WO2019082579A1

WO2019082579A1 - 制御システム、制御システムの通信制御方法、および中継装置

Info

Publication number: WO2019082579A1
Application number: PCT/JP2018/035603
Authority: WO
Inventors: 成憲澤田
Original assignee: オムロン株式会社
Priority date: 2017-10-26
Filing date: 2018-09-26
Publication date: 2019-05-02
Also published as: JP6897494B2; US20210157293A1; JP2019079395A; US11340574B2; EP3702851A1; EP3702851B1; EP3702851A4

Abstract

中継装置は、第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段と、第１の異常検知手段により伝送異常が検知されたときに、中継装置に接続されている機能ユニットの構成に基づいて、中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移する状態遷移手段とを含む。

Description

制御システム、制御システムの通信制御方法、および中継装置

　本発明は、中継装置を含む制御システム、その制御システムの通信制御方法、ならびに、その制御システムに向けられた中継装置に関する。

　多くの製造現場で使用される設備や機械を安全に使用するためには、国際規格に従うセーフティコンポーネントを使用しなければならばない。セーフティコンポーネントは、ロボットなどの自動的に動く装置によって人の安全が脅かされることの防止を目的としている。セーフティコンポーネントは、セーフティプログラムを実行するセーフティコントローラをはじめとして、人の存在や進入を検知する検知機器、非常時の操作を受付ける入力機器、実際に設備や機械を停止させる出力機器などを含む。

　一方で、製造現場では設備の小型化および省スペース化が要求されることもある。このような要求に対して、例えば、特開２００９－１４６０３９号公報（特許文献１）は、一般制御を司るプログラマブル・コントローラ（ＰＬＣ）と非常停止等のセーフティ制御を司るセーフティ・コントローラ（ＳＣ）とを備えて、作業者が危険に晒される事態を極力回避しつつ、生産設備等の制御を実現するセーフティ・コントロール・システムを開示する。

特開２００９－１４６０３９号公報

　上述したようなプログラマブルコントローラおよびセーフティコントローラを一体化する構成に代えて、セーフティコントローラをプログラマブルコントローラとネットワーク接続して配置した構成も知られている。このようなセーフティコントローラをネットワーク接続して配置する場合には、セーフティコントローラ単体をネットワーク接続する構成に加えて、カプラユニットと称される中継装置を利用する構成も存在する。中継装置を利用する場合には、ネットワーク接続された中継装置に、標準制御を司る入出力ユニットとともにセーフティコントローラおよびセーフティ入出力ユニットを接続するような構成が想定される。

　標準制御を司る入出力ユニットおよびセーフティ制御を司るセーフティコントローラおよびセーフティ入出力ユニットを共通の中継装置に接続した構成を採用した場合であっても、標準制御およびセーフティ制御はそれぞれ独立に実行されるものである。本発明は、上述したような要求を満たすことができる制御システムなどを提供することを一つの目的としている。

　本開示の一例に従う制御システムは、通信マスタとして機能する制御装置と、制御装置とネットワーク接続される中継装置と、制御装置とネットワーク接続される１または複数のフィールド装置とを含む。中継装置には、１または複数の機能ユニットが接続されている。制御装置は、ネットワークにおける第１の通信フレームの周期的な伝送を管理する伝送管理手段を含む。中継装置は、第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段と、第１の異常検知手段により伝送異常が検知されたときに、中継装置に接続されている機能ユニットの構成に基づいて、中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移する状態遷移手段とを含む。

　この開示によれば、第１の通信フレームの周期的な受信を監視して、何らかの伝送異常が発生しときに、中継装置に接続されている機能ユニットの構成に基づいて、中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのうち、いずれかに選択的に遷移できる。これによって、共通の中継装置に、それぞれ異なる制御を実行する機能ユニットが接続されているような場合において、一方の制御のみに関連する異常によって他方の制御がともに停止するといった可能性を低減できる。

　上述の開示において、１または複数の機能ユニットは、セーフティコントローラおよびセーフティ入出力ユニットの少なくとも一方を含み、第２の状態において、セーフティコントローラおよびセーフティ入出力ユニットについては、信号出力の更新を継続するようにしてもよい。

　この開示によれば、特に、セーフティコントローラやセーフティ入出力ユニットなどのように、セーフティ制御の停止が対象の設備や機械の停止に直結するようなシステムにおいて、本開示による機能がより有効である。

　上述の開示において、セーフティコントローラおよびセーフティ入出力ユニットの少なくとも一方は、周期的に伝送される第１の通信フレームとは異なる第２の通信フレームを用いて、フィールド装置との間でデータを遣り取りしてもよい。

　この開示によれば、セーフティコントローラおよびセーフティ入出力ユニットは、標準制御に関連する第１の通信フレームとは異なる、特殊なプロトコルに従う通信フレームを採用できる。これによって、セーフティ制御に要求される通信要件などを満たすことができる。

　上述の開示において、中継装置は、セーフティコントローラおよびセーフティ入出力ユニットの少なくとも一方からの要求に応答して第２の通信フレームを制御装置へ送信し、制御装置は、中継装置から受信した第２の通信フレームをフィールド装置へ送信するフレーム転送手段をさらに備えてもよい。

　この開示によれば、中継装置から特定のフィールド装置へ第２の通信フレームを送信する場合において、中継装置は、その送信先のフィールド装置のアドレスなどを事前に知っておく必要はなく、単に、制御装置へ送信すればよいので、送信処理を簡素化できる。

　上述の開示において、中継装置は、中継装置に接続される複数の機能ユニットを、第１の通信フレームを利用する機能ユニット、および、第２の通信フレームを利用する機能ユニットとしてそれぞれ個別に設定する個別設定手段をさらに含んでいてもよい。

　この開示によれば、中継装置に接続される複数の機能ユニットに対して、それぞれ異なる制御機能を割り当てることができる。

　上述の開示において、中継装置は、第２の通信フレームの伝送異常を検知する第２の異常検知手段をさらに含み、状態遷移手段は、第２の異常検知手段により伝送の異常が検知されると、第１の状態に遷移するようにしてもよい。

　この開示によれば、第２の通信フレームの伝送異常が第１の通信フレームの伝送異常に比較して、重大であるような場合に、中継装置に接続されているすべての機能ユニットの信号出力を無効化することで、設備や機械をより安全な状態に維持できる。

　上述の開示において、中継装置は、第１の異常検知手段により伝送異常が検知されたときに、制御装置に対して、遷移先の状態を示す情報を通知する通知手段をさらに含む。

　この開示によれば、通信スレーブとして機能する中継装置の状態遷移を通信マスタである制御装置は容易に知ることができ、それによって、制御装置から通信フレームの送信を必要に応じて管理できる。

　上述の開示において、中継装置は、信号出力を無効化された機能ユニットについて、予め定められた設定に従って、無効化後の信号出力の内容を決定する出力決定手段をさらに含んでいてもよい。

　この開示によれば、伝送異常によって信号出力が無効化された各機能ユニットの信号出力を各機能ユニットの種類や用途に応じたものにできる。

　本開示の一例に従えば、制御システムの通信制御方法が提供される。制御システムは、通信マスタとして機能する制御装置と、制御装置とネットワーク接続される中継装置と、制御装置とネットワーク接続される１または複数のフィールド装置とを含んでいる。中継装置には、１または複数の機能ユニットが接続されている。通信制御方法は、制御装置が、ネットワークにおける第１の通信フレームの周期的な伝送を管理するステップと、中継装置が、第１の通信フレームの周期的な受信を監視して、伝送異常を検知するステップと、第１の通信フレームについての伝送異常が検知されたときに、中継装置に接続されている機能ユニットの構成に基づいて、中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移するステップとを含む。

　本開示の一例に従えば、制御システムを構成する中継装置が提供される。制御システムは、中継装置がネットワーク接続される、通信マスタとして機能する制御装置と、制御装置とネットワーク接続される１または複数のフィールド装置とを含む。中継装置には、１または複数の機能ユニットが接続されている。制御装置は、ネットワークにおける第１の通信フレームの周期的な伝送を管理する伝送管理手段を含む。中継装置は、第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段と、第１の異常検知手段により伝送異常が検知されたときに、中継装置に接続されている機能ユニットの構成に基づいて、中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移する状態遷移手段とを含む。

