(57)【要約】  本発明によれば、オートメーション・システムにおいて、安全性機能指向ではないシステムコントロール構成における安全性機能を制御するために、エラーのない機能性と安全性メッセージの形式でのデータ伝送を行う安全性プロトコルとを含む安全性モジュールが設けられる。それぞれの安全性モジュールの入力および出力パラメータは安全性モジュールによって隠蔽され、それぞれの安全性モジュールは、制御されるべきシステムの安全性機能に従ったデータ伝送経路を通じてデータおよび手順という点においてリンクしている。上記データは、上記安全性プロトコルに従って、上記安全性モジュール間で相互交換される。
2007533045.tif 000002
【特許請求の範囲】
【請求項１】
安全性機能指向ではないシステムコントローラの一部分として安全性機能を制御する方法であって、
正常な機能性を有する複数の安全性モジュールと、
データを安全性メッセージの形式で送信する安全性プロトコルとを含み、
上記各安全性モジュールからの入力パラメータおよび出力パラメータは、上記安全性プロトコルによって隠蔽され、
個々の上記安全性モジュールは、制御されるべき、システムの安全性機能に従ってデータ伝送リンクによって、データおよびフローに関して互いに論理的に結合しており、
上記データの相互交換が、上記安全性プロトコルに基づいて、上記安全性モジュール間で行なわれる方法。
【請求項２】
上記安全性メッセージを伝送するために、上記安全性プロトコルは、繰り返し、欠落、挿入、誤ったデータ列、データの破損、データ遅延、安全性に関連するデータと安全性に関連しないデータとの結合、誤ったアドレッシングという、上記伝送されるデータに含まれるエラーに対する機構を含んでいる請求項１に記載の方法。
【請求項３】
上記安全性プロトコルは、上記安全性メッセージの連続的なナンバリング、上記安全性メッセージの伝送に関するタイムモニタリング、上記安全性メッセージの伝送に関する認証モニタリング、およびチェックサムを用いた上記安全性メッセージの、データの完全性の保護という安全性処置を実行するために、上記安全性メッセージのためのデータ形式を使用する請求項２に記載の方法。
【請求項４】
上記安全性機能が、上記安全性モジュールからの上記入力パラメータおよび上記出力パラメータの論理的結合によって実行される、請求項１〜３の何れか１項に記載の方法。
【請求項５】
上記安全性モジュールの上記の正常な機能性により、不正なデータの値を入力として受け取った場合、またはデータの値を入力として受け取らなかった場合に、或るデータの値が、独立して安全状態を出力として示すことが保証される請求項１〜４の何れか１項に記載の方法。
【請求項６】
上記各安全性モジュールからの上記入力パラメータおよび上記出力パラメータは、初期化操作の一部として規定されており、かつ、許可されていないアクセスに対して保護される形式で、関連する上記安全性モジュール内に保存されている請求項１〜５の何れか１項に記載の方法。
【請求項７】
上記安全性プロトコルは、上記安全性モジュール間において上記安全性メッセージの形式で２方向性のデータ伝送を行うように設計されている請求項１〜６の何れか１項に記載の方法。
【請求項８】
上記安全性モジュールは、正常なデータの移動のために設計されている請求項１〜７の何れか１項に記載の方法。
【請求項９】
第１の安全性モジュールがプロセス信号のための入力インタフェースとして用いられており、第２の安全性モジュールがプロセス信号のための出力インタフェースとして用いられている請求項１〜８の何れか１項に記載の方法。
【請求項１０】
上記データ伝送が循環的に、かつ決定的に行なわれ、
上記安全性モジュールのための上記データは、優先的に扱われ、それゆえ、伝送サイクルにおいて安全性モジュールのための全てのデータが最初に伝送され、安全性に関係しない機能に関するデータがその次に伝送される請求項１〜９の何れか１項に記載の方法。
【請求項１１】
安全性機能指向ではないシステムコントローラの一部として、オートメーション・システムにおいて安全性機能を制御する装置であって、
正常な機能性を有する複数の安全性モジュールと、
データを安全性メッセージの形式で伝送する安全性プロトコルと、
制御されるべき、システムの安全性機能に従って、上記安全性モジュールと他の安全性モジュールとを、データおよびフローに関して論理的に結合する論理結合ユニットとを備え、
上記安全性モジュールからの上記入力パラメータおよび上記出力パラメータは、上記安全性プロトコルによって隠蔽される装置。
【発明の詳細な説明】
【発明の詳細な説明】
【０００１】
本発明は、オートメーション・システムにおいて使用される、安全性機能指向ではないシステムコントローラの一部として安全性機能を制御するための方法および装置に関するものである。
【０００２】
機械を制御するためのオートメーション・コンピュータについての根本的な要求は、安全性と信頼性である。特に、もし故障したとしても、オートメーション・システムは危険性を人および環境に与えないということについて確実でなければならない。それ故、オートメーション・システムは通常、いわゆるフェイルセーフの原則で動作している。フェイルセーフの原則では、オートメーション・システムは、重要な要素が作動しない状況下において安全状態に移行する。フェイルセーフの原則に従って安全性に関する制御機能を実行している時のオートメーション・コンピュータの仕事は、制御機能を実行するためのプロセス信号の処理を最新の破損していない形式で行なうことと、安全処理状態をオートメーション・システムの作動装置に常に表示することとである。
【０００３】
オートメーション制御において、安全性に関連する制御機能の数は、通常、オートメーション・システムの通常の動作を維持するために用いられる、安全性に関連しない制御機能の数に対して非常に少ない。オートメーション・コンピュータにおいて、安全性に関連する制御機能の機能性が安全性に関連しない制御機能によって影響されないことを確実にするために、安全性に関連する制御機能は、安全性に関連しない制御機能とは分けられた、独立した安全性プログラムの中に従来組み込まれてきた。上記の安全性に関連する制御機能と安全性に関連しない制御機能との完全な分離を達成するために、安全性プログラムは、通常独立したオートメーション・コンピュータによって実行される。上記の独立したオートメーション・コンピュータは、緊急停止スイッチ、ライトバリア、および専用の配線系統によって機械の安全性を確実にするための他の構成要素に接続されている。
【０００４】
オートメーション・コンピュータにおいてハードウェアの複雑さを減少させるために、オートメーション・システムのためのコントローラ、たとえばシーメンス・シマティック・システム（Siemens' Simatic system）などもまた存在する。シーメンス・シマティック・システムは、安全性プログラムと安全性に関連しない機能とが同一のハードウェアで実行されるシステムとして知られている。このような状況では、安全性に関連しない機能を実行するための従来のオートメーション・コンピュータが、安全性プログラムによって拡張されている。しかしながら、安全性プログラムによるオートメーション・コンピュータの拡張は、精密に規定されたコンフィグレーションとデータ処理環境と（上記シマティック・システムの場合には、ＳＴＥＰ７−ランタイム）によってのみ可能となっている。
