(57)【要約】【課題】所定の機能安全水準を満たすことが求められる制御システムにおいて、汎用性や拡張性の向上を図ること。【解決手段】制御システム１では、操作端末１００から制御装置３００への操作データを含む操作状況データ１０の送信と、制御装置３００から操作端末１００への受信された操作状況データ１０に応答した応答データ３０の送信とが繰り返し行われる。操作端末１００では、操作者が、複数手順から成る制御手順の各手順について順に操作入力を行うとともに、受信した応答データ３０に含まれる操作表示データ３１を基に各手順の操作内容が表示される。また、制御装置３００では、受信した操作状況データ１０を基に、（１）各手順の操作順序が規定の順序通りであるかを照査する「手順照査」、（２）今回の受信と前回の受信とで各手順の操作内容が一致するかを判定する「情報比較」、（３）送信したチェックコードと受信したチェックコードとが一致するかを判定する「チェックコードの確認」、が行われる。【選択図】図１
2008242719.tif 000002
【特許請求の範囲】
【請求項１】
所定の機能安全規格により規格化された安全水準を満たす制御対象機器を制御する前記安全水準を満たす制御装置と、操作者が前記制御装置に対する操作入力を行う前記安全水準を満たさない操作端末とが、前記安全水準を満たさない通信路で通信接続された制御システムであって、
前記操作端末は、
複数手順から成る操作手順を順次操作入力する操作入力手段と、
前記操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成手段と、
前記操作状態生成手段により生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信手段と、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信手段と、
前記端末側受信手段により受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御手段と、
前記端末側受信手段により受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成手段と、
を有し、
前記制御装置は、
前記操作端末から前記操作状態データと前記確認折返しデータとを受信する制御装置側受信手段と、
前記制御装置側受信手段により受信された操作状態データを基に、操作者による操作入力の順序が予め定められた規定の操作順序通りであるか照査する手順照査手段と、
前記制御装置側受信手段により今回受信された操作状態データと、以前に受信された操作状態データとを比較し、各手順の操作内容の一致を判定する情報比較手段と、
前記制御装置側受信手段により受信された確認折返しデータを基に、前記操作端末との間の通信の正当性を検査する正当性検査手段と、
前記手順照査手段により前記規定の操作順序通りと判定され、前記情報比較手段により一致と判定され、且つ前記正当性判断手段により正当と判定された場合に、前記手順照査手段により照査された操作状態データを基に、該操作状態データに対応付けられている各手順の操作内容を表示させるための表示制御データを生成する表示制御データ生成手段と、
前記操作端末との間の通信の正当性を検査するための前記通信確認データを生成する通信確認データ生成手段と、
前記表示制御データ生成手段により生成された表示制御データと、前記通信確認データ生成手段により生成された通信確認データとを前記操作端末に送信する制御装置側送信手段と、
を有し、
操作者が前記操作端末に前記規定の操作順序通りの操作入力を行った場合に、前記操作端末から前記制御装置への前記端末側送信手段による前記操作状態データ及び前記確認折返しデータの送信と、前記制御装置から前記操作端末への前記制御装置側送信手段による前記表示制御データ及び前記通信確認データの送信とが繰り返し実行される制御システム。
【請求項２】
前記制御装置は、
前記手順照査手段により前記規定の操作順序通りと判定され、前記情報比較手段により一致と判定され、且つ前記正当性判断手段により正当と判定された場合に、前記制御装置側受信手段により受信された操作状態データを基に、前記規定の操作順序に従った全ての手順の操作入力が完了したことを判定する手順完了判定手段と、
前記手順完了判定手段により完了したと判定された場合に、前記手順照査手段により照査された操作状態データに従って、前記制御対象機器の制御を実行する制御実行手段と、
を更に有する請求項１に記載の制御システム。
【請求項３】
前記規定の操作順序は、最初の手順で入力した操作内容を最後の手順で再入力する手順として規定されており、
前記手順完了判定手段は、前記制御装置側受信手段により受信された操作状態データのうち、最新の手順が最初の手順と同じ操作内容を再入力する手順であり、且つ操作内容が最初の手順と同じことを、全ての手順の操作入力の完了と判定する請求項２に記載の制御システム。
【請求項４】
前記通信確認データ生成手段は、前記制御装置側受信手段により受信された操作状態データの全部又は一部を複製したデータを少なくとも含めて前記通信確認データを生成し、
前記情報比較手段は、前記制御装置側受信手段により今回受信された操作状態データと、前記通信確認データ生成手段により生成された通信確認データとの一致を判定することで、各手順の操作内容の一致を判定する、
請求項１〜３の何れか一項に記載の制御システム。
【請求項５】
前記通信確認データ生成手段は、更に、前記複製したデータに基づくチェックコードを生成して前記通信確認データに含め、
前記確認折返し生成手段は、前記端末側受信手段により受信された通信確認データを複製したデータを前記確認折返しデータとして生成し、
前記正当性検査手段は、前記制御装置側受信手段により受信された確認折返しデータに含まれる前記操作状態データの複製データを基にチェックコードを生成し、前記通信確認データ生成手段により生成されたチェックコードと一致するか否かで、通信の正当性を判断する、
請求項４に記載の制御システム。
【請求項６】
前記端末側送信手段は、前記操作状態データ及び前記確認折返しデータの送信を所定周期で行い、
前記制御装置側送信手段は、前記表示制御データ及び前記通信確認データの送信を所定周期で行い、
前記表示制御手段は、前記端末側受信手段により前記表示制御データが受信される毎に、表示内容を更新制御する、
請求項１〜５の何れか一項に記載の制御システム。
【請求項７】
所定の機能安全規格により規格化された安全水準を満たす制御対象機器を制御する前記安全水準を満たす制御装置と、操作者が前記制御装置に対する操作入力を行う前記安全水準を満たさない操作端末とが、前記安全水準を満たさない通信路で通信接続された制御システムにおける通信方法であって、
前記操作端末が行うステップとして、
操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成ステップと、
前記生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信ステップと、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信ステップと、
前記端末側受信ステップで受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御ステップと、
前記端末側受信ステップで受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成ステップと、
を含むとともに、
前記制御装置が行うステップとして、
前記操作端末から前記操作状態データと前記確認折返しデータとを受信する制御装置側受信ステップと、
前記制御装置側受信ステップで受信された操作状態データを基に、操作者による操作入力の順序が予め定められた規定の操作順序通りであるか照査する手順照査ステップと、
前記制御装置側受信ステップで今回受信された操作状態データと、以前に受信された操作状態データとを比較し、各手順の操作内容の一致を判定する情報比較ステップと、
前記制御装置側受信ステップで受信された確認折返しデータを基に、前記操作端末との間の通信の正当性を検査する正当性検査ステップと、
前記手順照査ステップで前記規定の操作順序通りと判定され、前記情報比較ステップで一致と判定され、且つ前記正当性判断ステップで正当と判定された場合に、前記手順照査ステップにより照査された操作状態データを基に、該操作状態データに対応付けられている各手順の操作内容を表示させるための表示制御データを生成する表示制御データ生成ステップと、
前記操作端末との間の通信の正当性を検査するための前記通信確認データを生成する通信確認データ生成ステップと、
前記表示制御データ生成ステップで生成された表示制御データと、前記通信確認データ生成ステップで生成された通信確認データとを前記操作端末に送信する制御装置側送信ステップと、
を含み、
