(57)【特許請求の範囲】
【請求項１】
製造プラントの機能ユニットのような、複数の機能ユニットを有するプラントを監視するための方法であって、
前記複数の機能ユニットの各々が、複数のそれ自身の冗長な２チャンネル安全装置のうちの１つに関連づけられ、
前記複数の安全装置の各々は、関連づけられた機能ユニットを監視し、その監視状態を互いに知らせ、
前記複数の安全装置の各々の２つのチャネルの安全関連入力が、時間的に並行に評価され、少なくとも１つの機能ユニットまたは安全装置が誤動作した場合には少なくとも１つの安全関連アクチュエータが作動される、複数の機能ユニットを伴うプラントを監視するための方法。
【請求項２】
前記安全装置は互いとシリアルに通信することを特徴とする、請求項１に記載の方法。
【請求項３】
前記安全装置は互いとリング・プロトコルによって通信する、請求項１または２に記載の方法。
【請求項４】
前記安全装置は、それに関連付けられる機能的ユニットおよびしたがって前記プラントの診断を継続して行なう、請求項１または２に記載の方法。
【請求項５】
前記安全装置に含まれるマイクロプロセッサはそれらのプロセッサイメージおよびそれから計算される結果および／またはメモリの内容をサイクルで監視する、請求項１または２に記載の方法。
【請求項６】
信号入力および信号発生器の正しい接続および機能がチェックされることを特徴とする、請求項１または２に記載の方法。
【請求項７】
製造プラントのような、複数の機能的ユニット（１〜５）を伴うプラント（Ａ）を監視するための装置であって、
相互接続された複数のそれ自身の冗長な２チャンネル安全装置（６、６．１〜６．５）を含み、
前記複数の機能ユニット（１〜５）の各々が、前記相互接続された複数の安全装置（６、６．１〜６．５）のうちの１つに関連づけられ、
前記相互接続された複数の安全装置（６、６．１〜６．５）は、関連づけられた機能ユニット（１〜５）を監視し、その監視状態を互いに知らせ、
前記相互接続された複数の安全装置（６、６．１〜６．５）の各々は、前記２つのチャネルを通じて受けた安全関連入力を、時間的に並行に評価し、
前記相互接続された複数の安全装置（６、６．１〜６．５）は、少なくとも１つの機能的ユニット（１〜５）または安全装置（６、６．１〜６．５）が誤動作する場合には、少なくとも１つの安全関連アクチュエータを作動させる、複数の機能的ユニット（１〜５）を伴うプラント（Ａ）を監視するための装置。
【請求項８】
前記安全装置（６、６．１〜６．５）はコントローラコアおよびインタフェース配線を有することを特徴とする、請求項７に記載の装置。
【請求項９】
前記安全装置（６、６．１〜６．５）はシリアルに相互接続されることを特徴とする、請求項７または８に記載の装置。
【請求項１０】
前記安全装置（６、６．１〜６．５）はリング状に相互接続されることを特徴とする、請求項７または８に記載の装置。
【請求項１１】
各安全装置は少なくとも１つのマイクロプロセッサを有する、請求項７または８に記載の装置。
【請求項１２】
各安全装置（６、６．１〜６．５）は少なくとも２つのマイクロプロセッサを有する、請求項１１に記載の装置。
【請求項１３】
各安全装置（６、６．１〜６．５）は少なくとも１つの安全関連出力（１５、１６）を有する、請求項７または８に記載の装置。
【請求項１４】
各安全装置（６、６．１〜６．５）は複数の安全関連入力（１１〜１４）を有する、請求項７または８に記載の装置。
【請求項１５】
各安全装置（６、６．１〜６．５）は診断入力（１７）を有することを特徴とする、請求項７または８に記載の装置。
【請求項１６】
前記診断入力（１７）は前記安全関連入力入力（１１〜１４）のテスト切換サイクルと同期されることを特徴とする、請求項１５に記載の装置。
【請求項１７】
前記安全装置（６、６．１〜６．５）は同一に構成されることを特徴とする、請求項７または８に記載の装置。
【発明の詳細な説明】
【０００１】
【発明の分野】
この発明は、製造プラントのような、いくつかの機能的ユニットを有するプラントを監視するための方法および装置に関する。
【０００２】
【発明の背景】
この発明が基づく製造プラントのようなプラントでは、ロボットなどの、１つ以上の関連するマシンの問題がある。マシンまたはロボットは、制御ユニットおよびオペレーティングユニットのパワーモジュールなど、いくつかの異なる機能的ユニットを含む。このようなプラントでは、いくつかのそのようなマシンが上述の機能的ユニットと協働し相互にリンクされ得る。加えて、ロボットのようなマシンが上を移動するレールや、機械加工されるべき船舶などの「ワークピース」に沿ってマシンまたはロボットを移動させるポータルなどの周辺装置も存在し得る。
