CN111065985A - 安全控制器 - Google Patents

Abstract

本发明实现高速的安全响应性能。安全控制器(100)中，第一电压监视电路(12)是从第二电源(21)接收电力来工作的AD转换器，其向第二MPU(20)发送用以通知第一电压值的异常发生的信号；第二电压监视电路(22)是从第一电源(11)接收电力来工作的AD转换器，其向第一MPU(10)发送用以通知第二电压值的异常发生的信号。

Description

安全控制器

技术领域

本发明涉及安全控制器。

背景技术

以往，已知有一种安全控制器，其不仅进行可编程逻辑控制器(ProgrammableLogic Controller；以下简记为“PLC”)等产业用控制装置所执行的逻辑运算处理、输入输出控制处理，还进行安全面自我诊断处理，从而确保了高度安全性及高度可信性。例如，专利文献1揭示了一种安全控制器，该安全控制器中实现了在设备所需的控制值方面无浪费的IO结构。专利文献1的安全控制器中实现了一种IO单元，其避开了IO电源用布线的增设，且即使对于系统变更和结构追加等也能无浪费地简单对处。

(现有技术文献)

专利文献1：日本国专利申请公开公报“特开2007-310693号公报(2007年11月29日公开)”

发明内容

(发明所要解决的问题)

对于上述的安全控制器，目前越来越要求其安全响应性能(即如下性能：对于来自各种输入器件的输入，执行确保了高度安全性和高度可信性的响应)的高速化等。即，安全控制器被要求超越以往技术的以下性能：控制处理及响应处理的高速化和高精度化；执行/处理履历的保存；以及装置小型化的实现等。例如，以汽车生产线或半导体生产线来看，对配设的设备所要求的安全响应性能是很严格的。

本发明的一个例子的目的在于实现具备更高速的安全响应性能的安全控制器。

(用以解决问题的手段)

本发明的一个例子中，安全控制器具备：第一MPU及第二MPU，它们通过串行总线彼此连接；第一电源及第二电源，它们介由电力供应线与所述第一MPU及所述第二MPU分别相连，且分别向所述第一MPU及所述第二MPU供应电力；包含第一AD转换器的第一电压监视电路，其中，(1)所述第一电压监视电路电连接于所述第一电源与所述第一MPU之间的电源供应线，(2)所述第一电压监视电路介由信号线与所述第二MPU连接，(3)所述第一电压监视电路介由电源供应线与所述第二电源连接，(4)所述第一电压监视电路通过来自所述第二电源的工作电力来工作；包含第二AD转换器的第二电压监视电路，其中，(1)所述第二电压监视电路电连接于所述第二电源与所述第二MPU之间的电源供应线，(2)所述第二电压监视电路介由信号线与所述第一MPU连接，(3)所述第二电压监视电路介由电源供应线与所述第一电源连接，(4)所述第二电压监视电路通过来自所述第一电源的工作电力来工作。并且，所述第一MPU与所述第二MPU之间的时钟线路上安插有实现时钟延迟的缓冲器，所述第一MPU与所述第二MPU彼此以不介由Ether PHY的方式来进行基于Ethernet协议的通信。所述第一电压监视电路进行如下处理：(1)使用由所述第一AD转换器在收到了表示第一电压值的模拟信号后所输出的表示所述第一电压值的数码信号，来监视所述第一电压值，其中，所述第一电压值是从所述第一电源向所述第一MPU供应的电力的电压；(2)当检测到所述第一电压值的异常时，向所述第二MPU发送用以通知异常的发生的信号。所述第二电压监视电路进行如下处理：(1)使用由所述第二AD转换器在收到了表示第二电压值的模拟信号后所输出的表示所述第二电压值的数码信号，来监视所述第二电压值，其中，所述第二电压值是从所述第二电源向所述第二MPU供应的电力的电压；(2)当检测到所述第二电压值的异常时，向所述第一MPU发送用以通知异常的发生的信号。

(发明效果)

