JP2005045772A - 複雑なまたは分散式の安全および／または非安全システムの最大反応時間の保証 - Google Patents

Abstract

【課題】データ処理システムで、安全入力信号と対応する安全出力信号との間の最大反応時間を保証する方法およびシステムを提供する。
【解決手段】データ処理システムで、ユーザ１２は、安全入力信号ＩＮおよび対応する安全出力信号ＯＵＴの間の最大反応時間を保証するために、値１２３を矢印Ａのようにユーザ１１、１３、１４に送信する。ユーザ１１、１３、１４は読み込まれたデータを処理し、値１２３を矢印Ｂのように報告する。評価ユニット１２４が、少なくとも１つのデータ・サイクルに基づき、読み込まれた入力データおよび／または出力データに関連するか関連付けることができるカレンシ・パラメータ１２３に関して検査し、少なくとも１つのカレンシ・パラメータと定義されたカレンシ閾値との間で定義された不一致に応答して識別され、エラーの識別に応答して安全指向機能である定義された機能がトリガされる。
【選択図】図１

Description

本発明は、データ処理システムで、特に安全入力信号（ｓａｆｅ ｉｎｐｕｔ ｓｉｇｎａｌ）と対応する安全出力信号の間の、最大反応時間を保証する方法およびシステムに関する。

通信するデータ処理システムまたはデータ処理設備において、メッセージ内のデータは、通常は、特定の時刻または特定の時間の間のみ有効である。というのは、特に安全関連の入出力信号の場合に、規定された反応時間を観察する必要があるからである。

従来技術を基礎として、トランスミッタ（ｔｒａｎｓｍｉｔｔｅｒ）とレシーバ（ｒｅｃｅｉｖｅｒ）の間の遅延時間監視が、通常はこの目的のために実行される。レシーバ端遅延時間監視について、トランスミッタが、データに適当な時間情報項目を付加し、トランスミッタおよびレシーバの両方が、その時間を追跡する必要がある。トランスミッタ端監視について、データの受信が、肯定応答信号を返すことによってトランスミッタに確認され、これによって、さらに、正しいデータ・シーケンスを監視できるようになる。

データ伝送に、継続的に正しい時間シーケンスで送信される信号が含まれると仮定すると、ドイツ国特許第ＤＥ−１０１ ０２ ４３５−Ｃ２号明細書にも、安全データ伝送が検査され、その一方で、後続信号の送信の可能な最大のまたは実行し得る最大の遅延も保証される方法が開示されている。これには、互いに通信するデータ処理ユニットが、２つの連続する信号の間で経過する最小時間に応答し、トランスミッタ端で受信ユニットから確認信号が受信されることに応答して、後続信号の送信を開始することによってデータを送信することの特定の提案が含まれる。
ドイツ国特許第ＤＥ−１０１ ０２ ４３５−Ｃ２号明細書

本発明の目的は、柔軟ですべてに適用可能な形で、特に安全入力信号と対応する安全出力信号との間の、複雑なまたは分散式の安全および／または非安全システムを含むデータ処理システムでの最大反応時間の確認、検査、および／または観察の、従来技術と比較して新規の大幅に改善された形を提供することである。

本発明によって、非常に驚くべきことに、添付の独立請求項の特徴を有する主題のみによって、この目的が達成される。
有利なおよび／または好ましい実施形態および開発が、めいめいの従属請求項の主題である。

各データ・サイクル中に同期式に読み込まれるシステムに組み込まれたユーザの入力側に存在する入力データおよび／または出力データ、少なくとも１つのデータ・サイクルに基づき、読み込まれた入力データおよび／または出力データに関連するか関連付けることができるカレンシ（ｃｕｒｒｅｎｃｙ）パラメータに関して検査される読み込まれた入力データおよび／または出力データ、少なくとも１つのカレンシ・パラメータと定義されたカレンシ閾値との間で達する定義された不一致に応答して識別されるエラー、およびエラーの識別に応答してトリガされる、特に安全指向機能である定義された機能を用いる、本発明によって提案される方法を基礎として、したがって、まず、システム固有の基礎で連続しおよび／または正しい時間シーケンスで、入力／出力情報処理を直接に監視する可能性と、これを基礎としてユーザによって独立に最大反応時間を保証する可能性がある。

したがって、本発明は、具体的には、たとえば、対応する安全出力信号の反応に関する安全入力信号のタイムクリティカル監視中に、対応する現在の入力情報が使用可能でない時に、特定の出力が定義された状態を採用することを保証することが重要であるシステムに使用される。

