JP2012510096A - 自動化システムを制御する安全コントローラおよびその制御方法 - Google Patents

Abstract

【課題】制御される設備の確認されたプロセス状態または安全コントローラのシステム状態を表す情報の伝達をより簡単かつよりフレキシブルに、特に表示される情報を外部の状況に合わせて調整できるようにする。
【解決手段】安全コントローラ２２は、センサによって複数の制御入力信号３２が供給され、制御ユニットでランするユーザプログラム３８に従い制御入力信号に基づいて自動モードで複数の制御出力信号３４を生成し、前記複数の制御出力信号３４を使用して複数のアクチュエータ１６を起動する。複数の診断入力信号６６が供給され、診断入力信号に基づいて複数の作動状態１２２のうちどれがある決まった時点に存在するか確認するように設計されており、確認された作動状態を表す作動状態データ記録６８を生成する診断評価ユニット６４と、診断レポートを表示するように設計されているディスプレイユニット７２用のインターフェース７０とを有する。作動状態データ記録６８は、複数の診断データとブール型ステータスインジケータとを有し、制御ユニット２２は、ブール型ステータスインジケータに基づいて少なくとも１つのアクチュエータを起動するように設計されている。
【選択図】図１

Description

本発明は、複数のセンサと複数のアクチュエータとを備える自動化設備を制御するための安全コントローラおよびその制御方法に関する。

本発明に関する安全コントローラとは、センサが送出する入力信号を受信して、それに基づきロジックの組み合わせによって、さらに別の信号またはデータ処理ステップによって出力信号を生成する機器または装置である。出力信号はアクチュエータに供給され、アクチュエータは入力信号に基づいて環境に特定のアクションまたは反応をもたらす。
この種の安全コントローラの好適な使用分野は、機械の安全性の分野における緊急停止押しボタン、両手操作コントローラ、防護扉またはライトグリッドのモニタリングである。前記センサは、例えば、操作中に人や資材に危険のある機械を保護するために使用される。防護扉が開いているとき、または緊急停止押しボタンが作動しているとき、入力信号として安全コントローラに供給される各信号が生成される。それに応答して、安全コントローラはさらにアクチュエータを使用して、例えば、危険を示している機械の部分をシャットダウンする。

「普通の」コントローラに対する安全コントローラの特徴とは、安全コントローラは設備もしくは機械またはそれに接続されているデバイスに誤作動が生じたとしても、危険を示す設備または機械の安全状態を常に確保することである。そのため、安全コントローラのそれ自体のフェールセーフ性に関してはきわめて高い要求がなされている結果、開発および製造がかなり複雑になる。

通常、安全コントローラは、使用前に、専門団体またはドイツではＴＵＶなどの適格な監督機関によって特定の承認を要する。この場合、安全コントローラは、例えば、欧州規格ＥＮ ９５４−１またはＩＥＣ６１５８規格もしくはＥＮ ＩＳＯ１３８４９−１規格などの同様の規格で定められる規定の安全標準を遵守しなければならない。そのため、以下において安全コントローラは少なくとも引用される欧州規格ＥＮ ９５４−１の安全カテゴリ３に準拠するデバイスまたは構成を意味すると理解される。

プログラマブル安全コントローラは、ユーザが通例ユーザプログラムと呼ばれる１つのソフトウェアを使用して自分のニーズに応じてロジックの組み合わせ、およびさらに別の任意の信号またはデータ処理ステップを個別に定義できる。このため、ロジックの組み合わせが様々な安全デバイスの選択されたハード配線によって画定されていた初期のソリューションと比較してかなりのフレキシビリティがある。例えば、ユーザプログラムは市販のパーソナル・コンピュータ（ＰＣ）および適切にセットアップされたソフトウェアプログラムを使用して書き込むことができる。

実際の誤作動の検出、および制御される機械または設備が安全状態に移行するために使用される適切な対策の発動に加えて、制御される機械もしくは設備のユーザまたは別の人に対して、発生した誤作動に関する情報を提供することも重要である。
そのため、周知の安全コントローラでは、誤作動を表す診断レポートをディスプレイユニットで表示する。この場合、表示される診断レポートは、適切な診断ユニットがすでに確認している誤作動だけに依存する。誤作動の検出は、安全コントローラの複数のシステム状態がある決まった時点に存在することの確認に対応する。

周知の安全コントローラおよび方法は、安全コントローラのシステム状態および制御される設備のプロセス状態を確実に確認するが、情報の伝達、つまり確認されたシステム状態およびプロセス状態を表す情報の伝達に関してはなお最適ではない。
そのため、本発明の目的は、制御される設備の確認されたプロセス状態または安全コントローラのシステム状態を表す情報の伝達をより簡単かつよりフレキシブルに、特に表示される情報を外部の状況に合わせて調整できるようにするために、冒頭に引用した種類の安全コントローラおよびその制御方法を改良することである。

