JP6205725B2 - 制御システム、制御装置、制御システムの制御方法、および制御プログラム - Google Patents

Description

本発明は、負荷の稼働を制御するための制御システム、制御装置、制御システムの制御方法、および制御プログラムに関し、特に、設備の安全性を確保するための制御システム、制御装置、制御システムの制御方法、および制御プログラムに関する。

自動車の製造ライン、工作機器、あるいは半導体製造装置などの設備を用いる生産現場では、作業者の安全に対する設備のリスクを低減するために、安全制御システムが設けられる。安全制御システムは、コンタクタあるいはコントローラなどを含んで構成される。安全制御システムは、安全が確保されている状態においては、設備の動力源としての負荷（たとえばモータ）に電力を供給する。一方、安全でない状態（たとえば非常停止ボタンが押された場合）においては、負荷に供給される電力をコンタクタによって遮断する。このようにして、安全制御システムは、設備の動作に起因するリスクの低減を図る。

従来より、設備のリスクの大きさの見積もりと、それに応じた安全制御システムの性能基準については、欧州規格ＥＮ９５４−１、あるいは、それをベースとした国際規格ＩＳＯ１３８４９−１の「カテゴリ」で表現するのが一般的である。「カテゴリ」とは、安全制御システムのアーキテクチャ（構造）であり、これまで培われてきたスイッチやリレーの接点技術に代表されるような電気機構部品による、いわば確定的な技術に立脚したものである。

図１１は、ＩＳＯ１３８４９−１で定義されたカテゴリを説明する図である。図１１を参照して、ＩＳＯ１３８４９−１では「Ｂ」、「１」、「２」、「３」、「４」の５段階のカテゴリが規定されている。カテゴリが「Ｂ」から「４」へと進むに従って、性能基準の達成レベルが高くなる。

また、ＩＳＯ１３８４９−１の改訂版では、安全制御システムの評価の指標として、「ＰＬ（パフォーマンスレベル）」と呼ばれる「ａ」から「ｅ」の５段階の指標が定義される。ＰＬとは、従来の「カテゴリ」の概念に「信頼性」、「品質」の概念を取り入れたものであり、平均危険側故障時間(ＭＴＴＦｄ)、ＤＣａｖｇ（Average Diagnostic Coverage）、共通原因故障(ＣＣＦ)が評価される。ＰＬによって、実際の使用状況に沿って安全制御システムを定量的に評価することができる。

なお、ＩＳＯ１３８４９−１の改訂版の正式名称は、「ISO13849-1(Second edition 2006-11-01) Safety of machinery Safety-related parts of control systems, Part 1：General principles for design：機械類の安全性−制御システムの安全関連部−第１部：設計のための一般原則）」である。以下では、ＩＳＯ１３８４９−１の改訂版を「ＩＳＯ１３８４９−１：２００６」と呼ぶこともある。また、特に区別する必要がない場合には、ＩＳＯ１３８４９−１の旧版および改訂版を「ＩＳＯ１３８４９−１」と総称することとする。

ＩＳＯ１３８４９−１：２００６では、各カテゴリに求められる安全制御システムの要件は、旧版の内容と変わらない。ただし、それぞれの安全制御システムを、Ｉ（入力機器）、Ｌ（論理演算機器）、Ｏ（出力機器）の３部分を軸にして、それぞれの特徴が分かりやすく図式化されている。

図１２は、ＩＳＯ１３８４９−１：２００６によって示された、各カテゴリに求められる安全制御システムの要件を説明するためのブロック図である。カテゴリ２〜４の要求事項には、入力機器および出力機器の異常を検出することが含まれる。

図１２を参照して、カテゴリＢ、カテゴリ１に適用される構造は、Ｉ，Ｌ，Ｏによって実現可能である。カテゴリ２に適用される構造は、たとえば上記Ｉ，Ｌ，ＯにＴＥ（点検機器）を加えることによって実現可能である。なお、カテゴリ２に適用される構造は、たとえばＩ，Ｏ，ＴＥによって実現することもできる。ＯＴＥは、ＴＥの出力に基づく動作を実行するための機能である。ＯＴＥは、たとえばＯに含まれる機能でもよいし、上記Ｉ，Ｌ，Ｏとは別個の装置の機能であってもよい。

たとえば特開２０１１−１４５８７７号公報（特許文献１）には、ＩＳＯ１３８４９−１のカテゴリ２に準拠する制御システムが開示されている。特許文献１の制御システムは、ドアスイッチと、コンタクタと、ＰＬＣ（Programmable Logic Controller）とを備える。電力供給部は、ドアスイッチからの信号に基づいて、モータへの電力の供給およびモータへの電力の供給を遮断するように構成される。ＰＬＣは、ドアスイッチおよびコンタクタを監視するとともに、その監視結果をコンタクタに出力する。ＰＬＣは、機器を監視する機能およびその監視結果を出力する機能を有するものの、安全関連の制御を実行する機能を有していない。ドアスイッチおよびコンタクタのいずれか一方が異常であることがＰＬＣによって検出された場合、コンタクタは、そのＰＬＣの監視結果によってオフされる。

上述のように、ＩＳＯ１３８４９−１のカテゴリ２に適用される構成は、Ｉ（入力機器）、Ｏ（出力機器）、およびそれらをモニタリングするＴＥ（点検機器）によって実現可能である。特許文献１によれば、制御システムは、入力機器としてのドアスイッチ、出力機器としてのコンタクタ、および点検機器としてのＰＬＣを備える。したがって、特許文献１に開示された構成によれば、ＩＳＯ１３８４９−１のカテゴリ２に準拠する制御システムを構築することができる。

図１２に戻り、カテゴリ３，４に適用される構造は、カテゴリ２におけるＩ，Ｌ，Ｏを二重化することによって実現可能である。カテゴリ４は、カテゴリ３よりも高い検出能力が要求される。カテゴリ３，４では、ＬがＬ１およびＬ２に二重化される。Ｌ１およびＬ２は、クロスモニタリングによって互いに正常であることを確認し合う。それに加えて、Ｌ１およびＬ２は、出力機器としてのＯ１およびＯ２をそれぞれモニタリングして、Ｏ１およびＯ２の異常をそれぞれ検出する。

より具体的に、Ｌ１およびＬ２は、たとえば二重化されたＭＰＵ（Micro Processing Unit）である。Ｏ１およびＯ２の各々はコンタクタであって、同一の負荷に設けられる。たとえばＯ１に異常が発生した場合、Ｌ１がそれを検出する。Ｌ２は、Ｏ１に異常が発生した旨の通知をＬ１から受けて、Ｏ２を制御する。これによりＯ２が負荷への電力の供給を遮断する。

特開２０１１−１４５８７７号公報

設備のリスクと作業者の安全性とを考慮して、安全制御システムが満たすべき規格が定められる。上述のように、たとえばＩＳＯ１３８４９−１のカテゴリ３，４に準拠するような高い安全性を要求される安全制御システムでは、負荷への電力の供給を遮断するための構成要素を二重化する必要がある。このように、安全制御システムでは、安全に関する堅牢性が求められる。

生産現場では、設備の動力源として複数の負荷が存在することが多い。負荷ごとに安全制御装置を設けることも考えられる。しかし、安全制御装置は高価である。このため、一般に、１台の安全制御装置は複数の負荷を制御するように構成される。１台の安全制御装置に接続される負荷の数は、使用者の想定する使い方に応じて異なる。また、安全制御装置がそれらの負荷の各々をどのように制御すべきかも、使用者の想定する使い方に応じて異なる。このように、安全制御システムには、使用者の使い方に対応する柔軟性も求められる。

一般に、安全に関する堅牢性と使用者の使い方に対応する柔軟性とは、両立しにくいことが多い。安全制御システムにおいては、１台の安全制御装置に接続される負荷の数と、それら負荷の制御方法とに応じて、安全制御装置の構成要素を二重化するための適切な手法は異なると考えられる。たとえば、１台の安全制御装置で複数の負荷への電力の供給をそれぞれ独立に制御する場合と、１台の安全制御装置で複数の負荷への電力の供給を一括して制御する場合とが考えられる。安全制御システムの製造業者にとって、たとえば部材コストの観点からは、構成要素の二重化を異なる構成で実現した方が経済的であるとも考えられる。しかしながら、使用者の想定する使い方に応じて様々な製品を設計開発することは、設計開発コストの観点からは望ましくない。

