WO2006011583A1 - プログラマブルコントローラ - Google Patents

プログラマブルコントローラ Download PDF

Info

Publication number
WO2006011583A1
WO2006011583A1 PCT/JP2005/013904 JP2005013904W WO2006011583A1 WO 2006011583 A1 WO2006011583 A1 WO 2006011583A1 JP 2005013904 W JP2005013904 W JP 2005013904W WO 2006011583 A1 WO2006011583 A1 WO 2006011583A1
Authority
WO
WIPO (PCT)
Prior art keywords
input
group
signal
input signal
pulse
Prior art date
Application number
PCT/JP2005/013904
Other languages
English (en)
French (fr)
Inventor
Satoshi Kato
Tsutomu Araki
Original Assignee
Jtekt Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jtekt Corporation filed Critical Jtekt Corporation
Priority to US11/658,612 priority Critical patent/US8072889B2/en
Priority to EP05767004A priority patent/EP1785791B1/en
Publication of WO2006011583A1 publication Critical patent/WO2006011583A1/ja

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G05B19/058—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/11—Plc I-O input output
    • G05B2219/1184—Test ability of input for on, off capability
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/11—Plc I-O input output
    • G05B2219/1186—Redundant inputs parallel, outputs series, load safe switch off, AND condition
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/11—Plc I-O input output
    • G05B2219/1189—Duplicated I-O also triple
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/11—Plc I-O input output
    • G05B2219/1195—Critical I-O monitored by safety module connected to plc, other I-Os by plc self
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/14—Plc safety
    • G05B2219/14007—Plc as standalone for safety control of machine
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/14—Plc safety
    • G05B2219/14054—Self test
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/14—Plc safety
    • G05B2219/14116—Safe, emergency shutdown, esd of system
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/14—Plc safety
    • G05B2219/14126—Redundant I-O points, two sensors, actuators for same point
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24173—One sensor, two I-O channels each for different processor
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24184—Redundant I-O, software comparison of both channels
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24186—Redundant processors are synchronised
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24196—Plausibility check in channels for correct sequence or result

