JPH07507892A - プロセス制御コンピュータ用透過型インターフェース - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 プロセス制御コンピュータ用透過型インターフェース発明の背景 本発明は、全体的には複数のプロセス制御コンピュータとプラントまたはローカ ルエリアネットワーク間の「前置（フロントエンド）」通信技術に関わり、特に 、極めて高い信頼性と安全保守性を維持しながらプロセス制御コンピュータとの 間でデータの転送を迅速かつ透過的に処理できる前置通信システム用の「透過型 （ステルス：５ｔｅｘＮｈ）　Ｊインターフェースに関する。

化学製品製造プラントや他の比較的大きな加ニブラントでは、そこで進行中の実 際のプロセスの自動制御を達成するために、制御コンピュータと操作員が使用す るワークステーションのネットワークが必要な場合がある。

たとえば、１９８７年５月５日付けの　１ａｎｅｓ　その他による米国特許第４ ６６３７０４号明細書には、プラント用の分散処理システムが開示されている。

そのシステムでは、様々な形態の入出力端末すべて、データ獲得ステーション、 制御装置、記録保持装置などが一本のデータハイウェイに接続されている。同様 に、１９８６年８月１９日付けのＨｓ＋ｌ！ｅｌによる米国特許第４６０７２５ ６号明細書には、ネットワークを介して実際の製造加工用のコンピュータモジュ ールにデータを送信するためにプラント制御バスを利用するプラント管理システ ムが開示されている。

こうしたプロセス制御コンピュータネットワークの中には、プラント制御および 監視システムの信頼性を高めるために余分なプロセス制御コンピュータが利用さ れている。たとえば、１９９１年４月１６日付けのＦｉｅｂｉｌその他による米 国特許第５００８８０５号明細書には「即座に動作可能な待機状態の」余分のプ ロセッサを備えているネットワーク化された制御システムが開示されている。こ のプロセッサは、ネットワーク上に送信される送り平鋼のプロセッサからの制御 メツセージに応じて制御予定表を同期処理する。この余分な受け側のプロセッサ は、送り側のプロセッサの故障の際にはシステムの制御を引き継ぐことができる ようにメモリが２重構成になっている。他の例として、１９９０年９月１８日付 けのＭｃＬｘｕｇｈｌｉｎその他による米国特許第４９５８２７０号明細書には 、−次コントローラと二次コントローラを利用するネットワーク化制御システム が開示されている。

−次データベースとそのデータベースの補助コピー間の統一性を維持するために 、更新機能の効率を高める方法として、変化した所定の領域だけが更新される。

同様に、１９８９年１０月３日付けの５Ｉｚｌｔ＋による米国特許第４８７２１ ０６号明細書には、基本データプロセッサとバックアップデータプロセッサを利 用しているネットワーク化制御システムが開示しである。通常、バックアッププ ロセッサはバックアップモードで動作し、入出力装置に対する制御を実行するこ ともないし、入出力装置の状態に関するデータを受け取ったりはしない。したが って、入出力装置に対する制御は、基本プロセッサに専有される。しかし、基本 プロセッサは周期的に、バックアッププロセッサにそれらの２つのプロセッサを 結ぶ２重ポートメモリを介して入出力装置の制御動作に関連する状況データを転 送する。

上記のネットワーク化制御システムと対照して、２つの冗長プロセス制御コンピ ュータ用の他の制御技術も提案されている。この技術では、どちらのプロセス制 御コンピュータも入力データに基づいて動作し同じ出力装置に制御コマンドを発 行する。この種の制御技術は能動型冗長技術とも呼べる。それは、冗長プロセス 制御コンピュータそれぞれが共通の入力データに基づいて独立かつ同時に動作す るからである。この種の制御技術は、１９９１年３月３１日に出願されたＧ１５ ｓｅｒその他による米国特許出願第０７／８．５４９３１号の「３つの冗長遠隔 フィールドユニットを備えたプロセス制御インターフェースシステム」に記載さ れている。

制御技術として能動型冗長技術を使用すると、プラントコンピュータネットワー クとの通信固点でむつかしい問題が発生する。というのも、複数の能動型冗長プ ロセス制御コンピュータがそれぞれ入力値の集合を受け取り、それぞれ一連の出 力値を生成する。複数個の能動型冗長プロセス制御コンピュータが、相異が確実 に存在する程度まで、入力値および／または出力値のいくつかまたはすべてを調 停または演鐸する場合には、入出力値の集合が複数個作成されることになる。た とえば、前調停および後調停入力データ値の集合は、能動型冗長プロセス制御コ ンピュータのそれぞれから獲得可能になる。したがって、能動型冗長プロセス制 御コンピュータの動作に干渉したり速度をおとしたりすることなく、こうした複 数のデータ集合のいくつかまたは全部が調和しプラントの他のコンピュータによ り分析されるようになるのが望ましい。

さらに、プラントネットワーク上の１台または複数のコンピュータが、必要に応 じて、能動型冗長プロセスコンピュータのそれぞれのプログラムにより使用され るアナログ定数などの値を修正可能であるのが望ましい。しかし、実装置の動作 は将来確実に変動が予測されるので、当然ながらこうした動作はいくぶん制限さ れなければならない。

したがって、本発明の主目的は、能動型冗長プロセス制御コンピュータとプラン ト／ローカルエリアネットワーク間における迅速で信頼性の高いデータ転送を可 能にする前置通信システム用の透過型インターフェースを提供することにある。

本発明の他の目的は、能動型冗長プロセス制御コンピュータの動作に割り込まな い方式でデータを転送できる前置通信システム用の透過型インターフェースを提 供することにある。

本発明のさらに他の目的は、能動型冗長プロセス制御コンピュータの動作に割り 込まないようにメツセージが転送される前置通信システム用の透過型インターフ ェースを提供することにある。

本発明のさらに他の目的は、能動型冗長プロセス制御コンピュータのメモリ位置 への外部主体からの書込み動作をそのコンピュータが究極的には制御可能な透過 型インターフェースを提供することにある。

本発明のさらに他の目的は、複数の外部通信装置とのデータ転送を処理すること の可能な透過型インターフェースを提供することにある。

発明の要約 上記の目的を達成するために、本発明は、複数の能動型冗長プロセス制御コンピ ュータと１つのコンピュータネットワーク間におかれた前置通信システム用の「 透過型（ステルス）」インターフェースを提供する。透過型インターフェースは 能動型冗長プロセス制御コンピュータそれぞれにあり、各透過型インターフェー スは、コンピュータネットワークに接続された前置コンピュータとつながってい る。各透過型インターフェースは、実処理に関連した動的データを記憶しこのデ ータの一部またはすべてをコンピュータネットワークに転送するマルチボート型 メモリにより特徴付けられる。この点において、透過型インターフェースの名称 は、それを備えている能動型冗長プロセス制御コンピュータを透過するかのよう にマルチボート型メモリからのデータを転送する能力に由来している。本発明の １つの形態において、前置コンピュータは、マルチボート型メモリにおける記憶 位置のすべてに対して読取りアクセスが可能である。

透過型インターフェースのマルチボート型メモリには、前置コンピュータから能 動型冗長プロセス制御コンピュータへのメツセージを記憶するのに使用されるメ ールボックス部も備わっている。しかし、前置コンピュータによるこの書込みア クセス機能をより完全に制御するために、透過型インターフェースは、前置コン ピュータがメールボックス部にだけ書き込みができ、マルチボート型メモリの他 のどの記憶位置にも書き込みができないよう制御する監視回路も備えである。し たがって、前置コンピュータにはマルチボート型メモリの内容すべてに対する読 取りアクセスが認められているが、能動型冗長プロセス制御コンピュータが、前 置コンピュータへの書込みアクセスを最大限決定する。マルチボート型メモリの メールボックス部が備わっているので、前置コンピュータがダウンロードモード で新しいコンピュータプログラム命令を能動型冗長プロセス制御コンピュータに 転送することも可能になっている。

本発明の他の形態では、各能動型冗長プロセス制御コンピュータのマルチボート 型メモリには調停技術も備えてあり、この技術は、そのマルチボート型メモリへ の複数の異なる通信装置からのアクセスを可能にするものである。したがって、 マルチボート型メモリに記憶された動的データおよび／または他の可変データは 、ともかくも能動型冗長プロセス制御コンピュータの動作に干渉することなく他 の外部の主体からアクセス可能となる。

本発明のさらに他の特徴および利点は、以下の実施例と添付図面から一層明確に 理解できるであろう。

図面の簡単な説明 第１図は本発明による透過型インターフェースを利用する複数の能動型冗長プロ セス制御コンピュータ用のインテリジェント前置通信システムのブロック図であ り、第２図は第１図に示す時間整合された反射型メモリバッファと相関バッファ に記憶されたデータテーブルの構成図であり、 第３図は第１図に示す透過型インターフェースのブロック図であり、 第４Ａ図および第４Ｂ図は第１図および第３図の透過型インターフェースの構成 図であり、 第５Ａ図および第５Ｂ図は透過型インターフェースの２つのタイミング図を示す ものである。

好ましい実施例の詳細な説明 第１図を参照すると、１対の能動型冗長プロセス制御コンピュータ１２為および １２ｂを接続しているインテリジェント前置通信システム１０の構成図が示され ている。プロセス制御コンピュータ１２！および１２ｂはそれぞれフィールドコ ンピュータユニット（図示せず）または他の適切なフィールド機器類からの共通 入力データを受け取る。この点においては、上記のＧ１５ｅｔその他による米国 特許出願番号０７／８６４９３１号に、プロセス制御コンピュータ１２！および １２ｂなどの１対の能動型冗長プロセス制御コンピュータと制御中の実プロセス に直接接続された入出力装置の間の通信および制御リンクが詳細に記載されてい る。

２つの冗長な能動動作型プロセス制御コンピュータは単一の意志決定プロセス制 御コンピュータより故障許容度において有利であるが、当然のことながら、本発 明の原理はプロセス制御コンピュータの任意の特定の構成に制限されるわけでは ない。すなわち、たとえば、環境によっては、第１図に示しである上記２つのプ ロセス制御コンピュータ１２ａおよび１２ｂの代わりに３つのプロセス制御コン ピュータを利用してもかまわない。

本実施例では、プロセス制御コンピュータ１２Ｍおよび１２ｂは、１つまたは複 数のフィールドコンピュータユニットから送信されたすべての信号にもとづいて 同時に動作するのが好ましい。言い換えれば、プロセス制御コンピュータ１２！ および１２ｂはそれぞれこれらの冗長コンピュータにより受け取られたフィール ドからのデータに基づいて独自の決定を下すことができる。プロセス制御コンピ ュータ１２！および１２ｂによって下された決定により、最終的には適切なフィ ールドコンピュータユニットにより特定の出力装置（たとえば、弁、ポンプのモ ータ、原子炉のヒータなど）に送られることになる出力信号値が定まる。出力信 号値は、フィールドに送信される前に、２台の能動型冗長プロセス制御コンピュ ータ１２！および１２ｂの間で少なくともある程度は一致するのが好ましいが、 ２組の出力信号値の集合ともフィールドコンピュータユニットに通信可能である 。この点に関しては、フィールドコンピュータユニットから受信された入力値は 調停可能であり、その結果は、出力値を統−又は調停する必要はなくなる。これ は、プロセス制御コンピュータ１２！および１２ｂが両方とも同じプロセス制御 プログラムで動き、同じ調停された一連の入力値に基づいて動作するからである 。

考えられる値統−の好ましい形態の例をあげると、各プロセス制御コンピュータ １２！および１２ｂの対応する入力値テーブルを所定の時間比較して、これらの 値の１つを各入力値信号として選ばれ、この信号はプロセス制御プログラムで処 理される。入力値の選択は、制御中のプロセスに相応しい基準に基づいて行なわ れる。たとえば、右側のプロセス制御コンピュータ１２ｂにより決定された値が 所定の割合内（たとえば、２．５％）にある場合には左側のプロセス制御コンピ ュータ１２！により判定された値が使用される。さらに、左右両側のコンピュー タにより決定された値がどちらも所定の割合外であると分かればそれぞれの入力 値が利用されることになる。代わりに、左右両側のプロセス制御コンピュータか らの異なる人力または出力値をソフトウェアにより選ぶこともできる。すなわち 、たとえば、その値がどちらのプロセス制御コンピュータにより判定されたもの であれ、プロセス状態の中には、高い値または低い値を選択するのがより適切だ と考えられるものもある。

