安全ステップの判定方法および安全マネージャ
サブスクライバを含むオートメーションネットワークにおける安全ステップを判定するために、オートメーションネットワークにおけるサブスクライバ間のデータおよび処理に固有のリンクは、自動的に判定される。オートメーションネットワークにおける安全ステップは、その後、オートメーションネットワークにおけるサブスクライバの判定されたデータおよび処理に固有のリンクと、判定されたサブスクライバに固有の安全パラメータとを関連付けるアルゴリズムを用いて評価される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のサブスクライバを含むオートメーションネットワークにおける安全ステップの判定方法に関する。また、本発明は、安全マネージャおよびオートメーションネットワークに関する。
【背景技術】
【０００２】
産業オートメーション（すなわち、技術的な処理のソフトウェア制御およびソフトウェア監視）は、分散センサ／分散アクチュエータ層を含む中央制御の考え方に基づいている。したがって、複数のサブスクライバは、お互いと、および、上位システムと、産業ローカルネットワーク（以下では、オートメーションネットワークとも称する）を介して通信を行う。オートメーションネットワークは、通常、いわゆるマスタースレーブ通信ネットワークとして構成される。マスタースレーブ通信ネットワークにおいて、マスターサブスクライバは制御層を表すものであり、スレーブサブスクライバは、センサ／アクチュエータ層を表すものである。
【０００３】
安全は、産業オートメーションにおいて必須要件である。オートメーションタスクを実行する時には、オートメーションネットワークは、サブスクライバの不具合またはその他のエラーが発生した場合に人間および環境をいかなる危険にも晒さないことが守られなければならない。オートメーションネットワークによって表される危険を分類可能にするために、危険アセスメントが行われていることが必須である。欧州規格ＥＮ１０５０によれば、リスクアセスメントは、オートメーションネットワークおよび／または個々のサブスクライバから生じる危険を系統的に分析することを可能にする一連の論理的ステップで実行される必要がある。この危険の分析に基づいて、オートメーションネットワークにとって技術的および組織的な要件は、その後、十分な安全性を保障するために判定される。
【０００４】
これに関連して、欧州規格ＥＮ９５４−１“機械類の安全性−制御システムの安全関連部”は、危険の分析を実行するための機器および設備の安全性の分野における国際規格を確立している。この規格は、安全関連サブスクライバのタイプにかかわらずこれら全てのサブスクライバを考慮に入れる。また、この規格は、これらの安全関連のキャパシティを分類する。判定された安全カテゴリに基づいて、オートメーションネットワークにおける制御構造は、エラーの場合における必要なシステムの動作を実現するためだけでなく安全機能の要件を満たすために、その後構成される。
【０００５】
安全要件に関して、プログラマブル電子制御システムの個々を公正に評価可能にするために、ここ数年の間、ＥＮ９５４−１規格に加えて、更なる規格が導入されている。オートメーションネットワークにおける危険の分析に関して、ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１規格が特に関連している。これら二つの規格によって、安全機能の定量的計画は、ＥＮ９５４−１規格の定性的アプローチに加えて実行される。
【０００６】
ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１規格は、リスク削減に必要なプログラマブル電子制御システムの安全関連のキャパシティを特定している。安全関連のキャパシティを分類するために、上記二つの規格は、安全ステップを定義している。このために、オートメーションネットワークの全ての安全機能は、これらの実行に関与している全てのサブスクライバと共に考慮されている。
【０００７】
オートメーションネットワークの安全ステップは、安全機能に関与しているサブスクライバの安全関連パラメータに基づいて判定される。ＥＮ ＩＳＯ１３８４９−１規格等によれば、これらのパラメータは、故障までの平均時間（ＭＴＴＦ）、診断率（ＤＣ）、一時間当たりの危険側故障確率（ＰＦＨ）、使用時間（ＴＭ）、磨耗被害を受けたサブスクライバのサンプルの１０％が危険であると発覚したときのサイクル数（Ｂ１０ｄ）、および共通原因故障（ＣＣＦ）である。前述の安全関連パラメータとは別に、更なる要因（例えば安全機能の要求率または試験率などの使用可能な要因と同等の要因）は、安全ステップに影響を与えるであろう。
【０００８】
オートメーションネットワークの安全ステップを判定するために、オートメーションネットワークにおけるサブスクライバ間の論理演算の正確な情報は、安全機能に関与している全てのサブスクライバの安全関連パラメータの情報とは別に、さらに必要とされる。
【０００９】
オートメーションネットワークによって晒される危険を確実に分類可能にするために、複雑な計算（例えば、マルコフ分析）が要求される。加えて、個々のサブスクライバの故障確率は、不十分なデータが原因で部分的に見積もられる必要がある。不十分なデータは、明確にすることを難しくする。オートメーションネットワークにおける安全ステップの判定をすることは、中小企業にとってこのように相当な問題をもたらす。
【００１０】
この数年間、安全ツールは、例えば、ドイツのオストフィルダーンのピルツ社によって提供された安全計算機ＰＡＳｃａｌおよびドイツのヴァイスキルヒのジック社によって提供されたＳａｆｅｅｘｐｅｒｔプログラムなど、ますます市場に達している。これら安全ツールは、使用されたサブスクライバに応じて、オートメーションネットワークにおける安全機能の安全ステップを評価する。したがって、サブスクライバに固有の安全パラメータは、ソフトウェアライブラリから選ばれる。しかし、加えて、システムの構造（すなわちオートメーションネットワーク内のサブスクライバのデータおよび処理に固有のリンク）は、個別に入力される。安全ツールは、ＥＮ ＩＳＯ１３８４９−１およびＥＮ／ＥＣ６２０６１規格に従って要求された安全ステップによって評価された安全ステップを検証する。また、安全ツールは、オートメーションネットワーク内での安全性を改善するために処理のための潜在的必要性を示す。
【００１１】
サブスクライバに固有の安全パラメータを検出するためのソフトウェアライブラリの利用は、安全評価の間、新しいサブスクライバを考慮可能とするために、および／または、サブスクライバにおいて実行された変更点を考慮可能とするために、このライブラリの持続的なアップデートを要求する。更に、安全ツール中のオートメーションネットワークにおけるサブスクライバ間の個別に入力しているデータおよび処理に固有のリンクの要件は、多大な時間を必要とし、エラーが起こりやすくなる。ゆえに、安全ステップを判定する時、通常、オートメーションネットワークにおける制御ロジックの簡略化された計画が実行される。オートメーションネットワークが拡大または変更された場合、現行の安全ステップを判定可能にするために変更された構造を、再検出することを更に要求する。
【００１２】
独国特許出願公開第１０３ １８ ８３７ Ａ１号明細書には、安全マネージャによってサブスクライバ間のデータおよび処理に固有のリンクを自動的に検出するネットワークが開示されている。
【００１３】
欧州特許出願公開第１ ３００ ６５７ Ａ２明細書および独国特許出願公開第４４ ０９ ５４３ Ａ１号明細書には、サブスクライバに固有のパラメータが自動的に判定されるネットワークが開示されている。
【００１４】
CIC-webオンラインマガジンのサービスボックスの“Wahrscheinlichkeitsrechnung leicht gemacht”（簡単にされる確率計算）（（Henrich Publikationen GmbHオンラインサービス）,２００５年６月ＡＵＴ版, p. 1-3,インターネット＜http://www.cicweb.de/index.cfm?pid=1473&pk=66042#)＞）には、サブスクライバを含んでいるオートメーションネットワーク内の安全ステップの判定方法が示されている。上記において、オートメーションネットワークにおける安全ステップは、サブスクライバに固有の安全パラメータと同様にオートメーションネットワークにおけるサブスクライバ間のデータおよび処理に固有のリンクと関連しているアルゴリズムを用いて評価される。この方法は、ピルツ社の“Ｓａｆｅｔｙ Ｃａｌｃｕｌａｔｏｒ ＰＡＳｃａｌ”プログラムで実現される。
