JP6193247B2 - 安全システム - Google Patents

Description

本発明は一般にフィールドバスシステムに関する。本発明は詳細には、システム内で動作するデバイスの機能安全を効率よく高めることに関する。

機械の安全操作の必要は、ほとんどの産業の日常業務における重大要因である。「機能安全」という用語は、通常、システムの安全がシステムまたはシステムの一部の正しい機能性に依存する、すなわち、システムが危険な状況でスイッチを切られる必要がある状況、または重大なパラメータ（例えば、化学工程における温度や圧力）が安全を確保するためにモニタされる必要がある状況において使用される。

今日、ほとんどの産業プラントは、リアルタイム分散制御のためのプラント内の様々なエンティティ間のネットワーク通信を含む。通信は、通常、ＩＥＣ６１１５８で標準化されているいわゆるフィールドバスによって実行される。フィールドバスは、モータ、スイッチ、バルブなどといったプラント内の制御可能なエンティティ、およびセンサといったエンティティを収集するデータを、プログラマブル論理制御装置（ＰＬＣ：ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｃｏｎｔｒｏｌｌｅｒ）にリンクし、ＰＬＣはさらに、オペレータがそこでプラントをモニタし、制御することができる人間機械インターフェース（ＨＭＩ：ｈｕｍａｎ ｍａｃｈｉｎｅ ｉｎｔｅｒｆａｃｅ）に接続される。様々なフィールドバスの例としては、ＡＳ−Ｉｎｔｅｒｆａｃｅ、ＣＡＮＯｐｅｎ、ＣｏｍｐｏＮｅｔ、ＣｏｎｔｒｏｌＮｅｔ、ＣＣ−Ｌｉｎｋ、ＤｅｖｉｃｅＮｅｔ、ＥｔｈｅｒＣＡＴ、Ｅｔｈｅｒｎｅｔ Ｐｏｗｅｒｌｉｎｋ、ＥｔｈｅｒＮｅｔ／ＩＰ、Ｉｎｔｅｒｂｕｓ、ＬｏｎＷｏｒｋｓ、Ｍｏｄｂｕｓ、ＰＲＯＦＩＢＵＳ ＤＰ、ＰＲＯＦＩＢＵＳ ＰＡ、ＰＲＯＦＩＮＥＴ ＩＯ、ＰＲＯＦＩＮＥＴ ＩＲＴ、ＳＥＲＣＯＳ ＩＩＩ、ＳＥＲＣＯＳインターフェースおよびＦｏｕｎｄａｔｉｏｎ＿Ｆｉｅｌｄｂｕｓ＿Ｈ１がある。

上記の技術は「フィールドバス」という総称を共有しているにもかかわらず、これらの技術間の差異は、容易に互換がきかず、簡単に相互接続できないほど大きい場合もある。このために、出願者は、Ａｎｙｂｕｓ（商標）という名称の汎用２ポート通信モジュールを開発しており、Ａｎｙｂｕｓ（商標）は、ポートの一方にＡｎｙｂｕｓ（商標）インターフェースを設け、他方のポートに任意のフィールドバスインターフェースを設けることによって多種多様なタイプのフィールドバスへのデバイスの接続を容易にするものである。

ユニット間の通信で使用される特定の通信プロトコルにかかわらず、重大な用途には安全、確実な通信が必要である。この目的のために、機能安全の概念は、ロボット工学、プレス加工などといった多くの産業自動化用途；爆発、燃焼、有毒ガスの汚染などを防止するためにある一定のパラメータがモニタされる必要がある任意の化学工程で認められ、また、リフト、クレーン、電動ドアなどのような露地における機械設備に関連し認められる場合もある。加えて、機能安全の必要は、例えば、エンドユーザが供給者に、標準的なネットワークを介してユーザの自動化デバイスに安全通信機能を統合するよう要求するなどの場合にも増大することになる。さらに、２０１２年の年頭までに執行される新しい欧州機械指令（２００６／４２／ＥＧ）は、すべての機械製造者がその機械およびプラントに安全概念を実装することを義務付ける。

