JP2009076064A - 自動化システムの信頼性を検査するための安全指向の自動化装置の制御装置の作動方法 - Google Patents

Abstract

【課題】評価すべき自動化システムの信頼性に関する情報を定量的な信頼度で得る。
【解決手段】自動化装置の制御装置（４）に自動化システムを記述する情報（Ｉ）が予め与えられる。この情報（Ｉ）は、自動化システムがどのような要素（１〜４）を有するか、自動化システムの要素（１〜４）がどのように協働するか、どのような安全関連の信頼性情報が自動化装置の個々の要素（１〜４）に割り当てられているかを含む。制御装置（４）が、予め与えられた情報（Ｉ）に基づいて自動的に、自動化システム全体の信頼性情
報（Ｉ'，Ｉ”）を求める。
【選択図】図１

Description

本発明は、制御装置の少なくとも安全性および／または信頼性が既に検証されている自動化装置の制御装置の作動方法に関する。

自動化装置および自動化システムは一般的に知られている。これらは多くの分野において技術的なプロセスおよび設備を制御するために使用される。自動化装置および自動化システムの例が、周辺要素を備えたＣＮＣ制御（コンピュータ数値制御）、ＭＣ制御（モーション制御）およびＳＰＣ制御（ストアードプログラマブル制御）である。

多くの場合に自動化装置および自動化システムは安全指向の機能を実行する。この種の場合に当該の装置およびシステムは安全でなければならない。

この種の装置およびシステムの機能安全の検証のために危険率（例えば、ＩＥＣ６１５０８−６の補遺Ｂ）の計算が必要である。計算の基礎は機能安全に関するモデル化ならびに反復法、直線近似を介するまたは（非常に簡単なモデル化の場合に）一括解法によるこのモデル化の計算である。

種々の構成で動作可能である複雑な装置またはシステムの場合には、危険率として個々の数値が示されるだけでなく、むしろ危険率が各構成について個別に求められるべきである。この場合に、費用および（正しい）危険率の起こり得るばらつき幅が、多数の構成要素およびそれらの組合せの可能性にともなって激しく増大する。

求められた値は安全技術システムの一部である。したがって、求められた値は、これらの装置もしくはシステムの認証のために当該認証機関に提出される認証資料の構成要素でもある。

従来技術においては危険率が専門家によって算定される。一般に、この専門家は認証に必要な資料の他の部分も作成する同じ人である。専門家によって求められた危険率が認証機関によって検査される。この場合に、とりわけ、基礎をなすモデルおよびモデルの解法手段（方程式もしくはアルゴリズム）が検査される。

従来技術においては、複雑なシステムの場合に計算費用を妥当な範囲内に保つために簡略化が必要である。簡略化は、多くの構成を統合して、このうち最も危険なものを検討することにある。可能性のある構成のうち低減された個数の構成について、使用者が安全要求に応じた構成を選び得るように表にされて、相応の危険値が示される。多くの場合に、これは、予め定められた自動化課題のために考慮される自動化システムもしくは自動化装置が、当該自動化課題のために必要であるよりも安全であることをもたらす。

求めるべき危険率は安全関連の特性値である。この理由から、危険率算定の基礎をなすアルゴリズム、数値などもそれらの側で安全に関連する。したがって、一般的な計算ツール（数学プログラム、表計算など）の使用が重要である。なぜならば、この種のソフトウェアツールおよび付属のハードウェアプラットフォームには、満たすことができないか、または極めて顧客に不親切な変更でしか満たすことができない安全技術の要求がなされるからである。

本発明の課題は、評価すべき自動化システムの信頼性に関する情報を定量的な信頼度で得る可能性を提供することにある。

この課題は、請求項１による特徴を有する方法によって解決される。有利な実施態様は請求項２乃至１０に記載されている。

本発明によれば、自動化装置の制御装置に自動化システムを記述する情報が予め与えられる。この情報は、自動化システムがどのような要素を有するか、自動化システムの要素がどのように協働するか、どのような安全関連の信頼性情報が自動化システムの個々の要素に割り当てられているかを含む。制御装置は、予め与えられた情報に基づいて自動的に自動化システム全体の信頼性情報を求める。

