JP2003518356A - 削減された帯域幅要件を有する産業用制御装置用安全ネットワーク - Google Patents

削減された帯域幅要件を有する産業用制御装置用安全ネットワーク

Info

Publication number
JP2003518356A
JP2003518356A JP2001547615A JP2001547615A JP2003518356A JP 2003518356 A JP2003518356 A JP 2003518356A JP 2001547615 A JP2001547615 A JP 2001547615A JP 2001547615 A JP2001547615 A JP 2001547615A JP 2003518356 A JP2003518356 A JP 2003518356A
Authority
JP
Japan
Prior art keywords
data
network
protocol
formatted
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2001547615A
Other languages
English (en)
Other versions
JP4307776B2 (ja
Inventor
ジョゼフ エイ． レナー，
デヴィッド エイ． ヴァスコ，
ケリー ダブリュ． ヴァンデスティーグ，
ケンウッド エイチ． ホール，
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Teledyne Scientific and Imaging LLC
Original Assignee
Rockwell Technologies LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Rockwell Technologies LLC filed Critical Rockwell Technologies LLC
Publication of JP2003518356A publication Critical patent/JP2003518356A/ja
Application granted granted Critical
Publication of JP4307776B2 publication Critical patent/JP4307776B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/08—Arrangements for detecting or preventing errors in the information received by repeating transmission, e.g. Verdan system
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0423—Input/output
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0423—Input/output
    • G05B19/0425—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM]
    • G05B19/4185—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM] characterised by the network communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/12—Arrangements for detecting or preventing errors in the information received by using return channel
    • H04L1/14—Arrangements for detecting or preventing errors in the information received by using return channel in which the signals are sent back to the transmitter to be checked ; echo systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/12—Arrangements for detecting or preventing errors in the information received by using return channel
    • H04L1/16—Arrangements for detecting or preventing errors in the information received by using return channel in which the return channel carries supervisory signals, e.g. repetition request signals
    • H04L1/18—Automatic repetition systems, e.g. Van Duuren systems
    • H04L1/1867—Arrangements specially adapted for the transmitter end
    • H04L1/188—Time-out mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/22—Arrangements for detecting or preventing errors in the information received using redundant apparatus to increase reliability
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/21—Pc I-O input output
    • G05B2219/21053—Each unit, module has unique identification code, set during manufacturing, fMAC address
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25014—Fieldbus general name of bus connected to machines, detectors, actuators
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25153—Checking communication
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25157—Checksum CRC
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25158—Watchdog
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25163—Transmit twice, redundant, same data on different channels, check each channel
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25228—Scheduling communication on bus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/12—Arrangements for detecting or preventing errors in the information received by using return channel
    • H04L1/16—Arrangements for detecting or preventing errors in the information received by using return channel in which the return channel carries supervisory signals, e.g. repetition request signals
    • H04L1/18—Automatic repetition systems, e.g. Van Duuren systems
    • H04L1/1803—Stop-and-wait protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/12—Arrangements for detecting or preventing errors in the information received by using return channel
    • H04L2001/125—Arrangements for preventing errors in the return channel
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • General Physics & Mathematics (AREA)
  • Manufacturing & Machinery (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Safety Devices In Control Systems (AREA)
  • Communication Control (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)
  • General Factory Administration (AREA)
  • Error Detection And Correction (AREA)
  • Detection And Prevention Of Errors In Transmission (AREA)
  • Manufacture, Treatment Of Glass Fibers (AREA)
  • External Artificial Organs (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

(57)【要約】 標準直列プロトコルを実行するネットワークを使用してきわめて信頼性の高い産業用制御システムが作成される。安全プロトコルは、標準直列ネットワークのプロトコルとともに、冗長な特殊エラー検出データを増すことによって標準直列プロトコル内に埋め込まれる。さらに、メッセージのタイミングを含む何よりも重要なプロトコルが、標準直列ネットワーク内の信頼性の必要なレベルを提供するために課される。システムは、相互通信する制御装置構成要素に構成データを対称的に伝送することによって、構成のために標準ネットワークを使用してもよい。構成データは、間違って宛てられるメッセージの可能性を削減するために各構成要素に一意の識別を与え、誤って伝えられるメッセージの確率を削減する構成要素によって使用されるプロトコルを提供する。冗長なデータを伝送し、メッセージ作成者に対する応答メッセージを含むために、２つの接続が使用されてよい。２つのメッセージのデータの比較は、これらの以前の技法によって明白ではないそれ以外の種類の故障を明らかにすることができる。システムは、一致についての入力信号を前処理し、一致信号だけを定期的にまたは状態の変更時のどちらかに送信することによってネットワークを過負荷せずに単一直列ネットワークと同じくらい少ない冗長な制御信号の処理に備える。