好ましい形では、読み込まれた入力データおよび／または出力データが、システム境界間、インテリジェント・ユニット（ｉｎｔｅｌｌｉｇｅｎｔ ｕｎｉｔ）間、および／またはネットワーク内を含む、特に固定され決定可能な間隔、周期、および／または時間に、データのアプリケーション固有のトランスポートと調和した反応時間を柔軟に、特に効果的に、保証するために、読み込まれた入力データおよび／または出力データが、各データ・サイクル中に検査される。

読み込み動作を同期化するために、本発明によって、好ましいことに、すべてのユーザに少なくとも間欠的に送信されるブロードキャスト信号および／またはラッチ信号が提供される。特に安全データ・ストリームに位置を定められた影響するユニットのすべてに関する送信方向および／または受信方向のデータ・パスでの、固定された限度内および／または１つの時で定義されるトランスポート関係の永久的保証を提供するために、したがって、本発明によって、有利なことに、実用的な実施形態について、すべてのユーザが同時にクロック信号／パルスを受け取ることを保証することができるシステム固有機構の使用が可能にされる。

本発明の開発の１つで、マスタによる１好ましい実施形態で、開始時（バス）および／または特定のユーザによるエラーの後に、同期化が実行される。
好ましい実施形態と調和して、同期式データ受入が、リング・シフト・レジスタを使用して実行され、その後、各ユーザが、特にインターバス（ｉｎｔｅｒｂｕｓ）の特性を使用する時に、データがシフトされた後に、すべてのユーザと同期して好都合にクロック信号／パルスを受信し、ユーザが出力データを受け入れることができ、入力データが読み込まれる。

特に簡単に読み込まれ、伝送プロトコルに関するビット節約を有する入力データおよび／または出力データのカレンシ検証を実行できるようにするために、ドライバ様手段を有する少なくとも１つのインテリジェント・ユニットが設けられ、このインテリジェント・ユニットは、読み込まれるデータにカレンシ・パラメータを割り当て、前記カレンシ・パラメータは、一意であり、かつ／または固定された時間および／またはサイクル構造に関連付けることができる。

これに関して、１つの好ましい開発によって、特定のユーザたとえばマスタから来るカレンシ・パラメータと共にすべてのデータ・サイクルにすべての読取ユーザたとえばスレーブに送信される、たとえば循環する通し番号などのサイクルベースの値が提供され、前記サイクルベースの値は、読み込まれたデータが処理された後に、マスタによって、検証のために後続データ・サイクルにスレーブから受信される。

もう１つの好ましい開発と調和して、各ユーザは、読み込み動作の時間に関して（有効）データ・サイクルを並列にカウントする。この文脈での基本的な利益は、読み込まれた入力データおよび／または出力データに基づくデータが、定義された数のカウントされるデータ・サイクルまでに限って簡単に転送され、そうでなければエラーが識別されることである。この場合に、各ユーザがもう一度データを転送して、カレンシ・パラメータから既に得られている読み込み時間に読み込み動作のそれ自体の（データ・サイクル）時間を加算する準備がされることが好ましい。

したがって、本発明には、好ましいことに、値またはデータ項目がカレンシ・パラメータとしてユーザに返され、ユーザ固有データ処理および／または転送の後に値またはデータ項目が作られるか、読み取るユーザ、特に出力ユーザ自体によってカレンシ評価が実行される実施形態が含まれる。

カレンシ評価が、したがって、特に、読み込まれたデータの処理に必要な時に基づくので、ユーザ固有データ処理および／または転送が、マスタによる出力データを作るための入力データの処理を含む規定された／規定可能な最大時間以内に行われるかどうかを判定するために、特に効果的な形で、検査が可能にされる。

適当な特定の基礎で、したがって、カレンシ・パラメータを作るユーザおよび／またはめいめいの読み取るユーザ、特に出力ユーザまたは関連する出力モデルを有するユーザによって適当として識別される最大反応閾値時間に応答して、定義された処置、特に安全性処置を導入する準備がされることが好ましい。

たとえば本発明を実施する時に、規定された／規定可能な最大時間以内に、選択されたユーザ、好ましくは出力データを作るマスタによって入力データが処理されることが保証される場合に、情報の同期式受入は、これによって、出力ユーザが、読み込まれた入力情報項目の最大の許容可能なエージング時間を判定し、かつ／または監視することができるようになることを意味する。

その結果、読み込まれ、特定のサイクルに受け取られたデータが、前のデータ・サイクルから来た入力データから計算されたことを知るユーザは、ユーザに関連するウォッチドッグ（ｗａｔｃｈｄｏｇ）を最後のデータ・サイクルの時間にリセットすることができる。