この調停または統一プロセスを容易にするために、プロセス制御コンピュータ１ ２！および１２ｂが並列通信リンク１４により接続されている。並列通信リンク １４は「主」リンクと呼ばれる。これは、このリンクによりプロセス制御コンピ ュータ間のデータおよびタイミング信号の直接転送が可能になるからである。さ らに注意すべきことは、左側プロセス制御コンピュータ１２畠は「フォックス（ 狐）」と呼ばれ、右側プロセス制御コンピュータ１２ｂは「ドッグ（犬）」と呼 ばれている。これらはプロセス制御コンピュータ１２１およびｉ２ｂの代替動作 モードの論理上の指定である。

プロセス制御コンピュータ１２！および１２にはそれぞれ独立した決定を下し、 調停を受けるのだが、現在フォックスモードのプロセス制御コンピュータは、ド ッグモードのプロセス制御コンピュータをプログラム処理過程における次のステ ップに進めて、これら２つのプロセス制御コンピュータの共同動作を相対的に同 期化させる。

さらに、フォックスモードのプロセス制御コンピュータは、そのプロセス制御プ ログラムサイクル（たとえば、１秒間）の始めに、タイミング信号をドッグモー ドのプロセス制御コンピュータに送信する。そのため、ドッグモードのプロセス 制御コンピュータも新しいプロセス制御プログラムサイクルの開始時を知るよう になる。プロセス制御コンピュータ１２！および１２ｂはそれら独自のクロック 発振器で動作するので、ドッグモードのプロセス制御プログラムがこのプログラ ムサイクルタイミング信号を検出し解釈すると、周期的にこれら２つのプロセス 制御コンピュータを相対的な同期状態に保持できる。

しかし、ドッグモードのプロセス制御コンピュータのプログラムサイクルは通常 、プログラムサイクルタイミング信号を送信し検出するのにかかる時間分（たと えば、２０マイクロ秒から２０ミリ秒）、ボックスモードのブロセス制御コンピ ュータのプログラムサイクルより遅れる。

プロセス制御コンピュータ１２！および１２ｂが主リンク１４を介して一時的に 通信不能になる場合には、これら２つのコンピュータはそれぞれ、個別に動作可 能と仮定されるモードで動作を継続する。この動作モードでは、プロセス制御コ ンピュータ１２！および１２ｂのプログラムサイクルは、時間経過に応じて徐々 に互いから離れていく。それでも、以下の議論で示すように、前置通信システム １０は、プロセス制御コンピュータ１２Ｍおよび１２ｂから受け取ったデータを リアルタイム分析できるように時系列整合させる。

第１図に示しであるように、プロセス制御コンピュータ１２ａおよび１２ｂはそ れぞれ、本発明による透過型インターフェースを備えている。具体的には、プロ セス制御コンピュータ１２！には透過型インターフェース回路１６ａを備え、コ ンピュータ１２ｂは透過型インターフェース回路１６ｂを備えている。透過型イ ンターフェース回路１６！および１６ｂは同一回路を含んでいるので、これらの 透過型インターフェース回路は本明細書では全体的に透過型インターフェース回 路１６と呼ばれることもある。前置通信システム１０の冗長性のため、全体を示 す参照番号がそのシステムの他の同じ構成要素にも使用されることがある。

透過型インターフェース１６により、それが接続されているプロセス制御コンピ ュータと外部通信装置の間のデータ転送は何の障害もなくなる。この点に関して 、プロセス制御コンピュータ１２の動作が遅延していないか、さもなければその データを１以上の外部通信装置に転送することで悪影響を受けてない場合には、 そうしたデータ転送はプロセス制御コンピュータ１２を透過する。透過型インタ ーフェース１６はさらに、プロセス制御コンピュータ１２の動作に影響を及ぼす ことなく、外部通信装置からのメツセージの転送を可能にする。こうした外部通 信装置の主な例は第１図に示してあり、１対の冗長前置コンピュータ１８！およ び１８ｂから構成されている。これらの前置コンピュータ１８＆および１８ｂは 冗長である。というのは、これら２つの前置コンピュータが透過型インターフェ ース回路１６！および１６ｂにより互いにデータとメツセージを交換できるよう に通信経路が備えであるからである。

前置コンピュータ１８１および１８ｂはそれぞれ、透過型インターフェース回路 １６１と１６ｂおよびプラント／ローカルエリアネットワーク間に高インテリジ ェンスインターフェースを備えている。このインターフェース全体は参照番号２ ０で示される。しかし、冗長前置コンピュータ１８！および１８ｂのそれぞれは 透過型インターフェース回路１６！と１６ｂのそれぞれと通信可能なので、この 冗長性は不必要となり、単一の前置コンピュータが適切なアプリケーションソフ トウェアで利用できる。さらに、以下の記載からより明確になることだが、こう した透過型インターフェース回路はそれぞれ他の外部通信装置ならびに前置コン ピュータ１８！および１８ｂとデータやメツセージを交換可能である。

第１図に示しであるように、透過型インターフェース回路１６は、プロセス制御 コンピュータのバス構造に在る２重ポートメモリｒＤＰＭＪ２２により特徴付け られる。ここに開示されている実施例では、２重ボートメモリ２２が備えている のはプロセス制御コンピュータ１２用の基本メモリすなわちただのデータメモリ である。したがって、本発明では、透過型インターフェース回路１６は外部装置 によるプロセス制御コンピュータのデータメモリへの直接アクセスを選択的に認 めることになる。

２重ボートメモリ２２は外部ボートと内部ポートを備えており、内部ポートはプ ロセス制御コンピュータ１２のバス構造に接続されている。外部ポートは本明細 書では透過ポートと呼ばれることもある。２重ボートメモリ２２は複数の付加的 なポートを備えるように構成されているが、２重ボートメモリは複数の外部通信 装置が交互に透過ボートにアクセスできるように調停回路を備えるのが好ましい 。言い換えれば、最終的には２つ以上の外部装置が透過ボートのデータおよびア ドレス線に接続可能であるとしても、２重ボートメモリへのアクセスが透過ボー トにより許可されている所与の時間内は、ただ１つの外部装置が透過ボートのデ ータおよびアドレス線を使用することができるようになる。本実施例は、透過型 インターフェース調停回路は、アクセス件の許可に先着順サービス方式を採用し ている。

しかし、本発明によると、この調停回路は、透過ボートのみで動作する。透過型 インターフェース回路１６の内部および外部ボートの間には実際は調停は行なわ れない。むしろ、プロセス制御コンピュータ１２が２重ボートメモリにアクセス できないときに限って外部ボートまたは透過ボートからの２重ボートメモリ２２ へのアクセスが利用できる。具体的には、ここに開示された発明の実施例では、 プロセス制御コンピュータ１２のマシンサイクルを利用して２重ポートメモリ１ ６へのアクセスを制御する。周知のとおり、コンピュータのＣＰＵは１つまたは 複数のプログラムされた命令を取り出して解読し、１つまたは複数のデータワー ドに基づいて動作する。フォノ・ノイマン式アーキテクチャに基づいたコンピュ ータでは、命令を取り出し、解読し、実行するのに数コンピュータクロックサイ クルが必要である。これに対して、本実施例では、プロセス制御コンピュータ１ ２は／％　−ｔ＜−ドアーキテクチャに基づいている。このアーキテクチャでは 、操作コード命令とその命令のオペランドデータの両方を同じクロックサイクル で取り出すことができる。

これは、バーバードアーキテクチャに基づいたコンピュータでは、物理的に分け て命令およびデータを記憶しており、これらの記憶はそれぞれＣＰＵに対して独 自のアドレスおよびデータ線を備えている。したがって、プロセス制御コンピュ ータ１２のクロックサイクルの中の命令の取出しと解読゛専用の部分では、２重 ポートデータメモリ２２は透過ポートからアクセス可能である。次いで、プロセ ス制御コンピュータ１２のクロックサイクルのなかでデータ記憶からのオペラン ド取出し専用の部分では、そのプロセス制御コンピュータは内部ボートから２重 ポートデータメモリ２２にアクセスすることになる。

本発明によると、透過型インターフェース回路１６は、プロセス制御コンピュー タ１２のメモリクロック信号の特定の遷移を観察して、透過ボートが２重ボート データメモリ１６にアクセスできるときを判定する。したがって、外部アクセス が透過型インターフェース回路１６によって認められるのはプロセス制御コンピ ュータ１２が２重ポートデータメモリ２２にアクセスする必要がない時間に限ら れていることから、プロセス制御コンピュータ自体はこうした外部アクセスによ り影響を受けることはない。確かに、プロセス制御コンピュータ１２は、外部の 読取りまたは書込み活動がそのデータ記憶に関して実際に発生していることを知 る必要すらない。それにもかかわらず、本発明によると、透過ポートに関するか ぎり、２重ポートデータメモリ２２からの「読取り」能力と２重ポートデータメ モリへの「書込み」能力は厳しく区別されている。外部通信装置が２重ポートデ ータメモリ２２におけるすべてのメモリ位置を個別に読み取れるのが望ましいが 、これは、２重ボートメモリのメモリ位置にデータを書き込む外部装置の能力に はあてはまらない。このことに関しては、２重ポートデータメモリ２２は制御中 の実際のプロセスに関連する動的データだけでなくアナログおよびディジタル定 数などの他のプロセス制御変数も記憶することができる。

したがって、２重ポートメモリ２２は２つの「論理」メモリ部を備えている。す なわち、変数部２４とメールボックス部２６である。これらのメモリ部は、どち らも同じ物理メモリ回路チップまたはチップ集合におかれているとしても、個別 に処理されるので、論理的には分かれている。本実施例では、メールボックス部 ２６は、２重ボートデータメモリ２２中の２５６メモリワ一ド位置（各１６ビツ ト）から構成され、変数部２４は２重ボートデータメモリ２２中の残りのメモリ 位置（例えば、６４にメモリワード位置ブロック）から構成される。変数部２４ は、プロセス制御コンピュータ１６から前置コンピュータ１８へのメツセージを 保持するメツセージ領域も備えている。メールボックス部２６は、前置コンピュ ータ１８２および１８ｂなどの外部装置からのメツセージを記憶する特定の領域 をメモリに準備するのに使用される。当然のことながら、メールボックス部２６ のメモリ位置は物理的に連続している必要はない。メールボックス部２６は採用 されたメツセージ送信プロトコルに応じて任意の時点に２つ以上のメツセージを 保持するように構成されているが、メールボックス部は１つのメツセージを完全 に保持する大きさでありさえすればよい。これらのメツセージは、さほど頻繁に 行なわれるわけではない遠隔地のコンピュータとの間で健康または状況データを 集めたり送信したりするプロセス制御コンピュータ１２への外部からの要求と同 様に単純でもよい。１つのメツセージには、２重ポートデータメモリ２２に記憶 された特定の変数を変更するコマンドも含まれている。さらに、２重ポートデー タメモリ２２のメールボックス部２６は、プログラムの改訂版をプロセス制御コ ンピュータ１２に伝達するのにも使用することができる。

以下でより深く議論されることになるが、透過型インターフェース回路１６は監 視回路を備えている。この回路は任意の外部の構成装置によるメモリ２２の変数 部２４の任意の記憶位置へのデータの書込みを制限するものである。すなわち、 ２重ポートデータメモリ２２のメモリ位置のすべてまたは一部は透過ポートから 読み込まれるが、２重ボートメモリ２２のメールボックス部２６のメモリ位置に は外部の構成装置だけが書き込みを許される。本発明の特色は、プロセス制御コ ンピュータ１２のハードウェアの安全装置にある。この安全装置は、いかなる外 部の構成装置もプロセス制御コンピュータ１２のデータ処理動作を誤って干渉す ることはないことを保証するものである。以下の議論からより明らかになるよう に、本発明のこの特色は、２重ポートデータメモリ２２における任意の特定のメ モリ位置またはメモリ位置の集合への外部書込みアクセスを許諾したり否定する のにも使用することができる。

