JP4480313B2 - プロセス制御装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、セーフティ−クリティカルプロセスを制御する装置に関する。
【０００２】
【従来の技術】
上記装置は、セーフティ−クリティカルプロセスを制御する安全制御ユニットを有し、かつＩ／Ｏチャンネルを介してセーフティ−クリティカルプロセスに接続される少なくとも二つの安全信号ユニットを有し、安全制御ユニット及び安全信号ユニットは、共通のフィールドバスに接続され、かつ装置が制御モードにあるとき、安全信号ユニットは、安全制御ユニットと通信するが、互いに通信しない。
【０００３】
そのような装置は、ＤＥ−Ａ−１９７ ４２ ７１６から公知である。
フィールドバスは、データ通信のためのシステムであり、接続されたユニットは、バスラインを介して互いに接続される。このように、フィールドバスに接続される二つのユニットは、それぞれ個別に互いに直接配線される必要なく互いに通信することができる。公知のフィールドバスの例は、いわゆるＣＡＮバス、いわゆるプロフィバス、及びいわゆるインターバスを含む。
【０００４】
フィールドバスの使用は、制御及びオートメーションの分野において、長い間すでに十分周知であった。しかしながら、これは、セーフティ−クリティカルプロセスの制御には当てはまらず、実際には、制御システムに含まれるユニットは、ごく最近まで個別に互いに配線されていた。これは、公知のフィールドバスが、セーフティ−クリティカルプロセスを制御するのに必要な故障保護（１０^-11未満の故障の可能性）を保証するのは可能ではなかったからである。全ての公知のフィールドバスは、データ送信中の故障保護のための手段を確かにもっているが、これらの手段は、必要とされる故障保護を保証するのに十分ではない。さらに、フィールドバスは、オープンシステムであり、原理的に、それに任意の所望のユニットを接続することができる。制御されるべきであるセーフティ−クリティカルプロセスと全然関係がないユニットの場合には、不所望の態様で上記プロセスに影響を及ぼすおそれがある。
【０００５】
この内容においては、「セーフティ−クリティカルプロセス」という表現は、故障が生じれば、結果として人々または材料商品に容認できない危険が生じるプロセスを意味する。このように、理想的には、セーフティ−クリティカルプロセスは、故障が生じれば、そのプロセスが安全状態に変化することになるという１００％の保障を与えなければならない。機械システムの場合には、これは、システムをオフに切り換えることを含んでもよい。しかしながら、化学生成プロセスの場合には、オフに切り換えると、制御されていない反応をもたらすことがあり、このような場合には、プロセスをノンクリティカルパラメータ範囲に変化させる方がよい。
【０００６】
セーフティ−クリティカルプロセスはまた、より大きなより高レベルの全プロセスのプロセスエレメントであってもよい。一例として、油圧プレスの場合には、材料の供給は、ノンセーフティ−クリティカルプロセスエレメントであってもよく、一方プレス工具の始動は、セーフティ−クリティカルプロセスエレメントである。セーフティ−クリティカルプロセス(またはプロセスエレメント)のさらなる例は、セーフティガード、保護ドアまたは光バリヤーのモニタ、両手操作式スイッチの制御、または緊急オフスイッチのモニタおよび評価である。
【０００７】
セーフティ−クリティカルプロセスの制御に含まれるユニットには、それらの実際の機能の範囲を超える安全関連装置が設けられていなければならない。これらは、主として故障および機能モニタのために用いられる。これらのようなユニットは、故障が生じる場合にもそれらが安全に動作することを保証するために、一般に冗長な設計をもつ。これらのような安全関連手段をもつユニットを、「通常」ユニットに対比して、以下では、安全ユニットと呼ぶ。
【０００８】
この発明の目的のために、プロセスを制御するある量の知能をもつユニットを、制御ユニットと呼ぶ。これらのような制御ユニットを、専門用語では、しばしばクライアントと呼ぶ。
これらは、制御されたプロセス、および制御されるべきプロセスに影響を与えるアクティブアクチュエータの状態変数を表わすデータおよび／または信号を、この情報の関数として受け取る。その知能(intelligence)は、可変ユーザプログラムの形で、制御ユニットのメモリに通常記憶される。プログラマブル論理制御装置（ＰＬＣ）は、制御ユニットとして一般に用いられる。
【０００９】
対照的に、信号ユニットは、本来入力および出力チャンネル（Ｉ／Ｏチャンネル）を提供するモジュールであり、それに、第一にはプロセス変数を記録するセンサ、および第二にはアクチュエータを接続することができる。信号ユニットには、可変ユーザプログラムの形の知能がなく、したがって、機械およびプロセスのいずれをも自律的に制御する能力がない。しかも、緊急オフ切り換えは、故障が生じるときに自律的に行われてもよい。信号ユニットは、それ自体、物理的遠隔制御ユニットから受け取ったコマンドを局部的に実行するためにのみ設けられる。このために、信号ユニットが、オペレーティングシステムの形のプログラムを有していてもよい。しかしながら、ユーザは、信号ユニットのハードウエアを修正しないでこのプログラムを変更することはできない。信号ユニットは、通常、専門技術においてサーバと呼ばれる。
【００１０】
最初に引用したＤＥ−Ａ−１９７ ４２ ７１６は、セーフティガードのモニタ等、セーフティ−クリティカルプロセスを制御する装置を説明している。公知の装置は、制御ユニットを有し、例えばフィールドバスを介して互いに接続される３つの信号ユニットを有する。制御ユニットも信号ユニットもどちらも、所定の安全機能を実行するための安全関連装置を有する。このように、全く一般的な形では、これらは、この発明の目的のための安全ユニットである。
【００１１】
公知の装置では、制御されるべきプロセスは、故障が生じると、安全状態に変化する。この動作を始めるために用いられるスイッチング信号は、第一にはより高レベルの制御ユニットによって、または第二には故障が生じたその信号ユニットの領域においてトリガーすることができる。
