CN112567299B

CN112567299B - 控制系统、支持装置、存储介质

Info

Publication number: CN112567299B
Application number: CN201980051798.3A
Authority: CN
Inventors: 玉嶋大辅; 杉山明日香; 铃木悠司; 佐藤文明
Original assignee: Omron Corp
Current assignee: Omron Corp
Priority date: 2018-09-28
Filing date: 2019-09-26
Publication date: 2024-06-07
Anticipated expiration: 2039-09-26
Also published as: JP7024678B2; US20210302920A1; EP3859453B1; EP3859453A4; WO2020067287A1; US11340561B2; EP3859453A1; CN112567299A; JP2020052899A

Abstract

本发明提供一种能够支持用户指定收集对象数据群的控制系统、支持装置以及存储介质。控制系统(1)包括：第一控制器及第二控制器(100、200)；驱动装置(300)，具有对马达(400)的多个安全功能；数据跟踪模块(154)，对表示马达(400)的运行状态的状态值进行跟踪；以及支持装置(500)，受理包含状态值的收集对象数据群的设定。支持装置(500)包含：贮存器(510)，保存收集候选信息，所述收集候选信息将收集候选数据群关联于安全功能的类别；以及输出部(508)，输出与所选择的一个安全功能相关联的收集候选数据群来作为收集对象数据群。

Description

控制系统、支持装置、存储介质

技术领域

本发明涉及一种控制系统、以及用于控制系统的支持装置及存储介质。

背景技术

在多数制造现场，为了安全地使用设备或机械，正推进安全系统(safety system)的导入。安全系统用于提供遵循国际规格的安全功能，包含安全控制器、安全传感器、安全开关及安全继电器等安全组件(safety component)。

对于安全系统，要求对驱动设备或机械的伺服马达等驱动装置也提供安全功能。例如，非专利文献1中规定了对于可变速电动驱动系统应提供的安全功能。

更具体而言，非专利文献1中规定了安全转矩关断(Safe Torque Off，STO)、安全停止1(Safe Stop 1，SS1)、安全停止2(Safe Stop 2，SS2)、安全操作停止(Safe OperatingStop，SOS)、安全制动控制(Safe Brake Control，SBC)等与驱动装置相关的若干个安全功能。

作为用于确认是否满足非专利文献1中公开的安全功能的规格的功能，有数据跟踪(data trace)功能。数据跟踪功能是对与伺服马达的运行相关的状态值(例如速度等)进行监测，并输出所述装置值的推移的功能。

现有技术文献

非专利文献

非专利文献1：“IEC 61800-5-2:2016可调速电力驱动系统-第5-2部分:安全要求-功能”，国际电工委员会，2016-04-18("IEC 61800-5-2:2016Adjustable speedelectrical power drive systems-Part 5-2:Safety requirements-Functional"，International Electrotechnical Commission，2016-04-18)

发明内容

发明所要解决的问题

用户在执行数据跟踪功能之前，必须指定收集对象数据群。此时，若一个一个地指定收集对象数据，则耗时耗力。而且，对于尚未掌握目标功能的调试(debug)所需的收集对象数据群的用户而言，收集对象数据群的指定自身便困难。因此，期望减轻指定收集对象数据群的工夫或思考的负担。

本公开是为了解决如上所述的问题而完成，一方面的目的在于提供一种能够支持用户指定收集对象数据群的控制系统。另一方面的目的在于提供一种能够支持用户指定收集对象数据群的支持装置。又一方面的目的在于提供一种能够支持用户指定收集对象数据群的支持程序。

解决问题的技术手段

本公开的一例中，控制系统包括：第一控制器；以及驱动装置，依据来自所述第一控制器的第一指令来驱动马达。所述驱动装置具有对马达的多个安全功能。控制系统还包括：第二控制器，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置；数据跟踪模块，用于跟踪根据所述第一指令而变化的、表示所述马达的运行状态的状态值；以及支持装置，用于受理所述控制系统内的收集对象数据群的设定。所述收集对象数据群包含表示所述马达的运行状态的状态值。所述支持装置包括：贮存器，用于保存收集候选信息，所述收集候选信息将所述控制系统内的收集候选数据群关联于所述多个安全功能的类别；功能受理部，用于从所述多个安全功能中受理一个安全功能的选择；以及输出部，用于输出所述收集候选信息所规定的多个数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群。

根据所述公开，对应于所选择的安全功能而统一输出收集候选数据群。由此，用户不需要一个一个地指定收集对象数据。作为结果，指定收集对象数据群的工夫得以减轻。而且，用户也不需要认识收集对象数据的名称，伴随收集对象数据的指定引起的误操作的风险也得以减轻。

本公开的一例中，在所述收集候选信息中与所述多个安全功能的类别相关联的各数据群，包含在所关联的安全功能的执行时所参照的安全参数。

根据所述公开，将安全参数包含在内而输出收集候选数据群。由此，用户不再需要指定安全参数作为收集对象数据。

本公开的一例中，所述支持装置从所述驱动装置中获取所述收集对象数据群中所含的所述安全参数，且从所述数据跟踪模块中获取所述收集对象数据群中所含的所述状态值的跟踪结果。

根据所述公开，用户能够获取保存在不同装置中的跟踪结果及安全参数。

本公开的一例中，所述安全参数包含所述状态值的下限值与所述状态值的上限值。

根据所述公开，输出状态值的下限值及状态值的上限值来作为收集对象数据。由此，用户不再需要指定状态值的下限值及状态值的上限值来作为收集对象数据。

本公开的一例中，所述安全参数包含从所述驱动装置收到所述第二指令直至停止所述马达的驱动为止的停止延缓时间。

根据所述公开，输出停止延缓时间来作为收集对象数据。由此，用户不再需要指定停止延缓时间来作为收集对象数据。

本公开的一例中，所述控制系统包括多个所述驱动装置，多个所述驱动装置分别驱动不同的马达，所述支持装置还包括马达受理部，所述马达受理部用于从多个所述马达中受理一个马达的选择。由所述输出部所输出的所述收集对象数据群是基于所述一个安全功能与所述一个马达的组合而决定。

根据所述公开，自动选择与安全功能的选择和马达的选择的组合相应的收集对象数据群。

本公开的一例中，对于所述多个安全功能，分别预先关联有所述数据跟踪模块对所述状态值的跟踪条件。所述输出部进一步输出多个所述跟踪条件内的、与所述一个安全功能相关联的跟踪条件。

根据所述公开，自动选择与所选择的安全功能相符的跟踪条件。

本公开的一例中，提供一种支持装置，连接于控制系统。所述控制系统包括：第一控制器；以及驱动装置，依据来自所述第一控制器的第一指令来驱动马达。所述驱动装置具有对马达的多个安全功能。所述控制系统还包括：第二控制器，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置；以及数据跟踪模块，用于跟踪根据所述第一指令而变化的、表示所述马达的运行状态的状态值。所述支持装置包括数据受理部，所述数据受理部受理所述控制系统内的收集对象数据群的设定。所述收集对象数据群包含所述状态值。所述支持装置包括：贮存器，用于保存收集候选信息，所述收集候选信息将所述控制系统内的收集候选数据群关联于所述多个安全功能的类别；功能受理部，用于从所述多个安全功能中受理一个安全功能的选择；以及输出部，用于输出所述收集候选信息所规定的多个数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群。

本公开的一例中，提供一种存储介质，其存储有一种支持程序，由连接于控制系统的计算机来执行。所述控制系统包括：第一控制器；以及驱动装置，依据来自所述第一控制器的第一指令来驱动马达。所述驱动装置具有对马达的多个安全功能。所述控制系统还包括：第二控制器，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置；以及数据跟踪模块，用于跟踪根据所述第一指令而变化的、表示所述马达的运行状态的状态值。所述支持程序使所述计算机执行下述步骤，即，受理所述控制系统内的收集对象数据群的设定。所述收集对象数据群包含所述状态值。所述支持程序进而使所述计算机执行下述步骤：获取收集候选信息，所述收集候选信息将所述控制系统内的收集候选数据群关联于所述多个安全功能的类别；从所述多个安全功能中受理一个安全功能的选择；以及输出所述收集候选信息所规定的多个数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群。