【先行技術文献】
【特許文献】
【００１５】
【特許文献１】独国特許出願公開第１０３ １８ ８３７ Ａ１号明細書
【特許文献２】欧州特許出願公開第１ ３００ ６５７ Ａ２明細書
【特許文献３】独国特許出願公開第４４ ０９ ５４３ Ａ１号明細書
【非特許文献】
【００１６】
【非特許文献１】CIC-webオンラインマガジンのサービスボックスの“Wahrscheinlichkeitsrechnung leicht gemacht”（簡単にされる確率計算）（Henrich Publikationen GmbHオンラインサービス）,２００５年６月ＡＵＴ版, p. 1-3,インターネット＜http://www.cicweb.de/index.cfm?pid=1473&pk=66042#)＞
【発明の概要】
【発明が解決しようとする課題】
【００１７】
本発明は、オートメーションネットワークにおける安全ステップを判定する判定方法、および／または、安全ステップの自動評価を可能にするオートメーションネットワークのための安全マネージャを、特に更なる変更がオートメーションネットワークに導入された場合において簡単および確実な方法で提供することを目的とする。
【課題を解決するための手段】
【００１８】
本発明によれば、この目的は、請求項１に係る方法、請求項６に係るコンピュータプログラム製品、請求項９に係る安全マネージャおよび請求項１２に係るオートメーションネットワークによって解決される。好ましい実施形態が従属請求項に示される。
【００１９】
複数のサブスクライバを含んでいるオートメーションネットワークにおける安全ステップを判定するために、本発明によれば、上記オートメーションネットワークにおける上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンク、並びに、上記サブスクライバに固有の複数の安全パラメータを自動的に検出させる。上記オートメーションネットワークにおける上記安全ステップは、その後、上記オートメーションネットワークにおける上記複数のサブスクライバの上記検知されたデータおよび処理に固有の複数のリンクと上記検知されたサブスクライバに固有の複数の安全パラメータとを関連付けるアルゴリズムを用いて評価される。したがって、本発明によれば、上記処理は、アルゴリズムを実行するための評価器と同様に、オートメーションネットワークにおけるサブスクライバのデータおよび処理に固有のリンクを検出するための構成検出器、並びに、サブスクライバに固有の安全パラメータを検出するためのパラメータ検出器を含む安全マネージャで実行される。
【００２０】
オートメーションネットワークにおける安全ステップの判定方法、および／または、これに関連した安全マネージャは、安全ステップの自動評価を可能にする。特に、オートメーションネットワークの構造を分析する動作、および、評価器に入力する動作が必要ではない。更に、本発明の方法および対応する構成の安全マネージャは、オートメーションネットワークにおいて拡大または変更を自動的に検出すること、および、安全ステップを評価している時にこれらを考慮することが可能である。
【００２１】
好ましい実施形態によれば、上記サブスクライバに固有の複数の安全パラメータは、上記各サブスクライバに格納され、かつ、上記複数のサブスクライバに接続しているオートメーションネットワークを介して、上記安全ステップを評価するために上記安全マネージャによって自動的に読み出される。サブスクライバに固有の安全パラメータを直接、サブスクライバに格納することによって、および、これらをオンラインで読み出すことによって、多大な時間を必要とするソフトウェアライブラリのアップデートを行う必要がない。安全マネージャの評価器は、同様に、最新のまたは未知のサブスクライバが簡単な方法で関与されるように、サブスクライバに固有の安全パラメータを直接、サブスクライバから取得する。したがって、安全機能の変更および拡大、またはオートメーションネットワークにおけるサブスクライバの交替は、安全ステップを判定している間、確実に考慮に入れられることを保障される。
【００２２】
好ましい実施形態によれば、上記オートメーションネットワークの上記あらかじめ定められた構成から、上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンクは、オートメーションタスクを実行するために判定される。オートメーションタスクを実行するための制御ロジックの構成は、安全ステップを評価している時、顧慮に入れるべき全ての必要なデータおよび処理に固有のリンクを含んでいる。データおよび処理に固有のリンクは、その後、簡単な方法で制御ハードウェアに基づいて判定される。
【００２３】
上記複数のサブスクライバ間の上記データおよび処理に固有のリンクを検出するために、上記複数のサブスクライバにおける複数の入力および複数の出力の上記複数の論理的リンクは、上記オートメーションタスクを実行するために検出されることが好ましい。この情報は、安全ステップを評価している間、サブスクライバのデータおよび処理に固有のリンクを十分考慮に入れることを可能とするために、必要な全データを含んでいる。
【００２４】
以下の通り、添付の図面を参照しながら、本発明をより詳細に説明する。
【図面の簡単な説明】
【００２５】
【図１】安全領域を含んでいるオートメーションネットワーク概略的に示した図である。
【図２】オートメーションシステムの安全マネージャを示した図である。
【発明を実施するための形態】
【００２６】
産業オートメーション（すなわち、技術的な処理のコンピュータ上のソフトウェア制御およびソフトウェア監視）においては、分散配置されたセンサ／アクチュエータ層のデバイス（例えば、Ｉ／Ｏモジュール、データロガーおよびバルブ）が高効率リアルタイム通信ネットワークを介して制御層のオートメーションコンピュータとの通信を行う分散制御システム（以下、オートメーションネットワークとも称する）がますます使用される。オートメーションネットワークにおけるサブスクライバ（すなわち、オートメーションコンピュータおよび／またはセンサ／アクチュエータ層のデバイス）は、ポイントツーポイント接続またはバスシステムを介して、互いに連結されていてもよい。それゆえ、フィールドバスシステムが使用されることが望ましい。
【００２７】
オートメーションネットワークは、通常、階層的に構成され、マスタースレーブの原則に従って動作する。マスターサブスクライバは、制御層に割り当てられており、オートメーションネットワークにおける通信リンクにアクセスするおよびデータ送信を判定する権限を有するアクティブサブスクライバである。スレーブサブスクライバは、センサ／アクチュエータ層に属する、パッシブサブスクライバである。スレーブサブスクライバは、通信リンクにアクセスするための独立した権限を持たない。すなわち、スレーブサブスクライバは、受信したデータに応答し、マスターサブスクライバによる要求に応じて、データをマスターサブスクライバに送信するのみでよい。
【００２８】
図１は、オートメーションネットワークの基本構造を概略的に示した図である。オートメーションネットワークは、制御層を形成する２つのマスターサブスクライバＭ、ＳＭと、センサ／アクチュエータ層を表す８つのスレーブサブスクライバＳ１〜Ｓ４、ＳＳ１〜ＳＳ４と、を含んでいる。上記オートメーションネットワークにおける全てのサブスクライバはシリアルバス１によって互いに接続され、シリアルバス１によってサブスクライバ間のデータ交換が行われる。サブスクライバ間のデータ交換は、通常、マスターサブスクライバＭ、ＳＭにより、制御データおよびユーザデータからなるデータパケットの形にまとめられる。データパケット内の制御データはアドレス情報を含んでいる。それゆえ、例えば、イーサネット（登録商標）プロトコルに基づいたデータ交換が行われる。イーサネットプロトコルでは、最大１５００バイトの長さのデータパケットを毎秒１００メガビットの伝送レートで伝送することが可能である。
