JP6521020B2 - セーフティコントローラ - Google Patents

Description

本発明は、セーフティコントローラに関する。

従来、プログラマブルコントローラ（Programmable Logic Controller、以下「ＰＬＣ」と略記）等の産業用制御装置が実行するロジック演算処理、入出力制御処理に加えて、安全面の自己診断処理を実行することにより、高度な安全性および信頼性を確保したセーフティコントローラが知られている。例えば、特許文献１には、設備に必要な制御点数に対して無駄のないＩＯ構成を実現するセーフティコントローラが開示されている。特許文献１のセーフティコントローラは、ＩＯ電源用の配線の増加を回避し、システム変更や追加に対しても無駄なく簡単に対応できるＩＯユニットを実現している。

特開２００７−３１０６９３号公報（２００７年１１月２９日公開）

上述のようなセーフティコントローラに対しては、安全応答性能（各種の入力デバイスからの入力に対して、高度な安全性および信頼性を確保した応答を実行する性能）の高速化等がますます求められている。すなわち、制御処理・応答処理の高速化・高精度化、実行処理の履歴保存、および装置の小型化等が、これまで以上に、セーフティコントローラには求められている。例えば、自動車の製造ラインまたは半導体生産ラインにおいては、敷設された設備に対する安全応答性能への要求は厳しい。

本開示の一例では、より高速な安全応答性能を備えたセーフティコントローラを実現することを目的とする。

本開示の一例では、セーフティコントローラは、シリアルバスにより互いに接続された第１ＭＰＵおよび第２ＭＰＵと、前記第１ＭＰＵおよび前記第２ＭＰＵの各々に、電力供給線を介して接続し、各々に電力を供給する第１電源および第２電源と、（１）前記第１電源から前記第１ＭＰＵへの電源供給線に電気的に接続し、（２）前記第２ＭＰＵに信号線を介して接続し、（３）前記第２電源に電源供給線を介して接続し、（４）前記第２電源からの動作電力により動作する第１ＡＤコンバータを含む、第１電圧監視回路と、（１）前記第２電源から前記第２ＭＰＵへの電源供給線に電気的に接続し、（２）前記第１ＭＰＵに信号線を介して接続し、（３）前記第１電源に電源供給線を介して接続し、（４）前記第１電源からの動作電力により動作する第２ＡＤコンバータを含む、第２電圧監視回路と、を備え、前記第１ＭＰＵと前記第２ＭＰＵとの間のクロックラインにはクロック遅延を実現するバッファが挿入され、前記第１ＭＰＵと前記第２ＭＰＵとは、Ｅｔｈｅｒ ＰＨＹを介さずにＥｔｈｅｒｎｅｔプロトコルに準拠した通信を行ない、前記第１電圧監視回路は、（１）前記第１電源から前記第１ＭＰＵへと供給される電力の電圧である第１電圧値を示すアナログ信号を受け付けた前記第１ＡＤコンバータが出力する前記第１電圧値を示すデジタル信号を用いて、前記第１電圧値を監視し、（２）前記第１電圧値の異常を検知すると、異常の発生を通知する信号を前記第２ＭＰＵに送信し、前記第２電圧監視回路は、（１）前記第２電源から前記第２ＭＰＵへと供給される電力の電圧である第２電圧値を示すアナログ信号を受け付けた前記第２ＡＤコンバータが出力する前記第２電圧値を示すデジタル信号を用いて、前記第２電圧値を監視し、（２）前記第２電圧値の異常を検知すると、異常の発生を通知する信号を前記第１ＭＰＵに送信することを特徴としている。

前記の構成によれば、セーフティコントローラにおいて、より高速な安全応答性能（各種の入力デバイスからの入力に対して、高度な安全性および信頼性を確保した応答を実行する性能）等を実現することができるという効果を奏する。言い換えれば、前記セーフティコントローラは、従来のセーフティコントローラに比べて、ロジック演算処理、入出力制御処理、および安全面の自己診断処理等の高速化・高精度化、実行処理の履歴保存、および装置の小型化等を実現することができる。

具体的には、高速クロック（例えば、１ＧＨｚ）のＭＰＵを採用する場合、メモリまたは電源などの周辺回路が、通常の処理速度（例えば、１２０ＭＨｚ）のＭＰＵを採用する場合に比べて増えることになる。しかし、基板を複数枚にすることにより、上述の周辺回路を配置することができるので、高速クロックのＭＰＵを採用することが可能となる。

そして、上述の構成によれば、基板ごとに電源を設けることができ、その結果動作の安定性を向上させることが可能となる。また、ＡＤコンバータによって電圧監視を行うことにより、監視電圧精度を向上させることができるとともに、異常発生時に履歴を残すことができる。

さらに、ＭＰＵ間の通信を、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルに準拠した通信によって実現し、高速化させることが可能となる。さらに、ＭＰＵ間を、ＭＡＣ−ｔｏ−ＭＡＣで接続し、基板の小型化を実現することができる。

