JPWO2003001307A1 - 安全ネットワークシステム及び安全スレーブ並びに通信方法 - Google Patents

Abstract

安全ＰＬＣ１と、安全スレーブ２とが安全ネットワーク３を介して接続される。安全ＰＬＣは、安全スレーブに対して一斉同報により安全情報の要求を送信する機能を持つ。安全スレーブは、安全状態にあるか否かを特定する安全情報を送信する安全情報送信機能と、安全情報を送信する送信フレームの優先度を変更する変更手段を備える。変更手段は、安全状態のときよりも安全状態で無い場合の優先度を高く設定する。これより、一斉同報に応答して各安全スレーブから一斉に安全応答をした場合に、優先度の高い安全情報（危険）が優先して安全ＰＬＣに送られる。

Description

技術分野
この発明は、安全ネットワークシステム及び安全スレーブ並びに通信方法に関するものである。
背景技術
ファクトリーオートメーション（以下、「ＦＡ」と称する）で用いられるプログラマブルコントローラ（以下、「ＰＬＣ」と称する）は、スイッチやセンサなどの入力機器からＯＮ／ＯＦＦ情報を入力し、ラダー言語などで書かれたシーケンスプログラム（ユーザプログラムとも称する）に沿って論理演算を実行し、求められた演算結果に従い、リレーやバルブ，アクチュエータなどの出力機器にＯＮ／ＯＦＦ情報の信号を出力することで制御が実行される。
ところで、ＰＬＣと、入力機器並びに出力機器との接続形態は、ＰＬＣに直接接続する場合もあれば、ネットワークを介して接続する場合もある。係るネットワークで接続されたネットワークシステムを構築した場合、上記ＯＮ／ＯＦＦ情報の送受をネットワークを経由して行うことになる。このとき、通常、ＰＬＣ側がマスタとなり、機器側がスレーブとなるマスタスレーブ方式で情報の伝送が行われる。
一方、最近ではＰＬＣによる制御においても、フェイルセーフ（安全）システムが導入されつつある。つまり、ＰＬＣや各機器自体はもちろんネットワークも安全機能を組み込まれたもので構成される。ここで安全機能とは、安全であることを確認し、出力を行う機能である。そして、安全システムは、緊急停止スイッチが押下されたり、ライトカーテンなどのセンサが人（身体の一部）の進入を検出した場合等のネットワークシステムが危険状態になった場合に、フェイルセーフが働き、システムが安全側になって、動作が停止するようにするものである。換言すると、上記した安全機能により、安全であることが確認されたときのみ出力し、機械を動かすシステムである。よって、安全が確認できない場合には、機械が停止する。
すなわち、設備システムとして、生産ロボットや圧力プレス機，切断機などが含まれた設備があり、係る設備の現場では、人が作業をしていることがある。この場合に、生産ロボットのアームが身体に接触したり、圧力プレス機の圧力が身体の一部に加わったり、切断機の切断刃が身体に触れるなどの、危険な事故が起こる可能性がある。そのような事故を未然に防止するべく、設備システムが危険状態になれば、設備を停止させる（生産ロボットや圧力プレス機、切断機の動作を停止する）ように制御する。また、完全停止しないまでも、生産ロボットのアームをゆっくり動かしたり、圧力プレス機の圧力を下げるなどの身体に危険が及ばない程度の動作をさせるような制御をすることもある。このように、設備システムを危険状態にならないような方向に制御するのが、安全システムである。
上記した安全機能を備えたネットワークシステム（安全ネットワークシステム）の場合、異常，危険状態が発生した時から、安全動作（装置の停止等）を実行するまでに要する最大応答時間を一定にする必要がある。すなわち、良く知られているように、マスタースレーブ方式で情報伝送をする場合、図１（ａ）に示すように、マスタからの要求に従って各スレーブが順にマスタに安全応答を返すようになる。図示の例では、ネットワークシステムを構成するスレーブは３つである。なお、ここで扱うＯＮ／ＯＦＦ情報は、正常（安全）／異常（危険）という安全制御用のＩ／Ｏ情報である。最大応答時間は、１回の通信サイクルにかかる時間が保証される。
