JP4691490B2 - 安全重視プロセスを制御する方法と装置 - Google Patents

Description

本発明は、安全重視プロセスデータを処理する制御部を設けるステップ、データ伝送リンクを介して制御部に接続される入出力部を設けるステップ、および、入出力部から制御部に、ダイバーシティ多重伝送により保護しつつプロセスデータを伝送するステップ、を備える安全重視プロセス制御方法に関する。
また、本発明は、安全重視プロセスデータを処理する制御部とデータ伝送リンクを介して制御部に接続される入出力部とを備え、制御部と入出力部がダイバーシティ多重伝送を利用して入出力部から制御部にプロセスデータを伝送するように設計されている、安全重視プロセス制御装置に関する。

上記方法とそれに対応する装置は、下記特許文献１から既知である。
本発明の意味する安全重視プロセスは、貴重な人的または物的対象に対するリスクを避けるため、無障害動作を確保する必要のある技術的なシーケンス、関係および／または事象のことである。特に、これには、事故を避けるため、機械および設備工学の分野で自動的に行われる動作の監視と制御が含まれる。従来例には、プレスブレーキ装置の安全防護、自動動作ロボットの保護、または技術設備のメンテナンス作業のための安全状態確保などがある。上記プロセスに関して、欧州規格ＥＮ９５４−１は安全カテゴリーを１〜４に分類しており、４が最も高度な安全カテゴリーである。本発明は、ＥＮ９５４−１のカテゴリー３以上を満たす必要のある安全重視プロセスに関する。

本発明の意味する安全重視プロセスの制御には、制御に含まれる装置や部品が固有のフェールセーフ性を備えていなければならない。つまり、たとえ安全関連装置が故障した、あるいは障害を発生したとしても、たとえば機械設備の作業員に要求される安全性が維持される必要がある。このため、安全関連設備および装置は、通常は冗長な設計で、多くの国で当該監督機関からの適切な認可を要する。認可プロセスの一環として、安全関連装置の製造業者は通常、必須の固有なフェールセーフ性が整備されていることを立証しなければならないが、広範囲に渡る障害要件のため、これは非常に複雑で費用がかかる。

最初に引用した下記特許文献１は、実際の制御部がいわゆるフィールドバスを介して物理的に離れた入出力部と接続される先行技術の装置を開示している。入出力部は、プロセスデータを受け取るために接続されるセンサと制御作業を開始させるアクチュエータとを有する。安全技術の分野の代表的なセンサは、緊急停止スイッチ、保護ドア、両手スイッチ、回転速度センサまたは光バリヤ装置などである。代表的なアクチュエータは接点で、監視されている設備内の駆動機構や電磁弁の動作を停止させるために使用される。こうした装置内の入出力部は実質上、物理的に分散される信号ピックアップおよび信号出力ステーションとして使用されるが、プロセスデータの実際の処理とアクチュエータ用の制御信号の生成は上位制御部で行われる。多くの場合、使用される上位制御部は、プログラムできる論理制御器（ＰＬＣ）として知られるものである。

上記フィールドバス系システムを使用して安全重視プロセスを制御できるようにするには、入出力部から制御部へのデータ伝送をフェールセーフにする必要がある。特に、伝送されるプロセスデータの破損および／または遠隔の入出力部の障害の結果として、設備全体で危険な状態が起こりえないように確保することが必要である。
下記特許文献１より既知のシステムでは、上位制御部と遠隔入出力部の両方に「安全関連」装置を設けることにより達成される。これには、全ての信号ピックアップ、信号処理および冗長な設計の信号出力路が含まれる。重複したチャネルは互いを監視し、障害または未定義の状態が生じたとき、設備はたとえば切断されるなどして、安全な状態に移行される。また、プロセスデータは複数回、制御器に伝送される。既知の装置の場合は、バイナリプロセスデータを１回目は不変形式で、２回目は否定形式で、３回目はプロセスデータから導き出したチェックサム形式で伝送することにより実行される。異なる伝送様式は、ダイバーシティ方式と称される。

