JP2023072276A - 制御システム、産業装置、制御方法、及びプログラム - Google Patents

Abstract

【課題】マルチドメインに対応したネットワークで発生した異常に対応する。
【解決手段】制御システム（１）は、同一の産業用通信のネットワークに設定された複数の通信ドメイン（Ｄ）と、複数の通信ドメイン（Ｄ）のうちの１以上の通信ドメイン（Ｄ）に属し、同じ通信ドメイン（Ｄ）に属するもの同士で通信を行う複数の産業装置（１０）と、を有する。複数の産業装置（１０）のうちの１以上の産業装置（１０）は、自身が属する１以上の通信ドメイン（Ｄ）が、安全通信が行われる安全ドメインであるか否かを示すドメイン情報を記憶する記憶部（１００）と、ドメイン情報が安全ドメインを示す場合に、安全通信に関する安全処理を行う安全処理部（１０１）と、安全処理に基づいて、安全通信を行う通信部（１０２）と、を有する。
【選択図】図４

Description

本開示は、制御システム、産業装置、制御方法、及びプログラムに関する。

特許文献１には、コントローラと、当該コントローラが制御する産業装置と、を含む通信グループを他の通信グループから独立して通信させるためのスイッチのオン／オフを制御することによって、１つの伝送周期の中で通信システム内の通信グループを動的に切り替える技術が記載されている。

国際公開第２０１７／０４６９１６号公報

本開示の目的の１つは、例えば、マルチドメインに対応したネットワークで発生した異常に対応することである。

本開示の一側面に係る制御システムは、同一の産業用通信のネットワークに設定された複数の通信ドメインと、前記複数の通信ドメインのうちの１以上の通信ドメインに属し、同じ前記通信ドメインに属するもの同士で通信を行う複数の産業装置と、を有し、前記複数の産業装置のうちの１以上の産業装置は、自身が属する前記１以上の通信ドメインが、安全通信が行われる安全ドメインであるか否かを示すドメイン情報を記憶する記憶部と、前記ドメイン情報が前記安全ドメインを示す場合に、前記安全通信に関する安全処理を行う安全処理部と、前記安全処理に基づいて、前記安全通信を行う通信部と、を有する。

本開示によれば、例えば、マルチドメインに対応したネットワークで発生した異常に対応できる。

制御システムの全体構成の一例を示す図である。 制御システムにおける通信ドメインの一例を示す図である。 伝送周期における通信手順の一例を示す図である。 制御システムで実現される機能の一例を示す機能ブロック図である。 ドメイン情報の一例を示す図である。 安全処理が行われたデータの一例を示す図である。 制御システムで実行される処理の一例を示すフロー図である。 制御システムで実行される処理の一例を示すフロー図である。 変形例における機能ブロックの一例を示す図である。 変形例１における通信ドメインの一例を示す図である。 変形例３で安全処理が行われたデータの一例を示す図である。 変形例４における通信ドメインの一例を示す図である。

［１．制御システムの全体構成］
本開示に係る制御システムの実施形態の一例を説明する。図１は、制御システムの全体構成の一例を示す図である。本実施形態では、産業装置１０Ａ～１０Ｆを区別しない場合には、産業装置１０と記載する。ＣＰＵ１１Ａ～１１Ｆ、メモリ１２Ａ～１２Ｆ、及び通信ＩＦ１３Ａ～１３Ｆを区別しない場合には、それぞれＣＰＵ１１、メモリ１２、及び通信ＩＦ１３と記載する。

産業装置１０は、生産現場に配置された装置である。例えば、産業装置１０は、物理的な作業を行う装置、物理的な作業を行う装置を制御する装置、又はこれらの装置のデータを収集する装置である。産業装置１０は、任意の種類であってよく、例えば、モータ制御装置、数値制御装置、加工装置、搬送装置、検査装置、これらの装置を制御するコントローラ、ロボットコントローラ、ＰＬＣ（Programmable Logic Controller）、セルコントローラ、又はラインコントローラである。物理的な作業を行わないセンサユニット又はＩ／Ｏユニット等の装置が産業装置１０に相当してもよい。

ＣＰＵ１１は、１以上のプロセッサを含む。メモリ１２は、揮発性メモリと、不揮発性メモリと、の少なくとも一方を含む。通信ＩＦ１３は、有線通信用の通信インタフェースと、無線通信用の通信インタフェースと、の少なくとも一方を含む。図１の各産業装置１０を接続する線は、通信ケーブルである。本実施形態では、産業装置１０の接続形態がデイジーチェーン接続（カスケード接続）である場合を例に挙げるが、産業装置１０の接続形態は、スター接続等の任意の接続形態であってよく、デイジーチェーン接続に限られない。

なお、産業装置１０のハードウェア構成は、任意の構成であってよく、図１の例に限られない。例えば、産業装置１０は、メモリカードスロット等の読取部、又は、ＵＳＢ端子等の入出力部を含んでもよい。この場合、コンピュータ読み取り可能な情報記憶媒体に記憶されたプログラム又はデータが、読取部又は入出力部を介して、産業装置１０に供給されてもよい。例えば、プログラム又はデータは、ネットワークを介して、産業装置１０に供給されてもよい。

また、産業装置１０は、ＦＰＧＡ又はＡＳＩＣといった他の回路を含んでもよい。本実施形態では、ＣＰＵ１１がcircuitryと呼ばれる構成に相当する場合を例に挙げるが、ＦＰＧＡ又はＡＳＩＣといった他の回路がcircuitryに相当してもよい。例えば、産業装置１０には、モータ又はロボットといった機構が接続されてもよいし、トルクセンサ、モータエンコーダ、又はビジョンセンサといったセンサが接続されてもよい。

［２．制御システムの概要］
本実施形態の制御システム１は、同一の産業用通信のネットワークに設定された複数の通信ドメインを有する。産業用通信のネットワークは、産業用の通信プロトコルに基づいて構築されたネットワークである。各産業装置１０を互いに接続する通信ケーブル及び通信ＩＦ１３は、産業用の通信プロトコルに応じたものとなる。本実施形態では、通信プロトコルがメカトロリンク（登録商標）である場合を例に挙げるが、制御システム１の通信プロトコル自体は、任意の通信プロトコルであってよく、本実施形態の例に限られない。

通信ドメインは、ネットワークにおける通信の範囲である。同じ通信ドメインに属する装置同士で通信が行われる。通信ドメインは、物理的なグループではなく、論理的なグループである。物理的に接続されていても、同じ通信ドメインに属さない装置同士で通信は行われない。本実施形態の制御システム１は、マルチドメインに対応し、複数の通信ドメインを有する。マルチドメインとは、同一のネットワーク内に複数の通信ドメインを構成することである。

本実施形態では、複数の通信ドメインの各々には、第１の産業装置と、第１の産業装置が制御する第２の産業装置と、が属する。第１の産業装置は、第２の産業装置に指令を送信する装置である。第１の産業装置は、メイン又はホストと呼ばれることもある。第２の産業装置は、第１の産業装置の制御対象となる装置である。第２の産業装置は、第１の産業装置からの指令に基づいて動作し、第１の産業装置に応答を送信する装置である。第２の産業装置は、セカンダリ又はクライアントと呼ばれることもある。なお、第１の産業装置及び第２の産業装置について説明している箇所は、産業装置１０における「１０」の符号を省略する。

図２は、制御システム１における通信ドメインの一例を示す図である。本実施形態では、制御システム１が、通常ドメインである通信ドメインＤ１と、安全ドメインである通信ドメインＤ２と、を有する。以降、通信ドメインＤ１，Ｄ２を区別しない時は、通信ドメインＤと記載する。制御システム１は、３以上の通信ドメインＤを有してもよく、通信ドメインＤは、図２の例に限られない。

通常ドメインとは、通常通信が行われる通信ドメインＤである。通常通信は、送信対象のデータに対し、後述の安全処理が行われない通信である。例えば、通常通信では、ネットワークで異常が発生していない場合における処理と、ネットワークで異常が発生した場合における処理と、は同じである。例えば、安全通信では、ネットワークで異常が発生していない場合には任意の指令を送信可能であるが、ネットワークで異常が発生した場合には所定の指令が強制的に送信されるのに対し、通常通信では、ネットワークで異常が発生しても所定の指令にはならず、ネットワークで異常が発生していない場合と同様の任意の指令を送信可能である。安全処理が行われないので、通常通信は、安全通信よりも、ネットワークに発生した異常に対応しにくいことがある。ただし、通常通信は、安全処理が行われないので、データの送信に要する時間が短くなったり、産業装置１０の処理負荷が軽くなったりすることがある。

