JP5584584B2 - 安全制御装置 - Google Patents

Description

本発明は、請求項１のプレアンブルに記載の、他の安全制御装置を接続するための通信インタフェースを備える安全制御装置、及び請求項１１のプレアンブルに記載の、制御信号の発生方法に関する。

安全制御装置は、危険信号に接した際に所定の方法で誤りなく反応するために特に役立つ。安全技術の典型的な用途として。例えばプレス機やロボットのように、操作者が過って近付いたときに電源を遮断したり防護動作を行ったりする必要のある危険な機械からの防護がある。そのために、光格子や安全カメラのような、接近を認識するためのセンサが設置される。このようなセンサが危険を認識したとき、このセンサと結合された安全制御装置は完全に信頼できる形で遮断信号を出力しなければならない。

実際には、単一のセンサで単一の機械を監視することはほとんどなく、危険の発生源となる一続きものを全てまとめて監視する場合が多い。その場合、それぞれスイッチ事象を定義できる十分に多数のセンサと、危険を排除するための適切な手段とを安全制御装置内に構成し、相互に接続しなければならない。安全制御装置のプログラミングはグラフィックを利用した専門的なプログラミング層により支援されているが、それでも、何か間違いがあれば人間に危険が及ぶことから、深い知識が必要となる。制御装置のプログラミングに関するＩＥＣ（国際電気標準会議）規格６１１３１には、機能部品を用いたグラフィカルなプログラミングに関する記述（ＩＥＣ６１１３１−３）や、物理技術的な意味での入出力インタフェースに関する記述（ＩＥＣ６１１３１−２）がある。ただし、入力・出力スイッチの装着の構成や、それをセンサや駆動装置へ接続するインタフェースは標準化されていない。

実際に用いられている機械の基本設計はモジュール化が進み、多数のオプションが利用可能になっている。モジュール方式の１つの意味は、接続されるセンサ群や駆動装置群の変更や拡張に適合させるために、安全制御装置自体をモジュール化して拡張可能にするということである。一方、複数の安全制御装置をネットワークで相互に接続するという意味もある。これは例えば、１つの機械に対して又は設備の一部に対して１つの安全制御装置が責任を持つような場合に有効である。この場合、付属する機械へ制御機能の大部分がローカルに関連付けられる。同時に、例えば非常信号のように、安全制御装置の間で送受信しなければならない信号もある。

機械の追加、除去又は交換により設備の構成が変わると、ネットワーク内に接続された安全制御装置の制御プログラムはもはや有効ではなくなるため、プログラムを変更した上で、その運用を新たに開始する必要がある。これは適切な教育を受けた者にしかできない作業である。再プログラミングせずに安全制御装置をネットワークから取り外すと、ネットワークに障害が起きたとみなされるため、安全技術上の理由から運転のための自由な使用が拒否される。

それぞれ具体的な用途のために利用可能又は利用不能にできる最大ｎ台の機械を備えるモジュラー式設備においては、最大２^ｎ通りの部分構成が考えられる。同じことは、各機械に１対１で割り当てられたｎ台の安全制御装置から成るネットワークにも当てはまる。これらの組み合わせを写し取るために、従来は各安全制御装置の制御プログラムにそれぞれ最大２^ｎの通りのバージョンが必要であった。これは単に莫大なコストが生じるばかりでなく、プログラミングに専門知識を要するためエラーが発生しやすい。あるいは、少なくとも制御の専門家が具体的な用途に必要な制御プログラムを選択する必要がある。このように、従来の解決法は時間及びコストがかかる上、柔軟性に欠ける。

それゆえ、本発明の課題は、ネットワーク状に接続された安全制御装置の構成が変更された場合にそれに簡単かつ安全に適応できるようにすることである。

この課題は請求項１に係る安全制御装置及び請求項１１に係る制御信号発生方法により解決される。その解決策は、ネットワーク状に接続された安全制御装置が具体的な構成にまったく依存しないように制御プログラムを設計するという基本的な考え方から始まる。その代わりに、制御プログラムが常に同じ論理を使用するため、実際には存在しない安全制御装置がネットワーク通信に加わっているかのようになる。有効な動作を確実に行うために、ある安全制御装置が欠落した場合にその安全制御装置により期待される制御関連情報の代わりとなる情報が事前に定義される。