既知の設備内の安全関連装置が制御部と遠隔入出力部の両方に存在するという事実は、実際のデータ伝送が単一チャネルフィールドバスを介して実行可能であることを意味する。プロセスデータは、送信者と受信者の両方により安全性をチェックされる。しかし、このアプローチの欠点として、全ての遠隔入出力部に関し、認可プロセスの一環で必須の固有のフェールセーフ性が立証される必要がある。したがって、このアプローチは複雑で費用がかかる。

代替アプローチには、遠隔入出力部を「非フェールセーフ」に設計し、その代わりに２チャネル形式で、すなわち２つの異なる信号路を有するデータ伝送リンクを作製することが含まれる。この場合、フェールセーフの設計である上位制御部は、２チャネルを用いてプロセスデータにアクセスし、必要な障害チェックを実行するという選択肢を有する。このアプローチには、データ伝送リンク全体を２チャネル形式にする必要があるため、配線が複雑化するという欠点がある。

下記特許文献２は、遠隔入出力部が実際のフィールドバスに加えて別の切断路を介して上位制御部に接続される装置を開示している。しかし、この文献は、入出力部から制御器へのプロセスデータの伝送がフェールセーフ形式とされる程度までは明らかにしていない。
独国特許出願公開第１９７４２７１６号明細書 独国特許出願公開第３７０６３２５号明細書

こうした背景で、本発明の目的は、同じ安全要件を前提に、より安価に提供し、および実行可能な代替の方法およびそれに対応する装置を明示することである。

この目的は、可変的に符号化されるロセスデータを生成するためプロセスデータが可変キーワードを用いて少なくとも１回符号化され、可変符号化されたプロセスデータがダイバーシティ多重伝送の一部として制御部に伝送される、最初に言及された種類の方法により達成される。
また、この目的は、可変符号化されるプロセスデータを生成するため利用可能なキーワードを用いて少なくとも１回プロセスデータを符号化するように設計されるエンコーダチップが設けられ、可変符号化されたプロセスデータをダイバーシティ多重伝送の一部として制御部に伝送することのできる、最初に言及された種類の装置により達成される。

本発明の解決策は、上記特許文献１から既知なアプローチの結果として生じ、それによるとプロセスデータはダイバーシティ多重伝送の一部として制御部に伝送される。しかし、本発明の一側面によると、ダイバーシティ方式は今や、可変キーワードを用いて少なくとも１回符号化されるプロセスデータにより実現される。この状況下で、符号化は、通常バイナリ情報であるプロセスデータが可変キーワードと論理的に組み合わされることを意味する。言うまでもなく、論理結合は、上位制御部が符号化プロセスデータから重複情報を検索できるように可逆性である必要がある。たとえば、論理結合は、可変キーワードを有する実際のプロセスデータのＸＯＲ結合であってもよい。ＸＯＲ結合は、情報を失うことなくプロセスデータのビット毎に変化する。もしくは、プロセスデータは別の方法でキーワードに追加される、あるいはキーワードと組み合わされることができ、その場合、論理結合は好ましくは（バイナリ表示の場合）プロセスデータの全てのビットに影響を及ぼすべきである。

可変キーワードを用いて送信されるプロセスデータを符号化することにより、安全機能が上記制御部の領域でのみ制御されるように定義された動的挙動が生成される。したがって、入出力部で、フェールセーフの、たとえば２チャネルの冗長設計を省くことが可能である。よって、入出力部がフェールセーフであることを認可プロセスの一環で立証する必要もない。

一方、データ伝送は、新たな動的多重伝送のため単チャネルを介して実行し続けることができるので、配線の複雑さが抑制される。したがって、本発明の装置とそれに対応する方法は、全体としてかなり安価に実行することができる。
したがって上記の目的は完全に達成される。
本発明の改良例では、可変キーワードが制御部により生成され、入出力部に伝送される。

