JP7014102B2 - 産業機器用の機能安全モジュール - Google Patents

Description

本発明は、産業機器間に接続され、産業機器の状態に応じて安全を管理する機能安全モジュールに関する。

従来、ロボット等の設備に動作及び停止を指令するＰＬＣ（Programmable Logic Controller）とスイッチとの間に接続され、スイッチの状態に応じて安全を管理する機能安全モジュールがある（特許文献１参照）。特許文献１に記載の機能安全モジュールは、スイッチが押された時に、ＰＬＣとスイッチとの通信を遮断し、ＰＬＣによりロボットを停止させている。

特開２０１８－０３２０８６号公報

ところで、機能安全モジュールを確実に動作させるために、機能安全モジュールの制御部を二重系にする場合がある。この場合、第１制御部から第２制御部に動作シーケンス（動作指令の順序）を送信し、第２制御部は受信した動作シーケンスが動作シーケンスの期待値と一致するか否か判定する。動作シーケンスが期待値と一致しない場合は、第２制御部から第１制御部へ動作シーケンスの再送信を要求し、第２制御部は動作シーケンスを再受信する。そして、第２制御部は、再受信した動作シーケンスと期待値とが、一致する場合に第１制御部が正常であると判定し、一致しない場合に第１制御部が異常であると判定する。

上記判定方法によれば、１回目に送信した動作シーケンスにノイズが混入した場合であっても、動作シーケンスを再送信して再判定することにより、第１制御部が異常であると誤判定することを抑制することができる。しかし、動作シーケンスの再送信及び再判定が必要になるため、判定終了までの時間が長くなるおそれがある。

本発明は、上記課題を解決するためになされたものであり、その主たる目的は、産業機器用の機能安全モジュールにおいて、二重系の制御部の一方が異常であると誤判定することを抑制しつつ、制御部が正常であるか否かの判定を迅速に行うことにある。

上記課題を解決するための第１の手段は、
産業機器間に接続され、産業機器の状態に応じて安全を管理する機能安全モジュールであって、
複数の動作指令を含む共通の所定動作指令を実行する第１制御部と第２制御部とを備え、
前記第１制御部は、
前記第１制御部が実行した各動作指令に対応した各電圧値を示す各デジタル信号を順次出力する電圧値出力部と、
前記電圧値出力部により順次出力された前記各デジタル信号を、所定期間継続する各アナログ電圧に順次変換して送信する第１変換部と、を備え、
前記第２制御部は、
前記第１変換部により順次送信された前記各アナログ電圧を受信して順次、前記各アナログ電圧に対応した各電圧値を示す各デジタル信号に前記所定期間内に複数回変換して出力する第２変換部と、
前記第２変換部により順次出力された複数の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との比較に基づいて、前記第１制御部が正常であるか否か判定する判定部と、を備える。

上記構成によれば、機能安全モジュールは、産業機器間に接続され、産業機器の状態に応じて安全を管理する。第１制御部と第２制御部とによって、複数の動作指令を含む共通の所定動作指令が実行される。このため、第２制御部は、第１制御部が実行する所定動作指令（期待値）を予め把握している。

ここで、第１制御部では、電圧値出力部は、第１制御部が実行した各動作指令に対応した各電圧値を示す各デジタル信号を順次出力する。そして、第１変換部は、順次出力された各デジタル信号を、所定期間継続する各アナログ電圧に順次変換して送信する。このため、第１制御部が実行した一連の動作指令（動作シーケンス）は、所定期間継続する各アナログ電圧が順次送信されることで表される。

第２制御部では、第２変換部は、順次送信された各アナログ電圧を受信して順次、各アナログ電圧に対応した各電圧値を示す各デジタル信号に上記所定期間内に複数回変換して出力する。このため、各動作指令に対応する各アナログ電圧を、所定期間内に複数回出力することができる。さらに、各アナログ電圧の大きさが各動作指令を表すため、各動作指令を表すデジタル信号を送信する期間と比較して、継続して各アナログ電圧を送信する所定期間を短くすることができる。

