JP2000276202A - フェールセーフコントローラ - Google Patents

Abstract

(57)【要約】 【課題】交番信号を出力に持つフェールセーフな制御装
置において、安全性を確保しつつ、生産性を向上させる
方法を提供する。 【解決手段】制御演算を行う制御演算プログラムと、制
御演算プログラムによる演算結果から制御信号を生成す
る出力プログラムとを記憶したメモリと、タイマの割込
み信号に応じて制御演算プログラムの結果を取り込み出
力プログラムを実行して演算結果に基づいて制御信号を
生成するプロセッサによって構成する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、フェールセーフな
制御装置の出力方式に関し、特に出力信号として交番信
号を用いたフェールセーフ制御装置の出力方式に関す
る。

【０００２】

【従来の技術】信号機や踏切などの交通システム制御装
置あるいは、自動車の電子制御装置においては、制御装
置の故障が発生してシステムを停止せざるを得ない場合
に、システムとして安全な状態に停止させる必要があ
る。例えば信号制御では、信号機を赤にすることで、自
動車や列車の衝突を防ぐことが出来る。

【０００３】このような安全性確保の考え方を「フェー
ルセーフ」と呼んでいる。フェールセーフ（安全）性を
実現する上で重要なことは、制御出力をいかにして被制
御機器へ伝えるかということである。従来のリレーによ
る制御では、故障モードが非対称性を持つために、これ
をより所にして比較的容易にフェールセーフを実現でき
たが、マイコンによる電子制御装置では、故障が非対称
性を持たないために新たな手法が必要とされてきた。こ
の制御出力のフェールセーフ性を高めるための手法とし
て、鉄道分野のように制御周期の長い制御システムでは
制御出力として交番信号を用いる手法がある。

【０００４】このように交番信号を用いるものとして例
えば特開平6−332730 号公報には、制御対象となる外部
機器と、外部機器からの信号を入力して制御信号を出力
するＣＰＵと、ＣＰＵからの制御信号を外部機器へ伝達
する駆動回路から構成されたシステムが開示され、ＣＰ
Ｕからの外部機器を危険側に切替駆動する制御信号を、
ソフトウエアによるビット反転で発生したビット列0101
0101…の交流信号とすることが開示されている。ＣＰＵ
からの制御信号は駆動回路に入力され、駆動回路はＣＰ
Ｕからの信号が交流信号の場合には外部機器を危険側に
切替駆動し、交流信号が停止してビット０又はビット１
の信号レベルに固定されると、外部機器を安全側に駆動
する。

【０００５】また、従来のフェールセーフコントローラ
で、交番信号をプログラムで生成する場合、シングルス
レッド構造と呼ばれる通常の制御演算プログラム中に交
番出力処理ルーチンを埋め込む方法が用いられている。
この場合、交番出力処理は、先行する制御周期の結果出
力が危険側出力であるならば、結果出力を交番化する。
より具体的には、交番出力処理が実行される毎に前回出
力を反転（１の場合に０に、０の場合に１）する。一
方、制御周期の結果出力が安全側であるならば、交番化
しない。

【０００６】万一、システムに異常が発生し制御演算処
理プログラムが停止あるいは暴走すると、ほとんどの場
合、正常なフローが実行されることはない。従って交番
出力処理も同時に停止し、出力は安全側出力である非交
番信号の固定値となり、システムの安全性が保たれる。

【０００７】

【発明が解決しようとする課題】しかしながら、上述し
たようなシングルスレッド構造とした手法では、制御演
算処理プログラムを作成した後に、交番信号周期毎にプ
ログラムを分割し、交番出力処理ルーチンを埋め込む必
要がある。またプログラムの変更をする場合において、
交番信号周期がずれないように、再度プログラムの分割
を行う必要が生じる。制御周期や制御演算処理内容の一
部の変更であっても、プログラム全体の再分割を考慮す
る必要があるため、プログラムの生産効率が非常に悪く
なってしまう。また、一般に交番信号の周期は０.５〜
２msであり、制御演算の周期は100〜６００msである。
別の見方をすると０.５ 〜２msは、10MIPS程度のＲＩＳ
Ｃプロセッサの機械語５０００〜２万命令の実行時間に
相当する。このため交番信号を得るには、たとえば制御
演算処理の機械語プログラムを１万命令程度に区切っ
て、交番出力処理を埋め込む面倒な作業を必要とする。
また最近では、制御演算処理をＣ言語などの高級言語で
記述することが普通であり、コンパイル結果を見通し
て、交番出力処理を制御演算処理プログラムに埋め込む
ことは、多大な労力が必要とされる。更に第三者が作成
したプログラムを流用することなど不可能である。

