JP5981988B2 - 安全制御装置の動作方法および安全制御装置 - Google Patents

Description

本発明は、安全制御装置の動作方法に関するものである。

安全制御装置は、通常、産業のセーフティクリティカル分野を監視し、セーフティクリティカル問題が存在する場合の対策を実行するために採用される。

安全制御装置は通例、一方でインジケータ装置と、他方でアクチュエータと信号を交換するように接続されている。安全制御装置のためによく採用されるインジケータ装置は、緊急停止ボタン、安全ドアスイッチ、両手スイッチ、ライトバリアおよび監視マシンまたはマシン設備から安全関連信号を提供する多様なセンサを含む。安全制御装置はさらにインジケータ装置からの安全関連信号を監視し、それを評価する。その後、評価に応じて、アクチュエータを制御するための制御信号を生成する。通例、これらはさらに設備の安全状態をもたらすように制御される。これは、例えば、監視設備のフェールセーフなスイッチオフから達成できる。代わりにまたは追加で、設備の安全性を確保するための警告信号を出力することができる。

安全制御装置の特に安全な動作を確保するために、通例、冗長コンポーネントを用いて作られる。例えば、安全制御装置は、同じタスクを並列して行う２以上の計算ユニットを備えている。安全動作能力を向上させるために、コンポーネントおよびそのコンポーネントが処理するソフトウェアコンポーネントはともに多様な設計を有してもよく、その結果内部の系統的誤差を補償することができる。このために、例えば、計算ユニットは異なる製造者製にし、異なるアーキテクチャを備えるように構成することができる。

重要な点は、同一の入力データに基づいて異なる方法で判定した異なる計算ユニットからの２以上の結果を比較できるようにすることである。これらの結果が一致しなければ、安全制御装置に安全関連の障害が存在するおそれがある。このような誤差に対する反応には、適した反応ステップの実行が含まれるかもしれない。例えば、警告信号を出力することができ、および／または設備のスイッチを切ることができる。制御タスクの二次安全制御装置への移転も考えられる。

安全制御装置が２つより多くの冗長コンポーネントを備える場合、結果を比較するときに多数決を採用することができる。このように、内部障害が１つのコンポーネントにしか存在しない場合、制御タスクを継続することが可能である。２つのコンポーネントしか利用できない場合、原則として自動的な対策が採用される。その結果、通常、マシン操作員の側に設備の手動的な介入が必要である。

冗長的に構成されている安全制御装置の実装の前提条件は、コンポーネントからの計算結果が比較可能なことである。これを確保するために、安全制御装置では通例整数の計算が行われる。整数はデジタルデータ処理で正確に表現することができ、整数を使用するときのメモリ要求はごくわずかである。これは、加算、減算、乗算および整数の除算などの基本的な計算の種類にも当てはまり、これらの結果は再び整数でなければならない。さらに、整数演算は、結合法則、分配法則および可換法則などの代数学の基本的規則に従う。このため、排他的に整数の演算を行うアルゴリズムは演算子の順列に影響を受けにくく、そのため強固である。

安全制御装置は整数の演算に限られるということは不利である。その結果、入力信号が整数でしか表現できず、そのためほとんどの場合切り上げまたは切り捨てしなければならないため、結果の精度が落ちる。

計算の精度を向上させるために、浮動小数点数の採用がコンピュータ技術の分野から周知である。浮動小数点数は実数の近似表現である。浮動小数点数はコンピュータ代数学で周知の固定小数点数とは異なる。浮動小数点では、有限桁数の仮数部が保存され、分離点は指定位置に位置すると仮定される。仮数部に、基数と指数部からなる別の式を乗じる。通例、基数の値は規約によって合意されている。指数部は暗黙的に分離点の実際の位置を提供する。

浮動小数点数は、非常に大きな数および非常に小さな数の両方を低いメモリ要求で容易に表現できるように使用される。これは、分離点が「分離」しているために、値をスケーリングすることができ、新たな計算を自動的に行うことができるため達成される。浮動小数点数を使用することで、整数で可能なよりも大幅に正確に複雑な計算を行うことが可能となる。計算ユニットのメモリはこのように最適に活用されるため、できる限り達成可能な精度が確保される。

特殊浮動小数点演算は、浮動小数点数を用いた計算の数値計算から周知である。この浮動小数点演算では、分離点周辺の被演算子の配列のため、および浮動小数点のデータタイプの長さが限られているために、代数学の規則の違反となる可能性があるため、代数学の基本的な規則は一部適用できない。明確にするために、以下の（単純化した）実施例を挙げる。

表現０．１２５＋４．５−４．０は小数を含む数字からなり、二進法では浮動小数点数を使って計算することになる。この表現とこの表現で示される小数は、二進法では０．００１＋１００．１−１００．０という有限表現を有する。

二進数を表現するのに４ビットが利用できる場合、すべての小数を完全に表現することができる。括弧を使って、以下の計算が求められる。
（０．００１＋１００．１）−１００．０＝１００．１−１００．０＝０．１
しかし、括弧を他の位置に置くと、以下の計算が求められ、結果が異なる。
０．００１＋（１００．１−１００．０）＝０．００１＋０．１＝０．１０１
例証されるように、二進法では括弧の選択によって異なる結果が導かれるが、小数を使用した式に括弧を相応して適用しても結果に対する影響はない。

これに加えて、多くの十進値は二進値としての有限表現を有していない。そのため、通常、有限サイズのデータタイプでの記憶には、表現可能な値への丸め処理が必要である。加えて、乗算および除算などの演算は正確に表現するために必要な数字の数を増やす可能性がある。丸め処理が起こる頻度、プロセスで生じる丸め誤差は、浮動小数点演算を適用するアルゴリズムの実装に大きく依存する。このことから、冗長実装に多様なハードウェアおよびソフトウェアのコンポーネントを使用する場合、計算結果の比較可能性を確保できないことになる。そのため、浮動小数点数を使用した自動化システムでは、潜在的に無限の誤差があるデータに基づいて制御が進む可能性がある。このような安全な自動化システムは可能ではない。