本発明の目的は、安全性の確保を前提としながらも、使用者の想定する使い方に応じた柔軟性を有する安全制御システムを提供することである。

本発明のある局面に従うと、制御システムは、複数の出力回路と、複数のコンタクタと、入力装置と、制御部と、電力遮断部とを備える。複数の出力回路は、第１の電源から電力の供給を受けて、各々が出力信号を出力する。複数のコンタクタは、各複数の出力回路に対応して少なくとも１個設けられ、当該対応する出力回路からの出力信号を受けている間、導通状態に保持される。第２の電源から電力の供給を受ける複数の負荷の各々に、複数のコンタクタのうちの２個のコンタクタが直列に接続される。入力装置は、各複数の負荷の稼働が禁止されるべき旨を示す入力信号を発生させる。制御部は、入力装置からの入力信号を受けるとともに、複数の出力回路のうちのいずれかにおける異常を監視する。電力遮断部は、第１の電源から複数の出力回路への給電経路に設けられ、第１の電源から複数の出力回路への電力の供給を一括して遮断できるように構成される。複数の出力回路のうちのいずれかにおける異常を検出した場合に、制御部は、第１の停止モードと第２の停止モードとを有する。第１の停止モードにおいて、制御部は、当該検出結果に対応する出力回路を制御して、対応する出力回路からの出力信号の出力を停止させるとともに、複数の出力回路のうちの対応する出力回路を除く出力回路には出力信号の出力を許可する。第２の停止モードにおいて、制御部は、複数の出力回路への電力の供給を一括して遮断するように電力遮断部を制御して、各複数の出力回路からの出力信号の出力を停止させる。

好ましくは、複数の出力回路は、複数のコンタクタにそれぞれ出力信号を出力するように構成されている。第１の停止モードにおいて、制御部は、２個のコンタクタにそれぞれ対応する２個の出力回路のうちのいずれか一方に異常を検出した場合に、負荷への電力の供給を遮断するように２個の出力回路のうちの他方を制御する。

好ましくは、複数の出力回路の各々は、複数のコンタクタのうちの２個のコンタクタに出力信号を出力するように構成されている。第２の停止モードにおいて、制御部は、複数の出力回路のうちのいずれかに異常を検出した場合に、複数の出力回路への電力の供給を一括して遮断するように電力遮断部を制御する。

好ましくは、制御部は、第１および第２の制御回路を含む。第１および第２の制御回路は、互いに同期して、入力信号と、複数の出力回路のうちの対応する出力回路の異常とを監視して、当該監視結果を第１および第２の制御回路の間で共有するように構成されている。第１の停止モードにおいて、第１および第２の制御回路のうちの一方が、複数の出力回路のうちの同一の負荷に対応する２個の出力回路の一方に異常を検出したときに、第１および第２の制御回路のうちの他方は、負荷への電力の供給を遮断するように２個の出力回路のうちの他方を制御する。

好ましくは、第１および第２の制御回路の各々は、２個の出力回路のうちの対応する出力回路に応答させるための第１の診断信号を出力して、対応する出力回路からの第１の診断信号に対する応答が無い場合に、対応する出力回路に異常が発生したと判断する。

好ましくは、電力遮断部は、第１の電源から複数の出力回路への給電経路に直列に接続された第１および第２の電力遮断回路を含む。第１および第２の電力遮断回路は、第１の電源から複数の出力回路への電力の供給を一括して遮断できるように構成される。

好ましくは、電力遮断部は、各複数の出力回路に対応して設けられる第１および第２の電力遮断回路を含む。第１および第２の電力遮断回路の各々は、第１の電源から当該対応する出力回路への給電経路に直列に接続されて、第１の電源から対応する出力回路への電力の供給を遮断するように構成されている。第１の停止モードにおいて、制御部は、対応する出力回路に異常を検出した場合に、対応する出力回路への電力の供給を遮断するように第１および第２の電力遮断回路を制御する。

好ましくは、電力遮断部は、各複数の出力回路に対応して設けられる１個の電力遮断回路を含む。電力遮断回路は、第１の電源から当該対応する出力回路への給電経路に直列に接続されて、第１の電源から対応する出力回路への電力の供給を遮断するように構成されている。制御部は、電力遮断回路に応答させるための第２の診断信号を出力して、電力遮断回路からの第２の診断信号に対する応答が無い場合に、電力遮断回路に異常が発生したと判断して、対応する出力回路からの出力信号の出力を停止させる。一方で、第１の停止モードにおいて、制御部は、対応する出力回路に異常を検出した場合に、対応する出力回路への電力の供給を遮断するように電力遮断回路を制御する。

好ましくは、制御システムは、表示部を含む制御装置をさらに備える。制御装置は、第１および第２の停止モードのうちのいずれか一方を選択する使用者の操作を受け付けて、当該選択された停止モードを制御部に設定するとともに、表示部に表示する。

好ましくは、電力遮断部は、第１の電源の電圧を監視する電圧監視回路を含む。電力遮断部は、当該監視結果の電圧値を所定の基準値と比較して、電圧値が所定の基準値よりも大きい場合に、第２の電源から複数の出力回路への電力の供給を遮断する。

本発明の他の局面に従うと、制御装置には、出力信号を受けている間、導通状態に保持される複数のコンタクタが接続される。制御装置は、複数の出力回路と、制御部と、電力遮断部とを備える。複数の出力回路は、第１の電源から電力の供給を受けて、各々が出力信号を出力する。各複数の出力回路に対応して複数のコンタクタのうちの少なくとも１個のコンタクタが設けられるとともに、第２の電源から電力の供給を受ける複数の負荷の各々に、複数のコンタクタのうちの２個のコンタクタが直列に接続される。制御部は、各複数の負荷の稼働が禁止されるべき旨を示す入力信号を受けるとともに、複数の出力回路のうちのいずれかにおける異常を監視する。電力遮断部は、第１の電源から複数の出力回路への給電経路に設けられ、第１の電源から複数の出力回路への電力の供給を一括して遮断できるように構成される。複数の出力回路のうちのいずれかにおける異常を検出した場合に、制御部は、第１の停止モードと第２の停止モードとを有する。第１の停止モードにおいて、制御部は、当該検出結果に対応する出力回路を制御して、対応する出力回路からの出力信号の出力を停止させるとともに、複数の出力回路のうちの対応する出力回路を除く出力回路には出力信号の出力を許可する。第２の停止モードにおいて、制御部は、複数の出力回路への電力の供給を一括して遮断するように電力遮断部を制御して、各複数の出力回路からの出力信号の出力を停止させる。

本発明のさらに他の局面に従うと、制御システムの制御方法は、第１および第２の停止モードを有する。制御システムは、複数の出力回路と、複数のコンタクタと、制御部とを備える。複数の出力回路は、第１の電源から電力の供給を受けて、各々が出力信号を出力する。複数のコンタクタは、各複数の出力回路に対応して少なくとも１個設けられ、当該対応する出力回路からの出力信号を受けている間、導通状態に保持される。第２の電源から電力の供給を受ける複数の負荷の各々に、複数のコンタクタのうちの２個のコンタクタが直列に接続される。制御部は複数の出力回路を制御する。制御システムの制御方法は、第１および第２の停止モードのうちのいずれか一方を使用者に選択させるステップと、制御システムを第１の停止モードに設定するステップと、制御システムを第２の停止モードに設定するステップとを有する。制御システムの制御方法は、第１の停止モードにおいて、各複数の負荷の稼働が禁止されるべき旨を示す入力信号と、複数の出力回路における異常とを監視するステップをさらに有する。第１の停止モードにおいて、複数の出力回路のうちのいずれかにおける異常を検出した場合に、制御システムの制御方法は、当該検出結果が示す出力回路に制御信号を出力するステップと、制御信号を受けた出力回路に対応するコンタクタを遮断させるステップとをさらに有する。制御システムの制御方法は、第２の停止モードにおいて、各複数の負荷の稼働が禁止されるべき旨を示す入力信号と、複数の出力回路における異常とを監視するステップをさらに有する。第２の停止モードにおいて、複数の出力回路のうちのいずれかにおける異常を検出した場合に、制御システムの制御方法は、当該検出結果が示す出力回路に制御信号を出力するステップと、制御信号を受けた出力回路に対応するコンタクタを遮断させるステップと、第１の電源から複数の出力回路への電力の供給を遮断するステップとをさらに有する。