　本発明によれば、伝送異常が検知された場合において、信号出力を無効化される機能ユニットを必要な範囲に限定することができるので、互いに独立した制御がそれぞれ実行されている状態において、一方の制御で生じた異常により他方の制御が停止する可能性を低減できる。

本実施の形態に係る制御システムの全体構成例を示す模式図である。本実施の形態に係る制御システムにおけるデータ伝送の形態を説明する模式図である。本実施の形態に係る制御システムにおける伝送異常検知時の処理を説明するための模式図である。本実施の形態に係る制御システムを構成するＣＰＵユニットのハードウェア構成例を示すブロック図である。本実施の形態に係る制御システムを構成するカプラユニットのハードウェア構成例を示すブロック図である。本実施の形態に係る制御システムを構成するセーフティコントローラのハードウェア構成例を示すブロック図である。本実施の形態に係るカプラユニットが有するエリア個別制御を説明するための模式図である。本実施の形態に係る制御システムにおける通信フレームの伝送形態を説明するための模式図である。本実施の形態に係るカプラユニットの状態遷移の一例を示す図である。本実施の形態に係る制御システムが解決しようとする課題を説明するための模式図である。本実施の形態に係る制御システムが解決しようとする別の課題を説明するための模式図である。本実施の形態に係る制御システムのカプラユニットにおける処理手順を示すフローチャートである。本実施の形態に係る制御システムのカプラユニットからＣＰＵユニットへの通知フレームの一部を示す模式図である。本実施の形態に係る制御システムのカプラユニットの機能構成を示す模式図である。

　本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

　＜Ａ．適用例＞
　まず、図１～図３を参照して、本発明が適用される場面の一例について説明する。

　図１は、本実施の形態に係る制御システム１の全体構成例を示す模式図である。図１を参照して、制御システム１は、主たるコンポーネントとして、通信マスタとして機能するマスタ装置２と、マスタ装置２とフィールドネットワーク４を介してネットワーク接続される通信スレーブとを含む。このような通信スレーブの一例として、図１には、リモートＩＯ装置６＿１および６＿２（以下、「リモートＩＯ装置６」とも総称する。）と、フィールド装置の一例であるサーボドライバ１０＿１，１０＿２，１０＿３（以下、「サーボドライバ１０」とも総称する。）と、セーフティ入出力ユニット３００とを示す。

　本明細書において、「フィールドネットワーク」は、産業装置用のデータ伝送を実現するための通信媒体を総称するものであり、「フィールドバス」とも称される。フィールドネットワーク４としては、典型的には、ネットワーク内のノード間のデータ到着時間が保証されるプロトコルが採用される。このようなノード間のデータ到着時間が保証されるプロトコルとしては、例えば、ＥｔｈｅｒＣＡＴ（登録商標）などを採用できる。あるいは、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）、ＤｅｖｉｃｅＮｅｔ（登録商標）、ＣｏｍｐｏＮｅｔ（登録商標）などを採用してもよい。以下の説明においては、一例として、フィールドネットワーク４としてＥｔｈｅｒＣＡＴを採用した場合について説明する。

　本明細書において、「通信マスタ」または「マスタ」は、対象となるネットワークにおけるデータ伝送を管理する主体または機能を総称する用語である。通信マスタまたはマスタと対になる用語として、「通信スレーブ」または「スレーブ」との用語を用いる。本明細書において、通信スレーブまたはスレーブは、対象となるネットワークに配置される、通信マスタまたはマスタの管理下において、データ伝送を行う主体または機能を総称する用語である。

　マスタ装置２は、ＣＰＵユニット１００と、ＣＰＵユニット１００に接続される１または複数の入出力ユニット１５０とを含む。ＣＰＵユニット１００は、後述するような、ユーザプログラムを実行することで、設備や機械などの制御対象に対する制御を実行する。

　ＣＰＵユニット１００は、さらに上位ネットワーク８に接続されていてもよい。上位ネットワーク８には、他のマスタ装置が接続されていてもよいし、ゲートウェイやデータベースサーバといった任意の情報処理装置が接続されていてもよい。

　リモートＩＯ装置６＿１は、カプラユニット２００と、カプラユニット２００に接続される入出力ユニット２５０と、セーフティコントローラ２６０と、セーフティ入出力ユニット２７０とを含む。リモートＩＯ装置６＿２は、カプラユニット２００と、カプラユニット２００に接続される入出力ユニット２５０とを含む。

　カプラユニット２００は、ＣＰＵユニット１００とネットワーク接続される中継装置である。具体的には、カプラユニット２００は、ＣＰＵユニット１００からネットワーク伝送されるデータをカプラユニット２００に接続されている機能ユニットへ出力するとともに、カプラユニット２００に接続されているいずれかの機能ユニットからのデータをネットワーク上に送信する。すなわち、カプラユニット２００は、フィールドネットワーク４とカプラユニット２００により提供される内部バスとの間でデータを中継する。

　本明細書において、「機能ユニット」は、制御装置（ＣＰＵユニット１００）または中継装置（カプラユニット２００）に接続されて、制御対象との間で各種の信号を遣り取りするための装置を総称する用語である。機能ユニットは、少なくとも、図１に示す入出力ユニット１５０，２５０と、セーフティコントローラ２６０と、セーフティ入出力ユニット２７０とを含む。機能ユニットは、さらに、フィールドネットワーク４に接続されるセーフティ入出力ユニット３００なども含み得る。

　入出力ユニット１５０，２５０は、例えば、制御対象からのデジタル信号を受取るＤＩ（Digital　Input）機能、制御対象に対してデジタル信号を出力するＤＯ（Digital　Output）機能、制御対象からのアナログ信号を受取るＡＩ（Analog　Input）機能、制御対象に対してアナログ信号を出力するＡＯ（Analog　Output）機能のうち１または複数の機能を有している。さらに、機能ユニットとしては、ＰＩＤ（Proportional　Integral　Derivative）制御やモーション制御といった特殊機能を実装したコントローラを含み得る。

　機能ユニットの一例であるセーフティコントローラ２６０は、ＣＰＵユニット１００とは独立して、セーフティ制御を司る。図１に示す構成例においては、典型的には、ＣＰＵユニット１００が制御対象を制御するための標準制御を司り、セーフティコントローラ２６０が制御対象により生じる危険を防止するためのセーフティ制御を司る。セーフティコントローラ２６０は、接続先のカプラユニット２００を介して、フィールドネットワーク４を利用して、フィールド装置などとの間でデータを遣り取りする。

　機能ユニットの一例であるセーフティ入出力ユニット２７０は、セーフティコントローラ２６０とともに、セーフティ制御を司る。セーフティ入出力ユニット２７０は、標準的な入出力ユニットに比較して、例えば、指令値に応答して実際にセーフティデバイスが駆動されているかを示すフィードバック信号などを検知できるようになっている。

　セーフティ入出力ユニット３００は、フィールドネットワーク４に直接接続するためのインターフェイスを有している。それ以外の点において、セーフティ入出力ユニット２７０と同様である。

　本明細書において、「標準制御」は、典型的には、予め定められた要求仕様に沿って、制御対象を制御するための指令を順次生成する処理を総称する用語である。一方、本明細書において、「セーフティ制御」は、何らかの不具合によって、制御対象によって人の安全が脅かされることを防止するための指令を生成する処理を総称する用語である。セーフティ制御においては、例えば、制御対象自体の挙動が本来とは異なっている場合だけではなく、制御システム１が適切に制御を実行できない状態などであると判断された場合にも、制御対象を停止させるような処理を含む。

　本明細書において、「フィールド装置」は、フィールドネットワーク４を介してネットワーク接続可能な装置を総称する用語である。フィールド装置としては、図１に示すサーボドライバ１０に加えて、ロボットコントローラ、温度コントローラ、流量コントローラといった各種装置を含み得る。

　サーボドライバ１０＿１，１０＿２，１０＿３は、サーボモータ１２＿１，１２＿２，２＿３（以下、「サーボモータ１２」とも総称する。）をそれぞれ駆動する駆動源である。サーボドライバ１０の各々は、ＣＰＵユニット１００に接続された機能ユニットおよび／またはカプラユニット２００に接続された機能ユニットからの指令（フィールドネットワーク４を介して伝送される）などに従って、対応するサーボモータ１２を駆動する。後述するように、サーボドライバ１０は、セーフティコントローラ２６０（あるいは、セーフティ入出力ユニット２７０）またはセーフティ入出力ユニット３００からの指令に従って、対応するサーボモータ１２を非常停止させる場合もある。