従って本発明では、制御プログラムがネットワークに参加している安全制御装置の認識された構成に実際には依存してはいるものの、制御プログラムをそれに適合させる必要はなく、論理規則は変更されない。制御プログラムは単に、ネットワーク内にあるべき安全制御装置の欠落した場合に、伝送すべき情報の代わりに事前定義情報を用いることを決定するだけでよい。

本発明には、同一の制御プログラムによりモジュール型設備の全ての組み合わせをカバーできるという利点がある。設備構成が変更されても、制御プログラムは変更されないため、専門的知識を要する運用開始作業は必要ない。安全制御装置から成るネットワークは実際の具体的な安全制御装置から独立したまま常に完全に機能できる。そのため、柔軟性が高く、しかも安全制御装置を完全に機能させたまま設備を速やかに変更することができる。

制御関連情報は、各安全制御装置のプロセスの少なくとも部分的なコピーであることが好ましい。なお、実際に必要な帯域幅は比較的狭いため、それぞれのプロセス全体をコピーすることが好ましい。プロセスのコピーにおいては、例えば数個又は全ての入力・出力の状態をビット値で表現することができる。ただし、基本的には、安全制御装置固有のプロセスのコピー形式を定め、例えば論理の中間結果をコピーすることは自由である。例えば、第２バイトの第４ビットでモータ１の動作／停止を、また第３バイトの第５ビットで非常停止信号の出力／非出力をそれぞれ表現し、これらの結果をもたらすセンサ群や論理に対しては、その複雑さの度合いに関係なくその表現を用いる、ということが可能である。また、写し取られるプロセスのコピーの幅（より一般的には制御関連情報から写し取られる情報ビットの数）は、通信インタフェースで接続された各安全制御装置の間で異なっていてもよい。

事前定義情報は、支障なく作動した場合に予想される安全制御装置のプロセスを仮にコピーしたものの少なくとも一部であることが好ましい。ここでもやはりプロセスの完全なコピーを予め定義しておくことが好ましい。接続されているはずの安全制御装置が存在しない場合に、他の安全制御装置がこの予め定義されたプロセスのコピーを用いると、安全制御装置のネットワークグループは、欠落している安全制御装置があたかも接続されているかのように円滑に作動する。

通信インタフェースは安全な通信に対応した構成とすることが好ましい。通信インタフェースを通じて送受信される制御関連情報は、一般に安全制御装置の論理規則に編み込まれているため、安全上極めて重要である。安全な通信には、例えばＣＡＮやProfibusのような公知のバス規格が利用可能である。これらのバス規格を、追加の安全プロトコルや冗長な追加のケーブルを用いることにより安全に発展させる。

安全制御装置はモジュール形式で構成され、複数の入力及び／又は複数の出力を備える少なくとも１つの接続モジュールを備え、第１の接続モジュールが制御ユニットに接続され、他の接続モジュールが前段に配置された接続モジュールだけにそれぞれ接続されていることにより、制御ユニットが接続モジュールとともにモジュール列を形成していることが好ましい。個々の安全制御装置をモジュール型に構成することにより、安全制御装置により監視される機械又は設備の一部のセンサ群や駆動装置群における柔軟な適応化が可能となる。

制御ユニットが制御モジュールを構成し、接続モジュールと同様に制御モジュールも少なくともいくつかの次元において互いに同じ幾何的な外形を有する１つのケーシングにそれぞれ収納され、各接続モジュールがモジュール列の前段のモジュールへの接続及び後段のモジュールへの接続を備えるようにすると有利である。このようにすると、モジュール列を構成する際に分かりやすくなり、必要なスペースを計画できるようになる。制御モジュールの幾何形状を意図的に接続モジュールの幾何形状と異ならせることにより、それを目立たせたり、電子機器の必要量の増大に応じてスペースを作り出したりすることができる。ただし、このような差異をすべての次元で設ける必要はない。例えば制御モジュールが接続モジュールに対して同じ幅と奥行きを持ち、高さが異なるようにする。

