CN1893336B - 接收装置以及通信*** - Google Patents

Abstract

本发明的目的是在过程控制***中实现在通信时兼顾输入输出数据的可用性和安全性的通信控制。为此，在发送装置中设置：生成包含传送数据、表示可靠度的安全标志和由传送数据生成的数据错误检测码的传送数据的部件；在接收装置中设置：多个从接收帧抽取传送数据、安全标志和数据错误检测码并进行数据错误检测的部件，核对多个接收帧的部件，以及根据帧错误检测结果、安全标志、数据错误检测结果和核对结果选择一个接收帧的部件；通过与用安全标志所设定的可靠度相对应的检测方法来判定传送数据的有效性。

Description

接收装置以及通信***

技术领域

本发明涉及发送装置、接收装置、通信控制装置、通信***以及通信控制方法。 

近年来，在过程控制***中，不只限于设备原本的功能(一般功能)的控制，对于针对人命、环境的安全功能的控制也使用可编程的以电子方式进行控制的装置的要求不断增高。在安全功能控制中要求安全性，为此，在针对装置间的数据通信的安全性的指标之一中使用错误检测码来进行错误检测。 

但是，还要求通过错误检也无法检测出的概率即遗漏错误检测率的提高，为了实现安全性，而考虑到将包含数据和错误检测码的帧接收两个以上，以进行错误检测码的核对的技术。这样的技术，例如记载在日本专利公开特开2005-49967号公报中。 

另外，在功能安全标准IEC61508计划中，作为妨碍安全的主要因素，有通信回路的再发送、损失、***、错误顺序、延迟、假象(伪装)，需要针对它们的对策。还要求通过错误检测也不能检测它们的概率即漏检错误率的降低，为了实现安全性，而考虑到进行不给***带来重大影响的安全数据的核对的技术。这样的技术，例如，记载在日本专利公开特开昭61-134135号公报(专利文献)。 

另外，电子学、信息领域的技术进步和在单一装置中所要求的功能的复杂化、复合化成为原动力，可编程电子器件的适用范围扩大，同时在可编程电子器件中被要求的可靠性也不断增高。 

近年来，在设备的大规模化、综合化持续推进以及高度自动化的设备操作不断进展当中，也存在国际性的安全标准的影响和熟练者不够之类的问题，一直以来，成为在已构筑的安全对策的基础上需要安全性进一步提高的状况，如在功能安全标准的IEC61508-1～7，“Functional Safety of electrical/electronic/programmable electricsafety-related systems”part1～part7(IEC61508/61511，JIS C 0508)中明确记载那样，在各个层次上防止或缓和事故的发生及损失的扩大正在得以重视。 

为了在设备控制装置中满足上述功能安全标准，在检测到异常的情况下，要求可靠地动作，即使在万一出现故障的情况下，也要求使过程向安全侧停止。功能安全***，要求与控制***不同的重视“安全性”的特别设计。 

另外，在大规模的控制***中，过程输入输出装置设置在传感器等的过程附近、控制器设置在稍稍离开过程的控制室的分散型控制***成为主流，如何防止由于控制器和过程输入输出装置之间的数据通信的错误而引起的过程输入输出装置的误动作，在功能安全中变得很重要。 

作为数据传送中的最一般的错误检测方法之一，如在日本专利公开特开平11-74869号公报中记载的那样，有CRC(Cyclic RedundancyCheck)。 

上述以往的技术由于不进行数据本身的核对，在安全性改善上存在界限。亦即，对较高的安全性的要求不能充分地适应。另一方面，在一般功能控制中还要求可用性。 

上述以往的技术由于不在数据发送源进行核对，所以在安全性改善上存在界限。另外，在功能安全中的数据通信中需要进行假象(伪装)检测。 

在可编程电子器件中被要求的可靠性的因素中有可靠性和安全性。在仪器的控制中可用性是重要的，在仪器的保护中安全性是重要的。这两个因素的实现手段有很多二律背反的部分。 

为此，以往分成负责可用性的部分装置和负责安全性的部分装置  的做法被视为常识。不只是装置因此而大型化，而且运转、维护作业的重复和复杂化有时还会导致人为因素的可靠性降低。 

发明内容

本发明的目的在于，提供可以解决上述的以往的问题点的至少一个的发送装置、接收装置、通信控制装置、通信***以及通信控制方法。具体而言，提供一种在对于安全功能获得遗漏错误检测率等降低等的较高安全功能的同时，例如，对于一般功能则可以获得可用性的技术。 

另外，本发明的目的在于，提供一种对于安全功能降低漏检错误率，并且能够进行假象检测的技术。 

另外，本发明的目的还在于，提供一种可以兼顾高性能和安全性的技术。 

为了实现上述目的，在本发明的技术方案中，构成为：接收上述含有数据和表示安全级别之高低的安全标志信息的帧，从上述帧取出数据和安全标志信息，并依照上述所取出的安全级别，进行上述接收到的数据的通信错误检测。或者，构成为：接受数据的传送，接受表示安全级别之高低的安全标志信息的传送，基于上述数据和安全标志信息创建帧，并将上述帧以串行通信来进行发送。 

更具体而言，本发明的技术方案提供一种通信控制装置，由发送装置和接收装置构成。其中，发送装置包括：生成含有包含传送数据的分组和由上述分组生成的一个帧错误检测码的帧的部件；和发送上述帧的多个发送部件。接收装置包括：多个传送部件；由多个接收部件接收到的多个接收帧进行多个帧错误检测的部件；和附加从上述多个帧选择一个接收帧以抽取传送数据的有效标志的部件。所述通信控制装置如下构成：在上述发送装置中设置：生成包含传送数据、表示上述传送数据的可靠度的安全标志和由上述数据生成的数据错误检测码的传送数据的部件；在上述接收装置中设置：多个从上述接收帧抽取传送数据、安全标志和数据错误检测码并进行数据错误检测的部件；  核对上述多个接收帧的部件；以及根据上述帧错误检测结果、上述安全标志、上述数据错误检测结果和上述核对结果选择一个接收帧的部件；通过与用安全标志所设定的可靠度相对应的检测方法来判定传送数据的有效性。 

