JP4480311B2 - プロセス制御システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、安全性が不可欠なプロセスを制御するための制御システムに関し、安全性が不可欠なプロセスを制御する第一の制御ユニットとＩ／Ｏチャンネルを介して安全性が不可欠なプロセスに結合された信号ユニットとを有し、更に第一の制御ユニットと信号ユニットを接続するフィールドバスと、フィールドバス上の通信を制御するバスマスターとを有し、第一の制御ユニットと信号ユニットは、かかるユニット間のフェイルセーフの通信を保証するための安全性指向システムに関する。
【０００２】
【従来の技術】
このタイプの制御システムはＤＥ−Ａ−１９７ ４２ ７１６で知られている。あるプロセスの制御に関わる別々のユニットの間のデータ通信のためにフィールドバスを使用することは、制御および自動化技術の分野において現在周知のことである。それに関して、ここで使用するフィールドバスという言葉は、理想的には共通するフィールドバスを介して相互に通信を行うように任意の所望のユニットをそこに接続できるデータ通信システムを意味する。該ユニット間の通信は、専用のプロトコルによって統御される。かかる通信システムは、２つのユニット間のポイント−ポイント通信接続で他のユニットが該ユニット間の通信から完全に切り離されるものとはまったく異なる。既知のフィールドバスの例としては、ＣＡＮバス、Ｐｒｏｆｉｂｕｓ、Ｉｎｔｅｒｂｕｓなどがある。
【０００３】
多くのフィールドバスにおいては、フィールドバスに接続された他のユニット（ここではステーションと呼ぶ）に対して主たる地位を有する少なくとも１つのバスマスターによって、通信が制御される。これは、バスマスターから「許可」されない限り、どのステーションも他のステーションにデータを送れないという問題を生じる。通常バスマスターは、フィールドバスに対して指定されたプロトコルを実施する標準モジュールであり、多くの場合比較的複雑であり従って比較的高価である。
【０００４】
フィールドバスを使用することは、主にそれを使用しない場合に必要となる配線の労力に関して、多くの利点を有するが、安全性が不可欠なプロセスの制御のための実際的な用途にそれらを使用することは、従来は不可能であった。それは、それらの構造がいかなるユニットからも自由にアクセスできるものであるために、安全性が不可欠なプロセスの制御に必要な程度のフェイルセーフ機能が保証できなかったためである。
【０００５】
本発明において、安全性が不可欠なプロセスという言葉は、故障が発生した場合に、人体および財産に無視できない危険をもたらす可能性があるプロセスという意味に理解される。従って理想的には、安全性が不可欠ないかなるプロセスについても、故障が発生した場合にプロセスが安全な状態に移行することが１００％保証されなければならない。かかる安全性が不可欠なプロセスはまた、より大きく高レベルの全体のプロセスの部分的プロセスであってもよい。安全性が不可欠なプロセスの例としては、重要なパラメータを所定の限界内に保持することが絶対的に必要とされる化学的プロセスや、油圧プレスや生産システム全体の制御のように複雑な機械の制御がある。例えば油圧プレスの場合、材料供給プロセスは安全性が不可欠なプロセスではないかもしれないが、全プロセスの一部としてプレス装置を起動するプロセスは安全性が不可欠な部分プロセスであろう。安全性が不可欠な（部分）プロセスの他の例としては、安全ガード、保護ドア、あるいは光バリアの監視、両手押しボタンスイッチの制御あるいは非常停止装置に対する応答などがある。
【０００６】
上に述べたＤＥ−Ａ−１９７ ４２ ７１６は、フィールドバス、特にＩｎｔｅｒｂｕｓとして知られているものに基づく制御およびデータ送信システムを説明しているが、これはその目的のために安全指向モジュールを組み込まなければならなかった。この目的を達成するために、上記の特許公報ではマスター制御ユニットと呼ばれているバスマスターとステーションの両方に安全指向システムを備えることが提案された。それによりかかる安全指向システムはこの様なデータ通信に加えて、安全性が不可欠なプロセスの制御に関して必要なレベルのフェイルセーフを保証する安全機能を実行する。もっと具体的に述べると、この場合は求められる安全レベルは、主に安全指向システムを通してバスマスターを「安全」にすることにより達成される。