Comba, Joao L.D.およびStolfi, Jorge,「アフィン演算およびそのコンピュータ・グラフィックへの適用」(Affine Arithmetic and Its Applications to Computer Graphics), SIBGRAPI’93報告書，第６回ブラジルコンピュータ・グラフィクスおよび画像処理に関するシンポジウム，１９９３年 De Figueiredo, Luiz HenriqueおよびStolfi, Jorge，「自己検証型数値解析法および応用」(Self-Validated Numerical Methods and Applications), Brazilian Mathematics Colloquium Monograph, IMPA, リオデジャネイロ，ブラジル，１９９７年 Hansen, Eldon R.,「一般化区間演算」（A Generalized Interval Arithmetic）区間演算に関する国際シンポジウム報告書，ロンドン，１９７５年 Neumaier, Arnold,「テイラー形式−使用と限界」(Taylor Forms - Use and Limits), Reliable Computing, 第９巻，２００２年 Sengupta, AtanuおよびPal, Tapan Kumar,「理論と方法論：区間数の比較」(Theory and Methodology: On comparing interval numbers), European Journal of Operational Research，第１２７巻，２０００年 Young, Rosalind Cecily,「多値量の代数学」(The Algebra of Many-Valued Quantities), Mathematische Annalen, 第４巻，１号，１９３１年

多様なハードウェアもしくはソフトウェアを避けることにより、または多様なハードウェアおよびソフトウェアを、まったく等価の計算結果が得ることができるように互いに整合させることにより、比較可能性を達成することを企図することができるであろう。しかし、多様なハードウェアおよびソフトウェアからのまったく等価の計算結果は、まったく同じシーケンスで、まったく同じ精度で、特にその時間および丸め処理の方向に関して同じ丸め処理手順を使用して演算を行う場合にのみ期待できる。しかし、利用できるコンパイラおよび計算ユニットはこれらの側面において互いに大幅に異なるため、演算の精度もシーケンスも確実に判定することはできない。そのため、この種の安全制御装置は同一のハードウェアおよびソフトウェアのコンポーネントを冗長的に取り付けなければならないであろう。しかし、これはそもそも多様なハードウェアおよびソフトウェアから非常に高い安全性が達成される安全な自動化の基本的な考えと矛盾するであろう。

浮動小数点数を固定小数点数に置換して、固定小数点演算を適用させることも考えられるかもしれない。固定小数点演算もまた、整数の演算を使用して実施することができる。しかし、同じ精度の場合、これは非常に高いメモリ要求になり、不経済で実用的ではない。

さらに、説明されるアプローチでは計算結果の精度が隠されたままであり、そのため、ここでもコントローラは潜在的にあらゆる程度の誤差をもつデータに基づいて演算を進めることになるだろう。そのため、安全な自動化において浮動小数点演算を使用する主な欠点が克服されない。

そのため、安全制御装置の精度を向上させると同時に安全性を保持する安全制御装置の動作方法を提供することが、本発明の目的である。

本発明の目的は、本発明のある側面に従って、多数の計算ユニットを提供するステップと、入力信号を取得するステップと、前記入力信号に従って浮動小数点値を判定するステップと、前記浮動小数点値に従って入力区間を判定するステップと、前記計算ユニットのそれぞれが１つの結果区間を判定するとともに、前記計算ユニットのそれぞれが区間演算を含む少なくとも１つの第１計算アルゴリズムを前記入力区間に適用するように設計されている、多数の結果区間を判定するステップと、出力基準が満たされた場合に、前記結果区間に従って出力値を判定するステップと、前記出力値に従って出力信号を判定するステップと、前記出力信号を出力するステップと、を含む、安全制御装置の動作方法によって達成される。

本発明の目的は、本発明の別の側面に従って、多数の計算ユニットを備えており、入力信号を取得し、前記入力信号に従い浮動小数点値を判定し、前記浮動小数点値に従い入力区間を判定し、前記計算ユニットのそれぞれが１つの計算結果を判定するとともに、前記計算ユニットのそれぞれが区間演算を含む少なくとも１つの第１計算アルゴリズムを前記入力区間に適用するように設計されている、多数の結果区間を判定し、出力基準が満たされる場合に前記結果区間に従い出力値を判定し、前記出力値に従い出力信号を判定し、前記出力信号を出力するように設計されている安全制御装置により達成される。

本発明はこのように、計算ユニットのそれぞれにおいて区間演算を使用する第１計算アルゴリズムが適用されるという考えに基づいている。その効果は、浮動小数点値を確実に処理して、その後比較できる許容範囲が可能になることである。その結果、丸め誤差の大きさが小さく維持されるため、計算アルゴリズムを実行するときの安全制御装置の精度が向上する。入力信号が整数の代わりに浮動小数点値で表現することができるため、入力信号を取得するときの精度もまた整数演算よりも向上する。

計算ユニットはマイクロコントローラとして実装されるのが好ましい。好適な実施形態において、安全制御装置に多様な種類の複数の異なる計算ユニットが採用される。例えば、これらは異なる方法で構成することができる。その結果、入力信号の冗長処理および出力信号の冗長判定を用いて非常に高いレベルの安全性が達成される。

区間演算の使用は、特に区間を結果として判定するため、多様なハードウェアおよびソフトウェアの使用を許容する。これで、計算ユニットの結果が互いに異なる場合であっても、異なる計算ユニットの結果区間を互いに比較することができる。

区間演算とは、個々の数値ではなく、値の範囲での計算を可能にする方法である。浮動小数点数を何度も丸め処理しなければならないという冒頭に述べた問題は、入力区間が区間の上限および下限を有する浮動小数点値に基づいて形成されるため克服される。浮動小数点値の正確な値は、両区間限界の間にある。区間演算は修正型の計算を提供し、その支援で入力区間を用いた計算を確実かつ精密に行うことができる。プロセスにおいて行われる丸め処理は、丸め処理に従い区間が自動的に拡大または縮小することを考慮するため、結果区間は精密な結果値を含有する。したがって区間演算とは区間を被演算子として使用する方法をいう。

例えば上記の文献から適した方法が周知であり、その完全な内容はここで参照により組み込まれる。

入力信号はインジケータ装置から取得するのが好ましい。浮動小数点値は入力信号に基づいて判定される。これは、例えば、入力信号がアナログ信号の場合、Ａ／Ｄ変換器で行うことができる。浮動小数点値により、次に浮動小数点値を含有する入力区間が判定する。区間の幅、したがって区間の上限値および下限値を異なる方法で判定することができる。浮動小数点値はここでは高精度を可能にするためにできるだけ密に含むべきである。１つの可能性として、例えばメモリから読み取られる固定区間幅を指定することが挙げられる。好適な実施形態において、区間幅は入力信号の許容値に従い判定することができる。この許容値は、例えばセンサの測定誤差および／またはＡ／Ｄ変換器の精度から取得される。

