JP2003507965A - 安全ステーションを設定する方法およびそれを利用した安全制御システム - Google Patents

Abstract

(57)【要約】 【課題】安全制御システムにおいて安全バスユーザー（１２、１８）をフィールドバスに接続する際に安全バスユーザーを設定する方法であって、定義されたユーザーアドレスが安全バスユーザー（１２、１８）に割り当てられている方法を提供する。 【解決手段】本発明の方法は、フィールドバスに接続された管理ユニット（７０）に安全バスユーザー（１８）から第一の登録メッセージ（１１４）を送出する工程であり、第一の登録メッセージ（１１４）が所定の広域アドレスを有する工程と、管理ユニット（７０）から安全バスユーザー（１８）にアドレス割り当てメッセージ（１１８）を送出する工程であり、アドレス割り当てメッセージ（１１８）が定義されたユーザーアドレスを有する工程と、定義されたユーザーアドレスを安全バスユーザー（１８）のメモリー（１２０）に保存する工程とを含む。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、安全制御システム内において安全バスユーザーをフィールドバスに
接続する際に、定義されたユーザーのアドレスを安全バスユーザーに割り当てた
状態で、安全バスユーザーを設定する方法に関する。 本発明はまた、安全性が不可欠なプロセスを安全に制御するための制御システ
ムに関し、フィールドバスに接続された少なくとも１つの安全バスユーザーを有
し、前記安全バスユーザーはバスメッセージを受信および評価するための第一の
手段と、バスユーザーに割り当てられたユーザーアドレスを保存するメモリーと
を有する。

【０００２】

【従来の技術】

かかる方法およびかかる制御システムは、それぞれ安全性が不可欠なプロセス
の制御における利用が知られている。 フィールドバスはデータ通信のためのシステムであり、その中では接続された
各バスユーザーはバスを介して互いに結合されている。そのため、フィールドバ
スに接続された２つのバスユーザーは互いに個別にケーブルで直接接続されてい
なくても、互いに通信を行うことができる。公知のフィールドバスの例としては
、いわゆるＣＡＮバス、プロフィバスおよびインターバスがある。 制御および自動化技術の分野では、フィールドバスの利用は比較的長い間十分
に知られている。しかしごく最近まで、制御に関与する各ユニットが事実上互い
に個別にケーブルで接続されている安全性が不可欠なプロセスの制御には、これ
は適用されなかった。その理由は、公知のフィールドバスでは、安全性が不可欠
なプロセスの制御に求められる故障許容度（故障確率が１０^-11未満）を保証で
きなかったからである。公知のフィールドバスは全てデータ通信中の故障に対す
る保護のための手段を含んでいるが、これらの手段は求められる故障許容度を保
証するには十分ではない。しかもフィールドバスはオープンシステムであり、原
則としていかなるユニットもそれに接続することができる。そのため、制御すべ
き安全性が不可欠なプロセスに全く何の関係もないユニットが、安全性が不可欠
なプロセスに思わぬ影響を及ぼす危険がある。

【０００３】 安全性が不可欠なプロセスとは、故障が発生した場合に人体および財産に許容
できない危険が生じるプロセスという意味に理解される。従って安全性が不可欠
なプロセスの場合、理想的には、故障が発生した際にプロセスが安全な状態に移
行することが１００％保証されなければならない。機械設備の場合には、これは
設備の電源を切ることを意味する。しかし化学製造プロセスの場合は、状況によ
っては電源を切ると反応を暴走させる可能性があるので、この様な場合はプロセ
スを危険でない範囲のパラメータで実行するのが好ましい。

【０００４】 安全性が不可欠なプロセスはまた、より大きく高レベルの全体プロセスの部分
的プロセスである可能性がある。例えば油圧プレスの場合、材料の供給は安全性
が不可欠ではない部分プロセスである可能性があるが、プレス装置の起動は安全
性が不可欠な部分プロセスとなりうる。安全性が不可欠な（部分）プロセスの他
の例としては、安全柵、保護ドア、あるいは光バリアの監視、両手操作スイッチ
の制御あるいは非常停止スイッチの監視と評価がある。

【０００５】 安全性が不可欠なプロセスの制御に関与するユニットを、安全性が不可欠な作
業に使用することが関係する監督機関に認可されるためには、このユニットはそ
の実際の機能を超えた安全性に関連する機器を持たなければならない。これらの
機器は、主に故障および機能の監視に使用される。故障が発生しても安全な運転
を保証するために、これらの関係するユニットは原則として冗長な構成とされる
。以下の説明において、この様な安全性に関連する機器を持つユニットは「通常
の」ユニットと区別して安全であると定義する。

【０００６】 フィールドバスに接続されたユニットを、以下の説明では一般にバスユーザー
と称する。安全性が不可欠なプロセスを安全に制御するための制御システムの場
合、バスユーザーとは通常、制御ユニットまたは信号ユニットである。制御ユニ
ットとは、あるプロセスを制御するための何らかのインテリジェント機能(intel
ligence)を持つバスユーザーである。技術用語としては、かかるバスユーザーは
通常、クライアントと呼ばれる。これらは制御されるプロセスの状態変数を表す
データおよび／または信号を受け取り、この情報に依存して、制御されるプロセ
スに影響を与えるアクチュエータを起動する。インテリジェント機能は通常、制
御ユニットのメモリーに可変のユーザープログラムの形で保存される。原則とし
て、いわゆるＰＬＣ（プログラマブル・ロジック・コントローラー）が制御ユニ
ットとして使用される。

