JP4376937B2 - データ伝送方法およびこのデータ伝送方法に用いられるオートメーションシステム - Google Patents

Description

本発明は、２つの通信加入者間でのデータ伝送リンクを用いてデータパケットを伝送する方法、および２つの通信加入者がデータ伝送リンクを通して接続されており、それぞれの通信加入者がインターフェースユニットを有しているオートメーションシステムに関する。

機械を制御するためのオートメーションシステムでは、たとえオートメーションシステムが人間および環境に対して危険をおよぼさない失敗をするとしても、この失敗を確実に見つけなければならない。したがって、オートメーションシステムが重要な構成の欠陥を安全な状態に変更するとき、通常のオートメーションシステムは、フェイルセーフである方式に基づいて作動する。フェイルセーフである方式に基づいて、安全に制御させるための機能（安全制御機能）を実行するとき、オートメーションシステムについて、機械のセンサーからの処理データが現在処理されていること、安全制御機能の実行の間にオートメーションシステムの形式を崩壊されないこと、および安全処理状態が常にアクチュエーターに表示されていることが基本的に望まれている。

しかし、オートメーションシステムの場合において、安全制御機能の数は、通常、オートメーションシステムの通常動作を維持するために使用される上記安全制御機能以外の安全とは関係ない制御機能の数よりも少ない。安全制御機能の機能性が、オートメーションシステムにおける安全とは関係ない制御機能から確実に影響を受けないようにするために、従来、安全制御機能は、安全に関しない制御機能のプログラムから分離した独自の安全プログラムに組み合わせられている。

安全制御機能、および安全とは関係ない制御機能のプログラムの完全な分離は、独自のオートメーションコンピュータにおいて安全プログラムが実行されるという条件で実現されている。多くの場合、独自のオートメーションコンピュータは、緊急解除スイッチ、ライトバリア（light barrier）、さらに、専用配線を用いて機械の安全を確認するためのその他の構成にしばしば結合されている。このように、オートメーションシステム中にさらなるオートメーションコンピュータを付加することによるさらなるハードウェアの複雑さを低減するためのオートメーションシステムがすでに知られている。すでに知られているオートメーションシステムは、安全層として知られているものによって安全とは関係ない制御プログラムを拡張することにより、安全プログラムおよび安全とは関係ない制御プログラムを同じハードウェアで実行するオートメーションシステムである。

通常の最新のオートメーションシステムは、例えば、センサーおよびアクチュエーターレベル、ローカルエリアネットワークを通した制御コンピュータとの通信、および好ましくはフィールドバスシステムといった処理周辺装置がばらばらに設計されている。機械を制御するために、制御コンピュータは、処理周辺装置からフィールドバスを通して制御プログラムのための入力信号を読み取り、リアルタイム処理し、フィールドバスを通して処理周辺装置に出力信号を出力する。安全プログラムから同時に伝送する処理信号もまたオートメーションシステムのフィールドバスを使用することができる。このフィールドバスのシステムは、上記の安全層として知られているものによって拡張されている。すなわち、安全プログラムは、処理周辺装置と制御コンピュータとの間でのデータ伝送が崩壊する許容できないような障害が起こる可能性を最小限としている。これによって、フィールドバスもまた安全に関するデータを伝送するために使用することができる。

通常、フィールドバスシステムにおける上記のさらなる安全層は、フィールドバス上での２つの通信加入者間でのアドレスの関係をさらに含む。アドレスの関係を含むことは、２つの通信加入者同士の関係を明確にしている。さらに、通信加入者間で伝送した安全に関するデータパケットは、伝送した処理データおよびアドレスから計算されるさらなるチェック文字が用いられる。上記のチェック文字は、確実にデータの崩壊を認識するために用いられる。安全制御を処理するデータの正確な命令をチェックすることを可能にするために、安全制御を処理するデータは、伝送され、そして上記データのプロンプトを通信加入者に到達させる。通常、安全に関するデータパケットもまた、連続したシーケンス番号が用いられる。この場合、通常、シーケンス番号は、定められたナンバリングブロックから取得され、そのナンバリングブロックは、完全にパス（pass）した後に再度初期化される。

制御プログラムと安全プログラムとが同一のハードウェアで実行することができる公知のオートメーションシステムは、ＳｉｅｍｅｎｓのＳｉｍａｔｉｃ ｓｙｓｔｅｍである。この場合、フィールドバスシステムの使用は、Ｐｒｏｆｉｂｕｓ ｓｙｓｔｅｍである。すなわち、フィールドバスシステムは、安全に関するデータパケットを伝送するＰｒｏｆｉｓａｆｅ ｐｒｏｔｃｏｌとして知られているものによって拡張されている。しかし、安全プログラムを有するオートメーションシステムは、これほどまでに正確に取り決められた設定およびデータ処理環境の状況においてのみ拡張することができる。

