JP6312948B2 - 制御システム及び制御ユニット - Google Patents

Description

本発明は、ＰＡ（Process Automation）分野又はＦＡ（Factory Automation）分野の設備を制御する制御システム及び制御ユニットに関する。

ＰＡ分野又はＦＡ分野の設備は、複数の機器を組み合わせて実現されることが一般的である。ＰＡ分野又はＦＡ分野の設備を構成する複数の機器は、第１の制御ユニットと、この第１の制御ユニットを代替可能な第２の制御ユニットとを備える二重化制御システムにより制御されることがある（特許文献１参照）。

特開平１０−３１３３４８号公報

特許文献１に示された二重化制御システムは、第１の制御ユニットと第２の制御ユニットとのうちの一方、機器に接続した入出力ユニットとの間で安全通信が適用される。安全通信は、送受信される信号を誤りなく送信するための通信であり、受信側において、送受信される信号が破損しているか否かを検出する。また、二重化制御システムに用いられる安全通信は、様々な通信制御方式を採用したものが存在している。

二重化制御システムは、第１の制御ユニットと第２の制御ユニットとのうちの一方と、入出力ユニットとの間で安全通信により情報を送受信する。二重化制御システムは、第１の制御ユニットと第２の制御ユニットとのうちの一方と入出力ユニットとの間で情報を送受信する前に、第１の制御ユニットと第２の制御ユニットとのうちの一方と入出力ユニットとの間のコネクションを確立する。また、二重化制御システムは、前述した一方と入出力ユニットとの間で情報を送受信する状態から、第１の制御ユニットと第２の制御ユニットとのうちの他方と入出力ユニットとの間で安全通信により情報を送受信する状態に切り替える際に、前述した一方と入出力ユニットとの間のコネクションを切断し、前述した他方と入出力ユニットとの間のコネクションを確立する必要がある。二重化制御システムは、様々な通信制御方式を採用した安全通信であってもコネクションの切り替えを行うことが求められている。

本発明は、上記に鑑みてなされたものであって、安全通信のコネクションの切り替えを行うことができる制御システムを得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、プロセスオートメーション又はファクトリーオートメーション分野の設備に設置される機器に接続した入出力ユニットに接続した第１の制御ユニットと、第１の制御ユニットを代替可能な第２の制御ユニットと、を備えた制御システムである。制御システムは、第１の制御ユニットと第２の制御ユニットとのうちの一方の制御ユニットが入出力ユニットとのコネクションを確立する。制御システムは、一方の制御ユニットの入出力ユニットとのコネクションが切断された状態になると、第１の制御ユニットと第２の制御ユニットとのうちの他方の制御ユニットと入出力ユニットとのコネクションを確立することを決定する決定層を備える。制御システムは、決定層の決定結果通りに方の制御ユニットと入出力ユニットとのコネクションを確立してから通信を行う通信層を備える。決定層は、通信層よりも制御システムの通信プロトコルの上位の階層に位置する。通信層は、安全データの誤り検出用の検出用符号と、検出用符号が生成された時刻を示すタイムスタンプとを備える安全通信用の情報を生成する。

本発明に係る制御システムは、安全通信のコネクションの切り替えを行うことができるという効果を奏する。

実施の形態１に係る制御システムの構成を示す図 実施の形態１に係る制御システムのコンピュータのハードウェア構成を示す図 実施の形態１に係る制御システムの安全アプリが生成する安全データを示す図 実施の形態１に係る制御システムの安全通信層が生成する安全通信用の情報の構成を示す図 実施の形態１に係る制御システムの安全アプリ、安全通信層及び一般アプリが生成する通信情報の構成を示す図 実施の形態１に係る制御システムの制御ユニット及び入出力ユニットのハードウェア構成を示す図 図１に示された制御システムの駆動系制御ユニットが他方の制御ユニットに切り替わった状態を示す図 図１に示された制御システムの切替イベントが発生した際に駆動系制御ユニットを切り替える過程を示すシーケンス図 図１に示された制御システムの一方の制御ユニットが故障した際に駆動系制御ユニットを切り替える過程を示すシーケンス図 実施の形態２に係る制御システムの構成を示す図 実施の形態２に係る制御システムの安全アプリ、安全通信層及び一般アプリが生成する通信情報の構成を示す図 図１０に示された制御システムの駆動系制御ユニットが他方の制御ユニットに切り替わった状態を示す図 図１０に示された制御システムの切替イベントが発生した際に駆動系制御ユニットを切り替える過程を示すシーケンス図 図１０に示された制御システムの一方の制御ユニットが故障した際に駆動系制御ユニットを切り替える過程を示すシーケンス図

以下に、本発明の実施の形態に係る制御システム及び制御装置を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、実施の形態１に係る制御システムの構成を示す図である。制御システム１は、ＰＡ分野又はＦＡ分野の設備を構成するものであり、設備に設置される図１に示す複数の機器２，３を制御するものである。実施の形態１において、機器２，３は、センサ又は駆動機器である。センサとしては、設備に設置される流量、圧力、濃度、又は温度を検出するセンサが挙げられる。駆動機器としては、設備に設置されるスイッチ、調整弁、電磁弁、モータ、又はポンプである動作を実行する駆動機器が挙げられる。実施の形態１において、制御システム１は、二つの機器２，３を備えるが、制御システム１が備える機器は二つに限定されない。また、実施の形態１において、機器２は、センサであり、機器３は、駆動機器である。

制御システム１は、図１に示すように、機器２，３に接続した複数の入出力ユニット４と、入出力ユニット４に接続した複数の制御ユニット５とを備える。制御ユニット５は、コンピュータ６により作成された制御プログラムを受信し、受信した制御プログラムを実行することにより、入出力ユニット４を介して機器２，３を制御する。