透過ポートとの間でデータを迅速にやり取りするために、第１図に示しであるよ うに、前置通信システム１０は透過ｒｌＦｓＪ回路２８へのインターフェース　 Ｑ　、（スｒｌＦＱＪ回路３０へのインターフェース、およびその間におかれた 光Ｘフィバーケーブルの束３２を備えている。ＩＦ５回路２８は２重ポートデー タメモリ２２の透過ポートに接続されているが、ＩＦＱ回路３０は前置コンピュ ータ１２の「Ｑバス」上に置かれている。前置通信システム１０の冗長性からみ て、当然のことながら、ＩＦ５回路２８ａが２重ボートデータメモリ２２！の透 過ポートに接続されている。同様に、ＩＦＱ回路３０！は前置コンピュータ１８ ！のＱパスに接続されている。

ここに開示された実施例では、前置コンピュータ１８として、ディジタル・エク イツブメント社（ＤＥＣ社）のリアルタイムＥＬＮオペレーティング・システム を使用するＭＩＣＲＯＶＡＸ　３４００を採用するのが望ましい。ＤＥＣ社のＶ ＡＸ族コシコンピユータなりの速度で動作しネットワーク面での利点を備えてい るので、他の前置コンピュータは適切なアプリケーションで利用することができ る。

前置コンピュータ１８！と１８ｂのそれぞれが透過型インターフェース回路１６ ！と１６ｂを介して双方向通信を実行できるように、光フアイバーケーブル３２ は送信と受信用の２組の光ファイバーを備えている（例えば、６２．５／１２５ １０．２７５ＮＡ型フアイバー）。しかし、前置コンピュータ１８！と１８ｂの それぞれに対応する送信および受信光ファイバーは単純化のために第１図では単 一チャンネルとして示しである。すなわち、光フアイバーチャンネル３４１は、 前置コンピュータ１８！から透過型インターフェース回路２２！に情報を送る光 ファイバーと透過型インターフェース回路２２！からの情報を受け取る光ファイ バーを備えている。同様に、光フアイバーチャンネル３６３は、前置コンピュー タ１８ａから透過型インターフェース回路２２ｂに情報を送る光ファイバーと透 過型インターフェース回路２２ｂからの情報を受け取る光ファイバーを備えてい る。光ファイバーの構成は前置コンピュータ１８ｂ用に１対準備されている。

本実施例では、ＩＦＳ回路２８、ＩＦＱ回路３０および光フアイバーケーブル３ ２の組合せが光送信インターフェースを構成しており、このインターフェースに より、前置コンピュータ１８ａと１８ｂをプロセス制御コンピュータ１２！と１ ２ｂから隔置できる。たとえば、本実施例では、前置コンピュータ１８！と１８ ｂをプロセス制御コンピュータ１２！と１２ｂから最高２ｋｍまで隔置できる。

さらに、ファイバー分散データインターフェースｒＦＤＤＩＪプロトコルは、光 フアイバーケーブル３２を介してＩＦＱとＩＦＳ回路間で情報を送信するのに使 用可能であることにも注意すべきである。

ＩＦＳ回路２８は、２重ポートデータメモリ２２の透過ポートとの間で情報をや り取りする適切なアドレスおよびデータバッファ回路（図示せず）を備えている 。■ＦＳ回路２８は、２重ポートデータメモリ２２の選択位置からデータを収集 し、１つの連続データブロックとして転送可能にする転送マツプ３７も備えてい る。転送マツプ３７は、２重ポートデータメモリ２２の利用可能なメモリ位置の すべてからデータを収集する十分なアドレス記憶機能を備えたスタティックＲＡ Ｍから構成されている。

さらに、ＩＦＳ回路２８は、上記の２つの前置コンピュータ１８！と１８ｂのそ れぞれにたいして個別の送信および受信回路を備えている。これは、送信器３８ １と受信器４０ａとして示されている。送信器３８！は、透過ポートからの並列 データワード（たとえば、１６ビツト）を直列ビット流に変換するようになって いる。直列ビット流は光フアイバーケーブル３２の１本を介して送信するのに適 切である。同様に、受信器４０１は、前置コンピュータ１８からの直列ビット流 を並列データワードに変換して、１つ又は複数のＩＦＳ回路バッファを介して透 過ポートに送信する。ＩＦＱ回路３０にも、対応する送信器と受信器の組合せが 備えである。これは、送信器３８ｂと受信器４０ｂである。上記の記載から、２ 組の送信器と受信器対を使用すればＩＦＳ回路２８！と２８ｂおよびＩＦＱ回路 ３０ａと３０ｂの間で同時にデータを送受信できることが理解できる。したがっ て、たとえば、ＩＦＳ回路２８は、プロセス制御コンピュータ１２ａから獲得さ れたデータを同時に前置コンピュータ１８！と１８ｂの両方に送信可能である。

単純化のために図示されてないが、当然のことながら、レーザやＬＥＤ光源が各 送信器（たとえば、送信器３８こと３８ｂ）と光ファイバーの間に挿入されてい る。同様に、光検出器も各受信器（たとえば、４０！と４０ｂ）とその光ファイ バーの間にも挿入されている。たとえば、こうした光変換器は、１対のＡＴ＆Ｔ 　０ＤＬ２００シリーズ変換器から構成できる。速度、低い誤り率および安全保 守の点で光フアイバーケーブルは同軸ケーブルのような媒体より好ましいが、他 の送信媒体もアプリケーションによっては利用できることを言うまでもない。

本実施例では、ＩＦＳとＩＦＱの送信器と受信器は、トライクイント・セミコン ダクタ社（カリフォルニア州すンタクララ、オウエンス・ストリート　２３０Ｇ 　）製のｒ　Ｇａｘｃｌｌｅ　Ｊ　ＧＡ９［１１１送信器とＧＡ９０１２受信器 などの高性能ガリウム砒素チップセットから構成されるのが好ましい。

こうした特定の送信器と受信器により２００メガビット／秒を越えるデータ転送 率が可能になる。こうした送信器と受信器は、４０ビツト幅の並列バスを利用し ている。

このバスは、ＦＤＤＩ基準４　Ｂ１５　Ｂ符号化方式によりデータを５０ボーワ ードに符号化する。この符号化方式では、４ビツトデータニブルが５ボ一コード 記号に変換される。したがって、４　Ｂ１５　Ｂ符号化方式により１０個の４ビ ツトデータニブルから１０個の５ボ一記号を作成して、データフレームを構成す る。ＧＡ９０１１送信器はさらに直列流を非ゼロ復帰ｒＮＲＺＪ書式から非ゼロ 復帰逆転ｒＮＲＺＩＪ書式に変換する。これによりデータおよびクロック信号が 単一波形に統合される。ＮＲＺｌ波形とは、ビット時間フレーム内で論理１で極 性が変わり、論理Ｏで極性が維持されるものである。これらの論理１とＯはボー と呼ばれ、５ボーで１記号となる。

たとえば、ｒ００００Ｊ４ビット２進入力はｒｌ　１１１０」５ボー２進出力に 変換され、ｒｌｏ１１Ｊ４ビット２進入力はｒｌｏｉｌｌＪ５ボー２進記号出力 に変換される。

４　Ｂ１５　Ｂ符号化方式およびＮＲＺＩ書式化方式を統合して使用すると、光 フアイバーケーブル上の高速データ送信の信頼性を実質的に高めることになる。

ＧＡ９０１２受信器にはクロックおよびデータ回復（たとえば、ＮＲＺ　Ｉ対Ｎ ＲＺ変換）が組み込まれており、さらに到来する５Ｂ記号を妥当であるかどうか 監視する。これに関して、４　Ｂ１５　Ｂ符号化方式により多くの無効記号がつ くられるが、こうした無効記号はＧＡ９０１２受信器で検査可能である。光フア イバー結合上にノイズまたはジターにより１ボーまたは複数ボーが不本意な値に 変わる場合もあるので、無効記号の検出により送信エラーの検出もれが減る。

潜在的なエラーからの保護するための追加される層として、ＩＦＳ回路２８から のデータ送信が完全なデータフレームとして形成される。これらのデータフレー ムは、転送するデータ（すなわち、４０ビツト入カデータフレーム）、１６ビツ ト目標アドレスフイールド、４ビ・ソト制御コードフィールドおよび４ビツトエ ラー検出コードフイールドから構成される。これらの完全なデータフレームは光 フアイバーリンク上で少なくとも１同期フレーム分互いから分離するのが好まし い。潜在的な物理リンクエラーにはバーストまたはクラスタリング特性があるの で、エラーコードは最高４つの連続するビットエラーを検出できなけらばならな い。これに関しては、水平冗長検査ｒＬＲｃＪコードを利用して、崩壊している かもしれない以後の処理動作から隠れたエラーをみつけることができる。この種 のエラーコードは「水平パリティ検査」とも呼ばれる。ＬＲＣコードでは、パリ ティピットから構成された４ビツトニブルが生成され、以下に示すように、所定 の数のデータニブルが符号化データ流に挿入される。

ｂ４　ｂ３　ｂ２　ｂｌ データニブル１　ｘ　ｘ　ｘ　ｘ データニブル２　ｘ　ｘ　ｘ　ｘ データニブル３　ｘ　ｘ　ｘ　ｘ データニブル８　ＸＸＸＸ データニブル９　ＸＸＸＸ データニブル１０　ｐ４　ｐ３　ｐ２　ｐｉただし、ｐｉ＝ｂｉｌ　Ｘｏｒ　ｂ ｌ２　Ｘｏｒ、、、、、。

Ｘｏｒ　ｂｌ９、ｉ＝ビット位置工ないし４である。したがって、このパリティ チェック文字のｉ番目のビットは、偶数パリティ状態下でデータニブル１な−１ し９のｉ番目の情報ビット位置を検査する。ＬＲＣエラー検査、４　Ｂ１５　Ｂ 符号化およびＮＺＲＩ変換の組合せにより、前置通信システム１０はＩＥ−１２ の目標ボーエラー率ｒＢＥＲＪを得ることができる。巡回冗長検査ｒｃＲｃＪコ ードは、ＬＲＣコードの代わりに利用できるが、ＣＲＣコードは一層複雑になる ので、ＩＦＱとＩＦＳ回路は一層複雑になる。さらに、ＬＲＣコード化方式を使 うと一層用意に、ＩＦＳとＩＦＱ間の２型光ファイバーチャンネル信号送信が可 能になり、Ｇａｚｅｌｌｅ送信器３８！と３８ｂおよび受信器４０１と４０ｂに 固有な同期面での特色が、ＬＲＣ準拠プロトコルをフレーム化するのに使用する ことができる。

ＩＦＱ回路３０は、前置コンピュータ１８へのデータポンプを実行するマイクロ プロセッサ４２（たとえば、Ｉｎｔｅｌ　８０１８チツプ）を備えている。マイ クロプロセッサ４２は、ＩＦＱ／ＩＦＳプロトコル制御全体を担当し、プロセス 制御コンピュータ１２１と１２ｂからネットワーク２０上の目標にデータを中継 し、さらにはＩＦＳおよびＩＦＱ回路への書込み活動の統合性の制御をも担当す る。たとえば、マイクロプロセッサ４２は、利用可能な全変数（入力／出力値、 アラーム、イベントなど）が部分的に望まれるのなら、ＩＦＳ回路２８の転送マ ・ツブ３７をプログラム化するのに使用できるので、２重ボートデータメモリ２ ２中のデータの特定の部分集合を収集して前置コンピュータ１８に送る。このよ うに、転送マツプ３７の実際の内容は、特定のプロセス制御アプリケーションに 依存する場合がある。

ＩＦＱ回路３０とＩＦ５２８回路間のすべての信号送信は、ＩＦＱ回路マイクロ プロセッサの制御下にある。

これに関しては、ＩＦＱ回路３０とＩＦＳ回路２８間のデータ送信には３種類の ものがある。「ロード転送マツプ」、「送信コマンドメツセージ」および「受信 データ」である。ロード転送マツプ送信では、ＩＦＱ回路３０は、ＩＦＳ回路か らのデータメモリバーストをよける特定の可変アドレスを用いてＩＦＳ回路２８ の転送マツプ３７をロードする。受信データ転送では、ＩＦＳ回路２８は２重ポ ートデータメモリ２２からの要求されたメモリのセグメントを戻す。