发明的效果

根据本发明，能够减轻指定收集对象数据群的工夫。

附图说明

图1是表示实施方式的控制系统的结构例的示意图。

图2是表示实施方式的控制系统所具有的功能的示意图。

图3是表示构成实施方式的控制系统的标准控制器的硬件结构例的示意图。

图4是表示构成实施方式的控制系统的安全控制器的硬件结构例的示意图。

图5是表示构成实施方式的控制系统的安全驱动器及伺服马达的硬件结构例的示意图。

图6是表示构成实施方式的控制系统的支持装置的硬件结构例的示意图。

图7是表示实施方式的控制系统的功能分担的一例的示意图。

图8是表示由实施方式的控制系统的安全驱动器所进行的与安全功能相关的处理流程的一例的序列图。

图9是表示实施方式的控制系统所提供的运动安全功能的一例的图。

图10是表示用于实现实施方式的控制系统的安全驱动器中所保存的运动安全功能的参数集(parameter set)的一例的图。

图11是用于说明实施方式的控制系统中的通信帧的传输形态的图。

图12是用于说明实施方式的控制系统中的数据传输的图。

图13是表示实施方式的控制系统中的标准控制及安全控制的实现例的示意图。

图14是表示用于实现数据跟踪功能的控制流程的一例的图。

图15是表示受理与数据跟踪相关的各种设定的数据跟踪画面的图。

图16是表示跟踪对象数据群的统一设定画面的图。

图17是概略地表示跟踪对象数据群的决定方法的概念图。

图18是用于说明跟踪对象数据群的采样处理的图。

图19是表示数据跟踪画面的显示区域的图。

图20是表示依据变形例1的控制系统的图。

图21是表示依据变形例2的控制系统的图。

图22是表示依据变形例3的控制系统的图。

[符号的说明]

1、1A、1B、1C：控制系统

2：现场网络

3、3A：网络

4：逻辑连接

100：标准控制器

102、202、312、314、502：处理器

104、204、316、504：主存储器

104A、114A：存储区域

106：上位网络控制器

108、208、302：现场网络控制器

110、210、320、510：贮存器

112：存储卡接口

114：存储卡

116：局部总线控制器

118、218、518：处理器总线

120、220、520：USB控制器

150：标准控制

152：控制模块

154：数据跟踪模块

170、270、370：过程数据通信层

172、272：管理模块

174、274、374：过程数据

180：跟踪单元

200：安全控制器

216：安全局部总线控制器

230：安全IO单元

240：安全设备

250：安全功能

276、376：逻辑连接层

278：安全功能状态管理引擎

300：安全驱动器

310：控制单元

311：控制装置

330：驱动电路

332：反馈接收电路

350：伺服控制

352：伺服控制执行引擎

360：运动安全功能

362：运动安全功能执行引擎

378：运动安全功能状态管理引擎

390：参数集

400：伺服马达

402：三相交流马达

404：编码器

500：支持装置

506：输入部

508：输出部

512：光学驱动器

514：记录介质

530：数据跟踪画面

531、531A、531B、531C、531D、531E、533、542、543：设定区域

533A：数据列表

535、545：显示区域

540：统一设定画面

544：复选框

550：决定模块

600：通信帧

610、611、612、613、614、615、620、621、622、623、624、6121、6122、6131、6132、6141、6142、6151、6152：数据区域

630：安全通信帧

1102、2102：系统程序

1104：标准控制程序

1106、2106、3206：设定信息

1108：跟踪条件

2104：安全程序

3202：伺服控制程序

3204：运动安全程序

5102：OS

5104：支持程序

5106：项目数据

5108：标准控制源程序

5110：标准控制器设定信息

5112：安全源程序

5114：安全控制器设定信息

5116：安全驱动器设定信息

5118：收集候选信息

5120：轴信息

5121：收集对象数据群

5122：单位转换表

AX1～AX4：纵轴

B1：追加按钮

B2：删除按钮

B3：统一追加按钮

B10：确认按钮

B11：取消按钮

DT：跟踪结果

S10、S20～S26、S30、S40～S50、S60～S67：步骤

SP：安全参数

SQ2～SQ14：序列

t1、t2：时刻

具体实施方式

以下，参照附图来说明依据本发明的各实施方式。以下的说明中，对于同一零件及构成元件标注同一符号。它们的名称及功能也相同。因此，不再重复对它们的详细说明。另外，以下说明的各实施方式及各变形例也可适当选择性地加以组合。

＜A.适用例＞

首先，对适用本发明的场景的一例进行说明。

图1是表示本实施方式的控制系统1的结构例的示意图。本实施方式的控制系统1例如除了IEC 61508等中规定的安全功能以外，还提供所述非专利文献1中规定的对驱动装置的安全功能。

参照图1，控制系统1主要包含标准控制器100、以及经由现场网络2而与标准控制器100连接的安全控制器200及一个或多个安全驱动器300。安全驱动器300各自驱动电连接的伺服马达400。另外，并不限于伺服马达400，能够采用任意种类的马达。进而，控制系统1包含经由网络3而与标准控制器100连接的支持装置500。

标准控制器100相当于第一控制器，按照预先制作的标准控制程序，来执行对包含伺服马达400的控制对象的标准控制。典型的是，标准控制器100通过循环执行与来自一个或多个传感器(未图示)等的输入信号相应的控制运算，从而周期性地算出对伺服马达400等致动器的指令。

安全控制器200对安全驱动器300发送与安全功能的运行相关的安全指令(第二指令)。更具体而言，安全控制器200是与标准控制器100独立地，循环执行用于实现对控制对象的安全功能的监测及控制运算。安全控制器200能够受理来自任意的安全设备240的输入信号、和/或向任意的安全设备240输出指令。

安全驱动器300按照来自标准控制器100的指令(第一指令)，对伺服马达400供给电力，由此来驱动伺服马达400。安全驱动器300基于来自伺服马达400的反馈信号等，周期性地算出伺服马达400的旋转位置、旋转速度、旋转加速度及所产生的转矩等。

进而，安全驱动器300具有与伺服马达400的驱动相关的安全功能。更具体而言，安全驱动器300将安全功能所需的状态信息提供给安全控制器200，并且根据所要求的安全功能来调整或阻断对伺服马达400供给的电力。

伺服马达400具有接受来自安全驱动器300的电力而旋转的马达，并且将来自与马达的旋转轴结合的编码器的检测信号作为反馈信号而输出至安全驱动器300。

作为一例，支持装置500包含遵循通用的计算机架构而构成的计算机。支持装置500提供能够综合性地实现对控制系统1中所含的各设备的设定以及由各设备所执行的程序的制作的开发环境。作为一例，支持装置500提供用于控制标准控制器100的标准控制程序、或用于控制安全控制器200的安全程序的开发环境。所设计的标准控制程序及安全程序经由现场网络2而被分别转发至标准控制器100及安全控制器200。

本说明书中，“设备”是能够经由现场网络2等任意网络来与其他装置进行数据通信的装置的总称。本实施方式的控制系统1中，“设备”包含标准控制器100、安全控制器200及安全驱动器300。

本说明书中，对比性地使用了“标准控制”及“安全控制”的术语。“标准控制”是用于按照预先规定的要求规格来对控制对象进行控制的处理的总称。另一方面，“安全控制”是对用于防止因设备或机械等而威胁到人的安全的处理的总称。“安全控制”被设计成，满足用于实现IEC61508等中规定的安全功能的要件。

本说明书中，将驱动装置特有的安全功能总称为“运动安全功能”。典型的是，“功能”包含所述非专利文献1中规定的与驱动装置相关的安全功能。例如，包含用于监测控制轴的位置或速度以确保安全的控制。

本说明书中，对比性地使用了“状态值”及“参数”的术语。“状态值”是指表示标准控制器100的状态、安全控制器200的状态、安全驱动器300的状态、及伺服马达400的状态中的至少一个的数据。换个不同的说法，“状态值”是指联动于标准控制器100的状态、安全控制器200的状态、安全驱动器300的状态或伺服马达400的状态而值发生变化的数据。典型的是，“状态值”相当于标准控制程序或安全程序中使用的变量，可包含表示一个值的数据、表示为排列的数据、表示为结构体的数据等。与此相对，“参数”是指不联动于标准控制器100的状态、安全控制器200的状态、安全驱动器300的状态及伺服马达400的状态的数据。“参数”这一概念可包含常数或函数(例如一次函数或二次函数等)等。

本说明书中，“过程数据(process data)”是在标准控制或安全控制的至少任一控制中所用的数据的总称。具体而言，“过程数据”包含从控制对象获取的输入信息、向控制对象输出的输出信息、被用于各设备中的控制运算的内部信息等。

输入信息包含由光电传感器等所检测的导通/断开(ON/OFF)信号(数字输入)、由温度传感器等所检测的物理信号(模拟输入)、以及脉冲编码器(pulse encoder)等所产生的脉冲信号(脉冲输入)等。输出信息包含用于驱动继电器等的导通/断开(数字输出)、对伺服马达的旋转速度等进行指示的速度指令(模拟输出)、以及对步进马达(stepping motor)的移动量等进行指示的位移指令(脉冲输出)等。内部信息包含通过将任意的过程数据作为输入的控制运算等而决定的状态信息等。

基本上，“过程数据”的值在每个控制周期或通信周期受到更新。此处，所谓更新，是指反映最新的值的操作，也可包含在更新前后，值未发生变化的情况。

图2是表示本实施方式的控制系统1所具有的功能的示意图。参照图2，标准控制器100包含数据跟踪模块154作为功能模块。安全驱动器300包含控制装置311与贮存器320作为硬件结构。支持装置500包含处理器502、贮存器510及输出部508作为硬件结构。