自動化システムを記述する情報を予め与えるために、好みおよび必要に応じて互いに組み合わされ得る異なる方法が可能である。例えば、制御装置が、情報を少なくとも部分的に制御装置の内部メモリから読み出すことができる。同様に、情報が、制御装置に少なくとも部分的に制御装置の使用者によって予め与えられるとよい。更に、情報を、制御装置に少なくとも部分的にコンピュータネットワーク接続を介して予め与えることができる。更に、自動化システムが自動化装置と同一である場合に、制御装置が情報を少なくとも部分的に自動的に求めるとよい。

制御装置は、自動化システム全体について求められた信頼性情報を内部で継続処理し、あるいは他の装置（例えば、制御装置にネットワーク接続されたコンピュータ）に出力するとよい。しかし、制御装置は、制御装置によって求められた自動化システム全体に関する信頼性情報を、制御装置の使用者に対して出力することが好ましい。

制御装置は少なくとも２チャネルにて互いに独立に自動化システム全体についてそれぞれ１つの信頼性情報を求めることが好ましい。この場合に、少なくとも２チャネルにて求められた信頼性情報を制御装置が互いに比較し、比較結果自体を制御装置の使用者に対して出力する。

少なくとも２チャネルにて信頼性情報を求めることが例えばダイバーシティ方式のソフトウェア（diversity software）の処理によって行なわれるとよい。代替または追加として、制御装置が少なくとも２つの部分制御装置を有することができる。この場合に、各部分制御装置は、それぞれ他の部分制御装置に関係なく、それぞれ自動化システム全体の信頼性情報を求めるとよい。最後に述べたケースにおいて部分制御装置はダイバーシティ（diversity）に構成されているとよい。

以下における図面に基づく実施例の説明から他の利点および詳細を明らかにする。原理図にて、
図１は自動化装置の構成を模範的に示し、
図２および図３はフローチャートを示し、
図４は制御装置の実現可能な構成を示す。

図１によれば、自動化装置が種々の要素１〜４を有する。単に一例として図１には２つの入力要素１、２つの出力要素２、１つの分配要素３および１つの制御装置４が示されている。しかしながら、自動化装置は、要求に応じて、他の要素および／またはより多くのもしくはより少ない要素１〜４、特に著しく多くの要素１〜４を有する。

自動化装置により、とりわけ工業プロセス５の安全指向の機能が監視されかつ制御されるべきである。したがって、自動化装置が信頼性条件を満たすことが重要である。この場合に信頼性条件は関連規準によって規制される。信頼性条件は工業プロセス５の種類および安全指向の機能の種類に依存し得る。

自動化装置全体が、要求された信頼性条件を満たすかどうかを調べるために、自動化装置の制御装置４は、以下において図２と関連させて更に詳細に説明する方法を実行する。

図２によれば、ステップＳ１において、制御装置は、自動化装置を記述する情報Ｉを予め与えられる。この情報Ｉは自動化装置がどのような要素１〜４を有するかを含む。更に、情報Ｉは、自動化装置の要素１〜４がどのように協働するかを、特に要素１〜４のトポロジーを含む。更に、情報Ｉは、どのような安全関連の信頼性情報が自動化装置の個々の要素１〜４に割り当てられているかを含む。

情報Ｉを予め与えることは必要に応じて行なわれる。例えば、図１では情報Ｉは制御装置４の内部メモリ６に記憶されているとよい。この場合に制御装置４は情報Ｉを内部メモリ６から読み出す。同様に、制御装置４の情報Ｉは、コンピュータネットワーク接続７（例えばインターネットまたはＬＡＮ）を介してコンピュータ８から予め与えられることが可能である。制御装置４の情報Ｉが制御装置４の使用者９によって予め与えられることも可能である。更に、制御装置４は情報Ｉを自動的に求めることができる。例えば、制御装置４が、最初の立ち上がり時に自動的に自動化装置の構成を求め、個々の要素１〜４からその都度それぞれの要素１〜４に関する情報を読み出し、そのようにして自動化装置に関する情報Ｉを入手することができる。

更に、上述の任意の混合形態が可能である。例えば、制御装置４が先ず情報Ｉを自身で求める最後に述べた試みを実行し、その後使用者９において情報Ｉが完全であるかどうか（つまり全部揃っているか否か）を問い合わせ、その後（必要ならば）情報Ｉの完全化を受け入れる。更に、制御装置４の情報Ｉを冗長的に少なくとも２つの異なる様式で、例えば一方では自身で求めることによって、そして他方ではコンピュータネットワーク接続７を介して、予め与えることが可能である。この場合には情報Ｉの正確さおよび一致性のチェックが可能である。

