JP5458968B2 - 安全制御システム - Google Patents

Description

本発明は、電力変換器などの被制御装置の安全監視機能を有し、ネットワーク経由で与えられる制御信号に基づいて被制御装置を制御する安全制御システムに係り、特に制御機能と安全監視機能とが分離された構成において、効果的に通信処理を行い高い機能安全を実現することのできる安全制御システムに関する。

従来、電力変換器などの被制御装置に対しては、機能安全が要求され、ＩＥＣ６１５０８に代表される機能安全規格などが策定されている。昨今の多様なネットワークの登場により、この機能安全規格では、冗長性の確保や非常停止時の制御といったハードウェアの仕組み以外にネットワークを組み合わせるための手段についても規定されている。一方、近年では、EtherCAT（登録商標、以下同じ）やEthernet/IP（登録商標、以下同じ）など、通信方式が多様化している。

図１３に、従来の一般的なネットワーク対応型の安全制御システム９０の構成を示す。この図において、従来の安全制御システム９０は電力変換機の制御機能を担う制御装置４０と、制御装置４０の安全監視制御を行うための安全装置５０を設け、制御装置４０と安全装置５０のそれぞれに対してネットワーク接続のための通信装置１０ａ，１０ｂを設けた構成になっている。また、安全装置５０は、信頼性を向上させるために監視用プロセッサを冗長化する場合が多い。

しかしながら、図１３の構成では、制御装置と安全装置の両方に通信装置を設けるため、システム内に２つのネットワーク局番が独立して存在することになる。このためネットワークを介して接続する外部コントローラが複数のシステムを管理するような場合、多くの局番を扱うことになり、管理が煩雑化するという問題がある。また、通信装置は高価であるので、通信装置をいかに削減して、システムの低コスト化を実現するかが問題になっている。さらに、多種多様なネットワーク規格への対応についてもコストをかけずに行う必要がある。

一方、ネットワーク経由で装置を制御するシステムの安全機能に関する技術として、例えば、特許文献１には、外部の安全コントローラと安全規格に準拠して設計された入力機器・出力機器とをネットワークへ中継するための装置が記載されている。しかしながら、この装置は、別々の機器で入力処理と出力処理を行い、各機器を冗長化された端子で接続することによって安全機能を実現するものであって、上記の問題を解決するものではない。

特開２００６−３２５３９０号公報

本発明は上述のかかる事情に鑑みてなされたものであり、ネットワーク対応型の安全制御システムにおいて、通信装置を削減してコストと局番の数を削減すると共に、安全装置と制御装置へ通信データを効率よく転送することのできる安全制御システムを提供することを目的とする。

上記の目的を達成するため、本発明に係る安全制御システムは、ネットワークを介して外部コントローラと通信データの送受信を行う通信装置と、該通信装置を経由して前記外部コントローラから送られてくる通信データを受信し、該通信データに基づいて電力変換器へ制御信号を出力する制御装置と、前記通信装置を経由して前記外部コントローラから送られてくる通信データを受信し、該通信データによって設定された安全機能によって前記電力変換器や前記制御装置の異常を検知して、電力変換器へ停止指令を出力する安全装置と、を有する安全制御システムにおいて、前記通信装置、前記制御装置、および前記安全装置とそれぞれ接続し、前記通信装置、前記制御装置、および前記安全装置から取得した通信データを送信先ごとに分離して転送する通信データ分離装置を具備し、該通信データ分離装置は、前記通信装置、前記制御装置、および前記安全装置から取得した通信データを登録する一の受信バッファと、各ビットが通信データの転送先に対応する依存値と、データの種別によって定まる優先値とを記憶する優先度管理テーブルと、転送処理の順番を記憶する処理順リストと、前記優先度管理テーブルを参照して、前記受信バッファから取得した通信データの依存値および優先値を判定すると共に、該通信データの依存値および優先値と前記処理順リストに登録されている通信データの依存値および優先値とを用いて、前記受信バッファから取得した通信データの転送処理の順位を決定して前記処理順リストに登録する優先登録手段と、前記処理順リストに登録されている順番に従って通信データの転送処理を実行する通信データ転送手段と、を備えることを特徴とする。

