(57)【要約】  本発明は、セーフティコントロールを作動させる方法、および、そのようなセーフティコントロールを含むオートメーションネットワークに関する。本発明では、セーフティコントロールを実装しているマスターサブスクライバを含むオートメーションネットワーク内の上記セーフティコントロールを作動させるために、上記セーフティコントロールに識別子を割り当てる。上記マスターサブスクライバは、安全マスターサブスクライバ内に格納されている上記識別子が上記セーフティコントロールから計算される上記識別子と一致するかを、上記セーフティコントロールをロードするときに確認する。上記識別子が異なると判定された場合に、上記オートメーションネットワークは、安全状態に移行する。
2011516997.tif 000002
【特許請求の範囲】
【請求項１】
オートメーションネットワーク内のセーフティコントロールを、上記セーフティコントロールを実装しているマスターサブスクライバによって作動させる作動方法であって、
上記マスターサブスクライバが、識別子が割り当てられている上記セーフティコントロールをロードしている間に、上記セーフティコントロールに割り当てられている上記識別子が上記セーフティコントロール内で計算される上記識別子と一致するかを判定する判定工程と、
上記判定工程にて上記識別子が一致しないと判定された場合に、上記オートメーションネットワークが安全状態に移行する移行工程と、を含んでいることを特徴とする作動方法。
【請求項２】
上記オートメーションネットワークの起動中に、上記マスターサブスクライバに上記セーフティコントロールが格納されているかを確認する確認工程と、
上記セーフティコントロールが上記マスターサブスクライバに格納されていない場合に、上記セーフティコントロールを上記セーフティコントロールに割り当てられている上記識別子とともに上記マスターサブスクライバにダウンロードするダウンロード工程と、をさらに含んでいることを特徴とする請求項１に記載の作動方法。
【請求項３】
上記確認工程にて、上記オートメーションネットワークの起動中に、上記マスターサブスクライバは、セーフティコントロールに割り当てられている識別子が上記セーフティコントロールの枠組みの中で監視すべき上記オートメーションネットワークのスレーブサブスクライバ内に格納されているかを確認するように構成されており、
上記スレーブサブスクライバに識別子が格納されていない場合に上記マスターサブスクライバ内の上記セーフティコントロールに割り当てられている上記識別子を上記スレーブサブスクライバにロードするロード工程と、
上記スレーブサブスクライバに識別子が格納されている場合に、上記マスターサブスクライバが、上記マスターサブスクライバ内の上記セーフティコントロールに割り当てられている上記識別子を上記スレーブサブスクライバ内に格納されている上記識別子と比較する比較工程と、
上記比較工程にて比較された２つの上記識別子が異なると判定された場合に、上記オートメーションネットワークは安全状態に移行する第２移行工程と、を含んでいることを特徴とする請求項１または２に記載の作動方法。
【請求項４】
上記識別子は上記セーフティコントロールのチェックサムであることを特徴とする請求項１から３のいずれか１項に記載の作動方法。
【請求項５】
セーフティコントロールを実装しているマスターサブスクライバを含むオートメーションネットワークであって、
上記マスターサブスクライバが、上記セーフティコントロールのダウンロード中に、上記セーフティコントロールに割り当てられている識別子が上記セーフティコントロール内で計算される上記識別子と一致するかを確認し、
２つの上記識別子が一致しないと上記マスターサブスクライバが判定した場合に安全状態に移行することを特徴とするオートメーションネットワーク。
【請求項６】
上記セーフティコントロールが上記マスターサブスクライバ内に格納されているかを上記オートメーションネットワークの起動中に確認する設定用サブスクライバであって、上記セーフティコントロールが上記マスターサブスクライバ内に格納されていない場合に、上記セーフティコントロールを上記セーフティコントロールに割り当てられている上記識別子とともに上記マスターサブスクライバにロードする設定用サブスクライバを含んでいることを特徴とする請求項５に記載のオートメーションネットワーク。
【請求項７】
上記マスターサブスクライバは、セーフティコントロールに割り当てられている識別子が上記セーフティコントロールの枠組みの中で監視すべき上記オートメーションネットワークのスレーブサブスクライバ内に格納されているかを上記オートメーションネットワークの起動中に確認するように構成されており、
上記スレーブサブスクライバ内に識別子が格納されていない場合に、上記マスターサブスクライバは、上記マスターサブスクライバ内のセーフティコントロールに割り当てられている上記識別子を上記スレーブサブスクライバにロードし、
上記スレーブサブスクライバ内に識別子が格納されている場合に、上記マスターサブスクライバは、上記マスターサブスクライバ内のセーフティコントロールに割り当てられている上記識別子を上記スレーブサブスクライバ内に格納されている上記識別子に設定し、
２つの上記識別子が異なると上記マスターサブスクライバが判定した場合に安全状態に移行することを特徴とする請求項５または６に記載のオートメーションネットワーク。
【請求項８】