本発明のさらに他の局面に従うと、制御プログラムは、第１および第２の停止モードを有する制御システムに複数の負荷の稼働を制御させるため制御のプログラムである。制御システムは、複数の出力回路と、複数のコンタクタと、制御部とを備える。複数の出力回路は、第１の電源から電力の供給を受けて、各々が出力信号を出力する。複数のコンタクタは、各複数の出力回路に対応して少なくとも１個設けられ、当該対応する出力回路からの出力信号を受けている間、導通状態に保持される。第２の電源から電力の供給を受ける複数の負荷の各々に、複数のコンタクタのうちの２個のコンタクタが直列に接続される。制御部は複数の出力回路を制御する。制御プログラムは、第１および第２の停止モードのうちのいずれか一方を使用者に選択させるステップと、制御システムを第１の停止モードに設定するステップと、制御システムを第２の停止モードに設定するステップとを制御システムに実行させる。制御プログラムは、第１の停止モードにおいて、各複数の負荷の稼働が禁止されるべき旨を示す入力信号と、複数の出力回路における異常とを監視するステップを制御システムにさらに実行させる。第１の停止モードにおいて、複数の出力回路のうちのいずれかにおける異常を検出した場合に、制御プログラムは、当該検出結果が示す出力回路に制御信号を出力するステップと、制御信号を受けた出力回路に対応するコンタクタを遮断させるステップとを制御システムにさらに実行させる。制御プログラムは、第２の停止モードにおいて、各複数の負荷の稼働が禁止されるべき旨を示す入力信号と、複数の出力回路における異常とを監視するステップを制御システムにさらに実行させる。第２の停止モードにおいて、複数の出力回路のうちのいずれかにおける異常を検出した場合に、制御プログラムは、当該検出結果が示す出力回路に制御信号を出力するステップと、制御信号を受けた出力回路に対応するコンタクタを遮断させるステップと、第１の電源から複数の出力回路への電力の供給を遮断するステップとを制御システムにさらに実行させる。

本発明によれば、安全性の確保を前提としながらも、使用者の想定する使い方に応じた柔軟性を有する安全制御システムを実現することができる。

本発明の実施の形態１に係る制御システムの第１の停止モードにおける構成を示すブロック図である。 図１に示した制御システムの構成における、モータと電源ラインとの電気的接続を説明するための図である。 図１に示した制御システムの動作を説明するためのタイミングチャートである。 本発明の実施の形態１に係る制御システムの第２の停止モードにおける構成を示すブロック図である。 図４に示した制御システムの構成における、モータと電源ラインとの電気的接続を説明するための図である。 図１および図４に示した電力遮断部の主要部の構成を説明するための模式図である。 図４に示した制御システムの動作を説明するためのタイミングチャートである。 本発明の実施の形態１に係る制御システムの制御を説明するためのフローチャートである。 本発明の実施の形態２に係る制御装置の構成を示すブロック図である。 本発明の実施の形態３に係る制御装置の構成を示すブロック図である。 ＩＳＯ１３８４９−１で定義されたカテゴリを説明する図である。 ＩＳＯ１３８４９−１：２００６によって示された、各カテゴリに求められる安全制御システムの要件を説明するためのブロック図である。

以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付して、その説明を繰り返さない。

［実施の形態１]
本実施の形態に係る安全制御システム（制御システム）は、複数のモータ（負荷）への電力の供給を制御するために設けられる。この安全制御システムは、部分停止モード（第１の停止モード）と、全体停止モード（第２の停止モード）と呼ぶ２つの異なる停止モードに従って動作する。部分停止モードでは、複数のモータのうちの一部のモータへの電力の供給が遮断される。一方、全体停止モードでは、すべてのモータへの電力の供給が遮断される。まず、部分停止モードにおける安全制御システムの構成および動作について説明する。

図１は、本発明の実施の形態１に係る安全制御システムの部分停止モードにおける構成を示すブロック図である。図２は、図１に示した安全制御システムの構成における、モータと電源ラインとの電気的接続を説明するための図である。

図１および図２を参照して、直流電源（第１の電源）ＶＤＣは、安全制御システム１００に直流電力（たとえば電圧値が２４Ｖ）を供給する。交流電源（第２の電源）１は、電源ライン３を介してモータ（負荷）Ｍ１，Ｍ２に交流電力を供給する。電源ライン３は、ラインＬ１，Ｌ２，Ｌ３を含む。ラインＬ１，Ｌ２，Ｌ３は、たとえば三相交流のＲ層、Ｓ層、およびＴ層にそれぞれ対応するラインである。モータＭ１，Ｍ２は、たとえばＡＣサーボモータである。安全制御システム１００は、交流電源１からモータＭ１，Ｍ２への電力の供給を制御するために設けられる。

安全制御システム１００は、センサ（入力装置）１６と、安全制御装置（制御装置）１０と、コンタクタ２１〜２４と、ＰＣ（Personal Computer）（操作装置）２と、ネットワーク４とを含んで構成される。安全制御装置１０は、制御部１１と、出力回路１２１〜１２４と、電力遮断部１３と、通信制御部１７とを備える。制御部１１は、ＭＰＵ（Micro Processing Unit）（第１の制御回路）１１１と、ＭＰＵ（第２の制御回路）１１２とを含む。電力遮断部１３は、電力遮断回路（第１の電力遮断回路）１３１と，電力遮断回路（第２の電力遮断回路）１３２とを含む。

安全制御システムの使用者は、停止モードに応じて、安全制御システムの構成および設定を変更する必要がある。変更が必要な箇所は２箇所である。

第１に、使用者は、安全制御装置１０に接続される、コンタクタおよびモータの数を調整する。部分停止モードにおいては、使用者は、４個の出力回路（出力回路１２１〜１２４）に対して、４個のコンタクタ（コンタクタ２１〜２４）を接続する。各モータには２個のコンタクタが設けられる。つまり、部分停止モードでは、４個の出力回路によって２個のモータへの電力の供給が制御される。

第２に、使用者は、ＰＣ２を操作して、安全制御装置１０の停止モードを選択する必要がある。以下において、使用者は部分停止モードを選択する。ＰＣ２は、ネットワーク４を介して、使用者が部分停止モードを選択した旨を示す情報をＭＰＵ１１１，１１２に設定する。

ＰＣ２と通信制御部１７との間の通信には、たとえばＤｅｖｉｃｅＮｅｔ、ＥｔｈｅｒＣＡＴ、あるいはＵＳＢ（Universal Serial Bus）などの通信方式が用いられる。ただし、この通信方式は上記に限定されるものではない。また、ＰＣ２は、モニタ（表示部）２ａを含む。モニタ２ａには、使用者が選択した停止モード、および安全制御システム１００の状態（たとえば異常の発生の有無）などが表示される。

センサ１６は、モータＭ１，Ｍ２の各々について、その稼働の禁止を示す入力信号を発生させる。より具体的には、モータＭ１，Ｍ２には、作業者の安全を確保するための機械的なガード（あるいはカバー）（図示せず）がそれぞれ設けられている。センサ１６は、たとえばドアスイッチである。センサ１６は、ガードの各々の開状態および閉状態を検出する。ガードが閉状態の場合には、モータＭ１，Ｍ２のうちの対応するモータの稼働が許可される。一方、ガードが開状態の場合には、センサ１６は、対応するモータの稼働を禁止するための入力信号を発生させる。

なお、センサは本発明に係る「入力装置」の一例であって、本発明に係る「入力装置」はセンサに限定されるものではない。本発明に係る「入力装置」は、たとえば作業者によって操作される非常停止ボタンなどであってもよい。