本開示の一例では、前記セーフティコントローラは、複数の表示器と、前記第１ＭＰＵおよび前記第２ＭＰＵの少なくとも一方からシリアル信号として送信される表示制御信号を受信するシリアル−パラレル変換ＩＣ（Integrated Circuits）を含み、前記シリアル−パラレル変換ＩＣの出力を用いて、前記複数の表示器の各々の表示を制御する表示制御基板と、前記第１ＭＰＵの異常およびリセットの少なくとも一方を検知すると検知信号を送信する第１ＷＤＴ（Watch Dog Timer）と、前記第２ＭＰＵの異常およびリセットの少なくとも一方を検知すると検知信号を送信する第２ＷＤＴと、を備え、前記シリアル−パラレル変換ＩＣは、前記第１ＷＤＴおよび前記第２ＷＤＴの少なくともいずれか一方から前記検知信号を受信すると、状態がリセットされる。前記の構成によれば、ユーザは、シリアル−パラレル変換ＩＣを採用した場合においても、表示器が非表示になったことに基づいて異常の発生を認知することができるという効果を奏する。

具体的には、セーフティコントローラにおいて、表示器の配置位置について自由度を向上させるため（例えば、表示器を装置正面に配置するため）、表示制御基板をＭＰＵの基板とは別に設けることが考えられる。この場合、表示制御基板とＭＰＵの基板とのコネクタのピンの数を抑制するために、シリアル−パラレル変換ＩＣを表示制御基板に設けることが考えられる。しかし、シリアル−パラレル変換ＩＣは、ＭＰＵに異常が発生したとしても、状態を維持するため、ＭＰＵの異常発生に伴って表示器の表示を変更できないという問題がある。

そこで、本開示の一例として、セーフティコントローラは、ＷＤＴを備える。ＷＤＴがＭＰＵの異常発生を通知する検知信号（例えば、リセット信号など）をシリアル−パラレル変換ＩＣに送信するので、シリアル−パラレル変換ＩＣは、検知信号に基づいて、状態をリセットすることができる。したがって、各種表示器は、ＭＰＵの異常発生をトリガにして、表示態様を変更することができる。結果として、ユーザは、ＭＰＵの異常発生を、表示器の表示態様に基づいて認知することができる。なお、表示器の表示態様を変更することは、例えば、表示器の照明を消灯することなどを含む。

本開示の一例によれば、より高速な安全応答性能を備えたセーフティコントローラを実現することができる。

本開示の一例としての実施形態１および２に係るセーフティコントローラの基板構成の一具体例を模式的に示す図である。 Ｍａｃ-ｔｏ-Ｍａｃで接続した第１ＭＰＵおよび第２ＭＰＵを模式的に示す図である。 セーフティコントローラの電力系統を模式的に示す図である。

以下、本開示の一例としての実施の形態（以下、「本実施形態」とも表記する）を、図面に基づいて説明する。

〔実施形態１〕
§１ 適用例
セーフティコントローラ１００は、プログラマブルコントローラ（Programmable Logic Controller、以下「ＰＬＣ」と略記）等の産業用制御装置が実行するロジック演算処理、入出力制御処理に加えて、安全面の自己診断処理を実行することにより、高度な安全性および信頼性を確保したセーフティコントローラである。セーフティコントローラは「安全コントローラ」や「安全制御装置」と称されることもある。

本開示の一例では、セーフティコントローラ１００は、シリアルバスにより互いに接続された第１ＭＰＵ１０および第２ＭＰＵ２０と、第１ＭＰＵ１０および第２ＭＰＵ２０の各々に、電力供給線を介して接続し、各々に電力を供給する第１電源１１および第２電源２１と、（１）第１電源１１から第１ＭＰＵ１０への電源供給線に電気的に接続し、（２）第２ＭＰＵ２０に信号線を介して接続し、（３）第２電源２１に電源供給線を介して接続し、（４）第２電源２１からの動作電力により動作する第１ＡＤコンバータを含む、第１電圧監視回路１２と、（１）第２電源２１から第２ＭＰＵ２０への電源供給線に電気的に接続し、（２）第１ＭＰＵ１０に信号線を介して接続し、（３）第１電源１１に電源供給線を介して接続し、（４）第１電源１１からの動作電力により動作する第２ＡＤコンバータを含む、第２電圧監視回路２２と、を備えている。

セーフティコントローラ１００において、第１ＭＰＵ１０と第２ＭＰＵ２０との間のクロックラインにはクロック遅延を実現するバッファが挿入され、第１ＭＰＵ１０と第２ＭＰＵ２０とは、Ｅｔｈｅｒ ＰＨＹを介さずにＥｔｈｅｒｎｅｔプロトコルに準拠した通信を行なう。

セーフティコントローラ１００において、第１電圧監視回路１２は、（１）第１電源１１から第１ＭＰＵ１０へと供給される電力の電圧である第１電圧値を示すアナログ信号を受け付けた前記第１ＡＤコンバータが出力する前記第１電圧値を示すデジタル信号を用いて、前記第１電圧値を監視し、（２）前記第１電圧値の異常を検知すると、異常の発生を通知する信号を第２ＭＰＵ２０に送信する。

