JP5404437B2

JP5404437B2 - 安全出力装置

Info

Publication number: JP5404437B2
Application number: JP2010005190A
Authority: JP
Inventors: 博司中谷; 誠登古; 英五深井
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2010-01-13
Filing date: 2010-01-13
Publication date: 2014-01-29
Anticipated expiration: 2030-01-13
Also published as: US8504871B2; US20110173497A1; CN102183944A; JP2011145831A; CN102183944B

Description

本発明は、プラントやフィールド機器を監視・制御する制御装置の入出力装置、特に、自己診断機能を備えた安全出力装置に関する。

プラントやフィールド機器などを監視・制御するための制御装置において、特に、高度の信頼性を要求される安全制御システムにおいては、制御装置自身の故障を人間の手を介さずに自己診断する機能を備えた制御装置が導入されている。

このような安全制御システムの構成の例を図８に示す。図８において、安全制御システム１００は、例えば、原子力プラントやそのフィールド機器などの被制御対象２００の状態を検出するセンサなどの入力端部１２と、入力端部１２からの出力を入力信号として、予め記憶した制御プログラムにしたがってバルブなどの操作端部１３を制御する出力信号を生成する制御装置１１と、この操作端部１３とを備える。

制御装置１１は、入力端部１２からの信号を入力信号として受ける入力装置１１ｂと、この入力信号に応じた演算出力を求める演算装置１１ａと、この演算出力を操作端部１３に送る出力装置１１ｃとを備える。

ところで、この入力装置１１ｂと出力装置１１ｃとを一体で構成する場合は、入出力装置、または、Ｉ／Ｏ装置と呼ばれることもある。

例えば、近年のＰＬＣ（Programmable Logic Controller）などの制御装置１１に接続される入力端部１２となる安全機器は、定期的に自己診断用の自己診断パルス信号を出力している。この自己診断パルス信号は、極めて短いパルス幅（例えば、２０μｓｅｃ）のオフ信号であって、この自己診断パルス信号を安全機器自身にフィードバックして出力系統に異常がないことを確認している。

この場合、ＰＬＣは、自己診断パルスを作動信号と誤ってＰＬＣの本体部に取り込んでしまうことが考えられるため、自己診断パルス信号を出力する外部機器を接続しても、安定したシーケンス制御を行うことが可能な入力回路及び信号入力方法が開示されている（例えば、特許文献１参照。）。

この特許文献１による入力回路によれば、予め知られている安全機器の自己診断パルス信号が発生していないインターバル期間を設定し、外部機器から受信した自己診断パルス信号と作動時出力用のステップ信号とを選別して、作動時出力用のステップ信号のみを制御装置（ＰＬＣ）本体に取り込むようにしている。

また、操作端部１３となる安全機器のフェールセーフスイッチのオンライン診断方法も開示されている（例えば，特許文献２参照。）。

また、安全制御システムとしては、安全制御と高精度な自己診断を同時に行うようにするため、主プロセッサと独立した診断実行手段を備えたコントローラも開示されている（例えば、特許文献３参照。）。

特許第４１３１１３４号公報特許第３６３０５８３号公報特開２００７−６６２４６号公報

一般に、制御装置の入力装置及び出力装置に重畳する安全装置の自己診断パルス信号は、通常の制御用の入力信号及び出力信号と区別する為に、自己診断パルス信号のパルス幅が制御用の入力信号及び出力信号のパルス幅よりも十分細いパルス幅信号とする。

ところで、制御装置１１の入力装置１１ｂ、出力装置１１ｃと、外部の入力端部１２と操作端部１３等の安全機器とを結ぶ入力線１００ａ及び出力線１００ｂには、夫々制御装置１１の設置環境に応じたノイズの混入がある。

この入力線１００ａ、出力線１００ｂに重畳したノイズによるノイズパルスのパルス幅が自己診断パルス信号と同程度となる場合、自己診断パルス信号とノイズパルスとを区別出来ないため、正常な自己診断が行われない問題が発生する。

この対策として、一般的な安全制御システムの入力装置及び出力装置には、自己診断パルス信号のパルス幅と同等以下のパルス幅のノイズパルスを除去するため入力端にノイズフィルタを備える。