図２は、実施の形態１に係る制御システムのコンピュータのハードウェア構成を示す図である。実施の形態１に係るコンピュータ６は、コンピュータプログラムを実行するものであって、図２に示すように、ＣＰＵ（Central Processing Unit）６１と、ＲＡＭ（Random Access Memory）６２と、ＲＯＭ（Read Only Memory）６３と、記憶装置６４と、入力装置６５と、表示装置６６と、通信インタフェース６７と、を含む。ＣＰＵ６１、ＲＡＭ６２、ＲＯＭ６３、記憶装置６４、入力装置６５、表示装置６６及び通信インタフェース６７は、内部バスＢ６を介して相互に接続されている。

ＣＰＵ６１は、ＲＡＭ６２を作業領域として使用しながら、ＲＯＭ６３及び記憶装置６４に記憶されているプログラムを実行する。ＲＯＭ６３に記憶されているプログラムは、ＢＩＯＳ（Basic Input/Output System）又はＵＥＦＩ（Unified Extensible Firmware Interface）であるが、ＲＯＭ６３に記憶されているプログラムは、ＢＩＯＳ又はＵＥＦＩに限定されない。実施の形態１において、記憶装置６４に記憶されているプログラムは、オペレーティングシステムプログラム及びエンジニアリングツールプログラムであるが、記憶装置６４に記憶されているプログラムは、オペレーティングシステムプログラム及びエンジニアリングツールプログラムに限定されない。実施の形態１において、記憶装置６４は、ＳＳＤ（Solid State Drive）又はＨＤＤ（Hard Disk Drive）であるが、記憶装置６４は、ＳＳＤ又はＨＤＤに限定されない。

入力装置６５は、ユーザからの操作入力を受け付ける。実施の形態１において、入力装置６５は、キーボード又はマウスであるが、キーボード又はマウスに限定されない。表示装置６６は、文字及び画像を表示する。実施の形態１において、表示装置６６は、液晶表示装置であるが、液晶表示装置に限定されない。通信インタフェース６７は、ネットワークＮに接続し、ネットワークＮを介して制御ユニット５と通信を行う。ネットワークＮは、コンピュータ６、複数の入出力ユニット４、及び複数の制御ユニット５を相互に通信可能に接続するコンピュータネットワークである。実施の形態１において、ネットワークＮは、ＰＡ設備又はＦＡ設備に設置されるＬＡＮ（Local Area Network）であるが、通信用のバスでも良い。

入出力ユニット４は、ネットワークＮに接続している。実施の形態１において、入出力ユニット４は、二つ設けられるが、二つに限定されない。二つの入出力ユニット４は、それぞれ、機器２，３に接続している。実施の形態１において、入出力ユニット４は、それぞれ、一つの機器２，３に接続しているが、これに限定されない。入出力ユニット４のうちセンサである機器２に接続した入出力ユニット４は、機器２の検出結果を受信し、受信した検出結果を記憶する。入出力ユニット４のうち駆動機器である機器３に接続した入出力ユニット４は、制御ユニット５が送信する機器３の制御信号を受信し、記憶する。駆動機器である機器３に接続した入出力ユニット４は、記憶した制御信号を機器３に送信する。

実施の形態１において、二つの入出力ユニット４のうち一方の入出力ユニット４（以下、符号４Ｉで示す）は、センサである機器２に接続する所謂入力ユニットとして動作する。他方の入出力ユニット４（以下、符号４Ｏで示す）は、駆動機器である機器３に接続する所謂出力ユニットとして動作する。また、本明細書は、二つの入出力ユニット４同士を区別する場合に、符号４Ｉ又は符号４Ｏを付して説明し、特に区別しない場合に、符号４を付して説明する。

制御ユニット５は、ネットワークＮに接続している。実施の形態１において、制御ユニット５は、二つ設けられ、ネットワークＮを介して互いに接続される。二つの制御ユニット５は、トラッキングケーブル７により互いに接続されて、互いに冗長化されたものである。制御ユニット５は、コンピュータ６から受信した制御プログラムを実行することにより、機器２，３を制御するプログラマブルコントローラ（Programmable Logic Controllers（ＰＬＣ））のＣＰＵユニットとして動作する。プログラマブルコントローラは、ＪＩＳ（日本工業規格） Ｂ ３５０２：２０１１により規定されたものである。

二つの制御ユニット５は、それぞれ、ネットワークＮを介して二つの入出力ユニット４の双方に接続している。実施の形態１において、二つの制御ユニット５のうちの一方の制御ユニット５は、第１の制御ユニットであり、入出力ユニット４Ｉが記憶した機器２の検出結果を含む情報を取得し、他方の入出力ユニット４Ｏに機器３の制御信号を含む情報を送信する。二つの制御ユニット５のうちの他方の制御ユニット５は、第２の制御ユニットであり、一方の制御ユニット５が機器２の情報を取得するとともに機器３の動作を制御している間、待機状態を維持する。実施の形態１において、待機状態とは、省電力の所謂待機電源モードであり、ＡＣＰＩ（Advanced Configuration and Power Interface）により規定されたＳ１、Ｓ２、Ｓ３、Ｓ４の何れかの状態、又は、ＡＣＰＩにより規定されたＳ１、Ｓ２、Ｓ３、Ｓ４の何れかに相当する状態をいう。待機状態は、待機電源モードに限定されない。また、待機電源モードは、ＡＣＰＩに規定されたものに限定されない。

