CN101937191A - 安全装置和功率转换器 - Google Patents

Abstract

为了准确地确定承担所需标准的安全功能的安全功能单元已正确安装在具有基本控制功能与安全功能分离的构造的安全装置中。一种安全装置由控制器和安全功能单元构成，其中该控制器设置有：选择用于标识应当连接的安全功能单元的类别的单元；向该安全功能单元发送基准信号的单元；基于从安全功能单元返回的用于标识类别的类别标识信号确定所连接的安全功能单元的类别是否与所选类别一致、并输出确定结果的单元；以及在确定结果表示所连接的安全功能单元的类别与所选类别不一致的情况下禁止控制信号的输出的单元，且其中该安全功能单元设置有基于从控制器传送的基准信号并且按照与安全功能单元的类别相适应的过程产生类别标识信号、并将该信号返回控制器的单元。

Description

安全装置和功率转换器

技术领域

本发明涉及一种构造顺应多种类型的安全标准的安全装置的技术，具体涉及实现诸如逆变器或驱动电机的伺服放大器之类的功率转换器或由可编程逻辑控制器(PLC)等等控制的仪器的安全功能的一种安全装置，且涉及一种功率转换器。

背景技术

近年来，由于节能的必要性，以可变速度驱动电机的功率转换器已经变得流行。同时，因为会出现电气设备的异常操作导致严重事故，所以安全功能的改善是制造商所需要的。而且，建立了严格的安全标准以将在产品开发、设计、制造、维护以及废弃的每个步骤中对人体的伤害保持在容限范围内。

作为一种国际安全标准，例如，规定了ISO13849。具体而言，在涉及电气设备时，存在支配诸如逆变器或伺服放大器之类的称为IEC61508的高级概念安全标准和称为IEC61800-5-2的从属标准。在日本，顺应这些国际标准的电机控制设备的开发正在积极地进行。

而且，在欧洲，顺应IEC61800-5-2标准的电机控制设备正投入市场。为了遵守这些安全标准，必须不仅用文档记载开发结构和概念并接收是否遵守安全标准的合格证，还要监测受控仪器或控制设备的一场，且当检测到异常时，根据规范安全地停止受控仪器。

这种类型的安全标准不时被再审查，而且需要大量的开发成本和时间来新开发具有安全功能的控制设备(下文称为“安全装置”)。而且，因为所需安全标准水平和使用受控设备的环境根据客户而不同，所以必须提供适合于各个客户所需安全水平的安全装置。由于这些原因，考虑将控制功能与安全功能分离，并通过仅开发需要单独处理的部分来实现开发成本的降低和开发周期的缩短。

作为涉及安全功能的现有已知技术，例如，美国专利No.7,253,577中描述了一种设置有独立于产生用于驱动电机的控制信号的控制器的安全功能单元的安全装置，其实现对该控制器的异常监测。当该安全功能单元检测到设备中的异常时，该安全装置通过使从控制器到控制对象的控制信号输出中断而使电机停止。

然而，虽然在所描述的已知现有技术中描述了承担控制功能的控制器和承担安全功能的安全功能单元独立地设置，但存在多种类型的安全功能单元，而且未考虑通过组合各种类型的安全功能部分和控制器来配置安全装置的情况。在多种类型的安全功能单元存在的情况下，设想受控设备需要的安全功能因为附连或去除一安全功能单元时的错误或组合错误而不工作。为避免因安全功能的这种类型的不工作而发生的危险情况，必须准确地确定正确的安全功能以正确的组合正确地连接。

发明内容

在以上情况下已经作出了本发明，且本发明的目的是提供一种安全装置和功率转换器，其中具有控制功能和安全功能分离的配置的该安全装置能准确地确定承担期望标准的安全功能的安全功能单元已正确安装。

基本上包括下述单元的根据本发明的安全装置由产生用于控制受控设备的控制信号的控制器、以及连接至该控制器的执行预定安全功能的安全功能单元构成。

该控制器和安全功能单元二者均可利用安装在一个单元上的基板实现，并利用专用电缆或内部总线来实现标识信号的交换，或者它们可分别被构造成单个装置或模块，并通过专用电缆连接。

