JP4504165B2 - 制御システム - Google Patents

Description

本発明は、一般に、セーフティクリティカル（ｓａｆｅｔｙ−ｃｒｉｔｉｃａｌ、安全性が決定的に重要）なプロセスを制御する制御システムに関し、詳細には、フィールドバスを介した通信を用いる制御システムに関する。

ここ数年間、自動化の分野で、入出力機器、および上位制御装置に接続されたフィールドバス・システム（ｆｉｅｌｄｂｕｓ ｓｙｓｔｅｍ）がますます頻繁に使用されるようになっている。この１例が、ＥＮ５０２５４規格に基づくインターバス（ｉｎｔｅｒｂｕｓ）である。

そのようなフィールドバス・システムは、通常、制御されるプロセスに接続された複数の信号ユニットまたはバス・ユーザ、およびフィールドバスを介した「フィールドバス・メッセージ」を用いてフレームベースの通信を制御するバス・マスタを含む。

そのようなフィールドバス・システムは、銅線を節約することができるため、ケーブル配線の複雑さを大幅に低減させることができる。しかしながら、１つの問題は、安全関連要求を満たすようにシリアル・フィールドバス・システムを設計するというものである。そのような安全関連諸機能には、例として、フィールドバス・システムを安全な状態にすることができる停止機能や緊急オフ機能がある。

初期のフィールドバス・システムでは、このために必要とされる制御信号が、それぞれ、フィールドバス自体を介してではなく、別々の線を介して制御装置とバス・ユーザの間で送信される。

他の知られている手法には、適当なレベルの冗長性を用いて設計された安全機能を実行するためのあらゆる装置が関与する。これに関しては、例えば、少なくとも一部が冗長な設計のものである（技術的設備のための）電気自動化システムを開示している、独国特許出願公開第４０ ３２ ０３３号に言及することができる。このシステムでは、安全関連信号が重複してトリガされ、少なくとも２つの互いに独立な信号経路を通って、その安全関連信号を評価する少なくとも一部は冗長なユーザに送信される。

独国特許第３７ ０６ ３２５号には、安全関連装置が、相互にやりとりできるように別の緊急停止制御線に接続されている制御およびデータ・ネットワークが記載されている。

これらの知られている技法は、多数の冗長構成部品が必要とされ、または付加制御信号を送信するために並列信号線が必要とされるという付随した欠点を持つ。

独国特許第１９７ ４２７ １６号には、安全関連装置がフィールドバスを介して互いにやりとりすることができ、各出力が、スイッチを介してバス・インターフェイス装置に接続され、それぞれのバス・ユーザ、および／またはマスタ制御装置の安全関連装置に直接接続されている制御およびデータ伝送設備が開示されている。

この設備は、すでに、安全制御がフィールドバスを用いて実施されるという利点を有しているが、以下に述べる本発明は、それをさらに改善するためのものである。

独国特許第１９９ ２８ ５１７号には、安全制御ユニットがフィールドバスに接続されている、セーフティクリティカル・プロセスのための別の制御システムが提案されている。ただし、このシステムには様々な点で欠点がある。

まず、信号ユニットにアドレス指定されたメッセージ・データが作成され、次いでそれが、安全制御ユニットによって、さらに、フェイルセーフ・メッセージ・データで置き換えられる必要がある。この手順は非効率的であるように思われる。

また、データは、制御ユニットが処理を実行できるように、バス・マスタと安全制御ユニットの間で、活動状態にあるフィールドバスだけを介して送信され得る。これは、不利であると考えられる。というのは、この通信が可能なのは、フィールドバスが活動状態にあるときにだけだからである。

さらに、フィールドバスを介した伝送は比較的低速であり、不都合なことに、診断オプションが、仮にあったとしても、非常に大きな制限の下でしか使用することができない。
独国特許出願公開第４０ ３２ ０３３号 独国特許第３７ ０６ ３２５号 独国特許第１９７ ４２ ７１６号 独国特許第１９９ ２８ ５１７号

本発明は、安全制御ユニットとバス・マスタの間で効率のよい通信が行われるように、セーフティクリティカル・プロセスのための制御システムを改善するという目的に基づくものである。

本発明の別の目的は、特にエラーが発生した場合に改善された診断および反応オプションを開くこの種の制御システムを提供することである。

本発明の別の目的は、高水準の安全性を保証するこの種の制御システムを提供することである。

本発明の別の目的は、前述の欠点を回避し、安全関連装置をシステムに容易に安価に組み込めることによりシステムの柔軟性が高められ得るこの種の制御システムを提供することである。

本発明の目的は、単に、各独立請求項の主題だけによって、驚くほど簡単に達成される。本発明の有利な展開形態は従属請求項で定義される。

本発明によれば、セーフティクリティカル・プロセスを制御するために制御およびデータ伝送システムがセットアップされ、このシステムは、フィールドバス、具体的にはシリアル・フィールドバスと、フィールドバスを介した通信を制御するためにフィールドバスに接続されたバス・マスタとを含む。

また、このシステムは、動作時に、入出力チャネルを介してセーフティクリティカル・プロセスの少なくとも１つにリンクされ、または接続される、少なくとも１つの安全信号ユニットまたは安全バス・ユーザも含む。

