JP2009176275A - 安全マスタ - Google Patents

Abstract

【課題】 製造システムを構成するいずれかの装置が不在の場合には、ユーザプログラム自体を改変したり、特定の入力信号や出力信号を強制セット又はリセットしたりすることなく、簡単な操作でインターロックを無効状態とすることができる安全マスタを提供すること。
【解決手段】 要素装置の指定を含む状態信号無効化要求を生成する無効化要求生成手段と、インターロック演算プログラムの入力となる各要素装置の状態信号毎に設けられ、かつ状態信号無効化要求が生成されたとき、その無効化要求で指定された要素装置に関する状態信号を無効化する状態信号無効化手段とを有し、それにより、いずれかの要素装置に対応する安全スレーブ又は安全ローカルＩ／Ｏユニットが例えば「不在中」であるときには、その要素装置に関する無効化要求を生成させて、当該要素装置の状態信号「非安全状態」を無効化する。
【選択図】 図５

Description

この発明は、所定の安全規格に適合した入力機器（非常停止スイッチ、ライトカーテン等々）や所定の安全規格に適合した出力機器（安全コンタクタ、安全リレー等々）を取り扱う安全コントローラに係り、特に、所定の安全規格に適合した入出力機器を含む複数の装置間でのインターロック機能を実現するためのユーザプログラムが組み込まれた安全コントローラ（以下、「安全マスタ」と称する）に関する。

例えば、自動車や半導体等に適用される製造システムは、幾つかの装置を連結することで構成されるのが一般的である。これらの装置のそれぞれには、各種の安全対策が施されており、また装置間でインターロックをとることにより、製造システム全体としての安全対策も施されている。

このような装置個々の安全対策並びに製造システム全体としての安全対策が施された製造システム全体の一例の説明図が図１２に示されている。同図（ａ）に示されるように、この例にあっては、製造システムの全体はｎ個の装置Ｄ１〜Ｄｎにより構成されている。

個々の装置Ｄ１〜Ｄｎのそれぞれには、所定の安全規格に適合した入力機器（この例では、非常停止スイッチが例示されている）ＩＮ１〜ＩＮｎと、所定の安全規格に適合した出力機器（この例では、コンタクタが例示されている）ＯＵＴ１〜ＯＵＴｎとが含まれている。

また、個々の装置Ｄ１〜Ｄｎには、それらの入力機器ＩＮ１〜ＩＮｎ並びに出力機器ＯＵＴ１〜ＯＵＴｎを管理するために、「安全スレーブ」として機能する安全コントローラ又は安全リモートＩ／ＯターミナルＣ１〜Ｃｎがさらに含まれている。

これらの安全コントローラ又は安全リモートＩ／ＯターミナルＣ１〜Ｃｎは、図示しない安全フィールドネットワークを介して「安全マスタ」として機能する安全コントローラＣ０と通信可能とされている。

上述の「安全マスタ」、「安全スレーブ」は、本発明に係るインターロックに関する状態信号の取得、動作指示信号の出力の処理においての主従関係を意味するのであって、一般のフィールドネットにおける"マスタ"、"スレーブ"の関係とは異なる。

各装置Ｄ１〜Ｄｎの安全コントローラ等（即ち、「安全スレーブ」）Ｃ１〜Ｃｎのそれぞれからは、当該装置が所定の「安全状態」にあるか又は「非安全状態」にあるかを示す状態信号が安全コントローラ（即ち、「安全マスタ」）Ｃ０へと所定のタイミングで送信される。このとき、状態信号の内容は、「安全状態」のときにはＯＮ（“１”）、かつ「非安全状態」のときにはＯＦＦ（“０”）となるように定められている。

なお、装置Ｄ１〜Ｄｎのうちのいずれかが存在しないときには、安全コントローラＣ０の側で受信される状態信号のうちで、その存在しない装置に対応する状態信号の内容は、「非安全状態」に対応するＯＦＦ（“０”）となるように定められている。

また、安全コントローラＣ０から各安全コントローラ又は安全リモートＩ／ＯターミナルＣ１〜Ｃｎのそれぞれに対しては、当該装置を「運転状態」とすべきか又は電源を遮断した「停止状態」とすべきかを指示する動作指示信号が所定のタイミングで送信される。このとき、動作指示信号の内容は、「運転状態指示」のときにはＯＮ（“１”）、かつ「停止状態指示」のときにはＯＦＦ（“０”）となるように定められている。

安全コントローラＣ０内のユーザメモリ（図示せず）内には、インターロック機能を含む安全制御用のユーザプログラムが記憶されている。インターロック機能実現用のユーザプログラムとしては、ロジックシンボル図で表すとすれば、例えば同図（ｂ）に示されるように、各装置から受信される状態信号を入力のそれぞれとし、かつ各装置への動作指示信号を出力とする多入力論理積回路ＡＮＤとして表わすことができる。

このような構成によれば、製造システムを構成する複数の装置Ｄ１〜Ｄｎの全てが存在しかつそれらの装置のそれぞれが所定の「安全状態」にあれば、安全コントローラＣ０の側で受信される各装置Ｄ１〜Ｄｎの状態信号の内容は全てＯＮ（“１”）となるから、インターロック機能を構成する多入力論理積回路ＡＮＤの出力はＯＮ（“１”）となる。

すると、各装置側で受信される動作指示信号の内容は全てＯＮ（“１”）となり、これにより各装置Ｄ１〜Ｄｎは全て「運転状態」とされて、製造システム全体の運転が可能となる。

また、製造システムの運転状態において、装置Ｄ１〜Ｄｎのいずれかにおいて「非安全状態」が発生すると、その「非安全状態」が発生した装置の安全コントローラ等からインターロック制御を司る安全コントローラＣ０に送信される状態信号の内容は、「非安全状態」を示すＯＦＦ（“０”）となるから、ユーザプログラムに組み込まれたインターロック機能を構成する多入力論理積回路ＡＮＤの出力はＯＦＦ（“０”）となる。