安全制御システム１００は、稼働が禁止されるべきモータへの電力の供給を確実に遮断することが必要である。そのため、ＭＰＵ１１１とＭＰＵ１１２とは、同一の処理を同期して実行するように構成されている。つまり、ＭＰＵが二重化されている。ＭＰＵ１１１とＭＰＵ１１２とは、互いに独立して、センサ１６からの入力信号を受ける。ＭＰＵ１１１，１１２は、稼働が禁止されるべきモータへの電力の供給を遮断するために、そのモータに対応する出力回路に制御信号を出力する。なお、センサ１６からの入力信号は、センサ１６から安全制御装置１０に直接入力されなくてもよい。安全制御装置１０は、センサ１６からの入力信号をネットワーク４を経由して受けてもよい。

出力回路１２１〜１２４は、直流電源ＶＤＣから電力の供給を受けて、対応するコンタクタをそれぞれ制御する。より具体的には、出力回路１２１は、コンタクタ２１に出力信号ＯＵＴ１を出力する。出力回路１２２は、コンタクタ２２に出力信号ＯＵＴ２を出力する。出力回路１２３は、コンタクタ２３に出力信号ＯＵＴ３を出力する。出力回路１２４は、コンタクタ２４に出力信号ＯＵＴ４を出力する。出力回路は、対応するＭＰＵからの制御信号に応答して、コンタクタへの出力信号の出力を停止する。

コンタクタ２１〜２４は、対応する出力回路から出力信号を受けている間、導通状態に保持される。コンタクタ２１〜２４は、対応する出力回路からの出力信号の出力が停止されると、導通状態から非導通状態に移行する。

たとえばセンサ１６からの入力信号がモータＭ１の稼働が禁止されるべき旨を示す場合、ＭＰＵ１１１は、出力回路１２１に制御信号ＣＴＲＬ１を出力する。出力回路１２１は、制御信号ＣＴＲＬ１に応答して、コンタクタ２１への出力信号ＯＵＴ１の出力を停止する。これにより、コンタクタ２１は導通状態から非導通状態に移行する。同様に、ＭＰＵ１１２は、出力回路１２２に制御信号ＣＴＲＬ３を出力する。出力回路１２２は、制御信号ＣＴＲＬ３に応答して、コンタクタ２２への出力信号ＯＵＴ２の出力を停止する。これにより、コンタクタ２２は導通状態から非導通状態に移行する。

コンタクタ２１，２２は、交流電源１からモータＭ１への給電経路に直列に接続されている。このため、コンタクタ２１，２２のうちの少なくとも一方が導通状態から非導通状態に移行すると、交流電源１からモータＭ１への電力の供給が遮断される。したがって、コンタクタ２１，２２のうちの一方に異常が生じた場合であっても、他方によってモータＭ１への電力の供給を遮断することができる。

電力遮断回路１３１，１３２は、直流電源ＶＤＣから出力回路１２１〜１２４への給電経路に直列に設けられる。電力遮断回路１３１は、ＭＰＵ１１１からの遮断信号ＯＦＦＡを受ける。電力遮断回路１３２は、ＭＰＵ１１２からの遮断信号ＯＦＦＢを受ける。直列に接続された電力遮断回路１３１，１３２は、対応するＭＰＵからの遮断信号を受けると、直流電源ＶＤＣから出力回路１２１〜１２４への電力の供給を一括して遮断する。

部分停止モードにおいては、電力遮断回路１３１，１３２は用いられない。電力遮断回路１３１，１３２は、後述する全体停止モードにおいて用いられる。電力遮断回路１３１，１３２の構成および動作については、後により詳細に説明する。

上述の安全制御システム１００の各構成要素には、異常が生じる可能性がある。構成要素のうちのいずれかに異常を検出した場合にも、その異常に関連するモータへの電力の供給を遮断する必要がある。そのため、安全制御システム１００は、構成要素の異常が検出されるように構成されている。以下、異常の検出方法について説明する。

図１および図２に戻り、出力回路１２１〜１２４に異常が生じる可能性がある。出力回路に異常が生じた場合、その出力回路は、対応するコンタクタを制御することができなくなる。そのため、ＭＰＵ１１１は、出力回路１２１，１２３のうちのいずれかにおける異常を監視する。ＭＰＵ１１２は、出力回路１２２，１２４のうちのいずれかにおける異常を監視する。ＭＰＵ１１１とＭＰＵ１１２とは、当該監視結果を互いの間で共有する。この監視方法について以下に詳細に説明する。

ＭＰＵ１１１は、所定の時間が経過するごとに、出力回路１２１に応答させるためのテストパルス（第１の診断信号）ＴＰ１を出力する。より具体的には、通常はＨ（ハイ）レベルの信号ラインにおいて、ＭＰＵ１１１は、所定の時間が経過するごとにＬ（ロー）レベルのパルス信号を出力回路１２１に出力する。出力回路１２１に異常がない場合、出力回路１２１はテストパルスＴＰ１に応答して、図示しないＬレベルのＡＣＫ（アクノリッジ）信号をＭＰＵ１１２に返す。出力回路１２１の状態のＭＰＵ１１２による監視結果は、ＭＰＵ１１１とＭＰＵ１１２との間で共有される。出力回路１２１からのＡＣＫ信号を受けて、ＭＰＵ１１１，１１２は、出力回路１２１は正常と判断する。一方、出力回路１２１からのＡＣＫ信号の応答がない場合に、ＭＰＵ１１１，１１２は、出力回路１２１に異常が生じたと判断する。以下、本明細書において、この監視方法を「動的診断」と呼ぶ。ＭＰＵ１１１，１１２は、動的診断によって、出力回路１２１の異常を検出することができる。出力回路１２２〜１２４についても同様に動的診断が実行される。

ＭＰＵ１１１，１１２は、動的診断により、出力回路１２１とコンタクタ２１とを電気的に接続する配線における異常を検出することもできる。より具体的には、出力信号ＯＵＴ１を伝送するための信号ラインが他の配線と短絡することが考えられる。この場合には、出力信号ＯＵＴ１の出力中であることを示す論理レベル（たとえばＨレベル）に信号ラインが固定される可能性がある。これにより、出力回路１２１からの出力信号ＯＵＴ１の出力の有無に関わらず、コンタクタ２１が導通状態に保持されてしまう。したがって、ＭＰＵ１１１，１１２は、コンタクタ２１に異常が生じたと判断する。

以上のように、交流電源１からモータＭ１への電力の供給を遮断するために、ＭＰＵ１１１―出力回路１２１―コンタクタ２１の経路と、ＭＰＵ１１２―出力回路１２２―コンタクタ２２の経路とが設けられる。ＭＰＵ１１１，１１２は二重化されている。このため、ＭＰＵ１１１，１１２のうちの一方に異常が生じた場合であっても、他方から制御信号が出力される。また、出力回路１２１，１２２の各々は、動的診断によって正常に動作することが確保されている。コンタクタ２１，２２は、交流電源１からモータＭ１への給電経路に直列に接続することによって二重化されている。

安全制御システム１００は、上記の経路のうちのいずれか一方の経路の構成要素に異常が生じた場合には、他方の経路によりモータＭ１への電力の供給を遮断する。よって、安全制御システム１００は、構成要素に異常が生じた場合であっても、モータへの電力の供給を確実に遮断することができる。なお、モータＭ２への電力の供給を遮断するための構成は、モータＭ１への電力の供給を遮断するための構成と同等であるため、詳細な説明を繰り返さない。

図３は、図１に示した安全制御システム１００の動作を説明するためのタイミングチャートである。上述のように、以下に説明される動作においては、安全制御システム１００は部分停止モードに設定されている。

図１〜図３を参照して、たとえばＭＰＵ１１１は、出力回路１２１に動的診断を実行する。出力回路１２１からのＡＣＫ信号の応答がないため、時刻ｔ１において、ＭＰＵ１１２は出力回路１２１に異常が生じたと判断する。

ＭＰＵ１１１は、出力回路１２１に制御信号ＣＴＲＬ１を出力する。ＭＰＵ１１２は、出力回路１２２に制御信号ＣＴＲＬ３を出力する。

出力回路１２１には異常が生じている。このため、出力回路１２１は制御信号ＣＴＲＬ１に応答しない可能性が高い。出力回路１２１は、コンタクタ２１への出力信号ＯＵＴ１の出力を停止しない。したがって、コンタクタ２１は導通状態のまま保持される。しかしながら、出力回路１２２は正常に動作している。したがって、出力回路１２２は制御信号ＣＴＲＬ３に応答する。出力回路１２２は、コンタクタ２２への出力信号ＯＵＴ２の出力を停止する。これにより、コンタクタ２２は導通状態から非導通状態に移行する。その結果として、交流電源１からモータＭ１への電力の供給が遮断される。