【０００３】
これまで、制御装置の場合は、リレー技法において実現される並列非常事態回避配線システムが用いられてきた。プログラミング手動装置（オペレーティングユニット）を伴う安全装置に関連して従来問題が起こっており、というのも、その可撓性のある接続ケーブルは数多くの動作にさらされ、したがって、非常事態回避ライン間の短絡を信頼性をもって取除くことは不可能だからである。必要とされる２チャネルまたはダクト特徴も、そのケーブルを硬く、厚くかつ重いものにする。並列配線される安全装置回路は用途に特定される態様で設計され、したがって柔軟性が全くない。機能上の変更は再構成を通してのみ可能である。非常事態回避ループおよびオペレータ保護ループはもちろん拡張可能であるが、信号発生器がマシン制御の安全装置回路において開かれる場合にはそれらループは診断の可能性は与えない。加えて、そのような安全装置を監視し維持することは困難であり、安全論理の、多数の関与するコンタクトが操作安全性および信頼性に悪影響を及ぼす。
【０００４】
ゆえにこの発明の目的は、複合プラントの安全性を、単純で容易に監視される態様で向上し得る、以下に記載されるようなタイプの方法および装置を提供することである。
【０００５】
【発明の概要】
この発明に従うと、上述の問題は前述したタイプの方法によって解決される。この方法では、各機能的ユニットはそれ自身の冗長２チャンネル安全装置によって個々にチェックされ監視される。これら安全装置は互いにそれらの検査状態を知らせ続け、少なくとも１つの機能的ユニットまたは安全装置が誤動作した場合には、安全関連アクチュエータが作動される。この発明に従う装置では、各機能的ユニットはそれ自身の冗長２チャンネル安全装置に各々関連付けられ、少なくとも１つの機能的ユニットまたは安全装置が誤動作した場合はそれら安全装置が少なくとも１つの安全関連アクチュエータを作動させるよう、それら安全装置は相互接続される。
【０００６】
この発明は分散された安全論理を提供する。この分散された安全論理では、各安全装置は必要な安全機能をすべて有し、これによって質の高い診断を可能にする。これら安全装置は互いと接続または通信するので、それらは互いを監視することができ、或る安全装置が他の安全装置の故障を検出することができ、したがって、アクチュエータを作動させるための安全関連信号を発することができる。
【０００７】
第１の好ましい実施例に従うと、これら安全装置は制御装置コアとインタフェース配線とを有する。この結果、これら安全装置は、非常に単純でありかつ容易に監視可能な態様で構成され得る。
【０００８】
ある好ましい展開に従うと、これら安全装置は互いとシリアルに通信するかまたは相互接続される。シリアル接続によって、並列配線は余分なものとされる。必要とされるケーブル断面積は低減され得、このことは、オペレーティングまたはプログラミング手動装置などのポータブル装置にとっては特に非常に有利である。
【０００９】
別の好ましい実施例に従うと、安全装置は、リング・プロトコルによって互いと通信するか、またはリング状に相互接続される。したがって、安全機構全体を単純な態様でランダムに拡張し得る。たとえば、プラントがさらなる機能的ユニットを受入れる場合でも、関連の安全装置を容易に統合し得る。これによって、異なるプラントに対する単純で容易に監視し得る適合性が保証される。
【００１０】
アドレス指定は、バスに配することによって物理的に行なわれ得る。信頼性のある反応は、リング・プロトコルの拡張において即座に達成可能である。
【００１１】
各安全装置は少なくとも１つのマイクロプロセッサを有することが可能である。好ましいさらなる展開に従うと、各安全装置は少なくとも２つのマイクロプロセッサを有する。他の好ましい展開に従うと、各安全装置は診断入力を有し、特にその診断入力は安全関連入力のテスト切換サイクルに同期されるか、またはそれら安全装置はそれらに関連付けられる機能的ユニットおよびしたがってプラントの診断を行ない続ける。このことは、安全関連信号を発した信号発生器を突きとめることを可能にする。プラント全体の永久的監視および診断を実行することも可能である。
【００１２】
