(57)【要約】安全開閉装置（２）の作動方法において、少なくとも１つの電気装置（１８，２２）が監視され、電気機器（１０ａ，１０ｂ）へのエネルギー供給が開閉され、安全開閉装置（２）の機能（ＡＦ，Ｃ１，Ｃ２，ＣＸ）が、異なる機能（ＡＦ，Ｃ１，Ｃ２，ＣＸ）を交互に担当する少なくとも２つのマイクロプロセッサ（４ａ，４ｂ）によって実行される。そうすることによって、両マイクロプロセッサ（４ａ，４ｂ）を同一に構成し、安全性と冗長設計を達成し、多様設計を達成することが可能になる。
2004506303.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つの電気装置（１８，２２）が監視され、電気機器（１０ａ，１０ｂ）へのエネルギー供給が開閉され、安全開閉装置（２）の機能（ＡＦ，Ｃ１，Ｃ２，ＣＸ）が、異なる機能（ＡＦ，Ｃ１，Ｃ２，ＣＸ）を交互に担当する少なくとも２つのマイクロプロセッサ（４ａ，４ｂ）によって実行される安全開閉装置（２）の作動方法。
【請求項２】
マイクロプロセッサ（４ａ，４ｂ）が監視機能（Ｃ１，Ｃ２，ＣＸ）及び操作機能（ＡＦ）を電子式開閉素子（６，６ａ，６ｂ）の駆動によって実行する請求項１に記載の方法。
【請求項３】
マイクロプロセッサとして同一構成のマイクロプロセッサ（４ａ，４ｂ）が用いられている請求項１又は２に記載の方法。
【請求項４】
マイクロプロセッサ（４ａ，４ｂ）が同一のオペレーティングソフトウエアによって動作する請求項１乃至３の１つに記載の方法。
【請求項５】
一方のマイクロプロセッサ（４ａ，４ｂ）が主プロセッサ（マスタ）として主機能（ＡＦ，Ｃ１）を担当し、他方のマイクロプロセッサが副プロセッサ（スレーブ）として副機能（Ｃ２，ＣＸ）を担当する動作進行サイクル（Ｚ）が設定され、規定数の動作進行サイクル（Ｚ）の後、一方のマイクロプロセッサ（４ａ，４ｂ）が副プロセッサの状態に、他方のマイクロプロセッサが主プロセッサの状態に変わる請求項１乃至４の１つに記載の方法。
【請求項６】
各動作進行サイクル（Ｚ）中に特定の一次機能（ＡＦ，Ｃ１，Ｃ２）及び付加的にオプションの二次機能（ＣＸ）が実行され、異なる動作進行サイクル（Ｚ）中に異なる二次機能（ＣＸ）が実行される請求項５に記載の方法。
【請求項７】
動作進行サイクル（Ｚ）の期間が１００ｍｓより短い、特に３０ｍｓより短い請求項５又は６に記載の方法。
【請求項８】
各動作進行サイクル（Ｚ）中に主プロセッサ（４ａ，４ｂ）及び副プロセッサ（４ａ，４ｂ）により異なる動作進行プログラム（Ｉ，ＩＩ）が実行され、動作進行プログラム（Ｉ，ＩＩ）が互いに同期化されている請求項５乃至７の１つに記載の方法。
【請求項９】
マイクロプロセッサ（４ａ，４ｂ）が相互通信する請求項５乃至８の１つに記載の方法。
【請求項１０】
同期化がマイクロプロセッサ（４ａ，４ｂ）の相互通信（Ｋ）によって行われ、主プロセッサ（４ａ，４ｂ）の動作進行プログラム（Ｉ）中でも副プロセッサ（４ａ，４ｂ）の動作進行プログラム（ＩＩ）中でも通信（Ｋ）が同じ時点で行われる請求項８又は９に記載の方法。
【請求項１１】
動作進行サイクル（Ｚ）の終了時に通信（Ｋ）が行われる請求項９又は１０に記載の方法。
【請求項１２】
安全開閉装置（２）の動作開始の際、どのマイクロプロセッサがまず主プロセッサとして動作し、どのマイクロプロセッサが副プロセッサとして動作するかが求められる請求項５乃至１１の１つに記載の方法。
【請求項１３】
両マイクロプロセッサ（４ａ，４ｂ）の一方が原則としてまず主プロセッサとして選定される請求項１２に記載の方法。
【請求項１４】
電気機器（１０ａ，１０ｂ）へのエネルギー供給を遮断するための特に電子式開閉素子（６，６ａ，６ｂ）と、少なくとも２つのマイクロプロセッサ（４ａ，４ｂ）とを備え、マイクロプロセッサ（４ａ，４ｂ）が、監視すべき少なくとも１つの電気装置（１８，２２）及び駆動すべき開閉素子（６，６ａ，６ｂ）に接続され、マイクロプロセッサ（４ａ，４ｂ）が異なる機能（ＡＦ，Ｃ１，Ｃ２，ＣＸ）を交互に実行するように構成されている安全開閉装置。