一方の制御ユニット５は、機器２，３の情報を取得しかつ機器２，３を制御する、駆動系制御ユニットとして動作する。他方の制御ユニット５は、待機状態を維持する待機系制御ユニットとして動作する。実施の形態１において、待機系制御ユニットは、駆動系制御ユニットの電源オフ時、駆動系制御ユニットを初期状態に戻すリセット時、駆動系制御ユニットの故障時、駆動系制御ユニットの処理を中断又は停止させるエラー時、又はコンピュータ６からの切替要求を示す信号を受信した時に、駆動系制御ユニットに切り替わる。待機系制御ユニットは、駆動系制御ユニットに切り替わると、いままで駆動系制御ユニットとして動作していたものに代わり、機器２の情報を取得しかつ機器３の動作を制御する。即ち、待機系制御ユニットは、駆動系制御ユニットを代替可能なものである。なお、駆動系制御ユニットとして動作してしたものは、電源オフからの再起動時、リセットされた以降、故障からの復旧時、エラーからの復旧時、又は、コンピュータ６からの切替要求を示す信号を受信した時に、待機系制御ユニットに切り替わる。即ち、待機系制御ユニットとして動作している他方の制御ユニット５は、駆動系制御ユニットとして動作している一方の制御ユニット５を代替可能である。

実施の形態１において、二つの制御ユニット５同士を区別する場合は、駆動系制御ユニットとして動作している一方の制御ユニット５を符号「５Ｄ」で示し、待機系制御ユニットとして動作している他方の制御ユニット５を符号「５Ｗ」で示す。駆動系制御ユニットと待機系制御ユニットとを区別しない場合は、制御ユニット５を単に符号「５」で示す。

実施の形態１において、二つの制御ユニット５は、構成が同一である。また、実施の形態１は、二つの制御ユニット５と二つの入出力ユニット４との構成が同等であるので、同一部分には同一符号を付して説明する。さらに、実施の形態１において、制御ユニット５及び入出力ユニット４の各構成部分において、駆動系制御ユニットとして動作している一方の制御ユニット５Ｄのものと特定できる構成部分は、符号「Ｄ」を付して説明し、待機系制御ユニットとして動作している他方の制御ユニット５Ｗのものと特定できる構成部分は、符号「Ｗ」を付して説明し、入出力ユニット４Ｉのものと特定できる構成部分は、符号「Ｉ」を付して説明し、入出力ユニット４Ｏのものと特定できる構成部分は、符号「Ｏ」を付して説明する。また、実施の形態１において、制御ユニット５及び入出力ユニット４の各構成部分において、特定できない構成部分は、符号「Ｄ」、符号「Ｗ」、符号「Ｉ」及び符号「Ｏ」を付さずに説明する。

制御ユニット５及び入出力ユニット４は、図１に示すように、設備に設置される非常停止スイッチ８が操作されると少なくとも一つの入出力ユニット４を停止させる安全アプリケーションソフトウェア（以下、単に、安全アプリと記載する）１１と、自ユニット以外のユニットと安全通信を行う接続手段である安全通信層１２と、一般アプリケーションソフトウェア（以下、単に、一般アプリと記載する）１３と、ネットワーク層１４とを備える。実施の形態１において、非常停止スイッチ８は、ネットワークＮに接続している。

図３は、実施の形態１に係る制御システムの安全アプリが生成する安全データを示す図である。安全アプリ１１は、機器２，３を停止するか否かを示す図３に示す安全データＳＤを生成する、又は、自ユニット以外の安全アプリ１１が生成した安全データＳＤを受信する。

駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全アプリ１１Ｄは、ネットワークＮを介して非常停止スイッチ８が操作された情報を受信すると、複数の入出力ユニット４に接続された機器２，３のうちの非常停止させる機器２，３を抽出する。駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全アプリ１１Ｄは、抽出した非常停止させる機器２，３に接続した入出力ユニット４に機器２，３を停止させる安全データＳＤを生成し、生成した安全データＳＤを送信して、抽出した機器２，３を非常停止させる。

入出力ユニット４Ｉの安全アプリ１１Ｉは、センサである機器２の検出結果に基づいて機器２が故障したか否かを判定し、機器２が故障したか否かを示す情報である安全データＳＤを生成する。駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全アプリ１１Ｄは、ネットワークＮを介して入出力ユニット４Ｉの安全アプリ１１Ｉが生成した安全データＳＤを取得する。

駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全アプリ１１Ｄは、入出力ユニット４Ｉの安全アプリ１１Ｉが生成した安全データＳＤが機器２が故障していることを示す場合、複数の入出力ユニット４に接続された機器２，３のうちの非常停止させる機器２，３を抽出する。駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全アプリ１１Ｄは、抽出した非常停止させる機器２，３に接続した入出力ユニット４に機器２，３を停止させるための安全データＳＤを生成し、生成した安全データＳＤを送信して、抽出した機器２，３を非常停止させる。また、駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全アプリ１１Ｄは、非常停止スイッチ８が操作された情報を受信していなく、かつ入出力ユニット４Ｉの安全アプリ１１Ｉが生成した安全データＳＤが機器２が正常であることを示す場合、制御システム１が正常であることを示す安全データＳＤを生成し、生成した安全データＳＤを入出力ユニット４Ｏに送信する。

入出力ユニット４Ｏの安全アプリ１１Ｏは、駆動系制御ユニットとして動作する一方の制御ユニット５Ｄから受信した安全データＳＤに基づいて、機器３を停止するか否かを判定し、制御ユニット５Ｄから受信した安全データＳＤが機器３を非常停止させる情報である場合、機器３を非常停止する。入出力ユニット４Ｏの安全アプリ１１Ｏは、制御ユニット５Ｄから受信した安全データＳＤが制御システム１が正常であることを示す場合、機器３を継続して動作させる。

図４は、実施の形態１に係る制御システムの安全通信層が生成する安全通信用の情報の構成を示す図である。図５は、実施の形態１に係る制御システムの安全アプリ、安全通信層及び一般アプリが生成する通信情報の構成を示す図である。安全通信層１２が行う安全通信は、駆動系制御ユニットとして動作する一方の制御ユニット５Ｄと、入出力ユニット４Ｉ，４Ｏとの間で送受信される情報が、偶発的な誤りが生じることなく送受信されているか否かを検出するものである。

