JP2010525626A - 巡回伝送すべき処理データの安全な伝送のための方法およびシステム - Google Patents

Abstract

本発明は、処理データの安全な伝送が、伝送チャネルに接続している、マスタとして機能しているユーザと、スレーブとして機能している少なくとも１つのユーザと間の伝送チャネルを介してプロトコル特有の形で実行されるべき巡回データ伝送において、巡回的に伝送されるための方法およびシステムに関する。伝送プロトコル・フレーム内で、伝送されるべきデータとは独立に同数のビットを常に収容することができるタイム・スロットが、データ伝送サイクルの間それぞれのスレーブに割り当てられる。データ伝送サイクルの間、スレーブから少なくとも１つの追加ユーザに安全に伝送されるべき、またはデータ伝送サイクルの間、ユーザから少なくとも１つのスレーブに安全に伝送されるべき安全関連処理データのために、この安全関連処理データのエラーのない伝送を認識するための追加の第１保護データがその都度生成および伝送され、安全に伝送されるべき処理データが、そのために生成されたそれぞれの第１保護データとともに、それぞれのスレーブに割り当てられたタイム・スロット内に組み込まれる。

Description

本発明は、巡回伝送すべき処理データの安全な伝送のための方法およびシステムに関する。

周知の通り、フィールド・バスは、測定プローブ（センサ）、最終制御装置、および／またはドライブ（アクチュエータ）などのいくつかの接続されたフィールド装置を制御ユニットにリンクするデータ伝送システムで使用される工業通信システムであり、バスへの実際の接続を提供するユニットは、以下でバス・コンポーネントと呼ばれる。

いくつかのアプリケーションでは、決定性、すなわち処理データの伝送におけるあらかじめ定められた性質および不変性の方が、実際の伝送速度自体よりも重要である。たとえば、接続されたユーザを有するフィールド・バスが知られており、そこでは個々のユーザ間で処理データを伝送するために共通の伝送チャネルを介する処理データの巡回伝送が行なわれ、したがって、特に処理入力データ、処理出力データ、および制御データなどの処理データを送受信する。この目的のために、プロトコル特有のデータが、所定のデータ・サイクルの間、マスタとしての役割を果たすユーザによって、スレーブ・ユーザに接続されたフィールド装置から読み出され、それぞれの後続のデータ・サイクル内で、スレーブ・ユーザに接続されたフィールド装置内に書き込まれる。

さらに、多くのシステム・アプリケーション内の転送されるべきデータは、部分的には安全関連データであり、そのため、データ伝送におけるエラーはできるだけ早く認識しなければならず、エラーが認識されたら迅速に対応しなければならない（たとえば、ユーザまたは（サブ）システムは安全な状態にならなければならない）。バスを介する安全関連データの伝送では、考慮されるべきエラーが実質的に６クラスある。これらのエラーは、安全関連データの反復、損失、挿入、誤ったシーケンス、破壊、および遅延に関連する。したがって、このデータの伝送は安全でなければならない。

少なくとも上述のエラー・クラスが存在する場合はそれを実際に認識できるような方法でデータ、特に安全関連処理データの安全な伝送を保証するために、伝送される処理データを、タイム・スタンプ、ユーザ情報、および／またはチェック情報、たとえばＣＲＣ（巡回冗長検査）などの追加の制御データで拡張するのが一般的な方法である。この点については、従来方式で伝送されるべきオーバーヘッドが、伝送されるべきペイロード・データに対して急速に増加し、したがってプロトコル効率が低下することが重大な欠点である。この弱点は、１ユーザ当たり少量の安全データだけを伝送すべき場合、または、この伝送が滅多に行われない場合に、特に顕著になる。

ドイツ特許出願第１０ ２００５ ０５３ １０３．２号

したがって、本発明の１つの課題は、データの伝送におけるサンプリングおよび決定性の等距離が重要な基準であるアプリケーションに対してさえ、プロトコル効率に著しく影響することなく、必要に応じてデータの安全な伝送を保証する共通の伝送チャネルを介して処理データを伝送するための方法を実証することである。

