JP7063976B2 - 少なくとも１つの安全なプロデューサーと少なくとも１つの安全なコンシューマーとの間のデータ伝送 - Google Patents

Description

自動化プロセスにおける人又は環境へのリスクを低減するために、機械及びシステムは、例えば、緊急停止キーを押下した後に機械をオフに切り替えること、又はエラーの認識後にシステムを安全な状態に移行することのような、安全機能を実現しなければならない。このために、エラー－セーフ自動化システムが徐々に使用されつつある。一般に、これらのエラー－セーフ自動化システムは、一方では、実際の安全機能（例えば、緊急停止、両手切替、動作モード用の選択スイッチ．．．等）を実現し、他方では、例えば、標準規格（ＩＥＣ６１５０８、ＩＳＯ１３８４９、．．．）において設定される機構に従ってエラーを認識及び制御し、現在の最新技術に対応する方策を実現する。

詳細には、安全に関する標準規格シリーズＩＥＣ６１５０８は、この関連で、例えば、開発におけるシステマティックエラーの回避、ランダムエラーを認識し、認識されたエラーを安全制御するための運転動作における監視（下記において及び特許請求の範囲においてエラーセーフとも呼ばれる）、及びその結果として、あらかじめ安全であると規定された状態への移行のような、エラーを制御するための種々の方法の使用を更に含む。これらの方策は全て、或る特定の、あらかじめ設定された安全機能の一部とすることができる。一般に、各チャネルが単独で安全機能を開始することができるダブルチャネル又はマルチチャネルシステムは、ただ１つのチャネルを有するシステムより高い度合いの安全性又はより高い安全レベル（英語で、安全度水準「ＳＩＬ」：safety integrity level）を達成することができると言うことができる。 安全チェーン（安全ループ）を通しての情報の流れはチャネルと呼ばれ、安全チェーンは、例えば、安全機能の要求（例えば、センサー、接近インジケーター、光バリア又は隙間ゲージ等による）から開始し、機械の安全な状態を導入するアクター又は最終制御要素で終了する。

したがって、電気的な安全性は、本発明の範囲内にあるこの安全性に属していない。

現在の機械及びシステムにおいて、システムの範囲及び自動化の程度に応じて、分散Ｉ／Ｏデバイス（センサー及び／又はアクターのような入出力デバイス）及び制御装置を接続する、例えば、イーサネット（登録商標）ベースネットワーク又はフィールドバスのような通信システムが使用される。安全関連データを送信するために、一般に、安全な通信プロトコルが使用される。

それゆえ、或る特定の安全機能が、システムによってだけでなく、個々のハードウェア及び／又はソフトウェア構成要素を含む、例えば、サーバー、制御装置、Ｉ／Ｏデバイスのような個々のサブスクライバーによっても実効的に満たされることが適切な方策によって確保される場合には、このシステム及び／又は個々のサブスクライバー若しくは特定の構成要素は、以下の明細書及び特許請求の範囲の枠組みにおいて安全であるか、又は安全を目指すと見なされる。システムだけでなく、個々のサブスクライバー又は個々の構成要素のための安全関連要件又は安全指向要件がない場合には、かつシステム又はサブスクライバー若しくは構成要素に適した方策によって、或る特定の安全機能を満たすことが確保されない場合には、このシステム、特定のサブスクライバー又は特定の構成要素は、以下の明細書及び特許請求の範囲の枠組みにおいて安全とは見なされない。

したがって、「安全な（safe）」又は「安全（性）（safety）」という概念は、本発明、本明細書及び特許請求の範囲の枠組みにおいて、他に指示されない限り、機能的な安全性に関係する。

それゆえ、上記のことから、例えば、電気的な安全性／セキュリティ又はセキュア通信チャネルが定められるべきであり、この関連におけるセキュリティは、通信チャネルが不正アクセスから保護されることにあり、又はセキュアデータが定められるべきであり、この関連におけるセキュリティは、データが不正読出しから保護されることにある。

安全なネットワークプロトコルは、現在、例えば、ＩＥＣ６１７８４－３において標準化される。それは、安全なネットワーク通信の原理に基づく異なる安全プロファイルを記述する。全てのこれらのネットワークプロトコルは、安全なデータ及び／又は電信と、安全でないデータ及び／又は電信との混在、及び／又はデータ及び／又は電信の改竄、損失、遅延、交換、反復、挿入等の、異なるエラーモデルを制御しなければならない。それらのプロトコルは、例えば、フィールドバスベース又はイーサネット（登録商標）ベース通信標準規格と、これらのネットワーク内で起こり得るエラーモデルとに従って、それらをサポートする標準的なネットワークプロトコルの知識を用いて、エラー認識及びエラー制御方策を規定する。このために、いわゆる「ブラックチャネル原理」が頻繁に使用される。そこでは、安全性プロトコルは通例、安全な使用と、「非安全な」標準的な通信チャネルとの間で統合され、そのプロトコルは、安全指向システムの安全レベルに対応し、それらの下にある通信レイヤの伝送エラーを認識し、制御する。すなわち、「非安全な」伝送チャネルが、重ね合わせられた「安全な」プロトコルによって、その完全性に関して絶えず監視される。標準化された安全なプロトコルは、それらのプロトコルが、明確に規定され、画定された閉じたネットワーク空間内の安全な通信を記述するという事実を共有する。それゆえ、例えば、安全なネットワークサブスクライバーの標準規格の数及び配分に関して制約がある。

ＧＳ－ＥＴ－２６「Bases for the Checking and Certification of Bus Systems for the Transmission of Safety-related Messages」３－２０１４版において、「DGUV Test, Checking and Certification Section for Electrotechnology」は、要件及び試験基準に加えて、バス／ネットワークシステムの４つの異なるアーキテクチャモデルを記述している。そこに記述されているアーキテクチャモデルは、メッセージソース及びメッセージトラップからの安全関連通信から始まり、或る特定の安全性レベルの場合に要求される冗長性の取り決めに関してのみ異なる。しかしながら、これは基本的には、常に、安全な通信の２点間の関係に関する。

特許文献１は、セーフクリティカルプロセスを制御するための制御システムを記載している。ここで、ネットワークマスターと、ネットワーク内で制御されることになるセーフクリティカルプロセスに接続される安全関連信号ユニットとは、フィールドバスを介して接続される。さらに、セーフクリティカルプロセスを制御するためにネットワーク内に安全制御装置が設けられ、安全制御装置もフィールド上に配置されるが、ネットワークマスターから離れて設置される。それゆえ、全ての安全サブスクライバーは、共通のフィールドバスを介して同じネットワークに接続され、互いに、安全な電信を交換することができる。このために、安全なサブスクライバーはそれぞれプロトコルチップを含み、プロトコルチップは、安全なサブスクライバーがフィールドバスへの適切なアクセスによって互いに伝送されることになるデータ／情報を交換できるように、入力側において第１のバス接続によって、フィールドバスへの出力側において第２のバス接続によって接続される。ネットワークの構造は、安全制御装置にとって既知でなければならず、その構造は特に、安全制御装置によってアドレス指定される安全関連信号ユニットが配置されるのが、フィールドバスのどの場所であるかを知らなければならない。ネットワークマスターとの間のデータ／情報は、さらに、安全制御装置によって変換されなければならない。

特許文献２は、特許文献１とは対照的に、安全制御装置が、フィールドバスから独立しているネットワークにおいて、又はフィールドバスを介すことなく、ネットワークマスターに接続される制御システムを記載している。したがって、最初に、安全制御装置は、安全指向プロトコルを生成し、そのプロトコルをネットワークマスターに送信する。その後、特に、安全関連プロトコルが、直接及び／又は自らの安全関連機能を用いることなく、有用なデータとしてフィールドバス電信の中に挿入され、安全信号ユニットに送信されるように、フィールドバス上の通信が生成される。