该控制器具有作为基本功能的以下单元a到d。

a.选择用于标识应当连接的安全功能单元的类别的单元。

该类别具有作为该安全功能单元的标识信息的意义，但不限于此。例如，在安全功能单元设置用于各种安全标准(或安全功能)的情况下，它还具有作为该安全标准(安全功能)的标识信息的意义。只要它能至少标识该安全功能单元，它就被包括在“类别”中。

b.向安全功能单元发送用于产生实现类别标识的类别标识信号的基准信号的单元。

c.基于从安全功能单元返回的类别标识信号确定所连接的安全功能单元的类别是否与以上a中所选定类别一致、并输出确定的结果的单元。

d.在所确定的结果表示所连接的安全功能单元的类别与以上a中所选定的类别不一致的情况下禁止控制信号的输出的单元。

此外，该安全功能单元还具有以下单元e。

e.基于从控制器传送的基准信号并且按照与安全功能单元的类别相适应的过程产生类别标识信号、并将该信号返回控制器的单元。

即，在本发明中，基准信号从控制器被发送至安全功能部分。在该安全功能部分中，基于该基准信号，类别标识信号按照对该安全功能单元唯一的过程产生，并被返回至该控制器。在该控制器中，确定该类别标识信号的模式(以下称为“信号模式”)与预先选择的类别的信号模式是否一致，且在它们不一致的情况下禁止该控制信号的输出。

作为产生该类别标识信号的方式，例如，存在一种方法，通过该方法连续固定周期信号作为基准信号从控制器被发送至安全功能单元，而该安全功能单元利用该固定周期信号通过在预定频率降低条件下将其频率降低而产生类别标识信号。该频率降低条件(例如降低至一半、降低至四分之一等)按照该安全功能单元的类别唯一地判定。

该控制器确定所返回的类别标识信号的周期与按照预先选择的类别固定的周期是否一致，且在它们不一致的情况下，假定该预先选择类别的安全功能单元未安装，并闭锁该控制信号。

作为产生类别标识信号的另一种方法，代替采用频率降低条件，类别标识信号的产生也可在与该安全功能单元的类别相适应的时间或相位条件下被延迟。

而且，在该安全功能单元因为来自外部或异常监测功能的输入而必须立即停止受控设备的情况下，该安全功能单元可在专用信号线上向控制器发送停止请求信号，但也可产生与按照与该类别相适应的过程产生的原始类别标识信号不同的信号，并将该信号作为类别标识信号返回控制器。因为该原因，因为该控制器假定正确的安全功能单元未安装，并禁止该控制信号的输出，所以有可能利用较少信号线获得等效的优势。

优选对安全功能单元是否正常安装的确认以比受控设备所需的安全功能的所需工作时间短的时间间隔来进行。控制器以这些时间间隔将基准信号发送至安全功能单元，并通过每次基于从安全功能单元返回的类别标识信号进行确认，可在存在异常时以适当的时序进行对控制输出的闭锁。

根据本发明，因为该配置使得控制器与安全功能单元分离，所以有可能实现开发成本的降低和开发周期的缩短。具体而言，因为在从安全功能单元没有返回类别与预先选择的类别相同的类别标识信号的情况下，控制器不向受控设备输出控制信号，所以有可能防止由分离控制器和安全功能单元引起的安全功能的不工作或误操作。

此外，因为对每个类别的安全功能设置了专用安全功能单元，所以有可能高效地实现该安全功能。此外，即使在安全功能类别因为标准的修改或客户要求的多样化而增多的情况下，也有可能灵活地响应。

附图说明

图1是根据本发明一实施例的包括安全装置的功率转换器的功能框图；

图2是其上安装有另一安全功能基板的包括图1的安全装置的功率转换器的功能框图；

图3是根据实施例1的类别识别电路的电路构造图；

图4是当图3中适当的安全功能基板已连接时的工作波形的示例的图示；

图5是当图3中安全功能基板未连接或当收发器电路(信号线)中存在开路故障时的工作波形的示例的图示；

图6是当图3中的收发器电路(信号线)短路时的工作波形的示例的图示；

图7是当在图3中不适当的安全功能基板已连接时的工作波形的示例1的图示；

图8是当在图3中不适当的安全功能基板已连接时的工作波形的示例2的图示；

图9是根据实施例2的类别识别电路的电路构造图；

图10是图9的类别识别电路的工作波形的示例的图示；

图11A和11B是图9的一致性确定电路的示例，图11A是利用ROM实现该一致性确定电路的情况下的电路图，而图11B是示出图11A的ROM的地址与数据之间的关系的图表；

