JP6946024B2 - 自動化された設備を制御するための装置および方法 - Google Patents

Description

本発明は、自動化された設備を制御するための装置および方法に関し、特に、互いに遠隔な制御器を有する設備における、安全関連の制御作業の同期実行を行う装置および方法に関するものである。

互いに同期されたローカルクロックを有する空間的に大きく広がって配置された設備に、分散された制御器を装備することは、公知の事実である。同期されたクロックは、例えば、複数の駆動軸を有する設備における複数の同調された運動を発生させるために、設備の異なる場所で、大規模に同時に制御作業を実行することを可能にする。

例として、Beckhoff社の「EtherCAT分散クロック」と題するインターネット出版物が、制御システムにおいて互いに同期された、物理的に分散されたクロックの原理について説明している。このシステムでは、EtherCATマスターと呼ばれる制御器が、短い時間間隔で空間的な同期メッセージを送信し、その同期メッセージに、基準クロックを有する別の制御器が、その現在時間を入力する。同期メッセージは、それぞれのローカル時間を基準時間に同期させるために、EtherCATスレーブとして知られる、システム内のさらなる制御器により読み取られる。異なる制御器への同期メッセージに関する転送時間を考慮に入れるために、オフセット測定として知られるものが、関係する各制御器について行われ、クロックの同期のために考慮に入れられるオフセット時間が算定される。

自動化された設備において物理的に分散されたクロックを同期するための別の方法が、IEEE規格1588を参照した「White Paper - Precision Clock Synchronization」と題するHirschmann社の出版物に説明されている。この方法によれば、いわゆるマスターが、通信ネットワークを介して、接続されたスレーブへと、周期的に同期メッセージを送信する。同時に、マスターは、各同期メッセージの送信時間を可能な限り正確に検知し、検知された送信時間を、さらなるメッセージを使用して、接続されたスレーブへと送信する。スレーブはそれぞれ、それらの2つのメッセージの到着時間を可能な限り正確に測定し、この情報を使用して、スレーブ内のそれぞれのローカルクロックをマスターの時間に一致させるのに使用する補正値を判定することができる。これが、オフセット補正として知られるものである。同期のさらなる位相として、スレーブは、メッセージについてのマスターへの、および戻りの転送時間を、照会メッセージを送信し応答メッセージを受信することにより測定する。続いて、それぞれのローカルクロックが、マスターへの個々の転送時間により調整される。

ネットワークにおける加入者のタイミングを同期するためのさらなる方法が、下記特許文献1により開示されている。IEEE 1588の方法に対して、タイミング同期のための先導はこの場合、常にメッセージ受信器から来る。下記特許文献1は、例えば緊急遮断（emergency-off）装置の運転状態を表す情報の伝達などの、特に安全関連の制御情報が交換されるネットワーク用に、この同期方法の適用を提案している。この種の安全関連の制御機能には、例えば緊急遮断スイッチの作動と危険な駆動装置の停止との間の反応時間を保証するために、所定の時間応答が必要である。

下記特許文献2は、安全関連の反応時間を監視し、光バリアが壊れたのち傷害が起こり得る前にプレス機の安全な休止を可能にするために、危険なプレスから光バリアが離れる必要のある物理的な距離を判定する。安全制御器は、物理的に分散された入力/出力モジュール内の同期されたクロックとともに作動することができ、2つの物理的に別体のモジュールが、タイムスタンプを有するメッセージを交換し、その結果、それぞれの受信器モジュールが、メッセージ転送時間を判定することができる。

下記特許文献3および下記特許文献4は、安全関連の制御作業を実行する物理的に分散された制御器を有するさらなる装置を開示している。これらの装置は、関連する複雑さに鑑みて、ローカルクロックを同期することを欠いている。代わりに、これらの装置は、通信ネットワーク内でメッセージ転送時間を監視し、それぞれのメッセージ受信器は、設備のフェールセーフな運転を保証するためにそれぞれの電流制御メッセージを受信する必要のある時間予想として公知のものを有している。

独国特許出願公開第10 2005 032 877 A1号明細書 欧州特許出願公開第1 521 145 A1号明細書 米国特許第7,366,774 B2号明細書 独国特許出願公開第10 2008 007 672 A1号明細書

分散された制御器における同期したクロックの使用により、制御作業のタイミングの同調に関する限り、議論の余地のない利点がもたらされる。しかし、設備の安全な運転（機械の安全に関する関連規格、特にEN 61508、EN 62061および/またはISO 13849-1に規定するように）が同期に決定的に依存している場合、危険を伴う。

安全関連の作業を有する制御システムにおける分散されたクロックのフェールセーフな同期は、現在に至るまで公知でなく、そのために、安全関連の制御作業は通常、クロック同期に依存していないか、または決定的には依存していないのである。その結果、危険な設備部分からの安全な距離を、かなりゆとりをもって選ぶ必要があり、これは、設備の経費および効率に関して不利益となる場合がある。

以上の背景のもとで、本発明の目的は、物理的に分散された複数の制御器を有する安全関連の設備において、反応時間を短縮することを可能にする、その結果として、危険な設備部分からの距離を短縮することを可能にする、冒頭で言及した種類の装置および方法を提供することである。

本発明の第1の局面によれば、この目的は、冒頭で言及した種類の装置であって、通信ネットワークを介して互いに接続され、少なくとも第1の制御器および第2の制御器を含む、複数の物理的に分散された制御器と、タイマーとを備え、第1の制御器は、第1のローカルクロックを備え、少なくとも1つの第1のローカルアクチュエータを制御するために使用される多数の第1の制御作業を周期的に実行し、第2の制御器は、第2のローカルクロックを有し、少なくとも1つの第2のローカルアクチュエータを制御するために使用される多数の第2の制御作業を周期的に実行し、第1および第2の制御器はそれぞれ、それぞれのローカルクロックを共通の基準クロックに同期するために使用される同期サービスを有しており、タイマーは、第1および第2の制御器に、トリガメッセージを繰り返し送信し、第1の制御器はトリガメッセージを受信すると、第1のローカル時間を判定し、それを第2の制御器に送信し、第2の制御器はトリガメッセージを受信すると、第2のローカル時間を判定し、それを第1の制御器（12）に送信し、第1および第2の制御器はそれぞれ、第1および第2のローカル時間の間の差異を判定し、第1の制御器は、差異に基づいて第1のローカルアクチュエータを制御し、第2の制御器は、差異に基づいて第2のローカルアクチュエータを制御する、装置により達成される。

