CN103713565A - 控制系统 - Google Patents

Abstract

本发明提供一种使用多个单一结构的控制器来应对多种功能安全等级的控制系统。多个控制器(10)包括：用于从输入设备(30)接收输入设备信息的输入部分(101)、用于生成输出到输出设备(40、50)的输出设备信息的输出部分(103)、用于经由控制器间通信网络(20)与其他控制器进行通信的通信部分(104)以及根据输入设备信息和/或输出设备信息执行预先设定的规定的信息处理的信息处理部分(102)。经由控制器间通信网络将多个控制器结合成规定的结构，由此实现预先设定的多种功能安全等级中的规定的功能安全等级。

Description

控制系统

技术领域

本发明涉及一种满足规定的功能安全等级的控制系统。

背景技术

例如在电梯运行控制系统等系统中，已经广泛使用了电气控制系统。为了确保控制系统的功能安全性，已经制定了SIL1至SIL4的被称为安全完整性等级(Safety Integrity Level)的功能安全等级。

在现有技术中，针对如SIL1用控制系统、SIL2用控制系统、SIL3用控制系统那样所要求的安全等级，分别设置专用的控制系统(专利文献1、2)。

此外，在各行业的功能安全规格中示出了与各种SIL相应的控制系统的大致的结构例。例如，作为面向电梯的功能安全规格，制定了EN81-1(非专利文献1)，作为面向机械的功能安全规格，制定了ISO13849(非专利文献2)。

并且，虽然未提及功能安全等级，但是还公知有通过总线来连接输入装置和输出装置以及信息处理装置的控制系统(专利文献3)。

专利文献1  国际公开第2010/109748号公报

专利文献2  日本国特表2010-523445号公报

专利文献3  日本国特表2002-538061号公报

非专利文献1 EN81-1

非专利文献2 ISO13849

在现有技术中，由于按照SIL等级来构筑控制系统，因此研发成本以及制造成本会增加。可以考虑将控制系统的基本结构作为SIL3，并将SIL3的装置应用于SIL2的系统以及SIL3的系统这两者中。但在该情况下，在本来只需要采用SIL2的装置的系统中采用SIL3的装置，因此导致超出标准，使得系统的构筑成本上升。如上所述，现有技术存在无法灵活地应对功能安全等级，容易导致成本上升的问题。

另外，在同一基板上构筑双系统结构的现有技术中，在双系统结构中的一部分发生了故障时，很难在不停止系统的情况下仅修理故障部位，导致维护性能下降。

发明内容

本发明鉴于上述问题而作出，本发明的目的在于提供一种能够使用多个单一结构的控制器来应对多种功能安全等级的控制系统。

为了解决上述问题，本发明提供一种控制系统，其满足规定的功能安全等级，该控制系统具有单一结构的多个控制器、以及用于将多个控制器连接成彼此可以进行通信的至少一个控制器间通信网络，多个控制器构成为包括：用于从输入设备接收输入设备信息的至少一个输入部分、用于生成输出到输出设备的输出设备信息的至少一个输出部分、用于通过控制器间通信网络与其他控制器进行通信的至少一个通信部分、以及用于根据输入设备信息和/或输出设备信息执行预先设定的规定的信息处理的至少一个信息处理部分，经由控制器间通信网络将多个控制器结合成规定的结构，由此实现预先设定的多种功能安全等级中的规定的功能安全等级。

(发明效果)

根据本发明，经由控制器间通信网络将多个单一结构的控制器结合成规定的结构，由此能够得到与多种功能安全等级中的规定的功能安全等级相对应的控制系统。

附图说明

图1是表示第一实施例所涉及的控制系统的结构例的说明图。

图2是表示通过各自的控制器间通信网络来连接输入侧和输出侧的结构例的说明图。

图3是表示将信息处理的结构进行了双重化的结构例的说明图。

图4是表示第二实施例所涉及的将输入用控制器进行了双重化的例子的说明图。

图5是表示通过独立于传送输入设备的信息的控制器间通信网络而构成的控制器间通信网络连接经双重化的输入用控制器的例子的说明图。

图6是表示第三实施例所涉及的分成本地站点和远程站点构成的例子的说明图。

图7是表示第四实施例所涉及的还能够从远程站点对已被双重化的本地站点进行远程监视的例子的说明图。

图8是表示第五实施例所涉及的统一控制器的软件结构的例的说明图。

图9是表示第六实施例所涉及的发现对方控制器后实现双系统结构的处理的流程图。

图10是表示第七实施例所涉及的指定条件后搜索对方控制器并实现双系统结构的处理的流程图。

图11是表示第八实施例所涉及的能够将表示是具有规定属性(功能)的输入设备的信息通知给统一控制器的输入设备的例的电路图。

图12是表示用于确认连接了具有规定属性的输入设备的情况的处理的流程图。

图13是表示第九实施例所涉及的能够应用于电梯、汽车、电车、飞机、检察机械等各种系统的结构的说明图。

图14是表示第十实施例所涉及的信息处理用控制器按照接收到的信息的种类改变处理时的状况的流程图。

1、1A、1B、1C、1D、1E、1F：控制系统，10：统一控制器，20、21、22、23、24：控制器间通信网络，25：站点间通信网络，30、31：安全开关，32：传感器，40：电动机，50：制动器，101：输入部分，102：信息处理部分，103：输出部分，104：通信部分。