実施の形態１において、安全通信層１２は、図４に示す安全通信用の情報ＳＩを生成する。安全通信層１２が生成する安全通信用の情報ＳＩは、図４に示すように、安全データＳＤの誤り検出用の検出用符号ＤＳと、検出用符号ＤＳが生成された時刻を示すタイムスタンプＴＳとを備える。検出用符号ＤＳは、安全データＳＤに偶発的な誤りが生じているか否かを検出するためのものである。検出用符号ＤＳは、制御ユニット５と入出力ユニット４とのうちの情報を受信したものにより安全データＳＤに偶発的な誤りが生じているか否かが検出される。実施の形態１において、検出用符号ＤＳは、巡回冗長検査（Cyclic Redundancy Check：ＣＲＣ）を用いるが、ＣＲＣに限定されない。また、安全通信層１２は、受信した安全通信用の情報ＳＩに基づいて、安全データＳＤに偶発的な誤りが生じていないことを検出すると、機器２，３を継続して動作させ、安全データＳＤに偶発的な誤りが生じていることを検出すると、機器２，３を非常停止させる。

センサである機器２に接続した入出力ユニット４Ｉの一般アプリ１３Ｉは、センサである機器２から検出結果を取得し、図５に示す情報ＤＩを生成する。図５に示す情報ＤＩは、機器２の検出結果を示す情報である。駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの一般アプリ１３Ｄは、図５に示す情報ＣＩを生成する。図５に示す情報ＣＩは、駆動機器である機器３の制御信号を示す情報である。

前述した構成の制御ユニット５及び入出力ユニット４が互いに通信する通信情報ＴＩは、図５に示すように、安全データＳＤの下位の階層に安全通信用の情報ＳＩを配置し、安全通信用の情報ＳＩの下位の階層に情報ＤＩ，ＣＩを配置する。このように、制御システム１の制御ユニット５と入出力ユニット４との間の通信プロトコルにおいて、安全アプリ１１が生成する安全データＳＤは、安全通信層１２が生成する安全通信用の情報ＳＩよりも通信プロトコルの上位の階層に位置する。即ち、安全アプリ１１が生成する安全データＳＤは、安全通信層１２が生成する安全通信用の情報ＳＩと通信プロトコルの異なる階層に位置する。実施の形態１において、図５に示す通信情報ＴＩのうちの安全データＳＤ、安全通信用の情報ＳＩ及び情報ＤＩ，ＣＩの階層は、予め定められた階層である。図５に示す通信情報ＴＩのうちの安全データＳＤ、安全通信用の情報ＳＩ及び情報ＤＩ，ＣＩの各階層におけるアドレスは、予め定められたアドレスである。なお、本明細書でいう通信プロトコルの階層は、制御ユニット５と入出力ユニット４との間の情報を送受信する通信における階層と、各制御ユニット５と入出力ユニット４において実行される処理の階層とを総称するものである。ネットワーク層１４は、図５に示す通信情報ＴＩを送受信するものである。

また、実施の形態１に係る制御システム１は、二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄが、通信情報ＴＩを送受信する前に、入出力ユニット４とのコネクションを確立する。コネクションを確立するとは、ネットワークＮにより接続した制御ユニット５と入出力ユニット４とが、互いに情報を送受信可能となる状態を確立することである。即ち、コネクションを確立するとは、ネットワークＮを介して、制御ユニット５と入出力ユニット４との相互間の通信用の回線を確保することである。

制御ユニット５は、入出力ユニット４とのコネクションを確立するか否かを決定する決定手段である決定層１５を備える。決定層１５は、安全通信層１２よりも制御システム１及び制御ユニット５の通信プロトコルの上位の階層に位置する。即ち、決定層１５は、安全通信層１２と、制御システム１及び制御ユニット５の通信プロトコルの異なる階層に位置する。二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの決定層１５Ｄは、入出力ユニット４とのコネクションを確立することを決定する。二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全通信層１２Ｄは、決定層１５Ｄの決定結果通りに入出力ユニット４とのコネクションを確立する。

一方の制御ユニット５Ｄの安全通信層１２Ｄは、コネクションを確立する際に、入出力ユニット４の安全通信層１２との間で、安全通信の確立要求情報の送受信と応答情報の送受信とを実行する。一方の制御ユニット５Ｄの安全通信層１２Ｄは、入出力ユニット４の安全通信層１２との間で、ネットワークパラメータ確認要求情報の送受信と応答情報の送受信とを実行し、パラメータを格納し、保持する。

一方の制御ユニット５Ｄの安全通信層１２Ｄは、入出力ユニット４の安全通信層１２との間で、安全局パラメータ照合要求情報の送受信と応答情報の送受信とを実行し、パラメータの正当性を確認する。一方の制御ユニット５Ｄの安全通信層１２Ｄは、入出力ユニット４の安全通信層１２との間で、オプションに関係する情報の送受信と応答情報の送受信とを実行する。一方の制御ユニット５Ｄの安全通信層１２Ｄは、入出力ユニット４の安全通信層１２との間で、オフセット計測情報の送受信と応答情報の送受信とを実行する。一方の制御ユニット５Ｄの安全通信層１２Ｄは、入出力ユニット４の安全通信層１２との間で、オフセット生成要求情報の送受信と応答情報の送受信とを実行する。

二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの決定層１５Ｄは、入出力ユニット４との間で通信情報ＴＩを送受信する前にコネクションを確立することを決定する。二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全通信層１２Ｄは、入出力ユニット４との間で通信情報ＴＩを送受信する前に決定層１５Ｄの決定結果通りにコネクションを確立する。