セーフティコントローラ１００において、第２電圧監視回路２２は、（１）前記第２電源から第２ＭＰＵ２０へと供給される電力の電圧である第２電圧値を示すアナログ信号を受け付けた前記第２ＡＤコンバータが出力する前記第２電圧値を示すデジタル信号を用いて、前記第２電圧値を監視し、（２）前記第２電圧値の異常を検知すると、異常の発生を通知する信号を第１ＭＰＵ１０に送信する。

前記の構成を備えるセーフティコントローラ（１００）は、従来のセーフティコントローラに比べて、より高速な安全応答性能（各種の入力デバイスからの入力に対して、高度な安全性および信頼性を確保した応答を実行する性能）等を実現することができるという効果を奏する。言い換えれば、セーフティコントローラ（１００）は、従来のセーフティコントローラに比べて、ロジック演算処理、入出力制御処理、および安全面の自己診断処理等の高速化・安定化・高精度化、実行処理の履歴保存、および装置の小型化等を実現することができる。

§２ 構成例
図１を用いて、本実施形態に係るセーフティコントローラの基板構成の一例について説明する。図１は、本実施形態に係るセーフティコントローラの基板構成の一具体例を模式的に示す図である。

図１に示す例では、セーフティコントローラ１００は、一例として、電源１０１、電源遮断回路１４、第１ＭＰＵ（Micro Processing Unit）１０、第１電源１１、第１電圧監視回路１２、第２ＭＰＵ２０、第２電源２１、第２電圧監視回路２２、表示制御部３０、７セグ表示器３１、および、ＬＥＤ（Light Emitting Diode）３２を備える構成を有している。別の実施形態では、セーフティコントローラ１００は、さらに、第１ＷＤＴ（WatchDog Timer）１３および第２ＷＤＴ２３を備えていることが好ましい。第１ＷＤＴ１３および第２ＷＤＴ２３については実施形態２で詳述する。

本実施形態では、一例として、電源１０１、電源遮断回路１４、第１ＭＰＵ１０、第１電源１１、第１電圧監視回路１２、および、第１ＷＤＴ１３が、第１基板１に配置されている。第２ＭＰＵ２０、第２電源２１、第２電圧監視回路２２、および、第２ＷＤＴ２３が第２基板２に配置されている。表示制御部３０、７セグ表示器３１およびＬＥＤ３２が第３基板３に配置されている。

各基板は、例えば、プリント配線板（ＰＷＢ；Printed Wiring Board）などで実現される。基板をまたぐ回路間の電力または信号の送受信は、図示しないコネクタを介して実施されてもよい。図１において、第１基板１の第１ＭＰＵ１０と、第２基板２の第２ＭＰＵ２０とはシリアルバスによって接続されており、両者はＥｔｈｅｒｎｅｔプロトコルに準拠して互いに通信する。第１ＭＰＵ１０と、第２ＭＰＵ２０との間の通信には、例えば、ＲＧＭＩＩ（Reduced Gigabit Media Independent Interface）、または、ＳＧＭＩＩ（Serial Gigabit Media Independent Interface）を用いてもよい。ＲＧＭＩＩ、および、ＳＧＭＩＩは、ＩＥＥＥ８０２．３で規定されているＧＭＩＩ（Gigabit Media Independent Interface）に代わるもので、ピン数の削減を実現したものである。

このように基板の枚数を増やすと、物理的な制約を受けずに、必要なメモリやその他の回路を搭載することが可能となる。これにより、セーフティコントローラ１００において、処理速度が速い高性能なＭＰＵを採用することが可能となり、処理できる情報量を格段に増大させることができる。結果として、セーフティコントローラ１００における安全応答性能を格段に向上させることが可能となる。

電源１０１は、第１基板１〜第３基板３の各基板に配置された回路に電力を供給するものである。電源遮断回路１４は、所定の条件に基づいて、各回路への電力供給を遮断するものである。

第１ＭＰＵ１０および第２ＭＰＵ２０は、セーフティコントローラ１００を統括制御するものである。図示しないメモリに予め記憶されている各種プログラムを実行して、セーフティコントローラ１００における所定の機能を実現する。例えば、第１ＭＰＵ１０（第２ＭＰＵ２０）は、製造ラインなどの安全に関わる処理を実行する。例えば、第１ＭＰＵ１０（第２ＭＰＵ２０）は、製造ラインに設置されたロボットなどの動作および該ロボットの周辺環境を監視し、該ロボットおよび周辺環境に異常などが発生した場合にそれを検知し、該ロボットを緊急停止させたりする。