特許文献３は、少なくとも１つの非セーフティクリティカルプロセスと、少なくとも１つのセーフティクリティカルプロセスとを動作させるシステムを記載している。ネットワークマスターデバイスに加えて、別の安全制御装置が設けられ、その装置は、セーフティクリティカルアプリケーションプロセスのために必要とされる構成要素に関して安全関連サーバーデバイスとして構成される。このデバイスは、セーフティクリティカルアプリケーションプロセスの制御のために必要な安全関連データを処理し、関連するデバイスの助けを借りて安全関連データの送信を編成する。関連するデバイスは機能ユニットを設けられ、その機能ユニットを介して、それは全てのネットワーク要素についての情報、少なくとも、セーフティクリティカルプロセスのための必要なネットワーク要素と、必要な構成要素間の互いの関係とについての情報を受信するか、又はネットワークマスターデバイスと協調することによってこの情報を自動的に決定する。これに基づいて、関連するデバイスは、ネットワークマスターデバイスを初期化し、その際、ネットワークマスターデバイスは、標準的な構成要素に基づいて、重ね合わせられる安全通信が、例えば、安全制御装置と安全なＩ／Ｏデバイスとの間の幾つかの２点間関係のような、安全関連ネットワークサブスクライバー間で可能にされるようにネットワークを運用する。通信マスターから利用できるようになる運用手段及びアクセス規則を用いて標準的なネットワークによって運用される、或る程度、重ね合わせられた安全関連ネットワーク構造が構築されるので、そのような関連するデバイスの助けを借りて、安全関連ネットワークサブスクライバー間の通信のために送信されることになる電信は、それゆえ、安全制御装置がネットワーク全体の構造を知ることを必要とせずに、能動的にルーティングすることができる。

それゆえ、従来技術の上記で引用された全ての公開文献は、閉じたネットワーク内の安全関連デバイス間の通信と、安全プロトコルとに関する。

さらに、本出願人によって開発され、２００９年以降に認定を受けた本出願人の「安全ブリッジシステム」は、安全な論理モジュールと、安全な電信の非安全なルーターとしてそれらのモジュールに関連付けられる、安全なデバイス、いわゆる、衛星との間のデータ経路内で、非安全なネットワークマスター及び／又は非安全な標準制御装置を使用する。それゆえ、安全デバイス及び安全なフィールドバスシステムを開発できるように、安全なサブスクライバーにおいて安全機能が直接処理される。ここで、一実施形態では、特殊な機能構成要素が１つの安全なサブスクライバーから別の安全なサブスクライバーへの電信を最終的にコピーし、その結果として、２点間関係が生成される。このルーティングプロセスの場合、非安全なネットワークマスター及び／又は非安全な標準制御装置は、接続される安全なサブスクライバーのアドレスを認識し、管理しなければならない。結果として、構成及びパラメーター化のための一定の更なる労力が生じる。さらに、非安全なデバイス、すなわち、この場合には、非安全なネットワークマスター及び／又は非安全な標準制御装置内のルーティングは、データ（電信）の能動的な周期的なコピーによって、性能を得るために一定の労力があることも意味する。それゆえ、安全なメッセージのルーターとしての非安全なデバイスが、通信技術によってデータフローに能動的に関与する。

現在時刻が、サイバーフィジカルシステム（ＣＰＳ：Cyber Physical Systems）、インテリジェンスの分配（Distribution of Intelligence）及びモノのインターネット（ＩｏＴ:Internet of Things）によってスタンプされる。インターネット技術から自動化技術への移行がＩｎｄｕｓｔｒｙ４．０下で記載されている。インテリジェントデバイス（センサーデバイス、制御ロジック、アクターデバイス）の完全な水平及び垂直リンクが、モジュール化のため（すなわち、任意選択で機械モジュールのプログラムインターフェース、再利用及び適応性を含む、規定された位置に沿った標準化された個々の構成要素から構成される、システム全体までのモジュール化された構成のため）の必須条件である。幾つかの機械部品又はシステム部分の安全関連リンケージが上記において、より大きな役割を演じる。同時に、自動化技術の場合、これまであまり関連のなかったコンポーネントプロトコルがますます重要になっている。マスター／スレーブのような以前の通信機構が、プロデューサー／コンシューマー又はクライアント／サーバーによって補われる。

クラウドサービスのようなインターネット技術は、現在、依然として、自動化の分野において副次的な役割を演じている。自動化技術に対するＩＴサービスの重要性の著しい向上が評価されるべきである。

欧州特許第１１８８０９６号 独国特許出願公開第１０３５３９５０号 欧州特許出願公開第２０５３４７６号

本発明の１つの問題は、マスター／スレーブ、クライアント／サーバー及びプロデューサー／コンシューマーアーキテクチャから独立して、特にＩＴ（情報技術）及びその標準的な構造的構成要素を用いて、オープンネットワーク及び構造において安全な通信を確保できる単純な道筋を示すことである。

本発明の問題は、添付の独立請求項による方法及びネットワークシステムによって解決される。有利で、重要な更なる発展形態が特定の下位請求項の主題を構成する。

したがって、本発明は、安全なデータの少なくとも１つの安全なプロデューサーと安全なデータの安全なコンシューマーとの間のデータ伝送を運用するための方法を提案し、安全なプロデューサーは第１のネットワークインフラストラクチャに接続されるネットワークサブスクライバーであり、安全なコンシューマーは、第１のネットワークインフラストラクチャに、又は第２のネットワークアーキテクチャに接続することができるネットワークサブスクライバーである。ここで、データの少なくとも１つの安全なプロデューサーによって、最初に、安全データの生成が与えられ、その後、データメモリへの書込みアクセスと、それ自体が識別することができるこの生成されたデータのデータメモリへの書込みとが与えられる。

補足形態又は代替形態として、データの少なくとも１つの安全なコンシューマーにおいて、これらの安全なコンシューマーのうちの少なくとも１つによる少なくとも１つの安全なプロデューサーの安全なデータの消費は、少なくとも読出しによってアクセスされることが規定され、それ自体が識別できる或る特定のデータが、これらの安全なコンシューマーのうちのこの少なくとも１つのために書き込まれる。データメモリに書き込まれるデータは、この少なくとも１つの安全なコンシューマーのために決定されたデータであり、その後、この少なくとも１つの安全なコンシューマーによって読み出される。

それゆえ、コンシューマー内のプロデューサーは、生成及び消費の機能が、データ伝送全体にわたる場合でも安全機能として実効的に満たされるように設定及び設計されるので、それゆえ、その結果として、本発明によれば、非サーバーのデータメモリ上を含む、非安全なデータメモリ上に安全電信（safety telegram）を一時的に記憶することができ、それにもかかわらず、安全なプロデューサーと安全なコンシューマーとの間で安全な通信、それゆえ、安全なデータ伝送が実効的に満たされるのを確実にすることができる。

以下に更に詳細に説明される好ましい実施形態によれば、本発明に従って、それゆえ、詳細には、安全なプロデューサーから標準的なデータサーバーに安全な電信を送信するステップと、このデータサーバー上に安全な電信を記憶するステップと、少なくとも１つの安全なコンシューマーによって安全電信を読み出すステップとによって、データのプロデューサーとデータのコンシューマーとの間に安全関連通信が確立され、安全電信は、有利には、安全なプロデューサーからの付加情報を含み、その情報を用いて、安全なコンシューマーは、例えば、プロデューサーの安全な（任意選択では、世界的に一義的な）識別情報によって、及び／又はデータの経過時間（age）、例えば、安全なタイムスタンプによって、データ完全性、すなわち、「起源（origin）」をエラーセーフに判断し、照合することができる。

さらに、詳細には本方法の実用形態の場合、本発明は、少なくとも１つの安全なデータプロデューサーと少なくとも１つの安全なデータコンシューマーとの間のデータ伝送のためのネットワークシステムを提案し、これらの安全なプロデューサーのうちの少なくとも１つが、これらの安全なコンシューマーのうちの少なくとも１つのためのデータを生成するように構成され、これらの安全なコンシューマーのうちの少なくとも１つは、これらの安全なプロデューサーのうちの少なくとも１つからのデータを安全に消費するために構成される。安全なプロデューサーは、ここでは、第１のネットワークインフラストラクチャに接続されるネットワークサブスクライバーであり、安全なコンシューマーは、第１のネットワークインフラストラクチャに、又は第２のネットワークインフラストラクチャに接続することができるネットワークサブスクライバーである。さらに、ネットワークシステムは、データをそこに書き込むことができ、データをそこから読み出すことができるデータメモリと、有利には、それぞれが少なくとも１つのインターフェースを有する少なくとも１つの第１の結合ユニット及び少なくとも１つの第２の結合ユニットとを備え、これらの安全なコンシューマーのうちの少なくとも１つのためのデータを生成するように構成されるこれらの安全なプロデューサーのうちの少なくとも１つは、そのような第１の結合ユニットに接続され、第１の結合ユニットは、データメモリへのそのインターフェースによって書込みアクセス接続を構成することができ、この安全なプロデューサーによって生成されたデータを、それ自体が識別することができるデータメモリに書き込むことができるように構成及び設計される。これらの安全なプロデューサーの少なくとも１つからのデータを安全に消費するために構成される安全なコンシューマーのうちの少なくとも１つは、そのような第２の結合ユニットに接続され、この第２の結合ユニットは、インターフェースによって読出しアクセス接続を構築し、この安全なコンシューマーのために決定されたデータとしてこのデータメモリに識別可能に書き込まれたデータをこのデータメモリから読み出すように構成及び設計される。