しかしながら、このノイズフィルタの周波数分離特性によるノイズ除去方法では、広帯域な周波数成分を有する外来のノイズを完全に分離できないので、不要なノイズパルス信号と、被制御装置２００の故障や、入力端部１２、操作端部１３と制御装置１１とを接続する入力線１００ａ、出力線１００ｂの断線の兆候が原因で発生するパルス信号とを区別する事が出来ない。

そのため、このノイズフィルタによって、故障の兆候を示すパルス信号を見逃したり、故障と誤検出してしまったりする恐れがあるので、入力線１００ａ、出力線１００ｂの故障検出が困難となる問題がある。

また、出力装置１１ｃに自己診断パルス信号を使用する際には、操作端部１３、まれには、被制御装置２００に送られる信号には自己診断パルス信号が重畳することが考えられる。

そのため、通常は自己診断パルス信号のパルス幅は、出力装置１１ｃの接続先の操作端部１３が応答しない程度の細いパルス幅に設定されるが、操作端部１３の応答性能によっては、自己診断パルス信号が被制御装置２００の挙動に悪影響を与える問題がある。

また、上述した特許文献１に開示された、予め知られている安全機器の自己診断パルス信号が発生していないインターバル期間を設定し、外部機器から受信した自己診断パルス信号と作動時出力用のステップ信号とを時間選別する方法の場合、安全な制御と入出力装置の自己診断とを並列に、また、任意のタイミング行えない問題がある。

本発明は上記制御装置の出力装置の課題を解決するためになされたものであり、出力装置からの出力信号が操作端部に悪影響を与えず、且つ、ノイズに影響されにくい安全な制御と自己診断とを並列に行うことが可能な自己診断機能を備えた制御装置の安全出力装置を提供することを目的とする。

上記目的を達成するために、本発明による安全出力装置は、制御装置の演算装置から送られた通常出力データを操作端部に送るとともに、自身の自己診断を行う当該制御装置の安全出力装置であって、前記安全出力装置は、前記演算装置で演算された、または当該演算装置で指定された通常出力データと、予め設定された第1の自己診断パターンデータとを、前記演算装置からの制御周期に同期し、当該制御周期内の予め定める診断期間で、当該制御周期毎に異なる第1の自己診断パターンデータを出力することを命令する出力制御部と、前記出力制御部から送られた前記通常出力データをデジタル信号に変換して通常出力信号として前記制御周期に同期して出力する通常出力部と、前記出力制御部から送られた前記第１の自己診断パターンデータを、予め設定されるパルス幅以下のパルス列信号として符号化したベースバンド伝送方式で出力するテストパターン生成部と、前記パルス列信号と前記通常出力信号とを合成する合成部と、当該合成部の合成出力信号を操作端部用の操作端部出力信号に整形し、前記操作端部の動作信号レベルに変換して送る出力インタフェース部とを備える合成出力部と、前記操作端部出力信号を取り込むための入力インタフェース部と、当該入力された前記操作端部出力信号を復号して第２の自己診断パターンデータとして再構成するパターン再構成部とを備える再構成部と、前記第１の自己診断パターンデータと前記第２の自己診断パターンデータとを比較し、相違の有無を判定する比較部とを備え、前記比較部は、前記第１の自己診断パターンデータと復号した第２の自己診断パターンデータとを比較して、当該データの相違から前記通常出力データ、及び前記安全出力装置自身の異常の有無を判定し、通常出力データの出力と自己診断とを並列に行うようにしたことを特徴とする。

本発明によれば、出力装置からの出力信号が操作端部に悪影響を与えず、且つ、ノイズに影響されにくい安全な制御と自己診断とを並列に行うことが可能な自己診断機能を備えた制御装置の安全出力装置を提供することができる。

本発明の実施例１の安全出力装置の構成図。本発明の実施例１の動作を説明するタイムチャート。本発明の実施例２の安全出力装置の構成図。本発明の実施例３の安全出力装置の構成図。本発明の実施例３の自己診断パルス信号を説明するタイムチャート本発明の実施例４の安全出力装置の構成図。本発明の実施例５の安全出力装置の構成図。安全制御システムの構成図。

