安全制御装置
【課題】故障のみならず、プログラム実行性能の低下をも検知し、被制御機器を安全側に停止させることが可能な安全制御装置を提供すること。
【解決手段】プログラムの任意の箇所で第１トリガを出力し、この出力の後に第１の処理を実行して第２トリガを出力し、該第２トリガを出力した後に第２の処理を実行する演算部と、第１トリガを受信し、該受信を起点にオンして所定時間経過後にオフするウィンドウ信号を生成するウィンドウ信号生成部と、ウィンドウ信号および第２トリガを受信し、ウィンドウ信号がオンの間に第２トリガを受信するとオンし、所定時間経過後にオフする安全信号を生成する安全信号生成部と、安全信号を受信し、該安全信号がオンのとき演算部の指令に基づき外部機器を制御し、安全信号がオフのとき外部機器を安全側に制御する出力部と、を備える。
【解決手段】プログラムの任意の箇所で第１トリガを出力し、この出力の後に第１の処理を実行して第２トリガを出力し、該第２トリガを出力した後に第２の処理を実行する演算部と、第１トリガを受信し、該受信を起点にオンして所定時間経過後にオフするウィンドウ信号を生成するウィンドウ信号生成部と、ウィンドウ信号および第２トリガを受信し、ウィンドウ信号がオンの間に第２トリガを受信するとオンし、所定時間経過後にオフする安全信号を生成する安全信号生成部と、安全信号を受信し、該安全信号がオンのとき演算部の指令に基づき外部機器を制御し、安全信号がオフのとき外部機器を安全側に制御する出力部と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全制御を実現する安全制御装置に関する。
【背景技術】
【０００２】
安全性が要求される制御装置には、その内部回路が万一故障したとしても、制御対象が危険な状態になることを回避する安全制御機能が搭載されている。例えば、特許文献１に記載された発明は、コントローラと被制御機器との間にタイマを備えた安全制御装置を接続し、コントローラが時間ｔ以内の間隔で発信を繰り返すパルスを安全制御装置に与え、安全制御装置は受信するパルスを監視して、時間ｔを越えても次のパルスが入力されなかった場合に被制御機器を安全側に制御するように構成されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平９−２４４７０１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、前述のような従来の発明では、コントローラの故障に対しては安全制御を実行させることはできるが、コントローラの性能が顧客の要求を満たしていないような性能面での品質低下に対して安全制御を実行させることができないという問題がある。
【０００５】
本発明はこのような問題を鑑みて考案されたものであり、その課題はコントローラの故障のみならず、性能の低下をも検知し、被制御機器を安全側に停止させることが可能な安全制御装置を提供することにある。
【課題を解決するための手段】
【０００６】
上記のような課題を解決する方法として、本発明は以下のように構成される。
請求項１に係る発明は、プログラムの任意の箇所で第１トリガを出力し、この出力の後に第１の処理を実行して第２トリガを出力し、該第２トリガを出力した後に第２の処理を実行する演算部と、第１トリガを受信し、該受信を起点にオンして所定時間経過後にオフするウィンドウ信号を生成するウィンドウ信号生成部と、ウィンドウ信号および第２トリガを受信し、ウィンドウ信号がオンの間に第２トリガを受信するとオンし、所定時間経過後にオフする安全信号を生成する安全信号生成部と、安全信号を受信し、該安全信号がオンのとき演算部の指令に基づき外部機器を制御し、安全信号がオフのとき外部機器を安全側に制御する出力部と、を備えるように構成される。
【０００７】
請求項２に係る発明は、請求項１に記載された安全制御装置において、第１の処理は外部機器を制御するアプリケーションであり、第２の処理は外部機器の制御以外の処理を実行する管理処理であり、演算部の指令は、アプリケーションによって演算された指令で構成される。
【０００８】
請求項３に係る発明は、請求項１又は請求項２に記載された安全制御装置において、演算部はプログラムをサイクリックに実行し、第１トリガおよび第２トリガは１つのサイクル中にそれぞれ１回実行されるように構成される。
【０００９】
請求項４に係る発明は、請求項１〜請求項３のいずれか１項に記載された安全制御装置において、第２トリガは所定の符号で構成され、安全信号生成部は所定の符号を第２トリガとして受信し、該符号をデコードした出力信号とウィンドウ信号との論理積をとり、この出力を安全信号のオンの起点とするように構成される。
【００１０】
請求項５に係る発明は、請求項３又は請求項４に記載された安全制御装置において、ウィンドウ信号のオン時間をｔａとし、安全信号のオン時間をｔｂとし、プログラムがサイクリックに実行される周期時間をｐとしたとき、ｔａ＜ｐ＜ｔｂとする。