その一方で、ＭＰＵ１１１は、出力回路１２３に制御信号ＣＴＲＬ２を出力しないようにする制御を継続する。また、ＭＰＵ１１２は、出力回路１２４に制御信号ＣＴＲＬ４を出力しないようにする制御を継続する。そのため、出力回路１２３，１２４の各々は出力信号を継続して出力する。したがって、コンタクタ２３，２４の各々は導通状態に保持される。その結果として、交流電源１からモータＭ２への電力の供給は継続される。

このように、部分停止モードでは、たとえば４個の出力回路のうちのいずれかに異常が生じた場合に、その出力回路に対応する一方のモータへの電力の供給が選択的に遮断される。したがって、他方のモータは動作を継続することができる。

部分停止モードは、一部のモータの制御に異常が生じた場合に、一部のラインの停止のみを必要とする生産現場、たとえば半導体素子の製造ラインに用いられる。その一方で、一部のモータの制御に異常が生じた場合に、安全制御システムがすべてのモータへの電力の供給を遮断することが望ましい場合も考えられる。このような場合に、使用者は全体停止モードを選択する。以下、全体停止モードにおける安全制御システムの構成および動作について説明する。

図４は、本発明の実施の形態１に係る安全制御システムの全体停止モードにおける構成を示すブロック図である。図４は図１と対比される。図４を参照して、安全制御装置１０の構成は、図１に示した安全制御装置１０の構成と共通である。しかしながら、全体停止モードでは、使用者は、４個の出力回路（出力回路１２１〜１２４）に対して、８個のコンタクタ（コンタクタ３１〜３８）を接続する。つまり、全体停止モードでは、４個の出力回路によって４個のモータへの電力の供給が制御される。

出力回路１２１は、コンタクタ３１，３２に出力信号ＯＵＴ１を出力する。出力回路１２２は、コンタクタ３３，３４に出力信号ＯＵＴ２を出力する。出力回路１２３は、コンタクタ３５，３６に出力信号ＯＵＴ３を出力する。出力回路１２４は、コンタクタ３７，３８に出力信号ＯＵＴ４を出力する。

図５は、図４に示した安全制御システム１０１の構成における、モータＭ１〜Ｍ４と電源ライン３との電気的接続を説明するための図である。図５は図２と対比される。図５を参照して、コンタクタ３１，３２は、交流電源１からモータＭ１への給電経路に直列に接続される。コンタクタ３３〜３８の対応するモータＭ２〜Ｍ４に対する構成については、コンタクタ３１，３２のモータＭ１に対する構成と同様であるため、詳細な説明を繰り返さない。

このように、全体停止モードにおいては、同一のモータに設けられる２個のコンタクタは、いずれも同じ出力回路によって制御される。このため、たとえば出力回路１２１に異常が生じた場合、コンタクタ３１，３２への出力信号ＯＵＴ１が常に出力された状態になる可能性がある。この場合、他の出力回路１２２〜１２４からの出力信号ＯＵＴ２〜ＯＵＴ４によって、モータＭ１への電力の供給を遮断することはできない。したがって、全体停止モードでは、コンタクタ３１，３２の制御を二重化するために、電力遮断回路１３１，１３２が用いられる。

図６は、図１および図４に示した電力遮断部１３の主要部の構成を説明するための模式図である。図６を参照して、電力遮断部１３は、電力遮断回路１３１，１３２と、電圧監視回路１３３とを含む。電力遮断回路１３１，１３２は、スイッチＱ１，Ｑ２をそれぞれ有する。スイッチＱ１，Ｑ２の各々は、たとえばＮチャネルＭＯＳＦＥＴ（Metal-Oxide Semiconductor Field-Effect Transistor）である。

スイッチＱ１，Ｑ２は、直流電源ＶＤＣから出力回路１２１〜１２４への給電経路に直列に接続される。より具体的には、スイッチＱ１のドレインは、直流電源ＶＤＣ側に設けられる。スイッチＱ１のソースは、スイッチＱ２のソースに接続される。スイッチＱ２のドレインは、出力回路１２１側に設けられる。なお、この構成は電力遮断部１３の構成の一例であって、電力遮断部１３の構成はこの構成に限定されるものではない。また、スイッチＱ１，Ｑ２はいずれもＮチャネルＭＯＳＦＥＴとして説明したが、スイッチＱ１，Ｑ２はＰチャネルＭＯＳＦＥＴであってもよい。この場合、スイッチＱ１，Ｑ２の接続は適宜変更される。

ＭＰＵ１１１，１１２の各々は、対応するスイッチに遮断信号を出力する。スイッチＱ１は、ＭＰＵ１１１からゲートへの遮断信号ＯＦＦＡに応答して、直流電源ＶＤＣから出力回路１２１〜１２４への電力の供給を遮断する。スイッチＱ２は、ＭＰＵ１１２からゲートへの遮断信号ＯＦＦＢに応答して、直流電源ＶＤＣから出力回路１２１〜１２４への電力の供給を遮断する。よって、出力回路１２１に異常が生じた場合に、電力遮断部１３からコンタクタ３１，３２への電力の供給を遮断することができる。

直流電源ＶＤＣから電力遮断部１３には、大きな電流が流れる可能性がある。上述のように、スイッチＱ１，Ｑ２には、ＮチャネルＭＯＳＦＥＴおよびＰチャネルＭＯＳＦＥＴのどちらを使用してもよい。しかし、ＮチャネルＭＯＳＦＥＴの方が同サイズのＰチャネルＭＯＳＦＥＴと比べて、オン抵抗が小さい。そのため、電力遮断部１３における電力損失を低減することができる。なお、スイッチＱ１，Ｑ２には、ＭＯＳＦＥＴに替えて、バイポーラトランジスタあるいはリレーを用いてもよい。

電圧監視回路１３３は、直流電源ＶＤＣの電圧を監視する。電圧監視回路１３３は、直流電源ＶＤＣの電圧値を所定の基準値と比較する。直流電源ＶＤＣの電圧値が基準値よりも大きい場合に、電圧監視回路１３３は、スイッチＱ２をオフするための信号をスイッチＱ２に出力する。電圧監視回路１３３を設けることにより、直流電源ＶＤＣからの過大な電圧に対し、安全制御装置１０を保護することができる。なお、電圧監視回路１３３は、さらに、スイッチＱ１をオフするための信号をスイッチＱ１に出力してもよい。

以下、全体停止モードにおけるモータへの電力の供給の制御について詳細に説明する。図７は、図４に示した安全制御システム１０１の動作を説明するためのタイミングチャートである。以下に説明される動作においては、安全制御システム１０１は全体停止モードに設定されている。

図４、図５、および図７を参照して、たとえばＭＰＵ１１１は、出力回路１２１に動的診断を実行する。出力回路１２１からのＡＣＫ信号の応答がないため、時刻ｔ１において、ＭＰＵ１１２は出力回路１２１に異常が生じたと判断する。出力回路１２１に異常が生じたとのＭＰＵ１１２による監視結果はＭＰＵ１１１に通知される。

ＭＰＵ１１１は、出力回路１２１に制御信号ＣＴＲＬ１を出力する。それに加えて、ＭＰＵ１１１は、電力遮断回路１３１に遮断信号ＯＦＦＡを出力する。ＭＰＵ１１２は、電力遮断回路１３２に遮断信号ＯＦＦＢを出力する。

電力遮断回路１３１，１３２は、遮断信号ＯＦＦＡ，ＯＦＦＢにそれぞれ応答して、直流電源ＶＤＣから出力回路１２１〜１２４への電力の供給を遮断する。そのため、出力回路１２１〜１２４から対応するコンタクタへの出力信号の出力がすべて停止される。したがって、コンタクタ３１〜３８の各々は導通状態から非導通状態に移行する。その結果として、交流電源１からモータＭ１〜Ｍ４への電力の供給はいずれも遮断される。