　図２は、本実施の形態に係る制御システム１におけるデータ伝送の形態を説明する模式図である。図２（Ａ）は、標準制御用の周期的に伝送される通信フレームを示し、図２（Ｂ）は、セーフティ制御用の通信フレーム（説明の便宜上、以下「セーフティ通信フレーム」とも称す。）を示す。

　図２に示すように、制御システム１において、マスタ装置２のＣＰＵユニット１００は、ユーザプログラムを実行することで標準制御を実行し、リモートＩＯ装置６＿１のセーフティコントローラ２６０はセーフティプログラムを実行することでセーフティ制御を実行する。

　図２（Ａ）に示すように、標準制御用の通信フレームは、フィールドネットワーク４上を周期的に伝送される。より具体的には、通信マスタであるＣＰＵユニット１００は、予め定められた周期毎に、通信フレームを生成し、フィールドネットワーク４を介して通信スレーブへ送信する。通信フレームは、フィールドネットワーク４を介して通信スレーブ間を順次転送され、最終的には、ＣＰＵユニット１００まで戻される。各通信スレーブは、前段の通信スレーブから通信フレームを受信すると、受信した通信フレームから自装置宛のデータ（出力データ／指令）を読出すとともに、自装置において事前に収集しているデータ（入力データ／計測値）を通信フレームに書込み、次段の通信スレーブへ送信する。このような通信フレームの周期的な伝送が繰返されることにより、ＣＰＵユニット１００から各通信スレーブへの指令の出力、および、各通信スレーブからのフィールドデータの収集が可能となる。このように、標準制御用の通信フレームは、フィールドネットワーク４上を予め定められたタイミングに同期して転送される。

　図２（Ｂ）に示すように、セーフティ制御用のセーフティ通信フレームは、１または複数の送信先へ確実にデータを伝送できるプロトコルに従って伝送される。一例として、ＦＳｏＥ（Functional　Safety　over　EtherCAT）が採用されてもよい。図２には、セーフティ通信フレームが通信マスタによりルーティングされる例を示す。

　例えば、セーフティコントローラ２６０からセーフティ入出力ユニット２７０へデータを伝送する場合を考える。まず、カプラユニット２００は、セーフティコントローラ２６０からの要求に応答して、セーフティ通信フレームを生成し、フィールドネットワーク４を介して、ＣＰＵユニット１００へ送信する。ＣＰＵユニット１００は、受信したセーフティ通信フレームをそのまま、フィールドネットワーク４を介して、カプラユニット２００へ再度送信する。そして、カプラユニット２００において、セーフティ通信フレームは本来の宛先であるセーフティ入出力ユニット２７０へ転送される。このような経路によって、セーフティ通信フレームは、送信元から送信先へ伝送される。このように、セーフティ制御用の通信フレーム（セーフティ通信フレーム）は、フィールドネットワーク４上を非同期で転送される。

　また、逆方向の通信においては、カプラユニット２００は、セーフティ入出力ユニット２７０からの要求に応答して、セーフティ通信フレームを生成し、フィールドネットワーク４を介して、ＣＰＵユニット１００へ送信する。上述と同様の手順で、通信フレームはセーフティコントローラ２６０へ送信される。

　さらに、セーフティ入出力ユニット３００から送出されるセーフティ通信フレームについても同様の手順で転送される。

　このように、セーフティコントローラ２６０、セーフティ入出力ユニット２７０、および、セーフティ入出力ユニット３００は、周期的に伝送される第１の通信フレームとは異なる第２の通信フレームを用いて、フィールド装置との間でデータを遣り取りする。

　図３は、本実施の形態に係る制御システム１における伝送異常検知時の処理を説明するための模式図である。図３（Ａ）には、本発明の関連技術に従う処理を示し、図３（Ｂ）には、本実施の形態に係る処理を示す。

　図３（Ａ）を参照して、カプラユニット２００は、通信フレームの周期的な受信を監視している。例えば、通信フレームの受信失敗が所定周期連続した、あるいは、通信フレームを受信できない期間が予め定められた期間を超えたといった場合に、カプラユニット２００は、伝送異常が発生したと検知する。すなわち、カプラユニット２００は、通信フレームの周期的な受信を監視して、伝送異常を検知する。

　このような伝送異常を検知すると、カプラユニット２００は、出力ブロック信号を発生し、カプラユニット２００に接続されているすべての機能ユニットについて信号出力を無効化する。このとき、カプラユニット２００は、カプラユニット２００に接続されている機能ユニットの種類にかかわらず、出力ブロック信号を一律に発生するので、セーフティコントローラ２６０についても信号出力の更新が停止される。その結果、セーフティコントローラ２６０によるセーフティ制御の対象となっているフィールド装置に対しても、非常停止が指令されることになる。図３（Ａ）に示す例では、セーフティコントローラ２６０からセーフティ入出力ユニット２７０へのデータ伝送が停止されるので、セーフティ入出力ユニット２７０からの指令により、サーボドライバ１０＿１，１０＿２，１０＿３が非常停止する。

　また、カプラユニット２００は、出力側の処理を停止するために、通信の状態を制御するので、セーフティ制御用の通信フレーム（セーフティ通信フレーム）の受信処理も停止してしまい、セーフティコントローラ２６０との間でセーフティ通信フレームを遣り取りしているセーフティ入出力ユニット３００などのフィールド装置についても、結果的に、非常停止または非常停止に類似したセーフティ状態へ遷移する。

　上述したように、標準制御において用いられる周期的に伝送される通信フレームと、セーフティ制御において用いられるセーフティ通信フレームとの間は、その送信タイミングやデータ内容などに何らの関連性もない。また、上述したような伝送異常（すなわち、通信フレームを受信できない状態）が発生した場合であっても、セーフティ通信フレームの伝送には何ら問題がない場合もある。

　このような場合には、少なくとも、セーフティコントローラ２６０の動作を継続することが好ましい。そこで、本実施の形態に係る制御システム１においては、周期的に伝送される通信フレームの異常が発生した場合であっても、予め定められた条件が満たされていれば、セーフティコントローラ２６０などの一部の機能ユニットについては、動作を継続することが可能になっている。

　この場合、セーフティコントローラ２６０でのセーフティ制御は継続される。その結果、サーボドライバ１０＿１，１０＿２，１０＿３に対しても非常停止が与えられることはなく、セーフティコントローラ２６０でのセーフティ制御下で運転が継続される。

　このように、カプラユニット２００は、伝送異常（すなわち、通信フレームを受信できない状態）が検知されたときに、カプラユニット２００に接続されている機能ユニットの構成に基づいて、中継装置（カプラユニット２００）に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、中継装置（カプラユニット２００）に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移する。

　このような状態遷移によって、共通のカプラユニット２００に接続されている複数の機能ユニットがそれぞれ個別に制御を行っているような場合には、通信フレームの伝送異常などのイベントで、両者の制御がいずれも停止するのではなく、対象となり得る部分のみを適切に停止させつつ、残りの部分については健全性を維持できる範囲で制御を継続することで、不必要なライン停止といった操業上の損失などの発生を防止できる。

　以下、本実施の形態に係る制御システム１のより詳細な具体例について説明する。
　＜Ｂ．ハードウェア構成例＞
　次に、本実施の形態に係る制御システム１を構成する主たるコンポーネントのハードウェア構成例について説明する。

　（ｂ１：ＣＰＵユニット１００）
　図４は、本実施の形態に係る制御システム１を構成するＣＰＵユニット１００のハードウェア構成例を示すブロック図である。図４を参照して、ＣＰＵユニット１００は、プロセッサ１０２と、チップセット１０４と、メモリ１０６と、ストレージ１０８と、ネットワークコントローラ１１０と、ＵＳＢ（Universal　Serial　Bus）コントローラ１１２と、メモリカードインターフェイス１１４と、内部バスコントローラ１１８と、フィールドネットワークコントローラ１２０と、カウンタ１２６と、ＲＴＣ（Real　Time　Clock）１２８とを含む。