しかしながら、公知の装置では、その領域で故障が生じた第一信号ユニットが、そのフィールドバスに同様に接続される他の信号ユニットに、そこで関連プロセスをオフに切り換えさせたり、またはこれらのプロセスを安全状態に変化させることは不可能である。異なる信号ユニットを介して起動される多くのプロセスを安全状態に変化させる必要がなければ、適当な個々の制御コマンドを、影響を及ぼされる信号ユニットの各々に送信する必要がある。これは、公知の信号ユニットが、他の信号ユニットの制御を可能にする知能を有しないからである。
【００１２】
したがって、公知の装置には、信号ユニットの領域で故障が生じると、他の信号ユニットと関連するセーフティ−クリティカルプロセスが安全状態に変化することができるより前に、貴重な時間が失われるかもしれないという欠点がある。詳細には、データ交換は、この場合には、まず第一に第一信号ユニットとより高レベルの制御ユニットとの間で必要とされ、それに続いて、より高レベルの制御ユニットと影響を及ぼされるさらなる信号ユニットとの間でさらにデータ交換が必要とされる。このように、公知の装置については、故障によって間接的にのみ影響を及ぼされるプロセスが十分すばやくオフに切り換えられないおそれがある。
【００１３】
多くのプロセスエレメントを有するシステム全体を、一つの信号ユニットによって完全にオフに切り換えることができることは、ＤＥ−Ａ−１９７ ４２ ７１６から公知である。この場合には、対応する信号ユニットが中央スイッチとして用いられ、特定的に主電源を遮断する。この場合には、故障が生じれば、システム全体をすばやくオフに切り換えることができるが、これから個々のプロセスエレメントを状況の関数として排除するのは不可能である。
【００１４】
今まで、この一般的なタイプの装置は、各々の場合において、制御ユニットを一つしか有していなかった。このことは、制御ユニットが故障すると、その装置をもはや全く使用できないということを意味している。しかしながら、このような場合にも、柔軟な方法でこの一般的なタイプの装置を動作し続けることができるのが望ましい。
さらに、フィールドバスシステムは、フィールドバスに接続される一つのユニットしか1度に送信することができないという問題にさらされる。したがって、2つ以上のユニットが同時に送信したいとき、衝突が生じることがある。公知のフィールドシステムでは、優先順位を割り当てることによって、これらのような衝突が避けられる。しかしながら、詳細には、衝突が生じる場合には、低い優先順位をもつユニットが、非常に長い間ブロック化される、すなわち、いかなる送信ウィンドウも与えられないということはありうる。
【００１５】
ノンセーフフィールドバスシステムでは、この問題は、例えば５０％の最大許容バスロードを規定することによって解決される。バスロードは、この場合、フィールドバスが使用されている時間とフィールドバスが自由に使用可能である時間との商である。例えば、バスロードが規定された限界以下であれば、統計的に平均して、接続されたユニットはフィールドバスに十分アクセスすると仮定することができる。
【００１６】
しかしながら、セーフティ−クリティカルプロセスを制御するとき、個々の状況では、かつ統計的な平均に対比して、対応するユニットが、許容できないほど長い間ブロック化されることがありうるので、このような解決では不充分である。
【００１７】
【発明が解決しようとする課題】
この発明の一つの目的は、最初に述べたタイプの装置を特定し、それによって、故障が信号ユニットの領域で生じたときに、システム全体内のプロセスエレメントの任意の所望の組み合わせを、できるだけすばやく安全状態に変化させることである。
【００１８】
【課題を解決するための手段】
最初に述べた装置については、安全信号ユニットは、フィールドバスを介して一般的な形態で送信される故障メッセージを評価する評価手段、ならびに関連するとして評価される故障メッセージが生じるとき、セーフティ−クリティカルプロセスを安全状態に自律的に変化させる切換手段を有するという点で、この目的が達成される。
【００１９】
すでに公知の装置に対比して、この発明の信号ユニットは、フィールドバスを介して一般的な形態で送信される故障メッセージ、すなわち、それらには特定的に向かわない故障メッセージに自律的に反応する能力を有する。
信号ユニットによる自律反応は、それらが、より高レベルの制御ユニットからそれらに特定的に向けられる制御コマンドがなくても反応することができることを意味している。わかりやすく言えば、この発明の信号ユニットは、このようにある量の知能を有し、その知能は、それらのオペレーティングシステムおよび／またはそれらのハードウエア内に記憶される。
【００２０】
この発明による装置には、個々の信号ユニットが、それらに与えられた知能のおかげで、一般に送信される故障メッセージを自律的に評価することができるという利点がある。このように、それらは、より高レベルの制御ユニットとは無関係に、装置全体の異なる領域に生じた故障に反応することができる。よって、各個別信号ユニットは、それに関連するセーフティ−クリティカルプロセスをオフに切り換える特定制御コマンドをもはや受け取る必要がない。この手段は、故障が生じると、一つの故障メッセージを用いてプロセスエレメントの任意の所望の組み合わせも同時にオフに切り換えることが可能であることを意味している。これは、関連信号ユニットの各々が、より高レベルの制御ユニットによって特定的にアドレス指定されなければならない場合よりかなり早い。
【００２１】
このようにして、上記目的は完全に達成される。
この発明の一つの改良では、信号ユニットの各々は、多くの信号ユニットに故障メッセージを送る送信手段を有する。
この手段には、信号ユニットの各々が、それらの領域に故障が生じると、そのフィールドバスに接続される他の信号ユニットに直接知らせることができるという利点がある。信号ユニットの各々は、さらに、故障メッセージの受信に自律的に反応することができるので、このように、故障によって影響を及ぼされるセーフティ−クリティカルプロセスエレメントを、このような方法で特にすばやく安全状態に変化させることが可能である。この手段の特定的な利点は、より高レベルの制御ユニットが、この場合には信号ユニットとの通信にもはや全然かかわらない、すなわち、信号ユニットが、制御ユニットを介して間接ルートなしに直接互いに通信するということである。この結果、かなりの時間が節約される。