【０００７】 それに対して信号ユニットは、本質的に入力および出力チャンネル（Ｉ／Ｏチ
ャンネル）を提供するバスユーザーであり、これには一方ではプロセス変数を受
け取るセンサーと、他方ではアクチュエータを接続できる。原則として信号ユニ
ットは、可変のユーザープログラムの形でのいかなるインテリジェント機能も持
っていない。これらは通常、技術用語ではサーバーと呼ばれる。 例えばＣＡＮバスのような多くのフィールドバスにおいて、個々のバスユーザ
ーに個別のユーザーアドレスを割り当てることが知られている。ユーザーアドレ
スは、送信側のバスユーザーから受信側のバスユーザーに送られる情報とともに
バスメッセージを選択的に送るために使用される。安全性が不可欠なプロセスを
制御するための制御システムを構成する際に、バスユーザーにユーザーアドレス
を割り当てることは、安全上重要な手順である。その理由は例えば、２つの別々
の信号ユニットが２つの別の保護スクリーンの状態信号を捉えて制御ユニットに
転送したとすると、２つの信号ユニットのアドレスの割り当てが間違っていれば
、対応する保護スクリーンが開けられているにもかかわらず、保護すべき機械の
動作を制御ユニットが切らないという事態が生じる可能性があるからである。

【０００８】 これまでに知られている一般的な制御システム、あるいは安全バスユーザーを
設定するための対応する方法においては、ユーザーアドレスは直接バスユーザー
に対して設定されていた。この目的のために、各バスユーザーは機械的な符号化
スイッチ、特にロータリースイッチ、あるいはシリアルのプログラミングインタ
ーフェースを有している。この解決手段の欠点は、ユーザーアドレスを個々のバ
スユーザーの位置に直接設定しなければならないことである。しかし、工業分野
での複雑なプロセス制御の場合、フィールドバスに接続された個々のバスユーザ
ーは数百メートルも離れている可能性がある。従ってこの場合、安全制御システ
ムの設定のために長い距離を歩く必要があり、設定が厄介となる。

【０００９】 更に、長い歩行距離のために全体像を見失いやすく、間違ったアドレスを割り
当てる可能性がある。従来知られている解決手段の別の大きな欠点は、欠陥のあ
るバスユーザーを交換するときに、そのユーザーアドレスが分かっていて、その
後で代わりのバスユーザーにそのアドレスを割り当てられるようにしなければな
らないことである。このことは、２４時間運転が行われることの多い工業的設備
の場合、故障したバスユーザーを交換するために必要な知識を持つ人員を常駐さ
せなければならないことを意味する。プログラミング装置を利用して、シリアル
インターフェースを通してバスユーザーにユーザーアドレスが割り当てられる場
合、そのプログラミング装置も常に必要となる。

【００１０】 プログラミングインターフェースを通してユーザーアドレスを割り当てる場合
、バスユーザーに割り当てられたユーザーアドレスが外部から認識できないとい
う、別の欠点がある。その結果、前に別のユーザーアドレスで使用されていたバ
スユーザーが、新しい環境で使われるときに間違って古いユーザーアドレスで動
作させられてしまうという危険がある。既に使用されたバスユーザーが、保守作
業中に別の制御システムに組み込まれるという場合、この危険性は特に高くなる
。

【００１１】

【発明が解決しようとする課題】

そこで本発明の目的は、最初に述べたタイプの方法を特定して、それを使って
単純かつ故障が生じない方法で中央から安全バスユーザーにユーザーアドレスを
割り当てられるようにすることである。さらに、本発明の目的は、対応する制御
システムを特定することである。

【００１２】

【課題を解決するための手段】

上記の目的は、下記の各工程からなる最初に述べたタイプの方法によって達成
される。すなわち、フィールドバスに接続された管理ユニットへ安全バスユーザ
ーから第一の登録メッセージを送る工程において、第一の登録メッセージは所定
の広域アドレスを含んでいる工程と、管理ユニットから安全バスユーザーに、ア
ドレス割り当てメッセージを送る工程において、アドレス割り当てメッセージは
定義されたユーザーアドレスを含んでいる工程と、安全バスユーザーのメモリー
に定義されたユーザーアドレスを保存する工程とを含む。

【００１３】 上記の目的は更に、最初に述べたタイプの制御システムによって達成されるが
、その中でバスユーザーはフィールドバスに接続された管理ユニットにおいて所
定の広域アドレスで登録するための第二の手段と、ユーザーアドレスを含むアド
レス割り当てメッセージを受け取り、また評価するための第三の手段を有する。 前記の方法を使用すれば、個々のユーザーアドレスを最初に割り当てずに、設
定すべきバスユーザーをフィールドバスに接続することが可能になる。このバス
ユーザーは次ぎに、所定の広域アドレスに基づいて前記の管理ユニットに登録す
ることができる。この管理ユニットは、好ましくは全制御システムに対する中央
の管理ユニットである。次の工程では、管理ユニットは設定すべきバスユーザー
に個別のユーザーアドレスを送る。これは、管理ユニットから設定すべきバスユ
ーザーに送られる特別のアドレス割り当てメッセージを使って行われる。アドレ
ス指定されたバスユーザーは、送られたユーザーアドレスを取り出してそれをメ
モリーに保存することにより、受け取ったアドレス割り当てメッセージを評価す
る。好ましくは、例えばＥＥＰＲＯＭのような不揮発性メモリーにユーザーアド
レスを保存する。

【００１４】 この方法を使うことにより、中央すなわち管理ユニットから安全バスユーザー
に定義されたユーザーアドレスを割り当てることが可能になる。制御システムが
空間的に広く配置されている場合でも、従来必要とされていた長い距離の歩行が
これにより不要となる。更に、中央から全てのバスユーザーを設定できることに
より全体像が得られ、間違ったアドレスを割り当てる危険が軽減される。更に安
全バスユーザーと管理ユニットの両方とも安全性に関連した設備からなるので、
バスシステムに欠陥が存在する可能性にもかかわらず、定義されたユーザーアド
レスを故障に耐える方法で送ることが可能となる。