图12是根据实施例3的类别识别电路的电路构造图；

图13A和13B是图12的一致性确定电路的示例，图13A是利用ROM实现该一致性确定电路的情况下的电路图，而图13B是示出图13A的ROM的地址与数据之间的关系的图表；以及

图14是根据实施例4的类别识别电路的电路构造图。

具体实施方式

在下文中，将以驱动作为控制对象的电机的功率转换器为例给出本发明的实施例的描述。

图1是根据本发明的实施例的包括安全装置的功率转换器的功能框图。在图1中，功率转换器50包括：主电路30，该主电路30利用半导体开关元件产生预定频率的交变电流并将其输入作为控制对象的电机；控制基板10，其向主电路30输出用于使半导体开关元件工作的控制信号；以及连接至控制基板10的安全功能基板20A，其执行对异常等等的监测。安全装置1由控制基板10和安全功能基板20A构成。

图1中所示的构造显示安全装置1由多个基板构成，但本发明不限于此，也有可能将安全装置1实现为多个装置或模块。

接着，将描述功率转换器50的功能要点。

在功率转换器50的主电路30中，交变电流从电源经由连接器38输入，该电流通过整流电路31和平滑电容器32整流，且交变电流由按照从控制基板10传递的控制信号接通和断开的开关电路33的半导体开关元件产生。该交变电流经由连接器39被发送至电机。

控制基板10包括工作单元11，其基本功能是执行对主电路30的控制。工作单元11从外部接收开始/停止命令和位置/速度/扭矩命令，并基于诸如电机速度检测信号之类的输入信号产生用于使主电路30的开关电路33工作的控制信号。所产生的控制信号经由门电路12被发送至主电路30。

具有不同安全功能的多个安全功能基板可连接至控制基板10。作为连接至控制基板10的安全功能基板，存在安全功能基板20A和安全功能基板20B，其中安全功能基板20A仅具有顺应诸如ISO13849或EN954之类的安全标准的安全扭矩关闭功能，而安全功能基板20B具有顺应IEC61508或IEC61800-5-2等的安全扭矩关闭或限速功能。在下文中，将以这两种类型的安全功能基板20A和20B为例给出描述。

接着，将给出具有上述构造的安全装置1的操作的描述。

在图1中，控制基板10在操作命令系列信号从外部输入时利用诸如微计算机之类的处理器执行用于控制电机的操作。作为来自外部的操作命令系列信号，存在开始/停止命令、位置、速度、扭矩命令等等。控制基板10的运算单元11通过利用诸如编码器和电流互感器(CT)之类的传感器单个地检测旋转角和电机电流来进行反馈控制，并输出用于控制主电路30的开关电路33的半导体元件的控制信号。除处理器之外，运算单元11还可利用诸如门阵列之类的集成逻辑电路来实现。因为反馈控制功能不是本发明的主题，所以在附图中省去了对该功能的描述及其详细描述。

控制基板10包括用于识别所连接安全功能基板的基板类别的类别识别电路13。该类别识别电路13确定连接至控制基板10的安全功能基板20A和20B的安装状态，并基于该安装状态产生允许运算单元11执行控制操作的操作允许信号。

从类别识别电路13输出的操作允许信号被输入至运算单元11。运算单元11通过检测该操作允许信号来执行控制操作，并输出控制信号。控制信号被发送至门电路12。仅在半导体开关元件操作允许信号已被输入的情况下，该门电路12才向主电路30发送用于控制半导体开关元件的控制信号，从而使开关电路33的半导体开关元件工作。