本発明のさらなる局面によれば、この目的は、自動化された設備を制御するための方法であって、設備は、タイマーと、通信ネットワークを介して互いに接続され、少なくとも第1の制御器および第2の制御器を含む、複数の物理的に分散された制御器とを有しており、第1の制御器は、第1のローカルクロックを有し、少なくとも1つの第1のローカルアクチュエータ（を制御するために使用される多数の第1の制御作業を周期的に実行し、第2の制御器は、第2のローカルクロックを有し、少なくとも1つの第2のローカルアクチュエータを制御するために使用される多数の第2の制御作業を周期的に実行し、第1および第2の制御器はそれぞれ、それぞれのローカルクロックを共通の基準クロックに同期するために使用される同期サービスを有しており、タイマーは、第1および第2の制御器に、トリガメッセージを繰り返し送信し、当該方法は、
第1の制御器はトリガメッセージを受信すると、第1のローカル時間を判定し、それを第2の制御器に送信するステップと、
第2の制御器はトリガメッセージを受信すると、第2のローカル時間を判定し、それを第1の制御器に送信するステップと、
第1および第2の制御器はそれぞれ、第1および第2のローカル時間の間の差異を判定するステップと、
第1の制御器は、差異に基づいて第1のローカルアクチュエータを制御し、第2の制御器は、差異に基づいて第2のローカルアクチュエータを制御するステップとを含む、方法により達成される。

本発明の装置および対応する方法は、制御作業の同時の実行を（少なくとも、技術的に依存した公差の枠組み内で）、実行の場所にかかわらず可能にするために、物理的に分散された制御器でローカルクロックを同期する一般に周知の技術を使用する。したがって、好ましい実施形態では、第1の制御作業はローカルな第1のクロックに依存しており、それぞれ、第1の制御作業は第1のローカル時間に基づいて実行され、第2の制御作業は、好ましい実施形態では、第2のローカルクロックに依存しており、それぞれ、第2のローカルクロックに基づいて実行される。好適には、第1および第2の制御器は、第1および第2の制御作業を同期して実行する。

そのうえ、第1および第2の制御器は、第1の制御器の第1のローカル時間と第2の制御器の第2のローカル時間との間の差異を判定し、かつ、これを少なくとも1つのそれぞれのローカルアクチュエータを制御するための基盤とする2つの制御器のそれぞれにより、クロック同期を一緒に監視する。それぞれのローカル時間の判定は、共通のタイマーにより起動される。ローカルクロックが極端な程度まで分離していると、2つの制御器のそれぞれは、このエラーを差異に基づいて識別し、かつ、それに基づいて少なくとも1つのローカルアクチュエータを始動する、特に停止することができる。

差異は、この場合2つの別体のチャネルにおいて、すなわち第1の制御器および第2の制御器において、判定される。ゆえに、本装置および本方法は、安全関連の制御機能に鑑みて望ましい冗長性を、相当に安価に達成する。冗長性により、好ましい実施形態におけるように、機械の安全性に関する関連規格に規定するような非フェールセーフな形態で（すなわち、例えば、IEC 61508のSIL2に準拠せず、および/または、ISO 13849-1のPL dに準拠せず）、タイマーを実施することが、より容易になる。これは、経費に鑑みて非常に有利である。なぜなら、制御システムの各部品のフェールセーフな実施の検証は複雑かつ高価だからである。

第1の制御器および第2の制御器のいずれも、それぞれのローカルクロックが同期される基準クロックを有していない場合は、特に有利である。これは、それゆえにクロック同期の安全な監視を、それぞれのローカルクロックが互いにどのように同期されているかを問題とせずに、大規模な設備における多くの制御器に非常に柔軟に分散できるためである。例として、クロック同期をIEEE 1588に基づいて、しかし別の適切な方法に基づいても、行うことができる。

本新規な装置および対応する方法は、物理的に分散された制御作業用のフェールセーフなタイミング同期を、非常に簡単かつ安価なやり方で可能にする。上記タイミング同期はくわえて、基礎をなすネットワーク構造および使用される通信プロトコルから大きく独立している。その結果、安全関連の制御作業用の一時的な監視の公知の方法に代えて、または加えて、本新規な装置および本新規な方法を使用することができる。本新規な装置および本新規な方法は、保証された反応時間に関するフェールセーフ性を向上し、それゆえに、安全距離を最小化することができる。したがって、上述した目的が完全に達成される。

本発明の好ましい改良形態では、タイマーは、第1および第2の制御器から物理的に分離されたやり方で、通信ネットワークに接続されている。

この改良形態では、第1および第2の制御器は、タイマーに対して、等しい期間にある。ゆえに、タイマーは、システム内の「どこにでも」配置することができる。この改良形態により、大きな柔軟性がもたらされ、本新規な装置および対応する方法の立案が簡略化され、既存の設備における改良が可能となる。いくつかの実施形態では、タイマーは、制御器とは別体の基準クロックを有する通信ネットワークに接続されてもいる。これにより、実際の実施がさらに簡略化される。

ある改良形態では、第1および/または第2の制御器は、通信ネットワークを介して二方向に、タイマーと通信することができる。これは、それぞれの制御器が、要求メッセージを送信し、タイマーから関連する応答メッセージを受信することにより、タイマーから制御器へのトリガメッセージに関するメッセージ転送時間を個々に判定することができるので、有利である。この場合、タイマーは、通信ネットワークで「通常の」好適に周期的なデータ通信量に参与する制御器において、好適に実施される。