【請求項１５】
マイクロプロセッサ（４ａ，４ｂ）が同一の構成を持っている請求項１４に記載の安全開閉装置。
【請求項１６】
マイクロプロセッサ（４ａ，４ｂ）が同一のオペレーティングソフトウエアを備えている請求項１４又は１５に記載の安全開閉装置。
【請求項１７】
マイクロプロセッサ（４ａ，４ｂ）が通信線（３４）を介して互いに接続されている請求項１４乃至１６の１つに記載の安全開閉装置。
【請求項１８】
第１のマイクロプロセッサ（４ａ，４ｂ）が主プロセッサ（マスタ）として主機能を担当し、第２のマイクロプロセッサ（４ａ，４ｂ）が副プロセッサ（スレーブ）として副機能を担当し、規定数の動作進行サイクル（Ｚ）の後、第１のマイクロプロセッサが副プロセッサの状態に、第２のマイクロプロセッサが主プロセッサの状態に変わる請求項１４乃至１７の１つに記載の安全開閉装置。
【発明の詳細な説明】
【０００１】
本発明は、安全開閉装置の作動方法及び安全開閉装置に関する。
【０００２】
安全開閉装置は開閉設備において、安全性の向上を可能にするために用いられる。そのため安全開閉装置は外部の電気装置を監視し、監視結果に応じて電気機器へのエネルギー供給を開閉する。電気機器および電気装置は同じであることがある。安全開閉装置は監視機能及び操作機能（例えば開閉機能）を備えている。その場合、電気装置とは、個々の構成要素ならびに電流回路又は開閉回路である。例えば、安全開閉装置によって電動機の投入回路及び非常遮断回路が監視される。その場合、電気機器は電動機すなわち負荷でもある。安全開閉装置は通常、負荷を直接的に遮断することはなく、特別な開閉機器を介して間接的に遮断する。特に安全開閉装置は負荷特有の開閉機器、例えば電動機用電磁接触器やその電動機用電磁接触器のための補助電磁接触器を制御する。
【０００３】
安全開閉装置は通常、上述の補助電磁接触器への電流を遮断するために、監視機能を担当する回路と、電気機械式開閉素子（例えばリレー）とを含んでいる。この種の安全開閉装置はいささか複雑な設備又は設備部分に適用され、わずかな装置が監視され、またはわずかな機器が開閉される。
【０００４】
安全開閉装置はまた組合せ安全装置とも称される。この種の組合せ安全装置の例はシーメンス（Ｓｉｅｍｅｎｓ）社のシリーズ３ＴＫ２８の「ＳＩＧＵＡＲＤ」組合せ安全装置である。この組合せ安全装置はメモリプログラム可能な制御をベースとした安全装置に比較して明らかにコストが安い。このような安全装置は非常に柔軟性に富み、特に複雑な設備に用いられる。この安全装置はプログラムによって特別な要求に適合され、一般に監視機能及び制御機能も担当する。この種の安全装置の一例は例えばシーメンス社の「ＳＩＭＡＴＩＣ」シリーズである。
【０００５】
安全開閉装置に対しては少し前までは法律的な規格が存在し、それにより特に装置の開閉素子が電気機械的構造部品として構成される必要があった。この要求は最近では無くなっている。この安全開閉装置への安全技術的な要求は今や例えば規格「ＥＮ９５４−１」に規定されている。この規定には異なる複数のカテゴリーが設けられ、カテゴリー４は最高の安全段階に相当する。カテゴリー４を達成するためには、安全技術上重要な全ての構造部品は冗長性を持ち、好ましくは多種多様性に実施されることが必要である。
【０００６】
今や安全開閉装置の回路は専ら電気機械的に構成される必要がないので、電子部品を使用する傾向にある。特に監視機能及び操作機能に関してマイクロプロセッサの使用が提案されている。マイクロプロセッサは安全上重要な部品であるので、それは規格ＥＮ９５４−１のカテゴリー４のために冗長性を持っていなければならず、好ましくは多様性をもって構成されなければならない。この要求を満たすために、ハードウェア技術的に異なる構成を持った２つのマイクロプロセッサを備えることが考えられる。同一構成のマイクロプロセッサを用いる場合、それらのそれぞれのオペレーティングソフトウエア（いわゆるファームウェア）は、多様構成を保証するために異なるものとして構成される。ハードウェア技術的に異なる構成の場合、そのオペレーティングソフトウエアは強制的に多様性を持つものとされる。しかし、オペレーティングソフトウエアの多様構成は、各マイクロプロセッサのためにオペレーティングソフトウエアを固有にプログラミングしなければならないという欠点を持っている。そのため特に適合性又は変更性、補充性は二重の実施形態で行われなければならない。
