JP2008047107A - プロセス制御 - Google Patents

Abstract

【課題】プロセス制御を極力安全にする。
【解決手段】少なくとも１つのプロセスモジュールと少なくとも１つの保安モジュールとにより、少なくとも１つの制御すべきプロセス装置が制御され、保安に無関係のプロセスモジュールのプロセス信号と、プロセスの保安に関係する保安モジュールの保安信号とが互いに論理的に結合されており、ローカル保安センサの少なくとも１つのローカル保安信号が、プロセス装置に関連するローカル制御ユニットの少なくとも１つの制御出力に直接供給されると同時に、この論理結合操作を迂回して、制御出力に接続された制御すべきプロセス装置にて高速状態変更を行い、高速スイッチングパスが高速スイッチング機能を含み、この高速スイッチング機能により、論理結合操作の結果とローカル保安信号とが共に評価され、制御すべきプロセス装置での高速状態変更は再度変更され、特に、共有の評価が所定の結果を生む場合に再度反転される。
【選択図】図１

Description

本発明は、プロセス制御の方法及びシステムに関する。

オートメーション工学及びプロセス工学の多くの応用例では、プロセス制御が実際の作業プロセスを制御しなければならないだけでなく、安全面も考慮されねばならない。プロセス装置、例えばアクチュエータの制御において、プロセスデータと保安データとを組み合わせること、又はそれらのデータに対応する信号を組み合わせることが必要になる場合がある。それは例えば、安全性に不可欠な、アクチュエータにより駆動される機械部分の動作、あるいは、人体や生産財にとって危険な動作をいずれも実際のプロセス制御により監視するとともに、緊急事態又は故障が生じた場合に保安制御によりスイッチオフにすべき場合である。

プロセス制御と保安制御とを組み合わせるための様々な方法が既に知られている。

或る方法によれば、プロセス制御と保安制御とは互いに別のものである。プロセス装置の実際の作業プロセスの制御は、プロセス制御によって行われる。エラーが生じた場合、保安制御はプロセス制御と関係なくプロセス装置への電源供給をスイッチオフにする。これによって、プロセス装置は制御されていないやり方で停止する。これを改良した解決策が存在しており、その解決策では、一方でプロセス制御のためのスイッチ入力と、他方で保安制御のためのスイッチ入力とを別々に含むるいわゆる安全策を「統合」したアクチュエータを使用する。

更なる公知の方法によれば、一方でプロセス論理、他方で保安論理が、保安制御において互いに組み合わされている。このプロセスでは保安制御においてプロセスデータと保安データとが考慮され、制御すべきプロセス装置には合成信号のみが通信される。このプロセスでは、プロセス制御と保安制御との間でデータ交換が必要となることが不利である。実際にはフィールドバスシステムの利用が増加しているため、公知であるこの方法を使用する際、プロセス制御と保安制御との両方において、共有の通信プロトコルを実施しなければならない。

更なる公知の方法では、保安制御によりプロセス制御からプロセス装置へのデータの流れを監視することが提案されている。ところが、上述した公知の方法と同様に、ここでも保安制御の保安プログラムにおいてプロセス制御のデータを考慮しなければならないことが不利である。これによって保安制御における計算労力が増大するだけでなく、プロセス制御と保安制御との間の通信関係も必要となる。

更に問題なこととして、保安プログラムにおけるプロセスデータと保安データのデータ交換がしばしば危険なものとなる。というのも、特に利用者が未熟であるために、保安機能に関してプロセス制御の信頼できない入力信号（安全に記録されない入力信号）のみが使用されるという危険性があるからである。従って例えば、信頼できない入力モジュールにおいて「非常停止」に対応する信号が読み込まれ、これによって、保安制御においてデータ交換が行われることに起因して、アクチュエータが危険な動作をするよう制御される構成が誤って実行されることがある。このことは、実際の使用にとって許容できないほど安全鎖が破損することを意味する。

決定的に改良されたプロセス制御のやり方が、本出願人の独国特許出願DE-A-10 2004 018642から公知である。

プロセス信号及び保安信号の論理結合操作用に作られたローカル制御ユニットは、制御すべきプロセス装置、例えばアクチュエータ用に中が構成されている。制御ユニットは、プロセス信号と保安信号とを処理し、その論理結合操作の結果を、アクチュエータが接続されたその制御出力に提供する。それ故に、制御ユニットの制御出力は安全を目的とする出力であり、標準信号とも称される信頼できないプロセス信号を考慮しつつ制御される。

ローカル制御ユニットをこのように提供することにより、プロセス制御の有利な分散化が達成され、これにより特に部品の数が少なくてすむ。制御の論理は、ローカル制御ユニットにおけるプロセス信号と保安信号とを結合することにより、分散型ローカル制御ユニットにいわば移動される。ローカル制御ユニットにおけるプロセス制御と保安制御との一致を監視することは、特に、プロセス信号及び保安信号の論理結合操作により行うことができ、これによって、特に高度の安全性が達成される。単にこの制御ユニットを取り付けることによって、しかも実際にプロセス制御及び保安制御のための既存のモジュールを維持しつつ、既存の設備を改装できることは更に有利である。

安全性に関して、公知であるこの方法及び公知であるこのシステムは、いわゆるローカル構成又はいわゆるリモート構成のいずれかで実現することができる。ローカル変形では、保安モジュールは制御ユニットに直接接続されており、特に、制御ユニットの領域、従って制御すべきプロセス装置の領域に配置されている。リモート変形では、保安モジュールは、プロセスモジュールと同様に、特にフィールドバスシステムの形態である共有の通信システムを介して制御ユニットに接続されている。