もしくは、入出力部の領域で、またはシステム全体の別の場所で可変キーワードを生成することも一般的に可能である。それに反して、本発明の改良例は、制御部に可変キーワードに対する中央制御部も設けられることで、全ての安全重視領域が制御部に結合されるという利点を備える。したがって、障害検討、安全性チェックなどを制御部に集中させることができる。また、中央制御部である制御部が独立してすべての入出力部に対応できるため、この改良例における可変キーワードの分散はより簡単で複雑さが低減される。

さらなる改良例では、可変キーワードが、制御部にプロセスデータを伝送する動作ごとに変化させられる。
もしくは、複数のプロセスデータ伝送毎に可変キーワードを変更させずにおくことも一般的に可能である。しかし、制御部が動的挙動のため安全重視状況に対しより迅速に対応できるので、好適な改良例では高度な安全性が達成される。ただし、言うまでもなく、プロセスデータが制御部に集中的に伝送される場合、データ伝送リンク上のデータトラフィックを抑えるため、この改良例でも、集中的なデータ全体を共通キーワードを用いて符号化することができる。

さらなる改良例では、制御部が入出力部からのプロセスデータを周期的に読み取る。
この技術分野の専門用語では、上記改良を「ポーリング」と呼ぶことがある。この代替として、開始事象が発生した場合にのみプロセスデータが要求される、および／または送信される「事象制御」または「割込み制御」システムと呼ばれるものもある。しかし、好ましい改良例では、入出力部がこれらのケースで技術的に特に簡易に設計できるため、本発明の利点がとりわけ明確に示される。本改良例では、入出力部の材料と作製の複雑さが最小限に抑えられる。

さらなる改良例では、プロセスデータが、好ましくはハードワイヤード論理セクションを有する別個のエンコーダチップ内の入出力部で符号化される。
この好適な実施形態では、認可プロセスの一環として要求されるフェールセーフ性の証明がソフトウエアベースのソリューションの場合よりもハードウエアベースのソリューションの場合の方が容易であるため、別個のエンコーダチップがＦＰＧＡ（書換え可能ゲートアレイ）またはＡＳＩＣ（特定用途集積回路）の形状とされる。別個のエンコーダチップを設けることで、入出力部の「残り」を本発明の符号化とほぼ切り離して作製することができるため、認可プロセスがさらに簡易化される。したがって、既存の「非インテリジェント」または非安全入出力部を本発明の概念にグレードアップすることがより容易である。

さらなる改良例では、ダイバーシティ多重伝送がプロセスデータの二重伝送に限定され、その二重伝送には可変的に符号化されたプロセスデータを含む。
すなわち、ダイバーシティ多重伝送は今や、１回可変的に符号化されたプロセスデータの二重伝送のみを含む。プロセスデータは「プレーンテキスト」で入力部において直接利用可能であるため、２回目にプロセスデータは好ましくは変化させずに伝送される。この改良例は、伝送されたデータ量が最小限に低減されて、より少ない伝送容量のデータ伝送リンクを可能とする。また、本改良例において、本発明の装置はより迅速に反応し、すなわち安全レベルが向上する。本改良例の特別な側面は、ほぼすべての既知の安全関連システムとは異なり、チェックサムの生成と伝送を省くことができる点にある。

さらなる改良例では、入出力部はアクチュエータ出力と別個のアクチュエータ出力用検査部とを含み、検査部からの検査結果はプロセスデータ値として入力部に伝送される。
本改良例は、本発明により提供される選択肢を有利に利用する。定期的に動作安全性に関して自己のアクチュエータ出力をチェックする「インテリジェント」かつフェールセーフの入出力部を備えるシステムは基本的に既知であるが、「非インテリジェント」で非フェールセーフの入出力部は、上位制御部により開始されるアクチュエータ出力の検査をこれまでは常に行わなければならなかった。このため、バスの負荷が増えるだけでなく、データ伝送リンクの信号伝播時間のため、ごく小さなスイッチオフパルスでスイッチオフ検査を実行することが極めて難しくなる。本発明のソリューションにより、制御部がスイッチ検査を開始させる単純なコマンドを用い、プロセスデータ値として検査結果を読み込むことが可能になる。よって、非常に短いスイッチオフパルスを入出力部により本来の位置で生成することができるが、結果の実際の評価は制御部で行われるので、入出力部に求められる知能は大幅に低減する。

