JP2008146659A - 安全モジュール及び自動化システム - Google Patents

Abstract

【課題】自動化システムの融通のきく構成を可能にする安全モジュールを提供する。
【解決手段】フィールド機器用入出力モジュール（４ａ，４ｂ）の接続のために設けられたバスシステム制御モジュール（２）とデータバス（３）を介して接続するための接続部を持つ安全モジュール（５）は、バスシステム制御モジュール（２）に一致してデータバス（３）を介して伝送されるデータの同一処理のために設けられているデータ処理装置（μＣ２）を持っている。データ処理装置（μＣ２）は、規則正しいデータ通信の確保のため安全機能を持つように設けられて、データバス（３）を介してバスシステム制御モジュール（２）とのデータ交換により、安全機能の相互検査が行われるようにする。
【選択図】図１

Description

本発明は、フィールド機器用入出力モジュールの接続のために設けられたバスシステム制御モジュールとデータバスを介して接続するための接続部を持つ安全モジュールに関する。

更に本発明は、バスシステム制御モジュール、データバス、及びデータバスに接続されかつバスシステム制御モジュールとのデータ通信用フィールド機器を接続するための接続端子を持つ入出力モジュールを有する自動化システムに関する。

入出力モジュールが接続されている内部データバスにおけるデータ通信を制御するヘッドモジュールを持つデータバスシステムは十分公知である。このようなバスシステムにより、僅かな配線費用及び高度の融通性で制御及び監視システムを設けることが可能である。システムの故障又は欠陥のあるデータ伝送により生じる欠陥を確実に除去するため、このような自動化システムには、確実な作動の確保に対して高度の要求がしばしば課される。それにより人間を危険にさらすこと及び製造過程における欠陥などを回避する。

例えば欧州規格ＥＮ９５４−１によるカテゴリ及びＩＥＣ６１５０８第１〜７部による安全完全度３（安全完全度レベルＥＮ ＳＩＬ）に従って証明されている確実な制御システムは、典型的には、冗長に安全プログラムを処理し事情によっては更に標準適用も処理する少なくとも２つのマイクロコントローラを持つヘッドモジュール又はバスシステムを持っている。選択される冗長度（発散又は均一）の種類に応じて、両方のマイクロコントローラは互いに異なっていてもよいが、必ずしも異なっている必要はない。両方のマイクロコントローラは、バスシステム制御モジュール内部インタフェースを介してデータを周期的に交換して、安全機能の必要な相互検査を行うことができる。このインタフェースは両方のマイクロコントローラの間の点対点接続として構成されている。この場合両方のマイクロコントローラは、典型的に同じバスシステム制御モジュールのケース内の１つ又は複数の印刷配線板上に取付けられている。

バスマスタ及び２つの互いに無関係に動作するマイクロプロセッサを持つ確実な制御装置を有する起動集合体によるこのような解決策は、ドイツ連邦共和国特許出願公開第１０３５３９５０号明細書に開示されている。上述した起動集合体は、少なくとも１つの安全にとって危険でないプロセスの安全でない制御を行う第２の制御装置と更に通信することができる。緊急の場合又は誤動作の場合、バイパスにより安全な制御装置が、安全でない制御装置の役割又は安全でないプロセスの制御を引受けることができる。

ドイツ連邦共和国特許第１９９２８５１７号明細書は、安全モジュールへのフィールドバス結合器により安全にとって危険なプロセスを制御する制御システムを開示している。安全機能は安全モジュールにおいて完全に処理され、このため安全モジュールは相互検査するマイクロコントローラを持っている。安全モジュールにより完全な安全機能がスワップされているので、フィールドバス結合モジュールは安全にとって重要な構造も安全機能も必要としない。

ドイツ連邦共和国特許出願公開第１９８１５１４７号明細書は作業機器の監視用センサ装置を開示しており、センサが主従原理で動作するバスシステムの従を形成している。冗長な評価装置がバスシステムに接続されて、データバスのデータ交換を監視する。欠陥が認められる場合、評価装置の出力端が遮断される。従って評価装置は欠陥検査に関して自足的であり、同時に安全遮断を引受ける。

