JPWO2011135656A1 - 安全装置および故障検出方法 - Google Patents

Abstract

複数のセンサからの入力信号が不一致状態であるとき、不一致状態記録を保持し、複数のセンサからの入力信号が全てオフ状態であるとき、不一致状態記録を解放するラッチ回路（１２４）と、ラッチ回路（１２４）が不一致状態記録を保持している場合、複数のセンサのうちの少なくとも１つが故障していると判定し、ラッチ回路（１２４）が不一致状態記録を保持していない場合、複数のセンサの夫々は故障していないと判定するセンサ故障判定を、複数のセンサからの入力信号が全てオン状態となったタイミングで実行するアンド回路（１２３）と、を備える。

Description

本発明は、機器の安全状態を検知する多重化されたセンサからの入力信号に基づいて前記機器の動作を許可／不許可する安全装置および安全装置におけるセンサの故障検出方法に関する。

一般に、安全に関わるシステムにおいては、安全状態でオン出力するセンサを二重化し、２つのセンサがオン出力したときに動作を許可する安全装置が使用される（例えば特許文献１参照）。また、ＩＳＯ１３８４９−１のカテゴリ４の要求事項には、（１）単一故障により安全機能が喪失しない設計とすること、（２）次の安全機能が動作する時、又はそれ以前に単一故障が検出できる設計とすること、が含まれている。

前述の安全装置をＩＳＯ１３８４９−１のカテゴリ４に適合させるためには、２重化されたセンサのうちのどちらか一方でも故障したとき該故障を次の故障が発生するまでに検出する手段を実装することが求められる。従来、安全装置における故障検出手段には、２つのセンサからの入力信号が不一致状態となっている状態が予め設定された時間以上続いたとき、どちらか一方のセンサが故障していると判定するものがある。

特開２００５−３２６９８８号公報

しかしながら、センサの種類やセンサが配置される位置によってセンサがオン出力するタイミングが異なる。したがって、上記従来の故障検出手段を採用する場合、故障判定のための設定時間を安全状態の確認の対象毎に変える必要があったり、設定時間を決めることができない場合があった。

本発明は、上記に鑑みてなされたものであって、簡単にセンサの故障を検出することができる安全装置および故障検出方法を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、機器の安全状態を夫々検出する複数のセンサからの入力信号が全てオン状態であるか、全てオフ状態であるか、または前記センサ間で不一致状態であるかを判定する入力信号判定部と、前記入力信号判定部が前記複数のセンサからの入力信号が不一致状態であると判定したとき、不一致状態記録を保持し、前記入力信号判定部が前記複数のセンサからの入力信号が全てオフ状態であると判定したとき、前記不一致状態記録を解放する第１ラッチ記憶部と、前記第１ラッチ記憶部が前記不一致状態記録を保持している場合、前記複数のセンサのうちの少なくとも１つが故障していると判定し、前記第１ラッチ記憶部が前記不一致状態記録を保持していない場合、前記複数のセンサの夫々は故障していないと判定するセンサ故障判定を、前記入力信号判定部が前記複数のセンサからの入力信号が全てオン状態であると判定した第１のタイミングで実行するセンサ故障判定部と、前記複数のセンサからの入力信号および前記センサ故障判定部によるセンサ故障判定の判定結果に基づいて前記機器の動作を許可／不許可する動作許可／不許可部と、を備えることを特徴とする。

本発明にかかる安全装置は、簡単にセンサの故障を検出することができるという効果を奏する。

図１は、実施の形態１の安全装置が用いられるシステムを示す図である。 図２は、実施の形態１の安全装置の構成の一例を説明する図である。 図３は、センサ故障を検出しない場合の安全装置の動作パターンを説明するタイミングチャートである。 図４は、センサ故障を検出する場合の安全装置の動作パターンを説明するタイミングチャートである。 図５は、センサ入力の入力ポートを３つ備える場合の安全装置の構成の一例を説明する図である。 図６は、実施の形態２の安全装置の構成の一例を説明する図である。 図７は、センサ故障を検出する場合の動作パターンを説明するタイミングチャートである。 図８は、３つのセンサからの入力ポートを備える場合の安全装置の構成の一例を説明する図である。 図９は、実施の形態３の安全装置の構成の一例を説明する図である。 図１０は、実施の形態４の安全装置の構成の一例を説明する図である。 図１１は、実施の形態５の安全装置の構成の一例を説明する図である。 図１２は、実施の形態６の安全装置の構成の一例を説明する図である。 図１３は、実施の形態７の安全装置の構成の一例を説明する図である。 図１４は、センサ故障検出部の機能構成を説明する図である。 図１５は、センサ故障検出部によって実現される故障検出方法を説明するフローチャートである。 図１６は、実施の形態８の安全装置の構成の一例を説明する図である。 図１７は、センサ故障検出部の機能構成を説明する図である。 図１８は、センサ故障検出部の動作を説明するステートチャート図である。 図１９は、センサ故障検出部によって実現される故障検出方法を説明するフローチャートである。

以下に、本発明にかかる安全装置および故障検出方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明にかかる実施の形態１の安全装置が用いられるシステムを示す図である。図示するように、安全装置１は、産業用機器などの被制御装置３と、該被制御装置３に対して該被制御装置３を制御するための制御信号を送信する制御装置２と、に接続されている。

被制御装置３は、安全状態を確認するための複数（ここでは２つ）のセンサ（第１センサ３１、第２センサ３２）を備えている。センサ３１、３２の具体例としては、例えば機械駆動部への人体の進入などを検知するライトカーテンがあげられる。この場合、ライトカーテンは、ライトの遮光を検知したとき、オフ出力し、遮光を検知していないとき（すなわち人体の進入を検知していないとき）、オン出力する。また、センサ３１、３２の別の例として、機械駆動部に人体がアクセスするためのドアに設けられるドアスイッチがあげられる。この場合、ドアスイッチは、ドアが開状態であるとき、オフ出力し、ドアが閉状態であるとき（すなわち人体の進入を検知していないとき）、オン出力する。すなわち、センサ３１、３２は、安全状態であること検知したときオン出力し、安全状態が確認できないとき、オフ出力するようになっている。センサ３１、３２からの出力信号は、夫々安全装置１へ入力される。

安全装置１は、センサ３１、３２からの入力信号に基づいて被制御装置３の動作を許可するか許可しないかを判定する動作許可／不許可部１１と、センサ３１、３２のうちの１つが故障したとき、該故障を検出するセンサ故障検出部１２とを備えている。動作許可／不許可部１１による判定結果は動作許可／不許可信号線を介して制御装置２へ送信される。また、センサ故障検出部１２によるセンサ故障の検出結果は、センサ故障検出信号線を介して制御装置２へ送信される。

制御装置２は、動作許可／不許可信号によって動作を許可されたとき、被制御装置３を動作させることができ、許可されなかったとき、被制御装置３の動作を停止させる。また、制御装置２は、センサ故障検出信号によってセンサ故障が通知されたとき、被制御装置３の動作を停止させる。制御装置２は、センサ故障が通知されたとき、ユーザに対するセンサ故障の通知を行うようにしてもよい。