本発明による解決策は、添付の独立請求項の諸特徴を有するそれぞれのオブジェクトによって提供される。

本発明の好都合なおよび／または好ましい実施形態および改良点は、ぞれぞれの従属請求項の対象である。

したがって、本発明は、共通の伝送チャネルを介するプロトコル特有の巡回データ伝送が、マスタとして機能しているユーザと、スレーブとして機能している少なくとも１つのユーザとの間で少なくとも実行される、巡回伝送すべき処理データの安全な伝送のための方法およびシステムを提供する。伝送プロトコル・フレーム内で、伝送されるべきデータとは独立に同数のビットを常に収容することができるデータ・フィールドまたはタイム・スロットが、データ伝送サイクルの間にそれぞれのスレーブに割り当てられる。データ伝送サイクルの間、スレーブから少なくとも１つの追加ユーザに安全に伝送されるべき、またはデータ伝送サイクルの間、ユーザから少なくとも１つのスレーブに安全に伝送されるべき安全関連データのために、安全関連データのエラーのない伝送を認識するための追加の第１保護データがその都度生成および伝送され、安全に伝送されるべき処理データがそれぞれの第１保護データとともに、それぞれのスレーブに割り当てられたデータ・フィールドまたはタイム・スロット内に組み込まれ、その第１保護データとともに伝送される。

したがって、処理データの伝送におけるサンプリングならびに決定性の等距離が保存され、それにより処理データのための基本的なペイロード・データ・スループットが低下しない。さらに、それにより、このような安全データ伝送を有しない、またはサポートしないコンポーネントが影響されない。

特に適切な改良によれば、さらに、巡回的に先行するデータ伝送サイクルの間、伝送チャネルを介して所定のユーザによって伝送された安全データを使用して、第１保護データが生成されるようになっている。

したがって、あるデータ伝送サイクルから後続のデータ伝送サイクルに変更しない安全関連処理データに対してさえ、伝送の間に起こりうる実質的に全ての安全関連障害を明らかにする原動力をもたらすエラー認識を、低いオーバーヘッドだけを使用して、特に効果的な方法で、最も高い安全性で本発明によって保証できる。

この目的のために、特に適切な改良が、それぞれのデータ伝送サイクルで巡回的に変更するラン・デートを使用することを可能にし、それによって２つの連続するデータ伝送サイクルが同じデータを伝送プロトコル・フレームの内部に決して含むことができないことが保証される。

ラン・デートは、たとえ安全な伝送内でも、このラン・デートを生成するユーザをも障害に関して最も簡単な方法で監視されうるように、伝送プロトコル・フレームの不完全な伝送の後でさえ、次のサイクル内で変更されることが好ましい。

適切な改良により、さらに、安全関連処理データを処理できるコンポーネントのための処理データが、安全データを生成する安全ユーザのデータ・フィールドまたはタイム・スロット内にさらに組み込まれるようになっている。

この点について、好ましい実施形態により、コントローラ・データが追加処理データとしてこのタイム・スロットに組み込まれるようになっている。たとえば、安全関連処理データを処理している選択されたユーザ・ユニット（そのユニット・ダウンストリームを含む）を、それにより使用可能にするか、ブロックすることができる。

さらに、安全性をさらに高めるために、安全ユーザの安全データも保護データによって保証されるようになっていることが好ましい。

安全データの生成のために、特に安全関連データの伝送における誤ったシーケンスも認識できるように、安全関連処理データを処理するそれぞれのスレーブ・ユーザを識別する少なくとも１つの識別子を含むことはさらに好都合である。

好ましい実施形態により、さらに、それぞれの伝送プロトコル・フレームが、その中に含む全てのデータを使用することによって生成された保護データによって、全体として保証されるようになっている。

安全関連処理データを処理できるコンポーネントに割り当てられたタイム・スロットは、安全関連処理データを処理できないユーザに割り当てられたタイム・スロットの前の伝送プロトコル・フレームの内部に配列されることが好ましい。

以下の本発明の例示的実施形態の説明に続いて、添付の図面を参照して、本発明のさらなる諸利点および諸特徴を説明する。

本発明のために使用できる基本システム構成を示す図である。 本発明によって使用可能な電信のための好ましいフレーム構成を示す図である。 データ交換アクセスの間の、本発明によるフレーム構成を示す図である。 本発明による「安全制御ＰＤＣ」を示す図である。 本発明による「安全データＰＤＣ」を示す図である。

