(57)【特許請求の範囲】
【請求項１】
電力変換器へ制御信号を出力する制御装置と、前記電力変換器への停止指令の出力その他のフェールセーフ処理を実行する演算手段を有する安全装置と、を備え、
前記演算手段は、
外部からの割込信号を入力し、該割込信号の波形にノイズや装置故障と想定される異常信号が含まれる場合において、前記電力変換器の動作周波数またはキャリア周波数に基づいて定められた閾値に基づいてノイズか装置故障かの異常種別を判定し、異常信号検出時には外部へ前記異常種別と共に異常通知を出力する入力手段と、
前記異常通知を受けて、前記異常種別に対応するフェールセーフ処理を実行する監視手段とを備え、
前記安全装置は、複数の前記演算手段を有し、各演算手段は、前記入力手段ごとの異常検出回数を逐一格納するカウンタ変数を有し、
前記複数の演算手段は、相互通信手段によって接続されて前記監視手段に格納されたカウンタ変数の値を交換し、予め定められた閾値と交換されたカウンタ変数の値とを用いてフェールセーフ処理を実行することを特徴とする安全制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電力変換器などの被制御装置の安全監視機能を有し、ネットワーク経由で与えられる制御信号に基づいて被制御装置を制御する安全制御システムに関する。
【背景技術】
【０００２】
従来から、工場や各種産業機器に使用される電力変換器は、さまざまな関連装置とネットワークや電源線等を介して間接的又は直接的に接続され使用されている。また、電力変換器の負荷にはモータ（電動機）などの機器（被制御装置）が利用されており、人間が立ち入ったり巻き込まれたりすることのないよう、機能安全性が要求されている。
【０００３】
このため、ＩＥＣ６１５０８シリーズに代表される機能安全規格により、診断・監視機能に加えて、外部のセンサー等からの信号に基づいて、安全停止、安全減速など被制御装置を安全な状態へ移行する機能を定義している。
【０００４】
また、この機能安全には、外部からのノイズが加わった時に起因するリスクを考慮に入れたＥＭＣ機能安全の考え方も近年規格として提案されつつある。
【０００５】
そこで、このような安全機能として、外部コントローラから安全制御システムの電力変換器へ制御信号や安全信号を与えるとともに、その安全信号を制御信号と混合させて産業用ネットワークに乗せるための「安全バス」を用いたシステムが提案されている（例えば、特許文献１参照）。
【０００６】
また、信頼性を向上させるために、二重化情報システムを採用し、故障などの際にトリガとして割込信号を出力して、他方のシステムを稼働させるものも知られている（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００６−１７８７３０号公報
【特許文献２】特開２００６−２０９６２４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、機能安全として電磁ノイズに対する対策を行う場合には、非常に多くの側面から検討を行う必要がある。特に、電力変換器においては、制御装置の何らかの信号に強力な電磁ノイズが畳重した場合に発生する問題として、被制御装置の暴走や誤動作が推定されるため、設計段階や製造段階で入念な電磁ノイズ対策が求められる。また、機能安全対応の電力変換器を実現する際に、制御装置には複数の演算装置が含まれていることが多いため、強力な電磁ノイズを畳重した制御信号等が流れ込んだ場合の機能安全対策は不可欠である。さらに、被制御装置を搭載した機器や装置全体の構成或いは目的によっては、画一的な安全対策を講じることができない場合がある。
【０００９】
例えば、被制御装置として電動機を搭載した機器や装置であっても、ノイズを検出した場合に即時停止しても良いもの（エスカレータ・大型工作機械・ベルトコンベア等）と、所定時間後或いは減速後に停止したほうが良いもの（エレベータ・電気自動車等）が存在する。
【００１０】
しかしながら、上述した各引用文献では、このようなノイズに起因して発生する誤動作等に対する具体的な対策はなされていないのが実情であった。
【００１１】
そこで、本発明は、複数の演算装置を用いた制御装置にあって、ノイズや故障等の不具合要因を稼動中に常時検出すると共に、ノイズに対して柔軟性を持たせ、稼動率の低下を抑えつつ安全性を確保することができる安全制御システムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明の安全制御システムは、電力変換器へ制御信号を出力する制御装置と、前記電力変換器への停止指令の出力その他のフェールセーフ処理を実行する演算手段を有する安全装置と、を備え、前記演算手段は、外部からの割込信号を入力し、該割込信号の波形にノイズや装置故障と想定される異常信号が含まれる場合において、前記電力変換器の動作周波数またはキャリア周波数に基づいて定められた閾値に基づいてノイズか装置故障かの異常種別を判定し、異常信号検出時には外部へ前記異常種別と共に異常通知を出力する入力手段と、前記異常通知を受けて、前記異常種別に対応するフェールセーフ処理を実行する監視手段とを備えたことを特徴とする。
