JP2014075105A - 制御システム - Google Patents

Abstract

【課題】単一構成の複数のコントローラを用いて、複数の機能安全レベルに対応することができる制御システムを提供すること。
【解決手段】
複数のコントローラ１０は、入力機器３０から入力機器情報を受領するための入力部１０１と、出力機器４０，５０への出力機器情報を生成するための出力部１０３と、他のコントローラとコントローラ間通信ネットワーク２０を介して通信するための通信部１０４と、入力機器情報および／または出力機器情報に基づいて、予め設定される所定の情報処理を実行するための情報処理部１０２とを含む。複数のコントローラをコントローラ間通信ネットワークを介して所定の構成に結合することで、予め設定される複数の機能安全レベルのうち所定の機能安全レベルを実現する。
【選択図】図１

Description

本発明は、所定の機能安全レベルを満たす制御システムに関する。

例えばエレベータの運行制御システムなどのように、電気的な制御システムが広く使用されている。制御システムの機能の安全性を確保すべく、セーフティ・インテグリティ・レベル（SIL：Safety Integrity Level）と呼ばれる機能安全レベルが、ＳＩＬ１からＳＩＬ４まで定義されている。

従来技術では、ＳＩＬ１用制御システム、ＳＩＬ２用制御システム、ＳＩＬ３用制御システムのように、要求される安全レベルごとにそれぞれ個別に専用の制御システムを用意している（特許文献１，２）。

さらに、各業種の機能安全規格においては、それぞれのＳＩＬに応じた制御システムの概略構成例が示されている。例えば、エレベータ向けの機能安全規格としてＥＮ８１−１（非特許文献１）が制定されており、建設機械向けの機能安全規格としてＩＳＯ１３８４９（非特許文献２）が制定されている。

なお、機能安全レベルについての言及はないが、入力装置と出力装置および情報処理装置をバスで接続する制御システムも知られている（特許文献３）。

国際公開第２０１０／１０９７４８号パンフレット 特表２０１０−５２３４４５号公報 特表２００２−５３８０６１号公報

ＥＮ８１−１ ＩＳＯ１３８４９

従来技術では、ＳＩＬレベルに合わせて制御システムを構築するため、開発コストおよび製造コストが増加する。制御システムの基準構成をＳＩＬ３とし、ＳＩＬ３の装置をＳＩＬ２のシステムとＳＩＬ３のシステムとの両方に適用することも考えられる。しかし、この場合は、ＳＩＬ２の装置で十分なシステムにＳＩＬ３の装置を使用することになるため、オーバースペックとなり、システム構築コストが増加する。このように従来技術は、機能安全レベルに柔軟に対応することができず、コストが増加しやすいという問題を抱えている。

また、同一基板上に二重系構成を構築する従来技術では、二重系構成の一部が故障した場合に、システムを停止させずに故障箇所だけ修理するのが難しく、保守性が低い。

本発明は上述の問題に鑑みてなされたもので、その目的は、単一構成の複数のコントローラを用いて、複数の機能安全レベルに対応することができる制御システムを提供することにある。

上記課題を解決すべく、本発明に係る制御システムは、所定の機能安全レベルを満たす制御システムであって、単一構成の複数のコントローラと、複数のコントローラを通信可能に接続するための少なくとも一つのコントローラ間通信ネットワークと、を備え、複数のコントローラは、入力機器から入力機器情報を受領するための少なくとも一つの入力部と、出力機器への出力機器情報を生成するための少なくとも一つの出力部と、他のコントローラとコントローラ間通信ネットワークを介して通信するための少なくとも一つの通信部と、入力機器情報および／または出力機器情報に基づいて、予め設定される所定の情報処理を実行するための少なくとも一つの情報処理部と、を含んで構成されており、複数のコントローラをコントローラ間通信ネットワークを介して所定の構成に結合することで、予め設定される複数の機能安全レベルのうち所定の機能安全レベルを実現する。

本発明によれば、単一構成の複数のコントローラをコントローラ間通信ネットワークを介して所定の構成に結合することで、複数の機能安全レベルのうち所定の機能安全レベルに対応した制御システムを得ることができる。

第１実施例に係り、制御システムの構成例を示す説明図である。 入力側、出力側とを別々のコントローラ間通信ネットワークで接続する構成例を示す説明図である。 情報処理の構成を二重化した構成例を示す説明図である。 第２実施例に係り、入力用コントローラを二重化した例の説明図である。 二重化された入力用コントローラを、入力機器の情報を流すためのコントローラ間通信ネットワークとは別に構成されるコントローラ間通信ネットワークを介して接続する例を示す説明図である。 第３実施例に係り、ローカルサイトとリモートサイトに分けて構成する例を示す説明図である。 第４実施例に係り、二重化されたローカルサイトをリモートサイトからも遠隔監視できるようにした例を示す説明図である。 第５実施例に係り、統一コントローラのソフトウェア構成の例を示す説明図である。 第６実施例に係り、相手方となるコントローラを発見して二重系構成を実現するための処理を示すフローチャートである。 第７実施例に係り、条件を指定して相手方となるコントローラを探索し、二重系構成を実現するための処理を示すフローチャートである。 第８実施例に係り、所定の属性（機能）を有する入力機器であることを統一コントローラに通知することのできる入力機器の例を示す回路図である。 所定の属性を有する入力機器が接続されていることを確認するための処理を示すフローチャートである。 第９実施例に係り、エレベータ、自動車、電車、航空機、検察機械などの各種システムに適用可能であることを示す説明図である。 第１０実施例に係り、情報処理用コントローラが、受領した情報の種類に応じて処理を変える様子を示すフローチャートである。

以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態は、以下に詳述するように、複数の機能安全レベル（ＳＩＬ）に対して、単一構成のコントローラを複数用いることで対応する。換言すれば、単一構成のコントローラをコントローラ間通信ネットワークを介して適宜結合することで、複数の機能安全レベルのうち所望の機能安全レベルを満たす制御システムを構築する。以下、本発明による単一構成のコントローラを、従来技術と区別するために「統一コントローラ」と呼ぶ。単一構成のコントローラとは、共通した構成を有するコントローラを意味する。単一構成のコントローラは、例えば、要求されうる最大の機能安全レベルに対応できるように構成される。

以下、本実施形態を詳細に説明する。但し、以下に述べる実施例の記載は、本発明の理解及び実施に必要な範囲で本発明の構成を示したものであり、本発明の範囲は、実施例の構成に限定されない。

図１は、統一コントローラ１０を複数用いて構成される制御システム１の例を示す。この制御システム１は、例えば、エレベータシステムを制御するために使用することができるが、それに限らず、他の種々のシステムにも適用できる。

