(57)【要約】【課題】  無縁回線を冗長化することにより伝送信頼性を向上させるとともに、回線間でのデータ伝送遅れにばらつきがあっても待ち合わすことなく処理を実行しつつ相互チェックも確実に行うことができ、冗長化を従来よりも低いコストで提供すること。  【解決手段】  複数無線制御部の少なくとも１回線以上で、前記通信データを正常受信できた場合、安全関連信号制御部にてそれら正常受信できた通信データの示す安全関連信号状態を使って駆動・停止制御処理をし、異常受信や受信の無かった無線回線のデータは該処理から除外する。また冗長化した無線回線のうち、いずれか１回線は他の回線に比べ伝送信頼性の低い無線方式とし、通信障害を検出した場合には所定の警報を発する。【選択図】図６
2007026010.tif 000002
【特許請求の範囲】
【請求項１】
非常停止スイッチやイネーブルスイッチなどにより生成されるいわゆる安全関連信号の入力処理を行う安全関連信号入力処理装置と、入力された安全関連信号の状態に応じてモータやアクチュエータなど危険部位の駆動・停止制御を行う安全関連信号制御装置とから構成され、前記安全関連信号入力処理装置には安全関連信号入力インタフェース部と、少なくとも２回線以上の無線制御部を備え、前記安全関連信号制御装置には少なくとも２回線以上の無線制御部と、受信した安全関連信号をもとに危険部位の駆動・停止制御を行う安全関連信号制御部とを備え、前記安全関連信号入力処理装置と前記安全関連信号制御装置間で少なくとも２回線以上の無線回線を使い、同一タイミングの安全関連信号状態を通信データとして該複数回線を経由して授受する安全関連信号処理システムの無線通信方法において、
前記安全関連信号制御装置の複数の前記無線制御部の少なくとも１回線以上で、前記通信データを正常受信できた場合、前記安全関連信号制御部にて最初に正常受信できた前記通信データの示す安全関連信号状態を使って駆動・停止制御処理を行うことを特徴とする安全関連信号処理システムの無線通信方法。
【請求項２】
前記安全関連信号処理システムにおいて、前記安全関連信号入力処理装置の前記安全関連信号入力インタフェース部では、前記通信データにタイムスタンプを付した後、該通信データを複数回線の前記無線制御部にて送信し、
前記安全関連信号制御装置では、いずれか1回線の前記無線制御部から前記通信データを正常受信した場合、前記安全関連信号制御部において前記通信データに付されている前記タイムスタンプをチェックし、
最新データであれば他の前記無線制御部からの正常受信を待たずに前記通信データの安全関連信号状態を使って安全関連信号処理を行うとともに前記通信データを保存し、
過去に他の前記無線制御部から受信済みの前記通信データとタイムスタンプが同じデータであれば、保存された過去の受信済みの前記通信データと照合を行って、前記安全関連信号入力状態が一致していれば廃棄し、不一致であれば所定の故障処理を実行すること特徴とする請求項１に記載の安全関連信号処理システムの無線通信方法。
【請求項３】
前記安全関連信号処理システムにおいて、前記安全関連信号入力処理装置と前記安全関連信号制御装置間の少なくとも２回線以上の前記無線回線のうち、いずれか１回線は他の回線に比べ伝送信頼性の低い無線方式とし、該低信頼性回線の通信障害を検出した場合には前記安全関連信号入力処理装置および前記安全関連信号制御装置の一方または両方にて警報を発することを特徴とする請求項１、または請求項２に記載の安全関連信号処理システムの無線通信方法。
【請求項４】
前記安全関連信号処理システムにおいて、いずれか１回線の前記低信頼性回線にて通信障害を検出した場合には、該通信障害が回復するまでの間優先度の高い安全関連信号のみを授受することを特徴とする請求項３に記載の安全関連信号処理システムの無線通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、非常停止信号などの安全関連信号を、複数無線回線を使って伝送する安全関連信号処理システムの無線通信方法に関する。  
【背景技術】
【０００２】
従来の安全関連信号処理系では、非常停止信号やインタロック信号処理回路などはハードワイヤで１：１に結線され、特に重要な部位は二重化、冗長化されており、プログラマブルなハードデバイスやソフトウェアを介さずに構成されていた（例えば、非特許文献１、ｐ．８  図２．１参照）。
しかし省配線化のため、安全部品間をシリアルバスで結合する安全関連信号の通信システム（安全フィールドバス）が指向されるようになり、例えばＳａｆｅｔｙＢｕｓＰや、ＡＳｉＳａｆｅｔｙ、ＤｅｖｉｃｅＮｅｔＳａｆｅｔｙなど多くのオープンな安全バスシステムが発表されている（例えば、特許文献１、あるいは非特許文献１、ｐ．３８  図４．５参照）。