リモート変形では、プロセスデータと保安データとはローカル制御ユニットにおいて結合されるため、保安制御とプロセス制御との間で通信関係が起こる必要がないことが特に有利である。更に、保安制御では、信号の論理結合操作のために高い計算能力を利用可能にしておく必要はない。このことにより、費用及び性能に関して最適化された解決法を利用者に提供することができる。

一方で制御ユニットと、他方で保安制御及びプロセス制御との間に既存の２つの通信関係があるため、制御ユニットの制御出力で生じる任意のエラーを保安制御及びプロセス制御に同時に報告できることは更に有利である。制御ユニットから保安制御を介してプロセス制御までエラー診断を保持することは特に必要ない。

特に、ローカル変形において、ここで保安モジュールが制御ユニットに直接接続される、既存の通信システム（このシステムを介してプロセス制御がローカル制御ユニットと通信する）、特にフィールドバスシステムに保安部品を更に統合しなくても、プロセス制御が、制御ユニットのエラーの危険のない制御出力にアクセスできることが有利である。特に、信頼性の低い既存のフィールドバスシステムに、対応するバスモジュールを統合することができる。

プロセスシステムでは、制御ユニットに直接接続された保安モジュールの他には付加的な保安制御が必要でないことから、利用者にとってはかなりの費用削減がもたらされる。ローカル制御ユニットに設けられた保安モジュール用のローカル保安入力があれば、プロセス信号を考慮しつつ、制御ユニットの安全なローカル制御出力を直接制御することができる。

先行技術に関して、DE 199 28 517 C2、DE 199 25 693 A1、DE 102 01 212 A1、DE 102 11 939 A1、DE 102 11 938 A1、DE 199 22 561 A1との関連においても全体的に参照する。

DE-A 10 2004 018642によるプロセス制御によって、既に特に改良されているにもかかわらず、必要となる信号処理、特に論理処理では、使用する保安センサの応答時間が増大するという不利点が残る。信号処理に付随するデータ転送でも応答時間が増加し、従って設備で確保すべき安全距離も増加する。１例として、非接触式に働く保護装置を用いた応用例では、通常の応答時間は一般に、７０〜３００ｍｓの範囲内で起きることに言及することができる。この範囲は、約６０ｃｍの安全距離に相当する。多くの応用例で、これらの安全距離が低減されることが望ましい。

保安バスシステムの使用に関連して生じる更なる不利点とは、保安信号におけるデータ転送速度がタイムクリティカルセンサの応答時間によって決まるという事実を含むことである。タイムクリティカルセンサは特に、必要となる応答時間が特に少ない光グリッドである。従って、保安バスシステムにわたって特に高速なデータ転送も必要となり、結果として高バス負荷を生じる。高バス負荷のせいで、対応するネットワークでの加入者の数が限定されるという結論になる。
DE 199 28 517 C2 DE 199 25 693 A1 DE 102 01 212 A1 DE 102 11 939 A1 DE 102 11 938 A1 DE 199 22 561 A1 DE-A 10 2004 018642

極力簡単かつ費用面で好ましく、システムに起因する応答時間が更に極力短縮されるやり方で、プロセス制御を極力安全にすることが本発明の目的である。

この目的は、一方で、独立請求項（方法クレーム）である請求項１の特徴により満足される。従って、保安に無関係のプロセスモジュールのプロセス信号と、プロセスの保安に関係する保安モジュールの保安信号とが互いに論理的に結合される。ローカル保安センサの少なくとも１つのローカル保安信号は、プロセス装置に関連するローカル制御ユニットの少なくとも１つの制御出力に直接供給されると同時に、高速スイッチングパスを介してこの論理結合操作を迂回して、上記制御出力に接続された上記制御すべきプロセス装置での高速状態変更を行う。これに関連して、上記高速スイッチングパスは高速スイッチング機能を含み、この高速スイッチング機能により、上記論理結合操作の結果と上記ローカル保安信号とが合同で評価され、上記高速スイッチングパスを介して得られる高速状態変更が、上記制御すべきプロセス装置にて再度変更され、特に、合同の評価が所定の結果を生む場合又はその直後に、再度反転される。

他方で、本発明の基礎となる目的は、従属請求項（装置クレーム）の特徴により満足される。従って、上記制御すべきプロセス装置は、上記プロセス装置に関連するローカル制御ユニットの上記制御出力に接続されており、保安に無関係の上記プロセスモジュールのプロセス信号と、上記プロセスの保安に関係する上記保安モジュールの保安信号とを互いに論理的に結合できる論理モジュールが提供される。更に、少なくとも１つのローカル保安入力が提供され、このローカル保安入力のローカル保安センサのローカル保安信号を上記制御ユニットの上記制御出力に直接供給できると同時に、上記論理モジュールを迂回して、上記制御すべきプロセス装置にて高速状態変更を行うことができる。更に、高速スイッチングモジュールが提供され、この高速スイッチングモジュールにより、上記論理結合操作の結果と上記ローカル保安入力にわたって供給される上記ローカル保安信号とを共に評価することができ、上記高速スイッチングモジュールは、上記制御すべきプロセス装置にて得られた高速状態変更を再度変更して、特に、共有の評価が所定の結果を生む場合又はその直後に、高速状態変更を再度反転するように構成されている。