【００１５】 これにより、上記の目的は完全に達成される。 この方法のある実施形態においては、安全バスユーザーはアドレス割り当てメ
ッセージを受け取ると、管理ユニットに第二の登録メッセージを送り、第二の登
録メッセージは定義されたユーザーアドレスを含んでいる。 この手段には、安全バスユーザーが、割り当てられたユーザーアドレスをエラ
ー無しに受け取ったかどうかだけでなく、それをエラー無しに処理したかどうか
を、管理ユニットがチェックできるという利点がある。これは更にアドレス割り
当ての信頼性を高める。例えばこの手段は、安全バスユーザーがそれに割り当て
られたユーザーアドレスを受け取った後で、管理ユニットに再度登録を行うこと
を意味する。更にこの手段は、管理ユニットの観点から見ると、広域アドレスが
あいまいさ無しに再度発行されるという利点も有する。従ってこれは、影響され
るバスユーザーに関して多義性（あいまいさ）が生じる可能性無しに、他のバス
ユーザーが利用することができる。

【００１６】 本発明の別の実施形態では、定義された保守メッセージを受け取った後にのみ
、安全バスユーザーが第一の登録メッセージを管理ユニットに送る。 この手段には、管理ユニットが常にフィールドバス上での交信に対して制御を
維持するという利点がある。したがって新しいバスユーザーが先ず最初に管理ユ
ニットによってその目的のために解放されることなく、フィールドバス上での交
信に入るように設定されることはあり得ない。このことも、中央での制御が保証
されることで制御システムの安全性が向上する。

【００１７】 この手段の好適な実施形態では、定義された保守メッセージを最初に受け取っ
た後にのみ、安全バスユーザーが第一の登録メッセージを管理ユニットに送り、
定義された保守メッセージを繰り返し受け取ると第二の登録メッセージを送る。 この手段には、フィールドバスに接続された全てのバスユーザーに、保守メッ
セージをいわゆるブロードキャストメッセージとして同時に共同で送ることがで
きるという利点がある。これにより、設定すべき新しいバスユーザーの登録が、
既に登録および設定されたバスユーザーによって妨害されたり遅らされたりする
ことがないので、本発明の方法が更に単純化される。これはまた、はるかに少な
い方法の工程数で本発明の方法を実行することを可能とする。本発明の方法の実
際の実施によっては、最初の受信は、制御システムの各スイッチをＯＮにした後
の最初の受信に関連させることができる。しかし、バスユーザーがフィールドバ
スに接続された後の最初の受信に関連させることが好ましい。

【００１８】 上記の手段の更に別の実施形態においては、定義された保守メッセージは、管
理ユニットの特別保守モードが起動された後にのみ送られる。 特別保守モードは、好適には、管理ユニットに接続されたキースイッチまたは
コードロックを操作することにより起動される。管理ユニットの特別保守モード
は、定義された保守メッセージが送出されるのはこの保守モードにおいてのみで
あるという点で、管理ユニットの他のどの動作モードとも異なる。この手段には
、安全制御システムに対する意図的な介入の後でのみユーザーアドレスを割り当
てることができるという利点がある。これにより、間違ってユーザーアドレスを
送ってしまうことが防止できる。ユーザーアドレスを間違って割り当てる危険が
これによって大幅に軽減される。

【００１９】 上記の手段の更に別の実施形態においては、管理ユニットは第二の登録メッセ
ージを受け取った後に、特別保守モードを自動的に終了させる。 この場合は、それぞれのケースでの１回のアドレス割り当てに対してだけ、特
殊保守モードが起動されるので、この手段も間違ったアドレス割り当ての危険を
大幅に軽減する。従って、ユーザーアドレスの割り当てをするたびに安全制御シ
ステムへの意図的な介入が新たに必要となる。このこともシステムの安全性を大
幅に向上させる。

【００２０】 上記の手段の更に別の実施形態においては、定義されたユーザーアドレスは特
別保守モードの始めに管理ユニットに送信される。 この手段の代わりとして、管理ユニットがメモリーから定義されたユーザーア
ドレスを自動的に読み出し、それによりユーザーアドレスのリストから個々のバ
スユーザーに続けてユーザーアドレスを割り当てるという方法が可能である。そ
れと比較すると上記の手段では、個々のユーザーアドレスを割り当てるために、
バスユーザーの設定を行いたい側の意図的な動作が再度要求されるという利点が
ある。このこともアドレス割り当ての安全性を大幅に高める。

【００２１】 上記の手段の更に別の実施形態においては、送信されるユーザーアドレスが、
フィールドバスに接続されたバスユーザーに既に割り当てられている場合は、管
理ユニットは故障信号を発生する。 この手段も、別々のバスユーザーにユーザーアドレスを重複して割り当てるこ
とを確実に防止するので、間違ったアドレス割り当ての防止に貢献する。 本発明の別の実施形態では、管理ユニットはフィールドバスに接続された全て
のバスユーザーに、定められた時間間隔で保守メッセージを送る。

【００２２】 この手段は、各ケースで特殊保守モードの個別の起動後にのみ保守メッセージ
を送ることができるのと異なる。比較すると前記の手段は、制御システムが動作
中に、非常に単純かつ楽に新しいバスユーザーを接続できるという利点を有して
いる。この構成では、ユーザーアドレスは可能性のあるユーザーアドレスのリス
トから管理ユニットによって自動的に選択されるか、または新しいバスユーザー
が接続される前に管理ユニットに送信することができる。

【００２３】 本発明による方法の更に別の実施形態は、下記の工程によって特徴づけられる
。すなわち、フィールドバスにアクティブに接続されている全てのバスユーザー
が存在するかどうかを、各バスユーザーの公称設定によって、またバスユーザー
の応答メッセージによってチェックする工程と、もはやアクティブでないと判断
されたバスユーザーのユーザーアドレスを定義されたユーザーアドレスとして送
出する工程とを更に含む。

