JP2528491B2 - モニタシステム - Google Patents

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、モニタシステムに関する。

従来の技術 近年、安価で且つ融通性があるという点で、マイクロ
プロセッサ制御システムを用いて機械やシステムが制御
されるようになってきている。

バーナー制御システムのように安全性を考慮しなけれ
ばならない時には、制御されているシステムの欠陥状態
を検出する助けとして内臓ルーチンが使用される。この
ような制御システムが例えばGB特許第2139782号に開示
されている。然し乍ら、このようなシステムは、一体的
なマイクロプロセッサ制御器を有しているために予想で
きない欠陥モードをこうむり勝ちであり、安全性を重要
視する用途に使う時には疑わしい素子が残ることにな
る。

発明が解決しようとする課題 本発明は、予想できない動作欠陥が生じた時でも安全
動作を維持するためにこのような疑義を分析することに
関する。

課題を解決するための手段 本発明によれば、安全性を重要視した状態においてあ
るプロセスまたは設備を制御するために設けられた、マ
イクロプロセッサをベースとする制御装置を監視するた
めのモニタシステムであって、上記マイクロプロセッサ
をベースとする制御装置から制御情報を受け取るための
第１入力手段と、上記プロセスまたは設備に関連付けら
れたセンサからの基準情報であって、上記マイクロプロ
セッサをベースとする制御装置によっても受け取られた
基準情報を受け取るための第２入力手段と、上記マイク
ロプロセッサをベースとする制御装置からの上記制御情
報が上記センサからの上記基準情報から予想されるもの
と対応するかどうかを判断する判断手段と、上記制御情
報にエラーが検出された場合に上記制御情報を拒絶する
ための拒絶手段とを具備することを特徴とするモニタシ
ステムが提供される。

モニタシステムの完全性を確実に維持するためにチェ
ック手段が設けられるのが好ましい。

モニタシステムは、ROMをベースとするものであり、
エラーを受け取ると、拒絶情報を含むメモリ位置がアド
レスされるのが好ましい。

実施例 以下、添付図面を参照して、本発明の好ましい実施例
を詳細に説明する。

第１図は、マイクロプロセッサをベースとするPLC
（プログラム可能な論理制御装置）10を示しており、こ
の装置は、インターロック機構１−５から受け取った入
力信号に基づいてバーナー装置の動作を通常直接的に制
御するものである。然し乍ら、この新規な構成において
は、ブロック10からの制御出力が端子30−34においてバ
ーナー装置に直接接続されるのではなく、ライン17−21
を用いて安全モニタ25に直列に接続される。又、このモ
ニタは、ライン12−16を経てインターロック情報も受け
取る。モニタは、広い意味では、バーナー装置がインタ
ーロックするシーケンスを実際に監視して制御装置10か
らの出力が予想された通りであるかどうかをチェック
し、もしそうでなければ、モニタ自体が制御機能を開始
して潜在的に危険な状態を除去するようにする第１部分
25Aを有するものと考えることができる。この出力制御
機能は、部分25Bのリレー接点RL1−RL5によって表され
ている。モニタ25は、通常はバーナー装置を制御するた
めに設けられたものではなく、例えば、停止動作を開始
するための拒絶制御を行なうように設けられている。従
って、モニタは、１組のリレー接点RL1−５を制御する
ことができるので、単に受動的であるのではなく、「能
動的な」モニタであると考えることができる。このモニ
タは、PLCのためのパターンと、それに関連して予想さ
れるバーナー装置の出力であって例えばサーモスタット
や炎圧力に基づいたパイロット、点火又はファン動作と
いったシーケンスの各段階における出力のためのパター
ンとを含んでいる。モニタが観察された状態に合意する
場合には、適当なリレー接点RL1−５を閉じて、ライン3
0−34に現われる出力の状態がPLCから受け取ったものを
表わすことができるようにする。安全モニタがバーナー
装置及びPLCの出力に合意しない場合には、典型的に、
全てのリレー接点を開き、PLC及びバーナー装置のイン
ターロックが故障した場合にバーナー装置の遮断を開始
させる。