その結果として、安全な通信を、詳細には閉じたネットワークの現時点で依然として存在している限界を超えて、詳細にはＷＥＢベース機構を介して行うこともできる。また、これは、詳細には、実質的に任意の分散した場所において協調するシステム構成要素の極めて自在の組み合わせを広げ、それは、また、結果として、機械及びそのモジュールを含む、適応的な安全なシステムの可能性及び能力を実質的に高める。

さらに、詳細には安全電信の送信者－受信者関連を含む、設定されたプロデューサー－コンシューマー関連が長く存在するのではなく、安全関連データのプロデューサーであって、その生成された安全関連データ又は安全なデータがその後、第１の結合ユニットによって電信においてデータメモリに、詳細には、例えば、同様に非安全なサーバーから、同様に非安全なデータメモリに送信され、保管される、プロデューサーと、安全関連データのコンシューマーであって、その安全関連データが第２の結合ユニットによってこれらのデータメモリからこれらのコンシューマーのために読み出される、コンシューマーとが単独で存在する特に好ましい実施形態では、接続指向の通信関係が長くは必要とされないか、又はそのような接続指向の通信関係は存在もしないので、機械部分及びそのモジュール部分を含む、モジュール式システム部分の極めて自在のドッキング及びドッキング解除が可能になる。

本発明のこれらの利点及び他の利点並びに特徴は、添付の図面に対してなされる参照とともに幾つかの例示的な実施形態の以下の説明から明らかになり、これらの特徴は、本発明の枠組みを使用することなく、かつ本発明の枠組みから逸脱することなく、特定の説明される組み合わせにおいてだけでなく、他の組み合わせにおいても使用できるか、単独で使用できることは理解されたい。

データメモリを介しての本発明による安全な通信の極めて簡略化された基本概念を示す図である。 別のネットワークインフラストラクチャ、詳細には、インターネット、詳細には、クラウドコンピューティングインフラストラクチャを介して、デバイスが安全なプロデューサーとして、及び安全なコンシューマーとして設定される、別々のネットワークインフラストラクチャの２つの安全デバイス間の本発明による安全な通信の概略図である。 事実上、非双方向の安全通信関係が存在する、４つの安全なプロデューサーから２つの安全なコンシューマーへの安全な伝送の概略図である。 本発明の範囲内にあるデータセットのためのクラウドパラメーターを調整するためにモニター上に表示される構成メニューのセクションの画面例を示す図である。

全ての図は、極めて簡略化され、及び／又は概略的には縮尺どおりでない図を示す。
類似の、又は同一の要素は、一般に、図において同じ参照符号を用いて指定される。

図示される本発明による安全な通信の概説は、最初に、安全なデータの少なくとも１つの安全なプロデューサーと、安全なデータの少なくとも１つの安全なコンシューマーとの間のデータ伝送を運用するための本発明による方法を例示するための例示的な実施形態であり、安全なプロデューサーは、第１のネットワークインフラストラクチャに接続されるネットワークサブスクライバーであり、安全なコンシューマーは、第１のネットワークインフラストラクチャに、又は第２のネットワークインフラストラクチャに接続することができるネットワークサブスクライバーである。安全なデータの安全なプロデューサーは、図１では、例えば、参照符号１によって「安全なソース」と称される安全な送信機であり、図２では、安全な送信機は参照符号１３によって特徴付けられ、安全なデータの安全なコンシューマーは、図１では、例えば、参照符号２によって「安全なターゲット」と称される安全な受信機であり、図２では、安全な受信機は参照符号２３によって特徴付けられる。

安全なデータの安全なプロデューサーとしての安全な送信機１又は１３によって、安全なコンシューマーとして設けられる少なくとも１つの受信機２又は２３のための安全なデータが生成された後に、このプロデューサーとこのコンシューマーとの間の生成された安全なデータのデータ伝送中の送信ステップ中にデータメモリ３がアクセスされ、そのアクセスは少なくとも書込み１００であり、このデータは、１０１において、データメモリ３に、それ自体が識別可能に書き込まれる。及び／又は、安全な受信機２又は２３による安全な送信機１又は１３の安全なデータの消費の場合、データメモリ３が再びアクセスされ、すなわち、少なくとも読出しアクセスされ（１００’）、有利には、このプロデューサーとこのコンシューマーとの間の生成された安全なデータのデータ伝送中の受信ステップ中に周期的にアクセスされ、それ自体が識別可能な或る特定のデータを安全なコンシューマー、すなわち、安全な受信機２（図１）又は２３（図２）のためのデータメモリに書き込むことができ、安全なコンシューマーのための或る特定の識別可能なデータとしてそこに書き込まれたデータが読み出される（１０２）。生成された安全なデータが、データメモリにそれ自体が識別可能なプロデューサーによって書き込まれ、したがって、安全なコンシューマーに向けられたデータとして安全なコンシューマーのために識別可能であることの結果として、そのデータは、したがって、意図的に、それ自体が識別可能に読み出すことができるか又は検索することができ、このデータはデータメモリ３によって能動的にルーティングされる必要はない。

本発明によれば、例えば、図１及び図２において極めて簡略化され、明確にするために部分的にのみ図示され、安全なデータの安全なプロデューサーとしての安全な送信機１及び１３と、安全なデータの安全なコンシューマーとしての安全な受信機２及び２３との間のデータ伝送用であるネットワークシステムは、データをそこに書き込むことができ、データをそこから読み出すことができるデータメモリ３に加えて、それぞれが少なくとも１つのインターフェース１ａ’及び１０ａ’と、２ａ’及び２０ａ’とを有する、少なくとも１つの第１の結合ユニット１ａ及び１０ａと、少なくとも１つの第２の結合ユニット２ａ及び２０ａとを備える。安全なデータの安全なプロデューサーとしての安全な送信機１及び１３は、第１のネットワークインフラストラクチャＮＩ１に接続されるネットワークサブスクライバーであり、安全なデータの安全なコンシューマーとしての安全な受信機２及び２３は、第１のネットワークインフラストラクチャＮＩ１に、又は第２のネットワークインフラストラクチャＮＩ２に結合することができるネットワークサブスクライバーである。図１において、例えば、データメモリ３が属することができるが、属する必要はない共通の第１のネットワークインフラストラクチャＮＩ１が示される。図２において、例えば、ローカルバス１１及び２１を有する２つの異なる第１のネットワークインフラストラクチャＮＩ１及び第２のネットワークインフラストラクチャＮＩ２が示される。

ここで、データの少なくとも１つの安全なプロデューサーとデータの少なくとも１つの安全なコンシューマーとの間のデータ伝送用のネットワークシステムにおいて、少なくとも１つの安全なプロデューサーは、それゆえ、少なくとも１つの安全なコンシューマーのためのデータを安全に生成するために構成され、少なくとも１つの安全なコンシューマーは、これらの安全なプロデューサーのうちの少なくとも１つからのデータを安全に消費するために構成される。それゆえ、図１に基づいて、安全な送信機１は、例えば、安全な受信機２のためのデータを安全に生成し、更には、そのデータを実用的に変換して安全な受信機２に送信するように構成される。安全な受信機２は、それゆえ、安全な送信機１からのデータを安全に消費し、更には、そのデータを実用的に変換して適切に受信するように構成されることが好ましい。図２に基づいて、安全な送信機１３は、例えば、安全な受信機２３のためのデータを安全に生成し、更には、そのデータを実用的に変換して安全な受信機２３に送信するように構成される。それゆえ、安全な受信機２０は、安全な送信機１３からのデータを安全に消費し、更には、そのデータを実用的に変換して適切に受信するように構成されることが好ましい。

本発明の枠組みにおいて、少なくとも１つの安全なコンシューマーのためのデータを生成するために構成される安全なプロデューサーのうちの少なくとも１つは前述の第１の結合ユニットに接続され、この第１の結合ユニットは、少なくとも１つの書込みアクセス接続１００を構成することによって、そのインターフェースによって、データメモリ３においてそれ自体が識別することができる、安全なプロデューサーによって生成されたデータをデータメモリ３に書き込む（１０１）ように構成及び設計される。したがって、図１及び図２に基づいて、第１の結合ユニット１ａ、１０ａは、安全な送信機１及び１３に接続され、書込みアクセス１００への少なくとも１つの接続、すなわち、書込みアクセス接続を構成することによって、インターフェース１ａ’及び１０ａ’によって、それ自体が識別することができる、安全な送信機１及び１０からデータメモリ３に送信されたデータを、データメモリ３に書き込む（１０１）ように構成及び設計される。