安全ドメインとは、安全通信が行われる通信ドメインＤである。安全通信は、送信対象のデータに対し、安全処理が行われる通信である。安全処理は、ネットワークに異常が発生した場合に、一定以上の確率（通常通信よりも高い確率）で異常を検出するための処理である。安全処理は、データの欠落や伝達ミスにより通信が断絶したり誤ったデータが送信されたりしても異常を検出できずに通信を継続してしまう可能性が低くなる処理ということもできる。安全処理は、ネットワークをフェールセーフ状態にするための処理ということもできる。

例えば、安全通信では、ネットワークで異常が発生していない場合における処理と、ネットワークで異常が発生した場合における処理と、は互いに異なるようにしてもよい。安全処理が行われるので、安全通信は、通常通信よりもネットワークで発生した異常に対応しやすくなる。本実施形態では、通常通信の仕組み（通常通信のモジュール）の前提の上に、安全通信の仕組み（安全通信のモジュール）が存在する場合を説明するが、通常通信及び安全通信は、互いに仕組みとして別物であってもよい。

例えば、安全処理は、通常通信で付与される誤り検出符号よりも、符号サイズが大きい（ビット数が多い）誤り検出符号を付与する処理であってもよい。安全処理は、通常通信よりも多くの誤り検出符号を付与する処理であってもよい。通常通信で誤り検出符号が付与されない場合には、安全処理は、誤り検出符号を付与する処理であってもよい。

なお、誤り訂正符号は、誤りの検出も可能なので、本実施形態の誤り検出符号は、誤り訂正符号も含む意味である。本実施形態では、誤り検出符号の一例としてＣＲＣ（Cyclic Redundancy Check）を説明するが、誤り検出符号自体は、任意の種類を適用可能であり、ＣＲＣに限られない。例えば、誤り検出符号として、パリティ符号又はチェックサムが用いられてもよいし、誤りの訂正も可能なハミング符号が用いられてもよい。

例えば、通常通信でデータの多重化が行なわれない場合には、安全処理は、データの多重化をする処理であってもよい。通常通信でデータの多重化が行われる場合には、安全処理は、通常通信よりも多くの多重化を行う処理であってもよい。例えば、通常通信でデータの二重化が行われる場合には、データの三重化以上の多重化を行うことが安全処理に相当してもよい。

例えば、安全処理は、ネットワークに異常が発生した場合に、産業装置１０に特定の動作をさせないようにする処理であってもよい。この処理としては、産業装置１０に対する指令として、何も動作しないことを示す特定の指令を設定する処理であってもよい。安全処理は、上記説明した処理の組み合わせであってもよい。安全処理自体は、ネットワークに発生した異常に対応可能な任意の処理であってよく、本実施形態の例に限られない。

図２の例では、産業装置１０Ａ～１０Ｆの全てが、通常ドメインである通信ドメインＤ１に属する。本実施形態では、産業装置１０Ａは、産業装置１０Ｂ～１０Ｆの各々を制御するものとする。このため、産業装置１０Ａは、通信ドメインＤ１における第１の産業装置に相当する。産業装置１０Ｂ～１０Ｆは、通信ドメインＤ１における第２の産業装置に相当する。

なお、産業装置１０Ａは、同じ通信ドメインＤ１に属する産業装置１０Ｂ～１０Ｆの全てを制御する必要はなく、産業装置１０Ｂ～１０Ｆの一部だけを制御してもよい。例えば、産業装置１０Ａは、産業装置１０Ｂ～１０Ｅだけを制御し、産業装置１０Ｆを制御せずに産業装置１０Ｆからデータ収集のみを行ってもよい。他にも例えば、産業装置１０Ａは、産業装置１０Ｂ，１０Ｃ，１０Ｅ，１０Ｆだけを制御し、産業装置１０Ｄは、産業装置１０Ａと産業装置１０Ｅ，１０Ｆとの間のデータの転送のみを行ってもよい。

例えば、産業装置１０Ｄ～１０Ｆは、通信ドメインＤ２に属する。本実施形態では、産業装置１０Ｄは、産業装置１０Ｅ，１０Ｆの各々を制御するものとする。このため、産業装置１０Ｄは、通信ドメインＤ２における第１の産業装置に相当する。産業装置１０Ｅ，１０Ｆは、通信ドメインＤ２における第２の産業装置に相当する。通信ドメインＤ１と同様に、産業装置１０Ｄは、産業装置１０Ｅ，１０Ｆの全てではなく一部だけを制御してもよい。

本実施形態では、通信ドメインＤ１，Ｄ２の各々において定周期通信が行われるものとする。定周期通信は、周期的に通信する通信方式である。定周期通信では、ある伝送周期が訪れると、この伝送周期内で、予め定められた手順に基づいて通信が行われる。ある伝送周期が終了して次の伝送周期が訪れると、再び同様の手順に基づいて通信が行われる。以降、予め定められた手順に基づく通信が周期的に繰り返される。

図３は、伝送周期における通信手順の一例を示す図である。本実施形態では、通信ドメインＤ１の伝送周期と、通信ドメインＤ２の伝送周期と、が同じである場合を例に挙げるが、これらの伝送周期は、互いに異なってもよい。伝送周期が互いに異なる場合には、通信ドメインＤ１，Ｄ２のうちの一方の伝送周期は、他方の伝送周期の整数倍であるものとする。例えば、通信ドメインＤ１の伝送周期が２５０μｓだったとすると、通信ドメインＤ２の伝送周期は１２５μｓ又は５００μｓ等の長さになる。

図３の例では、通信ドメインＤ１用の期間の後に通信ドメインＤ２用の期間が訪れるようにスケジューリングされている場合を例に挙げるが、通信ドメインＤ２用の期間の後に通信ドメインＤ１用の期間が訪れるようにスケジューリングされてもよい。ただし、通信ドメインＤ１，Ｄ２の両方に属する産業装置１０Ｄ～１０Ｆは、原則として、通信ドメインＤ１，Ｄ２の両方における通信を同時に行うことができない。このため、原則として、通信ドメインＤ１用の期間と、通信ドメインＤ２用の期間と、は重複しないものとする。

例えば、伝送周期が訪れると、産業装置１０間で所定の同期処理が行われた後に、産業装置１０Ａは、産業装置１０Ｂ～１０Ｆの各々に対する指令（合計５つの指令）を含むデータｄ１０を生成する。通信ドメインＤ１は、通常ドメインなので、指令の多重化等の安全処理は行われない。通信ドメインＤ１が通常ドメインであることは、後述のドメイン情報によって特定される。このため、産業装置１０Ａは、安全処理を行うことなく、通信ケーブルで直接的に接続された産業装置１０Ｂにデータｄ１０を送信する。

産業装置１０Ｂは、データｄ１０を受信すると、自身のメモリ１２Ｂにデータｄ１０を記録する。産業装置１０Ｂは、通信ケーブルで直接的に接続された産業装置１０Ｃに、データｄ１０を転送する。以降、接続順が最下位の産業装置１０Ｆまで、データｄ１０が次々と転送される。産業装置１０Ｂ～１０Ｆの各々は、データｄ１０を受信すると、データｄ１０に含まれる自身に対する指令を実行する。

例えば、伝送周期が訪れると、産業装置１０Ｆは、産業装置１０Ａに対する応答を含むデータｄ１１を生成する。通信ドメインＤ１は、通常ドメインなので、応答の多重化等の安全処理は行われない。このため、産業装置１０Ｆは、安全処理を行うことなく、通信ケーブルで直接的に接続された産業装置１０Ｅにデータｄ１１を送信する。

産業装置１０Ｅは、データｄ１１を受信すると、何も処理をせず、通信ケーブルで直接的に接続された産業装置１０Ｄにデータｄ１１を転送する。以降、データｄ１１の転送が次々と行われる。産業装置１０Ｂ～１０Ｅについても、同様のデータ生成及びデータ転送が行われる。図３のように、産業装置１０Ｂ～１０Ｅの各々により生成された応答を含むデータｄ１２～ｄ１５が産業装置１０Ａに送信される。産業装置１０Ａがデータｄ１１～ｄ１５を受信すると、通信ドメインＤ１用の期間が終了する。その後、通信ドメインＤ２用の期間が開始する。

