(57)【要約】【課題】機能安全としての要求事項を満たしながら、より高速でかつ、起動停止および多重系切替時の同時性を持つことにある。【解決手段】中央演算記憶装置からのシステムに対する状態切替信号を、シリアル回線１を介して接続される入出力装置に対しても一斉に通知する。状態切替信号としては、安全停止要求信号やハードウェア冗長化時の系切替要求信号を持つ。さらに、状態切替信号を２本持ち各々の極性を反転させる。または、状態切替信号をパルス状の信号とする。また、シリアル回線のフレームの共通部に安全停止要求用のビットを設けるか、コマンドに新たな状態切替のコードを設け、そのコマンド命令により一斉同報通信を実現する。【効果】システムの同時性と共に安全性を実現できる。更に、安全通信を用いることでより機能安全用途に適した制御が可能となる。【選択図】図２
2008009794.tif 000002
【特許請求の範囲】
【請求項１】
制御装置と、制御対象とデータを授受する複数の接続装置を有し、前記制御装置は、前記複数の接続装置のうちの一方の一部と、少なくとも一部はパラレル伝送となる通信回線を介して制御対象についてのデータを授受し、前記制御装置は、前記複数の接続装置のうちの他方の一部と、前記の通信回線に加え、少なくとも一部はシリアル回線となる第１の通信回線を介して制御対象についてのデータを送受信するプログラマブル電子装置において、前記制御装置から、前記第１の通信回線を介して接続された接続装置に情報が伝達されるように、状態切替信号を同時通報的に通知することが可能に構成されることを特徴とするプログラマブル電子装置。
【請求項２】
請求項１において、前記同時通報的な通知は、一斉通知であることを特徴とするプログラマブル電子装置。
【請求項３】
請求項１において、状態切替信号として安全停止要求信号を持つことを特徴とするプログラマブル電子装置。
【請求項４】
請求項１において、状態切替信号としてハードウェア冗長化時の系切替要求信号を持つことを特徴とするプログラマブル電子装置。
【請求項５】
請求項１乃至４のいずれかにおいて、シリアル回線のフレームの共通部に状態切替信号用のビットを設け、一斉同報通信することを特徴とするプログラマブル電子装置。
【請求項６】
請求項１乃至４のいずれかにおいて、シリアル回線のフレームのコマンドに新たな状態切替のコマンドコードを設け、そのコマンド命令により一斉同報通信することを特徴とするプログラマブルな電子装置。
【請求項７】
請求項１乃至４のいずれかにおいて、シリアル回線のフレームの共通部に状態切替信号用のビットを複数設け、一斉通信による状態切替制御対象範囲を分類し、段階的な状態切替を可能とすることを特徴とするプログラマブルな電子装置。
【請求項８】
請求項１において、前記制御装置から、前記一部はパラレル伝送となる通信回線を介して接続された接続装置、及び、前記第１の通信回線と共に前記一部はパラレル伝送となる通信回線を介して接続された接続装置に情報が伝達されるように構成されることを特徴とするプログラマブル電子装置。
【請求項９】
制御装置が、複数の接続装置のうちの一方の一部と、少なくとも一部はパラレル伝送となる通信回線を介して制御対象についてのデータを授受し、前記制御装置が、前記複数の接続装置のうちの他方の一部と、前記通信回線に加えて少なくとも一部はシリアル回線となる第１の通信回線を介して制御対象についてのデータを送受信し、前記制御装置から、前記第１の通信回線を介して接続された接続装置に情報が伝達されるように、状態切替信号を同時通報的に通知するプログラマブル電子装置の通信制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プログラマブル電子制御装置及びプログラマブル電子装置の通信制御方法に係り、特に制御入力から出力までの反応速度や同時性と機能安全とを両立するのに好適なプログラマブル電子制御装置及びプログラマブル電子装置の通信制御方法に関する。
【背景技術】
【０００２】
近年、人命や環境の安全確保をプログラマブルな電子装置で実現する要求が高まっている。