以下で、まず図１を参照すると、本発明の文脈内で使用可能な基本システム構成が示されている。図示されたシステム構成はトポロジ的に直線として設計されているが、スター型トポロジまたは所望の混合形式も考えられる。

バス６００に接続された５つのバス・ユーザが示されている。第１のバス・ユーザは、以下で安全マスタとも呼ばれる安全志向マスタ１００であり、本発明の文脈において強制ではないが、この例におけるバス・マスタでもある。一般的にマスタ１００は、定義され、あらかじめ適切に定められた安全ユーザでよい。第２および第３のバス・ユーザは、それぞれ、以下で安全出力スレーブと呼ばれる安全志向スレーブ出力ユーザ２００、および以下で安全入力スレーブと呼ばれる安全志向スレーブ入力ユーザ３００である。第４および第５のバス・ユーザは、それぞれ、以下で出力スレーブと呼ばれる安全志向ではないスレーブ出力ユーザ４００、および以下で入力スレーブと呼ばれる安全志向ではないスレーブ入力ユーザ５００である。したがって、安全志向コンポーネント、すなわち安全関連処理データを処理するコンポーネント、および安全志向ではないコンポーネントは、混合および任意に配列できる。

図示された例示的システム構成の安全志向ユーザについては、緊急オフ・スイッチ１１０が安全マスタ１００に接続されており、バス６００への信号結合が行われる前に、初めに２つの冗長な処理チャネル１３１および１３２を介して、前記スイッチの安全入力情報が２つの入力１２１および１２２を介してユーザ１００によって冗長的に取得され、プロトコル特有の形で処理される。たとえば、モータ２１０は安全出力スレーブ２００に接続され、ユーザ２００は、バス６００から信号が離れた（outcoupling）後、２つの冗長な処理チャネル２３１および２３２を介して最初にプロトコル特有の形で処理を実行して、出力２２０を介して安全関連出力情報をモニタ２１０に転送する。保護のドア３１１および回転速度符号器３１２は安全入力スレーブ３００に接続されており、保護のドア３１１および回転速度符号器３１２の安全関連入力情報は、バス６００に結合している信号が発生する前に、２つの入力３２１および３２２を介してユーザ３００によって冗長的に取得されて、処理チャネル３３０を介してプロトコル特有の形で処理される。

したがって、ユーザの１４０、２４０、３４０、４４０および５４０とバス６００とのそれぞれのインタフェースを一般的に１つのチャネルだけで実現しながら、安全志向機能は一般に、ハードウェア内で相互に離れた２つのチャネルによって、冗長な処理を使用して認識される。必要なスペースおよび費用の減少に加えて、特にバス・ロード、電力消費量、および容量に関して、バス上で２倍の数のコンポーネントを操作できる。たとえばライン・ドライバまたは電流分離に基づく、バス結合によって生じる障害は、一般的に使用されるライン・プロトコルによって認識されうる。安全関連コンポーネントの処理ユニットは、必ずしもハードウェア内で２つのチャネルで構築される必要はなく、むしろ多くの場合、２つのチャネルでソフトウェアが実装されていれば十分である。

次に、バス６００は、全てのデータ（特に処理データ）を伝送および受信するための、本発明による方法および伝送システムのための共通データ・ラインを提供する。たとえば、定義されたデータ・サイクルの間、マスタによって、バス・コンポーネントを介して接続されたフィールド装置からプロトコル特有のデータが読み出され、およびそれぞれの後続のデータ・サイクルの間、後者に書き込まれうる、このようなクラス定義伝送システムは、自動車工学で知られるＬＩＮバスに基づいて、およそ１９．２から３８ｋｂｄで動作する。

本発明は、多くのアプリケーションにとって、決定性、すなわち処理データの伝送におけるあらかじめ定められた性質および不変性の方が、実際の伝送速度自体より重要であるという事実を利用する。この決定性は、適切に調節可能で、１０から１００ミリ秒の間の範囲内である、伝送システムのバス・サイクル・タイムによって定義される。したがって、たとえば２５ミリ秒のデフォルト設定は、１サイクル当たり１６ビットの１６個の処理データ値の伝送にとって十分である。