Description

【発明の詳細な説明】
【０００１】 本出願は、１９９９年１２月２２日に提出された仮出願第６０／１７１，４３
９号の利益を主張する。
【０００２】 （関連出願に対するクロスリファレンス）
【０００３】 （連邦政府により後援された研究開発に関する陳述）
【０００４】 （発明の背景） 本発明は、産業プロセスのリアルタイム制御のために使用される産業用制御装
置に関し、特に、人間の生命と健康を守ることを目的とするデバイスで使用する
のに適切な高信頼性産業用制御装置に関する。「高信頼性」とは、一般的には、
エラー状態または障害状態を検出し、それらの発生を信号で知らせる、及び／ま
たは所定の障害状態に入ることによって、誤ったデータまたは信号の伝搬から保
護するシステムを指す。高信頼性システムは、高可用性システムと区別されてよ
いが、本発明は、両方のこのようなシステムで有効であるため、ここに使用され
るように、高信頼性は、高可用性システムを除外すると考えられてはならない。
【０００５】 産業用制御装置とは、産業プロセスを制御する上で使用される特殊目的のコン
ピュータである。記憶されているコンピュータプログラムの指令を受けて、産業
用制御装置は、制御されているプロセスのステータスを反映する一連の入力を調
べ、産業用プロセスを制御する一連の出力を変更する。入力及び出力はバイナリ
、すなわちオンまたはオフ、つまりアナログでよく、連続的な範囲内で値を提供
する。入力は、制御されている装置に取り付けられているセンサから得られ、出
力は制御されている装置上のアクチュエータに対する信号であってよい。
【０００６】 「安全システム」は、産業プロセスの環境の中で仕事をしている人間の安全を
保証することを目的としている。このようなシステムは、緊急停止ボタン、イン
ターロックスイッチ、及び機械ロックアウトを含んでよい。従来、安全システム
は、該安全システムが関連付けられている産業プロセスを制御するために使用さ
れる産業用制御システムとはまったく別個の回路のセットによって実現されてい
る。このような安全システムは、開閉器と中継器から「結線され」、そのいくつ
かは冗長な信号の比較を可能にし、溶接接点または固着接点などの状態の内部チ
ェックを提供する特殊化した「安全中継器」であってよい。安全システムは、二
重接点付きの開閉器を使用し、接触故障の早期表示を行ってよく、複数の接点は
、複数の接点が閉じる場合にだけアクチュエータが付勢されるようにアクチュエ
ータに結線されてよい。
【０００７】 結線されている安全システムは、産業プロセスの完全性が高まるにつれて不適
切であることが判明してきた。これは、部分的には、中継器を設置、配線する費
用のためであり、部分的には、論理回路が、物理的な中継器及び開閉器を配線し
直すことによってのみ変更できる安全システムによって実現されている「プログ
ラム」を障害探索し、保守することの困難のためである。
【０００８】 このため、産業用制御装置を使用して安全システムを実現することにかなりの
関心がある。このような制御装置はプログラミングするのがさらに容易であり、
それらが高速直列通信網を使用することにより、ポイントツーポイント配線の長
い引き回し長さを排除するため、設置コストを削減してきた。
【０００９】 残念なことに、産業制御で使用されている高速直列通信網は、安全システムに
とっては十分に信頼できない。このため、データの伝送でさらに大きな確実性を
提供する高速直列通信網である「安全ネットワーク」を開発するための作業が着
手されてきた。現在提案されている安全ネットワークは、産業制御で広く使用さ
れているプロトコルとは相容れない。結果的に、これらの新しい安全ネットワー
クが採用される場合、既存の産業用制御装置ハードウェア及び標準技術は使用不
能となることがあり、既存の工場及び新規工場に対して高いコストを課す。この
ようなコストは、高度安全技術の大幅な規模の採用を有害に延期する可能性があ
る。
【００１０】 必要とされるのは、従来の産業用制御装置ネットワーク及び構成要素と互換性
のある安全ネットワークである。理想的には、このような安全ネットワークは、
多岐に渡るさまざまな標準通信プロトコルを処理し、信頼性を傷つけなくても標
準的な産業用制御構成要素と安全システム構成要素の混合を可能とするだろう。
【００１１】 標準ネットワークで安全システムを実現する上での追加の問題とは、結線され
ているシステムの故障を（それらが一致しないときに）検出するために使用され
る冗長な制御信号が、必ずしもつねに、まったく同時に変化しないという点であ
る。結果的に、信号の一致の欠如が無視される時間のウィンドウが確立される。
理想的には、このウィンドウは、実際の故障が迅速に特定できるように短い。
【００１２】 しかしながら、短い一致ウィンドウは、高信頼性システムが、制御システムで
使用されているような標準的な直列ネットワークで実現されるときには問題を生
じさせる。これは、妥当なネットワーク帯域幅のために、メッセージを待ち行列
に入れると、冗長な信号の伝送で歪みが生じ、伝送ウィンドウの望ましくない延
長が必要とされるためである。これは、特に、信号の通信に別個のネットワーク
の伝送による応答メッセージが必要とされるときに当てはまる。
【００１３】 やはり必要とされているのは、従来の産業用制御装置直列ネットワーク及び構
成要素と互換性はあるが、冗長な制御信号を使用することにより生じる利益を提
供する安全ネットワークである。理想的には、このような安全ネットワークは、
産業用制御網の現在使用できる帯域幅を使用するだろう。
【００１４】 （発明の概要） 本発明は、このような標準的なネットワークの接続済みメッセージ通信プロト
コルの下で冗長な「接続」を開くことによって、及びメッセージ作成者とメッセ
ージ消費者の両者に対しどちらかの接続の失敗を明らかにする、送信されたメッ
セージの反響を採用することによって標準制御ネットワーク上で高信頼性通信を
提供する。二重接続は、このようにして、従来、高信頼性を課すことを既存のネ
ットワーク媒体を用いて可能にするこのようなシステムで使用される二重媒体の
代わりに役立つ。
【００１５】 具体的には、本発明は、いくつかが制御されているプロセスから制御信号を受
信する産業用制御装置の構成要素の間で高信頼性通信を確立する方法を提供し、
該構成要素は、標準ネットワーク上で通信する。方法は、指定された受信済み制
御信号と関連付けられた少なくとも二人の冗長な論理メッセージ作成者を確立す
るステップと、該二人の論理メッセージ作成者と対応する論理メッセージ消費者
のそれぞれの間で論理接続を開くステップとを含む。指定された受信済み制御信
号を含むデータは、論理メッセージ作成者から論理メッセージ消費者への接続で
伝送され、各論理メッセージ消費者での破壊されていないデータの受信後に、指
定された受信済み制御信号を含む応答データを、論理メッセージ作成者への接続
で伝送する。論理メッセージ作成者は、所定の安全状態を入力することによって
応答データの伝送の破壊されていない受信の不在に応える。
【００１６】 このようにして、標準的な接続済みメッセージ通信プロトコルの元での高信頼
性通信に備えることが、発明の１つの目的である。冗長な接続及び応答メッセー
ジは、検出されていないメッセージ破壊に対する抵抗力を提供する。
【００１７】 本発明は、さらに、初期化のために標準ネットワークを利用できる高信頼性通
信システムも提供する。
【００１８】 高信頼性システムの１つの要件は、メッセージが誤って宛てられてないという
点である。これは、通常、各通信デバイスにそれ自体を識別し、各デバイスが、
それが通信するそれ以外のすべての関係者のアイデンティティを確立することを
確認する方法を与えることによって保証できる。理想的には、アイデンティティ
は、指定された「接続」、つまり一人のメッセージ作成者と一人のメッセージ消
費者の通信対に一意であるだろう。
【００１９】 別の要件とは、すべての関係者が通信のパラメータを知っていることである。
通信パラメータの誤りは、メッセージを誤って解釈させたり、理解できなくする
ことがある。
【００２０】 各デバイスにそのアイデンティティを通知し、共通通信パラメータを通信する
必要性は、高信頼性通信システムは初期化されているので、標準ネットワーク上
でデバイスにパラメータ及びアイデンティティを伝送することによって最もよく
満たされる。残念なことに、アイデンティティ及びパラメータの標準ネットワー
ク上での分散は、アイデンティティまたはパラメータが誤って宛てられたり、誤
って伝えられるかなりの確率がある場合、高信頼性通信システムを確立すること
に逆らって作用することがある。
【００２１】 本発明は、制御時間中に互いと通信することを目的とする２台のデバイスに構
成データを対称的に通信する構成ツール（おそらく別個のデバイス）を使用する
ことによって、標準ネットワーク上でのきわめて信頼性の高い通信システムの構
成を可能にする。該構成データは、通信関係者に（接続または通信対に一意の）
両方のアイデンティティを与え、通信の重要なパラメータも伝達する。構成デー
タの受信後、２つの相互通信関係者は、構成データを比較し、彼らが正しく通信
の一部であることを確認してよい。
【００２２】 具体的には、本発明は、制御されているプロセスと制御信号を交換する産業用
制御システムの構成要素間で高信頼性通信を確立する方法を提供し、該構成要素
は標準ネットワーク上で通信する。方法は、構成ソースからの構成メッセージを
、標準ネットワークプロトコルを使用する標準ネットワーク上で第１構成要素及
び第２構成要素に伝送する第１ステップを含み、該構成メッセージは、標準ネッ
トワークで使用可能な高信頼性通信プロトコルに関係するデータを提供する。次
のステップで、構成ソースは、第１構成要素と第２構成要素から構成応答メッセ
ージを受信し、該構成応答メッセージは、第１構成要素と第２構成要素によって
過去に受信された構成メッセージのデータを記述する。構成メッセージのデータ
によって定義されるように、第１構成要素と第２構成要素間での制御信号の通信
は、構成ソースによって受信される構成応答メッセージが、構成ソースから伝送
される構成メッセージと同じデータを記述する場合にだけイネーブルされる。
【００２３】 このようにして、高信頼性通信システムの一部として通信するだろうデバイス
を構成し、特定するために標準ネットワークを使用できるようにすることが、本
発明の１つの目的である。構成データの２つの相互通信デバイスへの対称的な伝
送、及び構成データを反映する応答メッセージに対するニーズは、標準ネットワ
ークが被りやすい多くの種類のエラーを削減する。
【００２４】 本発明は、さらに、ネットワーク上で伝送されているデータに、プロトコルの
２つのレベルを課すことによって、ネットワークから独立した高信頼性通信シス
テムを提供する。プロトコルの第１レベルは、安全システムにとって必要な高信
頼性を提供するが、プロトコルの第２レベルは、安全システムのプロトコルをカ
プセル化し、それを標準ネットワークで伝送できるようにする。
【００２５】 本発明の安全システムは、多岐に渡る標準ネットワーク及び標準ネットワーク
ハードウェアと互換性があり、標準ネットワークの媒体を通して安全構成要素と
非安全構成要素を混合できるようにもする。安全プロトコルは、エラー検出デー
タを、すべてが標準ネットワークによってデータとして処理される伝送済みデー
タに追加する。安全プロトコルは、確実な伝送を保証するが、標準ネットワーク
のプロトコルにとって可視のままとなることのあるメッセージ伝送のタイミング
要件も追加する。
【００２６】 具体的には、本発明は、ネットワークと無関係な、高信頼性通信システムを、
標準直列通信網を利用する産業用制御装置に提供する。通信システムは、産業プ
ロセスの制御用の第１Ｉ／Ｏ通信回路を含む。このＩ／Ｏデータは、入力または
出力データであってよく、回路は産業用制御装置またはそのＩ／Ｏモジュールに
あってよい。Ｉ／Ｏデータは、伝送のエラーを削減するようにフォーマットされ
た高信頼性フォーマット済みデータを生成するために、ネットワークとは無関係
なプロトコルの元での伝送のためにそれをフォーマットする第１のネットワーク
とは無関係なプロトコル回路によって受信される。高信頼性フォーマット済みデ
ータは、標準直列通信ネットワークのプロトコルの元での伝送のためにさらにそ
れをフォーマットする、標準ネットワークプロトコル回路によって受信される。