【００２２】
この発明のなお一層の改良では、フィールドバスに接続される信号ユニットは各々、信号ユニットの少なくとも一つの規定されたグループに割り当てられ、各信号ユニットの評価手段は、そのそれぞれ関連するグループとの関連性について故障メッセージを評価する。
この手段には、個々の信号ユニットは、他の信号ユニットの領域で生じた故障が、それ自体のセーフティ−クリティカルプロセスとなんらかの関連性があるかどうかを非常にすばやく見つけ出すことができるという利点がある。結果として、影響を及ぼされる信号ユニットの各々は、一般的な形で送られる故障メッセージに特にすばやく反応することができる。
【００２３】
上で述べた手段のなお一層の改良では、故障によって影響を及ぼされるグループは、各故障メッセージでコード化される。
この手段には、信号ユニットの各々が、それ自体、故障メッセージ自体から直接故障メッセージの関連性を識別することができるという利点がある。これにより、関連する故障の発生によりすばやく反応することさえも可能である。
この発明のなお一層の改良では、バスプロトコル内の故障メッセージは、それらの送リ手の優先順位にかかわらず、最も高い送信優先順位を有する。
【００２４】
この発明のこの改良では、バスロードと無関係に、信号ユニットは、その故障の識別直後、故障メッセージを送ることが可能である。これは、たとえその信号ユニットが、フィールドバスの構造内で比較的低い送信優先順位しか有しない場合でも当てはまる。わりやすく言えば、フィ−ルドバスに接続される各加入者には、この場合、考えられる最も高い優先順位を有するメッセージを送る能力が与えられる。したがって、このシステムのより低レベルの領域においても、フィールドバスに接続される他のユニットに特にすばやく故障の発生を知らせることが可能である。結果として、明らかに「マイナーな」故障に非常にすばやく反応することが可能である。さらに、各ユニットには、バスロードが非常に高いときでさえ、かつその優先順位に関わらず、このようにしてバスアクセスを要求する能力が与えられる。
【００２５】
この発明のなお一層の改良において、各信号ユニットの評価手段は、肯定応答メッセージを送ることなく故障メッセージを評価する。
この手段は、セーフティ−クリティカルプロセスを制御するとき、送られる各メッセージは、まず第一に、受信ユニットから送信ユニットへ送り戻される肯定応答メッセージを介して通常応答されるので、公知の装置と比較して特有の特徴を示している。送信ユニットは、受信ユニットにおいてデータ処理を中断する適当な手段を用いることによって、肯定応答メッセージがないことに通常反応する。対比して、この場合、例外的にいかなる肯定応答メッセージも必要とされないので、上記手段には、信号ユニットが受信した故障メッセージを直接いかなる時間遅延もなく処理することができるという利点がある。この手段により、故障の発生に対する反応の速度をさらに上げることが可能である。
【００２６】
この発明のなお一層の改良では、各信号ユニットは、時間モニタを有し、それは期待事象がないときには、故障メッセージの送信を開始する。
この手段には、フィールドバスに接続される各信号ユニットが、特定の時間シーケンスに従うのをモニタするので、装置全体内で、高レベルの冗長度を与えるという利点がある。このように、上記手段は、相互モニタが「多数の人の間で」共用されるので、装置全体内の安全性を改善することに貢献する。
【００２７】
上で述べた手段のなお一層の改良では、期待事象は、肯定応答メッセージの受信である。
この手段には、フィールドバスに接続されるユニットの各々は、メッセージが送られるとき、アドレス指定されるユニットの故障検査を自動的に実行するという利点がある。この結果、事実上いかなる切れ目もなく連続的な相互モニタが行われる。
【００２８】
上で述べた手段のなお一層の改良では、期待事象は、周期的に送られるテストメッセージの受信である。
テストメッセージは、一つのユニット、例えば、より高レベルの制御ユニットから、フィールドバスに接続される他のユニットへ送られるメッセージである。すでに説明したように、このようなメッセージには、肯定応答メッセージによって応答しなければならないので、これは、より高レベルのユニットに、アドレス指定されたユニットとの接続に故障がないことを確かめる能力を与える。逆に、各信号ユニットは、テストメッセージの規則的で周期的な受信をモニタするので、より高レベルのユニットがモニタされる。
【００２９】
上で述べた手段のなお一層の改良では、それ自体同様に発明とみなされるが、期待事象は、送信ウィンドウである。
すでに上で述べたように、多くのフィールドバスシステムにおける個々の接続されたユニットの通信は、送信許可の特定的な割り当てによって、または特定的な送信ウィンドウを与えることによって（例えば、フロフィバスの場合）調整される。他のフィールドバスシステムでは、個々のユニットには、それらに割り当てられる一定の優先順位に基づき、それらの送信許可が与えられる。どちらの場合にも、高負荷のため、ユニットが、許容できないほど長い間送信ウィンドウを待たなければならないということがありうる。各ユニットが、相応して長い間通信することを禁止されるので、これは、セーフティ−クリティカルプロセスを制御するとき危険であるかもしれない。しかしながら、上記手段により、影響を及ぼされるユニットは、相応して高いかまたは最も高い優先順位を有する故障メッセージを特定的に発することによって、より高い優先順位を有するバス加入者とさえ通信することが可能になる。この手段には、いずれかのユニットが許容できないほど長いブロック化を回避することがこの場合常に可能であるので、フィールドバスは、セーフティ−クリティカルプロセスを制御するときでさえ、非常に高いバスロードで動作することができるという利点がある。たとえバスロードが非常に高くても、このことは、メッセージが、一定の規定された最大時間間隔内にフィールドバスを介して常に送信されることを保証する。この手段はまた、この事実によって、それ自体特に有利である。
