安全控制器及利用此控制器的系统.pdf

本发明提供一种减少配线数目的同时，容易组建系统的安全控制器与利用此控制器的系统。该控制器具有作为控制部的第一、第二CPU17、18；所述控制部基于来自安全门开关等输入机器的安全输入及来自其它继电器的逻辑连接用的内部安全输入，控制对于磁性开关等的安全输出控制对象的安全输出及对于其它安全控制器的逻辑连接用的内部安全输出；且作为前述安全输出及内部安全输出供给半导体输出。

1.  一种安全控制器，该安全控制器基于来自输入机器的输入，向安全输出控制对象供给安全输出，并控制机械设备的运转，其特征是具有：
多个安全输出部，作为前述安全输出供给半导体输出；
连接输出部，向其它安全控制器供给连接用输出；
控制部，基于来自前述输入机器的输入，按照程序控制前述安全输出及前述连接用输出。

2.  如权力要求1所记载的安全控制器，其特征是：
具有连接输入部，从其它安全控制器输出的连接用输出作为连接用输入被供给；
前述控制部基于前述来自输入机器的输入及前述来自连接输入部的连接用输入，控制前述安全输出及前述连接用输出。

3.  如权力要求1所记载的安全控制器，其特征是，前述连接用输出为逻辑连接用的半导体输出。

4.  如权力要求2所记载的安全控制器，其特征是，前述控制部按照前述程序，基于来自前述输入机器的输入及来自前述连接输入部的连接用输入，进行逻辑运算，并控制前述安全输出及前述连接用输出。

5.  如权力要求1所记载的安全控制器，其特征是，前述控制部按照前述程序，将前述连接用输出的输出状态控制成和前述安全输出的输出状态相同的状态。

6.  一种安全控制器，该安全控制器基于来自输入机器的输入，向安全输出控制对象供给安全输出，并控制机械设备的运转，其特征是具有：
多个安全输出部，作为前述安全输出供给半导体输出；
连接输出部，向其它安全控制器供给连接用输出；
控制部，按照程序，执行输入处理、诊断处理及输出处理，
在前述输入处理中，判断来自前述输入机器的输入状态，在前述诊断处理中，进行自我诊断，在前述输出处理中，基于前述输入处理及前述诊断处理的结果，控制前述安全输出及前述连接用输出。

7.  如权力要求6所记载的安全控制器，其特征是：
具有连接输入部，从其它安全控制器输出的连接用输出作为连接用输入被供给；
在前述输入处理中，判断来自前述输入机器的输入及来自前述连接输入部的连接用输入的状态；在前述诊断处理中，进行自我诊断；在前述输出处理中，基于前述输入处理及前述诊断处理的结果，控制前述安全输出及前述连接用输出。

8.  如权力要求7所记载的安全控制器，其特征是：
前述连接用输出是逻辑连接用的半导体输出；
在前述输入处理中，进行来自前述输入机器的输入及来自前述连接输入部的连接用输入的逻辑运算，并决定前述安全输出及前述连接用输出的输出状态；在前述输出处理中，基于前述诊断处理的结果，将前述安全输出及前述连接用输出分别控制成如下，即在无异常时，使其成为在前述输入处理中被决定的输出状态，在有异常时，使其成为预先决定的输出状态。

9.  如权力要求2或7所记载的安全控制器，其特征是：
具有设定部，该设定部至少设定来自前述连接输入部的连接用输入的有效/无效；
前述控制部在由前述设定部被设定成无效时，将前述连接用输入作为无效来控制前述安全输出及连接用输出。

10.  如权力要求1所记载的安全控制器，其特征是：
多个前述安全输出部具有输出安全瞬间输出的瞬间输出部及输出安全断开延迟输出的断开延迟输出部。

11.  如权力要求1所记载的安全控制器，其特征是：
使前述安全输出和前述连接用输出的信号模式不同。

12.  如权力要求1所记载的安全控制器，其特征是：
能够连接增设单元，该增设单元内藏多个电磁继电器，且将响应于前述安全输出的继电器输出，输出到前述安全输出控制对象。

13.  如权力要求1所记载的安全控制器，其特征是：
前述控制部具有2个CPU。

14.  一种系统，其特征是，将权力要求1或2所记载的多个安全控制器通过前述连接输入部及前述连接输出部连接而成的。

15.  如权力要求9所记载的安全控制器，其特征是：
前述设定部在将该安全控制器安装在所需部位的状态下，以不能设定操作的方式而被设置。

16.  如权力要求15所记载的安全控制器，其特征是：
前述设定部从成为该安全控制器的安装面的外壳的背面，以能够设定操作的方式而被设置。

17.  如权力要求9所记载的安全控制器，其特征是：
前述设定部具有第一设定部和第二设定部，该第一设定部能够设定该设定部中的设定项目的至少一部分的设定项目，该第二设定部能够设定与该第一设定部相相同的设定项目；
前述控制部具有第一和第二这两个CPU，来自前述第一、第二的各设定部的设定输出逐个地分别供给到前述第一、第二的各CPU，前述各CPU将各设定输出相互进行比较。