そして、安全ＰＬＣ−安全スレーブ間の具体的なデータの送受の手順としては、通常、安全ＰＬＣが、安全ネットワークに接続された安全スレーブの中から１つの安全スレーブに対して要求を発し、その要求を受けた安全スレーブが、安全応答として安全情報を返す。従って、例えば３つの安全スレーブ▲１▼から▲３▼まで存在する場合に、安全ＰＬＣが▲１▼→▲２▼→▲３▼といように順番に要求を発することにより、その順で３つ全ての安全スレーブから安全情報を収集することができる。
このように、１回の通信サイクルの中で各安全スレーブの安全応答を返す順番が固定されているため、例えば、安全スレーブ▲１▼からの安全応答は、安全ＰＬＣに対して比較的早く伝達されるが、安全スレーブ▲３▼からの安全応答は、１回の通信サイクルの最後となるので、遅くなる。
そして、スレーブ（ノード）の接続数が増加すると、１回の通信サイクルの時間も長くなる。そのため、上記の最大応答時間も長くなる。すると、同一通信サイクルの中でも、先に受信されるデータと最後に受信されるデータでは、時間差が大きくなってしまう。従って、安全システムを設計する場合、常に応答時間の最悪時間を考慮して行うことになる。
一方、実際に本当に危険（故障、危険要因の検出）を検出した場合は、一刻も早く安全制御（出力遮断）を行うことが、安全の考え方からも理想である。つまり、最大応答時間を考慮して安全システムを設計した場合、１回の通信サイクルの最初の方で異常（危険）情報を通知できると、通知から最大応答時間に達するまでの時間が長くなる（安全マージンが大きくなる）ので、より確実に安全機能を発揮し、余裕を持ってフェイルセーフが働き、システムが安全側になって、動作を停止させることができる。
しかしながら、ネットワーク内での通信は、マスタであるＰＬＣ側が管理しているため、従来方式では、危険を検出したスレーブからの安全情報を１回の通信サイクルの中で最初の方に送らせることはできなかった。すなわち、ＰＬＣは各スレーブからの安全情報（危険）を受信するまでは、実際に異常（危険）状態になったスレーブがあることを知ることはできない。従って、予め定めた規則（例えばノードアドレス順など）に従って、順番に各スレーブからの安全情報を取得することしかできなかった。
この発明は、安全スレーブ等が異常（危険）を検出した場合、できるだけ早くマスタ（コントローラ）その他の機器に通知することのできる安全ネットワークシステム及び安全スレーブ並びに通信方法を提供することを目的とする。
発明の開示
この発明による安全ネットワークシステムは、安全コントローラと、安全スレーブとが安全ネットワークを介して接続されて構築される安全ネットワークシステムである。そして、前記安全コントローラは、前記安全スレーブに対して一斉同報により安全情報の要求を送信する機能を持つ。また、前記安全スレーブは、安全状態にあるか否かを特定する安全情報を送信する安全情報送信機能と、前記安全情報を送信する送信フレームの優先度を変更する変更手段を備え、前記変更手段は、安全状態のときよりも安全状態で無い場合の前記優先度を高く設定するように構成した。
ここで、「優先度を高く設定する」とは、結果として高くなれば良い。つまり、安全状態のときを基準とし、安全状態でない場合に優先度を高く変更しても良いし、安全状態でない場合を基準とし、安全状態の場合に優先度を低く変更するようにしてもよい。後者の場合でも、結果として安全状態でない場合の優先度の方が高くなり、後述するように優先して送信することが可能となる。
また、この発明による安全スレーブは、安全コントローラと、安全スレーブとが安全ネットワークを介して接続されて構築される安全ネットワークシステムに接続するための安全スレーブであって、安全状態にあるか否かを特定する安全情報を送信する安全情報送信機能と、前記安全情報を送信する送信フレームの優先度を変更する変更手段を備え、前記変更手段は、安全状態のときよりも安全状態で無い場合の前記優先度を高く設定するように構成した。
更に本発明に係る通信方法は、安全コントローラと、安全スレーブとが安全ネットワークを介して接続されて構築される安全ネットワークシステムにおける通信方法である。そして、前記安全コントローラは、所定のタイミングで前記安全ネットワークに接続された前記安全スレーブに対して一斉同報により安全情報の送信要求を発する。次いで、前記送信要求を受けた各安全スレーブは、前記送信要求に対する応答として安全状態にあるか否かを特定する安全情報を送信する。この時、前記安全情報の内容に応じて優先度を変更して送信するようにした。