另外，为了达到上述目的，本发明的技术方案构成为：经由至少一部分为串行传送的线路向发送目标的通信控制装置发送数据，经由线路从发送目标的控制装置接收所发送的数据，核对所发送的数据与所接收的数据，并基于核对结果、经由线路向发送目标的通信控制装置发送表示许可输出已经发送的数据的输出许可信息。 

更具体而言，本发明的技术方案构成为：在由将数据发送侧装置和数据接收侧装置和在上述装置之间进行串行连接的线路构成的通信***中，上述数据接收侧装置将接收到的数据进行回传补偿发送，在上述数据发送侧装置中核对数据和回传补偿，并发送结果，上述数据接收侧装置根据上述核对结果来判断数据有效性。 

更具体而言，本发明的技术方案构成为：在由主通信控制装置和被连接到输出电路的从通信控制装置构成的通信控制装置中，上述主通信控制装置发送输出数据，上述从通信控制装置发送上述输出数据的回传补偿，上述主通信控制装置核对上述输出数据和上述回传补偿，并在一致时允许向上述从通信控制装置输出。 

另外，本发明的技术方案构成为：在由主通信控制装置和被连接到输入电路的从通信控制装置构成的通信控制装置中，上述从通信控制装置发送输入数据，上述主通信控制装置发送上述输入数据的回传补偿，上述从通信控制装置核对上述输入数据和上述回传补偿，并在一致时允许向上述主通信控制装置输入。 

另外，为了达到上述目的，本发明的技术方案构成为：接收表示相对的安全性之高低的数据，对多个数据单位各自创建错误代码，根据表示相对的安全性之高低的数据、多个数据单位和在数据单位的安全性相对较高的情况下被附加的各自的错误代码来创建数据，进而，创建关于所创建的数据的至少一部分的错误代码并将其附加在所创建  的数据上。或者构成为：接收表示相对的安全性之高低的数据，根据接收到的错误代码来判断接收帧错误与否，在数据单位的安全性相对较高的情况下，对接收帧中所包含的各个单位数据，根据对应的多个错误代码来判断单位数据的错误与否。 

这样，对于安全功能，就可以得到遗漏错误检测率的降低等的较高的安全性。进而，例如对于一般功能等则可以获得可用性。 

另外，对于安全功能，在降低漏检错误率的同时，可以实现假象检测。 

通过信号交换通信，帧的发送源、发送目标地址的确认以及数据和回传补偿的核对，就可以实现假象检测。 

另外，还可以同时兼顾高性能和安全性。 

附图说明

图1是本发明实施例的***。 

图2是实施例的存储器。 

图3是实施例的帧。 

图4是实施例的接收判定。 

图5是实施例的时间图。 

图6是本发明的其他实施例的***。 

图7是实施例的通信控制装置(主通信控制装置)。 

图8是实施例的通信控制装置(被连接到输出电路的从通信控制装置)。 

图9是实施例的通信控制装置(被连接到输入电路的从通信控制装置)。 

图10是实施例的输出数据通信过程的时间图。 

图11是实施例的输入数据通信过程的时间图。 

图12是表示了其他实施例的框图。 

图13是表示控制器与过程输入输出装置之间所收发的数据格式的说明图。 

图14是表示在通信装置间所转送的帧的格式的说明图。 

具体实施方式

下面，说明本发明的实施例。 

在图1中给出使用了本发明实施例的通信控制装置的***。 

由发送装置1、1***线路21、2***线路22、接收装置3、输出电路A41、输出电路B42和控制对象5组成。 

发送装置1由CPU11、存储器12、DMAC13、1***发送电路141、2***发送电路142和发送定序器15组成。 

使用图2来说明存储器12的细节。 

在存储器12中分配有用于进行输出电路A41之控制的区域，即输出区A121。 

输出区A121由输出数据1211、表示输出数据是否是安全功能的安全标志1212、数据错误检测码1213和有效标志1214构成。 

同样分配有输出区B122。 

在输出电路A41为一般功能时，CPU11对输出区A121写入复合数据123。有效标志分配1、安全标志分配0、数据错误检测码1233分配0。 

在输出电路B42为安全功能时，CPU11对输出区B122写入复合数据124。有效标志分配1、安全标志分配1，CPU11对数据错误检测码1243分配由输出数据1241而运算的值。 

控制对象用多个控制装置构成，由***设计者利用各个控制装置根据必要的安全度，选择设为一般功能还是设为安全功能。例如，在制造现场关系到人命的非常停止控制装置被选择成安全功能，除此以外被选择成一般功能。这样，一般功能和安全功能因控制对象而异，但输出数据自身为相同数据。 

使用图3来说明帧23的细节。 

帧23由起始标志231、分组232、帧错误检测码233和终止标志234组成。分组232由首标2321和复合数据2322组成。在首标2321中分配存储器12的地址。 

使用图1、图2、图3和图5来说明从存储器12到1***线路21、2***线路22的数据流向。 

发送定序器15将转送源地址(输出区A121的地址1210)和转送起动对DMAC(直接存储器存取控制器)13发出命令17，经由总线16将复合数据123、即读出了输出区A121的值转送给1***发送电路141和2***发送电路142。从DMAC13将发送源地址转送给1***发送电路141和2***发送电路142。输出区B122也同样如此。接着，从发送定序器15将发送请求18(t1)对1***发送电路141和2***发送电路142发出命令。1***发送电路141由转送源地址1210和复合数据123生成分组232，由分组232运算帧错误检测码233、生成帧23并发送给线路21(t11)。同样，从2***发送电路142将帧24发送线路22(t12)。帧23和帧24为相同内容。发送定序器15定期地执行从输出区A121和输出区B122生成、发送帧。 