根据本发明的一个例子，能够实现具备更高速的安全响应性能的安全控制器。

附图说明

图1是作为本发明一个例子的实施方式1及2的安全控制器的一例具体基板结构的示意图。

图2是以Mac-对-Mac方式彼此连接的第一MPU和第二MPU的示意图。

图3是安全控制器的电力体系的示意图。

<附图标记说明>

1第一基板，2第二基板，3第三基板(显示控制基板)，10第一MPU，11第一电源，12第一电压监视电路(AD转换器)，13第一WDT，14电源截停电路，20第二MPU，21第二电源，22第二电压监视电路(AD转换器)，23第二WDT，30显示控制部，31七段显示器(显示器)，32LED(显示器)，41、42时钟线路，43、44缓冲器，100安全控制器，101电源，130变换电路(串行-并行变换IC)

具体实施方式

以下，基于附图，对作为本发明一个例子的实施方式(以下也记作“本实施方式”)进行说明。

〔实施方式1〕

1.运用例

安全控制器100是一种不仅进行可编程逻辑控制器(Programmable LogicController；以下简记为“PLC”)等产业用控制装置所执行的逻辑运算处理、输入输出控制处理，还进行安全面自我诊断处理，从而确保了高度安全性及高度可信性的安全控制器。安全控制器有时也称为“安全型控制器”、“安全控制装置”等。

本发明的一个例子中，安全控制器100具备：第一MPU 10及第二MPU 20，它们通过串行总线彼此连接；第一电源11及第二电源21，它们介由电力供应线与第一MPU 10及第二MPU 20分别相连，且分别向第一MPU 10及第二MPU 20供应电力；包含第一AD转换器的第一电压监视电路12，其中，(1)该第一电压监视电路12电连接于第一电源11与第一MPU 10之间的电源供应线，(2)该第一电压监视电路12介由信号线与第二MPU 20连接，(3)该第一电压监视电路12介由电源供应线与第二电源21连接，(4)该第一电压监视电路12通过来自第二电源21的工作电力来工作；包含第二AD转换器的第二电压监视电路22，其中，(1)该第二电压监视电路22电连接于第二电源21与第二MPU 20之间的电源供应线，(2)该第二电压监视电路22介由信号线与第一MPU 10连接，(3)该第二电压监视电路22介由电源供应线与第一电源11连接，(4)该第二电压监视电路22通过来自第一电源11的工作电力来工作。

安全控制器100中，在第一MPU 10与第二MPU 20之间的时钟线路上安插有实现时钟延迟的缓冲器；第一MPU 10与第二MPU 20彼此以不介由Ether PHY的方式来进行基于Ethernet协议的通信。

安全控制器100中，第一电压监视电路12进行如下处理：(1)使用由所述第一AD转换器在收到了表示第一电压值的模拟信号后所输出的表示所述第一电压值的数码信号，来监视所述第一电压值，其中，所述第一电压值是从第一电源11向第一MPU 10供应的电力的电压；(2)当检测到所述第一电压值的异常时，向第二MPU 20发送用以通知异常的发生的信号。

安全控制器100中，第二电压监视电路22进行如下处理：(1)使用由所述第二AD转换器在接收了表示第二电压值的模拟信号后所输出的表示所述第二电压值的数码信号，来监视所述第二电压值，其中，所述第二电压值是自所述第二电源向第二MPU 20供应的电力的电压；(2)当检测到所述第二电压值的异常时，向第一MPU 10发送用以通知异常的发生的信号。

与以往的安全控制器相比，具备上述方案的安全控制器(100)发挥如下效果：能实现更高速的安全响应性能(即如下性能：对于来自各种输入器件的输入，执行确保了高度安全性和高度可信性的响应)等。换言之，与以往的安全控制器相比，安全控制器(100)能够实现：逻辑运算处理、输入输出控制处理以及安全面自我诊断处理等的高速化、稳定化和高精度化；执行/处理履历的保存；以及装置小型化等。

2.方案例

使用图1，对本实施方式的安全控制器的一例基板结构进行说明。图1是本实施方式的安全控制器的一例具体基板结构的示意图。

图1所示例中，安全控制器100例如可具备电源101、电源截停电路14、第一MPU(Micro Processing Unit：微处理器)10、第一电源11、第一电压监视电路12、第二MPU 20、第二电源21、第二电压监视电路22、显示控制部30、七段显示器31、以及LED(LightEmitting Diode：发光二极管)32。其他实施方式中，安全控制器100优选进一步具备第一WDT(Watch Dog Timer：监视计时器)13及第二WDT 23。关于第一WDT 13及第二WDT 23，将在实施方式2中详述。

