JP2022117460A - モジュラー安全制御 - Google Patents

Abstract

【課題】共通原因故障ＣＣＦを克服して、費用効果的に実装することのできるモジュラー制御装置のヘッド・モジュールを提供する。【解決手段】処理ユニット（１８、２４）および故障明示ユニット（２０、２２、２６、２８）を備える冗長な複数のチャンネルユニット（１２、１４）を有するヘッド・モジュール（１０）であって、故障明示ユニット（２０、２２、２６、２８）は、各チャンネルユニット（１２、１４）の状態を監視するように構成され、処理ユニット（１８、２４）は、故障明示ユニット（２０、２２、２６、２８）を連続的に刺激するように構成され、処理ユニット（１８）は、モジュラー制御装置の周辺モジュール部分に通信リンクを提供するために、バスの信号線に接続され、故障明示ユニット（２０、２２、２６、２８）は、前記刺激および監視に基づいてコミュニケーションバスを切断する。【選択図】図１

Description

本発明は、モジュラー制御装置に関し、特にこのモジュラー制御装置のヘッド・モジュールおよび周辺モジュール部分に関する。さらにまた本発明は、対応する方法に関する。

制御装置（コントローラとも呼ばれる）は、自動化技術の分野において、一般に公知である。制御装置は、技術的なシステム、機械またはプロセスを制御する。

ハードワイヤード論理によって制御タスクを遂行するリンク・プログラムされたコントローラと、自由にプログラム可能でさまざまな制御タスクを遂行できるプログラマブルなロジックコントローラとは、区別される。

その柔軟性および適応性のために、後者は、プロセス技術および自動化技術において、複雑なまたは進行中に動的に変化する制御タスクのために確立されている。

制御装置は、それが個別部品から成り立つ場合、モジュラー型と呼ばれている。そして、それぞれの部品は異なるタスクを遂行する。

通常、モジュラー制御装置は少なくとも１つの中央コンピューティング・ユニットを備えている。それはモジュール列の第１番目のモジュールを通常形成するので、ヘッド・モジュールとも呼ばれる。

そのモジュール列のさらなるモジュールは、とりわけ、入力モジュールと出力モジュールである。それらは技術システムの周辺との接続を確立し、したがって、ひとつの用語で「周辺モジュール」とも呼ばれる。

入力モジュールは、それらの入力を対応するセンサに接続することによって、技術システムまたは機械の状態を検出する。所与の時刻で検出された状態は、入力のプロセス画像（ＰＩＩ）と呼ばれている。

出力モジュールは、所望の制御タスクに従い、かつ、それらの入力に応じて、技術システムまたは機械の上の制御を割り当てる。このために、出力モジュールの各出力は、対応するアクチュエータに接続している。出力モジュールによって設定される出力は、出力のプロセス画像（ＰＩＯ）と呼ばれている。

制御装置の特別なものは、安全制御装置（安全制御またはフェイルセーフ（ＦＳ）制御とも呼ばれる）である。

これらは、通常の制御装置と同じ機能を実行するが、それらが追加的に安全関連のタスクも遂行することが可能であるという点で異なる。

安全コントローラによって、安全性が通常の制御装置に類似方法のプログラミングによって、相互接続され得る。

安全コントローラを使用すると、通常の制御装置と同様の方法でプログラミングによって安全を相互接続できる。 安全コントローラは、基本的な機能が標準的なタスクの通常の制御デバイスとわずかに異なるのみであるが、安全関連の機能を実行するための追加のハードウェアと追加のソフトウェアを内部に有する。その追加のハードウェアと追加のソフトウェアは、制御デバイスの重要な部品の冗長設計と、個々の部品の機能を保証できるテスト設備に大きく反映されている。

安全コントローラが考慮しなければならない特別なタイプの故障は、共通原因故障（ＣＣＦ）、すなわち単一の故障原因またはイベントの結果として起こる故障である。

特にそれらが安全関連のサブシステムから冗長性を望まずに取り除く場合、安全コントローラはこれらの故障を処理することが可能でなければならない。

概して、共通原因故障ＣＣＦは、すなわち、特別機能を提供するために異なる部品を用いて多様性により対処される。

しかしながら、多様性は、共通の電源によって、例えば、過電圧により引き起こされる共通原因故障ＣＣＦの対策にはならない。

このため、各要素に2番目の独立した電源が使用されていない限り、これには他のアプローチが必要である。

安全コントローラは、それらに接続されたセンサーおよびアクチュエータとともに、操作者、環境または商品を保護するための安全機能を実装している。

安全関連システムに割り当てられた安全機能の安全充足性の要件を指定する関連規格（EN 61508）は4つのレベルを区別する。安全充足性レベル4（SIL4）は最高レベルの安全充足性を表し、安全充足性レベル1（SIL1）は最低レベルを表す。 以下で検討するモジュラー制御装置は、少なくともSIL3までのシステムの構築を可能にする安全コントローラーである。

EN 61508に準拠したSIL4までの適用、または特別な要件プロファイルを持つ適用（鉄道アプリケーションなど）は、一般に、標準のモジュラー安全コントローラで実装するのが難しいか、実装に多大な労力がかかる。例えば、適用に2つの完全に独立し、個別に構成された安全コントローラーを使用する。

したがって、高い安全充足レベル、および／または、特別な要件プロフィールを備えた適用を可能にし、効果的に共通原因故障ＣＣＦを克服して、費用効果的な方法で実装することのできるモジュラー制御装置を提供することが本発明の目的である。

本発明の１つの側面によれば、冗長なチャンネルユニットを有するモジュラー制御装置のためのヘッド・モジュールが設けられる。各チャンネルユニットは、処理ユニットおよび故障明示ユニット(failure revelation unit)を含む。故障明示ユニットはチャンネルユニットの状態を監視するように構成される。処理ユニットは故障明示ユニットを連続的に「刺激」する(stimulate)ように構成される。冗長なチャンネルユニットの少なくとも１つの処理ユニットは、モジュラー制御装置の１つまたはそれ以上の周辺モジュール部分に通信リンクを提供するためのコミュニケーションバスの信号線に接続されている。故障明示ユニットは、前記刺激および前記監視に基づいて、コミュニケーションバスを切断するように構成されたバス切断ユニットを制御するように構成される。

本発明の別の側面では、冗長なチャンネルユニットおよび出力ユニットを有するモジュラー制御装置のための周辺モジュール部分が提供される。出力ユニットは、冗長なチャンネルユニットによる制御に応答して１つまたはそれ以上の出力を設定するように構成される。各チャンネルユニットは、処理ユニットおよび故障明示ユニットを含む。故障明示ユニットは、それぞれのチャンネルユニットの状態、特に各チャンネルユニットに共通の供給電圧を監視するように構成される。処理ユニットは各故障明示ユニットをそれぞれ刺激するように調整される。そして、各チャンネルユニットの故障明示ユニットは、前記刺激および監視に応答して出力ユニットの出力の設定を制御するために集合的に(collectively)配置される。

