JP3917860B2 - 環状バスシステム等における安全なデータ送信を実行する回路 - Google Patents

Description

【０００１】
（説明）
本発明は、特に環状バスシステムにおける被保護データ送信用の回路装置に関する。
現在の機械およびプラント構造においては、障害がある場合や故障している場合などに、人員、特に作業員の生命や健康に危険を及ぼす動作や工程の制御が行なわれることが少なくない。また、これらの危険を除外しても、誤作動が予想される場合には、大きな財務上の損失につながる高価な機械部品を保護することも必要である。
【０００２】
したがって、予想されるあらゆる障害をプロセスまたは既存の制御施設によって認識しなければならず、機械は常に安全と思われる状態で運転しなければならない。そのためには、一般に、実際の制御から独立して安全機能を監視する冗長構造体が必要である。機械およびプラント構造においては、１つのエラーを検出するだけで障害の検出に十分であることが多い。この障害の検出後、制御プロセスを中断し、安全な状態に維持することができる。これによって、プロセスが障害のある状態で継続することによる損失を回避できる。
【０００３】
障害の検出方法およびそのために必要な対策は、国際基準ＤＩＮ Ｖ ＶＤＥ ０８０１およびＤＩＮ ＩＳＯ ６１５０８に記載されている。これらの基準に定められた原理によって、自動機器の製造業者は、近年、例えばＦ−Ｐｒｏｆｉｌを備えたプロフィバス（ｐｒｏｆｉｂｕｓ）、ＰＮＯならびにＰｉｌｚおよびＳｉｃｋによるセーフティバスPなどの、バスシステム上での安全な送信を可能にする様々な戦略を開発した。
【０００４】
さらに、例えば、シーメンスのバスシステム、特に機器シリーズＳ ７ ４００ ＦまたはＰｉｌｚによるＰＳＳ ３０００シリーズなどの、内部に冗長構造体を既に有していることにより前記セーフティバスシステムとの相互作用によって障害の検出が可能な制御システムがまもなく販売される。
【０００５】
ただし、ここで実施されている方法は、必要な構成部品を全く新たに設置する場合にしか利用できず、系統的な故障に対する保護は充分とはいえない。
これに対し、本発明は、標準的な装置を使用して実現されるプロセスによって障害を検出することを目的としている。
【０００６】
また、これには、使用するバスシステムを介したデータの転送時に発生する障害だけでなく、検出後に削除される制御装置上の外乱やプログラミングエラーも含まれることが好ましい。
【０００７】
したがって、本回路装置は、内容全体が本願の主題にもなる公開済み特許第１９８５７６８３．８号によって既に出願された方法を具体的に表したものである。
この方法はあらゆる環状バスシステムに特に適しており、記載の技術はインターバス標準に合わせて最適化されている。このケースでは、主な要件が１９９９年初旬に既に達成され、その後、ＩＥＥジャーナル、１９９９年４月号、Karsten Meyer-Grafe: 「Interbus goes Safety」に公表されている。
【０００８】
以下に、好適な実施形態および添付図面を参照しながら本発明をさらに詳細に説明する。
以下の本文において、まず図１を参照し、本発明をさらに詳細に説明する。図１はかかるシステムに適した構成を示している。
【０００９】
制御装置（１）は、例えば、従来のインターバスシステムにより周知のプロセスによって、全ての制御機能を処理する。制御装置（１）は予想される障害の検出も行なうことにより、各工程を中断したり安全な状態に導くことができる。
【００１０】
しかし、それ自体に故障がある場合や障害のあるデータ転送が行なわれた場合には、制御装置（１）は、従来、所望の安全な状態を作り出すことは不可能であった。このような故障は、例えば、制御システムにおいてプロセス制御と安全制御の間が広く分離されている場合にも発生する。また、従来では、冗長体も有していないために、未検出の障害が重大な結果を招くことがあった。
【００１１】
本発明によれば、予想される障害を検出ならびに削除する他の構成部品が付加されている。これらの各装置は、該プロセスにおいて、安全関連データを受信または送信する場合に限り必要とされる、周辺監視装置（４）および１つまたは複数の周辺安全関連装置（９）である。