コマンドメツセージ送信はＩＦＳ回路２８への書込みロック要求で始まる。到来 バッファが空だと仮定すると、ＩＦＳ回路２８は２重ポートデータメモリ２２の メールボックス部２６に書込みロックを表明して、肯定応答をＩＦＱ回路３０に 戻す。次いで、ＩＦＱ回路３０はそのメツセージを送信するのだが、その場合に はそのメツセージが完全に記憶され好ましくはプロセス制御コンピュータ１２に より読み取られるまで他の装置はメールボックス部２６に書き込むことはできな いという保証が付いている。しかし、透過型インターフェース回路１６に接続さ れている外部の構成装置の１つにより通信の流れが確実に妨げられないようにす るため書込みロックには時間制限が課せられている。当然ことながら、データバ ーストがＩＦＳ回路２８から受け取られている時にはメツセージは送信されない 。

データ送信保護の他の手段として、メツセージが正確に送信され記憶されたこと を確認するために、ＩＦＱ回路３０の指令により、２重ポートデータメモリ２２ のメールボックス部２６に送信され記憶されたメツセージをＩＦＳ回路２８に読 み戻させることができる。ＩＦＱ回路３０がそのメツセージが正確に受信され記 憶されたと判断すると、ＩＦＱ回路はフラグを立てて、プロセス制御コンピュー タ１２に合図を送り、新しいメツセージを拾う。このデータ検査が失敗すると、 メツセージ送信プロセス全体が繰り返される。

ＩＦＱ回路３０は、プロセスデータバッファ４４も備えている。これは単純化さ れて第１図にブロックとして示しである。しかし、プロセスデータバッファ４４ は、プロセス制御コンピュータ１２１と１２ｂのそれぞれに対するデータ表を記 憶するのに十分な記憶容量をもつ必要がある（たとえば、２６４１４４バイト） 。これらのデータ表のそれぞれは、５ＤＡＡとＤＳＳデータ送信を含むことにな る。さらに、ＤＭＡバッファ（図示せず）を回路３０に備えることもできる。こ れは受信中のデータの柔軟な処理を可能にする。このことに関して、ＩＦＳ回路 ２８とＩＦＱ回路３０は、ＩＦＱ回路３０と前置コンピュータ１８のＱバス間の 双方向直接メモリアクセスｒＤＭＡＪ転送を容易にするために構成されたことに 注意すべきである。この様にして、前置コンピュータ１８のＣＰＵ４５は、ＩＦ Ｑ回路３０との間のデータ転送の処理にほとんど時間をさく必要はない。したが って、ＤＭＡバッファは、プロセスデータバッファ４４から前置コンピュータ１ ８のＱバス上の適切なメモリへのデータブロック（たとえば、同時に８にバイト ）のＤＭＡ転送を実行するのにパケット集団領域として使用するのが好ましい。

Ｄ　Ｍ　Ａ転送を用いると、前置通信システム１０の機能も拡張されて、プロセ ス制御コンピュータ１２！と１２ｂからネットワーク上の１つまたは複数のコン ピュータへのリアルタイムデータが利用可能になる。具体的には、前置通信シス テム１０は、１秒単位内でプロセス制御コンピュータ１２ａ　と１２ｂからの前 リンクおよび後調停データに関するネットワーク照合を要求し、受信し、答える ように設計されている。たとえば、本実施例では、プロセス制御コンピュータ１ ２！と１２ｂはそれぞれ１秒プログラムサイクルで順序データ安定ストローブ［ ５ＤＤＳ］信号を発行する。これにより、前リンク動的アナログ／ディジタル入 力データの約１０２４（１６ビツト）ワードが安定し２重ポートデータメモリ２ ２で利用できる。この特定のデータ集合は前リンクデータと呼ばれるが、それは このデータが主リンク１４上のプロセス制御コンピュータ１２ａと１２ｂの間で はまだ調停されてないからである。その後、同じ１秒プログラムサイクルで、プ ロセス制御コンピュータ１２！と１２ｂはそれぞれデータ安定ストロ一部ｒＤＤ ＳＪを発行する。これは前調停入出力データの全セットが安定し２重ポートデー タメモリ２２で利用可能になることを示している。このデータセットは後調停デ ータと呼ばれる。これは入力値がプログラムサイクルのこの時点までに調停また は解決されるからである。本実施例では、この後調停データセットは入出力値（ および２重ポートデータメモリ２２に記憶された他の変数）を含んでいるので、 最高６５５３６（１６ビツト）ワードから構成される。

プロセス制御コンピュータ１２ａと１２ｂのプログラムサイクルの重要な機能の １つにすぐ前のプログラムサイクルで獲得された後調停入力データから出力値の 判定を下すことがあることにも注意すべきである。したがって、後調停データセ ットには現プログラムサイクルからの調停入力値と直前のプログラムサイクルか らの出力値が含まれることが理解されるであろう。

さらに重要なのは、前リンクおよび後調務データセットをコピーする機能は、プ ロセス制御コンピュータ１２厘と１２ｂの動作を遅延させるので認められていな いことである。すなわち、たとえば、前置通信システム１０は、プロセス制御コ ンピュータ１２！と１２ｂが調停プロセスを介してこうしたデータ値の１つまた は複数を変更しなければならなくなる前に前リンクデータ集合のコピーを獲得で きるほど十分に速く動作する必要がある。

したがって、本実施例の状況において、前置通信システム１０は、データの安定 性を確保するために５ＤＳＳ信号が最初に表明された時から１０ミリ秒内で前リ ンクデータを獲得できなければならない。同様に、前置通信システム１０は、Ｄ ＳＳ信号が最初に表明された時から５０ミリ秒内に後調停データセットを確保で きなければならない。この点に関して、こうしたデータ集合それぞれは各前置コ ンピュータ１８ａまたは１８ｈによりプロセス制御コンピュータ１２！と１２ｂ の両方により個別に獲得される必要がある。さらに、前置コンピュータ１８１と １８ｂのそれぞれは、５ＤＳＳとＤＳＳデータ獲得ウィンドウ外の時間中にプロ セス制御コンピュータ１２ａと１２ｂの一方または両方にメツセージを送ること ができなければならない。

任意のデータ転送のブロックネックなしに前置通信システムが５ＤＳＳとＤＳＳ データ集合をさらに容易に確保でき、受信中のデータセットを区分して時系列整 合させるために、各前置コンピュータ１８！または１８ｂは各プロセス制御コン ピュータ１２！または１２ｂに対して少なくとも３つの反射型バッファを備えて いる。これらの論理的に分れた反射型バッファまたはシャドウメモリはそれぞれ 前置コンピュータ１８の同じメモリチップまたはチップの組に置かれる。第１図 に示すように、前置コンピュータ１８！に含まれた一組の反射型バッファのセッ トは通常、左側のプロセス制御コンピュータ１２為のゼロ（０）バッファｒＺＬ Ｊ　４８１　、右側のプロセス制御コンピュータ１２ｂのゼロバッファｒＺＲＪ ４８ａ、左側のプロセス制御コンピュータ′、２ｂのワン（１）バッファｒＯＬ Ｊ、右側のプロセス制御コンピュータのワン（１）バッファｒＯＲＪ、左側のプ ロセス制御コンピュータのツー（２）バッファ「ＴＬ」、および右側のプロセス 制御コンピュータのツー（２）バッファｒＴ　ＲＪから構成される。さらに、左 側プロセス制御コンピュータ１２！のゼロ（０）バッファ　ｒＺＬＪ　４６ｂと 右側プロセス制御コンピュータ１２ｂのゼロ（０）バッファｒＺＲＪなどの反射 型バッファの対応するセットが前置コンピュータ１８ｂに含まれている。

ＩＦＱ回路３０はＤＭＡデータ転送により「ラウントロピン」方式で左右のバッ ファに書き込む。言い換えれば、ＩＦＱ回路３０は、左プロセス制御コンピュー タ１２！からの特定のプロセス制御サイクルの前リンクおよび後調停データをゼ ロ（０）バッファに入力することになる。次いで、次のプロセス制御サイクルの 前リンクおよび後調停データを左プロセス制御コンピュータ１２！の反射型メモ リバッファはそれぞれ個別に追跡されるのから受け取ると、ＩＦＱ回路はワン（ １）バッファに増分してこのデータを記憶する。同様に、第３のプロセス制御サ イクルの前リンクおよび後調停データが左プロセス制御コンピュータ１２！から 受け取られると、ＩＦＱ回路３０はツー（２）バッファに向かい、このデータを 記憶する。次いで、左プロセス制御コンピュータ１２１から時系列上４番目のプ ロセス制御サイクルの前リンクおよび後調停データが記憶されると、ＩＦＱ回路 ３０はデータ記憶のために元に戻りゼロ（０）バッファ４６１をアドレス指定す る。当然、ＩＦＱ回路３０は、同じラウントロピン順列を利用して、右プロセス 制御コンピュータ１２ｂに用いられる３つの反射型バッファ４８１．５２！と５ ６１に個別に前リンクおよび後調停データを転送する。

図示のために、第１図は、左プロセス制御コンピュータ１２！の３つの反射型メ モリバッファ　（４６ｓ　、５０ａおよび５４２）および右プロセス制御コンピ ュータ１２ｂの３つの反射型メモリバッファ（４８ｉ　ｓ　５２　！および５６ ａ）を示している。しかし、５ＤＳＳおよびＤＳＳデータ転送が独立ＤＭＡイベ ントとして処理されるので、反射型メモリバッファは、これらのイベントそれぞ れに個別の反射型メモリバッファを含むのが好ましい。

したがって、総計１２個の反射型メモリバッファが前置コンピュータ１８に含ま れているのが好ましい。これら量系はかなり分離される。左右の５ＤＳＳまたは ＤＳＳで、こうしたバッファの順序づけは以下に示す順列に必ずしも従う必要は ない。

秒Ｎ　（２ＥＥＲＯ−ＳＤＳＳ−Ｌ　２ＥＲＱ−ＤＳＳ−Ｌ　ＸＥＲＯ−３ＤＤ Ｓ−Ｒ２ＥＲＯ−ＤＳＳ−Ｒ） 秒Ｎ　＋　１　（ＯＮＥ−５ＤＳＳ−Ｌ　０ＮＥ−ＤＳＳ−Ｌ　０ＮＥ−３ＤＤ Ｓ−Ｒ０ＮＥ−ＤＳＳ−Ｒ） 秒Ｎ　＋　２　（ＩＴＷＯ−３ＤＳＳ−Ｌ　ＴＷＯ−ＤＳＳ−Ｌ　ＴＷＯ−３Ｄ ＤＳ−ＲＴＷＯ−ＤＳＳ−Ｒ） さらに、これらのバッファの順序づけは、以下に示すような他の順列でも遂行で きる。

秒Ｎ　（ＯＮＥ−５ＤＳＳ−Ｌ　ＴＷＯ−ＤＳＳ−Ｌ　ＸＥＲＯ−ＳＤＤＳ−Ｒ ０ＮＥ−ＤＳＳ−Ｒ秒Ｎ　＋　１　（ＴＷＯ−ＳＤＳＳ−Ｌ　ＺＥＲＯ−ＤＳＳ −Ｌ　０ＮＥ−ＳＤＤＳ−ＲＴＷＯ−ＤＳＳ−Ｒ） 秒Ｎ　＋　２　（２ＥＲＯ−３ＤｓＳ−Ｌ　０ＮＥ−ＤＳＳ−Ｌ　ＴＷＯ−８Ｄ ＤＳ−ＲＩＥＲＯ−ＤＳＳ−Ｒ） 重要なことは、左右の反射型バッファ（たとえば、バッファ４６ａと４８ａ）は 同時にデータが満たされることはないということである。というのは、ドッグモ ードのプロセス制御コンピュータのプログラム時間系は所定の時間分（たとえば 、２０マイクロ秒ないし２０ミリ秒フォックスモードのプロセス制御コンピュー タのプログラム時間系より遅れる。しかし、上述のように、主リンク１４を介す る通信が不可能である場合にはこうした時信号がほぼ同時に表明されるときでさ え、この情報をＩＦＱ回路３０に転送して、次いで適切な反射型メモリに送るた めに必ず遅延が発生し、その結果こうした事象間の時間はプロセス制御コンピュ ータとＩＦＳ回路ハードウェアによるものより前置コンピュータ１８のアプリケ ーションソフトウェアによる方がずれが広（なる。それにもかかわらず、最終的 にコンピュータネットワーク２０に利用可能となる複数のデータ集合が同じプロ グラムサイクル（たとえば、１秒）におけるプロセス制御コンピュータ１２ｇ　 と１２ｂからのデータを表していること）　を保証するのは前置コンピュータ１ ８の責任である。この点に関しては、前置コンピュータ１８のアプリケーション ソフトウェアは、ｒＭＩ同期」と呼ばれる処理手順を含んでいる。この処理手順 は、特定の処理制御サイクルの前リンクと後調停データの「スナップショット」 を代表する一組のバッファに個別のデータ転送事象を区分けする。