本実施形態では、第１ＭＰＵ１０および第２ＭＰＵ２０は、互いにデータの送受信を行うための通信インターフェースを備えている。そして、各ＭＰＵは、安全に関わる機能を実現するための安全プログラムの演算を行い、演算結果を交換する。そして、相互の演算結果が一致することを確認する。演算結果の不一致は、第１ＭＰＵ１０および第２ＭＰＵ２０の少なくともいずれかにおいて異常が発生した可能性を示唆しており、この場合にも、セーフティコントローラ１００は、設備の緊急停止等の措置を講ずることができる。

第１電源１１は、電源１０１から供給される電力を第１ＭＰＵ１０に供給するものである。第１電源１１は、一例として、電源を５つの系統に分けて、第１ＭＰＵ１０に電力を供給する。なお、第１電源１１は、後述する第２電圧監視回路２２にも電力を供給する。例えば、第１電源１１は、第５系統の電力を第２電圧監視回路２２に供給してもよい。第２電源２１は、電源１０１から供給される電力を第２ＭＰＵ２０に供給するものである。第２電源２１は、第１電源１１と同様に、電源を５つの系統に分けて、第２ＭＰＵ２０に電力を供給してもよいし、第１系統の電力を第１電圧監視回路１２に供給してもよい。

第１電圧監視回路１２は、第１電源１１から第１ＭＰＵ１０へ供給される電力の電圧を監視するものである。具体的には、第１電圧監視回路１２は、第１電源１１で生成された電圧の電圧値が規定範囲内であるか否かを監視する。そして、電圧値が規定範囲外である場合、すなわち、電圧値が、所定の下限値を下回っている場合または上限値を超えている場合には、電圧値に異常が発生していることを通知するための信号を第２ＭＰＵ２０に対して送信する。

第１電圧監視回路１２と同様に、第２電圧監視回路２２は、第２電源２１から第２ＭＰＵ２０へ供給される電力の電圧を監視する。第２電圧監視回路２２は、電圧値の異常を検知した場合、異常を通知するための信号を第１ＭＰＵ１０に対して送信する。

表示制御部３０は、セーフティコントローラ１００が備えている各種表示器に対する表示を制御するものである。セーフティコントローラ１００は、複数の表示器を備えている。表示器の一例として、７セグ表示器３１、および、ｎ個のＬＥＤ３２などが想定される。表示制御部３０は、一例として、７セグ表示器３１およびＬＥＤ３２の表示を制御するための変換回路１３０を含んで構成されている。変換回路１３０については、第１ＷＤＴ１３および第２ＷＤＴ２３と併せて実施形態２で説明する。

§３ 動作例
以下では、高速な安全応答性能を備えたセーフティコントローラを実現するための基板構成および各種回路の動作についてより詳細に説明する。

＜高性能ＭＰＵの採用＞
本実施形態では、第１ＭＰＵ１０および第２ＭＰＵ２０には、一例として、クロック速度が１ＧＨｚ以上の高速なＭＰＵを採用することが好ましい。これにより、セーフティコントローラ１００において、安全応答性能の高速化を実現し、安全規格の要求に応えられるようになる。

上述したとおり、本実施形態では、第１ＭＰＵ１０、第２ＭＰＵ２０、および、表示制御部３０ごとに基板を分けて配置しているので、物理的な制約を受けずに、高速なＭＰＵが要求するメモリやその他の回路を搭載することができる。このことが、第１ＭＰＵ１０および第２ＭＰＵ２０に高速なＭＰＵを採用することを可能にしている。

（内部電源）
上述のとおり、高速なＭＰＵを採用すると、コア用、入出力用など、複数の電源系統が必要となる。そのため、低電圧化が起こり、電圧の監視に要求される精度は非常に厳しいものとなる。したがって、基板の外部から供給される１系統の電源から、直接２つの高速なＭＰＵに電力を供給しようとすると、その要求に応えられる精度で電圧を監視できなければ、動作が不安定になる虞がある。特に、本実施形態のように、コネクタ経由で電力を供給する基板構成では、その要求にたいてい応えることが難しい。また、要求された電源精度を守るために、基本的に、ＭＰＵの近くに電源を配置しなければならないという物理的制約も増える。

そこで、本実施形態では、第１ＭＰＵ１０の系統と、第２ＭＰＵ２０の系統とのそれぞれに対して、異なる電源、第１電源１１と第２電源２１とをセーフティコントローラ１００の基板に設ける。第１電源１１は、基板外部から供給される電源１０１から、第１ＭＰＵ１０、および、第１基板１上の不図示のメモリ等に入力される動作電圧を生成する。第２電源２１は、第１電源１１と同様に、電源１０１から、第２ＭＰＵ２０、および、第２基板２上の不図示のメモリ等に入力される動作電圧を生成する。

前記の構成によれば、基板全体に電力を供給する電源１０１は１系統とし、各基板においては、第１基板１の系統と、第２基板２の系統との２系統それぞれに電源が設けられる。これにより、基板が複数に分かれる構成であっても、セーフティコントローラ１００を安定して動作させることが可能となる。