このようにして、それは、標準直列通信網での伝送のために二重にフォーマット
されたデータを生成する。標準直列通信網用にプロトコルをフォーマットすると
、伝送のエラーも削減する。標準直列通信網での伝送後、二重にフォーマットさ
れたデータは、標準直列通信網のプロトコルに従って高信頼性フォーマット済み
データを抽出する第２標準ネットワークプロトコル回路によって受信される。そ
れから、データは、高信頼性フォーマット済みデータから原Ｉ／Ｏデータを抽出
する第２のネットワークに無関係なプロトコル回路によって受信される。第２Ｉ
／Ｏ通信回路は、産業プロセスの制御のためにＩ／Ｏデータを受け取る。
【００２７】 このようにして、それにも関わらず、共通した十分に開発され、市販されてい
る直列通信網の標準回路構成要素及びプロトコルを使用してよい高信頼性通信シ
ステムに備えることが、本発明の１つの目的である。安全性フォーマットは、フ
ォーマットされた安全性データを伝送される通常データとして処理する、直列ネ
ットワークの標準プロトコルに埋め込まれている。
【００２８】 最後に、本発明は、ネットワーク上での制御信号の伝送の前に、一致検出ステ
ップをメッセージ作成者に移動することによって、標準直列ネットワーク上での
冗長な制御信号の伝送及び使用を容易にする。その後ネットワーク上で冗長に伝
送されてよい単一の一致信号は、短い一致ウィンドウを使って作成される。一致
は伝送の前に解決されるため、ネットワーク歪みは、一致ウィンドウの延長を必
要としない。
【００２９】 具体的には、本発明は、制御装置を有する高信頼性産業用制御システムに、共
用されている直列ネットワークに対する第１ネットワークインタフェースを提供
する。産業用制御システムは、少なくとも２つの冗長入力信号を受信するための
少なくも２つのインタフェース回路付きの入力モジュールも含み、インタフェー
ス回路は、内蔵バスを介して少なくとも１台のプロセッサと通信する。プロセス
は、さらに、共用される直列ネットワークに対する第２ネットワークインタフェ
ースと通信し、インタフェース回路によって処理される冗長な入力信号を受信す
るため、事前に定められた時間期間のウィンドウ内で冗長な入力信号の一致を判
断するため、及びウィンドウ内に一致がある場合にだけ、第２ネットワークイン
タフェースを介して、冗長入力信号の一致状態を示す少なくとも１つの一致信号
を制御装置に伝送するために、記憶されているプログラムを実行する。
【００３０】 このようにして、入力信号のネットワークの歪みの影響を排除することによっ
て、一致ウィンドウに対する相対的に短い事前に定められた時間期間の使用を可
能にすることが、発明の１つの目的である。
【００３１】 発明の前記及びそれ以外の目的及び優位点は、以下の説明から明らかになるだ
ろう。説明中、この一部を形成し、発明の好ましい実施形態が図によって示され
ている添付図面が参照される。しかしながら、このような実施形態は、必ずしも
発明の完全な範囲を表さず、発明の範囲を解釈するためにはクレームが参照され
なければならない。
【００３２】 （発明の詳細な説明） 本発明は、産業用環境において人間の生命及び手足を保護するために使用され
る「安全システム」の一部となることがある。それにも関わらず、ここに使用さ
れるような用語「安全」は、本発明が産業プロセスを安全にするだろう、あるい
はそれ以外のシステムが安全ではない動作を生じさせるだろうという表現ではな
い。産業プロセスにおける安全は、安全システムの設計、安全システムの構成要
素の設置及び保守、及び安全システムを使用する個人の協力と訓練を含む、本発
明の範囲外にある多岐に渡る要因に依存している。本発明は、高信頼性であるこ
とを目的としているが、すべての物理的なシステムは故障を受けやすく、このよ
うな故障に対して準備がなされなければならない。
【００３３】 ここで図１を参照すると、本発明を用いた安全システムを実現するための産業
用制御システム１０は、遠隔入力モジュール１４及び遠隔出力モジュール１６付
きの直列ネットワーク１５で通信している制御装置１２を含む。ネットワーク１
５は、イーサネット（Ｅｔｈｅｒｎｅｔ）、デバイスネット（ＤｅｖｉｃｅＮｅ
ｔ）、コントロールネット（ＣｏｎｔｒｏｌＮｅｔ）、ファイヤワイヤ（Ｆｉｒ
ｅｗｉｒｅ）またはフィールドバス（ＦｉｅｌｄＢｕｓ）を含むが、それらに限
られない標準的且つ一般的に入手可能な高速直列ネットワークであってよい。ネ
ットワーク１５は、オプションで前記標準的なプロトコルまたはそれ以外のプロ
トコルの異なったの間で変換するブリッジ１７を含んでよい。以下から理解され
るように、本発明はアプリケーションを架橋するように容易に適応されてよい。
【００３４】 入力モジュール１４は、産業用制御装置１２にネットワーク１５上で通信され
る（類似して称されるライン上の）入力信号１８を受け入れてよい。産業用制御
装置１２では、信号１８は、（機械ロックアウトまたは緊急停止などの）安全シ
ステムを実現する制御プログラムの元で処理され、追加信号が、アクチュエータ
２２への（類似して称されるライン上の）出力信号２０を生成してよい出力モジ
ュール１６に送信されてよい。
【００３５】 入力信号１８は、緊急停止開閉器、インターロック開閉器、光カーテン、及び
その他の近接検出器を含むが、それらに限られない、安全入力信号を生成する多
岐に渡るデバイスのどれかであってよい開閉器１９から生じる。アクチュエータ
２２は、中継器、ソレノイド、モータ、エナンシエータ（ｅｎｕｎｃｉａｔｏｒ
）、ランプ、または安全機能を実現するその他のデバイスであってよい。
【００３６】 やはりネットワーク１５に接続されているのは、その目的が後述されるだろう
構成端末２４として使用されてよい標準コンピュータである。
【００３７】 冗長システムハードウェア ここで図２を参照すると、開閉器１９は、冗長な信号１８ａと１８ｂを生成し
、信号１８ａは、例えば開閉器１９内の第１接点から、信号１８ｂは開閉器１９
内の第２の独立した接点からである。該接点は、両方とも通常開かれている（例
えば、プッシュボタン２６を作動すると閉じられる）同じ論理回路（図示されて
いない）を有してよいか、あるいは１つの接点が通常は開かれ、１つの接点が通
常は閉じられている反転論理回路であってよい。いずれのケースでも、冗長信号
１８ａと１８ｂは、開閉器１９の状態の判断でより高い信頼性に備えるように生
成される。
【００３８】 入力モジュール１４は、信号１８ａを受信する冗長インタフェース回路構成要
素２８ａ、及び信号１８ｂを受信するインタフェース回路構成要素２８ｂを含ん
でよい。代わりに、図示されていないが、インタフェース回路構成要素２８ａ及
び２８ｂは、それぞれ（内部比較のために）信号１８ａと１８ｂの両方を受信し
てよいか、あるいは単一接点から信号１８ａと１８ｂを受信してよい。信号１８
ａと１８ｂを生成する上で、接点には、入力回路構成要素２８ａと２８ｂから、
または１つの共通した電圧ソース（図示されていない）からそれぞれ別個の電圧
が提供されてよい。技術で既知であるこれらの配線システムでのその他の冗長な
変形も使用されてよい。
【００３９】 インタフェース回路構成要素２８ａと２８ｂのそれぞれは、結果的に、関連付
けられたマイクロコントローラ３０ａと３０ｂに信号を提供してよい。マイクロ
コントローラ３０ａと３０ｂは、後述されるように、コンピュータプロセッサ、
メモリ、及び安全プロトコルを実行するために記憶されているプログラムを提供
する。代わりに、あるいは加えて、安全プロトコルは、マイクロコントローラ３
０ａと３０ｂが通信する安全プロトコル回路３２によって実行されてよい。この
ケースでは、安全プロトコル回路２８ａと２８ｂは、特定用途向け集積回路（Ａ
ＳＩＣ）である。技術において、ハードウェアまたはソフトウェア、あるいはそ
れぞれの組み合わせによってプロトコルを実現することは周知であるので、ここ
に及び請求項で使用されているような「プロトコルデバイス」は、一般的に、示
されている機能を実現するソフトウェア及びハードウェアの構成要素の任意の組
み合わせを包含すると解釈されるべきである。
【００４０】 マイクロコントローラ３０ａ及び３０ｂは、記述されるように、信号１８ａと
１８ｂを比較するために内蔵バス３４を通して互いと通信してよい。
【００４１】 マイクロコントローラ３０ａと３０ｂ、あるいは安全プロトコル回路２８ａと
２８ｂは、結果的に、標準ネットワーク１５の低レベルプロトコルを処理するた
めに、技術で周知である型の標準ネットワークプロトコル回路３６ａと３６ｂに
接続する。典型的には、標準ネットワークプロトコル回路３６ａと３６ｂは、そ
のインプリメンテーションがかなりの開発時間を表し、容易に修正することので
きないＡＳＩＣによって実現される。
【００４２】 標準ネットワークプロトコル回路３６ａと３６ｂは、類似した標準ネットワー
クプロトコル回路３８ａと３８ｂを通して制御装置１２で受信される、ネットワ
ーク１５上の入力モジュール１４からの信号を伝送する。これらの信号は、標準
ネットワークプロトコル回路３８によって処理され、前述の安全プロトコル回路
３２ａと３２ｂに類似している、冗長安全プロトコル回路４０ａと４０ｂに提供
される。これらの安全プロトコル回路４０ａと４０ｂは、それぞれ、周知の冗長
性技法に従って別個のメモリシステム及び制御プログラムを含み、内蔵バス３４
’上で相互通信するプロセッサ４２ａと４２ｂと通信する。プロセッサ４２ａと
４２ｂによって生成される出力信号は、後述されるように、安全プロトコルを実
現するために安全プロトコル回路４０ａと４０ｂを通して通信しなおされてよく
（あるいは、代わりに安全プロトコルは、プロセッサ４２ａと４２ｂによって処
理されてよく）、出力信号は、出力モジュールへの再びネットワーク１５上での
伝送のために標準ネットワークプロトコル回路３８ａと３８ｂに通信される。
【００４３】 出力モジュール１６は、標準ネットワークプロトコル回路３６ａと３６ｂ、及
び３８ａと３８ｂに類似している標準ネットワークプロトコル回路４４ａと４４
ｂを通して出力データを受信してよい。標準ネットワークプロトコル回路４４ａ
と４４ｂは、データを、結果的にそれらを冗長コントローラ４８ａと４８ｂに提
供する安全プロトコル回路４６ａと４６ｂに提供する。前述されたように、代わ
りに、安全プロトコルは、その代わりとして制御装置４８ａと４９ｂによって処
理されてよい。制御装置４８ａと４８ｂは、内蔵バス３４”によって通信し、結
果的に信号を、出力信号２０ａと２０ｂを提供する出力インタフェース回路５０
ａと５０ｂに提供する。出力信号は、アクチュエータ２２が電力を供給されるた
めに出力がイネーブルされなければならないように、アクチュエータ２２に接続
されてよい。この意味において、プロセッサ４８ａと４８ｂの間で受信される信
号の間に一貫性がない場合に、（アクチュエータ２２に電力が供給されない）デ
フォルトの安全状態が生じる。配線を並列構成に変更すると、プロセッサ４８ａ
と４８ｂによって受信される両方の信号ともイネーブルされるとアクチュエータ
が作動される安全状態を生じさせることができるだろう。
【００４４】 代わりに、及び説明されるように、安全状態は、制御装置１２または入力モジ
ュール１４から出力モジュール１６のマイクロコントローラ４８ａと４８ｂに伝
送される安全状態信号によって施行されてよく、後者は、さらに後述されるよう
に、構成端末２４を通してプログラミングされる所望の安全状態の記憶されてい
る値によって求められる出力インタフェース回路５０ａと５０ｂへの出力を生じ
させることによって応答してよい。
【００４５】 本発明によるブリッジ回路１７は、入力モジュール１４に示される基本的な構
造を仕様できるが、入力モジュール１４のインタフェース回路構成要素２８ａと
２８ｂを、ネットワークプロトコル回路３８ａと３８ｂ、ならびに４０ａと４０
ｂの安全プロトコル回路で置換する（この場合、ネットワークプロトコル回路３
８と３６は別のプロトコル用であり、それによって後述される技法による安全デ
ータのシームレスな伝送を可能にする）。
【００４６】 ここで図３を参照すると、本発明の専門化された冗長入力モジュール１４は、
２つの標準入力モジュール１４ａと１４ｂで置換されてよく、入力モジュール１
４ａは、前述されたインタフェース回路構成要素２８ａ、マイクロコントローラ
３０ａ、安全プロトコル回路３２ａ及び標準ネットワークプロトコル回路３６ａ
と同等なものを保持し、入力モジュール１４ｂは、インタフェース回路構成要素