【００１３】
本発明の安全制御システムによれば、ノイズや装置故障等の不具合要因検出機能を演算手段に持たせ、故障要因検出時に異常の状態を監視手段へ伝えて安全機能を実現することにより、演算手段に流れこむ可能性のある電磁ノイズや、短絡や断線等の装置故障によって発生する不正で不具合リスクを発生させる可能性を持つ信号を検知することができ、ノイズや装置故障等の不具合要因を稼動中に常時検出すると共に、ノイズに対して柔軟性を持たせ、稼動率の低下を抑えつつ安全性を確保することができる安全制御システムを実現する。
【００１４】
また、本発明に係る安全制御システムの前記演算手段は、複数の前記入力手段と、入力手段ごとの異常種別の組合せに基づいて実行すべきフェールセーフ処理を定めた異常判定マトリクステーブルと、を備え、前記監視手段は、複数の前記入力手段のいずれかから異常通知を受けたときに、前記異常判定マトリクスに基づいて選択されたフェールセーフ処理を実行することを特徴とする。
【００１５】
本発明では、異常判定マトリクステーブルにより、複数の入力信号の組合せ不具合要因を特定するので精度の良い異常判定が可能になる。
【００１６】
さらに、本発明に係る安全制御システムの前記安全装置は、複数の前記演算手段を有し、各演算手段は、前記入力手段ごとの異常検出回数を逐一格納するカウンタ変数を有し、前記複数の演算手段は、相互通信手段によって接続されて前記監視手段に格納されたカウンタ変数の値を交換し、予め定められた閾値と交換されたカウンタ変数の値とを用いてフェールセーフ処理を実行することを特徴とする。
【００１７】
本発明によれば、複数の演算装置の異常検出状態を相互に確認・利用することができ、異常検出の信頼性を一層向上させることができる。
【発明の効果】
【００１８】
本発明の安全制御システムは、ノイズや装置故障等の不具合要因を稼動中に常時検出すると共に、ノイズに対して柔軟性を持たせ、稼動率の低下を抑えつつ安全性を確保することができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の実施の形態に係る安全制御システムを示し、周辺装置の構成図である。
【図２】本発明の実施の形態に係る安全制御システムを示し、安全装置の概略構成図である。
【図３】本発明の実施の形態によるタイミング同期信号波形と負論理における各信号名及び時間名との関係の説明図である。
【図４】本発明の実施の形態によるタイミング同期信号波形とエラー要因例の説明図である。
【図５】本発明の実施の形態による演算装置３１，４１の有するＣＰＵ３２，４２の機能ブロック図である。
【図６】本発明の実施の形態に係る安全制御システムの入力手段の信号立ち下がり時及び規定ＯＮ時間経過における動作フロー図である。
【図７】本発明の実施の形態に係る安全制御システムの入力手段の信号立ち上がり時における動作フロー図である。
【図８】本発明の第２の実施の形態に係る安全制御システムを示し、安全制御システムの要部のブロック図である。
【図９】本発明の第２の実施の形態に係る安全制御システムの動作フロー図である。
【図１０】本発明の実施形態に係る安全制御システムの端子異常種別の説明図である。
【図１１】図９の異常種別判定処理の動作フロー図である。
【図１２】図９のフェールセーフ処理の動作フロー図である。
【図１３】本発明の実施の形態に係る安全制御システムの異常判定マトリクステーブルのデータ構成例である。
【図１４】本発明の第２の実施の形態に係る安全制御システムを示し、（Ａ）は異常検出用ダミー端子を適用した場合の平面方向の説明図、（Ｂ）は異常検出用ダミー端子を適用した場合の側面方向の説明図である。
【図１５】本発明の第３の実施の形態に係る安全制御システムの要部のブロック図である。
【図１６】本発明の第３の実施の形態に係る安全制御システムの異常端子カウンタ閾値判定処理の動作フロー図である。
【発明を実施するための形態】
【００２０】
［第１の実施の形態］
次に、本発明の実施の形態に係る安全制御システムについて、図面を参照しながら説明する。尚、以下に示す実施形態は本発明の安全制御システムにおける好適な具体例であり、技術的に好ましい種々の限定を付している場合もあるが、本発明の技術範囲は、特に本発明を限定する記載がない限り、これらの態様に限定されるものではない。また、以下に示す実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、かつ、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、以下に示す実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００２１】