そして、判定部は、第２変換部により順次出力された複数の各デジタル信号と、第２制御部の所定動作指令の各動作指令に対応した各デジタル信号との比較に基づいて、第１制御部が正常であるか否か判定する。第２制御部と第１制御部は二重系であるが故に同じ処理を同じタイミングで行うので、第１制御部から上述のような「第１制御部が実行した各動作指令に対応した各電圧値を示す各デジタル信号」のように動作指令毎に異なる複雑な信号に基づく判定信号が送られてきても、第２制御部はその判定用の比較データを第１制御部に追従して生成することができる。このため、第２制御部は判定用の比較データを第１制御部から受信する必要がなく、判定までの時間を短縮することができる。またこの「第１制御部が実行した各動作指令に対応した各電圧値を示す各デジタル信号」を元にした信号であれば、一続きの信号内でも最初から最後まで一様であることはなく複雑に変化する。このため、一続きの信号内でも判定タイミングが変われば異なる信号状態となることから、１回の信号送信で第１制御部が実行した各動作指令が正常であるか否かを、実質的に複数回判定することができるようになり、判定の精度を向上させることができる。したがって、産業機器用の機能安全モジュールにおいて、第１制御部が異常であると誤判定することを抑制しつつ、第１制御部が正常であるか否かの判定を迅速に行うことができる。

第２の手段では、前記第２変換部は、前記受信した前記各アナログ電圧を、前記各アナログ電圧に対応した各電圧値を示す各デジタル信号に前記所定期間内に３回以上変換して出力し、前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との比較結果により信号の連続性を確認し、前記第１制御部が正常であるか否か判定する。

上記構成によれば、第２変換部は、受信した各アナログ電圧を、各アナログ電圧に対応した各電圧値を示す各デジタル信号に所定期間内に３回以上変換して出力する。このため、第１制御部が実行した各動作指令が正常であるか否か実質的に判定する回数を、３回以上にすることができる。さらに、３つ以上の各デジタル信号と、所定動作指令の各動作指令に対応した各デジタル信号との比較結果により信号の連続性を確認し、第１制御部が正常であるか否か判定することができる。

具体的には、第３の手段では、前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが、同一とみなす結果の連続性が確認できた場合に、前記第１制御部が正常であると判定する。

具体的には、第４の手段では、前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが、同一とみなさない結果の数が同一とみなす結果の数よりも多い場合に、前記第１制御部が異常であると判定する。なお、第１制御部が実行した動作指令が正常である場合に、第２変換部により出力された３つ以上の各デジタル信号と、所定動作指令の各動作指令に対応した各デジタル信号とが、同一とみなさない結果の数が同一とみなす結果の数よりも多くなる可能性がある。その場合、第１制御部が正常である場合に異常であると誤判定されるが、第１制御部が異常である場合に正常であると誤判定される場合と比べて、安全性が問題となる可能性は低い。

第５の手段では、前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが、同一とみなす結果の数が同一とみなさない結果の数よりも多く、且つ同一とみなさない結果が少なくとも１つ生じている場合に、ノイズが発生したと判定する。このため、第１制御部が正常であるか否の判定に限らず、ノイズが発生したことを判定することができる。

第６の手段では、前記判定部は、前記第２変換部により出力された前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との相違度合が所定度合よりも小さいことを条件として、前記第２変換部により出力された前記各デジタル信号と前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが同一であるとみなす。

上記構成によれば、第１制御部が実行した各動作指令が異常である場合は、第２変換部により出力された各デジタル信号と、所定動作指令の各動作指令に対応した各デジタル信号との相違度合が所定度合よりも大きくなる。このため、第２変換部により出力された各デジタル信号と所定動作指令の各動作指令に対応した各デジタル信号とが同一であるとみなされない。一方、第１制御部が実行した各動作指令が正常である場合は、第２変換部により出力された各デジタル信号と、所定動作指令の各動作指令に対応した各デジタル信号との相違度合が所定度合よりも小さくなる。このため、第２変換部により出力された各デジタル信号と所定動作指令の各動作指令に対応した各デジタル信号とが同一であるとみなされる。なお、２つのデジタル信号の相違度合が所定度合よりも小さいことは、２つのデジタル信号の差の絶対値が正の閾値よりも小さいことや、２つのデジタル信号の比の値が１を含む所定範囲内であることにより判定することができる。

また、第１制御部が実行した各動作指令が異常であり、且つ第１変換部により送信された各アナログ電圧にノイズが混入した場合に、正常な各動作指令に対応する各アナログ電圧に、受信した各アナログ電圧が偶然近くなることは希である。このため、第１制御部が実行した各動作指令が異常である場合に、第１制御部が実行した各動作指令が正常であると誤判定することを抑制することができる。