【０００８】一方、フェールセーフコントローラシステ
ムを広範囲に適用するには、開発費や開発期間の削減を
行い、低価格化を実現することが重要である。このため
には、交番信号処理をハードウエアで実現し、プログラ
ム作成の負担を軽減すること、あるいはアプリケーショ
ンプログラムから交番処理を分離し、ＯＳのような共通
プログラムに交番処理を集約して、システムの共通化を
図ることが必須である。

【０００９】そこで、本発明の目的は、交番信号処理を
ハードウエアで実現し、交番信号出力処理を演算処理プ
ログラムと分離することによって、演算処理プログラム
の作成・変更時に交番信号出力処理を意識することなく
行える手段を提供することにある。

【００１０】また本発明の別の目的は、ＯＳのような共
通プログラムに交番処理を集約して共通ソフトを使用し
ながらも、シングルスレッド構造と同等レベルの安全な
交番信号生成手段を提供することにある。

【００１１】

【課題を解決するための手段】上記目的を実現するため
に、コントローラは、プログラムおよびデータを格納す
るメモリと、該メモリからプログラムを読み出してこれ
を実行するプロセッサと周期的にプロセッサへの割込み
信号を生成する出力部起動タイマによって構成される。
プログラムは、少なくとも以下の二つの部分を持ち、一
つは、制御出力データを算出する制御演算部で、たとえ
ば１００〜６００msの周期を持つ。もう一つは、該制御
演算部からの制御出力データを交番信号に変換する出力
部である。

【００１２】出力部は割込み信号によって起動され、該
出力部は制御演算部の制御出力データが危険側出力を指
定している場合に限って、特定の信号パタンあるいは交
番信号を出力する。

【００１３】また出力部は、出力部起動回数を計測する
カウンタとカウンタの上限値を保持するレジスタを有
し、該カウンタが定められた上限値を超えた時には出力
信号レベルを固定する。制御演算部は、制御周期内に少
なくとも１回カウンタをクリアする。

【００１４】上限値を制御周期内の出力部起動回数より
若干多く設定すると、正常動作時には上限値を超えるこ
と無い。しかし制御演算部が暴走、あるいは停止したと
きには、カウンタがクリアされずに上限値を超えてしま
い危険側出力である特定の信号パタンあるいは交番信号
を抑止する。これによって、システムは安全な状態に保
たれる。

【００１５】

【発明の実施の形態】以下に本発明にかかる第一の実施
例を図面を参照して説明する。

【００１６】図２に本発明を適用したコントローラシス
テムの全体の構成を示す。本システムは、制御対象５，
制御対象５の状態を検出する検出器６，制御対象５への
制御信号２の出力及び制御対象５の状態を状態信号３と
して取り込む入出力回路４，制御対象５の状態を取り込
み、制御演算処理を実行し、演算結果を制御信号２とし
て出力するフェールセーフコントローラ１から構成され
ている。尚、フェールセーフコントローラ１から出力さ
れる制御信号２は後述するように交番信号または固定値
信号となる。本コントローラシステムを例えば踏切制御
装置に適用した場合、踏切への列車の接近を検出する踏
切制御子や、踏切装置に故障が発生した場合に踏切故障
を通達する踏切故障検出器などが検出器６に相当し、こ
の踏切制御子や踏切故障検出器からの信号を入力して、
演算を行い制御信号を出力する踏切制御装置がフェール
セーフコントローラ１に相当し、踏切制御装置から制御
信号によって列車の接近・通過を光と音で警報する踏切
警報機や、道路の通行を遮断する踏切遮断機が制御対象
５に相当する。

【００１７】以下、フェールセーフコントローラ１につ
いて詳細に説明する。ここで、説明するフェールセーフ
コントローラ１は、ハードウエアで実現することを前提
としている。フェールセーフコントローラ１は、制御演
算を実行する制御演算部１０と、演算制御部１０の出力
に応じて制御信号２として交番信号又は固定値信号を出
力する出力部１１から構成されている。

【００１８】出力部１１は、交番信号の周期を定めるタ
イマ１１０と、制御演算部１０の演算結果１２を基に交
番信号を生成する交番信号出力部１１１と、交番信号出
力部１１１の出力信号１１４を監視して制御信号２の出
力／停止を制御する出力監視部１１２から構成されてい
る。

【００１９】また、制御演算部１０は、制御周期のはじ
めに、制御周期開始トリガ１３としてパルス信号を出力
し、出力部１１に制御周期の開始を通達する。制御周期
開始トリガ１３は、交番信号出力部１１１と、出力監視
部１１２にそれぞれ入力される。

