(57)【要約】【課題】  制御システムと安全システムとが互いに干渉されることなく同一制御バス上に接続できる統合制御システムを実現する。【解決手段】  プラントの制御を実行する制御ステーションと、プラントからのトリップ要求に対して停止操作を実行する安全制御ステーションとが共通の制御バスに接続されて上位ステーションと通信する統合制御システムにおいて、  前記安全制御ステーションは、前記制御バスを介して入力されるストップフレームによるＣＰＵ停止を阻止するストップフレーム受信禁止手段を備える。【選択図】                    図１
2006209528.tif 000002
【特許請求の範囲】
【請求項１】
プラントの制御を実行する制御ステーションと、プラントからのトリップ要求に対して停止操作を実行する安全制御ステーションとが共通の制御バスに接続されて上位ステーションと通信する統合制御システムにおいて、
前記安全制御ステーションは、前記制御バスを介して入力されるストップフレームによるＣＰＵ停止を阻止するストップフレーム受信禁止手段を備えたことを特徴とする統合制御システム。
【請求項２】
前記ストップフレーム受信禁止手段は、前記上位ステーションより安全システムソフトがダウンロードされたときに機能することを特徴とする請求項１に記載の統合制御システム。
【請求項３】
前記ストップフレーム受信禁止手段は、前記安全システムソフトのダウンロードを検出する通信ソフトにより立てられるフラグの状態により受信禁止機能が制御されることを特徴とする請求項２に記載の統合制御システム。
【請求項４】
前記ストップフレームは、前記上位ステーションの操作により発行されることを特徴とする請求項１乃至３のいずれかに記載の統合制御システム。
【請求項５】
前記ストップフレームは、前記制御バスを介して他の機器より発行されることを特徴とする請求項１乃至３のいずれかに記載の統合制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プラントの制御を実行する制御ステーションと、プラントからのトリップ要求に対して停止操作を実行する安全制御ステーションとが共通の制御バスに接続されて上位ステーションと通信する統合制御システムに関する。
【背景技術】
【０００２】
プラントからのトリップ要求に対して停止操作を実行する安全制御ステーションを有する安全システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】特開２００４−２３４６５５号公報
【０００４】
プラントの制御を実行する制御ステーションを有する制御システムと前記安全システムは、エンジニアリングの効率や設備にかかるコストを考えた場合、同一制御バス上に接続された統合環境にあった方がよい。一方、両者は互いに干渉しないようにシステム上分離することがIEC61508の規約で定義されている。
【０００５】
図５は、従来の統合制御システムの構成例を示す機能ブロック図である。１は制御対象のプラント、２はこのプラントの制御を実行する制御ステーションである。３は制御バスであり、制御ステーション２及びこの制御ステーションと通信する上位ステーション４が接続されている。
【０００６】
これら要素により、分散型の制御システムが構成されている。上位装置４は、制御システム専用のエンジニアリングツールであり、制御システム専用のアプリケーションソフトをエンジニアリングして制御ステーション２にダウンロードする。
【０００７】
５は安全制御ステーションであり、プラント１からのトリップ要求に対して停止操作を実行する。６は安全制御バスであり、安全制御ステーション５及びこの安全制御ステーションと通信する上位ステーション７が接続されている。
【０００８】
これら要素により、安全システムが構成されている。上位ステーション７は、安全システム専用のエンジニアリングツールであり、安全システム専用のアプリケーションソフトをエンジニアリングして安全制御ステーション５にダウンロードする。
【０００９】
このように、プラントの制御システムと安全システムとは、夫々専用のアプリケーションソフトで稼動し、専用の制御ステーション（ハードウェア）を備えている。これら両システムを統合し、同一ネットワークに接続するためには、制御バス３と安全制御バス６間に接続されるバスコンバータ８を必要とする。バスコンバータ８は、これら制御バス間のプロトコルやデータの変換を行うゲートウェイ機能を有する。
【発明の開示】
【発明が解決しようとする課題】
【００１０】
制御システムと安全システムが同一制御バス上に接続されていないことにより、次のような問題点ある。
（１）制御システムと安全システム間のデータの変換が困難で、監視・制御などを一元管理することができない。
【００１１】
（２）制御システムと安全システムのプロセスアラームやイベントを一元管理できないので、監視・制御の効率が悪い。
【００１２】
（３）制御システムと安全システムで、別々の監視アプリケーションを用いなければならず、ユーザが操作を覚えるのに負担がかかる。
【００１３】
（４）同一制御バス上に接続するためにはバスコンバータが必要になり、コストがかかる。
【００１４】
同一制御バス上に接続した場合には、次のような問題点がある。
（５）制御システムと安全システムが互いのデータを干渉する虞がある。
【００１５】
（６）制御システムのエンジニアリングツールでの誤操作により、安全システムを停止させてしまう虞がある。
【００１６】
