JP5479486B2 - 自動化設備を制御するための安全コントローラおよびその制御方法 - Google Patents

Description

本発明は、複数のセンサと複数のアクチュエータとを備える自動化設備を制御するための安全コントローラおよびその制御方法に関する。

本発明に関する安全コントローラとは、センサが送出する入力信号を受信して、それに基づきロジックの組み合わせによって、さらに別の信号またはデータ処理ステップによって出力信号を生成する機器または装置である。出力信号はアクチュエータに供給され、アクチュエータは入力信号に基づいて環境に特定のアクションまたは反応をもたらす。
この種の安全コントローラの好適な使用分野は、緊急停止押しボタン、両手操作コントローラ、防護扉またはライトグリッドをモニタリングするための機械の安全性の分野である。前記センサは、例えば、操作中に人や資材に危険のある機械を保護するために使用される。防護扉が開いているとき、または緊急停止押しボタンが作動しているとき、入力信号として安全コントローラに供給される各信号が生成される。それに応答して、安全コントローラはさらにアクチュエータを使用して、例えば、危険を示している機械の部分をシャットダウンする。

「普通の」コントローラに対する安全コントローラの特徴とは、安全コントローラは設備もしくは機械またはそれに接続されているデバイスに誤作動が生じたとしても、危険を示す設備または機械の安全状態を常に確保することである。そのため、安全コントローラのそれ自体のフェールセーフ性に関してはきわめて高い要求がなされている結果、開発および製造がかなり複雑になる。

通常、安全コントローラは、使用前に、専門団体またはドイツではＴＵＶなどの適格な監督機関によって特定の承認を要する。この場合、安全コントローラは、例えば、欧州規格ＥＮ ９５４−１またはＩＥＣ６１５８規格もしくはＥＮ ＩＳＯ１３８４９−１規格などの同様の規格で定められる規定の安全標準を遵守しなければならない。そのため、以下において安全コントローラは少なくとも引用される欧州規格ＥＮ ９５４−１の安全カテゴリ３に準拠するデバイスまたは構成を意味すると理解される。

プログラマブル安全コントローラは、ユーザがユーザプログラムとして知られる１つのソフトウェアを使用して自分のニーズに応じてロジックの組み合わせ、およびおそらくはさらに別の信号またはデータ処理ステップを個別に定義できる。このため、ロジックの組み合わせが様々な安全デバイス間で決められた配線によって作成されていた初期のソリューションと比較してかなりのフレキシビリティがある。例えば、ユーザプログラムは市販のパーソナル・コンピュータ（ＰＣ）および適切にセットアップされたソフトウェアプログラムを使用して書き込むことができる。

誤作動の検出は、安全制御の分野では特に重要である。制御された機械または設備に誤作動が起こったときに、確実に安全状態に移行する必要があるためである。

実際の誤作動の検出および制御された機械または設備が安全状態に移行するために使用される適切な方策の発動に加えて、例えば、制御される機械もしくは設備のユーザまたは別の人に対して、存在する誤作動に関する情報を提供することも重要である。
このために、先行技術の安全コントローラおよび方法は、誤作動が起こったときにディスプレイ・ユニットを使用して誤作動を表す診断レポートを表示する。この場合、表示される診断レポートは、適切な診断ユニットがすでに確認している誤作動に依存しているだけである。この状況では、同一の誤作動について異なる診断レポートを表示する手段はない。そのため誤作動が起こったときに、例えば外部の状況に合わせるために表示する診断レポートを調整する機会はない。この明細書において、「外部の状況」とは、安全コントローラに格納されるユーザプログラム自体でも、ユーザプログラムの入力変数として処理される変数でも定義できない状況をいう。

誤作動の検出は、安全コントローラの複数のシステム状態のうちのどれがある決まった時点に存在するかの確認に対応する。
上記考察は誤作動の検出やそれによる安全コントローラのシステム状態の確認のみにあてはまるだけでなく、制御される設備または機械のプロセス状態の確認にもあてはまる。この場合も、先行技術の安全コントローラおよび方法は、プロセス状態が確認されているときに、診断レポートを「外部の状況」に合わせて調整できない。

周知の安全コントローラおよび方法は、安全コントローラのシステム状態および制御される設備のプロセス状態を確実に確認するが、情報の伝達、つまり確認されたシステム状態およびプロセス状態を表す情報の伝達には最適とは言えない。
そのため、本発明の目的は、制御される設備の確認されたプロセス状態または安全コントローラのシステム状態を表す情報の伝達をよりフレキシブルに、それによって外部の状況に合わせて表示する情報を調整できるようにするために、冒頭に引用した種類の安全コントローラおよびその制御方法を改良することである。

本発明の安全コントローラは、複数の制御入力信号がセンサから供給され、制御ユニットが自動モードでランするユーザプログラムに従い前記制御入力信号に基づいて複数の制御出力信号を生成するように設計されており、前記複数の制御出力信号を使用して、複数のアクチュエータを起動する制御ユニットと、複数の診断入力信号が供給され、複数の作動状態がある決まった時点に存在することの確認の根拠として前記複数の診断入力信号を解釈するように設計されており、前記複数の作動状態は制御される前記設備の少なくとも１つのプロセス状態と前記安全コントローラの少なくとも１つのシステム状態とを含んでおり、確認された作動状態を表す作動状態信号を生成する診断評価ユニットと、診断レポートを表示するように設計されているディスプレイ・ユニット用のインターフェースと、モード選択ユニットが互いに異なる複数の特殊作動モードのうちの1つを選択するように設計されており、前記特殊作動モードのそれぞれが自動モードとは異なっており、前記モード選択ユニットが前記選択された特殊作動モードを表す特殊作動モード信号を提供し、前記特殊作動モード信号が前記設備を前記選択された特殊作動モードで作動させるために前記制御ユニットに供給される、前記作動モード選択ユニット用のインターフェースと、前記安全コントローラと対話する人、具体的にはディスプレイ・ユニットを読み取る人に関連するアクセス認証を検出するように設計されており、さらに前記検出されたアクセス認証を表すアクセス認証信号を提供する検出ユニット用のインターフェースと、前記作動状態信号ならびに前記特殊作動モード信号および／または前記アクセス認証信号も供給され、さらに前記確認された作動状態を表す診断レポートを判断する根拠として前記確認された作動状態ならびに前記選択された特殊作動モードおよび／または前記検出されたアクセス認証を解釈して、前記診断レポートを表すとともに、前記診断レポートを表示するために前記ディスプレイ・ユニットに供給される診断信号を生成する診断選択ユニットとを有する。

