(57)【要約】  本発明は、安全制御装置（１）に関し、いくつかの入力インターフェース（２０，２１，２２）を有する少なくとも１つの入力モジュール（２）と、いくつかの出力インターフェース（３０，３１，３２）を有する少なくとも１つの出力モジュール（３）と、該少なくとも１つの入力モジュール（２）および該少なくとも１つの出力モジュール（３）と結合する演算ユニット（４）であって、プログラム可能なプロセッサ（４０）と、読み出し専用メモリ（４１）とを有する演算ユニット（４）とを含み、読み出し専用メモリ（４１）には、プロセッサ（４０）用のオペレーションプログラム（５）が、プログラムコード手段によって、安全性制御装置（１）のｎ個の機能（Ｆ１〜Ｆｎ）を有する機能ライブラリ（Ｆ）を準備するための機械可読な形式において、不揮発性で格納される、安全制御装置において、安全制御装置（１）は、不揮発性の、上書き可能な記憶手段（６）であって、演算ユニット（４）内に統合される、または演算ユニット（４）のメモリ手段インターフェース（４３）内に交換可能に収容される記憶手段（６）を有し、記憶手段（６）には、いくつかの機能アクティブ化コード（ＦＡＣｉ）が読み出し可能に格納され、機能アクティブ化コード（ＦＡＣｉ）のそれぞれには、機能ライブラリ（Ｆ）の機能（Ｆｉ）が、機能アクティブ化コード（ＦＡＣｉ）が、それら機能アクティブ化コードに割り当てられた、機能ライブラリ（Ｆ）の中の機能（Ｆｉ）と論理結合することによって、記憶手段（６）にその機能アクティブ化コード（ＦＡＣｉ）が格納された、機能ライブラリ（Ｆ）の中のその機能（Ｆｉ）だけがアクティブ化可能であるように、機能ライブラリの機能が割り当てられる。
2019504387.tif 000002
【特許請求の範囲】
【請求項１】
安全制御装置（１）であって、
いくつかの入力インターフェース（２０，２１，２２）を有する少なくとも１つの入力モジュール（２）と、
いくつかの出力インターフェース（３０，３１，３２）を有する少なくとも１つの出力モジュール（３）と、
該少なくとも１つの入力モジュール（２）および該少なくとも１つの出力モジュール（３）と結合する演算ユニット（４）であって、プログラム可能なプロセッサ（４０）と、読み出し専用メモリ（４１）とを有する演算ユニット（４）とを含み、読み出し専用メモリ（４１）には、プロセッサ（４０）用のオペレーションプログラム（５）が、プログラムコード手段によって、安全性制御装置（１）のｎ個の機能（Ｆ１〜Ｆｎ）を有する機能ライブラリ（Ｆ）を準備するための機械可読な形式において、不揮発性で格納される、安全制御装置において、
安全制御装置（１）は、不揮発性の、上書き可能な記憶手段（６）であって、演算ユニット（４）内に統合される、または演算ユニット（４）のメモリ手段インターフェース（４３）内に交換可能に収容される記憶手段（６）を有し、記憶手段（６）には、いくつかの機能アクティブ化コード（ＦＡＣｉ）が読み出し可能に格納され、機能アクティブ化コード（ＦＡＣｉ）のそれぞれには、機能ライブラリ（Ｆ）の機能（Ｆｉ）が、機能アクティブ化コード（ＦＡＣｉ）が、それら機能アクティブ化コードに割り当てられた、機能ライブラリ（Ｆ）の中の機能（Ｆｉ）と論理結合することによって、記憶手段（６）にその機能アクティブ化コード（ＦＡＣｉ）が格納された、機能ライブラリ（Ｆ）の中のその機能（Ｆｉ）だけがアクティブ化可能であるように、機能ライブラリの機能が割り当てられることを特徴とする安全制御装置（１）。
【請求項２】
機能ライブラリ（Ｆ）は、第１機能群（ＦＧ１）を含み、該第１機能群は、安全制御装置（１）に、第１基本構成において、その割り当てられた機能アクティブ化コード（ＦＡＣｉ）によるアクティブ化の後、信号処理のない信号入力および信号出力のための機能範囲を提供することを特徴とする、請求項１に記載の安全制御装置（１）。
【請求項３】
機能ライブラリ（Ｆ）は、第２機能群（ＦＧ２）を含み、該第２機能群は、安全制御装置（１）に、第２基本構成において、その割り当てられた機能アクティブ化コード（ＦＡＣｉ）によるアクティブ化の後、プログラム可能な制御装置の機能範囲を提供することを特徴とする、請求項１または２に記載の安全制御装置（１）。
【請求項４】
機能ライブラリ（Ｆ）は、第３機能群（ＦＧ３）を含み、該第３機能群は、安全制御装置（１）に、第３基本構成において、その割り当てられた機能アクティブ化コードによるアクティブ化の後、安全制御装置の機能範囲に安全技術上の制御則を提供することを特徴とする、請求項１〜３のいずれか１項に記載の安全制御装置（１）。
【請求項５】
