監視装置
【課題】入力仕様を切替えることができる設定スイッチを有し、かつフェイルセーフな設計が維持された監視装置を提供する。
【解決手段】設定スイッチＳＷを設けることにより複数種類のスイッチまたはセンサー類を接続可能な監視装置が実現できる。そして、設定スイッチＳＷに障害が発生した場合であっても、過電流検知または内部信号の安全側への固定の発生により障害の発生を検知できる。さらに、少なくともチャンネルＣＨ２側にフォトカプラ８０を用いているので過電流により破損が起こったとしても内部信号Ｓ２１は安全側に固定されることになる。制御部２２は、内部信号Ｓ１１，Ｓ２１に基づいて動力の導通許可および導通禁止の判断を行なう。
【解決手段】設定スイッチＳＷを設けることにより複数種類のスイッチまたはセンサー類を接続可能な監視装置が実現できる。そして、設定スイッチＳＷに障害が発生した場合であっても、過電流検知または内部信号の安全側への固定の発生により障害の発生を検知できる。さらに、少なくともチャンネルＣＨ２側にフォトカプラ８０を用いているので過電流により破損が起こったとしても内部信号Ｓ２１は安全側に固定されることになる。制御部２２は、内部信号Ｓ１１，Ｓ２１に基づいて動力の導通許可および導通禁止の判断を行なう。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、監視装置に関し、特に動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置に関する。
【背景技術】
【０００２】
工場またはプラント等の設備機械において、人の安全を確保することは重要である。たとえば、板金プレス装置においては、両手操作装置が設置され、人が誤って手などを挟まれないように両手で操作しなければ板金プレス装置が起動しないようにしている。装置によっては、ドアや防護カバー等にスイッチを設けドアや防護カバー等が閉じられていなければ起動しないようにしているものもある。
【０００３】
また、化学プラントにおいては、装置が破損して有害物質が大気中に拡散されないように、異常時にシャットダウン（非常停止）装置が稼動し、プラントを安全に停止できるようにしている。
【０００４】
これらの両手操作装置および非常停止装置は、故障が発生すると、直接的または間接的に人または環境に被害をもたらし得る装置である。両手操作装置および非常停止装置の判断制御部分を「安全制御部」と呼ぶことにする。故障発生時に安全制御部が人または環境に被害をもたらさないようにするためには、リスクアセスメントを実施し、障害が発生した場合でも必要最小限の安全性能を維持できるように安全制御部を設計する必要がある。
【０００５】
特に、高度な安全性が要求される場合には、安全制御部の設計、施工の妥当性を第三者監査機関により認証してもらう必要がある。しかし、第三者監査機関による認証作業は、相当の時間および労力を要し、設備メーカーの負担になっていた。
【０００６】
このような点に着目し、安全制御部を汎用モジュール化し、第三者監査機関により安全性の認証まで受けたセーフティコントローラが製品化されている。
【特許文献１】特開２００５−１１５６９８号公報
【特許文献２】特開２００５−４４０７４号公報
【特許文献３】特表平１１−５０２３０５号公報
【特許文献４】特表２００３−５２６８７９号公報
【特許文献５】特開２００５−３１７７８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
セーフティコントローラは、非常停止装置として用いる場合には、冗長化された二重の接点を有する直接開離型非常停止スイッチ等に接続されて用いられる。
【０００８】
しかし、機械に人が誤って近づいたりするのを光ビームの遮光によって検知するライトカーテンの出力をセーフティコントローラに接続したい場合もある。ライトカーテンは、回路の開閉で入力を与える非常停止スイッチとは異なり、ＰＮＰ型トランジスタの出力を有してこの出力からセーフティコントローラに入力を与えるものがある。従って非常停止装置に用いるセーフティコントローラとライトカーテンに接続するセーフティコントローラとは入力の仕様を変更する必要がある。
【０００９】
またさらに、セーフティコントローラを二重の接点を有しない一般的なスイッチに接続して使用したい場合も有る。
【００１０】
このように、入力仕様が異なる用途に使用する場合、それぞれの用途に専用のセーフティコントローラを準備することも考えられる。しかし、セーフティコントローラに設定スイッチを設けておき、入力仕様に合わせて設定スイッチを切替えて入力仕様を変更するようにしておけば、セーフティコントローラの生産面でも、また予備部品としてストックしておく場合にも便利である。
【００１１】
設定スイッチをセーフティコントローラ等の監視装置に設ける場合、ユーザが間違えて設定してしまう場合や、設定スイッチ自体が故障した場合等も考慮した上で、フェイルセーフな設計を行なうことが重要である。
【００１２】
この発明の目的は、入力仕様を切替えることができる設定スイッチを有し、かつフェイルセーフな動作が維持された監視装置を提供することである。
【課題を解決するための手段】
【００１３】
この発明は、ある局面においては、少なくとも第１および第２の監視結果に応じて動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置であって、対をなす第１、第２の端子を含み、第１の監視結果が入力される第１入力部と、対をなす第３、第４の端子を含み、第２の監視結果が入力される第２入力部と、第１、第２入力部を介して与えられる第１、第２の監視結果に基づき第１、第２の信号を出力する入力回路とを備える。入力回路は、第１、第２の端子間および第３、第４の端子間が接続状態と開放状態とのいずれにあるかで監視結果が入力される第１の動作モードと第２、第４の端子の電位の設定によって監視結果が入力される第２の動作モードとを切替える切替スイッチと、第２の端子の電位に応じて第１の信号を出力するトランジスタと、第４の端子に一方端が接続される第１の抵抗と、第１の抵抗の他方端と第１の電源電位のいずれか一方が切替スイッチの操作に応じて結合される第１のノードと、第１のノードが入力側の第１電極に接続され、切替スイッチの操作に応じて第１の電源電位とは異なる第２の電源電位と第１の抵抗の他方端とのいずれか一方が入力側第２電極に結合されるフォトカプラとを含む。フォトカプラは、第２の信号を出力する。監視装置は、第１、第２の信号に基づいて動力の導通許可および導通禁止の判断を行なう制御部をさらに備える。
【００１４】
好ましくは、第２の電源電位は、接地電位であり、第１の電源電位は、接地電位よりも高い電位である。
【００１５】
好ましくは、制御部は、第１、第２の信号の少なくとも一方が非活性化された場合には動力の導通を禁止させ、第１、第２の信号の両方が活性化された場合には動力の導通を許可し、第１、第２の信号の不一致を検出した場合には動力の導通が禁止された状態を第１、第２の信号が一致した状態に戻っても保持させる、入力状態判定を実行する。
【００１６】
より好ましくは、入力回路は、第２の端子とトランジスタの制御入力との間に接続される第２の抵抗と、第１の診断信号に応じてトランジスタの制御入力を強制的に設定する第１の設定手段と、第２の診断信号に応じて第１のノードの電位を強制的に設定する第２の設定手段とをさらに含む。制御部は、入力状態判定と、第１の診断信号を変化させて第１の信号を監視する第１の診断判定と、第２の診断信号を変化させて第２の信号を監視する第２の診断判定とを繰返して実行する。
【発明の効果】
【００１７】
この発明によれば、設定スイッチの設定変更を行なうことにより入力仕様を切替えることができ、かつ設定スイッチの設定ミス等に対してもフェイルセーフな設計が維持された監視装置が実現できる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。
【００１９】
図１は、この発明の実施の形態によるセーフティコントローラを用いた制御システムの構成を示す図である。
【００２０】
図１を参照して、この制御システムは、センサー／スイッチ類の一例である非常停止スイッチ１２と、セーフティコントローラ２０と、動力源３１を機械３４に接続する経路上に直列に設けられたセーフティリレー３２，３３とを含む。
【００２１】
セーフティコントローラ２０は、端子ＩＮ１Ａ，ＩＮ１Ｂ，ＩＮ２Ａ，ＩＮ２Ｂと、安全入力回路２１と、制御部２２と、安全出力回路２４と、リセット入力回路２３とを含む。セーフティコントローラ２０には、コントローラ用電源１１から２４Ｖおよび０Ｖの直流電源電圧が供給される。安全入力回路２１には、端子ＩＮ１Ａ，ＩＮ１Ｂ，ＩＮ２Ａ，ＩＮ２Ｂが接続されている。
【００２２】
非常停止スイッチ１２は、二重の接点１４，１５と、接点１４，１５を同時に開状態に変化させる大型の押ボタン１６とを含む。非常停止スイッチ１２は、たとえば、冗長化された二重の接点を有する直接開離型非常停止スイッチである。接点１４、１５は、押ボタン１６を押していない通常の状態では、閉状態である。すなわち、接点１４、１５はＮＣ（ノーマルクローズ）接点である。接点１４，１５のいずれか一方が短絡した場合を考慮して二重に接点が設けられている。この場合、短絡していない他方が正常に動作すればセーフティコントローラ２０は動力を遮断する。
【００２３】
接点１４の一方端は配線１４Ａによって端子ＩＮ１Ａに接続されている。接点１４の他方端は配線１４Ｂによって端子ＩＮ１Ｂに接続されている。端子ＩＮ１Ａ、端子ＩＮ１Ｂは一対を成し、チャンネルＣＨ１を監視する入力部としての役割を果たす。
【００２４】
接点１５の一方端は配線１５Ａによって端子ＩＮ２Ａに接続されている。接点１５の他方端は配線１５Ｂによって端子ＩＮ２Ｂに接続されている。端子ＩＮ２Ａ、端子ＩＮ２Ｂは一対を成し、チャンネルＣＨ２を監視する入力部としての役割を果たす。
【００２５】
非常停止スイッチ１２以外にも、センサー／スイッチ類として、インターロックスイッチ、両手操作スイッチ、ライトカーテンおよびエリアセンサーをセーフティコントローラに接続することができる。そして、このようなセンサー／スイッチ類は、センサー信号またはスイッチ信号をセーフティコントローラ２０へ出力する。
【００２６】
安全入力回路２１は、センサー／スイッチ類からセンサー信号またはスイッチ信号を受け、その受けたセンサー信号またはスイッチ信号に基づく内部信号Ｓ０１，Ｓ１１，Ｓ２１を制御部２２へ出力する。
【００２７】
また、安全入力回路２１は、自己の診断が可能なように構成されている。制御部２２は、安全入力回路２１を診断する。すなわち、制御部２２は、安全入力回路２１から受けた内部信号Ｓ１１，Ｓ２１が故障により固定されていないかを診断する。このため制御部２２は、定期的に診断信号Ｓ１２，Ｓ２２を安全入力回路２１に送信して、内部信号Ｓ１１，Ｓ２１が正しく変化することを確認する。内部信号Ｓ１１，Ｓ２１が正常に動作していない場合、制御部２２は、制御対象への出力をオフするように安全出力回路２４を制御する。
【００２８】
また、制御部２２は、安全入力回路２１から受けた内部信号Ｓ０１，Ｓ１１，Ｓ２１に基づいて安全出力回路２４を制御する。たとえば、制御部２２は、安全入力回路２１から装置を非常停止させるためのスイッチ信号を受けると、出力をオフするように安全出力回路２４を制御し、安全入力回路２１から非常停止を解除するためのスイッチ信号を受けると、出力をオンするように安全出力回路２４を制御する。
【００２９】
安全出力回路２４は、制御部２２からの制御に従ってセーフティリレー３２，３３を導通または遮断させる。セーフティリレー３２，３３は、動力源３１と機械３４との間に直列に接続されている。いずれか一方のセーフティリレーが故障しても他方のセーフティリレーが正常動作することで、確実に動力源３１と機械３４とを切離すことができる。
【００３０】
セーフティリレー３２は、ノーマルオープン（ＮＯ）型接点３２Ｕ，３２Ｖ，３２Ｗと、モニタ用のノーマルクローズ（ＮＣ）型接点３２Ｔと、接点を動かすアクチュエータ３２Ａとを含む。セーフティリレー３３は、ＮＯ型接点３３Ｕ，３３Ｖ，３３Ｗと、モニタ用のＮＣ型接点３３Ｔと、接点を動かすアクチュエータ３３Ａとを含む。
【００３１】
ＮＯ型接点３２Ｕ，３２Ｖ，３２Ｗは、動力源３１に接続されている動力ケーブル３６Ｕ，３６Ｖ，３６Ｗと、動力ケーブル３７Ｕ，３７Ｖ，３７Ｗとの間にそれぞれ接続されている。ＮＯ型接点３３Ｕ，３３Ｖ，３３Ｗは、機械３４に接続されている動力ケーブル３８Ｕ，３８Ｖ，３８Ｗと、動力ケーブル３７Ｕ，３７Ｖ，３７Ｗとの間にそれぞれ接続されている。
【００３２】
安全出力回路２４は、制御部２２から導通指令を受けるとアクチュエータ３２Ａ，３３Ａを駆動させてセーフティリレー３２，３３を導通させる。ＮＯ型接点３２Ｕ，３２Ｖ，３２Ｗが閉じると、ＮＣ型接点３２Ｔはこれらに連動して開く。ＮＯ型接点３３Ｕ，３３Ｖ，３３Ｗが閉じると、ＮＣ型接点３３Ｔはこれらに連動して開く。
【００３３】
安全出力回路２４を介してＮＣ型接点３２Ｔ，３３Ｔをモニタすることにより、制御部２２は指令どおりにセーフティリレー３２，３３が動作しているかを判断している。
【００３４】
つまり、安全出力回路２４は、制御対象であるセーフティリレー３２，３３からフィードバック応答を受け、その受けたフィードバック応答を制御部２２に入力可能な信号に変換して出力する。
【００３５】
制御部２２は、安全出力回路２４からのフィードバック応答に基づいて、制御対象の制御が正確に行なわれた否かを判定するとともに制御対象の応答時間を評価する。 図１では、制御対象がセーフティリレー３２，３３である例を示したが、制御対象を構成する負荷として、たとえば、電磁開閉器およびバルブ等を組合せたものであっても良い。
【００３６】
図２は、セーフティコントローラ２０の状態遷移図である。
図２を参照して、電源が投入され、初期化処理が行なわれる。そして、初期化処理が完了すると、安全出力オフ状態へ移行する。
【００３７】
一方、初期化処理を失敗したとき、ロックアウト状態へ移行する。「ロックアウト状態」とは、安全出力、すなわち、安全出力回路２４の出力が全てオフ状態となり、再起動が禁止される状態を言う。
【００３８】
安全出力オフ状態において、セーフティコントローラ２０がセンサー／スイッチ類から非常停止を解除するためのスイッチ信号を受けると、安全出力オン状態へ移行する。また、安全出力オフ状態において、安全出力回路２４が診断され、診断結果が異常であるとき、ロックアウト状態へ移行する。
【００３９】
安全出力オン状態において、セーフティコントローラ２０が非常停止させるためのスイッチ信号を受けると安全出力オフ状態へ移行する。また、安全出力オン状態において、安全出力回路２４が診断され、診断結果が異常であるとき、ロックアウト状態へ移行する。
【００４０】
このように、セーフティコントローラ２０は、電源が投入され、初期化が完了すると、センサー／スイッチ類からの入力状態に応じて各種の状態に遷移する。
【００４１】
図３は、図１におけるセーフティコントローラの第１の使用例を示した図である。
図３を参照して、セーフティコントローラ２０には、使用するセンサー／スイッチ類の違いにより動作モードを切替える設定スイッチＳＷが設けられている。図１で詳しく説明したように、センサー／スイッチ類として、非常停止スイッチ１２を接続する場合には、設定スイッチＳＷを動作モード１側に設定する。非常停止スイッチ１２は、ボタンを押すことにより同時に２つの接点が開く。このような使用法は、欧州規格ＥＮ９５４−１のカテゴリ４に相当する。
【００４２】