ユーザに、入力ユーザおよび出力ユーザならびに／またはマスタおよびスレーブを含めることができるので、したがって、本発明を、たとえばトークン・リング・システムに類似する形でマス多機能を転送することもできる本質的にすべてのデータ処理システムに使用することができる。

本発明を実施するために、したがって、少なくとも１つのユーザが、評価ユニットおよび反応比較デバイスを有し、好ましい一実施形態では、１つまたは複数のユーザが、カレンシ・パラメータを作るドライバ様手段を有する。

本発明と調和して適合されたデータ処理システムに、システム・カプラも含まれる場合に、システム・カプラに関連するウォッチドッグ・タイマが分割される。というのは、システム・カプラが、基礎になるシステム内のマスタおよび上に乗るシステム内のスレーブの両方の機能を実行するからである。

したがって、極端に柔軟な変形形態のオプションは、スレーブから別のスレーブへのデータの転送および／またはデータの変更のための通信がマスタを介してまたは直接に２つのスレーブの間のマスタなしで行われるデータ処理システムで本発明を好ましく使用することができることを意味する。

さらなる好ましい実施形態として、本発明に、特に、マスタが安全コントローラであり、かつ／またはスレーブが安全ディジタル／アナログ入力および／または安全ディジタル／アナログ出力を有し、かつ／または同一バス上の時間情報を有し／有しない安全ユーザおよび／または通常ユーザを有するアプリケーションが含まれる。
本発明を、添付図面に関して好ましい実施形態を使用して下で例として説明する。

下のテキストでは、まず図１を参照するが、図１には、本発明の基本の自動化設備を動作させる標準ネットワーク・システムの要素の非常に簡略化された図が示されている。

そのようなデータ処理システムを基礎として、少なくとも１つの入力ユーザまたはユーザに関連する入力モジュールによって、入力データが読み込まれることが好ましい。このデータは、出力ユーザまたはユーザに関連する出力モジュールによる処理の後に、出力データとして出力される。処理は、同一のユーザ内で、または入力データが転送された後に別のユーザによって実行することができ、この別のユーザは、出力データを作るために入力データが処理された時に、前記出力データを出力するか、出力のために別のユーザに転送する。

具体的に言うと、図１に、複数のユーザ１１、１２、１３、１４、および１５が示されており、これらのユーザは、標準的なネットワーク・システムに組み込まれ、それぞれが、インテリジェント・ユニット１、２、３、４、または５を有し、これらのインテリジェント・ユニットは、定義されたアプリケーションのために、および／またはネットワーク内の定義された位置に設けられる。

したがって、ユーザ１１、１２、１３、１４、および１５に関連するインテリジェント・ユニット１、２、３、４、および５は、好ましくはセンサおよび／またはアクチュエータなどの設備固有設備構成要素を含み、データの適当なユーザ固有処理の関連する論理ユニット（詳細には図示せず）も有する。

たとえば図１に示された装置では、少なくとも、ユーザ１２に関連するインテリジェント・ユニット２に、ドライバ様手段１２２が含まれ、ドライバ様手段１２２は、一意の形で、固定された時間フレーム内で、比較的長い期間にわたって使用可能である交番する値１２３を作る。

安全入力データと対応する安全出力データの間の反応時間を監視し、かつ／または確立するために、ユーザ１２は、安全データを転送し、かつ／または処理するすべてのインテリジェント・ユニット、この例ではインテリジェント・ユニット１、３、および４に、同期して、矢印Ａによってマークされているように値１２３を送信する。

送信された値１２３は、対応するデータ・サイクルに現在存在する安全入力データおよび／または安全出力データと一緒に、安全データを処理するために設けられるユーザ１１、１３、および１４によって読み込まれる。読み込まれたデータが、めいめいのインテリジェント・ユニット１、３、および４によってさらに処理され、かつ／または転送された時に、事前に適当な形で割り当てられた値１２３が、矢印Ｂによってマークされているように、値を作るユーザ１１に報告される。インテリジェント・ユニット２内の評価ユニット１２４が、ユーザ１１によって使用されて、対応する出力安全データを作るために読み込まれた安全データを処理するめいめいの反応時間を確かめるために、めいめいの返された値１２３が評価される。

確かめられた反応時間に応じて、ユーザ１２は、適当な処置を開始することができる。具体的に言うと、安全性指向処置のトリガを、規定されたまたは規定可能な最大許容可能反応時間が過ぎた後に開始することができる。