第１基本構成および／または第２基本構成および／または第３基本構成の機能範囲は、記憶手段（６）およびメモリの上書きによって、少なくとも部分的に、種々の機能アクティブ化コード（ＦＡＣｉ）の基本構成から変更可能であるように、特に、拡張可能であるように構成されてなることを特徴とする、請求項２〜４のいずれか１項に記載の安全制御装置（１）。
【請求項６】
不揮発性の、上書き可能な記憶手段（６）において、記憶手段（６）および機能アクティブ化コード（ＦＡＣｉ）によって起動された機能（Ｆｉ）を、安全制御装置（１）のハードウェアに一義的に結合するように構成された少なくとも１つのハードウェア同定データセット（ＩＤ）が、読み出し可能に格納されることを特徴とする、請求項１〜５のいずれか１項に記載の安全制御装置（１）。
【請求項７】
機能アクティブ化コード（ＦＡＣｉ）を記憶手段（６）の暗号で保護された記憶領域に格納することを特徴とする、請求項１に記載の安全制御装置（１）。
【請求項８】
機能ライブラリ（Ｆ）の機能（Ｆ１〜Ｆｎ）は、読み出し専用メモリ（４１）内の機能テーブルに読み出し可能に格納されることを特徴とする、請求項１〜７のいずれか１項に記載の安全制御装置（１）。
【請求項９】
安全制御装置（１）は、１または複数の入力モジュール（２）、および／または１または複数の出力モジュール（３）だけ拡張可能であって、その場合、入力モジュール（２）／各入力モジュール（２）、および／または出力モジュール（３）／各出力モジュール（３）の追加の機能は、オペレーションプログラム（５）の機能ライブラリ（Ｆ）の中に含まれることを特徴とする、請求項１〜８のいずれか１項に記載の安全制御装置（１）。
【請求項１０】
安全制御装置（１）の機能範囲の変更、特に、請求項１〜９のいずれか１項に記載の安全制御装置（１）の機能範囲の変更のための方法であって、
オペレーションプログラム（５）を備える安全制御装置（１）を準備する工程と、
機能アクティブ化コード（ＦＡＣｉ）が読み出し可能に格納される上書き可能な、不揮発性記憶手段（６）を準備する工程と、
格納された機能アクティブ化コード（ＦＡＣｉ）を、安全制御装置（１）におけるオペレーションプログラム（５）の機能ライブラリ（Ｆ）のこれら機能アクティブ化コードに割り当てられた機能（Ｆｉ）と関連づける工程と、
を含むことを特徴とする方法。
【請求項１１】
格納された機能アクティブ化コード（ＦＡＣｉ）を機能ライブラリ（Ｆ）の機能（Ｆｉ）と関連づけた後に、少なくとも１つのハードウェア認識データセット（ＩＤ）が、不揮発性記憶手段（６）に読み出し可能に格納されることを特徴とする、請求項１０に記載の方法。
【請求項１２】
機能アクティブ化コード（ＦＡＣｉ）は、記憶手段（６）の暗号で保護された記憶領域に格納されることを特徴とする、請求項１０または１１に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全制御装置に関し、安全制御装置は、いくつかの入力インターフェースを有する少なくとも１つの入力モジュールと、いくつかの出力インターフェースを有する少なくとも１つの出力モジュールと、該少なくとも１つの入力モジュールおよび該少なくとも１つの出力モジュールと結合する演算ユニットであって、プログラム可能なプロセッサと、読み出し専用メモリとを有する演算ユニットとを含み、読み出し専用メモリには、プロセッサ用のオペレーションプログラムが、プログラムコード手段によって、安全性制御装置のｎ個の機能を有する機能ライブラリを準備するための機械可読な形式において、不揮発性で格納される。さらに、本発明は、安全制御装置の機能範囲を変更するための方法に関する。
【背景技術】
【０００２】
制御装置は、先行技術から種々の形態において知られている。これらの制御装置は、特に、そこに実装された機能範囲によって、互いに異なっている。異ならせるのは、この場合は特に、欧州規格ＥＮ６１１３１に従ったプログラム可能な制御装置間において、および国際規格ＩＥＣ６１５０８に従った安全制御装置間であって、さらなる安全機能を実施することが可能であり、したがって、安全基準プロセスを制御するための安全基準領域においても利用することが可能である安全制御装置間である。
【０００３】
従来のプログラマブル制御装置は、いくつかの入力インターフェースを備える入力モジュールと、演算ユニットと、いくつかの出力インターフェースを備える出力モジュールとを含む。入力インターフェースには、たとえば、機械または機械設備の運転状態についての情報を伝送することが可能であり、これを制御装置の入力信号として利用することが可能であるセンサを既知の方法で接続することができる。これらの入力信号は、演算ユニットを用いて評価が可能であり、演算ユニットにおいては、論理結合、ならびに場合によっては、さらなる信号処理ステップおよびデータ処理ステップによって、出力モジュールの出力インターフェースを介して出力される出力信号が生成される。出力モジュールの出力インターフェースには、出力信号を処理可能であって、次いで一定の動作を実行することが可能であるアクチュエータが接続される。