すると、各装置側で受信される動作指示信号の内容は全てＯＦＦ（“０”）となり、これにより各装置Ｄ１〜Ｄｎは全て「停止状態」とされて、製造システム全体は電源が遮断された停止状態となる。

一方、製造システムを構成する装置Ｄ１〜Ｄｎのいずれかが欠落した状態（「不在中」）又は装置Ｄ１〜Ｄｎのいずれかにおいて、通信障害や電断等が発生した状態にあっては、「通信非加入中」となるわけであるが、このような「通信非加入中」にあっては、インターロック制御を司る安全コントローラＣ０から見たその不在中又は通信障害や電断等にかかる装置の状態信号の内容は「非安全状態」に対応するＯＦＦ（“０”）となるから、ユーザプログラムに組み込まれたインターロック機能を構成する多入力論理積回路ＡＮＤの出力はＯＦＦ（“０”）となる。

すると、装置Ｄ１〜Ｄｎのいずれかにおいて「非安全状態」が発生した場合と同様に、各装置側で受信される動作指示信号の内容は全てＯＦＦ（“０”）となり、これにより各装置Ｄ１〜Ｄｎは全て「停止状態」とされて、製造システム全体は電源が遮断された停止状態となる。
特開平１１−２４２５０７号公報

上述のように、１台の安全マスタ（安全コントローラＣ０）と複数台の安全スレーブ（安全コントローラ又は安全リモートＩ／ＯターミナルＣ１〜Ｃｎ）とを安全フィールドネットワークで結んでなる安全コントロールシステムが採用された製造システムにあっては、製造システムを構成する装置Ｄ１〜Ｄｎのいずれかが欠落した状態（「不在中」）又は通信障害や電断等が発生した状態、すなわち当該安全スレーブが通信に加入していない「通信非加入中」の状態にあっては、装置Ｄ１〜Ｄｎのいずれかにおいて「非安全状態」が発生した場合と同様に、製造システム全体は電源が遮断された停止状態となってしまう。

製造システムを構成する装置Ｄ１〜Ｄｎのいずれかが欠落した状態（「不在中」）は、製造システムの新設の際、メンテナンスの際等に起こりうる。殊に、自動車や半導体等の製造システムの場合、製造システムを構成する各装置の納入据付業者は異なることが通例であるから、全ての装置が揃わなければ製造システム全体の運転ができないとすれば、個々の装置の運転テストに支障を来し、極めて不便である。

そこで、全ての装置が揃わなければ製造システムを構成する個々の装置の運転ができないとする不便さを解消するために、幾つか（第１乃至第３）のインターロック無効化対策が従来より採用されている（図１３参照）。

第１の対策としては、インターロック機能を実現するためのユーザプログラム中の該当箇所を一時的に書き替えることが挙げられる。

すなわち、同図（ａ）に示される本来のプログラム例と同図（ｂ）に示される変更後のプログラム例とを比較して明らかなように、この第１のインターロック無効化対策にあっては、所定のプログラミングツールを使用して、インターロック機能を司る安全コントローラＣ０内のユーザプログラムの書き替え処理を行うことにより、不在の装置（この例では、装置Ｄ２）に対応する状態信号の代わりに常時ＯＮ（“１”）が入力されるようにプログラムを書き替え、装置Ｄ２に対応する状態信号ＯＦＦ（“０”）の影響を一時的に排除するものである。

第２の対策としては、インターロック機能を司る安全コントローラＣ０内のユーザプログラム中の該当箇所に入力されるべき状態信号又は該当箇所へと出力されるべき動作指示信号を、プログラミングツールに具備された強制セット機能又は強制リセット機能により一時的にＯＮ（“１”）に固定化することが挙げられる。

すなわち、同図（ａ）に示される本来のプログラム例と同図（ｃ）に示される変更後のプログラム例とを比較して明らかなように、この第２のインターロック無効化対策にあっては、所定のプログラミングツールを使用して、インターロック機能を実現するためのユーザプログラム中の該当箇所に入力されるべき状態信号（この例では、装置Ｄ２に対応する状態信号）又は該当箇所へと出力されるべき動作指示信号（この例では、論理積回路ＡＮＤのから出力される動作指示信号）を、プログラミングツールに具備された強制セット機能又は強制リセット機能により一時的にＯＮ（“１”）に固定することにより、装置Ｄ２に対応する状態信号の影響を一時的に排除するものである。

第３の対策としては、インターロック機能を実現するための制御を実行する安全コントローラのオフラインシュミレーションを行い、実機によるシステム動作の確認は行わないとするものを挙げることができる。

しかしながら、上述の第１の対策にあっては、インターロック機能実現に係るユーザプログラムそれ自身を変更するものであるから、変更操作に際してプロクラム中にバグが混入する可能性があること、変更箇所を元の状態に戻し忘れるおそれがあること、等の問題点がある。殊に、ユーザプログラム中の変更箇所を元に戻し忘れた場合、その変更箇所に対応する安全機器（例えば、非常停止スイッチ等）が作動しても、製造システムが停止しないと言った極めて危険な事態が生ずる虞がある。

第２の対策にあっては、インターロック機能を実現するための安全コントローラＣ０内のユーザプログラム中の該当箇所に入力されるべき状態信号又は該当箇所へと出力されるべき動作指示信号を、プログラミングツールに具備された強制セット機能又は強制リセット機能により一時的に固定化するものであるから、状態信号又は動作指示信号を強制操作するつもりが、誤って別の信号を強制操作してしまえば、予期せぬ危険を招来する虞がある。

第３の対策にあっては、プログラムのデバッグは行うことができるものの、センサやモータ等の外部接続機器を含めた実機によるシステム動作の確認ができないことから、実機システムでは意図しない動作も想定され、安全性を十分に確保できない。

なお、以上述べた第１乃至第３のインターロック無効化対策の問題点は、ビルディング・ブロック型の安全コントローラをスタンドアローンで使用すると共に、安全ローカルＩ／Ｏユニットのそれぞれを製造システムの各装置に割り当てたような場合にも同様に想定される。