　プロセッサ１０２は、制御演算などを実行する演算処理部に相当し、ＣＰＵ、ＭＰＵ、ＧＰＵなどで構成される。具体的には、プロセッサ１０２は、ストレージ１０８に格納されたプログラム（一例として、システムプログラムおよびユーザプログラム）を読出して、メモリ１０６に展開して実行することで、制御対象に応じた制御、および、後述するような各種処理を実現する。ストレージ１０８は、例えば、ＨＤＤ（Hard　Disk　Drive）やＳＳＤ（Solid　State　Drive）などの不揮発性記憶装置などで構成される。メモリ１０６は、ＤＲＡＭ（Dynamic　Random　Access　Memory）やＳＲＡＭ（Static　Random　Access　Memory）などの揮発性記憶装置などで構成される。

　チップセット１０４は、プロセッサ１０２と各デバイスを制御することで、ＣＰＵユニット１００全体としての処理を実現する。

　ストレージ１０８には、基本的な機能を実現するためのシステムプログラムに加えて、設備や機械などの制御対象に応じて作成されるユーザプログラムが格納される。

　ネットワークコントローラ１１０は、上位ネットワーク８を介して、ゲートウェイやデータベースサーバといった任意の情報処理装置との間でデータを遣り取りする。ＵＳＢコントローラ１１２は、ＵＳＢ接続を介して、サポート装置との間でデータを遣り取りする。

　メモリカードインターフェイス１１４は、メモリカード１１６を着脱可能に構成されており、メモリカード１１６に対してデータを書込み、メモリカード１１６から各種データ（ユーザプログラムやトレースデータなど）を読出すことが可能になっている。

　カウンタ１２６は、ＣＰＵユニット１００で実行される各種プログラムの実行タイミングを管理するための時刻基準として用いられる。カウンタ１２６は、プロセッサ１０２を駆動するシステムバス上に配置された、高精度イベントタイマー（ＨＰＥＴ：High　Precision　Event　Timer）などを用いて実装してもよいし、あるいは、ＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field-Programmable　Gate　Array）などの専用回路を用いて実装してもよい。

　ＲＴＣ１２８は、計時機能を有する一種のカウンタであり、現在時刻をプロセッサ１０２などへ提供する。

　内部バスコントローラ１１８は、内部バス１４を介して１または複数の機能ユニットとＣＰＵユニット１００とを電気的に接続するための通信インターフェイスに相当する。内部バスコントローラ１１８は、内部バス１４を介した定周期通信を行うための通信マスタとして機能する。

　フィールドネットワークコントローラ１２０は、フィールドネットワーク４を介して１または複数の機能ユニットとＣＰＵユニット１００とを電気的に接続するための通信インターフェイスに相当する。フィールドネットワークコントローラ１２０は、フィールドネットワーク４を介した定周期通信を行うための通信マスタとして機能する。

　図４には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、ＣＰＵユニット１００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳ（Operating　System）を並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

　さらに、ＣＰＵユニット１００に表示装置やサポート装置などの機能を統合した構成を採用してもよい。

　（ｂ２：カプラユニット２００）
　図５は、本実施の形態に係る制御システム１を構成するカプラユニット２００のハードウェア構成例を示すブロック図である。図５を参照して、カプラユニット２００は、フィールドネットワークコントローラ２０２と、メインコントローラ２１０と、内部バスコントローラ２０４とを含む。

　フィールドネットワークコントローラ２０２は、フィールドネットワーク４を介してカプラユニット２００とＣＰＵユニット１００とを電気的に接続するための通信インターフェイスに相当する。フィールドネットワークコントローラ２０２は、フィールドネットワーク４を介した定周期通信に参加するための通信スレーブとして機能する。

　メインコントローラ２１０は、プロセッサ２１２と、メモリ２１４と、ファームウェア２１６とを含む。プロセッサ２１２は、制御演算などを実行する演算処理部に相当し、ＣＰＵ、ＭＰＵ、ＧＰＵなどで構成される。具体的には、プロセッサ２１２は、ストレージに格納されたファームウェア２１６を読出して、メモリ２１４に展開して実行することで、フィールドネットワークコントローラ２０２と内部バスコントローラ２０４との間のデータ転送、および、後述するような状態管理などを実現する。

　内部バスコントローラ２０４は、内部バス２４を介して１または複数の機能ユニットとカプラユニット２００とを電気的に接続するための通信インターフェイスに相当する。内部バスコントローラ２０４は、内部バス２４を介した定周期通信を行うための通信マスタとして機能する。

　（ｂ３：セーフティコントローラ２６０）
　図６は、本実施の形態に係る制御システム１を構成するセーフティコントローラ２６０のハードウェア構成例を示すブロック図である。図６を参照して、セーフティコントローラ２６０は、内部バスコントローラ２６２と、メインコントローラ２６４とを含む。

　内部バスコントローラ２６２は、内部バス２４を介してカプラユニット２００とセーフティコントローラ２６０とを電気的に接続するための通信インターフェイスに相当する。内部バスコントローラ２６２は、内部バス２４を介したデータ通信に参加するための通信スレーブとして機能する。

　メインコントローラ２６４は、プロセッサ２６６と、メモリ２６７と、ストレージ２６８とを含む。プロセッサ２６６は、制御演算などを実行する演算処理部に相当し、ＣＰＵ、ＭＰＵ、ＧＰＵなどで構成される。具体的には、プロセッサ２６６は、ストレージ２６８に格納されたセーフティプログラム２６９を読出して、メモリ２６７に展開して実行することで、セーフティ制御などを実現する。

　（ｂ４：入出力ユニット１５０，２５０およびセーフティ入出力ユニット２７０）
　入出力ユニット１５０，２５０およびセーフティ入出力ユニット２７０のハードウェア構成は、図６に示すセーフティコントローラ２６０のハードウェア構成と同様であるので、ここでは、詳細な説明は繰返さない。他種類の機能ユニットのハードウェア構成についても同様である。

　（ｂ５：セーフティ入出力ユニット３００）
　セーフティ入出力ユニット３００のハードウェア構成は、図５に示すカプラユニット２００のハードウェア構成と図６に示すセーフティコントローラ２６０のハードウェア構成とを組み合わせたような構成であり、ここでは、詳細な説明は繰返さない。

　＜Ｃ．エリア個別制御＞
　次に、本実施の形態に係るカプラユニット２００が有するエリア個別制御の機能について説明する。本実施の形態に係るエリア個別制御は、カプラユニット２００に複数の機能ユニットが接続された場合に、一部の機能ユニットを他の機能ユニットとは独立して動作させるものである。

　図７は、本実施の形態に係るカプラユニット２００が有するエリア個別制御を説明するための模式図である。図７を参照して、例えば、カプラユニット２００には、６つの機能ユニット（機能ユニット００～０５）が接続されているとする。これら６つの機能ユニットのうち、前半３つの機能ユニットと、後半３つの機能ユニットとをそれぞれ独立して動作させるように設定できる。それぞれ独立して動作する単位を「Ｓｙｎｃ　Ｕｎｉｔ」とも記す。

　図７に示す例では、機能ユニット００～機能ユニット０２を「Ｓｙｎｃ　Ｕｎｉｔ０」として設定し、機能ユニット０３～機能ユニット０５を「Ｓｙｎｃ　Ｕｎｉｔ１」として設定している。例えば、「Ｓｙｎｃ　Ｕｎｉｔ０」に属する機能ユニットは、周期的に伝送される通信フレームを利用して標準制御を実行し、「Ｓｙｎｃ　Ｕｎｉｔ１」に属する機能ユニットは、非同期で伝送されるセーフティ通信フレームを利用してセーフティ制御を実行する。

　このように、カプラユニット２００は、カプラユニット２００に接続される複数の機能ユニットを、標準制御用の周期的に伝送される通信フレーム（第１の通信フレーム）を利用する機能ユニット、および、セーフティ通信フレーム（第２の通信フレーム）を利用する機能ユニットとしてそれぞれ個別に設定する個別設定機能を有している。このような個別設定機能、すなわちエリア個別制御を利用することで、共通のカプラユニット２００を利用して、標準制御およびセーフティ制御をそれぞれ独立して実行できる。

