JP4317341B2 - 安全関連オートメーション・バス・システム - Google Patents

Description

【０００１】
本発明は、請求項１の特徴記載部分で請求された安全関連オートメーション・バス・システムに関し、このようなシステムを操作するための方法に関する。
【０００２】
制御およびデータ伝送システムは、高レベルのオートメーションを可能にするので、工業生産だけでなく優位な地位を得ている。一般にこのようなオートメーション・システムは、少なくとも安全に関してより厳しい要件が課せられる可能性のあるセクションまたはコンポーネントを有する。たとえば、所定の動作パラメータ内で所与のマシンを操作していることを確認する必要があるか、または誰かがその動作エリア内にいるときでもマシンが動作しないようにする必要がある。このような状況では、たとえば、旋盤が所定の回転速度を超えないようにしなければならないか、またはロボットを操作しているときはそのロボットの行動半径内に誰もいないようにしなければならない。さらに、オートメーション・システムを操作しているときは、システム内の１つのコンポーネントが故障した場合に、そのシステムが未定義の状態、したがって予測できない状態に変化しないことを確認する必要がある。
【０００３】
従来技術によるこの問題への取り組み方の１つは、特に、システム内の安全関連コンポーネントのために複数のチャネルを使用すること、すなわち、このようなコンポーネントが冗長になるように設計することである。たとえば、安全バス・コンポーネント、すなわち、たとえば安全関連マシンに関連するバス利用部分をオートメーション・バス・システム内で二重にすることができる。同時に、中央制御部およびバスは、複数のチャネルを有するかまたは特定の安全制御システムさえも有する可能性があるが、その安全制御システムはプロセス制御システムとは別のものであり、状況によっては、安全関連コンポーネントを制御するために冗長設計のものである。この安全制御システムは本質的に安全関連入力情報に関する論理リンクを実行し、その後、たとえばオートメーション・バスを介して安全関連論理リンク・データを出力コンポーネントに伝送する。出力コンポーネント自体は、受け取った安全対策を処理し、テスト結果が肯定である場合にこれを周辺装置に出力する。さらに、このようなコンポーネントは、障害を見つけたかまたは所定の期間内に有効なデータを受け取らなかった場合に、その出力を安全な状態に切り替える。
【０００４】
しかし、２つの制御システム、すなわち、プロセス制御システムと上記の安全制御システムをこのシステム内で使用すると、いくつかの不都合が生じる。とりわけ、オートメーション・システムの反応時間に関する要件がますます厳しくなることは、このようなシステムをセーフティ・アイランド間に細分しなければならない場合が多くなることを意味する。さらに、特にマルチチャネル制御システムでは、システムが原則として無傷であるにもかかわらず、故障に至るかまたはマシン部品の破壊にすら至る可能性のある同期問題が発生する。さらに、マルチチャネル設計では、ハードウェアの複雑さが増すために、結果的にシステム・コストおよびメンテナンス・コストが増加する。
【０００５】
ＤＥ １９８ １５ １５０ Ａｌでは、バスに接続され、バス・システムを介して伝送される記号を連続的に監視し、バス・システムを介して伝送されるコーディングをエラーなしで識別したときだけ１つの機器を始動する評価ユニットを含むシステムを開示している。このために、バス利用部分によってマスタに送られる入力データを評価し、その評価に応答してその機器をオンまたはオフに切り替える。
【０００６】
このような手法は最初に記載したシステムほど費用のかかるものではないが、システムのアップグレードまたはシステムと他のバス・コンポーネントとの整合に関して非常にフレキシビリティが低いものである。さらに、評価ユニットは安全ベースの機能の開始についてのみ責任を負うので、厳しい安全要件に従うためには評価ユニットが冗長設計のものであることが絶対に不可欠である。
【０００７】
したがって、本発明の一目的は、可能な限りハードウェアの冗長性を必要とせず、それぞれの要件にフレキシブルに適合可能な安全関連オートメーション・バス・システムを提供することにある。
【０００８】
本発明では、請求項１の特徴を有するオートメーション・バス・システムと、請求項１４で請求され、このような制御およびデータ処理システムを操作するための方法により、この問題を解決する。本発明の発展例については従属クレームに明記する。
【０００９】
本発明によれば、このオートメーション・システムは、バス・システムと、それに接続されたセンサおよびアクチュエータ・バス利用部分と、プロセスリンクの入出力データの処理によるプロセス制御機能および安全関連データの処理による安全関連制御機能すなわち安全関連の入力および出力の制御を実行する標準制御装置とを含む。また、これは安全分析器と呼ばれるものも含み、この分析器は適切なインタフェースによりバスに接続され、バスを介してデータ・フローを監視するが、安全関連機能を実行するようにセットアップされる。これは、たとえば、システム・コンポーネントへの供給電圧をオフにするための接触器の作動または品質データの決定に関連する。このような品質データとしては、一般的なシステム・パラメータ、たとえば、システム・コンポーネントでの障害の発生またはバス伝送エラーに関するデータを含む可能性がある。