図２は、安全装置１の構成の一例を説明する図である。図２において、Ｘ０、Ｘ１は夫々センサ３１、３２からのセンサ信号の入力ポート、Ｙ０、Ｙ１は、夫々、動作許可／不許可信号、センサ故障検出信号の出力ポートである。なお、センサ３１、３２からの入力信号は、Ｈｉｇｈ（１）の状態がオン、Ｌｏｗ（０）の状態がオフであることを示すとする。また、動作許可／不許可信号に関し、Ｈｉｇｈ（１）の状態が動作許可状態、Ｌｏｗ（０）の状態が動作不許可状態であることとする。また、センサ故障検出信号に関し、Ｈｉｇｈ（１）の状態がセンサ故障検出状態、Ｌｏｗ（０）の状態がセンサ故障非検出状態であることとする。

動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。Ｘ０、Ｘ１に入力された入力信号（センサ入力）は、アンド回路１１０の入力端に夫々入力される。アンド回路１１０による演算結果はアンド回路１１１の１つの入力端に入力される。センサ故障検出部１２による検出結果は、インバータ１１２を介してアンド回路１１１のもう１つの入力端に入力される。アンド回路１１１の演算結果は、ポートＹ０を介して制御装置２へ出力される。すなわち、動作許可／不許可部１１は、センサ３１、３２が双方ともオン出力しており、かつセンサ故障検出部１２がセンサ故障を検出していないとき、被制御装置３の動作を許可し、センサ３１、３２のうちの少なくとも一方がオフ出力しているか、センサ故障検出部１２がセンサ故障を検出しているとき、被制御装置３の動作を許可しない。

センサ故障検出部１２は、アンド回路１２０、ノア回路１２１、ＸＯＲ回路１２２、アンド回路１２３（センサ故障判定部）、ラッチ回路１２４を備えている。アンド回路１２０、ノア回路１２１、およびＸＯＲ回路１２２は、夫々の入力端に、Ｘ０からのセンサ入力およびＸ１からのセンサ入力が夫々入力されており、センサ３１、３２からの入力信号が全てオン状態であるか、全てオフ状態であるか、またはセンサ間で不一致状態であるかを判定する入力信号判定部として機能する。

ラッチ回路１２４は、センサ３１、３２からの入力信号が不一致状態であると判定されたとき、不一致状態と判定された記録を保持し、入力信号が全てオフ状態であると判定されたとき、該記録を解放する第１ラッチ記憶部として機能する。具体的には、ラッチ回路１２４は、ＸＯＲ回路１２２の演算結果がセットされ、ノア回路１２１の演算結果によって前記ＸＯＲ回路１２２の保持内容がリセットされるようになっている。

アンド回路１２０の演算結果およびラッチ回路１２４の保持内容はアンド回路１２３の入力端に夫々入力される。アンド回路１２３の演算結果は、センサ故障検出部１２による検出結果として動作許可／不許可部１１に伝達されるとともに、ポートＹ１を介して制御装置２へ出力される。すなわち、アンド回路１２３は、入力信号が全てオン状態であると判定された時、ラッチ回路１２４が不一致状態と判定された記録を保持している場合、センサ故障検出信号をセンサ故障検出状態とし、ラッチ回路１２４が該記録を保持していない場合、センサ故障検出信号をセンサ故障非検出状態とする。

次に、図３および図４を参照して安全装置１の動作を説明する。図３は、安全装置１がセンサ故障を検出しない場合の安全装置１の動作パターンを説明するタイミングチャートである。（ａ）、（ｂ）は夫々Ｘ０、Ｘ１へのセンサ入力、（ｃ）はＸＯＲ回路１２２の出力、（ｄ）はノア回路１２１の出力、（ｅ）はラッチ回路１２４の出力、（ｆ）はアンド回路１２０の出力、（ｇ）はＹ１からの出力（センサ故障検出信号）、（ｈ）はＹ０からの出力（動作許可／不許可信号）の遷移を夫々示している。

図３に示すように、図中のタイミング１でＸ１がオンとなっている状態でＸ０がオンからオフに遷移すると、ＸＯＲ回路１２２はＸ０とＸ１との間の不一致を検出してＸＯＲ回路１２２の出力端がＬｏｗからＨｉｇｈに遷移し、ラッチ回路１２４はＨｉｇｈが保持される。また、アンド回路１２０の出力は、ＨｉｇｈからＬｏｗに遷移し、動作許可／不許可信号はアンド回路１２０からの入力の遷移に基づいて動作許可状態から動作不許可状態に遷移する。

タイミング２においてＸ１がオンからオフに遷移すると、Ｘ０とＸ１との不一致は解消されてＸＯＲ回路１２２の出力はＨｉｇｈからＬｏｗに遷移する。ノア回路１２１の出力端はＬｏｗからＨｉｇｈに遷移し、ラッチ回路１２４は該遷移によりリセットされて保持内容がＨｉｇｈからＬｏｗに遷移する。

タイミング３においてＸ０、Ｘ１が双方ともオフからオンに遷移すると、ノア回路１２１がＨｉｇｈからＬｏｗに遷移するとともにアンド回路１２０がＬｏｗからＨｉｇｈに遷移する。タイミング１〜３におけるいずれの変化においても、アンド回路１２３に入力される２つの信号が両方ともＨｉｇｈになるタイミングがないので、センサ故障検出信号はタイミング１〜３における変化を通して常にＬｏｗ、すなわちセンサ故障非検出状態となっている。タイミング３においては、センサ故障検出信号がＬｏｗで、かつＸ０、Ｘ１の双方がオンになっているので、動作許可／不許可信号は、動作不許可状態から動作許可状態に遷移する。

図４は、安全装置１がセンサ故障を検出する場合の安全装置１の動作パターンを説明するタイミングチャートである。（ａ）、（ｂ）は夫々Ｘ０、Ｘ１へのセンサ入力、（ｃ）はＸＯＲ回路１２２の出力、（ｄ）はノア回路１２１の出力、（ｅ）はラッチ回路１２４の出力、（ｆ）はアンド回路１２０の出力、（ｇ）はＹ１からの出力（センサ故障検出信号）、（ｈ）はＹ０からの出力（動作許可／不許可信号）のタイミングを夫々示している。

図４に示すように、図中のタイミング１でＸ１がオンとなっている状態でＸ０がオンからオフに遷移すると、図３のタイミング１のときと同様に、ＸＯＲ回路１２２の出力はＬｏｗからＨｉｇｈに遷移し、ラッチ回路１２４はＨｉｇｈがセットされる。アンド回路１２０の出力は、ＨｉｇｈからＬｏｗに遷移し、動作許可／不許可信号は動作許可状態から動作不許可状態に遷移する。