【００３０】
この発明のなお一層の改良では、フィールドバスは、ＣＡＮバスである。
この手段は、その基本的な構造によって、ＣＡＮバスにより、バスに接続されるいずれかのユニット間でメッセージを送信しかつ受信することができるので、特に有利である。結果として、ＣＡＮバスは特に、特定的な領域で故障が生じたとき、故障メッセージを多くの接続されたユニットに非常にすばやく送るのに非常に適する。しかしながら、同時に、この特徴のために、ＣＡＮバスは、セーフティ−クリティカルプロセスを制御するとき、従うべき通信調整に関する非常に厳密に規定されたルールを必要とする。この発明による手段は、第一に通信調整に関する明白なルールを含み、かつ第二にＣＡＮバスの特有の特徴を最適に使用するので、ＣＡＮバスと関連して特に有利である。全体的に見れば、この発明による手段と組み合わせたＣＡＮバスは、このようにセーフティ−クリティカルプロセスを制御するのに特に非常に適する。
【００３１】
なお一層の改良では、それ自体有利であるが、その装置は、セーフティ−クリティカルプロセスを制御する少なくとも二つの安全制御ユニットを有し、かつこれらは、共通のフィールドバスを介して少なくとも一つの信号ユニットに接続される。
この手段には、装置を、制御ユニットの一つが故障したときでさえ、制御プロセスになお用いることができるという利点がある。例えば、これにより、一つの共通フィールドバスを介して互いに別々に二つの同一の機械システムを制御することが可能である。機械システムの一方が故障しても、他方は動作し続けることができ、かつある状況では、第一の機械システムの損失を補償するために、生産を増大さえすることができる。
【００３２】
上で述べた手段のなお一層の改良では、その装置はまた、少なくとも二つの安全制御ユニットを調整する管理ユニットを有する。
この手段には、多くの制御ユニットの調整が、それらによって別々に行うことができるという利点があり、そのため制御ユニットは、それら自体、プロセスを制御するために、すなわち、応用プログラムを実行するために完全に使用可能である。さらに、制御ユニットの調整は、今度は装置に関する安全要因を考慮に入れなければならず、ユーザのアクセスから取り除かれる。
【００３３】
一つのなお一層の改良では、その少なくとも二つの安全制御ユニットは、それらに共同で関連する少なくとも一つの信号ユニットを有し、第１安全制御ユニットは、上記信号ユニットと直接通信し、一方第２安全制御ユニットは、第一制御ユニットを介して上記信号ユニットと通信する。
この手段には、装置内の個々の資源、例えば緊急オフスイッチを、その多くの制御ユニットによって共同で用いることができるという利点がある。これにより、費用を節約することができ、かつ全体の柔軟性が向上する。この場合、上記手段により、共同で用いられる信号ユニットにアクセスするとき衝突を避けることが可能である。
【００３４】
上で述べた特徴および以下で説明する特徴は、それぞれ述べた組み合わせでのみならず、この発明の請求の範囲を逸脱することなく、他の組み合わせででも、それら単独でも用いることができるのは自明である。
【００３５】
【発明の実施の形態】
この発明の典型的な実施形態を、以下の説明においてより詳細に説明し、かつ図面に示す。
図１において、この発明による装置を、全体にわたって、参照番号１０によって示す。
装置１０は、二つの安全制御ユニット１２、１４を有し、それらは、フィールドバス１６を介して合計４つの安全信号ユニット１８、２０、２２、２４に接続される。安全信号ユニット１８〜２４の各々は、多くのＩ／Ｏチャンネルを有し、それはそのＩ／Ｏチャンネルを介して、それぞれセーフティ−クリティカルプロセス２８、３０、３２に接続される。この場合には、安全信号ユニット１８、２０は、プロセス２８に接続され、一方信号ユニット２２は、プロセス３０に接続され、かつ信号ユニット２４は、プロセス３２に接続される。セーフティ−クリティカルプロセス２８は、例えば、機械システムのための両手操作式制御であり、機械軸（ここでは図示せず）の回転速度もまたモニタされる。セーフティ−クリティカルプロセス３０は、例えば、緊急オフスイッチのモニタであり、かつセーフティ−クリティカルプロセス３２は、安全保護（同様に図示せず）のモニタである。
【００３６】
信号ユニット１８〜２４は、第一に、それらのＩ／Ｏチャンネル２６を用いて、セーフティ−クリティカルプロセス２８〜３２に関する信号および／またはデータ値を読み出す。これらのような信号およびデータ値は、例えば、機械軸の現在の回転速度、または緊急オフスイッチの切換位置である。第二に、信号ユニット１８〜２４は、それらのＩ／Ｏチャンネル２６を用いてアクチュエータを作動することができ、それによってセーフティ−クリティカルプロセス２８〜３２が影響を及ぼされる。このように、例えば、緊急オフスイッチの切換位置がモニタされるセーフティ−クリティカルプロセスは、アクチュエータ（図示せず）を有し、それによって、制御されかつモニタされた機械システムの主電源をオフに切り換えることができる。
【００３７】
安全制御ユニット１２、１４は各々、安全信号ユニット１８〜２４と基本的に同じ方法で設計される。このために、図１の制御ユニット１２、１４および信号ユニット１８〜２４を説明する次の参照符号を各々、一度だけ述べる。
制御ユニット１２、１４は各々、安全処理部３４を含み、それは、図１では一点鎖線３６より上方に配置される。この概略図では、ノンセーフ部３８は、本来バス制御装置と呼ばれるモジュール４０を含み、ライン３６の下に位置決めされる。バス制御装置４０は、標準モジュールであり、そこではフィールドバス１６の標準プロトコルが実現される。バス制御装置４０は、メッセージの実際の送信および受信を自律的に扱うことができる。それは、安全処理部３４から送られるべきメッセージを受信する。逆に、それにより、受信したメッセージを、安全処理部３４が使用できるようになる。
【００３８】
