JP5862614B2 - フィールド機器及びデータ処理方法 - Google Patents

Description

本発明は、フィールド機器及びデータ処理方法に関する。

従来から、プラントや工場等においては、フィールド機器と呼ばれる現場機器（測定器、操作器、表示器、報知器）と、これらの制御を行う制御装置とが通信手段を介して接続された分散制御システム（ＤＣＳ：Distributed Control System）が構築されており、高度な自動操業が実現されている。このような分散制御システムを構成するフィールド機器は、有線通信を行うものが殆どであったが、近年においてはＩＳＡ１００．１１ａやＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）等の産業用無線通信規格に準拠した無線通信を行うものも実現されている。

プラント等においては、安全性及び信頼性が確保されることが極めて重要であるため、機能安全システムを構成するフィールド機器は、有線通信を行うもの無線通信を行うものの別に拘わらず、機能安全規格に準拠している必要がある。また、分散制御システムにおいても、機能安全システムと同等の規格を求められる場合がある。ここで、機能安全とは、一般的には、機能的な工夫（安全を確保するための機能）を導入して、要求されるレベルの安全を確保することをいい、上記の機能安全規格は、その規格を規定したものである。

以下の特許文献１には、機能安全のための機能を導入した従来のフィールド機器の一例が開示されている。具体的に、以下の特許文献１に開示されたフィールド機器は、メモリの格納領域を、安全性に重要（safety-critical）なデータを格納する第１領域と、安全性に影響の少ない（safety-uncritical）データを格納する第２領域とに分離し、メモリの第１，第２領域に対する全てのアクセスをメモリ管理装置によって管理することにより、データの独立性が保たれるようにしている。

米国特許出願公開第２０１０／０１２５４２７号明細書

ところで、上述の特許文献１において、メモリの第１領域に格納されるデータは、安全性に重要なデータであるため、自由に書き替えを行うことはできない。これに対し、メモリの第２領域に格納されるデータは、安全性に影響の少ないデータであるため、書き替えを行うことは可能である。従って、上述の特許文献１に開示されたフィールド機器では、メモリの第１領域に格納されたデータを第２領域に転送することは可能であるものの、逆にメモリの第２領域に格納されたデータを第１領域に転送することはできないと考えられる。

ここで、２０１３年の時点において、上述の特許文献１に開示されたハイブリッド伝送方式（スマート伝送方式）のフィールド機器では、アナログ信号（プロセス値）の取得及び伝送に係る処理が安全性に重要な処理であるとみなされ、アナログ信号に重畳されるディジタル信号の通信に係る処理が安全性に影響の少ない処理であるとみなされている。このため、上述の特許文献１に開示されたフィールド機器では、センサから取得された測定値（プロセス値）や伝送すべきプロセス値はメモリの第１領域に格納され、外部から送信されてきた制御データ（ディジタル信号）はメモリの第２領域に格納される。

いま、上述の特許文献１に開示されたフィールド機器が、外部から送信されてきた制御データ（センサの測定レンジの変更を指示する制御データ）を受信した場合を考える。このような制御データは、上述の通り、メモリの第２領域に格納されることとなるが、センサの測定レンジを変更する処理は、プロセス値の取得に係る処理であるため、第２領域に格納された制御データを第１領域に転送する必要がある。

しかしながら、上述の特許文献１に開示されたフィールド機器では、メモリの第２領域に格納されたデータを第１領域に転送することはできないため、機能安全のための機能が導入されていない従来のフィールド機器と同様の手順ではフィールド機器に設定された測定レンジ等の設定値を変更することができないと考えられる。このように、上述の特許文献１に開示されたフィールド機器は、安全性を確保することができる反面、利便性が著しく低下する虞があるという問題があった。

本発明は上記事情に鑑みてなされたものであり、利便性の低下を招くことなく、安全性を確保することが可能なフィールド機器及びデータ処理方法を提供することを目的とする

上記課題を解決するために、本発明のフィールド機器は、安全性に重要なデータである第１データ（Ｄ１、Ｄ１１、Ｄ１２）及び安全性に影響の少ないデータである第２データ（Ｄ２）を格納する格納装置（２０）と、該格納装置に格納された前記第１，第２データを用いて予め規定された処理を行う処理装置（４０）とを備えるフィールド機器（１〜３）において、前記処理装置は、前記格納装置に格納された前記第１データを用いて安全性に重要な処理である第１処理を行い、前記第１データの書込依頼がなされた場合には該書込依頼に基づいて前記格納装置に対する前記第１データの書き込みを行う第１処理部（４１）と、前記格納装置に格納された前記第２データを用いて安全性に影響の少ない処理である第２処理を行い、前記第１処理部に対して前記第１データの書込依頼を行う第２処理部（４２）とを備えることを特徴としている。
この発明によると、安全性に影響の少ない処理である第２処理を行う第２処理部によって、安全性に重要な処理である第１処理を行う第１処理部に対し、安全性に重要なデータである第１データの書込依頼がなされると、この書込依頼に基づいて格納装置に対する第１データの書き込みが第１処理部によって行われる。
また、本発明のフィールド機器は、前記第２処理部が、前記格納装置に格納された前記第１データの読み出しが可能であることを特徴としている。
或いは、本発明のフィールド機器は、前記第２処理部が、前記第１処理部に対して前記第１データの読出依頼を行い、前記第１処理部が、前記第２処理部からの前記第１データの読出依頼に基づいて前記格納装置から前記第１データの読み出しを行って前記第２処理部に転送することを特徴としている。
また、本発明のフィールド機器は、前記第２処理部が、前記第１処理部に対して少なくとも前記第１データの書込依頼を行う依頼部（４２ｄ、７３）を備え、前記第１処理部が、少なくとも前記依頼部からの前記第１データの書込依頼を受け付ける受付部（４１ｄ、６２）を備えることを特徴としている。
また、本発明のフィールド機器は、前記第１処理部が、前記第２処理部により前記書込依頼が行われた前記第１データの内容を検査する第１検査部を備えることを特徴としている。
また、本発明のフィールド機器は、前記第２処理部が、前記第１処理部に対して前記書込依頼を行う前記第１データの内容を検査する第２検査部（４２ａ、７１）を備えることを特徴としている。
また、本発明のフィールド機器は、前記第１処理部が、前記格納装置に対する前記第１データの書き込みを、前記第１処理を行っていない空き時間に行うことを特徴としている。
また、本発明のフィールド機器は、前記格納装置に格納される前記第１データが、前記第１処理部のみが読み出し及び書き込みを行うことが可能な非公開データ（Ｄ１１）を含むことを特徴としている。
また、本発明のフィールド機器は、前記第１，第２処理部が、オペレーティングシステム上で動作することを特徴としている。
また、本発明のフィールド機器は、前記処理装置と前記格納装置との間に、前記格納装置に対するデータの書き込み及び前記格納装置からのデータの読み出しを制御する制御部（８０）を備えることを特徴としている。
また、本発明のフィールド機器は、前記第１処理部で行われる前記第１処理は、センサ（１０）から得られる信号の信号処理を含み、前記第２処理部で行われる前記第２処理は、通信手段を介して行われる通信の通信処理を含むことを特徴としている。
本発明のデータ処理方法は、安全性に重要なデータである第１データ（Ｄ１、Ｄ１１、Ｄ１２）及び安全性に影響の少ないデータである第２データ（Ｄ２）を格納する格納装置（２０）に格納された前記第１，第２データを用いて予め規定された処理を行うデータ処理方法であって、前記格納装置に格納された前記第１データを用いて安全性に重要な処理である第１処理を行う第１処理部（４１）に対し、前記格納装置に格納された前記第２データを用いて安全性に影響の少ない処理である第２処理を行う第２処理部（４２）から、前記第１データの書込依頼を行う第１ステップ（Ｓ１５）と、前記第１ステップでなされた前記第１データの書込依頼に基づいて前記第１処理部が前記格納装置に対する前記第１データの書き込みを行う第２ステップ（Ｓ１６）とを有することを特徴としている。

