JP5490112B2 - 監視システム - Google Patents

Description

本発明は、安全に関連するプロセスを監視するための監視システムに関する。

フィールドバスは、データ転送システムに使用される、周知の産業用通信システムであり、制御装置にセンサ、制御要素、および／またはアクチュエータのような数多くの連結されたフィールド装置を接続し、このバスに実際に接続する装置は、「バス・ユーザ」と呼ばれる。

いくつかの応用例では、時間確定性（ｄｅｔｅｒｍｉｎｉｓｔｉｃｓ）、すなわちプロセス・データの転送における事前の決定および不変性が、実際の転送速度自体よりも重要である。例えば、ユーザが接続されたフィールドバスが知られており、このフィールドバスでは、個々のユーザ間でプロセス・データを転送するために、したがってプロセス・データ、詳細にはプロセス入力データ、プロセス出力データ、および制御データを送受信するために、プロセス・データが共有の伝送チャネルを介して周期的に転送される。このために、所定のデータ・サイクルの間に、マスターとして機能するユーザが、スレーブ・ユーザに接続されたフィールド装置からプロトコル固有のデータを読み取り、続く各データ・サイクルの間にスレーブ・ユーザに接続されたフィールド装置に書き込むことが一般的である。

多くのシステムの応用例では、転送されるデータはまた、少なくとも部分的には安全に関連するデータであり、したがってデータ転送のエラーはできるだけ速やかに認識されなければならず、エラーを認識すると直ちに、適時の対応が行われなければならず、例えばフィールド装置、ユーザ、または（サブ）システムは安全な状態に転換されなければならない。安全に関連するデータを、バスを介して転送することについては、本質的に６つのエラー・クラス、すなわち安全に関連するデータの繰り返し、損失、挿入、不正配列、削除、および遅延が考慮に入れられなければならない。これらのデータの転送は、したがって確実でなければならない。

データ、詳細には安全に関連するプロセス・データの安全な転送を確実にするために、少なくとも列挙したエラー・クラスがあるとき、これらも認識されることが可能であるように、本来、転送されるデータに例えばタイム・スタンプ、ユーザ情報、および／または巡回冗長検査（ＣＲＣ）のようなチェック情報など、追加の制御データを補うことが一般的である。しかしながら、転送されるユーザ・データに比べて転送されるオーバヘッドが非常に大きくなり、ゆえにプロトコルの効率を低下させることが主な欠点である。この弱点は、転送されなければならないユーザあたりの安全に関連するユーザ・データ・アイテムの数または頻度が低いとき、特に深刻である。安全に関連するデータの、これまでに知られている監視システムの別の欠点は、安全指向の出力を有するユーザ固有のプロセスを実装するために、複雑なプロトコルのタスクを処理するには少なくとも２つのマイクロコントローラまたは複雑なハードウェア回路が、常に必要であることである。

本発明の目的は、安全に関連する出力を有するフィールド装置のためのハードウェア、ソフトウェア、および条件の複雑さ、したがって製造コストを削減することができる概念を提供することである。

この目的は、独立請求項の特徴によって達成される。従属請求項には、有利な改良が記載されている。

本発明は、リスクの可能性を有するアクチュエータを制御する出力モジュールの処理機能が、単一チャネル設計を有することが可能であり、例えば安全マスター・モジュールなど、別個の監視モジュールによって監視されることもまた可能であるという知見に基づいている。監視モジュールが予測される行動からの逸脱または処理動作における変則を識別する場合、例えば複数の安全出力モジュールなど複数の出力モジュールを備えることがあるシステム全体を安全な状態に転換することが可能である。（１つまたは複数の）出力モジュールは、監視モジュールのフィードスルー（ｆｅｅｄｔｈｒｏｕｇｈ）を可能にし、したがって以下では「フィードスルー装置」と呼ばれる監視モジュールの補助チャネルを使用して、例えば特定の処理ユニットとは独立して、安全な状態に転換されることが可能である。