　＜Ｄ．フィールドネットワーク上のデータ伝送＞
　次に、フィールドネットワーク４上を伝送される、標準制御用の周期的に伝送される通信フレーム、および、セーフティ制御用の通信フレーム（セーフティ通信フレーム）の伝送形態について説明する。

　図８は、本実施の形態に係る制御システム１における通信フレームの伝送形態を説明するための模式図である。図８を参照して、標準制御用の通信フレームは、予め定められたフレーム送信周期Ｔ毎に、通信マスタであるＣＰＵユニット１００から送信される。通信フレームは、フィールドネットワーク４に接続される通信スレーブ間を順次転送される。通信フレームは、フィールドネットワーク４に接続される末端の通信スレーブまで到達すると、その末端の通信スレーブで折り返され、再度、フィールドネットワーク４を逆方向に順次転送され、通信マスタであるＣＰＵユニット１００まで戻る。通信フレームが転送される毎に、各通信スレーブは、通信フレームから必要なデータの読取り、および、通信フレームに対するデータの書込みを行う。

　なお、図８には、非リング状のフィールドネットワーク４の例を示すが、リング状のフィールドネットワーク４を採用した場合には、ＣＰＵユニット１００から送信された通信フレームは、フィールドネットワーク４を一巡してＣＰＵユニット１００へ戻ることになる。

　一方、カプラユニット２００＿１に接続されるセーフティコントローラ２６０からの要求に応答して、カプラユニット２００＿１が生成するセーフティ通信フレームは、一旦、通信マスタであるＣＰＵユニット１００へ送信される。ＣＰＵユニット１００は、セーフティ通信フレームを受信すると、受信したセーフティ通信フレームを複製して、そのまま本来の宛先であるカプラユニット２００＿１に接続されているセーフティ入出力ユニット２７０へ送信する。このような経路によって、セーフティ通信フレームは、送信元から宛先へ伝送される。

　このように、カプラユニット２００は、セーフティコントローラ２６０からの要求に応答してセーフティ通信フレーム（第２の通信フレーム）をＣＰＵユニット１００へ送信する。一方、ＣＰＵユニット１００は、カプラユニット２００から受信したセーフティ通信フレームを送信先であるフィールド装置へ送信するフレーム転送機能を有している。

　このように、本実施の形態に係る制御システム１のフィールドネットワーク４は、同期フレームおよび非同期フレームを混在して伝送することが可能になっている。

　＜Ｅ．カプラユニット２００の状態遷移＞
　次に、本実施の形態に係るカプラユニット２００が取り得る状態の一例について説明する。

　図９は、本実施の形態に係るカプラユニット２００の状態遷移の一例を示す図である。図９にはＥｔｈｅｒＣＡＴ状態マシン（EtherCAT　State　Machine：ＥＳＭ）をベースとした状態遷移の一例を示す。

　図９を参照して、カプラユニット２００は、状態値として、ＩＮＩＴ状態（ＳＴ１）と、Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ２）と、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ３）と、Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ４）と、Ｐｒｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ５）とを含む。

　ＩＮＩＴ状態（ＳＴ１）は、初期状態であり、何らの通信もできない状態を意味する。
　Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ２）は、通常の動作状態であり、入力データ（計測値）および出力データ（指令）の伝送が可能な状態を意味する。このとき、メッセージ伝送も可能である。

　Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ３）は、何らかの異常が発生したときに遷移する状態であり、入力データ（計測値）の伝送およびメッセージ伝送が可能である。この状態においては、機能ユニットにおける入力データの収集（入力リフレッシュ）は有効化されているが、出力データの出力（出力リフレッシュ）は「Ｓａｆｅ」状態となり、停止されている。

　Ｐａｒｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ４）は、エリア個別制御が有効な場合に取り得る状態であり、Ｏｐｅｒａｔｉｏｎａｌ状態およびＳａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態が混在した状態に相当する。すなわち、同一のカプラユニット２００に接続されている複数の機能ユニットのうち、あるＳｙｎｃ　Ｕｎｉｔとして設定されている１または複数の機能ユニットはＯｐｅｒａｔｉｏｎａｌ状態であり、別のＳｙｎｃ　Ｕｎｉｔとして設定されている１または複数の機能ユニットはＳａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態である。

　Ｐｒｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（ＳＴ５）は、メッセージ伝送のみが可能な状態である。

　本実施の形態に係る通信スレーブであるカプラユニット２００は、状況に応じて、上述したような５つの状態の間を遷移することになる。

　＜Ｆ．解決される課題＞
　次に、本実施の形態に係る制御システム１の上述したような構成および処理によって解決される課題について説明する。

　本実施の形態に係る制御システム１において、通信スレーブであるカプラユニット２００には、標準制御を司る機能ユニットと、セーフティ制御を司る機能ユニットとを混在して接続することができる。関連技術においては、このような構成において、以下のような課題が生じ得る。

　図１０は、本実施の形態に係る制御システム１が解決しようとする課題を説明するための模式図である。図１０には、上述の図７と同様に、機能ユニット００～機能ユニット０２が標準制御を司る「Ｓｙｎｃ　Ｕｎｉｔ０」として設定され、機能ユニット０３～機能ユニット０５がセーフティ制御を司る「Ｓｙｎｃ　Ｕｎｉｔ１」として設定されている例を示す。このとき、Ｓｙｎｃ　Ｕｎｉｔ０は、周期的に伝送される通信フレームを用いるように設定されており（同期制御モード）、Ｓｙｎｃ　Ｕｎｉｔ１は、非同期で伝送されるセーフティ通信フレームを用いるように設定されている。同期制御モードは、周期的に伝送される通信フレームと同期して指令を算出するモードであり、例えば、モーション制御のような指令を高速な周期毎に更新しなければならないアプリケーションに向けられている。

　このような設定において、関連技術においては、例えば、ノイズなどの影響を受けて、Ｓｙｎｃ　Ｕｎｉｔ０での処理に用いる通信フレームの受信失敗が所定周期連続すると、通信スレーブであるカプラユニット２００は、同期制御モードに必要な要件を満たしていないと判断し、伝送異常（同期異常）が発生したと検知する。そして、カプラユニット２００は、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（図９に示すＳＴ３）に遷移する。その結果、Ｓｙｎｃ　Ｕｎｉｔ１が利用するセーフティ通信フレームのデータ伝送に問題はなくても、Ｓｙｎｃ　Ｕｎｉｔ１によるセーフティ制御は停止してしまう。

　これに対して、本実施の形態に係るカプラユニット２００においては、伝送異常が発生したとしても、セーフティ通信フレームの伝送が正常であれば、当該セーフティ通信フレームを利用する機能ユニット（Ｓｙｎｃ　Ｕｎｉｔ）については、動作を継続させる。

　すなわち、本実施の形態に係るカプラユニット２００において、接続される機能ユニットが利用する通信フレームに依存して、動作を停止する状態と、そのまま動作を継続できる状態とのいずれかに遷移できるようになっている。

　図１１は、本実施の形態に係る制御システム１が解決しようとする別の課題を説明するための模式図である。図１１には、上述の図７と同様に、機能ユニット００～機能ユニット０２が標準制御を司る「Ｓｙｎｃ　Ｕｎｉｔ０」として設定され、機能ユニット０３～機能ユニット０５がセーフティ制御を司る「Ｓｙｎｃ　Ｕｎｉｔ１」として設定されている例を示す。

　図１１を参照して、例えば、通信マスタであるＣＰＵユニット１００が保守または何らかのエラーにより、標準制御用の周期的に伝送される通信フレームの伝送を停止した場合には、通信スレーブであるカプラユニット２００は、通信フレームを受信できない期間が予め定められた期間を超えると、通信スレーブであるカプラユニット２００は、何らかの伝送異常（ＷＤＴ（WatchDog　Timer）異常）が発生したと検知し、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態（図９に示すＳＴ３）に遷移する。その結果、Ｓｙｎｃ　Ｕｎｉｔ１が利用するセーフティ通信フレームのデータ伝送に問題はなくても、Ｓｙｎｃ　Ｕｎｉｔ１によるセーフティ制御は停止してしまう。

　＜Ｇ．カプラユニット２００における処理手順＞
　次に、本実施の形態に係る制御システム１の通信スレーブであるカプラユニット２００における処理手順について説明する。

　図１２は、本実施の形態に係る制御システム１のカプラユニット２００における処理手順を示すフローチャートである。図１２に示す各ステップは、カプラユニット２００のプロセッサ２１２がファームウェア２１６を実行することで実現されてもよい。