このオートメーション・システムは、標準制御装置がバスを介して少なくとも１つの安全関連出力を駆動するということによって特徴づけられるが、それ自体がこのような安全関連出力を有することもできる。本発明によれば、安全関連出力とは、安全情報の一機能として安全ベースのシーケンス、たとえば、マシンの減速または電源電力の遮断によるマシンのスイッチオフを開始する安全情報のシンクを意味する。本発明によるオートメーション・システム内の安全分析器は、バス・データストリーム内の安全関連データ、特に安全関連論理リンク・データをチェックおよび／または処理するために設計されている。この場合、安全関連論理リンク・データは、たとえば、安全関連データの処理後に安全関連制御システムが安全関連出力に送るデータである。
【００１０】
したがって、オートメーション・システムに関するそれぞれの要件に極めてフレキシブルに適合可能なシステムを提供する。たとえば、安全バス・コンポーネントごとにこのような安全分析器を１つずつ割り振ることができ、個々の安全分析器がシステム内の複数の安全バス・コンポーネントまたはすべての安全バス・コンポーネントに関してバス・データストリーム内の安全関連データの処理または安全関連論理リンク・データのチェックを実行することも可能であるが、安全分析器自体を安全コンポーネントたとえば安全バス利用部分に統合することもできる。
【００１１】
本発明の原理は、発明者の経験において、現在のオートメーション・システムで使用する電子機器自体がめったに故障しないという事実に基づくものである。従来技術による安全制御システムまたは安全バス・システムの形でオートメーション技術に現在のディジタル安全技術を統合すると、しばしば、システムのアベイラビリティが低下するという不都合が生じる。したがって、休止時間を短縮するために、上記の安全コンポーネントに加え、アベイラビリティ構造も使用するが、このような構造自体により、ハードウェアの複雑さが増すために、コストが少なからず増加することになる。
【００１２】
したがって、本発明は、現在のオートメーション・システムの信頼性に基づくものであり、純粋な非常用電子機器またはソフトウェアを統合するが、これらは標準技術が不適切に動作しているときにのみシステムの動作に積極的に関わることになる。したがって、標準制御装置は安全関連データも処理し、すなわち、安全関連入力および出力を制御する。しかし、特に、バス・データストリーム内に生成される安全関連論理リンク・データは安全分析器によって監視され、チェックされる。これにより、もはやプログラミング中に回路技術と標準技術との厳密な分離を維持することが絶対に必要ではなくなるという利点がユーザにもたらされる。本発明によるオートメーション・システムは、バスを備えたすべてのシステム、特にマスタ／スレーブ・バス・アクセス方法を使用するバス・システム上で使用することができる。安全分析器を長距離バス・セクションに配置することとは無関係に、この安全分析器は、たとえばＥＮ ５０ ２５４によるシリアル・バス・システム内のバス上のすべてのＩＮデータを読み取ることができるが、監視可能なＯＵＴデータの量はシステム内の安全分析器の配置によって決まる。この場合のバス・データストリームという表現は、本発明によれば、バスを介して伝送されるすべての情報を意味し、特に合計フレーム内でバスを介して移送されるデータを含む。
【００１３】
関連の安全要件に従うために、安全分析器は、安全関連データ、特にバス・データストリーム内の論理リンク・データのチェックおよび／または処理に応答して、必要な安全関連機能を開始することができる。この場合、安全分析器は、ＯＵＴデータすなわち標準制御装置からの論理リンク・データだけでなく、ＩＮデータすなわち個々の入出力バス利用部分から標準制御装置に送られたバス・データストリーム内の情報にも反応することができる。
【００１４】
バスを介して移送される安全関連論理リンク・データ内のエラーを識別するために、安全分析器は完全にプログラム可能な論理装置を有することができ、その装置では監視データ特に監視安全関連データが処理される。このため、標準制御システムの安全関連論理リンクをモデル化することにより、安全分析器は、バスを介してＯＵＴデータとして送られたこの制御システムの論理リンク・データをチェックすることができ、このチェックまたは比較に応答して必要な安全関連機能を実行することができる。たとえば、システムを安全な状態に変更するために、安全分析器は、それを介してオートメーション・システム内のアセンブリ特にバス利用部分をオンまたはオフに切り替えることができる出力を有することもできる。このスイッチオフ・プロセスは、電圧供給から切断することによって実行することができる。相互に独立した関連バス利用部分をすべて安全な状態に変更するために、安全分析器は、バス・スパー、すなわち、互いに関連した複数のバス利用部分を含むセーフティ・アイランドをオフに切り替えるため、または分析器に記憶されたインタロック論理を基礎としてコンポーネントをオフに切り替えるようセットアップすることができる。しかし、安全分析器の安全関連出力を介してシステム全体を電圧供給から切断することも可能である。
【００１５】