以下、図面を参照して、本実施例について説明する。

以下、本発明に係る安全出力装置の実施例１について、図１と図２を参照して説明する。

先ず、安全出力装置が使用される安全制御システムは、図８で説明した構成と同じ部分は同一符号とし、その説明を省略する。本発明による安全出力装置は、図８で説明した従来の出力装置１１ｃと区別して、ここでは、安全出力装置１１ｃと呼ぶ。

図１において、本発明の安全出力装置１１ｃは、図示しない制御装置の演算装置１１ａから送られた通常出力データを操作端部１３に送るとともに、自身の自己診断を行う制御装置の安全出力装置１１ｃである。

この安全出力装置１１ｃは、演算装置１１ａで演算された、または演算装置１１ａで指定された通常出力データと、予め設定された自己診断パターンデータとを、演算装置１１ａからの制御周期に同期して出力することを命令する出力制御部１と、出力制御部１から送られた通常出力データをデジタル信号に変換して通常出力信号として制御周期に同期して出力する通常出力部２と、出力制御部１から送られた自己診断パターンデータを、予め設定されるパルス幅以下のパルス列信号として符号化して、例えば、ベースバンド伝送方式で出力するテストパターン生成部３と、このパルス列信号と通常出力信号とを合成する合成部４ａと、合成部４ａの合成出力信号を操作端部１３の操作端部出力信号に整形し、操作端部１３の動作信号レベルに変換して送る出力インタフェース部４ｂとを備える合成出力部４とを備える。

さらに、操作端部出力信号を取り込むための入力インタフェース部５ａと、当該入力された操作端部出力信号を逆の信号復号化手順、例えば、ベースバンド復調方式により、復号して自己診断パターンデータとして再構成するパターン再構成部５ｂとを備える再構成部５と、予め設定された自己診断パターンデータと復号された自己診断パターンデータとを比較し、相違の有無を判定する比較部６とを備える。

次に、各部の詳細設定について説明する。出力制御部１で設定する自己診断パターンデータｄ１ｂとその設定の切り替えについて説明する。

自己診断パターンデータｄ１ｂは、単なる単発パルス又は固定パターンの複数パルスでは無く、制御周期毎に異なったパターンデータを発行するようにして置く。そして、テストパターン生成部３においてベースバンド伝送方式などの符号化方式により、パルス列信号に変換する。

そうすると、安全出力装置１１ｃと操作端部１３とを結ぶ出力線１００ｂ、安全出力装置１１ｃの出力端と再構成部５とを結ぶリードバック線１００ｃに重畳する外来ノイズによるパルス信号が、偶然、自己診断パターンデータｄ１ｂのパルス列信号に一致する確率を低くできる。

また、極めて可能性は低いが、自己診断パターンデータｄ１ｂによるパルスパターンと外来ノイズによるパルスパターンが時間的に一致して混入するケースが考えられる。

この場合、自己診断機能が動作する毎に、出力制御部１から異なる自己診断パターンデータｄ１ｂが発行される為、複数回の診断結果をもって故障の判定を行えば、自己診断パターンデータｄ１ｂによるパルスパターンと外来のノイズによるパルスパターンが偶然一致する確率を無視できる程度まで低減する事が出来る。

この事により、従来のノイズフィルタを用いた外来のノイズによるパルス信号を除去する構成が不要となり、故障の兆候や、故障検出が可能となり、安全出力装置１１ｃの故障診断機能の信頼性を高める事が出来る。

次に、テストパターン生成部３のパルス列信号の設定について説明する。符号化されたパルス列信号のそれぞれのパルス幅は、操作端部１３が反応する時間よりも十分に短い長さに設定しておく。このようにすることで、操作端部１３は、操作端部出力信号ｓ４に重畳するパルス列信号成分には反応せず、操作端部出力信号ｓ４の通常出力信号成分にのみ反応するように出来る。

したがって、自己診断パターンデータｄ１ｂのパルス列信号による診断機能は、安全な通常出力信号（操作端部出力信号ｓ４）を操作端部１３に送ることが出来る。

次に、このように構成された安全出力装置１１ｃの動作について、図２を参照して説明する。図２は、安全出力装置１１ｃ各部のデータの出力タイミングと入出力信号を説明するタイムチャートである。

先ず、安全出力装置１１ｃの出力制御部１は、演算装置１１ａから制御周期信号に同期したテスト指令信号ｓ１１(図２（ａ）)を受信すると、出力制御部１は、図２（ｂ）に示すタイミングで、通常出力部２に対して演算装置１１ａから操作端部１３に出力する通常出力データｄ１ａを通常出力部２に、また自己診断パルスデータｄ１ｂをテストパターン生成部３に送る。