この発明の一つの好ましい実施形態によれば、フィールドバス１６は、ＣＡＮバスである。このバスでは、送られるべきメッセージは、ペイロードフィールド内で送信され、そのペイロードフィールドには、フィールドバス１６を介して、そのルートのためにさらなる制御情報が加えられる。制御情報およびペイロードフィールドのパッケット全体は、メッセージを形成する。バス制御装置４０は、それが安全処理部３４から受信するメッセージを、送られるべきメッセージに特定の形態で自律的にはめ込むことができる。逆に、それは、ペイロードフィールドに含まれるメッセージを、受信したメッセージから抽出することができる。
【００３９】
各制御ユニット１２，１４の安全処理部３４は、二つのチャンネルを有するように設計される。二つのチャンネルの各々は、それぞれ関連する周辺装置とともに処理装置４２ａ，４２ｂを本来含み、それによって応用プログラム４４ａ，４４ｂが実行される。機械システムのための制御、したがって制御ユニット１２，１４の知能は、応用プログラム４４ａ，４４ｂに存在する。
二つの処理装置４２ａ，４２ｂは、互いに関して重複して安全関連タスクを実行する。そのプロセスにおいて、それらは、図１の矢印４６によって図示されるように、互いにモニタする。安全関連タスクは、例えば、送信されすなわち送られるメッセージのエラーから保護する手段を含む。バス制御装置４０によって標準としてすでに実行されているエラー保護手段に加えて、これらの手段が実行される。したがって、ノンセーフフィールドバス１６と比較して、エラーの可能性をかなり減じることが可能である。
【００４０】
信号ユニット１８〜２４は、制御ユニット１２、１４と同じ方法で、同じバス制御装置４０を介してフィールドバス１６に接続される。よって、図１のライン５０より上方の部分４８は、この発明の目的のために、再びノンセーフである。ライン５０より下方の安全処理部では、各信号ユニット１８〜２４は、再び２チャンネル冗長度をもって設計される。その２冗長処理チャンネルは、再び、相互故障モニタを実行することができる。
【００４１】
信号ユニット１８〜２４の処理チャンネルの各々は、処理ユニット５２a、５２ｂならびに切換手段５４ａ、５４ｂを有する。処理ユニット５２ａ、５２ｂは共に評価手段を含み、それを用いて信号ユニット１８〜２４は、受信したメッセージを評価することができ、かつ処理ユニット５２ａ、５２ｂは共に送信手段を含み、それを用いて、かつバス制御装置４０と組み合わせて、それらはフィールドバス１６を介してメッセージを送ることができる。処理ユニット５２は各々、意図したタスクを実行する処理装置を含むが、機械システムのユーザによって編集することができる応用プログラム４４を有していない。このように、信号ユニット１８〜２４の機能範囲は、それぞれの製造業者によってのみ支配され、かついわゆるファームウェアにオペレーティングシステムとして記憶される。
【００４２】
切換手段５４により、信号ユニット１８〜２４は、セーフティ−クリティカルプロセス２８〜３２に影響を及ぼすために、ここで図示されていないアクチュエータを起動することが可能である。このように、切換手段５４ａ、５４ｂは、セーフティ−クリティカルプロセス２８〜３２を、安全状態に変化させることができる。想定した状況では、装置１０が複雑な機械システムを制御するために用いられているが、セーフティ−クリティカルプロセス２８〜３２は、例えば、機械システムの部分、または機械システム全体の切換によって、それらの安全状態に変化する。
【００４３】
参照番号５６ａ、５６ｂは各々、時間モニタを示し、信号ユニット１８〜２４内で、特定の時間シーケンスに従っているかどうか検査する。例えば、期待されるメッセージが規定された時間期間内に受信されていなければ、時間モニタ５６ａ、５６ｂは、故障報告を発し、結果として、機械システムをオフに切り換えることができる。
この発明の一つの好ましい実施形態によれば、信号ユニット１８〜２４は、信号ユニットの規定されたグループに割り当てられる。これらのグループは、今度は二つの制御ユニット１２、１４に割り当てられる。一例として、第一グループ５８は、図１では鎖線を用いて示され、それに信号ユニット１８、２０、２２が関連づけられる。参照番号６０は、第二グループを示し、それに信号ユニット２２、２４が関連づけられる。これは、個々の信号ユニットもまた、信号ユニット２２に関して示されるように、同時に多くのグループ５８、６０に割り当てることができるということを意味している。
【００４４】
個々の信号ユニット１８〜２４のグループ５８、６０への割り当てにより、故障が装置１０内で生じると、セーフティ−クリティカルプロセス２８〜３２を、グループ単位でオフに切り換えることが可能である。信号ユニット１８〜２４のグループ５８、６０への割り当ての一例では、互いに分離される二つの機械システムが、装置１０によって、特に二つの制御ユニット１２、１４によって同時に制御される。生じた故障が二つの機械システムの一方のみに影響を及ぼす状況では、それはまた、この機械システムのみをオフに切り換えるのに十分である。このような場合の装置１０を用いる二つの機械システムの接合制御により、第一機械システムの遮断を補償するために、第二機械システムの製造速度を速くすることが可能である。信号ユニット１８〜２４のグループ５８、６０への割り当てにより、セーフティ−クリティカルプロセス２８〜３２の任意の所望の組み合わせを、特定的にかつ信号制御コマンドを用いて安全状態に変化させることができる。
【００４５】
図１の参照番号７０は、いわば管理ユニットを示し、それはまた「マネージメント装置」と呼ばれる。同様に、管理ユニット７０は、バス制御装置４０を介してフィールドバス１６に接続される。それは、このように、フィールドバス１６に接続される他のユニットと通信することができる。しかしながら、管理ユニットは、制御ユニット１２、１４と信号ユニット１８〜２４との間の通信には直接かかわっていない。
【００４６】