Definitions

  • the present invention relates to sequence control for the operation of robots and machine tools and their peripheral devices.
  • PLC programmable controller
  • FIG. 14 illustrates a circuit diagram (normally) of a known input circuit 201 used in a conventional programmable controller.
  • This input circuit 20 1 is a partial concise representation of the actual input circuit used.
  • switches SW 1 and SW 0, which are emergency stop switches, are duplicated and are normally closed contacts, and current flows through photocouplers 1 0, 2 0, 3-0, 4 _0J. — Used in motion state- 3 ⁇ 4_.
  • the switches SW 1 and SW 0 are opened, the current flowing through the photoforce bras 10 and 20 and the current flowing through the photoforce bras 30 and 40 are both cut off. In this way, the input signal from switch SW 1 is input and processed.
  • Circuit system (the upper half system of the input circuit 2 0 1 shown in the figure may be referred to as the A system hereinafter) and the circuit system that inputs and processes the input signal from the switch SWO (shown in the figure)
  • the lower half system of the input circuit 2 0 1 is sometimes referred to as the B system below.
  • the input signal indicating the open / closed state of switch SW 1 detected from the system A and the input signal indicating the open / closed state of switch SWO detected from the system B match.
  • it is handled as a normal input signal, and subsequent logic processing is executed to control the output device. For example, if the emergency stop switch is pressed and the contact is opened, the two input signals output from the switch are both coincident signals indicating the open state. Thus, an emergency stop process that stops the operation of all output devices is executed.
  • Fig. 14 symbols a, b, c, and d indicate inverters (logic inverters), respectively.
  • a diagnostic pulse OA signal L in the figure
  • the photocoupler 40 The potential at the diagnostic pulse input terminal 4 0 a rises. This ensures that the photocoupler 4 Fei - an LED emission which built, path k scan - because it is only a period of ⁇ temporarily interrupted, normal current i n that has passed through the follower Tokabura 3 0 once Blocked. Therefore, the diagnostic result (response signal to diagnostic pulse OA) is input to the other B-system control microcomputer (not shown) via inverter c. IB) temporarily shifts from 1 to 0.
  • Figure 15-A shows that when the terminals P and Q are not short-circuited and the switches SW 1 and SW 0 are both closed, the above diagnostic pulse OA (in the figure This shows the relationship between the diagnostic pulse OA and the response signal IB when the signal L) is output. Conversely, the same symmetrical relationship holds when the diagnostic pulse OB is similarly transmitted from the microcomputer for B system control.
  • the relationship between the diagnostic pulse OB and the response signal I A shown in FIG. 14 is shown in FIG. 15-B.
  • a diagnosis composed of computers having different diagnostic pulse transmitting sides and response signal receiving sides for such diagnostic pulses is referred to as a cross diagnosis hereinafter.
  • a communication means and a diagnosis result sharing means may be provided between the microcomputers so that the above response signal received on the receiving side can be immediately referred to from the diagnostic pulse transmitting side. .
  • the input circuit 2 is obtained by duplicating the switch open / close signal transmission line and the switch itself as shown in FIG.
  • Patent Document 1 is Japanese Patent Application Laid-Open No. 2000-46 3 48
  • Patent Document 2 is No. 2 0 0 2-3 5 8 1 0 6 publication.
  • the duplicated input circuit 20 1 When short circuit between the input terminals P, Q for one input device, will be the A system and the B system off site force bra are connected in series, because this short circuit current i s in the figure occurs, the photocoupler 1 0, 2 0, 30, 40 have switch SW
  • the input signal of the terminal system that is not short-circuited will be in the open state when the duplicated switch is in the open state.
  • the system will remain closed, but the emergency stop process will be activated immediately after the duplex signal is judged to be incomplete, and no problem will occur.
  • each of the various parts of the input circuit arranged in parallel in this way
  • the status of the input terminal is periodically output for each of the diagnostic pulses J_output for each terminal, and the safety of the system is constantly monitored by cyclically executing the process of reading ⁇ force Look.
  • the circuit is short-circuited. This current is also cut off by the diagnostic pulse, and this phenomenon can be detected by changing the level of the input signal. Therefore, even if the mismatch detection means does not work effectively, it is possible to detect the aforementioned short-circuit fault based on this cyclic diagnosis if such a cyclic diagnosis is always performed.
  • the present invention has been made to solve the above-described problems, and its purpose is to more reliably detect a failure and to perform an emergency stop more reliably and quickly. Disclosure of the invention
  • a plurality of external input devices and processing devices that process input signal groups input from these external input devices are multiplexed into a plurality of systems.
  • the input signal group of the system matches.
  • ⁇ In the case of a genuine input signal ⁇ , if it does not match, an abnormal stop process is performed.
  • the pulse output means the diagnostic pulse output from the diagnostic pulse output means of the processing device of another system, and the check means for blocking the propagation of the input signal group only during those pulse periods, and the diagnosis of the own system
  • the signal (response signal) of the input signal group (response pattern) corresponding to the diagnostic pulse output from the pulse output means changes, it comprises an abnormality determination means that performs an abnormal stop process.
  • the number of multiplexing in the present invention is arbitrary. Diagnostic pulse is output in parallel from one system to the other system, and the input of the own system that outputs the diagnostic pulse is cut off from propagation of the input signal group of the other system for the pulse period. It is a feature of the present invention that the state of the signal group is determined. If there is no failure, the system is independent, and the input signal group of its own system that does not receive the diagnostic pulse is not affected by the diagnostic pulse. However, if a certain type of short circuit occurs between the terminals, a circuit is formed, and the signals of the input signal group of its own system change under the influence of the diagnostic pulse input to the other system. This makes it possible to instantly find a failure and execute emergency stop processing.
  • the input device is not particularly limited, but in general, a contact such as a switch is assumed. Normally, these contacts are often used as normally closed contacts. At this time, the input circuit is always used in a state where a current is supplied. When the switch is opened, the circuit current is cut off, and this change becomes a meaningful input signal.
  • a diagnostic pulse group is output in parallel with unique timings different from each other. At this time, each multiplexed system is guaranteed. If the independence of each individual system to be broken is broken by a short circuit etc., at least one signal in the input signal group of the own system that should not change at all changes, and the change is Detected in Is done. For this reason, according to the first means of the present invention, it is possible to detect at least that the independence of the own system is broken, and thus it is possible to guarantee each multiplexed system to be assured. When the independence of the system is broken by a short circuit, etc., the abnormal stop process described above is performed, and as a result, accidents due to a short circuit can be prevented.
  • the second means of the present invention includes a first input terminal group for inputting a first input signal group output from a group of external input devices each configured in duplicate, and an input to the first input terminal.
  • the first signal processing device that processes the first input signal group, the second input terminal group that inputs the second input signal group that is output from the external input device group, and the input to the second input terminal group
  • a second signal processing device that processes a second input signal group, a first input signal that is configured in duplicate and is one element of the input signal group, and a second input signal that forms a pair with the signal.
  • the first signal processing device is the first signal processing device
  • the second signal processing device is the first.
  • First diagnostic pulse output means for parallel output of diagnostic pulse group and second signal processing
  • the first diagnostic pulse group from the first diagnostic pulse output means and the first check means for parallelly inputting the second diagnostic pulse group output from the device and blocking the propagation of the first input signal group for those pulse periods.
  • Second diagnostic pulse output means for outputting the second diagnostic pulse group in parallel to the first check means at a timing different from the output of the diagnostic pulse group, and -output from the first diagnostic pulse output means _first
  • the diagnostic pulse group is input to the second diagnostic means that inputs and blocks the propagation of the second input signal group for the duration of those pulses, and the second diagnostic pulse group output from the second diagnostic pulse output means.
  • the second input signal group changes Abnormal stop it is determined that the abnormality And a second abnormality determination means for performing a stop process.
  • the number of multiplexing is set to two.
  • Each system has a symmetric circuit configuration, and the diagnostic pulse is output to other systems as in the invention of claim 1, but the input signal in the system that outputs the diagnostic pulse in parallel.
  • Abnormality determination is performed by detecting the state of the group. When the switch that is the input device is opened in the state where the short-circuit fault as described above has occurred, when a diagnostic pulse is input and the circuit current is cut off for the duration of the pulse, the current of other circuits Will also be blocked. An abnormal state can be detected by determining the state of the input signal group from another circuit not receiving the diagnostic pulse.
  • the diagnostic pulse is output in parallel to the input terminal group, so that the abnormality diagnosis can be completed after the delay of the processing time of the input signal group from this output timing.
  • the delay time at this time is only the cycle time of the output of the diagnostic pulse, that is, for example, about 18 m sec.
  • system A the system in which the first signal processing device in the second means of the present invention controls safety management
  • system B the system in which the other second signal processing device controls safety management
  • the first and second diagnostic pulse groups are output in parallel at different timings different between the A system and the B system.
  • the independence of the individual units that should be maintained for each of the systems that are duplicated in parallel ie, system A and system B
  • the independence of the individual units that should be maintained for each of the systems that are duplicated in parallel is broken by short-circuiting 3 ⁇ 4_ ⁇ .
  • At least one signal in the input signal group that should not be changed may change, and this change is detected in the own system. Therefore, according to the second means of the present invention, the first Alternatively, it is possible to detect that the independence of the own system is broken on the basis of each second abnormality determination means, and in this case, the independence of individual systems to be guaranteed for each of the duplicated systems.
  • the abnormal stop process described above is performed. As a result, accidents due to a short circuit can be prevented.
  • the short circuit example shown in Fig. 16 can be given.
  • the short-circuit current i s passes through the A system circuit (photocouplers 1 0 and 2 0) and the B system circuit (photocouplers 3 0 and 4 0) in series. So in this point, the independence between system A and system B is broken.
  • the abnormal or urgent state is the same as when the diagnostic pulse shown in Fig. 1-A or Fig. 1B is transmitted. It can be detected by the response pattern. That is, it can be said that the short-circuit fault detection action illustrated in FIG. 1A or FIG. 1B is an example using the above-described action of the present invention.
  • the third means of the present invention is the above-mentioned first means, wherein when the signal from the same input terminal of the input signal group is continuously changed a predetermined number of times by the above-mentioned abnormality determination means, it is determined as abnormal.
  • the fourth means of the present invention is the above-mentioned second means, wherein the signal from the same input terminal of the first input signal group is continuously changed a predetermined number of times by the first abnormality determination means.
  • the second abnormality determining means described above is a means for determining that an abnormality has occurred and stopping abnormally when signals from the same input terminal of the second input signal group have changed continuously a predetermined number of times.
  • the third or fourth means of the present invention when a signal from the same input terminal in the input signal group changes continuously for a predetermined number of times, it is determined that it is abnormal. Even when there is a lot of noise that can affect the input signal at the site, it is possible to realize stable safety management that is not affected by those noises. Such measures for stabilization of control are particularly effective at sites where a lot of power equipment that generates noise is used.
  • the fifth means of the present invention is the above-described first or third means, wherein the signal processing device of-system is serially diagnosed for each input terminal with respect to the processing device of other systems.
  • Serial diagnostic pulse output means that outputs pulses and serial diagnostic pulses that are serially output for each input terminal from the serial pulse output means of other systems of processing devices It is provided with a pulse check means that performs an abnormal stop process by determining that there is an abnormality when the input signal does not change.
  • the first serial diagnostic pulse is serially sent to the first signal processing device described above for each second input terminal. Input the first serial diagnostic pulse output to the check means and the second serial diagnostic path output to I y_al from the second signal processing device to the first check means for each input terminal. Teso ",.
  • a first pulse check means for determining an abnormality when the first input signal does not change corresponding to the pulse period and performing an abnormal stop process
  • the above second signal processing device includes a serial
  • the second serial diagnostic pulse is 1 Input the second serial diagnostic pulse output means to output to the check means and the first serial diagnostic pulse output serially from the first serial diagnostic pulse output means to the second check means for each input terminal.
  • a second pulse check means for determining an abnormality and performing an abnormal stop process when the second input signal does not change.
  • the serial diagnostic pulse described above is output serially for each input terminal. Even faults such as unauthorized interference and short circuits can be verified (diagnostic).
  • a seventh means of the present invention is the above-mentioned first, third, or fifth means, wherein a photopower bra that inputs an input signal and a light emitting diode of the photocabra are connected in series.
  • the above-mentioned checking means is composed of a phototransistor connected to the phototransistor and a photopower braid composed of a light emitting diode for inputting a diagnostic pulse and emitting an optical signal to the phototransistor.
  • Circuits such as a photopower bra that process signals are always used with current supplied. When the switch is opened, the circuit current is cut off, and this change becomes a meaningful input signal.
  • the eighth hair stage of the present invention is a photocabler that inputs the first input signal in any one of the second, first, fourth or sixth means. And a phototransistor connected in series with the light-emitting diode of the photocabble and a second diagnostic, which emits an optical signal to the phototransistor by inputting a pulse.
  • the first check means described above is configured from a photopower bra consisting of a photodiode, and the photopower bra for inputting the second input signal is connected in series to the light emitting diode of the photopower bra.
  • the second check means described above is composed of a phototransistor connected to the phototransistor and a photocoupler composed of a light emitting diode that inputs a first diagnostic pulse and emits an optical signal to the phototransistor.
  • the circuit switching operation and the circuit interruption detection operation when the diagnosis is performed are executed by the photocabler. Since these signals are propagated by light of a predetermined wavelength, the following advantages can be obtained.
  • the above-mentioned circuit switching operation and circuit interruption detection operation can be stably realized in a form in which noise in the field environment is not directly picked up.
  • Fig. 1 A is a graph illustrating the relationship between a diagnostic pulse and a response signal (short circuit).
  • Fig. 1 — B illustrates the relationship between a diagnostic pulse and a response signal.
  • Fig. 2 is a circuit diagram of the programmer puno and controller input circuit 20 0 0 of Example 1 and
  • Fig. 3 A is a diagram of each processing device (1 0 0 A, 1 0 0 B), and Fig.
  • FIG. 3 — B is a graph illustrating the response pattern (input pattern of each response signal)
  • Fig. 4 is a flow chart of the cross diagnosis (A system) executed by the microcomputer 10 OA
  • Fig. 5 shows the cross diagnosis (system B) executed by the microcomputer 10 OB
  • Fig. 6 is a calculation table for the diagnostic period depending on the number of measurements N and the number of terminals M.
  • Fig. 7 illustrates the execution procedure of self-diagnosis A performed by the microcomputer 100 A.
  • Fig. 8 is a flow chart illustrating the execution procedure of self-diagnosis B performed by microcomputer 1.10 0 B.
  • Fig. 9 is a diagram of input signal sampling (system A).
  • Figure 10 is a flow chart that illustrates the execution procedure.
  • Figure 10 is a flow chart that illustrates the execution procedure for sampling the input signal (system B).
  • Figure 11 illustrates the majority process (system B).
  • Fig. 1 3 is a flowchart illustrating the procedure for creating the majority word MA.
  • Fig. 1 4 is a circuit diagram of the conventional input circuit 2 0 1 (normally)
  • Fig. 1 5 — A is a graph (normal) illustrating the relationship between the diagnostic pulse and the response signal.
  • Fig. 1 5 — B illustrates the relationship between the diagnostic pulse and the response signal.
  • Fig. 16 is a circuit diagram of the conventional input circuit 201 (at the time of short circuit).
  • FIG. 2 is a circuit diagram of the input circuit 200 of the programmable controller according to the first embodiment.
  • the input terminals O and P constitute the first input terminal with these two terminals.
  • input terminals Q and R constitute the second input terminal.
  • the Switches SW 1 and SW 0 are dual emergency emergency stop buttons. When the emergency stop button is pressed, both switches SW 1 and SW 0 open simultaneously. That is, when the emergency stop button is pressed, the electrical connection between the input terminals O and Q and between the input terminals P and R is cut off.
  • This emergency stop button represents an external input device. Actually, many other external input devices (not shown) are connected to this emergency stop button in parallel with this emergency stop button. Similarly arranged and connected. Any external input device may be used. For example, various contacts such as switches, limit switches, relays, and sensors can be connected.
  • the input terminal O in Fig. 2 is a + 24V DC power supply terminal.
  • Input terminal R is maintained at the ground level ( ⁇ 0 V). Since switch SW1 in Fig. 2 is always closed during normal operation, a stable 24 V DC voltage is always applied between input terminals 0 and P during normal operation. Similarly, switch SW 0 is always closed during normal operation, so a stable 24 V DC voltage is always applied between input terminals Q and R during normal operation.
  • the right side of the boundary (Mycon 10 OA, Mycon 10 OB side) is configured as a 5-V power system.
  • the voltages V B and V A_U in Fig. 2 are also set to +5 V.
  • the current flowing from the LED provided in the photocoupler 10 of FIG. 2 to the phototransistor provided in the photocoupler 20 always flows in normal times. This is because current is always flowing through the LEDs provided in the photopower bra 20 during normal times.
  • the current flowing from the LED included in the photocoupler 30 of FIG. 2 toward the phototransistor included in the photocoupler 40 always flows in normal times. This is because current is always flowing to the LED provided in the photopower bra 40 during normal times.
  • the first input terminals form a group.
  • this group is referred to as the first input terminal group.
  • the input signals output from each external input device and input to the first input terminal group are hereinafter referred to as a first input signal group.
  • the input signals output from each external input device and input to the second input terminal group are hereinafter referred to as a second input signal group.
  • the input circuit 20 0 in FIG. 2 has a first input terminal (0, P) and a first signal processing device 10 0 O A, and these constitute the upper half system.
  • this system is called A system.
  • it has a second input terminal (Q, R) and a second signal processing device 1 00 0 0 B, and these constitute a lower half system.
  • this system is called B system.
  • Microcontroller for A system control that manages A system safety management 10 A logical inverter (inverter a) is arranged at the input of OA. Therefore, HZ L (ie, 1 Z 0) is inverted before and after the inverter a in the signal output from the photocoupler 10 and input to the microcomputer 10 OA via the inverter a.
  • the other inverters b, c, () also have the same inversion action.
  • MY-YUN-: LOOA- outputs are arranged with the first diagnostic panohis output hand ⁇ L 1 0_A ⁇ . 1 Diagnostic pulse output means 1 1
  • the OA outputs diagnostic pulses in parallel to the unillustrated photocabra of other external input devices connected in parallel. You can. Of course, as in the conventional device, diagnostic pulses can be output individually in serial to each external input device.