２８ｂ、マイクロコントローラ３０ｂ、安全プロトコル回路３２ｂ、及び標準ネ
ットワークプロトコル回路３６ｂの同等なものを保持する。このケースでは、安
全プロトコル回路３２ａと３２ｂの動作はマイクロコントローラ３０ａと３０ｂ
のファームウェア内で実現され、内蔵バス３４よりむしろネットワーク１５上で
通信されるメッセージを介して実施される。
【００４７】 同様に、図４を参照すると、出力モジュール１６の冗長性は、別個の出力回路
１６ａと１６ｂによって実現されてよく、出力モジュール１６ａは、標準ネット
ワークプロトコル回路４４の相当物、安全プロトコル回路４６ａ、マイクロコン
トローラ４８ａ、及び出力インタフェース回路５０ａを含み、出力モジュール１
６ｂは、４４’としての標準ネットワークプロトコル回路４４の相当物、安全プ
ロトコル回路４６ｂ、マイクロコントローラ４８ｂ、及び出力インタフェース回
路５０ｂを含む。後述されるように、本発明は、ネットワーク１５でアドレスを
有する物理装置の間での安全構成要素の正確なパーシングに無関心であるプロト
コルを提供する。
【００４８】 ここで図５及び図２を参照すると、入力回路内での安全プロトコル回路３２及
び標準ネットワークプロトコル回路３６の動作とは、説明されるように、ネット
ワーク１５で送信されるメッセージの添付される追加データとして、及びそのデ
ータの管理においての両方で実現される安全ネットワークプロトコル５４内に線
路１８ｂからの入力データ５２を埋め込むことである。安全ネットワークプロト
コル５４は、結果的に、ネットワーク１５上でのシームレス伝送のために標準ネ
ットワークプロトコル５６内でカプセル化される。
【００４９】 安全ネットワークプロトコル ここで図５及び図２を参照すると、標準ネットワークプロトコル回路３６、３
８及び４４と関連した安全プロトコル回路３２、４０及び４６の動作とは、ネッ
トワーク１５上で送信されるＩ／Ｏデータ５２に添付される追加データとして、
及びそのＩ／Ｏデータ５２の伝送の詳細の管理においての両方で実現される安全
ネットワークプロトコル５４の中に（例えば、ライン１８ｂからの）Ｉ／Ｏデー
タ５２を埋め込むことである。安全ネットワークプロトコル５４は、結果的に、
ネットワーク１５上でのシームレス伝送のために標準ネットワークプロトコル５
６内でカプセル化される。
【００５０】 それから、安全ネットワークプロトコル５４及び標準ネットワークプロトコル
５６でカプセル化されるデータは、その基本的な状態でＩ／Ｏデータ５２を提供
するために、標準ネットワークプロトコル回路３６、３８及び４４、ならびに安
全プロトコル回路３２、４０及び４６の連続動作を通して（例えば、制御装置１
２によって）受信し、抽出することができる。図５がプロセスを表象するだけで
あること、及び安全ネットワークプロトコル５４が、単に、例えば、安全データ
ヘッダ内のデータ５２のカプセル化したものではなく、むしろ安全プロトコルは
、安全ネットワークプロトコル５４が、ネットワーク１５または標準ネットワー
クプロトコル回路３６，３８及び４４を修正しないで、標準ネットワークプロト
コル５６内で動作できるように、標準ネットワークプロトコル５６と順番で実行
されてよいタイミング制約を含むことに注意する。
【００５１】 この二重レベルのカプセル化（ｅｎｃａｐｓｕｌａｔｉｏｎ）及び非カプセル
化（ｄｅ−ｅｎｃａｐｓｕｌａｔｉｏｎ）は、安全システムに釣り合った高レベ
ルの信頼性を必要とするネットワーク１５でＩ／Ｏデータ５２が伝送されるたび
に実行される。非安全システムデータについて、標準ネットワークプロトコル５
６は、産業用制御システム１０の非安全要素との通信のために、安全ネットワー
クプロトコル５４を使用せずに単独で使用されてよい。ネットワーク１５で伝送
されるすべてのデータは標準ネットワークプロトコル５６に埋め込まれているた
め、それらがＩ／Ｏデータ５２に適したデータ伝送容量を有し、後述されるよう
に、安全ネットワークプロトコル５４の追加された安全エラー検出データ５８を
受け入れるのに十分な容量を有するのであれば、安全ネットワークプロトコル５
４は、多岐に渡るネットワーク１５とシームレスに動作するだろう。
【００５２】 安全メッセージフォーマット化 ここで図６を参照すると、安全ネットワークプロトコル５４の第１態様とは、
Ｉ／Ｏデータ５２が、ネットワークメッセージ６１を作成するために標準ネット
ワークプロトコル回路３６、３８及び４４に提供されるデータを形成する安全メ
ッセージ６０を形成するために安全エラー検出データ５８に添付されるという点
である。安全エラー検出データ５８は、安全メッセージの早期伝送に関して、安
全メッセージ６０が伝送される局所的な順序を示すシーケンスカウントを含んで
よい。該シーケンスカウントは、説明されるように単一のメッセージだけの損失
を検出することが意図されるので、通常、範囲（０−３）に限られる。
【００５３】 やはりＩ／Ｏデータ５２及び安全エラー検出データ５８の部分に添付されるの
は、好ましい実施形態では、１２ビットであるために選択される巡回冗長符号（
ＣＲＣ）である。該巡回冗長符号は、ＣＲＣが受信側デバイスによって再計算さ
れ、一致しないときに、それらのデータ要素のどれかの伝送でのエラーが検出で
きるようにＩ／Ｏデータ５２及びシーケンスカウントから機能的に生成される。
技術で理解されるように、１２ビットのエラーコードは、ビットエラーの奇数、
全２ビットエラー、１２ビットまでの全バーストエラー、及び安全メッセージ６
０のデータの２０４７ビットまで、１２ビットより大きなバーストエラーの９９
．９５１％を含むエラーの検出を可能にするだろう。
【００５４】 安全メッセージ６０は、ネットワーク１５の標準ネットワークプロトコル５６
に応じて変化するネットワークヘッダとフッタ６２と６４に埋め込まれている。
ネットワーク１５に応じて、ネットワークヘッダとフッタ６２と６４は、ＣＲＣ
コードとその他のシーケンスカウント、及び安全エラー検出データ５８と冗長に
動作するそれ以外の類似した安全エラー検出データ５８を含んでよい。それにも
関わらず、安全メッセージ６０は、可能な程度まで完全にネットワークから独立
するように、独自の安全エラー検出データ５８を含む。
【００５５】 接続されたメッセージ通信 前述されたように、安全エラー検出データ５８は、安全ネットワークプロトコ
ル５４の一部だけを形成する。安全ネットワークプロトコル５４は、接続された
メッセージ通信方式の元での適切な通信を保証する構成ステップも含む。ここで
図９を参照すると、制御装置１２、入力モジュール１４（つまり入力モジュール
１４ａと１４ｂ）、及び出力モジュール１６（つまり出力モジュール１６ａと１
６ｂ）の間の通信が、接続されたメッセージ通信システムを提供してよい。技術
で理解されるように、接続されたメッセージ通信は、一方がメッセージの「作成
者」としての役割を果たし、一方がメッセージの「消費者」としての役割を果た
す論理装置の対の間で接続を開くことを必要とする。接続を開くプロセスは、ネ
ットワークの帯域を確保し、接続のデータが確実に伝送、受信されることを保証
するために、作成者と消費者における必要な処理リソースとバッファリングリソ
ースを確保する。
【００５６】 接続されたメッセージ通信プロトコルは、安全ネットワークプロトコル５４の
一部として、または標準ネットワークプロトコル５６の一部として実現されてよ
く、後者のオプションは、使用されてよい標準ネットワーク１５の種類をいくぶ
ん制限する。接続されるメッセージ通信をサポートするいくつかの標準ネットワ
ークプロトコルは、デバイスネットとコントロールネット、イーサネット、及び
ＡＴＭである。
【００５７】 ここで図９を参照すると、接続されたメッセージ通信プロトコルの元で、入力
モジュール１４は、２つの接続を開く二人の作成者８０に、信号１８ａと１８ｂ
のそれぞれのために一人づつ、制御装置１２の二人の消費者８２を与える。実際
問題として、これらの２つの接続とは、２つの別個のネットワークメッセージ６
１がネットワーク１５上を送信され、両方のメッセージの損失の確率を引き下げ
ることを意味する。
【００５８】 別個の入力モジュール１４ａと１４ｂがある図３のインプリメンテーションに
ついて、二人の作成者８０も提供される。作成者８０が現在（ネットワーク１５
で異なるアドレスを有する）別のデバイス内にいるにしても、安全システムを実
現する制御プログラムの動作は、接続レベルより上で、インプリメンテーション
内のこれらの変更によって変更される必要はない。接続されたメッセージ通信は
、このようにして、安全システムを、単一ネットワーク、つまり複数のリンク上
で自然な冗長性に備えるようなトポロジにたいてい無関心にさせる。
【００５９】 制御装置１２は、同様に、図２による単一出力モジュール１６内または図４の
実施形態による別個の出力モジュール１６ａと１６ｂのどちらかで、消費者８２
とデータを交換している二人の作成者８０を含む。２つの矢印が、それぞれの作
成者８０と消費者８２の間に図示され、図９に従って、後述されるように、安全
プロトコル５４の元で肯定応答メッセージによる各メッセージのパーシングを示
す。
【００６０】 図９に図示されていないが前述されるように、ブリッジ回路１７は、当業者に
理解されるように、四人の消費者と四人の作成者（ネットワーク側ごとに二人）
を実現するだろう。
【００６１】 安全構成データ及びプロトコル ここで図１０を参照すると、安全プロトコルは、さらに一般的には、第１ステ
ップがプロセスブロック６６によって示されるように構成データを作成すること
である、初期化状態を含む。
【００６２】 構成プロセスは、構成端末２４で構成データを作成することと、構成データが
入力モジュール１４、制御装置１２、及び出力モジュール１６のそれぞれにある
ことを保証することを必要とする。構成データは各接続に一意であり、安全プロ
トコルの必須構成要素を提供し、安全システムの中にスプリアスデータを注入す
る不適切な接続の可能性を削減するために相互通信関係者を特定する。これは、
安全ネットワークプロトコル５４を観察するシステム構成要素と、標準ネットワ
ークプロトコルだけを観察する標準構成要素の混合を可能とする上で特に重要で
ある。デバイスは、複数の接続をサポートしてよく、そのケースでは、各接続に
特定的な複数の構成データが使用されるだろう。
【００６３】 一般的には、構成データは、入力モジュール１４、制御装置１２、及び構成デ
ータを保持する出力モジュール１６の特定のデバイス及び特にそのデバイスの連
続番号を識別するデータを含む。連続番号は物理装置の一意の不変の一部であり
、このようにして（独立した接続を確立してよい）物理装置内の論理装置の内部
アドレスとともに、連続番号は各接続に一意のアイデンティティを与え、いった
ん構成データが適切に広められると、異なるデバイス間での交差接続の可能性を
排除する。連続番号を強化するために、構成データは、すべてが技術で既知であ
り、特定のデバイスを識別するデバイスの論理アドレス、物理アドレスを含むネ
ットワークデータだけではなく、ベンダ識別番号、デバイスコード、製品コード
、主要改訂、マイナー改訂も含んでよい。同様に、デバイス内の構成データは、
それが接続されるデバイスの連続番号を含んでよい。
【００６４】 言及されたように、接続データは、「定期時間間隔」、「応答タイマ間隔」、
「フィルタカウント」及び「再試行限度」という変数を含む、さらに説明されな
ければならない安全プロトコルの他の態様のインプリメンテーションに必要なデ
ータも含んでよい。構成データは、ネットワークエラーの発生時にデバイスが復
旧するだろう安全状態、及び現在の接続がエラーを有する場合に安全状態に復旧
しなければならない（その他の接続に関係する）その他のＩ／Ｏ点を示す関連Ｉ
／Ｏ点のリストも含む。このもっと後の特徴が、説明されるように、通信時の安
全システムの選択的及びインテリジェントなディスエーブルを可能にする。文脈
から明らかとなるように、このデータのいくらかは、デバイスに依存しており、
システムプログラマはいくつかを開発しなければならない。
【００６５】 図７を参照すると、構成端末２４の中に保持される構成データは、メッセージ
６６ａ、６６ｂ、及び６６ｃとして、入力モジュール１４、制御装置１２、及び
出力モジュール１６のそれぞれに送信される。
【００６６】 受信側入力モジュール１４、制御装置１２、及び出力モジュール１６は、構成