【０００７】
しかしこの目的には標準モジュールを利用することができず、複雑なバスマスターを改造することが必要となるので、フェイルセーフ制御システムの開発と製造において、かかるシステムを組み込むことは非常に手間がかかり、コストも高くなる。
それに加えて、この様な手段はそれに基づく制御システムの運用においても不利である。それは、複雑なプロセスの制御においては、安全指向の通信は全通信量の１０％しか占めていないからである。従って上記の手段は、それによって制御される通信量の９０％以上に対しては全く不必要であるにもかかわらず、高い費用をかけてバスマスターが「安全」に維持されているという不利とむすびついている。
【０００８】
【発明が解決しようとする課題】
そこで本発明の目的は、安全性が不可欠なプロセスに含まれる各ユニット間のフェイルセーフな通信を保証すると同時に、標準的なモジュールをバスマスターとして使用することを可能にする、上記のような種類の制御システムを提供することである。
上記の制御システムにおいてこの目的は、第一の制御ユニットおよび信号ユニットとは独立にバスマスターがフィールドバスに接続されることによって達成される。
【０００９】
【課題を解決するための手段および発明の効果】
安全指向システムによって、第一の制御ユニットは「安全」な制御ユニットとなるが、それは内部および外部の故障の両方に対する判定および対策を、必要であれば他の安全ユニットとの相互作用によって、行う状態にこのユニットが置かれていることを意味する。より具体的に言うと、上記の手段は、一方では安全性が不可欠なプロセスを制御するための第一の制御ユニットと、他方ではバスマスターが、別々のモジュール内に収容され、そして使用されているフィールドバスにそれらが接続されることを意味する。その点で、第一の制御ユニットを単純なステーションとして、つまりバスマスターの機能を持たずにフィールドバスに接続することが可能であるが、これは後でＩｎｔｅｒｂｕｓとの関連で例示する。これにより、安全性が不可欠なプロセスの制御が安全性が不可欠でないプロセスの制御とはほぼ独立に、また共通のフィールドバス上でのデータ通信の制御からも独立に実行できる。
【００１０】
そのため制御ユニットは、バスマスターのいかなる機能も必要とせず、反対に安全指向システムを何等必要とせずにフィールドバスにバスマスターを接続できる。これにより通常の標準的バスマスターの利用が可能となる。従って本発明の上記の目的は完全に達成できる。
本発明による手段は更に、第一の制御ユニットおよびそれに伴って安全指向システムが、その複雑さとスピードを考慮して、比較的小さな通信量の安全指向データ送受信に対してのみ適応すれば良いという利点を提供する。安全指向でないデータ送受信の部分は、全体の複雑なプロセスの９０％以上を占める可能性があるが、これは第一の制御ユニットを介して、あるいは安全指向システムを介して扱う必要はない。これにより、第一の制御ユニットと安全指向システムとを比較的単純な構造とすることができる。
【００１１】
上に述べた特徴の１つの実施形態では、第一の制御ユニットは安全性が不可欠なプロセスを制御するための独立の制御プログラムを有する。
ここで独立の制御プログラムという言葉は、他の制御ユニットとは独立に第一の制御ユニットを安全性が不可欠なプロセスの制御を行う状態にする制御プログラムを意味する。従って第一の制御ユニットは単に他の制御ユニットを補助する冗長な構成要素ではなく、安全性が不可欠なプロセスを独立にかつフェイルセーフの方式で制御するようになされるものである。この特徴は、制御システムの安全指向部分を、安全性が不可欠でない部分から完全に分離するので、特に有利である。このことは、権限のある監督機関による制御システムの認定に関して特に重要であるが、それは安全指向でない部分をいじることで安全指向の部分に影響を与えることが、この特徴によって排除されるからである。
【００１２】
別の実施形態によれば、第一の制御ユニットはフェイルセーフなバス・テレグラムを発生することができ、それを受信すると信号ユニットは安全性が不可欠なプロセスを安全な状態に移行させる。