従って、上で説明した本発明による上記プロセスに関して、上記高速スイッチング機能は上記高速スイッチングモジュールに統合されており、従って、この高速スイッチングモジュールは上記高速スイッチングパスの構成要素を成し、この高速スイッチングパスは上記ローカル制御ユニット（出力モジュール）の上記ローカル保安入力及び上記制御出力も含む。

上記制御出力又は上記プロセス装置の上記（高速）直接制御に使用される上記少なくとも１つのローカル保安信号と、少なくとも１つのプロセス信号への上記（低速）論理結合操作用に提供される少なくとも１つのローカル保安信号とは同一とすることができるが、同一にしなければならないわけではない。

最初に説明したDE-A-10 2004 018642号によるプロセス制御と同様に、本発明によれば、上記プロセス信号と上記保安信号との論理結合操作も行われる。一方で、本発明によれば、この論理結合操作が、上記制御すべきプロセス装置に関連するローカル制御ユニット（出力モジュールとも呼ばれる）で行われるのか、それとも別の位置、例えば中央の、又はより高階級の保安ＭＰＣで行われるかは問題ではない。上記ローカル制御ユニットは、本発明による上記論理結合操作を実行するように構成することができる（ただし、そうしなければならないわけではない）。即ち、上記高速スイッチング機能は基本的に、上記ローカル制御ユニット内部で対応する論理素子を提供することとは無関係である。

本発明はむしろ、ローカル保安信号、特に、監視機能又は安全機能を実行するローカル保安センサの保安信号が提供され、この保安信号が、上記制御すべきプロセス装置に直接、実際には特に上記プロセス装置に関連するローカル制御ユニット（出力モジュール）の制御出力を介して、供給されることを特徴としている。

本発明による上記プロセス装置の、上記ローカル保安信号によるこの直接制御はここでは高速スイッチングパスと呼ばれ、この高速スイッチングパスは、時間のかかる信号ランタイム及びデータ処理ステップ、特に、言及した上記保安信号と上記プロセス信号との上記論理結合操作が回避又は迂回されることを特徴としている。このようにして、上記制御すべきプロセス装置にて、非常に高速な状態変更、例えばそのスイッチオフを達成することができる。このようにして、対応する保安センサに関する応答時間を例えば上述の７０〜３００ｍｓから約１〜１０ｍｓに低減することができ、これは安全距離を約６０ｃｍ〜２ｃｍにするというかなりの低減に等しくなる。

ところで、本発明がローカル保安信号による高速制御に勝っている点として、一方で、上記プロセス信号と上記保安信号との上記論理結合操作の（低速）結果と、他方で、上記制御すべきプロセス装置に直接供給される上記（高速）ローカル保安信号とを共に評価する高速スイッチング機能も提供されているということがあり、この評価は実際には、評価が特定の結果を生む場合に、上記高速ローカル保安信号によって行われた高速状態変更、例えばそのスイッチオフを、上記制御すべきプロセス装置にて再度変更する（つまり例えば上記プロセス装置をオンに戻す）ことを目的に行われる。

例えば、上記プロセス信号と上記保安信号との上記論理結合操作の結論として生成された上記制御信号（上記論理結合操作の結果）が上記ローカル保安信号としての同一信号曲線を表すとき、新たな状態変更が行われる。例えば上記論理結合操作から生じる上記制御信号と、上記高速スイッチング機能により実行される上記ローカル保安信号との共有の評価が、上記高速状態変更が正当化されたという結果を有する場合、つまり上記論理結合操作が上記高速状態変更を確認又は認識する場合（多かれ少なかれその後に）、新たな状態変更に必要な要件として、この論理結合操作の結果が必要となることがある。上記ローカル保安センサが再度その元の状態に戻されたとき、かつ、この状態が上記論理結合操作によっても確認又は認識されたときには、例えば実際に反復状態変更を行うことしかできない。その後初めて、例えば、両方の信号、即ち上記制御信号（上記論理結合操作の結果）と上記ローカル保安信号とが再度活性となり、即ち「安全な」状態を信号送信し、その結果、新たな状態変更をトリガすることができ、つまり例えば上記ローカル制御ユニットの上記制御出力を再度解放して、上記制御出力に接続され予め高速でオフにされたプロセス装置をオンに戻すことができる。

従って、一般用語で表現すると、実施形態によれば、上記論理結合操作の結果により上記高速状態変更が確認され、好ましくは反復変更が起きるのみであるとき、及び、上記ローカル保安信号の伝送前の状態に応じて、上記ローカル保安センサが或る状態、特に安全な状態に変更したとき、及び、この状態が同様に上記論理結合操作の結果により確認されたときに、上記制御すべきプロセス装置での高速状態変更が再度変更されるのみであることが提供される。

一般に、本発明によれば、上記論理結合操作の結果が、伝送による上記直接的なローカル保安信号よりも遅く上記高速スイッチング機能の場所に達し、上記システムにおいて処理時間が存在するという状況が利用される。従って、本発明により実際に排除すべきである信号遅延というこの不利点は、いわゆるリスタート抑制に有利に利用することができ、このリスタート抑制により、上記高速ローカル保安信号によって行われる、上記制御すべきプロセス装置での高速状態変更に続いて、更なる状態変更（特にオンに戻すこと）が尚早に起きることが防止される。