二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄが入出力ユニット４とコネクションを確立した後、入出力ユニット４Ｉは、外部から図示しない同期信号を受信すると、図５に示す情報ＤＩを含む通信情報ＴＩを生成し、記憶する。駆動系制御ユニットとして動作する一方の制御ユニット５Ｄは、同期信号を受信すると、入出力ユニット４Ｉから通信情報ＴＩを取得し、記憶する。

駆動系制御ユニットとして動作する一方の制御ユニット５Ｄは、同期信号を受信すると、入出力ユニット４Ｉから通信情報ＴＩを取得するとともに、図５に示す情報ＣＩを含む通信情報ＴＩを生成し、入出力ユニット４Ｏに送信する。入出力ユニット４Ｏは、情報ＣＩを含む通信情報ＴＩを記憶する。実施の形態１において、制御ユニット５Ｄが、入出力ユニット４Ｉから情報ＤＩを含む通信情報ＴＩを取得し、情報ＣＩを含む通信情報ＴＩを入出力ユニット４Ｏに送信することは、制御ユニット５Ｄが入出力ユニット４Ｉ，４Ｏとの間で通信情報ＴＩを送受信することを示す。

また、制御システム１は、二つの制御ユニット５のうちの駆動系制御ユニットとして動作する一方の制御ユニット５Ｄと待機系制御ユニットとして動作する他方の制御ユニット５Ｗとが、トラッキングケーブル７を介して、同値化ための信号と相互監視のための信号とを送受信する。同値化のための信号は、待機系制御ユニットが、いままで駆動系制御ユニットとしていたものに代わり駆動系制御ユニットに切り替わる際に、過不足なく入出力ユニット４Ｉから通信情報ＴＩを取得でき、入出力ユニット４Ｏに通信情報ＴＩを送信できることを可能とするための信号である。相互監視のための信号は、故障が発生することなく互いに動作しているか否かを監視するための信号である。

また、一方の制御ユニット５Ｄが駆動系制御ユニットとして動作して入出力ユニット４とのコネクションを確立している際中に、一方の制御ユニット５Ｄの入出力ユニット４とのコネクションが切断された状態になると、二つの制御ユニット５のうちの待機系制御ユニットとして動作する他方の制御ユニット５Ｗの決定層１５Ｗは、入出力ユニット４とのコネクションを確立することを決定する。二つの制御ユニット５のうちの待機系制御ユニットとして動作する他方の制御ユニット５Ｗの安全通信層１２Ｗは、決定層１５の決定結果通りに他方の制御ユニット５Ｗと入出力ユニット４とのコネクションを確立する。待機系制御ユニットとして動作する他方の制御ユニット５Ｗは、安全通信層１２Ｗが一方の制御ユニット５Ｄと同様にコネクションを確立する。他方の制御ユニット５Ｗは、安全通信層１２Ｗがコネクションを確立した後、入出力ユニット４と通信情報ＴＩを送受信して、以後、駆動系制御ユニットとして動作する。

図６は、実施の形態１に係る制御システムの制御ユニット及び入出力ユニットのハードウェア構成を示す図である。制御システム１の制御ユニット５及び入出力ユニット４は、図６に示すように、コンピュータプログラムを記憶するＭＰＵ（Micro-Processing Unit）９１と、情報を記憶可能な共有メモリ９２と、他のユニットと通信可能な通信用回路９３と、ネットワークＮに接続した通信インタフェース９４とを備える。通信用回路９３は、通信インタフェース９４に接続している。ＭＰＵ９１と共有メモリ９２と通信用回路９３とは、内部バスＢ９を介して接続している。

制御ユニット５及び入出力ユニット４は、図６に示すように、入出力インタフェース９５と、入出力インタフェース９５に接続したコンバータ９６とを備える。制御ユニット５Ｄ，５Ｗの入出力インタフェース９５Ｄ，９５Ｗは、トラッキングケーブル７を介して互いに接続している。入出力ユニット４Ｉの入出力インタフェース９５Ｉは、機器２に接続し、入出力ユニット４Ｏの入出力インタフェース９５Ｏは、機器３に接続している。

安全アプリ１１、決定層１５、安全通信層１２、一般アプリ１３及びネットワーク層１４の機能は、ＭＰＵ９１が記憶したコンピュータプログラムを実行することにより実現される。コンピュータプログラムは、コンピュータにより読み出し可能なコンピュータプログラムであって、ソフトウェア、ファームウェア、又はソフトウェアとファームウェアとの組み合わせにより実現される。

共有メモリ９２は、データを記憶可能な記憶領域を備える。入出力ユニット４の共有メモリ９２は、制御ユニット５双方のＭＰＵ９１がアクセス可能である。共有メモリ９２は、不揮発性の半導体メモリ、又は揮発性の半導体メモリにより構成される。不揮発性の半導体メモリ、又は揮発性の半導体メモリとして、ＲＡＭ、ＲＯＭ、フラッシュメモリ、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、又は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）を用いることができる。また、共有メモリ９２は、磁気ディスク、光ディスク、及び光磁気ディスクのうちの少なくとも一つにより構成されても良い。

