JP4238687B2 - セーフティコントローラおよびそれを用いたシステム - Google Patents

Description

本発明は、セーフティコントローラおよびそれを用いたシステムに関し、更に詳しくは、工作機械や産業用ロボットなどの機械設備の安全回路に好適なセーフティコントローラおよびそれを用いたシステムに関する。

従来、例えば、生産現場の労働安全を確保するために、複数の電磁リレーを内蔵したリレーユニットを用いて安全回路、すなわち、安全が確保されている状態の時のみ工作機械や産業用ロボットなどの機械設備の動力に電源を供給する安全回路が構築されている（例えば、特許文献１参照）。

かかるリレーユニットは、非常停止スイッチなどの安全スイッチやセーフティドアスイッチなどの安全エリアセンサからの入力信号に基づいて、安全回路の状態を監視し、不具合が発生した時には、機械設備の電源を確実に遮断するとともに、その不具合原因が取り除かれない限りは、機械設備の再起動を行なわない機能を備えている。
特開平２００３−１４０７０２号公報

かかる電磁リレーを内蔵したリレーユニットを用いたシステムでは、リレーシーケンスによって安全回路が構築されるので、配線によってロジックが組み立てられることになり、制御すべき工作機械等が多くなると、配線数が増大して複雑になるとともに、その設計も容易ではない。

さらに、ユーザの要求に応じて、システムの一部を変更したいような場合、例えば、複数の工作機械を各作業エリアに配備して構成される生産ラインにおいて、或る作業エリアの工作機械は、隣の作業エリアの工作機械と関連付けて起動・停止を制御したいといったような場合にも、配線によってロジックを変更しなければならず、多くの時間と労力が必要になる。

本発明は、このような点に着目してなされたものであって、配線数を削減するとともに、システムの構築が容易なセーフティコントローラおよびそれを用いたシステムを提供することを目的とする。

本発明では、上記目的を達成するために、次のように構成している。

すなわち、本発明のセーフティコントローラは、入力機器からの安全側または危険側に対応する入力に基づいて、安全出力制御対象に前記安全側または前記危険側に対応する安全出力を与えて機械設備の運転を制御するセーフティコントローラであって、前記安全出力として半導体出力を与える複数の安全出力部と、他のセーフティコントローラに前記安全側または前記危険側に対応する接続用出力として半導体出力を与える接続出力部と、前記入力機器からの前記入力に基づいて、プログラムに従って前記安全出力および前記接続用出力を制御する制御部とを備え、前記入力、複数の前記安全出力および前記接続用出力は、パルス信号であり、該パルス信号のパターンおよびタイミングの少なくともいずれか一方を相違させることによってその信号の性質について、機械設備の稼動が許される安全側の状態において、前記入力、複数の前記安全出力および前記接続用出力の全てを、互いに異ならせており、前記制御部は、前記安全出力部の安全出力および前記接続出力部の接続用出力の状態を監視して異常を検知し、いずれか一つの安全出力および接続出力に異常を検知したとき、全ての安全出力および接続出力を危険側に制御する。

ここで、入力機器とは、当該セーフティコントローラに対する入力を与える機器をいい、例えば、非常停止スイッチ、セーフティドアスイッチ、セーフティリミットスイッチ、セーフティライトカーテンなどをいう。

安全出力制御対象とは、当該セーフティコントローラの出力である安全出力によって制御される対象をいい、例えば、マグネットコンタクタ、モータコントローラ、可変モータ、ＰＬＣなどをいう。

機械設備とは、各種の工作機械、産業用ロボットなどをいう。

安全側とは、機械設備の稼動が許容される側をいい、危険側とは、機械設備の稼動が禁止される側をいう。

また、機械設備の運転を制御するとは、機械設備の起動・停止の制御や動作速度の制御などをいう。

接続用出力とは、当該セーフティコントローラと他のセーフティコントローラとの接続に用いられる出力をいう。

なお、危険側に対応する複数の前記安全出力および危険側に対応する前記接続用出力は、異なっていてもよいし、同じであってもよい。

本発明によると、半導体出力である安全出力を安全出力制御対象に与える複数の安全出力部と、安全出力を、プログラムに従って制御する制御部とを備えているので、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、ユーザの要求に応じて、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。また、複数の安全出力によって、二重化を図りながら、接続用出力を用いて他のセーフティコントローラを、当該セーフティコントローラと容易に関連付けることができる。

ここで、本発明の作用効果を明確にするために、二重化について説明する。二重化とは、システムを信頼性を高める方式の一つであって、例えば、２系統でシステムを構成することをいう。

例えば、図１７は、起動スイッチなどの入力部８１からの入力に基づくセーフティユニット８２からの安全出力によって、スイッチ８３を介してモータ８５の制御を行なう構成例を示している。

同図（ｂ）は、一つの安全出力によって一つのスイッチ８３を介してモータ８５を制御する一系統の構成であるのに対して、同図（ａ）は、二つの安全出力によって二つのスイッチ８３，８４を介してモータ８５を制御する二系統の構成、すなわち、二重化されている。

同図（ｂ）の一系統の構成では、例えば、スイッチ８３がオンしたまま故障してしまうと、入力部８１を操作してもモータ８５を停止させることができないのに対して、同図（ａ）の二重化された構成では、一方のスイッチ８３がオンしたまま故障しても他方のスイッチ８４によってモータ８５を停止させることができ、安全のレベルが高い構成となる。