本発明の発展形態では、複数の同じ安全制御装置が通信インタフェースを通じて接続されたネットワーク内に配置され、１つの安全制御装置がマスターとして、他の安全制御装置がスレーブとしてそれぞれ構成されるか、若しくはマルチ・マスター・ネットワーク内で複数又はすべての安全制御装置がマスターとして構成される。複数又は全ての安全制御装置がマスターとして構成されるマルチ・マスター・ネットワークでは、ネットワーク内に１つでもマスターが残っている限り、ネットワーク通信を妨げることなく各安全制御装置を取り外すことができるため、モジュール方式に有利である。マルチ・マスター方式の実施例において、全ての安全制御装置の間で定期的に全てのプロセスのコピーを交換する（all-to-all）ことにより、どの安全制御装置においても装置配列の全ての制御関連情報が利用できるようにすれば、システムが最も強固なものとなる。

ネットワーク内の各安全制御装置の制御プログラムは、所定の最大数の安全制御装置を備える所定の最大構成のための論理規則を用いることが好ましい。これにより、設備はその最大の形で設計され、それに合わせて論理規則及び制御プログラムの実装や事前定義情報の記憶装置への保存が行われる。個々の安全制御装置はそれぞれ動作中に、自身が保持する制御関連情報か、ネットワークを通じて受信した制御関連情報のうち自身に該当する部分を処理し、その評価結果を送受信する。その後の具体的な応用に当たって最大構成の一部しか実施されない場合、各安全制御装置は、最大構成から欠落した安全制御装置については保存済みの事前定義情報を使用する。こうして、部分構成がなお有効で、かつ事前定義情報が保存されている限り、装置配列は全ての部分構成に対応できる状態にある。なお、特定の解決策においては、いくつかの安全制御装置を必須のものとし、交換不能にすることも当然考えられる。このような安全制御装置については事前定義情報を保存しておく必要はない。なぜなら、この安全制御装置は稼働中は常に存在していなければならないからである。

装置配列の個々の安全制御装置の制御プログラムは、特に安全制御装置のアクティブ化の際に、装置配列の全ての安全制御装置が同じ最大構成のために構成されているかどうかを互いに比較することが好ましい。ここで「アクティブ化」とは、例えば機械設備のスイッチ投入や起動を意味する。「運用開始（Inbetriebnahme）」はアクティブ化の特殊な形態であって、新たな設備や変更後の設備のスイッチを初めて入れることを言う。運用開始ではほとんどの場合、特に専門的知識を有する者が必要であるが、本発明の場合、安全制御装置のネットワーク構成の変更の際にはそのような専門家は絶対に必要というわけではない。この実施形態によれば、アクティブ化の際、具体的に実現されたネットワークに含まれる安全制御装置が有効に共同動作を行うかどうかが検査される。それには、使用される事前定義情報の一致の検査が含まれる。これは例えば識別番号（ＩＤ番号）を通じて確認することができる。

装置配列の個々の安全制御装置の制御プログラムは、安全制御装置が記憶された最大構成の部分構成の装置配列に一致するかどうかを、特に安全制御装置のアクティブ化の際に、互いに比較することが好ましい。本発明は安全制御装置の配列の変更を支援するものであるが、その変更は何の考えもなく何時でも行われてよいわけではない。運転中における情報交換は安全技術の応用においては動作の中断とみなされ、安全な方向へと対応が採られる。そうは言っても、アクティブ化の際には、ネットワーク構成の変更が故意のものか、それとも何らかの欠陥の結果又は過誤による接続ケーブルの切断の結果なのかを確認しなければならない。それゆえ、最後に調整されたネットワーク構成を記憶装置に保存しておき、それに対してネットワーク構成の変更があれば直ちに設備の自由な使用を拒否するか、専門知識を有する操作者の適切な承認を要求する。

本発明に係る方法は、同様のやり方で、更なる特徴の導入により仕上げていくことが可能であり、それにより同様の利点を示す。このような更なる特徴は、例えば本願の独立請求項に続く従属請求項に記載されているが、それらに限定されるものではない。

