JP2005025479A - Safety relay system and control method for safety relay - Google Patents

Safety relay system and control method for safety relay Download PDF

Info

Publication number
JP2005025479A
JP2005025479A JP2003189856A JP2003189856A JP2005025479A JP 2005025479 A JP2005025479 A JP 2005025479A JP 2003189856 A JP2003189856 A JP 2003189856A JP 2003189856 A JP2003189856 A JP 2003189856A JP 2005025479 A JP2005025479 A JP 2005025479A
Authority
JP
Japan
Prior art keywords
safety
unit
input
manual
output
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2003189856A
Other languages
Japanese (ja)
Inventor
Masaaki Suhara
正明 栖原
Satoru Inoue
哲 井上
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Keyence Corp
Original Assignee
Keyence Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Keyence Corp filed Critical Keyence Corp
Priority to JP2003189856A priority Critical patent/JP2005025479A/en
Publication of JP2005025479A publication Critical patent/JP2005025479A/en
Pending legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To provide a safety relay system or the like which is provided with a function for invalidating a specific safety component and has defined conditions for invalidating. <P>SOLUTION: The safety relay system is provided with a manual suspension input part 62 for making a manual suspension function which acquires safety input concerning a predetermined safety component related to an externally connected device regardless of a safety status thereof; a mode switching part 61 for switching to a safety mode in which safety for the operation of the externally connected device is increased than usual; and a manually switched input part 60 for outputting the safety input in place of the predetermined safety component, when the externally connected device is switched to the safety mode by the mode switching part 61 and then an instruction for operating the manual suspension is provided from the manual suspension input part 62. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、例えば安全確認等に関わる複数の入力条件が全て成立した場合に限り対象となる負荷を駆動する等の用途に好適な、信頼性の高い安全リレーシステムに関する。
【０００２】
【従来の技術】
各方面における安全対策の必要性から、安全対策機器が利用されている。例えば、製造現場においては工作機械やプレス機械、ロボット、包装機械、昇降装置等が使用されており、これらの機器から作業者を保護するために様々な安全対策が必要となる。例えば、異常発生時に機器への電源供給を断つことで機械的な動作を停止させ、作業者の安全を確保する。このようなシステムの構築においては、安全リレー装置が利用されている。
【０００３】
安全リレー装置は、電気接点を開閉して通電を制御する。安全リレー装置には、例えば強制ガイド付リレーを複数個内蔵し、加えて自己保持機能、リレー接点の二重化、リレーのＮＣ接点によるバックチェック機能、異種構造等を備えるものがある。強制ガイド付リレーは、一の常開接点（ＮＯ接点）が溶着した場合、コイル無励磁状態で他の常閉接点（ＮＣ接点）が開路となり、また一の常閉接点が溶着した場合でも、コイル励磁状態で他の常開接点が開路となるようなリレーである（例えば特許文献１）。また自己保持機能とは、非常停止スイッチ等の操作等安全情報の入力後、これを復帰（リセット）させてもシステムが再起動しないよう構成されたものである。さらにリレー接点の二重化は、冗長化とも呼ばれるもので、接点を並列に設けることにより、万一一方が接点溶着しても並列に設けられた他方の接点によって機能させることを可能にする。さらにまたリレーのＮＣ接点によるバックチェック機能とは、リレーやコンタクタ（接触器）の接点溶着等の故障を検出し、接点の状態をチェックするものである。異種構造（ダイバシティ構造）とは、複数種類の部材を組み合わせて使用することで、万一特定の部材にバグ等の不具合が生じた場合でも、種固有の不具合であれば同時に同じ不具合が生じないので、他の部材により機能させることを可能とするものである。
【０００４】
近年は、安全対策基準が法制化された国や地域が多くなり、特にこのような安全対策の標準規格に適合した仕様の安全リレー装置やシステムが求められている。安全規格としては規格の対象や地域に応じてＩＳＯ、ＩＥＣ、ＥＮ、ＪＩＳ等が規定されている。特に２００１年６月厚生労働省より通達された「機械の包括的な安全基準に関する指針」やＩＳＯ１２１００およびそのＪＩＳ化の実施予定を受けて、機械の安全に対する要求は高まっている。例えば欧州規格の機械安全に関する規格であるＥＮ９５４−１に基づく最も高い安全レベルであるカテゴリ４の認証を受けるためには、冗長構造であること、異種構造であること、常に回路または部品の保全性に対するデータの自己点検を行うこと等が要求される。
【０００５】
図１に、安全を確保する対象である一の安全コンポーネントで機器を停止させるシステムを構成した一例を示す。ここで安全コンポーネントとは、作業者の安全を確保すべき具体的な動作を受けて、所望の機器への電源供給を遮断する指令を送る要素である。例えば作業者が機器の段取り替えやティーチング、調整のために駆動モータの動作を停止させるための非常停止スイッチや、機器の作業エリアに作業者が入るためにセーフティドアを解放したことを検知するセーフティドアスイッチ、あるいは作業者が危険区域に接近したことを光学的に検知するライトカーテンの出力等が該当する。安全コンポーネント１は、安全リレー装置を構成する安全出力ユニット２と組み合わせて安全回路を構成する。図１に示す安全回路は、常閉のブレーク式の安全コンポーネントスイッチ３を接続している。安全回路が閉じているとき、安全出力ユニット２は正常と判断し、リレー４を閉じて接続機器への電力供給が維持される。一方、作業者やユーザが手動で操作もしくはセンサ等の出力で安全コンポーネントスイッチ３を操作することにより、安全回路が開放されると、安全出力ユニット２は安全ではない状態と判断し、リレー４を解放して接続機器への電力供給を断ち、動作を停止させる。
【０００６】
このシステムは冗長性を持たせるため、図１に示すように二重の安全回路を構成しており、安全コンポーネントスイッチ３を操作することで両方の安全回路が開放される。これによって、いずれか一方の安全回路が接点溶着等で不良又は故障となっても、他方の安全回路が機能するので、機械を停止可能である。さらに、自己点検を行うことで、接点溶着等の異常を検出することが可能であり、故障の累積を防止できる。また、このシステムでは異種構造を採用しており、同じ不良が同時に起こることを防止している。
【０００７】
【特許文献１】
特開平１１−１６２３１７号公報
【０００８】
【発明が解決しようとする課題】
各安全コンポーネントを接続する入力ユニットは、安全コンポーネントによって安全状態を確認し、安全であることを検出できると安全入力信号を出力する。各入力ユニットで取得された安全入力信号は、マスタユニットに集められ、すべての安全コンポーネントで安全であることが確認されると、安全出力を出力ユニットに出力する。逆に、いずれかの安全コンポーネントで安全が確認できない場合は、安全出力をＯＦＦとする。このように、安全リレーシステムではすべての安全入力のＡＮＤとして、安全出力をＯＮとしている。
【０００９】
一方、安全コンポーネントの中には、装置の設営やメンテナンス作業等においては安全が確認できない状態で機器を動作させる必要が生じることがある。例えば作業用ロボットのティーチング作業の際には、図２に示すように作業者がロボット３７の作業エリアに近接して、ティーチングペンダント３８等を用いてティーチング作業を行うために、作業エリアを区画するフェンス３９のセーフティドア４０を開けると、セーフティドア４０に設けられた安全コンポーネントであるドアセンサ４１がセーフティドア４０の開放を検出してシステムを停止させる。しかしながら、ティーチング作業時には、ロボットの作業位置等を確認する必要があるので実際にロボットを動作させる構成が要求される。
【００１０】
このような場合に、安全コンポーネントの検出結果に関わらず機器を動作させるためのイネーブル機能や、安全コンポーネントの安全入力を無視するミュート機能を持たせることができる。しかしながら、これらの機能は安全コンポーネントを無効化するため、作業者の安全を確保できない状態となることから、万一の事故に備えて作業者を保護する機構が必要となる。例えば、作業者が作業中であることを知らずに他の者がセーフティドアを閉めて通常動作を行わせようとすると、再起動が可能であるため作業者に危険が及ぶおそれがある。一方で、保守やメンテナンス、ロボットのティーチング作業等を容易に行うための機能も求められている。
【００１１】
本発明は、このような問題点を解決するためになされたものである。本発明の目的は、メンテナンス作業等に適した特定の安全コンポーネントについて無効化させる機能を備えると共に、無効化させる際の条件を設定することで不用意なシステムの動作を許可せず、作業者の安全を確保し得る安全リレーシステムおよび安全リレーの制御方法を提供することにある。
【００１２】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１に記載される安全リレーシステムは、一以上の安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全でないと判断した場合に接続機器の内少なくとも危険箇所の動作を直接的または間接的に停止させるためのリレーを制御する安全リレーシステムであって、前記外部接続機器に関する所定の安全コンポーネントについて、その安全状態に関わらず安全入力を取得するマニュアルサスペンションを機能させるためのマニュアルサスペンション入力部と、前記マニュアルサスペンション入力部でマニュアルサスペンションを機能させるために所定の条件が具備されているか否かを確認し、所定の条件が具備された場合のみマニュアルサスペンションを機能させるマニュアルサスペンション動作確認部とを備えることを特徴とする。
【００１３】
また、請求項２の安全リレーシステムは、一以上の安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全でないと判断した場合に接続機器の内少なくとも危険箇所の動作を直接的または間接的に停止させるためのリレーを制御する安全リレーシステムであって、前記外部接続機器に関する所定の安全コンポーネントについて、その安全状態に関わらず安全入力を取得するマニュアルサスペンションを機能させるためのマニュアルサスペンション入力部と、前記外部接続機器の動作を通常よりも安全を高めた安全モードに切り替えるためのモード切替部と、前記モード切替部で前記外部接続機器が安全モードに切り替えられた後、マニュアルサスペンション入力部からマニュアルサスペンションの動作命令が得られているとき、前記所定の安全コンポーネントに代わって安全入力を出力するための手動切替入力部とを備えることを特徴とする。
【００１４】
また、請求項３の安全リレーシステムは、所定の動作範囲で動作する外部接続機器の動作範囲を中心とした所定の領域への侵入を所定の安全コンポーネントで監視し、安全コンポーネントの出力によって外部接続機器の動作を制限する安全リレーシステムであって、前記外部接続機器の動作を通常モードよりも動作速度を限定した手動モードに切り替えるためのモード切替部と、所定の領域に作業者が侵入するために所定の安全コンポーネントの安全入力に関わらず安全入力を得るマニュアルサスペンションを機能させるためのマニュアルサスペンション入力部と、前記モード切替部で手動モードに切り替えられた後、マニュアルサスペンション入力部からマニュアルサスペンション入力が得られたとき、前記所定の安全コンポーネントについて安全状態に関わらず安全入力を生じさせるための手動切替入力部とを備えることを特徴とする。
【００１５】
さらに、請求項４の安全リレーシステムは、請求項２から３のいずれかに記載の安全リレーシステムであって、前記手動切替入力部が前記所定の安全コンポーネントとＯＲ接続されていることを特徴とする。
【００１６】
さらにまた、請求項５の安全リレーシステムは、請求項１から４のいずれかに記載の安全リレーシステムであって、前記安全コンポーネントが、ドアの開閉を検知して侵入を検出するドアスイッチであることを特徴とする。
【００１７】
また、請求項６の安全リレーの制御方法は、一以上の安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全でないと判断した場合に接続機器の内少なくとも危険箇所の動作を直接的または間接的に停止させるための安全リレーの制御方法であって、外部接続機器の動作を通常よりも安全を高めた安全モードに切り替えるステップと、前記外部接続機器に関する所定の安全コンポーネントの安全状態に関わらず安全入力を取得するマニュアルサスペンションを機能させるステップと、安全モードへの切り替えステップと、次いでマニュアルサスペンションステップを経たことを確認し、所定の安全コンポーネントに代わって安全入力を出力するステップとを備えることを特徴とする。
【００１８】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。ただし、以下に示す実施の形態は、本発明の技術思想を具体化するための安全リレーシステムおよび安全リレーの制御方法を例示するものであって、本発明は安全リレーシステムおよび安全リレーの制御方法を以下のものに特定しない。
【００１９】
また、本明細書は特許請求の範囲に示される部材を、実施の形態の部材に特定するものでは決してない。特に実施の形態に記載されている構成部品の寸法、材質、形状、その相対的配置等は特に特定的な記載がない限りは、本発明の範囲をそれのみに限定する趣旨ではなく、単なる説明例にすぎない。なお、各図面が示す部材の大きさや位置関係等は、説明を明確にするため誇張していることがある。さらに以下の説明において、同一の名称、符号については同一もしくは同質の部材を示しており、詳細説明を適宜省略する。さらに、本発明を構成する各要素は、複数の要素を同一の部材で構成して一の部材で複数の要素を兼用する態様としてもよいし、逆に一の部材の機能を複数の部材で分担して実現することもできる。
【００２０】
なお本明細書においては、「入力側」、「出力側」等の表現は説明のために使用しており、必ずしも入力、出力機能のみを果たすことを意味しない。例えば入力側の端子が出力、あるいは出力側の端子が入力を扱うこともできる。特に、ユニット間に通信機能を設けず、配線パターンのみで認識信号を伝達する場合は、接続端子は接続形態に応じて入力、出力のいずれの機能も果たす。
【００２１】
図３に、本発明の一実施の形態に係る安全リレーシステムの構成例を示す。この図は制御システムの安全関連部分を示している。この例においては、２つの安全コンポーネント１として、非常停止スイッチである安全コンポーネントスイッチ３を安全リレーシステムに接続している。非常停止スイッチはそれぞれ直接開路動作機能（強制開離機構）を備えており、かつ接点を二重化しており、各々の接点において安全回路を構成している。安全リレーシステムは、安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全を確認する。もし安全が確認できない場合は、安全でないと判断し、接続機器の内で危険を及ぼす箇所の動作を停止させる。停止は、リレーを直接制御して開放し電力供給を遮断して停止させる他、コンタクタ等を介して間接的に停止させることもできる。あるいは、電力供給の遮断以外にも、停止命令を接続機器に送り、その命令に基づいて機器の中で危険箇所を能動的に制御しながら停止させてもよい。以下の例においては、リレーによる電力供給の遮断について説明するが、本発明はこの構成に限られず、他の方法による接続機器の停止手段を採用することもできる。なお本明細書において「安全ではない状態」とは、安全コンポーネントが正常に動作して危険領域に入ろうとする人を検出する状態等を指し、一方「異常」とは、安全コンポーネントまたは安全リレー装置等が故障した状態等を指す。安全リレーシステムは、安全リレー装置としてリレー４を備えるマスタユニット５と、リレーを含まない入力増設ユニット６を備える。
【００２２】
［マスタユニット５］
マスタユニット５は、安全コンポーネント１を接続するための入力部を備える。さらにマスタユニット５はリレー４を内蔵しており、異常発生等、安全が確認できない状態を検知して接続機器への停止命令によりリレー４の切り替えを行う。リレー４には、電磁リレー、ソリッドステートリレー、強制ガイド機構付きの電磁リレー等が適宜利用できる。リレー接点は二重化されており、いずれかのリレー接点が万一溶着しても他方のリレー接点が開放されるので、確実に接続機器を停止できる。リレー４は、コンタクタを介してモータ等の接続機器の通電を制御する。あるいはコンタクタを介さず直接接続機器に接続することもできる。コンタクタも同様に二重化して、一方のコンタクタ接点が溶着しても他方のコンタクタ接点の開放により接続機器を停止させるよう構成できる。この場合、一方のコンタクタ接点が溶着したままでも他方のコンタクタ接点を開放させることができため、接続機器の停止後に始動スイッチをＯＮしても再起動できず、バックチェック機能を実現できる。
【００２３】
なお、マスタユニット５は安全コンポーネントを接続する入力部を省略して、入力増設ユニット６側に安全コンポーネントを接続する構成としてもよい。またマスタユニット５はリレーを内蔵するのでなく、外付けのリレーを制御するように構成してもよい。
【００２４】
［入力増設ユニット６］
