JP4773093B2 - 安全制御装置および新規動作プログラムを安全制御装置上にロードする方法 - Google Patents

Description

本発明は、プロセス信号を自動的に読み取るための入力モジュールを有し、プロセス信号を自動的に処理するフェールセーフ信号処理モジュールを有し、かつ信号処理モジュールの機能として制御信号を発生するフェールセーフ出力モジュールを有する安全臨界工程のフェールセーフ制御のための、特に機械または機械システムのフェールセーフ断路のための安全制御装置に関する。該信号処理モジュールは、少なくとも一つのプログラム可能処理装置および処理装置用電流動作プログラムが不揮発性形式で記憶される少なくとも第１リードオンリメモリを備える。

本発明はまた、新規動作プログラムをこの種類の安全制御装置上にロードする方法、ならびに対応する動作プログラムに関する。

上述の種類の安全制御装置は、たとえば下記特許文献１から公知である。
安全制御装置は、装置または互いに接続される装置の組み合わせであり、プロセス信号をセンサから受信し、かつこれらの信号を使用し、論理演算を用いて、おそらくそれ以上の信号またはデータ処理工程を用いて出力信号を発生する。出力信号は、周囲の領域で特定の作用または反応を行うアクチュエータに供給される。安全制御装置についての応用の一つの好ましい分野は、機械の安全性、すなわち緊急停止ボタン、両手制御器、保護ドア、光カーテン、静止状態モニター等の監視の分野にある。これらのようなセンサは、たとえば、動作中オペレーターに危険をもたらす可能性がある機械を保護するために用いられる。保護ドアが動作されると、あるいは緊急停止ボタンが動作されると、安全制御装置に入力信号として供給されるプロセス信号が発生される。入力信号に応答して、安全制御装置は、接続されたアクチュエータを用いて、フェールセーフ態様で機械の危険な部分のスイッチを切る。

「通常」制御装置に対比して、安全制御装置の一つの特性は、安全制御装置は、制御されている工程(例えば、危険な機械等）が安全状態にあることを常に保証しなければならないということである。この要求は、誤動作が安全制御装置内またはそれに接続される装置で生じるときにも当てはまる。したがって、安全制御装置は、それら自体のフェールセーフに対する非常に激しい要求を受け、その結果開発および製造中さらにかなりの努力がされる。一般的に、安全制御装置は、たとえばドイツでは、専門家協会からあるいはいわゆるＴＵＶ（テュフ）（ある種の技術検査協会）から等、使用される前に責任のある監督当局からの特別なライセンス供与を必要とする。安全制御装置は、ここでは、一例としてヨーロッパ規格ＥＮ９５４−１で画定される特定された安全規格に従わなければならない。本発明は、これらの特別な要求を考慮している。したがって、この場合、表現「安全制御装置」は、少なくとも機械、機械システム等の制御に対する上述のヨーロッパ規格のカテゴリー３に従ってライセンス供与されている装置または装置の組み合わせのみに関する。

プログラム可能安全制御装置は、ユーザに、その要求に従って、ソフトウェア、具体的にはいわゆるユーザプログラムの助けを借りて、入力信号に関する論理演算を個々に画定する能力を提供する。プログラム可能安全制御装置は、このように、個々のセンサに対してあらかじめ通常書き込みを行う代わりに論理スイッチング素子の助けを用いる。この機能を実行することを可能にするために、プログラム可能安全制御装置は、ユーザプログラムとは別個のかつ安全制御装置の基本的な機能範囲を画定する動作プログラムを有する。特に、動作プログラムは、プログラムコードを含み、それを用いて安全制御装置のハードウェア部品は、直接アドレス指定され、したがって「活性化される」。

さらに、安全制御規則はまた、一般に動作プログラムにおいて実施され、その動作プログラムを、ユーザプログラムは準備された機能モジュールとして呼び出し、かつユーザは任意の所与の時間に入力および出力信号を用いて構成することができる。たとえば、二チャンネル緊急停止ボタンまたは二チャンネル保護ドアのフェールセーフ評価に対する準備された機能モジュールは、動作プログラムに含まれる可能性がある。ユーザプログラムでは、ユーザは、現在、提供されたモジュール、すなわち、緊急停止ボタンと保護ドアとがいかに互いに論理的に連結されるべきかを画定することしかできない。