バスの監視に加え、安全分析器は直接入力を介して安全関連情報を検出することもでき、その直接入力により安全分析器はオートメーション・バス・システム内の安全関連装置に接続されている。この場合、この装置はバスに接続することができるが、その必要はない。一例として、このようにしてアクセス可能な安全関連情報は前述の旋盤の瞬間回転速度を含み、分析器出力は所定の限界回転速度を超えた場合にマシンをオフに切り替える。
【００１６】
システム特に制御システム内の安全関連情報とプロセス・データを分離するために、バス・システムはインタフェース・アセンブリを介してホストに接続することができ、標準制御装置のプロセス関連制御はホスト内に配置され、標準制御装置の安全関連制御はインタフェース・アセンブリ内に配置される。たとえば、安全関連制御システムは、有利なことにソフトウェア機能モジュールの形にすることができ、このモジュールは安全関連入出力情報に関して必要な論理リンクを実行する。
【００１７】
したがって、安全関連制御システムは、プロセス制御システムと同じように実現することができる。安全関連論理リンクをコーディングする場合、プログラマは、プロセス制御システムの場合と同じように、使用中のプログラミング言語とは無関係である。
【００１８】
安全分析器内の論理リンクは、ホスト内およびインタフェース・アセンブリ内の論理リンクとほぼ同じ範囲を有し、同じプログラミング言語または異なるプログラミング言語で生成することができる。また、安全分析器は、ホスト・システムおよび／またはインタフェース・アセンブリからの結果とそれ自体の結果との間で論理リンクの比較を実行し、たとえば等しくない場合に安全ベースの機能を開始する。
【００１９】
このようなシステムに関する受入れ手順は、従来技術によるシステムの場合よりかなり容易に実行することができる。このシステムは、安全技術をアクティブに切り替える必要なしに、すべての安全インタロックによって始動することができる。この場合、必要な論理リンクはホスト・システム内またはインタフェース・アセンブリ内に位置する。まず第一にブラックボックス・テストを使用して、このシステムの機能性を調査することができる。次に第２のステップでは、１つまたは複数の安全分析器の形で安全技術を接続する。プロセス・データ論理リンクではなく安全論理リンクだけが存在する場合、ホワイトボックス・テストを迅速かつ明瞭に実行することができ、その結果、受入れ時間をかなり短縮することができる。安全管理論理アルゴリズムはホスト・システムおよび／またはインタフェース・アセンブリ上でも実行できるので、分析器内のものとの比較を迅速に実行することができる。
【００２０】
このバスがシリアル・リング・バス、たとえば、ＥＮ ５０２５４によるバスであり、安全分析器がオートメーション・システムのトップレベルの長距離バス・セクションに配置されている場合、ここで言及するシステム内では各バス利用部分によって前方伝送線および戻り伝送線でデータが伝達されるので、このバスはシステム内のすべてのＩＮデータにアクセスすることができる。したがって、分析器は、それがアクセスできるＩＮデータとＯＵＴデータに限定されたプロセス・マップを形成することができる。
【００２１】
線形トポロジを備えたバス・システムでは、安全分析器は一般にバス・システム内のどのポイントでもすべての情報を読み取ることができ、したがって完全なプロセス・マップを生成することができる。
【００２２】
本発明の有利な一実施形態では、安全分析器は、シリアル・リング・バス・システム内のホストまたはインタフェース・アセンブリの直後に配置されるので、完全なプロセス・マップを形成することができる。したがって、安全分析器は安全ベースのデータ特に安全ベースの論理リンク・データが正しいかどうかをいつでも完全にチェックして処理することができる。というのは、この場合、分析器はすべてのＩＮおよびＯＵＴデータ、すなわち、すべての入力および出力データにアクセスできるからである。
【００２３】
安全分析器が上記のシリアル・リング・バス・システムのインタフェース・アセンブリ内に配置されている場合、インタフェース・アセンブリ内のソフトウェア・コンポーネントによって安全分析器の機能を実行することができる。この場合のインタフェース・アセンブリは、有利なことに、適切な安全ベースの機能、たとえば接触器による供給電圧のスイッチオフを実行するために、安全関連出力を有する。
【００２４】
しかし、本発明の特定の有利な一実施形態では、安全分析器によるバス・データストリームの直接データ操作によってこのような安全ベースの機能を実行することができる。この操作としては、バス・データストリーム内のＯＵＴデータとＩＮデータ両方の書換え、追加、挿入、または置換を含む。したがって、プロセス・マップが分かっている場合、安全分析器は、広範な形で本発明によるオートメーション・システムの動作に影響を及ぼすことができ、その結果、システムをいつでも定義状態に保持できると保証することができる。さらに、長距離バス内に配置された安全分析器は関連データを関連バス・スパー内で移送されるデータに変換するので、一般にバス・スパー内に配置された安全分析器でアクセス不能なバス・データストリーム・コンポーネントを使用可能にするために、データ操作の原理を使用することもできる。これにより、安全分析器間の直接データ・リンクが可能になる。
【００２５】