此外，类别识别电路13确定应连接的安全功能基板20A和20B是否已连接，并在它们未正确连接的情况下向门电路12输出门截止信号。在接收到门截止信号时，门电路12强制切断对来自运算单元11的主电路30输出的控制信号，从而执行门截止。

此外，在安全扭矩关闭(以下称为STO)命令被输入安全功能基板20A的情况下，安全功能基板20A的运算单元21A输出STO命令作为安全功能基板20A状态信号。该STO命令经由内部总线或连接电缆被发送至控制基板10的类别识别电路13。当STO命令被输入时，控制基板10的类别识别电路13向门电路12发送门截止信号。在接收到门截止信号时，门电路12强制切断来自运算单元11的控制信号。此外，在从类别识别电路13输出的门截止信号被作为状态输入时，运算单元11通过将该状态与操作允许信号的状态进行比较来检测STO命令已被输出。

因此，因为有可能不用通过控制基板10的运算单元11来独立地实现STO功能，所以即使在运算单元11非预期地表现或出故障的情况下，安全装置1也能可靠地中断用于控制半导体开关元件的控制信号。

虽然未示出，但也可能复制图1的控制基板10的构造中的门电路12。此外，除复制该门电路之外，还可能通过用文档记录开发过程以接收ISO13849-1安全标准(其欧洲标准为EN954-1)。

图2中所示的安全功能基板20B是通过设置两个运算单元来复制检测功能的示例。安全功能基板20B的运算单元21B和22B分别具有监测控制基板10的操作的功能。此外，安全功能基板20B包括端子28，该端子除输入STO命令之外，还输入作为安全功能的安全相关系列信号，诸如在降低转速之后停止电机的命令(下文称为减速/停止命令)或确定最大速度的限速命令。

当诸如减速/停止命令之类的安全相关系列命令被输入至安全功能基板20B时，该安全相关系列信号通过诸如串行通信或并行通信之类的数据通信被发送至控制基板10的运算单元11。控制基板10基于所发送的安全相关系列命令信号来控制电机。

此外，安全功能基板20B监测控制基板10的运算单元是否正常工作，且当检测到它偏离正常工作时通知控制基板10有异常情况。当接收到该异常情况通知时，控制基板10的类别识别电路13向门电路12发送门截止信号。

因此，因为门截止不通过控制基板10的运算单元11可能的，所以即使在基于安全相关系列信号工作的情况下，也有可能甚至在控制基板10的运算单元11非预期表现的情况下迅速将门截止。

因为安全功能基板20B的运算单元21B和22B被复制，所以人们可能在安装在安全功能基板20B上的另一运算单元中检测到异常。因此，不仅当STO命令被输入安全功能基板20B时，且当另一运算单元中检测到异常时，门截止信号都经由类别识别电路13被发送至门电路12，且有可能强制中断从运算单元11输出的控制信号。

而且，有可能为安全功能基板20B提供制动信号，以及操作外部机械开关的输出信号。

在图2中，安全功能基板20B的构造被简化，但本发明不限于此。例如，有可能采用多种构造，诸如类似于控制电源或时钟的复制功能，或与国际标准的安全要求水平相适应的相互监测功能。

实施例1

接下来，利用图3，将给出根据具有上述基板构造的安全装置1的实施例1的类别识别电路13的描述。根据该实施例的类别识别电路13经由指定线路发送和接收作为用于标识控制基板10所发送的类别的信号的方波连续信号。在该实施例中，其中被控制基板10接收的返回信号的周期是所发送信号周期的两倍的情况被确定为表示适当的基板已连接。

以下，将详细描述类别识别电路13的操作。首先，控制基板10将由方波发生器61产生的信号发送至安全功能基板20A。当用于标识安全功能基板的类别标识信号由安全功能基板20A产生时，该信号用作基准信号。

