JP5560915B2 - Safety control system - Google Patents

Description

本発明は、電力変換器などの被制御装置の安全監視機能を有し、ネットワーク経由で与えられる制御信号に基づいて被制御装置を制御する安全制御システムに係り、特に二重化されたプロセッサによって安全監視機能を実現する際のプロセッサ間の同期を維持する技術に関する。   The present invention relates to a safety control system that has a safety monitoring function of a controlled device such as a power converter and controls the controlled device based on a control signal given via a network, and in particular, monitors the safety by a duplicated processor. The present invention relates to a technique for maintaining synchronization between processors when realizing a function.

従来、電力変換器などの被制御装置に対しては、機能安全が要求され、ＩＥＣ６１５０８に代表される機能安全規格などが策定されている。この機能安全規格は、診断・監視機能に加えて、外部のセンサー等からの信号に基づいて、安全停止、安全減速など装置を安全な状態へ移行する機能を定義している。   Conventionally, functional safety is required for controlled devices such as power converters, and functional safety standards represented by IEC61508 have been established. This functional safety standard defines a function for shifting a device to a safe state such as a safe stop and a safe deceleration based on a signal from an external sensor or the like in addition to a diagnosis / monitoring function.

また、外部コントローラから安全制御システムの電力変換器へ制御信号や安全信号を与える方法として、現状は信頼性の観点から安全制御システムを構成する各装置（ユニット）をワイヤ配線によって接続している。この方法は、実装が容易であるものの、システムの規模に応じて配線が複雑化し、設計面やコスト面で不利となっている。このため、ワイヤ配線で与えられていた安全信号を、制御信号と混合させて産業用ネットワークに乗せるための「安全バス」を用いたシステムが提案されている。（例えば特許文献１を参照。）   Moreover, as a method of giving a control signal and a safety signal from an external controller to the power converter of the safety control system, currently, devices (units) constituting the safety control system are connected by wire wiring from the viewpoint of reliability. Although this method is easy to mount, the wiring becomes complicated according to the scale of the system, which is disadvantageous in terms of design and cost. For this reason, a system using a “safety bus” for mixing a safety signal provided by wire wiring with a control signal and placing it on an industrial network has been proposed. (See, for example, Patent Document 1)

また、特許文献２は、信頼性向上のための二重化情報システムに関する。２つのシステムは常時同時に動作せず、故障などの際にトリガとして割込信号を出力して、他方のシステムを稼働させるものである。このため、必ずしも機能安全を満足するシステムとはいえない。また、同文献のシステムは、他方のシステムへ送る割込信号の変化のみを処理開始のトリガとしたものであり、信号の信頼性向上を図るものではない。   Patent Document 2 relates to a duplex information system for improving reliability. The two systems do not always operate at the same time, but output an interrupt signal as a trigger in the event of a failure or the like, and operate the other system. For this reason, it is not necessarily a system that satisfies functional safety. Further, the system of this document uses only a change in an interrupt signal sent to the other system as a trigger for starting processing, and does not improve signal reliability.

特開２００６−１７８７３０号公報JP 2006-178730 A 特開２００６−２０９６２４号公報JP 2006-209624 A

一般に、電力変換器で安全バスを実現するとき、安全制御システムは、機能安全規格を満たすため、２つの安全系プロセッサを設ける必要がある。この２つのプロセッサは互いに同期して安全機能を実行しなければならない。このため、２つのプロセッサ間でタイミングを伝達するための同期信号を用い、この信号の変化に応じて、他方のプロセッサにタイミングを伝達している。   Generally, when a safety bus is realized by a power converter, the safety control system needs to be provided with two safety processors in order to satisfy the functional safety standard. The two processors must perform safety functions synchronously with each other. For this reason, a synchronization signal for transmitting the timing between the two processors is used, and the timing is transmitted to the other processor in accordance with the change of the signal.

しかしながら、電力変換器からのノイズや故障による短絡、断線、接地等の問題によって、誤ったタイミングで同期信号が変化し、このタイミングで安全機能に関する処理が動作してしまう危険性がある。   However, there is a risk that the synchronization signal changes at an incorrect timing due to noise from the power converter or a problem such as a short circuit, disconnection, or grounding due to a failure, and the processing related to the safety function operates at this timing.

本発明は上述のかかる事情に鑑みてなされたものであり、安全バスに対応した安全制御システムにおいて、安全機能を実現するための二重化プロセッサ間のタイミング同期手段を高信頼度で実現することのできる安全制御システムを提供することを目的とする。   The present invention has been made in view of the above-described circumstances, and in a safety control system corresponding to a safety bus, a timing synchronization means between dual processors for realizing a safety function can be realized with high reliability. An object is to provide a safety control system.

上記の目的を達成するため、本発明に係る安全制御システムは、ネットワークを介して外部コントローラと通信データの送受信を行う通信装置と、該通信装置を経由して外部コントローラから送られてくる通信データを受信し、該通信データに基づいて電力変換器へ制御信号を出力する制御装置と、該通信データに基づいて電力変換器への停止指令の出力その他の安全に関する動作を実行する安全機能を、第一のプロセッサと第二のプロセッサによって実現する安全装置と、を有する安全制御システムであって、第一のプロセッサと第二のプロセッサは、周期的に伝送する安全データの送信タイミングまたは受信タイミングで発生させる相手側プロセッサへの外部割込信号を同期信号として相互に転送するタイミング同期手段を備え、タイミング同期手段は、同期信号によって発生する割り込みがアクティブ（有効）状態にあるアクティブ時間と、該割込信号の発生サイクルであるアクティブ化間隔とを監視し、アクティブ時間およびアクティブ化間隔が、それぞれ設定された閾値範囲にあるときのみ外部割込信号を受け付けて予め定められた安全処理を行うことを特徴とする。   In order to achieve the above object, a safety control system according to the present invention includes a communication device that transmits and receives communication data to and from an external controller via a network, and communication data that is transmitted from the external controller via the communication device. And a safety device that outputs a control signal to the power converter based on the communication data, and outputs a stop command to the power converter and other safety-related operations based on the communication data. A safety control system having a safety device realized by a first processor and a second processor, wherein the first processor and the second processor are at a transmission timing or a reception timing of periodically transmitting safety data. Timing synchronization means for transferring the external interrupt signal to the other processor to be generated as a synchronization signal is provided. The synchronization means monitors the active time when the interrupt generated by the synchronization signal is in the active (valid) state and the activation interval that is the generation cycle of the interrupt signal, and the active time and the activation interval are set respectively. It is characterized in that an external interrupt signal is received and a predetermined safety process is performed only when it is within the set threshold range.

本発明によれば、二重化されたプロセッサは互いに他方から送られた同期信号の変化時間を監視する手段を備えることにより、タイミング同期信号の信頼性を向上させた安全バス対応の安全制御システムを実現することができる。   According to the present invention, the duplexed processor is provided with means for monitoring the change time of the synchronization signal sent from the other, thereby realizing a safety control system corresponding to the safety bus with improved reliability of the timing synchronization signal. can do.

また、本発明に係る安全制御システムでは、アクティブ化間隔の閾値は、運転動作前に予め設定され、アクティブ時間の閾値は、電力変換器の動作状態に応じて設定されることを特徴とする。   In the safety control system according to the present invention, the activation interval threshold is set in advance before the driving operation, and the active time threshold is set in accordance with the operating state of the power converter.

