JP2010262432A - 安全制御装置 - Google Patents

Abstract

【課題】低コストで実現可能かつ拡張性に優れた安全制御装置を得ること。
【解決手段】本発明にかかる安全制御装置は、プロセッサ（２Ａまたは２Ｂ）およびプロセッサが演算を行う際に利用するＲＡＭ（４Ａまたは４Ｂ）を備え、それぞれ同じ処理を並列に実行し、得られた処理結果をＲＡＭ（４Ａまたは４Ｂ）へ格納する情報処理部Ａ，Ｂと、ＲＡＭ４Ａ，４Ｂに格納されている処理結果を照合する照合回路５と、照合回路５による照合結果およびＲＡＭ４Ａ，４Ｂに格納されている処理結果に基づいて、処理結果に従って動作するように指示する信号、または安全側で停止するように指示する信号を生成し、制御対象機器へ出力する出力回路６と、を備える。
【選択図】図１

Description

本発明は、工作機械、産業用ロボット、プラント、輸送機械などの安全システムにおいて、安全制御を行う安全制御装置に関する。

安全性が要求される制御装置では、その内部の論理回路に万一故障が発生したとしても、故障を検出すると安全状態とする制御を行うことで、制御対象が危険側の状態になるのを回避する機能を有する。このような機能をフェイルセーフ機能と呼び、フェイルセーフ機能を持つ論理回路を安全論理回路と呼んでいる。安全論理回路は多重系で構成され、複数の処理結果を比較回路に入力して不一致検出を行い、不一致検出時には安全論理回路の故障と判断し、制御対象を安全側に固定するような制御信号を出力する。

下記特許文献１には、このような安全論理回路の具体例が示されている。特許文献１によれば、この安全論理回路は、二重系のＣＰＵ、メモリ、デュアルポートメモリ、入力回路、出力回路と、単一系の読出制御回路、照合回路から構成され、二重系のそれぞれのＣＰＵが独立して安全制御プログラムを実行した結果をそれぞれのデュアルポートメモリに格納し、読出制御回路と照合回路がそれらの実行結果を比較し、不一致を検出すると二重系部分の故障と判断し、安全側に固定した制御信号を出力する。また、照合比較回路はハードウェアで構成される。これにより、照合をＣＰＵのプログラムで実行するよりも高速に実施し、処理能力の高い安全論理回路を実現している。

特開２００６−３３８０９４号公報

しかしながら、上記従来の安全論理回路では、比較的高価なデバイスであるデュアルポートメモリを照合データ格納用に使う必要がある。そのため、安全論理回路が高額となってしまう、という問題があった。また、デュアルポートメモリは特殊なデバイスであることから、入手性に難があり、さらに、比較的小容量なメモリであるため、基板設計後に照合データを拡張する場合、デバイス交換や基板再設計が必要となる可能性が高く、拡張性に劣る、という問題があった。

本発明は、上記に鑑みてなされたものであって、低コストで実現可能かつ拡張性に優れた安全制御装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかる安全制御装置は、プロセッサおよび当該プロセッサが演算を行う際に利用するメモリを備え、それぞれ同じ処理を並列に実行し、得られた処理結果を前記メモリへ格納する複数の情報処理手段と、前記複数の情報処理手段それぞれのメモリに格納されている前記処理結果を照合する照合手段と、前記照合手段による照合結果および前記メモリに格納されている処理結果に基づいて、当該処理結果に従って動作するように指示する信号、または安全側で停止するように指示する信号を生成し、制御対象機器へ出力する制御信号生成手段と、を備えることを特徴とする。

本発明によれば、入手性が良く、安価かつ大容量のメモリを用いることができるとともに拡張性に優れた安全制御装置を実現できる、という効果を奏する。

図１は、実施の形態１の安全制御装置の構成例を示す図である。 図２は、実施の形態１の安全制御装置におけるＲＡＭのメモリマップの一例を示す図である。 図３は、実施の形態１の安全制御装置における処理フローの一例を示す図である。 図４は、実施の形態２の安全制御装置の構成例を示す図である。 図５は、実施の形態２の安全制御装置における処理フローの一例を示す図である。 図６は、実施の形態３の安全制御装置の構成例を示す図である。 図７は、実施の形態３の安全制御装置におけるＲＡＭのメモリマップの一例を示す図である。 図８は、実施の形態３の安全制御装置におけるバスアクセスタイミングの一例を示す図である。

