｓｙｎｃでセットされ、そしてＭ■ヘルスチェックおよびＭｌシステムメツセ ージにより用［５ｙｎｃでセットされ、そしてＭｌヘルスチェックおよびＭｌシ ステムメツセージにより用ｌ　５ｙｎｃとＭｌウォッチドッグにより用〜１らス タートアップ時にＭＩ　ＭＰＳＮＵＭ　Ｄオブジェ　ｎＣに第ｌＤＭＡ受信時刻 の再決定を知らせる。

クト 一イブジ　の処理のためにＭＩシステムメツセージをト１ノクト　ガーする ＳＹＳＭＧＲＲＳＥＭＡ　セマフォ　ＭＩＳｙｎｃによりセットされて右反射メ モリーイブジ　の処理のためにＭ１システムメツセージをトリエクト　ガーする ＨＥＡＬＴｔｌ　Ｌ　ＳＥＭＡ　セマフｔ　ＭＩＳｙｎｃによりセットされて左 反射メモリーイブジ　の処理のためにＭＩヘルスチェックをトリガーエクト　す る。

ＨＥＡＬＴＨＲＳＥＭＡ　セマフォ　ＭＩＳｙｎｃによりセットされて右反射メ モリーイブジ　の処理のためにＭｌヘルスチェックをトリガーＡＢＳＴＲＡＣＴ 　入来ＤＭＡバッファ受信を同期化する。

ＭＯＤｔｌＬＥ　ＴＹＰＥ　プロセスメインラインＥｖＥＮＴｓ／ｓＥＭＡｔ’ ｕｏＲｏ　１ｌｌｌ　ＩＩ＆１ＢｖＳ（１新しい反射メモリパラ’７ｙの受け入 れＥＶＥＮＴ　によりＩＦＱＤＭＡ　Ｄｒｉｖｅｒ処理により通知される４個Ｕ 右ＤＳ Ｓ／５ＤＳＳ）完了イベント。ＭＩ ＲＭＢＭＳアレイに対するインデクス はＭＩ　ＲＭ　Ｌ　ＤＳＳＸＭＩ　Ｒ ８である。

ＳＳおよびＤＳＳＤＭＡ更新の受信に おける変化をＭＩＳｙｎｃに知らせる ためにＭＩ　ＥＮＡＢＬＥ　５ＴＲＯ ＢＥＳにより通知される。

５ＤＳＳおよびＤ　Ｓ　Ｓ　ＤＭＡ更新の受信における変化をＭＩＳｙｎｃに知 ら せるためにＭＩ　ＤＩＳＡＢＬＥ　Ｅ ＶＥＮＴにより通知される。

ＳＥＭＡ　される ＳＥＭＡ　される ＳＥＭＡ　ために通知される。

Ｓ詣Ａ　通知される。

０ＴｌｌＥＲＩＮＩ’１ｌＴＳ　ＭＩ　Ｒ１Ｂ１４沖）　４個のＤＭＡ完了イベ ントの夫々；こつ入［ＩＳＢ　いての非同期データ状態ブロックＤＳＳデータパ ッ　ＦＯＸ／ＤＯＧ状態を決定するため書こファ　ＭＩ　ＴＡＳＫ　５ＴＡＴＥ 　ＬまたはＭＩ　ＴＡＳＫ　５ＴＡＥ　Ｒのオ フセットでアクセスされる ＲＯＵＴＩＮＥＳ ／ネ　１ｕｕｅ　ｔｈｅ　ｖｚＮ　ａｎ７　ｔｏｒ　ｔｈｅ　ｔｏｕ「　ＤＭＡ ｃｏｍｐｍｉｏｕ　ｅｖｅｎｔｓ。

ｔｈｅ　ａｎ　ｅｎａｂｌｅ　ｏｒ　ｄｉｓａｂｌｅ　０１　５Ｈｏｂｅｓ、ｏ ｔ　ｔｉｍｅ　ｃｈｓＢｕ：零／ＣＡＬＬＫＥＲＳＷＡＩＴ　ＡＮＹｖｉｌｈ　 ＭＩ　ＲＭＢＭＳ（０）、ＤＭＡ−ＥＶＥＮＴ。