本発明では、特に電力変換器の動作状態に応じてアクティブ時間の閾値を設定し、この閾値を監視しながら安全処理を実行するので、動作ノイズや故障に強い安全制御システムを構築することができる。   In the present invention, a threshold of active time is set according to the operating state of the power converter in particular, and safety processing is executed while monitoring this threshold. Therefore, a safety control system that is resistant to operating noise and failure can be constructed. .

さらに、本発明に係る安全制御システムは、割込信号がアクティブ状態になった時点からの時間を計測するタイマを備え、安全処理は、該タイマの値によって、減速時間または停止までの時間を補正することを特徴とする。   Furthermore, the safety control system according to the present invention includes a timer that measures the time from when the interrupt signal becomes active, and the safety process corrects the deceleration time or the time until stop by the value of the timer. It is characterized by doing.

本発明では、割込信号によって安全処理を実行する際に、割込信号がアクティブ状態になった時点からの時間で減速時間または停止までの時間を補正するので、二重化されたＣＰＵの出力を一致させ、精度の高い安全処理を実現することができる。   In the present invention, when executing safety processing with an interrupt signal, the deceleration time or the time to stop is corrected by the time from the time when the interrupt signal becomes active, so the outputs of the duplicated CPUs match. And safe processing with high accuracy can be realized.

本発明によれば、二重化されたプロセッサ間で転送するタイミング同期信号の信頼性を向上させ、また精度の高い安全処理を実現することができる。   According to the present invention, it is possible to improve the reliability of a timing synchronization signal transferred between duplicated processors and to realize highly accurate safety processing.

本発明の実施の形態による安全制御システムおよび周辺装置の構成図である。1 is a configuration diagram of a safety control system and peripheral devices according to an embodiment of the present invention. 図１の安全装置の概略構成図である。It is a schematic block diagram of the safety device of FIG. タイミング同期信号波形と負論理における各信号名、時間名との関係の説明図である。It is explanatory drawing of the relationship between a timing synchronous signal waveform, each signal name in negative logic, and a time name. タイミング同期信号波形とエラー要因例の説明図である。It is explanatory drawing of a timing synchronous signal waveform and an error factor example. 図２のＣＰＵ３２，４２の機能構成を示す。The functional structure of CPU32, 42 of FIG. 2 is shown. 図５の同期信号監視手段７１の処理手順を示すフローチャートである。It is a flowchart which shows the process sequence of the synchronous signal monitoring means 71 of FIG. 図５の閾値設定テーブル７３のデータ構成図である。It is a data block diagram of the threshold value setting table 73 of FIG. 図５の設定値変更手段７２の処理手順を示すフローチャートである。It is a flowchart which shows the process sequence of the setting value change means 72 of FIG. 図２のタイミング同期信号受信回路４４の構成図である。FIG. 3 is a configuration diagram of a timing synchronization signal receiving circuit 44 in FIG. 2.

以下、図面を参照しながら本発明の実施の形態を説明する。図１は、本発明の実施の形態による安全制御システムおよび周辺装置の構成図である。この図において、安全制御システム１は、ネットワーク３を介して外部コントローラ２と接続している。外部コントローラ２は、安全制御システム１へ制御機能や安全機能に関する指令信号の送信ならびに安全制御システム１からの監視データの受信によるモニタリングを行う。一方、安全制御システム１は、外部コントローラ２から送られてくる指令信号に基づいて制御対象である電動機４を監視制御する。   Hereinafter, embodiments of the present invention will be described with reference to the drawings. FIG. 1 is a configuration diagram of a safety control system and peripheral devices according to an embodiment of the present invention. In this figure, the safety control system 1 is connected to an external controller 2 via a network 3. The external controller 2 performs monitoring by transmitting a control function and a command signal related to the safety function to the safety control system 1 and receiving monitoring data from the safety control system 1. On the other hand, the safety control system 1 monitors and controls the electric motor 4 that is a control target based on a command signal sent from the external controller 2.

安全制御システム１は、ネットワーク３を介して外部コントローラ２と通信を行う通信装置１０、外部コントローラ２から送られてくる指令信号に基づいて制御信号を出力する制御装置２０、制御装置２０から出力される制御信号によって電動機４を駆動する電力変換器６０、電力変換器６０や制御装置２０などの異常の有無を監視し、電力変換器６０へ停止指令を出力するＣＰＵ二重化された安全装置３０を有している。通信装置１０、制御装置２０、および、安全装置３０との間は、それぞれケーブルやコネクタなどの分離・接続可能な接続手段で接続されている。なお安全制御システム１の各装置は、それぞれユニット構成で実現しても良いし、基板構成で実現しても良い。   The safety control system 1 is output from the communication device 10 that communicates with the external controller 2 via the network 3, the control device 20 that outputs a control signal based on a command signal sent from the external controller 2, and the control device 20. The power converter 60 that drives the electric motor 4 by the control signal, the power converter 60, the control device 20 and the like are monitored for abnormalities, and a safety device 30 with a duplicated CPU that outputs a stop command to the power converter 60 is provided. doing. The communication device 10, the control device 20, and the safety device 30 are connected by connection means such as cables and connectors that can be separated and connected. Each device of the safety control system 1 may be realized by a unit configuration or a substrate configuration.

安全制御システム１を構成する各装置の機能概要を説明すると、まず、制御装置２０は、通信装置１０から渡された外部コントローラ２の通信データを制御データと安全データとに分離する。そして制御データを受信した場合は、その制御データに基づいて電力変換器６０の電圧・電流・周波数などを決定し、制御信号を生成して電力変換器６０へ出力する。そして、電力変換器６０は、制御装置２０からの制御指令や安全装置３０からの停止指令によって、電動機４を運転させるための電力の供給や停止を行う。通信装置１０から渡された通信データが安全データの場合は、制御装置２０は、この安全データを安全装置３０へ渡す。安全データの渡し方は、二重化されたプロセッサユニットのうち、制御装置２０と通信を行う一のプロセッサユニット３１に渡し、そのプロセッサユニット３１が他方のプロセッサユニット４１へ安全データを転送する。なお、安全データの渡し方はこれに限らず、たとえば、データを分岐する分岐手段を設け、制御装置２０から送信された安全データをその分岐手段を介して夫々同じデータを両方のプロセッサユニット３１，４１へ送信するようにしても良い。   The functional outline of each device constituting the safety control system 1 will be described. First, the control device 20 separates the communication data of the external controller 2 passed from the communication device 10 into control data and safety data. When the control data is received, the voltage, current, frequency, and the like of the power converter 60 are determined based on the control data, and a control signal is generated and output to the power converter 60. The power converter 60 supplies or stops power for operating the electric motor 4 according to a control command from the control device 20 or a stop command from the safety device 30. When the communication data passed from the communication device 10 is safety data, the control device 20 passes this safety data to the safety device 30. The safety data is transferred to one processor unit 31 that communicates with the control device 20 among the duplicated processor units, and the processor unit 31 transfers the safety data to the other processor unit 41. The way of passing the safety data is not limited to this. For example, a branching unit for branching data is provided, and the safety data transmitted from the control device 20 is sent to the processor units 31 and 31 via the branching unit. You may make it transmit to 41.