非常停止スイッチ１２とセーフティコントローラ２０との間の接続は４本の配線で行なわれる。端子ＩＮ１Ａと第１の接点の一方端が接続され、その第１の接点の他方端と端子ＩＮ１Ｂとが接続される。さらに、端子ＩＮ２Ａと第２の接点の一方端が接続され、その第２の接点の他方端と端子ＩＮ２Ｂとが接続される。
【００４３】
セーフティコントローラ２０は、端子ＩＮ１Ａと端子ＩＮ１Ｂとの間の接続がオープンになったことと、端子ＩＮ２Ａと端子ＩＮ２Ｂとの間の接続がオープンになったことのいずれかを検知したときに機械を動力源から切り離す制御を行なう。これにより、いずれか一方の接点が溶着していた場合でも他方の接点が動作すれば機械の非常停止を行なうことができ、信頼性が要求される用途に使用することができる。
【００４４】
図４は、図１におけるセーフティコントローラの第２の使用例を示した図である。
図４を参照して、センサー／スイッチ類として、ライトカーテンを接続する場合には、設定スイッチＳＷを動作モード２側に設定する。
【００４５】
ライトカーテンは、たとえば、国際規格ＩＥＣ６１４９６−１のＴＹＰＥ４に適合したものが接続される。このような使用法は、欧州規格ＥＮ９５４−１のカテゴリ４に相当する。
【００４６】
ライトカーテンの検知出力は、出力部の故障や伝達経路の配線に生じる障害による誤動作を避けるため、二重に設けられている。ライトカーテンの２つの出力端子は、たとえば、出力素子である２つのＮＰＮトランジスタのエミッタにそれぞれ接続されている。これら２つのＮＰＮトランジスタのコレクタにはライトカーテンの内部で直流電圧２４Ｖが供給されている。
【００４７】
ライトカーテンとセーフティコントローラ２０との間の接続は２本の配線で行なわれる。セーフティコントローラ２０側の端子ＩＮ１Ｂとライトカーテンの第１の出力端子とが接続され、セーフティコントローラ２０側の端子ＩＮ２Ｂとライトカーテンの第２の出力端子とが接続される。セーフティコントローラ２０側の端子ＩＮ１Ａ，ＩＮ２Ａは、未接続のままでセーフティコントローラ２０が使用される。
【００４８】
図５は、図１におけるセーフティコントローラの第３の使用例を示した図である。
図５を参照して、センサー／スイッチ類として、接点が１つしか無いスイッチを接続する場合には、設定スイッチＳＷを動作モード２側に設定する。このような使用法は、図３、図４よりも安全のランクが低いが、欧州規格ＥＮ９５４−１のカテゴリ２に相当する。
【００４９】
そのようなスイッチとセーフティコントローラ２０との間の接続は３本の配線で行なわれる。端子ＩＮ１Ａと接点の一方端が接続され、その接点の他方端と端子ＩＮ１Ｂとが接続される。さらに、その接点の他方端と端子ＩＮ２Ｂとが接続される。そして、端子ＩＮ２Ａは、未接続のままセーフティコントローラ２０が使用される。
【００５０】
図６は、図１に示す安全入力回路２１の詳細を示した回路図である。
図６を参照して、安全入力回路２１は、過電流を検知して内部信号Ｓ０１を出力する過電流検知部２１Ａと、チャンネルＣＨ１からの入力を検知して内部信号Ｓ１１を出力するＣＨ１検知部２１Ｂと、チャンネルＣＨ２からの入力を検知して内部信号Ｓ２１を出力するＣＨ２検知部２１Ｃとを含む。
【００５１】
過電流検知部２１Ａは、一方端が直流２４Ｖに結合され、他方端がノードＮ１に接続される自動復帰型の過電流保護素子５２を含む。過電流保護素子５２としては、たとえば、定格５０ｍＡのポリスイッチを用いることができる。ポリスイッチは、定格を超える電流が流れると発熱等のため抵抗が増大してオフ状態に近くなる素子であり、ポジティブサーミスタとも呼ばれる。電流が減少すると抵抗値も減少し、ポリスイッチは通常の導通状態に復帰する。ノードＮ１は、セーフティコントローラ２０の端子ＩＮ１Ａに接続されている内部ノードである。
【００５２】
過電流検知部２１Ａは、さらに、ノードＮ１とノードＮ３との間に接続される抵抗素子５４と、ノードＮ３と接地ノードとの間に接続される抵抗素子５６と、ベースがノードＮ３に接続されコレクタがノードＮ４に接続されエミッタが接地ノードに接続されるＮＰＮトランジスタ５８と、ノードＮ４を直流５Ｖにプルアップする抵抗素子６０とを含む。ノードＮ４からは内部信号Ｓ０１が出力される。
【００５３】
過電流が流れていないときにはノードＮ１の電位はＨレベルであり、これに応じてＮＰＮトランジスタ５８がオン状態となるので内部信号Ｓ０１はＬレベル（０Ｖ）である。過電流が流れ過電流保護素子５２の抵抗値が増大すると、ノードＮ１の電位はＬレベルに引き下げられ、これに応じてＮＰＮトランジスタ５８がオフ状態となるので内部信号Ｓ０１はＨレベル（５Ｖ）に変化する。
【００５４】
ＣＨ１検知部２１Ｂは、端子ＩＮ１ＢとノードＮ５との間に接続される抵抗素子６２と、ノードＮ５と接地ノードとの間に接続される抵抗素子６４と、ベースがノードＮ５に接続されコレクタがノードＮ６に接続されエミッタが接地ノードに接続されるＮＰＮトランジスタ６６と、ノードＮ６を直流５Ｖにプルアップする抵抗素子６８とを含む。ノードＮ６からは内部信号Ｓ１１が出力される。
【００５５】
端子ＩＮ１Ａは過電流保護素子５２によって通常は２４Ｖに結合されている。接点１４が閉じているときには、端子ＩＮ１Ｂが端子ＩＮ１Ａに接続された結果、端子ＩＮ１Ｂの電位は２４Ｖ（Ｈレベル）である。したがって、これに応じてＮＰＮトランジスタ６６がオン状態となるので内部信号Ｓ１１はＬレベル（０Ｖ）である。接点１４が開いて端子ＩＮ１Ｂが２４Ｖから切り離されると、ノードＮ５の電位は抵抗素子６４によってＬレベルに引き下げられ、これに応じてＮＰＮトランジスタ６６がオフ状態となるので内部信号Ｓ１１はＨレベル（５Ｖ）に変化する。
【００５６】
ＣＨ１検知部２１Ｂは、内部信号Ｓ１１の故障による固定を診断する機能を有する。このために、ＣＨ１検知部２１Ｂは、さらに、ノードＮ８とノードＮ７との間に接続される抵抗素子７２と、ノードＮ７と接地ノードとの間に接続される抵抗素子７４と、ベースがノードＮ７に接続されコレクタがノードＮ５に接続されエミッタが接地ノードに接続されるＮＰＮトランジスタ７０とを含む。ノードＮ８には、制御部２２のＣＰＵ２２Ａから診断信号Ｓ１２が与えられる。
【００５７】
診断信号Ｓ１２は通常はＬレベル（０Ｖ）に設定されている。そのときはＮＰＮトランジスタ７０がオフ状態であり、ノードＮ５の電位は端子ＩＮ１Ｂの電位に応じて変化する。診断実行時には、診断信号Ｓ１２がＨレベル（５Ｖ）に設定される。そのときはＮＰＮトランジスタ７０がオン状態に変化し、ノードＮ５の電位は強制的にＬレベル（０Ｖ）に設定される。その結果内部信号Ｓ１１がＨレベルとなるので、これをＣＰＵ２２Ａが検知する。診断を実行しているのにもかかわらず、内部信号Ｓ１１がＬレベルである場合には、故障が発生していると認識されて、セーフティコントローラ２０はロックアウト状態に移行する。
【００５８】
ＣＨ２検知部２１Ｃは、設定スイッチＳＷを含む。設定スイッチＳＷの切換によってＣＨ２の内部接続が変更される。設定スイッチＳＷは、スイッチＳＷＡとスイッチＳＷＢとを含んでおり、スイッチＳＷＡとスイッチＳＷＢとは連動して切替えられる。スイッチＳＷとしては、スライドスイッチなどを使用することができる。
【００５９】
図７は、設定スイッチＳＷの切換を説明するための図である。
図７を参照して、セーフティコントローラ２０の動作モードをモード１に設定する場合は、設定スイッチＳＷをモード１側に設定する。するとスイッチＳＷＡ、スイッチＳＷＢが共に接点１側に接続される。モード１は、ＣＨ１とＣＨ２との間に電位差を設ける場合に使用される。モード１では、ＣＨ１とＣＨ２との間に電位差を設けると、ＣＨ１とＣＨ２との間に短絡が発生すると過電流が流れ、これを検出することでチャンネル間（系統間）短絡が検出可能である。
【００６０】
セーフティコントローラ２０の動作モードをモード２に設定する場合は、設定スイッチＳＷをモード２側に設定する。するとスイッチＳＷＡ、スイッチＳＷＢが共に接点２側に接続される。モード２は、ＣＨ１とＣＨ２との間に電位差を設けない場合に使用される。
【００６１】
再び図６を参照して、スイッチＳＷＡの接点１側は、ノードＮ１に接続される。スイッチＳＷＡの接点２側およびスイッチＳＷＢの接点１側は、ノードＮ２に接続される。スイッチＳＷＢの接点２側は、接地ノードに接続される。スイッチＳＷＡによって、ノードＮ１，Ｎ２のいずれか一方がノードＮ９に接続される。スイッチＳＷＢによって、ノードＮ２と接地ノードのいずれか一方がノードＮ１０に接続される。
【００６２】
ＣＨ２検知部２１Ｃは、さらに、端子ＩＮ２ＢとノードＮ２との間に接続される抵抗素子７６と、ノードＮ９とノードＮ１０との間に接続される抵抗素子７８と、ノードＮ９，Ｎ１０が入力側に接続されノードＮ１１と接地ノードとが出力側に接続されるフォトカプラ８０と、ノードＮ１１を直流５Ｖにプルアップする抵抗素子８６とを含む。ノードＮ１１からは内部信号Ｓ２１が出力される。
【００６３】
フォトカプラ８０は、アノードがノードＮ９に接続されカソードがノードＮ１０に接続される発光ダイオード８２と、発光ダイオード８２の発光に応じてノードＮ１１と接地ノードとの間を導通させるフォトトランジスタ８４とを含む。
【００６４】
フォトカプラ８０は制御入力側と出力側が電気的に絶縁されているスイッチである。発光ダイオード８２に過電流がながれ発光ダイオード８２が破損すると発光がされなくなるのでフォトトランジスタ８４は絶縁状態となってノードＮ１１はＨレベル（５Ｖ）になる。
【００６５】
動作モードがモード１の場合は、ノードＮ９は過電流保護素子５２およびスイッチＳＷＡによって通常は２４Ｖに結合されており、ノードＮ１０はスイッチＳＷＢによってノードＮ２に結合されている。
【００６６】
接点１５が閉じているときには、端子ＩＮ２Ｂの電位が端子ＩＮ２Ａに接続された結果、ノードＮ９と接地ノードとの間に発光ダイオード８２、抵抗素子７６が直列に接続され抵抗素子７６によって定まる電流が発光ダイオード８２に流れる。その結果発光ダイオード８２が発光し、フォトトランジスタ８４がオン状態（導通状態）となりノードＮ１１の電位は接地電位（０Ｖ）になる。したがって内部信号Ｓ２１はＬレベルである。
【００６７】
接点１５が開いて端子ＩＮ２Ｂが０Ｖから切り離されると、発光ダイオード８２に電流を流す経路が遮断されるので、発光ダイオード８２の発光は停止し、これに応じてフォトトランジスタ８４がオフ状態（非導通状態）となるので内部信号Ｓ２１はＨレベル（５Ｖ）に変化する。
【００６８】
ＣＨ２検知部２１Ｃは、内部信号Ｓ２１の故障による固定を診断する機能を有する。このために、ＣＨ２検知部２１Ｃは、さらに、ノードＮ１２とノードＮ１３との間に接続される抵抗素子８８と、ノードＮ１３と接地ノードとの間に接続される抵抗素子９６と、ノードＮ１３，および接地ノードが入力側に接続されノードＮ９とノードＮ１０とが出力側に接続されるフォトカプラ９０とを含む。
【００６９】
フォトカプラ９０は、アノードがノードＮ１３に接続されカソードが接地ノードに接続される発光ダイオード９２と、発光ダイオード９２の発光に応じてノードＮ９とノードＮ１０との間を導通させるフォトトランジスタ９４とを含む。
【００７０】
診断信号Ｓ２２は通常はＬレベル（０Ｖ）に設定されている。そのときは発光ダイオード９２に電流が流れないので未発光状態であり、フォトトランジスタ９４はオフ状態であり、ノードＮ９とノードＮ１０との電位差に応じて発光ダイオード８２は発光する。診断実行時には、診断信号Ｓ２２がＨレベル（５Ｖ）に設定される。そのときは発光ダイオード９２が発光し、フォトトランジスタ９４によってノードＮ９とノードＮ１０とが導通されてしまうので、発光ダイオード８２は強制的に未発光状態に設定される。その結果内部信号Ｓ２１がＨレベルとなるので、これをＣＰＵ２２Ｂが検知する。診断を実行しているのにもかかわらず、内部信号Ｓ２１がＬレベルである場合には、故障が発生していると認識されて、セーフティコントローラ２０はロックアウト状態に移行する。
【００７１】
図８は、動作モードがモード１に設定された場合の内部信号の動作例を示した動作波形図である。
【００７２】
図６、図８を参照して、ＣＰＵ２２Ａは、通常はＬレベルにある診断信号Ｓ１２を一定時間毎に期間Ｔ４，Ｔ８，Ｔ１２，Ｔ１６，Ｔ２０，Ｔ２４においてＨレベルに活性化する。そのタイミングと位相をずらして、ＣＰＵ２２Ｂは、通常はＬレベルにある診断信号Ｓ２２を一定時間毎に期間Ｔ２，Ｔ６，Ｔ１０，Ｔ１４，Ｔ１８，Ｔ２２においてＨレベルに活性化する。
【００７３】
期間Ｔ１〜Ｔ１０までは、非常停止スイッチ１２が押された状態すなわちオフ状態であり、接点１４，１５は開放状態である。したがって、内部信号Ｓ１１、Ｓ２１は共にＨレベルである。この間は、ＣＰＵ２２Ａ，２２Ｂで内部信号Ｓ１１、Ｓ２１に基づき、スイッチ入力の判定が行なわれ、機械の動作が禁止された結果、動力源と機械との間の電源供給経路が遮断される。
【００７４】
期間Ｔ１１において、非常停止スイッチ１２が押された状態から解除された状態に変化し、接点１４，１５は閉じた状態に変化する。したがって、内部信号Ｓ１１，Ｓ２１はＨレベルからＬレベルに変化し、以降はＣＰＵ２２Ａ，２２Ｂで内部信号Ｓ１１、Ｓ２１に基づき、スイッチ入力の判定が行なわれ、機械の動作が許可されて、動力源と機械との間の電源供給経路が接続される。
【００７５】
図８は、安全入力回路２１に障害が発生していない場合について波形を示したが、例えば、トランジスタや抵抗の焼損等が発生してノードＮ６の電位が固定されてしまう場合が考えられる。このような場合は、例えば期間Ｔ１２において、診断信号Ｓ１２の活性化に応じて内部信号Ｓ１１がＨレベルに変化しなくなる。ＣＰＵ２２Ａは、診断信号Ｓ１２をＨレベルに設定したときに内部信号Ｓ１１がＨレベルに変化すれば信号伝達経路に問題は無いと判断するが、内部信号がＬレベルのままであれば、異常発生と判断してロックアウト状態に状態を遷移させる。
【００７６】
同様に、ノードＮ９の電位が固定されてしまう場合は、例えば期間Ｔ１４において、診断信号Ｓ２２の活性化に応じて内部信号Ｓ２１がＨレベルに変化しなくなる。ＣＰＵ２２Ｂは、診断信号Ｓ２２をＨレベルに設定したときに内部信号Ｓ２１がＨレベルに変化すれば信号伝達経路に問題は無いと判断するが、内部信号がＬレベルのままであれば、異常発生と判断してロックアウト状態に状態を遷移させる。
【００７７】
図９は、制御部２２で実行される処理の流れを示すフローチャートである。このフローチャートの処理は、電源オン後リセット処理等を実行させる所定のメインルーチンから一定時間毎または所定の条件が成立するごとに繰返して呼び出されて実行される。制御部２２のＣＰＵ２２Ａ，２２Ｂが一つの制御装置として、この処理を実行する。なお、この処理は、ソフトウエアで実行されるが、論理回路等の組み合わせによるハードウエアでも実行させることができる。
【００７８】
図９を参照して、処理が開始されると、まずステップＳＴ１において入力状態判定処理が行なわれる。図６では、診断信号Ｓ１２，Ｓ２２をＬレベルに設定した状態で、内部信号Ｓ１１，Ｓ２１を観測することで入力判定処理が実行される。
【００７９】
続いてステップＳＴ２においてチャンネルＣＨ１の診断判定処理が行なわれ、さらにステップＳＴ３においてチャンネルＣＨ２の診断判定処理が行なわれる。
【００８０】
ステップＳＴ３の処理が終了すると、ステップＳＴ４において制御はメインルーチンに移される。
【００８１】
図１０は、図９のステップＳＴ１の入力状態判定処理の詳細を示すフローチャートである。
【００８２】
図６、図１０を参照して、入力判定処理が開始されると、まずステップＳＴ１１において、「チャンネルＣＨ１＝ＯＮかつチャンネルＣＨ２＝ＯＮ」が成立しているか否かが判断される。具体的には、図６において制御部２２は、診断信号Ｓ１２，Ｓ２２をともにＬレベルに設定した状態で、内部信号Ｓ１１，Ｓ２１の状態を観測する。
【００８３】