安全功能基板20A通过利用诸如T触发器91A之类的逻辑电路将基准信号的脉冲的周期改成两倍长而产生类别标识信号，并将其返回至控制基板10。以发送信号的上升沿作为触发的控制基板10的D触发器62保持所返回的类别标识信号。而且，控制基板10的D触发器63接收D触发器62的输出信号，并保持紧邻的前一时钟的类别标识信号。因为EX-OR(异或)电路65在D触发器62和63中仅一个的输出为H电平的情况下输出H电平，所以当所接收信号的周期是所发送信号的周期两倍时，EX-OR电路65的输出恒定处于H电平。EX-OR电路65的输出由D触发器64调整形状，从而产生操作允许信号(正逻辑)。此外，从安全功能基板20A传递的STO命令(负逻辑)和操作允许信号二者均为与电路66的输入，与电路66的输出是门截止信号(负逻辑)。

图4是当图3中所示电路构造中连接有适当的安全功能基板20A时的工作波形的示例。周期为基准信号两倍的类别标识信号由根据该实施例的类别识别电路13检测，且操作允许信号处于H电平。

图5是当图3中所示电路中未连接有适当的安全功能基板20A时的工作波形的示例。当安全功能基板20A未连接时，没有类别标识信号被返回控制基板10，且输入信号不变。在图5中，类别标识信号恒定处于L电平。在这种情况下，因为D触发器62和63的输出值(A和B)一致，所以EX-OR电路65的输出C以及操作允许信号均处于L电平。此外，不论STO命令的状态如何，门截止信号也处于L电平。作为正逻辑的操作允许信号处于无效状态(“假”)，而作为负逻辑的门截止信号处于有效状态(“真”)。

因为该原因，有可能检测到安全功能基板未正常连接，且有可能截止门电路12。此外，运算单元11可根据操作允许信号检测安全功能未正常工作。即使在基准信号和类别标识信号发送系统中出现开路故障的情况下，该操作也相同，且可能检测异常。

图6是当图3中所示电路中的控制基板10的发送信号输出和返回信号输入短路时的工作波形的示例。因为当返回信号与发送信号相同时，D触发器62和63的输出值(A和B)固定于H电平，所以EX-OR电路65的输出C、操作允许信号以及门截止信号均处于L电平。因为该原因，有可能将门电路12置于截止状态。

图7是当不适当的安全功能基板连接至图3所示电路中的控制基板10，且周期为发送信号周期四倍的类别标识信号被返回时的工作波形的示例。在图3的类别识别电路13中，当周期不是基准信号周期的两倍的信号输入时，D触发器62和63的输出值(A和B)变为相同，如图7所示。即，出现输出值均处于H电平或均处于L电平的时序。因此，出现EX-OR电路65的输出C、操作允许信号以及门截止信号均处于L电平的时序。因为该原因，有可能检测到基板连接中的异常，且有可能禁止半导体开关元件的操作。虽然在图7中，当通过基准信号频率被降低的周期确定基板类别时，该操作允许信号是切换类型，但通过与具有最长周期的基板类别同步地对各个基准信号用相关周期采样类别标识信号上的数据，并确定所采样到的数据是否与期望基板类别的信号模式相对应，也可能使操作允许信号为稳定信号，其在安装了正确的安全功能基板时稳定处于H电平，而在安装了不正确的安全功能基板时稳定处于L电平。

图8是当不适当的安全功能基板连接至图3中所示电路中的控制基板10，且作为基准信号逆的逆逻辑信号返回时的工作波形的示例。当作为基准信号逆的逆逻辑信号输入时，控制基板10的D触发器62和63的输出值(A和B)均处于L电平。因此，EX-OR电路65的输出C、操作允许信号以及门截止信号均处于L电平。因此，控制基板10可检测安全功能基板连接异常，且通过截止门电路12可禁止主电路30的半导体开关元件的操作。

根据该实施例，基板标识时钟信号从类别识别电路13发出，该时钟信号被输入安全功能基板20A和20B中的每一个中、被改变成各个基板唯一的时钟周期、以及被返回至控制基板10。该控制基板10接收该返回信号、确定它是否是应当正确安装的安全功能基板的周期、并产生操作允许信号和门截止信号。对安全功能基板唯一的时钟周期对应于该安全功能基板的识别码。

