JP4345455B2 - セーフティコントローラおよびそれを用いたシステム - Google Patents

Description

本発明は、セーフティコントローラおよびそれを用いたシステムに関し、更に詳しくは、工作機械や産業用ロボットなどの機械設備の安全回路に好適なセーフティコントローラおよびそれを用いたシステムに関する。

従来、例えば、生産現場の労働安全を確保するために、複数の電磁リレーを内蔵したリレーユニットを用いて安全回路、すなわち、安全が確保されている状態の時のみ工作機械や産業用ロボットなどの機械設備の動力に電源を供給する安全回路が構築されている（例えば、特許文献１参照）。

かかるリレーユニットは、非常停止スイッチなどの安全スイッチやセーフティドアスイッチなどの安全エリアセンサからの入力信号に基づいて、安全回路の状態を監視し、不具合が発生した時には、機械設備の電源を確実に遮断するとともに、その不具合原因が取り除かれない限りは、機械設備の再起動を行なわない機能を備えている。
特開２００３−１４０７０２号公報

かかる電磁リレーを内蔵したリレーユニットを用いたシステムでは、リレーシーケンスによって安全回路が構築されるので、配線によってロジックが組み立てられることになり、制御すべき工作機械等が多くなると、配線数が増大して複雑になるとともに、その設計も容易ではない。

さらに、ユーザの要求に応じて、システムの一部を変更したいような場合、例えば、複数の工作機械を各作業エリアに配備して構成される生産ラインにおいて、或る作業エリアの工作機械は、隣の作業エリアの工作機械と関連付けて起動・停止を制御したいといったような場合にも、配線によってロジックを変更しなければならず、多くの時間と労力が必要になる。

本発明は、このような点に着目してなされたものであって、配線数を削減するとともに、システムの構築が容易なセーフティコントローラおよびそれを用いたシステムを提供することを目的とする。

本発明では、上記目的を達成するために、次のように構成している。

すなわち、本発明のセーフティコントローラは、入力機器からの安全側または危険側に対応する入力に基づいて、安全出力制御対象に安全側または前記危険側に対応する安全出力を与えて機械設備の運転を制御するセーフティコントローラであって、前記入力機器からの入力信号が与えられる入力部と、前記安全出力制御対象に対して、前記安全出力として半導体出力を与える安全出力部と、他のセーフティコントローラから安全側または前記危険側に対応する接続用信号が入力信号として与えられる接続入力部と、他のセーフティコントローラに対して、当該他のセーフティコントローラの入力信号として安全側または前記危険側に対応する接続用信号である半導体出力を与える接続出力部と、他のセーフティコントローラから与えられる前記接続用信号が正常であるか否かを判定する判定部と、前記入力部の入力信号、前記接続入力部の接続用信号および前記判定部による判定に基づいて、プログラムに従って、入力信号が安全側であり接続入力部の接続用信号が安全側であり判定結果が正常である場合は安全出力および接続用信号をどちらも安全側の出力状態に制御するとともに、それ以外の場合はどちらも危険側の出力状態に制御することで、両方の出力状態を同一に制御する制御部とを備え、前記制御部は、前記制御される安全出力が安全側から危険側に切り換わったときに、安全側から瞬時に危険側に切り換えて出力するための安全瞬時出力を生成するとともに、設定された時間に亘って安全側の状態を継続した後に遅れて危険側に切り換えて出力するための安全オフディレー出力を生成し、前記安全側に対応する接続用信号を、パルス信号であって、かつ、共通のパターンの共通信号とパターンの異なる個別信号とを組み合わせた複数種類の接続用信号として生成可能であり、前記安全出力部は、前記制御部にて生成された安全瞬時出力および安全オフディレー出力である半導体出力を、瞬時出力端子およびオフディレー出力端子を介してそれぞれ別々に出力するものであり、前記接続出力部は、前記制御部で制御される接続用信号を、安全出力端子を介して前記安全出力部の出力とは別途に出力するものである。

ここで、入力機器とは、当該セーフティコントローラに対する入力を与える機器をいい、例えば、非常停止スイッチ、セーフティドアスイッチ、セーフティリミットスイッチ、セーフティライトカーテンなどをいう。

安全出力制御対象とは、当該セーフティコントローラの出力である安全出力によって制御される対象をいい、例えば、マグネットコンタクタ、モータコントローラ、可変モータ、ＰＬＣなどをいう。

機械設備とは、各種の工作機械、産業用ロボットなどをいう。

機械設備の運転を制御するとは、機械設備の起動・停止の制御や動作速度の制御などをいう。

接続用信号とは、他のセーフティコントローラから与えられる入力信号をいう。

本発明によると、半導体出力である安全出力を安全出力制御対象に与える安全出力部と、安全出力を、プログラムに従って制御する制御部とを備えているので、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、ユーザの要求に応じて、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。

また、接続用信号を用いて当該セーフティコントローラと他のセーフティコントローラと容易に関連付けることができる一方、接続用信号が正常であるか否かを判定しているので、例えば、他のセーフティコントローラの出力回路の故障などによって接続用信号に異常が生じたような場合には、接続用信号が正常でないと判定して機械設備の稼動を禁止するといったことが可能となる。しかも、共通のパターンの共通信号とパターンの異なる個別信号とを組み合わせて複数種類の接続用信号を得ることができる。

本発明によると、接続出力部から出力される接続用信号を用いて他のセーフティコントローラを、当該セーフティコントローラと容易に関連付けることができ、例えば、複数の工作機械を各作業エリアに配備して構成される生産ラインにおいて、或る作業エリアの工作機械は、隣の作業エリアの工作機械と関連付けて起動・停止を制御したいといったような場合にも、容易に対応できることになり、拡張性が向上する。