安全の理由で、ユーザは、動作プログラムにアクセスできず、すなわち、動作プログラムを交換することも修正することもできない。当業界では、動作プログラムは、しばしばファームウエアと呼ばれる。
下記特許文献１は、すでに上述したが、安全制御装置をプログラミングする方法を記載しており、安全制御規則が、機能モジュールの形式で安全制御装置に記憶される。ユーザは、自らのユーザプログラムを用いて、機能モジュールを選択することができ、それらを構成することができ、かつそれらを互いに論理的に連結することができる。これは、プログラマによってなされ、プログラマによって、機能モジュール上での選択、構成および論理演算に対する指令が、安全制御装置に転送される。しかしながら、上で説明したように、ユーザが、機能モジュールで実施される安全制御規則にアクセスするのは不可能であり、すなわち、ユーザは、それらを交換することも修正することもできない。

動作プログラムに対する禁止されたアクセスは、動作プログラムが、安全制御装置のハードウェアに関連して責任のある監督当局によってライセンス供与を受けるので、安全制御装置に対する十分容認された実施に対応する。ユーザがハードウェアと動作プログラムとの組み合わせにアクセスすることが可能なら、安全制御装置のメーカーは、一般的なオプションによれば、証明された保証書に従ってフェールセーフを保証することができなくなりかねない。

しかしながら、特定された実施は、安全制御装置用動作プログラムの領域の機能変化が、安全制御装置のメーカー自体によってのみ行われることがあるという欠点をもたらす。動作プログラムにおいて機能変化またはある他の作用が所望されれば、ユーザは、安全制御装置をメーカーに送るかあるいはメーカーから専門家および認定されたサービス要員を要請しなければならない。これは、不便でありかつ費用がかかる努力が必要とされ、かつさらにまた、安全制御装置が用いられる機械システムに対する停止時間について不利であるかもしれない。

商業的に入手可能なパソコンの場合におけるように、いかなるセーフティーファクタも含まれないとき、ユーザは、おそらく命令の後、新規ソフトウェアをメーカーから得てかつそれをパソコン上にロードすることによって、自らの責任でソフトウェアの更新を実行することができるのは通常の慣行である。これはまた、本発明の意味では、動作プログラムを表すいわゆる動作システムに当てはまる。しかしながら、一般的なオプションによれば、そのような手順は、結果として安全制御装置のメーカーは、ハードウェアと動作プログラムとの組み合わせについて唯一のコントロールを失うことになるので、安全性への応用については実現可能ではない。結果として、安全性に関するリスクを示すハードウェアと動作プログラムとの検査されていない組み合わせも考えられるだろう。
国際公開第９８／４４３９９号明細書

本発明の目的は、顧客の要求に対する柔軟かつより費用効果のよい適応が可能である最初に述べた種類の安全制御装置を提供することである。

本発明は、新規動作プログラムを転送するためのダウンロード装置を有する最初に述べた種類の安全制御装置によって達成される。該ダウンロード装置は、イネーブル情報の機能として、新規動作プログラムの転送をフェールセーフ態様で許可するかまたは禁止する。
本発明は、新規動作プログラムを、最初に述べた種類の安全制御装置上にロードする方法によっても達成され、
−電流動作プログラムを有する安全制御装置を提供するステップと、
−新規動作プログラムを提供するステップと、
−イネーブル情報を提供するステップと、
−イネーブル情報の機能として、新規動作プログラムを安全制御装置のリードオンリメモリに転送するステップとを含む。

上述の安全制御装置および対応する方法は、初めて、機械安全性の分野において、ユーザが、独力で新規ファームウエア等の新規動作プログラムを既存の安全制御装置上にロードする、すなわち転送することを可能にする。本発明は、このように、安全制御規則に関する行動が、監督当局に対して責任をもつメーカーによってのみ行われてもよいという今まで従ってきた基本原理から逸脱する。

以前の慣行からの逸脱は、安全制御装置のメーカーのコントロールが、特定のかつ付加的なイネーブル情報を用いて格差なくなお維持されうるというという驚くべき発見のために可能である。イネーブル情報の選択および画定は、メーカーによってなお制御される。新規動作プログラムのローディングは、イネーブル情報の機能として、フェールセーフ態様で、したがって「自動的に」または「機械によって」禁止されるので、安全製造装置のメーカーは、ユーザ側でのハードウェアと動作プログラムとの考えられる組み合わせの数を制限することができる。新規動作プログラムを、必要とするイネーブル情報に基づいて、メーカーが既存のハードウェアプラットフォーム上への転送を許可したことを識別するときのみ転送することができるように、ダウンロード装置を設計するだけで十分である。たとえば許容ハードウェアプラットフォームのリストを含むイネーブル情報の検査は、特にイネーブル情報の二チャンネルのかつ好ましくはさまざまな検査および／または転送の二チャンネルのかつ好ましくはさまざまな禁止を用いて、それ自体公知でありかつ機械安全性の分野で通常用いられるプログラミングまたは回路対策によって、フェールセーフ態様で行われうる。