上記識別子は上記セーフティコントロールのチェックサムであることを特徴とする請求項１から７のいずれか１項に記載の作動方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セーフティコントロールを実装しているマスターサブスクライバを含むオートメーションネットワーク上においてセーフティコントロールを作動させる作動方法に関する。また、本発明はセーフティコントロールを実装しているマスターサブスクライバを含むオートメーションネットワークに関する。
【背景技術】
【０００２】
産業オートメーション（例えば、技術的な処理のソフトウェア制御およびソフトウェア監視）は、分散センサ／分散センサアクチュエータ層を含む中央制御の考え方に基づいている。したがって、複数のサブスクライバは、お互いと、および、上位システムと、産業ローカルネットワーク（以下では、オートメーションネットワークとも称する）を介して通信を行う。この制御機能は、２つの基本的な考え方に基づいている。すなわち、複数の制御機能を地理的に分散させるという考え方と、複数の制御機能を階層的に分割するという考え方である。本明細書において、機能の階層化とは、基本的にオートメーションタスクを制御層とセンサ／アクチュエータ層とに分けることを指す。産業ローカルネットワークは、通常、いわゆるマスタースレーブ通信ネットワークとして構成される。マスタースレーブ通信ネットワークにおいて、マスターサブスクライバは制御装置を表すものであり、スレーブサブスクライバは、センサ／アクチュエータ層を表すものである。
【０００３】
安全は、産業オートメーションにおいて必須要件である。オートメーションタスクを実行する時には、マスタースレーブネットワークは、不具合またはその他のエラーが発生した場合に人間および環境をいかなる危害にも晒さないことが守られなければならない。このため、通常、オートメーションネットワークは、安全関連のサブスクライバに不具合が生じるとすぐに安全状態に移行する、いわゆるフェイルセーフの原則に従って動作する。産業オートメーションの枠組みの中で、オートメーションネットワーク中の安全関連のサブスクライバを交換したり、新しく実装したりすることにより、処理中にエラーが発生することを確実に防ぐような手段を提供するかどうかは、安全に関連する問題である。オートメーションネットワークにおいて、安全関連のサブスクライバを交換したり、新しく実装したりするときには、通常、サブスクライバの設備固有の安全設定（以下では、「セーフティコントロール」とも称する）を、交換後の、または、新しく実装した安全関連のサブスクライバにロードする必要がある。
【０００４】
設備固有の安全設定は、通常、産業ローカルネットワーク内の他のサブスクライバ上にバックアップとして保存されている。一般に、特別な権限を持っているサービス要員のみが、セーフティコントロールをバックアップメモリから安全関連のサブスクライバにダウンロードすることができる。オートメーションネットワークを介してダウンロードする代わりに、バックアップメモリを安全関連のサブスクライバに直接接続することにより、設備固有の安全設定を転送することも可能である。しかしながら、基本的に、セーフティコントローラのインストールには、サービス要員のメンバが、うっかりして誤った設定をダウンロードしてしまうという危険性が常に伴っている。このため、十分な安全性を保障するために、安全関連のサブスクライバを交換したり、新しく設置したりしている間、組織的に多くの時間と労力を費やす必要がある。
【０００５】
安全関連のサブスクライバへのセーフティコントロールのローディングを、サービス要員に依頼するのではなく、自動的に確実に行うために、設備固有の安全設定が、固定（例えば、安全関連のサブスクライバの接続プラグに配置されている）バックアップメモリに格納されているバックアップシステムが用いられる。この場合、固定バックアップメモリが無傷である（すなわち、例えば、安全関連のサブスクライバに不具合が発生している間に損傷を受けていない）限り、設備固有の安全設定を安全関連のサブスクライバに自動的にアップロードすることができる。しかしながら、そのような自動バックアップシステムには、安全関連の各サブスクライバが内蔵式の固定バックアップメモリを必要とするので、高額のハードウェアが含まれることになる。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
オートメーションネットワークにおいて、安全関連のサブスクライバを交換している間、または、初めて実装している間に、設備固有の安全設定を安全関連のサブスクライバに誤ってダウンロードしてしまうという問題は、複数のオートメーションネットワークが互いに接続されている場合に特に発生しやすい。複数のオートメーションネットワークが互いに接続されている場合、個々の産業ローカルネットワークにおいてセーフティコントロールの変更が行われると、それに従って、個々の産業ローカルネットワーク内の安全関連のサブスクライバに、相異なる設備固有の安全設定をダウンロードしなければならないからである。これに関連して、上記相異なる設備固有の安全設定を個々の産業ローカルネットワークに確実に割り当てることが必要である。
【０００７】
本発明は、セーフティ関連のサブスクライバの確実な実装と安全な交換とを自動的に行うことを可能にするオートメーションネットワークと同じように良好に、セーフティコントロールを作動させる作動方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明によれば、この目的は、請求項１に係る方法によって解決される。また、この目的は、請求項５に係るオートメーションネットワークによって解決される。好ましい実施形態が従属請求項に示される。