【０００４】
たとえば、国際公開第９８／４４３９９号から知られる安全装置であって、さらなる安全機能を利用できる安全装置が、たとえば、機械または機械設備などの制御されたプロセスの安全状態をつねに確保することができる。これについては、安全制御装置の独自の安全保証のための要件は非常に高い。それに応じて、権限を有する当局に相応の許可を取得するために、安全制御装置は、市場に出る前に、多くの、かつ手間をかけた検査が行われる。
【０００５】
プログラム可能な制御装置および安全制御装置は、ユーザプログラムによって既知の方法で構成することができ、それによってユーザの対応する動作要件に適合させることができる。ユーザプログラムとは分離されたオペレーションプログラムには、制御装置の、または安全制御装置の種々の機能（基本機能）が記憶されている。これらの機能によって、プログラム可能な制御装置または安全制御装置の基本的機能の範囲が規定される。
【０００６】
オペレーションプログラムに記憶された機能は、安全性にとって重要であることが多いので、他のオペレーションプログラムによるオペレーションプログラムの変更またはオペレーションプログラムの交換をユーザによって効果的に防止する技術的手段が通常は採用されている。したがって、ユーザのためのオペレーションプログラムへのアクセスは、適切な保護手段によってブロックされる。これは、特に安全管理装置の場合には非常に重要であり、なぜなら、管轄当局による認定は、オペレーションプログラムと安全制御装置の関連するハードウェアとの組合せにのみ関係しているからである。ユーザ側で新しいオペレーションプログラムをアップロードすることにより、安全制御装置のフェールセーフは、もはやメーカーによって確実な方法で保証され得ない。
【０００７】
制御装置の、特に安全制御装置の機能の範囲を後に変更すべき場合には、オペレーションプログラムの交換は、通常は、制御装置または安全制御装置の製造業者によって行われなければならない。その場合、ユーザは、制御装置または安全制御装置、およびそこに結合された機械または機械設備の稼働を停止させて、制御装置または安全制御装置を製造業者に送らなければならない、またはオペレーションプログラムの交換を、認められた技術者に行わせなければならない。これは、制御装置または安全制御装置に結合された機械または機械設備の比較的長い稼働停止につながることが多く、生産性および経済性にとってマイナスに作用する。さらにまた、特に、制御装置または安全制御装置は、ユーザが望む機能範囲のために前もって設計されていないので、変更されたオペレーションプログラムを利用するために、制御装置または安全制御装置の新しいハードウェアを調達せねばならない。
【０００８】
本件出願の出願人のドイツ国出願公開第１０２４０５８４号明細書から、安全制御装置および新しいオペレーションプログラムのかかる装置へのアップロードのための方法が知られている。これは、安全制御装置の新しいオペレーションプログラムのアップロードがユーザ自身によって行ってはいけないというこれまでの既存の原理を犯す。この方法は、安全制御装置が、新しいオペレーションプログラムをアップロードした後にも、まだ確実に動作することを保証することができる適切な措置を含んでいる。オペレーションプログラムを新しいものと置き換えることは、場合によっては、たとえば、更新プロセス中に、制御装置の電力供給が突然遮断され、新しいオペレーションプログラムがアップロードされない、または完全にはアップロードされないような場合には、問題となることがあり得る。このような場合には、制御装置は通常、もはや機能せず、したがって制御装置の機能を再びアクティブにするには、製造業者のサポートを必要とすることが多い。
【発明の概要】
【０００９】
したがって、本発明は、冒頭で述べたタイプの安全装置、および安全制御装置の機能範囲を変更するための方法であって、安全制御装置の機能範囲の変更を別の方法で、容易にかつ高い信頼性で行うことが可能である安全装置および方法を提供することを課題とする。
【００１０】
この問題の解決方法は、請求項１の特徴部分の特徴を備えた、冒頭にあげたタイプの安全制御装置、および請求項１０に記載の特徴を備える方法を提供する。従属請求項は、本発明の好ましい更なる実施形態に関する。
【００１１】