  • the microcomputer 100 B is a microcomputer for the B system control that manages the safety management of the B system, and a diagnostic circuit for DC power supply diagnosis composed mainly of the photocoupler 50 is added. Except for this point, it is configured and arranged symmetrically with the microcomputer 100A, as with the microcomputer 100A.
  • the second diagnostic pulse output means 1 1 0 B is disposed at the output section of the microcomputer 1 0 0 B, and this second diagnostic pulse output means 1 1 0 B corresponds to the photocabler 2 0.
  • diagnostic pulses can be output in parallel to the unillustrated photocabra connected to other external input devices connected in parallel.
  • diagnostic pulses can be serially output individually and sequentially to photo force bras (check means) corresponding to these individual external input devices.
  • the photocoupler 10 and the photocoupler 20 constitute a part corresponding to the first check means of the present invention.
  • Such a pair of photobras is placed in each input circuit of the A system corresponding to each external input device, so that the propagation of the first input signal group is temporarily interrupted. can do.
  • the photo force bra 30 and the photo coupler 40 constitute a portion corresponding to the second check means of the present invention. In other words, this makes it possible to temporarily block the propagation of the second input signal group.
  • the first diagnostic pulse output means 1 1 0 A will change the first input signal to The first and second diagnostic pulse output means 1 1 0 B
  • FIG. 3 shows an example of a time chart related to the operation of each of the above microcomputers (1 0 0 A, 1 0 0 B).
  • This microcomputer 1 0 OA, 1 0 OB The control cycle ⁇ is set to 18 msec.
  • the time shown in the figure represents the time t within the control cycle with reference to the start time of this control cycle.
  • the cross diagnosis shown in the figure is executed in a part of the time zone in which the time t in the control period is between 13.5 msec and 15.5 msec. In this cross diagnosis, both microcomputers 10 OA and 10 OB are used.
  • the microcomputer 100 In the self-diagnosis A that is executed in a part of the time zone between the time of 15.5 msec and 16.5 msec in the control cycle, only the microcomputer 100 A is used. In the self-diagnosis B that is executed in a part of the time zone in which the time t in the control cycle is 16.5 msec to 17.5 msec, only the microcomputer 100B is used.
  • Figure 3 shows an example of the response pattern (input pattern of each response signal I A (m), I B (m)) corresponding to the diagnostic pulse.
  • the natural number m is a serial number assigned to each external input device, and in the following, in Example 1, it is assumed that the maximum value of m is 24.
  • the diagnostic pulse OB (m (m) is output in parallel from the second diagnostic pulse output means 1 1 0 B of the B system microcomputer 100 B to the first check means.
  • the response signal IA (m) (1 ⁇ m ⁇ 2 4) input to the A system microcomputer 1 0 0 A should change. If the independence of the A system and the B system in the input circuit 20 ⁇ is secured and maintained, as already discussed using Figs. 14 and 15-B, The response signal IB (m) (m ⁇ m ⁇ 2 4) input to the microcomputer 1 0 0 B should not change at all.
  • Figure 4 shows an example of a flow chart for cross diagnosis (A system) executed by microcomputer 10 O A.
  • This cross diagnosis embodies the sixth means of the present invention, whereby the cross diagnosis shown in FIG. 3A is realized. That is, the diagnostic pulse OA (m) in this figure is a diagnostic pulse for diagnosing the A-system input circuit of the m-th external input device as described above. Is output. This output is serially applied to each external input device in the cross diagnosis (system A) in Fig. 4.
  • the program 7 0 0 is similar to the program 8 0 0 for executing the cross diagnosis (system B) shown in Fig. 5 and is configured symmetrically and complementarily.
  • the program 7 0 0 and the program 8 0 With 0, the cross diagnosis shown in Fig.
  • control variable m always points to the serial number of the external input device to be diagnosed.
  • control variable n indicates the number of times of the same diagnostic operation repeated for the input circuit (A system) of the same external input device. The reason for performing such repetition is to realize the above-mentioned fourth means of the present invention.
  • step 7 2 it waits for a timer interrupt.
  • the subroutine call of step 73 is executed, and thereby, the sampling process of the input signal in FIG. 9 is started.
  • This input signal sampling process is used to determine the signals (first input signal group and second input signal group) input to the input 3 ⁇ 4 3 ⁇ 4? .. ⁇ ⁇ by a predetermined statistical operation. Is.
  • This statistical operation will be explained in detail later in detail, but this statistical operation is not limited to noise, etc. This is mainly for countermeasures against disturbance. However, the effect is not necessarily limited to measures against disturbance.
  • the response signal IB (i) held on the microcomputer 10 0 B side can be referenced from the microcomputer 1 0 0 A side via a bus or shared memory between both microcomputers at any time. .
  • step 7 40 therefore, all response signals IA (i) (l ⁇ i ⁇ 2 4) input to microcomputer 10 OA are stored in a predetermined save area (24 bits). All the response signals IB (i) (1 ⁇ i ⁇ 2 4) input to the microcomputer 1 0 0 B are also saved in a predetermined save area (24 bits).
  • diagnostic pulse OA (i) and diagnostic pulse OB (i) (1 ⁇ i ⁇ 2 4) have not been issued before, so in step 7 8 0 later, response signal IA (i) If it can be confirmed that (l ⁇ i2 4) is all bits 1, it can be determined that these input bits (first input signal group) are normal. The same applies to the second input signal group (response signal I B (i)).
  • Step 7 50 diagnostic pulse OA (m) is output to the B system check means of the mth external input device.
  • the program 8 00 shown in FIG. 5 that is similar to and symmetrical to the program 7 0 0, in the step 8 5 0 corresponding to the step 7 5 0, the ⁇ -th external input device A system Since the diagnostic pulse OB (m) is output almost simultaneously to the check means, the above-described cross diagnosis is realized based on the cross relationship of the diagnostic pulses. However, strictly speaking, -examination-disconnection-pal O A (m), O B (m).
  • step 7 60 the same processing as in step 7 40 is performed.
  • a backup area for input data is provided separately. Based on the diagnostic data for 100 times stored in each of these evacuation areas, An abnormality judgment of 7 80 can be performed.
  • step 8 40 to step in FIG. 5 a series of processing ⁇ composed of three steps from step 7 40 to step 7 60 is the step 8 40 to step in FIG. 5 described later.
  • a series of processes ⁇ consisting of three steps up to 8 60 are executed mutually mutually with a shifted timing.
  • the synchronization for executing this exclusive control may be realized by sequentially interrupting each other between the microcomputer 10 O A and the microcomputer 10 0 ⁇ .
  • Steps 7700 to 774 are steps for realizing control for repeatedly performing the above input data storage processing 100 times. That is, this repeated control embodies the fourth means of the present invention.
  • step 7 80 it is determined whether there is any abnormality in the A system input circuit of the mth external input device.
  • the subroutine for issuing the emergency safety stop command is called in step 7 85 to complete the entire processing of this program 700. Return control to the caller.
  • Steps 790 to 794 are to execute repetitive control to realize the cyclic processing for a total of 24 external input devices connected.
  • the same processing related to the B system is executed in parallel in the same way as the program 700.
  • the diagnostic pulses are crossed between different systems (that is, the processing ⁇ and ⁇ described above are mutually and exclusively controlled.
  • the effect of constantly monitoring the normal operation of the control microcomputer of the other system can be obtained.
  • FIG. 6 shows the calculation of the diagnostic cycle required for the cross diagnosis, which depends on the number of measurements N and the number of terminals M (total number of external input devices).
  • the above-described cross diagnosis executed by the program 700 and the program 800 has excellent closeness with respect to the state of each input terminal, but tends to increase the diagnosis period ⁇ . For this reason, it is not always possible to detect within a short period of time, such as the occurrence of short-circuit faults or emergencies.
  • both self-diagnosis A and self-diagnosis B for verifying the independence in the parallel multiplexing configuration for each system are used. Since it is carried out in a short time, it is possible to reliably detect short-circuit faults and emergencies as exemplified in the above-mentioned Fig. 1A and Fig. 1B with shorter diagnostic cycles than before.
  • the second diagnosis pulse output means 1 1 OB of the B system microcomputer 10 OB is not used at all.
  • the B system microcomputer 100 B should not execute any processing related to the processing of self-diagnosis A in Fig. 7 at all, and should basically be in an interrupt waiting state. .
  • statistical processing for input signals and response signals may be executed in parallel behind the scenes.
  • the first diagnostic pulse group is simultaneously output to the parallel by the first diagnostic pulse output means 1 1 O A. This eliminates the need for patrol control for each external input device.
  • control variable n is the number of times the diagnostic pulse is output. The reason for carrying out such a repetition is to realize the above-mentioned fourth means of the present invention.
  • step 3 2 the timer ⁇ "waits for interrupt.
  • the subroutine call of step 330 is executed at this timing, and the sampling process of the input signal shown in FIG. 9 which will be described in detail later is started.
  • This input signal sampling process is performed on the signals (first input signal group and second input signal group) input to the input circuit 200 by a predetermined statistical operation centering on the mismatch detection process. It is for confirmation.
  • Step 3 3 5 performs the same processing as Step 7 4 0 described above.
  • an input data saving area is provided separately.
  • step 3 3 5 and later step 3 5 all A-system response signals IA (all 24 bits) are saved, but step 7 4 0 in Figure 4 above is stored.
  • step 7 60 in Fig. 4 all B response signals IB may be stored at the same time.
  • the abnormality determination in step 38 is performed.
  • step 3 40 the first diagnostic pulse output means 1 1 0 A is sent to the diagnostic pulse OA (i) with respect to the B system check means (second check means) composed of photocouplers 3 0, 40, etc. ) (1 ⁇ i ⁇ 2 4) are output simultaneously in parallel via inverter b.
  • the second checking means pairs of photocouplers 30 and 40 are provided in parallel, respectively. Due to the parallel output of this diagnostic pulse, for example, the power supply to the LED of the B system photocoupler 40 in Fig. 2 is temporarily interrupted, so the power supply to the LED of the photocoupler 30 is also temporarily interrupted. Is blocked. In other words, this kind of blockage occurs in all 24 pairs.
  • step 3 5 the same processing as in step 7 4 0 described above is executed.
  • a backup area for input data is provided separately.
  • 10 diagnostic data accumulated in each of these evacuation areas and the above step 3 3 Based on the diagnostic data for 10 times stored in the save area in step 5, the abnormality determination in step 3880 can be performed. That is, steps 360 to 3664 are steps for realizing control for repeatedly performing the above input data storing process 10 times. This repetition embodies the fourth means of the present invention.
  • each response signal IA (i) (1 ⁇ i ⁇ 2 4) is examined, and even if there is even one input signal IA (i) that has been zero for 10 consecutive times. In other words, if the current that is unduly interrupted by the A system side check means (first check means) is detected even at one power point, it is determined as abnormal.
  • the emergency safety stop command issuance subroutine is called at step 390, the entire processing of this program 300 is terminated, and control is returned to the caller.
  • the execution time of the program 3 0 0 in FIG. A similar process is executed.
  • the independence of the processing of self-diagnosis A and self-diagnosis B can be ensured by sufficiently shifting the execution times of the program 400 and program 300. That is, in these self-diagnosis A Z B, the diagnostic pulses do not cross each other.
  • the period (steps 6 6 4 when self-diagnosis A is executed, or step 4 6 4 when self-diagnosis B is executed (diagnosis periods ⁇ of self-diagnosis A and self-diagnosis B) is As you can see, it is 0.18 seconds.
  • This length of time is assumed, for example, when an operator presses the emergency stop button for stopping the system in an emergency. It can be said that the length is within the allowable delay time and is well within the allowable range.
  • Fig. 9 is a flowchart illustrating the execution procedure of input signal sampling (system A).
  • the first input signal group I A ′ is input.
  • This first input signal group I A ′ is output to the microcomputer 10 OA from the same inverter a (input portion in FIG. 2) as the response signal IA.
  • the first input signal group I A ′ is This is not a response signal to the diagnostic pulse OB but an input signal input to the input circuit 20 0 related to the A system of each external input device. Therefore, each bit is assigned to each external input device (24 units in total). Each corresponds.
  • This input first input signal group I A ′ is held right-aligned on a one-word area with 32 bits as one word. The upper 8 bits are always set to 0 or ignored.
  • step 5 4 OA the predetermined 24 bit data on the same one-word area MA (i) is transferred between the first input signal group IA 'and the corresponding bit for each bit.
  • Logical product (AND) operation Here, the integer i is an argument of the array MA and is allocated separately for each time t in the basic control period ⁇ as shown in the figure. The result of this logical operation is held on the one-word area MA (i).
  • the initial value of 1-word area MA (i) is 0 for the left 8 bits and 1 for all the 24 bits on the right.
  • Step 5 6 In OA, Step 5 4 Count the number of executions of OA with control variable h.
  • the input signal for which the first input signal group IA 'becomes 0 even once during the five samplings will be subjected to the operation of the AND operation (AND instruction).
  • the value of the corresponding bit in the one-word area MA (i) is continuously stored in 0.
  • an input signal that has become 0 (: OFF state) even once during the 5 samplings is continuously stored in 0 on the 1-word area MA (i).
  • the diagnosis results for the above five times can be summarized and accumulated on a bit-by-bit basis on the one-word area MA (i).
  • FIG. 10 is a flow chart illustrating the execution procedure of input signal sampling (system B).
  • This program 50 OB is similar to the above program 50 00 A, but as can be seen from Fig. 3-A, Fig. 7, Fig. 8, and Fig. 9, depending on the timing to be called, the argument
  • the rules for i and k are slightly different.
  • the value of the second input signal group IB 'is t l 3.5 ms, 1 6.5 ms, 1 7 as shown in the Input sampling column of Fig. 3-A and Fig. 10 .
  • Sampling is performed in the same control cycle in 3 steps of 5 ms. By repeating this for 5 cycles, a total of 15 sampling data is divided into three storage areas MB (1), MB (2), MB (3) at each time t. Summarized and accumulated through logical operations such as
  • FIG 11 is a flow chart illustrating the execution procedure of the majority process (B system).
  • this program 900 B as described above, a total of 15 sampling data is stored in 3 storage areas MB (at each time t), each for 5 times (5 control cycles) of diagnostic data. 1), MB (2), MB (3), and the storage area MB (k) 7
  • step 9 4 OB each of 24 bits corresponding to each external input device between 3 words MB (1), MB (2), MB (3) A majority vote is taken between each corresponding bit.
  • step 9 50 B a majority word MB that holds the result of the majority decision corresponding to each bit is transmitted from the microcomputer 100 B to the microcomputer 10 O A.
  • step 9 60 B and later the initial value X of the above three words MB (1), MB (2), MB (3) is reset. This initial value X is 8 bits on the left side 0 as described above, and 1 on all 24 bits on the right side.
  • Fig. 12 is a flow chart illustrating the procedure for performing mismatch detection.
  • This program 9 0 O A is configured symmetrically with the above-mentioned program 9 0 0 B in substantially the same manner as the above-mentioned program 9 O O B from step 9 1 O A force to step 9 7 O A.
  • this program 90 0 A instead of sending the majority MB in step 9 5 0 B (Fig. 1 1), the majority word MB in step 9 7 OA (Fig. 1 2) was 1 0 Receive from OB.
  • This transmission / reception may be realized by sharing the primary storage device or may be realized by using a bus or the like.
  • step 9 75 A of this program 90 OA it is determined whether or not the majority word MA created in step 9 4 OA matches the majority word MB created in step 9 4 0 B. As a result, if both match, control is passed to step 980 A, and if not, control is passed to step 990 A.
  • Step 9 8 In OA compared to the conventional sequencer (sequence controller or sequential circuit) (not shown) connected to the microcomputer 10 OA, either the majority word MB or the majority word. MA Is sent (output). _ ⁇ ⁇ ⁇ On the other hand, if the majority word MB and the majority word MA do not match, an emergency safety stop command is issued at step 9 90 A to execute the specified emergency safety stop operation.
  • this emergency safety stop command is issued by a microcomputer 1 0 OA. Or, it is output as a predetermined stop signal to each stop means connected to the safety PLC output port of the microcomputer 10 OB.
  • these stopping means for example, a well-known emergency stop brake, power supply breaker, or motor can be connected.
  • FIG 13 is a flowchart illustrating the procedure for creating the majority word MA described above.
  • This program 60 O A is configured to create the majority word M A of the A system, but the same logical operation may be performed in the B system.
  • This program 60 O A is a subroutine that should be called and executed in step 9 4 O A above.
  • the expanded macro format may be used.
  • step 6 10 the logical product of the word M A (1) and the word MA (2) obtained in the program 50 O A is obtained and stored in the variable Y 1. Of course, this AND operation is performed for each bit.
  • step 6 2 0 and step 6 3 the variable Y 2 and variable ⁇ 3 are combined with the logical product of word ⁇ (2) and word ⁇ (3), and word ⁇ (3) and word MA. Store the logical product with (1).
  • step 6 40 the logical sum of the variables ⁇ 1 and ⁇ 2 obtained here is obtained, and the result of the operation is newly stored in the variable ⁇ 2. Of course, this OR operation is performed for each bit.
  • next step 65 further, the logical sum of the variables ⁇ 2 and ⁇ 3 obtained here is obtained, and the operation result is stored in the majority word ⁇ .
  • a desired _multiple conjunction can be obtained at high speed by the above five steps 6 10 to 6 50 (hence, five logical operation instructions ⁇ ).
  • Step 5 4 0 A (Fig. 9) and Step 5 4 0 B (Fig. 10) receive a signal with a value of 0 (OFF signal indicating that the input has been cut off) at least once out of 5 times. If this is the case, the bit is configured using a criterion that it is determined to be 0. For example, if this criterion is used skillfully, most of the determination process is executed dynamically. In some cases, it is possible to minimize the save area of the reference data (input signal) by such a dynamic method.
  • Example 1 duplication of the input circuit was divided into two systems, system A and system B.
  • multiplexing of the input circuit can be realized with 3 or 4 multiplexing. good.
  • _field—, _inconsistency _detection means __ ⁇ _ and inconsistency detection m processing; ⁇ Introduced or when a failure occurs in only one system, a triple system can be dynamically reduced to a dual system. This greatly reduces the chance of system outages It is also possible.
  • the function of the present invention can be derived regardless of the multiplicity of these by properly configuring the means of the present invention.
  • the essential principle of operation of the present invention is not directly related to the multiplicity when the system is multiplexed.
  • Example 1 self-diagnosis A and self-diagnosis B are switched at the same time, but both are executed. However, only one of self-diagnosis A and self-diagnosis B is implemented. Even when it is adopted, it is possible to obtain a short-circuit fault detection effect due to the action of the self-diagnosis A or B in the first embodiment.
  • a normal short-circuit fault can be detected by either self-diagnosis A or self-diagnosis B due to the symmetry of the input circuit. This is because there is no particular problem caused by omitting.
  • self-diagnosis A and self-diagnosis B can be controlled by almost the same program 7 0 0 8 0 0, and it is possible to secure a period for execution at different times within one control cycle.
  • This process (Self-diagnosis above) because it is easy, because it is necessary to ensure the reliability and reliability of the process by duplication of the process, or because the capacity of the temporary storage device is sufficient. Of course, there are many cases in which it is better to have a doubled.
  • the above-mentioned basic control cycle ⁇ ⁇ may be further shortened by optimizing the control period.
  • the advantage can be obtained in that the diagnostic cycle ⁇ can be shortened, or the manufacture and handling of the program 400 becomes unnecessary.
  • each input circuit related to each external input device is duplicated.
  • each input signal from all external input devices is not necessarily received.
  • There is no need to duplicate That is, for devices that are not likely to be related to the occurrence of an emergency (external input device), it is sufficient to send the input signal to the input circuit in single mode.
  • the present invention highly secures the reliability of input signals input to the programmable controller (PLC), the reliability of processing related to those input signals, and the safety of the system to be secured based on the reliability. Therefore, it can be effectively used for sequence control for the operation of robots, machine tools and their peripheral devices.
  • PLC programmable controller
  • the present invention can be used in an auto cruise system of an automobile, assuming various sensors (detection devices), information processing devices, and the like as the external input device.
  • a safer auto cruise system may be configured.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Safety Devices In Control Systems (AREA)
  • Programmable Controllers (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