モニタの更に詳細な実施例が第２図に示されている。
第１図のインターロック機構１−５及びPLC出力は、各
々、ライン12−16及び17−21を経て交流入力として受け
取られ、抵抗R1−R5及びR6−R10を経てオプトアイソレ
ータ40（例えば、５×二重オプトアイソレータ、型式IL
D74）に供給される。これらの抵抗は、電流を数ミリア
ンペアに制限し、この電流は共通の中性線22を経て戻さ
れる。分離された出力は、EPROM43によって受け取られ
る前にバッファ41へ供給される。EPROM43は、モニタシ
ステムの中心部である。バッファが組み合わされた一対
のオプトアイソレータが第３図に詳細に示されている。

ダイオードD1及びD2は、交流入力の非導通サイクルに
おいてアイソレータチップIC1aの一部分を形成するオプ
トアイソレータ発光ダイオード（LED）をバイパスす
る。

チップIC1の受信部を形成する各オプトアイソレータ
のトランジスタのコレクタは、シュミット反転バッファ
（例えば、型式40106）の入力に信号供給する。入力が
アクティブな時には、シュミット反転バッファへの入力
がトランジスタの導通によって低レベルに引っ張られ
る。又、各トランジスタのコレクタを経てRC回路網C1/R
20及びC2/R19が＋5Vまで接続される。これは、２つの目
的を果たす。その第１は、シュミット反転バッファの入
力を供給線路（＋5V）電圧まで引っ張ることである。第
２に、入力は交流であるから、入力がアクティブである
時には、オプトアイソレータのコネクタが交流入力の割
合で0Vと5Vとの間を切り換わる。これにより、シュミッ
ト反転バッファは論理状態間をフリップする。RC回路網
は、オフ時間中にシュミット反転バッファへの入力を低
レベルに維持して入力をアクティブに保持するに充分な
長さに選択された遅延時間を有している。

同様のオプトアイソレータ及びバッファが全てのライ
ン12−21に対して設けられている。シュミットインバー
タIC6a、ｂは、ラインのノイズを除去してスプリアスな
入力状態の変化を防止するためにヒステリシスを内臓し
ている。

第２図を参照すれば、バッファされた入力は、EPROM
（例えば、16Kの位置を有する型式27128）のアドレスラ
インA0−A9を経て受け取られる。

EPROMの各位置は、14本のアドレスラインA0−A13に現
れる独特の２進アドレスコードによってアクセスするこ
とができ、特定の位置がアクセスされると、その位置の
データが２進形態で８本のデータラインD0−D7に出され
る。

それ故、EPROMは、本質的に、PLCに許された動作を記
憶することのできる大きなルックアップテーブルであ
る。EPROMの他部分には遮断命令を記憶することができ
る。４本の他のアドレスラインA10−A13は、カウンタ48
の制御のもとで使用される。リレー駆動ブロック45を経
てリレーRL1−RL5のコイルを付勢するのに使用されるデ
ータラインD0−D4によって５つの装置負荷を制御するこ
とができる。

データラインD6は、カウンタ48（例えば、型式4040）
をクロックするのに使用される。クロック信号は、スプ
リアス信号をフィルタ除去するRC回路網R21/C11を経て
供給され、シュミットインバータIC7は信号を鮮鋭化す
ると共にノイズを除去する助けをする。カウンタは、負
の縁においてのみクロックし、従って、クロックデータ
ラインは、カウンタをオンにクロックするために０から
１へ充電しなければならない。D7リセットラインの出力
は発振器46を経て受け取られ、この発振器の出力は、パ
リティチェック回路49により、EPROM43の出力及びそれ
に関連した駆動装置45の出力が以下に詳細に述べるよう
に故障時に存在しないようにするために使用される。何
等かのエラーがあると、ロックアウトリレーRL6が作動
される。