したがって、複数の安全出力を有する本発明では、二重化によって高い安全のレベルを確保することができる。

しかも、入力、複数の安全出力および接続用出力は、機械設備の稼動が許容される安全側において互いに異なっているので、例えば、入力状態や出力状態を監視することにより、複数の安全出力間、入力と安全出力との間、入力と接続用出力との間、あるいは、安全出力と接続用出力との間で、短絡が生じたり、入力部や出力部の回路故障などの異常が生じた場合には、互いに異なっていたパルス信号が変化することになり、それに基づいて短絡などの異常を検知して機械設備の稼動を禁止することができるので、短絡保護が要求されるような高い安全レベルを確保できる。

本発明の一実施態様においては、他のセーフティコントローラから出力される接続用出力が接続用入力として与えられる接続入力部を備え、前記制御部は、前記入力機器からの入力および前記接続入力部からの接続用入力に基づいて、前記安全出力および前記接続用出力を制御するとともに、前記入力機器からの入力および接続入力部の接続用入力の状態を監視して異常を検知し、いずれか１つの入力および接続用入力に異常を検知したとき、全ての安全出力および接続出力を危険側に制御するものである。

この実施態様によると、他のセーフティコントローラから与えられる接続用入力に、当該セーフティコントローラの安全出力や接続用出力の出力状態を関連付けることが可能となる。

本発明の好ましい実施態様においては、前記接続用出力が、論理接続用の出力であり、前記制御部は、前記プログラムに従って、前記入力機器からの入力および前記接続入力部からの接続用入力に基づいて、論理演算を行なって前記安全出力および前記接続用出力を制御するものである。

ここで、論理接続用とは、当該セーフティコントローラに接続される他のセーフティコントローラを、例えば、論理積や論理和といった論理によって関連付けて接続するためのものをいう。

この実施態様によると、入力機器からの入力および接続入力部からの接続用入力の論理演算を行なって、その結果を安全出力や接続用出力とすることができるので、当該セーフティコントローラと他のセーフティコントローラとの安全出力や接続用出力を、論理積や論理和といった論理によって関連付けることが可能となる。

本発明の他の実施態様においては、前記接続出力部を複数備え、少なくとも論理積および論理和の二つの前記接続用出力を与えるものである。

この実施態様によると、論理積および論理和の二つの接続用出力を備えているので、当該セーフティコントローラと他のセーフティコントローラとの安全出力や接続用出力を、論理積や論理和といった論理によって関連付けることが可能となり、例えば、入力機器からの入力および接続入力部からの接続用入力の論理積をとって、その結果を安全出力や接続用出力とすることができるので、入力機器からの入力の状態が、機械設備を稼動させることが許容される安全側の状態であって、かつ、他のセーフティコントローラからの接続用入力の状態が、同じく安全側の状態にあるときにのみ、当該セーフティコントローラの安全出力の出力の状態を安全側の状態にするといったことが可能となる。

本発明の一つの実施態様においては、前記制御部は、前記プログラムに従って、前記接続用出力の出力状態を、前記安全出力の出力状態と同一の前記安全側または前記危険側に制御するものである。

この実施態様によると、接続用出力の出力状態が、安全出力の出力状態と同じであるので、当該セーフティコントローラの接続用出力が与えられる他のセーフティコントローラは、その安全出力を、当該セーフティコントローラの安全出力に論理演算によって関連付けることができる。

本発明の一実施態様においては、前記制御部は、二つのＣＰＵを備えている。

この実施態様によると、二つのＣＰＵによって同じ処理を実行して二重化することによって、安全性を高めることができる。

また、本発明のシステムは、本発明のセーフティコントローラの複数を、前記接続入力部および前記接続出力部を介して接続してなるものである。

本発明によると、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、ユーザの要求に応じて、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。また、他のセーフティコントローラを、接続用出力を用いて、例えば、論理積や論理和といった論理によって関連付けることが可能となり、システムの拡張性が向上する。

しかも、複数の安全出力および接続用出力は、安全側における出力が互いに異なっているので、複数の安全出力によって、二重化を図りながら、出力間の短絡や出力部の回路故障などの異常が生じた場合には、それを検知して機械設備の稼動を禁止することができる。

以上のように本発明によれば、半導体出力である安全出力を安全出力制御対象に与える複数の安全出力部と、他のセーフティコントローラに接続用出力を与える接続出力部と、安全出力および接続用出力を、プログラムに従って制御する制御部とを備えているので、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、ユーザの要求に応じて、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。

しかも、複数のセーフティコントローラを、接続用出力を用いて容易に関連付けることができ、システムの拡張性が向上する。

さらに、入力、複数の安全出力および接続用出力は、パルス信号であり、該パルス信号のパターンおよびタイミングの少なくともいずれか一方を相違させることによってその信号の性質について、機械設備の稼動が許される安全側の状態において、入力、複数の安全出力および接続用出力の全てを、互いに異ならせているので、複数の安全出力によって、二重化を図りながら、出力間の短絡や出力部の回路故障などの異常が生じた場合には、それを検知して機械設備の稼動を禁止することができ、高い安全レベルを確保できる。

以下、図面によって本発明の実施の形態について詳細に説明する。

図１は、本発明の一つの実施の形態に係るセーフティコントローラを用いたシステムの構成例を示す図である。

この実施の形態のセーフティコントローラは、安全が確保されている状態の時のみ図示しない工作機械や産業用ロボットなどの機械設備の動力に電源を供給する安全回路を構成するものである。

この実施の形態のセーフティコントローラには、非常停止スイッチ２などの入力機器が接続される単機能ユニット３と、この単機能ユニット３に接続されるとともに、セーフティドアスイッチ１などの入力機器が接続される高機能ユニット４と、この高機能ユニット４にケーブル６を介して接続される増設ユニット５の３種類がある。