（全体構成）
図１は、本発明の実施の形態による安全制御システムおよび周辺装置の構成図である。この図において、安全制御システム１は、ネットワーク３を介して外部コントローラ２と接続している。外部コントローラ２は、安全制御システム１へ制御機能や安全機能に関する指令信号の送信ならびに安全制御システム１からの監視データの受信によるモニタリングを行う。一方、安全制御システム１は、外部コントローラ２から送られてくる指令信号に基づいて制御対象である電動機４を監視制御する。
【００２２】
安全制御システム１は、ネットワーク３を介して外部コントローラ２と通信を行う通信装置１０、外部コントローラ２から送られてくる指令信号に基づいて制御指令（制御信号）を出力する制御装置２０、制御装置２０から出力される制御信号によって電動機４を駆動する電力変換器６０、電力変換器６０や制御装置２０などの異常の有無を監視し、電力変換器６０へ停止指令などの安全指令を出力するＣＰＵ二重化された安全装置３０を有している。通信装置１０、制御装置２０、および、安全装置３０との間は、それぞれケーブルやコネクタなどの分離・接続可能な接続手段で接続されている。なお安全制御システム１の各装置は、それぞれユニット構成で実現しても良いし、基板構成で実現しても良い。
【００２３】
安全制御システム１を構成する各装置の機能概要を説明すると、まず、制御装置２０は、通信装置１０から渡された外部コントローラ２の通信データを制御データと安全データとに分離する。そして制御データを受信した場合は、その制御データに基づいて電力変換器６０の電圧・電流・周波数などを決定し、制御信号を生成して電力変換器６０へ出力する。そして、電力変換器６０は、制御装置２０からの制御指令や安全装置３０からの停止指令によって、電動機４を運転させるための電力の供給や停止を行う。通信装置１０から渡された通信データが安全データの場合は、制御装置２０は、この安全データを安全装置３０へ渡す。安全データの渡し方は、二重化された演算装置のうち、制御装置２０と通信を行う一方の演算装置３１に渡し、その演算装置３１が他方の演算装置４１へ安全データを転送する。なお、安全データの渡し方はこれに限らず、たとえば、データを分岐する分岐手段を設け、制御装置２０から送信された安全データをその分岐手段を介して夫々同じデータを両方の演算装置３１，４１へ送信するようにしても良い。
【００２４】
安全装置３０の両演算装置３１，４１は、外部コントローラ２からの安全機能設定信号による非常停止制御、安全状態の外部コントローラ２への通知処理などを行う。
【００２５】
両演算装置３１，４１間は、ケーブル接続されるが、外部割込信号によって、互いに処理のタイミングを通知して同期をとっている。なお、演算装置内部のＣＰＵのプログラム処理によって発生する割込信号（内部割込信号）に対して、ＣＰＵ間の割込信号は、ＣＰＵの外部に出力されるため、以下の説明において外部割込信号という。電力変換器６０の動作ノイズによって、ケーブルにノイズが乗ることがあり、これにより誤動作を起こす可能性がある。
【００２６】
本実施の形態では、このノイズに対してできるだけ電動機４の稼働率を低下させないように、下記の構成をとっている。
【００２７】
図２に、安全装置３０の概略構成図を示す。安全装置３０の演算装置３１，４１はそれぞれ内部にプログラムによる演算処理を実行するＣＰＵ３２，４２を有している。ＣＰＵ３２，４２間は、互いに外部割込信号を発生する回路（タイミング同期信号発生回路）３３，４３と、外部割込信号を受信する回路（タイミング同期信号受信回路）４４，３４が設けられている。なお、外部割込信号によってＣＰＵの処理の同期をとるため、タイミング同期信号発生回路３３，４３とタイミング同期信号受信回路４４，３４とを合わせてタイミング同期手段４０という。
【００２８】
また、タイミング同期信号発生回路３３は、ＣＰＵ３２のアドレスをデコードするデコード回路３３Ａ、デコード回路３３Ａの出力と書き込み信号との論理積を演算するＡＮＤ回路３３Ｂ、およびラッチ回路３３Ｃから構成されている。ラッチ回路３３Ｃは、ＤＦＦ（Ｄ型フリップフロップ）で実現されＤ入力には、データのあるビット（たとえばＬＳＢ）が接続され、クロック入力（ＣＫ）には、ＡＮＤ回路３３Ｂの出力が接続される。また、ラッチ回路３３Ｃの出力は外部割込信号として、タイミング同期信号受信回路４４へ伝送される。
【００２９】
タイミング同期信号受信回路４４は、タイミング同期信号の立ち上がりエッジを検出して、ＣＰＵ４２へ割り込み信号を発生する立ち上がりエッジ検出回路４４Ａ、タイミング同期信号の立ち下がりエッジを検出して、ＣＰＵ４２へ割り込み信号を発生する立ち下がりエッジ検出回路４４Ｂを備えている。また、タイミング同期信号は、ＣＰＵ４２の端子＃１（第１番目の外部入力端子）に入力されている。なお、外部信号は任意の端子に入力可能である。