安全装置３０の両プロセッサユニット３１，４１は、外部コントローラ２からの安全機能設定信号による非常停止制御、安全状態の外部コントローラ２への通知処理などを行う。   Both processor units 31 and 41 of the safety device 30 perform emergency stop control by a safety function setting signal from the external controller 2, notification processing to the external controller 2 of a safe state, and the like.

両プロセッサユニット３１，４１間は、ケーブル接続されるが、外部割込信号によって、互いに処理のタイミングを通知して同期をとっている。なお、プロセッサユニット内部のＣＰＵのプログラム処理によって発生する割込信号（内部割込信号）に対して、ＣＰＵ間の割込信号は、ＣＰＵの外部に出力されるため、以下の説明において外部割込信号という。電力変換器６０の動作ノイズによって、ケーブルにノイズが乗ることがあり、これにより誤動作を起こす可能性がある。   The processor units 31 and 41 are connected by a cable, but are synchronized with each other by notifying the processing timing by an external interrupt signal. Note that an interrupt signal between CPUs is output to the outside of the CPU with respect to an interrupt signal (internal interrupt signal) generated by the program processing of the CPU inside the processor unit. It is called a signal. The operation noise of the power converter 60 may cause noise on the cable, which may cause malfunction.

本実施の形態は、このノイズに対して割込信号が誤入力されることを回避するために下記の構成をとっている。   The present embodiment has the following configuration in order to avoid an erroneous input of an interrupt signal with respect to this noise.

図２に、安全装置３０の概略構成図を示す。安全装置３０のプロセッサユニット３１，４１はそれぞれ内部にプログラムによる演算処理を実行するＣＰＵ３２，４２を有している。ＣＰＵ３２，４２間は、互いに外部割込信号を発生する回路（タイミング同期信号発生回路）３３，４３と、外部割込信号を受信する回路（タイミング同期信号受信回路）４４，３４が設けられている。なお、外部割込信号によってＣＰＵの処理の同期をとるため、タイミング同期信号発生回路３３，４３とタイミング同期信号受信回路４４，３４とを合わせてタイミング同期手段４０という。   FIG. 2 shows a schematic configuration diagram of the safety device 30. The processor units 31 and 41 of the safety device 30 respectively have CPUs 32 and 42 that execute arithmetic processing by a program. Between the CPUs 32 and 42, circuits (timing synchronization signal generating circuits) 33 and 43 for generating external interrupt signals and circuits (timing synchronization signal receiving circuits) 44 and 34 for receiving external interrupt signals are provided. . The timing synchronization signal generating circuits 33 and 43 and the timing synchronization signal receiving circuits 44 and 34 are collectively referred to as timing synchronization means 40 in order to synchronize the CPU processing with an external interrupt signal.

タイミング同期手段４０は、プロセッサ間を外部割込信号線で結んでいる。なお、図１では、外部割込信号は双方向であるが、たとえばＣＰＵ４２をＣＰＵ３２に同期させる場合は、ＣＰＵ３２からＣＰＵ４２の一方向のみでも機能する。この信号は、ある電圧閾値、たとえば２．０Ｖなどを境界値として用いて２．０Ｖ以上なら「１」、２．０Ｖ未満なら「０」のように表わされる。アクティブロー(Active Low: 負論理)で定義するとき、「１」は非アクティブ、「０」はアクティブとなる。以下、負論理であるとして説明する。   The timing synchronization means 40 connects the processors with an external interrupt signal line. In FIG. 1, the external interrupt signal is bidirectional. However, for example, when the CPU 42 is synchronized with the CPU 32, only one direction of the CPU 32 to the CPU 42 functions. This signal is expressed as “1” if it is 2.0 V or higher using a certain voltage threshold, for example, 2.0 V as a boundary value, and “0” if it is lower than 2.0 V. When defined by active low (Active Low: negative logic), “1” is inactive and “0” is active. Hereinafter, description will be made assuming that the logic is negative.

このとき、通常はこの信号がアクティブとなる時点（立ち下がり時）に、ＣＰＵは外部割込として予め定めた処理（割り込み処理）を実行する。設定によっては、非アクティブ状態になるとき（立ち上がり時）、または、その両方（両エッジ時）などの場合もある。   At this time, normally, when this signal becomes active (at the time of falling), the CPU executes a predetermined process (interrupt process) as an external interrupt. Depending on the setting, there may be a case of inactive state (at the time of rising), or both (at the time of both edges).

信号線に問題が生じたとき、たとえばノイズや断線、短絡、または他方のプロセッサユニットの故障などのときは、割り込み処理が予期しないタイミングで動作する場合があり、安全機能の動作に遅延が生じたりするなどの問題を引き起こす危険性がある。   When a problem occurs in the signal line, such as noise, disconnection, short circuit, or failure of the other processor unit, the interrupt processing may operate at an unexpected timing, causing a delay in the operation of the safety function. There is a risk of causing problems.

本実施の形態では、アクティブ状態となった時点を基準にして、非アクティブ状態になるまでの時間（アクティブ時間）と、アクティブ状態になった時点を基準にして、次にアクティブ状態になる時点までの間隔（アクティブ化間隔）を用いて、外部割込みの発生タイミングを制御する。   In the present embodiment, the time until the inactive state (active time) based on the time when the active state is reached and the time when the next active state is reached based on the time when the active state is reached The generation timing of the external interrupt is controlled using the interval (activation interval).

図３にタイミング同期信号波形と負論理における各信号名、時間名との関係を示す。アクティブ時間とアクティブ化間隔はそれぞれ下限値と上限値の２つの閾値を持つ。   FIG. 3 shows the relationship between the timing synchronization signal waveform and each signal name and time name in negative logic. The active time and the activation interval each have two threshold values, a lower limit value and an upper limit value.

たとえば、図４に挙げられる主に４つの問題をアクティブ時間及びアクティブ化間隔を監視することで対策できる。図４（ａ）は信号線が断線または短絡、プロセッサ故障等で発生する障害であり、アクティブ時間の上限値を超えたか否かによって検出できる。図４（ｂ）は、ノイズ等によるもので、アクティブ時間の下限値によって検出できる。図４（ｃ）では、安全通信のサイクル時間（すなわち、同期信号の周期）によって下限値は既知となっている。このため、下限値をさらに下回ってアクティブ状態となった場合には、故障などの問題が推定される。図４（ｄ）は、同期信号である外部割込信号の非アクティブ状態のときに、断線や故障等が発生したときの障害であり、アクティブ化間隔の上限値を超えたときに検出することができる。   For example, the four main problems listed in FIG. 4 can be countered by monitoring the active time and the activation interval. FIG. 4A shows a failure that occurs due to a broken or shorted signal line, a processor failure, or the like, and can be detected by whether or not the upper limit of the active time has been exceeded. FIG. 4B is due to noise or the like, and can be detected by the lower limit value of the active time. In FIG. 4C, the lower limit value is known from the cycle time of safety communication (that is, the cycle of the synchronization signal). For this reason, when the active state is further lowered below the lower limit value, a problem such as a failure is estimated. FIG. 4 (d) shows a failure when a disconnection or failure occurs when the external interrupt signal, which is a synchronization signal, is inactive, and is detected when the upper limit of the activation interval is exceeded. Can do.