　図１２を参照して、カプラユニット２００は、通信フレームの周期的な受信を監視して、伝送異常が発生したか否かを判断する（ステップＳ１００）。通信フレームの周期的な受信を監視方法として、図１０に示す同期異常、および、図１１に示すＷＤＴ異常の少なくとも一方を用いてもよい。

　図１０に示す同期異常は、周期的に伝送される通信フレームを用いる制御（同期制御モード）が設定されている場合において、通信フレームの受信失敗が所定周期連続した、すなわち、通信フレームの受信が所定周期にわたってない状態を検知するものである。

　また、図１１に示すＷＤＴ異常は、通信フレームを受信できない期間が予め定められた期間を超えた、すなわち、通信フレームの受信が予め定められた期間においてない状態を検知するものである。

　伝送異常が発生していなければ（ステップＳ１００においてＮＯ）、ステップＳ１００の処理が繰返される。

　一方、伝送異常を検知すると（ステップＳ１００においてＹＥＳ）、カプラユニット２００は、カプラユニット２００に接続されている機能ユニットの構成に基づいて、カプラユニット２００に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態（図９に示すＳａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態）と、カプラユニット２００に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態（図９に示すＰａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態）とのいずれかに遷移する。

　より具体的には、カプラユニット２００は、エリア個別制御が設定されているか否かを判断する（ステップＳ１０２）。エリア個別制御が設定されていなければ（ステップＳ１０２においてＮＯ）、カプラユニット２００は、ステップＳ１２０以下の処理を実行する。

　エリア個別制御が設定されていれば（ステップＳ１０２においてＹＥＳ）、カプラユニット２００は、セーフティ通信フレームを利用したセーフティ制御が存在するか否かを判断する（ステップＳ１０４）。セーフティ通信フレームを利用したセーフティ制御が存在していなければ（ステップＳ１０４においてＮＯ）、カプラユニット２００は、ステップＳ１２０以下の処理を実行する。

　セーフティ通信フレームを利用したセーフティ制御が存在していれば（ステップＳ１０４においてＹＥＳ）、カプラユニット２００は、検知された伝送の異常がセーフティ通信フレーム以外の通信であるか否かを判断する（ステップＳ１０６）。検知された伝送の異常がセーフティ通信フレームに係る通信であれば（ステップＳ１０６においてＮＯ）、カプラユニット２００は、ステップＳ１２０以下の処理を実行する。

　検知された伝送の異常がセーフティ通信フレーム以外の通信であれば（ステップＳ１０６においてＹＥＳ）、カプラユニット２００は、Ｐａｒｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態への遷移を通信マスタであるＣＰＵユニット１００へ通知し（ステップＳ１１０）、Ｏｐｅｒａｔｉｏｎａｌ状態からＰａｒｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態へ遷移する（ステップＳ１１２）。そして、カプラユニット２００は、伝送異常を検知したエリア（すなわち、対象のＳｙｎｃ　Ｕｎｉｔに含まれる１または複数の機能ユニット）の信号出力を設定に従って制御する（ステップＳ１１４）。そして、通信異常を検知したときの処理は終了する。

　このようなＰａｒｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態において、セーフティコントローラ２６０は、セーフティ通信フレームの伝送、および、信号出力の更新を継続することになる。また、セーフティ入出力ユニット２７０は、信号出力の更新を継続することになる。すなわち、セーフティ制御は継続される。

　一方、ステップＳ１２０において、カプラユニット２００は、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態へ遷移を通信マスタであるＣＰＵユニット１００へ通知し（ステップＳ１２０）、Ｏｐｅｒａｔｉｏｎａｌ状態からＳａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態へ遷移する（ステップＳ１２２）。この状態遷移に伴なって、カプラユニット２００は、カプラユニット２００に接続されているすべての機能ユニットの信号出力を無効化する（ステップＳ１２４）。続いて、カプラユニット２００は、それぞれの機能ユニットの信号出力を設定に従って制御する（ステップＳ１２６）。そして、通信異常を検知したときの処理は終了する。

　上述の処理手順のステップＳ１１０およびＳ１２０におけるＣＰＵユニット１００への通知においては、それぞれの状態を識別できる態様でその内容が送信されることが好ましい。

　図１３は、本実施の形態に係る制御システム１のカプラユニット２００からＣＰＵユニット１００への通知フレームの一部を示す模式図である。図１３を参照して、通信スレーブの状態を示す通知フレームには、少なくとも、「スレーブ異常」のビット、および、「エリア個別異常」のビットを含む。「スレーブ異常」は、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態に対応するものであり、ＴＲＵＥに設定されると、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態への遷移を意味し、「エリア個別異常」は、Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態に対応するものであり、ＴＲＵＥに設定されると、Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態への遷移を意味する。

　図１３に示すような通知フレームは、ＥｔｈｅｒＣＡＴにおいて用いられるＡＬステータスフレームを利用することができる。ＡＬステータスフレームは、リザーブされた未使用ビットを含んでおり、この未使用ビットに、「エリア個別異常」を割り当てることで、既存のシステムとも互換性を維持できる。

　また、上述の処理手順のステップＳ１１４およびＳ１２６における信号出力を設定に従った制御する処理の内容については、典型的には、予め設定されたデフォルト値（例えば、デジタル出力であれば、「ＯＮ」（ノーマリーオン）および「ＯＦＦ」（ノーマリーオフ）のいずれか一方）を出力するようにしてもよい。あるいは、伝送異常が発生する直前に出力されていた値をそのまま維持するようにしてもよい。あるいは、伝送異常が発生する直前に受信されていた出力データを反映するようにしてもよい。

　さらに、カプラユニット２００に接続される機能ユニットの情報（プロファイル情報）を参照して、各機能ユニットの種類または用途などに応じた値を出力するようにしてもよい。

　＜Ｈ．カプラユニット２００の機能構成＞
　次に、本実施の形態に係る制御システム１の通信スレーブであるカプラユニット２００における機能構成の一例について説明する。

　図１４は、本実施の形態に係る制御システム１のカプラユニット２００の機能構成を示す模式図である。図１４に示す各モジュールは、カプラユニット２００のプロセッサ２１２がファームウェア２１６を実行することで実現されてもよい。

　図１４を参照して、カプラユニット２００は、その機能構成として、通信フレーム転送モジュール２００２と、通信フレームバッファ２００４と、通信フレームマネジャー２００６と、異常検知モジュール２００８と、セーフティ通信フレームバッファ２０１４と、セーフティ通信フレームマネジャー２０１６と、異常検知モジュール２０１８と、選択モジュール２０２０と、個別設定モジュール２０２２と、状態遷移モジュール２０３０と、通知モジュール２０３２と、出力制御モジュール２０４２とを含む。

　通信フレーム転送モジュール２００２は、フィールドネットワーク４上を伝送される通信フレームおよびセーフティ通信フレームの受信および送信を管理する。通信フレーム転送モジュール２００２は、前段から受信した通信フレームおよびセーフティ通信フレームをそれぞれバッファへ出力するとともに、受信した通信フレームおよびセーフティ通信フレームに必要なデータを書込んで後段へ送信する。

　通信フレームバッファ２００４は、通信フレーム転送モジュール２００２により受信された通信フレームをバッファリングするとともに、標準制御を司る機能ユニットで収集されたデータ（入力データ／計測値）をバッファリングする。

　通信フレームマネジャー２００６は、通信フレームバッファ２００４にバッファリングされる通信フレームを、通信フレームを利用する機能ユニットに対して、提供するとともに、通信フレームを利用する機能ユニットからの要求に応答して、受信される通信フレームに対して書込むべきデータを生成する。

　異常検知モジュール２００８は、通信フレームの周期的な受信を監視して、伝送異常を検知する。より具体的には、異常検知モジュール２００８は、先の通信フレームを受信してから後続の通信フレームを受信するまでの時間または周期などを監視することで、同期異常またはＷＤＴ異常を検知する。

　セーフティ通信フレームバッファ２０１４は、通信フレーム転送モジュール２００２により受信されたセーフティ通信フレームをバッファリングするとともに、セーフティ制御を司る機能ユニットで収集されたデータ（入力データ／計測値）、および、セーフティ制御を司る機能ユニットからの要求をバッファリングする。