【０００７】
本発明の課題は、高度な安全段階が保証される、できるだけ単純な安全開閉装置の作動方法及びできるだけ単純な安全開閉装置を提供することである。
【０００８】
安全開閉装置の作動方法に関する課題を解決するために、少なくとも１つの電気装置が監視され、電気機器へのエネルギー供給が開閉され、安全開閉装置の機能が、異なる機能を交互に担当する少なくとも２つのマイクロプロセッサによって実行される。
【０００９】
重要な要素は、マイクロプロセッサが異なる機能を選択的に担当することである。そのため両マイクロプロセッサでは同時に同じルーチンが走ることはない。従って、いわゆる「ダイナミックな」多様構成が達成される。同時に２つのマイクロプロセッサが存在し、冗長性の安全技術的な要求も満たされる。
【００１０】
マイクロプロセッサが機能として、監視機能と、操作機能（特に、安全開閉装置内の電子的開閉素子の駆動を担当することによる開閉機能）とを担当すると好ましい。この電子的開閉素子が電気装置へのエネルギー供給を開閉する。その場合、好ましくは、全ての監視機能、すなわち、外部電気装置の監視、安全開閉装置の内部監視、さらにマイクロプロセッサの選択的監視がマイクロプロセッサによって行われる。このようにして、マイクロプロセッサが膨大かつ複雑な責務を担当することが、安全開閉装置の必要性の範囲内において良好に利用される。
【００１１】
開閉装置のできるだけ簡単な構成を保証するために、マイクロプロセッサが同一のハードウェア構成を備える。すなわち、マイクロプロセッサは同一に構成される。
【００１２】
さらにマイクロプロセッサが同一のオペレーティングソフトウエアによって動作すると好ましい。そのためマイクロプロセッサがハードウェア技術的な構成に関してもソフトウエア技術的な構成に関しても同一であると好ましい。このことは、安全開閉装置を構成する際にマイクロプロセッサの混同を生じ得ないという利点をもたらす。そのため、変更又は補充の際に、ユニット化されたオペレーティングソフトウエアに基づいてオペレーティングソフトウエアの適合及び必要なドキュメンテーションはたった一度だけで済む。
【００１３】
本発明において、一方のマイクロプロセッサが主プロセッサ（マスタ）として主機能を担当し、他方のマイクロプロセッサが副プロセッサ（スレーブ）として副機能を担当する動作進行サイクルが設定され、規定数の動作進行サイクルの後、一方のマイクロプロセッサが副プロセッサの状態に、他方のマイクロプロセッサが主プロセッサの状態に変わると好ましい。異なる機能の選択的担当は特定の動作進行サイクルにも連動される。その場合、主プロセッサの主機能は特に安全開閉装置の特有の操作機能すなわち特に開閉機能である。副機能は特に監視機能である。そのため主プロセッサは「作動装置」としての機能を遂行し、副プロセッサは「監視装置」としての機能を遂行する。
【００１４】
好ましい構成によれば、各動作進行サイクル中に特定の一次機能及び付加的にオプションの二次機能が実行され、異なる動作進行サイクル中に異なる二次機能が実行される。そうすることによって、可及的に短い動作進行サイクルを達成することができる。そのため、各動作進行サイクル中、常に重要な機能が実行され、付加的に実行必要性の少ない若干の二次機能が実行される。一次機能には特に操作機能が入る。それに対して二次機能には例えばマイクロプロセッサのメモリの監視又は装置特有の所定の検査の実施が含まれる。一次機能と二次機能とへの区分は、同じ時間インターバル内で可能な全ての障害が除去される必要がないという考えに基づいている。安全開閉装置又は周辺装置内の若干の障害は例えば数分後に初めて除去されればよい。
【００１５】