对于安全驱动器300的控制装置311，从标准控制器100给予用于实现标准控制的指令(第一指令)。控制装置311依据来自标准控制器100的指令来控制安全驱动器300。

而且，对于安全驱动器300的控制装置311，从安全控制器200给予与所执行的运动安全功能的种类相应的指令(第二指令)。安全驱动器300具有多个运动安全功能360，执行与从安全控制器200收到的第二指令相应的运动安全功能360。

数据跟踪模块154监测与伺服马达400的运行相关的各种状态值。典型的是，数据跟踪模块154监测根据来自标准控制器100的指令(第一指令)而变化的状态值。所述状态值例如包含伺服马达400的旋转速度、伺服马达400的旋转加速度、伺服马达400的驱动对象的当前位置、所述驱动对象的速度、所述驱动对象的加速度等。

支持装置500受理控制系统1内的收集对象数据群的设定。更具体而言，支持装置500的贮存器510保存有收集候选信息5118。在收集候选信息5118中，控制系统1内的收集候选数据群关联于多个运动安全功能360的类别。收集候选信息5118所规定的收集候选数据群包含表示伺服马达400的运行状态的状态值或后述的安全参数SP等。

支持装置500的输出部508包含显示器等显示设备。可显示于输出部508的画面包含：受理运动安全功能的选择的设定区域543、或显示收集对象数据群的显示区域545等。设定区域543从多个运动安全功能中受理一个运动安全功能的选择。基于运动安全功能受到选择的情况，标准控制器100的处理器502确定收集候选信息5118所规定的多个收集候选数据群内的、与所述一个运动安全功能相关联的收集候选数据群。随后，处理器502将所确定的收集候选数据群作为收集对象数据群而显示于显示区域545。

这样，对应于所选择的运动安全功能而统一选择收集候选数据群，由此，用户不需要一个一个地指定收集对象数据。而且，用户也不需要认识收集对象数据的名称，伴随数据的指定引起的误操作的风险也得以减轻。

另外，图2的示例中，数据跟踪模块154被安装于标准控制器100，但数据跟踪模块154未必需要被安装于标准控制器100。如后所述，数据跟踪模块154也可被安装于与标准控制器100连接的其他单元(例如跟踪单元)。或者，数据跟踪模块154也可被安装于安全控制器200或作为外部设备的服务器。

＜B.控制系统1中所含的设备的结构例＞

接下来，对控制系统1中所含的设备的结构例进行说明。

(b1：标准控制器100)

图3是表示构成本实施方式的控制系统1的标准控制器100的硬件结构例的示意图。参照图3，标准控制器100包含处理器102、主存储器104、贮存器110、上位网络控制器106、现场网络控制器108、通用串行总线(Universal Serial Bus，USB)控制器120、存储卡接口112以及局部总线控制器(local bus controller)116。这些组件经由处理器总线118而连接。

处理器102相当于主要执行与标准控制相关的控制运算的运算处理部，包含中央处理器(Central Processing Unit，CPU)或图形处理器(Graphics Processing Unit，GPU)等。具体而言，处理器102读出保存在贮存器110中的程序(作为一例，为系统程序1102及标准控制程序1104)，并在主存储器104中展开而执行，由此，实现与控制对象相应的控制运算以及如后所述的各种处理。

主存储器104包含动态随机存取存储器(Dynamic Random Access Memory，DRAM)或静态随机存取存储器(Static Random Access Memory，SRAM)等易失性存储装置等。贮存器110例如包含固态硬盘(Solid State Drive，SSD)或硬盘驱动器(Hard Disk Drive，HDD)等非易失性存储装置等。

在贮存器110中，除了用于实现基本功能的系统程序1102以外，还保存根据控制对象而制作的标准控制程序1104。进而，在贮存器110中，保存用于对如后所述的变量等进行设定的设定信息1106。

上位网络控制器106经由上位网络而与任意的信息处理装置之间交换数据。

现场网络控制器108经由现场网络2而与包含安全控制器200及安全驱动器300的任意设备之间交换数据。图3所示的控制系统1中，标准控制器100的现场网络控制器108作为现场网络2的通信主机(master)发挥功能。

USB控制器120经由USB连接而与支持装置500等之间交换数据。

存储卡接口112受理作为可装卸的记录介质的一例的存储卡114。存储卡接口112能够对存储卡114写入数据，对从存储卡114读出各种数据(日志或跟踪数据等)。

局部总线控制器116经由局部总线而与连接于标准控制器100的任意单元之间交换数据。

图3中表示了通过处理器102执行程序而提供所需功能的结构例，但这些提供的功能的一部分或全部也可使用专用的硬件电路(例如专用集成电路(Application SpecificIntegrated Circuit，ASIC)或现场可编程门阵列(Field-Programmable Gate Array，FPGA)等)而实现。或者，标准控制器100的主要部分也可使用遵循通用架构的硬件(例如将通用个人计算机作为基础的工业个人计算机)来实现。此时，也可使用虚拟技术来并列地执行用途不同的多个操作系统(Operating System，OS)，并且在各OS上执行所需的应用。进而，也可采用将显示装置或支持装置等的功能综合至标准控制器100中的结构。

(b2：安全控制器200)

图4是表示构成本实施方式的控制系统1的安全控制器200的硬件结构例的示意图。参照图4，安全控制器200包含处理器202、主存储器204、贮存器210、现场网络控制器208、USB控制器220及安全局部总线控制器216。这些组件经由处理器总线218而连接。

处理器202相当于主要执行与安全控制相关的控制运算的运算处理部，包含CPU或GPU等。具体而言，处理器202读出保存在贮存器210中的程序(作为一例，为系统程序2102及安全程序2104)，并在主存储器204中展开而执行，由此来实现用于提供所需的安全功能的控制运算以及如后所述的各种处理。

主存储器204包含DRAM或SRAM等易失性存储装置等。贮存器210例如包含SSD或HDD等非易失性存储装置等。

在贮存器210中，除了用于实现基本功能的系统程序2102以外，还保存根据所要求的安全功能而制作的安全程序2104。进而，在贮存器210中，保存用于对如后所述的变量等进行设定的设定信息2106。

现场网络控制器208经由现场网络2而与包含标准控制器100及安全驱动器300的任意设备之间交换数据。图3所示的控制系统1中，安全控制器200的现场网络控制器208作为现场网络2的通信从机发挥功能。

USB控制器220经由USB连接而与支持装置500等信息处理装置之间交换数据。

安全局部总线控制器216经由安全局部总线而与连接于安全控制器200的任意的安全单元之间交换数据。图4中，作为安全单元的一例，表示了安全IO单元230。

安全IO单元230与任意的安全设备240之间交换输入/输出信号。更具体而言，安全IO单元230受理来自安全传感器或安全开关等安全设备240的输入信号。或者，安全IO单元230向安全继电器等安全设备240输出指令。

图4中表示了通过处理器202执行程序而提供所需的功能的结构例，但这些提供的功能的一部分或全部也可使用专用的硬件电路(例如ASIC或FPGA等)而实现。或者，安全控制器200的主要部分也可使用遵循通用架构的硬件(例如将通用个人计算机作为基础的工业个人计算机)来实现。

(b3：安全驱动器300及伺服马达400)

图5是表示构成本实施方式的控制系统1的安全驱动器300及伺服马达400的硬件结构例的示意图。参照图5，安全驱动器300包含现场网络控制器302、控制单元310、驱动电路330以及反馈接收电路332。

现场网络控制器302经由现场网络2而与包含标准控制器100及安全控制器200的任意设备之间交换数据。在图5所示的控制系统1中，安全驱动器300的现场网络控制器302作为现场网络2的通信从机发挥功能。

控制单元310执行为了使安全驱动器300运行所需的运算处理。作为一例，控制单元310包含对安全驱动器300进行控制的控制装置311、主存储器316以及贮存器320。控制装置311包含一个以上的处理器。例如，控制装置311包含两个处理器312、314。

处理器312相当于主要执行用于驱动伺服马达400的控制运算的运算处理部。处理器314相当于主要执行用于提供与伺服马达400相关的安全功能的控制运算的运算处理部。处理器312、处理器314均包含CPU等。

主存储器316包含DRAM或SRAM等易失性存储装置等。贮存器320例如包含SSD或HDD等非易失性存储装置等。

在贮存器320中，保存用于实现伺服控制350的伺服控制程序3202、用于实现运动安全功能360的运动安全程序3204、用于对在其他设备中公开的变量等进行设定的设定信息3206、以及与安全功能的类别相关联的多个安全参数SP。