したがって、安全機能は、監視モジュール（安全マスター）および出力モジュール（安全出力モジュール）にわたって分散される。安全マスターは、フィードスルー装置の簡単で安価なスイッチオフ機構によって支援される。さらに本発明の概念の機能が、例えば出力イネーブル・パルスをバス・プロトコルに組み込むことは有利である。分散化されたマイクロプロセッサを使用することによって、モノフロップ用の制御情報を組み込むこともまた可能であり、これが出力モジュールまたは好適な出力装置の出力をイネーブルまたはスイッチオフする。制御情報は、例えば指定された時間にデータ信号に変調されることが可能であり、したがってフィードスルー装置を効率的に制御することが可能である。

１つの態様によれば、本発明は、入力信号に応じて制御信号を生成するための出力モジュールと、出力モジュール用の入力信号を生成するための監視モジュールと、制御信号に応じて出力信号を出力するための出力装置と、出力信号の出力を阻止または停止するためのフィードスルー装置とを有し、その制御信号と入力信号に基づいて予想される制御信号との間にずれがあるとき、出力信号の出力を阻止または停止するように監視モジュールがフィードスルー装置に命令するように設計されている監視システムに関する。

１つの実施形態によれば、出力モジュールは、制御信号を監視モジュールに送信するように設計されており、監視モジュールは、制御信号を受信する、およびずれがあるときフィードスルー装置にフィードスルー信号を送信するように設計されている。

１つの実施形態によれば、監視モジュールおよび出力モジュールもしくはフィードスルー装置は、通信ネットワークを介して、詳細には通信バスを介して通信するように設計されている。

１つの実施形態によれば、監視モジュールは、イネーブル信号を生成し、制御信号が予想される制御信号に一致するときイネーブル信号を出力モジュールに送信するように設計されており、イネーブル信号は、出力信号をイネーブルすることを指示する。

１つの実施形態によれば、フィードスルー装置は監視モジュール内、または出力モジュール内にある。

１つの実施形態によれば、フィードスルー装置は出力モジュール内にあり、監視モジュールは、出力信号を出力しないようにフィードスルー装置にフィードスルー信号を送信するように設計されており、フィードスルー装置は、フィードスルー信号に応じて出力信号の出力を阻止または停止するように設計されている。

１つの実施形態によれば、監視モジュールは、制御信号にずれがないかどうか調べるために、制御信号を予想される制御信号と比較するように設計されている。

１つの実施形態によれば、出力装置は、例えば、制御信号を受信するためのデータ経路、および出力装置に電力を供給するための電力供給経路を有するリレーまたは類似の出力段を含み、フィードスルー装置は、データ経路上に、または電力供給経路上に出力信号を出力しないように動作するように設計されている。類似の出力段は、例えば４ｍＡと２０ｍＡの間の範囲で設計されることが可能であり、エラーの場合、その出力電流は３ｍＡ未満である。

１つの実施形態によれば、フィードスルー装置は、単安定フリップフロップ、詳細にはフリップフロップまたはモノフロップを含み、出力装置はデータ経路および電力供給経路を有し、フリップフロップの出力は、詳細にはフリップフロップの入力で印加されることが可能であるフィードスルー信号に応じてデータ経路または電力供給経路上で動作するように、詳細には出力トランジスタを介してデータ経路または電力供給経路に連結される。

１つの実施形態によれば、フィードスルー装置は、フィードスルー信号に応じて出力装置を阻止モードに変換するように、詳細には出力装置をスイッチオフする、またはその出力を遮断する、またはそのデータ経路もしくは制御信号経路を遮断する、またはその電力供給を切断するように設計されている。

１つの実施形態によれば、出力モジュールは、入力信号を受信するために、および制御信号を生成するために設けられるマイクロコントローラを含んでいる。

１つの実施形態によれば、監視モジュールおよび出力モジュールは別個のモジュールである。

本発明は、監視モジュールを使用して出力モジュールを監視するための方法に関し、入力信号に応じて出力モジュールによって制御信号が生成され、出力モジュール用の入力信号は、監視モジュールによって生成され、出力信号は、制御信号に応じて出力され、その制御信号と入力信号に基づいて予想される制御信号との間にずれがあるとき、フィードスルー装置によって出力信号を出力することが阻止される。出力モジュールを監視するための方法のさらなる諸ステップは、本発明による監視モジュールの機能から直接生じる。