本発明の安全コントローラは、複数の制御入力信号がセンサから供給され、前記制御ユニットでランするユーザプログラムに従い前記制御入力信号に基づいて自動モードで複数の制御出力信号を生成するように設計されており、前記複数の制御出力信号を使用して複数のアクチュエータを起動する制御ユニットと、複数の診断入力信号が供給され、複数の作動状態がある決まった時点に存在することの確認の根拠として前記複数の診断入力信号を解釈するように設計されており、確認された作動状態を表す作動状態データ記録を生成する診断評価ユニットと、診断レポートを表示するように設計されているディスプレイユニット用のインターフェースとを有しており、前記作動状態データ記録は複数の診断データとブール型ステータスインジケータとを有し、前記制御ユニットは前記ブール型ステータスインジケータに基づいて少なくとも１つのアクチュエータを起動するように設計されている。

前記目的は、以下のステップを含む本発明の方法でも達成される。
複数の制御入力信号をセンサから制御ユニットに供給するステップで、前記制御ユニットは前記制御ユニットでランするユーザプログラムに従い前記制御入力信号に基づいて自動モードで複数の制御出力信号を生成するように設計されており、前記複数の制御出力信号を使用して複数のアクチュエータを起動する、前記供給するステップと、―複数の診断入力信号に基づいてある決まった時点に複数の作動状態のうちどれが存在するかを確認し、さらに確認された作動状態を表す作動状態データ記録を生成するステップで、前記作動状態データ記録は複数の診断データとブール型ステータスインジケータとを有する、前記確認および生成するステップと、―前記診断データのすくなくとも一部をディスプレイユニットに表示するステップと、―前記ブール型ステータスインジケータに基づいてアクチュエータを起動するステップとを含む。

本発明の安全コントローラおよび本発明の方法は、診断情報を表示するために、好ましくは全ての診断関連データを含む作動状態データ記録を提供するという概念に基づいている。しかし、作動状態データ記録は、ユーザプログラムでブール変数として検索および読み取ることのできるブール型ステータスインジケータをさらに有する。そのため、作動状態データ記録に基づいて（およびそのため間接的に、最善の状態で、「本物の」センサ信号に基づいて）、警告灯またはブザーなどのアクチュエータを作動させることが可能である。そのため、制御ユニットにはシステムまたはプロセスの診断に必要な全ての情報を特定的に累積するさらに別の入力情報が供給される。本発明の作動状態データ記録は、システム全体で統一され、診断情報の非常にフレキシブルな表示および選択、さらに作動状態に対する特定の反応も可能にする一貫性のある診断情報を提供する。

好適な改良形態では、複数の作動状態は、制御される設備の少なくとも１つのプロセス状態と安全コントローラの少なくとも１つのシステム状態とを含んでおり、作動状態データ記録は、プロセス状態およびシステム状態を表す。
この場合、安全コントローラのシステム状態とは、安全コントローラおよびそれに接続されている、センサ、アクチュエータのような周辺機器を表す全ての状態を示すことが意図される。対して、制御される設備のプロセス状態とは、制御される設備が制御されるプロセスで採用できる状態であり、前記プロセスは安全コントローラで実行されるユーザプログラムによって定義される。例として、センサの故障またはセンサに繋がるラインの短絡はシステム状態であり、「タンク空」という状態は、燃料貯蔵庫のプロセス状態を示す。

共通の中央データ記録でプロセス状態およびシステム状態を生成する診断情報の組み合わせは、特に前記データ記録が変数のようにユーザプログラムで処理される場合、診断情報へのアクセスをさらに一層簡便にする。ユーザプログラムは、診断関連情報の全てに集中的にアクセスできる。
別の改良形態では、作動状態データ記録は互いに異なる複数の診断レポートを含んでおり、前記診断レポートのそれぞれが確認された作動状態を表す。好ましくは、これら診断レポートのそれぞれは、選択された特殊作動モードおよび／またはアクセス認証に応じて確認された作動状態を表し、診断レポートは、選択された特殊モードおよび／またはアクセス認証に応じて表示される。

通常、診断レポートは次の４つの成分を含む。何が起こったかに関する情報、つまりどのような故障またはどのようなエラーが存在するかを提供する「ｗｈａｔ」成分。故障またはエラーがどこで発生したかに関する情報を提供する「ｗｈｅｒｅ」成分。故障またはエラーをどのように是正できるかに関する情報を提供する「ｈｏｗ」成分。誰が故障またはエラーを是正できるかに関する情報を提供する「ｗｈｏ」成分。