【００２０】タイマ１１０は、交番信号周期毎に交番周
期トリガ１１３を出力する。交番信号出力部１１１は、
制御演算部１０の演算結果１２の値を制御周期開始トリ
ガ１３が入力される毎に取り込む。また、交番信号出力
部１１１は、交番周期トリガ１１３が入力される毎に、
取り込んだ制御演算部１０の演算結果１２が論理値１
（真）の場合には、交番周期トリガ１１３が入力される
以前の出力の値を反転（１を０に、０を１にする）し、
論理値０の場合には、交番周期トリガ１１３が入力され
る以前の出力の値を維持して、交番出力１１４として出
力する。従って、制御演算部１０の演算結果１２として
“１”の状態が続くと交番周期トリガ１１３に合わせて
交番信号を出力し、演算結果１２として“０”の状態が
続くと固定値信号が出力される。

【００２１】出力監視部１１２は、制御周期開始トリガ
１３により交番出力１１４の観測を開始し、実際に制御
対象５に出力される制御信号２を制御する。

【００２２】図４は図２の交番信号出力部１１１の構成
を示したものである。交番信号出力部１１１は、制御演
算部１０の演算結果１２の値を保持するレジスタ１１１
０と、交番信号の生成を行う交番出力生成部１１１１
と、交番出力１１４として出力される値を保持する出力
レジスタ１１１２より構成される。レジスタ１１１０
は、制御周期開始トリガ１３が入力されたときに、制御
演算部１０の演算結果１２の値を取り込み、再度、制御
周期開始トリガ１３が入力されるまで、値を保持する。
従って、一つの制御周期の間は、レジスタ１１１０の値
は変化せず、次の制御周期へ遷移する場合においてのみ
レジスタ１１１０の値が変化する。出力レジスタ１１１
２は、交番周期トリガ１１３毎に交番出力生成部１１１
１の出力を取り込む。

【００２３】交番出力生成部１１１１は排他的論理和ゲ
ートであるEOR1115 によって構成されている。これによ
り交番出力生成部１１１１は、レジスタ１１１０からの
出力１１１３の値が論理値１である場合には、出力レジ
スタ１１１２に保持されている値を反転し(論理値１の
とき論理値０に、論理値０のとき論理値１にする。)、
論理値０である場合には、出力レジスタ１１１２に保持
されている値をそのまま、出力レジスタ１１１２へ入力
する。このようにして、交番出力生成部１１１１は、レ
ジスタ１１１０に保持された制御演算部１０の演算結果
１２に基づいて交番信号または固定値信号を生成する。

【００２４】なお、出力レジスタ１１１２への入力値の
変化は、交番周期トリガ１１３により交番出力生成部１
１１１の動作が起動したときとなるので、出力信号１１
４の信号周期は、交番周期トリガ１１３の発生間隔によ
り決定される。

【００２５】図５は図２の出力監視部１１２の構成を示
したものである。出力監視部１１２は、出力信号１１４
の交番回数を計測するカウンタ１１２１と、カウンタ11
21の値と比較する数値を保持するカウンタ上限値設定レ
ジスタ１１２０と、カウンタ１１２１の値１１２５とカ
ウンタ上限値１１２４の大きさを比較する大小比較器１
１２２と、出力信号１１４の出力／停止を制御する出力
制御部１１２３から構成される。

【００２６】カウンタ１１２１は、出力信号１１４が出
力されている場合に、交番信号の立ち上がりを見て、交
番信号の交番回数を計測する。カウンタ１１２１は、制
御周期開始トリガ１３が１パルス入力されると値がリセ
ットされる。従って、制御演算部１０の故障により、制
御周期開始トリガ１３が遅延し、カウンタ１１２１の値
１１２５がカウンタ上限値設定レジスタ１１２０の上限
値１１２４よりも大きくなると、大小比較器１１２２
は、出力停止信号１１２６を出力する。出力停止信号１
１２６が出力されると、出力制御部１１２３は出力信号
１１４の交番信号を抑止し、制御信号２として固定値信
号が出力される。つまり、制御周期開始トリガ１３が遅
延するとフェールセーフコントローラ１は安全側出力を
出力する。尚、出力制御部１１２３は、ＡＮＤゲートで
容易に構成できる。

【００２７】ここで、カウンタの上限値１１２４が小さ
いと、制御周期の途中でカウンタ１１２１の値１１２５
がカウンタの上限値１１２４より大きくなり、システム
に異常がないにも関わらず出力が停止されてしまう。そ
こで、制御周期をＴｃ、交番信号周期をＴｘとし、カウ
ンタ上限値をＮｒとすると、 Ｎｒ＞（Ｔｃ／Ｔｘ） の条件を満たすようにＮｒを設定することにより、制御
周期の間の交番信号出力が保証される。また、出力停止
信号１１２６を、外部に送信することにより、出力監視
部１１２で検出した異常を上位の制御装置に通達した
り、システムの電源を遮断したりするようにすることも
可能である。