さらに、最大許容可能反応時間の後に、送信された値１２３の少なくとも１つが送り返されない場合に、ユーザ１２がエラーを識別する準備がされることが好ましい。

これに関連して、値１２３の生成および送信に使用され、特にデータ・サイクルおよび／または処理サイクルベースである、図１と調和して提供されるネットワーク・システム内の発明的機構によって、同期化されたブロードキャスト応答が結果的に保証され、この応答は、安全データ・ストリーム内の影響するユーザのすべてについて、データ・パス上で送信方向および／または受信方向で、固定された限度内および／または特定の時に定義される、トランスポート関係を保証するのに使用される。

下で図２および３に関する代替実施形態でも説明するように、発明的手法は、したがって、反応時間の検査、確立、および／または観察のためにアプリケーション固有の基礎で複数の異なるデータ処理ネットワークおよび／またはデータ処理システムと一致させることができ、あるいは、たとえばコンピュータ・システムおよびその設計内で中央の形で、たとえばバス・システムの場合のようにローカルな形で、あるいはたとえばシステム境界にまたがるシステム・カプラ、トランスフォーマ、および／またはルータを使用して、ローカルに結合された形で、めいめいの安全構造および／または非安全構造と調和して適合することができる。

図２に、マスタとして働くユーザ２１およびスレーブとして働く２つのユーザ２２および２３と共にマスタ／スレーブ・リング・シフト・バスの概要を示す。これに関して、ユーザ２２は、矢印ＩＮによって示されるように周辺エリアから入力データを読み取り、対応する入力データまたはＩＮデータを、出力データまたはＯＵＴデータを作るために、安全処理および／または非安全処理のためにマスタ２１に転送する。マスタ２１が、ＩＮデータを処理してＯＵＴデータを作った時に、これらのデータが、スレーブ２２および２３に転送され、その結果、ＯＵＴデータを読み取った出力ユーザ２３が、矢印ＯＵＴによって示されるように、対応するデータを適当な周辺エリアに出力する。

処理されるデータは、データ・サイクルに、リング・シフト・レジスタＲを使用して、データ処理のためにシステムに組み込まれるユーザ２１、２２、および２３のすべてに転送され、すべてのユーザ２１、２２、および２３が、ネットワークおよび／またはシステム固有の基礎で同期式にデータを受け入れるように指示される。

同期は、ネットワーク固有の基礎で別の形で実行することもできる。したがって、たとえば、イーサネット・ベースのシステムを使用して、データ受入を指示するために、１種のラッチ信号またはクロック信号／パルスとしてブロードキャスト信号を使用することができる。

正しい動作中に、めいめいのデータ処理動作すなわち、本質的にユーザ固有のデータ処理動作および／またはデータ転送動作が、規定された／規定可能な最大時間以内に行われる、すなわち、マスタ２１によるＯＵＴデータを作るためのＩＮデータの処理も、規定された／規定可能な最大時間以内に行われると仮定すると、本発明によって、したがって、基本的にすべてのユーザ２１、２２、および２３、好ましくは出力ユーザ２３が、特に、読み込まれた情報の年齢に関する最大時間を判定でき、したがって、そのカレンシを監視できるようになる。したがって、反応時間によって、実際に、伝送プロトコルを使用して追加情報を送る必要なしに、ＯＵＴデータとＩＮデータの間の直接の時間的関係が形成される。

たとえば個々のユーザの、システム境界を介する伝送の、個々のバス障害の、および／または不正な同期化動作の、アプリケーション固有監視のために、追加情報が必要である場合には、伝送プロトコルでこの目的のために１つまたは複数のビットを提供する必要がある場合がある。

したがって、ユーザが、たとえばバス・ケーブルでの割込みを基礎として、読み込まれたデータがもはや有効でないすなわち、データ・カレンシに関する最大時間が経過したことを識別する場合に、特定の出力を、安全状態に切り替えることができる。したがって、規定された反応時間内の、特定の、特に安全性関連の処置が保証される。

これに基づく第１の好ましい実施形態で、各ユーザ２１、２２、および２３が、同時に（有効な）データ・サイクルをカウントする。開始時（バス）および／またはエラーの後に、マスタ２１などの一特定のユーザによって、好ましくは適当な信号の結果として、同期化が実行される。各ユーザ２１、２２、および２３は、前の（有効な）データ・サイクルに関して着信データが読み込まれた時を示し、これによって、本質的に、相対時間参照がセットされる。好都合なことに、過去のデータ・サイクルの間の長さに対応する時間次元が、読取時間に使用される。

たとえば、あるユーザの入力データ項目が、前のデータ・サイクルから来る場合に、そのユーザは、１を返し、データがその前のデータ・サイクルから来る場合に、ユーザは２を返す。これは、最大の大きさまで受入可能であるが、これは、入力データ項目の規定されたまたは規定可能な大きさの後に、後者が古すぎるものとして識別されることを意味する。