しかし、オートメーションシステムでは、イーサネットプロトコルは、処理信号を伝送するために公知のメーカ独自のフィールドバスプロトコルに加えて使用される頻度が増えている。イーサネットプロトコルは、ローカルエリア通信ネットワークを用いて高速でデータ伝送するためのオフィスコミュニケーションにおいて、最も広く利用されている技術である。イーサネットコンセプトの利点は、標準的なハードウェアおよびソフトウェアを使用できること、および単純なネットワーク技術で高いデータ伝送率を実現するための機会を得られることである。そのため、イーサネットフィールドバスシステムは、工業製品において、アクチュエーター／センサーレベルと制御コンピュータとの間でのデータ交換に使用される頻度も増えている。

したがって、安全層を有するイーサネットフィールドバスシステムを実装することができることが望ましく、また従来のプロトコルプログラムに加えてイーサネットフィールドバスで安全プログラムを実行することができることが望ましい。しかし、イーサネットネットワークは、通常、ネットワーク上でのデータの衝突をさけるために「スイッチ」を用いて設計されている。スイッチは、複数の入力部および出力部を有するデータパケット切り替えノードである。すなわち、入力部に到達したデータパケットは、受信ステーションである出力部に独占的につながれる。しかし、イーサネットネットワークにおいてスイッチを用いて切り替えるデータパケットは、時間の遅延を引き起こす。具体的には、ある入力部のスイッチから受信したデータパケットが、バッファに蓄積され、次に所望の出力部につながれるまでの時間が遅延される。

スイッチを実装したイーサネットにおけるデータパケットの転送の遅延は、Ｐｒｏｆｉｓａｆｅ Ｐｒｏｔｏｃｏｌのような従来の安全層をあえて危険にさらし、不正確な処理状況を発生する可能性があることを意味する。安全データパケットは、定められた番号を有するナンバリングブロックから連続したシーケンス番号を用いているので、スイッチにおけるデータパケットのバッファ蓄積が、シーケンス番号をオーバーフローすることになり、結果として不正確な安全データが伝送される。Ｐｒｏｆｉｓａｆｅ Ｐｒｏｔｏｃｏｌの場合、例えば、安全データパケットは、８ビットのシーケンス番号で伝送され（例えば、処理データが変化しないデータパケットが、オートメーションシステムにおけるデータ伝送の間に２５５サイクルごと繰り返される）、シーケンス番号がオーバーフローするその時に、容認できないシーケンス番号である０となる。結果として、緊急解除スイッチをすぐに認識できなくなる、または機械のプロテクトをすぐに切ることができなくなるために、オートメーションシステムにおいて機械に対する安全処理状況を確実とすることができなくなる。

ＷＯ ９９／４９３７３にもまた、フェイルセーフな情報が安全プロトコルと共に循環的に交換されるオートメーションシステムの作動のための方法が開示されている。一度しかない複合的な伝送で変換されない残りのデータを伝送させるために、データパケットは、静的部位および動的部位に分割される。静的データパケット部位は、初期化フェーズにおいてのみ、フィールドバスシステムの通信加入者間で伝送される。このとき、静的データパケット部位は、動的データパケット部位にチェック文字を計算するための開始値を形成する。定められた許容範囲時間内において新たなデータパケットの欠如する場合は、エラー状態として判断される。スイッチを有するイーサネットネットワークの循環データパケット伝送と共に、この種の安全層を使用するとき、スイッチによってデータパケット転送の遅延し、結果として不正確な処理状況となる危険もある。さらに、時間制限の正確な順守を確実にすることが必要である。

本発明の目的は、２つの通信加入者間でのデータ伝送リンクを用いて、データパケットを伝送する方法、およびそれに関連したオートメーションシステムを提供することである。具体的には、データ伝送リンクは、安全制御機能を実行するための処理信号が現在処理されていること、形式が崩壊していないこと、および安全処理状況が常にオートメーションシステムのアクチュエーターに表示されていることを確実にすることを目的としている。本発明は、請求項１に従った方法および請求項１５に従ったオートメーションシステムによって、この目的を達成する。

本発明の概略では、データパケットは、データパケット中のチェック文字以外のデータから計算されるチェック文字とともに、それぞれのデータパケットを提供することによって、オートメーションシステムの２つの通信加入者間でのデータ伝送リンクを用いて伝送される。開始値は、他の通信加入者に送信するデータパケット中のチェック文字を計算するために用いられるものであり、他の通信加入者から受信した直近のデータパケット中のチェック文字である。

本発明は、安全層を有する制御プログラムを拡張するための機会を提供し、安全に関するデータ伝送を確実にする。オートメーションシステムの場合においてさえ、データ伝送はイーサネットフィールドバスを用いて実行され、データパケット切り替えノードとしてスイッチを含んでいる。これは、例えば、Ｐｒｏｆｉｓａｆｅ Ｐｒｏｔｏｃｏｌの場合、受信した直近のデータパケットに含まれるチェック文字を、次のデータパケットに用いるチェック文字を計算するための開始値として取得しているからである。次のデータパケットは、データパケットシーケンスにおいて同様に繰り返されているデータパケットを回避して送信される。したがって、データパケットが、アカウントの転換を正確に認識されなくなるという危険がないとき、例えば、データパケットが、データ伝送中にイーサネットネットワークのスイッチによってバッファ記録される。本発明のチェック文字の継続的かつ動的な作製は、データパケットシーケンス中に非認識データパケットが生じることを意味する。