入力増設ユニット６は、同じく安全コンポーネントを接続するための入力部を備える。この入力増設ユニット６はマスタユニット５と異なりリレーを内蔵しないので、回路を簡単に構成して安価にすることができる。リレーは機械的動作部分を含み、駆動のための制御回路等が必要で、また大電流の通電に耐えうる接点や繰り返し開閉動作しても機能する耐久性も要求され、一般に複雑で高価となる。このため、安全コンポーネント１を接続するユニット毎にリレー４を設ける構成では、入力数に応じてコストも高くなる。これに対して本発明の実施の形態に係る図３の構成では、リレーを省略した入力増設ユニット６を増設可能とすることで、入力数に応じて増設するユニットを簡単にして、コストを安価にすることができる。さらにリレーを含まない入力増設ユニット６においては、リレーに通電する大電流も流れないため、大電流用の配線接続が不要であり、より安価で接続の容易な信号線の接続で足りる。しかもコネクタ式にできるので、連結も簡単かつ容易に行える。さらに配線数も少なくなるので、省スペース化にも寄与する。
【００２５】
各ユニットに接続された安全コンポーネント１の安全コンポーネントスイッチ３は、常閉（ＮＣ）接点である。正常時は安全回路はそれぞれ閉路されて通電しており、ユニット側はこれを安全情報としてモニタし、リレー４を閉じてモータ等の接続機器に通電する。一方、非常時に非常停止スイッチを押下すると、対応する２つの安全コンポーネントスイッチ３の常閉接点がそれぞれブレークされて安全回路が開放されるので、ユニット側は安全情報が失われたことを検知し、リレー４を開いて接続機器への通電を遮断する。この状態になると、接続機器を動作させることができない。
【００２６】
この安全リレーシステムは、マスタユニット５もしくは入力増設ユニット６に接続された安全コンポーネント１の安全コンポーネントスイッチ３のいずれかが操作されると、該当する安全回路が開放されるので安全が確認できない状態を検出できる。しかも、各安全回路は独立しているので、いずれかの安全コンポーネントスイッチ３に不良または故障が生じても検出することができる。マスタユニット５による安全コンポーネントスイッチ３の自己点検は、例えば所定の周期毎にテスト信号を送出して開閉のチェックを行う。この構成によって、リレー接点の二重化、コンタクタ接点のバックチェック機能、安全コンポーネントスイッチの自己点検が実現され、ＥＮ９５４−１に基づくカテゴリ４等の安全基準に対応可能な安全リレーシステムが実現可能となる。カテゴリ４では、単一故障に対する安全システムの設計として「単一故障により安全機能が失われないこと、かつ、単一故障を安全システムの次回の要求時またはその前に検出されること。もしそれが不可能な場合には、故障の蓄積により安全機能が失われないこと」が、要求されている。
【００２７】
また安全コンポーネントは、非常停止スイッチのみに限られず、各種センサ等、作業者の安全を確保すべき具体的な動作を確認する部材が使用できる。例えば、機器の作業エリアと区画するフェンスに作業者の出入りのために設けられたセーフティドアの開閉を検知するリミットスイッチや、作業者が機器に接近したことを光学的に検知するライトカーテンやエリアセンサ等が利用できる。これら安全コンポーネントによって安全が確認されると、安全入力がマスタユニットに向けて出力され、マスタユニットはすべての安全コンポーネントで安全が確認されると、すなわちすべての安全入力がＯＮとなると、安全出力をＯＮとして機器の動作を許可する。
【００２８】
［入力増設ユニット６の増設］
図３では２つの安全コンポーネントを接続する例を示したが、さらに安全コンポーネントを追加して３つの安全コンポーネントを入力するには、図４に示すように入力増設ユニット６Ａに入力増設ユニット６Ｂを追加する。入力増設ユニット６Ｂは上述した入力増設ユニット６Ａと同様のものが利用できる。また入力増設ユニット６Ｂに接続された安全コンポーネント１の安全コンポーネントスイッチ３の操作も上記と同様で、非常停止スイッチ等の動作によってマスタユニット５のリレー４が操作される。これによって、新たにシステムを設計し直したり回路を組み替えることなく、入力増設ユニット６を追加することで簡単に安全コンポーネントの増設に対応できる。また、各入力増設ユニット６の出力をマスタユニット５でまとめることができるので、ユニット間の配線も簡素化でき、この点においても省配線に寄与する。
【００２９】
［コネクタ］
ユニット間の接続には、コネクタを使用する。コネクタは複数の接続端子を電気的に接続する。入力増設ユニット６は、入力側端子群と出力側端子群を備えており、入力側端子群は他の入力増設ユニット６や入力エンドユニット１２と、出力側端子群は他の入力増設ユニット６やマスタユニット５とそれぞれ接続する。一例として、入力増設ユニット６をマスタユニット５に接続する様子を図５に示す。図５では相互にコネクタ７を挿入し、フックで係止してユニット同士を連結している。上述のように入力増設ユニット６にはリレーを含まないので、リレーを流れる大電流用の配線が不要となり、簡易なコネクタ式の接続で足りる。各ユニットには、接続用のコネクタ７が側面の略中央に設けられており、対向する接合面で一方が雄型７Ａ、他方が雌型７Ｂとなるように対応する位置にそれぞれのコネクタ７が配置される。またユニットの接合面において、一方の面の端部付近で両側に一対の係止用のフック８と、フックに対応する対抗面の位置にこのフックを係止するための係止溝９がそれぞれ設けられる。マスタユニット５は入力増設ユニット６を接合する一面のみにこれらコネクタ７、フック８あるいは係止溝９を設けているが、入力増設ユニット６は両面にユニットを接続できるよう、両面にこれらのコネクタ７やフック８等を設けている。この図はマスタユニット５と入力増設ユニット６の接続例を示しているが、入力増設ユニット６同士や入力増設ユニット６と入力エンドユニット１２との接続も同様にして実現できる。
【００３０】
コネクタは、入力側端子群と出力側端子群とを個別に構成して、各ユニット間で入力側端子群と出力側端子群のコネクタ同士を直接係合する方式とする他、入力側端子群と出力側端子群を一体にしたコネクタとすることもできる。例えば、図６においては、接続用ボード１０に各ユニットを装着する形態としている。図６の例では、各ユニットの一面に入力側端子群と出力側端子群を一体にした雄型コネクタが設けられ、接続用ボード１０にはこの雄型コネクタに係合可能な雌型コネクタ７Ｃが設けられる。雌型コネクタ７Ｃは一定間隔で接続ボード１０上に複数設けられ、各ユニットを装着した状態でユニットが略一直線に並ぶよう雌型コネクタ７Ｃの間隔が設定される。
【００３１】
これら雄型、雌型コネクタの雄型、雌型はユニットとボードで逆にしてもよく、またコネクタの形状は、複数のピンを配置するタイプやベローズ状に面に接点を配置するタイプ等が適宜利用できる。またコネクタの位置も、略中央に限られず、偏心位置や端部等所望の位置に設定できる。またコネクタ自体にフック等の係止部材を設け、電気的接続と機械的連結を兼用する構成としてもよい。あるいはユニット同士の接続は、ユニットに設けられたコネクタ同士を直接係合する方式の他、別部材のコネクタやコード等を介して接続する形態とすることもできる。
【００３２】
［出力側の増設］
以上は、安全リレーシステムの入力側を追加する構成について説明した。次に、安全リレーシステムの出力側を追加する構成について説明する。安全リレーシステムにおいて、出力側を追加したいことがある。安全でない状態または異常検出時に停止させたい機器を増やしたい場合は、この機器への電力供給を断つためのリレー等をマスタユニットの出力側に付加する必要がある。そこで出力増設ユニット１６をマスタユニットに連結する。以上のように入力増設ユニット６は安全コンポーネントを接続しており、安全コンポーネントから安全入力を得る。一方、出力増設ユニット１６は安全リレー出力部５８を接続しており、安全出力として停止信号に基づきリレーを開閉させる。
【００３３】
［ステータス安全確認情報］
さらに出力増設ユニット１６は、各ユニット毎に安全確認のための情報を検知し続けてマスタユニット側に送出し、マスタユニット側で各出力増設ユニット１６の安全確認情報を常時モニタすることで安全リレーを安全側に動作させ続けることができる。すなわち、安全が確認できる状態で接続機器を動作させ、安全が確認できなくなると動作を停止させるように制御する。安全確認のための情報は、好ましくはダイナミックな信号とする。出力増設ユニット１６は安全確認のための情報としてステータス安全確認情報をマスタユニット側に送出する。ステータス安全確認情報は、出力増設ユニット１６が内蔵する自己診断回路にてユニットの動作が正常であること、あるいは異常や故障が無いことを確認する信号であり、出力増設ユニット１６自身のエラー情報等を含むこともできる。この確認は、停止信号のＯＮ／ＯＦＦと無関係に行われる。出力増設ユニット１６はステータス安全確認情報を含む安全確認のための各種の安全確認情報を出力する安全確認情報出力部（図示せず）を備える。
【００３４】
［安全情報ライン４２］
図７に、本発明の一実施の形態に係る安全リレーシステムの接続状態を示すブロック図を示す。この図に示す安全リレーシステムは、電源ユニット３０を一方に接続したマスタユニット５と、マスタユニット５の他方に接続された複数の入力増設ユニット６および出力増設ユニット１６と、その端面に接続されたエンドユニット１２とを備える。図の例ではマスタユニット５に電源ユニット３０を接続すると共に、入力増設ユニット６と出力増設ユニット１６を交互に２台ずつ接続し、端面にエンドユニット１２を接続している。各ユニットは、コネクタを介して互いに隣接するように直列に接続される。安全入力を伝達する安全情報ライン４２は、安全入力用ライン４３と安全出力用ライン４４の二つで構成される。安全入力用ライン４３には入力増設ユニット６の安全制御部４５が、安全出力用ライン４４には出力増設ユニット１６の安全制御部４６がそれぞれ接続される。
【００３５】
［安全入力用ライン４３］
安全入力用ライン４３は、入力系の安全回路信号である安全入力を伝送するラインであり、安全性を高めるため２系統の信号を持つよう二重化されている。安全入力の信号は、入力系安全制御部信号である。安全入力用ライン４３は、マスタユニット５からエンドユニット１２まで各ユニットを介してストレートにスルー接続されるスルーラインと、エンドユニット１２からリターンするリターンラインとを備える。図においては、安全入力用ライン４３はマスタユニット５のマスタユニット安全制御部４７Ａにシリアルで接続されており、安全入力用ライン４３のリターンラインは、入力増設ユニット６の安全制御部４６同士を接続する一方、出力増設ユニット１６ではスルーとされる。これによって、入力増設ユニット６は安全入力用ライン４３で接続された入力増設ユニット６やエンドユニット１２からの信号を認識して動作する。すなわち、前段から伝達される安全入力もしくはエンドユニット１２からの信号と、自身に接続された安全コンポーネントの安全状態を示す安全入力とに基づいて新たな安全入力とし、次段に伝達する。例えば、前段の安全入力と自身の安全入力の論理積（ＡＮＤ）を新たな安全入力とすることで、すべての入力増設ユニット６に接続された安全コンポーネントで安全が確認されるとき、マスタユニット５で安全入力が得られ、これに基づいて安全出力をＯＮとすることができる。安全情報をユニット毎に順次確認していく構成とすることで、バスの本数を削減でき、安全制御部４５、４６を簡略化できる。また接続可能なユニット数がバスの本数によって制限されず、多数のユニットを増設することが可能となる。
【００３６】
ただ、図示しないが安全入力用ラインをパラレルラインとし、ユニット間をシフト接続させるよう構成することもできる。例えば、マスタユニットからエンドユニットまでストレートに接続する一方、リターンラインを、入力増設ユニットを一介す毎に一ずつシフトさせるよう構成することで、入力増設ユニットの接続台数分シフトしてマスタユニットに信号が返されるため、マスタユニット側で安全入力の検出される端子番号をチェックすることで入力増設ユニットの接続台数を検出できる。また、各入力増設ユニットに接続された安全コンポーネントの出力を同様にシフトさせながらマスタユニットに伝達することで、いずれの安全コンポーネントで安全確認が得られないかを検知することもできる。
【００３７】
［安全出力用ライン４４］
安全出力用ライン４４は、出力系のモニタ回路信号である安全出力を伝送するラインであり、安全入力用ライン４３と同様に２系統の信号を持つよう二重化されている。また安全出力用ライン４４も、マスタユニット５からエンドユニット１２までストレートにスルー接続されるスルーラインと、エンドユニット１２からリターンするリターンラインとを備え、シリアルラインで接続される。図においては、安全出力用ライン４４はマスタユニット５のマスタユニット安全制御部４７Ｂにシリアルで接続されており、安全出力用ライン４４のリターンラインは、出力増設ユニット１６の安全制御部４６同士を接続する一方、入力増設ユニット６ではスルーとされる。これによって、出力増設ユニット１６は安全出力用ライン４４で接続された出力増設ユニット１６やエンドユニット１２からの安全確認情報を認識して動作する。すなわち、前段から伝達される安全出力もしくはエンドユニット１２からの信号と、自身の出力増設ユニット１６の安全確認情報とに基づいて新たな安全出力とし、次段の出力増設ユニット１６の安全制御部４６に出力する。これによって、自身より前段の出力増設ユニット１６が正常に動作していることを確認すると共に、自身が正常に動作していることを次段の出力増設ユニット１６もしくはマスタユニット５に伝達する。
【００３８】
上記の安全情報ライン４２は、図７において実線矢印で示される。さらに、図７に示す回路は安全信号に関するラインとして、安全情報ライン４２以外に一点鎖線で示すＦＳＤ出力ライン４８、二点差線で示す同期信号ライン４９を備える。ＦＳＤ（Ｆｉｎａｌ Ｓｗｉｔｃｈｉｎｇ Ｄｅｖｉｃｅ）５０は、ライトカーテンなどの安全センサからの出力（ＯＳＳＤ：Ｏｕｔｐｕｔ Ｓｉｇｎａｌ Ｓｗｉｔｃｈｉｎｇ Ｄｅｖｉｃｅ）と、外部接続機器を直接的に停止させる装置（ＭＰＣＥ：Ｍａｃｈｉｎｅ Ｐｒｉｍａｒｙ Ｃｏｎｔｒｏｌ Ｅｑｕｉｐｍｅｎｔ）との間に配置される。マスタユニット５は入力増設ユニット６などを介して集められた安全入力に基づき、ＯＳＳＤの出力状態に応じてＭＰＣＥに対し停止信号をＦＳＤ出力ライン４８を介して各出力増設ユニット１６から出力する。出力増設ユニット１６は停止信号に基づいてＦＳＤ出力を制御する。またＦＳＤ出力ライン４８を介して入力増設ユニット６もモニタすることもできる。ＦＳＤ出力ライン４８も安全のため２系統が用意される。
【００３９】
また同期信号部５１は、シリアルで転送される信号の同期をとる同期信号をマスタユニット５から各ユニットに対し同期信号ライン４９を介して送出する。同期信号によって機器の動作を行うタイミングが決定される。これらのＦＳＤ出力ライン４８、および同期信号ライン４９は上記安全情報ライン４２のようにリターンラインを備えず、マスタユニット５からエンドユニット１２に向かって停止信号、同期信号をそれぞれ送出する。
【００４０】
上記の構成によって、ユニット間で接続するコネクタの共通化、ピン数の削減が図られる。図７の例では、マスタユニット５とエンドユニット１２の間で入力増設ユニット６と出力増設ユニット１６を交互に接続しているが、この例に限られず、入力増設ユニット６と出力増設ユニット１６はマスタユニット５とエンドユニット１２の間であれば任意の位置で接続できる。例えばマスタユニットに入力用のコネクタと出力用のコネクタを設け、入力用のコネクタに入力増設ユニットを、出力用のコネクタに出力増設ユニットを接続し、それぞれの端面にエンドユニットを接続する構成では、接続状態や配置の制約を受ける。安全コンポーネントや外部接続機器の数によってユニット数が異なるので、配置スペースによってはうまく配置できないこともあり得る。上記本発明の実施の形態によれば、入力増設ユニット６、出力増設ユニット１６を同一のライン上に混在できるので、配置上の制約が低減され柔軟なレイアウトが可能となる。さらに、レイアウトの柔軟さはスペースの効率的な利用を可能とし、システムの小型化にも寄与し得る。
【００４１】
［非安全情報ライン５２］
一方、図７に示す回路は安全情報ライン４２以外に非安全情報に関する非安全情報を送出する非安全情報ライン５２を備える。非安全情報ライン５２は図７において鎖線で示す。非安全情報ライン５２は、安全リレーシステムの情報系信号ラインであり、例えばＲＳ４８５の通信ライン等を使用できる。
【００４２】
［非安全情報］
非安全情報には、例えばマスタユニット５や入力増設ユニット６に接続される安全コンポーネントのＯＮ／ＯＦＦ情報、各ユニットのエラー状態とエラー情報、マスタユニット５や出力増設ユニット１６の出力情報、出力増設ユニット１６のＯＦＦディレー等の設定に関する実際の出力状態に関する情報、各入力増設ユニット６の手動モード・メンテナンスモード・ミュート状態で安全コンポーネントの無効化した状態等における実際の入力状態に関する情報、ＤＩＰスイッチの情報等各ユニットの設定情報、各ユニット毎に付与されるユニットＩＤ番号に関するＩＤ情報やステータス情報等がある。ステータス情報には、停止信号のＯＮ／ＯＦＦやユニットのエラー情報などがある。なお非安全情報とは、安全情報に関する情報であるが、規格上特別な仕様が要求される安全情報に該当しない情報であるという意味で、本明細書において非安全情報と呼ぶ。よって、非安全情報は、その名称に拘わらず安全情報に関する情報や安全情報そのものを含めることもできる。ただし、非安全情報を安全情報に含めることはできない。
【００４３】
ユニットにＩＤ番号を付与する方法は、既知の方法や将来開発される方法が利用できる。例えば、ＩＤ付与のための信号線を追加して、信号線から接続順にユニットに対しＩＤ番号を付与すると共に、ＩＤ番号を次段のユニットに伝達し、増加させたＩＤ番号を付与すると共にさらに次段のユニットに伝達するというユニットを経る毎にＩＤ番号を増加させる方式が利用できる。
【００４４】
非安全情報ライン５２は、安全情報を扱う安全情報ライン４２と個別に設けられ、安全情報と非安全情報を分離させている。安全情報を非安全情報にフィードバックすることはあっても、非安全情報を安全情報にフィードバックすることはない。これによって安全情報は完全に分離され、非安全情報から影響を受けることなく独立して扱われる。いいかえると、非安全情報を扱う回路に何らかの異常が生じても、安全情報を扱う回路に影響を与えることがなく、システムの安全性が維持される。この結果、安全情報を扱う回路についてのみ、必要な二重化や自己チェック機能の付加などを行うことでＩＥＣ６１５０８−２ ７．４．２．３等に定められる安全基準をクリアでき、一方で非安全情報を扱う非安全系回路にはこれらの仕様を具備する必要がないので、非安全系回路を比較的簡素に構成できる。さらに、安全情報と非安全情報を同時に扱う構成では、安全情報を扱う限り厳格な仕様が要求されるが、安全情報と非安全情報を分離することにより、安全情報を扱う回路のみが要求される仕様を満たせば足りるので、システム構成を簡素化できる。このことは、システムの設計変更に際しても柔軟に対応でき、安全系回路の再設計の必要性をなくして設計を容易にできる。加えて、非安全情報を付加することで、トラブルが発生した際の復旧を容易にできるなど、システム運用上の使い勝手を改善できる。例えば、安全確認ができない箇所やトラブル発生箇所の特定や異常内容の表示、復旧のための手順の案内などを行える。
【００４５】