既に言及したように、本発明の大きな利点は、応答時間の低減が達成できることであり、これを特に、非接触式に働く保護装置を有する応用例に関連して示す。言及したように、１〜１０ｍｓに低減すること（約２ｃｍの安全距離に相当する）により、通常のバスシステム、例えばPROFSAFE、DEVICENEt Safety、SafetyBus pが利用可能となり、その他の保安バスシステムも利用可能となる。

本発明によれば、非常に少ない応答時間を要するタイムクリティカル信号、つまり例えば保安センサからのローカル保安信号を、上記制御すべきプロセス装置に、又は上記プロセス装置が接続されたローカル制御ユニットに直接供給できることから、高バス負荷に関連して同様に最初に言及した問題も排除される。

上記ローカル保安信号により上記プロセス装置を直接制御することで、これによって低減される、例えば上記ローカル保安信号を出力するローカル保安センサの応答時間が、一定のシステムパラメータであることは更に有利である。従って、応答時間は特に、データ伝送速度、保安バスシステム、又は使用する論理の構成と無関係である。例えば上記ＭＰＣ内で後に論理展開すること、又はネットワーク内に素子を付加することも、応答時間に影響することなく有利なままである。

本発明による上記高速スイッチング機能を用いて上記高速状態変更に続けて達成できるロッキングにより、利用者は、上記保安ＭＰＣにおいて通常のやり方で、中央でプログラムを構造化することが更に可能となる。上記分散した高速スイッチング機能を考慮することは必要ではない。全ての上記保安信号（上記高速スイッチング機能に作用し上記ローカル保安信号と共に評価される保安信号を含む）は、上記保安ＭＰＣにおけるそれぞれの要求に従って、互いに論理的に結合することができる。その場合、上記ローカル制御出力、即ち上記制御すべきプロセス装置に作用することになるそれらのスイッチング信号のみを、分散した、又はローカル制御ユニット（出力モジュール）内で選択すればよい。

上記高速スイッチング機能の概念は、上記対応する保安装置により既存の設備を簡単に改装するのを可能にする。標準ＭＰＣの既存のプログラムを維持することができ、同時に安全距離を低減し、これにより、本発明による上記高速スイッチング機能の設けられたローカル制御ユニットを取り付けることで、プロセスルーチンを最適化することができる。

従属請求項、詳細な説明、及び図面において、本発明の更なる好適な実施形態を示す。

既に上で示したように、上記高速スイッチング機能は上記ローカル制御ユニットにおいて実行するのが好ましい。

保安に無関係の上記プロセスモジュールの上記プロセス信号と、上記プロセスの保安に関係する上記保安モジュールの上記保安信号との論理結合操作は、上記ローカル制御ユニット内で同様に行うことができる。別法では、この論理結合操作を、特に保安ＭＰＣの形態で提供される、中央の、又はより高階級の保安モジュールで行うことができる。

上記プロセス制御システムに関しては、上記高速スイッチングモジュールは上記制御ユニットに統合されているのが好ましい。上記論理モジュールは、上記制御ユニットに、あるいは、中央の、又はより高階級の保安モジュール、特に保安ＭＰＣに統合することができる。上記高速スイッチングモジュールは、上記制御ユニットの上記制御出力の前に接続し、特に上記論理モジュールと上記制御出力との間で接続することが更に好ましい。

既に上で示したように、上記プロセス信号と上記保安信号との上記論理結合操作は、分散して（ローカルに）、例えば上記ローカル又は分散した制御ユニットにおいて、又は、中央で、例えばより高階級の保安ＭＰＣにおいてのいずれかで行うことができる。本発明の更なる実施形態に関連する以下の記述には、分散した、又はローカルの論理結合操作を有する変形のみに関連しているものもあり、両方の変形に関連しているもの、従って上記論理結合操作が起きる場所から独立しているものもある。

本発明の実施形態によれば、上記プロセス信号に論理的に結合される少なくとも１つの保安信号そのものを、上記プロセスの保安に関係する複数の保安信号の論理結合操作により形成される。これによって、ローカルな論理結合操作の場合、上記ローカル制御ユニットを用いて、いわば分散型保安制御を実現することができ、一般に任意に複雑にすることができる。

本発明の更なる実施形態によれば、信号入力パターンが不一致のときには上記制御出力が安全な状態で維持されるように、上記プロセス信号と上記保安信号との上記論理結合操作が設計されるとき、特に高度な安全性が達成される。

上記プロセス信号と上記保安信号との論理結合操作は、論理ＡＮＤ結合として設計されるのが好ましい。

従って、上記プロセス信号に結合すべき上記保安信号そのものを、上記プロセスの保安に関係する保安信号の論理結合操作により生成する場合には、これらの保安信号の上記論理結合操作を論理ＡＮＤ結合として設計するのが好ましい。

一方で、上記論理結合操作は一般に、所望する任意の形態を導入することができる。

既に最初に示したように、本発明による上記プロセス制御システムの好適な実施形態では、少なくとも上記プロセスモジュールがフィールドバスシステムを介して上記ローカル制御ユニットに接続される。

いわゆるリモート変形では、上記プロセスモジュール及び上記保安モジュールを、上記制御ユニットから離して配置し、共用の通信システム、特にフィールドバスシステムを介して上記制御ユニットに接続するのが好ましい。