【００３０】
タイミング同期信号発生回路４３、タイミング同期信号受信回路３４も上記と同様の回路構成を有し、ＣＰＵ４２からＣＰＵ３２へタイミング同期信号を送っている。
【００３１】
このように、タイミング同期手段４０は、プロセッサ間を外部割込信号線で結んでいる。なお、図１では、外部割込信号は双方向であるが、たとえばＣＰＵ４２をＣＰＵ３２に同期させる場合は、ＣＰＵ３２からＣＰＵ４２の一方向のみでも機能する。この信号は、ある電圧閾値、たとえば２．０Ｖなどを境界値として用いて２．０Ｖ以上なら「１」、２．０Ｖ未満なら「０」のように表わされる。アクティブロー(アクティブＬｏｗ：負論理)で定義するとき、「１」は非アクティブ、「０」はアクティブとなる。以下、負論理であるとして説明する。
【００３２】
このとき、通常はこの信号がアクティブとなる時点（立ち下がり時）に、ＣＰＵは外部割込として予め定めた処理（割り込み処理）を実行する。設定によっては、非アクティブ状態になるとき（立ち上がり時）、または、その両方（両エッジ時）などの場合もある。
【００３３】
信号線に問題が生じたとき、たとえばノイズや断線、短絡、または他方の演算装置の故障などのときは、割り込み処理が予期しないタイミングで動作する場合があり、安全機能の動作に遅延が生じたりするなどの問題を引き起こす危険性がある。
【００３４】
本実施の形態では、アクティブ状態となった時点を基準にして、非アクティブ状態になるまでの時間（アクティブ時間）と、アクティブ状態になった時点を基準にして、次にアクティブ状態になる時点までの間隔（アクティブ化間隔）を用いて、外部割込みの発生タイミングを制御する。
【００３５】
図３にタイミング同期信号波形と負論理における各信号名、時間名との関係を示す。アクティブ時間とアクティブ化間隔はそれぞれ下限値と上限値の２つの閾値を有する。割り込み信号などは一般に負論理（アクティブＬｏｗ）を用いる。よって、信号が「０」（ＧＮＤレベル）のときに正（ＯＮ）とみなす。
【００３６】
（入力信号異常判定処理）
図４に、このような閾値による従来の異常判定例を示す。図４（Ａ）では、ＯＮ時間が規定の時間を超過している場合（規定ＯＮ時間超過）を示している。これは、配線の断線・短絡あるいは素子不良等（以下、これらを纏めて「装置故障」という）の不具合を引き起こしていることが想定され、被制御装置（電動機４）が危険な状態であるのでシステム停止などの安全制御を行う必要があった。図４（Ｂ）では、ＯＮ時間が規定の時間より短い場合は、装置故障や、ノイズ等の一時的あるいは周期的な異常信号の影響が想定されるため、同様にシステム停止などの安全制御を行う必要があった。図４（Ｃ）では、ＯＮ／ＯＦＦとなる間隔が規定より短い場合についても、ノイズの影響の他、装置故障も想定されるため、同様にシステム停止などの安全制御を行う必要があった。
このように従来は、ノイズと装置故障を分けて判定できなかったので、異常信号のパターンを検出すると一律停止方向に制御せざるを得なかった。
【００３７】
本実施の形態は、不具合要因をさらに精度良く判定し、異常信号として、一過性のノイズの可能性が高い場合は、システム停止方向にするのではなく、例えば安全の確保できる速度に制限するなど、実効性の高いフェールセーフ処理を可能にするものである。
【００３８】
（ＣＰＵ３２，４２の機能構成）
以下、演算装置３１のＣＰＵ３２の機能を代表して説明するが、ＣＰＵ４２も同様の機能を有する。
図５は、ＣＰＵ３２の機能ブロック図である。ここで、ＣＰＵ３２は、タイミング同期信号受信回路３４からの割込信号やタイミング同期信号を入力して信号の異常を検出する入力手段３５、信号の異常を検出するための閾値ないし基準値を格納する閾値格納手段７９、制御装置２０あるいは他のＣＰＵからの指令に基づいて閾値格納手段７９に保存されている閾値を更新する閾値更新手段８０、入力手段３５からの指令に基づいて計数を行う監視タイマＡ７５および監視タイマＢ７６、入力手段３５からの異常通知をもとに監視結果ファイル７７を更新し、監視手段３７へ異常の発生を通知する異常通知手段３８、タイミング同期信号が正常な場合に起動されるタスク７３を備えている。
【００３９】
なお、後述するように、入力手段３５は不具合要因判定のために、複数のタイミング同期信号その他の外部信号を入力する場合もある。この場合、複数の外部信号の不具合要因（正常、信号異常、装置故障）の組合せとフェールセーフ処理内容との関係を保存するマトリクステーブル７４を備える。
【００４０】
（閾値の初期設定）