本発明では、安全制御システムを構成する通信装置、制御装置、安全装置の間の通信データの受け渡しを、通信データ分離装置を介して行うようにする。このとき、通信データの転送先に対応する依存値とデータの種別（安全関連信号、非安全関連信号など）によって定まる優先値とを用いて、転送すべき通信データの処理の優先度を決定して、優先度の高い通信データは、迅速に転送する一方、各装置へ送信するデータについてはその順番を保証する。

また、本発明に係る安全制御装置では、安全装置は冗長化されたプロセッサを有し、前記通信データ分離装置は、冗長化されたそれぞれのプロセッサに対してビットが割り付けられた依存値を用いて転送処理を実行することを特徴とする。
本発明では、冗長化されたプロセッサごとに効率の良い転送処理を可能にする。

本発明によれば、通信装置によって受信したデータを通信データ分離装置で安全関連信号と非安全関連信号に分離して、それぞれの装置へ転送するようにしたので、制御装置と安全装置のネットワーク接続を高価な通信装置を１つに集約し、システム全体を低コストで機能安全規格に適合させることができる。

また、通信データの優先度に応じて転送処理の順番を決定し、さらに同じ転送先に対しては転送の順番を維持するようにしたので、効率が良く信頼性の高いシステムを実現することができる。

また、本発明によれば、通信装置を入れ替えるだけで多種多様なネットワークへ対応できる。さらに機能安全のレベルによって、シングルプロセッサから冗長化されたマルチプロセッサまでのシステム構成に対応して、テーブルの変更によって簡単に転送処理の設定変更ができ、保守性を向上させることができる。

本発明の実施の形態による安全制御システムおよび周辺装置の構成図である。 図１の外部コントローラ２と安全制御システム１の間で受け渡される通信データのフォーマットの説明図である。 図１の通信データ分離装置２０の機能ブロック図である。 図３の通信データ分離装置２０の動作説明図である。 図３の優先度管理テーブル３２の構成およびヘッダの説明図である。 図３の通信データ取得手段２４の処理手順を示すフローチャートである。 本発明の実施の形態による依存値の説明図である。 図３の優先登録手段２５の処理手順を示すフローチャートである。 図３の通信データ転送手段２６の処理手順を示すフローチャートである。 本発明の他の実施例１による宛先テーブル３４の構成図である。 本発明の他の実施例２によるＣＰＵ二重化構成の安全装置５０の説明図である。 本発明の他の実施例２による宛先テーブル３４の構成図である。 従来技術による一般的なネットワーク対応型の安全制御システムの構成図である。

以下、図面を参照しながら本発明の実施の形態を説明する。なお、図１〜図１２は、本発明の安全制御システムに係る実施の形態を説明するための図面であって、これらの図面によって本発明が限定されるものではない。

図１は、本発明の実施の形態による安全制御システムおよび周辺装置の構成図である。この図において、安全制御システム１は、ネットワーク３を介して外部コントローラ（制御指令部）２と接続している。外部コントローラ２は、安全制御システム１へ制御機能や安全機能に関する指令信号の送信ならびに安全制御システム１からの監視データの受信によるモニタリングを行う。一方、安全制御システム１は、外部コントローラ２から送られてくる指令信号に基づいて制御対象である電動機４を監視制御する。

安全制御システム１は、ネットワーク３を介して外部コントローラ２と通信を行う通信装置１０、受信したデータを送信先ごとに分離して転送する通信データ分離装置２０、外部コントローラ２から送られてくる指令信号に基づいて制御信号を出力する制御装置４０、制御装置４０から出力される制御信号によって電動機４を駆動する電力変換器６０、電力変換器６０や制御装置４０などの異常の有無を監視し、電力変換器６０へ停止指令を出力する安全装置５０を有している。通信データ分離装置２０、制御装置４０、および、安全装置５０との間は、それぞれケーブルやコネクタなどの分離・接続可能な接続手段で接続されている。また、通信装置１０と通信データ分離装置２０との間も同様の接続手段で接続されている。なお安全制御システム１の各装置は、それぞれユニット構成で実現しても良いし、基板構成で実現しても良い。

安全制御システム１を構成する各装置の機能概要を説明すると、まず、制御装置４０は、通信データ分離装置２０から渡された外部コントローラ２の指令信号に基づいて電力変換器６０の電圧・電流・周波数などを決定し、制御信号を生成して電力変換器６０へ出力する。そして、電力変換器６０は、制御装置４０からの制御指令や安全装置５０からの停止指令によって、電動機４を運転させるための電力の供給や停止を行う。安全装置５０は、制御装置４０のメモリチェック、外部コントローラ２からの安全機能設定信号による非常停止制御、安全状態の外部コントローラ２への通知処理などを行う。