【００２８】次に、本実施例の動作について説明する。
図３は図２の制御演算部１０及び出力部１１の動作の概
略タイムチャートを示したものである。制御演算部１０
は、制御周期のはじめに制御周期開始トリガ１３を出力
する。次に、制御演算を行うために、制御対象の状態で
ある状態信号３を取り込む。この状態信号３に基づい
て、制御演算を実行し、演算が終了すると、演算結果１
２を出力する。また、次の制御周期に遷移する時には、
制御周期開始トリガ１３を出力し、以降では同様の処理
を繰り返す。

【００２９】出力部１１は、制御周期開始トリガ１３が
入力されると、前の制御周期の演算結果１２を取り込
む。そして、出力部１１は、交番周期トリガ１１３によ
って、取り込んだ演算結果１２の値を交番信号に変換す
る処理を行う。

【００３０】図６は図５のカウンタの動作と、各部の信
号の詳細なタイムチャートを示したものである。正常時
の動作は、次の通りである。カウンタ１１２１は、制御
周期開始トリガ１３の立ち下がり（図６のＴ１のタイミ
ング）でリセットされる。Ｔ１で演算結果１２の値が
“１”であるので、出力信号１１４は交番周期トリガ１
１３が発生する毎に反転し、交番信号となる。カウンタ
１１２１は、出力信号１１４の交番回数を計測するが、
次の制御周期開始トリガ１３の立ち下がり（図６のＴ２
のタイミング）までにカウンタの値は上限値１１２４に
達しないため、Ｔ２まで制御信号２として交番信号を出
力し続ける。次の制御周期開始トリガ１３の立ち下がり
（図６のＴ２のタイミング）を検出すると、カウンタ１
１２１の値は再びリセットされる。Ｔ２で演算結果１２
の値が“０”であるので、出力信号１１４は変化せず
に、固定した値（図では０固定）が出力される。カウン
タ１１２１は、出力信号１１４の信号変化がないために
計測を行わず、カウンタ１１２１の値は増加しない。な
お、ここでは交番出力そのものを計測したが、交番周期
トリガ１１３の回数を計測してもよい。その場合には、
演算結果１２の値が“０”あるいは“１”にかかわら
ず、カウンタ１１２１は増加する。

【００３１】次に異常時の動作について説明する。カウ
ンタ１１２１の値１１２５がカウンタの上限値１１２４
よりも大きくなるのは、制御周期以上の時間が経過して
も制御周期開始トリガ１３からパルス信号が出力され
ず、カウンタ１１２１がリセットされない状態である。
Ｔ３のタイミングからＴ１のタイミングと同様にカウン
タ１１２１の値の増加が開始するが、ここで制御演算部
１０において異常が発生し、演算処理が停止すると、制
御周期が経過しても制御周期開始トリガ１３が現れず、
カウンタ１１２１が計測を続ける。Ｔ４のタイミングで
カウンタ１１２１の値１１２５が上限値１１２４よりも
大きくなると、Ｔ４以降、出力停止信号１１２６がオン
する。制御信号２は、Ｔ４まで交番信号を出力している
が、出力停止信号１１２６によりＴ４以降の出力２は論
理値０を出力し続け、システムは安全側に保たれる。

【００３２】以上の説明から、制御演算部１０は、出力
部１１に対して演算結果１２と制御周期開始信号１３を
受け渡すだけで、出力の信号変換を意識する必要はなく
なる。また、出力部１１は、タイマ１１０からの交番周
期トリガ１１３により交番信号生成処理を実行するの
で、制御演算部１０と出力部１１は独立に動作させるこ
とができる。従って、制御演算部１０は、交番出力を意
識することがなく作ることが可能となる。

【００３３】これまで、交番出力をフェールセーフコン
トローラ１の出力信号として説明してきたが、その他
に、フェールセーフコントローラの生死信号として用い
る事もできる。この場合、演算結果１２は常に論理値１
であり、制御演算部１０は制御周期毎に制御周期開始ト
リガ１３としてパルス信号を出力するだけでよい。これ
により出力部１１は交番信号を出力し続ける。システム
に異常が発生し、制御演算部１０の処理が停止すると、
制御周期開始トリガ１３が出力されなくなるため、出力
監視部１１２により交番信号出力が抑止される。従っ
て、交番信号の出力の有無で、システムの健全性を知る
ことができる。

【００３４】次に第二の実施例について、図を用いて説
明する。

【００３５】第一の実施例では、交番信号生成および監
視をハードウエアで行う実施例を示したが、以下では、
ソフトウェアで実現する例を示す。交番信号生成および
監視をソフトウエアで実現した場合、細かな機能調整が
可能となったり、経年変化による故障が発生しないなど
のメリットがある。