安全性が不可欠なプロセスが、例えば非常停止装置の監視に関与する場合は、例えば直ちに全プロセスの電源を落とすことによって安全な状態を実現できる。しかし全システムの電源を落とすことが反応を暴走させる可能がある化学製造システムの場合は、安全状態という言葉はパラメータを所定の範囲に設定することと定義される。ここで述べた手段は、フィールドバスとは別の付加的な制御ラインを介してプロセスを安全な状態に移行させる方法とは異なる。フェイルセーフなバス・テレグラムは安全指向システムとの関連でのみ可能なので、この方法がこれまでは好まれた。それに対して上記の手段は、対応する付加的な制御ラインを使用せずに作動でき、従って配線の手間を更に削減するという利点を有する。
【００１３】
別の実施形態によれば、安全指向システムはマルチチャンネル構造を有する。ここでマルチチャンネル構造とは、安全指向システムが、お互いに関して冗長であるような少なくとも２つの並列の処理チャンネルを有することを意味する。この特徴により、処理チャンネルの一方に発生した故障が、例えば１つの結果が他の処理チャンネルの結果と異なることによって発見され、必要であれば直すことができるという利点が得られる。そのためこの特徴は、フェイルセーフ能力の改善のために高い信頼性をもって貢献する。
【００１４】
好適には、マルチチャンネル構造は多様性の原則に基づいている。
これは、マルチチャンネル構造の各チャンネルが異なる構成であることを意味する。例えば、１つのチャンネルはあるメーカーのマイクロコントローラーをベースにしており、別のチャンネルが第二のメーカーのマイクロコントローラーをベースにしているという具合である。従ってこの場合、マイクロコントローラーの制御プログラムもまたそれぞれ異なる。あるいは、チャンネルのうちの１つはマイクロコントローラーの代わりに配線論理を有しても良い。上記の特徴により、多様な性質を有する構造では同じ故障が同時に発生する確率が、一様な構造に比べて大幅に軽減されることにより、フェイルセーフ能力が更に大幅に改善されるという利点が得られる。
【００１５】
本発明の別の実施形態によれば、制御システムは安全性が不可欠でないプロセスを制御するための第二の制御ユニットを有する。
好適には、第二の制御ユニットは標準的な制御ユニット、すなわち標準モジュールとして入手可能な制御ユニットである。制御システムが複雑な全体システムを制御するために使用される場合、安全性が不可欠でないプロセスはすべて安全性が不可欠な部分プロセスとは別に制御できるので、この特徴は特に有利である。更に、第一の制御ユニットは安全性が不可欠ではないタスクから解放される。これにより第一の制御ユニットだけでなく、全制御システムの設計を特に低コストかつ効率的なものにできる。
【００１６】
上記の手段の別の実施形態として、第二の制御ユニットが第一の制御ユニットとは別にフィールドバスに接続される。
この特徴により、安全指向のプロセスが、安全指向でないプロセスからもっと厳格に分離されるという利点が得られ、それにより安全指向の制御が意図せぬ影響を受ける危険が更に低減される。それだけでなく、既存の全体システム中の安全性が不可欠なプロセスを制御するために、その制御システムでそれまで使われていた標準制御ユニットを交換する必要なく、第一の制御ユニットを後から取り付けることも可能になる。これにより、安全指向の構成要素を含む既存の制御システムを、簡単かつ低コストで改造することが可能になる。
【００１７】
上に述べた手段の別の実施形態では、第二の制御ユニットは安全指向システムから自由となる。
これは、第二の制御ユニットが安全指向システムを有しないことを意味する。この特徴により、第二の制御ユニットもまた不要なバラストから自由であるという利点が得られる。それにより第二の制御ユニットに低コストの標準的なモジュールを使用することが可能になる。
上に述べた手段の別の実施形態では、第二の制御ユニットにはバスマスターが組み込まれる。
このことは、使用されるフィールドバスに接続されたユニットの数を減らすと言う利点を与える。更に内蔵したバスマスターを有する制御ユニットは様々なメーカーから標準モジュールとして入手できる。従って上記の特徴は低コストで効率的に実現できる。
【００１８】
本発明の更に別の実施形態によれば、フィールドバスに接続された異なるユニット間を循環するテレグラム送受信が、フィールドバスによって可能となる。そのためには、フィールドバスは好適にはＩｎｔｅｒｂｕｓである。