具体实施方式

以下参照附图对本发明的实施方式进行说明。如以下的详细说明所述，本实施方式采用多个单一结构的控制器来应对多种功能安全等级(SIL)。也就是说，经由控制器间通信网络适当地结合单一结构的控制器，由此来构筑满足多种功能安全等级中的期望的功能安全等级的控制系统。在以下的说明中，为了与现有技术加以区别，将本发明涉及的单一结构的控制器称为“统一控制器”。所谓的单一结构的控制器是指具有通用结构的控制器。单一结构的控制器例如构成为能够应对所要求的最大的功能安全等级。

以下对本实施方式进行详细的说明。以下所述的实施例的记载在理解和实施本发明所需的范围内示出了本发明的结构，但本发明的范围并不受实施例结构的限定。

(第一实施例)

图1是表示使用多个统一控制器10构成的控制系统1的例。该控制系统1例如能够用于控制电梯系统，但并不仅限于此，也可以应用于其他各种系统中。

图1所示的控制系统1具有多个统一控制器10a～10d。在不需要加以区别时称为统一控制器10。各个统一控制器10的结构完全相同。统一控制器10例如具有设置在壳体(未图示)内的基板100、设置在基板100上的输入部分101、信息处理部分102、输出部分103以及通信部分104。

输入部分101是用于接收来自后述的输入设备的信号的电路。信息处理部分102是执行规定的信息处理的电路。输出部分103是用于向后述的输出设备输出指示的电路。通信部分104是经由控制器间通信网络20与其他统一控制器10进行双向通信的电路。以下，有时将输入部分101、信息处理部分102、输出部分103以及通信部分104称为功能部分或者电路。

各个电路101～104可以分别构成为各自独立的集成电路，也可以将各个电路101～104整合在一个集成电路内。此外，各个电路并不仅限于一个，也可以是多个。并且，如后述的实施例所示，通信部分104可以具有多个通信端口。通信部分104可以各自具有一个或者多个使用不同的通信协议的通信端口，也可以具有多个使用同一通信协议的通信端口。

信息处理部分102可以作为MPU(Micro-Processing Unit，微处理单元)或者FPGA(Field-Programmable Gate Array，现场可编程门阵列)等可编程逻辑器件来安装，或者也可以作为硬接线(Hard Wired)的分立电路来安装。可以使用上述任一个结构。输入部分101和输出部分103例如可以作为设置在MPU或者FPGA上的通用I/O端口等逻辑器件来实现。输入部分101和输出部分103可以包括A/D变换器或者DC/DC变换器这样的进行电压电平变换等的分立电路。

可将各个统一控制器10连接成经由控制器间通信网络20进行双向通信。控制器间通信网络20例如可以构成为LAN(Local Area Network，局域网)、RS232C、RS422等网络。此外，控制器间通信网络20并不仅限于有线网络，也可以构成为无线网络、光纤网络。

在此，控制器间通信网络是为了将分别构成为独立的壳体的统一控制器10连接成彼此可进行通信而使用的通信网络，不同于连接同一壳体内的集成电路(芯片)彼此的内部总线。

统一控制器10具有相同的结构，但各自的作用不同。例如，各个统一控制器10中的统一控制器10a是输入用控制器。输入用控制器是输入部分101上连接有输入设备(安全开关30、31等)的统一控制器。输入用控制器10a的输入部分101与安全开关30连接。输入用控制器10a的输出部分103没有与任何器件连接。输入用控制器10a的通信部分104与控制器间通信网络20连接。

各个统一控制器10中的统一控制器10b、10c是输出用控制器。输出用控制器是将输出部分103连接于输出设备(电动机40、制动器50等)的统一控制器。

一个输出用控制器10b的输入部分101与编码器41连接，输出部分103与电动机40连接。由于编码器41是附属于作为“输出设备”的电动机40的传感器，所以统一控制器10b是输出用控制器。另一个输出用控制器10c的输出部分103与作为“输出设备”的制动器50连接。另一个输出用控制器10c的输入部分101没有与任何器件连接。各个输出用控制器10b、10c的通信部分104分别与控制器间通信网络20连接。

各个统一控制器10中的统一控制器10d是信息处理用控制器。信息处理用控制器是根据输入设备信息和/或输出设备信息来执行规定的信息处理(例如控制运算)的统一控制器。信息处理用控制器10d经由控制器间通信网络20从输入用控制器10a接收输入设备信息(数据包)。并且，信息处理用控制器10d经由控制器间通信网络20从输出用控制器10b、10c接收输出设备信息(数据包)。信息处理用控制器10d还可以将信息处理的结果(控制信息)发送到输出用控制器10b、10c，由此通过输出用控制器10b、10c来控制输出设备40、50。由于信息处理用控制器10d是信息处理专用的统一控制器，所以其输入部分101和输出部分103没有与任何器件连接。

安全开关30是“输入设备”的一例。除了安全开关30，其他的安全开关31(参照图4)以及传感器32(参照图7)也可以被用作输入设备。在不需要加以区别安全开关30、31以及传感器32时，称为“安全开关等”或者“传感器等”。