［１］　ＣｌｌｌＤＭＡ　Ｅｎａｂｌｅ［２］　ＣｌｌｌＤＭＡ　Ｄｉｓｘｂｌ ｅ１］　ＣａｌｌＴｉｍｅ　ＣｈｘｎｇｅＥＮＤＣＡＳＥ ＲＥＰＥＡＴＩｏ＋１＝Ｏｔｏ３ Ｓ１山ｖａｉｌｔｎｇＨＭｌ−ＲＭＢＭＳ（１１，ＲＭＢ　ＳＴＳ　Ｖ　ＥＸＰ ＥＣＴＥＤ　ｉｓ　５ｅ（ＵＩＩＴＩＬ（山ＩＩ　ｖｘｉｊｉＢ　ｏｒ　ｌ１ｎ ｔｌ　Ｈｅｒ！ｊｉｏｎ）Ｗｅ　ｈ！ｖｅ　ｓ　ｃｏｍｐｌＮｅ　ｓｅｔ　ｏｆ 　ｂｍｆｌｅ＋ｓ：Ｃｈｅｃｋ　ＭＯＤＴＡＳＫ　ｗｚｌ＋ｅｓ　ｆｏｔ　ｖｘ ｌｉｄ　ｃｏｍｂｉｎ！ｔｉｏｎＮＤＩＦ ＵＮＴＩＬＭＩＦ　ｓｈｕｔｄｏｗｎ　ｒｅｑｕｉｒｅｄＥＸＩ置 ５Ｅ ｉｌ　ｃｕｔｒｅｎ（ｔｉｍｅ　ＩＩ＋１ｒｓｔ　ｄａｕ−目ｍｅ＞ＭＩＳｙｎ ｃ　ＴＯＬＥＲＡＮＣＥＬｏｇ　Ｅ＋ｒｏｔ　’Ｏ＋＋ｌ　ｏｆ　５７ｎｃ−Ｄ ｉｄ　ｏａｔ　ｔｅｃｅｉｗｅ　ｔｅｑｕｉｔｅｄＤＭＡ’Ｃｈｅｃｋ　ｌｏｔ 　ｅｘｃｓｓｓｉｗｅ　ｌ１ｉｌ＋＋ｔｅｓ＋ＦＯＲｉ＝Ｑｔｏ３ ＬｏｇＥｎｏ＋’Ｆｚｉｌｅｄ　ｔｏ　ｒｅｃｅｉｔｅ　ＤＭＡ　ｆｏｔ［９Ｍ Ａ１７ｐｅドＬｏｇｇ＋＋ｏ＋’Ｎｏ　ｌｏｎｇｅｒ　ｅｘｐｅｃｔｉｎｇ［Ｄ ＭＡｔｙｐｅｌ−ｊｏｏ　ｍ＠ｎ７　ｃｏｎｓｅｃａｌｉｙｅ　１１山…′（ｂ ｒｏｉｄｃ！ｓｌ　ｔｒｒｏｒ　ｍｅｓｓｘｇｅｌＣｌｅｉｒＭＩ　ＲＭＢＭＳ （ｉ）、ＲＭＢ　ＳＴＳ、Ｖ　ＥＸＰＥＣＴＥＤＮＤＩＦ ＮＤＩＦ ＮＤＦＯＲ Ｕｐｄｘｔｅ　ｐａｉｎｔｅｒｓ　ｗｉｔｈ　ｘｙｚｉｌｘｂｌｅ　ｄＮｚ：／ 零Ｆ！１１　ｔｈｒｏｕｇｈ　ｔｏ　ｕｓｅ　ｔｈｉｓ　ｂｕｔｌｅｒ　ｉｓ　 ｔｈｅ　ｆｉｒｓｔ　ｂｕｔｔｅｒｉｎ　ｔｈｅ　ｎｅｔｔ　ｓｅｔ、、　ネ／ ＮＤＩＦ ＮＤＩＰ ｉｆ　ｂｅ！＋ｕ　ｆ７ｐｅ　ｉｓ　５ＤＳＳ　ｘｎｄ　０５５　ａｎｄ　ｃｏ ｒｒｅｓｐｏｎｄｉｎｇ　ＤＳＳ　ｒｅｃｅｉｗｅｄ。

ｔｈｅｎ　ＣＡＬＬｕｐｄｘｌｅ　ｐａｉｎｔｅｒｓＮＤＩＦ ＬｏｇＥｒｒｏｒ（’Ｏａｔ　ｏｆ　Ｓ７ｎｃ−ＤＭＡ　ｃｏｌｌｉｓｉｏｎ’ ）ＣＡＬＬ　ｕｐｄｚｔｅ　ｐａｉｎｔｅｒｓ叫Ｆ　［１ＭＡ　ＣＱＬい１ｉ＋ ｓｊ　ｄａ＋１ｔｉｍｅ＝ｃｕｒ＋ｅｎｔ　ｔｉｍｅ／傘Ｆ！ＩＩ　ｔｈｒｏｕ ｇｈ　ｔｏ　ｌ１ｓｅ　ｔｈｉｓ　ｂａｆｆｅｔ　！ｌ　ｔｈｅ　ｌ１ｔｓｔ。

ｉｎ　ｔｈｅ　ｎｔｘｊ　ｓｔｌ、、本／ＮＤＩＦ ＩＦ＊ＲＭＢ　ＳＴＳ　Ｖ　ＥＸＰＥＣＴＥＤ　ｉｓ　ｎｏｔ　ｓｅｔＬｏｇＥ ｒｒｏｔ（’　ｌ１ｎｅｘｐｅｃｊｃｄ　ＤＭＡ　ｃｏｍｐｌｅｔｉｏｎ’）Ｎ ＤＩＦ ｉ１＄ＲＭＢ　ＳＴＳ　Ｖ　ＤＩＳＡＢＬＥＤｉｓｓｅｔ。