【発明の効果】
【００１１】
本発明によれば、プログラムを実行する際の任意の実行ステップで第１トリガを出力し、この第１トリガの受信を起点にオンしてｔａ時間経過後にオフするウィンドウ信号（パルス）を生成する。また、本発明はこのウィンドウ信号がオンの間（ｔａ時間）に第２トリガを出力するようにプログラムを構成する。さらに、本発明は前述ウィンドウパルスがオンのときに第２トリガを受信するとオンしてｔｂ時間経過後オフする安全信号（パルス）を生成し、この安全信号がオンのときにはプログラムの実行の際に出力される制御指令に基づき外部機器を制御し、安全信号がオフのときには外部機器を安全側に制御するように構成した。
【００１２】
このように構成することにより、本発明は例えば所定部位のプログラムの実行速度が、要求性能に達していないなどの性能に関わる品質の低下の検知と、プログラムの暴走などによる機器の故障の検知を両立することができる。
【００１３】
従って、本発明によって、故障に加えて性能の低下をも検出して安全制御を実行することが可能な高信頼な安全制御装置が提供される。
【図面の簡単な説明】
【００１４】
【図１】本発明の一例を示す安全制御装置のシステム構成図
【図２】図１に示されるＣＰＵ部のプログラム構成と安全制御部の回路図
【図３】図２の動作説明用のタイムチャート
【発明を実施するための形態】
【００１５】
以下、本発明の好適な実施形態について図１〜図３を基に説明する。なお、これらの図面は本発明の一実施形態を説明するための図面であって、これらの図面によって本発明が限定されるものではない。
【００１６】
また、以下の説明において、信号名の前に付した「＊」はその信号が負論理であることを示している。
【実施例】
【００１７】
図１に示すように、本発明の安全制御装置１００は外部機器４に接続されている。安全制御装置１００にはＣＰＵ部１、安全制御部２、出力部３が搭載されている。ＣＰＵ部１を演算部、安全制御部２を安全指令出力手段、出力部３を出力手段ともいう。
【００１８】
また、不図示ではあるがＣＰＵ部１は中央演算部（ＣＰＵ）やプログラムメモリ、そして作業メモリなどが備えられている。ＣＰＵ部１はプログラムメモリに保持されたプログラムを実行することにより外部機器４を制御するための制御指令を生成し、出力部３に与える。ＣＰＵ部１によって生成された制御指令を受けた出力部３は、制御指令に基づき外部機器４を制御する。このような仕組みによって、安全制御装置１００は外部機器４を制御する（通常の制御）。
【００１９】
また、ＣＰＵ部１は自己が正常に動作していること、すなわち健全性を通知するための信号（トリガＡ）を出力する第１トリガ出力手段１ａを備える。また、ＣＰＵ部１はトリガＡが出力された後、所定の時間以内に再び自己の健全性を通知するための信号（トリガＢ）を出力する第２トリガ出力手段１ｂを備えている。そして、ＣＰＵ部１によって出力されたトリガＡおよびトリガＢそれぞれの信号は安全制御部２に与えられている。さらにＣＰＵ部１はリセットを出力して安全制御部２の機能をオンオフすることができる。
【００２０】
続いて、図２と図３を参照しながら、ＣＰＵ部１および安全制御部２の詳細な動きを説明する。
図２に示す安全制御部２のＩＣ１はモノステーブルマルチバイブレータであり、該ＩＣ１に接続されるコンデンサＣ１と抵抗Ｒ１によって出力幅が決定されたウィンドウパルスを出力する（ウィンドウ信号生成部）。ここでは、ウィンドウパルス幅をｔａとする。ＩＣ４はＩＣ１と同様モノステーブルマルチバイブレータであり、コンデンサＣ２と抵抗Ｒ２によって出力幅が決定された安全パルスを出力する（安全信号生成部）。この安全パルス幅をｔｂとする。これらウィンドウパルス生成手段と安全パルス生成手段とを併せてパルス生成手段ともいう。
【００２１】
ＩＣ２はデコーダ（3-to-8 Line Decoder：７４ＶＨＣ１３８など）であり、ＣＰＵ部１から出力された３ビットの符号（トリガＢ）をＡ〜Ｃに入力する。このトリガＢの符号は０から７までのコード化された数値であるが、本実施例ではトリガＢとして”２”のコードが入力されたとき、ＩＣ２のデコード作用が有効になるように安全制御部２を構成している。すなわち、ＩＣ２は、該ＩＣ２のＡ〜Ｃに入力されるトリガＢに対して、コード”２”を有効としデコードする。例えば、ＩＣ２のＡ〜Ｃに入力された符号が「０」であったとき、その出力としては＊Ｙ０が出力され、ＩＣ２のＡ〜Ｃに入力された符号が「１」であったとき、その出力としては＊Ｙ１が出力されるため、これらの出力は出力先がなく、本実施例においては無効のデコードとして扱われる。
【００２２】
このような回路で構成される安全制御部２は、ＣＰＵ部１によって出力されたトリガＡがＩＣ１に入力され、ＣＰＵ部１によって出力されたトリガＢがＩＣ２の入力Ａ〜Ｃに入力される。また、ＩＣ４の出力である安全パルスは、安全信号として出力部３に出力されている。