前記目的は、以下のステップを含む本発明の方法でも達成される。
複数の制御入力信号をセンサによって制御ユニットに供給するステップで、前記制御ユニットは前記制御ユニットでランするユーザプログラムに従い前記制御入力信号に基づいて自動モードで複数の制御出力信号を生成するように設計されており、前記複数の制御出力信号を使用して複数のアクチュエータを起動する、前記供給するステップと、複数の診断入力信号に基づいてある決まった時点に複数の作動状態が存在することを確認し、前記複数の作動状態は制御される前記設備の少なくとも１つのプロセス状態と前記安全コントローラの少なくとも１つのシステム状態とを含んでおり、さらに確認された作動状態を表す作動状態信号を生成するステップと、互いに異なる複数の特殊作動モードのうちの１つを選択し、前記特殊作動モードのそれぞれは自動モードとは異なっており、さらに前記選択された特殊作動モードを表す特殊作動モード信号を提供するステップと、安全コントローラと対話する人、具体的にはディスプレイ・ユニットを読み取る人に関連するアクセス認証を検出して、前記検出されたアクセス認証を表すアクセス認証信号を提供するステップと、前記作動状態信号および前記特殊作動モード信号および／または前記アクセス認証信号を診断選択ユニットに供給するステップと、前記確認した作動状態および前記選択した特殊作動モードおよび／または前記検出したアクセス認証に基づいて、前記確認した作動状態を表す診断レポートを判断して、前記診断選択ユニットで前記診断レポートを表す診断信号を生成するステップと、前記診断レポートを表示するために、前記診断信号を前記ディスプレイユニットに供給するステップとを含む。

本発明による安全コントローラおよび本発明による方法は、確認した作動状態および、それに加えて、選択した特殊作動モードおよび／または検出したアクセス認証に基づいて、確認した作動状態を表す診断レポートを判断する創意あるアプローチに基づいており、前記確認した作動状態は制御される設備のプロセス状態でもよく、または前記安全コントローラのシステム状態でもよい。こうしてこのアプローチは、制御される設備の確認したプロセス状態または安全コントローラの確認したシステム状態を表す情報の伝達をよりフレキシブルに、そしてそれによって外部の状況に合わせて表示する情報を調整できるようにする。

本発明による安全コントローラおよび本発明による方法の個々の利点を以下に述べる前に、よりよく理解するために、まずはいくつかの用語を説明する。
安全コントローラのシステム状態とは、一方では、安全コントローラそのものが採用できるあらゆる状態、すなわち制御タスクを実施するために必要なプロセッサまたはメモリなどのロジック・コンポーネントを収容する構造ユニットであり、他方では、前記構造ユニットに電気接続されている設備のコンポーネント、例えばセンサおよびアクチュエータならびに同様に前記構造ユニットに接続されているモード選択スイッチなどのいわゆる信号装置が採用できるあらゆる状態である。この定義にはすべての配線も含まれる。診断の観点から、主に上に挙げたコンポーネントのいずれかで故障が発生するシステム状態が対象となる。

制御される設備のプロセス状態とは、制御される設備がアプリケーションの結果として採用できるあらゆる状態であり、アプリケーションは安全コントローラでランするユーザプログラムによって定義される。
制御される設備を作動できる作動モードとは、主に規格ＤＩＮ ＥＮ１２４１７に説明されるモードの１つを意味すると理解される。これは制御される設備が、保護装置が閉じた状態で作動する自動モードであってもよい。また、前記規格で説明される２つの特殊作動モードの１つであってもよい。一方では、防護扉が開いており、速度が著しく低下し、別の安全対策が取られているときに自動モード用に設備を準備するために、ユーザがプロセスに介入行為を取ることのできるセットアップモードであってもよい。次に、例えば、防護扉が開いている状態でユーザが機械を作動できる「拡張手動介入行為」といわれる作動モードであってもよい。この場合、ユーザは承認スイッチ（イネーブルスイッチ）を押したままの状態でしか起動できない厳選された機械の機能を利用する。また、「プロセス観測」といわれるさらに別のモードも考慮に入る。この場合、ユーザは承認スイッチを同時に押したままにしなくても、防護扉が開いている状態で機械を作動できる。この３番目の特殊作動モードは上記規格には説明されていない。加えて、例えば、設備のオペレータ自身が定義するさらに別の特殊作動モードが考えられる。この場合に引用してもよい例は、「週末モード」といわれる特殊作動モードである。この特殊作動モードでは、非常に高レベルの生産性を達成するために並列機械加工を可能にする同一設計の複数のユニットを有する大型設備が週末に縮小規模で作動する。すなわち、これらユニットの一部だけが週末に稼動する一方で、これらユニットの他の部分は稼動しない。

アクセス認証はある人に関連する許可を意味すると理解されることを意図しており、そのため制御される設備に対して介入行為を取る、例えば、前述した特殊作動モードのうちの１つで設備を作動することをその人に許可する。様々な特殊作動モードがあるのと同様に、様々なアクセス認証もある。機械または設備のユーザは通常いかなるアクセス認証も有していない、つまり機械または設備に対して一切介入できない。対して、保守員は低レベルのアクセス認証を有しており、機械または設備に対してある程度介入行為を取ることができる。例として、保守員は冷却潤滑液または油圧作動油の容器を補充できる。セットアップモードで機械または設備を作動できるセットアップ担当者は中レベルのアクセス認証を有する。セットアップ担当者は、自動モードを準備するために必要な介入行為を機械または設備に取ることができる。安全コントローラでランし、機械または設備の自動モードを定義するユーザプログラムのライターは高レベルのアクセス認証を有する。ライターはセットアップ担当者が取ることのできる以上の介入行為を機械または設備に取ることができる。ユーザプログラムのライターに関する限り、次の２つの状況を区別してもよい。すなわち、例えば旋盤、フライス盤またはマシニングセンターの場合のように、安全コントローラが機械ツールの製造者が大量に製造する機械ツールの安全コントローラの場合、ユーザプログラムのライターは通常、機械ツールの製造者の従業員である。対して、例えば化学業界の設備の場合のように、安全コントローラが顧客固有に構成されている大型機械設備用およびユーザに関係するコピーが通常１つしか存在しない大型機械設備用の安全コントローラである場合、ユーザプログラムのライターは通常大型機械設備の操業者の従業員である。安全コントローラの製造者自体、つまり制御タスクの実施に必要なロジック・コンポーネントを収容する構造ユニットの製造者は、同様に高レベルのアクセス認証を有する。機械または設備の起動、つまり動きの組み合わせの実施を重視するユーザプログラムのライターに対して、安全コントローラの製造者は安全コントローラそのものの作動を重視する。例えば、制御される設備に設置される保護装置を試験のために規定の時間間隔で法的要件に従い作動させる必要があるかどうかを点検したい安全管理者の場合、アクセス認証は制御されることになる設備に対する介入行為の許可よりも、診断メモリの読み取りを重視する。

上記考察に鑑みて、本発明による安全コントローラおよび本発明による方法に様々な利点が生じる。
検出されたアクセス認証に基づいて確認された作動状態を表す診断レポートを伝えることは、外部の状況に合わせた情報の伝達の調整という観点から非常に効果的である。この方策は例えばディスプレイ・ユニットに表示される診断レポートの内容を、ディスプレイ・ユニットで診断レポートを読み取る人に合わせて調整できる。特に、診断レポートは制御される設備または安全コントローラ自体に対するその人に関連する役割に応じて調整でき、前記役割は例えばアクセス認証によって定義される。