操作者が前記操作端末に前記規定の操作順序通りの操作入力を行った場合に、前記操作端末から前記制御装置への前記操作状態データ及び前記確認折返しデータの送信と、前記制御装置から前記操作端末への前記表示制御データ及び前記通信確認データの送信とが繰り返し実行される通信方法。
【請求項８】
所定の機能安全規格により規格化された安全水準を満たす制御対象機器を制御する前記安全水準を満たす制御装置に前記安全水準を満たさない通信路で通信接続された前記安全水準を満たさない操作端末であって、
複数手順から成る操作手順を順次操作入力する操作入力手段と、
前記操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成手段と、
前記操作状態生成手段により生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信手段と、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信手段と、
前記端末側受信手段により受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御手段と、
前記端末側受信手段により受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成手段と、
を備えた操作端末。
【請求項９】
請求項８に記載の操作端末と前記安全水準を満たさない通信路で通信接続された前記安全水準を満たす制御装置であって、
前記操作端末から前記操作状態データと前記確認折返しデータとを受信する制御装置側受信手段と、
前記制御装置側受信手段により受信された操作状態データを基に、操作者による操作入力の順序が予め定められた規定の操作順序通りであるか照査する手順照査手段と、
前記制御装置側受信手段により今回受信された操作状態データと、以前に受信された操作状態データとを比較し、各手順の操作内容の一致を判定する情報比較手段と、
前記制御装置側受信手段により受信された確認折返しデータを基に、前記操作端末との間の通信の正当性を検査する正当性検査手段と、
前記手順照査手段により前記規定の操作順序通りと判定され、前記情報比較手段により一致と判定され、且つ前記正当性判断手段により正当と判定された場合に、前記手順照査手段により照査された操作状態データを基に、該操作状態データに対応付けられている各手順の操作内容を表示させるための表示制御データを生成する表示制御データ生成手段と、
前記操作端末との間の通信の正当性を検査するための前記通信確認データを生成する通信確認データ生成手段と、
前記表示制御データ生成手段により生成された表示制御データと、前記通信確認データ生成手段により生成された通信確認データとを前記操作端末に送信する制御装置側送信手段と、
を備えた制御装置。
【請求項１０】
所定の機能安全規格により規格化された安全水準を満たす制御対象機器を制御する前記安全水準を満たす制御装置に前記安全水準を満たさない通信路で通信接続された前記安全水準を満たさない操作端末であるコンピュータを、
複数手順から成る操作手順を順次操作入力する操作入力手段、
前記操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成手段、
前記操作状態生成手段により生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信手段、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信手段、
前記端末側受信手段により受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御手段、
前記端末側受信手段により受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機能安全規格により規格化された安全水準を満たす制御装置と、安全水準を満たさない操作端末とが通信接続された制御システム等に関する。
【背景技術】
【０００２】
鉄道を含む輸送産業や各種の産業においては、制御機器や駆動機器等に対して動作機能としての安全性が求められている。機能安全性の規格として、国際規格ＩＥＣ（International Electrotechnical Commission）６１５０８で定義される安全度水準ＳＩＬ（Safety Integrity Level）が知られており、機器の安全度がこの安全度水準ＳＩＬにより評価される。安全度水準ＳＩＬは、要求される安全機能を果たす確度により「１」〜「４」の４レベルで示され、レベルが高いほど安全性が高いことを示している。例えば、鉄道における電子連動装置では、電子連動論理部や電子端末群、制御盤等が光ケーブル等のネットワークで接続されて構成されるが、安全性の確保のため、専用のシステムとして構築される（例えば、非特許文献１参照）。
【非特許文献１】「京三サーキュラー」、ＶＯＬ．４２、Ｎｏ．１、平成３年（１９９１）
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、安全性の確保は、コストや汎用性と表裏の関係になることが多い。上述の電子連動装置を例にとれば、所定の水準以上の安全性の確保のため、安全性が確保された装置や通信回線等によって専用のシステムを構築する必要があり、このために汎用性や拡張性が犠牲になっていた。本発明は、このような事情に鑑みてなされたものであり、所定の機能安全水準を満たすことが求められる制御システムにおいて、汎用性や拡張性の向上を図ることを目的としている。
【課題を解決するための手段】
【０００４】
上記課題を解決するための第１の発明は、
所定の機能安全規格により規格化された安全水準（例えば、実施形態の「安全度水準ＳＩＬ」）を満たす制御対象機器（例えば、図１の機器制御端末５００）を制御する前記安全水準を満たす制御装置（例えば、図１の制御装置３００）と、操作者が前記制御装置に対する操作入力を行う前記安全水準を満たさない操作端末（例えば、図１の操作端末１００）とが、前記安全水準を満たさない通信路（例えば、図１の操作用通信回線Ｎ１）で通信接続された制御システム（例えば、図１の制御システム１）であって、
前記操作端末は、
複数手順から成る操作手順を順次操作入力する操作入力手段（例えば、図３の操作部１１０）と、
前記操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成手段（例えば、図３の処理部１２０）と、
前記操作状態生成手段により生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信手段（例えば、図３の通信部１４０）と、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信手段（例えば、図３の通信部１４０）と、
前記端末側受信手段により受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御手段（例えば、図３の処理部１２０）と、
前記端末側受信手段により受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成手段（例えば、図３の処理部１２０）と、
を有し、
前記制御装置は、
前記操作端末から前記操作状態データと前記確認折返しデータとを受信する制御装置側受信手段（例えば、図５の操作回線用通信部３２０）と、
前記制御装置側受信手段により受信された操作状態データを基に、操作者による操作入力の順序が予め定められた規定の操作順序通りであるか照査する手順照査手段（例えば、図５の処理部３１０）と、
前記制御装置側受信手段により今回受信された操作状態データと、以前に受信された操作状態データとを比較し、各手順の操作内容の一致を判定する情報比較手段（例えば、図５の処理部３１０）と、
前記制御装置側受信手段により受信された確認折返しデータを基に、前記操作端末との間の通信の正当性を検査する正当性検査手段（例えば、図５の処理部３１０）と、
前記手順照査手段により前記規定の操作順序通りと判定され、前記情報比較手段により一致と判定され、且つ前記正当性判断手段により正当と判定された場合に、前記手順照査手段により照査された操作状態データを基に、該操作状態データに対応付けられている各手順の操作内容を表示させるための表示制御データを生成する表示制御データ生成手段（例えば、図５の処理部３１０）と、
前記操作端末との間の通信の正当性を検査するための前記通信確認データを生成する通信確認データ生成手段（例えば、図５の処理部３１０）と、
前記表示制御データ生成手段により生成された表示制御データと、前記通信確認データ生成手段により生成された通信確認データとを前記操作端末に送信する制御装置側送信手段（例えば、図５の操作回線用通信部３２０）と、
を有し、
操作者が前記操作端末に前記規定の操作順序通りの操作入力を行った場合に、前記操作端末から前記制御装置への前記端末側送信手段による前記操作状態データ及び前記確認折返しデータの送信と、前記制御装置から前記操作端末への前記制御装置側送信手段による前記表示制御データ及び前記通信確認データの送信とが繰り返し実行される制御システムである。