動作前（運転前）における電力変換器６０の設定は、ネットワーク３を用いて外部コントローラ２で設定（ユーザ設定）することが可能である。また、電力変換器６０の動作パラメータや指令周波数（動作周波数の指令値）またはキャリア周波数を変更する場合には、その変更前の指令周波数に関する格納データを取得すると共にアクティブ時間を変更・格納する。また、通信サイクルを変更する場合には、その変更前の格納時間に関する格納データを取得すると共にアクティブ化間隔を変更・格納する。なお、この格納先は、例えば、演算装置３１，４１のメモリ領域等に格納する。
【００４１】
（入力手段３５の動作）
図６に入力手段３５の動作フロー図を示す。本実施の形態では、信号の変化に応じて、演算装置（演算装置３１，４１）の内部で監視タイマＡ７６，監視タイマＢ７７により時間及び間隔を測定し、その値と電力変換器６０への制御指令値（電動機４の回転速度）に基づいて定まる閾値とを比較することによって、正常な信号と、装置故障やノイズによる信号とを分離している。閾値格納手段７９には、制御装置２０を起動した時に用いられる初期値が予め保存されており、閾値更新手段８０が稼働中の電力変換器６０の動作周波数の変化に応じて随時ＯＮ／ＯＦＦ時間（図４（Ｃ））やＯＮ時間（図４（Ｂ））の閾値を更新する。
【００４２】
閾値の変更の仕方としては、動作周波数またはキャリア周波数（以下、単に「動作周波数」という。）の一周期分をこの閾値とする他、高調波が発生する場合は、その次数に応じて監視時間を短くすることが考えられる。なお、予め工場試験などで動作周波数に対するノイズの乗り方を測定しておき、動作周波数とノイズ間隔との関係式あるいは動作周波数区分ごとのノイズ間隔の基準値を閾値格納手段７９に保存しておいても良い。
【００４３】
電力変換器６０は、強力なノイズ源であり、設置状況や環境変化、部品の劣化等で制御装置２０に影響を与える可能性が考えられ、その影響を考慮するためには動作周波数に応じて閾値を変更すること（これを閾値の「動的」変更という。）は極めて高い効果がある。
【００４４】
本実施の形態による入力手段３５は、立下りエッジ（信号はＯＦＦ⇒ＯＮ）による割込信号によって起動すると、まず監視タイマＢ７６が動作中の場合は（Ｓ１で「ＹＥＳ」）、監視タイマＢ７６の値を取得し（Ｓ２）、閾値格納手段７９に保存されているＯＮ／ＯＦＦ間隔の閾値（図４（Ｃ）参照）と比較して当該閾値以上であるか否かを判定する（Ｓ３）。この判定の結果、ＯＮ／ＯＦＦ間隔が閾値以上でない場合には異常通知手段３８を経由して監視手段３７へ異常（種別はノイズ）を通知する（Ｓ４）。
【００４５】
ステップＳ３の判定の結果、ＯＮ／ＯＦＦ間隔が閾値以上である場合には、入力手段３５は、監視タイマＡ７５の動作を開始すると共に監視タイマＢ７６を再起動する（Ｓ５，Ｓ６）。また、監視タイマＢ７６の値が閾値格納手段７９に保存されている規定ＯＮ時間（図４（Ａ）参照）を経過した場合には（Ｓ７で「ＹＥＳ」）、監視タイマＢ７６の動作を停止した後に（Ｓ８）、異常通知手段３８を経由して監視手段３７へ異常（種別は装置故障）を通知する（Ｓ９）。
【００４６】
また、図７に示すように、入力手段３５の別の割込ルーチンは、立上りエッジ（信号はＯＮ⇒ＯＦＦ）による割込信号によって起動すると、監視タイマＡ７５の動作を停止すると共に（Ｓ２１）、そのタイマカウント値を取得した後に（Ｓ２２）、そのタイマカウント値からＯＮ時間が予め定めた規定範囲内であるか否かを判定し（Ｓ２３）、規定範囲内であれば割り込み信号処理（たとえばタスク７３の割込み起動）を行う（Ｓ２４）。
【００４７】
一方、ステップＳ１２の判定の結果、規定範囲内でない場合には、入力手段７１は、さらに閾値格納手段７９に保存されているＯＮ時間の閾値（図４（Ｂ）参照）と比較して、監視タイマＡ７５のタイマカウント値が当該閾値以下の場合は（Ｓ２５で「ＹＥＳ」）、異常通知手段３８を経由して監視手段３７へ異常（種別はノイズ）を通知する一方（Ｓ２６）、監視タイマＡ７５のタイマカウント値が当該閾値よりも大きい場合は（Ｓ２５で「ＮＯ」）、異常通知手段３８を経由して監視手段３７へ異常（種別は装置故障）を通知する（Ｓ２７）。
【００４８】
（異常通知手段３８の動作）
異常通知手段３８は、入力手段３５から異常通知を受けると、異常の種別ごとに、入力端子が複数有る場合はさらに入力端子ごとに、発生回数を記録していき、予め定められた値（１以上）を超えると監視手段３７へ異常を通知する。
なお、発生回数などのカウントをしない場合は、異常通知手段３８を設けずに、入力手段３５からの異常通知を直接、監視手段３７へ伝えるようにしても良い。
【００４９】
（監視手段３７の動作）
監視手段３７は、異常通知手段３８から種別ごとの異常通知を受けると、その種別に対応付けられているフェールセーフ処理を実行する。
【００５０】