使用图1、图3、图4和图5来说明从1***线路21，2***线路22到存储器39的数据流向。 

接收装置3由接收定序器301、1***接收电路3021、2***接收电路3022、1***接收缓冲器3031、2***接收缓冲器3032、1***帧错误检测器3041、2***帧错误检测器3042、1***数据错误检测器3051、2***数据错误检测器3052、核对器306、选择器307、标志附加器308、DMAC309以及存储器310组成。从1***线路21接收到的1***帧23(t13)，若在1***接收电路3021接收结束，就向接收缓冲器3031进行转送3111，一结束就在1***接收结束3121(t2)通知给接收定序器301。同样、若接收2***帧24就在2***接收结束3122(t3)通知给接收定序器301。 

1***帧错误检测器3041从接收缓冲器3031接收3131分组232和帧错误检测码233，进行帧的错误检测，并通知1***帧错误检测结果3141(t4)。同样、2***帧错误检测器3042通知2***帧错误检测结果3142(t5)。 

1***数据错误检测器3051从接收缓冲器3031接收3151输出数据  23221和数据错误检测码23223，进行数据错误检测，并通知1***数据错误检测结果3161(t4)。同样、2***数据错误检测器3052通知2***数据错误检测结果3162(t5)。 

核对器306从1***接收3171、3172缓冲器3031和2***接收缓冲器3032接收输出数据23221，进行全部位核对，并通知数据核对结果318(t6)。 

从1***接收缓冲器3031接收1***安全标志3191、1***有效标志3201。从2***接收缓冲器3032接收2***安全标志3192、2***有效标志3202。接收定序器301通过1***接收结束3121或者2***接收结束3122的通知，将1***超时寄存器3011和2***超时寄存器3012清除(clear)。接收定序器301如果在1***接收结束3121的通知后、指定的时间内没有2***接收结束3122的通知，就将2***超时寄存器3012置位。同样、如果没有1***接收结束3121的通知，就将1***超时寄存器3011置位。在两个系的接收结束若或者超时后，接收定序器301进行接收判定3013，若选择321选择器307则对标志附加器308通知安全标志附加322和有效标志附加323。 

在图4中给出接收判定3013。从接收判定3013的第1行起按顺序进行判定。 

在图4所示的第1行的行，按1***超时寄存器3011为「0」、1***帧错误检测结果3141为「0」、1***数据错误检测结果3161为「0」、1***安全标志3191为「1」、1***有效标志3201为「1」、进而、2***超时寄存器3012为「0」、2***帧错误检测结果3142为「0」、2***数据错误检测结果3162为「0」、2***安全标志3192为「1」、2***有效标志3202为「1」、核对结果306为「1」来表示，在这些条件具备时，将选择321设置成「1***/2***」、将安全标志附加322设置成「1」、将有效标志附加323设置成「1」。 

亦即，①对于1***超时寄存器3011，由于在图4的凡例中超时被规定为「1」，所以是表示没有超时的「0」，②对于1***帧错误检测结果3141，由于在图4的凡例中如果进行错误检测就规定为「1」，所  以是表示没有进行错误检测的「0」。③对于1***数据错误检测结果3161，由于在图4的凡例中如果进行错误检测就规定为「1」，所以是表示没有进行错误检测的「0」，④对于1***安全标志3191，由于在图4的凡例中安全功能被规定为「1」，所以是表示安全功能的「1」，⑤对于1***有效标志3201，由于在图4的凡例中有效被规定为「1」，所以是表示有效的「1」，与这些有关1***的输入同样，关于2***也参照图4的凡例，2***超时寄存器3012为「0」，2***帧错误检测结果3142为「0」，2***数据错误检测结果3162为「0」，2***安全标志3192为「1」，2***有效标志3202为「1」，⑥关于核对结果306，由于在图4的凡例中一致被规定为「1」，所以是表示一致的「1」。在以上的条件具备时，将选择321设置成「1***/2***」，将安全标志附加322设置成「1」，将有效标志附加323设置成「1」。 

在第1行的条件不具备的情况下，接着判断第2行的条件是否具备。亦即，在图4所示的第2行的行，1***超时寄存器3011为「0」、1***帧错误检测结果3141为「0」、1***数据错误检测结果3161为「0」、1***安全标志3191为「1」、1***有效标志3201为「0」，进而，2***超时寄存器3012为「0」、2***帧错误检测结果3142为「0」、2***数据错误检测结果3162为「0」、2***安全标志3192为「1」、2***有效标志3202为「0」、核对结果306为「1」的条件具备时，将选择321设置成「1***/2***」，将安全标志附加322设置成「1」，将有效标志附加323设置成「0」。 

此外，在图4的凡例规定为「×」的表示从判断条件中除外。例如，在第3行中，按1***数据错误检测结果3161为「×」、1***安全标志3191为「×」、1***有效标志3201为「×」来规定，这意味着1***数据错误检测结果3161、1***安全标志3191、1***有效标志3201各自不论是「1」、或者是「0」，都将选择321设置成「1***/2***」、并对安全标志附加322、有效标志附加323各自的设置不带来影响。 

接收判定3013根据输入的组合如下面那样进行判定。 

在第1行判定为有效的安全功能的数据未检测出异常地进行了接  收。 

在第2行判定为变成有效的以前的安全功能的数据未检测出异常地进行了接收。 

在第3行判定为从1***线路21和2***线路22接收了一般功能的数据。     

在第4行判定为从2***线路22接收了一般功能的数据。 

在第5行判定为从1***线路21接收了一般功能的数据。 

在第6行判定为无法进行正常接收。 

选择321有「1***」、「2***」、「1***/2***」三种，「1***」选择1***，「2***」选择2***，「1***/2***」切换现状的系。在之前的判定中选择了1***的情况下则选择2***。在之前的判定中选择了2***的情况下则选择1***。 