動作進行サイクルの期間は１００ｍｓより短い、特に３０ｍｓより短いと好ましい。それにより、例えば電気機器用の非常遮断スイッチを作動させた後、安全開閉装置の開閉素子によって電気装置へのエネルギー供給の遮断を開始するまで、動作進行サイクルの時間が最大に維持されることが保証される。
【００１６】
その場合、安全技術的な理由から、動作進行サイクルの個々のステップは、いわゆる「中断」動作が行われないようにシーケンシャルに順次実行される。これの意味することは、例えば非常遮断スイッチから相応の信号が出される限り、動作進行サイクルの範囲内で機能「開閉」が行われる特定の動作進行ステップが用いられることである。動作進行サイクルが他の位置にあってそのような信号が入力された場合、先ず、動作進行サイクルが再び開閉機能を有する動作進行サイクルに達する時まで待機しなければならない。
【００１７】
動作進行サイクル中に主プロセッサ及び副プロセッサにより異なる動作進行プログラムが実行され、動作進行プログラムが互いに同期化されると好ましい。そうすることによって、個々のマイクロプロセッサの動作進行サイクルが互いに無関係に走り、場合によっては、他方のマイクロプロセッサがなお「スレーブ状態」にあるにもかかわらず、一方のマイクロプロセッサが「マスタ状態」から「スレーブ状態」に変化してしまうという事態を避けることができる。その場合、少なくとも或る期間の間、多様性構成がもはや実現されなくなる。
【００１８】
特に双方向に試験を行うために、マイクロプロセッサが相互通信すると好ましい。さらに、この通信はデータ整合及びデータ交換にも用いられる。その場合、好ましくは、その都度一方のマイクロプロセッサのみが重要な役割を果たす。
【００１９】
同期化が両マイクロプロセッサの相互通信によって行われ、主プロセッサの動作進行プログラム中でも副プロセッサの動作進行プログラム中でも通信が同じ時点に又は同じ時間ウインドー内に行われると好ましい。一方の主プロセッサを幾分早く走らせた場合、主プロセッサはそのプログラムの進行中に必要に応じて停止させられ、他方のマイクロプロセッサも同様に通信のために準備完了となるまで待機させられなければならなくなる。
【００２０】
特に両マイクロプロセッサをそれぞれマスタ状態からスレーブ状態に、又はその逆へ同時に切換えることを可能にするために、通信が動作進行サイクルの終了時に行われるのが好ましい。
【００２１】
確実な作動を保証するために、安全開閉装置の動作開始の際、どのマイクロプロセッサがまず主プロセッサとして動作し、どのマイクロプロセッサが副プロセッサとして動作するかが求められると好ましい。そうすることによって、まずどれが主プロセッサであるかを明瞭かつ一義的に決定することができる。
【００２２】
両マイクロプロセッサの一方が原則的にまず主プロセッサとして選定されると好ましい。これは構造的に比較的簡単に解決可能であり、例えば両マイクロプロッサの一方にピンを差込んで主プロセッサとして選択する構造とするとよい。これとは異なり、両マイクロプロセッサの動作準備の時点に関係して選定が行われるようにしてもよい。その場合、両マイクロプロセッサの一方における時間遅延によって高速走行を幾分緩やかにすることができる。動作開始の際、マイクロプロセッサを規定のスタート状態（パワーオンリセット＝ＰＯＲ）にするために、通常のように、マイクロプロセッサに電圧を供給した後に「リセット」が行われる。マイクロプロセッサはリセット後に初めて動作準備完了となる。そのため両マイクロプロセッサの一方では特にこのリセットが比較的遅く実施される。
【００２３】
安全開閉装置に関する課題を解決するために、本発明による安全開閉装置は、電気機器へのエネルギー供給を遮断するための特に電子式開閉素子と、少なくとも２つのマイクロプロセッサとを備え、マイクロプロセッサが、監視すべき少なくとも１つの電気装置及び駆動すべき開閉素子に接続され、マイクロプロセッサが異なる機能を交互に実行するように構成される。
【００２４】
本発明の方法に関して達成される利点及び有利な構成は安全開閉装置にも適用される。安全開閉装置の有利な実施態様は従属請求項に記載されている。