特に安全コントローラの確認されたシステム状態に関しては、もっとも大きな効果が得られる。上述したように、安全コントローラの確認されたシステム状態は、通常検出されるエラー状態である。そのため、診断レポートは確認されるエラーを示すために使用される。
通常、診断レポートは、次の４つの情報成分を含む。何が起こったかの情報、つまりどのような故障またはどのようなエラーが存在するかを提供する「ｗｈａｔ」成分。故障またはエラーがどこで発生したかの情報を提供する「ｗｈｅｒｅ」成分。故障またはエラーをどのように是正できるかの情報を提供する「ｈｏｗ」成分。誰が故障またはエラーを是正できるかの情報を提供する「ｗｈｏ」成分。

特にこの場合、表示される診断レポートを、ディスプレイ・ユニットを読み取っている人に関連する能力に合わせて、具体的にはアクセス認証に合わせて調整すると非常に有利である。ユーザの場合、何が起こっているか、または何が故障状態であるかと、誰が故障を是正できるかとを通知すれば通常十分である。特に、誰が故障を是正できるか、つまり誰が適切な担当者であるかに関する情報は、関係者に直接連絡できるため、時間の節約になり、そのためコストの節約につながる。ユーザの場合、アクセス認証が無いことは故障を是正できないことを意味するため、どのように故障を是正できるかを表示する必要はない。保守員の場合、保守員のアクセス認証に基づいて是正できる故障に関する限り、診断レポートは何が起こったかに関する情報だけでなく、どこで故障が起こったか、およびどのように是正できるかに関する情報も含む。保守員のアクセス認証のために保守員が是正できない故障の場合、診断レポートがどのような故障が存在するかと、誰が是正できるかとに関する情報を含んでいれば十分である。セットアップ担当者の場合、ユーザプログラムのライターの場合、および安全コントローラの製造者の場合、診断レポートは通常何が起こったかと、どこで起こったかと、どのように故障が是正できるかと、誰が是正できるかとに関する情報を含む。この状況において、セットアップ担当者から始まってユーザプログラムのライターから安全コントローラの製造者まで、故障がどのように是正できるかに関する情報成分は増えていき、同時に故障を是正できる情報成分は減少していく。セットアップ担当者からユーザプログラムのライターおよび安全コントローラの製造者まで、制御される設備または安全コントローラへの介入行為の機会は、アクセス認証の増加によって増えるためである。セットアップ担当者およびユーザプログラムのライターに比べて、安全コントローラの製造者は安全コントローラに何が起こったかに関する情報成分の観点を重視するだろう。表示される故障に関わる安全コントローラの製造者の場合、例えば、安全コントローラが備えるロジック・ハードウェアコンポーネントまたは安全コントローラに実装されるオペレーティング・システムである。安全管理者のために意図される診断レポートは、どのような故障が起こったかに関する焦点情報、および追加でこれら故障がいつ起こったかに関する情報を含む。

制御される設備の確認されたプロセス状態に関しても、検出されたアクセス認証に基づいて確認されたプロセス状態を表す診断レポートを判断することが非常に効果的である。確認されたプロセス状態を表す診断レポートは、制御される設備がユーザプログラムで定義されるどの状態をとっているかに関する情報を含む。この場合も、ディスプレイ・ユニットによって表示される情報の内容は、ディスプレイ・ユニットで診断レポートを読み取っている人に合わせて調整できる。このように、ユーザ、保守員および安全管理者にとって、制御される設備がある決まった時点にとる個々のプロセス状態に関して通知されることは非常に重要である一方、セットアップ担当者、ユーザプログラムのライターおよび安全コントローラの製造者にとってはこの重要性は低い。例として、これらの人々にとって、プロセス状態を表す診断レポートは「正しい作動」または「誤った作動」という情報内容にまとめることができる。ときには、前記診断レポートの表示を省くことさえできる。総合的にみると、これによりディスプレイ・ユニットの読みやすさまたは平明さが高まる。

制御される設備の確認されたプロセス状態に関しても、このプロセス状態を表す診断レポートを選択された特殊作動モードに基づいて確認することは有利である。設備が自動モードで作動している場合、確認されたプロセス状態に関係するすべての診断レポートが表示されるはずである。しかし、この場合、診断レポートの情報内容を、ディスプレイ・ユニットによって診断レポートを表示している読み手の役割に合わせて調整するよう推奨される。このため、例えば設備をユーザにはある特定の液体容器が補充する必要のあることを通知すれば十分である。対して、保守員には追加でこの容器が設備のどの場所にあるかと、例えば、補充するべき液体がどこに保管されているかを通知できる。安全管理者の場合、伝える情報は、例えば、安全管理者がする必要のある評価に関して条件付けることができる。上記説明は、診断レポートを選択した特殊作動モードおよび検出されたアクセス認証の両方に基づいて判断することが特に有利であることを示す。特にディスプレイ・ユニットを読み取る人に関連するアクセス認証は、上記説明で示すように、選択した特殊作動モードに必ずしも相関する必要がないためにこのことが当てはまる。設備をセットアップモードで作動させる場合、例として、例えば開いている防護扉に帰属できるプロセス状態を表す診断レポートを停止することが可能である。これら診断レポートはセットアップモードの状況において制御される設備に対して方策を取っているセットアップ担当者の知識を超える情報内容を一切有していないためである。セットアップ担当者は防護扉が開いていることを知っている。対して、例として、セットアップ担当者が計画する動きの組み合わせが機械の状況に一致しているかどうかに関する情報項目を含む、特にセットアップモードのために設定される診断レポートを表示できる。設備を週末モードで作動させる場合、週末モードのためにシャットダウンしている設備部分から派生するプロセス状態を表す診断レポートは、この特殊作動モードではこれら診断レポートを無視できるため、停止するよう推奨される。

安全コントローラの確認されたシステム状態に関して、選択された特殊作動モードに基づいてシステム状態を表す診断レポートを判断することも特に効果的である。設備を自動モードで作動させている場合、システム状態を表すすべての診断レポートを表示するべきである。この場合、何がどこで起こっているかに関する情報だけでなく、誰が故障を是正できるかに関する情報も示すことも通常必要である。対して、設備に修理作業を行える作動モードで設備を作動させている場合、システム状態を表す診断レポートは、修理を行う人は相応の能力を通常有しているため、誰が故障を是正できるかに関する詳細を含める必要はない。このような場合、代わりに故障を是正するために何を行う必要があるかに関する情報を表示するのが有利である。同様に、修理または交換の必要なコンポーネントに関するデータシートまたは同様な情報を表示するのが有利であろう。

上記説明は、本発明によるアプローチは診断レポートの表示、およびそのため外部の状況に合わせて特に効果的な情報の調整に成功することを示している。本発明によるアプローチはさらに、ディスプレイ・ユニットに特に明確な情報の提示を促す。加えて、時間の節約、およびそれによるコストの節約に寄与する。
上記説明で示すように、外部の状況に合わせた診断レポートの特に効果的な調整は、診断レポートを検出されたアクセス認証に基づいて特定することによって達成できる。この調整は、診断レポートを判断するときに確認された作動状態を追加で考慮することによって一層高めることができる。