在选择器307中基于选择321，来选择1***接收帧3241和2***接收帧3242中的某个。选择器307从被选择的帧、将包含存储器310的写入地址的首标2321对DMAC309进行发送325。另外，从被选择的帧将复合数据2322对标志附加器308进行发送326。 

标志附加器308基于安全标志附加322和有效标志附加器323，盖写复合数据2322的安全标志23222和有效标志23224。 

接收定序器301对DMAC309发出写入请求327(t7)，经由总线329将进行写入的复合数据328写入到存储器310。 

使用图1、图5来说明从存储器310到控制对象5的数据流向。 

DMAC309定期地从存储器310对输出电路A41，输出电路B42转送相符的复合数据(t8)。 

在输出电路A41为一般功能控制时，如果有效标志1214为有效，则将输出数据1211进行输出411。若不是有效，则将预先设定的安全输出值进行输出、或者保持前值。 

在输出电路B42为安全功能控制时，如果有效标志1214为有效、且安全标志1212为安全、且从输出数据1211和数据错误检测码1213进行数据错误检测、没有检测出错误，则将输出数据1211进行输出421。  否则将预先设定的安全输出值进行输出、或者保持前值。 

这样一来，就在兼顾可用性和安全性的过程控制***中得以应用。 

图6中表示使用了其他例子的通信控制装置的***。由CPU4010、4011；通信控制装置4020、4021、4022、4023；线路4003；输出电路4042；输入电路4043和控制对象4005组成。通信控制装置4020、4021是主通信控制装置M0、M1。通信控制装置4022、4023是从通信控制装置S2、S3。线路4003是串行线路的多支路连接，各通信控制装置在自身未进行发送时始终进行接收监视。 

图7中表示通信控制装置4020之细节。通过主/从选择4201，能够选择该通信控制装置为主通信控制装置还是从通信控制装置。节点编号4202是该通信控制装置的线路上的ID，必须设定与线路4003上所连接的其他通信控制装置的节点编号不同的编号。与CPU4010的连接经由存储器4209。存储器4209是双端口RAM。由于线路4003是串行线路，所以收发电路4204在向线路发送以前将并行数据变换成串行数据，在从线路接收以后将串行数据变换成并行数据。此外，当然即便线路4003不全部是串行线路，一部分为串行线路即可。 

通信控制装置4021与通信控制装置4020相同。 

图8中表示通信控制装置4022之细节。与通信控制装置4020相同，但经由存储器4229连接有输出电路4042。 

图9中表示通信控制装置4023之细节。与通信控制装置4020相同，但经由存储器4239连接有输入电路4043。 

根据图10的时间图来说明从CPU10到输出电路4042的输出数据的通信过程。     

CPU4010定期地将输出数据写入到存储器4209中(t1)。 

发送侧的通信控制装置4020定期地发送输出数据。控制电路4203为了在通信目标节点编号6032中保存从通信控制装置4022的节点编号、即「2」，并生成帧OREQ1，对DMAC4208发出指示以将输出数据转送给发送缓冲器4205，在转送后对收发电路4204进行发送请求  (t2)。 

通信控制装置4020将帧OREQ1发送给线路4003，在发送结束后起动响应定时器6031(t3)。 

接收侧的通信控制装置4022接收帧OREQ1，并取入接收缓冲器4227中。如果帧的发送目标地址是表示发给自身的「2」、且控制字段为OR1，控制电路4223就在通信目标节点编号6232中保存帧的发送源地址「0」。将接收缓冲器4227中所写入的输出数据转送给数据缓冲器6210，另外，为了生成帧OACK1，将接收缓冲器4227中所写入的输出数据转送给发送缓冲器4225(t4). 

通信控制装置4022将帧OACK1发送给线路4003，在发送结束后起动响应定时器6231。通信控制装置4020接收帧OACK1，并取入接收缓冲器4207。在接收结束后，如果帧的发送目标地址是表示发给自身的「0」、且发送源地址与通信目标节点编号6032一致、且控制字段为OA1、且用核对器4206对发送缓冲器4025的输出数据与接收缓冲器4207的输出数据(回传补偿)进行核对并一致，就停止响应定时器6031(t5)。控制电路4203将帧OREQ2写入到发送缓冲器4205(t6)。 

通信控制装置4020将帧OREQ2发送给线路4003，在发送结束后起动响应定时器6031(t7)。 

通信控制装置4022接收帧OREQ2，并取入接收缓冲器4227。如果帧的发送目标地址是表示发给自身的「2」、且发送源地址与通信目标节点编号6232一致、且控制字段为OR2，就停止响应定时器6231。控制电路4223对DMAC4228发出指示以将数据缓冲器中所写入的输出数据写入到存储器4229(t8)。将帧OACK2写入发送缓冲器4225(t9)。 

通信控制装置4022将帧OACK2发送给线路4003。通信控制装置4020接收帧OACK2，并取入接收缓冲器4207。在接收结束后，如果帧的发送目标地址是表示发给自身的「0」、且发送源地址与通信目标节点编号6032一致、且控制字段为OA2，就停止响应定时器6031(t10)。之后，执行下一数据通信。 

输出电路4042定期地读出存储器4229，将输出数据进行输出  (t11)  。 

通过以上的动作，就能够在确认已转送的输出数据没有错误后进行输出。 

在通信过程中，主通信控制装置、从通信控制装置均在接收帧的发送目标地址、发送源地址、控制字段、数据等进行确认的部分不是期待值时，忽略接收帧，并等待接收帧直到响应定时器超时、接收到期待值为止。 