安全情報とは、システムをフェイルセーフ制御するための情報である。例えば、安全スレーブに接続された安全機器が安全状態か否かの情報（例えば、緊急停止ボタンの押下、危険域への人の進入検知など）がある。また、安全スレーブや安全機器自身が安全状態か否かの情報（例えば、安全スレーブ自身の故障や異常、安全機器の故障や異常など）や、ネットワークが安全状態か否かの情報（ノイズによるネットワーク通信のエラー発生、ネットワーク切断による通信異常など）がある。
また、「安全機能」とは、いわゆるフェールセーフ機能のことであり、安全であることを条件に出力し、機械を動かすシステムである。従って、安全でなくなった場合には、出力が停止される。よって、コントローラなどの制御で異常が生じた場合や通信異常が生じた場合に制御停止させるともに、コントローラの停止により出力対処の機器や制御機器が安全な状態を維持することができる。
この制御停止が必要な場合の例としては、コントローラのＣＰＵその他の各処理部等を二重化して両者の不一致を検知した場合、何らかの原因でネットワークに異常が生じた場合、機械システムの緊急停止スイッチが押下された場合、ライトカーテンなどの多光軸光電センサにより危険領域に人（身体の一部）の進入を検出したときなどの危険状態になった場合などがある。そして、上記の場合には、安全機能により、確実に制御対象の機械システムを安全な状態に動作させ、またはその動作に加えて安全な状態で停止させ、またはフェイルセーフが働いて機械システムが安全な状態で動作を強制的に停止させることができる。
この発明によれば、安全コントローラからの要求に従い、安全スレーブが安全情報（安全／異常（危険）等）を送信するに際し、安全情報の内容に応じて優先度を設定したため、異常（危険）を通知する送信フレームの優先度を高くすることにより、安全情報（安全）を通知する他の安全スレーブの送信フレームに優先して安全コントローラに伝達される。つまり、１回の通信サイクルの中で最初の方に送信することが可能となる。よって、安全スレーブ等が異常（危険）を検出した場合、できるだけ早くマスタ（安全コントローラ）に通知することができる。
つまり、本発明では、安全応答のように同一種類の送信フレームであっても、異常（危険）検知のように外的要因の変化に起因して優先度を変更し、送信することが特徴である。そして、優先度情報を付加した送信フレームを送信するに際し、優先度の高いものを早く送信するシステム（通信プロトコル）は、従来からある各種のアルゴリズムにより実現することができる。
また、本発明における安全コントローラは、実施の形態でも説明したように、ＰＬＣ（マスタ）はもちろん含まれるが、それ以外にも、安全ネットワークに接続されるコンフィグレーションツールや、モニタリングツール・モニタ装置等も含まれる概念である。
発明を実施するための最良の形態
本発明をより詳細に説明するにあたり、添付の図面に従ってこれを説明する。
図１は、本発明が適用される安全ネットワークシステムの一例を示している。同図に示すように、安全ＰＬＣ１（マスタ）と複数の安全スレーブ２が安全ネットワーク（フィールドバス）３を介して接続されている。安全ＰＬＣ１と安全スレーブ２とは、マスタースレーブ方式により情報の送受が行われる。更に、各安全スレーブ２には、安全ドアスイッチ，安全リミットスイッチや非常停止スイッチなどの他、各種の入力機器や出力機器等の安全機器４が接続されている。なお、安全ＰＬＣ１は、例えばＣＰＵユニット，マスタユニット（通信ユニット），Ｉ／Ｏユニットなどの複数のユニットを連結して構成するものが用いられる。この場合に、安全ネットワーク３に対しては、マスタユニットが接続される。
この安全ネットワークシステムを構成する各種装置は、全て安全機能（フェイルセーフ）が組み込まれたものを用いている。この安全機能は、安全であることを確認し、出力（制御）を行う機能である。そして危険状態になった場合にフェイルセーフが働いて、システムが安全側になって動作を停止させる。つまり、安全システムは、緊急停止スイッチが押下されたり、ライトカーテンなどのセンサが人（身体の一部）の進入を検出した場合等のネットワークシステムが危険状態になった場合に、フェイルセーフが働き、システムが安全側になって、動作が停止するようにするものである。換言すると、上記した安全機能により、安全であることが格納されたときのみ出力し、機械を動かすシステムである。よって、安全が確認できない場合には、機械が停止する。