パリティチェック回路49は、以下で詳細に述べるよう
に動的に作動して、モニタの全ての内部回路が正しく動
作するように確保し、ひいては、EPROMからリレー駆動
装置を経て送られる信号をチェックすることが必要であ
る。比較ビットD5はこのチェックに用いられる。カウン
タ48がD6からのクロック信号又はD7からのリセット信号
によって増加されるか或いは単に現在位置に保持される
かは、所与の時間にEPROMのデータ位置D6又はD7に記憶
された実際の値によって左右される。

カウンタ48のラインQ1−Q4は、EPROM43の上位アドレ
スラインをアクセスするのに使用され、これらのカウン
タの出力は16個のアドレス状態を与え、従って、メモリ
を16個の別々のルックアップテーブルに効果的に分割
し、各テーブルは、所与の時間におけるA10−A13のアド
レス組合せに基づいてアクセスされる。各テーブルに
は、1Kバイトが割り当てられている。

各テーブルは、バーナー動作の各段階が進むにつれて
順次にアクセスされる。このシーケンスは、所与の時間
に位置D6に記憶されたデータとして得られれクロック信
号によって決定される。クロック信号のソースとしてEP
ROMを使用することは、PLC又は他のどこかから不正確な
シーケンスが生じないようにする安全機能である。16個
をテーブルのいずれか１つに内においてアクセスされる
実際の位置は、アドレスラインA0−A9の信号から得られ
るアドレスの組合せによって左右される。

従って、EPROMは、カウンタ、バーナー装置インター
ロック及びPLCから得られた組合せである14ビットワー
ドによってアクセスされる。この組合せが「許容」され
た１であり、即ち、エラーでない場合には、そのアクセ
スされた位置からデータラインD0−D7に８ビットワード
が発生され、これは、PLCから受け取った命令に対応す
るように予め記憶されたものである。

エラーのある組合せによって定められるEPROM内のア
ドレスは、遮断又は他の矯正処置を生じるために出力さ
れる予め記憶されたデータを有している。

EPROMアドレスを定めるのに用いられる典型的な組合
せが第４図に示されている。

バーナー装置のインターロックフレーム、APS（空気
圧力スイッチ）及びサーモスタット（Stat）は、各々、
アドレスラインA7−A9に用いられる（第２図のオプトア
イソレータ及びバッファを経て）。この例では、アドレ
ス入力A5及びA6は使用されない。アラーム、主及びパイ
ロットバルブ、点火及びファン動作のためのPLCからの
制御情報は、各々、アドレスA4−A0に受け取られる（第
２図のアイソレータ及びバッファを経て）。

このようなバーナー構成のための始動シーケンス及び
動作が第５図の真理値表に示されている。これは、PLC
及びバーナー装置の出力がバーナーシーケンスの各段階
においてとるべき状態を示している。このシーケンス
は、遮断状態から始まって、始動、パージ、パイロット
点火、主点火を経て完全運転へ至り、やがてサーモスタ
ット状態の変化によって後パージが行なわれる。

通常の動作においては、EPROMがPLCの出力を表わし、
種々の信号の変化によって所与の領域内の種々の位置が
アクセスされる。シーケンス段階が正当である場合に
は、クロック信号がデータとして記憶されることにより
これが行なわれ、このデータはカウンタを増加するため
にD6に出力される。

パリティチェックを含む安全チェックについて第６図
を参照して詳細に説明する。モニタには部品の欠陥に起
因して潜在的に起こり得る種々の欠陥モードがある。こ
れらは、潜在的に、論理ゲートの欠陥、開路又は短絡、
或いはEPROMの位置内のビット不良である。安全モニタ
内には充分なフェイルセーフ回路をもたせることが必要
であり、これは、EPROM及びリレー駆動装置のデータラ
インをパリティチェックすることを含む手段によって達
成される。チェックは、データラインD0−D4と、EPROM
の比較ビットD5とに対して行なわれる。又、パリティ回
路は、欠陥、開路又は短絡を判断するためにリレー駆動
装置もチェックする。

