"電力変換器へ制御信号を出力する制御装置と、前記電力変換器への停止指令の出力その他のフェールセーフ処理を実行する演算手段を有する安全装置と、を備え、前記演算手段は、外部からの割込信号を入力し、該割込信号の波形にノイズや装置故障と想定される異常信号が含まれる場合において、前記電力変換器の動作周波数またはキャリア周波数に基づいて定められた閾値に基づいてノイズか装置故障かの異常種別を判定し、異常信号検出時には外部へ前記異常種別と共に異常通知を出力する入力手段と、前記異常通知を受けて、前記異常種別に対応するフェールセーフ処理を実行する監視手段とを備えたことを特徴とする安全制御システム。前記演算手段は、複数の前記入力手段と、入力手段ごとの異常種別の組合せに基づいて実行すべきフェールセーフ処理を定めた異常判定マトリクステーブルと、を備え、前記監視手段は、複数の前記入力手段のいずれかから異常通知を受けたときに、前記異常判定マトリクスに基づいて選択されたフェールセーフ処理を実行することを特徴とする請求項1に記載の安全制御システム。前記安全装置は、複数の前記演算手段を有し、各演算手段は、前記入力手段ごとの異常検出回数を逐一格納するカウンタ変数を有し、前記複数の演算手段は、相互通信手段によって接続されて前記監視手段に格納されたカウンタ変数の値を交換し、予め定められた閾値と交換されたカウンタ変数の値とを用いてフェールセーフ処理を実行することを特徴とする請求項1に記載の安全制御システム。ところで、機能安全として電磁ノイズに対する対策を行う場合には、非常に多くの側面から検討を行う必要がある。特に、電力変換器においては、制御装置の何らかの信号に強力な電磁ノイズが畳重した場合に発生する問題として、被制御装置の暴走や誤動作が推定されるため、設計段階や製造段階で入念な電磁ノイズ対策が求められる。また、機能安全対応の電力変換器を実現する際に、制御装置には複数の演算装置が含まれていることが多いため、強力な電磁ノイズを畳重した制御信号等が流れ込んだ場合の機能安全対策は不可欠である。さらに、被制御装置を搭載した機器や装置全体の構成或いは目的によっては、画一的な安全対策を講じることができない場合がある。例えば、被制御装置として電動機を搭載した機器や装置であっても、ノイズを検出した場合に即時停止しても良いものエスカレータ大型工作機械ベルトコンベア等と、所定時間後或いは減速後に停止したほうが良いものエレベータ電気自動車等が存在する。しかしながら、上述した各引用文献では、このようなノイズに起因して発生する誤動作等に対する具体的な対策はなされていないのが実情であった。そこで、本発明は、複数の演算装置を用いた制御装置にあって、ノイズや故障等の不具合要因を稼動中に常時検出すると共に、ノイズに対して柔軟性を持たせ、稼動率の低下を抑えつつ安全性を確保することができる安全制御システムを提供することを目的とする。本発明の安全制御システムは、電力変換器へ制御信号を出力する制御装置と、前記電力変換器への停止指令の出力その他のフェールセーフ処理を実行する演算手段を有する安全装置と、を備え、前記演算手段は、外部からの割込信号を入力し、該割込信号の波形にノイズや装置故障と想定される異常信号が含まれる場合において、前記電力変換器の動作周波数またはキャリア周波数に基づいて定められた閾値に基づいてノイズか装置故障かの異常種別を判定し、異常信号検出時には外部へ前記異常種別と共に異常通知を出力する入力手段と、前記異常通知を受けて、前記異常種別に対応するフェールセーフ処理を実行する監視手段とを備えたことを特徴とする。本発明の安全制御システムによれば、ノイズや装置故障等の不具合要因検出機能を演算手段に持たせ、故障要因検出時に異常の状態を監視手段へ伝えて安全機能を実現することにより、演算手段に流れこむ可能性のある電磁ノイズや、短絡や断線等の装置故障によって発生する不正で不具合リスクを発生させる可能性を持つ信号を検知することができ、ノイズや装置故障等の不具合要因を稼動中に常時検出すると共に、ノイズに対して柔軟性を持たせ、稼動率の低下を抑えつつ安全性を確保することができる安全制御システムを実現する。