【０００５】
WO 02/50637は、関連しない制御機能が、安全プログラム・シェルを用いる安全性プログラムの中へリンクすることを可能とする方法に関して開示している。しかしながら、安全性プログラムと、安全性に関連しない制御プログラムとを共通のオートメーション・コンピュータ上に集積することは、精密に定義されたプログラム環境においては許容されるが、任意性のあるオペレーティングシステム環境、例えばウインドウズ・オペレーティング・プログラムにおいては許容されないという制限がここでも生じる。
【０００６】
さらに、フェイルセーフの原則を基に作動する安全性プログラムにおける一般的な要求として、プログラム・エラーの可能性を可能な限り低く保つことが挙げられる。それ故、安全性プログラムを開発する時の目標は、安全性プログラムの複雑さを可能な限り減少させることである。しかしながら、このことは、従来の閉じた安全性プログラムの場合には、難なく確実に行うことはできない。上記の閉じた安全性プログラムは、安全性に関連しない制御機能から分離されるように意図されているからである。このことは、安全性プログラムをプログラマブルコントローラにおいて用いることが意図されている場合に特にあてはまる。
【０００７】
本発明の目的は、安全性機能を正しく判断することのできないシステムコントローラの一部が安全性機能を制御するための方法と装置を提供することである。その安全性機能につながる安全性プログラムでは複雑さが少なく、あらゆる安全ではないプログラム環境でエラーをすることなく実行することができる。上記のエラーは、安全性機能を制御するときのエラーの結果として生じる、安全性に関連しない制御機能の制御に関するエラーである。
【０００８】
本発明では、上記目的を請求項１に従う方法および請求項１１に従う装置によって実現する。望ましい形態については従属請求項に明記する。
【０００９】
オートメーション・システムにおいて、安全性機能指向ではないシステムコントローラの一部として安全性機能を制御するために、本発明は正常な機能性を有している安全性モジュールおよび安全性プロトコルを提供する。上記安全性プロトコルは、安全性メッセージの形式でデータを伝送する。各々の安全性モジュールからの入力および出力パラメータは、安全性モジュールによって隠蔽されている（encapsulated）。また個々の安全性モジュールは、データおよびフローに関して、制御されるべきシステムの安全性機能に従って、データ伝送リンクによって論理的に組み合わされる。そしてデータの相互交換が、安全性プロトコルを基にして安全性モジュール間で行なわれる。
【００１０】
本発明は、オートメーション・システムの制御のためにフェイルセーフの原則を基にして実行される安全性プログラムが、複雑さを制限された小さい安全性モジュールに分割されることを可能とする。上記構成によってプログラム・エラーの可能性が減少する。これらの安全性モジュールはまた、安全ではない制御環境、即ち、安全性に関連しない制御機能のための任意性のあるオペレーティング・プログラムを有するオートメーションコンピュータにおいて、安全性機能を制御するときに、安全性に関連しない制御機能がエラーとなった場合に生じるエラーを起こすことなく実行されることが可能である。さらに、それらの制御機能を実行するために用いられる、安全性に関連しない制御機能または制御プログラムは、隠蔽された安全性モジュールの機能性を害することなく、いつでも変更することができる。
【００１１】
本発明の、各安全性モジュールから安全性プロトコルによって発せられた入出力パラメータの隠蔽と、安全性プロトコルを基にした各々の安全性モジュール間でのデータの相互交換とは、以下のことを保証する。即ち、安全性モジュール間でのデータ伝送の間におけるデータの破損、例えば故障によるデータの破損が、安全性エンジニアリングのために、充分な確率で識別されることを保証する。そのため、安全性モジュール間を伝送されるデータを、フェイルセーフの原則に基づく安全性機能を実行するためのセーフ・プロセス・データとして扱うことができる。安全性プロトコル、および安全性モジュールの隠蔽を用いることは、２個の安全性モジュール間において、あらゆる伝送の経路で実行されるデータ伝送を可能とする。即ち、どのようなオペレーティング・システム環境であっても、当該オペレーティング・システムにおいて必要となる付加的な安全性を要求することなく、データ伝送を可能とする。
【００１２】
本発明の実施の一形態によれば、安全性メッセージを伝送するために、安全性プロトコルは、伝送されるデータにおける以下の種類のエラーに対する仕組みを含んでいる。即ち、繰り返し、欠落、挿入、誤ったデータ列、データの破損、データ遅延、安全性に関連するデータと安全性に関連しないデータとの結合、および誤ったアドレッシングである。このように、安全性プロトコルでは、安全性エンジニアリングを要求する可能性のある、個別の安全性モジュール間におけるデータの相互交換での全ての誤りまたは破損を識別することができる。これに関連して、安全性メッセージのためのデータ形式を用いて、安全性プロトコルによって実行される安全処理は、以下のようなものである。即ち、安全性メッセージの連続的なナンバリング、安全性メッセージ伝送のタイムモニタリング、安全性メッセージ伝送の認証モニタリング、およびチェックサムを用いた安全性メッセージのデータの完全性の保護である。
【００１３】
本発明の別の好ましい実施の一形態によれば、安全性機能は、安全性モジュールから発せられる入力および出力パラメータの論理的組み合わせによって実行される。このことは、あらゆる安全性機能を小さい安全性モジュールを用いることによって実行できるということを保証する。小さい安全性モジュールは、複雑さを減少させており、エラーに対する感受性を低くすることができる。
【００１４】
本発明の別の好ましい実施の一形態によれば、安全性モジュールの正常な機能性は、誤ったデータ値を入力として受け取った時、またはデータ値を入力として受け取らなかった時でも、独立して安全状態を出力として示すデータ値によって保証されている。この構成では、安全性機能を実行するときにフェイルセーフの原則が保護される。
【００１５】
安全性モジュール間でのデータの相互交換に関する安全性を向上させるということは、それぞれの安全性モジュールの入力および出力パラメータが初期設定の動作の一部分として規定されており、またそれぞれの安全性モジュールの入力および出力パラメータが、許可されていないアクセスに対して保護される形式で、関連する安全性モジュールの中に保存されることによって達成される。この構成では、安全性モジュールの確実な隠蔽が保証される。
【００１６】
安全性をさらに高めることは、データ伝送リンクにおいて、循環的に、かつ決定的に行なわれるデータ伝送によって達成される。また、安全性モジュールのためのデータは、伝送サイクルにおいて安全性モジュールのための全てのデータが最初に伝送され、安全性に関係しない機能がその次に伝送されるように優先的に扱われる。
【００１７】
本発明のより詳細な点については付記する図面とともに説明される。
【００１８】
図１は、オートメーション・システムの基本的な構造を示している。