图5中，例示了通过两个处理器312、314分别执行不同目标的控制运算来提高可靠性的结构，但并不限于此，只要能够实现所要求的安全功能，则采用任何结构皆可。例如，在单个处理器中包含多个核心的情况下，也可执行与处理器312、处理器314分别对应的控制运算。而且，图5中，表示了通过处理器312、处理器314执行程序而提供所需的功能的结构例，但这些提供的功能的一部分或全部也可使用专用的硬件电路(例如ASIC或FPGA等)而实现。

驱动电路330包含转换器电路及逆变器电路等，根据来自控制单元310的指令，生成所指定的电压、电流、相位的电力，并供给至伺服马达400。

反馈接收电路332接收来自伺服马达400的反馈信号，并将其接收结果输出至控制单元310。

典型的是，伺服马达400包含三相交流马达402以及被安装于三相交流马达402的旋转轴的编码器404。

三相交流马达402是接受从安全驱动器300供给的电力而产生旋转力的致动器。图5中，作为一例，例示了三相交流马达，但并不限于此，也可为直流马达，还可为单相交流马达或者多相交流马达。进而，还可采用线性伺服(linear servo)那样的沿着直线来产生驱动力的致动器。

编码器404输出与三相交流马达402的转速相应的反馈信号(典型的是，与转速相应的数量的脉冲信号)。

(b4：支持装置500)

图6是表示构成本实施方式的控制系统1的支持装置500的硬件结构例的示意图。作为一例，支持装置500是使用遵循通用架构的硬件(例如通用个人计算机)而实现。

参照图6，支持装置500包含处理器502、主存储器504、输入部506、输出部508、贮存器510、光学驱动器512与USB控制器520。这些组件经由处理器总线518而连接。

处理器502包含CPU或GPU等，读出保存在贮存器510中的程序(作为一例，为OS5102及支持程序5104)，并在主存储器504中展开而执行，由此来实现如后所述的各种处理。

主存储器504包含DRAM或SRAM等易失性存储装置等。贮存器510例如包含HDD或SSD等非易失性存储装置等。

在贮存器510中，除了用于实现基本功能的OS5102以外，还保存用于提供作为支持装置500的功能的支持程序5104。即，支持程序5104是由连接于控制系统1的计算机予以执行，由此来实现本实施方式的支持装置500。

进而，在贮存器510中，保存项目数据(project data)5106，所述项目数据5106是在通过执行支持程序5104而提供的开发环境下由用户所制作。

本实施方式中，支持装置500提供能够综合性地实现对控制系统1中所含的各设备的设定以及各设备中所执行的程序的制作的开发环境。项目数据5106包含通过此种综合性的开发环境而生成的数据。典型的是，项目数据5106包含标准控制源程序5108、标准控制器设定信息5110、安全源程序5112、安全控制器设定信息5114、安全驱动器设定信息5116、收集候选信息5118、轴信息5120、收集对象数据群5121以及单位转换表5122。

标准控制源程序5108在被转换成目标代码(object code)后，被发送至标准控制器100，并被保存为标准控制程序1104(参照图3)。同样，关于标准控制器设定信息5110、轴信息5120、收集对象数据群5121及单位转换表5122，也被发送至标准控制器100，并被保存为设定信息1106(参照图3)。

安全源程序5112在被转换成目标代码后，被发送至安全控制器200，并被保存为安全程序2104(参照图4)。同样，关于安全控制器设定信息5114，也被发送至安全控制器200，并被保存为设定信息2106(参照图4)。

安全驱动器设定信息5116被发送至安全驱动器300，并被保存为设定信息3206(参照图5)。

输入部506包含键盘或鼠标等，受理用户操作。输出部508包含显示器、各种指示器(indicator)、打印机等，输出来自处理器502的处理结果等。所述显示器既可与支持装置500一体地构成，也可外置而连接于支持装置500。

USB控制器520经由USB连接而与标准控制器100等之间交换数据。

支持装置500具有光学驱动器512，从非一次性地保存计算机可读取的程序的记录介质514(例如数字多功能光盘(Digital Versatile Disc，DVD)等光学记录介质)中，读取保存在其中的程序并安装到贮存器510等中。

由支持装置500所执行的支持程序5104等既可经由计算机可读取的记录介质514而安装，也可以从网络上的服务器装置等下载的形式而安装。而且，本实施方式的支持装置500所提供的功能也有时以利用OS所提供的模块的一部分的形式而实现。

图6中，表示了通过处理器502执行程序而提供作为支持装置500所需的功能的结构例，但这些提供的功能的一部分或全部也可使用专用的硬件电路(例如ASIC或FPGA等)而实现。

另外，在控制系统1运转中，支持装置500也可从标准控制器100予以拆卸。

＜C.控制系统1的功能分担＞

接下来，对控制系统1中的功能分担的一例进行说明。图7是表示本实施方式的控制系统1的功能分担的一例的示意图。

参照图7，关于标准控制器100所执行的标准控制150，安全驱动器300执行伺服控制350。标准控制150包含下述处理，即：按照对控制对象预先设定的用户程序，来周期性地算出用于驱动伺服马达400的指令。而且，伺服控制350包含用于通过标准控制150依据周期性地算出的指令来驱动伺服马达400的控制、及获取表示伺服马达400的运行状态的状态值并予以输出的处理。伺服控制350是由安全驱动器300的处理器312(参照图5)来负责。

另一方面，与安全控制器200所提供的安全功能250对应地，安全驱动器300提供运动安全功能360。运动安全功能360是由安全驱动器300的处理器314(参照图5)来负责。

安全功能250基于标准控制器100所执行的标准控制150所保持的状态值、由来自安全设备240的信号所示的状态值、及安全驱动器300所保持的状态值等，当预先规定的条件成立时，启用预先指定的安全功能。

启用预先指定的安全功能的处理例如包含针对安全驱动器300的安全指令的输出、或者针对安全设备240的安全指令的输出(例如，阻断与对特定装置的电力供给相关的安全继电器)等。

安全驱动器300响应来自安全控制器200的安全指令，来提供所指定的运动安全功能360。根据所指定的运动安全功能360的种类，介入伺服控制350对伺服马达400的控制，而执行阻断对伺服马达400的电力供给的处理、或者监测伺服控制350对伺服马达400的控制的状态值是否收敛在预先规定的限制范围内的处理等。

图8是表示由本实施方式的控制系统1的安全驱动器300所进行的与安全功能相关的处理流程的一例的序列图。参照图8，通过标准控制器100的标准控制150而周期性地算出指令，并输出至安全驱动器300(伺服控制350)(序列SQ2)。安全驱动器300的伺服控制350根据来自标准控制150的指令，来驱动伺服马达400(序列SQ4)。

当在某时机，发生来自安全设备240(例如安全传感器)的安全事件(safetyevent)时(序列SQ6)，安全控制器200对安全驱动器300(运动安全功能360)输出安全指令(序列SQ8)。响应所述安全指令，安全驱动器300的运动安全功能360启用所指定的安全功能(序列SQ10)。

响应安全功能的启用，从标准控制器100的标准控制150输出及输出与所述被启用的安全功能相应的指令(序列SQ12)。另一方面，安全驱动器300(运动安全功能360)监测伺服马达400的运行状态是否收敛在预先规定的限制范围内。若判断为伺服马达400的运行状态未收敛在预先规定的限制范围内，或者，若预先规定的停止时间已到来，则安全驱动器300(运动安全功能360)阻断对伺服马达400的电力供给(序列SQ14)。

这样，安全驱动器300能够依据来自标准控制器100(标准控制150)的指令来驱动伺服马达400，并且能够根据用于启用安全功能的指令，来实现对安全控制器200(安全功能250)的运动安全功能。

＜D.控制系统1的运动安全功能＞

接下来，对控制系统1所提供的运动安全功能的一例进行说明。

图9是表示本实施方式的控制系统1所提供的运动安全功能的一例的图。图9的(A)中，表示与安全转矩关断(Safe Torque Off，STO)对应的伺服马达400的行为的一例，图9的(B)中，表示与安全停止1(Safe Stop 1，SS1)对应的伺服马达400的行为的一例。

参照图9的(A)，在伺服马达400正以某旋转速度而运转的状态下，当在时刻t1给予安全指令(STO)时，安全驱动器300阻断对伺服马达400的电力供给，将伺服马达400所产生的转矩设为零。其结果，伺服马达400在因惰性而旋转后停止。另外，在伺服马达400安装有制动器的情况下，伺服马达400也能够立即停止。

参照图9的(B)，在伺服马达400正以某旋转速度而运转的状态下，当在时刻t1给予安全指令(SS1)时，安全驱动器300以预先规定的加速度来降低旋转速度。此时，安全驱动器300也可执行从伺服马达400的电力回收(即再生)等。并且，当在时刻t2，伺服马达400的旋转速度变为零时，安全驱动器300阻断对伺服马达400的电力供给，将伺服马达400所产生的转矩设为零。在时刻t2以后，成为与图9的(A)所示的STO同样的状态。