本実施の形態によれば、ノイズや装置故障等の不具合要因を稼動中に常時検出すると共に、閾値更新手段８０によって動作周波数またはキャリア周波数に基づいて動的に閾値を変更するので、ノイズに対して柔軟性を持たせ、稼動率の低下を抑え安全性を確保することができる。したがって、ノイズを検出した場合に即時停止しても良いもの（例えば、エスカレータ・大型工作機械・ベルトコンベア等）の場合には、ノイズの種類と危険度に応じて電動機４を即時停止し、所定時間後或いは減速後に停止したほうが良いもの（例えば、エレベータ・電気自動車等）の場合には、電動機４を最寄階にエレベータ箱が到着した時点、交差点等から退避した時点、といったように、装置等に応じた制御へ容易に対応することが可能となる。さらに、一過性のノイズの場合は速度制限を行うことで対応するようにしても良い。また、モニタや音声出力といった報知手段や他の切替え装置（安全装置）との連携し、『最寄階で停止します』『安全な場所で車を停止させてください』『ガソリンモードに切り替えました』といった報知やシステムの切り替えを行うことも可能となる。
【００５１】
［第２の実施の形態］
次に、本発明の第２の実施の形態を説明する。本実施の形態は、第１の実施の形態の機能に加え、さらに異常判定マトリクステーブル７８を用いて複数の入力信号によって装置異常の判定を行うものである。
以下、図８乃至図１４に基づいて、本実施形態に係る安全制御システム１の具体的な例を説明する。尚、以下の説明では、上記第１の実施の形態の構成と同一又は類似の機能を有するものには、同一の名称および符合を付す。
【００５２】
図８に示すように、本実施の形態の安全制御システム１では、図示を略する電力変換器の筐体内に、安全機能を有する演算装置３１，４１と、電力変換器６０と、電力変換器６０に電源供給を行う電源６１と、電動機４と、を有している。なお、本実施の形態では、演算装置３１，４１は安全装置３０内に設けることとして説明するが、二重化された演算装置の一方は、制御装置２０内に設けるようにしても良い。
【００５３】
安全装置３０は、図８の演算装置３１，４１を備えており、演算装置３１，４１のＣＰＵ３２，４２は、それぞれ２基の入力手段３５，３６及び入力手段４５，４６と、１つの監視手段３７，４７と、を備えている。入力手段３５，３６と監視手段３７及び入力手段４５，４６と監視手段４７とは、異常通知手段３８，４８によって接続されている。異常通知手段３８，４８は、それぞれ入力手段３５，３６及び入力手段４５，４６で発生した異常通知と異常の種別とを監視手段３７，４７へ転送する機能を有する。
【００５４】
第１の実施の形態と同様に、入力手段３５，３６及び入力手段４５，４６は、演算装置３１，４１に備わっている入力ポート（図示せず）の１つから入力される割込信号等（例えば、タイミング同期信号）の波形を動作周波数に基づいて動的に変化する閾値を用いて判定することでノイズと装置故障とを区別して異常を検出する機能を有している。
【００５５】
監視手段３７，４７は、数ｍｓ〜数１０ｍｓ程度の時間を一定周期として接続されている入力手段３５，３６及び入力手段４５，４６の状態を監視しており、複数の異常を検出した際には、状況に応じて電力変換器６０に安全指令を送りフェールセーフ処理を行う。
【００５６】
（動作概要）
次に、図９を用いて本実施の形態による安全制御システム１の動作概要を説明する。
安全制御システム１は、電源投入等によって起動した際、初期化ルーチンを実行し、各入力手段３５，３６，４５，４６や、異常通知手段３８，４８、監視手段３７，４７が使用する変数やファイルの初期設定を行う（Ｓ１１）。ここでは、図１０に示すように、各入力手段が使用する複数の端子異常種別の変数の初期化処理や、各異常通知手段が使用する異常検出回数を格納するカウンタ変数のリセット、各入力手段の異常検出処理で用いる条件判定のための閾値の指定、および異常判定マトリクステーブル７８の初期化などがある。
【００５７】
次に、安全制御システム１は、監視手段３７，４７の稼動を開始して、監視機能・安全機能を有効にする（Ｓ１２）。
【００５８】
安全制御システム１は、入力手段３５，３６及び入力手段４５，４６を起動して、入力信号を一定周期間隔で監視し（Ｓ１３）、異常の有無を判定する（Ｓ１４）。
入力手段３５，３６及び入力手段４５，４６は、異常を検出した場合には、それぞれ異常通知手段３８，４８を起動して、後述する異常種別判定処理（図１１）を実行する（Ｓ１５）。異常通知手段３８，４８は、この異常検出が有効な場合には、次のステップＳ１６へ移行し、異常検出が無効の場合は、検出異常無効処理（Ｓ１７）として、異常検出された端子の異常種別を初期化して（Ｓ１７−１）、異常が無いもの（無効）としたうえで他の端子と同様に当該端子の異常監視を再開させる（Ｓ１７−２）。
【００５９】
異常通知手段３８，４８は、ステップＳ１５の異常種別判定処理の結果、異常検出が有効であると判定した場合には（Ｓ１５で「ＹＥＳ」）、監視手段３７，４７に異常通知をすると共に異常種別を渡す。
監視手段３７，４７は、異常種別を渡されると、後述する異常種別に対応するフェールセーフ処理を実行して（Ｓ１６）、外部に異常の発生を通知する（Ｓ１８）。