好ましい実施形態と調和して、たとえば７のカレンシ値が、データが古すぎるという自動的な仮定に関連する場合に、時間情報には３ビットで十分であり、各ユーザ２１、２２、および２３は、データがどれほど古いか、およびデータがまだ十分に新しいかどうかを正確に計算することができる。これの当然の結果として、６データ・サイクルの古さを超えないデータが転送され、データをもう一度転送する各ユーザ、たとえば入力データを処理して出力データを作るマスタ２１は、カレンシ値から得られた読取時刻にそれ自体の処理時間を加算し、対応する新しいカレンシ値を転送する。

図２に基づく第２の好ましい実施形態では、マスタ２１が、ＯＵＴデータのすべての組の付属物として、カレンシ値をスレーブ２２および２３に送信する。同一サイクルに、マスタ２１が、カレンシ値を示す入力情報をスレーブ２２および２３から受信する。正しい動作中に、この入力情報と共にスレーブ２２および２３によって送信されるカレンシ値は、したがって、前のサイクルにマスタがスレーブ２２および２３に送信したカレンシ値と同一である必要がある。

もう１つの好ましい実施形態では、特にインターバスの特性が使用される時に、各スレーブ２２および２３が、データがシフトされた後に、ユーザ２２および２３がＯＵＴデータを受け入れることができ、ＩＮデータが、マスタ２１によって読み込まれつつあることを示す信号を受け取る。この信号は、すべてのユーザによって同期式に受け取られる、すなわち、ターゲット独立信号（ＴＩＣ−ターゲット独立コード）の形である。

図３に概要を示された連続するデータ・サイクルの流れ図に関して、マスタＭは、最初のデータ・サイクルＤ１におよび／または識別（ＩＤ）サイクルの後に、すべてのスレーブ・ユーザＵＳＲ１およびＵＳＲ２に０を送る。この０は、同期化に使用される。このデータ・サイクルＤ１に、スレーブＵＳＲ１およびＵＳＲ２は、０を送るが、データ・サイクルＤ１がバス動作の過程でＩＤサイクルの後のサイクルである場合には、最後のカウンタ読みを送る。

次のデータ・サイクルＤ２に、すなわち、スレーブＵＳＲ１およびＵＳＲ２がマスタＭから０を受信した後に、スレーブＵＳＲ１およびＵＳＲ２は、０を返す。マスタＭは、最初の時間値０１をＤ２に送る。

時間値またはスタンプ０がそれと共に送られるメッセージのＤＡＴＡ値は、状況情報項目であり、スレーブＵＳＲ１およびＵＳＲ２の周辺入力および／または周辺出力に関連する値ではない。その結果、エラー情報を、すべての不正な同期化動作の時またはエラーの後に送信することも可能である。

次のデータ・サイクルＤ３に、すなわちスレーブＵＳＲ１およびＵＳＲ２がマスタＭから最初の時刻値０１を受け取った後に、スレーブＵＳＲ１およびＵＳＲ２も、有効なデータ（ｇＤ）と共にこの最初の時刻値０１を返す。マスタＭは、スレーブＵＳＲ１およびＵＳＲ２のそれぞれに、Ｄ３に第２の時刻値０２を送る。さらに、安全スレーブＵＳＲ１およびＵＳＲ２は、このサイクルＤ３でこの時に有効である入力情報を同時に送る。その結果、各ユーザすなわち、スレーブＵＳＲ１およびＵＳＲ２およびマスタＭのすべてが、この時刻に注目する。

次のサイクルＤ４までに、マスタＭは、最後の入力情報からの出力情報のすべてを入手している。次のサイクルＤ４で、この出力情報が、次の時間情報項目０３と共に、結果として各スレーブＵＳＲ１およびＵＳＲ２に送られる。バス上のスレーブＵＳＲ１またはＵＳＲ２は、読み込まれた、このサイクルＤ４に受け取られたその出力情報が、最後のデータ・サイクルＤ３から来た入力情報から計算されたものであることを知っているので、ウォッチドックＷＤを、最後のデータ・サイクルＤ３の時刻にリセットすることができる。

その間にサイクルが欠陥になる場合、またはユーザがよい時間に反応しない場合に、少なくとも１つのスレーブまたはマスタが、０またはＦＦあるいは別の定義可能な値を送り、その結果、同期化動作が、最初にもう一度実行され、したがって、ユーザＭ、ＵＳＲ１、およびＵＳＲ２のすべてが、その出力情報が古い入力情報から来たものであることを知る。この出力情報が、出力ユーザまたはそれに関連する出力モジュールについて許容されるものより古くなる場合に、後者が、自動的に安全に切断するか、安全性指向の機能を実行する。