本発明に従った安全制御装置は、不揮発性の、上書き可能な記憶手段であって、演算ユニット内に統合される、または演算ユニットの記憶手段インターフェース内に交換可能に収容される記憶手段を有し、記憶手段には、いくつかの機能アクティブ化コードが読み出し可能に格納され、機能アクティブ化コードのそれぞれには、機能ライブラリの機能が、機能アクティブ化コードが、それら機能アクティブ化コードに割り当てられた、機能ライブラリの中の機能と論理結合することによって、記憶手段にその機能アクティブ化コードが格納された、機能ライブラリの中のその機能だけがアクティブ化可能であるように、機能ライブラリの機能が割り当てられることを特徴とする。本発明に従った安全制御装置は、不揮発性記憶手段に格納されたデータアクティブ化コードを、オペレーションプログラムの機能ライブラリの機能と関連付けることによって、ユーザが実際に必要とする、または、ユーザが、安全制御装置の製造業者から適切な利用権を入手した機能だけがアクティブ化されて起動されるので、ユーザによる簡単な機能の拡張（追加的も可能である）または機能変更を可能とする。演算ユニットに統合された記憶手段、または記憶手段インターフェース内で交換可能に格納された上書き可能な記憶手段であって、好ましくは、ＳＤカードまたはＵＳＢ記憶手段とすることが可能である記憶手段は、適切な機能アクティブ化コードであって、続いて、その機能アクティブ化コードに割り当てられた、機能ライブラリの機能と論理結合され、その結果その割り当てられた機能がアクティブ化される機能アクティブ化コードによって書き込まれることによって、安全装置は拡張可能であって、簡単な方法で、追加の機能について安全に拡張することが可能である。好ましくは、機能アクティブ化コードが格納される暗号化記憶領域を有する記憶手段を用いることによって、コピーおよびデータ操作を防止することが可能である。したがって、有利には、アップグレードプロセス中の予期せぬエラーにつながり得る、安全制御装置の機能範囲を変更するための変更されたオペレーションプログラムのアップロードを回避することができる。また、安全制御装置の製造業者にとっても好ましい。したがって、安全制御装置のそれぞれ異なる機能範囲のために、様々なオペレーションプログラムを作成する、高額の費用を要するテストをする、そして場合によっては、ハードウェアと共に証明をしてもらうなどが必要ではない。ユーザ側では、アクティブにされた機能または複数の機能を含む機能群のそれぞれが、ユーザプログラムと共に選択的に選択され、パラメータ化され、独自の方法で互いに結合されることが可能である。この目的のために、プログラムインターフェースまたは安全制御装置に結合可能なプログラム装置を提供することが可能である。
【００１２】
好ましい実施形態において、機能ライブラリは、第１機能群を含み、該第１機能群は、安全制御装置に、第１基本構成において、その割り当てられた機能アクティブ化コードによるアクティブ化の後、信号処理のない信号入力および信号出力のための機能範囲を提供する。安全制御装置のこの第１基本構成は、構成安全制御装置の製造業者からユーザが事前設定で入手可能であり、この第１基本構成が、単に信号入力と信号出力とだけを可能にする、安全装置の“最も単純な”実施形態を形成する。
【００１３】
さらなる好ましい実施形態において、機能ライブラリは、第２機能群を含み、該第２機能群は、安全制御装置に、第２基本構成において、その割り当てられた機能アクティブ化コードによるアクティブ化の後、プログラム可能な制御装置の機能範囲を提供する。この第２基本構成も、ユーザは、構成安全制御装置の製造業者から入手可能である。さらにまた、第１基本構成を備える安全制御装置をすでに所有しているユーザは、第２機能群の機能のための利用権を取得することによって、および機能アクティブ化コードを、上述の方法で機能ライブラリのそれに割り当てられた機能と関連づけることによって、その安全制御装置を、プログラム可能な制御装置の機能の範囲が規格ＥＮ６１１３１に従って準備されているより高位のクラスに移行させることが可能である。したがって、高額の費用を要する、安全制御装置のハードウェアの交換、またはまったく新しいオペレーションプログラムのアップロードが不要である。
【００１４】
さらなる好ましい実施形態において、機能ライブラリは、第３機能群を含み、該第３機能群は、安全制御装置に、第３基本構成において、その割り当てられた機能アクティブ化コードによるアクティブ化の後、安全制御装置の機能範囲に安全技術上の制御則を提供する。アクティブ化可能な安全機能とは、たとえば、いわゆる「フェールセーフ」機能のような安全通信プロトコルである。この第３基本構成は、安全制御装置の製造業者によって事前に構成しておくことも可能である。ロック解除可能なセキュリティ機能の例には、安全な通信プロトコルおよびいわゆる「フェールセーフ」機能が含まれる。