単機能ユニット３は、非常停止スイッチ２などの入力機器から入力が与えられるとともに、工作機械等を駆動するモータ等への電力の供給・遮断を行なう安全出力制御対象としてのマグネットコンタクタなどに対する安全出力および高機能ユニット４に対する論理接続用出力としての内部安全出力を出力するものである。

ここで、論理接続用出力とは、この論理接続用出力を出力する単機能ユニット３と、論理接続用出力が与えられる高機能ユニット４とを論理接続するための出力をいう。

この実施の形態では、単機能ユニット３から安全出力制御対象に対して出力される安全出力と、論理接続用出力とは、その出力の状態が同じ、すなわち、安全出力が、機械設備の稼動を許容する安全側の出力状態であるときには、論理接続用出力も安全側の出力状態であり、また、安全出力が、機械設備の稼動を禁止する危険側の出力状態であるときには、論理接続用出力も危険側の出力状態となる。

そこで、マグネットコンタクタなどの安全出力制御対象に対する本来の安全出力に対して、出力状態が同じである論理接続用出力を、内部安全出力という。

高機能ユニット４は、非常停止スイッチやセーフティドアスイッチ１などの入力機器からの入力および単機能ユニット３や前段の高機能ユニット４から出力される内部安全出力が内部安全入力として与えられるとともに、工作機械等を駆動するモータ等への電力の供給・遮断を行なう安全出力制御対象としてのマグネットコンタクタなどに対する安全出力および後段の高機能ユニット４に対する論理接続用出力としての内部安全出力を出力するものである。

高機能ユニット４から出力される論理接続用出力である内部安全出力も上述と同様に、前段の高機能ユニット４と後段の高機能ユニット４とを論理接続するための出力である。

また、高機能ユニット４から安全出力制御対象に対して出力される安全出力と、内部安全出力とは、その出力の状態は同じである。高機能ユニット４は、安全瞬時出力と安全オフディレー出力とを出力可能であるが、内部安全出力は、安全瞬時出力の出力状態と同じ出力状態となっている。

ここで、安全瞬時出力とは、安全出力が安全側の状態において、安全入力が安全側から危険側に切り換わったときに、瞬時に危険側に切り換わる安全出力をいい、安全オフディレー出力とは、安全出力が安全側の状態において、安全入力が安全側から危険側に切り換わったときに、設定された時間に亘って安全側の状態を継続した後、遅れて危険側に切り換わる安全出力をいう。

なお、図１においては、単機能ユニット３から高機能ユニット４に与えられる内部安全出力および前段の高機能ユニット４から後段の高機能ユニット４に与えられる内部安全出力を破線矢符でそれぞれ示しているが、この実施の形態では、高機能ユニット４には、単機能ユニット３または前段の高機能ユニット４のいずれかからの内部安全出力が与えられる。

増設ユニット５は、ケーブル６を介して高機能ユニット４に接続され、高機能ユニット４に同期した安全出力を、工作機械等を駆動するための電力の供給・遮断を行なう安全出力制御対象としてのマグネットコンタクタ等に対して出力するものである。

単機能ユニット３は、後述のように制御部を構成するＣＰＵを搭載しており、二つの安全入力を入力できるとともに、半導体出力（トランジスタ出力）である二つの安全瞬時出力および一つの内部安全出力を出力することができる。この実施の形態では、論理接続用の内部安全出力は、ＡＮＤ接続用の内部安全出力となっている。二つの安全入力には、安全規格上の二重化のために、１個の非常停止スイッチなどからの入力が与えられる。

また、単機能ユニット３は、安全瞬時出力に同期したモニタ出力および内部エラー時のエラー出力を出力することができる。さらに、単機能ユニット３は、フィードバック／リセット入力を入力することができる。

この単機能ユニット３は、図２の正面図に示されるように、上下に複数の入出力用の端子７を備えるとともに、電源（ＰＷＲ）、エラー状態（ＥＲＲ）、安全入力１，２（Ｔ１，Ｔ２）および安全瞬時出力（ＥＩ）の各状態をＬＥＤでそれぞれ表示する表示部８を備えている。

高機能ユニット４は、単機能ユニット３と同様に、制御部としてのＣＰＵを搭載しており、二つの安全入力および一つの内部安全入力を入力できるとともに、半導体出力（トランジスタ出力）である二つの安全瞬時出力、二つの安全オフディレー出力および論理接続用出力としての一つの内部安全出力、この実施の形態では、ＡＮＤ接続用の内部安全出力を出力することができる。

二つの安全入力には、単機能ユニット３と同様に、二重化のために、１個の非常停止スイッチや１個のセーフティドアスイッチなどからの入力が与えられる。

一つの内部安全入力は、単機能ユニット３あるいは前段の高機能ユニット４からの内部安全出力が入力されるものであり、この内部安全入力によって、単機能ユニット３あるいは前段の高機能ユニット４に論理接続、この実施の形態では、ＡＮＤ接続されることになる。

すなわち、この実施の形態では、この内部安全入力と、当該高機能ユニット４の二つの安全入力とがＡＮＤで論理接続されるものであり、内部安全入力の入力状態が安全側の状態であって、かつ、二つの安全入力の入力状態が安全側の入力状態であるときに、安全側の出力状態の安全出力を出力するものである。

また、この高機能ユニット４は、安全瞬時出力に同期したモニタ出力および内部エラー時のエラー出力を出力することができる。さらに、高機能ユニット４は、フィードバック／リセット入力を入力することができる。