本实施方式中，作为一例，电源101、电源截停电路14、第一MPU 10、第一电源11、第一电压监视电路12以及第一WDT 13配置于第一基板1上，第二MPU 20、第二电源21、第二电压监视电路22以及第二WDT 23配置于第二基板2上，显示控制部30、七段显示器31以及LED32配置于第三基板3上。

各基板例如可通过印刷布线板(PWB；Printed Wiring Board)等来实现。跨基板的电路彼此间的电力收送或信号收发可介由未图示的连接器来实施。图1中，第一基板1上的第一MPU 10与第二基板2上的第二MPU 20通过串行总线彼此连接，两者基于Ethernet协议来相互通信。关于第一MPU 10与第二MPU 20之间的通信，例如也可使用RGMII(ReducedGigabit Media Independent Interface：限定吉比特介质独立接口)或SGMII(SerialGigabit Media Independent Interface：串行吉比特介质独立接口)。RGMII及SGMII用来替代IEEE 802.3规定的GMII(Gigabit Media Independent Interface：吉比特介质独立接口)，其实现了引脚数的削减。

如此，通过增加基板的数量，便能在不受物理空间限制的情况下装载所要的存储器及其他电路。由此，安全控制器100中便能够采用处理速度快的高性能MPU，从而能大幅增加所能处理的信息量。结果是能大幅提升安全控制器100的安全响应性能。

电源101对配置于第一基板1～第3基板各自上的电路供应电力。电源截停电路14基于规定的条件来截停对各电路的电力供应。

第一MPU 10及第二MPU 20对安全控制器100进行统控制，通过执行预先存储在存储器(未图示)中的各种程序，来实现安全控制器100的指定功能。例如，第一MPU 10(第二MPU 20)可执行与生产线等的安全相关的处理。又例如，第一MPU 10(第二MPU 20)可监视生产线上设置的机器人等的动作及该机器人的周围环境，从而在该机器人及周围环境发生了异常等时检测出该异常等，并使该机器人紧急停机。

本实施方式中，第一MPU 10及第二MPU 20具备了用以相互收发数据的通信端口。各MPU对用以实现安全相关功能的安全程序进行运算，并相互交换运算结果。并且，确认彼此的运算结果是否一致。运算结果不一致时，则意味着有可能是第一MPU 10与第二MPU 20中的至少一方发生了异常，而即使对于这种情况，安全控制器100也能采取设备紧急停机等措施。

第一电源11将从电源101供应过来的电力供应给第一MPU 10。作为一例，第一电源11可以分5个电源体系来向第一MPU 10供应电力。这里，第一电源11还向后述第二电压监视电路22供应电力。第一电源11例如可以将第5体系的电力供应给第二电压监视电路22。第二电源21将从电源101供应过来的电力供应给第二MPU 20。与第一电源11同样，第二电源21也可以分5个电源体系来向第二MPU 20供应电力，也可以将第1体系的电力供应给第一电压监视电路12。

第一电压监视电路12监视从第一电源11向第一MPU 10供应的电力的电压。具体而言，第一电压监视电路12监视第一电源11所生成的电压的电压值是否在规定范围内。若电压值在规定范围外，也就是若电压值低于规定的下限值或超过了规定的上限值，则向第二MPU 20发送用以通知电压值发生了异常的信号。

与第一电压监视电路12同样，第二电压监视电路22监视从第二电源21向第二MPU20供应的电力的电压。第二电压监视电路22在检测到电压值的异常的情况下，向第一MPU10发送用以通知异常的信号。

显示控制部30对安全控制器100具备的各种显示器的相应显示进行控制。安全控制器100具备多个显示器。作为显示器的一例，可设想七段显示器31、n个LED 32等。作为一例，显示控制部30可包含用以对七段显示器31及LED 32的显示进行控制的变换电路130。关于变换电路130，将连同第一WDT 13及第二WDT 23，在实施方式2中进行说明。

3.工作例

以下，详细说明用以实现具备高速安全响应性能的安全控制器的基板结构及各种电路工作情况。

＜采用高性能MPU＞

本实施方式中，作为一例，第一MPU 10及第二MPU 20优选采用时钟速率为1GHz以上的高速MPU。由此，便能在安全控制器100中实现安全响应性能的高速化，并满足安全基准上的要求。