さらに、本発明の枠組みにおいて、安全なプロデューサーのうちの少なくとも１つからのデータを安全に消費するように構成される安全なコンシューマーのうちの少なくとも１つが上記で引用された第２の結合ユニットに接続され、この第２の結合ユニットは、データメモリ３への少なくとも１つの読出しアクセス接続１００’を構成することによって、そのインターフェースによって、この安全なコンシューマーのために決定された識別可能なデータとして、このデータメモリに書き込まれた安全なプロデューサーからのデータをデータメモリ３から読み出す（１０２）ように構成及び設計される。

それゆえ、図１及び図２に基づいて、第２の結合ユニット２ａ、２０ａは、安全な受信機２又は２０に接続され、第１のインターフェース２ａ’及び２０ａ’によって、読み出しアクセス１００’への少なくとも１つのアクセス接続、すなわち、データメモリ３への読出しアクセス接続を構成することによって、安全な受信機のために決定された識別可能なデータとして、データメモリに書き込まれた、安全な送信機１及び１０のデータ１０２を、データメモリ３から読み出すように構成及び設計される。

生成された安全なデータが、それ自体が識別されるプロデューサーによってデータメモリに書き込まれ、その後に、コンシューマーのためのデータとして安全なコンシューマーに向けられることの結果として、そのデータは、したがって、意図的に、それ自体が識別可能に読み出し及び／又は検索することができ、このデータはデータメモリ３において能動的にルーティングされる必要はない。

明確にするために図示されないが、更なる発展形態において、安全なプロデューサー、例えば、送信機１が安全なコンシューマーとしても構成され、及び／又は安全なコンシューマー、例えば、安全な受信機１３が安全なプロデューサーとしても構成される場合には、１つの結合ユニットの代わりに、１つが読出し用、１つが書込み用の２つの結合ユニットを適切に設けることができるか、又は１つの結合ユニットを設けることができるが、しかしながら、その際、その結合ユニットは、読出し－書込みアクセスを伴う接続、すなわち、それを介して書込み及び読出しが可能であるアクセス接続を確立するために構成される。

さらに、図１及び図２において見ることができるように、代替の実施形態では、第１の結合ユニットは、第１のネットワークインフラストラクチャに接続される、安全なプロデューサー（図１）又は第１の他のネットワークサブスクライバー１０（図２）のユニットとすることができる。さらに、第２の結合ユニットは、同様に安全なコンシューマーのネットワークインフラストラクチャに接続される、安全なコンシューマー（図１）又は第２の他のネットワークサブスクライバー２０（図２）のユニットとすることができる。ネットワークシステムの構成によるが、一方の結合ユニットは安全なプロデューサー又は安全なコンシューマーのユニットとすることができ、他方の結合ユニットは別のネットワークサブスクライバーのユニットとすることができることに留意されたい。本発明の枠組みにおいて、結合ユニットは、ハードウェア及び／又はソフトウェアにおいて、特に好ましくはいわゆる埋込デバイスとして設計することができる。

さらに、データメモリ３は、ネットワークシステムの構成に応じて、第１のネットワークインフラストラクチャＮＩ２に、第２のネットワークインフラストラクチャＮＩ２に、又は第３のネットワークインフラストラクチャに接続することができる。図２は、例えば、データメモリ３が第３のネットワークインフラストラクチャに、詳細にはインターネットに接続され、詳細には、クラウドコンピューティングインフラストラクチャ５の一部である実施形態を示す。

共通のネットワークインフラストラクチャ内のネットワークサブスクライバーは、有利には、この関連で、ネットワークインフラストラクチャによるが、更には本発明の適用のために既に使用されているプロトコルが変更される必要がないように、所定の通信プロトコルに従ってデータを送信することができる。

安全機能として、データ伝送全体を介しての安全なデータの生成機能及び安全なデータの消費機能を実効的に満たすために、すなわち、エラー認識、構成及び実行時品質に関する別々の安全関連要件の利用を必要とすることなく、非安全なサーバーのデータメモリ上を含む、非安全なデータメモリ上に、安全な送信機と安全な受信機との間の安全な通信又は安全なデータ伝送、及び安全電信を一時的に記憶するために、安全なプロデューサー、例えば、安全な送信機１、１３及び安全なコンシューマー、例えば、安全な受信機２、２３が、共通の所定の安全プロトコル、詳細には、ネットワークサブスクライバー間の特定の通信プロトコルの使用から独立して、これらの通信プロトコルの上に重ね合わせられるか、又は重ね合わせることができる安全プロトコルを使用するために、安全なプロデューサーと安全なコンシューマーとの間で転送されることになる安全なデータを安全に伝送するために配置及び構成されることが規定されることが好ましい。それゆえ、このために、当業者は、具体的な適用例に応じて、複数の既知の通信プロトコルから適切な通信プロトコルを選択することができ、それに応じて、本発明の枠組み内で、安全なプロデューサーとしての安全な送信機１又は１３と、安全なコンシューマーとしての安全な受信機２又は２３を構成及び設計することもできる。

それゆえ、本発明の枠組みにおいて伝送されることになる安全に生成され、安全に消費されるデータは、それゆえ、更に、安全関連データとすることもできる。

本発明によるネットワークシステムの有利な好ましい実施形態では、安全なプロデューサー、例えば、安全な送信機１又は１３と、安全なコンシューマー、例えば、安全な受信機２又は２３との間で送信されることになるデータに関する、エラー認識指標、有利には、エラーに対する保護指標を変換するための全ての安全機構が、安全なプロデューサー及び安全なコンシューマー内に排他的に存在する。これは、双方向の安全な通信関係が与えられるか、又は与えられるべきである場合に、すなわち、更には安全なプロデューサーが安全なデータの伝送の評価を実行し、任意選択で、関連するエラー－セーフ応答を開始することができるか、又はできるように構成される場合に特に当てはまる。

本発明によるネットワークシステムの別の特に有利な特に好ましい実施形態では、エラー認識指標、そして有利には、エラーに対する保護指標の少なくとも変換は、安全なプロデューサー、例えば、安全な送信機１及び１３と、安全なコンシューマー、例えば、安全な受信機２及び２３との間で送信されることになるデータに関して、存在する安全なコンシューマーにおいて排他的に行われる。これは、双方向の安全な通信関係が全く、又は或る程度、与えらないか、又は与えられるべきでない、すなわち、安全なコンシューマーのみが、このために、安全なデータの伝送の評価を実行し、任意選択で、関連するエラー－セーフ応答を開始することができるか、又はできるように構成される場合に特に当てはまる。

この場合、エラー認識安全機構は、安全なプロデューサー内に存在する必要はなく、むしろ、エラー認識安全機構は、好ましくは、エラー認識のために要求される可能性がある情報のエラー－セーフ生成によってのみ、コンシューマーのエラー認識指標をサポートする。

さらに、具体的な用途に応じて、少なくとも１つの所定の識別情報が、一方では、これらの安全なコンシューマーのうちの少なくとも１つのためのデータを生成するために構成される安全なプロデューサー、例えば、安全な送信機１又は１３に、及び／又は安全なプロデューサーに接続される第１の結合ユニット、例えば、結合ユニット１ａ又は１０ａに保管され、他方では、これらの安全なプロデューサーのうちの少なくとも１つからのデータを安全に消費するように構成される安全なコンシューマー、例えば、安全な受信機２又は２３に、及び／又は安全なコンシューマーに接続される第２の結合ユニット、例えば、本発明によるネットワークシステムの結合ユニット２ａ又は２０ａに保管され、識別情報は、この少なくとも１つの識別情報を用いて少なくとも書込み及び読出しを実行するように構成及び設計される。

そのような識別情報は、例えば、安全なプロデューサーのアドレス情報、安全なコンシューマーのアドレス情報、及び／又は少なくとも１つの安全なプロデューサーと少なくとも１つの安全なコンシューマーとの間で伝送されることになるデータを書き込み、及び／又は読み出すことができるデータメモリの或る特定の記憶域とすることができる。

詳細には、この結果として、非常に簡単な方法において、本発明の方法の適用例及び／又は本発明によるネットワークシステムの用途に応じて、第１の実施形態では、安全なコンシューマーのうちの少なくとも１つのためのデータを生成するために構成される、より安全なプロデューサーが、少なくとも１つの或る特定の安全なコンシューマーのためのデータを安全に生成するように有利に構成され、及び／又はこのより安全なプロデューサーに接続される第１の結合ユニットが、少なくとも１つの或る特定のより安全なコンシューマーのためのデータをデータメモリに書き込むために有利に構成されることが可能になる。このために、例えば、この或る特定のより安全なコンシューマー及び／又はデータメモリの或る特定の記憶域を識別するアドレス情報を使用することができる。