【００２３】
続いて、安全制御部２の動きについて図３を用いて説明する。
ＣＰＵ部１は、先ず、リセット信号を”Ｌ”から”Ｈ”にして、ＩＣ１およびＩＣ４をリセット状態から解除し、安全制御部２の機能をオンにしている（図３の区間ｐ０）。
【００２４】
続いて、区間ｐ１において、ＣＰＵ部１はパルス状の信号のトリガＡを出力し、ＩＣ１に与えている。これにより、ＩＣ１はｔａ時間”Ｌ”を出力し、ｔａ時間経過後”Ｈ”を出力している。ＣＰＵ部１は、トリガＡを出力した後のｔａ時間の間に、すなわちＩＣ１が”Ｌ”を出力している間に、符号化されたトリガＢ（コード”１”）を出力している。トリガＢ（コード”１”）が与えられたＩＣ２は＊Ｙ１を”Ｌ”出力している（不図示）。ＩＣ３はＩＣ１の＊Ｑ出力とＩＣ２の＊Ｙ２出力とが両方”Ｌ”のときに”Ｈ”を出力するＡＮＤゲートなので、区間ｐ１においてＩＣ３の出力は出力されてない。このようにＩＣ３の出力が出力されないと、ＩＣ４の機能が作動されず、ＩＣ４が出力する安全パルスは”Ｌ”のままである。
【００２５】
このように安全パルスが”Ｌ”の状態のときを安全指令とし、安全指令を受けた出力部３は外部機器４を安全側に制御する。すなわち、出力部３は安全パルスが”Ｌ”のときには、どのような制御指令がＣＰＵ部１から与えられても、その出力を安全側に出力している。
【００２６】
続いて、区間ｐ２において、ＣＰＵ部１は区間ｐ１と同様トリガＡを出力し、ＩＣ１に与えている。これにより、ＩＣ１はｔａ時間”Ｌ”を出力し、ｔａ時間経過後”Ｈ”を出力している。ＣＰＵ部１は、トリガＡを出力した後のｔａ時間の間、すなわちＩＣ１が”Ｌ”を出力している間に、トリガＢ（コード”２”）を出力している。トリガＢ（コード”２”）はＩＣ２によってデコードされ、出力＊Ｙ２が”Ｌ”出力されている。ＩＣ３はＩＣ１の＊Ｑ出力とＩＣ２の＊Ｙ２出力とをＡＮＤし”Ｈ”のパルスを出力している。このパルスを受けてＩＣ４はこの時点を起点にｔｂ時間の”Ｈ”を出力するように作動している。このようにＩＣ４が作動されて、安全パルスが”Ｈ”になると、不図示ではあるが、出力部３はＣＰＵ部１から与えられた制御指令に基づき通常の制御を実行する通常モードとして動作している。
【００２７】
続いて、区間ｐ３において、ＣＰＵ部１の動きは区間ｐ２と同様である。また安全制御部２の動きも区間ｐ２と同様であり、ＩＣ３がパルス状の出力を出力している。このパルスを受けてＩＣ４はリトリガされ、このリトリガ時点を起点にｔｂ時間の”Ｈ”を出力するように作動している。よって、出力部３は通常モードを維持している。
【００２８】
続いて、区間ｐ４において、ＣＰＵ部１はトリガＢのコードを”３”として出力している。この出力を受けたＩＣ２は＊Ｙ３を出力しており（不図示）、＊Ｙ２は出力されていない。従って、ＩＣ３の出力は出力されず、ＩＣ４はリトリガされない。リトリガされないＩＣ４は、時点ｐ３でのリトリガ時点を起点とし、ｔｂ時間経過後に”Ｌ”を出力している。ＩＣ４が”Ｌ”を出力すると、出力部３は外部機器４を前述の如く安全側に制御する。
【００２９】
すなわち、安全制御部２はトリガＡ（第１トリガ）の入力によって生成されるｔａ時間のウィンドウ時間中にトリガＢ（第２トリガ）が入力されることで安全パルスを”Ｈ”出力する。この”Ｈ”出力によって安全制御部２は、ＣＰＵ部１のプログラムの実行が正常であること示し、出力部３の制御出力が有効となるように作用する。一方、前述ウィンドウ時間中（ｔａ時間）にトリガＢ（第２トリガ）が入力されないと、安全制御部２は安全パルスの出力を止めて”Ｌ”出力する。安全制御部２は、安全パルスの”Ｌ”出力によって安全指令とし、出力部３の制御出力が安全側になるように作用する。
【００３０】
続いて、図２を参照しながらＣＰＵ部１の詳細な動きを説明する。ＣＰＵ部１は、第１トリガ出力手段１ａおよび第２トリガ出力手段１ｂが組み込まれたプログラム１１を実行するよう構成されている。このようなトリガを出力するためのプログラムである第１トリガ出力手段１ａと第２トリガ出力手段１ｂとを併せて、単にトリガ生成手段ともいう。また、ＣＰＵ部１は、プログラム１１を実行して外部機器４を制御するための制御指令を生成し出力部３に転送する。この転送された制御指令に基づき出力部３は外部機器４を制御する。
【００３１】
スタート後、ＣＰＵ部１は第１トリガ出力手段１ａを実行し、所定の実行ステップ（プログラム１ｃ）を実行した後に第２トリガ出力手段を実行する。この後、ＣＰＵ部１はプログラム１１の残りのプログラムステップ（プログラム１ｄ）を実行して再び第１トリガ出力手段を実行している。プログラム１１は例えば１０ｍｓ周期でサイクリックに実行されており、第１トリガ出力手段１ａおよび第２トリガ出力手段１ｂはプログラム１１の実行に際し、それぞれ１回実行されている。
【００３２】