この通常出力信号ｓ２は、通常ＤＯ出力とも呼ばれる信号で、演算装置１１ａで設定する制御周期に比べて変化の遅い信号で、複数ビットで構成される。図２（ｃ）は、その通常出力信号の１ビットを代表して示したものである。また、アクティブ、非アクティブの信号論理の定義は適宜変更することで、いずれの場合でも対応することができる。

そして、図２(ｃ)に示すように、通常出力部２は、通常出力データｄ１ａをデジタル回路の論理レベル信号とされた通常出力信号ｓ２に変換して合成部４ａの一方の入力端に送る。また、図２（ｄ）に示すように、テストパターン生成部３は、送られた自己診断パルスデータｄ１ｂをパルス列信号ｓ３に変換して、ベースバンド伝送方式で合成部４ａの他方の入力端に送る。

合成部４ａでは、図２（ｅ）に示すように、通常出力信号ｓ２とパルス列信号ｓ３の論理積をとって、合成された合成出力信号ｓ４ａとし、さらに、この信号を出力インタフェース部４ｂで操作端部１３の動作レベル信号に変換して操作端部出力信号ｓ４を出力する。

再構成部５の入力インタフェース部５ａは、図２（ｆ）に示すように操作端部出力信号ｓ４をリードバックして、操作部出力信号ｓ４をデジタル回路の論理レベル信号に変換し（ｓ５ａ）、図２（ｇ）に示すタイミングで、変換された論理レベル信号をパターン再構成部５ｂで復号し、復号された自己診断パターンデータｄ５ｂを比較部６に送る。

比較部６では、出力制御部１から指令した自己診断パルスデータｄ１ｂを含む診断比較制御データｄ１ｃを受信して、設定した自己診断パルスデータｄ１ｂと復号された自己診断パターンデータｄ５ｂをと比較して、相違の有無を判定し、図２(h)に示すタイミングで結果を、比較部出力データｄ６として演算装置１１ａと出力制御部１とに送る。

この予め設定した自己診断パターンデータｄ１ｂと復号した自己診断パターンデータｄ５ｂとのデータ比較から異常の有無を判定するタイミングは、演算装置１１ａで制御する制御周期Ｔの特定の診断期間Ｔｃ内に実行し、通常出力データの出力と自己診断とを並列で行うようにする。

本安全出力装置は、操作端部出力信号は、デジタル出力信号として説明したが、操作端部出力信号がアナログ出力信号の場合には、合成出力部４の出力にＤＡＣ（Digital Analog Converter）回路を、また、リードバックした信号を入力する再構成部５の入力端にＡＤＣ(Analog Digital Converter)を備えることで、本安全出力装置を容易に構成することが出来る。

以上の説明したように本発明によれば、出力線やリードバック線に外来のノイズが重畳しても安全な自己診断を行うことが出来る。

また、この自己診断は、演算装置から操作端部に送る通常出力データを中断することなく、並行して、常時診断が可能なので、故障の見逃しを防止できる。

したがって、演算装置から停止指令などの安全指令が出た際に、確実に操作端部にその信号を送ることが出来るので、被制御対象が危険な状態に陥る可能性が少ない。

次に、図３を参照して、実施例２の安全出力装置について説明する。実施例２の各部について図１に示す各部と同一部分は同一符号で示しその説明を省略する。

実施例２が実施例１と異なる点は、実施例１では、テストパターン生成部３が生成する自己診断パターンデータは、このパターンデータのみの構成としたが、実施例２では、この自己診断パターンデータに誤り検出符号を付随させた誤り符号生成部３ａを備え、さらに、再構成部５のパターン再構成部５ｂには、復号された誤り検出符号を検査する誤り検出符号検査部５ｂ１を備えるようにした。

そして、比較部６では、設定した自己診断パターンデータと復号され、符号を除外された自己診断パターンデータとを比較して、相違の有無を判定するようにしたことにある。

以下、本実施例２の詳細について、実施例１との相違点について説明する。実施例２のテストパターン生成部３では、出力制御部１より受信した自己診断パターンデータｄ１ｂを、パルス列信号に変換する前に、誤り検出符号生成部３ａに送り、誤り検出符号生成部３ａでは、受信した自己診断パターンデータｄ１ｂからデータ誤りを検出する為の誤り検出符号の計算を行う。