その際、論理規則と事前定義情報は、ネットワーク内の安全制御装置の最大数を含む最大構成のために設計することが好ましい。このようにすれば、後で非常に簡単に任意の部分構成を選び出すことができる。

最大構成の部分構成への適応は、安全制御装置をネットワークから取り外す又は交換し、その際に変更された構成を特別に承認して自由に使用可能な状態にする、という手順で行うことが好ましい。事前定義情報に基づいて、このような簡単な手順によりネットワーク接続型安全制御装置の再プログラミングが完了する。制御プログラムを変更する必要はない。

ネットワークに接続されている全ての安全制御装置が同じ最大構成のために構成されているかどうかを、特に安全制御装置のアクティブ化の際に検査することが有利である。これにより、相互に調整されていない安全制御装置（例えば異なる事前定義情報を用いるもの）によるネットワークの形成が防止される。

ネットワークに接続されている全ての安全制御装置が、記憶された最大構成の部分構成に一致するかどうかを、特に安全制御装置のアクティブ化の際に検査することが好ましい。このようにすれば、意図しないネットワークの変更が回避される。

以下では、本発明の模範的形態について、更なる特徴及び利点をも考慮しつつ、実施形態に基づき、添付の図面を参照ながら詳しく説明する。図面の内容は以下の通りである。

複数の安全制御装置から成るネットワークの最大構成を示す概略ブロック図。 図１のネットワークからいくつかの安全制御装置を切り離した部分構成を示す図。 モジュール型安全制御装置に接続されたセンサ及び駆動装置を有する設備の例を示す全体図。

図３は、安全な制御ユニット１４（例えばマイクロプロセッサ又は他の論理素子）を有する制御モジュール１２を備えるモジュール型安全制御装置１０を示している。制御モジュール１２内には記憶領域１５が設けられている。ここには一又は複数の事前に定義されたプロセスのコピーが記録されており、制御ユニット１４はそれにアクセスすることができる。これについては後で図１及び図２を参照しながら詳しく説明する。

制御モジュール１２には４つの接続モジュール１６ａ〜１６ｄが直列に接続されている。各接続モジュール１６ａ〜１６ｄには、センサ２０ａ〜２０ｃを接続するための入力部１８及び駆動装置２４ａ〜２４ｂを接続するための出力部２２が設けられている。なお、この図と違って、接続モジュール１６ａ〜１６ｄの接続部の種類や数が異なってもよく、入力部しかない形態、出力部しかない形態、あるいは両方を持つがその数が異なる形態も可能である。更に、特定の接続モジュール１６を選択することにより、接続端子１８及び２２の配置と物理的構成を様々なプラグの形式、ケーブルの太さ及び信号の種類に合わせることができる。なお、図のモジュール１２及び１６ａ〜１６ｄは単純化して描いたものであって、他にも要素があり得る。例として、接続部毎にセンサや駆動装置の所属を光学的に強調して分かりやすく表示するＬＥＤが挙げられる。

安全制御装置の任務は、センサ２０ａ〜２０ｃと駆動装置２４ａ〜２４ｂ（特に後者）の安全運転に努めること、つまり、安全のために駆動装置２４ａ〜２４ｂへの電流を遮断すること（この場合、出力部２２はＯＳＳＤ（Output Switching Signal Device）である）、設備の緊急避難動作を確実に実行すること、駆動装置２４ａ〜２４ｂに対する任意の制御（特に電源投入又は再起動）に対して同意すること、駆動装置２４ａ〜２４ｂを自由に利用可能な状態にすること等である。

光格子２０ｂ、安全カメラ２０ａ及びスイッチ２０ｃは、安全のために電流を遮断するという応答動作の引き金となる信号を出力する安全用センサまたは入力機器の例である。この信号は、光格子２０ｂの光線が身体の一部により遮られたり、防護領域内へ何物かが許可なく侵入したことが安全カメラ２０ａにより検知されたり、スイッチ２０ｃが作動したりした場合に出力される。入力部１８には他にも、レーザスキャナ、３Ｄカメラ、スイッチ付きマット又は容量型センサなど、任意の種類の安全センサを接続することができる。さらに、測定データを収集するためのセンサや、非常停止スイッチのような単純なスイッチなどでもよい。このような信号出力機器を以下の説明ではすべてセンサと呼ぶ。