以下に、本発明にかかる安全制御装置の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明にかかる安全制御装置の実施の形態１の構成例を示す図である。本実施の形態の安全制御装置は、外部から入力情報を受け取る入力回路１と、プロセッサ２Ａ、ＲＯＭ（Read Only Memory）３ＡおよびＲＡＭ（Random Access Memory）４Ａを含み、入力情報に対して所定の処理を実行する情報処理部Ａと、プロセッサ２Ｂ、ＲＯＭ３ＢおよびＲＡＭ４Ｂを含み、入力情報に対して所定の処理を実行する情報処理部Ｂと、各情報処理部における処理結果を照合する照合回路５と、内部で生成した各種情報などを出力する出力回路６とを備える。図示したように、この安全制御装置は、Ａ系とＢ系の２つの制御系（情報処理部Ａ，Ｂ）を備え、情報処理部ＡとＢは、同一構成となっている。なお、Ａ系の各部、照合回路５および出力回路６はバス７Ａで接続されており、Ｂ系の各部、照合回路５および出力回路６はバス７Ｂで接続されている。

図２は、実施の形態１の安全制御装置におけるＲＡＭ４Ａ，４Ｂのメモリマップの一例を示す図であり、各ＲＡＭには、実行データ格納部（プロセッサ２Ａ／２Ｂの実行データ格納部）および照合データ格納部（プロセッサ２Ａ／２Ｂの照合データ格納部）が含まれている。また、図３は、実施の形態１の安全制御装置における処理フローの一例を示す図である。以下、これらの図面を参照しながら本実施の形態の安全制御装置の動作を説明する。

図３に示した処理フローに沿って動作を説明する。入力回路１は、入力情報（情報＃１とする）をプロセッサ２Ａおよび２Ｂに送り、プロセッサ２Ａおよび２Ｂは入力情報（情報＃１）を受け取る（ステップＳ１Ａ，Ｓ１Ｂ）。各系のＲＯＭ３Ａおよび３Ｂには同じプログラムが格納されており、プロセッサ２Ａおよび２Ｂは、それぞれ独立してプログラムを実行して情報＃１を処理する（ステップＳ２Ａ，Ｓ２Ｂ）。プログラム実行時にはＲＡＭ４Ａおよび４Ｂ内の実行データ格納部（図２参照）を利用する。プロセッサ２Ａおよび２Ｂは、情報＃１に対する処理が終了すると、情報＃１および処理結果をＲＡＭ４Ａおよび４Ｂ内の照合データ格納部（図２参照）に照合データとして書き込む（ステップＳ３Ａ，Ｓ３Ｂ）。また、書込みが終了すると、照合回路５へ照合可能指示を送る（ステップＳ４Ａ，Ｓ４Ｂ）。なお、プロセッサ２Ａ，２Ｂはそれぞれ独立してプログラムを実行しているため、図３に示した例のように照合データ格納タイミングがずれるケースもある。

照合回路５は、照合可能指示をプロセッサ２Ａおよび２Ｂの両方から受け取ると、ＲＡＭ４Ａおよび４Ｂの照合データ格納部に格納された情報を読み出して、多数のデータの照合を行う（ステップＳ５）。照合回路５は、読み出した多数のデータのうち一つでも不一致であると、照合結果を不一致とする。