表示される診断レポートをディスプレイで読み取っている人のアクセス認証に合わせて調整すると特に有利である。ユーザの場合、通常、何が起こったか、または何が故障状態であるかおよび誰が故障を是正できるかを知らせれば十分である。特に、誰が故障を是正できるか、つまり適切な担当者が誰であるかに関する情報は、関係者に直接連絡できるため、時間の節約になり、そのためコストの節約に繋がる。単なるユーザの場合、この人はアクセス認証が無いために故障を是正できないため、故障をどのように是正できるかを表示する必要はない。保守員の場合、そのアクセス認証に基づいてこの人が是正できる故障に関する限り、診断レポートは何が発生したかに関する情報だけでなく、どこで故障が発生したかとどのように是正できるかとに関する情報も含むことができる。そのアクセス認証に基づいて保守員が是正できない故障の場合、診断レポートはどのような種類の故障が存在するかと、誰が是正できるかとに関する情報を含めれば十分である。セットアップ担当者の場合、ユーザプログラムのプログラマの場合、および安全コントローラの製造者の場合、診断レポートは通常何が発生したか、どこで発生したか、故障をどのように是正できるか、および誰がそれをできるかに関する情報を含む。この場合、セットアップ担当者から始まり、ユーザプログラムのプログラマ、さらに安全コントローラの製造者まで、どのように故障を是正できるかに関する情報成分は増えていき、同時に故障を是正できる情報成分は減少していく。セットアップ担当者からユーザプログラムのプログラマ、さらに安全コントローラの製造者になるにつれて、制御される設備または安全コントローラに介入行為をする機会は、アクセス認証の増加によって増えるためである。セットアップ担当者およびユーザプログラムのライターに比べて、安全コントローラの製造者は、安全コントローラに何が起こったかかに関する情報成分の観点を重視するだろう。表示される故障に関わる安全コントローラの製造者の場合、例えば、安全コントローラが備えるロジック・ハードウェアコンポーネントまたは安全コントローラに実装されるオペレーティング・システムである。安全管理者向けの診断レポートは、どのような種類の故障が起こったかに関する情報、および追加でこれら故障がいつ起こったかに関する情報を主に含む。

制御される設備の確認されたプロセス状態に関して、検出されたアクセス認証に基づいて確認されたプロセス状態を表す診断レポートを選択することも非常に効果的である。確認されたプロセス状態を表す診断レポートは、制御される設備がユーザプログラムで定義されるどの状態をとっているかに関する情報を含む。この場合も、ディスプレイユニットによって表示される情報の内容は、ディスプレイユニットで診断レポートを読み取っている人に合わせて調整できる。このように、ユーザ、保守員および安全管理者にとって、制御される設備がある決まった時点にとる個々のプロセス状態に関して通知されることは非常に重要である一方、セットアップ担当者、ユーザプログラムのライターおよび安全コントローラの製造者にとっては、この重要性は低い。例として、これらの人々にとって、プロセス状態を表す診断レポートは、「正しい作動」または「誤った作動」という情報内容にまとめることができる。ときには、前記診断レポートの表示を省くことさえできる。総合的にみると、これによってディスプレイユニットの読みやすさまたは平明さが高まる。

制御される設備の確認されたプロセス状態に関して、このプロセス状態を表す診断レポートを特殊作動モードに基づいて選択することも非常に有利である。設備が自動モードで作動している場合、確認されたプロセス状態に関係する全ての診断レポートが表示されるはずである。しかし、この場合、診断レポートの情報内容をディスプレイユニットによって診断レポートを表示している読み手の役割に合わせて調整するよう推奨される。例として、このため設備のユーザにはある特定の液体容器が補充の必要があることを通知すれば十分である。対して、保守員には追加でこの容器が設備のどの場所にあるかと、例えば、補充するべき液体がどこに保管されているかとを通知できる。安全管理者の場合、伝える情報は、例えば、安全管理者が行う必要のある評価に関して条件付けることができる。上記説明は、選択した特殊作動モードおよび検出されたアクセス認証の両方に基づいて診断レポートを特定することが特に有利であることを示している。特にディスプレイユニットを読み取る人に関連するアクセス認証は、上記説明で示すように、選択した特殊作動モードに必ずしも相関する必要がないためにこのことが当てはまる。設備をセットアップモードで作動させる場合、例として、例えば開いている防護扉に起因するプロセス状態を表す診断レポートを停止することが可能である。これら診断レポートは、セットアップ作業の範囲内で制御される設備に対して作業をしているセットアップ担当者が把握していない情報内容を一切有していないためである。セットアップ担当者は、防護扉が開いていることを知っている。対して、例として、セットアップ担当者が計画する動きの組み合わせが機械の状況に一致しているかどうかに関する情報項目を含む、特にセットアップモードに適合させた診断レポートを表示できる。設備を週末モードで作動させる場合、週末モードのためにシャットダウンしている設備部分から生じるプロセス状態を表す診断レポートに関しては、この特殊作動モードではこれら診断レポートを無視できるため、停止するよう推奨される。

安全コントローラの確認されたシステム状態に関して、選択された特殊作動モードに基づいてシステム状態を表す診断レポートを特定することも特に効果的である。設備を自動モードで作動させている場合、システム状態を表す全ての診断レポートを表示するべきである。この場合、何がどこで起こっているかに関する情報だけでなく、誰が故障を是正できるかに関する情報も示すことも通常必要である。対して、設備に修理作業を行える作動モードで設備を作動させている場合、システム状態を表す診断レポートは、通常修理を行う人は相応の能力を有しているため、誰が故障を是正できるかに関する詳細を含める必要はない。このような場合、故障を是正するために何を行う必要があるかに関する情報を代わりに表示するのが有利である。同様に、修理または交換の必要なコンポーネントに関するデータシートまたは同様な情報を表示するのが有利であろう。