そのため、前述の目的は完全に達成される。
本発明の好適な改良形態では、診断選択ユニットは互いに異なる複数の診断レポートを格納し、前記診断レポートのそれぞれが前記確認された作動状態を表し、診断選択ユニットは選択された特殊作動モードおよび／または検出されたアクセス認証に基づいて前記診断レポートのうちの１つを選択する。

この方策によって、必要なすべての診断レポートが格納され、そのため特に制御される設備のプロセス状態または安全コントローラのシステム状態であるかどうかに関係なく、確認された作動状態に関して、診断レポートによって提示されることになる情報を、選択された特殊作動モードに合わせておよび／または検出されたアクセス認証に合わせて最適に調整するために利用できることが保証される。そのため、外部の状況に合わせて提示されることになる情報の最適な調整が可能である。

本発明の別の改良形態では、互いに異なる複数の診断レポートが複数の作動状態のそれぞれについて格納される。
この方策は、選択された特殊作動モードおよび／または検出されたアクセス認証に照らしてそれぞれの場合において最適な診断レポートを、複数の作動状態のそれぞれについて確認できるという利点がある。そのため外部の状況に合わせて特に効果的な調整が可能である。

前述の方策の別の改良形態では、検出されたアクセス認証は互いに異なる複数の定義されたアクセス認証のうちの１つであり、互いに異なる複数の診断レポートは、互いに異なる特殊作動状態のそれぞれおよび／または互いに異なるアクセス認証のそれぞれについてそれぞれ関連診断レポートを含む。
この方策によって各場合において最適な診断レポートが格納され、そのためありうる特殊作動モードのそれぞれだけでなく、ありうるアクセス認証のそれぞれについても、選択された特殊作動モードおよび／または検出されたアクセス認証に基づいて選択、そしてそれによって特定できることが保証される。

本発明の別の改良形態では、検出ユニットおよびディスプレイ・ユニットが構造ユニットを形成する。
この方策に基づいて、ディスプレイ・ユニットを読み取る人は、ディスプレイ・ユニットによって表示される診断レポートをその人に関連するアクセス認証に合わせて容易に調整できる。特に有利な点は、この調整が読み取り中に直接可能であることである。

本発明の別の改良形態では、検出ユニットはモバイルアクセス認証ユニットとの対話によってアクセス認証を検出するように設計されている。
有利なことに、この場合のアクセス認証ユニットは、安全コントローラと対話している人に関連するアクセス認証を表す。この方策によって、アクセス認証を検出しているときに特にフレキシブルな取扱いが可能となる。アクセス認証を表すアクセス認証ユニットはモバイル設計であるため、アクセス認証は様々な場所で検出できる。制御される設備が複数のディスプレイ・ユニットを備える場合、前記ディスプレイ・ユニットのそれぞれが検出ユニットを有していれば、これらディスプレイ・ユニットのそれぞれがアクセス認証を検出できる。また、アクセス認証ユニットのモバイル実施態様は、個々人にアクセス認証を明示的に割り当てることができるという利点を有する。

前述の方策の別の改良形態では、アクセス認証ユニットは検出ユニットに設けられているキーホルダに差し込むことができる機械式キーを有する。
有利なことに、キーホルダは機械式キーを回転させることによって複数の位置に差し込まれるように設計されており、前記位置のそれぞれは互いに異なる複数の規定アクセス認証に含まれる１つのアクセス認証に相当しており、機械式キーを回転した後のキーホルダがとる位置は、機械式キーの形状に依存する。この方策は次の利点を有する。安全制御の分野において、制御される設備を作動させる特殊作動モードの定義に関して、現在まで機械式キーおよび対応するキーホルダの使用の効果が証明されている。したがって、それに応じて機械式キーを使用するモード選択スイッチは大量に使用されており、そのため安価である。その結果、この方策により、安価でアクセス認証を検出できる。

前述の２つの方策の別の改良形態では、アクセス認証ユニットはトランスポンダを有しており、トランスポンダはアクセス認証を表すアクセス認証データを含む。
この改良形態では、検出ユニットはトランスポンダを読み取るためのセンサの形態であり、アクセス認証データは安全コントローラと対話している人に関連するアクセス認証を表す。機械式キーと比べて、トランスポンダの使用は、機械的モード選択スイッチの使用で可能なよりも多くの異なるコードを電子的に生成できるため、より多くのアクセス認証を区別できるという利点を有する。そのため、トランスポンダの使用により、伝えられることになる情報を外部の状況に合わせて特に効果的に調整することが達成される。トランスポンダを使用する場合、次のような２つの代替実施態様が考えられる。第１の実施態様では、トランスポンダを機械式キーに挿入する。第２の実施態様では、機械式キーではなくトランスポンダだけを使用してアクセス認証を定義する。

本発明の別の改良形態では、検出ユニットはアクセス認証の入力に使用できる複数の入力エレメントを有する。複数の入力エレメントは英数字式入力パネルの形態であってもよい。こうして安全コントローラと対話している人は英数字式入力パネルを使用して自分だけが知っているコードを入力し、このコードを評価することによってこの人に関連するアクセス認証を検出することが可能である。英数字式入力パネルはとても高価なわけではなく、これはアクセス認証を検出するための安価な変形例である。

本発明の別の改良形態では、モード選択ユニットはモバイル特殊作動モードユニットとの対話によって特殊作動モードを選択するように設計されている。
有利なことに、この場合の特殊作動モードユニットは、選択されることになる特殊作動モードを表す。この方策により、特殊作動モードを選択するとき特にフレキシブルな取扱いが可能となる。特殊作動モードユニットをモバイル設計にすることによって、特殊作動モードは様々な場所で選択できる。

アクセス認証を検出するための検出ユニットを設け、特殊作動モードを選択するための個別のモード選択ユニットを設けると、特に有利である。これらは２個別々であり、そのため分離したユニットであるため、アクセス認証は選択された特殊作動モードとは独立して検出できる。
このように、特殊作動モードを選択していることと、必ずしも互いに相関しないアクセス認証を検出することとが同時に可能である。そのため、伝えられる診断レポートおよび情報は外部の状況に特によく合わせて調整できる。

前述の方策の別の改良形態では、特殊作動モードユニットは、定義された特殊作動モードを表す特殊作動モードデータを含むトランスポンダを有する。
この改良形態では、モード選択ユニットはトランスポンダを読み取るためのセンサの形態であり、特殊作動モードデータは選択されることになる特殊作動モードを表す。
本発明の別の改良形態では、ユーザプログラムは、安全関連の制御入力信号がフェールセーフに処理される少なくとも１つの安全制御モジュールを有し、さらに主にプロセス関連の制御入力信号が処理される少なくとも１つの標準制御モジュールを有する。