18.  如权力要求17所记载的安全控制器，其特征是，前述第二设定部在将该安全控制器安装在所需部位的状态下，以能够目视的方式而被设置。

安全控制器及利用此控制器的系统
技术领域
本发明涉及安全控制器及利用此控制器的系统。更具体地说，涉及适合于工作机械和产业用机器人等机械设备的安全电路的安全控制器与利用此控制器的系统。
背景技术
以往、例如为了确保在生产现场上的劳动安全，组建了利用内藏有多个电磁继电器的继电器单元的安全电路，即只有在确保安全的状态时，才向工业机械或产业用机器人等机械设备的动力供应电源的安全电路(例如参照专利文献1)。
所涉及的继电器单元具有如下功能，根据来自紧急停止开关等安全开关或安全门开关等的安全区域传感器的输入信号，监视安全电路的状态，在发生故障时，可靠地切断机械设备的电源的同时，除非在排除了此故障的原因以外，不会进行机械设备的重新启动。
[专利文献1]  日本专利特开平2003-140702号公报
在使用了内藏所涉及的电磁继电器的继电器单元的系统中，根据继电器序列组建了安全电路，因此由配线来组合成逻辑，若应控制的工作机械等增多，则使配线数目增多而变得复杂，同时该设计也不容易。
另外，在相应于用户的要求，想改变系统的一部分的情况下，例如、在将多个工作机械具有在各个作业场地而构成的生产线中，或者在作业场地中的工作机械欲跟旁边的作业场地中的工作机械连动而启动·停止的这样的情况下，也必须由配线来改变逻辑，从而需要很多时间和劳力。
发明内容
本发明是着眼于上述点而成的，其目的在于提供一种减少配线数目的同时，容易组建系统的安全控制器及利用此控制器的系统。
在本发明中为了达到上述目的，构成如下。
即，本发明中的安全控制器是基于来自输入机器的输入，向安全输出控制对象供给安全输出，并控制机械设备的运转的安全控制器，其具有：作为前述的安全输出供给半导体输出的多个安全输出部；向其它安全控制器供给连接用输出的连接输出部；基于来自前述输入机器的输入，按照程序控制前述安全输出及前述连接用输出的控制部。
在这里，所谓输入机器是指对于该安全控制器供给输入的机器，例如指紧急停止开关、安全门开关、安全限位开关、安全开灯开(闭)幕等。
所谓安全输出控制对象是指由该安全控制器的输出的安全输出所控制的对象，例如指磁性开关、电动机控制器、可变电动机、PLC等。
所谓机械设备是指各种工作机械，产业用机器人等。
还有，所谓控制机械设备的运转是指机械设备的启动·停止或运转速度的控制。
所谓连接用输出是指用于该安全控制器和其它安全控制器的连接的输出。
根据本发明，因为具有将半导体输出的安全输出供给到安全输出控制对象的多个安全输出部，和按照程序控制安全输出的控制部，所以无需如现有的内藏电磁继电器的继电器单元那样，按继电器序列组建安全电路，可减少配线数目的同时，在根据用户的需求，制造方想改变系统的一部分的情况下，也可由软件的变更来简单地对应。另外，可以用连接用输出，将其它安全控制器和该安全控制器容易地相关联起来。
在本发明的一实施方式中，具有从其它安全控制器输出的连接用输出作为连接用输入被供给的连接用输入部，前述控制部是基于来自前述输入机器的输入及来自前述连接输入部的连接用输入，来控制前述安全输出及前述连接用输出。
按照该实施方式，可以将该安全控制器的安全输出或连接用输出的输出状态与从其它安全控制器被供给的连接用输入相关联起来。
在本发明优选实施方式中，前述连接用输出是逻辑连接用的半导体输出。
在这里，所谓逻辑连接是，用于将连接到该安全控制器的其它安全控制器，例如用逻辑积和逻辑和等逻辑相关联起来并连接。
根据该实施方式，可以将该安全控制器和其它安全控制器的安全输出或连接用输出，通过逻辑积或逻辑和等逻辑而相关联起来。
在本发明地其它实施方式中，前述控制部是按照前述程序，基于来自前述输入机器的输入及来自前述连接输入部的连接用输入，进行逻辑运算，并控制前述安全输出及前述连接用输出。
按照这种实施方式，来自输入机器的输入及来自连接输入部的连接用输入的逻辑运算，例如可以取逻辑积，将其结果作为安全输出或连接用输出，因此可以将以下情况变为可能，即，只有在来自输入机器的输入状态为允许运转机械设备的安全方的状态，且来自其它安全控制器的连接用输入的状态同样为安全方的状态时，才使该安全控制器的安全输出的输出状态为安全方的状态。