ＬｏｇＥｒｒＯｔ（’Ｒｅｃｅｉｗｅｄ　ｃｏｍｐｌｅｊ　ｃＩｏｒ　ｄｉｓａ ｂｌｅｄ　５ｔｒｏｂｅ’）ｅ４ｕｒｎ ＮＤＩＦ Ｃｈ！ｃｋ　ＤＭＡ　ｃｏｍｐｌｅｔｉｏｎ　５ｌｘｌｕｓ　ｉｎ　ＡＤＳＢＬ ｏｇＥｒｔｏｔ　（’　ＤＭＡ　Ｉｔ山ｔｅ　ｏｎ　ｃｈｕａｃｌ’ｌＬＳＥ １Ｆ傘Ｃ０Ｎ５　ＥＲＲＣＯＵＮＴＭＯＤ３００＝１ＬｏｇＥ＋ｔｏｔ（’　［ １ＭＡ　５ｔｉｌｌ　ｉｓ山、、ｌ）ＮＤＩＦ ＮＤＩＦ ＬＳＥ ＥＮＤＩＦ 零ＰＥＮＤ　ＢＵＦＦ　ＰＴＲ＝ｎａ　ｂｕｔｌｅｒ　ｐｔｒＩＦＩＲＭＢ　Ｓ ＴＳ　Ｖ　ＤＳＳ　ＢＵＦＦｉｓｘｅｆｇｅｔ　ｍｏｄ　ｓｔ！ｔｅ　ｕｓｉｎ ｇ　ｒｍ　ｂｕｔｌｅｒ　ｐｔ＋ｏｌｌｓｅｌｂ７＊、ＲＭ　ＴＡＳＫ　ＯＦＦ ＳＥＴＭＩ　ＲＭ−ＡＵＬ　ＬＥＦＴ　ＲＭ　ＰＴＲ＝＋ｍ　ｂｏｉｌｅｒ　ｐ Ｈ５ｉｇｎｇ１ＭＩ　ＲＭ　ＡＵＬ　ＨＥＡＬＴＨＬ　ＥＶＥＮＴＳｉｇｎ＋１ ＭＩ　ＲＭ　ＡＵＸ、　ＳＹＳＭＳＧ　Ｌ　ＥＶＥＮＴＳＥ ＭＩ　ＲＭ　ＡＵ、ＬＲＩＧＨＴ　ＲＭ　ＰＴＲ＝＋ｍ　ｂｕｔｌｅｒｐｉ「Ｅ ＮＤＩＦ ＥＮＤＩＦ ＥＮＤＷＩＴＨ ＲＥＴｔｌＲＮ ＥＮＤＳＵＢＲＯＵＴＩＮε Ｃ１ｅａ＋ＭＩ　ＲＭＢＭＳ（ＲＭＢＭＳ　１ｄｘ）、ＤＭＡ　ＥＮＡＢＬＥ（ ＫＥＲＳＣＬＥＡＲＥＶＥＮＴ）ＭＩ　ＲＭＢＭＳ（ＲＭＢＭＳ　１ｄｘ１．Ｒ ＭＢ　ＳＴＳ　Ｖ　ＤＩＳＡＢＬＥＤ＝ｊ山ｅＲＥＴｔｌＲＮ ＥＮＤＳＵＢＲＯＵＴ　ＩＮＥ ＥＮＤＳ［ＩＢＲＯｌｉＴ　ＩＮＥ ＥＮＤＳＵＢＲＯＵＴ　ＩＭＥ Ｃｏｐ７　ｔｈｅ　ＬＥＦＴ／５ＩＤＥＳＤＳＳ／ＤＳＳ　ｐａｉｎｔｅｒｓ： ＭＩ　ＲＭＢＭＳ（ＭＩ　５ＤＳＳ　ＲＩＤＩ）、ＰＥＮＤ　ＢＵＦＦ　ＰＴＲ Ｃ１ｅｏＦＯＸ／ＤＯＧｐｏｉｎｊｕｓ：Ｍａｒｋ　ｔｈｅ　１ｎｔｏ　ｂｙｔ ｅ　ａｓ’ｎｏｊｐ＋ｉｍｅ’ｕｎｌｉｌ　ｐ＋ｏｙｅｎ　ｏｌｈｅｔｖｉｓｅ ：Ｓｅｔ　ＦＯＩ　５ｉｄｅ　ａｎｄ　ｄｏｇ　５ｉｄｅ　ｌｏ’ａｎｋｎｏｖ ｎ’　（１）　：Ｄｅｆｕｍｉｎｅ　ｎｅｗ　ＦＯＸ／ＤＯＧ　１ｎｆｏｎｕｆ ｉｏｎ：ＩＦ　ＭＩ　ＲＭＢＭＳ（Ｍｌ−ＤＳＳ−Ｌ−ＩＤＸ１．