なお、プログラム１ｃは所定のデータを基に演算を行って前述制御指令を出力するプログラムであって、外部機器４を制御するためのアプリケーションプログラムである。また、プログラム１ｄは、外部機器４を制御する以外の処理機能であり、安全制御装置１００全体の管理を行う管理プログラムである。
【００３３】
ＣＰＵ部１はプログラム１１を実行する際、第１トリガ出力手段によってパルス状の信号であるトリガＡを出力し、第２トリガ出力手段によってコード化されたトリガＢを出力する。よって、トリガＢはトリガＡが出力された後、プログラム１１の所定のステップ数の実行時間を経て出力されることになる。
【００３４】
すなわち、第１トリガ出力手段および第２トリガ出力手段は、トリガＡが出力されてから前述ｔａ時間以内にトリガＢが出力されるようにプログラム１ｃを挟んで配置されている。例えば、ｔａ時間を１ｍｓとした場合、本発明はトリガＡが出力されてから１ｍｓを超えないようにプログラム１ｃが実行され、プログラム１ｃの終了とともにトリガＢが出力されるように構成されている。このように構成することにより、本発明は所定部位のプログラム実行速度（プログラム１ｃ）が、ウィンドウパルスの有効（オン）期間に間に合っているかチェックでき、ＣＰＵ部１の性能の低下を検出することができる。
【００３５】
なお、トリガＡはＣＰＵ部１に搭載のマイクロプロセッサ（ＣＰＵ）のＩ／Ｏポートをオンしオフすることで出力され、トリガＢはマイクロプロセッサが安全制御部２をデータ出力先としてデータを書き込む形態で出力される。
【００３６】
また、プログラム１１の実行周期は、安全パルスの有効（オン）期間以内に一巡されれば良い。すなわち、トリガＢが出力され、再びトリガＢが出力されるまでの一巡時間は安全パルスがオンされてからオフするまでに間に合うように構成されている。
【００３７】
例えば、プログラム１１が定周期割込みなどで起動されるような定周期プログラムであった場合、安全パルスがオンされてからオフされる間に間に合うように定周期割り込みの起動周期を設定すれば良い。このように構成することにより、プログラム全体の実行周期が正常であるか否かをチェックでき、プログラムの暴走などによる制御不能状態（故障）を検出することができる。
【００３８】
従って、本発明はＣＰＵ部１のプログラム実行の暴走（正常にプログラムを実行できなくなった状態）などを要因とする故障に加えて、性能の低下（クロック周波数の低下によるプログラム実行速度の低下やユーザが要求するプログラム実行速度に対する妥当性）を検出して、被制御機器を安全側に制御する安全制御を実行することが可能な高信頼な安全制御装置を提供することができる。
【００３９】
また、プログラム実行周期をｐ時間とすると、安全パルス幅ｔｂはｐ時間よりも長く構成され、ウィンドウパルス幅ｔａはｐ時間よりも短く構成される。すなわち、本発明はｔａ時間＜ｐ時間＜ｔｂ時間という関係にて、達成される。
【００４０】
また、第１の処理がプログラム１ｃに相当し、第２の処理がプログラム１ｄに相当している。
【符号の説明】
【００４１】
１００ 安全制御装置
１ ＣＰＵ回路
１ａ 第１トリガ出力手段
１ｂ 第２トリガ出力手段
１１ プログラム
２ 安全制御部
２１ ウィンドウパルス出力手段
２２ 安全パルス出力手段
３ 出力部
【技術分野】
【０００１】
本発明は、安全制御を実現する安全制御装置に関する。
【背景技術】
【０００２】
安全性が要求される制御装置には、その内部回路が万一故障したとしても、制御対象が危険な状態になることを回避する安全制御機能が搭載されている。例えば、特許文献１に記載された発明は、コントローラと被制御機器との間にタイマを備えた安全制御装置を接続し、コントローラが時間ｔ以内の間隔で発信を繰り返すパルスを安全制御装置に与え、安全制御装置は受信するパルスを監視して、時間ｔを越えても次のパルスが入力されなかった場合に被制御機器を安全側に制御するように構成されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平９−２４４７０１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、前述のような従来の発明では、コントローラの故障に対しては安全制御を実行させることはできるが、コントローラの性能が顧客の要求を満たしていないような性能面での品質低下に対して安全制御を実行させることができないという問題がある。
【０００５】
本発明はこのような問題を鑑みて考案されたものであり、その課題はコントローラの故障のみならず、性能の低下をも検知し、被制御機器を安全側に停止させることが可能な安全制御装置を提供することにある。
【課題を解決するための手段】
【０００６】
上記のような課題を解決する方法として、本発明は以下のように構成される。