続いてタイミング２でＸ０がオフからオンに遷移すると、ＸＯＲ回路１２０の出力はＨｉｇｈからＬｏｗに遷移し、アンド回路１２０の出力はＬｏｗからＨｉｇｈに遷移する。ラッチ回路１２４は、保持内容がリセットされていないので、タイミング１における遷移以後、Ｈｉｇｈを出力し続ける。したがって、アンド回路１２３に入力される信号は２つともＨｉｇｈとなるため、センサ故障検出信号がＬｏｗからＨｉｇｈ（センサ故障検出状態）に遷移する。なお、センサ故障検出信号がＨｉｇｈとなっているので、タイミング２では、Ｘ０、Ｘ１が共にオンとなるにも関わらず動作許可／不許可信号はＨｉｇｈ（動作許可状態）には遷移しない。

なお、上記説明においては、安全装置１には被制御装置３が備える２つのセンサ３１、３２からの入力を受け付け、受け付けた入力に基づいて動作許可／不許可の判定およびセンサ故障の検出を行うとして説明したが、被制御装置３は３つ以上のセンサを備え、これらのセンサ入力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。図５は、センサ入力の入力ポートを３つ備える場合の安全装置１の構成の一例を説明する図である。Ｘ０、Ｘ１、Ｘ２には、夫々のセンサからのセンサ入力が入力される。安全装置１は、ＸＯＲ回路１２２の代わりに、センサ入力間の不一致を検出する不一致検出回路１２５を備えている。アンド回路１２０、ノア回路１２１、不一致検出回路１２５、アンド回路１１０には、３つのセンサからの入力信号が夫々入力される。不一致検出回路１２５は、３つの入力信号の間の不一致を検出し、検出結果をラッチ回路１２４にセットする。

このように、本発明の第１の実施の形態では、複数のセンサからの入力信号が不一致状態であるとき、不一致状態記録を保持し、複数のセンサからの入力信号が全てオフ状態であるとき、不一致状態記録を解放するラッチ回路１２４と、ラッチ回路１２４が不一致状態記録を保持している場合、複数のセンサのうちの少なくとも１つが故障していると判定し、ラッチ回路１２４が不一致状態記録を保持していない場合、複数のセンサの夫々は故障していないと判定するセンサ故障判定を、複数のセンサからの入力信号が全てオン状態となったタイミングで実行するアンド回路１２３と、を備えるように構成したので、不一致状態となっている時間に基づいて故障検出を行う従来の故障検出手段のように故障検出のための設定時間を設定する必要なくセンサの故障を検出することができる。すなわち、実施の形態１によれば、簡単にセンサの故障を検出することができる。

実施の形態２．
実施の形態１の構成では、全信号がオフとなっている状態から不一致状態を経て全信号がオンとなったとき、不一致検出回路（あるいはＸＯＲ回路）が不一致状態を検出した状態で全信号がオンとなってしまうので、センサ故障検出状態を出力してしまう。実施の形態２では、いったん全信号がオフになれば、不一致状態を経て全信号がオンとなってもセンサ故障検出状態を出力しないようにした。

図６は、本発明にかかる安全装置の実施の形態２の構成の一例を説明する図である。なお、ここでは、実施の形態１と同じ構成要素には実施の形態１と同一の符号を付し、詳細な説明を省略する。

図６に示すように、安全装置４は、動作許可／不許可部１１と、センサ故障検出部１３とを備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１３による検出結果が入力される。

センサ故障検出部１３は、アンド回路１２０、ノア回路１２１、ＸＯＲ回路１２２、アンド回路１２３、ラッチ回路１２４、およびラッチ回路１３０を備えている。ラッチ回路１３０は、センサからの入力信号が全てオフ状態であったとき、オフ状態記録を保持し、入力信号が全てオン状態であったとき、オフ状態記録を解放する第２ラッチ記憶部として機能する。具体的には、ラッチ回路１３０は、ノア回路１２１の演算結果がセットされ、セットされた演算結果はアンド回路１２０の演算結果によってリセットされる。また、ラッチ回路１３０の保持内容は、ラッチ回路１２４の保持内容のリセット入力として用いられる。

図７は、安全装置４がセンサ故障を検出する場合の安全装置４の動作パターンを説明するタイミングチャートである。（ａ）、（ｂ）は夫々Ｘ０、Ｘ１へのセンサ入力、（ｃ）はＸＯＲ回路１２２の出力、（ｄ）はノア回路１２１の出力、（ｅ）はラッチ回路１３０の出力、（ｆ）はラッチ回路１２４の出力、（ｇ）はアンド回路１２０の出力、（ｈ）はＹ１からの出力（センサ故障検出信号）、（ｉ）はＹ０からの出力（動作許可／不許可信号）のタイミングを夫々示している。

図７に示すように、図中のタイミング１でＸ１がオンのままＸ０がオンからオフに遷移すると、ＸＯＲ回路１２２の出力はＬｏｗからＨｉｇｈに遷移し、ラッチ回路１２４はＨｉｇｈがセットされ、アンド回路１２０の出力は、ＨｉｇｈからＬｏｗに遷移し、動作許可／不許可信号は動作許可状態から動作不許可状態に遷移する。

続いてタイミング２でＸ１がオンからオフに遷移すると、ＸＯＲ回路１２０の出力はＨｉｇｈからＬｏｗに遷移し、ノア回路１２１の出力はＬｏｗからＨｉｇｈに遷移する。ラッチ回路１３０は、ノア回路１２１の遷移によりＨｉｇｈがセットされ、ラッチ回路１２４をリセットして保持内容をＨｉｇｈからＬｏｗに遷移させる。なお、ラッチ回路１３０は、Ｈｉｇｈを保持している限り、ラッチ回路１２４へリセット入力を入力し続けている状態となる。

続いてタイミング３でＸ０がオフとなっている状態でＸ１がオフからオンに遷移すると、ＸＯＲ回路１２２の出力はＬｏｗからＨｉｇｈに遷移し、ノア回路１２１の出力はＨｉｇｈからＬｏｗに遷移する。ラッチ回路１３０は、タイミング３でノア回路１２１の出力がＨｉｇｈからＬｏｗに遷移してもＨｉｇｈを保持したままとなっているため、ラッチ回路１２４は、常にリセット入力されていることと等しいため、ＸＯＲ回路１２２の演算結果であるＨｉｇｈをセットされない状態となっている。

そして、タイミング４でＸ０がオフからオンに遷移すると、ＸＯＲ回路１２２の出力はＨｉｇｈからＬｏｗに遷移し、アンド回路１２０の出力はＬｏｗからＨｉｇｈに遷移する。アンド回路１２０の出力がＨｉｇｈとなるため、ラッチ回路１３０の保持内容はリセットされてＨｉｇｈからＬｏｗに遷移する。タイミング１〜４におけるいずれの変化においても、アンド回路１２３に入力される２つの信号が両方ともＨｉｇｈになるタイミングがないので、センサ故障検出信号はタイミング１〜３における変化を通して常にＬｏｗとなっている。タイミング４においては、センサ故障検出信号がＬｏｗで、かつＸ０、Ｘ１の双方がオンになっているので、動作許可／不許可信号は、動作不許可状態から動作許可状態に遷移する。