従来の安全リレーシステムに使用されるリレーユニットでは、安全基準に適合するための仕様の制約により、安全情報として装置のＯＮ／ＯＦＦ情報のみを出力している。言い換えると、全体として安全が確認できるか否かを判断するのみであり、個別の安全コンポーネントの入力状態を確認することはできなかった。これでは、安全は確保できるとしても、安全が確認できない場所の特定やその原因を検知することはできなかった。そのため、原因の特定を自動的に行えず、システムの復旧作業が極めて困難であるという問題があった。トラブル発生時時に各個の安全コンポーネントの入力状態が把握できないと、原因を特定できずシステムを復帰できない。またシステムの保守やメンテナンスを考慮すると、各安全コンポーネントの状態を確認することが望ましい。この情報をモニタすることにより保守やメンテナンスを効率的に行い、時間を短縮できる。そこで、安全情報と非安全情報を分離することで、非安全情報を複雑な回路を用いないで構成することが可能となる。一般に機械、ロボットなどを含むシステムは非常停止ボタン、安全ドア、ライトカーテンなど複数の安全コンポーネントにより構成される。非安全情報として各安全コンポーネントの入力状態をモニタすることで、システムの安全が確認できない状態となった時、どの安全コンポーネントが原因で安全が確認できないかのを特定する情報を出力する。例えば各入力増設ユニット６等に接続された安全コンポーネントのＯＮ／ＯＦＦ情報、ユニットのエラー情報など、各ユニットの状態を非安全制御部５４でマスタユニット５に通知する。マスタユニット５はマスタユニット非安全制御部５３で非安全情報を集め、非安全情報インターフェース５５から外部に出力する。この信号を外部のＰＬＣ等に入力して表示させ、トラブル時などの復帰に役立てることができる。非安全情報は安全／非安全の判別、すなわち安全確保に関しては直接関係するものではなく、むしろシステム復帰に関して有用な情報であり、この情報を活用してより迅速に復旧を行える。
【００４６】
［共通ライン］
また、安全情報ライン４２は図７のように安全入力用ライン４３と安全出力用ライン４４に区別する構成の他、図８に示すように共通のラインとすることもできる。これによって、入力系安全制御部信号と出力系モニタ回路信号を同じバスで扱うことができる。安全入力用と安全出力用とを共通とする安全情報ライン４２は、マスタユニット５よりエンドユニット１２までストレートで繋がるスルーラインと、エンドユニット１２からリターンするリターンラインを備える。図８の例では、安全情報ライン４２はマスタユニット５のマスタユニット安全制御部４７からエンドユニット１２までスルーラインで接続され、エンドユニット１２で反転してリターンライン上に出力増設ユニット１６および入力増設ユニット６の安全制御部４５がそれぞれ接続され、これらの安全制御部４５とマスタユニット５のマスタユニット安全制御部４７とが安全情報をやりとりする。
【００４７】
入力増設ユニット６及び出力増設ユニット１６は、リターンライン上で前段に接続されたユニットもしくはエンドユニット１２からの信号を認識して動作する。入力増設ユニット６は自身の入力増設ユニット６に接続される安全コンポーネントからの安全入力と、前段から伝達される安全入力とを安全制御部４５で安全入力とし、次段の入力増設ユニット６に順次送出してマスタユニット５に伝達する。出力増設ユニット１６は安全制御部４６で、自身の正常状態を確認する安全確認情報と、リターンライン上で前段に接続された出力増設ユニット１６の安全確認情報とに基づいて安全確認情報を生成し、次段の出力増設ユニット１６に伝達する。出力増設ユニット１６の安全制御部４６は、リターンライン上を伝達される信号から、前段の出力増設ユニット１６またはエンドユニット１２から伝達される安全確認情報を抽出して、安全確認情報をさらに伝達する。いいかえると、入力増設ユニット６に関する安全入力はスルーする。一方、入力増設ユニット６の安全制御部４５は前段の入力増設ユニット６もしくはエンドユニット１２から伝達される安全入力信号を抽出して、安全入力を次段の入力増設ユニット６に伝達する。このように、安全入力用と安全出力用とを共通とする安全情報ライン４２では、各々の安全制御部４５，４６で必要な信号を選別し、必要でない信号はそのまま伝達することで、同一のライン上に様々な信号を混在させることができる。図８においても、安全情報ライン４２で伝送される安全入力や安全確認情報は図７と同様のものが適用でき、さらにＦＳＤ出力ライン４８や同期信号ライン４９も同じ構成とできる。
【００４８】
上記の構成では、各ユニットの非安全情報を非安全情報ライン５２を介して順次伝達し、最終的にマスタユニット５に至るように構成している。非安全情報を受けたマスタユニット５は、非安全情報に基づいて表示や外部への出力を行う非安全情報出力部５６を備える。非安全情報出力部５６は、非安全情報をそのまま、あるいは加工して外部に表示させるモニタや外部に出力するインターフェースなどが利用できる。例えば、モニタ上に各安全コンポーネントの安全状態を表示させ、エラーの発生や外部接続機器のＯＮ／ＯＦＦを表示させたり、安全が確認できない箇所を点滅表示させたり、ＰＬＣなどの機器にこれらの情報を送出する。図９の例では、非安全情報出力部５６としてモニタ表示のための非安全情報表示部５７と、外部入出力端子等の非安全情報インターフェース５５を備えている。ただ、非安全情報出力部５６はマスタユニット５に設ける例に限られず、これに代わって、あるいはこれに加えて、ユニット側に設けることもできる。複数の非安全情報出力部を備えることで、非安全情報出力部同士で相互に非安全情報をやりとりすることも可能となる。ユニット側に非安全情報出力部を設ける場合は、このユニットの非安全情報出力部で非安全情報を利用できるので、他のユニットやマスタユニットに非安全情報を伝えるためのバスを不要とできる。
【００４９】
次に、図９に基づいて安全情報から分離された非安全情報の扱いを説明する。図９においては、上記図８で説明した安全入力用と安全出力用とを共通とする安全情報ライン４２での構成を採用しており、マスタユニット５と出力増設ユニット１６、入力増設ユニット６を接続する部分を示している。この例では、マスタユニット５も安全コンポーネント１および安全リレー出力部５８をマスタユニット安全制御部４７に接続している。このマスタユニット５は、入力増設ユニット６および出力増設ユニット１６として機能する。ただ、これらの部材のいずれかもしくは両方をマスタユニットに設けない構成としてもよいことはいうまでもない。
【００５０】
安全情報は、図９で実線の矢印で示す安全情報ライン４２を通じて、マスタユニット５のマスタユニット安全制御部４７からエンドユニット（図９では図示せず）にスルーライン（図９では一点鎖線）で送出される。安全情報ライン４２はエンドユニットで逆向きのリターンラインとなり、エンドユニットから各ユニットの安全制御部４５を通じてマスタユニット安全制御部４７に返される。このとき、安全入力については、入力増設ユニット６の安全制御部４５に接続された安全コンポーネントから取得される。各安全制御部４５は前段のユニットから送出される安全入力と、自身に接続された安全コンポーネントの安全入力に基づき新たな安全入力を生成し、次段の入力増設ユニット６に送出する。このようにして安全入力はマスタユニット５から安全情報ライン４２を通じて順次入力増設ユニット６に送出され、最終的にマスタユニット安全制御部４７に戻される。例えば、すべての安全入力のＡＮＤをとることによって、いずれかの安全コンポーネントで安全入力が得られなかった場合、すなわち安全が確認できない場合は、安全出力をＯＮとせずリレーを開放して所定の外部接続機器の動作を停止する。
【００５１】
一方、安全情報ライン４２は安全出力も扱い、具体的に外部接続機器の動作を制御するリレーを安全リレー出力部５８で開閉させる。安全リレー出力部５８は安全リレーを直接あるいはコンタクタなどを介して開閉させる。安全リレー出力部５８はこのようなリレーやコンタクタなどを内蔵もしくは接続している。マスタユニット５のマスタユニット安全制御部４７は、安全入力に基づいて安全出力を出力し、個々の外部接続機器の動作をＯＮ／ＯＦＦさせるために安全リレー出力部５８に安全出力を送出する。各出力増設ユニット１６は、安全制御部４６に安全リレー出力部５８を接続している。
【００５２】
図１０は、図９の構成を実現するための一例として、安全制御部４５、４６をＡＮＤ回路で構成した状態を示す。この図に示す安全制御部４５、４６は、安全情報ライン４２を介して前段のユニットから送出される信号と、ユニット自身の信号とのＡＮＤを新たな出力として次段に送出する。例えば、入力増設ユニット６は、自身の安全コンポーネント１の出力と前段の入力増設ユニットからの出力とのＡＮＤを新たな安全入力として次段に送出する。これによって、入力増設ユニットに接続されたいずれか一の安全コンポーネント１でも安全が確認できない場合には安全入力が得られず、安全出力をＯＦＦとして該当する外部接続機器の動作を停止させる。また、出力増設ユニット１６は、安全制御部４６で自身のユニットの安全状態を確認する安全確認情報出力部２３と前段の出力増設ユニットの出力とのＡＮＤをとることによって、いずれかの出力増設ユニットで安全確認が得られない場合に、同様に安全出力をＯＦＦとして該当する外部接続機器の動作を停止させる。例えば前段の出力増設ユニットのエラー信号と自身のエラー信号とのＡＮＤをとることで、すべての出力増設ユニット１６で正常動作が確認されない限り安全出力が得られず、これによって安全が確保される。
【００５３】
以上のような安全情報に対して、安全情報に関するより詳細な情報である非安全情報を、安全情報と個別に伝達する。図９の例では、安全情報ライン４２と個別の信号線である非安全情報ライン５２で非安全情報を伝達する。非安全情報ライン５２は、マスタユニット５のマスタユニット非安全制御部５３からエンドユニットまで接続され、このライン上に入力増設ユニット６および出力増設ユニット１６の非安全制御部５４が通信可能に接続されている。各非安全制御部５４は、非安全情報出力部５６として、非安全情報表示部５７と、非安全情報インターフェース５５を備える。非安全情報表示部５７は、非安全情報を表示させてユーザに安全情報に関する詳細情報を視覚的に知らせる。表示方法は、テキストや画像、動画の他、音声などを適宜組み合わせることができる。これによって、安全確認ができない事態が発生した際に、その場所や原因を表示させユーザに告知することができる。
【００５４】
また、非安全情報インターフェース５５は、非安全情報に関するＩ／Ｏであり、外部機器に非安全情報を出力し、また外部機器から必要な情報や演算結果を得て、さらに加工、洗練された非安全情報を取得して非安全情報表示部５７に表示させたり、非安全制御部５４に送出して他のユニットにデータを送付することもできる。図９の例では、マスタユニット５、入力増設ユニット６、出力増設ユニット１６のすべてがこれら非安全情報表示部５７と非安全情報インターフェース５５を備えている。ただ、いずれか一方のみを備えるユニットや、他の非安全情報出力部を備えるユニットを混在させてもよい。
【００５５】
また非安全制御部５４は、安全制御部４５，４６から安全情報を得て、安全状態をモニタし非安全情報表示部５７に安全情報自体を表示させる。ただし、非安全制御部５４で得た情報を安全制御部４５，４６に送ることはしない。これによって、安全情報は非安全情報によって影響を受けることがない。言い換えると、仮に非安全情報に関する回路で問題が生じても、これによって安全系の回路が影響されず、安全システムの信頼性が保たれる。このため、安全システムに要求される仕様に適合させつつ、単なる安全情報よりも詳細な非安全情報に関する回路を安全リレーシステムに付加することができ、しかも付加した非安全系の回路については安全情報に関して影響を与えないため、安全回路に要求される仕様を満たす必要はない。このため、比較的自由な設計が可能となり、高度な情報表示等を行える安全システムを実現できる。また、付加回路の設計は安全回路と独立であるため、設計変更も比較的容易に行えるというメリットもある。
【００５６】
［定格表記］
また、エンドユニットの側面には、定格標記部を設けることができる。例えばＣＥマーキングやＥＭＣサービスなどの認証を受けた機器は認証機関のマークや消費電力など所定の標記が義務付けられることがある。一般には、装置のケースに定格標記のシールを貼付したり、印刷、マーキングを行う等の方法が採用される。しかしながら、このような規格によれば装置外部の使用者から見える部分に所定の大きさの標記を設けることが求められており、標記スペースの確保やその位置によって装置の小型化の妨げとなることがある。そこで、上記の安全リレーシステムではエンドユニットの側面部分に定格標記部を設けることで、このスペースを用いて必要な標記を行うことができる。特にエンドユニットは必ず端面に接続されるので、中間に接続されるユニットのように増設されて面が隠れることなく、接続面と反対の面には空きスペースが得られる。そこでこのスペースを利用して標記を行うことで、他のユニットのスペースを犠牲にすることなく必要な標記を果たすことができる。複数のユニットを連結する構成において、端面に固定されるエンドユニットは装置の一部をなすので、装置に直接的に表示を付した状態とでき、標記義務を果たせる。この構成によって他のユニットに定格表記が不要となるので、各ユニットの定格表記スペースが削減でき、ユニットの小型化に貢献し得る。またエンドユニットの機能を入力増設ユニットや出力増設ユニットに内蔵する場合でも、同様にエンドユニット内蔵型増設ユニットの側面に定格標記部を設けることができる。
【００５７】
［セーフティコンディション］
次に図１１に、システムの保守、メンテナンス、ロボットのティーチング時などに適した安全機能の手動休止に対応したシステムの一例を示す。この図に示す安全リレーシステムは、増設入力ユニット６Ｘの安全制御部４５Ｘに、安全コンポーネント１Ｘと並列に手動切替入力部６０を備える。手動切替入力部６０は、モード切替部６１とマニュアルサスペンション入力部６２を接続している。
【００５８】
［モード切替部６１］
モード切替部６１は、外部接続機器の動作を通常モードと手動モードに切り替えるための切り替えスイッチである。手動モードとは、通常動作時よりもロボットの動作速度を遅くする、あるいは動作内容を限定する等の制限を加えた動作モードであり、このモードに切り替えることで作業者の安全を確保する。作業者は、メンテナンス作業などの開始時に、モード切替部６１を操作して動作モードを手動モードに切り替え、セーフティコンディション状態に設定する。
【００５９】
［マニュアルサスペンション入力部６２］
またマニュアルサスペンション入力部６２は、モード切替部６１で手動モードにあるとき、関連する安全コンポーネント１Ｘを無効化するマニュアルサスペンション（安全機能の手動休止）の開始を指示するための部材である。マニュアルサスペンションが安全リレーシステムに指示されると、対応する安全コンポーネント１Ｘが無効化されるので、この安全コンポーネントの安全入力に関わらず外部接続機器であるロボットの動作が可能となる。マニュアルサスペンション入力部６２は、例えば図１３に示すように増設入力ユニット６Ｘにスイッチとして設ける。
【００６０】
［手動切替入力部６０］
手動切替入力部６０は、マニュアルサスペンションを機能させるための所定の条件が具備されているか否かを確認するマニュアルサスペンション動作確認部の一形態として、モード切替部６１とマニュアルサスペンション入力部６２の入力に基づいて、安全コンポーネント１Ｘの無効化を行う。具体的には、まずモード切替部６１で手動モードに切り替えられている状態で、マニュアルサスペンション入力部６２からマニュアルサスペンションが入力されていることが確認されると、安全コンポーネント１Ｘに関わらず安全入力を出力させる。逆に、上記の順序が確認できない場合は、マニュアルサスペンションは機能しない。例えば先にマニュアルサスペンション入力部６２が操作された後にモード切替部６１が手動モードに切り替えられても、手動切替入力部６０は機能しない。手動切替入力部６０は、所定の手順を踏んで操作されていることを確認することで、正しくマニュアルサスペンションが要求されていると判断し、手順に従っていない場合はマニュアルサスペンションを許可しない。手動切替入力部６０の動作は、モード切替部６１とマニュアルサスペンション入力部６２の動作を監視して、マニュアルサスペンション入力部６２のＯＮと同時に自動で安全入力を安全制御部４５Ｘに出力する構成の他、操作者が手動で手動切替入力部６０の操作ボタンなどを操作すると、安全入力が出力される構成としてもよい。これによって、操作者が誤ってマニュアルサスペンション入力部６２あるいは手動切替入力部６０を操作しても、誤動作であると判断されてマニュアルサスペンションが働かず、安全コンポーネント１Ｘが無効化されないので作業者の安全が確保される。また、手動切替入力部６０は、所定の手順に従わずマニュアルサスペンション入力部６２が操作された場合に異常と判断してシステムを停止する命令を発することもできる。さらに、マニュアルサスペンションを機能させる際の条件を他の条件に設定することも可能で、例えばさらに別のボタンを設けて３段階以上の操作を経た場合にＯＮさせたり、あるいはモード切替部６１の操作後、所定時間以内にマニュアルサスペンション入力部６２を操作しなければマニュアルサスペンション機能をＯＮできないといった条件を設定することも可能である。
【００６１】
具体的な構成としては、例えば図１１に示すように手動切替入力部６０と安全コンポーネント１Ｘとを並列にＯＲ回路に入力し、手動切替入力部６０からＯＮ信号を入力することで安全制御部４５Ｘは安全入力を得ることができ、安全コンポーネント１Ｘで安全が確認できなくなっても安全入力が得られるため、ロボットなどの外部接続機器が動作を継続することができる。なお図１１の例では、手動切替入力部６０を安全制御部４５Ｘと別体としているが、安全制御部に手動切替入力部の機能を持たせることもできる。
【００６２】
次に、作業者がメンテナンス作業等でロボットの作業区域に入るためドアスイッチの安全コンポーネント１Ｘを無効化する手順を図１２のタイミングチャートに基づいて説明する。まず、安全コンポーネント１Ｘの安全入力がＯＮで安全出力が得られている状態を想定する。このとき、他の安全コンポーネント１はすべてＯＮであると仮定する。この状態において、（１）でモード切替部６１を操作して手動モードに切り替えると、ロボットは（Ａ）の区間で示す自動モードから（Ｂ）の手動モードの動作に切り替えられ、所定の速度以上で動作しないセーフティコンディションとなる。次に（２）でマニュアルサスペンション入力部６２を操作してＯＮとすると、ロボット側にマニュアルサスペンションに移行することが指示される。これによって（３）で手動切替入力部６０は正しくマニュアルサスペンションが要求されたと判断してＯＮ信号を出力可能となる。手動切替入力部６０によってマニュアルサスペンション機能が働くと、ドアスイッチの安全コンポーネント１Ｘは無効化され、（４）で作業者がセーフティドアを開けてロボットの作業区域に侵入しても安全出力はＯＮのまま維持される。作業者はメンテナンス作業終了後、セーフティドアを閉めて、手動切替入力部６０または／及びマニュアルサスペンション入力部６２をＯＦＦとすると、マニュアルサスペンションが解除される。その後、（５）でモード切替部６１を自動モードに戻すと、ロボットは（Ｃ）の区間で示すように自動モードで動作し、例えば（６）で安全コンポーネント１ＸがＯＦＦとなると動作を停止する。
【００６３】
また、上記の手順においても、他の安全コンポーネント１で安全が確認できない事態が発生したときは、安全コンポーネント１Ｘに関わらず直ちに安全出力がＯＦＦとなって安全リレーが開放され、速やかに該当する外部接続機器の運転が停止される。例えば非常停止ボタンが押された場合にはマニュアルサスペンションに関わらず停止信号が出力されるので安全が確保される。
【００６４】
上記のシーケンスを、安全制御部４５Ｘの論理として表１に示す。この表において、入力Ａに対応する安全コンポーネント１Ｘには例えばドアスイッチが利用でき、表１においてドアスイッチがＯＮのとき○、ＯＦＦのとき×として表示する。同様に入力Ｂに対応するモード切替部６１は、例えば通常モードと安全モードを切り替える場合は通常モードを×、安全モードを○とし、あるいは自動モードと手動モードを切り替える例では自動モードを×、手動モードを○として表示する。さらに入力Ｃに相当するマニュアルサスペンション入力部には、例えばティーチングペンダント３８が利用でき、ティーチングペンダント３８からの入力がＯＮのとき○、ＯＦＦのとき×として表示する。ティーチングペンダント３８とは、ロボットに動作を教示するための操作具である。さらにまた出力Ｄとして前段の増設入力ユニット（図１１に図示せず）からの安全入力がＯＮのとき○、ＯＦＦのとき×として表示する。一方、出力として増設入力ユニット６Ｘの安全出力がＯＮのとき○、ＯＦＦまたはロックアウトのとき×として表示する。なお、表において「−」は何れの論理でも出力が同じであることを意味する。さらに、表１で出力がＯＮとなっている場合でも、シーケンスから外れる場合は出力をＯＦＦまたはロックアウトとすることもできる。
【００６５】
【表１】