【００１９】
図２は、オートメーション・システムのための制御プログラムを示しており、安全性に関連する制御機能と安全性に関連しない制御機能とを含んでいる。
【００２０】
図３は、本発明の安全性モジュールの機能ブロック図を示している。
【００２１】
図４は、データフローと実行プランとを示しており、図２に示した制御プログラムのなかの安全性に関連する制御機能について示している。
【００２２】
図５は、図４に示した安全性モジュールＭ２およびＭ４を論理的に組み合わせるためのデータ・インタフェースについて示している。
【００２３】
図１は、オートメーション・システムの基本的な構造を示している。オートメーション・コンピュータは、センサおよびアクチュエータとポイント・トゥ・ポイント接続またはバス・システムによって接続されている。上記接続は、プロセス信号をアクチュエータに自動的に出力するためであり、センサによって捕らえられたプロセス信号に基づいた制御プログラムが用いられている。オートメーション・コンピュータによって実行される制御プログラムへの重要な要求は、オートメーション・システムが機能しなかった場合に、人間および環境に対して脅威を与えないということを保証することである。上記要求は、リアルタイム性能、即ちオートメーション・コンピュータがプロセス信号をアクチュエータに規定のプロセス時間内に出力するという要求とともに求められている。それ故、通常の制御機能に加えて、オートメーション・コンピュータは、オートメーション・システムの重要な構成要素が作動しなかったときに、フェイルセーフの原理として知られている原理に基づいてオートメーション・システムが自動的に安全状態に切り替わることを保証する安全性機能を実行する必要がある。上記のような安全性機能としては、例えば機器における緊急停止回路などがある。
【００２４】
オートメーション・コンピュータで動作している制御プログラム中の安全性機能の数は、通常安全性に関連しない制御機能の数に比べて少ない。安全性機能が実行されたとき、それらが正常に実行されるように保証することが必要である。特に、安全性に関連しない制御機能が、安全性機能の機能性に影響を与えないように保証されなければならない。このことは、特に安全性機能が制御コンピュータにおいて実行されるプログラム環境、即ちオートメーション・コンピュータのオペレーティング・プログラムが、あらゆる安全性基準に従っていない場合にもあてはまる。
【００２５】
安全性機能指向ではないオートメーションコントローラの一部として、安全性機能を制御するために、本発明は正常な機能性を有する安全性モジュールを形成している。上記の安全性モジュールでは、各安全性モジュールからの入力および出力パラメータが安全性プロトコルによって隠蔽される。上記安全性プロトコルは、安全性メッセージの形式でデータを伝送し、それぞれの安全性モジュールは、制御を受けるオートメーション・システムの安全性機能に従ったデータ伝送リンクによって、データおよびフローに関して互いに論理的に結合している。そしてデータの相互交換が、安全性プロトコルを基にして安全性モジュール間で行なわれる。
【００２６】
本発明に従うと、安全性機能を実行するための安全性プログラムは、それ故、機能の範囲を限定された小さい機能ユニットに分割される。これによって、安全性プログラムの開発の複雑さを低減することができる。安全性プログラムの正常な機能性を保証するために、プログラム・エラーの可能性は安全性の閾値より低く保たれる必要がある。その場合にのみ、安全性プログラムもまた保証される。この要求は、本発明の安全性モジュールを用いれば、閉じられた安全性プログラムと比較して、より簡単で高価ではない方法で達成される。上記本発明の安全性モジュールは、限定された機能性のみを有しており、それ故、プログラムの複雑さが限定されている。上記の安全性モジュールは、データの正常な移動を保証するとともに、安全性モジュールの入力において不正なデータ値を受け取ったとき、またはデータ値を受け取らなかったときに、出力部が安全状態を示すデータの値を独立して出力するようにデザインされている。
【００２７】
本発明の安全性プロトコルは、それぞれの安全性モジュールからの入力および出力パラメータが隠蔽され、それ故破損されないということを保証する。さらに、上記安全性プロトコルは、安全性メッセージの形式で、安全性データが個々の安全性モジュール間で相互交換されることを保証する。上記の安全性プロトコルは、制御されるべき安全性機能に従って、データおよびフローに関して上記安全性モジュールを論理的に相互に結合している。上記の方法では、安全性機能を、安全性に関連しない制御機能をも含む安全ではないプログラム環境で実行することができる。それ故、それ自身はフェイルセーフ・プログラムでの安全性エンジニアリングの要求を満たす必要がない、あらゆるオペレーティング・プログラムで上記オートメーション・コンピュータを作動させることができる。これに関連して、上記の安全性プロトコルは、データ伝送の間のデータの破損が、安全性エンジニアリングのために充分な確率のレベルで識別されるように伝送されるデータを保護する。本発明の安全性プロトコルは、あらゆるデータ伝送経路によって、データを安全性モジュール間で伝送するために用いることができる。さらに、上記の安全性プロトコルは、安全性モジュールが論理的に自在に結合することを許可する。上記の事項は、プログラマブルコントローラの場合に特に有利である。なぜなら、そのときに要求される、可能な論理的組み合わせの多様性が、もはや安全性プログラムの複雑さの増加に反映されないからである。
【００２８】
安全性メッセージを安全に伝送するために、安全性プロトコルは以下の種類のエラーに対する機構を含んでいる。即ち、繰り返し、欠落、挿入、誤ったデータ列、データの破損、データ遅延、安全性に関係するデータと安全性に関連しないデータとの結合、および誤ったアドレッシングである。これに関係して用いられる安全性処置は、以下の安全性処置を実行するための安全性メッセージのデータ形式である。即ち、上記安全性処置とは、安全性メッセージの連続的なナンバリング、安全性メッセージを伝送したときの、時間のオーバーシュートのモニタリング、安全性メッセージ伝送の認証モニタリング、パスワードが好ましく用いられているか、およびチェックサムを用いた安全性メッセージのデータの完全性の保護である。
【００２９】
図２は、安全性機能および安全性に関連しない制御タスクの両方を含むオートメーション・コンピュータのための可能な制御プログラムの例を示している。この場合、安全性に関連する制御機能はタスク１と結びついており、安全性に関連しない機能はタスク２に結びついている。オートメーション・コンピュータと、接続されているアクチュエータおよびセンサとのデータの相互交換は、このような状況において循環的であり、かつ決定的に行なわれる。安全性モジュールのためのデータは、伝送サイクルにおいて、優先的に扱われ、それゆえ、安全性モジュールのための全てのデータが最初に伝送され、安全性に関連しない機能がその次に伝送される。
【００３０】