本発明の課題は、自動化システムの融通のきく構造を可能にする改善された安全モジュールを提供することである。

この課題は、最初にあげた種類の安全モジュールにおいて、安全モジュールが、バスシステム制御モジュールに一致してデータバスを介して伝送されるデータの同一処理のために設けられているデータ処理装置を持ち、このデータ処理装置が、規則正しいデータ通信の確保のため安全機能を持つように設けられて、データバスを介してバスシステム制御モジュールとのデータ交換により、安全機能の相互検査が行われるようにすることによって解決される。

従って従来の解決策とは異なり、安全モジュールにより冗長な第２のデータ処理が行われて、付属するバスシステム制御モジュールにおける同一のデータ処理に関連して、安全検査を行うことが提案される。第１のデータ処理は、これに並行して、特にフィールドバス結合器とすることができる公知のバスシステム制御モジュールを提供する。

今や安全機能の検査は、従来普通であったように、同じモジュール内では行われず、バスシステム制御モジュールと安全モジュールとの間で行われる。従って２つの冗長なマイクロコントローラの間の今までの内部通信インタフェースは、バスシステムへスワップされる。

バスシステム制御モジュール及び付加的な新しい安全モジュールへの安全機能のこの分布は、安全モジュールの差込みにより融通性をもって相違する安全段階を構成できるという利点を持っている。データバスを介してバスシステム制御モジュールと接続される安全モジュールにより、冗長なデータ処理が与えられる。付加される別の各安全モジュールにより、別のデータ処理インスタンス及び監視インスタンスが与えられるので、多重に保護されるシステムを可変に構成することができる。

安全モジュールがデータバスにおけるデータ通信を制御するためのインタフェース制御装置を持ち、インタフェース制御装置が、安全機能の相互検査のために用いられるデータを連続データ流として伝送するために設けられ、連続データ流がバスシステム制御モジュールとデータバスに同様に接続される入出力モジュールとの間で伝送されるデータを含んでいるのがよい。入出力モジュール用通信バス及びフィールドバス結合器として使用されるデータ流は、従って安全機能を実行する少なくとも２つの補足的なデータ処理装置の間の通信インタフェースのためにも利用される。このため安全モジュールは入出力モジュールと同様に同じデータバスに接続される。

しかし安全モジュールが、データバスにおけるデータ通信を制御するインタフェース制御装置を持ち、安全機能の相互検査のために用いられるデータを安全モジュール用の固有のデータバスにおける別個のデータ流の形で伝送するために設けられていることも考えられる。従って少なくとも１つの安全モジュールは、異なる通信バス上で入出力モジュールとして作動可能である。

安全モジュールが公知のように保持レールに安全モジュールを取付けるための取付け素子を持っているのがよい。この実施形態では、なるべく押圧接触子が側面に設けられ、これらの押圧接触子がデータ処理装置と接続され、かつ対応するデータ接触子に隣接するモジュールと接続するため及び保持レールに安全モジュールを取付ける際データバスを構成するために設けられている。安全モジュールを含めて順次に続く１列のモジュールを取付けることにより、配線費用なしに簡単にデータバスが構成される。このデータバスは、データ伝送用導線のほかに給電導線も持っていることができる。データバスはなるべく逐次データバスであり、例えば環状バスとして構成することができる。

この実施形態では、データバスが、安全モジュールの入力端から安全モジュールの出力端へ、隣接するモジュールの入力端への接続のため、安全モジュールに通されていると有利である。

本発明の課題は、更に最初にあげた種類の改善された自動化システムを提供することである。

この課題は、データバスと接続されている少なくとも１つの安全モジュール、及び安全機能を持つ規則正しいデータ通信を確保するため同様にデータ処理装置を持つバスシステム制御装置によって解決される。データ処理装置は、データバスを介して少なくとも１つの安全モジュールとのデータ交換により安全機能の相互検査が行われるように設けられている。従って安全モジュールとバスシステム制御装置は、安全にとって重要な機能に関して互いに合わされかつ補足し合って、全体として自身の監視を行う確実な多チャネルシステムを提供する。