本実施の形態では、外部割込信号がアクティブ状態になったときにＣＰＵの機能として備える同期信号監視手段７１が起動して、同期信号の監視及び整合性確認処理を実行して、上記の図４（ａ）〜（ｄ）の不具合を検出する。図５にＣＰＵ３２，４２の機能構成を示す。ＣＰＵの演算処理部には、プログラムによって実現可能な同期信号監視手段７１と設定値変更手段７２を備え、また、内部タイマである監視タイマ１（７４）、監視タイマ２（７５）を備えている。また、ＣＰＵの内部メモリには、閾値設定テーブル７３を保存している。   In the present embodiment, when the external interrupt signal is in an active state, the synchronization signal monitoring means 71 provided as a function of the CPU is activated to execute the synchronization signal monitoring and consistency check processing, and 4) Failures (a) to (d) are detected. FIG. 5 shows a functional configuration of the CPUs 32 and 42. The arithmetic processing unit of the CPU includes a synchronization signal monitoring unit 71 and a set value changing unit 72 that can be realized by a program, and also includes a monitoring timer 1 (74) and a monitoring timer 2 (75) that are internal timers. . A threshold setting table 73 is stored in the internal memory of the CPU.

図６に同期信号監視手段７１の処理手順を示す。この処理では、ＣＰＵの内部タイマ機能（監視タイマ１，監視タイマ２）を用いる。外部割込信号は、立下りエッジ検出回路４５によって、アクティブ状態への変化点が検出され、ＣＰＵへ割込信号として入力される。この割込信号によって同期信号監視手段７１が起動する。同期信号監視手段７１は、起動されると、監視タイマ２のタイマ値を取得する（Ｓ１０１）。この監視タイマ２は前回サイクルのアクティブ状態変化点からの時間を計測するタイマであり、初期値として通信サイクルの値が設定されている。   FIG. 6 shows the processing procedure of the synchronization signal monitoring means 71. In this process, the internal timer function (monitoring timer 1, monitoring timer 2) of the CPU is used. The external interrupt signal is detected by the falling edge detection circuit 45 at the change point to the active state and input to the CPU as an interrupt signal. The synchronization signal monitoring means 71 is activated by this interrupt signal. When activated, the synchronization signal monitoring means 71 acquires the timer value of the monitoring timer 2 (S101). The monitoring timer 2 is a timer that measures the time from the active state change point of the previous cycle, and a communication cycle value is set as an initial value.

そして、同期信号監視手段７１は、取得したタイマ値からアクティブ化間隔は閾値（下限値）以上か否かを判定し（Ｓ１０２）、「ＹＥＳ」の場合は、監視タイマ１の動作を開始する（Ｓ１０３）。この監視タイマ１は、アクティブ状態の継続時間（すなわちアクティブ時間）を計測するタイマである。次に、同期信号監視手段７１は、監視タイマ１は時間切れか否かを判定し（Ｓ１０４）、時間切れの場合は、監視タイマ１の動作を停止して（Ｓ１０５）、フェイスセーフ処理を実行する（Ｓ１０７）。  Then, the synchronization signal monitoring means 71 determines whether or not the activation interval is equal to or greater than a threshold value (lower limit value) from the acquired timer value (S102). If “YES”, the operation of the monitoring timer 1 is started ( S103). The monitoring timer 1 is a timer that measures the duration of the active state (that is, the active time). Next, the synchronization signal monitoring unit 71 determines whether or not the monitoring timer 1 has expired (S104). If the monitoring timer 1 has expired, the operation of the monitoring timer 1 is stopped (S105) and the face safe process is executed. (S107).

一方、ステップＳ１０４で、監視タイマ１が時間切れでない場合は、タイミング同期信号が非アクティブ状態か否かを判定し（Ｓ１０９）、非アクティブ状態でなければ、ステップＳ１０４に戻る。同期信号が非アクティブ状態ならば、監視タイマ１の動作を停止し（Ｓ１１０）、タイマ値を取得し（Ｓ１１１）、そのタイマ値（すなわちアクティブ時間）が設定範囲内か否かを判定する（Ｓ１１２）。設定範囲内の場合は、監視タイマ２を再起動し（Ｓ１１３）、内部割込みを発生させて、割込み処理を起動する（Ｓ１１４）。   On the other hand, if the monitoring timer 1 has not expired in step S104, it is determined whether or not the timing synchronization signal is in an inactive state (S109). If not in an inactive state, the process returns to step S104. If the synchronization signal is in an inactive state, the operation of the monitoring timer 1 is stopped (S110), a timer value is acquired (S111), and it is determined whether or not the timer value (ie, active time) is within a set range (S112). ). If it is within the set range, the monitoring timer 2 is restarted (S113), an internal interrupt is generated, and interrupt processing is started (S114).

また、ステップＳ１０２でアクティブ化間隔が閾値（下限値）以下の場合は（Ｓ１０２で「ＮＯ」）、フェイスセーフ処理を実行する（Ｓ１０８）。なお、ステップＳ１０２で、アクティブ化間隔が、閾値（上限値）を超えた場合もフェイルセーフ処理を実行するようにしても良い。   If the activation interval is equal to or smaller than the threshold value (lower limit value) in step S102 (“NO” in S102), face-safe processing is executed (S108). In step S102, the fail safe process may be executed even when the activation interval exceeds a threshold value (upper limit value).

以上の同期信号監視手段の処理によって、アクティブ時間、アクティブ化間隔とも閾値の範囲内に入っている場合、すなわち正常時には割込みを受け付けて、その割込みに対応する安全処理を実行し、アクティブ時間またはアクティブ化間隔のいずれかが閾値の範囲内に入っていない場合は、割込みを受け付けずに予め定められたフェイルセーフ処理を実行する。   As a result of the above processing of the synchronization signal monitoring means, when both the active time and the activation interval are within the threshold range, that is, in the normal state, the interrupt is accepted and the safety process corresponding to the interrupt is executed, and the active time or active If any of the conversion intervals does not fall within the threshold range, a predetermined fail-safe process is executed without accepting an interrupt.

なお、閾値の決定方法としては、たとえばインバータの運転指令周波数またはキャリア周波数、ユーザーによる動作環境の初期設定、安全通信の処理サイクルといったパラメータを元にして決定し、これら閾値を運転前に予めメモリ等に格納しておく。そして、運転時に条件に応じて切り替える仕組みを用意することで、監視・整合性確認処理による処理開始の遅延を最小化することができる。   Note that the threshold value is determined based on parameters such as the inverter operation command frequency or carrier frequency, the initial setting of the operating environment by the user, and the safety communication processing cycle. Store it in. By preparing a mechanism for switching according to conditions during operation, it is possible to minimize the delay of the process start due to the monitoring / consistency confirmation process.