次に、このような安全機能のうち、本発明の要部となる情報の送受について説明する。安全ＰＬＣ１には、通信機能も組み込まれており、安全スレーブ２との間でマスタ・スレーブ方式で情報の送受を行うようになっている。基本的には従来と同様で、安全ＰＬＣ１は、安全ネットワーク３を介して各安全スレーブ２に対して要求を発し、その要求を受けた安全スレーブ２が、安全応答として安全情報を返すようになっている。
ここで本発明では、安全ＰＬＣ１が発する要求を、一斉同報要求とし、安全ネットワーク３に接続された各安全スレーブ２は、一斉に安全ＰＬＣ１に対して応答できるようにした（もちろん、実際に安全ＰＬＣ１が１度に受信できるのは、何れか１つの安全スレーブ２からの安全応答であるが）。具体的には、図２に示すフローチャートを実施する機能を有する。
すなわち、電源が投入されると、所定のタイミングで全ての安全スレーブに対して一斉同報送信要求をする（ＳＴ１，ＳＴ２）。その後、受信タイムアウトするまでスレーブからの応答を待つ（ＳＴ３，ＳＴ４）。ここで受信タイムアウトは、送信要求をした後、一回の通信サイクルタイムとして設定した時間が経過した場合にタイムアウトとなる。
そして、後述するように、受信タイムアウトする前に対象スレーブの全てからの応答を受信しない場合には、ネットワーク上で異常があったと推定できるので、ステップ７に飛び通信処理を停止し、出力を遮断する（ＳＴ８）。つまり、通常の異常時におけるフェイルセーフ処理を実行する。なお、このフローチャートの例では、１回でも応答がない安全スレーブが有った場合にすぐに通信停止するようにしたが、例えば、１回のマージンをとり、連続して２回応答のない安全スレーブがあった場合に異常と判断して通信停止処理をするようにしても良い。
一方、安全スレーブからの応答があった場合（ステップ４の分岐判断でＹｅｓ）には、ステップ５に進み、安全応答（受信した安全情報）の内容が安全か否かを判断する。そして、異常（危険）の場合には、ステップ７に進み、上記した受信タイムアウトと同様に、通信停止並びに出力遮断処理を実行する（ＳＴ７，ＳＴ８）。
また、受信した内容が安全の場合には、対象スレーブ、つまり、安全ネットワーク３に接続された全ての安全スレーブ２からの応答を受信したか否かを判断する（ＳＴ６）。もちろん、係る判断をするためには、安全応答を受信した安全スレーブの番号等を記憶する処理を行う。そして、受信していない安全スレーブが存在する場合には、ステップ３に戻り次の安全スレーブからの受信を待つ。また、全ての安全スレーブからの応答を受信した場合には、今回の通信サイクルは完了し、ステップ２に戻り、次の通信サイクルのために一斉同報送信により各安全スレーブに対して送信要求をする。以後、上記処理を繰り返し実行する。
一方、安全スレーブ２は、送信フレーム（安全応答）に送信優先度を付加するとともに、送信優先度を変更可能にする変更機能を設けた。そして、係る変更機能は、通常状態である安全状態の時の安全応答は、送信優先度を低くし、安全スレーブ２（それに接続されている安全機器）が危険を検出している状態時のみ、送信優先度を高くするようにした。
そして、通信プロトコルは、後述するように、優先度の高い送信フレームが優先的に安全ネットワーク３上を伝送され、安全ＰＬＣ１に迅速に伝達することができる。これにより、危険検出時の応答時間を短縮する。
そして、上記した処理を実現するための安全スレーブ２の内部構造は、図３に示すようになっている。同図に示すように、安全ネットワーク３に接続し、安全ＰＬＣ１（マスタ）との間でデータの送受を行うネットワークインタフェース２１と、安全スレーブ２に接続された安全機器（図示省略）との間でデータの送受を行うための安全機器インタフェース２２と、システムＲＯＭ２４に格納されたプログラムを読み出し、システムＲＡＭ２５のメモリ領域を適宜使用して所定の処理を実行するＭＰＵ２３を備えている。ＭＰＵ２３は、ネットワークインタフェース２１を介して受信したマスタからの要求に従い、安全機器インタフェース２２を介して安全機器から取得した安全情報（安全／危険）を、ネットワークインタフェース２１，安全ネットワーク３を経由してマスタユニット１ｂに返す処理を行う。