【００２９】
サブスクライバの不具合、および／または、機能的エラーの場合のオートメーションネットワークが、人間および環境を危険に晒さないことを保護することは、オートメーションネットワークにとって必須の要件である。したがって、危険の程度は、本質的にオートメーションネットワークにおけるサブスクライバのタイプおよび機能、並びに制御プログラムの信頼性次第である。人間および／または環境を危険から守るために、オートメーションネットワークにおける危険サブスクライバは、適切な保安装置を使用することによって操作され、維持されるのみである。さらに、通常の制御機能とは別に、安全機能がオートメーションネットワークの制御層内で実行されなければならない。安全機能は、オートメーションネットワークにおける安全関連のサブスクライバに不具合が発生した場合に、オートメーションネットワークが安全状態に切り替わることを確実にする。そのような安全状態の一例としては、オートメーションネットワークの緊急スイッチを切ることが挙げられる。
【００３０】
オートメーションネットワークのサブスクライバおよび／または制御プログラムから生じた危険を分類可能にするために、危険アナリシスを実行することが必須である。複数の規格は、安全関連のオートメーションネットワークのデザイン、統合性および妥当性の要件および提案を含んで存在している。したがって、最もよく使用された規格は、欧州規格ＥＮ９５４−１“機械類の安全性−制御システムの安全関連部”であり、この規格は、使用されたエネルギーの形態に関わらず全ての安全関連の制御部に当てはまる。また、この規格は、それぞれ必要な安全関連のキャパシティを分類するためのカテゴリを含んでいる。しかし、欧州規格ＥＮ９５４−１は、定性的アプローチを提供するのみであり、それによって、例えば、オートメーションネットワークにおける個々のサブスクライバの不具合の可能性が考慮されない。
【００３１】
確かな危険アセスメント、とりわけオートメーションネットワークを可能にするこのような定量的アプローチは、最新の規格ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１に含まれる。これらの規格は、異なる安全関連のキャパシティを分類するための安全ステップを定義している。この安全ステップは、一時間当たりのオートメーションネットワークの危険側故障の異なる平均確率値を表す。ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１規格によれば、安全ステップを判定するために、サブスクライバに固有の安全パラメータを検出する必要がある。サブスクライバのこのような安全パラメータは、故障までの平均時間（ＭＴＴＦｄ）、一時間当たりの危険側故障確率（ＰＦＨ）、診断率（ＤＣｄ）、安全側故障比率（ＳＦＦｄ）、使用時間（ＴＭ）、共通原因故障（ＣＣＦ）、および規格に含まれる特定のその他のパラメータである。
【００３２】
サブスクライバに固有の安全パラメータとは別に、オートメーションネットワークにおけるサブスクライバのデータおよび処理に固有のリンクを検出するための、オートメーションネットワークの安全ステップを判定することが更に求められている。上記規格に規定されたアルゴリズムを用いて、安全ステップがその後判定されるであろう。
【００３３】
一般に、オートメーションネットワークにおける全てのサブスクライバが安全関連であるとは限らない。加えて、オートメーションネットワークにおける安全機能の数は、通常、安全と関連しない制御機能の数より少ない。したがって、安全領域は、通常、オートメーションネットワーク内で定義される。図１に示されたオートメーションネットワークにおいて、安全領域は、安全関連マスターサブスクライバＳＭ（以下では、セーフティマスターＳＭとも称する）、および、安全関連スレーブサブスクライバＳＳ１〜ＳＳ４によって形成される。図１のオートメーションネットワークにおける更に最新の安全と関連しないスレーブサブスクライバＳ１〜Ｓ４は、第２のマスターサブスクライバＭ（以下では、標準マスターＭとも称する）によって制御される。
【００３４】
個々のマスターサブスクライバを提供することによる安全と関連しない制御機能と安全機能とを区別する代わりに、図１に示されているオートメーションネットワークに提供されている通り、個々のマスターサブスクライバ上の安全と関連しない制御機能と同じように安全機能も実行することが可能である。しかしながら、それによって、安全と関連しない制御機能が安全機能に影響を及ぼさないことを保障する必要がある。
【００３５】
適用規格に従って判定されるオートメーションネットワークにおける安全ステップを用いた既知の安全ツールの場合、オートメーションネットワークにおける安全機能を実行するために、サブスクライバのデータおよび処理に固有のリンクを個々に入力することが要求される。さらに、既知の安全ツールについては、安全ステップを評価している時に、考慮されたサブスクライバに固有の安全パラメータが、ソフトウェアライブラリから選ばれる。新しい安全関連のサブスクライバを考慮に入れること、および／または、サブスクライバのうち技術的またはソフトウェア固有の調整に基づいたサブスクライバに固有の安全パラメータの変更を検出することを可能にするために、連続的にソフトウェアライブラリのアップデートが必要である。オートメーションネットワークにおける安全ステップの判定に関与した時間と労力は、本発明によって提供される安全マネージャ２を用いることによってかなり削減される。
【００３６】
図１に示すようにオートメーションネットワークにおいては、安全マネージャ２は、安全マスターＳＭに組み込まれている。これに関して、安全マネージャ２は、ハードウェアとして構成されてもよいし、ソフトウェアとして構成されてもよい。図１に示す実施形態の代わりとして、安全マネージャ２は、例えば、標準マスターＭといった、オートメーションネットワークの好ましいその他のサブスクライバにて提供されてもよい。一方、安全マネージャ２は、オートメーションネットワークにおける独立したサブスクライバとして構成されていてもよい。
【００３７】
安全マネージャ２の構成は、図２において、概念的に示される。安全マネージャの個々のコンポーネントも同様に、ハードウェアとして構成されてもよいし、ソフトウェアとして構成されてもよい。安全マネージャ２は、３つのインターフェースを含んでいる。３つのインターフェースとは、安全マネージャをオートメーションシステムに接続するためのバスインターフェース２１、データインターフェース２２、および、マンマシンインターフェース２３である。安全マネージャ２がオートメーションネットワークにおける独立したサブスクライバではなく、マスターサブスクライバの一部またはネットワークにおけるその他のサブスクライバの一部である場合、安全マネージャは、上述したホストサブスクライバのインターフェースに相当するものを代わりに用いる。
【００３８】
安全マネージャ２は、例えば、データインターフェース２２を介してオートメーションタスクを実行するための構成ツール４によって判定されたオートメーションネットワークの構成をインポートする。データインターフェース２２に接続されている構成検出器２４において、インポートされたシステム構成は、標準形のオートメーションネットワークにおける安全関連のサブスクライバのデータおよび処理に固有のリンクを検出するシステムモデルに変換される。あるいは、構成検出器２４は、同様に、オートメーションネットワークのテストモードにおいて、独立して、オートメーションネットワークにおける安全関連のサブスクライバのデータおよび処理に固有のリンクを表すシステムモジュールを検出する。このために、構成検出器２４は、例えば、テストデータを用いて、オートメーションタスクが実行される間、安全関連のサブスクライバの入力および出力の論理的リンクを検出する。さらに、構成検出器２４は、これらからの安全関連のサブスクライバのデータおよび処理に固有のリンクを検出しているとき、安全マスターＳＭからのセーフティコントロールを読み出すことを可能にする。
【００３９】