本発明によれば、安全性に影響の少ない処理である第２処理を行う第２処理部が、安全性に重要な処理である第１処理を行う第１処理部に対して安全性に重要なデータである第１データの書込依頼を行うと、第１処理部が、この書込依頼に基づいて格納装置に対する第１データの書き込みを行うようにしている。このため、利便性の低下を招くことなく、安全性を確保することが可能であるという効果がある。

本発明の第１実施形態によるフィールド機器の要部構成を示すブロック図である。 本発明の第１実施形態によるフィールド機器において、メモリに書き込まれるデータ及びメモリから読み出されるデータを示す図である。 本発明の第１実施形態によるフィールド機器で用いられるテーブルの一例を示す図である。 本発明の第１実施形態によるフィールド機器の動作の一例を示すフローチャートである。 本発明の第２実施形態によるフィールド機器の要部構成を示すブロック図である。 本発明の第３実施形態によるフィールド機器の要部構成を示すブロック図である。 本発明の第１実施形態によるフィールド機器の変形例の要部構成を示す図である。

以下、図面を参照して本発明の実施形態によるフィールド機器及びデータ処理方法について詳細に説明する。尚、以下では、理解を容易にするために、フィールド機器が配管内を流れる流体の流量を測定する流量計である場合を例に挙げて説明する。但し、本発明は、流量を測定するフィールド機器以外に、圧力、温度、湿度、液面高さ（レベル）、ｐＨ（ペーハー）、流体の成分分析等を測定するフィールド機器にも適用可能である。

〔第１実施形態〕
図１は、本発明の第１実施形態によるフィールド機器の要部構成を示すブロック図である。図１に示す通り、本実施形態のフィールド機器１は、センサ部１０（センサ）、メモリ２０（格納装置）、伝送通信部３０、及びＣＰＵ（Central Processing Unit）４０（処理装置）を備える。かかる構成のフィールド機器１は、配管内を流れる流体（図示省略）の流量を測定してその測定結果を示すプロセス値（アナログ信号）を不図示のコントローラに伝送するとともに、各種信号（ディジタル信号）をプロセス値に重畳させて不図示のコントローラとの間で通信（ディジタル通信）を行う。

センサ部１０は、測定対象の流体が流れる配管に取り付けられており、ＣＰＵ４０の制御の下で、配管を流れる流体の流量を測定する。このセンサ部１０は、例えば流体の流れに沿う向きに超音波信号を送信したときの透過信号（流体を透過した超音波信号）と、流体の流れに逆らう向きに超音波信号を送信したときの透過信号とを検出し、これら透過信号の検出結果に基づいて流体の流量を測定する。

メモリ２０は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ、或いはフラッシュＲＯＭ（Read Only Memory）やＥＥＰＲＯＭ（Electrically Erasable and Programmable ＲＯＭ）等の不揮発性のメモリである。このメモリ２０は、フィールド機器１で用いられる安全性に重要（safety-critical）なデータ（第１データ）、及び安全性に影響の少ない（safety-uncritical）データ（第２データ）を記憶（格納）する。

ここで、上述した安全性に重要なデータとしては、例えばセンサ部１０の測定レンジを設定するデータ、センサ部１０の調整や校正（キャリブレーション）用のデータ、センサ部１０に設けられるセンサ素子固有の特性（センサ定数）を示すデータ等が挙げられる。また、上述した安全性に影響の少ないデータとしては、例えば不図示のコントローラとの間で行われる通信に係るデータ、フィールド機器１に設けられる不図示の表示装置の初期画面を表示するためのデータ等が挙げられる。

図２は、本発明の第１実施形態によるフィールド機器において、メモリに書き込まれるデータ及びメモリから読み出されるデータを示す図である。図２に示す通り、メモリ２０に対して書き込み或いは読み出しが行われる安全性に重要なデータには符号Ｄ１を付しており、メモリ２０に対して書き込み或いは読み出しが行われる安全性に影響の少ないデータには符号Ｄ２を付している。