内部信号Ｓ１１がＬレベルかつ内部信号Ｓ２１がＬレベルであれば、チャンネルＣＨ１＝ＯＮかつチャンネルＣＨ２＝ＯＮが成立している（ステップＳＴ１１においてＹＥＳ）と判断される。この場合は、ステップＳＴ１２に処理が進み、制御部２２は、安全出力回路２４に対して機械の動作を許可（セーフティリレーをオン）する判定を出力する。
【００８４】
一方、内部信号Ｓ１１、内部信号Ｓ２１の少なくとも一方がＨレベルであれば、「チャンネルＣＨ１＝ＯＮかつチャンネルＣＨ２＝ＯＮ」が成立しない（ステップＳＴ１１においてＮＯ）と判断される。この場合は、ステップＳＴ１３に処理が進み、制御部２２は、チャンネルＣＨ１の状態とチャンネルＣＨ２の状態が一致しない状態が所定時間（たとえば５００ｍｓ）以下であるか否かを判断する。
【００８５】
具体的には、ステップＳＴ１３において、内部信号Ｓ１１、内部信号Ｓ２１の一方がＨレベルで他方がＬレベルの状態が所定時間（たとえば５００ｍｓ）以下であれば処理はステップＳＴ１５に進む。この場合は、非常スイッチが押されチャンネルＣＨ１，ＣＨ２が両方とも開状態になったとして、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。
【００８６】
一方、ステップＳＴ１３において、内部信号Ｓ１１、内部信号Ｓ２１の一方がＨレベルで他方がＬレベルの状態が所定時間（たとえば５００ｍｓ）を超える場合には、配線１４Ａ，１４Ｂ，１５Ａ，１５Ｂのいずれかが断線した等の故障が考えられる。したがって、処理はステップＳＴ１４に進む。この場合は、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。そして、この動作禁止状態を保持するロックアウト状態に移行する。
【００８７】
ステップＳＴ１２またはステップＳＴ１５の処理が終了すると、ステップＳＴ１６において制御は図９のステップＳＴ２に移される。
【００８８】
図１１は、図９のステップＳＴ２で実行されるＣＨ１診断判定処理の詳細を示すフローチャートである。
【００８９】
図６、図１１を参照して、ＣＨ１診断判定処理が開始されると、ステップＳＴ２１において、制御部２２は、チャンネルＣＨ１の診断信号Ｓ１２をＨレベルに設定する。すると、トランジスタ７０がオン状態になり、ノードＮ５のレベルがＬレベルに設定されるはずである。するとトランジスタ６６がオフ状態になるので、ノードＮ６は抵抗素子６８によって５Ｖにプルアップされ、内部信号Ｓ１１はＨレベルに設定されるはずである。
【００９０】
続いて、ステップＳＴ２２において、チャンネルＣＨ１の入力状態を示す内部信号Ｓ１１がＨレベルになっているか否かが判断される。内部信号Ｓ１１がＨレベルであれば（ステップＳＴ２２でＹＥＳ）、チャンネルＣＨ１の入力信号が伝達される経路は正常に動作していると判定され、ステップＳＴ２４に処理が進み、チャンネルＣＨ１の診断信号Ｓ１２がふたたびＬレベルに戻されて、ステップＳＴ２５において制御は図９のフローチャートに移される。
【００９１】
一方で、ステップＳＴ２２において、診断信号Ｓ１２がＨレベルに設定されているにも拘らず内部信号Ｓ１１がＨレベルでない場合には、安全入力回路２１に異常が発生していると判断され、ステップＳＴ２３に処理が進む。この場合、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。そして、この動作禁止状態を保持するロックアウト状態に移行する。
【００９２】
図１２は、図９のステップＳＴ３で実行されるＣＨ２診断判定処理の詳細を示すフローチャートである。
【００９３】
図６、図１２を参照して、ＣＨ２診断判定処理が開始されると、ステップＳＴ３１において、チャンネルＣＨ２の診断信号Ｓ２２をＨレベルに設定する。すると、フォトカプラ９０がオン状態になり、ノードＮ９とノードＮ１０が接続されるはずである。そうすると、発光ダイオード８２に電流が流れないので、フォトトランジスタ８４はオフ状態になり、ノードＮ１１は抵抗素子８６によって５Ｖにプルアップされ、内部信号Ｓ２１はＨレベルに設定されるはずである。
【００９４】
続いて、ステップＳＴ３２において、チャンネルＣＨ２の入力状態を示す内部信号Ｓ２１がＨレベルになっているか否かが判断される。内部信号Ｓ２１がＨレベルであれば（ステップＳＴ３２でＹＥＳ）、チャンネルＣＨ２の入力信号が伝達される経路は正常に動作していると判定され、ステップＳＴ３４に処理が進み、チャンネルＣＨ２の診断信号Ｓ２２がふたたびＬレベルに戻されて、ステップＳＴ３５において制御は図９のフローチャートに移される。
【００９５】
一方で、ステップＳＴ３２において、診断信号Ｓ２２がＨレベルに設定されているにも拘らず内部信号Ｓ２１がＨレベルでない場合には、安全入力回路２１に異常が発生していると判断され、ステップＳＴ３３に処理が進む。この場合、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。そして、この動作禁止状態を保持するロックアウト状態に移行する。
【００９６】
以上、セーフティコントローラ２０の安全入力回路２１に関して、基本動作と自己診断動作を中心に説明をしてきた。以下は、セーフティコントローラ２０の入力端子に接続されている配線に障害が発生した場合の検知または出力のフェイルセーフ制御について詳細に説明を行なう。
【００９７】
図１３は、非常停止スイッチを接続する配線に障害が生じる場合を説明するための図である。図１３では設定スイッチＳＷはモード１に設定されている。
【００９８】
図１４は、図１３に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【００９９】
図１３、図１４を参照して、障害番号Ｆ１は、チャンネルＣＨ１において配線１４Ａ，１４Ｂ間に短絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａと端子ＩＮ１Ｂとが常時接続されてしまう。
【０１００】
障害番号Ｆ１の障害発生時に、スイッチ１２が操作されていない場合（通常時）には、内部信号Ｓ０１，Ｓ１１，Ｓ２１はすべてＬレベルになる。これは、障害未発生時の通常時と同じであるので、障害が検知不可であるが、非常停止ボタンが押されていない場合に作動許可判定をすることは障害未発生時の判定と同じであるのでフェイルセーフな判定である。
【０１０１】
障害番号Ｆ１の障害発生時にスイッチ１２を操作した場合、接点１４，１５は開放状態になる。このとき、障害のため本来Ｈレベルに変化すべきである内部信号Ｓ１１は、Ｌレベルになっている。しかし、チャンネルＣＨ２については正常動作するので、内部信号Ｓ２１はＨレベルに変化する。制御部２２は、内部信号Ｓ２１がＨレベルに変化したので作動判定を「禁止」と判定する。また、制御部２２は、本来一致するはずの内部信号Ｓ１１と内部信号Ｓ２１とが一致しないので、障害が発生したと判断する。制御部２２は、障害が発生したので作動判定を「禁止」と判定した上で、セーフティコントローラ２０をロックアウト状態に遷移させる。
【０１０２】
障害番号Ｆ２は、チャンネルＣＨ１側の配線１４ＡとチャンネルＣＨ２側の配線１５Ｂ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１０３】
障害番号Ｆ２の障害発生時に、スイッチ１２が操作されていない場合（通常時）には、内部信号Ｓ０１，Ｓ１１，Ｓ２１はすべてＨレベルになる。これは、ノードＮ１が端子ＩＮ１Ａ、配線１４Ａ、短絡経路（Ｆ２）、配線１５Ｂ、接点１５、配線１５Ａ、端子ＩＮ２Ａを経由して接地ノードに接続されてしまうので、過電流保護素子５２に定格を超える電流が流れて過電流保護素子５２の抵抗が増大し、ノードＮ１の電位が接地電位（０Ｖ）付近になるからである。すると過電流検知を示す内部信号Ｓ０１がＨレベルに変化するため、制御部２２は障害の発生を検知することができる。障害発生時には、制御部２２は、作動判定を「禁止」と判定した上で、セーフティコントローラ２０をロックアウト状態に遷移させる。なお、このとき、ノードＮ１がＬレベルであれば内部信号Ｓ１１，Ｓ２１はＨレベルになっている。
【０１０４】
障害番号Ｆ２の障害発生時にスイッチ１２を操作した場合、接点１４，１５は開放状態になる。このとき障害のためノードＮ１とノードＮ１０が抵抗７６を介して接続された状態となっている。すると、発光ダイオード８２には電流が流れない状態になるので内部信号Ｓ２１はＨレベルになる。また、接点１４が開いているので、ノードＮ５は抵抗素子６４によって接地電位に引き下げられ、トランジスタ６６はオフ状態となり内部信号Ｓ１１もＨレベルになる。過電流が発生せず、内部信号Ｓ１１，Ｓ２１の不一致も発生しないので、制御部２２は障害の発生を検知することはできない。しかし、障害未発生時と作動判定結果は同じでありフェイルセーフの状態が維持できている。
【０１０５】
以降は、各障害番号と障害発生箇所についてのみ簡単に説明する。
障害番号Ｆ３は、チャンネルＣＨ１側の配線１４ＡとチャンネルＣＨ２側の配線１５Ａ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａと端子ＩＮ２Ａとが常時接続されてしまう。
【０１０６】
障害番号Ｆ４は、チャンネルＣＨ１側の配線１４ＢとチャンネルＣＨ２側の配線１５Ｂ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１０７】
障害番号Ｆ５は、チャンネルＣＨ１側の配線１４ＢとチャンネルＣＨ２側の配線１５Ａ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂと端子ＩＮ２Ａとが常時接続されてしまう。
【０１０８】
障害番号Ｆ６は、チャンネルＣＨ２側の配線１５Ａと配線１５Ｂ間に短絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ａと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１０９】
障害番号Ｆ７は、チャンネルＣＨ１側の配線１４Ａに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａが接地（０Ｖ）に常時結合されてしまう。
【０１１０】
障害番号Ｆ８は、チャンネルＣＨ１側の配線１４Ｂに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１１１】
障害番号Ｆ９は、チャンネルＣＨ２側の配線１５Ｂに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１１２】
障害番号Ｆ１０は、チャンネルＣＨ２側の配線１５Ａに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ａが接地（０Ｖ）に常時結合されてしまう。
【０１１３】
障害番号Ｆ３〜Ｆ１０の障害発生時も同様に、制御部２２は、内部信号Ｓ１１と内部信号Ｓ２１が不一致であるとき、または過電流のため内部信号Ｓ０１がＨレベルに変化したときには障害が発生したとしてセーフティコントローラ２０をロックアウト状態に遷移させる。また、図１４の備考欄に示すように、障害が検知できない場合であっても、作動判定結果が障害未発生時と同じになるのでフェイルセーフの状態が維持できている。
【０１１４】
図１５は、ライトカーテンを接続する配線に障害が生じる場合を説明するための図である。図１５では設定スイッチＳＷはモード２に設定され、端子ＩＮ１Ａ，ＩＮ２Ａは未接続状態で使用されている。
【０１１５】
図１６は、図１５に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【０１１６】
障害番号Ｆ１１は、チャンネルＣＨ１側の配線とチャンネルＣＨ２側の配線間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１１７】
このような障害は、動作モードがモード２に設定されたセーフティコントローラ２０では検知することができない。しかし、ライトカーテンに、たとえば、国際規格ＩＥＣ６１４９６−１のＴＹＰＥ４に適合したものを使用することにより、この障害はＱ１，Ｑ２がともにオン状態であるとき（通常時）にライトカーテン側で検知される。そして、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオフ状態にされるため、セーフティコントローラ２０側でも最終的には作動判定は「禁止」となる。このような使用法は、欧州規格ＥＮ９５４−１のカテゴリ４に相当するものである。
【０１１８】
なお、障害番号Ｆ１１においてＱ１，Ｑ２がともにオフ状態であるとき（非常停止時）には、ライトカーテンでは検知しない場合もあるが、障害未発生時と同じ判定となり、フェイルセーフな状態である。
【０１１９】
障害番号Ｆ１２は、チャンネルＣＨ１側の配線に地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１２０】
障害番号Ｆ１２の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオン状態である通常時では、ライトカーテン側でも診断が行なわれており、この障害は検知され、トランジスタＱ１，Ｑ２はオフ状態に制御される。なお、Ｑ１，Ｑ２がオフ状態とならなくても、内部信号Ｓ２１はＬレベルで、かつチャンネルＣＨ１側の地絡のため内部信号Ｓ１１がＨレベルに固定される。したがって、内部信号Ｓ１１と内部信号Ｓ２１とが不一致になるので、この状態が所定時間（５００ｍｓ）続く場合には、制御部２２は障害発生を検知してロックアウト状態にセーフティコントローラ２０を遷移させる。
【０１２１】
障害番号Ｆ１２の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオフ状態である非常停止時には、この障害は検知することができないが、内部信号Ｓ１１，Ｓ２１がＨレベルであるので制御部２２の判定結果も「禁止」となり、障害未発生時と同じであるからフェイルセーフが維持されている。
【０１２２】
障害番号Ｆ１３は、チャンネルＣＨ２側の配線に地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１２３】
障害番号Ｆ１３の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオン状態である通常時では、ライトカーテン側でも診断が行なわれており、この障害は検知され、トランジスタＱ１，Ｑ２はオフ状態に制御される。なお、Ｑ１，Ｑ２がオフ状態とならなくても、内部信号Ｓ１１はＬレベルで、かつチャンネルＣＨ２側の地絡のため内部信号Ｓ２１がＨレベルに固定される。したがって、内部信号Ｓ１１と内部信号Ｓ２１とが不一致になるので、この状態が所定時間（５００ｍｓ）続く場合には、制御部２２は障害発生を検知してロックアウト状態にセーフティコントローラ２０を遷移させる。
【０１２４】
障害番号Ｆ１３の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオフ状態である非常停止時には、この障害は検知することができないが、内部信号Ｓ１１，Ｓ２１がＨレベルであるので制御部２２の判定結果も「禁止」となり、障害未発生時と同じであるからフェイルセーフが維持されている。
【０１２５】
以上は、セーフティコントローラ２０を外部のセンサー／スイッチ類に接続する経路における障害発生について説明してきたが、セーフティコントローラ２０に設定スイッチＳＷを設ける場合には、設定スイッチＳＷの設定ミスや故障についても考慮しておく必要がある。
【０１２６】
図１７は、設定スイッチＳＷに障害が発生した場合の内部信号の変化と制御部の判定内容を示した図である。
【０１２７】