【００２４】 本発明のこの実施形態は、既に設定されている安全制御システムに対する保守
作業に関して、特に有利である。それは、新しいバスユーザーに意図的にユーザ
ーアドレスを割り当てる必要なく、故障したバスユーザーを新しいバスユーザー
に交換することが、公知の手段を利用して単純な方法で可能になるからである。
この実施形態では、管理ユニットはそこに登録された全てのバスユーザーがフィ
ールドバスにアクティブに接続されているかどうかを常にチェックする。もしも
不明のバスユーザーがあれば、それは故障しているか、またはこのバスユーザー
が既にフィールドバスから切り離されていることを示す。管理ユニットは公知の
公称設定に基づいて、不明のバスユーザーのユーザーアドレスを特定できる。新
しいバスユーザーが所定の広域アドレスの下で管理ユニットに登録するとすぐに
、不明のバスユーザーのユーザーアドレスがそれに割り当てられる。これにより
、古いユーザーアドレスを新しいバスユーザーに手動で割り当てることなく、故
障したバスユーザーを交換することが可能になる。本発明のこの実施形態は好適
には、管理ユニットの特別保守モードを起動した後だけに送出される、定義され
た保守メッセージと組み合わされる。これは、一方ではユーザーアドレスの割り
当てに関する非常に高い信頼性が得られ、また他方では故障したバスユーザーが
非常に単純な方法で、また技術的知識なしに交換できるからである。このことは
、２４時間運転が行われる生産設備の場合に特に有利である。

【００２５】 本発明の更に別の実施形態では、１つ以上のバスユーザーが第一の登録メッセ
ージを送出すると、管理ユニットは故障信号を発する。 この手段も、多くのバスユーザーにユーザーアドレスを同時に割り当てること
が防止されるので、信頼性が向上するという利点を有している。 本発明の更に別の実施形態では、少なくとも第一の登録メッセージとアドレス
割り当てメッセージに対して、受領メッセージが返される。

【００２６】 この手段では、実際の処理とは関係なく、前記のメッセージの受信側が発生側
に受領メッセージを送り返すようにする。これにより発信側は、受信側がそれぞ
れのメッセージをエラー無しに受け取ったかどうかをチェックできるので、これ
もアドレス割り当ての信頼性を大幅に高める。 上記の特徴および以下に説明する特徴は、各ケースで述べた組み合わせだけで
なく、本発明の範囲から逸脱することなく別の組み合わせで、またそれら単独で
も使用できる。

【００２７】

【発明の実施の形態】

以下、本発明の実施形態を図面を参照してより詳しく説明する。 図１において、安全性が不可欠なプロセスを安全に制御するための制御システ
ムの全体を参照番号１０で表している。 制御システム１０は、フィールドバス１６を介して全部で４つの安全信号ユニ
ット１８、２０、２２、２４に接続されている２つの安全制御ユニット１２、１
４を有する。制御ユニット１２、１４および信号ユニット１８〜２４は、本発明
におけるバスユーザーである。

【００２８】 安全信号ユニット１８〜２４の各々は多くのＩ／Ｏチャンネルからなり、これ
を介して各々が安全性が不可欠なプロセス２８、３０、３２に接続されている。
この場合は、安全信号ユニット１８、２０はプロセス２８に接続され、信号ユニ
ット２２はプロセス３０に接続され、そして信号ユニット２４はプロセス３２に
接続されている。安全性が不可欠なプロセス２８は、例えば、図示しない機械軸
の回転速度が監視されている機械設備の両手操作制御機器である。安全性が不可
欠なプロセス３０は例えば非常停止スイッチの監視であり、安全性が不可欠なプ
ロセス３２は保護スクリーン（図示せず）の監視である。

【００２９】 信号ユニット１８〜２４は、それらのＩ／Ｏチャンネル２６を介して安全性が
不可欠なプロセス２８〜３２の信号および／またはデータの値を読む。かかる信
号またはデータの値は、例えば、機械軸の現在の回転速度および非常停止スイッ
チの切替位置である。他方、信号ユニット１８〜２４はＩ／Ｏチャンネル２６を
介して図示しないアクチュエータに作用して、それにより安全性が不可欠なプロ
セス２８〜３２に影響を与える。従って、例えばその非常停止スイッチの切替位
置が監視されている安全性が不可欠なプロセス３０には、制御されまた監視され
ている機械設備の電源を切ることのできるアクチュエータが含まれる。

【００３０】 安全制御ユニット１２、１４はＰＬＣ制御機器である。原則として、これらは
同一の構造を有しているが、異なるアプリケーションプログラムがそれらの中で
実行されるという点で基本的に異なる。 制御ユニット１２、１４および信号ユニット１８〜２４の以下の説明において
、図１に示した参照符号は分かりやすくするためにそれぞれ１度だけ引用する。 制御ユニット１２、１４はそれぞれ、図１で一点鎖線３６の上に示された安全
処理部３４を含んでいる。線３６の下には非安全部３８があり、これは基本的に
バスコントローラーと呼ばれるチップ４０を含む。バスコントローラー４０は、
使用されるフィールドバス１６の標準的プロトコルが組み込まれている標準チッ
プである。バスコントローラー４０はメッセージをフレームの形で送出および受
信することを独立して処理することができる。送出されるメッセージは、安全処
理部３４からバスコントローラー４０によって受け取られる。バスコントローラ
ー４０は、受け取ったメッセージを逆に安全処理部３４に供給する。

【００３１】 本発明の好適な実施形態によれば、フィールドバス１６はこの場合ＣＡＮバス
である。このバスにおいて送出されるメッセージは、フィールドバス１６を通っ
て送るためにつけ加えられた制御情報によって補足されたユーザーデータフィー
ルド内で送信される。制御情報とユーザーデータフィールドの完全なパッケージ
がバスメッセージを形成する。バスコントローラー４０は、安全処理部３４から
受け取った情報を、プロトコルに対応した形式で送出されるべきバスメッセージ
内に独立して埋め込むことができる。逆にこれは、受け取ったバスメッセージ内
のユーザーデータフィールドに含まれる情報を取り出すことができる。