産業装置１０Ｄは、通信ドメインＤ２用の期間が開始すると、産業装置１０Ｅ，１０Ｆの各々に対する指令（計２つの指令）を含むデータｄ２０を生成する。通信ドメインＤ２は、安全ドメインなので、指令の多重化等の安全処理が行われる。通信ドメインＤ２が安全ドメインであることは、後述のドメイン情報によって特定される。このため、産業装置１０Ｄは、通信ケーブルで直接的に接続された産業装置１０Ｅに、安全処理を行ったデータｄ２０を送信する。

産業装置１０Ｅは、データｄ２０を受信すると、自身のメモリ１２Ｅにデータｄ２０を記録する。産業装置１０Ｅは、通信ケーブルで直接的に接続された産業装置１０Ｆに、データｄ２０を転送する。産業装置１０Ｅ，１０Ｆの各々は、データｄ２０を受信すると、データｄ２０に含まれる自身に対する指令を実行する。

例えば、伝送周期が訪れると、産業装置１０Ｆは、産業装置１０Ａに対する応答を含むデータｄ２１を生成する。通信ドメインＤ２は、安全ドメインなので、応答の多重化等の安全処理が行われる。産業装置１０Ｆは、通信ケーブルで直接的に接続された産業装置１０Ｅに、安全処理が行われたデータｄ２１を送信する。

産業装置１０Ｅは、データｄ２１を受信すると、何も処理をせず、通信ケーブルで直接的に接続された産業装置１０Ｄにデータｄ２１を転送する。産業装置１０Ｅについても、同様に、産業装置１０Ａに対する応答を含むデータｄ２２が産業装置１０Ａに送信される。産業装置１０Ｅがデータｄ２１，ｄ２２を受信すると、通信ドメインＤ２用の期間が終了する。その後、次の伝送周期が訪れた場合には、図３と同様の通信手順に基づいて、通信ドメインＤ１，Ｄ２の各々における通信が行われる。

以上のように、本実施形態の制御システム１は、安全ドメインと通常ドメインを混在させることによって、マルチドメインに対応したネットワークで発生した異常に対応しやすくなっている。以降、制御システム１の詳細を説明する。

［３．制御システムで実現される機能］
図４は、制御システム１で実現される機能の一例を示す機能ブロック図である。本実施形態では、産業装置１０Ａ～１０Ｆは、互いに同様の機能を有するものとする。このため、図４では、１つの産業装置１０としての機能を示している。記憶部１００は、メモリ１２を主として実現される。安全処理部１０１は、ＣＰＵ１１を主として実現される。通信部１０２は、ＣＰＵ１１及び通信ＩＦ１３を主として実現される。

なお、本実施形態では、産業装置１０Ａ～１０Ｃは、通常ドメインである通信ドメインＤ１だけに属する。このため、産業装置１０Ａ～１０Ｃは、安全通信のための機能（安全処理部１０１と、記憶部１００及び通信部１０２の一部の機能）自体を有してはいるが、実際の通信では、この機能が利用されない状態になる。

［記憶部］
記憶部１００は、制御システム１における通信に必要なデータを記憶する。例えば、記憶部１００は、自身が属する１以上の通信ドメインＤが、安全通信が行われる安全ドメインであるか否かを示すドメイン情報を記憶する。例えば、ユーザがエンジニアリングツールから通信ドメインＤの設定作業を行うと、エンジニアリングツールにより生成されたドメイン情報が記憶部１００に記録される。ドメイン情報を生成及び記録するためのツールは、任意のツールであってよく、エンジニアリングツールに限られない。例えば、産業装置１０に接続可能な入力デバイスからの操作に基づいて、ドメイン情報が生成及び記録されてもよい。

図５は、ドメイン情報の一例を示す図である。例えば、ドメイン情報は、通信ドメインＤの名前、通信ドメインＤの種類、通信ドメインＤにおける第１の産業装置の名前、通信ドメインＤにおける第２の産業装置の名前、及び通信ドメインＤにおけるスケジュールを含む。ドメイン情報は、通信ドメインＤに関する任意の情報を含むことができ、図５の例に限られない。例えば、ドメイン情報は、通信ドメインＤの種類だけを含んでもよい。

ある産業装置１０の記憶部１００に記憶されるドメイン情報には、この産業装置１０が属する通信ドメインＤに関する情報が示される。図５の例では、通信ドメインＤ１，Ｄ２の両方に関する情報がドメイン情報に示されているので、通信ドメインＤ１，Ｄ２の両方に属する産業装置１０Ｄ～１０Ｆが記憶するドメイン情報である。通信ドメインＤ１だけに属する産業装置１０Ａ～１０Ｃのドメイン情報は、通信ドメインＤ１に関する情報だけが示されるものとするが、産業装置１０Ａ～１０Ｃのドメイン情報に、通信ドメインＤ２に関する情報が示されてもよい。

通信ドメインＤの名前は、通信ドメインＤを識別可能なドメイン識別情報の一例である。通信ドメインＤは、通信ドメインＤの名前ではなく、通信ドメインＤのＩＤ又は番号等の他の情報によって識別されてもよい。通信ドメインＤの種類は、安全ドメインであるか、通常ドメインであるか、を示す情報である。産業装置１０の名前は、産業装置１０を識別可能な装置識別情報の一例である。装置識別情報は、産業装置１０の名前ではなく、ＩＤ又はＩＰアドレス等の他の情報によって識別されてもよい。

スケジュールは、産業装置１０間の通信の順序を示す情報である。本実施形態では、定周期通信が行われるので、スケジュールには、ある伝送周期における通信手順が定義されている。例えば、スケジュールには、伝送周期の開始時点からの経過時間と、その時間に通信すべき相手と、が定義されている。経過時間は、タイマ値等の時間情報により管理されるようにすればよい。記憶部１００は、時間情報も記憶する。時間情報は、適宜カウントアップされる。時間情報は、伝送周期の冒頭で行われる同期処理によって同期が取られるようにしてもよい。

なお、本実施形態では、第１の産業装置及び第２の産業装置の両方にドメイン情報が記憶される場合を説明するが、指令を送信する第１の産業装置だけにドメイン情報が記憶されてもよい。即ち、第２の産業装置には、ドメイン情報が記憶されなくてもよい。この場合、第２の産業装置は、第１の産業装置からの指令により、自身が安全ドメインに属しているか通常ドメインに属しているかを特定できるようにしてもよい。

記憶部１００は、ドメイン情報以外にも、種々のデータを記憶する。例えば、記憶部１００は、安全処理が行われる前のデータを生成するためのプログラム（アプリケーション）を記憶する。安全通信では、このプログラムにより生成されたデータに対して安全処理が行われる。安全処理自体も、何らかの情報処理によって実行されるが、通信プロトコルによって処理内容が定められているので、本実施形態では、制御システム１のユーザが自分で安全処理のためのプログラムを作成するわけではないものとする。なお、安全処理のためのプログラムは、ユーザによる作成又は編集が可能であってもよい。

例えば、第１の産業装置の記憶部１００は、制御プログラムと、パラメータと、を記憶する。制御プログラムは、指令を生成するための処理を含む。制御プログラムは、任意の言語で作成可能であり、例えば、ラダー言語又はロボット言語で作成される。パラメータは、制御対象の産業装置１０の動作に関する情報であり、例えば、モータの回転方向、モータの回転速度、又はロボットの目標位置といった情報である。

例えば、第２の産業装置の記憶部１００は、動作プログラムと、パラメータと、を記憶する。動作プログラムは、指令に応じた動作を行う処理と、応答を生成するための処理と、を含む。動作プログラムは、任意の言語で作成可能であり、例えば、ラダー言語又はロボット言語で作成可能である。ジョブと呼ばれるプログラムも動作プログラムの一種である。パラメータは、モータ又はロボットといった機構の制御に用いられる情報である。例えば、パラメータは、モータの回転方向、モータの回転速度、又はロボットの目標位置といった情報である。

［安全処理部］
安全処理部１０１は、ドメイン情報が安全ドメインを示す場合に、安全通信に関する安全処理を行う。安全処理部１０１は、ドメイン情報が安全ドメインを示さない場合（ドメイン情報が通常ドメインを示す場合）には、安全処理を行わない。本実施形態では、安全処理部１０１は、ドメイン情報が示す通信ドメインＤの種類に基づいて、産業装置１０が属する通信ドメインＤが安全ドメインであるか否かを判定する。