さらに一層の省配線化と作業性の向上のため、安全バスシステムを無線化するものもある（例えば、特許文献２参照）。一方無線伝送の信頼性向上手段として、指向性の低い電波媒体と指向性の高い光通信手段とを併用する技術が開示されている（例えば、特許文献３）。
【０００３】
図７は典型的なハードワイヤ結線された非常停止回路例であり、２０は非常停止スイッチであり、冗長化された接点２１ａ、２１ｂを持ち、制御線２６ａ、２６ｂによって配線され、電磁接触器２２ａ、２２ｂをＯＮ／ＯＦＦして、動力機器２４に供給される主回路電源２３からの電力を制御する。システムがＡ系／Ｂ系と二重化されているため、どこか１箇所に故障があっても、非常停止を行わせることができる。また、プログラマブルなデバイスを含まないため、プログラミングによるバグの混入の危険性もない。
【０００４】
これに対し、図８、図９はハードワイヤ部分を安全フィールドバス４´で置き換えた従来例である。特許文献１ないし特許文献２に記載の手段と同一ではないが、ほぼ対応する構成となっている（特許文献２については別途詳述する）。
図８では、非常停止スイッチ２０の接点２１ａ、２１ｂの信号状態や、イネーブルスイッチや防護装置のセンサ信号などのいわゆる「安全関連信号」の信号入力は、安全関連信号入力処理装置２によって取り込まれ、安全フィールドバス４´を経由して、安全関連信号制御装置３に伝送される。そこで所定の制御シーケンスが実行されて安全関連信号出力として出力され、例えば動力機器２４に供給されている電力をカットするための電磁接触器２２ａ、２２ｂを制御することができるようになっている。安全関連信号入力処理装置２、安全関連信号制御装置３は通常ＣＰＵ１０ａ、１０ｂ、１３ａ、１３ｂなど二重化されたプログラマブルデバイスを含み、相互に故障監視を行うように構成されている。安全フィールドバス４´上の通信手順を制御する通信制御部（Ｔ／Ｒ）７´´、８´´は、図中では単一のブロックで示してあるが、実際にはこの部分の構成は種々あり、図１０を用いて後述する。
二重化されたＣＰＵ同士が相互に行う故障監視の具体的手段としては、例えば特許文献１の場合では、２つのＣＰＵのメモリイメージや処理結果、通信チャネルのデータ等の比較をサイクリックに行い、差がある場合には比較失敗変数：Ｖｆを増分し、成功すれば減分し、Ｖｆの値が所定の上限値を超えた場合に、フェールセーフ（「非常事態回避」）な故障処理に移行するとする技術が開示されている。こうすることにより両ＣＰＵのメモリイメージ等が一致するまでの間の一定の遅れを猶予する方法が取られている。
【０００５】
さらに図９では安全関連信号入力処理装置２、安全関連信号制御装置３など役割の固定されたデバイスではなく、さらに汎用的な安全関連機器として、安全ＰＬＣ４０や安全Ｉ／Ｏ４１＿ｉ（I＝０、１、・・・）で構成された典型的な構成を示している。こうした構成は先に述べたＳａｆｅｔｙＢｕｓＰやＤｅｖｉｃｅＮｅｔＳａｆｅｔｙなどのオープンな安全フィールドバス技術として情報が開示されており、概略は下記非特許文献１にも示されている。
【０００６】
図１０に示した４通りのシステム構成図は、非特許文献１に記載の冗長化された安全関連信号処理システムにおけるバス接続形態のバリエーションを示すものである。本文献では図示したように４通りのバス接続モデルがあるとしており、４２ａ＿ｉ、４２ｂ＿ｉ（i＝０、１）が安全層、４３＿ｉ（ｉ＝０、１）が伝送層、４４が伝送媒体を示している。
モデルＡでは、安全層は二重化されているが、伝送層はそのうちの一方（４２ｂ＿ｉ）とだけ接続されている。モデルＢでは、伝送層、伝送媒体も完全に冗長化され、安全層４２ａ＿ｉ、４２ｂ＿ｉに対応してそれぞれ４３ａ＿ｉ、４３ｂ＿ｉと４４、４４´が接続されている。モデルＣは安全層、伝送層は冗長化されているが、伝送媒体は共有となっている。モデルＤでは伝送層は冗長化されていないが、冗長化された安全層で共有化されているため、２つの安全層は独立して通信データを送受信することができる。
【０００７】
図１１は特許文献２に示された無線通信を利用した実施形態のひとつを引用したものである。（図中の番号は変えてある。）教示操作盤５０とロボット制御部６０が冗長化された複数の無線通信手段（送信手段５９＿ｉ、６６、受信手段５８、６７＿ｉ、）で接続され、教示操作盤５０に取り付けられた非常停止スイッチ２０の接点状態をロボット制御部６０の冗長化された非常停止制御回路６５＿ｉに伝えるようになっている。
この発明では非常停止信号の伝送信頼性を向上させるための手段として、複数の非常停止パケットデータを発生させ、そのうちのひとつでも非常停止制御回路６５＿ｉに届けば、サーボアンプ６８への動力供給をカットできるとしている。
さらに、複数の非常停止制御回路６５＿ｉ間で相互に故障監視を行って、制御回路の信頼性を向上させることとし、その具体的な監視の実施例として非常停止制御回路６５＿ｉの状態（非常停止信号状態）を短周期で比較し異なっていれば「非常停止機能関連の故障」を報知し、ロボットを停止させることとしている。