本発明のさらに別の側面では、ヘッド・モジュールおよび前記タイプの周辺モジュール部分を含むモジュラー制御装置が設けられている。

さらに本発明のさらなる側面によれば、モジュラー・コントローラのヘッド・モジュールのための方法が提供される。ヘッド・モジュールは、冗長なチャンネルユニットを有し、各チャンネルユニットは処理ユニットおよび故障明示ユニットを含む。故障明示ユニットは、各チャンネルユニットの状態を監視する。各処理ユニットは、故障明示ユニットを連続的に刺激する。処理ユニットの少なくとも１つは、モジュラー制御装置の１つまたはそれ以上の周辺モジュール部分に通信リンクを提供するために、コミュニケーションバスの信号線に接続している。そして、故障明示ユニットは、前記刺激および監視に応答してコミュニケーションバスを切断するためにバス切断ユニットを制御する。

このように、ヘッド・モジュールを拡張することによって、または、必要に応じて周辺モジュールを拡張することによって、高い安全上の要求を満たす応用が実現可能なように、これらのモジュール間の相互作用を可能にする方法で、モジュラー安全コントローラを適応させること、が本発明の着想である。

前記拡張は、周辺モジュールのマルチチャンネル設計、およびヘッド・モジュールおよび周辺モジュールにおける故障明示ユニットの追加を含む。

請求項に記載されたように、ヘッド・モジュールと周辺モジュールとの間に前記拡張を配布することによって、そして、例えば、ヘッド・モジュールと周辺モジュールとの間の所定の通信関係、および適切に設計された電源を用いて、高い安全上の要求を満たす適用を実現できる。

ヘッド・モジュールは、周辺モジュール部分とともにマルチチャンネル設計であり得る。その結果、コミュニケーションバスを介して「黒いチャンネル原則」に従う通信が可能となる。周辺モジュール部分も、本来的に安全であることができて、実行される安全機能に関して、関連するヘッド・モジュールから独立している。

さらにまた、ヘッド・モジュールおよび周辺モジュール部分は、状態監視、特に電圧監視を実行できる。それは、故障条件（例えば過電圧）の場合に、当該故障状態がヘッド・モジュールもしくは周辺モジュールのどちらで起こっているかにかかわらず、安全な状態をもたらす。

この目的のために、ヘッド・モジュールでの状態監視は、ヘッド・モジュールで組み込まれたバス切断ユニットに作用し、それはヘッド・モジュールと周辺モジュール部分との通信を中断できる。

周辺モジュール部分の状態監視は、故障が生じた場合、安全コントローラの出力に直接作用してそれらのスイッチを切るように構成されることもできる。

独立した故障明示ユニットと協働するコミュニケーションバスの切断は、ヘッド・モジュールと周辺モジュールの間の通信を中断することを可能にする。したがって、例えば出力において同じ間違ったプロセス画像を計算し、これに基づいて有効であるが間違った信号を生成し、バス上にこれらを送信するにもかかわらず、両処理ユニットの同時故障を制御することができる。

請求項に記載されたような、モジュラー制御装置の部品間の改良された相互作用は、ＳＩＬ３より高い要件プロフィールの適用のための単一のモジュラー制御装置によって安全機能の実現を有効にする。なぜなら、とりわけ他の事項の中で、共通原因故障ＣＣＦが適切に考慮されるからである。

ヘッド・モジュールのさらなる改良において、故障明示ユニットは、監視ユニットおよびチャンネルユニット当たりの故障検出ユニットを含むことができる。監視ユニットは複数のチャンネルユニットの各電源ユニットを監視するように構成され、複数の故障検出ユニットは前記刺激に応答して信号を提供するように構成される。

監視ユニットは、例えば、供給電圧の過大電圧（過電圧）および過小電圧を監視することができる。複数の故障検出ユニットは、例えば、ウォッチドッグ回路を実装することができる。監視ユニットおよび故障検出ユニットは、ともに故障明示ユニットを形成する。特に、それらは互いに独立に実行することができる。すなわち、１つのチャンネルユニットの監視ユニットおよび故障検出ユニットは、それぞれ他のチャンネルユニットの監視ユニットおよび故障検出ユニットから独立している。

ヘッド・モジュールのさらなる改良において、バス切断ユニットは、コミュニケーションバスの信号線の中に配置された各チャンネルユニットのためのスイッチング素子を有することができる。各チャンネルユニットの各故障明示ユニットは、スイッチング素子の１つに関連する。そして、各故障明示ユニットは共同して関連するスイッチング素子に作用するように構成される。

バス切断ユニットは、コミュニケーションバスを切断するために、コミュニケーションバスの信号伝送線をこのように切断することができる。この設計によって、バスを経たいかなる通信も単純かつ有効な方法で停止されることができる。

ヘッド・モジュールのさらなる改良において、各チャンネルユニットの監視ユニットは、特にそれぞれ関連するチャージポンプを介して、関連するスイッチング素子に作用するため、前記監視に基づいて動的な制御信号を生成するように構成されることができる。

この改良によれば、バス切断ユニットは、動的に制御され、「ｓｔｕｃｋ－ａｔ－ｈｉｇｈ」な故障を効果的に取り除くことができる。バス切断ユニットは、動的信号が存在する場合のみ、バスを介した通信を可能にする。チャージポンプがこのために用いられることが可能である。チャージポンプには、信号の交流分のみが供給されて、バス切断ユニットのスイッチング素子を作動させる。よって、この改良は、ヘッド・モジュールの本質的な安全を強化する。

ヘッド・モジュールのさらなる改良において、故障検出ユニットは、それぞれの処理ユニットによる刺激に応答して動的な制御信号の生成を中断するように構成されることができる。

この改良によれば、故障検出ユニットは、論理的「ＡＮＤ」処理（すなわち、それらの信号が論理的「ＡＮＤ」によって接続される）を介して監視ユニットに接続される。例えば、ウォッチドッグとして実装される故障検出ユニットは、動的信号を「グラウンド」の方へ引き込むことができて、関連する処理ユニットによる刺激がない場合、そのスイッチを切ることができる。複数の監視ユニットの「ＡＮＤ」リンクは、容易、効果的かつ安全に、このように実現されることができる。

ヘッド・モジュールのさらなる改良において、ヘッド・モジュールは、処理ユニットとバス切断ユニットとの間のチャンネルユニットごとに、故障明示ユニットの信号経路に直列に設置された少なくとも１つのキャパシタを含むことができる。

処理ユニットからバス切断ユニットへの信号経路の切断は、前記キャパシタを介して単純かつ有効な方法で行うことができる。

ヘッド・モジュールのさらなる改良において、複数のチャンネルユニットは、モジュラー制御装置の１つまたはそれ以上の周辺モジュール部分とコミュニケーションバスを介してのみ通信するように構成されることができる。