また、本発明に係る安全制御システムの前記演算手段は、複数の前記入力手段と、入力手段ごとの異常種別の組合せに基づいて実行すべきフェールセーフ処理を定めた異常判定マトリクステーブルと、を備え、前記監視手段は、複数の前記入力手段のいずれかから異常通知を受けたときに、前記異常判定マトリクスに基づいて選択されたフェールセーフ処理を実行することを特徴とする。本発明では、異常判定マトリクステーブルにより、複数の入力信号の組合せ不具合要因を特定するので精度の良い異常判定が可能になる。さらに、本発明に係る安全制御システムの前記安全装置は、複数の前記演算手段を有し、各演算手段は、前記入力手段ごとの異常検出回数を逐一格納するカウンタ変数を有し、前記複数の演算手段は、相互通信手段によって接続されて前記監視手段に格納されたカウンタ変数の値を交換し、予め定められた閾値と交換されたカウンタ変数の値とを用いてフェールセーフ処理を実行することを特徴とする。本発明によれば、複数の演算装置の異常検出状態を相互に確認利用することができ、異常検出の信頼性を一層向上させることができる。本発明の安全制御システムは、ノイズや装置故障等の不具合要因を稼動中に常時検出すると共に、ノイズに対して柔軟性を持たせ、稼動率の低下を抑えつつ安全性を確保することができる。[第1の実施の形態]次に、本発明の実施の形態に係る安全制御システムについて、図面を参照しながら説明する。尚、以下に示す実施形態は本発明の安全制御システムにおける好適な具体例であり、技術的に好ましい種々の限定を付している場合もあるが、本発明の技術範囲は、特に本発明を限定する記載がない限り、これらの態様に限定されるものではない。また、以下に示す実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、かつ、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、以下に示す実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。全体構成図1は、本発明の実施の形態による安全制御システムおよび周辺装置の構成図である。この図において、安全制御システム1は、ネットワーク3を介して外部コントローラ2と接続している。外部コントローラ2は、安全制御システム1へ制御機能や安全機能に関する指令信号の送信ならびに安全制御システム1からの監視データの受信によるモニタリングを行う。一方、安全制御システム1は、外部コントローラ2から送られてくる指令信号に基づいて制御対象である電動機4を監視制御する。安全制御システム1は、ネットワーク3を介して外部コントローラ2と通信を行う通信装置10、外部コントローラ2から送られてくる指令信号に基づいて制御指令制御信号を出力する制御装置20、制御装置20から出力される制御信号によって電動機4を駆動する電力変換器60、電力変換器60や制御装置20などの異常の有無を監視し、電力変換器60へ停止指令などの安全指令を出力するCPU二重化された安全装置30を有している。通信装置10、制御装置20、および、安全装置30との間は、それぞれケーブルやコネクタなどの分離接続可能な接続手段で接続されている。なお安全制御システム1の各装置は、それぞれユニット構成で実現しても良いし、基板構成で実現しても良い。安全制御システム1を構成する各装置の機能概要を説明すると、まず、制御装置20は、通信装置10から渡された外部コントローラ2の通信データを制御データと安全データとに分離する。そして制御データを受信した場合は、その制御データに基づいて電力変換器60の電圧電流周波数などを決定し、制御信号を生成して電力変換器60へ出力する。そして、電力変換器60は、制御装置20からの制御指令や安全装置30からの停止指令によって、電動機4を運転させるための電力の供給や停止を行う。