【０００３】
本質安全と対比し、装置の正常な動作を前提とした安全を機能安全と呼んでいる。
【０００４】
プログラマブルな電子装置の導入効果は、従来の機械接点式リレーコイルで構成した保護ロジック装置を上回る信頼性を小型軽量な装置で実現することである。このような技術は、例えば、特開平６−２９００６６号公報に記載されている。
【０００５】
このような機能安全用途のコントローラに関する国際規格がＩＥＣ６１５０８を中心に整備されつつある。ＩＥＣ６１５０８では機能安全を阻害する要因を２つに大別し、各々の対策と効果を詳細に規定している。阻害要因の第１はハードウェア起因の偶発故障、第２は通称ソフトウェアバグと呼ばれる系統的故障である。前者に対しては偶発故障の診断手法とそれに対応する診断率を規定、後者に対しては系統故障を防止する開発プロセスを規定している。
【０００６】
国際規格に基づいて独立した第三者機関が認証した製品を使用することにより、ユーザは所定の安全水準を確保することができる。
【０００７】
【特許文献１】特開平６−２９００６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
機能安全用途に使用可能なプログラマブルな電子装置のシステム構成をさらに拡大するためのシリアル通信制御システムが提案されている。
【０００９】
しかしながら、シリアル回線を用いてシステム規模を拡大した場合、回線に接続される各々の装置に順次指示を出すだけでは、安全機能としてのセーフティシャットダウン（安全停止）の応答速度および同時性に支障を来たす恐れがある。
【００１０】
また、多重化構成をとったときの系間切替えにおいても、シリアル回線による個々の装置への切替え指示では、接続台数が増加するに従い、伝達完了までの時間が大きくなるという問題がある。
【００１１】
本発明の目的は、機能安全としての要求事項を満たしながら、より高速でかつ、起動停止および多重系切替時の同時性を持つプログラマブル電子装置及びプログラマブル電子装置の通信制御方法を提供することにある。
【００１２】
さらに安全通信により、各装置への指示の伝達を確実にする機能を持つプログラマブル電子装置及びプログラマブル電子装置の通信制御方法を提供することにある。
【課題を解決するための手段】
【００１３】
上記目的を達成するために、本発明では、制御装置と、制御対象とデータを授受する複数の接続装置を有し、前記制御装置は、前記複数の接続装置のうちの一方の一部と、少なくとも一部はパラレル伝送となる通信回線を介して制御対象についてのデータを授受し、前記制御装置は、前記複数の接続装置のうちの他方の一部と、前記通信回線に加え、少なくとも一部はシリアル回線となる第１の通信回線を介して制御対象についてのデータを送受信するプログラマブル電子装置において、前記制御装置から、前記第１の通信回線を介して接続された接続装置に情報が伝達されるように、状態切替信号を同時通報的に通知することが可能に構成した。
【００１４】
さらに詳細には、中央演算記憶装置（ＣＰＵ）から少なくとも一部はシリアル伝送となる回線１を介して通信制御装置にデータを送受信し、前記送受信先の通信制御装置から前記データを集合・分配して少なくとも一部はパラレル伝送となる回線２を介して制御対象を計測する入力装置と、前記回線２を介して制御対象へ出力する出力装置とからなる制御装置において、
前記中央演算記憶装置から接続される各装置に対する状態切替信号を、シリアル回線１を介して接続される入出力装置に対しても一斉に通知することが可能な手段をもつものである。
【００１５】
また、上記状態切替信号として安全停止要求信号やハードウェア冗長化時の系切替要求信号を持つものである。
【００１６】
さらに、状態切替信号を２本持ち各々の極性を反転させることで、片方の信号線に何らかの故障が発生しても、遅滞なく信号伝送を可能とするか、状態切替信号をパルス状の信号とし、信号線に何らかの故障が発生した場合でもタイムアウト検出により、信号伝送を可能とする手段を持つものである。
【００１７】