ここで、安全側とは、機械設備の稼動が許容される側をいい、危険側とは、機械設備の稼動が禁止される側をいう。

本発明の更に他の実施態様においては、前記判定部は、前記接続用信号であるパルス信号のハイレベルおよびローレベルの幅を計測して正常であるか否かを判定するものである。

この実施態様によると、接続用信号であるパルス信号のハイレベルおよびローレベルの幅を計測して接続用信号が正常であるか否かを判定することができる。

この実施態様によると、入力機器からの入力および接続入力部からの接続用信号の論理演算を行なって、その結果を安全出力や接続出力部の接続用信号とすることができるので、当該セーフティコントローラと他のセーフティコントローラとの安全出力や接続用信号を、論理積や論理和といった論理によって関連付けることが可能となる。更に、接続用信号は、共通のパターンの共通信号とパターンの異なる個別信号とを組み合わせて複数種類の接続用信号を得ることができるので、種類毎に、論理積や論理和といった論理の内容を割り当てて使用することができる。

本発明のシステムは、本発明に係るセーフティコントローラの複数を接続してなり、１つのセーフティコントローラの接続入力部と別のセーフティコントローラの接続出力部を介して接続してなるものである。

本発明によると、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、ユーザの要求に応じて、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。

また、接続用信号を用いて当該セーフティコントローラを、他のセーフティコントローラと容易に関連付けることが可能となり、拡張性が向上する。しかも、接続用信号が正常であるか否かを判定しているので、例えば、他のセーフティコントローラの出力回路の故障などによって接続用信号に異常が生じたような場合には、当該セーフティコントローラに入力される接続用信号が正常でないと判定して機械設備の稼動を禁止するといったことが可能となる。

以上のように本発明によれば、半導体出力である安全出力を安全出力制御対象に与える安全出力部と、他のセーフティコントローラからの接続用信号が与えられる接続入力部と、接続用信号が正常であるか否かを判定する判定部と、安全出力を、プログラムに従って制御する制御部とを備えているので、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、ユーザの要求に応じて、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。

しかも、接続用信号を用いて、当該セーフティコントローラを他のセーフティコントローラに容易に関連付けることができ、システムの拡張性が向上する。

さらに、他のセーフティコントローラからの接続用信号に異常が生じた場合には、接続用信号が正常でないと判定して機械設備の稼動を禁止するといったことが可能となり、安全を確保することができる。

以下、図面によって本発明の実施の形態について詳細に説明する。

図１は、本発明の一つの実施の形態に係るセーフティコントローラを用いたシステムの構成例を示す図である。

この実施の形態のセーフティコントローラは、安全が確保されている状態の時のみ図示しない工作機械や産業用ロボットなどの機械設備の動力に電源を供給する安全回路を構成するものである。

この実施の形態のセーフティコントローラには、非常停止スイッチ２などの入力機器が接続される単機能ユニット３と、この単機能ユニット３に接続されるとともに、セーフティドアスイッチ１などの入力機器が接続される高機能ユニット４と、この高機能ユニット４にケーブル６を介して接続される増設ユニット５の３種類がある。

単機能ユニット３は、非常停止スイッチ２などの入力機器から入力が与えられるとともに、工作機械等を駆動するモータ等への電力の供給・遮断を行なう安全出力制御対象としてのマグネットコンタクタなどに対する安全出力および高機能ユニット４に対する論理接続用信号としての内部安全出力を出力するものである。

ここで、論理接続用信号とは、この論理接続用信号を出力する単機能ユニット３と、論理接続用信号が与えられる高機能ユニット４とを論理接続するための接続用信号をいう。

この実施の形態では、単機能ユニット３から安全出力制御対象に対して出力される安全出力と、論理接続用信号とは、その出力の状態が同じ、すなわち、安全出力が、機械設備の稼動を許容する安全側の出力状態であるときには、論理接続用信号も安全側の出力状態であり、また、安全出力が、機械設備の稼動を禁止する危険側の出力状態であるときには、論理接続用信号も危険側の出力状態となる。

そこで、マグネットコンタクタなどの安全出力制御対象に対する本来の安全出力に対して、出力状態が同じである論理接続用信号を、内部安全出力という。

高機能ユニット４は、非常停止スイッチやセーフティドアスイッチ１などの入力機器からの入力および単機能ユニット３や前段の高機能ユニット４から出力される論理接続用信号である内部安全出力が内部安全入力として与えられるとともに、工作機械等を駆動するモータ等への電力の供給・遮断を行なう安全出力制御対象としてのマグネットコンタクタなどに対する安全出力および後段の高機能ユニット４に対する論理接続用信号としての内部安全出力を出力するものである。

高機能ユニット４から出力される論理接続用信号である内部安全出力も上述と同様に、前段の高機能ユニット４と後段の高機能ユニット４とを論理接続するための接続用信号である。

また、高機能ユニット４から安全出力制御対象に対して出力される安全出力と、論理接続用信号である内部安全出力とは、その出力の状態は同じである。高機能ユニット４は、安全瞬時出力と安全オフディレー出力とを出力可能であるが、内部安全出力は、安全瞬時出力の出力状態と同じ出力状態となっている。

ここで、安全瞬時出力とは、安全出力が安全側の状態において、安全入力が安全側から危険側に切り換わったときに、瞬時に危険側に切り換わる安全出力をいい、安全オフディレー出力とは、安全出力が安全側の状態において、安全入力が安全側から危険側に切り換わったときに、設定された時間に亘って安全側の状態を継続した後、遅れて危険側に切り換わる安全出力をいう。

なお、図１においては、単機能ユニット３から高機能ユニット４に与えられる内部安全出力および前段の高機能ユニット４から後段の高機能ユニット４に与えられる内部安全出力を破線矢符でそれぞれ示しているが、この実施の形態では、高機能ユニット４には、単機能ユニット３または前段の高機能ユニット４のいずれかからの内部安全出力が与えられる。