この高機能ユニット４は、図３の正面図に示されるように、上下に複数の入出力用の端子９を備えるとともに、電源（ＰＷＲ）、エラー状態（ＥＲＲ）、安全入力１，２（Ｔ１，Ｔ２）、内部安全入力（ＡＮＤ）、フィードバック入力（ＦＢ）、安全瞬時出力（ＥＩ）および安全オフディレー出力（ＥＤ）の各状態をＬＥＤで表示する表示部１０を備えている。また、この高機能ユニット４は、増設ユニットを５接続するためのコネクタ１１を備えており、増設ユニット５を５台まで接続することができる。

このコネクタ１１を介して、安全瞬時出力、安全オフディレー出力、増設ユニット５のフィードバック入出力およびグランドの各信号の授受が行なわれる。

また、この高機能ユニット４は、図４の背面図に示されるように、ＤＩＮレールに装着される部分に、開口が形成されており、この開口部に臨むようにディップスイッチ１２およびロータリスイッチ１３を備えており、非常停止スイッチ、セーフティドアスイッチあるいはセーフティライトカーテンなどの接続されている入力機器の種類の設定やオフディレー時間などの設定が行なわれる。

また、論理接続用の内部安全入力を、有効あるいは無効とする設定部としてのスイッチも備えられており、このスイッチによって、無効が設定されている場合には、他のユニット３，４から与えられる内部安全入力は、無効とされ、論理接続は行なわれない。

増設ユニット５は、高機能ユニット４だけでは、出力点数が不足する場合に、必要に応じて増設されるものであり、複数の電磁リレーを内蔵している。この増設ユニット５は、高機能ユニット４からの安全瞬時出力に同期してリレー出力である三つの安全出力を出力する瞬時タイプと、高機能ユニット４からの安全オフディレー出力に同期してリレー出力である三つの安全出力を出力するオフディレータイプとがある。

この増設ユニット５は、図５の正面図に示されるように、上下に複数の入出力用の端子１４を備えるとともに、電源（ＰＷＲ）、エラー状態（ＥＲＲ）、安全瞬時出力（ＥＩ）または安全オフディレー出力（ＥＤ）の各状態をＬＥＤでそれぞれ表示する表示部１５を備えている。また、この増設ユニット５は、高機能ユニット４に接続するため、または、増設ユニット５を接続するためのコネクタ１６を備えている。

図６は、高機能ユニット４のブロック図である。同図において、１７，１８は、制御部を構成する二つの第１，第２のＣＰＵであり、各ＣＰＵ１７，１８で同じ処理を実行して二重化している。各ＣＰＵ１７，１８は、ＣＰＵ間通信ポートを介してソフト処理の同期をとるなどのために通信を行う。

２０は上述のディップスイッチなどの設定スイッチ１９からの設定内容を格納する不揮発性メモリ、２１は上述の電源（ＰＷＲ）やエラー状態（ＥＲＲ）などの各状態を表示するＬＥＤ、２２は遅延ＩＣを用いたウォッチドッグタイマ、２３は各部に電源を供給する電源回路２４の状態を監視する監視回路である。

また、２５，２６は二重化している安全入力の各１系統であり、例えば、１個のセーフティドアスイッチからの入力が与えられる。２７は、フィードバック入力あるいはリセット入力が与えられるリセット入力回路である。

２８は単機能ユニット３または前段の高機能ユニット４からの論理接続用入力である内部安全入力が与えられるＡＮＤ入力回路、２９，３０は外部のパソコンなどとの通信用のＲＳ２３２Ｃ回路および切替スイッチである。

３１は瞬時用の安全出力回路、３２はオフディレー用の安全出力回路、３３は二重化用の出力ライン制御回路、３４は後段の高機能ユニット４に対して内部安全出力を出力する内部安全出力回路、３５は安全瞬時出力を、プログラマブルコントローラ（ＰＬＣ）などにモニタ用として出力するモニタ出力回路、３６は内部エラー時にエラー出力を与えるエラー出力回路、３７は増設ユニット５を接続するためのコネクタである。

制御部としての第１，第２のＣＰＵ１７，１８は、安全入力回路２５，２６からの安全入力およびＡＮＤ入力回路２８からの内部安全入力に基づいて、プログラムに従って、安全出力回路３１，３２および内部安全出力回路３４を制御して半導体出力（トランジスタ出力）である安全出力および内部安全出力を制御する。内部安全出力回路３４は、半導体出力用のトランジスタを備えている。

図７は、図６の瞬時用の安全出力回路３１、オフディレー用の安全出力回路３２および出力ライン制御回路３３の構成を示すブロック図であり、図６に対応する部分には、同一の参照符号を付す。この図７においては、第１のＣＰＵ１７からの信号および第１のＣＰＵ１７に対する信号を破線の矢符で示し、第２のＣＰＵ１８からの信号および第２のＣＰＵ１８に対する信号を一点鎖線の矢符でそれぞれ示している。

瞬時用の安全出力回路３１は、二つの瞬時出力制御部３８，３９を備えており、オフディレー用の安全出力回路３２は、二つのオフディレー出力制御部４０，４１を備えている。各出力制御部３８〜４１は、半導体出力用のトランジスタを備えている。

安全出力二重化用の出力ライン制御回路３３には、第１，第２のＣＰＵ１７，１８からの駆動用信号Ｓ１，Ｓ２、ウォッチドッグタイマ２２からのＷＤＴ信号および電源回路２４を監視する監視回路２３からのＰＳＭ信号がそれぞれ与えられる。

駆動用信号Ｓ１，Ｓ２が共にオンすることによって、電源ラインＶＬに電圧が印加されて各出力制御部３８〜４１に電源が供給される。

ウォッチドッグタイマ２２からのＷＤＴ信号は、各出力制御部３８〜４１にも与えられており、このＷＤＴ信号は、ウォッチドッグタイマ２２にリセットがかからないときには、オフして全ての出力制御部３８〜４１の安全出力が、機械設備の稼動を禁止する危険側であるオフとなって安全を確保することができる。