また、シリアル回線のフレームの共通部に安全停止要求用のビットを設けるか、コマンドに新たな状態切替のコードを設け、そのコマンド命令により一斉同報通信を実現するものである。
【００１８】
さらには、シリアル回線のフレームの共通部に安全停止要求用のビットを複数設け、一斉通信による停止対象範囲を分類し、段階的な停止を可能としたものである。
【発明の効果】
【００１９】
本発明によれば、少なくとも一部はシリアル伝送となる回線１を介して通信制御装置にデータを送受信し、前記送受信先の通信制御装置から前記データを集合・分配して少なくとも一部はパラレル伝送となる回線２を介して制御対象を計測する入力装置と、前記回線２を介して制御対象へ出力する出力装置とからなる制御装置において、同一シリアル回線に接続される通信制御装置に対する状態切替要求を安全機能を満たした上で、一斉に通知することが可能とできるため、システムの同時性と共に安全性を実現できる。更に、安全通信を用いることでより機能安全用途に適した制御が可能となる。
【発明を実施するための最良の形態】
【００２０】
図１は、本発明における典型的なプログラマブルな電子装置の構成を示す。
【００２１】
装置はユニット１１とユニット１２に実装された、入力装置５１，５２および出力装置４１，４２にてプラント装置８からの情報収集と制御出力を行う。
【００２２】
制御に係わる演算は、中央演算記憶装置（ＣＰＵ）２１が行う。
【００２３】
このとき、ユニット１１に実装した入力装置５１からの情報は、パラレスバス６１を介して直接収集可能であるが、ユニット１２に実装した入力装置５２からの情報は、通信制御装置Ｓ３２が、パラレスバス６２を介して収集し、その情報をシリアル回線７を介して通信制御装置Ｐ３１へ伝送する。
【００２４】
そして、通信制御装置Ｐ３１からパラレルバス６１を介してＣＰＵ２１へ入力情報を通知する。
【００２５】
ＣＰＵ２１は、各入力情報を元に制御演算を実施し、パラレスバス６１を介して出力信号を送出する。
【００２６】
このときも入力処理と同様に、ユニット１１に実装した出力装置４１へは直接出力情報を受け渡すことができるが、ユニット１２に実装した出力装置４２へは、パラレルバス
６１に接続する通信制御装置Ｐ３１からシリアル回線７を経由して、通信制御装置Ｓ３２よりパラレスバス６２に出力情報を送出することで、ユニット１２に実装する出力装置
４２への情報伝達を実施する。
【００２７】
以上のような、情報受け渡しにより、プラント装置８からの情報収集と、制御演算結果の出力を実現する。
【００２８】
このような一部にシリアル回線を持つ形態のシステムにおいては、接続されるユニット数および出力装置数が増加した場合、個々の出力装置へ逐次出力指示をしていたのではプラント装置が要求する応答速度に間に合わなくなる恐れがある。そこで、シリアル回線を介して接続されたユニット１２実装の装置に対しても、ユニット１１と同様に一斉に安全停止要求信号を受信可能とするための具体例を図２に示す。
【００２９】
図２は、図１に対して、一斉指示のための機能を詳細に記述したものである。本来は、入力装置も存在するが、図示の便宜上省略している。
【００３０】
パラレルバス６１には、入出力情報をＣＰＵ２１と入出力装置間で送受信するための情報転送用信号６１１があるが、更に安全停止要求信号６１２を追加し、緊急時はＣＰＵ21から停止要求を出すことで、ユニット１１内の全出力装置４１を安全停止状態にする。
【００３１】
シリアル回線７で接続された先のパラレルバス６２も同様の構成とし、ユニット１２内の全出力装置へ安全停止要求信号６２２により、一括して安全停止要求を通知可能とする。
【００３２】
そして、シリアル回線７には、伝送されるフレーム７１に安全停止要求フラグ７１１を設ける。
【００３３】
シリアル回線７は、周期的に送受信を繰り返すか、または要求時にのみフレームを受け渡しすることが可能であるが、何れの場合でもＣＰＵ２１から出力された安全停止要求信号６１２を通信制御装置Ｐ３１が受信したら、直ちにフレーム７１内の安全停止要求フラグ７１１を“停止要求有り”の状態にして転送する。