特定の用途では、センサ２０を出力部２２に接続し、駆動装置２４を入力部１８に接続することもある。例えば、試験信号を記録する場合、センサ２０を一時的にオフにする場合（ミュート）、センサ２０の監視領域から一部の領域をマスクする場合（ブランキング）、あるいは駆動装置２４が、制御用の入力の他に、自身を部分的に監視するための固有の信号出力を備える場合である。

出力部２２には、操作者が許可なく侵入した場合に危険を及ぼす可能性のある駆動装置の例として、ロボット２４ａと折り曲げプレス機２４ｂが接続されている。この接続には図のように二重の経路を用いることが好ましい。これにより駆動装置２４ａ〜２４ｂは安全制御装置１０から電流遮断命令を受け取ることができるため、安全センサ２０ａ〜２０ｂにより危険又は不正な侵入が検知された場合に、電流を遮断したり、安全な状態に移行したりすることができる。今の場合、光格子２０ｂを折り曲げプレス機２４ｂの監視に、また安全カメラ２０ａをロボット２４ａの監視にそれぞれ利用できるため、機能上相互に属するセンサ２０ａ〜２０ｂ及び駆動装置２４ａ〜２４ｂがそれぞれモジュール１６ａ又は１６ｂに接続されている。ただし、機能的な割り当ては制御ユニット１４により行われる。従って、上記のような図解は分かりやすいものの、決して必須ではない。図示した駆動装置以外のものも考えられる。しかもそれには、危険領域を作り出すようなものだけでなく、警報ランプ、サイレン、表示装置等のようなものもある。

制御ユニット１４と入力部１８又は出力部２２との間には、バックプレーンと呼ばれるシリアル通信接続２６が設けられている。これは特にバスであり、シリアル通信規格、フィールドバス規格（例えばIO-Link、Profibus、CAN）又はプロプライエタリな規格に準拠し、しかもエラーに強い設計とすることができる。あるいは、バスの代わりに、直接接続、並列接続、若しくは送受信されるデータ量や必要なスイッチング時間に応じた他の接続２６を設けてもよい。モジュール１６ａ〜１６ｄはバス通信に参加するためにそれぞれ固有の制御部２８を備えている。そのために、マイクロプロセッサ、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application-Specific Integrated Circuit）、プログラミング可能な論理素子、又は類似のデジタル素子が設けられている。更に制御部２８は、評価の仕事を受け持ったり、制御ユニット１４と共同して評価処理の割り当て部分を実行したりすることもできる。これには、簡単なブール結合から、３次元安全カメラの映像の評価のような複雑な処理まで様々なものがあり得る。

モジュール１２及び１６ａ〜１６ｄはそれぞれユニット式のケーシングに収納され、接続具により機械的及び電気的に相互に結合されている。これにより、制御モジュール１２がモジュール列の先頭となっている。

制御ユニット１４、入力部１８、出力部２２及びバス２６はエラーに強い。これはつまり、二重経路の使用や、多様な、冗長性を持つ、自己検査式あるいは他の安全な評価及び自己テスト等の措置によるものである。安全制御装置に関する安全要件は、欧州規格ＥＮ９５４−１やＩＳＯ１３８４９（パフォーマンスレベル）に規定されている。その装置により実現可能な安全の段階や、装置の使用に関する他の安全要件は、欧州規格ＥＮ６１５０８又はＥＮ６２０６１に定められている。

安全制御装置１０の構成及びプログラミングは実際にはグラフィカルなユーザ層上で行われる。これを利用して、制御プログラムを作成し、続いて実行することができる。

本発明では、前述のような安全制御装置１０が複数台、ネットワークに接続される。そのために、制御モジュール１２は少なくとも１つのインタフェース３０を備えており、これを通じて各安全制御装置は、例えば安全なバスプロトコルを使って相互に通信する。