電源を監視する監視回路２３からのＰＳＭ信号は、各出力制御部３８〜４１にも与えられており、電源異常が検知された場合には、このＰＳＭ信号がオフして全ての出力制御部３８〜４１の安全出力が、機械設備の稼動を禁止する危険側であるオフとなって安全を確保することができる。

出力ライン制御回路３３は、第１，第２のＣＰＵ１７，１８に対してモニタ用信号Ｓ４，Ｓ５をそれぞれ出力しており、このモニタ用信号Ｓ４，Ｓ５は、出力ライン制御回路３３に故障（異常）が発生したり、あるいは、上述のＷＤＴ信号またＰＳＭ信号がオフしたときに、オンする。

瞬時用の安全出力回路３１の各瞬時出力制御部３８，３９には、第１のＣＰＵ１７から瞬時出力の駆動用信号Ｓ６，Ｓ７がそれぞれ与えられ、この駆動用信号Ｓ６，Ｓ７によって、安全瞬時出力のオン（安全側）／オフ（危険側）の論理がそれぞれ制御される。すなわち、この駆動用信号Ｓ６，Ｓ７がオンし、かつ、上述の電源ラインＶＬがオンしているときに、各瞬時出力端子４２，４３から安全側の状態であるオンの安全瞬時出力をそれぞれ出力する。

また、各瞬時出力制御部３８，３９は、第１，第２のＣＰＵ１７，１８に対して、モニタ用信号Ｓ９，Ｓ１０をそれぞれ出力しており、各瞬時出力制御部３８，３９が正常であれば、このモニタ用信号Ｓ９，Ｓ１０は、駆動用信号Ｓ６，Ｓ７の反転論理の信号となる。

オフディレー用の安全出力回路３２の各オフディレー出力制御部４０，４１には、第２のＣＰＵ１８からオフディレー出力の駆動用信号Ｓ１２，Ｓ１３がそれぞれ与えられ、この駆動用信号Ｓ１２，Ｓ１３によって、安全オフディレー出力のオン（安全側）／オフ（危険側）の論理が制御される。すなわち、この駆動用信号Ｓ１２，Ｓ１３がオンし、かつ、上述の電源ラインＶＬがオンしているときに、各オフディレー出力端子４５，４６から安全側の状態であるオンの安全オフディレー出力をそれぞれ出力する。

また、各オフディレー出力制御部４０，４１は、第１，第２のＣＰＵ１７，１８に対して、モニタ用信号Ｓ１４，Ｓ１５をそれぞれ出力しており、各オフディレー出力制御部４０，４１が正常であれば、このモニタ用信号Ｓ１４，Ｓ１５は、駆動用信号Ｓ１２，Ｓ１３の反転論理の信号となる。

安全出力二重化用の出力ライン制御回路３３は、瞬時出力制御部３８，３９またはオフディレー出力制御部４０，４１に故障（異常）が発生した場合には、電源ラインＶＬをオフして瞬時出力端子４２，４３およびオフディレー出力端子４５，４６の安全出力を、すべてオフにして安全を確保する。

逆に、この出力ライン制御回路３３に、故障（異常）が発生した場合には、瞬時出力制御部３８，３９およびオフディレー出力制御部４０，４１によって瞬時出力端子４２，４３およびオフディレー出力端子４５，４６の安全出力を、すべてオフして安全を確保する。

図８は、単機能ユニット３のブロック図であり、図６に対応する部分には、同一の参照符号を付す。

単機能ユニット３は、上述のＡＮＤ入力回路２８、オフディレー用の安全出力回路３２、設定スイッチ１９および増設ユニット用のコネクタ３７が備えられておらず、その他は、基本的に上述の高機能ユニット４と同様である。

このように第１，第２のＣＰＵ１７，１８を有する制御部によって、プログラムに従って半導体出力である安全出力を制御するので、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。

さらに、この実施の形態では、入出力に短絡などの異常が生じた場合に、それを検知して、機械設備の稼動を禁止する短絡保護機能を有している。

以下、この短絡保護機能を、いくつかの使用例に基づいて詳細に説明する。

図９は、高機能ユニット４単独の場合の接続状態を示す図であり、図１０は、そのタイムチャートである。なお、図１０において、安全入力および安全出力は、機械設備の稼動が許容される安全側の状態をオン状態で示しているが、このオン状態は、後述のようにパルス信号で構成されている。

この例では、高機能ユニット４の端子Ｔ１１，Ｔ１２の安全入力１と、端子Ｔ２１，Ｔ２２の安全入力２とには、例えば、１個のセーフティドアスイッチの二つの接点が接続され、フィードバックループ４７には、マグネットコンタクタ５４，５５のｂ接点が直列に接続されるとともに、リセットボタン５０が直列に接続される。

また、瞬時出力端子Ｓ１３，Ｓ２３、すなわち、安全出力１，２は、マグネットコンタクタ５４，５５に接続されている。

セーフティドアスイッチが装備されているドアが閉じられて、図１０（ａ），（ｂ）に示されるように、高機能ユニット４の二つの安全入力１，２がオンし、さらに、図１０（ｃ）に示されるように、リセット入力がオフ、オン、オフされることによって、図１０（ｄ），（ｅ）に示されるように、高機能ユニット４の安全出力１，２がオンし、これによって、各マグネットコンタクタ５４，５５がオンしてモータ６３が駆動されて機械設備が稼動することになる。