データバイトに偶数のビットが含まれた場合、偶数パ
リティとは、そのバイトに偶数の論理１と論理０がある
ことを意味する。一方、奇数パリティは、奇数個の論理
１又は論理０があることを指す。これは、EPROMの全て
の位置において、奇数パリティであるこのモニタの場合
に、パリティの１つの意味を保持するように比較ビット
D5をプログラムできることを意味する。

前記したように、データラインD0−D5はリレー駆動装
置45に接続される。これらリレー駆動装置の出力は、第
２図から明らかなようにパリティチェック回路49へ送ら
れる。このパリティチェック回路は、この実施例におい
ては、発振器46から方形波信号が供給され、これによ
り、パリティチェックの全てのゲートが正しく機能し続
けることをチェックするという意味において動的であ
る。

EPROMのパリティは一定であるので、パリティチェッ
ク回路の出力も一定となる。パリティチェック回路の出
力は、実際には、方形波入力と同じである。この同じ方
形波は遅延回路51にも供給され、遅延回路及びパリティ
チェックの出力が排他的オアゲートIC13cにおいて合成
される。

方形波の周期は約350μｓである。遅延回路の時間遅
延は約10μｓである。排他的オアゲートの機能は、その
両方の入力が同じレベルである時にこのゲートの出力が
ゼロとなり、さもなくば、論理１となるようなものであ
る。

この排他的オアゲートからのパルスが第７図に示され
ている。約340μｓ離されたこれらの短い10μｓパルス
は、リレー駆動装置IC11gへ送られ、これは、次いでロ
ックアウトリレーコイルRL6を駆動する。リレー駆動装
置は、排他的オアゲートからのパルスを反転する。これ
により得られる信号のマーク／スペース比は、非常に確
実にロックアウトリレーを作動できないようにする。然
し乍ら、この信号は、ダイオードポンプ回路53に充分な
電荷を保持し、リセット信号を低レベルに保持し、EPRO
Mをリセットしないようにする。この信号が第８図に示
されている。

ここで、アクセスされているEPROMの位置にビット欠
陥が生じてその位置にパリティエラーが生じると仮定す
る。これは、パリティチェック回路49の出力を反転さ
せ、それにより、ロックアウトリレーコイルRL6を駆動
するリレー駆動装置の出力を反転する。

この信号は、第９図に示すように、ロックアウトリレ
ーコイルを作動して安全モニタをロックアウトモードに
入れるには著しく低いマーク／スペース比を有してい
る。又、第９図の信号によってダイオードポンプ回路に
充分な電荷を維持することができず、従って、リセット
信号が高レベルとなる。カウンタ48がリセットされ、従
って、EPROMは閉鎖の場合にスタート状態にリセットさ
れる。

リレー駆動装置が開路又は短絡するという故障により
欠陥が生じることが考えられる。

パリティチェック回路は動的であるから、部品の欠陥
によっても閉鎖状態が生じる。従って、全てのフェイル
セーフ回路自体が完全にフェイルセーフとなる。

第10図の構成要素を用いてリレー駆動及びパリティチ
ェック構成体を設けることができる。６個のバッファ／
駆動装置IC11a−ｆ（例えば、型式ULN2003N）は、各
々、EPROMの出力D5−D0を受け取り、これらは、バッフ
ァの出力が低レベルになる時もしくはそれに関連したデ
ータラインが高レベルになる時にリレーRL1−RL5のいず
れか駆動されるように反転される。ロックアウト接点／
モードセレクタブロック56は、リレーRL1−５のための
共通の接続部に接続されて示されており、以下で述べる
ようにリレーへの供給電圧を選択する。