その安全処理部では、管理ユニット７０は、特に二つの相互冗長メモリ７２ａ、７２ｂを有し、装置１０の構成全体、特にフィールドバス１６に接続されるユニットの構造が記憶される。管理ユニット７０は、主として種々の制御ユニット１２、１６を互いに関して調整するために、中央管理およびモニタ機能を実行する。これは、一つのフィールドバス１６上で異なる制御ユニット１２、１４を動作するのが可能であることを意味している。
【００４７】
さらに、この典型的な実施形態では、管理ユニット７０の一つのタスクは、規則的な時間間隔で接続テストを開始する。この場合には、管理ユニット７０は、制御ユニット１２、１４に、これらの制御ユニットとの接続がまだうまく働いているかどうかを検査するために、テストメッセージを送る。制御ユニット１２、１４自体は、これらの通信接続もまた検査するために、それらに関連する信号ユニット１８〜２４にテストメッセージを送ることによって、このテストメッセージに反応する。管理ユニット７０は、これに関するデータトラフィックの全てをモニタし、したがって、規則的な時間間隔で、公知のユニットの全てが、以前のようになおアクティブにフィールドバス１６に接続されているかどうかについての情報を受信する。期待したテストメッセージがないときには、あるいは送られたテストメッセージへの期待した応答メッセージがないときには、管理ユニットおよび／または関連制御又は信号ユニットは、故障メッセージを作成し、それに基づいてセーフティ−クリティカルプロセス２８〜３２は、それらの安全状態に変化する。
【００４８】
ここで説明した典型的な実施形態に代わるものとして、管理ユニット７０はまた、制御ユニット１２、１４のひとつに一体化されてもよい。この状況では、管理ユニット７０は、制御ユニット１２、１４内での機能ブロックを表し、それは次に、関連制御ユニットとフィールドバス１６に接続される他の制御ユニットとを区別する。
管理ユニット７０の使用は、この状況におけるようにフィールドバス１６がＣＡＮバスであるとき、特に有利である。これは、この状況では、フィールドバス上で通信調整を実行すべきいかなる中央ユニットも通常ないからである。これに反して、フィールドバス１６に接続されるユニットは、少なくとも原則的には、等しい優先順序を有する。標準ＣＡＮバスの場合には、このように、フィールドバス１６に接続されるユニットの構造変化の概要をもつユニットはない。ひとつのユニットの故障は、セーフティ−クリティカルプロセス２８〜３２を制御するときには、ある状況下で危険な状態を生じうるが、このように十分な信頼性で検出されない。ＣＡＮバスの場合のこのセーフティループホールを、管理ユニット７０を用いることによって閉じることができる。
【００４９】
ここで説明する典型的な実施形態では、種々の制御ユニット１２、１４による、共同で用いられる一つのユニット、すなわち、一例としてのこの場合には信号ユニット２２へのアクセスは、一つの制御ユニット、例えばこの場合には制御ユニット１２に、「マスタ」機能が与えられるという点で調整される。この機能により、制御ユニット１２は、共同で用いられる信号ユニット２２と直接通信することができる。他の「スレーブ」制御ユニット、すなわち、この場合には制御ユニット１４は、マスタ制御ユニット１２の制御下でのみ、共同で用いられる信号ユニット２２へのアクセスが認められる。この状況では、制御ユニット１４は、まず第一に、共同で用いられる信号ユニット２２に向けようとするメッセージを、マスタ制御ユニット１２に送る。次に、この後者は、このメッセージを、共同で用いられる信号ユニット２２に伝える。一方、信号ユニット２４は、この典型的な実施形態では制御ユニット１４にのみ関連するが、制御ユニット１４によって直接アドレス指定される。共同で用いられる信号ユニット２２の観点から、制御ユニット１４は、フィールドバス１６の構造内で、制御ユニット１２に従属しているように見える。それは、信号ユニット１８〜２４と同じ方法で、制御ユニット１２によってアドレス指定される。しかしながら、それによって単独で用いられる信号ユニット２４の観点から、制御ユニット１４自体は、マスタ機能を有する。
【００５０】
二つの制御ユニット１２、１４の間の通信は、これらの二つの制御ユニットの各々と信号ユニット１８〜２４との間の通信と同じ方法で起こりうる。
個々の信号ユニット１８〜２４の、種々の制御ユニット１２，１４への割り当ては、信号ユニットのグループ５８、６０への割り当てと同じ方法で、管理ユニット７０に記憶される。
図２は、まず第一に、制御ユニット１４および信号ユニット２４に基づき、装置１０の通常の制御モードにおける、フィールドバス１６を介する通常のデータトラフィックを示している。通常の制御モードでは、同じデータトラフィックもまた、制御ユニット１２とそれに関連する信号ユニット１８〜２２との間で起こる。
【００５１】
制御ユニット１４は、制御コマンドを、矢印８２の方向のメッセージの形で、信号ユニット２４に送る。信号ユニット２４は、メッセージ８２を受け取り、かつ肯定応答メッセージで応答し、その肯定応答メッセージは、制御ユニット１４まで、矢印８４の方向に送り戻される。次に、信号ユニット２４内の処理ユニット５２は、受信した制御コマンドを評価し、かつ意図した動作を実行する。
一例として、その動作は、セーフティ−クリティカルプロセス３２に関する信号またはデータ値を読出し、かつそれを制御ユニット１４に送信する信号ユニット２４を備えていてもよい。これは、矢印８２の方向のメッセージを用いてなされ、それに対して制御ユニット１４は、矢印８２の方向の肯定応答メッセージで応答する。
【００５２】
装置１０が、通常の制御モードにあるとき、信号ユニット２４は、信号ユニット１８〜２２のように、実行ユニットのみであり、その実行ユニットはそれ自体、いかなる自律的な動作も起こさない。特に、装置が通常の制御モードにあるとき、信号ユニット１８〜２４のどれも、そのような通信が自律的な動作にかならず依存するので、いかなる他の信号ユニット１８〜２４とも通信しない。
しかしながら、この通常の制御モードに対比して、信号ユニット１８〜２４の各々は、この発明によって、故障メッセージを、一般にフィールドバス１６を介して他の信号ユニットへ送信することができる。同じように、信号ユニット１８〜２４の各々は、一般に送信される故障メッセージを評価し、かつそれに自律的に反応することができる。これを、図２の信号ユニット１８の例に基づいて図示する。