上記説明は、本発明のアプローチを使用して診断レポートを非常にフレキシブルに表示できることを示している。
本発明の別の改良形態では、ユーザプログラムは、安全関連の制御入力信号がフェールセーフに処理される少なくとも１つの安全制御モジュールを有し、さらにプロセス関連の制御入力信号が主に処理される少なくとも１つの標準制御モジュールを有する。

この改良形態では、有利なことに、複数のセンサは、安全関連制御入力信号を使って安全制御モジュールに供給される安全関連変数を検出するように設計されている第１の数のセンサと、プロセス関連制御入力信号を使って標準制御モジュールに供給されるプロセス関連変数を検出するように設計されている第２の数のセンサとを備える。さらに、この改良形態は有利なことに、複数の制御出力信号が、安全制御モジュールで特定され、安全関連アクションを行うように設計されている第１の数のアクチュエータを起動することを意図されている第１の数の制御出力信号を含み、さらに標準制御モジュールで特定され、プロセス関連アクションを行うように設計されている第２の数のアクチュエータを起動することを意図されている第２の数の制御出力信号を含むように供せられる。ユーザプログラムが少なくとも１つの安全制御モジュールと、少なくとも１つの標準制御モジュールとを含むこのユーザプログラムの設計は、同一のユーザプログラムを安全制御面に関連する制御タスクと標準制御面に関連する制御タスクとの両方を取り扱うために使用できる。そのため、安全制御面に関連する制御タスクと標準制御面に関連する制御タスクとの両方を実施するように設計されている１つの安全コントローラを使用することが可能である。このことは、設備の包括的な制御、つまり安全制御面と標準制御面との両方をカバーする制御に、１つが安全制御面に関連する制御タスクを取り扱い、１つが標準制御面に関連する制御タスクを取り扱う２つのコントローラではなく、１つのコントローラしか必要ないという利点を有する。このことにより、配線に必要な複雑さも低減される。総合的にみると、この方策は設備の包括的な制御を実施する安価な方法である。この場合、標準制御モジュールを主にプロセス関連の制御入力信号を処理するために使用するという表現は、標準制御モジュールを安全関連の制御入力信号を処理するためにも使用できるという意味であることを指摘しておく。

本発明の別の改良形態では、システム状態は故障アクチュエータおよび／またはセンサを表す。
特に故障アクチュエータおよび／または故障センサを表す診断レポートの場合、伝えられる情報を、情報を読み取っている人の役割に合わせて調整することが有利である。このため例えば、設備のユーザには故障アクチュエータまたは故障センサが存在することを通知するだけで十分である。対して、保守員には追加情報を表示すると有用である。例として、これはどのアクチュエータまたはどのセンサが故障しているかに関する情報であってもよい。前記コンポーネント固有の情報を使用して、保守員は故障コンポーネントを早急に交換できる。故障アクチュエータまたは故障センサとは、正しく作動しない、または別の理由で明確に評価できないアクチュエータまたはセンサを意味する。この場合、何がセンサによって理解されることになっているかを説明するべきである。センサはもっぱら物理変数の検出に使用できる検出ユニットであってもよい。あるいは、センサはこのような検出ユニットと信号処理ユニットとを含む組み合わせとして設計してもよく、信号処理ユニットは、例えばアナログ／デジタル変換または信号増幅など、様々な信号コンディショニング対策を行うよう設計される。

前述の方策の別の改良形態では、診断評価ユニットは追加的に位置ステートメントに基づいて診断レポートを判断するよう設計されており、位置ステートメントは設備内のアクチュエータおよび／またはセンサの設置位置を表す。
特に位置ステートメントの場合、ディスプレイユニットを読み取る人の役割に応じて、診断レポートに前記位置ステートメントを含めるまたは無視すると特に有利である。例えば、ユーザはアクセス認証が無いために交換できないため、故障センサまたは故障アクチュエータがどこに位置するかは設備のユーザには関係ない。そのため、ユーザの場合には診断レポートに位置ステートメントを省くことができる。位置ステートメントを省略する結果、ディスプレイ・ユニットによって表示される情報の平明さが高まる。対して、保守員にとって位置ステートメントは有用な情報である。これがあると故障センサまたは故障アクチュエータを早急に交換できるからである。そのため、保守員用の診断レポートには位置ステートメントが含まれるべきである。

本発明の別の改良形態では、ユーザプログラムは複数のソフトウェアコンポーネントを提供することによって設定され、複数のソフトウェアコンポーネントは制御される自動化設備の複数の設備ハードウェアコンポーネントに対応する。
この方策のおかげで、ユーザプログラムを特に簡潔かつ明瞭に書き込むことが可能である。これは安全コントローラのプログラミングの相対的に高いレベルのフェールセーフ性に役立つ。