この状態で、例えば、ドアが開かれると、図１０（ａ），（ｂ）に示されるように二つの安全入力１，２がオフし、図１０（ｄ），（ｅ）に示されるように高機能ユニット４の安全出力１，２がオフし、これによって、各マグネットコンタクタ５４，５５がオフしてモータ６３への電源が遮断されて機械設備の稼動が停止されることになる。

図１１は、図１０の安全入力１，２および安全出力１，２の信号波形を示す図であり、図１０に比べて時間軸を拡大して示している。

この実施の形態では、図１０におけるオンの状態、すなわち、機械設備の稼動が許容される安全側の状態における安全入力１，２および安全出力１，２は、互いに異なるものである。具体的には、この実施の形態では、安全入力１，２と安全出力１，２とは、周期が異なるパルス信号である。さらに、安全入力１，２は、デューティ比が３／４であって、そのタイミングが１／２周期ずれたパルス信号となっており、安全出力１，２は、デューティ比が５／６であって、そのタイミングが１／２周期ずれたパルス信号となっている。

これらパルス信号の１周期におけるＯＦＦの期間は、例えば、数百μｓｅｃ程度である。

このように各パルス信号を互いに異ならせることにより、短絡が生じた場合、例えば、図１２に示されるように、安全入力１，２間に時刻ｔ１において短絡が生じたような場合には、同図（ｂ）に示される安全入力２が、想定外のＯＮ状態を継続することになり、高機能ユニット４の第１，第２のＣＰＵ１７，１８は、直ちにその入力信号の異常を検知して、安全出力１，２を、時刻ｔ２において、機械設備の稼動を禁止する危険側の出力状態、すなわち、オフの状態に切換えるものである。

高機能ユニット４の第１，第２のＣＰＵ１７，１８は、安全入力１，２の入力状態の監視と同様に、安全出力１，２の出力状態を監視しており、上述の安全入力の場合と同様に、想定外の出力状態となったときには、短絡などの異常であるとして検知するものである。

このように高機能ユニット４の第１，第２のＣＰＵ１７，１８は、安全入力および安全出力について、そのパルス信号のパターンを監視しており、想定される安全入力あるいは安全出力のパターンと相違したときには、短絡、あるいは、入力回路や出力回路の故障などの異常であると判断して安全出力および内部安全出力を、機械設備の稼動を禁止する危険側の状態の出力にするものである。

このパルス信号の監視による短絡などの異常の検知は、オンの状態、すなわち、機械設備の稼動を許容する安全側の状態において、パルス信号が、ＯＦＦすべきタイミングでＯＦＦしているか否かを監視し、ＯＦＦしていないときには、異常であると判断するのが好ましい。

以上のようにして高機能ユニット４は、安全入力間、安全出力間、あるいは、安全入力と安全出力との間に短絡が生じたり、回路故障などの異常が生じたときには、パルス信号波形の変化に基づいて、それを検知して機械設備の稼動を禁止する、すなわち、機械設備を停止させることができる。

図１３は、２台の高機能ユニット４−１，４−２の接続状態を示す図であり、図１４は、そのタイムチャートである。なお、第２の高機能ユニット４−２の二つの安全入力および二つの安全出力を、便宜上、安全入力３，４および安全出力３，４と称する。また、第１，第２の高機能ユニット４−１，４−２がそれぞれ出力する内部安全出力を、内部安全出力１，２と称する。図１４において、安全入力、安全出力、内部安全出力および内部安全入力は、上述の図１０と同様に、機械設備の稼動が許容される安全側の状態をオン状態で示しているが、このオン状態は、上述のようにパルス信号で構成されている。

この例では、第１の高機能ユニット４−１の端子Ｔ１１，Ｔ１２の安全入力１と、端子Ｔ２１，Ｔ２２の安全入力２とには、例えば、１個のセーフティドアスイッチの二つの接点が接続され、フィードバックループ４７には、マグネットコンタクタ５４，５５のｂ接点が直列に接続されるとともに、リセットボタン５０が直列に接続される。

また、瞬時出力端子Ｓ１３，Ｓ２３、すなわち、安全出力１，２は、マグネットコンタクタ５４，５５に接続される。内部安全出力端子ＬＯは、第２の高機能ユニット４−２の内部安全入力端子ＬＡに接続される。すなわち、第１の高機能ユニット４−１の内部安全出力１が、後段の第２の高機能ユニット４−２の内部安全入力１（ＡＮＤ入力）として与えられている。

第２の高機能ユニット４−２の端子Ｔ１１，Ｔ１２の安全入力３と、端子Ｔ２１，Ｔ２２の安全入力４とには、例えば、第１の高機能ユニット４−１のセーフティドアスイッチとは別の１個のセーフティドアスイッチの二つの接点が接続され、フィードバックループ６９には、マグネットコンタクタ７１，７２のｂ接点が直列に接続されるとともに、リセットボタン７０が直列に接続される。

また、瞬時出力端子Ｓ１３，Ｓ２３、すなわち、安全出力３，４は、マグネットコンタクタ７１，７２に接続される。

第１の高機能ユニット４−１に接続されているセーフティドアスイッチのドアが閉じられて図１４（ａ），（ｂ）に示されるように、二つの安全入力１，２がオンし、さらに、図１４（ｃ）に示されるようにリセット入力がオフ、オン、オフされることによって、図１４（ｄ），（ｅ）に示されるように、第１の高機能ユニット４−１の安全出力１，２がオンし、これによって、第１の高機能ユニット４−１の各マグネットコンタクタ５４，５５の主接点がオンしてモータ６３が駆動されることになる。また、この第１の高機能ユニット４−１の安全出力と同じ図１４（ｆ）に示される内部安全出力１が第２の高機能ユニット４−２の内部安全入力１（ＡＮＤ入力）として与えられる。