【００３６】図７は、ソフトウエアで実現する場合の構
成の概要を示したものである。この図に示すように制御
演算部１０で行っていた処理はアプリケーションプログ
ラム７０の一部となり、交番信号出力部１１１と出力監
視部１１２で行っていた処理は、別プログラム（たとえ
ば、ＯＳ７１）で実現する。また、タイマは、ハードウ
エアで実現する。

【００３７】図１はソフトウエアで実現する場合のフェ
ールセーフコントローラ１の構成を示したものである。
この図に示したフェールセーフコントローラ１を適用し
たシステムについては図３のフェールセーフコントロー
ラ１と置き換えれば同様の構成となる。本フェールセー
フコントローラは、ソフトウエアを実行するプロセッサ
の異常を検出するために、Ａ系とＢ系の２重系の構造と
なっている。それぞれの系は、タイマ１１０Ａ（１１０
Ｂ）、プロセッサ１２０Ａ（１２０Ｂ）、メモリ１２１
Ａ（１２１Ｂ）がバス１２３Ａ（１２３Ｂ）で接続され
た構成となっている。また、プロセッサ１２０Ａ，１２
０Ｂの異常を検出するためのバス比較回路１２４と安全
性を高めるための外部カウンタ１２６，外部へ制御信号
を出力するためのＩＯ１２７が、バス１２３Ａ，１２３
Ｂに接続されている。

【００３８】Ａ系のメモリ１２１Ａには、制御演算部１
０で行っていた処理を実行するためのアプリケーション
プログラム７０と、交番信号出力部１１１と出力監視部
112で行っていた処理を実行するＯＳ７１のプログラム
とが格納されている。プロセッサ１２０Ａは、メモリ１
２１Ａに格納されたアプリケーションプログラム７０、
ＯＳ(オペレーティングシステム)などのプログラムをメ
モリバス１２３Ａを介して、読み出し実行する。Ｂ系も
同様にプロセッサ１２０Ｂが、メモリ１２１Ｂに格納さ
れたアプリケーションプログラム７０、ＯＳ（オペレー
ティングシステム）などのプログラムをメモリバス１２
３Ｂを介して、読み出し実行する。Ａ系，Ｂ系のプロセ
ッサ１２０Ａ，１２０Ｂは、同一のプログラムを同期し
て実行するので、バス比較回路１２４は、メモリバス１
２３Ａと１２３Ｂのデータを比較してプロセッサ等の動
作異常をバス不一致として検出する。不一致と検出され
た場合、バス比較回路１２４は、エラー信号１２５を出
力する。エラー信号１２５はそれぞれのプロセッサ１２
０Ａ，１２０Ｂへ入力されたり、また図示していない手
段を介してフェールセーフコントローラ１をリセットし
たりする。タイマ１１０Ａは、割り込み信号である交番
周期トリガ１１３を発生させる周期タイマである。この
交番周期トリガ１１３による割り込みレベルはエラー例
外を除いた通常割り込みの中で最上位レベルに設定す
る。カウンタ１３２Ａは、交番信号の出力回数を計測・
保持するレジスタで、メモリ上の変数として割り付けら
れている。カウンタ１２６は、カウンタ１３２Ａ，１３
２Ｂと同じ値を保持するメモリ外に設けられるレジスタ
である。カウンタ１２６は、メモリ上に割り付けられた
カウンタ１３２Ａ，１３２Ｂが制御演算部以外のプログ
ラムの暴走によって不用意に書き換えられることに備え
て、安全性を向上させるために設けられる。

【００３９】ＩＯ１２７は、外部機器へ制御信号１２５
を出力する出力ポートである。図８，図９，図１０は１
ビット分のＩＯ１２４の内部構成を示したものである。

【００４０】図８のＩＯ１２４について説明する。１２
４１はフェールセーフＡＮＤと呼ぶ交番信号の論理積を
行う回路であり、Ｄ型フリップフロップで構成される。
Ａ系のバス１２３ＡとＢ系のバス１２３Ｂに交番信号が
出力された時のみ、信号線１２４４に交番信号が出力さ
れる。１２４２は、特開昭64−82704 号に記載されてい
るような交番信号復号回路であり、信号線１２４４上の
交番信号を整流して電圧を生成し、リレー１２４３を駆
動する。即ち、本ＩＯ１２４では、バス123Aとバス１２
３Ｂに交番信号が出力されたときにのみ、リレーが駆動
され、危険側制御信号が出力される。なお交番信号復号
回路については１２４５の回路を使用しても良い。

【００４１】図９は、図８のリレー１２４３の代替とし
て、半導体リレー（ＳＳＲ：ソリッドステートリレー）
を用いたＩＯ１２４の構成を示したものである。１２４
５は、交番信号復号回路としてトランス１２４６と整流
器１２４７を用いたものであり、１２４２の回路を用い
ても良い。図９においても、バス１２３Ａとバス123Bに
交番信号が出力されたときにのみ、半導体リレーがオン
して、危険側制御信号が出力される。