本発明のさらなる例示的諸実施形態について、添付の図面を参照してより詳細に説明する。

監視システムの設計原理を示す図である。 監視システムのブロック図である。 出力モジュールのブロック図である。 データのフレーム構造を示す図である。 出力モジュールのブロック図である。

まず図１を参照すると、これは本発明の範囲内で使用されることが可能である基本的なシステム設計を示している。トポロジの観点から、図示したシステム設計は、直線として構成されているが、スター・トポロジまたはいかなる所与の混合型も可能である。

バス６００に接続された５人のバス・ユーザが示されている。第１のバス・ユーザは、例えば安全関連のマスターなど監視モジュール１００であり、以下では安全マスターとも呼ばれ、この例では同時にバス・マスターでもあるが、これは本発明の範囲内では必須ではない。一般にはこれは、所与の、適切に指定された安全ユーザを含むことができる。第２のバス・ユーザは、安全関連のスレーブ出力ユーザ２００であり、以下では出力モジュールまたは安全出力スレーブとも呼ばれ、第３のバス・ユーザは、安全関連のスレーブ入力ユーザ３００であり、以下では安全入力スレーブとも呼ばれる。第４のバス・ユーザは、非安全関連のスレーブ出力ユーザ４００であり、以下では出力スレーブとも呼ばれ、第５のバス・ユーザは、非安全関連のスレーブ入力ユーザ５００であり、以下では入力スレーブとも呼ばれる。安全関連のユーザ、すなわち安全関連のプロセス・データを処理するユーザ、および非安全関連のユーザは、このように混合され、望み通りに配置されることも可能である。

例として示したシステム設計の安全関連のユーザに関しては、例えば緊急停止スイッチ１１０が安全マスター１００に接続されており、その安全関連の入力情報をユーザ１００が２つの入力１２１および１２２を介して冗長性を持って受信し、プロトコルに特有の方法で、２つの冗長処理チャネル１３１および１３２を介してまず同様に処理した後、信号はバス６００に結合される。例えばモーター２１０は、安全出力スレーブ２００に接続され、バス６００からの信号をプロトコルに固有の方法で切断した後に、ユーザ２００はまず２つの冗長処理チャネル２３１および２３２を介する処理を実行し、出力２２０を介してモーター２１０に安全関連の出力情報を送信する。例えば、安全ドア３１１および回転速度センサ３１２が、安全入力スレーブ３００に接続され、その安全関連の入力情報をユーザ３００は２つの入力３２１および３２２を介して冗長性を持って受信し、プロトコルに固有の方法で、処理チャネル３３０を介して同様に処理した後、信号はバス６００に結合される。

安全関連の機能は、一般に冗長処理を使用することによって、例えばハードウェア側に２つの別個のチャネルを用いて実装され、バス６００に対するユーザの特定のインターフェース１４０、２４０、３４０、４４０、または５４０は、一般には単一チャネルとして実装されるだけである。必要とされるスペースおよびコストを削減することに加えて、特にバスの負荷、電流消費、およびキャパシタンスに関連して、２倍の数のユーザがバス上にある状態で動作することも可能である。バスの結合によって起こるエラー、例えばライン・ドライバまたはガルバーニ絶縁に基づくエラーは、一般に使用される回線プロトコルによって認識されることが可能である。しかしながら、安全関連のユーザの処理ユニットは、必ずしもハードウェア側にデュアルチャネル設計を有する必要がなく、多くの場合、ソフトウェアがデュアルチャネル設計を有することで十分である。

そこでバス６００は、本発明による方法のための共有データ回線、およびすべてのデータ、詳細にはプロセス・データを送受信するための転送システムを提供する。このような転送システムは、例えば、自動車技術から知られるローカル相互接続ネットワーク（ＬＩＮ）のバスに基づいて動作し、この中で、あるデータ・サイクルの間、プロトコル固有のデータは、ユーザを介して接続されたフィールド装置からマスターによって読み出されることが可能であり、その後の各データ・サイクル中では、およそ１９．２から３８ｋＢｄでフィールド装置に書き込まれることが可能である。