ユーザが動作プログラムのソフトウェアを更新する能力のために、新規安全制御装置は、ロジスティック監視の点ではるかに汎用性がある。メーカーによる製造およびサービスコストを減じることができる。他方、メーカーからのサービス技術者を待つ必要がないので、安全制御装置の動作プログラムレベルでの修正のための機械システムに対する停止時間を減じることができる。さらに、ユーザは、新規動作プログラムに新しい機能範囲をロードすることによって、自らの安全制御装置を更新することができるので、ユーザには、既存の安全制御装置のためのより広い使用範囲が提供される。しかしながら、ユーザは、以前のように内部安全制御規則にアクセスできないので、これらの利点は、任意の安全性への悪影響とは結びつかない。

上述の目的は、このように、完全に達成される。
本発明の改良では、イネーブル情報は、機械で判別可能な形式で、新規動作プログラムに少なくとも部分的に一体化される。
この改良は、ユーザが、イネーブル情報をフェールセーフ態様で評価しかつ新規動作プログラムの転送をフェールセーフ態様で行うかまたは禁止するための非常に簡単でかつ便利なオプションである。さらに、操作を、少なくとも部分的に一体化されたイネーブル機能を用いてさらによく抑制することができ、結果として安全性が改良される。

本発明のさらなる改良では、イネーブル情報は、逐次バージョン情報の第１および第２項目を含み、第１逐次バージョン情報項目は、電流動作プログラムに関連しており、かつ第２逐次バージョン情報項目は、新規動作プログラムに関連している。
逐次バージョン情報の項目、すなわち唯一の特定場所で一系列へ入れられるバージョン情報の項目は、フェールセーフ許可または禁止を実施する特に簡単な方法である。これは、原理上、メーカーが、安全制御装置を、それらの上に動作プログラムがロードされた状態で配送するからである。ハードウェアプラットフォームと電流動作プログラムとの組み合わせは、以前のように、メーカーによってそれ自体の組織内で完全なコントロールを受ける。逐次バージョン情報項目によって、次にユーザがより最近の動作プログラム、言い換えればより高い逐次バージョン情報項目をもつ動作プログラムのみをロードすることができることをメーカーが保証するのが容易に可能となる。したがって、任意の環境下では、ユーザが、配送された安全制御装置に「より古い」動作プログラムが設けるのは不可能である。ハードウェアプラットフォームと動作プログラムとの検査されていない、したがって容認できない組み合わせの大多数は、簡単な態様でこのように効果的に排除される。

メーカーにとっては、より高いバージョン情報項目を有する動作プログラムの新規バージョンを、予め用いられたハードウェアプラットフォーム上でフェールセーフ態様で適切に実行することができることを監督当局と共に確認することができれば十分である。これをしようとする努力は、動作プログラムの新規バージョンが、一般に前のバージョン上に構築され、よって制限された範囲の修正のみを含むので、低レベルに保たれうる。

ユーザがこの組み合わせで検査されていないより古い動作プログラムを新規安全制御装置上にロードする理論的な実現可能性は、逐次バージョン情報項目のフェールセーフ検査によって排除される。
本発明のさらなる改良では、ダウンロード装置は、第１および第２バージョン情報項目を比較するための比較器を収納し、かつ第２逐次バージョン情報項目が第１逐次バージョン情報項目より低いとき、比較器の機能として、新規動作プログラムのローディングをフェールセーフ態様で禁止するイネーブル装置を備える。

この改良は、転送を許可するかあるいは禁止するために、逐次バージョン情報項目を自動的にかつ機械によって評価する特に有利な方法である。この場合、比較器およびイネーブル装置は、同様にハードウェアモジュールの形式でまたはソフトウェアの形式でありうる、すなわち電流動作プログラム内で実現されうるのは自明である。
本発明のさらなる改良では、イネーブル装置は、第２逐次バージョン情報項目が第１逐次バージョン情報項目より高いときのみ、新規動作プログラムのローディングを許可する。

言い換えると、新規動作プログラムのダウンロードはまた、第２逐次バージョン情報項目が第１逐次バージョン情報項目と同じであるとき禁止される。
この改良では、同一動作プログラムの更新されたローディングはまた、予め説明した手法に加えて禁止される。たとえば、安全制御装置のユーザが、誤動作に出くわし、それらは既存の動作プログラムの更新されたローディングによって改善されうると考えるようになるなら、このようにしようという刺激があるかもしれない。しかしながら、そのような「セルフヘルプ」は、あてにならないことが多い。したがって、安全の理由で、それは、ユーザが、より高いバージョン情報項目を持つ動作プログラムを独力で自らの安全制御装置上にロードすることのみできるなら有利である。