（電圧監視）
安全規格の要件を満たすため、製品に搭載されるセーフティコントローラ１００には、内部電圧を監視する機能が求められる。そして、部品ごとに予め定められている電圧仕様の規定範囲外の電圧値が検出された場合には、製品で定義された安全状態に遷移する機能が求められる。

電圧監視回路にコンパレータを採用した従来の構成では、監視電圧の電圧値が仕様範囲外になった場合、電源を遮断する方式が採用されていた。この場合、ユーザは、故障の原因を把握するのが困難であった。

そこで、本実施形態では、第１電源１１および第２電源２１で生成された電圧の電圧値が規定範囲内であるか否かを監視する第１電圧監視回路１２および第２電圧監視回路２２がそれぞれ設けられている。本実施形態では、第１電圧監視回路１２および第２電圧監視回路２２として、ＡＤコンバータを採用する。

電圧監視にＡＤコンバータを採用することにより、コンパレータと比較して高精度の電圧監視が可能となる。また、第１ＭＰＵ１０および第２ＭＰＵ２０は、第１電圧監視回路１２および第２電圧監視回路２２によって電圧異常が検出された場合に、異常が発生した電源とその電圧を検知することができる。また、第１ＭＰＵ１０および第２ＭＰＵ２０は、ＥＥＰＲＯＭ（登録商標）（Electrically Erasable Programmable ROM）等のメモリに異常発生履歴を残すことができる。これにより、ユーザが、故障の原因を把握することが可能になる。

しかし、ＡＤコンバータとしての第１電圧監視回路１２に供給される動作電圧と、第１電圧監視回路１２が監視対象とする監視電圧とが同じである場合、安全回路の用途として動作保証ができないという問題がある。

そこで、本実施形態では、上述のとおり、電源１０１を、第１電源１１および第２電源２１によって、２系統に構成する。そして、それぞれの電圧監視回路（ＡＤコンバータ）の動作電圧と、監視電圧とを分けた基板構成とする。具体的には、第１電圧監視回路１２は、自身が動作するための電力を第２電源２１から受電する。図示の例では、第２電源２１から供給される第１系統の電圧２−１を、第１電圧監視回路１２の動作電圧とする。一方、第１電圧監視回路１２は、第１電源１１から第１ＭＰＵ１０に供給される電力の電圧値を監視する。図示の例では、電圧１−１〜１−５（第１電圧値）の５系統を監視電圧とする。反対に、第２電圧監視回路２２は、自身が動作するための電力を第１電源１１から受電する。例えば、電圧１−５を第２電圧監視回路２２の動作電圧とする。一方、第２電圧監視回路２２は、電圧２−１〜２−５（第２電圧値）の５系統を監視電圧とする。これにより、それぞれの電圧監視回路（ＡＤコンバータ）における動作電圧と監視電圧とを異なる電力系統で分けることが可能となり、安全回路の用途において動作を保証することができる。

＜ＭＰＵ間通信＞
本実施形態において、ＭＰＵ間の通信は、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルに準拠して行われる。また、Ｅｔｈｅｒｎｅｔ（登録商標）においては、マスタとスレーブとを設定する必要がないので、送り手と受け手とが自由にデータの送受信を行えるというメリットもある。

また、本実施形態において、第１ＭＰＵ１０と第２ＭＰＵ２０との間で演算結果を交換するための通信（クロスコミュニケーション）は、Ｍａｃ-ｔｏ-Ｍａｃにより、全２重通信方式で行われる。すなわち、各ＭＰＵのＭＡＣ（Media Access Control）間で直接データの送受信が行われる。なお、各ＭＰＵ間の通信においては、ＳＰＩ通信が併用されてもよい。

図２は、Ｍａｃ-ｔｏ-Ｍａｃで接続した第１ＭＰＵ１０および第２ＭＰＵ２０を模式的に示す図である。前記第１ＭＰＵと前記第２ＭＰＵとの間のクロックライン４１およびクロックライン４２には、それぞれ、クロック遅延を実現するバッファ４３およびバッファ４４が挿入される。

Ｅｔｈｅｒｎｅｔ（登録商標）通信を採用することにより、１００Ｍｂｐｓ、または、１０００Ｍｂｐｓなどで高速にＭＰＵ間通信を実現することができる。これにより、従来のＳＰＩ通信（２０ＭＨｚ程度）に起因する、安全応答性能の高速化においてボトルネックとなっていた通信速度の問題が解消される。

本実施形態では、第１ＭＰＵ１０と第２ＭＰＵ２０との間に限定して、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルに準拠した通信を行う構成としてもよい。この場合、ビジー信号は不要となる。また、本実施形態では、第１ＭＰＵ１０と第２ＭＰＵ２０との間で採用される通信プロトコルをＯＳなしで実現してもよい。この場合、ＩＰヘッダおよびＴＣＰヘッダは不要となる。