この誤り検出符号の種類は、例えば、巡回冗長検査（Cyclic Redundancy Check,CRC）などの関数が使用される。誤り検出符号生成部３ａでは、自己診断パターンデータｄ１ｂの末尾に、計算した固定長の誤り検出符号データを付随させた符号付自己診断パターンデータを生成し、テストパターン生成部３では、符号付自己診断パターンデータをベースバンド伝送方式などの符号化方式により、パルス列信号ｓ３に変換して合成出力部４の合成部４ａの一方の入力端に送り、他方の入力端に送られる通常出力信号ｓ２との論理積をとる。

そして、再構成部５では、例えば、ベースバンド復調方式により、テストパターン生成部３とは逆の信号復号化手順により、符号付自己診断パターンデータに復号する。

そして、誤り検出符号検査部５ｂ１では、誤り符号生成部３ａで生成したものと同じ巡回冗長検査を用いて復号された符号付自己診断パターンデータの誤り検査を行う。そして、誤り符号検査部５ｂ１での誤り検出の結果と、符号を除いた自己診断パターンデータｄ５ｂとをパターン再構成部５ｂから比較部６に送る。

比較部６では、復号された自己診断パターンデータと設定した自己診断パターンデータとの比較をして相違の有無を判定して、当該安全出力装置１１ｃの故障の有無を演算装置１１ａ、及び出力制御部１に送る。

しかしながら、再構成部５での誤り検出の結果が「誤り」であった場合、当該安全出力装置１１ｃに故障が発生している可能性ありと見なすことが出来るので、比較部６は削除した構成としても良いが、再構成部５の誤り判定と、比較部６での比較診断とを組み合わせて運用することも可能である。

また、誤り符号生成部３ａは、自己診断パターンデータに誤り検出訂正符号を付随させた符号付自己診断パターンデータを生成し、符号付自己診断パターンデータをパルス列信号としてベースバンド伝送方式で出力する構成とすることも出来る。

この誤り検出訂正符号としては、高速処理が可能で、１ビットの誤り訂正と同時に１ビットまでの誤り検出を行うことが可能な拡張ハミング符号が使用できる。

このように構成された実施例２によれば、符号付自己診断パターンデータを用いることで、出力制御部１と比較部６との間のデータの異常を検出して、合成出力部４から操作端部１３に出力されるデータの異常を検出することが出来る。

また、誤り符号検査と、自己診断パターンデータとそのリードバックした自己診断パターンデータとの比較診断とを組み合わせて、当該安全出力装置１１ｃの故障診断機能の信頼性をさらに高める事が出来る。

次に、図４、図５を参照して、実施例３の安全出力装置について説明する。実施例３の各部について図１に示す各部と同一部分は同一符号で示しその説明を省略する。

実施例３が実施例１と異なる点は、実施例１のテストパターン生成部３で生成する信号は、２値のパターン信号としたが、本実施例３では、多値信号を生成する中間電位生成部３ｂを備え、リードバックした信号の入力インタフェース部５ａに多値入力信号を２値信号に変換する多値入力変換部５ａ１を備えるようにしたことにある。

即ち、テストパターン生成部３は、さらに、自己診断パターンデータに操作端部１３がグランドレベルを認識する閾値電位よりも高いレベルを中間電位として付加したベースバンド伝送のパルス列信号ｓ３を出力する中間電位生成部３ｂを備えることで、パルス列信号に応答せず、当該安全出力装置１１ｃが何らかの原因で出力がグランドレベルとなった場合でも、操作端部１３がグランドレベルを認識して安全な動作に入ることが出来る効果がある。

次に、この中間電位生成部３ｂ、及び多値入力変換部５ａ１について説明する。中間電位生成部３ｂでは、テストパターン生成部３で生成したパルス列信号を、時間タイミングを変えずに、操作端部１３への出力用の電気信号に変換する。