本発明のさらなる改良では、第１および第２バージョン情報項目は、それぞれの動作プログラムにフェールセーフ態様で記憶される。
バージョン情報のフェールセーフ保護は、特に、それ自体公知である冗長記憶および／または署名形成工程によって、たとえばＣＲＣ検査合計（循環冗長検査）の形式で達成される。この改良では、新規動作プログラムの望ましくないローディングは、それ自体、バージョン情報に誤りがある場合またはバージョン情報の任意の操作の場合には妨げられる。このことは、安全制御装置のメーカーのコントロールをさらに補強する。

本発明のさらなる改良では、少なくとも新規動作プログラムは、新規動作プログラムが安全制御装置で実行されるとき、安全制御装置で安全制御規則を実施するプログラムコードを含む。
この対策によって、安全制御装置の全機能範囲を、安全制御装置のメーカーがコントロールを失うことなく特に有利な態様で修正することができる。本発明の利点は、この改良においてはっきりわかる。この場合、ユーザは、新規動作プログラムをロードすることによって安全制御規則を修正する能力がある。しかしながら、ユーザは、実施された安全制御規則の全ての、メーカーによって制御される「全パッケージ」の交換に限定される。ユーザ自身は、安全性のリスクを伴わないであろう安全制御規則を修正することも操作することもできない。

さらなる改良では、少なくとも信号処理モジュールに特徴的なものであるハードウェア情報の第１項目が記憶される第２リードオンリメモリが提供される。さらに、新規動作プログラムは、最低限必要なハードウェア構成に特徴的なものであるハードウェア情報の第２項目を含み、かつイネーブル装置は、第１ハードウェア情報項目と第２ハードウェア情報項目との比較の機能として、新規動作プログラムのローディングを、許可するかまたは禁止する。言い換えると、イネーブル装置は、第１ハードウェア情報項目と第２ハードウェア情報項目との比較の機能として、記憶を禁止する。

本発明のこの改良によって、安全制御装置のメーカーは、新規動作プログラムが、自らによって試験された最低前提条件を満足させるハードウェアプラットフォーム上でのみ動作されうることを保証することもできる。安全制御装置のメーカーは、このようにハードウェアプラットフォームおよび動作プログラムのユーザ端部での組み合わせの範囲をさらに制限することができる。メーカーの観点から、このことは、誤りなく許容できるハードウェアプラットフォームと動作プログラムとの組み合わせの確認のための努力を減じることを可能にする。ユーザの観点から、これはさらに、ハードウェアと動作プログラムとの安全臨界の組み合わせのリスクを減じる。

本発明のさらなる改良では、第１および第２ハードウェア情報項目は、逐次バージョン情報の項目を含む。
すでに説明したが、逐次バージョン情報項目によって、一つの系列すなわちシーケンスを一つの場所のみに挿入することができる。ユーザの前提では、ハードウェアプラットフォームと動作プログラムとの組み合わせの許容性を、このように特に容易にかつ確実に検査することができる。

本発明のさらなる改良では、第１および第２ハードウェア情報項目は、各々種類情報を含む。
これによって、ハードウェアプラットフォームと動作プログラムとの許容できる組み合わせが存在して、より簡単にかつ確実に実行されるかどうかについて検査することができる。種類情報は、ハードウェアプラットフォームでの異なる系列を区別することを可能にし、その結果この特定の種類に適切でない動作プログラムのローディングは、バージョン情報にかかわらず妨げられる。さらに、さらなる安全性を提供する重複検査能力は、逐次バージョン情報に関連して得られる。

上で述べてきた特徴および次の本文でなお説明することになっている特徴を、それぞれ規定された組み合わせにおけるだけでなく、本発明の範囲から逸脱することなく他の組み合わせでまたは単独で用いることもできる。
本発明の実施形態を、以下の説明で詳細に説明し、かつ図面に示す。

図１では、本発明による安全制御装置は、参照番号１０によって指定される。
この場合、本発明の一つの好ましい実施形態によれば、安全制御装置１０は、機械システム、特に工業生産環境における機械システムの安全断路のために用いられる。機械システムは、この場合、一例として、安全制御装置１０によって個別にまたは共同でスイッチが切られうる三つの電気駆動装置１２によって図示される。この応用例では、安全制御装置１０は、二つの緊急停止スイッチ１４および保護ドア１６を入力信号として評価する。緊急停止スイッチ１４および保護ドア１６は、オペレーターの作業中安全性に関して保護されることを保証するために、機械システムの領域においてそれ自体公知である態様で配置される。