さらにまた、第１基本構成または第２基本構成を備える安全制御装置をすでに所有しているユーザは、第３機能群の機能のための利用権を取得することによって、および機能アクティブ化コードを、上述の方法で機能ライブラリのそれに割り当てられた機能と関連づけることによって、その安全制御装置を、安全制御装置の機能の範囲が規格ＩＥＣ６１５０８に従って、適切な安全技術上の制御則によって準備されているより高位のクラスに移行させることが可能である。したがって、高額の費用を要する、安全制御装置のハードウェアの交換、またはまったく新しいオペレーションプログラムのアップロードが不要である。追加の安全機能が設けられた安全制御装置は、たとえば機械または機械設備のフェールセーフシャットダウンのような臨界安全プロセスのフェールセーフ制御がなされるように構成されてなる。さらにまた，機能ライブラリの、安全制御装置の固有の特性を高めるために寄与する機能を、アクティブにすることが可能である。この第３の基本構成は、安全制御装置の製造業者によって予め設定されてもよい。
【００１５】
特に好ましい実施形態においては、第１基本構成および／または第２基本構成および／または第３基本構成の機能範囲は、記憶手段およびメモリの上書きによって、少なくとも部分的に、種々の機能アクティブ化コードの基本構成から変更可能であるように、特に、拡張可能であるように構成されてもよい。この概念は、全機能群に対する利用権の取得によって、安全制御装置を別の階級に移行することにあるだけでなく、３つの異なる基本構成内においても安全制御装置の機能範囲の変更を行うことが可能であるところにもある。アクティブにすることは、上述の方法で、機能ライブラリの機能アクティブ化コードと関連づけることによって行われる。
【００１６】
特に、交換可能な記憶手段の場合に、機能アクティブ化コードが権限なくコピーされること、または、記憶手段が、他の安全制御装置において、利用権が得られたものとして利用されることを防止するために、好ましい実施形態においては、不揮発性の、上書き可能な記憶手段において、記憶手段および機能アクティブ化コードによって起動された機能を、安全制御装置のハードウェアに一義的に結合するように構成された少なくとも１つのハードウェア同定データセットが、読み出し可能に格納されるように構成することが可能である。
【００１７】
さらなる好ましい実施形態では、機能アクティブ化コードを記憶手段の暗号で保護された記憶領域に格納することも可能である。これによって、交換可能な記憶手段の場合、機能アクティブ化コードが権限なく、コピーされる、または操作されるということが防止される。演算ユニットに永続的に統合された記憶手段の場合、このような対策によって機能アクティブ化コードの操作を防止することができる。
【００１８】
好ましくは、機能ライブラリの機能は、読み出し専用メモリ内の機能テーブルに読み出し可能に格納することができる。したがって、機能アクティブ化コードの機能ライブラリの機能との関連づけは、特に簡単な方法で行うことが可能である。さらにまた、１つまたは複数の機能アクティブ化コードのために、場合によっては、これらに割り当て可能な“適切な”機能が、機能ライブラリ中にないかどうかを非常に容易に認識することが可能である。
【００１９】
特に好ましいさらなる実施形態では、安全制御装置は、１または複数の入力モジュール、および／または１または複数の出力モジュールだけ拡張可能であって、その場合、入力モジュール／各入力モジュール、および／または出力モジュール／各出力モジュールの追加の機能は、オペレーションプログラムの機能ライブラリの中に含まれる。それによって、有利には、安全制御装置のハードウェア拡張がもたらされる。追加の入力モジュールおよび／または出力モジュールの機能は、すでにオペレーションプログラムの機能ライブラリに統合されており、ここに記載の方法でアクティブにされ、それによってロック解除することが可能であるので、有利には、ハードウェアの拡張をする場合、まったく新しいオペレーションプログラムを安全制御装置にインストールすることが必須ではない。
【００２０】
安全制御装置の機能範囲の変更、特に、請求項１〜９のいずれか１項に記載の安全制御装置の機能範囲の変更のための発明に従った方法は、
オペレーションプログラムを備える安全制御装置を準備する工程と、
機能アクティブ化コードが読み出し可能に格納される上書き可能な、不揮発性記憶手段を準備する工程と、
格納された機能アクティブ化コードを、安全制御装置におけるオペレーションプログラムの機能ライブラリのこれら機能アクティブ化コードに割り当てられた機能と関連づける工程と、
を含む。
【００２１】
発明に従った方法は、オペレーションプログラムを、変更されたオペレーションプログラムで置き換えることを要せずに、簡単な方法で、既存の安全制御装置の機能範囲の適合化または拡張を可能にする。これは、安全制御装置の機能範囲を、適合化する場合または拡張する場合に、プロセスの安全に有利に作用する。