パリティチェックの排他的オアゲートIC12a−ｄ及びI
C13a−ｂ（例えば、型式4070）はカスケード構成にさ
れ、それらの各々の他の入力は抵抗R27−R32を経てリレ
ー駆動装置に接続されている。最後の排他的オアゲート
IC13bは、第６図について述べたように、その出力が排
他的オアゲートIC13cに接続されている。発振器46の出
力は、動的な安全チェックを与えるためにIC12aの一方
の入力に受け取られる。

従って、パリティ入力が偶数である場合には、パリテ
ィチェック回路の出力が０となりそして奇数の場合には
論理１となることが明らかであろう。然し乍ら、発振器
からは方形波が送られるので、出力は、発振器の割合で
連続的に変化し、従って、潜在的な欠陥を検出するよう
に全てのゲートに作用する。いずれか１つのゲートに欠
陥が生じると、パリティチェック回路の出力に現われる
方形波信号の欠損によってこれが検出される。従って、
パリティ回路自体がフェイルセーフとなる。

第11図は、第６図について既に述べた適当な発振器46
及びリレー51を示している。

発振器は、ナンドゲートIC10d（例えば、型式4093）
と、R23及びC13とによって形成される。その出力は、R2
4と、コレクタ抵抗R25を有するトランジスタQ1とを経て
得られる。発振器の出力は、パリティチェック回路49
と、R26及びC14のRC回路網で形成された遅延回路51（時
定数は約10μｓ）との両方に送られる。発振器は、ナン
ドゲートIC10b及びIC10c（この後者はインバータとして
接続されている）を通るEPROMのデータ出力D7によって
作動可能にしたり作動不能にしたりすることができる。
遅延された発振器の出力は、第６図について既に述べそ
して第12図に詳細に示されたように、排他的オアIC13c
へ送られる。このゲートは、パリティチェック回路のゲ
ートを通過した発振器の出力も受け取る。駆動装置IC11
gを経て反転された後に、信号はリセットコイルRL6の巻
線を通り、トランジスタＱを経てダイオードポンプに通
る。このポンプは、分圧器として働くR34、C15−16、D1
1−12及びR35−36より成る。出力は、シュミットインバ
ータIC7f（例えば、型式40106）を経てカウンタ48をリ
セットするように通される。

回路の通常の非閉鎖動作の間には、トランジスタQ2
は、その殆どの時間オフになり、比較的短い時間オンに
なる。これらのオン時間とオフ時間は、両方共、発信器
の周波数と遅延回路の時定数とによって決定される。オ
ンの時間中、キャパシタC15及びC16は、Q2を介して充電
する。

キャパシタC15の容量がC16の容量のおよそ半分である
ため、C15は、C16における電圧のおよそ２倍の電圧まで
充電する。長いオフ時間中、C15は、R34とD11とを通じ
て放電する。C16は、R35とR36とを通じてゆっくりと放
電する。然し乍ら、Q2が再びオンになると、C15とC16を
再び充電し始める。これにより、電荷がC15からC16へ急
激に移されて、C16にまたがる電圧が増加される。この
ため、Q2の「オン」サイクルの度にC16の電荷は増加さ
れ、それにより、C16の電圧を、リセットが行なわれな
いようにするに足る程の高さにIC7fへの入力電圧を維持
するのに充分なレベルまで増加する。

然し乍ら、Q2のベースへの信号が反転されて閉鎖状態
を生じさせるときには、Q2がその殆どの時間オンにな
り、比較的短い時間オフになる。これは、C15とC16が放
電する時間が殆どないことを意味する。Q2が再びオンに
なったときには、電荷がC16に殆ど転送されず、C16にお
ける電圧は低いままとなり、そのため、ICf7への入力電
圧も低く、カウンタへリセット信号が強制的に送られ
る。Q2がずっとオフの場合或いはずっとオンの場合にも
同じ作用が起こる。

Q2が恒久的にオフの場合、C15とC16は実質的に完全に
放電してしまい、IC7fへの入力電圧は０ボルトとなり、
リセットが強制される。これは、EPROMがそのデータラ
イD7を通じて発振器を機能停止させたときである。Q2が
恒久的にオンの場合、即ち、閉鎖が起こったときには、
C16への電荷の転送は行なわれない。C16における電圧は
低いままとなり、そのため、リセットが行なわれる。