次に、外部コントローラ２と安全制御システム１の各装置間の通信方法の概要を説明する。
外部コントローラ２と安全制御システム１の通信装置１０とは、ネットワーク３を介して接続し、互いに相手のアドレスを指定してデータを送っている。この通信はEtherCAT, Profibus（登録商標、以下同じ）, Ethernet/IPなど汎用の通信規格を用いることができる。通信データのデータ本体部分（いわゆるペイロード部）は、図２に示すように、ヘッダとデータから構成されている。ヘッダは、図５に示すように、大きく非安全関連信号と安全関連信号に分けられるが、さらに詳細な機能に区分され、送信方向すなわち外部コントローラ２から安全制御システム１への方向かその逆かが識別可能になっている。

通信データ分離装置２０は、通信装置１０からこの通信データを渡されると、受信バッファ３１に格納する。通信データ分離装置２０は、通信データのヘッダ部分から安全関連の信号か非安全関連信号かを判定し、安全関連の信号は安全機能設定信号として安全装置５０へ転送し、その他の信号は指令信号として制御装置４０へ転送する。

一方、制御装置４０や安全装置５０も外部コントローラ２からの通信データに対する応答や異常検出等の監視情報を外部コントローラ２へ向けて送信する。このとき、制御装置４０と安全装置５０は、外部コントローラ２へ送信すべき通信データを通信データ分離装置２０へ渡す。この通信データは、図２で示したペイロード部のフォーマットと同様にヘッダとデータから構成されている。
通信データ分離装置２０は、受け取った通信データを通信装置１０を経由して外部コントローラ２へ送信する。

以上のごとく、本実施の形態による安全制御システム１では、通信装置１０から渡される外部コントローラ２から送られてくる通信データ、安全装置５０から渡される通信データ、制御装置４０から渡される通信データは、全て通信データ分離装置２０で受信され、通信データ分離装置２０内の受信バッファに一旦登録される。そして、通信データ分離装置２０は、この通信データを以下に説明する手順によって優先度の高い順に転送先へ送信する。

次に、本発明の実施の形態による安全制御システム１の主要機能である通信データ分離装置２０の構成と動作を詳しく説明する。

図３は、図１の通信データ分離装置２０の機能ブロック図である。この図において、通信データ分離装置２０の演算処理部２９は、通信装置１０との間でデータの受け渡しを行う通信機能インタフェース手段２１、制御装置４０との間でデータの受け渡しを行う制御機能インタフェース手段２２、安全装置５０との間でデータの受け渡しを行う安全機能インタフェース手段２３、各手段２１〜２３から受信データを取得して受信バッファへ格納する通信データ取得手段２４、受信バッファ内の受信データの優先度を判定して、優先度順に処理順リストへ登録する優先登録手段２５、処理順リストに登録されているデータを順番に転送処理する通信データ転送手段２６を有している。各手段２１〜２６は、ＣＰＵの機能としてプログラムによって実現することができる。

次に、図４を用いて、上記の構成を有する通信データ分離装置２０の動作を説明する。
＜通信データ取得処理＞
通信機能インタフェース手段２１、制御機能インタフェース手段２２、安全機能インタフェース手段２３は、それぞれ接続先から送られてくる通信データを受信すると、割り込み信号を発生させて通信データ取得手段２４を起動する。

通信データ取得手段２４は、割り込み信号によって起動すると、割り込み発生元である手段２１〜２３のいずれかから通信データを取得して（Ｓ１０１）、これを受信バッファ３１に格納する（Ｓ１０２）。図４に、受信バッファ３１のデータ構成を示す。各手段２１〜２３から渡される通信データは、データの種別等を表すヘッダ部と、データ値を表すデータ部から構成されている。このシステム共通のデータ形式で受信バッファ３１に登録される。

ヘッダ部の例を図５に示す。図５において、たとえば、安全接続要求は外部コントローラ２から安全装置５０への接続要求、安全接続応答は安全接続要求に対する安全装置５０からの応答であることを表している。また、安全設定は、安全機能に関する種々のパラメータの設定を表わしており、外部コントローラ２から安全装置５０へ送られる安全機能設定信号であることを表している。また、速度指令は、外部コントローラ２から制御装置４０へ送られる指令信号であり、速度監視は、制御装置４０から外部コントローラ２へ送信する状態監視信号である。