別の好ましい展開に従うと、安全装置に含まれるマイクロプロセッサはそれらのプロセッサ画像、およびそれらから計算された結果、および／またはメモリの内容をサイクルでチェックし、特に信号入力および信号発生器の正しい接続および機能がチェックされる。安全装置は上述の態様で冗長設計されるため、マイクロプロセッサはお互いおよび周囲のハードウェアをサイクルでチェックし得、同時に、実行中のプログラムの一貫性をチェックし得る。プロセッサの内容比較は、リング・プロトコルの場合には、リング全体にわたって行なわれる。
【００１３】
この発明に従う装置のさらなる展開に従うと、各安全装置は少なくとも１つの安全関連出力を有し、および／または各安全装置はいくつかの安全関連入力を有する。
【００１４】
この安全構造全体は、さらなる展開に従って、安全装置が同一に構成され、好ましくはその同一の安全装置に統合される基本ソフトウェアも同一のものであり、適応がソフトウェアコンポーネントまたはスイッチによってのみもたらされる場合には、単純かつ非常に安価なものとなる。
【００１５】
この発明に従う方法および装置は大きな利点を提供する。監視装置全体のリング構造は、すべての機能的ユニットおよびそれらに関連付けられる個々の安全装置が作動しているときにのみ閉じられる。安全装置が誤作動を示すと、通信は遮断される。そのような故障が永続的に生ずる場合には、切り離しが行なわれて、システム全体が安全状態に移る。
【００１６】
この発明により達成される、分散された構造からも、さらなる利点がもたらされる。それは、上述したように、柔軟性をもって拡張可能でありながら、低減された空間要件およびコストでもって信頼性のある操作安全性を達成する。この新規な解決法によって、配線コストは最小限に抑えられ、診断可能性が改善される。この発明に従う安全装置は、現存の装置に容易に統合可能である。
【００１７】
【図面の詳細な説明】
この発明のさらなる特徴は、添付の図面を参照して、この発明の請求項および好ましい実施例の以下の説明から理解され得る。
【００１８】
新規な装置は、製造プラントなどのプラントＡを監視するために用いられる。このようなプラントは、たとえば、マシンまたはロボットの動力電子装置および機械的構成要素を含むパワーモジュール１を有する。このパワーモジュール１は制御ユニットに関連付けられる。この制御ユニットはパワーモジュール１を制御するための信号電子装置を含み、純粋なハードウェア回路として、または純粋なコンピュータ制御への、所望されるグレードアップもしくはソフトウェア要素を伴うステップアップにおいて構成され得る。ロボットの場合には、最近では、パワーモジュール１と制御ユニット２とは一般に物理的および空間的に分離される。この発明が基づくプラントはオペレーティングユニット３をさらに有し得る。これは、たとえば、プログラミングを行なう、手動装置であり得、制御ユニット２等を、特定の例ではロボットをプログラミングするために用いれ得、そのような場合には物理的および空間的にそれから分離される。
【００１９】
さらに、このようなプラントは、たとえばパワーモジュール１のための移動装置、または造船の場合には、いくつかのパワーモジュール１が上に置かれるようなポータル等の周辺ユニット４、５を有し得る。
【００２０】
この発明に従うと、機能ユニット１〜５の各々は、別個の安全装置６．１〜６．５に関連付けられる。これらは同一に構成されるという有利な点を有し、したがって、図２においては参照番号６のみを付される。安全装置６は少なくとも２つのマイクロコントローラを有する。後者は十分な集積されたＲＡＭまたはＲＯＭおよび少なくとも１つのシリアル接続（点）を有する。したがって、安全装置の２チャンネル特徴がその評価にまで維持され得る。この冗長システムの２チャンネルは絶えず比較される。特定の用途の機能として、異なるインタフェース配線が設けられる。入来および転送インタフェースまたはライン７、８によって、安全装置６．１〜６．５は相互接続される。この接続は、出発および帰還ライン７、８を伴うリング構造で好ましく構成される。
【００２１】