言うまでもなく、上述の特徴と以下述べる特徴は個々に示された組合せだけでなく他の組合せでも、また本発明の範囲を逸脱せずに独自に使用可能である。
本発明の実施形態を図面に示し、以下より詳細に説明する。

図１では、本発明の装置の実施形態全体が、参照符号１０で示される。
装置１０は制御部１２、たとえば商標名ＰＳＳで本発明の出願人により販売されるようなフェースセーフのＰＬＣ（プログラマブルコントローラ）を備える。しかし、好ましくは、本発明の意味に属する（ＥＮ９５４−１のカテゴリー１以上または同等の要件／用途）フェールセーフの小型コントローラまたはその他の種類のフェールセーフ制御部である。

この場合、装置１０は一例として示される４つの入出力部１４、１６，１８および２０を備え、それらの入出力部は制御部１２から物理的に離れ、単チャネルデータ伝送リンク２２を介して制御部１２に接続される。一実施形態では、データ伝送リンク２２はフィールドバスである。しかし、好ましくは、伝送リンクは、ＯＳＩ参照モデルの高位の特別な伝送プロトコルのない単純なデータリンクである。入出力部１４〜２０は図２および３を参照しつつ以下詳細に説明するように、比較的、非インテリジェントで非フェールセーフ（非フェールセーフとは、ＥＨ９５４−１のカテゴリー３または４の要件あるいは同等の要件を満たしていないことである）のユニットである。入出力部は基本的に、信号のピックアップと出力、すなわち、安全重視センサを読み取り、安全重視アクチュエータを起動させるために使用される。典型的な適用例として、図示される安全重視センサは、複数の保護ドア２４、緊急停止スイッチ２６、駆動機構３０をフェールセーフに切断するのに使用できる接点２８、および光カーテン３２である。したがって、入出力部１４、１６および２０はセンサ信号をピックアップする入力部として動作し、入出力部１８は接点２８を起動させる出力ユニット２８として使用される。しかし、この簡略図とは離れて、入出力部１４〜２０は結合された入出力部であってもよい。

制御部１２は、必要な固有のフェールセーフ性を確保するため、それ自体既知な方法で多重チャネル冗長性を有する設計される。冗長信号処理チャネルの簡略化として、本ケースでは、接続部３８を介してデータを交換でき、よって互いに制御可能な２つのマイクロコントローラ３４、３６を示す。接続部３８は、たとえばデュアルポートＲＡＭとして実現できるが、別の方法でも実現可能である。

参照符号４０はバスインタフェースモジュール、すなわちマイクロコントローラ３４、３６がフィールドバス２２にアクセスするのに使用する通信インタフェースを示す。２つのマイクロコントローラ３４、３６がバスインタフェース４０に対して有する同じ優先度のアクセスも、この場合の一例と認識すべきである。当業者であれば、代わりとなるシステム設計を承知している。

本発明の好適な一側面によると、制御部１２は、たとえばマイクロコントローラ３６の適切なプログラミングにより実現可能なキーワードジェネレータ４２を備える。キーワードジェネレータ４２は、入出力部１４〜２０により伝送されるプロセスデータを符号化するため、後述する方法で使用される可変キーワードを生成する。
可変キーワードは、本ケースで図示されるように１チャネルを用いて、または２チャネルを用いて生成することができる。好適な一実施形態では、可変キーワードは、それ自体既知な乱数発生器またはアルゴリズムを用いて（準）ランダムに生成することができる。たとえば、４桁のバイナリキーワード「０１０１」が参照符号４４で示される。