Ｍｌ同期処理手順は、１組の反射型メモリバッファ管理構造（ＭＩ　ＲＭＢＭＳ ）を使用して到来するデータ）　転送の状態を追跡する。ＩＦＱ回路ドライバソ フトウェアがＤＭＡ転送が完了したことをＭｌ同期処理手順に伝えると、Ｍ！同 期は適切なＭＩ　ＲＭＢＭＳデータ構造に必要な情報を記録する。ＭＩ同期は組 中のバッファすベてが情報を受信して記憶した（すなわち、左５ＤＳＳ。

右５ＤＳＳ、左ＤＳＳおよび右ＤＳＳ）と判定するとき、新しく受信されたデー タを示すポインタにより全データ構造（ＭＩ　ＲＭ　ＤＡＴＡ）が更新される。

これらのポインタは、ＭＩ　ＲＭＢＭＳデータ構造からコピーされたものである 。したがって、ＭＩ　ＲＭ　ＤＡＴＡには現在利用可能な「完全な」すなわち時 間整合された一組の反射型メモリバッファを示すポインタが含まれている。前置 コンピュータ１２がラウントロピン処理手順にある場合では、最新の時間整合さ れた一組の反射型メモリバッファは、現時間幅ではツー（ｔｗｏ）バッファ５４ ａと５６１、次の時間幅ではワン（１）バッファ５０１と５２！、その後の時間 幅ではゼロ（０）バッファ４８！と４８１となる。プロセス制御コンピュータ１ ２！と１２ｂの１つからの５ＤＳＤまたはＤＳＳデータはＩＦＱ回路により受信 されることがない場合、Ｍ■同期は、ＭＩ　ＲＭ　ＤＡＴＡポインタを更新する ために適切なタイムアウト（たとえば、７００ミリ秒）を使用して時間整合を維 持する。単数又は複数のどのバッファが利用不可能かについて指示が与えられる 。

ＭＩ　ＲＭ　ＤＡＴＡ内のバッファポインタは相互排他性ソマフォすなわち「ｍ ｕｔｅｘＪにより保護される。

ＭＩ同期は、ＭＩ　ＲＭ　ＤＡＴＡを示す新しいポインタをコピーする前にこの ｍ　ｕ　ｔ　ｅ　Ｘを要求して、そのコピーが完了した直後にそれを解放する。

ネットワーク上の装置が反射型メモリデータにアクセスする必要があるときには 、ｍｕｔｅｘを要求して、構内データ構造を示すバッファポインタをコピーし、 ｍｕｔｅｘを解放することによりＭＩ　ＲＭ　ＤＡＴＡポインタがコピーされる 。データを照合または読み取るアプリケーションがポインタのコピーを使用する ので、ｍｕｔｅｘの競合は最小になり、ＭＩ同期は、次の１組のデータすべてが 記憶されるとすぐに新しいポインタによりＭＩ　ＲＭ　ＤＡＴＡを更新可能にな る。この点に関しては、ＭＩ同期が新しいポインタによりＭＩ　ＲＭ　ＤＡＴＡ を更新するときにこの方法を使うと読取りアプリケーションが同じ一組の反射型 メモリバッファにアクセス可能であることに注意すべきである。読取りアプリケ ーションが最新の時間整合された１組の反射型メモリバッファにアクセスするの で、当然のことながら、読取りアプリケーションは１組の反射型メモリバッファ （たとえば、ツー（２）バッファ５４ａと５６りにアクセスでき、以後の読取り アプリケーションは、Ｍｌ同期が新しいポインタでＭＩ　ＲＭ　ＤＡＴＡを更新 する度に、他の組の反射型メモリバッファ（たとえば、ワン（１）バッファ５０ １と５２りにアクセスできる。

さらに理解すべきことは、反射型メモリにアクセスするアプリケーションは、参 照されたバッファに新しい到来データに書き込まれる前に、完了可能となること である。前置通信システム１０の１実施例では、反射型メモリのデータを必要と するアプリケーションは１秒より短い時間で完了可能となるような高い実行優先 順位に指定されている。しかし、前置コンピュータ１８を複数組の追加バッファ で構成して、完了までにさらに長い時間がかかるアプリケーションを開発するこ ともできる。

上記から理解されるように、前置コンピュータ１８！と１８ｂを使用すると、通 信システム１０は特定のデータ要求に答えるのに必要なインテリジェンスを備え ることができる。さらに、前置コンピュータ１８！と１８ｂを使用すると、プロ セス制御フンピユータ１２！と１２ｂが実際にリアルタイムデータを継続的に送 っているかどうかを迅速に検査可能となる。その上、プロセス制御コンピュータ １２ａと１２ｂからの読取りまたは書込み要求を要求を送ったコンピュータネッ トワーク２０上の構成装置に関して許諾すべきかどうかについて決定を下すよう 前置コンピュータ１８１と１８ｂをプログラムしてもよい。以下でより詳細に議 論されるが、前置コンピュータ１８１と１８ｂは、そうした決定を容易にするた めに自身のメモリ中に安全保守テーブルと２つの任意のテーブルを備えている。

安全保守テーブルは、通信がコンピュータネットワーク２０上の様々な構成装置 で可能かどうかを判定するのに使用される。２つの任意のテーブルは、２重ボー トデータメモリ２２１と２２ｂの特定の位置に影響を及ぼす可能性のあるコンピ ュータネットワーク上のある構成装置からの書込みコマンドメツセージを評価す るのに使用される。

前置コンピュータ１８ｚと１８ｂは、相関バッファ５８ａと６０ａのような少な くとも１組の反射型バッファを追加利用することもできる。ＤＳＳデータセット には現プログラムサイクルからの後調停入力値データと直前のプログラムサイク ルの後調停入力に基づいた出力値が含まれているということを考えると、１つの データテーブルにおいて、特定のプログラムサイクルの出力値を、これらの出力 値を決定するのに使用された入力値に関連づけるのが望ましい。したがって、前 置コンピュータ１８ａは相関バッファ５８！と６０！を利用して、現ＤＳＳデー タ集合から後調停入力値のコピーを記憶して、次のＤＳＳデータ集合が整合され るのを待ち、同じ相関バッファにおける以後のデータ集合からの出力値のコピー を記憶する。この点に関しては、当然のことながら、このコピー処理手順は時系 列整合された反射型メモリバッファの組の最新のものから実行される。すなわち 、たとえば、第２Ａ図は時系列整合バッファのデータテーブルの概略を例示して おり、第２Ｂ図は相関バッフｙ　ｒｃＬＪにおける同様なデータテーブルを例示 している。すくなくとも、前置コンピュータ１８！と１８ｂの時系列整合機能は 、プロセス制御コンピュータ１２Ｍと１２ｂの動作と制御中の実際のプロセスの 両方を分析する強力な診断ツールを備えていることを理解すべきである。たとえ ば、入力データ値に関して実行された調停は、プロセス制御コンピュータ１２！ と１２ｂの両方に対して分析可能であるが、それは前リンクおよび後調停入力デ ータ値が時系列整合されて、前置コンピュータ１８Ｉと１８ｂに対して利用可能 になっているからである。こうした時系列整合の議論をさらに深めるには、Ａ１ １ｂｅ＋７その他により本願と同日付けで出願された米国特許出願策号の「イン テリジェントプロセス制御通信システムおよび方法」を参照されたい。この出願 は参考のため本明細書に組み込まれている。

第１図に示しであるコンピュータネットワーク２０は、直接制御セグメント、プ ロセス情報セグメントを備え、さらに広域ネットワークｒＷＡＮＪに接続されて いる。

こうしたネットワークセグメントはそれぞれ、イーサネット（Ｈｈｅ＋ｎｅｔ） 従属媒体およびＩＥＥＥ８０２．３互換性通信プロトコルを利用するのが好まし い。直接制御セグメントは２重プラント領域ネットワークｒＰＡＮ−１」とｒＰ ＡＮ−２Ｊから構成され、プロセス情報セグメントはプラント領域ネットワーク 「ＰＡＮ−３Ｊから構成される。少なくとも１つのブリッジ６２がＰＡＮ−１と ＰＡＮ−２のセグメントを相互接続するのに使用される。さらに、少なくとも１ つのブリッジ６４がＰＡＮ−２セグメントとＰＡＮ−３セグメントを相互接続す るのに使用される。ＰＡＮ−１セグメントとＰＡＮ−３セグメントを相互接続す るのに他のブリッジが使用される。

１つまたは複数のブリッジ６６は、ＰＡＮ−３セグメントとＷＡＮを相互接続す るのにも使用される。

注意すべきは、前置コンピュータ１８ＭはＰＡＮ−１セグメントに接続されてい るが、前置コンピュータ１８ｂはＰＡＮ−２セグメントに接続されている。単一 プラント領域ネットワークの場合、本実施例の２重プラント領域ネットワークを 使用すると、通信および冗長性において単一プラント領域ネットワークより有益 である。この点に関しては、ブリッジは通常、イーサネットノ＼−ドウヱアアド レスにより通信を制限して、ネットワークセグメントそれぞれにおける通信量を 削減する。たとえば、安全保守サーバー６８とオペレータステーション７０の間 の通信はＰＡＮ−１セグメントへのブリッジ６２を介しては行なわれない。ブリ ッジ６２ないし６６は、ネットワークセグメント間の物理的な区分層も備えてい るので、ネットワークセグメントの１つで障害が発生しても、その障害は他のネ ットワークセグメントに悪影響を及ぼすことはなくなる。さらに、１つまたは複 数のブリッジが、特定のデータ通信プロトコル識別に基づいて通信を制限して、 ネットワーク２０全体の安全保守を高める。

たとえば、安全保守サーバー６８により使用されたイーサネット従属プロトコル を利用する、ＰＡＮ−２とＰＡＮ−３セグメントの一方から他方へのメツセージ 送信を防ぐためにブリッジ６４を使用することもできる。同様に、ブリッジ６４ は、２重ポートデータメモリのメールボックス部２６に情報を書き込むのに使用 されたイーサネット従属プロトコルを利用するメツセージの送信を防ぐのにも使 用できる。

コンピュータネットワーク２０はさらにオペレータワークステーション７０や７ ２のような複数のオペレータワークステーションも含んでいる。第１図に示すよ うに、これらのオペレータワークステーションは異なるネットワークセグメント 上に配置されており、その数は特定のプロセス制御アプリケーションに依存して いる。１つまたは複数のオペレータワークステーションは、前置コンピュータ１ ８＆と１８ｂから受信されたデータを見たり分析するのに使用できる。さらに、 これらのオペレータワークステーションは、許可された制御室のオペレータによ り使用されて、前置コンピュータ１８！と１８ｂ１こ適切な命令を送信する。前 置コンピュータ１８１と１８ｂはコマンドメツセージをプロセス制御コンピュー タ１２！と１２ｂに送ることになる。

ネットワーク２０はさらに様々な機能を実行するプロセス情報コンピュータ７４ も備えている。たとえば、プロセス情報コンピュータは、前置コンピュータ１２ １と１２ｂから受信されたプロセスデータの履歴を記憶するのに使用される。さ らに、プロセス情報コンピュータ７４は、前置コンピュータ１８１と１８ｂに常 駐しているコンピュータプログラムならびにプロセス制御コンピュータ１２１と １２ｂに常駐しているプログラムを変更するのに使用されるコンパイラを記憶す るのに使用することができる。プロセス情報コンピュータ７４は、オペレーティ ングプログラム改訂版をプロセス制御コンピュータ１２為と１２ｂに転送するロ ーディング支援ソフトウェアも含む場合がある。ネットワークはさらに制御室デ ータマネージャコンピュータ７６も含んでおり、このコンピュータ７６は、ネッ トワークに接続されている複数のコンピュータ間で様々なファイルサービングお よびトラッキング機能を実行するのに使用可能である。