さらに、詳細には、上記の結果として、第２の補足の又は代替の実施形態では、これらの安全なコンシューマーのうちの少なくとも１つのためのデータを生成するために構成される、より安全なプロデューサーは、或る特定の安全なコンシューマーから独立してデータを生成するように有利に構成され、及び／又はこの安全なコンシューマーに接続される第１の結合ユニットが、或る特定の安全なコンシューマーから独立してデータをデータメモリに書き込むように有利に構成される。このために、例えば、安全なプロデューサー及び／又はデータメモリの或る特定の記憶域を識別するアドレス情報を使用することができる。

さらに、詳細には、上記の結果として、別の補足の、又は代替の実施形態では、安全なプロデューサーのうちの少なくとも１つからのデータを安全に消費するために構成される安全なコンシューマーを、或る特定の安全なプロデューサーからのデータを安全に消費するように有利に構成することができ、及び／又はこのコンシューマーに接続される第２の結合ユニットを、或る特定の安全なプロデューサーからのデータを読み出すように有利に構成することができる。このために、例えば、安全なプロデューサー及び／又はデータメモリの或る特定の記憶域を識別するアドレス情報を使用することができる。

本発明の枠組みにおいて、それゆえ、データフローは、２点間接続を介して、又は能動的なルーティング／コピー機構を介して、安全なプロデューサーと安全なコンシューマーとの間で進行しない。むしろ、安全なプロデューサーと安全なコンシューマーとの間のデータ転送は、サーバーの特定に部分に存在することもできるデータメモリを介して、任意選択でクラウド技術を用いて間接的に行われる。さらに、このデータメモリ及び／又はサーバーは有利には、非安全にすることもできる。

さらに、本発明の枠組みにおいて、プロデューサーからの安全なデータは、その結果として、コンシューマーの状態から独立して、それゆえ、特に好ましい実施形態では、コンシューマーの存在からも独立して、及び／又はコンシューマーの数からも独立して最初に生成することができ、及び／又はその後、データメモリに書き込むことができる。さらに、書き込まれた安全なデータは、それゆえ、有利にはいつでも、好ましくは周期的に、データメモリから検索することができ、更に好ましくはプロデューサーの状態から独立して、コンシューマーによって、特に複数のコンシューマーによっても消費することができる。

安全なデータは、ここでは、上記のように、特に、安全な通信内にあるか、又は安全な電信からなることができ、詳細には、適切に選択された安全プロトコルを使用することができる。

それゆえ、安全なプロデューサーとデータの安全なコンシューマーとの間の安全なデータのデータ伝送中に通信経路を一義的に識別するための全てのデータは、具体的な構成に応じて、安全な電信の構成要素のみとすることもできる。後者の場合、それゆえ、特に、第１及び第２の結合ユニットが安全なプロデューサー及び安全なコンシューマーの一部であるとき、結果として、双方向の安全な通信関係が依然として存在する実施形態では、安全なプロデューサー及び安全なコンシューマーのみが、識別情報の少なくとも対応する一義的な部分を認識しなければならない。

事実上、プロデューサーとコンシューマーとの間の双方向の安全な通信関係がもはや存在せず、むしろ、プロデューサーが、このデータが消費されるか否かを知ることなく、そのことから独立して安全関連データを安全に生成する特に好ましい実施形態では、この安全に生成されたデータは、その後、或る特定のデータメモリの或る特定の記憶域を識別する情報のみに基づいて、例えば、データメモリに、詳細には非安全なデータメモリに送信することができ、そこに書き込むことができる。当業者には明らかであるように、この情報は再び、具体的な構成に応じて、そのような安全な電信の構成要素とすることもできるか、又はそのような安全な電信の構成要素のみとすることもできる。それゆえ、データメモリは、そのようなプロデューサーのための１つのタイプの「遠隔」データデポジトリとして、ここで或る程度役に立つ。それゆえ、後者は、この場合、この安全なデータ、及び／又はそれを含む安全な電信の潜在的なコンシューマーからの応答も必要としない。それゆえ、詳細には、この場合に、安全な電信の送信の成功／失敗、及びそれに関連するエラー－セーフ応答の安全関連評価は、プロデューサーにおいて実行することはできない。言い換えると、安全なプロデューサーにとって、データ及び／又は電信が任意のコンシューマーまでの進行中に改竄されたか、入れ替えられたか、遅延したかは重要ではないか、又はそれが上記で論じられたエラーモデルに対応する他のエラーを有するか否かは重要ではない。それゆえ、この場合、安全なプロデューサーから安全なコンシューマーへの伝送エラーを認識するための全ての指標は、安全なコンシューマーにおいてのみ、詳細には、任意のエラー－セーフ応答も、認識された伝送エラーに変換される。しかしながら、上記で既に検討されたように、プロデューサーは有利には、少なくとも、例えば、安全な（任意選択で一義的な世界的な）プロデューサーの識別情報、安全なタイムスタンプ、安全な通し番号及び／又は安全なＣＲＣのような、エラーを認識するのに適した必要な付加情報のエラー－セーフ生成によって、コンシューマーのエラー認識指標をサポートする。

データメモリ／サーバー自体は再び、好ましくは、有利には、読出しアクセス及び書込みアクセスをサポートすることができる。しかしながら、データメモリ／サーバーはそれ自体を能動的にルーティングしない。

それゆえ、安全電信において、送信されることになる実際の安全な、それゆえ、詳細には、安全関連の有用なデータに加えて、更には、例えば、一義的な識別情報、実行番号、タイムスタンプ又はＣＲＣのような、安全な伝送のために必要な全ての冗長な情報が送信されることが更に好ましく、エラー認識指標の変換は、そして有利にはエラーに対する保護指標の変換も、構成に応じて、プロデューサー及びコンシューマーにおいてのみ、又はコンシューマーにおいてのみ行うことができる。データメモリの書込み中、データメモリからの読出し中、及び／又はデータメモリとの間の伝送中のエラーは、それゆえ、更に、送信機と受信機との間の双方向の安全な通信関係を使用するときだけでなく、事実上、双方向の安全な通信関係がもはや存在しないときにも、適切に重ね合わせられた安全プロトコルによって安全に認識することができる。

それゆえ、データメモリ／サーバーは安全指向である必要はないので、結果として、更に標準的なデータメモリ／サーバーを使用することができ、及び／又はクラウド技術を使用するとき、パブリッククラウド及びプライベートクラウドの両方を使用することができる。

それゆえ、本発明によれば、安全なプロデューサーと安全なコンシューマーとの間の安全な通信は、プロデューサーとコンシューマーとの間の電信の通例の伝送によってではなく、遠隔データメモリへのプロデューサー側の書込みと、この遠隔データメモリのコンシューマー側の読出しとによって生じる。

データメモリを介しての本発明による安全な通信に関して、図１において、安全なプロデューサーとしての安全な送信機１において、例えば、安全なメッセージ「ＳＰＤＵ」（英語で、「セッションプロトコルデータユニット」：Session Protocol Data Unit）が生成され、構成された書込みアクセス接続「ｗｒｉｔｅ＿ｄａｔａ」を介して、データメモリ３に書き込まれる。これは、非安全なサーバー上のメッセージとすることができるが、クラウドコンピューティングインフラストラクチャ又は何らかの他のファイルシステムとすることもできる。安全なコンシューマーとしての安全な受信機２が、このメモリを読み出し、それゆえ、安全なメッセージ「ＳＰＤＵ」を間接的に受信する。安全なメッセージは、遠隔して位置するデータメモリを介して間接的に進行するが、安全な送信機１と安全な受信機２との間に「通信接続４」が論理的に生成される。安全な送信機１及び安全な受信機２は、略記されるように、ここでは、明確にするために詳細には示されない同じネットワークインフラストラクチャＮＩ１に接続することができるか、又は異なるネットワークインフラストラクチャにも接続することができる。

この例示的な実施形態に対する変更形態として、例えば、モジュール式機械は、異なる製造業者からの機械モジュールから構成される可能性がある。個々の機械モジュール内で、安全機能は、通例の安全システムによって、例えば、安全制御装置によって、及び／又は集中的に、若しくは分散的に、論理的に変換される。その後、プロデューサー及びコンシューマーとして互いに協働するこれらの異なる機械モジュールは、その後、本発明の枠組みにおいて、具体的な構成に応じて、ネットワークサブスクライバーとして、共通のネットワークインフラストラクチャに、又は異なるネットワークインフラストラクチャに接続することができる。