いわゆるローカル変形では、上記プロセスモジュールを、上記制御ユニットから離して配置して、中央の通信システム、特にフィールドバスシステムを介して上記制御ユニットに接続し、特に保安センサの形態で提供される上記保安モジュールは、上記制御ユニットの領域でローカルな場所、特に上記プロセスモジュールから離れた場所に配置し、上記制御ユニットに直接接続するのを提供することが好ましい。

プロセスモジュールは、ＭＰＣ（メモリ・プログラマブル・コントロール）の形態で提供するのが好ましい。

保安モジュールは、保安センサの形態で提供されるのが好ましいが、一般に、特にＭＰＣの形態の保安制御も含むことができる。

本発明の更なる実施形態によれば、上記制御ユニットは、保安信号用の複数の保安入力を含むことができ、これらの保安入力は、上記論理モジュールによって互いに論理的に結合して合成保安信号を形成することができ、上記合成保安信号はここでも上記論理モジュールによって上記プロセス信号に論理的に結合することができる。

更に安全性を高めるために、少なくとも１つの制御すべきプロセス装置用に、特にあらゆる制御すべきプロセス装置用に、上記制御ユニット内に複数のチャンネル、特に２つのチャンネルを提供し、上記チャンネルは各々、プロセス信号及び保安信号の上記論理結合操作用に構成するのを提供することが好ましい。各チャンネルは、独立した保安スイッチオフ経路として構成し、制御すべき各プロセス装置ごとに複数の独立したスイッチオフ経路、特に２つのこのような経路を設けることができるのが好ましい。

本発明の更なる実施形態によれば、上記制御ユニットの上記制御出力用の電圧供給を、論理信号経路とは別に、及び／又は、上記プロセス装置への電圧供給とは別に提供することで、第３の独立した保安スイッチオフ経路を実現することができる。このようにして、上記制御出力を確実に遮断するという付加的な可能性がもたらされる。

本発明によれば、更に択一的又は付加的に、上記プロセス信号を、ローカル保安入力及び／又は非保安関連ローカル信号入力を介して上記制御ユニットに供給することを提供することができる。従って、上記ローカル制御ユニットの上記ローカル保安入力又は非保安関連の上記信号入力により、非保安関連プロセスデータを読み込んで結合することもできる。

以下、図面を参照して例示することにより本発明を説明する。

以下で特に断りがない限り、「プロセス」で始まる用語、例えばプロセス制御、プロセスデータ、プロセス信号は、安全面とは直接関係がないことを意味する。即ち、プロセス制御は実際の作業プロセスのみに関連し、プロセス信号及び／又はプロセスデータはいかなる保安信号又は保安データも含まず、いわゆる信頼できない信号又はデータのみを表す。実際に「プロセスの世界」と「安全の世界」を区別するために、用語「プロセス」の代わりに、用語「標準」を使用するということをやはり注記せねばならない。

以下で説明する本発明の３つの変形では、論理モジュール１９において、プロセスＭＰＣ１３のプロセス信号Ｐと、１つ以上の保安モジュール１５、１５’の保安信号Ｓ、Ｓ”との結合、実際に、中央の、又はより高階級の保安ＭＰＣ１５（図３の変形ではない）の保安信号Ｓとの結合、ならびにローカル保安センサ１５’の保安信号Ｓ”との結合が起きることが共通である。論理結合操作に関して、図１及び図３による変形では、この目的で提供される論理モジュール１９がローカル制御ユニット１７に統合されているのに対して、図４による変形では、より高階級の保安ＭＰＣ１５が論理モジュール１９を含むという点で差異がある。

説明する本発明の３つの変形は、論理結合操作の結果３５が、以下でより詳細に説明するローカル制御ユニット１７の高速スイッチングモジュール３１に供給され、そこでは、保安センサ１５’の少なくとも１つのローカル保安信号Ｓ’により、この制御信号３５の共有の評価が行われるという点で一致している。このローカル保安信号は同様に以下でより詳細に考察する。実施形態において制御ユニット１７に統合された高速スイッチングモジュール３１は、制御ユニット１７の論理モジュール１９と制御出力２１との間で接続されており、この制御出力に、制御すべきプロセス装置１１が接続されている。

既に上で言及したように、論理結合操作用に提供される保安信号Ｓ’と、プロセス装置１１の直接制御用に提供される保安信号Ｓ’とは同一のものとすることができるが、これは強制ではない。

図１及び図４によるリモート変形では、プロセスＭＰＣ１３と保安ＭＰＣ１５が、フィールドバスシステム２７を介して、信号入力２３及び２５においてフィールドバス２７に接続された制御ユニット１７と通信しており、この制御ユニットは、制御すべきプロセス装置１１の保安対象の制御出力２１を有する。制御すべきプロセス装置１１は、例えば加工機械のアクチュエータ又はモータとすることができ、或る状況下で人体又は生産財にとって危険となり得る動作を実行することができる。保安ＭＰＣ１５はこのような安全性にとって危険な手順を防止するために提供されるのに対して、プロセスＭＰＣ１３は、安全面と無関係に実際の作業プロセスを制御する。

制御ユニット１７を１つのみ図示しており、これにプロセス装置１１が１つのみ接続されている。一般に、プロセス制御１３及び保安制御１５は、フィールドバスシステム２７に接続された所望する任意の数の制御ユニット１７を、従って任意の数のプロセス装置１１を制御することができる。１つの制御ユニット１７に複数のプロセス装置１１を接続することが一般的に更に可能である。この場合、制御ユニット１７には、複数の保安対象の制御出力２１が提供される。