【００２５】
次に、図面を参照して本発明の実施例を詳細に説明する。
【００２６】
図１の安全開閉装置２は組合せ安全装置とも呼ばれ、第１のマイクロプロセッサ４ａ及び第２のマイクロプロセッサ４ｂ、並びに全部で４つの開閉素子６を含んでいる。開閉素子６は特に電気式開閉素子として実施されている。開閉素子６は対の開閉素子６ａ，６ｂによって構成され、対の開閉素子６ａ，６ｂはそれぞれ補助電磁接触器１０ａ，１０ｂの給電線８に直列に配置されている。ここで補助電磁接触器１０ａ，１０ｂは電気機器であり、そのエネルギー供給は安全開閉装置２によって直接的に開閉される。両補助電磁接触器１０ａ，１０ｂを介して電動機用電磁接触器１２ａ，１２ｂが駆動される。これらの電動機用電磁接触器１２ａ，１２ｂは、電動機１６として構成された負荷のための三相電源１４を遮断するために用いられ、その接点は電動機１６に直列に接続されている。従って、電気機器としての電動機１６は安全開閉装置２によって間接的に開閉される。電動機１６の投入及び遮断のために、投入ボタンスイッチ２０を有する投入回路１８、及び非常遮断ボタンスイッチ２４を有する遮断回路２２が設けられている。投入回路１８および遮断回路２２はそれぞれ接続端子３０又は３２を介して安全開閉装置２に接続されている。安全開閉装置２は、電源端子２６，２８を介して直流電源の正電位点Ｌ／＋及び負電位点Ｎ／−に接続されている。安全開閉装置２は普通２４Ｖで駆動される。
【００２７】
両マイクロプロセッサ４ａ，４ｂはそれぞれ遮断回路２２の両接続端子３２及び投入回路１８の両接続端子３０に接続されている。同時に各マイクロプロセッサ４ａ，４ｂはそれぞれの開閉素子６に接続されている。
【００２８】
それぞれ対のマイクロプロセッサ４ａ，４ｂ、及び対の開閉素子６ａ，６ｂからなる開閉素子６によって、安全開閉装置２の冗長構成及び安全構成が達成される。冗長性は電動機１６の側においてそれぞれ２つの補助電磁接触器１０ａ，１０ｂ及び２つの電動機用電磁接触器１２ａ，１２ｂによって達せられる。
【００２９】
安全開閉装置２は複数の機能を持っている。その一つは、投入回路１８及び遮断回路２２からの信号を検出し、開閉素子６を操作することによって電動機１６に伝達することである。これに関連する機能は操作機能ＡＦと呼ばれている。同時に、本明細書では電気装置として示されているこれらの両回路（投入回路及び遮断回路）１８，２０が監視される。両回路１８，２０は例えば正電位点Ｌ／＋又は負電位点Ｎ／−への短絡、又は両回路間の短絡を監視される。両回路１８，２２の監視に加えて、補助電磁接触器１０ａ，１０ｂ及び電動機用電磁接触器１２ａ，１２ｂが作動安全性を監視されるようにすることもできる。安全開閉装置２はさらに自身の内部監視をも行い、しかも例えば開閉素子６がその機能性を監視される。同様に両マイクロプロセッサ４ａ，４ｂが制御され、監視される。安全開閉装置２のすべての制御機能及び監視機能は、実施例によれば、両マイクロプロセッサ４ａ，４ｂによって行われる。自身の機能性を点検するために、両マイクロプロセッサ４ａ，４ｂは双方向通信を行うべく通信線３４を介して互いに接続されている。さらに、両マイクロプロセッサ４ａ，４ｂは個々の電子式開閉素子６の駆動を制御線３６を介して行う。
【００３０】
マイクロプロセッサ４ａ，４ｂの冗長性設計と共にできるだけ高度な安全性の意味での多種多様性の実施例を可能とするために、両マイクロプロセッサ４ａ，４ｂは異なる機能を選択的に実行できるように設計される。そうすることによって、両マイクロプロセッサ４ａ，４ｂが任意の時点で同一機能ルーチンを実行するという事態を避けることができる。両マイクロプロセッサ４ａ，４ｂはそのハードウェア技術的な構成に関してもソフトウエア技術的な構成に関しても同一に構成される。異なる機能を選択的に担当することによって、擬似的に多様化ダイナミック構造を実現することができる。その場合、ソフトウエア技術的な構成とは、ファームウェアとも称され通常読出し専用メモリ（ＲＯＭメモリ）内に格納されているマイクロプロセッサ用オペレーティングソフトウエアである。