プロセスデータを読み込むため、制御部１２はキーワード４４を該当する入出力部（この場合、入出力部２０）に伝送する。次に、好適な一実施形態によると、この入出力部は、要求されたプロセスデータを１回目は「プレーンテキスト」で、２回目は符号化形式で送信する。たとえば、図１は、参照符号４６でプロセスデータ「１００１」を、参照符号４８で符号化プロセスデータ「０１０１」を示す。この場合、プロセスデータ４６および４８は、入出力部２０が制御部１２に送信するデータテレグラムの共通部分である。もしくは、プロセスデータ４６および４８は、別々のデータテレグラムで制御部１２に伝送してもよい。

好適な実施形態の陳述では、このケースでプロセスデータ４６はキーワード４４とのＸＯＲ結合により符号化された結果、符号化プロセスデータ４８となる。
参照符号５０は、出力部１８に関連して図３でより詳細に説明される追加切断路を示す。好適な一実施形態によると、切断路５０は別ラインで入出力部１８にルート付けされる。

以下の本文では、同じ参照符号が図１と同じ構成要素を示す。
図２は、入出力部２０の例を用いて好適な入力部の基本設計を示す。入出力部２０は（単チャネルで、それにより非フェールセーフの）マイクロコントローラ６０と、そこから分離されるエンコーダチップ６２とを含む。好適な一実施形態によると、エンコーダチップ６２はＦＰＧＡまたはＡＳＩＣの形状である。しかし、この代わりに、エンコーダチップ６２は原則的にマイクロコントローラの形状であるか、あるいはマイクロコントローラ６０に統合されてもよい。参照符号６４は、入出力部２０が接続される光カーテン３２から状態信号をピックアップするのに使用する複数の信号入力を示す。入力６４に印加される状態信号は、マイクロコントローラ６０とエンコーダチップ６２の両方に平行に供給される。

ここで図示される実施形態では、マイクロコントローラ６０のみが、バスインタフェースモジュール４０を介してフィールドバス２２にアクセス可能である。このため、本実施形態では、マイクロコントローラ６０は制御部１２により伝送されるキーワード４４をピックアップし、接続部６６を介してエンコーダチップ６２にキーワードを伝送する。エンコーダチップ６２は信号入力６４と可変キーワード４４を論理的に結び付け、再び接続部６８を介して符号化プロセスデータをマイクロコントローラ６０に利用可能とする。次に、マイクロコントローラ６０は、たとえば図１で参照符号４６、４８を用いて示されるように、直接ピックアップしたプロセスデータと符号化されたプロセスデータとを伝送する。入出力部２０の連続的にフェールセーフの２チャネル冗長設計は、このケースでは必要でない。

図３は、入出力部１８の例を用いて出力部の好適な設計を示す。同様に、入出力部１８は、出力部として動作するように適切にプログラムされるマイクロコントローラ６０を備える。マイクロコントローラ６０は、順方向および逆方向チャネル６６、６８を介するエンコーダチップ６２への接続を有する。この代わりに、エンコーダチップ６２が、バスインタフェース４０または専用バスインタフェース（図示せず）を介してフィールドバス２２にアクセスすることも原則的に可能である。

この場合、入出力部１８は、直列に配列される２つのスイッチ要素７４、７６を有する複数の固有に既知の実装の表示で示される。直列回路の１つの接続点７８には、たとえば２４ボルトの動作電圧が印加される。スイッチ要素７４、７６の出力は、たとえば１つかそれ以上の接点２８を接続することのできる出力８０に送られる。言うまでもなく、図示される説明は簡易化された見本であり、それとは別の例として、複数の出力８０が複数のスイッチ要素７４、７６を介して起動されてもよい。マイクロコントローラ６０は、フィールドバス２２を介して制御部１２から適切な切断コマンドを受け取ると、スイッチ要素７４、７６を開放する。