ディスプレイユニットを読み込んでいる人に合わせて診断レポートを調整する場合、これら多くの情報項目のうちのどれを診断レポートに入れることにするか、および個々の情報項目の説明をどれくらい詳細にすべきかを定義する必要がある。どちらも人に関連するアクセス認証を評価することによって定義できる。ユーザの場合、この情報成分はどのような故障が存在するかと、誰がそれを是正できるかとに関する情報を含めば十分である。つまり、ユーザ向けの診断レポートは「ｗｈａｔ」成分と「ｗｈｏ」成分とを含む。保守員、ユーザプログラムのプログラマおよび安全コントローラの製造者の場合、「ｗｈａｔ」および「ｗｈｅｒｅ」に関する情報だけでなく、追加で故障またはエラーをどのように是正できるかに関する情報が望まれる。そのため、このような人向けの診断レポートは、「ｗｈａｔ」成分および「ｗｈｅｒｅ」成分だけでなく、「ｈｏｗ」成分も含む。この場合、「ｈｏｗ」成分の詳細レベルは、設備および／または安全コントローラに対して介入行為を取るためのアクセス認証によって定義されるオプションに合わせて調整される。この調整は「ｗｈａｔ」成分および「ｗｈｅｒｅ」成分にも適用される。まず、例として、安全コントローラの製造者には、制御デバイスそのものに含まれているどのロジック・コンポーネントが故障状態であるか、または安全コントローラに格納されているオペレーティング・システムのどのモジュールがエラーを含むかを示す具体的な表示を提供できる一方で、ユーザプログラムのライターに対しては安全コントローラにエラーが存在するという事実だけを表示すれば十分である。検出されたアクセス認証を考慮することで、確認されたシステム状態に関してディスプレイユニットを読み取る人に合わせて診断レポートを特に効果的に調整できる一方で、確認されたプロセス状態に関しては、選択した特殊動作モードを考慮することでディスプレイユニットを読み取る人に合わせて診断レポートを特に効果的に調整できる。

前述の特徴および以下これから説明する特徴は、それぞれ示される組み合わせだけでなく、本発明の範囲を逸脱することなく他の組み合わせまたはそれだけでも使用できることはいうまでもない。
本発明の例示的な実施形態を図面に図示し、以下の説明でより詳細に説明する。

制御される設備と組み合わせた本発明の安全コントローラの模図を示す。 安全コントローラに含まれる診断選択ユニットの模式図を示す。

図１は全体を参照番号１０で記す安全回路を示しており、設備１４を制御するように設計されている安全コントローラ１２を含む。設備１４は複数のアクチュエータ１６と複数のセンサ１８とを含む。例として、設備１４の一部である負荷（ロード）２０が示されており、これは例えばロボットでもよい。
安全コントローラ１２は制御ユニット２２を含む。制御ユニット２２は安全重視プロセスを制御するために必要なフェールセーフ性を達成するために、２チャンネル冗長設計となっている。２チャンネル設計の代表として、図１は互いにモニタリングしてデータを交換できるように、双方向通信インターフェース２８によって互いに接続されている２つの別々のプロセッサ２４，２６を示している。好ましくは、制御ユニット２２の２つのチャンネルおよび２つのプロセッサ２４，２６は、できる限りシステマティック・エラーを避けるために、別種の、つまり互いに異なる設計とする。

参照番号３０は、２つのプロセッサ２４，２６のそれぞれに接続されている入出力ユニットを記す。入出力ユニット３０は、複数のセンサ１８から複数の制御入力信号３２を受信して、前記信号を調整されたデータフォーマットで２つのプロセッサ２４，２６のそれぞれに転送する。加えて、入出力ユニットは、２つのプロセッサ２４，２６に応答して複数のアクチュエータ１６の起動に使用される複数の制御出力信号３４を生成する。

参照番号３６は、ユーザプログラム３８の格納に使用されるチップカードを記す。ユーザプログラム３８は、プログラミングツールを使用して書き込まれる。例として、プログラミングツールは従来のＰＣで実行できるコンピュータプログラムである。この場合、記憶媒体としてチップカード３６を使用することで、プログラミングツールを実行するＰＣに直接接続しなくても、ユーザプログラム３８を簡単に交換できる。あるいは、ユーザプログラム３８は例えばＥＥＰＲＯＭなど、制御ユニット２２に恒久的にインストールされているメモリに格納される。

ユーザプログラム３８は、安全コントローラ１２が行う制御タスクを定義する。このために、ユーザプログラム３８は、安全制御面に関連する制御タスクを行う安全制御モジュール４０を含む。
安全制御モジュール４０において、安全制御面に関連する安全センサ４４によって生成される安全関連制御入力信号４２をフェールセーフに処理する。例として、安全センサ４４は、緊急停止押しボタン、両手操作コントローラ、防護扉、回転速度モニタリング機器または安全関連パラメータを取得するための他のセンサである。安全制御面における関連制御タスクに従い、安全関連制御入力信号４２に基づいて、安全アクチュエータ４８，５０、つまり安全制御面に関連するアクチュエータの起動に使用される安全関連制御出力信号４６が生成される。例として、安全アクチュエータ４８，５０はコンタクタとして知られるものであり、その作動接点は電源５２とロード２０との間の接続に配置されている。安全アクチュエータ４８，５０はロード２０から電源を切断するために使用でき、これは関係する誤作動が生じたときにロード２０を安全状態に移行することが可能である。