第７の手段では、前記判定部は、前記第２変換部により順次出力された複数の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との比較に基づいて、前記第１変換部及び前記第２変換部の少なくとも一方が異常であると判定する。例えば、第２変換部により出力された各デジタル信号がいずれも、所定動作指令の各動作指令に対応した各デジタル信号として取り得ない値である場合に、第１変換部及び第２変換部の少なくとも一方が異常であると判定することができる。

ロボットシステムの模式図。 マイコンＡ及びマイコンＢを示す模式図。 正常時のアナログ電圧を示すタイムチャート。 正常時（ノイズ混入）のアナログ電圧を示すタイムチャート。 シーケンス異常時のアナログ電圧を示すタイムチャート。 シーケンス異常時（ノイズ混入）のアナログ電圧を示すタイムチャート。 正常時（ノイズ混入）のアナログ電圧を示すタイムチャート。

以下、ロボットシステムの機能安全モジュールの一実施形態について、図面を参照して説明する。ロボットシステムは、機械組立工場などの組立システムで用いられる。

図１に示すように、ロボットシステムは、ロボット１３０、コントローラ１２０、安全ＰＬＣ１００、機能安全モジュール２０、及び非常停止スイッチ１１０を備えている。

安全ＰＬＣ１００（産業機器）は、コントローラ１２０とケーブルで接続されている。コントローラ１２０は、ロボット１３０とケーブルで接続されている。安全ＰＬＣ１００は、コントローラ１２０に対してロボット１３０の動作指令及び停止指令を出力する。コントローラ１２０は、安全ＰＬＣ１００から入力された動作指令に基づいて、ロボット１３０の動作を制御する。なおロボット１３０としては、例えば、６軸の垂直多関節型ロボットや、水平多関節型ロボットを用いることができる。なお、安全ＰＬＣ１００には、図示しない上位のコントローラも接続されている。

機能安全モジュール２０には、安全ＰＬＣ１００と非常停止スイッチ１１０（産業機器）とがＬＡＮ等の通信線によって接続されている。本実施形態では、機能安全モジュール２０として、安全ＰＬＣ１００と非常停止スイッチ１１０との間の通信を行うリモートＩ／Ｏを用いている。すなわち、機能安全モジュール２０は、安全ＰＬＣ１００と非常停止スイッチ１１０との間に接続され、非常停止スイッチ１１０の状態に応じて安全を管理する。

作業者によって非常停止スイッチ１１０が押されている場合、非常停止スイッチ１１０からロボット１３０を非常停止させる非常停止信号が出力される。一方、作業者によって非常停止スイッチ１１０が押されていない場合、非常停止スイッチ１１０から非常停止信号が出力されない。

機能安全モジュール２０は、マイコンＡ３０、マイコンＢ４０、入力回路Ａ３６、及び入力回路Ｂ４６を備えている。

入力回路Ａ３６，入力回路Ｂ４６は、それぞれ非常停止スイッチ１１０から非常停止信号を入力する。入力回路Ａ３６，入力回路Ｂ４６は、入力した非常停止信号をそれぞれマイコンＡ３０，マイコンＢ４０へ出力する。マイコンＡ３０（第１制御部），マイコンＢ４０（第２制御部）は、入力回路Ａ３６，入力回路Ｂ４６から入力した非常停止信号をそれぞれ安全ＰＬＣ１００へ出力する。マイコンＡ３０，マイコンＢ４０は、それぞれ入力回路Ａ３６，入力回路Ｂ４６から非常停止信号入力して出力する処理において、複数の動作指令を含む共通の所定動作指令を実行する。

安全ＰＬＣ１００は、マイコンＡ３０，マイコンＢ４０のいずれからも非常停止信号を入力していない場合に、コントローラ１２０へ動作指令を出力する。安全ＰＬＣ１００は、マイコンＡ３０，マイコンＢ４０の少なくとも一方から非常停止信号を入力している場合に、コントローラ１２０へ停止指令を出力する。

図２は、マイコンＡ３０及びマイコンＢ４０を示す模式図である。マイコンＡ３０は、ＣＰＵ３１、電圧値出力部３２、ＤＡＣ（Digital to Analog Converter）３３を備えている。ＣＰＵ３１は、上記所定動作指令を実行する。所定動作指令（動作シーケンス）は、例えば動作指令ａ，ｂ，ｃの順で規定された一連の動作指令である。ＣＰＵ３１は、実行した動作指令を順に記録して動作シーケンス（シーケンスレポート）とする。