図６に、通信データ取得手段２４の処理手順を示す。この処理では、通信データ取得手段２４は、割り込み信号の発生によって起動すると、割り込み発生元である手段２１〜２３のいずれかから通信データを受け取って（Ｓ１０１）、記憶部３０に設けられた受信バッファ３１へ一旦格納する（Ｓ１０２）。この受信バッファ３１は、ＦＩＦＯ型のデータリストとして機能する。

なお、受信バッファ３１内のヘッダ部は、少なくとも安全関連信号か、非安全関連信号かの区別（すなわち「種別」）と転送先が判別可能であれば足り、この情報を通信データのデータ本体部分（ペイロード部）に持たせても良いし、種別と通信データの宛先アドレスとを組み合わせてヘッダ部を生成するようにしても良い。

＜優先登録処理＞
次に図８を用いて優先登録手段２５の動作を説明する。
優先登録手段２５は、定周期あるいは通信データ取得手段２４の受信バッファ３１へのデータ保存完了後に同手段２４からの起動指令によって起動される。優先登録手段２５は起動されると、受信バッファ３１に格納されている通信データを先に登録されたものから順に抽出して、優先登録処理を実行する。この処理では、優先登録手段２５は受信バッファ３１から取得した通信データのヘッダ部分を読み取り（Ｓ２０１）、優先度管理テーブル３２を参照する。図５に優先度管理テーブル３２の構成例を示す。優先度管理テーブル３２には、予めヘッダに合わせて優先値ならびに依存値が設定されている。

図７に依存値の構成と各処理の割り当てを示す。安全・非安全、転送先の種別などの処理の種類ごとに、たとえば８ビットのビットフラグのそれぞれのビットに割り当てるとする。１ビット目は安全データの送信（安全送信）、２ビット目は安全データの受信（安全受信）などである。

優先登録手段２５は、受信バッファ３１から取得した通信データについて、優先度管理テーブル３２を参照して、通信データのヘッダに対応する優先値と依存値を抽出する（Ｓ２０２）。優先登録手段２５は、次に、変数ｉに１をセットして（Ｓ２０３）、処理順リストｉ番目（最高優先度）の通信データを変数Ａにセットする（Ｓ２０４）。
そして、優先登録手段２５は、次に述べる優先度決定計算を実行する（Ｓ２０５，Ｓ２０６）。

優先登録手段２５は、まず、変数Ａにセットされている通信データの依存値と、ステップＳ２０２で抽出した依存値を対応するビットごとにＡＮＤ演算し、その結果を変数Ｙにセットする（Ｓ２０５）。この変数Ｙのいずれかのビットが１の場合は、変数Ｘに０をセットし、変数Ｙの全てのビットが０の場合は、変数ＸにステップＳ２０２で抽出した優先値にセットする（Ｓ２０６）。なお、図８のステップＳ２０６の処理で、NOT(Y0|Y1|・・・)は、変数Ｙの各ビットのＯＲの論理否定を意味する。ステップＳ２０６の処理は、この論理否定の結果（すなわち、１か０）とステップＳ２０２で抽出した優先値との積を変数Ｘに代入することを意味している。

次に、優先登録手段２５は、変数Ｘが０か否かを判定し、０であれば変数ｉをインクリメントして（Ｓ２０９）、ステップＳ２０４へ移行して、以降の処理を繰り返す。

ステップＳ２０７で、変数Ｘが０でなければ、次に、変数Ｘの値が、変数Ａの優先値よりも大きいか否かを判定する（Ｓ２０８）。この判定の結果、変数Ｘの値が変数Ａの優先値以下ならば、変数ｉをインクリメントして（Ｓ２０９）、ステップＳ２０４へ移行して、以降の処理を繰り返す。

一方、ステップＳ２０８で、変数Ｘの値が、変数Ａの優先値よりも大きい場合は、処理順リスト３３のｉ番目に割り込み登録をする（Ｓ２１０）。具体的には、処理順リスト３３の既に登録されているｉ番目以降の通信データの順番を一つずつ繰り下げて、変数Ａの通信データを処理順リスト３３のｉ番目に登録する。