いずれの場合も、図に破線で示す信号経路は、中央通信システム、例えばフィールドバスシステム２７を提供することが必ずしも必須ではなく、プロセス制御１３及び保安制御１５がこの場合、対応する信号入力に装備されている、制御ユニット１７と直接通信することもできるということを示している。

更に、説明する３つの変形の各々では、例えば光グリッド又は一般的に任意の種類の別の保安装置である保安センサ１５’が提供される。

保安センサ１５’は、図１の実施形態で供給されるローカル保安信号Ｓ’及びＳ”を、一方で、高速変更経路２９を介して、既に言及した高速スイッチングモジュール３１に送出し（信号Ｓ’）、他方で、（プロセス信号Ｐと、より高階級の保安ＭＰＣ１５の保安信号Ｓの他に）制御ユニット１７の論理モジュール１９に送出する（信号Ｓ”）。

制御ユニット１７は、それぞれの制御すべきプロセス装置１１の領域でローカルに、従って分散して配置されており、プロセスＭＰＣ１３からくるプロセス信号Ｐと、保安ＭＰＣ１５からくる保安信号Ｓと、保安センサ１５’からくるローカル保安信号Ｓ”とを処理する既に言及した論理モジュール１９を有する。これらを以下でより詳細に考察する。この信号処理操作の結果３５として、論理モジュール１９は信頼できる制御信号３５を有効にし、これらを高速スイッチングモジュール３１に伝え、そこから制御ユニット１７の制御出力２１に伝える。

図２は、制御ユニット１７の論理モジュール１９の、プロセスシステムへの埋め込みを概略示する。図示の実施形態では、制御すべきプロセス装置１１の各々に二重チャンネル制御が設けられており、２つのチャンネルは各々、同一の設計を有する。各チャンネルでは、信号入力２３を介して供給されるプロセスデータＰ、保安入力２５を介して供給される保安データＳ、ならびにローカル保安データＳ”が、制御ユニット１７の論理モジュール１９において論理ＡＮＤ結合される。この論理結合操作の結果３５により、制御ユニット１７の対応するローカル保安出力２１が制御される。

このようにして、各チャンネルでは、制御ユニット１７の安全な出力２１に作用することになるプロセスＭＰＣ１３の非保安関連信号Ｓ（図１）と、高速スイッチングモジュール３１を介して間接的に同一の安全な出力２１に作用することになる保安ＭＰＣ１５及び保安センサ１５’の保安対象の信号Ｓ及びＳ’とが論理ＡＮＤ結合される。

ここで説明する実施形態では、プロセス信号Ｐと、高階級の保安制御１５の保安対象の信号Ｓの両方が、工業用バスシステム２７を介して制御ユニット１７に伝送されることから、保安信号Ｓの伝送には、信頼できるバスプロトコルが使用される。

論理モジュール１９における論理ＡＮＤ結合は、不一致の入力パターンに対して安全な出力を安全な状態に維持する。即ち、安全な出力２１を切り替えるには、「１」が連続する信号入力パターンが必要となる。

制御ユニット１７に高速スイッチングモジュール３１が統合されていることで、まず、制御出力２１の直接制御が可能になり、従って、保安センサ１５’のローカル保安信号Ｓ’によって、この制御出力に接続されたプロセス装置１１の直接制御が可能になる。これによって、保安センサ１５’がこれに対応するローカル保安信号Ｓ’を伝送するとき、プロセス装置１１は非常に短い保安センサ１５’の応答時間で、例えばオフにすることができる。

高速スイッチングモジュール３１は付加的に高速スイッチング機能を提供する。この機能には、時間が遅れて到達する論理モジュール１９の論理結合操作の結果３５と共に、ローカル保安信号Ｓ’を評価することを含む。この共有の評価は、同様に、論理結合操作とすることができる。導入部で既に説明したように、これによっていわゆるリスタート抑制を特に実現することができる。高速スイッチング機能に基づいて、ローカル保安信号Ｓ’と制御信号３５（論理結合操作の結果）の両方が再度活性状態、例えば論理「１」により反復される安全な状態になるまでずっと、プロセス装置１１をオンに戻すことが遅延する。

しかし一方で、このための要件は、保安センサ１５’により認識された、例えば論理「０」の形態の保安信号Ｓ’で表されプロセス装置１１が高速でスイッチングオフとなる信頼できない状態が、例えば制御信号が同様に論理「０」に該当するという点で、論理結合操作、つまり制御信号３５により確認されるということである。他方で、保安センサ１５’の安全状態への移行を（例えば保安センサ１５’を形成する光グリッドへの介入を終了した後に）制御信号３５により同様に認識することが必要である。従って、プロセス装置をオンに戻すことは、ローカル保安信号Ｓ’及び制御信号３５が安全な状態（論理「１」）を報告したときにのみ行われる。

従って、この唯一の例示的手順では、論理結合操作の結果としての制御信号３５とローカル保安信号Ｓ’とが一致して展開すること（例えば論理「０」及び「１」状態のシーケンス）が反復状態変更のための要件となる。

図３によるローカル変形では、上で説明したリモート変形とは異なり、ローカル保安モジュールのみが提供されて、これが保安センサ１５として構成されている。この保安センサ１５’は、フィールドバスシステム２７を介して制御ユニット１７に接続されているのではなく、プロセスＭＰＣ１３はこのフィールドバスシステムを介して制御ユニット１７と通信している、図１及び図４の変形による保安センサ１５’は制御ユニット１７と直接通信している。