電圧値出力部３２は、記録された動作シーケンスに基づいて、ＣＰＵ３１が実行した各動作指令ａ，ｂ，ｃに対応した各電圧値１Ｖ，２Ｖ，３Ｖを示す各デジタル信号を順次出力する。動作指令ａは１Ｖの電圧値に対応し、動作指令ｂは２Ｖの電圧値に対応し、動作指令ｃは３Ｖの電圧値に対応し、動作指令ｄは４Ｖの電圧値に対応している。すなわち、互いに異なる各動作指令は、互いに異なる各電圧値に対応している。そして、電圧値出力部３２は、各電圧値１Ｖ，２Ｖ，３Ｖを示す各デジタル信号ｄｓ（１Ｖ），ｄｓ（２Ｖ），ｄｓ（３Ｖ）を順次出力する。なお、ここでは、ＣＰＵ３１が所定動作指令を正常に実行した場合を例に説明している。

ＤＡＣ３３（第１変換部）は、電圧値出力部３２により順次出力された各デジタル信号ｄｓ（１Ｖ），ｄｓ（２Ｖ），ｄｓ（３Ｖ）を、所定期間Ｔ継続する各アナログ電圧１Ｖ，２Ｖ，３Ｖに順次変換して送信する。例えば図３に示すように、ＤＡＣ３３は、時刻ｔ１～ｔ２までの所定期間Ｔにわたって１Ｖのアナログ電圧を送信し、時刻ｔ２～ｔ３までの所定期間Ｔにわたって２Ｖのアナログ電圧を送信し、時刻ｔ３～ｔ４までの所定期間Ｔにわたって３Ｖのアナログ電圧を送信する。

マイコンＢ４０は、ＣＰＵ４１、判定部４２、ＡＤＣ（Analog to Digital Converter）４３を備えている。ＣＰＵ４１は、上記所定動作指令を実行する。ＣＰＵ４１は、所定動作指令の各動作指令ａ，ｂ，ｃに対応した各デジタル信号ｄｓ（１Ｖ），ｄｓ（２Ｖ），ｄｓ（３Ｖ）を、マイコンＡ３０が実行する所定動作指令の各動作指令ａ，ｂ，ｃに対応した期待値として有している。

ＡＤＣ４３（第２変換部）は、ＤＡＣ３３により順次送信された各アナログ電圧１Ｖ，２Ｖ，３Ｖを受信して順次、各アナログ電圧１Ｖ，２Ｖ，３Ｖに対応した各電圧値を示す各デジタル信号ｄｓ（１Ｖ），ｄｓ（２Ｖ），ｄｓ（３Ｖ）に所定期間Ｔ内に複数回変換して出力する。例えば図３に示すように、ＤＡＣ３３は、時刻ｔ１～ｔ２までの所定期間Ｔ内に１Ｖのアナログ電圧をデジタル信号ｄｓ（１Ｖ）に３回変換して出力し、時刻ｔ２～ｔ３までの所定期間Ｔ内に２Ｖのアナログ電圧をデジタル信号ｄｓ（２Ｖ）に３回変換して出力し、時刻ｔ３～ｔ４までの所定期間Ｔ内に３Ｖのアナログ電圧をデジタル信号ｄｓ（３Ｖ）に３回変換して出力する。

所定期間Ｔは、１つの電圧値を示すデジタル信号ｄｓをシリアル通信でマイコンＡ３０からマイコンＢ４０へ送信するのに要する期間（例えば８０μｓ）よりも短く、且つＡＤＣ４３によりアナログ電圧をデジタル信号ｄｓに複数回（例えば３回）変換して出力可能な期間（例えば３μｓ）以上の期間である。なお、所定期間Ｔとして、３μｓよりも長く且つ８０μｓよりも短い期間を採用することができる（３μｓ＜Ｔ＜８０μｓ）。

図２に示すように、判定部４２は、ＡＤＣ４３により順次出力された複数の各デジタル信号と、所定動作指令（動作シーケンス期待値）の各動作指令に対応した各デジタル信号ｄｓとの比較に基づいて、マイコンＡ３０が正常であるか否か判定する。具体的には、判定部４２は、１つ目，２つ目，３つ目の所定期間Ｔにおいてそれぞれ出力されたデジタル信号ｄｓと、所定動作指令の１つ目，２つ目，３つ目の動作指令にそれぞれ対応するデジタル信号ｄｓとを比較する。判定部４２は、ＡＤＣ４３により出力された各デジタル信号ｄｓと、所定動作指令の各動作指令に対応した各デジタル信号ｄｓとの相違度合が所定度合よりも小さいことを条件として、ＡＤＣ４３により出力された各デジタル信号ｄｓと所定動作指令の各動作指令に対応した各デジタル信号ｄｓとが同一であるとみなす。