在本方明的另外的其它实施方式中，前述控制部是按照前述程序，将前述连接用输出的输出状态控制成和前述安全输出的输出状态相同。
在这里，所谓输出状态是指，允许机械设备运转的安全方或禁止机械设备运转的危险方。
根据该实施方式，连接用输出的输出状态和安全输出的输出状态相同，所以，被供给该安全控制器的连接用输出的其它安全控制器，可将其安全输出与该安全控制器的安全输出，通过逻辑运算相关联起来。
另外，本发明的安全控制器是基于来自输入机器的输入，向安全输出控制对象供给安全输出并控制机械设备的运转的安全控制器；其具有：作为前述安全输出供给半导体输出的多个安全输出部；向其它安全控制器供给连接用输出的连接输出部；按照程序执行输入处理、诊断处理及输出处理的控制部，其特征是：在前述输入处理中，判断来自前述输入机器的输入状态；在前述诊断处理中，进行自我诊断；在前述输出处理中，基于前述输入处理及前述诊断处理的结果，控制前述安全输出及前述连接用输出。
作为其它实施方式，可以为如下方式：具有从其它安全控制器输出的连接用输出作为连接用输入被供给的连接输入部，在前述输入处理中，判断来自前述输入机器的输入状态及来自前述连接输入部的连接用输入的状态。
在这里，所谓诊断处理是指，自我诊断有无异常的处理，例如，内部电路有无动作异常、输入机器等上有无配线错误、有无端子的短路等的诊断处理。
按照本发明，控制部按照程序，执行输入处理、诊断处理的同时，基于其结果，控制安全输出及连接用输出，所以，无需通过继电器序列而组建安全电路，可减少配线数目的同时，根据用户的要求，制造方想改变系统的一部分的情况下，也可通过软件的改变来简单地对应。另外，用连接用输出可将其它安全控制器，和该安全控制器容易地相关联起来。
在本发明的优选实施方式中，前述连接用输出是逻辑连接用的半导体输出，在前述输入处理中，进行来自前述输入机器的输入及来自前述连接输入部的连接用输入的逻辑运算，并决定前述安全输出及前述连接用输出的输出状态，在前述输出处理中，基于前述诊断处理的结果，分别将前述安全输出及前述连接用输出控制成如下，即在无异常时，使其成为在前述输入处理中被决定的输出状态，在有异常时，使其成为预先规定的输出状态。
在这里，所谓预先规定的输出状态是指，禁止机械设备的运转的危险方的输出状态。
另外，最好将安全输出及前述连接用输出的输出状态，控制成同样的状态。
根据该实施方式，可将该安全控制器和其它安全控制器的安全输出或连接用输出，通过逻辑积或者逻辑和等逻辑相关联起来。另外，根据诊断处理的结果，在有异常的时候，控制成预先规定的输出状态，即，禁止机械设备的运转的危险方的输出状态，由此可确保安全。
在本发明的其它实施方式中，具有设定来自前述连接输入部的连接用输入的有效/无效的设定部，前述控制部在由前述的设定部设定为无效的时候，将前述连接用输入作为无效来控制前述安全输出及连接用输出。
由设定部的设定，例如可由设定开关等的操作来进行，也可由通信来进行。
根据该实施方式，无需改变多个安全控制器之间的配线，也可以容易地选择连接用输入的有效/无效。
在本发明的优选实施方式中，多个前述安全输出部具有输出安全瞬间输出的瞬间输出部及输出安全断开延迟输出的断开延迟输出部。
根据该实施方式，可以供给瞬间输出和断开延迟输出中的任意一个安全输出，所以适合于以下情况，即例如，响应于紧急停止开关等输入机器的操作，具有想立即切断动力并停止动作的部分和想延迟一定时间并停止动作的部分的机械设备的运转的控制。
在本发明的一种实施方式中，使前述安全输出和前述连接用输出的信号模式不同。
根据该实施方式，连接用输出使其信号模式和安全输出的信号模式不同，并作为专用，因此可以响应于逻辑积、逻辑和、异等逻辑的种类，改变连接用输出的信号模式并使之对应。
在本发明的其它实施方式中，能够连接增设单元，该增设单元内藏多个电磁继电器，且将响应于前述安全输出的继电器输出，输出到前述安全输出控制对象。
根据该实施方式，通过连接增设单元，可将响应于安全输出的继电器输出，输出到安全输出控制对象，因此可以容易地增加安全输出的输出点数。
在本发明的另外的其它实施方式中，前述控制部中具有两个CPU。
根据该实施方式，通过利用两个CPU执行同样的处理并双重化，可以提高安全性。
另外，本发明的系统是将多个本发明的安全控制器，通过前述连接输入部及前述连接输出部连接而成的。