伝送通信部３０は、例えばプラントの現場に敷設される伝送線（例えば、「４〜２０ｍＡ」信号の伝送に使用される伝送線）に接続されており、ＣＰＵ４０の制御の下で、上述したプロセス値を不図示のコントローラに伝送するとともに、不図示のコントローラとの間で各種信号（ディジタル信号）の通信を行う。この伝送通信部３０は、例えばＨＡＲＴ（登録商標）、ＢＲＡＩＮ等のプロセス工業用の通信プロトコルを用いて通信を行う。

ＣＰＵ４０は、フィールド機器１の動作を統括して制御する。例えば、ＣＰＵ４０は、センサ部１０を制御してセンサ部１０の測定結果を取得し、取得した測定結果を上述したプロセス値に変換する処理を行う。また、ＣＰＵ４０は、メモリ２０を制御して、メモリ２０に記憶されたデータの読み出し処理、或いはメモリ２０に対するデータの書き込み処理を行う。また、ＣＰＵ４０は、伝送通信部３０を制御して、プロセス値を不図示のコントローラに向けて伝送させるとともに、不図示のコントローラとの間で通信（ディジタル通信）を行う。

このＣＰＵ４０内には、安全プロセス４１（Safetyプロセス：第１処理部）と、非安全プロセス４２（Non-Safetyプロセス：第２処理部）とが実現されている。安全プロセス４１は、メモリ２０に記憶された安全性に重要なデータＤ１（図２参照）を用いて安全性に重要な処理（第１処理）を行うプロセスである。これに対し、非安全プロセス４２は、メモリ２０に記憶された安全性に影響の少ないデータＤ２（図２参照）を用いて安全性に影響の少ない処理（第２処理）を行うプロセスである。

これら安全プロセス４１及び非安全プロセス４２は、例えばメモリ２０に記憶された各々を実現するプログラムが、ＣＰＵ４０に読み出されて実行されることにより実現される。例えば、ＣＰＵ４０が内部に２つのプロセッサコア（Dual Processor Core）を備えるものである場合には、安全プロセス４１及び非安全プロセス４２は、各プロセッサコアで並列に実行される。これに対し、ＣＰＵ４０が内部に１つのプロセッサコア（Single Processor Core）を備えるものである場合には、安全プロセス４１及び非安全プロセス４２は、１つのプロセッサコアで時分割に実行される。

ここで、上述した安全プロセス４１が行う安全性に重要な処理とは、例えばセンサ部１０の測定結果を取得する処理、センサ部１０の測定結果をプロセス値に変換する処理、及びプロセス値を伝送させる処理等の処理が挙げられる。また、上述した非安全プロセス４２が行う安全性に影響の少ない処理とは、例えば不図示のコントローラとの間で行う通信処理（ディジタル通信に係る処理）等の処理が挙げられる。

安全プロセス４１は、信号処理部４１ａ、書込処理部４１ｂ、読出処理部４１ｃ、及び依頼受付処理部４１ｄ（受付部）を有する。信号処理部４１ａは、上述したセンサ部１０の測定結果を取得する処理、センサ部１０の測定結果をプロセス値に変換する処理、及びプロセス値を伝送させる処理を行う。

書込処理部４１ｂは、信号処理部４１ａ又は依頼受付処理部４１ｄから出力される安全性に重要なデータＤ１をメモリ２０に書き込む処理を行う。この書込処理部４１ｂは、依頼受付処理部４１ｄから出力される安全性に重要なデータの書き込みを、信号処理部４１ａで処理が行われていない空き時間に行う。これは、信号処理部４１ａから出力されるデータの書き込みが妨げられる事態を防止するためであり、また信号処理部４１ａで実行される第１処理が所定の時間内に終了することが妨げられる事態を防止するためである。

読出処理部４１ｃは、信号処理部４１ａの制御の下で、メモリ２０から安全性に重要なデータＤ１を読み出す処理を行う。依頼受付処理部４１ｄは、非安全プロセス４２からの安全性に重要なデータの書込依頼を受け付ける処理を行うとともに、受け付けを行った書込依頼に基づいて、安全性に重要なデータＤ１をメモリ２０に書き込ませる処理を書込処理部４１ｂに行わせる。

非安全プロセス４２は、通信処理部４２ａ（第２検査部）、書込処理部４２ｂ、読出処理部４２ｃ、及び書込依頼処理部４２ｄ（依頼部）を有する。通信処理部４２ａは、上述した不図示のコントローラとの間で行われるディジタル通信に係る処理を行う。この通信処理部４２ａは、不図示のコントローラとの通信によって受信したデータが、正当なデータであるか否かを検査する。例えば、センサ部１０の測定レンジを設定するデータを受信した場合には、そのデータの値がセンサ部１０の設定可能な範囲に収まっているか否かを検査する。

また、通信処理部４２ａは、データの種別を特定するためのテーブルを備えており、このテーブルを参照して不図示のコントローラとの通信によって受信したデータの種別を特定し、受信したデータを書込処理部４２ｂ又は書込依頼処理部４２ｄに出力する。図３は、本発明の第１実施形態によるフィールド機器で用いられるテーブルの一例を示す図である。図３に示す通り、通信処理部４２ａに設けられるテーブルは、データ毎に、そのデータが安全性に重要なデータ（安全データ）であるのか、或いは安全性に影響の少ないデータ（非安全データ）であるのかを示すものである。

図３に示す例では、「レンジ設定」データ、「キャリブレーション」データ、及び「センサ定数」データが安全性に重要なデータ（安全データ）とされ、「通信設定」データ及び「表示設定」データが安全性に影響の少ないデータ（非安全データ）とされている。通信処理部４２ａは、このテーブルを参照して、データの種別が安全性に重要なデータ（安全データ）と特定した場合には、そのデータを書込依頼処理部４２ｄに出力する。これに対し、テーブルを参照して、データが安全性に影響の少ないデータ（非安全データ）と特定した場合には、そのデータを書込処理部４２ｂに出力する。