また無線通信がノイズ等で妨害され非常停止状態を伝達するパケットが届かなかった場合、全非常停止制御回路６５＿ｉを作動させロボットを非常停止させる実施例も提案している。
【０００８】
このように、従来の安全関連信号処理システムにおける通信方法では、冗長化して入力された安全関連信号を、単一または冗長化した伝送層により有線または無線媒体で伝送し、これを受信した冗長化された安全関連信号制御部にて信号処理し、冗長化された安全関連信号制御部では受信した信号状態を相互に比較することにより故障監視を行うという手順がとられていた。
【特許文献１】特開平１０−３２０００３号公報（項０００５、００１５、００４４〜００４８、図１）
【特許文献２】特開２００４−１４８４８８号公報（項００１６〜００２２、図８、９）
【特許文献３】特許第３３５２８３６号公報（項００１４〜００１７、図１）
【非特許文献１】田中紘一  訳「オートメーション用安全バスシステム」NPO安全工学研究所、２００３年９月２４日、ｐ．７−９、ｐ．３８  図４．５（原著：Ｄ．ライネルト、Ｍ．シェーファー、”Sichere Bussysteme fur die Automation”、 発行：Huethig GmbH & Co KG、２００１年４月２３日）
【発明の開示】
【発明が解決しようとする課題】
【０００９】
従来の安全関連信号処理システムにおける無線通信方法では、従来の安全フィールドバスのシリアル伝送技術をベースとし、これを無線通信に置き換えようとするものである。その際無線回線は有線に比べ伝送信頼性が低いために回線の冗長化によって信頼性向上を図るという手段をとり、一般的には高コストとなってしまうという問題があった。
さらに、無線回線を冗長化しても、冗長化された安全関連信号制御部において相互監視を行う際、安全関連信号の受信状態に不一致があったり伝送エラーが発生していたりすると故障の扱いとしていた。このため誤動作防止にはなるが、実際には冗長化することで伝送の信頼性が向上するというよりは、むしろ通信頻度を上げることによって伝送エラーとなる頻度も引き上げ、たまたまいずれか１回線でも伝送エラーが発生するとシステム全体が故障となってしまって、システム故障頻度を上げ稼働率を下げる危険性があった。そもそも伝送エラーは、伝送層が検出して取り除いた正常な誤り制御の結果であるのに、それを故障扱いとするという二重の無駄な誤り処理となっているという問題があった。
【００１０】
また無線伝送処理は信号伝送空間を共有することから、ＣＳＭＡ／ＣＡ（キャリア・センス・マルチプル・アクセス／コンテンション・アボイダンス）方式のように他システムの通信によるキャリア周波数を検知した場合には送信を一時待機させたり、ノイズ等の発生で再送が行われたりして、通信データの送信が完了するまでに時間を要すことがあった。このため複数無線回線を使って同時にデータを送信させようとしても、実際には送信完了までの時間のばらつきが大きくなり、安全関連信号制御部での状態不一致の要因となりやすく、あるいは状態一致するまでの待ち時間を有線の場合より大きくとらなければならないという問題もあった。
【００１１】
本発明はこのような問題点に鑑みてなされたものであり、無縁回線を冗長化することにより伝送信頼性を向上させるとともに、回線間でのデータ伝送遅れにばらつきがあっても待ち合わすことなく処理を実行しつつ相互チェックも確実に行うことができ、冗長化を従来よりも低いコストで提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記問題を解決するため、本発明は、次のようにしたのである。
請求項１に記載の発明は、
非常停止スイッチやイネーブルスイッチなどにより生成されるいわゆる安全関連信号の入力処理を行う安全関連信号入力処理装置と、入力された安全関連信号の状態に応じてモータやアクチュエータなど危険部位の駆動・停止制御を行う安全関連信号制御装置とから構成され、前記安全関連信号入力処理装置には安全関連信号入力インタフェース部と、少なくとも２回線以上の無線制御部を備え、前記安全関連信号制御装置には少なくとも２回線以上の無線制御部と、受信した安全関連信号をもとに危険部位の駆動・停止制御を行う安全関連信号制御部とを備え、前記安全関連信号入力処理装置と前記安全関連信号制御装置間で少なくとも２回線以上の無線回線を使い、同一タイミングの安全関連信号状態を通信データとして該複数回線を経由して授受する安全関連信号処理システムの無線通信方法において、
前記安全関連信号制御装置の複数の前記無線制御部の少なくとも１回線以上で、前記通信データを正常受信できた場合、前記安全関連信号制御部にて最初に正常受信できた前記通信データの示す安全関連信号状態を使って駆動・停止制御処理を行うことを特徴としたものである。
【００１３】
また請求項２に記載の発明は、