循環するテレグラム送受信を伴うフィールドバスは本技術分野において既知のものである。好適に用いられるＩｎｔｅｒｂｕｓはこの場合に一例を示す。原則的にはかかるフィールドバスはシフトレジスタのように設計され、フィールドバスに接続された各ユニットは順次配列された記憶位置となる。バスマスターの制御の下で、データワードは１つのユニットから次のユニットへ順次シフトされる。フィールドバスごとに異なっていて良い適切な手段により、接続されたユニットはシフトされたバステレグラムが自分に宛てられた部分を含んでいることを認識する。
【００１９】
上記の特徴により、非常に効率の良い制御システムが、極めてわずかな配線の手間で単純に実現できるという利点が得られる。Ｉｎｔｅｒｂｕｓをフィールドバスとして使用することにより、ユニットが自分に宛てられたバステレグラムを特に単純な仕方で認識できるという利点が更に得られる。これによりシステムは故障に影響されにくくなる。
本発明の更に別の実施形態によれば、第一の制御ユニットはテレグラム送受信の循環方向に関して、信号ユニットの上流側に配置される。
【００２０】
この特徴は、第一の制御ユニットによって生成されたデータだけを信号ユニットが受け取ることを、単純な方法で保証するという点で、特に有利である。
前記の手段の更に別の実施形態によれば、第一の制御ユニットは、信号ユニットに宛てられた任意のテレグラムデータを、フェイルセーフのテレグラムデータに置き換える手段を有する。
上記の特徴は、安全性が不可欠なプロセスに含まれる信号ユニットがフェイルセーフのテレグラムデータだけを受け取ることを保証するための非常に単純で、したがって有利な方法である。もっと具体的に言えば、テレグラムが第一の制御ユニットによって生成された場合にのみ、テレグラムは所定の信号ユニットに到達することが許されるならば、順次循環するテレグラム送受信がこの目的のために利用される。
【００２１】
本発明の別の実施形態では、制御システムは少なくとも２つの安全性が不可欠なプロセスを制御するために、少なくとも２つの第一の制御ユニットを有する。この特徴により、安全性が不可欠な異なる複数の部分プロセスからなる非常に複雑な複数の全体システムをそれぞれ別々にまた互いに独立に、しかも極めて単純で低コストな方法で制御することが可能となる。この場合、どちらの第一の制御ユニットもバスマスターの機能を有する必要が無く、そのため全システムのコストを低く抑えることに貢献するという点で、特に有利である。
【００２２】
上に述べた特徴と更に以下に述べる特徴は、説明した組み合わせで使用できるだけでなく、本発明の趣旨から離れることなく他の組み合わせでも、また孤立して使用することもできることが理解される。
【００２３】
【発明の実施の形態】
以下、本発明の実施形態を図面とより詳しい記述によって説明する。
図１において、本発明による制御システムの全体が参照符号１０で示されている。
制御システム１０はフィールドバス１２、この場合はＩｎｔｅｒｂｕｓに基づいている。フィールドバス１２には第一の制御ユニット１４、第二の制御ユニット１６および全部で４つの信号ユニット１８、２０、２２および２４が接続された状態が例として図示されている。第一の制御ユニット１４は安全制御ユニットであり、第二の制御ユニット１６は標準の制御ユニットである。
【００２４】
例として、安全性が不可欠な２つのプロセス２８を含む自動化された全体システムを、参照符号２６で示す。全プロセスのうち安全性が不可欠な部分プロセス２８以外の各部は安全性が不可欠ではない、すなわちこれらは、いかなる安全指向の追加手段も必要としない。全プロセス２６は例えばプレスの自動制御に関し、処理される部品（図示せず）の供給プロセスが他のものと共に安全性が不可欠でない部分プロセスを代表する。この場合、安全性が不可欠な部分プロセス２８は例えば両手スイッチとガードの制御および監視に関連する。
【００２５】
参照符号３０は、非常停止装置の監視の様な、全体として安全性が不可欠なプロセスを示す。
制御ユニット１８〜２４は、Ｉ／Ｏチャンネル（入力／出力チャンネル）３２を介して制御されるプロセス２６〜３０に接続される。Ｉ／Ｏチャンネル３２は入力と出力を提供するが、制御される各プロセスに特徴的な状態情報信号をこの入出力を通じて読みとることができ、各プロセスを制御する制御信号を出力できる。実際には、センサーおよび／またはアクチュエータ（図示せず）がＩ／Ｏチャンネル３２に接続される。
【００２６】