増設ユニット５は、ケーブル６を介して高機能ユニット４に接続され、高機能ユニット４に同期した安全出力を、工作機械等を駆動するための電力の供給・遮断を行なう安全出力制御対象としてのマグネットコンタクタ等に対して出力するものである。

単機能ユニット３は、後述のように制御部を構成するＣＰＵを搭載しており、二つの安全入力を入力できるとともに、半導体出力（トランジスタ出力）である二つの安全瞬時出力および一つの内部安全出力を出力することができる。この実施の形態では、論理接続用信号である内部安全出力は、ＡＮＤ接続用の内部安全出力となっている。二つの安全入力には、安全規格上の二重化のために、１個の非常停止スイッチなどからの入力が与えられる。

また、単機能ユニット３は、安全瞬時出力に同期したモニタ出力および内部エラー時のエラー出力を出力することができる。さらに、単機能ユニット３は、フィードバック／リセット入力を入力することができる。

この単機能ユニット３は、図２の正面図に示されるように、上下に複数の入出力用の端子７を備えるとともに、電源（ＰＷＲ）、エラー状態（ＥＲＲ）、安全入力１，２（Ｔ１，Ｔ２）および安全瞬時出力（ＥＩ）の各状態をＬＥＤでそれぞれ表示する表示部８を備えている。

高機能ユニット４は、単機能ユニット３と同様に、制御部としてのＣＰＵを搭載しており、二つの安全入力および一つの内部安全入力を入力できるとともに、半導体出力（トランジスタ出力）である二つの安全瞬時出力、二つの安全オフディレー出力および論理接続用信号である一つの内部安全出力、この実施の形態では、ＡＮＤ接続用の内部安全出力を出力することができる。

二つの安全入力には、単機能ユニット３と同様に、二重化のために、１個の非常停止スイッチや１個のセーフティドアスイッチなどからの入力が与えられる。

一つの内部安全入力は、単機能ユニット３あるいは前段の高機能ユニット４からの論理接続用信号である内部安全出力が入力されるものであり、この内部安全入力によって、単機能ユニット３あるいは前段の高機能ユニット４に論理接続、この実施の形態では、ＡＮＤ接続されることになる。

すなわち、この実施の形態では、この内部安全入力と、当該高機能ユニット４の二つの安全入力とがＡＮＤで論理接続されるものであり、内部安全入力の入力状態が安全側の状態であって、かつ、二つの安全入力の入力状態が安全側の入力状態であるときに、安全側の出力状態の安全出力を出力するものである。

また、この実施の形態では、後述のように、単機能ユニット３と高機能ユニット４、あるいは、高機能ユニット４同士を論理接続するための接続用信号である内部安全入力（内部安全出力）が正常であるか否かを判定し、正常でないときには、機械設備の稼動を禁止して安全を確保するようにしている。

この高機能ユニット４は、安全瞬時出力に同期したモニタ出力および内部エラー時のエラー出力を出力することができる。さらに、高機能ユニット４は、フィードバック／リセット入力を入力することができる。

この高機能ユニット４は、図３の正面図に示されるように、上下に複数の入出力用の端子９を備えるとともに、電源（ＰＷＲ）、エラー状態（ＥＲＲ）、安全入力１，２（Ｔ１，Ｔ２）、内部安全入力（ＡＮＤ）、フィードバック入力（ＦＢ）、安全瞬時出力（ＥＩ）および安全オフディレー出力（ＥＤ）の各状態をＬＥＤで表示する表示部１０を備えている。また、この高機能ユニット４は、増設ユニットを５接続するためのコネクタ１１を備えており、増設ユニット５を５台まで接続することができる。

このコネクタ１１を介して、安全瞬時出力、安全オフディレー出力、増設ユニット５のフィードバック入出力およびグランドの各信号の授受が行なわれる。

また、この高機能ユニット４は、図４の背面図に示されるように、ＤＩＮレールに装着される部分に、開口が形成されており、この開口に臨むようにディップスイッチ１２およびロータリスイッチ１３を備えており、論理接続用信号である内部安全入力を、有効あるいは無効とする設定やオフディレー時間などの設定が行われる。

論理接続用信号である内部安全入力の無効が設定されると、他のユニット３，４から与えられる内部安全入力は、無効とされ、論理接続は行なわれない。

増設ユニット５は、高機能ユニット４だけでは、出力点数が不足する場合に、必要に応じて増設されるものであり、複数の電磁リレーを内蔵している。この増設ユニット５は、高機能ユニット４からの安全瞬時出力に同期してリレー出力である三つの安全出力を出力する瞬時タイプと、高機能ユニット４からの安全オフディレー出力に同期してリレー出力である三つの安全出力を出力するオフディレータイプとがある。

この増設ユニット５は、図５の正面図に示されるように、上下に複数の入出力用の端子１４を備えるとともに、電源（ＰＷＲ）、エラー状態（ＥＲＲ）、安全瞬時出力（ＥＩ）または安全オフディレー出力（ＥＤ）の各状態をＬＥＤでそれぞれ表示する表示部１５を備えている。また、この増設ユニット５は、高機能ユニット４に接続するため、または、増設ユニット５を接続するためのコネクタ１６を備えている。

図６は、高機能ユニット４のブロック図である。同図において、１７，１８は、制御部および後述のように判定部を構成する二つの第１，第２のＣＰＵであり、各ＣＰＵ１７，１８で同じ処理を実行して二重化している。各ＣＰＵ１７，１８は、ＣＰＵ間通信ポートを介してソフト処理の同期をとるなどのために通信を行う。

２０は上述のディップスイッチなどの設定スイッチ１９からの設定内容を格納する不揮発性メモリ、２１は上述の電源（ＰＷＲ）やエラー状態（ＥＲＲ）などの各状態を表示するＬＥＤ、２２は遅延ＩＣを用いたウォッチドッグタイマ、２３は各部に電源を供給する電源回路２４の状態を監視する監視回路である。