安全マネージャ２は、更に、サブスクライバに固有の安全パラメータを検出するためのパラメータ検出器２５を含んでいる。これらのサブスクライバに固有の安全パラメータは、外部データベース５からデータインターフェース２２を介してパラメータ検出器２５によって読み込まれる。または、これらのサブスクライバに固有の安全パラメータは、バスインターフェース２１を介してオートメーションネットワークにおける安全関連のサブスクライバから直接読み出される。パラメータ検出器２５は、アップデートされたサブスクライバに固有の安全パラメータを安全関連のサブスクライバおよび／または外部データベース５に戻すことを更に可能とする。
【００４０】
図１に示すように、各安全関連のサブスクライバＳＳ１〜ＳＳ４は、パラメータメモリ３を含んでいる。パラメータメモリ３には、サブスクライバに固有の安全パラメータが格納されている。上記パラメータメモリ３は、書込み禁止であり、識別子が備わっている。識別子としては、例えばサブスクライバに固有のパラメータのチェックサムが用いられている。個々のパラメータメモリが割り当てられた識別子は、更にパラメータ検出器２５に格納される。これらの識別子を用いて、パラメータ検出器２５およびオートメーションネットワークにおける個々のサブスクライバ間のセーフデータ通信は、サブスクライバに固有の安全パラメータを交換するために実行される。
【００４１】
安全マネージャ２において、構成検出器２４およびパラメータ検出器２５は、オートメーションネットワークにおける安全ステップを評価するために、さらに、評価器２６に接続される。評価器２６は、提供された安全規格を考慮に入れた、提供されたアルゴリズムを用いて安全ステップを判定することを実行する。したがって、それぞれ用いられているアルゴリズムは、ユーザによって、マンマシンインターフェース２３を介して、接続された入力／復元ユニット６を用いて、選択される。しかしながら、評価器２６に使用されるアルゴリズムを自動的に提供することも可能である。一方、検出された安全ステップは、入力／復元ユニット６に対するメッセージの形式でマンマシンインターフェース２３を介して評価器に出力する。
【００４２】
オートメーションネットワークにおける安全ステップを評価するために、安全マネージャ２は、さまざまなモードで操作される。したがって、第１の動作モードにおいて、安全マネージャ２は、それぞれの安全ステップのデザインを前もって判定するためにシステムデザインの枠組みの中で用いられる。これに関連して、システム構成およびサブスクライバに固有の安全パラメータは、データインターフェース２２を介して構成ツール４および／または外部データベース５から読み出される。
【００４３】
オートメーションシステムが動作しているとき、定期的に、または、例えば、安全マネージャ２における第２の動作モードにおけるオートメーションネットワークの初期設定期間内で、安全ステップの再評価が可能である。安全マネージャ動作モードにおいて、パラメータ検出器２５は、その後、安全関連のサブスクライバのパラメータメモリ３からサブスクライバに固有のパラメータを出力する。更に、構成検出器２４は、オートメーションネットワークに接続された構成および／または安全マスターの制御プログラムから、データおよび処理に固有の構成を直接検出する。
【００４４】
本発明における安全マネージャおよび本発明における安全ステップ評価方法を用いることによって、とりわけ、オートメーションネットワークにおいて変更が実行された後（例えば、安全関連のサブスクライバと更に接続した後）に、簡単な方法で、オートメーションネットワークにおける安全ステップが、自動的に判定可能となる。
【技術分野】
【０００１】
本発明は、複数のサブスクライバを含むオートメーションネットワークにおける安全ステップの判定方法に関する。また、本発明は、安全マネージャおよびオートメーションネットワークに関する。
【背景技術】
【０００２】
産業オートメーション（すなわち、技術的な処理のソフトウェア制御およびソフトウェア監視）は、分散センサ／分散アクチュエータ層を含む中央制御の考え方に基づいている。したがって、複数のサブスクライバは、お互いと、および、上位システムと、産業ローカルネットワーク（以下では、オートメーションネットワークとも称する）を介して通信を行う。オートメーションネットワークは、通常、いわゆるマスタースレーブ通信ネットワークとして構成される。マスタースレーブ通信ネットワークにおいて、マスターサブスクライバは制御層を表すものであり、スレーブサブスクライバは、センサ／アクチュエータ層を表すものである。
【０００３】
安全は、産業オートメーションにおいて必須要件である。オートメーションタスクを実行する時には、オートメーションネットワークは、サブスクライバの不具合またはその他のエラーが発生した場合に人間および環境をいかなる危険にも晒さないことが守られなければならない。オートメーションネットワークによって表される危険を分類可能にするために、危険アセスメントが行われていることが必須である。欧州規格ＥＮ１０５０によれば、リスクアセスメントは、オートメーションネットワークおよび／または個々のサブスクライバから生じる危険を系統的に分析することを可能にする一連の論理的ステップで実行される必要がある。この危険の分析に基づいて、オートメーションネットワークにとって技術的および組織的な要件は、その後、十分な安全性を保障するために判定される。
【０００４】
これに関連して、欧州規格ＥＮ９５４−１“機械類の安全性−制御システムの安全関連部”は、危険の分析を実行するための機器および設備の安全性の分野における国際規格を確立している。この規格は、安全関連サブスクライバのタイプにかかわらずこれら全てのサブスクライバを考慮に入れる。また、この規格は、これらの安全関連のキャパシティを分類する。判定された安全カテゴリに基づいて、オートメーションネットワークにおける制御構造は、エラーの場合における必要なシステムの動作を実現するためだけでなく安全機能の要件を満たすために、その後構成される。
【０００５】
安全要件に関して、プログラマブル電子制御システムの個々を公正に評価可能にするために、ここ数年の間、ＥＮ９５４−１規格に加えて、更なる規格が導入されている。オートメーションネットワークにおける危険の分析に関して、ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１規格が特に関連している。これら二つの規格によって、安全機能の定量的計画は、ＥＮ９５４−１規格の定性的アプローチに加えて実行される。
【０００６】
ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１規格は、リスク削減に必要なプログラマブル電子制御システムの安全関連のキャパシティを特定している。安全関連のキャパシティを分類するために、上記二つの規格は、安全ステップを定義している。このために、オートメーションネットワークの全ての安全機能は、これらの実行に関与している全てのサブスクライバと共に考慮されている。
【０００７】
オートメーションネットワークの安全ステップは、安全機能に関与しているサブスクライバの安全関連パラメータに基づいて判定される。ＥＮ ＩＳＯ１３８４９−１規格等によれば、これらのパラメータは、故障までの平均時間（ＭＴＴＦ）、診断率（ＤＣ）、一時間当たりの危険側故障確率（ＰＦＨ）、使用時間（ＴＭ）、磨耗被害を受けたサブスクライバのサンプルの１０％が危険であると発覚したときのサイクル数（Ｂ１０ｄ）、および共通原因故障（ＣＣＦ）である。前述の安全関連パラメータとは別に、更なる要因（例えば安全機能の要求率または試験率などの使用可能な要因と同等の要因）は、安全ステップに影響を与えるであろう。
【０００８】
オートメーションネットワークの安全ステップを判定するために、オートメーションネットワークにおけるサブスクライバ間の論理演算の正確な情報は、安全機能に関与している全てのサブスクライバの安全関連パラメータの情報とは別に、さらに必要とされる。
【０００９】
オートメーションネットワークによって晒される危険を確実に分類可能にするために、複雑な計算（例えば、マルコフ分析）が要求される。加えて、個々のサブスクライバの故障確率は、不十分なデータが原因で部分的に見積もられる必要がある。不十分なデータは、明確にすることを難しくする。オートメーションネットワークにおける安全ステップの判定をすることは、中小企業にとってこのように相当な問題をもたらす。