【０００５】
また、第７の発明は、
所定の機能安全規格により規格化された安全水準を満たす制御対象機器（例えば、図１の機器制御端末５００）を制御する前記安全水準を満たす制御装置（例えば、図１の制御装置３００）と、操作者が前記制御装置に対する操作入力を行う前記安全水準を満たさない操作端末（例えば、図１の操作端末１００）とが、前記安全水準を満たさない通信路で通信接続された制御システム（例えば、図１の制御システム１）における通信方法（例えば、図９の操作制御処理及び図１０の応答制御処理）であって、
前記操作端末が行うステップとして、
操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成ステップ（例えば、図９のステップＡ３）と、
前記生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信ステップ（例えば、図９のステップＡ１１）と、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信ステップと、
前記端末側受信ステップで受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御ステップ（例えば、図９のステップＡ１７）と、
前記端末側受信ステップで受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成ステップ（例えば、図９のステップＡ９）と、
を含むとともに、
前記制御装置が行うステップとして、
前記操作端末から前記操作状態データと前記確認折返しデータとを受信する制御装置側受信ステップと、
前記制御装置側受信ステップで受信された操作状態データを基に、操作者による操作入力の順序が予め定められた規定の操作順序通りであるか照査する手順照査ステップ（例えば、図１０のステップＢ１５）と、
前記制御装置側受信ステップで今回受信された操作状態データと、以前に受信された操作状態データとを比較し、各手順の操作内容の一致を判定する情報比較ステップ（例えば、図１０のステップＢ５）と、
前記制御装置側受信ステップで受信された確認折返しデータを基に、前記操作端末との間の通信の正当性を検査する正当性検査ステップ（例えば、図１０のステップＢ９〜Ｂ１１）と、
前記手順照査ステップで前記規定の操作順序通りと判定され、前記情報比較ステップで一致と判定され、且つ前記正当性判断ステップで正当と判定された場合に、前記手順照査ステップにより照査された操作状態データを基に、該操作状態データに対応付けられている各手順の操作内容を表示させるための表示制御データを生成する表示制御データ生成ステップ（例えば、図１０のステップＢ２３）と、
前記操作端末との間の通信の正当性を検査するための前記通信確認データを生成する通信確認データ生成ステップ（例えば、図１０のステップ２５〜Ｂ２９）と、
前記表示制御データ生成ステップで生成された表示制御データと、前記通信確認データ生成ステップで生成された通信確認データとを前記操作端末に送信する制御装置側送信ステップ（例えば、図１０のステップＢ３１）と、
を含み、
操作者が前記操作端末に前記規定の操作順序通りの操作入力を行った場合に、前記操作端末から前記制御装置への前記操作状態データ及び前記確認折返しデータの送信と、前記制御装置から前記操作端末への前記表示制御データ及び前記通信確認データの送信とが繰り返し実行される通信方法である。
【０００６】
また、第８の発明は、
所定の機能安全規格により規格化された安全水準を満たす制御対象機器を制御する前記安全水準を満たす制御装置に前記安全水準を満たさない通信路で通信接続された前記安全水準を満たさない操作端末（例えば、図１の操作端末１００）であって、
複数手順から成る操作手順を順次操作入力する操作入力手段と、
前記操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成手段と、
前記操作状態生成手段により生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信手段と、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信手段と、
前記端末側受信手段により受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御手段と、
前記端末側受信手段により受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成手段と、
を備えた操作端末である。
【０００７】
また、第９の発明は、第８の発明の操作端末と前記安全水準を満たさない通信路で通信接続された前記安全水準を満たす制御装置（例えば、図１の制御装置３００）であって、
前記操作端末から前記操作状態データと前記確認折返しデータとを受信する制御装置側受信手段と、
前記制御装置側受信手段により受信された操作状態データを基に、操作者による操作入力の順序が予め定められた規定の操作順序通りであるか照査する手順照査手段と、
前記制御装置側受信手段により今回受信された操作状態データと、以前に受信された操作状態データとを比較し、各手順の操作内容の一致を判定する情報比較手段と、
前記制御装置側受信手段により受信された確認折返しデータを基に、前記操作端末との間の通信の正当性を検査する正当性検査手段と、
前記手順照査手段により前記規定の操作順序通りと判定され、前記情報比較手段により一致と判定され、且つ前記正当性判断手段により正当と判定された場合に、前記手順照査手段により照査された操作状態データを基に、該操作状態データに対応付けられている各手順の操作内容を表示させるための表示制御データを生成する表示制御データ生成手段と、
前記操作端末との間の通信の正当性を検査するための前記通信確認データを生成する通信確認データ生成手段と、
前記表示制御データ生成手段により生成された表示制御データと、前記通信確認データ生成手段により生成された通信確認データとを前記操作端末に送信する制御装置側送信手段と、
を備えた制御装置である。
【０００８】
また、第１０の発明は、
所定の機能安全規格により規格化された安全水準を満たす制御対象機器を制御する前記安全水準を満たす制御装置に前記安全水準を満たさない通信路で通信接続された前記安全水準を満たさない操作端末（例えば、図１の操作端末１００）であるコンピュータを、
複数手順から成る操作手順を順次操作入力する操作入力手段、
前記操作入力された各手順の操作内容を入力順に対応付けた操作状態データを生成する操作状態生成手段、
前記操作状態生成手段により生成された操作状態データと所定の確認折返しデータとを前記制御装置に送信する端末側送信手段、
前記制御装置により照査された前記操作状態データの操作内容を表示する表示制御データと、操作端末と制御装置間の通信の正当性を検査するための通信確認データとを前記制御装置から受信する端末側受信手段、
前記端末側受信手段により受信された表示制御データに基づいて照査済の各手順の操作内容を表示制御する表示制御手段、
前記端末側受信手段により受信された通信確認データを基に、前記確認折返しデータを生成する確認折返し生成手段、
として機能させるためのプログラム（例えば、図３の操作制御プログラム１５１）である。
【０００９】
この第１、第７〜第１０の発明によれば、所定の機能安全規格により規格化された安全水準を満たす制御装置と安全水準を満たさない操作端末とが、安全水準を満たさない通信路で通信接続された制御システムにおいて、操作者が操作端末に規定の操作順序通りの操作入力を行うと、操作端末から制御装置に、制御装置から受信した通信確認データに基づく確認折返しデータが操作状態データとともに送信され、制御装置から操作端末に、操作端末から受信した操作状態データに基づく操作表示データが通信確認データとともに送信されるといった一連の処理が繰り返し行われるとともに、制御装置において、操作状態データとともに受信した確認折返しデータに基づく通信の正当性の判断、受信した操作状態データの各手順の操作内容が以前に受信した各手順の操作内容と一致するかの判断、そして操作順序の照査が繰り返し行われる。これにより、制御装置において受信した操作状態データ及び操作端末において受信した操作表示データの信頼性が確保されることになる。つまり、制御装置と操作端末との間の通信の信頼性が向上し、その結果、操作端末や通信路といった安全水準を満たさない要素が含まれているとしても、制御システム全体として所定の安全水準を満たすこととなる。
【００１０】
更に、操作端末において受信した操作表示データに基づく照査済みの各手順の操作内容が表示制御されることで、通信の信頼性の更なる向上が実現される。即ち、例えば操作端末において、操作者は、手順の操作入力を行うと、該手順の操作内容が表示されることを確認した後、次の手順の操作入力を行うといったように、手順毎に該手順の操作内容の表示を確認しながら操作入力を行うことで、制御装置との間の通信が正常に行われていることを確認することができる。