好ましくは、このシステムは、複数の信号ユニット、具体的には安全信号ユニットと非安全信号ユニットを含み、安全信号ユニットはセーフティクリティカル・プロセスにリンクされ、非安全信号ユニットは非安全プロセスにリンクされる。

また、バス・マスタと信号ユニットは、相互に、具体的にはフィールドバスを介して直列に接続され、フィールドバスは、バス・マスタと信号ユニットの間で循環通信またはメッセージ・トラフィックを実行するために使用される。

また、セーフティクリティカル・プロセスを制御するのに使用される、具体的には統合された安全制御装置を備える第１の安全制御ユニットも含まれる。このために、安全信号ユニットおよび安全制御ユニットは、それぞれ、安全関連装置を備える。

これは、セーフティクリティカル・プロセスを制御するためのフェイルセーフ通信に備えるものである。当分野の技術者には自明のことであるが、絶対的なフェイルセーフを達成することは不可能であり、したがって、フェイルセーフ通信とは、非安全通信と比べてより高いフェイルセーフが保証されている通信を意味するものであると理解される。

本発明によれば、安全制御ユニットまたは安全制御装置、具体的には安全制御ユニット中の安全関連装置は、フィールドバスから独立して、あるいはフィールドバスを介さずにバス・マスタに接続され、フィールドバスから独立して、具体的には双方向で前記バス・マスタとやりとりする。

第１の制御ユニットは、フィールドバスに直接接続されず、好ましくは第１のインターフェイスにより直接バス・マスタに接続されるため、フェイルセーフ・データは、好ましくは、いずれにしても存在する「マルチポート・メモリ・インターフェイス」である第１のインターフェイスを介して、第１の制御ユニットからバス・マスタに送信され得る。このインターフェイスは、１つまたは複数のイーサネット（登録商標、以下同）インターフェイス、特に高速イーサネット・インターフェイスも含み得る。

次に、バス・マスタは、フェイルセーフ・データを信号ユニットに送信するために、そのデータをフィールドバス・メッセージまたはフィールドバス通信の要約フレームに挿入する。したがって、安全関連データがデータ・レベルで適当な信号ユニットに送信され、そのため、元は非安全のバス・プロトコルがデータ・レベルで「安全」とされる。

パラレルまたは非シリアルのマルチポート・メモリ・インターフェイスを介した安全制御ユニットとバス・マスタの間の通信は、フィールドバスを介した通信より著しく効率がよく、例えば、より多くの診断オプションを提供することができる。

換言すると、安全制御ユニットは、安全指向のプロトコルを生成し、それをバス・マスタに送信する。次いで、フィールドバス上の通信が、具体的には、安全指向のプロトコルがバス・マスタによって直接に、かつ／または専用の安全関連機能なしでユーザ・データとしてフィールドバス・メッセージに挿入され、安全信号ユニットに送信されるように処理される。

そのため、独国特許第１９９ ２８ ５１７号の文献で提案されている解決法と比べると、安全制御ユニットを、フィールドバスを介さずに直接バス・マスタに接続するという全く逆の方針が取られる。そのため、本発明は、このシステムが受入れていた欠点を回避する。

本発明は、明らかに、独国特許第１９９ ２８ ５１７号に即して安全制御ユニットをフィールドバスに接続することにより達成される方法ほど容易に、既存の制御システムの改良を可能にするものではない。すなわち、一見したところ、それと比べると後退であるかのような印象が得られる可能性がある。

しかしながら、当分野の技術者には意外なことと思われるであろうが、おそらく既存の欠点をはるかに補って余りある、この解決法に優る他の十分な利点が得られる。

具体的には、安全制御ユニットとバス・マスタの間でのはるかに緊密で高速の通信が可能となる。

したがって、本発明の一実施形態によれば、安全制御ユニットとバス・マスタの間の接続が、イーサネット接続によって、特に一致したインターフェイスを用いた高速イーサネット接続によっても確立される。

また、制御ユニットとバス・マスタの間の実際の通信は安全である。

さらに、すべてのエラーが結果として直ちにシステムのスイッチを切ることを必要とするとは限らず、所定のエラーが発生した場合には、システムが緊急プログラムを用いて動作し続けることのできる程度まで、エラーに対する柔軟な反応が可能である。

この方法はフィールドバスまたはネットワークから独立であり、そのため、安全工学システムを、以前に知られている制御システムでのものより効率よく、はるかに安全にする。

フィールドバスを介したフレームベースの伝送の場合には、バス・マスタは、例えば、安全制御ユニットからのフェイルセーフ・データを信号ユニットに送信するために、そのデータをフィールドバス・フレームに挿入する。

安全制御ユニットとバス・マスタの間のこのフィールドバスから独立の通信には、同時にいくつかの利点がある。

まず、安全制御ユニットとバス・マスタの間のデータ交換が、フィールドバスを介した通信が活動状態にないときでも行われ得ることが有利である。これは、例えば、安全制御ユニットがバス・マスタを、安全制御ユニットの所定の機能（安全動作状態など）が確実であるときにだけ（その場合に限り）バス・マスタが作動されるように制御するという趣旨で使用され得る。