請求項１に係る発明は、プログラムの任意の箇所で第１トリガを出力し、この出力の後に第１の処理を実行して第２トリガを出力し、該第２トリガを出力した後に第２の処理を実行する演算部と、第１トリガを受信し、該受信を起点にオンして所定時間経過後にオフするウィンドウ信号を生成するウィンドウ信号生成部と、ウィンドウ信号および第２トリガを受信し、ウィンドウ信号がオンの間に第２トリガを受信するとオンし、所定時間経過後にオフする安全信号を生成する安全信号生成部と、安全信号を受信し、該安全信号がオンのとき演算部の指令に基づき外部機器を制御し、安全信号がオフのとき外部機器を安全側に制御する出力部と、を備えるように構成される。
【０００７】
請求項２に係る発明は、請求項１に記載された安全制御装置において、第１の処理は外部機器を制御するアプリケーションであり、第２の処理は外部機器の制御以外の処理を実行する管理処理であり、演算部の指令は、アプリケーションによって演算された指令で構成される。
【０００８】
請求項３に係る発明は、請求項１又は請求項２に記載された安全制御装置において、演算部はプログラムをサイクリックに実行し、第１トリガおよび第２トリガは１つのサイクル中にそれぞれ１回実行されるように構成される。
【０００９】
請求項４に係る発明は、請求項１〜請求項３のいずれか１項に記載された安全制御装置において、第２トリガは所定の符号で構成され、安全信号生成部は所定の符号を第２トリガとして受信し、該符号をデコードした出力信号とウィンドウ信号との論理積をとり、この出力を安全信号のオンの起点とするように構成される。
【００１０】
請求項５に係る発明は、請求項３又は請求項４に記載された安全制御装置において、ウィンドウ信号のオン時間をｔａとし、安全信号のオン時間をｔｂとし、プログラムがサイクリックに実行される周期時間をｐとしたとき、ｔａ＜ｐ＜ｔｂとする。
【発明の効果】
【００１１】
本発明によれば、プログラムを実行する際の任意の実行ステップで第１トリガを出力し、この第１トリガの受信を起点にオンしてｔａ時間経過後にオフするウィンドウ信号（パルス）を生成する。また、本発明はこのウィンドウ信号がオンの間（ｔａ時間）に第２トリガを出力するようにプログラムを構成する。さらに、本発明は前述ウィンドウパルスがオンのときに第２トリガを受信するとオンしてｔｂ時間経過後オフする安全信号（パルス）を生成し、この安全信号がオンのときにはプログラムの実行の際に出力される制御指令に基づき外部機器を制御し、安全信号がオフのときには外部機器を安全側に制御するように構成した。
【００１２】
このように構成することにより、本発明は例えば所定部位のプログラムの実行速度が、要求性能に達していないなどの性能に関わる品質の低下の検知と、プログラムの暴走などによる機器の故障の検知を両立することができる。
【００１３】
従って、本発明によって、故障に加えて性能の低下をも検出して安全制御を実行することが可能な高信頼な安全制御装置が提供される。
【図面の簡単な説明】
【００１４】
【図１】本発明の一例を示す安全制御装置のシステム構成図
【図２】図１に示されるＣＰＵ部のプログラム構成と安全制御部の回路図
【図３】図２の動作説明用のタイムチャート
【発明を実施するための形態】
【００１５】
以下、本発明の好適な実施形態について図１〜図３を基に説明する。なお、これらの図面は本発明の一実施形態を説明するための図面であって、これらの図面によって本発明が限定されるものではない。
【００１６】
また、以下の説明において、信号名の前に付した「＊」はその信号が負論理であることを示している。
【実施例】
【００１７】
図１に示すように、本発明の安全制御装置１００は外部機器４に接続されている。安全制御装置１００にはＣＰＵ部１、安全制御部２、出力部３が搭載されている。ＣＰＵ部１を演算部、安全制御部２を安全指令出力手段、出力部３を出力手段ともいう。
【００１８】
また、不図示ではあるがＣＰＵ部１は中央演算部（ＣＰＵ）やプログラムメモリ、そして作業メモリなどが備えられている。ＣＰＵ部１はプログラムメモリに保持されたプログラムを実行することにより外部機器４を制御するための制御指令を生成し、出力部３に与える。ＣＰＵ部１によって生成された制御指令を受けた出力部３は、制御指令に基づき外部機器４を制御する。このような仕組みによって、安全制御装置１００は外部機器４を制御する（通常の制御）。
【００１９】
また、ＣＰＵ部１は自己が正常に動作していること、すなわち健全性を通知するための信号（トリガＡ）を出力する第１トリガ出力手段１ａを備える。また、ＣＰＵ部１はトリガＡが出力された後、所定の時間以内に再び自己の健全性を通知するための信号（トリガＢ）を出力する第２トリガ出力手段１ｂを備えている。そして、ＣＰＵ部１によって出力されたトリガＡおよびトリガＢそれぞれの信号は安全制御部２に与えられている。さらにＣＰＵ部１はリセットを出力して安全制御部２の機能をオンオフすることができる。
【００２０】
続いて、図２と図３を参照しながら、ＣＰＵ部１および安全制御部２の詳細な動きを説明する。