プロセッサ２Ａおよび２Ｂは、照合回路５におけるデータ照合処理が終了後、所定のタイミングで照合結果を読み出し（ステップＳ６Ａ，Ｓ６Ｂ）、照合結果に応じた制御情報を出力回路６へ出力する（ステップＳ７Ａ，Ｓ７Ｂ）。すなわち、プロセッサ２Ａおよび２Ｂは、照合結果が「一致」の場合（Ａ系およびＢ系双方の照合データ（処理結果）が一致していることを照合結果が示している場合）、処理結果を制御情報として出力回路６に出力する。一方、照合結果が「不一致」の場合（処理結果が一致していないことを照合結果が示している場合）には、Ａ系またはＢ系のいずれか、もしくは照合回路５が故障していると判定し、安全側になるような制御情報を出力回路６に出力する。出力回路６は、Ａ系およびＢ系からの制御情報に基づいた制御信号（制御対象が制御情報に従って動作するように指示する信号，制御対象が安全側で停止するように指示する信号）を生成し、制御対象機器へ出力する。

以上が本実施の形態の安全制御装置による１処理周期あたりの動作である。その後、安全制御装置では、入力回路１が次の入力情報（情報＃２）を受け取ると、それをプロセッサ２Ａおよび２Ｂに送り（ステップＡ８Ａ，Ｓ８Ｂ）、上記と同様の処理が実行される。

ここで、入力情報が位置や速度といった連続データである時、プロセッサ２Ａと２Ｂが入力情報を受け取る時間差があると、入力情報に誤差がある場合がある。この場合、照合回路５では単なる一致ではなく、処理結果の許容誤差をあらかじめ決めておき、誤差の範囲内か否かを照合しても良い。

また、ここで、出力回路６では、Ａ系およびＢ系からの制御情報を照合しても良い。この場合、制御情報が一致している場合には、制御情報をそのまま制御信号として送信する。不一致の場合には、Ａ系またはＢ系、照合回路５、もしくは自分（出力回路６）が故障していると判定し、安全側になるような制御信号を出力する。

また、ここで、ＲＡＭ４Ａおよび４Ｂのメモリマップ（図２参照）はプログラムされた初期設定値で自由に変更可能であり、同じプログラムであるためメモリマップは同一となる。また、ＲＡＭ４Ａおよび４Ｂは汎用的なメモリ、例えば、ＳＲＡＭやＤＲＡＭで実現することができる。ＳＲＡＭやＤＲＡＭは入手しやすく、特にＤＲＡＭは比較的安価で大きな容量を持つメモリとして知られている。そのため、実行データ格納部と照合データ格納部の必要容量の合計よりも余裕のあるメモリを選択しておけば、後にメモリマップを変更することで照合データ格納部を拡張することも可能である。

このように、本実施の形態の安全制御装置は、プロセッサ、プロセッサで実行するプログラムを格納したＲＯＭおよびプロセッサが演算処理で利用するＲＡＭを含んだ情報処理部を複数備え、各情報処理部は同じ処理を実行し、双方の処理結果が異なる場合、故障であると判断して、制御対象機器が安全な状態となるように制御することとした。また、処理結果は、汎用的なメモリであるＳＲＡＭやＤＲＡＭで管理することとした。これにより、入手性が良く、安価かつ大容量のメモリを用いることができ、拡張性に優れた安全制御装置を実現できる。

実施の形態２．
図４は、本発明にかかる安全制御装置の実施の形態２の構成例を示す図である。本実施の形態の安全制御装置は、実施の形態１の安全制御装置（図１参照）の照合回路５および出力回路６を照合回路５ａおよび出力回路６ａに置き換えた構成をとる。その他の部分については実施の形態１の安全制御装置と同様であるため、同じ構成要素には同一の符号を付して説明を省略する。

本実施の形態の安全制御装置では、情報処理部Ａ，Ｂと出力回路６ａは直接接続されておらず、照合回路５ａが出力回路６ａに対して、制御情報信号８および照合結果信号９を出力するように構成されている。

また、図５は、実施の形態２の安全制御装置における処理フローの一例を示す図である。なお、図５においては、実施の形態１の安全制御装置と同じ処理に対して、実施の形態１で示した処理フロー（図３参照）と同一のステップ番号を付している。以下、この処理フローに沿って本実施の形態の安全制御装置の動作を説明する。なお、実施の形態１で説明済みの処理については、説明を省略する。