したがって、本発明による例示的な方法では、処理入力および出力データは基本的に固定間隔で送信され、その都度バス・サイクル・タイムの半分でオフセットされる。したがって、処理入力および出力データの巡回伝送のための伝送プロトコルは、以下でデータ交換モードとも呼ばれる、２つの異なるデータ交換サービスを頻繁に使用する。したがって、この場合バス・サイクルはＰＤ読取りサービスに基づくデータ・サイクル、およびＰＤ書込みサービスに基づく後続のデータ・サイクルを含む。

処理出力データの伝送では、原則としてマスタが、ＰＤ書込みサービス内の接続されたフィールド装置のための全てのデータを関連付けられているユーザに送信し、次いで、適切にＣＲＣ（巡回冗長検査）を決定し、これもマスタが送信する。伝送システムは、全ての接続されたユーザが、この方法で伝送された全ての情報を読み、好ましくは同様に、ユーザがマスタのＣＲＣと比較するＣＲＣを形成するように適切に構築されるので、エラーの場合はエラー・メッセージが生成され、また、たとえば選択されたユーザまたは個々のフィールド装置が安全な状態になることができる。処理入力データの伝送では、まずマスタがＰＤ読出しサービス内でブロードキャスト・アドレスを送信し、続いて機能コードを送信する。次いで、追加の接続されたユーザが、彼らの接続されたフィールド装置のデータ（すなわち、特に彼らの処理入力データ）を、その結果提供されたそれぞれのタイム・スロット内のデータ・ライン上にビット単位で置く。好ましい実施形態では、データ・ラインを監視することによってユーザが全てのデータを再び認識でき、そのためのＣＲＣを再び形成できる。

データ交換サービスまたはサイクルの間の、本発明による方法のための、好ましいが基本的にプロトコルに依存するフレーム構成が、図２に示されている。この場合のそれぞれの電信の長さは、たとえば、６８文字を含む。したがって、データ交換サービスまたはサイクルの間に伝送される電信は、所与のユーザ、またはブロードキャスト・アドレスの場合は全てのユーザを受信者として決定する、１バイトのアドレスを含む。次いで、後続のペイロード・データの目的を定義する、この例では同様に１バイトを含む機能コードが続く。この例では、実際のペイロード・データは６４バイトを含み、その後に２バイトを含むＣＲＣが続く。伝送の間、このような電信の個々の文字間の最大の間隔は超えてはならない。というのは、そうでない場合にはエラーが認識されるからである。この間隔は、たとえば１ミリ秒と指定され、文字間タイムアウトとも呼ばれる。さらに、２つの連続する電信間の、たとえば２ミリ秒の休止期間（フレーム間タイムアウト）が提供されうるので、必要である可能性があるどのようなエラー処理も正確に実行できる。図２に示した通り、受信者によるエラー例外コードおよびエラー・コードのバック伝送（すなわちエラーが認識されているメッセージ、およびエラーが認識されたメッセージ）は、このようなエラーを認識する場合にのみ起こり、伝送者のＣＲＣが受信者によって受信された後、１または２ミリ秒間に適切に始まることが好ましい。

したがって、上記ですでに説明した通り、本発明は、恒久的に定義されたパターンで行われる、巡回的に構築されるデータ交換に基づいており、たとえば、上述のＰＤ書込みおよびＰＤ読取りアクセスまたはサイクルに細分されるので、データはＰＤ書込みアクセスでマスタからスレーブに、およびＰＤ読取りアクセスで他の方向、すなわち基本的にスレーブからマスタに送信される。後続の説明のために、それぞれの処理データ・アイテムは１６ビットで構成され、処理データ・チャネル（ＰＤＣ）と呼ばれると仮定してよい。定義された処理データ・チャネル（ＰＤＣ）は、それぞれのユーザに恒久的に割り当てられる。