【００３１】
次に、安全開閉装置２、特に両マイクロプロセッサ４ａ，４ｂの作動方法について、図２を参照して詳細に説明する。すでに述べたように、安全開閉装置２によって多数の機能が実行される。これらの機能は例えば主機能と副機能とに分割される。主機能には例えば操作機能ＡＦ及び第１のセットの監視機能Ｃ１が含まれる。これらの操作機能は投入回路１８及び遮断回路２２の投入信号及び遮断信号の検出、並びにそれらのさらなる処理を含む開閉素子６の駆動を含んでいる。副機能の項目には、例えば、第２のセットの監視機能Ｃ２及び他のセットの監視機能ＣＸが含まれる。以上の区分は強制的なものではない。
【００３２】
主機能を実行するマイクロプロセッサは主プロセッサ又はマスタと称され、副機能を実行する他方のマイクロプロセッサは副プロセッサ又はスレーブと称される。
【００３３】
安全開閉装置の動作開始の際には、すなわち、同装置に電源電圧が印加された際には、まず第１の方法ステップＡにおいて、両マイクロプロセッサのどちら（例えば４ａ）が主プロセッサとして動作するべきかが求められて決定される。その場合、好ましくは、両マイクロプロセッサ４ａ，４ｂの一方は主プロセッサとして固定的に用いられ、その主プロセッサは安全開閉装置の動作開始の後にいつも先ず主プロセッサとして振舞う。これは好ましくはマイクロプロセッサ４ａ，４ｂの初期化の際に行われる。続く方法ステップＢにおいて、安全開閉装置２が初期化され、全ての構成要素の内部検査が行われる。この検査に続いて、安全開閉装置２が動作準備完了状態となり、固有の動作進行サイクルＺが開始される。
【００３４】
各マイクロプロセッサは主プロセッサ（マスタ）として選定されるか、又は選定されなかったかに従い、マスタ特有の動作進行プログラムＩ又はスレーブ特有の動作進行プログラムＩＩが開始される。マスタ特有の動作進行プログラムＩの場合、まず操作機能ＡＦが実行される。初めに、データ交換を行い、又は相互検査を行うために、第２のマイクロプロセッサ（例えば、４ｂ）との通信Ｋが行われる。それに続くステップにおいて第１のセットの監視機能Ｃ１が実行され、続いて動作進行サイクルの終りで再び通信Ｋが行われる。続いて「マスタ」から「スレーブ」への単なる状態切換が行われる。この切換は規定数の動作進行サイクルＺが進行した後に初めて行われてよい。続いて動作進行サイクルＺが再び初めから開始される。
【００３５】
マイクロプロセッサ（例えば、４ａ）は先行する動作進行プログラムＺの終りにおいて自らを状態「スレーブ」にセットするので、新たな動作進行サイクルＺにおいてスレーブ特有の動作進行プログラムＩＩが開始される。これは通信Ｋで、しかもマスタ特有の動作進行プログラムＩにおける第１の通信Ｋが行われるのと同じ時点で始る。
【００３６】
それに続いて副機能、すなわち第２のセットの監視機能Ｃ２及び他のセットの監視機能ＣＸが実行される。その場合、第２のセットの監視機能Ｃ２の個々の機能はマスタ特有の動作進行プログラムＩに従って行われる第１のセットの監視機能Ｃ１とは異なっている。他のセットの監視機能ＣＸは、各動作進行サイクルＺでは実行されないいわゆる二次機能を含んでいる。操作機能ＡＦ及び監視機能セットＣ１，Ｃ２は、各動作進行サイクルで実行される一次機能を示すものである。
【００３７】
多数の個々の他のセットの監視機能ＣＸが存在し、それらは動作進行プログラムＩＩにおいて交互に実行される。制限された数の他の監視機能のみの実行によって、できるだけ短い時間の動作進行サイクルＺ、特に３０ｍｓ以下の動作進行サイクルを達成することができ、それにより操作機能ＡＦが少なくとも３０ｍｓの時間ウインドー内で実行されることが保証される。このことは、電動機６の高速遮断を保証するために、非常遮断ボタンスイッチ２４が操作された時に特に重要である。
【００３８】
この方法ステップに続いて、再び他のマイクロプロセッサ（例えば、４ｂ）との通信Ｋが行われ、それに続いてマスタへの状態切換が行われる。通信Ｋによって同時に両マイクロプロセッサ４ａ，４ｂの時間的な同期化が行われる。この同期化は、両マイクロプロセッサ４ａ，４ｂの一方のみがその都度マスタ又はスレーブであり得るように作用する。同時に両マイクロプロセッサ４ａ，４ｂがマスタ又はスレーブであることは決して必要がない。