例えば、安全なデータの安全なプロデューサーとしての機械モジュールが安全な送信機１であり、それらを、例えばオブジェクトの形態でＯＰＣ ＵＡを介して標準的なサーバーＵＡ上のデータメモリ３に保管し、受信機２が、それゆえ、この安全なデータの安全なコンシューマーであり、ＯＰＣ ＵＡオブジェクトを読み出すことによってこのデータを受信し、その後、それらを消費することができるという点で、その際、本発明による機械に重なる安全な通信が実現される。産業用機械間、略してＭ２Ｍ通信プロトコルとしての「ＯＰＣ統合アーキテクチャ」、略してＯＰＣ ＵＡは、機械データ（プロセス値、測定値、パラメーター等）を輸送できるだけでなく、それらを機械に合わせて意味的に記述できることによって特徴付けられる。一方、サーバー上のデータメモリに保管された安全なデータは、有利には、オブジェクトを読み出す少なくとも受信機２がデータサーバーを介してこの間接的な伝送における全てのエラーを安全に認識できるようにするために、一義的な識別子、及び、例えば、ＣＲＣ、通し番号、タイムスタンプ等の冗長情報を含む。

別のネットワークインフラストラクチャ、詳細にはインターネット、詳細には、クラウドコンピューティングインフラストラクチャ（略して、クラウドと呼ばれる）を介しての２つの別々のネットワークインフラストラクチャＮＩ１及びＮＩ２の２つの安全なデバイス間の安全な通信に関する、図２による例示的な実施形態の場合、Ｉ／Ｏデバイス１２（例えば、「遠隔」ＩＯ局と呼ぶことができるモジュール式遠隔Ｉ／Ｏデバイス）の安全な入力モジュールが、安全な送信機１３として安全なデータを生成する。それゆえ、安全な送信機１３は、本発明の枠組みにおいて、安全なプロデューサーである。安全な入力モジュールはこのＩＯ局１２を介して第１のネットワークインフラストラクチャＮＩ１に接続され、更に、この安全なデータを安全な受信機２３に送信するように構成され、安全な受信機は、例えば、第２のネットワークインフラストラクチャＮＩ２に接続されるＩ／Ｏデバイス２２（例えば、「遠隔」ＩＯ局と呼ぶことができるモジュール式遠隔Ｉ／Ｏデバイス）の安全な出力モジュールである。安全な受信機２３は、それゆえ、本発明の枠組みにおいて、安全なコンシューマーである。ここで、安全なデータは、詳細には安全電信において、例えば、第１のネットワークインフラストラクチャＮＩ１のバス１１を介して、別の第１のネットワークインフラストラクチャ１０としてこのネットワークインフラストラクチャに接続される標準的な制御装置に送信される。結合ユニット１０ａはこの場合、それゆえ、標準的な制御装置の１つのユニットであり、本発明の枠組みは、この他のネットワークサブスクライバー１０が適切なソフトウェアによって結合ユニット１０ａとともに配置及び構成できることも含む。結合ユニット１０ａは、安全電信における安全なデータをサーバーのデータメモリ３上に保管するために、クラウド５へのインターネット接続を介して第１のインターフェース１０ａ’によってサーバー３への書込みアクセス接続を構成する。これとは別に、第２のネットワークインフラストラクチャＮＩ２の別の第２のネットワークサブスクライバー２０としての結合ユニット２０ａ（又は対応して構成される標準的な制御装置の１つのユニットとしての結合ユニット）を用いて構成される標準的な制御装置が、新たなデータを要求するために、好ましくは周期的に、クラウド５へのインターネット接続を介してインターフェース２０ａ’によってデータメモリ３への書込みアクセス接続を確立する。そのデータが安全な受信機２３に向けられる、安全な送信機１３の新たな安全なデータがデータメモリ３に書き込まれた場合には、結合ユニット２０ａはこのデータを読み出し、そのデータを、例えば、第２のネットワークインフラストラクチャＮＩ２のバス２１を介してＩ／Ｏデバイス２２に送信し、Ｉ／Ｏデバイスは最終的に、安全な電信を安全なプロデューサーとして構成される安全な受信機２３に転送する。この例示的な実施形態では、本発明の枠組み内でプロデューサー及びコンシューマーに接続される結合ユニットのうちの少なくとも１つ、及び図２によれば、結合ユニット１０ａ及び２０ａの両方が標準的なネットワークサブスクライバーの一部であるので、その結果として、安全なプロデューサーとデータの安全なコンシューマーとの間の安全なデータのデータ伝送における通信経路の一義的な識別情報のために使用される情報は、特定の標準的なネットワークサブスクライバーとデータメモリとの間のデータの送信のために、すなわち、書込み及び読出しのために使用される少なくとも１つの伝送プロトコルを使用するために少なくとも部分的に、適切に構成されなければならないことは当業者には明らかである。具体的な使用法は、例えば、ＣＯＤＥＳＹＳ（メモリプログラマブル制御「ＳＰＳ」のための開発環境「コントローラー開発システム」）プロジェクトに基づいて実現することができ、その場合、結合ユニット１０として構成されるＳＰＣ（英語では、プログラマブルロジックコントローラー、「ＰＬＣ」：Programmable Logic Controllerとも呼ばれる）が、安全な入力モジュール１３から、第１の、この場合には、その自らのネットワークインフラストラクチャ（例えば、イーサキャットベース）のバス１１を介して安全電信において安全なデータを受信し、そのデータを「ＰＬＣクラウド」に保管する。

この例示的な実施形態の更なる変更形態では、例えば、結合ユニット２０ａは、安全なサブスクライバー（例えば、セーフティブリッジ）を有するローカルの閉じたネットワークの（例えば、第２の）ネットワークインフラストラクチャが接続されるインターネットアクセスを伴う標準的な制御装置の一部とすることもできる。これらのサブスクライバーのうちの１つは、例えば、そこに接続される安全な入力サブスクライバー（例えば、本出願人のＰＳＤＩの「ＰＳＤＩ」の安全指向デジタル入力モジュール）からの別の（例えば、第１の）ネットワークインフラストラクチャを伴う別のローカルネットワークからのデータを消費することもできる安全制御装置（例えば、本出願人の「ＬＰＳＤＯ」の安全指向デジタル出力モジュール）である。他のローカルネットワークの標準的な制御装置も、インターネットにアクセスすることができる。一方の（又は第２の）ローカルの閉じたネットワークの安全制御装置は、それゆえ、この場合に、安全なプロデューサーであり、他方の（又は第１の）ローカルネットワークの安全制御装置は安全なコンシューマーである。

いずれの標準的な制御装置も、クラウド又はクラウドコンピューティングインフラストラクチャの同じデータメモリにアクセスすることができる。したがって、この場合、他方の（又は第１の）ローカルネットワークの標準的な制御装置は、適切な書込みアクセス接続を介してクラウドのデータメモリに安全な入力サブスクライバーＰＳＤＩのデータを書き込むように構成及び設計され、一方の（又は第２の）ネットワークの標準的な制御装置は、他方の（又は第１の）ローカルネットワーク内のＬＰＳＤＯに送信されたこのデータを必要に応じて読み出すために構成及び設計される。

図３による別の例示的な実施形態は、事実上、方向性の安全な通信関係が存在しない、４つの安全なプロデューサーＰ１０、Ｐ１１、Ｐ１２、Ｐ１３から２つの安全なコンシューマーＣ２０、Ｃ２１への安全な伝送に関連する。

安全なプロデューサーＰ１０、Ｐ１１、Ｐ１２及びＰ１３は、この場合、データが更に消費されるか否かを知ることなく、データが更に消費されるか否かとは無関係に、安全関連データを生成する。安全なプロデューサーＰ１０、Ｐ１１、Ｐ１２、Ｐ１３は、例えば、入力データを利用可能にするか、又はそのように構成若しくは配置される第１のネットワークインフラストラクチャＮＩ１のネットワークサブスクライバー１１０、１１１、１１２及び１１３の一部である。安全なプロデューサーＰ１０、Ｐ１１、Ｐ１２及びＰ１３からの安全に生成されたデータ、詳細には安全関連データは、その後、例えば、クラウド５内の標準的なデータメモリ３に送信され、そこで、異なる所定の記憶域Ｔ１０、Ｔ１１、Ｔ１２又はＴ１３、すなわち、適切な識別情報によってネットワークサブスクライバー１１０、１１１、１１２及び１１３のプロデューサーＰ１０、Ｐ１１、Ｐ１２又はＰ１３のために与えられた記憶域上に保管される。ここで、対応するように構成される他の結合ユニットは、明確にするために示されない。