Figure 2005025479
【００６６】
表１のシーケンスを図１２と対比して説明すると、図１２の（１）では入力Ａ、Ｂ、Ｃがぞれぞれ○、×、×であり、表１の状態１となるため出力が○となる。図１２の（２）では入力Ｂが○であり、同じく表１の状態１となるため出力は○である。なお、ここで入力Ｂが○から×となったら出力はＯＦＦまたはロックアウトとなる。（３）では入力Ｃが○である。ここで、入力Ｃが○から×となったら出力はＯＦＦまたはロックアウトとなる。（４）では入力Ａが×である。ここで、入力Ｃが○→×→○となったら、出力はＯＦＦまたはロックアウトとなる。（５）では入力Ｃが×である。また（６）では入力Ｂが×である。
【００６７】
モード切替部６１やマニュアルサスペンション入力部６２、手動切替入力部６０等の操作スイッチは、誤動作防止のため単純な押しボタン式とせず、例えば所定のパスワード入力を要求したり、両倒しスイッチなどを利用し、操作者が意志を持って操作しなければ操作できないような構成とすることが望ましい。
【００６８】
図１３に、マニュアルサスペンション機能を備えた増設入力ユニット６Ｘの外観の一例を示す。この図に示す増設入力ユニット６Ｘは通常の安全コンポーネントを接続するためのノーマル入力部３３と、マニュアルサスペンション機能の対象となる特定の安全コンポーネントを接続するためのマニュアルサスペンション用入力部３２を備える。また、マニュアルサスペンション機能の動作状態を表示するマニュアルサスペンション表示部３４として、マニュアルサスペンション機能がＯＮのときに点灯するマニュアルサスペンションランプを備える。マニュアルサスペンション表示部３４は、増設入力ユニット６Ｘに設ける他、作業エリア近辺にランプを設け、作業エリア付近の者が容易に確認できるようにしても良い。また、マニュアルサスペンション入力部６２や手動切替入力部６０は、増設入力ユニット６Ｘ本体から離した場所に設けることができ、例えば操作者が手持ち式のコントローラに操作ボタンを設けることもできる。
【００６９】
［イネーブルスイッチ］
イネーブルスイッチは、工業用ロボットの各種動作を設定するティーチングペンダント３８の握り部分等に設けられる。イネーブルスイッチは人間工学的研究から３ポジションスイッチが採用される。すなわち、ボタンの操作者が非常事態に直面すると、ボタンから手を放すか逆に強く握るかのいずれかであるという人間工学的な研究結果に基づいて構成される。このため３ポジションスイッチは、１ストロークの間に３つの状態を備えており、操作者がボタンを放した状態でスイッチＯＦＦ、軽く押した状態でＯＮ、強く押すとＯＦＦになる。この構成によって、ロボットのティーチング作業時に、ティーチングの作業者がティーチングペンダント３８の握り部分を、軽く握り締めた時にのみイネーブルスイッチがＯＮになり、ロボットを動作させてティーチング作業が行える。万一作業者が異常を感じてペンダントを手放したり逆に強く握り締めたときは、いずれもイネーブルスイッチがＯＦＦとなりイネーブル機能が解除される。その結果、例えば作業者がロボット作業エリアにアクセスするためのセーフティドアの開放を検知する安全コンポーネントの安全入力がＯＦＦであることにより、安全出力がＯＦＦに切り替えられてロボットが停止され、作業者の安全が確保される。
【００７０】
［ティーチングペンダント３８］
ティーチングペンダント３８は、作業用ロボットの立ち上げ時やメンテナンス時に動作を教示するために使用されるマン・マシンインターフェース機器である。ティーチングはロボットに動作を教示する作業であり、一般にティーチングは作業用ロボットを通常作業時の自動作業モードでなく、一定速度以下の低速で動作する手動モード（マニュアルモード、ティーチングモード）で動作させることによって、動作に関するデータをインプットする。具体的には、ロボットの作業用アーム等の可動部を所望の位置まで移動させて、その位置座標等をロボットに記憶させる。ティーチング作業者は、ティーチングペンダント３８でティーチング作業を行う。ティーチングペンダント３８は、例えばロボットのアームを移動させたり、数値を入力したり、ロボットに座標を記憶させたりするためのスイッチ、テンキー、ジョグダイヤルといった操作部を備える。ティーチング作業者はティーチング作業の間、ティーチングペンダント３８を携えて作業用ロボットの近傍で作業することになる。
【００７１】
上記のように外部接続機器は例えばロボット３７が、安全コンポーネント１Ｘはドアスイッチ等が利用できる。モード切替部６１は、ロボット３７が自動モードまたは手動モードのいずれのモードで動作するかを示す信号を入力する。さらにマニュアルサスペンション入力部６２は、３ポジションスイッチのイネーブルスイッチで信号を入力する。この構成での安全リレーシステムの動作を具体的に説明する。
【００７２】
マニュアルサスペンションを正常に機能させるには、まずロボット３７を自動モードから手動モードに切り替え、続いて作業者がティーチングペンダント３８を握ることで握り部の３状態のイネーブルスイッチをＯＮにする。この状態で握り続けることでマニュアルサスペンションが正常に機能するので、対象となる安全コンポーネント１Ｘであるドアスイッチが設けられたドアを開放してもロボットは安全リレーシステムにより停止されず、ティーチングペンダント３８でロボットの動作のティーチングを行うことができる。
【００７３】
ここでティーチングを行う際に、マニュアルサスペンションの対象となるドアを、（Ａ）開放状態でティーチングする場合と、（Ｂ）再度閉じた状態でティーチングする場合とが考えられる。もし、ドアが開放状態であれば、ティーチングペンダント３８の握り部を放すか強く握ることによってイネーブルスイッチがＯＦＦとなり、マニュアルサスペンション状態が解除され、ドアの開放を検知するドアスイッチの信号に基づき、ロボットは安全リレーシステムにより停止するので、安全側に動作する。
【００７４】
一方、もしドアを閉じてティーチングを行う場合には、何かの原因でイネーブルスイッチがＯＦＦとなりマニュアルサスペンション状態が解除されても、ロボットが動作を継続してしまい、その状態でロボットを自動モードに戻すと、作業者が危険領域に残ったままロボットが自動モードで動作することになる。このことは、ドアを閉じてティーチングする場合に限られず、ドアを開放してティーチングしている場合であっても、何かの原因でドアが閉じてしまうと同じ状況が起こり得る。これらは正常にマニュアルサスペンション状態を解除する手順と同じシーケンスであるため、ロックアウトとすることができない。
【００７５】
そこで、これを解決する一例として、増設入力ユニット６Ｘに時間的要素を導入することもできる。具体的には、ドアを閉じてから所定の時間以内、例えば３秒以内にティーチングペンダント３８のイネーブルスイッチをＯＦＦにしたときに正常にマニュアルサスペンション状態を解除でき、所定の時間を超えてからイネーブルスイッチをＯＦＦにした場合には異常とみなし、ロックアウトさせるように構成する。これにより、ドアを閉じてティーチングをする場合や、ティーチング中に意図せずドアが閉じてしまった場合にも、安全が確保される。
【００７６】
時間的要素は、ドアを閉じるときのみならず開けるときにも援用できる。例えば、イネーブルスイッチをＯＮにしてから所定の時間以内にドアを開ければロボットは動作し、所定の時間を超えてからドアを開けた場合には異常とみなしロックアウトとする。
【００７７】
また、他の実施態様として、ドアを閉める際に内側から閉めたのか、外側から閉めたのか、あるいは勝手に閉まったのかを検出するための安全コンポーネントをドアに設置し、それらからの信号を受け付ける入力部を増設入力ユニット６Ｘに設け、その信号に基づいて判断を行う判断部を設けるようにしてもよい。より具体的には、対象となるドアに通常のドアスイッチ以外に、外側の取っ手と内側の取っ手にそれぞれ安全コンポーネントを設け、それらの信号を増設入力ユニット６Ｘに入力する。ドアスイッチのＯＮ／ＯＦＦ時に内側と外側のどちらの安全コンポーネントからの信号がＯＮしているかにより、何れの側からドアが操作されたかを判定する。どちらもＯＮまたはどちらもＯＦＦの場合には、異常とみなしロックアウトさせる。この構成によって、内側からドアを閉めた場合には、危険区域にまだ人がいるので、ティーチングペンダント３８のイネーブルスイッチをＯＦＦにしたときは異常とみなしロックアウトにする。一方、外側からドアを閉めた場合には、危険区域から外に出たとみなせるので、ティーチングペンダント３８のイネーブルスイッチをＯＦＦにすれば、正常にマニュアルサスペンション状態を解除できる。また、意図せず扉が閉じた場合にも、内側と外側の安全コンポーネントからの信号がＯＦＦであるため、イネーブルスイッチをＯＦＦにすればロックアウトする。
【００７８】
以上のように、安全コンポーネントを無効化するマニュアルサスペンション機能をＯＮするために、所定の手順で行われているかどうかをチェックし、手順が誤っている場合に動作しない、あるいは異常と判断して停止する構成とすることで、安全側に働かせて、作業者の安全が確保される。これによって、不用意に安全コンポーネントの無効化が働かせず、操作ミスを防止する一方で、所定の手順を踏むことでマニュアルサスペンションを機能させて、ロボットを動作させたままメンテナンスやティーチング作業を可能とし、作業の便宜を図ることができる。
【００７９】
【発明の効果】
以上のように、本発明の安全リレーシステムおよび安全リレーの制御方法によれば、外部接続機器を動作させたまま保守・メンテナンス作業等を容易に行える一方で、作業者の安全確保にも配慮した安全リレーシステムおよび安全リレーの制御方法が実現される。それは、本発明の安全リレーシステムおよび安全リレーの制御方法が、特定の安全コンポーネントについて、その安全状態に関わらず安全入力を取得するマニュアルサスペンション機能を持たせると共に、マニュアルサスペンションを実行する際に、所定の手順が行われているかどうかを確認し、正しい手順である場合のみマニュアルサスペンションを行い、手順に誤りや矛盾があった場合にはマニュアルサスペンションを機能させないチェック機構を設けているからである。このチェックによって、作業者がマニュアルサスペンションを機能させるという意図を持って操作した場合のみ当該機能を働かせることができ、誤操作を排除できるので、不用意に安全コンポーネントの無効化を行わせる自体を排除して安全を確保できる。一方でマニュアルサスペンション機能を用意することでロボットなどの外部接続機器を動作させたまま保守、メンテナンス作業を行えるので、これらの作業を容易にできる。
【図面の簡単な説明】
【図１】一の安全コンポーネントでリレーを開閉させる安全リレーシステムの一例を示す概念図である。
【図２】ロボットの作業エリアに近接して作業者がティーチング作業を行う状態を示す概念図である。
【図３】安全リレーシステムの構成例を示す概念図である。
【図４】図３の安全リレーシステムに安全コンポーネントを追加する状態を示す概念図である。
【図５】入力増設ユニットをマスタユニットに接続する様子を示す概略斜視図である。
【図６】入力増設ユニットをマスタユニットに接続する他の例を示す概略斜視図である。
【図７】本発明の一実施の形態に係る安全リレーシステムの接続状態を示すブロック図である。
【図８】本発明の他の実施の形態に係る安全リレーシステムの接続状態を示すブロック図である。
【図９】図８の安全リレーシステムにおいて安全情報と非安全情報の流れを説明するブロック図である。
【図１０】図９の安全リレーシステムにおいて安全制御部をＡＮＤ回路で構成した例を示すブロック図である。
【図１１】本発明の他の実施の形態に係る安全リレーシステムを示すブロック図である。
【図１２】マニュアルサスペンション機能を使用する際の動作を示すタイミングチャートである。
【図１３】マニュアルサスペンション機能を備えた入力増設ユニットの一例を示す概略正面図である。
【符号の説明】
１…安全コンポーネント
２…安全出力ユニット
３…安全コンポーネントスイッチ
４…リレー
５…マスタユニット
６、６Ａ、６Ｂ…入力増設ユニット
７、７Ａ、７Ｂ、７Ｃ…コネクタ
８…フック
９…係止溝
１０…接続用ボード
１２…エンドユニット
１６…出力増設ユニット
２３…安全確認情報出力部
３０…電源ユニット
３２…マニュアルサスペンション用入力部
３３…ノーマル入力部
３４…マニュアルサスペンション表示部
３７…ロボット
３８…ティーチングペンダント
３９…フェンス
４０…セーフティドア
４１…ドアセンサ
４２…安全情報ライン
４３…安全入力用ライン
４４…安全出力用ライン
４５…安全制御部
４６…安全制御部
４７、４７Ａ、４７Ｂ…マスタユニット安全制御部
４８…ＦＳＤ出力ライン
４９…同期信号ライン
５０…ＦＳＤ
５１…同期信号部
５２…非安全情報ライン
５３…マスタユニット非安全制御部
５４…非安全制御部
５５…非安全情報インターフェース
５６…非安全情報出力部
５７…非安全情報表示部
５８…安全リレー出力部
６０…手動切替入力部
６１…モード切替部
６２…マニュアルサスペンション入力部[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a highly reliable safety relay system suitable for uses such as driving a target load only when a plurality of input conditions related to safety confirmation and the like are all satisfied.
[0002]
[Prior art]
Safety measures are used because of the need for safety measures in each direction. For example, machine tools, press machines, robots, packaging machines, lifting devices, and the like are used at the manufacturing site, and various safety measures are required to protect workers from these devices. For example, the mechanical operation is stopped by cutting off the power supply to the device when an abnormality occurs, thereby ensuring the safety of the operator. In the construction of such a system, a safety relay device is used.
[0003]
The safety relay device controls energization by opening and closing electrical contacts. Some safety relay devices include, for example, a plurality of relays with a forced guide, and additionally have a self-holding function, a double relay contact, a back check function using a relay NC contact, a heterogeneous structure, and the like. When one normally open contact (NO contact) is welded, the relay with forced guide opens the other normally closed contact (NC contact) in the non-excited state of the coil, and when one normally closed contact is welded, A relay in which another normally open contact is opened in a coil excitation state (for example, Patent Document 1). The self-holding function is configured so that the system does not restart even if safety information such as operation of an emergency stop switch is input and then returned (reset). Further, the duplication of relay contacts is also called redundancy. By providing the contacts in parallel, even if one of the contacts is welded, it can function by the other contact provided in parallel. Furthermore, the back check function by the NC contact of the relay is to detect a failure such as contact welding of the relay or contactor (contactor) and check the state of the contact. Heterogeneous structure (diversity structure) means that multiple types of members are used in combination. Even if a defect such as a bug occurs in a specific member, the same problem does not occur at the same time as long as it is a species-specific defect. Therefore, it can be made to function by other members.
[0004]
In recent years, there are an increasing number of countries and regions where safety measures standards have been legalized, and in particular, there are demands for safety relay devices and systems having specifications conforming to the standards for such safety measures. As safety standards, ISO, IEC, EN, JIS, etc. are defined according to the object of the standard and the region. In particular, in response to the “Guidelines for Comprehensive Safety Standards for Machines” issued by the Ministry of Health, Labor and Welfare in June 2001, and ISO 12100 and its implementation plan for JIS, demands for machine safety are increasing. For example, in order to receive Category 4 certification, which is the highest safety level based on EN954-1, which is a European machine safety standard, it must be redundant, heterogeneous, and always maintain circuit or component integrity. It is required to perform self-inspection of data against
[0005]
FIG. 1 shows an example in which a system for stopping a device with one safety component that is a target for ensuring safety is configured. Here, the safety component is an element that sends a command to cut off the power supply to a desired device in response to a specific operation that should ensure the safety of the worker. For example, an emergency stop switch that stops the operation of the drive motor for equipment changeover, teaching, and adjustment, and safety that detects that the safety door has been released to enter the equipment work area. This corresponds to the output of a door switch or a light curtain that optically detects that an operator has approached a hazardous area. The safety component 1 constitutes a safety circuit in combination with the safety output unit 2 constituting the safety relay device. The safety circuit shown in FIG. 1 is connected to a normally closed break type safety component switch 3. When the safety circuit is closed, it is determined that the safety output unit 2 is normal, the relay 4 is closed, and the power supply to the connected device is maintained. On the other hand, when the safety circuit is opened by the operator or the user manually operating or operating the safety component switch 3 with the output of the sensor or the like, the safety output unit 2 is determined to be in an unsafe state, and the relay 4 is turned on. Release the power supply to the connected device and stop the operation.
[0006]
In order to provide redundancy in this system, a double safety circuit is configured as shown in FIG. 1, and both safety circuits are opened by operating the safety component switch 3. As a result, even if one of the safety circuits becomes defective or malfunctions due to contact welding or the like, the other safety circuit functions, so that the machine can be stopped. Furthermore, by performing self-inspection, it is possible to detect abnormalities such as contact welding, and prevent failure accumulation. In addition, this system employs a heterogeneous structure to prevent the same failure from occurring at the same time.
[0007]
[Patent Document 1]
JP-A-11-162317
[0008]
[Problems to be solved by the invention]
The input unit connecting each safety component confirms the safety state with the safety component, and outputs a safety input signal when it is detected that the safety is safe. The safety input signals acquired by each input unit are collected in the master unit, and when it is confirmed that all safety components are safe, a safety output is output to the output unit. Conversely, when safety cannot be confirmed by any safety component, the safety output is turned OFF. In this way, in the safety relay system, the safety output is turned on as an AND of all the safety inputs.
[0009]
On the other hand, in some safety components, it may be necessary to operate the device in a state in which safety cannot be confirmed during device installation or maintenance work. For example, in the teaching work of the working robot, as shown in FIG. 2, the work area is divided so that the worker can approach the working area of the robot 37 and perform the teaching work using the teaching pendant 38 or the like. When the safety door 40 of the fence 39 is opened, the door sensor 41 which is a safety component provided in the safety door 40 detects the opening of the safety door 40 and stops the system. However, since it is necessary to confirm the work position of the robot during teaching work, a configuration for actually operating the robot is required.
[0010]
In such a case, an enable function for operating the device regardless of the detection result of the safety component and a mute function for ignoring the safety input of the safety component can be provided. However, since these functions invalidate the safety component, it is impossible to ensure the safety of the worker. Therefore, a mechanism for protecting the worker in case of an accident is necessary. For example, if another person tries to perform a normal operation by closing the safety door without knowing that the worker is working, there is a possibility that the worker can be in danger because the reactivation is possible. On the other hand, functions for easily performing maintenance, maintenance, robot teaching work, and the like are also required.
[0011]
The present invention has been made to solve such problems. The object of the present invention is to provide a function of disabling a specific safety component suitable for maintenance work and the like, and by setting conditions for disabling the system, an inadvertent operation of the system is not permitted. It is an object of the present invention to provide a safety relay system and a safety relay control method capable of ensuring safety.
[0012]
[Means for Solving the Problems]
In order to achieve the above object, the safety relay system according to claim 1 of the present invention determines whether or not it is safe based on an input state from one or more safety components, and determines that it is not safe. A safety relay system for controlling a relay for directly or indirectly stopping operation of at least a dangerous part of a connected device, wherein a safety input is performed on a predetermined safety component related to the externally connected device regardless of its safety state. A manual suspension input unit for causing the manual suspension to function and a function for confirming whether or not a predetermined condition for allowing the manual suspension to function in the manual suspension input unit is provided. Manual suspension to make manual suspension work only Characterized in that it comprises a Deployment operation check unit.
[0013]
In addition, the safety relay system according to claim 2 determines whether or not it is safe based on an input state from one or more safety components, and when it is determined that the safety is not safe, the operation of at least the dangerous part of the connected device is directly performed. Alternatively, a safety relay system for controlling a relay for stopping indirectly, a manual suspension for causing a manual suspension to function to obtain a safety input regardless of the safety state of a predetermined safety component related to the externally connected device. An input unit, a mode switching unit for switching the operation of the externally connected device to a safety mode higher than usual, and a manual suspension input after the externally connected device is switched to the safe mode by the mode switching unit. If the operation instruction of the manual suspension is obtained from the part Characterized by comprising a manual switching input unit for outputting a safety input on behalf of the predetermined safety components.
[0014]
According to another aspect of the safety relay system of the present invention, a predetermined safety component monitors intrusion into a predetermined area centering on an operating range of an externally connected device that operates in a predetermined operating range, and an external connection is made by an output of the safety component. A safety relay system that restricts the operation of the device, the mode switching unit for switching the operation of the externally connected device to a manual mode in which the operation speed is limited as compared to the normal mode, and an operator entering a predetermined area A manual suspension input unit for functioning a manual suspension that obtains a safety input regardless of the safety input of a predetermined safety component, and a manual suspension input from the manual suspension input unit after switching to the manual mode by the mode switching unit. When obtained, the predetermined safety component is Characterized in that it comprises a manual switching input unit for generating a safety input regardless safe state Te.
[0015]
Furthermore, the safety relay system according to claim 4 is the safety relay system according to any one of claims 2 to 3, wherein the manual switching input unit is OR-connected to the predetermined safety component. To do.
[0016]
Furthermore, the safety relay system according to claim 5 is the safety relay system according to any one of claims 1 to 4, wherein the safety component is a door switch that detects intrusion by detecting opening and closing of a door. It is characterized by that.
[0017]
According to a sixth aspect of the present invention, the safety relay control method determines whether or not the safety relay is safe based on an input state from one or more safety components. A method of controlling a safety relay for stopping directly or indirectly, the step of switching the operation of an externally connected device to a safety mode with higher safety than normal, and the safety of a predetermined safety component related to the externally connected device A step of functioning a manual suspension that obtains a safety input regardless of the state, a step of switching to a safety mode, a step of confirming that a manual suspension step has been performed, and a step of outputting a safety input instead of a predetermined safety component; It is characterized by providing.
[0018]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. However, the embodiment described below exemplifies a safety relay system and a safety relay control method for embodying the technical idea of the present invention, and the present invention is a safety relay system and a safety relay control method. Is not specified as below.
[0019]
Further, the present specification by no means specifies the members shown in the claims to the members of the embodiments. In particular, the dimensions, materials, shapes, relative arrangements, and the like of the component parts described in the embodiments are not intended to limit the scope of the present invention unless otherwise specified, and are merely explanations. It's just an example. Note that the size, positional relationship, and the like of the members shown in each drawing may be exaggerated for clarity of explanation. Furthermore, in the following description, the same name and symbol indicate the same or the same members, and detailed description thereof will be omitted as appropriate. Furthermore, each element constituting the present invention may be configured such that a plurality of elements are constituted by the same member and the plurality of elements are shared by one member, and conversely, the function of one member is constituted by a plurality of members. It can also be realized by sharing.
[0020]
In this specification, expressions such as “input side” and “output side” are used for explanation, and do not necessarily mean that only input and output functions are performed. For example, the input side terminal can handle the output, or the output side terminal can handle the input. In particular, when the communication function is not provided between the units and the recognition signal is transmitted only by the wiring pattern, the connection terminal performs both input and output functions according to the connection form.
[0021]
FIG. 3 shows a configuration example of a safety relay system according to an embodiment of the present invention. This figure shows the safety-related parts of the control system. In this example, as two safety components 1, a safety component switch 3 which is an emergency stop switch is connected to a safety relay system. Each of the emergency stop switches has a direct opening operation function (forced opening mechanism) and has double contacts, and each contact constitutes a safety circuit. The safety relay system determines safety based on the input state from the safety component, and confirms safety. If the safety cannot be confirmed, it is determined that it is not safe, and the operation of the dangerous part in the connected device is stopped. The stop can be stopped indirectly through a contactor or the like in addition to directly controlling and opening the relay to cut off and stopping the power supply. Alternatively, in addition to shutting off the power supply, a stop command may be sent to the connected device, and the device may be stopped while actively controlling the dangerous part based on the command. In the following example, the interruption of power supply by a relay will be described, but the present invention is not limited to this configuration, and it is possible to employ a connection device stopping means by another method. In the present specification, the “unsafe state” refers to a state in which a safety component operates normally and detects a person trying to enter a dangerous area, while the “abnormality” refers to a safety component or a safety relay device. Indicates the state of failure. The safety relay system includes a master unit 5 that includes a relay 4 as a safety relay device, and an input expansion unit 6 that does not include a relay.
[0022]
[Master unit 5]
The master unit 5 includes an input unit for connecting the safety component 1. Further, the master unit 5 has a built-in relay 4, and detects a state in which safety cannot be confirmed, such as an abnormality, and switches the relay 4 by a stop command to the connected device. As the relay 4, an electromagnetic relay, a solid state relay, an electromagnetic relay with a forced guide mechanism, or the like can be used as appropriate. The relay contacts are duplicated, and even if one of the relay contacts is welded, the other relay contact is opened, so that the connected device can be stopped reliably. The relay 4 controls energization of a connected device such as a motor via a contactor. Alternatively, it can be directly connected to a connected device without using a contactor. Similarly, the contactor can also be duplicated so that even if one contactor contact is welded, the connected device is stopped by opening the other contactor contact. In this case, even if one of the contactor contacts is still welded, the other contactor contact can be opened. Therefore, even if the start switch is turned on after the connected device is stopped, it cannot be restarted, and a back check function can be realized.
[0023]
The master unit 5 may be configured to omit the input unit for connecting the safety component and connect the safety component to the input expansion unit 6 side. Further, the master unit 5 may be configured not to incorporate a relay but to control an external relay.
[0024]
[Input expansion unit 6]
The input expansion unit 6 also includes an input unit for connecting safety components. Unlike the master unit 5, the input expansion unit 6 does not include a relay, so that the circuit can be easily configured and made inexpensive. A relay includes a mechanical operation part, requires a control circuit for driving, and requires a contact that can withstand a large amount of current and durability that can function even when repeatedly opened and closed, and is generally complicated and expensive. . For this reason, in the structure which provides the relay 4 for every unit which connects the safety component 1, cost also becomes high according to the number of inputs. On the other hand, in the configuration of FIG. 3 according to the embodiment of the present invention, the number of input expansion units 6 without relays can be increased, thereby simplifying the number of units to be expanded according to the number of inputs and reducing the cost. Can be. Further, in the input extension unit 6 that does not include a relay, since a large current that is energized to the relay does not flow, a wiring connection for a large current is unnecessary, and a signal line that is cheaper and easy to connect is sufficient. Moreover, since it can be a connector type, it can be connected easily and easily. Furthermore, the number of wirings is reduced, contributing to space saving.
[0025]
The safety component switch 3 of the safety component 1 connected to each unit is a normally closed (NC) contact. At normal times, each safety circuit is closed and energized, and the unit monitors this as safety information and closes the relay 4 to energize connected devices such as a motor. On the other hand, when the emergency stop switch is pressed in an emergency, the normally closed contacts of the two corresponding safety component switches 3 are broken and the safety circuit is opened, so the unit detects that the safety information has been lost, Open the relay 4 to cut off the power supply to the connected equipment. In this state, the connected device cannot be operated.
[0026]
In this safety relay system, when one of the safety component switches 3 of the safety component 1 connected to the master unit 5 or the input extension unit 6 is operated, the safety circuit cannot be confirmed because the corresponding safety circuit is opened. It can be detected. Moreover, since each safety circuit is independent, even if any safety component switch 3 is defective or faulty, it can be detected. The self-inspection of the safety component switch 3 by the master unit 5 is performed, for example, by sending a test signal every predetermined cycle to check opening / closing. With this configuration, the relay contact is doubled, the contactor contact back check function and the safety component switch self-inspection are realized, and a safety relay system capable of complying with safety standards such as category 4 based on EN 954-1 can be realized. In category 4, the design of a safety system for a single failure is “no safety function is lost due to a single failure, and a single failure is detected at or before the next request of the safety system. If this is impossible, it is required that the safety function is not lost due to the accumulation of failures.
[0027]
Further, the safety component is not limited to the emergency stop switch, and various members such as various sensors for confirming a specific operation that should ensure the safety of the operator can be used. For example, limit switches that detect the opening and closing of safety doors that are provided to enter and exit the work area and the fence that separates the work area, and light curtains and areas that optically detect that the worker has approached the equipment Sensors can be used. When safety is confirmed by these safety components, the safety input is output to the master unit, and when the master unit is confirmed to be safe by all safety components, that is, when all safety inputs are turned ON, the safety output is output. Turn on to allow device operation.
[0028]
[Addition of input extension unit 6]
FIG. 3 shows an example in which two safety components are connected. To add three safety components by adding additional safety components, the input extension unit 6B is added to the input extension unit 6A as shown in FIG. To do. The input expansion unit 6B can be the same as the input expansion unit 6A described above. The operation of the safety component switch 3 of the safety component 1 connected to the input extension unit 6B is the same as described above, and the relay 4 of the master unit 5 is operated by the operation of the emergency stop switch or the like. This makes it possible to easily add safety components by adding the input extension unit 6 without redesigning the system or reconfiguring the circuit. Further, since the outputs of the input extension units 6 can be collected by the master unit 5, wiring between the units can be simplified, and this also contributes to wiring saving.
[0029]
[connector]