实施例2

图9是当控制基板10所接收的返回信号的周期是发送信号周期四倍的情况被定义为表示适当的安全功能基板已连接的情况下的电路的示例。

图9所示的类别识别电路13使周期为图3中的电路构造中的发送信号的周期两倍的返回信号现在是周期为该发送信号的周期四倍的返回信号。该安全功能基板20B的运算单元21B利用T触发器91B和92B产生周期为所接收基准信号的周期四倍的信号，并将其输出作为返回信号。在接收到该返回信号时，类别识别电路13利用D触发器71到74保持四个时钟信号，并利用一致性确定电路76确定各个触发器的输出(D、E、F以及G)的输出是否一致。一致性确定电路76在来自D触发器71到74的输入信号与预定信号模式一致(在该实施例中，周期为基准信号周期四倍的信号模式)的情况下以H电平输出，而在它们不一致的情况下以L电平输出。D触发器75保持一致性确定电路76的输出，并产生操作允许信号。同样，以与图3中相同的方式，门截止信号按照操作允许信号和STO命令的与运算情况而产生。

图10是图9的类别识别电路13的时序图。一致性确定电路76在触发器71到74的输出(D、E、F以及G)为(H、H、L以及L)、(L、H、H以及L)、(L、L、H以及H)或(H、L、L以及H)时以H电平输出。即，当输出D到G可视为周期性时，一致性确定电路76在两个连续位为“H”且两个连续位为“L”时输出“H”，而在另一种信号模式下输出“L”。因为该原因，控制基板10可确定适当的安全功能基板20B已安装。

除图11A中所示的ROM和EEPROM类型之外，一致性确定电路76还可利用例如ASIC或分立逻辑电路来实现。在下文中，将给出以ROM为例的情况的描述。在利用ROM实现一致性确定电路76的情况下，用于数据输出的芯片选择信号或读取信号可被恒定地置于有效状态，或数据可利用来自方波发生器61的基准信号等等以D触发器75中的闭锁时序输出。

在图11A中，触发器71到74的输出连接至一致性确定电路76的地址。空地址固定于L电平或H电平。然后，当地址输入信号与对应于基板类别的特定信号模式一致时，数据的特定位(图11A和11B中的D0)被设置为“H”，否则被设置为“L”，如图11B所示。通过将写入这些数据的ROM用作为一致性确定电路76，有可能实现图10的时序图的操作。当然，代替使用ROM，还可能利用按照图11B的逻辑工作的ASIC、逻辑电路等来构造。

实施例3

图12是一实施例，其中有可能利用安装在控制基板10上的开关来选择安全功能基板，并确定是否安装了正确的安全功能基板。

其与图9的不同之处在于选择电路78设置在一致性确定电路76的输入侧。通过将信号模式变成用于按照从选择电路78输出的选择信号作出确定，一致性确定电路76确定是否安装了所需的安全功能基板。

图13A是根据该实施例的一致性确定电路76和选择电路78的电路构造的示例。该选择电路78由开关82和上拉电阻器81构成。因此，当开关82切断时，“H”被输入至一致性确定电路76的地址A10，而当开关82接通时，“L”被输入至地址A10。对应于该地址，当构成一致性确定电路76的ROM的地址A10为“L”时，对应于地址A0到A3的安全功能基板20B信号模式的数据D0被设置为“H”，否则设置为“L”。此外，当构成一致性确定电路76的ROM的地址A10为“H”时，对应于地址A0到A3的安全功能基板20A信号模式的地址的数据D0被设置为“H”，否则设置为“L。”在该实施例的情况下，地址与数据之间的关系如图13B所示。

因此，当选择电路78被截止时，返回基准信号频率被降低一半的类别标识信号的安全功能基板20A被检测出，而当选择电路78接通时，返回基准信号频率被降低至四分之一的类别标识信号的安全功能基板20B被检测出，当适当的基板已安装时操作允许信号被输出。

实施例4

在以上描述的实施例中的每一个中，STO命令与类别标识信号分离地从安全功能基板20A和20B被发送至控制基板10，且利用该信号和操作允许信号，门截止信号在控制基板10侧产生，但在该实施例的情况下，当STO命令被发送时，类别标识信号的模式在安全功能基板侧被改变，且STO命令在控制基板10侧从类别标识信号中被检测到。