安全分析器によるデータ操作は、少なくとも１つの安全分析器を介したポイントツーポイント・リンクにより、少なくとも２つのスレーブ間、特に個々のバス利用部分間でデータを伝送するために、マスタ／スレーブ原理で動作するバス・システムでも使用することができ、安全分析器はバス・データストリーム内のデータをコピーする。バス・システム内の２つのスレーブの位置に応じて、マスタは状況によってはこのデータ・リンクに含まれず、バス・マスタとは完全に無関係にデータ移送が行われる。これは別として、２つのスレーブ間のこのようなデータ・リンクは、バス・マスタがコピー機能を実行しているときでも可能である。上記のように安全分析器がエージェントとして動作している場合、少なくとも所与の状況ではバス・マスタはデータ移送に含まれないが、２つのスレーブ間のポイントツーポイント・リンクの第２の形態にとってバス・マスタは絶対に不可欠である。
【００２６】
さらに、ポイントツーポイント・リンクによる少なくとも２つのスレーブ間、たとえば個々のバス利用部分間のデータ交換は、その伝送にマスタまたは制御システムを含めることによって可能になるが、この場合、マスタまたは制御システムはバス・データストリーム内のデータをコピーする。
【００２７】
データ・セキュリティを改善するために、セキュリティ・プロトコルを使用してバスを介して安全関連データを伝送することもできる。たとえば、セキュリティ・プロトコルは、安全データ項目だけでなく、否定安全データ項目、連続番号、アドレス、および／またはデータ保護情報（ＣＲＣ）も含むことができる。
【００２８】
システムのフレキシビリティは、特に本発明のもう１つの有利な実施形態で明白であるが、その実施形態では本発明によるオートメーション・システムが複数の安全分析器を有し、１つの安全分析器で実行される安全管理論理リンクが少なくとも１つの他の安全分析器で冗長形式で実行され、同じ安全機能が少なくとも部分的に両方の安全分析器によって実行され開始される。この場合、関連安全分析器は、冗長論理リンクすなわち両方の分析器で実行されるものに加え、他の安全関連論理リンクも実行することができる。
【００２９】
添付図面に基づいていくつかの実施形態を記述することにより、以下の文章で本発明について説明する。
【００３０】
図１は、本発明によるオートメーション・システム１すなわち本発明による制御およびデータ伝送システムの概略図を示している。これは、入出力バス利用部分と関連のセンサおよびアクチュエータが接続されたバス２を有する。標準制御装置４は、このバスをプロセス制御すなわちプロセスリンクの入出力データの処理に使用する。これを行うために、制御装置４は個々のバス利用部分３１〜３８からデータを受け取り、次にこれらのバス利用部分自体が標準制御装置からデータを受け取る。さらに、標準制御装置は安全関連データの処理を取り扱う。この点で、標準制御装置はプロセスリンクの入力および出力だけでなく、安全関連入力および出力の処理も実行する。本発明によれば、安全関連入力はある種の情報源を示し、その情報源から発せられる情報は本発明によるオートメーション・システムの安全にある程度まで関連する。一例として、このような安全関連入力の１つは、バス利用部分３２を介してバス２に接続された旋盤の回転速度センサである。というのは、このマシンは所定の限界以上の速度で回転してはならないからである。本発明の上記の実施形態の安全関連入力のもう１つの例は光バリアの光検出器であり、これは旋盤の動作エリアを監視するために使用する。この場合も、標準制御装置はバスを介して安全関連入力にある情報にアクセスすることができる。たとえば論理リンクの形で安全関連データを処理した後、制御装置４はこの安全関連論理リンク・データを安全関連出力に送る。一例として、最高回転速度を超えており、したがってシステムが制御不能に陥る危険性があるときに、標準制御装置はこのバスを介して前記旋盤用のスイッチオフ・コマンドを関連のバス利用部分３２に送ることができる。この場合も、標準制御装置内の安全関連制御装置はこのバスを介して安全関連出力とやりとりする。
【００３１】
本発明によるオートメーション・システムは２つの安全分析器５、５’も有し、そのそれぞれはインタフェースによりリアルタイムでバス・システムを介してデータ・フローを監視する。安全分析器は、バス・データストリーム内の安全関連データの論理リンクおよび／または処理用に設定されている。これは、安全分析器がこのバスを介して移送される安全関連データにアクセスできるので、標準制御装置の安全関連論理リンクを取り扱うことができることを意味する。
【００３２】
このために、安全分析器５、５’のそれぞれは自由にプログラム可能な論理装置を有し、そこで監視データ、特に監視安全関連データが処理される。一例として、安全分析器５、５’は、標準制御システムの安全関連論理リンクをモデル化して、出力データとしてバスを介して送られるそれぞれの論理リンク・データをチェックすることができる。この場合、安全関連論理リンクは個々のバス利用部分３２に関連する。この場合の安全分析器５は、このバス利用部分に関連する安全関連入力および出力に関する責任を負う。図１に示す本発明の実施形態では、安全分析器５、５’はオートメーション・システム内の論理的なバス利用部分ではない。しかし、安全分析器５は安全関連出力６を有し、それを介して安全分析器に関連するバス利用部分３２をオフに切り替えることができる。これは接触器７の回路により行われるが、その接触器はバス利用部分と、接続されたアセンブリおよびマシンを供給電圧から切断する。このようにして、安全分析器５は、チェックまたは比較に応答して安全関連機能、この場合は供給電圧のスイッチオフを実行する。たとえば、標準制御装置からの安全関連論理リンク・データ内で障害が識別された場合、標準制御装置によってもたらされる安全関連制御装置はもはや正しく動作していないので、安全分析器は上記の出力を介して関連のバス利用部分をオフに切り替えることができる。同様に、安全関連制御装置が必要なデータをそのバス利用部分に送らず、その結果、システムが未定義状態に変わる危険性がある場合、バス利用部分はオフに切り替えられる。