一例として本発明による１つの方法では、プロセス入力データおよびプロセス出力データはまた、例えば固定間隔で、それぞれ２分の１のバス・サイクルの時間だけずらして転送される。したがって、プロセス入力データおよびプロセス出力データの周期的転送のための転送プロトコルは、例えば、以下ではデータ交換モードとも呼ばれる２つの異なるデータ交換サービスを利用することが多い。したがってこの場合、バス・サイクルは、ＰＤ読取りサービスに基づいたデータ・サイクル、およびそれに続くＰＤ書込みサービスに基づいたデータ・サイクルを含む。

プロセス出力データの転送については、ＰＤ書込みサービスに対してマスターは、マスターに接続されたユーザに、接続されたフィールド装置用の基本的にすべてのデータを送信し、その後巡回冗長検査（ＣＲＣ）を決定し、これもまた転送する。有利には転送システムは、接続されたすべてのユーザもこのように転送されたすべての情報を読み取り、好ましくは同様にＣＲＣを形成し、これをマスターの受信したＣＲＣと比較して、エラーの場合にはエラー・メッセージが送信され、例えば選択されたユーザまたは個々のフィールド装置が、安全な状態に転換されるように設計される。プロセス入力データの転送については、ＰＤ読取りサービスに対してマスターはまず、例えばブロードキャスト・アドレスを送信し、ファンクション・コードがこれに続く。他の接続されたユーザは次に、接続されたフィールド装置からのデータ、すなわち詳細にはそのプロセス入力データをビット単位で、それぞれ提供されたタイムスロット中のデータ・ラインに加える。１つの好ましい設計では、データ・ライン上でトラッキングすることによって、ユーザは次にすべてのデータを認識し、もう一度ＣＲＣを計算することができる。

図２は、出力モジュール２０１と、出力モジュール２０１と双方向に接続している監視モジュール２０３とを有する監視システムのブロック図を示している。この監視システムはまた、出力モジュール２０１の下流に接続された出力装置２０５と、監視モジュール２０３の下流に接続され、その出力が出力装置２０５に接続されたフィードスルー装置２０７とを含む。出力装置２０５は、監視モジュール２０３によって供給される入力信号に基づいて出力モジュール２０１によって生成される制御信号に応じて出力信号を出力するための出力を含む。事前に出力モジュール２０１は、チェック用に制御信号を監視モジュール２０３に送信し、監視モジュールは、予想される制御信号からのずれがないか制御信号をチェックする。例えば所定のしきい値を超えるずれがある場合、監視モジュール２０３は例えばフィードスルー信号を介して、フィードスルー装置２０７に出力信号を出力しないように命令する。フィードスルー装置２０７は、例えば出力装置２０５に直接作用し、出力信号を出力しないように、例えば電力供給、または出力装置の制御経路もしくはデータ経路を中断する。

モジュール２０１、２０３、２０５、および２０７は、必ずしも空間的に離れた設計で実装される必要はない。これらはプリント基板上に実装されることも可能である。バス・システムに代わって、例えば隔たりを越える、別個の接続を通信用に用意することもできる。

図３は、バス結合３０１と、マイクロコントローラ・スイッチング回路３０３と、フィードスルー装置３０５と、出力装置３０７とを有する出力モジュールを示している。バス結合３０１は、例えばＬＩＮバスが結合されることが可能である入力を含む。この入力は、２つの端子３１３および３１５を有するＬＩＮバス・ドライバ３０９に接続される。端子３１３は、フィードスルー装置３０５の入力抵抗器Ｒ_１を介してフィードスルー装置３０５のトランジスタＴ_１のゲート端子に接続される。トランジスタＴ_１はまた、例えばエミッタ端子など、グランドに接続された第１の端子を有する。例えばコレクタ端子など、トランジスタＴ_１の第２の端子は、例えばモノフロップなど、フリップフロップ３１７のクロック入力Ａに接続される。トランジスタＴ_１の第２の出力は、コンデンサＣ_１を介してグランドに、および抵抗器Ｒ_２を介して電源電位に接続される。