この改良形態では、有利なことに、複数のセンサは、安全関連制御入力信号によって安全制御モジュールに供給される安全関連変数を検出するように設計されている第１の数のセンサと、プロセス関連制御入力信号によって標準制御モジュールに供給されるプロセス関連変数を検出するように設計されている第２の数のセンサとを備える。さらに、この改良形態は有利なことに、複数の制御出力信号が、安全制御モジュールで特定され、安全関連アクションを行うように設計されている第１の数のアクチュエータを起動することを意図されている第１の数の制御出力信号を含み、さらに標準制御モジュールで特定され、プロセス関連アクションを行うように設計されている第２の数のアクチュエータを起動することを意図されている第２の数の制御出力信号を含むことも含んでいる。ユーザプログラムが少なくとも１つの安全制御モジュールと少なくとも１つの標準制御モジュールとを含むこのユーザプログラムの設計は、同じ１つのユーザプログラムを安全制御面に関連する制御タスクと標準制御面に関連する制御タスクとの両方を取り扱うために使用できる。そのため、この側面に一致して設計される安全コントローラを使用して、安全制御面に関連する制御タスクと標準制御面に関連する制御タスクとの両方を実施することが可能である。このことは、設備の包括的な制御、つまり安全制御面と標準制御面との両方をカバーする制御に、１つが安全制御面に関連する制御タスクを取り扱い、１つが標準制御面に関連する制御タスクを取り扱う２つのコントローラではなく、１つのコントローラしか必要ないという利点を有する。このことにより、配線に必要な複雑さも低減される。総合的にみると、この方策は設備の包括的な制御を実施するコスト効果的な方法である。この場合、標準制御モジュールを主にプロセス関連の制御入力信号を処理するために使用するという表現は、標準制御モジュールを安全関連の制御入力信号を処理するためにも使用できるという意味であることを指摘しておく。

本発明の別の改良形態では、システム状態は故障アクチュエータおよび／またはセンサを表す。
特に故障アクチュエータおよび／またはセンサを表す診断レポートの場合、伝えられる情報を、情報を読み取っている人の役割に合わせて調整することが有利である。このため、例えば設備のユーザには故障アクチュエータまたは故障センサが存在することを通知するだけで十分である。対して、保守員には追加情報を表示すると有用である。例として、これはどのアクチュエータまたはどのセンサが損傷しているかに関する情報であってもよい。前記コンポーネント固有の情報を使用して、保守員は損傷したコンポーネントを早急に交換できる。故障アクチュエータまたは損傷したセンサとは、故障状態である、または別の理由で明確に評価できないアクチュエータまたはセンサを意味する。この場合、何がセンサによって理解されることになっているかを説明するべきである。センサはもっぱら物理変数の検出専用に使用できる検出ユニットであってもよい。あるいは、センサはこのような検出ユニットと信号処理ユニットとを含む組み合わせとして設計してもよく、信号処理ユニットは例えばアナログ／デジタル変換または信号増幅など、様々な信号コンディショニング対策を行うよう設計される。

前述の方策の別の改良形態では、診断選択ユニットは追加的に位置ステートメントに基づいて診断レポートを判断するよう設計されており、位置ステートメントは設備内のアクチュエータおよび／またはセンサの設置位置を表す。
特に位置ステートメントの場合、ディスプレイ・ユニットを読み取る人の役割に基づいて、診断レポートに前記位置ステートメントを含めるまたは無視すると特に有利である。したがって、ユーザはアクセス認証が無いために交換できないので、故障センサまたは故障アクチュエータがどこに位置するかは設備のユーザには関係ない。そのため、ユーザの場合には診断レポートに位置ステートメントを省くことができる。位置ステートメントを省略する結果、ディスプレイ・ユニットによって表示される情報の平明さが高まる。対して、保守員にとって位置ステートメントは有用な情報である。これがあると故障センサまたは故障アクチュエータを早急に交換できるからである。そのため、保守員用の診断レポートには位置ステートメントが含まれるべきである。

本発明の別の改良形態では、ユーザプログラムは複数のソフトウェアコンポーネントを提供することによって書き込まれ、複数のソフトウェアコンポーネントは、制御される自動化設備に含まれる複数の設備ハードウェアコンポーネントに対応する。
この方策のおかげで、ユーザプログラムを特に簡潔かつ明瞭に書き込むことが可能である。これは安全コントローラのプログラミングの相対的に高いレベルのフェールセーフ性に役立つ。

診断レポートを、ディスプレイ・ユニットを読み込んでいる人に合わせて調整する場合、ここでは第一にこれら多くの情報成分のうちのどれを診断レポートに含めることにするか、および個々の情報成分の説明をどれくらい詳細にすることにするかを決めるべきである。どちらも人に関連するアクセス認証を評価することによって決めることができる。ユーザの場合、この情報成分はどのような故障が存在するかと、誰がそれを是正できるかとに関する情報を含めば十分である。つまり、ユーザ向けの診断レポートは「ｗｈａｔ」成分と「ｗｈｏ」成分とを含む。保守員、ユーザプログラムのライターおよび安全コントローラの製造者の場合、何がどこで起こったかに関する情報だけでなく、追加で故障またはエラーをどのように是正できるかに関する情報が重要である。そのため、この人向けの診断レポートは「ｗｈａｔ」成分および「ｗｈｅｒｅ」成分だけでなく、追加で「ｈｏｗ」成分も含む。この場合、「ｈｏｗ」成分の詳細レベルは、設備および／または安全コントローラに対して介入行為を取るためのアクセス認証によって定義されるオプションに合わせて調整される。この調整は「ｗｈａｔ」成分および「ｗｈｅｒｅ」成分にも適用される。このため、例として、安全コントローラの製造者には、制御デバイスそのものに含まれているどのロジック・コンポーネントが故障状態であるか、または安全コントローラに格納されているオペレーティング・システムのどのモジュールがエラーを含むかを示す具体的な表示を提供できる一方で、ユーザプログラムのライターに対しては安全コントローラにエラーが存在するという事実だけを表示すれば十分である。検出されたアクセス認証を考慮することで、確認されたシステム状態に関してディスプレイ・ユニットを読み取る人に合わせて診断レポートを特に効果的に調整できる一方で、確認されたプロセス状態に関しては、選択した特殊動作モードを考慮することでディスプレイ・ユニットを読み取る人に合わせて診断レポートを特に効果的に調整できる。

前述の特徴および以下これから説明する特徴は、それぞれ示される組み合わせだけでなく、本発明の範囲を逸脱することなく他の組み合わせまたはそれだけでも使用できることはいうまでもない。
本発明の例示的な実施形態を図面に図示し、以下の説明でより詳細に説明する。

制御される設備と組み合わせた本発明による安全コントローラの模式図を示す。 安全コントローラが含む診断選択ユニットの模式図を示す。

図１は全体を参照番号１０で記す安全回路を示しており、全体を参照番号１４で記す設備を制御するように設計されている安全コントローラ１２を有する。設備１４は複数のアクチュエータ１６と複数のセンサ１８とを含む。例として、設備１４に含まれる負荷（ロード）２０が示されており、例えばこれはロボットでもよい。
安全コントローラ１２は制御ユニット２２を含む。制御ユニット２２は安全重視プロセスを制御するために必要なフェールセーフ性を達成するために、２チャンネル冗長設計となっている。２チャンネル設計の代表として、図１は互いにモニタリングしてデータを交換できるように、双方向通信インターフェース２８によって互いに接続されている２つの別々のプロセッサ２４，２６を示している。好ましくは、制御ユニット２２の２つのチャネルおよび２つのプロセッサ２４，２６は、できる限りシステマティック・エラーを防ぐために、別種の、つまり互いに異なる設計とする。