上述的输入用控制器10a的输入部分101与来自安全开关等的信号线连接，来自安全开关等的信号直接被输入到上述的输入用控制器10a的输入部分101作为电信号或者光信号等。在此，直接输入是指不经由其他统一控制器10就将来自安全开关等的信息(相当于输入设备信息)直接输入的情况。信息处理用控制器10d获取来自安全开关等的信息作为在输入用控制器10a中生成的数据包。例如，从安全开关等输出的接通/断开信号在输入用控制器10a中被变换为多位数据，并作为数据包而被发送到控制器间通信网络20。并不是作为“0”或者“1”的1位信号来进行发送是为了提高安全性。如果使用1位信号(数据)，则在发生了断线等的情况下，接收侧的统一控制器10可能会作出错误的解释。因此，在本实施例中，将输入设备信息等变换成规定的多位数据后发送到控制器间通信网络20。

从输入用控制器10a向控制器间通信网络20上发送输入设备信息的数据包，从输出用控制器10b、10c向控制器间通信网络20上发送输出设备信息的数据包，从信息处理用控制器10d向控制器间通信网络20上发送控制信息。如上所述，在图1所示的结构中，控制器间通信网络20独自承担各个统一控制器10之间的信息传递。

图2表示图1所示结构的第一变形例。在图1的结构中，所有的数据包(输入设备信息、输出设备信息以及控制信息)流向共用的控制器间通信网络20。与此相对，在图2所示的控制系统1A中，分别设置了用于传送输入设备信息的第一控制器间通信网络21、和用于传送输出设备信息的第二控制器间通信网络22。

其结果，图2所示的控制系统1A被分割成包括输入用控制器10a的输入区域、包括信息处理用控制器10d的计算区域以及包括输出用控制器10b、10c的输出区域。在以下的图中省略了信息处理部分102的图示。并且在图中分别将输入部分简称为“输入”，将输出部分简称为“输出”，并且将通信部分简称为“通信”。

输入用控制器10a的输入部分101经由信号线与安全开关30连接。输入用控制器10a的通信部分104与第一控制器间通信网络21连接。输入用控制器10a根据来自安全开关30的信号来生成输入设备信息的数据包，并将该数据包发送到第一控制器间通信网络21中。

输出用控制器10b、10c的通信部分104与第二控制器间通信网络22连接。输出用控制器10b、10c的输出部分103与输出设备40、50连接。此外，输出用控制器10b的输入部分101与附属于作为输出设备的电动机40的编码器41连接。输出用控制器10b、10c生成表示输出设备的状态等的输出设备信息的数据包，并将其发送到第二控制器间通信网络22中。

执行规定的控制运算的信息处理用控制器10d的通信部分104分别与第一控制器间通信网络21和第二控制器间通信网络22连接。信息处理用控制器10d的输入部分101和输出部分102没有与任何器件连接。信息处理用控制器10d经由第一控制器间通信网络21从输入用控制器10a接收输入设备信息的数据包。此外，信息处理用控制器10d经由第二控制器间通信网络22从输出用控制器10b、10c接收输出设备信息的数据包。并且，信息处理用控制器10d根据输入设备信息和/或输出设备信息，执行规定的控制运算。

如上所述，将控制器间通信网络分成用于传送输入设备信息的第一控制器间通信网络21和用于传送输出设备信息的第二控制器间通信网络22。由此，通过分离输入设备信息的通信量和输出设备信息的通信量，能够减轻控制系统内部的通信负荷，能够进一步提高控制系统的响应性。

图3表示图1所示结构的第二变形例。图3的结构例与图2的结构例相比，在图3的控制系统1B中，设置了多个统一控制器10d、10e作为信息处理用控制器。第一(一个)信息处理用控制器10d与第二(另一个)信息处理用控制器10e经由第三控制器间通信网络23而被直接连接。由于第三控制器间通信网络23主要用于控制信息的传送中，所以也可以将第三控制器间通信网络23称为控制信息用控制器间通信网络。

第一信息处理用控制器10d经由分别独立设置的控制器间通信网络21～23获取以下所述的三种信息。第一信息是经由第一控制器间通信网络21从输入用控制器10a获取的输入设备信息。由于第一控制器间通信网络21主要用于传送与输入设备有关的信息，所以也可以将第一控制器间通信网络21称为输入侧通信网络。第二信息是经由第二控制器间通信网络22从输出用控制器10b、10c获取的输出设备信息。由于第二控制器间通信网络22主要用于传送与输出设备有关的信息，所以也可以将第二控制器间通信网络22称为输出侧通信网络。第三信息是经由第三控制器间通信网络23从第二信息处理用控制器10e获取的控制信息。

第一信息处理用控制器10d能够根据输入设备信息、输出设备信息以及控制信息来执行规定的控制运算。或者，第一信息处理用控制器10d也能够根据输入设备信息和输出设备信息执行规定的控制运算，并将作为运算结果的控制信息经由第三控制器间通信网络23而发送给第二信息处理用控制器10e。

在本实施例中，如上所述，经由控制器间通信网络20、21、22以规定的结构结合了单一结构的多个统一控制器10。由此，能够实现预先设定的多种功能安全等级(SIL1～SIL3)中的任一种规定的功能安全等级。

因此，在本实施例中，没有必要针对每个功能安全等级开发或制造专用控制器，只要经由控制器间通信网络连接单一结构的统一控制器10，就能够灵活地应对期望的功能安全等级。其结果，能够降低统一控制器和控制系统的成本。