またフリップフロップ３１７は、第２のトランジスタＴ_２の第２の端子、例えばコレクタ端子に接続されたデータ入力ＭＲを含む。一方、トランジスタＴ_２の第１の端子、例えばエミッタ端子は、グランドに接続される。またデータ入力ＭＲは、抵抗器Ｒ_３を介して電源電位に接続されることが可能である。トランジスタＴ_２のゲート端子は、抵抗器Ｒ_４を介してマイクロコントローラ・スイッチング回路３０３のマイクロコントローラ３１９の端子に接続される。フリップフロップ３１７の出力Ｑは、抵抗器Ｒ_５を介して第３のトランジスタＴ_３のゲート端子に接続され、第３のトランジスタＴ_３の第１の端子、例えばエミッタ端子は、電源電位に接続されることが可能であり、第３のトランジスタＴ_３の第２の端子は、抵抗器Ｒ_６を介してマイクロコントローラ３１９のさらなる端子に接続される。抵抗器Ｒ_６は、抵抗器Ｒ_７を介してグランドに接続される。同時に、第３のトランジスタＴ_３の第２の端子は、フィードスルー装置３０５の出力３２３を形成し、これは、例えば出力装置３０７のリレー３２５の電力供給入力に接続される。リレー３２５はさらなる経路３２７を含み、これは例えばデータ経路または制御経路であることが可能である。またリレー３２５は、スイッチ３２９に結合される。スイッチ３２９は、リレー状態に応じて２つの接点を橋絡し、スイッチの閉じた状態においてのみ出力信号を出力することができる。

リレー３２５のデータ経路３２７は、トランジスタＴ_４の第２の端子、例えばコレクタ端子に接続される。トランジスタＴ_４はまた、例えばエミッタ端子など、グランドに接続された第２の端子を含む。マイクロコントローラ３１９の出力３２９は、トランジスタＴ_４のゲートに接続される。またマイクロコントローラ３１９のさらなる端子は、抵抗器Ｒ_８を介してトランジスタＴ_４の第２の端子に接続される。

バス・ドライバ３０９の端子３１３はまた、マイクロコントローラ３１９の入力端子３３１に接続される。一方、マイクロコントローラの出力端子３３３が、端子３１５に接続される。マイクロコントローラ３１９は、入力端子３３１を介して監視モジュール（図３では示していない）から例えば入力信号などのデータを受信し、これを基にして制御信号を生成し、この制御信号は例えばデータ経路３２７を介してリレー３２５へ送られる。しかしながら事前にマイクロコントローラ３１９は、出力端子３３３を介して監視モジュール（図示せず）に制御信号を送信する。監視モジュールは、制御信号が、例えば入力信号、すなわち入力データに基づいて予想される制御信号に一致するかどうかをチェックする。例えばしきい値を超えるずれがある場合、監視モジュールは、ドライバ３０９の端子３１３を介してフィードスルー装置３０５にフィードスルー信号を送信し、これに基づいて、例えばリレー３２５への電力供給が中断され、それによってスイッチ３２９を入れることを阻止または停止する。出力信号を出力することは、このように阻止される。

図３に示す出力モジュールの構造は、デュアルチャネル設計に基づいている。第１のチャネルは、マイクロコントローラ回路３０３によって形成され、一方、フィードスルー装置３０５は、例えば補助チャネルとして、第２のチャネルであると理解されることが可能である。出力モジュールのチャネル２、すなわちフィードスルー装置３０５は、必ずしも完全なチャネルとして設計されない。実際の安全機能は、例えばマイクロコントローラ回路３０３のマイクロコントローラ３１９によって実装される。マイクロコントローラ３１９はまた、バス・プロトコルの機能の実装を実現するようにされていることも可能であり、物理的バス結合は、例えば図３に示すＬＩＮバス・ドライバ３０９によって構築されることが可能である。