【００１０】
この数年間、安全ツールは、例えば、ドイツのオストフィルダーンのピルツ社によって提供された安全計算機ＰＡＳｃａｌおよびドイツのヴァイスキルヒのジック社によって提供されたＳａｆｅｅｘｐｅｒｔプログラムなど、ますます市場に達している。これら安全ツールは、使用されたサブスクライバに応じて、オートメーションネットワークにおける安全機能の安全ステップを評価する。したがって、サブスクライバに固有の安全パラメータは、ソフトウェアライブラリから選ばれる。しかし、加えて、システムの構造（すなわちオートメーションネットワーク内のサブスクライバのデータおよび処理に固有のリンク）は、個別に入力される。安全ツールは、ＥＮ ＩＳＯ１３８４９−１およびＥＮ／ＥＣ６２０６１規格に従って要求された安全ステップによって評価された安全ステップを検証する。また、安全ツールは、オートメーションネットワーク内での安全性を改善するために処理のための潜在的必要性を示す。
【００１１】
サブスクライバに固有の安全パラメータを検出するためのソフトウェアライブラリの利用は、安全評価の間、新しいサブスクライバを考慮可能とするために、および／または、サブスクライバにおいて実行された変更点を考慮可能とするために、このライブラリの持続的なアップデートを要求する。更に、安全ツール中のオートメーションネットワークにおけるサブスクライバ間の個別に入力しているデータおよび処理に固有のリンクの要件は、多大な時間を必要とし、エラーが起こりやすくなる。ゆえに、安全ステップを判定する時、通常、オートメーションネットワークにおける制御ロジックの簡略化された計画が実行される。オートメーションネットワークが拡大または変更された場合、現行の安全ステップを判定可能にするために変更された構造を、再検出することを更に要求する。
【００１２】
独国特許出願公開第１０３ １８ ８３７ Ａ１号明細書には、安全マネージャによってサブスクライバ間のデータおよび処理に固有のリンクを自動的に検出するネットワークが開示されている。
【００１３】
欧州特許出願公開第１ ３００ ６５７ Ａ２明細書および独国特許出願公開第４４ ０９ ５４３ Ａ１号明細書には、サブスクライバに固有のパラメータが自動的に判定されるネットワークが開示されている。
【００１４】
CIC-webオンラインマガジンのサービスボックスの“Wahrscheinlichkeitsrechnung leicht gemacht”（簡単にされる確率計算）（（Henrich Publikationen GmbHオンラインサービス）,２００５年６月ＡＵＴ版, p. 1-3,インターネット＜http://www.cicweb.de/index.cfm?pid=1473&pk=66042#)＞）には、サブスクライバを含んでいるオートメーションネットワーク内の安全ステップの判定方法が示されている。上記において、オートメーションネットワークにおける安全ステップは、サブスクライバに固有の安全パラメータと同様にオートメーションネットワークにおけるサブスクライバ間のデータおよび処理に固有のリンクと関連しているアルゴリズムを用いて評価される。この方法は、ピルツ社の“Ｓａｆｅｔｙ Ｃａｌｃｕｌａｔｏｒ ＰＡＳｃａｌ”プログラムで実現される。
【先行技術文献】
【特許文献】
【００１５】
【特許文献１】独国特許出願公開第１０３ １８ ８３７ Ａ１号明細書
【特許文献２】欧州特許出願公開第１ ３００ ６５７ Ａ２明細書
【特許文献３】独国特許出願公開第４４ ０９ ５４３ Ａ１号明細書
【非特許文献】
【００１６】
【非特許文献１】CIC-webオンラインマガジンのサービスボックスの“Wahrscheinlichkeitsrechnung leicht gemacht”（簡単にされる確率計算）（Henrich Publikationen GmbHオンラインサービス）,２００５年６月ＡＵＴ版, p. 1-3,インターネット＜http://www.cicweb.de/index.cfm?pid=1473&pk=66042#)＞
【発明の概要】
【発明が解決しようとする課題】
【００１７】
本発明は、オートメーションネットワークにおける安全ステップを判定する判定方法、および／または、安全ステップの自動評価を可能にするオートメーションネットワークのための安全マネージャを、特に更なる変更がオートメーションネットワークに導入された場合において簡単および確実な方法で提供することを目的とする。
【課題を解決するための手段】
【００１８】
本発明によれば、この目的は、請求項１に係る方法、請求項６に係るコンピュータプログラム製品、請求項９に係る安全マネージャおよび請求項１２に係るオートメーションネットワークによって解決される。好ましい実施形態が従属請求項に示される。
【００１９】
複数のサブスクライバを含んでいるオートメーションネットワークにおける安全ステップを判定するために、本発明によれば、上記オートメーションネットワークにおける上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンク、並びに、上記サブスクライバに固有の複数の安全パラメータを自動的に検出させる。上記オートメーションネットワークにおける上記安全ステップは、その後、上記オートメーションネットワークにおける上記複数のサブスクライバの上記検知されたデータおよび処理に固有の複数のリンクと上記検知されたサブスクライバに固有の複数の安全パラメータとを関連付けるアルゴリズムを用いて評価される。したがって、本発明によれば、上記処理は、アルゴリズムを実行するための評価器と同様に、オートメーションネットワークにおけるサブスクライバのデータおよび処理に固有のリンクを検出するための構成検出器、並びに、サブスクライバに固有の安全パラメータを検出するためのパラメータ検出器を含む安全マネージャで実行される。
【００２０】
オートメーションネットワークにおける安全ステップの判定方法、および／または、これに関連した安全マネージャは、安全ステップの自動評価を可能にする。特に、オートメーションネットワークの構造を分析する動作、および、評価器に入力する動作が必要ではない。更に、本発明の方法および対応する構成の安全マネージャは、オートメーションネットワークにおいて拡大または変更を自動的に検出すること、および、安全ステップを評価している時にこれらを考慮することが可能である。
【００２１】
好ましい実施形態によれば、上記サブスクライバに固有の複数の安全パラメータは、上記各サブスクライバに格納され、かつ、上記複数のサブスクライバに接続しているオートメーションネットワークを介して、上記安全ステップを評価するために上記安全マネージャによって自動的に読み出される。サブスクライバに固有の安全パラメータを直接、サブスクライバに格納することによって、および、これらをオンラインで読み出すことによって、多大な時間を必要とするソフトウェアライブラリのアップデートを行う必要がない。安全マネージャの評価器は、同様に、最新のまたは未知のサブスクライバが簡単な方法で関与されるように、サブスクライバに固有の安全パラメータを直接、サブスクライバから取得する。したがって、安全機能の変更および拡大、またはオートメーションネットワークにおけるサブスクライバの交替は、安全ステップを判定している間、確実に考慮に入れられることを保障される。
【００２２】
好ましい実施形態によれば、上記オートメーションネットワークの上記あらかじめ定められた構成から、上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンクは、オートメーションタスクを実行するために判定される。オートメーションタスクを実行するための制御ロジックの構成は、安全ステップを評価している時、顧慮に入れるべき全ての必要なデータおよび処理に固有のリンクを含んでいる。データおよび処理に固有のリンクは、その後、簡単な方法で制御ハードウェアに基づいて判定される。
【００２３】