この改良によれば、ヘッド・モジュールおよび周辺モジュール部分はコミュニケーションバスを介してのみ互いに通信する。コミュニケーションバスはバス切断ユニットによって作用される。

ヘッド・モジュールは、故障が生じた場合コミュニケーションバスを切断するので、どんなメッセージも周辺モジュールに送られず、それらは安全な状態をもたらすために出力のスイッチを切る。

ヘッド・モジュールのさらなる改良において、各チャンネルユニットの処理ユニットは、コミュニケーションバスから独立しているインタフェースを介して互いに通信するように構成されることができる。それによって、処理ユニットは互いを監視することができる。

特に、インタフェースのための過電圧保護は、それぞれ提供されかつ監視された供給電圧に基づいて設計されることができる。特にその抵抗値が監視ユニットの遮断電圧に基づくように設定された抵抗器によって構成されることができる。

この改良は、ヘッド・モジュールの本質的安全をさらに強化する。インタフェースは、単純な抵抗器によって、過電圧から充分に保護される。なぜなら、監視ユニットは所定の過電圧のみ許容するからである。過電圧保護は、したがって、特定の電圧まで設計されればよく、このように抵抗器を用いて容易に実装することができる。

ヘッド・モジュールのさらなる改良において、各チャンネルユニットの処理ユニットは、関連する故障明示ユニットの機能テストを実行して、試験結果を読み込んで、特に試験結果をそれぞれの他の処理ユニットに提供するように構成されてもよい。

複数の処理ユニットは、試験結果により、監視ユニットおよび故障検出ユニットの機能性をこのように連続的に点検でき、これらのユニットの誤動作を除外することができる。このようにこの改良は、ヘッド・モジュールの本質的安全にさらに寄与する。

さらなる側面において、周辺モジュール部分は、ヘッド・モジュールと接続する本質的安全手段を有していてもよい。

このように、周辺モジュール部分の各チャンネルユニットの監視ユニットを、出力ユニットを制御するために、監視に応答して動的な制御信号を生成するように構成できる。制御は、チャージポンプを介して行うことができる。

さらに、周辺モジュール部分の各チャンネルユニットの故障検出ユニットは、第１の処理ユニットの刺激に応答して動的な制御信号の生成を中断するように構成されることができる。最後に、周辺モジュール部分の出力ユニットは、冗長なチャンネルユニットから電気的に分離されることができる。

さらなる改良において、モジュラー制御装置は、前記ヘッド・モジュールまたは前記周辺モジュール部分の各種実施の形態を含むことができる。さらに、モジュラー制御装置は、ヘッド・モジュールおよび周辺モジュール部分のための電源として共通モジュール電圧ならびに周辺モジュール部分の出力ユニットのための周辺電圧を印加するように構成された電源モジュールを含んでいてもよい。電源モジュールは、非フェールセーフ・ユニットであってもよい。

モジュラー制御装置は、コミュニケーションバスのために、および、電源のためにバス構造を提供するバックプレーン・モジュール部分を備えていてもよい。バックプレーン・モジュール部分は、周辺モジュールを形成するために、１つまたはそれ以上の周辺モジュール部分と接続されることができる。

上に述べた特徴および以下で説明される特徴は、明示された組合せのみならず、他の組合せでもまたは単独で、本発明の要旨を逸脱しない範囲で、採用されることができるものと理解される。

本発明の実施の形態は、図面に示され、以下の記述において、さらに詳細に説明される。

本発明の実施の形態に係る、ヘッド・モジュールの概要図を示す。 周辺モジュール部分の概要図を示す。 ＳＩＬ３までの要件プロフィールを適用するための構成を有するモジュラー制御装置の概要図を示す。 ＳＩＬ３より高い要件プロフィールを適用するための構成を有するモジュラー制御装置の概要図を示す。 バックプレーン・モジュール部分の概略図を示す。 電源モジュールの概要図を示す。

図１は、本発明の一実施の形態によるモジュラー制御装置のためのヘッド・モジュールの概要図を示す。ヘッド・モジュールの全体は、参照番号１０によって示される。

本実施の形態において、ヘッド・モジュール１０は、冗長なチャンネルユニットを形成する第１のチャンネルユニット１２および第２のチャンネルユニット１４を含む。さらに、ヘッド・モジュール１０は、電源ユニット１６を含む。

第１のチャンネルユニット１２は、第１の処理ユニット１８（μＣ＿Ａ）と、第１の故障検出ユニット(failure detection unit)２０および、第１の故障明示ユニット(failure revelation unit)として機能する第１の監視ユニット２２を含む。第２のチャンネルユニット１４は、第２の処理ユニット２４（μＣ＿Ｂ）、第２の故障検出ユニット２６および第２の監視ユニット２８（第２の故障検出ユニット）を含む。各ユニットは、機能的に同一でありえるが、システムの多様性を増加させるために、異なる製造業者から供給されたものであってもよい。

電源ユニット１６は、供給電圧を第１のチャンネルユニット１２へ供給する第１の電源３０および供給電圧を第２のチャンネルユニット１４へ供給する第２の電源３２を含むことができる。さらに、電源ユニット１６は、ヘッド・モジュール１０に与えられるモジュール電圧ＭＳを、第１の電源３０および第２の電源３２のための中間電圧に変換する第３の電源３４を含む。

モジュール電圧は、外部電源から、特にモジュラー型制御装置内で集積化された電圧供給モジュールから、端子ＭＳを経てヘッド・モジュール１０へ供給されることができる。

モジュール電圧は、モジュール内部の電子部品に供給するために、モジュラー制御装置のすべてのモジュールへ一様に供給されることができる。

１つの実施の形態において、第３の電源供給装置３４は、２４Ｖのモジュール電圧ＭＳを、５Ｖの中間電圧に変換できる。第１の電源３０および第２の電源３２は、それぞれのチャンネルユニット１２、１４のためのこの中間電圧を、処理ユニット１８、２４のためのさまざまな供給電圧に変換することができ、例えば、３．３Ｖの電圧を発生させることができる。

１つの実施の形態において、電源３０、３２、３４は、シリーズレギュレータまたはスイッチングレギュレータでもよい。

第１の電源３０および第２の電源３２により提供される電圧は、チャンネルユニット１２、１４の範囲内で各監視ユニット２２、２８に供給される。

監視ユニット２２、２８は、それぞれの処理ユニット１８、２４と独立して設計され、過電圧または過小電圧に対応するために構成される。

この実施の形態によれば、監視ユニット２２、２８は、さらにまた、３．５ Ｖを超える過電圧および３．１未満の過小電圧に反応できる。

さらにまた、チャンネルユニット１２、１４は、処理ユニット１８、２４とは別に作製された故障検出ユニット２０、２６を各々備えている。

故障検出ユニット２０、２６は、ウォッチドッグとして設計されることができて、死人のスイッチ(dead man's switch)として作用できる。

この目的のために、処理ユニット１８、２４は、例えば処理ユニット１８、２４によって、故障検出ユニット２０、２６に設けられたタイマー回路を設定するために、所定の間隔で故障検出ユニット２０、２６にトリガーを送って、故障検出ユニット２０、２６を連続的に刺激する。