この発明は、上述した従来の問題点に着目してなされたものであり、その目的とするところは、製造システムを構成するいずれかの装置が「不在中」又は通信障害や電断が発生した場合等にあっては、ユーザプログラム自体を改変したり、特定の入力信号や出力信号を強制セット又はリセットしたりすることなく、簡単な操作でインターロックを無効状態とすることができる安全コントローラを提供することにある。

また、この発明の他の目的とするころは、それまで「通信非加入中」であった装置が加入されて「通信加入中」とされたときには、特別な復帰操作を要することなく、インターロックを有効状態に復帰させることができる安全コントローラを提供することにある。

また、この発明のさらに他の目的とするところは、それまで「通信非加入中」であった装置が加入されて「通信加入中」となったのちにあっては、その後、誤ってインターロックを無効化することがないようにした安全コントローラを提供することにある。

この発明のさらに他の目的並びに作用効果については、明細書の以下の記述を参照することにより、当業者であれば容易に理解されるであろう。

上述の［発明が解決しようとする課題］は、以下の構成を有する安全マスタにより解決することができることが理解される。

すなわち、本発明の安全マスタは、安全フィールドネットワークで結ばれた複数の安全スレーブのそれぞれを介して、又は安全バックプレーンバスで結ばれた複数のローカルＩ／Ｏユニットのそれぞれを介して、１の装置システムを構成する複数の要素装置内の安全Ｉ／Ｏ機器へと接続されている。

さらに、この安全マスタは、各安全スレーブ又は各安全ローカルＩ／Ｏユニットのそれぞれからその要素装置に関する「安全状態」又は「非安全状態」を示す状態信号を受信すると共に、それら取得された状態信号のそれぞれを入力としてユーザが任意に作成したインターロック演算プログラムを実行して動作指示信号を出力させ、その動作指示信号を複数の安全スレーブ又は複数の安全ローカルＩ／Ｏユニットを介して各要素装置の安全Ｉ／Ｏ機器へと送信して当該要素装置の運転／停止を制御することにより、各要素装置に関する安全制御並びに一連の要素装置全体としての安全制御を実現する。

このような安全マスタにおいて、本発明にあっては、複数の要素装置のいずれか１つの指定を含む状態信号無効化要求を生成する無効化要求生成手段と、インターロック演算プログラムの入力となる複数の要素装置の状態信号のそれぞれ毎に設けられ、かつ状態信号無効化要求が生成されたとき、その無効化要求で指定された要素装置に関する状態信号を無効化する状態信号無効化手段とを設け、それにより、いずれかの要素装置に対応する安全スレーブ又は安全ローカルＩ／Ｏユニットが「不在中」又は通信障害や電断が発生したときには、その要素装置に関する無効化要求を生成させて、当該要素装置の状態信号「非安全状態」を無効化することにより、その「不在中」に係る安全スレーブ又は安全ローカルＩ／Ｏユニットの影響が、インターロック演算プログラムの実行を介して、１の装置システムの全体に波及することを回避し得るようになっている。

このような構成によれば、製造システムを構成するいずれかの装置が「不在中」又は通信障害や電断が発生した場合には、ユーザプログラム自体を改変したり、特定の入力信号や出力信号を強制セット又はリセットしたりすることなく、簡単な操作でインターロックを無効状態とすることができ、要素装置の一部不在によりインターロックが作用して製造システム全体が停止状態とされることを回避することができ、しかも、インターロック無効化の際の誤操作による予期せぬ異常動作の発生を回避することができ、この種の製造システム等の据付時やメンテナンス時における個々の装置の動作試験等を円滑に行うことができる。

本発明の好ましい実施の形態においては、１の装置システムを構成する複数の要素装置のそれぞれに対応する安全スレーブ又は安全ローカルＩ／Ｏユニットが「通信加入中」であるか又は「通信非加入中」であるかを判定する判定手段をさらに有し、かつ状態信号無効化手段が、判定手段により「通信非加入中」と判定されたときに限り、その「通信非加入中」にかかる要素装置の状態信号を無効化すると共に、その「通信非加入中」にかかる要素装置に対応する安全スレーブ又は安全ローカルＩ／Ｏユニットが、その後、「通信加入中」と判定されたときには、状態信号の無効化を解除するように構成される。

このような構成によれば、それまで「通信非加入中」であった装置が加入されて「通信加入中」となったときには、特別な復帰操作を要することなく、インターロックを自動的に有効状態に復帰させることができるから、インターロック無効状態からの復帰操作の忘れにより、装置加入後もインターロックが作動しないといった事態を極力回避することができる。

本発明の好ましい実施の形態においては、状態信号無効化手段が、状態信号の無効化が一旦解除されたのちにあっては、判定手段によりその無効化を解除された安全スレーブ又は安全ローカルＩ／Ｏユニットが再び「通信非加入中」と判定されたとしても、その「通信非加入中」にかかる要素装置の状態信号は最早無効化されない、ように構成される。

このような構成によれば、いずれかの要素装置がシステムに加入したのちに、誤ってインターロックを無効化しようとしても、そのような要求は受け付けられないから、そのような誤操作により異常動作の発生を回避することができる。

本発明に係る安全マスタにおいて、「無効化要求生成手段」としては、（１）入力回路に接続された各要素装置に対応する複数のスイッチのうちのいずれかが操作されたときに、そのスイッチに対応する要素装置の状態信号に関する無効化要求を生成するもの、（２）プログラマブル・ターミナルにおける所定操作により、「通信非加入中」にある安全スレーブ又は安全ローカルＩ／Ｏユニットに対応するアドレスが通知されたときに、そのアドレスに対応する要素装置の状態信号に関する無効化要求を生成するもの、（３）内部の通信ユニット登録テーブルを介していずれかの安全スレーブ又は安全ローカルＩ／Ｏユニットの「通信非加入中」が通知されたときに、それに対応する要素装置の状態信号に関する無効化要求を生成するもの、あるいはそれら（１）〜（３）の２以上を併用するもの、等々を適宜に採用すれば良いであろう。