通信装置10から渡された通信データが安全データの場合は、制御装置20は、この安全データを安全装置30へ渡す。安全データの渡し方は、二重化された演算装置のうち、制御装置20と通信を行う一方の演算装置31に渡し、その演算装置31が他方の演算装置41へ安全データを転送する。なお、安全データの渡し方はこれに限らず、たとえば、データを分岐する分岐手段を設け、制御装置20から送信された安全データをその分岐手段を介して夫々同じデータを両方の演算装置31,41へ送信するようにしても良い。安全装置30の両演算装置31,41は、外部コントローラ2からの安全機能設定信号による非常停止制御、安全状態の外部コントローラ2への通知処理などを行う。両演算装置31,41間は、ケーブル接続されるが、外部割込信号によって、互いに処理のタイミングを通知して同期をとっている。なお、演算装置内部のCPUのプログラム処理によって発生する割込信号内部割込信号に対して、CPU間の割込信号は、CPUの外部に出力されるため、以下の説明において外部割込信号という。電力変換器60の動作ノイズによって、ケーブルにノイズが乗ることがあり、これにより誤動作を起こす可能性がある。本実施の形態では、このノイズに対してできるだけ電動機4の稼働率を低下させないように、下記の構成をとっている。図2に、安全装置30の概略構成図を示す。安全装置30の演算装置31,41はそれぞれ内部にプログラムによる演算処理を実行するCPU32,42を有している。CPU32,42間は、互いに外部割込信号を発生する回路タイミング同期信号発生回路33,43と、外部割込信号を受信する回路タイミング同期信号受信回路44,34が設けられている。なお、外部割込信号によってCPUの処理の同期をとるため、タイミング同期信号発生回路33,43とタイミング同期信号受信回路44,34とを合わせてタイミング同期手段40という。また、タイミング同期信号発生回路33は、CPU32のアドレスをデコードするデコード回路33A、デコード回路33Aの出力と書き込み信号との論理積を演算するAND回路33B、およびラッチ回路33Cから構成されている。ラッチ回路33Cは、DFFD型フリップフロップで実現されD入力には、データのあるビットたとえばLSBが接続され、クロック入力CKには、AND回路33Bの出力が接続される。また、ラッチ回路33Cの出力は外部割込信号として、タイミング同期信号受信回路44へ伝送される。タイミング同期信号受信回路44は、タイミング同期信号の立ち上がりエッジを検出して、CPU42へ割り込み信号を発生する立ち上がりエッジ検出回路44A、タイミング同期信号の立ち下がりエッジを検出して、CPU42へ割り込み信号を発生する立ち下がりエッジ検出回路44Bを備えている。また、タイミング同期信号は、CPU42の端子1第1番目の外部入力端子に入力されている。なお、外部信号は任意の端子に入力可能である。タイミング同期信号発生回路43、タイミング同期信号受信回路34も上記と同様の回路構成を有し、CPU42からCPU32へタイミング同期信号を送っている。このように、タイミング同期手段40は、プロセッサ間を外部割込信号線で結んでいる。なお、図1では、外部割込信号は双方向であるが、たとえばCPU42をCPU32に同期させる場合は、CPU32からCPU42の一方向のみでも機能する。この信号は、ある電圧閾値、たとえば2.0Vなどを境界値として用いて2.0V以上なら1、2.0V未満なら0のように表わされる。アクティブローで定義するとき、1は非アクティブ、0はアクティブとなる。以下、負論理であるとして説明する。このとき、通常はこの信号がアクティブとなる時点立ち下がり時に、CPUは外部割込として予め定めた処理割り込み処理を実行する。設定によっては、非アクティブ状態になるとき立ち上がり時、または、その両方両エッジ時などの場合もある。信号線に問題が生じたとき、たとえばノイズや断線、短絡、または他方の演算装置の故障などのときは、割り込み処理が予期しないタイミングで動作する場合があり、安全機能の動作に遅延が生じたりするなどの問題を引き起こす危険性がある。