故障検出ユニット２０、２６および監視ユニット２２、２８は、チャンネルユニットごとに、コミュニケーションバスを切断するように構成されたバス切断ユニット３６（バス・シャットダウン装置）を共同で制御する。コミュニケーションバスは、ヘッド・モジュールと周辺モジュール部分の間にアクティブ・バス接続を確立して、モジュール間でデータ信号の交換に寄与する。

コミュニケーションバスを経た通信は、ＳＩＬ４まで承認された、セキュアで強制的に動的なデータ通信においてヘッドと周辺モジュール部分との間のプロセス画像を伝送するプロトコルにより実現されることができる。

バス切断ユニット３６は、例えば、バスの信号線を物理的に分離するかまたはそれらをグラウンドの方へ引き込むユニットによって、コミュニケーションバスを、シャットダウンできる。

コミュニケーションバスの信号線は、少なくとも１つの処理ユニット（図１では第１の処理ユニット１８）をヘッド・モジュールのバス端子に接続する。バス切断ユニット３６は、その間に設置することができて、チャンネルユニット当たりスイッチング素子３８Ａ、３８Ｂを含むことができる。

本実施の形態において、第１の故障検出ユニット２０および第１の監視ユニット２２は、論理的「ＡＮＤ」リンク４０を介して、第１のスイッチング素子３８Ａを制御する。

第２の故障検出ユニット２６および第２の監視ユニット２８は、さらなる論理的「ＡＮＤ」リンク４０を介して、第２のスイッチング素子３８Ｂを制御する。

過電圧または過小電圧または期限切れのウォッチドッグの場合、どんな信号も周辺モジュール部分に送られないように、コミュニケーションバスを経た通信は中断される。

出力モジュールとして設定された本来の安全周辺モジュール部分の場合、失った信号はタイムアウト例外(timeout exception)に導かれ、それは最終的に、スイッチオフされている出力モジュールの出力に至る。

ヘッド・モジュールにおいて、チャンネルユニット１２、１４の処理ユニット１８、２４は、加えて、専用インタフェース４２を介して各々を互いに監視することができる。故障が生じた場合、処理ユニット１８、２４の範囲内で、シャットダウン・メカニズムを通して適切な応答を生起できる。

例えば、インタフェース４２によって、処理ユニット１８、２４が、互いの供給電圧を監視して、故障が生じた場合それに応じて反応することができる。
インタフェース４２は、過電圧保護デバイス４４を含むことができる。

故障検出ユニット２０、２６および監視ユニット２２、２８に加えて、各チャンネルユニット１２、１４は、処理ユニット１８、２４のそれぞれの温度を監視する温度センサ４６を含むことができる。これらのユニットの温度が臨界閾値を超える場合、対応する反応が誘発され、例えば、プロセス・データがＺＥＲＯに設定される。

部品の対応する多様性を伴う２チャンネル設計のため、ヘッド・モジュール１０は、ＥＮ ６１５０８に従ってＳＩＬ３まで承認され得る。図４を参照しながら後に述べるように、ＳＩＬ３より高い要件のプロフィールに適用するため、このヘッド・モジュールを使用することもできる。

図２は、本発明の実施の形態による、モジュラー制御装置のための周辺モジュール部分の概要図を示す。周辺モジュール部分は、参照番号５０によって示される。

後に図３および図４を参照して詳細に述べるように、周辺モジュール部分は、バックプレーン・モジュール部分とともに周辺モジュールを形成する。同様に、バックプレーン・モジュール部分を有する複数の周辺モジュール部分は、モジュラー制御装置の周辺モジュールを形成する。

本実施の形態において、周辺モジュール部分５０は、冗長なチャンネルユニット群を形成する第１のチャンネルユニット５２および第２のチャンネルユニット５４を含む。さらに、周辺モジュール部分５０は、出力ユニット５６を含む。

第１のチャンネルユニット５２は、第１のユニット５８（μＣ＿Ａ）および、第１の故障明示ユニット(failure revelation unit)としての、第１の故障検出ユニット６０および第１の監視ユニット６２を含む。第２のチャンネルユニット５４は、ユニット６４（μＣ＿Ｂ）および、第２の故障明示ユニットとしての、第２の故障検出ユニット６６および第２の監視ユニット６８を含む。

チャンネルユニット５２、５４、処理ユニット５８、６４、故障検出ユニット６０、６６および監視ユニット６２、６８は、ヘッド・モジュール１０の対応するユニットに類似していてもよい。これは、これらのユニットの詳細にも当てはまり、ヘッド・モジュール１０に関して以下で説明する。

出力ユニット５６は、アクチュエータ（図示せず）に接続される少なくとも１つの出力７０と、出力７０を設定する（すなわちオンオフを切替える）ことができるスイッチング素子７２Ａおよび７２Ｂとを含む。

第１のチャンネルユニット５２は第１のスイッチング素子７２Ａを制御し、第２のチャンネルユニット５４は第２のスイッチング素子７２Ｂを制御する。出力７０は、このように冗長に制御される。

さらにまた出力７０は、スイッチング素子７２Ａおよび７２Ｂを介して、外部周辺(peripheral)電圧が供給される端子ＰＳに接続される。スイッチング素子７２Ａおよび７２Ｂを閉じることにより出力７０をオンすると、周辺電圧が出力７０に印加される。出力７０に接続しているアクチュエータ（例えば接触器）は、出力７０がセットされた（スイッチを入れた）ときに、周辺電圧により付勢される。

処理ユニット５８、６４に供給される外側からのモジュール電圧は、周辺モジュール部分５０上の、他の端子ＭＳを経て印加される。

モジュール電圧は、ヘッド・モジュール１０が利用するのと同じ電圧でもよく、電源モジュールにより供給されることができる。

処理ユニット５８、６４は、ヘッド・モジュール１０を制御することによって、出力ユニット５６を制御する。

このためには、少なくとも１つの処理ユニット（ここでは第１の処理ユニット５８）が、そこからの出力（ＰＩＯ）のプロセス画像を受信するために、バス接続７４を経て、前に述べたコミュニケーションバスに接続される。

処理ユニット５８、６４は、デュアルチャンネルの方法で、すなわち処理ユニット５８、６４の各々を同期させて、出力のプロセス画像を処理する。

さらにまた、論理的「ＡＮＤ」処理７６を用いてここで示されるように、チャンネルユニット当たりの出力ユニット５６の制御は、故障検出ユニット６０、６６および監視ユニット６２、６８に依存している。