【００３３】
上記の実施形態では、３つのバス利用部分３３、３４、３５を備えたローカル・バス・スパー８がバス・カプラ９を介して配置されている。これらのバス利用部分は、安全分析器５に関連するバス利用部分３２の機能性および動作に依存している。したがって、バス利用部分３２がオフに切り替えられると、ローカル・バス・スパー８上のバス利用部分も供給電圧から切断することが必要になる。このインタロック論理は安全分析器５に記憶される。したがって、図１に概略で示すように、合計４つのバス利用部分は、それぞれの従属アセンブリおよびマシンとともに、４重接触器７によりオフに切り替えなければならない。
【００３４】
第１の安全分析器５のように、安全分析器５’はバスを介して移送されるデータの監視用に設定される。しかし、第１の安全分析器５とは対照的に、この安全分析器は、それによって安全関連機能を実行可能にする入力を備えていない。これに代わって安全関連入力１０を有し、それを介して安全分析器がオートメーション・システム内の安全関連装置１１に接続され、安全関連データを検出する。この場合、この装置１１は、光バリアの一部として溶接ロボットの動作エリアを監視する光検出器を有する。このセンサは、バス利用部分によりオートメーション・バスに接続されていないが、安全分析器５’に直接接続されている。安全分析器５’の安全関連入力１０を介して検出された安全関連データに応答して、この場合の安全分析器も安全関連機能を実行する。誰かがロボットの動作エリアに入ったことを光検出器１１が検出した場合、安全分析器５’は対応するバス利用部分３８とそれに関連するアセンブリおよびロボットを自動的にオフに切り替える。これを行うために、安全分析器５’は、バスに伝送される入力および出力データを操作するための装置を有する。この場合、データストリーム内の少なくとも１つのデータ項目を上書きまたは削除するか、少なくとも１つのデータ項目をバス・データストリーム内に挿入するか、あるいはその両方を実行することができる。このような手順は図６ａおよび図６ｂに示されている。これらの図は、標準制御装置４用の入力および出力データを安全分析器５’によって修正する場合を示している。いずれの場合も、情報ユニット１２が安全分析器内のメモリに読み込まれ、次に安全分析器内のもう１つのメモリから取り出された情報ユニットがデータストリーム内の対応するポイントに書き込まれる。バス利用部分とそれに接続されたアセンブリならびにロボットは、標準制御装置の入力データの操作と出力データの操作の両方によりオフに切り替えることができる。たとえば、所定の限界を超えた動作パラメータがあることが標準制御装置４に知らされるように入力データストリームが修正された場合、標準制御装置は、その特定のバス利用部分３８に伝送された安全関連論理リンク・データ項目によりバスを介してこのバス利用部分と溶接ロボットをオフに切り替える。同じように、安全分析器は、適切な出力データ項目を上書きすることにより、標準制御装置による使用許可を取り消すことができる。
【００３５】
図６ｂは、安全分析器がバス上の出力データストリームを修正する状況を示している。この状況では、安全分析器は、バス利用部分がその出力と溶接ロボットもオフに切り替えるようにバス利用部分３８に送られたデータを操作する。
【００３６】
図２は、本発明のもう１つの実施形態を示している。この場合、バスはマスタ／スレーブ原理で動作するシステムであり、標準制御装置はマスタとして動作し、個々のバス利用部分はスレーブとして動作する。このバス・システムはインタフェース・アセンブリ４１を介してホスト４０に接続され、プロセス関連制御システムはホスト内に配置されて動作し、安全関連制御システムはインタフェース・アセンブリ内に配置されて動作する。このシステムは単一の安全分析器５を有し、これはバス・データストリームを監視するためにインタフェース・アセンブリの直後のバスに結合されている。このような対策は、リング構造によってシリアル・バスに接続されたときに安全分析器がバス上の入力データストリーム全体ならびに出力データストリーム全体を監視できることを保証するものである。安全分析器５は、バスを介するデータストリーム全体に関する知識を使用して、上記の実施形態でこの目的のために設けられたメモリ内に完全なプロセス・マップを記憶する。その結果として、安全分析器は、インタフェース・アセンブリ内の安全関連制御システムに関する安全関連論理リンク・データをすべてチェックすることができ、必要であれば、すなわち障害が発生したときに、出力６を駆動して安全を基礎として接触器７によりシステム全体をオフに切り替え、システム全体の供給電圧がオフに切り替わるようにすることもできる。
【００３７】