第１の好ましい実施形態の概略では、通信加入者から受信したデータパケットの正確性は、受信したデータパケットから計算したチェック文字と、受信したデータパケットに含まれるチェック文字とを比較することによって、チェックされる。チェック文字の計算は、送信した直近のデータパケット中のチェック文字を開始値として取得することにより実行されている。この安全層の解釈によって、正確なデータパケットシーケンスを認識するためにＰｒｏｆｉｓａｆｅ Ｐｒｏｔｏｃｏｌに求められるような、安全データパケット中のシーケンス番号の使用を省くことができる。正確なデータパケットシーケンスは、受信する通信加入者が交代で利用することができるチェック文字の開始値を決定することによって、伝送したチェック文字から直接、本発明の通信加入者が導き出せる。

他の好ましい実施形態の概略では、本発明の安全層におけるデータ通信は、データ伝送の発呼者である通信加入者が、２つの通信加入者間でのデータ伝送の開始時に、他の通信加入者に識別データパケットを伝送するように設計されている。識別データパケットに用いるチェック文字の開始値は、他の通信加入者に対して固有値または識別子であることが好ましい。この方法は、通信遮断後のオートメーションシステムの安全に関するデータを、確実に、かつ安全にデータ交換するために用いることができる。他の通信加入者を識別するためのデータ項目が、このとき送信した識別データパケット中の識別子として用いることができることが好ましい。これによって、通信リンクの確実かつ単純な初期化を可能にする。

他の好ましい実施形態の概略では、２つの通信加入者間でのデータ伝送の開始時に、識別データパケットに付随して、さらなるデータ項目が、データ伝送の発呼者である通信加入者から、他のデータパケットにおいて他の通信加入者に伝送されることが好ましい。この更なるデータ項目は、定められたアルゴリズムに基づいて変化するランダムセッション識別子またはセッション識別子である。セッション識別子は、通信リンクおよび再初期化の遮断の後でさえ、繰り返したデータパケットが現れないことを確実にする。

他の好ましい実施形態の概略では、２つの通信加入者間でのデータ伝送の開始時に、データ伝送の発呼者である通信加入者が、他の通信加入者に識別データパケットおよびセッションデータパケットに付随して、パラメータデータパケットを有するパラメータデータを伝送することが好ましい。これによって、デバイス機能に関する動作パラメータもまた、安全層の状況とともに安全に伝送される。この場合において他に、データパケットが、データパケット中の伝送したデータを識別する分類データ項目とともに提供されてもよい。

他の好ましい実施形態の概略では、オートメーションシステムによるチェック文字の計算が、２つの通信加入者間でのデータ伝送のそれぞれのメッセージシーケンスを認識するシーケンス番号のアカウントを取得することである。この状況において、シーケンス番号は、定められたスキームに基づいて、別々にそして交互に２つの通信加入者によって作製されることが好ましい。計算中のシーケンス番号は、あるメッセージシーケンスから他のメッセージシーケンスへ移動するとき、チェック文字が常に変化することを確実にする。これによって、同じデータを含む連続するデータメッセージからチェック文字が作製され、結果として誤った警告となるかもしれないことを未然に防ぐ。この場合において、通信加入者が、定められたスキームに基づいて、別々にそして交互にシーケンス番号を作製することができるので、シーケンス番号は、同時に２つの通信加入者間でのデータパケットを伝送させるために必要ではない。この場合において、例えば、シーケンス番号は、両方の通信加入者が知っている、定められたナンバーブロックの増加あるいは削除を通して個々の通信加入者において作製されることができる。２つの通信加入者間で伝送するシーケンス番号は、結果として、長いデータパケットを必要としない。特に、長いシーケンス番号は、シーケンス番号をデータ通信中のオーバーフローから守るために用いられる。

他の好ましい実施形態の概略では、通信加入者間で伝送したデータパケットが、接続識別子を含む。これによって、通信加入者および様々な他の通信加入者が、安全に関するデータパケットを伝送することを確実にし、そのとき、異なる通信加入者から受信した２つのデータパケットから偶然に一致した識別チェック文字のアカウントを生じることはない。

次に記載する図を参照してより本発明を詳細に説明する。

図１は、イーサネットに基づいたオートメーションシステムの基本的な構造を示す図である。；図２は、第１のデータパケット形式を有する本発明の安全層のための基本的なデータフローおよび実行プランを示す図である。；図３Ａ〜３Ｃは、第２のデータパケット形式を有する本発明の安全層の拡張したデータフローおよび実行プランを示す図であり、図３Ａは、初期化データ伝送を示す図であり、図３Ｂは、パラメータデータ伝送を示す図であり、図３Ｃは、処理データ伝送を示す図である；そして図４は、第３のデータパケット形式を有する本発明の安全層の他の基本的なデータフローおよび実行プランを示す図である。