【００３４】
これを受けた通信制御装置Ｓ３２は、パラレルバス６２の安全停止要求信号６２２をオンしユニット１２内の全ての出力装置４２を停止状態にする。
【００３５】
図３に図２の構成におけるシステムの起動・停止の手順の例を示す。
１００１：電源投入またはリセット要求を受けると、
１００２：各装置の初期化を実施する。この初期化処理の中で安全停止要求信号をオンとする。
１００３：初期化が完了したら、次に停止時の出力データを設定する。これは、安全停止要求時に出力装置の出力情報をクリアするかそれとも、停止直前の状態で保持するかを設定するものであり、安全停止時にプラント装置を安全な状態で停止させるために必要な設定を行うものである。
【００３６】
具体的な設定部位は図２内出力装置４１，４２の出力データ設定部４１２，４２２に、設定レジスタを設けることで通常動作時は情報転送用信号６１１，６２１からの受信データを、安全停止要求信号６１２，６２２オン時は設定データを出力することが可能となる。
１００４：そして、これらの設定が完了した後、プラント装置の運転を開始し、制御演算結果を出力データとして出力装置４１，４２へ設定（送信）する。
１００５：出力装置４１，４２からプラント装置８への出力に同時性を求められるようなシステムにおいては、一通りの出力設定が完了した時点で、安全停止要求信号６１２，
６２２をオフすることで一斉にプラント装置へのデータ送信が可能となる。
【００３７】
なお、ここでプラント装置へのデータ出力に同時性を求めないようなシステムでは、出力データ設定前に安全停止要求信号６１２，６２２をオフすることで、順次出力を行うことも可能である。
【００３８】
以上のような手順でシステムを起動し、
１００６：その後は制御演算結果に従い、順次出力データを更新する。
１００７：システム停止が必要な場合は、
１００８：安全停止要求信号６１２，６２２をオンすることで、
１００９：システム全体を一斉に停止する。
【００３９】
以上の手段と手順を用いることにより、シリアル回線を含むシステムでも安全かつ迅速なシステム停止を実現することができる。
【００４０】
ここで更に、図２パラレルバス６１中の安全停止要求信号６１２およびシリアル回線７のフレーム７１に設けた安全停止要求フラグ７１１を複数持ち、かつパラレルバス上に当該フラグに相当する複数レベルの安全停止要求信号を持つことで、ＣＰＵ２１から複数の安全停止要求信号を段階的に出力し、システムの段階的な停止を実現することも可能である。
【００４１】
また、機能安全システムを実現するための要求事項として、例えば信号線が固着故障をした場合でも安全機能が正常に動作することを求められる。その為の対策としては、上記のように信号線を多重化し、ここでは同一レベルの信号の通信経路を複数持ち、かつ極性を反転して送信することで、該当信号線路に故障が発生した場合でも何れかの安全要求信号がオンした場合に停止することで、ＣＰＵからの安全停止要求を確実に伝えることが可能となる。
【００４２】
なお、機能安全システムを実現するための別の手段として、パラレルバス上の信号線やシリアル回線上の専用ビットを極力少なくしたいようなシステムでは、安全停止要求信号６１２，６２２をパルス状の信号とし、停止要求オン時はパルス出力を停止することで、受信側は一定時間信号が変化しない場合に、停止状態に遷移させることが可能である。パルス信号とすることで、安全停止要求信号６１２，６２２に関連する部位に何らかの故障が発生した場合でも停止要求と同様にタイムアウトを検出し、システムの応答時間内に安全停止することが可能である。
【００４３】
図２では、ＣＰＵ２１からの要求を、通信制御装置Ｐ３１，通信制御装置Ｓ３２を介して下位のパラレルバス６２へ伝送する手段を例として述べたが、逆にプラント装置８側からの安全停止要求を上位ＣＰＵ２１へ伝えることも同様の手段を用いることにより、実現可能であることは明確である。
【００４４】