図３の本発明によるオートメーション・システムは、図２に示す実施形態の修正形態を示している。この場合、安全分析器５はインタフェース・アセンブリ４１に統合されている。標準制御装置の安全関連制御および安全分析器内の安全関連データ処理は、インタフェース・アセンブリ内の別々の独立した論理モジュールで実行される。さらに、第２の安全分析器５”はローカル・バス・スパー８の先頭に配置されている。その結果、この配置は安全分析器５”がローカル・バス・スパー８上のバス利用部分３３、３４、３５に関するすべての入力データおよび出力データを監視できることに依存し、したがって、ローカル・バス・スパー内のプロセス・シーケンスに関する完全なプロセス・マップを適用できることに依存する。したがって、長距離バス・セクション内の安全分析器５のように、安全分析器５”はインタフェース・アセンブリ内のローカル・バス・セクション用の安全関連制御システムに関するすべての安全関連論理リンク・データをチェックすることができ、必要であれば、前述のように、データ操作により必要な安全関連機能を開始することができる。このため、ローカル・バス・スパー８は標準制御装置の安全関連制御だけでなく安全分析器５および安全分析器５”にも保護されるので、バス・スパー８に適用可能な安全関連入力および出力に課せられた非常に厳しい安全要件を満たすことができる。
【００３８】
図４は、本発明の他の実施形態を示している。本発明によるオートメーション・システムは２つの安全分析器５および５’を有し、その安全関連出力６および６’は互いに結合されている。両方の出力は、システム全体用の供給電圧をオフに切り替えるために複数接触器装置７を制御する。このシステムは、シリアル・バス２を介して標準制御装置４によって制御される。安全分析器５はシステム内に配置されているので、バス上のすべての入力および出力データを監視することができるが、制御装置４と安全分析器５の間に配置された第１のバス利用部分３１用の入力データは除く。安全分析器５’はバス上のすべての入力データを監視することができるが、最後のバス利用部分用の出力データを除く、いずれの出力データも安全分析器５’にとってアクセス不能である。したがって、バス・データ・フロー内の関連データをコピーすることにより、第１の安全分析器５はそれがアクセス可能な出力データを入力データにコピーすることができ、したがって、保護すべき安全関連バス利用部分３２用のプロセス・マップを適用するために、実際には安全分析器５’にとってアクセス不能な出力データを安全分析器５’にとっても使用可能なものにすることができる。両方の安全分析器は同じ入力情報を受け取るので、保護すべきバス利用部分３２の安全関連入力および出力を監視することができる。これは、本発明によるオートメーション・システム内の安全技術に分散冗長性をもたらすことになる。この例では、安全分析器５’は安全関連入力１０も有し、この入力に非常用スイッチ１３が接続されている。非常用スイッチ１３を閉じると、安全分析器５’は、システム全体をオフに切り替えるために、安全分析器内の関連の安全関連機能、すなわち、接触器７の開放で応答する。
【００３９】
また、本発明によれば、データ伝送にマスタを必要とせずに、マスタ／スレーブ原理で動作するオートメーション・システム内の２つのスレーブ間にデータ・リンクを設けるために、入力データを出力データにまたその逆にコピーするための上記の方法を使用する。この場合、たとえば、１つのバス利用部分に関連する安全分析器は、そのバス利用部分に関して伝送すべきデータ項目を入力データストリームに挿入し、その結果、マスタを必要とせずにそれを下流のバス利用部分にとって使用可能なものにすることができる。このため、必要であれば、下流の他のバス利用部分すべてに対して単純なやり方で情報をマルチキャストまたは同報することができる。
【００４０】
図示していない本発明の一実施形態では、安全分析器が関連の安全ベースのバス利用部分に統合される。この場合、安全ベースの論理リンクはバス利用部分内の論理ユニットに設けられるので、バス利用部分にインストールされた知能を安全ベースの論理リンクに使用することができる。このバス利用部分はバス・インタフェースを有するので、これにより安全分析器に関する追加のハードウェアの複雑さが大幅に低減される。
【００４１】
少なくとも一部の場合には、本発明による上記のオートメーション・システム内のデータ伝送にセキュリティ・プロトコルを使用して、このバスを介して安全関連データが伝送される。このセキュリティ・プロトコルは、要件に応じて、安全データ項目に加え、否定安全データ項目とアドレスおよび／またはデータ保護情報をＣＲＣの形で含むことができる。これにより、データ伝送中にエラーを容易に識別できるようになる。このため、本発明によるオートメーション・システムで使用する安全分析器は、それがセキュリティ・プロトコルを読み取り、それを適切に評価できるようにセットアップされる。
【００４２】
セキュリティ・プロトコルで伝送される安全バス利用部分のアドレスにより、安全分析器は、プログラミングを適合させ、それに関連する利用部分のデータ・セットを識別し、たとえば安全上の理由からコンポーネントをオフに切り替えた結果としてバス・レイアウトを変更したときにバス・レイアウトの変更を考慮に入れることができる。さらに、セキュリティ・プロトコルにアドレスを含めることにより、分散ユニット内のバス障害または故障による記憶エラーを検出することができる。
【００４３】