此外，由于统一控制器10采用单一结构，所以能够减少库存。因此，在统一控制器10发生了故障时，能够迅速采取应对措施。并且，在构筑双系统结构(或多系统结构)的一部分统一控制器10发生了故障时，只要更换发生了故障的统一控制器10即可，所以在进行维护作业时不需要停止控制系统。

并且，本实施例还能够灵活地应对控制系统的结构变更。例如，在控制系统中增设新的安全开关30的情况下，只需要增设用于获取并处理来自新的安全开关30的信号的输入用控制器，就能够应对该结构变更。同样，在增减电动机40或者制动器50等输出设备的情况下，也只要根据输出设备的增减数来追加或者删除输出用控制器即可。并且，在将来修改安全规格后需要增加控制运算处理等时，也只需要将负责增设的控制运算处理的信息处理用控制器与控制器间通信网络连接，就可以应对。

如上所述，根据本实施例，能够方便且低成本地构筑符合规定功能安全等级的控制系统，并且还能够方便且迅速地应对控制系统的结构变更。

(第二实施例)

参照图4和图5来说明第二实施例。在包括本实施例在内的以下的各个实施例中省略重复的说明，主要对特征结构进行说明。在本实施例中，对按照功能安全等级需要构筑双系统(多系统)时的结构例进行说明。

图4的控制系统1C包括双系统结构和单系统结构。安全开关30随着其用途，有时要求的功能安全等级会不同。一方的安全开关30允许构成为单系统，而另一方的安全开关31则要求构成为双系统。

若是单系统结构，则只要将安全开关30与统一控制器10f一对一地连接即可。统一控制器10f经由其通信部分104而与控制器间通信网络20连接。并且，统一控制器10f还可以经由控制器间通信网络20等而与其他统一控制器(未图示)连接。

与此相对，假定图4的右侧所示的安全开关31侧的结构所要求的功能安全等级较高。要求安全开关31具有强制分离开关(参照图11的分离开关301)。并且，还要求通过两个信道(多信道)对安全开关31的状态进行监视。

因此，图4所示的安全开关31具有在接点发生了粘连等时强制性使接点开放的强制分离开关，并且安全开关31与多个统一控制器10g、10h连接。由多个统一控制器10g、10h监视安全开关31的状态。

多个统一控制器10g、10h与控制器间通信网络20连接，彼此能够经由控制器间通信网络20进行通信。在采用双系统的系统结构时，通常需要在彼此间进行比较。各个统一控制器10g、10h生成包括表示安全开关31的状态的输入设备信息的数据包，并且能够经由控制器间通信网络20相互交换这些数据包。

此外，也可以将由各个统一控制器10g、10h生成的输入设备信息发送给未图示的信息处理用控制器，在该信息处理用控制器内比较多个输入设备信息是否一致。另外，由于通过多个信道对安全开关31的状态进行监视，所以即使多个统一控制器10g、10h中的某一个统一控制器发生了故障，也能够通过其他统一控制器继续监视安全开关31的状态。

如上所述，通过将多个统一控制器10与控制器间通信网络20连接，能够容易构筑双系统结构，另外，在使用非强制分离型的安全开关30来构筑双系统结构时，有时需要设置两个该安全开关30。此时，可以准备多种安全开关30与统一控制器10f的组合来与控制器间通信网络20连接。

图5表示第二实施例的变形例。在图5所示的控制系统1D中，经由控制信息传送用控制器间通信网络24来连接用于监视安全开关31的状态的多个统一控制器10g、10h。

控制器间通信网络20的主要目的基本上是使得能够对作为输入设备的安全开关30和安全开关31的状态进行通信。从功能安全的角度来看，在用于对安全开关31的状态进行相互比较的信息传送中，有时优选设置其他控制器间通信网络24。因此，在图5的结构中，设置彼此不同的多个控制器间通信网络20、24，分别采用不同的控制器间通信网络来传送输入设备信息和相互监视用的信息。

在现有技术中，为了对双系统结构中的信息进行相互比较，使用DPRAM(Dual Port RAM，双端口RAM)或者专用处理器间通信总线开发出了双系统专用的控制器。与此相对，在本实施例中，只需经由控制器间通信网络20、24连接单一结构的多个统一控制器10g、10h，就能够简单地获得双系统结构。

具有上述结构的本实施例也能够获得与第一实施例相同的效果。

(第三实施例)

参照图6说明第三实施例。在本实施例中，说明将形成双系统结构的多个统一控制器中的一方设置在远程地区(远程站点)的情况。

图6所示的控制系统1E包括作为本地站点的装置侧环境LS和作为远程站点的远程环境RS，通过站点间通信网络25连接装置侧环境LS和远程环境RS。由此，在本实施例中，例如能够提高发生了灾害等时的安全性。

装置侧环境LS是控制对象装置所处的环境，远程环境RS是指用于从在物理上远离了装置侧环境LS的场所对装置侧环境LS内的控制对象装置进行远程监视(远程控制)的环境。

安全开关31的状态利用由跨越多个环境的多个统一控制器10i、10k构成的双系统结构进行监视。第一统一控制器10i设置在装置侧环境LS内。第二统一控制器10k设置在远离了装置侧环境LS的场所的远程环境RS内。

安全开关31在装置侧环境LS内分别与第一统一控制器10i和第三统一控制器10j连接。第三统一控制器10j例如被用作发挥桥接功能的桥接用控制器。安全开关31经由桥接用控制器10j和站点间通信网络25而与远程环境RS内的第二统一控制器10k连接。