上記複数のサブスクライバ間の上記データおよび処理に固有のリンクを検出するために、上記複数のサブスクライバにおける複数の入力および複数の出力の上記複数の論理的リンクは、上記オートメーションタスクを実行するために検出されることが好ましい。この情報は、安全ステップを評価している間、サブスクライバのデータおよび処理に固有のリンクを十分考慮に入れることを可能とするために、必要な全データを含んでいる。
【００２４】
以下の通り、添付の図面を参照しながら、本発明をより詳細に説明する。
【図面の簡単な説明】
【００２５】
【図１】安全領域を含んでいるオートメーションネットワーク概略的に示した図である。
【図２】オートメーションシステムの安全マネージャを示した図である。
【発明を実施するための形態】
【００２６】
産業オートメーション（すなわち、技術的な処理のコンピュータ上のソフトウェア制御およびソフトウェア監視）においては、分散配置されたセンサ／アクチュエータ層のデバイス（例えば、Ｉ／Ｏモジュール、データロガーおよびバルブ）が高効率リアルタイム通信ネットワークを介して制御層のオートメーションコンピュータとの通信を行う分散制御システム（以下、オートメーションネットワークとも称する）がますます使用される。オートメーションネットワークにおけるサブスクライバ（すなわち、オートメーションコンピュータおよび／またはセンサ／アクチュエータ層のデバイス）は、ポイントツーポイント接続またはバスシステムを介して、互いに連結されていてもよい。それゆえ、フィールドバスシステムが使用されることが望ましい。
【００２７】
オートメーションネットワークは、通常、階層的に構成され、マスタースレーブの原則に従って動作する。マスターサブスクライバは、制御層に割り当てられており、オートメーションネットワークにおける通信リンクにアクセスするおよびデータ送信を判定する権限を有するアクティブサブスクライバである。スレーブサブスクライバは、センサ／アクチュエータ層に属する、パッシブサブスクライバである。スレーブサブスクライバは、通信リンクにアクセスするための独立した権限を持たない。すなわち、スレーブサブスクライバは、受信したデータに応答し、マスターサブスクライバによる要求に応じて、データをマスターサブスクライバに送信するのみでよい。
【００２８】
図１は、オートメーションネットワークの基本構造を概略的に示した図である。オートメーションネットワークは、制御層を形成する２つのマスターサブスクライバＭ、ＳＭと、センサ／アクチュエータ層を表す８つのスレーブサブスクライバＳ１〜Ｓ４、ＳＳ１〜ＳＳ４と、を含んでいる。上記オートメーションネットワークにおける全てのサブスクライバはシリアルバス１によって互いに接続され、シリアルバス１によってサブスクライバ間のデータ交換が行われる。サブスクライバ間のデータ交換は、通常、マスターサブスクライバＭ、ＳＭにより、制御データおよびユーザデータからなるデータパケットの形にまとめられる。データパケット内の制御データはアドレス情報を含んでいる。それゆえ、例えば、イーサネット（登録商標）プロトコルに基づいたデータ交換が行われる。イーサネットプロトコルでは、最大１５００バイトの長さのデータパケットを毎秒１００メガビットの伝送レートで伝送することが可能である。
【００２９】
サブスクライバの不具合、および／または、機能的エラーの場合のオートメーションネットワークが、人間および環境を危険に晒さないことを保護することは、オートメーションネットワークにとって必須の要件である。したがって、危険の程度は、本質的にオートメーションネットワークにおけるサブスクライバのタイプおよび機能、並びに制御プログラムの信頼性次第である。人間および／または環境を危険から守るために、オートメーションネットワークにおける危険サブスクライバは、適切な保安装置を使用することによって操作され、維持されるのみである。さらに、通常の制御機能とは別に、安全機能がオートメーションネットワークの制御層内で実行されなければならない。安全機能は、オートメーションネットワークにおける安全関連のサブスクライバに不具合が発生した場合に、オートメーションネットワークが安全状態に切り替わることを確実にする。そのような安全状態の一例としては、オートメーションネットワークの緊急スイッチを切ることが挙げられる。
【００３０】
オートメーションネットワークのサブスクライバおよび／または制御プログラムから生じた危険を分類可能にするために、危険アナリシスを実行することが必須である。複数の規格は、安全関連のオートメーションネットワークのデザイン、統合性および妥当性の要件および提案を含んで存在している。したがって、最もよく使用された規格は、欧州規格ＥＮ９５４−１“機械類の安全性−制御システムの安全関連部”であり、この規格は、使用されたエネルギーの形態に関わらず全ての安全関連の制御部に当てはまる。また、この規格は、それぞれ必要な安全関連のキャパシティを分類するためのカテゴリを含んでいる。しかし、欧州規格ＥＮ９５４−１は、定性的アプローチを提供するのみであり、それによって、例えば、オートメーションネットワークにおける個々のサブスクライバの不具合の可能性が考慮されない。
【００３１】
確かな危険アセスメント、とりわけオートメーションネットワークを可能にするこのような定量的アプローチは、最新の規格ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１に含まれる。これらの規格は、異なる安全関連のキャパシティを分類するための安全ステップを定義している。この安全ステップは、一時間当たりのオートメーションネットワークの危険側故障の異なる平均確率値を表す。ＥＮ ＩＳＯ１３８４９−１およびＩＥＣ／ＥＮ６２０６１規格によれば、安全ステップを判定するために、サブスクライバに固有の安全パラメータを検出する必要がある。サブスクライバのこのような安全パラメータは、故障までの平均時間（ＭＴＴＦｄ）、一時間当たりの危険側故障確率（ＰＦＨ）、診断率（ＤＣｄ）、安全側故障比率（ＳＦＦｄ）、使用時間（ＴＭ）、共通原因故障（ＣＣＦ）、および規格に含まれる特定のその他のパラメータである。
【００３２】
サブスクライバに固有の安全パラメータとは別に、オートメーションネットワークにおけるサブスクライバのデータおよび処理に固有のリンクを検出するための、オートメーションネットワークの安全ステップを判定することが更に求められている。上記規格に規定されたアルゴリズムを用いて、安全ステップがその後判定されるであろう。
【００３３】
一般に、オートメーションネットワークにおける全てのサブスクライバが安全関連であるとは限らない。加えて、オートメーションネットワークにおける安全機能の数は、通常、安全と関連しない制御機能の数より少ない。したがって、安全領域は、通常、オートメーションネットワーク内で定義される。図１に示されたオートメーションネットワークにおいて、安全領域は、安全関連マスターサブスクライバＳＭ（以下では、セーフティマスターＳＭとも称する）、および、安全関連スレーブサブスクライバＳＳ１〜ＳＳ４によって形成される。図１のオートメーションネットワークにおける更に最新の安全と関連しないスレーブサブスクライバＳ１〜Ｓ４は、第２のマスターサブスクライバＭ（以下では、標準マスターＭとも称する）によって制御される。
【００３４】
個々のマスターサブスクライバを提供することによる安全と関連しない制御機能と安全機能とを区別する代わりに、図１に示されているオートメーションネットワークに提供されている通り、個々のマスターサブスクライバ上の安全と関連しない制御機能と同じように安全機能も実行することが可能である。しかしながら、それによって、安全と関連しない制御機能が安全機能に影響を及ぼさないことを保障する必要がある。
【００３５】
適用規格に従って判定されるオートメーションネットワークにおける安全ステップを用いた既知の安全ツールの場合、オートメーションネットワークにおける安全機能を実行するために、サブスクライバのデータおよび処理に固有のリンクを個々に入力することが要求される。さらに、既知の安全ツールについては、安全ステップを評価している時に、考慮されたサブスクライバに固有の安全パラメータが、ソフトウェアライブラリから選ばれる。新しい安全関連のサブスクライバを考慮に入れること、および／または、サブスクライバのうち技術的またはソフトウェア固有の調整に基づいたサブスクライバに固有の安全パラメータの変更を検出することを可能にするために、連続的にソフトウェアライブラリのアップデートが必要である。オートメーションネットワークにおける安全ステップの判定に関与した時間と労力は、本発明によって提供される安全マネージャ２を用いることによってかなり削減される。