前記安全関連信号処理システムにおいて、前記安全関連信号入力処理装置の前記安全関連信号入力インタフェース部では、前記通信データにタイムスタンプを付した後、該通信データを複数回線の前記無線制御部にて送信し、
前記安全関連信号制御装置では、いずれか1回線の前記無線制御部から前記通信データを正常受信した場合、前記安全関連信号制御部において前記通信データに付されている前記タイムスタンプをチェックし、
最新データであれば他の前記無線制御部からの正常受信を待たずに前記通信データの安全関連信号状態を使って安全関連信号処理を行うとともに前記通信データを保存し、
過去に他の前記無線制御部から受信済みの前記通信データとタイムスタンプが同じデータであれば、保存された過去の受信済みの前記通信データと照合を行って、前記安全関連信号入力状態が一致していれば廃棄し、不一致であれば所定の故障処理を実行することを特徴としたものである。
【００１４】
また請求項３に記載の発明は、
前記安全関連信号処理システムにおいて、前記安全関連信号入力処理装置と前記安全関連信号制御装置間の少なくとも２回線以上の前記無線回線のうち、いずれか１回線は他の回線に比べ伝送信頼性の低い無線方式とし、該低信頼性回線の通信障害を検出した場合には前記安全関連信号入力処理装置および前記安全関連信号制御装置の一方または両方にて警報を発することを特徴としたものである。
【００１５】
そして請求項４に記載の発明は、
前記安全関連信号処理システムにおいて、いずれか１回線の前記低信頼性回線にて通信障害を検出した場合には、該通信障害が回復するまでの間優先度の高い安全関連信号のみを授受することを特徴としたものである。
【発明の効果】
【００１６】
請求項１に記載の発明によると、冗長化された複数無線回線の中のいくつかに伝送エラーが検出されても、安全関連信号制御部では故障扱いとせず、いずれか１回線でも正常に通信が行われていればシステムが正常に動作可能であることから、無線回線を冗長化することによって正常に安全関連信号を授受するチャンスが増え、システム全体の伝送信頼性を向上することができる。
【００１７】
また、請求項２に記載の発明によると、通信データにタイムスタンプを付すことにより、複数の無線回線を経由して非同期に届く通信データのうち、同一タイミングで発行されたものがどれとどれであるかを正しく識別できるため、先に正常受信できた通信データを、待たすことなく即安全関連信号制御処理に回すことができ効率的である。一方、遅れて正常受信した通信データと先行して受信した通信データを正しく照合できるため、従来と同様なシステムの故障監視能力を持つことができる。
【００１８】
そして、請求項３および請求項４に記載の発明によると、無線回線を冗長化する際に信頼性向上のために高信頼性かつ高コストの無線通信制御部を採用する代わりに、電磁環境の変化に敏感な比較的信頼性の低い無線方式を採用するため、従来に比べ低コストで冗長化を実現することができることに加え、システムを稼動できる状況ではシステムを非常停止させるのではなくユーザに電磁環境の悪化を早期に通知することによって、障害を取り除いたり、システムをスムーズに安全な状態に移行させたりすることができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の方法の具体的実施例について、図に基づいて説明する。
【実施例１】
【００２０】
図１は、第１の発明の方法を実施する安全関連信号処理システムのシステム構成図である。図において安全関連信号処理システム１は、安全関連信号入力処理装置２と安全関連信号制御装置３と冗長化された無線回線４ａ、４ｂとから構成されている。
また本実施例では安全関連信号入力処理装置２には二重（Ａ系／Ｂ系）に冗長化された接点２１ａ、２１ｂを持つ非常停止スイッチ２０が接続されており、一方安全関連信号制御装置３は動力線２５の途中に設けられた冗長化された電磁接触器２２ａ、２２ｂに接続されており、ユーザの非常停止操作、または安全関連信号処理システムの検知したシステム故障状態に応じて、主回路電源２３から危険部位である動力機器２４への電力供給用をカットするようになっている。
【００２１】
安全関連信号入力処理装置２は内部の主要部分がＡ系／Ｂ系に冗長化設計された安全関連信号入力インタフェース部５と、同じく冗長化設計された無線制御部７ａ、７ｂからなっており、さらに安全関連信号入力インタフェース部５の内部は、冗長化された安全関連信号入力信号の取り込みを行うＤＩ９ａ、９ｂとそれを制御し安全関連信号入力状態を通信データに編集するＣＰＵ１０ａ、１０ｂから構成されている。ＣＰＵ１０ａ、１０ｂはそれぞれの冗長系（Ａ系／Ｂ系）に対応した無線制御部７ａ、７ｂと接続されており、編集した通信データを、それぞれの無線回線を通して、安全関連信号制御装置３に送信することができる。またＣＰＵ１０ａ、１０ｂはＣＰＵ相互監視ライン１１を通してお互いの安全関連信号入力状態や通信処理状態を周期的に照合し、相手ＣＰＵの故障検知を行っている。