図１に示す制御システム１は、複数の統一コントローラ１０ａ〜１０ｄを備える。特に区別しない場合、統一コントローラ１０と呼ぶ。各統一コントローラ１０は、全て同一の構成である。統一コントローラ１０は、例えば、筐体（不図示）内に設けられる基板１００と、基板１００上に設けられた入力部１０１、情報処理部１０２、出力部１０３および通信部１０４を備える。

入力部１０１は、後述の入力機器からの信号を受信するための回路である。情報処理部１０２は、所定の情報処理を実行する回路である。出力部１０３は、後述の出力機器に指示を出力するための回路である。通信部１０４は、他の統一コントローラ１０とコントローラ間通信ネットワーク２０を介して双方向通信するための回路である。以下、入力部１０１、情報処理部１０２、出力部１０３、通信部１０４を機能部または回路と呼ぶことがある。

各回路１０１〜１０４はそれぞれ別々の集積回路として構成してもよいし、一つの集積回路内に各回路１０１〜１０４をまとめてもよい。また、各回路は１つに限らず、複数あってもよい。さらに、後述の実施例に示すように、通信部１０４は、複数の通信ポートを備えることができる。通信部１０４は、異なる通信プロトコルを使用する通信ポートを１つずつまたは複数ずつ備えてもよいし、同一通信プロトコルを使用する通信ポートを複数備えてもよい。

情報処理部１０２は、ＭＰＵ（Micro-Processing Unit）もしくはＦＰＧＡ（Field-Programmable Gate Array）のようなプログラマブル・ロジック・デバイスとして実装してもよいし、または、ハードワイアードなディスクリート回路として実装してもよい。いずれを用いてもよい。入力部１０１および出力部１０３は、例えば、ＭＰＵやＦＰＧＡに装備される汎用Ｉ／Ｏポートのような論理デバイスとして実現してもよい。入力部１０１および出力部１０３は、Ａ／ＤコンバータまたはＤＣ／ＤＣコンバータのような電圧レベル変換等のディスクリート回路を含むことができる。

各統一コントローラ１０は、コントローラ間通信ネットワーク２０を介して双方向通信可能に接続されている。コントローラ間通信ネットワーク２０は、例えば、ＬＡＮ（Local Area Network）、ＲＳ２３２Ｃ、ＲＳ４２２などのように構成できる。また、コントローラ間通信ネットワーク２０は、有線ネットワークに限らず、無線ネットワーク、光ネットワークのように構成してもよい。

ここで、コントローラ間通信ネットワークとは、それぞれ別々の筐体として構成される統一コントローラ１０同士を通信可能に接続するために使用される通信ネットワークであり、同一筐体内の集積回路（チップ）同士を接続する内部バスとは異なる。

統一コントローラ１０は同一構成を備えるが、その役割は異なる。例えば、各統一コントローラ１０のうち統一コントローラ１０ａは、入力用コントローラである。入力用コントローラとは、その入力部１０１に入力機器（安全スイッチ３０，３１など）が接続される統一コントローラである。入力用コントローラ１０ａの入力部１０１には、安全スイッチ３０が接続されている。入力用コントローラ１０ａの出力部１０３には、何も接続されていない。入力用コントローラ１０ａの通信部１０４は、コントローラ間通信ネットワーク２０に接続されている。

各統一コントローラ１０のうち統一コントローラ１０ｂ，１０ｃは、出力用コントローラである。出力用コントローラとは、その出力部１０３が出力機器（モータ４０，ブレーキ５０など）に接続される統一コントローラである。

一方の出力用コントローラ１０ｂには、その入力部１０１にエンコーダ４１が接続されており、その出力部１０３にモータ４０が接続されている。エンコーダ４１は、「出力機器」としてのモータ４０に付属するセンサであるため、統一コントローラ１０ｂは、出力用コントローラである。他方の出力用コントローラ１０の出力部１０３には、「出力機器」としてのブレーキ５０が接続されている。他方の出力用コントローラ１０の入力部１０１には、何も接続されていない。各出力用コントローラ１０ｂ，１０ｃの通信部１０４は、それぞれコントローラ間通信ネットワーク２０に接続されている。

各統一コントローラ１０のうち統一コントローラ１０ｄは、情報処理用コントローラである。情報処理用コントローラとは、入力機器情報および／または出力機器情報に基づいて所定の情報処理（例えば制御演算）を実行するための統一コントローラである。情報処理用コントローラ１０ｄは、入力用コントローラ１０ａからコントローラ間通信ネットワーク２０を介して入力機器情報（パケットデータ）を受信する。さらに、情報処理用コントローラ１０ｄは、出力用コントローラ１０ｂ，１０ｃからコントローラ間通信ネットワーク２０を介して、出力機器情報（パケットデータ）を受信する。情報処理用コントローラ１０ｄは、情報処理の結果（制御情報）を出力用コントローラ１０ｂ，１０ｃに送信して、出力用コントローラ１０ｂ，１０Ｃにより出力機器４０，５０を制御させることもできる。情報処理用コントローラ１０ｄは情報処理専門の統一コントローラであるため、その入力部１０１および出力部１０３には、何も接続されていない。

安全スイッチ３０は、「入力機器」の一例である。安全スイッチ３０のほかに、他の安全スイッチ３１（図４参照）およびセンサ３２（図７参照）も入力機器として使用することができる。安全スイッチ３０，３１およびセンサ３２を特に区別しない場合、「安全スイッチ等」または「センサ等」と呼ぶ。

上述した入力用コントローラ１０ａの入力部１０１には、安全スイッチ等からの信号線が接続されており、安全スイッチ等からの信号が電気信号または光信号等として直接的に入力される。ここで、直接的に入力されるとは、他の統一コントローラ１０を介さずに安全スイッチ等からの情報（入力機器情報に該当する）が入力されることを意味する。情報処理用コントローラ１０ｄは、入力用コントローラ１０ａで作成されたパケットデータとして、安全スイッチ等からの情報を取得する。例えば、安全スイッチ等から出力されるオンオフ信号は、入力用コントローラ１０ａにおいて、多ビットのデータに変換され、パケットとしてコントローラ間通信ネットワーク２０に送り出される。”０”または”１”の１ビットの信号として送信しないのは、安全性を高めるためである。１ビットの信号（データ）では、断線等が生じた場合に、受け手側の統一コントローラ１０に誤って解釈されるおそれがある。そこで、本実施例では、入力機器情報等を所定の多ビットデータに変換してコントローラ間通信ネットワーク２０に送り出す。

コントローラ間通信ネットワーク２０上には、入力用コントローラ１０ａから入力機器情報のパケットが送出され、出力用コントローラ１０ｂ，１０ｃから出力機器情報のパケットが送出され、情報処理用コントローラ１０ｄから制御情報が送出される。このように図１に示す構成において、コントローラ間通信ネットワーク２０は、各統一コントローラ１０間での情報伝達を一手に引き受ける。