例えば図３に示すように、１つ目の動作指令に対応するアナログ電圧（時刻ｔ１～ｔ２）をＡＤＣ４３により変換して出力したデジタル信号ｄｓが、動作指令ａに対応する下限値ｔｈ１１よりも大きく且つ上限値ｔｈ１２よりも小さい場合に、ＡＤＣ４３により出力された１つ目のデジタル信号ｄｓと動作指令ａに対応するデジタル信号ｄｓ（１Ｖ）とが同一であるとみなす。すなわち、マイコンＡ３０により実行された１つ目の動作指令が、動作指令ａであったと判定する。例えば、下限値ｔｈ１１は０．９Ｖであり、上限値ｔｈ１２は１．１Ｖである。一方、ＡＤＣ４３により出力されたデジタル信号ｄｓが下限値ｔｈ１１以下である場合、及びＡＤＣ４３により出力されたデジタル信号ｄｓが上限値ｔｈ１２以上である場合は、ＡＤＣ４３により出力されたデジタル信号ｄｓと動作指令ａに対応するデジタル信号ｄｓ（１Ｖ）とが同一でないとみなす。すなわち、マイコンＡ３０により実行された１つ目の動作指令が、動作指令ａでなかったと判定する。そして、判定部４２は、２つ目及び３つ目の動作指令に対応するアナログ電圧（時刻ｔ２～ｔ３、時刻ｔ３～ｔ４）についても、同様に判定を行う。

さらに、判定部４２は、ＡＤＣ４３により出力された３つのデジタル信号ｄｓと、対応するデジタル信号ｄｓとの比較結果により信号の連続性を確認し、マイコンＡ３０が正常であるか否か判定する。詳しくは、判定部４２は、ＡＤＣ４３により出力された３つのデジタル信号ｄｓと、対応するデジタル信号ｄｓとが、同一とみなす結果の連続性が確認できた場合に、マイコンＡ３０が実行した動作指令、ひいてはマイコンＡ３０が正常であると判定する。

図４は、正常時にノイズが混入した場合のアナログ電圧を示すタイムチャートである。時刻ｔ１～ｔ２において、判定部４２は、ＡＤＣ４３により出力された３つのデジタル信号ｄｓのうち、時刻ｔ１１に出力された１つのデジタル信号ｄｓはデジタル信号ｄｓ（１Ｖ）と同一でないとみなし、残りの２つデジタル信号ｄｓは動作指令ａに対応するデジタル信号ｄｓ（１Ｖ）と同一であるとみなす。その結果、マイコンＡ３０により実行された１つ目の動作指令が正常であると判定する。また、判定部４２は、マイコンＡ３０により実行された２つ目及び３つ目の動作指令（時刻ｔ２～ｔ３、時刻ｔ３～ｔ４）が正常であると判定する。したがって、判定部４２は、総合結果としてマイコンＡ３０が正常であると判定する。

図５は、シーケンス異常時のアナログ電圧を示すタイムチャートである。時刻ｔ１～ｔ２において、判定部４２は、ＡＤＣ４３により出力された３つのデジタル信号ｄｓは、いずれもデジタル信号ｄｓ（１Ｖ）と同一でないとみなす。その結果、マイコンＡ３０により実行された１つ目の動作指令が異常であると判定する。また、判定部４２は、マイコンＡ３０により実行された２つ目及び３つ目の動作指令（時刻ｔ２～ｔ３、時刻ｔ３～ｔ４）が正常であると判定する。したがって、判定部４２は、総合結果としてマイコンＡ３０が異常であると判定する。