を記憶し、同じではあるが、受信される構成データの（単に別のバイナリコーデ
ィングである）一つの（ｏｎｅ’ｓ）補間的な形式に従って変更される構成メッ
セージで応答する。この一つの補間的なメッセージは、メッセージ６６ｄ、６６
ｅ及び６６ｆによって、それぞれの入力モジュール１４、制御装置１２、及び出
力モジュール１６から戻される。メッセージ６６ａ、６６ｂ及び６６ｃの構成が
正確に（補間後に）メッセージ６６ｄ、６６ｅ及び６６ｆの構成データに一致す
る場合、構成は成功した。
【００６７】 構成データは、確認のために人間のオペレータに見せられてよい。オペレータ
が、構成が正しいことを認めると、構成は、構成端末２４からそれぞれの入力モ
ジュール１４、制御装置１２、及び出力モジュール１６へ、メッセージ６８ａ、
６８ｂ、及び６８ｃを通して図１０に図示されるプロセス６８によって示される
ように適用される。デバイスは、所定の時間間隔内にメッセージ６８ｄ、６８ｅ
及び６８ｆを介してこれらのメッセージを肯定応答しなければならないか、でな
ければ構成はクリアされ、どの構成も発生したとみなされないだろう。メッセー
ジ６６と６８の構成データは、標準ネットワークプロトコル５６だけを使用して
送信されてよい。
【００６８】 いったん構成が完了すると、安全プロトコルは、通常、図８と図１０に示され
る起動段階に入る。起動段階中、必要な安全接続が確立され、構成データが、予
想される接続が、実際行われる接続であることを検証するために使用される。構
成の起動部分の目的は、（１）安全システム内のデバイスと安全システム内のそ
れ以外の誤ったデバイス、及び（２）安全システムのデバイスと、混合システム
内の安全システム内にないその他のデバイスの間で誤った接続が開かれるのを防
ぐことである。
【００６９】 図１０のプロセスブロック７０で示されるこの起動プロセスでは、接続は、制
御装置１２から入力モジュール１４と出力モジュール１６に確認される。特に（
図９に図示される）制御装置１２内の作成者８０は、それぞれ、入力モジュール
１４と出力モジュール１６に開放接続メッセージ７０ａと７０ｂを送出する。適
切な消費者８２は、それぞれ接続肯定応答メッセージ７０ｃと７０ｄで応答する
。それから、制御装置１２及び入力モジュール１４内の作成者８０は、メッセー
ジ７０ｅと７０ｆによって示されるように、制御装置１２内の消費者８２に構成
データを送信する。制御装置の消費者８２は、構成データがそれらの構成データ
に一致することを確かめるためにチェックしてから、肯定応答メッセージ７０ｆ
と７０ｇを送信し、その一致を承認する。その後、メッセージ７２ａと７２ｂで
、従来のＩ／Ｏデータは送信し始められてよい。
【００７０】 図１０を再び参照すると、データ７２ａと７２ｂは、前述されたように、ネッ
トワークメッセージ６１の中に安全エラー検出データ５８を組み込む安全メッセ
ージ６０の形成を含むプロセスブロック７２によって示される安全プロトコルの
部分に従って、及びここで説明されるだろう安全メッセージ６０のコンテンツと
は無関係に、及び関連して動作しているメッセージ処理プロトコル７４に従って
伝送されるだろう。
【００７１】 メッセージ処理安全プロトコル （１）通常の伝送 通常、図１０と図１１を参照すると、メッセージ処理プロトコル７４は、メッ
セージ時間測定に備え、実行時中に安全エラー検出データ５８内のエラーに応え
る。これらのメッセージ処理プロトコル７４は、安全プロトコル回路３２、４０
及び４６内で実現されるか、あるいはソフトウェア内で実現されてよく、作成者
と消費者に対して異なる。
【００７２】 ここで、通常の実行時伝送のための図１１と図１９を参照すると、作成者８０
は、実行時に、図１１に従って消費者８２に（前述されたように、安全メッセー
ジ６０に従って標準ネットワークメッセージ６１にカプセル化される）安全メッ
セージ８４を送信するだろう。この送信は、通常、図１９に示される。メッセー
ジ８４を送信する直前に、定期的なタイマが、プロセスブロック８９に従って起
動され、応答タイマは、メッセージ８４がプロセスブロック９１に従って伝送さ
れる瞬間に伝送される。定期的なタイマ間隔８６は、前述された構成プロセスに
設定されるように、応答タイマ間隔８８より長い。
【００７３】 ここで図９、図１１、及び図２０を参照すると、消費者８２は、メッセージ８
４を受信する前に、（最後のメッセージ８４を消費者が受信した時点で起動され
た）独自の定期タイマの定期的な時間間隔８６’が、決定ブロック９２で示され
るように期限切れとなったかどうかを確かめるために絶えずチェックしている。
定期的なタイマ値８６’は、通常、定期タイマ値８６に同一である。
【００７４】 定期タイマが期限切れになると、故障が示され、プログラムは、後述されるよ
うに、プロセスブロック１３４、安全状態に進む。
【００７５】 タイマ値８６が期限切れになっていない場合には、決定ブロック９０で、消費
者８２は、メッセージ８４が到達したかどうかを確かめるためにチェックする。
メッセージ８４が到達していない場合、プログラムは決定ブロック９２に戻り、
定期タイマ８６が期限切れとなったかどうかを再び確かめる。
【００７６】 メッセージ８４が定期タイマ８６の期限切れの前に到達したと仮定し、プログ
ラムは決定ブロック１１２に進み、メッセージ８４のＣＲＣをチェックする。
【００７７】 ＣＲＣが正しいと仮定して、プログラムは決定ブロック９６に進み、シーケン
スカウントが受信された最後のメッセージのシーケンスカウントより１つ大きい
ことを確認するためにチェックする。
【００７８】 シーケンスカウントが正しい場合には、プログラムは、プロセスブロック９４
に進み、定期タイマ８６がリセットされる。プロセスブロック９５では、データ
は、例えば、出力にまたは更新変数に適用されてから、プロセスブロック９８で
、肯定応答メッセージ１００が作成者８０に戻される。
【００７９】 再び図１９を参照すると、決定ブロック１０２で肯定応答メッセージを受信し
た作成者８０は決定ブロック１０６に進み、定期タイマ８６が期限切れとなった
かどうかを判断する。
【００８０】 定期タイマが期限切れになっていないと仮定して、プログラムは決定ブロック
１２４に進み、肯定応答メッセージ１００のＣＲＣをチェックする。冗長巡回符
号は、伝送された安全メッセージ６０のデータに一致しなければならない。
【００８１】 再び、ＣＲＣが正しいと仮定し、プログラムは決定ブロック１２５に進み、肯
定応答メッセージ１００のシーケンスカウントが、送信されたメッセージ８４の
シーケンスカウントに一致するかどうかを判断する。
【００８２】 一致する場合には、決定ブロック１２７で、メッセージ８４で送信されたデー
タが肯定応答メッセージ１００のデータに比較される。一致がある場合には、プ
ログラムは、それが、定期タイマが期限切れになるまでループする決定ブロック
１２９に進んでから、プロセスブロック１１０に進み、新しいメッセージ８４を
作成する。
【００８３】 このプロセスは、安全メッセージ８４及び肯定応答メッセージ１００の複数の
伝送について繰り返される。
【００８４】 （２）受信されたが破壊されているメッセージ ここで図１１を参照すると、１つの潜在的なエラーの中で、安全メッセージ８
４は、例えば電磁干渉８５によって破壊されている。このケースでは、メッセー
ジは、プロセスブロック９２によって測定されるような定期タイマ値内で、プロ
セスブロック９０に従って、図２０によって示されるように、消費者８２におい
て受信されるが、決定ブロック１１２によって判断されるようにＣＲＣデータに
はエラーがある。このケースでは、プログラムはプロセスブロック１１４に進み
、処置は講じられず、特に、肯定応答メッセージ１００は戻されない。
【００８５】 図１９を参照すると、このケースでは、プロセスブロック１０２で、作成者８
０によって受信される肯定応答メッセージ１００はないだろう。プログラムは決
定ブロック１１６に進み、定期時間間隔８６が期限切れになったかどうかを判断
する。期限切れになっている場合、故障が示され、プログラムはプロセスブロッ
ク１２６の安全状態に進む。
【００８６】 定期タイマ間隔８６が期限切れになっていない場合、プログラムは決定ブロッ
ク１１８に進み、さらに短い応答時間間隔８８が期限切れになったかどうかを確
かめる。期限切れになっていない場合、プログラムはプロセスブロック１０２に
折り返すだろう。期限切れになっている場合、プログラムはプロセスブロック１
２０に進み、再試行限度が超えられたかどうかを確かめる。最初に、これは、当
てはまらない可能性があり、プログラムはプロセスブロック１２２に進み、同じ
シーケンスカウントを有する反復メッセージ８４’が、やはり図１２によって示
されるように、プロセスブロック８４で送信されるだろう。再試行限度が超えら
れた場合、プログラムは安全状態１２６に進む。
【００８７】 この反復メッセージ８４’は、図２０のプロセスブロック９０によって示され
るように、消費者８２で受信され、それが正しいこと、及びそれが過去の誤りの
ないメッセージに基づいて定期時間間隔８６’内に到達したと仮定して、このメ
ッセージ８４’は、前述されたステップに従って、プロセスブロック９８で肯定
応答メッセージ１００の送信を生じさせる。
【００８８】 典型的には、ただ１回の見失われた伝送が発生すると、肯定応答メッセージ１
００は、作成者の定期タイマ間隔８６内で発生し、メッセージは、図１１に関し
て前述されたように、通常に交換され続けるだろう。
【００８９】 （３）受信されなかったメッセージ ここで、図１３を参照すると、前記例においては、安全メッセージ８４は、エ
ラー付きであるにも関わらず、検出される消費者８２に到達した。低レベルネッ
トワークプロトコルの元ではメッセージとして認識できないこのような極端な干
渉の結果として、あるいは間欠的な性質の作成者と消費者間の構成要素の故障の
結果として、安全メッセージ８４が消費者８２に到達しないことが考えられる。
この状況下では、作成者８０は、メッセージ８４を送信するが、消費者は図２０
のプロセスブロック９０でメッセージを受信しない。
【００９０】 （前述されたように）消費者の図２０の「処置なし」ブロック１１４は、この
ようにして遭遇されないが、結果はいずれにせよ同じである。つまり、消費者８
２は、処置を講じない。
【００９１】 このようにして、作成者８０における応答タイマ期限切れ時の図１２に関して
前述されたように、作成者８０は、受信されると、通常の通信の文字列を開始す
る肯定応答メッセージ１００を生じさせるだろう第２メッセージ８４を作成する
だろう。
【００９２】 （４）受信されたが破壊されている肯定応答メッセージ ここで、図１４を参照すると、安全メッセージ８４は、エラーなしで無事に消
費者８２に達するが、肯定応答メッセージ１００は電磁干渉８５により生じるエ
ラーを有することがある。このケースでは、作成者８０は、定期的なタイマ間隔
８６内で肯定応答メッセージ１００の受信を検出するために決定ブロック１０６
によって図１９に図示されるように反応する。しかし、肯定応答メッセージ１０
０のデータにはエラーがある。
【００９３】 ＣＲＣが、決定ブロック１２４によって判断されるように正しく、プロセスブ
ロック１２４に従って間違っているのがシーケンスカウントである場合には、プ
ログラムは、消費者８２の出力と入力が構成データの事前に定められた安全状態
に設定される安全状態１２６に入る。同様に、シーケンスカウントが正しいが、
肯定応答データが決定ブロック１２７に従って一致しない場合、プログラムは安
全状態１２６に進む。消費者８２が制御装置１２である場合には、メッセージは
、それらにも安全状態に移るように信号で知らせる構成データ内で示される他の
Ｉ／Ｏデバイスに送信されてよい。
【００９４】 プロセスブロック１２４で、ＣＲＣ符号が、誤った重複メッセージよりむしろ
安全メッセージ内の破壊を示す安全メッセージ６０に一致しないと仮定して、プ
ログラムは決定ブロック１１８に進み、応答タイマが前述されたように期限切れ
になっているかどうかを確かめる。応答タイマが期限切れになると、プログラム
は前述されたようにプロセスブロック１２０に進み、再試行限度が超えられてい
るかどうか確かめるために再試行カウンタをチェックする。超えられている場合
、プログラムは安全状態１２６に進むが、多くの場合、これは発生せず、プログ
ラムはプロセスブロック１２２に進み、再試行メッセージ８４’が図１４に示さ
れるように作成される。