【００１１】
また、操作者は、操作端末において制御装置に対する操作入力を行うことができる。このため、操作端末として、例えばパソコンといった安全水準は満たさないけれども汎用性や拡張性に優れた装置を利用することで、特にマンマシン・インターフェースといった点において汎用性や拡張性の向上が実現される。つまり、安全水準を満たしつつ、専用のシステムとして構築される場合に比較して汎用性や拡張性が向上された制御システムが実現される。
【００１２】
第２の発明は、第１の発明の制御システムであって、
前記制御装置は、
前記手順照査手段により前記規定の操作順序通りと判定され、前記情報比較手段により一致と判定され、且つ前記正当性判断手段により正当と判定された場合に、前記制御装置側受信手段により受信された操作状態データを基に、前記規定の操作順序に従った全ての手順の操作入力が完了したことを判定する手順完了判定手段（例えば、図５の処理部３１０；図１０のステップＢ３３）と、
前記手順完了判定手段により完了したと判定された場合に、前記手順照査手段により照査された操作状態データに従って、前記制御対象機器の制御を実行する制御実行手段（例えば、図５の処理部３１０；図１０のステップＢ３７）と、
を更に有する制御システムである。
【００１３】
この第２の発明によれば、制御装置において、操作入力の順序が規定の操作順序通りと判定され、各手順の操作内容が一致すると判定され、且つ操作端末との間の通信が正当と判定された場合に、受信された操作状態データを基に、規定の操作順序に従った全ての手順の操作入力が完了したことが判定される。そして、全ての手順の操作入力が完了したと判定された場合に、照査された操作状態データに従って制御対象機器の制御が実行される。つまり、安全性が確保されていない操作端末や通信路におけるエラーが生じた場合には、高確度で手順の操作入力の完了が判定されず、従って制御対象機器の制御が実行されないことになる。これにより、制御システムの安全性の更なる向上が実現される。
【００１４】
第３の発明は、第２の発明の制御システムであって、
前記規定の操作順序は、最初の手順で入力した操作内容を最後の手順で再入力する手順として規定されており、
前記手順完了判定手段は、前記制御装置側受信手段により受信された操作状態データのうち、最新の手順が最初の手順と同じ操作内容を再入力する手順であり、且つ操作内容が最初の手順と同じことを、全ての手順の操作入力の完了と判定する請求項２に記載の制御システムである。
【００１５】
この第３の発明によれば、制御装置において、受信された操作状態データのうち、最新の手順が最初の手順と同じ操作内容を再入力する手順であり、且つ操作内容が最初の手順と同じことが、全ての手順の操作入力の完了と判定される。
【００１６】
第４の発明は、第１〜第３の何れかの発明の制御システムであって、
前記通信確認データ生成手段は、前記制御装置側受信手段により受信された操作状態データの全部又は一部を複製したデータを少なくとも含めて前記通信確認データを生成し、
前記情報比較手段は、前記制御装置側受信手段により今回受信された操作状態データと、前記通信確認データ生成手段により生成された通信確認データとの一致を判定することで、各手順の操作内容の一致を判定する、
制御システムである。
【００１７】
この第４の発明によれば、制御装置において、操作端末から受信した操作状態データの全部又は一部を複製したデータを少なくとも含めた通信確認データが操作端末に送信され、操作端末から今回受信された操作状態データと生成した通信確認データとの一致を判定することで、各手順の操作内容の一致が判定される。つまり、通信確認データは、受信した操作状態データの全部又は一部を含んでいるため、今回受信された操作状態データと、以前に受信された操作状態データに替えて通信確認データとを比較することで、各手順の操作内容の一致を判定することができる。
【００１８】
第５の発明は、第４の発明の制御システムであって、
前記通信確認データ生成手段は、更に、前記複製したデータに基づくチェックコードを生成して前記通信確認データに含め、
前記確認折返し生成手段は、前記端末側受信手段により受信された通信確認データを複製したデータを前記確認折返しデータとして生成し、
前記正当性検査手段は、前記制御装置側受信手段により受信された確認折返しデータに含まれる前記操作状態データの複製データを基にチェックコードを生成し、前記通信確認データ生成手段により生成されたチェックコードと一致するか否かで、通信の正当性を判断する、
制御システムである。
【００１９】
この第５の発明によれば、制御装置では、更に、受信された操作状態データを複製したデータに基づくチェックコードが通信確認データに含めて操作端末に送信され、この送信した通信確認データを複製したデータを確認折返しデータとして操作端末から受信し、受信した確認折返しデータに含まれる操作状態データの複製データを基に生成したチェックコードが、送信したチェックコードと一致するか否かで、通信の正当性が判断される。
【００２０】
第６の発明は、第１〜第５の何れかの発明の制御システムであって、
前記端末側送信手段は、前記操作状態データ及び前記確認折返しデータの送信を所定周期で行い、
前記制御装置側送信手段は、前記表示制御データ及び前記通信確認データの送信を所定周期で行い、
前記表示制御手段は、前記端末側受信手段により前記表示制御データが受信される毎に、表示内容を更新制御する、
制御システムである。
【００２１】
この第６の発明によれば、操作端末からの操作状態データ及び確認折返しデータの送信が所定周期で行われるとともに、制御装置からの表示制御データ及び通信確認データの送信が所定周期で行われ、操作端末では、制御装置から送信される表示制御データが受信される毎に、該受信した表示制御データに基づく各手順の操作内容の表示が更新される。
従って、データの送受信を所定周期で行うことで、操作端末と制御装置との間の通信の信頼性を更に向上させることができる。
【発明の効果】
【００２２】
本発明によれば、所定の機能安全規格により規格化された安全水準を満たす制御装置と安全水準を満たさない操作端末とが、安全水準を満たさない通信路で通信接続された制御システムにおいて、操作者が操作端末に規定の操作順序通りの操作入力を行うと、操作端末から制御装置に、制御装置から受信した通信確認データに基づく確認折返しデータが操作状態データとともに送信され、制御装置から操作端末に、操作端末から受信した操作状態データに基づく操作表示データが通信確認データとともに送信されるといった一連の処理が繰り返し行われるとともに、制御装置において、操作状態データとともに受信した確認折返しデータに基づく通信の正当性の判断、受信した操作状態データの各手順の操作内容が以前に受信した各手順の操作内容と一致するかの判断、そして操作順序の照査が繰り返し行われる。これにより、制御装置において受信した操作状態データ及び操作端末において受信した操作表示データの信頼性が確保されることになる。つまり、制御装置と操作端末との間の通信の信頼性が向上し、その結果、操作端末や通信路といった安全水準を満たさない要素が含まれているとしても、制御システム全体として所定の安全水準を満たすこととなる。
【００２３】
更に、操作端末において受信した操作表示データに基づく照査済みの各手順の操作内容が表示制御されることで、通信の信頼性の更なる向上が実現される。即ち、例えば操作端末において、操作者は、手順の操作入力を行うと、該手順の操作内容が表示されることを確認した後、次の手順の操作入力を行うといったように、手順毎に該手順の操作内容の表示を確認しながら操作入力を行うことで、制御装置との間の通信が正常に行われていることを確認することができる。
【００２４】
また、操作者は、操作端末において制御装置に対する操作入力を行うことができる。このため、操作端末として、例えばパソコンといった安全水準は満たさないけれども汎用性や拡張性に優れた装置を利用することで、特にマンマシン・インターフェースといった点において汎用性や拡張性の向上が実現される。つまり、安全水準を満たしつつ、専用のシステムとして構築される場合に比較して汎用性や拡張性が向上された制御システムが実現される。
【発明を実施するための最良の形態】
【００２５】
以下、図面を参照して本発明の好適な実施形態を説明する。
【００２６】
［システム構成］
図１は、本実施形態の制御システム１の構成を示す図である。同図によれば、制御システム１は、操作端末１００と制御装置３００とが操作用通信回線Ｎ１を介して通信可能に接続されて構成されている。また、制御装置３００には、制御用通信回線Ｎ２を介して複数の機器制御端末５００が通信可能に接続されている。ここで、操作用通信回線Ｎ１は、データの送受信が可能な通信路であり、例えばイーサネット（登録商標）等である。また、制御用通信回線Ｎ２は、例えば光ケーブル等で構成される専用ＬＡＮである。操作端末１００は、操作者が制御装置３００に対する操作入力を行うためのインターフェース装置であり、操作者による制御操作入力の操作内容に従った制御信号を制御装置３００に出力する。この操作端末１００は、例えばパソコン等により実現される。制御装置３００は、操作端末１００から送信される操作信号に従って、各機器の個別制御装置である機器制御端末５００を制御する。