マイコン100Aが自己診断Aの処理を実行している間、B系のマイコン100Bの第2診断パルス出力手段110Bは一切使用されない。また、B系のマイコン100Bは、この時、少なくとも自己診断Aの処理に係わる処理を一切実行しない。この様に診断パルスの出力のタイミングをA系とB系とでずらすことにより、各診断処理(自己診断A/B)の独立性が確保される。このため、自己診断AによりA系とB系の独立性をA系側から簡潔に検証することができる。また、第1診断パルス出力手段110Aによって第1診断パルス群がパラレルに同時に出力される。このため、各外部入力機器に対する巡回制御が必要ないので、A系とB系との独立性を短時間に検証することができる。

Description

プログラマフゾレコ ン ト ローラ
技術分野
本発明は、 ロボッ トゃ工作機械やそれらの周辺機器の動作に対するシ 一ケンス制御に関わり、 特に、明プログラマブルコン トローラ （ P L C) に入力された入力信号に対する処理の確実性や安全性を高度に確保する ために大いに有用なものである。
書 背景技術
上記の様なシーケンス制御をプログラマブルコン トローラで実行する システムがある。 近年では、 システムの異常や緊急状態を正確に検出し たり、 システムを自動的に緊急安全停止させたりするためのシステムの 安全管理に特化した独立構成の P L C (いわゆる安全 P L C ) が普及し つつある。 下記の特許文献 1、 2には、 この様ないわゆる安全 P L Cに 関連した技術が例示されている。
他の技術と して、 第 1 4図に、 従来のプログラマブルコン トローラに 利用されている公知の入力回路 2 0 1の回路図 （平常時） を例示する。 この入力回路 2 0 1 は、 実際に使用される入力回路を部分的に簡潔に示 したものである。本回路では、非常停止スィ ツチであるスィツチ SW 1、 S W 0は二重化されており常閉接点であり、 フォ トカプラ 1 0、 2 0、 3— 0、 4 _0Jま常.に電流が流れている—動作状-態で用いられてい ¾_。 スイツ チ S W 1、 S W 0が開状態となると、 フォ ト力ブラ 1 0、 2 0を流れる 電流、 及ぴ、 フォ ト力ブラ 3 0、 4 0を流れる電流が、 それぞれ何れも 遮断される。 このよ うに、 スィ ッチ S W 1からの入力信号を入力して処 理する回路系統 （図示する入力回路 2 0 1 の上半分の系を以下、 A系と 言う ことがある。） と、 スィ ッチ S W Oからの入力信号を入力して処理す る回路系統 （図示する入力回路 2 0 1の下半分の系を以下、 B系と言う ことがある。） とが二重に構成されている。
そして、 この二重構成により、 A系から検出されたスィ ッチ S W 1 の 開閉状態を示す入力信号と、 B系から検出されたスィ ッチ S W Oの開閉 状態を示す入力信号とが、 一致した場合には、 正常な入力信号と して取 扱い、その後の論理処理が実行されて出力機器が制御される。たとえば、 非常停止スイ ッチが押下されて、 接点が開状態になれば、 そのスィ ッチ から出力される 2つの入力信号は共に開状態を示す信号となり一致する ので、 真正な入力信号と して、 全ての出力機器の動作を停止する非常停 止処理が実行される。
これに対して、 2つの系のスィ ツチ S W 1 とスィ ツチ S W Oからの入 力信号が一致しない場合には、 異常が発生したと して、—非常停止、 すな わち、 全ての出力機器の動作を瞬時に緊急停止させるよ うにしている。 一方、 入力回路やその制御装置は、 常に、 自己診断されている。 その 方法を以下に示す。
第 1 4図において、 符号 a， b , c , dはそれぞれインバータ （論理 反転器） を示している。 図示する安全管理を司る図略の A系制御用のマ イコンから、 インバータ bに対して診断パルス O A (図中の信号 L ) が 出力される と、 インバータ bの反転作用により、 フォ トカプラ 4 0の診 断パルス入力端子 4 0 a の電位は上がる。 これによ り、 フォ トカプラ 4 ひ-が内蔵する L E Dの発光は、 パ kス―丄信 の期間だけ一時的に中 断されるので、 フォ トカブラ 3 0を通っていた平常電流 i n は一旦遮断 される。 したがって、 インバータ cを介しても う片方の図略の B系制御 用のマイコンに入力される診断結果 （診断パルス O Aに対する応答信号 I B ) は、 一時的に 1カゝら 0に変位する。
この関係を第 1 5 — A図に示す。 即ち、 本第 1 5 — A図は、 端子 P， Q間が短絡しておらず、 かつ、 スィ ッチ SW 1， S W 0が何れも閉じて いる時に、 上記の診断パルス O A (図中の信号 L ) が出力された際の、 診断パルス OAと応答信号 I B との関係を示している。 逆に B系制御用 のマイ コンから診断パルス O Bを同様に発信した際にも、 同様の対称的 な関係が成り立つ。 この診断パルス O B と前述の第 1 4図の応答信号 I Aとの関係を第 1 5 — B図に示す。 これらの関係は、 回路の対称性から も容易に理解することができる。
例えばこの様な、 診断パルスの発信側とその診断パルスに対する応答 信号の受信側とが相異なるコンピュータで構成された例えば上記の様な 診断を、 以下、 ク ロス診断と言う。 ただし、 この様なク ロス診断におい て、 受信側で受信された上記の応答信号を即座に診断パルス発信側から 参照可能とする様な通信手段や診断結果共有手段をマイコン間に設けて も良い。
この様なク ロス診断を行う ことによ り、 各端子 （0， P， Q, R) 間 の導通状態や回路の動作状態を常時相補的に協調しながら監視すること ができ、 入力回路の二重化とその定常的な監視が行われる。 また、 診断 パルスを異系統間で互いにクロスさせることによ り、 相手方系統の制御 用マイ コンの正常動作を常時監視する効果も同時に得られる。
従来装置においては、 以上の様にして、 スィ ッチ開閉信号の伝達線路 やスィ ッチ自身等を第 1 4図の様に二重化することによって入力回路 2
-0 1〜が二重化され、—これによってシ„ステ n安全性が確保され τ 、 特許文献 1 は、 特開 2 0 0 4— 4 6 3 4 8号公報であり、 特許文献 2 は、 特開 2 0 0 2— 3 5 8 1 0 6号公報である。
しかしながら、 第 1 6図に示す様に入力回路 2 0 1の二重化された同 一入力機器に対する入力端子 P， Q間が短絡すると、 A系と B系のフ才 ト力ブラが直列接続されることになり 、 図中の短絡電流 i s が生じる このため、 各フォ トカプラ 1 0 ， 2 0 , 3 0 ， 4 0には、 スイ ツチ S W
1 , S W 0の開閉状態に係わらずヽ 雷 ¾流が常時流れ続けることになる したがって、 非常停止スィ ッチ s W 1 , S W 0が開状態にされても、 上 記のスィ ッチ開閉信号 （ I A , I B ) は何れも閉状態を示したまま変化 しない。 即ち、 双方共に、 常時 1 のままに据え置かれてしま う。 したが つて 、この様な短絡による異常は、上述した二重化された応答信号 I A
I B間の不一致を監視する周知の不一致検出手段を用いても、 検出され ることはない。
なお、 異なる入力機器に対する端子間で短絡が生じた場合には、 二重 化されたスィ ッチが開状態となると、 短絡していない端子の系の入力信 号は、 開状態となり、 他方の系は閉状態を持続するが、 二重化信号が不 —致と判断されて、 直ちに、 非常停止処理が動作することになり、 問題 は生じない。
一方、 上記の短絡が発生した後に、 非常停止スィ クチ S W 1 ， S W 0 が開状態となり、 その後に 、 上目ししたク ロス診断が実行される場合につ いて説明する。 実際にはヽ 第 1 4図の様な入力回路 2 0 1が管理対象と すべき装置や周辺機器の数だけ必要となるので、 第 1 4図の様な入力回 路 2 0 1は多数並列に配置される 。 この時、 上記の A系制御用のマイ ンと B系制御用のマイコンを中心と して構成される従来の安全 P L Cで は、 この様にして多数並列に配置された入力回路の各部の各入力端子の 状態.をそれぞれ周期的に診断パル 各 _端-子毎 Jこ—出力して、. Λ力 ί言 ϋ 読むという処理を巡回して実行することで、 システムの安全性を常時監 視する。
この場合には、 回路が短絡しているので、 短絡している他の系の回路 の電流も診断パルスによ り遮断されることになり、 この現象を入力信号 のレベル変化で検出することができる。 したがって、 不一致検出手段が 有効に作用しない場合であっても、 この様な巡回診断を常時実施してい れば、 この巡回診断に基づいて前述の短絡故障を検出することは可能で はある。
しかしながら、 この巡回診断は各端子に対してシーケンシャルに実行 されるので、 この巡回診断を実行する際の診断周期は、 その診断対象の 数に比例する。 このため、 後から第 6図などを用いて例示的に説明する 様に、 非常に長く なりがちであり、 よって、 上記の様な短絡などの異常 を検出するまでに必要と される所要時間は、 十分に短く でさる とは必ず しも言えないのが現状である。
また、 巡回診断の診断周期は入力回路の入力端子数に比例するため、 この様な問題は、 システム規模が大きく なるに従って、 今後ますます表 面化又は顕在化していく ものと思われる。
本発明は、 上記の課題を解決するために成されたものであり、 その目 的は、 故障発見をよ り確実に行い、 非常停止をより確実かつ迅速に行え るよ うにすることである。 発明の開示
上記の課題を解決するためには、 以下の手段が有効である。
即ち、 本発明の第 1の手段は、 複数の外部入力機器とそれらの外部入 力機器から入力される入力信号群を処理する処理装置が複数の系統に多 重化さ _れ—、全ての系統の入力信号群が一致.丄 ^時に真正な入力信号 ^レ、 不一致の場合には異常停止処理を行う よ うにしたプログラマプルコント ローラにおいて、 一の系統の処理装置に、 他の系統の処理装置に対して 一の系統に固有のタイ ミングで診断パルス群をパラ レル出力する診断パ ルス出力手段と、 他の系統の処理装置の診断パルス出力手段から出力さ れる診断パルス群を入力してそれらのパルス期間だけ入力信号群の伝搬 を遮断するチェック手段と、 自 己の系統の診断パルス出力手段からの診 断パルスの出力に対応する入力信号群 （応答パターン） の信号 （応答信 号） が変化した場合には、 異常停止処理を行う異常判定手段とを備える ことである。
本発明における多重化の数は任意である。 一の系統から他の系統に対 して、 診断パルスをパラレルで出力して、 その他の系統の入力信号群の 伝搬をパルス期間だけ遮断して、 診断パルスを出力した自 己の系統の入 力信号群の状態を判定するのが、 本件発明の特徴である。 故障がなけれ ば、 系統は独立しているので、 診断パルスを入力していない自己の系統 の入力信号群は、 診断パルスの影響を受けない。 しかし、 端子間にある 種の短絡が発生していると、 回路が形成され、 他の系統に入力された診 断パルスの影響を受けて、 自己の系統の入力信号群の信号が変化する。 このことによ り、 瞬時に、 故障を発見して、 非常停止処理を実行するこ とができる。
なお、 入力機器は特に限定されないが、 一般的には、 スィ ッチゃリ レ 一などの接点を想定している。 また、 通常は、 これらの接点は、 常閉接 点と して用いられることが多い。 この時、 入力回路は常に電流が供給さ れた状態で用いられ、スィ ッチが開状態となると回路の電流が遮断され、 この変化が意味ある入力信号とされる。
本発明の第 1の手段によれば、 各系統間で相互に相異なる固有のタイ 一ミングで診断パルス群がパラ レル出力される で、 この時、 こ多重 化された各系統毎に保証されるべき個々の系統の独立性が短絡などによ つて破られていれば、 本来何ら変化すべきでない自系統の入力信号群の 中の少なく とも 1信号が変化し、 かつ、 その変化が自系統において検出 される。 このため、 本発明の第 1の手段によれば、 少なく と も自系統の 独立性が破れていることを検出することができ、 よって、 多重化された 各系統毎に保証されるべき個々の系統の独立性が短絡などによって破ら れた際には、 上記の異常停止処理が実施されて、 その結果、 短絡などに よる事故を未然に防止することができる。
また、 本発明の第 2の手段は、 それぞれが二重に構成された外部入力 機器群から出力される第 1入力信号群を入力する第 1入力端子群と、 そ の第 1入力端子に入力される第 1入力信号群を処理する第 1信号処理装 置と、 外部入力機器群から出力される第 2入力信号群を入力する第 2入 力端子群と、 その第 2入力端子群に入力される第 2入力信号群を処理す る第 2信号処理装置とで、 二重に構成され、 入力信号群の一要素である 第 1入力信号と、 その信号と一対を成す第 2入力信号とがー致した時に 真正な入力信号と し、 不一の場合には異常停止処理を行う よ うにしたプ ログラマブルコン トローラにおいて、 第 1信号処理装置に、 第 2信号処 理装置に対して第 1診断パルス群をパラレル出力する第 1診断パルス出 力手段と、 第 2信号処理装置から出力される第 2診断パルス群をパラレ ル入力してそれらのパルス期間だけ第 1入力信号群の伝搬を遮断する第 1チェック手段と、 第 1診断パルス出力手段からの第 1診断パルス群の 出力に対応して第 1入力信号群が変化した場合には、 異常と判定して異 常停止処理をする第 1異常判定手段とを備え、 かつ、 第 2信号処理装置 には、 第 1診断パルス群の出力とは異なるタイ ミ ングで、 第 1チェック 手段に第 2診断パルス群をパラレル出力する第 2診断パルス出力手段と、 -第- 1診断パルス出力手段から出力される _第 1診断パルス群をパラ. レル—入 力してそれらのパルス期間だけ第 2入力信号群の伝搬を遮断する第 2チ ェック手段と、 第 2診断パルス出力手段からの第 2診断パルス群の出力 に対応して第 2入力信号群が変化した場合には、 異常と判定して異常停 止処理をする第 2異常判定手段とを備えることである。
この発明は、 多重化数を 2 と して構成したものである。 各系統は対称 的な回路構成をしており、 請求項 1の発明と同様に、 診断パルスは他の 系統に対して出力するのであるが、 診断パルスをパラ レルで出力した系 統における入力信号群の状態を検出することで、異常判定が実施される。 上記のよ うな短絡故障が発生している状態で、 入力機器であるスィ ッチ が開状態となると、 診断パルスを入力して、 回路電流がパルス期間だけ 遮断されると、 他の回路の電流も遮断されることになる。 診断パルスを 入力していない他の回路からの入力信号群の状態を判定することで、 異 常状態を検出するこ とができる。 この検出は、 診断パルスを入力端子群 に対してパラ レルで出力していることから、 この出力タイ ミングから入 力信号群の処理時間の遅延の後に、 異常診断を完了することが可能とな る。 よって、 非常停止スィ ッチが閉状態から開状態に変化してから遅延 なく、 非常停止を実施することが可能となる。 ただし、 厳密には、 この 時の遅延時間は、診断パルスの出力のサイクルタイムだけの時間、即ち、 例えば、 1 8 m s e c程度となる。
以下、 上記の本発明の第 2の手段における第 1信号処理装置が安全管 理を司る系統を A系と言い、 また、 も う一方の第 2信号処理装置が安全 管理を司る系統を B系と言う ことがある。