産業装置１０は、自身が属する通信ドメインＤの種類に関係なく、送信対象のデータの元となるデータを生成する。安全処理部１０１は、産業装置１０が安全ドメインに属する場合に、当該生成されたデータに対して安全処理を行い、実際に送信されるデータを生成する。産業装置が通常ドメインに属する場合には、当該生成されたデータに対して安全処理が行われずに、後述の通信部１０２により、当該生成されたデータがそのまま送信される。

例えば、安全ドメインに属する第１の産業装置は、制御プログラムに基づいて、同じ安全ドメインに属する第２の産業装置への指令を生成する。第１の産業装置の安全処理部１０１は、当該生成された指令に対して安全処理を行い、実際に送信されるデータを生成する。図２及び図３の例であれば、産業装置１０Ｄが、安全ドメインに属する第１の産業装置に相当するので、産業装置１０Ｄは、制御プログラムに基づいて、産業装置１０Ｅ，１０Ｆの各々への指令を生成する。産業装置１０Ｄの安全処理部１０１は、当該生成された２つの指令に安全処理を行い、実際に送信されるデータｄ２０を生成する。

例えば、安全ドメインに属する第２の産業装置は、動作プログラムに基づいて、同じ安全ドメインに属する第１の産業装置への応答を生成する。応答は、指令の実行結果やセンサにより検出された物理量といった種々の情報を含むことができる。第２の産業装置の安全処理部１０１は、当該生成された応答に対して安全処理を行い、実際に送信されるデータを生成する。図２及び図３の例であれば、産業装置１０Ｅ，１０Ｆが、安全ドメインに属する第２の産業装置に相当するので、産業装置１０Ｅ，１０Ｆは、動作プログラムに基づいて、産業装置１０Ｄへの応答を生成する。産業装置１０Ｅ，１０Ｆの安全処理部１０１は、当該生成された応答に安全処理を行い、実際に送信されるデータｄ２１を生成する。

図６は、安全処理が行われたデータの一例を示す図である。図６では、第１の産業装置に相当する産業装置１０Ｄの安全処理部１０１が生成したデータｄ２０の一例を示す。産業装置１０Ｅ，１０Ｆの各々への指令が、データｄ２０のペイロードとして含まれる。データｄ２０は、安全通信で送信される１つのデータのまとまりである。データｄ２０は、フレーム、パケット、又はセグメントと呼ばれることもある。

例えば、先頭から所定ビット数までのデータ領域には、プリアンブル、デリミタ、及び全体のヘッダが含まれる。プリアンブルは、予め定められたビット列である。デリミタは、データの区切りを示すビット列である。全体のヘッダには、送信元となる産業装置１０ＤのＩＰアドレスが含まれる。送信先の産業装置１０Ｅ，１０Ｆの各々のＩＰアドレスは、全体のヘッダに含まれてもよいし、後述の個別のヘッダに含まれてもよい。

全体のヘッダ以降の部分は、第２の産業装置ごとにデータ領域が割り当てられている。本実施形態では、第２の産業装置ごとのデータ領域がペイロードに相当する場合を説明するが、デリミタによってデータの開始部分を特定できるので、デリミタ以降の部分をペイロードとしてもよい。ペイロードに相当する部分は、データｄ２０のうち、実質的な内容が格納された部分であればよい。

第２の産業装置ごとのデータ領域には、個別のヘッダと、安全通信用のＰＤＵ（Protocol Data Unit）と、が含まれる。個別のヘッダは、第２の産業装置のＩＰアドレス等の装置識別情報を含む。個別のヘッダにより、安全通信用のＰＤＵがどの産業装置１０に対するものなのかを特定できる。安全通信用のＰＤＵは、第２の産業装置への指令を含む。安全通信用のＰＤＵには、指令以外の任意の情報が含まれてよい。例えば、第２の産業装置に何らかのパラメータを送信したい場合には、安全通信用のＰＤＵにパラメータが含まれてもよい。

例えば、安全処理により、安全通信用のＰＤＵに含まれる指令が多重化される。例えば、ネットワークに異常が発生した場合に、安全処理により、安全通信用のＰＤＵに所定の指令が含まれるようになる。所定の指令は、安全ドメインがフェールセーフ状態に働くための指令であり、例えば、産業装置１０が何の動作もしないようにするための指令、又は、モータ又はロボット等の機構の動作を徐々に停止するための指令である。安全処理の対象となるのは、安全通信用のＰＤＵに含まれる任意のデータであってよく、指令に限られない。例えば、安全通信用のＰＤＵに何らかのパラメータを含める場合には、パラメータに対して安全処理が行われてもよい。

図６のデータの末尾のデータ領域には、全体の誤り検出符号が含まれる。例えば、安全処理により、末尾のデータ領域に含まれる誤り検出符号は、通常通信よりも符号サイズが大きくなってもよい。なお、産業装置１０間で送信されるデータのフォーマットは、図６の例に限られない。図６では、複数の産業装置１０の各々に対する指令が１つのデータとしてまとめられる場合を説明したが、個々の産業装置１０に対する指令が別々のデータに分けられてもよい。産業装置１０間で送信されるデータは、予め定められたフォーマットに準じたものであればよい。

安全処理部１０１は、通常通信用の部分をペイロードとして含まずに、安全通信用の部分をペイロードとして含む１のデータｄ２０を生成する。図６の例では、プリアンブル、デリミタ、全体のヘッダ、及び全体の誤り検出符号以外の部分（図６で全体のヘッダと全体の誤り検出符号とに挟まれた部分）がペイロードに相当する。本実施形態では、第１の産業装置である産業装置１０Ｄの安全処理部１０１は、第２の産業装置である産業装置１０Ｅのデータ領域と、第２の産業装置である産業装置１０Ｆのデータ領域と、をペイロードとして含む１のデータｄ２０を生成する。

安全処理部１０１は、安全通信用の複数の部分をペイロードとして含み、当該部分ごとに個別の誤り検出符号を設定した１のデータｄ１０を生成してもよい。図６の例では、安全ＰＤＵごとに、個別の誤り検出符号が設定される。本実施形態では、第１の産業装置である産業装置１０Ｄの安全処理部１０１は、第２の産業装置である産業装置１０Ｅ用の安全ＰＤＵに個別の誤り検出符号を設定し、かつ、第２の産業装置である産業装置１０Ｆ用の安全ＰＤＵに個別の誤り検出符号を設定し、１のデータｄ２０を生成する。

なお、図６では、第１の産業装置である産業装置１０Ｄから、第２の産業装置である産業装置１０Ｅ，１０Ｆの各々へのデータｄ２０の一例を示したが、第２の産業装置である産業装置１０Ｅ，１０Ｆの各々から、第１の産業装置である産業装置１０Ｄへのデータｄ２１も同様の形式であってよい。例えば、データｄ２１は、図６と同様のプリアンブル、デリミタ、全体のヘッダ、及び全体の誤り検出符号を含む。全体のヘッダと、全体の誤り検出符号と、の間に、安全処理が行われた応答に対応するデータ領域が含まれる。このデータ領域の個別のヘッダは、応答を生成した第２の産業装置の装置識別情報を含む。このデータ領域の安全通信用のＰＤＵは、多重化等の安全処理が行われた応答を含む。

また、通常通信におけるデータｄ１０，ｄ１１の形式は、安全通信におけるデータｄ２０，ｄ２１のうちの安全処理が行われた部分だけが異なるものとする。例えば、通常通信におけるデータｄ１０，ｄ１１は、プリアンブル、デリミタ、全体のヘッダ、及び全体の誤り検出符号は、安全通信と同様であってよい。全体の誤り検出符号は、安全通信よりも符号サイズが小さくてもよい。全体のヘッダと、全体の誤り検出符号と、の間のデータ領域には、個別のヘッダと、通常通信用のＰＤＵと、を含む。通常通信用のＰＤＵは、多重化等の安全処理が行われていない指令又は応答を含む。

［通信部］
通信部１０２は、通信相手の産業装置１０との通信を行う。例えば、通信部１０２は、安全処理に基づいて、安全通信を行う。通信部１０２は、安全処理が行われたデータを、同じ安全ドメインに属する他の産業装置１０に送信することによって、安全通信を行う。本実施形態では、複数の通信ドメインＤの各々では、定周期通信が行われる。このため、通信部１０２は、周期的に、安全通信を行う。通信部１０２は、記憶部１００に記憶されたスケジュールに基づいて、周期的に安全通信を行う。通信部１０２は、図６に示す１のデータを送信することによって、安全通信を行う。通信部１０２は、通常ドメインに属する他の産業装置１０に、安全処理が行われていないデータを送信する。