監視ユニット６２、６８は処理ユニット５８、６４の供給電圧を監視し、その一方で故障検出ユニット６０、６６は、処理ユニット５８、６４のためのウォッチドッグを各々実行する。すべてのユニットが同意する場合のみ、スイッチング素子７２Ａ、７２Ｂは作動し、出力７０はスイッチ・オンされることが可能になる。

加えて、処理ユニット５８、６４の温度監視が、温度センサ７８によって、ヘッド・モジュール１０に関連して記載されているとおり、用意されてもよい。

出力ユニット５６は、セパレータ８０Ａ、８０Ｂを介して、チャンネルユニット５２、５４から電気的に分離されていてもよい。

セパレータ８０Ａ、８０Ｂは、この目的のために、それらに電気的に接続されていないチャンネルユニット５２、５４によって、スイッチング素子７２Ａ、７２Ｂを駆動するオプトカップラを含む回路であってもよい。

対応部品の多様性を伴う２チャンネル設計のため、周辺モジュール部分５０は、ＥＮ ６１５０８のＳＩＬ３にまで承認されることができる。以下に述べるように、ＳＩＬ３より高い要件プロフィールの適用を有効にするために、この周辺モジュール部分をヘッド・モジュールとともに使用することができる。

図３は、ＳＩＬ３までの適用のために構成された、１つの実施の形態に係るモジュラー制御装置の概要図を示す。モジュラー制御装置の全体を参照番号１００で示す。

モジュラー制御装置１００は、ヘッド・モジュール１０と、周辺モジュールアセンブリ８０とを含む。周辺モジュールアセンブリ８０は、入力モジュール部分８２、および出力モジュール部分としての先に述べた周辺モジュール部分５０を含む。さらにまた、モジュラー制御装置１００は、電源モジュール８４と、周辺モジュールアセンブリ８０を完成させるためのバックプレーン・モジュール部分８６とを含む。

電源モジュール８４は、モジュラー制御装置１００に関して、前に述べたモジュール電圧ＭＳおよび周辺電圧ＰＳを供給するための端子８８、９０を提供する。

電源モジュール８４は、しかしながら、電源モジュール８４がフェイルセーフ・ユニットであることを必要としないという原則において、出力された電圧を監視するための手段（図示せず）を含んでいてもよい。

ＭＳ電圧およびＰＳ電圧は、端子８８、９０に接続している電源（図示せず）から供給される。これらの電源はＳＥＬＶ／ＰＬＥＶ電源であってもよい。ＳＥＬＶ／ＰＬＥＶ電源は、例えば、安全上の注意をＳＥＬＶ／ＰＬＥＶ電源により提供される電圧のレベルにまで引き下げる。

電源モジュール８４は、モジュール電圧ＭＳをヘッド・モジュールに提供するための端子を備えている。さらにまた、電源モジュール８４は、バックプレーン・モジュール部分８６にモジュール電圧ＭＳおよび周辺電圧ＰＳを供給するための端子を備えている。

バックプレーン・モジュール部分８６から、入力モジュール部分および周辺モジュールアセンブリ８０の出力モジュール部分に、電圧が供給される。

電源モジュール８４へのさらなる端子は、ヘッド・モジュール１０からバックプレーン・モジュール部分８６までコミュニケーションバスを通すことができる。

また、電源モジュール８４自体が、ヘッド・モジュール、および／または、周辺モジュールに接続するために、処理ユニットを介してコミュニケーションバスにアクセスすることも考えらる。

処理ユニットは、モジュール電圧ＭＳおよび周辺電圧ＰＳが受け取られる端子８８、９０から電気的に絶縁されていてもよい。

バックプレーン・モジュール部分８６は、コミュニケーションバスおよび供給電圧を周辺モジュール部分へ伝達する。周辺モジュール部分は、典型的にはバックプレーン・モジュール部分８６に接続される。

バックプレーン・モジュール部分８６は、モジュール電圧ＭＳを、接続された周辺モジュール部分の電子部品を駆動する所定の電圧に変換するための電源９２を含んでいる。

バックプレーン・モジュール部分８６は、周辺モジュール部分がバスにアクセスすることを許容するための制御部分９４、特にＡＳＩＣ(Application-Specific Integrated Circuit)を含む。制御部分９４は、コミュニケーションバスを介して信号を送受信し、またはそれらを伝送する。

バックプレーン・モジュール８６の周辺モジュール部分に送られるデータは、制御部分９４によって受信されて、インタフェース、例えばＳＰＩ（Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅ）を介して、そこを通過する。

バックプレーン・モジュール部分８６は、それ自身、安全機能を有しない。バックプレーン・モジュール部分８６の故障は、ヘッド・モジュール１０または本来の安全周辺モジュール部分（「黒いチャンネル原則」）により検出されて、制御される。これには、安全なバスプロトコルを通して実行されるバス通信を必要とする。バスプロトコルは、ＳＩＬ ４まで承認されているプロトコルであってもよい。

入力モジュール部分８２は、接続された各エンコーダから入力信号を受け取るために、一つまたはそれ以上の入力９６を有することができる。出力モジュール部分と同様に、入力モジュール部分８２は、入力９６の２チャンネル処理のための２つのチャンネルユニットを有することができる。

このために、入力９６で受け取られた各信号は、モジュラー制御装置のすべての入力のためのヘッド・モジュール１０によって生成された入力のプロセス画像（ＰＩＩ）に関与するために、両方のチャンネルユニットに送られ、そこで処理される。

異なるチャンネルユニットの各処理ユニットは、基本的に相互を監視して入力信号どうしを比較する。

入力の決定された状態は、ヘッド・モジュールに発信される。この目的のために、例えば、入力モジュールは、インタフェースを介してバックプレーン・モジュール部分８６の中のコミュニケーションバスにアクセスしてもよい。

ヘッド・モジュール１０は、各入力の状態に関する情報を統一プロセス画像に接続して、プロセス画像を入力とするユーザプログラムを実行する。ユーザプログラムは、サイクルで次々と処理される命令のリストを含む。

ユーザプログラムの実行により、サイクルの終わりに出力モジュール部分５０に発信される出力のプロセス画像（ＰＩＯ）が更新される。出力モジュール部分５０は、出力のプロセス画像（ＰＩＯ）を受信して、それに基づいて、図２を参照して記載されている方法で、出力７０を制御する。すなわち、出力モジュール部分５０は、出力のプロセス画像にしたがって出力７０を設定する（オンにする）。ただし、チャンネルユニット５２、５４の処理ユニット５８、６４が故障を検出しないこと、ならびに、故障検出ユニット６０、６６および監視ユニット６２、６８が出力７０オンに同意することを条件とする。