【００３６】
図１に示すようにオートメーションネットワークにおいては、安全マネージャ２は、安全マスターＳＭに組み込まれている。これに関して、安全マネージャ２は、ハードウェアとして構成されてもよいし、ソフトウェアとして構成されてもよい。図１に示す実施形態の代わりとして、安全マネージャ２は、例えば、標準マスターＭといった、オートメーションネットワークの好ましいその他のサブスクライバにて提供されてもよい。一方、安全マネージャ２は、オートメーションネットワークにおける独立したサブスクライバとして構成されていてもよい。
【００３７】
安全マネージャ２の構成は、図２において、概念的に示される。安全マネージャの個々のコンポーネントも同様に、ハードウェアとして構成されてもよいし、ソフトウェアとして構成されてもよい。安全マネージャ２は、３つのインターフェースを含んでいる。３つのインターフェースとは、安全マネージャをオートメーションシステムに接続するためのバスインターフェース２１、データインターフェース２２、および、マンマシンインターフェース２３である。安全マネージャ２がオートメーションネットワークにおける独立したサブスクライバではなく、マスターサブスクライバの一部またはネットワークにおけるその他のサブスクライバの一部である場合、安全マネージャは、上述したホストサブスクライバのインターフェースに相当するものを代わりに用いる。
【００３８】
安全マネージャ２は、例えば、データインターフェース２２を介してオートメーションタスクを実行するための構成ツール４によって判定されたオートメーションネットワークの構成をインポートする。データインターフェース２２に接続されている構成検出器２４において、インポートされたシステム構成は、標準形のオートメーションネットワークにおける安全関連のサブスクライバのデータおよび処理に固有のリンクを検出するシステムモデルに変換される。あるいは、構成検出器２４は、同様に、オートメーションネットワークのテストモードにおいて、独立して、オートメーションネットワークにおける安全関連のサブスクライバのデータおよび処理に固有のリンクを表すシステムモジュールを検出する。このために、構成検出器２４は、例えば、テストデータを用いて、オートメーションタスクが実行される間、安全関連のサブスクライバの入力および出力の論理的リンクを検出する。さらに、構成検出器２４は、これらからの安全関連のサブスクライバのデータおよび処理に固有のリンクを検出しているとき、安全マスターＳＭからのセーフティコントロールを読み出すことを可能にする。
【００３９】
安全マネージャ２は、更に、サブスクライバに固有の安全パラメータを検出するためのパラメータ検出器２５を含んでいる。これらのサブスクライバに固有の安全パラメータは、外部データベース５からデータインターフェース２２を介してパラメータ検出器２５によって読み込まれる。または、これらのサブスクライバに固有の安全パラメータは、バスインターフェース２１を介してオートメーションネットワークにおける安全関連のサブスクライバから直接読み出される。パラメータ検出器２５は、アップデートされたサブスクライバに固有の安全パラメータを安全関連のサブスクライバおよび／または外部データベース５に戻すことを更に可能とする。
【００４０】
図１に示すように、各安全関連のサブスクライバＳＳ１〜ＳＳ４は、パラメータメモリ３を含んでいる。パラメータメモリ３には、サブスクライバに固有の安全パラメータが格納されている。上記パラメータメモリ３は、書込み禁止であり、識別子が備わっている。識別子としては、例えばサブスクライバに固有のパラメータのチェックサムが用いられている。個々のパラメータメモリが割り当てられた識別子は、更にパラメータ検出器２５に格納される。これらの識別子を用いて、パラメータ検出器２５およびオートメーションネットワークにおける個々のサブスクライバ間のセーフデータ通信は、サブスクライバに固有の安全パラメータを交換するために実行される。
【００４１】
安全マネージャ２において、構成検出器２４およびパラメータ検出器２５は、オートメーションネットワークにおける安全ステップを評価するために、さらに、評価器２６に接続される。評価器２６は、提供された安全規格を考慮に入れた、提供されたアルゴリズムを用いて安全ステップを判定することを実行する。したがって、それぞれ用いられているアルゴリズムは、ユーザによって、マンマシンインターフェース２３を介して、接続された入力／復元ユニット６を用いて、選択される。しかしながら、評価器２６に使用されるアルゴリズムを自動的に提供することも可能である。一方、検出された安全ステップは、入力／復元ユニット６に対するメッセージの形式でマンマシンインターフェース２３を介して評価器に出力する。
【００４２】
オートメーションネットワークにおける安全ステップを評価するために、安全マネージャ２は、さまざまなモードで操作される。したがって、第１の動作モードにおいて、安全マネージャ２は、それぞれの安全ステップのデザインを前もって判定するためにシステムデザインの枠組みの中で用いられる。これに関連して、システム構成およびサブスクライバに固有の安全パラメータは、データインターフェース２２を介して構成ツール４および／または外部データベース５から読み出される。
【００４３】
オートメーションシステムが動作しているとき、定期的に、または、例えば、安全マネージャ２における第２の動作モードにおけるオートメーションネットワークの初期設定期間内で、安全ステップの再評価が可能である。安全マネージャ動作モードにおいて、パラメータ検出器２５は、その後、安全関連のサブスクライバのパラメータメモリ３からサブスクライバに固有のパラメータを出力する。更に、構成検出器２４は、オートメーションネットワークに接続された構成および／または安全マスターの制御プログラムから、データおよび処理に固有の構成を直接検出する。
【００４４】
本発明における安全マネージャおよび本発明における安全ステップ評価方法を用いることによって、とりわけ、オートメーションネットワークにおいて変更が実行された後（例えば、安全関連のサブスクライバと更に接続した後）に、簡単な方法で、オートメーションネットワークにおける安全ステップが、自動的に判定可能となる。
【特許請求の範囲】
【請求項１】
複数のサブスクライバを有したオートメーションネットワークにおける安全ステップを判定する判定方法において、
構成検出器（２４）によって、上記オートメーションネットワークにおける上記複数のサブスクライバ間のデータおよび処理に固有の複数のリンクを自動的に判定する第１判定ステップと、
上記サブスクライバに固有の複数の安全パラメータを判定する第２判定ステップと、
上記オートメーションネットワークにおける上記複数のサブスクライバの上記判定されたデータおよび処理に固有の複数のリンクと、上記判定されたサブスクライバに固有の複数の安全パラメータとを関連付けるアルゴリズムを用いて、上記オートメーションネットワークにおける上記安全ステップを評価する評価ステップと、を含んでいることを特徴とする判定方法。
【請求項２】
上記アルゴリズムは、安全関連の規格を考慮に入れることを特徴とする請求項１に記載の判定方法。
【請求項３】
上記サブスクライバに固有の複数の安全パラメータは、パラメータ検出器（２５）によって、自動的に判定されることを特徴とする請求項１または２に記載の判定方法。
【請求項４】
上記サブスクライバに固有の複数の安全パラメータは、上記各サブスクライバに格納され、上記パラメータ検出器（２５）を用いて上記サブスクライバによって読み出されることを特徴とする請求項３に記載の判定方法。
【請求項５】
上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンクは、オートメーションタスクを実行するために、上記オートメーションネットワークの上記あらかじめ定められた構成から判定されることを特徴とする請求項１から４の何れか１項に記載の判定方法。
【請求項６】