ＭＯＤ　５Ｔ ＡＴＵＳ＝ｆｏｘ山ｊｕｓ　ｏｒ　ｅｅｌ目ｔｎｕｓＩＦＭＩ　ＲＭＢＭＳ（Ｍ Ｉ　ＤＳＳ　ＲＩＤＸ）、ＭＯＤ　５ＴＡＴＵＳ：ｄｏｇ　ｓｔ出ＳＯＴ’…ｋ Ｂ’ＣｌｅａｒＭＩ　ＲＭ　ＤＡＴＡ、ＤＯＧ　ＩＮＦＯＢＹＴＥＩ出／＋ｉｇ ｂｌｂｉ１ＭＩ　ＲＭ　ＤＡＴＡ、ＤＯＧ　５ＩＤＥ＝１／＄Ｒｉｇｔ＋ｌ零／ ＮＤＩＦ ＬＳＥ ＩＦ　ＭＩ　ＲＭＢＭＳ（ＭＩ　ＤＳＳ　ＲＩＤり１Ｍ０Ｄ　５ＴＡＴＵＲ＝ｆ ｏｘ　５ｔａｊｏｓ　ｏｔ　ｅ！ｇｌｅ　５ｔｎｕｓＮＤＩＦ ＬＳＥ ＭＩ　ＲＭ　ＤＡＴＬＤＯＧ　ＤＳＳ　ＰＴｉｔ＝ＭＩ　ＲＭＢＭＳ（ＭＩ　Ｄ ＳＳ　Ｌ　ＩＤＸ３．ＰＥＮＤ　ＢＵＦＦ　ＰＴＲ組−ＲＭ　ＤＡＴＬＤＯＧ　 ＭＡＰ　ＰＴＲ＝Ａｄｄｒ（ＭＥＭＯＲＹ　ＭＡＰ　Ｌ　ＴＡＢＬＥ）ＮＤＩＦ ＮＤＩＦ ＮＤＩＦ Ｒｅｆｕｓｅ　ＭＩ　ＲＭ　ＧＬＯＢＡＬＳ　ｍ＋＋ｔｅｘＣ１ｃ１ｔ　ｃｏａ ｔｅｄ＋ ＦＯＲｉ＝０＋ｏ３ ＮＤＦＯＲ ＥＮＤＳＵＢＲＯＵＴＩＮＥ ＥＮＤＰＲＯＧＲＡＭ 図９はフロントエンドコンピュータ１８ａにおける反射メモリバッファ３１４と 、ＩＦＳ回路２８内の転送マツプ３７と、プロセス制御コンピュータ１２ａ−１ ２ｂ内のデュアルポートデータメモリ２２との間の関係を示す。便宜上デュアル ポートデータメモリ２２は２セグメントのみを含むものとして示している。転送 マツプ３７は第１セグメント内のデータメモリアドレス２０００から２００２　 （ｈ　ｅ　ｘ）および第２セグメント内のデータメモリアドレス４１００から４ １０５（ｈｅｘ）が反射メモリバッファ４６ａに転送されるべきことを示す。詳 細には転送マツプ３７は、必ずしも連続ではないデータメモリ２２内のメモリロ ケーションから連続したデータエレメントブロックをつくる。