【００２２】
安全関連信号制御装置３は内部の主要部分がＡ系／Ｂ系に冗長化された安全関連信号制御部６と、同じく冗長化設計された無線制御部８ａ、８ｂからなっており、さらに安全関連信号制御部６の内部は、無線制御部８ａ、８ｂから受信した通信データを処理し安全関連信号状態に応じて所定の安全関連信号出力制御を行うＣＰＵ１３ａ、１３ｂと安全関連信号の出力を冗長化して行うＤＯ１４ａ、１４ｂとから構成されている。ＣＰＵ１３ａ、１３ｂはそれぞれの冗長系（Ａ系／Ｂ系）に対応した無線制御部８ａ、８ｂと接続されている。またＣＰＵ１３ａ、１３ｂはＣＰＵ相互監視ライン１５を通してお互いの受信データを交換したり、安全関連信号制御状態を周期的に照合したりして、相手ＣＰＵの故障検知を行っている。さらにＡ系ＤＯ１４ａへの出力状態をＢ系ＣＰＵ１３ｂで監視し、またＢ系ＤＯ１４ｂへの出力状態をＡ系ＣＰＵ１３ａで監視するための出力監視ライン１６も配線されている。
【００２３】
図２は安全関連信号入力インタフェース部５のＡ系ＣＰＵ１０ａの安全関連信号入力制御処理手順と、安全関連信号制御部６のＡ系ＣＰＵ１３ａの安全関連信号制御処理を示すフローチャートである。この図を用いて本発明の方法を順を追って説明する。図中、各処理ステップはＳ＋“番号”を付して示している。
【００２４】
安全関連信号入力インタフェース部５のＡ系ＣＰＵ１０ａの安全関連信号入力制御処理手順では、はじめにＳ１０００でＤＩ９ａへのアクセスタイミングになっているか判断する。アクセスタイミングとなるまで処理をループして待ち合わせ、アクセスタイミングになるとＳ１００１に移る。Ｓ１００１でＤＩ９ａから安全関連信号入力状態を読込むと、Ｓ１００２でＣＰＵ相互監視ライン１１を経由して入力状態を交換し、Ｓ１００３で入力状態が一致しているか等のチェックを行って相手ＣＰＵの故障検知を行う。
不一致の場合Ｓ１００７にて所定の故障処理モードとなるが、正常に一致している場合には、Ｓ１００４、Ｓ１００５にて今回送信すべき通信データの編集と、タイムスタンプの付加を行って、Ｓ１００６にてＡ系の無線制御部７ａに通信データを送信させ正常送信完了すると、再びＳ１０００に戻って、次回のＤＩ９ａアクセスタイミングを待つ。こうした一連の動作を所定の周期で繰り返す。
タイムスタンプは、受信側において、Ａ系／Ｂ系各通信データの同一性判定に使用するので、送信側においては、Ａ系／Ｂ系で同一のものをセットしなければならない。例えば、ＤＩ９ａをアクセスする毎にインクリメントされるシーケンス番号、または、ＣＰＵ１０ａ、１０ｂが管理している、お互いに合わせた時刻やカウンタ値をセットする。
ＤＩアクセスはＡ系／Ｂ系で同期をとって行っているため、インクリメントされるシーケンス番号は、容易に同一の値をセットすることができる。
ＣＰＵ１０ａ、１０ｂ毎に動作している発振子をベースとした時刻やカウンタ値を使用する場合には、例えば、両者を合わせる手段や、所定の許容誤差内にて両者の中間値をタイムスタンプとする手段など、Ａ系／Ｂ系のタイムスタンプ値を一致させる手段が別途必要である。
また、このフローチャートはＡ系ＣＰＵ１０ａのものであるが、Ｂ系ＣＰＵ１０ｂでもまったく同様のフローとなっており、同じタイミングで動作する。
【００２５】
一方、安全関連信号制御部６のＡ系ＣＰＵ１３ａの安全関連信号制御処理手順では、はじめにＳ２０００にてＡ系無線制御部８ａでデータを正常受信したかチェックし、受信していなければＳ２５００へ移る。
受信していればＳ２００１に移ってＡｃｋパケットを無線制御部８ａ経由で安全関連信号入力装置のＡ系側に返信し、Ｓ２００２にてＣＰＵ相互監視ライン１５経由でＢ系ＣＰＵ１３ｂに今回の受信データを通知し、Ｓ２００３において図３のフローチャートに示す受信データ処理を行い、さらにその出力結果がＢ系側と一致しているか、Ｓ２００４にて出力監視ライン１６を経由して、自ＣＰＵでの出力結果とチェックした後、一致していればＳ２００５へ移り、一致していなければＳ２００８で故障処理を行う。
Ｓ２００５においてはＢ系無線制御部８ｂで通信データを正常受信しているか、ＣＰＵ相互監視ライン１５を経由して確認する。Ｂ系での受信があれば、Ｓ２００６にて図３のフローチャートに示す受信データ処理をする。最後に前記所定の受信処理で行った相手方ＣＰＵ１３ｂからＤＯ１４ｂに出力した結果を、出力監視ライン１６を経由して、自ＣＰＵでの出力結果と照合し相手ＣＰＵの故障検知を行う。このフローチャートはＡ系ＣＰＵ１３ａのものであるが、Ｂ系ＣＰＵ１３ｂでもまったく同様のフローとなっている。
【００２６】
