[发明专利]安全控制系统

说明书

本申请要求2007年7月19日提交给日本专利局的申请号为 2007-188462的日本专利的优先权，申请号为2007-188462的日本专 利的整个内容已经通过引用合并入本申请中。

技术领域

本发明涉及一种在与分布式控制系统整合在一起的安全控制系 统中提供的并且连接到两个系统中公共使用的控制总线上的安全控 制站间通信的安全保证。

背景技术

关于与分布式控制系统整合的安全控制系统，在专利文献1中 有技术公开。图8是示出在专利文献1中说明的分布式控制系统和安 全控制系统的整合环境的功能框图。

由点划线区A指示的分布式控制系统和由点划线区B指示的安 全控制系统都连接到公共控制总线1上，并且与也连接到对两个系统 通用的这个控制总线1上的操作监控站2通信。

在分布式控制系统A中，控制站31、32通过控制总线1与操作 监控站2通信，并且也与工厂4的各个设备(未示出)通信并控制它 们。

在安全控制系统B中，安全控制站51、52通过控制总线1与操 作监控站2通信，并且也与工厂4的设备通信。当安全控制站51、 52收到来自工厂4的跳闸(trip)请求时，它们执行工厂4的停止 操作。

安全控制系统B能够在与分布式控制系统A中的相同的控制总 线1上执行达到SIL3级的安全通信。这样，这个安全控制系统B能 够建立整合的系统，其中相关技术中的分布式控制系统的控制通信混 合在一起。

在这种情况下，在安全控制站之间的通信使每个安全控制站可 以快速地把每个安全控制站感测的异常事件通知给其它安全控制站。 这样，安全控制站能够快速处理工厂中的异常事件，并且因此这样的 通信在防止危险和缩小受破坏的区域方面是有效的。

在安全控制系统中“安全通信”表示配备工程来检查与安全相 关的数据是否通过现有的不安全通信系统确定地没有失败地传输到 通信目的地的通信系统。

在安全通信中，用于把安全功能同不安全的外部世界隔离的安 全层被提供给通信的应用层部分。这样发生在通信中的所有危险事件 (数据的误传、遗漏、延时等)将被检测到。

图9是说明两个安全控制站51、52之间的安全通信的工程的功 能框图。布尔型、整型或实型数据格式的通信数据被转换成称为绑定 变量的一种数据格式，并且之后流过控制总线1。

在这个绑定变量中，除了数据值外，在所有通信数据的错误校 验中使用的传输时间的时间戳、序列号和CRC(循环冗余校验)码也 会存储。通过制造方功能块51a来构建(formulate)这些安全信息， 并且转换后的绑定变量51b发送到控制总线1上。

相反，当接收到这个变量后，在安全控制站52上的使用方功能 块52a通过使用接收的绑定变量52b来检查通信中的所有异常事件。 当感测到异常事件时，使用方功能块52a输出先前指定的安全失败值 作为数据，并且把异常事件输出给数据状态，还发出指示错误发生的 系统报警。

制造方功能块51a和使用方功能块52a构成安全层60，其用于 在两个安全控制站51、52间的安全通信。

图10是当多段发送/接收的数据出现时安全通信的概念性示图。 在制造方的安全控制站的发送装置一次编译多个发送绑定变量并且 把编译的变量发送给目的站。在目的地的安全控制站的接收装置把接 收的变量分发给对应的接收绑定变量。

图11是由用户构建的安全通信的应用程序的功能框图。基本概 念是通过绑定变量的仲裁根据一对一原则的安全通信。用户构建绑定 变量和输入/输出功能块，并把它们与应用程序逻辑连接。

[专利文献1]公开号为2006-164143的日本专利申请

在相关技术的安全控制站之间的安全通信中，把用于确保安全 通信的信息逐个地添加给数据，并且接收的数据的诊断由提供给使用 方功能块的安全层来完成。因此，在也有分布式控制系统的通信数据 流过的相同的控制总线1上也能够保证安全通信。

但是，在相关技术的安全控制站之间的安全通信中存在下面的 问题。

(1)用户必须构建绑定变量和功能块两者的应用程序。因此工 程是困难的，从而增加工程的工时。

(2)由于数据被分别发送/接收，通信和CPU性能被消耗。因 此许多站不可能共享数据，这样通信性能被限制。