示されている実施の形態では、安全性のタスク１が６個の安全性モジュールＭ１〜Ｍ６に分配されている。これらの安全性モジュールは、それら自身において隠蔽されており、それらの間で安全性プロトコルを用いて２方向性のデータの相互交換（２方向の矢によって特定されている）が行われる。上記の場合、安全性モジュールＭ１は、センサからの安全性に関連するデータを含むプロセス信号のための入力インタフェースを形成する。安全性モジュールＭ６は、接続されたアクチュエータのフェイルセーフ状態を制御するためのプロセス信号のための出力インタフェースを形成する。この場合、６個の安全性モジュールＭ１〜Ｍ６は、オートメーション・システムの望ましい安全性機能が行なわれるように、互いに論理的に結合している。制御タスク２は、安全性に関連しない全ての制御機能を含んでいる。またデータの相互交換は、センサからのプロセス信号を入力するためのインタフェースと、プロセス信号をアクチュエータへ出力するためのインタフェースとによって単一方向で行なわれる。安全性に関連する制御機能および安全性に関連しない制御機能を備えた制御プログラムは、上記の場合には、オペレーティング環境自身があらゆる安全性の要求を受けていない、即ち、保証されることが必要でない、どのようなオペレーティング環境下でも実行される。
【００３１】
図２に示す安全性モジュールＭ１〜Ｍ６はオペレーティング・システム内で結合しており、好ましくはライブラリ内で結合している。また上記安全性モジュールＭ１〜Ｍ６は他の制御プログラムによってファンクション・コールを用いてアドレスされる。安全性モジュールの複雑さは、この場合には異なっており、例えば、ブール組み合わせ論理機能または単純な制御機能であってもよい。個々の安全性モジュールは、このような状況において、規定された安全性の要求に基づいて、データの移動における安全な機能性を保証している。安全性モジュール間での安全なコミュニケーションは、安全性プロトコルによって達成される。このために、安全性モジュールからの全ての入力および出力パラメータは、安全性プロトコルによって隠蔽される。
【００３２】
図３は、図２に示した１個の入力インタフェースと２個の出力インタフェースを備える安全性モジュールＭ１を示しており、上記入力インタフェースは３個のパラメータを備え、上記２個の出力インタフェースは、安全性プロトコルによってそれぞれ隠蔽された２個のパラメータをそれぞれ備えている。安全性プロトコルは、図４に示すように、要求される安全性の基準に従って、隠蔽された入力および出力インタフェースを論理的に結合している。例えば、安全性プログラムがシングル・プロセッサのハードウェアで実行されると、安全性プロトコルは、それぞれの安全性モジュール内で安全性プログラムの機能シーケンスを二重で実行することを保証する。この場合、データのフローおよび制御タスク１の実行シーケンスは、図４の左から、即ちセンサからプロセスデータを受け取った安全性モジュールＭ１から行なわれ、右へ、即ち安全状態を示すプロセス信号をアクチュエータに出力する安全性モジュールＭ６へ向かって行なわれる。
【００３３】
さらに、安全性モジュールＭ２およびＭ４を論理的に結合するデータ・インタフェースを図５に示す。安全性プロトコルに従って、安全性モジュールＭ２から安全性モジュールＭ４に伝送されるデータは、制御ビットＦ−Ｃｏｎｔｒｏｌ、シーケンス番号Ｆ−ＳｅｑＮｏ、およびチェックサムＦ−ＣＲＣ２を用いて隠蔽されている。データ・インタフェースが正常であるかどうかを安全性モジュールＭ２が確認できるように、安全性モジュールＭ４は、状態ビットＦ−Ｓｔａｔｕｓ、シーケンス番号Ｆ−ＳｅｑＮｏ、およびチェックサムＦ−ＣＲＣ２を安全性モジュールＭ２に返す。このようにして、上流にある安全性モジュールＭ２は、下流にある安全性モジュールＭ４に関して、受信された後に返送される必要のある、シーケンス番号Ｆ−ＳｅｑＮｏおよびチェックサムＦ−ＣＲＣ２を特定する。この場合では、２個の安全性モジュールＭ２およびＭ４の間のデータの相互交換が、予め定められた時間内に行なわれる必要がある。特に、この時間内に、シーケンス番号が安全性モジュールＭ４によって安全性モジュールＭ２に折り返し送信される必要がある。次のサイクルでは、シーケンス番号は、データの相互交換を制御するために安全性モジュールＭ２によって１増加させられる。この処理を通じて、正しいデータ伝送が安全性モジュールＭ２と安全性モジュールＭ４との間で行なわれたかどうか、および／または実行の順番が正しく行なわれたかどうかを確実に確認することができる。
【００３４】
さらに、安全性プロトコルは、データのあらゆる反転を識別するために、２個の安全性モジュール間における全ての接続に関してチェックサムが異なることを規定する。そのために、それぞれの安全性インタフェースは、チェックサムの計算結果に含まれる特有の識別子を受け取る。安全性モジュールのための識別子は、この場合安全性プロトコルの中の論理ツールによって規定される。上記論理ツールはまた、安全性モジュール間でのデータ伝送のためのフローチャートを規定している。安全性プロトコルの論理ツールは、安全性モジュールのための識別子が２重に割り当てられないこと、および実行ステップにおいて、データおよびフローに関する安全性モジュールの論理的結合が安全性モジュールのために規定され、関連する識別子が保存されることを保証する。論理ツールによる上記の実行は、この場合パスワードによって保護されることが好ましい。
【００３５】
本発明では、安全性機能を、複雑さの少なさによって特徴付けられる多数の安全性モジュールに分割できることによって、安全性機能を容易に制御することが可能となる。そして、安全性エンジニアリングの観点からみた個々の安全性モジュールまたはそれら自身におけるそれらの機能性を考慮すること、およびそれらを保証することだけが必要となる。安全モジュール間での安全なコミュニケーションは、安全性モジュールからの入力および出力のパラメータを隠蔽し、安全なデータの相互交換を保証する安全性プロトコルによって保証される。この安全性プロトコルはまた、初期化状態における安全性モジュール間での安全性機能のためのフローチャートについて規定している。
【図面の簡単な説明】
【００３６】
【図１】図１は、オートメーション・システムの基本的な構造を示す図である。
【図２】図２は、オートメーション・システムのための制御プログラムを示す図である。
【図３】図３は、本発明の安全性モジュールの機能ブロック図である。
【図４】図４は、データフローと実行プランとを示ず図である。
【図５】図５は、図４に示した安全性モジュールＭ２およびＭ４を論理的に組み合わせるためのデータ・インタフェースについて示している図である。
【図１】
2007533045.tif 000003
【図２】
2007533045.tif 000004
【図３】
2007533045.tif 000005
【図４】
2007533045.tif 000006
【図５】
2007533045.tif 000007
【手続補正書】
【提出日】平成18年2月20日(2006.2.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
安全性機能指向ではないシステムコントローラの一部分として安全性機能を制御する方法であって、
正常な機能性を有する複数の安全性モジュールと、
データを安全性メッセージの形式で送信する安全性プロトコルとを含み、
上記各安全性モジュールからの入力パラメータおよび出力パラメータは、上記安全性プロトコルによって隠蔽され、