【００２２】
好ましい実施形態においては、格納された機能アクティブ化コードを機能ライブラリの機能と関連づけた後に、少なくとも１つのハードウェア認識データセットが、不揮発性記憶手段に読み出し可能に格納される。それによって、特に、機能アクティブ化コードを権限なくコピーすること、またはロック解除された機能範囲を別の安全制御装置において権限なく利用することを防止することが可能である。
【００２３】
特に好ましい実施形態では、機能アクティブ化コードは、記憶手段の暗号で保護された記憶領域に格納されることが可能である。このようにして、機能アクティブ化コードのコピーおよび操作が、有効に防止される。たとえば、ＳＤカードや、ＵＳＢ記憶手段などの交換可能な記憶手段の場合、有利なことに、かつて取得した機能アクティブ化コードを、それらのコードのために準備された別の安全制御装置で後から利用することが可能である。これは、たとえば、安全制御装置に欠陥がある場合に有益である。なぜなら、それらのために用意された記憶手段受容部にその記憶手段を入れることによって、さらなる機能を果たすことが可能である安全制御装置がすぐに使えるからである。
【００２４】
本発明の他の特徴および利点は、添付の図１を参照して、好ましい実施例の以下の説明から明らかになるであろう。
【図面の簡単な説明】
【００２５】
【図１】安全制御装置１の概略的に高度に簡略化された図を示す。
【発明を実施するための形態】
【００２６】
安全制御装置１は、本実施形態においては、少なくとも１つの入力モジュール２と、少なくとも１つの出力モジュール３と、入力モジュール２に接続され、かつ出力モジュール３に接続される演算ユニット４とを含む。入力モジュール２は、選択的にアクティブ化または非アクティブ化可能である、いくつかの入力インターフェース２０，２１，２２を含む。したがって、それぞれの、またはすべての入力インターフェース２０，２１，２２を、用途に合わせてアクティブ化することが可能であり、その結果これらは入力信号を受信することが可能である。入力インターフェース２０，２１，２２のそれぞれには、センサ５０，５１，５２を接続することが可能である。これらセンサ５０，５１，５２のそれぞれは、入力インターフェース２０，２１，２２に、たとえば、機械または機械設備の運転状態に関する情報を提供することができる入力信号を付与することが可能である。たとえばこのようなセンサ５０，５１，５２としては、特に、タッチセンサ、スイッチ、接近センサ、温度センサ、位置センサ、スピードセンサ、圧力センサ、光バリアなどである。
【００２７】
安全制御装置１は、基本的には、入力インターフェース２０，２１，２２を介して取得された入力信号が、以下にその構成と機能についてより詳細に記載された演算ユニット４によって処理することが可能であるように構成されてなる。出力モジュール３は、また同様に選択的にアクティブ化または非アクティブ化可能である、いくつかの出力インターフェース３０，３１，３２を含む。したがって、それぞれの、またはすべての出力インターフェース３０，３１，３２を、用途に合わせてアクティブ化することが可能であり、その結果これらを介して出力信号を伝送することが可能である。出力インターフェース３０，３１，３２のそれぞれには、アクチュエータ６０，６１，６２をそれぞれ接続することが可能である。これらのアクチュエータ６０，６１，６２は、出力インターフェース３０，３１，３２を介して供給された出力信号に応答して、一定の動作を実施することが可能である。たとえば、このようなアクチュエータ６０，６１，６２としては、特に、接触器、リレー、電子スイッチ、ならびに、光学信号装置および／または音響信号装置がある。演算ユニット４は、入力インターフェース２０，２１，２２を介して受信された入力信号を、一定の規則に従って、特に、論理結合を介して、および場合によっては、さらなる信号処理ステップおよび／またはデータ処理ステップを介して評価し、適切な出力信号を出力インターフェース３０，３１，３２に供給するのに適しており、この出力信号は、アクチュエータ６０，６１，６２を制御するために、アクチュエータ６０，６１，６２にさらに伝送される。
【００２８】
演算ユニット４は、プログラム可能なプロセッサ４０と、読み出し専用メモリ４１、および作業メモリ４２を含む。読み出し専用メモリ４１内には、プロセッサ４０を動作させるための動作プログラム５が不揮発に格納されている。このオペレーションプログラムは、しばしばファームウェアとも呼ばれ、機械可読形式のプログラムコーディング手段を含み、安全制御装置１に、ｎ個の利用可能な機能Ｆ１〜Ｆｎを有する機能ライブラリＦを提供する。これらの機能Ｆ１〜Ｆｎは、基本機能を形成し、安全制御装置１は、ハードウェア側およびソフトウェア側において基本的にそれらの機能を実施するように構成されている。作業メモリ４２には、たとえば、適用プログラム、および、たとえば入力信号の処理をする場合に結果として生じ得る中間値を、一時的に格納することが可能である。