また、本発明に係る安全コントローラにおいて、「判定手段」としては、（１）要素装置側の安全スレーブ又は安全ローカルＩ／Ｏユニットとの通信が回復したことにより、「通信非加入中」から「通信加入中」への変化があったことを判定するもの、（２）要素装置側の安全スレーブ又は安全ローカルＩ／Ｏユニットから有効なＩ／Ｏデータを受信したことにより、「通信非加入中」から「通信加入中」への変化があったことを判定するもの、（３）インターロック条件が成立したことにより、「通信非加入中」から「通信加入中」への変化があったことを判定するもの、等々を適宜に採用すればよいであろう。

また、本発明に係る安全コントローラにおいては、好ましい実施の形態においては、インターロックが実質的に無効化されている旨を所定の表示器に表示する表示制御手段を有する、ようにしてもよい。

このような構成によれば、そのような表示を頼りとして、システムの立ち上げ時やメンテナンス時における試験や点検を、任意の要素装置を「通信非加入中」のままで、安心して行うことができる。

さらに、本発明に係る安全コントローラにおいては、好ましい実施の形態においては、インターロックが実質的に無効化されておらず、かついずれかの安全スレーブ又は安全ローカルＩ／Ｏユニットが「通信非加入中」に限り、通信異常の旨を所定の表示器に表示する表示制御手段を有する、ようにしてもよい。

このような構成によれば、いずれかの要素装置を「通信非加入中」のままで、インターロックを無効として、試験作業や点検作業等を行っている時点で、通信異常の旨の表示がされることによる煩わしさを回避することができる。

本発明の安全マスタによれば、製造システムを構成するいずれかの装置が不在の場合、又は通信障害や電断が発生した場合には、その装置に関するユーザプログラム自体を改変したり、特定の入力信号や出力信号を強制セット又はリセットしたりすることなく、インターロックを無効状態として、製造システムが停止状態とされることを回避することができる。

以下に、この発明に係る安全マスタの好適な実施の一形態を添付図面を参照しながら詳細に説明する。

本発明に係る安全マスタが適用されるシステム構成例を示す説明図が図１に示されている。本発明に係る安全マスタＣ０は、同図（ａ）〜（ｃ）に示されるように、安全フィールドネットワーク（ＮＥＴ）で結ばれた複数の安全スレーブＣ１〜Ｃｎのそれぞれを介して、又は同図（ｄ）に示されるように、安全バックプレーンバス（ＢＵＳ）で結ばれた複数のローカルＩ／Ｏユニットのそれぞれを介して、１の装置システムを構成する複数の要素装置内の安全Ｉ／Ｏ機器へと接続される。

より詳しくは、同図（ａ）に示されるものは、安全スレーブＣ１，Ｃ２・・・Ｃｎとして、いずれも安全コントローラ（図中、矩形記号）が採用された例であり、同図（ｂ）に示されるものは、安全コントローラ（図中、矩形記号）と安全リモートＩ／Ｏターミナル（図中、円形記号）を混在させた例であり、同図（ｃ）に示されるものは、いずれも安全リモートＩ／Ｏターミナル（図中、円形記号）が採用されたものである。

そして、各安全スレーブＣ１，Ｃ２・・・Ｃｎからは、当該スレーブが管轄する要素装置内の安全入出力機器が「安全状態」にあるか、又は「非安全状態」にあるかを示す状態信号が生成され、この状態信号が安全フィールドネットワークを介して安全マスタＣ０へと送信される。

一方、同図（ｄ）に示されるものは、バックプレーンと称する剛性プレート上にバックプレーンバス（ＢＵＳ）を敷設すると共に、このバックプレーンバス（ＢＵＳ）上には適当な間隔でユニット装着用コネクタを配列し、これに１台のＣＰＵユニットと複数台の安全ローカルＩ／Ｏユニットを装着して構成されたビルディング・ブロック型の安全コントローラであり、複数台の安全ローカルＩ／Ｏユニットのそれぞれは、例えば製造システムを構成する個々の要素装置内の入出力用安全機器に繋がれている。

そして、各安全ローカルＩ／Ｏユニットからは、当該スレーブが管轄する要素装置内の安全入出力機器が「安全状態」にあるか、又は「非安全状態」にあるかを示す状態信号が生成され、この状態信号がバックプレーンバス（ＢＵＳ）を介して安全マスタとして機能するＣＰＵユニットへと送信される。

なお、安全リモートＩ／Ｏターミナルは、通信を介して安全マスタから受信した出力データを図示しない出力回路を介して安全出力機器へと送出したり、安全入力回路から取り込んだ入力データを通信を介して安全マスタへと送信したりと言った動作を実行するものである。

次に、安全マスタとして機能する安全コントローラＣ０の概略構成を示すハードウェア構成図が図２に示されている。同図に示されるように、安全コントローラＣ０は、通信回路１３を介して安全フィールドネットワーク（ＮＥＴ）と接続されると共に、入力回路１１を介して所定の安全規格に適合した入力機器ＩＮ１〜ＩＮｎへと、また出力回路１２を介して所定の安全規格に適合した出力機器ＯＵＴ１〜ＯＵＴｎへと接続される。

安全コントローラＣ０の内部には、入力回路１１、出力回路１２、通信回路１３、表示回路１４、及び設定回路１５を統括制御するためのＣＰＵ１０が内蔵されている。ここで、表示回路１４は、当該安全コントローラの動作に関する各種の表示を行うためのものであり、適宜なサイズの液晶表示器、動作表示用のランプ等で構成されている。また、設定回路１５は、当該安全コントローラの動作に関する各種の設定を行うためのものであり、テンキー、ファンクションキー、キースイッチ等々で構成されている。