図１７において、ＳＷＡ−１の欄がＯＮである状態とは、図６のスイッチＳＷＡの接点１側がノードＮ９と接続される場合を示し、ＳＷＡ−１の欄がＯＦＦである状態とは、図６のスイッチＳＷＡの接点１側がノードＮ９と接続されない場合を示す。ＳＷＡ−２の欄がＯＮである状態とは、図６のスイッチＳＷＡの接点２側がノードＮ９と接続される場合を示し、ＳＷＡ−２の欄がＯＦＦである状態とは、図６のスイッチＳＷＡの接点２側がノードＮ９と接続されない場合を示す。
【０１２８】
また、ＳＷＢ−１の欄がＯＮである状態とは、図６のスイッチＳＷＢの接点１側がノードＮ１０と接続される場合を示し、ＳＷＢ−１の欄がＯＦＦである状態とは、図６のスイッチＳＷＢの接点１側がノードＮ１０と接続されない場合を示す。ＳＷＢ−２の欄がＯＮである状態とは、図６のスイッチＳＷＢの接点２側がノードＮ１０と接続される場合を示し、ＳＷＢ−２の欄がＯＦＦである状態とは、図６のスイッチＳＷＢの接点２側がノードＮ１０と接続されない場合を示す。
【０１２９】
スイッチＳＷが正常な状態では、ＳＷＡ−１、ＳＷＡ−２の欄のうちのいずれか１方のみがＯＮとなっており、ＳＷＢについてもＳＷＡに対応する側がＯＮとなっているはずである。しかし、導電性または絶縁性の異物の進入、スイッチの物理的破損などにより、図１７に示す障害番号Ｆ２１〜Ｆ３２の障害が発生する可能性が考えられる。
【０１３０】
障害番号Ｆ２１に示す障害では、スイッチＳＷＡにおいて接点１側とノードＮ９が接続され、スイッチＳＷＢにおいて接点２とノードＮ１０が接続される。すると、２４Ｖに接続されている過電流保護素子５２からスイッチＳＷＡの接点１、ノードＮ９、発光ダイオード８２、ノードＮ１０、スイッチＳＷＢの接点２を経由して接地ノードに電流が流れる。抵抗素子７６による電流制限が無い状態で発光ダイオード８２に電源電圧が印加されるので、過電流により過電流保護素子５２の抵抗が増大するか、または発光ダイオード８２が破壊される。発光ダイオード８２は、破壊されると端子間がショート状態またはオープン状態となり発光しなくなる。
【０１３１】
過電流保護素子５２の抵抗が増大した場合、内部信号Ｓ０１がＨレベルに変化して障害発生が検知される。また、発光ダイオード８２がオープン状態で破壊された場合には、内部信号Ｓ０１がＬレベルのままになるが、発光しないのでフォトトランジスタ８４がオン状態にならなくなり内部信号Ｓ２１はＨレベルに固定されてしまう。内部信号Ｓ２１がＨレベルに固定されると、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３２】
障害番号Ｆ２２に示す障害では、スイッチＳＷＡにおいて接点２側とノードＮ９が接続され、スイッチＳＷＢにおいて接点１とノードＮ１０が接続される。すると、ノードＮ９とノードＮ１０とが接続されてしまうので、発光ダイオード８２のアノードとカソードとの間に電圧が印加されなくなり発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定され、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３３】
障害番号Ｆ２３に示す障害では、スイッチＳＷＡにおいて接点１側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０がいずれの接点にも接続されない状態になっている。すると、ノードＮ１０と接地ノードとの間が接続されないので、発光ダイオード８２に電流を流す回路が形成されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３４】
障害番号Ｆ２４〜２６に示す障害も、障害番号Ｆ２３に示す障害と同様スイッチＳＷＡ、ＳＷＢのいずれか一方しか接続されないので発光ダイオード８２に電流を流す経路が形成されない。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３５】
障害番号Ｆ２７に示す障害は、スイッチＳＷＡ、ＳＷＢの両方において接続が行なわれないので発光ダイオード８２に電流を流す経路が形成されない。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３６】
障害番号Ｆ２８に示す障害は、スイッチＳＷＡにおいて接点１側および接点２側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０が接点１側に接続された状態になっている。すると、ノードＮ９とノードＮ１０との間が短絡し、発光ダイオード８２に電圧が印加されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３７】
障害番号Ｆ２９、Ｆ３０に示す障害では、スイッチＳＷＡにおいて接点１側とノードＮ９が接続され、スイッチＳＷＢにおいて接点２とノードＮ１０が接続される。すると、２４Ｖに接続されている過電流保護素子５２からスイッチＳＷＡの接点１、ノードＮ９、発光ダイオード８２、ノードＮ１０、スイッチＳＷＢの接点２を経由して接地ノードに電流が流れる。抵抗素子７６による電流制限が無い状態で発光ダイオード８２に電源電圧が印加されるので、過電流により過電流保護素子５２の抵抗が増大するか、または発光ダイオード８２が破壊される。これは、障害番号Ｆ２１の場合と同様、内部信号Ｓ０１がＨレベルとなる過電流または内部信号Ｓ２１がＨレベルに固定されるので、フェイルセーフの状態が維持できている。
【０１３８】
障害番号Ｆ３１に示す障害は、スイッチＳＷＡにおいて接点２側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０が接点１側および接点２側に接続された状態になっている。すると、ノードＮ９とノードＮ１０との間が短絡し、発光ダイオード８２に電圧が印加されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３９】
障害番号Ｆ３２に示す障害は、スイッチＳＷＡにおいて接点１および接点２側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０が接点１側および接点２側に接続された状態になっている。過電流保護素子５２からスイッチＳＷＡ、ノードＮ２、スイッチＳＷＢを経由して接地ノードに接続される経路ができてしまうので、過電流が発生し内部信号Ｓ０１がＨレベルに変化するので異常が検知できる。また、ノードＮ９とノードＮ１０との間が短絡し、発光ダイオード８２に電圧が印加されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１４０】
なお、障害番号Ｆ２２〜Ｆ２８，Ｆ３１の障害は、いずれもＣＨ１を通常状態に設定しているとき（内部信号Ｓ１１がＬレベルであるとき）には、内部信号Ｓ１１と内部信号Ｓ２１の不一致により障害発生が検知され、セーフティコントローラはロックアウト状態に移行する。
【０１４１】
最後に、再び図６を参照して本実施の形態についての発明のある局面について総括的に説明する。
【０１４２】
この発明は、ある局面においては、少なくとも第１および第２の監視結果に応じて動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置であって、対をなす第１、第２の端子（ＩＮ１Ａ，ＩＮ１Ｂ）を含み、第１の監視結果が入力される第１入力部と、対をなす第３、第４の端子（ＩＮ２Ａ，ＩＮ２Ｂ）を含み、第２の監視結果が入力される第２入力部と、第１、第２入力部を介して与えられる第１、第２の監視結果に基づき第１、第２の信号（Ｓ１１，Ｓ２１）を出力する入力回路（２１）とを備える。入力回路（２１）は、第１、第２の端子間および第３、第４の端子間が接続状態と開放状態とのいずれにあるかで監視結果が入力される第１の動作モードと第２、第４の端子の電位の設定によって監視結果が入力される第２の動作モードとを切替える切替スイッチ（ＳＷ）と、第２の端子（ＩＮ１Ｂ）の電位に応じて第１の信号を出力するトランジスタ（６６）と、第４の端子（ＩＮ２Ｂ）に一方端が接続される第１の抵抗（７６）と、第１の抵抗の他方端と第１の電源電位のいずれか一方が切替スイッチの操作に応じて結合される第１のノード（Ｎ９）と、第１のノードが入力側の第１電極に接続され、切替スイッチの操作に応じて第１の電源電位とは異なる第２の電源電位と第１の抵抗の他方端とのいずれか一方が入力側第２電極に結合されるフォトカプラ（８０）とを含む。フォトカプラは、第２の信号を出力する。監視装置は、第１、第２の信号に基づいて動力の導通許可および導通禁止の判断を行なう制御部（２２）をさらに備える。
【０１４３】
好ましくは、第２の電源電位は、接地電位であり、第１の電源電位は、接地電位よりも高い電位である。
【０１４４】
好ましくは、制御部は、第１、第２の信号の少なくとも一方が非活性化された場合には動力の導通を禁止させ、第１、第２の信号の両方が活性化された場合には動力の導通を許可し、第１、第２の信号の不一致を検出した場合には動力の導通が禁止された状態を第１，第２の信号が一致した状態に戻っても保持させる、入力状態判定を実行する。
【０１４５】
より好ましくは、入力回路は、第２の端子とトランジスタの制御入力との間に接続される第２の抵抗（６２）と、第１の診断信号に応じてトランジスタの制御入力を強制的に設定する第１の設定手段（７０）と、第２の診断信号に応じて第１のノードの電位を強制的に設定する第２の設定手段（９０）とをさらに含む。制御部は、入力状態判定と、第１の診断信号を変化させて第１の信号を監視する第１の診断判定と、第２の診断信号を変化させて第２の信号を監視する第２の診断判定とを繰返して実行する。
【０１４６】
以上、説明してきたように、本実施の形態では、設定スイッチＳＷを設けることにより複数種類のスイッチまたはセンサー類を接続可能な監視装置が実現できる。そして、設定スイッチＳＷに障害が発生した場合であっても、過電流検知または内部信号の安全側への固定の発生により障害の発生を検知できる。
【０１４７】
さらに、少なくともチャンネルＣＨ２側にフォトカプラ８０を用いているので過電流により破損が起こったとしても内部信号Ｓ２１は安全側に固定されることになる。なお、チャンネルＣＨ１側のトランジスタ５８，６６，７０の部分もフォトカプラを用いても良い。
【０１４８】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【図面の簡単な説明】
【０１４９】
【図１】この発明の実施の形態によるセーフティコントローラを用いた制御システムの構成を示す図である。
【図２】セーフティコントローラ２０の状態遷移図である。
【図３】図１におけるセーフティコントローラの第１の使用例を示した図である。
【図４】図１におけるセーフティコントローラの第２の使用例を示した図である。
【図５】図１におけるセーフティコントローラの第３の使用例を示した図である。
【図６】図１に示す安全入力回路２１の詳細を示した回路図である。
【図７】設定スイッチＳＷの切換を説明するための図である。
【図８】動作モードがモード１に設定された場合の内部信号の動作例を示した動作波形図である。
【図９】制御部２２で実行される処理の流れを示すフローチャートである。
【図１０】図９のステップＳＴ１の入力状態判定処理の詳細を示すフローチャートである。
【図１１】図９のステップＳＴ２で実行されるＣＨ１診断判定処理の詳細を示すフローチャートである。
【図１２】図９のステップＳＴ３で実行されるＣＨ２診断判定処理の詳細を示すフローチャートである。
【図１３】非常停止スイッチを接続する配線に障害が生じる場合を説明するための図である。
【図１４】図１３に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【図１５】ライトカーテンを接続する配線に障害が生じる場合を説明するための図である。
【図１６】図１５に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【図１７】設定スイッチＳＷに障害が発生した場合の内部信号の変化と制御部の判定内容を示した図である。
【符号の説明】
【０１５０】
１１ コントローラ用電源、１２ 非常停止スイッチ、１４，１５ 接点、１４Ａ，１４Ｂ，１５Ａ，１５Ｂ 配線、１６ 押ボタン、２０ セーフティコントローラ、２１ 安全入力回路、２１Ａ 過電流検知部、２１Ｂ ＣＨ１検知部、２１Ｃ ＣＨ２検知部、２２ 制御部、２３ リセット入力回路、２４ 安全出力回路、３１ 動力源、３２Ａ，３３Ａ アクチュエータ、３２，３３ セーフティリレー、３２Ｕ，３２Ｖ，３２Ｗ，３３Ｕ，３３Ｖ，３３Ｗ ＮＯ型接点、３２Ｔ，３３Ｔ ＮＣ型接点、３４ 機械、３６Ｕ，３６Ｖ，３６Ｗ，３７Ｕ，３７Ｖ，３７Ｗ，３８Ｕ，３８Ｖ，３８Ｗ 動力ケーブル、５２ 過電流保護素子、５４，５６，６０，６２，６４，６８，７２，７４，７６，７８，８６，８８，９６ 抵抗素子、５８，６６，７０ トランジスタ、８０，９０ フォトカプラ、８２，９２ 発光ダイオード、８４，９４ フォトトランジスタ、ＣＨ１，ＣＨ２ チャンネル、ＩＮ１Ａ，ＩＮ１Ｂ，ＩＮ２Ａ，ＩＮ２Ｂ 端子、Ｑ１，Ｑ２ トランジスタ、ＳＷ 設定スイッチ、ＳＷＡ，ＳＷＢ スイッチ。
【技術分野】
【０００１】
この発明は、監視装置に関し、特に動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置に関する。
【背景技術】
【０００２】
工場またはプラント等の設備機械において、人の安全を確保することは重要である。たとえば、板金プレス装置においては、両手操作装置が設置され、人が誤って手などを挟まれないように両手で操作しなければ板金プレス装置が起動しないようにしている。装置によっては、ドアや防護カバー等にスイッチを設けドアや防護カバー等が閉じられていなければ起動しないようにしているものもある。
【０００３】
また、化学プラントにおいては、装置が破損して有害物質が大気中に拡散されないように、異常時にシャットダウン（非常停止）装置が稼動し、プラントを安全に停止できるようにしている。
【０００４】
これらの両手操作装置および非常停止装置は、故障が発生すると、直接的または間接的に人または環境に被害をもたらし得る装置である。両手操作装置および非常停止装置の判断制御部分を「安全制御部」と呼ぶことにする。故障発生時に安全制御部が人または環境に被害をもたらさないようにするためには、リスクアセスメントを実施し、障害が発生した場合でも必要最小限の安全性能を維持できるように安全制御部を設計する必要がある。
【０００５】
特に、高度な安全性が要求される場合には、安全制御部の設計、施工の妥当性を第三者監査機関により認証してもらう必要がある。しかし、第三者監査機関による認証作業は、相当の時間および労力を要し、設備メーカーの負担になっていた。
【０００６】
このような点に着目し、安全制御部を汎用モジュール化し、第三者監査機関により安全性の認証まで受けたセーフティコントローラが製品化されている。
【特許文献１】特開２００５−１１５６９８号公報
【特許文献２】特開２００５−４４０７４号公報
【特許文献３】特表平１１−５０２３０５号公報
【特許文献４】特表２００３−５２６８７９号公報
【特許文献５】特開２００５−３１７７８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
セーフティコントローラは、非常停止装置として用いる場合には、冗長化された二重の接点を有する直接開離型非常停止スイッチ等に接続されて用いられる。
【０００８】