好適な実施形態によると、このケースでは切断路５０により第２の切断オプションが提供される。簡略化のため、切断路５０も２つのＡＮＤゲート８２を介してスイッチ要素７４、７６にルート付けされる。このため、たとえ入出力部１８内のマイクロコントローラ６０が故障しても、制御部１２には接点２８を遮断する機会が提供される。
参照符号８４は、マイクロコントローラ６０とエンコーダチップ６２の両方に提供されるリードバック線８４を示す。これは、スイッチ要素７４、７６の状態（開閉）を監視するために使用される。本発明によると、それぞれの状態は、制御部１２により１回目は「プレーンテキスト」で、２回目は可変符号化形式で読み込まれるプロセスデータ値で示される。これを実行する際、制御部１２は、入出力部１８に検査コマンドを送信すると直ちに短時間スイッチ要素７４、７６を開放し、その後再び閉鎖する。その後、この切断検査の結果が、プロセスデータ値として制御部１２に送信される。

図４において、左手のフローチャートは制御部１２での本発明の方法のシーケンスを概略的に示し、右手のフローチャートは入出力部１４〜２０での上記シーケンスを示す。
ステップ９０で、制御部１２は制御コマンドを出力し、ステップ９２で、その制御コマンドが入出力部１４〜２０により読み込まれる。次にステップ９４で、制御部１２はキーワードジェネレータ４２を用いて可変（新）キーワードを生成し、ステップ９６で、そのキーワードが入出力部１４〜２０に伝送される。入出力部１４〜２０の方では、参照符号９８で示されるように、ステップ９２で受信した制御コマンドを実行する。これには、たとえばスイッチ要素７４、７６の検査が含まれる。

ステップ１００で、入出力部１４〜２０は新たに生成されるキーワードを読み込み、次にステップ１０２で、送信されるプロセスデータを符号化する。次いで、ステップ１０４、１０６で、入出力部１４〜２０はプロセスデータと符号化プロセスデータを送信し、ステップ１０８、１１０で、制御部１２がこれらのデータを読み込む。それから、制御部１２は、ステップ１１２で示されるように受け取ったプロセスデータを評価する。

２つの方法シーケンスは、矢印１１４、１１６に示されるように周期的に繰り返される。好適な一実施形態では、制御部１２が入出力部１４〜２０をポーリングするこの周期的シーケンスが、絶えず変化するキーワードを生成し、入出力部１４〜２０に伝送する。たとえ入出力部１４〜２０からのプロセスデータが、保護ドア、緊急停止スイッチなどに代表されるように長時間変化しないとしても、フィールドバス２２上のデータトラフィックはポーリング動作毎に変動する。つまり、制御部１２は、データリンクの断絶、静止状態での入出力部の「異常停止」およびその他の故障を特定することができる。

ブロック図として本発明の装置を概略的に示す。 入力部として動作する入出力部を概略的に示す。 出力部として動作する入出力部の好適な実施形態を概略的に示す。 本発明の方法を説明する２つの簡易フローチャートである。

Claims (9)