【００３２】 各制御ユニット１２、１４の安全処理部３４は、２チャンネルの冗長を持って
構成されている。２チャンネルの各々は基本的にプロセッサー４２ａ、４２ｂを
含み、それはこの場合アプリケーションプログラム４４ａ、４４ｂを実行するた
めの関連周辺機器を有している。アプリケーションプログラム４４ａ、４４ｂは
機械設備の制御、従って制御ユニット１２、１４のインテリジェント機能を有し
ている。

【００３３】 ２つのプロセッサー４２ａ、４２ｂは、互いに関して冗長に安全性に関するタ
スクを実行する。このプロセスにおいて、これらは図１において矢印４６で示さ
れたように互いをチェックする。安全性に関するタスクには、例えば送信または
送出されたメッセージのエラー保護手段が含まれる。これらの手段は、標準的な
手段としてバスコントローラー４０によって既に実行されているエラー保護手段
に加えて、またそれを補完するものとして実行される。これにより、それ自体安
全でないフィールドバス１６と比較して、故障確率を大幅に高めることができる
。

【００３４】 信号ユニット１８〜２４は、安全制御ユニット１２、１４と同じバスコントロ
ーラー４０を介してフィールドバス１６に接続されている。これに対応して、図
１で線５０の上の部分４８もまた、本発明において安全でない。線５０の下の安
全処理部において、信号ユニット１８〜２４の各々もまた、２チャンネルの冗長
度を持たせて構成されている。２つの冗長処理チャンネルもまた相互のエラー監
視を行うことができる。

【００３５】 信号ユニット１８〜２４の各処理チャンネルは、プロセッサー５４ａ、５４ｂ
とスイッチ手段５６ａ、５６ｂを有している。参照番号５８ａ、５８ｂはそれぞ
れの場合メモリーを示すが、これは一方では所定の広域アドレスがこのメモリー
に保存され、また他方ではプロセッサー５４ａ、５４ｂが割り当てられたユーザ
ーアドレスをこのメモリーに保存できる。従って、バスコントローラー４０との
関連で、信号ユニット１８〜２４の各々は所定の広域アドレスでフィールドバス
に接続された管理ユニットに登録し、また逆に関連するユーザーアドレスととも
にアドレス割り当てメッセージを受け取りかつ評価することができる。図１では
これは明示的に図示されていないが、安全制御ユニット１２、１４もまた同じ能
力を有する。

【００３６】 スイッチ手段５６ａ、５６ｂは、信号ユニット１８〜２４が図示されてないア
クチュエータを起動して、安全性が不可欠なプロセス２８〜３２に影響を与える
ことを可能にする。従って、安全信号ユニット１８〜２４は、安全性が不可欠な
プロセス２８〜３２を、例えば非常停止スイッチが作動したときに機械設備の電
源を切るように、安全な状態にすることができる。 技術用語では管理装置とも呼ばれる上記管理ユニットは、図１では参照番号７
０で示される。管理ユニット７０はまた、バスコントローラー４０を介してフィ
ールドバス１６に接続されている。従って、これはフィールドバス１６に接続さ
れた残りのユニットと通信することができる。しかしこれは、安全性が不可欠な
プロセス２８〜３２の制御には直接関与していない。

【００３７】 その安全処理部に、管理ユニット７０は基本的に２つの互いに冗長なメモリー
７２ａ、７２ｂを有しており、これらメモリーには、制御システム１０の全構成
と、特にバスユーザー１２、１４およびバスユーザー１８〜２４に対する定義さ
れたユーザーアドレスの割り当てなどが記憶されている。管理ユニット７０は、
プロセス２８〜３２の制御とは独立に行われる中央の管理および監視機能を有す
る。例えば管理ユニット７０は、制御ユニット１２、１４および信号ユニット１
８〜２４の間の接続チェックを、決まった時間間隔で開始する。このプロセスの
間、管理ユニット７０は制御ユニット１２、１４に接続チェックメッセージを送
ることにより、これらの制御ユニットへの接続がエラー無しに動作しているかど
うかをチェックする。このチェックメッセージに対する応答として、制御ユニッ
ト１２、１４はそれに関連する信号ユニット１８〜２４にチェックメッセージを
送出する。このプロセスの間、管理ユニット７０は全データ交信を監視し、また
その結果として、それが把握している全てのバスユーザーがまだフィールドバス
１６にアクティブに接続されているかどうかに関する情報を決まった時間間隔で
受け取る。予想されたチェックメッセージが無い場合、あるいは予想された応答
メッセージが無い場合は、管理ユニットはエラーメッセージを出し、これに基づ
いて安全性が不可欠なプロセス２８〜３２は安全な状態に移行させられる。

【００３８】 ここに示した例示的実施形態の代わりに、管理ユニット７０を制御ユニット１
２、１４の一方に組み込むこともできる。この場合、管理ユニット７０は制御ユ
ニット１２、１４内の機能ブロックを表す。ここに図示しない別の実施形態では
、制御システム１０は１つの制御ユニット１２だけを有する。 参照番号８０は、例えば、フィールドバス１６を介して２つのバスユーザーの
間で送信されるバスメッセージを示す。バスメッセージ８０は使用される標準プ
ロトコルに応じて、アドレスフィールド８２とユーザーデータフィールド８４を
有する。それに加えて、ここに図示しない他の制御情報もバスメッセージ８０に
含めることができる。

【００３９】 図１の構成において、フィールドバス１６に接続されたユニットの各々には個
別に定義されたユーザーアドレス９０が割り当てられており、それは制御ユニッ
ト１４においては例えば“２”である。従って、例えば、管理ユニット７０は定
義されたユーザーアドレス“０”を有し、信号ユニット１８はユーザーアドレス
“３”を有する。更に図１で“ｘｙ”という記号で表されている所定の広域アド
レス９２が各ユニットに保存される。当然それぞれの場合において、ユーザーア
ドレス９０と広域アドレス９２の両方とも、個々のユニットのメモリーにデータ
値として記憶される。