したがって、各ユーザＭ、ＵＳＲ１、およびＵＳＲ２に、それ自体のウォッチドッグ時間が与えられる。これらは、マスタＭによって中央で監視される必要がない。プロトコルで時刻を同時に送る必要もない。

上で説明した例に対する修正として、もう１つの好ましい実施形態に、各ＵＳＲ１およびＵＳＲ２が独立にカウントすることが含まれる。

具体的に言うと、この目的のために、初期化検査の次に、各スレーブＵＳＲ１およびＵＳＲ２が、ＴＩＭＥカレンシ・パラメータとして１から開始し、サイクルごとにこれを増分するが、マスタＭは、スレーブＵＳＲ１およびＵＳＲ２からの最初のデータを処理した後すなわち、スレーブが１を送った１サイクル後に限って１から開始することが提案される。したがって、各ユーザＭ、ＵＳＲ１、およびＵＳＲ２は、１のオフセットを許容する。

したがって、ＴＩＭＥ＝０は、メッセージの他のデータを、ＩＮデータまたはＯＵＴデータに使用できないことを意味し、ＴＩＭＥ＜＞０は、メッセージの他のデータを、ＩＮデータまたはＯＵＴデータと解釈できることを意味する。

インターバスの特性が、やはりこれに関連して使用されることが好ましい場合には、データをシフトした後に、各ユーザＭ、ＵＳＲ１、およびＵＳＲ２が、したがって、ユーザがＯＵＴデータを受け入れることができること、および／またはＩＮデータが読み込まれつつあることを示す信号を受け取る。

ＩＤサイクルの後の最初のデータ・サイクルに、したがって、マスタＭは、スレーブＵＳＲ１およびＵＳＲ２について有効なカレンシ・パラメータを送り、このカレンシ・パラメータのそれぞれは、繰り返して生じるカウンタの読みに対応する。スレーブＵＳＲ１およびＵＳＲ２は、ＩＤサイクルの後の最初のデータ・サイクルに、カレンシ・パラメータとしてめいめいの有効なカウンタの読みを送る。

システムの電源が（もう一度）入れられた後に、すなわち、具体的にはマスタＭの電源がオンにされる（ＰＯＷＥＲ ＯＮ）か再始動された（ＲＥＳＥＴ）後に、マスタＭは、すべてのスレーブＵＳＲ１およびＵＳＲ２に、同期化用の０を送る。スレーブは、同様に、スレーブＵＳＲ１およびＵＳＲ２の電源がオンにされる（ＰＯＷＥＲ ＯＮ）か再始動される（ＲＥＳＥＴ）場合に、電源を入れられた後の最初のデータ・サイクルに０を送る。スレーブＵＳＲ１およびＵＳＲ２は、電源オンまたは再始動の命令を受け取っていない場合に、カレンシ・パラメータとして最後のカウンタ読みを送る。

スレーブＵＳＲ１およびＵＳＲ２が、マスタＭから０を受け取った時に、スレーブＵＳＲ１およびＵＳＲ２は、次のデータ・サイクルに０を返す。

マスタＭまたはスレーブＵＳＲ１、ＵＳＲ２が０を送ったならば、両方のユニットによって有効としてこのフェーズが完了されるまで、両方が初期化フェーズに留まる。

このサイクルで、マスタＭは、スレーブＵＳＲ１およびＵＳＲ２のそれぞれに最初のカレンシ・パラメータを送る。タイム・スタンプ０がこれによって送られるメッセージ内のＤＡＴＡ値は、状況情報項目であり、周辺入力または周辺出力の値ではない。したがって、やはり、各エラーまたは各不正な同期化動作と並列にエラー情報を送ることが可能である。

次のデータ・サイクルに、スレーブＵＳＲ１およびＵＳＲ２は、前にマスタＭから受け取られた最初のカレンシ・パラメータを、マスタＭに返す。マスタＭは、それ相応にスレーブＵＳＲ１およびＵＳＲ２のそれぞれに第２のカレンシ・パラメータを送る。このサイクルに、スレーブＵＳＲ１およびＵＳＲ２が、この時に有効である入力情報を並列に送る。したがって、バス上の各スレーブＵＳＲ１およびＵＳＲ２は、カレンシ・パラメータに関連する時刻に注目する。