【００６０】
以下、ステップＳ１５とステップＳ１６の処理内容の詳細を説明する。
（ステップＳ１５の異常種別判定処理の詳細）
まず、ステップＳ１５で示した異常通知手段３８，４８による異常種別判定処理の詳細を図１１に基づいて説明する。
【００６１】
異常通知手段３８，４８は、異常種別の変数やフェールセーフ遷移フラグ変数を初期化して（Ｓ１５−１）、各入力手段３５，３６及び入力手段４５，４６の各入力信号を端子として扱い、端子＃１〜端子＃ｎ（ｎは整数）までの異常の状態を検出する。
【００６２】
具体的には、異常通知手段３８，４８は、まず、端子＃１が異常状態であると判定した場合には（Ｓ１５−２）、異常端子検出処理＃１としてステップＳ１５−３に移行し、端子＃１の異常種別をセットし（Ｓ１５−３Ａ）、端子＃１の異常カウンタ加算（すなわち、異常発生回数カウンタ変数のインクリメント）を行って（Ｓ１５−３Ｂ）、次のステップＳ１５−４へと移行する。
【００６３】
異常通知手段３８，４８は、以下同様にして、端子＃２〜端子＃ｎに対して、異常の有無の判定と異常があった場合は異常検出処理を実行する（Ｓ１５−４〜Ｓ１５−７）。
【００６４】
次に、異常通知手段３８，４８は、複数端子間異常検出処理（Ｓ１５−８）を実行する。複数端子間異常検出処理として、異常通知手段３８，４８は、まず異常判定マトリクステーブル７８にアクセスすると共に（Ｓ１５−８Ａ）、各端子の異常カウンタ値を読み込んで（Ｓ１５−８Ｂ−１）、当該カウンタ値が予め定めた閾値を超えている場合は（Ｓ１５−８Ｂ−２）、異常判定マトリクステーブル７８の該当する端子の組合せに対応する安全機能（フェールセーフ処理）のＩＤを判定結果として抽出する（Ｓ１５−８Ｂ−３）。ここで、ステップＳ１５−８Ｂ−１〜ステップＳ１５−８Ｂ−３までの処理を異常端子カウンタ閾値判定処理（Ｓ１５−８Ｂ）という。
【００６５】
なお、安全機能ＩＤとして、優先度・重要度が高いほど大きい数字を割り当てるようにし、異常判定マトリクステーブル７８から抽出される安全機能が複数存在する場合は、数字の最大値を抽出するようにする。たとえば、図１４において、端子＃１と端子＃２が信号異常、端子＃３が装置故障の場合、速度制限と減速停止の両方が抽出されることになるが、安全機能として、速度制限は「１」、減速停止は「２」を割り付けておけば、数字の大きい方である減速停止（安全機能ＩＤ＝２）が最終的に選択されることになる。なお、本実施の形態では、異常判定マトリクスの実装方法としては、テーブル方式を用いて説明しているが、分岐命令方式を採用しても良い。
【００６６】
次に、異常通知手段３８，４８は、フェールセーフ遷移フラグ変数に判定結果を書き込んで（Ｓ１５−８Ｃ）、当該遷移フラグ変数が「１」以上、すなわち「異常」ならばステップＳ１６へ移行し、当該遷移フラグ変数が「０」、すなわち「無効」ならば、ステップＳ１７へ移行する。以上が異常種別判定処理の内容である。
【００６７】
このように、監視手段３７，４７は、異常判定マトリクスを用いることで、入力手段３５，３６及び入力手段４５，４６によって入力信号あるいは機能の意味づけが異なる場合においても、柔軟に対応可能となる。
【００６８】
なお、入力手段３５，３６及び入力手段４５，４６に接続される信号は、主として処理タイミングの同期、データ送受信タイミングの同期である。したがって、図１４に示すように、制御装置（制御基板）２０に実装された回路（例えば、演算装置３１，４１）の周囲や回路外に開放する配線３９Ａ，３９Ｂをプルアップまたはプルダウン等で信号を安定させた状態で、あるいは開放状態で配索し、この配線３９Ａ，３９Ｂによる受信信号の変位を監視することで外部からのノイズや異常をアンテナ検出するような場合にも、異常判定マトリクスを適用することが可能である。
【００６９】
この場合、特に、アンテナ検出用の信号の端子が異常になった場合は、優先的にノイズ（信号異常）として判定することにより精度の高い不具合内容の区別が可能となり、これにより稼働率を上げることができる。
【００７０】
（ステップＳ１６のフェールセーフ処理の詳細）
次に、ステップＳ１６で示したフェールセーフ処理の詳細を図１２に基づいて説明する。監視手段３７，４７は、フェールセーフ処理対象に対して予め設定された安全機能（フェールセーフ処理）を選択し（ステップＳ１６−１）、電動機４の種類や適用される機器・装置に応じて、フリーランの停止（ステップＳ１６−２）、減速停止（ステップＳ１６−３）、速度制限（ステップＳ１６−３）といった異常処理（モード）を選択する。
【００７１】
なお、図１３に示した選択肢を含め、電動機４の種類や適用される機器・装置に応じて、上述した異常処理以外の処理を含ませることも可能である。
【００７２】