他の改良形態では、タイマーは、トリガメッセージを送信することにより、第1および第2の制御器と単方向（一方）にのみ通信することができる。しかし、これは、第1および/または第2の制御器からメッセージを受信することはできない。いくつかの実施形態では、差異のそれぞれの伝達を含む第1および第2の制御器の間のさらなるメッセージが有線で与えられたとしても、トリガメッセージは、無線で伝達された信号（無線信号）であってもよい。原則として、トリガメッセージは、無線クロック用の一般的なタイマーからのDCF 77信号または類似の時間信号であってもよい。

さらなる改良形態では、第1の制御器は、タイマーから第1の制御器へのトリガメッセージに関する予想される転送時間を表す第1の転送時間パラメータを保存する第1のパラメータメモリを有しており、第1の制御器は、第1のローカル時間を、（第1の制御器での）ローカルトリガメッセージ受信時間と第1の転送時間パラメータとの間の差異として判定する。好ましくは、第2の制御器は、タイマーから第2の制御器へのトリガメッセージに関する予想される転送時間を表す第2の転送時間パラメータを保存する、対応する（第2の）パラメータメモリを有しており、第2の制御器は、第2のローカル時間を、第2の制御器でのローカルトリガメッセージ受信時間と第2の転送時間パラメータとの間の差異として判定する。

この改良形態では、差異を形成するために使用されるローカル時間は、タイマーから、受信する制御器への、特定の予想されるメッセージ転送時間により「補正され」る。これは、ローカルクロックが本新規な方法に基づき同期および監視されている制御器に好適に適用される。本改良形態は、監視が、同期されたクロックに集中しており、結果として、より高い解像度およびより低い公差で実行できるという利点を有している。

さらなる改良形態では、第1の制御器は、差異が予め定義された閾値を超えたときに、第1のアクチュエータをフェールセーフな状態にする。好適には、第2の制御器も、差異が予め定義された閾値を超えたときに、第2のローカルアクチュエータをフェールセーフな状態にする。

この改良形態に関するフェールセーフな状態とは、オペレータの健康または生命など対して、自動化された設備から生じ得る危険が最も低い、それぞれのアクチュエータの規定の状態である。非常にしばしば、したがって好ましくは、アクチュエータのフェールセーフな状態は、自動化された設備または少なくともアクチュエータが電源遮断され、または他の仕方で運転停止しているときにアクチュエータが置かれているアイドリング状態に対応している。いくつかの好ましい実施形態では、それぞれのローカルアクチュエータは、フェールセーフな状態で開いている1つまたは複数の電気機械的な開閉接点を含んでいる。本改良形態は、それぞれのローカルクロックの同期が、閾値により規定された公差内にもはやない場合に、自動化された設備またはこの設備の少なくとも危険な部分が無害な状態とされるよう保証する。結果として、この改良形態は好適に、自動化された設備における安全関連の反応時間を保証することに寄与する。

さらなる改良形態では、第1の制御器は、第1のセンサ状態において、少なくとも1つのローカルセンサ入力を読み込み、第1のセンサ状態を有する処理メッセージを、第2の制御器に送信する。好適には、第2の制御器は、第1のセンサ状態に基づき、第2のローカルアクチュエータを制御する。そのうえ、いくつかの実施形態では、第2の制御器が少なくとも1つの第2のローカルセンサ入力で第2のセンサ状態を読み込み、第2のセンサ状態を有する第2の処理メッセージを第1の制御器に送信し、第1の制御器が、第2のセンサ状態に基づき、第1のローカルアクチュエータを制御するのが好ましい。

この改良形態では、第2の制御器は、第2のローカルアクチュエータを制御するために、第1の制御器からの情報を処理する。このような場合、保証されたクロック同期は、最小の反応時間内での設備の安全な運転を保証するために、特に重要である。本改良形態は、自動化された設備が、例えば自動車産業における現代的な生産ラインの場合のように、相互接続されているが独立して運転可能な複数の設備部分を有している場合に特に好適である。

いくつかの実施形態では、第1の制御器は第1の設備部分を制御し、第2の制御器は別体の第2の設備部分を制御し、第1の設備部分が扱う仕掛品が、第2の設備部分に引き渡される。ワークフローを最適化するには、この種の実施形態では、各制御器が、それぞれの他の設備部分からの情報を考慮に入れるのが好適である。しかし、この場合の最適な制御順序は、制御部分の間のクロック同期が正確に実行されていることにも依存している。この改良形態は、非常に好適な仕方で、本新規な装置および対応する方法に適合している。

さらなる改良形態では、第1の制御器は、差異から独立して、第1の制御器にローカルに接続されたさらなるアクチュエータを制御する。好適には、第2の制御器も、差異から独立して、第2の制御器にローカルに接続されたさらなるアクチュエータを制御する。

この改良形態では、第1の制御器は、ある程度独立して、すなわち、第2の制御器から独立して、そしてそれゆえにクロック同期から独立して、作動することができる。本改良形態には、クロック同期が誤っている場合でも、独立した制御部分が制御作業を実行することを継続できるという利点がある。本改良形態により、非常に効率的でありながらフェールセーフな設備運転が可能になる。

さらなる改良形態では、第2の制御器は、差異が予め定義された閾値を超えたときに差異に基づいて第2のローカルクロックを減速または加速する、（第2の）クロック制御ループを有している。好ましくは、第1の制御器も、特に第2の制御器内のローカルクロックと反対方向に、差異に基づいて第1のクロックを加速または減速する、対応する（第1の）クロック制御ループを有している。