根据本发明，无需如内藏电磁继电器的现有继电器那样，通过继电器序列组建安全电路，可以减少配线数目的同时，根据用户的要求，在制造方想改变系统的一部分的情况下，也可以通过软件的改变来容易地对应。另外，将其它安全控制器，利用连接用输出，例如可通过逻辑积或逻辑和等逻辑来相关联起来，提高系统的扩展性。
附图说明
图1是表示与本发明的一个实施方式相关的系统的构成例子的图。
图2是图1的单功能单元的主视图。
图3是图1的多功能单元的主视图。
图4A是图1的多功能单元的后视图。
图4B是将图1的多功能单元安装在DIN导轨上的状态的立体图。
图5是图1的单功能单元的主视图。
图6是图1的多功能单元的框图。
图7是详细表示图6的一部分的框图。
图8是图1的单功能单元的框图。
图9是表示第一使用例的连接状态的图。
图10是图9的时间图。
图11是表示第二使用例的连接状态的图。
图12是图11的时间图。
图13是表示第三使用例的连接状态的图。
图14是图13的时间图。
图15是表示第四使用例的连接状态的图。
图16是图15的时间图。
图17是提供动作说明的流程图。
图18是其它实施方式的多功能单元的主视图。
图19是表示设定的双重化的框图。
图20是表示内部安全输出的信号模式的图。
其中，附图标记说明如下：
1       安全门开关
2       紧急停止开关
3       单功能单元
4       多功能单元
5       增设单元
12      滑动开关
13，92  旋转开关
17，18  第一，第二CPU
31      瞬间用安全输出电路
32      断开延迟用安全输出电路
34      内部安全输出电路
85      DIN导轨
87      开口
具体实施方式
以下，用图面具体地说明本发明的实施方式。
图1是表示利用与本发明的一种实施方式相关的安全控制器的系统构成列子的图。
在此实施方式的安全控制器构成为，只有在确保安全的状态时，才向未图示的工业机械或产业用机器人等机械设备的动力供应电源的安全电路。
在此实施方式的安全控制器有以下三种：连接紧急停止开关2等输入机器的单功能单元3；与此单功能3连接的同时、连接安全门开关1等输入机器的多功能单元4；通过电线6与此多功能单元4连接的增设单元5。
单功能单元3从紧急停止开关2等输入机器被供给输入，同时，对于作为安全输出控制对象的磁性开关等输出安全输出，所述安全输出控制对象进行向驱动工作机械等的电动机等的电力的供应·切断，以及对于多功能单元4输出作为逻辑连接用输出的内部安全输出。
这里所谓的逻辑连接用输出是指，为了将输出该逻辑连接用输出的单功能单元3和被供给逻辑连接用输出的多功能单元4逻辑连接的输出。
在该实施方式中，从单功能单元3对于安全输出控制对象输出的安全输出和逻辑连接用输出，其输出的状态是相同的。即、当安全输出为允许机械设备运转的安全方的输出状态时，逻辑连接用输出也是安全方的输出状态，另外、当安全输出为禁止机械设备运转的危险方的输出状态时，逻辑连接用输出也成为危险方的输出状态。
这里，将相对于对磁性开关等的安全输出控制对象的原本的安全输出，输出状态相同的逻辑连接用输出，叫做内部安全输出。
多功能单元4是：作为安全输入被供给来自紧急停止开关或安全门开关1等输入机器的输入以及从单功能单元3或前段的多功能单元4输出的内部安全输出，同时，对于作为安全输出控制对象的磁性开关等输出安全输出，所述安全输出控制对象进行向驱动工作机械等的电动机的电力的供应·切断，以及对于后段的多功能单元4输出作为逻辑连接用输出的内部安全输出。
从多功能单元4输出的逻辑连接用输出的内部安全输出也跟上述一样，是用于逻辑连接前段多功能单元4和后段多功能单元4的输出。
另外，从多功能单元4对于安全输出控制对象输出的安全输出和内部安全输出其输出状态是相同的。多功能单元4是和后述一样，可以输出安全瞬间输出和安全断开延迟输出，但内部安全输出和安全瞬间输出的输出状态成为同样的输出状态。
并且在图1里，将由单功能单元3供给多功能单元4的内部安全输出和由前段的多功能单元4供给后段的多功能单元4的内部安全输出，用虚线箭头符分别表示。
增设单元5是：通过电缆6连接到多功能单元4，将与多功能单元4同步的安全输出，对于作为安全输出控制对象的磁性开关等输出，所述安全输出控制对象进行驱动工作机械等用的电力的供应·切断。