例えばプロトコルのフレームが正確に受信され、すべてのプロセス・データ・チャネルが妥当性（ｐｌａｕｓｉｂｉｌｉｔｙ）検査を通った後に、受信したデータを使用して安全機能の処理が始まる。マイクロコントローラ３２９はトランジスタＴ_４を介して出力装置３０７（出力段）を制御し、一例として出力装置３０７はリレーを有する場合がある。抵抗器Ｒ_８は、出力段３０７を監視するために使用され、マイクロコントローラ３１９によって監視結果は、安全ＰＤＣとして次のデータ・サイクルに書き込まれる。既知の安全機能および入力データもしくは入力信号に基づき、監視モジュール（図３では示していない）は、マイクロコントローラ３１９およびその出力をチェックすることができる。ずれが識別される場合、監視モジュールは、フィードスルー装置３０５によって実装される重畳安全機構を使用して、システムを安全な状態に切り換える。例えば出力段への電力供給は、このようにスイッチオフされることが可能である。

図示したリレーに代わるものとして、例えば類似の出力段が使用されることが可能であり、これは例えば、４ｍＡと２０ｍＡの間の範囲に設計され、エラーの場合の出力段の出力電流は３ｍＡ未満である。

図４は、３つの段階に分割することができる転送サイクル４００を使用するバスのタイミングの例を示している。ユーザ・データは、第１の段階４０１において転送される。第２の段階４０３は、フレームおよびＰＤＣレベルに関するデータのチェックに使用される。例えば、どのユーザもエラーを見つけない場合、ＬＩＮバスのデータ信号は、ハイ・レベル状態のままであり、これは「ハイ」に対応する。エラーが検出される場合、データ・セクション４０５に関して説明するように、該当するユーザがエラー・コードを送信する。安全出力の出力状態をチェックすることを含み、転送および処理サイクル全体においてエラーが検出されなかった場合、監視モジュール、すなわちマスターは、出力用のイネーブル信号を生成し、これは図３からモノフロップ３１７によって評価される。データ・チェックは、例えばセクション４０３で行われる。出力イネーブルは、セクション４０９で指示される。

モノフロップ３１７（ＩＣ １）は、３０ｍｓのモノフロップのトリガ時間で再トリガ可能である。例えばモノフロップは、バス信号が、例えば少なくとも７００μｓの間、出力イネーブリング４０９によって表わされる、「ロー」と呼ばれるロー・レベルの状態と考えるときにのみ、トリガされることが可能である。しかしながらこれは、少なくとも１つの論理「１」が、各文字の終わりで１停止の転送の結果として要求されるので、少なくとも１４，４００ボーのボー・レートを有するデータ転送の間は保証されない。ＬＩＮバスの休止レベルは同様に論理「１」であり、バスの不活動期間がより長くなるとトリガしない。

ＬＩＮバスの「１」レベルの結果として、図３に示したトランジスタＴ_１がつながれ、これによりコンデンサＣ_１の充電を阻止または停止し、したがってモノフロップ３１７の入力に負のフランク（ｎｅｇａｔｉｖｅ ｆｌａｎｋ）が現れることはない。論理「ロー」のみがトランジスタをブロックし、コンデンサＣ_１が抵抗器Ｒ_２によって充電されるようにする。およそ７００μｓ後に、コンデンサＣ_１は例えばモノフロップ３１７の「ハイ」スイッチング・レベルを上回るまで充電され、「ロー」から「ハイ」へＬＩＮバス信号が変わると、モノフロップ３１７にトリガリング・フランクを生成する。出力／Ｑはその後「ロー」に切り換えられ、その結果、出力段３０７をイネーブルする。マイクロコントローラは、抵抗器Ｒ_８を介して切換トランジスタＴ_４をチェックすることができる。抵抗器Ｒ_６およびＲ_７を含む分圧器は、フィードスルー装置３０５をチェックするために使用され、例えば補助チャネルとして実装される。これをチェックするために、トランジスタＴ_２を介してモノフロップ３１７をリセットし、結果としてトランジスタＴ_３を遮断し、したがって出力段３０７を切ることが有利である可能性がある。例えばリレー３２５への電力供給は、このように停止されることが可能である。

図５は、マイクロコントローラ回路５０１およびフィードスルー装置５０３を有する出力モジュールのブロック図を示している。マイクロコントローラ回路５０１は、増設フィードスルー装置５０７を有するマイクロコントローラ５０５を含む。出力モジュールの入力５０９は、フィードスルー装置５０３のフリップフロップ５１１、例えばモノフロップに接続される。フリップフロップ５１１はまた、例えば出力装置（図５では示していない）に結合されることが可能である出力を有する。