「停止」コマンドといった、機械へのフェールセーフ制御データの安全な通信を確保するために、いわゆるブラックチャンネルが使用されうる。この概念の一例が図１に例示されており、図１では、ブラックチャンネルは（ＩＥＣ６１７８４−３−３で標準化されている）ＰＲＯＦＩｓａｆｅ（商標）技術によって実装されており、機能安全を実装するために通信スタックとアプリケーションとの間で安全層を使用する。安全層は、安全関連の送信機能を果たし、リンクの完全性がＳＩＬ３連続高頻度モードの要件を満たすことを保証するよう通信をチェックする。安全層は、（図１に示すように）独立型モジュール１０５として実装され、またはモータコントローラ１０４（不図示）において直接実装され、モータコントローラを「安全を意識した状態」にする。ＰＲＯＦＩｓａｆｅ（商標）は、デバイスの機能安全の実装形態の一例である。しかし、現在、機能安全を実装するための他の規格も存在する。

図１に示すように、ＰＲＯＦＩｓａｆｅ（商標）モジュール１０１は、ネットワーク１０２（ＰＲＯＦＩＮＥＴ（商標）など）を介してＰＬＣ１０３に接続される。モータコントローラ１０４も、同じネットワーク１０２によってＰＬＣ１０３に接続される。ＰＲＯＦＩｓａｆｅ（商標）モジュールは、モータ１０７の安全操作を提供するために、必要があればフェールセーフ通信リンクを介してモータ１０７への電力を切り離すことを可能にする保護回路１０６（リレーなど）に接続される。

現在機能安全の概念を欠いており、安全を含むようにそのコントローラを更新しようと欲する企業は、機能安全概念を実装するために多額の資金を投資して、新しい「安全を意識した」コントローラを設け（すなわち、図１のコントローラ１０４をアップグレードし）、または機能安全を提供するための別個のＰＲＯＦＩｓａｆｅ（商標）モジュール１０５を導入する必要がある。後者の解決策は、システムに存在するネットワークノード１０５の数を激増させる。

以上を考慮して、本発明の一目的は、システムの複雑さを低レベルに保持したままで機能安全を提供するための通信システムアセンブリを提供することである。

特に、一目的は、複雑なホストシステムを必要とせずに、または通信システム内のネットワークノードの数を増加させる必要なしで機能安全を実装するための通信システムアセンブリを提供することである。本発明によれば、ホストシステムと、通信モジュールに接続された安全モジュールの両方と通信できる機能を有する通信モジュールを使用することにより、どんな種類のフィールドバスおよびどんな種類の安全プロトコルとでも一緒に動作しうるという意味でネットワーク固有ではないホストシステムを使用することが可能である。

第１の態様によれば、本発明は、通信モジュールと安全モジュールとを備える通信システムアセンブリによって実現され、通信モジュールはネットワークとホストシステムとに接続されるように適合されており、通信モジュールは、ネットワークからデータを受け取り、上記データのサブセットを安全データとして上記安全モジュールに提供し、上記データの異なるサブセットをプロセスデータとしてホストシステムに提供する。

一利点は、安全モジュールは、通信モジュールを介してネットワークから情報を受け取ってよく、よって、安全モジュールをネットワークに接続するためにシステムにおいて必要とされるネットワークノードの数が低減されることである。加えて、所望の機能安全を実装する複雑なホストシステムの必要もなくなる。

通信モジュールおよび安全モジュールは、通信モジュール内のコネクタ内の２本以上の専用ピンを介して接続されうる。

この実施形態の一利点は、通信モジュールと安全モジュールが容易に接続され、通信モジュールは、安全モジュールが通信モジュールに接続されているかどうか検出しうることである。

安全モジュールは、ホストシステムに接続された保護回路に信号を提供するためにホストシステムに接続されるように適合されていてよい。

この実施形態の一利点は、標準化されたコネクタを介して保護回路がホストシステムに接続されてよく、ホストシステム内の基板間コネクタおよびワイヤが安全モジュールから保護回路へ信号を転送することである。

安全モジュールは、ホストシステムに接続された１もしくは複数のデバイスの動作を制御するために保護回路に直接接続されるように適合されていてよい。

この実施形態の一利点は、機能安全に関連した動作のために設計されたものでないホストシステムを使用することが可能であることである。

安全モジュールは、ホストシステムに接続された１もしくは複数の入力デバイスから信号を受け取るためにホストシステムに接続されるように適合されていてよい。

この実施形態の一利点は、（１もしくは複数の）入力デバイスが標準化されたコネクタを介してホストシステムに接続されてよく、ホストシステム内の基板間コネクタおよびワイヤが保護回路から安全モジュールへ信号を転送することである。