この改良形態では、第1および/または第2の制御器は、エラーの際にクロック同期を回復するために、それぞれのローカルクロックを調整することができる。本改良形態により、誤ったクロック同期のために停止している設備部分の速やかかつ効率的な再開が可能となる。いくつかの実施形態では、明確な制御応答を保証するために、第2の制御器のみ、または、第1の制御器のみが、この改良形態に記載のクロック制御ループを有しているのが好適である。他の実施形態では、反対方向への制御によりクロック同期の特に速やかな回復を達成するために、第1および第2の制御器がそれぞれ、記載のクロック制御ループを有しているのが好適である。

さらなる改良形態では、第2の制御器は保証されたローカル時間公差を有しており、クロック制御ループは、差異が予め定義された閾値を下回るまで、保証された時間公差内で第2のローカルクロックを減速または加速する。好ましい改良形態では、これは、対応する仕方で第1の制御器に適用される。

この改良形態により、第2の制御器内のローカルクロックの再調整が、技術的に可能であるであろうよりも意図的に緩やかに行われる結果となる。結果として、この改良形態は、技術的に必要なよりも長く続く、ローカルクロックの誤った非同期を受け入れる。利点は、第2の制御器におけるローカル時間公差の順守を保証することである。ゆえに、本改良形態には、独立して進む制御処理が、保証された時間公差で継続できるという利点がある。本改良形態により、分散されネットワーク化された制御器による、非常に効率的かつフェールセーフな設備運転が可能となる。

さらなる改良形態では、クロック制御ループは、準クロックに関して、第2のローカルクロックを規定のオフセットに同期させる。好適には、これも、対応する仕方で第1の制御器に適用される。

この改良形態では、第2の制御器におけるクロック制御ループは、第2のローカルクロックの相対的な同期運転のみを目的とし、基準クロックに対する絶対的な同期運転には関係せずに、再同期を実行するよう構成されている。本改良形態には、差異から許容可能な値が再び比較的速やかに推測されるという利点がある。好適には、それぞれの制御器は、オフセットに基づき、規定の閾値に適合するよう設計されている。本改良形態により、同期されたクロックを有する制御器の運転への、より速やかな復帰が可能となる。

さらなる改良形態では、第2の制御器は、第2のローカルクロックに基づき、相互に異なる周期時間を有する複数の第2の制御作業を周期的に実行する。

この改良形態では、複数の第2の制御作業は、第1および第2の制御器内のローカルクロックの、成功し、かつ、本新規な方法に基づいて、保証された同期に依存している。本改良形態により、多数の異なる制御作業の特に効率的な実行が可能となる。これは、ある程度、クロック同期の中央の監視が実行されているためである。好ましい実施形態では、第1の制御器も、第1のローカルクロックに基づき、異なる周期時間を有する複数の第1の制御作業を実行する。これは、本新規な装置および本新規な方法の効率を再度向上させる。

さらなる改良形態では、第1および第2の制御器のそれぞれは、フェールセーフなやり方で実行され、かつトリガメッセージに関する時間予想を有する処理部を有している。

この改良形態に関する時間予想には、予め定義された時間間隔内でトリガメッセージの繰り返される受信を予想し、かつ、必要であれば、トリガメッセージが現れなかった場合に、第1または第2のローカルアクチュエータを停止することを特に含んでもよいエラー反応を次の予想期間に開始する、関連する制御器が含まれる。本改良形態により、本新規な装置の安価かつ柔軟な実施、および、本新規な方法のそれに応じた簡単な実施が可能となる。これは、上記規格で規定されたようなフェールセーフ性を損なうことなく、タイマーをこの改良形態において非フェールセーフなやり方で実施することができるからである。他方、この改良形態は、時間同期の監視により最小の保証された停止および反応時間を可能にするため、特に好適である。これは、特に安全関連の制御作業の実施のために大きな利点がある。

さらなる改良形態では、本新規な装置および対応する方法は、第3のローカルクロックを有し、かつ第3の制御作業を周期的に実行する第3の制御器を使用し、第3の制御器はトリガメッセージを受信すると、第3のローカル時間を判定して、それを第1の制御器に送信し、第1の制御器は、第1および第3のローカル時間の間のさらなる差異を判定し、第1のローカルアクチュエータを制御するための基盤として、さらなる差異を活用する。

この改良形態では、第1の制御器は、第2の制御器と協働して評価される（第1の）差異と好適に分離されたさらなる差異に基づき、さらなるクロック同期を監視する。好適には、この改良形態の本新規な装置および対応する方法は、それぞれの対における複数の制御器について、クロック同期を監視する。一般に、この改良形態の枠組み内で、第1の制御器が、別の制御器への各FS通信リンクについて、対内で形成される差異に基づき、関連するクロック同期を監視するのが好適である。この文脈におけるFS通信とは、上に示す規格で規定されたような安全関連の情報が交換される、他の制御器との第1の制御器による通信である。本改良形態には、第1の制御器でのローカルアクチュエータの安全関連の停止が、関連するアクチュエータが、失敗したかもしれないクロック同期の影響を受けた場合にのみ、実行されるという利点がある。ゆえに、本改良形態により、高水準のフェールセーフ性を有する設備部分の有用性が向上する。

一実施形態に係る本発明の装置を示す模式図である。 図1の装置で実施される一実施形態に係る本発明の方法を説明するフローチャートである。 図1の装置の2つの制御器での制御作業の周期的な実行を示す、2つのタイミング図である。

上に言及した特徴および以下に説明されることになる発明の側面が、本発明の枠組みを逸脱することなく、それぞれ示唆される組み合わせにおいてのみならず、他の組み合わせにおいても、または、それら自体でも使用できることは、言うまでもない。

本発明の実施形態を図面に示し、以下に、より詳細に説明する。

図1では、本新規な装置の実施形態の全体を参照数字10で示している。装置10は、第1の制御器12、第2の制御器14、第3の制御器16、タイマー18および通信ネットワーク20を含んでおり、通信ネットワーク20を介して、制御器とタイマーとが互いに接続されている。