通信网络25是用于连接第三统一控制器10j和第二统一控制器10k的通信网络，是控制器间通信网络的一种。并且，由于通信网络25是用于连接装置侧环境LS和远程环境RS的通信网络，所以在本实施例中称其为站点间通信网络。此外，取而代之，也可以将通信网络25称为外部连接用通信网络。另外，作为站点间通信网络25，只要是不会对控制系统的安全性产生影响的通信网络，则可以是有线网络，也可以是无线网络。

远程环境RS内的第二统一控制器10k能够通过站点间通信网络25以及桥接用控制器10j来监视装置侧环境LS内的安全开关31的状态。此外，第二统一控制器10k能够经由站点间通信网络25将监视结果传递给装置侧环境LS或者未图示的其他站点。

本实施例可以应用于第一实施例和第二实施例中的任一个实施例，且具有与第一和第二实施例相同的效果。此外，在本实施例中，用于监视安全开关31的状态的多个统一控制器中的一个统一控制器被设置在装置侧环境LS内，其他被设置在远程环境RS内。因此，在发生了灾害等时，即使装置侧环境LS内的第一统一控制器10i停止了功能的情况下，也能够通过远程环境RS内的第二统一控制器10k监视系统状态，由此能够确保安全性。此外，在本实施例中，由于能够从远程环境RS掌握安全开关31的状态，所以还能够在远程区域进行灾后恢复处理和在线维护作业等。

(第四实施例)

参照图7说明第四实施例。在本实施例中，说明在装置侧环境LS内构筑双系统结构，并且能够从远程环境RS监视装置侧环境LS的情况。在本实施例中，以如汽车、建设机械等那样要求高功能安全等级的用于避免危险状态的自动停止系统为例进行说明。

图7表示本实施例所涉及的控制系统1F的结构例。装置侧环境LS例如设置在汽车、建筑机械、飞机、火车等的内部。因此，装置侧环境LS例如还被称为车身侧环境、机身侧环境、移动体侧环境等。

装置侧环境LS具有至少一个作为输入设备的传感器32、多个统一控制器10p、10q、10r、10s、至少一个作为输出设备的制动器50以及多个控制器间通信网络21、22。

传感器32例如构成为用于检测障碍物的车载传感器。用于检测障碍物的传感器例如构成为单眼照相机、立体照相机或者各种雷达等。传感器32与输入用控制器10p连接。通过输入用控制器10p处理传感器32的输出信号。输入用控制器10p的通信部分104与用于输入设备信息的传送中的控制器间通信网络21连接。输入用控制器10p根据来自传感器32的信号生成输入设备信息的数据包，并将该输入设备信息的数据包发送给控制器间通信网络21。

输出用控制器10s与作为输出设备的制动器50连接。输出用控制器10s的通信部分104与输出侧通信网络22连接。输出用控制器10s生成输出设备信息的数据包，并将该输出设备信息的数据包发送给控制器间通信网络22。

在输入用控制器10p与输出用控制器10s之间设置有多个信息处理用控制器10q、10r。各个信息处理用控制器10q、10r的通信部分104与控制器间通信网络21、22连接。此外，信息处理用控制器10r还具有用于在装置侧环境LS和远程环境RS之间进行信息交换的桥接功能，还通过站点间通信网络25与远程环境RS内的统一控制器10k连接。

统一控制器10q从控制器间通信网络21获取输入设备信息，并根据该信息实施规定的控制运算，并将其处理结果经由控制器间通信网络22而发送给输出用控制器10s。

远程环境RS内的统一控制器10k将装置侧环境LS内的统一控制器10r作为桥接控制器，经由站点间通信网络25获取装置侧环境LS内的输入设备信息和输出设备信息。

远程环境RS内的统一控制器10k基于从装置侧环境LS获取到的信息实施规定的控制运算处理。统一控制器10k通过站点间通信网络25以及统一控制器10r将该处理结果发送给装置侧环境LS内的输出侧通信网络22。

输出用控制器10s根据从控制器间通信网络22接收到的信息(控制运算的结果)来控制制动器50。经由控制器间通信网络22向各个统一控制器10q、10r发送该控制结果，并且还经由站点间通信网络25向远程区域内的统一控制器10k发送该控制结果。

装置侧环境LS内的信息处理用控制器10f、10h根据搭载在车身或者机身等上的传感器32所能检测到的车身周围的状况，实施发现障碍物时的减速处理等控制运算。各个统一控制器10f、10h的运算结果以结果相同为前提。

相对于此，远程环境RS内的统一控制器10k除了参照来自传感器32的信号外，还能够参照其他信息来进行控制运算。例如，统一控制器10k能够在考虑到位于设有装置侧环境LS的控制对象车辆的周边的其他车辆的行驶状况等的基础上进行控制运算。因此，例如不仅能够根据与在控制对象车辆前方行驶的先行车辆之间的距离在早期运算减速的必要性，而且还能够根据前方其他车辆的速度等早期运算减速的必要性。

本实施例可以应用于第一实施例和第二实施例中的任一个实施例。本实施例可以获得与第三实施例相同的效果。在本实施例中，能够在装置侧环境LS内通过多个统一控制器10q、10r来获得双系统的控制器结构，且还能够通过远程环境RS内的统一控制器10k来实现备份结构。还可以通过装置侧环境LS内的控制和远程环境RS内的控制，进行不同的控制。另外，在本实施例中，说明了应用于汽车的自动减速处理或者自动停止处理的情况，但本发明并不仅限于此，例如还可以应用于船舶的运行控制、飞机的起飞降落控制以及建筑机械的行驶控制等其他的控制。