【００２９】
本発明の基本的着想は、機能ライブラリＦの内、安全制御装置１のユーザが実際に必要とする機能Ｆｉだけを、または、ユーザが、安全制御装置１の製造業者から、機能Ｆｉを利用することをユーザに許可する適切な利用権を取得した機能Ｆｉだけをその利用に合わせて特定して安全制御装置１に装備するというところにある。たとえば、安全制御装置１は、製造業者によって予め構成することが可能である第１の基本構成において、特に、第１の機能群ＦＧ１に統合された、入力および出力装置の機能Ｆｉのみを含み、該入力および出力装置においては、入力モジュール２の入力インターフェース２０，２１，２２を介して入力信号が受信され、そしてこの信号は、演算ユニット４によって信号処理が行われることなく、出力モジュール３の出力インターフェース３０，３１，３２に出力信号として出力される。
【００３０】
同様に、安全制御装置１の製造業者によって予め構成することが可能である第２の基本構成において、安全制御装置１は、プログラム可能な制御装置の典型的機能Ｆｉであって、製造者側で、たとえば、第２の機能群ＦＧ２に統合することが可能である機能Ｆｉを含むことが可能である。機械可読形式の適切な機能アクティブ化コードＦＡＣｉを準備し、機能Ｆｉのアクティブ化の目的のためにこれらの機能と論理結合した後、安全制御装置１は、入力モジュール２のアクティブ化された入力インターフェース２０，２１，２２を介して、センサ５０，５１，５２によって入力信号を認識することができる。演算ユニット４は、一定の規則に従ってこの入力信号を処理して、出力モジュール３」の出力インターフェース３０，３１，３２を介して出力され、出力信号に応じて一定の動作を実施することが可能であるアクチュエータ６０，６１，６２に付与される出力信号を生成する。
【００３１】
同様に、安全制御装置１の製造業者によって予め構成することが可能である第３の基本構成であって、その機能Ｆｉを第３の機能群ＦＧ３に統一することが可能である第３の基本構成において、安全制御装置１は、安全性評価プロセスを確実に制御するための、特に、機械または機械設備のスイッチを確実にオフにするための典型的機能を含むことが可能である。その場合、たとえば、安全制御装置１によって制御されるプロセスに障害がある場合に、安全な状態に移行させることを可能にさせる、一定の機能が設けられる。
【００３２】
安全制御装置１の機能範囲の変更または拡大は、演算ユニット４の読み取り専用メモリ４１に読み出し可能に格納された新しいオペレーションプログラム５をインストールするのではなく、従来とは別の方法で行われる。論理結合によってアクティベートさせるために、機能ライブラリＦの各機能Ｆｉと論理結合されることが可能である機能アクティブ化コードＦＡＣｉが、利用可能に、機械読み取り可能な形式で備えられている。この場合、機能ライブラリＦの機能Ｆｉには、定義された機能アクティブ化コードＦＡＣｉを割り当てることができる。個々の機能アクティブ化コードＦＡＣｉを、これらに割り当てられた、機能ライブラリＦの機能Ｆｉと論理結合することによって、オペレーションプログラム５の機能ライブラリＦから目的に合わせて個々の機能を起動させて、それによって、安全制御装置１の機能範囲を定義することが可能になる。
【００３３】
この実施例においては、演算ユニット４は、記憶手段インターフェース４３を含み、この記憶手段インターフェース４３には、上書き可能な、不揮発性記憶手段６を搭載することが可能である。この記憶手段６は、好ましくは、ＳＤカードまたはＵＳＢ記憶手段とすることが可能である。この意味においては、機能アクティブ化コードＦＡＣｉは、記憶手段６の、暗号で保護された記憶領域に格納されるのが好ましい。この方法で、交換可能な記憶手段６の場合、機能アクティブ化コードＦＡＣｉが、権限なくコピーされたり、操作されたりすることが防止される。さらにまた、これによって、好ましいことに、一度許可された機能アクティブ化コードＦＡＣｉを、そのコードが前もって予定された他の安全制御装置１で、後に利用することが可能にもなる。
【００３４】
別の実施形態においては、上書き可能な不揮発性記憶手段６を演算ユニット４に固定して組み込むことも可能である。この固定して組み込まれた記憶手段は、暗号で保護される記憶領域を含むことも可能であり、この記憶領域に、機能アクティブ化コードＦＡＣｉを読み出し可能に格納することができる。
【００３５】