いくつかの好ましい実施形態では、通信ネットワーク20は、機械設備の自動化された制御用の制御器間のフェールセーフな通信用に設計されたイーサネット（登録商標）ネットワークである。例として、SafetyNET pという商標でPilz GmbH & Co.KG（ドイツ）が提供する通信ネットワークである。

一般に、通信ネットワーク20は、Profinet/Profisafeなどの異なる通信プロトコルにも基づいていてもよく、かつ/または、無線伝送リンクを含んでいてもよい。すべての好ましい実施形態において、制御器12、14、16は、分散された制御器の通信用に慣例かつ公知のように、通信ネットワーク20を介して互いに周期的に通信する。参照数字19で象徴的に示すように、通信ネットワーク20に接続されたさらなる制御器があってもよい。

好適には、第1の制御器はこの場合、EN 61508に従ってSIL2以上により規定され、かつ/または、ISO 13849-1に従ってPL d以上により規定されるフェールセーフな設計を有している。好ましい実施形態では、第1の制御器は、第1のマイクロコントローラ22aおよび第2のマイクロコントローラ22bにより本明細書で簡略化された形態で示される、2つの冗長な処理チャネルを有している。あるいはまたはくわえて、2つの冗長な信号処理チャネルは一部または全部が、他の論理回路（例えば、マイクロプロセッサ、ASICおよび/またはFPGA）を使用して実現されてもよい。以下の文章で、簡略化のために2つのマイクロコントローラ22a、22bに言及するが、これは、上記規格で規定するような他のフェールセーフな実施態様を排除することを意図していない。

この場合、2つのマイクロコントローラ22a、22bは好適には、互いに関して冗長に作動し、接続されたセンサおよび/または他の制御器から処理データを受信する。したがって、第1の制御器12はこの場合、ネットワークインターフェース24を有しており、ネットワークインターフェース24を介して第1の制御器12は通信ネットワーク20およびI/Ｏインターフェース26に接続されている。I/Ｏインターフェース26にローカルセンサおよび/またはアクチュエータを接続することができる。

例として、図1は、光グリッド28、緊急遮断スイッチ30、電気駆動装置32および複数のコネクタ34を示しており、これらはI/Ｏインターフェース26を介して第1の制御器12に接続されている。象徴的な図表により、特に緊急遮断スイッチ30などの安全関連のセンサが主に示されている。しかし、原則として、非安全関連のセンサを制御器12に接続することも可能である。同様に、この場合、駆動装置32を使用した例として示されるように、非安全関連のセンサを制御器12に接続してもよい。非安全関連のセンサおよびアクチュエータは主として、自動化された設備の標準的な制御処理として公知のものを生み出すために使用される。好ましい実施形態では、装置10は、自動化された設備のフェールセーフなFS制御および標準的な制御の両方を実行することができる。

いくつかの実施形態では、制御器12は、マイクロコントローラ22a、22bを使用し、予め定義された論理に従って、処理データを組み合わせるよう、かつ、これをアクチュエータを制御するための制御データを生成するための基礎として活用するよう設計されている。したがって、第1の制御作業は、処理データを受信し論理的に組み合わせることを、かつ、アクチュエータ用の制御信号を生成することをも含んでいてもよい。これらの実施形態では、制御器12はそれゆえに、PLC（プログラマブル論理制御装置）に関する制御機能を有している。

他の実施形態では、制御器12は純粋なI/Ｏ装置（入力および/または出力装置）であってもよく、その主たる機能は実質的に、接続されたセンサから処理データを受信し、それらを他の制御器に（そこにおける論理結合（logic combination）のために）送信し、かつ/または、アクチュエータを始動するための制御データを受け入れ、これをアクチュエータを操作するための基礎として活用することである。

したがって、これらの実施形態における第1の制御作業は主に、接続されたセンサからの処理データの受信および送信、ならびに/または、制御データの受け入れおよびアクチュエータの操作もしくは非操作を含んでいる。そのうえ、制御器12は、さらなる実施形態において、複合機能性（hybrid functionality）を有していてもよく、その結果、PLCに関する制御機能をまず実行し、次にI/Ｏ装置として作動する。

いくつかの好ましい実施形態では、第2の制御器14は第1の制御器12と同様の仕方で設計されているが、これは絶対に必要なわけではない。例として、第2の制御器14が純粋なI/Ｏ装置であってもよいのに対して、第1の制御器12はPLCに関する制御機能を実行し、または、その逆である。例として、図1では、緊急遮断スイッチ30および防護ドアスイッチ36が、および複数のコネクタ34も、第2の制御器14のI/Ｏインターフェース26に接続されている。防護ドアセンサ36は、自動化された設備のFS制御用に通常使用される安全関連のセンサのさらなる例である。

第1の制御器12はこの場合、第1の制御器12上で実行されるユーザプログラムを保存するための、かつ、パラメータおよび/または処理データを保存するための1つまたは複数のメモリを有している。例として、第1のメモリ38および第2のメモリ40がここに示されている。いくつかの実施形態では、第1の制御器12は複数の別体のメモリ38、40を有しており、各マイクロコントローラ22は、2つのメモリ38、40の一方への排他的なアクセスを有している。他の実施形態では、メモリ38、40は、連続したメモリ内の別体のメモリ領域であってもよい。メモリ38、40は、不揮発性メモリおよび/もしくは揮発性メモリであっても、または、不揮発性メモリおよび/もしくは揮発性メモリを含んでいてもよい。

参照数字42は、第1の制御器12内のローカルタイムベースまたはローカルシステムクロックを提供し、かつ、クロック制御ループ43を使用して前または後ろへと調節できるローカルクロックを示している。好ましい実施形態では、制御器12における制御作業はすべて、ローカルクロック42に依存する、周期的に再発される間隔で行われる。
同様に、第2の制御器14は、第2の制御作業用のローカルタイムベースを提供する第2のローカルクロック42’を有しており、第2の制御作業は第2の制御器14を使用して実行される。第2のクロックを、第2の制御器14内の第2のクロック制御ループ43’を使用して前または後ろへと調節できる。