従って本発明が解決しようとする課題は、制御システムと安全システムとが互いに干渉されることなく同一制御バス上に接続できる統合制御システムを実現することにある。
【課題を解決するための手段】
【００１７】
このような課題を達成するために、本発明の構成は次の通りである。
（１）プラントの制御を実行する制御ステーションと、プラントからのトリップ要求に対して停止操作を実行する安全制御ステーションとが共通の制御バスに接続されて上位ステーションと通信する統合制御システムにおいて、
前記安全制御ステーションは、前記制御バスを介して入力されるストップフレームによるＣＰＵ停止を阻止するストップフレーム受信禁止手段を備えたことを特徴とする統合制御システム。
【００１８】
（２）前記ストップフレーム受信禁止手段は、前記上位ステーションより安全システムソフトがダウンロードされたときに機能することを特徴とする（１）に記載の統合制御システム。
【００１９】
（３）前記ストップフレーム受信禁止手段は、前記安全システムソフトのダウンロードを検出する通信ソフトにより立てられるフラグの状態により受信禁止機能が制御されることを特徴とする（２）に記載の統合制御システム。
【００２０】
（４）前記ストップフレームは、前記上位ステーションの操作により発行されることを特徴とする（１）乃至（３）のいずれかに記載の統合制御システム。
【００２１】
（５）前記ストップフレームは、前記制御バスを介して他の機器より発行されることを特徴とする（１）乃至（３）のいずれかに記載の統合制御システム。
【発明の効果】
【００２２】
以上説明したことから明らかなように、本発明によれば制御システムと安全システムの統合環境が実現できることから次のような効果がある。
（１）制御システムと安全システム間のデータの変換が容易である。
【００２３】
（２）エンジニアリング・監視などの操作に対し、ユーザの慣れた環境の提案ができる。
【００２４】
（３）データ監視、システム状態監視などを一元管理できる。
【００２５】
（４）制御システムのプロセスアラームと安全システムのイベント記録の統合が可能である。
【００２６】
（５）バスコンバータを必要としないため、工数やコストの削減につながる。
【００２７】
（６）制御システムと安全システムの干渉を避け、システムを分離することで、誤動作による安全システムの停止を防止することができる。
【発明を実施するための最良の形態】
【００２８】
以下、本発明を図面により詳細に説明する。図１は本発明を適用した統合制御システムの一実施形態を示す機能ブロック図である。図５で説明した従来システムと同一要素には同一符号を付して説明を省略する。以下、本発明の特徴部につき説明する。
【００２９】
図１において、１００は本発明が適用された安全制御ステーションであり、制御ステーション２と共に共通の制御バス３に接続されている。２００は統合環境での上位ステーションであり、同じく制御バス３に接続されて制御ステーション２及び安全制御ステーション１００と通信する。
【００３０】
統合環境においてこの上位ステーション２００は、制御システム並びの安全システムの共通エンジニアリングツール及び共通操作・監視ステーションとして機能する。
【００３１】
安全制御ステーション１００の機能構成説明に先立ち、統合環境構築上の問題点につき説明する。制御システム並びの安全システムを共通の制御バスに接続した環境において、両者は互いに干渉しないようにシステム上分離することがIEC61508の規約を順守する上で必須要件となる。
【００３２】
安全通信の世界では、データ通信におけるセキュリティ確保という観点で欧州規格EN50159-2がある。
その中で、以下に記す安全通信に対する脅威を挙げている。
（１）repetition：過去のメッセージを繰り返す
（２）deletion：必要なメッセージを削除する
（３）insertion：不要なメッセージを挿入する
（４）re-sequence：メッセージの順番を変更する
（５）corruption：メッセージ内容を変更する
（６）delay：メッセージが遅れて届く、あるいは届かない
（７）masquerade：正規の送受信元になりすましてメッセージを送受信する
【００３３】
制御システムと安全システムが同一制御バス上に接続されるシステムにおいては、上記の脅威に対して対策を講じることが、システムの分離を実現するためには必要である。
（１）乃至（６）に対しては、シーケンスナンバーやＣＲＣをデータに付加することによりデータの喪失や重複、ノイズによる影響等の対策をとることが容易である。
【００３４】
又、ソース＆デスティネーションアドレスを設けることで、制御システムと安全計装システムとで誤ったデータを送受することを阻止することが容易である。
【００３５】
上記の脅威（７）のmasqueradeに関して、悪意を持った第三者やエンジニアの不注意により発生する意図しないストップフレームにより、安全システムが停止してしまうことを防ぐ対策が必要である。
【００３６】
ストップフレームは、制御バスを介して特定ステーションのシステムを停止することができる通信コマンドである。例えば、遠隔地にある制御システム系を、システムの不具合やシステムの変更などの際に、特定ステーションを停止させるため等に使用する。
【００３７】
ストップフレームは、エンジニアリングツール上から発行できるために、エンジニアの不注意により、不用意に送信してしまう危険性がある。又、悪意をもった第三者が制御バスを介して送信しうる可能性がある。
【００３８】