なお、安全スレーブ２自体が安全機器となることもでき、その場合に、安全機器インタフェース２２ではなく安全の有無などを検出する安全機器部となる。なおまた、安全スレーブ２における上記した各構成並びに動作原理は、従来のものと同様であるのでその詳細な説明を省略する。
ここで本発明では、安全情報を送信するための送信フレームに対して優先度情報を付加するための送信優先順位制御部２６を設けた。この送信優先順位制御部２６は、安全機器インタフェース２２からＩＯ情報が、異常（危険）であることを検知すると、異常フラグをたてるようにする。なお、この危険であることの検知は、例えば、緊急停止ボタンの押下や危険域への人の進入検知などである。
そして、ＭＰＵ２３は、異常フラグがたっているときは優先度を高くした送信フレームを生成し、出力するようにした。本発明におけるＭＰＵ２３の処理機能は、図４に示すフローチャートのようになっている。すなわち、電源投入後、安全ＰＬＣ（マスタ）から送られてくる要求を待ち（ＳＴ１２）、要求を受けると、現在安全状態か否かを判断する（ＳＴ１３）。そして、安全でない場合には、送信優先順位を高くし（ＳＴ１４）、その高い優先度情報を付加した安全情報（危険）を送信する（ＳＴ１６）。また、安全状態の場合には、送信優先度順位は変更せず（ＳＴ１５）、低い優先度情報を付加した安全情報（安全）を送信する（ＳＴ１６）。そして、上記した処理を、システムが停止するまで繰り返し実行する。
つまり、本形態では、緊急停止ボタンの押下や危険域への人の進入検知などの外部要因である異常の有無や、安全スレーブ自身の故障や異常，安全機器の故障や異常などの内部要因の異常の有無に基づき、安全応答（安全情報）という同一種類の送信フレームに対し優先度を変更するようにしている。
次に、優先度情報を付加した送信フレームを出力することにより、高い優先度のものが優先してマスタである安全ＰＬＣ１に送信される仕組みについて説明する。まず、図５（ａ）に示すように、送信フレームは、ヘッダ情報，アドレス，送信するデータを備えて構成されている。そして、ヘッダ情報の先頭に、２ビットの優先度情報（送信優先順位）を付加する。優先順位は、図５（ｂ）に示すように、「００」を優先順位１とし、最も優先度が高いものとする。以下順に「０１」が優先順位２となり、「１０」が優先順位３となり、「１１」が最も優先度の低い優先順位４となる。本形態では、安全情報の内容に応じて優先順位１と２を切り替えるようにしている。
また、アドレス部には、送信先アドレスと送信元アドレスを格納する。そして、データ部に安全情報を格納する。安全情報としては、安全／異常（危険）の区別や、異常があった場合にはその異常の内容などがある。なお、係る異常の内容を安全スレーブから自発的に送る場合は、優先順位４で送るのが好ましい。
一方、本形態におけるネットワークインタフェース２１による安全ネットワーク３上のデータの送受，通信プロトコルは、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）を用いている。すなわち、良く知られているように、ＣＡＮにおいては、データリンク層で優先順位の管理を行い、通信回線上のデータがワーヤードＯＲされ、データ「１」とデータ「０」が重なった場合、回線上では、データ「０」が現れる。
従って、例えば３つの安全スレーブから同時に図６に示すようなデータが、同時に安全ネットワーク３上に送出されたとする。つまり、安全スレーブ▲１▼の送信フレームは、「１０００１０１……」であり、安全スレーブ▲２▼の送信フレームは、「１０１……」であり、安全スレーブ▲３▼の送信フレームは［１０００１１……」であったとする。この場合に、回線上（安全ネットワーク３上）のデータは、ワーヤードＯＲされて、図示のように「１０００１０１……」となる。