図２は、図１に示す構成の第１の変形例である。図１の構成では、共通のコントローラ間通信ネットワーク２０に全てのパケットデータ（入力機器情報、出力機器情報、制御情報）を流している。これに対し、図２に示す制御システム１Ａでは、入力機器情報を転送するための第１のコントローラ間通信ネットワーク２１と、出力機器情報を転送するための第２のコントローラ間通信ネットワーク２２とを別々に設けている。

この結果、図２に示す制御システム１Ａは、入力用コントローラ１０ａを含む入力ドメインと、情報処理用コントローラ１０ｄを含む計算ドメインと、出力用コントローラ１０ｂ，１０ｃを含む出力ドメインとに分割されている。なお、以下、図中では、情報処理部１０２の記載を省略している。また、図中では、入力部を入力と、出力部を出力と、通信部を通信と、それぞれ省略する。

入力用コントローラ１０ａの入力部１０１は、信号線を介して安全スイッチ３０と接続されている。入力用コントローラ１０ａの通信部１０４は、第１のコントローラ間通信ネットワーク２１に接続されている。入力用コントローラ１０ａは、安全スイッチ３０からの信号に基づいて入力機器情報のパケットを生成し、そのパケットを第１のコントローラ間通信ネットワーク２１に送り出す。

出力用コントローラ１０ｂ，１０ｃの通信部１０４は、第２のコントローラ間通信ネットワーク２２に接続されている。出力用コントローラ１０ｂ，１０ｃの出力部１０３には、出力機器４０，５０が接続されている。なお、出力用コントローラ１０ｂの入力部１０１には、出力機器としてのモータ４０に付随するエンコーダ４１が接続されている。出力用コントローラ１０ｂ，１０ｃは、出力機器の状態などを示す出力機器情報のパケットを生成して、第２のコントローラ間通信ネットワーク２２に送り出す。

所定の制御演算を実行する情報処理用コントローラ１０ｄは、その通信部１０４が第１のコントローラ間通信ネットワーク２１および第２のコントローラ間通信ネットワーク２２にそれぞれ接続されている。情報処理用コントローラ１０ｄの入力部１０１および出力部１０２には、何も接続されていない。情報処理用コントローラ１０ｄは、第１のコントローラ間通信ネットワーク２１を介して入力用コントローラ１０ａから、入力機器情報のパケットを受領する。また、情報処理用コントローラ１０ｄは、第２のコントローラ間通信ネットワーク２２を介して出力用コントローラ１０ｂ，１０ｃから、出力機器情報のパケットを受領する。そして、情報処理用コントローラ１０ｄは、入力機器情報および／または出力機器情報に基づいて、所定の制御演算を実行する。

このように、入力機器情報を転送するための第１のコントローラ間通信ネットワーク２１と、出力機器情報を転送するための第２のコントローラ間通信ネットワーク２２とを分ける。これにより、入力機器情報のトラフィックと出力機器情報のトラフィックとを分離して、制御システム内の通信負荷を軽減することができ、さらに、制御システムの応答性を高めることができる。

図３は、図１に示す構成の第２の変形例である。図３の構成例と図２の構成例とを比較すると、図３の制御システム１Ｂでは、情報処理用コントローラとして複数の統一コントローラ１０ｄ，１０ｅが設けられている。第１の（一方の）情報処理用コントローラ１０ｄと第２の（他方の）情報処理用コントローラ１０ｅとは、第３のコントローラ間通信ネットワーク２３によって直接的に接続されている。第３のコントローラ間通信ネットワーク２３は、主に制御情報の転送に使用されるため、制御情報用コントローラ間通信ネットワークと呼ぶこともできる。

第１の情報処理用コントローラ１０ｄは、以下に述べる３種類の情報を、それぞれ独立して設けられるコントローラ間通信ネットワーク２１〜２３を介して取得する。第１の情報は、第１のコントローラ間通信ネットワーク２１を介して入力用コントローラ１０ａから取得する入力機器情報である。第１のコントローラ間通信ネットワーク２１は、主に入力機器に関する情報の転送に使用されるため、入力側通信ネットワークと呼ぶこともできる。第２の情報は、第２のコントローラ間通信ネットワーク２２を介して出力用コントローラ１０ｂ，１０ｃから取得する出力機器情報である。第２のコントローラ間通信ネットワーク２２は、主に出力機器に関する情報の転送に使用されるため、出力側通信ネットワークと呼ぶこともできる。第３の情報は、第３のコントローラ間通信ネットワーク２３を介して第２の情報処理用コントローラ１０ｅから取得する制御情報である。

第１の情報処理用コントローラ１０ｄは、入力機器情報と出力機器情報および制御情報に基づいて所定の制御演算を実行することができる。または、第１の情報処理用コントローラ１０ｄは、入力機器情報および出力機器情報に基づいて所定の制御演算を実行し、その結果である制御情報を第３のコントローラ間通信ネットワーク２３を介して、第２の情報処理用コントローラ１０ｅに送信することもできる。

本実施例では、上述の通り、単一構成の複数の統一コントローラ１０をコントローラ間通信ネットワーク２０，２１，２２を介して所定の構成で結合する。これにより、予め設定される複数の機能安全レベル（ＳＩＬ１〜ＳＩＬ３）のうちいずれか所定の機能安全レベルを、実現することができる。

従って、本実施例では、機能安全レベルごとに専用のコントローラを開発したり製造したりする必要がなく、単一構成の統一コントローラ１０をコントローラ間通信ネットワークを介して接続するだけで、所望の機能安全レベルに柔軟に対応できる。この結果、統一コントローラ１０および制御システムのコストを低減できる。

また、統一コントローラ１０は単一構成なので、在庫を持ちやすい。従って、統一コントローラ１０が故障した場合に速やかに対応することができる。さらに、二重系構成（または多重系構成）を構築する一部の統一コントローラ１０が故障した場合、故障した統一コントローラ１０のみ交換すればよいので、制御システムを停止させずに保守作業を行うことができる。

さらに、本実施例は、制御システムの構成変更にも柔軟に対応できる。例えば、新たな安全スイッチ３０を制御システムに追加する場合、新たな安全スイッチ３０からの信号を受け取って処理するための入力用コントローラを追加するだけで、その構成変更に対応できる。同様に、モータ４０またはブレーキ５０などの出力機器を増減する場合も、その増減に合わせて出力用コントローラを追加または削除すればよい。さらに、安全規格が将来改定されて制御演算処理の追加等が必要になったとしても、追加する制御演算処理を担当する情報処理用コントローラをコントローラ間通信ネットワークに接続するだけで対応することができる。