このように、安全関連信号制御部６ではＡ系ＣＰＵであってもＡ系／Ｂ系いずれか先に正常受信した通信データを使って所定の受信処理を行い、無線制御部８ａで受信異常と判断した通信データを処理に使用もしないがシステムの故障扱いともしないことから、いずれか１回線でも正常に通信が行われていればシステムが正常に動作可能であるので、無線回線を冗長化することによって正常に安全関連信号を授受するチャンスが増え、システム全体の伝送信頼性を向上することができるのである。
【実施例２】
【００２７】
図３は前記第１の処理手順に示した受信データ処理（Ｓ２００３、Ｓ２００６）で、第２の処理手順に関するステップを含んだフローチャートである。また図４は通信データフォーマット例と、受信データを保存する受信データログテーブル例である。
【００２８】
通信データフォーマット１００は、ヘッダ部１０１、タイムスタンプフィールド１０２、安全関連信号入力状態フィールド１０３、誤り制御コードフィールド１０４からなる。ヘッダ部は通常送信先アドレス、送信元アドレス、データパケットの種別、データ長などの情報が含まれている。タイムスタンプフィールド１０２にセットされるタイムスタンプは、ＤＩアクセス毎にインクリメントされるシーケンス番号であってもよいが、安全関連信号入力インタフェース部５のＣＰＵ１０ａ、１０ｂが管理している内蔵クロックの示す時刻情報やカウンタ値であってもかまわない。
誤り制御コードフィールド１０４としては、例えばバースト誤りに強い誤り検出能力を持つＣＲＣコードや、強力な誤り訂正能力を持つリード・ソロモン符号などがあるが、この他にも特定のデータフィールドに置かれるのではなくデータ全体を符号化する畳込み符号などを使うこともできる。
またこの通信データは図１０の安全層４２に相当する安全関連信号入力インタフェース部５と安全関連信号制御部６との間の通信データフォーマットであるが、伝送層４３としての各無線制御部では伝送制御のためのヘッダ、トレーラや誤り制御符号を別途付加している。またＡｃｋパケットフォーマット例１１０を示す。このＡｃｋパケットも同様に安全層４２相当機能部分での送達確認手段として行われるものであり、伝送層としての無線制御部間で行われる伝送制御・誤り制御のための手順としては別途の方法で行われているものとする。
【００２９】
受信データログテーブル２００は、安全関連信号制御部６のＣＰＵ１３ａ、１３ｂがそれぞれのメモリ上に持つログエリアであり、正常受信した通信データを保存し、別の冗長系で同一タイムスタンプのデータを受信した場合にデータの内容を比較照合するために使用するものであり、受信データを保存するレコードエリア（２０５＿ｉ、２０６＿ｉ、２０７＿ｉ、ｉ＝０、１、・・・、ｎ）はサイクリックバッファとして使用されるようになっている。そして有効なレコードエリアを示すために、照合待ちの受信データ中、最古のレコードのポインタ２０３と最新のレコードのポインタ２０４を持っている。
照合の終わったレコードと、照合済みのレコードより古いタイムスタンプのレコード、および許容受信遅れの時間以上経過しても他系からのデータ受信がないレコードは、片系未受信のままタイムオーバの扱いとなり、レコード領域は逐次開放される。まだ１回も受信していなかった最新のタイムスタンプのついた通信データを受信した際は、最新レコードポインタを一つ進めて今回受信した通信データのタイムスタンプフィールド１０２と安全関連信号入力状態フィールド１０３を該当のレコードにコピーするようになっている。
【００３０】
この図を用いて第２の発明の方法を順を追って説明する。図中、各処理ステップはＳ＋“番号”を付して示している。
まずＳ３０００にて受信データの正常性を、データヘッダ、誤り制御コード等をチェックして判定する。このチェックで異常と判定された場合は、ＣＰＵ１３ａ、１３ｂが伝送部ヘッダとして正常受信したデータであるにもかかわらず安全層で編集されたデータとして異常であることから、伝送エラーではなく安全関連信号処理システムのいずれかが故障と判断し、Ｓ３００２にて所定の故障処理モードに移る。
正常と判定された場合には、Ｓ３００１にて受信データログ検索処理を実行し、図４に示した自系の受信データログテーブル２００にアクセスし、最古レコードポインタ２０３の示すレコードから最新レコードポインタ２０４の示すレコードまでの各タイムスタンプと、今回の受信データのタイムスタンプを比較し、受信済みデータか、最新データかを判定する（Ｓ３００２）。受信済みであればＳ３００３にて保存されている同一タイムスタンプの既受信データと今回の受信データとを比較しその安全関連信号入力状態が一致するかどうかを判定する。
もし不一致であれば所定の故障処理モード（Ｓ３００４）に移る。一致であれば受信データログテーブル２００の関連受信回数を更新して、受信処理を正常終了する。また今回の受信データが最新データであった場合には、受信データを使って所定の制御を実行した後、受信データログテーブルに今回受信データを保存して、本受信処理を正常終了する。なお、今回受信したデータが過去に受信済みでもなく、最新データでもなかった場合には、異常なデータ受信であることから所定の故障処理モード（Ｓ３００８）に移る。