【００５３】
この例では、故障は、電光フラッシュ９０によって示され、信号ユニット１８の処理ユニット５２ａで生じている。処理ユニット５２ｂは、処理ユニット５２ａ、５２ｂの相互検査に基づいて、この故障を確認する。この故障は、制御されるべきセーフティ−クリティカルプロセス２８に関しては危険でありうるので、信号ユニット１８は、故障メッセ−ジ９２を発し、かつこれを一般的にはフィールドバス１６を介して送る。故障メッセージ９２は、一般的な第一部分９４を有し、それを一般的な故障メッセージとして識別する。この一般的な部分を有するメッセージは、装置１０の構造内での考えられる最も高い優先順位を自律的に有し、もし必要であれば、接続されたユニット間のフィールドバス１６を介していかなるデータトラフィックをも中断する。
【００５４】
故障９０によって影響を及ぼされる信号ユニット１８〜２４のグループ５８、６０は、故障メッセージ９２の第二部分９６でコード化される。故障メッセージ９２は、矢印９８によって表されるように、フィールドバス１６に接続される全てのユニットによって受信されかつ評価される。特に、故障メッセージ９２は、この場合には、信号ユニット２０、２２、２４によって受信されかつ評価される（その後者は、ここでは図示せず）。装置１０の通常の制御モードに対比して、通信は、この場合このように、信号ユニット１８と信号ユニット２０〜２４との間で直接起こる。
【００５５】
処理ユニット５２および個々の信号ユニット２０〜２４は、故障メッセージ９２をそのようにして識別し、かつそれを第二部分９６でコード化されたグループを用いて評価することができる。グループ５８、６０が故障メッセージ９２の第二部分９６でコード化される状況では、そのグループには受信信号ユニット２０〜２４が属するが、対応する処理ユニット５２は、それと関連するセーフティ−クリティカルプロセス２８、３０をオフに切り換える。これは、図２のキー１００によって表される。図２に示される状況では、例えば、第一グループ５８に属する信号ユニットの全てが反応する。
【００５６】
一例として、図３の概略図は、制御ユニット１２と信号ユニット１８〜２０との間の通信のための時間シーケンスを示す。この場合、時間軸は、矢印１１０の方向に延びている。
種々のユニット間で送られる個々のメッセージは、矢印によって表され、送信機におけるその原点は、点によって識別され、かつその終点は受信機を指す。
ライン１１２より上方の第一時間期間は、装置１０が通常制御モードにあるときは、関連ユニットの通信を表す。一例として、制御ユニット１２は、制御コマンドを有するメッセージ１１４を信号ユニット１８に送る。これは、肯定応答メッセージ１１６で応答する。次のステップでは、制御ユニット１２は、さらなる制御コマンドを有するメッセージ１１８を、信号ユニット２０に送る。これはまた、肯定応答メッセージ１２０で応答する。メッセージ１１４で信号ユニット１８に送信された第一制御コマンドが、データ値を読むという要求を含んでいれば、信号ユニット１８は、さらにメッセージ１２２で応答し、それを用いて必要とされるデータ値を制御ユニット１２に送信する。制御ユニット１２はまた、肯定応答メッセージ１２４を用いてメッセージ１２２に対して応答する。同じ方法で、信号ユニット２０はまた、制御ユニット１２にデータ値を送ることができる。この図からわかるように、装置１０が通常制御モードにあるときには、信号ユニット１８、２０の間に通信はない。
【００５７】
ライン１１２、１２６の間の次の時間期間は、故障が信号ユニット１８内で生じた場合の装置１０の動作を示す。この状況では、信号ユニット１８は、フィールドバス１６を介して一般的な故障メッセージ１２８を送り、すなわち、フィールドバス１６に接続される各ユニットは、この故障１２８を受信することができる。特に、この場合の信号ユニット１８は、故障メッセージ１２８を信号ユニット２０に直接送る。次に、関連信号ユニット１８〜２０は、プロセス１３０、１３２をそれらの安全状態へ変化させることによって生じた故障に反応する。この図示から分るように、関連信号ユニット１８〜２０は、肯定応答メッセージを受信しまたは肯定応答メッセージの発信を生じるのを待つ必要なく受信された故障メッセージ１２８と反応する。
【００５８】
ライン１３４より上方の次の時間期間は、フィールドバス１６に接続されるユニット間の接続テストのシーケンスを示す。この場合、接続テストは、制御ユニット１２によって開始されると仮定する。これに対比して、他の典型的な実施例における接続テストは、管理ユニット７０によって開始される。
接続テストの最初に、制御ユニット１２は、テストメッセージ１３６を信号ユニット１８，２０に送り、かつアドレス指定された信号ユニットの各々は、肯定応答メッセージ１３８、１４０でこのテストメッセージ１３６に応答する。この接続テストは、規則的で周期的な時間間隔で実行される。時間間隔は、フィールドバス１６に接続されるユニットの各々により、テストモニタ５６を使ってモニタされる。鎖線の矢印１４２によって表されるように、期待したテストメッセージがないときは、関連ユニット、この場合には信号ユニット２０は、フィールドバス１６に接続される全てのユニットに一般的な形でもう一度送られる故障メッセージ１４４を作成する。次に、フィールドバス１６に接続されるユニットは、すでに述べた態様で反応する。
【００５９】
ライン１３４より下方の次の時間期間に、さらなる故障源を示す。この時間期間では、信号ユニット２０は、フィ−ルドバス１６を介してメッセージを送ろうとする。しかしながら、そのプロセスでは、それは、制御ユニット１２と信号ユニット１８との間で同時に起こるメッセージトラフィック１４６、１４８と衝突する。多くのほかのバスシステムにおけるように、ＣＡＮバスでは、これらのような衝突は、優先順位を割り当てることによって避けられる。しかしながら、信号ユニットが、そのメッセージを送るための低い優先順序を有するなら、このメッセージを、比較的長い時間期間、フィールドバス１６を介して送らないということがありうる。
【００６０】