この優先度決定計算は、受信バッファ３１から取得した通信データと処理順リスト３３に登録されている通信データの依存値とを比較して同じビット位置に１がセットされている場合は、たとえ、受信バッファ３１から取得した通信データの方が優先値が高くても、処理順リストの順番は入れ替わらないということを意味する。すなわち、優先度による転送の順番の入れ替えは、転送先が異なる通信データのみについて行い、同じ転送先が含まれている場合は、優先度による順番の入れ替えはしないというものである。

これにより、動作パラメータの設定時など設定の順序が問題になるような場合でも、機能ごとにそのデータの順番を保証する一方で、システム全体としては優先度の高い処理を迅速に実行することができるという効果を奏する。

さらに、通信データ分離装置では、受信バッファを共通にすることにより、メモリ効率を上げることができ、転送先に対応して定められた依存値をテーブルで管理して、演算によって同じ転送先への順番の保証をするので、プログラムの分岐を減らして処理能力を向上させることができる。

＜通信データ転送処理＞
通信データ転送手段２６は、優先度の高い順に登録された処理順リスト３３から優先度順に通信データを抽出し、依存値によって定まる転送先へ送信する。

この処理手順を図９を用いて説明する。
通信データ転送手段２６は周期的に起動されると、処理順リスト３３に通信データが登録されているか否かを判定し（Ｓ３０１）、登録されていなければ、そのまま終了し、登録されていれば、処理順リスト３３の１番目（最高優先度）の通信データを取得する（Ｓ３０２）。そして、ヘッダ部の依存値のビットに対応した手段２１〜２３へ通信データを出力する。これにより、各手段２１〜２３は接続先へ通信データを送信することができる。

たとえば、依存値Ｙ１＝１のときは、安全機能インタフェース手段２３へ通信データを渡す。依存値Ｙ０＝１またはＹ２＝１のときは、通信機能インタフェース手段２１へ通信データを渡す。依存値Ｙ３＝１のときは、制御機能インタフェース手段２２へ通信データを渡す。
ステップＳ３０３の後、通信データ転送手段２６は、処理順リスト１番目の通信データを消去し、２番目以降の順位を順に繰り上げ（Ｓ３０４）、ステップＳ３０１へ移行して、以降の処理を繰り返す。

各インタフェース手段２１〜２３は通信データ転送手段２６から通信データを渡されると、それぞれ接続する装置１０，４０，５０へ通信データを送る。各装置１０，４０，５０ではその通信データに対応する処理を実行する。例えば、通信装置１０は通信データ分離装置２０からデータを渡されると、予め定められた通信手順によって外部コントローラ２へ通信データを送信する。制御装置４０、安全装置５０は、それぞれ指令信号、安全機能設定信号として通信データに対応する処理を実行する。

（他の実施例１）
上記の説明では、依存値のビット位置に対応して予め決められたインタフェース手段２１〜２３へ通信データを渡すようにしたが、通信データ転送手段２６は、ステップＳ３０３において、ヘッダ部の依存値から図１０に示す宛先テーブル３４を参照して転送先を判定するようにしても良い。これにより、依存値と転送先に変更が生じたときにも柔軟に対応することができる。

（他の実施例２）
安全装置５０を図１１に示すようにＣＰＵ二重化構成にして、ブリッジ回路５１を経由して、通信データを夫々のＣＰＵへ送るようにする。

一方、図１２に示すように依存値のビットＹ１＝１のときは、安全機能インタフェース手段２３はアドレス１（安全装置５０のＣＰＵ１へのアドレス）、依存値のビットＹ４＝１のときはアドレス２（安全装置５０のＣＰＵ２へのアドレス）をそれぞれ設定して、夫々の通信データを安全装置５０へ送る。安全装置５０では、アドレス１、アドレス２に対応した夫々のＣＰＵが通信データを受け取り、受け取った通信データに対応する処理を実行する。

あるいは、安全装置５０がシングルＣＰＵのときは、優先度管理テーブル３２の依存値のビットＹ４を常に０にしておくことにより、安全機能インタフェース手段２３は、一方のＣＰＵに対してのみ通信を行うのでシングルＣＰＵの安全装置５０にも容易に対応することができる。