ステップＳ２において、制御装置４は、予め与えられた情報Ｉに基づいて自動的に自動化装置全体の信頼性情報Ｉ’を求める。制御装置４は、例えばＩＥＣ６１５０８−６の補遺Ｂに基づく危険率がどのような大きさであるかを示す指標を求める。しかしながら、代替または追加として、他の値を求めることもできる。

ステップＳ３において、制御装置４は、自動化装置全体について求められた信頼性情報Ｉ’を継続処理する。例えば制御装置４は信頼性情報Ｉ’をステップＳ３の範囲内において使用者９に対して出力する。

多くの場合において、制御装置４は少なくとも２チャネルにて互いに独立してそれぞれ１つの信頼性情報Ｉ’，Ｉ”を求める。その場合には図２による方法は以下において図３に関連して説明されているように一部変更される。

図３によれば、ステップＳ１１において、制御装置４は情報Ｉを予め与えられる。ステップＳ１１は図２のステップＳ１に対応する。

ステップＳ１２において、制御装置４は、多チャネルにて互いに独立してそれぞれ自動化装置全体の信頼性情報Ｉ’，Ｉ”を求める。ステップＳ１２は、実質的に、ステップＳ２を互いに独立して複数回実行することに相当する。

ステップＳ１３において、制御装置４は、この制御装置４によって求められた信頼性情報Ｉ’，Ｉ”を互いに比較する。ステップＳ１４において、制御装置４は、一方では制御装置４によって求められた信頼性情報Ｉ’，Ｉ”自体を、他方では比較結果自体を使用者９に対して出力する。

信頼性情報Ｉ’，Ｉ”を少なくとも２つのチャネルにて求めるために、図４によれば制御装置４はダイバーシティ方式のソフトウェア（diversity software）１０，１０'を処理することができる。この場合に、ダイバーシティ方式のソフトウェア１０，１０'のユニットごとに、制御装置４は、１回ごとに信頼性情報Ｉ'，Ｉ"の１つを求める。更に、制御装置４は、ユニットごとに、他の算定の冗長性を受け入れ、上述の比較を実行する。

図４によれば、制御装置４は、ダイバーシティ方式のソフトウェア（diversity software）１０，１０'の個々のユニットを処理する標準的な制御装置として構成することができる。しかしながら、制御装置４は少なくとも２つの部分制御装置１１，１１'を有することが好ましい。この場合に各部分制御装置１１，１１'は、それぞれ他の部分制御装置１１'，１１に関係なく、自動化装置全体についてそれぞれの信頼性情報Ｉ'，Ｉ"を求める。この場合に個々の信頼性情報Ｉ'，Ｉ"を求めるために使用されるソフトウェアユニットは、代替としてダイバーシティ方式または非ダイバーシティ方式であってよい。

図４によれば、部分制御装置１１，１１’はダイバーシティ（diversity）に構成されている。しかしながら、これは必ずしも必要ではない。代替として部分制御装置１１，１１'は互いに同じに構成されていてよい。

以上において、自動化装置の信頼性情報Ｉ’，Ｉ”、つまり正確には制御装置４を構成部分として含む自動化システムの信頼性情報Ｉ’，Ｉ”が求められるケースについて説明した。しかし、これは必ずしも必要ではない。制御装置４は、信頼性情報Ｉ’，Ｉ”を、自動化装置とは異なる自動化システムのためにも求めることができる。上述の方法に対する唯一の重要な相違は、この場合は制御装置４が自動化システムを記述する情報Ｉを自動的には求めることができないことにある。

信頼性情報Ｉ’，Ｉ”を求めるためのソフトウェアは、制御装置４の標準的なシステムソフトウェアの構成部分、すなわち本来の制御課題を実現するために使用されるソフトウェアであるとよい。代替として個別のソフトウェアであってもよい。

制御装置４によって信頼性情報Ｉ’，Ｉ”を求めることに加えて、時間的に事前にまたは時間的に事後に、他のハードウェアおよびソフトウェアにより、他の信頼性情報を求めることができる。他のハードウェアおよびソフトウェアは例えばＰＣを基礎に構成されているとよい。この場合に他のハードウェアおよびソフトウェアの安全性および／または信頼性が、場合によっては検証されるべきである。