次のサイクルまでに、マスタＭは、やはり、最後の入力情報から出力情報のすべてを入手している。次のデータ・サイクルに、この出力情報が、次のカレンシ・パラメータと共に各スレーブＵＳＲ１およびＵＳＲ２に送られる。スレーブＵＳＲ１およびＵＳＲ２は、このサイクルに受け取る出力情報が、最後のデータ・サイクルから来た入力情報から計算されたことを知っているので、ウォッチドッグを最後のデータ・サイクルの時刻にリセットすることができる。

その間にサイクルが欠陥になる場合、またはユーザがよい時間に反応しない場合に、対応するスレーブまたはマスタが、カレンシ・パラメータとしてたとえば０またはＦＦあるいは別の定義可能な値を送り、その結果、同期化動作が、最初にもう一度実行され、したがって、すべてのユーザが、その出力情報が古い入力情報から来たものであることを知る。この出力情報が、出力ユーザまたはそれに関連する出力モジュールについて許容されるものより古くなる場合に、後者が、自動的に安全に切断するか、安全性指向の機能を実行する。

したがって、各スレーブＵＳＲ１およびＵＳＲ２に、それ自体のウォッチドッグ時間が与えられる。これは、安全コントローラによって監視される必要がない。プロトコルで絶対時刻情報項目を同時に送る必要もない。

したがって、マスタＭが次サイクルのプロトコルを同期式に実行する限り、新しい出力情報が、次のサイクルで使用可能になり、すべての入力ユーザまたは入力モジュールが、その入力情報を同期式に提供するという点で、エラーフリー動作が、上で説明した応用例の両方について基本的に保証される。

図３からわかるように、本発明は、マスタＭが安全コントローラであり、かつ／またはシステム・カプラが使用される（この場合にはウォッチドッグ時間が分割される）フル・システムでも使用される。というのは、この場合のシステム・カプラが、基礎となるシステムでマスタＭであると同時に、上に乗るシステムでスレーブであるからである。

したがって、システム・カプラは、基礎になるシステムの出力用のめいめいのウォッチドッグ時間および基礎になるシステムの入力用のウォッチドッグ時間を与えられる。基礎になるシステムの出力ユーザおよびその出力モジュールのウォッチドッグ時間は、適当に減らされる必要がある。しかし、これは、上に乗るシステムまたは基礎になるシステムの安全入力が、伝統的に、バスに直接に接続される入力より必ず遅いので、時間の観点からは本質的に非クリティカルである。

本発明の上の説明は、少数の好ましい実施形態に基づくが、請求項によって定義される保護の範囲内の修正が含まれることを当業者が知ることが可能である。

したがって、具体的には、本発明は、時刻情報を有する／有しない安全なおよび／または普通のユーザが同一のバス上に混合して存在する開発、データがマスタおよび／あるいは１つまたは複数のスレーブで処理される開発、および／またはシステムがマスタ／スレーブ・システムではなく、たとえばマスタ機能がトークン・リング手法に類似する形で転送されるシステムである開発も含む。

さらに、通信が必ずマスタを介して行われることは、肝要ではない。代替案では、本発明の応用例について、スレーブ間の直接のマスタなしで、および／またはデータを変更せずにあるスレーブから別のスレーブに単に転送するマスタを介して、通信を行うことができる。さらに、本発明の応用例のスレーブは、安全ディジタル／アナログ入力および／または安全ディジタル／アナログ出力を有することができる。

したがって、すべてのユーザが同一の瞬間にあるタイプの「クロック信号」または「パルス」を受け取る、特に、現在の入力情報が存在しない場合に出力が定義された状態を採用することを保証することが重要である、すべてのデータ処理システムで、本発明を本質的に使用することができる。

それぞれが関連するインテリジェント・ユニットを有する複数の発明的ユーザ・コンポーネントを含む、自動化設備の動作のシステムの非常に単純化された基本的概要を示すことによって本発明の第１の好ましい実施形態を示す図である。 本発明のさらなる好ましい実施形態を示す非常に概略的なマスタ／スレーブ・システムを示す図である。 本発明と調和するマスタ／スレーブベースの設計と調和するデータ・サイクルの単純化された流れ図である。

Claims (20)