以上のように、複数の通信ドメインＤの各々には、第１の産業装置と、第１の産業装置が制御する第２の産業装置と、が属する。安全ドメインに属する第１の産業装置及び第２の産業装置の各々は、記憶部１００、安全処理部１０１、及び通信部１０２を有する。本実施形態では、通常ドメインに属する第１の産業装置及び第２の産業装置の各々も記憶部１００、安全処理部１０１、及び通信部１０２を有する場合を説明するが、通常ドメインに属する第１の産業装置及び第２の産業装置の各々は、安全ドメインに属さないのであれば、安全通信のための機能（安全処理部１０１と、記憶部１００及び通信部１０２の一部の機能）を有さなくてもよい。

本実施形態では、通信ドメインＤ１は、第１の通信ドメインの一例である。このため、通信ドメインＤ１と記載した箇所は、第１の通信ドメインと読み替えることができる。通信ドメインＤ２は、第２の通信ドメインの一例である。このため、通信ドメインＤ２と記載した箇所は、第２の通信ドメインと読み替えることができる。複数の産業装置１０の全ては、第１の通信ドメインに属する。複数の産業装置１０のうちの一部の２以上の産業装置１０は、第２の通信ドメインに属する。

なお、安全ドメインにおける指令だけに安全処理を行い、応答については安全処理を行わなくてもよい。この場合、指令を送信する第１の産業装置だけが安全通信のための機能を有し、応答を送信する第２の産業装置は、安全通信のための機能を有さなくてもよい。逆に、安全ドメインにおける応答だけに安全処理を行い、指令については安全処理を行わなくてもよい。この場合、応答を送信する第２の産業装置だけが安全通信のための機能を有し、指令を送信する第１の産業装置は、安全通信のための機能を有さなくてもよい。

［４．制御システムで実行される処理］
図７及び図８は、制御システム１で実行される処理の一例を示すフロー図である。図７及び図８の処理は、伝送周期が訪れた場合に、産業装置１０に記憶されたスケジュールに基づいて実行される。本実施形態では、図２のような通信ドメインＤにおいて図３のようなスケジュールで通信が行われる場合の処理の一例を説明する。図７は、通信ドメインＤ１において行われる通常通信の処理である。図８は、通信ドメインＤ２において行われる安全通信の処理である。

図７のように、産業装置１０Ａは、メモリ１２Ａに記憶された時間情報に基づいて、伝送周期の開始時点が訪れたことを検知すると、産業装置１０Ｂ～１０Ｆの各々との間で同期処理を行う（Ｓ１００）。産業装置１０Ａは、制御プログラムに基づいて、産業装置１０Ｂ～１０Ｆの各々への指令を生成する（Ｓ１０１）。産業装置１０Ａは、ドメイン情報に基づいて、通信ドメインＤ１が通常ドメインであることを特定するので、安全処理が行われない。産業装置１０Ａは、産業装置１０Ｂに、安全処理が行われていないデータｄ１０を送信する（Ｓ１０２）。以降、産業装置１０Ｆがデータを受信するまで、次々とデータｄ１０が転送される。

産業装置１０Ｂ～１０Ｆの各々は、産業装置１０Ａが送信したデータに含まれる自身への指令を実行する（Ｓ１０３）。産業装置１０Ｂ～１０Ｆの各々は、動作プログラムに基づいて、産業装置１０Ａに対する応答を生成する（Ｓ１０４）。産業装置１０Ｂ～１０Ｆの各々は、ドメイン情報に基づいて、通信ドメインＤ１が通常ドメインであることを特定するので、安全処理が行われない。産業装置１０Ｂ～１０Ｆの各々は、産業装置１０Ａに、安全処理が行われていないデータｄ１１～ｄ１５を送信する（Ｓ１０５）。産業装置１０Ａは、安全処理が行われていないデータｄ１１～ｄ１５を受信する。以上により、通信ドメインＤ１における通常通信が完了する。

図８のように、産業装置１０Ｄは、メモリ１２Ｄに記憶された時間情報に基づいて、通信ドメインＤ２用の期間の開始時点が訪れたことを検知すると、制御プログラムに基づいて、産業装置１０Ｅ，１０Ｆの各々への指令を生成する（Ｓ２００）。産業装置１０Ａは、ドメイン情報に基づいて、通信ドメインＤ２が安全ドメインであることを特定し、Ｓ２００で生成した指令に対して安全処理を行う（Ｓ２０１）。産業装置１０Ｄは、産業装置１０Ｅに、Ｓ２０１で行われた安全処理に基づいて、データｄ２０を送信する（Ｓ２０２）。産業装置１０Ｅは、産業装置１０Ｄから受信したデータｄ２０を産業装置１０Ｆに転送する。

産業装置１０Ｅ，１０Ｆの各々は、産業装置１０Ｄが送信したデータに含まれる自身への指令を実行する（Ｓ２０３）。産業装置１０Ｅ，１０Ｆの各々は、自身への指令に対する応答を生成する（Ｓ２０４）。産業装置１０Ｅ，１０Ｆの各々は、ドメイン情報に基づいて、通信ドメインＤ２が安全ドメインであることを特定し、Ｓ２０４で生成した応答に対して安全処理を行う（Ｓ２０５）。産業装置１０Ｅ，１０Ｆの各々は、産業装置１０Ｄに、安全処理が行われたデータｄ２１，ｄ２２を送信する（Ｓ２０６）。産業装置１０Ｄは、安全処理が行われたデータｄ２１，ｄ２２を受信し、伝送周期における通信が終了する。以上により、通信ドメインＤ２における安全通信が完了する。次の伝送周期が訪れた場合には、図７のＳ１００の処理から実行される。

本実施形態の制御システム１によれば、マルチドメインの制御システム１で安全通信を実現することによって、マルチドメインに対応したネットワークで発生した異常に対応しやすくなる。例えば、安全ドメインに属する産業装置１０が安全通信を行うことによって、産業装置１０の誤動作を防止できる。例えば、ネットワークにおけるノイズ等によって異常が発生したとしても、全ての産業装置１０の動作を止めるのではなく、異常が発生した通信ドメインＤに属する産業装置１０の動作だけを止めて、他の通信ドメインＤに属する産業装置１０の動作は継続させるといったこともできる。制御システム１における生産効率が高まる。

また、制御システム１では、複数の通信ドメインＤの各々で定周期通信が行われ、安全ドメインでは、周期的に安全通信が行われる。これにより、定周期通信が行われるネットワークで発生した異常に対応しやすくなる。

また、複数の通信ドメインＤの各々は、第１の産業装置と、第１の産業装置が制御する第２の産業装置と、を含む。これにより、制御する側の第１の産業装置が複数存在する制御システム１のネットワークで発生した異常に対応しやすくなる。例えば、第１の産業装置が送信した指令にノイズが入ってしまい、第２の産業装置が誤動作を起こすといったことを防止できる。例えば、第２の産業装置が送信した応答にノイズが入ってしまい。第２の産業装置の動作結果が第１の産業装置に誤って通知されるといったことを防止できる。

また、制御システム１は、複数の通信ドメインＤの中に、安全ドメインだけではなく通常ドメインも存在する。これにより、安全ドメインと通常ドメインを混在させることができる。例えば、ネットワークで異常が発生した場合には動作を止めたい産業装置１０と、多少の異常であれば動作を止めたくない産業装置１０と、が混在した場合に、使い勝手が良くなる。例えば、安全ドメインで異常が発生し、安全ドメインに属する産業装置１０の動作が止まったとしても、通常ドメインに属する産業装置１０の動作を止めないようにした場合には、制御システム１における生産効率が高まる。

また、制御システム１は、通常通信用の部分をペイロードとして含まずに、安全通信用の部分をペイロードとして含む１のデータを生成する。安全処理が行われた部分をペイロードとして含むので、安全通信の精度が高まる。例えば、通常通信用の部分を含まないので、個々のデータのデータサイズを抑えることもできる。その結果、ネットワークの通信負荷を軽減できる。

また、制御システム１は、複数の産業装置１０の全てが通信ドメインＤ１に属し、複数の産業装置１０のうちの一部の２以上の産業装置１０が通信ドメインＤ２に属する。これにより、ある通信ドメインＤ１が他の通信ドメインＤ２を包含するようなネットワークを構築できる。例えば、全体に渡る通信ドメインＤ１に属する産業装置１０Ａに、ネットワーク全体を一括して管理させつつ、部分的なローカル通信を通信ドメインＤ２で行うことができる。よって、ネットワークの管理効率が高めつつも、ローカルな制御グループを設定することが可能になる。