このように、全体停止モードにおいては、１個のモータに対応する２個のコンタクタがいずれも同一の出力回路によって制御される。そのため、出力回路に異常が生じた場合のために電力遮断部が用いられる。出力回路のうちのいずれか１個に異常が生じた場合であっても、電力遮断部はすべての出力回路への電力の供給を一括して遮断する。これにより、すべてのモータへの電力の供給が遮断される。

部分停止モードにおいても、すべてのモータへの電力の供給を遮断することは可能である。しかし、全体停止モードでは、部分停止モードよりも多くのモータを制御することができる。したがって、高価な安全制御装置の数を削減して、安全制御システムの導入コストを低減することが可能になる。

図８は、本発明の実施の形態１に係る安全制御システムの制御を説明するためのフローチャートである。図１および図８を参照して、使用者がＰＣ２を操作して、停止モードの選択を要求した場合に処理が開始される。

ステップＳ１において、ＰＣ２のモニタ２ａに２つの停止モードが表示される。使用者は、安全制御システムの用途に適した停止モードを選択する。使用者が部分停止モードを選択した場合（ステップＳ１において「部分停止モード」）、処理はステップＳ２１に進む。一方、使用者が全体停止モードを選択した場合（ステップＳ１において「全体停止モード」）、処理はステップＳ３１に進む。なお、選択された停止モードはモニタ２ａに常に表示される。これにより、使用者は、自らが選択した停止モードをいつでも確認することができる。

（部分停止モード）
図１および図８を参照して、ステップＳ２１において、ＰＣ２は、通信制御部１７を介して、ＭＰＵ１１１，１１２に使用者が部分停止モードを選択した旨を通知する。ＭＰＵ１１１，１１２は、たとえば図示しないＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）から部分停止モードに対応する制御プログラムを読み込む。なお、ステップＳ２１は、たとえばＭＰＵ１１１，１１２におけるソフトウェア処理として実行される。

ステップＳ２２において、ＭＰＵ１１１，１１２は、対応する出力回路の異常を監視する。ＭＰＵ１１１，１１２が対応する出力回路（たとえば出力回路１２１）の異常を検出した場合（ステップＳ２２においてＹＥＳ）、処理はステップＳ２３に進む。一方、ＭＰＵ１１１，１１２が対応する出力回路の異常を検出するまでの間（ステップＳ２２においてＮＯ）、処理はステップＳ２２に戻って繰り返される。なお、出力回路に異常を検出した場合に、ＭＰＵ１１１，１１２は、異常が生じた出力回路を特定した検出結果をＰＣ２に送信してもよい。これにより、使用者は、どの出力回路に異常が生じたかをモニタ２ａで確認することができる。

ステップＳ２３において、ＭＰＵ１１２は、出力回路１２２に制御信号ＣＴＲＬ３を出力する。出力回路１２１に異常が生じたとのＭＰＵ１１２による監視結果はＭＰＵ１１１に通知される。ＭＰＵ１１１は、出力回路１２１に制御信号ＣＴＲＬ１を出力する。

ステップＳ２４において、出力回路１２２に対応するコンタクタ２２は、導通状態から非導通状態に移行する。

ステップＳ２５において、コンタクタ２２は、交流電源１からモータＭ１への電力の供給を遮断する。これにより、モータＭ１の動作は停止する。一方で、モータＭ２の動作は継続する。ステップＳ２５の処理が終了すると、全体の処理が完了する。なお、ステップＳ２４，Ｓ２５の処理は、ＭＰＵ１１１，１１２により実行されるものではない。

（全体停止モード）
次に、図４および図８を参照して、ステップＳ３１において、ＰＣ２は、ＭＰＵ１１１，１１２に使用者が全体停止モードを設定する。ＭＰＵ１１１，１１２は、ＥＥＰＲＯＭから全体停止モードに対応する制御プログラムを読み込む。

ステップＳ３２において、ＭＰＵ１１１，１１２は、対応する出力回路の異常を監視する。ＭＰＵ１１１，１１２が対応する出力回路（たとえば出力回路１２１）の異常を検出した場合（ステップＳ３２においてＹＥＳ）、処理はステップＳ３３に進む。一方、ＭＰＵ１１１，１１２が対応する出力回路の異常を検出するまでの間（ステップＳ３２においてＮＯ）、処理はステップＳ３２に戻って繰り返される。

ステップＳ３３において、ＭＰＵ１１１は、出力回路１２１に制御信号ＣＴＲＬ１を出力する。これにより、出力回路１２１は、コンタクタ３１，３２への出力信号ＯＵＴ１の出力を停止する。

ステップＳ３４において、ＭＰＵ１１２は、遮断信号ＯＦＦＢを電力遮断回路１３２に出力する。出力回路１２１に異常が生じたとのＭＰＵ１１２による監視結果はＭＰＵ１１１に通知される。ＭＰＵ１１１は、遮断信号ＯＦＦＡを電力遮断回路１３１に出力する。これにより、電力遮断回路１３１，１３２は、直流電源ＶＤＣからコンタクタ３１〜３８への電力の供給を一括して遮断する。したがって、出力回路１２１〜１２４から対応するコンタクタへの出力信号の出力がいずれも停止される。なお、ステップＳ３３とステップＳ３４とは順序が入れ替わってもよい。

ステップＳ３５において、コンタクタ３１〜３８の各々は導通状態から非導通状態に移行する。

ステップＳ３６において、コンタクタ３１〜３８の各々は、交流電源１から対応するモータへの電力の供給を遮断する。これにより、モータＭ１〜Ｍ４の動作はいずれも停止する。ステップＳ３６の処理が終了すると、全体の処理が完了する。

実施の形態１に係る安全制御システムは、部分停止モードおよび全体停止モードの双方において、たとえばＩＳＯ１３８４９−１のカテゴリ３，４のような規格を満たすことができる。したがって、実施の形態１によれば、使用者が要求する高い安全性を確保することができる。

高い安全性の確保を前提として、部分停止モードおよび全体停止モードに関わらず、安全制御装置１０の構成は共通である。そのため、安全制御装置１０の製造業者にとっては、使用者が選択し得る停止モードに対応する２種類の安全制御装置を設計開発する必要がない。したがって、製造業者は設計開発の期間を短縮することができる。これにより、設計開発に要するコストを削減することができる。また、在庫の管理も容易になる。

［実施の形態２]
実施の形態１では、電力遮断回路１３１，１３２によって、直流電源ＶＤＣから出力回路１２１〜１２４への電力の供給が一括して遮断される。本実施の形態によれば、電力遮断回路が出力回路ごとに設けられる。

図９は、本発明の実施の形態２に係る安全制御装置２０の構成を示すブロック図である。図９を参照して、安全制御装置２０では、８個の遮断回路（電力遮断回路１３１〜１３４，１４１〜１４４）が電力遮断部を構成する。各出力回路（出力回路１２１〜１２４）に対応して、２個の電源遮断回路が設けられる。ＭＰＵ１１１，１１２は、各電源遮断回路にそれぞれ異なる遮断信号（遮断信号ＯＦＦＡ１〜ＯＦＦＡ４，ＯＦＦＢ１〜ＯＦＦＢ４）を出力する。この点において、安全制御装置２０は安全制御装置１０（図１参照）と異なる。なお、図１では電力遮断部１３の構成を破線で図示したが、図９では煩雑となるため電力遮断部の構成を図示していない。

たとえば出力回路１２１への給電経路には、電力遮断回路１３１，１４１が設けられる。電力遮断回路１３１は、ＭＰＵ１１１からの遮断信号ＯＦＦＡ１に応答して、出力回路１２１への電力の供給を遮断する。電力遮断回路１４１は、ＭＰＵ１１２からの遮断信号ＯＦＦＢ１に応答して、出力回路１２１への電力の供給を遮断する。この場合に、他の出力回路１２２〜１２４には電力の供給が継続される。

なお、出力回路１２２〜１２４に対応する電力遮断回路１３２〜１３４，１４２〜１４４の構成は、出力回路１２１に対応する電力遮断回路１３１，１４１の構成と同等であるため、詳細な説明を繰り返さない。また、安全制御装置２０のそれ以外の構成についても、実施の形態１に係る安全制御装置１０（図１参照）の構成と同等であるため、詳細な説明を繰り返さない。以下、実施の形態２に係る安全制御装置２０の部分停止モードおよび全体停止モードにおける動作について説明する。