【００４０】 図２に信号ユニット１８の設定中の通信の流れを、管理ユニット７０、安全制
御ユニット１２および安全信号ユニット１８の例と共に図示する。この例では、
時間軸が矢印１００の向きに延びている。様々なユニット間で送られる個々のメ
ッセージを矢印で表し、その始点には発信点の丸を付し、終点はそれぞれの場合
の受信側を表す。 図２の最初の時間区分では、安全信号ユニット１８はまだフィールドバス１６
に接続されていない。そのためこの時間区分では破線で示されているだけである
。管理ユニット７０は決まった時間間隔で制御ユニット１２に接続チェックメッ
セージ１０２を送出する。これは次ぎに応答メッセージ１０４で応答する。応答
メッセージ１０４の所定の期間内の受信が、管理ユニット７０によって監視され
る。その結果管理ユニット７０は、フィールドバス１６にアクティブに接続され
ているユニットの実際の数を、公称設定に基づく公称数と比較することができる
。所定の時間が経過すると、このプロセスが繰り返される。つまり管理ユニット
７０は再度接続チェックメッセージ１０２を送出し、応答メッセージ１０４を受
け取る。

【００４１】 ここで信号ユニット１８がフィールドバス１６に新たに接続されると仮定する
。従って信号ユニット１８を設定しなければならず、これに定義されたユーザー
アドレス９０が割り当てられる。ここで説明した本発明の実施形態によれば、管
理ユニット７０は先ず特別保守モードにされる。好適な実施形態では、これは管
理ユニット７０に装備されたキースイッチにより行われる。特別保守モードの起
動は図２において線１０６で表されている。

【００４２】 特別保守モードが起動されると、信号ユニット１８に割り当てられるべき定義
されたユーザーアドレス９０が、入力装置１０８を利用して管理ユニット７０に
送信される。その後管理ユニット７０は、管理ユニット７０の通常の動作モード
における接続チェックメッセージ１０２とは異なる定義された保守メッセージ１
１０を送出する。既にフィールドバス１６に接続されていた制御ユニット１２は
、保守メッセージ１１０の受信に対して、制御ユニット１２の定義されたユーザ
ーアドレスを含む登録メッセージ１１２で応答するが、これは例えばユーザーア
ドレス“１”である。登録メッセージ１１２は、本発明における第二の登録メッ
セージである。本発明の好適な実施形態によれば、制御ユニット１２の登録メッ
セージ１１２は、上で述べた応答メッセージ１０４と同一である。しかしこのこ
とは本方法を実施する上で必須ではない。

【００４３】 保守メッセージ１１０の送出と第二の登録メッセージ１１２の受信は、周期的
に繰り返される。この期間中に、安全信号ユニット１８をフィールドバス１６に
接続できる。これを行った後で、信号ユニット１８と制御ユニット１２は保守メ
ッセージ１１０を受け取る。制御ユニット１２はこの保守メッセージ１１０に対
して、上で述べたように第二の登録メッセージ１１２で応答するが、信号ユニッ
ト１８は保守メッセージ１１０の最初の受信に対して所定の広域アドレス“ｘｙ
”を含む第一の登録メッセージ１１４を送出する。管理ユニット７０は第一の登
録メッセージ１１４を受け取って、受領メッセージ１１６を信号ユニット１８に
送出する。これに続いて、管理ユニット７０はアドレス割り当てメッセージ１１
８を送出するが、そのユーザーデータフィールドは定義されたユーザーアドレス
“３”を含む。信号ユニット１８は受領メッセージ１１６でアドレス割り当てメ
ッセージ１１８の受信を知らせる。その後、信号ユニット１８は定義されたユー
ザーアドレス“３”をメモリー１２０に保存する。

【００４４】 管理ユニット７０は信号ユニット１８から受領メッセージ１１６を受け取ると
、再度保守メッセージ１１０を送出する。これに続いて、制御ユニット１２は通
常通り第二の登録メッセージ１１２で管理ユニット７０に登録する。ただしそれ
に加えて、今回は信号ユニット１８は第二の登録メッセージ１１２で管理ユニッ
ト７０に登録を行う。この場合、第二の登録メッセージ１１２は、信号ユニット
１８に割り当てられていたユーザーアドレス“３”を含む。管理ユニット７０は
、第二の登録メッセージ１１２の受け取りを知らせる受領メッセージ１１６を送
る。

【００４５】 上に述べたメッセージのやり取りが完了すると、信号ユニット１８は本発明に
おいて設定されたことになる。従って本発明の好適な実施形態によれば、管理ユ
ニット７０は線１２２で示される特別保守モードを自動的に終了する。その後管
理ユニット７０と、フィールドバス１６に接続されたユニット１２、１８の間に
おける通常のデータのやり取りが、上で述べたように再開される。このプロセス
の間、管理ユニット７０は周期的な間隔で接続テストメッセージ１０２を送出し
、応答メッセージ１０４を受け取る。

【００４６】 本発明の別の実施形態では、管理ユニット７０はここで述べた手順とは違い、
割り当てられたアドレスが信号ユニット１８に保存された後、特殊保守モードを
すでに終了している。この場合信号ユニット１８は、前記ユニットの通常の動作
モードでの第二の登録メッセージ１１２によって、再度管理ユニット７０に登録
するだけである。 分かりやすくするために、受領メッセージ１１６の送出については設定すべき
信号ユニット１８に関してしか述べなかった。しかしこれと異なり、制御システ
ム１０の好適な実施形態では、送出される各メッセージに対して受領メッセージ
１１６の応答がある。受領メッセージ１１６が無ければ自動的にエラーメッセー
ジが発生される。