シリアル接続またはライン７、８とは別に、この新規な安全装置６は他の安全装置の安全関連入力１０〜１４への４接続を有し、それら入力は、その特定の機能的ユニットおよびその個々のオペレーティング要素に接続され、安全関連信号を導入するために用いられる。安全関連入力は、停止を無条件に導入するか、またはそのような停止のための条件そのものであるかのいずれかである。個々のマイクロプロセッサが、同一の機能を有する独立した入力を有するよう、入力１１〜１４は複製される。安全機能を伴なわない入力もあり得る。それらは診断入力とも称され、２つのコントローラ上に異なる重みを有する。安全関連入力１１〜１４は、すべて、２つのマイクロプロセッサによって並行して評価される。１つの入力は一致または同意キーに接続され得、別の入力は非常事態回避キーに接続され得、別のキーは、テストまたは自動動作のため、選択キーに接続され得る。さらなるオペレータ保護装置の接続のための入力も存在する。すべての入力が各機能的ユニットに存在する必要はない。こうして、これまでのうち、最初に言及した入力は特にオペレーティングユニット存在し、一方、最後に言及した入力（オペレータ保護）はパワーユニットまたは個々の周辺ユニットにある。
【００２２】
局所的非常事態回避＝ＬＮＡ
これは、ＫＣＰ上におけるロボット非常事態回避を作動させることによって、または別の非常事態回避条件によって起動される局所的非常事態回避のための入力である。それは、すべての状況において、ロボット、およびそのロボットが統合されるプラント全体の停止ならびにパワー解放に至る。
【００２３】
外部非常事態回避要求＝ｅＮＡＡ
この入力はすべての条件下においてロボットの接続を切り離すに至る。この非常事態回避要求はこの場合にはプラントには通されず、なぜならばそれはプラントをロックしてしまうからである。
【００２４】
オペレーション保護＝ＢＳ
（技術的保護手段のための）オペレータ保護入力ロックは、安全セルを停止するにすぎない。この安全セルは、ここでは、運動学に基づく危険をもたらすような条件下で横断され得る領域を意味すると理解される。ロボットセルの場合では、それは、たとえば、保護フェンス、および危険な動きをし得る付加的なシャフトによって境界付けられるロボット作業領域である。制御が自動モードで動作している場合、オペレータ保護は活性状態にある。係属中のオペレータ保護信号は、安全セルの、閉じた保護フェンスと等価である。
【００２５】
１．修飾された入力１（テスト／自動）＝ＱＥ１
テスト／自動のための入力１３は修飾を行なう信号である。テストモードでは、オペレータ保護は切り離され、代わりに、同意キーが活性状態にある。自動モードでは、オペレータ保護は活性状態にあるが、同意キーによる応答指令信号は送られない。安全セルはテストモードまたは自動モードのいずれかにあり得る。２モード同時またはモード無しのいずれも可能ではない。閉じた回路電流原理はここにおいて維持するのは困難であり、なぜならば、両方の設定とも活性設定であるからである。ゆえに、逆平行レベルを用いるのが適当である。マイクロコントローラのための信号は、自動として一度、および／自動として一度与えられる。以下、／自動という語の代わりにテストという語を用いる。
【００２６】
２．修飾する入力２＝ＱＥ２
これは、入力１に関し、入力１４を申請し、この入力１４は、テストモードにおいてオペレータ保護のブリッジングを要求する制御のために用いられる。自動モードにおいて保護装置をブリッジングすると、セルは、オペレータ保護が損傷を受けた場合には遮断される。
【００２７】
さらに、出力１５、１６は、それらが使用される場合には、安全関連アクチュエータを制御し、その結果プラントを遮断するかまたは安全状態に移行させるよう働く。非公式入力１７は単一チャネル態様で構成される。安全ネットワーク全体は、外部電圧を供給されることもさらに可能である。したがって、各安全装置６はそれ自身の電圧供給を要する。このために、電圧供給は通信ラインを敷かれる。この電圧供給の、定格された電圧は２４Ｖである。各コアはそれ自身の論理電圧発生を有する。
【００２８】
安全関連出力
安全関連出力とは、その正しい機能がプラントのパワーの切断にとって極めて重要である出力である。
【００２９】
ドライブ・オン＝ＡＥ
安全関連出力は、信号上に基づくドライブによるドライブのネットワーク保護のための制御を含む。この出力は各安全装置にあり、安全である。
【００３０】
非常事態回避＝ＮＡ
非常事態回避出力の機能は、局所的非常事態回避要求をプラント全体の非常事態回避ループにループ化することである。電位の不要な接触を得るため、ノードは安全なリレー組合せを伴って設計される。
【００３１】
オペレータ保護＝ＢＳ
オペレータ保護は、オペレータを保護するための装置を意味すると理解され、それらは、保護フェンスと、それらの監視手段と、モードに関係なくさらに同意スイッチとを含む。このような装置の出力はすべてノードにおいて組合せられる。オペレータ保護出力の機能は、オペレータ保護損傷を、関与するプラントのパーツに対し有効にすることである。電位を免れる接触を得るため、安全なリレー組合せがノードに接続され得る。