如上所述，本实施方式中，分别给第一MPU 10、第二MPU 20及显示控制部30分开配设了相应的基板，因此能在不受物理空间限制的情况下装载高速MPU所要求的存储器及其他电路。通过这样，采用高速MPU来作为第一MPU 10及第二MPU 20的方案便成为了可能。

(内部电源)

如上所述，若采用高速MPU，就需要芯核用电源体系、输入输出用电源体系等多个电源体系。因此会发生低电压化，导致极难达到电压监视上所要求的精度。因此，当想要通过从基板外部供电的单体系电源来直接向2个高速MPU供应电力时，如果无法以满足上述要求的精度来监视电压，就可能出现工作不稳定的情况。尤其是，对于如本实施方式这样经由连接器来供应电力的基板结构而言，几乎都难以满足上述要求。另外，为了确保所要求的电源精度，必须将电源大致地配置在MPU附近的这种物理空间限制也会增加。

对此，本实施方式中，在安全控制器100的基板上，分别给第一MPU 10的体系及第二MPU 20的体系设置不同的电源、即第一电源11和第二电源21。第一电源11通过从基板外部供电的电源101，生成需要输入给第一MPU 10及第一基板1上存储器(未图示)等的工作电压。与第一电源11同样，第二电源21通过电源101来生成需要输入给第二MPU 20及第二基板2上存储器(未图示)等的工作电压。

上述方案中，将对基板全体供应电力的电源101设置为单个体系，但对于各个基板，给第一基板1的体系及第二基板2的体系这两个体系分别设置电源。由此，即使采用基板分为多个的方案，也能使安全控制器100稳定工作。

(电压监视)

为满足安全标准上的要求，产品中装载的安全控制器100需要具备内部电压监视功能。并且还需要具备如下功能：若检测出针对每种部件所预设的电压规格的规定范围之外的电压值，则进入针对该产品所定义的安全状态。

以电压监视电路中采用有比较器的以往技术来看，其采用的方式是：若监视对象电压的电压值超出了规格范围，则截停电源。这种方案中，用户难以了解故障原因。

对此，在本实施方式中，分别设有第一电压监视电路12及第二电压监视电路22，它们各自监视第一电源11、第二电源21所生成的电压的电压值是否在规定范围内。本实施方式中，采用AD转换器来用作第一电压监视电路12及第二电压监视电路22。

通过在电压监视上采用AD转换器，与比较器相比而言，能够实现高精度的电压监视。另外，第一MPU 10及第二MPU 20能够在第一电压监视电路12及第二电压监视电路22检测出了电压异常时，测知发生了异常的电源及其电压。此外，第一MPU 10及第二MPU 20能够将异常发生履历保存到EEPROM(注册商标)(Electrically Erasable Programmable ROM)等存储器中。由此，用户便能了解故障原因。

然而，向作为AD转换器的第一电压监视电路12供应的工作电压若与成为第一电压监视电路12监视对象的监视电压相同，就有无法在安全电路用途上实现工作保障的问题。

对此，在本实施方式中，如上所述，利用第一电源11及第二电源21来将电源101分成2个体系，并且在基板上将各个电压监视电路(AD转换器)的工作电压与监视电压分开。具体而言，第一电压监视电路12从第二电源21接收供自身工作的电力。图示的例中，将从第二电源21供应过来的第1体系的电压2-1作为第一电压监视电路12的工作电压。但第一电压监视电路12监视从第一电源11向第一MPU 10供应的电力的电压值。图示的例中，将5个体系的电压1-1～1-5(第一电压值)作为了监视对象电压。在另一方面，第二电压监视电路22从第一电源11接收供自身工作的电力，例如将电压1-5作为第二电压监视电路22的工作电压。但第二电压监视电路22将5个体系的电压2-1～2-5(第二电压值)作为监视对象电压。由此，能够通过不同的电力体系，来将各个电压监视电路(AD转换器)的工作电压与监视电压分开，从而能在安全电路用途上保障工作。

＜MPU相互间的通信＞

本实施方式中，MPU相互间的通信是基于Ethernet(注册商标)协议来进行的。另外，Ethernet(注册商标)不需要主机和从机的设定，因此有发送方与接收方能自由进行数据收发的优点。

另外，本实施方式中，用以在第一MPU 10与第二MPU 20间交换运算结果的通信(交互通信)是以Mac-对-Mac方式，通过全双工通信方式来进行的。即，各MPU的MAC(MediaAccess Control：媒体接入控制)之间是直接进行数据收发的。这里，各MPU间的通信中也可并用SPI通信方式。