このように本実施例によれば、所定の機能安全レベルに合致した制御システムを容易かつ低コストに構築することができ、制御システムの構成変更にも容易かつ速やかに対応することができる。

図４および図５を参照して第２実施例を説明する。本実施例を含む以下の各実施例では重複した説明を省略し、特徴的な構成を主に説明する。本実施例では、機能安全レベルで二重系（多重系）が要求された場合の構成例を説明する。

図４の制御システム１Ｃは、二重系の構成と単一系の構成とを含む。安全スイッチ３０は、その用途に応じて、求められる機能安全レベルが異なる場合がある。一方の安全スイッチ３０については単一系の構成で許容されるが、他方の安全スイッチ３１については二重系の構成が要求される。

単一系の構成の場合、安全スイッチ３０と統一コントローラ１０ｆとを一対一で接続すればよい。統一コントローラ１０ｆは、その通信部１０４を介してコントローラ間通信ネットワーク２０に接続される。さらに、統一コントローラ１０ｆは、コントローラ間通信ネットワーク２０などを介して、他の統一コントローラ（図示せず）と接続することでもできる。

これに対し、図４の右側に示す安全スイッチ３１側の構成に要求される機能安全レベルは高いものとする。安全スイッチ３１については、強制乖離スイッチ（図１１の乖離スイッチ３０１参照）を備えることが要求されている。さらに、安全スイッチ３１の状態を２チャンネルで監視すること（マルチチャンネル）が要求されている。

そこで、図４に示す安全スイッチ３１は、接点の溶着が発生した場合などに強制的に接点を開くための強制乖離スイッチを備えており、さらに、複数の統一コントローラ１０ｇ，１０ｈに接続されている。安全スイッチ３１の状態は、複数の統一コントローラ１０ｇ，１０ｈにより監視される。

複数の統一コントローラ１０ｇ，１０ｈは、コントローラ間通信ネットワーク２０に接続されており、コントローラ間通信ネットワーク２０を介して互いに通信できる。二重系のシステム構成の場合、相互比較が必要とされることが多い。各統一コントローラ１０ｇ，１０ｈは、安全スイッチ３１の状態を示す入力機器情報を含むパケットを生成し、コントローラ間通信ネットワーク２０を介して相互に交換することができる。

なお、各統一コントローラ１０ｇ，１０ｈで生成した入力機器情報を、図外の情報処理用コントローラに送り、その情報処理用コントローラ内で複数の入力機器情報が一致するか比較してもよい。また、安全スイッチ３１の状態をマルチチャネルで監視するため、複数の統一コントローラ１０ｇ，１０ｈのうちいずれか一方の統一コントローラが故障した場合でも、他方の統一コントローラで安全スイッチ３１の状態監視を続行できる。

このように、統一コントローラ１０をコントローラ間通信ネットワーク２０に複数接続することで、二重系の構成を容易に構築することができる。なお、強制開離型ではない安全スイッチ３０を用いて二重系の構成を構築する場合、該安全スイッチ３０を二個必要とする場合もある。その場合は、安全スイッチ３０と統一コントローラ１０ｆの組合せを複数用意して、コントローラ間通信ネットワーク２０に接続すればよい。

図５は、第２実施例の変形例を示す。図５に示す制御システム１Ｄでは、安全スイッチ３１の状態を監視するための複数の統一コントローラ１０ｇ，１０ｈを、制御情報転送用のコントローラ間通信ネットワーク２４で接続している。

基本的に、コントローラ間通信ネットワーク２０の主目的は、入力機器である安全スイッチ３０及び安全スイッチ３１の状態を通信することである。機能安全の観点から、安全スイッチ３１の状態を相互比較するための情報転送には、別のコントローラ間通信ネットワーク２４を設ける方が好ましい場合がある。そこで、図５の構成では、それぞれ異なる複数のコントローラ間通信ネットワーク２０，２４を設けて、入力機器情報の転送と相互監視用の情報転送とに別々のコントローラ間通信ネットワークを使用する。

従来技術では、二重系構成における情報の相互比較のためにＤＰＲＡＭ（Dual Port RAM）または専用のプロセッサ間通信バスを用いて、二重系専用のコントローラを開発していた。これに対し、本実施例では、単一構成の複数の統一コントローラ１０ｇ，１０ｈをコントローラ間通信ネットワーク２０，２４で接続するだけで、二重系の構成を簡単に得ることができる。

このように構成される本実施例も第１実施例と同様の効果を奏する。

図６を用いて第３実施例を説明する。本実施例では、二重系構成を形成する複数の統一コントローラの一方を、遠隔地（リモートサイト）に設置する場合を説明する。

図６に示す制御システム１Ｅは、ローカルサイトとしての装置側環境ＬＳと、リモートサイトとしての遠隔環境ＲＳとを含み、装置側環境ＬＳと遠隔環境ＲＳとはサイト間通信ネットワーク２５により接続されている。これにより、本実施例では、例えば災害などが発生した場合の安全性を向上している。

装置側環境ＬＳとは、制御対象の装置が存在する方の環境である。遠隔環境ＲＳとは、装置側環境ＬＳ内の制御対象の装置を、装置側環境ＬＳから物理的に離れた場所から遠隔監視（遠隔制御）するための環境である。

安全スイッチ３１の状態は、環境をまたぐ複数の統一コントローラ１０ｉ，１０ｋによる二重系構成で監視されている。第１の統一コントローラ１０ｉは、装置側環境ＬＳ内に設けられている。第２の統一コントローラ１０ｋは、装置側環境ＬＳから離れた場所の遠隔環境ＲＳに設けられている。

安全スイッチ３１は、装置側環境ＬＳ内において、第１の統一コントローラ１０ｉと、第３の統一コントローラ１０ｊとにそれぞれ接続されている。第３の統一コントローラ１０ｊは、例えばブリッジ機能を発揮するためのブリッジ用コントローラとして使用されている。安全スイッチ３１は、ブリッジ用コントローラ１０ｊとサイト間通信ネットワーク２５を介して、遠隔環境ＲＳ内の第２の統一コントローラ１０ｋと接続される。

通信ネットワーク２５は、第３の統一コントローラ１０ｊと第２の統一コントローラ１０ｋとを接続するための通信ネットワークであり、コントローラ間通信ネットワークの一種である。さらに、通信ネットワーク２５は、装置側環境ＬＳと遠隔環境ＲＳとを接続する通信ネットワークであるため、本実施例では、サイト間通信ネットワークと呼ぶ。これに代えて、通信ネットワーク２５を外部接続用通信ネットワークと呼んでもよい。なお、サイト間通信ネットワーク２５は、制御システムの安全性に影響を与えない通信ネットワークであれば、有線または無線いずれでもよい。