本発明の第 2の手段によれば、 A系と B系との間で相互に相異なる固 有のタイ ミングで第 1及び第 2の各診断パルス群がパラレル出力される ので、 この時、 並列に二重化された各系統 （即ち、 A系と B系） 毎に保 IE れるべき個々-の 統の独立性が短絡 ¾_ど よって破られていれま Λ . 入力条件によっては、 本来何ら変化すべきでない自系統の入力信号群の 中の少なく と も 1信号が変化することがあり、 この時、 その変化は自系 統において検出される。 このため、 本発明の第 2の手段によれば、 第 1 又は第 2の各異常判定手段に基づいて、 自系統の独立性が破れているこ とを検出することができ、 この場合、 二重化された各系統毎に保証され るべき個々の系統の独立性が短絡などによって破られた際には、 上記の 異常停止処理が実施されて、 その結果、 短絡などによる事故を未然に防 止することができる。
系統の独立性が破れている場合と しては、 例えば前述の第 1 6図に例 示した短絡の例を上げることができる。 この場合、 端子 P Q間に短絡が あり、 その短絡電流 i s は、 A系の回路 （フォ トカプラ 1 0 , 2 0 ) と B系の回路 （フォ トカプラ 3 0， 4 0 ) とを直列に通るので、 この点で、 系 Aと系 B との間の独立性は破られている。
そして、 この時、 スィ ッチ S W 1 , S W 0が共に開いている条件下で は、 その異常または緊急な状態は、 第 1 — A図又は第 1 一 B図に示す診 断パルス発信時の応答パターンによつて検出することができる。 即ち、 第 1 一 A図又は第 1 一 B図に例示される短絡故障の検出作用は、 上記の 本発明の作用を利用した事例であると言う ことができる。
また、 本発明の第 3の手段は、 上記の第 1の手段において、 上記の異 常判定手段によって、 所定回数連続して入力信号群の同一入力端子から の信号が変化した場合に異常と判定して異常停止をすることである。 所定回数連続して判定するのは、 雑音対策であり、 所定回数連続して 同一信号レベルが得られれば真正な値と し、 得られなければ雑音と判断 して真正な値と しないものである。 したがって、 この回数は多いと耐雑 音性が向上するが、 非常停止に至るまでの時間は長く なる。 この観点か ら -.、 所定回数は適切に設定される。 例え.ば、 JL 0回程度である。
また、 本発明の第 4の手段は、 上記の第 2の手段において、 上記の第 1異常判定手段を、 所定回数連続して第 1入力信号群の同一入力端子か らの信号が変化した場合に異常と判定して異常停止をする手段と し、 上 記の第 2異常判定手段を、 所定回数連続して第 2入力信号群の同一入力 端子からの信号が変化した場合に異常と判定して異常停止をする手段と することである。
なお、 上記の所定回数については、 上記の本発明の第 3の手段と同じ ことが言える。
本発明の第 3或いは第 4の手段によれば、 上記の入力信号群の中の同 一入力端子からの信号が所定回数連続して変化した場合に、 それが異常 であると判定されるので、 現場に入力信号に影響を与え得るノイズが多 い場合にも、 それらのノィズに影響されない安定した安全管理を実現す ることができる。 この様な制御の安定化に関する対策は、 ノイズを発生 する動力機器を多用する現場において特に有効となる。
また、本発明の第 5の手段は、上記の第 1または第 3の手段において、 —の系統の信号処理装置に、 他の系統の処理装置に対して入力端子毎に シリ アルにシリ アル診断パルスを出力するシリ アル診断パルス出力手段 と、 他の系統の処理装置のシリ アルパルス出力手段から入力端子毎にシ リ アルに出力されるシリアル診断パルスを入力して、 そのパルス期間に 対応して入力信号が変化しない場合に異常と判定して異常停止処理をす るパルスチェック手段を備えることである。
また、 本発明の第 6の手段は、 上記の第 2または第 4の何れか 1つの 手段において、 上記の第 1信号処理装置に、 シリアルに第 1シリアル診 断パルスを入力端子毎の第 2チェック手段に出力する第 1 シリ アル診断 パルス出力手段と、 第 2信号処理装置から入力端子毎の第 1チェック手 段に I y_アルに出力さ-れた第 2シリア 診断パ スを入力してそ 」、。ル ス期間に対応して第 1入力信号が変化しない場合に異常と判定して異常 停止処理をする第 1 パルスチェック手段とを設け、 かつ、 上記の第 2信 号処理装置には、 シリ アルに第 2シリアル診断パルスを入力端子毎の第 1チェック手段に出力する第 2 シ リ アル診断パルス出力手段と、 第 1 シ リアル診断パルス出力手段から入力端子毎の第 2チェック手段にシリア ルに出力された第 1 シリアル診断パルスを入力してそのパルス期間に対 応して第 2入力信号が変化しない場合に異常と判定して異常停止処理を する第 2パルスチェック手段とを設けることである。
上記の本発明の第 1乃至第 4の何れか 1つの手段によれば、 個々の系 統間の独立性を検証することができる。 しかし、 これらの検証 （診断） は、 個々の系統内で起る個々の回路間での不正な干渉や短絡などの故障 までをも検証 （診断） できるものではない。
しかしながら、 本発明の第 5又は第 6の手段によれば、 各入力端子毎 にシリアルに上記のシリアル診断パルスが出力されるので、これによ り、 個々の系統内で起る個々の回路間での不正な干渉や短絡などの故障まで をも検証 （診断） することができる。
また、 本発明の第 7 の手段は、 上記の第 1、 第 3、 または第 5の何れ か 1つの手段において、 入力信号を入力するフォ ト力ブラと、 そのフォ トカブラの発光ダイォー ドに直列に接続されたフォ ト トランジスタと診 断パルスを入力しフォ ト トランジスタに光信号を発する発光ダイォー ド とから成るフォ ト力ブラとから上記のチェック手段を構成することであ る。
なお、 信号を処理するフォ ト力ブラ等の回路は、 常に電流が供給され た状態で用いられ、スィ ツチが開状態となると、回路の電流が遮断され、 この変化が意味ある入力信号とされる。
ま f 、 -本発明の.第 8の毛段は、 _― 記の第- 2、 第一 4、 または第 6 何一れ か 1つの手段において、上記の第 1入力信号を入力するフォ トカブラと、 そのフォ トカブラの発光ダイオードに直列に接続されたフォ ト トランジ スタと第 2診断.パルスを入力しフォ ト トランジスタに光信号を発する発 光ダイオードとから成るフォ ト力ブラ とから上記の第 1チェック手段を 構成し、 かつ、 上記の第 2入力信号を入力するフォ ト力ブラと、 そのフ ォ ト力ブラの発光ダイォー ドに直列に接続されたフォ ト トランジスタ と 第 1診断パルスを入力しフォ ト トランジスタに光信号を発する発光ダイ オー ドとから成るフォ トカプラとから上記の第 2チェック手段を構成す るこ とである。
本発明の第 7又は第 8の手段によれば、 診断を実施する際の回路のス ィ ツチング動作や回路遮断検出動作が、 フォ トカブラによって実行され る。 これらの信号は所定の波長の光によって伝播されるので、 以下の利 点を得ることができる。
( 1 ) 現場環境におけるノイズが直接的に拾われ難い形態で、 上記の回 路のスィツチング動作や回路遮断検出動作を安定的に実現することがで さる。
( 2 ) 診断を実行する側の回路群と、 診断される側の回路群との間のィ ンターフェイスを光イ ンターフェイスのみに限定するこ とができる。 こ れによ り、 双方の回路群の独立性が高まるので、 例えば電源回路などの 回路設計を個別に独立させて実施することが容易となる。 図面の簡単な説明 第 1 一 A図は、診断パルスと応答信号との関係を例示するグラフ（短 絡時） であり、 第 1 — B図は、 診断パルスと応答信号との関係を例 す る.グラフ— (-短絡時） であり、 第 2図は、 実施 1のプログラマプノとコ トローラの入力回路 2 0 0の回路図であり、 第 3 — A図は、 各処理装置 ( 1 0 0 A , 1 0 0 B ) の動作に係わるタイムチャー トであり、 第 3 — B図は、 応答パターン （各応答信号の入力パターン） を例示するグラフ であり、 第 4図は、 マイ コン 1 0 O Aが実行するク ロス診断 （A系） の フローチャー トであり、 第 5図は、 マイ コン 1 0 O Bが実行するク ロス 診断 （B系） のフローチャートであり、 第 6図は、 測定回数 Nや端子数 Mに依存する診断周期て の算定表であり、 第 7図は、 マイコン 1 0 0 A が行う 自己診断 Aの実行手順を例示するフローチャー トであり、 第 8図 は、 マイ コン.1 0 0 Bが行う 自己診断 Bの実行手順を例示するフローチ ヤー トであり、 第 9図は、 入力信号のサンプリ ング （A系） の実行手順 を例示するフローチャー トであり、 第 1 0図は、 入力信号のサンプリ ン グ （B系） の実行手順を例示するフローチャー トであり、 第 1 1図は、 多数決処理 （B系） の実行手順を例示するフローチャー トであり、 第 1 2図は、 不一致検出の実行手順を例示するフローチャー トであり、 第 1 3図は、 多数決語 M Aの作成手順を例示するフローチャー トであり、 第 1 4図は、 従来の入力回路 2 0 1 の回路図 （平常時） であり、 第 1 5 — A図は、 診断パルス と応答信号との関係を例示するグラフ （平常時） で あり、 第 1 5 — B図は、 診断パルス と応答信号との関係を例示するグラ フ （平常時） であり、 第 1 6図は、 従来の入力回路 2 0 1の回路図 （短 絡時） である。 発明を実施するための最良の形態
以下、 本発明を具体的な実施例に基づいて説明する。
ただし、 本発明の実施形態は、 以下に示す個々の実施例に限定される ものではない。
【実施例 1_】
第 2図は、 本実施例 1 のプログラマプルコン トローラの入力回路 2 0 0の回路図である。 入力端子 O , Pはこの 2端子で第 1入力端子を構成 している。 また、 同様に入力端子 Q， Rは、 第 2入力端子を構成してい る。 スィ ッチ S W 1， S W 0は、 手動の緊急停止ボタンを二重化構成に したものであり、 その緊急停止ポタンが押されると、 スィ ッチ SW 1， S W 0は双方ともに同時に開く。 即ち、 緊急停止ボタンが押される と、 入力端子 O， Q間、 及び入力端子 P， R間は何れも電気的な接続が絶た れる。 この緊急停止ボタンは、 外部入力機器を代表するものであって、 実際には、 その他にも図略の多数の外部入力機器が、 この緊急停止ボタ ンに対して並列に、この緊急停止ボタンと同様に配置、接続されている。 外部入力機器は、 任意で良く、 例えばスィ ッチ、 リ ミ ッ トスィ ッチ、 リ レー、 センサーなどの各種の接点を接続することができる。
ただし、 装置の誤動作などによって現場環境下における安全性などが 損なわれる恐れの少ない装置や、 その恐れがない外部入力機器について は、 必ずしも入力回路を二重化する必要はない。
以下、 各外部入力機器に対応する各入力回路がそれぞれ何れも二重化 されている場合について説明する。
第 2図の入力端子 Oは + 2 4 Vの直流電源端子になっている。 また、 入力端子 Rはグランドレベル （±0 V) に維持されている。 そして、 第 2図のスィ ツチ S W 1は平常時には常に閉じているので、 平常時には入 力端子 0， P間には常時安定した 2 4 Vの直流電圧が印加されている。 同様に、 スィ ッチ S W 0 も平常時には常に閉じているので、 平常時には 入力端子 Q， R間にも常時安定した 2 4 Vの直流電圧が印加されている。
一方、 各フォ ト力ブラにおける光インターフェイスを境と して、 その 境の右側 （マイ コン 1 0 O A、 マイ コン 1 0 O B側） は、 何れの回路も -5-V電源系-に構成-されている。 即ち、 本 2図中の電圧 V B， V A_U れも + 5 Vに設定されている。
第 2図のフォ トカプラ 1 0が備える L E Dからフォ トカプラ 2 0が備 える光トランジスタに向って流れる電流は、平常時には常に流れている。 これは、 フォ ト力ブラ 2 0が備える L E Dに、 平常時には常に電流を流 しているためである。 同様に、 第 2図のフォ トカプラ 3 0が備える L E Dからフォ トカプラ 4 0が備える光 トランジスタに向って流れる電流は、 平常時には常に流れている。 これは、 フォ ト力ブラ 4 0が備える L E D に、 平常時には常に電流を流しているためである。
上記の図略の多数の外部入力機器は、 上記の緊急停止ボタンと同様に 上記の緊急停止ボタンと並列に接続されるので、 上記の第 1入力端子は 群を成す。 以下、 その群を第 1入力端子群と言う。 また、 上記の第 2入 力端子を含む第 2入力端子群についても同様に定義する。 各外部入力機 器から出力され、 上記の第 1入力端子群に入力される入力信号を以下第 1入力信号群と言う。 また、 各外部入力機器から出力され、 上記の第 2 入力端子群に入力される入力信号を以下第 2入力信号群と言う。
第 2図の入力回路 2 0 0は、 第 1入力端子 （0， P ) と第 1信号処理 装置 1 0 0 O Aとを有し、 これらによって、 上半分の系統を構成してい る。 以下、 この系統を A系と言う。 また、 第 2入力端子 （Q , R) と第 2信号処理装置 1 0 0 0 B とを有し、 これらによって、 下半分の系統を 構成している。 以下、 この系統を B系と言う。
A系の安全管理を司る A系制御用のマイコン 1 0 O Aの入力部には論 理反転器 （インバータ a ) が配設されている。 したがって、 フォ トカプ ラ 1 0から出力され， イ ンバータ a を介してマイ コン 1 0 O Aに入力さ れる信号は、 インバータ a の前後で HZ L (即ち、 1 Z 0 ) が反転する。 その他のインバータ b , c， （めについても、 同様の反転作用を奏する。 マイ—ユン—: L O O A—の出力部には、 第 1診断パノヒス出力手^ L 1 0_A ^ 配置されている。 この第 1診断パルス出力手段 1 1 O Aは、 フォ トカプ ラ 4 0に対するのと同様に、 並列接続されている他の外部入力機器の図 略のフォ トカブラに対しても、 同時に診断パルスをパラレル出力するこ とができる。 勿論、 従来装置と同様に、 個々の外部入力機器に対して順 次シリ アルに個別に診断パルスを出力すること もできる。
一方、 マイコン 1 0 0 Bは、 B系の安全管理を司る B系制御用のマイ コンであり、 フォ トカプラ 5 0を中心と して構成された直流電源診断用 の診断回路が付加されている点以外は、 上記のマイコン 1 0 0 Aと同様 に、 上記のマイコン 1 0 0 Aと対称的に構成、 配置されている。
例えば、 マイコン 1 0 0 Bの出力部には、 第 2診断パルス出力手段 1 1 0 Bが配設されており、 この第 2診断パルス出力手段 1 1 0 Bは、 フ ォ トカブラ 2 0に対するのと同様に、 並列接続されている他の外部入力 機器に接続された図略のフォ トカブラに対しても、 同時に診断パルスを パラ レル出力することができる。勿論、従来装置と同様に、それらの個々 の外部入力機器に対応するフォ ト力ブラ （チェック手段） に対して順次 個別に診断パルスをシリアル出力することもできる。