しかし、機械に人が誤って近づいたりするのを光ビームの遮光によって検知するライトカーテンの出力をセーフティコントローラに接続したい場合もある。ライトカーテンは、回路の開閉で入力を与える非常停止スイッチとは異なり、ＰＮＰ型トランジスタの出力を有してこの出力からセーフティコントローラに入力を与えるものがある。従って非常停止装置に用いるセーフティコントローラとライトカーテンに接続するセーフティコントローラとは入力の仕様を変更する必要がある。
【０００９】
またさらに、セーフティコントローラを二重の接点を有しない一般的なスイッチに接続して使用したい場合も有る。
【００１０】
このように、入力仕様が異なる用途に使用する場合、それぞれの用途に専用のセーフティコントローラを準備することも考えられる。しかし、セーフティコントローラに設定スイッチを設けておき、入力仕様に合わせて設定スイッチを切替えて入力仕様を変更するようにしておけば、セーフティコントローラの生産面でも、また予備部品としてストックしておく場合にも便利である。
【００１１】
設定スイッチをセーフティコントローラ等の監視装置に設ける場合、ユーザが間違えて設定してしまう場合や、設定スイッチ自体が故障した場合等も考慮した上で、フェイルセーフな設計を行なうことが重要である。
【００１２】
この発明の目的は、入力仕様を切替えることができる設定スイッチを有し、かつフェイルセーフな動作が維持された監視装置を提供することである。
【課題を解決するための手段】
【００１３】
この発明は、ある局面においては、少なくとも第１および第２の監視結果に応じて動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置であって、対をなす第１、第２の端子を含み、第１の監視結果が入力される第１入力部と、対をなす第３、第４の端子を含み、第２の監視結果が入力される第２入力部と、第１、第２入力部を介して与えられる第１、第２の監視結果に基づき第１、第２の信号を出力する入力回路とを備える。入力回路は、第１、第２の端子間および第３、第４の端子間が接続状態と開放状態とのいずれにあるかで監視結果が入力される第１の動作モードと第２、第４の端子の電位の設定によって監視結果が入力される第２の動作モードとを切替える切替スイッチと、第２の端子の電位に応じて第１の信号を出力するトランジスタと、第４の端子に一方端が接続される第１の抵抗と、第１の抵抗の他方端と第１の電源電位のいずれか一方が切替スイッチの操作に応じて結合される第１のノードと、第１のノードが入力側の第１電極に接続され、切替スイッチの操作に応じて第１の電源電位とは異なる第２の電源電位と第１の抵抗の他方端とのいずれか一方が入力側第２電極に結合されるフォトカプラとを含む。フォトカプラは、第２の信号を出力する。監視装置は、第１、第２の信号に基づいて動力の導通許可および導通禁止の判断を行なう制御部をさらに備える。
【００１４】
好ましくは、第２の電源電位は、接地電位であり、第１の電源電位は、接地電位よりも高い電位である。
【００１５】
好ましくは、制御部は、第１、第２の信号の少なくとも一方が非活性化された場合には動力の導通を禁止させ、第１、第２の信号の両方が活性化された場合には動力の導通を許可し、第１、第２の信号の不一致を検出した場合には動力の導通が禁止された状態を第１、第２の信号が一致した状態に戻っても保持させる、入力状態判定を実行する。
【００１６】
より好ましくは、入力回路は、第２の端子とトランジスタの制御入力との間に接続される第２の抵抗と、第１の診断信号に応じてトランジスタの制御入力を強制的に設定する第１の設定手段と、第２の診断信号に応じて第１のノードの電位を強制的に設定する第２の設定手段とをさらに含む。制御部は、入力状態判定と、第１の診断信号を変化させて第１の信号を監視する第１の診断判定と、第２の診断信号を変化させて第２の信号を監視する第２の診断判定とを繰返して実行する。
【発明の効果】
【００１７】
この発明によれば、設定スイッチの設定変更を行なうことにより入力仕様を切替えることができ、かつ設定スイッチの設定ミス等に対してもフェイルセーフな設計が維持された監視装置が実現できる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。
【００１９】
図１は、この発明の実施の形態によるセーフティコントローラを用いた制御システムの構成を示す図である。
【００２０】
図１を参照して、この制御システムは、センサー／スイッチ類の一例である非常停止スイッチ１２と、セーフティコントローラ２０と、動力源３１を機械３４に接続する経路上に直列に設けられたセーフティリレー３２，３３とを含む。
【００２１】
セーフティコントローラ２０は、端子ＩＮ１Ａ，ＩＮ１Ｂ，ＩＮ２Ａ，ＩＮ２Ｂと、安全入力回路２１と、制御部２２と、安全出力回路２４と、リセット入力回路２３とを含む。セーフティコントローラ２０には、コントローラ用電源１１から２４Ｖおよび０Ｖの直流電源電圧が供給される。安全入力回路２１には、端子ＩＮ１Ａ，ＩＮ１Ｂ，ＩＮ２Ａ，ＩＮ２Ｂが接続されている。
【００２２】
非常停止スイッチ１２は、二重の接点１４，１５と、接点１４，１５を同時に開状態に変化させる大型の押ボタン１６とを含む。非常停止スイッチ１２は、たとえば、冗長化された二重の接点を有する直接開離型非常停止スイッチである。接点１４、１５は、押ボタン１６を押していない通常の状態では、閉状態である。すなわち、接点１４、１５はＮＣ（ノーマルクローズ）接点である。接点１４，１５のいずれか一方が短絡した場合を考慮して二重に接点が設けられている。この場合、短絡していない他方が正常に動作すればセーフティコントローラ２０は動力を遮断する。
【００２３】
接点１４の一方端は配線１４Ａによって端子ＩＮ１Ａに接続されている。接点１４の他方端は配線１４Ｂによって端子ＩＮ１Ｂに接続されている。端子ＩＮ１Ａ、端子ＩＮ１Ｂは一対を成し、チャンネルＣＨ１を監視する入力部としての役割を果たす。
【００２４】
接点１５の一方端は配線１５Ａによって端子ＩＮ２Ａに接続されている。接点１５の他方端は配線１５Ｂによって端子ＩＮ２Ｂに接続されている。端子ＩＮ２Ａ、端子ＩＮ２Ｂは一対を成し、チャンネルＣＨ２を監視する入力部としての役割を果たす。
【００２５】
非常停止スイッチ１２以外にも、センサー／スイッチ類として、インターロックスイッチ、両手操作スイッチ、ライトカーテンおよびエリアセンサーをセーフティコントローラに接続することができる。そして、このようなセンサー／スイッチ類は、センサー信号またはスイッチ信号をセーフティコントローラ２０へ出力する。
【００２６】
安全入力回路２１は、センサー／スイッチ類からセンサー信号またはスイッチ信号を受け、その受けたセンサー信号またはスイッチ信号に基づく内部信号Ｓ０１，Ｓ１１，Ｓ２１を制御部２２へ出力する。
【００２７】
また、安全入力回路２１は、自己の診断が可能なように構成されている。制御部２２は、安全入力回路２１を診断する。すなわち、制御部２２は、安全入力回路２１から受けた内部信号Ｓ１１，Ｓ２１が故障により固定されていないかを診断する。このため制御部２２は、定期的に診断信号Ｓ１２，Ｓ２２を安全入力回路２１に送信して、内部信号Ｓ１１，Ｓ２１が正しく変化することを確認する。内部信号Ｓ１１，Ｓ２１が正常に動作していない場合、制御部２２は、制御対象への出力をオフするように安全出力回路２４を制御する。
【００２８】
また、制御部２２は、安全入力回路２１から受けた内部信号Ｓ０１，Ｓ１１，Ｓ２１に基づいて安全出力回路２４を制御する。たとえば、制御部２２は、安全入力回路２１から装置を非常停止させるためのスイッチ信号を受けると、出力をオフするように安全出力回路２４を制御し、安全入力回路２１から非常停止を解除するためのスイッチ信号を受けると、出力をオンするように安全出力回路２４を制御する。
【００２９】
安全出力回路２４は、制御部２２からの制御に従ってセーフティリレー３２，３３を導通または遮断させる。セーフティリレー３２，３３は、動力源３１と機械３４との間に直列に接続されている。いずれか一方のセーフティリレーが故障しても他方のセーフティリレーが正常動作することで、確実に動力源３１と機械３４とを切離すことができる。
【００３０】
セーフティリレー３２は、ノーマルオープン（ＮＯ）型接点３２Ｕ，３２Ｖ，３２Ｗと、モニタ用のノーマルクローズ（ＮＣ）型接点３２Ｔと、接点を動かすアクチュエータ３２Ａとを含む。セーフティリレー３３は、ＮＯ型接点３３Ｕ，３３Ｖ，３３Ｗと、モニタ用のＮＣ型接点３３Ｔと、接点を動かすアクチュエータ３３Ａとを含む。
【００３１】
ＮＯ型接点３２Ｕ，３２Ｖ，３２Ｗは、動力源３１に接続されている動力ケーブル３６Ｕ，３６Ｖ，３６Ｗと、動力ケーブル３７Ｕ，３７Ｖ，３７Ｗとの間にそれぞれ接続されている。ＮＯ型接点３３Ｕ，３３Ｖ，３３Ｗは、機械３４に接続されている動力ケーブル３８Ｕ，３８Ｖ，３８Ｗと、動力ケーブル３７Ｕ，３７Ｖ，３７Ｗとの間にそれぞれ接続されている。
【００３２】
安全出力回路２４は、制御部２２から導通指令を受けるとアクチュエータ３２Ａ，３３Ａを駆動させてセーフティリレー３２，３３を導通させる。ＮＯ型接点３２Ｕ，３２Ｖ，３２Ｗが閉じると、ＮＣ型接点３２Ｔはこれらに連動して開く。ＮＯ型接点３３Ｕ，３３Ｖ，３３Ｗが閉じると、ＮＣ型接点３３Ｔはこれらに連動して開く。
【００３３】
安全出力回路２４を介してＮＣ型接点３２Ｔ，３３Ｔをモニタすることにより、制御部２２は指令どおりにセーフティリレー３２，３３が動作しているかを判断している。
【００３４】
つまり、安全出力回路２４は、制御対象であるセーフティリレー３２，３３からフィードバック応答を受け、その受けたフィードバック応答を制御部２２に入力可能な信号に変換して出力する。
【００３５】
制御部２２は、安全出力回路２４からのフィードバック応答に基づいて、制御対象の制御が正確に行なわれた否かを判定するとともに制御対象の応答時間を評価する。 図１では、制御対象がセーフティリレー３２，３３である例を示したが、制御対象を構成する負荷として、たとえば、電磁開閉器およびバルブ等を組合せたものであっても良い。
【００３６】
図２は、セーフティコントローラ２０の状態遷移図である。
図２を参照して、電源が投入され、初期化処理が行なわれる。そして、初期化処理が完了すると、安全出力オフ状態へ移行する。
【００３７】
一方、初期化処理を失敗したとき、ロックアウト状態へ移行する。「ロックアウト状態」とは、安全出力、すなわち、安全出力回路２４の出力が全てオフ状態となり、再起動が禁止される状態を言う。
【００３８】
安全出力オフ状態において、セーフティコントローラ２０がセンサー／スイッチ類から非常停止を解除するためのスイッチ信号を受けると、安全出力オン状態へ移行する。また、安全出力オフ状態において、安全出力回路２４が診断され、診断結果が異常であるとき、ロックアウト状態へ移行する。
【００３９】
安全出力オン状態において、セーフティコントローラ２０が非常停止させるためのスイッチ信号を受けると安全出力オフ状態へ移行する。また、安全出力オン状態において、安全出力回路２４が診断され、診断結果が異常であるとき、ロックアウト状態へ移行する。
【００４０】
このように、セーフティコントローラ２０は、電源が投入され、初期化が完了すると、センサー／スイッチ類からの入力状態に応じて各種の状態に遷移する。
【００４１】
図３は、図１におけるセーフティコントローラの第１の使用例を示した図である。
図３を参照して、セーフティコントローラ２０には、使用するセンサー／スイッチ類の違いにより動作モードを切替える設定スイッチＳＷが設けられている。図１で詳しく説明したように、センサー／スイッチ類として、非常停止スイッチ１２を接続する場合には、設定スイッチＳＷを動作モード１側に設定する。非常停止スイッチ１２は、ボタンを押すことにより同時に２つの接点が開く。このような使用法は、欧州規格ＥＮ９５４−１のカテゴリ４に相当する。
【００４２】
非常停止スイッチ１２とセーフティコントローラ２０との間の接続は４本の配線で行なわれる。端子ＩＮ１Ａと第１の接点の一方端が接続され、その第１の接点の他方端と端子ＩＮ１Ｂとが接続される。さらに、端子ＩＮ２Ａと第２の接点の一方端が接続され、その第２の接点の他方端と端子ＩＮ２Ｂとが接続される。
【００４３】
セーフティコントローラ２０は、端子ＩＮ１Ａと端子ＩＮ１Ｂとの間の接続がオープンになったことと、端子ＩＮ２Ａと端子ＩＮ２Ｂとの間の接続がオープンになったことのいずれかを検知したときに機械を動力源から切り離す制御を行なう。これにより、いずれか一方の接点が溶着していた場合でも他方の接点が動作すれば機械の非常停止を行なうことができ、信頼性が要求される用途に使用することができる。
【００４４】
図４は、図１におけるセーフティコントローラの第２の使用例を示した図である。
図４を参照して、センサー／スイッチ類として、ライトカーテンを接続する場合には、設定スイッチＳＷを動作モード２側に設定する。
【００４５】
ライトカーテンは、たとえば、国際規格ＩＥＣ６１４９６−１のＴＹＰＥ４に適合したものが接続される。このような使用法は、欧州規格ＥＮ９５４−１のカテゴリ４に相当する。
【００４６】
ライトカーテンの検知出力は、出力部の故障や伝達経路の配線に生じる障害による誤動作を避けるため、二重に設けられている。ライトカーテンの２つの出力端子は、たとえば、出力素子である２つのＮＰＮトランジスタのエミッタにそれぞれ接続されている。これら２つのＮＰＮトランジスタのコレクタにはライトカーテンの内部で直流電圧２４Ｖが供給されている。
【００４７】
ライトカーテンとセーフティコントローラ２０との間の接続は２本の配線で行なわれる。セーフティコントローラ２０側の端子ＩＮ１Ｂとライトカーテンの第１の出力端子とが接続され、セーフティコントローラ２０側の端子ＩＮ２Ｂとライトカーテンの第２の出力端子とが接続される。セーフティコントローラ２０側の端子ＩＮ１Ａ，ＩＮ２Ａは、未接続のままでセーフティコントローラ２０が使用される。
【００４８】
図５は、図１におけるセーフティコントローラの第３の使用例を示した図である。
図５を参照して、センサー／スイッチ類として、接点が１つしか無いスイッチを接続する場合には、設定スイッチＳＷを動作モード２側に設定する。このような使用法は、図３、図４よりも安全のランクが低いが、欧州規格ＥＮ９５４−１のカテゴリ２に相当する。
【００４９】
そのようなスイッチとセーフティコントローラ２０との間の接続は３本の配線で行なわれる。端子ＩＮ１Ａと接点の一方端が接続され、その接点の他方端と端子ＩＮ１Ｂとが接続される。さらに、その接点の他方端と端子ＩＮ２Ｂとが接続される。そして、端子ＩＮ２Ａは、未接続のままセーフティコントローラ２０が使用される。
【００５０】
図６は、図１に示す安全入力回路２１の詳細を示した回路図である。
図６を参照して、安全入力回路２１は、過電流を検知して内部信号Ｓ０１を出力する過電流検知部２１Ａと、チャンネルＣＨ１からの入力を検知して内部信号Ｓ１１を出力するＣＨ１検知部２１Ｂと、チャンネルＣＨ２からの入力を検知して内部信号Ｓ２１を出力するＣＨ２検知部２１Ｃとを含む。
【００５１】
過電流検知部２１Ａは、一方端が直流２４Ｖに結合され、他方端がノードＮ１に接続される自動復帰型の過電流保護素子５２を含む。過電流保護素子５２としては、たとえば、定格５０ｍＡのポリスイッチを用いることができる。ポリスイッチは、定格を超える電流が流れると発熱等のため抵抗が増大してオフ状態に近くなる素子であり、ポジティブサーミスタとも呼ばれる。電流が減少すると抵抗値も減少し、ポリスイッチは通常の導通状態に復帰する。ノードＮ１は、セーフティコントローラ２０の端子ＩＮ１Ａに接続されている内部ノードである。
【００５２】
過電流検知部２１Ａは、さらに、ノードＮ１とノードＮ３との間に接続される抵抗素子５４と、ノードＮ３と接地ノードとの間に接続される抵抗素子５６と、ベースがノードＮ３に接続されコレクタがノードＮ４に接続されエミッタが接地ノードに接続されるＮＰＮトランジスタ５８と、ノードＮ４を直流５Ｖにプルアップする抵抗素子６０とを含む。ノードＮ４からは内部信号Ｓ０１が出力される。