本発明によるオートメーション・システムで使用するための安全分析器の特定の一実施形態を図５に示す。図示の安全分析器５は、光検出器１１からの安全ベースの情報を検出するための４つの安全ベースの入力１０だけでなく、接触器により４つのオートメーション・バス・コンポーネントから供給電圧を切断するための４つの安全ベースの出力６も有する。この場合、安全分析器内で論理リンクが生成されたことに応答して、標準制御システム内の安全ベースの論理リンクとの比較に応答して、および／または入力１０を介する安全関連入力情報に応答して、様々な安全ベースの出力６が駆動される。この場合、インタロック論理が安全分析器内に記憶され、特定の障害またはエラーが発生したときにどの安全ベースの機能を開始するか、すなわち、その障害またはエラーが発生したときにどのコンポーネントを供給電圧から切断しなければならないかを左右する。
【００４４】
安全分析器が、安全関連データの処理に加え、プロセス・データ処理も実行することは、本発明の範囲内である。
【００４５】
さらに、本発明の原理は例示的な実施形態に記載されたオートメーション・バス・システムに限定されず、実際にはバスを有するすべてのオートメーション・システムに適用可能であると述べるべきである。
【図面の簡単な説明】
【図１】 長距離バス・システム内に２つの安全分析器を備えた、本発明によるオートメーション・システムの第１の実施形態の概略図である。
【図２】 １つの安全分析器がインタフェース・アセンブリの直後に配置された、本発明の他の実施形態の概略図である。
【図３】 １つの安全分析器がインタフェース・アセンブリ内に統合され、第２の安全分析器がバス・スパーの先頭にある、本発明によるオートメーション・システムを概略図の形で示す図である。
【図４】 その出力が相互に接続された２つの安全分析器を備えた、本発明によるオートメーション・システムを示す図である。
【図５】 様々な入力および出力を備えた安全分析器の概略ブロック図である。
【図６ａ】 安全分析器によるバス・データストリームのデータ操作の概略図である。
【図６ｂ】 安全分析器によるバス・データストリームのデータ操作の概略図である。

Claims (31)

1. 少なくとも、バス・システム（２）と、
   それに接続された入出力バス利用部分（３１〜３８）および標準制御装置（４；４０、４１）と、
   バス・システムを介してデータ・フローを監視し、少なくとも１つの安全関連機能を実行するよう設計された少なくとも１つの安全分析器（５、５’、５”）を含み、
   安全分析器がバス・データストリーム内の安全関連データをチェックして処理するためにセットアップされるか、バス（２）上で伝送されるデータストリームを操作するための装置を有するか、あるいはその両方であることを特徴とする、オートメーション・システム（１）。
2. 標準制御装置が少なくとも１つの安全関連出力を制御することを特徴とする、請求項１に記載のオートメーション・システム（１）。
3. 安全分析器（５、５’、５”）が自由にプログラム可能な論理装置を有し、それが監視データ、特に監視安全関連データを処理することを特徴とする、請求項１または２に記載のオートメーション・システム（１）。
4. 安全分析器（５、５’、５”）がオートメーション・システム（１）内の論理的なバス利用部分ではなく、少なくとも１つの安全関連出力（６）を有し、それを介してオートメーション・システムのうちの安全分析器に関連する少なくとも１つのアセンブリ、特に少なくとも１つのバス利用部分（３１〜３８）をオンまたはオフに切り替えることができることを特徴とする、請求項１ないし３のいずれか一項に記載のオートメーション・システム（１）。
5. 安全分析器（５、５’、５”）が、セーフティ・アイランド、バス・スパー（８）、および／またはシステム全体をオフに切り替えるためにセットアップされることを特徴とする、請求項４に記載のオートメーション・システム（１）。
6. 安全分析器（５’）が少なくとも１つの安全関連入力（１０）を有し、それを介して安全分析器がオートメーション・システム内の安全関連装置（１１）に接続されて安全関連データを検出することを特徴とする、請求項１ないし５のいずれか一項に記載のオートメーション・システム。
7. バス・システム（２）がインタフェース・アセンブリ（４１）を介してホスト（４０）に接続され、プロセス関連制御がホスト内に配置され、安全関連制御がインタフェース・アセンブリ内に配置されることを特徴とする、請求項１ないし６のいずれか一項に記載のオートメーション・システム（１）。
8. バス（２）がシリアル・バスであり、少なくとも１つの安全分析器（５、５’）がオートメーション・システムの長距離バス・セクション内に配置されることを特徴とする、請求項１ないし７のいずれか一項に記載のオートメーション・システム（１）。
9. 安全分析器（５）がホスト（４０）の直後またはインタフェース・アセンブリ（４１）の直後に配置されることを特徴とする、請求項８に記載のオートメーション・システム（１）。
10. 安全分析器（５）がインタフェース・アセンブリ（４１）内に配置されることを特徴とする、請求項１ないし９のいずれか一項に記載のオートメーション・システム（１）。
11. 安全分析器（５、５’、５”）がプロセス・マップを記憶するためのメモリ・デバイスを含むことを特徴とする、上記の請求項１ないし１０のいずれか一項に記載のオートメーション・システム（１）。