安全モジュールは、ホストシステムに接続された１もしくは複数のデバイスの動作の制御に対する信号を受け取るために、１もしくは複数の入力デバイスに直接接続されるように適合されていてよい。

この実施形態の一利点は、機能安全に関連した動作のために設計されたものでないホストシステムを使用することが可能であることである。

通信モジュールは、１もしくは複数のソフトウェアオブジェクトを表すソフトウェアコード部分を含んでいてよく、上記オブジェクトは、安全モジュールとホストシステムの両方と通信するように適合されている。

この実施形態の一利点は、ホストシステムが、ネットワーク上のＰＬＣにアクセスする必要なしで、安全モジュールから、安全関連データ（ホストシステムがモニタ／制御している安全モジュールおよび保護回路の状況など）を受け取ってよく、よって、ネットワーク上で転送される必要のあるデータ量が低減されることである。

本発明の他の目的、特徴および利点は、以下の詳細な説明、添付の特許請求の範囲、および図面から明らかになるであろう。

一般に、特許請求の範囲で使用されるすべての用語は、本明細書で特に明示しない限り、当技術分野におけるそれらの用語の通常の意味に従って解釈すべきである。「ａ／ａｎ／ｔｈｅ［要素、デバイス、構成要素、手段、ステップなど］」という場合、それらはすべて、特に明示しない限り、上記要素、デバイス、構成要素、手段、ステップなどの少なくとも１つのインスタンスを指すものとして非制限的に解釈すべきである。本明細書で開示するあらゆる方法のステップは、明示しない限り、開示通りの順序で実行されなくてもよい。

本発明の上記の目的、特徴および利点、ならびにさらに別の目的、特徴および利点は、以下の本発明の好ましい実施形態の例示的、非限定的な詳細な説明を、添付の図面を参照して読めばよりよく理解されるであろう。図面において、同じ参照番号は類似の要素に使用される。

機能安全を実装する先行技術の産業通信システムを例示する図である。 本発明の概念が実装されうる例示的な制御システムの概要を示す図である。 本発明の概念が実装されうる制御システムの様々なソフトウェアモジュールを示す図である。

図２に、本発明の概念が実装されうる例示的な制御システムの概要を示す。

通信モジュール２０１（前述のＡｎｙｂｕｓ（商標）モジュールなど）は、マイクロ・コントロール・ユニット（ＭＣＵ：Ｍｉｃｒｏ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２０４およびモータ制御論理（ＭＣＬ：ｍｏｔｏｒ ｃｏｎｔｒｏｌ ｌｏｇｉｃ）２０５を介して、モータ２０３などを制御するための制御データを受け取るためにフィールドバスネットワーク２０２に接続されている。通信モジュール２０１は、５０ピンのコンパクト・フラッシュ・コネクタといったコネクタ２０６によってＭＣＵ２０４に接続されている。前述のように、通信モジュール２０１は、フィールドバスネットワーク２０２と、ホスト・マイクロプロセッサ・システム２０７に配置されたＭＣＵ２０５との間のインターフェースとして働き、（システムで使用されるフィールドバスに応じた特定のフィールドバスフォーマットで）フィールドバスから受け取られる制御データを、ホスト・マイクロプロセッサ・システム２０７内のＭＣＵ２０４にデータを提供する前に、一般的なフォーマットに変換する。それに対応して、ＭＣＵ２０４から受け取られるデータも、フィールドバスネットワーク２０２上へ送信される前に、通信モジュール２０１によって変換される。