また、制御システム１は、あるデータのうちの安全通信用の部分ごとに個別の誤り検出符号を設定することによって、安全通信の精度が高まる。

［５．変形例］
なお、本開示は、以上に説明した実施形態に限定されるものではない。本開示の趣旨を逸脱しない範囲で、適宜変更可能である。

図９は、変形例における機能ブロックの一例を示す図である。第１制限部１０３及び第２制限部１０４は、ＣＰＵ１１を主として実現される。受付部２００は、ユーザが操作するユーザ装置２０により実現される。例えば、ユーザ装置２０は、パーソナルコンピュータ、タブレット端末、又はスマートフォンである。例えば、ユーザ装置２０には、エンジニアリングツールがインストールされる。ユーザ装置２０は、通信ケーブルを介して産業装置１０に接続可能である。ユーザは、ユーザ装置２０のエンジニアリングツールから、産業装置１０の各種設定が可能である。

［５－１．変形例１］
例えば、実施形態では、制御システム１における複数の通信ドメインＤの全ては、安全ドメインであってもよい。即ち、制御システム１は、通常ドメインを有さずに、安全ドメインだけを有してもよい。変形例１では、複数の安全ドメインの各々に属する産業装置１０の組み合わせが、互いに異なる場合を例に挙げるが、複数の安全ドメインの各々に属する産業装置１０の組み合わせは、互いに同じであってもよい。

図１０は、変形例１における通信ドメインＤの一例を示す図である。図１０の例では、通信ドメインＤ３，Ｄ４の各々は、ともに安全ドメインである。通信ドメインＤ３には、産業装置１０Ａ～１０Ｆの全てが属する。変形例１では、産業装置１０Ａは、産業装置１０Ｂ～１０Ｆの各々を制御するものとする。通信ドメインＤ２には、産業装置１０Ｄ～１０Ｆが属する。変形例１では、産業装置１０Ｄは、産業装置１０Ｅ，１０Ｆの各々を制御するものとする。

変形例１でも、図３と同様に、ある１つの伝送周期に、通信ドメインＤ３用の期間と、通信ドメインＤ４用の期間と、が存在する。通信ドメインＤ３における通信手順は、通信ドメインＤ１と同様であるが、安全処理が行われる点で実施形態とは異なる。例えば、産業装置１０Ａの安全処理部１０１は、産業装置１０Ｂ～１０Ｆの各々に対する指令（合計５つの指令）を生成すると、当該生成された個々の指令に対して安全処理を行う。安全処理が行われたデータは、図６と同様であってよい。

産業装置１０Ｂ～１０Ｆの各々の安全処理部１０１は、産業装置１０Ａに対する応答を生成すると、当該生成された応答に対して安全処理を行う。安全処理の意味は、実施形態で説明した通りである。変形例１では、通信ドメインＤ３における安全処理と、通信ドメインＤ４における安全処理と、は互いに同じであるものとする。例えば、通信ドメインＤ３における安全処理で付加される誤り検出符号の符号サイズと、通信ドメインＤ４における安全処理で付加される誤り検出符号の符号サイズと、は互いに同じである。例えば、通信ドメインＤ３における安全処理の多重化と、通信ドメインＤ４における安全処理の多重化と、は互いに同じである。通信ドメインＤ４の通信手順は、通信ドメインＤ２と同様である。

なお、通信ドメインＤ３における安全処理と、通信ドメインＤ４における安全処理と、は互いに異なってもよい。例えば、通信ドメインＤ４における安全処理で付加される誤り検出符号の符号サイズは、通信ドメインＤ３における安全処理で付加される誤り検出符号の符号サイズよりも大きくてもよい。例えば、通信ドメインＤ４における安全処理の多重化は、通信ドメインＤ３における安全処理の多重化よりも多くてもよい。

変形例１によれば、複数の安全ドメインだけを有するネットワークにすることによって、ネットワークで発生した異常に対応しやすくなる。安全ドメインだけを有するので、産業装置１０の誤動作を、より確実に防止できる。

［５－２．変形例２］
例えば、実施形態のように安全ドメイン及び通常ドメインを混在させる場合に、通常ドメインに属する産業装置１０の記憶部１００にもドメイン情報が記録されてもよい。この場合、通信部１０２は、ドメイン情報が通常ドメインを示す場合に、安全処理が行われていないデータを送信することによって、通常通信を行う。通信部１０２は、ドメイン情報が安全ドメインを示す場合に、安全処理が行われたデータを送信することによって、安全通信を行う。

安全ドメイン及び通常ドメインの両方に属する産業装置１０は、ドメイン情報に基づいて、自身が属する通信ドメインＤの種類を特定する。通常ドメインだけに属する産業装置１０についても、ドメイン情報に基づいて、自身が通常ドメインだけに属することを特定する。安全ドメインだけに属する産業装置１０についても、ドメイン情報に基づいて、自身が安全ドメインだけに属することを特定する。

変形例２によれば、産業装置１０が、ドメイン情報に応じて、通常通信と安全通信の何れにも対応可能となる。したがって、ネットワークを柔軟に簡単に形成することができる。例えば、制御システム１における産業装置１０の配置を変更し、通常ドメインに属する産業装置１０を安全ドメインに属するようにしたとしても、産業装置１０は、何れの通信ドメインＤにも対応可能なので、ユーザの設定変更の作業を簡易化できる。例えば、通常通信又は安全通信の何れか一方だけに対応した産業装置１０を採用したとすると、ネットワークの設定変更に柔軟に対応できないが、通常通信と安全通信の両方に対応可能な産業装置１０を採用することによって、ネットワークの設定変更に柔軟に対応できる。

［５－３．変形例３］
例えば、安全処理部１０１は、通常通信用の第１部分と、安全通信用の第２部分と、の両方をペイロードとして含む１のデータを生成してもよい。第１部分は、安全処理が行われていない部分である。第２部分は、安全処理が行われた部分である。変形例３の安全処理部１０１は、安全処理が行われていない部分と、安全処理が行われた部分と、をペイロードとして含む１のデータを生成する。

図１１は、変形例３で安全処理が行われたデータの一例を示す図である。図１１では、図６と同様に、第１の産業装置の安全処理部１０１が生成するデータを示す。即ち、第１の産業装置から第２の産業装置への指令が、図１１のデータのペイロードとして含まれる。冒頭のプリアンブル、デリミタ、及び全体のヘッダと、末尾の全体の誤り検出符号と、の部分は、図６と同様である。第２の産業装置ごとにＰＤＵが生成されるのは、図６と同様であるが、ある１つの第２の産業装置に対し、安全処理が行われていない通常ＰＤＵと、安全処理が行われた安全ＰＤＵと、が存在する。

例えば、第２の産業装置に何らかの指令とパラメータをＰＤＵに含めて送信する場合に、指令については安全処理を行うが、パラメータについては安全処理が不要だったとする。この場合、安全処理部１０１は、第２の産業装置への指令に対して安全処理を行って安全ＰＤＵを生成する。安全処理部１０１は、第２の産業装置に送信するパラメータには安全処理を行わずに、そのまま通常ＰＤＵとする。通信部１０２は、図１１のようなフォーマットの１のデータを送信することによって、安全通信を行う。第２の産業装置から第１の産業装置への応答も、図１１と同様に、通常ＰＤＵと安全ＰＤＵの混在が可能である。

変形例３によれば、通常通信用の部分と、安全通信用の部分と、を混在させた１のデータを送信することによって、柔軟なデータ通信が可能になる。例えば、ある産業装置１０に対して送信するデータとして、安全処理が必要なものとそうではないものが混在していたとしても、１のデータの中に両方を混在させることができる。安全処理が必要ではないものについても安全処理をする必要がないので、産業装置１０に不要な処理を実行させる必要がなくなり、産業装置１０の処理負荷を軽減できる。不要な多重化も行われないので、データサイズを小さくすることができる。その結果、ネットワークの通信負荷を軽減できる。