第２の高機能ユニット４−２は、図１４（ｇ）に示される内部安全入力１がオンしている状態で、かつ、第２の高機能ユニット４−２が安全側になったときに、安全出力をオンする。この図１４では、内部安全入力１がオンしたときには、第２の高機能ユニット４−２に接続されているセーフティドアスイッチのドアが閉じられており、図１４（ｈ），（ｉ）に示されるように、二つの安全入力３，４がオンしているので、図１４（ｊ）に示されるように、リセット入力がオフ、オン、オフすることによって、ＡＮＤ条件が成立し、図１４（ｋ），（ｌ）に示されるように、第２の高機能ユニット４−２の安全出力３，４がオンし、これによって、第２の高機能ユニット４−２の各マグネットコンタクタ７１，７２がオンしてモータ７９が駆動されることになる。また、第２の高機能ユニット４−２は、図１４（ｍ）に示されるように、安全出力３，４と同じ内部安全出力２（ＡＮＤ出力）を出力する。

この状態で、例えば、第１の高機能ユニット４−１に接続されているセーフティドアスイッチのドアが開かれると、図１４（ａ），（ｂ）に示されるように、第１の高機能ユニット４−１の二つの安全入力１，２がオフし、図１４（ｄ），（ｅ）に示されるように、第１の高機能ユニット４−１の安全出力１，２がオフしてマグネットコンタクタ５４，５５がオフしてモータ６３への電源が遮断されるとともに、図１４（ｆ）に示されるように第２の高機能ユニット４−２に対する内部安全出力１もオフする。

第２の高機能ユニット４−２は、第１の高機能ユニット４−１からの内部安全入力１が、図１４（ｇ）に示されるようにオフすることによって、図１４（ｋ），（ｌ）に示されるように、安全出力３，４がオフし、マグネットコンタクタ７１，７２がオフしてモータ７９の電源を遮断する。また、内部安全出力２も図１４（ｍ）に示されるようにオフする。

このようにして、内部安全出力を用いた論理接続によって、第２の高機能ユニット４−２の安全出力を、第１の高機能ユニット４−１の安全出力に容易に関連付けることができる。

図１５は、図１４の安全入力１，２、安全出力１，２、内部安全出力１（内部安全入力１）、安全入力３，４、安全出力３，４および内部安全出力２の信号波形を示す図であり、上述の図１１と同様に時間軸を拡大して示したものである。

安全入力３，４および安全出力３，４は、上述の安全入力１，２および安全出力１，２と同様である。

この実施の形態では、図１４におけるオンの状態、すなわち、機械設備の稼動が許容される安全側の状態における内部安全出力は、安全入力および安全出力と互いに異なるものである。

具体的には、この実施の形態では、内部安全出力は、安全入力および安全出力とは周期が異なるデューティ比が２／３のパルス信号である。

このように、安全入力、安全出力および内部安全出力の各信号を互いに異ならせることにより、それらの間で短絡が生じたり、入力回路や出力回路の故障などの異常が生じた場合に、パルス信号の波形の変化に基づいて、それを検知して安全出力および内部安全出力を、機械設備の稼動を禁止する危険側の出力状態に切換えるものである。

以上のように、二つの安全出力１，２によって二重化を図りながら、内部安全出力によって、ユニット間を論理接続することができ、しかも、入出力における短絡や回路故障などの異常を検知して機械設備の稼動を禁止して高い安全レベルを確保することができる。

なお、単機能ユニット３の安全入力１，２および安全出力１，２も、高機能ユニット４の安全入力１，２および安全出力１，２と同様のパルス信号である。単機能ユニット３の第１，第２のＣＰＵ１７，１８も、高機能ユニット４と同様に、安全入力および安全出力を監視しており、短絡などの異常が生じた場合に、パルス信号の波形の変化に基づいて、それを検知して安全出力を、機械設備の稼動を禁止する危険側の出力状態に切換えるものである。

（その他の実施の形態）
上述の実施の形態では、安全側において、複数の安全入力、複数の安全出力および内部安全出力の全てを互いに異ならせたけれども、例えば、短絡などを検知する必要のない用途では、異ならせる必要はない。

上述の実施の形態では、論理接続用の内部安全出力（内部安全入力）は、ＡＮＤのみであったけれども、ＯＲ接続用の内部安全出力（内部安全入力）を追加してもよい。ＯＲ接続用の内部安全出力は、このＯＲ接続用の内部安全出力を出力する高機能ユニットの安全出力と同一の状態の出力となる。すなわち、高機能ユニットの安全出力が、安全側の状態の出力であるときに、ＯＲ接続用の内部安全出力も安全側の状態の出力となる。

このように、ＡＮＤ接続用およびＯＲ接続用の内部安全出力（内部安全入力）を備えることにより、必要に応じて、ＡＮＤ接続用の内部安全出力（内部安全入力）を使用し、あるいは、ＯＲ接続用の内部安全出力（内部安全入力）を使用することができる。

また、ＡＮＤ接続用およびＯＲ接続用の内部安全出力（内部安全入力）を共に使用した、例えば、図１６の概略構成図に示されるようなシステムを構成することができる。

この図１６において、第１の高機能ユニット４−１には、例えば、非常停止スイッチ２から安全入力が与えられ、第２の高機能ユニット４−２には、例えば、イネーブルスイッチ８０から安全入力が与えられる。