更に、データラインD7のEPROM出力は、D7の出力が低
レベルになったときにカウンタをリセットする。このリ
セットは、ナンドゲートIC10b（例えば、型式4093）と
ゲートIC10c（インバータとして接続されている）とを
通じて発振器（第11図参照）を機能停止することによっ
て行なわれる。発振器が機能停止された場合には、方形
波が除去され、ICf7の出力が再び高レベルとなって、カ
ウンタがリセットされる。キャパシタC16と抵抗器R35−
R36は、雑音によるスプリアスなリセット信号を防止す
るためにフィルタ機能を果たす。

第12図のスイッチSW1に手動リセット機能をもたせる
こともできる。これは、第11図の発振器を機能停止する
ように作用する。

ツェナーダイオードZ1は、インバータIC10aへの電圧
を4.7Vにクランプする。これは、論理０に反転されて、
発振器を機能停止し、ダイオードポンプを通過して、第
12図のICf7の出力を高レベルにして、カウンタをリセッ
トする。第12図のスイッチSW1は、閉鎖状態の後にRL6の
リセットコイルを作動させるのにも使用できる。

第12図に示すリンクの選択に応じて、２つの閉鎖モー
ドがある。既に述べたように、排他的オアゲート13c
は、パリティチェック回路と遅延回路の出力を比較す
る。IC11gは、次いで、信号を反転させて、ラッチロッ
クアウトリレーのリセットコイルを駆動する。リンクA1
−２とB1−２とによって２つのロックアウトモードを選
択することができる。これらのリンクに関連するダイオ
ードは、チップIC11内に備えられている。

リンクA1及びA2が選択（接続）されそしてモニタに欠
陥が生じた場合、例えばEPROM位置にビット不良が生じ
た場合には、リレーRL1ないしRL5が全て作動され、それ
らの接点が閉じられ、バーナ装置を完全にPLC制御でき
るようになる。モニタは、それ自体の内部欠陥によって
効果的にバイパスされるが、PLCはバーナ装置を制御し
続ける。

或いは又、リンクB1及びB2が選択されそして上記した
ようにモニタに欠陥が生じた場合には、バーナ装置が遮
断され、バーナ装置のPLC制御が素子される。これは、
全てのリレーが落ちて、PLCを分離し、遮断を開始する
ためである。

ラッチリレーは、RL6のセットコイルが作動されそし
て欠陥を取り除いた時にスイッチSW1を手動で操作する
ことにより通常の作動モードに復帰するまで、この閉鎖
状態のままでいる。ロックアウトインジケータLED2とそ
れと関連した電流制限抵抗器R38とにより閉鎖の可視指
示が与えられる。

PLCエラーが生じると、リセットが行なわれ、それに
伴って、バーナ装置が遮断されるが、閉鎖はされない。
このため、上記の各モードは、PLC欠陥が生じたときに
モニタの動作に影響を及ぼさない。

標準的な調整された主電源を用いて直流5Vと12Vを供
給することができる。

第４図及び第５図について既に述べたように、モニタ
システム内のEPROMは、所与の時間（PLCが欠陥状態にあ
るときを除く）におけるバーナの状態に通常関連したPL
C出力を映し出す。

第13図は、EPROMのこの映し出された出力を示すもの
である。PLCからの５つの入力は、遮断状態に対応する
ものでもあり、全ての２進ゼロに等価なものである。AP
Sと炎はゼロであり、サーモスタットは、閉じても閉じ
なくてもよい（Ｘで表わされる）。これは、第５図に示
す表の第１行に対応するものである。