例をあげると、バス・マスタは、安全制御ユニットが自己テストを正常に完了するまで作動されない。自己テストは、安全制御ユニットがオンに（「電源投入」）されると必ず、特に自動で実行される。好ましくは、バス・マスタは、自己テスト時には安全制御ユニットによって非活動化され、または動作不能な状態、例えば、リセット状態に切り換えられる。

代替として、またはそれに加えて、バス・マスタも、電源投入後、すなわち具体的には制御ユニットでの自己テスト後に、同様に自己テストを実行することができる。これは、システムの安全性がさらに増すことを意味する。

換言すると、バス・マスタは、第１の制御ユニットで、かつ／またはバス・マスタで正常な自己テストが終了するまで動作状態に切り換わらない。それによって、バス・マスタまたは安全制御ユニットに誤動作がある場合には、フィールドバスを介した通信が決して実際には始動されないという効果が得られる。別の利点は、第１の制御ユニットが活動状態である間だけバス・マスタも活動状態であることである。

好ましくは、バス・マスタと第１の制御ユニットは、第１のフィールドバス独立インターフェイスを介して相互に接続された別々の構成部品である。有利な実施形態によれば、バス・マスタと第１の制御ユニットは、イーサネット・プロトコルを介してやりとりする。特に、イーサネットまたは高速イーサネット接続は、第１の制御ユニットおよび／またはバス・マスタを別の既存の、またはこれから設定されるネットワークに統合することを可能にする。また、イーサネット・プロトコルを介した、特に高速イーサネットによる通信は、一般のフィールドバスと比べて著しく高速となり得る。

シリアル・フィールドバスは、好ましくは、インターバスであり、バス・マスタは、好ましくは、標準Ｇ４バス・マスタ、すなわち、ＥＮ５０２５４規格に基づく非安全バス・マスタである。

すでに述べたように、この種のＧ４バス・マスタは、安全制御ユニットをバス・マスタに接続するのに使用される「マルチポート・メモリ・インターフェイス」を有する。したがって、バス・マスタと安全制御ユニットの間のデータ伝送は、フィールドバスを介してではなく、イーサネット・インターフェイスも含み得る、マルチポート・メモリ・インターフェイスを介して行われる。

この場合には、具体的には第１の制御ユニットが安全制御データおよび安全通信のための安全プロトコルを提供し、その安全制御データおよび安全プロトコルをバス・マスタに送信する。次に、バス・マスタが、その安全制御データおよび安全プロトコルを、特にその情報を変更せずに、ユーザ・データとして正しいフィールドバス・メッセージに入れる。フィールドバスへの接続のために、バス・マスタは、フィールドバスを介したデータの送信に使用される第２のインターフェイスを有し、第１と第２のインターフェイスは、好ましくは、互いに隔離される。

前述したシステムの特徴は、有利には、標準の、一般に非安全のバス・マスタを、様々な安全関連制御装置に使用することを可能にする。

本発明の別の有利な実施形態によれば、フィールドバスは、イーサネット・バスとして、特に有利には、高速イーサネット・バスとしても設計される。そのようなバスを用いると、極めて高速のデータ伝送速度（高速イーサネット伝送では約毎秒１００Ｍビットが可能である）が達成され得る。別の利点は、特に、既存のネットワークへの容易な統合である。

別の好ましい実施形態は、安全制御ユニットが、フィールドバス接続のバス・マスタのアップストリームに接続されたものであり、これは安全関連データが事前に所有されることを意味する。

特に好ましくは、バス・マスタおよび安全制御ユニットは、共通のインターフェイス・モジュールに統合される。換言すると、安全制御ユニットにより提供される安全工学システムが、バス・マスタ・インターフェイスに統合される。これは、特に、安全制御ユニットが、バス・マスタを含むインターフェイス・モジュール中のソフトウェアをテストし、テスト結果が肯定的であった場合に限り、安全制御ユニットまたはセーフティクリティカル・プロセスの制御を開始することを可能にする。このために、バス・マスタは安全制御ユニットにより制御され得る。

インターバスは、フィールドバスを介した通信を循環的に実行する。好ましくは、これには、各サイクルが、安全制御ユニットでの処理サイクルと、データがフィールドバスを介して信号ユニットに送信されるバス・サイクルに分かれていることを伴う。さらに好ましくは、処理サイクルとバス・サイクルは、連続的に、同期して実行される。

多くの用途は、複数のプロセスを制御することを伴い、またそれらのプロセスには非セーフティクリティカル・プロセスも含まれるため、システムは、好ましくは、安全制御ユニットだけでなく、非セーフティクリティカル・プロセスの非安全制御のための少なくとも１つの第２の非安全制御ユニットも含む。この非安全制御も、好ましくは、同期して行われる。

この場合、バス・マスタは、例えば、第３のインターフェイスを用いて第２の制御ユニットとやりとりし、第１、第２および／または第３のインターフェイスは、それぞれ、相互に隔離されている。この状況では、具体的には、適切な場合、バス・マスタが不活動化されているときでさえも、第１と第２の制御ユニットが相互にデータを交換するための備えがなされ得る。第３のインターフェイスもイーサネット・インターフェイスを含むことができ、これは、バス・マスタのイーサネット・プロトコルによる第２の制御ユニットとの通信のための高速イーサネット・インターフェイスとすることもできる。さらに、第２の制御ユニットと第１の制御ユニットは、第１の制御ユニットもイーサネット・インターフェイスを備えている場合には、イーサネット接続によって相互にやりとりすることができる。