【００４７】 図３は、信号ユニット１８の交換中の、本発明の方法の流れを示す。この場合
も管理ユニット７０は、最初はその通常の動作モードであり、フィールドバス１
６に接続された全てのユニットに周期的な間隔で接続チェックメッセージ１０２
を送出する。接続された各ユニット、この場合は制御ユニット１２と信号ユニッ
ト１８は、対応する応答メッセージ１０４で応答する。これらの応答メッセージ
は、フィールドバス１６にアクティブに接続されているユニット１２、１８の数
について、管理ユニット７０に知らせる。

【００４８】 信号ユニット１８を交換するためには、管理ユニット７０は先ず特別保守モー
ドにされる。これは線１０６で示される。その前に、交換すべき信号ユニット１
８はフィールドバス１６から切り離されている。 特殊保守モードでは、管理ユニット７０は前に説明したように定義された保守
メッセージ１１０を送出するが、これはもはや信号ユニット１８には到達しない
。これは図３において破線矢印１２３で示される。保守メッセージ１１０の受信
に対して、制御ユニット１２は通常通りに第二の登録メッセージ１１２で応答す
る。他方、信号ユニット１８の第二の登録メッセージは、破線の矢印１２４で示
されるように送信されない。そのため管理ユニット７０は、信号ユニット１８は
もはやアクティブにフィールドバス１６に接続されていないことを認識すること
ができる。そこで信号ユニット１８に割り当てられていた定義されたユーザーア
ドレス“３”をメモリー１２６に保存する。その後これは再度保守メッセージ１
１０を周期的な間隔で送出する。既に説明したように、制御ユニット１２はこれ
に対して第二の登録メッセージ１１２で応答する。

【００４９】 信号ユニット１８またはそれと交換で装備される装置は、これでフィールドバ
ス１６に接続できる。 新たに接続された信号ユニット１８が保守メッセージ１１０を受け取るとすぐ
に、所定の広域アドレス“ｘｙ”を含む第一の登録メッセージ１１４を送出する
。新しい信号ユニット１８はこの手段によって、所定の広域アドレス“ｘｙ”で
管理ユニット７０に登録する。既に説明したように、管理ユニット７０は第一の
登録メッセージ１１４を受け取ったことを受領メッセージ１１６で知らせ、次ぎ
にアドレス割り当てメッセージ１１８を送出する。これは管理ユニット７０が前
にメモリー１２６に保存した、定義されたユーザーアドレス“３”を含んでいる
。信号ユニット１８は、アドレス割り当てメッセージ１１８を受け取ったことを
受領メッセージ１１６で知らせて、割り当てられたユーザーアドレス“３”をそ
のメモリー１２０に保存する。その後、管理ユニット７０は再度保守メッセージ
１１０を送出し、制御ユニット１２と信号ユニット１８の両方から第二の登録メ
ッセージ１１２を受け取る。そしてこれらの登録メッセージを受け取ったことを
受領メッセージ１１６で知らせて、再び線１２２で示されている特別保守モード
を終了する。

【００５０】 上で説明した方法によれば、フィールドバス１６に接続されたバスユーザーの
交換を、その定義されたユーザーアドレスを知らなくても行える。 図３に示す次の時間区分では、多くのバスユーザーが所定の広域アドレス“ｘ
ｙ”で管理ユニット７０に登録する場合に生じる方法の手順が示されている。上
で述べたように、管理ユニット７０は、先ず最初に特別保守モードになっている
。次ぎにこれは保守メッセージ１１０を送出する。もしも制御ユニット１２と信
号ユニット１８の両方が第一の登録メッセージ１１４で応答すれば、管理ユニッ
ト７０は故障信号１２８を起動して特別保守モードを終了する。

【００５１】 次の時間区分では、別のエラー源が示されている。ここでは、特別保守モード
が起動された後、フィールドバス１６に接続されたバスユーザーに既に割り当て
られているユーザーアドレスが、入力装置１０８を通して管理ユニット７０に送
られると仮定する。管理ユニット７０は、それが把握しているアクティブなバス
ユーザーの公称設定状況から、アドレスが二度割り当てられたことを認識し、エ
ラー信号１２８を起動する。そして再度特別保守モードを終了する。

【００５２】 本発明の別の好適な実施形態によれば、定義されたユーザーアドレス９０はこ
の場合、ＰＬＣ制御ユニット１２、１４のプロセスマップにおいて、各信号ユニ
ット１８〜２４に割り当てられた機能的プロセスのアドレスに更に関連づけられ
ており、アプリケーションプログラム４４ａ、４４ｂはＰＬＣ制御の場合に知ら
れている方法で、これらのプロセスマップにアクセスを行う。機能的プロセスの
アドレスは、信号ユニット１８〜２４に接続されたセンサーまたはアクチュエー
タ、例えば光バリヤーの機能をあいまいさ無しに指定する。これにより、定義さ
れたユーザーアドレス９０に２つの機能が与えられる。それは、フィールドバス
１６上での通信のために、信号ユニット１８〜２４を指定することを可能にする
一方で、アプリケーションプログラム４４ａ、４４ｂに常に変らないプロセスデ
ータにアクセスする能力を与えるからである。

【図面の簡単な説明】

【図１】 安全性が不可欠なプロセスを安全に制御するための制御システムの模式図であ
る。

【図２】 本発明の第一の実施形態における管理ユニットと２つのバスユーザーの間の通
信の流れを示す。

【図３】 本発明の別の実施形態における管理ユニットと２つのバスユーザーの間の通信
の流れを示す。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ， ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ， ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＢＺ，Ｃ Ａ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ， ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，Ｋ Ｅ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ， ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，Ｒ Ｕ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ， ＹＵ，ＺＡ，ＺＷ (72)発明者 シュヴェンケル，ハンス ドイツ連邦共和国，Ｄ−70192 シュトゥ ットガルト，ザオムヴェーク 15番地 Ｆターム(参考） 5K032 BA08 DA01 EC01 EC03