好適な実施形態において、複数の入力信号が安全制御装置から取得されて、適切なさらなる処理が施される。さらに、区間を正確に表現できない場合、または大量のメモリを使用しなければ実施することができない場合には、計算ユニットに必要な他の被演算子も区間として表現されることが好ましい。この種の被演算子は、例えば、第１計算アルゴリズムに必要な可変値および定数とすることができる。

計算ユニットにおいて、少なくとも第１計算アルゴリズムを入力区間に適用する。第１計算アルゴリズムは、例えば、ソフトウェアとしてまたはハードウェアの形のいずれかで実装することができる。計算アルゴリズムは、例えば逐次的に行われる多数の計算演算を含むことが望ましい。計算アルゴリズムは高次アルゴリズムの一部、例えば単一のプログラムルーティンまたはプログラムモジュールとすることもできる。第１計算アルゴリズムは結果区間が判定されるように区間演算を適用する。結果区間の幅はここでは特に、区間演算の自己検証特性に基づいて実施される誤差推定に依存する。特定の結果区間の区間幅はこのように、精密な値が入るべき可能な限り最小の区間を与えるために最適化される。

複数の計算ユニットの場合、各計算ユニットは、多様性の原則を満たすために、第１計算アルゴリズムのそれ自体の実装を備えるのが好ましい。異なる計算ユニットの第１計算アルゴリズムはこのように、比較可能性を達成するために互いに等価である。しかし、好ましくは、これらは同一ではなく、そこから異なる計算ユニットからの結果区間が異なる値をもつことができることになる。正確な一致が要求されず、むしろ、例えば交差区間の存在が与えられるなど、部分一致で十分であるため、今後これらを互いに比較することができる。

計算ユニットによるさらにその後の第１計算アルゴリズムの実行のために、相応する結果区間を、例えば、さらに処理することができ、または例えば異なる結果区間に基づいて取得した交差区間をさらに処理することが可能である。計算ユニット内での交差区間のその後の処理により、これらは互いに自動的に同期する。このことは、結果区間の区間幅が縮小し、それにより計算精度が向上するため、利点を有する。

さらに安全制御装置は、適切な出力基準が満たされると出力信号を出力する。特定の出力基準は安全制御装置の特定のタスクに依存する。出力基準は、例えば、結果区間のうちの１つが所定値を有する場合に満たすことができる。代わりにまたは追加で、指定される第１計算アルゴリズムの処理が完了した場合に、出力基準が満たされることが考えられる。交差区間が存在しない場合に、出力基準が満たされることも考えられる。この場合、例えば、個々の結果区間を平均化することにより置換値が判定されるように構成されていることが好ましい。これは加重平均を求めることにより行ってもよい。出力基準が満たされると、出力値は少なくとも１つの入力区間に従って判定され、すなわち、計算の正確さを保持するために、特定の値が判定され、好ましくは浮動小数点数として表現されることを意味する。

さらに出力値に従い出力信号が判定される。これは安全制御装置と適した周辺装置との間のインターフェース内で行われるのが好ましい。これは、例えば、Ｄ／Ａ変換器で実施することができる。このことは、出力信号を出力したときに、高精度の出力値が相応する高精度を可能にするという利点を有する。

好適な実施形態において、さらなるプロセスステップが冗長的に実施される。さらに、計算ユニットにおいて別のまたはすべてのプロセスステップが行われることも考えられる。

まとめ合わせると、このように安全制御装置内で入力信号を非常に精密にさらに処理し、出力信号を非常に高精度で判定する手段が提供される。安全な自動化という基本概念がこれで守られるため、高精度で非常に安全な自動化が可能になる。

このように目的は完全に達成される。

本発明の好適な改良形態において、計算ユニットのうちの少なくとも１つの計算精度が判定される。

この改良形態では、計算ユニットのうちの１つが問題の結果区間を判定する計算精度が判定される。計算誤差は特に計算精度の尺度として使用することができる。

計算の精度は、例えば、丸め処理ステップを監視し、その結果区間に対する影響を判定することによって判定できる。多くの数値計算手順などの近似計算方法の精度をここで考慮することも考えられる。

区間演算の使用は結果区間の精度を容易に判定し、それによって出力値の精度を計算精度として容易に判定することも可能にする。これは区間の幅を判定することによって行うことが好ましい。このように、問題の結果区間の精度を評価することができる。

ここでの利点は、既知の計算精度を採用して、安全制御装置の安全な動作が起こっていることを確実にできることである。例えば、結果区間および／または出力信号は計算精度に従って調整することができる。これにより、計算精度に従って誤った出力信号を回避することができるので、単一の計算ユニットのみを備える安全切換装置を浮動小数点値を用いて動作させることも可能になる。

本発明の別の改良形態において、入力区間の区間幅は計算精度に従って判定される。

本発明のこの改良形態では、入力区間を生成する区間幅は自動的に判定され、それから区間の形成時に考慮される。区間幅は計算精度に従って調整される。例えば、すでに実行した計算アルゴリズムを分析することができ、最適な区間幅が判定される。ここでの利点は、区間幅が存在する入力信号に合わせて動的に調整されるため、計算精度が継続的に最適化されることである。

本発明の別の改良形態において、計算精度が閾値未満になる場合、少なくとも１つの反応ステップを行う。

この実施形態では、安全動作に必要な計算精度が得られない場合、少なくとも１つの対策を行う。このように対策は反応ステップの形で行われる。反応ステップは方法のさらなるステップである。これは全体的な所定の対策として、または現行の結果区間に応じた対策として行うことができる。反応ステップは、計算精度が所定の閾値未満になる場合に行われる。計算誤差は計算精度の尺度であるため、これは所定の誤差閾値を超える計算誤差と等価である。ここでの利点は、安全制御装置の安全動作が点検され、積極的に確保されることである。

反応ステップとして、例えば、出力基準を満たすように構成することができる。さらに、所定の値に従い、または別の計算ユニットの結果区間に従い、出力値が判定されるように構成することができる。