その様なものとして知られている他の構成要素に加えて、第二の制御ユニット１６はマイクロコントローラー３４とマスタープロトコルチップ３６を有する。この場合、マスタープロトコルチップ３６はＩｎｔｅｒｂｕｓに対するバスマスターの機能を有するので、以下バスマスターとも呼ぶ。かかるマスタープロトコルチップ３６は、様々なメーカーから標準モジュールとして入手できる。
第一の制御ユニット１４は、ステーションとして通信モジュール３８を介してフィールドバス１２に接続されるが、その構造を以下図２を参照して説明する。第一の制御ユニット１４はこの場合、更にフィールドバス１２の戻り信号経路に接続された受信モジュール４０を有する。
【００２７】
更に第一の制御ユニット１４はこの場合、マルチチャンネル形式の多様化を基礎とするマイクロコントローラーシステムを含む安全指向システム４２を有する。この場合、マルチチャンネル形式のマイクロコントローラーシステムは異なるメーカー製であり、従って異なるプログラムを必要とする２つの冗長マイクロコントローラー４４で象徴される。安全指向システム４２はエラー制御手段を実現するが、これは以下に述べる信号ユニット１８〜２２中の安全指向システムとの関連で、フェイルセーフのデータ通信を可能にする。エラー制御手段の例は、”Ｂｕｓ−Ｓｏｆｔｗａｒｅ ｍｉｔ Ｆｅｕｅｒｍｅｌｄｅｒ（火災警報付きのバスソフトウェア）”と題する論文（ＩＥＥ、１９９８年４３判、Ｎｏ．８、ｐｐ４６〜４８）に説明されている。
【００２８】
第一の制御ユニット１４は更に、制御プログラム４８が記憶されるメモリー４６を有する。制御プログラム４８は、第二の制御ユニット１６とは独立に（バスマスター３６によって制御されるフィールドバス１２上の通信を例外として）第一の制御ユニット１４を、安全性が不可欠なプロセス３０と安全性が不可欠な部分プロセス２８を制御する状態にするという意味で自律的である。
信号ユニット１８〜２４はそれぞれステーションとして、スレーブプロトコルチップ５０を介してフィールドバス１２に接続される。スレーブプロトコルチップ５０もまた様々なメーカーから標準モジュールとして入手できる。更に信号ユニット１８、２０および２２は、これもまた２チャンネルのマイクロコントローラーシステム４４を含む安全指向システム５２を有する。信号ユニット１８および２０の例によれば、それらを通して送られる全ての信号は安全指向システム５２の補助を受けて扱うことができる。従って、信号ユニット１８および２０は完全に「安全」な信号ユニットである。信号ユニット２２は単に部分的にのみ「安全」な信号ユニットである。つまり、このユニットによって扱われる信号の一部だけが、安全指向システム５２によって制御および監視される。それに対して、信号ユニット２４はいかなる安全指向システムも持たず、従って「安全でない」標準的な信号ユニットである。
【００２９】
信号ユニット１８は安全性が不可欠なプロセス３０に接続され、信号ユニット２０は安全性が不可欠な部分プロセス２８の１つに接続される。これらのプロセスは、第一の制御ユニット１４によって排他的かつ自律的に制御される。信号ユニット２２はその安全な部分と共に第二の安全性が不可欠な部分プロセス２８に接続され、残りの安全性が不可欠でない全体プロセス２６のための制御信号を、その非安全部分と共に発生する。従って、信号ユニット２２はその安全部分に関しては第一の制御ユニット１４によって制御され、非安全部分に関しては第二の制御ユニット１６によって制御される。これによって、１つの同じバスアドレスで安全および非安全信号ユニットの両方に対応することができる。
【００３０】
信号ユニット２４は排他的に、全体プロセス２６の安全性が不可欠でない部分に接続されており、第二の制御ユニット１６によって排他的にアドレス指定がなされる。
図示の実施形態とは異なり、第一の制御ユニット１４を介して標準の信号ユニット２４を制御することも原則的に可能であるが、この場合は完全にフェイルセーフの通信は保証されない。
【００３１】
その構造と機能が第一の制御ユニット１４に対応する別の安全制御ユニットが、参照符号５４で示されている。参照符号５６は他の安全信号ユニットを示す。第一の制御ユニット５４と安全信号ユニット５６は、前に説明した破線で示されるユニットに加えて、フィールドバス１２に接続することができる。しかし説明を簡単にするために、制御システム１０の動作の説明において、安全制御ユニット５４と安全信号ユニット５６はフィールドバス１２に接続されないと仮定する。