さらに、ユーザプログラム３８は標準制御面に関連する制御タスクを行うために使用される標準制御モジュール５４を有する。このために、標準制御モジュール５４は標準センサ５８によって生成されるプロセス関連制御入力信号５６の処理に使用される。標準センサ５８は、例えば、閉ループ駆動制御に必要な入力変数を検出するセンサである。例として、これらは回転角度または回転速度などの回転信号であってもよい。プロセス関連制御入力信号５６に基づいて、プロセス関連制御出力信号６０が標準制御面に関連する制御タスクに従って生成されて、標準アクチュエータ６２に供給される。例として、標準アクチュエータ６２はモータまたは制御シリンダであってもよい。

この実施形態でユーザプログラム３８のために選んだ設計、つまり安全制御モジュール４０と標準制御モジュール５４とを含み、それにより制御ユニット２２が安全制御面に関連する制御タスクおよび標準制御面に関連する制御タスクの両方を行える前記ユーザプログラムは、限定的な効果をもつことを意図するものではない。制御ユニット２２が安全関連面に関連する制御タスクだけを行うことも考えられる。この場合、ユーザプログラム３８は標準制御モジュール５４を含まない。

入出力ユニット３０は、安全コントローラ１２の別のコンポーネントを２つのプロセッサ２４，２６にリンクさせるためにも使用される。このため、複数の診断入力信号６６が診断評価ユニット６４に、つまりこの場合入出力ユニット３０を介して供給される。診断評価ユニット６４はある選択された時点に複数の作動状態のうちどれが存在するかを確認する根拠として、複数の診断入力信号６６を解釈するように設計されている。複数の作動状態は制御される設備１４の少なくとも１つのプロセス状態と、安全コントローラ１２の少なくとも１つのシステム状態とを含む。システム状態は安全コントローラ１２のコンポーネントのシステム状態だけでなく、安全コントローラ１２に電気接続されている全てのユニットのシステム状態も表す。これらは安全センサ４４、安全アクチュエータ４８，５０、標準センサ５８、標準アクチュエータ６２、さらにこれから説明するディスプレイユニットおよびこれから説明する信号装置である。同様に、システム状態は安全コントローラ１２と上記挙げたユニットとの間に存在する全ての配線をカバーするように意図される。

診断評価ユニット６４は、確認された作動状態を表す作動状態データ記録６８を生成する。作動状態データ記録６８は、複数の診断データと、ブール変数として「真」などの第１状態および「偽」などの第２状態をとることのできるブール型ステータスインジケータとを含む。このためステータスインジケータは、ある特定の作動状態が実際に存在するか否かの信号を送る。ブール型ステータスインジケータを含む作動状態データ記録６８は、ここでは入出力ユニット３０に供給されることを指摘しておく。このため、制御ユニットで実行されるユーザプログラムは、ブール型ステータスインジケータを含む作動状態データ記録６８にアクセスして、確認された作動状態に基づいて方策を開始できる。

安全コントローラ１２は、ディスプレイユニット７２用のインターフェース７０も含む。ディスプレイユニット７２は、診断レポートを表示するように設計されている。
加えて、安全コントローラ１２はモード選択ユニット７６用のインターフェース７４を含む。モード選択ユニット７６は、互いに異なる複数の特殊作動モードのうちの１つを選択するように設計されており、特殊作動モードは、それぞれ作動自動モードとは異なる。モード選択ユニット７６は、選択された特殊作動モードを表す特殊作動モード信号７８を提供する。特殊作動モード信号７８は、選択された特殊作動モードで設備１４を作動させるために、制御ユニット２２に供給される。

加えて、安全コントローラ１２は検出ユニット８２用のインターフェース８０を有する。検出ユニットは、安全コントローラ１２と対話する人、具体的にはディスプレイ・ユニットを読み取る人に関連するアクセス認証を検出するように設計されている。検出ユニット８２は、検出されたアクセス認証を表すアクセス認証信号８４を提供する。
さらに、安全コントローラ１２は診断選択ユニット８６を有する。診断選択ユニット８６は、作動状態データ記録６８が供給される。加えて、診断選択ユニット８６には、入出力ユニット３０を介して特殊作動モード信号７８および／またはアクセス認証信号８４が供給される。確認された作動状態ならびに選択された特殊作動モードおよび／または検出されたアクセス認証に基づいて、診断選択ユニット８６は適切な診断レポートを選択する。診断選択ユニット８６は、診断レポートを表す診断信号８８を生成し、これは診断レポートを表示するために入出力ユニット３０を介してディスプレイユニット７２に供給される。診断評価ユニット６４および診断選択ユニット８６は、点線で示すように、組み合わせて診断ユニット９０にしてもよい。