入力５０９はまた、マイクロコントローラ５０５の受信入力５１３および増設フィードスルー装置５０７の入力５１５に接続される。フィードスルー装置は、フリップフロップ５１９、例えばモノフロップの入力に接続された入力コンポーネント５１７を含む。フリップフロップ５１９の出力は、増設フィードスルー装置５０７の出力ドライバ５２１の端子、例えば演算増幅器に接続される。出力ドライバ５２１の出力は、トランジスタＴ_４のゲートに接続され、トランジスタＴ_４の第１の端子、例えばコレクタ端子は、マイクロコントローラ回路５０１の出力５２３を形成する。一方、トランジスタＴ_４の第２の端子、例えばコレクタ端子は、グランドに接続される。トランジスタＴ_４の第２の端子は、フィードバックループによって、抵抗器Ｒ_８を介してマイクロコントローラ５０５の入力要素５２５、例えば入力ドライバに接続される。入力要素５２５の出力は、図５に示すように、フリップフロップ５１１に接続された診断要素５２７に接続される。診断要素５２７の出力は、ＰＤＣプロデューサ５２９に接続され、ＰＤＣプロデューサの出力は、バス要素５３１に接続される。バス要素５３１は、汎用非同期送受信回路（ＵＡＲＴ）５３３にも結合される。図５に示すように、受信入力５１３は、ＵＡＲＴ５３３の入力に接続される。ＵＡＲＴ５３３はまた、出力５３５を有し、これがマイクロコントローラ回路５０１の出力を形成する。バス・プロトコル要素５３１は、ＰＤＣコントローラ５３７に結合され、ＰＤＣコントローラ５３７の出力が安全機能ブロック５３８に接続される。安全機能ブロック５３８は、出力要素５２１の入力に接続された出力を有する。

増設フィードスルー装置５０７は、例えばソフトウェアとして実装されることが可能であり、フィードスルー装置５０３は、ハードウェアとして実装されることが可能である。ハードウェアとして実装されるさらなる構成要素は、ＵＡＲＴ要素５３３、ならびに入力要素５１７、５２５、および出力要素５２１である可能姓がある。一方、要素５２７、５２９、５３１、５３７、５１９、および５３８は、ソフトウェアとして実装されることが可能である。

安全機能の主信号経路は、プロトコル・スタックによってＵＡＲＴブロック５３３から通じ、プロトコル・スタックは、バス・プロトコル要素５３１に実装されている。データ交換は、例えば２つのＰＤＣ５２９および５３７を介してバス・プロトコルと処理ユニットとの間で行われ、安全機能の入力データは、ＰＤＣコントローラ５３７に格納される。したがって、出力データおよびステータスは、ＰＤＣプロデューサ５２９によって監視モジュール（図５では示していない）に転送される。

図５に示すように、マイクロコントローラ５０５の出力ドライバ５２１は、２つの入力を有し、安全機能は例えばデータ入力または制御入力のみを使用する。出力ドライバ５２１が第２の入力によって解放される場合、この状態はトランジスタＴ_４に見える。モノフロップ５１９は、例えばフィードスルー装置５０３と同じ機能を実施し、これは第２のチャネルまたは補助チャネルと呼ばれることもあり、その違いは、これがほぼ完全にソフトウェアとして実装されることが可能であること、したがって多様性をもたらすことである。

図５に示した例示的実施形態に代わるものとして、フィードスルー装置５０３ならびにそのモノフロップ機能は、ソフトウェア機能によって実装されることが可能である。これは、第２のマイクロコントローラがより複雑な出力モジュールに使用されるとき、特に有利である。

Claims (13)