因みに、実施の形態１によれば、図７におけるタイミング３において、センサ３１、３２が不一致状態となるので、ＸＯＲ回路１２２の出力がＨｉｇｈに遷移し、ラッチ回路１２４にＨｉｇｈがセットされる。そして、タイミング４において、アンド回路１２０がＬｏｗからＨｉｇｈに遷移すると、アンド回路１２３は、入力される２つの信号が両方ともＨｉｇｈになってしまい、センサ故障検出状態を出力してしまうことになってしまう。

なお、実施の形態２においても、被制御装置３は３つ以上のセンサを備え、安全装置４はこれらのセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。図８は、３つのセンサからの入力ポートを備える場合の安全装置１の構成の一例を説明する図である。図示するように、安全装置４は、ＸＯＲ回路１２２の代わりに不一致検出回路１３１が備えられており、不一致検出回路１３１は、Ｘ０〜Ｘ２間の信号の不一致を検出する。

以上説明したように、実施の形態２によれば、複数のセンサからの入力信号が全てオフ状態であったとき、オフ状態記録を保持し、入力信号が全てオン状態であったとき、オフ状態記録を解放するラッチ回路１３０をさらに備え、ラッチ回路１３０は、オフ状態記録を保持しているとき、ラッチ回路１２４に対して不一致状態記録を解放させるリセット入力を入力するように構成したので、簡単にセンサの故障を検出することができる。また、全信号がオフとなっている状態から不一致状態を経て全信号がオンとなったとき、センサ故障と判定しないようにすることができる。

実施の形態３．
図９は、実施の形態３の安全装置の構成の一例を説明する図である。図示するように、安全装置５は、動作許可／不許可部１１と、センサ故障検出部１４と、を備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１４による検出結果が入力される。

センサ故障検出部１４は、アンド回路１２０、ノア回路１２１、ＸＯＲ回路１２２、アンド回路１２３、不揮発性のラッチ回路１４０、および不揮発性のラッチ回路１４１を備えている。ラッチ回路１４０には、ＸＯＲ回路１２２の演算結果がセットされ、ノア回路１２１の演算結果によってリセットされる。アンド回路１２３は、入力端にアンド回路１２０の演算結果とラッチ回路１４０の保持内容とが夫々入力され、演算結果をラッチ回路１４１にセットする。ラッチ回路１４１は、保持内容をセンサ故障検出信号として出力する。また、安全装置５は、ラッチ回路１４１の保持内容をリセットする信号が入力されるポートＸ２を備えている。ラッチ回路１４１は、いったんセンサ故障検出状態を保持すると、外部（例えば制御装置２）からリセット入力がされるまで保持内容を保持し続ける。

なお、実施の形態３においても、実施の形態１と同様に、安全装置５は３つ以上のセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。

このように、実施の形態３によれば、不一致状態の検出結果を不揮発性のラッチ回路１４０にセットするようにし、センサ故障検出信号を不揮発性のラッチ回路１４１にセットするようにしたので、例えば図４におけるタイミング１とタイミング２との間で電源がオフされたとしても、ラッチ回路１４０はＨｉｇｈを保持し続けることができる。また、タイミング２以降に電源がオフされたとしても、ラッチ回路１４１は動作不許可状態を保持し続けることができる。すなわち、実施の形態３によれば、実施の形態１と同様の効果に加えて、電源がオフされても、電源が再投入されたとき、電源オフ前と同じ状態で動作開始することができるので、電源オフによるセンサ故障の見逃しを防止することができるという効果が得られる。

実施の形態４．
図１０は、実施の形態４の安全装置の構成の一例を説明する図である。図示するように、安全装置６は、動作許可／不許可部１１と、センサ故障検出部１５と、を備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１５による検出結果が入力される。

センサ故障検出部１５は、アンド回路１２０、ノア回路１２１、ＸＯＲ回路１２２、アンド回路１２３、不揮発性のラッチ回路１５０、不揮発性のラッチ回路１５１、および不揮発性のラッチ回路１５２を備えている。ラッチ回路１５０は、ノア回路１２１の演算結果がセットされ、アンド回路１２０の演算結果によってリセットされる。また、ラッチ回路１５０の保持内容は、ラッチ回路１５１の保持内容のリセット入力として用いられる。

アンド回路１２３は、入力端にアンド回路１２０の演算結果とラッチ回路１５１の保持内容とが夫々入力され、演算結果をラッチ回路１５２にセットする。ラッチ回路１５２は、保持内容をセンサ故障検出信号として出力する。また、安全装置６は、ラッチ回路１５２の保持内容をリセットする信号が入力されるポートＸ２を備えている。ラッチ回路１５２は、いったんセンサ故障検出状態を保持すると、外部からリセット入力がされるまで保持内容を保持し続ける。

なお、実施の形態４においても、実施の形態２と同様に、安全装置６は３つ以上のセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。

このように、実施の形態４によれば、ラッチ回路１５０、１５１、１５２は保持内容が不揮発化されているので、実施の形態２と同様の効果に加えて、電源オフによるセンサ故障の見逃しを防止することができるという効果が得られる。

実施の形態５．
実施の形態１〜４の安全装置は、全信号がオン状態となったタイミングでセンサ故障検出を行うようにしている。実施の形態５は、全信号がオン状態となったタイミングに加えて、任意のタイミングでセンサ故障の検出を行うことができるようにしたことが特徴となっている。

図１１は、実施の形態５の安全装置の構成の一例を説明する図である。図示するように、安全装置７は、動作許可／不許可部１１と、センサ故障検出部１６と、を備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１６による検出結果が入力される。

センサ故障検出部１６は、アンド回路１２０、ノア回路１２１、ＸＯＲ回路１２２、アンド回路１２３、ラッチ回路１２４、ラッチ回路１３０、外部トリガ検出部１６０、アンド回路１６１、およびオア回路１６２を備えている。

外部トリガ検出部１６０は、外部からのトリガ入力を監視する。トリガ入力とは、例えば該トリガを発生させるためのスイッチからの入力であってよい。また、外部トリガ検出部１６０は、制御装置２や被制御装置３の電源を監視し、監視対象の電源のオフを外部トリガとするようにしてもよい。アンド回路１６１は、入力端に、ラッチ回路１２４の保持内容と外部トリガ検出部１６０の検出内容とが入力される。オア回路１６２は、入力端にアンド回路１２３の演算結果およびアンド回路１６１の演算結果が入力され、演算結果をセンサ故障検出信号として出力する。

このように構成されることにより、外部トリガ検出部１６０がトリガオンを検出している状態においてラッチ回路１２４がＨｉｇｈとなると、アンド回路１６１に入力される信号が２つともＨｉｇｈとなる。そのとき、オア回路１６２の出力はアンド回路１２３の演算結果に関わらずＬｏｗからＨｉｇｈに遷移する。すなわち、実施の形態５によれば、全信号がオン状態となったタイミングに加えて、任意のタイミングでセンサ故障の検出を行うことができるようになる。

なお、安全装置７は、実施の形態２の構成に外部トリガ検出部１６０、アンド回路１６１、オア回路１６２を追加した構成となっているが、実施の形態１の構成に前記３つの構成要素を追加して構成するようにしても構わない。