図３に示すように、バス・マスタによって、それぞれのデータ交換サイクルがアドレスおよび機能コードの伝送で開始される。続いて、ＰＤＣが生成されて読み込まれる。全てのＰＤＣが読み込まれると、マスタはチェックサムＣＲＣを生成する。全てのユーザが同様にチェックサムを計算して、マスタによって生成されたチェックサムと比較する。少なくとも１つのユーザが相違を認識する場合、次いで、たとえば図３に示されるエラー応答が生成されて、全てのユーザが全てのデータを読まなければならない好ましい実施形態に従って、全てのユーザがこの最後のサイクルのデータを拒否する。チェックサムを生成するユーザが、バスから読み返したデータで生成せず、ユーザがバスに伝送したデータで生成することが完全な監視を保証できる唯一の方法なので、チェックサムの生成のためにさらに適切である。

したがって、図３に示したプロトコル・フレームの構成は、同じ出願人によって２００５年１１月４日に提出されたドイツ特許出願第１０ ２００５ ０５３ １０３．２号「Ｍｅｔｈｏｄ ａｎｄ Ｓｙｓｔｅｍ ｆｏｒ Ｔｒａｎｓｍｉｔｔｉｎｇ Ｃｙｃｌｉｃａｌ ａｎｄ Ａｃｙｃｌｉｃａｌ Ｄａｔａ」の開示と異なる必要がないので、これに関するこの開示の内容は、本明細書の内容に全体として組み込む。

上記の開示の相違点、特に補足または代替案は、ペイロード・データ領域、すなわちＰＤＣにある。

第１のＰＤＣは安全マスタに割り当てられるので、安全関連制御ＰＤＣまたは制御ＰＤＣと呼ばれうる。安全制御ＰＤＣの好ましい基本構成は、図３のプロトコル・フレームから分離され、「ＳＣ−ＰＤＣ」とラベル付けされる。本発明によれば、この「ＳＣ−ＰＤＣ」は安全マスタによって生成される。安全マスタによって生成された安全制御ＰＤＣに続いて、「通常の」スレーブ・ユーザのＰＤＣが伝送される。図３に示した第２のＰＤＣは安全入力スレーブまたは安全出力スレーブに割り当てられるので、安全関連データＰＤＣまたは安全データＰＤＣと呼ばれうる。安全制御ＰＤＣの好ましい基本構成は、図３のプロトコル・フレームから分離され、「ＳＣ−ＰＤＣ」とラベル付けされる。図３に示した最後のＰＤＣは、入力スレーブまたは出力スレーブに割り当てられる。安全関連ＰＤＣの好ましい基本構成は、同様に図３のプロトコル・フレームから分離され、「ＰＤＣ」とだけラベル付けされる。非安全関連データを含むこのＰＤＣは、例示に従って、４つのニブルＤ_３、Ｄ_２、Ｄ_１、Ｄ_０に分割される１６ビットの処理データ値を含む。

以下で、図３でＳＣ−ＰＤＣとラベル付けされた、安全制御ＰＤＣの構成をより詳細に示す図４を参照する。

特に好ましい実施形態に従って、安全制御ＰＤＣは、データ伝送の安全のため、ならびに本発明による安全機能の実装のための、主要な要素を提供する。安全制御ＰＤＣは、他の全てのＰＤＣと等しい数のビットをそれぞれ有する同数の部分的ユニット、すなわち、この例ではそれぞれが４ビットを有する４つの部分で構成される。最上位ニブルは、ラン・デートまたはラン・インデックスＴ（ｔ）を提供する。このラン・インデックスは、その都度安全マスタによって、４ビットから生成されて（図４で時間［３…０］で示される）、それぞれのバス・サイクルで修正される。たとえ電信フレームの伝送がエラーなしに行われても、ラン・インデックスは次のサイクルで修正される。したがって、２つの連続するデータ伝送が決して同じデータ・ワードを含まないことが保証される。より下位の２つの連続するニブルは、たとえば、安全マスタが安全回路を独立におよび個別に制御できる、使用可能情報Ｅ_２（ｔ）およびＥ_１（ｔ）を含む。Ｅ_２（ｔ）およびＥ_１（ｔ）も、図４にＥ_２（ｔ）を使用可能［７…４］で、およびＥ_１（ｔ）を使用可能［３…０］で示す通り、それぞれ４ビットを含むので、合計８個の相互に独立の安全回路を制御でき、関連ビットがセットまたはリセットされると、それぞれの安全回路が使用可能になるか、ブロックされる。