【０００９】
本発明では、セーフティコントロールを実装しているマスターサブスクライバを含むオートメーションネットワーク内の上記セーフティコントロールを作動させるために、上記セーフティコントロールに識別子を割り当てる。上記マスターサブスクライバは、上記セーフティコントロールに割り当てられている上記識別子が上記セーフティコントロール内で計算される上記識別子と一致するかを、上記セーフティコントロールをロードするときに確認する。上記識別子が異なると判定された場合に、上記オートメーションネットワークは、安全状態に移行する。
【００１０】
識別子を用いて上記セーフティコントロールを保護するとともに、上記セーフティコントロールにおいて計算される識別子が上記セーフティコントロールに割り当てられている識別子と一致するかを上記オートメーションネットワークのマスターサブスクライバにおいてチェックすることにより、安全関連のサブスクライバを含む上記オートメーションネットワーク（特に、安全マスターサブスクライバ）の実装を、完全にオートメーション化された単純な方法により実行することができる。また、上記セーフティコントロールの追加の識別子を用いることにより、さらに、自動チェックの枠組みの中で一義的な識別を行うことが可能になる。したがって、誤ったセーフティコントロールがマスターサブスクライバにロードされないことが保障されるので、実装中のエラーを確実に回避することができる。このことは、安全関連のサブスクライバが、異なるセーフティプログラムが作動する他の安全関連のサブスクライバとネットワークで結ばれている場合にとりわけ当てはまる。各セーフティコントロールに割り当てられる識別子により各オートメーションネットワークへの一義的な割り当てが可能になるためである。
【００１１】
好ましい実施形態によれば、設定用サブスクライバが、上記セーフティコントロールが上記マスターサブスクライバ内に格納されているかを上記オートメーションネットワークの起動中に確認し、上記セーフティコントロールが上記マスターサブスクライバ内に格納されていない場合に、上記セーフティコントロールを上記セーフティコントロールに割り当てられている上記識別子とともに上記マスターサブスクライバにロードする。
【００１２】
上記自動ネットワークの上記制御層の上記制御用サブスクライバは、このアプローチにより、安全且つ確実な自動実装、および／または、安全且つ確実な上記セーフティコントロールの自動アップデートを可能にする。
【００１３】
さらに好ましい実施形態によれば、上記マスターサブスクライバは、さらに、セーフティコントロールに割り当てられている識別子が上記セーフティコントロールの枠組みの中で監視すべき上記オートメーションネットワークのスレーブサブスクライバ内に格納されているかを上記オートメーションネットワークの起動中に確認するように構成されており、上記スレーブサブスクライバ内に識別子が格納されていない場合に、上記マスターサブスクライバ内のセーフティコントロールに割り当てられている上記識別子を上記スレーブサブスクライバにロードする一方、上記スレーブサブスクライバ内に識別子が格納されている場合に、上記マスターサブスクライバ内の上記セーフティコントロールに割り当てられている上記識別子を上記スレーブサブスクライバ内に格納されている上記識別子と比較する。上記オートメーションネットワークは、２つの上記識別子が異なると判定された場合に、安全状態に移行する。
【００１４】
このアプローチにより、上記オートメーションネットワークのアクチュエータ／センサ層上の安全関連のデバイスを、安全且つ確実に、自動的に実装することができる。マスターサブスクライバの形式の上記制御層は、上記セーフティコントロールに割り当てられ、上記マスターサブスクライバに格納されている上記識別子と安全関連のスレーブサブスクライバに格納されている識別子との比較を、上記スレーブサブスクライバを作動させる前に行う。このアプローチにより、オートメーションネットワークのアクチュエータ／センサ層上のデバイスを、安全且つ確実に実装することができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、セーフティコントロールが作動する安全防護領域を含んでいるオートメーションネットワークを概略的に示した図である。
【図２】図２は、互いに接続されている２つのオートメーションネットワークであって、各々が内蔵のセーフティコントロールが作動する安全防護領域を含んでいるオートメーションネットワークを示した図である。
【図３Ａ】図３Ａは、オートメーションネットワークを起動するフローチャートを示す図である。
【図３Ｂ】図３Ｂは、オートメーションネットワークを起動するフローチャートを示す図である。
【図３Ｃ】図３Ｃは、オートメーションネットワークを起動するフローチャートを示す図である。
【発明を実施するための形態】
【００１６】
添付の図面を参照しながら、本発明をより詳細に説明する。
【００１７】