【００４２】図１０において、１２４２Ａ及び１２４２
Ｂは交番信号復号回路であり、バス１２３Ａ及びバス１
２３Ｂ上の交番信号を整流して電圧を生成し、半導体リ
レーをオンする。半導体リレーは、直列接続されてお
り、２つの半導体リレーがオンしたときのみ、リレー１
２４３が駆動され、危険側制御信号が出力される。ここ
では、交番出力が２本（１２３Ａと１２３Ｂ）ある場合
を示したが、交番出力が１２３Ａあるいは１２３Ｂのい
ずれか１本しかない場合には、フェールセーフAND1241
や半導体リレー１２４２Ａ，１２４２Ｂの直列接続を省
略すれば良い。尚、本実施例では、バス比較回路１２４
を用いた２重化プロセッサの構成を示したが、多数決回
路を用いたフェールセーフコントローラでも本発明は適
用可能であることは言うまでもない。また、プロセッサ
だけが２重化されており、メモリはＥＣＣ（エラー訂正
コード）等で冗長化されている構成にも本発明は適用可
能である。更に、図１に示した１つの系、つまりメモリ
とプロセッサとタイマによってフェールセーフコントロ
ーラ１を実現することができる。この場合は、既に説明
したようにメモリに制御演算部１０で行っていた処理を
実行するためのアプリケーションプログラム７０と、交
番信号出力部１１１と出力監視部１１２で行っていた処
理を実行するＯＳ７１のプログラムとを格納しておく。
このようなプログラムを格納した場合のプロセッサの動
作は、以下に説明するのと同様である。

【００４３】Ａ系及びＢ系のメモリ１２１Ａ及び１２１
Ｂに格納されるプログラム構造を図１１に示す。アプリ
ケーションプログラムの一部である制御演算プログラム
部１３０は、演算結果である制御出力データ１３４をＯ
Ｓの出力プログラム部131に引き渡す。出力プログラム
部１３１はタイマ１１０Ａ又はタイマ１１０Ｂの割り込
みで起動され、制御出力データ１３４が論理値１の時に
のみ、ＩＯ１２７への前回出力値を反転することで交番
信号を生成する。更新フラグ１３３は、制御演算プログ
ラム部１３０が、制御周期毎にセットするフラグであ
り、出力プログラム部１３１がクリアする。カウンタ１
３２は、出力プログラム部１３１が起動された回数を格
納する計測カウンタである。

【００４４】出力プログラム部１３１が起動された時、
更新フラグ１３３がセットされていれば、カウンタ１３
２はクリアされ、同時に更新フラグ１３３もクリアされ
る。上限値１３７は、カウンタ１３２の取り得る最大値
を保持している。カウンタ１３２の値が上限値１３７を
超えると、出力プログラム部１３１は交番信号の生成を
行わず、ＩＯ１２７に固定値を出力する。

【００４５】次に本実施例の動作を説明する。図１２
は、制御演算プログラム部１３０と出力プログラム部１
３１の動作を時間軸（横軸）に沿って示したものであ
る。制御演算プログラム部１３０は、１００〜６００ms
程度の制御周期でプログラムを実行しており、交番周期
トリガ１１３によるタイマ割り込みは、交番信号の周期
（０.５ 〜２ms程度）で発生し、これをトリガとして出
力プログラム部１３１が交番信号生成および監視処理を
開始する。ここでは、アプリケーションプログラムとし
て、制御演算プログラム部１３０だけが実行されている
例を示しているが、他のアプリケーションプログラムが
実行されているときにも、交番周期トリガ１１３による
タイマ割り込みによって周期的に出力プログラム部１３
１が起動され、交番信号が生成される。

【００４６】図１３は制御演算プログラム部１３０の概
略フローを示したものである。復電リセットによってフ
ェールセーフコントローラ１が動作を開始すると、ハー
ドウエアの初期化を行う（１４０１）。ハードウエアの
初期化を行った後、カウンタ１３２の上限値を１３７に
設定する（１４０２）。ここで上限値としては、制御周
期に含まれる交番信号の周期以上とすれば良い。続いて
制御対象の状態信号を取得し（１４０３）、制御演算を
行って（１４０４）、出力データを制御出力データ１３
４に書き込む（１４０５）。出力データの更新を示すた
めに更新フラグ１３３をセットする（１４０６）。以
降、制御対象の状態信号の取得から更新フラグ１３３の
更新までを制御周期として繰り返す。