Connectors are used for connections between units. The connector electrically connects a plurality of connection terminals. The input extension unit 6 includes an input side terminal group and an output side terminal group. The input side terminal group is the other input extension unit 6 and the input end unit 12, and the output side terminal group is the other input extension unit 6 and Connect to the master unit 5 respectively. As an example, a state in which the input expansion unit 6 is connected to the master unit 5 is shown in FIG. In FIG. 5, the connectors 7 are inserted into each other, and the units are connected to each other by being hooked. As described above, since the input extension unit 6 does not include a relay, wiring for a large current flowing through the relay becomes unnecessary, and a simple connector type connection is sufficient. Each unit is provided with a connector 7 for connection at substantially the center of the side surface, and each connector 7 is located at a corresponding position so that one is a male mold 7A and the other is a female mold 7B. Be placed. Further, on the joint surface of the unit, there are a pair of locking hooks 8 on both sides near the end of one surface, and a locking groove 9 for locking the hook at the position of the opposing surface corresponding to the hook. Provided. The master unit 5 is provided with these connectors 7, hooks 8 or locking grooves 9 only on one surface where the input expansion unit 6 is joined. However, the input expansion unit 6 has these connectors 7 on both sides so that the units can be connected to both sides. And a hook 8 are provided. This figure shows an example of connection between the master unit 5 and the input extension unit 6, but connection between the input extension units 6 and between the input extension unit 6 and the input end unit 12 can be realized in the same manner.
[0030]
The connector is configured such that the input side terminal group and the output side terminal group are individually configured so that the connectors of the input side terminal group and the output side terminal group are directly engaged between the units. And an output side terminal group. For example, in FIG. 6, each unit is mounted on the connection board 10. In the example of FIG. 6, a male connector in which an input terminal group and an output terminal group are integrated is provided on one surface of each unit, and a female connector 7C that can be engaged with the male connector is provided on the connection board 10. Is provided. A plurality of female connectors 7C are provided on the connection board 10 at regular intervals, and the intervals of the female connectors 7C are set so that the units are arranged in a substantially straight line with each unit mounted.
[0031]
The male type and female type of these male and female connectors may be reversed with the unit and board, and the shape of the connector includes a type in which a plurality of pins are arranged, a type in which contacts are arranged on the surface in a bellows shape, etc. It can be used as appropriate. Further, the position of the connector is not limited to the substantially center, and can be set to a desired position such as an eccentric position or an end portion. Further, a locking member such as a hook may be provided on the connector itself so that both electrical connection and mechanical connection can be used. Or connection between units can also be made into the form which connects via the connector, code | cord | chord, etc. of another member other than the system which directly engages the connectors provided in the unit.
[0032]
[Addition of output side]
In the above, the structure which adds the input side of a safety relay system was demonstrated. Next, the structure which adds the output side of a safety relay system is demonstrated. In a safety relay system, you may want to add an output side. When it is desired to increase the number of devices to be stopped when an unsafe state or abnormality is detected, it is necessary to add a relay or the like for cutting off the power supply to the devices to the output side of the master unit. Therefore, the output extension unit 16 is connected to the master unit. As described above, the input extension unit 6 is connected to the safety component, and obtains the safety input from the safety component. On the other hand, the output extension unit 16 is connected to a safety relay output unit 58, and opens and closes the relay based on a stop signal as a safety output.
[0033]
[Status safety confirmation information]
Furthermore, the output extension unit 16 continues to detect the safety confirmation information for each unit and sends it to the master unit side, and the master unit side constantly monitors the safety confirmation information of each output extension unit 16 so that the safety relay Can continue to operate safely. That is, control is performed so that the connected device is operated in a state where safety can be confirmed, and the operation is stopped when safety cannot be confirmed. The information for safety confirmation is preferably a dynamic signal. The output extension unit 16 sends status safety confirmation information to the master unit as information for safety confirmation. The status safety confirmation information is a signal for confirming that the operation of the unit is normal by the self-diagnosis circuit built in the output expansion unit 16 or that there is no abnormality or failure, such as error information of the output expansion unit 16 itself. Can also be included. This confirmation is performed irrespective of ON / OFF of the stop signal. The output extension unit 16 includes a safety confirmation information output unit (not shown) that outputs various safety confirmation information for safety confirmation including status safety confirmation information.
[0034]
[Safety information line 42]
FIG. 7 is a block diagram showing a connection state of the safety relay system according to the embodiment of the present invention. The safety relay system shown in this figure includes a master unit 5 having a power supply unit 30 connected to one side, a plurality of input extension units 6 and output extension units 16 connected to the other side of the master unit 5, and an end face thereof. And an end unit 12. In the example shown in the figure, the power supply unit 30 is connected to the master unit 5, the input extension units 6 and the output extension units 16 are alternately connected two by two, and the end unit 12 is connected to the end face. Each unit is connected in series so as to be adjacent to each other via a connector. The safety information line 42 for transmitting the safety input is composed of a safety input line 43 and a safety output line 44. A safety control unit 45 of the input extension unit 6 is connected to the safety input line 43, and a safety control unit 46 of the output extension unit 16 is connected to the safety output line 44.
[0035]
[Safety input line 43]
The safety input line 43 is a line for transmitting a safety input that is a safety circuit signal of the input system, and is duplexed to have two systems of signals in order to improve safety. The safety input signal is an input system safety controller signal. The safety input line 43 includes a through line that is straight-through connected from the master unit 5 to the end unit 12 through each unit, and a return line that returns from the end unit 12. In the figure, the safety input line 43 is serially connected to the master unit safety control unit 47A of the master unit 5, and the return line of the safety input line 43 connects the safety control units 46 of the input expansion unit 6 to each other. On the other hand, the output expansion unit 16 is through. As a result, the input extension unit 6 operates by recognizing signals from the input extension unit 6 and the end unit 12 connected by the safety input line 43. That is, based on the safety input transmitted from the previous stage or the signal from the end unit 12 and the safety input indicating the safety state of the safety component connected to itself, a new safety input is set and transmitted to the next stage. For example, when the safety product connected to all the input expansion units 6 is confirmed to be safe by setting the logical product (AND) of the safety input of the previous stage and its own safety input as a new safety input, the master unit 5 Thus, a safety input is obtained, and based on this, the safety output can be turned ON. By adopting a configuration in which safety information is sequentially checked for each unit, the number of buses can be reduced, and the safety control units 45 and 46 can be simplified. Further, the number of connectable units is not limited by the number of buses, and a large number of units can be added.
[0036]
However, although not shown, the safety input line may be a parallel line, and the units may be shift-connected. For example, while connecting straight from the master unit to the end unit, the return line is shifted one by one for each input expansion unit, so that the number of input expansion units connected is shifted and the signal is sent to the master unit. Is returned, it is possible to detect the number of connected input extension units by checking the terminal number where the safety input is detected on the master unit side. In addition, it is possible to detect which safety component cannot obtain the safety confirmation by similarly transmitting the output of the safety component connected to each input expansion unit to the master unit while shifting the output.
[0037]
[Safety output line 44]
The safety output line 44 is a line for transmitting a safety output, which is a monitor circuit signal of the output system, and is duplexed so as to have two systems of signals similarly to the safety input line 43. The safety output line 44 also includes a through line that is straight-through connected from the master unit 5 to the end unit 12, and a return line that returns from the end unit 12, and is connected by a serial line. In the figure, the safety output line 44 is serially connected to the master unit safety control unit 47B of the master unit 5, and the return line of the safety output line 44 connects the safety control units 46 of the output extension unit 16 to each other. On the other hand, the input expansion unit 6 is through. As a result, the output extension unit 16 operates by recognizing safety confirmation information from the output extension unit 16 and the end unit 12 connected by the safety output line 44. That is, based on the safety output transmitted from the previous stage or the signal from the end unit 12 and the safety confirmation information of the output extension unit 16 of itself, a new safety output is obtained, and the safety control unit 46 of the output extension unit 16 of the next stage. Output to. As a result, it is confirmed that the output expansion unit 16 in the previous stage is operating normally, and the fact that it is operating normally is transmitted to the output expansion unit 16 or the master unit 5 in the next stage.
[0038]
The safety information line 42 is indicated by a solid arrow in FIG. In addition to the safety information line 42, the circuit shown in FIG. 7 includes an FSD output line 48 indicated by a one-dot chain line and a synchronization signal line 49 indicated by a two-dot chain line in addition to the safety information line 42. The FSD (Final Switching Device) 50 is an output from a safety sensor such as a light curtain (OSSD: Output Signal Switching Device) and a device that directly stops an external connection device (MPCE: between the Machine Primary Control) and the equipment. Be placed. The master unit 5 outputs a stop signal from each output expansion unit 16 to the MPCE via the FSD output line 48 in accordance with the output state of the OSSD based on the safety input collected through the input expansion unit 6 and the like. The output extension unit 16 controls the FSD output based on the stop signal. The input extension unit 6 can also be monitored via the FSD output line 48. Two FSD output lines 48 are also prepared for safety.
[0039]
The synchronization signal unit 51 transmits a synchronization signal for synchronizing the serially transferred signal from the master unit 5 to each unit via the synchronization signal line 49. The timing for operating the device is determined by the synchronization signal. The FSD output line 48 and the synchronization signal line 49 do not have a return line like the safety information line 42, and send a stop signal and a synchronization signal from the master unit 5 to the end unit 12, respectively.
[0040]
With the above-described configuration, the connectors connected between the units can be shared and the number of pins can be reduced. In the example of FIG. 7, the input extension unit 6 and the output extension unit 16 are alternately connected between the master unit 5 and the end unit 12. However, the present invention is not limited to this example, and the input extension unit 6 and the output extension unit 16 are Any connection between the master unit 5 and the end unit 12 is possible. For example, in the configuration where the master unit has an input connector and an output connector, the input extension unit is connected to the input connector, the output extension unit is connected to the output connector, and the end unit is connected to each end face. Limited by connection status and placement. Since the number of units varies depending on the number of safety components and externally connected devices, it may not be possible to arrange them properly depending on the arrangement space. According to the above-described embodiment of the present invention, the input extension unit 6 and the output extension unit 16 can be mixed on the same line, so that restrictions on arrangement are reduced and a flexible layout is possible. Furthermore, the flexibility of the layout enables efficient use of space and can contribute to the miniaturization of the system.
[0041]
[Non-safety information line 52]
On the other hand, the circuit shown in FIG. 7 includes a non-safety information line 52 for sending non-safety information related to non-safety information in addition to the safety information line 42. The non-safety information line 52 is indicated by a chain line in FIG. The non-safety information line 52 is an information system signal line of the safety relay system, and for example, a communication line of RS485 can be used.
[0042]
[Non-safety information]
Non-safety information includes, for example, ON / OFF information of safety components connected to the master unit 5 and the input expansion unit 6, error status and error information of each unit, output information of the master unit 5 and output expansion unit 16, and output expansion Information on the actual output status regarding the setting of OFF delay etc. of the unit 16, information on the actual input status in the manual mode / maintenance mode / muted status of each input expansion unit 6 in the disabled state of the safety component, etc. There is setting information of each unit such as information, ID information related to a unit ID number assigned to each unit, status information, and the like. Status information includes stop signal ON / OFF and unit error information. The non-safety information is information related to the safety information, but is referred to as non-safety information in the present specification, which means that the information does not correspond to the safety information requiring a special specification in the standard. Therefore, the non-safety information can include information related to the safety information and the safety information itself regardless of the name. However, non-safety information cannot be included in safety information.
[0043]
As a method for assigning an ID number to a unit, a known method or a method developed in the future can be used. For example, a signal line for adding an ID is added, ID numbers are assigned to the units in the order of connection from the signal line, the ID number is transmitted to the next stage unit, and an increased ID number is given. A method of increasing the ID number every time the unit passes through to the next unit can be used.
[0044]
The non-safety information line 52 is provided separately from the safety information line 42 that handles safety information, and separates the safety information from the non-safety information. Even if safety information is fed back to non-safety information, non-safety information is not fed back to safety information. This ensures that safety information is completely separated and treated independently without being affected by non-safety information. In other words, even if some abnormality occurs in the circuit that handles non-safety information, the safety of the system is maintained without affecting the circuit that handles safety information. As a result, the safety standards defined in IEC 61508-2 7.4.2.3, etc. can be cleared only for circuits that handle safety information by adding necessary duplication and self-checking functions, etc. Since the non-safety circuit that handles the need not have these specifications, the non-safety circuit can be configured relatively simply. Furthermore, in the configuration that handles safety information and non-safety information at the same time, strict specifications are required as long as safety information is handled, but by separating safety information and non-safety information, only a circuit that handles safety information is required. Since it is sufficient to meet the specifications, the system configuration can be simplified. This can flexibly cope with a change in the design of the system, and the design can be facilitated without the need for redesign of the safety system circuit. In addition, by adding non-safety information, it is possible to improve usability in system operation, such as facilitating recovery when trouble occurs. For example, it is possible to identify a location where safety cannot be confirmed or a location where a trouble has occurred, display the contents of an abnormality, and guide a procedure for recovery.
[0045]
In the relay unit used in the conventional safety relay system, only the ON / OFF information of the device is output as safety information due to the restriction of the specification to meet the safety standard. In other words, it was only possible to determine whether or not safety could be confirmed as a whole, and it was not possible to confirm the input state of individual safety components. In this case, even if safety can be ensured, it has not been possible to identify a place where safety cannot be confirmed and to detect the cause. For this reason, there is a problem that the cause cannot be automatically identified and the system recovery operation is extremely difficult. If the input status of each safety component cannot be determined when a problem occurs, the cause cannot be identified and the system cannot be restored. Also, considering the maintenance and maintenance of the system, it is desirable to check the status of each safety component. By monitoring this information, maintenance and maintenance can be performed efficiently and time can be reduced. Therefore, by separating the safety information and the non-safety information, the non-safety information can be configured without using a complicated circuit. In general, a system including a machine, a robot, and the like includes a plurality of safety components such as an emergency stop button, a safety door, and a light curtain. By monitoring the input state of each safety component as non-safety information, when the system is in a state where the safety cannot be confirmed, information specifying which safety component cannot confirm the safety is output. For example, the non-safety control unit 54 notifies the master unit 5 of the status of each unit, such as ON / OFF information of safety components connected to each input extension unit 6 and the like, unit error information, and the like. The master unit 5 collects non-safety information in the master unit non-safety control unit 53 and outputs it to the outside from the non-safety information interface 55. This signal can be input and displayed on an external PLC or the like, and can be used for recovery in the event of a trouble. The non-safety information is not directly related to the safety / non-safety determination, that is, the safety ensuring, but rather is useful information regarding the system restoration, and this information can be used for quick recovery.
[0046]
[Common line]
Further, the safety information line 42 may be a common line as shown in FIG. 8 in addition to the configuration in which the safety input line 43 and the safety output line 44 are distinguished as shown in FIG. Thus, the input system safety control unit signal and the output system monitor circuit signal can be handled on the same bus. The safety information line 42 that is shared between the safety input and the safety output includes a through line that is connected straight from the master unit 5 to the end unit 12 and a return line that returns from the end unit 12. In the example of FIG. 8, the safety information line 42 is connected from the master unit safety control unit 47 of the master unit 5 to the end unit 12 through a through line, and is inverted by the end unit 12 and is added to the output extension unit 16 and the input extension on the return line. The safety control units 45 of the unit 6 are connected to each other, and the safety control unit 45 and the master unit safety control unit 47 of the master unit 5 exchange safety information.
[0047]
The input extension unit 6 and the output extension unit 16 operate by recognizing a signal from a unit connected to the previous stage on the return line or the end unit 12. The input expansion unit 6 uses the safety input from the safety component connected to its own input expansion unit 6 and the safety input transmitted from the previous stage as a safety input by the safety control unit 45, and sequentially enters the input expansion unit 6 in the next stage. It is sent out and transmitted to the master unit 5. The output expansion unit 16 generates safety confirmation information based on the safety confirmation information for confirming the normal state of the output expansion unit 16 and the safety confirmation information of the output expansion unit 16 connected to the previous stage on the return line. Then, it is transmitted to the output expansion unit 16 in the next stage. The safety control unit 46 of the output expansion unit 16 extracts the safety confirmation information transmitted from the previous output expansion unit 16 or the end unit 12 from the signal transmitted on the return line, and further transmits the safety confirmation information. . In other words, the safety input regarding the input expansion unit 6 is passed. On the other hand, the safety control unit 45 of the input expansion unit 6 extracts the safety input signal transmitted from the preceding input expansion unit 6 or the end unit 12 and transmits the safety input to the next input expansion unit 6. In this way, in the safety information line 42 that is common to the safety input and the safety output, the necessary signals are selected by the respective safety control units 45 and 46, and unnecessary signals are transmitted as they are. Various signals can be mixed on the line. In FIG. 8, the same safety input and safety confirmation information as those shown in FIG.
[0048]
In the above configuration, the non-safety information of each unit is sequentially transmitted via the non-safety information line 52 and finally reaches the master unit 5. The master unit 5 that has received the non-safety information includes a non-safety information output unit 56 that performs display and output to the outside based on the non-safety information. The non-safety information output unit 56 can use a monitor that displays the non-safety information as it is or after being processed and an interface that outputs the information to the outside. For example, the safety status of each safety component is displayed on the monitor, the occurrence of an error or ON / OFF of an externally connected device is displayed, the location where safety cannot be confirmed is blinked, or the information is displayed on a device such as a PLC. Is sent out. In the example of FIG. 9, the non-safety information output unit 56 includes a non-safety information display unit 57 for monitor display and a non-safety information interface 55 such as an external input / output terminal. However, the non-safety information output unit 56 is not limited to the example provided in the master unit 5, but can be provided on the unit side instead of or in addition to this. By providing a plurality of non-safety information output units, the non-safety information output units can also exchange non-safety information with each other. When the non-safety information output unit is provided on the unit side, the non-safety information output unit of this unit can use the non-safety information, so that a bus for transmitting the non-safety information to other units and the master unit can be eliminated.
[0049]
Next, handling of non-safety information separated from safety information will be described based on FIG. In FIG. 9, the configuration of the safety information line 42 that is common to the safety input and the safety output described in FIG. 8 is adopted, and the master unit 5, the output extension unit 16, and the input extension unit 6 are connected. The connection part is shown. In this example, the master unit 5 also connects the safety component 1 and the safety relay output unit 58 to the master unit safety control unit 47. The master unit 5 functions as an input extension unit 6 and an output extension unit 16. However, it goes without saying that either or both of these members may not be provided in the master unit.
[0050]
The safety information is passed through the safety information line 42 indicated by the solid line arrow in FIG. 9 from the master unit safety control unit 47 of the master unit 5 to the end unit (not shown in FIG. 9) by a through line (dotted line in FIG. 9). Sent out. The safety information line 42 becomes a reverse return line at the end unit, and is returned from the end unit to the master unit safety control unit 47 through the safety control unit 45 of each unit. At this time, the safety input is acquired from the safety component connected to the safety control unit 45 of the input expansion unit 6. Each safety control unit 45 generates a new safety input based on the safety input sent from the previous stage unit and the safety input of the safety component connected to itself, and sends it to the input expansion unit 6 on the next stage. In this way, the safety input is sequentially sent from the master unit 5 to the input extension unit 6 through the safety information line 42 and finally returned to the master unit safety control unit 47. For example, if a safety input is not obtained by any safety component by taking the AND of all safety inputs, that is, if safety cannot be confirmed, the safety output is not turned on and the relay is opened and a predetermined external Stop the operation of the connected device.
[0051]
On the other hand, the safety information line 42 also handles safety output, and specifically opens and closes a relay that controls the operation of the externally connected device by the safety relay output unit 58. The safety relay output unit 58 opens and closes the safety relay directly or via a contactor. The safety relay output unit 58 incorporates or connects such a relay or contactor. The master unit safety control unit 47 of the master unit 5 outputs a safety output based on the safety input, and sends the safety output to the safety relay output unit 58 in order to turn on / off the operation of each externally connected device. Each output expansion unit 16 has a safety relay output unit 58 connected to the safety control unit 46.
[0052]