遠隔環境ＲＳ内の第２の統一コントローラ１０ｋは、サイト間通信ネットワーク２５およびブリッジ用コントローラ１０ｊを介して、装置側環境ＬＳ内の安全スイッチ３１の状態を監視することができる。そして、第２の統一コントローラ１０ｋは、その監視結果をサイト間通信ネットワーク２５を介して、装置側環境ＬＳまたは図外の他のサイトに伝達することができる。

本実施例は第１、第２実施例のいずれにも適用でき、第１，第２実施例と同様の効果を奏する。さらに、本実施例では、安全スイッチ３１の状態を監視するための複数の統一コントローラのうち一方を装置側環境ＬＳ内に設け、他方を遠隔環境ＲＳに設ける。このため、災害発生等で装置側環境ＬＳ内の第１統一コントローラ１０ｉが機能を停止した場合でも、遠隔環境ＲＳ内の第２統一コントローラ１０ｋでシステム状態を監視して、安全性を確保できる。また、本実施例では、安全スイッチ３１の状態を遠隔環境ＲＳから把握できるため、遠隔地からの災害復旧処理およびオンラインメンテナンスなども行うことができる。

図７を参照して第４実施例を説明する。本実施例では、装置側環境ＬＳ内に二重系の構成を構築すると共に、遠隔環境ＲＳから装置側環境ＬＳを監視できるようにする場合を説明する。本実施例では、例えば、自動車、建設機械などのような、高度の機能安全レベルを要求される、危険状態を回避するため自動停止システムを例に挙げて説明する。

図７は、本実施例による制御システム１Ｆの構成例を示す。装置側環境ＬＳは、例えば自動車、建設機械、航空機、列車などの内部に設けられる。従って、装置側環境ＬＳは、例えば、車体側環境、機体側環境、移動体側環境等と呼んでもよい。

装置側環境ＬＳは、少なくとも１つの入力機器としてのセンサ３２と、複数の統一コントローラ１０ｐ，１０ｑ，１０ｒ，１０ｓと、少なくとも１つの出力機器としてのブレーキ５０と、複数のコントローラ間通信ネットワーク２１，２２を備える。

センサ３２は、例えば、障害物を検出するための車載センサとして構成される。障害物検出センサは、例えば、単眼カメラ、ステレオカメラ、各種レーダーなどのように構成される。センサ３２は、入力用コントローラ１０ｐに接続されている。センサ３２の出力信号は、入力用コントローラ１０ｐにより処理される。入力用コントローラ１０ｐの通信部１０４は、入力機器情報の転送に使用するためのコントローラ間通信ネットワーク２１に接続されている。入力用コントローラ１０ｐは、センサ３２からの信号に基づいて入力機器情報のパケットを生成し、その入力機器情報のパケットをコントローラ間通信ネットワーク２１に送り出す。

出力用コントローラ１０ｓは、出力機器としてのブレーキ５０に接続されている。出力用コントローラ１０ｓの通信部１０４は、出力側通信ネットワーク２２に接続されている。出力用コントローラ１０ｓは、出力機器情報のパケットを作成してコントローラ間通信ネットワーク２２に送り出す。

入力用コントローラ１０ｐと出力用コントローラ１０ｓの間には、複数の情報処理用コントローラ１０ｑ，１０ｒが設けられている。各情報処理用コントローラ１０ｑ，１０ｒの通信部１０４は、コントローラ間通信ネットワーク２１，２２に接続されている。さらに、情報処理用コントローラ１０ｒは、装置側環境ＬＳと遠隔環境ＲＳとの間で情報を交換するためのブリッジとしても機能しており、サイト間通信ネットワーク２５を介して、遠隔環境ＲＳ内の統一コントローラ１０ｋにも接続されている。

統一コントローラ１０ｑは、コントローラ間通信ネットワーク２１から入力機器情報を取得し、その情報に基づいて所定の制御演算を実施し、その処理結果をコントローラ間通信ネットワーク２２を介して出力用コントローラ１０ｓに送信することができる。

遠隔環境ＲＳ内の統一コントローラ１０ｋは、装置側環境ＬＳ内の統一コントローラ１０ｒをブリッジとして、装置側環境ＬＳ内の入力機器情報および出力機器情報をサイト間通信ネットワーク２５を介して取得する。

遠隔環境ＲＳ内の統一コントローラ１０ｋは、装置側環境ＬＳから取得した情報を元に所定の制御演算処理を実施する。統一コントローラ１０ｋは、その処理結果を、サイト間通信ネットワーク２５および統一コントローラ１０ｒを介して、装置側環境ＬＳ内の出力側通信ネットワーク２２に配信する。

出力用コントローラ１０ｓは、コントローラ間通信ネットワーク２２から受領した情報（制御演算の結果）に基づいて、ブレーキ５０を制御する。その制御結果は、コントローラ間通信ネットワーク２２を介して各統一コントローラ１０ｑ，１０ｒに送信され、さらにサイト間通信ネットワーク２５を介して遠隔の地にある統一コントローラ１０ｋにも送信される。

装置側環境ＬＳ内の情報処理用コントローラ１０ｆ，１０ｈは、車体または機体などに搭載されるセンサ３２が検知できる車体周辺の状況に基づいて、障害物発見による減速処理等の制御演算を実施する。各統一コントローラ１０ｆ，１０ｈの演算結果は同一であることが前提である。

これに対し、遠隔環境ＲＳ内の統一コントローラ１０ｋは、センサ３２からの信号のみならず、他の情報も加味して制御演算を行うことができる。例えば、統一コントローラ１０ｋは、装置側環境ＬＳが設けられている制御対象車両の周辺に位置する他車の走行状況なども考慮して、制御演算を行うことができる。従って、例えば、制御対象車両の前を走行する先行車との距離だけでなく、そのさらに先を走る他車の速度などに応じて、減速の必要性を早期に演算することもできる。

本実施例は第１、第２実施例のいずれにも適用できる。本実施例は、第３実施例と同様の効果を得る。さらに、本実施例では、装置側環境ＬＳ内において複数の統一コントローラ１０ｑ，１０ｒにより二重系のコントローラ構成を得ることができ、かつ、遠隔環境ＲＳ内の統一コントローラ１０ｋによるバックアップ構成も実現できる。さらに、装置側環境ＬＳ内の制御と、遠隔環境ＲＳ内の制御とで異なる制御を行うことでもきる。なお、本実施例では、自動車の自動減速処理または自動停止処理に適用する場合を説明したが、これに限らず、例えば、船舶の運行制御、航空機の離発着制御、建設機械の走行制御などのように他の制御にも応用することができる。

図８を参照して第５実施例を説明する。本実施例では、統一コントローラ１０の情報処理部１０２がプログラマブル・デバイスであるマイクロプロセッサ（ＣＰＵ）から構成される場合において、そのソフトウェア構成を説明する。