单功能单元3如后述一样搭载有构成控制部的CPU，可以输入两个安全输入的同时，可以输出半导体输出(晶体管输出)的两个安全瞬间输出以及两个内部安全输出。两个安全输入为了安全规格上的双重化，被供给来自一个紧急停止开关等的输入。
另外，单功能单元3可以输出与安全瞬间输出同步的显示器输出以及内部故障时候的故障输出。再则，单功能单元3可以输入反馈/复位输入。
该单功能单元3如图2的主视图所示，在上下具有多个输入输出用的端子7的同时，具有将电源(PWR)、故障状态(ERR)、安全输入1、2(T1、T2)以及安全瞬间输出(EI)的各状态用LED分别显示的显示部8。
多功能单元4和单功能单元3一样搭载有作为控制部的CPU，可以输入两个安全输入以及一个内部安全输入，同时，可以输出半导体输出(晶体管输出)的三个安全瞬间输出、两个安全断开延迟输出以及作为逻辑连接用输出的内部安全输出。
两个安全输入和单功能单元3一样为了双重化，被供给来自一个紧急停止开关或一个安全门开关等的输入。
一个内部安全输入是被输入来自单功能单元3或前段的多功能单元4的内部安全输出的，通过该内部安全输入，被逻辑连接到单功能单元3或前段多功能单元4。
即，在该实施方式中，该内部安全输入和该多功能单元4的两个安全输入用“与”逻辑连接，在内部安全输入的输入状态为安全方的状态，且两个安全输入的输入状态为安全方的状态时，输出安全方的输出状态的安全输出。
另外，该多功能单元4可以输出与安全瞬间输出同步的显示器输出和内部故障时的故障输出。再则，多功能单元4可以输入反馈/复位输入。
该多功能单元4如图3的主视图所示，在上下具有多个输入输出用的端子9的同时，具有将电源(PWR)、故障状态(ERR)、安全输入1、2(T1、T2)、内部安全输入(AND)、反馈输入(FB)、安全瞬间输出(EI)以及安全断开延迟输出(ED)和各状态用LED分别显示的显示部10。另外，该多功能单元4具有用于连接增设单元5的连接器11，可以连接最多5个增设单元5。
通过该连接器11，进行安全瞬间输出、安全断开延迟输出、增设单元5的反馈输入输出和接地的各种信号的收发。
此外，该多功能单元4如图4A的后视图所示，在外壳的背面上，具有用于将该多功能单元4安装到作为支承导轨的DIN导轨85上的导轨槽86，且将该导轨槽86的上下两侧的结合部结合到DIN导轨85的上下的结合用端边，如图4B的立体图所示地安装到DIN导轨85上。
在该多功能单元4中，在导轨槽86的部分上，如图4A所示地形成有矩形开口87，为了能从该开口87操作外部，设置有作为操作部的滑动开关12和旋转开关13。
滑动开关12进行将逻辑连接用的内部安全输入成为有效或无效的设定，旋转开关13进行断开延迟时间的设定。当通过滑动开关12进行将逻辑连接用的安全输入成为无效的设定时，从其它的单元3、4授予的内部安全输入成为无效，不进行逻辑连接。
增设单元5是在单靠多功能单元4时，输出点的个数不足的情况下，根据需要而增设的，且内藏有多个电磁继电器。该增设单元5有以下两种，即输出和来自多功能单元4的安全瞬间输出同步的且作为继电器输出的三个安全输出的瞬间型，以及输出和来自多功能单元4的安全断开延迟输出同步的且作为继电器输出的三个安全输出的断开延迟型。
该增设单元5如图5的主视图所示，在上下具有多个输入输出用的端子14的同时，具有将电源(PWR)、故障状态(ERR)、安全瞬间输出(EI)或则把安全断开迟延输出(ED)的各状态用LED分别显示的显示部15。另外，该增设单元5具有用于连接到多功能单元4上或用于连接增设单元5的连接器16。
图6是多功能单元4的框图。在同图中，17、18是构成控制部的两个第一、第二CPU，在各个CPU17，18中执行同样的处理而双重化。各CPU17、18通过CPU间通信端口，进行采取软件处理的同步等的通信。
20是存放来自上述的双列直插开关等的设定开关19的设定内容的不挥发性存储器，21是显示上述的电源(PWR)或故障状态(ERR)等的各状态的LED，22是利用延迟IC的监视计时器，23是监视向各部分供应电源的电源电路24的状态的监视电路。
另外，25、26是双重化的安全输入的各1个系统，例如，被供给来自一个安全门开关的输入。27是被供给反馈输入或复位输入的复位输入电路。