【００９５】 この再試行メッセージが破壊されていない肯定応答メッセージ１００’を引き
起こすと仮定して、通信は通常の様式で続行する。
【００９６】 （１５）受信されなかった肯定応答メッセージ ここで、図１５を参照すると、肯定応答メッセージ１００が、干渉を通して、
あるいは一時的な通信障害を通して、完全に失われることが考えられる。そのケ
ースでは、前述されたように、重複メッセージ８４が作成者８０から送信される
が、シーケンスカウントは、消費者８２によって過去に受信されたメッセージ８
４のシーケンスカウントに同一となるだろう。図２０に図示されるようなこのケ
ースでは、プロセスブロック１１２で、ＣＲＣは正しいだろうが、それ以降の決
定ブロック９６で試験されると、シーケンスコードは間違っているだろう。この
ケースでは、プログラムはシーケンスコードが予想されるより１少ないかどうか
をチェックするためにプロセスブロック１３０に進む。しかしながら、１少ない
場合、消費者８２は、肯定応答メッセージ１００が失われたと結論付けなければ
ならず、過去のメッセージの肯定応答が、プロセスブロック１３２で消費者によ
って再送される。
【００９７】 （６）受信メッセージなし 最後に、図１５に示されるように、作成者が、消費者の定期間隔８６’内で消
費者と接続できない可能性がある。そのケースでは、プログラムは、図２０に図
示されるように、決定ブロック９２から直接的に安全状態１３４に進む。
【００９８】 ネットワークにより誘導される歪みの削減 図２、図１７及び図１８を参照すると、重複入力信号１８ａと１８ｂが、入力
モジュール１４内のその関連付けられた入力回路１８ａと２８ｂのサンプリング
での差異に対処するために濾波されなければならない。図１７に示されるように
、ライン１８ａ上の信号は、（点線で図示される）間隔１４０ａでサンプリング
されてよいが、（おそらく１８ａのそれと同一の）ライン１８ｂの入力信号は、
実線で示される間隔１４０ｂでサンプリングされてよい。サンプリング速度のこ
の差異は、時間ｔ０で、インタフェース回路構成要素２８ａによって処理される
信号１８ｂ’が高状態にあるが、インタフェース回路構成要素２８ａによって処
理されるような信号１８ａが高状態にあることを意味する。歪み信号１８ａ’と
１８ｂ’は、二重接点システムのわずかな機械的な遅延によっても引き起こされ
ることがある。
【００９９】 補正されない場合、ゆがみは時間ｔ０とｔ１の間の瞬間的なエラー状態を生じ
させ、故障を示唆する。これらの偽エラー表示は排除されなければならず、これ
は典型的には、その間信号１８ａと１８ｂの一致の欠如が無視されるウィンドウ
１５０を確立することによって行われる。
【０１００】 ネットワークシステムにおいて、これは、ネットワークメッセージを介してそ
れぞれのプロセッサ４２ａと４２ｂへ信号１８ａ’と１８ｂ’を送信することを
必要とすることがある。ネットワーク１５上での伝送のために待ち行列に入れた
結果生じたこれらのメッセージの伝送での歪みは、ウィンドウ１５０を増加する
ことを必要とする可能性がある。このようなアプローチにおける追加の問題は、
ウィンドウ処理プロセスが、各入力１８ａと１８ｂの繰り返されるサンプルを必
要とするという事実で生じる。例えば、（信号１８ａとの一致が欠如している）
信号１８ｂで変化があると、ウィンドウ１５０内で信号１８ａのそれ以降の値を
監視（し、伝送）し続ける必要がある。結果的に、ネットワーク１５は各入力の
複数のサンプルの追加伝送で酷使される。高応答時間に対するニーズがサンプル
数を増やすにつれて、ネットワークトラフィックも増加する。
【０１０１】 結果的に、本発明では、図２に図示される構成を使用して、マイクロコントロ
ーラ３０ａと３０ｂは、１８ａと１８ｂの共通の値を求めるためにウィンドウ濾
波を使用して一致の欠如を解決するため、及びプロセッサ４２に、「事前に濾波
された状態」の別々のメッセージでこの共通の値を送信するために、バス３４上
で通信する。プロセッサ４２は、同期して動作するため、追加の歪みは生じない
、あるいはニーズは排除される。その結果、歪みウィンドウは大きく削減され、
ネットワークトラフィックは大きく削減される。
【０１０２】 特に、図１８を参照すると、マイクロコントローラ３０ａと３０ｂは、２つの
入力が一致するかどうか、決定ブロック１４２で試験するフィルタプログラムを
動作する。つまり、２つの入力（例えば、信号１８ａと１８ｂ）は同じであるか
、あるいは所定の規約に従って、一方は他方の逆転である。一致がある場合には
、それらの入力の出力状態は、プロセスブロック１４４によって示されるように
、その一致した値に設定される。これは、概して図１７の領域１４６に相当する
。
【０１０３】 プロセスブロック１４４の共通出力は、定期的に伝送されるか、あるいは状態
が変更する瞬間だけに伝送されてよい。
【０１０４】 図１７の領域１４８によって示されるように一致が発生しない場合には、プロ
グラムはプロセスブロック１４５に進み、例えば現在開始し、２つのサンプルを
前方に進めるウィンドウ１５０内で、一致を見つけることができるのかを確かめ
るためにサンプリングする。プロセスブロック１５２によって示されるように、
一致をウィンドウ１５０内で見つけることができる場合には、ウィンドウ一致値
は、プロセスブロック１５４によって示されるように出力として使用される。
【０１０５】 一致を見つけることができない場合には、プログラムは安全状態１３６に進む
。
【０１０６】 マイクロコントローラ３０ａと３０ｂは、多数の入力状態をさらに少ない数の
伝送状態の中に写像することによって入力データをさらに濾波してよい。（より
少ない伝送済みデータによって表されてよいような）これらのより少ない数の伝
送状態が、高信頼性システムによってネットワーク帯域幅に課される重荷を削減
する。さらに、伝送状態の変化だけが伝送されるケースでは、より少ない数の状
態は、より少ない伝送を生じさせるだろう。このようにして、例えば、二重ボタ
ン安全ロックアウトからなどの２つの入力は、２つの状態「実行」または「停止
」に分解されてよい。入力データの２つのビットは、伝送されたデータの１つの
ビットに濾波されてよい。この圧縮は、前述されたウィンドウ処理と関連して動
作してよい。
【０１０７】 前記説明は、本発明の好ましい実施形態の説明であり、当業者は、本発明の精
神及び範囲を逸脱することなく多くの修正が加えられてよいことを思い浮かべる
だろう。本発明の範囲内に該当してよい多様な実施形態を一般に知らせるために
、以下の請求がなされる。
【図面の簡単な説明】
【図１】 中央制御装置を、遠隔入力回路と出力回路と、及び本発明で使用されてよいよ
うな遠隔構成端末とリンクする標準直列通信網を使用する簡略化された産業用制
御装置の斜視図である。
【図２】 入力開閉器から図１の入力回路への冗長な配線を示す図１の制御システムの概
略ブロック図であり、入力回路は通信網上で図１の制御装置に信号を送信するた
めに入力開閉器からの信号を処理してよいような冗長な構成要素を有し、制御装
置は、通信網上で図１の出力回路に信号を送信するための冗長なプロセッサを有
し、出力回路はアクチュエータに出力を提供するために冗長な構成要素を有する
。
【図３】 冗長な構成要素のない従来の制御入力回路を使用する図２の入力回路の代替構
成を示す、図２に類似する断片的な図である。
【図４】 冗長な構成要素のない従来の制御出力回路を使用する図２の出力回路の代替構
成を示す、図２に類似する断片的な図である。
【図５】 データが、直列ネットワークと互換性を持つために、最初に安全プロトコルで
、次にネットワークプロトコルで符号化される本発明によって提供される二重通
信プロトコルの代表的な図である。
【図６】 標準直列ネットワークによって提供されるフォーマットの中でのＩ／Ｏデータ
による安全性フォーマットデータの埋め込みを示す、標準直列ネットワーク上で
伝送されるデータワードの概略表現である。
【図７】 入力回路、制御装置、及び出力回路への構成メッセージの伝送を示し、本発明
の安全プロトコルの基礎を形成する、垂直軸に時間、水平軸にネットワークに沿
った距離を有するグラフィック表現である。
【図８】 ネットワークの起動段階及び実行時段階の間の構成プロセス後のメッセージの
伝送を示す、図７の図に類似した図である。
【図９】 入力回路、制御装置及び出力回路の間の通信を、単一のネットワーク上での冗
長な通信及び図２、図３、及び図４のインプリメンテーションの変化したトポロ
ジを提供する作成者−消費者対に分割することを示す、産業用制御装置のブロッ
ク図である。
【図１０】 初期化、起動、及び実行時の安全プロトコルの原則段階を示すフローチャート
である。
【図１１】 実行時中の本発明の安全プロトコルの元での通常のプロトコル動作を示す、図
７の図に類似した図である。
【図１２】 作成者メッセージが破壊されたプロトコル動作を示す、図１１の図に類似した
図である。
【図１３】 作成者メッセージが失われたプロトコル動作を示す、図１１の図に類似した図
である。
【図１４】 消費者からの肯定応答メッセージが破壊されたプロトコル動作を示す、図１１
に類似した図である。
【図１５】 消費者肯定応答メッセージが失われたプロトコル動作を示す、図１１に類似す
る図である。
【図１６】 作成者と消費者間の接続が分裂したプロトコル動作を示す、図１１に類似する
図である。
【図１７】 ２つの冗長な入力回路の異なるサンプリング点から生じる歪みを示す、経時的
な典型的な入力信号のグラフである。
【図１８】 ネットワーク伝送の前に、図１７の歪みを排除するために、図１の入力回路に
よって実行されてよいプログラムである。
【図１９】 安全プロトコルを実現する上で図９の作成者によって実行されるプログラムの
フローチャートである。
【図２０】 本発明の安全プロトコルを実現する上で図９の消費者によって実行されるプロ
グラムのフローチャートである。
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ， ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，Ｇ Ｍ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ， ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ， ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，Ｃ Ｈ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ， ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，Ｋ Ｐ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ， ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，Ｓ Ｉ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 レナー， ジョゼフ エイ． アメリカ合衆国 オハイオ州 44056 ハ ドソン， ベンドルトン ドライブ 7578 (72)発明者 ヴァスコ， デヴィッド エイ． アメリカ合衆国 オハイオ州 44056 マ セドニア， ウッドビュー ドライブ 9480 (72)発明者 ヴァンデスティーグ， ケリー ダブリ ュ． アメリカ合衆国 オハイオ州 44022 シ ャグリン フォールズ， ウェスト ベル メドウ 75 (72)発明者 ホール， ケンウッド エイチ． アメリカ合衆国 オハイオ州 44236 ハ ドソン， イースト サファイア ドライ ブ 1768 Ｆターム(参考） 3C100 AA56 CC02 CC16 5J065 AA01 AB01 AC02 AD04 AE01 AF02 AG04 5K014 AA01 CA03 EA05 EA07 5K033 AA07 BA08 CB02 CC01 5K034 AA05 EE10 HH01 HH02 HH10 HH11 HH12 HH65 MM01 NN26 【要約の続き】 号を前処理し、一致信号だけを定期的にまたは状態の変 更時のどちらかに送信することによってネットワークを 過負荷せずに単一直列ネットワークと同じくらい少ない 冗長な制御信号の処理に備える。