本実施形態の安全制御装置１０は、対応する断路信号が存在しているとき、緊急停止スイッチ１４からまたは保護ドア１６から機械システムを保護すること、すなわち駆動装置１２の電源を故意に切ることを責務とする装置である。この場合、作業手順中の機械の動作制御、すなわち、たとえば、駆動装置１２の加速および制動は、安全制御装置の仕事ではない。それ自体公知である自律動作制御装置は、この目的のために設けられるが、明瞭さの理由でここに図示されていない。しかしながら、代替的には、安全制御装置１０はまた、他の実施形態において、機械システムのための動作制御も提供してもよい。安全制御装置１０が、この場合、より複雑になり、かつ図示される入力および出力信号に加えて、さらに機械典型的な制御信号を受信しかつ発するのは自明であるだろう。

任意の他の所望の信号送信機は、入力信号、すなわち、両手ボタン、静止状態モニター、光バリア、または位置スイッチ等の緊急停止スイッチ１４および保護ドア１６のためにここに示される信号送信機に加えて、安全制御装置１０の入力に接続されてもよいのもまた自明である。これらの信号送信機のフェールセーフ評価は、動作プログラムおよびユ−ザプログラムを用いて、それ自体公知の態様で、安全制御装置１０において行われる。

他の電気作動負荷は、同様に、安全制御装置１０の入力における信号の機能として、フェールセーフ態様でスイッチを切られなければならない安全制御装置１０の出力に接続されうる。
最終的に、安全制御装置１０を、ユーザによって、ユーザプログラムを用いてそれ自体公知の態様でプログラムすることができると述べておかなければならない。一例として、すでに序論において引用した上記特許文献１を参照されたい。しかしながら、本発明の利点はまた、上述の注釈メモの意味での動作プログラムが存在する限り、ユーザがユーザプログラムを用いてプログラムすることができないこれらの安全制御装置にあてはまる。これらのような安全制御装置は、一例として、製品範囲ＰＮＯＺｅｌｏｇ（登録商標）において本発明の出願人によって市販され、その場合これらの装置のユーザが動作プログラムを交換することは現在まで可能ではなかった。

信号送信機、すなわち、緊急停止スイッチ１４および保護ドア１６からプロセス変数を受信するために、安全制御装置１０は、入力モジュール１８を有する。入力モジュール１８は、一般に、必要とされるフェールセーフのために２チャンネル冗長設計に基いているが、これは図１に鎖線で示される。しかしながら、個々の場合、入力モジュール１８または少なくともその一部が、一つのチャンネルを用いて設計されるだけで十分であるかもしれない。さらに、図１に示されるブロック図における入力モジュールは、明瞭さの理由で、専用機能ブロックとして図示される。しかしながら、それは部分的にはソフトウェアの形式であってもよく、次に動作プログラムに適切な形式で埋め込まれる。

番号２０は、安全制御装置１０の信号処理モジュールを示す。これは、入力モジュール１８によって受信されるプロセス信号を、それ自体公知の態様で連結し、かつそれらを用いて、出力モジュール２２を通って発せられる制御信号を発生する。出力モジュール２２は、リレイ、接触器、または他の電子スイッチを収納することが多く、それを用いて、駆動装置への、あるいはより一般的には機械システムへの電気供給は、フェールセーフ態様でスイッチが切られる。フェールセーフは、もう一度出力モジュール２２の適切な冗長設計を示す斜線で表される。入力モジュール１８から出力モジュール２２への信号処理モジュール２０経由での信号の流れは、図１の適切なブロック矢印で示される。

信号処理モジュール２０は、少なくとも一つのプログラム可能処理装置２４ならびにリードオンリメモリ２６およびメインメモリ２８を収納している。処理装置２４用動作プログラム３０は、それ自体公知である態様で、リードオンリメモリ２６に不揮発性形式で記憶される。これは、機械で判読可能な形式のプログラム命令の合計であり、それによって安全制御装置１０の基本機能性が可能となる。特に、この実施形態での動作プログラム３０は、これらのプログラム命令を含み、それを用いて処理装置２４は、信号を読み出しかつ発することができる。効果的には、これらのプログラム命令は、安全制御装置１０のハードウェアを「活性化する」。

さらに、この場合の動作プログラム３０は、準備された一組の安全制御規則を含み、それを用いて、たとえば、二チャンネル緊急停止スイッチのフェールセーフ評価が行われる。フェールセーフ評価アルゴリズムは、同様に、安全制御装置１０の出力側の他の許容信号送信機の全ておよび許容アクチュエータの全てに提供される。
安全制御装置１０が正当な装置であれば、動作プログラム３０はまた、安全制御規則と入力と出力との接続との関連を含む。この場合、ユーザは、機能範囲にいかなる影響も及ぼさず、あるいはせいぜい非常に制限された影響のみ及ぼす。しかしながら、述べたように、安全制御装置１０は、代替的にユーザが安全制御規則を選択することができるような方法で製造されてもよく、かつユーザが自ら作成するユーザプログラムを用いてそれらを構成することができる。