【００２７】
この制御システム１を電子連動装置に適用した場合、制御装置３００は連動論理部に相当し、機器制御端末５００は、例えば信号機や転てつ機、軌道回路といった現場に設置される各種機器を制御する電子端末群に相当する。そして、これらの制御装置３００及び機器制御端末５００は、例えば扱所に設置される論理架に収容される。
【００２８】
また、これらの制御システム１の構成要素のうち、制御装置３００、機器制御端末５００及び制御用通信回線Ｎ２は、安全度水準ＳＩＬレベルが「３」以上の“Ｖｉｔａｌ”な装置である。一方、操作端末１００及び操作用通信回線Ｎ１は、安全度水準ＳＩＬレベルが「２」以下の“Ｎｏｎ−Ｖｉｔａｌ”な装置である。つまり、制御システム１は、一部に“Ｎｏｎ−Ｖｉｔａｌ”な構成要素を含んで構成されているが、操作端末１００と制御装置３００との間のデータの送受信を繰り返すことで当該装置間の通信の信頼度を向上させ、制御システム１全体を“Ｖｉｔａｌ”とみなせるシステムとなっている。
【００２９】
本実施形態では、操作者は、操作端末１００において、制御装置３００に対する制御操作入力として、複数手順から成る制御手順それぞれの操作入力を順に行う。すると、操作端末１００と制御装置３００との間で操作入力に応じたデータの送受信が行われ、全ての手順の操作入力が完了すると、各手順の操作内容に応じた制御信号が制御装置３００から機器制御端末５００に送信され、制御装置３００による制御が実行される。より詳細には、操作者が行うべき手順として、複数の制御手順それぞれの操作入力を行った後、再度、最初の手順の操作入力を行うように規定されている。そして、最初の手順と同じ操作入力を再度行うことにより、一連の制御手順の操作入力の完了が判断される。即ち、操作端末１００及び操作用通信回線Ｎ１の“Ｎｏｎ−Ｖｉｔａｌ”な構成要素は、制御装置３００に対するマンマシン・インターフェースとして機能する。
【００３０】
このとき、操作端末１００は、操作者による各手順の操作内容を含む操作状況データ１０を生成し、制御装置３００に送信する。また、制御装置３００から受信した応答データ３０に基づき、各手順の操作内容の表示更新を行う。この各手順の操作内容の表示は、操作者が自分の操作内容を確認するために行われる。一方、制御装置３００は、操作端末１００から受信した操作状況データ１０を基に、操作端末１００との間の伝送信頼性を確保するための所定の処理を行う。また、操作端末１００から受信した操作状況データ１０に応答した応答データ３０を生成し、操作端末１００に送信する。
【００３１】
図２は、操作端末１００と制御装置３００との間で送受信されるデータの構成を示す図である。同図（ａ）は、操作端末１００から制御装置３００に送信される操作状況データ１０の構成を示し、同図（ｂ）は、制御装置３００から操作端末１００に送信される応答データ３０の構成を示している。
【００３２】
同図（ａ）によれば、操作状況データ１０には、操作状態データ１１及び確認折返しデータ１２が含まれる。操作状態データ１１は、操作者により入力された操作データであり、各手順の操作内容がその入力順と対応付けて設定される。この操作状態データ１１は、なされる制御手順に応じた数のデータエリアから構成される。即ち、制御手順それぞれの操作内容を格納するためのデータエリアと、再入力された最初の手順の操作内容を格納するためのデータエリアとの、制御手順の数より「１」だけ多い数のデータエリアから構成される。例えば２つの手順Ａ，Ｂから成る制御手順の場合には、これら２つの手順それぞれ用の２つのデータエリアと、手順Ａの再入力用の１つのデータエリアとの合計３つのデータエリアから構成される。また、確認折返しデータ１２は、操作端末１００と制御装置３００との間の通信の正当性を確認（検査）するためのデータであり、制御装置３００から受信した応答データ３０に含まれる通信確認データ３２を基に生成される。この確認折返しデータ１２は、操作状態データ１１と同数のデータエリアから構成される。
【００３３】
同図（ｂ）によれば、応答データ３０には、操作表示データ３１及び通信確認データ３２が含まれる。操作表示データ３１は、制御手順それぞれの操作内容についての表示データであり、操作端末１００から受信した操作状況データ１０の操作状態データ１１を基に生成される。この操作表示データ３１は、操作状況データ１０の操作状態データ１１と同数のデータエリアから構成される。通信確認データ３２は、操作端末１００と制御装置３００との間の通信の正当性を確認（検査）するためのデータであり、操作端末１００から受信した操作状況データ１０の操作状態データ１１を基に生成される。この通信確認データ３２は、操作状況データ１０の操作状態データ１１の同数のデータエリアから構成される。
【００３４】
［操作端末］
図３は、操作端末１００の構成を示すブロック図である。同図によれば、操作端末１００は、操作部１１０と、処理部１２０と、表示部１３０と、通信部１４０と、記憶部１５０とを備えて構成される。
【００３５】
操作部１１０は、操作者が操作入力を行うための入力装置であり、なされた操作に応じた操作データを、処理部１２０に出力する。この操作部１１０は、例えばキーボードやマウス、タッチパネル等で実現される。
【００３６】
処理部１２０は、記憶部１５０に記憶されているプログラムやデータ、操作部１１０から入力された操作データ、通信部１４０を介して外部装置（主に、制御装置３００）から受信したデータ等に基づいて、操作端末１００の全体制御等の各種処理を行う。この処理部１２０は、例えばＣＰＵ等で実現される。
【００３７】
また、処理部１２０は、記憶部１５０の操作制御プログラム１５１に従って、制御装置３００との間の通信を制御するための処理（操作制御処理）を行う。
【００３８】
図４は、処理部１２０が行う処理を説明するための図である。同図において、左側は制御装置３００から受信した応答データ３０を示し、右側は制御装置３００に送信する操作状況データ１０を示している。同図によれば、処理部１２０は、操作部１１０から入力された各手順の操作内容のデータと、制御装置３００から受信した応答データ３０とを基に、操作状況データ１０を生成する。即ち、入力された各手順の操作内容のデータを、その入力順と対応付けて操作状態データ１１を生成する。また、受信した応答データ３０に含まれる通信確認データ３２と同一のデータ（コピーデータ）を、確認折返しデータ１２とする。そして、この操作状態データ１１及び確認折返しデータ１２を含めた操作状況データ１０を、制御装置３００に送信する。尚、応答データ３０を未だ受信していない場合には、確認折返しデータ１２を「空きデータ」とする。また、この操作状況データ１０の生成及び送信は、所定時間間隔で周期的に実行する。更に、処理部１２０は、制御装置３００から受信した応答データ３０に含まれる操作表示データ３１に従って、各手順の操作内容を表示部１３０に表示させる。
【００３９】
図３において、表示部１３０は、処理部１２０の制御に従って各種表示画面を表示する表示装置であり、例えばＣＲＴやＬＣＤ、ＥＬＤ等で実現される。通信部１４０は、処理部１２０の制御に従って操作用通信回線Ｎ１に接続し、外部装置（主に、制御装置３００）とのデータ通信を行う通信装置である。
【００４０】
記憶部１５０は、処理部１２０に操作端末１００を統合的に制御させるためのシステムプログラムや、制御装置３００との間の通信制御に必要なプログラムやデータ等を記憶するとともに、処理部１２０の作業領域として用いられ、処理部１２０が各種プログラムに従って実行した演算結果や、操作部１１０から入力される操作データ等を一時的に記憶する。この記憶部１５０は、例えば各種ＩＣメモリやハードディスク、ＲＯＭ、ＲＡＭ等で実現される。
【００４１】
本実施形態では、操作制御プログラム１５１と、受信応答データ１５２と、送信用操作状況データ１５３とが記憶される。受信応答データ１５２は、制御装置３００から受信した応答データ３０であり、応答データ３０の受信毎に、この受信された応答データ３０で更新される。送信用操作状況データ１５３は、当該操作端末１００から制御装置３００に送信する操作状況データ１０である。
【００４２】
［制御装置］
図５は、制御装置３００の構成を示すブロック図である。同図によれば、制御装置３００は、処理部３１０と、操作回線用通信部３２０と、制御回線用通信部３３０と、記憶部３４０とを備えて構成される。
【００４３】
処理部３１０は、記憶部３４０に記憶されているプログラムやデータ、操作回線用通信部３２０を介して外部装置（主に、操作端末１００）から受信したデータ等に基づいて、制御装置３００の全体制御等の各種処理を行う。この処理部３１０は、例えば、ＣＰＵ等で実現される。
【００４４】