安全制御ステーション１００において、１１０はＣＰＵ、１２０は通信コントローラであり、制御バス３と内部制御バス１３０をインターフェースする。１４０は、内部制御バス１３０に接続されたシステムコントローラであり、メモリ手段１５０と通信する。
【００３９】
通常の処理では、ＣＰＵ１１０は、システムコントローラ１４０を介して、メモリ手段１５０と通信し、これに保持されている制御ソフト１５１を実行することで安全システムの制御が行われる。
【００４０】
メモリ手段１５０に保持されている通信ソフト１５２は、安全制御システムが電源投入で起動するときに上位装置からダウンロードされる制御システムソフト及び安全システムソフトを監視しており、ダウンロード中である場合に信号Ｐを出力する。
【００４１】
１４１は、システムコントローラ１４０内に形成されたストップフレーム受信禁止手段であり、フラグ手段１４２及び論理回路１４３により構成されている。
【００４２】
図２は、通信ソフト１５２の出力Ｐで操作されるフラグ手段１４２のクリア及びセット条件を示した表である。フラグ手段の出力を“０”の初期値にクリアする条件は、制御システムソフトをダウンロードした場合であり、フラグ手段の出力を“１”にセットする条件は、安全システムソフトをダウンロードした場合である。
【００４３】
制御バス３より入力されたストップフレームは、通信コントローラ１２０、内部制御バス１３０を経由してシステムコントローラ１４０に入力される。さらにこのストップフレームはストップフレーム受信禁止手段１４１に渡され、２入力の論理積を演算する論理回路１４３の一方に与えられる。
【００４４】
論理回路１４３の他方の入力は、フラグ手段１４２の出力状態を反転した信号が入力されている。従って、フラグ手段１４２の出力が“０”の初期値にクリアされた条件では、ストップフレームを通過させてＣＰＵを停止操作できるが、フラグ手段１４２の出力が
“１”にセットされた条件では、ストップフレームの通過を阻止し、ＣＰＵ１１０の停止操作を実行することができない。
【００４５】
通信ソフト１５２の出力Ｐで操作されるフラグ手段１４２の出力を“１”にセットする条件は、前記したように安全システムソフトをダウンロードした場合であるから、安全制御システムが電源投入で起動するときに上位装置から安全システムソフトダウンロードされる場合には、フラグ手段１４２の出力は“１”にセットされるので、以後の稼動中にストップフレームが安全制御ステーション１００に入力されてもＣＰＵ１１０を停止させる虞は排除される。
【００４６】
図３は、本発明の信号処理手順を示すフローチャートである。ステップＳ１の電源投入後のステップＳ２で安全システムソフトのダウンロードがチェックされ、ダウンロード中（Ｙ）であるの場合にはストップフレーム禁止フラグを“０”→“１”にセットする。
【００４７】
一旦“１”にセットされた以降のステップＳ４ではストップフレームは受け付けない。ステップＳ２のチェックで、安全システムソフトのダウンロード中でない（Ｎ）場合にはストップフレーム禁止フラグは“０”であり、以降のステップＳ５ではストップフレーム
を受付ける。
【００４８】
このように、ストップフレーム受信禁止手段１４１を備えることにより、仮に制御システムのエンジニアリングツールの誤操作により、システムの停止要求コマンドによりストップフレームが発行されても、安全システムが停止してしまうのを防ぐことができ、システムの分離を可能にする。
【００４９】
ストップフレームは、上位ステーション２００から発行される場合以外に、制御バス３に接続されている他の機器３００より発行される場合も本発明で対応できる。更に、図示していないが制御バス３と通信可能な汎用通信バスに接続された他の機器から発行されるストップフレームにも対応することができる。
【００５０】
本発明により、安全制御ステーション１００はストップフレームに対してプロテクト機能を具備するので、共通の制御バス３に接続できる機器を制御ステーション２以外に拡張することができる。
【００５１】
図４は本発明の他の実施形態を示す統合制御システムを示す機能ブロック図である。構成上の特徴点は、制御バス３に高速・高度制御システムの制御ステーション４００を接続した点である。プラントの制御システムよりも高速で高度な処理を必要とする産業分野との統合環境を実現することができる。
【図面の簡単な説明】
【００５２】
【図１】本発明を適用した統合制御システムの一実施形態を示す機能ブロック図である。
【図２】通信ソフトの出力で操作されるフラグ手段のクリア及びセット条件を示した表である。
【図３】本発明の信号処理手順を示すフローチャートである。
【図４】本発明の他の実施形態を示す機能ブロック図である。
【図５】従来の統合制御システムの構成例を示す機能ブロック図である。
【符号の説明】
【００５３】
１  プラント
２  制御ステーション
３  制御バス
１００  安全制御ステーション
１１０  ＣＰＵ
１２０  通信コントローラ
１３０  内部制御バス
１４０  システムコントローラ
１４１  ストップフレーム受信禁止手段
１４２  フラグ手段
１４３  論理回路
１５０  メモリ手段
１５１  制御ソフト
１５２  通信ソフト
２００  統合環境上位ステーション
３００  他の機器
【図１】
2006209528.tif 000003
【図２】
2006209528.tif 000004
【図３】
2006209528.tif 000005
【図４】
2006209528.tif 000006
【図５】
2006209528.tif 000007