通信ネットワークは、ワークステーション（以下、通信加入者とも称する）間での交換および共有するデータおよび／またはリソースの簡単な方法を提供するものである。この状況において、イーサネットコンセプトは、場所を制限した通信ネットワークにおける標準的な通信として最も幅広く使用されている。イーサネットは、共有の伝送手段によって、多数の通信加入者と相互に接続している。伝送されるデータは、データパケット（以下、メッセージと称する）として知られているものに規定のフォーマットを使用してカプセル化されている。この状況において、イーサネットは以下の３つの領域からなる。ハードウェア（例えば、伝送手段および通信加入者のネットワークインターフェース）、伝送手段を通してアクセスを制御するプロトコルのセット、およびイーサネットパケット形式である。この状況において、通信加入者は、いくつかのネットワークトポロジーを用いてイーサネットに接続することができる。

図１は、イーサネットの好ましいネットワークトポロジーを示す。この場合において、通信加入者１は、ポイント・ツー・ポイント接続２による星型の中の、スイッチとして知られる中央変換３に接続されている。スイッチ３は、入ってくるデータメッセージを、メッセージを受信ために接続されている通信加入者出力部に独占的につなぐ。データメッセージは、正確な出力部に出力されるために、スイッチにおいて容易にバッファに蓄積される。

図１に示すように、各通信加入者１は、ネットワークインターフェースユニット１１を有している。ネットワークインターフェースユニット１１は、伝送されるデータをエンコードし、受信したデータをデコードする。さらに、インターフェースユニット１１は、ネットワークを作動するために必要な全ての制御方法を取り扱ってもいる。すなわち、インターフェースユニット１１は、管理およびデータパケットの形成を行う。

図１に示すように、イーサネットネットワークを使用するとき、通信加入者は、制御コンピュータおよびセンサー／アクチュエーター機械システムであり、オートメーションシステムの一部である。通信加入者がオートメーションシステムの一部であることは、リアルタイム性能に加えて重要な必要条件である。すなわち、処理信号がセンサーによって保存されるので、規定された処理時間の中でアクチュエーターに処理信号を出力するために制御コンピュータが必要である。また、オートメーションシステムまたは人間および環境に危険をおよぼさない重要な構成の欠陥を確実に見つけるためにも制御コンピュータが必要である。したがって、オートメーションシステムの制御コンピュータは、通常の制御機能だけでなく、オートメーションシステムの重要な構成の欠陥の場合に、確実に安全機能（例えば、接続した機械は緊急時にスイッチが切られる）を実行するために必要である。すなわち、制御コンピュータは、フェイルセーフである方式として知られていることに基づいて、安全な状態に自動的に変更するオートメーションシステムを提供するために必要である。

オートメーションシステムの制御プログラム実行中における安全機能の数は、通常、重要でない制御機能の数よりも少ない。しかし、安全機能を実行するとき、データ伝送の音声実行は、確実に安全機能を実行するために必要である。特に、オートメーションシステムの通信加入者間での安全に関するデータの伝送中、もはや識別されないほど崩壊しているデータが伝送する障害の可能性を最小限にするために、データ伝送の音声の実行が必要である。

安全制御機能の機能性が、オートメーションシステム中の安全とは関係ない制御機能によって影響を受けないことを確認するために、データ伝送リンクで使用されるネットワークプロトコルは、さらなる安全層が提供される必要がある。上記の安全層は、オートメーションシステム中の通信加入者間での安全データのデータ交換を制御するために備えられる。オートメーションシステムにおける安全層の状況の範囲内で、２つの通信加入者間でのデータ伝送リンクのデータパケットの伝送を確実にするために、本発明は、データパケット中のチェック文字以外のデータから計算されるチェック文字を有する各データパケットを提供する。通信加入者１のインターフェースユニット１１は、他の通信加入者から受信した直近のデータパケット中のチェック文字を利用する。上記チェック文字は、他の通信加入者に送信する次のデータパケット中のチェック文字を計算するための開始値として用いられる。

本発明では、データパケット中のチェック文字は、動的開始値を用いて計算される。動的開始値は、常に、データ伝送サイクル中にデータ崩壊を生じさせる識別データパケットでないことを確認することを可能にする開始値として、以前に受信したメッセージのチェック文字を用いる。認識データパケットは、特に、図１に示すような、スイッチを有するイーサネットトポロジーを使用するときに危険である。この場合においては、通信加入者間で交換されたデータメッセージが、バッファに貯蓄され、後になるまで受信者に転送されない。

本発明におけるデータ伝送の方法では、データパケットを受信する通信加入者も、受信したデータパケットから計算したチェック文字と、受信したデータパケット中のチェック文字とを比較することによって、データパケットが正確であるかを容易にチェックすることができる。チェック文字の計算は、送信された直近のデータパケットからチェック文字を開始値として取得することによって行われる。これは、通信加入者１のインターフェースユニット１１によって行われることが好ましい。計算したチェック文字と受信したパケットデータに含まれるチェック文字とが一致すると、受信したデータパケットが正確であると判断することができる。