在图9的(A)所示的STO及图9的(B)所示的SS1中，根据与伺服马达400机械连结的设备的特性等，适当选择能够更安全地停止的安全功能。

所述的非专利文献1不仅规定了图9的(A)及图9的(B)所示的运动安全功能，而且规定了多个运动安全功能。为了实现各运动安全功能，需要用于规定伺服马达400的行为的设定。

图10是表示用于实现本实施方式的控制系统1的安全驱动器300中所保存的运动安全功能的参数集390的一例的图。参照图10，参数集390包含与安全驱动器300所提供的运动安全功能各自对应的一个或多个设定值(安全参数)。

例如，作为与运动安全功能对应的设定值，可包含速度范围、加速度范围、停止时间等。

典型的是，用户操作支持装置500来决定安全驱动器300中的运动安全功能中的行为，将与所述决定的行为对应的参数集390转发至安全驱动器300。安全驱动器300预先保存有来自支持装置500的参数集390。

＜E.控制系统1的数据通信＞

接下来，对控制系统1中的数据通信的一例进行说明。

图11是用于说明本实施方式的控制系统1中的通信帧的传输形态的图。参照图11，在控制系统1的现场网络2中进行过程数据通信，将标准控制器100作为通信主机，通信帧600循环(例如数msec～十数msec)地在设备间巡回一圈。传输通信帧600的周期也称作过程数据通信周期。

本实施方式中，作为循环地传输此种通信帧600的现场网络2的协议的一例，采用EtherCAT(注册商标)。

在通信帧600中，针对每个设备而分配有数据区域。各设备在收到周期性地传输的通信帧600时，在所述收到的通信帧600内的分配给自身设备的数据区域中写入预先设定的数据的当前值。并且，将写入当前值后的通信帧600送出至下段的设备。从而能够从其他设备参照由各设备所写入的数据的当前值。

通过各设备在通信帧600中写入预先设定的数据的当前值，从而在现场网络2中巡回一圈而返回通信主机(标准控制器100)的通信帧600中，将包含由各设备所收集的最新的值。

本实施方式中，利用此种过程数据通信，在安全控制器200与安全驱动器300各自之间形成逻辑连接4(参照图11)。所述逻辑连接4被用于用以实现安全功能的数据的交换。

如上所述，在采用EtherCAT来作为现场网络2的协议的情况下，能够使用被称作基于EtherCAT的故障安全(FailSafe over EtherCAT，FSoE)的协议来形成逻辑连接4。

更具体而言，对通信帧600分配用于保存为了形成逻辑连接4而交换的命令的专用数据区域。通过使用所述专用数据区域来在设备间交换命令，从而形成逻辑连接4。

图12是用于说明本实施方式的控制系统1中的数据传输的图。参照图12，在通信帧600中，除了被用于过程数据通信的数据区域610以外，还规定了被用于逻辑连接4的数据区域620。

数据区域610包含：数据区域611，被分配给标准控制器100；数据区域612、数据区域613、数据区域614，被分配给安全驱动器300；以及数据区域615，被分配给安全控制器200。

数据区域612、数据区域613、数据区域614、数据区域615包含：输入(IN)数据区域6121、输入(IN)数据区域6131、输入(IN)数据区域6141、输入(IN)数据区域6151，用于从各设备向其他设备公开数据；以及输出(OUT)数据区域6122、输出(OUT)数据区域6132、输出(OUT)数据区域6142、输出(OUT)数据区域6152，用于受理各设备中的指令。

输入数据区域6121、输入数据区域6131、输入数据区域6141、输入数据区域6151是被写入各设备所管理的过程数据中的、向其他设备公开的数据的数据区域。各设备在通信帧600内的被分配给自身设备的输入数据区域中写入所需的数据，由此，其他设备便能够参照所述被写入的数据。通常，标准控制器100在每个通信周期，参照由各设备所写入的数据来执行与标准控制相关的控制运算，由此来算出对各设备的指令。

在输出数据区域6122、输出数据区域6132、输出数据区域6142、输出数据区域6152中，被写入对各设备给予的指令。各设备通过参照在通信帧600内的被分配给自身设备的输出数据区域中保存的数据，从而生成对控制对象的输出信号，或者更新内部的控制状态。基本上，在各设备的输出数据区域中，由标准控制器100写入数据。

各设备对被用于过程数据通信的数据区域610写入及读出数据的运行，是根据被分配给各设备的数据区域而预先设定。此种数据的写入及读出的设定操作是由用户在支持装置500上进行。并且，从支持装置500对各设备发送设定信息。

另一方面，被用于逻辑连接4的数据区域620包含：数据区域621、数据区域622、数据区域623，被分配给安全驱动器300；以及数据区域624，被分配给安全控制器200。各设备针对数据区域621、数据区域622、数据区域623、数据区域624，进行与逻辑连接4相关的通信帧(以下也称作“安全通信帧630”)的写入及读出。作为通信主机的标准控制器100在数据区域621、数据区域622、数据区域623、数据区域624之间调换所保存的安全通信帧630。通过此种借助通信主机的折返处理，安全通信帧630能够实现一种点对点(peer-to-peer)的通信。

图12中，作为一例，表示从安全控制器200向第一个安全驱动器300发送安全通信帧630时的处理。图12所示的安全通信帧630是在安全控制器200对特定的安全驱动器300启用特定的运动安全功能等时发送。

首先，安全控制器200生成应向作为发送目标的安全驱动器300发送的安全通信帧630，并写入至通信帧600的数据区域624。随后，当写入有安全通信帧630的通信帧600到达作为通信主机的标准控制器100时，标准控制器100将保存在数据区域624中的安全通信帧630复制到数据区域621中。当在数据区域621中复制有安全通信帧630的通信帧600到达作为发送目标的安全驱动器300时，发送目标的安全驱动器300参照数据区域621而接收安全通信帧630。

而且，从安全驱动器300向安全控制器200的安全通信帧630是以与此相反的通信路径而发送。

这样，本实施方式的控制系统1中，使用通信帧600内的数据区域620来形成逻辑连接4。

＜F.标准控制及安全控制的实现例＞

如上所述，本实施方式的控制系统1中，能够实现过程数据通信及借助逻辑连接4的安全通信。接下来，对利用各个通信的标准控制及安全控制的实现例进行说明。

图13是表示本实施方式的控制系统1中的标准控制及安全控制的实现例的示意图。为了便于说明，图13中，表示除了标准控制器100及安全控制器200以外，还包含一个安全驱动器300的控制系统1的示例。

参照图13，标准控制器100具有过程数据通信层170及输入/输出(Input Output，IO)管理模块172，以作为主要的功能结构。安全控制器200包含过程数据通信层270、IO管理模块272、逻辑连接层276及安全功能状态管理引擎278，以作为主要的功能结构。安全驱动器300包含过程数据通信层370、逻辑连接层376、运动安全功能状态管理引擎378、伺服控制执行引擎352以及运动安全功能执行引擎362，以作为主要的功能结构。

过程数据通信层170、过程数据通信层270及过程数据通信层370负责现场网络2上的通信帧600的转发。过程数据通信层170、过程数据通信层270及过程数据通信层370各自基于到达的通信帧600中所含的数据来更新各设备的过程数据174、274、374。而且，过程数据通信层170、过程数据通信层270及过程数据通信层370各自在将预先指定的过程数据写入至预先分配的数据区域中后，再次生成通信帧600并送出至下段的设备。通过过程数据通信，过程数据的至少一部分将被共享。

安全控制器200的逻辑连接层276及安全驱动器300的逻辑连接层376负责安全通信帧630的交换。即，逻辑连接层276及逻辑连接层376按照用于形成逻辑连接的协议(本实施方式中为FSoE)，使用通信帧600中所含的安全通信帧630来交换命令及数据。

标准控制器100中，IO管理模块172通过与控制对象之间交换信号，从而更新过程数据174。在标准控制器100中执行的标准控制程序1104参照过程数据174来执行控制运算，并且根据控制运算的执行结果来更新过程数据174。

安全控制器200中，IO管理模块272通过与安全设备240之间交换信号，从而更新过程数据274。图13中，汇总表达为过程数据274，但对于通过过程数据通信而更新的过程数据(标准控制用)与通过跟安全设备240的交换而更新的过程数据(安全控制用)，也可按照用不同的等级(level)来管理。

在安全控制器200中执行的安全程序2104参照过程数据274及安全功能状态管理引擎278来执行控制运算，并且基于控制运算的执行结果来更新过程数据274，或者对安全功能状态管理引擎278输出内部指令。

安全功能状态管理引擎278根据安全程序2104所进行的控制运算的执行结果，生成用于对特定的安全驱动器300启用特定的运动安全功能的指令。逻辑连接层276响应来自安全功能状态管理引擎278的指令，与作为对象的安全驱动器300的逻辑连接层376之间使用安全通信帧630来交换所需的命令及信息。