実施の形態６．
実施の形態１〜４の安全装置は、全信号がオンとなったタイミングでセンサ故障を検出する。実施の形態６では、全信号がオフとなっている状態から不一致状態に遷移し、該不一致状態が所定の時間以上続いたとき、センサ故障と判定するようにした。

図１２は、実施の形態６の安全装置の構成の一例を説明する図である。図示するように、安全装置８は、動作許可／不許可部１１と、センサ故障検出部１７と、を備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１７による検出結果が入力される。

センサ故障検出部１７は、アンド回路１２０、ノア回路１２１、ＸＯＲ回路１２２、アンド回路１２３、ラッチ回路１２４、ラッチ回路１３０、オア回路１７０、タイマ１７１、アンド回路１７２、およびオア回路１７３を備えている。

アンド回路１２０およびノア回路１２１の演算結果は夫々オア回路１７０の入力端に入力される。タイマ１７１は、スタートしてから、センサ故障と判定するための設定時間までカウントする。タイマ１７１は、ＸＯＲ回路１２２の演算結果に基づいてカウントスタートし、オア回路１７０の演算結果に基づいてカウントリセットする。アンド回路１７２は、入力端に、ラッチ回路１２４の保持内容とタイマ１７１のカウント結果とが入力される。オア回路１７３は、入力端にアンド回路１２３の演算結果およびアンド回路１７２の演算結果が入力され、演算結果をセンサ故障検出信号として出力する。

このように構成されることにより、全信号がオフとなってから不一致状態に遷移し、不一致状態がタイマ１７１に設定された設定時間を経過すると、該時間経過をトリガとしてセンサ故障検出状態を出力する。

なお、実施の形態６においても、実施の形態２と同様に、安全装置８は３つ以上のセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。

このように、実施の形態６によれば、センサからの入力信号が不一致状態であると判定した時、カウントをスタートし、センサからの入力信号が全てオン状態である時および全てオフ状態である時、カウントをリセットする、所定の設定時間をカウントするタイマ１７１をさらに備え、センサからの入力信号が全てオン状態となったタイミングまたはタイマ１７１が前記設定時間までカウントしたタイミングのうちの少なくとも一方のタイミングでラッチ回路１２４がＨｉｇｈとなっている場合、センサ故障検出信号をセンサ故障検出状態とするように構成したので、実施の形態２の効果に加えて、図７におけるタイミング１とタイミング２との間のように双方がオフ状態となるべき状態が長時間継続する場合において一方のセンサがオン状態のまま故障していたとしても、タイマ１７１の設定時間を適切に設定することによって、双方がオン状態となる前に該故障を検出することができるようになるという効果が得られる。

なお、アンド回路１７２とオア回路１７３との間およびアンド回路１２３とオア回路１７３との間の夫々に、外部から操作可能なマスク回路を挿入して、アンド回路１７２、アンド回路１２３の演算結果をマスクできるように構成すると、夫々のマスク回路を操作することによって、双方がオン状態となったタイミングで故障検出を行うのか、タイマ１７１の設定時間が経過したタイミングで故障検出を行うのか、またはその両方のタイミングで故障検出を行うのかを切り替えることができるようになる。

また、安全装置８は、実施の形態２の構成にオア回路１７０、タイマ１７１、アンド回路１７２、およびオア回路１７３を追加した構成となっているが、実施の形態１の構成に前記４つの構成要素を追加して構成するようにしても構わない。

実施の形態７．
実施の形態１において説明したセンサ故障検出部の機能は、ソフトウェアにより実行されるようにしてもよい。実施の形態７では、実施の形態１のセンサ故障検出部の動作がソフトウェアにより実行される場合について説明する。

図１３は、実施の形態７の安全装置の構成の一例を説明する図である。図示するように、安全装置９は、動作許可／不許可部１１と、センサ故障検出部１８と、を備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１８による検出結果が入力される。

センサ故障検出部１８には、センサ３１、３２からのセンサ入力が入力され、該センサ入力に基づいてセンサ３１、３２のうちの１つのセンサの故障を検出し、検出結果をセンサ故障検出信号として出力する。センサ故障検出部１８は、ＣＰＵ１８０、ＲＯＭ１８１、ＲＡＭ１８２、およびＩＯポート１８３を備えた、通常のコンピュータと同じ構成を有している。ＣＰＵ１８０、ＲＯＭ１８１、ＲＡＭ１８２、およびＩＯポート１８３は夫々バスを介して接続されている。

ＩＯポート１８３は、２つのセンサ入力の入力を受け付け、センサ故障検出信号を出力するための接続インタフェースである。ＲＯＭ１８１には、センサ故障を検出するためのプログラムであるセンサ故障検出プログラム１８４が格納されている。センサ故障検出プログラム１８４は、安全装置９の起動時に、ＲＡＭ１８２に送られてＲＡＭ１８２のプログラム展開領域に展開される。ＣＰＵ１８０は、ＲＡＭ１８２に展開されたセンサ故障検出プログラム１８４を実行することによって、センサ故障検出部１９の機能を実現する。

図１４は、センサ故障検出部１８の機能構成を説明する図である。図示するように、センサ故障検出部１８は、不一致状態記録変数が格納されている不一致状態記録変数記憶部１８５と、２つのセンサからの入力信号が不一致状態であるか、双方がオン状態であるか、または双方がオフ状態であるかを判定する入力信号判定部１８６と、入力信号判定部１８６による判定結果に基づいて不一致状態記録変数を操作する変数操作部１８７と、入力信号判定部１８６が双方のセンサ入力がオン状態であると判定したとき、不一致状態記録変数に基づいてセンサ３１、３２が故障しているか否かを判定する故障検出判定部１８８と、を備えている。不一致状態記録変数記憶部１８５は、例えばＲＡＭ１８２やＣＰＵ１８０が備えるレジスタなどに確保される。

なお、不一致状態記録変数は、実施の形態１の安全装置１におけるラッチ回路１２４の保持内容に対応する。

図１５は、センサ故障検出部１８によって実現される故障検出方法を説明するフローチャートである。図示するように、まず、動作が開始されると、故障検出判定部１８８は、センサ故障検出信号をセンサ故障非検出状態（Ｙ１＝０）とする（ステップＳ１）。変数操作部１８７は、不一致状態記録変数（ｗ＿ｄｉｆｆ）＝０とする（ステップＳ２）。入力信号判定部１８６は、Ｘ０、Ｘ１に入力されたセンサ入力を取得（サンプリング）する（ステップＳ３）。

入力信号判定部１８６は、取得したＸ０へ入力された信号とＸ１へ入力された信号との排他的論理和が１（すなわち双方のセンサ入力が不一致状態）であるか否かを判定する（ステップＳ４）。双方の信号の排他的論理和が１であった場合（ステップＳ４、Ｙｅｓ）、変数操作部１８７は、ｗ＿ｄｉｆｆ＝１とし（ステップＳ５）、ステップＳ３へ移行する。