図１は、それぞれのインタフェース３０によりバス３２を通じて相互に接続された複数（ここ例では４台）の安全制御装置１０ａ〜１０ｄから成るネットワークの簡略なブロック図である。安全制御装置１０ａ〜１０ｄは互いに同じ構成である必要はなく、接続モジュール１６や入力部１８、出力部２２の数が異なっていたり、接続されているセンサ２０や駆動装置２４の種類が異なっていたり、評価論理が異なっていたりしてもよい。実際の利用では、各安全制御装置１０ａ〜１０ｄは、モジュール型設備のなかの完結した部分（例えば単独の機械）に割り当てられ、その部分を安全技術的に監視する。

安全制御装置１０ａ〜１０ｄはネットワーク３２を通じて相互に安全関連情報を交換する。この情報は、例えば安全制御装置１０ｃにより監視されている１つの機械内で出力された非常信号であるが、それでも設備全体を停止しなければならない。従って、個々の安全制御装置１０ａ〜１０ｄの評価論理は、その論理規則を用いて、自身の入力部１８からの入力信号だけでなく、ネットワーク３２を通じて受信される制御関連情報も、出力部２２からの制御信号に結び付ける。更に可能であれば、こうして求められた制御信号に関する情報はプロセスのコピーを通じて他の安全制御装置１０ａ〜１０ｄにも分与される。なお、各安全制御装置１０ａ〜１０ｄの制御プログラムはどの制御関連情報を実際に論理規則に取り込むべきかを自主的に決定することができるため、完全なプロセスのコピーを送受信しても、各安全制御装置１０ａ〜１０ｄがすべてのプロセスコピー情報を自身の論理規則に取り込む必要はない。代わりに、プロセスのコピーの一部又は別の圧縮された情報（例えば、緊急停止が行われたという情報）だけを交換することも考えられる。

各安全制御装置１０ａ〜１０ｄは、プロセスのコピーの交換に関してはいずれもマスターとして構成されており、図１の下部に描かれているように、自身の実際のプロセスのコピーを他の全ての安全制御装置１０ａ〜１０ｄへ送信し、それに応じて他の安全制御装置１０ａ〜１０ｄのプロセスのコピーを受信する。ここではプロセスのコピーは８バイト幅であり、４台の安全制御装置１０ａ〜１０ｄでは３２バイトのプロセスデータになるが、これは単なる例に過ぎないと理解すべきである。プロセスのコピーは、全部まとめてこの例とは異なるものにしてもよいだけでなく、安全制御装置１０ａ〜１０ｄ毎に異なるものにすることもできる。

図１に示した構成は、計画された最大のシステムの全体に相当する。各安全制御装置１０ａ〜１０ｄの制御プログラムは、まず運転中に他の安全制御装置のプロセスデータを受け取るように設計されている。これは、論理規則がそのように受信されるプロセスデータの一部又は全体に依存して定義されている可能性があるからである。

図２は図１の最大構成の部分構成を示している。この構成では、陰影を付けた矩形３４で示されているように、２つの安全制御装置１０ｃ及び１０ｄがネットワークから切り離されている。従って、実際に存在するネットワークは残りの２つの安全制御装置１０ａ及び１０ｂのみで構成されている。しかし、論理規則を持つ制御プログラムは欠落した安全制御装置１０ｃ及び１０ｄの情報を待ち受けている。そのため、ネットワークを通じて送信されなくなったプロセスデータを事前に定義されたプロセスデータ（デフォルトのプロセスのコピー）で置き換える。このデータは各安全制御装置１０ａ及び１０ｂのそれぞれの記憶装置１５に保存されている。事前定義プロセスデータは、安全制御装置１０ｃ及び１０ｄが存在していなくても、残りの安全制御装置１０ａ及び１０ｂが、例えばプロセスデータを用いて、有効な制御信号、つまり安全制御装置の通常の円滑な運転に対応した制御信号を出力するように選ばれている。既に何度か使った非常停止の例では、欠落した安全制御装置１０ｃ及び１０ｄの１つが非常停止するはずであるが、今の例では、非常停止スイッチを表すプロセスデータが例えば「非常停止スイッチはオンになっていない」という値に設定されている。