産業オートメーションにおいては、分散配置されたアクチュエータ／センサ層のデバイス（例えば、Ｉ／Ｏモジュール、データロガー、デバイスおよびバルブ）が高効率リアルタイム通信システムを介して制御層のオートメーションコンピュータとの通信を行うオートメーションネットワークが使用される。オートメーションネットワーク内のサブスクライバは、ポイントツーポイント接続またはバスシステムを介して、互いに接続されていてもよい。バスシステムとしては、フィールドバスシステムが使用されることが望ましい。オートメーションネットワークは、通常階層的に構成され、マスタースレーブの原則に従って動作する。マスターサブスクライバは、制御層に割り当てられ、オートメーションネットワーク内における通信接続にアクセスする権限を有するアクティブサブスクライバに相当する。スレーブサブスクライバは、センサ／アクチュエータ層に属し、パッシブサブスクライバに相当する。スレーブサブスクライバは、通信接続にアクセスするための独立した権限を持たない。すなわち、スレーブサブスクライバは、受信したデータに応答し、マスターサブスクライバからの要求に応じて、データをマスターサブスクライバに送信するのみでよい。
【００１８】
図１は、オートメーションネットワークの基本構造を概略的に示した図である。オートメーションネットワークは、制御層を形成する２つのサブスクライバＭ、ＳＭ１と、アクチュエータ／センサ層に相当する３つのサブスクライバＳ１、Ｓ２、Ｓ３と、を含んでいる。上記オートメーションネットワーク内のすべてのサブスクライバはシリアルバスを介して互いに接続され、シリアルバスを介してサブスクライバ間のデータ交換が行われる。サブスクライバ間のデータ交換は、通常、マスターサブスクライバにより、制御データおよびユーザデータからなるデータパケットの形にまとめられる。データパケット内の制御データはアドレス情報を含んでいる。これにより、イーサネット（登録商標）プロトコルに基づいたデータ交換を行うことが可能である。イーサネットプロトコルでは、最大１５００バイトの長さのデータパケットを毎秒１００メガビットの高伝送レートで継続して伝送することが可能である。
【００１９】
サブスクライバの不具合、および／または、オートメーションネットワーク全体の不具合が、人間および環境を危害に晒さないことを保障することは、オートメーションネットワークにとって必須の要件である。このため、通常の制御機能とは別に、セーフティコントロールがオートメーションネットワークの制御層に実装されなければならない。セーフティコントロールは、オートメーションネットワーク内のセーフティ関連のサブスクライバに不具合が発生した場合にオートメーションネットワークがいわゆるフェイルセーフの原則に基づいて自動的に安全状態に変化することを保障するものである。そのような安全状態の一例としては、オートメーションネットワークの緊急スイッチが挙げられる。
【００２０】
一般に、オートメーションネットワーク内のすべてのサブスクライバが安全関連のサブスクライバであるのではなく、オートメーションネットワーク内の安全機能の数は、通常、安全と関連のない制御を行う機能の数よりも少ない。また、安全防護領域は、一般に、オートメーションネットワークの内部で決定される。図１に示すオートメーションネットワークでは、安全防護領域は、１つの安全関連のマスターサブスクライバＳＭ１（以下では、安全マスターサブスクライバＳＭ１とも称する）および１つの安全関連のサブスクライバＳ１（以下では、安全スレーブサブスクライバＳ１とも称する）によって形成される。
【００２１】
安全マスターサブスクライバＳＭ１の内部では、例えば設備固有の安全設定等のセーフティコントロール（S-Projekt-SM1）がローカルメモリに格納されている。この設備固有の安全設定により、安全マスターサブスクライバＳＭ１と安全スレーブサブスクライバＳ１との間の通信接続が確立される。この安全な接続を一義的に識別するために、安全マスターサブスクライバＳＭ１および安全スレーブサブスクライバは、それぞれ、ユニークな安全アドレス（S-Adresse#1およびS-Adresse#2）を処理し、安全サブスクライバのアドレスを用いて互いをアドレス指定する。安全サブスクライバ間のデータ交換は、セーフティコントロールの枠組みの中で安全サブスクライバ間の正常のデータ交換を保障する特定の安全プロトコルに従って行われる。
【００２２】
図１に示されているオートメーションネットワーク内に別に存在する安全に関連のないスレーブサブスクライバＳ２、Ｓ３は、第２のマスターサブスクライバＭ（以下では、標準マスターサブスクライバとも称する）によって制御される。標準マスターサブスクライバＭは、さらに、オートメーションネットワーク内のセーフティコントロールのための設定用サブスクライバとしての役割を担っている。設定用サブスクライバとしての機能として、標準マスターサブスクライバＭは、セーフティコントロール（S-Projekt-SM1）が格納されるバックアップメモリを備えるバックアップシステムを含んでいる。標準マスターサブスクライバＭのバックアップシステムは、バックアップメモリと安全マスターサブスクライバＳＭ１との間の安全なデータ伝送を保障するセーフプログラミングツールを備えている。
【００２３】
図１に示す実施形態とは別の実施形態において、設定用サブスクライバは、オートメーションネットワーク内の安全に関連のない別のサブスクライバであってもよい。さらに、別のネットワークを介して接続されるサブスクライバ（例えば、オートメーションネットワークの上位にあるデータ管理層のサブスクライバ）が制御用サブスクライバとして用いられてもよい。図１に示すように独立したマスターサブスクライバを設けることにより安全機能と安全に関連のない制御機能とを区別する代わりに、すなわち、安全機能に関する安全マスターサブスクライバと安全に関連のない制御機能に関する標準マスターサブスクライバとを用いる代わりに、個々のマスターサブスクライバは、安全に関連する制御機能と安全に関連しない制御機能との両方を実行することができるようになっていてもよい。ただし、その場合には、安全に関連しない制御機能が安全に関連する制御機能に影響を及ぼさないことが保障されなければならない。