双方の信号の排他的論理和が１ではなかった場合（ステップＳ４、Ｎｏ）、入力信号判定部１８６は、双方の信号の論理和の反転が１（すなわち双方オフ状態）であるか否かをさらに判定する（ステップＳ６）。双方の信号の論理和の反転が１であった場合（ステップＳ６、Ｙｅｓ）、変数操作部１８７は、ｗ＿ｄｉｆｆ＝０として（ステップＳ７）、ステップＳ３へ移行する。

双方の信号の論理和の反転が１ではなかった場合（ステップＳ６、Ｎｏ）、双方のセンサ入力は双方オン状態であることになる。故障検出判定部１８８は、ｗ＿ｄｉｆｆ＝０であるか否かを判定し（ステップＳ８）、ｗ＿ｄｉｆｆ＝０ではなかった場合（ステップＳ８、Ｎｏ）、Ｙ１＝１（センサ故障検出状態）とする（ステップＳ９）。ｗ＿ｄｉｆｆ＝０であった場合（ステップＳ８、Ｙｅｓ）、ステップＳ３へ移行する。

なお、上記説明においては、動作許可／不許可部１１もコンピュータ構成とし、プログラムを実行することによって動作許可／不許可部１１の動作を実現するようにしてもよい。また、動作許可／不許可部１１の動作を実現するプログラムとセンサ故障検出プログラム１８４とを同一のコンピュータ上で実行するようにしてもよい。

また、実施の形態７においても、実施の形態１と同様に、安全装置９は３つ以上のセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。

このように、複数のセンサからの入力信号を取り込み（ステップＳ３）、入力信号が全てオン状態であるか、全てオフ状態であるか、または不一致状態であるかを判定し（ステップＳ４、ステップＳ６）、判定結果が不一致状態であった場合、ｗ＿ｄｉｆｆ＝１とし（ステップＳ５）、判定結果が全てオフ状態であった場合、ｗ＿ｄｉｆｆ＝０とし（ステップＳ７）、判定結果が全てオン状態であった場合、ｗ＿ｄｉｆｆ＝０であるとき、複数のセンサのうちの少なくとも１つが故障していると判定する（ステップＳ９）ように構成したので、実施の形態１と同様に、簡単にセンサの故障を検出することができる。

実施の形態８．
実施の形態８では、実施の形態２において説明したセンサ故障検出部の機能をソフトウェアにより実行する場合について説明する。

図１６は、実施の形態８の安全装置の構成の一例を説明する図である。図示するように、安全装置１０は、動作許可／不許可部１１と、センサ故障検出部１９と、を備えている。動作許可／不許可部１１は、アンド回路１１０、アンド回路１１１、およびインバータ１１２を備えている。インバータ１１２にはセンサ故障検出部１９による検出結果が入力される。

センサ故障検出部１９には、センサ３１、３２からのセンサ入力が入力され、該センサ入力に基づいてセンサ３１、３２のうちの１つのセンサの故障を検出し、検出結果をセンサ故障検出信号として出力する。センサ故障検出部１９は、ＣＰＵ１９０、ＲＯＭ１９１、ＲＡＭ１９２、およびＩＯポート１９３を備えた、通常のコンピュータと同じ構成を有している。ＣＰＵ１９０、ＲＯＭ１９１、ＲＡＭ１９２、およびＩＯポート１９３は夫々バスを介して接続されている。

ＩＯポート１９３は、２つのセンサ入力の入力を受け付け、センサ故障検出信号を出力するための接続インタフェースである。ＲＯＭ１９１には、センサ故障を検出するためのプログラムであるセンサ故障検出プログラム１９４が格納されている。センサ故障検出プログラム１９４は、安全装置１０の起動時に、ＲＡＭ１９２に送られてＲＡＭ１９２のプログラム展開領域に展開される。ＣＰＵ１９０は、ＲＡＭ１９２に展開されたセンサ故障検出プログラム１９４を実行することによって、センサ故障検出部１９の機能を実現する。

図１７は、センサ故障検出部１９の機能構成を説明する図である。図示するように、センサ故障検出部１９は、不一致状態記録変数が格納されている不一致状態記録変数記憶部１９５と、双方オフ状態記録変数が格納されている双方オフ状態記録変数記憶部１９６と、２つのセンサからの入力信号が不一致状態であるか、双方がオン状態であるか、または双方がオフ状態であるかを判定する入力信号判定部１９７と、入力信号判定部１９７による判定結果に基づいて不一致状態記録変数および双方オフ状態記録変数を操作する変数操作部１９８と、入力信号判定部１９７が双方のセンサ入力がオン状態であると判定したとき、不一致状態記録変数に基づいてセンサ３１、３２が故障しているか否かを判定する故障検出判定部１９９と、を備えている。不一致状態記録変数記憶部１９５および双方オフ状態記録変数記憶部１９６は、例えばＲＡＭ１９２やＣＰＵ１９０が備えるレジスタなどに確保される。

図１８は、センサ故障検出部１９の動作を説明するステートチャート図である。図示するように、夫々不一致状態記録変数（ｗ＿ｄｉｆｆ）および双方オフ状態記録変数（ｗ＿ｏｆｆ）の値の組み合わせによって３つのステート〔双方オン状態（ｗ＿ｄｉｆｆ＝０、ｗ＿ｏｆｆ＝０）、双方オフ状態または不一致状態１（ｗ＿ｄｉｆｆ＝０、ｗ＿ｏｆｆ＝１）、不一致状態２（ｗ＿ｄｉｆｆ＝１、ｗ＿ｏｆｆ＝０）〕が夫々識別可能となっている。なお、不一致状態１は、双方オフ状態から遷移した不一致状態を指し、不一致状態２は、双方オン状態から遷移した不一致状態を指す。変数操作部１９８は、入力信号判定部１９７の判定結果に基づいて２つの変数を操作する。言い換えると、変数操作部１９８は図１８に示す上記３つのステート間の遷移を制御する。故障検出判定部１９９は、ステートが不一致状態２となっている場合に入力信号判定部１９７が双方オン状態であると判定したとき、センサ故障検出信号をセンサ故障検出状態とする。

なお、不一致状態記録変数は、実施の形態２の安全装置４におけるラッチ回路１２４の保持内容、双方オフ状態記録変数は実施の形態２の安全装置４におけるラッチ回路１３０の保持内容に対応する。

図１９は、センサ故障検出部１９によって実現される故障検出方法を説明するフローチャートである。図示するように、まず、動作が開始されると、故障検出判定部１９９は、センサ故障検出信号をセンサ故障非検出状態（Ｙ１＝０）とする（ステップＳ１１）。変数操作部１９８は、ｗ＿ｄｉｆｆ＝０、ｗ＿ｏｆｆ＝０とする（ステップＳ１２）。そして、入力信号判定部１９７は、Ｘ０、Ｘ１に入力されたセンサ入力を取得（サンプリング）する（ステップＳ１３）。

