(57)【要約】      （修正有）【課題】機能安全のための相互監視の際に、通信データ量及び記憶領域を削減できる制御装置、制御方法及び制御プログラムを提供する。【解決手段】制御装置は、自動更新される多重化された入力信号及び出力信号を示す安全データ１２１を相互監視する複数の監視部１０を備え、監視部は、それぞれ、安全データ、安全データをビット反転した誤り検出用の反転データ１２４、及び別の監視部の安全データを複製した比較データ１２２を記憶する記憶部１２と、所定の処理周期で反転データを更新する際に、安全データと更新前の反転データの反転値とを比較し、安全データの１周期前からの変更データを生成する生成部１１１と、変更データを別の監視部へ送信する送信部１１２と、別の監視部から受信した変更データに基づいて、比較データを更新する更新部１１３と、安全データと比較データとが同一であることを判定する判定部１１４と、を備える。【選択図】図４
2020173689.tif 000002
【特許請求の範囲】
【請求項１】
産業機械における機能安全のために、自動更新される多重化された入力信号及び出力信号を示す安全データを相互監視する複数の監視部を備え、前記安全データは、当該安全データをビット反転した反転データにより誤り検出される制御装置であって、
前記監視部は、それぞれ、
前記安全データ、前記反転データ、及び相互監視のため前記安全データと比較する対象である別の監視部の安全データを複製した比較データを記憶する記憶部と、
所定の処理周期で前記反転データを更新する際に、前記安全データと更新前の前記反転データの反転値とを比較し、前記安全データの１周期前からの変更データを生成する生成部と、
前記変更データを前記別の監視部へ送信する送信部と、
前記別の監視部から受信した変更データに基づいて、前記比較データを更新する更新部と、
前記安全データと前記比較データとが同一であることを判定する判定部と、を備える制御装置。
【請求項２】
前記生成部は、前記変更データに、当該変更データの誤り検出符号を付与する請求項１に記載の制御装置。
【請求項３】
前記生成部は、前記変更データに、前記安全データ及び前記反転データの少なくともいずれかの誤り検出符号を付与する請求項１又は請求項２に記載の制御装置。
【請求項４】
産業機械における機能安全のために、自動更新される多重化された入力信号及び出力信号を示す安全データを相互監視し、前記安全データは、当該安全データをビット反転した反転データにより誤り検出される制御装置において、複数の監視部がそれぞれ、
前記安全データ、前記反転データ、及び相互監視のため前記安全データと比較する対象である別の監視部の安全データを複製した比較データを記憶し、
所定の処理周期で前記反転データを更新する際に、前記安全データと更新前の前記反転データの反転値とを比較し、前記安全データの１周期前からの変更データを生成する生成ステップと、
前記変更データを前記別の監視部へ送信する送信ステップと、
前記別の監視部から受信した変更データに基づいて、前記比較データを更新する更新ステップと、
前記安全データと前記比較データとが同一であることを判定する判定ステップと、を実行する制御方法。
【請求項５】
請求項１から請求項３のいずれかに記載の制御装置としてコンピュータを機能させるための制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、産業機械における機能安全のための制御装置、制御方法及び制御プログラムに関する。
【背景技術】
【０００２】
従来、工作機械及びロボットを含む産業機械においては、単一障害の発生時に安全性を確保する機能安全のために、例えば、サーボモータ及びスピンドルモータ等の実際の位置及び速度の他、安全に関する入出力信号を二系統で監視し、動力を遮断する経路を二重に設ける構成が取られる（例えば、特許文献１参照）。
このとき、ＣＮＣ等の制御部において、例えば非常停止信号（入力信号）とモータアンプへの緊急停止信号（出力信号）との組み合わせ等を示す安全データを、二重化されたＣＰＵ等の論理回路で相互に監視することで単一障害を検出できる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００１−１４０１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
安全データの相互監視のためには、論理回路間の通信路（データバス）により安全データの共有が行われる。しかしながら、監視対象のデータ量が多いと、相互監視により通信路が占有され、安全データを増やすことができず、また、通信路を共有する他の機能の応答性が低下していた。そこで、安全データを共有するために、処理周期毎の差分である変更データのみを通知する手法が取られる。