Ｅｔｈｅｒｎｅｔ（登録商標）通信において、ＭＰＵの外部に、物理層の専用回路（Ｅｔｈｅｒ ＰＨＹ）、Ｅｔｈｅｒパルストランス（ＰＴ）、および、ケーブル接続コネクタを使用する事が規格化されている。すなわち、Ｅｔｈｅｒｎｅｔプロトコルは、Ｅｔｈｅｒ ＰＨＹを設けることにより、クロック遅延を発生させ、つまり、クロック信号を送受信データに対して半クロック遅らせることを規定している。しかし、本実施形態では、第１ＭＰＵ１０および第２ＭＰＵ２０は、基板は分かれてはいるものの、互いに物理的に非常に近い距離で設けられている。そのため、上述のＥｔｈｅｒ ＰＨＹ、ＥｔｈｅｒＰＴ、および、ケーブル接続コネクタを使用せずにＭＰＵ間通信を実現する。Ｅｔｈｅｒ ＰＨＹ、ＥｔｈｅｒＰＴ、および、ケーブル接続コネクタを介さずに通信接続されるＭＡＣ間の接続方法を「Ｍａｃ-ｔｏ-Ｍａｃ」と称する。第１ＭＰＵ１０と第２ＭＰＵ２０とをＭａｃ-ｔｏ-Ｍａｃで接続することにより、基板の小型化を実現することが可能となる。

本実施形態では、Ｅｔｈｅｒ ＰＨＹを採用しない代わりに、クロックラインにバッファを設けることにより、クロック遅延を生成して、第１ＭＰＵ１０と第２ＭＰＵ２０とがＥｔｈｅｒｎｅｔプロトコルに準拠した通信を行なうことを実現する。これにより、無駄な配線を行うことなく、安価な回路構成にて、高速通信を可能とするＥｔｈｅｒｎｅｔ（登録商標）に準拠したＭＰＵ間通信を実現することが可能となる。また、Ｅｔｈｅｒ ＰＨＹを採用することを前提としているＭＰＵを、セーフティコントローラ１００の第１ＭＰＵ１０および第２ＭＰＵ２０として採用することが可能となる。

〔実施形態２〕
§１ 適用例
本開示の一例では、セーフティコントローラ（１００）は、実施形態１に記載の構成に加えて、複数の表示器（７セグ表示器３１、ＬＥＤ３２）と、前記第１ＭＰＵ（１０）および前記第２ＭＰＵ（２０）の少なくとも一方からシリアル信号として送信される表示制御信号を受信するシリアル−パラレル変換ＩＣ（Integrated Circuits）（変換回路１３０）を含み、前記シリアル−パラレル変換ＩＣの出力を用いて、前記複数の表示器の各々の表示を制御する表示制御基板（３）と、前記第１ＭＰＵの異常およびリセットの少なくとも一方を検知すると検知信号を送信する第１ＷＤＴ（Watch Dog Timer）（１３）と、前記第２ＭＰＵの異常およびリセットの少なくとも一方を検知すると検知信号を送信する第２ＷＤＴ（２３）と、を備え、前記シリアル−パラレル変換ＩＣは、前記第１ＷＤＴおよび前記第２ＷＤＴの少なくともいずれか一方から前記検知信号を受信すると、状態がリセットされる。前記の構成を備えるセーフティコントローラ（１００）は、従来のセーフティコントローラに比べて、ユーザに提供できる情報量を格段に増やすことができ、ＭＰＵの異常発生時、該異常の発生を、表示器の表示態様に基づいてユーザに認知させることができるという効果を奏する。

§２ 構成例
図１を参照して、本実施形態に係るセーフティコントローラ１００は、第１基板１において、さらに、第１ＷＤＴ１３を備え、第２基板２において、第２ＷＤＴ２３を備え、第３基板３において、表示制御部３０、７セグ表示器３１およびＬＥＤ３２を備えている構成である。そして、表示制御部３０は、変換回路１３０を含む。

§３ 動作例
＜表示＞
本実施形態では、ＬＥＤ３２に加えて、セーフティコントローラ１００の状態をユーザに分かり易く提示できるように、セーフティコントローラ１００に７セグ表示器３１を搭載している。ＬＥＤ３２および７セグ表示器３１の視認性を一層高めるため、ＬＥＤ３２および７セグ表示器３１は、セーフティコントローラ１００の筐体の正面から表示させることが好ましい。セーフティコントローラ１００の筐体の側面に各ＭＰＵの基板（第１基板１および第２基板２）を配置している場合、表示専用の基板（第３基板３）は、ＭＰＵの基板と別に設けることになる。すなわち、表示制御部３０が、第１ＭＰＵ１０（第２ＭＰＵ２０）から表示に係る制御信号（以下、表示制御信号）を受け取るためには、コネクタを経由することになる。

各ＭＰＵにおいて、複数のＬＥＤ３２、および、７セグ表示器３１の１セグメントごとに、出力ピンを設けると、コネクタの極数が非常に多くなる。しかし、構成の簡素化、小型化の観点から、コネクタの極数が増えることは好ましくない。