情報処理部１０２の有するソフトウェア階層は、その上位からアプリケーション層１１０、仮想Ｉ／Ｏ層１１１、機能安全層１１２、安全通信層１１３、ネットワーク層１１４、Ｉ／Ｏ層１１５を備えている。

例えば衝突防止プログラム、自動減速プログラム等のような、機能安全レベルに応じたアプリケーションプログラムは、アプリケーション層１１０に対応する。アプリケーション層１１０のプログラムが、通信ネットワークおよびＩ／Ｏ等の物理デバイスに依存しないように、仮想Ｉ／Ｏ層１１１が設けられている。これにより、統一コントローラ１０を制御システムに追加したり、設置場所を移動したりした場合でも、アプリケーション層１１０のプログラム（アプリケーションプログラム）は、物理デバイスの場所などを意識せずに物理デバイスを使用することができる。

機能安全層１１２は、機能安全レベルに応じて、通信ネットワークおよびＩ／Ｏ等の物理デバイスの安全方策を実現する。機能安全層１１２は、要求される機能安全レベルに応じて、安全通信層１１３を経由してネットワーク層１１４をアクセスするか、もしくはネットワーク層１１４をそのままアクセスするかの判断および通信処理を実行する。さらに、機能安全層１１２は、要求される機能安全レベルによっては、Ｉ／Ｏ層１１５に関してフィードバック処理等の安全方策を実施する。

このように構成される本実施例は、第１〜第４実施例のいずれにも適用できる。本実施例で述べたソフトウェア階層を情報処理部１０２に設けることで、通信ネットワークおよびＩ／Ｏ等の物理デバイスを意識することなく、かつ機能安全レベルを意識することなく、アプリケーションプログラムを開発することができる。これにより、統一コントローラ１０の開発期間および開発コストを低減できる。

図９を参照して第５実施例を説明する。本実施例では、二重系（多重系）のコントローラ構成を実現するための方法を説明する。図９のフローチャートは、一方の統一コントローラ（Ａ）が、既知の他方の統一コントローラ（Ｂ）と二重系の構成を構築するための処理を示す。ここでは、統一コントローラに（Ａ），（Ｂ）の符号を付けて区別する。

統一コントローラ（Ａ）は、二重系構成の相手となる統一コントローラ（Ｂ）に初期化情報を送信する（Ｓ１０）。相手となる統一コントローラが既知であるとは、統一コントローラを通信ネットワーク上で識別するためのネットワークＩＤ等が制御システム構築時に決定していることを示す。

相手となる統一コントローラ（Ｂ）は、初期化情報を受信すると（Ｓ１１）、ＡＣＫを返す（Ｓ１２）。統一コントローラ（Ａ）は、ＡＣＫを受信する（Ｓ１３）。統一コントローラ（Ａ）は、ＡＣＫが到着しているか確認する（Ｓ１４）。

ＡＣＫが到着している場合（Ｓ１４：受信確認）、統一コントローラ（Ａ）は、二重系構成の構築成功の処理を実行する（Ｓ１５）。ＡＣＫが到着していない場合であって、かつタイムアウトしていない場合（Ｓ１４：再受信）、統一コントローラ（Ａ）はステップＳ１３に戻って再受信を試みる。

ＡＣＫが到着していない場合であって、かつタイムアウトした場合（Ｓ１４：タイムアウト）、統一コントローラ（Ａ）は、初期化情報の送信回数が所定回数に達したか判定する（Ｓ１６）。初期化情報の送信回数が予め設定された所定回数に達していない場合（Ｓ１６：ＮＯ）、統一コントローラ（Ａ）は、ステップＳ１０に戻って、初期化情報を統一コントローラ（Ｂ）に再送信する。

初期化情報を所定回数送信した場合（Ｓ１６：ＹＥＳ）、統一コントローラ（Ａ）は、二重系構成の構築失敗の処理を実行する（Ｓ１７）。なお、初期化情報の内容、初期化処理の内容、構築成功処理の内容および構築失敗処理の内容については、本実施例の要旨ではなく、本実施例の理解および実施に影響はないため、詳細な説明を割愛する。

このように構成される本実施例は、前記各実施例において、コントローラ構成を二重化（多重化）する場合に適用することができる。

図１０を用いて第７実施例を説明する。本実施例では、相手となる統一コントローラ（Ｂ）のネットワーク上での所在が不明な場合に、二重系のコントローラ構成を構築する方法を説明する。

図１０のフローチャートは、一方の統一コントローラ（Ａ）が、他方の統一コントローラ（Ｂ）を探索して、二重系のコントローラ構成を構築する処理を示す。

統一コントローラ（Ａ）は、二重系構成の相手となる統一コントローラ（Ｂ）が具備すべき条件を含む問合せ情報を生成する（Ｓ２０）。統一コントローラ（Ａ）は、例えば、「相手となるべき統一コントローラ（Ｂ）は所定の安全スイッチと接続されていること」を条件として、問合せ情報を生成する。統一コントローラ（Ａ）は、生成した問合せ情報を通信部１０４から通信ネットワークに配信する（Ｓ２１）。

通信ネットワークに接続されている各統一コントローラは、問合せ情報を受信し（Ｓ２２）、問合せ情報で指定された条件を自分が満たしているか確認する（Ｓ２３）。指定された条件を満たしていないと判定した場合（Ｓ２３：非該当）、処理を終了する。指定された条件を満たすと判定した場合（Ｓ２３：該当）、問合せ情報を受信した統一コントローラは、自分のノード情報を統一コントローラ（Ａ）に送信する（Ｓ２４）。ここでは、通信ネットワーク上の複数の統一コントローラのうち、統一コントローラ（Ｂ）が条件を満たしており、ノード情報を統一コントローラ（Ａ）に送信したものとする。

ノード情報には、統一コントローラ（Ｂ）に接続されている機器の種類等の情報が含まれている。ノード情報は、例えば、統一コントローラ（Ｂ）に接続されている安全スイッチについての情報などを含む。

問合せ情報の発行元である統一コントローラ（Ａ）は、統一コントローラ（Ｂ）からノード情報を受信する（Ｓ２５）。統一コントローラ（Ａ）は、ノード情報を受信できたか確認する（Ｓ２６）。ノード情報の受信を確認できた場合（Ｓ２６：受信確認）、統一コントローラ（Ａ）は、構築成功の処理を実行する（Ｓ２７）。

ノード情報の受信を確認できない場合であって、かつタイムアウトしていない場合（Ｓ２６：再受信）、統一コントローラ（Ａ）はステップＳ２５に戻り、ノード情報を再度受信する。