（部分停止モード）
実施の形態１では、安全制御システムが部分停止モードに従って動作する場合に、各出力回路には１個のコンタクタが接続される。実施の形態２によれば、部分停止モードにおいても、各出力回路に２個のコンタクタを接続することができる。たとえば出力回路１２１に２個のコンタクタ（図示せず）を接続することができる。これら２個のコンタクタはモータＭ１（図示せず）への給電経路に直列に接続される。出力回路１２１に異常が生じた場合、ＭＰＵ１１１は、電力遮断回路１３１に遮断信号ＯＦＦＡ１を出力する。ＭＰＵ１１２は、電力遮断回路１４１に遮断信号ＯＦＦＢ１を出力する。これにより、直流電源ＶＤＣから出力回路１２１への電力の供給を遮断することができる。したがって、モータＭ１への電源の供給を確実に遮断することができる。

なお、実施の形態２においても、各出力回路に接続されるコンタクタの数は１個であってもよい。この場合におけるＭＰＵによる出力回路の制御は、実施の形態１における制御と同様であるため、詳細な説明を繰り返さない。また、実施の形態２によれば、１個のコンタクタが接続される出力回路と、２個のコンタクタが接続される出力回路とを組み合わせてもよい。たとえば、出力回路１２１，１２２の各々には、１個のコンタクタが接続される。一方、出力回路１２３，１２４の各々には、２個のコンタクタが接続される。この場合、４個の出力回路によって、３個のモータへの電力の供給が制御されることになる。

（全体停止モード）
全体停止モードにおいて、ＭＰＵ１１１，１１２の各々は、対応するすべての電力遮断回路に遮断信号を出力する。これにより、直流電源ＶＤＣからすべての出力回路への電力の供給が遮断される。

［実施の形態３]
実施の形態２では、４個の出力回路に対応して、８個の電力遮断回路が設けられる。本実施の形態によれば、電力遮断回路の数を削減することができる。

図１０は、本発明の実施の形態３に係る安全制御装置３０の構成を示すブロック図である。図１０を参照して、電力遮断回路１５１〜１５４が電力遮断部を構成する。安全制御装置３０では、各出力回路に対応する電源遮断回路の数が１個である。たとえば出力回路１２１には、電力遮断回路１３１，１４１に替えて、電力遮断回路１５１が接続される。電力遮断回路１５１〜１５４の各々には、対応するＭＰＵによって動的診断が実行される。これらの点において、安全制御装置３０は実施の形態２に係る安全制御装置２０（図９参照）と異なる。安全制御装置３０のそれ以外の構成については、安全制御装置２０の構成と同等であるため、詳細な説明を繰り返さない。なお、図１では電力遮断部１３の範囲を破線で図示したが、図１０では煩雑になるため電力遮断部の範囲を図示していない。

各出力回路は、ＭＰＵ１１１，１１２のうちの一方から制御信号を受ける。また、その出力回路に対応する電源遮断回路は、ＭＰＵ１１１，１１２のうちの他方によって動的診断が実行される。たとえば出力回路１２１は、ＭＰＵ１１１から制御信号ＣＴＲＬ１を受ける。また、電力遮断回路１５１には、ＭＰＵ１１２からのテストパルス（第２の診断信号）ＴＰ７によって、動的診断が実行される。出力回路１２１に異常が生じた場合には、ＭＰＵ１１２が電力遮断回路１５１に遮断信号ＯＦＦＢ１を出力する。なお、電力遮断回路１５２〜１５４の構成は、電力遮断回路１５１の構成と同様であるため、詳細な説明を繰り返さない。

実施の形態３によれば、ＭＰＵ１１１，１１２の各々は、対応する電力遮断回路の動的診断を実行する。これにより、電力遮断回路が正常に動作することが確保される。したがって、安全制御装置２０と比較して、各出力回路に設けられる電力遮断回路の数を２個から１個に削減することができる。その結果、安全制御装置のサイズを小さくすることができる。また、電力遮断回路に用いられる部材（たとえばＦＥＴ）に相当する部材コストを削減することができる。

図８を用いて説明した一連の動作を安全制御システム１００，１０１に実行させるためのプログラムを提供することもできる。このようなプログラムは、コンピュータに付属するフレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disk Read-Only Memory）、ＲＯＭ、ＲＡＭ（Random Access Memory）、およびメモリカードなどのコンピュータ読み取り可能な記録媒体に記録させて、プログラム製品として提供することができる。また、コンピュータに内蔵するハードディスクなどの記録媒体に記録させて、プログラムを提供することもできる。あるいはネットワークを介したダウンロードによって、プログラムを提供することもできる。

なお、本発明に係るプログラムは、コンピュータのＯＳ（Operating System）の一部として提供されるプログラムモジュールのうちの必要なモジュールを、所定の配列で所定のタイミングで呼び出して処理を実行させるものであってもよい。この場合、プログラム自体には上記モジュールは含まれない。本発明に係るプログラムがコンピュータのＯＳと協働することにより処理が実行される。このように、モジュールを含まないプログラムも、本発明に係るプログラムに含まれ得る。

また、本発明に係るプログラムは、他のプログラムの一部に組み込まれて提供されるものであってもよい。この場合にも、プログラム自体には、上記他のプログラムに含まれるモジュールが含まれない。本発明に係るプログラムが他のプログラムと協働することにより処理が実行される。このように、他のプログラムに組み込まれたプログラムも、本発明に係るプログラムに含まれ得る。

提供されるプログラム製品は、ハードディスクなどのプログラム格納部にインストールされて実行される。なお、プログラム製品は、プログラム自体と、プログラムが記録された記録媒体とを含む。

なお、各実施の形態では、負荷としてモータを用いて説明したが、本発明に係る負荷はモータに限定されるものではない。また、出力回路の個数を４個として説明したが、出力回路の数は複数であればよい。

使用者はＰＣ２によって停止モードを選択すると説明した（図８のステップＳ１参照）。しかし、停止モードを選択する方法は、上記の方法に限定されない。安全制御装置１０は、たとえば、部分停止モードと全体停止モードとを切り替えるためのトグルスイッチを備えてもよい。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ 交流電源、３ 電源ライン、Ｌ１，Ｌ２，Ｌ３ ライン、ＶＤＣ 直流電源、１００，１０１ 安全制御システム、１６ センサ、１０，２０，３０ 安全制御装置、２ ＰＣ、２ａ モニタ、４ ネットワーク、１１ 制御部、１１１，１１２ ＭＰＵ、１２１〜１２４ 出力回路、１３ 電力遮断部、１３１〜１３４，１４１〜１４４，１５１〜１５４ 電力遮断回路、Ｑ１，Ｑ２ スイッチ、１３３ 電圧監視回路、１７ 通信制御部、２１〜２４，３１〜３８ コンタクタ、Ｍ１〜Ｍ４ モータ。

Claims (12)