メインメモリ２８は、中間変数の一時的な記憶のために、おそらく動作プログラム３０上に置かれるユーザプログラムを保持するために用いられる。
安全制御装置１０における信号プロセスモジュール２０は、一例として、相互試験および検査を用いる冗長実施からわかるように、もっぱら本質的にフェールセーフであるように設計される。この場合、処理装置２４、リードオンリメモリ２６、およびメインメモリ２８を、図では重複されているように示す。

ブロック図の参照番号３２は、新規動作プログラム３４をロードするためのダウンロード装置を示す。この場合の「ローディング」は、新規動作プログラム３４が、第１動作プログラム３０といっしょにかつ／またはそれと代替的に、安全制御装置１０の機能範囲を決定するような方法でリードオンリメモリ２６に記憶される。新規動作プログラム３４をロードする工程は、特に、既存の動作プログラム３０の完全な交換を含む。したがって、予め提供された安全制御規則の代わりに修正された安全制御規則を用いることはとりわけ可能である。

本発明に対応して、この場合のダウンロード装置３２は、比較器３６ならびにイネーブル装置３８を収納する。さらに、逐次バージョン情報項目が、既存の動作プログラム３０および新規動作プログラム３４のいずれにも設けられ、かつそれぞれ図１の参照番号４０および４２で注がつけられている。比較器３６は、既存の動作プログラム３０のためのバージョン情報項目４０を、かつ新規動作プログラム３４のためのバージョン情報項目４２を読み出し、かつそれらを互いに比較する。この比較の結果によっては、イネーブル装置３８は、新規動作プログラム３４をロードする能力を禁止するかあるいは許可する。詳細には、ダウンロード装置３２は、新規動作プログラム３４のためのバージョン情報が、既存の動作プログラム３０のためのバージョン情報より高いときのみ、新規動作プログラム３４をローディングできる。言い換えると、新規動作プログラム３４を、それが既存の動作プログラムより最近のものであるときのみ、安全制御装置１０にロードすることができ、かつこれはバージョン情報項目の比較によって決定される。

比較器３６およびイネーブル装置３８を含む図１での説明は、主として例証の理由のために選択されたことは自明である。実際の実施において、バージョン情報項目の比較およびローディングの許可または禁止は、プログラム手段によって、言い換えればリードオンリメモリ２６に既存の動作プログラム３０の一部として記憶される適切なプログラム命令によって行われ、かつ処理装置２４によって処理される。ダウンロード装置３２のためのハードウェアは、さらにそれ自体公知であるインターフェイス、たとえばＲＳ２３２インターフェイス等を含み、それを経由して新規動作プログラム３４は、適切に許可されれば読み込まれうる。

本発明の一つの好ましい実施形態に従って、動作プログラム３０および３４のためのバージョン情報項目４０および４２は、多重冗長性をもって動作プログラムに埋め込まれ、かつ／またはＣＲＣ検査合計またはある他の署名形成工程等の誤り保護対策によって保護される。このイネーブル装置３８によって、新規動作プログラム３４を、二つのバージョン情報項目４０，４２のフェールセーフ比較により、新規動作プログラム３４のためのバージョン情報が、既存の動作プログラム３０のためのバージョン情報より高いことが疑いの余地なくわかるときのみロードすることができる。

一つの好ましい実施形態に基づき、少なくとも信号処理モジュール２０に特徴的なものであるハードウェア情報項目４４はまた、安全制御装置１０に記憶される。言い換えると、ハードウェア情報４４は、安全制御装置１０のためのハードウェアプラットフォームの開発基準についての情報を提供する。特に好ましい実施形態によれば、ハードウェア情報はまた、種類情報４６を含み、それを用いて異なるハードウェアプラットフォームをより正確に識別することが可能である。さらに、新規動作プログラム３４は、必要とされる少なくともそれらのハードウェア前提条件を識別するために用いられうる第２ハードウェア情報項目４８を含む。ハードウェア情報項目４４，４８は、好ましくは、またしても逐次バージョン情報項目であり、それによって既存のハードウェアプラットフォームおよび最低限必要な前提条件を一つの位置のみで開発シーケンスに挿入することができる。

好ましい実施形態では、新規動作プログラム３４のローディングが許可されるかされないかを判定するための検査はまた、ハードウェア情報４４，４６，４８を考慮する。特に、新規動作プログラム３４のローディングは、安全制御装置１０のためのハードウェアプラットフォームに対する最低限の要求(動作プログラム３４でコード化される）が間違いなく存在するときのみ、記憶されたハードウェア情報４４、４６に基づいて許可される。