图2是以Mac-对-Mac的方式彼此连接的第一MPU 10和第二MPU 20的示意图。在所述第一MPU与所述第二MPU之间的时钟线路41和时钟线路42上，分别可安插实现时钟延迟的缓冲器43和缓冲器44。

通过采用Ethernet(注册商标)通信方式，能以100Mbps或1000Mbps等速率来实现MPU相互间的高速通信。由此，能够解决以往的SPI通信(20MHz左右)在安全响应性能高速化技术上存在的瓶颈问题，即通信速度问题。

本实施方式中，也可以仅限于在第一MPU 10与第二MPU 20间进行基于Ethernet(注册商标)协议的通信。此方案不需要使用繁忙信号。另外，本实施方式中，也可以在不使用OS等的情况下，实现第一MPU 10与第二MPU 20之间采用的通信协议。此方案不需要使用IP数据包头和TCP数据包头。

Ethernet(注册商标)通信标准中，要求在MPU的外部使用供物理层专用的电路(Ether PHY)、Ether脉冲变换器(PT)、以及线缆连接器。即，Ethernet协议中规定要设置Ether PHY来产生时钟延迟，也就是使时钟信号相对于收发数据发生半个时钟迟延。而在本实施方式中，虽然基板分开，但第一MPU 10与第二MPU 20在物理空间距离上彼此设置得非常靠近，因此可在不使用上述Ether PHY、Ether PT及线缆连接器的情况下实现MPU相互间的通信。MAC相互间不经由Ether PHY、Ether PT及线缆连接器来进行通信连接的连接方法可称为“Mac-对-Mac”。通过以Mac-对-Mac方式来将第一MPU 10与第二MPU 20相连，能实现基板的小型化。

本实施方式中不采用Ether PHY，其替代方案是在时钟线路上设置缓冲器来生成时钟延迟，从而实现在第一MPU 10与第二MPU 20之间进行基于Ethernet协议的通信。由此，即能避免布线的浪费，又能以廉价的电路结构来实现MPU相互间的、基于Ethernet(注册商标)且能够达至高速通信形态的通信。另外，能够将以Ether PHY的采用为前提的MPU，用作安全控制器100的第一MPU 10和第二MPU 20。

〔实施方式2〕

1.运用例

本发明的一个例子中，安全控制器(100)不仅具备实施方式1中描述的结构，还具备：多个显示器(七段显示器31、LED32)；显示控制基板(3)，其包含串行-并行变换IC(Integrated Circuits：集成电路)(变换电路130)且使用所述串行-并行变换IC的输出来控制所述多个显示器各自的显示，其中，所述串行-并行变换IC接收从所述第一MPU(10)及所述第二MPU(20)中的至少一方发送过来的作为串行信号的显示控制信号；第一WDT(WatchDog Timer：监视计时器)(13)，其在检测到所述第一MPU的异常及重置中的至少一种情况时发送检测信号；第二WDT(23)，其在检测到所述第二MPU的异常及重置中的至少一方时发送检测信号。并且，所述串行-并行变换IC在从所述第一WDT及所述第二WDT中的至少一方收到所述检测信号时，进行状态重置。与以往的安全控制器相比，具备以上方案的安全控制器(100)发挥如下效果：所能提供给用户的信息量能够大幅增加，从而能在MPU发生异常时，通过显示器的显示形态来使用户得知该异常的发生。

2.方案例

参见图1，在本实施方式的安全控制器100的结构中，第一基板1上具备了第一WDT13，第二基板2上具备了第二WDT 23，第三基板3上具备了显示控制部30、七段显示器31及LED32。另外，显示控制部30包含变换电路130。

3.工作例

＜显示＞

本实施方式中，安全控制器100中不仅装载有LED32，还装载有能进行提醒来使用户轻易得知安全控制器100状态的七段显示器31。为了进一步提高LED32及七段显示器31的视觉认识性，优选在安全控制器100的壳体正面上进行LED32及七段显示器31的显示。若要在安全控制器100的壳体侧面配置各MPU的相应基板(第一基板1和第二基板2)，则需要与MPU的相应基板分开地设置显示专用基板(第三基板3)。即，显示控制部30若要从第一MPU10(第二MPU 20)接收与显示相关的控制信号(以下称作“显示控制信号”)，就需要经由连接器。