本発明の１つの具体的利点の理由は、システムが、一定の前提条件の下では、誤動作が発生したときでさえも動作を続行し得ることである。例をあげると、好ましくは、少なくとも２つの動作状態、すなわち、第１の安全動作状態と、第１の動作状態より安全水準が低い第２の動作状態が定義される。この第２の動作状態は、例えば、緊急動作プログラムである。これは、所定の安全情報が提供されたときに、システムが安全制御ユニットによって第２の動作状態に移行されることを伴う。

一方では、所定の安全情報は、フィールドバスを介して安全信号ユニットにより送信され、安全制御ユニットにより評価され得る。安全制御ユニットは、誤動作が発生していることを確証した場合には、システムを第２の動作状態に移行させる。

他方では、所定の安全情報は、代替として、安全制御ユニット自体でも生成され得る。

例をあげると、安全制御ユニットは、通例は、安全性の水準を高めるために相互に調整された少なくとも２つのプロセッサ（ＣＰＵ）を有する。２つのプロセッサのうちの１つに障害が発生した場合でも、システムは、より低い安全水準、すなわち第２の動作状態で動作を続行することができる。これは、システムを制御下で停止し、あるいは故障した構成部品を、例えば、最初にシフト変更があったときに交換することができるようにシステムが緊急動作モード、特に時間制限が設けられた動作モードを使用することを可能にする。

第２の動作状態での永続的動作を防ぐために、制御システムは、好ましくは、所定の時間が経過した後で、自動的に不活動化され、あるいは第１の制御ユニットにより動作不能状態に切り換えられる。

本発明は、本発明の制御システムで使用するためにセットアップされた、安全制御ユニット、およびバス・マスタと安全制御ユニットとのインターフェイス・モジュールにも関連するものである。

以下で本発明を、例示的実施形態を使用し、図面を参照してより詳細に説明する。

図１に、バス・ユーザとも呼ばれる複数の信号ユニットとのフィールドバス４を介した通信を制御するバス・マスタ２を有する制御システム１を示す。

信号ユニットには、安全信号ユニット５と非安全信号ユニット７の両方が含まれ、安全信号ユニット５は安全機能ありの制御ユニット８（略して安全制御ユニット８）によって制御され、非安全信号ユニット７は安全機能なしの制御ユニット１０（略して非安全制御ユニット１０）によって制御される。

安全および非安全制御ユニットは、フィールドバス４には直接接続されず、フィールドバスから隔てられたインターフェイス１２、１４によりバス・マスタ２に直接接続される。

図２に、３つの例示的信号ユニットを有する制御システム１のより詳細な図を示す。

バス・マスタ２は、標準Ｇ４バス・マスタであり、安全制御ユニット８と共に、プッシュイン・モジュールの形のインターフェイス・モジュール１６に統合されている。この例では、インターフェイス・モジュール１６は、インターバス・インターフェイス・モジュールＩＢＳＳ７４００ＥＴＨＳＤＳＣ／Ｉ−Ｔである。そのため、シリアル・フィールドバスは、ＥＮ５０２５４規格またはＤＩＮ１９２５８に基づくインターバスの形をとる。そのため、この安全工学システムは、インターバス・インターフェイスの不可欠の構成要素として編成される。図２に示す制御システムの別の実施形態によれば、フィールドバス４はイーサネット・バスとして設計される。このイーサネット・バスは、特に高速イーサネット・バスとすることもできる。

Ｇ４バス・マスタ２は、安全機能ありの制御ユニット８のためのインターフェイス１２と安全機能なしの制御ユニット１０のためのインターフェイス１４に機能的に分けられたマルチポート・メモリ・インターフェイスを備える。これらのインターフェイス１２、１４は、それぞれ、一方は、安全制御ユニット８とバス・マスタ２の間での、他方は非安全安全制御ユニット１０とバス・マスタ２の間での双方向通信１８、２０を可能にする。この実施形態の展開形態によれば、通信は、イーサネット・プロトコルを介して実行することができ、したがって、この例でのインターフェイス１２、１４はイーサネット・インターフェイスになる。

本発明によれば、制御ユニット８、１０による処理は、最初は、予めフィールドバスから独立である。というのは、制御ユニット８、１０は、フィールドバス接続２２のフィールドバス・マスタ２アップストリームに接続されているからである。

図２をさらに参照すると、バス・マスタ２は、インターバス・プロトコル・マスタ・チップ（ＩＰＭＳ）２４を備える。このＩＰＭＳプロトコル・チップ２４は、例えばオプトカプラ２６など、直流絶縁（ＤＣ ｉｓｏｌａｔｉｏｎ）によって接続されたフィールドバス信号のためのＲＳ４２２ドライバ２８を含む。

また、インターフェイス・モジュール１６も、この場合はＤＳＵＢプラグ・コネクタの形のリモート・インターバス・インターフェイス２２として、循環シリアル・フィールドバス４のための２つの接続点を有する。