本発明の枠内において信頼性情報Ｉ’，Ｉ”について複数の個別結果が存在する限り、結果の比較は自動的に行なうことができる。代替として、使用者９が比較を行なうことができるように、個々の結果を使用者９に対して出力することができる。

本発明は多くの利点を有する。特に、例えば、多数の構成を統合し、または線形化を行なうことはもはや必要でない。これから結果として、各構成にとって、例えば危険率に関する正確な数値が生じる。特に完全なシステムにおいては、この利点が有利な結果となる。更に、制御装置４を構成部分として含む自動化装置の信頼性情報Ｉ，Ｉ’の算出が自動化システムを表す関連情報Ｉを自動的に求めることの可能性を提供する。

上記説明は専ら本発明の説明に役立つ。これに対して本発明の範囲は、専ら添付された特許請求の範囲によって決定されるべきである。

自動化装置の構成を模範的に示す原理図 本発明により方法の経過例を示すフローチャート 本発明により方法の他の経過例を示すフローチャート 制御装置の実現可能な構成を示す原理図

符号の説明

１ 入力要素
２ 出力要素
３ 分配要素
４ 制御装置
５ 工業プロセス
６ 内部メモリ
７ コンピュータネットワーク接続
８ 内部メモリ
９ 使用者
１０ ソフトウェア
１０’ ソフトウェア
１１ 部分制御装置
１１’ 部分制御装置
Ｉ 信頼性情報
Ｉ’ 信頼性情報
Ｉ” 信頼性情報

Claims (10)

1. 安全指向の自動化装置の制御装置（４）の作動方法であって、
   制御装置（４）に、自動化システムを記述する情報（Ｉ）が予め与えられ、
   この情報（Ｉ）は、自動化システムがどのような要素（１〜４）を有するか、自動化システムの要素（１〜４）がどのように協働するか、どのような安全関連の信頼性情報が自動化システムの個々の要素（１〜４）に割り当てられているかを含み、
   制御装置（４）が、予め与えられた情報（Ｉ）に基づいて自動的に自動化システム全体
   の信頼性情報（Ｉ’，Ｉ”）を求める
   安全指向の自動化装置の制御装置の作動方法。
2. 制御装置（４）は、自動化システムを記述する情報（Ｉ）を、少なくとも部分的に制御装置（４）の内部メモリ（６）から読み出す請求項１記載の作動方法。
3. 自動化システムを記述する情報（Ｉ）が、制御装置（４）に、少なくとも部分的に制御装置（４）の使用者（９）によって予め与えられる請求項１又は２記載の作動方法。
4. 自動化システムを記述する情報（Ｉ）が、制御装置（４）に、少なくとも部分的にコンピュータネットワーク接続（７）を介して予め与えられる請求項１乃至３の１つに記載の作動方法。
5. 自動化システムは自動化装置と同一であり、制御装置（４）は自動化システムを記述する情報（Ｉ）を少なくとも部分的に自動的に求める請求項１乃至４の１つに記載の作動方法。
6. 制御装置（４）は、制御装置（４）によって求められた自動化システム全体の信頼性情報（Ｉ'，Ｉ”）を、制御装置（４）の使用者（９）に対して出力する請求項１乃至５の
   １つに記載の作動方法。
7. 制御装置（４）が、少なくとも２チャネルにて互いに独立に自動化システム全体についてそれぞれ１つの信頼性情報（Ｉ’，Ｉ”）を求め、少なくとも２チャネルにて求められ
   た信頼性情報（Ｉ’，Ｉ”）を互いに比較し、比較結果自体を制御装置（４）の使用者（
   ９）に対して出力する請求項１乃至６の１つに記載の作動方法。
8. 少なくとも２チャネルにて信頼性情報（Ｉ'，Ｉ”）を求めることがダイバーシティ方
   式のソフトウェア（１０，１０'）の処理によって行なわれる請求項７記載の作動方法。
9. 制御装置（４）は少なくとも２つの部分制御装置（１１，１１’）を有し、各部分制御装置（１１，１１’）が、それぞれ他の部分制御装置（１１’，１１）に関係なく、それぞれ自動化システム全体の信頼性情報（Ｉ’，Ｉ”）を求める請求項７又は８記載の方法
   。
10. 部分制御装置（１１，１１’）はダイバーシティに構成されている請求項９記載の方法。

Images