そこで、本実施形態では、各ＭＰＵおよび変換回路１３０間の表示制御信号の送受信をシリアル通信にて実現することにする。そして、変換回路１３０として、シリアル−パラレル変換ＩＣを採用する。シリアル−パラレル変換ＩＣは、シリアル信号である表示制御信号を受信し、受信したシリアル信号としての表示制御信号に基づいて、上述の複数の表示器の表示を制御する。

具体的には、シリアル−パラレル変換ＩＣとしての変換回路１３０は、シリアル信号として第１ＭＰＵ１０または第２ＭＰＵ２０から受信した表示制御信号を、７セグ表示器３１を制御するための、パラレル信号としての第１表示制御信号と、ＬＥＤ３２を制御するための、パラレル信号としての第２表示制御信号と、に変換する。変換回路１３０は、第１表示制御信号に基づいて、７セグ表示器３１の表示を制御する。変換回路１３０は、第２表示制御信号に基づいて、ＬＥＤ３２の表示を制御する。

しかしながら、シリアル−パラレル変換ＩＣとしての変換回路１３０は、第１ＭＰＵ１０（第２ＭＰＵ２０）に異常が発生した場合であっても、異常発生前の状態を維持している。したがって、変換回路１３０は、異常発生に伴って各種表示器の表示を変更することができない。したがって、ユーザは、各種表示器の表示に基づいて、ＭＰＵの異常発生を認知できないという問題がある。

そこで、本実施形態では、セーフティコントローラ１００は、さらに、第１基板１において、第１ＷＤＴ１３を備え、第２基板２において、第２ＷＤＴ２３を備えている。

第１ＷＤＴ１３は、第１ＭＰＵ１０の動作を監視するものである。具体的には、第１ＷＤＴ１３は、設定されたタイマ周期内に、第１ＭＰＵ１０からクロック信号が入力されるとタイマをリセットし、第１ＭＰＵ１０の系統の正常動作を確認して監視を継続する。一方、第１ＭＰＵ１０の系統に異常が発生し、前記タイマ周期内にクロック信号が第１ＭＰＵ１０から入力されなくなるとする。この場合、第１ＷＤＴ１３は、タイムアウトによるリセット信号（検知信号）を、変換回路１３０に出力する。第２ＷＤＴ２３は、第１ＷＤＴ１３と同様に、第２ＭＰＵ２０の動作を監視し、第２ＭＰＵ２０に異常が発生すれば、リセット信号（検知信号）を、変換回路１３０に出力する。

表示制御部３０の変換回路１３０は、少なくともいずれか一方のＷＤＴからリセット信号を受け付けたことに基づいて、状態をリセットする。変換回路１３０の状態がリセットされたことに基づいて、表示器の表示がリセットされる。一例として、変換回路１３０は、７セグ表示器３１を、予め定められている初期状態に遷移させる。例えば、変換回路１３０は、７セグ表示器３１の全セグメントの照明を消灯させてもよいし、全セグメントを赤く点灯させてもよい。あるいは、変換回路１３０は、エラー（例えば、Ｅの文字）と分かるように所定のセグメントのみを点灯させてもよい。変換回路１３０は、ＬＥＤ３２を、予め定められている初期状態に遷移させる。例えば、変換回路１３０は、全てのＬＥＤ３２を消灯させてもよいし、全てのＬＥＤ３２を赤く点灯させてもよい。あるいは、変換回路１３０は、全てまたは一部のＬＥＤ３２を点滅させてもよい。

これにより、各種表示器が、エラー時の表示態様（例えば、一斉消灯）に遷移するので、ユーザは、第１ＭＰＵ１０および第２ＭＰＵ２０の少なくともいずれか一方に異常が生じたことをすぐに認知することが可能となる。

〔効果〕
上述の各実施形態によれば、セーフティコントローラにおいて、安全規格の要求に応えつつ、安全応答性能の高速化を実現することができる。

例えば、安全応答性能の高速化が実現されると、監視対象の製品（ロボットなど）と、ユーザとの間で安全を保証するために確保すべき距離を短縮することができる。そのため、従来、ロボットの可動領域およびその影響を受ける領域から、ユーザを守るために設置していたフェンスの距離を短くしたり、フェンスそのものを無くしたりできるというメリットがある。

また、例えば、特許文献２の技術では、ＭＰＵ間の接続において、データに対して半クロック遅らせる具体的な方法が開示されていない。したがって、ＭＰＵ間をＭａｃ-ｔｏ-Ｍａｃで相互接続し、Ｅｔｈｅｒｎｅｔ（登録商標）通信にて、通信させようとしても、それだけでは該通信を実現させることはできない。これに対し、本開示の一例として、実施形態１のセーフティコントローラ１００によれば、クロックの遅延を実現するためのバッファをクロックラインに挿入する。これにより、高速なＭＰＵ間の高速な相互通信を実現することが可能となる。