また、安全制御ユニット８と非安全制御ユニット１０の間には、パラメータ化可能なバイパスまたは接続もある（図示しない）。

このバイパスは、非安全制御ユニット１０と安全制御ユニット８が、たとえＩＰＭＳプロトコル・チップ２４の機能がなくともデータを交換できるようにする。

そのため、緊急時または誤動作が発生した場合には、安全制御ユニットは、バイパスを使って非安全制御ユニットのタスクまたは非安全プロセスの制御を請け負うことができる。このシステムを用いて安全切断戦略（停止ＫＡＴ１または２）あるいは緊急動作機能を実装することもできる。

フィールドバス・マスタ２、安全制御ユニット８および非安全制御ユニット１０を含む構成部品のこのより緊密な同期により、有利には、より効率のよい実行およびより高水準の診断が可能になる。

安全信号ユニット６、別の安全信号ユニット３２および非安全信号ユニット３４は、フィールドバス４に直列に接続される。信号ユニット６、３２、３４は、プロセス４０、４２、４４にもリンクされ、それらは、フィールドバス４と対応する信号ユニット６、３２、３４とを介して制御ユニット８、１０により制御され、監視される。

この状況では、プロセス４０、４２はセーフティクリティカル・プロセスであり、プロセス４４は、非セーフティクリティカル・プロセスである。安全信号ユニット６、３２は、例えば、それぞれが、セーフティクリティカル・プロセス４０、４２の安全制御を処理するための安全関連装置４６、４８を備える安全スレーブ・モジュールＳＤＩＯ４／４である。

セーフティクリティカル・プロセスは、例えば、緊急オフ機能や安全ケージの監視とすることができる。フィールドバスにさらに多くの信号ユニットおよびプロセスを接続することもできることはいうまでもない。

インターフェイス・モジュール１６に戻ると、バス・マスタは以下の機構を備えている。

フィールドバス４および安全制御装置８の始動には、以下の順序に従って実施される相互チェックが伴う。
安全制御ユニット８が電源投入後に自己テストを実施し、その間、リセット線などを使用し、インターフェイス１２によって行われる通信１８を用いてバス・マスタ２をリセット状態に保持する。

安全制御ユニット８が正常にテストされたときにだけバス・マスタ２が作動される。そのため、安全制御ユニット８が取り外された場合、あるいはこれに障害が生じた場合には、バス・マスタ２は始動されない。安全制御ユニット８が正常にテストされると、バス・マスタ２自体が自己テストを受ける。

バス・マスタ２での正常な自己テストに続いて、バス・マスタが安全制御ユニットにそのバージョン識別子を送信する。次いで、インターフェイス・モジュール１６中のファームウェアの出力段が、安全制御ユニット８中の適当なテスト手段によりテストされる。

また、安全制御ユニット８は、安全機能を有する諸機能を含み得るバス・マスタの活動だけを引き受けるようにセットアップされる。

さらに、フィールドバス４は、安全制御ユニット８が活動状態にある間だけ活動化される。

これだけでも相当な安全性増大が達成される。というのは、安全機能の複数のチェックが保証されるからである。

図３および４を参照すると、本発明によって達成される、安全性および反応速度のさらなる増大が説明されている。

この理由は、システムの実行時に、フィールドバス・サイクルと安全制御サイクルが同期して実行されるからである。これは、フィールドバス４が、安全制御ユニット８との永続的または連続的同期なしでは動作できないことを意味する。

図３にこの場合での複数のフィールドバス・サイクル５０を示す。各フィールドバス・サイクルは、安全制御ユニットのための処理サイクル５２とインターバス入出力サイクル５４に分けられる。インターバス入出力サイクル５４では、データが信号ユニット６、３２、３４に転送される。

図４に、フィールドバス・サイクル５０、より正確にはインターバス・サイクルを詳細に示す。この状況では、処理サイクル５２はフィールド１０６、１３２、１３４を含み、各フィールドは、それぞれ、信号ユニット６、３２、３４のうちの１つに関連付けられており、それぞれの信号ユニットでの制御またはユーザ・データを含む。各フィールドまたはユーザ・データ・フィールドは、順に、複数のバス・メッセージ、例えば、各１バイトずつの３つの別個のバス・メッセージから構築される。

したがって、安全制御ユニット８は、データ・レベルでユーザ・データおよび安全プロトコル関連データを提供し、安全プロトコル関連データは、バス・マスタ２の観点から見てフィールドバスを介したユーザ・データとして送信される。そのため、具体的には、バス・マスタ２自体による安全関連の解釈はない。これには、「非安全」標準Ｇ４バス・マスタが使用され得るという利点がある。

フィールドの順序および設計の点で、その全範囲が参照によりこの開示の内容となる、同一出願人による独国特許第１９７ ４２ ７１６号明細書を参照する。

本発明によれば、安全制御装置８でのものと類似の同期が、非安全制御装置１０にも実施され得る。この機能は、非安全制御装置から安全制御装置への「デッドマン」信号（トグル・ビットなど）を用いて実施され得る。この種の連結は、システム１での転送速度および決定性を増大させる。

また、実行時の安全制御装置８の個別の再プログラミングのための備えも可能である。非安全制御装置１０または重複ネットワーク構造への直接統合および接続を用いれば、すべての動作段階で、特にフィールドバス４が動作できないときに、安全制御装置８に到達し、そこで措置を講じることが可能である。そのため、実行時、またはネットワークが停止されている間に、診断データから再プログラミングまでへの簡略化されたアクセスが可能である。独国特許第１９９２８５１７号の文献で提案されているシステムによれば、これが可能なのは、フィールドバスが動作し、あるいはおそらく安全制御装置側で追加のネットワーク接続を用いることができるときだけである。