フォ トカプラ 1 0 とフォ トカプラ 2 0は、 本発明の第 1チェック手段 に相当する部分を構成している。 この様なフォ ト力ブラの対は、 各外部 入力機器に対応する A系の個々の入力回路中にそれぞれ配置されるので、 これにより、 上記の第 1入力信号群の伝播を一時的に遮断することがで きる。 また、 同様にフォ ト力ブラ 3 0 とフォ トカプラ 4 0は、 本発明の 第 2チェック手段に相当する部分を構成している。 即ち、 これによ り、 上記の第 2入力信号群の伝播を一時的に遮断することができる。
即ち、 この遮断を制御するのが上記の診断パルスであり、 上記の様に パラ レルに （同時に） 発信すれば、 第 1診断パルス出力手段 1 1 0 Aに より第丄入力信号を一、—また、一第—2診断パルス出力手段 1 1 0 Bに
第 2入力信号を、 何れの場合もそれぞれ同時に遮断することができる。 第 3 — A図に、 上記の各マイ コ ン （ 1 0 0 A, 1 0 0 B ) の動作に係 わるタイムチャー トを例示する。 このマイコン 1 0 O A, 1 0 O Bの基 本とする制御周期 ΔΤは、 1 8 m s e c に設定されている。 図示する時 間は、 この制御周期の開始時刻を基準と した制御周期内の時刻 t を表し ている。 例えば、 図示するクロス診断は、 制御周期内の時刻 tが 1 3. 5 m s e cカゝら 1 5. 5 m s e cの間の一部の時間帯で実行される。 こ のク ロス診断では、 両方のマイ コ ン 1 0 O A, 1 0 O Bが用いられる。
また、 制御周期内の時刻が 1 5. 5 m s e c力 ら 1 6 . 5 m s e cの 間の一部の時間帯で実行される自己診断 Aでは、 マイ コ ン 1 0 0 Aだけ が用いられる。また、制御周期内の時刻 tが 1 6 . 5 m s e c力 ら 1 7. 5 m s e cの間の一部の時間帯で実行される自己診断 Bでは、 マイ コ ン 1 0 0 Bだけが用いられる。
〔クロス診断〕
第 3 — B図に、 診断パルスに対応する応答パターン （各応答信号 I A (m), I B (m) の入力パターン） を例示する。 ただし、 こ こで、 自然 数 mは各外部入力機器に連番で付けた通し番号であり、 以下、 本実施例 1では、 mの最大値は 2 4であるものと仮定する。
自己診断 Bでは、 B系のマイ コ ン 1 0 0 Bが有する第 2診断パルス出 力手段 1 1 0 Bから、 上記の第 1チェック手段に対してパラ レルに出力 される診断パルス O B (m) ( 1 ≤ m≤ 2 4 ) に基づいて、 A系のマイコ ン 1 0 0 Aに入力される応答信号 I A (m) ( 1 ≤ m≤ 2 4 ) は変化する はずであるが、 この時、 入力回路 2 0 ◦における A系と B系との独立性 が確保、 維持されていれば、 先に第 1 4図、 第 1 5 — B図を用いて既に 考察した様に、 B系のマイ コ ン 1 0 0 Bに入力される応答信号 I B (m) .(ュ ≤ m≤ 2 4 ) は何ら変化しないはずである〜。
したがって、第 3— B図に例示される例外信号が検出された場合には、 先に第 1 — B図を使って言及した様な、 異常な事態が発生している もの と考えられる。 以下、 この様な異常を検出するために、 マイコン 1 0 O A , 1 0 O B にて実行すべき制御手順について、 詳細に例示する。
第 4図に、 マイコン 1 0 O Aが実行するク ロス診断 （A系） のフロー チャー トを例示する。 このク ロス診断は、 本発明の第 6の手段を具現す るもので、 これにより、 第 3 — A図のクロス診断が実現される。 即ち、 本図中の診断パルス O A ( m ) は、 上記の通り、 m番目の外部入力機器 の A系の入力回路を診断するための診断パルスであり、 上記の第 2チェ ック手段に対して出力される。 この出力は、 本第 4図のク ロス診断 （A 系） では、 各外部入力機器に対してシリ アルに実施される。 プログラム 7 0 0は、 次の第 5図のク ロス診断 （B系） を実行するプログラム 8 0 0 と相似で、 対称的かつ相補的に構成されており、 このプログラム 7 0 0 とプログラム 8 0 0によって、第 3 — A図のクロス診断が実現される。 このプログラム 7 0 0では、 まず最初に、 ステップ 7 1 0で、 制御変 数の初期化を行う。 制御変数 mは、 診断すべき外部入力機器の通し番号 を常時指している。 また、 制御変数 nは、 同一の外部入力機器の入力回 路 （A系） に対して繰り返される同一の診断操作の回数を指している。 この様な繰り返しを行う理由は、 前述の本発明の第 4の手段を実現する ためである。
次のステップ 7 2 0では、 タイマー割り込み待ちをする。 このタイ ミ ングは、 第 3 — A図に示した様に、 t = 1 3 . 5 [ m s e c ] のタイ ミ ングで良い。 即ち、 このタイ ミングでステップ 7 3 0のサブルーチンコ ールが実行されて、 これによ り、 第 9図の入力信号のサンプリ ング処理 が—開始.ざれ—る-。 こ.の入力信号のサ.ンプリ ング処理は、 入力 ϋ ¾ ? ..ρ οに 入力される信号 （第 1入力信号群及び第 2入力信号群） を所定の統計操 作により確定するためのものである。 この統計操作については、 後から その処理手順を具体的に詳しく説明するが、 この統計操作はノイズ等の 主に外乱に対する対策のために行う ものである。 しかし、 その効果は必 ずしも外乱対策だけには限定されない。
マイ コ ン 1 0 0 B側に保持される応答信号 I B ( i ) は、 マイ コ ン 1 0 0 A側から両マイコン間のバスまたは共有メモリ などを介して随時参 照することが可能である。 そこで、 ステップ 7 4 0では、 マイコン 1 0 O Aに入力された応答信号 I A ( i ) ( l ≤ i ≤ 2 4 )をそれぞれ全件（ 2 4 ビッ ト） 所定の退避領域に保存し、 更に、 マイコン 1 0 0 Bに入力さ れた応答信号 I B ( i ) ( 1 ≤ i ≤ 2 4 ) についても、 それぞれ全件 （ 2 4 ビッ ト） 所定の退避領域に保存する。
このタイ ミ ングでは、先に診断パルス O A ( i ), 診断パルス O B ( i ) ( 1 ≤ i ≤ 2 4 ) が発行されていないので、 後のステップ 7 8 0では、 応答信号 I A ( i ) ( l ^ i 2 4 ) が全ビッ ト 1であることが確認でき れば、 これらの入力ビッ ト （第 1入力信号群） については正常であると 判定することができる。 また、 第 2入力信号群 （応答信号 I B ( i )) に ついても同様である。
ステップ 7 5 0では、 m番目の外部入力機器の B系のチェック手段に 対して、 診断パルス OA (m) を出力する。 本プログラム 7 0 0 と相似 かつ対称的に構成された第 5図のプログラム 8 0 0においては、 本ステ ップ 7 5 0に対応するステツプ 8 5 0において、 πι番目の外部入力機器 の A系のチェック手段に対して診断パルス O B (m) が、 略同時に出力 されるので、 この診断パルスの交差関係に基づいて前述のクロス診断が 実現される。ただし、厳密には後述の通り相互に排他的なタイ ミ ングで、 -备診-断-パル O A (m) , O B (m) .が出力 れる。
ステップ 7 6 0では、上記のステップ 7 4 0 と同様の処理を実行する。 ただし、 勿論、 入力データの退避領域は、 別に設ける。 これらの退避領 域にそれぞれ蓄積された 1 0 0回分の診断データに基づいて、 ステップ 7 8 0の異常判定を実施するこ とができる。
なお、 ステップ 7 4 0からステップ 7 6 0までの 3つのステップで構 成される一連の処理 αは、 後述の第 5図のステップ 8 4 0からステップ
8 6 0までの 3つのステツプで構成される一連の処理 β とは、 タイ ミン グをずらして相互に排他的に実行する。 この排他制御を実行するための 同期は、 マイコン 1 0 O Aとマイコン 1 0 0 Β との間で、 順次相互に割 り込みを入れあって実現しても良い。
また、 ステップ 7 7 0〜ステップ 7 7 4は、 上記の入力データの保存 処理を 1 0 0回繰り返し行うための制御を実現するためのステップであ る。 即ち、 この繰り返し制御は、 本発明の第 4の手段を具現するもので め 。
ステップ 7 8 0では、 m番目の外部入力機器の A系の入力回路に異常 がないかを判定する。 ここで、 上記の診断データに基づいて、 異常が検 出された場合には、 ステップ 7 8 5にて緊急安全停止指令発行のサブル 一チンをコールして本プログラム 7 0 0の全処理を終了し、 呼出元に制 御を戻す。
ステップ 7 9 0〜ステップ 7 9 4は、 合計 2 4台接続されている外部 入力機器に対する巡回処理を実現するための繰り返し制御を実行するも のである。
第 5図のプログラム 8 0 0においても、 上記のプログラム 7 0 0 と同 様に、 B系に関する同等の処理を並列に実行する。 そして、 この様にし て、 診断パルスを異系統間で相互にクロスさせること （即ち、 前述の処 理 α , β を相互に ·排他制御しながら. _交互に実行すること） よ り .、—相 . 方系統の制御用マイ コンの正常動作を常時監視する効果も同時に得るこ とができる。
第 3 — Α図からも判る様に、 第 4図、 第 5図のステップ 7 2 0ゃステ ップ 8 2 0の割り込み待ちが解除される基本的な制御周期は、 ΔΤ = 1 8 m s e cである。 したがって、 第 4図、 第 5図にそれぞれ図示する各 巡回点 （ a ) をその巡回制御が通過する周期も、 同様に 1 8 m s e c と なる。 また、 1台の外部入力機器に関するク ロス診断は、 上記の通り連 続 1 0 0回実行されるので、 第 4図、 第 5図にそれぞれ図示する各巡回 点 （ b ) をその巡回制御が通過する周期は、 1 0 0AT = 1 8 0 0 m s e c となる。 また、 本実施例では外部入力機器が合計 2 4台接続される ので、 第 4図、 第 5図にそれぞれ図示する各巡回点 （ c ) をその巡回制 御が通過する周期は、 2 4 X 1 0 0-ΔΤ = 4 3. 2秒となる。
これらの関係をまとめたものが第 6図である。 即ち、 第 6図は、 測定 回数 Nや端子数 M (外部入力機器の総計台数） に依存する、 上記のクロ ス診断に必要となる診断周期て を算定したものである。 プログラム 7 0 0 とプログラム 8 0 0によって実行される上記のク ロス診断は、 個々の 入力端子の状態に関する綿密性には優れているものの、 診断周期 τ が長 く なつてしま う傾向にある。 このため、 短絡故障や緊急事態の発生など に関する検出が必ずしも十分に短い時間内に実施できるとは限らない。
しかしながら、 本実施例 1では、 第 3— Α図に示した様に、各系統 （系 Aと系 B ) ごとの並列多重化構成における独立性を検証する自己診断 A 及び自己診断 Bを何れも短時間で実施するので、 例えば前述の第 1 一 A 図， 第 1一 B図に例示される様な短絡故障や緊急事態を従来よ り も短い 診断周期で確実に検出することができる。
〔自己診断〕
第 7図に、マイ-—:?—ン 1 0 0 Aが行う 自己診断 Aの実行手順—を例示する p このフローチヤ一トに例示される自己診断 Aの処理手順は、 第 4図のク ロス診断 （A系） の処理手順に幾らか似ているが、 しかし、 以下の 2点 ( 1 )、 （ 2 ) において、 第 4図のク ロス診断 （A系） の処理手順とは本 質的に全く異なっている。
( 1 )第 7図の自己診断 Aの処理をマイ コ ン 1 0 O Aが実行している間、 B系のマイ コ ン 1 0 O Bの第 2診断パルス出力手段 1 1 O Bは一切使用 されない。 また、 B系のマイ コン 1 0 0 Bは、 この時、 少なく とも第 7 図の自己診断 Aの処理に係わる処理を一切実行せず、 基本的には割り込 み待ち状態とすべきである。 ただし、 入力信号や応答信号などに対する 統計処理などを裏で並行に実行していても良い。 '
したがって、 この様に診断パルスの出力のタイ ミングをプログラム 3 0 0 (第 7図） とプログラム 4 0 0 (第 8図） とでずらすことによ り、 診断処理の独立性が確保される。 即ち、 第 7図の自己診断 Aでは、 診断 パルスを異系統間で相互にクロスさせるク ロス診断は実施しない。
このため、 A系と B系との独立性を A系側から簡潔に検証することが できる。
( 2 ) 第 1診断パルス出力手段 1 1 O Aによって、 第 1診断パルス群が パラ レルに同時に出力される。 このため、 各外部入力機器に対する巡回 制御が必要ない。
このため、 A系と B系との独立性を A系側から短時間に検証すること ができる。
具体的には、 第 7図のプログラム 3 0 0 (自己診断 A) では、 以下の 処理を実行する。
即ち、 プログラム 3 0 0ではまず最初に、 ステップ 3 1 0で、 制御変 数の初期化を行う。 この制御変数 nは、 診断パルスの出力回数を指して 一い-る。一この様—な繰 ί 返-しを.行う理由は、 前述の本発明の第 4の手段を実 現するためである。
次のステップ 3 2 0では、 タイマ^"割り込み待ちをする。 このタイ ミ ングは、 第 3 — Α図に示した様に、 t = 1 5. 5 [m s e c ] のタイ ミ ングで良い。 即ち、 このタイ ミ ングでステップ 3 3 0のサブルーチンコ ールが実行されて、 これにより、 後から詳しく説明する第 9図の入力信 号のサンプリ ング処理が開始される。 この入力信号のサンプリ ング処理 は、 入力回路 2 0 0に入力される信号 （第 1入力信号群及ぴ第 2入力信 号群） を、 不一致検出処理を中心とする所定の統計操作によ り確定する ためのものである。
ステップ 3 3 5は、 前述のステップ 7 4 0 と同様の処理を実行する。 勿論、 入力データの退避領域は別に設ける。 なお、 ここのステップ 3 3 5や後のステップ 3 5 0では、 A系の応答信号 I Aを全件 （全 2 4 ビッ ト） を保存しているが、 前述の第 4図のステップ 7 4 0や或いは第 4図 のステップ 7 6 0などと同様に、 更に、 B系の応答信号 I Bをも同時に 全件保存する様にしても良い。
そして、 これらの退避領域にそれぞれ蓄積された 1 0回分の診断デー タに基づいて、 ステップ 3 8 0の異常判定を実施する。
ステップ 3 4 0では、 フォ トカプラ 3 0， 4 0などから構成される B 系のチェック手段 （第 2チェック手段） に対して、 第 1診断パルス出力 手段 1 1 0 Aから、 診断パルス O A ( i ) ( 1 ≤ i ≤ 2 4 ) を全件同時に パラレルにインバータ bを介して出力する。 第 2チェック手段には、 フ オ トカプラ 3 0， 4 0の組が 2 4組並列にそれぞれ具備されている。 こ の診断パルスのパラレル出力により、 例えば第 2図の B系のフォ トカプ ラ 4 0が有する L E Dへの通電が一時的に中断されるので、 フォ トカプ ラ 3 0が有する L E Dへの通電も一時的に遮断される。 即ち、 この様な 遮断が上記-の 2 4組全てで発 する.。 ― _ ステップ 3 5 0では、前述のステップ 7 4 0 と同様の処理を実行する。 ただし、 勿論、 入力データの退避領域は、 別に設ける。 これらの退避領 域にそれぞれ蓄積された 1 0回分の診断データと、 上記のステップ 3 3 5で退避領域にそれぞれ蓄積された 1 0回分の診断データ とに基づいて、 ステップ 3 8 0の異常判定を実施するこ とができる。 即ち、 ステップ 3 6 0〜ステップ 3 6 4は、 上記の入力データの保存処理を 1 0回繰り返 し行うための制御を実現するためのステツプである。 この繰り返しは、 本発明の第 4の手段を具現するものである。