また、２５，２６は二重化している安全入力の各１系統であり、例えば、１個のセーフティドアスイッチからの入力が与えられる。２７は、フィードバック入力あるいはリセット入力が与えられるリセット入力回路である。

２８は単機能ユニット３または前段の高機能ユニット４からの論理接続用信号である内部安全入力が与えられるＡＮＤ入力回路、２９，３０は外部のパソコンなどとの通信用のＲＳ２３２Ｃ回路および切替スイッチである。

３１は瞬時用の安全出力回路、３２はオフディレー用の安全出力回路、３３は二重化用の出力ライン制御回路、３４は後段の高機能ユニット４に対して論理接続用信号である内部安全出力を出力する内部安全出力回路、３５は安全瞬時出力を、プログラマブルコントローラ（ＰＬＣ）などにモニタ用として出力するモニタ出力回路、３６は内部エラー時にエラー出力を与えるエラー出力回路、３７は増設ユニット５を接続するためのコネクタである。

制御部としての第１，第２のＣＰＵ１７，１８は、安全入力回路２５，２６からの安全入力および接続入力部としてのＡＮＤ入力回路２８からの内部安全入力に基づいて、プログラムに従って、安全出力回路３１，３２および内部安全出力回路３４を制御して半導体出力（トランジスタ出力）である安全出力および内部安全出力を制御する。内部安全出力回路３４は、半導体出力用のトランジスタを備えている。

図７は、図６の瞬時用の安全出力回路３１、オフディレー用の安全出力回路３２および出力ライン制御回路３３の構成を示すブロック図であり、図６に対応する部分には、同一の参照符号を付す。この図７においては、第１のＣＰＵ１７からの信号および第１のＣＰＵ１７に対する信号を破線の矢符で示し、第２のＣＰＵ１８からの信号および第２のＣＰＵ１８に対する信号を一点鎖線の矢符でそれぞれ示している。

瞬時用の安全出力回路３１は、二つの瞬時出力制御部３８，３９を備えており、オフディレー用の安全出力回路３２は、二つのオフディレー出力制御部４０，４１を備えている。各出力制御部３８〜４１は、半導体出力用のトランジスタを備えている。

安全出力二重化用の出力ライン制御回路３３には、第１，第２のＣＰＵ１７，１８からの駆動用信号Ｓ１，Ｓ２、ウォッチドッグタイマ２２からのＷＤＴ信号および電源回路２４を監視する監視回路２３からのＰＳＭ信号がそれぞれ与えられる。

駆動用信号Ｓ１，Ｓ２が共にオンすることによって、電源ラインＶＬに電圧が印加されて各出力制御部３８〜４１に電源が供給される。

ウォッチドッグタイマ２２からのＷＤＴ信号は、各出力制御部３８〜４１にも与えられており、このＷＤＴ信号は、ウォッチドッグタイマ２２にリセットがかからないときには、オフして全ての出力制御部３８〜４１の安全出力が、機械設備の稼動を禁止する危険側であるオフとなって安全を確保することができる。

電源を監視する監視回路２３からのＰＳＭ信号は、各出力制御部３８〜４１にも与えられており、電源異常が検知された場合には、このＰＳＭ信号がオフして全ての出力制御部３８〜４１の安全出力が、機械設備の稼動を禁止する危険側であるオフとなって安全を確保することができる。

出力ライン制御回路３３は、第１，第２のＣＰＵ１７，１８に対してモニタ用信号Ｓ４，Ｓ５をそれぞれ出力しており、このモニタ用信号Ｓ４，Ｓ５は、出力ライン制御回路３３に故障（異常）が発生したり、あるいは、上述のＷＤＴ信号またＰＳＭ信号がオフしたときに、オンする。

瞬時用の安全出力回路３１の各瞬時出力制御部３８，３９には、第１のＣＰＵ１７から瞬時出力の駆動用信号Ｓ６，Ｓ７がそれぞれ与えられ、この駆動用信号Ｓ６，Ｓ７によって、安全瞬時出力のオン（安全側）／オフ（危険側）の論理がそれぞれ制御される。すなわち、この駆動用信号Ｓ６，Ｓ７がオンし、かつ、上述の電源ラインＶＬがオンしているときに、各瞬時出力端子４２，４３から安全側の状態であるオンの安全瞬時出力をそれぞれ出力する。

また、各瞬時出力制御部３８，３９は、第１，第２のＣＰＵ１７，１８に対して、モニタ用信号Ｓ９，Ｓ１０をそれぞれ出力しており、各瞬時出力制御部３８，３９が正常であれば、このモニタ用信号Ｓ９，Ｓ１０は、駆動用信号Ｓ６，Ｓ７の反転論理の信号となる。

オフディレー用の安全出力回路３２の各オフディレー出力制御部４０，４１には、第２のＣＰＵ１８からオフディレー出力の駆動用信号Ｓ１２，Ｓ１３がそれぞれ与えられ、この駆動用信号Ｓ１２，Ｓ１３によって、安全オフディレー出力のオン（安全側）／オフ（危険側）の論理が制御される。すなわち、この駆動用信号Ｓ１２，Ｓ１３がオンし、かつ、上述の電源ラインＶＬがオンしているときに、各オフディレー出力端子４５，４６から安全側の状態であるオンの安全オフディレー出力をそれぞれ出力する。

また、各オフディレー出力制御部４０，４１は、第１，第２のＣＰＵ１７，１８に対して、モニタ用信号Ｓ１４，Ｓ１５をそれぞれ出力しており、各オフディレー出力制御部４０，４１が正常であれば、このモニタ用信号Ｓ１４，Ｓ１５は、駆動用信号Ｓ１２，Ｓ１３の反転論理の信号となる。

安全出力二重化用の出力ライン制御回路３３は、瞬時出力制御部３８，３９またはオフディレー出力制御部４０，４１に故障（異常）が発生した場合には、電源ラインＶＬをオフして瞬時出力端子４２，４３およびオフディレー出力端子４５，４６の安全出力を、すべてオフにして安全を確保する。