12. 安全分析器（５、５’、５”）がバス（２）上で伝送される入力および／または出力データを操作するための装置を有することを特徴とする、上記の請求項１ないし１１のいずれか一項に記載のオートメーション・システム（１）。
13. 装置が安全分析器（５、５’、５”）内の入力および／または出力データを上書きするか、データをデータストリームに挿入するか、あるいはその両方を行うことを特徴とする、請求項１２に記載のオートメーション・システム（１）。
14. 少なくとも１つの安全分析器（５、５’、５”）が冗長設計のものであることを特徴とする、上記の請求項１ないし１３のいずれか一項に記載のオートメーション・システム（１）。
15. オートメーション・システム、特に請求項１ないし１４のいずれか一項に記載のオートメーション・システム（１）を操作するための方法であって、
    標準制御装置（４；４０、４１）がプロセスリンクの入出力データの処理によるプロセス制御と、安全関連データの処理による安全関連制御とを実行し、さらに、安全関連データの処理が少なくとも１つの安全分析器（５、５’、５”）において実行され、安全関連データ、特にバス・データストリーム内の安全関連論理リンク・データが安全分析器で処理されることを特徴とする方法。
16. 標準制御装置が少なくとも１つの安全関連出力を制御することを特徴とする、請求項１５に記載の方法。
17. 標準制御装置（４、４１）および／または少なくとも１つの他の安全分析器（５、５’、５”）に関しバスを介して伝送される安全関連論理リンク・データと、第１の安全分析器の対応する論理リンク・データとの比較が、安全分析器（５、５’、５”）で実行されることを特徴とする、請求項１５または１６に記載の方法。
18. 標準制御（４、４１）の安全関連論理リンクをモデル化することにより、標準制御（４、４１）によって生成され、バスを介して出力データとして送られる論理リンク・データを少なくとも１つの安全分析器（５、５’、５”）でチェックすることを特徴とする、請求項１５ないし１７のいずれか一項に記載の方法。
19. 安全分析器（５、５’、５”）によるチェックまたは比較に応答して、安全関連機能が実行されることを特徴とする、請求項１５ないし１８のいずれか一項に記載の方法。
20. 安全分析器（５、５’、５”）の安全関連出力（６）を介して安全関連機能が実行されることを特徴とする、請求項１５ないし１９のいずれか一項に記載の方法。
21. 安全分析器（５’）の安全関連入力（１０）を介して検出された安全関連データに応答して、安全分析器が安全関連機能を実行することを特徴とする、請求項１５ないし２０のいずれか一項に記載の方法。
22. 安全関連機能を実行するプロセスが、オートメーション・バス・システム内の少なくとも１つのアセンブリ、特にバス利用部分（３２〜３８）をオンまたはオフに切り替えることを含むことを特徴とする、請求項２１に記載の方法。
23. バス（２）上のデータストリームを操作するための装置により、安全分析器（５’、５”）がデータストリーム内の少なくとも１つのデータ項目を上書きまたは削除するか、バス・データストリーム内に少なくとも１つのデータ項目を挿入するか、あるいはその両方を行うことを特徴とする、請求項１５ないし２２のいずれか一項に記載の方法。
24. 安全分析器（５、５’、５”）が少なくとも部分的に監視データストリームを記憶し、バス・データストリーム内の入力データをバス・データストリーム内の出力データに、またその逆にコピーすることを特徴とする、請求項２３に記載の方法。
25. セキュリテイ・プロトコルを使用して、安全関連データがバス（２）を介して伝送されることを特徴とする、請求項１５ないし２４のいずれか一項に記載の方法。
26. セキュリテイ・プロトコルが、安全データ項目に加え、否定安全データ項目、連続番号、アドレス、および／またはデータ保護情報（ＣＲＣ）を含むことを特徴とする、請求項２５に記載の方法。
27. バスがマスタ／スレーブ原理で動作するシステムであり、少なくとも１つの安全分析器（５、５’、５”）を介するデータ・リンクにより少なくとも２つのスレーブ間、特に個々のバス利用部分（３１〜３８）間でデータが伝送され、安全分析器がバス・データストリーム内のデータをコピーすることを特徴とする、請求項１５ないし２６のいずれか一項に記載の方法。
28. バスがマスタ／スレーブ原理で動作するシステムであり、制御またはマスタを介するデータ・リンクにより少なくとも２つのスレーブ間、特に個々のバス利用部分（３１〜３８）間でデータが伝送され、制御またはマスタがバス・データストリーム内のデータをコピーすることを特徴とする、請求項１５ないし２７のいずれか一項に記載の方法。
29. 品質データが安全分析器（５、５’、５”）により生成されるか、読み取られたデータが他の処理用に準備されるか、あるいはその両方が行われることを特徴とする、請求項１５ないし２８のいずれか一項に記載の方法。
30. 安全分析器（５’）で使用する安全管理論理リンクが少なくとも１つの他の安全分析器（５”）内で少なくとも部分的に冗長形式で実行され、同じ安全機能が少なくとも部分的に２つの安全分析器によって実行されることを特徴とする、請求項１５ないし２９のいずれか一項に記載の方法。
31. 安全分析器が少なくとも部分的にプロセス・データ処理も実行することを特徴とする、請求項１５ないし３０のいずれか一項に記載の方法。

Images