また、本発明は、ネットワークまたはバス・マスタ２と安全制御装置８の連結によって、インターフェイス・モジュール１６から切り離されている安全工学システムを用いて限られた範囲でのみ可能なさらなる安全技術機能の編成を可能にする。

図２に戻ると、安全制御装置は２つのプロセッサまたはＣＰＵ６２、６４を備え、各プロセッサは個々のセーフティクリティカル・プロセスに関連付けられている。この場合、プロセッサ６２はプロセス４０、４２を制御し、プロセッサ６４も同様にプロセッサ４０、４２を制御する。安全制御装置８上の２つのプロセッサのうちの１つ、６２または６４に障害が発生し、あるいは安全工学システムが妨害された場合には、安全制御装置８は、おそらくバス・マスタと対話して、安全水準のより低い動作状態である「緊急動作プログラム」で、セーフティクリティカル・プロセス４０、４２の制御を処理し続けることができるようにセットアップされる。

具体的には、プロセッサ６２、６４とおそらく他のプロセッサの間で相互調整が行われ、プロセッサのうちの１つ、６２または６４に障害が発生した場合は、システム１は緊急動作プログラムで動作し続ける。

このために、例えば、パラメータ化を用いて安全制御ユニット８をシステムでのエラーに反応させることができる。以下のテキストに、これに関する例として、３つの可能なエラー、およびシステムの反応または機能を示す。

エラーＡ：非安全制御装置１０に障害または誤動作が生じる。
システム１はエラーＡに反応して、安全制御装置８に非安全制御装置１０の制御機能の少なくとも一部を引き受けさせる。
このために、エラーまたは障害に関する情報が非安全制御装置１０から安全制御装置８に送信される。次いで、反応プログラムが所望の活動を引き受ける。

エラーＢ：安全制御ユニット８中のＣＰＵ６２に障害が生じる。
安全制御ユニット８は、第１の動作状態から第２の動作状態に切り換わり、より低い安全水準で動作し続ける。
また、動作可能のＣＰＵ６４により制御されるセーフティクリティカル・プロセス４２に、エラーが発生していることを示す情報が送信される。次いで、反応プログラムが所望の活動を、例えば所定の時間だけ引き受ける。

エラーＣ：安全制御ユニット８中のＣＰＵ６４に障害が生じる。
安全制御ユニット８は第１の動作状態から第２の動作状態に切り換わり、より低い安全水準で動作し続ける。
制御装置システム１の動作は、エラーＢでの動作と等価である。

したがって、安全工学システムの一部に障害が発生した場合には、バス・マスタ２およびその安全工学システムの残りの部分の動作がシステム１を動かし続けることができる。そのため、システム１は、安全工学システムがより低い安全水準でしか動作できないときでさえも動作し続けることができる。

以下の記載では、実際的な例を用いて、そのような緊急プログラム、または安全水準が異なる２つの動作状態を有する動作を使用する安全制御の利点を説明する。

システム１は架空索道（ａｅｒｉａｌ ｃａｂｌｅｗａｙ）を制御するのに使用される。

今日までは、安全工学システムに障害が発生すると、ケーブルカー用ゴンドラまたは輸送が停止した。その場合、輸送中の人々は、地上または空中でゴンドラから救助される必要があった。救助により生じる危険、例えば、悪天候で長時間待機したときの凍傷や、ヘリコプターで救助しようとする際に生じる危険などは、この場合には不相応に高い。

本発明の解決法は、全体的な障害の可能性を低減する。それは、前述のインターフェイス・モジュール１６または２つの動作状態を有するネットワーク・カードを備える本発明のシステムが、第２の動作状態のより低い安全水準での継続動作を可能にし、それが、少なくともケーブルカーから乗客を降ろすことができることを意味するからである。この場合、より低い安全水準での動作に時間制限が設けられるように措置を講ずることもできる。

前述の実施形態を例として理解すべきであること、および本発明がそれらに限定されるものではなく、本発明の精神を逸脱することなく多様な方法で変形され得ることは、当分野の技術者には自明である。

本発明の制御システムを示す概略図である。 本発明の制御システムを示す構成図である。 インターバスを介した伝送での複数のサイクルを示す概略図である。 図３に示すインターバス・サイクルをより詳細に示す図である。

Claims (33)