図１に示した最大構成のシステム全体を設計する際にも、各参加装置、つまり各安全制御装置１０ａ〜１０ｄに対応する事前定義プロセスデータが確定され、他の安全制御装置１０ａ〜１０ｄに通知される。

事前定義プロセスデータがあれば、図２の部分構成でも完全に配備可能である。その際、制御プログラムの変更等を行う必要はなく、また可能な部分構成を認識するために論理規則が場合分けを行う必要もない。

安全制御装置１０ａ〜１０ｄは、それらが同一の最大構成に属するかどうかを、例えば一意のグループＩＤ番号を交換することにより検査する。これにより、事前定義プロセスデータが互いに適合していることが証明される。この検査はまず第１に設備の起動時に行われる。ある装置が別のグループに属していることが分かった場合、システムは運転を開始しない。

図２に例示したような実際の部分構成は、安全制御装置１０ａ〜１０ｄに記憶される。設備の起動の際、実際に存在する安全制御装置１０ａ〜１０ｄと記憶された部分構成とが比較される。全ての安全制御装置１０ａ〜１０ｄが同じグループＩＤ番号を持っていて、ネットワークが所期の安全制御装置１０ａ〜１０ｄを全て含んでいれば、設備を自由に利用可能にすることができる。

いずれかの安全制御装置１０ａ〜１０ｄが欠落している等の理由により、認識された部分構成が記憶された部分構成と食い違っている場合、その理由としては、欠陥と、意図的な設備変更の２つが考えられる。それゆえシステムは、この変更が意図的なものであり、認識された設備が所望の部分構成に一致するかどうかを確認メカニズムを通じて確かめる。確認に対する応答がなければ、設備の自由な利用が拒否される。この確認が行われた後、その新たな部分構成が記憶装置に保存され、グループの安全制御装置１０ａ〜１０ｄは、最大構成から欠落している安全制御装置１０ａ〜１０ｄのための事前定義プロセスデータを用いて作動する。切り離すべき安全制御装置１０ａ〜１０ｄの切断、又は交換された安全制御装置１０ａ〜１０ｄの新たな接続の後、新たな部分構成の承認さえ行えば、変更後の設備に安全制御装置１０ａ〜１０ｄのネットワークを適合させるために他に何もする必要はない。

Claims (15)