例として、クロック制御ループ43、43’はこの場合、それぞれの第2のマイクロコントローラ22bへの接続により示されている。好適には、クロック制御ループはゆえに、マイクロコントローラ上で実行されるソフトウェアアプリケーションを含んでいてもよい。あるいはまたはくわえて、クロック制御ループは、図示しない異なる論理回路を使用して（例えば、第1のマイクロコントローラ、または、さらなる回路を使用して）実現できるであろう。

好ましい実施形態では、第1の制御器12および第2の制御器14は、それらのそれぞれの制御作業を、大部分同期して実行する。ゆえに、ローカルクロック42、42’が互いに同期して動くのが望ましい。これを達成するために、第1および第2の制御器12、14はそれぞれ、同期サービス44を有している。好ましい実施形態では、同期サービス44は、マイクロコントローラ22a、22bの少なくとも一方により実行される周期的に繰り返される作業であり、それぞれのローカルクロック42、42’が外部の基準クロックに同期されることを保証する。

例として、同期サービス44は、IEEE 1588プロトコルに基づいて、クロック同期を実行してもよい。この実施形態では、基準クロックは、例えば装置10内のマスター制御ユニットであってもよい第3の制御器16内に配置されている。いくつかの実施形態では、第1の制御器12および第2の制御器14は、まずローカル制御作業を実行することができ、次いで処理データをマスター制御器16へ送出する、下位の制御ユニットおよび/またはローカルI/Ｏユニットである。

他の実施形態では、制御器12、14、16はそれぞれ、例として、異なる設備部分が円滑に協働するように複雑な設備の異なる機械モジュールを制御し情報を互いに交換する、独立して作動する制御器である。したがって、第3の制御器16は、図1の簡略化された形態に示すように、第1の制御器および/または第2の制御器と同じ仕方で設計されていてもよい。適切なセンサおよび/またはアクチュエータも、第3の制御器16に接続してもよいことは言うまでもない。

図3は、第1の制御器12（この場合、OD1により示す）および第2の制御器14（この場合、OD2により示す）上での第1および第2の制御作業の周期的な実行を示している。図3は左から右に、複数の時間間隔t₁、t₂、t₃へと分割される時間軸を示している。各時間間隔では、1つまたは複数の制御作業48、50、52、54、56、58が実行される。例として、第1の制御器12（OD1）は、周期的に再発されるやり方で制御作業48、52、54を実行する。これには、制御作業48が制御作業52よりも短い時間の間隔で繰り返されること、次いで後者が、制御作業54よりも短い時間の間隔で繰り返されることが含まれる。第1の制御作業48は、第2の制御器14（OD2）上の第2の制御作業50と、可能な限り同期して実行されるよう意図されている。

好ましい実施形態では、第1の制御作業48、52、54は、ローカルクロック42に依存するローカル時間間隔60において、第1の制御器12（OD1）上で実行される。第2の制御作業50、56、58は、ローカルクロック42’に依存する時間間隔62において、第2の制御器14（OD2）上で実行される。

図3は、「ローカルティック（local tick）」として公知のものを使用して、すなわち、それぞれのローカルクロックが生成するローカルビートを使用して、それぞれのローカルクロックへの依存状態を表現している。図3に示すように、ローカルビートは、同一の絶対時間を必ずしも示さなくともよい。好ましい実施形態では、それぞれのローカルビートが互いに対して同期していれば十分である。

図3はさらに、「ラインティック（line tick）」として公知のものを示している。これは、好ましい実施形態で、特にマスター制御ユニットから周期的に送信されるメッセージを使用し、通信ネットワーク20を介して提供されるタイムベースである。ゆえに、いくつかの実施形態では、通信ネットワーク20のタイムベースは、制御器12、14、16の相互的な通信を互いの間で統制する、共通のシステム時間を表している。いくつかの実施形態では、制御器12、14におけるそれぞれの同期サービス44は、それぞれのローカルクロック42、42’および「ラインティック」が互いに同期していることを保証する。

好ましい実施形態では、第1の制御作業48、52、54および第2の制御作業50、56、58の同期した実行は、それぞれの制御器12、14上で同期サービス44を使用して保証されるだけでなく、外部の共通のトリガメッセージのそれぞれのローカルな受信を表すローカル時間を、互いに同期してそれぞれ判定する第1の制御器12および第2の制御器14により、フェールセーフなやり方で追加的に監視されている。好ましい実施形態では、このトリガメッセージは、タイマー18によって開始され、図1の参照数字64により示されている。

いくつかの好ましい実施形態では、トリガメッセージは、通信ネットワーク20を介して、第1、第2および第3の制御器12、14、16へ伝達される、データメッセージである。いくつかの好ましい実施形態では、タイマー18は、通信ネットワーク20に接続された制御器の1つが含む、非フェールセーフな設計のタイマーチップである。他の実施形態では、タイマーチップ18は、センサに読み込まれ、かつ/または、アクチュエータを始動するすべての制御器から分離されて、通信ネットワーク20に接続されていてもよい。いくつかの実施形態では、タイマー18は、基準クロック46と一緒に、制御器内で実施されていてもよい。他の実施形態では、タイマー18は、通信ネットワーク20内の他のメッセージから無線により、かつ分離されて、トリガメッセージ64を制御器12、14、16へ伝達してもよい。好適には、タイマー18は、制御器上で制御作業の周期的な実行を開始するためにローカルクロックが使用する時間間隔60、62よりも10倍よりも長い、周期的に再発される間隔で、トリガメッセージ64を生成する。