图14是根据该实施例的类别识别电路13的电路构造的示例。在该图中，安全功能基板20B包括在T触发器92B的输出与T触发器93B的输出之间切换的开关电路94B，其中T触发器92B输出基准信号频率被降低至四分之一的信号，而T触发器93B将基准信号频率降低至八分之一。当无STO命令输入时，开关电路94B选择T触发器92B的输出，而当STO命令输入时，开关电路94B选择T触发器93B的输出，且将它们作为类别识别信号返回至控制基板10。

具有移位寄存器79的控制基板10的类别识别电路13按照来自方波发生器61的基准信号将输入类别标识信号顺序地移位，并将它们输入至输出Q0到Q7。从移位寄存器输出的信号被输入至一致性确定电路76。

有可能用ROM等来构造一致性确定电路76，对应于STO命令信号模式的地址的第二数据位(D1)被设置为“H”。在该实施例的情况下，当存在STO命令时，返回其中基准信号频率被降低至八分之一的信号，当移位寄存器的输出Q0到Q7被视为具有周期性时，其中四个连续位为“H”且四个连续位为“L”的地址的数据D1被设置为“H”，且其他地址的数据D1被设置为“L”。数据D0的设置与实施例3中相同。从一致性确定电路76的数据D0和D1输出的数据分别被输入至D触发器75和D触发器80的D输入端。来自方波发生器61的基准信号被输入至D触发器75和80中的每一个的时钟输入端。D触发器75的输出为操作允许信号。此外，该操作允许信号和来自D触发器80的反相输出端的输出信号被输入至与电路77，该与电路77的输出作为门截止信号被输出。

在以此方式构造的类别识别电路13中，当类别标识信号从安全功能基板20B被正常输入其中时，一致性确定电路76的输出D0变成“H”而D1变成“L”，D触发器75的输出变成“H”，而D触发器80的反相输出也变成“H”。因此，与电路77的输出变成“H”。因此，该操作允许信号处于有效状态，而门截止信号处于无效状态。

当STO命令在此情况下从安全功能基板20B输出时，一致性确定电路76的输出D0变成“L”而D1变成“H”。因此，D触发器75的输出变成“L”，而D触发器80的反相输出也变成“L”。因此，与电路77的输出变成“L”，门截止信号处于有效状态，从而门电路12截止。

根据该实施例，因为有可能用同一信号线发送类别标识信号和STO命令，所以有可能减少电缆数量和总线数量。

实施例5

作为另一实施例，通过使控制基板10所发送的信号以恒定循环间隔发送，也可实现基板类别标识。通过以比受控设备所需安全功能所需的工作时间短的时间间隔输出基板类别标识信号，并确认适当的安全功能基板已连接，有可能实现所需安全功能。

此外，因为通过利用具有恒定周期间隔的信号有可能将非周期性信号模式用于基板类别标识信号，所以有可能应用多种信号模式。

此外，通过向连接至控制基板10的安全功能基板20A和20B提供将信号延迟一定时间的延迟单元，通过安全功能基板20A和20B响应于所接收的基准信号返回延迟预定时间而产生的信号作为类别标识信号，也可能实现基板类别的标识。通过在考虑收发器电路、传输线等的延迟时间以及延迟单元延迟时间的情况下确定延迟时间容限范围，以及控制基板确定返回信号延迟时间的范围，有可能确认适当的安全功能基板已连接。还可能按相位指定延迟情况。作为被返回的反相逻辑信号的示例，具有180度延迟的信号波形与图8的类别标识信号的波形相同。

到现在为止，按照根据本实施例的安全装置，通过准备承担安全功能的多种类型的安全功能基板，并通过按照规范切换它们来利用这些安全功能基板，有可能容易地实现符合客户所要求的安全标准水平的最优安全装置。此外，还可能灵活地响应规范的改变。

具体而言，仅在已连接安全功能基板的类别与控制基板中初始设定的安全功能兼容的情况下，控制基板的类别识别电路才激活操作允许信号，从而启用控制过程。而且，在STO命令或其他严重异常发生的情况下，类别识别电路发出门截止信号，从而立即切断门电路。因此，有可能防止因为切换安全功能基板时出现的连接错误所引起的安全功能的不工作或故障，而且有可能以响应于装置故障迅速和可靠地停止受控设备的方式进行控制，这意味着有可能构造高度可靠的系统。