安全制御ＰＤＣの上述のデータは、このデータに関して形成されて、最下位のニブルで伝送される４ビットを含むＣＲＣによって保護される。安全制御ＰＤＣは、安全スレーブによって受け取られるので、伝送されたＣＲＣが、データＴ（ｔ）、Ｅ_２（ｔ）、およびＥ_１（ｔ）に関してそれ自身によって計算されたＣＲＣと一致する場合、ならびに、安全制御ＰＤＣが最後のデータ交換以来少なくとも１ビット内で修正された場合、有効と認識される。この動作モードを知らない、またはサポートしないユーザは、これによって影響されない。

以下で、図４でＳＣ−ＰＤＣとラベル付けされた、安全データＰＤＣの構成をより詳細に示す図５を参照する。

標準的なＰＤＣ、この例では１６ペイロード・データ・ビットを含む、図３でラベル付けされたＰＤＣで転送されたデータに対比して、本発明による安全データＰＤＣはわずか１２ペイロード・データ・ビットを含む。追加の４ビット、好ましくは４つの最下位ビットは、安全制御ＰＤＣと類似して、ＣＲＣ情報の伝送のために使用される。しかしＣＲＣは、図５の合計１２ビットのラベル付けされたデータ［１１…０］で構成される、ペイロード・データ・ビットＤ_３（ｔ）、Ｄ_２（ｔ）、およびＤ_１（ｔ）からだけでは生成されない。ＣＲＣ情報を生成するために追加情報も含まれるが、追加情報も伝送する必要はなく、追加情報はＣＲＣ情報が生成される時点でユーザにすでに知られている。計算に含まれるべきこの追加情報は、最後の有効な伝送サイクルからのラン・インデックスＴ（ｔ−１）などの、前の伝送からの情報、および指定のＰＤＣからのそれぞれの特定のＰＤＣデータ（ＰＤＣ２およびＰＤＣ１の数など）を、追加保護識別子として含むことが好ましい。伝送されたＣＲＣが、消費ユーザによって計算されたＣＲＣと一致する場合、安全データＰＤＣのデータだけが有効であり、２つの連続する伝送サイクル、すなわちＳＤ−ＰＤＣ（ｘ、ｔ）およびＳＤ−ＰＤＣ（ｘ、ｔ−１）では生成ユーザのＰＤＣは等しくないことも事実である。前と同様に、この動作モードを認識しないまたはサポートしないユーザは、これによって影響されない。

したがって、データ保護およびエラー認識のために必要な情報は保護されるべきペイロード・データとともに巡回的に伝送される必要がないが、代わりにシステム、マスタ、および／または安全マスタ情報から生成されるので、本発明全体としての重要な利点は、データ保護およびエラー認識のためのオーバーヘッドの著しい減少が要求されることである。したがって、簡単なシステム構成とともに、このことはそれぞれの安全関連バス・ユーザが、安全関連データおよびシステムの完全性のチェックを実行できることにつながる。したがって、システム全体が必要な耐故障性を保証するので、ユーザ側の単一のチャネル内で安全機能を実行できる。

結論として、本発明は以下の基本的特徴に基づく。電信を用いて、データ・ソースから少なくとも１つの接続されたデータ受信装置にデータが転送される。電信のデータ・フィールド内で、第１位置は、ラン情報（特に時間情報）、ペイロード・データ、および好適なチェック（ＣＲＣ）を含む、安全マスタのデータである。全ての接続されたスレーブが適切にデータを読み取り、伝送された全てのデータから計算されて、バス・マスタによって電信の伝送内に追加されたＣＲＣ全体を、それ自体で決定する。