在安全驱动器300中，伺服控制执行引擎352参照过程数据374及经由反馈接收电路332而获取的反馈信号的信息来执行与伺服控制相关的控制运算。伺服控制执行引擎352基于控制运算的执行结果来更新过程数据374，并且对驱动电路330输出内部指令。驱动电路330依据来自伺服控制执行引擎352的指令来驱动伺服马达400。

运动安全功能状态管理引擎378相当于依据来自安全控制器200的安全指令来管理运动安全功能的状态的状态管理部。运动安全功能状态管理引擎378响应来自安全控制器200的指令，对运动安全功能执行引擎362输出内部指令。

运动安全功能执行引擎362执行所指定的运动安全功能。

逻辑连接层376响应来自运动安全功能状态管理引擎378的指令，与安全控制器200的逻辑连接层276之间使用安全通信帧630来交换所需的命令及信息。

＜G.数据跟踪功能＞

参照图14～图19来说明控制系统1中的数据跟踪功能。图14是表示用于实现数据跟踪功能的控制流程的一例的图。以下，依序说明图14所示的各步骤的处理。

(G1.步骤S10)

首先，参照图14～图17来说明步骤S10的处理。

图14所示的步骤S10中，用户对支持装置500进行与数据跟踪相关的各种设定。作为一例，用户对支持装置500设定跟踪条件或跟踪对象数据群。

图15是表示受理与数据跟踪相关的各种设定的数据跟踪画面530的图。如图15所示，数据跟踪画面530包含跟踪条件的设定区域531、跟踪对象数据群的设定区域533以及跟踪结果的显示区域535。跟踪条件的设定区域531包含设定区域531A～设定区域531E。

设定区域531A受理跟踪类型的选择。可选择的跟踪类型的种类例如包含单次跟踪与连续跟踪。在选择了单次跟踪的情况下，记录在设定区域531E中设定的触发(trigger)条件成立前后的数据。在选择了连续跟踪的情况下，不论在设定区域531E中设定的触发条件如何而持续记录跟踪对象数据。

设定区域531B受理数据跟踪时的采样间隔的设定。采样间隔例如是通过任务的指定或时间的指定而设定。在指定了任务的情况下，将所指定的任务的执行周期设定为采样周期。在指定了时间的情况下，将所指定的时间设定为采样周期。

设定区域531C受理每一数据的采样数的上限值的设定。更具体而言，标准控制器100将跟踪对象数据依序写入至规定的存储区域中，当采样数达到所设定的上限值时，从最旧的数据开始依序以新的数据予以覆盖。

设定区域531D受理在设定区域531E中所设定的触发条件成立前后的数据的保存比率的设定。更具体而言，标准控制器100从触发条件成立开始直至收集了相当于所设定的保存比率的采样数的数据为止，持续数据跟踪。

设定区域531E受理触发条件的设定。设定区域531E例如受理作为触发对象的变量名的指定、或者针对所述变量的条件式(例如不等式或等式等)等。在所指定的变量满足了所指定的条件式的情况下，满足触发条件。作为一例，将与安全功能相关的变量(例如“SS1”等)的上升等设定为触发条件。当满足触发条件时，开始采样结束条件的监测。采样结束条件取决于在设定区域531C中所设定的采样数和在设定区域531D中所设定的保存比率。作为一例，在采样数被设定为10000次且保存比率被设定为50％的情况下，标准控制器100在触发条件的成立后，进行5000次(＝10000次×0.5)采样，随后停止数据跟踪。由此，触发条件成立前的5000次采样数据与触发条件成立后的5000次采样数据被保留作为跟踪结果。

设定区域533受理跟踪对象数据群的设定。设定区域533包含显示跟踪对象数据群的数据列表533A、追加按钮B1、删除按钮B2及统一追加按钮B3。

当用户按下追加按钮B1时，在数据列表533A中追加一行数据的设定栏。用户能够在追加的设定栏中输入跟踪对象数据的变量名等。

当用户在选择了数据列表533A内的任一设定栏的状态下按下删除按钮B2时，能够从数据列表533A中删除所选择的设定栏。

当用户按下统一追加按钮B3时，支持装置500以与数据跟踪画面530不同的窗口来打开跟踪对象数据群的统一设定画面。图16是表示跟踪对象数据群的统一设定画面540的图。

统一设定画面540包含：设定区域542(马达受理部)，受理作为跟踪对象的轴的选择；设定区域543(功能受理部)，受理安全功能的选择；以及显示区域545，显示跟踪对象数据群。此处所谓的“轴”，是指伺服马达400的驱动对象的轴。伺服马达400及轴是一一对应的，因此选择跟踪对象的轴，与选择作为跟踪对象的伺服马达400为同义。支持装置500基于在设定区域542中所选择的轴与在设定区域543中所选择的安全功能，来决定跟踪对象数据群的候选。

以下，对跟踪对象数据群的决定方法进行说明。图17是概略地表示跟踪对象数据群的决定方法的概念图。

如图17所示，支持装置500包含处理器502与贮存器510以作为硬件结构。处理器502包含决定模块550以作为硬件结构。贮存器510包含收集候选信息5118与轴信息5120。

在收集候选信息5118中，控制系统1内的收集候选数据群关联于安全驱动器300的安全功能的类别。收集候选信息5118所规定的安全功能例如包含安全转矩关断(SafeTorque Off，STO)、安全停止1(Safe Stop 1，SS1)、安全停止2(Safe Stop 2，SS2)、安全操作停止(Safe Operating Stop，SOS)、安全制动控制(Safe Brake Control，SBC)等。

收集候选信息5118所规定的作为收集候选的各数据群包含在安全功能的执行时所参照的变量。作为一例，与安全功能“SS1”相关联的变量包含表示安全功能“SS1”是否已被启用的用户变量“SS1”、表示伺服马达400的速度的系统变量“Act.Vel”、表示伺服马达400是否处于通电状态的系统变量“Drvstatus.ServoOn”等。

而且，收集候选信息5118所规定的作为收集候选的各数据群包含在安全功能的执行时所参照的安全参数。作为一例，与安全功能“SS1”相关联的安全参数包含“N_Zero_SS1”、“-N_Zero_SS1”、“T_L_SS1”及“T_SS1”。

“N_Zero_SS1”表示伺服马达400的状态值的上限值。“-N_Zero_SS1”表示伺服马达400的状态值的下限值。

“T_L_SS1”表示从安全驱动器300的状态值变得与上限值“N_Zero_SS1”相等开始直至强制停止伺服马达400的驱动为止的停止延缓时间。即，为了满足安全功能“SS1”的规格，伺服马达400的状态值必须在停止延缓时间“T_L_SS1”内收敛到上限值“N_Zero_SS1”及下限值“-N_Zero_SS1”的范围内。

“T_SS1”表示从安全功能“SS1”的执行开始直至强制停止伺服马达400的驱动为止的停止延缓时间。即，为了满足安全功能“SS1”的规格，伺服马达400的状态值必须在停止延缓时间“T_SS1”内收敛到上限值“N_Zero_SS1”及下限值“-N_Zero_SS1”的范围内。

轴信息5120包含对支持装置500所设定的轴设定。更具体而言，用户在标准控制程序1104的设计时或设计前，针对每个伺服马达400而预先设定作为驱动对象的轴。基于此设定，支持装置500生成与所设定的轴对应的结构体来作为系统变量。用户能够使用所生成的结构体来记述针对各轴的程序。轴信息5120规定在轴设定时所生成的各系统变量(结构体)。

决定模块550基于在设定区域542(参照图16)中所选择的轴与在设定区域543(参照图16)中所选择的安全功能的组合，来决定收集对象数据群。如图17所示，假设在轴选择时选择了“MC_Axis000”，在功能选择时选择了“SS1”。此时，决定模块550参照收集候选信息5118，来确定与安全功能“SS1”对应的收集候选数据群。决定模块550对于所确定的数据群内的、用户变量“SS1”及安全参数“N_Zero_SS1”、“-N_Zero_SS1”、“T_SS1”，使它们直接包含在收集对象数据群5121中。另一方面，决定模块550对于所确定的数据群内的、与轴相关的系统变量“Act.Vel”、“Drvstatus.ServoOn”，附加结构体变量名“MC_Axis000”，使它们作为系统变量“MC_Axis000.Act.Vel”、“MC_Axis000.Drvstatus.ServoOn”而包含在收集对象数据群5121中。

再次参照图16，由决定模块550所决定的收集对象数据群5121被显示在统一设定画面540的显示区域545中。当用户按下确认按钮B10时，显示在显示区域545中的收集对象数据群5121被反映到数据跟踪画面530的设定区域533中。而且，当在复选框544被勾选的状态下按下了确认按钮B10时，跟踪条件被自动反映到数据跟踪画面530的设定区域531中。更具体而言，将不同的跟踪条件预先关联于安全功能的类别，将与所选择的安全功能的类别对应的跟踪条件反映到数据跟踪画面530的设定区域531中。例如，假设在安全功能“SS1”中，关联有保存比率“100％”与变量“SS1”的“下降”作为跟踪条件。此时，当选择了安全功能“SS1”时，在设定区域531D中自动设定“100％”，在设定区域531E中自动设定变量“SS1”的“下降”。