1. 入力信号に応じて制御信号を生成するための出力モジュール（２０１）と、
   前記出力モジュール（２０１）のために前記入力信号を生成するための監視モジュール（２０３）と、
   前記制御信号に応じて出力信号を出力するための出力装置（２０５）と、
   前記出力信号を出力しないようにするためのフィードスルー装置（２０７）と
   を有し、
   前記監視モジュール（２０３）が、前記制御信号と前記入力信号に基づいて予想される制御信号との間にずれがあるとき、前記出力信号を出力しないように前記フィードスルー装置（２０７）に命令するように設計された、監視システム。
2. 前記出力モジュール（２０１）が、前記制御信号を前記監視モジュール（２０３）に送信するように設計され、前記監視モジュール（２０３）が、前記制御信号を受信するように、およびずれがあるとき前記フィードスルー装置（２０７）にフィードスルー信号を送信するように設計された、請求項１に記載の監視システム。
3. 前記監視モジュール（２０３）および前記出力モジュール（２０１）もしくは前記フィードスルー装置（２０７）が、通信ネットワークを介して、詳細には通信バスを介して通信するように設計された、請求項１乃至２のいずれか１項に記載の監視システム。
4. 前記制御信号が、前記予想される制御信号に一致する場合、前記監視モジュール（２０３）が、イネーブル信号を生成し、これを前記出力モジュール（２０１）に送信するように設計され、前記イネーブル信号が前記出力信号をイネーブルすることを指示する、請求項１乃至３のいずれか１項に記載の監視システム。
5. 前記フィードスルー装置（２０７）が、前記監視モジュール（２０３）または前記出力モジュール（２０１）内にある、請求項１乃至４のいずれか１項に記載の監視システム。
6. 前記フィードスルー装置（２０７）が、前記出力モジュール（２０１）内にあり、前記監視モジュール（２０３）が、前記出力信号を出力しないようにするために前記フィードスルー装置（２０７）にフィードスルー信号を送信するように設計されており、前記フィードスルー装置（２０７）が、前記フィードスルー信号に応じて前記出力信号の出力をしないように設計された、請求項１乃至５のいずれか１項に記載の監視システム。
7. 前記監視モジュール（２０３）が、前記ずれがあるかについて前記制御信号をテストするために、前記制御信号を前記予想される制御信号と比較するように設計された、請求項１乃至６のいずれか１項に記載の監視システム。
8. 前記出力装置（２０５）が、前記制御信号を受信するためのデータ経路、および前記出力装置に電力を供給するための電力供給経路を有するリレーまたは類似の出力段を有し、前記フィードスルー装置（２０７）が、前記データ経路または前記電力供給経路上に前記出力信号を出力しないように動作するように設計される、請求項１乃至７のいずれか１項に記載の監視システム。
9. 前記フィードスルー装置（２０７）が、単安定フリップフロップ、詳細にはフリップフロップまたはモノフロップを含み、前記出力装置（２０５）がデータ経路および電力供給経路を有し、前記フリップフロップの出力が、詳細には前記フリップフロップの入力で印加されることが可能であるフィードスルー信号に応じて前記データ経路または前記電力供給経路上で動作するように、詳細には出力トランジスタを介して前記データ経路または前記電力供給経路に連結される、請求項１乃至８のいずれか１項に記載の監視システム。
10. 前記フィードスルー装置（２０７）が、フィードスルー信号に応じて前記出力装置（２０５）を阻止モードに変換する、詳細には前記出力装置（２０７）をスイッチオフする、またはその前記出力を遮断する、またはその前記データ経路を遮断する、またはその前記電力供給を切断するように設計される、請求項１乃至９のいずれか１項に記載の監視システム。
11. 前記出力モジュール（２０１）が、前記入力信号を受信するために、および前記制御信号を生成するようにされているマイクロコントローラを有する、請求項１乃至１０のいずれか１項に記載の監視システム。
12. 前記監視モジュール（２０３）および前記出力モジュール（２０１）が別個のモジュールである、請求項１乃至１１のいずれか１項に記載の監視システム。
13. 監視モジュールを使用して出力モジュールを監視するための方法であって、制御信号が、入力信号に応じて前記出力モジュールによって生成され、前記出力モジュール用の前記入力信号が、前記監視モジュールによって生成され、出力信号が前記制御信号に応じて出力され、前記制御信号と前記入力信号に基づいて予想される制御信号との間にずれがあるとき、前記出力信号の出力が、フィードスルー装置によって阻止される、監視モジュールを使用して出力モジュールを監視するための方法。

Images