たとえば通信サイクルが１０ｍｓ周期のとき、図１の構成によれば、外部コントローラ２と安全制御システム１との間では、１０ｍｓ周期で安全データが送受信されることになる。外部コントローラ２から送られてきた安全データは、制御装置２０で受信され、安全装置３０へ渡される。このとき安全装置３０のプロセッサユニット３１からプロセッサユニット４１へ送られる受信の同期信号はおよそ１０ｍｓ間隔になる。また、プロセッサ２からプロセッサ１への送信も同様に１０ｍｓ周期で行われ、安全データとして異常有無などのステータスが、制御装置２０を経由して、外部コントローラ２へ送られる。したがって、アクティブ化間隔の下限値は１０ｍｓより小さく、処理時間のばらつき誤差を差し引いた値に設定すれば良い。アクティブ化間隔の上限値は１０ｍｓより大きく、断線等の故障と判定できる境界値を設定する。アクティブ時間の下限値は基準値に対してプロセッサの遅延時間などを考慮した最小値、アクティブ時間の上限値はプロセッサの信号出力精度と短絡等の故障と見なせる境界値を設定する。なおアクティブ時間の基準値は、電動機の速度によってＣＰＵ３２，ＣＰＵ４２間のケーブルに乗るノイズの大きさが異なってくる。速度が速くなればノイズが大きくなる傾向にあるので、予め速度指令値とアクティブ時間基準値との関係を閾値設定テーブル７３として制御装置２０あるいは、安全装置３０の各ＣＰＵ３２，４２に保存しておく。そして、外部コントローラ２から送られてくる速度指令値に基づいて閾値設定テーブル７３を参照してアクティブ時間基準値を抽出して、上述したように一定値を加算あるいは減算することによってアクティブ時間の上下限値を演算する。一方、アクティブ化間隔は、通信サイクルによって決まるので、運転前の設定値として予め保存しておき、運転サイクルが変更になった場合は、そのサイクルに応じて上下限値を変更する。簡便な方法としては、図７に示すように、一定の指令値範囲ごとにアクティブ時間の下限値と上限値を関連付けて予め保存し、通信サイクルを基準とした下限値と上限値をアクティブ化間隔の閾値として予め保存しておくようにしても良い。   For example, when the communication cycle has a 10 ms period, according to the configuration of FIG. 1, safety data is transmitted and received between the external controller 2 and the safety control system 1 at a 10 ms period. The safety data sent from the external controller 2 is received by the control device 20 and passed to the safety device 30. At this time, the reception synchronization signal sent from the processor unit 31 to the processor unit 41 of the safety device 30 is about 10 ms apart. Similarly, transmission from the processor 2 to the processor 1 is also performed at a cycle of 10 ms, and a status such as the presence / absence of abnormality is sent as safety data to the external controller 2 via the control device 20. Accordingly, the lower limit value of the activation interval may be set to a value smaller than 10 ms and subtracting the processing time variation error. The upper limit value of the activation interval is larger than 10 ms, and a boundary value that can be determined as a failure such as disconnection is set. The lower limit value of the active time is set to a minimum value in consideration of the delay time of the processor with respect to the reference value, and the upper limit value of the active time is set to a boundary value that can be regarded as a failure such as a short circuit or the like. The reference value of the active time varies depending on the speed of the electric motor and the magnitude of noise on the cable between the CPU 32 and the CPU 42. Since the noise tends to increase as the speed increases, the relationship between the speed command value and the active time reference value is stored in advance in the control device 20 or the CPUs 32 and 42 of the safety device 30 as the threshold setting table 73. . The active time reference value is extracted by referring to the threshold setting table 73 based on the speed command value sent from the external controller 2, and the constant value is added or subtracted as described above to increase the active time. Calculate the lower limit value. On the other hand, since the activation interval is determined by the communication cycle, it is stored in advance as a set value before operation, and when the operation cycle is changed, the upper and lower limit values are changed according to the cycle. As a simple method, as shown in FIG. 7, the lower limit value and the upper limit value of the active time are stored in advance in association with each predetermined command value range, and the lower limit value and the upper limit value based on the communication cycle are stored in the activation interval. The threshold value may be stored in advance.

図８は、ＣＰＵ３２，４２の設定値変更手段７２の処理手順を示すフローチャートである。電力変換器６０の指令周波数、または通信サイクルが変更されたときのアクティブ時間、アクティブ化間隔の閾値の変更手順を示す。   FIG. 8 is a flowchart showing the processing procedure of the setting value changing means 72 of the CPUs 32 and 42. The procedure for changing the command frequency of the power converter 60, or the active time when the communication cycle is changed, and the threshold of the activation interval is shown.

この図に示すように、設定値変更手段７２は、電力変換器６０への指令周波数等の設定変更の際の内部割込によって起動する。設定値変更手段７２は、起動されると、指令周波数の変更か否かを判定し、指令周波数の変更の場合は、閾値設定テーブルに格納されているアクティブ時間の閾値の上下限値を抽出して、図６のステップＳ１１２の判定処理の閾値として設定する。ステップＳ２０１で「ＮＯ」の場合は、設定値変更手段７２は、通信サイクルが変更になったか否かを判定し、通信サイクルが変更になった場合は、閾値設定テーブル７３に格納されているアクティブ化間隔の閾値の上下限値を抽出して、図６のステップＳ１０２の判定処理の閾値として設定する。   As shown in this figure, the set value changing means 72 is activated by an internal interruption at the time of changing the setting of the command frequency to the power converter 60. When activated, the set value changing means 72 determines whether or not the command frequency is changed. When the command frequency is changed, the upper and lower limit values of the threshold value of the active time stored in the threshold value setting table are extracted. Thus, it is set as the threshold value for the determination process in step S112 of FIG. If “NO” in the step S201, the setting value changing unit 72 determines whether or not the communication cycle has been changed, and if the communication cycle has been changed, the active value stored in the threshold setting table 73 is determined. The upper and lower limit values of the threshold of the conversion interval are extracted and set as the threshold values for the determination process in step S102 of FIG.

本実施の形態によれば、通信サイクルによって、タイミング同期のアクティブ化間隔を設定・変更し、指令周波数によって、アクティブ時間の設定・変更をするので、ノイズに強いタイミング同期手段を実現することができ、信頼性の高い安全制御システムを構築することができる。   According to the present embodiment, the timing synchronization activation interval is set / changed according to the communication cycle, and the active time is set / changed according to the command frequency, so that it is possible to realize a noise synchronization resistant timing synchronization means. A highly reliable safety control system can be constructed.

次の本発明の第２の実施の形態を説明する。
第１の実施の形態は、ＣＰＵのソフトウェア処理によって、アクティブ時間、アクティブ化間隔を監視するものであるが、本実施の形態は、外付けの回路によってアクティブ時間、アクティブ化間隔を監視するものである。 Next, a second embodiment of the present invention will be described.
In the first embodiment, the active time and the activation interval are monitored by CPU software processing. In this embodiment, the active time and the activation interval are monitored by an external circuit. is there.

本実施の形態によるタイミング同期手段４０の構成を図２、図９に示す。
この図において、タイミング同期手段４０は、タイミング同期信号発生回路３３，４３と外部割込みの信号線を通して、同回路と夫々つながるタイミング同期信号受信回路４４，３４から構成されている。回路３３と回路４３、および回路３４と回路４４はそれぞれ同じ回路構成であるので、以下、タイミング同期信号発生回路３３とタイミング同期信号受信回路４４を例に説明する。 The configuration of the timing synchronization means 40 according to the present embodiment is shown in FIGS.
In this figure, the timing synchronization means 40 is composed of timing synchronization signal generating circuits 33 and 43 and timing synchronization signal receiving circuits 44 and 34 respectively connected to the same circuit through signal lines for external interrupts. Since the circuit 33 and the circuit 43 and the circuit 34 and the circuit 44 have the same circuit configuration, the timing synchronization signal generation circuit 33 and the timing synchronization signal reception circuit 44 will be described below as an example.