各MPU中，若是对应每个LED32以及七段显示器31的每个显示段均设置输出引脚，则连接器的电极数会变得非常多。然而从结构的简易化、小型化的观点看，连接器电极数的增加并不优选。

对此，本实施方式中，以串行通信方式来实现各MPU与变换电路130之间的显示控制信号收发。作为变换电路130，采用串行-并行变换IC。串行-并行变换IC接收作为串行信号的显示控制信号，并基于收到的作为串行信号的显示控制信号来控制上述多个显示器的显示。

具体而言，作为串行-并行变换IC的变换电路130将从第一MPU 10或第二MPU 20收到的作为串行信号的显示控制信号变换成：用以控制七段显示器31的、作为并行信号的第一显示控制信号；用以控制LED32的、作为并行信号的第二显示控制信号。变换电路130基于第一显示控制信号来控制七段显示器31。变换电路130还基于第二显示控制信号来控制的LED32的显示。

然而，即使第一MPU 10(第二MPU 20)发生了异常，作为串行-并行变换IC的变换电路130也仍维持异常发生前的状态。因此，变换电路130无法伴随异常的发生来变更各种显示器的显示。因此，存在用户无法根据各种显示器的显示来得知发生的MPU异常的问题。

对此，本实施方式的安全控制器100中，进而在第一基板1上具备有第一WDT 13，在第二基板2上具备有第二WDT 23。

第一WDT 13用以监视第一MPU 10的工作。具体而言，第一WDT 13若在预设的定时器周期内收到从第一MPU 10输入过来的时钟信号，则对定时器进行重置，并确认为第一MPU10的体系正常工作，且继续进行监视。另一方面，在此设想第一MPU 10的体系发生了异常而导致未能在所述定时器周期内收到从第一MPU 10输入过来的时钟信号。在这种情况下，第一WDT 13将基于超时的重置信号(检测信号)输出给变换电路130。与第一WDT 13同样，第二WDT 23监视第二MPU 20的工作，若第二MPU 20发生了异常，则将重置信号(检测信号)输出给变换电路130。

显示控制部30的变换电路130基于从至少一个WDT收到的重置信号，进行状态重置。基于变换电路130的状态重置，显示器的显示也重置。例如，变换电路130可以使七段显示器31转入预设好的初始状态。又例如，变换电路130可以将七段显示器31的全部显示段的照明熄灭，也可以将全部显示段点亮为红色。或者，变换电路130可以仅点亮规定的显示段来告知错误(例如文字“E”)。变换电路130还可以使LED32转入预设好的初始状态。例如，变换电路130可以熄灭全部的LED32，也可以将全部的LED32点亮为红色。或者，变换电路130可以使全部或部分的LED32闪烁。

由此，各种显示器可以转入发生了错误时的显示形态(例如全熄灭)，因此用户能立刻得知第一MPU 10及第二MPU 20中的至少一方发生了异常。

〔效果〕

通过上述的各实施方式，安全控制器既能满足安全标准上的要求，又能实现安全响应性能的高速化。

例如，通过实现安全响应性能的高速化，便能缩短为了安全保障而需确保的、监视对象产品(机器人等)与用户之间的距离。因此具有以下优点：能够缩短以往用来保护用户不在机器人可动区域及其影响区域中受到伤害的防护栅栏的设置距离，或者能完全拆除该防护栅栏。

另外，例如在专利文献2的技术中，关于MPU相互间的连接方案，并未揭示相对于数据来产生半个时钟迟延的具体方法。因此，即使想要以Mac-对-Mac方式将MPU彼此连接并通过Ethernet(注册商标)通信方式来使MPU相互通信，仅靠专利文献2的技术也是无法实现该通信的。与此相比，作为本发明的一个例子，根据实施方式1的安全控制器100，时钟线路上安插有用以实现时钟延迟的缓冲器。由此，能够实现高速MPU之间的高速相互通信。

另外，例如在专利文献3的技术中，电梯控制电源监视装置具备2个体系的外部电源和1个MPU，并在检测到异常时截停动力。与此相比，本发明的上述各实施方式中，如图3所示，安全控制器中设有供内部电路所用的单个体系的电源(例如电源101)，但MPU设有2个。并且，电压监视电路(第二电压监视电路22)从一方体系的电路电源(例如第一电源11)获得电力来监视另一方体系的电路(第二MPU 20)异常，且当检测到另一方体系的异常时，将该情况通知给所述一方体系中的第一MPU 10。由此，能够克服用户难以了解故障原因的这一缺陷。