本発明の方法の好ましい実施形態を、図2を参照しながら以下に説明する。まずステップ68において、タイマー18は、トリガメッセージ64を生成し、それを、本発明の方法が実施されるすべての制御器に送信する。簡略化のために、この方法を、以下に、例えばOD1およびOD2により示され第1の制御器12および第2の制御器14であってもよい、2つの制御器のみを使用して表現する。好ましい実施形態では、説明される方法は、さらなる制御器の間で、例えば第1の制御器12と第3の制御器16との間でも実施される。

制御器12、14はそれぞれ、タイマー18からトリガメッセージを受信する。これはステップ70a、70bにより示されている。両制御器は、ほぼ同じ時間にタイマー18からトリガメッセージ64を受信するが、必ずしも正確に同じ時間ではない。なぜなら、タイマー18からそれぞれの制御器12、14へのトリガメッセージ64に関する転送時間が異なっている場合があるためである。

ステップ72a、72bにおいて、各制御器は、そのローカルクロックを使用して、トリガメッセージ64を受信した瞬間を検知する。関係する瞬間を、図2にcLT(ODx)で示しており、「x」はそれぞれの装置を示している。

好ましい実施形態では、各制御器は、それぞれの制御器に関連するメモリ38、38’に保存されたパラメータETT(MC, ODx)を、ステップ72a、72bで検知された受信時間から減算することにより、修正されたローカル受信時間を算定する。パラメータETT(MC, ODx)は、タイマー18からそれぞれの制御器へのトリガメッセージに関する予想される、または通常の転送時間を表している。このようにして、いくつかの好ましい実施形態により、それぞれの制御器へのトリガメッセージに関する異なる転送時間が可能となる。

ステップ76a、76bにおいて、続いて、2つの制御器のそれぞれは、修正されたローカル受信時間（ローカル時間LT(ODx)を、それぞれの他の制御器に送信する。図1はしたがって、2つのメッセージ77a、77bを示している。

ステップ78a、78bにおいて、次いで、関係する2つの制御器のそれぞれは、第1の制御器の修正されたローカル受信時間と第2の制御器の修正されたローカル受信時間との間の相違DTを算定する。続いて、ステップ80において、2つの制御器のそれぞれは、算定された相違を、規定の閾値と比較する。算定された相違の絶対値が、規定の閾値未満であれば、本方法はステップ68に戻る。

次いで、作用を受けた2つの制御器内のローカルクロック42、43は、互いに十分に同期して作動する。これは、トリガメッセージ64のローカル受信時間の間のそれぞれ算定された相違が、選ばれた閾値によりステップ80a、80bにおいて表される規定の公差未満であるためである。

他方、算定された相違DTの絶対値が、規定の閾値を超えている場合、ステップ84において、それぞれの制御器は、少なくとも1つのローカルアクチュエータを休止する。好ましい実施形態では、それぞれの制御器は、それぞれ他の制御器上のセンサから来たセンサデータが処理されるローカルアクチュエータを休止する。この場合、アクチュエータを「休止する」とは、関係するアクチュエータが、自動化された設備のフェールセーフな運転を保証する状態に置かれることを意味している。例として、このようにして、第1の制御器12上で駆動装置32を休止すること、および/または、各制御器12、14について、それぞれがローカルアクチュエータ34を停止することが可能となるであろう。

ステップ86において、第2の制御器14は、所定の公差限界内でローカルクロックの同期した作動をここでも達成するために、第1の制御器においてローカルクロック42’がローカルクロック42よりも素早くまたは緩慢に動くかどうかに基づいて、ローカルクロック42’をさらに変化させる。

いくつかの好ましい実施形態では、第1の制御器は、ローカルクロックを反対方向にも変化させる。すなわち、設定された公差限界内で2つのローカルクロックの速やかな再同期を達成するために、第2の制御器内のローカルクロックが減速したときに第1の制御器内のローカルクロックを加速し、かつ、その逆を行う。

好ましい実施形態では、クロック制御ループが、それぞれのローカルクロックを、それぞれの制御器のメモリ38、40内にパラメータとして保存されている保証された時間公差(time tolerance)内で変化させる。保証された時間公差は、制御器のそれぞれのローカルクロックが最大まで変動できる、変化の範囲を規定する。

好ましい実施形態では、制御器12、14のそれぞれは、時間予想(time expectation)88を有している。時間予想88は、メモリ38、40の一方内にパラメータとして保存されており、かつ、第1のトリガメッセージ64の受信とともに始まり、さらなるトリガメッセージ64が受信されることを必要とする時間間隔を規定する。このようにして、制御器12、14のそれぞれは、トリガメッセージ64の周期的な受信を監視する。トリガメッセージ64が時間予想88内に現れなかった場合、関係する制御器12、14は、少なくとも1つのローカルアクチュエータをフェールセーフな状態（アイドリング状態）に切り替える。

Claims (14)