逆に、この出力ライン制御回路３３に、故障（異常）が発生した場合には、瞬時出力制御部３８，３９およびオフディレー出力制御部４０，４１によって瞬時出力端子４２，４３およびオフディレー出力端子４５，４６の安全出力を、すべてオフして安全を確保する。

図８は、単機能ユニット３のブロック図であり、図６に対応する部分には、同一の参照符号を付す。

単機能ユニット３は、上述のＡＮＤ入力回路２８、オフディレー用の安全出力回路３２、設定スイッチ１９および増設ユニット用のコネクタ３７が備えられておらず、その他は、基本的に上述の高機能ユニット４と同様である。

このように第１，第２のＣＰＵ１７，１８を有する制御部によって、プログラムに従って半導体出力である安全出力を制御するので、電磁リレーを内蔵した従来のリレーユニットのように、リレーシーケンスによって安全回路を構築する必要がなく、配線数を削減することができるとともに、メーカ側において、システムの一部を変更したいような場合にも、ソフトウェアの変更によって容易に対応できることになる。

次に各ユニットの動作をいくつかの使用例に基づいて説明する。

図９は、高機能ユニット４単独の場合の接続状態を示す図であり、図１０は、そのタイムチャートである。

この例では、高機能ユニット４の端子Ｔ１１，Ｔ１２の安全入力１と、端子Ｔ２１，Ｔ２２の安全入力２には、例えば、１個のセーフティドアスイッチの二つの接点が接続され、フィードバックループ４７には、マグネットコンタクタのｂ接点が直列に接続されるとともに、リセットボタン５０が直列に接続される。

また、瞬時出力端子Ｓ１３は、アンプ５２に接続され、オフディレー出力端子Ｓ４３，Ｓ５３は、マグネットコンタクタ４８，４９に接続される。この例では、オフディレータイムとして一定時間Ｔが設定されている。

セーフティドアスイッチが装備されているドアが閉じられて、図１０（ａ），（ｂ）に示されるように二つの安全入力１，２がオンし、さらに、図１０（ｃ）に示されるように、リセット入力がオフ、オン、オフされることによって、図１０（ｄ）に示されるように、端子Ｓ１３の安全瞬時出力がオンするとともに、図１０（ｅ）に示されるように端子Ｓ４３，Ｓ５３の安全オフディレー出力がオンしてマグネットコンタクタ４８，４９の主接点がオンしてモータ５１が駆動されて機械設備が稼動することになる。

この状態で、例えば、ドアが開かれると、二つの安全入力１，２がオフする。なお、安全入力１，２は、同時にオンオフするのであるが、図１０（ｂ）には、安全入力２が遅れてオフした場合の例を示している。

安全入力１，２のいずれかがオフすることによって、図１０（ｄ）に示されるように、安全瞬時出力がオフしてアンプ５２によってスローダウンされ、安全オフディレー出力が、一定時間Ｔ後にオフすることによって、マグネットコンタクタ４８，４９の主接点がオフしてモータ５１への電源が遮断されて機械設備の稼動が停止されることになる。

図１１は、２台の高機能ユニット４−１，４−２とオフディレータイプの増設ユニット５との接続状態を示す図であり、図１２は、そのタイムチャートである。なお、第２の高機能ユニット４−２の二つの安全入力を、便宜上、安全入力３，４と称する。

この例では、第１の高機能ユニット４−１の端子Ｔ１１，Ｔ１２の安全入力１と、端子Ｔ２１，Ｔ２２の安全入力２には、例えば、１個のセーフティドアスイッチの二つの接点が接続され、フィードバックループ４７には、マグネットコンタクタのｂ接点が直列に接続されるとともに、リセットボタン５０が直列に接続される。

また、瞬時出力端子Ｓ１３，Ｓ２３は、マグネットコンタクタ５４，５５に接続され、オフディレー出力端子Ｓ３３，Ｓ４３は、マグネットコンタクタ５６，５７に接続される。この第１の高機能ユニット４−１では、オフディレータイムとしてＴ＝０が設定されている。内部安全出力端子ＬＯは、第２の高機能ユニット４−２の内部安全入力端子ＬＡに接続される。すなわち、第１の高機能ユニット４−１の論理接続用信号である内部安全出力が、後段の第２の高機能ユニット４−２のＡＮＤ入力として与えられている。

第２の高機能ユニット４−２の端子Ｔ１１，Ｔ１２の安全入力３と、端子Ｔ２１，Ｔ２２の安全入力４には、例えば、第１の高機能ユニット４−１のセーフティドアスイッチとは別の１個のセーフティドアスイッチの二つの接点が接続され、フィードバックループ６９には、マグネットコンタクタのｂ接点が直列に接続されるとともに、リセットボタン７０が直列に接続される。

また、瞬時出力端子Ｓ１３，Ｓ２３は、マグネットコンタクタ７１，７２に接続され、オフディレー出力端子Ｓ４３，Ｓ５３は、マグネットコンタクタ７３，７４に接続される。この第２の高機能ユニット４−２では、オフディレータイムとして一定時間Ｔが設定されている。

複数の電磁リレーを内蔵した増設ユニット５のオフディレー出力端子７５，７６は、マグネットコンタクタ７７，７８に接続される。

第１の高機能ユニット４−１に接続されているセーフティドアスイッチのドアが閉じられて図１２（ａ），（ｂ）に示されるように、二つの安全入力１，２がオンし、さらに、図１２（ｃ）に示されるようにリセット入力がオフ、オン、オフされることによって、図１２（ｄ）に示されるように第１の高機能ユニット４−１の安全瞬時出力がオンし、これによって、第１の高機能ユニット４−１の各マグネットコンタクタ５４〜５７の主接点がオンしてモータ６３，６４が駆動されることになる。また、この第１の高機能ユニット４−１の安全瞬時出力と同じ図１２（ｅ）に示される内部安全出力が第２の高機能ユニット４−２のＡＮＤ入力（内部安全入力）として与えられる。