安全モジュール及び自動化システムは、標準自動化装置を後で安全な部品だけ拡張できるという利点を持っている。このため少なくとも１つの安全モジュールを既存のデータバスに取付ければよい。フィールドバスコントローラ即ちバスシステム制御装置の続くファームウエア更新により、システムが所定の安全段階に対する要求を満たす。同じ安全モジュールが、複数の異なるフィールドバス結合器のために使用可能であり、１回証明しさえすればよい。別の安全モジュールの付加により、多重冗長及びそれに伴う高い安全性を持つ自動化システムも実現可能である。

本発明が添付図面を持つ実施例により以下に詳細に説明される。

図１は自動化システム１のブロックダイアグラムを示し、この自動化システム１は、フィールドバスへのインタフェースＩＦ＿２を有するバスシステム制御モジュール２を持っている。フィールドバスは、例えばＰＲＯＦＩバス、イーサネット又は類似の規格に従って動作することができる。バスシステム制御モジュールはフィールドバスコントローラであり、保持レール上に係止可能であり、例えばいわゆるＳバスのような内部データバス３用のヘッドモジュールを形成している。このためバスシステム制御モジュール２は、制御しかつデータバス３に接続される入出力モジュール４ａ，４ｂとデータ交換を行う別のインタフェースＩＦ＿３を持っている。入出力モジュール４ａ，４ｂの数はもちろん任意の大きさでよく、アドレス指定可能性及びデータバス３の物理的長さによってのみ限定されている。

バスシステム制御モジュール２は、安全なファームウエアＦＷＳ＿１を介して作動せしめられるマイクロコントローラμＣ１を持っている。

更にデータバス３に、安全にとって重要なファームウエアＦＷＳ＿２により作動せしめられるマイクロコントローラμＣ２を持つ安全モジュール５が接続されている。安全モジュール５はバスシステム制御モジュール２のほかに同一のデータ処理を行って、安全モジュール５及びバスシステム制御モジュール２の同一のデータ処理及びデータ処理の結果の比較によりデータ比較誤差を知ることができる。データ処理誤差を知りかつ場合によっては取り除くことができ、安全な状態への自動化システム１の移行を可能とするように、データバス３を介するデータ通信を安全にするため、バスシステム制御モジュール２と安全モジュール５のデータ処理装置μＣ１とμＣ２は互いに合わされて、データバス３を介するデータ交換によりバスシステム制御モジュール２及び安全モジュール５のそれぞれの安全機能の相互検査を行うようにしている。従ってデータ処理装置μＣ１及びμＣ２は、バスシステム制御モジュール２又は制御モジュール５において冗長には構成されず、分布して設けられ、マイクロコントローラμＣ１及びμＣ２用の安全に関する通信インタフェースとしてデータバス３を利用して、互いに補い合う。

図２に示す自動化システム１の別の実施例では、安全モジュール５が固有のデータバス３ａに接続され、入出力モジュール４ａ，４ｂは第２の別のデータバス３ｂに接続されている。このためバスシステム制御モジュール２は、別のデータバス３ｂを駆動する別のインタフェースＩＦ＿４を持っている。安全モジュール５は、例えば内部通信バス３ａとしてのいわゆるＳバスにおいて作動せしめられ、入出力モジュール４ａ，４ｂは、内部通信バスとしてのＫバスにおいて作動せしめられる。

図３は、バスシステム制御モジュール及び安全モジュール５の分布して設けられかつデータバス３を介して互いに分離される両方のデータ処理装置μＣ１及びμＣ２のブロックダイアグラムを示している。明らかなように、安全に関するインタフェースＩＦ＿Ｓを介して安全機能の相互検査が行われ、この検査は、マイクロコントローラμＣ１及びμＣ２の従来の統合では、内部インタフェースとしてただ１つのモジュールにより実現され、本発明ではデータバス３を利用して実現される。