1. フィールドバス（４）を介してセーフティクリティカル・プロセス（４０、４２）を制御する制御システム（１）であって、
   前記フィールドバス（４）と、
   前記フィールドバス（４）を介して通信（５０）を制御するバス・マスタ（２）と、
   前記セーフティクリティカル・プロセス（４０、４２）の少なくとも１つにリンクする少なくとも１つの信号ユニット（６、３２）とを含み、前記バス・マスタ（２）と前記信号ユニット（６、３２）が前記フィールドバス（４）を介して相互に接続され、そして前記フィールドバス（４）を用いて前記信号ユニット（６、３２）と前記バス・マスタ（４）の間の通信（５０）を提供するものであり、さらに、
   前記セーフティクリティカル・プロセス（４０、４２）を制御する第１の制御ユニット（８）を含み、
   前記信号ユニット（６、３２）および前記第１の制御ユニット（８）が安全関連装置（４６、４８）を有し、前記セーフティクリティカル・プロセス（４０、４２）を制御するためにフェイルセーフ通信が提供されており、そして、
   前記第１の制御ユニット（８）が、前記フィールドバスから独立して前記バス・マスタ（２）に接続され、そして、
   前記第１の制御ユニット（８）は、前記インターフェイス・モジュール（１６）中のソフトウェアをテストし、その結果が肯定的であったときに限り、前記セーフティクリティカル・プロセス（４０、４２）の安全制御を開始することを特徴とする制御システム。
2. 前記バス・マスタ（２）と前記第１の制御ユニット（８）が、第１のインターフェイス（１２）を介して相互に接続された別々の構成部品であることを特徴とする請求項１に記載の制御システム。
3. 前記バス・マスタ（２）が非安全バス・マスタであり、マルチポート・メモリ・インターフェイス（１２、１４）を介して前記第１の制御ユニット（８）に接続されていることを特徴とする請求項１乃至２のいずれか１項に記載の制御システム。
4. 前記バス・マスタ（２）が、イーサネット接続（登録商標、以下同）により前記第１の制御ユニット（８）と接続されていることを特徴とする請求項１乃至３のいずれか１項に記載の制御システム。
5. 前記第１の制御ユニット（８）が、安全な通信のための安全プロトコルを提供し、それを前記バス・マスタ（２）に送信することを特徴とする請求項１乃至４のいずれか１項に記載の制御システム。
6. 前記バス・マスタ（２）と前記第１の制御ユニット（８）の間のデータ伝送が前記フィールドバス（４）を介しては行われないことを特徴とする請求項１乃至５のいずれか１項に記載の制御システム。
7. 前記バス・マスタ（２）が、前記フィールドバス（４）を介してデータを入力／出力する第２のインターフェイス（２２）を有し、前記第１と第２のインターフェイス（１２、２２）が相互に隔離されていることを特徴とする請求項１乃至６のいずれか１項に記載の制御システム。
8. 前記第１の制御ユニット（８）がフィールドバス接続（２１）の前記バス・マスタ（２）のアップストリームに接続され、これは、安全関連データが事前に処理されていることを意味することを特徴とする請求項１乃至７のいずれか１項に記載の制御システム。
9. 前記バス・マスタ（２）および前記第１の安全制御ユニット（８）を含むインターフェイス・モジュール（１６）が含まれることを特徴とする請求項１乃至８のいずれか１項に記載の制御システム。
10. 前記第１の制御ユニット（８）は前記バス・マスタ（２）を制御する請求項１乃至９のいずれか１項に記載の制御システム。
11. 前記第１の制御ユニット（８）は、電源投入後に自動的に自己テストを実行し、前記自己テスト時に前記バス・マスタ（２）を不活動化することを特徴とする請求項１乃至１０のいずれか１項に記載の制御システム。
12. 電源投入後、特に前記第１の制御ユニット（８）での前記自己テスト後に、前記バス・マスタ（２）が自己テストを実行することを特徴とする請求項１乃至１１のいずれか１項に記載の制御システム。
13. 前記バス・マスタ（２）が、前記第１の制御ユニット（８）および／または前記バス・マスタ（２）での正常な自己テストの終了まで動作状態に切り換わらないことを特徴とする請求項１乃至１２のいずれか１項に記載の制御システム。
14. 前記バス・マスタ（２）は前記第１の制御ユニット（８）が活動状態にある間だけ活動状態であることを特徴とする請求項１乃至１３のいずれか１項に記載の制御システム（１）。
15. 前記フィールドバス（４）を介した通信が循環的に進行し、サイクル（５０）が前記第１の制御ユニットでの処理サイクル（５２）と、データが前記フィールドバス（４）を介して前記信号ユニット（４０、４２）に送信されるバス・サイクル（５４）とに分けられることを特徴とする請求項１乃至１４のいずれか１項に記載の制御システム。
16. 前記処理サイクル（５２）と前記バス・サイクル（５４）が同期して実行されることを特徴とする請求項１５に記載の制御システム。
17. 少なくとも１つの非セーフティクリティカル・プロセス（４４）のために非安全制御を提供する少なくとも１つの第２の制御ユニット（１０）が含まれることを特徴とする請求項１乃至１６のいずれか１項に記載の制御システム。
18. 前記バス・マスタ（２）が第３のインターフェイス（１４）を用いて前記第２の制御ユニット（１０）とやりとりし、前記第２と第３のインターフェイス（２２、１４）が相互に隔離されていることを特徴とする請求項１７に記載の制御システム。
19. 前記第３のインターフェイス（１４）がイーサネット・インターフェイスを含むことを特徴とする請求項１８に記載の制御システム。