1. 安全重視のためのプロセスデータ（４６，４８）を処理する制御部（１２）を設けるステップと、データ伝送リンク（２２）を介して前記制御部（１２）に接続される入出力部（１４〜２０）を設けるステップと、前記入出力部（１４〜２０）から前記制御部（１２）に前記プロセスデータ（４６，４８）が伝送されるステップと、を備える安全重視プロセス制御方法であって、
   前記プロセスデータ（４６，４８）は、符号化される前の第一のプロセスデータ（４６）と、前記第一のプロセスデータ（４６）から符号化された後の第二のプロセスデータ（４８）とを含み、
   可変でありかつ変化するキーワード（４４）が生成され、そのキーワード（４４）は前記制御部（１２）から前記入出力部（１４〜２０）に伝送され、
   前記第二のプロセスデータ（４８）は、前記入出力部（１４〜２０）において、前記可変でありかつ変化するキーワード（４４）を用いて前記第一のプロセスデータ（４６）から符号化される、動的な振る舞いを示すプロセスデータ（４８）であり、
   前記入出力部（１４〜２０）は、アクチュエータ出力（８０）と前記アクチュエータ出力（８０）のための別個の検査部（７４，７６）とを備え、
   前記検査部（７４，７６）からの検査結果が、前記第一のプロセスデータ（４６）及び前記第二のプロセスデータ（４８）を含む前記プロセスデータ（４６，４８）として前記入出力部（１４〜２０）から前記制御部（１２）に多重伝送されることを特徴とする方法。
2. 前記制御部（１２）は、前記入出力部（１４〜２０）に、前記検査部（７４，７６）で検査を行わせるための検査コマンドを送信することができる請求項１記載の方法。
3. 前記可変でありかつ変化するキーワード（４４）は、前記プロセスデータ（４６，４８）の前記制御部（１２）への伝送毎に変化することを特徴とする、請求項１または請求項２記載の方法。
4. 前記制御部（１２）が、前記入出力部（１４〜２０）を一巡して前記各入出力部（１４〜２０）からの前記プロセスデータ（４６，４８）の読み取りを行うことを、周期的に繰り返すことを特徴とする、請求項１から請求項３のいずれかに記載の方法。
5. 前記第二のプロセスデータ（４８）が、ハードワイヤード論理セクションを有する別個のエンコーダチップ（６２）を用いて前記入出力部（１４〜２０）において符号化されることを特徴とする、請求項１ないし請求項４のいずれかに記載の方法。
6. 安全重視のためのプロセスデータ（４６，４８）を処理する制御部（１２）と、データ伝送リンク（２２）を介して前記制御部（１２）に接続される入出力部（１４〜２０）とを備え、前記入出力部（１４〜２０）から前記制御部（１２）に前記プロセスデータ（４６，４８）を伝送するように設計される安全重視プロセス制御装置であって、
   前記プロセスデータ（４６，４８）は、符号化される前の第一のプロセスデータ（４６）と、前記第一のプロセスデータ（４６）から符号化された後の第二のプロセスデータ（４８）とを含み、
   前記制御部（１２）は、可変でありかつ変化するキーワード（４４）を生成し、そのキーワードを前記入出力部（１４〜２０）に伝送するキーワードジェネレータ（４２）を備え、
   前記入出力部（１４〜２０）には、前記キーワード（４４）を用いて前記第一のプロセスデータ（４６）を符号化して、動的な振る舞いを示す前記第二のプロセスデータ（４８）を生成するように設計されたエンコーダチップ（６２）が設けられ、
   前記入出力部（１４〜２０）は、アクチュエータ出力（８０）と前記アクチュエータ出力（８０）のための別個の検査部（７４，７６）とを備え、前記検査部（７４，７６）からの検査結果が、前記第一のプロセスデータ（４６）及び前記第二のプロセスデータ（４８）を含む前記プロセスデータ（４６，４８）として前記入出力部（１４〜２０）から前記制御部（１２）に多重伝送されることを特徴とする装置。
7. 前記制御部（１２）は、前記入出力部（１４〜２０）に、前記検査部（７４，７６）で検査を行わせるための検査コマンドを送信することができる請求項６記載の装置。
8. 物理的に離れた前記入出力部（１４〜２０）から前記データ伝送リンク（２２）を介して得られる前記第一のプロセスデータ（４６）のフェールセーフ処理をする処理部（３４，３６，３８）を備え、
   前記処理部（３４，３６，３８）は前記第二のプロセスデータ（４８）を読み出し前記可変キーワード（４４）を用いて前記安全重視のためのプロセスデータを処理するものである請求項６または請求項７記載の装置で使用される制御部。
9. 前記エンコーダチップ（６２）を備える、請求項６から請求項８のいずれかに記載の装置で使用される入出力部。

Images