1. 自動化された設備を制御するための装置であって、
   通信ネットワーク（20）を介して互いに接続され、少なくとも第1の制御器（12）および第2の制御器（14）を含む、複数の物理的に分散された制御器（12、14、16）と、タイマー（18）とを備え、
   前記第1の制御器（12）は、第1のローカルクロック（42）を有し、少なくとも1つの第1のローカルアクチュエータ（32、34）を制御するために使用される多数の第1の制御作業（48、52、54）を周期的に実行し、
   前記第2の制御器（14）は、第2のローカルクロック（42’）を有し、少なくとも1つの第2のローカルアクチュエータ（34’）を制御するために使用される多数の第2の制御作業（50、56、58）を周期的に実行し、
   前記第1および第2の制御器（12、14）はそれぞれ、前記それぞれのローカルクロック（42、42’）を共通の基準クロック（46）に同期させるために使用される同期サービス部（44）を有しており、前記同期サービス部（44）は、次の各段階を実行させる、装置：
   −前記タイマー（18）は、前記第1および第2の制御器（12、14）に、トリガメッセージ（64）を繰り返し送信し、
   −前記第1の制御器（12）は前記トリガメッセージ（64）を受信すると、第1のローカル時間を判定し、それを前記第2の制御器（14）に送信し、
   −前記第2の制御器（14）は前記トリガメッセージ（64）を受信すると、第2のローカル時間を判定し、それを前記第1の制御器（12）に送信し、
   −前記第1および第2の制御器（12、14）はそれぞれ、前記第1および第2のローカル時間の間の差異（78）を判定し、
   −前記第1の制御器（12）は、前記差異に基づいて前記第1のローカルアクチュエータ（32、34）を制御し、前記第2の制御器（14）は、前記差異に基づいて前記第2のローカルアクチュエータ（34’）を制御する。
2. 前記タイマー（18）は、前記第1および第2の制御器（12、14）から物理的に分離されたやり方で、前記通信ネットワーク（20）に接続されている、請求項1に記載の装置。
3. 前記第1の制御器（12）は、前記タイマー（18）から前記第1の制御器（12）への前記トリガメッセージ（64）に関する予想される転送時間を表す第1の転送時間パラメータ（ETT）を保存する第1のパラメータメモリ（38’）を有しており、前記第1の制御器（12）は、（74a）前記第1のローカル時間を、ローカルトリガメッセージ受信時間（cLT(OD1)）と前記第1の転送時間パラメータ（ETT）との間の差異として判定する、請求項1または請求項2に記載の装置。
4. 前記第1の制御器（12）は、前記差異が予め定義された閾値（84a）を超えたときに、前記第1のアクチュエータ（32、34）をフェールセーフな状態にする、請求項1〜請求項3のいずれか1項に記載の装置。
5. 前記第1の制御器（12）は、第1のセンサ状態において、少なくとも1つのローカルセンサ入力（26）を読み込み、前記第1のセンサ状態を含む処理メッセージを、前記第2の制御器（14）に送信する、請求項1〜請求項4のいずれか1項に記載の装置。
6. 前記第1の制御器（12）は、前記差異から独立して、当該第1の制御器（12）にローカルに接続されたさらなるアクチュエータ（32）を制御する、請求項1〜請求項5のいずれか1項に記載の装置。
7. 前記第2の制御器（14）は、前記差異が予め定義された閾値（86b）を超えたときに前記差異に基づいて第2のクロック（42’）を減速または加速する、クロック制御ループ（43’）を有している、請求項1〜請求項6のいずれか1項に記載の装置。
8. 前記第2の制御器（14）は保証された時間公差を有しており、前記クロック制御ループ（43’）は、前記差異が前記予め定義された閾値を下回るまで、前記保証された時間公差内で前記第2のローカルクロック（42’）を減速または加速する、請求項7に記載の装置。
9. 前記クロック制御ループ（43’）は、前記基準クロックに関して、前記第2のローカルクロック（42’）を規定のオフセットに同期させる、請求項1〜請求項8のいずれか1項に記載の装置。
10. 前記第2の制御器（14）は、前記第2のローカルクロック（42’）に基づき、相互に異なる周期時間を有する複数の第2の制御作業（50、56、58）を周期的に実行する、請求項1〜請求項9のいずれか1項に記載の装置。
11. 前記第1および第2の制御器（12、14）のそれぞれは、フェールセーフなやり方で実行され、かつ前記トリガメッセージ（64）に関する時間予想（88）を有する処理部（22a、22b）を有している、請求項1〜請求項10のいずれか1項に記載の装置。
12. 第3のローカルクロックを有し、かつ第3の制御作業を周期的に実行する第3の制御器（16）をさらに備え、
    前記第3の制御器は前記トリガメッセージ（64）を受信すると、第3のローカル時間を判定して、それを前記第1の制御器（12）に送信し、
    前記第1の制御器（12）は、前記第1および第3のローカル時間の間のさらなる差異を判定し、前記さらなる差異に基づいて、前記ローカルな第1のアクチュエータを制御する、請求項1〜請求項11のいずれか1項に記載の装置。
13. タイマー（18）と、通信ネットワーク（20）を介して互いに接続され、少なくとも第1の制御器（12）および第2の制御器（14）を含む、複数の物理的に分散された制御器（12、14、16、18）とを有する自動化された設備を制御するための装置を制御するための方法であって、
    前記第1の制御器（12）は、第1のローカルクロック（42）を有し、少なくとも1つの第1のローカルアクチュエータ（32、34）を制御するために使用される多数の第1の制御作業（48、52、54）を周期的に実行し、
    前記第2の制御器（14）は、第2のローカルクロック（42’）を有し、少なくとも1つの第2のローカルアクチュエータ（34’）を制御するために使用される多数の第2の制御作業（50、56、58）を周期的に実行し、
    前記第1および第2の制御器（12、14）はそれぞれ、前記それぞれのローカルクロック（42、42’）を共通の基準クロック（46）に同期させるために使用される同期サービス部（44）を有しており、前記同期サービス部（44）は、次の各段階を実行させる、方法：
    −前記タイマー（18）は、前記第1および第2の制御器（12、14）に、トリガメッセージ（64）を繰り返し送信し、
    −前記第1の制御器（12）は前記トリガメッセージ（64）を受信すると、第1のローカル時間を判定し、それを前記第2の制御器（14）に送信し、
    −前記第2の制御器（14）は前記トリガメッセージ（64）を受信すると、第2のローカル時間を判定し、それを前記第1の制御器（12）に送信し、
    −前記第1および第2の制御器（12、14）はそれぞれ、前記第1および第2のローカル時間の間の差異（78）を判定し、
    −前記第1の制御器（12）は、前記差異に基づいて前記第1のローカルアクチュエータ（32、34）を制御し、前記第2の制御器は、前記差異に基づいて前記第2のローカルアクチュエータ（34’）を制御する。
14. データ保存媒体上に保存されたプログラムコードを備え、前記プログラムコードが前記第1および第2の制御器上で実行されたときに、請求項13に係る方法を実行するよう構成された、コンピュータプログラム。

Images