このとき、各安全スレーブ２は、それぞれ自己が送信しようとする送信フレーム（安全情報）を送出するとともに、回線上のデータを監視し、回線上を流れるデータと自己が送出したデータが一致するか否かを判断し、一致しない場合には今回の送信をする権限がないと判断し、それ以降のデータの送信を停止する。一例を示すと、図６では、３ビット目の回線上のデータは「０」であるのに対し、安全スレーブ▲２▼の３ビット目のデータは「１」となり異なる。従って、安全スレーブ▲２▼は、４ビット目からのデータの送信を停止する。これにより、４ビット目からは安全スレーブ▲１▼，▲２▼の２つからデータが送出される。そして、６ビット目の回線上のデータは「０」であるのに対し、安全スレーブ▲３▼の６ビット目のデータは「１」となり異なる。従って、安全スレーブ▲２▼は、７ビット目からのデータの送信を停止する。これにより、以降は安全スレーブ▲１▼のみからデータが送信されることになり、安全ＰＬＣ１は、係る安全スレーブ▲１▼からの応答を受信することになる。
また、このようにして安全スレーブ▲１▼からの送信が完了すると、回線上では誰も通信をしなくなるので、未送信の安全スレーブ▲２▼，▲３▼がデータを再度送信し始める（安全応答が送信完了した安全スレーブは、次の要求が来るまで送信しない）。この再送信の際にも、上記と同様の原理に従い、最終的にいずれか１つの安全スレーブが最後までデータを送信することにより、当該残った安全スレーブからの安全応答が安全ＰＬＣに受信される。
係る処理を繰り返すことにより、最終的に１通信サイクル中に、全ての安全スレーブ２が、安全応答を返すことができる。そして、通信する順番であるが、仮に送信順位が全て同じ場合には、先頭の２ビットは同じであり、送信先アドレスも同じであるが、送信元アドレスが当然異なる。従って、送信元アドレスの小さいノードから順に安全応答を送信することになる。
一方、ある安全スレーブ２で異常（危険）が発生し、優先度情報が「００」になると、他の安全状態にある安全スレーブ２の送信フレームの優先度情報は「０１」であるので、安全状態にある安全スレーブは、優先度情報の２ビット目で回線上のデータと相違するため、３ビット目以降は送信を停止する。これにより、異常状態となった安全スレーブ２からの安全応答が、最先に安全ＰＬＣ１に伝達することができる。
従って、各安全スレーブが安全状態にある場合には、図７（ａ）に示すように、本発明のように優先度情報を変更可能なものと、図７（ｂ）に示すように優先度情報が変更できない従来のもの（▲１▼→▲２▼→▲３▼の順で送信）は、ともに同じ順番で送信する。
一方、安全スレーブ▲３▼で危険が検出（異常発生）された場合には、図８（ｂ）に示すように、従来のものでは、▲１▼→▲２▼→▲３▼の順で送信するので、安全スレーブ▲３▼からの応答を受信までにＴ３ａの時間（マスタ要求時間＋安全スレーブの３つ分の送信時間）がかかるのに対し、本発明では図８（ａ）に示すように、優先度が高く送信順位が１になるので、安全スレーブ▲３▼が最初に送信することができ、安全スレーブ▲３▼からの応答を受信するまでの時間（Ｔ３ｂ）は、（マスタ要求時間＋安全スレーブの１つ分の送信時間）となり、非常に短くなる。
このように、危険を検出した安全スレーブの応答が優先して送信されるため、安全遮断部（安全モニタやマスタ）では、危険を検出している安全スレーブからのデータを先に受信できるため、安全動作が高速化される。従って、安全システムが正常に稼動している状態において、本来動作すべき危険要因検出時のシステムの実効応答時間が高速化する。
なお、図６に示す送信フレームと図５の関係を説明すると、図６の先頭の１ビット目は固定ビットであり、どの送信フレームも「１」となる。そして、２番目と３番目が優先順位のフラグを格納する領域であり、上記固定ビットとともに、先頭から３番目までの３ビット分が、図５で示すヘッダ部に対応する。
また、アドレス部は４ビット（最大１６個の安全スレーブに対応するものの場合）で構成されているため、図６は、図５に示す送信フレームのうちヘッダ部とアドレス部の具体的な値を示したことになり、実際には、先頭から８番目以降に、データ部を構成するビットが存在することになる。
従って、図６に示した送信フレームの場合、安全スレーブ▲１▼，▲３▼の２つが危険を検出したことを意味し、このように優先度の高い送信フレームが複数発生した場合には、この例では、送信元アドレスの小さいもの（安全スレーブ１）が先に送信される。つまり、図６に示す例では、実際には、▲１▼→▲３▼→▲２▼の順に送信されることになる。