また、処理部３１０は、記憶部３４０の応答制御プログラム３４１に従って、操作端末１００との間の通信を制御するための処理（応答制御処理）を行う。図６は、処理部３１０が行う処理を説明するための図である。同図において、左側は操作端末１００から受信した操作状況データ１０を示し、右側下は操作端末１００に送信する応答データ３０を示し、右側上は前回送信した応答データ３０を示している。
【００４５】
同図によれば、処理部３１０は、（１）受信した操作状況データ１０に含まれる操作状態データ１１を基に、各手順の操作順序が規定の順序通りであるかを照査（判定）する「手順照査」を行う。
【００４６】
また、（２）今回受信した操作状況データ１０の操作状態データ１１に設定されている各手順の操作内容が、前回受信した操作状況データ１０の操作状態データ１１に設定されている各手順の操作内容と一致するかを判定する「情報比較」を行う。即ち、受信した操作状況データ１０の操作状態データ１１と、送信済みの応答データ３０に含めた通信確認データ３２とを比較し、各手順の操作内容が一致するかを判断する。これは、後述のように、応答データ３０の通信確認データ３２は、受信した操作状況データ１０の操作状態データ１１のコピーデータであるためである。
【００４７】
また、（３）受信した操作状況データ１０の確認折返しデータ１２に含まれているコピーデータを基にチェックコードを生成し、生成したチェックコードと、送信済みの応答データ３０に含めた通信確認データ３２のチェックコードと一致するかを判定する「チェックコードの確認」を行う。
【００４８】
そして、（１）「手順照査」により規定の順序通りであると判定し、（２）「情報比較」により各手順の操作内容が一致すると判定し、且つ（３）「チェックコードの確認」によりチェックコードが一致すると判定したならば、操作端末１００から受信した操作状況データ１０に応答した応答データ３０を生成し、操作端末１００に送信する。
【００４９】
即ち、受信した操作状況データ１０に含まれる操作状態データ１１を基に、各手順の操作内容を表示するための表示データを生成し、操作表示データ３１とする。また、操作状態データ１１と同一のデータ（コピーデータ）を生成するとともに、このコピーデータを基にチェックコードを生成し、コピーデータとチェックコードとを通信確認データ３２とする。そして、この操作表示データ３１及び通信確認データ３２を含めた応答データ３０を、操作端末１００に送信する。
【００５０】
尚、（１）「手順照査」により規定の順序通りでないと判定した、或いは（２）「情報比較」により各手順の操作内容が一致しないと判定した、或いは（３）「チェックコードの確認」によりチェックコードが一致しないと判定したならば、受信した操作状況データ１０に含まれる操作状態データ１１を破棄（クリア）し、操作端末１００に「操作破棄」を通知する。また、この操作状況データ１０の生成及び送信は、所定時間間隔で周期的に実行する。
【００５１】
図５において、操作回線用通信部３２０は、処理部３１０の制御に従って操作用通信回線Ｎ１に接続し、外部装置（主に、操作端末１００）とデータ通信を行う接続装置である。また、制御回線用通信部３３０は、処理部３１０の制御に従って制御用通信回線Ｎ２に接続し、外部装置（主に、機器制御端末５００）とデータ通信を行う接続装置である。
【００５２】
記憶部３４０は、処理部３１０に制御装置３００を統合的に制御させるためのシステムプログラムや、操作端末１００との間の通信の制御に必要なプログラムやデータ等を記憶するとともに、処理部３１０の作業領域として用いられ、処理部３１０が各種プログラムに従って実行した演算結果や、操作回線用通信部３２０からの受信データ等を一時的に記憶する。この記憶部３４０は、例えば各種ＩＣメモリやハードディスク、ＲＯＭ、ＲＡＭ等で実現される。
【００５３】
本実施形態では、記憶部３４０には、応答制御プログラム３４１と、受信操作状況データ３４２と、送信用応答データ３４３と、送信済み応答データ３４４とが記憶される。受信操作状況データ３４２は、操作端末１００から受信した操作状況データ１０であり、操作状況データ１０の受信毎に、この受信した操作状況データ１０で更新される。送信用応答データ３４３は、当該制御装置３００から操作端末１００に送信する応答データ３０である。送信済み応答データ３４４は、当該制御装置３００から操作端末１００に以前に送信した最新の応答データ３０であり、応答データ３０の送信毎に、この応答データ３０で更新される。
【００５４】
［通信手順］
図７は、操作端末１００と制御装置３００との間の通信手順を示す図である。同図は、二つの手順Ａ，Ｂからなる制御手順を実行する場合であり、操作者は、操作端末１００において、「手順Ａ」，「手順Ｂ」の順に操作入力を行った後、再度、最初の手順である「手順Ａ」の操作を行う。
【００５５】
同図によれば、操作者は、先ず、操作端末１００において「手順Ａ」の操作入力を行う。すると、操作端末１００では、入力された「手順Ａ」の操作内容が操作状態データ１１に設定され、この操作状態データ１１を含む操作状況データ１０が制御装置３００に送信される。
【００５６】
図８（ａ）は、このとき操作端末１００から制御装置３００に送信される操作状況データ１０Ａを示す図である。操作状況データ１０Ａの操作状態データ１１には、「手順Ａ」の操作内容が設定されている。また、確認折返しデータ１２は「空データ」となっている。
【００５７】
制御装置３００において、操作端末１００から送信された操作状況データ１０Ａが受信されると、この操作状況データ１０Ａに含まれている操作状態データ１１に基づく「手順照査」が行われる。ここでは、「手順Ａ」が操作されたかが判断される。次いで、操作状況データ１０Ａに応答した応答データ３０が生成される。即ち、操作状況データ１０Ａに含まれている操作状態データ１１を基に、操作表示データ３１が生成される。ここでは、「手順Ａ」の操作内容の表示データが操作表示データ３１に設定される。また、操作状況データ１０Ａに含まれている操作状態データ１１のコピーデータが通信確認データ３２に設定されるとともに、該コピーデータを基にチェックコードが生成され、通信確認データ３２に設定される。そして、これらの操作表示データ３１及び通信確認データ３２を含む応答データ３０Ａが、制御装置３００から操作端末１００に送信される。
【００５８】
図８（ｂ）は、このとき制御装置３００から操作端末１００に送信される応答データ３０Ａの構成を示す図である。応答データ３０Ａの操作表示データ３１には、「手順Ａ」の表示データが設定されている。また、通信確認データ３２には、操作状況データ１０Ａの操作状態データ１１のコピーデータである「操作Ａ」の操作内容とチェックコードａとが設定されている。
【００５９】
操作端末１００において、制御装置３００から送信された応答データ３０Ａが受信されると、この応答データ３０Ａに含まれている操作表示データ３１を基に、各手順の操作内容が表示される。ここでは、「手順Ａ」の操作内容が表示される。操作者は、表示される「手順Ａ」の操作内容が、自分が行った操作内容と一致することを確認し、次の手順である「手順Ｂ」の操作を行う。
【００６０】
すると、操作端末１００では、入力された「手順Ｂ」の操作内容が、これまでに入力された各手順の操作内容（即ち、「手順Ａ」の操作内容）とともに操作状態データ１１に設定される。また、受信した応答データ３０Ａに含まれる通信確認データ３２のコピーデータが、確認折返しデータ１２に設定される。そして、これらの操作状態データ１１及び確認折返しデータ１２を含む操作状況データ１０が、操作端末１００から制御装置３００に送信される。
【００６１】
図８（ｃ）は、このとき操作端末１００から制御装置３００に送信される操作状況データ１０Ｂを示す図である。操作状況データ１０Ｂの操作状態データ１１には、「手順Ａ」及び「手順Ｂ」の操作内容が設定されている。また、確認折返しデータ１２には、応答データ３０Ａの通信確認データ３２のコピーデータである「手順Ａ」及び「手順Ｂ」の操作内容及びチェックコードａが設定されている。
【００６２】
制御装置３００において、操作端末１００から送信された操作状況データ１０Ｂが受信されると、この操作状況データ１０Ｂに含まれる操作状態データ１１と、前回送信した応答データ３０Ａに含めた通信確認データ３２とを基に、「情報比較」が行われる。ここでは、「手順Ａ」の操作内容が一致するかが判断される。また、操作状況データ１０Ｂに含まれる確認折返しデータ１２を基に、「チェックコードの確認」が行われる。即ち、確認折返しデータ１２のコピーデータを基に生成したチェックコードが、前回送信した応答データ３０Ａの通信確認データ３２に含めたチェックコードａに一致するかが判定される。また、操作状況データ１０Ｂに含まれる操作状態データ１１に基づく「手順照査」が行われる。ここでは、「手順Ａ」次いで「手順Ｂ」の順に操作されたかが判断される。
【００６３】