1. データ処理システムで、特に入力信号、具体的には安全入力信号（ＩＮ）と、対応する出力信号、具体的には安全出力信号（ＯＵＴ）との間の最大反応時間を保証する方法であって、
   前記システムに組み込まれたユーザ（１１、１３、１４、２１、２２、２３、Ｍ、ＵＳＲ１、ＵＳＲ２）の入力側に存在する入力データおよび／または出力データが、各データ・サイクル中に同期で読み込まれ、
   読み込まれた入力データおよび／または出力データ（ＩＮ、ＯＵＴ）が、少なくとも１つのデータ・サイクルに基づき、読み込まれた入力データおよび／または出力データに関連付けられるか関連付けることができるカレンシ・パラメータ（１２３）に関して検査され、
   エラーが、少なくとも１つのカレンシ・パラメータと定義されたカレンシ閾値との間で達する定義された不一致に応答して識別され、
   特に安全指向機能である定義された機能が、エラーの識別に応答してトリガされる
   方法。
2. さらに、検査の工程が、各データ・サイクル中に実行される、請求項１に記載の方法。
3. さらに、読み込み動作が、少なくとも間欠的に、１つの選択されたユーザによってすべてのユーザに、具体的にはマスタによってすべてのスレーブに送られる同期化信号によって同期化される、請求項１乃至２のいずれか１項に記載の方法。
4. さらに、前記システムが開始される時ならびに／あるいはシステムおよび／またはユーザに基づくエラーの後に、同期化信号が送られる、請求項１乃至３のいずれか１項に記載の方法。
5. さらに、読み込み動作が、各データ・サイクルに関してすべてのユーザにブロードキャストおよび／またはラッチ信号を送ることによって同期化される、請求項１乃至４のいずれか１項に記載の方法。
6. さらに、データがリング・シフト・レジスタ（Ｒ）を使用して転送される、請求項１乃至５のいずれか１項に記載の方法。
7. さらに、各ユーザが並列に（有効な）データ・サイクルをカウントし、かつ／または１つの選択されたユーザが、読み込まれるデータと一緒にカレンシ・パラメータを転送する、請求項１乃至６のいずれか１項に記載の方法。
8. さらに、データを転送する各ユーザが、前記読み込み動作に関するそれ自体の時間を、前記カレンシ・パラメータから得られた前記読み込み動作の時間に加算することによってエラーを識別する、請求項１乃至７のいずれか１項に記載の方法。
9. さらに、カレンシ・パラメータを作るユーザまたは出力ユーザが、入力情報項目に関する最大時間を判定し、かつ／または監視するために、および／または前記入力情報項目に基づく反応に関して、前記カレンシ・パラメータを評価する、請求項１乃至８のいずれか１項に記載の方法。
10. 入力データが、規定された／規定可能な最大時間以内に出力データを作るために、選択されたユーザによって処理される、請求項１乃至９のいずれか１項に記載の方法。
11. さらに、ユーザによって割り当てられるカレンシ・パラメータ、特にカウンタおよび／またはウォッチドッグ時間が、正しい時間シーケンス内の入力情報項目に基づく出力情報項目の読み込みに応答してリセットされる、請求項１乃至１０のいずれか１項に記載の方法。
12. さらに、カレンシ・パラメータが、中央でまたはローカルに監視される、請求項１乃至１１のいずれか１項に記載の方法。
13. 請求項１乃至１２のいずれか１項に記載の方法を実行するのに適するデータ処理システム。
14. 前記ユーザが、安全および／または非安全入力ユーザ、出力ユーザ、関連する入力および／または出力モジュールを有するユーザを含み、安全ディジタル／アナログ入力および／または安全ディジタル／アナログ出力を有する、請求項１３に記載のシステム。
15. 前記ユーザが、少なくとも１つのマスタおよびスレーブを含み、入力データが、直接に通信する２つのスレーブによってまたはマスタを介して出力データを作るために処理され、および／または変更なしであるスレーブから別のスレーブへマスタを介して転送できるデータおよび／または転送され得るマスタ機能、請求項１３乃至１４のいずれか１項に記載のシステム。
16. マスタが、安全コントローラおよび／またはシステム・コンピュータの一部である、請求項１３乃至１５のいずれか１項に記載のシステム。
17. さらに、各ユーザが、少なくとも１つのウォッチドッグ時間を有する、請求項１３乃至１６のいずれか１項に記載のシステム。
18. ユーザが、同一のバス、特にリンク・バス上で、時刻情報ありおよびなしの混合で存在する、請求項１３乃至１７のいずれか１項に記載のシステム。
19. 少なくとも１つのユーザが、一意の形でおよび／または固定された時間におよび／または定義可能な時間の期間に渡るサイクル構造で使用可能である交番するカレンシ・パラメータを作るためにドライバ様手段を有する関連するインテリジェント・ユニットを有する、請求項１３乃至１８のいずれか１項に記載のシステム。
20. 少なくとも１つのカレンシ・パラメータおよび／または出力ユーザを作るユーザが、カレンシ・パラメータを評価するユニットを有する、請求項１３乃至１９のいずれか１項に記載のシステム。
    

Images