本実施の形態では、アクティブ状態となった時点を基準にして、非アクティブ状態になるまでの時間アクティブ時間と、アクティブ状態になった時点を基準にして、次にアクティブ状態になる時点までの間隔アクティブ化間隔を用いて、外部割込みの発生タイミングを制御する。図3にタイミング同期信号波形と負論理における各信号名、時間名との関係を示す。アクティブ時間とアクティブ化間隔はそれぞれ下限値と上限値の2つの閾値を有する。割り込み信号などは一般に負論理アクティブLowを用いる。よって、信号が0GNDレベルのときに正ONとみなす。入力信号異常判定処理図4に、このような閾値による従来の異常判定例を示す。図4Aでは、ON時間が規定の時間を超過している場合規定ON時間超過を示している。これは、配線の断線短絡あるいは素子不良等以下、これらを纏めて装置故障というの不具合を引き起こしていることが想定され、被制御装置電動機4が危険な状態であるのでシステム停止などの安全制御を行う必要があった。図4Bでは、ON時間が規定の時間より短い場合は、装置故障や、ノイズ等の一時的あるいは周期的な異常信号の影響が想定されるため、同様にシステム停止などの安全制御を行う必要があった。図4Cでは、ON/OFFとなる間隔が規定より短い場合についても、ノイズの影響の他、装置故障も想定されるため、同様にシステム停止などの安全制御を行う必要があった。このように従来は、ノイズと装置故障を分けて判定できなかったので、異常信号のパターンを検出すると一律停止方向に制御せざるを得なかった。本実施の形態は、不具合要因をさらに精度良く判定し、異常信号として、一過性のノイズの可能性が高い場合は、システム停止方向にするのではなく、例えば安全の確保できる速度に制限するなど、実効性の高いフェールセーフ処理を可能にするものである。CPU32,42の機能構成以下、演算装置31のCPU32の機能を代表して説明するが、CPU42も同様の機能を有する。図5は、CPU32の機能ブロック図である。ここで、CPU32は、タイミング同期信号受信回路34からの割込信号やタイミング同期信号を入力して信号の異常を検出する入力手段35、信号の異常を検出するための閾値ないし基準値を格納する閾値格納手段79、制御装置20あるいは他のCPUからの指令に基づいて閾値格納手段79に保存されている閾値を更新する閾値更新手段80、入力手段35からの指令に基づいて計数を行う監視タイマA75および監視タイマB76、入力手段35からの異常通知をもとに監視結果ファイル77を更新し、監視手段37へ異常の発生を通知する異常通知手段38、タイミング同期信号が正常な場合に起動されるタスク73を備えている。なお、後述するように、入力手段35は不具合要因判定のために、複数のタイミング同期信号その他の外部信号を入力する場合もある。この場合、複数の外部信号の不具合要因正常、信号異常、装置故障の組合せとフェールセーフ処理内容との関係を保存するマトリクステーブル74を備える。閾値の初期設定動作前運転前における電力変換器60の設定は、ネットワーク3を用いて外部コントローラ2で設定ユーザ設定することが可能である。また、電力変換器60の動作パラメータや指令周波数動作周波数の指令値またはキャリア周波数を変更する場合には、その変更前の指令周波数に関する格納データを取得すると共にアクティブ時間を変更格納する。また、通信サイクルを変更する場合には、その変更前の格納時間に関する格納データを取得すると共にアクティブ化間隔を変更格納する。なお、この格納先は、例えば、演算装置31,41のメモリ領域等に格納する。入力手段35の動作図6に入力手段35の動作フロー図を示す。本実施の形態では、信号の変化に応じて、演算装置演算装置31,41の内部で監視タイマA76,監視タイマB77により時間及び間隔を測定し、その値と電力変換器60への制御指令値電動機4の回転速度に基づいて定まる閾値とを比較することによって、正常な信号と、装置故障やノイズによる信号とを分離している。