次いで、応答データ３０が生成される。即ち、操作状況データ１０Ｂの操作状態データ１１を基に、各手順の操作内容の表示データが生成され、操作表示データ３１に設定される。また、操作状況データ１０Ｂに含まれる操作状態データ１１のコピーデータが通信確認データ３２に設定されるとともに、このコピーデータを基に生成されたチェックコードが通信確認データ３２に設定される。そして、これらの操作表示データ３１及び通信確認データ３２を含む応答データ３０Ｂが、制御装置３００から操作端末１００に送信される。
【００６４】
図８（ｄ）は、ここで制御装置３００から操作端末１００に送信される応答データ３０Ｂのデータ構成を示す図である。応答データ３０Ｂの操作表示データ３１には、「手順Ａ」及び「手順Ｂ」の表示データが設定されている。また、通信確認データ３２には、操作状況データ１０Ａの操作状態データ１１のコピーデータである「手順Ａ」及び「手順Ｂ」の操作内容とチェックコードｂとが設定されている。
【００６５】
操作端末１００において、制御装置３００から送信された応答データ３０Ｂが受信されると、この応答データ３０Ｂの操作表示データ３１を基に、各手順の操作内容の表示が更新される。ここでは、「手順Ａ」及び「手順Ｂ」それぞれの操作内容が表示される。操作者は、表示される各手順の操作内容を確認し、再度「手順Ａ」の操作を行う。
【００６６】
すると、操作端末１００では、入力された「手順Ａ」の操作内容が、これまでに入力された各手順の操作内容（即ち、「手順Ａ」及び「手順Ｂ」の操作内容）とともに操作状態データ１１に設定される。また、受信された応答データ３０Ｂに含まれる通信確認データ３２のコピーデータが確認折返しデータ１２に設定される。そして、この操作状態データ１１及び確認折返しデータ１２を含む操作状況データ１０が、操作端末１００から制御装置３００に送信される。
【００６７】
図８（ｅ）は、ここで操作端末１００から制御装置３００に送信される操作状況データ１０Ｃのデータ構成を示す図である。操作状況データ１０Ｃの操作状態データ１１には、「手順Ａ」、「手順Ｂ」及び「手順Ａ」それぞれの操作内容が設定されている。また、確認折返しデータ１２には、応答データ３０Ｂの通信確認データ３２のコピーデータである「手順Ａ」及び「手順Ｂ」の操作内容及びチェックコードｂが設定されている。
【００６８】
制御装置３００において、操作端末１００から送信された操作状況データ１０Ｃが受信されると、この操作状況データ１０Ｃに含まれる操作状態データ１１と、前回送信した応答データ３０Ｂに含めた通信確認データ３２とを基に、「情報比較」が行われる。ここでは、「手順Ａ」及び「手順Ｂ」の操作内容が一致するかが判断される。また、操作状況データ１０Ｃに含まれる確認折返しデータ１２を基に、「チェックコードの確認」が行われる。即ち、この確認折返しデータ１２のコピーデータを基に生成したチェックコードが、前回送信した応答データ３０Ｂに含めた通信確認データ３２のチェックコードｂに一致するかを判定する。また、操作状況データ１０Ｃに含まれる操作状態データ１１を基に、「手順照査」が行われる。ここでは、「手順Ａ」、「手順Ｂ」次いで「手順Ａ」の順に操作されたかが判断される。
【００６９】
その後、機器制御端末５００に対する制御データが生成され、該当する機器制御端末５００に送信される。即ち、受信された操作状況データ１０Ｃに含まれる操作状態データ１１を基に、各手順の操作内容に従った制御データが生成される。ここでは、「手順Ａ」及び「手順Ｂ」の操作内容に従った制御データが生成される。そして、制御装置３００では、機器制御端末５００から送信される制御状態や制御結果等のデータ（制御状態データ）を受信すると、該受信したデータを操作端末１００に送信する。すると、操作端末１００では、制御装置３００から受信した制御状態データに基づく表示が行われる。
【００７０】
［処理の流れ］
（Ａ）操作端末１００
図９は、操作端末１００における操作制御処理の流れを説明するためのフローチャートである。この処理は、処理部１２０が操作制御プログラム１５１を実行することで実現される。
【００７１】
同図によれば、処理部１２０は、操作者による操作入力がなされたか否かを判断し、操作入力がなされたならば（ステップＡ１：ＹＥＳ）、入力された手順の操作内容を、送信用操作状況データ１０の操作状態データ１１に追加設定する（ステップＡ３）。次いで、送信用操作状況データ１０の操作状態データ１１を参照して、設定されている最新の操作手順が初回手順であるか否かを判断し（ステップＡ５）、初回手順でないならば（ステップＡ７：ＮＯ）、受信応答データ１５２（制御装置３００から受信した最新の応答データ３０）に含まれる通信確認データ３２を、そのまま、送信用操作状況データ１５３の確認折返しデータ１２に設定する（ステップＡ９）。そして、操作状態データ１１及び確認折返しデータ１２を含む送信用応答データ３４３を、制御装置３００に送信する（ステップＡ１１）。
【００７２】
続いて、処理部１２０は、送信用操作状況データ１０の操作状態データ１１を参照して、設定されている最新の操作手順が初回手順の再度の入力であるか否かを判断し、再度入力でないならば（ステップＡ１３：ＮＯ）、続いて、制御装置３００からの操作破棄の通知があるか否かを判断する。操作破棄の通知がないならば（ステップＡ１５：ＮＯ）、受信操作状況データ３４２（受信した最新の操作状況データ１０）に含まれる操作表示データ３１に基づいて、各手順の操作内容の表示を更新する（ステップＡ１７）。続いて、操作者によるキャンセル操作がなされたか否かを判断し、キャンセルがなされていないならば（ステップＡ１９：ＮＯ）、ステップＡ１に戻る。
【００７３】
一方、操作者によるキャンセル操作がなされた（ステップＡ１９：ＹＥＳ）、或いは制御装置３００からの操作破棄の通知があるならば（ステップＡ１５：ＹＥＳ）、送信用操作状況データ１５３の操作状態データ１１をクリアし、この送信用操作状況データ１５３を制御装置３００へ送信する（ステップＡ２１）。
【００７４】
また、ステップＡ１３において、最新の操作手順が初回手順の再度入力ならば（ステップＡ１３：ＹＥＳ）、規定された全ての手順の操作入力が完了したと判断し、制御状態表示処理を行う。即ち、制御装置３００からの制御状態データの受信を待機し、受信した制御状態データに基づく制御状態や制御結果の表示を行う（ステップＡ２３）。以上の処理を行うと、操作制御処理は終了となる。
【００７５】
（Ｂ）制御装置３００
図１０は、制御装置３００における応答制御処理の流れを説明するためのフローチャートである。この処理は、処理部３１０が応答制御プログラム３４１を実行することで実現される。
【００７６】
同図によれば、処理部３１０は、受信操作状況データ３４２（操作端末１００から受信した操作状況データ１０）に含まれる操作状態データ１１を基に最新の手順を判定し（ステップＢ１）、判定した手順が初回手順ならば（ステップＢ３：ＴＹＥＳ）、ステップＢ１５に移行する。一方、判定した手順が初回手順でないならば（ステップＢ３：ＮＯ）、続いて、「情報比較」を行う。即ち、受信操作状況データ３４２に含まれる操作状態データ１１と、送信済み応答データ３４４（送信した最新の応答データ３０）に含まれる通信確認データ３２とを比較し、各手順の操作内容が一致するかを判断する（ステップＢ５）。
【００７７】
その結果、各手順の操作内容が一致するならば（ステップＢ７：ＹＥＳ）、続いて、「チェックコードの確認」を行う。即ち、受信操作状況データ３４２に含まれる確認折返しデータ１２のコピーデータを基にチェックコードを生成し（ステップＢ９）、生成したチェックコードと、送信済み応答データ３４４に含まれる通信確認データ３２のチェックコードとの一致を判定する（ステップＢ１１）。
【００７８】
その結果、双方のチェックコードが一致するならば（ステップＢ１３：ＹＥＳ）、続いて、「手順照査」を行う。即ち、受信操作状況データ３４２に含まれる操作状態データ１１に基づいて、各手順の操作順序が規定の順序通りであるかを判断する（ステップＢ１５）。
【００７９】
その結果、規定の順序通りであるならば（ステップＢ１７：ＹＥＳ）、続いて、応答データ３０を生成する。即ち、受信操作状況データ３４２に含まれる操作状態データ１１を基に各手順の表示データを生成して、送信用応答データ３４３の操作表示データ３１に設定する（ステップＢ２３）。また、受信操作状況データ３４２に含まれる操作状態データ１１のコピーデータを、送信用応答データ３４３の通信確認データ３２に設定するとともに（ステップＢ２５）、このコピーデータを基にチェックコードを生成し（ステップＢ２７）、生成したチェックコードを該通信確認データ３２に設定する（ステップＢ２９）。そして、この操作表示データ３１及び通信確認データ３２を含む送信用応答データ３０を操作端末１００に送信する（ステップＢ３１）。
【００８０】
その後、受信操作状況データ３４２の操作状態データ１１を基に、規定された全ての手順の操作が完了したか否かを判断する（ステップＢ３３）。その結果、規定された全ての手順の操作が完了してないならば（ステップＢ３５：ＮＯ）、ステップＢ１に戻る。一方、規定された全ての手順の操作が完了したならば（ステップＢ３５：ＹＥＳ）、機器制御端末５００を制御する機器制御処理を行う。即ち、受信操作状況データ３４２に含まれる操作状態データ１１を基に、各手順の操作内容に従った制御データを生成し、該当する機器制御端末５００へ送信する。そして、該機器制御端末５００から送信される制御状態データを受信すると、このデータを操作端末１００に送信する（ステップＢ３７）。