タイミング同期信号発生回路３３は、ＣＰＵ３２のアドレスをデコードするデコード回路３５、デコード回路３５の出力と書き込み信号との論理積を演算するＡＮＤ回路３６、およびラッチ回路３７から構成されている。ラッチ回路３７は、ＤＦＦ（Ｄ型フリップフロップ）で実現されＤ入力には、データのあるビット（たとえばＬＳＢ）が接続され、クロック入力（ＣＫ）には、ＡＮＤ回路３６の出力が接続される。ラッチ回路３７の出力は外部割込信号として、タイミング同期信号受信回路４４へ伝送される。   The timing synchronization signal generation circuit 33 includes a decoding circuit 35 that decodes the address of the CPU 32, an AND circuit 36 that calculates a logical product of the output of the decoding circuit 35 and a write signal, and a latch circuit 37. The latch circuit 37 is realized by a DFF (D-type flip-flop), and a bit (for example, LSB) having data is connected to the D input, and an output of the AND circuit 36 is connected to the clock input (CK). The output of the latch circuit 37 is transmitted to the timing synchronization signal receiving circuit 44 as an external interrupt signal.

次に、本実施の形態によるタイミング同期信号受信回路４４の構成を図９を用いて説明する。
図９のタイミング同期信号受信回路４４において、外部割込信号は立下りエッジ検出回路４５と立上りエッジ検出回路４６にそれぞれ入力される。立下りエッジ検出回路４５は外部割込信号のアクティブ状態への変化点を検出する回路で、エッジを検出するとワンショットのパルスを発生させる。立上りエッジ検出回路４６は外部割込信号の非アクティブ状態への変化点を検出する回路で、変化点を検出するとワンショットのパルスを発生させる。 Next, the configuration of the timing synchronization signal receiving circuit 44 according to the present embodiment will be described with reference to FIG.
In the timing synchronization signal receiving circuit 44 of FIG. 9, the external interrupt signal is input to the falling edge detection circuit 45 and the rising edge detection circuit 46, respectively. The falling edge detection circuit 45 is a circuit that detects the change point of the external interrupt signal to the active state. When an edge is detected, a one-shot pulse is generated. The rising edge detection circuit 46 detects a change point of the external interrupt signal to the inactive state, and generates a one-shot pulse when the change point is detected.

立下りエッジ検出回路４５の出力は、ラッチ回路４７とワンショット回路５６へそれぞれ入力される。ラッチ回路４７は、ワンショットパルスをラッチする回路であり、ラッチされた出力は、タイマ回路４９のイネーブル端子（ＥＮ）に接続される。タイマ回路４９では、イネーブル端子の入力が「１」のときにシステムの基準クロックによって計数され、計数結果であるタイマ値が出力される。このタイマ値は、比較回路５３に入力される。   The output of the falling edge detection circuit 45 is input to the latch circuit 47 and the one-shot circuit 56, respectively. The latch circuit 47 is a circuit that latches the one-shot pulse, and the latched output is connected to the enable terminal (EN) of the timer circuit 49. In the timer circuit 49, when the input of the enable terminal is “1”, the timer circuit 49 counts with the reference clock of the system and outputs a timer value as a counting result. This timer value is input to the comparison circuit 53.

比較回路５３は、入力されたタイマ値を閾値格納手段５１に格納されているアクティブ時間の下限値および上限値とそれぞれ比較して、その比較結果を出力する。たとえば、タイマ値が下限値と上限値の間にあるときは、「下限値≦ｘ≦上限値」の端子から「１」が出力される。なお、閾値格納手段５１は、たとえば複数のＤＦＦによって構成することができ、ＣＰＵから書き込まれた値がラッチされている。   The comparison circuit 53 compares the input timer value with the lower limit value and the upper limit value of the active time stored in the threshold value storage means 51, and outputs the comparison result. For example, when the timer value is between the lower limit value and the upper limit value, “1” is output from the terminal of “lower limit value ≦ x ≦ upper limit value”. The threshold value storage means 51 can be constituted by a plurality of DFFs, for example, and values written from the CPU are latched.

比較回路５３の出力は、ＤＦＦで構成されるラッチ回路５５のＤ入力端子に繋がっている。また、ラッチ回路５５のクロック端子（ＣＫ）は、立上りエッジ検出回路４６の出力と繋がっている。すなわち、ラッチ回路５５によって、比較回路５３の「下限値≦ｘ≦上限値」の出力が、立上りエッジ検出回路４６のパルスでラッチされ、ラッチ回路５５の出力が割込信号としてＣＰＵに入力される。   The output of the comparison circuit 53 is connected to the D input terminal of the latch circuit 55 composed of DFF. The clock terminal (CK) of the latch circuit 55 is connected to the output of the rising edge detection circuit 46. That is, the output of “lower limit value ≦ x ≦ upper limit value” of the comparison circuit 53 is latched by the pulse of the rising edge detection circuit 46 by the latch circuit 55, and the output of the latch circuit 55 is input to the CPU as an interrupt signal. .

また、ラッチ回路４７の出力は、タイマ回路４８のイネーブル端子（ＥＮ）に入力され、この端子が「１」の間、タイマ回路４８は、基準クロックによってカウントアップされる。そして、タイマ回路４８の出力であるタイマ値は、比較回路５２に入力されると共に、ＣＰＵからも読み込まれるようになっている。比較回路５２は、入力されたタイマ値を閾値格納手段５０に格納されているアクティブ化間隔の下限値および上限値とそれぞれ比較して、その比較結果を出力する。たとえば、タイマ値が下限値と上限値の間にあるときは、「下限値≦ｘ≦上限値」の端子から「１」が出力され、タイマ値が上限値を超えている場合は、「ｘ＞上限値」の端子から「１」が出力される。「ｘ＞上限値」の端子は、ＤＦＦで構成されるラッチ回路５４に接続され、ラッチ回路５４のクロック入力（ＣＫ）には基準クロックが入力される。ラッチ回路５４の出力は、異常検出信号としてＣＰＵに入力される。   The output of the latch circuit 47 is input to an enable terminal (EN) of the timer circuit 48, and the timer circuit 48 is counted up by the reference clock while this terminal is “1”. The timer value output from the timer circuit 48 is input to the comparison circuit 52 and is also read from the CPU. The comparison circuit 52 compares the input timer value with the lower limit value and the upper limit value of the activation interval stored in the threshold value storage means 50, and outputs the comparison result. For example, when the timer value is between the lower limit value and the upper limit value, “1” is output from the terminal of “lower limit value ≦ x ≦ upper limit value”, and when the timer value exceeds the upper limit value, “x” “1” is output from the terminal of “> upper limit value”. The terminal of “x> upper limit value” is connected to the latch circuit 54 configured by DFF, and the reference clock is input to the clock input (CK) of the latch circuit 54. The output of the latch circuit 54 is input to the CPU as an abnormality detection signal.