本実施の形態の安全制御装置では、まず、プロセッサ２Ａおよび２Ｂがそれぞれ、ステップＳ１Ａ〜Ｓ４ＡおよびステップＳ１Ｂ〜Ａ４Ｂを実行する。ただし、ステップＳ３ＡおよびＳ３Ｂで格納する照合データ（情報＃１，処理結果）は制御情報を含むものとする。

各プロセッサによる上記動作が終了すると、照合回路５ａは、ＲＡＭ４Ａおよび４Ｂの照合データ格納部に格納された情報（照合データ）を読み出して照合を行い（ステップＳ５）、この照合結果と、照合データ（照合を行った情報）の一部であるプロセッサ２Ａおよび２Ｂの制御情報を出力回路６ａへ送る（ステップＳ１１）。出力回路６ａは、受信した制御情報の照合および制御信号の出力を行う（ステップＳ１２，Ｓ１３）。すなわち、受信した照合結果が「一致」の場合（Ａ系およびＢ系双方の照合データが一致していることを照合結果が示している場合）には、照合回路５ａから受信した制御情報に基づいた制御信号を出力する。一方、照合結果が「不一致」の場合には、Ａ系またはＢ系、照合回路５ａ、もしくは自分（出力回路６ａ）が故障していると判定し、安全側になるような制御信号を出力する。

ここで、ＲＡＭ４Ａ，４Ｂは実施の形態１と同様、汎用的なメモリで実現することができる。また、照合データ格納部を拡張することも可能である。

このような構成の安全制御装置とした場合であっても、実施の形態１の安全制御装置と同様の効果を得ることが可能である。

実施の形態３．
図６は、本発明にかかる安全制御装置の実施の形態３の構成例を示す図である。本実施の形態の安全制御装置は、実施の形態１の安全制御装置（図１参照）に対して、調停回路１０Ａおよび１０Ｂ，反転回路１１Ａおよび１１Ｂ，ＲＡＭ４０Ａおよび４０Ｂを追加した構成をとる。プロセッサ２Ａ、ＲＯＭ３Ａ、ＲＡＭ４Ａおよび調停回路１０Ａは、バス７Ａで接続され、プロセッサ２Ｂ、ＲＯＭ３Ｂ、ＲＡＭ４Ｂおよび調停回路１０Ｂは、バス７Ｂで接続されている。また、調停回路１０Ａ、反転回路１１Ａ、照合回路５および出力回路６はバス７０Ａで接続され、調停回路１０Ｂ、反転回路１１Ｂ、照合回路５および出力回路６はバス７０Ｂで接続されている。その他の部分については実施の形態１の安全制御装置と同様であるため、同じ構成要素には同一の符号を付して説明を省略する。

図７は、実施の形態３の安全制御装置におけるＲＡＭ４Ａ，４Ｂ，４０Ａ，４０Ｂのメモリマップの一例を示す図であり、各ＲＡＭには、実行データ格納部（プロセッサ２Ａ／２Ｂの実行データ格納部（メイン／シャドウ））および照合データ格納部（プロセッサ２Ａ／２Ｂの照合データ格納部（メイン／シャドウ））が含まれている。また、図８は、実施の形態３の安全制御装置におけるバスアクセスタイミングの一例を示す図である。以下、これらの図面を参照しながら本実施の形態の安全制御装置の動作を説明する。なお、本実施の形態の安全制御装置の全体動作は、実施の形態１で示した図３のフローに従う。

図６に示した本実施の形態の情報処理では、ＲＡＭ４０Ａ，４０Ｂには、反転回路１１Ａ，１１Ｂが接続され、それぞれプロセッサ２Ａ，２ＢからＲＡＭ４Ａ，ＲＡＭ４Ｂに書き込まれる情報の反転情報が格納される。この手法は「ＩＥＣ６１５０８“Ｆｕｎｃｔｉｏｎａｌ ｓａｆｅｔｙ ｏｆ ｅｌｅｃｔｒｉｃａｌ／ｅｌｅｃｔｒｏｎｉｃ／ｐｒｏｇｒａｍｍａｂｌｅ ｅｌｅｃｔｒｏｎｉｃ ｓａｆｅｔｙ−ｒｅｌａｔｅｄ ｓｙｓｔｅｍｓ （Ｅ／Ｅ／ＰＥＳ）”」の第７部附属書Ａ．５．７に「ＲＡＭの安全性診断技法」として紹介されている。したがって、ＲＡＭ４０Ａ，４０Ｂや反転回路１１Ａ，１１Ｂは、この発明の実施の形態３を実現するにあたって追加した回路ではない。