個々の上記安全性モジュールは、制御されるべき、システムの安全性機能に従ってデータ伝送リンクによって、データおよびフローに関して互いに論理的に結合しており、
上記データの相互変換が、上記安全性プロトコルに基づいて上記安全性モジュール間で行なわれ、
上記安全性プロトコルの実行工程では、
データおよびフローに関する、上記安全性モジュールの論理的な結合は、制御されるべきシステムの安全性機能に従って規定され、
それぞれの安全性モジュールには、特有の識別子が割り当てられることを特徴とする安全性機能を制御する方法。
【請求項２】
上記安全性メッセージを伝送するために、上記安全性プロトコルは、繰り返し、欠落、挿入、誤ったデータ列、データの破損、データ遅延、安全性に関連するデータと安全性に関連しないデータとの結合、誤ったアドレッシングという、上記伝送されるデータに含まれるエラーに対する機構を含んでいることを特徴とする請求項１に記載の方法。
【請求項３】
上記安全性プロトコルは、上記安全性メッセージの連続的なナンバリング、上記安全性メッセージの伝送に関するタイムモニタリング、上記安全性メッセージの伝送に関する認証モニタリング、およびチェックサムを用いた上記安全性メッセージの、データの完全性の保護という安全性処置を実行するために、上記安全性メッセージのためのデータ形式を使用することを特徴とする請求項２に記載の方法。
【請求項４】
上記安全性機能が、上記安全性モジュールからの上記入力パラメータおよび上記出力パラメータの論理的結合によって実行されることを特徴とする請求項１〜３の何れか１項に記載の方法。
【請求項５】
上記安全性モジュールの上記の正常な機能性により、不正なデータの値を入力として受け取った場合、またはデータの値を入力として受け取らなかった場合に、或るデータの値が、独立して安全状態を出力として示すことが保証されることを特徴とする請求項１〜４の何れか１項に記載の方法。
【請求項６】
上記各安全性モジュールからの上記入力パラメータおよび上記出力パラメータは、初期化操作の一部として規定されており、かつ、許可されていないアクセスに対して保護される形式で、関連する上記安全性モジュール内に保存されていることを特徴とする請求項１〜５の何れか１項に記載の方法。
【請求項７】
上記安全性プロトコルは、上記安全性モジュール間において上記安全性メッセージの形式で２方向性のデータ伝送を行うように設計されていることを特徴とする請求項１〜６の何れか１項に記載の方法。
【請求項８】
上記安全性モジュールは、正常なデータの移動のために設計されていることを特徴とする請求項１〜７の何れか１項に記載の方法。
【請求項９】
第１の安全性モジュールがプロセス信号のための入力インタフェースとして用いられており、第２の安全性モジュールがプロセス信号のための出力インタフェースとして用いられていることを特徴とする請求項１〜８の何れか１項に記載の方法。
【請求項１０】
上記データ伝送が循環的に、かつ決定的に行なわれ、
上記安全性モジュールのための上記データは、優先的に扱われ、それゆえ、伝送サイクルにおいて安全性モジュールのための全てのデータが最初に伝送され、安全性に関係しない機能に関するデータがその次に伝送されることを特徴とする請求項１〜９の何れか１項に記載の方法。
【請求項１１】
安全性機能指向ではないシステムコントローラの一部として、オートメーション・システムにおいて安全性機能を制御する装置であって、
データ伝送リンクによって、データおよびフローに関して互いに論理的に結合した、正常な機能性を有する複数の安全性モジュールと、
データを安全性メッセージの形式で伝送する安全性プロトコルと、
上記安全性プロトコル中の論理ツールとを備え、
上記安全性モジュールからの上記入力パラメタおよび上記出力パラメタは、上記安全性プロトコルによって隠蔽されており、
上記論理ツールは、上記安全性プロトコルの実行工程において、制御されるべき上記システムの安全性機能に従った、データおよびフローに関する上記安全性モジュールの論理的結合を規定するように設計されているとともに、それぞれの安全性モジュールに特有の識別子を割り当てるように設計されていることを特徴とする安全性機能を制御する装置。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【発明の詳細な説明】
【０００１】
本発明は、オートメーション・システムにおいて使用される、安全性機能指向ではないシステムコントローラの一部として安全性機能を制御するための方法および装置に関するものである。
【０００２】
機械を制御するためのオートメーション・コンピュータについての根本的な要求は、安全性と信頼性である。特に、もし故障したとしても、オートメーション・システムは危険性を人および環境に与えないということについて確実でなければならない。それ故、オートメーション・システムは通常、いわゆるフェイルセーフの原則で動作している。フェイルセーフの原則では、オートメーション・システムは、重要な要素が作動しない状況下において安全状態に移行する。フェイルセーフの原則に従って安全性に関する制御機能を実行している時のオートメーション・コンピュータの仕事は、制御機能を実行するためのプロセス信号の処理を最新の破損していない形式で行なうことと、安全処理状態をオートメーション・システムの作動装置に常に表示することとである。
【０００３】
オートメーション制御において、安全性に関連する制御機能の数は、通常、オートメーション・システムの通常の動作を維持するために用いられる、安全性に関連しない制御機能の数に対して非常に少ない。オートメーション・コンピュータにおいて、安全性に関連する制御機能の機能性が安全性に関連しない制御機能によって影響されないことを確実にするために、安全性に関連する制御機能は、安全性に関連しない制御機能とは分けられた、独立した安全性プログラムの中に従来組み込まれてきた。上記の安全性に関連する制御機能と安全性に関連しない制御機能との完全な分離を達成するために、安全性プログラムは、通常独立したオートメーション・コンピュータによって実行される。上記の独立したオートメーション・コンピュータは、緊急停止スイッチ、ライトバリア、および専用の配線系統によって機械の安全性を確実にするための他の構成要素に接続されている。
【０００４】
オートメーション・コンピュータにおいてハードウェアの複雑さを減少させるために、オートメーション・システムのためのコントローラ、たとえばシーメンス・シマティック・システム（Siemens' Simatic system）などもまた存在する。シーメンス・シマティック・システムは、安全性プログラムと安全性に関連しない機能とが同一のハードウェアで実行されるシステムとして知られている。このような状況では、安全性に関連しない機能を実行するための従来のオートメーション・コンピュータが、安全性プログラムによって拡張されている。しかしながら、安全性プログラムによるオートメーション・コンピュータの拡張は、精密に規定されたコンフィグレーションとデータ処理環境と（上記シマティック・システムの場合には、ＳＴＥＰ７−ランタイム）によってのみ可能となっている。
【０００５】