入出力ユニット４Ｉの共有メモリ９２Ｉは、入出力ユニット４ＩのＭＰＵ９１Ｉにより情報ＤＩを含む通信情報ＴＩが書き込まれる。入出力ユニット４Ｉの共有メモリ９２Ｉは、駆動系制御ユニットとして動作する一方の制御ユニット５ＤのＭＰＵ９１Ｄにより通信情報ＴＩが取得され、通信情報ＴＩが取得されるとＭＰＵ９１Ｄにより通信情報ＴＩを記憶している記憶領域がクリアされて情報を記憶していない空きの状態となる。駆動系制御ユニットとして動作する一方の制御ユニット５ＤのＭＰＵ９１Ｄは、取得した通信情報ＴＩを共有メモリ９２Ｄに書き込む。駆動系制御ユニットとして動作する一方の制御ユニット５ＤのＭＰＵ９１Ｄは、情報ＣＩを含む通信情報ＴＩを生成し、生成した通信情報ＴＩを入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む。入出力ユニット４Ｏの共有メモリ９２Ｏは、ＭＰＵ９１Ｏにより通信情報ＴＩが取得され、通信情報ＴＩが取得されるとＭＰＵ９１Ｏにより通信情報ＴＩを記憶している記憶領域がクリアされて情報を記憶していない空きの状態となる。入出力ユニット４ＯのＭＰＵ９１Ｏは、共有メモリ９２Ｏから取得した通信情報ＴＩを機器３に送信し、機器３の動作を制御する。

通信用回路９３は、単一回路、複合回路、プログラム化したプロセッサー、並列プログラム化したプロセッサー、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）又はこれらの二以上を組み合わせて実現される。

入出力ユニット４のコンバータ９６は、ＭＰＵ９１と機器２，３とが互いに送受信する信号のうちアナログ信号をデジタル信号に変換するＡ／Ｄ（Analog/Digital）コンバータ、デジタル信号をアナログ信号に変換するＤ／Ａ（Digital/Analog）コンバータ、又は、デジタルＩ／Ｏ（Input/Output）により実現される。制御ユニット５のコンバータ９６は、デジタルＩ／Ｏにより実現される。

次に、実施の形態１に係る制御システムの駆動系制御ユニットが第１の制御ユニットから第２の制御ユニットに切り替わる過程を図面に基づいて説明する。図７は、図１に示された制御システムの駆動系制御ユニットが他方の制御ユニットに切り替わった状態を示す図である。図８は、図１に示された制御システムの切替イベントが発生した際に駆動系制御ユニットを切り替える過程を示すシーケンス図である。図９は、図１に示された制御システムの一方の制御ユニットが故障した際に駆動系制御ユニットを切り替える過程を示すシーケンス図である。

制御システム１は、図１に実線で示すように、駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全通信層１２Ｄと、入出力ユニット４Ｉ，４Ｏの安全通信層１２Ｉ，１２Ｏとのコネクションを確立している。一方の制御ユニット５Ｄが、図１に示す点線、図８及び図９に示すように、機器３に接続した入出力ユニット４Ｏに通信情報ＴＩを送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ１）。さらに、一方の制御ユニット５Ｄが、図１に示す点線、図８及び図９に示すように、機器２に接続した入出力ユニット４Ｉから通信情報ＴＩを取得する（ステップＳＴ２）。

制御システム１は、一方の制御ユニット５Ｄがコンピュータ６から切替要求を示す信号を受信して、切替イベントを発生する。制御システム１は、図８に示すように、一方の制御ユニット５Ｄが、切替要求を示す信号を受信すると、他方の制御ユニット５Ｗに切替通知を送信する（ステップＳＴ３）。すると、一方の制御ユニット５Ｄは、入出力ユニット４Ｉ，４Ｏとのコネクションを切断し、他方の制御ユニット５Ｗは、図８に示すように、入出力ユニット４Ｉ，４Ｏとのコネクションを確立する（ステップＳＴ４）。

制御システム１は、図７に実線で示すように、他方の制御ユニット５Ｗの安全通信層１２Ｗと入出力ユニット４Ｉ，４Ｏの安全通信層１２Ｉ，１２Ｏとのコネクションを確立する。他方の制御ユニット５Ｗは、図７に示す点線及び図８に示すように、機器３に接続した入出力ユニット４Ｏに通信情報ＴＩを送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ５）。さらに、他方の制御ユニット５Ｗは、図１に示す点線及び図９に示すように、機器２に接続した入出力ユニット４Ｉから通信情報ＴＩを取得する（ステップＳＴ６）。

また、制御システム１は、一方の制御ユニット５Ｄが通信情報ＴＩを送受信している間、即ち、一方の制御ユニット５Ｄの安全通信層１２Ｄと入出力ユニット４Ｉ，４Ｏの安全通信層１２Ｉ，１２Ｏとがコネクションを確立している間に、二つの制御ユニット５が、図９に示すように、トラッキングケーブル７を介して互いに監視している（ステップＳＴ１０）。制御システム１は、他方の制御ユニット５Ｗが一方の制御ユニット５Ｄの故障を検知する（ステップＳＴ１１）と、他方の制御ユニット５Ｗが、図９に示すように、入出力ユニット４Ｉ，４Ｏとのコネクションを確立する（ステップＳＴ１２）。

そして、制御システム１は、他方の制御ユニット５Ｗがコネクションを確立すると、図９に示すように、他方の制御ユニット５Ｗが機器３に接続した入出力ユニット４Ｏに通信情報ＴＩを送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ１３）。さらに、他方の制御ユニット５Ｗが、図９に示すように、機器２に接続した入出力ユニット４Ｉから通信情報ＴＩを取得する（ステップＳＴ１４）。

実施の形態１に係る制御システム１によれば、二つの制御ユニット５のうちの駆動系制御ユニットとして動作している一方の制御ユニット５Ｄのコネクションが切断された状態になると、待機系制御ユニットとして動作する他方の制御ユニット５Ｗが、入出力ユニット４Ｉ，４Ｏとのコネクションを確立することを決定する決定手段である決定層１５Ｗを安全通信層１２Ｗとは別に備える。このために、制御システム１及び制御ユニット５は、コネクションを確立する安全通信層１２に加えて決定層１５を備えるので、決定層１５が様々な通信制御方式を採用した安全通信を行う安全通信層１２に対応することができる。その結果、制御システム１及び制御ユニット５は、様々な通信制御方式を採用した安全通信のコネクションの切り替えを容易に行うことができる。