20. 前記第１と第２の制御ユニット（８、１０）は、前記バス・マスタ（２）が不活動化されているときに相互にデータを交換することを特徴とする請求項１７乃至１９のいずれか１項に記載の制御システム。
21. 前記非安全制御が同期して行われることを特徴とする請求項１７乃至２０のいずれか１項に記載の制御システム。
22. 少なくとも１つの第１の安全動作状態と、前記第１の動作状態よりも安全水準が低い第２の動作状態とが提供され、前記第１の制御ユニット（８）は、所定の安全情報が存在する状態で、前記制御システム（１）を前記第１の動作状態から前記第２の動作状態に移行させることを特徴とする請求項１乃至２１のいずれか１項に記載の制御システム。
23. 前記第１の制御ユニット（８）は、通常は相互に調整される少なくとも２つのプロセッサ（６２、６４）を有し、前記２つのプロセッサ（６２、６４）の１つが誤動作した場合には前記システムが前記第２の動作状態に移行されることを特徴とする請求項２２に記載の制御システム。
24. 前記所定の安全情報が、前記フィールドバス（４）を介して信号ユニット（４０、４２）の１つにより送信され、それが前記第１の制御ユニット（８）により評価されたときに、前記第１の制御ユニット（８）は、前記制御システム（１）を前記第１の動作状態から前記第２の動作状態に移行させることを特徴とする請求項２２または２３に記載の制御システム。
25. 前記第２の動作状態に時間制限が設けられていることを特徴とする請求項２２、２３または２４に記載の制御システム。
26. 前記フィールドバスがＥＮ５０２５４規格に基づくインターバスであることを特徴とする請求項１乃至２５のいずれか１項に記載の制御システム。
27. 前記フィールドバスがイーサネット・バスである請求項１乃至２５のいずれか１項に記載の制御システム。
28. フィールドバス（４）を介してセーフティクリティカル・プロセス（４０、４２）を制御する、特に請求項１乃至２７のうちのいずれか１項に記載の制御システム（１）であって、
    フィールドバス（４）と、
    前記フィールドバス（４）を介して通信（５０）を制御するバス・マスタ（２）と、
    複数の信号ユニット（６、３２、２４）とを含み、前記信号ユニットの少なくとも１つはセーフティクリティカル・プロセス（４０、４２）の１つにリンクする安全信号ユニット（６、３２）であり、
    前記バス・マスタ（２）と前記信号ユニット（６、３２、３４）とが前記フィールドバス（４）を介して相互に接続され、前記フィールドバス（４）を用いて前記信号ユニット（６、３２、３４）と前記バス・マスタ（２）の間の通信を提供し、さらに、
    第１の制御ユニット（８）を含み、
    前記セーフティクリティカル・プロセス（４０、４２）を制御するために前記第１の制御ユニット（８）と前記安全信号ユニット（６、３２）の間でフェイルセーフ通信（５０）が提供され、そして、
    前記第１の制御ユニット（８）が、安全指向プロトコルを生成し、それを前記バス・マスタ（２）に送信する制御システム。
29. 前記フィールドバス（４）上の前記通信（５０）がフィールドバス・メッセージ（１０６、１３２、１３４）を用いて処理され、前記安全指向プロトコルが、前記フィールドバス・メッセージ（１０６、１３２、１３４）を用いて前記バス・マスタ（４）から前記安全信号ユニット（６、３２）に送信されることを特徴とする請求項２８に記載の制御システム。
30. 前記バス・マスタ（２）が、前記安全指向プロトコルをユーザ・データとして前記フィールドバス・メッセージ（１０６、１３２、１３４）に直接かつ／または安全関連機能なしで挿入することを特徴とする請求項２８または２９に記載の制御システム。
31. フィールドバス（４）を介してセーフティクリティカル・プロセス（４０、４２）を制御する、特に請求項１乃至３０のうちのいずれか１項に記載の制御システム（１）であって、
    入出力チャネルを介してセーフティクリティカル・プロセス（４０、４２）にリンクされた信号ユニット（６、３２）を有する、前記セーフティクリティカル・プロセス（４０、４２）を制御する第１の制御ユニット（８）と、
    フィールドバス（４）と、
    前記フィールドバス（４）を介して通信（５０）を制御するバス・マスタ（２）と
    を含み、
    前記バス・マスタ（２）と前記信号ユニット（６、３２）が前記フィールドバス（４）を介して相互に接続され、
    前記第１の制御ユニット（８）と前記信号ユニット（６、３２）とは相互にフェイルセーフ通信を保証する安全関連装置（４６、４８）を有し、
    前記フィールドバス（４）は、前記フィールドバス（４）に接続された個々のユニット（２、６、３２、３４）間で循環メッセージ・トラフィック（１０６、１３２、１３４）を提供し、
    前記第１の制御ユニット（８）が前記フィールドバス（４）に直接接続されず、マルチポート・メモリ・インターフェイス（１２、１４）を介して前記第１の制御ユニット（８）から前記バス・マスタにフェイルセーフ・データ（１０６、１３２、１３４）が送信され、
    フィールドバス（４）を介した前記通信がフレームベースのものであり、前記バス・マスタ（２）は、前記フェイルセーフ・データを信号ユニット（６、３２、３４）に送信するために、前記データをフィールドバス・フレーム（５０）に挿入することを特徴とする制御システム。
32. 請求項１乃至３１のいずれか１項に記載の制御システム（１）において、前記第１の制御ユニット（８）として使用するためにセットアップされた制御ユニット。
33. 前記バス・マスタ（２）と前記第１の制御ユニット（８）を含む、請求項１乃至３２のいずれか１項に記載の制御システム（１）で使用するためにセットアップされたモジュール（１６）。

Images