上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンクを判定する上記第１判定ステップにおいて、上記複数のサブスクライバにおける複数の入力および複数の出力の上記複数の論理的リンクは、上記オートメーションタスクを実行するために判定されることを特徴とする請求項５に記載の判定方法。
【請求項７】
プログラムコード手段が含まれるコンピュータプログラム製品であって、上記コンピュータプログラム製品が処理ユニット上で実行される場合に、上記プログラムコード手段が、請求項１から６の何れか１項に記載の判定方法を実行することを特徴とするコンピュータプログラム製品。
【請求項８】
コンピュータ読み取り可能なデータ記憶媒体に格納されていることを特徴とする請求項７に記載のコンピュータプログラム製品。
【請求項９】
複数のサブスクライバを含むオートメーションネットワークに対する安全マネージャであって、
オートメーションネットワーク構成から上記オートメーションネットワークにおける上記複数のサブスクライバのデータおよび処理に固有の複数のリンクを自動的に検出するための構成検出器（２４）と、
サブスクライバに固有の複数の安全パラメータを検出するためのパラメータ検出器（２５）と、
上記オートメーションネットワークにおける上記複数のサブスクライバの上記判定されたデータおよび処理に固有の複数のリンクを、上記判定されたサブスクライバに固有の複数の安全パラメータに関連付けるアルゴリズムを用いて上記オートメーションネットワークの上記安全ステップを評価するための評価器（２６）と、を備えていることを特徴とする安全マネージャ。
【請求項１０】
上記複数のサブスクライバの上記データおよび処理に固有の複数のリンクを自動的に検出するための構成検出器（２４）は、上記オートメーションタスクを実行するために、上記複数のサブスクライバにおける複数の入力および複数の出力の上記複数の論理的リンクを自動的に検出するように構成されていることを特徴とする請求項９に記載の安全マネージャ。
【請求項１１】
上記パラメータ検出器（２５）は、上記サブスクライバに固有の複数の安全パラメータを自動的に検出することを特徴とする請求項９または１０に記載の安全マネージャ。
【請求項１２】
請求項９から１１の何れか１項に記載の安全マネージャ（２）を上記複数のサブスクライバとともに含むオートメーションネットワークであって、
上記複数のサブスクライバは、サブスクライバに固有の割り当てられた複数の安全パラメータが格納されるパラメータメモリ（３）を含み、
上記複数のサブスクライバは、要求により、上記複数の安全パラメータを上記パラメータ検出器（２５）に送信するように構成されていることを特徴とするオートメーションネットワーク。
【請求項１】
複数のサブスクライバを有したオートメーションネットワークにおける安全ステップを判定する判定方法において、
構成検出器（２４）によって、上記オートメーションネットワークにおける上記複数のサブスクライバ間のデータおよび処理に固有の複数のリンクを自動的に判定する第１判定ステップと、
上記サブスクライバに固有の複数の安全パラメータを判定する第２判定ステップと、
上記オートメーションネットワークにおける上記複数のサブスクライバの上記判定されたデータおよび処理に固有の複数のリンクと、上記判定されたサブスクライバに固有の複数の安全パラメータとを関連付けるアルゴリズムを用いて、上記オートメーションネットワークにおける上記安全ステップを評価する評価ステップと、を含んでいることを特徴とする判定方法。
【請求項２】
上記アルゴリズムは、安全関連の規格を考慮に入れることを特徴とする請求項１に記載の判定方法。
【請求項３】
上記サブスクライバに固有の複数の安全パラメータは、パラメータ検出器（２５）によって、自動的に判定されることを特徴とする請求項１または２に記載の判定方法。
【請求項４】
上記サブスクライバに固有の複数の安全パラメータは、上記各サブスクライバに格納され、上記パラメータ検出器（２５）を用いて上記サブスクライバによって読み出されることを特徴とする請求項３に記載の判定方法。
【請求項５】
上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンクは、オートメーションタスクを実行するために、上記オートメーションネットワークの上記あらかじめ定められた構成から判定されることを特徴とする請求項１から４の何れか１項に記載の判定方法。
【請求項６】
上記複数のサブスクライバ間の上記データおよび処理に固有の複数のリンクを判定する上記第１判定ステップにおいて、上記複数のサブスクライバにおける複数の入力および複数の出力の上記複数の論理的リンクは、上記オートメーションタスクを実行するために判定されることを特徴とする請求項５に記載の判定方法。
【請求項７】
プログラムコード手段が含まれるコンピュータプログラム製品であって、上記コンピュータプログラム製品が処理ユニット上で実行される場合に、上記プログラムコード手段が、請求項１から６の何れか１項に記載の判定方法を実行することを特徴とするコンピュータプログラム製品。
【請求項８】
コンピュータ読み取り可能なデータ記憶媒体に格納されていることを特徴とする請求項７に記載のコンピュータプログラム製品。
【請求項９】
複数のサブスクライバを含むオートメーションネットワークに対する安全マネージャであって、
オートメーションネットワーク構成から上記オートメーションネットワークにおける上記複数のサブスクライバのデータおよび処理に固有の複数のリンクを自動的に検出するための構成検出器（２４）と、
サブスクライバに固有の複数の安全パラメータを検出するためのパラメータ検出器（２５）と、
上記オートメーションネットワークにおける上記複数のサブスクライバの上記判定されたデータおよび処理に固有の複数のリンクを、上記判定されたサブスクライバに固有の複数の安全パラメータに関連付けるアルゴリズムを用いて上記オートメーションネットワークの上記安全ステップを評価するための評価器（２６）と、を備えていることを特徴とする安全マネージャ。
【請求項１０】
上記複数のサブスクライバの上記データおよび処理に固有の複数のリンクを自動的に検出するための構成検出器（２４）は、上記オートメーションタスクを実行するために、上記複数のサブスクライバにおける複数の入力および複数の出力の上記複数の論理的リンクを自動的に検出するように構成されていることを特徴とする請求項９に記載の安全マネージャ。
【請求項１１】
上記パラメータ検出器（２５）は、上記サブスクライバに固有の複数の安全パラメータを自動的に検出することを特徴とする請求項９または１０に記載の安全マネージャ。
【請求項１２】
請求項９から１１の何れか１項に記載の安全マネージャ（２）を上記複数のサブスクライバとともに含むオートメーションネットワークであって、
上記複数のサブスクライバは、サブスクライバに固有の割り当てられた複数の安全パラメータが格納されるパラメータメモリ（３）を含み、
上記複数のサブスクライバは、要求により、上記複数の安全パラメータを上記パラメータ検出器（２５）に送信するように構成されていることを特徴とするオートメーションネットワーク。
【図１】
【図２】
【図２】
【公表番号】特表２０１２−５１０１９４（Ｐ２０１２−５１０１９４Ａ）
【公表日】平成２４年４月２６日（２０１２．４．２６）
【国際特許分類】
【出願番号】特願２０１１−５３６８４８（Ｐ２０１１−５３６８４８）
【出願日】平成２１年１１月１８日（２００９．１１．１８）
【国際出願番号】ＰＣＴ／ＥＰ２００９／０６５３７０
【国際公開番号】ＷＯ２０１０／０５７９０８
【国際公開日】平成２２年５月２７日（２０１０．５．２７）
【出願人】（５０５３４４０６３）ベックホフ オートメーション ゲーエムベーハー (22)
【Ｆターム（参考）】
【公表日】平成２４年４月２６日（２０１２．４．２６）
【国際特許分類】
【出願日】平成２１年１１月１８日（２００９．１１．１８）
【国際出願番号】ＰＣＴ／ＥＰ２００９／０６５３７０
【国際公開番号】ＷＯ２０１０／０５７９０８
【国際公開日】平成２２年５月２７日（２０１０．５．２７）
【出願人】（５０５３４４０６３）ベックホフ オートメーション ゲーエムベーハー (22)
【Ｆターム（参考）】
[ Back to top ]