一方、ＣＰＵ１０内には、マイクロプロセッサ（ＭＰＵ）１０ａ、ＲＡＭ１０ｂ、ＲＯＭ１０ｃを含んでいる。後述するように、それらのマイクロプロセッサ（ＭＰＵ）１０ａ、ＲＡＭ１０ｂ、ＲＯＭ１０ｃは、動作信頼性を保証するために二重化されている。

次に、安全マスタとして機能する安全コントローラ内のＣＰＵの処理全体を示すゼネラルフローチャートが図３に示されている。同図に示されるように、ＣＰＵ１０の全体は２台のＣＰＵ（ＣＰＵ Ａ，ＣＰＵ Ｂ）から構成されており、それらのＣＰＵは、互いに同期を取りながら並列に動作して、電源投入直後の初期処理、自己診断処理（ステップ１０１ａ，１０１ｂ）に続いて、同期処理（ステップ１０２ａ，１０２ｂ）、自己診断処理（ステップ１０３ａ，１０３ｂ）、周辺処理（ステップ１０４ａ，１０４ｂ）、Ｉ／Ｏリフレッシュ処理（ステップ１０５ａ，１０５ｂ）、及び演算処理（ステップ１０６ａ，１０６ｂ）を同時並行的に実行するように構成されている。

ここで、「初期処理」とは、デバイス及びデータの初期化、保存データの読み出し等を行う処理であり、「自己診断処理」とはハードウェア診断を行う処理である（ステップ１０１ａ，１０１ｂ）。又、「同期処理」（ステップ１０２ａ，１０２ｂ）とは、２つのＣＰＵ間の時間的な同期処理（サイクル時間を一定にするためのＷａｉｔ処理を含む）、データ一致確認処理等を行う処理である。また、自己診断処理（ステップ１０３ａ，１０３ｂ）はハードウェア診断等を行う処理である。また、周辺処理（ステップ１０４ａ，１０４ｂ）とは、外部メディア（メモリカード、ＲＴＣ等）に対するアクセス処理や外部デバイス、ツール等との通信処理等を行う処理である。Ｉ／Ｏリフレッシュ処理（ステップ１０５ａ，１０５ｂ）とは、ローカル入出力（入出力ユニットを含む）の更新処理やリモートＩ／Ｏ入出力のデータ更新等を行う処理である。さらに、演算処理（ステップ１０６ａ，１０６ｂ）とは、ユーザが任意に作成したユーザプログラム（インターロック機能実現のためのユーザプロクラムを含む）を実行する処理である。

次に、本発明に係る安全マスタとして機能する安全コントローラＣ０を含む安全コントロールシステム全体のより詳細な構成図が図４に示されている。同図に示されるように、この安全コントロールシステムは、インターロック制御を行う１台の安全コントローラＣ０と、複数台の安全スレーブＣ１〜Ｃｎとを含んでいる。

また、この安全コントロールシステムが統括する製造システムは、ｎ台の要素装置を含んで構成されている。そして、ｎ台の安全スレーブＣ１〜Ｃｎのそれぞれは、ｎ台の要素装置Ｄ１〜Ｄｎのそれぞれを統括するように構成されている。

より詳細には、ｎ台の要素装置Ｄ１〜Ｄｎのそれぞれには、安全スレーブＣ１〜Ｃｎが含まれると共に、それらの安全スレーブＣ１〜Ｃｎは、所定の安全規格に適合した入力機器ＩＮ１〜ＩＮｎと所定の安全規格に適合した出力機器ＯＵＴ１〜ＯＵＴｎとを取り扱うように構成されている。

そして、各要素装置Ｄ１〜Ｄｎ内において、所定の安全規格に適合した入力機器ＩＮ１〜ＩＮｎと所定の安全規格に適合した出力機器ＯＵＴ１〜ＯＵＴｎとを介して当該装置に関する「非安全状態」が判定されると、その旨の状態信号が安全フィールドネットワーク（ＮＥＴ）を介して、インターロック制御を行う安全コントローラＣ０へと送信される。

一方、インターロック制御を行う安全コントローラＣ０内には、のちに多入力論理積回路ＡＮＤ等で表されるインターロック機能を実現するためのユーザプログラムが組み込まれている。そして、このユーザプログラムは、複数の装置Ｄ１〜Ｄｎのそれぞれから送信されてくる状態信号に基づいて実行され、その結果、運転指示又は停止指示のいずれかを指示する動作指示信号を生成するように仕組まれている。

また、このインターロック制御を行う安全コントローラＣ０内には、要素装置Ｄ１〜Ｄｎの指定を含む状態信号無効化要求を生成する無効化要求生成手段と、インターロック演算プログラムの入力となる各要素装置Ｄ１〜Ｄｎの状態信号毎に設けられ、かつ状態信号無効化要求が生成されたとき、その無効化要求で指定された要素装置に関する状態信号を
無効化する状態信号無効化手段とが設けられている。

ここで、「無効化要求生成手段」としては、（１）入力回路に接続された各要素装置に対応する複数のスイッチ４０１のうちのいずれかが操作されたときに、そのスイッチ４０１に対応する要素装置の状態信号に関する無効化要求を生成するもの、（２）プログラマブル・ターミナルのタッチパネル４０２における所定操作により、「不在中」や通信障害等に起因して「通信非加入中」にある安全スレーブ又は安全ローカルＩ／Ｏユニットに対応するアドレスが通知されたときに、そのアドレスに対応する要素装置の状態信号に関する無効化要求を生成するもの、（３）内部の通信ユニット登録テーブルを介していずれかの安全スレーブＣ１〜Ｃｎ（又は安全ローカルＩ／Ｏユニット）の「通信非加入中」が通知されたときに、それに対応する要素装置の状態信号に関する無効化要求を生成するもの、あるいはそれら（１）〜（３）の２以上を併用するもの、等々を適宜に採用すれば良いであろう。