分りやすいように、信号ユニット２０がこの場合にブロック化される時間期間は、フィールドバス１６上での負荷レベルに依存している。この場合、いわゆるバスロードは、フィールドバス１６が用いられているその時間とフィールドバス１６が自由に使用可能である時間との商として規定される。ノンセーフフィールドバスの場合には、ユニット、例えばこの場合には信号ユニット２０がブロック化されうる時間が、最大許容バスロードを特定することによって規定される。例えば、バスロードが５０％未満であれば、接続されたユニット全部は、統計的に平均して、フィールドバス１６へ十分アクセスできると仮定することができる。しかしながら、個々の状況においてかつ統計的な平均に対比して、信号ユニット２０は、許容できないほど長い間ブロック化されることがありうるので、そのような規定は、セーフティ−クリティカルプロセスを制御するには不十分である。
【００６１】
この発明によれば、このような場合には、信号ユニット２０は、このように、最大優先順位を有する故障メッセージ１５０を作成する。このことは、信号ユニット２０の許容できないほど長いブロック化が、規定された時間間隔がいったん経過すると常に終ることを保証し、そのことは信号ユニット２０のために時間モニタ５６によってモニタされる。
全く一般的な形では、この手段は、フィールドバス１６に接続されるが本来低優先順位をもつユニットに、バスアクセスを要求する能力を与える。このように、セーフティ−クリティカルプロセスを制御するとき、５０％よりかなり大きいバスロードをもってフィールドバス１６を動作することが可能である。
【図面の簡単な説明】
【図１】 二つの安全制御ユニットが、フィールドバスを介して合計4つの安全信号ユニットに接続されたこの発明の典型的な実施形態を示す。
【図２】 フィールドバスを介する種々のデータトラフィックを示す。
【図３】 安全制御ユニットと二つの安全信号ユニットとの間の種々の通信シーケンスの概略図を示す。

Claims (12)

1. 安全性が不可欠なプロセス（２８、３０、３２）を制御する装置（１０）であって、
   前記プロセス（２８，３０，３２）を制御する安全制御ユニット（１２、１４）と、それぞれ少なくともひとつのグループ（５８，６０）に属し、Ｉ／Ｏチャンネル（２６）を持ち、そのＩ／Ｏチャンネル（２６）を介して前記プロセス（２８、３０、３２）に接続される複数の安全信号ユニット（１８、２０、２２、２４）と、前記安全制御ユニット（１２、１４）および前記安全信号ユニット（１８、２０、２２、２４）が接続され、前記安全信号ユニット（１８、２０、２２、２４）と安全制御ユニット（１２、１４）との通信を伝送するフィールドバス（１６）とを有し、
   前記安全信号ユニット（１８、２０、２２、２４）同士は、当該装置（１０）が通常制御モードにあるときには、互いの通信を行わず、
   各安全信号ユニット（２２）は、当該安全信号ユニット（２２）により故障が検出されたときには、前記フィールドバス（１６）を介して故障メッセージ（９２）を送信する送信手段（５２ａ、５２ｂ）と、他の安全信号ユニット（１８）からフィールドバス（１６）を介して送信された故障メッセージ（９２）が、当該安全信号ユニット（２２）が属するグループ（５８）のプロセス（２８、３０）と関連するか否かを評価する評価手段（５２ａ、５２ｂ）と、関連するとして評価された故障メッセージ（９２）が生じると、当該プロセス（２８，３０）を、前記Ｉ／Ｏチャンネル（２６）を介して安全状態に自律的に変化させる切換手段（５４ａ、５４ｂ）とを有する、装置。
2. 各故障メッセージ（９２，１２８，１４４，１５０）は、故障によって影響を及ぼされるそれらのグループ（５８、６０）ごとにコード化される請求項１に記載の装置。
3. 前記フィールドバス（１６）は、通信のためのバスプロトコルを用意し、バスプロトコルは、各信号ユニット（１８、２０、２２、２４）に優先度を割り当て、
   バスプロトコル内の故障メッセージ（９２，１２８，１４４，１５０）は、それらの送り手の優先順位に関わらず、最も高い送信優先順位が割り当てられている請求項１又は請求項２に記載の装置。
4. 各安全信号ユニット（１８、２０、２２，２４）の評価手段（５２ａ、５２ｂ）は、肯定応答メッセージ（１１６、１２０）を送信することなく、故障メッセージ（９２，１２８，１４４，１５０）を評価する請求項１ないし請求項３のいずれかに記載の装置。
5. 各安全信号ユニット（１８、２０、２２、２４）は、イベントの発生を時間的にモニタする時間モニタ（５６）を有し、モニタした所定時間内に期待事象がないときは、故障メッセージ（９２，１２８，１４４，１５０）の送信を開始する請求項１ないし請求項４のいずれかに記載の装置。
6. 前記期待事象は、肯定応答メッセージ（１１６，１２０，１２４）の受信である請求項５に記載の装置。
7. 前記期待事象は、周期的に送信されるテストメッセージ（１３６，１４２）の受信である請求項５に記載の装置。
8. 前記期待事象は、送信ウィンドウ（１５２）の割り当てである請求項５に記載の装置。
9. 前記フィールドバス（１６）はＣＡＮバスである請求項１ないし請求項８のいずれかに記載の装置。
10. 前記装置（１０）は、前記プロセス（２８、３０、３２）を制御する少なくとも二つの安全制御ユニット（１２、１４）を有し、それらは、共通のフィールドバス（１６）を介して、前記安全信号ユニット（１８、２０、２２，２４）に接続される請求項１ないし請求項９のいずれかに記載の装置。
11. 前記装置（１０）はさらに、前記少なくとも二つの安全制御ユニット（１２、１４）の通信を調整する管理ユニット（７０）を有する請求項１０に記載の装置。
12. 前記少なくとも二つの安全制御ユニット（１２、１４）は第１安全制御ユニット（１２）と第２安全制御ユニット（１４）とを含み、それらに共同で関連する少なくとも一つの安全信号ユニット（２２）を有し、前記第１安全制御ユニット（１２）は、前記安全信号ユニット（２２）と直接通信し、前記第２安全制御ユニット（１４）は、前記第一安全制御ユニット（１２）を介して前記安全信号ユニット（２２）と通信する請求項１０または請求項１１に記載の装置。

Images