(附记事项)

本发明的一个例子中，安全控制器具备：第一MPU及第二MPU，它们通过串行总线彼此连接；第一电源及第二电源，它们介由电力供应线与所述第一MPU及所述第二MPU分别相连，且分别向所述第一MPU及所述第二MPU供应电力；包含第一AD转换器的第一电压监视电路，其中，(1)所述第一电压监视电路电连接于所述第一电源与所述第一MPU之间的电源供应线，(2)所述第一电压监视电路介由信号线与所述第二MPU连接，(3)所述第一电压监视电路介由电源供应线与所述第二电源连接，(4)所述第一电压监视电路通过来自所述第二电源的工作电力来工作；包含第二AD转换器的第二电压监视电路，其中，(1)所述第二电压监视电路电连接于所述第二电源与所述第二MPU之间的电源供应线，(2)所述第二电压监视电路介由信号线与所述第一MPU连接，(3)所述第二电压监视电路介由电源供应线与所述第一电源连接，(4)所述第二电压监视电路通过来自所述第一电源的工作电力来工作。并且，所述第一MPU与所述第二MPU之间的时钟线路上安插有实现时钟延迟的缓冲器，所述第一MPU与所述第二MPU彼此以不介由EtherPHY的方式来进行基于Ethernet协议的通信。所述第一电压监视电路进行如下处理：(1)使用由所述第一AD转换器在收到了表示第一电压值的模拟信号后所输出的表示所述第一电压值的数码信号，来监视所述第一电压值，其中，所述第一电压值是从所述第一电源向所述第一MPU供应的电力的电压；(2)当检测到所述第一电压值的异常时，向所述第二MPU发送用以通知异常的发生的信号。所述第二电压监视电路进行如下处理：(1)使用由所述第二AD转换器在收到了表示第二电压值的模拟信号后所输出的表示所述第二电压值的数码信号，来监视所述第二电压值，其中，所述第二电压值是从所述第二电源向所述第二MPU供应的电力的电压；(2)当检测到所述第二电压值的异常时，向所述第一MPU发送用以通知异常的发生的信号。

根据上述方案，安全控制器发挥出如下效果：能实现更高速的安全响应性能(即如下性能：对于来自各种输入器件的输入，执行确保了高度安全性和高度可信性的响应)等。换言之，与以往的安全控制器相比，所述安全控制器能够实现：逻辑运算处理、输入输出控制处理以及安全面自我诊断处理等的高速化、高精度化；执行/处理履历的保存；以及装置小型化等。

具体而言，若要采用高速时钟型(例如1GHz)MPU，则与采用通常处理速度(例如120MHz)的MPU的情况相比，存储器或电源等的周边电路就会增多。但可以通过采用多枚基板来配置上述周边电路，由此也就能采用高速时钟型MPU。

而通过上述方案，能够视每个基板来设置电源，其结果是能够提高工作稳定性。另外，通过利用AD转换器来进行电压监视，不仅能提高监视对象电压的精度，还能在发生了异常时保存履历。

此外，通过基于Ethernet(注册商标)协议的通信方式来实现MPU相互间的通信，便能使MPU相互间的通信高速化。还能通过以MAC-对-MAC方式将MPU彼此连接，来实现基板小型化。

本发明的一个例子中，所述安全控制器还具备：多个显示器；显示控制基板，其包含串行-并行变换IC且使用所述串行-并行变换IC的输出来控制所述多个显示器各自的显示，其中，所述串行-并行变换IC接收从所述第一MPU及所述第二MPU中的至少一方发送过来的作为串行信号的显示控制信号；第一WDT，其在检测到所述第一MPU的异常及重置中的至少一方时发送检测信号；第二WDT，其在检测到所述第二MPU的异常及重置中的至少一方时发送检测信号，并且，所述串行-并行变换IC在从所述第一WDT及所述第二WDT中的至少一方收到所述检测信号时，进行状态重置。根据上述方案，可发挥如下效果：即使采用了串行-并行变换IC，用户也能根据显示器的显示消失来得知发生了异常。