(第五实施例)

参照图8说明第五实施例。在本实施例中，对统一控制器10的信息处理部分102由作为可编程器件的微处理器(CPU)构成的情况的软件结构进行说明。

作为信息处理部分102所具有的软件层，从上位层起算，具有应用程序层110、虚拟I/O层111、功能安全层112、安全通信层113、网络层114以及I/O层115。

例如碰撞防止程序和自动减速程序等这样的与功能安全等级相对应的应用程序对应于应用程序层110。为了应用程序层110的程序不依赖于通信网络和I/O等物理器件，设置虚拟I/O层111。由此，即使在将统一控制器10追加到控制系统中或者使设置场所移动等情况下，应用程序层110的程序(应用程序)也可以在无需意识物理器件的场所等情况下使用物理器件。

功能安全层112根据功能安全等级，实现通信网络以及I/O等的物理器件的安全措施。功能安全层112按照所要求的功能安全等级来执行经由安全通信层113访问网络层114还是直接访问网络层114的判断以及通信处理。并且，功能安全层112按照所要求的功能安全等级，针对I/O层115实施反馈处理等安全措施。

具有上述结构的本实施例可以应用于第一实施例至第四实施例中的任一个实施例。通过在信息处理部分102设置本实施例所述的软件层，能够在无需意识通信网络以及I/O等物理器件的情况下以及无需意识功能安全等级的情况下进行应用程序的开发。由此，能够缩短统一控制器10的开发期间以及降低开发成本。

(第六实施例)

参照图9说明第六实施例。在本实施例中，说明用于实现双系统(多系统)的控制器结构的方法。图9的流程图示出了由一方统一控制器(A)和已知的另一方统一控制器(B)构筑双系统结构时的处理。在此，在统一控制器上附加符号(A)、(B)来加以区别。

统一控制器(A)将初始化信息发送给作为双系统结构的对方的统一控制器(B)(S10)。作为对方的统一控制器(B)已知是指，在构筑控制系统时已决定用于在通信网络上识别统一控制器的网络ID等。

作为对方的统一控制器(B)接收到初始化信息(S11)后，返回ACK(S12)。统一控制器(A)接收ACK(S13)。统一控制器(A)确认ACK是否已经到达(S14)。

在确认为ACK已经到达时(S14：确认接收到)，统一控制器(A)执行双系统结构构筑成功时的处理(S15)。在确认为ACK还没有到达且还没有超时时(S14：再次接收)，统一控制器(A)返回步骤S13，再次尝试接收。

在确认为ACK还没有到达且已超时时(S14：超时)，统一控制器(A)判断初始化信息的发送次数是否达到了规定次数(S16)。在初始化信息的发送次数还没有达到预先设定的规定次数时(S16：否)，统一控制器(A)返回步骤S10，再次向统一控制器(B)发送初始化信息。

在发送了规定次数的初始化信息时(S16：是)，统一控制器(A)执行双系统结构构筑失败的处理(S17)。另外，由于初始化信息的内容、初始化处理的内容、构筑成功处理的内容以及构筑失败处理的内容不属于本实施例的要点，并且对理解和实施本实施例没有影响，所以在此不对其进行详细说明。

具有上述结构的本实施例能够应用于所述各个实施例的双系统(多系统)的控制器结构的构筑。

(第七实施例)

参照图10说明第七实施例。在本实施例中说明不知道作为对方的统一控制器(B)在网络上的所处位置时的双系统的控制器结构的构筑方法。

图10的流程图表示一方的统一控制器(A)搜索另一方的统一控制器(B)以构筑双系统的控制器结构的处理。

统一控制器(A)生成包括作为双系统结构的对方的统一控制器(B)应具备的条件的询问信息(S20)。统一控制器(A)例如以“应作为对方的统一控制器(B)与规定的安全开关连接”为条件，生成询问信息。统一控制器(A)将所生成的询问信息从通信部分104发送到通信网络(S21)。

与通信网络连接的各个统一控制器接收询问信息(S22)，并确认自己是否满足询问信息中指定的条件(S23)。在判断为不满足指定的条件时(S23：不符合)，结束处理。在判断为满足指定的条件时(S23：符合)，接收到询问信息的统一控制器将自己的节点信息发送给统一控制器(A)(S24)。在此，假定通信网络上的多个统一控制器中的统一控制器(B)满足条件，已向统一控制器(A)发送了节点信息。

节点信息中包括连接在统一控制器(B)上的设备的种类等信息。节点信息例如包括与连接在统一控制器(B)上的安全开关相关的信息等。

作为询问信息的发送源的统一控制器(A)从统一控制器(B)接收节点信息(S25)。统一控制器(A)确认是否能够接收节点信息(S26)。在能够确认节点信息的接收时(S26：接收确认)，统一控制器(A)执行构筑成功的处理。

在不能确认节点信息的接收且还没有超时时(S26：再次接收)，统一控制器(A)返回到步骤S25，再次接收节点信息。

在不能确认节点信息的接收且已超时时(S26：超时)，统一控制器(A)判断询问信息的发送次数是否达到了预先设定的规定次数(S28)。在询问信息的发送次数还没有达到规定次数时(S28：否)，统一控制器(A)返回步骤S21，向通信网络发送询问信息。