Claims (10)

    【特許請求の範囲】
  1. 【請求項１】 標準直列通信網を使用する産業用制御装置用のネットワーク
    から独立した高信頼性通信システムであって、 産業プロセスの制御のためにＩ／Ｏデータを受信する第１Ｉ／Ｏ通信回路と、 Ｉ／Ｏデータを受信し、検出されていない伝送ループエラーを削減するために
    フォーマットされた高信頼性フォーマット済みデータを作成するために、ネット
    ワークから独立したプロトコルの元での伝送のためにそれをフォーマットする第
    １のネットワークから独立したプロトコルデバイスと、 高信頼性フォーマット済みデータを受信し、さらにそれを、標準直列通信網で
    の伝送のために二重にフォーマットされたデータを生じさせるために、標準直列
    通信網のプロトコルの元での伝送のためにフォーマットし、標準直列通信網のプ
    ロトコルが検出されていない伝送ループエラーを削減するためのデータもフォー
    マットする第１標準ネットワークプロトコルデバイスと、 標準直列通信網から二重にフォーマットされたデータを受信し、標準直列通信
    網のプロトコルに従って高信頼性フォーマット化データを抽出する第２標準ネッ
    トワークプロトコルデバイスと、 高信頼性フォーマット化データを受信し、Ｉ／Ｏデータを抽出する第２のネッ
    トワークから独立したプロトコルデバイスと、 第２のネットワークから独立したプロトコルデバイスから、産業プロセスの制
    御のためにＩ／Ｏデータを受信する第２Ｉ／Ｏ通信回路と、 を備え、 それにより高信頼性伝送が、任意の標準直列通信網プロトコルで簡略に得られ
    る通信システム。
  2. 【請求項２】 第１と第２Ｉ／Ｏ通信回路が、産業用制御装置、産業用制御
    装置用入力回路、ブリッジ、及び産業用制御装置用出力回路から成り立つグルー
    プから選択される、請求項１に記載の産業用制御装置。
  3. 【請求項３】 第１のネットワークから独立したプロトコルデバイスが、Ｉ
    ／Ｏデータに関係する冗長巡回符号及び伝送されているその他のＩ／Ｏに関して
    Ｉ／Ｏデータの伝送の局所的な順序に関係するシーケンスカウントから成り立つ
    エラー検出データを追加することによりＩ／Ｏデータをフォーマットする、請求
    項１に記載の産業制御装置。
  4. 【請求項４】 第２のネットワークから独立したプロトコルデバイスが、さ
    らにそれを、Ｉ／Ｏデータの受信時に肯定応答メッセージを作成し、高信頼性フ
    ォーマット化肯定応答データを生じさせるために、ネットワークから独立したプ
    ロトコルの元でフォーマット化し、 第２標準ネットワークプロトコルデバイスが高信頼性フォーマット化肯定応答
    データを受信し、さらにそれを、標準直列通信網上での伝送のために二重にフォ
    ーマットされた肯定応答データを生じさせるために、標準直列通信網のプロトコ
    ルの元での伝送のためにフォーマットし、 第１標準ネットワークプロトコルデバイスが標準直列通信網から二重にフォー
    マットされた肯定応答データを受信し、標準直列通信網のプロトコルに従って高
    信頼性フォーマット化肯定応答データを抽出し、 高信頼性フォーマット化肯定応答データを受信する第１のネットワークから独
    立したプロトコルデバイスが、伝送ループエラーを検出するためにデータをチェ
    ックする、 請求項１に記載の産業用制御装置。
  5. 【請求項５】 肯定応答データが、Ｉ／Ｏデータを含み、第１のネットワー
    クから独立したプロトコルデバイスが、Ｉ／Ｏデータを肯定応答データに比較す
    ることによってエラーを検出する、請求項４に記載の産業用制御装置。
  6. 【請求項６】 第１のネットワークから独立したプロトコルデバイスが、Ｉ
    ／Ｏデータの受信時にタイマを起動するために動作し、第１のネットワークから
    独立したプロトコルデバイスが、肯定応答メッセージの受信時に許容時間に、タ
    イマ上の時間を突き合わせることによりエラーを検出する、請求項１に記載の産
    業用制御装置。
  7. 【請求項７】 第１のネットワークから独立したプロトコルデバイスが、定
    期的な間隔でＩ／Ｏデータを伝送し、第２のネットワークから独立したプロトコ
    ルデバイスが、最後のＩ／Ｏデータが受信された時間を時間間隔に突き合わせて
    比較することによってエラーを検出する、請求項１に記載の産業用制御装置。
  8. 【請求項８】 第２のネットワークから独立したプロトコルデバイスが、Ｉ
    ／Ｏデータの伝送ループエラーを検出するために高信頼性フォーマット化データ
    を評価し、Ｉ／Ｏデータについてエラーの検出時に、Ｉ／Ｏデータのデフォルト
    の安全状態を受け入れる、請求項１に記載の産業用制御装置。
  9. 【請求項９】 第１のネットワークから独立したプロトコルデバイスが、Ｉ
    ／Ｏデータの伝送ループエラーを検出するために、高信頼性フォーマット化デー
    タを評価し、Ｉ／Ｏデータについてエラーの検出時に、Ｉ／Ｏデータのデフォル
    トの安全状態を受け入れる、請求項４に記載の産業用制御装置。
  10. 【請求項１０】 標準直列通信網が、イーサネット（登録商標）、デバイス
    ネット、コントロールネット、ファイヤワイヤ及びフィールドバスから成り立つ
    ネットワークのグループから選択される、請求項１に記載の産業用制御装置。
JP2001547615A 1999-12-22 2000-12-22 削減された帯域幅要件を有する産業用制御装置用安全ネットワーク Expired - Fee Related JP4307776B2 (ja)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US17143999P 1999-12-22 1999-12-22
US60/171,439 1999-12-22
US09/664,154 2000-09-18
US09/664,154 US6721900B1 (en) 1999-12-22 2000-09-18 Safety network for industrial controller having reduced bandwidth requirements
PCT/US2000/035258 WO2001046765A1 (en) 1999-12-22 2000-12-22 Safety network for industrial controller having reduced bandwidth requirements