第２の高機能ユニット４−２は、図１２（ｆ）に示される論理接続用信号である内部安全入力がオンしている状態で、かつ、第２の高機能ユニット４−２の安全出力が安全側になったときに、安全出力をオンする。この図１２では、内部安全入力がオンしたときには、第２の高機能ユニット４−２に接続されているセーフティドアスイッチのドアが閉じられて、図１２（ｇ），（ｈ）に示されるように、二つの安全入力３，４がオンしているので、図１２（ｉ）に示されるように、リセット入力がオフ、オン、オフすることによって、ＡＮＤ条件が成立し、図１２（ｊ），（ｋ）に示されるように、第２の高機能ユニット４−２の安全瞬時出力および安全オフディレー出力がオンするとともに、図１２（ｌ）に示されるように、増設ユニット５の安全オフディレー出力がオンし、これによって、第２の高機能ユニット４−２および増設ユニット５の各マグネットコンタクタ７１〜７４，７７，７８がオンしてモータ７９〜８１が駆動されることになる。

この状態で、例えば、第１の高機能ユニット４−１に接続されているセーフティドアスイッチのドアが開かれると、図１２（ａ），（ｂ）に示されるように、第１の高機能ユニット４−１の二つの安全入力１，２がオフし、図１２（ｄ）に示されるように、第１の高機能ユニット４−１の安全瞬時出力がオフしてマグネットコンタクタ５４〜５７がオフしてモータ６３，６４への電源が遮断されるとともに、図１２（ｅ）に示されるように第２の高機能ユニット４−２に対する論理接続用信号である内部安全出力もオフする。

第２の高機能ユニット４−２は、第１の高機能ユニット４−１からの内部安全入力が、図１２（ｆ）に示されるようにオフすることによって、図１２（ｊ）に示されるように、安全瞬時出力がオフしてマグネットコンタクタ７１，７２がオフしてモータ７９の電源を遮断し、さらに、図１２（ｋ）に示されるように、一定時間Ｔの遅延の後、安全オフディレー出力がオフするとともに、図１２（ｌ）に示されるように、増設ユニット５の安全オフディレー出力がオフし、これによって、各コンタクタ７３，７４，７７，７８がオフしてモータ８０，８１への電源が遮断されることになる。

このようにして、論理接続用信号である内部安全出力を用いた論理接続によって、第２の高機能ユニット４−２の安全出力を、第１の高機能ユニット４−１の安全出力に容易に関連付けることができる。

図１３は、単機能ユニット３と２台の高機能ユニット４−１，４−２との接続状態を示す図であり、図１４は、そのタイムチャートである。なお、単機能ユニット３の二つの安全入力を、便宜上、安全入力５，６と称する。

この例では、単機能ユニット３の端子Ｔ１１，Ｔ１２の安全入力５と端子Ｔ２１，Ｔ２２の安全入力６には、１個の非常定停止スイッチ８２が二つの接点がそれぞれ接続され、リセット入力には、リセットボタン８３が接続される。この単機能ユニット３の内部安全出力端子ＬＯ１，ＬＯ２が、第１，第２の高機能ユニット４−１，４−２の内部安全入力端子ＬＡ，ＬＡにそれぞれ接続されている。

第１の高機能ユニット４−１の端子Ｔ１１，Ｔ１２の安全入力１と、端子Ｔ２１，Ｔ２２の安全入力２には、１個のセーフティドアスイッチが二つの接点がそれぞれ接続され、フィードバックループ４７には、マグネットコンタクタのｂ接点が直列に接続される。

また、瞬時出力端子Ｓ１３は、アンプ５２に接続され、オフディレー出力端子Ｓ４３，Ｓ５３は、マグネットコンタクタ４８，４９に接続される。この例では、オフディレータイムとして一定時間Ｔが設定されている。

第２の高機能ユニット４−２の端子Ｔ１１，Ｔ１２の安全入力３と、端子Ｔ２１，Ｔ２２の安全入力４には、第１の高機能ユニット４−１とは、別の１個のセーフティドアスイッチの二つの接点がそれぞれ接続され、フィードバックループ８４には、マグネットコンタクタのｂ接点が直列に接続されるとともに、リセットボタン８５が直列に接続される。

また、瞬時出力端子Ｓ１３は、アンプ８６に接続され、オフディレー出力端子Ｓ４３，Ｓ５３は、マグネットコンタクタ８７，８８に接続される。この例では、オフディレータイムとして一定時間Ｔが設定されている。

非常定停止スイッチ８２が操作されていない状態では、図１４（ａ），（ｂ）に示されるように、単機能ユニット３の二つの安全入力５，６がオンしており、さらに、図１４（ｃ）に示されるようにリセット入力がオフ、オン、オフされることによって、図１４（ｄ）に示されるように単機能ユニット３の論理接続用信号である内部安全出力がオンし、この内部安全出力が、図１４（ｅ），（ｊ）に示されるように、第１，第２の高機能ユニット４−１，４−２の内部安全入力にＡＮＤ入力としてそれぞれ与えられる。

第１の高機能ユニット４−１は、論理接続用信号である内部安全入力がオンしている状態で、かつ、第１の高機能ユニット４−１が安全側になったときに、安全出力をオンする。この図１４では、内部安全入力がオンしたときには、図１４（ｆ），（ｇ）に示されるように、第１の高機能ユニット４−１に接続されているセーフティドアスイッチのドアが閉じられて二つの安全入力１，２がオンしているので、内部安全入力に応答して、図１４（ｈ），（ｉ）に示されるように、安全瞬時出力および安全オフディレー出力がオンしてマグネットコンタクタ４８，４９の主接点がオンしてモータ５１が駆動されることになる。