図６は、シーケンス異常時にノイズが混入した場合のアナログ電圧を示すタイムチャートである。時刻ｔ１～ｔ２において、判定部４２は、ＡＤＣ４３により出力された３つのデジタル信号ｄｓのうち、時刻ｔ１１に出力された１つのデジタル信号ｄｓはデジタル信号ｄｓ（１Ｖ）と同一であるとみなし、残りの２つのデジタル信号ｄｓは動作指令ａに対応するデジタル信号ｄｓ（１Ｖ）と同一でないとみなす。その結果、マイコンＡ３０により実行された１つ目の動作指令が異常であると判定する。また、判定部４２は、マイコンＡ３０により実行された２つ目及び３つ目の動作指令（時刻ｔ２～ｔ３、時刻ｔ３～ｔ４）が正常であると判定する。したがって、判定部４２は、総合結果としてマイコンＡ３０が異常であると判定する。ただし、ノイズが混入した場合に、時刻ｔ１１に出力されたデジタル信号ｄｓが、偶然デジタル信号ｄｓ（１Ｖ）の下限値ｔｈ１１と上限値ｔｈ１２との間になることは希である。

図７は、正常時にノイズが混入した場合のアナログ電圧を示すタイムチャートである。時刻ｔ１～ｔ２において、判定部４２は、ＡＤＣ４３により出力された３つのデジタル信号ｄｓのうち、時刻ｔ１１に出力された１つのデジタル信号ｄｓはデジタル信号ｄｓ（１Ｖ）と同一であるとみなし、残りの２つのデジタル信号ｄｓは動作指令ａに対応するデジタル信号ｄｓ（１Ｖ）と同一でないとみなす。その結果、１つ目の動作指令は正常であるにもかかわらず、判定部４２は、マイコンＡ３０により実行された１つ目の動作指令が異常であると判定する。また、判定部４２は、マイコンＡ３０により実行された２つ目及び３つ目の動作指令（時刻ｔ２～ｔ３、時刻ｔ３～ｔ４）が正常であると判定する。したがって、判定部４２は、総合結果としてマイコンＡ３０が異常であると判定する。すなわち、判定部４２は、マイコンＡ３０が正常である場合に異常であると誤判定する。しかし、マイコンＡ３０が異常である場合に正常であると誤判定される場合と比べて、安全性が問題となる可能性は低い。

以上詳述した本実施形態は、以下の利点を有する。

・マイコンＢ４０では、ＡＤＣ４３は、順次送信された各アナログ電圧を受信して順次、各アナログ電圧に対応した各電圧値を示す各デジタル信号ｄｓに上記所定期間Ｔ内に複数回変換して出力する。このため、各動作指令に対応する各アナログ電圧を、所定期間Ｔ内に複数回出力することができる。さらに、各アナログ電圧の大きさが各動作指令を表すため、各動作指令を表すデジタル信号ｄｓを送信する期間と比較して、継続して各アナログ電圧を送信する所定期間Ｔを短くすることができる。

・判定部４２は、ＡＤＣ４３により順次出力された複数の各デジタル信号ｄｓと、所定動作指令の各動作指令に対応した各デジタル信号ｄｓとの比較に基づいて、マイコンＡ３０が正常であるか否か判定する。このため、マイコンＡ３０が実行した各動作指令が正常であるか否かを、実質的に複数回判定することができる。したがって、産業機器用の機能安全モジュールにおいて、マイコンＡ３０が異常であると誤判定することを抑制しつつ、マイコンＡ３０が正常であるか否かの判定を迅速に行うことができる。特に、単体のデジタル信号ｄｓに対し監視を行うだけでなく、マイコンＢ４０が本来受信するべきシーケンスパターン（動作シーケンス）全体を監視することにより、シーケンスパターンの順序を正確に守れているか否かを確認することができる。これにより、一見正常に動作しているかのように見える場合であっても、本来実行すべきプログラム（動作指令）の異常なスキップを検知可能である。

・ＡＤＣ４３は、受信した各アナログ電圧を、各アナログ電圧に対応した各電圧値を示す各デジタル信号ｄｓに所定期間Ｔ内に３回変換して出力する。このため、マイコンＡ３０が実行した各動作指令が正常であるか否か実質的に判定する回数を、３回にすることができる。さらに、３つ各デジタル信号ｄｓと、所定動作指令の各動作指令に対応した各デジタル信号ｄｓとの比較結果により信号の連続性を確認し、マイコンＡ３０が正常であるか否か判定することができる。