ディスプレイユニット７２および検出ユニット８２は、点線で示すように、組み合わせて１つの物理ユニット９２にしてもよい。有利なことに、検出ユニット８２はディスプレイユニット７２に統合できる。
検出ユニット８２は、矢印９６で示すように、モバイルアクセス認証ユニット９４と対話することによって、アクセス認証を検出するように設計されている。検出ユニット８２に関して、そのためモバイルアクセス認証ユニット９４に関しても様々な実施例が考えられる。第１の実施例において、モバイルアクセス認証ユニット９４は、検出ユニット８２に設けられるキーホルダに差し込むことのできる機械式キーの形態である。この第１の実施例は、機械的形態の作動モード選択スイッチに対応する。第２の実施例では、モバイルアクセス認証ユニット９４はトランスポンダの形態をとってもよく、そこからのデータをリーダの形態の検出ユニット８２によって読み取ることができる。トランスポンダはアクセス認証を表すアクセス認証データを含む。第１の実施例と第２の実施例との組み合わせの第３の実施例が考えられる。すなわち、機械式キーはトランスポンダを含み、検出ユニット８２はキーホルダの付近にトランスポンダ用のリーダを含む。加えて、検出ユニット８２がアクセス認証の入力に使用できる複数の入力エレメントを有する第４の実施例が考えられる。この場合、検出ユニット８２は例えば英数字式入力ユニットの形態である。この実施例では、モバイルアクセス認証ユニット９４は必要ない。これらの実施例を列挙する順番は、それを使用する機会に関する評価を意味するわけではない。

モード選択ユニット７６は、矢印１００で示すように、モバイル特殊作動モードユニット９８と対話することによって、特殊作動モードを選択するように設計されている。モバイル特殊作動モードユニット９８は、定義された特殊作動モードを表す特殊作動モードデータを含むトランスポンダの形態をとってもよい。この場合、作動モード選択ユニット７６は、トランスポンダから特殊作動モードデータを読み取るために使用できるリーダの形態である。

作動モード選択ユニット７６および検出ユニット８２は、信号装置といわれることがある。
入出力ユニット３０は、安全コントローラ１２と、安全センサ４４、安全アクチュエータ４８，５０、ディスプレイユニット７２、作動モード選択ユニット７６および検出ユニット８２との間でテスト信号１０２を交換するために使用される。テスト信号１０２は、安全コントローラ１２の中で、ユニットおよびそれに接続されているコンポーネントが正しく作動しているかどうかを確認するために使用できる。これは制御される設備１４が安全コントローラ１２に接続されているデバイスに誤作動が発生するとすぐに安全状態になることを保証するために必要である。

図２は、診断評価ユニット６４の作動モード、および特に診断選択ユニット８６の作動モードを説明するために使用する。
入出力ユニット３０から、複数の診断入力信号６６が診断評価ユニット６４に供給される。これらは、安全関連制御入力信号４２およびプロセス関連制御入力信号５６、安全関連制御出力信号４６およびプロセス関連制御出力信号６０ならびにさらに別の信号１２０であってもよい。さらに別の信号１２０は、テスト信号１０２と、アクセス認証信号８４と、特殊作動モード信号７８と、さらに制御ユニット２２で特定および処理される信号とを含んでもよい。

供給される信号全体に基づいて、診断評価ユニット６４はある決まった時点に複数の作動状態１２２のうちのどれが存在するかを確認する。これは供給される信号を適切に評価することによって行う。確認された作動状態は、制御される設備１４のプロセス状態であってもよく、または安全コントローラ２２のシステム状態であってもよい。例として、システム状態は接地または供給電圧への短絡状態であってもよく、センサ故障であってもよく、アクチュエータ故障であってもよく、導体の破損であってもよく、チップカード３６に発生するエラーであってもよく、プロセッサ２４，２６のうちのどちらかに発生するエラーであってもよく、または同様なエラーであってもよい。通常、制御される設備のプロセス状態は、特にプロセス関連制御入力信号５６と規定の閾値との比較によって確認される。

診断評価ユニット６４は、確認された作動状態を表す作動状態データ記録６８を生成する。作動状態信号６８は、入出力ユニット３０および診断選択ユニット８６の両方に供給される。図２に示すように、確認された作動状態は、角を面取りして示す作動状態Ｂ２となる。診断選択ユニット８６は、複数の作動状態１２２のそれぞれについて互いに異なる複数の診断レポートを格納する。確認された作動状態Ｂ２については、互いに異なる複数の診断レポート１２４が格納される。入出力ユニット３０から、選択された特殊作動モードを表す特殊作動モード信号７８と、検出されたアクセス認証を表すアクセス認証信号８４とが診断選択ユニット８６に供給される。本ケースでは、それぞれ角を面取りして示すように、選択された特殊作動モードは特殊作動モードＳ１となることが想定され、検出されたアクセス認証はアクセス認証Ｚ１となることが想定される。したがって、診断選択ユニット８６は、互いに異なる複数の診断レポート１２４から診断レポートＤ２Ｍ１を選択して、この診断レポートを表す診断信号８８を生成し、ディスプレイユニット７２に転送するために入出力ユニット３０に供給される。