書込処理部４２ｂは、通信処理部４２ａから出力される安全性に影響の少ないデータＤ２をメモリ２０に書き込む処理を行う。読出処理部４２ｃは、不図示のコントローラから安全性に影響の少ないデータＤ２の読出要求コマンドを受信した通信処理部４２ａの制御の下で、メモリ２０から安全性に影響の少ないデータＤ２を読み出す処理を行う。この読出処理部４２ｃは、図２に示す通り、安全性に影響の少ないデータＤ２のみならず、メモリ２０に記憶された安全性に重要なデータＤ１を読み出すことも可能である。

書込依頼処理部４２ｄは、通信処理部４２ａの制御の下で、安全プロセス４１に対して安全性に重要なデータの書込依頼を行う。非安全プロセス４２に設けられる書込処理部４２ｂは、安全性に影響の少ないデータＤ２をメモリ２０に書き込む処理を行うことはできるものの、安全性に重要なデータＤ１をメモリ２０に書き込む処理を行うことはできない。このため、本実施形態では、安全プロセス４１に依頼受付処理部４１ｄを設けるとともに、非安全プロセス４２に書込依頼処理部４２ｄを設け、書込依頼処理部４２ｄから依頼受付処理部４１ｄに対して安全性に重要なデータの書込依頼を行うことで、安全性に重要なデータＤ１をメモリ２０に書き込むようにしている。

次に、上記構成におけるフィールド機器１の動作について説明する。図４は、本発明の第１実施形態によるフィールド機器の動作の一例を示すフローチャートである。図４に示すフローチャートは、不図示のコントローラから送信されてきたコマンド（データを含む）を受信する度に開始される。尚、以下では理解を容易にするために、不図示のコントローラから書込要求コマンド（メモリ２０に対するデータの書込要求コマンド）が送信されてきた場合の動作（書込動作）と、不図示のコントローラから読出要求コマンド（メモリ２０に記憶されたデータの読出要求コマンド）が送信されてきた場合の動作（読出動作）とを順に説明する。

〈書込動作〉
不図示のコントローラから書込要求コマンド（書き込むべきデータを含む）が送信されてくると、その書込要求コマンドは、伝送通信部３０で受信されてＣＰＵ４０で実現されている非安全プロセス４２の通信処理部４２ａに出力される。書込要求コマンドが入力されると、書込要求コマンドに含まれるデータが正当なデータであるか否かを検査（チェック）する処理が通信処理部４２ａで行われる（ステップＳ１１）。例えば、センサ部１０の測定レンジを設定するデータが書込要求コマンドに含まれている場合には、そのデータの値がセンサ部１０の設定可能な範囲に収まっているか否かを検査する処理が行われる。

以上の検査が終了すると、書込要求コマンドに含まれるデータが正当なデータであるか否かを判断する処理が通信処理部４２ａで行われる（ステップＳ１２）。正当なデータではないと判断された場合（ステップＳ１２の判断結果が「ＮＯ」である場合）には、図４に示す一連の処理が終了する。これにより、フィールド機器１では、送信されてきた書込要求コマンドに基づいた処理が何ら行われず、不正なデータが含まれる書込要求コマンドは通信エラーとして不図示のコントローラに返信される。

これに対し、書込要求コマンドに含まれるデータが正当なデータであると判断した場合（ステップＳ１２の判断結果が「ＹＥＳ」である場合）には、受信したデータの種別を判断する処理が通信処理部４２ａで行われる（ステップＳ１３）。具体的には、図３に例示したテーブルを参照して、受信したデータが安全性に重要なデータ（安全データ）であるのか、或いは安全性に影響の少ないデータ（非安全データ）であるのかが通信処理部４２ａで判断される。

ここで、受信したデータが、例えば上述したセンサ部１０の測定レンジを設定するデータであったとすると、図３に示すテーブルに基づいて、このデータは「安全データ」であると判断される。すると、データの読み出し（Ｒ）又は書き込み（Ｗ）の別が、通信処理部４２ａで判断される（ステップＳ１４）。ここでは、不図示のコントローラから書込要求コマンドが送信された場合を考えているため、書き込み（Ｗ）と判断される。

書き込み（Ｗ）と判断されると、通信処理部４２ａから書込依頼処理部４２ｄに対して、メモリ２０に書き込むべきデータが出力される。そして、書込依頼処理部４２ｄから安全プロセス４１で実現されている依頼受付処理部４１ｄに対してデータが転送されるとともに、そのデータの書込依頼が行われる（ステップＳ１５：第１ステップ）。

書込依頼処理部４２ｄからのデータ及び書込依頼を受け付けると、依頼受付処理部４１ｄは、受け付けた書込依頼に基づいてデータ（安全性に重要なデータＤ１）をメモリ２０に書き込ませる処理を書込処理部４１ｂに行わせる。具体的に、依頼受付処理部４１ｄは、メモリ２０に書き込むべきデータを書込処理部４１ｂに出力するとともに、書込処理部４１ｂに対して書き込み指示を行う。この書き込み指示がなされると、安全性に重要なデータＤ１をメモリ２０に書き込む処理が書込処理部４１ｂによって行われる（ステップＳ１６：第２ステップ）。

尚、ステップＳ１１での検査処理及びステップＳ１２での判断処理を行うとともに又はその代わりに、依頼受付処理部４１ｄは、書込処理部４１ｂに書き込みを行わせる前に、ステップＳ１１での検査処理及びステップＳ１２での判断処理と同様の処理を行わせても良い。つまり、ステップＳ１１での検査処理及びステップＳ１２での判断処理と同様の処理を行う第１検査部を依頼受付処理部４１ｄに設けても良い。安全プロセス４１側でも検査することによって、より強固な機能安全を実現することができる。

尚、以上の処理によってメモリ２０に書き込まれた新たなデータ（例えば上述したセンサ部１０の測定レンジを設定するデータ）を安全プロセス４１が読み出し、その内容を反映させることによって、センサ部１０の測定レンジを変更することが可能になる。