ＣＰＵ２１はプラント装置８からの安全停止要求を受信すると、その応答として、前述の安全停止要求信号６１１をオンすることで、プラント装置８を安全停止状態に遷移させることができる。
【００４５】
図４は、一部にシリアル回線を含むシステムを二重化した場合の、主従系切替に関する実施例を示す図である。
【００４６】
ユニット１３およびユニット１４は、演算処理を行う装置であり、ＣＰＵ２２とＣＰＵ２３は二重化制御バス９１で接続されている。ここではＣＰＵ２２，２３はいずれか一つがマスタ権を持ち、残る一つはスタンバイ状態で動作するものとする。
【００４７】
プラント装置８への入出力を行うためのユニット１５，１６には、各々のＣＰＵ２２，２３から通信制御装置Ｐ３３，３６により、シリアル回線７１，７２を介して通信制御装置Ｓ３４，３５，３７，３８へ接続される。
【００４８】
つまり演算を行うためのユニットは二つ存在するが、プラント入出力のみを行うユニットは二つの演算ユニット１３，１４両方に接続される形態である。
【００４９】
そして、二つの通信制御装置Ｓ３４と３７または３５と３８の何れか一つが、主導権を持ちユニット内の入出力装置とのデータ送受信を行うものとする。
【００５０】
ここで、ＣＰＵ２２がマスタで、ＣＰＵ２３がスタンバイの場合、ＣＰＵ２２が実装されているユニット１３およびシリアル回線７１で接続されるユニット１５，１６に実装されている入出力装置４３，４５，４６，５３，５５，５６はマスタ系として動作し、CPU２３が実装されているユニット１４の入出力装置４４，５４はスタンバイ系として動作する。
【００５１】
ＣＰＵ２２は、制御演算結果を出力する際、先ず二重化制御バス９１を介してＣＰＵ23へ出力データを送信する。その後、パラレルバス６３を介して通信制御装置Ｐ３３および出力装置４３へ出力データを設定する。通信制御装置Ｐ３３は、出力データをシリアル回線７１を介して通信制御装置Ｓ３４，３５へ伝送する。通信制御装置Ｓ３４，３５は各々のパラレルバス６５または６６を介して出力装置４５または４６へ出力データを設定する。
【００５２】
出力装置４３，４５，４６は何れもマスタ系として動作しているため、設定されたデータをプラント装置８へ出力する。
【００５３】
一方スタンバイ系のＣＰＵ２３は、二重化制御バス９１を介してマスタ系ＣＰＵ２２から送信データを受け取ると、パラレルバス６４を経由して通信制御装置Ｐ３６および出力装置４４へ出力データを設定する。通信制御装置Ｐ３６は、出力データをシリアル回線
７２を介して通信制御装置Ｓ３７，３８へ伝送する。通信制御装置Ｓ３７，３８はスタンバイ系の状態にあるため、出力装置へのデータ出力指示は行わず、自装置内部の出力データ設定情報を更新するのみとする。
【００５４】
このように、ユニット１５に実装される通信制御装置Ｓ３４，３７においては、通信制御装置Ｓ３４がマスタとして入出力処理を実行し、通信制御装置Ｓ３７はスタンバイ系として入力情報の収集のみを実施し、出力処理は行わない。
【００５５】
これは、ユニット１６に実装される通信制御装置Ｓ３５，３８間でも同様である。
【００５６】
そして、マスタの変更が必要となった場合は、ＣＰＵ２２，２３間を接続する二重化制御バス９１により、マスタ権の受け渡しを行いＣＰＵ２３がマスタ、ＣＰＵ２２はスタンバイへ状態を遷移する。
【００５７】
このとき、シリアル回線上に接続される通信制御装置Ｓにはマスタが替わったことを通知し、各ユニット内の通信制御装置Ｓ３４，３７および３５，３８間でのマスタ装置切替えを行う。
【００５８】
マスタ権を受け取った通信制御装置Ｓ３７，３８は今まで出力指示はしていなかったが、上記で説明したように常に最新データを設定されているため、プラント装置８に対して異常な値を出力をすることなく、処理を継続する事が可能となる。
【００５９】
しかしながら、このマスタ切替えを行う際、シリアル回線上に多数の入出力用ユニットが存在する場合において、順次切替をしていたのではシステム全体での系切替に時間を要してしまい、プラント装置が要求する時間内に系切替が終了できなくなる恐れがある。
【００６０】