診断選択ユニット８６は、複数の作動状態１２２のそれぞれについて、互いに異なる複数の診断レポートを格納する。互いに異なる複数の診断レポートのそれぞれは、互いに異なる特殊作動モード状態Ｓ１からＳｒのそれぞれおよび／または互いに異なるアクセス認証Ｚ１からＺｓのそれぞれについて、それぞれ関連する診断レポートを含む。総合的にみると、診断選択ユニット８６は、複数の作動状態１２１ Ｂ１からＢｎについて、診断レポートＤ１Ｍ１からＤｎＭｎを格納する。

安全コントローラに関して実施形態の基礎とし、同一の制御ユニットを使用して安全制御面に関連する制御タスクおよび標準制御面に関連する制御タスクの両方を取り扱うために安全コントローラを使用する改良形態は、本発明の概念を実施するために必須のものではない。両カテゴリの制御タスクのために、個別の制御ユニットを使用することも可能である。

ディスプレイユニット７２は、設備１４の制御コンソール内に配置してもよい。あるいは、個別のディスプレイユニットにしてもよい。ＬＣＤスクリーンの形態または英数字式テキストディスプレイの形態にしてもよい。
プロセス診断レポートは、例えば、「コンテナ空」としてもよい。適切なシステム診断レポートの例は「メモリ故障」、「２４Ｖへの短絡状態」または「ハードウェアエラー」である。

Claims (6)

1. 複数のセンサ（１８）と複数のアクチュエータ（１６）とを備える自動化設備（１４）を制御する安全コントローラであって、
   前記センサによって複数の制御入力信号（３２）が供給され、制御ユニットでランするユーザプログラム（３８）に従い前記制御入力信号に基づいて自動モードで複数の制御出力信号（３４）を生成するように設計されており、前記複数の制御出力信号（３４）が前記複数のアクチュエータ（１６）を起動するために使用される制御ユニット（２２）と、
   複数の診断入力信号（６６）が供給され、前記診断入力信号（６６）に基づいてある決まった時点に複数の作動状態（１２２）のうちのどれが存在するかを確認するように設計されており、確認された作動状態を表す作動状態データ記録（６８）を生成する診断評価ユニット（６４）と、
   診断レポートを表示するように設計されているディスプレイユニット（７２）用のインターフェース（７０）とを有しており、
   前記作動状態データ記録（６８）は、複数の診断データとブール型ステータスインジケータとを有し、
   前記制御ユニット（２２）は、前記ブール型ステータスインジケータに基づいて少なくとも１つのアクチュエータを起動するように設計されていることを特徴とする安全コントローラ。
2. 前記複数の作動状態（１２２）は、制御される設備（１４）の少なくとも１つのプロセス状態と、安全コントローラ（１２）の少なくとも１つのシステム状態とを含み、前記作動状態データ記録（６８）は前記プロセス状態および前記システム状態を表すことを特徴とする、請求項１に記載の安全コントローラ。
3. 前記作動状態データ記録（６８）は、互いに異なる複数の診断レポート（１２４）を含んでおり、前記診断レポートのそれぞれが前記確認された作動状態を表すことを特徴とする、請求項１または２に記載の安全コントローラ。
4. 前記ユーザプログラム（３８）は、安全関連制御入力信号（４２）をフェールセーフに処理する少なくとも１つの安全制御モジュール（４０）と、プロセス関連制御入力信号（５６）を処理する少なくとも１つの標準制御モジュール（５４）とを有することを特徴とする、請求項１から３のいずれか１項に記載の安全コントローラ。
5. 複数のセンサ（１８）と複数のアクチュエータ（１６）とを備える自動化設備（１４）を制御する方法であって、前記方法は、
   前記センサから複数の制御入力信号（３２）を制御ユニットに供給するステップで、前記制御ユニット（２２）は、前記制御ユニットでランするユーザプログラム（３８）に従って、前記制御入力信号に基づいて自動モードで複数の制御出力信号（３４）を生成するように設計されており、前記複数の制御出力信号（３４）は、前記複数のアクチュエータ（１６）を起動するために使用される、前記供給するステップと、
   複数の診断入力信号（６６）に基づいてある決まった時点に複数の作動状態（１２２）のうちどれが存在するかを確認し、さらに確認された作動状態を表す作動状態データ記録（６８）を生成するステップで、前記作動状態データ記録（６８）は複数の診断データとブール型ステータスインジケータとを有している、前記確認および生成するステップと、
   前記診断データのうち少なくとも一部をディスプレイユニット（７２）に表示するステップと、
   前記ブール型ステータスインジケータに基づいてアクチュエータを起動するステップとを含む方法。
6. 請求項１から４のいずれか１項に記載の安全コントローラ（１２）でプログラムコードを実行したときに、請求項５に従う方法を行うように設計されている前記プログラムコードを有するデータ記憶媒体。

Images