エキスパートダウンロードアシスタント７８は、前置コンピュータ１８！と１８ ｂのプログラム改訂を容易にするために置かれている。これに対して、プロセス 情報コンピュータ７４のローディング支援ソフトウェアは、前ｉ１コンピュータ １８！と１８ｂの少なくとも一方ト２重ポートデータメモリ２２のメールボック ス部２６を介してプロセス制御コンピュータ１２！と１２ｂの１つに新しいコン ピュータプログラムをダウンロードするのに使用する。ダウンロードアシスタン ト７８がそれ自体のネットワークコンピュータに常駐している場合、ダウンロー ドアシスタントは、プロセス情報システムコンピュータ７４などの適切なネット ワークコンピュータにも常駐できる。

ローディングアシスタントは、改訂されたプログラムを記憶したプロセス制御コ ンピュータを動作させて、その改訂プログラムのリアルタイム検査を実行するモ ードで動作を開始するのにも使用できる。この動作モードでは、プロセス制御コ ンピュータは、入力データを受け取り出力判断を下すが、これらの出力判断は、 フィールド計測装置には送信されない。これによりプラント技術者は改訂を評価 でき、フォックスやドッグモードなど能動型動作モードを取るようにプロセス制 御コンピュータに命令するまえに必要ならさらに改訂すらできる。

プロセス制御コンピュータ１２！と１２ｂがそれら独自の製造制御動作を実行す る方式がプログラム改訂を介して変更できると判断されると、プロセス制御コン ピュータ１２１と１２ｂの改訂プログラムはソースプログラム言語から実行可能 ファイルまたは動的に連動したファイル集合にコンパイルされることになる。本 実施例では、固有の識別子がコンパイル処理手順の間に実行可能コードに埋め込 まれている。この識別子は、プロセス制御コンピュータ１２！と１２ｂのソフト ウェア改訂バージョンを表しているか（または関連している）。プログラムバー ジョン識別子は、プロセス制御コンピュータ１２Ｍと１２ｂにより実行中のプロ グラムのバージョンとこうしたプロセス制御コンピュータへの書込み命令メツセ ージを評価するのに使用される前置コンピュータ１８１と１８ｂのファイルまた はテーブルの間の適切な整合性を確保するのに使用される。

上記のように、前置コンピュータ１８！と１８ｂはそれぞれ、左プロセス制御コ ンピュータ１２！のｒＰＬＪデープル８０！と右プロセス制御コンピュータ１２ ｂのｒＰＲＪテーブル８２！のような２つの任意のテーブルを備えている。こう したテーブルは前置コンピュータ１８！と１８ｂによりコンピュータネットワー ク２０上の任意の構成装置が２重ボートデータメモリ２２！と２２ｂの特定の位 置の内容の変更が認められるかどうかを判定するのに使用される。しかし、許可 テーブルのデータ構造は、書込み命令メツセージにより変更されることもあるプ ロセス制御コンピュータ１２！と１２ｂの任意のメモリ位置または領域の内容を 保護するよう構成可能である。

前置コンピュータ１８が、オペレータワークステーション７０ないし７２の１つ からの書込み命令メツセージなど書込み命令プロトコルを使用するネットワーク 上の構成装置からメツセージを受け取ると、ｒ　ｄｉｔｘ　ｗｒｉｔ＠ｃｈｅｃ ｋ　Ｊサブルーチンが前置コンピュータのＣＰＵにより呼び出される。「ｄｘｔ ｚ　ｗｒｉｔ　ｃｈｅｃｋ　Ｊルーチンは、書込み命令メツセージで識別された 様々な要素と変更が許諾または否定される許可テーブルの様々な要素を比較する 。たとえば、前置コンピュータ１８＆が、左プロセス制御コンピュータ１２！に より実行中のプログラムが使用中のアナログ利得ｒＡＧＪ係数の増加または減少 をめる書込み命令メツセージを受け取る場合、前置コンピュータ１８ａは、許可 テーブル８０にの特定のＡＧ係数に対する要素ワードを探し、１ビツトが設定さ れてこの係数の変更を許可するかどうかを判定する。許可が否定されると、前置 コンピュータ１８亀は書込みコマンドメツセージをプロセス制御コンピュータ１ ２１に送信しない。代わりに、前置コンピュータ１８！は返答メツセージを、書 込み命令メツセージを発行したコンピュータネットワーク２０上の上位構成装置 に送り、書込みエラーが発生したことをその上位構成装置に伝えるのが好ましい 。

上記から理解されるように、前置コンピュータ１８１と１８ｂに記憶されたＰＬ とＰＲ許可テーブルを、プロセス制御コンピュータ１２！と１２ｂのそれぞれに より実行中のプログラムバージョンと調和させなければならない。これらの許可 テーブルのそれぞれが対応するプロセス制御コンピュータ１２！と１２ｂが実行 中のプログラムと十分に照合されることを保証するために、上記のプログラムバ ージョン識別子は、コンパイルされるときに許可テーブルにも埋め込まれる。こ のプログラムバージョン識別子は、検査済みの書込み命令メツセージと共にプロ セス制御コンピュータ１２に送れるので、プロセス制御コンピュータ１２は、命 令された変数の変更がそのプログラムバージョンにふされしいことを確認するこ とができる。

この検査プロセスの安全性を高めるため、許可テーブルからのプログラムバージ ョン識別子は、それが書込み命令メツセージと共に目的のプロセス制御コンピュ ータ１２の透過型インターフェース回路１６のメールボックス部２６に送られる 前に、適切な暗号化アルゴリズムにより変えられるのが好ましい。書込みコマン ドメツセージを受け取るプロセス制御コンピュータ１２は、次いで、このバージ ョン識別子を解読して、その結果をそのプログラムに埋め込まれたプログラムバ ージョン識別子と比較して、それらが一致しているかどうか判定する。一致して いれば、プロセス制御コンピュータ１２は、命令された変数の変更を実行する。

そうでなければ、プロセス制御コンピュータ１２は書込み命令メツセージを捨て て適切なエラーメツセージを前置コンピュータ１８に送ることにより応答する。

ＰＬとＰＲ許可テーブルは、好ましくは、コンピュータネットワーク２０上の特 定の上位構成装置に対して書込み命令許可の判定が下されたデータ構造を備えて いる。

言い換えれば、許可テーブル８０ｉは、オペレータワークステーション７０から は許さないが、オペレータワークステーション７２からは特定の変数の変更を許 可する。

それにもかかわらず、コンピュータネットワーク２ｏ上の上位構成装置での適切 なパスワードを使用すると、適切な許可テーブルの検査を迂回する機能も備えら れている。しかし、この場合、このトランザクションと上位構成装置の識別子（ たとえば、ＣＰＵ識別子）を同定するログが作成され、前置コンピュータ１８に 記憶されている。

注意すべきことは、プロセス制御コンピュータ１２１と１２ｂの個別の許可テー ブルを使用すると、プロセス制御コンピュータの一方が製造プロセスを制御し続 けている間に他方のプログラムダウンロード動作を実行可能であるという点で有 益である。確かに、改訂されたプログラムがプロセス制御コンピュータ１２！　 （と前置コンピュータ１８！にロードされた対応する許可テーブル８０１）に首 尾よく転送された後でさえ、それぞれの許可テーブルを使用すると、前置コンピ ュータ１８！は、プロセス制御コンピュータ１２ｂへの書込み命令メツセージと は異なるプロセス制御コンピュータ１２！への書込み命令メツセージを評価でき る。能動制御モードの異なるプログラムバージョンを備えたプロセス制御コンピ ュータ１２Ｍと１２ｂを走行させるのが望ましくない環境もあるが、他のプロセ ス制御コンピュータが能動制御モードにある場合受動的な動作モードが改訂プロ グラムを備えたプロセス制御コンピュータに使用できる。こうした場合、プラン ト技術者は、最終プログラム検査中にダウンロードアシスタントプログラム７８ を使用して、受動型プロセス制御コンピュータに書込み命令メツセージを発行し 、他のプラント技術者は、同じ前置コンピュータ１８を介して能動プロセス制御 コンピュータに書込みコマンドメツセージを発行する。

安全保守サーバー６８は、ネットワーク２ｏに配置されたコンピュータそれぞれ にネットワークでだれが通信をしているかを伝えるのに使用される。この点に関 しては、安全保守サーバーは、ネットワーク上の有効な構成装置のそれぞれに特 定の安全保守テーブルを記憶する。

これらの安全保守テーブルはそれぞれ、ネットワーク上のコンピュータのうちど のコンピュータが双方向通信を実行しているかを識別する。たとえば、前置コン ピュータ１８Ｍと１８ｂの場合、起動時の基本機能の１つは、安全保守サーバー ６８からそれぞれの安全保守テーブルを確保することである。したがって、第１ 図に示しである安全保守サーバー６８は、前置コンピュータ１８１には安全保守 テーブル「Ｓｌ」を１８６には安全保守テーブル「Ｓ２」を記憶するようになっ ている。安全保守サーバーは上述のＰＬおよびＰＲ許可テーブルを前置コンピュ ータ１８に送るのに使用されるが、好ましくは、新たにコンパイルされた許可テ ーブルがダウンロードアシスタント７８から受け取られる。この点に関しては、 ダウンロードアシスタントがＩＦＳ回路２８用の転送マツプ３７を適切な許可テ ーブルとともに前置コンピュータ１８に送るのに使用するほうが好ましいことに 注意すべきである。

安全保守サーバー６８から前置コンピュータ１８１と１８ｂへの安全保守テーブ ル転送の統合性を保証するために、本実施例ではこうした転送を有効にする方法 が利用されている。本方法によると、前置コンピュータ１８は、安全保守サーバ ー６８が適切な安全保守テーブルを送る先駆けと識別できるように同報通信ネッ トワークメツセージに乱数または偽乱数を埋め込む。安全保守サーバーは、他の 型のネットワークメツセージと共に使用されたものとは異なる安全保守プロトコ ル識別子を利用する肯定メツセージと共にこの要求に応える。重要なのは、この 肯定メツセージには転送状態で前置コンピュータ１８からの乱数が含まれている ことである。この点に関しては、適切な暗号化アルゴリズムが乱数を変更するの に使用でき、その乱数は、許可を受けてない構成装置による解読が困難となるビ ット長からなる（たとえば、３２ビツト）。肯定メツセージを受け取ると、前置 コンピュータ１８は、暗号化プロセスを逆にして乱数を確保するかまたはその元 の乱数を暗号化して送受信された乱数を比較する。これらの乱数が一致している と、前置コンピュータ１８は、肯定メツセージが有効安全保守サーバーから受け とられたと判定して、転送プロセスが進行するようになる。前置コンピュータ１ ８１と１８ｂおよびコンピュータネットワーク２０上の他の構成装置間の通信の 安全保守をさらに高めるために、有効化処理手順を追加するのが望ましい。具体 的には、この追加された有効化処理手順は、前置コンピュータ１８！と１８ｂお よび書込みコマンドメツセージが認識されるネットワーク構成装置間の通信を可 能にするために利用される。この有効化方法によると、前置コンピュータ１８は 周期的に、コントラクトオファ−メツセージを、書込みメツセージ機能を備えて いると認識されているネットワーク２０上の各上位構成装置のイーサネットアド レスに送る。これらのコントラクトオファ−メツセージがそれぞれ乱数または偽 乱数を備えているかまたは他の適切に予測できないメツセージ構成要素が含まれ ている。上位構成装置がそれに対するコントラクトオファ−メツセージを認識す るためには、所定の時間内で（たとえば、２０秒）、この予測不可能なメツセー ジ構成要素の変形バージョンを含むコントラクト受諾メツセージによりそのコン 上ラクトオファ−メツセージに応答しなければならない。この目的のために適切 な暗号化アルゴリズムを利用するなら、安全保守サーバー６８からの安全保守テ ーブルの転送を有効化するのに使用された暗号化アルゴリズムとは異なる暗号化 アルゴリズムを使用するのが望ましい。さらに、こうし、たコントラクトオファ −および受諾メツセージのために安全保守メツセージプロトコルを使用すること もできることに注意すべきである。