【００５３】
過電流が流れていないときにはノードＮ１の電位はＨレベルであり、これに応じてＮＰＮトランジスタ５８がオン状態となるので内部信号Ｓ０１はＬレベル（０Ｖ）である。過電流が流れ過電流保護素子５２の抵抗値が増大すると、ノードＮ１の電位はＬレベルに引き下げられ、これに応じてＮＰＮトランジスタ５８がオフ状態となるので内部信号Ｓ０１はＨレベル（５Ｖ）に変化する。
【００５４】
ＣＨ１検知部２１Ｂは、端子ＩＮ１ＢとノードＮ５との間に接続される抵抗素子６２と、ノードＮ５と接地ノードとの間に接続される抵抗素子６４と、ベースがノードＮ５に接続されコレクタがノードＮ６に接続されエミッタが接地ノードに接続されるＮＰＮトランジスタ６６と、ノードＮ６を直流５Ｖにプルアップする抵抗素子６８とを含む。ノードＮ６からは内部信号Ｓ１１が出力される。
【００５５】
端子ＩＮ１Ａは過電流保護素子５２によって通常は２４Ｖに結合されている。接点１４が閉じているときには、端子ＩＮ１Ｂが端子ＩＮ１Ａに接続された結果、端子ＩＮ１Ｂの電位は２４Ｖ（Ｈレベル）である。したがって、これに応じてＮＰＮトランジスタ６６がオン状態となるので内部信号Ｓ１１はＬレベル（０Ｖ）である。接点１４が開いて端子ＩＮ１Ｂが２４Ｖから切り離されると、ノードＮ５の電位は抵抗素子６４によってＬレベルに引き下げられ、これに応じてＮＰＮトランジスタ６６がオフ状態となるので内部信号Ｓ１１はＨレベル（５Ｖ）に変化する。
【００５６】
ＣＨ１検知部２１Ｂは、内部信号Ｓ１１の故障による固定を診断する機能を有する。このために、ＣＨ１検知部２１Ｂは、さらに、ノードＮ８とノードＮ７との間に接続される抵抗素子７２と、ノードＮ７と接地ノードとの間に接続される抵抗素子７４と、ベースがノードＮ７に接続されコレクタがノードＮ５に接続されエミッタが接地ノードに接続されるＮＰＮトランジスタ７０とを含む。ノードＮ８には、制御部２２のＣＰＵ２２Ａから診断信号Ｓ１２が与えられる。
【００５７】
診断信号Ｓ１２は通常はＬレベル（０Ｖ）に設定されている。そのときはＮＰＮトランジスタ７０がオフ状態であり、ノードＮ５の電位は端子ＩＮ１Ｂの電位に応じて変化する。診断実行時には、診断信号Ｓ１２がＨレベル（５Ｖ）に設定される。そのときはＮＰＮトランジスタ７０がオン状態に変化し、ノードＮ５の電位は強制的にＬレベル（０Ｖ）に設定される。その結果内部信号Ｓ１１がＨレベルとなるので、これをＣＰＵ２２Ａが検知する。診断を実行しているのにもかかわらず、内部信号Ｓ１１がＬレベルである場合には、故障が発生していると認識されて、セーフティコントローラ２０はロックアウト状態に移行する。
【００５８】
ＣＨ２検知部２１Ｃは、設定スイッチＳＷを含む。設定スイッチＳＷの切換によってＣＨ２の内部接続が変更される。設定スイッチＳＷは、スイッチＳＷＡとスイッチＳＷＢとを含んでおり、スイッチＳＷＡとスイッチＳＷＢとは連動して切替えられる。スイッチＳＷとしては、スライドスイッチなどを使用することができる。
【００５９】
図７は、設定スイッチＳＷの切換を説明するための図である。
図７を参照して、セーフティコントローラ２０の動作モードをモード１に設定する場合は、設定スイッチＳＷをモード１側に設定する。するとスイッチＳＷＡ、スイッチＳＷＢが共に接点１側に接続される。モード１は、ＣＨ１とＣＨ２との間に電位差を設ける場合に使用される。モード１では、ＣＨ１とＣＨ２との間に電位差を設けると、ＣＨ１とＣＨ２との間に短絡が発生すると過電流が流れ、これを検出することでチャンネル間（系統間）短絡が検出可能である。
【００６０】
セーフティコントローラ２０の動作モードをモード２に設定する場合は、設定スイッチＳＷをモード２側に設定する。するとスイッチＳＷＡ、スイッチＳＷＢが共に接点２側に接続される。モード２は、ＣＨ１とＣＨ２との間に電位差を設けない場合に使用される。
【００６１】
再び図６を参照して、スイッチＳＷＡの接点１側は、ノードＮ１に接続される。スイッチＳＷＡの接点２側およびスイッチＳＷＢの接点１側は、ノードＮ２に接続される。スイッチＳＷＢの接点２側は、接地ノードに接続される。スイッチＳＷＡによって、ノードＮ１，Ｎ２のいずれか一方がノードＮ９に接続される。スイッチＳＷＢによって、ノードＮ２と接地ノードのいずれか一方がノードＮ１０に接続される。
【００６２】
ＣＨ２検知部２１Ｃは、さらに、端子ＩＮ２ＢとノードＮ２との間に接続される抵抗素子７６と、ノードＮ９とノードＮ１０との間に接続される抵抗素子７８と、ノードＮ９，Ｎ１０が入力側に接続されノードＮ１１と接地ノードとが出力側に接続されるフォトカプラ８０と、ノードＮ１１を直流５Ｖにプルアップする抵抗素子８６とを含む。ノードＮ１１からは内部信号Ｓ２１が出力される。
【００６３】
フォトカプラ８０は、アノードがノードＮ９に接続されカソードがノードＮ１０に接続される発光ダイオード８２と、発光ダイオード８２の発光に応じてノードＮ１１と接地ノードとの間を導通させるフォトトランジスタ８４とを含む。
【００６４】
フォトカプラ８０は制御入力側と出力側が電気的に絶縁されているスイッチである。発光ダイオード８２に過電流がながれ発光ダイオード８２が破損すると発光がされなくなるのでフォトトランジスタ８４は絶縁状態となってノードＮ１１はＨレベル（５Ｖ）になる。
【００６５】
動作モードがモード１の場合は、ノードＮ９は過電流保護素子５２およびスイッチＳＷＡによって通常は２４Ｖに結合されており、ノードＮ１０はスイッチＳＷＢによってノードＮ２に結合されている。
【００６６】
接点１５が閉じているときには、端子ＩＮ２Ｂの電位が端子ＩＮ２Ａに接続された結果、ノードＮ９と接地ノードとの間に発光ダイオード８２、抵抗素子７６が直列に接続され抵抗素子７６によって定まる電流が発光ダイオード８２に流れる。その結果発光ダイオード８２が発光し、フォトトランジスタ８４がオン状態（導通状態）となりノードＮ１１の電位は接地電位（０Ｖ）になる。したがって内部信号Ｓ２１はＬレベルである。
【００６７】
接点１５が開いて端子ＩＮ２Ｂが０Ｖから切り離されると、発光ダイオード８２に電流を流す経路が遮断されるので、発光ダイオード８２の発光は停止し、これに応じてフォトトランジスタ８４がオフ状態（非導通状態）となるので内部信号Ｓ２１はＨレベル（５Ｖ）に変化する。
【００６８】
ＣＨ２検知部２１Ｃは、内部信号Ｓ２１の故障による固定を診断する機能を有する。このために、ＣＨ２検知部２１Ｃは、さらに、ノードＮ１２とノードＮ１３との間に接続される抵抗素子８８と、ノードＮ１３と接地ノードとの間に接続される抵抗素子９６と、ノードＮ１３，および接地ノードが入力側に接続されノードＮ９とノードＮ１０とが出力側に接続されるフォトカプラ９０とを含む。
【００６９】
フォトカプラ９０は、アノードがノードＮ１３に接続されカソードが接地ノードに接続される発光ダイオード９２と、発光ダイオード９２の発光に応じてノードＮ９とノードＮ１０との間を導通させるフォトトランジスタ９４とを含む。
【００７０】
診断信号Ｓ２２は通常はＬレベル（０Ｖ）に設定されている。そのときは発光ダイオード９２に電流が流れないので未発光状態であり、フォトトランジスタ９４はオフ状態であり、ノードＮ９とノードＮ１０との電位差に応じて発光ダイオード８２は発光する。診断実行時には、診断信号Ｓ２２がＨレベル（５Ｖ）に設定される。そのときは発光ダイオード９２が発光し、フォトトランジスタ９４によってノードＮ９とノードＮ１０とが導通されてしまうので、発光ダイオード８２は強制的に未発光状態に設定される。その結果内部信号Ｓ２１がＨレベルとなるので、これをＣＰＵ２２Ｂが検知する。診断を実行しているのにもかかわらず、内部信号Ｓ２１がＬレベルである場合には、故障が発生していると認識されて、セーフティコントローラ２０はロックアウト状態に移行する。
【００７１】
図８は、動作モードがモード１に設定された場合の内部信号の動作例を示した動作波形図である。
【００７２】
図６、図８を参照して、ＣＰＵ２２Ａは、通常はＬレベルにある診断信号Ｓ１２を一定時間毎に期間Ｔ４，Ｔ８，Ｔ１２，Ｔ１６，Ｔ２０，Ｔ２４においてＨレベルに活性化する。そのタイミングと位相をずらして、ＣＰＵ２２Ｂは、通常はＬレベルにある診断信号Ｓ２２を一定時間毎に期間Ｔ２，Ｔ６，Ｔ１０，Ｔ１４，Ｔ１８，Ｔ２２においてＨレベルに活性化する。
【００７３】
期間Ｔ１〜Ｔ１０までは、非常停止スイッチ１２が押された状態すなわちオフ状態であり、接点１４，１５は開放状態である。したがって、内部信号Ｓ１１、Ｓ２１は共にＨレベルである。この間は、ＣＰＵ２２Ａ，２２Ｂで内部信号Ｓ１１、Ｓ２１に基づき、スイッチ入力の判定が行なわれ、機械の動作が禁止された結果、動力源と機械との間の電源供給経路が遮断される。
【００７４】
期間Ｔ１１において、非常停止スイッチ１２が押された状態から解除された状態に変化し、接点１４，１５は閉じた状態に変化する。したがって、内部信号Ｓ１１，Ｓ２１はＨレベルからＬレベルに変化し、以降はＣＰＵ２２Ａ，２２Ｂで内部信号Ｓ１１、Ｓ２１に基づき、スイッチ入力の判定が行なわれ、機械の動作が許可されて、動力源と機械との間の電源供給経路が接続される。
【００７５】
図８は、安全入力回路２１に障害が発生していない場合について波形を示したが、例えば、トランジスタや抵抗の焼損等が発生してノードＮ６の電位が固定されてしまう場合が考えられる。このような場合は、例えば期間Ｔ１２において、診断信号Ｓ１２の活性化に応じて内部信号Ｓ１１がＨレベルに変化しなくなる。ＣＰＵ２２Ａは、診断信号Ｓ１２をＨレベルに設定したときに内部信号Ｓ１１がＨレベルに変化すれば信号伝達経路に問題は無いと判断するが、内部信号がＬレベルのままであれば、異常発生と判断してロックアウト状態に状態を遷移させる。
【００７６】
同様に、ノードＮ９の電位が固定されてしまう場合は、例えば期間Ｔ１４において、診断信号Ｓ２２の活性化に応じて内部信号Ｓ２１がＨレベルに変化しなくなる。ＣＰＵ２２Ｂは、診断信号Ｓ２２をＨレベルに設定したときに内部信号Ｓ２１がＨレベルに変化すれば信号伝達経路に問題は無いと判断するが、内部信号がＬレベルのままであれば、異常発生と判断してロックアウト状態に状態を遷移させる。
【００７７】
図９は、制御部２２で実行される処理の流れを示すフローチャートである。このフローチャートの処理は、電源オン後リセット処理等を実行させる所定のメインルーチンから一定時間毎または所定の条件が成立するごとに繰返して呼び出されて実行される。制御部２２のＣＰＵ２２Ａ，２２Ｂが一つの制御装置として、この処理を実行する。なお、この処理は、ソフトウエアで実行されるが、論理回路等の組み合わせによるハードウエアでも実行させることができる。
【００７８】
図９を参照して、処理が開始されると、まずステップＳＴ１において入力状態判定処理が行なわれる。図６では、診断信号Ｓ１２，Ｓ２２をＬレベルに設定した状態で、内部信号Ｓ１１，Ｓ２１を観測することで入力判定処理が実行される。
【００７９】
続いてステップＳＴ２においてチャンネルＣＨ１の診断判定処理が行なわれ、さらにステップＳＴ３においてチャンネルＣＨ２の診断判定処理が行なわれる。
【００８０】
ステップＳＴ３の処理が終了すると、ステップＳＴ４において制御はメインルーチンに移される。
【００８１】
図１０は、図９のステップＳＴ１の入力状態判定処理の詳細を示すフローチャートである。
【００８２】
図６、図１０を参照して、入力判定処理が開始されると、まずステップＳＴ１１において、「チャンネルＣＨ１＝ＯＮかつチャンネルＣＨ２＝ＯＮ」が成立しているか否かが判断される。具体的には、図６において制御部２２は、診断信号Ｓ１２，Ｓ２２をともにＬレベルに設定した状態で、内部信号Ｓ１１，Ｓ２１の状態を観測する。
【００８３】
内部信号Ｓ１１がＬレベルかつ内部信号Ｓ２１がＬレベルであれば、チャンネルＣＨ１＝ＯＮかつチャンネルＣＨ２＝ＯＮが成立している（ステップＳＴ１１においてＹＥＳ）と判断される。この場合は、ステップＳＴ１２に処理が進み、制御部２２は、安全出力回路２４に対して機械の動作を許可（セーフティリレーをオン）する判定を出力する。
【００８４】
一方、内部信号Ｓ１１、内部信号Ｓ２１の少なくとも一方がＨレベルであれば、「チャンネルＣＨ１＝ＯＮかつチャンネルＣＨ２＝ＯＮ」が成立しない（ステップＳＴ１１においてＮＯ）と判断される。この場合は、ステップＳＴ１３に処理が進み、制御部２２は、チャンネルＣＨ１の状態とチャンネルＣＨ２の状態が一致しない状態が所定時間（たとえば５００ｍｓ）以下であるか否かを判断する。
【００８５】
具体的には、ステップＳＴ１３において、内部信号Ｓ１１、内部信号Ｓ２１の一方がＨレベルで他方がＬレベルの状態が所定時間（たとえば５００ｍｓ）以下であれば処理はステップＳＴ１５に進む。この場合は、非常スイッチが押されチャンネルＣＨ１，ＣＨ２が両方とも開状態になったとして、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。
【００８６】
一方、ステップＳＴ１３において、内部信号Ｓ１１、内部信号Ｓ２１の一方がＨレベルで他方がＬレベルの状態が所定時間（たとえば５００ｍｓ）を超える場合には、配線１４Ａ，１４Ｂ，１５Ａ，１５Ｂのいずれかが断線した等の故障が考えられる。したがって、処理はステップＳＴ１４に進む。この場合は、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。そして、この動作禁止状態を保持するロックアウト状態に移行する。
【００８７】
ステップＳＴ１２またはステップＳＴ１５の処理が終了すると、ステップＳＴ１６において制御は図９のステップＳＴ２に移される。
【００８８】
図１１は、図９のステップＳＴ２で実行されるＣＨ１診断判定処理の詳細を示すフローチャートである。
【００８９】
図６、図１１を参照して、ＣＨ１診断判定処理が開始されると、ステップＳＴ２１において、制御部２２は、チャンネルＣＨ１の診断信号Ｓ１２をＨレベルに設定する。すると、トランジスタ７０がオン状態になり、ノードＮ５のレベルがＬレベルに設定されるはずである。するとトランジスタ６６がオフ状態になるので、ノードＮ６は抵抗素子６８によって５Ｖにプルアップされ、内部信号Ｓ１１はＨレベルに設定されるはずである。
【００９０】
続いて、ステップＳＴ２２において、チャンネルＣＨ１の入力状態を示す内部信号Ｓ１１がＨレベルになっているか否かが判断される。内部信号Ｓ１１がＨレベルであれば（ステップＳＴ２２でＹＥＳ）、チャンネルＣＨ１の入力信号が伝達される経路は正常に動作していると判定され、ステップＳＴ２４に処理が進み、チャンネルＣＨ１の診断信号Ｓ１２がふたたびＬレベルに戻されて、ステップＳＴ２５において制御は図９のフローチャートに移される。
【００９１】
一方で、ステップＳＴ２２において、診断信号Ｓ１２がＨレベルに設定されているにも拘らず内部信号Ｓ１１がＨレベルでない場合には、安全入力回路２１に異常が発生していると判断され、ステップＳＴ２３に処理が進む。この場合、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。そして、この動作禁止状態を保持するロックアウト状態に移行する。
【００９２】
図１２は、図９のステップＳＴ３で実行されるＣＨ２診断判定処理の詳細を示すフローチャートである。
【００９３】
図６、図１２を参照して、ＣＨ２診断判定処理が開始されると、ステップＳＴ３１において、チャンネルＣＨ２の診断信号Ｓ２２をＨレベルに設定する。すると、フォトカプラ９０がオン状態になり、ノードＮ９とノードＮ１０が接続されるはずである。そうすると、発光ダイオード８２に電流が流れないので、フォトトランジスタ８４はオフ状態になり、ノードＮ１１は抵抗素子８６によって５Ｖにプルアップされ、内部信号Ｓ２１はＨレベルに設定されるはずである。