図２に示す安全制御部２のＩＣ１はモノステーブルマルチバイブレータであり、該ＩＣ１に接続されるコンデンサＣ１と抵抗Ｒ１によって出力幅が決定されたウィンドウパルスを出力する（ウィンドウ信号生成部）。ここでは、ウィンドウパルス幅をｔａとする。ＩＣ４はＩＣ１と同様モノステーブルマルチバイブレータであり、コンデンサＣ２と抵抗Ｒ２によって出力幅が決定された安全パルスを出力する（安全信号生成部）。この安全パルス幅をｔｂとする。これらウィンドウパルス生成手段と安全パルス生成手段とを併せてパルス生成手段ともいう。
【００２１】
ＩＣ２はデコーダ（3-to-8 Line Decoder：７４ＶＨＣ１３８など）であり、ＣＰＵ部１から出力された３ビットの符号（トリガＢ）をＡ〜Ｃに入力する。このトリガＢの符号は０から７までのコード化された数値であるが、本実施例ではトリガＢとして”２”のコードが入力されたとき、ＩＣ２のデコード作用が有効になるように安全制御部２を構成している。すなわち、ＩＣ２は、該ＩＣ２のＡ〜Ｃに入力されるトリガＢに対して、コード”２”を有効としデコードする。例えば、ＩＣ２のＡ〜Ｃに入力された符号が「０」であったとき、その出力としては＊Ｙ０が出力され、ＩＣ２のＡ〜Ｃに入力された符号が「１」であったとき、その出力としては＊Ｙ１が出力されるため、これらの出力は出力先がなく、本実施例においては無効のデコードとして扱われる。
【００２２】
このような回路で構成される安全制御部２は、ＣＰＵ部１によって出力されたトリガＡがＩＣ１に入力され、ＣＰＵ部１によって出力されたトリガＢがＩＣ２の入力Ａ〜Ｃに入力される。また、ＩＣ４の出力である安全パルスは、安全信号として出力部３に出力されている。
【００２３】
続いて、安全制御部２の動きについて図３を用いて説明する。
ＣＰＵ部１は、先ず、リセット信号を”Ｌ”から”Ｈ”にして、ＩＣ１およびＩＣ４をリセット状態から解除し、安全制御部２の機能をオンにしている（図３の区間ｐ０）。
【００２４】
続いて、区間ｐ１において、ＣＰＵ部１はパルス状の信号のトリガＡを出力し、ＩＣ１に与えている。これにより、ＩＣ１はｔａ時間”Ｌ”を出力し、ｔａ時間経過後”Ｈ”を出力している。ＣＰＵ部１は、トリガＡを出力した後のｔａ時間の間に、すなわちＩＣ１が”Ｌ”を出力している間に、符号化されたトリガＢ（コード”１”）を出力している。トリガＢ（コード”１”）が与えられたＩＣ２は＊Ｙ１を”Ｌ”出力している（不図示）。ＩＣ３はＩＣ１の＊Ｑ出力とＩＣ２の＊Ｙ２出力とが両方”Ｌ”のときに”Ｈ”を出力するＡＮＤゲートなので、区間ｐ１においてＩＣ３の出力は出力されてない。このようにＩＣ３の出力が出力されないと、ＩＣ４の機能が作動されず、ＩＣ４が出力する安全パルスは”Ｌ”のままである。
【００２５】
このように安全パルスが”Ｌ”の状態のときを安全指令とし、安全指令を受けた出力部３は外部機器４を安全側に制御する。すなわち、出力部３は安全パルスが”Ｌ”のときには、どのような制御指令がＣＰＵ部１から与えられても、その出力を安全側に出力している。
【００２６】
続いて、区間ｐ２において、ＣＰＵ部１は区間ｐ１と同様トリガＡを出力し、ＩＣ１に与えている。これにより、ＩＣ１はｔａ時間”Ｌ”を出力し、ｔａ時間経過後”Ｈ”を出力している。ＣＰＵ部１は、トリガＡを出力した後のｔａ時間の間、すなわちＩＣ１が”Ｌ”を出力している間に、トリガＢ（コード”２”）を出力している。トリガＢ（コード”２”）はＩＣ２によってデコードされ、出力＊Ｙ２が”Ｌ”出力されている。ＩＣ３はＩＣ１の＊Ｑ出力とＩＣ２の＊Ｙ２出力とをＡＮＤし”Ｈ”のパルスを出力している。このパルスを受けてＩＣ４はこの時点を起点にｔｂ時間の”Ｈ”を出力するように作動している。このようにＩＣ４が作動されて、安全パルスが”Ｈ”になると、不図示ではあるが、出力部３はＣＰＵ部１から与えられた制御指令に基づき通常の制御を実行する通常モードとして動作している。
【００２７】
続いて、区間ｐ３において、ＣＰＵ部１の動きは区間ｐ２と同様である。また安全制御部２の動きも区間ｐ２と同様であり、ＩＣ３がパルス状の出力を出力している。このパルスを受けてＩＣ４はリトリガされ、このリトリガ時点を起点にｔｂ時間の”Ｈ”を出力するように作動している。よって、出力部３は通常モードを維持している。
【００２８】
続いて、区間ｐ４において、ＣＰＵ部１はトリガＢのコードを”３”として出力している。この出力を受けたＩＣ２は＊Ｙ３を出力しており（不図示）、＊Ｙ２は出力されていない。従って、ＩＣ３の出力は出力されず、ＩＣ４はリトリガされない。リトリガされないＩＣ４は、時点ｐ３でのリトリガ時点を起点とし、ｔｂ時間経過後に”Ｌ”を出力している。ＩＣ４が”Ｌ”を出力すると、出力部３は外部機器４を前述の如く安全側に制御する。
【００２９】