閾値格納手段79には、制御装置20を起動した時に用いられる初期値が予め保存されており、閾値更新手段80が稼働中の電力変換器60の動作周波数の変化に応じて随時ON/OFF時間図4CやON時間図4Bの閾値を更新する。閾値の変更の仕方としては、動作周波数またはキャリア周波数以下、単に動作周波数という。の一周期分をこの閾値とする他、高調波が発生する場合は、その次数に応じて監視時間を短くすることが考えられる。なお、予め工場試験などで動作周波数に対するノイズの乗り方を測定しておき、動作周波数とノイズ間隔との関係式あるいは動作周波数区分ごとのノイズ間隔の基準値を閾値格納手段79に保存しておいても良い。電力変換器60は、強力なノイズ源であり、設置状況や環境変化、部品の劣化等で制御装置20に影響を与える可能性が考えられ、その影響を考慮するためには動作周波数に応じて閾値を変更することこれを閾値の動的変更という。は極めて高い効果がある。本実施の形態による入力手段35は、立下りエッジ信号はOFF⇒ONによる割込信号によって起動すると、まず監視タイマB76が動作中の場合はS1でYES、監視タイマB76の値を取得しS2、閾値格納手段79に保存されているON/OFF間隔の閾値図4C参照と比較して当該閾値以上であるか否かを判定するS3。この判定の結果、ON/OFF間隔が閾値以上でない場合には異常通知手段38を経由して監視手段37へ異常種別はノイズを通知するS4。ステップS3の判定の結果、ON/OFF間隔が閾値以上である場合には、入力手段35は、監視タイマA75の動作を開始すると共に監視タイマB76を再起動するS5,S6。また、監視タイマB76の値が閾値格納手段79に保存されている規定ON時間図4A参照を経過した場合にはS7でYES、監視タイマB76の動作を停止した後にS8、異常通知手段38を経由して監視手段37へ異常種別は装置故障を通知するS9。また、図7に示すように、入力手段35の別の割込ルーチンは、立上りエッジ信号はON⇒OFFによる割込信号によって起動すると、監視タイマA75の動作を停止すると共にS21、そのタイマカウント値を取得した後にS22、そのタイマカウント値からON時間が予め定めた規定範囲内であるか否かを判定しS23、規定範囲内であれば割り込み信号処理たとえばタスク73の割込み起動を行うS24。一方、ステップS12の判定の結果、規定範囲内でない場合には、入力手段71は、さらに閾値格納手段79に保存されているON時間の閾値図4B参照と比較して、監視タイマA75のタイマカウント値が当該閾値以下の場合はS25でYES、異常通知手段38を経由して監視手段37へ異常種別はノイズを通知する一方S26、監視タイマA75のタイマカウント値が当該閾値よりも大きい場合はS25でNO、異常通知手段38を経由して監視手段37へ異常種別は装置故障を通知するS27。異常通知手段38の動作異常通知手段38は、入力手段35から異常通知を受けると、異常の種別ごとに、入力端子が複数有る場合はさらに入力端子ごとに、発生回数を記録していき、予め定められた値1以上を超えると監視手段37へ異常を通知する。なお、発生回数などのカウントをしない場合は、異常通知手段38を設けずに、入力手段35からの異常通知を直接、監視手段37へ伝えるようにしても良い。監視手段37の動作監視手段37は、異常通知手段38から種別ごとの異常通知を受けると、その種別に対応付けられているフェールセーフ処理を実行する。本実施の形態によれば、ノイズや装置故障等の不具合要因を稼動中に常時検出すると共に、閾値更新手段80によって動作周波数またはキャリア周波数に基づいて動的に閾値を変更するので、ノイズに対して柔軟性を持たせ、稼動率の低下を抑え安全性を確保することができる。したがって、ノイズを検出した場合に即時停止しても良いもの例えば、エスカレータ大型工作機械ベルトコンベア等の場合には、ノイズの種類と危険度に応じて電動機4を即時停止し、所定時間後或いは減速後に停止したほうが良いもの例えば、エレベータ電気自動車等の場合には、電動機4を最寄階にエレベータ箱が到着した時点、交差点等から退避した時点、といったように、装置等に応じた制御へ容易に対応することが可能となる。