図１０はＩＦＳ回路２８のブロック図である。このブロック図において、個々の トランスミッタおよびレシーバ（例えばトランスミッタ３８ａとレシーバ４０ａ ）が単一のブロック４００で示されており、このブロックにはＡＴ＆ＴＯＤＬ２ ００シリーズの光変換器も含まれている。これに関し、ＩＦＳ回路２８は信号転 送を容易なものにするためにアドレスバッファ４０６とデータバッファ４０８を 含んでいる。またアドレスラッチ４１０がステルスタイトにデータメモリアドレ スを送るために設けである。同様に、トランシーバ４１２が設けられて■ＦＳ回 路２８がステルスインターフエース回路１６を介してデータ情報を送りまたは受 信しうるようになっている。

ＩＦＳ回路２８はまた、ステルスタイ、ミンクおよび制御回路４１４を含んでい る。ステルスタイミングおよび制御回路４１４はステルスインターフエース回路 １６へのまたはそれからの特定の信号を処理するための状態マシンを満足させる ための１個以上のプログラマブルアレイロジック回路を含む。例えば５ＤＳＳ信 号が入るとき、これはＩＦＳ回路２８に対し、データメモリ２２からの読取のた めの有効ウィンドーが存在することを示す。ステルスインターフエース回路１６ についての調停回路もデータメモリ２２にアクセスを許可するとすれば、ステル スタイミングおよび制御回路４１４は制御状態レジスタ４１６を適正にセットす る。データ出力制御回路４０４はＤＭＡカウンタ回路４１８にプリセット値から のカウントダウンを行わせることで応答する。ＤＭＡカウンタ４１８はデータメ モリ２２から読取られた各データワードで減算する。ＤＭＡカウンタ４１８は他 方において、転送マツプ３７内のアドレスを発生するＤＭＡワードカウント回路 ４２０を制御する。すなわち、ＤＭＡワードカウント回路４２０は転送マツプ３ ７内のアドレスにポイントし、このマツプがデータメモリ２２内のアドレスをポ イントする。この間接的な形式により、ＩＦＳ回路２８はデータメモリ内の、ス テルスインターフエース回路１６を介してプロセス制御コンピュータ１２により 許可される特定のウィンドーについて転送マツプ３７内に特定されたロケーショ ンの夫々を読取る。

図１１はＩＦＱ回路３０のブロック図である。ＩＦＱ回路３０は前述のようにイ ンテル８０１８６マイクロプロセツサを含み、このマイクロプロセッサのプログ ラムはＥＦＲＯＭ４２０に記憶される。更に、アドレスラッチ４２２がマイクロ プロセッサ４２のアドレスバス４２４に接続する。同様に、データバッファ４２ ６がマイクロプロセッサ４２のデータバス４２８に接続する。６ＫｂのＲＡＭ回 路４３０がアドレスバス４２４とデータバス４２８に接続する。このＲＡＭ回路 ４３０はマイクロプロセッサ４２用の１以上のスタックおよび他の演算データ構 造のようなシステムデータを記憶するために用いられる。

ＩＦＱ回路３０は更に“ドータ（ｄｘｕ（Ｈｅｒ）”ボード４３２を含みこれは 光フアイバケーブル３２を介して信号受送を直接に行う回路を含む。これに関し て、ブロック４３４は２チヤンネルの光変換器および受信回路を含み、ブロック ４３６は前述の２チヤンネルの光変換器と送信／受信回路を含んでいる。ガゼー ルシリアルの送信／受信器対の場合にはＩＦ５回路２８ａ−２８ｂへの光フアイ バリンクの夫々は１秒間に２．５Ｘ１０’個の４０ビツトフレームを送信するこ とが出来る。ブロック４４は図１について述べたようにプロセス制御コンピュー タ１２ａ−１２ｂから非同期で受信される５ＤＳＳおよびＤＳＳデータをはじめ に記憶するために用いられる２個の１２８Ｋｂデータバツフアを表わす。これら “リンク“データバッファは好適には、ＩＦＳ回路からのプロセスデータおよび メツセージの中断のない実時間収集を行うために各光フアイバチャンネルについ て１個づつの２個の独立したメモリをデュアルポート構成として用いることによ り実現される。ブロック４３８は一方のプロセス制御コンピュータ１２ａ−１２ ｂに送られるべき直列データを保持するために用いられる少くとも１個のワード レジスタ（各光フアイバチャンネルについて）が設けられていることを示す。

ブロック４４０はデータバッファ４４とワードレジスタ４３８への情報の記憶を 制御するための論理回路を表わす。論理回路４４０はこれらデータ書込み動作を 扱うための状態マシンをつくるための１以上のプログラマブルアレイロジック（ “ＰＡＬ”）回路を含む。例えば、４０ビツトのデータフレームがプロセス制御 コンピュータ１２ａ−１２ｂの一方から入るとき、論理回路４４０はデータバッ ファ４４内の適正なメモリロケーションにそれらデータを向けるためにアドレス と制御ビットとをデコードする。ファイバインターフェースドータボード４３２ も割込み回路ブロック４４２を含み、これはデータ書込アクティビティの状態を マイクロプロセッサ４２が理解しやすいようにするための割込ロジックを含む。

これに関し、少くとも２本の割込ラインが割込回路ブロック４４２とマイクロプ ロセッサ４２を相互に接続するために用いられる（一対の光フアイバチャンネル ）。ＩＦＳ回路２８とＩＦＱ回路３０のファイバインターフェースドータボード ４３２は入来するフレームのエラー（例えばバクティエラーおよび４　Ｂ１５　 Ｂリンクエラー）を検査するＰＡＬ状態マシンを含む。フロントエンド通信シス テム１０の一実施例で、ＩＦＱ回路３０についての状態マシンのすべてがマイク ロプロセッサ４２の１０ＭＨｚクロック信号からとり出された２０ＭＨｚのクロ ック信号で動作する。