FIG. 10 shows a state in which the safety control units 45 and 46 are configured by AND circuits as an example for realizing the configuration of FIG. The safety control units 45 and 46 shown in this figure send the AND of the signal sent from the previous unit via the safety information line 42 and the signal of the unit itself as a new output to the next stage. For example, the input expansion unit 6 sends the AND of the output of its own safety component 1 and the output from the previous input expansion unit as a new safety input to the next stage. As a result, if any one of the safety components 1 connected to the input extension unit cannot confirm safety, a safety input is not obtained, and the operation of the corresponding externally connected device is stopped by turning off the safety output. Further, the output expansion unit 16 can take any one of the output expansion units by taking an AND of the safety confirmation information output unit 23 for confirming the safety state of its own unit by the safety control unit 46 and the output of the previous output expansion unit. If the safety confirmation cannot be obtained, the safety output is similarly turned off to stop the operation of the corresponding externally connected device. For example, by taking an AND of the error signal of the output expansion unit in the previous stage and its own error signal, a safety output cannot be obtained unless normal operation is confirmed in all the output expansion units 16, thereby ensuring safety.
[0053]
For the safety information as described above, non-safety information, which is more detailed information about the safety information, is transmitted separately from the safety information. In the example of FIG. 9, non-safety information is transmitted through a safety information line 42 and a non-safety information line 52 that is a separate signal line. The non-safety information line 52 is connected from the master unit non-safety control unit 53 of the master unit 5 to the end unit, and the non-safety control unit 54 of the input extension unit 6 and the output extension unit 16 is connected to this line so that communication is possible. ing. Each non-safety control unit 54 includes a non-safety information display unit 57 and a non-safety information interface 55 as a non-safety information output unit 56. The non-safety information display unit 57 displays the non-safety information to visually notify the user of detailed information related to the safety information. The display method can be appropriately combined with text, images, moving images, and sound. As a result, when a situation where safety cannot be confirmed occurs, the location and cause can be displayed and notified to the user.
[0054]
The non-safety information interface 55 is an I / O related to non-safety information. The non-safety information interface 55 outputs non-safety information to an external device, obtains necessary information and calculation results from the external device, and is further processed and refined. It is also possible to acquire safety information and display it on the non-safety information display unit 57, or send it to the non-safety control unit 54 to send data to other units. In the example of FIG. 9, the master unit 5, the input extension unit 6, and the output extension unit 16 all include the non-safety information display unit 57 and the non-safety information interface 55. However, a unit including only one of them or a unit including another non-safety information output unit may be mixed.
[0055]
The non-safety control unit 54 obtains safety information from the safety control units 45 and 46, monitors the safety state, and causes the non-safety information display unit 57 to display the safety information itself. However, the information obtained by the non-safety control unit 54 is not sent to the safety control units 45 and 46. This ensures that safety information is not affected by non-safety information. In other words, even if a problem occurs in a circuit related to non-safety information, the safety circuit is not affected by this, and the reliability of the safety system is maintained. For this reason, a circuit related to non-safety information that is more detailed than mere safety information can be added to the safety relay system while conforming to the specifications required for the safety system, and safety information can be added to the added non-safety system circuit. Therefore, it is not necessary to satisfy the specifications required for the safety circuit. For this reason, a relatively free design is possible, and a safety system capable of performing advanced information display and the like can be realized. In addition, since the design of the additional circuit is independent of the safety circuit, there is an advantage that the design can be changed relatively easily.
[0056]
[Rating notation]
Moreover, the rating mark part can be provided in the side surface of an end unit. For example, a device that has received certification such as CE marking or EMC service may be required to have a predetermined mark such as a certification body mark or power consumption. In general, methods such as attaching a seal with a rating mark to the case of the apparatus, printing, marking, etc. are employed. However, according to such a standard, it is required to provide a mark of a predetermined size in a portion that can be seen by a user outside the apparatus, and it is difficult to reduce the size of the apparatus by securing the mark space and its position. There is. Therefore, in the above safety relay system, a required marking can be made using this space by providing a rating marking on the side surface of the end unit. In particular, since the end unit is always connected to the end face, it is added like the unit connected in the middle and the face is not hidden, and an empty space is obtained on the face opposite to the connecting face. Therefore, by using this space for marking, the necessary marking can be achieved without sacrificing the space of other units. In the configuration in which a plurality of units are connected, the end unit fixed to the end face forms a part of the device, so that the device can be in a state of being directly displayed, and the marking duty can be fulfilled. This configuration eliminates the need for rating notation on other units, so that the space for rating notation of each unit can be reduced, contributing to downsizing of the unit. Even when the functions of the end unit are built into the input extension unit or output extension unit, the rating mark can be provided on the side of the end unit built-in type extension unit.
[0057]
[Safety condition]
Next, FIG. 11 shows an example of a system corresponding to manual suspension of safety functions suitable for system maintenance, maintenance, robot teaching, and the like. The safety relay system shown in this figure includes a manual switching input unit 60 in parallel with the safety component 1X in the safety control unit 45X of the extension input unit 6X. The manual switching input unit 60 connects a mode switching unit 61 and a manual suspension input unit 62.
[0058]
[Mode switching unit 61]
The mode switching unit 61 is a switch for switching the operation of the externally connected device between the normal mode and the manual mode. The manual mode is an operation mode to which restrictions such as slowing down the operation speed of the robot or limiting the contents of the operation are added compared to the normal operation, and switching to this mode ensures the safety of the operator. At the start of maintenance work or the like, the operator operates the mode switching unit 61 to switch the operation mode to the manual mode and sets the safety condition state.
[0059]
[Manual suspension input unit 62]
The manual suspension input unit 62 is a member for instructing the start of a manual suspension (manual suspension of the safety function) that invalidates the related safety component 1X when the mode switching unit 61 is in the manual mode. When the manual suspension is instructed to the safety relay system, the corresponding safety component 1X is invalidated, so that the robot as an externally connected device can be operated regardless of the safety input of the safety component. For example, as shown in FIG. 13, the manual suspension input unit 62 is provided as a switch in the extension input unit 6X.
[0060]
[Manual switching input unit 60]
The manual switching input unit 60 is an input to the mode switching unit 61 and the manual suspension input unit 62 as one form of a manual suspension operation confirmation unit that confirms whether or not a predetermined condition for causing the manual suspension to function is provided. Based on this, the safety component 1X is invalidated. Specifically, when it is confirmed that the manual suspension is input from the manual suspension input unit 62 in the state where the mode switching unit 61 is switched to the manual mode, the safety input is performed regardless of the safety component 1X. Output. Conversely, if the above order cannot be confirmed, the manual suspension will not function. For example, even if the mode switching unit 61 is switched to the manual mode after the manual suspension input unit 62 is operated first, the manual switching input unit 60 does not function. The manual switching input unit 60 determines that the manual suspension is correctly requested by confirming that the manual suspension is operated by following a predetermined procedure, and does not permit the manual suspension if the procedure is not followed. The operation of the manual switching input unit 60 is configured to monitor the operations of the mode switching unit 61 and the manual suspension input unit 62 and automatically output a safety input to the safety control unit 45X at the same time as the manual suspension input unit 62 is turned on. When the operator manually operates an operation button or the like of the manual switching input unit 60, a safety input may be output. As a result, even if the operator mistakenly operates the manual suspension input unit 62 or the manual switching input unit 60, it is determined as a malfunction, the manual suspension does not work, and the safety component 1X is not invalidated. Is secured. Further, the manual switching input unit 60 can issue a command to stop the system by determining that there is an abnormality when the manual suspension input unit 62 is operated without following a predetermined procedure. Furthermore, it is possible to set other conditions for operating the manual suspension. For example, another button is provided to turn on when three or more steps are performed, or the mode switching unit 61 is operated. Then, it is possible to set a condition that the manual suspension function cannot be turned on unless the manual suspension input unit 62 is operated within a predetermined time.
[0061]
As a specific configuration, for example, as shown in FIG. 11, the manual switching input unit 60 and the safety component 1X are input to the OR circuit in parallel, and an ON signal is input from the manual switching input unit 60, thereby the safety control unit 45X. Can obtain a safety input, and even if safety cannot be confirmed by the safety component 1X, the safety input can be obtained, so that an externally connected device such as a robot can continue to operate. In the example of FIG. 11, the manual switching input unit 60 is separated from the safety control unit 45X, but the safety control unit may have the function of the manual switching input unit.
[0062]
Next, a procedure for disabling the safety component 1X of the door switch so that the worker enters the robot work area for maintenance work or the like will be described based on the timing chart of FIG. First, it is assumed that the safety input of the safety component 1X is ON and a safety output is obtained. At this time, it is assumed that all other safety components 1 are ON. In this state, when the mode switching unit 61 is operated in (1) to switch to the manual mode, the robot is switched from the automatic mode shown in the section (A) to the operation in the manual mode (B), which exceeds a predetermined speed. The safety condition does not work with. Next, when the manual suspension input unit 62 is operated and turned ON in (2), the robot side is instructed to shift to the manual suspension. As a result, in (3), the manual switching input unit 60 can determine that the manual suspension is correctly requested and output an ON signal. When the manual suspension function is activated by the manual switching input unit 60, the safety component 1X of the door switch is disabled, and the safety output is ON even if the operator opens the safety door and enters the robot work area in (4). Maintained. After the maintenance work is completed, the operator closes the safety door and turns off the manual switching input unit 60 and / or the manual suspension input unit 62 to release the manual suspension. Thereafter, when the mode switching unit 61 is returned to the automatic mode in (5), the robot operates in the automatic mode as shown in the section (C). For example, the operation stops when the safety component 1X is turned off in (6). .
[0063]
Also in the above procedure, when a situation in which safety cannot be confirmed by another safety component 1 occurs, the safety output is immediately turned off regardless of the safety component 1X and the safety relay is opened, and the corresponding external Operation of the connected device is stopped. For example, when an emergency stop button is pressed, a stop signal is output regardless of the manual suspension, thus ensuring safety.
[0064]
The above sequence is shown in Table 1 as the logic of the safety control unit 45X. In this table, for example, a door switch can be used for the safety component 1X corresponding to the input A. In Table 1, it is displayed as ◯ when the door switch is ON and as X when it is OFF. Similarly, the mode switching unit 61 corresponding to the input B, for example, sets the normal mode to x and the safety mode to ○ when switching between the normal mode and the safety mode, or sets the automatic mode to x and manual in the example of switching between the automatic mode and the manual mode. The mode is displayed as ○. Further, in the manual suspension input portion corresponding to the input C, for example, the teaching pendant 38 can be used. The teaching pendant 38 is an operation tool for teaching a robot to operate. Furthermore, the output D is displayed as “O” when the safety input from the preceding extension input unit (not shown in FIG. 11) is ON, and “X” when OFF. On the other hand, the output is displayed as ◯ when the safety output of the extension input unit 6X is ON, and as X when it is OFF or locked out. In the table, “-” means that the output is the same for any logic. Further, even when the output is ON in Table 1, if the output is out of sequence, the output can be turned OFF or locked out.
[0065]
[Table 1]
Figure 2005025479
[0066]
The sequence of Table 1 will be described in comparison with FIG. 12. In FIG. 12 (1), the inputs A, B, and C are o, x, and x, respectively, and the output is ○ In (2) of FIG. 12, the input B is ◯, and similarly the state 1 of Table 1 is given, so the output is ◯. Here, when the input B changes from ○ to ×, the output is OFF or locked out. In (3), the input C is ◯. Here, when the input C changes from ○ to ×, the output is OFF or locked out. In (4), the input A is x. Here, when the input C becomes ◯ → × → ◯, the output is turned OFF or locked out. In (5), the input C is x. In (6), the input B is x.
[0067]
The operation switches such as the mode switching unit 61, the manual suspension input unit 62, and the manual switching input unit 60 are not a simple push button type in order to prevent malfunctions. For example, a request for inputting a predetermined password or a two-way switch is used. In addition, it is desirable that the operation be performed only when the operator operates with will.
[0068]
FIG. 13 shows an example of the appearance of the extension input unit 6X having a manual suspension function. The extension input unit 6X shown in this figure includes a normal input unit 33 for connecting a normal safety component and a manual suspension input unit 32 for connecting a specific safety component to be subjected to a manual suspension function. The manual suspension display 34 for displaying the operation state of the manual suspension function includes a manual suspension lamp that lights up when the manual suspension function is ON. The manual suspension display unit 34 may be provided in the extension input unit 6X, or a lamp may be provided in the vicinity of the work area so that a person near the work area can easily check. Further, the manual suspension input unit 62 and the manual switching input unit 60 can be provided at a place away from the main body of the extension input unit 6X. For example, an operator can provide an operation button on a handheld controller.
[0069]
[Enable switch]
The enable switch is provided in a grip portion of the teaching pendant 38 for setting various operations of the industrial robot. The enable switch is a three-position switch based on ergonomic research. In other words, when the operator of the button is faced with an emergency, it is constructed based on ergonomic research results that either release the button or hold it strongly. For this reason, the three-position switch has three states during one stroke. The switch is turned off when the operator releases the button, turned on when lightly pressed, and turned off when pressed hard. With this configuration, at the time of teaching work of the robot, the enable switch is turned on only when the teaching operator gently grips the grip portion of the teaching pendant 38, and the teaching work can be performed by operating the robot. If the operator feels abnormal and releases the pendant or squeezes it strongly, the enable switch is turned off and the enable function is canceled. As a result, for example, when the safety component safety input that detects the opening of the safety door for the operator to access the robot work area is OFF, the safety output is switched OFF and the robot is stopped. Safety is ensured.
[0070]
[Teaching pendant 38]
The teaching pendant 38 is a man-machine interface device used to teach the operation at the time of starting up or maintaining the work robot. Teaching is an operation that teaches the robot to move. In general, teaching is to operate the robot in a manual mode (manual mode or teaching mode) that operates at a low speed below a certain speed, not in the automatic operation mode during normal operation. To input data related to the operation. Specifically, a movable part such as a working arm of the robot is moved to a desired position, and the position coordinates and the like are stored in the robot. The teaching worker performs teaching work with the teaching pendant 38. The teaching pendant 38 includes operation units such as a switch, a numeric keypad, and a jog dial for moving a robot arm, inputting numerical values, and storing coordinates in the robot. During the teaching work, the teaching worker carries the teaching pendant 38 in the vicinity of the working robot.
[0071]
As described above, for example, the robot 37 can be used as the external connection device, and a door switch or the like can be used as the safety component 1X. The mode switching unit 61 inputs a signal indicating whether the robot 37 operates in an automatic mode or a manual mode. Further, the manual suspension input unit 62 inputs a signal with an enable switch of a 3-position switch. The operation of the safety relay system with this configuration will be specifically described.
[0072]
In order to make the manual suspension function normally, the robot 37 is first switched from the automatic mode to the manual mode, and then the operator holds the teaching pendant 38 to turn on the three-state enable switch of the grip portion. Since the manual suspension functions normally by continuing to hold in this state, the robot is not stopped by the safety relay system even if the door provided with the door switch which is the target safety component 1X is opened. Teaching of robot operation can be performed.
[0073]
Here, when teaching is performed, it is conceivable that the door to be subject to manual suspension is (A) teaching in an open state and (B) teaching in a closed state. If the door is open, the enable switch is turned off by releasing or grasping the grip of the teaching pendant 38, the manual suspension state is released, and the robot detects the opening of the door based on the door switch signal. Since it is stopped by the safety relay system, it operates on the safe side.
[0074]
On the other hand, if teaching is performed with the door closed, the robot continues to operate even if the enable switch is turned OFF for some reason and the manual suspension state is released. When returned, the robot operates in the automatic mode while the worker remains in the dangerous area. This is not limited to teaching when the door is closed. Even when the door is opened and teaching is performed, the same situation can occur if the door is closed for some reason. Since these are the same sequence as the procedure for normally releasing the manual suspension state, they cannot be locked out.
[0075]
Therefore, as an example to solve this, a time element can be introduced into the additional input unit 6X. Specifically, the manual suspension state can be normally released when the enable switch of the teaching pendant 38 is turned off within a predetermined time, for example, within 3 seconds after the door is closed, and the enable switch is exceeded after the predetermined time is exceeded. If is turned OFF, it is regarded as abnormal and is configured to be locked out. Thereby, safety is ensured even when teaching is performed with the door closed or when the door is unintentionally closed during teaching.
[0076]
The temporal element can be used not only when closing the door but also when opening it. For example, if the door is opened within a predetermined time after the enable switch is turned on, the robot operates. If the door is opened after the predetermined time is exceeded, the robot is regarded as abnormal and is locked out.
[0077]
As another embodiment, when the door is closed, a safety component for detecting whether the door is closed from the inside, the outside, or the door is arbitrarily closed is installed on the door, and a signal from them is received. An input unit may be provided in the extension input unit 6X, and a determination unit that performs determination based on the signal may be provided. More specifically, in addition to a normal door switch, safety components are provided on the outer handle and the inner handle, respectively, on the target door, and these signals are input to the extension input unit 6X. It is determined from which side the door has been operated depending on which of the safety components from the inside or outside is ON when the door switch is turned on / off. If both are ON or both OFF, it is regarded as abnormal and locked out. With this configuration, when the door is closed from the inside, there are still people in the danger area, so when the enable switch of the teaching pendant 38 is turned off, it is regarded as abnormal and the lockout is made. On the other hand, if the door is closed from the outside, it can be considered that the door has gone out of the danger area. Therefore, the manual suspension state can be normally released by turning off the enable switch of the teaching pendant 38. Even when the door is closed unintentionally, the signal from the inner and outer safety components is OFF, so that the lockout occurs if the enable switch is turned OFF.
[0078]
As described above, in order to turn on the manual suspension function that disables the safety component, it is checked whether it is performed according to a predetermined procedure, and if the procedure is incorrect, it does not operate or is judged to be abnormal and stopped By adopting such a configuration, it is possible to work on the safety side and ensure the safety of the worker. This prevents inadvertent disabling of safety components and prevents operational mistakes, while allowing manual suspension to function by following the prescribed procedure, enabling maintenance and teaching work while the robot is operating. The convenience of work can be achieved.
[0079]
【The invention's effect】
As described above, according to the safety relay system and the safety relay control method of the present invention, maintenance / maintenance work and the like can be easily performed while the externally connected device is operated, while ensuring the safety of workers. A safety relay system and a safety relay control method are realized. The safety relay system and the safety relay control method according to the present invention have a manual suspension function for acquiring a safety input regardless of the safety state of a specific safety component, and when the manual suspension is executed, This is because manual suspension is performed only when the procedure is correct, and a check mechanism is provided that prevents the manual suspension from functioning when there is an error or contradiction in the procedure. This check enables the function to operate only when the operator operates it with the intention of functioning the manual suspension and eliminates erroneous operation, thus eliminating the need to inadvertently disable the safety component. Safe. On the other hand, by providing a manual suspension function, maintenance and maintenance work can be performed while operating an external connection device such as a robot, so that these work can be facilitated.
[Brief description of the drawings]
FIG. 1 is a conceptual diagram showing an example of a safety relay system that opens and closes a relay with one safety component.
FIG. 2 is a conceptual diagram showing a state where an operator performs teaching work in the vicinity of a work area of a robot.
FIG. 3 is a conceptual diagram showing a configuration example of a safety relay system.
4 is a conceptual diagram illustrating a state where a safety component is added to the safety relay system of FIG. 3;
FIG. 5 is a schematic perspective view showing a state where an input extension unit is connected to a master unit.
FIG. 6 is a schematic perspective view showing another example of connecting the input extension unit to the master unit.
FIG. 7 is a block diagram showing a connection state of the safety relay system according to the embodiment of the present invention.
FIG. 8 is a block diagram showing a connection state of a safety relay system according to another embodiment of the present invention.
9 is a block diagram illustrating the flow of safety information and non-safety information in the safety relay system of FIG.
10 is a block diagram showing an example in which a safety control unit is configured by an AND circuit in the safety relay system of FIG. 9;
FIG. 11 is a block diagram showing a safety relay system according to another embodiment of the present invention.
FIG. 12 is a timing chart showing an operation when the manual suspension function is used.
FIG. 13 is a schematic front view showing an example of an input expansion unit having a manual suspension function.
[Explanation of symbols]
1 ... Safety components
2… Safety output unit
3. Safety component switch
4 ... Relay
5 ... Master unit
6, 6A, 6B ... Input expansion unit
7, 7A, 7B, 7C ... Connector
8 ... Hook
9 ... Locking groove
10 ... Board for connection
12 ... End unit
16 ... Output expansion unit
23 ... Safety confirmation information output part
30 ... Power supply unit
32 ... Input unit for manual suspension
33 ... Normal input section
34 ... Manual suspension display
37 ... Robot
38 ... Teaching pendant
39 ... Fence
40 ... Safety door
41 ... Door sensor
42 ... Safety information line
43 ... Safety input line
44 ... Safety output line
45 ... Safety control unit
46. Safety control unit
47, 47A, 47B ... Master unit safety control section
48 ... FSD output line
49 ... Sync signal line
50 ... FSD
51. Synchronization signal section
52 ... Non-safety information line
53 ... Master unit non-safety control unit
54. Non-safety control unit
55 ... Non-safety information interface
56 ... Non-safety information output section
57 ... Non-safety information display
58 ... Safety relay output section
60 ... Manual switching input section
61 ... Mode switching part
62 ... Manual suspension input section