ホスト・マイクロプロセッサ・システム２０７には安全モジュール２０８も配置されている。安全モジュール２０８は、安全モジュール２０８内のインターフェース２０９および通信モジュール２０１内のコネクタ２０６によって通信モジュール２０１に接続されている。好ましい実施形態では、安全モジュール２０８との通信のためにコネクタ２０６において２本の専用ピンが確保されている。しかし、安全モジュール２０８と通信モジュール２０１は、２本より多いピンによって、任意選択のコネクタによって、またはＢｌｕｅｔｏｏｔｈ（商標）、ＷＬＡＮなどといった無線通信リンクによって接続されてもよいことが理解される。通信モジュール２０１は、安全モジュール２０８が通信モジュール２０１に接続されているかどうか判定するために、専用ピンをポーリングしてよい。この情報は、次いで、必要に応じて、ＰＬＣ（図１の１０３）に提供されてよい。

また安全モジュール２０８は、緊急時に、モータ２０３をその電源２１２から切断するための保護回路２１１（リレーなど）に安全モジュール２０８を接続するための出力ポート２１０も備える。保護回路２１１への接続は、出力ポート２１０から保護回路２１１への直接接続によって実装されてよい。あるいは、安全モジュール２０８の出力ポート２１０は、基板間コネクタによってホスト・マイクロプロセッサ・システム２０７に接続されてもよく、出力ポート２１０からの信号は、ホスト・マイクロプロセッサ・システム２０７内のワイヤおよびコネクタ２１３を介して保護回路２１１に提供される。

また、安全モジュール２０８は、安全モジュール２０８を、図２に例示する停止ボタンといった入力ユニット２１５に接続するための入力ポート２１４も備える。入力ユニット２１５への接続は、入力ポート２１４から入力ユニット２１５への直接接続によって実装されてよい。あるいは、安全モジュール２０８の入力ポート２１４は、基板間コネクタによってホスト・マイクロプロセッサ・システム２０７に接続されてもよく、入力ユニット２１５からの信号は、ホスト・マイクロプロセッサ・システム２０７内のワイヤおよびコネクタ２１６を介して入力ポート２１４に提供される。

安全モジュール２０８は、ホスト・マイクロプロセッサ・システム２０７に配置された電源２１７から電力を受け取る。電源２１７の信頼性は、好ましくは、万一電源内の通常の電力供給回路が故障した場合の電池またはコンデンサの携帯の電源バックアップを提供することによって高められる。代替として、またはこれに加えて、安全モジュール２０８は、電源コネクタ２１８を介して外部電源から電力を受け取ってもよい。

通信モジュール２０１内のＰＬＣ（図１の１０３）から受け取られるデータは、標準制御データとフェールセーフ制御データの両方を含んでいてよい。通信モジュールで受け取られると、データは通信ユニット２０１によって分割され、標準制御データはＭＣＵ２０４に提供され、フェールセーフ制御データは図２に例示するように安全モジュールに提供される。これは、例えば、通信モジュール２０１へ送信されるメッセージに、メッセージ内に存在する標準制御データ対フェールセーフ制御データの量を指示するデータヘッダを含めることによってなされてよい。

図３に、本発明の概念が実装されうる制御システムの様々なソフトウェアモジュールを示す。

前述のように、通信モジュール３０１は、好ましくは、通信モジュール３０１のコネクタ内のいくつかの専用ピンによって安全モジュール３０８に接続されている。通信モジュール３０１では、安全モジュールＡＰＩ３０２が、サービスおよびブラックチャンネルのカプセル化を提供するために、安全モジュール３０８内の対応する安全モジュールＡＰＩ３０３と通信する。

通信モジュールアプリケーションは、いくつかのオブジェクトおよびオブジェクトと関連付けられたメソッドを含む。これらのオブジェクトは、十分に確立したオブジェクト指向プログラミング（ＯＯＰ：ｏｂｊｅｃｔ−ｏｒｉｅｎｔｅｄ ｐｒｏｇｒａｍｍｉｎｇ）パラダイムに従う変数および関数を含む。

通信モジュールアプリケーションは安全オブジェクト３０４およびオブジェクト３０４と関連付けられたメソッドで補足され、安全オブジェクト３０４は、ホスト３０５と安全モジュール３０８との間で安全情報を共有することを可能にする。