図５は、図４の構成においてＣＰＵのマスタ権変更が発生したことを、シリアル回線で接続される装置に一斉に通知するための具体例を示す。
【００６１】
紙面の都合上図４中のユニット１３およびユニット１５を抜き出して、詳細を記述したものである。なお、入力装置５３，５５は図５では省略している。
【００６２】
ＣＰＵ２２がマスタ／スタンバイ何れの状態であるかを示す信号をパラレルバス６３上にマスタ信号６３２として設ける。そして、パラレルバス６３に直接接続する出力装置
４３は、マスタ信号６３２がオンの場合には、情報転送用信号６３１で伝送されたデータをプラント装置８へ出力する。
【００６３】
ＣＰＵ２２がスタンバイ（マスタ信号６３２がオフ）の場合は、安全停止要求信号同様に出力を保持またはクリアするものとする。
【００６４】
通信制御装置３３はパラレルバス６３のマスタ信号６３２の内容をシリアルバスのフレーム７２中にマスタ／スタンバイ設定フラグ（ＭＳ）７２１に反映する。
【００６５】
このマスタ／スタンバイ設定フラグ７２１を同一シリアル回線上に接続される全て通信制御装置Ｓが毎受信時確認することで、複数のユニットが同時に系切替を認識することが可能となる。
【００６６】
信号およびフラグの冗長化や、パルス状の信号にすることが可能であるのは、前述の安全停止要求信号と同じである。
【００６７】
図６は今までに述べた安全停止要求信号とマスタ信号の両方をサポートした場合のシリアル回線のフレーム構成例である。
【００６８】
データ送受信フレーム７３は図２のシリアルバスフレーム７１と図５のシリアルバスフレーム７２の両方実装したものである。
【００６９】
フレーム内に専用のフラグを設けた場合、該当ビットが変化すると誤動作につながる恐れがある。これを防止する為にフレーム内にチェックコードを設けているが、更に該当フラグがある規定回数保持されることを確認してから、要求を受け付けることで誤動作を防止する効果がある。
【００７０】
また、専用ブロードキャストフレーム７４は、上記とは別の実現方法としてのシリアル転送用フレーム構成例を示すものである。
【００７１】
安全停止要求やマスタ権切替の要求が発生した場合に、通信制御装置Ｐにてシリアル回線を介して接続される全通信制御装置Ｓへ専用コマンドをブロードキャストで通知することを可能とする。
【００７２】
更には、安全通信コマンドフレーム７５のように、送信元キー７５１および受信先キー７５２を設け、専用コマンドに対するハンドシェークを実施することで、より確実な指示が可能となる。
【００７３】
図７は図４の構成において、ＣＰＵ２２とＣＰＵ２３のマスタ動作が切替わったときに、コマンドを用いてシリアル回線に接続される全ての通信制御装置Ｓへ一斉にマスタ権を変更する場合の実施例を示す。
【００７４】
ＣＰＵ２２からＣＰＵ２３へマスタ権を移行する場合、ＣＰＵ２２に接続されるマスタ信号６３２はオフ（図７中Ｌｏｗ出力）となり、ＣＰＵ２３に接続されるマスタ信号652はオン（図７中Ｈｉｇｈ出力）となる。
【００７５】
この切替えを行う際、新たにマスタ権を得たＣＰＵ２３は、二重化制御バス９１を介して受け取った出力データをｔｑ０からｔｑ１の間に通信制御装置Ｐ３６へ転送することで先ず出力データを一致化させる処理を実施する。そして、その後パラレルバス６４上のマスタ信号６５２をオンにする。
【００７６】
以下、ＣＰＵ２３に接続される通信制御装置Ｐ３６とシリアル回線７２を介して接続される通信制御装置Ｓ３７，３８がパラレルバス６５，６６へマスタ信号を出力するまでの動作手順を説明する。
【００７７】
時刻ｔｑ１でＣＰＵ２３からのマスタ信号オンを受信すると、通信制御装置Ｐ３６は、内部の通信データメモリ及びマスタ設定レジスタが不用意に書き換えられないよう、時刻ｔｑ２にてプロテクト信号をオンにする。
【００７８】
そして、最新の出力データをシリアル回線７２上に接続される全通信制御装置Ｓ（３７，３８）へ伝送しその後、マスタ権設定を行う。
【００７９】
以降、通信制御装置Ｐ３６と通信制御装置Ｓ３７，３８間の伝送フレームをコマンド