入力信号判定部１９７は、取得したＸ０へ入力された信号とＸ１へ入力された信号との排他的論理和が１（すなわち双方のセンサ入力が不一致状態）であるか否かを判定する（ステップＳ１４）。双方の信号の排他的論理和が１であった場合（ステップＳ１４、Ｙｅｓ）、変数操作部１９８は、ｗ＿ｏｆｆ＝０であるか否かを判定し（ステップＳ１５）、ｗ＿ｏｆｆ＝０であった場合（ステップＳ１５、Ｙｅｓ）、ｗ＿ｄｉｆｆ＝１とし（ステップＳ１６）、ステップＳ１３へ移行する。ｗ＿ｏｆｆ＝０ではなかった場合（ステップＳ１５、Ｎｏ）、ステップＳ１６はスキップされる。

双方の信号の排他的論理和が１ではなかった場合（ステップＳ１４、Ｎｏ）、入力信号判定部１９７は、双方の信号の論理和の反転が１（すなわち双方オフ状態）であるか否かをさらに判定する（ステップＳ１７）。双方の信号の論理和の反転が１であった場合（ステップＳ１７、Ｙｅｓ）、変数操作部１９８は、ｗ＿ｄｉｆｆ＝０、ｗ＿ｏｆｆ＝１として（ステップＳ１８）、ステップＳ１３へ移行する。

双方の信号の論理和の反転が１ではなかった場合（ステップＳ１７、Ｎｏ）、双方のセンサ入力は双方オン状態であることになる。故障検出判定部１９９は、ｗ＿ｄｉｆｆ＝０であるか否かを判定し（ステップＳ１９）、ｗ＿ｄｉｆｆ＝０ではなかった場合（ステップＳ１９、Ｎｏ）、Ｙ１＝１（センサ故障検出状態）とする（ステップＳ２１）。ｗ＿ｄｉｆｆ＝０であった場合（ステップＳ１９、Ｙｅｓ）、変数操作部１９８は、ｗ＿ｏｆｆ＝０として（ステップＳ２０）、ステップＳ１３へ移行する。

なお、上記説明においては、動作許可／不許可部１１もコンピュータ構成とし、プログラムを実行することによって動作許可／不許可部１１の動作を実現するようにしてもよい。また、動作許可／不許可部１１の動作を実現するプログラムとセンサ故障検出プログラム１９４とを同一のコンピュータ上で実行するようにしてもよい。

また、実施の形態８においても、実施の形態２と同様に、安全装置１０は３つ以上のセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。

このように、実施の形態８によれば、複数のセンサからの入力信号を取り込み（ステップＳ１２）、入力信号が全てオン状態であるか、全てオフ状態であるか、または不一致状態であるかを判定し（ステップＳ１４およびステップＳ１７）、判定結果が全てオフ状態であった場合、ｗ＿ｄｉｆｆ＝０、ｗ＿ｏｆｆ＝１とし（ステップＳ１８）、判定結果が不一致状態であった場合、ｗ＿ｏｆｆ＝０であるとき、ｗ＿ｄｉｆｆ＝１とし（ステップＳ１６）、判定結果が全てオン状態であった場合、ｗ＿ｄｉｆｆ＝０であるとき、ｗ＿ｏｆｆ＝０とし（ステップＳ２０）、ｗ＿ｄｉｆｆ＝１であるとき、複数のセンサのうちのすくなくとも１つが故障していると判定する（ステップＳ２１）ように構成したので、実施の形態２と同様に、簡単にセンサの故障を検出することができる。また、全信号がオフとなっている状態から不一致状態を経て全信号がオンとなったとき、センサ故障と判定しないようにすることができる。

以上のように、本発明にかかる安全装置および故障検出方法は、機器の安全状態を検知する多重化されたセンサからの入力信号に基づいて前記機器の動作を許可／不許可する安全装置およびこの安全装置におけるセンサの故障検出方法に適用して好適である。

１、４〜１０ 安全装置
２ 制御装置
３ 被制御装置
１１ 動作許可／不許可部
１２〜１９ センサ故障検出部
３１ 第１センサ
３２ 第２センサ
１１０、１１１、１２０、１２３、１６１、１７２ アンド回路
１１２ インバータ
１２１ ノア回路
１２２ ＸＯＲ回路
１２４、１３０、１４０、１４１、１５０、１５１、１５２ ラッチ回路
１２５、１３１ 不一致検出回路
１６０ 外部トリガ検出部
１６２、１７０、１７３ オア回路
１７１ タイマ
１８０、１９０ ＣＰＵ
１８１、１９１ ＲＯＭ
１８２、１９２ ＲＡＭ
１８３、１９３ ＩＯポート
１８４、１９４ センサ故障検出プログラム
１８５、１９５ 不一致状態記録変数記憶部
１８６、１９７ 入力信号判定部
１８７、１９８ 変数操作部
１８８、１９９ 故障検出判定部
１９６ 双方オフ状態記録変数記憶部

続いてタイミング２でＸ０がオフからオンに遷移すると、ＸＯＲ回路１２２の出力はＨｉｇｈからＬｏｗに遷移し、アンド回路１２０の出力はＬｏｗからＨｉｇｈに遷移する。ラッチ回路１２４は、保持内容がリセットされていないので、タイミング１における遷移以後、Ｈｉｇｈを出力し続ける。したがって、アンド回路１２３に入力される信号は２つともＨｉｇｈとなるため、センサ故障検出信号がＬｏｗからＨｉｇｈ（センサ故障検出状態）に遷移する。なお、センサ故障検出信号がＨｉｇｈとなっているので、タイミング２では、Ｘ０、Ｘ１が共にオンとなるにも関わらず動作許可／不許可信号はＨｉｇｈ（動作許可状態）には遷移しない。

このように、本発明の実施の形態１では、複数のセンサからの入力信号が不一致状態であるとき、不一致状態記録を保持し、複数のセンサからの入力信号が全てオフ状態であるとき、不一致状態記録を解放するラッチ回路１２４と、ラッチ回路１２４が不一致状態記録を保持している場合、複数のセンサのうちの少なくとも１つが故障していると判定し、ラッチ回路１２４が不一致状態記録を保持していない場合、複数のセンサの夫々は故障していないと判定するセンサ故障判定を、複数のセンサからの入力信号が全てオン状態となったタイミングで実行するアンド回路１２３と、を備えるように構成したので、不一致状態となっている時間に基づいて故障検出を行う従来の故障検出手段のように故障検出のための設定時間を設定する必要なくセンサの故障を検出することができる。すなわち、実施の形態１によれば、簡単にセンサの故障を検出することができる。

続いてタイミング２でＸ１がオンからオフに遷移すると、ＸＯＲ回路１２２の出力はＨｉｇｈからＬｏｗに遷移し、ノア回路１２１の出力はＬｏｗからＨｉｇｈに遷移する。ラッチ回路１３０は、ノア回路１２１の遷移によりＨｉｇｈがセットされ、ラッチ回路１２４をリセットして保持内容をＨｉｇｈからＬｏｗに遷移させる。なお、ラッチ回路１３０は、Ｈｉｇｈを保持している限り、ラッチ回路１２４へリセット入力を入力し続けている状態となる。