【００３２】
加えて、非公式または制御入力および報知出力が設けられる。
非公式入力
非公式または制御入力１７は、ロボットの正しい動作に必要なものである。これら入力は安全性には関連しておらず、自由に用いることができる。それらは、単に、診断目的のために利用可能な情報をつくるにすぎない。この入力は、安全関連信号のテスト切換サイクルと同期される。したがって、さらに相互にリンクされる非常事態回避キーを接点間に導入し得る。
【００３３】
ドライブ活性＝ＡＡ
信号「ドライブ活性」は、安全要求によって遮られない場合において、ドライブをオンに切換えることが意図されるパルスである。この信号は永久に活性状態に保持されてはならない。
【００３４】
ドライブ解放＝ＡＦ
「ドライブ解放」信号は、除去によるドライブの切離し、またはオンへの切換防止の機能を有する。
【００３５】
非常事態切換情報＝ＮＡｉ／オペレータ保護情報＝Ｂｓｉ
局所的非常事態回避またはオペレータ保護ループは、接点間においてこれら入力で引き出されることによって、遮断の場合には、安全要求の場所についての情報を得ることができる。
【００３６】
非公式出力
非公式出力は、安全ネットワークの状態を表わすために出力されるものである。非公式出力はレジスタインタフェースに組合わされ得る。安全関連アクチュエータを含む制御コンピュータを接続すると、安全関連出力は情報目的のためにも用いられ得る。
【００３７】
Ｉ非常事態回避＝ｉＮＡ
非常事態回避情報の機能は、制御または信号灯火への局所的非常事態回避要求を示すことである。この信号は、外部非常事態回避要求信号を除くすべての非常事態回避条件のＯＲリンクである。
【００３８】
Ｉ内部故障＝ｉＦｉ
この故障または誤り信号は、切離しに至ったＫＵ−ＳＩＢＡネットワーク内に故障が生じているかどうかに関する情報を与える。
【００３９】
パワーモジュール１において、安全装置６の出力１５は、ネットワーク保護を制御するための「ドライブ・オン」出力として用いられる。したがって、対応する故障状態の場合には非常事態回避を直接起動する可能性がある。
【００４０】
制御ソフトウェアの安全回路のすべての情報および状態が、制御ユニット２の安全装置にとって利用可能である。ここで、再び、ある出力が非常事態回避を有して、それを制御ユニット２において起動する。
【００４１】
オペレーティングユニット３の安全装置６．１は、非常事態回避、モード選択ならびにドライブのオンおよびオフ切換のための信号発生器を主に担持する。制御ソフトウェアおよび表示スクリーンによって表示が与えられ得る。
【００４２】
周辺ユニット４、５の安全装置６．４および６．５は保護回路に統合されるサーボスイッチのためのドライブパワーを提供し得、後者に、ライトカーテンなどの信号発生器および拡張された運動学のさらなる非常事態回避キーを結合し得る。表示目的のため、同一の安全装置が対応の制御パネルに統合され得る。
【００４３】
図３はこの新規な安全装置の動作状態を表で示したものである。オペレータ保護は開いた状態かまたは閉じた状態のどちらかであり得る。同意キーを動作させる（はい）することも、またはそれを動作させない（いいえ）ことも可能である。自動またはテスト動作が選択され得る。このリストから明らかなように、自動動作中は、オペレータ保護が閉じている場合のみ動作が可能である。テスト動作の場合は、オペレータ保護が開きおよび閉じている状態において、同時に同意キーが操作されている場合にのみ動作が可能である。これら動作状態は、さらなる入力に関し、意図される用途の機能として拡張可能である。
【００４４】
安全装置６．６．１〜６．５においては、まず、２つのマイクロコントローラの局所的結果の比較および差に対するチェックが行われる。差がある場合には、変数「比較失敗」（Ｖｆ）が増分される。これは、次々と両チャネルの結果が一致しなかった通信サイクルの数を示す。結果に一貫性がある場合には、Ｖｆはリセットまたは減分される。２つのチャネル間において、Ｖｆ−ｍａｘで定義される最大の許容されるチャネル遅延時間を超えると、「非常事態回避」が起動されネットワークはロックされる。
【００４５】
比較に用いられる情報チャネルは、安全装置間の通信にも用いられる同じシリアルチャネルである。
【００４６】