図２は、本発明の２つの通信加入者間でのデータ伝送方法のデータフローおよび実行プランを示す図である。データ伝送においては、一方の通信加入者がデータ伝送の発呼者であり、オートメーションシステムにおいては、制御コンピュータがデータ伝送の発呼者である。オートメーションシステムにおいて、アクチュエーター／センサーシステムを含む機械は、本発明のデータ伝送における着呼者である。図２は、発呼者および着呼者間でのデータ交換中の２つのメッセージシーケンスを示しており、各メッセージシーケンスは、発呼者から着呼者へおよび着呼者から発呼者へ戻すデータパケット伝送のためにそれぞれ用いられている。この状況において、データパケットは、セーフデータ（例えば、安全制御のために必要な処理信号）を含む有用データ領域、および制御データ領域を構成している。すなわち、この場合において、シーケンス番号は任意に備えられ、チェック文字は必然的に備えられる。

シーケンス番号は、安全プログラム実行の状況におけるデータ伝送に関与していることを表している。発呼者は、シーケンス番号を定めるために、着呼者に送信したデータパケットを使用する。その結果、着呼者は、返信するデータパケット中にシーケンス番号を加えて発呼者に返信する。次のメッセージシーケンスにおいて、発呼者によって送信したデータパケット中のシーケンス番号は、一つ増加する。

しかし、本発明に基づくデータ伝送において、基本的には伝送するシーケンス番号を割り当てられる可能性がある。シーケンス番号が割り当てられている理由は、データ伝送が崩壊していないことを確認するためである。データ伝送が崩壊していないことを確認するには、発呼者および着呼者の双方において受信したデータパケットからチェック文字を判断することで十分確認することができる。チェック文字は、ブロック保護文字ＣＲＣ（巡回冗長検査）であることが好ましい。ブロック保護文字ＣＲＣは、非常に高いレベルの確実性でデータパケット中のエラーを識別することができる。この場合において、ＣＲＣ値は、有用データおよびデータパケット中のシーケンス番号から計算される。本発明は、受信した直近のデータパケットのＣＲＣ値をＣＲＣ計算に用いる開始値として使用する。

メッセージシーケンスｉ中に発呼者から着呼者へ送信されたデータパケットの場合を、図２に示す。送信されたデータパケットのＣＲＣ値は、着呼者から受信した直近のＣＲＣ値であるＣＲＣ＿Ａ ｉ−１のＣＲＣ値を使用して計算される。送信したデータパケットの計算したＣＲＣ値は、ＣＲＣ＿Ａ ｉである。次に、このＣＲＣ値は、着呼者によって再度、着呼者から発呼者に返信されるデータパケットのＣＲＣ計算に用いる開始値として使用され、着呼者は、ＣＲＣ値としてＣＲＣ＿Ｂ ｉを得る。次に、このＣＲＣ値は、次のメッセージシーケンスｉ＋１において、着呼者に送信される次のデータパケットのために、発呼者によるＣＲＣ計算に用いる開始値として用いられる。そして、上記ＣＲＣ値であるＣＲＣ＿Ａ ｉ＋１は、再度、着呼者から返信されるデータパケットのＣＲＣ計算に用いられ、着呼者は、ＣＲＣ＿Ｂ ｉ＋１を得る。データパケットの正確な受信は、通常、受信している通信加入者により容易に確認することができる。ＣＲＣ値の利点は、受信したデータパケットのＣＲＣ値と、蓄積した開始値に基づいて計算したＣＲＣ値とを比較できる点である。

本発明の概略において、図３Ａに示すように、安全プログラムがネットワーク上の正確な通信加入者間で作動しているかを確認し続けるために、初期化フェーズが安全プログラムの再起動、または通信が遮断した後に再開するときに行われる。この場合において、図３Ａに示すパケットデータは、データパケット中の有用データの目的を表す命令データ領域を含む。例えば、有用データは、識別データまたは処理データである。しかし、安全プログラムを実行するデータパケットシーケンスにおけるデータパケット中の有用データの目的は、代わりに、データパケットの命令によっても作ることができる。このように、実施例の方法として、発呼者から着呼者へ送信した第１の２つのデータ項目は、常に、初期化データを含み、そして、他のデータパケットは、安全データを含むことを定めることが可能である。同時に、着呼者もまた発呼者に処理データのみを伝送することを定められる。原則的には、データパケットの長さは、固定または可変どちらであってもよい。命令データ領域に加えて、データパケットは、他のデータ領域を含んでいてもよい。例えば、他のデータ領域は、図３Ａに示すような、制御／ステータス領域である。

図３Ａに示すように、制御プログラムが再起動されたとき、発呼者は、第１のメッセージシーケンスを使用して初期化を実行し、安全データ通信をセットアップする。第１のメッセージシーケンスは、着呼者に命令データ領域認識および安全データ許可認識を有するデータパケットを送信するためのものである。この場合において、識別データパケットは、チェック文字であるＣＲＣ値で保護されており、開始値は、例えば、着呼者のデバイス識別子のような、固定の値である。識別データは、外部から２つの通信加入者または他の正しい着呼者を識別するためのアドレスデータを外部からセットしてもよい。アドレスデータは、発呼者または着呼者のデバイス識別子および／またはシリアルナンバーであってもよい。