例えば、入力データを更に処理してデータを出力するネットワークサブスクライバー２２０及び２２１の一部として設計及び構成されるか、又はそのように設計及び構成される２つのコンシューマーＣ２０及びＣ２１は、非安全なメッセージ３から、それらのための関連するデータ、詳細には、このデータのみを読み出し、内容及び付加情報によって、伝送のデータの完全性を検査する。標準的なデータメモリ３からこのデータを読み出すために、所定の記憶域Ｔ１０、Ｔ１１、Ｔ１２又はＴ１３（すなわち、ネットワークサブスクライバー２２０及び２２１のコンシューマーＣ２０及びＣ２１のために与えられた記憶域）への書込みアクセスが排他的に行われる。（ネットワークサブスクライバー２２１の）コンシューマーＣ２１が（ネットワークサブスクライバー１１１及び１１２の）プロデューサーＰ１１及びＰ１２からのデータを消費すべきである場合とは対照的に、（ネットワークサブスクライバー２２０の）コンシューマーＣ２０が、例えば、（ネットワークサブスクライバー１１０及び１１１の）プロデューサーＰ１０及びＰ１１からのデータを必要とする場合には、これらの所定の記憶域からのデータのみが消費されるのが確実にされるように、データ読出しアクセスのためのこれらの記憶域Ｔ１０及びＴ１１又はＴ１１又はＴ１２が、適切な識別情報によって与えられる。ここでも、対応するように構成される他の結合ユニットは、明確にするために示されない。

それゆえ、（ネットワークサブスクライバー１１３の）プロデューサーＰ１３のデータは、この例示的な実施形態では、いかなる終端デバイスによっても消費されない。

さらに、この例示的な実施形態では、安全電信の送信の成功／失敗及び関連するエアー－セーフ応答の安全関連評価はプロデューサーによって実行されることはない。それらへの応答が不要である。伝送エラーの認識のための全ての指標、詳細には認識された伝送エラーに対する任意のエラー－セーフ応答は、それゆえ、ネットワークサブスクライバー２２０及び／又は２２１のコンシューマーＣ２０又はＣ２１において排他的に変換されることが好ましい。安全なプロデューサーＰ１０、Ｐ１１、Ｐ１２及びＰ１３は有利には、例えば、発生器の安全な（任意選択で一義的な世界的な）識別情報、安全なタイムスタンプ、安全な通し番号及び／又は安全なＣＲＣのような、エラーを認識するために必要な付加情報のエラー－セーフ生成によってのみエラー認識指標をサポートする。

図４は、本発明の枠組み内で保管されることになるデータ記録、例えば、記憶域Ｔ１０内に保管されることになるデータ記録のためのクラウドパラメーターを設定するためにモニター上に表示される構成メニューのセクションの例示的な画面例を示す。ここで、安全なデータの安全なプロデューサーＰ１０は、例えば、「ｍｙＲａｓｐＰＬＣ」によって指定されるメモリプログラム可能な安全な制御装置である。「ＰＬＣチャネルコンフィギュレーター」によって指定される、構成メニューの次の下位レベルにおいて、ユーザーは、例えば、クラウド５の標準的なデータメモリ３のためのアクセスデータ、及び生成されたデータ記録の保管のための決定された記憶域Ｔ１０を与えることができる。メモリプログラム可能な安全な制御装置によって生成される有効成分データ記録は、図示される例によれば、安全電信「ＳａｆｅｔｙＴｅｌｅｇｒａｍｍｓ」の安全なデータの記録であり、それは、詳細には、エラー認識のための保護指標、そして有利には、エラーに対する保護のためにも必要な全ての付加データも含み、その情報は、これらの指標を変換するためにこの安全電信のコンシューマー、例えば、図３によれば、コンシューマーＣ２０によって使用される。

本発明の枠組み内で検索されることになるデータ記録、例えば、記憶域Ｔ１０からコンシューマーＣ２０によって消費されることになる保管されたデータ記録のためのクラウドパラメーターを設定するための構成メニューは、いつでも適切に構成できるように準備しておくことができることは当業者には明らかである。

例えば、クラウドを介しての２つの安全制御装置間の安全な通信、「クラウド対応」センサーと安全制御装置との間の安全な通信、又は安全制御装置と安全なＩ／Ｏデバイスのデジタルイメージ（シミュレーション）との間の安全な通信のような、本発明の枠組み内で他の可能な実施形態が可能であることは、先行する例に基づいて当業者は更に認識することができる。

さらに、上記の例示的な実施形態に対する補足形態として、アクセスユニット内にセキュリティ保護情報を記録することもでき、アクセスユニットは、セキュリティ保護情報を用いて、特にクラウドコンピューティングインフラストラクチャとのセキュア伝送、詳細には被符号化データ伝送を開始するために構成及び設計される。結果として、データ伝送のセキュリティを明確に高めることができる。詳細には、この関連で、アクセスユニットの記憶域内にセキュリティ証明書を記録又は記憶することができる。このセキュリティ証明書は、例えば、クラウドコンピューティングインフラストラクチャのプロバイダーによって発行することができる。一方、そのようなセキュリティ証明書によって結合ユニットを認証することができ、クラウドコンピューティングインフラストラクチャとのデータ伝送のために許可されたことを立証することができる。データの伝送のために確立された接続は、その際、結果としてセキュアである。一方、セキュリティ証明書に基づいて、結合ユニットとクラウドコンピューティングインフラストラクチャとの間で被符号化データ伝送を行うことができる。例えば、ここでは、符号化機構としてＴＬＳ（英語で、トランスポートレイヤセキュリティ（transport layer security））を設けることができる。

１、１３ 安全な送信機
１ａ、１０ａ 第１の結合ユニット
２、２３ 安全な受信機
２ａ、２０ａ 第２の結合ユニット
１ａ’、１０ａ’、２ａ’、２０ａ’ インターフェース
３ データメモリ
５ クラウドコンピューティングインフラストラクチャ
１０、２０ 第１、第２のネットワークサブスクライバー
１２、２２ Ｉ／Ｏデバイス
１１、２１ ローカルバス
１００ 書込みアクセス
１０１ 書込み
１００’ 読出しアクセス
１０２ 読出し又は検索
１１０、１１１、１１２、１１３ ネットワークサブスクライバー
２２０、２２１ ネットワークサブスクライバー
Ｐ１０、Ｐ１１、Ｐ１２、Ｐ１３ 安全なプロデューサー
Ｃ２０、Ｃ２１ 安全なコンシューマー
Ｔ１０、Ｔ１１、Ｔ１２、Ｔ１３ 記憶域
ＮＩ１、ＮＩ２ 第１、第２のネットワークインフラストラクチャ

Claims (13)