在主通信控制装置中当响应定时器已超时的情况下，中止当前的数据通信，并执行下一数据通信。 

在从通信控制装置中当响应定时器已超时的情况下，中止当前的数据通信，并等待下一数据通信。 

接着，根据图11的时间图来说明从输入电路4043到CPU4010的输入数据的通信过程。 

与图10不同的是由于数据的转送方向相反，故包含数据的帧的顺序不同，数据核对的定时不同。由于地址、控制字段的确认、超时监视为与图10相同的过程，故在以下的说明中进行省略。 

输入电路43定期地将输入数据写入到存储器4239(u1)。 

通信控制装置4020定期地发送输入请求的帧。进行与图10同样的处理，但在帧IREQ1中不包含数据(u2，u3)。 

通信控制装置4023在帧IACK1中包含输入数据进行发送(u4，u5)。 

通信控制装置4020在帧IREQ2中包含输入数据(回传补偿)进行发送(u6，u7)。 

如果用核对器4236对发送缓冲器4235的输入数据与接收缓冲器4237的输入数据(回传补偿)进行核对并一致，通信控制装置4023就发送帧IACK2(u8，u9)。 

通信控制装置4020接收帧IACK2后，将输入数据写入到存储器4209中(u10)。 

CPU4010定期地读出存储器4209(u11)。 

如以上说明那样，就可对涉及安全功能的输入数据、输出数据的通信降低漏检错误率，同时能够实现伪装检测。 

首先，就其他的例子概念性地进行说明。其构成为：在过程输入输出装置7004和控制过程的输入输出的控制器7001上备有S-CRC生成/检验电路7104(S-CRC生成电路7406)和动作模式控制部7105(7404)，依据动作模式控制部7105(7404)的输出使S-CRC生成/检验电路7104(S-CRC生成电路7406)进行动作/停止。在被设定成动作模式控制部7105使S-CRC生成/检验电路7104动作的模式(以下称为安全模式)的情况下，当进行从过程输入输出装置7004向控制器7001的数据发送时，过程输入输出装置7004的S-CRC生成电路7406在数据中附加S-CRC并经由通信装置发送到控制器7001。控制器7001在检验已接收到的数据和在过程输入输出装置7004中已附加的S-CRC，在有了错误的情况下，在不使用并废弃该接收数据的同时建立错误状态。相反，在从控制器7001向过程输入输出装置7004发送数据的情况下，由被安装于控制器7001的S-CRC生成/检验电路7104，在向过程输入输出装置7004发送的数据中附加S-CRC并向过程输入输出装置7004发送，被安装于过程输入输出装置7004的S-CRC检验电路7409进行针对从控制器7001接收数据的S-CRC检验，在有了错误的情况下，废弃接收数据并建立错误状态。进而，通过在进行控制器7001和过程输入输出装置7004之间的数据的接收发送的通信装置7002、7003中，进行从控制器7001接收到的数据和S-CRC以及从过程输入输出装置7004接收到的数据和S-CRC的检验，就可以从控制器7001到过程输入输出装置7004提高终端相互之间的数据通信的可靠性。在被设定成动作模式控制部7105(7404)使S-CRC生成/检验电路7104(S-CRC生成电路7406)停止的模式(以下称为正常模式)的情况下，不进行在控制器7001以及过程输入输出装置7004中的S-CRC生成和检验。 

如上所述，通过构成为，不仅在控制器7001和过程输入输出装置7004的终端相互之间，在进行两者的通信中继的通信装置7002、7003中也进行在两终端生成的S-CRC的检验，可以防止没有附加S-CRC的  正常模式的数据发生错误并被输出到安全模式的过程输入输出装置7004中，或者，正常模式的过程输入输出装置7004的输入数据发生错误并被保存在与控制器7001的安全功能相关的数据的区域中，而且，可以将以往分成了承担可用性的部分的装置和承担安全性的部分的装置统一起来构成同一装置。 

另外，由过程输入输出装置7004的地址和输入输出数据(以后称为数据)和相对数据的S-CRC以及表示装置的动作模式和故障状态的状态，来构成在控制器7001和过程输入输出装置7004之间发送接收的数据格式。将识别发送接收的数据是安全模式还是正常模式的标志、被安装在控制器7001和过程输入输出装置7004中的动作模式控制部7105(7404)在数据发送时将动作模式标志在数据格式的状态中反映。中继控制器7001和过程输入输出装置7004之间的数据的发送接收的通信装置7002、7003具有确认上述动作模式标志的部件。只在动作模式标志是安全模式的情况下进行CRC检验，在正常模式的情况下不进行CRC检验。 

进而，在控制器7001以及过程输入输出装置7004中，具有来确认已经接收的数据的动作模式标志和本身的动作模式是否一致的部件。确认在数据发送侧和接收侧动作模式是否一致，并在动作模式不一致的情况下，在过程输入输出装置7004侧不允许向过程输出，在控制器7001侧进行动作以禁止向控制器7001中的处理器7101或存储器等输出该数据。     

另外，通过将反映控制器7001和过程输入输出装置7004之间的通信数据格式的状态中的S-CRC错误的寄存器个别地设置在控制器7001和中继的通信装置7002、7003以及进城输入输出装置7004中，就使错误发生位置的确定变得容易，可以缩短故障发生时的故障位置的确定、分析以及修理时间。 

与上述说明一部分变得重复，但参照图12、图13、图14进行详细地进行说明。图12是表示本发明的形态的框图。图13是表示在过程输入输出装置7004与控制器7001之间所收发的数据格式的说明图。图14  是表示图12所示的通信装置7002和通信装置7003的数据通信的串行转送的帧的格式的说明图。 