着呼者は、受信した第１のデータパケットのＣＲＣ計算に用いる開始値を知っており、発呼者から受信した第１のデータパケットのＣＲＣ＿Ａ １をチェックする。第１のデータパケットは、正しいデータ伝送であるかを確認するために発呼者から送信される。次に着呼者は、第１のデータパケットからＣＲＣ値（ＣＲＣ＿Ａ １）を取得する。ＣＲＣ＿Ａ １は、発呼者に返信されるデータパケットのＣＲＣ＿Ｂ １をＣＲＣ計算するための開始値として利用される。この返信データパケットは、識別データパケットの命令データ部分に含まれる命令と同じ識別子が用いられることが好ましい。命令データは、第１のメッセージシーケンスの返信データパケットであることを表すために発呼者から伝送される。データパケットは、第１のメッセージシーケンスにおいて、着呼者から発呼者へ返信される。次に、上記データパケットは、発呼者によりＣＲＣサムを計算することによって、正しいデータ伝送かをチェックされ、受信したデータパケットのＣＲＣサム（ＣＲＣ＿Ｂ １）と比較される。ＣＲＣサムは、既知の開始値ＣＲＣ＿Ａ １に基づいて求められる。

第２のメッセージシーケンスにおいて、次に、発呼者は、着呼者にさらなる初期化データパケットを送信する。上記初期化データパケットは、命令セッションおよび安全データとしてセッション番号を含んでいる。第２のデータパケットのＣＲＣ値（ＣＲＣ＿Ａ ２）は、着呼者から返信されたデータパケットのＣＲＣ＿Ｂ １から計算される。この場合において、伝送したセッション番号は、ランダムに作製されるか、または定められたアルゴリズムに基づいて作製される。伝送したセッション番号は、通信リンクが遮断された後、先のデータパケットが伝送され、識別されたさらなるデータパケットがないことを確実にすることを意図している。

着呼者は、発呼者に送信したデータパケットのＣＲＣ計算に用いる開始値（ＣＲＣ＿Ｂ １）を知っており、その知られた開始値に基づいて、予想されるＣＲＣ値を計算することにより受信したセッションデータパケットをチェックする。そして、今度は、発呼者に送信する第２のデータパケットの開始値としてＣＲＣ値（ＣＲＣ＿Ａ ２）を取得する。すなわち、データパケットは、適宜、安全データを伝送するために使用することができる。この第２の返信データパケットの場合、命令の使用は、発呼者から受信したデータパケットの命令セッションであることが好ましい。

安全な通信リンクがセットアップされているとき、発呼者は、適宜、着呼者を作動させるために必要である安全パラメータデータもまた、発呼者から着呼者へ伝送することができる。図３Ｂは、安全パラメータデータを伝送する二つの上記メッセージシーケンス（メッセージシーケンス３）を示す。メッセージシーケンス３は、セッションデータパケットの伝送の後であり、パラメータデータを有する直近に実行したメッセージシーケンスである。

パラメータデータを有するデータパケットの伝送のため、発呼者は、直近に受信したＣＲＣ値（ＣＲＣ＿Ｂ ２）を取得する。取得したＣＲＣ値は、第１のパラメータデータパケットの開始値として用いられる。第１のパラメータデータパケットは、命令パラメータデータおよび安全データパラメータ１もまた提供する。着呼者は、受信したＣＲＣ値（ＣＲＣ＿Ａ ３）をチェックし、発呼者に返信するデータパケットのＣＲＣ計算の開始値とする。この方法において、多数の安全パラメータを着呼者に伝送することができる。図３Ｂに示された例において、安全パラメータデータを有するメッセージシーケンスは、発呼者から着呼者に伝送される。着呼者は、常に、任意に安全データを伝送するために返信データパケットを使用し、パラメータデータを含む返信データパケット中に使用した命令を使用する。

パラメータ伝送を完了すると、図３Ｃに示すように、発呼者は、処理データ伝送を行う。これを終了するために、データパケットは、発呼者によって、命令処理データおよび安全データ処理データを提供される。上記データパケットは、ＣＲＣサム（ＣＲＣ＿Ａ ｎ＋３）を用いて保護されている。ＣＲＣ＿Ａ ｎ＋３は、ＣＲＣ値（ＣＲＣ＿Ｂ ｎ＋２）を開始値として使用して計算される。ＣＲＣ＿Ｂ ｎ＋２は、着呼者から発呼者に返信した直近のパラメータデータにおいて伝送されたものである。次に、着呼者は、ＣＲＣサム（ＣＲＣ＿Ｂ ｎ＋３）で保護された返信データパケットによって処理データを送信する。ＣＲＣ＿Ｂ ｎ＋３は、開始値として発呼者から伝送されたＣＲＣサムであるＣＲＣ＿Ａ ｎ＋３を用いて計算される。

図４は、本発明に係る２つの通信加入者間でのデータ伝送方法の他のデータフローおよび実行設計を示す図である。この場合において、データフローおよび実行計画は、図２において示すデータフローおよび実行計画に基本的に一致する。しかし、図２に示したデータパケットに対して、図４に示すデータパケットは、さらに、常に、接続識別子を同時に伝送するために使用される。接続識別子は、図３Ａにおいて、識別データパケットにおける命令データ部中の初期化フェーズですでに転送されている。この場合に、識別データと同様の方法で、接続識別子が外部からアドレスをセットしてもよい。接続識別子は、図３のように、２つの通信加入者または他の着呼者を識別する。接続識別子は、同様に、発呼者または着呼者のデバイス識別子および／またはシリアル番号でもよい。伝送する接続識別子は、発呼者が、多数の着呼者に安全に関するデータ伝送を同時に行うことを確実にする。同時に、様々な着呼者から含まれている各データパケット特有のチェック文字は、データパケットの混乱を引き起こすことがない。