以上、本実施の形態によれば、冗長化されたＣＰＵに対して常に同じ演算をさせる場合のほか、異なる処理をさせるような場合でも、その処理に応じたヘッダを作成し、その処理を実行する転送先のＣＰＵに対応する依存値のビットを１にすることによって、容易に機能分散を実現することもできる。

以上、本実施の形態によれば、通信データ分離装置でデータを一旦受信し、優先順位順に転送するので、メモリが節約できて効率的にデータを送受信することができる。

また、外部コントローラ２からすれば、安全制御システム１に割り付けられた一つのアドレスに対してデータのやり取りをすれば良く、安全制御システム１の安全装置５０のＣＰＵ一重化、二重化の内部構成に変更が生じた場合は、通信データ分離装置の優先度管理テーブル３２のみを変更すれば良いので、装置構成の変更に柔軟に対応することができる。

また、本実施の形態によれば、EtherCATやProfibus、Ethernet/IP等の異なるネットワーク規格に対応する場合、それぞれの規格に合わせて設計された通信装置１０と交換し、あるいはソフトウェアを入れ替えることで対応可能であり、制御装置４０や安全装置５０の保守を不要にすることができる。また、外部コントローラ２は、安全制御システム１に割り当てられた唯一のアドレスと通信を行えば良いので、効率的なアドレスの使用が可能になる。

また、優先度管理テーブル３２を使うことにより、ヘッダ数が多く複雑な場合においてもメモリアクセスを行うだけでヘッダを数値に換算することができる。このため、ヘッダごとにＣＰＵの分岐を行う必要が無く、ＣＰＵの負荷を軽減することができる。

本発明は、上記の実施の形態に限定されることなく種々変形して実施をすることができる。たとえば、安全制御システムの装置構成は、図１のように各装置を独立して設ける必要はなく、たとえば、通信データ分離装置２０と安全装置５０を一体として構築しても良い。

１ 安全制御システム
２ 外部コントローラ
３ ネットワーク
４ 電動機
１０，１０ａ，１０ｂ 通信装置
２０ 通信データ分離装置
２１ 通信機能インタフェース手段
２２ 制御機能インタフェース手段
２３ 安全機能インタフェース手段
２４ 通信データ取得手段
２５ 優先登録手段
２６ 通信データ転送手段
２９ 演算処理部
３０ 記憶部
３１ 受信バッファ
３２ 優先度管理テーブル
３３ 処理順リスト
３４ 宛先テーブル
４０ 制御装置
５０ 安全装置
５１ ブリッジ回路
６０ 電力変換器
９０ 従来の安全制御システム

Claims (2)

1. ネットワークを介して外部コントローラと通信データの送受信を行う通信装置と、該通信装置を経由して前記外部コントローラから送られてくる通信データを受信し、該通信データに基づいて電力変換器へ制御信号を出力する制御装置と、前記通信装置を経由して前記外部コントローラから送られてくる通信データを受信し、該通信データによって設定された安全機能によって前記電力変換器や前記制御装置の異常を検知して、前記電力変換器へ停止指令を出力する安全装置と、を有する安全制御システムにおいて、
   前記通信装置、前記制御装置、および前記安全装置とそれぞれ接続し、前記通信装置、前記制御装置、および前記安全装置から取得した通信データを送信先ごとに分離して転送する通信データ分離装置を具備し、
   該通信データ分離装置は、
   前記通信装置、前記制御装置、および前記安全装置から取得した通信データを登録する一の受信バッファと、
   各ビットが通信データの転送先に対応する依存値と、データの種別によって定まる優先値とを記憶する優先度管理テーブルと、
   転送処理の順番を記憶する処理順リストと、
   前記優先度管理テーブルを参照して、前記受信バッファから取得した通信データの依存値および優先値を判定すると共に、該通信データの依存値および優先値と前記処理順リストに登録されている通信データの依存値および優先値とを用いて、前記受信バッファから取得した通信データの転送処理の順位を決定して前記処理順リストに登録する優先登録手段と、
   前記処理順リストに登録されている順番に従って通信データの転送処理を実行する通信データ転送手段と、
   を備えることを特徴とする安全制御システム。
2. 前記安全装置は冗長化されたプロセッサを有し、
   前記通信データ分離装置は、冗長化されたそれぞれのプロセッサに対してビットが割り付けられた依存値を用いて転送処理を実行することを特徴とする請求項１に記載の安全制御システム。