別の改良形態において、結果区間のうちの少なくとも１つの結果区間幅を判定し、少なくとも１つの反応ステップは、結果区間幅が最大幅を超える場合に行われる。

この改良形態では、安全制御装置は追加的に、結果区間幅、より精密には結果区間のうちの少なくとも１つの区間幅が監視されるフェールセーフにする。最大幅は、例えば、所定の値として利用することができる。代わりにまたは追加で、結果区間を最大幅を有する基準区間と比較することが考えられる。このように、基準区間が入力区間に基づいてまたは前の結果区間に基づいて判定されるように構成されているのが好ましい。特に、最大幅は入力区間の区間幅に従って判定されるように構成されている。さらに、最大幅は、代わりにまたは追加で、期待値、経験に基づく値、測定精度および／または計算精度に従い判定することができる。

結果区間の区間幅が最大幅を超える場合、少なくとも１つの反応ステップを行う。ここでは、計算アルゴリズムの固有シーケンスによりあらゆるサイズの区間幅をもつ結果区間を導くおそれがあるセーフティクリティカル障害が非常に効果的に排除されることが有利である。安全制御装置の安全性はこのように一般にさらに向上する。

本発明の別の改良形態において、計算ユニットの結果区間はときどき区間重複が点検され、結果区間のうちの少なくとも１つが別の結果区間の範囲外にある場合、少なくとも１つの反応ステップを行う。

この改良形態では、結果区間は互いに繰り返し比較される。例えば交差区間として計算できる区間重複が判定される。このように交差区間は２つの異なる計算ユニットからの少なくとも２つの結果区間の値の共通範囲を含有する。あるいは、区間限界の比較を行うことが考えられる。有利なことに、結果区間の比較可能性を活用し、それによって安全切換装置の安全動作を点検する単純な手段が提供される。

好適な改良形態では、区間重複は定期的な間隔で判定されるので、安全制御装置の安全で正確な動作が特によく確保される。これは、例えば、所定の時間間隔で、または第１計算アルゴリズムの特定の計算ステップの完了後に行うことができる。

反応ステップとして、例えば、出力基準が満たされるように構成することができる。さらに、出力値を所定の値または別の計算ユニットの結果区間に従って判定するように構成することができる。

本発明の別の改良形態において、結果値は浮動小数点値に従い少なくとも１つの計算ユニットを用いて判定し、それぞれの場合において、第１計算アルゴリズムのうちの１つと等価な少なくとも１つの別の第２計算アルゴリズムを浮動小数点値に適用する。

この改良形態では、第２計算アルゴリズムが実行される。これは第１計算アルゴリズムと並列して行う。好ましくは、これは計算ユニットのうちの１つで第１計算アルゴリズムに加えて行われる。第１および第２の計算アルゴリズムは互いに等価であり、第１計算アルゴリズムは区間演算を適用して区間を扱い、第２計算アルゴリズムは代替演算を使用して具体的な値を用いて計算するのが好ましい。この代替演算は、例えば浮動小数点演算または固定小数点演算とすることができる。ここでの「等価」の意味は、第２計算アルゴリズムが第１計算アルゴリズムと同じステップまたは等価のステップを行うことである。

このように、比較可能な結果区間は計算ユニットで第１計算アルゴリズムによって判定することができる。第２計算アルゴリズムは、第１計算アルゴリズムの結果を結果値に基づいて点検することを可能にする。ここでは、結果区間を点検でき、結果値に基づいてさらに制約できるので、過度に大きく、それにより精密でない結果区間が避けられることが有利である。ここでの別の利点は、精密な結果値が存在すると同時に、結果区間により結果の比較可能性が可能となり、それによって安全切換装置の動作がさらに精密に安全になることである。

さらに、結果値に従い、別の第１計算アルゴリズムに使用する区間を判定することができる。このために、結果値から一定量の分だけ異なる適切な値を結果区間に基づいて判定するのが好ましい。さらに区間上限および区間下限を画定するために、この量をその後の区間の形成時に使用することができ、より精密な結果値から始めて、区間上限についてはその量を結果値に加算し、区間下限についてはその量を減じる。ここでの利点は安全制御装置のより単純で、しかも安全な動作である。

本発明の別の改良形態において、結果値を結果区間のうちの少なくとも１つと比較し、さらに結果値が結果区間の範囲外にある場合、最低でも１つの反応ステップを行う。

この改良形態では、結果区間は追加的に結果値により検証される。第２計算アルゴリズムからの結果値は、この目的のためには、別の計算ユニットの結果区間と比較するのが好ましい。すなわち、結果区間と結果値とを「クロスチェック」として比較する。ここで結果値は、動作が安全であるために比較される該当の結果区間内になければならない。そうではない場合、反応ステップを行う。

本発明の別の改良形態において、反応ステップは計算ユニットのうちの少なくとも１つのプロセスを停止する。

この改良形態では、プロセスは反応ステップとして停止される。これは、別の計算ユニットが冗長動作を可能にし続けている場合、１つだけの計算ユニットで起こすことができる。また、安全制御装置全体の動作を停止することもできる。

好適な改良形態では、出力基準がさらに満たされるようにも構成される。別の好適な改良形態では、安全制御装置が制御するマシンの安全な状態を確保する所定の出力信号を出力する。

ここでの利点は、生じうる誤った出力信号に基づくマシンの制御が効果的に防止されることである。

本発明の別の改良形態において、反応ステップは計算ユニットのうちの少なくとも２つを同期させる。

この改良形態では、計算ユニットの共通値との同期が反応ステップとして行われ、前記共通値は動作継続の根拠として提供される。例えば、ここでは入力区間、結果区間または繰り返される計算アルゴリズムのために供給される値を同期させることができる。有利な態様では、これは安全制御装置自体の処理の点検、そのためさらに高い安全性の確保を提供する。

完全性のために、反応ステップの異なるトリガが別の形で構成された反応ステップを生じさせることもできることを指摘する。複数の異なる反応ステップを同時にトリガすることも可能である。

本発明のある改良形態において、入力信号はデータバスから取得する。

この改良形態では、安全制御装置はデータバスから、つまりデジタル形式で入力信号を受信する。このように、安全制御装置を、例えば、入力モジュールと接続することが可能になる。入力モジュールはさらに関連インジケータ装置からのデータを受信して、これをデジタル形式に変換する。特に、入力信号自体をすでに浮動小数点数の形で安全制御装置に伝達する可能性が生まれる。この場合、入力信号は直接浮動小数点値に対応させることができる。

ここでの利点は、安全制御装置を備える構成のモジュラー構造が可能になることであり、安全制御装置は異なる入力モジュールと合わせて機能させることができる。このように、モジュラー構造が出現し、単一の安全制御装置は入力モジュールを調整する異なるインジケータ装置と単純な方法で接続することができる。