Claims (6)

一以上の安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全でないと判断した場合に接続機器の内少なくとも危険箇所の動作を直接的または間接的に停止させるためのリレーを制御する安全リレーシステムであって、
前記外部接続機器に関する所定の安全コンポーネントについて、その安全状態に関わらず安全入力を取得するマニュアルサスペンションを機能させるためのマニュアルサスペンション入力部と、
前記マニュアルサスペンション入力部でマニュアルサスペンションを機能させるために所定の条件が具備されているか否かを確認し、所定の条件が具備された場合のみマニュアルサスペンションを機能させるマニュアルサスペンション動作確認部と、
を備えることを特徴とする安全リレーシステム。Controls a relay to directly or indirectly stop the operation of at least the hazardous part of the connected device when it is determined to be safe based on the input status from one or more safety components A safety relay system,
For a predetermined safety component related to the externally connected device, a manual suspension input unit for functioning a manual suspension for acquiring a safety input regardless of the safety state; and
A manual suspension operation confirmation unit that confirms whether or not a predetermined condition is provided to allow the manual suspension to function in the manual suspension input unit, and allows the manual suspension to function only when the predetermined condition is satisfied;
A safety relay system comprising: 一以上の安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全でないと判断した場合に接続機器の内少なくとも危険箇所の動作を直接的または間接的に停止させるためのリレーを制御する安全リレーシステムであって、
前記外部接続機器に関する所定の安全コンポーネントについて、その安全状態に関わらず安全入力を取得するマニュアルサスペンションを機能させるためのマニュアルサスペンション入力部と、
前記外部接続機器の動作を通常よりも安全を高めた安全モードに切り替えるためのモード切替部と、
前記モード切替部で前記外部接続機器が安全モードに切り替えられた後、マニュアルサスペンション入力部からマニュアルサスペンションの動作命令が得られているとき、前記所定の安全コンポーネントに代わって安全入力を出力するための手動切替入力部と、
を備えることを特徴とする安全リレーシステム。Controls a relay to directly or indirectly stop the operation of at least the hazardous part of the connected device when it is determined to be safe based on the input status from one or more safety components A safety relay system,
For a predetermined safety component related to the externally connected device, a manual suspension input unit for functioning a manual suspension for acquiring a safety input regardless of the safety state; and
A mode switching unit for switching the operation of the externally connected device to a safe mode with higher safety than normal;
After the externally connected device is switched to the safety mode by the mode switching unit, when a manual suspension operation command is obtained from the manual suspension input unit, a safety input is output instead of the predetermined safety component. A manual switching input unit;
A safety relay system comprising: 所定の動作範囲で動作する外部接続機器の動作範囲を中心とした所定の領域への侵入を所定の安全コンポーネントで監視し、安全コンポーネントの出力によって外部接続機器の動作を制限する安全リレーシステムであって、
前記外部接続機器の動作を通常モードよりも動作速度を限定した手動モードに切り替えるためのモード切替部と、
所定の領域に作業者が侵入するために所定の安全コンポーネントの安全入力に関わらず安全入力を得るマニュアルサスペンションを機能させるためのマニュアルサスペンション入力部と、
前記モード切替部で手動モードに切り替えられた後、マニュアルサスペンション入力部からマニュアルサスペンション入力が得られたとき、前記所定の安全コンポーネントについて安全状態に関わらず安全入力を生じさせるための手動切替入力部と、
を備えることを特徴とする安全リレーシステム。This is a safety relay system that monitors the entry of a specified area centered on the operating range of an externally connected device that operates within a specified operating range with a specified safety component and restricts the operation of the externally connected device with the output of the safety component. And
A mode switching unit for switching the operation of the externally connected device to a manual mode with a limited operation speed than the normal mode;
A manual suspension input unit for functioning a manual suspension that obtains a safety input regardless of a safety input of a predetermined safety component in order for an operator to enter a predetermined area;
A manual switching input unit for generating a safety input regardless of a safety state for the predetermined safety component when a manual suspension input is obtained from the manual suspension input unit after being switched to the manual mode by the mode switching unit; ,
A safety relay system comprising: 請求項２から３のいずれかに記載の安全リレーシステムであって、前記手動切替入力部が前記所定の安全コンポーネントとＯＲ接続されていることを特徴とする安全リレーシステム。4. The safety relay system according to claim 2, wherein the manual switching input unit is OR-connected to the predetermined safety component. 5. 請求項１から４のいずれかに記載の安全リレーシステムであって、前記安全コンポーネントが、ドアの開閉を検知して侵入を検出するドアスイッチであることを特徴とする安全リレーシステム。The safety relay system according to any one of claims 1 to 4, wherein the safety component is a door switch that detects intrusion by detecting opening and closing of a door. 一以上の安全コンポーネントからの入力状態に基づいて安全か否かを判断し、安全でないと判断した場合に接続機器の内少なくとも危険箇所の動作を直接的または間接的に停止させるための安全リレーの制御方法であって、
外部接続機器の動作を通常よりも安全を高めた安全モードに切り替えるステップと、
前記外部接続機器に関する所定の安全コンポーネントの安全状態に関わらず安全入力を取得するマニュアルサスペンションを機能させるステップと、
安全モードへの切り替えステップと、次いでマニュアルサスペンションステップを経たことを確認し、所定の安全コンポーネントに代わって安全入力を出力するステップと、
を備えることを特徴とする安全リレーの制御方法。A safety relay is used to determine whether or not it is safe based on the input status from one or more safety components, and to stop the operation of at least the hazardous part of the connected device directly or indirectly if it is determined to be unsafe. A control method,
A step of switching the operation of the externally connected device to a safe mode with higher safety than normal,
Functioning a manual suspension for obtaining a safety input regardless of the safety state of a predetermined safety component related to the externally connected device;
A step of switching to a safety mode, then confirming that a manual suspension step has been performed, and outputting a safety input instead of a predetermined safety component;
A control method for a safety relay, comprising:
JP2003189856A 2003-07-01 2003-07-01 Safety relay system and control method for safety relay Pending JP2005025479A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003189856A JP2005025479A (en) 2003-07-01 2003-07-01 Safety relay system and control method for safety relay