【００３２】
第一の制御ユニット１４に含まれ、図２により詳しく示されている通信モジュール３８は、入力が第一のバス接続６０を介して、また出力が第二のバス接続６２を介してフィールドバス１２に接続されたスレーブプロトコルチップ５８を有する。プロトコルチップ５８は、信号ユニット１８〜２４に含まれるプロトコルチップ５０に対応し、この説明が対象とするＩｎｔｅｒｂｕｓの場合には「シリアルマイクロプロセッサ用インターフェース（ＳＵＰＩ）」と呼ばれることが多い。
【００３３】
更にプロトコルチップ５８は更に別の入力と出力を有し、図示した例では１つの入力ＦｒｏｍＥｘＲ（外部受信器から）、２つの入力ＴｏＥｘＲ１およびＴｏＥｘＲ２（外部受信器へ）、そして１つのクロック出力ＣＬＫｘＲである。信号線６４は出力ＴｏＥｘＲ１に接続され、信号線６６は入力ＦｒｏｍＥｘＲに接続される。信号線６６はプロトコルチップ５８を受信メモリー６８に接続する。更に通信モジュール３８も送信メモリー７０を有する。信号線６６は、プロトコルチップ５８の入力ＦｒｏｍＥｘＲを、スイッチ７２に示すような手段を介して、出力ＴｏＥｘＲ１または送信メモリー７０に選択的に接続する。次に通信モジュール３８の動作を説明する。
【００３４】
プロトコルモジュール５８はそのバス接続６０において、バスマスター３６によってフィールドバス１２に送られたバステレグラムを受け取る。それに含まれるデータは出力ＴｏＥｘＲ１で得られ、信号線６４を介して受信メモリー６８に供給される。スイッチ７２の動作によって信号線６６が出力ＴｏＥｘＲ１に接続されると、受信されたテレグラムデータは同時に入力ＦｒｏｍＥｘＲに供給されて、次ぎにプロトコルチップ５８によってバス接続６２を介して下流側のステーション、ここでは安全信号ユニット１８に送られる。この場合、バステレグラムに含まれるデータは一方では受信メモリー６８に記憶され、他方では変化しないままプロトコルチップ５８を通過する。それに対してスイッチ７２が入力ＦｒｏｍＥｘＲを送信メモリー７０に接続する場合は、送信メモリー７０から得られたテレグラムデータはプロトコルチップ５８によって下流側のユニットに送られる。このようにスイッチ７２を切り替えることにより、バステレグラムに含まれるデータを、送信メモリー７０からのデータで任意にかつ選択的に置き換えることができる。これはビットレベルまで非常に選択的に行うことができる。
【００３５】
図３に示す第一の制御ユニット１４の受信モジュール４０は、通信モジュール３８と同じスレーブプロトコルチップ（ＳＵＰＩ）をベースとしている。区別のために、ここではプロトコルチップを参照符号７４で示す。プロトコルチップ７４は受信モジュールであるから、受信メモリー７６だけに接続された自分の出力ＴｏＥｘＲ１を有している。
第一の制御ユニット１４は通信モジュール３８を通して、バスマスター３６からフィールドバス１２を介して送られた任意のバステレグラムを受け取り、それらを任意にまた選択的に修正した仕方で、後に続く信号ユニット１８〜２４に再送信できる状態になる。第一の制御ユニット１４はまた受信モジュール４０を通して、信号ユニット１８〜２４から戻されたバステレグラムを受け取り、記録することができる。
【００３６】
そのため第一の制御ユニット１４は、バスマスターの機能を自分自身が有していなくても、フィールドバス１２を介して信号ユニット１８〜２４と通信を行うことができる。安全指向システム４２、５２を備えているので、これにより第二の制御ユニット１６とは独立にフェイルセーフのデータ通信および制御を行うことが可能になる。
Ｉｎｔｅｒｂｕｓと共に使用されるバステレグラムの全体を、参照符号７８で模式的に図４に示す。バステレグラム７８はいくつかの部分に分けられた、厳密に定義された構造を有している。各バステレグラムは開始ワードで始まるが、これは普通ループバック・ワード（ＬＢＷ）と呼ばれる。開始ワードの次ぎに様々なデータフレーム８０が続くが、これが制御コマンドや測定値の信号などの有用なデータを運ぶ。
【００３７】