さらなる好ましい実施形態によれば、それ以上のバージョン情報項目５０は、安全制御装置１０にも不揮発性態様で記憶され、新規動作プログラム３４に対して最低限の許容バージョンを画定する。この実施形態では、新規動作プログラム３４のローディングを許可する工程は、このようにさらに画定された最低限のバージョン情報項目５０より高いバージョン情報項目４２に依存するようになる。このさらなる比較基準によって、新規動作プログラム３４のローディングがさらなる検査に依存するようになる。しかしながら、この検査はまた、安全制御装置１０のメーカーが、安全制御装置１０が、含まれている一つのバージョン情報項目４０によって一つの動作プログラム３０を用いて常にずっと配送されることを保証するなら、省略されてもよい。新規動作プログラム３４に対する最低限の要求は、次に、新規動作プログラム３４が、そのバージョン情報項目が既存のものより高い場合のみロードされうるということによって保証される。

図２は、フローチャートを用いて、新規動作プログラム３４がどのように記録されうるかを概略的に示す。容易にわかるように、対応する方法は、処理装置２４に好適なプログラムコードの形式で実施されうる。
まず第一に、ダウンロードモードはステップ６０で起動される。不正確な制御動作および起動ミスを防ぐために、これを、有利には安全制御装置１０上にさらにこの目的のために設けられるキー動作スイッチ(ここでは図示せず）の動作によって達成することができる。しかしながら、ダウンロードモードを、パスワード等を入力することによって、プログラムの形式で起動することも可能である。

既存の動作プログラム３０のための現在のバージョン情報項目４０は、次にステップ６２で読み取られる。新規動作プログラム３４のためのバージョン情報項目４２は、次にステップ６４で読み取られる。次に二つのバージョン情報項目４０，４２は、ステップ６６で比較される。既存の動作プログラム３０のためのバージョン情報項目４０が、新規動作プログラム３４のためのバージョン情報項目４２より大きいかまたは高いなら、方法はステップ６８で終了し、ダウンロードモードが好ましくは終了される。これは、新規動作プログラム３４が記録されるのを確実に防ぐ。

二つのバージョン情報項目４０，４２の比較により、新規動作プログラム３４が許容できるように既存の動作プログラム３０に追加されるかあるいはそれを交換してもよいということが明らかになれば、安全制御装置１０のためのハードウェア情報４４、４６は、ステップ７０で読み取られる。ハードウェア情報４８は、次にステップ７２で読み取られ、実行能力および新規動作プログラム３４の許容可能性に対する最低限のハードウェア前提条件を画定する。ここで説明する好ましい実施形態では、種類の比較が、ステップ７４でまず第一に行われ、言い換えれば動作プログラム３４が安全制御装置１０上での動作について許容できるかどうかを判定する検査が、種類情報に基づいて行われる。そうでない場合には、ダウンロードモードは、最終的にステップ７６でもう一度終了される。

一方、この種類の比較が同様に肯定的であれば、ステップ７８でそれ以上の基準が検査され、安全制御装置１０のためのハードウェア情報４４が、動作プログラム３４に含まれる最小ハードウェア情報４８より大きいあるいは少なくとも等しいかを判定する。この比較により、安全制御装置１０が最小ハードウェア前提条件と合致しないことが明らかになれば、ダウンロードモードは、ステップ８０で、もう一度終了される。

一方、ハードウェア情報に基づくハードウェア前提条件の検査も肯定的であれば、動作プログラム３４が、ステップ８２に従ってロードされる。言い換えると、動作プログラム３４は、次にリードオンリメモリ２６に記憶される。一旦記憶工程が完了すると、新規動作プログラム３４は、安全制御装置１０の動作用既存の動作プログラム３０の代わりにまたはそれに加えて使用可能である。

新規動作プログラム３４は、さまざまな方法で、安全制御装置１０に転送されてもよい。すでに上述したように、動作プログラム３４は、一旦これが許可されると、安全制御装置１０にシリアルインターフェイスを経由して転送される。転送が、フィールドバスまたは交換可能メモリ媒体を経由して起こることも同様に可能である。原理上、新規動作プログラム３４をインターネットを経由して転送することも可能である。