ノード情報の受信を確認できないであって、かつタイムアウトした場合（Ｓ２６：タイムアウト）、統一コントローラ（Ａ）は、問合せ情報の送信回数が予め設定された所定回数に達したか判定する（Ｓ２８）。問合せ情報の送信回数が所定回数に達していない場合（Ｓ２８：ＮＯ）、統一コントローラ（Ａ）は、ステップＳ２１に戻り、問合せ情報を通信ネットワークに配信する。

問合せ情報の送信回数が所定回数に達した場合（Ｓ２８：ＹＥＳ）、統一コントローラ（Ａ）は、構築失敗の処理を実行する（Ｓ２９）。なお、問合せ情報の内容、ノード情報の内容、構築成功処理及び構築失敗処理の詳細については、本実施例の要旨ではなく、本実施例の理解および実施に影響はないため、詳細な説明を割愛する。

このように構成される本実施例は、前記各実施例において、コントローラ構成を二重化（多重化）する場合に適用することができる。

図１１および図１２を用いて第８実施例を説明する。本実施例では、統一コントローラ１０に接続される入力機器または出力機器が、所定の機器であることを確認するための方法を示す。本実施例は、前記各実施例のいずれにも適用できる。さらに、本実施例は、入力機器、出力機器のいずれにも適用できる。ここでは、一例として、入力機器としての安全スイッチを例に挙げて説明する。

図１１は、本実施例の制御システムで使用される安全スイッチ３０の構成を示す。安全スイッチ３０は、電源と統一コントローラ１０との間に設けられており、例えば、接点部３００と、強制乖離機構３０１と、通信装置３０２と、メモリ３０３と、を備える。安全スイッチ３０は、安全性の求められる部位で使用されるため、接点部３００が溶着した場合でも強制的に接点を開くための強制乖離機構３０１を備える。

統一コントローラ１０は、接点部３００の状態を電圧変化で検知する。例えば、接点が開状態の場合、統一コントローラ１０は、０Ｖの電圧を検出するため、開状態”０”であることを検知できる。接点が閉状態の場合、統一コントローラ１０は、電源電圧とほぼ等しい電圧レベルを検出するため、閉状態”１”であることを検知できる。

安全スイッチ３０の内部には、接点部３００と統一コントローラ１０とを接続する信号線の途中に位置して、通信装置３０２とメモリ３０３とが接続されている。通信装置３０２は、接点部３００が開状態の場合には終端通信ノードとなり、統一コントローラ１０との通信が可能となる。通信装置３０２が電力線伝送方式で通信を行う装置である場合、接点部３００が閉状態の場合にも、統一コントローラ１０と通信が可能である。

通信装置３０２にはメモリ３０３が接続されている。メモリ３０３は、例えば不揮発性メモリとして構成され、安全スイッチ３０に関する情報である安全スイッチ情報３０４を記憶している。安全スイッチ情報３０４は、例えば、安全スイッチ３０の種別および型番等の識別情報を含むことができる。なお、安全スイッチ３０が簡易な情報処理装置を備える場合、接点部３００の開閉回数を計測し、その計測した開閉数を安全スイッチ情報３０４の一部に含めることもできる。

安全スイッチ３０は、統一コントローラ１０と通信が可能な所定の場合に、メモリ３０３から安全スイッチ情報３０４を読み出して、統一コントローラ１０に送信する。

図１２は、統一コントローラ１０が安全スイッチ３０を確認する処理を示すフローチャートである。本処理は、例えば、統一コントローラ１０が初期化処理を実行する際に実施される。

統一コントローラ１０はその初期化時に、入力部１０１のポートを入力ポートとして、ポートの状態を確認する（Ｓ３０）。統一コントローラ１０は、ポート状態が開状態”０”であるか判定する（Ｓ３１）。

統一コントローラ１０は、ポート状態が”１”の場合は安全スイッチ３０が閉状態なので（Ｓ３１：ＮＯ）、安全スイッチ３０が作動していると判定し、本処理を終了する。その後、統一コントローラ１０は、要求された機能安全レベルを満たすべく、所定の安全処理（図示せず）を実行する。

これに対し、ポート状態が”０”の場合は安全スイッチ３０が開状態であるため（Ｓ３１：ＹＥＳ）、統一コントローラ１０は、ポートを出力ポートにモード変更し、給電及び通信を開始する（Ｓ３２）。

給電および通信初期化を受けた安全スイッチ３０は、統一コントローラ１０との通信を開始し（Ｓ３３）、メモリ３０３に記憶されている安全スイッチ情報３０４を統一コントローラ１０に送信する（Ｓ３４）。

受信待機中の統一コントローラ１０は、安全スイッチ３０から安全スイッチ情報３０４を受信する（Ｓ３５）。統一コントローラ１０は、安全スイッチ情報３０４を受信できたか確認する（Ｓ３６）。所定時間内に安全スイッチ情報３０４を受信できず、タイムアウトした場合（Ｓ３６：タイムアウト）、統一コントローラ１０は、安全スイッチ３０が想定外のスイッチであると判定し、本処理を終了する。想定外のスイッチとは、安全スイッチ情報の応答機能を備えていない安全スイッチであることを意味する。

これに対し、安全スイッチ３０から安全スイッチ情報３０４を所定時間内に受信できた場合（Ｓ３６：受信済み）、統一コントローラ１０は、その安全スイッチ情報３０４を処理し、想定通りの安全スイッチ３０が接続されていると判定し、本処理を終了する。つまり、統一コントローラ１０は、安全スイッチ情報３０４を応答する機能を有する所定の安全スイッチ３０が統一コントローラ１０に接続されたと判定し、その後、所定の安全処理を実行する。

このように構成される本実施例は、前記各実施例に適用できる。本実施例では、統一コントローラ１０に接続された安全スイッチ３０が安全スイッチ情報３０４を応答する機能を有する安全スイッチであるか否かを判定できる。従って、安全性の高い所定の安全スイッチ３０が制御システムに使用されているかを事前に判定でき、制御システムの安全性および信頼性を高めることができる。

また、安全スイッチ３０が簡易な情報処理装置を備える場合、統一コントローラ１０は、接点部３００の開閉回数のような安全デバイスの稼働状況を確認できる。従って、統一コントローラ１０は、例えば安全デバイスの寿命を推測し、該安全デバイスの交換時期等の管理したりすることもできる。なお、本実施例では、安全スイッチ３０を例に挙げて説明するが、これに限らない。例えば、コンタクタのような装置に、該装置に関する情報を応答する機能を持たせてもよい。

図１３を用いて第９実施例を説明する。本実施例では、適用可能な技術分野を例示的に列挙する。

上述した各実施例の構成は、例えば、エレベータシステム６０、自動車６１、電車６２、航空機６３、建設機械６４などにも広く適用することができる。さらに、製鉄プラント、浄水プラント、化学プラントなどのプラントの制御にも適用できる。