具体而言，例如设想为了在安全控制器中提高显示器配置位置的自由度(例如，为了将显示器配置在装置正面)，而将显示控制基板与MPU基板分开设置。这种情况下，例如可以将串行-并行变换IC设置在显示控制基板上，以此抑制显示控制基板与MPU基板之间的连接器的引脚数。但串行-并行变换IC的问题在于：即使MPU发生了异常，也仍维持原状态，所以无法伴随MPU的异常发生来变更显示器的显示。

对此，作为本发明的一个例子，安全控制器具备WDT。WDT向串行-并行变换IC发送用以通知MPU的异常发生的检测信号(例如重置信号等)，所以串行-并行变换IC能够基于检测信号来进行状态重置。因此，各种显示器能够以MPU的异常的发生为触发，来变更显示形态。其结果是，用户能基于显示器的显示形态来得知MPU的异常发生。这里，显示器显示形态的变更例如包括显示器照明的熄灭。

以上描述的各实施方式无论在哪种方面，均仅是本发明的示例。显然，本发明能够在不脱离其范围的情况下进行各种改进和变形。即，在本发明的实施上，可适当地采用与实施方式相应的具体方案。另外，以上虽然通过自然语言来对实施方式中出现的数据进行了描述，但更具体而言，这些数据是通过计算机所能解读的虚拟语言、指令、参数、机械语言等来规定的。

本发明并不限于上述各实施方式，可以在本发明所示的范围内进行各种变更，适当组合不同实施方式中各自披露的技术手段而得到的实施方式也包含在本发明的技术范围内。

Claims (2)

1.一种安全控制器，其具备：

第一MPU及第二MPU，它们通过串行总线彼此连接；

第一电源及第二电源，它们介由电力供应线与所述第一MPU及所述第二MPU分别相连，且分别向所述第一MPU及所述第二MPU供应电力；

包含第一AD转换器的第一电压监视电路，其中，(1)所述第一电压监视电路电连接于所述第一电源与所述第一MPU之间的电源供应线，(2)所述第一电压监视电路介由信号线与所述第二MPU连接，(3)所述第一电压监视电路介由电源供应线与所述第二电源连接，(4)所述第一电压监视电路通过来自所述第二电源的工作电力来工作；

包含第二AD转换器的第二电压监视电路，其中，(1)所述第二电压监视电路电连接于所述第二电源与所述第二MPU之间的电源供应线，(2)所述第二电压监视电路介由信号线与所述第一MPU连接，(3)所述第二电压监视电路介由电源供应线与所述第一电源连接，(4)所述第二电压监视电路通过来自所述第一电源的工作电力来工作，

并且，

所述第一MPU与所述第二MPU之间的时钟线路上安插有实现时钟延迟的缓冲器，所述第一MPU与所述第二MPU彼此以不介由Ether PHY的方式来进行基于Ethernet协议的通信，

所述第一电压监视电路进行如下处理：(1)使用由所述第一AD转换器在收到了表示第一电压值的模拟信号后所输出的表示所述第一电压值的数码信号，来监视所述第一电压值，其中，所述第一电压值是从所述第一电源向所述第一MPU供应的电力的电压；(2)当检测到所述第一电压值的异常时，向所述第二MPU发送用以通知异常的发生的信号，

所述第二电压监视电路进行如下处理：(1)使用由所述第二AD转换器在收到了表示第二电压值的模拟信号后所输出的表示所述第二电压值的数码信号，来监视所述第二电压值，其中，所述第二电压值是从所述第二电源向所述第二MPU供应的电力的电压；(2)当检测到所述第二电压值的异常时，向所述第一MPU发送用以通知异常的发生的信号。

2.根据权利要求1所述的安全控制器，其还具备：

多个显示器；

显示控制基板，其包含串行-并行变换IC且使用所述串行-并行变换IC的输出来控制所述多个显示器各自的显示，其中，所述串行-并行变换IC接收从所述第一MPU及所述第二MPU中的至少一方发送过来的作为串行信号的显示控制信号；

第一WDT，其在检测到所述第一MPU的异常及重置中的至少一方时发送检测信号；

第二WDT，其在检测到所述第二MPU的异常及重置中的至少一方时发送检测信号，

并且，

所述串行-并行变换IC在从所述第一WDT及所述第二WDT中的至少一方收到所述检测信号时，进行状态重置。

Images