すなわち、安全制御部２はトリガＡ（第１トリガ）の入力によって生成されるｔａ時間のウィンドウ時間中にトリガＢ（第２トリガ）が入力されることで安全パルスを”Ｈ”出力する。この”Ｈ”出力によって安全制御部２は、ＣＰＵ部１のプログラムの実行が正常であること示し、出力部３の制御出力が有効となるように作用する。一方、前述ウィンドウ時間中（ｔａ時間）にトリガＢ（第２トリガ）が入力されないと、安全制御部２は安全パルスの出力を止めて”Ｌ”出力する。安全制御部２は、安全パルスの”Ｌ”出力によって安全指令とし、出力部３の制御出力が安全側になるように作用する。
【００３０】
続いて、図２を参照しながらＣＰＵ部１の詳細な動きを説明する。ＣＰＵ部１は、第１トリガ出力手段１ａおよび第２トリガ出力手段１ｂが組み込まれたプログラム１１を実行するよう構成されている。このようなトリガを出力するためのプログラムである第１トリガ出力手段１ａと第２トリガ出力手段１ｂとを併せて、単にトリガ生成手段ともいう。また、ＣＰＵ部１は、プログラム１１を実行して外部機器４を制御するための制御指令を生成し出力部３に転送する。この転送された制御指令に基づき出力部３は外部機器４を制御する。
【００３１】
スタート後、ＣＰＵ部１は第１トリガ出力手段１ａを実行し、所定の実行ステップ（プログラム１ｃ）を実行した後に第２トリガ出力手段を実行する。この後、ＣＰＵ部１はプログラム１１の残りのプログラムステップ（プログラム１ｄ）を実行して再び第１トリガ出力手段を実行している。プログラム１１は例えば１０ｍｓ周期でサイクリックに実行されており、第１トリガ出力手段１ａおよび第２トリガ出力手段１ｂはプログラム１１の実行に際し、それぞれ１回実行されている。
【００３２】
なお、プログラム１ｃは所定のデータを基に演算を行って前述制御指令を出力するプログラムであって、外部機器４を制御するためのアプリケーションプログラムである。また、プログラム１ｄは、外部機器４を制御する以外の処理機能であり、安全制御装置１００全体の管理を行う管理プログラムである。
【００３３】
ＣＰＵ部１はプログラム１１を実行する際、第１トリガ出力手段によってパルス状の信号であるトリガＡを出力し、第２トリガ出力手段によってコード化されたトリガＢを出力する。よって、トリガＢはトリガＡが出力された後、プログラム１１の所定のステップ数の実行時間を経て出力されることになる。
【００３４】
すなわち、第１トリガ出力手段および第２トリガ出力手段は、トリガＡが出力されてから前述ｔａ時間以内にトリガＢが出力されるようにプログラム１ｃを挟んで配置されている。例えば、ｔａ時間を１ｍｓとした場合、本発明はトリガＡが出力されてから１ｍｓを超えないようにプログラム１ｃが実行され、プログラム１ｃの終了とともにトリガＢが出力されるように構成されている。このように構成することにより、本発明は所定部位のプログラム実行速度（プログラム１ｃ）が、ウィンドウパルスの有効（オン）期間に間に合っているかチェックでき、ＣＰＵ部１の性能の低下を検出することができる。
【００３５】
なお、トリガＡはＣＰＵ部１に搭載のマイクロプロセッサ（ＣＰＵ）のＩ／Ｏポートをオンしオフすることで出力され、トリガＢはマイクロプロセッサが安全制御部２をデータ出力先としてデータを書き込む形態で出力される。
【００３６】
また、プログラム１１の実行周期は、安全パルスの有効（オン）期間以内に一巡されれば良い。すなわち、トリガＢが出力され、再びトリガＢが出力されるまでの一巡時間は安全パルスがオンされてからオフするまでに間に合うように構成されている。
【００３７】
例えば、プログラム１１が定周期割込みなどで起動されるような定周期プログラムであった場合、安全パルスがオンされてからオフされる間に間に合うように定周期割り込みの起動周期を設定すれば良い。このように構成することにより、プログラム全体の実行周期が正常であるか否かをチェックでき、プログラムの暴走などによる制御不能状態（故障）を検出することができる。
【００３８】
従って、本発明はＣＰＵ部１のプログラム実行の暴走（正常にプログラムを実行できなくなった状態）などを要因とする故障に加えて、性能の低下（クロック周波数の低下によるプログラム実行速度の低下やユーザが要求するプログラム実行速度に対する妥当性）を検出して、被制御機器を安全側に制御する安全制御を実行することが可能な高信頼な安全制御装置を提供することができる。
【００３９】
また、プログラム実行周期をｐ時間とすると、安全パルス幅ｔｂはｐ時間よりも長く構成され、ウィンドウパルス幅ｔａはｐ時間よりも短く構成される。すなわち、本発明はｔａ時間＜ｐ時間＜ｔｂ時間という関係にて、達成される。
【００４０】
また、第１の処理がプログラム１ｃに相当し、第２の処理がプログラム１ｄに相当している。
【符号の説明】
【００４１】
１００ 安全制御装置
１ ＣＰＵ回路
１ａ 第１トリガ出力手段
１ｂ 第２トリガ出力手段
１１ プログラム
２ 安全制御部
２１ ウィンドウパルス出力手段