Ｉｎｔｅｒｂｕｓの場合は、前に述べたようにバスマスター３６がバステレグラム７８を発生し、それを下流側の通信モジュール３８にシリアルで送信する。通信モジュール３８はバステレグラム７８を受け取って、データフレーム８０から得たデータのうち第一の制御ユニット１４に関係するものを、受信メモリー６８に保存する。同時にこれはバステレグラム７８を下流側にある信号ユニット１８のプロトコルチップ５０に送信するが、そのためにデータフレームに含まれるデータを送信メモリー７０から得られたデータで任意に置き換えることができる。次ぎにバステレグラム７８は、信号ユニット１８のプロトコルチップ５０によって信号ユニット２０に送られて、ここから信号ユニット２２と２４に送られる。信号連鎖の最後に、接続された最後の信号ユニットである信号ユニット２４はバステレグラム７８をバスマスター３６に返し、バステレグラム７８はこの様に全プロトコルチップ５０と通信モジュール３８を再度通過する。バスマスター３６が開始ワードＬＢＷを受け取ると同時に、これはバステレグラム７８がフィールドバス１２を順序に従って完全に一回りしたことを示すものと見なされる。
【００３８】
上に述べたデータの流れと図２に示した通信モジュール３８の配置のために、第一の制御ユニット１４はそれがネットワークの構造を知っている限りにおいて、信号ユニット１８〜２４のいずれとも通信を行うことができる。このことは、それによってアドレスされた各信号ユニット１８〜２４がフィールドバス１２上のどの点にあるかを、第一の制御ユニット１４が知っていることが先ず第一に必要となることを意味する。図１に示す制御システム１０では、フィールドバス１２に接続された各ユニットの位置をバスマスター３６のゼロから出発して数えるとすれば、信号ユニット１８、２０および２２は位置２、３および４に配置される。例えば信号ユニット２０に制御データを送るためには、第一の制御ユニット１４はＤ３と名付けられたデータフレーム８０に制御データを入れなければならない。これは図５では修正されたデータＤ３＊を有するデータフレーム８２で示される。最初にそのデータフレームに含まれていたデータＤ３は、新しいデータで書き換えられる。
【００３９】
第一の制御ユニット１４と信号ユニット２０は両方とも安全指向システム４２、５２を含んでいるので、これらのユニットのいずれにもバスマスターの機能を持たせる必要がなく、それらの間にフェイルセーフの通信を確立することができる。同じことは、信号ユニット１８と２２との第一の制御ユニット１４の通信についても言えることで、信号ユニット２２との通信に関しては原則としてデータを修正データＤ４＊＊で単に部分的に置き換えるだけで十分である。信号ユニット２２の非安全標準部分に宛てたデータは、第一の制御ユニット１４によって修正されない。
【００４０】
フィールドバス１２を介しての通信のフォローアップを再度行えるための手順を下の表に示す。
【００４１】
【表１】

【００４２】
表の各行には、完全なシフトステップの終わりの時点で、フィールドバス１２に接続されたそれぞれのユニットの入力および出力シフトレジスタに保存されているデータが示されている。この表で使用した略語は以下の意味を有している。ＥＤｘ：データフレームＤｘ中の入力データ
ＡＤｘ：データフレームＤｘ中の出力データ
Ｅ＊Ｄｘ：データフレームＤｘ中の修正（安全）入力データ
Ａ＊Ｄｘ：データフレームＤｘ中の修正（安全）出力データ
データフレームＤ４の中で、信号ユニット２２の安全部分に宛てたデータだけが第一の制御ユニット１４によって修正される。信号ユニット２２の非安全標準部分に宛てたデータは変更されず、信号ユニット２２のそれぞれの部分が第二の制御ユニット１６によってアドレス指定される。
【００４３】
上に述べた安全性が不可欠な自動化されたプロセスを制御するための制御システムとは別に、個々のデータフレーム８０、８２中のデータのかかる修正をフィールドバス１２と共に利用して、その後テレグラムを循環させて、いずれもバスマスターの機能を持たないステーション同士のスレーブ−スレーブ間通信を提供することもできる。この目的には図２に示すように、他のステーションにデータを送ろうとするステーションのプロトコルチップ５８が送信メモリー７０と、必要に応じて受信メモリー６８によっても補足されることで十分である。更にデータを送ることが許可されたステーションは、正しいデータフレーム８０を修正するために、それが送ろうとする相手がフィールドバス１２のどの位置にあるかという情報を有する必要がある。
【００４４】