【００８１】
一方、ステップＢ７において、「情報比較」の結果、各手順の操作内容が一致しない（ステップＢ７：ＮＯ）、或いは、ステップＢ１３において、「チェックコードの確認」の結果、双方のチェックコードが一致しない（ステップＢ１３：ＮＯ）、或いは、ステップＢ１７において、手順照査の結果、各手順の操作順序が規定された手順通りでない場合には（ステップＢ１７：ＮＯ）、受信操作状況データ３４２の操作状態データ１１を破棄（クリア）し（ステップＢ１９）、操作状態の破棄を操作端末１００に通知する（ステップＢ２１）。以上の処理を行うと、応答制御処理を終了する。
【００８２】
［実施例］
続いて、制御システム１の具体的な適用例として、臨時速度制御装置に適用した場合を説明する。この場合、制御装置３００は臨時速度制御装置の論理部に相当し、機器制御端末５００はＡＴＣ装置に相当する。また、臨速制御における制御手順は、臨速制御の開始／解除を指定する「手順Ａ」と、制御を適用する範囲（区間）を指定する「手順Ｂ」と、変更後の速度を指定する「手順Ｃ」との３つの手順から成る。
【００８３】
図１１は、臨速制御において操作端末１００に表示される操作画面の一例を示す図である。同図に示すように、操作画面には、制御手順の操作入力を行うためのボタン５０が表示されているとともに、各ボタン５０の上方には該当する手順の操作内容を表示するための表示領域６０が形成されている。即ち、「手順Ａ」の操作入力を行うためのボタン５０ａと、「手順Ｂ」の操作入力を行うためのボタン５０ｂと、「手順Ｃ」の操作入力を行うためのボタン５０ｃと、「手順Ａ」の再度の操作入力を行うためのボタン５０ｄとが表示されているとともに、ボタン５０ａの上方に「手順Ａ」の操作内容を表示するための表示領域６０ａが形成され、ボタン５０ｂの上方に「手順Ｂ」の操作内容を表示するための表示領域６０ｂが形成され、ボタン５０ｃの上方に「手順Ｃ」の操作内容を表示するための表示領域６０ｃが形成されている。また、操作画面の上部には、現時点での制御状態を表示するための表示エリア７０が形成されている。この表示エリア７０には、対象線区において、上下線別に各区間に定められている制限速度が表示されている。
【００８４】
この操作画面において、操作者は、先ず「手順Ａ」の操作を行う。即ち、ボタン５０ａにおいて、臨速制御の開始を指示する「設定」を選択する。そして、行った「手順Ａ」の操作内容「設定」が表示領域６０ａに表示されることを確認すると、次いで「手順Ｂ」の操作を行う。即ち、ボタン５０ｂにおいて、速度制御を行いたい区間として、例えば始点「１６１０」及び終点「１６２６」を選択し、「決定」を選択する。そして、行った「手順Ｂ」の操作内容「１６１０」及び「１６１４」が表示領域６０ｂに表示されることを確認すると、続いて「手順Ｃ」の操作を行う。即ち、ボタン５０ｃにおいて、「手順Ｂ」で選択した区間に適用する制限速度として、例えば「７０」を選択する。そして、行った「手順Ｃ」の操作内容「７０」が表示されることを確認すると、再度、「手順Ａ」の操作を行う。即ち、ボタン５０ｄにおいて、最初に行った「手順Ａ」の操作と同様に「設定」を選択する。すると、表示エリア７０において、操作内容に従った制御状態が表示される。即ち、区間「１６１０〜１６１４」の制限速度が「７０」に設定されたことが表示される。
【００８５】
［作用・効果］
このように、本実施形態の制御システム１では、操作端末１００から制御装置３００への操作データを含む操作状況データ１０の送信と、制御装置３００から操作端末１００への受信された操作状況データ１０に応答した応答データ３０の送信とが繰り返し行われる。操作端末１００では、操作者が、複数手順から成る制御手順の各手順について順に操作入力を行うとともに、受信した応答データ３０に含まれる操作表示データ３１を基に各手順の操作内容が表示される。また、制御装置３００では、受信した操作状況データ１０を基に、（１）各手順の操作順序が規定の順序通りであるかを照査する「手順照査」、（２）今回の受信と前回の受信とで各手順の操作内容が一致するかを判定する「情報比較」、（３）送信したチェックコードと受信したチェックコードとが一致するかを判定する「チェックコードの確認」、が行われる。これにより、制御装置３００で受信された操作状況データ１０、及び、操作端末１００で受信された応答データ３０の信頼性が確保されることになる。つまり、制御装置３００と操作端末１００との間の通信の信頼性が向上し、その結果、操作端末１００及び操作用通信回線Ｎ１といった“Ｎｏｎ−Ｖｉｔａｌ”な構成要素が含まれているとしても、制御システム１全体として“Ｖｉｔａｌ”相当の安全性が実現される。
【００８６】
また、操作端末１００において、操作者が、手順の操作入力を行い、該手順の操作内容が正しく表示されることを確認した後、次の手順の操作入力を行うといったように、手順毎に該手順の操作内容の表示を確認しながら操作入力を行うことで、制御装置３００との間の通信が正常に行われていることを確認することができる。
【００８７】
更に、操作端末１００として、例えばパソコンといった“Ｎｏｎ−Ｖｉｔａｌ”な装置であるけれども汎用性や拡張性に優れた装置を利用することで、マンマシン・インターフェース等の点において汎用性や拡張性の向上が実現される。つまり、従来と比較して汎用性や拡張性が向上された“Ｖｉｔａｌ”な制御システム１が実現される。
【００８８】
［変形例］
尚、本発明の適用可能な実施形態は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で適宜変更可能なのは勿論である。
【００８９】
（Ａ）通信確認データ３２
例えば、上述の実施形態では、制御装置３００から操作端末１００に送信する答データ３０の通信確認データ３２を、操作端末１００から受信した操作状況データ１０に含まれる操作状態データ１１のコピーデータとしたが、これを、例えばランダムデータといった他のデータとしても良い。この場合、制御装置３００における「情報比較」では、今回受信した操作状況データ１０に含まれる操作状態データ１１と、前回受信した操作状況データ１０に含まれる操作状態データ１１とを比較することで、各手順の操作内容が一致するかを判定する。
【００９０】
（Ｂ）適用するシステム
また、上述の実施形態では、制御システム１の具体的な適用例として臨時速度制御装置に適用した場合を説明したが、他のシステムに対しても同様に適用可能なのは勿論である。
【００９１】
（Ｃ）機能安全水準
また、上述の実施形態では、安全性を指標として安全度水準ＳＩＬを用いた場合を説明したが、他の規格化された安全水準であっても良いのは勿論である。
【図面の簡単な説明】
【００９２】
【図１】制御システムの構成図。
【図２】（ａ）操作状況データの構成図、（ｂ）応答データの構成図。
【図３】操作端末の内部構成図。
【図４】操作端末における処理の説明図。
【図５】制御装置の内部構成図。
【図６】制御装置における処理の説明図。
【図７】操作端末と制御装置との間の通信手順の説明図。
【図８】操作端末から送信される操作状況データ及び制御装置から送信される応答データのデータ構成図。
【図９】操作端末における操作制御処理の流れを説明するフローチャート。
【図１０】制御装置における応答制御処理の流れを説明するフローチャート。
【図１１】操作端末における操作画面の一例。
【符号の説明】
【００９３】
１  制御システム
１００  操作端末
１１０  操作部、１２０  処理部、１３０  表示部、１４０  通信部
１５０  記憶部
１５１  操作制御プログラム
１５２  受信応答データ、１５３  送信用操作状況データ
３００  制御装置
３１０  処理部
３２０  操作回線用通信部、３３０  制御回線用通信部
３４０  記憶部
３４１  応答制御プログラム
３４２  受信操作状況データ、３４３  送信用応答データ、３４４  送信済み応答データ
５００  機器制御端末
Ｎ１  操作用通信回線、Ｎ２  制御用通信回線
１０  操作状況データ
１１  操作状態データ、１２  確認折返しデータ
３０  応答データ
３１  操作表示データ、３２  通信確認データ
【図１】
2008242719.tif 000003
【図２】
2008242719.tif 000004
【図３】
2008242719.tif 000005
【図４】
2008242719.tif 000006
【図５】
2008242719.tif 000007
【図６】
2008242719.tif 000008
【図７】
2008242719.tif 000009
【図８】
2008242719.tif 000010
【図９】
2008242719.tif 000011
【図１０】
2008242719.tif 000012
【図１１】
2008242719.tif 000013