比較は、実行プロセス通信中に行なわれる。１つのステップが、マイクロコントローラのデータ量に対応する。各通信のための最初または最後の安全装置のマイクロコントローラの位置に依存する比較のために、スライドステップが設けられる。このステップでは、入力および出力画像が、同じ安全装置の並列マイクロプロセッサのそれと比較される。
【００４７】
通信開始または中間通信中において、別の比較が行なわれる。処理画像の比較、およびＶｆのガイダンスが次の安全装置においてさらに行なわれ得ないか否かがチェックされる。したがって、ある種の中間通信が間に行なわれる比較は２つのスライドステップしか持続し得ない。始めのステップでは、各マイクロコントローラはそれ自身の処理データを送信する。安全装置の各第２のマイクロコントローラがここで比較され得る。各第１のマイクロコントローラは、まず、前のマイクロコントローラの処理画像に注目し、第２のスライドステップの後に比較を行なう。このマイクロコントローラのＶｆカウンタが、この結果、安全回路に前もって配される安全コアに当てはまる。
【００４８】
これに、安全回路の実際の機能としてのリンクが続く。まず、ある独立した結果が各個々の安全装置の入力から形成され、その他の安全装置の結果は、更新に先立って局所的結果において考慮される。出力結果を判断するために２つの可能性が存在する。通信中、処理画像全体は相互交換され、したがって、総合された非常事態回避の各々において、並列ではあるが異なる順序でリンクされ得る。実施命令が送信され得る。この命令では、すべての安全装置がそれらの結果をリンクし、すべての出力がこの命令に基づいて切換えられる。
【００４９】
異なるタイプの安全な停止は区別される。非常事態回避機能は異なる信号発生器によって起動され得る。接続された信号発生器は、すべて、２チャンネル態様で接続される。非常事態回避ロックを解放すると、チャネル間の無限同時生が受容され得る。
【００５０】
異なるモードでは、非常事態回避は異なる反応に至る。
自動モードでは、ネットワークの切離しは遅延され安全である。起動された非常事態回避は制御によって検知され、即座に非常事態回避停止ランプが生じて、それによりロボットはプログラムされた経路上にとどまる。ロボットは、計算された点で停止する。
【００５１】
テスト動作では、非常事態回避要求の場合には電源が即座に切離される。ドライブに対する解放は、ドライブ故障が生じない限り活性状態のままである。したがって、ロボットは、最も短い可能な停止距離で、およびしたがって非常に速やかに安全状態にされる。
【００５２】
ここで、オペレータ保護が局所プラントを安全状態に移行させる。オペレータ保護は、異なるモードにおいて、異なる信号にリンクされなければならない；
ＢＳ−解放＝ガード閉鎖＋自動＋同意抑制＋テスト動作
オペレータ保護は、主保護手段を介して、パワー切離しで、遅延される態様にて常に作用する。マシンまたはロボットの切離し反応は、最短の停止距離が常に得られるように与えられる。
【００５３】
安全装置間の通信はシリアルに行なわれ、両方のマイクロプロセッサを通過するので、各マイクロコントローラは、他のコントローラに対し、通信リングを介して、比較目的での処理画像を利用可能とすることができる。この通信は、２チャンネル入力の場合にはチャネル比較のために、およびトータルバス上の出力画像の判断的更新のために用いられる。各通信はスライドステップにて行なわれる。１つのステップは、マイクロコントローラのデータ量に対応する。通信ごとの最初または最後のスライドステップは比較のために設けられるか、または他のスライドステップを用いて個々の安全装置のネットワークの全処理画像を判断する。処理画像は他のものから単に取られるものであり、それらはそれらの２つのコントローラによって同一に送信されるものである。
【図面の簡単な説明】
【図１】監視されるべきプラントにおける新規な安全装置の概略構造の図である。
【図２】この発明に従う装置における安全装置の概略的表現図である。
【図３】この発明により保証される新規な装置の動作状態の図である。
【符号の説明】
１  パワーモジュール
２  制御ユニット
３  オペレーティングユニット
４  周辺ユニット
５  非周辺ユニット
６  安全装置
７  出発ライン
８  帰還ライン
１１  安全関連入力
１２  安全関連入力
１３  安全関連入力
１４  安全関連入力
１５  出力
１６  出力
１７  非公式入力
【図１】
0004080060.tif 000002
【図２】
0004080060.tif 000003
【図３】
0004080060.tif 000004