マイクロプロセッサ４２はデータを動かすための少くとも２個のＤＭＡ機構を与 えるようにプログラムされる。

例えば、マイクロプロセッサ４２は適正な割込み信号に対してデータバッファ４ ４から、バケットブリゲート記憶媒体を与えるように作用するデュアルポート６ ４ＫｂＲＡＭ回路４４にデータを動かすことで応答する。そしてデュアルポート ＲＡＭ回路４４４に充分な（例えば８Ｋｂ）データが記憶されてしまうと、ファ ーストイン・ファーストアウト（”ＦＩＦＯ”）ＤＭＡ制御ブロック４４６内の ＤＭＡ状態マシンはこのデータをフロントエンドコンピュータ１８のＱパス３０ ２を介して動かす。

メモリサイクルは好適にはマイクロプロセッサ４２のシステムバスとＱバスの間 に、マイクロプロセッサ４２のシステムバスを最優先として置かれる。状態レジ スタ回路４４８とＣ３Ｒ回路４５０は状態および制御情報の転送用である。更に 、図１１に示すようにアドレスバッファ４５２と、ＤＭＡ／ＦＩＦＯカウンタ４ ５４もデュアルポートＲＡＭ回路４４４のアドレスラインに接続する。

同様に、Ｑバス３０２用（７）ＤＭＡ／Ｆ　Ｉ　Ｆ　Ｏチー’）バッファ４５６ とマイクロプロセッサ４２用のデータバッファもデュアルポートＲＡＭ回路４４ ４のデータラインに接続する。

本発明を例示のために説明した。これに関し、以上の説明を与えられた当業者が 本発明の精神を離れることなくここに述べた特定の実施例に対し変更を加えるこ とが出来ることは明らかである。そのような変更は添付する請求の範囲および精 神によってのみ限定される本発明の範囲内であると考えられるべきである。

時間整合バッファ内データテーブル ＦＩ　Ｇ、２Ａ ＩＧ２Ｂ ＦＩＧ、６Ａ 特表千７−５０７８９３　（３４） ＦＩＧ、６Ｄ ＋＋ｍ＋＋ｌ＋１Ａ−１＋ｌ＋Ｎ＋　ＰＣＴ／ＬＩ５　９３ＩＱ５２０Ｂフロン トページの続き （８１）指定国　ＥＰ（ＡＴ、ＢＥ、ＣＨ，ＤＥ。

ＤＫ、ＥＳ、ＦＲ，ＧＢ、ＧＲ，ＩＥ、ＩＴ、ＬＵ、ＭＣ，ＮＬ、ＰＴ、ＳＥ） 、０Ａ（ＢＦ、ＢＪ、ＣＦ、ＣＧ、　ＣＩ、　ＣＭ、　ＧＡ、　ＧＮ、　ＭＬ、 　ＭＲ，ＮＥ、ＳＮ。

ＴＤ、ＴＧ）、ＡＴ、ＡＵ、ＢＢ、ＢＧ、ＢＲ，ＣＡ。

ＣＨ，ＣＺ、　ＤＥ、　ＤＫ、　ＥＳ、　ＦＩ、　ＧＢ、　ＨＵ、ＪＰ、ＫＲ， ＬＫ、ＬＵ、ＭＧ、ＭＮ、ＭＷ、ＮＬ、Ｎ。

、ＮＺ、ＰＬ、ＰＴ、Ｒ○、　ＲＵ、ＳＤ、　ＳＥ、　ＳＫ。

Ａ （７２）発明者　フォノ　ベール、レオナルトウス　アリーオランダ国ジーイー 、ターナウラエン、ハシツェラーン、３１ （７２）発明者　ベルポーベン、マルタ　ルイ　カレルベルギー国ナザレス、ア クセルドレーフ、゛３ビー （７２）発明者　ベルマイヤー、ロジャー　イー。

オランダ国ケージエイ、ターナウラエン、レアムールストラート、１１ （７２）発明者　シュルツ乙オスカー　イー。

アメリカ合衆国ミシガン州、ミツドランド、ウッド、コート、２６０１ （７２）発明者　ベル、プライアン　ジー。

アメリカ合衆国ミシガン州、ミツドランド、シルパン、レイン、６０５ （７２）発明者　シュルツ、ディル　エイチ。

アメリカ合衆国ミシガン州、ミツトランド、ハーバ−、レイン、６０９

Claims (33)