本実施の形態の安全制御装置においても、プロセッサ２Ａおよび２Ｂが、入力回路１から受け取った情報（入力情報）に対して所定の処理を実行し、得られた処理結果を受け取った入力情報とともに照合データとして照合データ格納部（図７参照）へ書き込む（図３に示したステップＳ１Ａ〜Ｓ３Ａ，Ｓ１Ｂ〜Ｓ３Ｂに相当する動作）。またこのとき、照合データは調停回路１０Ａおよび反転回路１１Ａ，調停回路１０Ｂおよび反転回路１１Ｂを介してＲＡＭ４０Ａ，４０Ｂに対しても書き込まれ、この結果、ＲＡＭ４０Ａおよび４０ＢにはＲＡＭ４Ａおよび４Ｂの反転情報が格納される。

照合回路５は照合可能指示をプロセッサ２Ａと２Ｂの両方から受け取ると、ＲＡＭ４０Ａおよび４０Ｂのそれぞれから情報を読み出して照合する（図３に示したステップＳ４Ａ，Ｓ４Ｂ，Ｓ５に相当する動作）。本実施の形態の安全制御装置では、照合中（照合回路５が照合データの照合動作を実行中）であっても、プロセッサ２Ａおよび２Ｂからバス７Ａおよびバス７Ｂへのアクセスを生じても良いこととし、調停回路１０Ａおよび１０Ｂでは、図８に示したように、照合回路５のバス７０Ａおよび７０Ｂのアクセスと調停を行い、各プロセッサのＲＡＭアクセスと照合回路５のＲＡＭアクセスが衝突するのを防止する。

一般的に、プロセッサからメモリへのアクセスは、常時行われているわけではなく、プロセッサ内蔵のレジスタだけで演算処理をしている場合や、プロセッサ内にキャッシュと呼ばれる一時メモリを持っている場合には、キャッシュのアドレス・データが一致しないキャッシュミスヒットと呼ばれる状態（動作）が発生しない限り、プロセッサはメモリにはアクセスしない。そのため、アクセス調停を行うことで、プロセッサがバスを使っていない時に、ハードウェアで照合データを読み出す時間を捻出することが可能である。

ここで、図８に示したケースでは、プロセッサ２Ａ，２Ｂのアクセスが照合回路５のアクセスより優位として調停を行っているが、優先度を逆としても良いし、アクセスしている時間によって調停しても良い。

プロセッサ２Ａおよび２Ｂは、照合結果をそれぞれ照合回路５から読み出し、照合結果に応じた制御情報を出力回路６に出力する（図３に示したステップＳ６Ａ，Ｓ６Ｂ，Ｓ７Ａ，Ｓ７Ｂに相当する動作）。制御情報の出力動作では、照合結果が「一致」の場合（Ａ系およびＢ系双方の照合データが一致していることを照合結果が示している場合）、処理結果を制御情報として出力回路６に出力する。一方、照合結果が「不一致」の場合（処理結果が一致していないことを照合結果が示している場合）には、装置内で故障が発生していると判断し、安全側になるような制御情報を出力回路６に出力する。出力回路６では、Ａ系およびＢ系からの制御情報に基づいた制御信号を出力する。