【００２４】
図１に示すオートメーションネットワーク内におけるサブスクライバの交換または最初の実装の枠組みの中で、安全関連のサブスクライバに対して完全にオートメーション化された統合を行うことを可能にするために、識別子(S-Projekt-ID-SM1)が、セーフティコントロール（S-Projekt-SM1）、すなわち、設備固有の安全設定に割り当てられる。この識別子(S-Projekt-ID-SM1)は、セーフティコントロールプログラムのチェックサムであってもよい。ただし、セーフティコントロール内で計算プロシージャによって決定可能な他の識別子を用いることも可能である。セーフティコントロール（S-Projekt-SM1）の識別子(S-Projekt-ID-SM1)は、すべての安全関連のサブスクライバに格納されるので、サブスクライバの交換および／または新規の実装を、安全かつ確実に実行することができる。
【００２５】
安全マスターサブスクライバへのセーフティコントロールの最初の実装は、例えば、安全マスターサブスクライバの交換後、または、セーフティコントロールのアップデータの枠組みの中で、セーフプログラミングツールを備えた設定用サブスクライバによって実行される。セーフプログラミングツールは、セーフティコントロールをそのセーフティコントロールに割り当てられた識別子とともに安全マスターサブスクライバにロードする。安全マスターサブスクライバは、送信された識別子がセーフティコントロール内で計算された識別子と一致するかかどうかをチェックする。これによって安全マスターサブスクライバが２つの識別子に差異があると判定した場合、オートメーションシステムは、フェイルセーフの原則に従って安全状態に移行する。２つの識別子が一致する場合、安全マスターサブスクライバは、セーフティコントロールとそのセーフティコントロールに割り当てられている識別子とを、安全マスターサブスクライバに設けられているローカルメモリに格納する。
【００２６】
最初の実装の枠組みの中で、安全マスターサブスクライバにおいてだけでなくオートメーションネットワーク全体においてセーフティコントロールが初期化されるべきである場合には、設定用サブスクライバは、セーフティコントロールとそのセーフティコントロールに割り当てられている識別子とをセーフプログラムツールを用いて安全マスターサブスクライバに送信することに成功した後、以下の処理を行う。すなわち、設定用サブスクライバは、さらに、セーフティコントロールに割り当てられている識別子を、セーフティコントロールの枠組みの中で監視すべき安全スレーブサブスクライバにダウンロードする。あるいは、安全マスターサブスクライバは、セーフティコントロールに割り当てられている識別子を、安全スレーブサブスクライバに格納してもよい。さらに、初期化が完了するとすぐに、制御用サブスクライバが、セーフティコントロールとそのセーフティコントロールに割り当てられている識別子とを、バックアップメモリに格納する。
【００２７】
通常の動作が行われている間は、安全マスターサブスクライバは、起動中、自身のローカルメモリに格納されているセーフティコントロールおよびそのセーフティコントロールに関する識別子をロードする。そして、安全マスターサブスクライバは、格納されている識別子がセーフティコントロールにおいて計算される識別子と一致するかをチェックする。これによって、２つの識別子が相違すると安全マスターサブスクライバが判定した場合、オートメーションシステムは、フェイルセーフの原則に従って、安全状態に移行する。
【００２８】
安全マスターサブスクライバの起動の終了後にオートメーションシステムが安全状態に移行しなかった場合、安全マスターサブスクライバは、セーフティコントロールの枠組みの中で監視すべき安全スレーブサブスクライバ内に、セーフティコントロールの識別子が格納されているかをチェックする。例えば、安全スレーブサブスクライバが交換されていたことにより、安全スレーブサブスクライバ内に識別子が格納されていない場合、安全マスターサブスクライバは、セーフティコントロールの識別子を安全スレーブサブスクライバにロードする。安全スレーブサブスクライバ内に識別子が格納されている場合、安全マスターサブスクライバは、セーフティコントロールの識別子と、各安全スレーブサブスクライバ内に格納されている識別子と、を比較する。２つの識別子に差異があると判定した場合、オートメーションネットワークは、フェイルセーフの原則に従って、安全状態に移行する。
【００２９】
図１に示したオートメーションネットワークに関し、次のような３つの応用例を考えることができる。図３Ａ、図３Ｂ、および図３Ｃは、３つの応用例の工程を示している。
【００３０】
（ケース１：図３Ａ）