【００１２】
制御装置（１）内には、全ての出力データおよび他の検査信号をデータ線（１３）を介して周辺装置（７、８、１２、周辺安全関連装置９および周辺監視装置４）に送信する、データマップレジスタ（２）が含まれている。
【００１３】
バス転送はシフトレジスタと同様に動作することから、いずれの周辺装置もその入力データを、帰還回線（１４）を介して同じバス周期で制御装置に送信し、各データがデータマップレジスタ（３）で利用できるようになる。この後に続くＳＰＣ（記憶プログラム制御）周期では、ＳＰＣがその２つのマップレジスタ（２、３）からのデータを処理することにより、本プロセスに必要な状態が発生する。
【００１４】
しかし、周辺監視装置（４）および周辺安全関連装置（９）がなければ、ＳＰＣはプログラミングエラー、外乱または故障による状態、あるいは誤ったバス転送によるデータエラーを制御することはできない。したがって、周辺監視装置（４）は、ＳＰＣの送信データを監視して、安全関連量が適正かどうか、特にその正確さを検査する独自のマイクロプロセッサを有している。
【００１５】
従って、転送装置（５）を備えた周辺監視装置（４）は、ＳＰＣを監視することができる。ただし、周辺監視装置（４）は、帰還路に設置された転送装置（６）を介して周辺装置の入力データも追加的に読み取ることができる。さらに、周辺安全関連装置（９）はその出力情報（Ｄ３）をバス装置（２３）の入力部に直接転送するので、バス転送が正確に動作したかどうか直接検査することができる。
【００１６】
さらに、転送装置（５）を備えた周辺監視装置（４）は、周辺安全関連装置（９）に関するデータを操作することも可能である。特に、周辺監視装置（４）はＳＰＣのデータに上書きすることによって、周辺安全関連装置（９）から出力されたデータとの一致を防止することができる。周辺安全関連装置（９）は、検査装置（１１）を介して出力装置（１０）のデータに関する一致を受信した場合に限り、稼動状態となる。
【００１７】
データ転送とのタイミングを以下の表に示す。
【表１】

【００１８】
このタイミング図は、好適な例であるフェニックス・コンタクト社（Phoenix Contact GmbH and Co. KG）のインターバスシステムを使用したリング方式の各シフト情報後の状態を示している。
【００１９】
情報ＡＣ３は、転送装置（５）を備えた周辺監視装置（４）によって操作し、上書きすることができる。そのため、周辺安全関連装置（９）では、検査ロジック（１１）において、欠陥のある出力を防止する付加的な情報項目を受信する。
【００２０】
さらに、タイミング図から分かるように、周辺監視装置（４）は、周辺安全関連装置（９）からの出力データを読み取ることもできる（ＥＣ３）。これらのデータは、バスエラーが確実に検出されるように、周辺安全関連装置（９）の直接的な出力情報になっている。
【００２１】
周辺安全関連装置（９）の内部構成を図２に示している。
周辺安全関連装置（９）は、入力情報を重複して取り出せるように（２４、２５）、２つのバス装置（２２、２３）から構成されている。さらに、バス装置（２２）からの出力情報Ｄｎは、他のバス装置（２３）の入力部を介してマッピングされる。このため、内部記憶部の、あるいは、バス転送中に予想されるエラーは、バス転送の後続の周期において検出される。出力情報Ｄｎは、制御装置（ＳＰＣ）によってバッファ（７）に書き込まれる。
【００２２】
ただし、検査ロジック（１１）は、さらに、バッファ（７）の情報が出力ロジック（２８）を介して周辺装置に出力されるかどうか判断する。この検査ロジック（１１）は、出力（２９）によって制御プロセスが安全な状態になるように、記憶された情報を回線（３０）を介してリリースするか、状態を回線（３１）を介して削除することができる。
【００２３】
また、この回路装置は、原則的に、通常の非集中ＳＰＣシステムのように、多数の領域で動作し、各構成部品は、単に付加的に、入力を余分に監視して、記憶された出力情報が適切か、特に出力前に障害がないか検査できるようにする。さらに、監視装置は、故障または外乱によって発生した障害だけでなく、プログラミングやパラメータ化のエラーによって発生した障害も検出することができる。