少なくとも１つのユーザがエラーを認識すると、ユーザはエラー電信を生成する。エラー電信の内容は従属的であり、決定的なのはバス・システム内で指定されたタイムアウトが違反されたことだけである。この場合、次いで電信が不完全と分類されて拒否される。マスタのタイム・スロットに続くタイム・スロットが、それぞれのスレーブに割り当てられる。対応するデータ交換モードの間、スレーブはそれ自身でそれぞれの割り当てられたタイム・スロット内にいくつかのデータ・ビットを伝送でき、またペイロード・データ・ビットをわずかに犠牲にして、任意で安全にデータ・ビットを伝送でき、それによってスレーブは、同様にそれぞれの割り当てられたタイム・スロット内に伝送されるチェック（ＣＲＣ）でデータ・ビットを保護する。このチェックは、残りのペイロード・データ・ビット、ならびにすでにユーザに知られている追加情報に関して形成される。この追加情報は、前のサイクルからのラン情報（特に時間情報）および少なくとも１つの処理データ番号を含むことが好ましい。何か（すなわち１ビット）は常に変更しなければならないので、ラン情報を統合することによって、特に静的エラーが認識されることが保証される。

Claims (21)

1. 共通の伝送チャネルに接続している、マスタとして機能している少なくとも１つのユーザと、スレーブとして機能している少なくとも１つのユーザと間の前記伝送チャネルを介して、プロトコル特有の形で実行されるべき巡回データ伝送において、巡回伝送すべき処理データの安全な伝送のための方法およびシステムであって、
   伝送プロトコル・フレーム内で、伝送されるべき前記データとは独立に同数のビットを常に収容することができるタイム・スロットが、データ伝送サイクルの間それぞれのスレーブに割り当てられ、
   データ伝送サイクルの間、スレーブから少なくとも１つの追加ユーザに安全に伝送されるべき、または、データ伝送サイクルの間、ユーザから少なくとも１つのスレーブに、安全に伝送されるべき安全関連データのために、前記安全関連データのエラーのない伝送を認識するための追加第１保護データがその都度生成および伝送され、安全に伝送されるべき前記処理データが前記それぞれの第１保護データとともに、前記それぞれのスレーブに割り当てられた前記タイム・スロットに組み込まれ、その第１保護データとともに伝送されることを特徴とする、方法およびシステム。
2. ユーザが恒久的に安全ユーザとして指定され、前記第１保護データが、巡回的に先行するデータ伝送サイクルの間、前記安全ユーザによって前記伝送チャネルを介して伝送された安全データを使用して生成されて、前記伝送サイクルの間、少なくとも安全関連処理データを処理できるユーザによって読み出されることをさらに特徴とする、請求項１に記載の方法。
3. 前記伝送プロトコル・フレーム内部のタイム・スロットが前記安全ユーザに恒久的に割り当てられ、前記第１保護データを生成するために使用される前記安全ユーザの前記安全データが、前記安全ユーザに関連付けられ、それぞれのデータ伝送サイクルとともに巡回的に変更するラン・デートを含む、前記タイム・スロット内に組み込まれ、このタイム・スロットも前記伝送サイクルの間少なくとも安全関連処理データを処理できるユーザによって読み出されることをさらに特徴とする、請求項２に記載の方法。
4. 伝送プロトコル・フレームの不完全な伝送に続いて、次のサイクルで前記ラン・デートも変更されることを特徴とする、請求項３に記載の方法。
5. 安全関連処理データを処理できるユーザの処理データも、前記安全ユーザに割り当てられた前記タイム・スロットに安全データとして組み込まれる、請求項３および４のいずれか１項に記載の方法。
6. 制御データがこのタイム・スロットに追加処理データとして組み込まれる、請求項５に記載の方法。
7. 前記安全ユーザの前記タイム・スロット内の前記安全データが、前記安全データとともに前記タイム・スロット内に組み込まれている第２保護データを生成するために使用されることを特徴とする、請求項５および６のいずれか１項に記載の方法。
8. 安全関連処理データが伝送されるべきである限り、伝送サイクルの間に伝送される前記安全ユーザの前記ラン・デートが、次のデータ伝送サイクルのための前記第１保護データを生成するために安全関連処理データを処理できる他のユーザによって使用されることをさらに特徴とする、請求項３乃至７のいずれか１項に記載の方法。