Claims (13)

【特許請求の範囲】
1. 【請求項１】 安全制御システム（１０）において、安全バスユーザー（１２、１４、１８〜
   ２４）をフィールドバス（１６）に接続する際に安全バスユーザーを設定する方
   法であって、定義されたユーザーアドレス（９０）が安全バスユーザー（１２、
   １４、１８〜２４）に割り当てられており、 フィールドバス（１６）に接続された管理ユニット（７０）に、安全バスユー
   ザー（１２、１４、１８〜２４）から第一の登録メッセージ（１１４）を送出す
   る工程であり、第一の登録メッセージ（１１４）が所定の広域アドレス（９２）
   を有する工程と、 管理ユニット（７０）から前記安全バスユーザー（１２、１４、１８〜２４）
   にアドレス割り当てメッセージ（１１８）を送出する工程であり、アドレス割り
   当てメッセージ（１１８）が定義されたユーザーアドレス（９０）を有する工程
   と、 定義されたユーザーアドレス（９０）を安全バスユーザーのメモリー（５８；
   １２０）に保存する工程とを含むことを特徴とする方法。
2. 【請求項２】 アドレス割り当てメッセージ（１１８）を受け取った後、安全バスユーザー（
   １２、１４、１８〜２４）が第二の登録メッセージ（１１２）を管理ユニット（
   ７０）に送出し、第二の登録メッセージ（１１２）は定義されたユーザーアドレ
   ス（９０）を含むことを特徴とする、請求項１に記載の方法。
3. 【請求項３】 定義された保守メッセージ（１１０）を受け取った後、安全バスユーザー（１
   ２、１４、１８〜２４）が第一の登録メッセージ（１１４）を前記管理ユニット
   （７０）に送出することを特徴とする、請求項１または２に記載の方法。
4. 【請求項４】 定義された保守メッセージ（１１０）を初めて受け取った後でのみ、安全バス
   ユーザー（１２、１４、１８〜２４）が第一の登録メッセージ（１１４）を管理
   ユニット（７０）に送出し、また定義された保守メッセージ（１１０）を繰り返
   し受け取った場合は第二の登録メッセージ（１１２）を管理ユニット（７０）に
   送出することを特徴とする、請求項３に記載の方法。
5. 【請求項５】 管理ユニット（７０）の特別保守モード（１０６）が起動（１０６）された後
   でのみ、定義された保守メッセージ（１１０）が送出されることを特徴とする、
   請求項３または４に記載の方法。
6. 【請求項６】 第二の登録メッセージ（１１２）を受け取った後に、管理ユニット（７０）が
   特別保守モードを自動的に終了させる（１２２）ことを特徴とする、請求項５に
   記載の方法。
7. 【請求項７】 特別保守モードの最初に、定義されたユーザーアドレス（９０）が管理ユニッ
   ト（７０）に送信（１０８）されることを特徴とする、請求項５または６に記載
   の方法。
8. 【請求項８】 送信されたユーザーアドレス（９０）が、フィールドバス（１６）に接続され
   たバスユーザー（１２、１４、１８〜２４）に既に割り当てられていた場合、管
   理ユニット（７０）は故障信号（１２８）を発生することを特徴とする、請求項
   ７に記載の方法。
9. 【請求項９】 管理ユニット（７０）は、定義された時間間隔で、フィールドバス（１６）に
   接続された全てのバスユーザー（１２、１４、１８〜２４）に保守メッセージ（
   １１０）を送出することを特徴とする、請求項３に記載の方法。
10. 【請求項１０】 バスユーザー（１２、１４、１８〜２４）の公称設定を利用して、またバスユ
    ーザー（１２、１４、１８〜２４）の応答メッセージ（１０４）を利用して、フ
    ィールドバス（１６）にアクティブに接続された全てのバスユーザー（１２、１
    ４、１８〜２４）が存在するかどうかをチェックする工程と、 もはやアクティブでないと認識されたバスユーザー（１２、１４、１８〜２４
    ）のユーザーアドレス（９０）を、定義されたユーザーアドレス（９０）として
    送出する各工程を更に含むことを特徴とする、請求項１ないし９いずれかに記載
    の方法。
11. 【請求項１１】 １つ以上のバスユーザー（１２、１４、１８〜２４）が第一の登録メッセージ
    （１１４）を送出する場合は、管理ユニット（７０）が故障信号（１２８）を発
    生することを特徴とする、請求項１ないし１０いずれかに記載の方法。
12. 【請求項１２】 少なくとも第一の登録メッセージ（１１４）とアドレス割り当てメッセージ（
    １１８）が、それぞれ受領メッセージ（１１６）で応答されることを特徴とする
    、請求項１ないし１１いずれかに記載の方法。
13. 【請求項１３】 フィールドバス（１６）に接続された少なくとも１つの安全バスユーザー（１
    ２、１４、１８〜２４）を有する安全性が不可欠なプロセス（２８〜３２）を安
    全に制御する制御システムであって、安全バスユーザー（１２、１４、１８〜２
    ４）はバスメッセージ（８０）を受け取りまた評価するための第一の手段（４０
    ）と、バスユーザー（１２、１４、１８〜２４）に割り当てられたユーザーアド
    レス（９０）を保存するためのメモリー（５８；１２０）を有し、バスユーザー
    （１２、１４、１８〜２４）は、フィールドバス（１６）に接続された管理ユニ
    ット（７０）に所定の広域アドレス（９２）で登録するための第二の手段（４０
    、１２０；４０、５８）と、ユーザーアドレス（９０）を有するアドレス割り当
    てメッセージ（１１８）を受け取りまた評価するための第三の手段（４２、５４
    ）とを含むことを特徴とする制御システム。