セーフティコントロール（S-Projekt-SM1）は、新規にオートメーションネットワークにインポートされる。設備固有の安全設定が、標準マスターサブスクライバＭに格納される。安全マスターサブスクライバＳＭ１および安全スレーブサブスクライバＳ１は、設定されていない。工程Ａ１において、標準マスターサブスクライバＭは、セーフプログラミングツールを用いて、セーフティコントロール（S-Projekt-SM1）を、そのセーフティコントロールに関する識別子（S-Projekt-ID-SM1）とともに安全マスターサブスクライバＳＭ１にダウンロードする。工程Ａ２において、安全マスターサブスクライバＳＭ１は、送信された識別子（S-Projekt-ID-SM1）が、セーフティコントロール（S-プロジェクト-SM1）において計算される識別子と一致するかをチェックする。これによって安全マスターサブスクライバＳＭ１が２つの識別子に差異があると判定した場合、工程Ａ３において、オートメーションシステムは、フェイルセーフの原則に従って、安全状態に移行する。
【００３１】
２つの識別子が一致する場合、工程Ａ４において、安全マスターサブスクライバＳＭ１は、セーフティコントロールに関する識別子（S-Projekt-ID-SM1）を、セーフティコントロールによって監視すべき安全スレーブコントローラＳ１に格納する。セーフティコントロールに関する識別子（S-Projekt-ID-SM1）を監視すべき安全スレーブコントローラＳ１に格納するのは、標準マスターサブスクライバＭであってもよい。その後、オートメーションネットワーク内のセーフティコントロール（S-Projekt-SM1）は、動作の準備が整うことになる。さらに、標準マスターサブスクライバＭは、セーフティコントロール（S-Projekt-SM1）と関連する識別子（S-Projekt-ID-SM1）とを、自身のバックアップメモリに格納してもよい。
【００３２】
（ケース２：図３Ｂ）
安全マスターサブスクライバＳＭ１が、例えば、交換されていたり、例えば、アップデートがまだインストールされていないことにより予測されるセーフティコントロールとは異なるセーフティコントロールを含んでいたりするために、安全マスターサブスクライバＳＭ１内に、セーフティコントロールが存在しない。工程Ａ６において、標準マスターサブスクライバＭは、オートメーションネットワークを起動するとすぐに、セーフティコントロール（S-Projekt-SM1）に割り当てられている識別子が安全マスターサブスクライバＳＭ１に存在するかをチェックする。存在する場合、工程Ａ１２において、標準マスターサブスクライバＭは、通常動作状態に移行する。
【００３３】
安全マスターサブスクライバＳＭ１が有効な設定になっていないと標準マスターサブスクライバＭが判定した場合、標準マスターサブスクライバＭは、その後すぐに、工程Ａ７において、セーフティコントロール（S-Projekt-SM1）をそのセーフティコントロールに割り当てられている識別子（S-Projekt-ID-SM1）とともに、自身のバックアップメモリから安全マスターサブスクライバＳＭ１にロードする。工程Ａ８において、安全マスターサブスクライバＳＭ１は、アップロードされた識別子（S-Projekt-ID-SM1）がセーフティコントロール（S-Projekt-SM1）において計算された識別子と一致するかをチェックする。２つの識別子が異なる場合、工程Ａ９において、オートメーションネットワークは安全状態に移行する。
【００３４】
２つの識別子が一致する場合、安全マスターサブスクライバＳＭ１は、工程Ａ１０において、安全スレーブサブスクライバＳ１との通信接続の確立中に安全スレーブサブスクライバＳ１から識別子を読み出す。工程Ａ１１において、安全マスターサブスクライバＳＭ１は、読み出した識別子を、セーフティコントロール（S-Projekt-SM1）に割り当てられている識別子（S-Projekt-ID-SM1）と比較する。２つの識別子が一致しないと判定された場合、工程Ａ１３において、オートメーションネットワークは安全状態に移行する。２つの識別子が一致すると判定された場合、工程Ａ１４において、通常動作が再開する。
【００３５】
（ケース３：図３Ｃ）
オートメーションネットワークの起動中の通常動作において、安全マスターサブスクライバＳＭ１は、セーフティコントロール（S-Projekt-SM1）のアップロード後の工程Ａ１５において、アップロードされたセーフティコントロールの識別子を決定する。工程Ａ１６において、安全マスターサブスクライバＳＭ１は、計算された識別子と、セーフティコントロールに割り当てられた識別子（S-Projekt-ID-SM1）と比較する。安全マスターサブスクライバＳＭ１が２つの識別子に差異があると判定した場合、オートメーションネットワークは、工程Ａ１７において、フェイルセーフの原則に従って、安全状態に移行する。
【００３６】
安全マスターサブスクライバＳＭ１の起動処理の完了後に２つの識別子が一致する場合、工程Ａ１８において、安全マスターサブスクライバＳＭ１は、セーフティコントロールの枠組みの中で監視すべき安全スレーブサブスクライバＳ１から、格納されている識別子を読み出す。安全マスターサブスクライバＳＭ１は、工程Ａ１９において、識別子が安全スレーブサブスクライバＳ１に格納されていないと判定した場合、工程Ａ２０において、安全スレーブサブスクライバＳ１に割り当てられている識別子（S-Projekt-ID-SM1）を安全スレーブサブスクライバＳ１にアップロードし、工程Ａ２２において、通常動作に移行する。識別子が安全スレーブサブスクライバＳ１に格納されている場合、安全マスターサブスクライバＳＭ１は、セーフティコントロールに割り当てられた識別子（S-Projekt-ID-SM1）と、安全スレーブサブスクライバＳ１に格納されている識別子と、を比較する。オートメーションネットワークは、２つの識別子に差異があると判定したときには、工程Ａ２１において安全状態に移行し、差異がないと判定したときには、工程Ａ２２において通常動作を再開する。