一方、「状態信号無効化手段」としては、のちに、図７〜図１１に示される様々な構成のものを採用することができる。すなわち、この状態信号無効化手段にあっては、インターロック演算プログラムの入力となる各要素装置Ｄ１〜Ｄｎの状態信号毎に設けられ、かつ状態信号無効化要求が生成されたとき、その無効化要求で指定された要素装置に関する状態信号を無効化するものである。

以上説明したように、インターロック制御を行う安全コントローラ（即ち、「安全マスタ」）Ｃ０には、上述の機能を有する「無効化要求生成手段」と「状態信号無効化手段」とが含まれているため、システムの新設立ち上げ時等において、要素装置Ｄ１〜Ｄｎのいずれかが例えば不在等を原因として「通信非加入中」の場合には、その要素装置を指定して状態信号無効化要求を生成させれば、後述するように、その指定された要素装置に関する状態信号が無効化されることとなり、その結果、インターロックはその要素装置に関しては実質的に作用しなくなるため、その要素装置が不在や通信障害等を原因として「通信非加入中」であっても、他の要素装置の運転には支障が無くなり、立ち上げ前の点検や検査等を支障なく行うことができる。

本発明に係る安全コントローラ（安全マスタ）Ｃ０の装置Ｄｎに関する作用説明図が図５に示されている。同図に示されるように、今仮に、装置Ｄｎに関する安全スレーブＣｎがシステムの立ち上げ時等に起因して「不在中」の状態において、図５のフローチャートに示される処理が起動されると、装置Ｄｎは「非加入」と判定されて（ステップ５０１ＮＯ）、インターロックの無効化要求の有無が判定される（ステップ５０２）。ここで、インターロックの無効化要求（状態信号の無効化要求の意味）が「なし」と判定されると（ステップ５０２なし）、インターロックは有効とされるから（ステップ５０４）、インターロック機能（例えば、多入力論理積回路ＡＮＤの場合）が作動して、すべての装置Ｄ１〜Ｄｎは停止状態となってしまう。

これに対して、装置が「非加入」の状態において（ステップ５０１ＮＯ）、インターロック無効化要求ありと判定されると（ステップ５０２あり）、インターロックは無効とされるから（ステップ５０３）、すべての装置Ｄ１〜Ｄｎは運転状態となる。

本発明に係る安全コントローラ（安全マスタ）Ｃ０の動作を示すタイムチャートが図６に示されている。同図に示されるように、時刻０から時刻ｔ１までの期間は、安全スレーブＣｎは通信非加入状態（例えば、「不在中」や「通信障害」）であるから、装置Ｄｎの状態信号は「非安全状態」を示すＯＦＦ（“０”）となり、インターロックプログラムの実行により、各装置の動作指示信号は「停止指示」を示す“０”となり、すべての装置は停止状態となる。

時刻ｔ１の時点で、インターロック無効化要求が生成されると、装置Ｄｎの状態信号“０”が無効化されて“１”となるため、インターロックプログラムの実行により、各装置の動作指示信号は「運転指示」を示す“１”となり、すべての装置は運転状態となる。

時刻ｔ２の時点で装置Ｄｎが通信加入状態（例えば、「存在中」や「通信障害復帰」）かつインターロック無効化要求なしであると、装置Ｄｎの状態信号の内容が「非安全状態」のとき（ｔ２〜ｔ３）には、各装置の動作指示信号は「停止指示」を示す“０”となり、装置Ｄｎの状態信号の内容が「安全状態」のとき（ｔ３〜ｔ４）には、各装置の動作指示信号は「運転指示」を示す“１”となる。

時刻ｔ４の時点でインターロック無効化要求が生成されると、インターロック無効化要求が存在しない状況と同様に、装置Ｄｎの状態信号の内容が「非安全状態」のとき（ｔ４〜ｔ５）には、各装置の動作指示信号は「停止指示」を示す“０”となり、装置Ｄｎの状態信号の内容が「安全状態」のとき（ｔ５〜）には、各装置の動作指示信号は「運転指示」を示す“１”となる。

次に、本発明に係る状態信号無効化手段（その１）の説明図が図７に示されている。ここに例示される「状態信号無効化手段」は、ユーザプログラムそれ自体は、インターロック無効化をする、又はしないに拘わらず、通常のインターロック回路と同様とする一方、安全コントローラがユーザプログラム実行部とは別に、専用のインターロック無効化（判定）部を持つようにしたものである。なお、図７〜図１１の説明においては、「安全スレーブ」を「通信相手」と言い換えるがその実体は同様である。

図７において、演算部７０１には、ユーザプログラムを実行する機能、実行のための基本命令や応用命令が含まれている。ユーザプログラムメモリ７０２には、ユーザが任意に作成したユーザプログラムが格納される。Ｉ／Ｏメモリ７０３には、ユーザプログラムへの入力データ、出力データが格納される。インターロック無効化演算部７０４には、ハードウェア又はソフトウェアで構築された機能が組み込まれている。無効化対象ノード格納メモリ７０５には、インターロックを無効化する通信相手を特定できる情報（例えば、ノードアドレス等）が格納される。ユーザによる手動設定又は通信できていないことを自動的に判別し安全コントローラが設定する。

次に、本発明に係る状態信号無効化手段（その２）の説明図が図８に示されている。ここに例示される「状態信号無効化手段」は、ユーザプログラム上に、インターロックを無効化する部分に明示的に応用命令や応用ファンクションブロックを配置すると共に、安全コントローラには、その応用命令や応用ファンクションブロックを実行する機能を持たせたものである。

図８において、演算部８０１には、ユーザプログラムを実行する機能、実行のための基本命令や応用命令が含まれている。インターロック無効化専用応用命令８０１ａには、インターロックを無効化するための専用応用命令や応用ＦＢが組み込まれている。プログラミングツールは、その専用応用命令や応用ＦＢを使用可能である。

次に、本発明に係る状態信号無効化手段（その３）の説明図が図９に示されている。ここに例示される「状態信号無効化手段」にあっては、安全コントローラは、インターロックを無効化するための専用応用命令や専用応用ＦＢを持たない。この安全コントローラにあっては、同時に使用するプログラミングツールに役割を依存するものである。すなわち、図９の例にあっては、ユーザは、インターロックを無効化するための専用応用命令や応用ＦＢを使用可能なプログラミングツールを使用して、無効化プログラムを構築する。