その後、 ステップ 3 8 0では、 各応答信号 I A ( i ) ( 1 ≤ i ≤ 2 4 ) をそれぞれ調べ、 1 0回連続して全て 0 となっていた入力信号 I A ( i ) が 1つでもあれば、 即ち、 不当にも A系側のチェック手段 （第 1チエツ ク手段） によって遮断されてしま う電流が 1力所でも検出されれば異常 と判定する。
そして、 異常が検出された場合には、 ステップ 3 9 0にて緊急安全停 止指令発行のサブルーチンをコールして本プログラム 3 0 0の全処理を 終了し、 呼出元に制御を戻す。
第 8図のプログラム 4 0 0についても、 第 3— A図及び第 8図に示す 様に、 第 7図のプログラム 3 0 0 とは実行時刻を 1 m s e c遅らせて、 上記のプログラム 3 0 0 と同様の処理を実行する。 この様に、 プロダラ ム 4 0 0 とプログラム 3 0 0 との実行時刻を十分にずらすことにより、 自己診断 Aと自己診断 Bの処理の独立性を確保することができる。即ち、 これらの自己診断 A Z Bでは、 診断パルスが相互にクロスすることはな い。
第 7図、 第 8図にそれぞれ図示する各巡回点 （ d ) をその繰り返し制 御が通過する周期は、 1 0 A T = 1 8 0 m s e c となる。 即ち、 自己診 断 A実行時のステップ 3 6 4、 または自己診断 B実行時のステップ 4 6 4が実行される周期 （自己診断 A、 自己診断 Bの各診断周期 τ ) は、 第 6図からも判る様に、 0 . 1 8秒となる。 この時間の長さは、 例えば緊 急時に作業員がシステム停止用の緊急停止ボタンを押下する際の想定さ れる遅延時間以内にあり、 十分に許容範囲内にある長さである と言う こ とができる。
この様な制御方式によ り、 例えば第 1 一 A図， 第 1 一 B図に例示され る様な緊急事態があってもその状態を迅速に検出して、 安全を確保する ことができる。
以下、 第 9図〜第 1 3図を用いて、 上記の入力信号のサンプリ ングの 処理や、 2重化された入力信号間の不一致検出処理を高速に実行する実 行手順を例示する。
〔入力信号群のサンプリ ングと判定〕
第 9図は、 入力信号のサンプリ ング （A系） の実行手順を例示するフ ローチャー トである。 このプログラム 5 0 O Aの最初のステップ 5 2 0 Aでは、 第 1入力信号群 I A'を入力する。 この第 1入力信号群 I A'は、 応答信号 I Aと同じインバータ a (第 2図の入力部） からマイ コン 1 0 O Aに対して出力されるが、 この第 1入力信号群 I A'は、 診断パルス O Bに対する応答信号ではなく、 各外部入力機器の A系に関する入力回路 2 0 0に入力された入力信号であり、 よって、 各ビッ トは各外部入力機 器 （計 2 4台） にそれぞれ対応している。 入力されたこの第 1入力信号 群 I A'は、 3 2 ビッ トを 1語とする 1語領域上に右詰めにして保持され る。 上位の 8 ビッ トは常時 0設定されるか、 または無視される。
次に、 ステップ 5 4 O Aでは、 同様の 1語領域 M A ( i ) 上の所定の 2 4 ビッ トデータが、 上記の第 1入力信号群 I A'と各ビッ ト毎に対応ビ ッ ト間で論理積 （AND) 演算される。 ここで、 整数 i は、 配列 MAの 引数であり、 図示する-通り基本的な制御周期 ΔΤ内における各時刻 t毎 に、 別々に割り振られている。 そして、 この論理演算の結果は 1語領域 MA ( i ) 上に保持される。 1語領域 MA ( i ) の初期値は、 左側の 8 ビッ トが 0で、 右側の 2 4 ビッ トは全て 1 とする。 ステップ 5 6 O Aでは、 ステップ 5 4 O Aの実行回数を制御変数 hで カ ウン トする。
この様な手順に従えば、 第 1入力信号群 I A'がその 5回のサンプリ ン グ中に 1度でも 0 となった入力信号については、 論理積演算 （AND命 令） の作用によ り、 1語領域 MA ( i ) 上の対応ビッ トの値はその後継 続的に 0に保存される。 即ち、 その 5回のサンプリ ング中に 1度でも 0 ( ： O F F状態） になった入力信号は、 その後 1語領域 MA ( i ) 上で は継続的に 0に保存される。 この様にして、 1語領域 MA ( i ) 上に、 上記の 5回分の診断結果を各ビッ ト単位に要約して蓄積しておく ことが できる。
第 1 0図は、 入力信号のサンプリ ング （ B系） の実行手順を例示する フローチャー トである。 このプログラム 5 0 O Bは、 上記のプログラム 5 0 0 Aと相似であるが、 第 3— A図、 第 7図、 第 8図、 第 9図から判 る様に、 呼び出されるタイ ミングによって、 引数 i ， kの規定が若干異 なっている。 例えば、 第 2入力信号群 I B 'の値は、 第 3 — A図の Input sampling の欄及び第 1 0図に示される様に、 t = l 3. 5 m s , 1 6. 5 m s , 1 7. 5 m s の 3回に分けて、 同一の制御周期内でサンプリ ン グされる。 これが 5周期繰り返されることによ り、 合計 1 5回のサンプ リ ングデータが、 各時刻 t毎に 3つの記憶領域 MB ( 1 )， MB ( 2 )， MB ( 3 ) に分けられて、 上記の様な論理演算を経て要約して蓄積され る。
第 1 1図は、 多数決処理 （B系） の実行手順を例示するフローチヤ一 トであ.る。 .このプログラム 9 0 0 Bでは、 上記の様にして合計 1 5回の サンプリ ングデータが、 それぞれ 5回 （ 5制御周期） 分の診断データず つ、 各時刻 t毎に 3つの記憶領域 M B ( 1 ), MB ( 2 ), MB ( 3 ) に 分けられ、 ステップ 5 4 0 Bの論理積演算を経て各記憶領域 MB ( k ) 7
に記憶された後に、ステップ 9 4 O Bによって、 3語 MB ( 1 )，MB ( 2 ), MB ( 3 ) の間で、 各外部入力機器にそれぞれ対応する 2 4 ビッ トの各 ビッ ド毎に、 それぞれの対応ビッ ト間における多数決が取られる。
次に、 ステップ 9 5 0 Bでは、 その多数決の結果を各ビッ ト対応に保 持する多数決語 MBを、 マイ コン 1 0 0 Bからマイ コン 1 0 O Aに送信 する。 ステップ 9 6 0 B以降では、 上記の 3語 MB ( 1 )， MB ( 2 )， MB ( 3 ) の初期値 Xを再設定する。 この初期値 Xは、 前述の通り左側 の 8 ビッ トカ 0で、 右側の 2 4 ビッ トは全て 1 とする。
第 1 2図は、不一致検出の実行手順を例示するフローチャー トである。 このプログラム 9 0 O Aは、 ステップ 9 1 O A力 らステップ 9 7 O Aま では、 上記のプログラム 9 O O B と略同様に、 上記のプログラム 9 0 0 Bと対称的に構成されている。 ただし、 このプログラム 9 0 0 Aでは、 ステップ 9 5 0 B (第 1 1図）で多数決語 M Bを送信していた代わり に、 ステップ 9 7 O A (第 1 2図） で多数決語 MBをマイ コン 1 0 O Bから 受信する。 この送受信は、 1次記憶装置を共有するこ とによって実現し ても良いし、 バスなどを用いて実現しても良い。
このプログラム 9 0 O Aのステップ 9 7 5 Aでは、 ステップ 9 4 O A で作成された多数決語 M Aとステップ 9 4 0 Bで作成された多数決語 M B とが一致するか否かを判定する。 その結果、 双方が一致すればステツ プ 9 8 0 Aに、 不一致であればステップ 9 9 0 Aに制御を移す。 ステツ プ 9 8 O Aでは、 マイコン 1 0 O Aに接続されている図略の従来のシー ケンサ （シーケンス制御装置または順序回路） に対して、 多数決語 MB また-は多数決.語- MAの何れか一方を送信 （出力） する。 _ ― ― ― 一方、 多数決語 MB と多数決語 MAとが不一致であった場合には、 ス テツプ 9 9 0 Aにて緊急安全停止指令を発行して、 所定の緊急安全停止 動作を実行する。 通常、 この緊急安全停止指令は、 マイ コン 1 0 O Aま たはマイコン 1 0 O Bが有する安全 P L C出力ポー トに接続された各停 止手段に所定の停止信号と して出力される。これらの停止手段と しては、 例えば、 周知の非常停止ブレーキ、 給電遮断器、 或いはモータなどを接 続することができる。
第 1 3図は、 上記の多数決語 M Aの作成手順を例示するフローチヤ一 トである。 このプログラム 6 0 O Aは、 A系の多数決語 M Aを作成する ために構成されているが、 B系でも同様の論理演算を実施すれば良い。 このプログラム 6 0 O Aは、 上記のステップ 9 4 O Aで呼び出されて実 行されるべきサブルーチンである。 勿論展開マクロ形式にしても良い。
このプログラム 6 O O Aでは、 ステップ 6 1 0にて、 プログラム 5 0 O Aで求めた前述の語 M A ( 1 ) と語 MA ( 2 ) との論理積を求めて、 変数 Y 1に格納する。 この論理積演算は、 勿論各ビッ ト対応に実施され る。
同様にして、 ステップ 6 2 0、 ステップ 6 3 0でも、 変数 Y 2、 変数 Υ 3に、 語 ΜΑ ( 2 ) と語 ΜΑ ( 3 ) との論理積、 及び、 語 ΜΑ ( 3 ) と語 MA ( 1 ) との論理積をそれぞれ格納する。
ステップ 6 4 0では、ここで求めた変数 Υ 1、Υ 2の論理和を求めて、 その演算結果を新たに変数 Υ 2に格納し直す。 この論理和演算は、 勿論 各ビッ ト対応に実施される。
次のステップ 6 5 0では、 更に、 ここで求めた変数 Υ 2、 Υ 3の論理 和を求めて、 その演算結果を多数決語 ΜΑに格納する。
以上の処理によれば、 上記の 5つのステップ 6 1 0〜 6 5 0 (よって 5つの.論理演算命令丄 によって高速に所望の _多数結語 を求めること ができる。
以上の第 9図〜第 1 3図の処理方式に従えば、 第 3 — Α図の上段で実 行する処理、 即ち、 入力信号のサンプリ ング処理とそのサンプリ ングデ ータに基づいて実施すべき不一致検出処理とを、 簡単で高速な論理演算 によってそれぞれ何れも極めて高速に実行することができる。
〔その他の変形例〕
本発明の実施形態は、 上記の形態に限定されるものではなく、 その他 にも以下に例示される様な変形を行っても良い。 この様な変形や応用に よっても、 本発明の作用に基づいて本発明の効果を得ることができる。
(変形例 1 )
例えば、 上記の実施例 1の自己診断 A (第 7図） においては、 ステツ プ 3 5 0にて応答信号 I Aの全ビッ トを毎回所定の退避領域にそれぞれ 保存しているが、その後のステップ 3 8 0における判定方法によっては、 必ずしもその必要はない。
ステップ 5 4 0 A (第 9図） やステップ 5 4 0 B (第 1 0図） は、 5 回の内 1回でも値が 0の信号（入力が遮断されたことを示す O F F信号） が入力されれば該ビッ トは 0 と判定すると言う判定基準を利用して構成 されたものであり、 例えばこの様に巧く判定基準を利用すれば、 判定処 理の大部分を動的に実行することができ、この様な動的な手法によって、 参照データ （入力信号） の退避領域を最小限に抑えることができる場合 がある。
(変形例 2 )
また、 上記の実施例 1では、 入力回路の二重化を A系と B系の 2系統 に分けて実施したが、 入力回路の多重化は、 3多重で実現しても 4多重 で実現しても良い。 例えば、 A系、 B系、 C系の 3系統によって、 入力 回路を 3重化した _場—合、. _不一致 _検出.手段 __ ぉ_いて不一致検 m処理;^式に 多数決の理論を導入したり、 或いは、 1つの系統だけに異常が発生した 時に、 3重化のシステムを 2重化のシステムに動的に縮退させたりする ことが可能となる。 これにより、 システム停止の機会を大幅に削減する こと も可能となる。
本発明の作用は、 本発明の手段を正しく構成することにより、 これら の多重度に関わり無く導く ことができるものである。 即ち、 本発明の本 質的な作用原理は、 システムの多重化を実施する際の多重度とは直接関 係するものではない。
(変形例 3 )
また、 上記の実施例 1では、 自己診断 Aと 自己診断 B とをタイ ミ ング を替えて、 両方ともに実行しているが、 自己診断 Aまたは自己診断 Bの 何れか一方だけを実施する方式を採用した場合でも、 上記の実施例 1 に おける上記の自己診断 Aまたは Bの作用による、 短絡故障検出効果を得 ることができる。
これは、 第 1 一 A図， 第 1 一 B図から判る様に、 通常の短絡故障は、 入力回路の対称性によって自己診断 Aと 自己診断 Bの何れでも検出可能 であるので、 何れか一方を省略することによって、 特段の支障が生じる わけではないからである。
ただし、 自己診断 Aと 自己診断 Bは殆ど同じプログラム 7 0 0 8 0 0で制御可能であることや、 時間をずら して実行するための期間を 1制 御周期内に確保することが可能または容易であることや、 当該処理の二 重化による処理の確実性や信頼性を確保したい事情や、 或いは一時記憶 装置の容量に余裕があることなどが理由で、 当該処理 （上記の自己診断） を二重化した方が良い場合も勿論少なく ない。
他方、 例えば自己診断 Bを省略した場合、 制御期間の最適化設計を行 ぇぱ、 上記の基-本的な制御周期 Δ Ί\を更に.短くできる場合もある。— の 場合には、 診断周期 τ などを短くできることや、 或いはプログラム 4 0 0の製造や取り扱いが不要となるなどの点でメ リ ッ トを得ることができ る。 (変形例 4 )
また、 上記の実施例 1では、 各外部入力機器に関する個々の入力回路 は、 何れも 2重化されていることを前提と したが、 必ずしも全ての外部 入力機器からの各入力信号をそれぞれ何れも二重化する必要はない。 即 ち、 例えば緊急事態の発生に関連する恐れのない装置 （外部入力機器） については、 シングルモー ドで入力回路に入力信号を送信させても十分 である。 そして、 例えばこの様に多重化されていない入力信号に対して は、 例えば上記の実施例 1 などの様な不一致検出処理を実施する必要が ないことは言うまでもない。 産業上の利用可能性
本発明は、 プログラマブルコントローラ （P L C ) に入力される入力 信号に対する信頼性や、 それらの入力信号に関する処理の確実性や、 そ れらに基づいて確保されるべきシステムの安全性などを高度に確保する ために大いに有用であり、 よって、 ロボッ トや工作機械やそれらの周辺 機器の動作に対するシーケンス制御などに、 効果的に利用することがで さる。
また、 本発明は、 上記の外部入力機器と して各種のセンサ （検出装置） や情報処理機器などを想定すれば、 自動車のォー トクルーズシステムに おいても利用することができ、 これによ り安全なォー トクルーズシステ ムを構成できる場合がある。