另一方面，当用户按下取消按钮B11时，在统一设定画面540上设定的内容不会被反映到数据跟踪画面530的设定区域533中，且统一设定画面540关闭。

(G2.步骤S20)

再次参照图14来说明步骤S20的处理。步骤S20的处理包含步骤S22、步骤S24、步骤S26的处理。

步骤S22中，用户对支持装置500进行跟踪执行操作。

步骤S24中，支持装置500从在所述数据跟踪画面530的设定区域533中所设定的收集对象数据群中提取变量。

步骤S26中，支持装置500将所提取的变量作为收集对象而将跟踪执行命令输出至标准控制器100。所述跟踪执行命令包含在所述数据跟踪画面530的设定区域531中所设定的信息。

(G3.步骤S30)

接下来，参照图14来说明步骤S30的处理。

步骤S30中，标准控制器100基于从支持装置500受理了跟踪执行命令的情况，开始跟踪对象数据群的采样处理。

图18是用于说明跟踪对象数据群的采样处理的图。参照图18，标准控制器100的处理器102包含控制模块152与数据跟踪模块154以作为功能模块。

控制模块152依据标准控制程序1104，在预先规定的每个周期对安全驱动器300输出指令。安全驱动器300依据来自标准控制器100的指令来控制伺服马达400。

数据跟踪模块154根据在所述数据跟踪画面530的设定区域531中所设定的跟踪条件1108，对跟踪对象数据群进行采样。更具体而言，数据跟踪模块154在预先规定的每个周期，从安全驱动器300接收跟踪对象数据群，将所述数据群关联至时刻信息后，依序写入至存储区域104A中。存储区域104A是标准控制器100内的易失性的存储区域。存储区域104A例如是在主存储器104(参照图3)内确保。当跟踪对象数据群的采样数达到所设定的上限值时，数据跟踪模块154从保存在存储区域104A中的数据群内的最旧的数据群开始，依序以新的数据群予以覆盖。

(G4.步骤S40)

再次参照图14来说明步骤S40的处理。步骤S40的处理包含步骤S42、S44、步骤S46、步骤S48的处理。

步骤S42中，用户对安全设备240进行用于使在所述数据跟踪画面530的设定区域531E中所设定的触发条件成立的输入(以下也称作“触发输入”)。另外，用户也可对支持装置500进行用于使触发条件成立的输入，以取代对安全设备240的进行。此时，用户能够通过在支持装置500上变更与触发条件相关的变量的值，从而使触发条件成立。

步骤S44中，安全设备240将步骤S42中的触发输入输出至安全IO单元230。

步骤S46中，安全IO单元230将与在步骤S44中受理的触发输入相应的信号输出至安全控制器200。

步骤S48中，安全控制器200启用与在步骤S46中受理的信号相应的安全功能。所述启用是通过改写表示安全功能的接通/断开的变量而实现。步骤S48的示例中，将变量“SS1”由接通设定为断开，由此来启用安全功能“SS1”。

(G5.步骤S50)

接下来，参照图14来说明步骤S50的处理。

假设在所述数据跟踪画面530的设定区域531E中将变量“SS1”的下降设定为触发条件。此时，在步骤S50中，标准控制器100基于变量“SS1”由接通变化为断开的情况，执行跟踪对象数据群的保存处理。

参照图18来说明步骤S50中的保存处理。数据跟踪模块154获取在所述数据跟踪画面530的设定区域531C中所设定的采样数的上限值与在设定区域531D中所设定的保存比率，算出相当于采样数的保存比率的剩余采样数。作为一例，在保存比率被设定为50％，采样数的上限值被设定为10000次的情况下，标准控制器100将剩余采样数设为5000次(＝10000次×0.5)。数据跟踪模块154从触发条件成立开始，继续剩余采样数的5000次的采样，随后停止采样。由此，触发条件成立前的5000次的采样数据与触发条件成立后的5000次的采样数据将保留在存储区域104A中。

随后，数据跟踪模块154将保存在易失性的存储区域104A中的数据群复制到非易失性的存储区域114A中。由此，跟踪结果DT被保存到非易失性的存储区域114A中。存储区域114A既可在标准控制器100的贮存器110内确保，也可在外部的存储卡114内确保。

(G6.步骤S60)

再次参照图14来说明步骤S60的处理。步骤S60的处理包含步骤S61～步骤S67的处理。

步骤S61中，支持装置500将跟踪结果DT的获取请求发送至标准控制器100。

步骤S62中，标准控制器100基于已收到所述获取请求的情况，将跟踪结果DT发送至支持装置500。

步骤S63中，支持装置500基于所获取的跟踪结果DT来决定显示对象的时间范围。作为一例，支持装置500将跟踪结果DT中所含的时间信息内的、最旧的时间信息直至最新的时间信息为止决定为显示对象的时间范围。

步骤S64中，支持装置500从在所述数据跟踪画面530的设定区域533中所设定的收集对象数据群中提取安全参数SP。

步骤S65中，支持装置500将所提取的安全参数的获取请求经由标准控制器100而输出至安全驱动器300。

步骤S66中，安全驱动器300将与所接收的获取请求对应的安全参数SP发送至支持装置500。

另外，在作为获取对象的安全参数已被高速缓存(cache)在支持装置500内(例如所述项目数据5106内)的情况下，未必需要进行步骤S65、步骤S66的通信。此时，支持装置500在步骤S65、步骤S66中不与安全驱动器300进行通信，而是利用高速缓存的安全参数。

步骤S67中，支持装置500将在步骤S62中接收的跟踪结果DT与在步骤S66中接收的安全参数SP显示为数据跟踪的执行结果。这样，支持装置500从安全驱动器300获取收集对象数据群中所含的安全参数SP，并从标准控制器100的数据跟踪模块154获取收集对象数据群中所含的状态值的跟踪结果DT。

参照图19来详细说明步骤S67中的显示处理。图19是表示图15所示的数据跟踪画面530的显示区域535的图。

如图19所示，支持装置500在横轴表示时间且纵轴表示安全驱动器300的状态值的大小的图表上表示跟踪结果DT，并且在所述图表上表示安全参数SP。另外，图19的示例中，图表的横轴表示时间，图表的纵轴表示状态值的大小，但也可为图表的横轴表示状态值的大小，图表的纵轴表示时间。

图19的示例中，作为跟踪结果DT，表示了变量“SS1”的推移、变量“MC_Axis000.Act.Vel”的推移与变量“MC_Axis000.Drvstatus.ServoOn”的推移。而且，作为安全参数SP，表示了“N_Zero_SS1”、“-N_Zero_SS1”、“T_SS1”与“T_L_SS1”。

安全参数“N_Zero_SS1”表示安全驱动器300的状态值的上限值。安全参数“-N_Zero_SS1”表示安全驱动器300的状态值的下限值。通过显示上限值及下限值，用户能够容易地判断安全驱动器300的状态值是否收敛在上限值及下限值的范围内。

典型的是，支持装置500以与图表的纵轴正交的方式来显示上限值“N_Zero_SS1”及下限值“-N_Zero_SS1”。由此，用户能够更容易地判断安全驱动器300的状态值是否收敛在上限值“N_Zero_SS1”及下限值“-N_Zero_SS1”的范围内。另外，上限值“N_Zero_SS1”及下限值“-N_Zero_SS1”的显示形态并不限定于图19的示例。例如，上限值“N_Zero_SS1”及下限值“-N_Zero_SS1”也可简单地以数值来表示。

而且，支持装置500将纵轴AX1～AX4重叠于跟踪结果DT而显示。纵轴AX1表示在所述数据跟踪画面530的设定区域531E中所设定的触发条件成立的时机。所述时机与发出安全功能“SS1”的执行指令的时机为同义。纵轴AX1是以与时间轴正交的方式而显示。

纵轴AX2表示安全驱动器300的状态值变得与上限值“N_Zero_SS1”相等的时机。纵轴AX2是以与时间轴正交的方式而显示。

纵轴AX3相当于从纵轴AX2所示的时机经过了安全参数“T_L_SS1”所示的停止延缓时间的时机。纵轴AX3是以与时间轴正交的方式而显示。

纵轴AX4相当于从纵轴AX1所示的时机经过了安全参数“T_SS1”所示的停止延缓时间的时机。纵轴AX4是以与时间轴正交的方式而显示。

典型的是，跟踪结果DT及安全参数SP是使单位一致后予以显示。更具体而言，支持装置500预先保持有用于使跟踪结果DT所示的状态值的单位与安全参数SP所示的单位统一的单位转换表5122(参照图6)。支持装置500基于单位转换表5122，来使跟踪结果DT所示的状态值的单位与安全参数SP所示的单位一致。通过使单位一致，用户能够容易地比较跟踪结果DT所示的状态值与安全参数SP。