（指令）、送信元を示す送信キー（SendKey）、受信先を示す受信キー（Rcv.Key）および転送情報（DataまたはStatus）で示す。
【００８０】
時刻ｔｃ１０で通信制御装置３７へ出力データ設定指令ＱＤ（３７，ＤＡＴＡ１）を伝送する。
【００８１】
【数１】
2008009794.tif 000003
【００８２】
出力データ設定指令ＱＤ（３７，ＤＡＴＡ１）は、データ出力要求コマンド（ＱＤ），送信キー（SendKey＝３６），受信キー（Rcv.Key＝３７），出力データ（Data１）からなる。
【００８３】
通信制御装置Ｓ３７は、出力データ設定指令ＱＤ（３７，ＤＡＴＡ１）の受信キー(Rcv.Key＝３７）から自局への要求であると認識し、受信したデータを出力装置４５へ送信するためのバッファへ格納する。
【００８４】
同様に、時刻ｔｃ１１で通信制御装置３８へ出力データ設定指令ＱＤ（３８，ＤＡＴＡ２）を伝送する。
【００８５】
【数２】
2008009794.tif 000004
【００８６】
出力データ設定指令ＱＤ（３８，ＤＡＴＡ２）は、データ出力要求コマンド（ＱＤ），送信キー（SendKey＝３６），受信キー（Rcv.Key＝３８），出力データ（Data２）からなる。
【００８７】
通信制御装置Ｓ３８は、出力データ設定指令ＱＤ（３８，ＤＡＴＡ２）の受信キー
（Rcv.Key＝３８）から自局への要求であると認識し、受信したデータを出力装置４６へ送信するためのバッファへ格納する。
【００８８】
なお、ｔｃ１０およびｔｃ１１の送信データを確実に受け取った事を確認するために、通信制御装置Ｐと通信制御装置Ｓの間で、ハンドシェークを行うことで、より伝送の信頼性を上げる事ができるが、ここでは出力データ送信のみの例を示している。
【００８９】
ｔｃ１２以降の、マスタ権切替処理においては、ハンドシェークを用いた例を示す。
【００９０】
時刻ｔｃ１２で通信制御装置３７へマスタ権設定指令Ｒ（３７，ＭＳＴ）を伝送する。
【００９１】
【数３】
2008009794.tif 000005
【００９２】
マスタ権設定指令Ｒ（３７，ＭＳＴ）は、マスタ権設定要求コマンド（ＭＳＴ），送信キー（SendKey＝３６），受信キー（Rcv.Key＝３７）からなる。
【００９３】
通信制御装置Ｓ３７は、マスタ権設定指令Ｒ（３７，ＭＳＴ）の受信キー（Rcv.Key＝３７）から自局への要求であると認識し、マスタ権設定指令に対するエコーＥ（３７，
ＭＳＴ）をシリアル回線７２へ出力する。
【００９４】
【数４】
2008009794.tif 000006
【００９５】
マスタ権設定指令に対するエコーＥ（３７，ＭＳＴ）は、マスタ権設定要求コマンド
（ＭＳＴ），送信キー（SendKey＝３７），受信キー（Rcv.Key＝３６）からなる。
【００９６】
通信制御装置Ｓ３７からのマスタ権設定指令に対するエコーを受信すると、通信制御装置Ｐ３６は、送信コマンドと受信コマンドが一致しているかコマンド照合を行う。このとき不一致が発生した場合は、時刻ｔｑ３で自系ＣＰＵ２３へ異常報告する。もちろん必要に応じた回数のリトライを実行することは可能である。
【００９７】
また、コマンド照合結果が正常であった場合、次に接続される通信制御装置Ｓ３８へマスタ権設定指令Ｒ（３８，ＭＳＴ）を送信する。
【００９８】
通信制御装置Ｓ３８からのエコー応答Ｅ（３８，ＭＳＴ）を受信し、コマンド照合が正常であることを確認すると、全ての通信制御装置Ｓ（３７，３８）が正常にコマンドを受信したことを確認できた為、時刻ｔｃ１６で一斉切替指令Ｒ（ＡＬＬ，ＣＮＧ）を発行する。
【００９９】
【数５】
2008009794.tif 000007
【０１００】
これは、自系シリアル回線７２に接続される全ての通信制御装置Ｓに対して、各通信制御装置Ｓ自身へマスタ権を設定し、接続されるパラレルバスにマスタ信号をオン出力することを要求するものであり、前述の一斉切替フレーム（図６）を使用することで実現する。
【０１０１】
各通信制御装置Ｓ３７，３８は、先に設定された最新の出力データを出力装置４５，
４６へ伝送する。
【０１０２】