　セーフティ通信フレームマネジャー２０１６は、セーフティ通信フレームバッファ２０１４にバッファリングされるセーフティ通信フレームを、セーフティ通信フレームを利用する機能ユニットに対して、提供するとともに、セーフティ通信フレームを利用する機能ユニットからの要求に応答して、セーフティ通信フレームを構成するためのデータを生成する。

　異常検知モジュール２０１８は、セーフティ通信フレームの受信状態を監視して、セーフティ通信フレームの伝送異常を検知する。

　選択モジュール２０２０は、通信フレームマネジャー２００６およびセーフティ通信フレームマネジャー２０１６と論理的に結合すべき機能ユニットを選択する。

　個別設定モジュール２０２２は、予め用意された個別設定情報２０２４を参照して、選択モジュール２０２０による機能ユニットの選択を制御する。このように、個別設定モジュール２０２２は、選択モジュール２０２０と連係して、カプラユニット２００に接続される複数の機能ユニットを、通信フレームを利用する機能ユニット、および、セーフティ通信フレームを利用する機能ユニットとしてそれぞれ個別に設定する。

　状態遷移モジュール２０３０は、異常検知モジュール２００８および異常検知モジュール２０１８からの伝送異常検知のイベント、ならびに、個別設定モジュール２０２２からの機能モジュールに対するエリア個別制御の情報に基づいて、カプラユニット２００の状態を遷移させる。より具体的には、状態遷移モジュール２０３０は、異常検知モジュール２００８により伝送異常が検知されたときに、カプラユニット２００に接続されている機能ユニットの構成に基づいて、カプラユニット２００に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態（図９に示すＳａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態）と、カプラユニット２００に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態（図９に示すＰａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態）とのいずれかに遷移する。

　なお、状態遷移モジュール２０３０は、異常検知モジュール２０１８により伝送異常が検知されると、カプラユニット２００に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態（図９に示すＳａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態）に遷移する。すなわち、セーフティ通信フレームの伝送異常が検知した場合には、標準制御用の通信フレームの伝送異常より重大な異常であるとみなして、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態に遷移する。

　通知モジュール２０３２は、状態遷移モジュール２０３０による状態遷移を通信マスタへ通知する。より具体的には、通知モジュール２０３２は、異常検知モジュール２００８により伝送異常が検知されたときに、ＣＰＵユニット１００に対して、遷移先の状態を示す情報を通知する。この通知内容としては、上述の図１３に示すような通知フレームが用いられる。

　出力制御モジュール２０４２は、状態遷移モジュール２０３０による状態遷移に応答して、カプラユニット２００に接続されている機能ユニットの信号出力の値を制御する。より具体的には、出力制御モジュール２０４２は、信号出力を無効化された機能ユニットについて、予め定められた出力設定２０４４に従って、無効化後の信号出力の内容を決定する。

　以上のような機能構成によって、本実施の形態に係る状態遷移が実現される。
　＜Ｉ．その他＞
　上述したような伝送異常（ＷＤＴ異常）を検知するためのしきい時間は、Ｓｙｎｃ　Ｕｎｉｔ毎に個別に設定してもよい。各しきい時間は、通信マスタであるＣＰＵユニット１００からカプラユニット２００へのメッセージ伝送を利用して設定してもよい。

　また、伝送異常が検知されて機能ユニットの信号出力を無効化したときの振る舞いを予め設定しておいてもよい。この設定は、Ｓｙｎｃ　Ｕｎｉｔ単位でもよいし、機能ユニット単位であってもよい。

　上述の図１２に示す処理手順に示すように、Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態において、一部の機能ユニットは信号出力の更新を継続する。但し、複数回の伝送異常の検知によって、すべての機能ユニットについて信号出力が無効化された場合には、Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態を維持する必要はなくなるので、自動的に、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態へ遷移するようにしてもよい。

　なお、エリア個別制御を設定する際に、Ｓｙｎｃ　Ｕｎｉｔ毎にＰａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態への遷移を有効にするか、無効にするかを設定できるようにしてもよい。Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態への遷移が無効化されると、関連技術と同様に、何らかの伝送異常が検知されると、Ｐａｒｔｉａｌ－Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態を経ることなく、Ｓａｆｅ－Ｏｐｅｒａｔｉｏｎａｌ状態へ遷移する。

　＜Ｊ．付記＞
　上述したような本実施の形態は、以下のような技術思想を含む。
［構成１］
　通信マスタとして機能する制御装置（１００）と、
　前記制御装置とネットワーク接続される中継装置（２００）と、
　前記制御装置とネットワーク接続される１または複数のフィールド装置（１０）とを備え、
　前記中継装置には、１または複数の機能ユニット（２５０，２６０）が接続されており、
　前記制御装置は、ネットワークにおける第１の通信フレームの周期的な伝送を管理する伝送管理手段（１２０）を備え、
　前記中継装置は、
　　前記第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段（２００８）と、
　　前記第１の異常検知手段により伝送異常が検知されたときに、前記中継装置に接続されている機能ユニットの構成に基づいて、前記中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態（ＳＴ３）と、前記中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態（ＳＴ４）とのいずれかに遷移する状態遷移手段（２０３０）とを備える、制御システム。
［構成２］
　前記１または複数の機能ユニットは、セーフティコントローラ（２６０）およびセーフティ入出力ユニット（２７０）の少なくとも一方を含み、
　前記第２の状態において、前記セーフティコントローラおよびセーフティ入出力ユニットについては、信号出力の更新を継続する、構成１に記載の制御システム。
［構成３］
　前記セーフティコントローラおよびセーフティ入出力ユニットは、周期的に伝送される第１の通信フレームとは異なる第２の通信フレームを用いて、前記フィールド装置との間でデータを遣り取りする、構成２に記載の制御システム。
［構成４］
　前記中継装置は、前記セーフティコントローラおよびセーフティ入出力ユニットの少なくとも一方からの要求に応答して前記第２の通信フレームを前記制御装置へ送信し、
　前記制御装置は、前記中継装置から受信した前記第２の通信フレームを前記フィールド装置へ送信するフレーム転送手段（１２０）をさらに備える、構成３に記載の制御システム。
［構成５］
　前記中継装置は、前記中継装置に接続される複数の機能ユニットを、前記第１の通信フレームを利用する機能ユニット、および、前記第２の通信フレームを利用する機能ユニットとしてそれぞれ個別に設定する個別設定手段（２０２２）をさらに備える、構成３または４に記載の制御システム。
［構成６］
　前記中継装置は、前記第２の通信フレームの伝送異常を検知する第２の異常検知手段（２０１８）をさらに備え、
　前記状態遷移手段は、前記第２の異常検知手段により伝送の異常が検知されると、前記第１の状態に遷移する、構成３～５のいずれか１項に記載の制御システム。
［構成７］
　前記中継装置は、前記第１の異常検知手段により伝送異常が検知されたときに、前記制御装置に対して、遷移先の状態を示す情報を通知する通知手段（２０３２）をさらに備える、構成１～６のいずれか１項に記載の制御システム。
［構成８］
　前記中継装置は、信号出力を無効化された機能ユニットについて、予め定められた設定に従って、無効化後の信号出力の内容を決定する出力決定手段（２０４２）をさらに備える、構成１～７のいずれか１項に記載の制御システム。
［構成９］
　制御システム（１）の通信制御方法であって、前記制御システムは、通信マスタとして機能する制御装置（１００）と、前記制御装置とネットワーク接続される中継装置（２００）と、前記制御装置とネットワーク接続される１または複数のフィールド装置（１０）とを備えており、
　前記中継装置には、１または複数の機能ユニット（２５０，２６０，２７０）が接続されており、
　前記制御装置が、ネットワークにおける第１の通信フレームの周期的な伝送を管理するステップと、
　前記中継装置が、前記第１の通信フレームの周期的な受信を監視して、伝送異常を検知するステップ（Ｓ１００）と、
　前記第１の通信フレームについての伝送異常が検知されたときに、前記中継装置に接続されている機能ユニットの構成に基づいて、前記中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態（ＳＴ３）と、前記中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態（ＳＴ４）とのいずれかに遷移するステップ（Ｓ１０２～Ｓ１０６）とを備える、制御システムの通信制御方法。
［構成１０］
　制御システム（１）を構成する中継装置（２００）であって、前記制御システムは、前記中継装置がネットワーク接続される、通信マスタとして機能する制御装置（１００）と、前記制御装置とネットワーク接続される１または複数のフィールド装置（１０）とを備え、
　前記中継装置には、１または複数の機能ユニット（２５０，２６０，２７０）が接続されており、
　前記制御装置は、ネットワークにおける第１の通信フレームの周期的な伝送を管理する伝送管理手段（１２０）を備え、
　前記中継装置は、
　　前記第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段（２００８）と、
　　前記第１の異常検知手段により伝送異常が検知されたときに、前記中継装置に接続されている機能ユニットの構成に基づいて、前記中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態（ＳＴ３）と、前記中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態（ＳＴ４）とのいずれかに遷移する状態遷移手段（２０３０）とを備える、中継装置。