参照番号３０は２つのプロセッサ２４，２６のそれぞれに接続されている入出力ユニットを記す。入出力ユニット３０は複数のセンサ１８から複数の制御入力信号３２を受信して、前記信号を調整されたデータフォーマットで２つのプロセッサ２４，２６のそれぞれに転送する。加えて、入出力ユニットは、プロセッサ２４，２６に基づいて、複数のアクチュエータ１６の起動に使用される複数の制御出力信号３４を生成する。

参照番号３６は、ユーザプログラム３８の格納に使用されるチップカードを記す。ユーザプログラム３８は、プログラミングツールを使用して書き込まれる。例として、プログラミングツールは従来のＰＣで実行できるコンピュータプログラムである。この場合、記憶媒体としてチップカード３６を使用することで、プログラミングツールを実行するＰＣに直接接続しなくても、ユーザプログラム３８を簡単に交換できる。あるいは、ユーザプログラム３８は例えばＥＥＰＲＯＭなど、制御ユニット２２に恒久的にインストールされているメモリに格納してもよい。

ユーザプログラム３８は安全コントローラ１２が行う制御タスクを定義する。このために、ユーザプログラム３８は、安全制御面に関連する制御タスクを行う安全制御モジュール４０を含む。
安全制御モジュール４０において、安全制御面に関連する安全センサ４４によって生成される安全関連制御入力信号４２をフェールセーフに処理する。例として、安全センサ４４は緊急停止押しボタン、両手操作コントローラ、防護扉、回転速度モニタリング機器または安全関連パラメータを取得するための他のセンサである。安全制御面における関連制御タスクに従い、安全関連制御入力信号４２に基づいて、安全制御面に関連するアクチュエータである安全アクチュエータ４８，５０の起動に使用される安全関連制御出力信号４６が生成される。例として、安全アクチュエータ４８，５０はコンタクタとして知られるものであり、その作動接点は、電源５２とロード２０との間の接続に配置されている。安全アクチュエータ４８，５０はロード２０の電源を切断するために使用でき、関係する誤作動が生じたときに少なくともロード２０を安全状態に移行することが可能である。

さらに、ユーザプログラム３８は標準制御面に関連する制御タスクを行うために使用される標準制御モジュール５４を有する。このために、標準制御モジュール５４は、標準センサ５８によって生成されるプロセス関連制御入力信号５６の処理に使用される。標準センサ５８は、例えば、駆動調整に必要な入力変数を検出するためのようなセンサである。例として、これらは角度または速度などの回転速度であってもよい。

プロセス関連制御入力信号５６に基づいて、プロセス関連制御出力信号６０が標準制御面に関連する制御タスクに従って生成されて、標準アクチュエータ６２に供給される。例として、標準アクチュエータ６２はモータまたは制御シリンダであってもよい。
ユーザプログラム３８のためにこの実施形態で選んだ設計は、前記ユーザプログラムが安全制御モジュール４０と標準制御モジュール５４とを含み、そのため制御ユニット２２が安全制御面に関連する制御タスクおよび標準制御面に関連する制御タスクの両方を行うが、これは限定的な効果をもつことを意図するものではない。いうまでもなく、制御ユニット２２が安全関連面に関連する制御タスクだけを行うことも考えられる。この場合、ユーザプログラム３８は標準制御モジュール５４を含まない。

入出力ユニット３０は、安全コントローラ１２が含む別のコンポーネントを２つのプロセッサ２４，２６にリンクさせるためにも使用される。このため、複数の診断入力信号６６が入出力ユニット３０から診断評価ユニット６４に供給される。診断評価ユニット６４は、複数の診断入力信号６６に基づいてある決まった時点に複数の作動状態のうちどれが存在するかを確認するように設計されている。この場合の複数の作動状態は、制御される設備１４の少なくとも１つのプロセス状態と、安全コントローラ１２の少なくとも１つのシステム状態とを含む。この場合、システム状態は安全コントローラ１２が含むユニットおよびコンポーネントだけでなく、安全コントローラ１２に電気接続されているすべてのユニットも検出するように意図される。これらは安全センサ４４、安全アクチュエータ４８，５０、標準センサ５８、標準アクチュエータ６２、さらにこれから説明するディスプレイ・ユニットおよびこれから説明する信号装置である。同様に、システム状態は安全コントローラ１２と上記ユニットとの間に存在するすべての配線をカバーするように意図される。

診断評価ユニット６４は、確認された作動状態を表す作動状態信号６８を生成する。作動状態信号６８は、入出力ユニット３０に供給される。そのため、制御ユニット２２は確認された作動状態に応じて適切な方策を取ることができる。安全コントローラ１２は、ディスプレイ・ユニット７２用のインターフェース７０を含む。ディスプレイ・ユニット７２は、診断レポートを表示するように設計されている。

加えて、安全コントローラ１２は、作動モード選択ユニット７６用のインターフェース７４を含む。モード選択ユニット７６は互いに異なる複数の特殊作動モードのうちの１つを選択するように設計されており、前記特殊作動モードはそれぞれ自動モードとは異なる。モード選択ユニット７６は、選択された特殊作動モードを表す特殊作動モード信号７８を提供する。特殊作動モード信号７８は、選択された特殊作動モードで設備１４を作動させるために、制御ユニット２２に供給される。

加えて、安全コントローラ１２は検出ユニット８２用のインターフェース８０を有する。検出ユニットは、安全コントローラ１２と対話する人、具体的にはディスプレイ・ユニットを読み取る人に関連するアクセス認証を検出するように設計されている。検出ユニット８２は、検出されたアクセス認証を表すアクセス認証信号８４を提供する。
さらに、安全コントローラ１２は診断選択ユニット８６を有する。診断選択ユニット８６には、作動状態信号６８が供給される。加えて、診断選択ユニット８６には、入出力ユニット３０を介して特殊作動モード信号７８および／またはアクセス認証信号８４が供給される。確認された作動状態ならびに選択された特殊作動モードおよび／または検出されたアクセス認証に基づいて、診断選択ユニット８６は確認された作動状態を表す診断レポートを特定する。診断選択ユニット８６は、診断レポートを表す診断信号８８を生成し、これは診断レポートを表示するために入出力ユニット３０を介してディスプレイ・ユニット７２に供給される。診断評価ユニット６４および診断選択ユニット８６は、点線で示すように、組み合わせて診断ユニット９０にしてもよい。