この時、パルス列信号ｓ３は、合成出力部４から操作端部出力信号ｓ４として出力される信号がシャットダウンされる停止信号の電位レベルを、中間電位として出力する。例えば、図５に示すように、パルス列信号ｓ３は、操作端部出力信号ｓ４の通常運転時の電位レベルがV^＋（例えば、電源電圧）、停止信号を示す電位レベルが０V（グランド電位）の場合、中間電位生成部３ｂは、平常時V^＋、パルス列信号基準電位として、１／２・V^＋を出力する。

この中間電位は、操作端部１３が０V（グランド電位）レベルを認識する閾値電位レベルよりも上の電圧に設定する。

この時、通常出力部２は、出力制御部１から送られた通常出力データｄ１ａを、時間タイミングを変えずに、操作端部１３への出力用の電気信号に変換する。電位レベルについては、実施例１と同様に操作端部出力信号ｓ４の電位で出力する。例えば、アクティブ側がV^＋、非アクティブ側が０V（グランド電位）である。

合成部４ｃ及びその出力インタフェース部４ｂとを備える合成出力部４では、通常出力部２と中間電位生成部３ｂのパルス列信号ｓ３とを合成する。この合成は図５（ｃ）に示すように、例えば、中間電位生成部３ｂのパルス列信号ｓ３が１／２・V^＋、通常出力部２の通常出力信号ｓ３がV^＋を出力していた場合、合成出力部４は、１／２・V^＋を出力する。

また、中間電位生成部３ｂがV^＋、通常出力部２の通常出力信号ｓ３が０Vを出力していた場合、合成出力部４は、０Vを出力する。中間電位生成部３ｂがV^＋、出力部２の通常出力信号ｓ２がV^＋を出力していた場合、合成出力部４は、V^＋を出力する。

また、多段入力変換部５ａ１は、実施例１の入力インタフェース部５ａとは異なり、アクティブレベルと非アクティブレベルとこれらの中間電位の３種の電位レベルの区別が可能な回路で構成される。

上述したように、操作端部出力信号ｓ４は中間電位で伝送される為、通常出力信号と自己診断用のパルス列信号は、信号電位の違いにより多段入力変換部５ａ１で明確に区別される。そして、多段入力変換部５ａ１で変換されたパルス列信号はパターン再構成部５ｂに送信される。

次に、このように構成された、本実施例３による効果を説明する。パルス列信号ｓ３のパルス幅ｔｗは、実施例１と同様に、操作端部１３が応答しない十分に短いパルス幅に設定される。

また、本実施例３によれば、自己診断用のパルス列信号ｓ３の電位レベルは、最終操作端部１３が０V（グランド電位）レベルを認識する閾値電位レベルよりも上の電圧で送信される。

したがって、操作端部１３の操作端部出力信号ｓ４は、この信号に重畳されているパルス列信号成分には反応せず、通常の通常出力信号成分にのみ反応し、自己診断のパルス列信号は、時間的にもレベル的にも操作端部１３には影響を与えない安全出力装置１１ｃとすることが出来る。

次に、図６を参照して、実施例４の安全出力装置１１ｃについて説明する。実施例４の各部について図１に示す各部と同一部分は同一符号で示しその説明を省略する。

実施例４が実施例１と異なる点は、実施例１のテストパターン生成部３で生成する信号は、２値のパターン信号としたが、本実施例４では、実施例２で説明した誤り符号生成部３ａと、さらに、この付随させた符号付自己診断パターンデータから多値のパルス列信号を生成する実施例３で説明した中間電位生成部３ｂとを備え、リードバックした信号の入力インタフェース部５ａに多値入力信号を２値信号に変換する多値入力変換部５ａ１と、多値入力変換部５ａ１で２値化された信号を復号して、復号されたリードバックデータ（パターン再構成部入力データｄ５ａ）に対して誤り符号検査を行う誤り検出符号検査部５ｂ１とを備えるようにしたことにある。

このように構成された実施例４によれば、操作端部出力信号ｓ４に重畳されている自己診断用のパルス列信号は、操作端部１３が時間的にも、レベル的にも応答せず、また、通常出力信号成分にのみ反応するので、安全な制御と自己診断とを並列に行うことが出来る。

また、自己診断パターンデータ自身に誤り検出機能を備えるようにしたので、自由度の高い自己診断が可能で、安全出力装置１１ｃの故障診断の信頼性をさらに高めることができる。