Claims

1 . 複数の外部入力機器とそれらの外部入力機器から入力される入力信 号群を処理する処理装置が複数の系統に多重化され、 全ての系統の入力 信号群が一致した時に真正な入力信号が入力されたと判定し、 不一致の 場合には異常停止処理を行請う よ うにしたプロダラマプルコン トローラに おいて、
一の系統の処理装置は、
の
他の系統の処理装置に対して、 一の系統に固有のタイ ミ ングで診断パ ルス群をパラレル出力する診断パルス出力手段と、
他の系統の処理装置の診断パルス出力手段囲から出力される診断パルス 群を入力して、 それらのパルス期間だけ入力信号群の伝搬を遮断するチ エック手段と、
自己の系統の前記診断パルス出力手段からの診断パルスの出力に対応 して前記入力信号群の信号が変化した場合には、 異常停止処理を行う異 常判定手段と
を有することを特徴とするプログラマブルコン トローラ。
2 . それぞれが二重に構成された外部入力機器群から出力される第 1入 力信号群を入力する第 1入力端子群と、 その第 1入力端子に入力される 第 1入力信号群を処理する第 1信号処理装置と、 前記外部入力機器群か ら出力される第 2入力信号群を入力する第 2入力端子群と、 その第 2入 力端子群に入力される前記第 2入力信号群を処理する第 2信号処理装置 と-で、 二重に構成され、 _λ力信号群.の 要素.である第 1入力信号と、. の信号と一対を成す第 2入力信号とが一致した時に真正な入力信号が入 力されたと判定し、 不一の場合には異常停止処理を行う よ うにしたプロ グラマブノレコン トローラにおいて、 前記第 1信号処理装置は、
前記第 2信号処理装置に対して第 1診断パルス群をパラ レル出力する 第 1診断パルス出力手段と、
前記第 2信号処理装置から出力される第 2診断パルス群をパラ レル入 力してそれらのパルス期間だけ前記第 1入力信号群の伝搬を遮断する第 1チェック手段と、
前記第 1診断パルス出力手段からの第 1診断パルス群の出力に対応し て前記第 1入力信号群が変化した場合には、 異常と判定して異常停止処 理をする第 1異常判定手段とを有し、
前記第 2信号処理装置は、
前記第 1診断パルス群の出力とは異なるタイ ミ ングで、. 前記第 1チェ ック手段に、 第 2診断パルス群をパラ レル出力する第 2診断パルス出力 手段と、
前記第 1診断パルス出力手段から出力される第 1診断パルス群をパラ レル入力して、 それらのパルス期間だけ前記第 2入力信号群の伝搬を遮 断する第 2チェック手段と、
前記第 2診断パルス出力手段からの第 2診断パルス群の出力に対応し て前記第 2入力信号群が変化した場合には、 異常と判定して異常停止処 理をする第 2異常判定手段とを有する
ことを特徴とするプログラマプルコン トローラ。
3 . 前記異常判定手段は、
所定回数連続して前記入力信号群の同一入力端子からの信号が変化し
-た—場合に異常と判定して異常停止をす _る— .
ことを特徴とする請求の範囲第 1項に記載のプログラマブルコントロー
4 . 前記第 1異常判定手段は、 所定回数連続して前記第 1入力信号群の同一入力端子からの信号が変 化した場合に異常と判定して異常停止をする手段であり、
前記第 2異常判定手段は、
所定回数連続して前記第 2入力信号群の同一入力端子からの信号が変 化した場合に異常と判定して異常停止をする手段である
ことを特徴とする請求の範囲第 2項に記載のプログラマプルコントロー
5 . 前記一の系統の信号処理装置は、
他の系統の処理装置に対して、 入力端子毎にシリアルにシリアル診断 パルスを出力する シ リ アル診断パルス出力手段と、
他の系統の処理装置のシ リ アルパルス出力手段から入力端子毎にシ リ アルに出力されるシリ アル診断パルスを入力して、 そのパルス期間に対 応して入力信号が変化しない場合に異常と判定して、 異常停止処理をす るパルスチェック手段と
を有する
ことを特徴とする請求の範囲第 1項又は第 3項に記載のプログラマプル iン卜 π—ラ。
6 . 前記第 1信号処理装置は、
入力端子毎の前記第 2チェック手段に第 1シリアル診断パルスをシリ アルに出力する第 1 シリ アル診断パルス出力手段と、
前記第 2信号処理装置から入力端子毎の前記第 1チェック手段にシリ アルに出力された第 2 シ リ アル診断パルスを入力して、 そのパルス期間 に対.応して第： L人力信号—力 変化し _な 場合 異常.と判定して、 異.常停止 処理をする第 1 パルスチェック手段と
を有し、
前記第 2信号処理装置は、 入力端子毎の前記第 1チェック手段に第 2シリアル診断パルスをシリ アルに出力する第 2 シリ アル診断パルス出力手段と、
前記第 1シリアル診断パルス出力手段から入力端子毎の前記第 2チェ ック手段にシリ アルに出力された第 1 シリアル診断パルスを入力して、 そのパルス期間に対応して第 2入力信号が変化しない場合に異常と判定 して、 異常停止処理をする第 2パルスチェック手段と
を有する
ことを特徴とする請求の範囲第 2項又は第 4項に記載のプログラマブル コン 卜ローラ。
7 . 前記チェック手段は、
前記入力信号を入力するフォ トカブラと、 そのフォ ト力ブラの発光ダ ィオードに直列に接続されたフォ ト トランジスタと診断パルスを入力し フォ ト トランジスタに光信号を発する発光ダイオー ドとから成るフォ ト 力ブラとから成る
ことを特徴とする請求の範囲第 1項、 第 3項または第 5項の何れか 1項 に記載のプログラマプルコント口ーラ。
8 . 前記第 1チェック手段は、
前記第 1入力信号を入力するフォ ト力ブラと、 そのフォ ト力ブラの発 光ダイオー ドに直列に接続されたフォ ト ト ランジスタと第 2診断パルス を入力しフォ ト トランジスタに光信号を発する発光ダイオードとから成 るフォ トカプラとから成り、
前記第 2チェック手段は、
-前記第 2〜入力信号-を入力するフォ ト J¾—プラ丄、 —そ —フォ ト力ブラの楽 光ダイォードに直列に接続されたフォ ト トランジスタ と第 1診断パルス を入力しフォ ト トランジスタに光信号を発する発光ダイオードとから成 るフォ トカプラとから成る ことを特徴とする請求の範囲第 2項、 第 4項、 または第 6項の何れか 1 項に記載のプログラマブルコントローラ。
PCT/JP2005/013904 2004-07-30 2005-07-22 プログラマブルコントローラ WO2006011583A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US11/658,612 US8072889B2 (en) 2004-07-30 2005-07-22 Programmable controller
EP05767004A EP1785791B1 (en) 2004-07-30 2005-07-22 Programmable controller

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-222816 2004-07-30
JP2004222816A JP4349231B2 (ja) 2004-07-30 2004-07-30 プログラマブルコントローラ

Publications (1)

Publication Number Publication Date
WO2006011583A1 true WO2006011583A1 (ja) 2006-02-02

Family

ID=35786330

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/013904 WO2006011583A1 (ja) 2004-07-30 2005-07-22 プログラマブルコントローラ

Country Status (5)

Country Link
US (1) US8072889B2 (ja)
EP (1) EP1785791B1 (ja)
JP (1) JP4349231B2 (ja)
CN (1) CN100470419C (ja)
WO (1) WO2006011583A1 (ja)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5404442B2 (ja) * 2010-01-18 2014-01-29 株式会社東芝 安全入力装置
WO2011135656A1 (ja) * 2010-04-26 2011-11-03 三菱電機株式会社 安全装置および故障検出方法
JP5590164B2 (ja) * 2013-01-28 2014-09-17 株式会社安川電機 ロボットシステム
DE102013106739A1 (de) * 2013-06-27 2014-12-31 Pilz Gmbh & Co. Kg Sicherheitsschaltvorrichtung mit fehlersicheren Eingängen
JP6340886B2 (ja) * 2014-04-10 2018-06-13 株式会社ジェイテクト プログラマブルロジックコントローラ用プログラムの作成支援装置及びプログラマブルロジックコントローラ用プログラムの作成支援方法
JP6825412B2 (ja) * 2017-02-21 2021-02-03 オムロン株式会社 モータ制御装置
JP6870555B2 (ja) * 2017-09-29 2021-05-12 ブラザー工業株式会社 監視装置
KR102262090B1 (ko) * 2019-01-14 2021-06-07 안재봉 피엘씨의 입력 이중화 처리장치 및 방법

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08221116A (ja) * 1995-02-20 1996-08-30 Hitachi Ltd 診断機能付きディジタル入力装置
JPH11259101A (ja) * 1998-03-11 1999-09-24 East Japan Railway Co フェールセーフ出力装置
JP2005044074A (ja) * 2003-07-25 2005-02-17 Japan Control Engineering Co Ltd セーフティコントローラー、セーフティコントローラーに含まれる安全出力回路の診断をコンピュータに実行させるためのプログラムおよびそのプログラムを記録したコンピュータ読取り可能な記録媒体

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002358106A (ja) 2001-05-31 2002-12-13 Omron Corp 安全コントローラ
JP4131134B2 (ja) 2002-07-09 2008-08-13 株式会社ジェイテクト 制御装置、その入力回路及び制御装置の信号入力方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08221116A (ja) * 1995-02-20 1996-08-30 Hitachi Ltd 診断機能付きディジタル入力装置
JPH11259101A (ja) * 1998-03-11 1999-09-24 East Japan Railway Co フェールセーフ出力装置
JP2005044074A (ja) * 2003-07-25 2005-02-17 Japan Control Engineering Co Ltd セーフティコントローラー、セーフティコントローラーに含まれる安全出力回路の診断をコンピュータに実行させるためのプログラムおよびそのプログラムを記録したコンピュータ読取り可能な記録媒体

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
"BICYCLING SCIENCE", CAMBRIDGE MIT PRESS, pages: 23 - 27
D.S. SIKORA ET AL.: "EMERGENCY SHUTDOWN SYSTEM", BICYCLING SCIENCE, 11 September 1989 (1989-09-11)
See also references of EP1785791A4

Also Published As

Publication number Publication date
CN100470419C (zh) 2009-03-18
JP2006040195A (ja) 2006-02-09
US20080082212A1 (en) 2008-04-03
US8072889B2 (en) 2011-12-06
EP1785791A4 (en) 2010-07-21
EP1785791B1 (en) 2012-03-07
EP1785791A1 (en) 2007-05-16
CN101002149A (zh) 2007-07-18
JP4349231B2 (ja) 2009-10-21

Similar Documents

Publication Publication Date Title
WO2006011583A1 (ja) プログラマブルコントローラ
JP3978617B2 (ja) 安全ユニットの入力装置
CN102096401B (zh) 基于现场总线和arm处理器的冗余容错安全仪表系统
JP4958365B2 (ja) モジュラー型安全スイッチ装置システム
JP4263339B2 (ja) 安全スイッチ装置
CN105759781A (zh) 机器人的布线方法
JP2007532846A (ja) 安全回路用安全スイッチ
US4270715A (en) Railway control signal interlocking systems
JP4691490B2 (ja) 安全重視プロセスを制御する方法と装置
US8138765B2 (en) Device and method for actuator monitoring of a safety-related load circuit connected with two channels
EP3166218B1 (en) Power converter
US6778079B2 (en) Input/output methodology for control reliable interconnection of safety light curtains and other machine safety controls
CN115657450B (zh) 工业机器人的安全控制系统、电路及方法
US5613064A (en) Output network for a fault tolerant control system
JP6825412B2 (ja) モータ制御装置
JP7388290B2 (ja) 産業用制御装置の出力モジュール
US8831912B2 (en) Checking of functions of a control system having components
JP2020102116A (ja) 安全入力装置
JP4212965B2 (ja) 安全リレーシステム及び安全リレーシステム用出力ブロック化ユニット
JP2005003133A (ja) 安全リレーシステム、安全リレーシステム用グループ化出力ユニットおよび安全リレーの制御方法
JP2557990B2 (ja) 二重系切換装置
JP4212964B2 (ja) 安全リレーシステム、安全リレーシステム用入力ブロック化ユニット、および安全リレーの制御方法
CN114545829B (zh) 信号输出装置及信号输出控制方法、工程机械
JP4212963B2 (ja) 安全リレーシステム、安全リレーシステム用入力増設ユニット、安全リレーシステム用マスタユニット、安全リレーシステム用エンドユニット、及び安全リレーの制御方法
JP2970164B2 (ja) 切替回路

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KM KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2005767004

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 11658612

Country of ref document: US

Ref document number: 200580025214.3

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 2005767004

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 11658612

Country of ref document: US