さらに、一過性のノイズの場合は速度制限を行うことで対応するようにしても良い。また、モニタや音声出力といった報知手段や他の切替え装置安全装置との連携し、最寄階で停止します安全な場所で車を停止させてくださいガソリンモードに切り替えましたといった報知やシステムの切り替えを行うことも可能となる。[第2の実施の形態]次に、本発明の第2の実施の形態を説明する。本実施の形態は、第1の実施の形態の機能に加え、さらに異常判定マトリクステーブル78を用いて複数の入力信号によって装置異常の判定を行うものである。以下、図8乃至図14に基づいて、本実施形態に係る安全制御システム1の具体的な例を説明する。尚、以下の説明では、上記第1の実施の形態の構成と同一又は類似の機能を有するものには、同一の名称および符合を付す。図8に示すように、本実施の形態の安全制御システム1では、図示を略する電力変換器の筐体内に、安全機能を有する演算装置31,41と、電力変換器60と、電力変換器60に電源供給を行う電源61と、電動機4と、を有している。なお、本実施の形態では、演算装置31,41は安全装置30内に設けることとして説明するが、二重化された演算装置の一方は、制御装置20内に設けるようにしても良い。安全装置30は、図8の演算装置31,41を備えており、演算装置31,41のCPU32,42は、それぞれ2基の入力手段35,36及び入力手段45,46と、1つの監視手段37,47と、を備えている。入力手段35,36と監視手段37及び入力手段45,46と監視手段47とは、異常通知手段38,48によって接続されている。異常通知手段38,48は、それぞれ入力手段35,36及び入力手段45,46で発生した異常通知と異常の種別とを監視手段37,47へ転送する機能を有する。第1の実施の形態と同様に、入力手段35,36及び入力手段45,46は、演算装置31,41に備わっている入力ポート図示せずの1つから入力される割込信号等例えば、タイミング同期信号の波形を動作周波数に基づいて動的に変化する閾値を用いて判定することでノイズと装置故障とを区別して異常を検出する機能を有している。監視手段37,47は、数ms~数10ms程度の時間を一定周期として接続されている入力手段35,36及び入力手段45,46の状態を監視しており、複数の異常を検出した際には、状況に応じて電力変換器60に安全指令を送りフェールセーフ処理を行う。動作概要次に、図9を用いて本実施の形態による安全制御システム1の動作概要を説明する。安全制御システム1は、電源投入等によって起動した際、初期化ルーチンを実行し、各入力手段35,36,45,46や、異常通知手段38,48、監視手段37,47が使用する変数やファイルの初期設定を行うS11。ここでは、図10に示すように、各入力手段が使用する複数の端子異常種別の変数の初期化処理や、各異常通知手段が使用する異常検出回数を格納するカウンタ変数のリセット、各入力手段の異常検出処理で用いる条件判定のための閾値の指定、および異常判定マトリクステーブル78の初期化などがある。次に、安全制御システム1は、監視手段37,47の稼動を開始して、監視機能安全機能を有効にするS12。安全制御システム1は、入力手段35,36及び入力手段45,46を起動して、入力信号を一定周期間隔で監視しS13、異常の有無を判定するS14。入力手段35,36及び入力手段45,46は、異常を検出した場合には、それぞれ異常通知手段38,48を起動して、後述する異常種別判定処理図11を実行するS15。異常通知手段38,48は、この異常検出が有効な場合には、次のステップS16へ移行し、異常検出が無効の場合は、検出異常無効処理S17として、異常検出された端子の異常種別を初期化してS17-1、異常が無いもの無効としたうえで他の端子と同様に当該端子の異常監視を再開させるS17-2。