第１の高機能ユニット４−１のＡＮＤ接続用の内部安全出力が、第３の高機能ユニット４−３のＡＮＤ接続用の内部安全入力（ＡＮＤ入力）に与えられる一方、第２の高機能ユニット４−２のＯＲ接続用の内部安全出力が、第３の高機能ユニット４−３のＯＲ接続用の内部安全入力（ＯＲ入力）に与えられる。第３の高機能ユニット４−３には、例えば、セーフティドアスイッチ１から安全入力が与えられる。

第３の高機能ユニット４−３は、以下の論理演算を行なって安全出力を与えるものである。

（ＡＮＤ入力）∩（ＯＲ入力∪安全入力）
したがって、試運転やメンテナンスを行なう場合には、非常停止スッチを有効にしつつ、セーフティドアスイッチ１が装備されたドアを開放した状態、すなわち、安全入力がオンの状態でなくても、イネーブルスイッチ８０を用いて作業を行うことができる。

なお、ＯＲ接続用の内部安全出力（内部安全入力）の安全側の状態におけるパルス信号を、上述の安全入力、安全出力およびＡＮＤ接続用のパルス信号と異ならせることにより、ＯＲ接続用の内部安全出力（内部安全入力）の短絡などの異常を検知することができる。

上述の実施の形態では、単機能ユニット３および高機能ユニット４は、それぞれＣＰＵを二つ備えていたけれども、本発明の他の実施の形態として、ＣＰＵは一つであってもよい。

なお、単機能ユニット３および高機能ユニット４の安全入力、安全出力、あるいは、内部安全出力（内部安全入力）の数やパルス信号は、上述の実施の形態に限らないのは勿論である。

上述の実施の形態では、機械設備の稼動が禁止される危険側の状態における安全入力、安全出力および内部安全出力は、すべてオフであって共通であったけれども、本発明の他の実施の形態として、危険側の状態においても、安全入力、安全出力および内部安全出力を異ならせるようにしてもよい。

本発明は、安全システムの構築に有用である。

本発明の一つの実施の形態に係るシステムの構成例を示す図である。 図１の単機能ユニットの正面図である。 図１の高機能ユニットの正面図である。 図１の高機能ユニットの背面図である。 図１の単機能ユニットの正面図である。 図１の高機能ユニットのブロック図である。 図６の一部の詳細を示すブロック図である。 図１の単機能ユニットのブロック図である。 第１の使用例の接続状態を示す図である。 図９のタイムチャートである。 図１０の安全入力および安全出力の信号波形を示す図である。 短絡が生じた場合の信号波形を示す図である。 第２の使用例の接続状態を示す図である。 図１３のタイムチャートである。 図１４の安全入力、安全出力、内部安全出力の信号波形を示す図である。 第３の使用例を示す概略構成図である。 二重化を説明するための構成図である。

符号の説明

１ セーフティドアスイッチ
２ 非常停止スイッチ
３ 単機能ユニット
４ 高機能ユニット
５ 増設ユニット
１７，１８ 第１，第２のＣＰＵ
３１ 瞬時用の安全出力回路
３２ オフディレー用の安全出力回路
３４ 内部安全出力回路

Claims (7)

1. 入力機器からの安全側または危険側に対応する入力に基づいて、安全出力制御対象に前記安全側または前記危険側に対応する安全出力を与えて機械設備の運転を制御するセーフティコントローラであって、
   前記安全出力として半導体出力を与える複数の安全出力部と、
   他のセーフティコントローラに前記安全側または前記危険側に対応する接続用出力として半導体出力を与える接続出力部と、
   前記入力機器からの前記入力に基づいて、プログラムに従って前記安全出力および前記接続用出力を制御する制御部とを備え、
   前記入力、複数の前記安全出力および前記接続用出力は、パルス信号であり、該パルス信号のパターンおよびタイミングの少なくともいずれか一方を相違させることによってその信号の性質について、機械設備の稼動が許される安全側の状態において、前記入力、複数の前記安全出力および前記接続用出力の全てを、互いに異ならせており、
   前記制御部は、前記安全出力部の安全出力および前記接続出力部の接続用出力の状態を監視して異常を検知し、いずれか一つの安全出力および接続出力に異常を検知したとき、全ての安全出力および接続出力を危険側に制御することを特徴とするセーフティコントローラ。
2. 他のセーフティコントローラから出力される接続用出力が接続用入力として与えられる接続入力部を備え、
   前記制御部は、前記入力機器からの入力および前記接続入力部からの接続用入力に基づいて、前記安全出力および前記接続用出力を制御するとともに、前記入力機器からの入力および接続入力部の接続用入力の状態を監視して異常を検知し、いずれか１つの入力および接続用入力に異常を検知したとき、全ての安全出力および接続出力を危険側に制御する請求項１に記載のセーフティコントローラ。
3. 前記接続用出力が、論理接続用の出力であり、前記制御部は、前記プログラムに従って、前記入力機器からの入力および前記接続入力部からの接続用入力に基づいて、論理演算を行なって前記安全出力および前記接続用出力を制御する請求項２記載のセーフティコントローラ。
4. 前記接続出力部を複数備え、少なくとも論理積および論理和の二つの前記接続用出力を与える請求項３記載のセーフティコントローラ。
5. 前記制御部は、前記プログラムに従って、前記接続用出力の出力状態を、前記安全出力の出力状態と同一の前記安全側または前記危険側に制御する請求項１〜４のいずれかに記載のセーフティコントローラ。
6. 前記制御部は、二つのＣＰＵを備える請求項１〜５のいずれかに記載のセーフティコントローラ。
7. 請求項１〜６のいずれかに記載のセーフティコントローラの複数を、前記接続入力部および前記接続出力部を介して接続してなるシステム。

Images