【特許請求の範囲】
1. １．ネットワーク上の第１および第２コンピュータ間に、予定の時間だけ指定さ れたタイプの信号の通信をそれらコンピュータ間で可能にする時限通信コントラ クトを上記コンピュータの一方からは予測しえない信号の伝送に対するアクセプ タブル応答にもとづき成立させる段階と、 前記予定の時間が終了する前に前記第１および第２コンピュータ間の前記時限通 信コントラクトを前記コンピュータの一方からの新しい予測不能な信号の伝送に 対するアクセプタブル応答にもとづき再成立させる段階と、を備えていることを 特徴とする、一つのネットワーク上の複数のコンピュータ間に保安通信を与える 方法。
2. ２．前記時限通信コントラクトを成立させる段階は前記第１コンピュータにおい て予測不能な信号を発生する段階と、この予測不能な信号を前記第２コンピュー タに送る段階と、前記第２コンピュータにおいて、前記予測不能な信号に対し予 測可能な変更を発生する段階と、前記変更された予測不能な信号を前記第１コン ピュータに送る段階と、前記第１コンピュータにおいて前記変更された予測不能 な信号がアクセプタブルであるかどうかを前記第１および第２コンピュータ間の 前記指定されたタイプの信号通信を許可する前に決定する段階を含む、請求項１ 記載の方法。
3. ３．前記変更された予測不能な信号は、それが前記予測不能な信号の期待される 変更と整合するときアクセプタブルとして決定される請求項２記載の方法。
4. ４．前記予測不能な信号は擬似乱数である請求項３記載の方法。
5. ５．前記予測不能な信号の前記予測可能な変更は前記擬似乱数の暗号化形である 請求項４記載の方法。
6. ６．前記擬似乱数は少くとも３２ビットのディジタル長である請求項２記載の方 法。
7. ７．前記指定されたタイプの信号通信は少くとも１個のプロセス制御変数の変更 をコマンドする、前記第２コンピュータから前記第１コンピュータヘの命令を含 む、請求項２記載の方法。
8. ８．前記擬似乱数は前記第１コンピュータで走行するアプリケーションプログラ ムのコンパイルされたバージョンに固有のアルゴリズムに従って前記第２コンピ ュータにより暗号化される請求項５記載の方法。
9. ９．前記時限通信コントラクトは１分未満のインターバルで再成立される請求項 ８記載の方法。
10. １０．前記予定の時間は１分未満である請求項９記載の方法。
11. １１．前記予定の時間は３０秒未満である請求項１０記載の方法。
12. １２．複数のコンピュータ間での通信を可能にするコンピュータネットワークと このコンピュータネットワークに接続する少くとも１個のコンピュータエンティ ティとを含む、物理的なプロセスの動作を制御する少くとも１個のプロセス制御 コンピュータ用保安フロントエンド通信システムにおいて、 前記プロセス制御コンピュータと前記コンピュータネットワークの間に接続され た少くとも１個のフロントエンドコンピュータであって前記フロントエンドコン ピュータから前記コンピュータエンティティヘの予測不能な信号の伝送に対する アクセプタブル応答にもとづき、前記コンピュータエンティティから前記プロセ ス制御コンピュータヘの指定されたタイプの信号通信を可能にする時限通信コン トラクトを前記コンピュータエンティティとの間に成立させる手段を有する少く とも１個のフロントエンドコンピュータを備えていることを特徴とする通信シス テム。
13. １３．前記コンピュータエンティティは前記予測不能な信号の期待される変更を 発生する手段を含み、前記フロントエンドコンピュータの前記成立させる手段は 前記コンピュータエンティティから入る前記変更された予測不能な信号がアクセ プタブルであるかどうかを決定する手段を含む、請求項１２記載の保安フロント エンド通信システム。
14. １４．前記成立する手段は、前記変更された予測不能な信号が前記予測不能な信 号の期待される変更と一致するときそれをアクセプタブルと決定する請求項１３ 記載の保安フロントエンド通信システム。
15. １５．前記予測不能な信号は擬似乱数である請求項１４記載の保安フロントエン ド通信システム。
16. １６．前記予測不能な信号の期待される変更は前記擬似乱数の暗号化形である請 求項１５記載の保安フロントエンド通信システム。
17. １７．前記擬似乱数は少くとも３２ビットのディジタル長である請求項１３記載 の保安フロントエンド通信システム。
18. １８．前記コンピュータエンティティは前記プロセス制御コンピュータを走行す るアプリケーションプログラムのコンパイルされたバージョンに固有のアルゴリ ズムに従って前記擬似乱数を暗号化する請求項１６記載の保安フロントエンド通 信システム。
19. １９．前記時限通信コントラクトは１分未満のインターバルで再成立される請求 項１８記載の保安フロントエンド通信システム。
20. ２０．前記予定の時間は１分未満である請求項１９記載の保安フロントエンド通 信システム。
21. ２１．前記予定の時間は３０秒未満である請求項２０記載の保安フロントエンド 通信システム。
22. ２２．前記指定されたタイプの信号通信は少くとも１個のプロセス制御変数の変 更をコマンドする、前記コンピュータエンティティから前記プロセス制御コンピ ュータヘの命令を含む、請求項１３記載の保安フロントエンド通信システム。