既に述べたように、カウンタ48の出力Q1−Q4は、EPRO
Mの16個の領域のどれをアクセスするかを制御する。

所与の領域内で、特定の位置が10ビットのワードによ
り（或いはより正確には、このワードの８つの可変ビッ
トにより（A5及びA6は変らない））決定される。これら
８つのビットは、A9−A7及びA4−A0、即ち、STATと、AP
Sと、炎と、ファンと、IGNと、パイロット炎と、主炎
と、アラームとによって構成される。

定められた位置に予め記憶されたデータは、第13図に
示すように、PLCを映すためにD0−D4については全てゼ
ロとなる。第14図は、PLC出力にエラーが生じていると
きの状態の例を示すものである。この図は、パイロット
点火段階中に主炎の出力が誤って付勢されるという明ら
かに非常に望ましくない故障状態を示すものである。

この付勢は、PLCから受け取った主炎出力における論
理１によって表わされる。アラームは０である。（PLC
自身がこの欠陥に気付かなかったことを示す）ことが示
されている。他の入力は、第５図のライン５のものに対
応している。

EPROM内の位置は、第14図に示すようにデータを予め
記憶して下り、D0（アラーム）位置を除く全ての位置に
ゼロが存在している。これらのゼロにより、リレーRL1
−５が開放し、これにより、第１図に示すように、例え
ばバーナ装置を消勢する。従って、モニタは、滞在的に
危険な状態を安全に取り扱わなければならないことが明
らかである。

上記したように、EPROMへのA5入力とA6入力は使用さ
れていない。モニタシステムの拡張態様においては、バ
ーナーシーケンス内の事象の最小又は最大のタイミング
が所望の範囲内に入るように、これらの一方又は両方を
使用することができる。これを行なうために、第15図に
示すように外部タイムをモニタシステムに接続すること
ができる。

３つのタイマT1、T2及びT3が備えられており、これら
のタイマは、高圧空気検知スイッチと、パイロットバル
ブ供給源と、主バルブ供給源によって各々作動される。

タイマT1は、例えば30秒という最小のパージ時間が満
足されたかどうかをチェックする。タイマT2は、パイロ
ット点火のための最大時間を越えていないことをチェッ
クする。タイマT3は、主点火時間が最大許容時間を越え
ていないことをチェックする。

変調ユニットの高圧空気リミットスイッチが閉じたと
きには、タイマT1が作動される。30秒後に、タイマは時
間切れとなり、接点T1/1が閉じる。これにより、チェッ
ク入力が論理１（アクティブ）にセットされる。論理１
に向かうチェック入力を用いて、パージ時間が少なくと
も30秒間であったというチェックを行なうことができ
る。これは、第16図の波形に示されている。従って、EP
ROMは、バーナシーケンスの各段階についてチェック入
力の正しい状態で予めプログラムすることができる。食
違いがある場合には、適当な動作を開始することができ
る。

高圧空気パージが最小時間に観たない場合には、T1が
時間切れになる前にその電力がオフになり、従って、チ
ェック入力は高レベルにならない。チェック入力はクロ
ックの状態として使用することができるので、不適当な
タイミングが生じた場合には、EPROMは誤った位置にお
いてアクセスされ、遮断が起こる。

これは、第17図に示されている。ここでは、チェック
入力が高レベルになっていないために、EPROMはオンに
ならない。これにより、パージの長さがチェックされ
る。

次にチェックされる時間は、パイロット点火時間であ
って、これが５秒を越えないことの確認である。第18図
は、パイロット点火時間が延長された場合の影響を示す
ものである。点火は、パイロット点火時間が５秒を越え
たことを意味するチェック入力と同時にオンになる。

このアドレスは、EPROM内に許可されないものとして
予めプログラムすることができ、又、遮断命令を含むこ
とができる。パイロット点火時間が５秒に満たない場合
には、第16図に示すように、アドレスワードが許可され
る。