28是被供给来自单功能单元3或从前段多功能单元4的逻辑连接用输出的内部安全输入的AND输入电路，29、30是与外部的个人电脑等通信用的RS232C电路以及切换开关。
31是瞬间用的安全输出电路，32是断开延迟用的安全输出电路，33是双重化用的输出线路控制电路，34是对后段的多功能单元4输出内部安全输出的内部安全输出电路，35是将安全瞬间输出作为显示器用输出到可编程逻辑控制器(PLC)等的显示器输出电路，36是在内部故障时供给故障输出的故障输出电路，37是用于连接增设单元5的连接器。
作为控制器的第一、第二CPU17、18是基于来自安全输入电路25、26的安全输入及来自AND输入电路28的内部安全输入，按照程序，控制安全输出电路31、32及内部安全输出电路34，而控制作为半导体输出(晶体管输出)的安全输出及内部安全输出。内部安全输出电路34具有半导体输出用的晶体管。
图7是表示图6的瞬间用的安全输出电路31、断开延迟用的安全输出电路32及输出线路控制电路33的构成的框图，对对应于图6的部分付上相同的参照符号。在该图7中，将来自第一CPU17的信号及对于第一CPU17的信号用虚线的箭头符表示，将来自第二CPU18的信号及对于第二CPU18的信号用一点划线的箭头符表示。
瞬间用的安全输出电路31具有三个瞬间输出控制部37～39，断开延迟用的安全输出电路32具有二个断开延迟输出控制部40、41。各输出控制部37～41具有半导体输出用的晶体管。
安全输出双重化用的输出线路控制电路33分别供给来自第一、第二CPU17、18的驱动用信号S1、S2，来自监视计时器22的WDT信号及来自监视电源电路24的监视电路23的PSM信号。
通过同时接通驱动用信号S1、S2，附加电压到电源线路VL，而向各输出控制部37～41供应电源。
来自监视计时器22的WDT信号，被供给到各输出控制部37～41，该WDT信号在监视计时器22没有复位时，断开而所有的输出控制部37～41的安全输出成为禁止机械设备的运转的危险方的断开状态，由此可以保证安全。
来自监视电源的监视电路23的PSM信号也被供给到各输出控制部37～41，在检测出电源的异常的情况下，该PSM信号断开，而所有输出控制部37～41的安全输出成为禁止机械设备的运转的危险方的断开状态，由此可以保证安全。
输出线路控制电路33对于第一、第二CPU17、18分别输出显示器用信号S4、S5，该显示器用信号S4、S5当在输出线路控制电路33发生故障(异常)或上述的WDT信号或PSM信号断开时，变成接通。
从第一CPU17，瞬间输出驱动用信号S6～S8分别供给到瞬间用安全输出电路31的各瞬间输出控制部37～39上，通过该驱动用信号S6～S8，分别控制安全瞬间输出的接通(安全方)/断开(危险方)的逻辑。即，在该驱动用信号S6～S8为接通，且上述的电源线路VL为接通时，从各瞬间输出端子42～44分别输出安全方的接通的安全瞬间输出。
另外，各瞬间输出控制部37～39对第一、第二CPU17、18分别输出显示器用信号S9～S11，若各瞬间输出控制部37～39为正常时，则该显示器用信号S9～S11变成驱动用信号S6～S8的相反逻辑的信号。
从第二CPU18，断开延迟输出的驱动用信号S12、S13分别供给到断开延迟用的安全输出电路32的各断开延迟控制部40、41上，通过该驱动用信号S12、S13，控制安全断开延迟输出的接通(安全方)/断开(危险方)的逻辑。即，该驱动用信号S12、S13为接通，且上述电源线路VL接通时，从各断开延迟输出端子45、46分别输出表示安全方的接通的安全断开延迟输出。
另外，各断开延迟输出控制部40、41对第一、第二的CPU17、18，分别输出显示器用信号S14、S15，若各断开延迟输出控制部40、41为正常时，该显示器用信号S14、S15，变成驱动用信号S12、S13的相反逻辑的信号。
安全输出双重化用的输出线路控制电路33，在瞬间输出控制部37～39或断开延迟输出控制部40、41发生故障(异常)的情况下，将电源线路VL断开，并将所有瞬间输出端子42～44及断开延迟输出端子45、46的安全输出断开，来确保安全。
相反，在该输出线路控制电路33上发生故障(异常)的情况下，通过瞬间输出控制部37～39及断开延迟输出控制部40、41，将所有瞬间输出端子42～44及断开延迟输出端子45、46的安全输出断开，来确保安全。