【００９４】
続いて、ステップＳＴ３２において、チャンネルＣＨ２の入力状態を示す内部信号Ｓ２１がＨレベルになっているか否かが判断される。内部信号Ｓ２１がＨレベルであれば（ステップＳＴ３２でＹＥＳ）、チャンネルＣＨ２の入力信号が伝達される経路は正常に動作していると判定され、ステップＳＴ３４に処理が進み、チャンネルＣＨ２の診断信号Ｓ２２がふたたびＬレベルに戻されて、ステップＳＴ３５において制御は図９のフローチャートに移される。
【００９５】
一方で、ステップＳＴ３２において、診断信号Ｓ２２がＨレベルに設定されているにも拘らず内部信号Ｓ２１がＨレベルでない場合には、安全入力回路２１に異常が発生していると判断され、ステップＳＴ３３に処理が進む。この場合、制御部２２は、機械の動作禁止（セーフティリレーをオフして動力を遮断）する判定を安全出力回路２４に対して出力する。そして、この動作禁止状態を保持するロックアウト状態に移行する。
【００９６】
以上、セーフティコントローラ２０の安全入力回路２１に関して、基本動作と自己診断動作を中心に説明をしてきた。以下は、セーフティコントローラ２０の入力端子に接続されている配線に障害が発生した場合の検知または出力のフェイルセーフ制御について詳細に説明を行なう。
【００９７】
図１３は、非常停止スイッチを接続する配線に障害が生じる場合を説明するための図である。図１３では設定スイッチＳＷはモード１に設定されている。
【００９８】
図１４は、図１３に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【００９９】
図１３、図１４を参照して、障害番号Ｆ１は、チャンネルＣＨ１において配線１４Ａ，１４Ｂ間に短絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａと端子ＩＮ１Ｂとが常時接続されてしまう。
【０１００】
障害番号Ｆ１の障害発生時に、スイッチ１２が操作されていない場合（通常時）には、内部信号Ｓ０１，Ｓ１１，Ｓ２１はすべてＬレベルになる。これは、障害未発生時の通常時と同じであるので、障害が検知不可であるが、非常停止ボタンが押されていない場合に作動許可判定をすることは障害未発生時の判定と同じであるのでフェイルセーフな判定である。
【０１０１】
障害番号Ｆ１の障害発生時にスイッチ１２を操作した場合、接点１４，１５は開放状態になる。このとき、障害のため本来Ｈレベルに変化すべきである内部信号Ｓ１１は、Ｌレベルになっている。しかし、チャンネルＣＨ２については正常動作するので、内部信号Ｓ２１はＨレベルに変化する。制御部２２は、内部信号Ｓ２１がＨレベルに変化したので作動判定を「禁止」と判定する。また、制御部２２は、本来一致するはずの内部信号Ｓ１１と内部信号Ｓ２１とが一致しないので、障害が発生したと判断する。制御部２２は、障害が発生したので作動判定を「禁止」と判定した上で、セーフティコントローラ２０をロックアウト状態に遷移させる。
【０１０２】
障害番号Ｆ２は、チャンネルＣＨ１側の配線１４ＡとチャンネルＣＨ２側の配線１５Ｂ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１０３】
障害番号Ｆ２の障害発生時に、スイッチ１２が操作されていない場合（通常時）には、内部信号Ｓ０１，Ｓ１１，Ｓ２１はすべてＨレベルになる。これは、ノードＮ１が端子ＩＮ１Ａ、配線１４Ａ、短絡経路（Ｆ２）、配線１５Ｂ、接点１５、配線１５Ａ、端子ＩＮ２Ａを経由して接地ノードに接続されてしまうので、過電流保護素子５２に定格を超える電流が流れて過電流保護素子５２の抵抗が増大し、ノードＮ１の電位が接地電位（０Ｖ）付近になるからである。すると過電流検知を示す内部信号Ｓ０１がＨレベルに変化するため、制御部２２は障害の発生を検知することができる。障害発生時には、制御部２２は、作動判定を「禁止」と判定した上で、セーフティコントローラ２０をロックアウト状態に遷移させる。なお、このとき、ノードＮ１がＬレベルであれば内部信号Ｓ１１，Ｓ２１はＨレベルになっている。
【０１０４】
障害番号Ｆ２の障害発生時にスイッチ１２を操作した場合、接点１４，１５は開放状態になる。このとき障害のためノードＮ１とノードＮ１０が抵抗７６を介して接続された状態となっている。すると、発光ダイオード８２には電流が流れない状態になるので内部信号Ｓ２１はＨレベルになる。また、接点１４が開いているので、ノードＮ５は抵抗素子６４によって接地電位に引き下げられ、トランジスタ６６はオフ状態となり内部信号Ｓ１１もＨレベルになる。過電流が発生せず、内部信号Ｓ１１，Ｓ２１の不一致も発生しないので、制御部２２は障害の発生を検知することはできない。しかし、障害未発生時と作動判定結果は同じでありフェイルセーフの状態が維持できている。
【０１０５】
以降は、各障害番号と障害発生箇所についてのみ簡単に説明する。
障害番号Ｆ３は、チャンネルＣＨ１側の配線１４ＡとチャンネルＣＨ２側の配線１５Ａ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａと端子ＩＮ２Ａとが常時接続されてしまう。
【０１０６】
障害番号Ｆ４は、チャンネルＣＨ１側の配線１４ＢとチャンネルＣＨ２側の配線１５Ｂ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１０７】
障害番号Ｆ５は、チャンネルＣＨ１側の配線１４ＢとチャンネルＣＨ２側の配線１５Ａ間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂと端子ＩＮ２Ａとが常時接続されてしまう。
【０１０８】
障害番号Ｆ６は、チャンネルＣＨ２側の配線１５Ａと配線１５Ｂ間に短絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ａと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１０９】
障害番号Ｆ７は、チャンネルＣＨ１側の配線１４Ａに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ａが接地（０Ｖ）に常時結合されてしまう。
【０１１０】
障害番号Ｆ８は、チャンネルＣＨ１側の配線１４Ｂに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１１１】
障害番号Ｆ９は、チャンネルＣＨ２側の配線１５Ｂに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１１２】
障害番号Ｆ１０は、チャンネルＣＨ２側の配線１５Ａに地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ａが接地（０Ｖ）に常時結合されてしまう。
【０１１３】
障害番号Ｆ３〜Ｆ１０の障害発生時も同様に、制御部２２は、内部信号Ｓ１１と内部信号Ｓ２１が不一致であるとき、または過電流のため内部信号Ｓ０１がＨレベルに変化したときには障害が発生したとしてセーフティコントローラ２０をロックアウト状態に遷移させる。また、図１４の備考欄に示すように、障害が検知できない場合であっても、作動判定結果が障害未発生時と同じになるのでフェイルセーフの状態が維持できている。
【０１１４】
図１５は、ライトカーテンを接続する配線に障害が生じる場合を説明するための図である。図１５では設定スイッチＳＷはモード２に設定され、端子ＩＮ１Ａ，ＩＮ２Ａは未接続状態で使用されている。
【０１１５】
図１６は、図１５に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【０１１６】
障害番号Ｆ１１は、チャンネルＣＨ１側の配線とチャンネルＣＨ２側の配線間に短絡が発生した場合（系統短絡）について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂと端子ＩＮ２Ｂとが常時接続されてしまう。
【０１１７】
このような障害は、動作モードがモード２に設定されたセーフティコントローラ２０では検知することができない。しかし、ライトカーテンに、たとえば、国際規格ＩＥＣ６１４９６−１のＴＹＰＥ４に適合したものを使用することにより、この障害はＱ１，Ｑ２がともにオン状態であるとき（通常時）にライトカーテン側で検知される。そして、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオフ状態にされるため、セーフティコントローラ２０側でも最終的には作動判定は「禁止」となる。このような使用法は、欧州規格ＥＮ９５４−１のカテゴリ４に相当するものである。
【０１１８】
なお、障害番号Ｆ１１においてＱ１，Ｑ２がともにオフ状態であるとき（非常停止時）には、ライトカーテンでは検知しない場合もあるが、障害未発生時と同じ判定となり、フェイルセーフな状態である。
【０１１９】
障害番号Ｆ１２は、チャンネルＣＨ１側の配線に地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ１Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１２０】
障害番号Ｆ１２の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオン状態である通常時では、ライトカーテン側でも診断が行なわれており、この障害は検知され、トランジスタＱ１，Ｑ２はオフ状態に制御される。なお、Ｑ１，Ｑ２がオフ状態とならなくても、内部信号Ｓ２１はＬレベルで、かつチャンネルＣＨ１側の地絡のため内部信号Ｓ１１がＨレベルに固定される。したがって、内部信号Ｓ１１と内部信号Ｓ２１とが不一致になるので、この状態が所定時間（５００ｍｓ）続く場合には、制御部２２は障害発生を検知してロックアウト状態にセーフティコントローラ２０を遷移させる。
【０１２１】
障害番号Ｆ１２の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオフ状態である非常停止時には、この障害は検知することができないが、内部信号Ｓ１１，Ｓ２１がＨレベルであるので制御部２２の判定結果も「禁止」となり、障害未発生時と同じであるからフェイルセーフが維持されている。
【０１２２】
障害番号Ｆ１３は、チャンネルＣＨ２側の配線に地絡が発生した場合について示している。この場合、セーフティコントローラ２０の端子ＩＮ２Ｂが接地（０Ｖ）に常時結合されてしまう。
【０１２３】
障害番号Ｆ１３の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオン状態である通常時では、ライトカーテン側でも診断が行なわれており、この障害は検知され、トランジスタＱ１，Ｑ２はオフ状態に制御される。なお、Ｑ１，Ｑ２がオフ状態とならなくても、内部信号Ｓ１１はＬレベルで、かつチャンネルＣＨ２側の地絡のため内部信号Ｓ２１がＨレベルに固定される。したがって、内部信号Ｓ１１と内部信号Ｓ２１とが不一致になるので、この状態が所定時間（５００ｍｓ）続く場合には、制御部２２は障害発生を検知してロックアウト状態にセーフティコントローラ２０を遷移させる。
【０１２４】
障害番号Ｆ１３の障害が発生している場合において、ライトカーテン側の出力トランジスタＱ１，Ｑ２が共にオフ状態である非常停止時には、この障害は検知することができないが、内部信号Ｓ１１，Ｓ２１がＨレベルであるので制御部２２の判定結果も「禁止」となり、障害未発生時と同じであるからフェイルセーフが維持されている。
【０１２５】
以上は、セーフティコントローラ２０を外部のセンサー／スイッチ類に接続する経路における障害発生について説明してきたが、セーフティコントローラ２０に設定スイッチＳＷを設ける場合には、設定スイッチＳＷの設定ミスや故障についても考慮しておく必要がある。
【０１２６】
図１７は、設定スイッチＳＷに障害が発生した場合の内部信号の変化と制御部の判定内容を示した図である。
【０１２７】
図１７において、ＳＷＡ−１の欄がＯＮである状態とは、図６のスイッチＳＷＡの接点１側がノードＮ９と接続される場合を示し、ＳＷＡ−１の欄がＯＦＦである状態とは、図６のスイッチＳＷＡの接点１側がノードＮ９と接続されない場合を示す。ＳＷＡ−２の欄がＯＮである状態とは、図６のスイッチＳＷＡの接点２側がノードＮ９と接続される場合を示し、ＳＷＡ−２の欄がＯＦＦである状態とは、図６のスイッチＳＷＡの接点２側がノードＮ９と接続されない場合を示す。
【０１２８】
また、ＳＷＢ−１の欄がＯＮである状態とは、図６のスイッチＳＷＢの接点１側がノードＮ１０と接続される場合を示し、ＳＷＢ−１の欄がＯＦＦである状態とは、図６のスイッチＳＷＢの接点１側がノードＮ１０と接続されない場合を示す。ＳＷＢ−２の欄がＯＮである状態とは、図６のスイッチＳＷＢの接点２側がノードＮ１０と接続される場合を示し、ＳＷＢ−２の欄がＯＦＦである状態とは、図６のスイッチＳＷＢの接点２側がノードＮ１０と接続されない場合を示す。
【０１２９】
スイッチＳＷが正常な状態では、ＳＷＡ−１、ＳＷＡ−２の欄のうちのいずれか１方のみがＯＮとなっており、ＳＷＢについてもＳＷＡに対応する側がＯＮとなっているはずである。しかし、導電性または絶縁性の異物の進入、スイッチの物理的破損などにより、図１７に示す障害番号Ｆ２１〜Ｆ３２の障害が発生する可能性が考えられる。
【０１３０】
障害番号Ｆ２１に示す障害では、スイッチＳＷＡにおいて接点１側とノードＮ９が接続され、スイッチＳＷＢにおいて接点２とノードＮ１０が接続される。すると、２４Ｖに接続されている過電流保護素子５２からスイッチＳＷＡの接点１、ノードＮ９、発光ダイオード８２、ノードＮ１０、スイッチＳＷＢの接点２を経由して接地ノードに電流が流れる。抵抗素子７６による電流制限が無い状態で発光ダイオード８２に電源電圧が印加されるので、過電流により過電流保護素子５２の抵抗が増大するか、または発光ダイオード８２が破壊される。発光ダイオード８２は、破壊されると端子間がショート状態またはオープン状態となり発光しなくなる。
【０１３１】
過電流保護素子５２の抵抗が増大した場合、内部信号Ｓ０１がＨレベルに変化して障害発生が検知される。また、発光ダイオード８２がオープン状態で破壊された場合には、内部信号Ｓ０１がＬレベルのままになるが、発光しないのでフォトトランジスタ８４がオン状態にならなくなり内部信号Ｓ２１はＨレベルに固定されてしまう。内部信号Ｓ２１がＨレベルに固定されると、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３２】
障害番号Ｆ２２に示す障害では、スイッチＳＷＡにおいて接点２側とノードＮ９が接続され、スイッチＳＷＢにおいて接点１とノードＮ１０が接続される。すると、ノードＮ９とノードＮ１０とが接続されてしまうので、発光ダイオード８２のアノードとカソードとの間に電圧が印加されなくなり発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定され、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３３】
障害番号Ｆ２３に示す障害では、スイッチＳＷＡにおいて接点１側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０がいずれの接点にも接続されない状態になっている。すると、ノードＮ１０と接地ノードとの間が接続されないので、発光ダイオード８２に電流を流す回路が形成されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３４】