首先，对图12的整体结构和各部分动作的概要进行说明。 

在本图中，可编程电子控制装置包括：过程输入输出装置7004，其作作在内部具有处理器存储器等的控制器7001和设备的过程的输入输出接口；通信装置7002和通信装置7003，其作为进行控制器7001和过程输入输出装置7004之间的数据通信中继的中继通信装置。 

首先，对从控制器7001向过程输入输出装置7004，以安全模式将向过程的输出数据发送的情况进行说明。 

从处理器7101输出的数据，暂时被保存在存储器7103中。该数据，例如是基于来自过程输入输出装置7004的过程状态信息而运算的过程控制数据等。被保存在该存储器7103中的数据，根据处理器7101的指令，在S-CRC生成/检验电路7104中将S-CRC添加并被写入寄存器7106。在这里，S-CRC是，在控制器7001或进城输入输出装置7004中，在数据发送时，对安全数据添加的CRC(Cyclic Redundancy Check)。具体而言，将数据按规定进行划分，以该数据为基础创建16位(bit)到32位程度的CRC代码，并在发送数据时，将数据与该CRC代码一起发送，在接收侧，确认数据和CRC代码的关联是否正确并进行错误检测。也就是，以数据为基础进行组合了被称为CRC生成多项式的位移和加法等的计算，并作为CRC代码附加在数据中并发送。在接收之际，用CRC生成多项式来计算接收数据，并确认与接收到的CRC的一致性。此外，细节将在后叙述，但是在本实施例子中，设将相对输入输出数据的CRC称为S-CRC，另一方面，将相对帧的CRC简单称为CRC。 

控制器7001是以安全模式还是以正常模式动作，由动作模式控制部7105来管理。具有将装置的动作模式和故障状态表现在寄存器7106的状态部分的多个寄存器，通过动作模式控制部7105的指令，将控制器7001以安全模式还是以正常模式在进行动作在寄存器7106的状态部反映出来。此外，将组合了状态、S-CRC和输入输出数据的数据称为单位数据。作为寄存器7106的内容的单位数据，通过控制器7001的总  线接口控制部7107和通信装置7002的总线接口控制部7201，被复制在寄存器7208中。     

在通信装置7002中，将寄存器7208的状态部直接复制在寄存器7204中，基于S-CRC在S-CRC检验电路7205中检验在输入输出数据中是否存在错误，并复制在寄存器7204中。在利用S-CRC检验电路7205中的S-CRC检验可以确认输入输出数据错误的情况下，S-CRC检验电路7205将表示在通信装置7002中发生了S-CRC错误的标志在寄存器7204的状态部反映出来。寄存器7204的内容，经由存储器接口控制部7206，被保存在存储器7209中。若单位数据(组合了状态、S-CRC和输入输出数据)被保存在存储器7209中，下一个单位数据就从控制器7001的寄存器7106被复制到通信装置7002的寄存器7208中，经由存储器接口控制部7206，在已经存储在存储器7209的单位数据中添加并被存储。该动作反复被执行，多个单位数据就被保存在存储器7209中。 

若规定数量的单位数据被保存在存储器7209中，就转移到发送动作。如图14所示，在存储器7209中保存的内容将单位数据7612、7613进行串行地多个整理，在CRC生成电路7202中将首标7611附加并构成发送帧，与此同时，附加对于帧的CRC7614并构成帧7601。这样，通过用在每个输入输出的单位数据附加的S-CRC和在每帧附加的CRC来附加二重错误检验，就可以提高数据的错误检测效果。在CRC生成电路7202中生成的发送帧在串行总线接口部7207中被变换成串行数据，通过通信介质7005被送到通信装置7003的串行总线接口部7307。此外，如图13所示，在构成帧7601的单位数据7612中，作为状态7511，如果在S-CRC检验电路7205中检测出错误，S-CRC错误7522就被补写；如果在CRC检验电路7203中检测出错误，CRC错误7523就被补写。前后进行说明，但是，S-CRC错误7522和CRC错误7523，进一步经过错误检测的电路所了解那样，例如，如同在用CPU进行了错误检测时就补写为CPU7521那样，如同通信装置7002(7532)、通行装置7003(7533)、PI/O7534或者通信装置7002(7535)、通信装置7003(7536)那样被补写。 

在通信装置7003中，串行总线接口部7307将接收到的帧送到CRC检验电路7303，CRC检验电路7303进行在每个帧中附加的CRC检验，从帧分解成各个数据并保存在存储器7309中。被保存在存储器7309中的数据，通过存储器接口部7306送到寄存器7308，接下来，寄存器7308的状态部被直接复制在寄存器7304的状态部，S-CRC和输入输出数据部在S-CRC检验电路7305实施S-CRC检验以后被复制到寄存器7304。当在S-CRC检验电路7305检测出错误时，将表示在通信装置7003发生S-CRC错误的事情的状态，在寄存器7304的状态反映出来。寄存器7304的内容通过总线接口控制部7301和过程输入输出装置7004的总线接口控制部7401被复制到过程输入输出装置7004的寄存器7403中。 

在过程输入输出装置7004中，将被复制在寄存器7403中的S-CRC和输出数据，接受定时控制部7402的指令，在S-CRC检验电路7409进行S-CRC检验。状态部被送到动作模式控制部7408，在进行被反映在状态部的数据输出源的动作模式是否是安全模式的检验的同时，用状态部的标志来确认输出数据在从控制器1的传送过程中是否发生了错误，只有在动作模式是安全模式且在状态中不包含错误信息的情况下，将寄存器7403的输出数据部复制到寄存器7410，并且数据输出控制部7411进行向过程的输出信号7413的输出。 