この様にして、通信モジュール３８、４０を有する複数の標準的な制御ユニットをフィールドバスシステムに組み込んで、安全性が不可欠でない応用に対する制御タスクをいくつかの標準制御ユニットに分散することも可能になる。
【図面の簡単な説明】
【図１】 Ｉｎｔｅｒｂｕｓをフィールドバスとして使用する本発明の好適な実施形態を模式的に示す。
【図２】 図１に示した実施形態において、第一の制御ユニットをＩｎｔｅｒｂｕｓに接続する通信モジュールを模式的に示す。
【図３】 図示した実施形態において、第一の制御ユニット内に追加された受信モジュールを模式的に示す。
【図４】 Ｉｎｔｅｒｂｕｓに対するバステレグラムを模式的に示す。
【図５】 図４のバステレグラム中のフェイルセーフのテレグラムデータによって、安全指向のデータフレームを置き換える手順を模式的に示す。

Claims (14)

1. 安全性が不可欠なプロセス（２８、３０）を制御するための制御システムであって、
   前記プロセス（２８、３０）を制御するための第一の制御ユニット（１４）と、Ｉ／Ｏチャンネル（３２）を持ち、そのＩ／Ｏチャンネル（３２）を介して前記プロセス（２８、３０）に結合された信号ユニット（１８、２０、２２、２４）と、前記第一の制御ユニット（１４）と前記信号ユニット（１８、２０、２２，２４）とを接続するフィールドバス（１２）と、前記フィールドバス（１２）上の通信を制御するためのバスマスター（３６）とを有し、
   前記バスマスター（３６）は、前記第一の制御ユニット（１４）および前記信号ユニット（１８、２０、２２）とは分離されて、前記フィールドバス（１２）に接続されるものであり、
   第一の制御ユニット（１４）は、前記安全性が不可欠なプロセス（２８、３０）を制御するために前記信号ユニット（１８、２０、２２）に宛てられたテレグラムデータ（８０）を、フェイルセーフ性が保証されたテレグラムデータ（８２）で置き換え又は修正する手段（７０，７２）を有する制御システム。
2. 前記第一の制御ユニット（１４）と前記信号ユニット（１８、２０、２２）とはかかるユニットの間の通信をフェイルセーフ側に保証するための安全指向システム（４２、５２）を有する請求項１に記載の制御システム。
3. 前記第一の制御ユニット（１４）が、前記安全性が不可欠なプロセス（２８、３０）を制御するための独立の制御プログラム（４８）を有する請求項１又は請求項２記載の制御システム。
4. 前記第一の制御ユニット（１４）はフェイルセーフ性を有するバステレグラム（７８）を発生することができ、前記信号ユニット（１８、２０、２２）はそれを受け取ると安全性が不可欠なプロセス（２８、３０）を非安全状態から安全状態に移行させるものである請求項１ないし請求項３のいずれかに記載の制御システム。
5. 前記安全指向システム（４２、５２）がマルチチャンネル構造（４４）を有する請求項２に記載の制御システム。
6. 前記マルチチャンネル構造（４４）が多様性の原則を基礎としている請求項５記載の制御システム。
7. 安全指向でないプロセス（２６）を制御するための第二の制御ユニット（１６）を更に有する請求項１ないし請求項６のいずれかに記載の制御システム。
8. 前記第二の制御ユニット（１６）が前記第一の制御ユニット（１４）とは別に前記フィールドバス（１２）に接続されている請求項７記載の制御システム。
9. 前記第二の制御ユニット（１６）が安全指向システム（４２、５２）を持たない請求項７または８記載の制御システム。
10. 前記バスマスター（３６）が前記第二の制御ユニット（１６）に組み込まれている請求項７ないし請求項９のいずれかに記載の制御システム。
11. 前記バスマスター（３６）は、テレグラムデータ（８０）を前記フィールドバス（１２）上の所定方向に周回させるテレグラム送受信を開始するものである請求項１ないし請求項１０のいずれかに記載の制御システム。
12. 前記フィールドバス（１２）がＩｎｔｅｒｂｕｓである請求項１ないし請求項１１のいずれかに記載の制御システム。
13. 前記第一の制御ユニット（１４）がテレグラム送受信の循環方向に関して前記信号ユニット（１８、２０、２２）の上流側に配置される請求項１１に記載の制御システム。
14. ２つの安全性が不可欠なプロセス（２８、３０）を制御するための少なくとも２つの前記第一の制御ユニット（１４，５４）を有する請求項１ないし請求項１３のいずれかに記載の制御システム。

Images