通过利用按照本实施例的多个实施例的方法来产生类别标识信号，不仅可能检测安全功能基板的错误安装，还有可能防止因类别标识信号的传输线短路而发生的安全功能的不工作或故障。

而且，因为通过使请求强制扭矩关闭时的类别标识信号与正常时的信号不同可使类别标识信号执行请求强制扭矩关闭的功能，所以有可能减少信号线的数量，且可能降低产品的成本。

不限于上述实施例的本发明可利用多种修改来实现，而不背离本发明的范围。

例如，在实施例4中，STO命令也作为具有50％占空比的切换信号而产生，其中该基准信号的频率以与基板类别标识信号相同的方式降低，但它也可作为基于基准信号的可选、唯一信号模式而产生。在这种情况下，利用诸如ROM之类的非易失性存储器元件来实现一致性确定电路是高效的，如实施例3和4中所述。通过输入利用基准信号采样的类别标识信号作为地址，并在存储器单元中预设与要确定的该信号模式相对应的地址的特定数据位，有可能容易地检测所需信号模式。

Claims (6)

1.一种安全装置，包括：产生用于控制受控设备的控制信号的控制器；以及连接至所述控制器的安全功能单元，所述安全功能单元执行预定安全功能，其中

所述控制器包括：

选择用于标识应当连接的安全功能单元的类别的单元；

向所述安全功能单元发送用于产生可进行类别标识的类别标识信号的基准信号的单元；

基于从所述安全功能单元返回的所述类别标识信号确定所连接的安全功能单元的所述类别是否与所选类别一致、并输出所述确定的结果的单元；以及

在所述确定的所述结果表示所连接的安全功能单元的所述类别与所选类别不一致的情况下禁止所述控制信号的输出的单元，且其中

所述安全功能单元包括基于从控制器传送的所述基准信号并且按照与所述安全功能单元的所述类别相适应的过程产生类别标识信号、并将所述信号返回所述控制器的单元。

2.如权利要求1所述的安全装置，其特征在于

所述控制器向所述安全功能单元发送连续的固定周期信号作为所述基准信号，以及

所述安全功能单元基于所述固定周期信号向所述控制器返回其频率在适合于所述安全功能单元的所述类别的频率降低条件下降低的信号作为所述类别标识信号。

3.如权利要求1所述的安全装置，其特征在于

所述安全功能单元在适合于所述安全功能单元的所述类别的时间或相位条件下延迟从所述控制器发送的所述基准信号，并将经延迟的信号返回至所述控制器作为所述类别标识信号。

4.如权利要求1所述的安全装置，其特征在于

所述控制器以比所述受控设备所需的安全功能所需的操作时间短的时间间隔向所述安全功能单元发送所述基准信号。

5.如权利要求1所述的安全装置，其特征在于

在因为来自所述外部或异常监控功能的输入而必须立即停止所述受控设备时，所述安全功能单元产生与按照与所述安全功能单元的所述类别相适应的过程产生的所述类别标识信号不同的信号，并将所述信号发送至所述控制器作为类别标识信号。

6.一种利用如权利要求1所述的安全装置的功率转换器，包括

设置有半导体开关元件的主电路，所述主电路通过利用所述控制信号接通和切断所述半导体开关元件的栅极将直流转换成交流，并将所述交流提供给作为所述受控设备的电机，其中

所述控制器包括：

基于从外部输入的所述电机的位置、速度以及扭矩中的至少一个的命令值来运算所述控制信号的运算单元；以及

允许所述控制信号的所述输出通过或者截止所述控制信号的所述输出通过的门电路，

在因为来自所述外部或反常监控功能的输入而必须立即停止所述所述电机时，所述安全功能单元向所述控制器发送紧急停止信号，以及

当从所述安全功能单元接收到所述紧急停止信号时，所述控制器通过切断所述门电路来中断所述控制信号，从而使其不通过所述运算单元。

Images