【００３１】
こうした手順をとることにより、安全関連信号入力処理装置２と安全関連信号制御処理装置３間の通信シーケンスがどのようなタイミングで行われることになるか、その一例を図５に示す。図中左側のシーケンスはＡ系の無線回線４ａを通して授受されるやりとりを示しており、右側のシーケンスはＢ系の無線回線４ｂを通して授受されるやりとりを示している。また、本実施例では通常無線回線４ａの方が無線回線４ｂよりも無線方式や電磁環境の違いなどからレスポンスが遅い状況との前提を置くものとする。
まずＳ４０００ａ、Ｓ４０００ｂにてタイムスタンプ＃０のついた通信データをそれぞれの冗長系の無線回線４ａ、４ｂを経由して、安全関連信号入力処理装置２から安全関連信号制御装置３に送信する。無線回線４ｂの方が送信データの伝送が早く、Ｓ４００１ｂにて先にＢ系が通信データ＃０を受信する。この通信データは図２、図３のフローチャートに従ってＢ系からＡｃｋ＃０が返信された後、Ａ系（Ｓ４００１ａ）、Ｂ系ともに同様の受信処理がなされる。すこし遅れてＳ４００３ａにて今度はＡ系で同じタイムスタンプ（＃０）の通信データが受信されるため、Ａ系からＡｃｋ＃０が返信された後、Ａ系、Ｂ系（Ｓ４００３ｂ）同様にこのデータを既受信のタイムスタンプ＃０のデータと比較照合が行われる。
ただし、受信データとしては処理済みのため、安全関連信号出力１７ａ、１７ｂの状態は変化しない。Ｓ４００４ａ、Ｓ４００４ｂ〜Ｓ４００６ａ、Ｓ４００６ｂも同様に推移する。しかしＳ４００８ａ、Ｓ４００８ｂにて送信された通信データ（タイムスタンプ＃２）はＢ系無線回線４ｂでは伝送エラーが発生し安全関連信号制御装置３内に取り込まれず、少し遅れて無線回線４ａを経由して入ってきたＡ系の通信データがＳ４００９ａで正常受信されると、Ａ系からＡｃｋ＃２が返信された後、Ａ系、Ｂ系（Ｓ４００９ｂ）ともに同様の受信処理がなされる。
【００３２】
このように、タイムスタンプ付きで通信データを授受し、これを正常受信した際は、新規データであれば出力等の制御処理に使用して保存するが、既受信データであれば内容を照合チェックするためにだけ使用し不一致の場合、故障処理を行うという手順をとるので、複数の無線回線を経由して非同期に届く通信データのうち、同一タイミングで発行されたものがどれとどれであるかを正しく識別できるため、先に正常受信できた通信データを待ち合わすことなく即安全関連信号制御処理に回すことができ効率的である。
一方、遅れて正常受信した通信データと先行して受信した通信データを正しく照合できるため、従来と同様なシステムの故障監視能力を持つことができる。また、伝送エラーの場合には故障扱いとせず正常受信したデータのみを使用することから、冗長化した無線回線のシステムとしての伝送信頼性も向上する。
【実施例３】
【００３３】
図６は第３、第４の発明の方法を示すシステム構成図である。本実施例ではＡ系無線回線４ａはいわゆる無線ＬＡＮとして実績のある伝送信頼性の高いＩＥＥＥ８０２．１１．ａ／ｂ／ｇのトライモード無線方式を適用し、一方Ｂ系無線回線４ｂは外乱ノイズの影響を受けやすい無線周波数３００ＭＨｚ帯の微弱無線（独自通信方式）を適用するものとする。安全関連信号入力処理装置２の無線制御部７ａ´、７ｂ´からは、それぞれの無線回線の伝送品質を示すデータが両ＣＰＵ１０ａ、１０ｂに無線制御部監視ライン３０ａ、３０ｂとして通知されるようになっている。
同様に安全関連信号制御装置３の無線制御部８ａ´、８ｂ´からは、それぞれの無線回線の伝送品質を示すデータが両ＣＰＵ１０ａ、１０ｂに無線制御部監視ライン３２ａ、３２ｂとして通知されるようになっている。伝送品質を示すデータとしては、例えばＣＲＣエラー等の伝送制御部で検出した伝送エラー件数、受信機のＡＧＣ（オートゲインコントロール）系回路周りの受信信号強度、あるいはＢＥＲ（Ｂｉｔ  Ｅｒｒｏｒ  Ｒａｔｅ）やＳＮＲ（Ｓｉｇｎａｌ  Ｎｏｉｓｅ  Ｒａｔｉｏ）などのリアルタイムな計測データなどである。こうすることにより、各無線制御部からの伝送品質につながるデータを受信した各ＣＰＵ（１０ａ、１０ｂ、１３ａ、１３ｂ）では対応する回線障害警報３１ａ、３１ｂ、３３ａ、３３ｂを発報させて、ユーザに警告を通知する。
さらに、Ａ系／Ｂ系いずれか片側の無線制御部で回線障害と判断される状況にいたった場合には、伝送する通信データのトラフィックを削減し優先度・緊急度の高い安全関連信号、例えば非常停止信号のみを編集して伝送させるように安全関連信号入力インタフェース部５内ＣＰＵ１０ａ、１０ｂにて優先管理させることができる。
【００３４】
こうすることにより、無線回線を冗長化する際に信頼性向上のために高信頼性かつ高コストの無線通信制御部を採用する代わりに、電磁環境の変化に敏感な比較的信頼性の低い微弱無線などの無線方式を採用することができるため、従来に比べ低コストで冗長化を実現することができることに加え、システムを稼動できる状況ではシステムを非常停止させるのではなくユーザに電磁環境の悪化を早期に通知することによって、障害を取り除いたり、システムをスムーズに安全な状態に移行させたりすることができる。