また、例えば、特許文献３の技術では、エレベータ制御電源監視装置は、外部電源が２系統、ＭＰＵが1つ設けられており、異常が検出された時には動力が遮断される構成である。これに対して、上述の各実施形態では、図３に示すとおり、セーフティコントローラには、内部回路のための電源（例えば、電源１０１）が１系統であるのに対して、ＭＰＵが２つ設けられている。一方の系統の回路の電源（例えば、第１電源１１）から動力を得て、他方の系統の回路（第２ＭＰＵ２０）の異常を監視する電圧監視回路（第２電圧監視回路２２）は、他方の系統における異常を検出した場合に、一方の系統における第１ＭＰＵ１０に通知する構成である。これにより、ユーザが故障の原因を把握するのが困難になるという不都合を解消することができる。

なお、以上で説明した各実施形態は、あらゆる点において本発明の例示に過ぎない。本発明の範囲を逸脱することなく種々の改良や変形を行うことができることは言うまでもない。つまり、本発明の実施にあたって、各実施形態に応じた具体的構成が適宜採用されてもよい。なお、各実施形態において登場するデータを自然言語により説明しているが、より具体的には、コンピュータが認識可能な疑似言語、コマンド、パラメータ、マシン語等で指定される。

本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１ 第１基板、２ 第２基板、３ 第３基板（表示制御基板）、１０ 第１ＭＰＵ、１１ 第１電源、１２ 第１電圧監視回路（ＡＤコンバータ）、１３ 第１ＷＤＴ、１４ 電源遮断回路、２０ 第２ＭＰＵ、２１ 第２電源、２２ 第２電圧監視回路（ＡＤコンバータ）、２３ 第２ＷＤＴ、３０ 表示制御部、３１ ７セグ表示器（表示器）、３２ ＬＥＤ（表示器）、４１,４２ クロックライン、４３,４４ バッファ、１００ セーフティコントローラ、１０１ 電源、１３０ 変換回路（シリアル−パラレル変換ＩＣ）

Claims (2)

1. シリアルバスにより互いに接続された第１ＭＰＵおよび第２ＭＰＵと、
   前記第１ＭＰＵおよび前記第２ＭＰＵの各々に、電力供給線を介して接続し、各々に電力を供給する第１電源および第２電源と、
   （１）前記第１電源から前記第１ＭＰＵへの電源供給線に電気的に接続し、（２）前記第２ＭＰＵに信号線を介して接続し、（３）前記第２電源に電源供給線を介して接続し、（４）前記第２電源からの動作電力により動作する第１ＡＤコンバータを含む、第１電圧監視回路と、
   （１）前記第２電源から前記第２ＭＰＵへの電源供給線に電気的に接続し、（２）前記第１ＭＰＵに信号線を介して接続し、（３）前記第１電源に電源供給線を介して接続し、（４）前記第１電源からの動作電力により動作する第２ＡＤコンバータを含む、第２電圧監視回路と、
   を備え、
   前記第１ＭＰＵと前記第２ＭＰＵとの間のクロックラインにはクロック遅延を実現するバッファが挿入され、前記第１ＭＰＵと前記第２ＭＰＵとは、Ｅｔｈｅｒ ＰＨＹを介さずにＥｔｈｅｒｎｅｔプロトコルに準拠した通信を行ない、
   前記第１電圧監視回路は、（１）前記第１電源から前記第１ＭＰＵへと供給される電力の電圧である第１電圧値を示すアナログ信号を受け付けた前記第１ＡＤコンバータが出力する前記第１電圧値を示すデジタル信号を用いて、前記第１電圧値を監視し、（２）前記第１電圧値の異常を検知すると、異常の発生を通知する信号を前記第２ＭＰＵに送信し、
   前記第２電圧監視回路は、（１）前記第２電源から前記第２ＭＰＵへと供給される電力の電圧である第２電圧値を示すアナログ信号を受け付けた前記第２ＡＤコンバータが出力する前記第２電圧値を示すデジタル信号を用いて、前記第２電圧値を監視し、（２）前記第２電圧値の異常を検知すると、異常の発生を通知する信号を前記第１ＭＰＵに送信する
   ことを特徴とするセーフティコントローラ。
2. 複数の表示器と、
   前記第１ＭＰＵおよび前記第２ＭＰＵの少なくとも一方からシリアル信号として送信される表示制御信号を受信するシリアル−パラレル変換ＩＣ（Integrated Circuits）を含み、前記シリアル−パラレル変換ＩＣの出力を用いて、前記複数の表示器の各々の表示を制御する表示制御基板と、
   前記第１ＭＰＵの異常およびリセットの少なくとも一方を検知すると検知信号を送信する第１ＷＤＴ（Watch Dog Timer）と、
   前記第２ＭＰＵの異常およびリセットの少なくとも一方を検知すると検知信号を送信する第２ＷＤＴと、を備え、
   前記シリアル−パラレル変換ＩＣは、前記第１ＷＤＴおよび前記第２ＷＤＴの少なくともいずれか一方から前記検知信号を受信すると、状態がリセットされることを特徴とする請求項１に記載のセーフティコントローラ。

Images