なお、図５（ｂ）に示したように、送信順位３，４というように安全応答よりも更に低レベルの優先度情報を設定し、必要に応じてかかる送信順位のものを付加した送信フレームを生成することにより、１回の通信サイクルタイムの中で、安全情報をまず送信し、その後に、優先度の低い他の情報を送信することができる。
また、上記した実施の形態で説明した安全コントローラは、ＰＬＣ（マスタ）であるが、本発明はこれに限ることはなく、例えば、コンフィグレーションツールやモニタ装置等の、情報の収集・監視を行う装置も含む概念である。
さらにまた、上記した実施の形態で説明したスレーブは、マスタユニットとの間でＩ／Ｏ情報を送受し、そのマスタユニットを経由してコントローラ（ＰＬＣ）と係るＩ／Ｏ情報の送受を行ってシステムの制御を行う例を示し、マスタユニットとスレーブとの間は、マスタからの要求に対して所望のスレーブがレスポンスを返すと行ったマスタースレーブ方式を説明した。しかし、本発明で言うスレーブは、マスタースレーブ間通信を行うものに限られない。つまり、スレーブとは称するものの、通信方式は任意のものを利用できる。その点では、厳密に言うと一般的に定義されているスレーブとは異なる概念を含むものであると言える。
また、安全コントローラからの要求は、安全ネットワークを介してスレーブが受けたコマンドに基づくもので、スレーブの外で生成されるものである。そして、係る要求の一例を示すと、実施の形態で説明したようにマスタからスレーブへの情報要求コマンドはもちろんのこと、モニタリング装置（モニタリングツール）からスレーブへの情報要求コマンドや、コンフィグレータ（コンフィグレーションツール）からの情報要求コマンドや、ツール発信で、ＰＬＣ経由やマスタ経由で送られてくるコマンドなどがある。
産業上の利用可能性
本発明によれば、異常があった（危険検知した）場合に、優先度を高くした送信フレームにより安全情報を送信するようにしたので、安全スレーブ等が異常（危険）を検出した場合、できるだけ早く安全コントローラに異常を通知することができる。
【図面の簡単な説明】
図１は、本発明に係る安全ネットワークシステムの好適な一実施の形態を示す図である。
図２は、安全ＰＬＣ（マスタ）の機能を説明するフローチャートである。
図３は、本発明に係る安全スレーブの好適な一実施の形態を示す図である。
図４は、安全スレーブのＭＰＵの機能を説明するフローチャートである。
図５（ａ）は、送信フレームのデータ構造の一例を示す図であり、図５（ｂ）は、優先度情報（送信順位）の一例を示す図である。
図６は、優先度の高い送信フレームを優先して送信する動作原理を説明する図である。
図７は、作用を説明する図である。
図８は、作用を説明する図である。

Claims (3)

1. 安全コントローラと、安全スレーブとが安全ネットワークを介して接続されて構築される安全ネットワークシステムであって、
   前記安全コントローラは、前記安全スレーブに対して一斉同報により安全情報の要求を送信する機能を持ち、
   前記安全スレーブは、安全状態にあるか否かを特定する安全情報を送信する安全情報送信機能と、
   前記安全情報を送信する送信フレームの優先度を変更する変更手段を備え、
   前記変更手段は、安全状態のときよりも安全状態で無い場合の前記優先度を高く設定するようにしたことを特徴とする安全ネットワークシステム。
2. 安全コントローラと、安全スレーブとが安全ネットワークを介して接続されて構築される安全ネットワークシステムに接続するための安全スレーブであって、
   安全状態にあるか否かを特定する安全情報を送信する安全情報送信機能と、
   前記安全情報を送信する送信フレームの優先度を変更する変更手段を備え、
   前記変更手段は、安全状態のときよりも安全状態で無い場合の前記優先度を高く設定するようにしたことを特徴とする安全スレーブ。
3. 安全コントローラと、安全スレーブとが安全ネットワークを介して接続されて構築される安全ネットワークシステムにおける通信方法であって、
   前記安全コントローラは、所定のタイミングで前記安全ネットワークに接続された前記安全スレーブに対して一斉同報により安全情報の送信要求を発し、
   前記送信要求を受けた各安全スレーブは、前記送信要求に対する応答として安全状態にあるか否かを特定する安全情報を送信するに際し、前記安全情報の内容に応じて優先度を変更して送信することを特徴とする通信方法。

Images