【図面の簡単な説明】
【００３５】
【図１】第１の発明の方法を実施する安全関連信号処理システムの構成を示すシステム構成図
【図２】第１の発明の方法の処理手順を示すフローチャート
【図３】第２の発明の方法の受信処理手順を示すフローチャート
【図４】第２の発明の方法の通信データと受信データログテーブルフォーマット例
【図５】第２の発明の方法の通信シーケンスの一例を示すシーケンスチャート
【図６】第３、第４の発明の方法のシステム構成図
【図７】従来のハードワイヤ配線された方法を示すシステム構成図
【図８】従来の安全フィールドバス接続された方法を示すシステム構成図
【図９】従来の安全フィールドバス接続された他の方法を示すシステム構成図
【図１０】従来の安全バスシステムにおけるバス接続形態の図
【図１１】従来の冗長化された無線通信利用の方法を示すシステム構成図
【符号の説明】
【００３６】
１  安全関連信号処理システム
２  安全関連信号入力処理装置
３  安全関連信号制御装置
４ａ、４ｂ  無線回線
４´  安全フィールドバス
５  安全関連信号入力インタフェース部
６  安全関連信号制御部
７ａ、７ｂ  安全関連信号入力処理装置内  無線制御部
７ａ´  安全関連信号入力処理装置内  無線制御部（ＩＥＥＥ８０２．１１．ａ／ｂ／ｇ）
７ｂ´  安全関連信号入力処理装置内  無線制御部（微弱無線）
７´´  安全関連信号入力処理装置内  通信制御部
８ａ、８ｂ  安全関連信号制御装置内  無線制御部
８ａ´  安全関連信号制御装置内  無線制御部（ＩＥＥＥ８０２．１１．ａ／ｂ／ｇ）
８ｂ´  安全関連信号制御装置内  無線制御部（微弱無線）
８´´  安全関連信号制御装置内  通信制御部
９ａ、９ｂ  ＤＩ
９ａ´、９ｂ´  Ｉ／Ｏ
１０ａ、１０ｂ  安全関連信号入力インターフェース部内  ＣＰＵ
１１  安全関連信号入力インターフェース部内  ＣＰＵ相互監視ライン
１２ａ、１２ｂ、１２ａ´、１２ｂ´  安全関連信号入力
１３ａ、１３ｂ  安全関連信号制御部
１４ａ、１４ｂ  ＤＯ
１５  安全関連信号制御部内  ＣＰＵ相互監視ライン
１６  安全関連信号制御部内  出力監視ライン
１７ａ、１７ｂ、１７ａ´、１７ｂ´  安全関連信号出力
２０  非常停止スイッチ
２１ａ、２１ｂ  接点
２２ａ、２２ｂ  電磁接触機
２３  主回路電源
２４  動力機器
２５  動力線
２６ａ、２６ｂ  制御線
３０ａ、３０ｂ  安全関連信号入力処理装置内  無線制御部監視ライン
３１ａ、３１ｂ  安全関連信号入力処理装置内  回線障害警報
３２ａ、３２ｂ  安全関連信号制御装置内  無線制御部監視ライン
３３ａ、３３ｂ  安全関連信号制御装置内  回線障害警報
４０  安全ＰＬＣ
４１＿ｉ  安全Ｉ／Ｏ  （ｉ＝０、１）
４２ａ＿ｉ、４２ｂ＿ｉ  （ｉ＝０、１）
４３＿ｉ、４３ａ＿ｉ、４３ｂ＿ｉ  （ｉ＝０、１）
５０  教示操作盤
５１  表示盤
５２  キーボード
５３  表示盤制御
５４  キーボードＩ／Ｆ
５５  ＣＰＵ  
５６  ＲＯＭ
５７  ＲＡＭ
５８  受信手段
５９＿ｊ  送信手段１、２、３  （ｊ＝０、１、２）
６０  ロボット制御部
６１  ＣＰＵ
６２  ＲＯＭ
６３  ＲＡＭ
６４  サーボ制御用回路
６５＿ｋ  非常停止制御回路  （ｋ＝１、２）
６６  送信手段
６７＿ｊ  受信手段１、２、３  （ｊ＝０、１、２）
６８  サーボアンプ
１００  通信データフォーマット例
１０１  ヘッダ部
１０２  タイムスタンプフィールド
１０３  安全関連信号入力状態
１０４  誤り制御コード
１１０  Ａｃｋパケットフォーマット案
２００  受信データログテーブル長
２０１テーブル長
２０２  レコード数
２０３  最古レコードポインタ
２０４  最新レコードポインタ
２０５＿ｉ  タイムスタンプ格納エリア
２０６＿ｉ  安全関連信号入力状態エリア
２０７＿ｉ  レコード別受信回数
【図１】
2007026010.tif 000003
【図２】
2007026010.tif 000004
【図３】
2007026010.tif 000005
【図４】
2007026010.tif 000006
【図５】
2007026010.tif 000007
【図６】
2007026010.tif 000008
【図７】
2007026010.tif 000009
【図８】
2007026010.tif 000010
【図９】
2007026010.tif 000011
【図１０】
2007026010.tif 000012
【図１１】
2007026010.tif 000013