【００４７】次に出力部プログラムについて詳しく説明
する。図１４は出力部プログラムを起動する割込み処理
のフローを示したものである。割り込みには、入出力装
置等からの通常割込み１３５と交番周期タイマからの割
込み１３６とエラー検出時のエラー割込み１３７があ
る。通常割込み１３５発生時の処理は、当業者周知の内
容なので詳細な説明を省略する。交番周期タイマ割込み
１３６発生時の動作については、図１５を用いて後述す
る。エラー割込み１３７発生時は、フェールセーフコン
トローラ１が動作不可能と判断して停止するため、出力
プログラム部が起動されなくなり、交番信号が停止す
る。これによって、制御出力１２５は安全側出力とな
る。

【００４８】図１５に出力プログラム部１３１の動作フ
ローを示す。出力プログラム部131が割込み処理によっ
て起動されると、更新フラグ１３３が更新されているか
をチェックする（１３１１）。更新フラグ１３３が更新
されていれば、出力データ１３４が更新されて、新たな
制御周期に入ったと判断して、カウンタ１３２と外部カ
ウンタ１２５をクリアする（１３１２）。更新されてい
なければ、現在の制御周期中判断し、カウンタが上限値
以下か否かをチェックする（１３１３）。オーバフロー
していれば、エラー割込みを発せさせフェールセーフコ
ントローラ１を停止する。これによって、交番信号が停
止して制御出力１２５は安全側出力となる。

【００４９】カウンタが上限値以下ならば、出力データ
１３４の論理値が１時に前回交番出力１２３を反転させ
る。通常、出力データ１３４は複数ビット(例えば２バ
イト)なので、この場合には論理値が１のビットのみ前
回交番出力１２３を反転させる。続いて、カウンタ１３
２と外部カウンタ１２３をインクリメントして、処理を
終了する。

【００５０】本発明によれば、交番信号を出力する制御
装置の演算処理部は、制御周期の中で制御演算出力の更
新を行うだけとなり、交番信号周期は交番周期タイマ１
１０によって管理されるため、制御演算プログラム部１
３０は、交番周期毎の出力処理を意識する必要はない。
これによって演算処理系の生産性を向上させることが可
能となる。また、出力データの交番信号化を必要とする
アプリケーションプログラムとそれ以外のアプリケーシ
ョンプログラムを混在させることが出来るので、システ
ムの機能性が向上する。

【００５１】

【発明の効果】本発明によれば、演算処理系の生産性を
向上させることが可能となる。また、出力データの交番
信号化を必要とするアプリケーションプログラムとそれ
以外のアプリケーションプログラムを混在させることが
出来るので、システムの機能性が向上する。

【図面の簡単な説明】

【図１】フェールセーフコントローラの構成を示した図
である。

【図２】本発明を適用したコントローラシステムの構成
を示した図である。

【図３】制御演算部及び出力部の動作を示した図であ
る。

【図４】交番信号出力部の構成を示した図である。

【図５】出力監視部の構成を示した図である。

【図６】フェールセーフコントローラの各部の動作を示
した図である。

【図７】ソフトウエアで実現する場合の全体構成の概念
を示した図である。

【図８】図１に示したフェールセーフコントローラのＩ
Ｏの構成を示した図である。

【図９】図１に示したフェールセーフコントローラのＩ
Ｏの他の構成を示した図である。

【図１０】図１に示したフェールセーフコントローラの
ＩＯの他の構成を示した図である。

【図１１】ソフトウエアで実現する場合のプログラムと
データの流れを示した図である。

【図１２】ソフトウェアで実現する場合のプログラムの
タイムチャートを示した図である。

【図１３】ソフトウエアで実現する場合の制御演算部の
処理を示した図である。

【図１４】ソフトウエアで実現する場合の割り込みに対
する処理を示した図である。

【図１５】ソフトウエアで実現する場合の甲版出力の処
理を示した図である。

【符号の説明】

１…フェールセーフコントローラ、２…制御信号、３…
状態信号、１０…制御演算部、１１…出力部、１２…演
算結果、１３…制御周期開始トリガ、１１０…タイマ、
１１１…交番信号出力部、１１２…出力監視部、１１４
…出力信号。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮▲崎▼ 直人 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内 (72)発明者 藤原 道雄 茨城県ひたちなか市市毛1070番地 株式会 社日立製作所水戸工場内 Ｆターム(参考） 5B042 GB05 JJ13 JJ21 KK03 KK11 5H209 AA09 DD04 EE11 EE18 GG04 HH08 HH35 JJ07 JJ09

Claims (13)