主点火時間は、第16図からわかるように、タイマT3で
チェックすることができる。このタイマは、主バルブ出
力が付勢されたときに付勢し、５秒後に時間切れとな
る。このときまでに、パイロットは消えていなければな
らない。然し乍ら、パイロット点火時間５秒を越えた場
合には、タイマT3が時間切れになったときにも、パイロ
ット出力は付勢され続ける。これは、第19図に示されて
いる。これは、許容されないアドレスとして予めプログ
ラムすることができ、このため、遮断命令を含んでい
る。

このようにして、この構成では、パージ時間と、パイ
ロット点火時間と、主点火時間がチェックされる。

各タイマは、標準的なプリセット式のソリッドステー
トタイマによって構成することができる。いずれかのタ
イマが故障した場合には、EPROMアドレスラインのチェ
ック入力によってエラーがピックアップされ、そして、
適当な処置が開始される。

モニタシステムに用いられるEPROMは、標準的な技術
を用いるか或いはショートプログラムを用いることによ
ってその様々な位置にデータを予めプログラムすること
ができる。

【図面の簡単な説明】

第１図は、マイクロプロセッサ制御に関するモニタを示
す図、 第２図は、このモニタの実施例を更に詳しく示す図、 第３図は、入力の処理構成を示す図、 第４図は、EPROMに関する情報の割付けを示す図、 第５図は、動作状態の表、 第６図は、パリティチェック動作を示す図、 第７図はないし第９図は、モニタに関する信号を示す
図、 第10図は、パリティ回路の動作の詳細な図、 第11図は、発信器及び遅延回路の詳細な図、 第12図は、ロックアウト回路の動作の図、 第13図は、遮断のための入力とEPROM出力を示す図、 第14図は、PLCからの主エラーを示す図、 第15図は、タイマ構成を示す図、そして、 第16図ないし第19図は、タイミング図である。 １−５……インターロック機構 10……PLC（プログラム可能な論理制御器） 25……安全モニタ 30−34……端子 40……オプトアイソレータ 43……EPROM

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 昭55−85997（ＪＰ，Ａ) 特開 昭59−91508（ＪＰ，Ａ) 特開 昭61−169782（ＪＰ，Ａ) 特開 昭53−72544（ＪＰ，Ａ) 特開 昭55−117893（ＪＰ，Ａ) 特開 昭58−165103（ＪＰ，Ａ) 特公 昭42−10030（ＪＰ，Ｂ１)

Claims (3)

(57)【特許請求の範囲】
1. 【請求項１】安全性を重要視した状態においてあるプロ
   セスまたは設備を制御するために設けられた、マイクロ
   プロセッサをベースとする制御装置を監視するためのモ
   ニタシステムであって、上記マイクロプロセッサをベー
   スとする制御装置から制御情報を受け取るための第１入
   力手段と、上記プロセスまたは設備に関連付けられたセ
   ンサからの基準情報であって、上記マイクロプロセッサ
   をベースとする制御装置によっても受け取られた基準情
   報を受け取るための第２入力手段と、上記マイクロプロ
   セッサをベースとする制御装置からの上記制御情報が上
   記センサからの上記基準情報から予想されるものと対応
   するかどうかを判断する手段と、上記制御情報にエラー
   が検出された場合に上記制御情報を拒絶するための拒絶
   手段とを具備することを特徴とするモニタシステム。
2. 【請求項２】上記判断手段は、上記第１及び第２入力手
   段から受け取った情報に基づいてアクセスできる２進デ
   ータを記憶するためのメモリを備えており、該メモリ
   は、上記制御装置の情報を反映する情報を含むと共に拒
   絶情報を含むように構成され、制御装置の情報を反映す
   る上記情報は、上記制御装置の正常の動作中にアクセス
   できるアドレスに配置され、そして拒絶情報は、上記制
   御装置のエラー段階中にアクセスできるアドレスに配置
   される請求項１記載のモニタシステム。
3. 【請求項３】モニタシステムの完全性を確実に維持する
   ためにチェック手段が設けられており、該チェック手段
   は、システムの完全性を連続的にチェックするための動
   的に作動するチェック回路を備えている請求項１または
   ２記載のモニタシステム。