EP-A-1 043 640は、安全性機能のために設計されていない標準的なアセンブリにおいて安全性機能が実行されるフェイルセーフ・オートメーション・システムについて開示している。そして、上記のアセンブリは、正常な機能性を備えた、安全性プログラムすなわち「Ｆ−ユーザ・プログラム」を実行する。各々のアセンブリで実行される上記の安全性プログラムは、それ故、安全性プロトコルを用いて、互いにデータの相互交換を実行するとともに、周辺のデバイスとデータの相互交換を実行する。しかしながら、それぞれのアセンブリは、標準的なユーザ・プログラムおよびオペレーティング・システムに加えて、常に一つの安全性プログラムを実行するだけである。
【０００６】
WO 02/50637は、関連しない制御機能が、安全プログラム・シェルを用いる安全性プログラムの中へリンクすることを可能とする方法に関して開示している。しかしながら、安全性プログラムと、安全性に関連しない制御プログラムとを共通のオートメーション・コンピュータ上に集積することは、精密に定義されたプログラム環境においては許容されるが、任意性のあるオペレーティングシステム環境、例えばウインドウズ・オペレーティング・プログラムにおいては許容されないという制限がここでも生じる。
【０００７】
さらに、フェイルセーフの原則を基に作動する安全性プログラムにおける一般的な要求として、プログラム・エラーの可能性を可能な限り低く保つことが挙げられる。それ故、安全性プログラムを開発する時の目標は、安全性プログラムの複雑さを可能な限り減少させることである。しかしながら、このことは、従来の閉じた安全性プログラムの場合には、難なく確実に行うことはできない。上記の閉じた安全性プログラムは、安全性に関連しない制御機能から分離されるように意図されているからである。このことは、安全性プログラムをプログラマブルコントローラにおいて用いることが意図されている場合に特にあてはまる。
【０００８】
本発明の目的は、安全性機能を正しく判断することのできないシステムコントローラの一部が安全性機能を制御するための方法と装置を提供することである。その安全性機能につながる安全性プログラムでは複雑さが少なく、あらゆる安全ではないプログラム環境でエラーをすることなく実行することができる。上記のエラーは、安全性機能を制御するときのエラーの結果として生じる、安全性に関連しない制御機能の制御に関するエラーである。
【０００９】
本発明では、上記目的を請求項１に従う方法および請求項１１に従う装置によって実現する。望ましい形態については従属請求項に明記する。
【００１０】
オートメーション・システムにおいて、安全性機能指向ではないシステムコントローラの一部として安全性機能を制御するために、本発明は正常な機能性を有している安全性モジュールおよび安全性プロトコルを提供する。上記安全性プロトコルは、安全性メッセージの形式でデータを伝送する。各々の安全性モジュールからの入力および出力パラメータは、安全性モジュールによって隠蔽されている（encapsulated）。また個々の安全性モジュールは、データおよびフローに関して、制御されるべきシステムの安全性機能に従って、データ伝送リンクによって論理的に組み合わされる。そしてデータの相互交換が、安全性プロトコルを基にして安全性モジュール間で行なわれる。
【００１１】
本発明は、オートメーション・システムの制御のためにフェイルセーフの原則を基にして実行される安全性プログラムが、複雑さを制限された小さい安全性モジュールに分割されることを可能とする。上記構成によってプログラム・エラーの可能性が減少する。これらの安全性モジュールはまた、安全ではない制御環境、即ち、安全性に関連しない制御機能のための任意性のあるオペレーティング・プログラムを有するオートメーションコンピュータにおいて、安全性機能を制御するときに、安全性に関連しない制御機能がエラーとなった場合に生じるエラーを起こすことなく実行されることが可能である。さらに、それらの制御機能を実行するために用いられる、安全性に関連しない制御機能または制御プログラムは、隠蔽された安全性モジュールの機能性を害することなく、いつでも変更することができる。
【００１２】
本発明の、各安全性モジュールから安全性プロトコルによって発せられた入出力パラメータの隠蔽と、安全性プロトコルを基にした各々の安全性モジュール間でのデータの相互交換とは、以下のことを保証する。即ち、安全性モジュール間でのデータ伝送の間におけるデータの破損、例えば故障によるデータの破損が、安全性エンジニアリングのために、充分な確率で識別されることを保証する。そのため、安全性モジュール間を伝送されるデータを、フェイルセーフの原則に基づく安全性機能を実行するためのセーフ・プロセス・データとして扱うことができる。安全性プロトコル、および安全性モジュールの隠蔽を用いることは、２個の安全性モジュール間において、あらゆる伝送の経路で実行されるデータ伝送を可能とする。即ち、どのようなオペレーティング・システム環境であっても、当該オペレーティング・システムにおいて必要となる付加的な安全性を要求することなく、データ伝送を可能とする。
【００１３】
本発明の実施の一形態によれば、安全性メッセージを伝送するために、安全性プロトコルは、伝送されるデータにおける以下の種類のエラーに対する仕組みを含んでいる。即ち、繰り返し、欠落、挿入、誤ったデータ列、データの破損、データ遅延、安全性に関連するデータと安全性に関連しないデータとの結合、および誤ったアドレッシングである。このように、安全性プロトコルでは、安全性エンジニアリングを要求する可能性のある、個別の安全性モジュール間におけるデータの相互交換での全ての誤りまたは破損を識別することができる。これに関連して、安全性メッセージのためのデータ形式を用いて、安全性プロトコルによって実行される安全処理は、以下のようなものである。即ち、安全性メッセージの連続的なナンバリング、安全性メッセージ伝送のタイムモニタリング、安全性メッセージ伝送の認証モニタリング、およびチェックサムを用いた安全性メッセージのデータの完全性の保護である。
【００１４】
本発明の別の好ましい実施の一形態によれば、安全性機能は、安全性モジュールから発せられる入力および出力パラメータの論理的組み合わせによって実行される。このことは、あらゆる安全性機能を小さい安全性モジュールを用いることによって実行できるということを保証する。小さい安全性モジュールは、複雑さを減少させており、エラーに対する感受性を低くすることができる。
【００１５】
本発明の別の好ましい実施の一形態によれば、安全性モジュールの正常な機能性は、誤ったデータ値を入力として受け取った時、またはデータ値を入力として受け取らなかった時でも、独立して安全状態を出力として示すデータ値によって保証されている。この構成では、安全性機能を実行するときにフェイルセーフの原則が保護される。
【００１６】
安全性モジュール間でのデータの相互交換に関する安全性を向上させるということは、それぞれの安全性モジュールの入力および出力パラメータが初期設定の動作の一部分として規定されており、またそれぞれの安全性モジュールの入力および出力パラメータが、許可されていないアクセスに対して保護される形式で、関連する安全性モジュールの中に保存されることによって達成される。この構成では、安全性モジュールの確実な隠蔽が保証される。
【００１７】