ヘッド・モジュール１０および複数の周辺モジュール部分がＳＩＬ３まで承認されることが可能であり、「黒いチャンネル原則」にしたがって通信がなされると、ここに記載されているアーキテクチャはＳＩＬ３までの適用のために承認されることができる。共通原因故障ＣＣＦの制御のために、例えば鉄道アプリケーションのために必要とされるような、主要な独立(primary independence)が必要とされない。その理由は、ヘッド・モジュールおよび出力モジュールにおいて図１および図２に関連して説明されている追加的な手段は、対応するフレームワーク条件（重要な回路部品のロバストな設計など）とともに、共通原因故障ＣＣＦの充分な制御を有効にするからである。

入力モジュール部分８２は２つの冗長な入力Ｉ／Ｉ＊を扱うことができ、出力モジュール部分５０は２つの冗長な出力Ｏ／Ｏ＊を扱うことができる。よって、モジュラー制御装置はＳＩＬ３までの適用を全体として有効にすることができる。関連した標準により定義される相互関係のある実体（観察ユニット）は、ハッチングによって、各場合においてここで強調されている。

さらにまた、ここに記載された部品により、部品の設計を基本的に変えることなくＳＩＬ３より高い要件プロフィールを有する適用を有効にするアーキテクチャを成し遂げることが可能である。この種のアーキテクチャの実施の形態は、図４に示される。

図４は、ＳＩＬ３より高い要件プロフィールの適用のために構成されたモジュラー制御装置の実施の形態に係る概要図を示す。図３と同じ参照符号は同じ部品を示す。よって、これらの部品は以下の説明には再掲されない。

上に述べた部品によってアーキテクチャを有効にするために（ＥＮ ６１５０８標準に基づくＳＩＬ４までの承認がないとしても）、それはＳＩＬ３より高い要件プロフィールの適用を許容し、例えば、実体の主要な独立が保証されなければならない。主要な独立は、例えば、鉄道アプリケーションで必要とされる。

主要な独立は、２つのアセンブリ１０２、１０４の間で冗長な入力Ｉ／Ｉ＊および出力Ｏ／Ｏ＊を分離することによって、達成することが可能である。２つのアセンブリ１０２、１０４は、それぞれ、出力モジュール部分５０および入力モジュール部分８２を含み、出力モジュール部分５０´および入力モジュール部分８２´を含む。出力モジュール部分５０、５０´および入力モジュール部分８２、８２´は、それぞれバックプレーン・モジュール部分８６に接続されている。

第１のアセンブリ１０２の入力モジュール部分８２および出力モジュール部分５０は、ヘッド・モジュール１０の第１のチャンネルユニット１２とともに、第１の標準的な実体(normative entity)を形成する。そして、第２のアセンブリ１０４の入力モジュール部分８２´および出力モジュール部分５０´は、ヘッド・モジュール１０の第２のチャンネルユニット１２とともに、第２の標準的な実体を形成する。ここでは、各々対応するハッチングによって強調される。

各実体は、このように、それ自身の入力モジュール部分、ヘッド・モジュールのチャンネル、およびそれ自身の出力モジュール部分によって形成される。冗長な入力Ｉ／Ｉ＊および冗長な出力Ｏ／Ｏ＊は、各実体の間でそれぞれ分けられて、このように異なる入力モジュールまたは出力モジュール上に設置される。よって、入力部品と出力部品は、互いに各々から切り離されて、バックプレーンの通信装置および電源を介してのみ接続される。

ヘッド・モジュール１０において、チャンネルユニット１２、１４の分離およびそれらの電源の分離は、追加で実施されなければならない。なぜなら、両実体ともこの１台のモジュール内に設置されているからである。

原則として、この種の分離を提供するために、さまざまな方法が考えられる。

分離の要件は、外部の状況に依存する。よって、特定の仮定がなされる場合、単純な分離装置でも充分である。

例えば、電圧監視は、電圧が所定の遮断電圧（例えば３．５Ｖ）を上回ると、コミュニケーションバスを介しての通信を停止する。したがって、処理ユニット１８、２４間の接続の考慮は、この遮断電圧に達する前で必要なのみである。なぜなら、遮断電圧を超える電圧で、バス上の通信は停止され、したがって、処理ユニットにおける故障は各周辺モジュール部分で効果を表さないからである。換言すれば、 処理ユニット間の通信リンクのセパレータは、電圧の監視に基づいて調整されてもよい。

この通信は、入出力インターフェースを介して定期的に起こる。電圧監視に関して、入出力インターフェースの端子間の接続において、ＭＥＬＦ抵抗器が配置されれば充分である。信号の「ｓｔａｃｋ－ａｔ－ｈｉｇｈ」な故障の場合および遮断電圧に等しい過電圧の場合、接続線上の電流は接続当たり最大値に限られている。しかしながら、この電流は、処理ユニットまたはそのプロセッサ・コアを破壊しない。最大でも、入出力インターフェースの端子ピンが破壊されるのみである。１本の端子ピンが常に通信回線上の入力（Ｒｘ）として構成され、他のピンが通信回線上の出力（Ｔｘ）として構成されるので、１本の出力ピンのみが破壊されることになる。しかしながら、これは共通原因故障ＣＣＦでない。なぜなら、いずれの場合においても、他の処理ユニットの入力ピンは故障の影響を受けないからである。

故障検出ユニットのみならず電圧監視ユニットはそれ自体、過電圧関連の共通原因故障ＣＣＦのための設定でなければならない。

この目的のために、バス切断ユニットが所定の過電圧に耐えさえすれば充分である。なぜなら、電圧監視装置および故障検出ユニットはそれを動的に制御して、それは複数の直列キャパシタを介して切り離されることができるからである。

さらにまた、所定の過電圧は、特定の電圧に限られている。例えばＳＥＬＶ／ＰＥＬＶ電源からシステムに電源を供給することによって、所定の過電圧を最大値（例えば６０Ｖ）に制限する。

処理ユニットへの他の接続もこのような簡単な方法で切り離されることができるものと理解されるべきである。単純なＭＥＬＦ抵抗器が、同様にここで用いられることが可能である。

図５は、発明の実施の形態に係るバックプレーン・モジュール部分８６の概要図を示す。

バックプレーン・モジュール部分８６は、モジュラー制御装置の個別部品の間に、電源供給および通信リンクを提供する。この目的のために、複数のバックプレーン・モジュール部分は、通信および電源のバス構造を提供するために、行内で相互接続される。

各バックプレーン・モジュール部分８６は、左の隣接モジュールへの接続のための一組の第１の端子１０６と、右の隣接モジュールへの接続のための一組の対応する第２の端子１０８とを有する。連絡線１１０は、第１の端子１０６を第２の端子１０８の対応物に接続する。

ここで示される実施の形態において、第１および第２の端子１０６、１０８はそれぞれ、モジュール電圧のためのＭＳ端子、周辺電圧のためのＰＳ端子およびコミュニケーションバスのためのバス端子を含む。