另外，单位转换未必需要由支持装置500来执行，也可由标准控制器100或安全驱动器300来执行。在一方面，单位转换表5122被保存在标准控制器100中。此时，标准控制器100基于单位转换表5122来对跟踪结果DT进行单位转换，以使其与在步骤S26中指定的单位一致，并在步骤S62中将单位转换后的跟踪结果DT发送至支持装置500。在另一方面，单位转换表5122被保存在安全驱动器300中。此时，安全驱动器300基于单位转换表5122来对安全参数SP进行单位转换，以使其与在步骤S65中指定的单位一致，并在步骤S66中将单位转换后的安全参数SP发送至支持装置500。

＜H.变形例＞

参照图20～图22来说明图1所示的控制系统1的变形例。

图20是表示依据变形例1的控制系统1A的图。图1所示的控制系统1中，标准控制器100及安全控制器200利用现场网络2而连接。与此相对，在依据变形例1的控制系统1A中，标准控制器100及安全控制器200经由内部总线而连接。关于控制系统1A的其他方面，则与控制系统1相同，因此不再重复对它们的说明。

图21是表示依据变形例2的控制系统1B的图。图1所示的控制系统1中，在标准控制器100内设有用于保存跟踪对象数据群的存储区域104A、114A与数据跟踪模块154。与此相对，在依据变形例2的控制系统1B中，存储区域104A、存储区域114A与数据跟踪模块154被设在专用的跟踪单元180内。跟踪单元180经由内部总线而与标准控制器100、安全控制器200及安全IO单元230连接。关于控制系统1B的其他方面，则与控制系统1相同，因此不再重复对它们的说明。

图22是表示依据变形例3的控制系统1C的图。图1所示的控制系统1中，支持装置500经由网络3而连接于标准控制器100。与此相对，在依据变形例3的控制系统1C中，支持装置500经由网络3A而直接连接于跟踪单元180。关于控制系统1C的其他方面，则与控制系统1相同，因此不再重复对它们的说明。

＜I.附注＞

如上所述，本实施方式包含如下所述的公开。

[配置1]

一种控制系统，包括：

第一控制器100；以及

驱动装置300，依据来自所述第一控制器100的第一指令来驱动马达400，所述驱动装置300具有对马达400的多个安全功能，

所述控制系统1还包括：

第二控制器200，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置300；

数据跟踪模块154，用于跟踪根据所述第一指令而变化的、表示所述马达400的运行状态的状态值；以及

支持装置500，用于受理所述控制系统1内的收集对象数据群的设定，所述收集对象数据群包含表示所述马达400的运行状态的状态值，

所述支持装置500包括：

贮存器510，用于保存收集候选信息，所述收集候选信息将所述控制系统1内的收集候选数据群关联于所述多个安全功能的类别；

功能受理部543，用于从所述多个安全功能中受理一个安全功能的选择；以及

输出部508，用于输出所述收集候选信息所规定的多个数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群。

[配置2]

根据配置1所述的控制系统，其中

在所述收集候选信息中与所述多个安全功能的类别相关联的各数据群，包含在所关联的安全功能的执行时所参照的安全参数。

[配置3]

根据配置2所述的控制系统，其中

所述支持装置500从所述驱动装置300中获取所述收集对象数据群中所含的所述安全参数，

且从所述数据跟踪模块154中获取所述收集对象数据群中所含的所述状态值的跟踪结果。

[配置4]

根据配置2或3所述的控制系统，其中

所述安全参数包含所述状态值的下限值与所述状态值的上限值。

[配置5]

根据配置2至4中任一项所述的控制系统，其中

所述安全参数包含从所述驱动装置300收到所述第二指令直至停止所述马达400的驱动为止的停止延缓时间。

[配置6]

根据配置1至5中任一项所述的控制系统，其中

所述控制系统1包括多个所述驱动装置300，

多个所述驱动装置300分别驱动不同的马达400，

所述支持装置500还包括马达受理部，所述马达受理部用于从多个所述马达400中受理一个马达400的选择，

由所述输出部508所输出的所述收集对象数据群是基于所述一个安全功能与所述一个马达400的组合而决定。

[配置7]

根据配置1至6中任一项所述的控制系统，其中

对于所述多个安全功能，分别预先关联有所述数据跟踪模块对所述状态值的跟踪条件，

所述输出部508进一步输出多个所述跟踪条件内的、与所述一个安全功能相关联的跟踪条件。

[配置8]

一种支持装置500，连接于控制系统1，所述控制系统1包括：

第一控制器100；以及

所述控制系统1还包括：

第二控制器200，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置300；以及

数据跟踪模块154，用于跟踪根据所述第一指令而变化的、表示所述马达400的运行状态的状态值，

所述支持装置500包括：

数据受理部，受理所述控制系统1内的收集对象数据群的设定，所述收集对象数据群包含所述状态值；

[配置9]

一种支持程序，由连接于控制系统1的计算机来执行，所述控制系统1包括：

第一控制器100；以及

所述控制系统1还包括：

所述支持程序使所述计算机执行下述步骤：

受理所述控制系统1内的收集对象数据群的设定，所述收集对象数据群包含所述状态值；

获取收集候选信息的步骤S10，所述收集候选信息将所述控制系统1内的收集候选数据群关联于所述多个安全功能的类别；

从所述多个安全功能中受理一个安全功能的选择的步骤S10；以及

输出所述收集候选信息所规定的多个数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群的步骤S10。

应认为，此次公开的实施方式在所有方面仅为例示，并非限制者。本发明的范围是由权利要求而非所述说明所示，且意图包含与权利要求均等的含义及范围内的所有变更。

Claims

1.一种控制系统，包括：

第一控制器；以及

驱动装置，依据来自所述第一控制器的第一指令来驱动马达，所述驱动装置具有对马达的多个安全功能，

所述控制系统还包括：

第二控制器，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置；

数据跟踪模块，用于跟踪根据所述第一指令而变化的、表示所述马达的运行状态的状态值；以及

支持装置，用于受理用户对所述控制系统内的收集对象数据群的设定，

所述支持装置包括：

贮存器，用于保存收集候选信息，所述收集候选信息将所述控制系统内的收集候选数据群关联于所述多个安全功能的类别，所述收集候选数据群包含表示所述马达的运行状态的状态值；

功能受理部，用于从所述多个安全功能中受理所述用户对一个安全功能的选择；以及

输出部，用于响应于受理对一个安全功能的选择，输出所述收集候选信息所规定的多个收集候选数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群。

2.根据权利要求1所述的控制系统，其中

3.根据权利要求2所述的控制系统，其中

所述支持装置从所述驱动装置中获取所述收集对象数据群中所含的所述安全参数，

且从所述数据跟踪模块中获取所述收集对象数据群中所含的所述状态值的跟踪结果。

4.根据权利要求2或3所述的控制系统，其中

5.根据权利要求2或3所述的控制系统，其中

所述安全参数包含从所述驱动装置收到所述第二指令直至停止所述马达的驱动为止的停止延缓时间。

6.根据权利要求1至3中任一项所述的控制系统，其中

所述控制系统包括多个所述驱动装置，

多个所述驱动装置分别驱动不同的马达，

所述支持装置还包括马达受理部，所述马达受理部用于从多个所述马达中受理一个马达的选择，

由所述输出部所输出的所述收集对象数据群是基于所述一个安全功能与所述一个马达的组合而决定。

7.根据权利要求1至3中任一项所述的控制系统，其中

所述输出部进一步输出多个所述跟踪条件内的、与所述一个安全功能相关联的跟踪条件。

8.一种支持装置，连接于控制系统，所述控制系统包括：

第一控制器；以及

所述控制系统还包括：

第二控制器，将与所执行的安全功能的种类相应的第二指令发送至所述驱动装置；以及

数据跟踪模块，用于跟踪根据所述第一指令而变化的、表示所述马达的运行状态的状态值，

所述支持装置包括：

数据受理部，受理用户对所述控制系统内的收集对象数据群的设定；

9.一种存储介质，其存储有一种支持程序，由连接于控制系统的计算机来执行，所述控制系统包括：

第一控制器；以及

所述控制系统还包括：

所述支持程序使所述计算机执行下述步骤：

受理用户对所述控制系统内的收集对象数据群的设定；

获取收集候选信息，所述收集候选信息将所述控制系统内的收集候选数据群关联于所述多个安全功能的类别，所述收集候选数据群包含表示所述马达的运行状态的状态值；

从所述多个安全功能中受理所述用户对一个安全功能的选择；以及

响应于受理对一个安全功能的选择，输出所述收集候选信息所规定的多个收集候选数据群内的、与所述一个安全功能相关联的收集候选数据群来作为所述收集对象数据群。