これにより、ノイズの種類に対して複数の端子＃１〜＃ｎの出力結果に基づいて、図１３に示すように多数決的に監視手段３７，４７によって異常を判定し、ノイズの種類に関わらずノイズの存在のみによって一律に電動機４を停止させてしまい、電動機４の稼働率を低下させるという事態を改善することができる。
【００７３】
［第３の実施の形態］
次に、図１５及び図１６を用いて、第２の実施の形態との違いを中心に第３の実施の形態による安全制御システム１について説明する。上記第２の実施の形態では演算装置３１，４１の監視手段３７，４７が独立して動作していたのに対し、本実施の形態では監視手段３７，４７の異常判定結果を互いに連動させる。
【００７４】
即ち、図１５に示すように、演算装置３１，４１（監視手段３７，４７）の間にＵＡＲＴやＳＰＩ等のシリアル通信線又はパラレル通信線等の配線２１を介して相互通信可能としている。この相互通信手段としての配線２１を用いて、一方の監視手段３７，４７で管理される各入力手段３５，３６及び入力手段４５，４６で検出された異常検出回数のカウンタ変数を数１００ｍｓ〜１０００ｍｓ程度の一定間隔周期で他方の監視手段３７，４７に通信する。
【００７５】
また、その通信結果で得られた一方の監視手段３７，４７の異常検出回数は、他方の監視手段３７，４７で管理している異常検出回数とは別のメモリエリア（演算装置３１，４１のカウンタ値）に格納される。
【００７６】
監視手段３７，４７は、第２の実施の形態で示した異常種別判定の複数端子間異常検出処理にある異常端子カウンタ閾値判定とは異なる異常端子カウンタ閾値判定を行う。
【００７７】
具体的には、本実施の形態による異常端子カウンタ閾値判定処理は、図１６に示すように、各演算装置３１，４１の異常検出回数を格納したカウンタ値を読み込んだうえで（ステップＳ１５−８Ｂ−４）、他方の演算装置３１，４１のカウンタ値を読み込み（ステップＳ１５−８Ｂ−５）、一方の演算装置３１，４１の異常検出回数を格納したカウンタ値を合計・平均・前回との差分を演算した（ステップＳ１５−８Ｂ−６）後に、その中で予め選択した演算方法と閾値とを用いて、どれを閾値との比較に用いるのかを初期設定を参照して決定・選択する（ステップＳ１５−８Ｂ−７）。たとえば、同一ルートで配線したタイミング同期信号を２つの演算装置の同じ端子に入力し、当該端子の異常カウンタが共に予め定めた閾値以上となり、かつ、両異常カウンタの値の差が一定値以下の場合は、ノイズの可能性が大きいと判定することができる。
【００７８】
そして、その演算方法と閾値とで比較を行い、閾値を超える場合には電力変換器６０の運転前に予め初期設定で選択された安全機能（減速停止、フリーラン停止、速度制限など）を速やかに実行する（ステップＳ１５−８Ｂ−８）。
【００７９】
このように、本実施の形態による安全監視システムによれば、複数の演算装置３１，４１を用いると共に、監視手段３７，４７によるノイズに関する異常判定に対して柔軟性を持たせ、電動機４の稼動率の低下を抑えつつ安全性を確保することが可能となる。また、閾値を動的とすることにより、電動機４の種類や装置全体の機種・種別・環境等を考慮した異常判定への対応においても柔軟性を具備させることができ、例えば、危険度の低い信号（一過性ノイズ等）に対しては電動機４（又は電力変換器６０）の稼動を継続又はスピードを緩め、危険度の高い信号（故障・短絡・断線）に対してはその稼動を停止させるといったように、汎用性を向上させることができる。
【符号の説明】
【００８０】
１…安全制御システム
４…電動機
２０…制御装置
３１…演算装置（演算手段）
３５…入力手段
３６…入力手段
３７…監視手段
３８…異常通知手段
４１…演算装置
４５…入力手段
４６…入力手段
４７…監視手段
４８…異常通知手段
６０…電力変換器（動力変換回路）
７３…タスク
７５…監視タイマＡ
７６…監視タイマＢ
７７…監視結果ファイル（フェールセール遷移フラグ変数）
７８…異常判定マトリクステーブル
７９…閾値格納手段
８０…閾値更新手段
【図１】
0005682323.tif 000002
【図２】
0005682323.tif 000003
【図３】
0005682323.tif 000004
【図４】
0005682323.tif 000005
【図５】
0005682323.tif 000006
【図６】
0005682323.tif 000007
【図７】
0005682323.tif 000008
【図８】
0005682323.tif 000009
【図９】
0005682323.tif 000010
【図１０】
0005682323.tif 000011
【図１１】
0005682323.tif 000012
【図１２】
0005682323.tif 000013
【図１３】
0005682323.tif 000014
【図１４】
0005682323.tif 000015
【図１５】
0005682323.tif 000016
【図１６】
0005682323.tif 000017