・マイコンＡ３０が実行した各動作指令が異常である場合は、ＡＤＣ４３により出力された各デジタル信号ｄｓと、所定動作指令の各動作指令に対応した各デジタル信号ｄｓとの相違度合が所定度合よりも大きくなる。このため、ＡＤＣ４３により出力された各デジタル信号ｄｓと所定動作指令の各動作指令に対応した各デジタル信号ｄｓとが同一であるとみなされない。一方、マイコンＡ３０が実行した各動作指令が正常である場合は、ＡＤＣ４３により出力された各デジタル信号ｄｓと、所定動作指令の各動作指令に対応した各デジタル信号ｄｓとの相違度合が所定度合よりも小さくなる。このため、ＡＤＣ４３により出力された各デジタル信号ｄｓと所定動作指令の各動作指令に対応した各デジタル信号ｄｓとが同一であるとみなされる。

・マイコンＡ３０が実行した各動作指令が異常であり、且つＤＡＣ３３により送信された各アナログ電圧にノイズが混入した場合に、正常な各動作指令に対応する各アナログ電圧に、受信した各アナログ電圧が偶然近くなることは希である。このため、マイコンＡ３０が実行した各動作指令が異常である場合に、マイコンＡ３０が実行した各動作指令が正常であると誤判定することを抑制することができる。

・電圧値出力部３２により出力された各デジタル信号の継続期間が所定期間Ｔからずれた場合も、ＡＤＣ４３により出力された各デジタル信号ｄｓと所定動作指令の各動作指令に対応した各デジタル信号ｄｓとが同一であるとみなされなくなるため、判定部４２はマイコンＡ３０が異常であると判定することができる。

なお、上記実施形態を、以下のように変更して実施することもできる。上記実施形態と同一の部分については、同一の符号を付すことにより説明を省略する。

・判定部４２は、ＡＤＣ４３により順次出力された複数の各デジタル信号と、所定動作指令の各動作指令に対応した各デジタル信号との比較に基づいて、ＤＡＣ３３及びＡＤＣ４３の少なくとも一方が異常であると判定してもよい。具体的には、ＡＤＣ４３により出力されたデジタル信号がいずれも、所定動作指令の各動作指令に対応した各デジタル信号として取り得ない値である場合、例えば１．５Ｖと２．５Ｖと３．５Ｖである場合や、一律に０Ｖである場合に、ＤＡＣ３３及びＡＤＣ４３の少なくとも一方が異常であると判定することができる。

・ＤＡＣ３３は、ＣＰＵ３１が所定動作指令を実行した後に、最後に実行された動作指令に対応するアナログ電圧から、最初に実行された動作指令に対応するアナログ電圧まで順に送信してもよい。そして、ＣＰＵ４１は、所定動作指令の各動作指令ａ，ｂ，ｃに対応した各デジタル信号ｄｓ（１Ｖ），ｄｓ（２Ｖ），ｄｓ（３Ｖ）を、マイコンＡ３０が実行する所定動作指令の各動作指令ａ，ｂ，ｃに逆順で対応する期待値として有していてもよい。

・判定部４２は、ＡＤＣ４３により出力された４つ以上のデジタル信号ｄｓと、所定動作指令の各動作指令に対応するデジタル信号ｄｓとの比較結果により信号の連続性を確認し、マイコンＡ３０が正常であるか否か判定してもよい。また、判定部４２は、ＡＤＣ４３により出力された３つ（４つ）以上のデジタル信号ｄｓと、所定動作指令の各動作指令に対応するデジタル信号ｄｓとの比較結果の多数決により、マイコンＡ３０が正常であるか否か判定してもよい。

・判定部４２は、２つのデジタル信号の相違度合が所定度合よりも小さいことを、２つのデジタル信号の比の値が１を含む所定範囲内であることにより判定してもよい。例えば、ＤＣ４３により出力された各デジタル信号ｄｓと所定動作指令の各動作指令に対応する各デジタル信号ｄｓとの比の値が、０．９よりも大きく且つ１．１よりも小さい場合に、これらのデジタル信号ｄｓの相違度合が所定度合よりも小さいと判定する。

・判定部４２は、ＡＤＣ４３により出力された３つ以上の各デジタル信号と、所定動作指令の各動作指令に対応した各デジタル信号とが、同一とみなす結果の数が同一とみなさない結果の数よりも多く、且つ同一とみなさない結果が少なくとも１つ生じている場合に、ノイズが発生したと判定してもよい。例えば、図４の時刻ｔ１～ｔ２のアナログ電圧に対して、判定部４２は、ノイズが発生したと判定してもよい。こうした構成によれば、判定部４２は、マイコンＡ３０が正常であるか否の判定に限らず、ノイズが発生したことを判定することができる。