加えて、図４に示されるデータフローは、各通信加入者からのチェック文字を同時に計算するシーケンス番号を常に含んでいる。このシーケンス番号は、同時に伝送されないけれども、図２と同じスキームに基づいて個々の通信加入者によって作製される。この状況において、シーケンス番号は、例えば、初期化での方法にしたがって、自動的に増加されてもよいし、固定のナンバリングブロックから取得してもよい。シーケンス番号が同時に伝送されないという事実は、データパケットの長さもまた伸ばす必要がないことを意味する。同時に、通信加入者によって作製されたシーケンス番号は、確実にオーバーフローを防ぐためのデータパケットの長さとなるように選択してもよい。チェック文字を計算するときのシーケンス番号の算入は、データパケットがあるメッセージシーケンスから次のメッセージシーケンスまで変化しなければ、チェック文字も決して変化しないことを意味する。そして、チェック文字が変化しないことは、不必要な誤認警告を引き起こさないことを確実にする。

本発明は、データパケットの伝送中に、チェック文字を有するデータパケットを提供することを実行している。チェック文字は、他の通信加入者から受信した直近のデータパケット中のチェック文字を開始値として利用して計算される。本発明は、単純な方法で安全データ伝送を確実に実現するための機会を提供する。本発明の方法は、オートメーションシステムにおける安全層に必要とされている。特に、本発明は、安全プログラムの実行中に繰り返されることからデータパケットを防止するので、ネットワークプロトコルのようなイーサネットプロトコルおよびデータパケットをバッファに蓄積するスイッチを有するネットワーク構造に使用することができる。

本発明の外形において、データ伝送は、識別番号伝送と共に、初めに全てを初期化するように行われ、そしてセッション番号伝送が行われる。これによって、再起動において生じる可能性があるデータパケットの反復を防止する。さらに、本発明のデータ伝送は、オートメーションシステムにおける着呼者のデバイス機能性を要求するための作動データパラメータの伝送もまた含むことができる。

イーサネットに基づいたオートメーションシステムの基本的な構造を示す図である。 第１のデータパケット形式を有する本発明の安全層のための基本的なデータフローおよび実行プランを示す図である。 第２のデータパケット形式を有する本発明の安全層の拡張したデータフローおよび実行プランを示す図であり、初期化データ伝送を示す図である。 第２のデータパケット形式を有する本発明の安全層の拡張したデータフローおよび実行プランを示す図であり、パラメータデータ伝送を示す図である。 第２のデータパケット形式を有する本発明の安全層の拡張したデータフローおよび実行プランを示す図であり、処理データ伝送を示す図である。 第３のデータパケット形式を有する本発明の安全層の他の基本的なデータフローおよび実行プランを示す図である。

Claims (26)