他の端子組１１２は、バックプレーン・モジュール部分８６に関連したモジュール部分をバス構造に接続する。各端子１１２は、それぞれの接続線１１０への直接的または間接的な接続を含むことができる。

例えば、図５に示すように、周辺電圧ＰＳは接続されたモジュール部分に直接供給されることができ、その一方で、モジュール電圧は、バックプレーン・モジュール部分８６に集積された電源９２によって、まず変換される。

さらにまた、前述したように、バックプレーン・モジュール部分８６は、被接続モジュール部分のためのコミュニケーションバスに接続を提供できる。当該接続は、バックプレーン・モジュール部分８６に集積された制御部分９４を介して、実現できる。

バックプレーン・モジュール部分８６の制御部分９４は、行の形で(in a row form)、コミュニケーションバスのノードとして配置され、例えば、ＡＳＩＣとして実装されることができる。

制御部分９４は、次のバックプレーン・モジュール部分にデータを送り届けることができる。あるいは、データがそのモジュールを目的とする場合、制御部分９４は データを取得して、被接続モジュール部分にそれを供給できる。

制御部分９４は、ＳＰＩを介して被接続モジュール部分の処理ユニットに接続されることができる。そのＳＰＩを介して、処理ユニットは、コミュニケーションバスからデータを受け取ることができて、送信のため当該バスにデータを移送できる。

前述した、バックプレーン・モジュール部分８６に関する実施の形態によって、バックプレーン・モジュール部分８６は、周辺モジュール部分という形で安全に関連した実体の分離に関与できる。

分離は、各周辺モジュール部分がＳＰＩを介して接続を持つことができる制御部分を介して、達成されることが可能である。さらにまた、各実体のための分離されたバックプレーン・モジュール部分８６の使用は、各実体が電源を供給するための別々の電源９２を有することを保障する。

上に述べたバックプレーン・モジュール部分８６は、一例として理解されるべきであり、周辺モジュール部分およびヘッド・モジュールを相互接続するために、他の実施の形態も考えられる。

最後に、図６は、実施の形態に係る電源モジュールの概要図を示す。電源モジュールは、参照番号８４によって、全体が示される。

電源モジュール８４は、外部への供給電圧を受信するために、端子８８、９０を含む。前述したモジュール電圧ＭＳは端子８８に供給され、周辺電圧ＰＳは端子９０に供給される。

本実施の形態において、電源モジュール８４は、供給された電圧を監視するための手段をさらに含む。

ＭＳのための外部への供給電圧は、ＳＥＬＶ／ＰＥＬＶ電源ユニットにより用意される。公称電圧は、業界標準の ２４Ｖ であってもよい。端子８８、９０のダイオード（例えばｔｒａｎｓｉｌダイオード、図示せず）は、電圧スパイクを約３６Ｖに制限できる。供給電圧は、変圧器１１４を通して、電気的に絶縁された供給電圧レール１１５に供給され、その公称電圧も２４Ｖであってよい。

１１４変圧器の一次および二次側には、例えば、３８Ｖにセットされた各電圧監視デバイス１１６が設けられている。もし３８Ｖを超える電圧が検出された場合、変圧器１１４の接続はスイッチング素子１１８によって切断される。

ＰＳのための外部への供給電圧は、ＳＥＬＶ／ＰＥＬＶ電力供給から得ることもできる。この電圧は、電源モジュール８４の処理ユニット１２０によって、スイッチング素子１２２を介して有効にされることができる。この目的のために、処理ユニット１２０は、スイッチング素子１２２の上流で、電圧監視デバイス１２４によって電圧を検出し、評価することができる。

ＰＳレールの温度は温度センサ１２６で、およびスイッチング素子１２２の下流のＰＳレールの状態は、さらなる電圧監視デバイス１２４’で検出され、それに応じて応答する。

各端子１２８（それはバックプレーン・モジュール部分８６の第１の端子１０６に対応する）は、モジュール電圧ＭＳおよび周辺電圧ＰＳを、接続された各モジュールに渡す。

さらにまた、電源モジュール８４は、コミュニケーションバスに接続されてもよい。この目的のために、処理ユニット１２０が上に説明した方法でコミュニケーションバスにアクセスすることができるために、他の制御部分９４が、電源モジュール８４の中に設けられてもよい。

処理ユニット１２０および制御部分９４は、供給電圧レール１１５から他の電源９２を介して、電力を供給されてもよい。

上に述べた電源モジュール８４は、一例として理解されるべきであり、モジュラー制御装置のための他の電源も考えられる。原則として、電源モジュール８４は、フェイルセーフ・ユニットである必要はない。

Claims (21)