接着，对以安全模式将数据从过程输入输出装置7004向控制器7001发送的情况进行说明。 

在过程输入输出装置7004中，来自过程的输入信号7412通过数据输入控制部7405被取入过程输入输出装置7004，输入数据被复制到寄存器7407的数据部的同时，被送到S-CRC生成电路7406，S-CRC电路7406生成与输入数据相对的S-CRC，并将S-CRC保存在寄存器7407的S-CRC部分。在动作模式控制部7404中，在输入数据的通信之前，动作模式是安全模式还是正常模式的信息，从控制器7001通过通信装置7002和通信装置7003被发送。动作模式控制部7404，将表示过程输入输出装置7004的动作模式是安全模式、正常模式的哪一个的动作模式状态反映在寄存器7407的状态部。寄存器7407的内容通过总线接口部  7401和通信装置7003中的总线接口控制部7301复制到通信装置7003中的寄存器7304。 

在通信装置7003中，寄存器7304的状态部被直接复制到寄存器7308的状态部，S-CRC和数据部在S-CRC检验电路7305中进行检验，如果没有错误分别被复制到寄存器7308的S-CRC和输入输出数据部。在S-CRC检验电路7305检测出错误的情况下，S-CRC检验电路在寄存器7308的状态部建立在通信装置7003发生了S-CRC错误的标志。被复制在寄存器7308的单位数据通过存储器接口控制部7306被复制到存储器7309。CRC生成电路7302将被复制在存储器7309的多个数据单位整理并构成传送帧，与此同时，生成与帧相对的CRC，送到串行总线接口部7307。串行总线接口部7307将收到的帧变换成串行数据，通过介质7005向通信装置7002的串行总线接口部7207发送。 

在通信装置7002中，串行总线接口部7207将收到的帧送到CRC检验电路7203，CRC检验电路7203对与接收帧相对应的CRC错误的有无进行检验，并将帧分割成各个数据单位以后保存在存储器7209中。存储器7209的数据通过存储器接口控制部7206被复制到寄存器7204，寄存器7204的状态部被直接复制到寄存器7208。S-CRC和输入输出数据部在S-CRC检验电路7205中进行S-CRC检验，如果没有错误，就被分别复制到寄存器7208的S-CRC部和输入输出数据部。当在S-CRC检验电路7205中发现错误时，S-CRC检验电路7205就在寄存器7208的状态部建立发生了通信装置7002的S-CRC错误的标志。寄存器7208的数据通过总线接口控制部7201和控制器7001的总线接口控制部7107被复制到寄存器7106。 

在控制器7001中，动作模式控制部7105用寄存器7106的状态部的数据发送源的动作模式的标志来确认发送源是否是安全模式，如果不是安全模式，就将错误信息送到处理器7101，并放弃寄存器7106的数据。在确认发送源是安全模式的情况下，寄存器7106的S-CRC部和数据部被送到S-CRC生成/检验电路7104，如果S-CRC检验的结果是没有错误就将输入输出数据发送到处理器7101。 

在正常模式下的控制器7001和过程输入输出装置7004之间的数据通信中，通过状态的设定或者动作模式控制部7105、7404，使S-CRC生成/检验电路7104、S-CRC检验电路7205和7305、S-CRC生成电路7406和S-CRC检验电路7409不进行动作，其他与安全模式时相同进行数据的发送接收。因此，在从控制器7001到过程输入输出装置7004的数据收发中，包含中继的通信装置7002、通信装置7003，不必使数据格式和通信装置7002以及通信装置7003之间的数据传送帧结构改变，就可以使安全模式和正常模式的两方面的通信用同一装置实现。 

对从控制器7001到过程输入输出装置7004以正常模式发送向过程的输出数据的情况进行说明。特别地，以与安全模式不同的动作为主来说明，对于与安全模式相同的部分省略一部分进行说明。 

从处理器7101输出的数据，暂时被保存在存储器7103中。被保存在该存储器7103中的数据，与安全模式不同，不使S-CRC生成/检验电路7104动作，在S-CRC的区域中什么也不附加，而被写入寄存器7106。 

用动作模式控制部7105来管理控制器7001是用安全模式、正常模式的哪一个进行动作。控制器7001是以安全模式、正常模式的哪一个在动作被反映在寄存器7106的状态部。作为寄存器7106的内容的单位数据，通过控制器7001的总线接口控制部7107和通信装置7002的总线接口控制部7201被复制在寄存器7208中。 

在通信装置7002中，将寄存器7208的状态部直接复制到寄存器7204。与安全模式不同，不使S-CRC检验电路7205进行动作，不进行基于S-CRC的输入输出数据错误检验地复制在寄存器7204中。寄存器7204的内容经由存储器接口控制部7206被保存在存储器7209。若单位数据(组合状态、输入输出数据)被保存在存储器7209中，下一个的单位数据从控制器7001的寄存器7106被复制到通信装置7002的寄存器7208中，经由存储器接口控制部7206，在存储器7209已经被存储的单位数据中附加并存储。重复进行该动作，多个的单位数据被保存在存储器7209中。此外，在S-CRC区域什么也不保存。 

如果规定数量的单位数据被保存在存储器7209中，就转移到发送  动作。如图14所示，在存储器7209中被保存的内容，将单位数据7612、7613串行地进行多个整理，在CRC生成电路7202中将首标7611附加构成发送帧，与此同时，将与帧相对应的CRC7614附加并构成帧7601。在安全模式，S-CRC被附加到每个输入输出的单位数据，CRC被附加到每个帧。但是，在正常模式下CRC的错误检验停止。在CRC生成电路7202生成的发送帧在串行总线接口部7207被变换成串行数据，通过通信介质7005被送到通信装置7003的串行总线接口部7307。 