また、実施の形態１に係る制御システム１及び制御ユニット５によれば、決定層１５が安全通信層１２よりも通信プロトコルの上位の階層に位置するので、決定層１５が様々な通信制御方式を採用した安全通信を行う安全通信層１２に対応することができる。その結果、制御システム１は、様々な通信制御方式を採用した安全通信のコネクションの切り替えを容易に行うことができる。

実施の形態２．
次に、本発明の実施の形態２に係る制御システム１を図面に基づいて説明する。図１０は、実施の形態２に係る制御システムの構成を示す図である。図１１は、実施の形態２に係る制御システムの安全アプリ、安全通信層及び一般アプリが生成する通信情報の構成を示す図である。図１２は、図１０に示された制御システムの駆動系制御ユニットが他方の制御ユニットに切り替わった状態を示す図である。図１３は、図１０に示された制御システムの切替イベントが発生した際に駆動系制御ユニットを切り替える過程を示すシーケンス図である。図１４は、図１０に示された制御システムの一方の制御ユニットが故障した際に駆動系制御ユニットを切り替える過程を示すシーケンス図である。なお、図１０から図１４において、実施の形態１と同一部分には、同一符号を付して説明を省略する。

実施の形態２に係る制御システム１−２は、実施の形態１に係る制御システム１と構成が等しい。実施の形態２に係る制御システム１−２は、図１０に実線で示すように、駆動系制御ユニットとして動作する一方の制御ユニット５Ｄの安全通信層１２Ｄが入出力ユニット４Ｉ，４Ｏの安全通信層１２Ｉ，１２Ｏとのコネクションを確立するとともに、待機系制御ユニットとして動作する他方の制御ユニット５Ｗの安全通信層１２Ｗが入出力ユニット４Ｉ，４Ｏの安全通信層１２Ｉ，１２Ｏとのコネクションを確立する。即ち、制御システム１−２は、決定層１５Ｄ，１５Ｗの双方が、制御ユニット５Ｄ，５Ｗの双方と入出力ユニット４Ｉ，４Ｏとのコネクションを確立することを決定する。制御システム１−２は、安全通信層１２Ｄ，１２Ｗの双方が、決定層１５Ｄ，１５Ｗの決定結果通りに制御ユニット５Ｄ，５Ｗの双方と入出力ユニット４Ｉ，４Ｏとのコネクションを確立する。

実施の形態２に係る制御システム１−２は、駆動系制御ユニットとして動作する一方の制御ユニット５Ｄが通信情報ＴＩを入出力ユニット４Ｉから取得し、通信情報ＴＩを入出力ユニット４Ｏに送信する。また、実施の形態２に係る制御システム１−２は、待機系制御ユニットとして動作する他方の制御ユニット５Ｗが図１１に示すテスト用の情報ＴＩ−２を入出力ユニット４Ｉから取得し、テスト用の情報ＴＩ−２を入出力ユニット４Ｏに送信する。テスト用の情報ＴＩ−２は、待機系制御ユニットとして動作する他方の制御ユニット５Ｗと入出力ユニット４Ｉ，４Ｏとの間で安全通信を行うための情報である。実施の形態２において、テスト用の情報ＴＩ−２は、実施の形態１に係る通信情報ＴＩの情報ＤＩ，ＣＩの代わりにダミーの情報ＤＭを備えるものである。

制御システム１−２は、一方の制御ユニット５Ｄが、図１０に示す点線、図１３及び図１４に示すように、入出力ユニット４Ｏに通信情報ＴＩを送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ１）。さらに、一方の制御ユニット５Ｄが、図１０に示す点線、図１３及び図１４に示すように、入出力ユニット４Ｉから通信情報ＴＩを取得する（ステップＳＴ２）。

さらに、制御システム１−２は、他方の制御ユニット５Ｗが、図１３及び図１４に示すように、入出力ユニット４Ｏにテスト用の情報ＴＩ−２を送信して、入出力ユニット４Ｏの共有メモリ９２に書き込む（ステップＳＴ１−２）。さらに、他方の制御ユニット５Ｗが、図１３及び図１４に示すように、入出力ユニット４Ｉからテスト用の情報ＴＩ−２を取得する（ステップＳＴ２−２）。

制御システム１−２は、一方の制御ユニット５Ｄがコンピュータ６から切替要求を示す信号を受信して、切替イベントを発生する。制御システム１−２は、一方の制御ユニット５Ｄがコンピュータ６から切替要求を示す信号を受信すると、図１３に示すように、一方の制御ユニット５Ｄが他方の制御ユニット５Ｗに切替通知を送信する（ステップＳＴ３）。すると、他方の制御ユニット５Ｗは、図１２に示す点線及び図１３に示すように、入出力ユニット４Ｏに通信情報ＴＩを送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ５）。さらに、他方の制御ユニット５Ｗは、図１２に示す点線及び図１３に示すように、入出力ユニット４Ｉから通信情報ＴＩを取得する（ステップＳＴ６）。

さらに、制御システム１−２は、一方の制御ユニット５Ｄが、図１３に示すように、入出力ユニット４Ｏにテスト用の情報ＴＩ−２を送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ５−２）。さらに、一方の制御ユニット５Ｄは、図１３に示すように、入出力ユニット４Ｉからテスト用の情報ＴＩ−２を取得する（ステップＳＴ６−２）。