障害番号Ｆ２４〜２６に示す障害も、障害番号Ｆ２３に示す障害と同様スイッチＳＷＡ、ＳＷＢのいずれか一方しか接続されないので発光ダイオード８２に電流を流す経路が形成されない。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３５】
障害番号Ｆ２７に示す障害は、スイッチＳＷＡ、ＳＷＢの両方において接続が行なわれないので発光ダイオード８２に電流を流す経路が形成されない。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３６】
障害番号Ｆ２８に示す障害は、スイッチＳＷＡにおいて接点１側および接点２側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０が接点１側に接続された状態になっている。すると、ノードＮ９とノードＮ１０との間が短絡し、発光ダイオード８２に電圧が印加されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３７】
障害番号Ｆ２９、Ｆ３０に示す障害では、スイッチＳＷＡにおいて接点１側とノードＮ９が接続され、スイッチＳＷＢにおいて接点２とノードＮ１０が接続される。すると、２４Ｖに接続されている過電流保護素子５２からスイッチＳＷＡの接点１、ノードＮ９、発光ダイオード８２、ノードＮ１０、スイッチＳＷＢの接点２を経由して接地ノードに電流が流れる。抵抗素子７６による電流制限が無い状態で発光ダイオード８２に電源電圧が印加されるので、過電流により過電流保護素子５２の抵抗が増大するか、または発光ダイオード８２が破壊される。これは、障害番号Ｆ２１の場合と同様、内部信号Ｓ０１がＨレベルとなる過電流または内部信号Ｓ２１がＨレベルに固定されるので、フェイルセーフの状態が維持できている。
【０１３８】
障害番号Ｆ３１に示す障害は、スイッチＳＷＡにおいて接点２側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０が接点１側および接点２側に接続された状態になっている。すると、ノードＮ９とノードＮ１０との間が短絡し、発光ダイオード８２に電圧が印加されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１３９】
障害番号Ｆ３２に示す障害は、スイッチＳＷＡにおいて接点１および接点２側とノードＮ９が接続され、スイッチＳＷＢ側ではノードＮ１０が接点１側および接点２側に接続された状態になっている。過電流保護素子５２からスイッチＳＷＡ、ノードＮ２、スイッチＳＷＢを経由して接地ノードに接続される経路ができてしまうので、過電流が発生し内部信号Ｓ０１がＨレベルに変化するので異常が検知できる。また、ノードＮ９とノードＮ１０との間が短絡し、発光ダイオード８２に電圧が印加されず発光が起こらないのでフォトトランジスタ８４がオンしなくなる。したがって、内部信号Ｓ２１がＨレベルに固定された状態となり、制御部２２は機械の作動を禁止する判定を行なうので、フェイルセーフな状態が維持できている。
【０１４０】
なお、障害番号Ｆ２２〜Ｆ２８，Ｆ３１の障害は、いずれもＣＨ１を通常状態に設定しているとき（内部信号Ｓ１１がＬレベルであるとき）には、内部信号Ｓ１１と内部信号Ｓ２１の不一致により障害発生が検知され、セーフティコントローラはロックアウト状態に移行する。
【０１４１】
最後に、再び図６を参照して本実施の形態についての発明のある局面について総括的に説明する。
【０１４２】
この発明は、ある局面においては、少なくとも第１および第２の監視結果に応じて動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置であって、対をなす第１、第２の端子（ＩＮ１Ａ，ＩＮ１Ｂ）を含み、第１の監視結果が入力される第１入力部と、対をなす第３、第４の端子（ＩＮ２Ａ，ＩＮ２Ｂ）を含み、第２の監視結果が入力される第２入力部と、第１、第２入力部を介して与えられる第１、第２の監視結果に基づき第１、第２の信号（Ｓ１１，Ｓ２１）を出力する入力回路（２１）とを備える。入力回路（２１）は、第１、第２の端子間および第３、第４の端子間が接続状態と開放状態とのいずれにあるかで監視結果が入力される第１の動作モードと第２、第４の端子の電位の設定によって監視結果が入力される第２の動作モードとを切替える切替スイッチ（ＳＷ）と、第２の端子（ＩＮ１Ｂ）の電位に応じて第１の信号を出力するトランジスタ（６６）と、第４の端子（ＩＮ２Ｂ）に一方端が接続される第１の抵抗（７６）と、第１の抵抗の他方端と第１の電源電位のいずれか一方が切替スイッチの操作に応じて結合される第１のノード（Ｎ９）と、第１のノードが入力側の第１電極に接続され、切替スイッチの操作に応じて第１の電源電位とは異なる第２の電源電位と第１の抵抗の他方端とのいずれか一方が入力側第２電極に結合されるフォトカプラ（８０）とを含む。フォトカプラは、第２の信号を出力する。監視装置は、第１、第２の信号に基づいて動力の導通許可および導通禁止の判断を行なう制御部（２２）をさらに備える。
【０１４３】
好ましくは、第２の電源電位は、接地電位であり、第１の電源電位は、接地電位よりも高い電位である。
【０１４４】
好ましくは、制御部は、第１、第２の信号の少なくとも一方が非活性化された場合には動力の導通を禁止させ、第１、第２の信号の両方が活性化された場合には動力の導通を許可し、第１、第２の信号の不一致を検出した場合には動力の導通が禁止された状態を第１，第２の信号が一致した状態に戻っても保持させる、入力状態判定を実行する。
【０１４５】
より好ましくは、入力回路は、第２の端子とトランジスタの制御入力との間に接続される第２の抵抗（６２）と、第１の診断信号に応じてトランジスタの制御入力を強制的に設定する第１の設定手段（７０）と、第２の診断信号に応じて第１のノードの電位を強制的に設定する第２の設定手段（９０）とをさらに含む。制御部は、入力状態判定と、第１の診断信号を変化させて第１の信号を監視する第１の診断判定と、第２の診断信号を変化させて第２の信号を監視する第２の診断判定とを繰返して実行する。
【０１４６】
以上、説明してきたように、本実施の形態では、設定スイッチＳＷを設けることにより複数種類のスイッチまたはセンサー類を接続可能な監視装置が実現できる。そして、設定スイッチＳＷに障害が発生した場合であっても、過電流検知または内部信号の安全側への固定の発生により障害の発生を検知できる。
【０１４７】
さらに、少なくともチャンネルＣＨ２側にフォトカプラ８０を用いているので過電流により破損が起こったとしても内部信号Ｓ２１は安全側に固定されることになる。なお、チャンネルＣＨ１側のトランジスタ５８，６６，７０の部分もフォトカプラを用いても良い。
【０１４８】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【図面の簡単な説明】
【０１４９】
【図１】この発明の実施の形態によるセーフティコントローラを用いた制御システムの構成を示す図である。
【図２】セーフティコントローラ２０の状態遷移図である。
【図３】図１におけるセーフティコントローラの第１の使用例を示した図である。
【図４】図１におけるセーフティコントローラの第２の使用例を示した図である。
【図５】図１におけるセーフティコントローラの第３の使用例を示した図である。
【図６】図１に示す安全入力回路２１の詳細を示した回路図である。
【図７】設定スイッチＳＷの切換を説明するための図である。
【図８】動作モードがモード１に設定された場合の内部信号の動作例を示した動作波形図である。
【図９】制御部２２で実行される処理の流れを示すフローチャートである。
【図１０】図９のステップＳＴ１の入力状態判定処理の詳細を示すフローチャートである。
【図１１】図９のステップＳＴ２で実行されるＣＨ１診断判定処理の詳細を示すフローチャートである。
【図１２】図９のステップＳＴ３で実行されるＣＨ２診断判定処理の詳細を示すフローチャートである。
【図１３】非常停止スイッチを接続する配線に障害が生じる場合を説明するための図である。
【図１４】図１３に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【図１５】ライトカーテンを接続する配線に障害が生じる場合を説明するための図である。
【図１６】図１５に示した障害発生時の内部信号の変化と制御部の判定内容を示した図である。
【図１７】設定スイッチＳＷに障害が発生した場合の内部信号の変化と制御部の判定内容を示した図である。
【符号の説明】
【０１５０】
１１ コントローラ用電源、１２ 非常停止スイッチ、１４，１５ 接点、１４Ａ，１４Ｂ，１５Ａ，１５Ｂ 配線、１６ 押ボタン、２０ セーフティコントローラ、２１ 安全入力回路、２１Ａ 過電流検知部、２１Ｂ ＣＨ１検知部、２１Ｃ ＣＨ２検知部、２２ 制御部、２３ リセット入力回路、２４ 安全出力回路、３１ 動力源、３２Ａ，３３Ａ アクチュエータ、３２，３３ セーフティリレー、３２Ｕ，３２Ｖ，３２Ｗ，３３Ｕ，３３Ｖ，３３Ｗ ＮＯ型接点、３２Ｔ，３３Ｔ ＮＣ型接点、３４ 機械、３６Ｕ，３６Ｖ，３６Ｗ，３７Ｕ，３７Ｖ，３７Ｗ，３８Ｕ，３８Ｖ，３８Ｗ 動力ケーブル、５２ 過電流保護素子、５４，５６，６０，６２，６４，６８，７２，７４，７６，７８，８６，８８，９６ 抵抗素子、５８，６６，７０ トランジスタ、８０，９０ フォトカプラ、８２，９２ 発光ダイオード、８４，９４ フォトトランジスタ、ＣＨ１，ＣＨ２ チャンネル、ＩＮ１Ａ，ＩＮ１Ｂ，ＩＮ２Ａ，ＩＮ２Ｂ 端子、Ｑ１，Ｑ２ トランジスタ、ＳＷ 設定スイッチ、ＳＷＡ，ＳＷＢ スイッチ。
【特許請求の範囲】
【請求項１】
少なくとも第１および第２の監視結果に応じて動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置であって、
対をなす第１、第２の端子を含み、前記第１の監視結果が入力される第１入力部と、
対をなす第３、第４の端子を含み、前記第２の監視結果が入力される第２入力部と、
前記第１、第２入力部を介して与えられる前記第１、第２の監視結果に基づき第１、第２の信号を出力する入力回路とを備え、
前記入力回路は、
前記第１、第２の端子間および前記第３、第４の端子間が接続状態と開放状態とのいずれにあるかで監視結果が入力される第１の動作モードと前記第２、第４の端子の電位の設定によって監視結果が入力される第２の動作モードとを切替える切替スイッチと、
前記第２の端子の電位に応じて前記第１の信号を出力するトランジスタと、
前記第４の端子に一方端が接続される第１の抵抗と、
前記第１の抵抗の他方端と第１の電源電位のいずれか一方が前記切替スイッチの操作に応じて結合される第１のノードと、
前記第１のノードが入力側の第１電極に接続され、前記切替スイッチの操作に応じて前記第１の電源電位とは異なる第２の電源電位と前記第１の抵抗の前記他方端とのいずれか一方が入力側第２電極に結合されるフォトカプラとを含み、
前記フォトカプラは、前記第２の信号を出力し、
前記監視装置は、
前記第１、第２の信号に基づいて前記動力の導通許可および導通禁止の判断を行なう制御部をさらに備える、監視装置。
【請求項２】
前記第２の電源電位は、接地電位であり、
前記第１の電源電位は、前記接地電位よりも高い電位である、請求項１に記載の監視装置。
【請求項３】
前記制御部は、前記第１、第２の信号の少なくとも一方が非活性化された場合には前記動力の導通を禁止させ、前記第１、第２の信号の両方が活性化された場合には前記動力の導通を許可し、前記第１、第２の信号の不一致を検出した場合には前記動力の導通が禁止された状態を前記第１、第２の信号が一致した状態に戻っても保持させる、入力状態判定を実行する、請求項１または２に記載の監視装置。
【請求項４】
前記入力回路は、
前記第２の端子と前記トランジスタの制御入力との間に接続される第２の抵抗と、
第１の診断信号に応じて前記トランジスタの制御入力を強制的に設定する第１の設定手段と、
第２の診断信号に応じて前記第１のノードの電位を強制的に設定する第２の設定手段とをさらに含み、
前記制御部は、前記入力状態判定と、前記第１の診断信号を変化させて前記第１の信号を監視する第１の診断判定と、前記第２の診断信号を変化させて前記第２の信号を監視する第２の診断判定とを繰返して実行する、請求項３に記載の監視装置。
【請求項１】
少なくとも第１および第２の監視結果に応じて動力源から機械に与えられる動力の導通および遮断の制御を行なう監視装置であって、
対をなす第１、第２の端子を含み、前記第１の監視結果が入力される第１入力部と、
対をなす第３、第４の端子を含み、前記第２の監視結果が入力される第２入力部と、
前記第１、第２入力部を介して与えられる前記第１、第２の監視結果に基づき第１、第２の信号を出力する入力回路とを備え、
前記入力回路は、
前記第１、第２の端子間および前記第３、第４の端子間が接続状態と開放状態とのいずれにあるかで監視結果が入力される第１の動作モードと前記第２、第４の端子の電位の設定によって監視結果が入力される第２の動作モードとを切替える切替スイッチと、
前記第２の端子の電位に応じて前記第１の信号を出力するトランジスタと、
前記第４の端子に一方端が接続される第１の抵抗と、
前記第１の抵抗の他方端と第１の電源電位のいずれか一方が前記切替スイッチの操作に応じて結合される第１のノードと、
前記第１のノードが入力側の第１電極に接続され、前記切替スイッチの操作に応じて前記第１の電源電位とは異なる第２の電源電位と前記第１の抵抗の前記他方端とのいずれか一方が入力側第２電極に結合されるフォトカプラとを含み、
前記フォトカプラは、前記第２の信号を出力し、
前記監視装置は、
前記第１、第２の信号に基づいて前記動力の導通許可および導通禁止の判断を行なう制御部をさらに備える、監視装置。
【請求項２】
前記第２の電源電位は、接地電位であり、
前記第１の電源電位は、前記接地電位よりも高い電位である、請求項１に記載の監視装置。
【請求項３】
前記制御部は、前記第１、第２の信号の少なくとも一方が非活性化された場合には前記動力の導通を禁止させ、前記第１、第２の信号の両方が活性化された場合には前記動力の導通を許可し、前記第１、第２の信号の不一致を検出した場合には前記動力の導通が禁止された状態を前記第１、第２の信号が一致した状態に戻っても保持させる、入力状態判定を実行する、請求項１または２に記載の監視装置。
【請求項４】
前記入力回路は、
前記第２の端子と前記トランジスタの制御入力との間に接続される第２の抵抗と、
第１の診断信号に応じて前記トランジスタの制御入力を強制的に設定する第１の設定手段と、
第２の診断信号に応じて前記第１のノードの電位を強制的に設定する第２の設定手段とをさらに含み、
前記制御部は、前記入力状態判定と、前記第１の診断信号を変化させて前記第１の信号を監視する第１の診断判定と、前記第２の診断信号を変化させて前記第２の信号を監視する第２の診断判定とを繰返して実行する、請求項３に記載の監視装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２００８−８３９６５（Ｐ２００８−８３９６５Ａ）
【公開日】平成２０年４月１０日（２００８．４．１０）
【国際特許分類】
【出願番号】特願２００６−２６２８１４（Ｐ２００６−２６２８１４）
【出願日】平成１８年９月２７日（２００６．９．２７）
【出願人】（５９２２２００６０）日本制禦機器株式会社 (3)
【Ｆターム（参考）】
【公開日】平成２０年４月１０日（２００８．４．１０）
【国際特許分類】
【出願日】平成１８年９月２７日（２００６．９．２７）
【出願人】（５９２２２００６０）日本制禦機器株式会社 (3)
【Ｆターム（参考）】
[ Back to top ]