ディスプレイ・ユニット７２および検出ユニット８２は、点線で示すように、組み合わせて構造ユニット９２にしてもよい。有利なことに、検出ユニット８２は、ディスプレイ・ユニット７２に統合できる。
検出ユニット８２は、矢印９６で示すように、モバイルアクセス認証ユニット９４と対話することによって、アクセス認証を検出するように設計されている。検出ユニット８２に関して、そのためモバイルアクセス認証ユニット９４に関しても様々な実施例が考えられる。第１の実施例において、モバイルアクセス認証ユニット９４は、検出ユニット８２に設けられるキーホルダに差し込むことのできる機械式キーの形態である。この第１の実施例は、機械的形態の作動モード選択スイッチに対応する。第２の実施例では、モバイルアクセス認証ユニット９４はトランスポンダの形態をとってもよく、それからのデータをリーダの形態の検出ユニット８２によって読み取ることができる。トランスポンダはアクセス認証を表すアクセス認証データを含む。第１の実施例と第２の実施例との組み合わせの第３の実施例が考えられる。すなわち、機械式キーはトランスポンダを含み、検出ユニット８２はキーホルダの付近にトランスポンダ用のリーダを含む。加えて、検出ユニット８２がアクセス認証の入力に使用できる複数の入力エレメントを有する第４の実施例が考えられる。この場合、検出ユニット８２は例えば英数字式入力ユニットの形態である。この実施例では、モバイルアクセス認証ユニット９４は必要ない。これらの実施例を列挙する順番は、それを使用する機会に関する評価を意味するわけではない。

モード選択ユニット７６は、矢印１００で示すように、モバイル特殊作動モードユニット９８と対話することによって、特殊作動モードを選択するように設計されている。モバイル特殊作動モードユニット９８は、定義された特殊作動モードを表す特殊作動モードデータを含むトランスポンダの形態をとってもよい。この場合、モード選択ユニット７６は、トランスポンダから特殊作動モードデータを読み取るために使用できるリーダの形態である。

モード選択ユニット７６および検出ユニット８２は通常、信号装置といわれる。
入出力ユニット３０は、安全コントローラ１２と、安全センサ４４、安全アクチュエータ４８，５０、ディスプレイ・ユニット７２、モード選択ユニット７６および検出ユニット８２との間でテスト信号１０２を交換するために使用される。テスト信号１０２は安全コントローラ１２の中で、ユニットおよびそれに接続されているコンポーネントが正しく作動しているかどうかを確認するために使用できる。これは制御される設備１４が安全コントローラ１２に接続されている機器に誤作動が発生するとすぐに安全状態になることを保証するために必要である。

図２は、診断評価ユニット６４の作動モード、および特に診断選択ユニット８６の作動モードを説明するために使用する。
入出力ユニット３０から、複数の診断入力信号６６が診断評価ユニット６４に供給される。これらは、安全関連制御入力信号４２およびプロセス関連制御入力信号５６、安全関連制御出力信号４６およびプロセス関連制御出力信号６０ならびにさらに別の信号１２０であってもよい。さらに別の信号１２０は、テスト信号１０２と、アクセス認証信号８４と、特殊作動モード信号７８と、さらに制御ユニット２２で特定および処理される信号とを含んでもよい。

供給される信号全体に基づいて、診断評価ユニット６４はある決まった時点に複数の作動状態１２２のうちのどれが存在するかを確認する。これは供給される信号を適切に評価することによって行う。確認された作動状態は、制御される設備１４のプロセス状態であってもよく、または安全コントローラ２２のシステム状態であってもよい。例として、システム状態は接地または供給電圧への短絡状態であってもよく、センサ故障であってもよく、アクチュエータ故障であってもよく、導体の破損であってもよく、チップカード３６に発生するエラーであってもよく、プロセッサ２４，２６のうちのどちらかに発生するエラーであってもよく、または同様なエラーであってもよい。通常、制御される設備のプロセス状態は、特にプロセス関連制御入力信号５６と規定の閾値との比較によって確認される。

診断評価ユニット６４は、確認された作動状態を表す作動状態信号６８を生成する。作動状態信号６８は、入出力ユニット３０および診断選択ユニット８６の両方に供給される。図２に示すように、確認された作動状態は、角を面取りして示す作動状態Ｂ２となる。診断選択ユニット８６は複数の作動状態１２２のそれぞれについて互いに異なる複数の診断レポートを格納する。確認された作動状態Ｂ２については、互いに異なる複数の診断レポート１２４が格納される。入出力ユニット３０から、選択された特殊作動モードを表す特殊作動モード信号７８と、検出されたアクセス認証を表すアクセス認証信号８４とが診断選択ユニット８６に供給される。本ケースでは、それぞれ角を面取りして示すように、選択された特殊作動モードは特殊作動モードＳ１となり、検出されたアクセス認証はアクセス認証Ｚ１となる。したがって、診断選択ユニット８６は、互いに異なる複数の診断レポート１２４から診断レポートＤ２Ｍ１を選択して、この診断レポートを表す診断信号８８を生成し、ディスプレイ・ユニット７２に転送するために入出力ユニット３０に供給される。

診断選択ユニット８６は、複数の作動状態１２２のそれぞれについて、互いに異なる複数の診断レポートを格納する。互いに異なる複数の診断レポートのそれぞれは、互いに異なる特殊作動モード状態Ｓ１からＳｒのそれぞれおよび／または互いに異なるアクセス認証Ｚ１からＺｓのそれぞれについて、それぞれ関連する診断レポートを含む。総合的にみると、診断選択ユニット８６は、複数の作動状態１２１ Ｂ１からＢｎについて、診断レポートＤ１Ｍ１からＤｎＭｎを格納する。

安全コントローラに関する実施形態を基礎とし、同一の制御ユニットを使用して安全制御面に関連する制御タスクおよび標準制御面に関連する制御タスクの両方を取り扱うために安全コントローラを使用する実施形態は、本発明の概念を実施するために必須のものではない。両カテゴリの制御タスクのために、個別の制御ユニットを使用することも可能である。

ディスプレイ・ユニット７２は、設備１４が含む制御コンソール内に配置してもよい。あるいは、個別のディスプレイ・ユニットにしてもよい。ＬＣＤスクリーンの形態または英数字式テキストチャネルの形態にしてもよい。
プロセス診断レポートは、例えば、「コンテナ空」としてもよい。適切なシステム診断レポートの例は「メモリ故障」、「２４Ｖへの短絡状態」または「ハードウェアエラー」である。

Claims (18)