安全性をさらに高めることは、データ伝送リンクにおいて、循環的に、かつ決定的に行なわれるデータ伝送によって達成される。また、安全性モジュールのためのデータは、伝送サイクルにおいて安全性モジュールのための全てのデータが最初に伝送され、安全性に関係しない機能がその次に伝送されるように優先的に扱われる。
【００１８】
本発明のより詳細な点については付記する図面とともに説明される。
【００１９】
図１は、オートメーション・システムの基本的な構造を示している。
【００２０】
図２は、オートメーション・システムのための制御プログラムを示しており、安全性に関連する制御機能と安全性に関連しない制御機能とを含んでいる。
【００２１】
図３は、本発明の安全性モジュールの機能ブロック図を示している。
【００２２】
図４は、データフローと実行プランとを示しており、図２に示した制御プログラムのなかの安全性に関連する制御機能について示している。
【００２３】
図５は、図４に示した安全性モジュールＭ２およびＭ４を論理的に組み合わせるためのデータ・インタフェースについて示している。
【００２４】
図１は、オートメーション・システムの基本的な構造を示している。オートメーション・コンピュータは、センサおよびアクチュエータとポイント・トゥ・ポイント接続またはバス・システムによって接続されている。上記接続は、プロセス信号をアクチュエータに自動的に出力するためであり、センサによって捕らえられたプロセス信号に基づいた制御プログラムが用いられている。オートメーション・コンピュータによって実行される制御プログラムへの重要な要求は、オートメーション・システムが機能しなかった場合に、人間および環境に対して脅威を与えないということを保証することである。上記要求は、リアルタイム性能、即ちオートメーション・コンピュータがプロセス信号をアクチュエータに規定のプロセス時間内に出力するという要求とともに求められている。それ故、通常の制御機能に加えて、オートメーション・コンピュータは、オートメーション・システムの重要な構成要素が作動しなかったときに、フェイルセーフの原理として知られている原理に基づいてオートメーション・システムが自動的に安全状態に切り替わることを保証する安全性機能を実行する必要がある。上記のような安全性機能としては、例えば機器における緊急停止回路などがある。
【００２５】
オートメーション・コンピュータで動作している制御プログラム中の安全性機能の数は、通常安全性に関連しない制御機能の数に比べて少ない。安全性機能が実行されたとき、それらが正常に実行されるように保証することが必要である。特に、安全性に関連しない制御機能が、安全性機能の機能性に影響を与えないように保証されなければならない。このことは、特に安全性機能が制御コンピュータにおいて実行されるプログラム環境、即ちオートメーション・コンピュータのオペレーティング・プログラムが、あらゆる安全性基準に従っていない場合にもあてはまる。
【００２６】
安全性機能指向ではないオートメーションコントローラの一部として、安全性機能を制御するために、本発明は正常な機能性を有する安全性モジュールを形成している。上記の安全性モジュールでは、各安全性モジュールからの入力および出力パラメータが安全性プロトコルによって隠蔽される。上記安全性プロトコルは、安全性メッセージの形式でデータを伝送し、それぞれの安全性モジュールは、制御を受けるオートメーション・システムの安全性機能に従ったデータ伝送リンクによって、データおよびフローに関して互いに論理的に結合している。そしてデータの相互交換が、安全性プロトコルを基にして安全性モジュール間で行なわれる。
【００２７】
本発明に従うと、安全性機能を実行するための安全性プログラムは、それ故、機能の範囲を限定された小さい機能ユニットに分割される。これによって、安全性プログラムの開発の複雑さを低減することができる。安全性プログラムの正常な機能性を保証するために、プログラム・エラーの可能性は安全性の閾値より低く保たれる必要がある。その場合にのみ、安全性プログラムもまた保証される。この要求は、本発明の安全性モジュールを用いれば、閉じられた安全性プログラムと比較して、より簡単で高価ではない方法で達成される。上記本発明の安全性モジュールは、限定された機能性のみを有しており、それ故、プログラムの複雑さが限定されている。上記の安全性モジュールは、データの正常な移動を保証するとともに、安全性モジュールの入力において不正なデータ値を受け取ったとき、またはデータ値を受け取らなかったときに、独立した出力部が安全状態を示すデータの値を出力するようにデザインされている。
【００２８】
本発明の安全性プロトコルは、それぞれの安全性モジュールからの入力および出力パラメータが隠蔽され、それ故破損されないということを保証する。さらに、上記安全性プロトコルは、安全性メッセージの形式で、安全性データが個々の安全性モジュール間で相互交換されることを保証する。上記の安全性プロトコルは、制御されるべき安全性機能に従って、データおよびフローに関して上記安全性モジュールを論理的に相互に結合している。上記の方法では、安全性機能を、安全性に関連しない制御機能をも含む安全ではないプログラム環境で実行することができる。それ故、それ自身はフェイルセーフ・プログラムでの安全性エンジニアリングの要求を満たす必要がない、あらゆるオペレーティング・プログラムで上記オートメーション・コンピュータを作動させることができる。これに関連して、上記の安全性プロトコルは、データ伝送の間のデータの破損が、安全性エンジニアリングのために充分な確率のレベルで識別されるように伝送されるデータを保護する。本発明の安全性プロトコルは、あらゆるデータ伝送経路によって、データを安全性モジュール間で伝送するために用いることができる。さらに、上記の安全性プロトコルは、安全性モジュールが論理的に自在に結合することを許可する。上記の事項は、プログラマブルコントローラの場合に特に有利である。なぜなら、そのときに要求される、可能な論理的組み合わせの多様性が、もはや安全性プログラムの複雑さの増加に反映されないからである。
【００２９】
安全性メッセージを安全に伝送するために、安全性プロトコルは以下の種類のエラーに対する機構を含んでいる。即ち、繰り返し、欠落、挿入、誤ったデータ列、データの破損、データ遅延、安全性に関係するデータと安全性に関連しないデータとの結合、および誤ったアドレッシングである。これに関係して用いられる安全性処置は、以下の安全性処置を実行するための安全性メッセージのデータ形式である。即ち、上記安全性処置とは、安全性メッセージの連続的なナンバリング、安全性メッセージを伝送したときの、時間のオーバーシュートのモニタリング、安全性メッセージ伝送の認証モニタリング、パスワードが好ましく用いられているか、およびチェックサムを用いた安全性メッセージのデータの完全性の保護である。
【００３０】
図２は、安全性機能および安全性に関連しない制御タスクの両方を含むオートメーション・コンピュータのための可能な制御プログラムの例を示している。この場合、安全性に関連する制御機能はタスク１と結びついており、安全性に関連しない機能はタスク２に結びついている。オートメーション・コンピュータと、接続されているアクチュエータおよびセンサとのデータの相互交換は、このような状況において循環的であり、かつ決定的に行なわれる。安全性モジュールのためのデータは、伝送サイクルにおいて、優先的に扱われ、それゆえ、安全性モジュールのための全てのデータが最初に伝送され、安全性に関連しない機能がその次に伝送される。