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003189856A JP2005025479A (en) 2003-07-01 2003-07-01 Safety relay system and control method for safety relay

Publications (1)

Publication Number Publication Date
JP2005025479A true JP2005025479A (en) 2005-01-27

Family

ID=34187941

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003189856A Pending JP2005025479A (en) 2003-07-01 2003-07-01 Safety relay system and control method for safety relay

Country Status (1)

Country Link
JP (1) JP2005025479A (en)

Cited By (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007072908A (en) * 2005-09-08 2007-03-22 Jtekt Corp Plc muting device
JP2007179401A (en) * 2005-12-28 2007-07-12 Mitsubishi Electric Corp Intruder detector
JP2007269056A (en) * 2006-03-30 2007-10-18 Furukawa Electric Co Ltd:The Switch input device and its input determination controlling method
JP2008083965A (en) * 2006-09-27 2008-04-10 Japan Control Engineering Co Ltd Monitoring device
US7459910B2 (en) 2005-07-13 2008-12-02 Jtekt Corporation Contact welding detecting device for relay
US7525273B2 (en) 2006-01-04 2009-04-28 Fanuc Ltd Robot control system
JP2009187531A (en) * 2008-01-09 2009-08-20 Omron Corp Safety ensuring device
US7598484B2 (en) 2007-05-31 2009-10-06 Keyence Corporation Photoelectric sensor for securing the safety of a work area
JP2010226818A (en) * 2009-03-23 2010-10-07 Nitto Electric Works Ltd Charging device
EP2639661A1 (en) 2012-03-15 2013-09-18 Omron Corporation Apparatus for controlling power source
JPWO2014136190A1 (en) * 2013-03-04 2017-02-09 三菱電機株式会社 Safety improvement support device
JP2019159698A (en) * 2018-03-12 2019-09-19 ファナック株式会社 Emergency stop system
US10948892B2 (en) 2018-08-14 2021-03-16 Keyence Corporation Serial cascade connector system, connector member included in the same, combination of connector member and relay connector member and safety component
JP2021174255A (en) * 2020-04-24 2021-11-01 パナソニックＩｐマネジメント株式会社 Safety switch and switch system
JP7075670B2 (en) 2016-11-21 2022-05-26 ピザト エレットリカ エス．アール．エル． Safety switch with differentiated CPU
JP7345986B2 (en) 2019-12-25 2023-09-19 東芝三菱電機産業システム株式会社 Remote input/output device and management system
JP7470918B2 (en) 2020-04-24 2024-04-19 パナソニックＩｐマネジメント株式会社 Safety switches and switch systems

Cited By (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7459910B2 (en) 2005-07-13 2008-12-02 Jtekt Corporation Contact welding detecting device for relay
JP2007072908A (en) * 2005-09-08 2007-03-22 Jtekt Corp Plc muting device
JP2007179401A (en) * 2005-12-28 2007-07-12 Mitsubishi Electric Corp Intruder detector
JP4667237B2 (en) * 2005-12-28 2011-04-06 三菱電機株式会社 Intruder detection device
US7525273B2 (en) 2006-01-04 2009-04-28 Fanuc Ltd Robot control system
JP2007269056A (en) * 2006-03-30 2007-10-18 Furukawa Electric Co Ltd:The Switch input device and its input determination controlling method
JP4495108B2 (en) * 2006-03-30 2010-06-30 古河電気工業株式会社 Switch input device and input determination control method thereof
JP4584223B2 (en) * 2006-09-27 2010-11-17 日本制禦機器株式会社 Monitoring device
JP2008083965A (en) * 2006-09-27 2008-04-10 Japan Control Engineering Co Ltd Monitoring device
US7598484B2 (en) 2007-05-31 2009-10-06 Keyence Corporation Photoelectric sensor for securing the safety of a work area
JP2009187531A (en) * 2008-01-09 2009-08-20 Omron Corp Safety ensuring device
JP4548538B2 (en) * 2008-01-09 2010-09-22 オムロン株式会社 Safety ensuring device
JP2010226818A (en) * 2009-03-23 2010-10-07 Nitto Electric Works Ltd Charging device
EP2639661A1 (en) 2012-03-15 2013-09-18 Omron Corporation Apparatus for controlling power source
US9866008B2 (en) 2012-03-15 2018-01-09 Omron Corporation Apparatus for controlling power source
JPWO2014136190A1 (en) * 2013-03-04 2017-02-09 三菱電機株式会社 Safety improvement support device
JP7075670B2 (en) 2016-11-21 2022-05-26 ピザト エレットリカ エス．アール．エル． Safety switch with differentiated CPU
US11480937B2 (en) * 2016-11-21 2022-10-25 Pizzato Elettrica S.R.L. Safety switch with differentiated CPU
JP2019159698A (en) * 2018-03-12 2019-09-19 ファナック株式会社 Emergency stop system
US10948892B2 (en) 2018-08-14 2021-03-16 Keyence Corporation Serial cascade connector system, connector member included in the same, combination of connector member and relay connector member and safety component
JP7345986B2 (en) 2019-12-25 2023-09-19 東芝三菱電機産業システム株式会社 Remote input/output device and management system
JP2021174255A (en) * 2020-04-24 2021-11-01 パナソニックＩｐマネジメント株式会社 Safety switch and switch system
CN114093068A (en) * 2020-04-24 2022-02-25 松下知识产权经营株式会社 Safety switch and switch system
CN114093068B (en) * 2020-04-24 2024-04-16 松下知识产权经营株式会社 Safety switch and switching system
JP7470918B2 (en) 2020-04-24 2024-04-19 パナソニックＩｐマネジメント株式会社 Safety switches and switch systems

Similar Documents

Publication Publication Date Title
JP4212970B2 (en) Safety relay system
JP2005025479A (en) Safety relay system and control method for safety relay
JP4835842B2 (en) IO unit in a building block type safety controller
JP4080060B2 (en) Method and apparatus for monitoring a plant with multiple functional units
JP4202335B2 (en) Emergency stop circuit
JP3950832B2 (en) Robot controller
KR100720273B1 (en) Safety controller and system using the same
JP3944156B2 (en) Emergency stop circuit
JP2016124077A (en) Method for wiring robot
JP5254968B2 (en) Control device
US6826433B1 (en) Failsafe data output system and automation system having the same
JP2005004557A (en) Input unit for safe relay system, safe relay system, and method for controlling safe relay
JP4238705B2 (en) Safety controller
JP4292404B2 (en) Drive shaft operation system
JP7014140B2 (en) Electromagnetic brake control device and control device
KR102311709B1 (en) Control systems for electrically controlled installations
JP4238687B2 (en) Safety controller and system using the same
JP4212965B2 (en) Safety relay system and output blocking unit for safety relay system
JP4212963B2 (en) Safety relay system, safety relay system input expansion unit, safety relay system master unit, safety relay system end unit, and safety relay control method
JP4212964B2 (en) Safety relay system, input blocking unit for safety relay system, and control method of safety relay
CN109277880A (en) System of processing
JP2005003133A (en) Safety relay system, grouping output unit for safety relay system, and control method for safety relay
JP4239784B2 (en) Distributed control device
JP4238690B2 (en) Setting structure and safety controller using it
CN111224651B (en) Switching device

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20060627

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20080410

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20080422

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20080909