同様に、第２の高機能ユニット４−２も単機能ユニット３からの内部安全入力に応答して、図１４（ｍ），（ｎ）に示されるように、安全瞬時出力および安全オフディレー出力がオンしてマグネットコンタクタ８７，８８の主接点がオンしてモータ８９が駆動されることになる。

この状態で、単機能ユニット３に接続されている非常停止スイッチ８２が操作されると、図１４（ａ），（ｂ）に示される単機能ユニット３の二つの安全入力５，６がオフし、図１４（ｄ）に示される内部安全出力がオフする。なお、安全入力５，６は、同時にオンオフするのであるが、図１４（ｂ）には、安全入力６がオンしたままの場合を示している。

第１，第２の高機能ユニット４−１，４−２は、単機能ユニット３の論理接続用信号である内部安全出力、すなわち、図１４（ｅ），（ｊ）の内部安全入力がオフすることによって、図１４（ｈ），（ｍ）の安全瞬時出力がオフしてアンプ５２，８６によってスローダウンされ、さらに、図１４（ｉ），（ｎ）に示されるように一定時間Ｔの遅延の後、安全オフディレー出力がオフし、これによって、各マグネットコンタクタ４８，４９，８７，８８の主接点がオフしてモータ５１，８９への電源が遮断されることになる。

このようにして、第１，２の高機能ユニット４−１，４−２の安全出力を、単機能ユニット３の論理接続用信号である内部安全出力に容易に関連付けることができる。

この実施の形態では、単機能ユニット３と高機能ユニット４、あるいは、高機能ユニット４同士の論理接続用信号である内部安全入力（内部安全出力）に異常が生じたような場合、例えば、単機能ユニット３や前段の高機能ユニット４の内部安全出力回路の故障や内部安全出力の短絡、あるいは、単機能ユニット３や前段の高機能ユニット４が製造メーカが異なる正規のユニットでなかったり、さらには、悪意を持って不正な信号が入力されたような場合に、機械設備の稼動を禁止して安全を確保できるように次のようにしている。

すなわち、図１５は、後述の実施の形態の論理接続用信号の説明に先立って、参考例として示す論理接続用信号である内部安全出力の信号波形図であり、上述の図１２等に比べて時間軸を拡大して示している。この参考例の論理接続用信号を用いて、判定処理等について説明する。

単機能ユニット３あるいは高機能ユニット４から出力される論理接続用信号である内部安全出力、したがって、後段の高機能ユニット４に入力される論理接続用信号である内部安全入力は、機械設備の稼動が許容される安全側（オン側）では、図１５（ａ）の参考例の論理接続用信号に示されるように、周期およびデューティ比が一定の矩形波パルスであり、機械設備の稼動が禁止される危険側（オフ側）では、図１５（ｂ）に示されるように、ローレベルの信号となっている。

この参考例の内部安全出力の場合は、送信側である単機能ユニット３または高機能ユニット４において、例えば、次のようにして生成される。

すなわち、図１６の矢印で示される割り込み発生タイミングで、割り込み処理を起動し、例えば、割り込み発生間隔Ｔだけローレベルの信号とし、この間隔Ｔの一定倍の期間ｎＴだけハイレベルの信号とし、周期およびデューティ比が一定の矩形波パルスを生成するものである。

この内部安全出力が、内部安全入力として入力される受信側の高機能ユニット４では、判定部としての機能を有する上述の第１，第２のＣＰＵ１７，１８によって、周期およびデューティ比が一定の矩形波パルスであるか否かを判定することによって、安全側に対応する正常な内部安全入力であるか否かを判定し、正常でないときには、機械設備の稼動を禁止するようにしている。

すなわち、判定部としての第１，第２のＣＰＵ１７，１８は、入力される内部安全入力のハイレベルの幅（期間）およびローレベルの幅（期間）を計測し、それぞれが許容範囲であれば、正規の矩形波パルスであると判定し、その正規の矩形波パルスが一定時間以上継続した場合に、安全側に対応する内部安全入力が正常であると判定し、論理接続を有効とする。

また、計測されたハイレベルの幅またはローレベルの幅が許容範囲でない、あるいは、正規の矩形波パルスが一定時間以上継続しなかった場合には、安全側に対応する内部安全入力が正常ではないと判定し、論理接続を無効としてロックアウトする。

この受信側の高機能ユニット４の判定処理を更に詳細に説明する。

この実施の形態では、論理接続用信号である内部安全入力のＯＮ／ＯＦＦエッジをトリガとして割り込み処理を発生させる。したがって、割り込み発生のタイミングは、内部安全入力に依存することになる。第１，第２のＣＰＵ１７，１８は、割り込み処理の発生タイミングをトリガとして、ハイレベルまたはローレベルの幅を計測し、正規の矩形波パルスであるか否かを判定し、さらに、正規の矩形波パルスであるときには、一定回数連続したか否かを判定して安全側に対応する内部安全入力が正常であるか否かを判定するものである。

図１７は、この割り込み処理による参考例の内部安全入力の判定動作のフローチャートである。

先ず、第１，第２のＣＰＵ１７，１８は、割り込み処理を開始し、内部安全入力に対応するポート状態を読み込んで割り込み要因が、立ち上がりエッジであるか立ち下りエッジであるかを判断し（ステップｎ１）、第１，第２のＣＰＵ１７，１８のタイマが記憶している割り込み発生間隔の値を読み込み（ステップｎ２）、割り込み発生間隔をチェックする（ステップｎ３）。この割り込み間隔のチェックでは、読み込んだ割り込み発生間隔と、割り込み要因が立ち上がりエッジの場合は、上述の図１５に示されるローレベルの幅Ｗ１の正常値と比較し、立ち下りエッジの場合は、図１５に示されるハイレベルの幅Ｗ２の正常値と比較し、正常値との差が許容値内であれば、ＯＫと判断してステップｎ４に移り、許容値外であれば、ＮＧと判断してステップｎ６に移る。