【特許請求の範囲】
1. 【請求項１】プログラムおよびデータを格納するメモリ
   と、 上記メモリからプログラムを読み出してこれを実行する
   プロセッサと、 上記データ処理部に接続され外部との制御信号の授受を
   行う入出力部と、 あらかじめ設定された第一の周期で上記プロセッサに対
   する割込み信号を生成するタイマとを有し、 上記メモリは第一の周期よりも長周期の第二の周期で制
   御演算を行う制御演算プログラムと、上記制御演算プロ
   グラムによる演算結果から制御信号を生成する出力プロ
   グラムとを記憶し、 上記プロセッサは、上記タイマの割込み信号に応じて上
   記出力プログラムを実行して制御信号を生成するフェー
   ルセーフコントローラ。
2. 【請求項２】請求項１において、 上記出力プログラムは、上記制御演算プログラムによる
   演算結果が真レベルの時に、特定のパターンの信号を制
   御信号とするフェールセーフコントローラ。
3. 【請求項３】請求項２において、 上記出力プログラムは、上記所定数の特定パターンが出
   力された後に、制御信号を所定の値に固定するフェール
   セーフコントローラ。
4. 【請求項４】請求項１において、 上記出力プログラムは、上記演算プログラムによる演算
   結果が真レベルの時に、前の出力部の制御信号を反転さ
   せ、制御信号とするフェールセーフコントローラ。
5. 【請求項５】請求項３において、 上記出力プログラムは上記反転回数が予め定められた回
   数以上となった時に、制御信号を所定の値に固定するフ
   ェールセーフコントローラ。
6. 【請求項６】プログラムおよびデータを格納する複数の
   メモリと、 上記メモリからプログラムを読み出してこれを実行する
   複数のプロセッサと、それぞれの上記プロセッサと接続
   され、上記プロセッサの入出力信号を比較するバス比較
   回路と、 それぞれの上記プロセッサと接続され、外部との信号の
   受け渡しを行う複数の入出力部と、 あらかじめ設定された第一の周期でそれぞれの上記プロ
   セッサに対する割込み信号を生成する複数のタイマとを
   有し、それぞれの上記プロセッサは同期して同じプログ
   ラムを実行するフェールセーフコントローラであって、 それぞれの上記メモリは、第一の周期よりも長周期の第
   二の周期で制御演算を行う演算制御プログラムと、制御
   演算プログラムの演算結果によって制御信号を生成する
   出力プログラムとを有し、 それぞれの上記プロセッサは、上記タイマによる割り込
   みによって上記出力プログラムを実行して制御信号を出
   力するフェールセーフコントローラ。
7. 【請求項７】請求項６において、 上記出力プログラムは、上記制御演算プログラムによる
   演算結果が真レベルの時に、特定のパターンの信号を制
   御信号とするフェールセーフコントローラ。
8. 【請求項８】請求項７において、 上記出力プログラムは、上記所定数の特定パターンが出
   力された後に、制御信号を所定の値に固定するフェール
   セーフコントローラ。
9. 【請求項９】請求項６において、 上記出力プログラムは、上記演算プログラムによる演算
   結果が真レベルの時に、前の出力部の制御信号を反転さ
   せ、制御信号とするフェールセーフコントローラ。
10. 【請求項１０】請求項９において、 上記出力プログラムは上記反転回数が予め定められた回
    数以上となった時に、制御信号を所定の値に固定するフ
    ェールセーフコントローラ。
11. 【請求項１１】制御対象と、 上記制御対象の状態を示す信号を入力し、この状態信号
    に基づいて上記制御対象を制御する制御信号を出力する
    コントローラとを有するフェールセーフシステムであっ
    て、 上記コントローラは、あらかじめ設定された第一の周期
    で割込み信号を出力するタイマと、第一の周期よりも長
    周期の第二の周期で制御演算を行う制御演算プログラム
    及び上記制御演算プログラムによる演算結果から制御信
    号を生成する出力プログラムとを記憶したメモリと、上
    記タイマの割込み信号に応じて上記出力プログラムを実
    行して制御信号を生成するプロセッサとを有するフェー
    ルセーフコントローラシステム。
12. 【請求項１２】制御対象と、 上記制御対象の状態を示す信号を入力し、この状態信号
    に基づいて上記制御対象を制御する制御信号を出力する
    コントローラとを有するフェールセーフシステムであっ
    て、 上記コントローラは、あらかじめ設定された第一の周期
    でそれぞれの上記プロセッサに対する割込み信号を生成
    する複数のタイマと、第一の周期よりも長周期の第二の
    周期で制御演算を行う演算制御プログラム及び制御演算
    プログラムの演算結果によって制御信号を生成する出力
    プログラムとを記憶した複数のメモリと、上記タイマに
    よる割り込みによって上記出力プログラムを実行して制
    御信号を出力する複数のプロセッサとを有するフェール
    セーフコントローラシステム。
13. 【請求項１３】制御対象の状態を入力し、この入力され
    た制御対象の状態に基づいて制御演算を実行する工程
    と、 外部からの割り込み信号に基づいて、上記制御演算の結
    果を取り込み、上記演算の結果に基づいて上記割り込み
    信号に同期した交番信号を生成する工程とを有する制御
    方法。