前置コンピュータ１８は、次いで、コントラクト受諾メツセージに埋め込まれた 乱数を解読して、安全保守テーブルに含まれていた上位構成装置の特定のイーサ ネットアドレスにおいて、前置コンピュータとこの上位構成装置間で時間の制限 された通信が確立できるかどうかを判定する。この時間制限通信コントラクトに より、前置コンピュータ１８と特定の上位構成装置間の書込みコマンドメツセー ジが信頼にたり特定なものであることが保証される。したがって、たとえば、前 置コンピュータ１８はコントラクトオファ−メツセージを、新しい乱数（たとえ ば、３２ビツト長）を含むオペレータワークステーション７２のイーサネットア ドレスに送る。オペレータワークステーション７２は、この特定の乱数の暗号化 バージョンを備えているコントラクト受諾メツセージにより応答する。次いで、 前置コンピュータ１８は、この目的のためにメモリに記憶されたコントラクトア ルゴリズムキーでこの乱数を解読するかまたは同じ暗号化アルゴリズムを使用し てオファ−および受諾の乱数を比較する。こうした数が一致すれば、前置コンピ ュータ１８１は、所定の時間オペレータワークステーションからの書込み命令メ ツセージを実行する。数が一致しない場合、前置コンピュータ１８！は、その安 全保守テーブルＳ１からのオペレータワークステーション７２のイーサネットア ドレスに対する書込みコマンド許可ビットを不能にして、このオペレータワーク ステーションからの書込みコマンドメツセージを無視するよう指示する。

書込みコマンドメツセージに対して確立された通信コントラクトは、こうした特 定のメツセージの送信の安全保守レベルを高めるために時間を制限されたものと なる。

本実施例では、通信コントラクトは、起動後２０秒内で自動的に終了する。にも かかわらず、書込みコマンドメツセージを送る機能を中断させないようにするた めに、コントラクトオファ−メツセージが前置コンピュータ１８からネットワー ク２０上の適切な上位構成装置のそれぞれに継続性を維持しながら周期的に送信 される。たとえば、２０秒の通信コントラクトで、コントラクトオファ−は約１ ０秒毎の率で送信されるのが好ましい。言い換えれば、１０秒毎に、認識可能な 書込みコマンドメツセージを送信できる上位構成装置それぞれが前置コンピュー タ１８のそれぞれから新しい乱数を受け取ることになる。

上位構成装置が前置コンピュータ１８からのコントラクトオファ−メツセージへ の応答に失敗した場合、前置コンピュータは、時間制限された通信コントラクト の確立または維持を３度試みる。３度試みても応答がない場合、前置コンピュー タ１８は、その安全保守テーブルから上位構成装置のイーサネットアドレスへの 書込みコマンド許可ビットを不能にする。こうした場合、該当する上位構成装置 は、安全保守サーバー６８が前置コンピュータ】８に新しい安全保守テーブルを 送信するまで、前置コンピュータ１８により処理された書込みコマンドメツセー ジを受け取ることができなくなる。

上記から理解されるように、安全保守テーブルの転送を容易にしたり書込みコマ ンドメツセージのための時間制限通信コントラクトを確立するのには乱数だけを 暗号化すればよい。しかし、安全保守テーブル自体または書込みコマンドメツセ ージは適切なアプリケーションでも暗号化されうろことも理解すべきである。そ れにもかかわらず、安全保守メツセージと書込みコマンドメツセージに対する異 なるイーサネットプロトコルの使用、安全保守テーブル転送と書込みコマンド通 信コントラクトに対する異なる暗号化アルゴリズムの使用、書込みコマンド通信 コントラクトの時間の制限、および前置コンピュータ１８のそれぞれの特定の許 可テーブルの使用、それらすべてを組み合わせて、プロセス制御コンピュータ１ ２ａと１２ｂの極めて高度な通信および書込みコマンド安全保守を達成する。さ らに、透過型インターフェース回路１６の監視回路、ＰＬとＰＲ許可テーブルの プログラムバージョン識別子の埋込み、検査された書込みコマンドメツセージが プロセス制御コンピュータ１２！と１２ｂに送信されるときの前置コンピュータ １８＆と１８ｈによるプログラムバージョン識別子の暗号化により保護が強化さ れる。この点に関しては、プログラムバージョン識別子のために前置コンピュー タ１８！と１８ｂに使用された暗号化アルゴリズムは、安全保守テーブル転送用 の暗号化アルゴリズムまたは書込みコマンドメツセージ用の時間制限通信コント ラクトを確立するのに使用される暗号化アルゴリズムとは異なるほうが好ましい ことに注意すべきである。こうした安全保護および検査上の特色のより深い議論 は、ｄｅ　Ｂｔｕｉｊｏその他による本願と同日付けで出願された特許出願番号 箱　号「安全な前置通信システムおよび方法」で行なわれている。この特許出願 は参照のため本明細書に組み込まれている。

第３図を参照すると、透過型インターフェース回路１６の構成図が示されている 。透過型インターフェース回路１６の概略図が第４Ａ図および第４Ｂ図に示しで ある。

透過型インターフェース回路１６は、プロセス制御コンピュータ１２の内部バス 構造１００と外部に向けられた透過ボート１０２の間に置かれている。透過型イ ンターフェース回路１６は、適切なバッファの組を介してバス構造１００に接続 されている。バッファブロック１０４は、２つの８ビツトバッファ回路Ｕ１７と Ｕ１８を備えており、プロセス制御コンピュータ１２上のアドレスバスからアド レス情報を受け取る。同様に、バッファブロック１０６は、２つの８ビツトバッ ファ回路Ｕ６とＵ７を備えており、プロセス制御コンピュータ１７のデータバス からデータ情報を受け取る。

透過型インターフェース回路１６はデータ制御ブロック１０８も備え、ブロック １０８はプロセス制御コンピュータ１２のバス構造１００にも接続されている。

第４Ａ図に示しであるように、データ制御ブロック１０８はプログラム式アレイ 論理ｒＰＡＬＪ回路Ｕ１５（たとえば、ＥＰ５１２）から構成されるのが好まし く、この回路Ｕ１５は、プロセス制御コンピュータ１２からの５ＤＳＳおよびＤ ＳＳ信号を検出するのに使用される。当技術では周知のことだが、ＰＡＬ回路は 、複数の内部ＡＮＤゲートとＯＲゲートが望ましい論理機能を実行できるよう構 成されるようにプログラムできる可融性リンクを備えている。ＰＡＬ回路が論理 機能を実施する比較的低い価格の方式を備えている場合、他の適切な回路装置が このアプリケーションに使用できる。ＰＡＬ制御コンピュータ１２により生成さ れた２つの冗長ストローブ信号、すなわち、ｒＥＸｓＩＪとｒＥＸｓ２Ｊを検出 するのにプログラムされることに注意すべきである。これらの冗長ストローブ信 号の一方または両方は、プロセス制御コンピュータ１２により使用でき、画像情 報の表示用データなど、２重ボートデータメモリ２２に記憶されたデータが安定 していることを示している。

透過型インターフェース回路１６は、さらに２重ポートデータメモリ２２にアク セスするのに使用されるプロセス制御コンピュータ１２から４つの制御信号を受 け取る。これらの信号は、ｒ／ＥＮ　ＤＡＴＡＭＥＭ　Ｊ、ｒ　／ＥＭＲＪ、ｒ Ｒ／ＷＪおよびｒＭ、ＥＭｃＬＫＪである。これらの信号の最初の３つのものは 、プロセス制御コンピュータ１２が２重ボートデータメモリ２２との間でのデー タの読み書きの判断に関する。しかし、ＭＥＬＩＣＬＫは、２重ボートデータメ モリ２２にアクセスするのに利用できるプロセス制御１２のマシンサイクルに時 間を効果的に分割するメモリクロック信号である。ＭＥＭＣＬＫ信号は、第５Ａ 図のタイミング図に示しであるように、５０パーセントのデユーティ−クロック 信号である。このタイミング図に示しである方法に応じて、２重ポートデータメ モリ２２は、ＭＥＭＣＬＫが低レベルのときに内部プロセス制御コンピュータボ ート１００からアクセスできる。次に、ＩＩＥＭＣＬＫが高状態に遷移すると、 ２重ボートデータメモリ２２は外部透過ボート１０２からアクセスされることに なる。Ｍ　Ｅ　Ｍ　Ｃ，Ｌ　Ｋ信号が４００ナノ秒の期間（すなわち、２．５　 ＭＨりを持つように示しであるが、他の適切な期間やデユーティ−サイクルが適 切なアプリケーションで利用可能である。

透過型インターフェース回路１６の透過ボート側では、アドレスおよびデータ情 報の転送を処理する複数個の適切なバッファも備えられている。この点に関して は、バッファブロック１１０には、外部透過ポート１０２からのアドレス情報を 受け取る。２つの８ビツトバッファ回路Ｕ１とＵ２が含まれいる。同様に、バッ ファブロック１１２には、２重ポートデータメモリ２２と透過ボート１０２の間 でデータ情報を送受信する２つの８ビツトバッファ回路Ｕ４とＵ５が備えられて いる。

さらに、透過型インターフェース回路１６には、透過ボート１０２上の複数の外 部の構成装置からのバス要求信号を受け取る調停回路１１４が備えられている。

第４Ｂ図に示しであるように、本実施例には到来するバス要求信号ｒＢＲ１，， ，／ＢＲ４Ｊに対する４つの個別のチャンネル線が備えである。したがって、透 過型インターフェース回路１６は、最高４つの異なる外部の構成装置を透過ボー ｌ−１０２に接続できる。第４Ｂ図に示しである調停回路１１４は、受信された 第１バス要求信号へのバスアクセスを許可する４つの入力非同期バス調停回路Ｕ ９を備えている。この点に関して、特定のバス許可信号ｒＢＧｌ。

、、ＢＧ４　Ｊは、バスを確保した特定の外部の構成装置にチャンネルが開いて いることを伝えるために最終的に生成されることになる。調停回路１１４は、第 ５Ａ図のタイミング図に示しである°バス要求信号ｒ／ＡＮＹ　ＢＲＪを作成す る内部ＡＮＤゲートを備えている。

透過型インターフェース回路１６はさらに透過ボート制御回路１１６を備えてい おり、この回路１１６は２重ポートデータメモリ２２へのアクセスを制御するの に使用される。第４Ａ図および第４Ｂ図に示しである制御回路１１６は、ＰＡＬ 回路Ｕ１６、タイマ回路ＵＩＯ１およびチップＵ８に含まれている複数個の３重 層バッファを備えている。外部プロセス制御コンピュータバス１００へのメモリ アクセスの場合には、ＰＡＬ回路Ｕ１６はチップ選択信号ｒ／ＣＳ　Ｊをバッフ ァ１０４と１０６に送り、外部バスからアドレスおよびデータ情報を捕獲する。

ＰＡＬ回路Ｕ１６は、プロセス制御コンピュータ１２は透過型インターフェース 回路１６のデータバス１１８からのデータをラッチまたは捕獲する必要があると きメモリ読取り許可信号ｒ／Ｂ　ＥＭＲＪをバッファにも送る。この点に関して は、ＰＡＬ回路Ｕ１６がプロセス制御コンピュータ１２のＭＥＭＣＬＫ信号とＣ ＰＵクロック信号ｒＣＰＪの両方に応答する。

外部透過ポート１０２からのメモリアクセスの場合には、ＰＡＬ回路Ｕ１６がイ ネーブル信号ｒｓＰ　ＥＮ−Ｊをバッファ１１０と１１２に送信して、外部バス からアドレスおよびデータ情報をラッチまたは捕獲する。ＰＡＬ回路Ｕ１６は、 さらに、外部の構成装置が透過型インターフェース回路１６のデータバス１１８ からデータをラッチまたは捕獲することが許可されるとメモリ読取り許可信号ｒ 　ＳＷ／ＲＪをバッファ１１２に送信する。ＳＷ／Ｒ信号は、透過ボートバス１ ０２で受け取られて、外部の構成装置からの望ましいデータ流の方向についての 指示を与える。本実施例では、ＳＲ／Ｗ信号は読取りサイクルでは高レベルであ り、書込みサイクルでは低レベルである。ＳＷ／Ｒ信号は、４人の潜在的な外部 ユーザすべてに共通であり、バスを確保している外部ユーザが低レベル／ＢＲ信 号を受け取るまで３層に保持されてべきである。