1. それぞれ処理ユニット（１８、２４）および故障明示ユニット（２０、２２、２６、２８）を備える冗長な複数のチャンネルユニット（１２、１４）を有する、モジュラー制御装置（１００）のためのヘッド・モジュール（１０）であって、
   前記故障明示ユニット（２０、２２、２６、２８）は、前記各チャンネルユニット（１２、１４）の状態を監視するように構成され、前記処理ユニット（１８、２４）は、故障明示ユニット（２０、２２、２６、２８）を連続的に刺激するように構成され、
   前記冗長なチャンネルユニット（１２、１４）内の少なくとも１つの処理ユニット（１８）は、モジュラー制御装置（１００）の１つまたはそれ以上の周辺モジュール部分（５０）に通信リンクを提供するために、コミュニケーションバスの信号線に接続され、
   前記故障明示ユニット（２０、２２、２６、２８）は、前記刺激および前記監視に基づいて、前記コミュニケーションバスを切断するように構成されたバス切断ユニット（３６）を制御するように構成される、ヘッド・モジュール。
2. 前記故障明示ユニット（２０、２２、２６、２８）は、チャンネルユニット（１２、１４）当たり、監視ユニット（２２、２８）および故障検出ユニット（２０、２６）を含み、
   前記監視ユニット（２２、２８） は、チャンネルユニット（１２、１４）の各電源ユニット（３０、３２）を監視するように構成され、
   前記故障検出ユニット（２０、２６）は、前記刺激に応答して信号を提供するように構成される、請求項１に記載のヘッド・モジュール。
3. 前記バス切断ユニット（３６）は、前記コミュニケーションバスの信号線に配置される各チャンネルユニット（１２、１４）のためのスイッチング素子（３８）を含み、
   各チャンネルユニット（１２、１４）の前記故障検出ユニット（２０、２６）は、前記スイッチング素子の１つに関連し、
   前記故障明示ユニット（２０、２２、２６、２８）は協働して、関連する前記スイッチング素子（３８）に作用するように構成される、請求項１または請求項２に記載のヘッド・モジュール。
4. 各チャンネルユニット（１２、１４）の前記監視ユニット（２２、２８）は、関連するスイッチング素子（３８）に、特にそれぞれ関連するチャージポンプを介して作用するため、前記監視に基づく動的な制御信号を生成するように構成される、請求項２または請求項３に記載のヘッド・モジュール。
5. 前記故障検出ユニット（２０、２６）は、それぞれの処理ユニット（１８、２４）による前記刺激に応答して、動的な制御信号の生成を遮断するように構成される、請求項４に記載のヘッド・モジュール。
6. 前記処理ユニット（１８、２４）と前記バス切断ユニット（３６）との間の各チャンネルユニット内の前記故障明示ユニット（２０、２２、２６、２８）の信号経路に直列に配置される少なくとも１つのキャパシタを含む、請求項１～請求項５のいずれか１項に記載のヘッド・モジュール。
7. 前記チャンネルユニット（１２、１４）は、前記モジュラー制御装置（１００）の前記１つまたはそれ以上の周辺モジュール部分（５０）と、コミュニケーションバスのみを介して通信するように構成される、請求項１～請求項６のいずれか１項に記載のヘッド・モジュール。
8. 各チャンネルユニット（１２、１４）の前記処理ユニット（１８、２４）は、前記処理ユニット（１８、２４）が互いを監視するため、前記コミュニケーションバスから独立したインタフェースを介して、相互に通信するように構成される、請求項１～請求項６のいずれか１項に記載のヘッド・モジュール。
9. 前記インタフェースのための過電圧保護は、それぞれ用意され監視されている供給電圧に基づいて設計され、特に抵抗値が、前記監視ユニット（２２、２８）のスイッチオフ電圧に基づくように設定された抵抗器によって形成される、請求項８に記載のヘッド・モジュール。
10. 各チャンネルユニット（１２、１４）の前記処理ユニット（１８、２４）は、関連する前記故障明示ユニット（２０、２２、２６、２８）の機能テストを実行して試験結果を読み込むように、特に試験結果をそれぞれの他の処理ユニットに提供する構成される、請求項１～請求項９のいずれか１項に記載のヘッド・モジュール。
11. 冗長な複数のチャンネルユニット（５２、５４）および少なくとも１つの出力ユニット（５６）を有する、モジュラー制御装置（１００）のための周辺モジュール部分（５０）であって、
    前記出力ユニット（５６）は、前記冗長なチャンネルユニット（５２、５４）による制御に応答して１つまたはそれ以上の出力（７０）を設定するように構成され、
    前記チャンネルユニット（５２、５４）は、それぞれ処理ユニット（５８、６４）および故障明示ユニット（６０、６２、６６、６８）を備え、
    前記故障明示ユニット（６０、６２、６６、６８）は、各チャンネルユニットの状態、特に各チャンネルユニットに共通の供給電圧を監視するように構成され、
    前記処理ユニット（５８、６４）は、それぞれ前記故障明示ユニット（６０、６２ ６６、６８）を刺激するように設定され、
    各チャンネルユニットの故障明示ユニット（６０、６２、６６、６８）は、前記刺激および前記監視に応答して、前記出力ユニット（５６）の出力（７０）の設定を制御するように集合的に配置される、周辺モジュール部分。
12. 各チャンネルユニット（５２、５４）の前記故障明示ユニット（６０、６２、６６、６８）は、前記出力ユニット（５６）を制御するための前記監視に応答して、特にチャージポンプを経て、動的な制御信号を生成するように構成される、請求項１１に記載の周辺モジュール部分。
13. 各チャンネルユニットの前記故障明示ユニット（６０、６２、６６、６８）は、それぞれの処理ユニットによる前記刺激に応答して動的な制御信号の生成を遮断するように構成されている、請求項１２に記載の周辺モジュール部分。
14. 前記出力ユニット（５６）が、前記冗長なチャンネルユニット（５２、５４）から電気的に分離されている、請求項１１～請求項１３のいずれか１項に記載の周辺モジュール部分。
15. 請求項１～請求項１０のいずれか１項に記載のヘッド・モジュール（１０）と、請求項１１～請求項１４のいずれか１項に記載の周辺モジュール部分（５０）とを含む、モジュラー制御装置（１００）。
16. 少なくとも第１の周辺モジュール部分および第２の周辺モジュール部分をさらに備え、
    前記ヘッド・モジュール（１０）の第１のチャンネルユニット（１２）は、前記第１の周辺モジュール部分により第１の機能ユニットを形成し、
    前記ヘッド・モジュール（１０）の第２のチャンネルユニット（１４）は、前記第２の周辺モジュール部分により、前記第１の機能ユニットから独立した第２の機能ユニットを形成する、請求項１５に記載のモジュラー制御装置。
17. 前記ヘッド・モジュール（１０）、前記第１の周辺モジュール部分および前記第２の周辺モジュール部分は、コミュニケーションバスを介してのみ互いに通信する、請求項１６のモジュラー制御装置。
18. 請求項１５～請求項１７のいずれか１項に記載のモジュラー制御装置であって、
    ヘッド・モジュール（１０）のための、および、少なくとも１つの周辺モジュール部分（５０）のための電源としてヘッド・モジュール（１０）に共通モジュール電圧を供給し、ならびに、前記少なくとも１つの周辺モジュール部分（５０）の出力ユニット（５６）に周辺電圧を供給するように構成された電源モジュール（８４）をさらに備え、特に前記電源モジュール（８４）が非安全なユニットである。
19. 前記電源モジュール（８４）は、前記共通モジュール電圧または前記周辺電圧の少なくとも１つを供給するために、ＳＥＬＶ／ＰＥＬＶ電源から電力を受け取る、請求項１８に記載のモジュラー制御装置。
20. 前記電源モジュール（８４）は、共通モジュール電圧を電源から電気的に切り離すセパレータ（１１４）を含む、請求項１８または請求項１９に記載のモジュラー制御装置。
21. モジュラー制御装置のヘッド・モジュール（１０）のための方法であって、
    前記ヘッド・モジュール（１０）は、それぞれ処理ユニット（１８、２４）および故障明示ユニット（２０、２２、２６、２８）を備える冗長な複数のチャンネルユニット（１２、１４）を有し、
    前記故障明示ユニット（２０、２２、２６、２８）は、それぞれのチャンネルユニット（１２、１４）の状態を監視し、
    前記処理ユニット（１８、２４）は、前記故障明示ユニット（２０、２２、２６、２８）を連続的に刺激し、
    前記処理ユニット（１８）の少なくとも１つは、前記モジュラー制御装置（１００）の１つまたはそれ以上の周辺モジュール部分（５０）に通信リンクを提供するために、コミュニケーションバスの信号線に接続され、
    前記故障明示ユニット（２０、２２、２６、２８）は、前記刺激および前記監視に応答して前記コミュニケーションバスを切断するためにバス切断ユニット（３６）を制御する、方法。

Images