・判定部４２は、所定期間Ｔにおいて、ＡＤＣ４３により出力された各デジタル信号と、所定動作指令の各動作指令に対応する各デジタル信号とを、同一とみなす期間の長さと同一とみなさない期間の長さとの比較に基づいて、マイコンＡ３０が正常であるか否か判定することもできる。

・電圧値出力部３２の機能をＣＰＵ３１が有していてもよい。判定部４２の機能をＣＰＵ４１が有していてもよい。

・マイコンＡ３０がＡＤＣ４３を備え、マイコンＢ４０がＤＡＣ３３を備えていてもよい。そして、マイコンＡ３０は、上記実施形態と同様に、マイコンＢ４０が正常であるか否か判定してもよい。

・機能安全モジュール２０は、安全ＰＬＣ１００と非常停止スイッチ１１０との間に接続され、非常停止スイッチ１１０の状態に応じて安全を管理する機能安全モジュールに限らない。すなわち、機能安全モジュール２０は、コントローラ１２０（産業機器）と非常停止スイッチ１１０との間に接続され、非常停止スイッチ１１０の状態に応じて安全を管理する機能安全モジュールであってもよい。また、機能安全モジュール２０は、安全ＰＬＣ１００と人感センサ（産業機器）との間に接続され、人感センサの状態に応じて安全を管理する機能安全モジュールであってもよい。

２０…機能安全モジュール、３０…マイコンＡ、３２…電圧値出力部、３３…ＤＡＣ、４０…マイコンＢ、４２…判定部、４３…ＡＤＣ、１００…安全ＰＬＣ、１１０…非常停止スイッチ、１２０…コントローラ、１３０…ロボット。

Claims (7)

1. 産業機器間に接続され、産業機器の状態に応じて安全を管理する機能安全モジュールであって、
   複数の動作指令を含む共通の所定動作指令を実行する第１制御部と第２制御部とを備え、
   前記第１制御部は、
   前記第１制御部が実行した各動作指令に対応した各電圧値を示す各デジタル信号を順次出力する電圧値出力部と、
   前記電圧値出力部により順次出力された前記各デジタル信号を、所定期間継続する各アナログ電圧に順次変換して送信する第１変換部と、を備え、
   前記第２制御部は、
   前記第１変換部により順次送信された前記各アナログ電圧を受信して順次、前記各アナログ電圧に対応した各電圧値を示す各デジタル信号に前記所定期間内に複数回変換して出力する第２変換部と、
   前記第２変換部により順次出力された複数の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との比較に基づいて、前記第１制御部が正常であるか否か判定する判定部と、を備える、
   産業機器用の機能安全モジュール。
2. 前記第２変換部は、前記受信した前記各アナログ電圧を、前記各アナログ電圧に対応した各電圧値を示す各デジタル信号に前記所定期間内に３回以上変換して出力し、
   前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との比較結果により信号の連続性を確認し、前記第１制御部が正常であるか否か判定する、請求項１に記載の産業機器用の機能安全モジュール。
3. 前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが、同一とみなす結果の連続性が確認できた場合に、前記第１制御部が正常であると判定する、請求項２に記載の産業機器用の機能安全モジュール。
4. 前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが、同一とみなさない結果の数が同一とみなす結果の数よりも多い場合に、前記第１制御部が異常であると判定する、請求項２又は３に記載の産業機器用の機能安全モジュール。
5. 前記判定部は、前記第２変換部により出力された３つ以上の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが、同一とみなす結果の数が同一とみなさない結果の数よりも多く、且つ同一とみなさない結果が少なくとも１つ生じている場合に、ノイズが発生したと判定する、請求項２～４のいずれか１項に記載の産業機器用の機能安全モジュール。
6. 前記判定部は、前記第２変換部により出力された前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との相違度合が所定度合よりも小さいことを条件として、前記第２変換部により出力された前記各デジタル信号と前記所定動作指令の前記各動作指令に対応した前記各デジタル信号とが同一であるとみなす、請求項１～５のいずれか１項に記載の産業機器用の機能安全モジュール。
7. 前記判定部は、前記第２変換部により順次出力された複数の前記各デジタル信号と、前記所定動作指令の前記各動作指令に対応した前記各デジタル信号との比較に基づいて、前記第１変換部及び前記第２変換部の少なくとも一方が異常であると判定する、請求項１～６のいずれか１項に記載の産業機器用の機能安全モジュール。

Images