【００３７】
このようにセーフティコントロールに識別子を工夫して割り当てることにより、完全オートメーション化された安全関連のサブスクライバではなくとも、全設備にわたって安全関連のサブスクライバを一義的に割り当てることを保障することも可能である。図２は、異なる設備に割り当てられている２つのオートメーションネットワークであって、別個のセーフティコントロール(S-Projekt-SM1,S-Projekt-SM2)を実装している２つのオートメーションネットワークが、互いにネットワークで結ばれている実施形態を示した図である。２つのオートメーションネットワークは、それぞれ、安全マスターサブスクライバＳＭ１、ＳＭ２を備えている。安全マスターサブスクライバＳＭ１、ＳＭ２には、それぞれ、実行すべきセーフティコントロールの枠組みの中で３つの安全スレーブサブスクライバＳ１、Ｓ２、Ｓ３が割り当てられる。各オートメーションネットワークにおけるセーフティコントロールのサブスクライバ接続は、セーフティアドレスS-Adresse#1, S-Adresse#2, S- Adresse#3, S-Adresse#4によって決定される。さらに、２つのオートメーションネットワークは、それぞれ、標準マスターサブスクライバＭ１、Ｍ２を備えている。標準マスターサブスクライバＭ１、Ｍ２は、同時に、各オートメーションネットワークのセーフティコントロール(S-Projekt-SM1,S-Projekt-SM2)のための設定用サブスクライバとしての役割も担い、この目的のためにバックアップシステムを備えている。
【００３８】
２つのオートメーションネットワークは相異なるセーフティコントロール(S-Projekt-SM1,S-Projekt-SM2)を実行するので、各セーフティコントロールに割り当てられる一意な識別子により、各セーフティコントロールに全設備を通じて一義的にマスタースレーブサブスクライバを割り当てることができる。同じアドレスが割り当てられているために２つのオートメーションネットワークを連結することにより一方のオートメーションネットワークの安全マスターサブスクライバが何かの事情で他方のオートメーションネットワークの安全スレーブサブスクライバをアドレス指定してしまうことをこの方法により防止することができる。
【図１】
2011516997.tif 000003
【図２】
2011516997.tif 000004
【図３Ａ】
2011516997.tif 000005
【図３Ｂ】
2011516997.tif 000006
【図３Ｃ】
2011516997.tif 000007
【手続補正書】
【提出日】平成22年3月3日(2010.3.3)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
オートメーションネットワーク内のセーフティコントロール(Projekt-SM1)を、上記セーフティコントロールを実装しているマスターサブスクライバ(SM1)と少なくとも１つの安全関連のスレーブサブスクライバ(S1)とによって作動させる作動方法において、
上記セーフティコントロールは、上記マスターサブスクライバの設備特有の安全設定および上記スレーブサブスクライバの設備特有の安全設定を規定し、上記マスターサブスクライバと上記スレーブサブスクライバとの安全な接続を確立するように構成されており、
上記マスターサブスクライバ(SM1)が、上記オートメーションネットワークを作動させるときに、識別子(Projekt-ID-SM1)が割り当てられている上記セーフティコントロール(Projekt-SM1)をロードするとともに、上記セーフティコントロールに割り当てられている上記識別子(Projekt-ID-SM1)が上記セーフティコントロール内で計算される識別子と一致するかを判定する第１判定工程と、
上記第１判定工程にて上記識別子が一致しないと判定された場合に、上記オートメーションネットワークが安全状態に移行する第１移行工程と、
上記第１判定工程にて上記識別子が一致すると判定された場合に、上記マスターサブスクライバ(SM1)が、さらに、セーフティコントロールに関する識別子が上記スレーブサブスクライバ(S1)に格納されているかを判定する第２判定工程と、
識別子が上記スレーブサブスクライバに格納されていない場合に、上記マスターサブスクライバが上記セーフティコントロールに関する上記識別子(Projekt-ID-SM1)を上記スレーブサブスクライバにロードする一方、識別子が上記スレーブサブスクライバに格納されている場合に、上記マスターサブスクライバ(SM1)が上記セーフティコントロール(Projekt-SM1)に関する上記識別子(Projekt-ID-SM1)を上記スレーブサブスクライバ(S1)に格納されている上記識別子と比較する比較工程と、
上記比較工程にて２つの上記識別子が異なっていると判定された場合に、上記オートメーションネットワークが安全状態に移行する第２移行工程と、を含んでいることを特徴とする作動方法。
【請求項２】
上記オートメーションネットワークを起動させるときに、上記マスターサブスクライバ(SM1)にセーフティコントロールが格納されているかを判定し、セーフティコントロールが上記マスターサブスクライバに格納されていない場合に、上記セーフティコントロール(Projekt-SM1)を上記セーフティコントロールに割り当てられている上記識別子(Projekt-ID-SM1)とともに上記マスターサブスクライバにダウンロードするダウンロード工程をさらに含んでおり、