別の改良形態において、出力信号はデータバスに出力される。

この改良形態では、安全制御装置はデータバスに、すなわちデジタル形式で出力信号を送信する。このように、安全制御装置を例えば出力モジュールに接続することが可能である。出力モジュールはさらにマシンの安全関連の操作変数を制御する対応するアクチュエータに信号を送信する。特に、出力信号自体を浮動小数点数の形でアクチュエータに伝達する可能性が生まれる。この場合、出力値は直接出力信号に対応させることができる。

ここでの利点は、安全制御装置を備える構成のモジュラー構造が可能となり、安全制御装置は異なる出力モジュールと合わせて機能させることができることである。このようにモジュラー構造が出現し、単一の安全制御装置を出力モジュールを調整する異なるアクチュエータと単純な方法で接続することができる。

データバスとして、例えばＣＡＮバスまたはＳａｆｅｔｙＢＵＳを採用することができる。

ＣＡＮバスは、業界で広く利用されており、このように安全制御装置の経済的な実装および比較可能性が達成されるという利点を有する。ＳａｆｅｔｙＢＵＳは、特別に安全関連目的に合わせられるので、ＳａｆｅｔｙＢＵＳの使用により特に高い動作の安全性が達成されるアーキテクチャという利点を有する。

別の改良形態において、マシンの安全関連状態パラメータのアクチュエータは出力信号によって制御する。

この改良形態では、高精度の出力信号を採用して、マシンを非常に精密に安全に制御する。状態パラメータとして、例えば温度、圧力、回転速度または空間内の位置（例えば、フライス盤の工具位置）を制御するマシンに応じて考慮してもよい。ここでの利点は、セーフティクリティカルシステムだけを監視するのではなく、非常に精密に制御することもできることである。

別の改良形態において、マシンの安全関連状態パラメータを取得するセンサのセンサ信号を入力信号として取得する。

この改良形態では、入力信号はマシンの状態パラメータに対応する。高精度のために、状態パラメータは安全制御装置内で直接別に処理することができる。特に好適な実施形態では、マシンの調節はマシンの状態パラメータのためにアクチュエータによって取得した状態パラメータに基づいて起こる。

状態パラメータに適切なセンサは、温度センサ、圧力センサ、回転速度センサおよび／または位置測定センサなどのセンサとして考えることが好ましい。

別の改良形態において、緊急停止ボタンからの切換信号を受信することができる。

この改良形態では、緊急停止ボタンは安全制御装置に接続されている。緊急停止ボタンからの切換信号は安全制御装置で受信する。これは出力基準を満たすように使用することができる。すなわち、緊急停止ボタンが押されて、切換信号がトリガされる場合、出力信号が出力される。代わりにまたは追加で、緊急停止ボタンの切換信号が取得されると、出力値が所定値に従い判定される結果、制御されるマシンの既知で所定の状態がセットアップされるようにすることが考えられる。

上記述べた特徴およびさらに以下説明する特徴は、記載される組み合わせのそれぞれで使用可能なだけでなく、本発明の範囲を逸脱することなく、他の組み合わせまたは単独でも使用可能であることは言うまでもない。

第１マシン設備の安全制御装置の第１の実施形態の模式図である。 第２マシン設備の安全制御装置の第２の実施形態の模式図である。 データバスに関連した第２マシン設備の安全制御装置の第３の実施形態の模式図である。 本発明による方法の好適な実施形態のフローチャートである。 追加的に計算精度を判定する図４のフローチャートの詳細図である。 追加で結果値を判定する図４のフローチャートの詳細図である。 結果区間を冗長的に判定する信号曲線の模式図である。 結果値を追加で判定する信号曲線の模式図である。

本発明の実施形態を図面に図示し、以下の説明において詳細に説明する。

図１において、新規な安全制御装置の実施形態を備える設備を、全体として参照番号１０で表す。

設備１０はここでは例えばロボット１２を内蔵し、作業動作時、その動きはロボット１２の作業エリア内にいる人にとって危険を及ぼす。このため、ロボット１２の作業エリアは、安全ドア１６を備える安全柵１４で保護されている。安全ドア１６は、例えば整備作業またはセットアップ作業のために、作業エリアへの立ち入りを可能にする。通常の作業動作では、ロボット１２は安全ドア１６が閉じている場合にのみ動作するべきである。安全ドア１６が開くとすぐに、ロボット１２はスイッチが切られ、またはなにか他の方法で安全状態がもたらされなければならない。

安全ドア１６の状態を検出するために、ドア部品２０およびフレーム部品２２を有している安全ドアスイッチ１８が安全ドア１６に装着されている。フレーム部品２２はケーブル２４に安全ドア信号を生成し、これはケーブル２４を介して入力信号として安全制御装置２６に渡される。

安全制御装置２６は多数のデバイス接続部を備える入力ユニット２８を有しており、ケーブル２４はデバイス接続部のうちの１つを介して入力ユニット２８に接続されている。入力信号を生成するために、入力ユニット２８はパルス信号をフレーム部品２２に伝送する信号線３０に接続されるようにも構成されている。

ケーブル２４の入力信号は入力ユニット２８で浮動小数点値に変換される。浮動小数点値は浮動小数点数のデータタイプで表現されるデジタル値である。浮動小数点値は信号線３２および３４を介して計算ユニット３６および３８に渡される。

計算ユニット３６および３８はそれぞれマイクロコントローラとして実装されている。ここでのマイクロコントローラは異なる構成をしているので、多様なハードウェア構造が生まれる。浮動小数点値に従う入力区間が各計算ユニット３６および３８のそれぞれで形成される。この後、計算ユニット３６および３８のそれぞれで独立して第１計算アルゴリズムが実行される。計算ユニット３６および３８内に採用されている第１計算アルゴリズムは多様な実装の形もとっているので、このように非常に高い安全性が確保される。

中間結果または最終結果を表した結果区間(result interval)は、矢印４０および４２を介して比較ユニット４４および４６に渡される。比較ユニット４４および４６は、矢印４８および５０を介して、他の計算ユニット３６または３８からの相応する結果区間も受信する。結果区間は比較器ユニット４４および４６内で互いにも比較される。結果区間が重複する場合、出力基準が満たされているかどうかの点検を行う。ここでは結果区間が開いた安全ドア１６に対応する共通値を含有する場合に、出力基準が満たされる。