他方、ステップＳ１３において、受信したデータが、例えば「通信設定」データであったとすると、図３に示すテーブルに基づいて、このデータは「非安全データ」であると判断される。すると、データの読み出し（Ｒ）又は書き込み（Ｗ）の別が、通信処理部４２ａで判断される（ステップＳ１７）。ここでは、不図示のコントローラから書込要求コマンドが送信された場合を考えているため、書き込み（Ｗ）と判断される。書き込み（Ｗ）と判断されると、通信処理部４２ａから書込処理部４２ｂに対して、メモリ２０に書き込むべきデータが出力され、これにより安全性に影響の少ないデータＤ２をメモリ２０に書き込む処理が書込処理部４２ｂで行われる（ステップＳ１８）。

〈読出動作〉
不図示のコントローラから読出要求コマンドが送信されてくると、その読出要求コマンドは、伝送通信部３０で受信されてＣＰＵ４０で実現されている非安全プロセス４２の通信処理部４２ａに出力される。読出要求コマンドが入力されると、読出要求コマンドで要求されているデータが正当なデータであるか否かを検査（チェック）する処理が通信処理部４２ａで行われる（ステップＳ１１）。

以上の検査が終了すると、読出要求コマンドで要求されているデータが正当なデータであるか否かを判断する処理が通信処理部４２ａで行われる（ステップＳ１２）。正当なデータではないと判断された場合（ステップＳ１２の判断結果が「ＮＯ」である場合）には、図４に示す一連の処理が終了する。これにより、フィールド機器１では、送信されてきた読出要求コマンドに基づいた処理が何ら行われず、不正なデータの読み出しを要求する読出要求コマンドは通信エラーとして不図示のコントローラに返信される。尚、正当なデータではないと判断されるのは、例えば図３に示されたデータ種別の何れにも該当しないデータが読出要求された場合が挙げられる。

これに対し、読出要求コマンドで要求されているデータが正当なデータであると判断した場合（ステップＳ１２の判断結果が「ＹＥＳ」である場合）には、読み出し要求されているデータの種別を判断する処理が通信処理部４２ａで行われる（ステップＳ１３）。具体的には、図３に例示したテーブルを参照して、読み出し要求されているデータが安全性に重要なデータ（安全データ）であるのか、或いは安全性に影響の少ないデータ（非安全データ）であるのかが通信処理部４２ａで判断される。

ここで、読み出し要求されているデータが、例えば「キャリブレーション」データであったとすると、図３に示すテーブルに基づいて、このデータは「安全データ」であると判断される。すると、データの読み出し（Ｒ）又は書き込み（Ｗ）の別が、通信処理部４２ａで判断される（ステップＳ１４）。ここでは、不図示のコントローラから読出要求コマンドが送信された場合を考えているため、読み出し（Ｒ）と判断される。

読み出し（Ｒ）と判断されると、読出処理部４２ｃが通信処理部４２ａによって制御され、メモリ２０に記憶された安全性に重要なデータＤ１のうち、上記の読み出し要求で指定されたものが読出処理部４２ｃによって読み出される（ステップＳ１９）。尚、読出処理部４２ｃによって読み出されたデータは通信処理部４２ａに出力され、通信処理部４２ａによって伝送通信部３０が制御されることにより不図示のコントローラに送信される。

他方、ステップＳ１３において、受信したデータが、例えば「表示設定」データであったとすると、図３に示すテーブルに基づいて、このデータは「非安全データ」であると判断される。すると、データの読み出し（Ｒ）又は書き込み（Ｗ）の別が、通信処理部４２ａで判断される（ステップＳ１７）。ここでは、不図示のコントローラから読出要求コマンドが送信された場合を考えているため、読み出し（Ｒ）と判断される。

読み出し（Ｒ）と判断されると、読出処理部４２ｃが通信処理部４２ａによって制御され、メモリ２０に記憶された安全性に影響の少ないデータＤ２のうち、上記の読み出し要求で指定されたものが読出処理部４２ｃによって読み出される（ステップＳ２０）。尚、読出処理部４２ｃによって読み出されたデータは、読出処理部４２ｃによって安全性に重要なデータＤ１が読み出された場合と同様に、通信処理部４２ａに出力され、通信処理部４２ａによって伝送通信部３０が制御されることにより不図示のコントローラに送信される。

以上の通り、本実施形態では、ＣＰＵ４０で行われる処理を、安全性に重要な処理を行う安全プロセス４１と、安全性に影響の少ない処理を行う非安全プロセス４２とに分けている。このため、本実施形態では、安全性に重要な処理を行う安全プロセス４１が安全性に影響の少ない処理を行う非安全プロセス４２の影響を受けることはなく、各々の処理の独立性を高めることができるため、安全性を確保することができる。

また、本実施形態では、安全プロセス４１に対して安全性に重要なデータＤ１の書込依頼を行う書込依頼処理部４２ｄを非安全プロセス４２に設けるとともに、書込依頼処理部４２ｄからの書込依頼を受け付ける依頼受付処理部４１ｄを安全プロセス４１に設けている。これにより、例えば不図示のコントローラからフィールド機器１に対して、安全性に重要なデータＤ１の書込要求コマンドが送信されてきた場合には、非安全プロセス４２が安全プロセス４１に対して書込依頼を行うことにより、安全性に重要なデータＤ１をメモリ２０に書き込むことが可能になる。

その結果として、例えば機能安全のための機能が導入されていない従来のフィールド機器と同様の手順で、フィールド機器に設定された測定レンジ等の設定値を変更することが可能となる。このように、本実施形態によれば、利便性の低下を招くことなく、安全性を確保することが可能である。

加えて、本実施形態では、非安全プロセス４２に設けられた読出処理部４２ｃが、メモリ２０に記憶された安全性に重要なデータＤ１を直接読み出すことが可能である。このため、安全プロセス４１の処理に影響を与えることなく、メモリ２０に記憶された安全性に重要なデータＤ１を読み出すことも可能である。以上から、本実施形態では、機能安全の認証を取得する対象を安全プロセス４１に狭めることができ、機能安全の認証を取得するための作業量やコストを低減することも可能である。