しかしながら、通常、安全データは入出力機器からの信号により直接書き換えられるため、変更データを作成するためには、処理周期毎に前回値を退避する処理及び記憶領域が必要となっていた。
【課題を解決するための手段】
【０００５】
本開示の一態様である制御装置は、産業機械における機能安全のために、自動更新される多重化された入力信号及び出力信号を示す安全データを相互監視する複数の監視部を備え、前記安全データは、当該安全データをビット反転した反転データにより誤り検出される制御装置であって、前記監視部は、それぞれ、前記安全データ、前記反転データ、及び相互監視のため前記安全データと比較する対象である別の監視部の安全データを複製した比較データを記憶する記憶部と、所定の処理周期で前記反転データを更新する際に、前記安全データと更新前の前記反転データの反転値とを比較し、前記安全データの１周期前からの変更データを生成する生成部と、前記変更データを前記別の監視部へ送信する送信部と、前記別の監視部から受信した変更データに基づいて、前記比較データを更新する更新部と、前記安全データと前記比較データとが同一であることを判定する判定部と、を備える。
【０００６】
本開示の一態様である制御方法は、産業機械における機能安全のために、自動更新される多重化された入力信号及び出力信号を示す安全データを相互監視し、前記安全データは、当該安全データをビット反転した反転データにより誤り検出される制御装置において、複数の監視部がそれぞれ、前記安全データ、前記反転データ、及び相互監視のため前記安全データと比較する対象である別の監視部の安全データを複製した比較データを記憶し、所定の処理周期で前記反転データを更新する際に、前記安全データと更新前の前記反転データの反転値とを比較し、前記安全データの１周期前からの変更データを生成する生成ステップと、前記変更データを前記別の監視部へ送信する送信ステップと、前記別の監視部から受信した変更データに基づいて、前記比較データを更新する更新ステップと、前記安全データと前記比較データとが同一であることを判定する判定ステップと、を実行する。
【０００７】
本開示の一態様である制御プログラムは、前記制御装置としてコンピュータを機能させるためのものである。
【発明の効果】
【０００８】
本開示の一態様によれば、機能安全のための相互監視の際に、通信データ量及び記憶領域を削減できる。
【図面の簡単な説明】
【０００９】
【図１】一実施形態における制御装置を含む、産業機械の機能安全のためのシステム構成を示す図である。
【図２】一実施形態における制御装置に、従来の安全データの相互監視の手法を適用した場合を例示する第１の図である。
【図３】一実施形態における制御装置に、従来の安全データの相互監視の手法を適用した場合を例示する第２の図である。
【図４】一実施形態における制御装置が備える複数の監視部それぞれの機能構成を示す図である。
【図５】一実施形態における相互監視の手法を例示する図である。
【図６】一実施形態における制御装置の監視部における処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る制御装置１を含む、産業機械の機能安全のためのシステム構成を示す図である。
【００１１】
制御装置１は、複数の監視部１０（例えば、監視部１０Ａ及び１０Ｂ）を備え、産業機械における機能安全のために、自動更新される多重化された入力信号及び出力信号を示す安全データを相互監視する。
例えば、非常停止ボタン等の安全信号入力機器から、二系統の入力信号が監視部１０Ａ及び１０Ｂにそれぞれ入力され、これらの入力信号に応じた緊急停止信号等の出力信号がモータアンプ等の安全信号出力機器に出力される。このとき、二重化された監視部１０Ａ及び１０Ｂは、それぞれが保持する安全データを相互に監視して両者が同一であることを確認し、単一障害の発生を検知する。
【００１２】
ここで、安全データは、例えば、入力信号及び出力信号の種類に対応したアドレスに値がセットされた固定長のデータであってよい。安全データは、入出力機器からの信号に応じて随時に、又は所定の処理周期で更新される。
【００１３】
図２は、本実施形態に係る制御装置１に、従来の安全データの相互監視の手法を適用した場合を例示する第１の図である。
監視部１０ＡのＲＡＭ１２Ａに格納された安全データ１２１Ａと、監視部１０ＢのＲＡＭ１２Ｂに格納された安全データ１２１Ｂとは、データバスを介して監視部１０Ａ及び１０Ｂの両者で共有される。これにより、監視部１０ＡのＣＰＵ１１Ａと監視部１０ＢのＣＰＵ１１Ｂとは、共に安全データ１２１Ａ及び１２１Ｂを二重で監視する。
この場合、データバスには、ＣＰＵ１１Ａ及び１１Ｂの処理周期毎に、安全データ１２１Ａ及び１２１Ｂの全体が流れることになる。
【００１４】