次に、図７を参照して、実施例５の安全出力装置について説明する。実施例５の各部について図１に示す各部と同一部分は同一符号で示しその説明を省略する。

実施例５が実施例１と異なる点は、再構成部５の入力インタフェース部５ａに信号反転部５ａ２を備え、出力制御部１から自己診断パターンデータの出力が指令されない場合において、通常出力信号を反転させ、比較部６では、出力制御部１から通常出力部２に送られた通常出力データと信号反転部５ａ２で反転された操作端部出力データとを、いずれかのデータの論理を反転して比較するようにしたことにある。

即ち、実施例１の構成による自己診断パターンデータによる診断は、例えば、出力線１００ｂのグランド信号線の断線により、０V電位が出力不可能になっていた場合、また、リードバック線１００ｃの断線または、入力インタフェース部５ａの故障により、再構成部５に入力される操作端部出力信号ｓ４とは無関係に通常出力信号の信号レベルを認識している場合、この信号レベルが0Vを発生するまでは、故障を検出する事が出来ない問題がある。

ところが、本実施例５によれば、通常出力信号が変化しない状況下において再構成部５に入力された入力信号を変化させることが出来る為、上記の様な当該安全出力装置のリードバックされた通常出力信号の誤信号を検出すことが出来る。

また、本実施例５によれば、自己診断データパターンによる診断の実行周期はそのままで、この実施例５の機能を付加することで、本安全出力装置の自己診断の信頼性をさらに高めることが出来る。

本発明は上述したような実施例に何ら限定されるものではなく、自己診断パターンデータ、誤り符号及び誤り検出訂正符号等は、信頼性、診断時間などの安全システムの要求に応じて適宜最適なものを、本発明の主旨を逸脱しない範囲で種々変形して実施することができる。

１出力制御部
２通常出力部
３テストパターン生成部
４合成出力部
４ａ、４ｃ合成部
４ｂ出力インタフェース部
５再構成部
５ａ入力インタフェース部
５ｂパターン再構成部
６比較部
１１制御装置
１１ａ入力装置
１１ｂ演算装置
１１ｃ出力装置、安全出力装置
１２入力端部
１３操作端部
１００安全制御システム
１００ａ入力線
１００ｂ出力線
１００ｃリードバック線
２００非制御対象
ｓ１１テスト指令信号
ｓ２通常出力信号
ｓ３パルス列信号
ｓ４操作端部出力信号、
ｓ４ａ合成出力信号
ｄ１ａ通常出力データ
ｄ１ｂ自己診断パターンデータ
ｄ１ｃ診断比較制御データ
ｄ５ｂ再構成データ
ｄ６比較部出力データ