图8是单功能单元3的框图，对对应于图6的部分付上相同的参照符号。
单功能单元3不具有上述的AND输入电路28、断开延迟用的安全输出电路32、设定开关19及增设单元用的连接器37，除此之外，基本上和上述的多功能单元4相同。
如上述，通过具有第一、第二CPU17、18的控制部，按照程序来控制作为半导体输出的安全输出，所以无需如现有的内藏电磁继电器的继电器单元那样，按继电器序列组建安全电路，可减少配线数目的同时，对制造方，想改变系统的一部分的情况下，也能通过软件的变更来容易地对应。
下面，基于几个使用例子来说明各单元的动作。
图9是表示多功能单元4单独的情况的连接状态的图，图10是其时间图。
在该例子中，在多功能单元的端子T11、T12的安全输入1和端子T21、T22的安全输入2上，例如连接一个安全门开关，在反馈回路47上，串联连接磁性开关的b接触点的同时，串联连接复位按钮50。
另外，瞬间输出端子S13被连接到放大器52，断开延迟输出端子S43、S53被连接到磁导体48、49。在该例中，作为断开延迟时间设定有一定时间T。
装有安全门开关的门被关闭，如图10(a)，(b)所示地两个安全输入1、2变成接通，还有，如图10(c)所示，通过复位输入的接通、断开，如图10(d)所示，端子S13的安全瞬间输出变成接通的同时，如图10(e)所示，端子S43、S53的安全断开延迟输出变成接通，磁性开关48、49的主接触点变成接通，并电动机51被驱动而使机械设备运转。
在该状态，例如，当门被打开，两个安全输出1、2变成断开。另外，安全输出1、2是同时接通断开，但图10(b)中表示的是安全输入2延迟断开了的情况的例子。
通过将安全输入1、2的任意一个断开，如图10(d)所示，将安全瞬间输出断开，并由放大器52而被减速，使安全断开延迟输出在一定时间T之后断开，由此磁性开关48、49的主接触点断开，并向电动机51的电源被切断，使机械设备的运转停止。
图11是表示在多功能单元4上连接了瞬间型的增设单元5的状态的图，图12是其时间图。
在该例中，在多功能单元4的端子T11、T12的安全输入1和端子T21、T22的安全输入2上，例如，连接一个安全门开关，在反馈回路47上，串联连接磁性开关的b接触点的同时，串联连接复位按钮50。
另外，瞬间输出端子S13、S23被连接到磁性开关54、55上，断开延迟输出端子S33、S43被连接到磁导体56、57上。在该例中，作为断开延迟时间设置有T＝0，即成为瞬间输出。
内藏多个电磁继电器的增设单元5的瞬间输出端子61、62被连接到磁性开关58、59上。
装有安全门开关的门被关闭，并如图12(a)、(b)所示，多功能单元4的两个安全输入1、2接通，另外，通过如图12(c)所示，将复位输入接通、断开，如图12(d)所示，多功能单元4的安全瞬间输出接通的同时，如图12(e)所示，增设单元5的安全瞬间输出接通，由此，各磁性开关54～59接通而驱动电动机63～65且使机械设备运转。
在该状态中，例如若门被打开，则如图12(a)、(b)所示，两个安全输入1、2断开，如图12(d)所示，多功能单元4的安全瞬间输出断开的同时，如图12(e)所示，增设单元5的安全瞬间输出断开，由此，各磁性开关54～59断开，而向电动机63～65的电源被切断且使机械设备的运转停止。
这样地通过电缆6将增设单元5连接到多功能单元4，由此可以容易地增加安全输出的输出点的个数。
图13是表示两台的多功能单元4-1、4-2和断开延迟型的增设单元5的连接状态的图。图14是其时间图。另外，为了方便，将第二多功能单元4-2的两个安全输入称为安全输入3、4。
在该例中，在第一多功能单元4-1的端子T11、T12的安全输入1和端子T21、T22的安全输入2上，例如连接一个安全门开关，在反馈回路47上，串联连接磁性开关的b接触点的同时，串联连接复位按钮50。
另外，瞬间输出端子S13、S23连接到磁性开关54、55上，且断开延迟输出端子S33、S43连接到磁性开关56、57上。在该第一多功能单元4-1中，作为断开延迟时间设定有T＝0。内部安全输出端子LO连接到第二多功能单元4-2的内部安全输入端子LA上。即，第一多功能单元4-1的内部安全输出作为后段的第二多功能单元4-2的AND输入被供给。