異常通知手段38,48は、ステップS15の異常種別判定処理の結果、異常検出が有効であると判定した場合にはS15でYES、監視手段37,47に異常通知をすると共に異常種別を渡す。監視手段37,47は、異常種別を渡されると、後述する異常種別に対応するフェールセーフ処理を実行してS16、外部に異常の発生を通知するS18。以下、ステップS15とステップS16の処理内容の詳細を説明する。ステップS15の異常種別判定処理の詳細まず、ステップS15で示した異常通知手段38,48による異常種別判定処理の詳細を図11に基づいて説明する。異常通知手段38,48は、異常種別の変数やフェールセーフ遷移フラグ変数を初期化してS15-1、各入力手段35,36及び入力手段45,46の各入力信号を端子として扱い、端子1~端子nnは整数までの異常の状態を検出する。具体的には、異常通知手段38,48は、まず、端子1が異常状態であると判定した場合にはS15-2、異常端子検出処理1としてステップS15-3に移行し、端子1の異常種別をセットしS15-3A、端子1の異常カウンタ加算すなわち、異常発生回数カウンタ変数のインクリメントを行ってS15-3B、次のステップS15-4へと移行する。異常通知手段38,48は、以下同様にして、端子2~端子nに対して、異常の有無の判定と異常があった場合は異常検出処理を実行するS15-4~S15-7。次に、異常通知手段38,48は、複数端子間異常検出処理S15-8を実行する。複数端子間異常検出処理として、異常通知手段38,48は、まず異常判定マトリクステーブル78にアクセスすると共にS15-8A、各端子の異常カウンタ値を読み込んでS15-8B-1、当該カウンタ値が予め定めた閾値を超えている場合はS15-8B-2、異常判定マトリクステーブル78の該当する端子の組合せに対応する安全機能フェールセーフ処理のIDを判定結果として抽出するS15-8B-3。ここで、ステップS15-8B-1~ステップS15-8B-3までの処理を異常端子カウンタ閾値判定処理S15-8Bという。なお、安全機能IDとして、優先度重要度が高いほど大きい数字を割り当てるようにし、異常判定マトリクステーブル78から抽出される安全機能が複数存在する場合は、数字の最大値を抽出するようにする。たとえば、図14において、端子1と端子2が信号異常、端子3が装置故障の場合、速度制限と減速停止の両方が抽出されることになるが、安全機能として、速度制限は1、減速停止は2を割り付けておけば、数字の大きい方である減速停止安全機能ID=2が最終的に選択されることになる。なお、本実施の形態では、異常判定マトリクスの実装方法としては、テーブル方式を用いて説明しているが、分岐命令方式を採用しても良い。次に、異常通知手段38,48は、フェールセーフ遷移フラグ変数に判定結果を書き込んでS15-8C、当該遷移フラグ変数が1以上、すなわち異常ならばステップS16へ移行し、当該遷移フラグ変数が0、すなわち無効ならば、ステップS17へ移行する。以上が異常種別判定処理の内容である。このように、監視手段37,47は、異常判定マトリクスを用いることで、入力手段35,36及び入力手段45,46によって入力信号あるいは機能の意味づけが異なる場合においても、柔軟に対応可能となる。なお、入力手段35,36及び入力手段45,46に接続される信号は、主として処理タイミングの同期、データ送受信タイミングの同期である。したがって、図14に示すように、制御装置制御基板20に実装された回路例えば、演算装置31,41の周囲や回路外に開放する配線39A,39Bをプルアップまたはプルダウン等で信号を安定させた状態で、あるいは開放状態で配索し、この配線39A,39Bによる受信信号の変位を監視することで外部からのノイズや異常をアンテナ検出するような場合にも、異常判定マトリクスを適用することが可能である。この場合、特に、アンテナ検出用の信号の端子が異常になった場合は、優先的にノイズ信号異常として判定することにより精度の高い不具合内容の区別が可能となり、これにより稼働率を上げることができる。