　＜Ｋ．利点＞
　本実施の形態に係る制御システムは、複数の機能ユニットが接続されたカプラユニットに対して、エリア個別制御を設定するとともに、それぞれの制御が利用する通信フレームが異なるような場合において、一方の制御で利用する通信フレームの伝送異常が発生したとしても、他方の制御で利用する通信フレームの伝送が正常であれば、当該他方の制御を停止することなく、継続する。このように、共通のカプラユニットを利用して、それぞれ異なる制御を実現するような制御システムにおいて、伝送異常の検知およびそれに伴なう必要な処置を合理的に行うことができる。

　上述したような複数の制御としては、例えば、高速かつ同期通信が要求される標準制御と、低速かつ非同期通信を利用するセーフティ制御との組み合わせが想定される。標準制御において、通信フレームのロストや構成変更などによって、同期を維持できない場合には、同期異常が発生するが、セーフティ制御においては、非同期の通信フレームを利用できるので、セーフティ制御のみを維持する専用の状態へ遷移することになる。

　また、通信マスタであるマスタ装置における標準制御に係るアプリケーションの停止（例えば、保守や致命的な異常の発生）により、通信フレームが届かなくなると、通信スレーブ側は異常を検知する。このような場合においても、セーフティ制御においては、非同期の通信フレームを利用できるので、セーフティ制御のみを維持する専用の状態へ遷移することになる。

　このように、本実施の形態に係る制御システム１は、共通のカプラユニットに複数の機能ユニットを接続し、これらの機能ユニットを用いてそれぞれ異なる制御を実行させるような構成において、一方の制御で発生した伝送異常の影響を他方の制御へ極力及ぼさないように、それぞれを独立化できる。

　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

　１　制御システム、２　マスタ装置、４　フィールドネットワーク、６　リモートＩＯ装置、８　上位ネットワーク、１０　サーボドライバ、１２　サーボモータ、１４，２４　内部バス、１００　ＣＰＵユニット、１０２，２１２，２６６　プロセッサ、１０４　チップセット、１０６，２１４，２６７　メモリ、１０８，２６８　ストレージ、１１０　ネットワークコントローラ、１１２　ＵＳＢコントローラ、１１４　メモリカードインターフェイス、１１６　メモリカード、１１８，２０４，２６２　内部バスコントローラ、１２０，２０２　フィールドネットワークコントローラ、１２６　カウンタ、１２８　ＲＴＣ、１５０，２５０　入出力ユニット、２００　カプラユニット、２１０，２６４　メインコントローラ、２１６　ファームウェア、２６０　セーフティコントローラ、２６９　セーフティプログラム、２７０，３００　セーフティ入出力ユニット、２００２　通信フレーム転送モジュール、２００４　通信フレームバッファ、２００６　通信フレームマネジャー、２００８，２０１８　異常検知モジュール、２０１４　セーフティ通信フレームバッファ、２０１６　セーフティ通信フレームマネジャー、２０２０　選択モジュール、２０２２　個別設定モジュール、２０２４　個別設定情報、２０３０　状態遷移モジュール、２０３２　通知モジュール、２０４２　出力制御モジュール、２０４４　出力設定、Ｔ　フレーム送信周期。

Claims

　通信マスタとして機能する制御装置と、
　前記制御装置とネットワーク接続される中継装置と、
　前記制御装置とネットワーク接続される１または複数のフィールド装置とを備え、
　前記中継装置には、１または複数の機能ユニットが接続されており、
　前記制御装置は、ネットワークにおける第１の通信フレームの周期的な伝送を管理する伝送管理手段を備え、
　前記中継装置は、
　　前記第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段と、
　　前記第１の異常検知手段により伝送異常が検知されたときに、前記中継装置に接続されている機能ユニットの構成に基づいて、前記中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、前記中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移する状態遷移手段とを備える、制御システム。
　前記１または複数の機能ユニットは、セーフティコントローラおよびセーフティ入出力ユニットの少なくとも一方を含み、
　前記第２の状態において、前記セーフティコントローラおよび前記セーフティ入出力ユニットについては、信号出力の更新を継続する、請求項１に記載の制御システム。
　前記セーフティコントローラおよび前記セーフティ入出力ユニットは、周期的に伝送される第１の通信フレームとは異なる第２の通信フレームを用いて、前記フィールド装置との間でデータを遣り取りする、請求項２に記載の制御システム。
　前記中継装置は、前記セーフティコントローラおよび前記セーフティ入出力ユニットの少なくとも一方からの要求に応答して前記第２の通信フレームを前記制御装置へ送信し、
　前記制御装置は、前記中継装置から受信した前記第２の通信フレームを前記フィールド装置へ送信するフレーム転送手段をさらに備える、請求項３に記載の制御システム。
　前記中継装置は、前記中継装置に接続される複数の機能ユニットを、前記第１の通信フレームを利用する機能ユニット、および、前記第２の通信フレームを利用する機能ユニットとしてそれぞれ個別に設定する個別設定手段をさらに備える、請求項３または４に記載の制御システム。
　前記中継装置は、前記第２の通信フレームの伝送異常を検知する第２の異常検知手段をさらに備え、
　前記状態遷移手段は、前記第２の異常検知手段により伝送の異常が検知されると、前記第１の状態に遷移する、請求項３～５のいずれか１項に記載の制御システム。
　前記中継装置は、前記第１の異常検知手段により伝送異常が検知されたときに、前記制御装置に対して、遷移先の状態を示す情報を通知する通知手段をさらに備える、請求項１～６のいずれか１項に記載の制御システム。
　前記中継装置は、信号出力を無効化された機能ユニットについて、予め定められた設定に従って、無効化後の信号出力の内容を決定する出力決定手段をさらに備える、請求項１～７のいずれか１項に記載の制御システム。
　制御システムの通信制御方法であって、前記制御システムは、通信マスタとして機能する制御装置と、前記制御装置とネットワーク接続される中継装置と、前記制御装置とネットワーク接続される１または複数のフィールド装置とを備えており、
　前記中継装置には、１または複数の機能ユニットが接続されており、
　前記制御装置が、ネットワークにおける第１の通信フレームの周期的な伝送を管理するステップと、
　前記中継装置が、前記第１の通信フレームの周期的な受信を監視して、伝送異常を検知するステップと、
　前記第１の通信フレームについての伝送異常が検知されたときに、前記中継装置に接続されている機能ユニットの構成に基づいて、前記中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、前記中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移するステップとを備える、制御システムの通信制御方法。
　制御システムを構成する中継装置であって、前記制御システムは、前記中継装置がネットワーク接続される、通信マスタとして機能する制御装置と、前記制御装置とネットワーク接続される１または複数のフィールド装置とを備え、
　前記中継装置には、１または複数の機能ユニットが接続されており、
　前記制御装置は、ネットワークにおける第１の通信フレームの周期的な伝送を管理する伝送管理手段を備え、
　前記中継装置は、
　　前記第１の通信フレームの周期的な受信を監視して、伝送異常を検知する第１の異常検知手段と、
　　前記第１の異常検知手段により伝送異常が検知されたときに、前記中継装置に接続されている機能ユニットの構成に基づいて、前記中継装置に接続されているすべての機能ユニットについて信号出力を無効化する第１の状態と、前記中継装置に接続されている一部の機能ユニットについて信号出力の更新を継続する第２の状態とのいずれかに遷移する状態遷移手段とを備える、中継装置。