ステップｎ４では、ＯＫと判断された連続回数が一定回数以上であるか否かを判断し、一定回数以上であるときには、安全側（ＯＮ）に対応する内部安全入力であると確定して割り込み処理を終了する（ステップｎ５）。また、ステップｎ６では、ＮＧと判断された連続回数が一定回数以上であるか否かを判断し、一定回数以上であるときには、危険側（ＯＦＦ）に対応する内部安全入力であると確定して割り込み処理を終了する（ステップｎ７）。

このように、論理接続用信号である内部安全入力（内部安全出力）が正常であるか否かを判定して正常であると判定されたときにのみ論理接続を有効とするので、異常な内部安全入力によって、誤動作することがなく、安全性が確保される。

上述の参考例の論理接続用信号では、周期およびデューティ比が一定の矩形波パルスとしたけれども、この実施の形態の論理接続用信号は、例えば、図１８に示されるように、共通のパターンの共通信号ＣＳと、パターンの異なる複数種類の個別信号ＳＳのいずれかの個別信号ＳＳとを組み合わせて構成される。また、本発明では、共通信号ＣＳとパターンの異なる個別信号ＳＳとを組み合わせて、
複数種類の接続用信号とすることもできる。

すなわち、図１８の接続用信号は、基本長さのｎ倍の長さのＯＮ信号が、基本長さのＯＦＦ信号で挟まれた共通信号ＣＳと、前記基本長さのｎ倍の長さを有するとともに、１から２^ｎ−２までを二進数で表現したパターン（０…００１）〜（１…１１０）の個別信号ＳＳとを組み合わせたものであり、２^ｎ−２種類の接続用信号を得ることができる。

この接続用信号において、例えば、ｎ＝３とすると、図１９に示されるように、共通信号ＣＳは、（０１１１０）となり、個別信号ＳＳは、１から２^３−２＝６までの数を二進数で表し、（００１）、（０１０）、（０１１）、（１００）、（１０１）、（１１０）となる。したがって、共通信号ＣＳおよび個別信号ＳＳを組み合わせて６種類の接続用信号を得ることができる。

本発明は、安全システムの構築に有用である。

本発明の一つの実施の形態に係るシステムの構成例を示す図である。 図１の単機能ユニットの正面図である。 図１の高機能ユニットの正面図である。 図１の高機能ユニットの背面図である。 図１の増設ユニットの正面図である。 図１の高機能ユニットのブロック図である。 図６の一部の詳細を示すブロック図である。 図１の単機能ユニットのブロック図である。 第１の使用例の接続状態を示す図である。 図９のタイムチャートである。 第２の使用例の接続状態を示す図である。 図１１のタイムチャートである。 第３の使用例の接続状態を示す図である。 図１３のタイムチャートである。 参考例の内部安全入力の信号波形を示す図である。 内部安全入力の生成を説明するための図である。 動作説明に供するフローチャートである。 実施の形態の接続用信号を示す図である。 実施の形態の接続用信号を示す図である。

符号の説明

１ セーフティドアスイッチ
２ 非常停止スイッチ
３ 単機能ユニット
４ 高機能ユニット
５ 増設ユニット
１７，１８ 第１，第２のＣＰＵ
３１ 瞬時用の安全出力回路
３２ オフディレー用の安全出力回路
３４ 内部安全出力回路

Claims (3)

1. 入力機器からの安全側または危険側に対応する入力に基づいて、安全出力制御対象に安全側または前記危険側に対応する安全出力を与えて機械設備の運転を制御するセーフティコントローラであって、
   前記入力機器からの入力信号が与えられる入力部と、
   前記安全出力制御対象に対して、前記安全出力として半導体出力を与える安全出力部と、
   他のセーフティコントローラから安全側または前記危険側に対応する接続用信号が入力信号として与えられる接続入力部と、
   他のセーフティコントローラに対して、当該他のセーフティコントローラの入力信号として安全側または前記危険側に対応する接続用信号である半導体出力を与える接続出力部と、
   他のセーフティコントローラから与えられる前記接続用信号が正常であるか否かを判定する判定部と、
   前記入力部の入力信号、前記接続入力部の接続用信号および前記判定部による判定に基づいて、プログラムに従って、入力信号が安全側であり接続入力部の接続用信号が安全側であり判定結果が正常である場合は安全出力および接続用信号をどちらも安全側の出力状態に制御するとともに、それ以外の場合はどちらも危険側の出力状態に制御することで、両方の出力状態を同一に制御する制御部とを備え、
   前記制御部は、
   前記制御される安全出力が安全側から危険側に切り換わったときに、安全側から瞬時に危険側に切り換えて出力するための安全瞬時出力を生成するとともに、設定された時間に亘って安全側の状態を継続した後に遅れて危険側に切り換えて出力するための安全オフディレー出力を生成し、
   前記安全側に対応する接続用信号を、パルス信号であって、かつ、共通のパターンの共通信号とパターンの異なる個別信号とを組み合わせた複数種類の接続用信号として生成可能であり、
   前記安全出力部は、前記制御部にて生成された安全瞬時出力および安全オフディレー出力である半導体出力を、瞬時出力端子およびオフディレー出力端子を介してそれぞれ別々に出力するものであり、
   前記接続出力部は、前記制御部で制御される接続用信号を、安全出力端子を介して前記安全出力部の出力とは別途に出力するものである
   ことを特徴とするセーフティコントローラ。
2. 前記判定部は、前記接続用信号であるパルス信号のハイレベルおよびローレベルの幅を計測して正常であるか否かを判定する請求項１記載のセーフティコントローラ。
3. 請求項１に記載のセーフティコントローラの複数を接続してなり、１つのセーフティコントローラの接続入力部と別のセーフティコントローラの接続出力部を介して接続してなるシステム。

Images