1. センサ（２０）を接続するための少なくとも１つの入力部（１８）、駆動装置（２４）を接続するための少なくとも１つの出力部（２２）、制御関連情報を交換するために別の安全制御装置（１０ａ〜１０ｄ）を接続するための少なくとも１つの通信インタフェース（３０）、並びに、所定の論理規則に基づいて、前記入力部（１８）からの入力信号に依存する及び／又は前記制御関連情報に依存する制御信号を前記出力部（２２）に生成する制御プログラムを実行するように構成された制御ユニット（１４）を備える安全制御装置（１０）において、
   前記制御プログラムは、所期の安全制御装置（１０ａ〜１０ｄ）が接続されていないことを確認したとき、該所期の安全制御装置（１０ａ〜１０ｄ）から伝送されるべき制御関連情報の代わりに事前定義情報を用いること
   を特徴とする安全制御装置（１０）。
2. 前記制御関連情報が、各安全制御装置の入出力信号の状態の少なくとも一部である、請求項１に記載の安全制御装置（１０）。
3. 前記事前定義情報が、支障なく作動した場合に予想される安全制御装置の入出力信号の仮想的な状態の少なくとも一部である、請求項１又は２に記載の安全制御装置（１０）。
4. 前記安全制御装置（１０ａ〜１０ｄ）が安全なネットワークを介して別の安全制御装置（１０ａ〜１０ｄ）に接続されている、請求項１〜３のいずれかに記載の安全制御装置（１０）。
5. 前記安全制御装置（１０）がモジュール形式で構成され、複数の入力（１８）及び／又は複数の出力（２２）を備える少なくとも１つの接続モジュール（１６）を備え、第１の接続モジュール（１６ａ）が前記制御ユニット（１４）に接続され、他の接続モジュール（１６ｂ〜１６ｄ）が前段に配置された接続モジュール（１６ａ〜１６ｃ）だけにそれぞれ接続されていることにより、前記制御ユニット（１４）が前記接続モジュール（１６ａ〜１６ｄ）とともにモジュール列を形成している、請求項１〜４のいずれかに記載の安全制御装置（１０）。
6. 前記制御ユニット（１４）が制御モジュール（１２）を構成し、前記接続モジュール（１６ａ〜１６ｄ）と同様に該制御モジュール（１２）も少なくともいくつかの次元において互いに同じ幾何的な外形を有する１つのケーシングにそれぞれ収納され、各接続モジュール（１６ａ〜１６ｄ）がモジュール列の前段のモジュール（１２、１６ａ〜１６ｃ）への接続及び後段のモジュール（１６ｂ〜１６ｄ）への接続を備える、請求項５に記載の安全制御装置（１０）。
7. 請求項１〜６のいずれかに記載の複数の安全制御装置（１０ａ〜１０ｄ）が通信インタフェース（３０）を通じて接続されたネットワーク内に配置されて成る装置配列であって、１つの安全制御装置（１０ａ〜１０ｄ）がマスターとして、他の安全制御装置（１０ａ〜１０ｄ）がスレーブとしてそれぞれ構成されるか、若しくはマルチ・マスター・ネットワーク内で複数又はすべての安全制御装置（１０ａ〜１０ｄ）がマスターとして構成されているもの。
8. ネットワーク内の各安全制御装置（１０ａ〜１０ｄ）の制御プログラムが、所定の最大数の安全制御装置（１０ａ〜１０ｄ）を備える所定の最大構成のための論理規則を用いる、請求項７に記載の装置配列。
9. 装置配列の個々の安全制御装置（１０ａ〜１０ｄ）の制御プログラムが、特に安全制御装置（１０ａ〜１０ｄ）のアクティブ化の際に、装置配列の全ての安全制御装置（１０ａ〜１０ｄ）のいずれもが前記最大構成に属する装置であるか否かを互いに比較する、請求項８に記載の装置配列。
10. 装置配列の個々の安全制御装置（１０ａ〜１０ｄ）の制御プログラムが、安全制御装置（１０ａ〜１０ｄ）が記憶された最大構成のうちの一部を構成する装置の配列に対応づけられているかどうかを、特に安全制御装置（１０ａ〜１０ｄ）のアクティブ化の際に、互いに比較する、請求項８又は９に記載の装置配列。
11. 所定の論理規則に基づき、安全制御装置（１０）の入力部（１８）からの少なくとも１つのセンサ（２０）の入力信号に依存し、かつ、他の安全制御装置（１０ａ〜１０ｄ）により少なくとも１つの通信インタフェース（３０）で交換される制御関連情報に依存して、少なくとも１つの駆動装置（２４）に対する制御信号を前記安全制御装置（１０）の出力部（２２）に発生させる方法において、
    所期の安全制御装置（１０ａ〜１０ｄ）が通信インタフェース（３０）に接続されていないときには、該所期の安全制御装置（１０ａ〜１０ｄ）から伝送されるべき制御関連情報の代わりに事前定義情報を用いて前記制御信号を発生すること
    を特徴とする方法。
12. 前記論理規則及び事前定義情報が、ネットワーク内の安全制御装置（１０ａ〜１０ｄ）の最大数を含む最大構成のために設計されている、請求項１１に記載の方法。
13. 安全制御装置（１０ａ〜１０ｄ）をネットワークから取り外す又は交換することにより変更された構成を承認する手順を経て、該変更された構成を最大構成に適用して使用可能にする、請求項１２に記載の方法。
14. ネットワークに接続されている全ての安全制御装置（１０ａ〜１０ｄ）のいずれもが前記最大構成に属する装置であるか否かが、特に該安全制御装置（１０ａ〜１０ｄ）のアクティブ化の際に検査される、請求項１２又は１３に記載の方法。
15. ネットワークに接続されている全ての安全制御装置（１０ａ〜１０ｄ）が、記憶された最大構成のうちの一部を構成する装置の配列に対応づけられているかどうかが、特に安全制御装置（１０ａ〜１０ｄ）のアクティブ化の際に検査される、請求項１２〜１４のいずれかに記載の方法。

Images