図９において、演算部９０１は、ユーザプログラムを実行する機能、実行のための基本命令や応用命令を含んでいる。ユーザプログラムメモリ９０２は、ユーザプログラムを格納する。Ｉ／Ｏメモリ９０３は、ユーザプログラムの入力データや出力データが格納されている。

次に、本発明に係る状態信号無効化手段（その４）の説明図が図１０に示されている。ここに例示される「状態信号無効化手段」にあっては、安全コントローラは、インターロックを無効化するための専用応用命令や専用応用ＦＢを持たない。この安全コントローラにあっては、同時に使用するプログラミングツールに役割を依存するものである。すなわち、図１０の例にあっては、ユーザは、インターロックを無効化するための専用応用命令や専用応用ＦＢを有しないプログラミングツールを使用して、無効化プログラムを構築する。

次に、状態信号無効化回路の詳細説明図が図１１に示されている。状態信号無効化回路は、図１１（ａ）に示されるように、論理和演算子を用いて簡単に構築することができるが、このような単なる論理和演算子を使用した状態信号無効化回路の場合には、正常に通信相手ｎが加入し、安全コントローラと通信を行っている場合であったとしても、「通信相手ｎを無効化する要求」が誤ってＯＮすれば、インターロックが無効化されてしまうという問題がある。なお、「通信相手ｎを無効化する要求」の誤ったＯＮは、作業者の操作ミスや通信路のノイズ等で発生することがある。

それに対して、図１１（ｂ）に示される本発明のインターロック無効化回路（その１）によれば、２入力論理積演算子の一方の入力には、通信相手ｎを無効化する要求を与える一方、他方の入力には、ラッチ回路と反転演算子とを直列に挿入すると言う手法を採用したため、通信相手ｎが一旦加入すると、その後は、インターロックの無効化は不能となるため、無効化を行わない場合と同様な安全性を維持できる。

ここで、図１１（ｂ）に含まれるラッチ回路は、図１１（ｃ）に示されるように、ＲＳフリップフロップ回路を使用して構築することができる。このとき、不用意にリセットがかからないように、常時、リセット入力端子に“０”を供給することが好ましい。

また、図１１（ｂ）の回路における「ラッチ回路〜ＡＮＤ」の部分については、図１１（ｄ）に示されるように、コンパレータ等を使用しても実現することができる。

ここで、「通信相手ｎ加入信号」は、以下の信号のいずれか、もしくは組合せにより生成することができる。
・安全コントローラが通信相手ｎと通信を開始したこと
これは、例えば、通信相手から常時ＯＮ信号を受け取ることで実現することができる。通信開始前はＯＦＦと見えるが、通信確立時は常にＯＮ信号となる。
・有効なＩ／Ｏデータ受信
これは、例えば、通信相手からＩ／Ｏデータが有効か有効でないかを示すフラグも併せて受信することで実現することができる。
・インターロック条件成立
これは、例えば、「通信相手の安全信号」がＯＮになったことを判定することで実現することができる。

一方、「通信相手ｎを無効化する要求」は、以下の信号のいずれか、もしくは組合せにより生成することができる。
・インターロック制御を行う安全コントローラの入力回路に接続したスイッチのＯＮ／ＯＦＦでインターロックの無効化を通知
・プログラマブル表示器（プログラマブル・ターミナルとも言う）で、非加入の通信相手のアドレスを指定して、インターロック制御を行う安全コントローラにネットワーク経由で通知
・安全コントローラ内部の通信ユニット登録テーブルにより、無効化する通信相手を自動的に判断する。

なお、以上の実施形態において、インターロックが実質的に無効化されている旨を所定の表示器に表示させるようにすれば、そのような表示を頼りとして、システムの立ち上げ時やメンテナンス時における試験や点検を、任意の要素装置を通信非加入のままで、安心して行うことができる。

さらに、インターロックが実質的に無効化されておらず、かついずれかの安全スレーブ又は安全ローカルＩ／Ｏユニットが「通信非加入中」のときには、通信異常の旨を所定の表示器に表示する表示制御手段を有する、ようにしてもよい。このような構成によれば、いずれかの要素装置を「通信非加入中」のままで、インターロックを無効として、試験作業や点検作業等を行っている時点で、通信異常の旨の表示がされることによる煩わしさを回避することができる。

本発明の安全マスタによれば、製造システムを構成するいずれかの装置が不在の場合には、その装置に関するユーザプログラム自体を改変したり、特定の入力信号や出力信号を強制セット又はリセットしたりすることなく、インターロックを無効状態として、製造システムが停止状態とされることを回避することができ、しかも、それまで不在であった装置が加入されたときには、特別な復帰操作を要することなく、インターロックは有効状態に復帰することとなり、インターロック無効化の際の誤操作による予期せぬ異常動作の発生やインターロック無効状態からの復帰忘れにより、装置加入後もインターロックが作動しないといった事態を極力回避することができる。

本発明が適用されるシステム構成例を示す説明図である。 安全コントローラ（安全マスタ）のハードウェア構成図である。 安全コントローラ（安全マスタ）の処理全体を示すゼネラルフローチャートである。 安全コントローラ（安全マスタ）を含む安全コントロールシステム全体の構成図である。 本発明に係る安全コントローラ（安全マスタ）Ｃ０の装置Ｄｎに関する作用説明図である。 本発明に係る安全コントローラ（安全マスタ）Ｃ０の動作を示すタイムチャートである。 本発明に係る状態信号無効化手段（その１）の説明図である。 本発明に係る状態信号無効化手段（その２）の説明図である。 本発明に係る状態信号無効化手段（その３）の説明図である。 本発明に係る状態信号無効化手段（その４）の説明図である。 状態信号無効化回路の詳細説明図である。 装置個々の安全対策及び製造システム全体としての安全対策の説明図である。 従来のインターロック無効化対策の説明図である。