〔第２実施形態〕
図５は、本発明の第２実施形態によるフィールド機器の要部構成を示すブロック図である。尚、図５においては、理解を容易にするため、図２と同様にメモリ２０に書き込まれるデータ及びメモリ２０から読み出されるデータを図示している。図５に示す通り、本実施形態のフィールド機器２において、メモリ２０に記憶される安全性に重要なデータＤ１は、非公開データＤ１１と公開データＤ１２とを含む。

上記の非公開データＤ１１は、安全プロセス４１のみが読み出し及び書き込みを行うことが可能なデータである。これに対し、上記の公開データＤ１２は、安全プロセス４１が読み出し及び書き込みを行うことが可能であって、非安全プロセス４２が読み出しを行うことが可能なデータである。尚、安全性に影響の少ないデータＤ２は、非安全プロセス４２のみが読み出し及び書き込みを行うことが可能なデータである。

ここで、上記の非公開データＤ１１としては、例えば信号処理部４１ａが処理を行う上で一時的にメモリ２０に格納するデータ（テンポラリデータ）等が挙げられる。これに対し、上記の公開データＤ１２としては、例えば第１実施形態で説明したデータ（センサ部１０の測定レンジを設定するデータ、センサ部１０の調整や校正（キャリブレーション）用のデータ、センサ部１０に設けられるセンサ固有の特性（センサ定数）を示すデータ等）が挙げられる。

本実施形態のフィールド機器２は、上述した非公開データＤ１１及び公開データＤ１２を取り扱うため、安全プロセス４１に設けられた書込処理部４１ｂ及び読出処理部４１ｃに代えて書込処理部５１及び読出処理部５２をそれぞれ備える。書込処理部５１は、信号処理部４１ａから出力されるテンポラリデータ（非公開データＤ１１）をメモリ２０に書き込むとともに、信号処理部４１ａ又は依頼受付処理部４１ｄから出力されるデータ（第１実施形態で説明した安全性に重要なデータＤ１に相当するデータ）を公開データＤ１２としてメモリ２０に書き込む処理を行う。尚、書込処理部５１は、書込処理部４１ｂと同様に、依頼受付処理部４１ｄから出力されるデータの書き込みを、信号処理部４１ａで処理が行われていない空き時間に行う。

読出処理部５２は、信号処理部４１ａの制御の下で、メモリ２０に記憶されたテンポラリデータ（非公開データＤ１１）を読み出す処理、或いはメモリ２０に記憶された公開データＤ１２を読み出す処理を行う。尚、読出処理部５２で読み出されたデータ（非公開データＤ１１又は公開データＤ１２）は、信号処理部４１ａに出力される。

上記構成のフィールド機器２では、非公開データＤ１１の読み出し及び書き込みが、安全プロセス４１のみによって行われる点を除いて、基本的には第１実施形態のフィールド機器１と同様の動作が行われる。つまり、フィールド機器２では、図４に示すフローチャートに従って動作が行われる。このため、本実施形態のフィールド機器２の詳細な動作の説明は省略する。

以上の通り、本実施形態においても、ＣＰＵ４０で行われる処理が、安全プロセス４１と非安全プロセス４２とに分けられている。また、非安全プロセス４２には書込依頼処理部４２ｄが設けられ、安全プロセス４１には依頼受付処理部４１ｄが設けられている。このため、本実施形態においても、利便性の低下を招くことなく、安全性を確保することが可能である。

加えて、本実施形態では、安全性に重要なデータＤ１が、安全プロセス４１のみが読み出し及び書き込みを行うことが可能な非公開データＤ１１と、安全プロセス４１が読み出し及び書き込みを行うことが可能であって、非安全プロセス４２が読み出しを行うことが可能な公開データＤ１２とに分けられている。これにより、安全プロセス４１のみで扱われるデータが非安全プロセス４２で扱われるといった事態を防止することができ、より高い安全性を確保することができるとともに、機能安全の認証を取得するための作業量やコストをより低減することが可能である。

〔第３実施形態〕
図６は、本発明の第３実施形態によるフィールド機器の要部構成を示すブロック図である。尚、図６においても、図２と同様にメモリ２０に書き込まれるデータ及びメモリ２０から読み出されるデータを図示している。図６に示す通り、本実施形態のフィールド機器３は、図１に示すフィールド機器１の安全プロセス４１に設けられた読出処理部４１ｃ及び依頼受付処理部４１ｄに代えて読出処理部６１及び依頼受付処理部６２（受付部）をそれぞれ設け、非安全プロセス４２に設けられた通信処理部４２ａ、読出処理部４２ｃ、及び書込依頼処理部４２ｄに代えて通信処理部７１（第２検査部）、読出処理部７２、及び依頼処理部７３（依頼部）を設けた構成である。

前述した第１，第２実施形態のフィールド機器１，２は、非安全プロセス４２が安全プロセス４１に対して、安全性に重要なデータＤ１の書込依頼を行うものであった。これに対し、本実施形態のフィールド機器３は、非安全プロセス４２が安全プロセス４１に対して、安全性に重要なデータＤ１の書込依頼を行うとともに、安全性に重要なデータＤ１の読み出し依頼を行うことが可能なものである。

読出処理部６１は、信号処理部４１ａの制御の下でメモリ２０から安全性に重要なデータＤ１を読み出す処理を行うとともに、依頼受付処理部６２の制御の下でメモリ２０から安全性に重要なデータＤ１を読み出す処理を行う。尚、依頼受付処理部６２の制御の下で読出処理部６１により読み出された安全性に重要なデータＤ１は、依頼受付処理部６２を介して非安全プロセス４２の依頼処理部７３に転送される。