図１に示すケースでは、次に出力信号はドア１６が開くと伝送される。この場合、比較ユニット４４，４６はそれぞれ出力値を判定する。出力値はここではトランジスタ５２または５４への電流の十分な供給に対応する。このようにこれらは、出力値に基づいて、出力線５６および５８に冗長的に出力することのできる出力信号を生成する。二重矢印６０で模式的に図示するように、計算ユニット３６および３８は互いに同期させることができるようにも構成されている。同期は定期的に、および／または相応するトリガに対する反応ステップとして行うことができる。出力信号はケーブル５６および５８を介して接触器６２および６４に渡され、これが出力信号に反応してロボット１２への電力６６の供給を遮断する。

安全制御装置２６は追加的に入力ユニット２８からケーブル７０および７２によって緊急停止ボタン６８に接続されている。緊急停止ボタン６８が作動する場合、切換信号がケーブル７２を介して安全制御装置２６に渡される。この切換信号を受信すると、計算ユニット３６および３８はそのように認識し、出力基準が即座に満たされる。実施形態では、それから出力値は、接触器６２および６４が電力供給６６を遮断するように、トランジスタ５２および５４に十分な電流を供給するための所定値に自動的に設定される。

図２は、安全制御装置を備える別の設備を図示しており、全体を参照番号７４で特定される。設備７４は電気モータ７６を備えており、その回転速度は回転速度センサ７８から取得される。回転速度に関する情報はケーブル８０を介して、回転速度を調節する安全制御装置８２に渡される。

安全制御装置８２は、図１の入力ユニット２８に対応する入力ユニット２８を備えている。図１と同様に、ケーブル７０および７２を備える緊急停止ボタン６８も設けられている。入力ユニット２８からの浮動小数点値はケーブル３２および３４を介して計算ユニット３６および３８に渡される。計算ユニット３６および３８により決定された結果区間(result interval)は、ケーブル８４および８６を介して単一の比較ユニット８８に渡される。比較ユニット８８は結果区間どうし区間重複が存在するかどうかを点検する。

そうである場合、出力値が判定される。これは、例えば、平均化により、または結果区間のうちの１つもしくは複数の加重平均により行うことができる。このように形成される出力値はＤ／Ａ変換器の形態の出力ユニット９０を介して、および出力ケーブル９２を介して、電力用電子ユニット９４に渡される。電力用電子ユニット９４は出力信号を受信して、出力信号に従い制御信号を生成し、それがケーブル９６から電力モータ７６に渡される。

区間重複が存在しない場合、２つの結果区間に従い、置換値が平均化により判定されて、これが出力ユニット９０に渡される。同時に計算ユニット３６および３８は矢印６０により互いに同期する。

代わりにまたは追加で、区間重複が存在しない場合に出力基準を満たすように構成される。この場合、出力値は、例えば回転速度を０、または低くて安全な回転速度にすることができる所定値に設定することが好ましい。このように電気モータ７６は、結果区間が少なくとも部分的に一致しない場合に、スイッチを切るか、または安定状態にする。

緊急停止ボタン６８が押されると、設備７４の安全状態への相応する移行が起こる。

図３は別の設備を図示しており、全体を参照番号９８で示されている。安全制御装置９９が外部入力モジュール１００および外部出力モジュール１０２と合わせて動作する点が、図２の設備７４とは異なる。

この実施形態では、入力モジュール１００はケーブル８０で信号を受信し、それをデジタル信号に変換して、ＳａｆｅｔｙＢＵＳ１０４で入力信号として安全制御装置９９に渡す。相応するように、出力信号はＳａｆｅｔｙ ＢＵＳ１０４でデジタル値として出力モジュール１０２に渡されて、これがケーブル９２で制御信号を電力用電子ユニット９４に渡す。

入力モジュール１００はデジタル値をケーブル８０からの信号に従い浮動小数点数の形で判定する。デジタル値はＳａｆｅｔｙ ＢＵＳ１０４で渡される。このようにケーブル８０からの信号は特に精密に評価することができ、さらに安全制御装置９９によって処理することができる。また、デジタル値はＳａｆｅｔｙ ＢＵＳ１０４で出力信号として浮動小数点数の形で出力モジュール１０２に渡されるので、きわめて精密な信号を出力することができる。これにより設備９８を制御および／または調節をする安全制御装置９９を備えるシステムのモジュラー構造が得られる。このように安全制御装置９９は異なる設備で採用することができ、そこで適切なモジュールをインジケータ装置およびアクチュエータの要件に応じて選択できる。

図４は全体として参照番号１０５で特定されるフローチャートを図示する。フローチャート１０５は本発明による方法の実施例を説明する。

ステップ１０６で、安全制御装置から入力信号が受信される。これは、例えば、デジタルまたはアナログ入力信号とすることができる。

ステップ１０８で、浮動小数点値が判定され、浮動小数点数として表現される。浮動小数点値の具体的な数値はここでは入力信号から得られ、これは、アナログ入力信号の場合、例えばＡ／Ｄ変換器によって判定することができる。

ステップ１１０で、浮動小数点値に基づいて少なくとも１つの入力区間が判定される。このために、区間上限および区間下限が画定され、浮動小数点はこれらの２つの区間限界の間にある。浮動小数点値からの区間限界の距離は多様な方法で画定することができる。ここでは、メモリから読み取られる所定の値を使用して行われる。さらに、ステップ１１０で、後の計算のために追加演算子を準備する必要のある別の区間が画定される。

また、入力区間の判定を冗長的に行って、２つの入力区間を１つの浮動小数点値に基づいて異なる計算ユニットで並列して判定することも考えられる。

ステップ１１２および１１４で、さらに入力区間が処理されるが、これは並列して行われる。計算ユニットはここではそれぞれが１つの結果区間を判定し、ここではより明確に区別するために、結果区間Iおよび結果区間IIという。結果区間IおよびII入力区間に基づいて、また追加パラメータに従って第１計算アルゴリズムで判定される。

結果区間IおよびIIは別のステップ１１６に移る。ステップ１１６では、区間重複が、例えば交差区間の形で判定される。これは単純集合演算から行うことができる。

区間重複は別のステップ１１８に移る。これは区間重複が存在するかどうかを点検する。区間重複が存在する場合、次のステップ１２０で、この区間重複が出力基準を満たすかどうかの点検が行われる。区間重複が出力基準を満たす場合、あるいは結果区間が出力基準を満たす場合、ステップ１２２で区間重複または結果区間に従い出力値が判定される。この出力値はここでは区間重複を平均して計算する。その結果、浮動小数点数は、今度は出力値として得られる。