9. 前記第１保護データを生成するために、保護されるべき前記それぞれの安全関連処理データが含まれる、請求項１乃至８のいずれか１項に記載の方法。
10. 安全関連処理データが割り当てられるべきそれぞれのスレーブ・ユーザを識別する少なくとも１つの保護識別子が、前記第１保護データを生成するために使用される、請求項１乃至９のいずれか１項に記載の方法。
11. それぞれのユーザに割り当てられた前記タイム・スロットが、前記伝送プロトコル・フレームの内部の所定の位置を占有し、前記保護識別子が少なくともこれらの位置の間の所定の位置を使用して形成される、請求項１０に記載の方法。
12. それぞれの伝送プロトコル・フレームが、その中に伝送された全てのデータを使用して、前記マスタによって生成された第３保護データで全体として保護され、全てのスレーブが伝送プロトコル・フレームに含まれる前記データを読み取ることができる、請求項１乃至１１のいずれか１項に記載の方法。
13. 安全関連処理データを処理できる前記ユーザに割り当てられた前記タイム・スロットが、安全関連処理データを処理できないユーザに割り当てられたタイム・スロットより前に、前記伝送プロトコル・フレームの内部に配置される、請求項１乃至１２のいずれか１項に記載の方法。
14. 請求項１乃至１３のいずれか１項に記載による方法を実行するための伝送システムであって、
    プロトコル特有の巡回データ伝送のための共通バスに接続している、バス・マスタとして機能している少なくとも１つのユーザと、スレーブとして機能している少なくとも１つのユーザとを含み、
    伝送プロトコル・フレーム内で、伝送されるべき前記データとは独立に同数のビットを常に収容することができるタイム・スロットが、データ伝送サイクルの間それぞれのスレーブに割り当てられ、
    データ伝送サイクルの間、スレーブから少なくとも１つの追加ユーザに安全に伝送されるべき、または、データ伝送サイクルの間、ユーザから少なくとも１つのスレーブに安全に伝送されるべき安全関連データ内部のタイム・スロットで、この安全関連データのエラーのない伝送を認識するためのそれぞれの追加第１保護データが組み込まれることを特徴とする、システム。
15. １つのユーザが安全ユーザとして、およびそれぞれのデータ伝送サイクルの間に安全データを前記伝送プロトコル・フレーム内に組み込むために形成され、また、安全関連処理データを処理できる少なくとも前記追加ユーザが、それぞれのサイクルの間、前記安全ユーザの安全データを読み出すために、および後続サイクルの間、前記第１保護データを生成するために、読み出した安全データを使用するために形成されることをさらに特徴とする、請求項１４に記載の伝送システム。
16. 前記伝送プロトコル・フレーム内部のタイム・スロットが、前記安全ユーザに恒久的に割り当てられ、前記安全ユーザが、その都度巡回的に変動するラン・デートを生成するために形成されることをさらに特徴とする、請求項１５に記載の伝送システム。
17. 前記安全ユーザが、制御データを生成して組み込むために形成される、請求項１５および１６のいずれか１項に記載の伝送システム。
18. 前記安全ユーザが、前記安全データを使用して第２保護データを生成して、その第２保護データを前記安全データとともに前記タイム・スロット内に組み込むために形成されることを特徴とする、請求項１５乃至１７のいずれか１項に記載の伝送システム。
19. 前記第１保護データを生成するために、安全関連処理データを処理できる前記ユーザが、安全関連処理データが割り当てられるべきそれぞれのスレーブを識別する少なくとも１つの保護識別子をさらに含む、請求項１乃至１８のいずれか１項に記載の方法。
20. それぞれの伝送プロトコル・フレームが全体として第３保護データで保護され、その中に伝送される全てのデータを使用してこの第３保護データを生成するために前記マスタが形成され、伝送プロトコル・フレームに含まれる前記データを読み出して、対応する第３保護データを生成するために全てのスレーブが形成される、請求項１４乃至１９のいずれか１項に記載の方法。
21. 安全関連処理データを処理できる前記ユーザに割り当てられた前記タイム・スロットが、安全関連処理データを処理できないユーザに割り当てられたタイム・スロットより前に、前記伝送プロトコル・フレームの内部に配置される、請求項１乃至２０のいずれか１項に記載の方法。

Images