記憶手段６には、いくつかの機能アクティブ化コードＦＡＣｉが読み出し可能に格納される。この場合、ライセンスプロセスにおいてユーザによって許可された機能アクティブ化コードＦＡＣｉのそれぞれには、機能アクティブ化コードＦＡＣｉと機能ライブラリＦの機能Ｆｉとの論理結合によって、機能アクティブ化コードＦＡＣｉが記憶手段６に記憶されている対応の機能Ｆｉだけがアクティブ化されるように、機能ライブラリＦの機能Ｆｉの内の１つの機能が割り当てられている。安全制御装置１が、ハードウェア的にも、ソフトウェア的にも基本的にカバーしている、機能ライブラリＦの機能Ｆ１〜Ｆｎのすべてを、たとえば、読み取り専用記憶手段５に機能テーブルの形式で格納してもよい。そのために準備される記憶手段インターフェース４３に、上書き可能な、不揮発性記憶手段６を組み込む場合、そこに格納された機能アクティブ化コードＦＡＣｉは、プロセッサ４０によって読み出し可能である。さらにまた、予め設けられている機能アクティブ化コードＦＡＣｉによってアクティブ化可能である、対応の機能Ｆｉを、機能ライブラリの機能テーブルから読み出すことが可能である。この場合、機能アクティブ化コードＦＡＣｉは対応の機能Ｆｉと論理結合され、それによってアクティブ化され、起動される。この権限付与プロセスの場合、たとえば、ハードウェア認識データセットであって、引き続いて、不揮発性の、上書き可能な記憶手段６に、読み出し可能に格納されるデータセットを生成することが可能である。この方法では、記憶手段６と機能アクティブ化コードＦＡＣｉによってアクティブ化された機能Ｆｉとが、安全装置１のハードウェアと一義的に結合される。したがって、これらが、安全制御装置１のハードウェアと一義的に結合されることによって、たとえば、機能アクティブ化コードＦＡＣｉの権限なき利用を防止することが可能である。安全制御装置１の利用は、この方法で権限を付与された記憶手段６によってのみ可能である。後に付与された機能アクティブ化コードＦＡＣｉを含む記憶手段６に対して、安全制御装置１のハードウェアを一義的に割り当てることは、必須ではない。機能アクティブ化コードＦＡＣｉが、記憶手段６の暗号で保護された記憶領域に格納される場合、機能アクティブ化コードＦＡＣｉのコピー、および／または操作を、効果的に防止することが可能である。たとえば、ＳＤカードまたはＵＳＢ記憶手段などの交換可能な記憶手段の場合、好ましいことに、一度許可された機能アクティブ化コードＦＡＣｉを、その利用が前もって予定されている、別の安全制御装置１で利用することも可能である。
【００３６】
たとえば、第１の基本構成の安全制御装置１から、第２の機能群ＦＧ２の機能を起動させることによって、安全制御装置１のハードウェアを交換することを要せず、かつ、新しいオペレーションプログラム５をインストールすることも要せずに、第２の基本構成の安全制御装置１を得ることが可能である。さらにまた、第１の、または第２の基本構成の安全制御装置１から、第３の機能群ＦＧ３の機能を起動することによって，第３の基本構成の安全制御装置１を得ることも可能である。この場合においても、安全制御装置１のハードウェアを交換することを要せず、かつ、新しいオペレーションプログラム５をインストールすることも要しない。
【００３７】
もちろん、安全制御装置１の３つの基本構成内でも、機能活性化コードＦＡＣｉを準備することによって、同様に、機能ライブラリＦから一定の機能Ｆｉを、新しいオペレーションプログラム５のアップロードを要せずに、安全制御装置１の機能範囲を合わせるために、特に、拡大するために、目的に合わせて起動させてアクティブ化することが可能である。
【００３８】
さらにまた、安全制御装置１は、１または複数の入力モジュール２、および／または１または複数の出力モジュール３だけ拡張可能であり、その場合、その入力モジュールおよび／または出力モジュールの追加の機能Ｆｉは、オペレーションプログラム５の機能ライブラリＦにすでに含まれている。したがって、好ましいことに、安全制御装置１のハードウェア拡張が可能になる。その追加の入力モジュール２および／または出力モジュール３の機能は、オペレーションプログラム５の機能ライブラリＦにすでに組み込まれており、ここに記載の方法でアクティブ化されて起動することが可能であるので、好ましいことに、ハードウェアを拡張する場合に、安全制御装置１へのまったく新しいオペレーションプログラム５のインストールを要せずに、追加の機能を利用することが可能である。
【図１】
2019504387.tif 000003
【国際調査報告】
2019504387.tif 000004
2019504387.tif 000005
2019504387.tif 000006
2019504387.tif 000007