フェールセーフをさらに改良するために、動作プログラム３４、特にバージョン情報項目４２および４８を、それ自体公知である暗号化アルゴリズムを用いて操作や不正から保護するのも有利である。次に、適切な符号解読プログラム（ここでは図示せず）が、安全制御装置１０に設けられる。
これまで説明してきた好ましい実施形態では、バージョン情報項目は、たとえば、数字および／または文字の組み合わせを含み、それによってシーケンスの一つの場所のみに挿入することができる。しかしながら、これの代替として、バージョン情報項目が、「完全フォーム」で提供されるのではなくて、独特な結果を生じ、ひいては次に逐次バージョン情報を最終決定することのみできるアルゴリズムの形式で設けられることも可能である。これはまた、本発明の目的のための逐次バージョン情報である。

本発明による安全制御装置の概略図を示す。 本発明による方法を説明するためにフローチャートを示す。

Claims (6)

1. 機械（１２）または機械システムのフェールセーフ断路のための安全制御装置であって、
   プロセス信号を読み取るための入力モジュール（１８）と、
   前記入力モジュール（１８）によって読み取られた前記プロセス信号を処理して、前記機械（１２）または前記機械システムを制御するための制御信号を発生するフェールセーフ信号処理モジュール（２０）と、
   前記フェールセーフ信号処理モジュール（２０）から発生した制御信号を、前記機械（１２）または前記機械システムに出力するフェールセーフ出力モジュール（２２）とを有し、
   前記信号処理モジュール（２０）は、動作プログラム（３０）により動作可能な少なくとも一つの処理装置（２４）と、前記動作プログラム（３０）が不揮発性形式で記憶されている第１リードオンリメモリ（２６）と、前記信号処理モジュール（２０）のハードウェア情報（４４）が第１ハードウェア情報項目（４４）として記憶される第２のリードオンリメモリと、前記動作プログラム（３０）と置き換わるための新規動作プログラム（３４）を転送するためのダウンロード装置（３２）と、を備え、
   前記動作プログラム（３０）に関連する第１バージョン情報項目（４０）が、多重冗長性をもって、前記動作プログラム（３０）に記録され、前記新規動作プログラム（３４）に関連する第２バージョン情報項目（４２）が、多重冗長性を持って、前記新規動作プログラム（３４）に記録され、
   前記新規動作プログラム（３４）には、最小限必要なハードウェア構成を第２ハードウェア情報項目（４８）として記述したハードウェア情報（４８）が含まれ、
   前記ダウンロード装置（３２）は、前記第１バージョン情報項目（４０）と前記第２バージョン情報項目（４２）とをフェールセーフ比較し、前記第２バージョン情報項目（４２）が前記第１バージョン情報項目（４０）より低いとき、前記新規動作プログラム（３４）のローディングを禁止し、前記第２バージョン情報項目（４２）が前記第１バージョン情報項目（４０）より高い場合は、さらに前記第１ハードウェア情報項目（４４）が前記第２ハードウェア情報項目（４８）より大きいかあるいは少なくとも等しいかを比較し、肯定の場合に前記新規動作プログラム（３４）のローディングを許可し、そうでない場合には禁止するものである、安全制御装置。
2. 前記第１ハードウェア情報項目（４４）および前記第２ハードウェア情報項目（４８）には、ハードウェアバージョン情報の項目が含まれる、請求項１に記載の安全制御装置。
3. 前記第１ハードウェア情報項目（４４）および前記第２ハードウェア情報項目（４８）は、ハードウェア型情報（４６）を含む、請求項１に記載の安全制御装置。
4. 請求項１ないし請求項３のいずれかに記載の安全制御装置において新規動作プログラムをロードする方法であって、
   前記動作プログラム（３０）を有する前記安全制御装置（１０）を提供するステップと、
   前記新規動作プログラム（３４）を提供するステップと、
   前記第１バージョン情報項目（４０）および前記第２バージョン情報項目（４２）を提供するステップと、
   前記第１バージョン情報項目（４０）および前記第２バージョン情報項目（４２）の前記比較に応じて、前記新規動作プログラム（３４）を前記安全制御装置（１０）の前記第１リードオンリメモリ（２６）に転送するステップと
   前記安全制御装置( １０) の第１ハードウェア情報項目（４４）を、前記安全制御装置( １０) の前記第２リードオンリメモリ内に提供するステップと、
   前記新規動作プログラム( ３４) における第２ハードウェア情報項目( ４８) を提供するステップと、
   前記第１および前記第２ハードウェア情報項目（４４，４８）の比較結果に応じて、前記転送を禁止するステップとをさらに含む、方法。
5. 前記動作プログラム（３０）が前記信号処理モジュール( ２０) において実行されるとき、前記安全制御装置( １０) において安全制御規則を実施するプログラムコードを備える、請求項１ないし３のいずれかに記載の安全制御装置上で実行されるプログラム。
6. 前記動作プログラム（３０）がコード化されて記憶されている、請求項１ないし３のいずれかに記載の安全制御装置上で実行されるプログラム。

Images