【００３９】
上述の動作進行サイクルＺの利点は、各マイクロプロセッサ４ａ，４ｂが異なる責務を固定の時点で実行することにある。すなわち、責務の分配が多様性に富んでいることである。同時に各マイクロプロセッサ４ａ，４ｂは責務全体を担当している。そのため両マイクロプロセッサ４ａ，４ｂは冗長性をもって構成されている。両マイクロプロセッサ４ａ，４ｂの相互通信Ｋによって、特に動作進行プログラムＩ．ＩＩの終了時の通信Ｋによって、互いに両動作進行プログラムＩ，ＩＩの同期化が保証される。
【００４０】
ここで説明した実施例では、操作機能ＡＦ及び第１のセットの監視機能Ｃ１によって表される主機能と、第２のセットの監視機能Ｃ２及び他のセットの監視機能ＣＸによって表される副機能とに区分することによって、マイクロプロセッサ４ａ，４ｂに異なるルーチンを走らせることが保証される。
【００４１】
安全技術的な要求に関しては安全要求を満たすための前提条件が規格ＥＮ９５４−１のカテゴリー４に従って与えられる。同時にこの構成は相当の構造的利点も持っている。第一に、両マイクロプロセッサ４ａ，４ｂの同一の構成によってその間違った交換が起こり得ないことである。さらにユニット化されたオペレーティングソフトウエアに基づいて急速な発展又は急速な変化、適合が可能になる。なぜなら、単にオペレーティングソフトウエアを変更し、ドキュメントを準備すればよいからである。特に変更は、両マイクロプロセッサ４ａ，４ｂが同一の構成に基づいてユニット化されたプラットフォームを備えることによって簡単に行うことができる。
【図面の簡単な説明】
【図１】投入回路及び遮断回路を備えた電気負荷用安全開閉装置の極度に単純化した回路図。
【図２】回路図における動作進行サイクルを示すフローチャート。
【符号の説明】
２　安全開閉装置
４ａ　第１のマイクロプロセッサ
４ｂ　第２のマイクロプロセッサ
６　開閉素子
６ａ，６ｂ　開閉素子対
８　給電線
１０ａ　補助電磁接触器
１０ｂ　補助電磁接触器
１２ａ　電動機用電磁接触器
１２ｂ　電動機用電磁接触器
１４　三相電源
１６　電動機
１８　投入回路
２０　投入ボタンスイッチ
２２　遮断回路
２４　非常遮断スイッチ
３４　通信線
３６　制御線
Ｉ　動作進行プログラム
ＩＩ　動作進行プログラム
ＡＦ　操作機能
Ｋ　通信
Ｃ１　監視機能
Ｃ２　監視機能
ＣＸ　監視機能
Ｚ　動作進行サイクル
【図２】
2004506303.tif 000003
【国際公開パンフレット】
2004506303.tif 000004
2004506303.tif 000005
2004506303.tif 000006
2004506303.tif 000007
2004506303.tif 000008
2004506303.tif 000009
2004506303.tif 000010
2004506303.tif 000011
2004506303.tif 000012
2004506303.tif 000013
2004506303.tif 000014
2004506303.tif 000015
2004506303.tif 000016
2004506303.tif 000017
2004506303.tif 000018
2004506303.tif 000019
2004506303.tif 000020
2004506303.tif 000021
2004506303.tif 000022
2004506303.tif 000023
【国際公開パンフレット（コレクトバージョン）】
2004506303.tif 000024
2004506303.tif 000025
【国際調査報告】
2004506303.tif 000026
2004506303.tif 000027
2004506303.tif 000028
2004506303.tif 000029