より具体的には、図３に破線で示すように、ホスト３０５は、安全モジュールＡＰＩ３０３、３０２、コネクタ３０７、３０９、安全オブジェクト３０４、メッセージルータ（ＭＲ：ｍｅｓｓａｇｅ ｒｏｕｔｅｒ）３１１、およびホストＡＰＩ内のドライバ３１２を介して、安全モジュール３０８から状況および診断データ３０６を受け取ってよい。よってこのデータによって安全モジュールはホストに「不安全」インターフェースを介して安全データ状況を提供し、それによって、ホストが安全データを得るためにネットワークにアクセスする必要がなくなる。より具体的には、図１の先行技術のシステムを参照すると、安全モジュール１０５が、例えば、緊急停止コマンドにより、モータへの電力を途絶させた場合、モータコントローラ１０４はこの状況に気付かず、情報を受け取るためのＰＬＣ１０３へのアクセスを省く。本発明による安全オブジェクトを使用することにより、ホストはこの情報を、通信モジュール３０１から直接得ることができる。

一実施形態では、安全オブジェクト３０４は、単に、ホスト３０５と安全モジュール３０８の両方からアクセス可能な構造化された変数グループとしてよい。あるいは、安全オブジェクトは、さらに、ホスト３０５および／または安全モジュール３０８によって呼び出されうる関数を定義するコードも含んでいてよい。

ネットワークからホストへ／ホストからネットワークへの工程／制御データは、通信モジュール３０１内のプロトコルスタック３１３とホスト３０５内のＭＣＵ３１４との間に実線で示すように通信モジュール３０１によって扱われる。

本発明の概念を、好ましい実施形態を開示することによって提示した。代替として、安全モジュールと通信モジュールを一体化することもできるはずであり、その場合、通信／安全モジュールの共通のハウジングは、安全モジュールを保護回路に接続するためのコネクタを含むはずである。

以上では、本発明を主に少数の実施形態を参照して説明した。しかし、当業者には容易に理解されるように、以上で開示したもの以外の実施形態も、添付の特許請求の範囲で定義される本発明の範囲内において等しく可能である。

Claims (6)

1. 通信モジュール（２０１）と安全モジュール（２０８）とを備える通信システムアセンブリであって、前記通信モジュールはネットワーク（２０２）と、ホストシステム（２０７）に接続されたマイクロ・コントロール・ユニット（２０４）とに接続されるように適合されており、前記通信モジュール（２０１）は、前記ネットワーク（２０２）からデータを受け取り、前記データのサブセットを安全データとして前記安全モジュール（２０８）に提供し、前記データの異なるサブセットをプロセスデータとして前記マイクロ・コントロール・ユニット（２０４）に提供するように適合されており、前記通信モジュール（２０１）は、１もしくは複数のソフトウェアオブジェクトを表すソフトウェアコード部分を含んでおり、前記オブジェクトは、前記安全モジュール（２０８）と前記ホストシステム（２０７）の両方と通信するように適合されており、少なくとも前記安全データを含む前記のようなデータが前記安全モジュールから前記ホストシステムの外部に転送され得る、通信システムアセンブリ。
2. 前記通信モジュール（２０１）と前記安全モジュール（２０８）は、前記通信モジュール（２０１）内のコネクタ内の２本以上の専用ピンを介して接続されている、請求項１に記載の通信システムアセンブリ。
3. 前記安全モジュール（２０８）は、前記ホストシステム（２０７）に接続された保護回路（２１１）に信号を提供するために前記ホストシステム（２０７）のコネクタ（２１３）に接続されるように適合されている、請求項１または２のいずれか一項に記載の通信システムアセンブリ。
4. 前記安全モジュール（２０８）は、前記ホストシステム（２０７）に接続された１もしくは複数のデバイスの動作を制御するために保護回路（２１１）に直接接続されるように適合されている、請求項１または２のいずれか一項に記載の通信システムアセンブリ。
5. 前記安全モジュール（２０８）は、前記ホストシステム（２０７）に接続された１もしくは複数の入力デバイスから信号を受け取るために前記ホストシステム（２０７）のコネクタ（２１３）に接続されるように適合されている、請求項１から４のいずれか一項に記載の通信システムアセンブリ。
6. 前記安全モジュール（２０８）は、前記ホストシステム（２０７）に接続された１もしくは複数のデバイスの動作を制御する信号を受け取るために１もしくは複数の入力デバイスに直接接続されるように適合されている、請求項１から５のいずれか一項に記載の通信システムアセンブリ。

Images