図３は、本実施形態に係る制御装置１に、従来の安全データの相互監視の手法を適用した場合を例示する第２の図である。
この手法では、データバスの通信量を削減するため、処理周期毎の安全データ１２１の差分を示す変更データを、監視部１０Ａ及び１０Ｂが相互に受け渡す。これにより、一方の安全データ１２１Ａ（又は１２１Ｂ）と比較される他方の安全データ１２１Ｂ（又は１２１Ａ）の複製である比較データ１２２Ａ（又は１２２Ｂ）が生成される。
監視部１０のＣＰＵ１１は、安全データ１２１と比較データ１２２とが同一であることを確認し、相違を検知すると警告を出力する。
【００１５】
監視部１０は、処理周期毎に、前回（１周期前）の安全データ１２１と現在の安全データ１２１との差分を示す変更データを生成するために、前回の安全データ１２１の複製である退避データ１２３をＲＡＭ１２に記憶する。
この場合、データバスには、安全データ１２１の変更部分に関するデータのみが流れ、通信量が削減される。
【００１６】
図４は、本実施形態に係る制御装置１が備える複数の監視部１０それぞれの機能構成を示す図である。
監視部１０は、ＣＰＵ１１とＲＡＭ１２（記憶部）とを備える。ＣＰＵ１１は、生成部１１１と、送信部１１２と、更新部１１３と、判定部１１４とを備える。
【００１７】
また、ＲＡＭ１２には、安全データ１２１と、相互監視のための比較対象である別の監視部１０の安全データ１２１を複製した比較データ１２２と、安全データ１２１をビット反転した誤り検出用の反転データ１２４とが記憶される。
ここで、反転データ１２４は、安全データ１２１の信頼性向上のために、監視機能の構成要素として従来の制御装置が通常保持しているものであり、安全データ１２１をビット反転したデータである。監視部１０は、反転データ１２４を入力機器から直接取得することで通信路の信頼性を確認でき、また、自ら生成することでメモリ（ＲＡＭ１２）の信頼性を確認できる。
【００１８】
生成部１１１は、所定の処理周期で反転データ１２４を更新する際に、安全データ１２１と更新前の反転データ１２４の反転値とを比較し、安全データ１２１の１周期前からの差分を示す変更データを生成する。
【００１９】
変更データのデータ形式は限定されないが、例えば、比較データの更新を指令するコマンドとして記述されてもよい。
また、変更データの信頼性を担保するために、変更データにはＣＲＣ（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｈｅｃｋ）等の誤り検出符号が付与されてもよい。さらに、変更データには、安全データ１２１及び反転データ１２４のいずれか又は両方の誤り検出符号が付与されてもよい。この場合、変更データの受信側のＣＰＵ１１において、比較データ１２２の更新後に誤り検出符号の計算を行い、受信した誤り検出符号と一致することを確認する。
【００２０】
また、変更データには、順序を示すＩＤが付与されてもよく、変更データの受信側のＣＰＵ１１において、このＩＤの順に比較データ１２２の更新処理を実行することにより、比較データ１２２の更新漏れを防ぐことができる。
また、変更データが複数の入出力信号の項目を含むことにより、データ転送量、及び前述の誤り検出符号の計算回数が削減される。
【００２１】
送信部１１２は、生成部１１１により生成された変更データを、相互監視の相手である別の監視部１０へ送信する。
【００２２】
更新部１１３は、別の監視部１０から受信した変更データに基づいて、比較データ１２２を更新する。こうすることで、更新部１１３は、別の監視部１０が保持している安全データ１２１の複製を取得できる。
【００２３】
判定部１１４は、安全データ１２１と比較データ１２２とが同一であることを判定する。正常時は、両データの値は一致しているが、単一障害が発生することで相違が生じるため、判定部１１４は、値が同一でない判定結果に応じて警告を出力する。
【００２４】
図５は、本実施形態に係る制御装置１における相互監視の手法を例示する図である。
監視部１０Ａ及び１０Ｂは、それぞれが保持する安全データ１２１と、１周期前の反転データ１２４の反転値とを比較し、これらの差分を示す変更データを生成する。
【００２５】
生成された変更データを、監視部１０Ａ及び１０Ｂが相互に受け渡すことにより、一方の安全データ１２１Ａ（又は１２１Ｂ）と比較される他方の安全データ１２１Ｂ（又は１２１Ａ）の複製である比較データ１２２Ａ（又は１２２Ｂ）が生成される。
監視部１０ＡのＣＰＵ１１Ａ及び監視部１０ＢのＣＰＵ１１Ｂは、それぞれ安全データ１２１と比較データ１２２とが同一であることを確認し、相違を検知すると警告を出力する。
【００２６】
このように、監視部１０は、処理周期毎に、相互監視とは別の用途で保存されている反転データ１２４を利用して、前回（１周期前）の安全データ１２１と現在の安全データ１２１との差分を示す変更データを生成する。