Claims

制御装置の演算装置から送られた通常出力データを操作端部に送るとともに、自身の自己診断を行う当該制御装置の安全出力装置であって、
前記安全出力装置は、前記演算装置で演算された、または当該演算装置で指定された通常出力データと、予め設定された第1の自己診断パターンデータとを、
前記演算装置からの制御周期に同期し、当該制御周期内の予め定める診断期間で、当該制御周期毎に異なる第1の自己診断パターンデータを出力することを命令する出力制御部と、
前記出力制御部から送られた前記通常出力データをデジタル信号に変換して通常出力信号として前記制御周期に同期して出力する通常出力部と、
前記出力制御部から送られた前記第１の自己診断パターンデータを、予め設定されるパルス幅以下のパルス列信号として符号化したベースバンド伝送方式で出力するテストパターン生成部と、
前記パルス列信号と前記通常出力信号とを合成する合成部と、当該合成部の合成出力信号を操作端部用の操作端部出力信号に整形し、前記操作端部の動作信号レベルに変換して送る出力インタフェース部とを備える合成出力部と、
前記操作端部出力信号を取り込むための入力インタフェース部と、当該入力された前記操作端部出力信号を復号して第２の自己診断パターンデータとして再構成するパターン再構成部とを備える再構成部と、
前記第１の自己診断パターンデータと前記第２の自己診断パターンデータとを比較し、相違の有無を判定する比較部と
を備え、
前記比較部は、前記第１の自己診断パターンデータと復号した第２の自己診断パターンデータとを比較して、当該データの相違から前記通常出力データ、及び前記安全出力装置自身の異常の有無を判定し、
通常出力データの出力と自己診断とを並列に行うようにしたことを特徴とする安全出力装置。
前記テストパターン生成部は、さらに、前記第１の自己診断パターンデータに誤り検出符号を付随させた符号付自己診断パターンデータを生成し、当該符号付自己診断パターンデータをパルス列信号として符号化したベースバンド伝送方式で出力する誤り符号生成部を備え、
前記再構成部の前記パターン再構成部は、前記操作端部出力信号に対してベースバンド復調方式の復号化処理を行い、復号後のデータに付随する前記誤り検出符号を用いて誤り符号検査を行い、当該当該誤り符号検査の検査結果、または、当該誤り検出符号を除いた第２の自己診断パターンデータを前記比較部に送る誤り検出符号検査部を備え、
前記比較部は、前記検査結果から、または、前記第１の自己診断パターンデータと第２の自己診断パターンデータとを比較して相違の有無を判定して故障を検出するようにした請求項１に記載の安全出力装置。
前記テストパターン生成部は、さらに、前記第１の自己診断パターンデータに当該誤り検出訂正符号を付随させた自己診断パターンデータを生成し、当該符号付自己診断パターンデータをパルス列信号として符号化したベースバンド伝送方式で出力する誤り符号生成部を備え、
前記パターン再構成部は、前記操作端部出力信号に対してベースバンド復調方式の復号化処理を行い、復号後のデータに付随する前記誤り検出訂正符号を用いて誤り符号検査を行い、当該当該誤り符号検査の検査結果、または、当該誤り検出訂正符号を除いた第２の自己診断パターンデータを前記比較部に送る誤り検出符号検査部を備え、
前記比較部は、前記検査結果から、または、前記第１の自己診断パターンデータと第２の自己診断パターンデータとを比較して相違の有無を判定して故障を検出するようにした請求項１に記載の安全出力装置。
前記誤り検出訂正符号は、拡張ハミング符号とした請求項３に記載の安全出力装置。
前記テストパターン生成部は、さらに、前記第１の自己診断パターンデータに前記操作端部がグランドレベル認識する閾値電位よりも高いレベルを中間電位として付加したベースバンド伝送方式のパルス列信号を出力する中間電位生成部を備え、
前記再構成部には、さらに、前記中間電位が付加された前記操作端部出力信号についてこの中間電位を除いた２値論理信号とする多段入力変換部とを備えた請求項１に記載の安全出力装置。
前記テストパターン生成部は、さらに、前記第１の自己診断パルスデータに前記誤り検出符号を付随させた符号付自己診断パターンデータを生成し、当該符号付自己診断パターンデータをパルス列信号として符号化したベースバンド伝送方式で出力する誤り符号生成部と、前記符号付自己診断パターンデータに前記操作端部がグランドレベル認識する閾値電位よりも高いレベルを中間電位として付加した前記ベースバンド伝送方式のパルス列信号を出力する中間電位生成部と
を備え、
前記パターン再構成部は、前記操作端部出力信号に対してベースバンド復調方式の復号化処理を行い、付随させた前記誤り検出符号を用いて誤り符号検査を行い、当該当該誤り符号検査の検査結果、または、当該誤り検出符号を除いた第２の自己診断パターンデータを前記比較部に送る誤り検出符号検査部と、前記中間電位が付加された前記操作端出力信号についてこの中間電位を除いた２値論理信号とする多段入力変換部と
を備え、
前記比較部は、前記誤り検出符号検査部の前記検査結果から、または、前記第１の自己診断パターンデータと第２の自己診断パターンデータとを比較して相違の有無を判定して故障を検出するようにした請求項１に記載の安全出力装置。
前記入力インタフェース部には、前記操作端部出力信号を反転する信号反転部を備え、
前記出力制御部から前記第１の自己診断パターンデータの出力が指令されない場合において、前記操作端部出力信号を反転させ、
前記比較部では、前記出力制御部から前記通常出力部に送られた通常出力データと前記信号反転部で反転された操作端部出力データとを、いずれかのデータの論理を反転して比較するようにした請求項１に記載の安全出力装置。
前記出力制御部は、前記制御周期毎に異なる前記第1の自己診断パターンデータの出力を命令し、前記比較部は、複数回の診断結果が一致することで異常の有無を判定するようにした請求項1に記載の安全出力装置。