【００３１】
示されている実施の形態では、安全性のタスク１が６個の安全性モジュールＭ１〜Ｍ６に分配されている。これらの安全性モジュールは、それら自身において隠蔽されており、それらの間で安全性プロトコルを用いて２方向性のデータの相互交換（２方向の矢によって特定されている）が行われる。上記の場合、安全性モジュールＭ１は、センサからの安全性に関連するデータを含むプロセス信号のための入力インタフェースを形成する。安全性モジュールＭ６は、接続されたアクチュエータのフェイルセーフ状態を制御するためのプロセス信号のための出力インタフェースを形成する。この場合、６個の安全性モジュールＭ１〜Ｍ６は、オートメーション・システムの望ましい安全性機能が行なわれるように、互いに論理的に結合している。制御タスク２は、安全性に関連しない全ての制御機能を含んでいる。またデータの相互交換は、センサからのプロセス信号を入力するためのインタフェースと、プロセス信号をアクチュエータへ出力するためのインタフェースとによって単一方向で行なわれる。安全性に関連する制御機能および安全性に関連しない制御機能を備えた制御プログラムは、上記の場合には、オペレーティング環境自身があらゆる安全性の要求を受けていない、即ち、保証されることが必要でない、どのようなオペレーティング環境下でも実行される。
【００３２】
図２に示す安全性モジュールＭ１〜Ｍ６はオペレーティング・システム内で結合しており、好ましくはライブラリ内で結合している。また上記安全性モジュールＭ１〜Ｍ６は他の制御プログラムによってファンクション・コールを用いてアドレスされる。安全性モジュールの複雑さは、この場合には異なっており、例えば、ブール組み合わせ論理機能または単純な制御機能であってもよい。個々の安全性モジュールは、このような状況において、規定された安全性の要求に基づいて、データの移動における安全な機能性を保証している。安全性モジュール間での安全なコミュニケーションは、安全性プロトコルによって達成される。このために、安全性モジュールからの全ての入力および出力パラメータは、安全性プロトコルによって隠蔽される。
【００３３】
図３は、図２に示した１個の入力インタフェースと２個の出力インタフェースを備える安全性モジュールＭ１を示しており、上記入力インタフェースは３個のパラメータを備え、上記２個の出力インタフェースは、安全性プロトコルによってそれぞれ隠蔽された２個のパラメータをそれぞれ備えている。安全性プロトコルは、図４に示すように、要求される安全性の基準に従って、隠蔽された入力および出力インタフェースを論理的に結合している。例えば、安全性プログラムがシングル・プロセッサのハードウェアで実行されると、安全性プロトコルは、それぞれの安全性モジュール内で安全性プログラムの機能シーケンスを二重で実行することを保証する。この場合、データのフローおよび制御タスク１の実行シーケンスは、図４の左から、即ちセンサからプロセスデータを受け取った安全性モジュールＭ１から行なわれ、右へ、即ち安全状態を示すプロセス信号をアクチュエータに出力する安全性モジュールＭ６へ向かって行なわれる。
【００３４】
さらに、安全性モジュールＭ２およびＭ４を論理的に結合するデータ・インタフェースを図５に示す。安全性プロトコルに従って、安全性モジュールＭ２から安全性モジュールＭ４に伝送されるデータは、制御ビットＦ−Ｃｏｎｔｒｏｌ、シーケンス番号Ｆ−ＳｅｑＮｏ、およびチェックサムＦ−ＣＲＣ２を用いて隠蔽されている。データ・インタフェースが正常であるかどうかを安全性モジュールＭ２が確認できるように、安全性モジュールＭ４は、状態ビットＦ−Ｓｔａｔｕｓ、シーケンス番号Ｆ−ＳｅｑＮｏ、およびチェックサムＦ−ＣＲＣ２を安全性モジュールＭ２に返す。このようにして、上流にある安全性モジュールＭ２は、下流にある安全性モジュールＭ４に関して、受信された後に返送される必要のある、シーケンス番号Ｆ−ＳｅｑＮｏおよびチェックサムＦ−ＣＲＣ２を特定する。この場合では、２個の安全性モジュールＭ２およびＭ４の間のデータの相互交換が、予め定められた時間内に行なわれる必要がある。特に、この時間内に、シーケンス番号が安全性モジュールＭ４によって安全性モジュールＭ２に折り返し送信される必要がある。次のサイクルでは、シーケンス番号は、データの相互交換を制御するために安全性モジュールＭ２によって１増加させられる。この処理を通じて、正しいデータ伝送が安全性モジュールＭ２と安全性モジュールＭ４との間で行なわれたかどうか、および／または実行の順番が正しく行なわれたかどうかを確実に確認することができる。
【００３５】
さらに、安全性プロトコルは、データのあらゆる反転を識別するために、２個の安全性モジュール間における全ての接続に関してチェックサムが異なることを規定する。そのために、それぞれの安全性インタフェースは、チェックサムの計算結果に含まれる特有の識別子を受け取る。安全性モジュールのための識別子は、この場合安全性プロトコルの中の論理ツールによって規定される。上記論理ツールはまた、安全性モジュール間でのデータ伝送のためのフローチャートを規定している。安全性プロトコルの論理ツールは、安全性モジュールのための識別子が２重に割り当てられないこと、および実行ステップにおいて、データおよびフローに関する安全性モジュールの論理的結合が安全性モジュールのために規定され、関連する識別子が保存されることを保証する。論理ツールによる上記の実行は、この場合パスワードによって保護されることが好ましい。
【００３６】
本発明では、安全性機能を、複雑さの少なさによって特徴付けられる多数の安全性モジュールに分割できることによって、安全性機能を容易に制御することが可能となる。そして、安全性エンジニアリングの観点からみた個々の安全性モジュールまたはそれら自身におけるそれらの機能性を考慮すること、およびそれらを保証することだけが必要となる。安全モジュール間での安全なコミュニケーションは、安全性モジュールからの入力および出力のパラメータを隠蔽し、安全なデータの相互交換を保証する安全性プロトコルによって保証される。この安全性プロトコルはまた、初期化状態における安全性モジュール間での安全性機能のためのフローチャートについて規定している。
【図面の簡単な説明】
【００３７】
【図１】図１は、オートメーション・システムの基本的な構造を示す図である。
【図２】図２は、オートメーション・システムのための制御プログラムを示す図である。
【図３】図３は、本発明の安全性モジュールの機能ブロック図である。
【図４】図４は、データフローと実行プランとを示ず図である。
【図５】図５は、図４に示した安全性モジュールＭ２およびＭ４を論理的に組み合わせるためのデータ・インタフェースについて示している図である。
【国際調査報告】
2007533045.tif 000008
2007533045.tif 000009
2007533045.tif 000010
2007533045.tif 000011
2007533045.tif 000012
2007533045.tif 000013