1. 複数のセンサ（１８）と複数のアクチュエータ（１６）とを備える自動化設備（１４）を制御するための安全コントローラであって、
   前記センサ（１８）によって複数の制御入力信号（３２）が供給され、自動モードで実行されるユーザプログラム（３８）に従い前記制御入力信号（３２）に基づいて複数の制御出力信号（３４）を生成するように設計されており、前記複数の制御出力信号（３４）が前記複数のアクチュエータ（１６）を起動するために使用される、制御ユニット（２２）と、
   複数の診断入力信号（６６）が供給され、前記複数の診断入力信号（６６）に基づいてある決まった時点に複数の作動状態（１２２）のうちのどれが存在するかを確認するように設計されており、前記複数の作動状態（１２２）が制御される設備（１４）の少なくとも１つのプロセス状態と前記安全コントローラ（１２）の少なくとも１つのシステム状態とを含んでおり、確認された作動状態を表す作動状態信号（６８）を生成する診断評価ユニット（６４）と、
   診断レポートを表示するように設計されているディスプレイユニット（７２）用のインターフェース（７０）と、
   前記安全コントローラ（１２）と対話する人に関連するアクセス認証を検出するように設計されており、前記検出されたアクセス認証を表すアクセス認証信号（８４）を提供する検出ユニット（８２）用のインターフェース（８０）と、
   前記作動状態信号（６８）および前記アクセス認証信号（８４）が供給され、前記確認された作動状態を表す診断レポートを判断するために、前記確認された作動状態および前記検出されたアクセス認証に基づいて、前記診断レポートを表すとともに、前記診断レポートを表示するために前記ディスプレイユニット（７２）に供給される診断信号（８８）を生成する診断選択ユニット（８６）と、を有する安全コントローラ。
2. 互いに異なる複数の特殊作動モードのうちの１つを選択するように設計されている作動モード選択ユニット（７６）をさらに含み、前記特殊作動モードはそれぞれ自動モードとは異なっており、前記モード選択ユニット（７６）は前記選択された特殊作動モードを表す特殊作動モード信号（７８）を提供し、前記特殊作動モード信号（７８）は前記設備（１４）を前記選択される特殊作動モードで作動させるために前記制御ユニット（２２）に供給される、前記作動モード選択ユニット（７６）用のインターフェース（７４）を含む、請求項１に記載の安全コントローラ。
3. 前記診断選択ユニット（８６）は互いに異なる複数の診断レポート（１２４）を格納し、前記診断レポートのそれぞれは、前記確認された作動状態を表し、前記診断選択ユニット（８６）は前記選択された特殊作動モードおよび／または前記検出されたアクセス認証に基づいて前記診断レポートのうちの１つを選択する、請求項２に記載の安全コントローラ。
4. 前記複数の作動状態（１２２）のそれぞれについて、互いに異なる複数の診断レポートが格納される、請求項１から請求項３のいずれか１項に記載の安全コントローラ。
5. 前記検出されたアクセス認証は互いに異なる複数の定義されたアクセス認証のうちの１つであり、互いに異なる前記複数の診断レポート（１２４）は、互いに異なる前記特殊作動モードのそれぞれおよび／または互いに異なる前記アクセス認証のそれぞれについて、それぞれ関連する診断レポートを含む、請求項３に記載の安全コントローラ。
6. 前記検出ユニット（８２）と前記ディスプレイユニット（７２）とが構造ユニット（９２）を形成する、請求項１から請求項５のいずれか１項に記載の安全コントローラ。
7. 前記検出ユニット（８２）は、モバイルアクセス認証ユニット（９４）との対話によって、前記アクセス認証を検出するように設計されていることを特徴とする、請求項１から請求項６のいずれか１項に記載の安全コントローラ。
8. 前記アクセス認証ユニット（９４）は、前記検出ユニット（８２）に設けられているキーホルダに差し込むことのできる機械式キーを有する、請求項７に記載の安全コントローラ。
9. 前記アクセス認証ユニット（９４）はトランスポンダを有し、前記トランスポンダは前記アクセス認証を表すアクセス認証データを含む、請求項７または請求項８に記載の安全コントローラ。
10. 前記検出ユニット（８２）は、前記アクセス認証の入力に使用できる複数の入力エレメントを有する、請求項１から請求項９のいずれか１項に記載の安全コントローラ。
11. 前記モード選択ユニット（７６）は、モバイル特殊作動モードユニット（９８）との対話によって、前記特殊作動モードを選択するように設計されている、請求項１から請求項１０のいずれか１項に記載の安全コントローラ。
12. 前記特殊作動モードユニット（９８）は、定義された特殊作動モードを表す特殊作動モードデータを含むトランスポンダを有する、請求項１１に記載の安全コントローラ。
13. 前記ユーザプログラム（３８）は、安全関連制御入力信号（４２）をフェールセーフに処理する少なくとも１つの安全制御モジュール（４０）と、主にプロセス関連制御入力信号（５６）を処理する少なくとも１つの標準制御モジュール（５４）とを有する、請求項１から請求項１２のいずれか１項に記載の安全コントローラ。
14. 前記システム状態は故障アクチュエータおよび／またはセンサを表す、請求項１から請求項１３のいずれか１項に記載の安全コントローラ。
15. 前記診断選択ユニット（８６）は、位置ステートメントにも基づいて、前記診断レポートを判断するように設計されており、前記位置ステートメントは前記設備内の前記アクチュエータおよび／またはセンサの位置を表す、請求項１４に記載の安全コントローラ。
16. 複数のセンサ（１８）と複数のアクチュエータ（１６）とを備える自動化設備（１４）を制御する方法であって、前記方法は、
    前記センサによって複数の制御入力信号（３２）を制御ユニットに供給するステップで、前記制御ユニット（２２）は前記制御ユニットで実行されるユーザプログラム（３８）に従って、前記制御入力信号に基づいて自動モードで複数の制御出力信号（３４）を生成するように設計されており、前記複数の制御出力信号（３４）は前記複数のアクチュエータ（１６）を起動するために使用される、前記供給するステップと、
    複数の診断入力信号（６６）に基づいてある決まった時点に複数の作動状態（１２２）のどれが存在するかを確認し、前記複数の作動状態（１２２）は制御される前記設備（１４）の少なくとも１つのプロセス状態と、前記安全コントローラ（１２）の少なくとも１つのシステム状態とを含んでおり、さらに確認された作動状態を表す作動状態信号（６８）を生成するステップと、
    前記安全コントローラ（１２）と対話する人、具体的にはディスプレイユニット（７２）を読み取る人に関連するアクセス認証を検出して、前記検出されたアクセス認証を表すアクセス認証信号（８４）を提供するステップと、
    前記作動状態信号（６８）および前記アクセス認証信号（８４）を診断選択ユニット（８６）に供給するステップと、
    前記確認された作動状態および前記検出されたアクセス認証に基づいて、前記確認された作動状態を表す診断レポートを判断し、前記診断選択ユニット（８６）で前記診断レポートを表す診断信号（８８）を生成するステップと、
    前記診断レポートを表示するために、前記診断信号（８８）を前記ディスプレイユニット（７２）に供給するステップと、を含む方法。
17. 互いに異なる複数の特殊作動モードのうちの１つを選択し、前記特殊作動モードのそれぞれは前記自動モードとは異なっており、さらに前記選択された特殊作動モードを表す特殊作動モード信号（７８）を提供するステップをさらに含む、請求項１６に記載の方法。
18. 請求項１から請求項１５のいずれか１項に記載の安全コントローラ（１２）でプログラムコードを実行したときに、請求項１６または請求項１７に記載の方法を行うように設計されている前記プログラムコードを有するデータ記憶媒体。

Images