【００２４】
従って、本回路装置は、フォールトトレラント構造体を構成するのに必要なデータを、標準環状バスシステム上で送信できるようにする。
本発明の実施に当たっては、監視装置ならびに、制御目的でデータを送受信する周辺入出力装置を用いる。
【００２５】
本回路装置は、制御プロセス、特に機械またはプラント内での制御、センサまたはアクチュエータに関するデータの送信時に、危険を伴うような障害を検出する処理を行なう。この回路装置は、その内部構成上、エラーが制御プロセスに送信され保護スイッチオフを開始する以前でも、エラーを識別する。この装置の場合、エラーの原因が外部制御装置にあるか使用されているバスシステムにあるかは重要でない。
【図面の簡単な説明】
【図１】 被保護データ送信用システムの第１の実施形態に係る構成を示す図である。
【図２】 被保護データ送信用システムの周辺安全関連装置の内部構成を示す図である。

Claims (24)

1. 環状バスシステムにおける被保護データ送信用システムであって、
   出力データと制御プロセス用の検査信号とを周辺装置（４、７、８、９、１２）に送信する制御装置（１）と、
   送信されたデータを監視する第１の転送装置（５）と、該制御装置（１）内に読み込まれるデータを監視する第２の転送装置（６）とを有する周辺監視装置（４）と、
   出力用にデータが一時的に記憶され、一時的に記憶されたデータを監視する検査ロジック（１１）と一時的に記憶されたデータを出力する出力装置（１０）とを有することにより、安全関連データを受信または送信する少なくとも１つの周辺安全関連装置（９）とから成り、
   障害がある場合に、該検査ロジック（１１）は、該一時的に記憶されたデータを削除し又はリリースすることにより該出力装置（１０）を安全状態にさせ、
   該第１の転送装置（５）は、障害がある場合に、不良データがデータ送信シーケンスを含む制御プロセスに達しないように該周辺安全関連装置（９）に向かうリリースされたデータを抑制または削除するような方法で、該制御装置（１）が送出したデータを監視し、
   該周辺安全関連装置（９）の入力データおよびその一時的に記憶されたデータは、該第２の転送装置（６）を介して読み戻されるシステム。
2. 請求項１に記載のシステムにおいて、該周辺安全関連装置（９）の該一時的に記憶されたデータおよび該入力データは、該周辺監視装置（４）に提供されるシステム。
3. 請求項１又は２に記載のシステムにおいて、該周辺安全関連装置（９）はバス装置（２３）を介して該一時的に記憶されたデータを読み戻すシステム。
4. 請求項１乃至３の何れか１項に記載のシステムにおいて、該周辺安全関連装置（９）は、バスを介して送信されたデータの、出力信号（２９）を備えた該出力装置（１０）を介した制御プロセスへのリリース前であっても、該記憶されたデータがバス装置（２３）によって読み戻されることにより該周辺監視装置（４）によって検査されるバッファを有するシステム。
5. 請求項３又は４に記載のシステムにおいて、該周辺安全関連装置（９）は、該周辺安全関連装置（９）が冗長入力チャネル（２４、２５）を有し、接続された制御プロセスを重複して監視することによって障害を検出できるように、バス装置（２２）をさらに具備するシステム。
6. 請求項１乃至５の何れか１項に記載のシステムにおいて、該検査ロジック（１１）は、該バッファ（２７）に記憶されたデータを該出力ロジック（２８）を介して出力するかどうか判断するシステム。
7. 請求項１乃至６の何れか１項に記載のシステムにおいて、該検査ロジック（１１）は該一時的に記憶されたデータをリリースまたは削除するシステム。
8. 請求項１乃至７の何れか１項に記載のシステムにおいて、該第１の転送装置（５）を備えた該周辺監視装置（４）は、該周辺安全関連装置（９）用データを操作することが可能であるシステム。
9. 請求項１乃至８の何れか１項に記載のシステムにおいて、該周辺監視装置（４）はＳＰＣのデータに上書きするシステム。
10. 請求項１乃至９の何れか１項に記載のシステムにおいて、該周辺安全関連装置（９）からの出力データとの一致が該データの上書きによって防止されるシステム。