在询问信息的发送次数达到了规定次数时(S28：是)，统一控制器(A)执行构筑失败的处理(S29)。另外，由于询问信息的内容、节点信息的内容、构筑成功处理的内容以及构筑失败处理的内容不属于本实施例的要点，并且对理解和实施本实施例没有影响，所以在此不对其进行详细说明。

具有上述结构的本实施例能够应用于所述各个实施例的控制器结构的双系统化(多系统化)中。

(第八实施例)

参照图11和图12对第八实施例进行说明。在本实施例中，说明用于确认连接在统一控制器10上的输入设备或者输出设备是否为规定设备的方法。本实施例可以应用于所述各个实施例中的任一个实施例中。并且，本实施例还可以应用于输入设备和输出设备中的任一方。在此，作为一例，说明作为输入设备的安全开关的例。

图11表示在本实施例的控制系统中使用的安全开关30的结构。安全开关30设置在电源与统一控制器10之间，例如具有接点部分300、强制分离机构301、通信装置302以及存储器303。由于安全开关30用于要求安全性的部位，所以具有在接点部分300发生了粘连时也能够强制性地使接点开放的强制分离机构301。

统一控制器10根据电压变化来检测接点部分300的状态。例如，在接点处于开放状态时，统一控制器10检测出0V的电压，因此能够检测出开放状态为“0”。在接点处于闭合状态时，统一控制器10检测出与电源电压基本相同的电压电平，此时能够检测出闭合状态为“1”。

在安全开关30的内部，在连接接点部分300和统一控制器10的信号线的中途位置，通信装置302和存储器303被连接。通信装置302在接点部分300处于开放状态时成为终端信号节点，能够与统一控制器10进行通信。在通信装置302是以电力线传输方式进行通信的装置时，即使接点部分300处于闭合状态，也能够与统一控制器10进行通信。

通信装置302上连接有存储器303。存储器303例如由非易失性存储器构成，存储与安全开关30有关的信息、即安全开关信息304。安全开关信息304例如可以包括安全开关30的类别和型号等识别信息。此外，在安全开关30具有简易的信息处理装置时，可以测量接点部分300的开闭次数，并且将测量到的开闭次数包括在安全开关信息304的一部分中。

安全开关30在能够与统一控制器10进行通信的规定情况下，从存储器303读出安全开关信息304，并将其发送到统一控制器10中。

图12是表示统一控制器10确认安全开关30的处理的流程图。例如在统一控制器10执行初始化处理时实施本处理。

统一控制器10在进行该初始化时，将输入部分101的端口作为输入端口，确认端口的状态(S30)。统一控制器10判断端口状态是否处于开放状态“0”(S31)。

在端口状态为“1”时，由于安全开关30处于闭合状态(S31：否)，所以统一控制器10判断为安全开关30正在进行动作，结束本处理。此后，统一控制器10为了满足所要求的功能安全等级，执行规定的安全处理(未图示)。

相对于此，在端口状态为“0”时，由于安全开关30处于开放状态(S31：是)，所以统一控制器10将端口的模式变更为输出端口，并开始供电和通信(S32)。

接收了供电和通信处理化的安全开关30开始与统一控制器10进行通信(S33)，并且将存储在存储器303中的安全开关信息304发送给统一控制器10(S34)。

处于接收待机状态的统一控制器10从安全开关30接收安全开关信息304(S35)。统一控制器10确认是否已经接收到安全开关信息304(S36)。当没有在规定时间内接收到安全开关信息304且已超时时(S36：超时)，统一控制器10判断为安全开关30是意料之外的开关，结束本处理。意料之外的开关是指不具有安全开关信息响应功能的安全开关。

另一方面，当在规定时间内从安全开关30接收到了安全开关信息304(S36：已接收到)时，统一控制器10对该安全开关信息304进行处理，并且判断为连接了意料之中的安全开关30，结束本处理。也就是说，统一控制器10判断为与统一控制器10连接了具有能够响应安全开关信息304的功能的规定安全开关30之后，执行规定的安全处理。

具有上述结构的本实施例能够应用于所述各个实施例。在本实施例中，能够判断出连接在统一控制器10上的安全开关30是否为具有能够响应安全开关信息304的功能的安全开关。因此，能够事先判断出控制系统中所使用的安全开关是否为安全性高的规定的安全开关30，能够提高控制系统的安全性和可靠性。

此外，在安全开关30具有简易的信息处理装置时，统一控制器10能够确认接点部分300的开关次数等安全器件的运行状况。因此，统一控制器10例如能够推测安全器件的寿命，管理该安全器件的更换日期等。此外，在本实施例中，以安全开关30为例进行了说明，但本发明并不仅限于此。例如，也可以使接触器那样的装置具有响应与该装置有关的信息的功能。

(第九实施例)

参照图13说明第九实施例。在本实施例中示例性地列举了能够应用本发明的技术领域。

上述的各个实施例的结构例如还可以广泛地应用于电梯系统60、汽车61、电车62、飞机63、建筑机械63等领域。并且，本发明还可以广泛地应用于炼铁厂、净水处理厂以及化学厂等的工厂设备的控制中。

(第十实施例)