浮動小数点数に従い、別のステップ１２４で出力信号が生成される。これは、例えば、Ｄ／Ａ変換器を使用して行うことができる。

最後に、ステップ１２６で、安全制御装置と信号を交換することのできる周辺機器に出力信号が出力される。

ステップ１２０から続けると、出力基準が区間重複によって満たされない場合、制御は矢印１２８から別の第１計算アルゴリズムにループバックする。これにより、第１計算アルゴリズムに進んだ後、ステップ１１２および１１４で結果区間が比較可能な結果を供給し続けているかどうかの判定を定期的に行うと同時に、第１計算アルゴリズムのシーケンスからなる、より複雑なプログラムの処理が遮断されていないかどうかの判定を定期的に行う。

ステップ１１８から続けると、区間重複が存在しない場合、制御は次にステップ１３０に移る。ステップ１３０で、置換値が反応ステップとして判定され、これは、例えば、結果区間IおよびIIの平均化により行うことができる。この値が次に計算ユニットに戻って、別の反応ステップとして、同期６０が起こる。代わりにまたは追加で、置換値はここでは破線で示す矢印１３２を経由してステップ１２０に出力することが考えられる。ステップ１２０で、置換値が含まれていること、したがって区間重複が存在しないことがこのとき認識される。この情報の違いに基づいて、別の反応ステップを実行することができる。ある反応ステップは、選択基準を満たすことである。ステップ１２２で置換値はまた出力値の判定にも使用される。代替例として、安全制御装置または手順が停止されることが考えられる。

ステップ１３４で、緊急停止ボタン６８の緊急停止信号が検出されるようにも構成されている。これはステップ１２０に移り、そこで出力基準を満たすことができる。緊急停止信号により出力基準を満たすことは、今度は、異なる結果をもつことができる。一方で、現在の出力値の出力を強制することができる。あるいは、ステップ１２２で、例えば、破線矢印１３６によって図示するように、緊急停止信号に基づいて出力値自体が形成されることが考えられる。別の代替例として、緊急停止信号によって出力基準が満たされるとき、出力値が所定値に従って判定されることが考えられる。

これを考え合わせると、方法の冗長処理、多様なハードウェアおよびソフトウェアを使用する可能性、および方法を証明する可能性などの側面が同時に考慮される浮動小数点数を用いた計算を可能にする方法がもたらされる。

ここに図示されていない別の実施形態では、図示するステップの全部を単一または多重の冗長性で設計してもよいので、このように安全性が一層向上する。

図５は図４の方法の詳細を示しており、ステップ１１２および１１４で追加の計算精度IおよびIIが判定される。ステップ１１２の計算精度Iはステップ１３８でステップ１１２と並列して判定される。同様に、計算精度IIは、ステップ１４０でステップ１１４と並列して判定される。

計算精度は、例えば、第１計算アルゴリズム内の丸め処理プロセスおよび数値推定手順が記録されて、それらの誤差が合算されて判定することができる。

計算精度IおよびIIはステップ１４２、およびそれに応じて１４４に移行する。ステップ１２０および１４４では、計算精度IおよびIIは関連閾値と比較される。計算精度IおよびIIが閾値より上にある場合、アクションは起こらない。しかし、関連閾値未満になる場合、ステップ１４６で別の置換値の判定が行われ、ステップ１１２および１１４からの結果区間もこのためにステップ１４６に移行する。ステップ１４６からの置換値はさらに、計算ユニットでの同期６０を行うために使用される。

代替構成では、ステップ１２０または１４４から値が閾値のうちの１つ未満になる場合に、ステップ１２０で出力基準が満たされる。これは破線で描く矢印１４７および１４８によって図示されている。

閾値未満になって出力基準が満たされると、今度は出力値を最後の区間重複に従い判定する、または出力値をこの数の所定値に基づいて判定することが可能である。

図６も図４のフローチャートの詳細を図示している。図４に図示するステップに加えて、結果値IおよびIIは結果区間に関しても第１計算アルゴリズムの処理と並列して判定される。これはステップ１５０および１５２で行われる。浮動小数点値はステップ１０８からステップ１５０および１５２に移行する。ステップ１５０および１５２において、各ケースで調整される第２計算アルゴリズムを浮動小数点数に適用するので、結果値IおよびIIを判定することができる。ステップ１５０および１５２からの第２計算アルゴリズムは各ケースにおいてステップ１１２および１１４の第１計算アルゴリズムと等価である。計算を区間について行わない点が、ステップ１１２および１１４の第１計算アルゴリズムとは異なる。

結果値IおよびIIはステップ１５４および１５６に移行する。ステップ１５４で、ステップ１５０からの結果値Iをステップ１５２からの結果区間IIと比較する。結果値Iが結果区間IIの範囲内にある場合、さらなる措置は取らない。結果値Iが結果区間IIの範囲内にない場合、ステップ１４６で別の置換値が判定されて、ステップ１４６がステップ１１２および１１４からの現在の結果区間IおよびIIを含有する。その後反応ステップとして同期６０が行われる。あるいは、図５に図示するように、出力基準は相応して矢印１５８によって満たすことができる。その結果、ここでも出力基準を要件に応じて異なる方法で判定することが可能である。

ステップ１５６はステップ１５４と相応して動作し、ここではステップ１５２からの結果値IIがステップ１５０からの結果区間Iの範囲内にあるかどうかに関する点検が行われる。

完全性のために、方法は図４、図５または図６の個々の実施形態に限定されるのではなく、むしろ異なる変型の組み合わせが可能であることをここで指摘する。

図７は本発明による安全制御装置内の信号曲線１６０を示す。入力信号１６２は矢印１６４を介して計算ユニット３６および３８に渡される。両計算ユニット３６および３８は、異なる構成であるが同等な態様で動作する。

入力信号１６２は数値尺度１６８上に表現される浮動小数点値１６６に変換される。矢印１７０は次のステップを示している。ここで、浮動小数点値１６６に従い区間上限１７４および区間下限１７６を備える入力区間が判定される。これと並列して、メモリ１７８から矢印１８０を介してパラメータ値１８２が読み取られる。パラメータ値１８２も数値尺度１８４上で表現される。矢印１８６では、区間上限１９０および区間下限１９２を備える区間１８８が形成される。