この場合、データバスには、安全データ１２１の変更部分に関するデータのみが流れ、通信量が削減される。さらに、図３で示した前回の安全データ１２１の複製である退避データ１２３を新たに生成及び記憶する必要がない。
【００２７】
図６は、本実施形態に係る制御装置１の監視部１０における処理の流れを示すフローチャートである。
ステップＳ１において、ＣＰＵ１１は、現在の安全データ１２１を取得する。
ステップＳ２において、ＣＰＵ１１は、安全データ１２１に対して、反転データ１２４を作成又は更新する。ここまでの初期化処理の後、後続の相互監視の処理が所定の処理周期で繰り返される。
【００２８】
ステップＳ３において、ＣＰＵ１１は、現在の安全データ１２１を取得する。
ステップＳ４において、ＣＰＵ１１は、記憶されている反転データ１２４から得られる前回（１周期前の）安全データ１２１の複製と、今回の安全データ１２１とを比較し、前回からの差分を示す変更データを作成し、多重化された他の監視部１０へ送信する。
ステップＳ５において、ＣＰＵ１１は、他の監視部１０から受信した変更データに基づいて、比較データ１２２を更新する。
【００２９】
ステップＳ６において、ＣＰＵ１１は、今回の安全データ１２１と更新された比較データ１２２とを比較する。
ステップＳ７において、ＣＰＵ１１は、ステップＳ６における比較の結果、相互監視している安全データ１２１が同一か否かを判定する。この判定がＹＥＳの場合、処理はステップＳ８に移り、判定がＮＯの場合、処理はステップＳ９に移る。
【００３０】
ステップＳ８において、ＣＰＵ１１は、相互監視を終了するか否かを判定する。この判定がＹＥＳの場合、処理は終了し、判定がＮＯの場合、処理はステップＳ３に戻る。
ステップＳ９において、ＣＰＵ１１は、安全データ１２１の不一致が検出されたので、障害の発生を示す警告を出力する。
【００３１】
本実施形態によれば、制御装置１は、産業機械における機能安全のために、自動更新される多重化された入力信号及び出力信号を示す安全データを相互監視する複数の監視部１０を備え、安全データは、当該安全データをビット反転した反転データにより誤り検出される制御装置であって、監視部１０は、それぞれ、安全データ１２１、反転データ１２４、及び相互監視のため安全データ１２１と比較する対象である別の監視部１０の安全データ１２１を複製した比較データ１２２を記憶するＲＡＭ１２（記憶部）と、所定の処理周期で反転データ１２４を更新する際に、安全データ１２１と更新前の反転データ１２４の反転値とを比較し、安全データ１２１の１周期前からの変更データを生成する生成部１１１と、変更データを別の監視部１０へ送信する送信部１１２と、別の監視部１０から受信した変更データに基づいて、比較データ１２２を更新する更新部１１３と、安全データ１２１と比較データ１２２とが同一であることを判定する判定部１１４と、を備える。
【００３２】
これにより、制御装置１は、安全データ１２１の相互監視の際に、データバスを介して全データ領域にアクセスする必要がなくなる。したがって、データバスにおける通信量が削減され、機能安全に関するデータ以外の利用が可能となる。
このとき、変更データの作成のために誤り検出用の反転データ１２４を流用するため、特別な記憶領域及び処理の追加が必要ない。したがって、制御装置１は、通信データ量及び記憶領域を削減できる。
【００３３】
また、通信量が削減されたことにより、安全データ１２１自体のデータ量の増加が可能となり、さらに、処理負荷の低減に伴い、相互監視のための処理周期の短縮が可能となる。
【００３４】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。
【００３５】
制御装置１による制御方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、コンピュータにインストールされる。また、これらのプログラムは、リムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。
【符号の説明】
【００３６】
１  制御装置
１０  監視部
１１  ＣＰＵ
１２  ＲＡＭ
１１１  生成部
１１２  送信部
１１３  更新部
１１４  判定部
１２１  安全データ
１２２  比較データ
１２３  退避データ
１２４  反転データ
【図１】
2020173689.tif 000003
【図２】
2020173689.tif 000004
【図３】
2020173689.tif 000005
【図４】
2020173689.tif 000006
【図５】
2020173689.tif 000007
【図６】
2020173689.tif 000008