比較回路５２の「下限値≦ｘ≦上限値」の端子は、ワンショット回路５６の入力（Ａ入力）に繋がり、ワンショット回路５６の他の入力（Ｂ入力）には、立下りエッジ検出回路４５の出力が繋がっている。ワンショット回路５６は、Ａ入力、Ｂ入力ともに「１」のときに一定幅のパルスを出力する回路である。このワンショット回路５６の出力は、タイマ回路４８，４９、ラッチ回路４７のリセット端子に繋がっている。また、ラッチ回路５４，５５のクリア端子（ＣＬ）は、ＣＰＵと繋がり、ＣＰＵ回路の書き込み動作によってリセットされるようになっている。なお、ラッチ回路４７のクロック端子（ＣＫ）の入力は、リセット端子に入力されるリセット信号の解除タイミングよりも若干遅くするなど必要により、各信号のタイミング調整を行うものとする。   A terminal of “lower limit value ≦ x ≦ upper limit value” of the comparison circuit 52 is connected to an input (A input) of the one-shot circuit 56, and a falling edge detection circuit is connected to the other input (B input) of the one-shot circuit 56. 45 outputs are connected. The one-shot circuit 56 is a circuit that outputs a pulse having a constant width when both the A input and the B input are “1”. The output of the one-shot circuit 56 is connected to the reset terminals of the timer circuits 48 and 49 and the latch circuit 47. The clear terminals (CL) of the latch circuits 54 and 55 are connected to the CPU, and are reset by a write operation of the CPU circuit. Note that the input of the clock terminal (CK) of the latch circuit 47 adjusts the timing of each signal as necessary, for example, slightly later than the reset timing of the reset signal input to the reset terminal.

上記の構成を有するタイミング同期手段の４０の動作を説明する。
タイミング同期信号発生回路３３は、特定のアドレスへのデータに「１」「０」を書き込むことによって、図３に示す波形になるように外部割込信号を発生させる。 The operation of the timing synchronization means 40 having the above configuration will be described.
The timing synchronization signal generation circuit 33 generates an external interrupt signal so as to have the waveform shown in FIG. 3 by writing “1” and “0” in data to a specific address.

すなわち、ＣＰＵは、通信サイクルに連動して送信タイミングになったときに、「１」を書き込んで、外部割込信号をアクティブ状態にする。そして、閾値設定テーブル７３を参照して、現在の指令周波数に対応する時間後に「０」を書き込んで非アクティブ状態にする。この動作を送信タイミングごとに繰り返す。   That is, the CPU writes “1” when the transmission timing comes in conjunction with the communication cycle, and activates the external interrupt signal. Then, with reference to the threshold setting table 73, “0” is written after the time corresponding to the current command frequency to make it inactive. This operation is repeated for each transmission timing.

タイミング同期信号受信回路４４では、正常な外部割込信号の場合は、立下りエッジ検出回路４５で立ち下がりエッジを検出すると、ラッチ回路４７の出力が「１」となり、タイマ回路４９が計数を開始する。そして、タイマ値がアクティブ時間の下限値と上限値の間になったときに「下限値≦ｘ≦上限値」の端子が「１」を出力し、またこのタイミングで非アクティブ状態になるので、立上りエッジ検出回路４６からパルスが出力され、ラッチ回路５５の出力が「１」になり、割込信号が発生する。   In the timing synchronization signal receiving circuit 44, in the case of a normal external interrupt signal, when the falling edge is detected by the falling edge detection circuit 45, the output of the latch circuit 47 becomes “1” and the timer circuit 49 starts counting. To do. And, when the timer value is between the lower limit value and the upper limit value of the active time, the terminal of “lower limit value ≦ x ≦ upper limit value” outputs “1”, and at this timing, it becomes inactive. A pulse is output from the rising edge detection circuit 46, the output of the latch circuit 55 becomes “1”, and an interrupt signal is generated.

また、次の通信サイクルでは、アクティブ化間隔が上限値と下限値の間にあるときに外部割込信号がアクティブ状態になるため、ワンショット回路５６からリセット信号が出力され、ラッチ回路４７、タイマ回路４８，４９がリセットされ、立下りエッジ検出回路４５の出力パルスによって再起動する。このとき、比較回路５２の「ｘ＞上限値」は「１」にならず、ラッチ回路５４の出力も「１」にならないので、異常検出信号は発生しない。   In the next communication cycle, since the external interrupt signal becomes active when the activation interval is between the upper limit value and the lower limit value, a reset signal is output from the one-shot circuit 56, and the latch circuit 47, timer The circuits 48 and 49 are reset and restarted by the output pulse of the falling edge detection circuit 45. At this time, “x> upper limit value” of the comparison circuit 52 does not become “1”, and the output of the latch circuit 54 does not become “1”, so that no abnormality detection signal is generated.

ＣＰＵでは、ラッチ回路５５から出力される割込信号によって、割込み処理が起動すると、割込み処理においてラッチ回路５５にリセット信号を出力して割込みを解除すると共に、タイマ回路４８から出力されるタイマ値を読み込む。これにより、割込みがアクティブ状態になってからの時間を検知することができる。割込み処理では、このタイマ値をたとえば減速指令を演算するときに、現在時刻をタイマ値で補正して、アクティブ状態になった時点からの速度として演算することによって、ＣＰＵ３２とＣＰＵ４２との間の減速指令の誤差を小さくすることができる。また、指令周波数によって変動するアクティブ時間の誤差を精度良く補正することができる。   In the CPU, when the interrupt processing is started by the interrupt signal output from the latch circuit 55, the reset signal is output to the latch circuit 55 in the interrupt processing to cancel the interrupt, and the timer value output from the timer circuit 48 is set. Read. Thereby, it is possible to detect the time from when the interrupt becomes active. In the interrupt processing, for example, when calculating a deceleration command, the current time is corrected with the timer value and calculated as a speed from the time when the CPU enters the active state. The command error can be reduced. Further, it is possible to accurately correct an error in the active time that varies depending on the command frequency.

＜図４（ａ）の場合＞
アクティブ時間が上限値を超えると、比較回路５２の「ｘ＞上限値」の出力端子が「１」となり、この結果ラッチ回路５４の出力も「１」となり、ＣＰＵに異常が通知される。ＣＰＵは、割込みによって異常状態を検知すると、フェイルセーフ処理を実行すると共に、リセット信号を出力してラッチ回路５４をリセットする。このとき、比較回路５３では、タイマ値が上限値よりも大きくなるので、「下限値≦ｘ≦上限値」の端子は「１」にならず、ラッチ回路５５の出力も「１」にならないので、割込信号は発生しない。 <In the case of FIG. 4A>
When the active time exceeds the upper limit value, the output terminal of “x> upper limit value” of the comparison circuit 52 becomes “1”. As a result, the output of the latch circuit 54 also becomes “1”, and the CPU is notified of the abnormality. When the CPU detects an abnormal state by interruption, the CPU executes fail-safe processing and outputs a reset signal to reset the latch circuit 54. At this time, in the comparison circuit 53, since the timer value is larger than the upper limit value, the terminal of “lower limit value ≦ x ≦ upper limit value” is not “1”, and the output of the latch circuit 55 is not “1”. No interrupt signal is generated.