参照图14说明第十实施例。在本实施例中，例如根据数据的种类来变更图2所示的控制系统中的处理。

图2所示的信息处理用控制器10d在经由控制器间通信网络21从输入用控制器10a接收到输入设备信息的数据包时(S40)，判断接收到的数据包的种类是“通常”还是“紧急”(S41)。

所谓“通常”例如是指在安全性方面不需要进行紧急处理，可以进行通常处理的数据包。另一方面，“紧急”例如是指在安全性方面应当进行紧急处理的数据包。也可以将通常的数据包称为“第一数据包”，将紧急的数据包称为“第二数据包”。

在判断为是通常的数据包时(S41：通常)，信息处理用控制器10d按照通常的方法，根据所接收到的输入设备信息执行规定的控制运算(S42)，生成控制信息的数据包(S43)。信息处理用控制器10d将该控制信息的数据包发送给通信网络22(S44)。输出用控制器10b(或者10c)能够根据控制信息的数据包控制输出设备。

当从输入用控制器10a接收到的数据包是应紧急处理的数据包时(S41：紧急)，信息处理用控制器10d将该数据包的目的地改写为输出用控制器(S45)。信息处理用控制器10d将改写发送目的地后的数据包经由控制器间通信网络22而传送给输出用控制器10b(或者10c)中(S46)。

具有上述结构的本实施例可以应用于上述各个实施例。在本实施例中，在输入用控制器检测到应紧急处理的事态的情况下，信息处理用控制器将来自输入用控制器的数据包的目的地改写后发送到输出用控制器。因此，能够迅速地应对紧急停止等紧急事态。

另外，本发明并不仅限于上述实施例。本领域的技术人员可以在本发明的范围内进行各种追加或变更等。

例如，如下所述，可以将本发明表现为用于控制系统中的控制器。

表现1：一种在满足规定的功能安全等级的控制系统中使用的控制器，

该控制器与在所述控制系统中使用的其他的控制器具有通用的结构，

能够通过控制器间通信网络而与所述其他的控制器以可通信的方式连接，

所述控制器构成为包括：

用于从输入设备接收输入设备信息的至少一个输入部分；

用于生成输出到输出设备的输出设备信息的至少一个输出部分；

用于通过所述控制器间通信网络而与其他控制器进行通信的至少一个通信部分；以及

用于根据所述输入设备信息和/或所述输出设备信息，执行预先设定的规定的信息处理的至少一个信息处理部分，

经由所述控制器间通信网络与所述其他的控制器结合成规定的结构，由此实现预先设定的多种功能安全等级中的所述规定的功能安全等级。

Claims (7)

1.一种控制系统，其满足规定的功能安全等级，所述控制系统具备：

单一结构的多个控制器；以及

用于将所述多个控制器连接成彼此能够进行通信的至少一个控制器间通信网络，

所述多个控制器构成为包括：

用于从输入设备接收输入设备信息的至少一个输入部分；

用于生成输出到输出设备的输出设备信息的至少一个输出部分；

用于通过所述控制器间通信网络而与其他控制器进行通信的至少一个通信部分；以及

用于根据所述输入设备信息和/或所述输出设备信息执行预先设定的规定的信息处理的至少一个信息处理部分，

经由所述控制器间通信网络将所述多个控制器结合成规定的结构，由此实现预先设定的多种功能安全等级中的所述规定的功能安全等级。

2.如权利要求1所述的控制系统，其中，

所述多个控制器中的至少一个控制器成为所述输入部分与所述输入设备连接的输入用控制器，

所述多个控制器中的至少一个控制器成为所述输出部分与所述输出设备连接的输出用控制器，

所述多个控制器中的至少一个控制器成为信息处理用控制器，该信息处理用控制器根据经由所述控制器间通信网络从所述输入用控制器获取的所述输入设备信息和/或经由所述控制器间通信网络从所述输出用控制器获取的所述输出设备信息来执行所述规定的信息处理。

3.如权利要求2所述的控制系统，其中，

所述输入用控制器和所述信息处理用控制器经由第一控制器间通信网络被连接成能够进行通信，

所述输出用控制器和所述信息处理用控制器经由第二控制器间通信网络被连接成能够进行通信。

4.如权利要求3所述的控制系统，其中，

设置多个所述信息处理用控制器，

所述多个信息处理用控制器经由第三控制器间通信网络被连接成能够进行通信。

5.如权利要求4所述的控制系统，其中，

所述多个信息处理用控制器中的一个信息处理用控制器设置在控制对象装置所在的本地站点内，

所述多个信息处理用控制器中的另一个信息处理用控制器设置在远程站点内，该远程站点设置在远离所述本地站点的场所内，

所述第三控制器间通信网络构成为站点间通信网络，该站点间通信网络用于将所述本地站点和所述远程站点连接成彼此能够进行通信。

6.如权利要求1所述的控制系统，其中，

所述控制器间通信网络包括用于传送所述输入设备信息的输入侧通信网络、用于传送所述输出设备信息的输出侧通信网络以及在所述多个信息处理用控制器之间传送控制信息的控制信息用控制器间通信网络。

7.如权利要求1至5中的任一项所述的控制系统，其中，

所述输入设备预先存储规定的信息，该规定的信息包括表示该输入设备的属性的属性信息，

所述输入用控制器以规定的定时从所述输入设备获取所述规定的信息。

Images