保安センサ１５’のローカル保安信号Ｓ’及びＳ”は、制御ユニット１７の制御出力２１に高速スイッチングモジュール３１を介して直接提供されており、同様に、制御ユニット１７の論理モジュール１９においてプロセスモジュール１３のプロセス信号Ｐに論理的に結合されている。

従って、制御出力２１の保安対象の制御はここではローカル保安信号Ｓ’及びＳ”によってのみ行われる。

このローカル変形では、所望する任意の数の制御ユニット１７を提供し、この制御ユニットにそれぞれ１つ以上の保安モジュール１５を接続して、各々の制御ユニットが１つ以上のプロセス装置１１を制御するようにすることもできる。

本発明によれば、一般に、混合型のシステム設計、即ち１つ以上のローカル制御ユニット１７が、リモート保安モジュール１５から保安信号Ｓを受信し（図１及び図４に対応する。いわゆるＲＳＲ（リモートセーフティリリース））、１つ以上の更なる制御ユニット１７を各々、１つ以上のローカル保安モジュール１５に直接接続する（図３及び図４に対応する。いわゆるＬＲＳ（ローカルセーフティリリース））ものも考えられる。

図４による変形では、論理モジュール１９はローカル制御ユニット１７には提供されず、プロセス信号Ｐとローカル保安信号Ｓ”との論理結合操作は、ローカル保安センサ１５’の他に提供された、より高階級の保安ＭＰＣ１５において行われる。論理処理操作の結果、つまり制御信号３５は保安ＭＰＣ１５によって、制御ユニット１７に、従って高速スイッチングモジュール３１に提供される。

本発明は、例えばProfibus、Interbus、DeviceNetという名称のバスシステム、ならびにイーサネット（登録商標）派生物等、あらゆる既存の工業用バスシステムで一般に実現可能である。その上に、本発明は、プロセスデータと保安データの両方を伝送可能な、将来のあらゆる混合型バスシステムにも適している。

図１及び図４を参照して上で説明したＲＳＲ機能は、例えばDeviceNet及びDeviceNet Safetyのバスシステム用にして実現することができる。この目的で、リモート出力モジュールとも称される保安モジュール（対象側）と、標準制御とも称されるプロセスモジュール（発信側）との間でプロセスデータを交換するために、標準DeviceNet接続を確立する。この接続を介して、いわゆる製造者独自の出力アセンブリによって、ＲＳＲ機能用の信頼できない入力データを送出することができる。更に、制御ユニットと保安ＭＰＣとの間に信頼できる通信結合が構築される。この通信接続を介して、DeviceNetデバイスのプロファイルに相当する出力アセンブリによって、ＲＳＲ機能用の信頼できる入力データが伝送される。

図３に関連して上で説明したＬＳＲ機能も、例えばバスシステムDeviceNet用にして実施することができる。この目的で、対象側（制御ユニット）と発信側（プロセスＭＰＣ）と間でのプロセスデータを交換するために、標準DeviceNet結合が確立される。この場合、この接続を介して、製造者独自の出力アセンブリによって、信頼できない入力データをＬＳＲ機能に送出することができる。そして、保安対象の同意に必要な保安信号が、制御ユニットにローカルに接続された保安センサにより生成される。

本発明による、第１変形でのプロセス制御システムの一部の略図。 図１のシステムで使用する制御ユニットの略図。 本発明による、第２変形でのプロセス制御システムの一部の略図。 本発明による、第３変形でのプロセス制御システムの一部の略図。

符号の説明

１１ プロセス装置、アクチュエータ
１３ プロセスモジュール、プロセス
６ ＭＰＣ
１５ 保安モジュール、保安ＭＰＣ
１５’ 保安モジュール、保安センサ
１７ 制御ユニット、出力モジュール
１９ 論理モジュール
２１ 制御ユニットの制御出力
２３ 制御ユニットの信号入力
２５ 制御ユニットの信号入力
２７ 通信システム、フィールドバスシステム
２９ 高速スイッチングパス
３１ 高速スイッチングモジュール
３３ ローカル保安入力
３５ 論理結合操作の結果、制御信号
Ｐ プロセスモジュールのプロセス信号
Ｓ 保安モジュールの保安信号
Ｓ’、Ｓ” ローカル保安信号

Claims (16)