依頼受付処理部６２は、非安全プロセス４２からの安全性に重要なデータの書込依頼、或いは読出依頼を受け付ける処理を行う。また、依頼受付処理部６２は、非安全プロセス４２からの書込依頼を受け付けた場合には、その書込依頼に基づいて安全性に重要なデータＤ１をメモリ２０に書き込ませる処理を書込処理部４１ｂに行わせる。これに対し、非安全プロセス４２からの読出依頼を受け付けた場合には、その読出依頼に基づいて安全性に重要なデータＤ１をメモリ２０から読み出させる処理を読出処理部６１に行わせる。

通信処理部７１は、図１に示すフィールド機器１が備える通信処理部４２ａと同様に、不図示のコントローラとの間で行われるディジタル通信に係る処理、通信によって受信したデータが正当なデータであるか否かを検査する処理、及び図３に示すテーブルを用いて受信したデータの種別を特定する処理等を行う。但し、図１に示す通信処理部４２ａは、不図示のコントローラから安全性に重要なデータ（安全データ）の読出要求コマンドが送信されてきた場合には、読出処理部４２ｃを制御して読み出しを行っていた。これに対し、図６に示す通信処理部７１は、不図示のコントローラから安全性に重要なデータ（安全データ）の読出要求コマンドが送信されてきた場合には、依頼処理部７３に対して安全性に重要なデータ（安全データ）の読み出し要求を行う。

読出処理部７２は、通信処理部７１の制御の下で、メモリ２０から安全性に影響の少ないデータＤ２を読み出す処理を行う。但し、図１に示す読出処理部４２ｃとは異なり、メモリ２０に記憶された安全性に重要なデータＤ１を読み出すことはできない。依頼処理部７３は、通信処理部７１の制御の下で、安全プロセス４１に対して安全性に重要なデータの書込依頼、或いは読出依頼を行う。つまり、本実施形態では、安全プロセス４１に依頼受付処理部６２を設けるとともに、非安全プロセス４２に依頼処理部７３を設け、依頼処理部７３から依頼受付処理部６２に対して安全性に重要なデータの書込依頼、或いは読出依頼を行うことで、安全性に重要なデータＤ１をメモリ２０に書き込み、或いは安全性に重要なデータＤ１をメモリ２０から読み出すようにしている。

上記構成のフィールド機器３では、非安全プロセス４２から安全プロセス４１に対して読出依頼がなされた場合に、安全性に重要なデータＤ１の読み出しが安全プロセス４１を介して行われる点を除いて、基本的には第１実施形態のフィールド機器１と同様の動作が行われる。つまり、図４中のフローチャートにおいて、ステップＳ１９を「データの読み出し依頼を行い、依頼に基づき読出処理部６１で読み出し」と読み替えれば、本実施形態のフィールド機器３の動作を示すフローチャートになる。このため、本実施形態のフィールド機器３の詳細な動作の説明は省略する。

以上の通り、本実施形態においても、ＣＰＵ４０で行われる処理が、安全プロセス４１と非安全プロセス４２とに分けられている。また、非安全プロセス４２には依頼処理部７３が設けられ、安全プロセス４１には依頼受付処理部６２が設けられており、非安全プロセス４２から安全プロセス４１に対して、安全性に重要なデータＤ１の書込依頼が行われるとともに、安全性に重要なデータＤ１の読出依頼が行われる。このため、本実施形態においても、利便性の低下を招くことなく、安全性を確保することが可能である。

加えて、本実施形態では、安全性に重要なデータＤ１の読み出し及び書き込みが、非安全プロセス４２から安全プロセス４１に対する読出依頼及び書込依頼に基づいて安全プロセス４１でそれぞれ行われる。このため、安全プロセス４１の負荷が第１，第２実施形態よりは若干増加すると考えられるものの、非安全プロセス４２からの依頼に基づいて安全プロセス４１のみが安全性に重要なデータＤ１の読み出し及び書き込みを行い、非安全プロセス４２のみが安全性に影響の少ないデータＤ２の読み出し及び書き込みを行うという具合に、書き込み及び読み出しの権限を明確に分けることができる。

以上、本発明の実施形態によるフィールド機器及びデータ処理方法について説明したが、本発明は上述した実施形態に制限されることなく、本発明の範囲内で自由に変更が可能である。例えば、上記実施形態では、ＣＰＵ４０で行われる処理をソフトウェア的に分ける例について説明したが、ハードウェア的に分けても良い。例えば、ＭＭＵ（Memory Management Unit）やＭＰＵ（Memory Protection Unit）等の機能を用いてハードウェア的に分けても良い。このようなハードウェアを利用することにより、ソフトウェア処理の負担が大幅に小さくなるため、ＣＰＵ４０の動作周波数が低く、低消費電力での動作が要求されるフィールド機器においては有利である。

また、図７に示す通り、ＣＰＵ４０とメモリ２０との間にＭＭＵ或いはＭＰＵ等のメモリ制御部８０（制御部）を設け、安全性に重要なデータＤ１と安全性に影響の少ないデータＤ２とのアクセスコントロールをメモリ制御部８０により行っても良い。図７は、本発明の第１実施形態によるフィールド機器の変形例の要部構成を示す図である。このように、メモリ制御部８０を設けてアクセスコントロールを行うことにより、ＣＰＵ４０のアクセスコントロールに係る処理の負担を軽減することができるとともに、より強固なアクセスコントロールを実現することができる。尚、このようなメモリ制御部８０は、第２，第３実施形態のフィールド機器２，３にも適用可能である。

また、上記実施形態では、安全プロセス４１及び非安全プロセス４２がメモリ２０に直接アクセスする例について説明した。しかしながら、安全プロセス４１及び非安全プロセス４２をオペレーティングシステム（ＯＳ）上で動作させ、オペレーティングシステムの機能を利用してメモリ２０に対するアクセスを制限するようにしても良い。このようなオペレーティングシステムを用いることで、安全プロセス４１及び非安全プロセス４２等のマルチプロセスや、測定結果の取得処理及びプロセス値への変換処理等のマルチタスクについてのプログラムを作成し易くなる。また、メモリ、ペリフェラル等の管理を行い易くなる。