そして、タイミング４でＸ０がオフからオンに遷移すると、ＸＯＲ回路１２２の出力はＨｉｇｈからＬｏｗに遷移し、アンド回路１２０の出力はＬｏｗからＨｉｇｈに遷移する。アンド回路１２０の出力がＨｉｇｈとなるため、ラッチ回路１３０の保持内容はリセットされてＨｉｇｈからＬｏｗに遷移する。タイミング１〜４におけるいずれの変化においても、アンド回路１２３に入力される２つの信号が両方ともＨｉｇｈになるタイミングがないので、センサ故障検出信号はタイミング１〜４における変化を通して常にＬｏｗとなっている。タイミング４においては、センサ故障検出信号がＬｏｗで、かつＸ０、Ｘ１の双方がオンになっているので、動作許可／不許可信号は、動作不許可状態から動作許可状態に遷移する。

なお、実施の形態２においても、被制御装置３は３つ以上のセンサを備え、安全装置４はこれらのセンサの出力に基づいて動作許可／不許可の判定およびセンサ故障の検出を実行するようにしてもよい。図８は、３つのセンサからの入力ポートを備える場合の安全装置４の構成の一例を説明する図である。図示するように、安全装置４は、ＸＯＲ回路１２２の代わりに不一致検出回路１３１が備えられており、不一致検出回路１３１は、Ｘ０〜Ｘ２間の信号の不一致を検出する。

Claims (10)

1. 機器の安全状態を夫々検出する複数のセンサからの入力信号が全てオン状態であるか、全てオフ状態であるか、または前記センサ間で不一致状態であるかを判定する入力信号判定部と、
   前記入力信号判定部が前記複数のセンサからの入力信号が不一致状態であると判定したとき、不一致状態記録を保持し、前記入力信号判定部が前記複数のセンサからの入力信号が全てオフ状態であると判定したとき、前記不一致状態記録を解放する第１ラッチ記憶部と、
   前記第１ラッチ記憶部が前記不一致状態記録を保持している場合、前記複数のセンサのうちの少なくとも１つが故障していると判定し、前記第１ラッチ記憶部が前記不一致状態記録を保持していない場合、前記複数のセンサの夫々は故障していないと判定するセンサ故障判定を、前記入力信号判定部が前記複数のセンサからの入力信号が全てオン状態であると判定した第１のタイミングで実行するセンサ故障判定部と、
   前記複数のセンサからの入力信号および前記センサ故障判定部によるセンサ故障判定の判定結果に基づいて前記機器の動作を許可／不許可する動作許可／不許可部と、
   を備えることを特徴とする安全装置。
2. 前記入力信号判定部が前記複数のセンサからの入力信号が全てオフ状態であると判定したとき、オフ状態記録を保持し、前記入力信号判定部が前記複数のセンサからの入力信号が全てオン状態であると判定したとき、前記オフ状態記録を解放する第２ラッチ記憶部をさらに備え、
   前記第２ラッチ記憶部は、前記オフ状態記録を保持しているとき、前記第１ラッチ記憶部に対して前記不一致状態記録を解放させるリセット入力を入力する、
   ことを特徴とする請求項１に記載の安全装置。
3. 前記第１ラッチ記憶部は不揮発性であって、
   前記センサ故障判定部は、前記センサ故障判定の判定結果を保持する不揮発性の第３ラッチ記憶部をさらに備える、
   ことを特徴とする請求項１に記載の安全装置。
4. 前記第１ラッチ記憶部および前記第２ラッチ記憶部は不揮発性であって、
   前記センサ故障判定部は、前記センサ故障判定の判定結果を保持する不揮発性の第３ラッチ記憶部をさらに備える、
   ことを特徴とする請求項２に記載の安全装置。
5. 前記第３ラッチ記憶部は、外部からのリセット入力が入力されたとき前記センサ故障判定の判定結果を解放する、
   ことを特徴とする請求項３または請求項４に記載の安全装置。
6. 外部からのトリガを検出する外部トリガ検出部をさらに備え、
   前記センサ故障判定部は、前記第１のタイミングに加えて前記外部トリガ検出部がトリガを検出した第２のタイミングで、前記センサ故障判定を実行する、
   ことを特徴とする請求項１または請求項２に記載の安全装置。
7. 前記外部からのトリガは、電源オフ信号である、ことを特徴とする請求項６に記載の安全装置。
8. 前記入力信号判定部が前記複数のセンサからの入力信号が不一致状態であると判定した時、カウントをスタートし、前記入力信号判定部が前記複数のセンサからの入力信号が全てオン状態であると判定した時および全てオフ状態であると判定した時、カウントをリセットする、所定の設定時間をカウントするタイマをさらに備え、
   前記センサ故障判定部は、前記第１のタイミングに加えて、前記タイマが前記設定時間までカウントした第３のタイミングで、前記センサ故障判定を実行する、
   ことを特徴とする請求項１または請求項２に記載の安全装置。
9. 機器の安全状態を夫々検出する複数のセンサからの入力信号に基づいて前記機器の動作を許可／不許可する安全装置による、前記複数のセンサの故障を検出する故障検出方法であって、
   前記複数のセンサからの入力信号を取り込む第１ステップと、
   前記取り込まれた入力信号が全てオン状態であるか、全てオフ状態であるか、または前記センサ間で不一致状態であるかを判定する第２ステップと、
   前記第２ステップの判定結果が不一致状態であった場合、第１状態および第２状態のうちの何れか１つの状態を記憶する第１記憶部に第１状態を記憶させる第３ステップと、
   前記第２ステップの判定結果が全てオフ状態であった場合、前記第１記憶部に第２状態を記憶させる第４ステップと、
   前記第２ステップの判定結果が全てオン状態であった場合、前記第１記憶部が第１状態を記憶しているとき、前記複数のセンサのうちの少なくとも１つが故障していると判定し、前記第１記憶部が前記第２状態を記憶しているとき、前記複数のセンサの夫々は故障していないと判定する第５ステップと、
   を備えることを特徴とする故障検出方法。
10. 機器の安全状態を夫々検出する複数のセンサからの入力信号に基づいて前記機器の動作を許可／不許可する安全装置による、前記複数のセンサの故障を検出する故障検出方法であって、
    前記複数のセンサからの入力信号を取り込む第１ステップと、
    前記取り込まれた入力信号が全てオン状態であるか、全てオフ状態であるか、または前記センサ間で不一致状態であるかを判定する第２ステップと、
    前記第２ステップの判定結果が全てオフ状態であった場合、第１状態および第２状態のうちの何れか１つの状態を記憶する第１記憶部に第１状態を記憶させ、第３状態および第４状態のうちの何れか１つの状態を記憶する第２記憶部に第３状態を記憶させる第３ステップと、
    前記第２ステップの判定結果が不一致状態であった場合、前記第２記憶部が第４状態を記憶しているとき、前記第１記憶部に第２状態を記憶させる第４ステップと、
    前記第２ステップの判定結果が全てオン状態であった場合、前記第１記憶部が第１状態を記憶しているとき、前記第２記憶部に第４状態を記憶させ、前記第１記憶部が第２状態を記憶しているとき、前記複数のセンサのうちの少なくとも１つが故障していると判定する第５ステップと、
    を備えることを特徴とする故障検出方法。

Images