バスシステム制御モジュールのデータバスに接続される安全モジュール及び入出力モジュールを持つ自動化システムのブロックダイアグラムを示す。 互いに無関係な２つのデータバスを持つバスシステム制御モジュール、一方のデータバス上にある安全モジュール、及び他方のデータバス上にある入出力装置のブロックダイアグラムを示す。 通信インタフェースを介して互いに接続される２つのデータ処理装置のブロックダイアグラムを示す。

符号の説明

１ 自動化システム
２ バスシステム制御モジュール
３ データバス３
４ａ，４ｂ 入出力装置
５ 安全モジュール
μＣ１，μＣ２ データ処理装置

Claims (9)

1. フィールド機器用入出力モジュール（４ａ，４ｂ）の接続のために設けられたバスシステム制御モジュール（２）とデータバス（３）を介して接続するための接続部を持つ安全モジュール（５）において、安全モジュール（５）が、バスシステム制御モジュール（２）に一致してデータバス（３）を介して伝送されるデータの同一処理のために設けられているデータ処理装置（μＣ２）を持ち、このデータ処理装置（μＣ２）が、規則正しいデータ通信の確保のため安全機能を持つように設けられて、データバス（３）を介してバスシステム制御モジュール（２）とのデータ交換により、安全機能の相互検査が行われるようにすることを特徴とする、安全モジュール。
2. 安全モジュール（５）がデータバス（３）におけるデータ通信を制御するためのインタフェース制御装置を持ち、インタフェース制御装置が、安全機能の相互検査のために用いられるデータをバスシステム制御モジュール（２）とデータバス（３）に同様に接続される入出力モジュール（４ａ，４ｂ）との間で伝送されるデータを含む連続データ流の形で伝送するために設けられていることを特徴とする、請求項１に記載の安全モジュール。
3. 安全モジュール（５）が、データバス（３）におけるデータ通信を制御するインタフェース制御装置を持ち、このインタフェース制御装置が、安全機能の相互検査のために用いられるデータを安全モジュール（５）用の固有のデータバス（３ａ）における別個のデータ流の形で伝送するために設けられていることを特徴とする、請求項１に記載の安全モジュール。
4. 安全モジュール（５）が保持レールに安全モジュール（５）を取付けるための取付け素子を持っていることを特徴とする、請求項１〜３の１つに記載の安全モジュール。
5. 安全モジュール（５）が側面に押圧接触子を持ち、これらの押圧接触子がデータ処理装置（μＣ２）と接続され、かつ対応するデータ接触子に隣接するモジュール（２，４）との接続するため及び保持レールに安全モジュール（５）を取付ける際データバス（３）を構成するために設けられていることを特徴とする、請求項４に記載の安全モジュール。
6. データバス（３）が、データ伝送用導線のほかに給電導線を持っていることを特徴とする、請求項１〜４の１つに記載の安全モジュール。
7. データバス（３）が逐次データバスであることを特徴とする、請求項１〜６の１つに記載の安全モジュール。
8. データバス（３）が、安全モジュール（５）の入力端から安全モジュール（５）の出力端へ、隣接するモジュール（２，４）の入力端への接続のため、安全モジュール（５）に通されていることを特徴とする、請求項７に記載の安全モジュール。
9. バスシステム制御モジュール（２）、データバス（３）、及びデータバス（３）に接続されかつバスシステム制御モジュール（２）とのデータ通信用フィールド機器を接続するための接続端子を持つ入出力モジュール（４ａ，４ｂ）を有する自動化システム（１）において、請求項１〜８の１つに記載の少なくとも１つの安全モジュール（５）がデータバス（３）と接続され、バスシステム制御モジュール（２）も同様にデータ処理装置（μＣ１）を持ち、このデータ処理装置（μＣ１）が、規則正しいデータ通信の確保のため安全機能を持つように設けられて、データバス（３）を介して少なくとも１つの安全モジュールとのデータ交換により安全機能の相互検査が行われるようにしていることを特徴とする、自動化装置。

Images