＜図４（ｂ）の場合＞
アクティブ時間が下限値未満の場合は、比較回路５３の「下限値≦ｘ≦上限値」の端子は「１」にならず、ラッチ回路５５の出力も「１」にならないので、割込信号は発生しない。また、アクティブ化間隔の上下限値の範囲内に無い場合はワンショット回路５６からリセット信号は出力されないので、タイマ回路４８，４９は計数を継続する。これにより
瞬時のノイズによる誤動作を防止することができる。 <In the case of FIG. 4B>
When the active time is less than the lower limit value, the terminal of “lower limit value ≦ x ≦ upper limit value” of the comparison circuit 53 is not “1”, and the output of the latch circuit 55 is not “1”. Does not occur. If the activation interval is not within the range of the upper and lower limit values, the reset signal is not output from the one-shot circuit 56, so that the timer circuits 48 and 49 continue counting. Thereby, malfunction due to instantaneous noise can be prevented.

＜図４（ｃ）の場合＞
アクティブ化間隔が下限値未満の場合は、ワンショット回路５６からリセット信号は出力されず、タイマ回路４８，４９の計数が続行する。一過性のノイズであって瞬時に復帰をすれば、次の通信サイクルでリセット信号が出力され、アクティブ時間の計数が開始される。継続故障の場合は、比較回路５２の「ｘ＞上限値」端子が「１」となり、ラッチ回路５４から異常検出信号が出力される。 <In the case of FIG. 4C>
When the activation interval is less than the lower limit value, the reset signal is not output from the one-shot circuit 56, and the timer circuits 48 and 49 continue counting. If it is a transient noise and returns instantly, a reset signal is output in the next communication cycle, and counting of the active time is started. In the case of a continuous failure, the “x> upper limit” terminal of the comparison circuit 52 becomes “1”, and an abnormality detection signal is output from the latch circuit 54.

＜図４（ｄ）の場合＞
断線等により、外部割込信号の非アクティブ状態が上限値を超えて継続した場合は、図４（ａ）の場合と同様に、比較回路５２の「ｘ＞上限値」の出力端子が「１」となり、この結果ラッチ回路５４の出力も「１」となり、ＣＰＵに異常が通知される。 <In the case of FIG. 4D>
When the inactive state of the external interrupt signal continues beyond the upper limit due to disconnection or the like, the output terminal of “x> upper limit” of the comparison circuit 52 is “1” as in the case of FIG. As a result, the output of the latch circuit 54 also becomes “1”, and the CPU is notified of the abnormality.

本実施の形態によれば、ＣＰＵの外付け回路によってタイミング同期手段を実現するので、ＣＰＵの処理負荷を低減させることができる。また、外部割込みがアクティブ状態になった時点からの経過時間をＣＰＵへ読み込み可能にして、読み取った経過時間をもとに安全信号の出力タイミングを調整することにより、二重化されたＣＰＵ間の同期処理の精度を向上させることができる。   According to the present embodiment, since the timing synchronization means is realized by an external circuit of the CPU, the processing load on the CPU can be reduced. In addition, by making it possible for the CPU to read the elapsed time from when the external interrupt becomes active, and adjusting the output timing of the safety signal based on the read elapsed time, the synchronization processing between the duplicated CPUs Accuracy can be improved.

１ 安全制御システム
２ 外部コントローラ
３ ネットワーク
４ 電動機
１０ 通信装置
２０ 制御装置
３０ 安全装置
３１，４１ プロセッサユニット
３２，４２ ＣＰＵ（プロセッサ）
３３，４３ タイミング同期信号発生回路
３４，４４ タイミング同期信号受信回路
３５ デコード回路
３６ ＡＮＤ回路
３７，４７，５４，５５ ラッチ回路
４０ タイミング同期手段
４５ 立下りエッジ検出回路
４６ 立上りエッジ検出回路
４８，４９ タイマ回路
５０，５１ 閾値格納手段
５２，５３ 比較回路
５６ ワンショット回路
６０ 電力変換器
７１ 同期信号監視手段
７２ 設定値変更手段
７３ 閾値設定テーブル DESCRIPTION OF SYMBOLS 1 Safety control system 2 External controller 3 Network 4 Electric motor 10 Communication apparatus 20 Control apparatus 30 Safety apparatus 31,41 Processor unit 32,42 CPU (processor)
33, 43 Timing synchronization signal generating circuit 34, 44 Timing synchronization signal receiving circuit 35 Decoding circuit 36 AND circuit 37, 47, 54, 55 Latch circuit 40 Timing synchronization means 45 Falling edge detection circuit 46 Rising edge detection circuit 48, 49 Timer Circuits 50 and 51 Threshold storage means 52 and 53 Comparison circuit 56 One-shot circuit 60 Power converter 71 Synchronization signal monitoring means 72 Setting value changing means 73 Threshold setting table

Claims (3)

ネットワークを介して外部コントローラと通信データの送受信を行う通信装置と、該通信装置を経由して前記外部コントローラから送られてくる通信データを受信し、該通信データに基づいて電力変換器へ制御信号を出力する制御装置と、該通信データに基づいて前記電力変換器への停止指令の出力その他の安全に関する動作を実行する安全機能を、第一のプロセッサと第二のプロセッサによって実現する安全装置と、を有する安全制御システムであって、
前記第一のプロセッサと前記第二のプロセッサは、周期的に伝送する安全データの送信タイミングまたは受信タイミングで発生させる相手側プロセッサへの外部割込信号を同期信号として相互に転送するタイミング同期手段を備え、
前記タイミング同期手段は、同期信号によって発生する割り込みがアクティブ状態にあるアクティブ時間と、該割込信号の発生サイクルであるアクティブ化間隔とを監視し、前記アクティブ時間および前記アクティブ化間隔が、設定された閾値範囲にあるときのみ前記外部割込信号を受け付けて予め定められた安全処理を行うことを特徴とする安全制御システム。 A communication device that transmits / receives communication data to / from an external controller via a network, receives communication data sent from the external controller via the communication device, and receives a control signal to a power converter based on the communication data And a safety device that implements a safety function that outputs a stop command to the power converter and other safety-related operations based on the communication data by the first processor and the second processor A safety control system comprising:
The first processor and the second processor include timing synchronization means for mutually transferring, as a synchronization signal, an external interrupt signal to a counterpart processor that is generated at a transmission timing or a reception timing of safety data that is periodically transmitted. Prepared,
The timing synchronization means monitors an active time in which an interrupt generated by a synchronization signal is in an active state and an activation interval that is a generation cycle of the interrupt signal, and the active time and the activation interval are set. A safety control system that receives the external interrupt signal and performs a predetermined safety process only when it is within a predetermined threshold range. 前記アクティブ化間隔の閾値は、運転動作前に予め設定され、前記アクティブ時間の閾値は、電力変換器の動作状態に応じて設定されることを特徴とする請求項１に記載の安全制御システム。   The safety control system according to claim 1, wherein the activation interval threshold is set in advance before the driving operation, and the active time threshold is set in accordance with an operation state of the power converter. 前記割込信号がアクティブ状態になった時点からの時間を計測するタイマを備え、前記安全処理は、該タイマの値によって、減速時間または停止までの時間を補正することを特徴とする請求項１または２に記載の安全制御システム。   2. A timer for measuring a time from a point in time when the interrupt signal is in an active state is provided, and the safety process corrects a deceleration time or a time to stop by a value of the timer. Or the safety control system of 2.