第１計算アルゴリズム１９４は幅広の矢印として図示されている。入力区間１７２および区間１８８がこの計算アルゴリズムに渡される。第１計算アルゴリズムはさらに結果区間１９６を判定する。

相応するように、結果区間１９６とは異なる結果区間１９８が計算ユニット３８で判定される。

結果区間１９６および１９８は矢印２００および２０２を介してまとめられる。その後区間重複２０４が判定される。すでに説明し、ここでは矢印２０６で図示されるように、出力信号２０８が形成されるように最終的にさらなるステップを行うことができる。

図８は単一の計算ユニット２１０の別の信号曲線を示す。これは図７の計算ユニット３６の信号曲線を含み、ここでは同じ参照番号が振られている。さらに、ここでは幅広の矢印として図示される第２計算アルゴリズム２１２が実行される。第２計算アルゴリズム２１２は直接浮動小数点値１６６およびパラメータ値１８２に従って結果値２１４を判定する。結果区間１９６を検証するために、結果区間１９６および結果値２１４は矢印２１６および２１８を介して互いに比較される。これを行うとき、結果区間１９６が出力される。

ここに図示していない別の実施例において、結果区間１９８を検証するために、計算ユニット３６からの結果値２１４は計算ユニット３８の結果区間１９８と比較される。

Claims (16)

1. アクチュエータ（６２，６４，９４）に接続された安全制御装置（２６，８２，９９）の動作方法であって、
   （ａ）複数の計算ユニット（３６，３８）を提供するステップと、
   （ｂ）入力信号（１６２）を取得するステップと、
   （ｃ）前記入力信号（１６２）に基づいて浮動小数点値（１６６）を判定するステップと、
   （ｄ）前記浮動小数点値（１６６）を含有する入力区間（１７２）を判定するステップと、
   （ｅ）前記複数の計算ユニット（３６，３８）のうち少なくとも１つの計算ユニット（３６，３８）が、区間演算を行う第１計算アルゴリズム（１９４）を前記入力区間（１７２）に適用して、結果区間（１９６，１９８）を判定するステップと、
   （ｆ）前記結果区間（１９６，１９８）に基づいて、安全制御装置（２６，８２，９９）が動作するための出力基準が満たされているかどうかを判定するステップと、
   （ｇ）前記出力基準が満たされる場合、前記アクチュエータ（６２，６４，９４）を動作させるための出力値を判定するステップと、
   （ｈ）前記出力値に従い出力信号（２０８）を判定するステップと、
   （ｉ）前記出力信号（２０８）を出力するステップと、
   を含む方法。
2. 前記第１計算アルゴリズム（１９４）の計算精度を判定する、請求項１に記載の方法。
3. 前記計算精度に従い前記入力区間（１７２）の区間幅を判定する、請求項２に記載の方法。
4. 計算誤差が所定の誤差閾値を超える場合、少なくとも１つの反応ステップ（６０）を行う、請求項２または請求項３に記載の方法。
5. 前記結果区間（１９６，１９８）のうちの少なくとも１つの結果区間幅を判定し、前記結果区間幅が最大幅を超える場合、少なくとも１つの反応ステップ（６０）を行う、請求項１に記載の方法。
6. 前記結果区間（１９６，１９８）を適宜、区間重複（２０４）について点検し、前記結果区間（１９６，１９８）のうちの少なくとも１つが別の結果区間（１９６，１９８）の範囲外にある場合、少なくとも１つの反応ステップ（６０）を行う、請求項１に記載の方法。
7. 前記第１計算アルゴリズム（１９４）と等価である少なくとも１つの別の第２計算アルゴリズム（２１２）を前記浮動小数点値（１６６）に使用することによって、結果値（２１４）を判定する、請求項１に記載の方法。
8. 前記結果値（２１４）を前記結果区間（１９６，１９８）と比較し、前記結果値（２１４）が前記結果区間（１９６，１９８）の範囲外にある場合、少なくとも１つの反応ステップ（６０）を行う、請求項７に記載の方法。
9. 前記反応ステップが行われたとき、前記少なくとも１つの計算ユニット（３６，３８）のプロセスを停止する、請求項４、請求項５、請求項６および請求項８のいずれか１項に記載の方法。
10. 前記反応ステップ（６０）が行われたとき、前記計算ユニット（３６，３８）のうちの少なくとも２つにおいて、入力区間、結果区間または繰り返される計算アルゴリズムのために供給される値を同期させる、請求項４、請求項５、請求項６、請求項８および請求項９のいずれか１項に記載の方法。
11. 前記入力信号（１６２）はデータバス（１０４）から取得する、請求項１から請求項１０のいずれか１項に記載の方法。
12. 前記出力信号（２０８）は前記データバス（１０４）に出力される、請求項１から請求項１１のいずれか１項に記載の方法。
13. マシン（１２，７６）の安全関連状態パラメータのアクチュエータ（６２，６４，９４）は前記出力信号（２０８）によって制御される、請求項１から請求項１２のいずれか１項に記載の方法。
14. マシン（１２，７６）の安全関連状態パラメータを取得するセンサ（２２，７８）のセンサ信号を入力信号（１６２）として取得する、請求項１から請求項１2のいずれか１項に記載の方法。
15. 緊急停止ボタン（６８）からの切換信号を受信することができる、請求項１から請求項１４のいずれか１項に記載の方法。
16. アクチュエータ（６２，６４，９４）に接続され、複数の計算ユニット（３６，３８）を備える安全制御装置（２６，８２，９９）であって、
    前記安全制御装置は、入力信号（１６２）を取得し、前記入力信号（１６２）に基づいて浮動小数点値（１６６）を判定し、前記浮動小数点値（１６６）を含有する入力区間（１７２）を判定し、前記複数の計算ユニット（３６，３８）の少なくとも一つ１つの計算ユニットが区間演算を行う第１計算アルゴリズム（１９４）を前記入力区間（１７２）に適用して結果区間（１９６，１９８）を判定し、前記結果区間（１９６，１９８）に基づいて、安全制御装置（２６，８２，９９）が動作するための出力基準が満たされているかどうかを判定し、前記出力基準が満たされる場合に前記アクチュエータ（６２，６４，９４）を動作させるための出力値を判定し、前記出力値に従い出力信号（２０８）を判定し、前記出力信号（２０８）を出力するように構成されている安全制御装置（２６，８２，９９）。

Images