図１４を用いて第１０実施例を説明する。本実施例では、例えば図２に示す制御システムにおいて、データの種別に応じて処理を変更する。

図２に示す情報処理用コントローラ１０ｄは、入力用コントローラ１０ａからコントローラ間通信ネットワーク２１を介して入力機器情報のパケットを受信すると（Ｓ４０）、受信パケットの種別が「通常」であるか「緊急」であるか判別する（Ｓ４１）。

「通常」とは、例えば安全性の点で緊急処理すべきものではなく、通常処理できるパケットであることを意味する。これに対し「緊急」とは、例えば安全性の点で緊急処理すべきパケットであることを意味する。通常のパケットを第１パケットと、緊急のパケットを第２パケットと、呼んでも良い。

通常のパケットの場合（Ｓ４１：通常）、情報処理用コントローラ１０ｄは、通常通り、受信した入力機器情報に基づいて所定の制御演算を実行し（Ｓ４２）、制御情報のパケットを生成する（Ｓ４３）。情報処理用コントローラ１０ｄは、制御情報のパケットを通信ネットワーク２２に配信する（Ｓ４４）。出力用コントローラ１０ｂ（または１０ｃ）は、制御情報のパケットに基づいて出力機器を制御することができる。

入力用コントローラ１０ａから受信したパケットが緊急処理すべきパケットの場合（Ｓ４１：緊急）、情報処理用コントローラ１０ｄは、そのパケットの宛先を出力用コントローラに書き換える（Ｓ４５）。情報処理用コントローラ１０ｄは、宛先を書き換えたパケットをコントローラ間通信ネットワーク２２を介して出力用コントローラ１０ｂ（または１０ｃ）に転送する（Ｓ４６）。

このように構成される本実施例は前記各実施例に適用できる。本実施例では、緊急処理すべき事態が入力用コントローラで検出された場合、情報処理用コントローラは、入力用コントローラからのパケットの宛先を書き換えて出力用コントローラに転送する。従って、緊急停止などの緊急事態に速やかに対応できる。

なお、本発明は、上述した実施例に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。

本発明は、例えば以下のように、制御システムに使用されるコントローラとして表現することもできる。
表現１．所定の機能安全レベルを満たす制御システムに使用されるコントローラであって、
前記制御システムに使用される他のコントローラと共通の構成を備えており、
前記他のコントローラとコントローラ間通信ネットワークによって通信可能に接続されており、
入力機器から入力機器情報を受領するための少なくとも一つの入力部と、
出力機器への出力機器情報を生成するための少なくとも一つの出力部と、
他のコントローラと前記コントローラ間通信ネットワークを介して通信するための少なくとも一つの通信部と、
前記入力機器情報および／または前記出力機器情報に基づいて、予め設定される所定の情報処理を実行するための少なくとも一つの情報処理部と、
を含んで構成されており、
前記他のコントローラと前記コントローラ間通信ネットワークを介して所定の構成に結合することで、予め設定される複数の機能安全レベルのうち前記所定の機能安全レベルを実現する、
制御システム用のコントローラ。

１，１Ａ，１Ｂ，１Ｃ，１Ｄ，１Ｅ，１Ｆ：制御システム、１０：統一コントローラ、２０，２１，２２，２３，２４：コントローラ間通信ネットワーク、２５：サイト間通信ネットワーク、３０，３１：安全スイッチ、３２：センサ、４０：モータ、５０：ブレーキ、１０１：入力部、１０２：情報処理部、１０３：出力部、１０４：通信部

Claims (7)

1. 所定の機能安全レベルを満たす制御システムであって、
   単一構成の複数のコントローラと、
   前記複数のコントローラを通信可能に接続するための少なくとも一つのコントローラ間通信ネットワークと、を備え、
   前記複数のコントローラは、
   入力機器から入力機器情報を受領するための少なくとも一つの入力部と、
   出力機器への出力機器情報を生成するための少なくとも一つの出力部と、
   他のコントローラと前記コントローラ間通信ネットワークを介して通信するための少なくとも一つの通信部と、
   前記入力機器情報および／または前記出力機器情報に基づいて、予め設定される所定の情報処理を実行するための少なくとも一つの情報処理部と、
   を含んで構成されており、
   前記複数のコントローラを前記コントローラ間通信ネットワークを介して所定の構成に結合することで、予め設定される複数の機能安全レベルのうち前記所定の機能安全レベルを実現する、
   制御システム。
2. 前記複数のコントローラのうち少なくとも一つは、前記入力部が前記入力機器に接続される入力用コントローラとなっており、
   前記複数のコントローラのうち少なくとも一つは、前記出力部が前記出力機器に接続される出力用コントローラとなっており、
   前記複数のコントローラのうち少なくとも一つは、前記入力用コントローラから前記コントローラ間通信ネットワークを介して取得する前記入力機器情報、および／または、前記出力用コントローラから前記コントローラ間通信ネットワークを介して取得する前記出力機器情報に基づいて、前記所定の情報処理を実行する情報処理用コントローラとなっている、
   請求項１に記載の制御システム。
3. 前記入力用コントローラと前記情報処理用コントローラとは、第１のコントローラ間通信ネットワークを介して通信可能に接続されており、
   前記出力用コントローラと前記情報処理用コントローラとは、第２のコントローラ間通信ネットワークを介して通信可能に接続されている、
   請求項２に記載の制御システム。
4. 前記情報処理用コントローラは複数設けられており、
   前記複数の情報処理用コントローラは、第３のコントローラ間通信ネットワークを介して通信可能に接続されている、
   請求項３に記載の制御システム。
5. 前記複数の情報処理用コントローラのうち一方の情報処理用コントローラは、制御対象の装置が存在するローカルサイトに設けられており、
   前記複数の情報処理用コントローラのうち他方の情報処理用コントローラは、前記ローカルサイトから離れた場所に設置されるリモートサイトに設けられており、
   前記第３のコントローラ間通信ネットワークは、前記ローカルサイトと前記リモートサイトを通信可能に接続するためのサイト間通信ネットワークとして構成される、
   請求項４に記載の制御システム。
6. 前記コントローラ間通信ネットワークには、前記入力機器情報を転送するための入力側通信ネットワークと、前記出力機器情報を転送するための出力側通信ネットワークと、前記統一コントローラ間で制御情報を転送するための制御情報用コントローラ間通信ネットワークとが含まれている、
   請求項１に記載の制御システム。
7. 前記入力機器は、当該入力機器の属性を示す属性情報を含む所定の情報を予め記憶しており、
   前記入力用コントローラは、所定のタイミングで、前記入力機器から前記所定の情報を取得する、
   請求項１〜５のいずれかに記載の制御システム。

Images