また、制御システム１−２は、一方の制御ユニット５Ｄが通信情報ＴＩを送受信し、他方の制御ユニット５Ｗがテスト用の情報ＴＩ−２を送受信している間に、二つの制御ユニット５が、図１４に示すように、トラッキングケーブル７を介して互いに監視している（ステップＳＴ１０）。制御システム１−２は、他方の制御ユニット５Ｗが一方の制御ユニット５Ｄの故障を検知することがある（ステップＳＴ１１）。制御システム１−２は、他方の制御ユニット５Ｗが一方の制御ユニット５Ｄの故障を検知する（ステップＳＴ１１）と、一方の制御ユニット５Ｄの入出力ユニット４Ｉ，４Ｏとのコネクションが切断された状態になる。制御システム１−２は、他方の制御ユニット５Ｗが、入出力ユニット４Ｉ，４Ｏとのコネクションを用いて、図１４に示すように、入出力ユニット４Ｏに通信情報ＴＩを送信して、入出力ユニット４Ｏの共有メモリ９２Ｏに書き込む（ステップＳＴ１３）。さらに、他方の制御ユニット５Ｗは、入出力ユニット４Ｉ，４Ｏとのコネクションを用いて、図１４に示すように、入出力ユニット４Ｉから通信情報ＴＩを取得する（ステップＳＴ１４）。

実施の形態２に係る制御システム１−２によれば、実施の形態１と同様に、決定層１５を安全通信層１２とは別に備えるので、様々な通信制御方式を採用した安全通信のコネクションの切り替えを容易に行うことができる。

また、実施の形態２に係る制御システム１−２によれば、実施の形態１と同様に、決定層１５が安全通信層１２よりも通信プロトコルの上位の階層に位置するので、様々な通信制御方式を採用した安全通信のコネクションの切り替えを容易に行うことができる。

また、実施の形態２に係る制御システム１−２によれば、二つの制御ユニット５Ｄ，５Ｗの双方の決定層１５Ｄ，１５Ｗが、入出力ユニット４Ｉ，４Ｏとのコネクションを確立することを決定し、二つの制御ユニット５Ｄ，５Ｗの双方の安全通信層１２Ｄ，１２Ｗが、入出力ユニット４Ｉ，４Ｏの安全通信層１２Ｉ，１２Ｏとのコネクションを確立する。このために、実施の形態２に係る制御システム１−２によれば、駆動系制御ユニットから待機系制御ユニットへの切り替えをスムーズに行うことができる。

以上の実施の形態に示した構成は、本発明の内容の一例を示すものであり、別の公知の技術と組み合わせることも可能であるし、本発明の要旨を逸脱しない範囲で、構成の一部を省略、変更することも可能である。

１，１−２ 制御システム、２，３ 機器、４，４Ｉ，４Ｏ 入出力ユニット、５ 制御ユニット、５Ｄ 一方の制御ユニット（第１の制御ユニット）、５Ｗ 他方の制御ユニット（第２の制御ユニット）、１２，１２Ｄ，１２Ｗ 安全通信層（接続手段）、１５，１５Ｄ，１５Ｗ 決定層（決定手段）。

Claims (3)

1. プロセスオートメーション又はファクトリーオートメーション分野の設備に設置される機器に接続した入出力ユニットに接続した第１の制御ユニットと、前記第１の制御ユニットを代替可能な第２の制御ユニットと、を備え、前記第１の制御ユニットと前記第２の制御ユニットとのうちの一方の制御ユニットが前記入出力ユニットとのコネクションを確立する制御システムであって、
   前記一方の制御ユニットの前記入出力ユニットとのコネクションが切断された状態になると、前記第１の制御ユニットと前記第２の制御ユニットとのうちの他方の制御ユニットと前記入出力ユニットとのコネクションを確立することを決定する決定層と、
   前記決定層の決定結果通りに前記他方の制御ユニットと前記入出力ユニットとのコネクションを確立してから通信を行う通信層と、
   を備え、
   前記決定層は、前記通信層よりも前記制御システムの通信プロトコルの上位の階層に位置し、前記通信層は、安全データの誤り検出用の検出用符号と、前記検出用符号が生成された時刻を示すタイムスタンプとを備える安全通信用の情報を生成することを特徴とする制御システム。
2. プロセスオートメーション又はファクトリーオートメーション分野の設備に設置される機器に接続した入出力ユニットに接続した第１の制御ユニットと、前記第１の制御ユニットを代替可能な第２の制御ユニットと、を備えた制御システムであって、
   前記第１の制御ユニットと前記第２の制御ユニットとの双方と、前記入出力ユニットとのコネクションを確立することを決定する決定層と、
   前記決定層の決定結果通りに前記第１の制御ユニットと前記第２の制御ユニットとの双方と前記入出力ユニットとのコネクションを確立してから通信を行う通信層と、を備え、
   前記第１の制御ユニットと前記第２の制御ユニットとのうちの一方の制御ユニットの前記入出力ユニットとのコネクションが切断された状態になると、前記第１の制御ユニットと前記第２の制御ユニットとのうちの他方の制御ユニットは、前記他方の制御ユニットと前記入出力ユニットとのコネクションを用いて、情報を送受信するとともに、前記決定層は、前記通信層よりも前記制御システムの通信プロトコルの上位の階層に位置し、前記通信層は、安全データの誤り検出用の検出用符号と、前記検出用符号が生成された時刻を示すタイムスタンプとを備える安全通信用の情報を生成する
   ことを特徴とする制御システム。
3. プロセスオートメーション又はファクトリーオートメーション分野の設備に設置される機器に接続した入出力ユニットを制御する制御ユニットであって、
   前記入出力ユニットとのコネクションを確立することを決定する決定層と、
   前記決定層の決定結果通りに前記入出力ユニットとのコネクションを確立してから通信を行う通信層と、
   を備え、
   前記決定層は、前記通信層よりも前記制御ユニットの通信プロトコルの上位の階層に位置し、前記通信層は、安全データの誤り検出用の検出用符号と、前記検出用符号が生成された時刻を示すタイムスタンプとを備える安全通信用の情報を生成することを特徴とする制御ユニット。

Images