ＰＡＬ　Ｕ１６は、ＳＷ／ｌｌ信号を検査点監視回路１２０（ＰＡＬ回路　Ｕ１ ３）に送り、書込み動作のために外部の構成装置により選択された２重ポートデ ータメモリ２２のアドレスに基づいて下される評価を開始する。この点に関して 、監視回路１２０は、アドレスがメールボックス部２６の外にあるときは常に、 ２重ボートデータメモリチップＵｌｌないしＵ１４にアクセスするためのチップ イネーブル信号ｒ／ＣＥ　Ｊで必要な遷移を阻止するようプログラムされている 。

透過型インターフェース回路１６の動作順序に関して、透過ポート１０２からの メモリ読取り／書込みサイクルが２重ポートデータメモリ２２へのアクセスをめ る外部の構成装置により起動する必要のあることを理解すべきである。このサイ クルは、前置コンピュータ１８１などの外部の構成装置からのバス要求信号／Ｂ ｉｔの送信から始まる。どんなバス要求信号を受信しても、調停回路１１４は、 低レベルバス要求信号／ＡＮＹ　ＢＲをＰＡＬ回路Ｕ１６に送信する。バス要求 信号はＰＡＬ回路　Ｕ１６の内部フリップフロップに向けられる。このフリップ フロップはクロック信号ＣＰで動作する。したがって、第５Ａ図のタイミング図 に示しであるように、バス要求信号は、ＭＥＭＣＬＫが高レベルになると透過ポ ートアクセスが発生するように、クロック信号ＣＰの立下り区間の前に供給する 必要がある。ラッチされたバス要求信号が活動状態であると、透過型インターフ ェース回路１６は透過ポートメモリサイクルを始めることになる。そうでない場 合、透過型インターフェース回路１６は、次のＭＥＭＣＬＫ信号期間までに透過 ポートメモリサイクルを起動させることはない。

透過ポートメモリサイクルが発生すると、／ＳＰ　ＥＮ信号がＰＡＬ回路Ｕ１６ から生成される。上記に示しであるように、この信号によりアドレスおよびデー タバッファが透過ポートで使用可能になる。／ＳＰ　ＥＮ信号により、さらに、 調停回路１１４か使用可能になり、バスを獲得する外部ユーザに特定のバス許可 信号／ＢＧを発行する。

外部の構成装置がそのバス許可信号を検出すると、そのたは書込み動作に必要な アドレスおよびデータ情報を送信する。チップ許可信号／ＣＥがＰＡＬ回路Ｕ１ ３により遅延されて、アドレスバッファ１１０から誘導された遅延を補償する。

それはＲＡＭチップＵｌｌないしＵ１４が実際にアクセスされる前にアドレスを 安定させる必要があるからである。

透過ポート読取りサイクルでは、データバス１１８に入力されたデータは、／Ｃ Ｅが活動状態になった後約４５１で安定する。この点に関しては、第５Ｂ図のタ イミング図におけるｒＴＣＥ　Ｊなどの記号が適切な遅延期間を示していること に注意して欲しい。ＰＡＬ回路Ｕ１６に向けられた読取りラッチ信号ＲＤＬＡＴ ＣＩＩは、外部の構成装置により使用され、データをバッファ１１２にラッチす るかまたはデータが利用可能であることを示す。透過ポート書込みサイクルでは 、アドレスバス１２２上のアドレス線は、監視回路１２０により監視されて、最 終的には透過ポート１０２への書込みアクセスを許可または否定することになる 。書込みアクセスが否定されると、監視回路は、低レベルチップ許可信号／Ｃｌ を生成しないので、透過ポート１０２上の外部の構成装置は、その装置が選択し た２重ポートデータメモリ２２の特定のアドレス位置にデータを書き込めなくな る。この場合、監視回路１２０は書込みアドレス有効信号ｒＷＲＡＤ　ＶＡＬＪ も生成送信される。ＰＡＬ回路Ｕ１６は書込みアドレスエラー信号ｒＷＲＡＤ　 ＥＲＲＪを生成して外部の構成装置に送信することで応答する。書込みアドレス エラー信号が高レベルにあり、現メモリアクセスサイクル中のみしか有効でなく なる。この信号はすべての外部の構成装置に共通である。

有効書込みアドレスに対する透過ボートアクセスでは、監視回路１２０が／ＣＥ 信号を活動状態にする。さらに、外部の構成装置からのＳＲ／Ｗ信号は、バス許 可信号／ＢＧが低レベルになるとき活動状態になる。ＰＡＬ回路Ｕ１６は、２重 ポートデータメモリ２２のＲＡＭチップＵｌｌないしＵ１４への書込み許可信号 ／ＷＥを活動状態にして、／ＷＥ信号の立上り区間でデータをこうしたＲＡＭチ ップに書き込む。

制御回路１１６は、タイマ回路ＵＩＯを備えており、このタイマ回路はバス許可 信号／ＢＧが活動状態になった後約１５０ｎｓでＣＩ、εＡＲ信号を生成する。

ＣＬＥＡＲ信号は、バッファチップＵ８の３層状態バッファが、各外部ユーザに 対して個別のバス許可消去信号ｒＢＧＩ　ＣＬＲ，、、ＢＧ４ＣＬＲＪを生成す る。ＣＬＥＡＲ信号は、透過ボート許可信号／ＳＰ　ＥＮを非活動状態にするこ とにより透過ポートメモリサイクルを消去するのに使用することもできる。

本発明は例示に基づいて記載されてきたが、当然のことながら、当分野の技術者 は、本発明の精神から逸脱することなく上記の特定の実施例に変更を加えること ができる。こうした修正は、本発明の要旨の範囲内で考慮されるべきであり、請 求の範囲とその精神よってのみ制限を受けるものである。

時間整合バッファのデータテーブル 相関バッファｒＣＬＪのデータテーブル無効目送みサイクツＬ　１　１ ＦＩＧ、５Ｂ 補正書の翻訳文提出書（特許法第１８４条の８）龜 平成　６　年　１２月　１２日

Claims (18)

【特許請求の範囲】
1. １．能動型冗長プロセス制御コンピュータと、コンピュータネットワークと通信 可能である少なくとも１つの前置コンピュータとの間で透過的にデータを転送す る方法であって、 前記プロセス制御コンピュータと通信するための少なくとも１つの内部ポートお よび前記前置コンピュータと通信するための少なくとも１つの外部ポートを有す るマルチポートメモリを準備するステップと、前記マルチポートメモリに変数部 を備え、前記プロセス制御コンピュータにより収集されたデータを前記マルチポ ートメモリの変数部に周期的に記憶するステップと、前記マルチポートメモリに メールボックス部を備え、前記前置コンピュータから前記プロセス制御コンピュ ータにメッセージを記憶するステップと、前記プロセス制御コンピュータの動作 クロックサイクルの所定の期間のみに前記外部ポートから前記マルチポートメモ リのアドレスを指定でき、前記マルチポートメモリの前記変数部に記憶された少 なくとも１つのデータワードを前記前置コンピュータに接続されたメモリに転送 されるか、または前記プロセス制御コンピュータの動作を干渉することなく少な くとも１つのメッセージワード序前記前置コンピュータから前記マルチポートメ モリの前記メールボックス部に転送するステップとを含む、透過的にデータを転 送する方法。
2. ２．前記プロセス制御コンピュータにおいて前記外部ポートから前記マルチポー トメモリの所定の位置に書き込む機能を阻止するステップをさらに含む請求項１ に記載の方法。
3. ３．前記阻止ステップが、前記外部ポートからの書込みアクセス機能を前記マル チポートメモリの前記メールボックス部のみに制限する請求項２に記載の方法。
4. ４．前記マルチポートメモリの全内容が前記外部ポートから読み取り可能である 請求項３に記載の方法。
5. ５．前記前置コンピュータから送られた前記メッセージの少なくとも１つにより 前記プロセス制御コンピュータのプログラムにより使用される値が変更される請 求項１に記載の方法。
6. ６．追加通信装置が前記外部ポートから前記マルチポートメモリに前記動作クロ ックサイクルの所定の期間選択的にアクセス可能にするステップをさらに含む請 求項１に記載の方法。
7. ７．能動型冗長プロセス制御コンピュータと、コンピュータネットワークと通信 可能である少なくとも１つの前置コンピュータとの間で透過的にデータを転送す るための透過型インターフェースであって、前記プロセス制御コンピュータのパ ス構造に接続された内部ポートおよび前記前置コンピュータと通信するための少 なくとも１つの外部ポート、前記プロセス制御コンピュータにより収集されたデ ータを周期的に記憶する変数部、および前記前置コンピュータから前記プロセス 制御コンピュータにメッセージを記憶するメールボックス部を有するマルチポー トデータメモリと、前記プロセス制御コンピュータの動作に連動したクロック信 号に応動し、前記マルチポートデータメモリの少なくとも１つのワードアドレス が前記クロック信号のサイクルの所定の期間だけで前記外部ポートからアクセス 可能になる外部アクセス制御手段と、 前記マルチポートデータメモリに接続され、前記外部ポートから許可された書込 みアクセスを前記マルチポートメモリの所定のアドレス位置に制限する監視手段 とを備えた透過型インターフェース。
8. ８．所定のアドレス位置が前記マルチポートデータメモリのメールボックス部に 制限される請求項７に記載の透過型インターフェース。
9. ９．前記クロツク信号のサイクルの所定の期間の終わる前に前記外部ポートをク リアするタイミング手段をさらに含む請求項７に記載の透過型インターフェース 。
10. １０．前記外部アクセス制御手段は、前記監視手段が前記前置コンピュータヘの 書込みアクセスを否定したときに書込みエラー信号を前記外部ポートに送信する エラー合図手段を備えている請求項７に記載の透過型インターフェース。
11. １１．前記監視手段が前記マルチポートデータメモリのアドレスバスに接続され るプログラム式アレイ論理回路から構成されている請求項７に記載の透過型イン ターフェース。
12. １２．コンピュータと複数の外部前置装置との間で透過的にデータを転送する透 過型インターフェースにおいて、 前記コンピュータは能動型冗長プロセス制御コンピュータであり、前記透過型イ ンターフェースは、前記プロセス制御コンピュータのパス構造に接続された外部 ポートと前記前置装置と通信する少なくとも１つの外部ポートをもつマルチポー トデータメモリと、前記プロセス制御コンピュータの動作に連動したクロック信 号に応動し、前記クロック信号のサイクルの所定の期間のみ前記マルチポートデ ータメモリに前記外部ポートからアクセス可能になる外部アクセス制御手段と、 前記制御手段と、前記クロック信号のサイクルの所定の期間に前記前置装置の１ つを選択して前記マルチポートメモリ手段にアクセスする前記外部ポートとの間 に置かれた調停手段と を含んでいることを特徴とする透過型インターフェース。
13. １３．前記マルチポートデータメモリに接続され、前記外部ポートから認められ た書込みアクセスを前記マルチポートメモリの所定のアドレス位置に制限する監 視手段を含む請求項１２に記載の透過型インターフェース。
14. １４．所定のアドレス位置が前記マルチポートデータメモリのメールボックス部 に制限される請求項１３に記載の透過型インターフェース。
15. １５．前記クロック信号のサイクルの所定期間が終わる前に前記外部ポートをク リアするタイミング手段をさらに含む請求項１４に記載の透過型インターフェー ス。
16. １６．前記外部アクセス制御手段は前記監視手段が前記前置コンピュータヘの書 込みアクセスを否定したときに書込みエラー信号を前記外部ポートに送信するエ ラー合図手段を含んでいる請求項１５に記載の透過型インターフェース。
17. １７．前記監視手段は、前記マルチポートデータメモリのアドレスバスに接続さ れたプログラム式アレイ論理回路から構成されている請求項１６に記載の透過型 インターフェース。
18. １８．前記調停手段は、前記クロック信号の所定の遷移に基づいて、個別のアク セス信号を前記外部ポートに送信するアクセス合図手段を含んでいる請求項１２ に記載の透過型インターフェース。