［５－４．変形例４］
例えば、複数の産業装置１０として、第１の通信ドメイン及び第２の通信ドメインの両方に属する産業装置１０と、第１の通信ドメインに属して第２の通信ドメインには属さない産業装置１０と、第２の通信ドメインに属して第１の通信ドメインには属さない産業装置１０と、を有してもよい。変形例４では、第１の通信ドメイン及び第２の通信ドメインが両方とも安全ドメインである場合を説明するが、第１の通信ドメイン又は第２の通信ドメインの何れか一方は、通常ドメインであってもよい。

図１２は、変形例４における通信ドメインＤの一例を示す図である。図１２の例では、通信ドメインＤ５，Ｄ６の各々は、ともに安全ドメインである。通信ドメインＤ５には、産業装置１０Ａ～１０Ｄが属する。例えば、産業装置１０Ａは、産業装置１０Ｂ～１０Ｄの各々を制御する。通信ドメインＤ６には、産業装置１０Ｄ～１０Ｆが属する。例えば、産業装置１０Ｄは、産業装置１０Ｅ，１０Ｆの各々を制御する。

変形例４でも、図３と同様に、ある１つの伝送周期に、通信ドメインＤ５用の期間と、通信ドメインＤ６用の期間と、が存在するものとする。個々の通信ドメインＤ５，Ｄ６における通信手順は、実施形態及び変形例１－３と同様であってよい。例えば、ある伝送周期が訪れた場合に、産業装置１０Ａは、通信ドメインＤ５に属する産業装置１０Ｂ～１０Ｄの各々に、安全処理を行ったデータを送信する。産業装置１０Ｂ～１０Ｄの各々は、自身への指令を実行すると、安全処理を行ったデータを産業装置１０Ａに送信する。

通信ドメインＤ５用の期間が終了すると、産業装置１０Ｄは、通信ドメインＤ６に属する産業装置１０Ｅ，１０Ｆの各々に、安全処理を行ったデータを送信する。産業装置１０Ｅ，１０Ｆの各々は、自身への指令を実行すると、安全処理を行ったデータを産業装置１０Ｄに送信する。以降、伝送周期が訪れるたびに、同様の手順によって通信が行われる。なお、伝送周期の冒頭で制御システム１全体の同期処理を行うために、産業装置１０Ａ～１０Ｆの全てが属する通信ドメインＤが別途存在してもよいし、通信ドメインＤ５，Ｄ６の各々の中でのみ同期処理が行われてもよい。

変形例４によれば、ある通信ドメインＤと他の通信ドメインＤとが互いに一部だけが重複するようなネットワークを構築できる。例えば、第１の通信ドメインで部分的なローカル通信を行いつつ、第２の通信ドメインで、第１の通信ドメインとは異なる範囲のローカル通信を行うことができる。第１の通信ドメイン及び第２の通信ドメインの両方に属する産業装置１０に、これら２つの通信ドメインＤを管理させることもできる。

［５－５．変形例５］
例えば、１以上の産業装置１０が複数の安全ドメインに属する場合に、ある安全ドメインで異常が発生した場合に、この安全ドメインの安全通信が制限されてもよい。更に、異常が発生した安全ドメインだけではなく、異常が発生していない他の安全ドメインの安全通信が制限されてもよい。変形例５では、複数の安全ドメインに属する１以上の産業装置１０は、第１制限部１０３及び第２制限部１０４を有する。

第１制限部１０３は、複数の安全ドメインのうちの何れかで異常が発生した場合に、異常が発生した安全ドメインの安全通信を制限する。安全通信を制限するとは、安全通信で本来行うべき処理を実行しないようにすることである。安全通信を制限するとは、異常が発生した場合とは異なる処理をすることである。変形例５では、安全通信で送信されるデータの内容を変えることが安全通信を制限することに相当する場合を例に挙げるが、安全通信の制限方法は、安全通信を何らかの形で制限する方法であればよく、変形例５の制限方法に限られない。

例えば、安全通信におけるデータの送信を行わないことが、安全通信を制限することに相当してもよい。通信プロトコル上はデータの送信を停止できない場合だったとしても、アプリケーション側の処理により、安全通信におけるデータの送信を停止することによって、安全通信を制限してもよい。他にも例えば、安全通信におけるデータを受信した場合に、このデータに基づく処理を実行しないことが、安全通信に相当してもよい。即ち、安全通信におけるデータを受信した産業装置１０が、データの受信自体は行うがこのデータに含まれる自身への指令を実行せずにデータを破棄することが、安全通信を制限することに相当してもよい。この場合、指令を実行しないことを識別可能な情報がデータに含まれているものとする。

産業装置１０は、予め定められた判定方法に基づいて、通信ドメインＤで異常が発生したか否かを判定する。例えば、産業装置１０は、誤り検出符号に基づいて誤りが検出された場合に、通信ドメインＤで異常が発生したと判定する。例えば、産業装置１０は、一定時間以上データを受信しなかった場合に、通信ドメインＤで異常が発生したと判定する。例えば、産業装置１０は、ある伝送周期でデータを受信しなかった場合に、通信ドメインＤで異常が発生したと判定する。例えば、産業装置１０は、データの個々の部分が欠落したり、通常のフォーマットでは考えられない値になっていたりした場合に、通信ドメインＤで異常が発生したと判定する。異常の発生を判定する方法自体は、種々の方法を利用可能であり、上記説明した例に限られない。

第２制限部１０４は、異常が発生した場合に、異常が発生していない安全ドメインの安全通信を制限する。安全通信の制限方法自体は、第１制限部１０３と同様であってよい。変形例１のようなネットワークの例であれば、通信ドメインＤ３において異常が発生した場合に、通信ドメインＤ３に属する産業装置１０の第１制限部１０３は、自身が通信ドメインＤ１で行う安全通信を制限する。異常が発生していない通信ドメインＤ４に属する産業装置１０の第２制限部１０４は、自身が通信ドメインＤ４で行う安全通信を制限する。

変形例５によれば、ある安全ドメインで異常が検知された場合に、その安全ドメインだけではなく、他の安全ドメインの安全通信も制限することによって、より確実に異常に対応できる。その結果、産業装置１０の誤動作をより確実に防止できる。

［５－６．変形例６］
例えば、変形例５では、異常が発生していない安全ドメインにおける安全通信が制限される場合を説明したが、異常が発生していない安全ドメインにおける安全通信は、制限されなくてもよい。変形例６では、産業装置１０は、変形例５で説明した第１制限部１０３を有するが、第２制限部１０４は有さない。

異常が発生していない安全ドメインに属する産業装置１０の通信部１０２は、異常が発生していない安全ドメインの安全通信を継続する。変形例１のような通信ドメインＤの例であれば、通信ドメインＤ３において異常が発生した場合に、通信ドメインＤ３に属する産業装置１０の第１制限部１０３は、自身が通信ドメインＤ３で行う安全通信を制限する。異常が発生していない通信ドメインＤ４に属する産業装置１０の通信部１０２は、自身が通信ドメインＤ４で行う安全通信を制限せずに、安全通信を継続する。

変形例６によれば、ある安全ドメインで異常が検知された場合に、その安全ドメインの安全通信を制限し、他の安全ドメインの安全通信は制限しないことによって、異常が発生した安全ドメインの異常に対応し、かつ、異常が発生していない安全ドメインにおける産業装置１０の動作を継続することができる。その結果、制御システム１における生産効率が高まる。

［５－７．変形例７］
例えば、変形例５のように異常が発生していない安全ドメインにおける安全通信を制限するか、変形例６のように異常が発生していない安全ドメインにおける安全通信については制限しないか、をユーザが選択できるようにしてもよい。変形例７の制御システム１は、受付部２００を含む。受付部２００は、複数の安全ドメインのうちの異常が発生していない安全ドメインの安全通信を制限するか否かに関する選択を受け付ける。例えば、ユーザ装置２０は、異常が発生していない安全ドメインの安全通信を制限するか否かの選択を受け付けるユーザインタフェースとなる画面を表示させる。この画面は、エンジニアリングツールの画面として表示されてもよい。受付部２００は、この画面に対する入力を受け付けることによって、ユーザの選択を受け付ける。

変形例７の第２制限部１０４は、異常が発生し、かつ、異常が発生していない安全ドメインの安全通信を制限することが選択された場合に、異常が発生していない安全ドメインの安全通信を制限する。この場合、変形例５と同様に、異常が発生していない安全ドメインの安全通信が制限される。第２制限部１０４は、異常が発生していない安全ドメインの安全通信を制限することが選択されなかった場合には、異常が発生していない安全ドメインの安全通信については制限しない。この場合、変形例６と同様に、異常が発生していない安全ドメインの安全通信は継続される。