11. 請求項１乃至１０のいずれか１項に記載のシステムにおいて、該検査ロジック（１１）は、欠陥のある出力を防止する情報項目を、該周辺監視装置（４）から受信するシステム。
12. 請求項１乃至１１の何れか１項に記載のシステムにおいて、該周辺安全関連装置（９）は、該検査ロジック（１１）を介して該出力装置（１０）のデータに関する一致を受信した場合に限り稼動状態となるシステム。
13. 請求項１乃至１２のいずれか１項に記載のシステムにおいて、該周辺装置（４、７、８、９、１２）自体が、論理動作を行うことができ、そのために全体的な結合動作においてより高い工程速度が達成されるシステム。
14. 請求項１乃至１３の何れか１項に記載のシステムにおいて、該周辺監視装置（４）自体が制御機能を扱い、そのために安全制御装置との結合動作が発生するシステム。
15. 請求項１乃至１４の何れか１項に記載のシステムにおいて、該周辺安全関連装置（９）は、バストラフィック用の標準非安全関連モジュールで管理を行うシステム。
16. 請求項１乃至１５の何れか１項に記載のシステムにおいて、該安全機能は標準バスシステムにおいて動作可能であるシステム。
17. 請求項１乃至１６の何れか１項に記載のシステムにおいて、該機能は、該周辺監視装置（４）を付加して、通常の周辺装置を周辺安全関連装置（９）と交換することにより、その後設置できるシステム。
18. 請求項１乃至１７の何れか１項に記載のシステムにおいて、該システムの該安全機能は、ハードウエア構成部品またはソフトウエア・モジュールを付加することによりその後拡張することも可能であるシステム。
19. 環状バスシステムにおける被保護データ送信用システムであって、
    送信されたデータを監視する第１の転送装置（５）と制御装置（１）に読み戻されるデータを監視する第２の転送装置（６）とを備える周辺監視装置（４）と、
    出力用にデータが一時的に記憶され、一時的に記憶されたデータを監視する検査ロジック（１１）と一時的に記憶されたデータを出力する出力装置（１０）とを備える少なくとも１つの周辺安全関連装置（９）とを含み、
    該第１の転送装置（５）と該第２の転送装置（６）とによる監視に基づいて、周辺監視装置（４）が、制御装置（１）が送出したデータを自動的に検査して障害があるか否かを吟味し、障害がある場合には、該検査ロジック（１１）が、該少なくとも１つの周辺安全関連装置（９）内の該一時的に記憶されたデータを自動的にリリースし又は削除し、それによって該出力装置（１０）を安全状態にさせ、障害がデータ送信シーケンスを含む制御プロセスに達しないようにするシステム。
20. 請求項１９に記載のシステムにおいて、該周辺安全関連装置（９）の一時的に記憶されたデータはバス装置（２３）を介して読み取られ、該検査ロジック（１１）によって監視並びに検出されるシステム。
21. 請求項１９又は２０に記載のシステムにおいて、
    該周辺安全関連装置（９）は、安全関連データ及び出力用の該一時的に記憶されたデータを受信し又は送信するシステム。
22. 環状バスシステムにおける被保護データ送信用システムにおける周辺安全関連装置であって、
    冗長入力チャネル（２４、２５）を介して制御プロセスから情報を取り出すことができるように、かつ周辺監視装置（４）の出力データを読み戻すために提供できるように、バス装置（２２）の出力データを他のバス装置（２３）の入力部にも転送する、２つのバス装置（２２、２３）と、
    バス装置（２２）の該出力データがそのリリース前に記憶されるバッファ（２７）と、
    一時的に記憶されたデータが出力される出力ロジック（２８）と、
    該バッファ（２７）に記憶されたデータを該出力ロジック（２８）を介して出力するかどうか判断する検査ロジック（１１）とから成る周辺安全関連装置。
23. 請求項２２に記載の周辺安全装置において、該検査ロジック（１１）が該一時的に記憶されたデータをリリースまたは削除する周辺安全関連装置。
24. 請求項２２又は２３に記載の周辺安全装置において、該検査ロジック（１１）が、障害のある出力を回避できるように、該周辺監視装置（４）から情報を受信する周辺安全関連装置。

Images