尚、上記実施形態では、フィールド機器が、流量や温度等の測定を行うセンサ機器である場合を例に挙げて説明した。しかしながら、本発明は、流量制御弁や開閉弁等のバルブ機器、ファンやモータ等のアクチュエータ機器、プラント内の状況や対象物を撮影するカメラやビデオ等の撮像機器、プラント内の異音等を収集したり警報音等を発するマイクやスピーカ等の音響機器、各機器の位置情報を出力する位置検出機器、他のフィールド機器で測定されたプロセス値等を表示する表示器、その他のフィールド機器にも適用することが可能である。

また、上記実施形態では、伝送線（例えば、「４〜２０ｍＡ」信号の伝送に使用される伝送線）を介してプロセス値の伝送及び通信（ディジタル通信）を行うフィールド機器を例に挙げて説明した。しかしながら、本発明は、有線のネットワーク或いは無線のネットワークを介してプロセス値や各種信号（例えば、制御信号）を通信するフィールド機器にも適用可能である。尚、無線のネットワークを介して通信を行うフィールド機器としては、ＩＳＡ１００．１１ａに準拠した無線通信を行うもの、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）に準拠した無線通信を行うもの、Ｗｉ−Ｆｉ（登録商標）に準拠した無線通信を行うもの、或いはＺｉｇＢｅｅ（登録商標）に準拠した無線通信を行うものの何れにも適用可能である。

１〜３ フィールド機器
１０ センサ部
２０ メモリ
４０ ＣＰＵ
４１ 安全プロセス
４１ｄ 依頼受付処理部
４２ 非安全プロセス
４２ａ 通信処理部
４２ｄ 書込依頼処理部
６２ 依頼受付処理部
７１ 通信処理部
７３ 依頼処理部
８０ メモリ制御部
Ｄ１ 安全性に重要なデータ
Ｄ２ 安全性に影響の少ないデータ
Ｄ１１ 非公開データ
Ｄ１２ 公開データ

Claims (12)

1. 安全性に重要なデータである第１データ及び安全性に影響の少ないデータである第２データを格納する格納装置と、該格納装置に格納された前記第１，第２データを用いて予め規定された処理を行う処理装置とを備えるフィールド機器において、
   前記処理装置は、前記格納装置に格納された前記第１データを用いて安全性に重要な処理である第１処理を行い、前記第１データの書込依頼がなされた場合には該書込依頼に基づいて前記格納装置に対する前記第１データの書き込みを行う第１処理部と、
   前記格納装置に格納された前記第２データを用いて安全性に影響の少ない処理である第２処理を行い、前記第１処理部に対して前記第１データの書込依頼を行い、前記格納装置に格納された前記第１データの読み出しに係る処理を行う第２処理部と
   を備えることを特徴とするフィールド機器。
2. 前記第２処理部は、前記格納装置に格納された前記第１データを直接読み出すことが可能であることを特徴とする請求項１記載のフィールド機器。
3. 前記第２処理部は、前記第１処理部に対して前記第１データの読出依頼を行い、
   前記第１処理部は、前記第２処理部からの前記第１データの読出依頼に基づいて前記格納装置から前記第１データの読み出しを行って前記第２処理部に転送する
   ことを特徴とする請求項１記載のフィールド機器。
4. 前記第２処理部は、前記第１処理部に対して少なくとも前記第１データの書込依頼を行う依頼部を備え、
   前記第１処理部は、少なくとも前記依頼部からの前記第１データの書込依頼を受け付ける受付部を備える
   ことを特徴とする請求項１から請求項３の何れか一項に記載のフィールド機器。
5. 前記第１処理部は、前記第２処理部により前記書込依頼が行われた前記第１データの内容を検査する第１検査部を備えることを特徴とする請求項１から請求項４の何れか一項に記載のフィールド機器。
6. 前記第２処理部は、前記第１処理部に対して前記書込依頼を行う前記第１データの内容を検査する第２検査部を備えることを特徴とする請求項１から請求項５の何れか一項に記載のフィールド機器。
7. 前記第１処理部は、前記格納装置に対する前記第１データの書き込みを、前記第１処理を行っていない空き時間に行うことを特徴とする請求項１から請求項６の何れか一項に記載のフィールド機器。
8. 前記格納装置に格納される前記第１データは、前記第１処理部のみが読み出し及び書き込みを行うことが可能な非公開データを含むことを特徴とする請求項１から請求項７の何れか一項に記載のフィールド機器。
9. 前記第１，第２処理部は、オペレーティングシステム上で動作することを特徴とする請求項１から請求項８の何れか一項に記載のフィールド機器。
10. 前記処理装置と前記格納装置との間に、前記格納装置に対するデータの書き込み及び前記格納装置からのデータの読み出しを制御する制御部を備えることを特徴とする請求項１から請求項９の何れか一項に記載のフィールド機器。
11. 前記第１処理部で行われる前記第１処理は、センサから得られる信号の信号処理を含み、
    前記第２処理部で行われる前記第２処理は、通信手段を介して行われる通信の通信処理を含む
    ことを特徴とする請求項１から請求項１０の何れか一項に記載のフィールド機器。
12. 安全性に重要なデータである第１データ及び安全性に影響の少ないデータである第２データを格納する格納装置に格納された前記第１，第２データを用いて予め規定された処理を行うデータ処理方法であって、
    前記格納装置に格納された前記第１データを用いて安全性に重要な処理である第１処理を行う第１処理部に対し、前記格納装置に格納された前記第２データを用いて安全性に影響の少ない処理である第２処理を行う第２処理部から、前記第１データの書込依頼を行う第１ステップと、
    前記第１ステップでなされた前記第１データの書込依頼に基づいて前記第１処理部が前記格納装置に対する前記第１データの書き込みを行う第２ステップと、
    前記格納装置に格納された前記第１データの読み出しに係る処理を前記第２処理部が行う第３ステップと
    を有することを特徴とするデータ処理方法。

Images