ステップS16のフェールセーフ処理の詳細次に、ステップS16で示したフェールセーフ処理の詳細を図12に基づいて説明する。監視手段37,47は、フェールセーフ処理対象に対して予め設定された安全機能フェールセーフ処理を選択しステップS16-1、電動機4の種類や適用される機器装置に応じて、フリーランの停止ステップS16-2、減速停止ステップS16-3、速度制限ステップS16-3といった異常処理モードを選択する。なお、図13に示した選択肢を含め、電動機4の種類や適用される機器装置に応じて、上述した異常処理以外の処理を含ませることも可能である。これにより、ノイズの種類に対して複数の端子1~nの出力結果に基づいて、図13に示すように多数決的に監視手段37,47によって異常を判定し、ノイズの種類に関わらずノイズの存在のみによって一律に電動機4を停止させてしまい、電動機4の稼働率を低下させるという事態を改善することができる。[第3の実施の形態]次に、図15及び図16を用いて、第2の実施の形態との違いを中心に第3の実施の形態による安全制御システム1について説明する。上記第2の実施の形態では演算装置31,41の監視手段37,47が独立して動作していたのに対し、本実施の形態では監視手段37,47の異常判定結果を互いに連動させる。即ち、図15に示すように、演算装置31,41監視手段37,47の間にUARTやSPI等のシリアル通信線又はパラレル通信線等の配線21を介して相互通信可能としている。この相互通信手段としての配線21を用いて、一方の監視手段37,47で管理される各入力手段35,36及び入力手段45,46で検出された異常検出回数のカウンタ変数を数100ms~1000ms程度の一定間隔周期で他方の監視手段37,47に通信する。また、その通信結果で得られた一方の監視手段37,47の異常検出回数は、他方の監視手段37,47で管理している異常検出回数とは別のメモリエリア演算装置31,41のカウンタ値に格納される。監視手段37,47は、第2の実施の形態で示した異常種別判定の複数端子間異常検出処理にある異常端子カウンタ閾値判定とは異なる異常端子カウンタ閾値判定を行う。具体的には、本実施の形態による異常端子カウンタ閾値判定処理は、図16に示すように、各演算装置31,41の異常検出回数を格納したカウンタ値を読み込んだうえでステップS15-8B-4、他方の演算装置31,41のカウンタ値を読み込みステップS15-8B-5、一方の演算装置31,41の異常検出回数を格納したカウンタ値を合計平均前回との差分を演算したステップS15-8B-6後に、その中で予め選択した演算方法と閾値とを用いて、どれを閾値との比較に用いるのかを初期設定を参照して決定選択するステップS15-8B-7。たとえば、同一ルートで配線したタイミング同期信号を2つの演算装置の同じ端子に入力し、当該端子の異常カウンタが共に予め定めた閾値以上となり、かつ、両異常カウンタの値の差が一定値以下の場合は、ノイズの可能性が大きいと判定することができる。そして、その演算方法と閾値とで比較を行い、閾値を超える場合には電力変換器60の運転前に予め初期設定で選択された安全機能減速停止、フリーラン停止、速度制限などを速やかに実行するステップS15-8B-8。このように、本実施の形態による安全監視システムによれば、複数の演算装置31,41を用いると共に、監視手段37,47によるノイズに関する異常判定に対して柔軟性を持たせ、電動機4の稼動率の低下を抑えつつ安全性を確保することが可能となる。また、閾値を動的とすることにより、電動機4の種類や装置全体の機種種別環境等を考慮した異常判定への対応においても柔軟性を具備させることができ、例えば、危険度の低い信号一過性ノイズ等に対しては電動機4又は電力変換器60の稼動を継続又はスピードを緩め、危険度の高い信号故障短絡断線に対してはその稼動を停止させるといったように、汎用性を向上させることができる。"