在通信装置7003中，串行总线接口部7307将接收到的帧送到CRC检验电路7303，CRC检验电路7303进行在每个帧附加的CRC的检验，从帧分解成各个数据并保存在存储器7309中。被保存在存储器7309中的数据通过存储器接口部7306被送到寄存器7308中，接下来，寄存器7308的状态部被直接复制在寄存器7304的状态部，S-CRC(什么也没被保存)和输入输出数据部，由于是正常模式，不进行基于S-CRC检验电路7305的S-CRC的检验，被复制到寄存器7304。寄存器7304的内容通过总线接口控制部7301和过程输入输出装置7004的总线接口控制部7401被复制到过程输入输出装置7004的寄存器7403中。 

在过程输入输出装置7004中，对于被复制在寄存器7403中的S-CRC(什么也没有保存)和输出数据，因为是正常模式，所以在S-CRC检验电路7409不进行S-CRC检验。状态部被送到动作模式控制部7408，进行在状态部被反映的数据输出源的动作模式是否是正常模式的检验，同时用状态部的标志来确认输出数据在从控制器7001开始的传送过程中是否发生了错误，在没有包含错误信息的情况下，将寄存器7403的输出数据部复制在寄存器7410，数据输出控制部7411进行向过程的输出信号7413的输出。 

接着，对于以正常模式将数据从过程输入输出装置7004向控制器7001发送的情况进行说明。 

在过程输入输出装置7004中，来自过程的输入信号7412用数据输入控制部7405取入到过程输入输出装置7004中，输入数据被复制到寄存器7407的数据部。由于是正常模式，S-CRC电路7406不动作。S-CRC  的区域什么也没有保存。在输入数据的通信之前，从控制器7001，通过通信装置7002和通信装置7003，将动作模式是安全模式、正常模式的哪一个的信息发送到动作模式控制部7404。动作模式控制部7404将表示过程输入输出装置7004的动作模式是安全模式、正常模式的哪一个的动作模式状态反映在寄存器7407的状态部。寄存器7407的内容通过总线接口部7401和通信装置7003内的总线接口控制部7301被复制在通信装置7003内的寄存器7304中。 

在通信装置7003中，寄存器7304的状态部被直接复制到寄存器7308的状态部。因为是正常模式，不进行在S-CRC检验电路7305中的检验，被复制到输入输出数据部。这时，S-CRC的区域什么也没有保存。被复制在寄存器7308的单位数据通过存储器接口控制部7306被复制到存储器7309。CRC生成电路7302将被复制到存储器7309的多个数据单位进行整理以构成传送帧，同时生成与帧相对的CRC，送到串行总线接口部7307。串行总线接口部7307将收到的帧变换成串行数据，并通过通信介质7005发送到通信装置7002的串行总线接口部7207。 

在通信装置7002中，串行总线接口部7207将接收到的帧送到CRC检验电路7203，CRC检验电路7203检验有无与接收帧相对的CRC错误，并将帧分割成各个数据单位保存在存储器7209中。存储器7209的数据通过存储器接口控制部7206被复制到寄存器7204中，寄存器7204的状态部被直接复制到寄存器7208中，因为是正常模式，不进行S-CRC检验电路7205中的S-CRC检验，分别被复制到输入输出数据部。寄存器7208的数据通过总线接口控制部7201和控制器7001的总线接口控制部7107被复制到寄存器7106。S-CRC的区域什么也没有保存。 

在控制器7001中，动作模式控制部7105用寄存器7106的状态部的数据发送源的动作模式的标志来确认发送源，将输入输出数据发送到处理器7101中。 

Claims (10)

1.一种接收装置，其特征在于，包括以下部件：

接收包含数据、表示安全级别之高低的安全标志信息以及帧错误检测码的帧的部件，该部件接收内容相同的两个帧；

从根据帧错误检测码判断为正常接收到的某个帧中，取出数据和上述安全标志信息的部件；以及

依照所取出的安全标志信息，根据从帧中取出的数据错误检测码进行所接收到的数据的通信错误检测的部件。

2.按照权利要求1所述的接收装置，其特征在于：

通过核对上述接收帧的至少一部分信息与上述数据错误检测码，来进行上述所接收到的数据的通信错误检测。

3.按照权利要求2所述的接收装置，其特征在于：

上述帧包含分组，并且在上述安全标志信息为安全级别相对高的信息的情况下，包含有对应于上述分组的分组错误码。

4.按照权利要求1所述的接收装置，其特征在于：

在安全级别相对高的情况下，接收包含相同的数据的至少两帧。

5.按照权利要求4所述的接收装置，其特征在于：

具有至少两个接收缓冲器，

上述至少两帧的数据被保存在上述至少两个接收缓冲器的每一个中。

6.按照权利要求5所述的接收装置，其特征在于：

在安全级别相对高的情况下，对上述至少两个接收缓冲器进行相互核对。

7.按照权利要求1所述的接收装置，其特征在于：

当在通信中产生了故障时，取代上述数据而使用预先设定的安全输出值。

8.按照权利要求7所述的接收装置，其特征在于：

在上述帧中包含有效标志，依照上述有效标志的状态来使用上述安全输出值。

9.按照权利要求4所述的接收装置，其特征在于：

在安全级别相对高的情况下，对上述包含相同的数据的至少两帧，核对彼此的所有位，在所有位一致的情况下，将上述接收到的数据中的一个作为数据来使用。

10.一种通信***，其特征在于，包括：

发送装置，该发送装置将含有数据、安全标志信息以及帧错误检测码的帧以串行通信进行发送；以及

接收装置，该接收装置接收含有上述数据、表示安全级别之高低的安全标志信息以及帧错误检测码的帧，接收内容相同的两个帧，从根据帧错误检测码判断为正常接收到的某个帧中，取出数据和上述安全标志信息，依照所取出的安全标志信息，根据从帧中取出的数据错误检测码进行所接收到的数据的通信错误检测。

Images