符号の説明

１０ ＣＰＵ
１０ａ マイクロプロセッサ
１０ｂ ＲＡＭ
１０ｃ ＲＯＭ
１１ 入力回路
１２ 出力回路
１３ 通信回路
１４ 表示回路
１５ 設定回路
４０１ スイッチ
７０１ 演算部
７０２ ユーザプログラムメモリ
７０３ Ｉ／Ｏメモリ
７０４ インターロック無効化演算部
７０５ 無効化対象ノード格納メモリ
８０１ 演算部
８０１ 無効化専用応用命令
８０３ Ｉ／Ｏメモリ
９０１ 演算部
９０２ ユーザプログラムメモリ
９０３ Ｉ／Ｏメモリ
Ｃ０ 安全コントローラ（安全マスタ）
Ｃ１〜Ｃｎ 安全スレーブ
ＩＮ１〜ＩＮｎ 入力機器
ＯＵＴ１〜ＯＵＴｎ 出力機器

Claims (11)

1. 安全フィールドネットワークで結ばれた複数の安全スレーブのそれぞれを介して、又は安全バックプレーンバスで結ばれた複数の安全ローカルＩ／Ｏユニットのそれぞれを介して、１の装置システムを構成する複数の要素装置内の各安全Ｉ／Ｏ機器へと接続され、
   前記複数の安全スレーブ又は前記複数の安全ローカルＩ／Ｏユニットのそれぞれからその要素装置に関する「安全状態」又は「非安全状態」を示す状態信号を受信すると共に、前記取得された状態信号のそれぞれを入力として、ユーザが任意に作成したインターロック演算プログラムを実行して動作指示信号を出力させ、その動作指示信号を前記複数の安全スレーブ又は前記複数の安全ローカルＩ／Ｏユニットへと送信して当該要素装置の運転／停止を制御することにより、
   前記複数の要素装置のそれぞれに関する安全制御並びに一連の要素装置全体としての安全制御を実現するようにした安全コントローラであって、
   前記複数の要素装置のいずれか１つの指定を含む状態信号無効化要求を生成する無効化要求生成手段と、
   前記インターロック演算プログラムの入力となる前記複数の要素装置の状態信号のそれぞれ毎に設けられ、かつ前記状態信号無効化要求が生成されたとき、その無効化要求で指定された要素装置に関する状態信号を無効化する状態信号無効化手段とを有する、ことを特徴とする安全マスタ。
2. 前記１の装置システムを構成する複数の要素装置のそれぞれに対応する安全スレーブ又は安全ローカルＩ／Ｏユニットが「通信加入中」であるか又は「通信非加入中」であるかを判定する判定手段をさらに有し、かつ
   前記状態信号無効化手段が、前記判定手段により「通信非加入中」と判定されたときに限り、その「通信非加入中」にかかる要素装置の状態信号を無効化する一方、その「通信非加入中」にかかる要素装置に対応する安全スレーブ又は安全ローカルＩ／Ｏユニットが、その後、「通信加入中」と判定されたときには、前記状態信号の無効化を解除する、ことを特徴とする請求項１に記載の安全マスタ。
3. 前記状態信号無効化手段が、前記状態信号の無効化が一旦解除されたのちにあっては、前記判定手段によりその無効化を解除された安全スレーブ又は安全ローカルＩ／Ｏユニットが再び「通信非加入中」と判定されたとしても、その「通信非加入中」にかかる要素装置の状態信号は最早無効化されない、ことを特徴とする請求項２に記載の安全マスタ。
4. 前記無効化要求生成手段が、当該安全マスタの入力回路に接続された各要素装置に対応する複数のスイッチのうちのいずれかが操作されたときに、そのスイッチに対応する要素装置の状態信号に関する無効化要求を生成する、ことを特徴とする請求項１〜３のいずれかに記載の安全マスタ。
5. 前記無効化要求生成手段が、前記ネットワークに接続されたプログラマブル・ターミナルにおける所定操作により、「通信非加入中」に係る安全スレーブ又は安全ローカルＩ／Ｏユニットに対応するアドレスが通知されたときに、そのアドレスに対応する要素装置の状態信号に関する無効化要求を生成する、ことを特徴とする請求項１〜３のいずれかに記載の安全マスタ。
6. 無効化要求生成手段が、当該安全マスタ内部の通信ユニット登録テーブルを介していずれかの安全スレーブ又は安全ローカルＩ／Ｏユニットの「通信非加入中」が通知されたときに、その通知に対応する要素装置の状態信号に関する無効化要求を生成する、ことを特徴とする請求項１〜３のいずれかに記載の安全マスタ。
7. 前記判定手段は、前記安全スレーブ又は前記安全ローカルＩ／Ｏユニットとの通信が回復したことにより、「通信非加入中」から「通信加入中」への変化があったことを判定する、ことを特徴とする請求項２又は３に記載の安全マスタ。
8. 前記判定手段は、前記安全スレーブ又は前記安全ローカルＩ／Ｏユニットから有効なＩ／Ｏデータを受信したことにより、「通信非加入中」から「通信加入中」への変化があったことを判定する、ことを特徴とする請求項２又は３に記載の安全マスタ。
9. 前記判定手段は、インターロック条件が成立したことにより、「通信非加入中」から「通信加入中」への変化があったことを判定する、ことを特徴とする請求項２又は３に記載の安全マスタ。
10. インターロックが無効化されている旨を所定の表示器に表示する表示制御手段を有する、ことを特徴とする請求項１〜３のいずれかに記載の安全マスタ。
11. インターロックが無効化されておらず、かついずれかの安全スレーブ又は安全ローカルＩ／Ｏユニットが「通信非加入中」に限り、通信異常の旨を所定の表示器に表示する表示制御手段を有する、ことを特徴とする請求項１〜３のいずれかに記載の安全マスタ。

Images