変形例７によれば、複数の安全ドメインのうちの異常が発生していない安全ドメインの安全通信を制限するか否かに関する選択をさせることによって、ユーザに応じた柔軟な通信が可能になる。例えば、誤動作の防止を優先させたいユーザは、安全通信を制限するように選択し、生産システムにおける生産効率を優先させたいユーザは、安全通信を制限しないように選択するといったことが可能になる。

［５－８．その他変形例］
例えば、上記変形例を組み合わせてもよい。

例えば、個々の伝送周期では、個々の通信ドメインＤの通信期間が時分割で設定されるのではなく、実施形態で説明した時分割の設定が行われなくてもよい。例えば、制御システム１は、定周期通信ではなく、特に伝送周期が定められていない非定周期的な通信が行われてもよい。例えば、各機能は、制御システム１における任意の装置で実現されるようにすればよい。ある１つの産業装置１０で実現されるものとして説明した機能の一部又は全部は、複数の産業装置１０で分担されてもよい。

１ 制御システム、Ｄ，Ｄ１，Ｄ２，Ｄ３，Ｄ４，Ｄ５，Ｄ６ 通信ドメイン、１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｅ，１０Ｆ 産業装置、１１，１１Ａ，１１Ｂ，１１Ｃ，１１Ｄ，１１Ｅ，１１Ｆ ＣＰＵ、１２，１２Ａ，１２Ｂ，１２Ｃ，１２Ｄ，１２Ｅ，１２Ｆ メモリ、１３，１３Ａ，１３Ｂ，１３Ｃ，１３Ｄ，１３Ｅ，１３Ｆ 通信ＩＦ、２０ ユーザ装置、１００ 記憶部、１０１ 安全処理部、１０２ 通信部、１０３ 第１制限部、１０４ 第２制限部、２００ 受付部、ｄ１０，ｄ１１，ｄ２０，ｄ２１ データ。

Claims (17)

1. 同一の産業用通信のネットワークに設定された複数の通信ドメインと、
   前記複数の通信ドメインのうちの１以上の通信ドメインに属し、同じ前記通信ドメインに属するもの同士で通信を行う複数の産業装置と、
   を有し、
   前記複数の産業装置のうちの１以上の産業装置は、
   自身が属する前記１以上の通信ドメインが、安全通信が行われる安全ドメインであるか否かを示すドメイン情報を記憶する記憶部と、
   前記ドメイン情報が前記安全ドメインを示す場合に、前記安全通信に関する安全処理を行う安全処理部と、
   前記安全処理に基づいて、前記安全通信を行う通信部と、
   を有する制御システム。
2. 前記複数の通信ドメインの各々では、定周期通信が行われ、
   前記通信部は、周期的に、前記安全通信を行う、
   請求項１に記載の制御システム。
3. 前記複数の通信ドメインの各々には、第１の前記産業装置と、前記第１の産業装置が制御する第２の前記産業装置と、が属し、
   前記安全ドメインに属する前記第１の産業装置及び前記第２の産業装置の各々は、前記記憶部、前記安全処理部、及び前記通信部を有する、
   請求項１又は２に記載の制御システム。
4. 前記複数の通信ドメインの全ては、前記安全ドメインである、
   請求項１～３の何れかに記載の制御システム。
5. 前記複数の通信ドメインは、通常通信が行われる通常ドメインを含む、
   請求項１～４の何れかに記載の制御システム。
6. 前記通信部は、前記ドメイン情報が前記通常ドメインを示す場合に、前記安全処理が行われていないデータを送信することによって、前記通常通信を行い、前記ドメイン情報が前記安全ドメインを示す場合に、前記安全処理が行われたデータを送信することによって、前記安全通信を行う、
   請求項５に記載の制御システム。
7. 前記安全処理部は、前記通常通信用の第１部分と、前記安全通信用の第２部分と、の両方をペイロードとして含む１のデータを生成し、
   前記通信部は、前記１のデータを送信することによって、前記安全通信を行う、
   請求項５又は６に記載の制御システム。
8. 前記安全処理部は、前記通常通信用の部分をペイロードとして含まずに、前記安全通信用の部分をペイロードとして含む１のデータを生成し、
   前記通信部は、前記１のデータを送信することによって、前記安全通信を行う、
   請求項５～７の何れかに記載の制御システム。
9. 前記複数の産業装置の全ては、第１の前記通信ドメインに属し、
   前記複数の産業装置のうちの一部の２以上の産業装置は、第２の前記通信ドメインに属する、
   請求項１～８の何れかに記載の制御システム。
10. 前記複数の産業装置として、第１の前記通信ドメイン及び第２の通信ドメインの両方に属する産業装置と、前記第１の通信ドメインに属して前記第２の通信ドメインには属さない産業装置と、前記第２の通信ドメインに属して前記第１の通信ドメインには属さない産業装置と、を有する、
    請求項１～９の何れかに記載の制御システム。
11. 前記１以上の産業装置は、複数の前記安全ドメインに属し、
    前記１以上の産業装置は、
    前記複数の安全ドメインのうちの何れかで異常が発生した場合に、前記異常が発生した前記安全ドメインの前記安全通信を制限する第１制限部と、
    前記異常が発生した場合に、前記異常が発生していない前記安全ドメインの前記安全通信を制限する第２制限部と、
    を有する請求項１～１０の何れかに記載の制御システム。
12. 前記１以上の産業装置は、複数の前記安全ドメインに属し、
    前記１以上の産業装置は、前記複数の安全ドメインのうちの何れかで異常が発生した場合に、前記異常が発生した前記安全ドメインの前記安全通信を制限する第１制限部を有し、
    前記通信部は、前記異常が発生していない前記安全ドメインの前記安全通信を継続する、
    請求項１～１１の何れかに記載の制御システム。
13. 前記１以上の産業装置は、複数の前記安全ドメインに属し、
    前記制御システムは、前記複数の安全ドメインのうちの異常が発生していない前記安全ドメインの前記安全通信を制限するか否かに関する選択を受け付ける受付部を有し、
    前記１以上の産業装置は、
    前記複数の安全ドメインのうちの何れかで前記異常が発生した場合に、前記異常が発生した前記安全ドメインの前記安全通信を制限する第１制限部と、
    前記異常が発生し、かつ、前記異常が発生していない前記安全ドメインの前記安全通信を制限することが選択された場合に、前記異常が発生していない前記安全ドメインの前記安全通信を制限する第２制限部と、
    を有する請求項１～１２の何れかに記載の制御システム。
14. 前記安全処理部は、前記安全通信用の複数の部分をペイロードとして含み、前記部分ごとに個別の誤り検出符号を設定した１のデータを生成し、
    前記通信部は、前記１のデータを送信することによって、前記安全通信を行う、
    請求項１～１３の何れかに記載の制御システム。
15. 同一の産業用通信のネットワークに設定された複数の通信ドメインのうちの１以上の通信ドメインに属し、同じ前記通信ドメインに属するもの同士で通信を行う複数の産業装置のうちの何れかであって、
    自身が属する前記１以上の通信ドメインが、安全通信が行われる安全ドメインであるか否かを示すドメイン情報を記憶する記憶部と、
    前記ドメイン情報が前記安全ドメインを示す場合に、前記安全通信に関する安全処理を行う安全処理部と、
    前記安全処理に基づいて、前記安全通信を行う通信部と、
    を有する産業装置。
16. 同一の産業用通信のネットワークに設定された複数の通信ドメインのうちの１以上の通信ドメインに属し、同じ前記通信ドメインに属するもの同士で通信を行う複数の産業装置の制御方法であって、
    前記複数の産業装置のうちの１以上の産業装置が属する前記１以上の通信ドメインが、安全通信が行われる安全ドメインであるか否かを示すドメイン情報が前記安全ドメインを示す場合に、前記安全通信に関する安全処理を行い、
    前記安全処理に基づいて、前記安全通信を行う、
    制御方法。
17. 同一の産業用通信のネットワークに設定された複数の通信ドメインのうちの１以上の通信ドメインに属し、同じ前記通信ドメインに属するもの同士で通信を行う複数の産業装置のうちの何れかを、
    自身が属する前記１以上の通信ドメインが、安全通信が行われる安全ドメインであるか否かを示すドメイン情報が前記安全ドメインを示す場合に、前記安全通信に関する安全処理を行う安全処理部、
    前記安全処理に基づいて、前記安全通信を行う通信部、
    として機能させるためのプログラム。

Images