ここで、ＲＡＭ４Ａ，４Ｂは実施の形態１と同様、汎用的なメモリで実現することができる。また、照合データ格納部を拡張することも可能である。

このように、本実施の形態の安全制御装置は、実施の形態１で示した安全制御装置を変形し、各プロセッサと照合回路との間に調停回路を追加し、調停回路は、プロセッサとＲＡＭの双方がアクセス可能なＲＡＭに対して、プロセッサおよび照合回路の双方から同時にアクセスが発生しないように、アクセスタイミングを調整することとした。これにより、実施の形態１，２の安全制御装置と同様の効果が得られるとともに、プロセッサがバスを使っていない時にハードウェア（調停回路）により照合データの読み出しを行うことができるため、プロセッサが照合時間を効率的に利用でき、処理速度を向上させることができる。

以上のように、本発明にかかる安全制御装置は、工作機械、産業用ロボット、プラント、輸送機械などを制御する場合に有用であり、特に、故障が発生した場合に制御対象が危険側の状態になるのを回避して安全性を確保する安全システムの制御装置に適している。

１ 入力回路
２Ａ，２Ｂ プロセッサ
３Ａ，３Ｂ ＲＯＭ
４Ａ，４Ｂ，４０Ａ，４０Ｂ ＲＡＭ
５，５ａ 照合回路
６，６ａ 出力回路
７Ａ，７Ｂ，７０Ａ，７０Ｂ バス
８ 制御情報信号
９ 照合結果信号
１０Ａ，１０Ｂ 調停回路
１１Ａ，１１Ｂ 反転回路

Claims (5)

1. プロセッサおよび当該プロセッサが演算を行う際に利用するメモリを備え、それぞれ同じ処理を並列に実行し、得られた処理結果を前記メモリへ格納する複数の情報処理手段と、
   前記複数の情報処理手段それぞれのメモリに格納されている前記処理結果を照合する照合手段と、
   前記照合手段による照合結果および前記メモリに格納されている処理結果に基づいて、当該処理結果に従って動作するように指示する信号、または安全側で停止するように指示する信号を生成し、制御対象機器へ出力する制御信号生成手段と、
   を備えることを特徴とする安全制御装置。
2. 前記制御信号生成手段は、
   前記照合結果が、各情報処理手段における処理結果が一致していることを示している場合、前記処理結果に従って動作するように指示する信号を生成し、各情報処理手段における処理結果が不一致であることを示している場合には、安全側で停止するように指示する信号を生成することを特徴とする請求項１に記載の安全制御装置。
3. 前記情報処理手段は、処理結果の前記メモリへの格納が完了するとその旨を前記照合手段へそれぞれ通知し、
   前記照合手段は、すべての情報処理手段から処理結果の格納完了通知を受けた場合に、前記メモリの各々から処理結果を取得して照合処理を実行し、得られた照合結果および当該処理結果を前記制御信号生成手段へ出力することを特徴とする請求項１または２に記載の安全制御装置。
4. プロセッサおよび当該プロセッサが演算を行う際に利用するメモリを備え、それぞれ同じ処理を並列に実行し、得られた処理結果を前記メモリへ格納する複数の情報処理手段と、
   前記各情報処理手段が備えているメモリである第１のメモリとそれぞれ対応し、当該第1のメモリに格納されている情報の反転情報を格納する、前記情報処理手段と同数の第２のメモリと、
   前記第２のメモリにそれぞれ格納されている反転情報を照合する照合手段と、
   各情報処理手段と前記第２のメモリとの間に位置し、前記各プロセッサによる前記各第２のメモリへのメモリアクセスタイミングと前記照合手段による前記各第２のメモリへのメモリアクセスタイミングを調停する複数の調停手段と、
   前記照合手段による照合結果および前記第１のメモリに格納されている処理結果に基づいて、当該処理結果に従って動作するように指示する信号、または安全側で停止するように指示する信号を生成し、制御対象機器へ出力する制御信号生成手段と、
   を備えることを特徴とする安全制御装置。
5. 前記制御信号生成手段は、
   前記照合結果が、各情報処理手段における処理結果が一致していることを示している場合、前記処理結果に従って動作するように指示する信号を生成し、各情報処理手段における処理結果が不一致であることを示している場合には、安全側で停止するように指示する信号を生成することを特徴とする請求項４に記載の安全制御装置。

Images