これにより、出力データの継続性を確保する事が出来る。
【０１０３】
各マスタ権設定指令にて順次通信制御装置Ｓを切替えることも可能であるが、ここではより確実に同時に切替える手段を示している。
【０１０４】
また、マスタ権設定が要求どおりに実現しているかを確認する為に、時刻ｔｃ１７，
ｔｃ１９でステータス確認指令を発行する。
【０１０５】
時刻Ｔｃ１７で発行しているステータス確認指令Ｒ（３７，ＳＴＲ）を下記に示す。
【０１０６】
【数６】
2008009794.tif 000008
【０１０７】
ステータス確認指令Ｒ（３７，ＳＴＲ）は、ステータス確認要求コマンド（ＳＴＲ），送信キー（SendKey＝３６），受信キー（Rcv.Key＝３７）からなる。
【０１０８】
通信制御装置Ｓ３７は、ステータス確認指令Ｒ（３７，ＳＴＲ）の受信キー（Rcv.Key＝３７）から自局への要求であると認識し、ステータス確認指令に対する応答Ａ（３７，ＳＴＳ）をシリアル回線７２へ出力する。
【０１０９】
【数７】
2008009794.tif 000009
【０１１０】
ステータス確認指令に対する応答Ａ（３７，ＳＴＳ）は、ステータス確認要求コマンド（ＳＴＲ），送信キー（SendKey＝３７），受信キー（Rcv.Key＝３６），ステータス情報（Status＝Master）からなる。
【０１１１】
通信制御装置Ｐ３６は、通信制御装置Ｓのステータス確認結果がマスターになっていない場合、自系ＣＰＵ２３へ異常報告する。この必要に応じてリトライを行うことは可能である。
【０１１２】
通信制御装置Ｐ３６は、自系シリアル回線７２に接続される全ての通信制御装置Ｓがマスター状態になっていることを確認したら、ステータス照合完了時刻ｔｑ９に内部のプロテクトを解除する。
【０１１３】
なお、図７中の通信タイマ１は通信制御装置Ｐ３６と通信制御装置Ｓ３７，３８間の１対１の通信タイムアウトを検出する手段である。例えば、時刻ｔｃ１２でコマンドを送信したのち、一定時間内にコマンド受信エコーバックが来なければ、タイムアウトとし、適宜リトライや異常報告を行う。
【０１１４】
同様に通信タイマ２は、通信制御装置Ｐ３６と通信制御装置Ｓ３７，３８間における通信タイムアウト監視であるが、ここでは、通信制御装置Ｐ３６に接続される全ての通信制御装置Ｓ３７と３８からの応答が来るまでの時間を監視するものである。
【０１１５】
なお、ここでは、マスタに切替える系の動作のみ説明したが、スタンバイに切替える系も同様である。各ユニットに実装される通信制御装置Ｓ間は、二重化制御信号を介してマスタ権の受け渡しを行う。
【０１１６】
また、前述の安全停止要求の場合も、図７と同様な手順を用いることで安全通信を用いた一括停止要求を実現することができる。
【図面の簡単な説明】
【０１１７】
【図１】本発明における典型的なプログラマブル電子装置の構成例を示す。
【図２】図１の構成において、本発明の安全停止を一斉通知するための手段を示す。
【図３】システムの起動／停止の手順を示す。
【図４】図１の構成をベースに、二重化構成とした場合の例を示す。
【図５】図４の構成において、本発明のマスタ切替要求を一斉通知するための手段を示す。
【図６】本発明を実現する手段としての、シリアル回線のフレーム構成例を示す。
【図７】安全通信を用いたマスタ系切替時の実施例を示す。
【符号の説明】
【０１１８】
７…シリアル回線、８…プラント装置、１１，１２…ユニット、２１…中央演算記憶装置（ＣＰＵ）、３１…通信制御装置Ｐ、３２…通信制御装置Ｓ、４１，４２…出力装置、５１，５２…入力装置、６１，６２…パラレスバス、６１２，６２２…安全停止要求信号。
【図１】
2008009794.tif 000010
【図２】
2008009794.tif 000011
【図３】
2008009794.tif 000012
【図４】
2008009794.tif 000013
【図５】
2008009794.tif 000014
【図６】
2008009794.tif 000015
【図７】
2008009794.tif 000016