1. 少なくとも１つのプロセスモジュール（１３）と少なくとも１つの保安モジュール（１５、１５’）により、少なくとも１つの制御すべきプロセス装置（１１）が制御され、
   保安に無関係の上記プロセスモジュール（１３）のプロセス信号（Ｐ）と、プロセスの保安に関係する上記保安モジュール（１５、１５’）の保安信号（Ｓ、Ｓ’、Ｓ”）とが論理結合操作で互いに論理的に結合されており、
   ローカル保安センサ（１５’）の少なくとも１つのローカル保安信号（Ｓ’）が、上記プロセス装置（１１）に関連するローカル制御ユニット（１７）の少なくとも１つの制御出力（２１）に高速スイッチングパス（２９）を介して直接供給されると同時に、この論理結合操作を迂回して、上記制御出力（２１）に接続された上記制御すべきプロセス装置（１１）にて高速状態変更を行い、
   上記高速スイッチングパス（２９）が高速スイッチング機能を含み、該高速スイッチング機能により、上記論理結合操作の結果（３５）と上記ローカル保安信号（Ｓ’）とが共に評価され、
   上記高速スイッチングパス（２９）を介して得られる上記制御すべきプロセス装置（１１）での高速状態変更が再度変更され、特に、共有の評価が所定の結果を生む場合に再度反転される、
   プロセス制御の方法。
2. 請求項１記載の方法であって、
   上記論理結合操作の上記結果（３５）により高速状態変更が確認され、好ましくは反復変更が起きるのみである場合、上記ローカル保安信号（Ｓ’）の伝送前の状態に応じて上記ローカル保安センサ（１５’）が或る状態、特に安全な状態に変更したとき、及び、この状態が同様に上記論理結合操作の上記結果（３５）により確認されたときに、上記制御すべきプロセス装置（１１）での上記高速状態変更が再度変更されるのみであることを特徴とする方法。
3. 請求項１又は２記載の方法であって、
   上記ローカル制御ユニット（１７）において上記高速スイッチング機能が実行されることを特徴とする方法。
4. 先行請求項のいずれか１項に記載の方法であって、
   上記制御ユニット（１７）において上記論理結合操作が行われることを特徴とする方法。
5. 請求項１〜３のいずれか１項に記載の方法であって、
   中央の、又はより高階級の保安モジュール（１５）において、特に、中央の、又はより高階級の保安ＭＰＣにおいて上記論理結合操作が行われることを特徴とする方法。
6. 特に先行請求項のいずれか１項記載の方法を実行する、プロセス制御のシステムであって、
   少なくとも１つの制御すべきプロセス装置（１１）と、少なくとも１つのプロセスモジュール（１３）と、少なくとも１つの保安モジュール（１５、１５’）とを有し、
   上記プロセス装置（１１）が、上記プロセス装置（１１）に関連するローカル制御ユニット（１７）の上記制御出力（２１）に接続されており、
   保安に無関係の上記プロセスモジュール（１３）のプロセス信号（Ｐ）と、プロセスの保安に関係する上記保安モジュール（１５、１５’）の保安信号（Ｓ、Ｓ’）とを互いに論理的に結合できる論理モジュール（１９）が提供されており、
   少なくとも１つのローカル保安入力（３３）が提供され、該ローカル保安入力のローカル保安センサ（１５’）のローカル保安信号（Ｓ’）を上記制御ユニット（１７）の上記制御出力（２１）に直接供給できると同時に、上記論理モジュール（１９）を迂回して上記制御すべきプロセス装置（１１）にて高速状態変更を行い、
   高速スイッチングモジュール（３１）が提供され、該高速スイッチングモジュールにより、上記論理結合操作の上記結果（３５）と上記ローカル保安入力（３３）を介して供給される上記ローカル保安信号（Ｓ’）とを共に評価することができ、上記高速スイッチングモジュール（３１）が、上記制御すべきプロセス装置（１１）にて得られた高速状態変更を再度変更して、特に、共有の評価が所定の結果を生む場合に高速状態変更を再度反転するように構成されているプロセス制御のシステム。
7. 請求項６記載のシステムであって、
   上記高速スイッチングモジュール（３１）が上記制御ユニット（１７）に統合されていることを特徴とするシステム。
8. 請求項６又は７記載のシステムであって、
   上記制御ユニット（１７）にて上記ローカル保安入力（３３）が提供されていることを特徴とするシステム。
9. 請求項６〜８のいずれか１項記載のシステムであって
   上記論理モジュール（１９）が上記制御ユニット（１７）に統合されていることを特徴とするシステム。
10. 請求項６〜８のいずれか１項記載のシステムであって、
    上記論理モジュール（１９）が、中央の、又はより高階級の保安モジュール（１５）、特に、中央の、又はより高階級の保安ＭＰＣに統合されていることを特徴とするシステム。
11. 請求項６〜１０のいずれか１項記載のシステムであって、
    上記高速スイッチングモジュール（３１）が、上記論理モジュール（１９）と上記制御ユニット（１７）の上記制御出力（２１）との間で接続されていることを特徴とするシステム。
12. 請求項６〜１１のいずれか１項記載のシステムであって、
    少なくとも上記プロセスモジュール（１３）が、上記制御ユニット（１７）にフィールドバスシステム（２７）を介して接続されていることを特徴とするシステム。
13. 請求項６〜１２のいずれか１項記載のシステムであって、
    上記プロセスモジュール（１３）と上記保安モジュール（１５）とが、上記制御ユニット（１７）から離して配置され、上記制御ユニット（１７）に、共有の通信システム（２７）、特にフィールドバスシステムを介して接続されていることを特徴とするシステム。
14. 請求項６〜１２のいずれか１項記載のシステムであって、
    上記プロセスモジュール（１３）が、上記制御ユニット（１７）から離して配置され、上記制御ユニット（１７）に、中央の通信システム（２７）、特にフィールドバスシステムを介して接続されており、上記保安モジュール（１５’）が、上記制御ユニット（１７）の領域でローカルに配置され、特に、上記プロセスモジュール（１３）から離して配置され、上記制御ユニット（１７）に直接接続されていることを特徴とするシステム。
15. 請求項６〜１４のいずれか１項記載のシステムであって、
    上記保安モジュール（１５）が、特にＭＰＣの形態の保安制御を含むことを特徴とするシステム。
16. 請求項６〜１５のいずれか１項記載のシステムであって、
    上記保安モジュール（１５’）が、少なくとも１つの保安センサを含むことを特徴とするシステム。

Images