２２ 安全パルス出力手段
３ 出力部
【特許請求の範囲】
【請求項１】
プログラムの任意の箇所で第１トリガを出力し、この出力の後に第１の処理を実行して第２トリガを出力し、該第２トリガを出力した後に第２の処理を実行する演算部と、
前記第１トリガを受信し、該受信を起点にオンして所定時間経過後にオフするウィンドウ信号を生成するウィンドウ信号生成部と、
前記ウィンドウ信号および前記第２トリガを受信し、前記ウィンドウ信号がオンの間に前記第２トリガを受信するとオンし、所定時間経過後にオフする安全信号を生成する安全信号生成部と、
前記安全信号を受信し、該安全信号がオンのとき前記演算部の制御指令に基づき外部機器を制御し、前記安全信号がオフのとき前記外部機器を安全側に制御する出力部と、を備えることを特徴とする安全制御装置。
【請求項２】
請求項１に記載された安全制御装置において、
前記第１の処理は前記外部機器を制御するアプリケーションであり、
前記第２の処理は前記外部機器の制御以外の処理を実行する管理処理であり、
前記演算部の前記制御指令は、前記アプリケーションによって演算された指令であることを特徴とする安全制御装置。
【請求項３】
請求項１又は請求項２に記載された安全制御装置において、
前記演算部は前記プログラムをサイクリックに実行し、前記第１トリガおよび前記第２トリガは１のサイクル中にそれぞれ１回実行されることを特徴とする安全制御装置。
【請求項４】
請求項１〜請求項３のいずれか１項に記載された安全制御装置において、
前記第２トリガは所定の符号で構成され、
前記安全信号生成部は前記所定の符号を第２トリガとして受信し、該符号をデコードした出力信号と前記ウィンドウ信号との論理積をとり、この出力を前記安全信号のオンの起点とすることを特徴とする安全制御装置。
【請求項５】
請求項３又は請求項４に記載された安全制御装置において、
前記ウィンドウ信号のオン時間をｔａとし、前記安全信号のオン時間をｔｂとし、前記プログラムがサイクリックに実行される周期時間をｐとしたとき、ｔａ＜ｐ＜ｔｂであることを特徴とする安全制御装置。
【請求項１】
プログラムの任意の箇所で第１トリガを出力し、この出力の後に第１の処理を実行して第２トリガを出力し、該第２トリガを出力した後に第２の処理を実行する演算部と、
前記第１トリガを受信し、該受信を起点にオンして所定時間経過後にオフするウィンドウ信号を生成するウィンドウ信号生成部と、
前記ウィンドウ信号および前記第２トリガを受信し、前記ウィンドウ信号がオンの間に前記第２トリガを受信するとオンし、所定時間経過後にオフする安全信号を生成する安全信号生成部と、
前記安全信号を受信し、該安全信号がオンのとき前記演算部の制御指令に基づき外部機器を制御し、前記安全信号がオフのとき前記外部機器を安全側に制御する出力部と、を備えることを特徴とする安全制御装置。
【請求項２】
請求項１に記載された安全制御装置において、
前記第１の処理は前記外部機器を制御するアプリケーションであり、
前記第２の処理は前記外部機器の制御以外の処理を実行する管理処理であり、
前記演算部の前記制御指令は、前記アプリケーションによって演算された指令であることを特徴とする安全制御装置。
【請求項３】
請求項１又は請求項２に記載された安全制御装置において、
前記演算部は前記プログラムをサイクリックに実行し、前記第１トリガおよび前記第２トリガは１のサイクル中にそれぞれ１回実行されることを特徴とする安全制御装置。
【請求項４】
請求項１〜請求項３のいずれか１項に記載された安全制御装置において、
前記第２トリガは所定の符号で構成され、
前記安全信号生成部は前記所定の符号を第２トリガとして受信し、該符号をデコードした出力信号と前記ウィンドウ信号との論理積をとり、この出力を前記安全信号のオンの起点とすることを特徴とする安全制御装置。
【請求項５】
請求項３又は請求項４に記載された安全制御装置において、
前記ウィンドウ信号のオン時間をｔａとし、前記安全信号のオン時間をｔｂとし、前記プログラムがサイクリックに実行される周期時間をｐとしたとき、ｔａ＜ｐ＜ｔｂであることを特徴とする安全制御装置。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２０１２−２４７９０３（Ｐ２０１２−２４７９０３Ａ）
【公開日】平成２４年１２月１３日（２０１２．１２．１３）
【国際特許分類】
【出願番号】特願２０１１−１１７７９３（Ｐ２０１１−１１７７９３）
【出願日】平成２３年５月２６日（２０１１．５．２６）
【出願人】（０００００５２３４）富士電機株式会社 (3,146)
【Ｆターム（参考）】
【公開日】平成２４年１２月１３日（２０１２．１２．１３）
【国際特許分類】
【出願日】平成２３年５月２６日（２０１１．５．２６）
【出願人】（０００００５２３４）富士電機株式会社 (3,146)
【Ｆターム（参考）】
[ Back to top ]