1. 第１の電源から電力の供給を受けて、各々が出力信号を出力する複数の出力回路と、
   前記複数の出力回路の各々に対応して少なくとも１個設けられ、当該対応する出力回路からの前記出力信号を受けている間、導通状態に保持される複数のコンタクタとを備え、
   第２の電源から電力の供給を受ける複数の負荷の各々に、前記複数のコンタクタのうちの２個のコンタクタが直列に接続され、
   前記複数の負荷の稼働が禁止されるべき旨を示す入力信号を発生させる入力装置と、
   前記入力装置からの前記入力信号を受けるとともに、前記複数の出力回路のうちのいずれかにおける異常を監視する制御部と、
   前記第１の電源から前記複数の出力回路への給電経路に設けられ、前記第１の電源から前記複数の出力回路への電力供給を遮断できるように構成された電力遮断部とをさらに備え、
   前記制御部は、第１および第２の停止モードを有し、
   前記第１の停止モードは、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、当該検出結果に対応する出力回路を制御して、前記対応する出力回路からの前記出力信号の出力を停止させるとともに、前記複数の出力回路のうちの前記対応する出力回路を除く出力回路には前記出力信号の出力を許可する停止モードであり、
   前記第２の停止モードは、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記複数の出力回路への電力供給を一括して遮断するように前記電力遮断部を制御して、前記複数の出力回路の各々からの前記出力信号の出力を停止させる停止モードである、制御システム。
2. 前記複数の出力回路は、前記複数のコンタクタにそれぞれ前記出力信号を出力するように構成されており、
   前記第１の停止モードにおいて、前記制御部は、前記２個のコンタクタにそれぞれ対応する２個の出力回路のうちのいずれか一方に異常を検出した場合に、前記負荷への電力供給を遮断するように前記２個の出力回路のうちの他方を制御する、請求項１に記載の制御システム。
3. 前記複数の出力回路の各々は、前記複数のコンタクタのうちの前記２個のコンタクタに
   前記出力信号を出力するように構成されており、
   前記第２の停止モードにおいて、前記制御部は、前記複数の出力回路のうちのいずれかに異常を検出した場合に、前記複数の出力回路への電力供給を一括して遮断するように前記電力遮断部を制御する、請求項１に記載の制御システム。
4. 前記制御部は、第１および第２の制御回路を含み、
   前記第１および第２の制御回路は、
   互いに同期して、前記入力信号と、前記複数の出力回路のうちの対応する出力回路の異常とを監視して、当該監視結果を前記第１および第２の制御回路の間で共有するように構成されており、
   前記第１の停止モードにおいて、前記第１および第２の制御回路のうちの一方が、前記複数の出力回路のうちの同一の負荷に対応する２個の出力回路の一方に異常を検出したときに、前記第１および第２の制御回路のうちの他方は、前記負荷への電力供給を遮断するように前記２個の出力回路のうちの他方を制御する、請求項２に記載の制御システム。
5. 前記第１および第２の制御回路の各々は、前記２個の出力回路のうちの対応する出力回路に応答させるための第１の診断信号を出力して、前記対応する出力回路からの前記第１の診断信号に対する応答が無い場合に、前記対応する出力回路に異常が発生したと判断する、請求項４に記載の制御システム。
6. 前記電力遮断部は、前記第１の電源から前記複数の出力回路への給電経路に直列に接続された第１および第２の電力遮断回路を含み、
   前記第１および第２の電力遮断回路は、前記第１の電源から前記複数の出力回路への電力供給を一括して遮断できるように構成される、請求項１〜５のいずれか一項に記載の制御システム。
7. 前記電力遮断部は、前記複数の出力回路の各々に対応して設けられる第１および第２の電力遮断回路を含み、
   前記第１および第２の電力遮断回路の各々は、前記第１の電源から当該対応する出力回路への給電経路に直列に接続されて、前記第１の電源から前記対応する出力回路への電力の供給を遮断するように構成され、
   前記制御部は、前記第１の停止モードにおいて前記対応する出力回路に異常を検出した場合に、前記対応する出力回路への電力の供給を遮断するように前記第１および第２の電力遮断回路を制御する、請求項１〜５のいずれか一項に記載の制御システム。
8. 前記制御システムは、表示部を含む操作装置をさらに備え、
   前記操作装置は、前記第１および第２の停止モードのうちのいずれか一方を選択する使用者の操作を受け付けて、当該選択された停止モードを前記制御部に設定するとともに、前記表示部に表示する、請求項１に記載の制御システム。
9. 前記電力遮断部は、前記第１の電源の電圧を監視する電圧監視回路を含み、
   前記電力遮断部は、当該監視結果の電圧値を所定の基準値と比較して、前記電圧値が前記所定の基準値よりも大きい場合に、前記第１の電源から前記複数の出力回路への電力供給を遮断する、請求項１に記載の制御システム。
10. 各々が、出力信号を受けている間、導通状態に保持される複数のコンタクタが接続される制御装置であって、
    第１の電源から電力の供給を受けて、各々が前記出力信号を出力する複数の出力回路を備え、
    前記複数の出力回路の各々に対応して前記複数のコンタクタのうちの少なくとも１個の
    コンタクタが設けられるとともに、第２の電源から電力の供給を受ける複数の負荷の各々に、前記複数のコンタクタのうちの２個のコンタクタが直列に接続され、
    前記複数の負荷の稼働が禁止されるべき旨を示す入力信号を受けるとともに、前記複数の出力回路のうちのいずれかにおける異常を監視する制御部と、
    前記第１の電源から前記複数の出力回路への給電経路に設けられ、前記第１の電源から前記複数の出力回路への電力供給を遮断できるように構成された電力遮断部とをさらに備え、
    前記制御部は、第１および第２の停止モードを有し、
    前記第１の停止モードは、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、当該検出結果に対応する出力回路を制御して、前記対応する出力回路からの前記出力信号の出力を停止させるとともに、前記複数の出力回路のうちの前記対応する出力回路を除く出力回路には前記出力信号の出力を許可する停止モードであり、
    前記第２の停止モードは、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記複数の出力回路への電力供給を一括して遮断するように前記電力遮断部を制御して、各前記複数の出力回路からの前記出力信号の出力を停止させる停止モードである、制御装置。
11. 第１および第２の停止モードを有する制御システムの制御方法であって、
    前記制御システムは、
    第１の電源から電力の供給を受けて、各々が出力信号を出力する複数の出力回路と、
    前記複数の出力回路の各々に対応して少なくとも１個設けられ、当該対応する出力回路からの前記出力信号を受けている間、導通状態に保持される複数のコンタクタとを備え、
    第２の電源から電力の供給を受ける複数の負荷の各々に、前記複数のコンタクタのうちの２個のコンタクタが直列に接続され、
    前記複数の出力回路を制御する制御部をさらに備え、
    前記第１および第２の停止モードのうちのいずれか一方を使用者に選択させるステップと、
    前記制御システムを前記第１の停止モードに設定するステップと、
    前記第１の停止モードにおいて、前記複数の負荷の稼働が禁止されるべき旨を示す入力信号と、前記複数の出力回路における異常とを監視するステップと、
    前記第１の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、当該検出結果が示す出力回路に制御信号を出力するステップと、
    前記第１の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記制御信号を受けた出力回路に対応するコンタクタを遮断させるステップと、
    前記制御システムを前記第２の停止モードに設定するステップと、
    前記第２の停止モードにおいて、前記複数の負荷の稼働が禁止されるべき旨を示す入力信号と、前記複数の出力回路における異常とを監視するステップと、
    前記第２の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、当該検出結果が示す出力回路に前記制御信号を出力するステップと、
    前記第２の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記制御信号を受けた出力回路に対応するコンタクタを遮断させるステップと、
    前記第２の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記第１の電源から前記複数の出力回路への電力供給を遮断するステップとを有する、制御システムの制御方法。
12. 第１および第２の停止モードを有する制御システムに負荷への電力の供給を制御させるための制御プログラムであって、
    前記制御システムは、
    第１の電源から電力の供給を受けて、各々が出力信号を出力する複数の出力回路と、
    前記複数の出力回路の各々に対応して少なくとも１個設けられ、当該対応する出力回路からの前記出力信号を受けている間、導通状態に保持される複数のコンタクタとを備え、
    第２の電源から電力の供給を受ける複数の負荷の各々に、前記複数のコンタクタのうちの２個のコンタクタが直列に接続され、
    前記複数の出力回路を制御する制御部をさらに備え、
    前記第１および第２の停止モードのうちのいずれか一方を使用者に選択させるステップと、
    前記制御システムを前記第１の停止モードに設定するステップと、
    前記第１の停止モードにおいて、前記複数の負荷の稼働が禁止されるべき旨を示す入力信号と、前記複数の出力回路における異常とを監視するステップと、
    前記第１の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、当該検出結果が示す出力回路に制御信号を出力するステップと、
    前記第１の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記制御信号を受けた出力回路に対応するコンタクタを遮断させるステップと、
    前記制御システムを前記第２の停止モードに設定するステップと、
    前記第２の停止モードにおいて、前記複数の負荷の稼働が禁止されるべき旨を示す入力信号と、前記複数の出力回路における異常とを監視するステップと、
    前記第２の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、当該検出結果が示す出力回路に前記制御信号を出力するステップと、
    前記第２の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記制御信号を受けた出力回路に対応するコンタクタを遮断させるステップと、
    前記第２の停止モードにおいて、前記複数の出力回路のうちのいずれかにおける異常を検出した場合に、前記第１の電源から前記複数の出力回路への電力供給を遮断するステップとを前記制御システムに実行させる、制御プログラム。

Images