1. ２つの通信加入者間でのデータ伝送リンクを用いてデータパケットを伝送するための方法であって、
   上記データパケットは、それぞれチェック文字を含み、上記チェック文字は、上記データパケット中の上記チェック文字以外のデータから計算されたものであり、
   かつ一方の通信加入者は、他方の通信加入者に送信する次のデータパケット中のチェック文字を計算するための開始値として、上記他方の通信加入者から受信した直近のデータパケット中のチェック文字を利用することを特徴とする方法。
2. 一方の通信加入者から受信したデータパケットは、
   送信した上記直近のデータパケット中のチェック文字を開始値として計算したチェック文字と、
   上記受信したデータパケット中のチェック文字とを比較することによって適否を識別されることを特徴とする請求項１に記載の方法。
3. 上記データパケットは、上記データパケットと共に伝送したデータを識別する分類データ項目を含むことを特徴とする請求項１または２に記載の方法。
4. 一方の通信加入者がデータ伝送の発呼者であり、２つの通信加入者間でのデータ伝送の開始時に、上記データ伝送の発呼者が、他方の通信加入者に識別子を含む識別データパケットを伝送することを特徴とする請求項１から３のいずれか一項に記載の方法。
5. 上記データ伝送の発呼者が、上記識別データパケット中のチェック文字の開始値として、上記他方の通信加入者の固有値または上記識別子を利用することを特徴とする請求項４に記載の方法。
6. 上記データ伝送の発呼者によって送信された上記識別データパケットは、上記他方の通信加入者を識別するためのデータ項目を識別子として含むことを特徴とする請求項４または５に記載の方法。
7. 上記２つの通信加入者間でのデータ伝送の開始時に、定められたアルゴリズムに基づいて変化するランダムセッション識別子、またはセッション識別子が、さらなるデータ項目として伝送されることを特徴とする請求項４から６のいずれか一項に記載の方法。
8. 上記２つの通信加入者間での上記データ伝送の発呼者が、上記識別データパケットに付随するセッションデータパケットを有する上記他方の通信加入者に上記セッション識別子を伝送することを特徴とする請求項７に記載の方法。
9. 上記２つの通信加入者間でのデータ伝送の開始時に、パラメータデータが伝送されることを特徴とする請求項４から８のいずれか一項に記載の方法。
10. 上記２つの通信加入者間での上記データ伝送の発呼者が、上記識別データパケットおよびセッションデータパケットに付随する少なくとも１つのパラメータデータパケットを有する上記他方の通信加入者に上記パラメータデータを伝送することを特徴とする請求項９に記載の方法。
11. 上記データ伝送リンクは、イーサネットに基づいたフィールドバスを用いることを特徴とする請求項１から１０のいずれか一項に記載の方法。
12. チェック文字の計算は、上記２つの通信加入者間でのデータ伝送の各メッセージシーケンスを識別するシーケンス番号のアカウントを取得することであることを特徴とする請求項１から１１のいずれか一項に記載の方法。
13. 上記２つの通信加入者は、定められたスキームにしたがって、相互にかつ別々に上記メッセージシーケンスを識別するための上記シーケンス番号を作製することを特徴とする請求項１から１２のいずれか一項に記載の方法。
14. 上記２つの通信加入者間で伝送した上記データパケットは、それぞれ通信識別子を含むことを特徴とする請求項１から１３のいずれか一項に記載の方法。
15. ２つの通信加入者間でのデータ伝送リンクを用いてデータパケットを伝送することを目的としたオートメーションシステムであって、
    上記オートメーションシステムは、データ伝送リンク（２）を通して接続される２つの通信加入者（１）を有し、かつ上記各通信加入者（１）は、それぞれインターフェースユニット（１１）を有し、
    上記インターフェースユニットが、上記データパケット中のチェック文字以外のデータから計算されたチェック文字を有するデータパケットを形成するために設計されており、他方の通信加入者に送信するデータパケット中のチェック文字を計算するための開始値が、上記他方の通信加入者から受信した直近のデータパケット中のチェック文字であることを特徴とするオートメーションシステム。
16. 上記通信加入者（１）の上記インターフェースユニット（１１）が、送信した上記直近のデータパケット中のチェック文字を開始値として計算したチェック文字と、上記受信したデータパケット中のチェック文字とを比較することによって、一方の通信加入者から受信した上記データパケット２の適否を識別するために設計されていることを特徴とする請求項１５に記載のオートメーションシステム。
17. 上記通信加入者（１）の上記インターフェースユニット（１１）が、データパケットと共に伝送されるデータを識別するための分類データ項目を有するデータパケットを提供するために設計されていることを特徴とする請求項１５または１６に記載のオートメーションシステム。
18. 一方の通信加入者がデータ伝送の発呼者であり、上記データ伝送の発呼者の上記インターフェースユニット（１１）が、識別子を含む識別データパケットを作製するために設計されており、上記識別子が、上記２つの通信加入者間でのデータ伝送において伝送される最初のデータパケットであることを特徴とする請求項１５から１７のいずれか一項に記載のオートメーションシステム。
19. 上記データ伝送の発呼者の上記インターフェースユニット（１１）が、上記識別データパケット中のチェック文字を計算するための開始値として、他方の通信加入者の固有値または上記識別子を利用することを特徴とする請求項１８に記載のオートメーションシステム。
20. 上記データ伝送の発呼者から送信された上記識別データパケットが、上記他方の通信加入者を識別するためのデータ項目を上記識別子として含むことを特徴とする請求項１８または１９に記載のオートメーションシステム。
21. 上記データ伝送の発呼者の上記インターフェースユニット（１１）が、定められたアルゴリズムに基づいて変化するランダムセッション識別子、またはセッション識別子を含むセッションデータパケットを上記識別データパケットに付随して作製するために設計されていることを特徴とする請求項１８から２０のいずれか一項に記載のオートメーションシステム。
22. 上記データ伝送の発呼者の上記インターフェースユニット（１１）が、他方の通信加入者に対するパラメータデータを含む少なくとも１つのパラメータデータパケットを上記識別データパケットおよび上記セッションデータパケットに付随して作製するために設計されていることを特徴とする２１に記載のオートメーションシステム。
23. 上記データ伝送リンクは、イーサネットに基づいたフィールドバスであることを特徴とする請求項１５から２２のいずれか一項に記載のオートメーションシステム。
24. 上記通信加入者（１）の上記インターフェースユニット（１１）が、チェック文字を計算するとき、上記２つの通信加入者間でのデータ伝送の各メッセージシーケンスを識別するシーケンス番号のアカウントを取得するために設計されていることを特徴とする請求項１５から２３のいずれか一項に記載のオートメーションシステム。
25. 上記通信加入者（１）の上記インターフェースユニット（１１）が、定められたスキームに基づいて上記メッセージシーケンスを識別するシーケンス番号を作製するために設計されていることを特徴とする請求項２４に記載のオートメーションシステム。
26. 上記通信加入者（１）の上記インターフェースユニット（１１）が、通信識別子を含むデータパケットを提供するために設計されていることを特徴とする請求項１５から２５のいずれか一項に記載のオートメーションシステム。

Images