1. データの少なくとも１つの機能的に安全なプロデューサーとデータの少なくとも１つの機能的に安全なコンシューマーとの間のデータの機能的に安全な伝送のためのエラー－セーフ自動化システムのネットワークシステムであって、
   前記機能的に安全なプロデューサー（１、１３、Ｐ１０、Ｐ１１、Ｐ１２、Ｐ１３）は第１のネットワークインフラストラクチャ（ＮＩ１）に接続されるネットワークサブスクライバーであり、前記機能的に安全なコンシューマー（２、２３、Ｃ２０、Ｃ２１）は、前記第１のネットワークインフラストラクチャ（ＮＩ１）に、又は第２のネットワークインフラストラクチャ（ＮＩ２）に接続することができるネットワークサブスクライバーであり、これらの機能的に安全なプロデューサーのうちの少なくとも１つは、これらの機能的に安全なコンシューマーのうちの少なくとも１つのための機能的に安全なデータを生成するように構成され、これらの機能的に安全なコンシューマーのうちの少なくとも１つはこれらの機能的に安全なプロデューサーのうちの少なくとも１つからの機能的に安全な消費データのために配置され、該ネットワークシステムは、
   データメモリ（３）であって、該データメモリにデータを書き込むことができ、該データメモリからデータを読み出すことができる、データメモリと、
   それぞれ少なくとも１つのインターフェース（１ａ’、１０ａ’、２ａ’、２０ａ’）を備える少なくとも１つの第１の結合ユニット（１ａ、１０ａ）及び少なくとも１つの第２の結合ユニット（２ａ、２０ａ）と、
   を備え、
   これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを生成するように構成される、これらの機能的に安全なプロデューサーのうちの少なくとも１つは、そのような第１の結合ユニット（１ａ、１０ａ）に接続され、この第１の結合ユニット（１ａ、１０ａ）は、前記データメモリへの少なくとも１つの書込みアクセス接続（１００）を確立することによって、この安全なプロデューサーによって生成された、それ自体が識別することができるデータを前記データメモリに書き込む（１０１）ように、そのインターフェース（１ａ’、１０ａ’）によって構成及び設計され、
   前記機能的に安全なプロデューサーのうちの少なくとも１つからの消費データのために構成されるこれらの機能的に安全なコンシューマーのうちの少なくとも１つは、そのような第２の結合ユニット（２ａ、２０ａ）に接続され、この第２の結合ユニットは、前記データメモリへの少なくとも１つの読出しアクセス接続（１００’）を確立することによって、前記データメモリから前記機能的に安全なプロデューサーのデータを読み込むように構成及び設計され、前記データはこの安全なコンシューマーのために決定されたようにこのデータメモリに識別可能に書き込まれ、前記機能的に安全なプロデューサーと前記機能的に安全なコンシューマーとの間で送信されることになるデータに関するエラー認識指標を変換するための機能的な安全に関する安全機構は、前記安全なプロデューサーと前記安全なコンシューマーに排他的に存在し、および／または、前記機能的に安全なプロデューサーと前記機能的に安全なコンシューマーとの間で送信されることになるデータに関するエラー認識指標の少なくとも変換は、前記安全なコンシューマーにおいて排他的に行われる、ネットワークシステム。
2. これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを生成するように構成される前記機能的に全なプロデューサーは、少なくとも１つの或る特定の機能的に安全なコンシューマーのためのデータを機能的に安全に生成するように構成され、及び／又は、
   この機能的に安全なプロデューサーに接続される前記第１の結合ユニット（１ａ、１０ａ）は、少なくとも１つの或る特定の機能的に安全なコンシューマーのためのデータを前記データメモリに書き込むように構成される、請求項１に記載のネットワークシステム。
3. 前記機能的に安全なプロデューサーは、これらの機能的に安全なコンシューマーのうちの少なくとも１つのための機能的に安全に生成されるデータを、或る特定の機能的に安全なコンシューマーから独立してデータを生成するように構成され、及び／又は、
   前記機能的に安全なプロデューサーに接続された第１の結合ユニット（１ａ、１０ａ）は、或る特定の機能的に安全なコンシューマーから独立して前記データメモリにデータを書き込むように構成される、請求項１に記載のネットワークシステム。
4. これらの機能的に安全なプロデューサーのうちの少なくとも１つからのデータを機能的に安全に消費するように構成される前記機能的に安全なコンシューマーは、或る特定の機能的に安全なプロデューサーからのデータを消費するように構成され、及び／又は、
   前記機能的に安全なコンシューマーに接続される前記第２の結合ユニット（２ａ、２０ａ）は、前記或る特定の機能的に安全なプロデューサーからのデータを読み出すように構成される、請求項１～３のいずれか一項に記載のネットワークシステム。
5. 前記第１の結合ユニットは前記機能的に安全なプロデューサーのユニットであるか、又は前記第１のネットワークインフラストラクチャに接続される第１の他のネットワークサブスクライバー（１０）のユニットであり、
   前記第２の結合ユニットは前記機能的に安全なコンシューマーのユニットであるか、又はこの機能的に安全なコンシューマーの前記ネットワークインフラストラクチャにも接続される第２の他のネットワークサブスクライバー（２０）のユニットである、請求項１～４のいずれか一項に記載のネットワークシステム。
6. 前記データメモリ（３）は前記第１のネットワークインフラストラクチャに、前記第２のネットワークインフラストラクチャに、又は第３のネットワークインフラストラクチャに接続される、請求項１～５のいずれか一項に記載のネットワークシステム。
7. 前記データメモリは第３のネットワークインフラストラクチャに、詳細にはインターネットに接続され、詳細には、クラウドコンピューティングインフラストラクチャ（５）の一部である、請求項１～６のいずれか一項に記載のネットワークシステム。
8. ネットワークサブスクライバーは、所定の通信プロトコルに従ってネットワークインフラストラクチャ内でデータを送信する、請求項１～７のいずれか一項に記載のネットワークシステム。
9. これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを生成するために構成される前記機能的に安全なプロデューサー、及びこれらの機能的に安全なプロデューサーのうちの少なくとも１つからのデータを機能的に安全に消費するように構成される前記機能的に安全なコンシューマーは、この機能的に安全なプロデューサーとこの機能的に安全なコンシューマーとの間で伝送されることになるデータの伝送のための共通の所定の安全プロトコルを、詳細には、ネットワークサブスクライバー間の特定の通信プロトコルの使用とは独立して、重ね合わせられるか、又は通信プロトコルに重ね合わせることができる安全プロトコルを使用するように構成及び設計される、請求項１～８のいずれか一項に記載のネットワークシステム。
10. これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを生成するために構成される前記機能的に安全なプロデューサーと、これらの機能的に安全なプロデューサーのうちの少なくとも１つからのデータを機能的に安全に消費するために構成される前記機能的に安全なコンシューマーとの間で伝送されることになるデータに関するエラー認識指標を変換するための機能的な安全に関する安全機構が、前記機能的に安全なプロデューサー及び前記機能的に安全なコンシューマー内に排他的に存在する、請求項１～９のいずれか一項に記載のネットワークシステム。
11. これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを生成するように構成される前記機能的に安全なプロデューサーと、これらの機能的に安全なプロデューサーのうちの少なくとも１つからのデータを機能的に安全に消費するように構成される前記機能的に安全なコンシューマーとの間で伝送されることになるデータに関するエラー認識指標の前記変換は、前記機能的に安全なコンシューマーにおいて排他的に行われる、請求項１～１０のいずれか１項に記載のネットワークシステム。
12. 少なくとも１つの所定の識別情報が、これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを生成するために構成される前記機能的に安全なプロデューサーに、及び／又は前記機能的に安全なプロデューサーに接続された前記第１の結合ユニットに、
    同様にこれらの機能的に安全なプロデューサーのうちの少なくとも１つからのデータを機能的に安全に消費するように構成される前記機能的に安全なコンシューマーに、及び／又は前記機能的に安全なプロデューサーに接続された前記第２の結合ユニットに記録され、前記識別情報は、この少なくとも１つの識別情報を用いて少なくとも書込み及び読出しを実行するように構成及び設計される、請求項１～１１のいずれか一項に記載のネットワークシステム。
13. データの少なくとも１つの機能的に安全なプロデューサー（１、１３、Ｐ１０、Ｐ１１、Ｐ１２、Ｐ１３）と安全なデータの少なくとも１つの機能的に安全なコンシューマー（２、２３、Ｃ２０、Ｃ２１）との間の機能的に安全なデータ伝送を運用するための方法であって、この機能的に安全なプロデューサーは、第１のネットワークインフラストラクチャ（ＮＩ１）に接続されるネットワークサブスクライバーであり、前記機能的に安全なコンシューマーは、前記第１のネットワークインフラストラクチャに、又は第２のネットワークインフラストラクチャ（ＮＩ２）に接続することができるネットワークサブスクライバーであり、前記方法は、
    前記機能的に安全なプロデューサーによってこれらの機能的に安全なコンシューマーのうちの少なくとも１つのためのデータを機能的に安全に生成し、データメモリへの書込みアクセスを行い（１００）、それ自体が識別可能なこの生成されたデータをデータメモリに書き込む（１０１）ステップ、及び／又は、
    これらの機能的に安全なコンシューマーのうちの少なくとも１つによって少なくとも１つの機能的に安全なプロデューサーのデータを機能的に安全に消費するステップを含み、これらの機能的に安全なコンシューマーのうちの少なくとも１つのためのそれ自体が識別可能な或る特定のデータを書き込むことができるデータメモリが少なくとも読出し（１００’）によってアクセスされ、
    前記データは読み出され、少なくとも１つの機能的に安全なコンシューマーについての或る特定の識別可能なデータとして書き込まれ、
    前記機能的に安全なプロデューサーと前記機能的に安全なコンシューマーとの間で送信されることになるデータに関するエラー認識指標を変換するための機能的な安全に関する安全機構は、前記安全なプロデューサーと前記安全なコンシューマーに排他的に存在し、
    これらの機能的に安全なコンシューマーのうちの少なくとも１つのための機能的に安全なデータを生成するように構成される前記機能的に安全なプロデューサーと、これらの機能的に安全なプロデューサーのうちの少なくとも１つからのデータを機能的に安全に消費するように構成される前記機能的に安全なコンシューマーとの間で伝送されることになるデータに関するエラー認識指標の前記変換は、前記安全なコンシューマーにおいて排他的に行われる、方法。

Images