23. ２３．前記フロントエンドコンピュータは少くとも１個の許可テーブルを記憶す る手段と、前記コンピュータエンティティからのそのような命令が前記フロント エンドコンピュータにより前記プロセス制御コンピュータに、変更されるべきプ ロセス制御変数とこのプロセス制御変数用の前記許可テーブルに含まれるエナブ ルインジケータの比較から伝送されたかどうかを決定する手段を含む、請求項２ ２記載の保安フロントエンド通信システム。
24. ２４．前記コンピュータネットワークに接続した保安サーバを更に含み、この保 安サーバは前記プロセス制御コンピュータにコマンドを送ることの出来る、前記 コンピュータネットワーク上のコンピュータエンティティを識別する保安テーブ ルを記憶する手段と、前記フロントエンドコンピュータからの前記要求ネットワ ークメッセージに含まれる予測不能な成分の暗号化された変換を含むレスポンス ネットワークメッセージを送ることにより前記保安テーブルのコピーを要求する 前記フロントエンドコンピュータからのネットワークメッセージに応答するため の手段と、を有する請求項１２記載の保安フロントエンド通信システム。
25. ２５．前記コンピュータネットワークは複数のネットワークセグメントとそのよ うな変数変更命令を含むネットワークメッセージの、前記コンピュータネットワ ークの少くとも１個の他のネットワークセグメントから前記フロントエンドコン ピュータのあるネットワークセグメントヘの伝送を防止する手段とを含む請求項 ２２記載の保安フロントエンド通信システム。
26. ２６．物理的プロセスの動作を制御する少くとも１個のプロセス制御コンピュー タ用保安フロントエンド通信システムにおいて、 複数のコンピュータ間の通信を可能にするためのコンピュータネットワークと、 このコンピュータネットワークに接続する少くとも１個のコンピュータエンティ ティと、 前記プロセス制御コンピュータと前記コンピュータネットワーク間に接続する少 くとも１個のフロントエンドコンピュータであって、少くとも１個の許可テーブ ルを記憶する手段と、前記コンピュータエンティティからの予定のタイプの命令 が前記命令からの変数に対応する変数について前記許可テーブル内のエナブルイ ンジケータの状態をチェックすることにより前記プロセス制御コンピュータに送 られるかどうかを決定する手段を含むフロントエンドコンピュータと、 を備えていることを特徴とする保安フロントエンド通信システム。
27. ２７．少くとも２個の活性的に冗長なプロセス制御コンピュータを含み、前記フ ロントエンドコンピュータは前記冗長プロセス制御コンピュータの夫々に接続す る請求項２６記載の保安フロントエンド通信システム。
28. ２８．前記フロントエンドコンピュータは前記冗長プロセス制御コンピュータの 夫々について別々の許可テーブルを含む請求項２７記載の保安フロントエンド通 信システム。
29. ２９．少くとも１個の前記許可テーブルは前記冗長プロセス制御コンピュータの 内の１個のオペレーティングプログラムのコンパイルされたバージョンであって 前記冗長プロセス制御コンピュータの他方のオペレーティングプログラムのコン パイルされたバージョンとは異なるものと関連する請求項２８記載の保安フロン トエンド通信システム。
30. ３０．コンピュータネットワーク上のコンピュータエンティティから、プロセス 制御コンピュータであって物理的プロセスを制御するためにそのプロセス制御コ ンピュータにより用いられる複数のオペレーティング変数の内の少くとも１個を 変更しようとするものへのコマンドメッセージの通信を制御するための方法にお いて、前記プロセス制御コンピュータと前記コンピュータネットワークの間に接 続するフロントエンドコンピュータを設ける段階と、 前記オペレーティング変数の内の前記コンピュータエンティティにより変更され うるものを識別する前記フロントエンドコンピュータの許可テーブルを記憶する 段階と、 前記コンピュータエンティティからコマンドメッセージを受ける段階； 前記コマンドメッセージが前記プロセス制御コンピュータ内の少くとも１個の許 可テーブルで変更しようとする命令を含むかどうかを決定する段階と、前記コマ ンドメッセージ内で識別される対応するオペレーティング変数に関連する前記許 可テーブル内のエナブルインジケータの状態をチェックすることにより前記フロ ントエンドコンピュータから前記プロセス制御コンピュータに前記コマンドメッ セージを送るかどうかを決定する段階と、 を備えていることを特徴とする方法。
31. ３１．前記プロセス制御コンピュータヘの前記コマンドメッセージの伝送を可能 とする決定をなしたとき前記フロントエンドコンピュータから前記プロセス制御 コンピュータにプログラムバージョン識別子を送る段階を含む請求項３０記載の 方法。
32. ３２．前記プロセス制御コンピュータにおいて、前記送られたプログラムバージ ョン識別子が前記プロセス制御コンピュータに記憶されたプログラムバージョン 識別子と一致するかどうかにもとづき前記フロントエンドコンピュータから入る コマンドメッセージを実行するかどうかを決定する段階を含む請求項３１記載の 方法。
33. ３３．前記プロセス制御コンピュータヘの前記プログラムバージョン識別子を送 る前に、前記フロントエンドコンピュータにおいて前記識別子を暗号化する段階 を含む請求項３２記載の方法。