Publications (2)

Publication Number Publication Date
JP2003518356A true JP2003518356A (ja) 2003-06-03
JP4307776B2 JP4307776B2 (ja) 2009-08-05

Family

ID=26867110

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2001547615A Expired - Fee Related JP4307776B2 (ja) 1999-12-22 2000-12-22 削減された帯域幅要件を有する産業用制御装置用安全ネットワーク

Country Status (7)

Country Link
US (1) US6721900B1 (ja)
EP (1) EP1240561B1 (ja)
JP (1) JP4307776B2 (ja)
AT (1) ATE507516T1 (ja)
AU (1) AU2598101A (ja)
DE (1) DE60045896D1 (ja)
WO (1) WO2001046765A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8867369B2 (en) 2010-03-16 2014-10-21 Fujitsu Limited Input/output connection device, information processing device, and method for inspecting input/output device
US11677495B2 (en) 2019-04-16 2023-06-13 Mitsubishi Electric Corporation Safety communication device, safety communication system, safety communication method, and computer readable medium

Families Citing this family (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6909923B2 (en) * 1999-12-22 2005-06-21 Rockwell Automation Technologies, Inc. Safety communication on a single backplane
US7707319B2 (en) * 2000-09-18 2010-04-27 Rockwell Automation Technologies, Inc. Noninvasive testing of network interface error codes for safety network
US6618628B1 (en) * 2000-10-05 2003-09-09 Karl A. Davlin Distributed input/output control systems and methods
DE10053763C2 (de) * 2000-10-30 2002-10-17 Pilz Gmbh & Co Feldbussystem zum Steuern von sicherheitskritischen Prozessen sowie Busanschaltmodul zur Verwendung in einem solchen Feldbussystem
US6915444B2 (en) * 2001-09-12 2005-07-05 Rockwell Automation Technologies, Inc. Network independent safety protocol for industrial controller using data manipulation techniques
US7107358B2 (en) * 2001-09-12 2006-09-12 Rockwell Automation Technologies, Inc. Bridge for an industrial control system using data manipulation techniques
US7325162B2 (en) 2002-03-28 2008-01-29 Siemens Energy & Automation, Inc. Configurable multiple channel discrete output module
US7330768B2 (en) * 2003-01-28 2008-02-12 Fisher-Rosemount Systems, Inc. Integrated configuration in a process plant having a process control system and a safety system
US7865251B2 (en) 2003-01-28 2011-01-04 Fisher-Rosemount Systems, Inc. Method for intercontroller communications in a safety instrumented system or a process control system
KR100596755B1 (ko) * 2003-05-30 2006-07-04 엘지전자 주식회사 홈 네트워크 시스템
KR100605216B1 (ko) * 2003-05-30 2006-07-31 엘지전자 주식회사 네트워크 디바이스
KR100605218B1 (ko) 2003-05-30 2006-07-31 엘지전자 주식회사 홈 네트워크 시스템
KR100638017B1 (ko) * 2003-05-30 2006-10-23 엘지전자 주식회사 네트워크 디바이스
JP2006526305A (ja) * 2003-05-30 2006-11-16 エルジー エレクトロニクス インコーポレイティド ホームネットワークシステム
JP2006040122A (ja) * 2004-07-29 2006-02-09 Toyoda Mach Works Ltd プログラマブルコントローラ
US8055814B2 (en) * 2005-03-18 2011-11-08 Rockwell Automation Technologies, Inc. Universal safety I/O module
US8942834B2 (en) * 2005-06-27 2015-01-27 Rockwell Automation Technologies, Inc. Method and apparatus for communicating transactions between an industrial controller and a programming interface
US7319406B2 (en) * 2005-09-30 2008-01-15 Rockwell Automation Technologies, Inc. System and method of channel serialization in a safety I/O product
AT504739B1 (de) * 2007-01-08 2013-09-15 Bernecker & Rainer Ind Elektronik Gmbh Anordnung und ein verfahren zur sicheren datenkommunikation über ein nicht sicheres netzwerk
US8500706B2 (en) 2007-03-23 2013-08-06 Allegiance Corporation Fluid collection and disposal system having interchangeable collection and other features and methods relating thereto
US9889239B2 (en) * 2007-03-23 2018-02-13 Allegiance Corporation Fluid collection and disposal system and related methods
US7941229B2 (en) * 2007-06-06 2011-05-10 Rockwell Automation Technologies, Inc. High-speed sequential sampling of I/O data for industrial control
US7914821B2 (en) * 2008-03-07 2011-03-29 KO DA Pharmaceuticals Co., Ltd. Pharmaceutical composition for prevention and/or treatment of bone loss
EP2109244A1 (de) * 2008-04-09 2009-10-14 Siemens Aktiengesellschaft Verfahren zur sicherheitsgerichteten Übertragung Sicherheitsschaltgerät und Kontrolleinheit
WO2011008961A1 (en) 2009-07-15 2011-01-20 Allegiance Corporation Fluid collection and disposal system and related methods
CH704209A1 (de) 2010-12-15 2012-06-15 Ferag Ag Vorrichtung und Verfahren zur Steuerung des Transports und der Bearbeitung von, insbesondere flächigen, Produkten.
US8278779B2 (en) 2011-02-07 2012-10-02 General Electric Company System and method for providing redundant power to a device
US8643225B2 (en) 2011-03-14 2014-02-04 Rockwell Automation Technologies, Inc. Lock-out, tag-out system using safety network
US8688247B2 (en) 2011-04-06 2014-04-01 Rockwell Automation Technologies, Inc. Lock-out, tag-out system using safety programmable logic controller
DE102011107323A1 (de) * 2011-07-06 2013-01-10 Abb Ag Verfahren zur Übertragung eines Prozessabbildes über ein Gateway-Gerät
DE102011081804B4 (de) * 2011-08-30 2015-02-12 Siemens Aktiengesellschaft Verfahren und System zum Bereitstellen von gerätespezifischen Betreiberdaten, welche an ein Authentisierungs-Credential gebunden werden, für ein Automatisierungsgerät einer Automatisierungsanlage
DE102011081803A1 (de) * 2011-08-30 2013-02-28 Siemens Aktiengesellschaft Verfahren und System zum Bereitstellen von gerätespezifischen Eigenschaftsdaten für ein Automatisierungsgerät einer Automatisierungsanlage
US10042354B2 (en) 2015-06-02 2018-08-07 Rockwell Automation Technologies, Inc. Security system for industrial control infrastructure using dynamic signatures
US9817391B2 (en) 2015-06-02 2017-11-14 Rockwell Automation Technologies, Inc. Security system for industrial control infrastructure
US9898607B2 (en) 2015-06-02 2018-02-20 Rockwell Automation Technologies, Inc. Rapid configuration security system for industrial control infrastructure
US9904785B2 (en) 2015-06-02 2018-02-27 Rockwell Automation Technologies, Inc. Active response security system for industrial control infrastructure
US10102700B2 (en) * 2017-01-26 2018-10-16 Jean Hugues Wendling System and method for entry access control using radio frequency communication
DE102018212557A1 (de) * 2018-07-27 2020-01-30 Dr. Johannes Heidenhain Gmbh Verfahren zur sicheren Datenkommunikation an einer numerisch gesteuerten Werkzeugmaschine
US11424865B2 (en) 2020-12-10 2022-08-23 Fisher-Rosemount Systems, Inc. Variable-level integrity checks for communications in process control environments

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4995040A (en) * 1989-02-03 1991-02-19 Rockwell International Corporation Apparatus for management, comparison, and correction of redundant digital data
US5155729A (en) * 1990-05-02 1992-10-13 Rolm Systems Fault recovery in systems utilizing redundant processor arrangements
US5508910A (en) * 1994-09-26 1996-04-16 Forney International, Inc. Redundant analog I/O board system
WO1997011565A2 (en) 1995-09-21 1997-03-27 Motorola Inc. Embedded protocol
US6167547A (en) * 1996-06-20 2000-12-26 Ce Nuclear Power Llc Automatic self-test system utilizing multi-sensor, multi-channel redundant monitoring and control circuits
US6560202B1 (en) 1998-07-27 2003-05-06 Lucent Technologies Inc. Control architecture using a multi-layer embedded signal status protocol
US6148414A (en) * 1998-09-24 2000-11-14 Seek Systems, Inc. Methods and systems for implementing shared disk array management functions
US6473660B1 (en) * 1999-12-03 2002-10-29 The Foxboro Company Process control system and method with automatic fault avoidance

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8867369B2 (en) 2010-03-16 2014-10-21 Fujitsu Limited Input/output connection device, information processing device, and method for inspecting input/output device
US11677495B2 (en) 2019-04-16 2023-06-13 Mitsubishi Electric Corporation Safety communication device, safety communication system, safety communication method, and computer readable medium

Also Published As

Publication number Publication date
EP1240561A1 (en) 2002-09-18
ATE507516T1 (de) 2011-05-15
AU2598101A (en) 2001-07-03
EP1240561B1 (en) 2011-04-27
DE60045896D1 (de) 2011-06-09
US6721900B1 (en) 2004-04-13
WO2001046765A1 (en) 2001-06-28
JP4307776B2 (ja) 2009-08-05

Similar Documents

Publication Publication Date Title
JP2003518356A (ja) 削減された帯域幅要件を有する産業用制御装置用安全ネットワーク
US6891850B1 (en) Network independent safety protocol for industrial controller
US6909923B2 (en) Safety communication on a single backplane
US6631476B1 (en) Safety network for industrial controller providing redundant connections on single media
US6701198B1 (en) Safety network for industrial controller allowing initialization on standard networks
US6915444B2 (en) Network independent safety protocol for industrial controller using data manipulation techniques
EP2262152B1 (en) Bridge for an industrial control system using data manipulation techniques
US8209594B2 (en) Sending device, receiving device, communication control device, communication system, and communication control method
US7076715B2 (en) Safety network using phantom address information
EP3772841A1 (en) A security module for a can node
CN109120430A (zh) 一种保证数据通信可靠性的方法
US20080091819A1 (en) Ethernet Ping Watchdog
JP3850841B2 (ja) データパケットの安全送信の監視方法および装置
US7802150B2 (en) Ensuring maximum reaction times in complex or distributed safe and/or nonsafe systems
EP4199435B1 (en) Apparatus for a controller area network
EP4213448A1 (en) Controller area network module and method for the module
JP4468354B2 (ja) ネットワークにおいて通信をモニタする方法
JPS63267039A (ja) ネツトワ−クシステム
JP2541492B2 (ja) マイクロプロセッサ遠隔リセット方式
JPS61163760A (ja) 端末用通信インタフエイス
CN117203945A (zh) 用于通信网络的方法和系统
JPH0569334B2 (ja)
JP2001126166A (ja) アナンシエータ制御装置
JPS6394733A (ja) 信号伝送装置
JPH0683186B2 (ja) デ−タ通信方式

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20050829

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20050927

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20051226

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20060112

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20060613

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20061011

A911 Transfer to examiner for re-examination before appeal (zenchi)

Free format text: JAPANESE INTERMEDIATE CODE: A911

Effective date: 20070209

A912 Re-examination (zenchi) completed and case transferred to appeal board

Free format text: JAPANESE INTERMEDIATE CODE: A912

Effective date: 20070223

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20090430

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120515

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120515

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130515

Year of fee payment: 4

LAPS Cancellation because of no payment of annual fees