上記第１判定工程にて、上記マスターサブスクライバは、上記ダウンロード工程にてダウンロードされた上記セーフティコントロールに関する上記識別子が上記セーフティコントロールにて計算される識別子と一致するかを確認し、
上記第１判定工程にて上記識別子が一致しないと判定された場合に、上記第１移行工程にて、上記オートメーションネットワークが安全状態に移行することを特徴とする請求項１に記載の作動方法。
【請求項３】
上記識別子(Projekt-ID-SM1)は上記セーフティコントロールのチェックサムであることを特徴とする請求項１または２に記載の作動方法。
【請求項４】
上記マスターサブスクライバ(SM1)および上記スレーブサブスクライバ(S1)は、それぞれ、各サブスクライバが互いをアドレス指定するための一意な安全アドレス(S-Adresse)を備えており、各サブスクライバは、安全プロトコルに従ってデータを交換することを特徴とする請求項１から３のいずれか１項に記載の作動方法。
【請求項５】
セーフティコントロール(Projekt-SM1)を実装しているマスターサブスクライバ(SM1)と少なくとも１つの安全関連のスレーブサブスクライバ(S1)とを含むオートメーションネットワークであって、
上記セーフティコントロールは、上記マスターサブスクライバの設備特有の安全設定および上記スレーブサブスクライバの設備特有の安全設定を規定し、上記マスターサブスクライバと上記スレーブサブスクライバとの安全な接続を確立するように構成されており、
上記マスターサブスクライバ(SM1)は、上記オートメーションネットワークを作動させるときに、識別子(Projekt-ID-SM1)が割り当てられている上記セーフティコントロール(Projekt-SM1)をロードするとともに、上記セーフティコントロールに割り当てられている上記識別子(Projekt-ID-SM1)が上記セーフティコントロール内で計算される識別子と一致するかを判定するように構成されており、上記オートメーションネットワークは２つの識別子が一致しないと判定された場合に安全状態に移行し、
上記マスターサブスクライバ(SM1)は、２つの識別子が一致すると判定された場合に、セーフティコントロールに割り当てられている識別子が上記スレーブサブスクライバ(S1)に格納されているかを判定するとともに、識別子が上記スレーブサブスクライバに格納されていない場合には上記セーフティコントロールに関する上記識別子を上記スレーブサブスクライバにロードする一方、識別子が上記スレーブサブスクライバに格納されている場合には上記セーフティコントロールに関する上記識別子(S-Projekt-ID-SM1)を上記スレーブサブスクライバに格納されている上記識別子と比較するように構成されており、上記オートメーションネットワークは２つの上記識別子が異なっていると判定された場合に安全状態に移行することを特徴とするオートメーションネットワーク。
【請求項６】
セーフティコントロールが上記マスターサブスクライバ(SM1)内に格納されているかを上記オートメーションネットワークを作動させるときに確認するように構成されている設定用サブスクライバ(M)であって、セーフティコントロールが上記マスターサブスクライバ内に格納されていない場合に、上記セーフティコントロール(S-Projekt-SM1)を上記セーフティコントロールに割り当てられている上記識別子(S-Projekt-ID-SM1)とともに上記マスターサブスクライバにダウンロードするように構成されている設定用サブスクライバ(M)をさらに含んでおり、
上記マスターサブスクライバは、上記セーフティコントロールに関する上記識別子が上記セーフティコントロール内で計算される識別子と一致するかを確認するように構成されており、
上記オートメーションネットワークは２つの上記識別子が一致しないと判定された場合に安全状態に移行することを特徴とする請求項５に記載のオートメーションネットワーク。
【請求項７】
上記設定用サブスクライバ(M)はバックアップシステムを備えており、
上記バックアップシステムは、上記セーフティコントロールおよびセーフプログラミングツールを格納するためのバックアップメモリを備えていることを特徴とする請求項６に記載のオートメーションネットワーク。
【請求項８】
安全に関連のないスレーブサブスクライバ(S2,S3)を制御するための追加のマスターサブスクライバ(M)を備え、
上記追加のマスターサブスクライバ(M)は、上記設定用サブスクライバの機能を備えていることを特徴とする請求項６または７に記載のオートメーションネットワーク。
【請求項９】
追加のセーフティコントロール(S-Projekt-SM2)を実装している追加のマスターサブスクライバ(SM2)と、追加のセーフティコントロールを実装している上記追加のマスターサブスクライバに割り当てられている少なくとも１つの安全関連のスレーブサブスクライバと、を含んでおり、
上記セーフティコントロールおよび上記追加のセーフティコントロールには、それぞれ、一意な識別子(S-Projekt-ID-SM1, S-Projekt-ID-SM2)が割り当てられていることを特徴とする請求項５から７のいずれか１項に記載のオートメーションネットワーク。
【国際調査報告】
2011516997.tif 000008
2011516997.tif 000009
2011516997.tif 000010
2011516997.tif 000011
2011516997.tif 000012
2011516997.tif 000013