在第二多功能单元4-2的端子T11、T12的安全输入3和端子T21、T22的安全输入4上，例如连接和第一多功能单元4-1的安全门开关不同的一个安全门开关，在反馈回路69上，串联连接磁性开关的b接触点的同时，串联连接复位按钮70。
另外，瞬间输出端子S13、S23连接到磁性开关71、72，断开延迟输出端子S43、S53连接到磁性开关73、74。在该第二多功能单元4-2中，作为断开延迟时间设定有一定时间T。
内藏多个电磁继电器的增设单元5的断开延迟输出端子75、76连接到磁性开关77、78。
连接在第一多功能单元4-1的安全门开关的门被关闭并如图14(a)、(b)所示，两个安全输入1、2接通，还有，如图14(c)所示，通过复位输入的接通和断开，使第一多功能单元4-1的安全瞬间输出接通，由此，如图14(d)所示，第一多功能单元4-1的磁性开关54～57的主接触点接通，并电机63、64被驱动。另外，和该第一多功能单元4-1的安全瞬间输出相同的内部安全输出作为第二多功能单元4-2的AND输入被供给。
第二多功能单元4-2在图14(f)所示的内部安全输入接通的状态时，且第二多功能单元4-2的安全输入在安全方时，将安全输出接通。在该图14中，在内部安全输入接通时，连接在第二多功能单元4-2的安全门开关的门被关闭，如图14(g)、(h)所示，两个安全输入3、4接通，由此，如图14(i)所示，通过复位输入的接通、断开，AND条件成立，如图14(j)、(k)所示，第二多功能单元4-2的安全瞬间输出和安全断开延迟输出接通的同时，如图14(l)所示，增设单元5的安全断开延迟输出接通，由此，第二多功能单元4-2及增设单元5的各磁性开关71～74、77、78接通，并驱动电机79～81。
在该状态中，例如，当连接在第一多功能单元4-1的安全门开关的门被打开时，如图14(a)、(b)所示，第一多功能单元4-1的两个安全输入1、2接通，如图14(d)所示，第一多功能单元4-1的安全瞬间输出断开，而磁性开关54～57断开，切断向电动机63、64的电源的同时，如图14(e)所示，对第二多功能单元4-2的内部安全输出也断开。
第二多功能单元4-2通过来自第一多功能单元4-1来的内部安全输入如图14(f)所示地断开，如图14(j)所示，安全瞬间输出断开并磁性开关71、72断开，切断电动机79的电源，另外，图14(k)所示，延迟一定时间T后，安全断开延迟输出断开的同时，如图14(l)所示，增设单元5的安全断开延迟输出断开，由此，各开关73、74、77、78断开并切断向电动机80、81的电源。
这样，利用内部安全输出的逻辑连接，将第二多功能单元4-2的安全输出容易地和第一多功能单元4-1的安全输出相关联起来。
图15是表示单功能单元3和两台多功能单元4-1、4-2的连接状态的图。图16是其时间图。另外，为了方便，将单功能单元3的两个安全输入称作安全输入5、6。
在该例中，在单功能单元3的端子T11、T12的安全输入5和端子T21、T22的安全输入6上，连接一个紧急停止开关82，在复位输入上连接复位按钮83。该单功能单元3的内部安全输出端子LO1、LO2分别连接在第一、第二多功能单元4-1、4-2的内部安全输入端子LA、LA上。
在第一多功能单元4-1的端子T11、T12的安全输入1和端子T21、T22的安全输入2上，连接一个安全门开关，在反馈回路47上，串联连接磁性开关的b接触点。
另外，瞬间输出端子S13连接到放大器52，断开延迟输出端子S43、S53连接到磁性开关48、49。在该例中，作为断开延迟时间设定有一定时间T。
在第二多功能单元4-2的端子T11、T12的安全输入3和端子T21、T22的安全输入4上，连接和第一多功能单元4-1不同的一个安全门开关，在反馈回路84上，串联连接磁性开关的b接触点的同时，串联连接复位按钮85。
另外，瞬间输出端子S13连接到放大器86，断开延迟输出端子S43、S53连接到磁性开关87、88。在该例中，作为断开延迟时间设定有一定时间T。
在紧急停止开关82没有被操作的状态下，如图16(a)，(b)所示，单功能单元3的两个安全输入5、6为接通，再则，通过如图16(c)所示的复位输入接通、断开，如图16(d)所示，单功能单元3的内部安全输出接通，该内部安全输出如图16(e)、(j)所示，作为AND输入分别供给到第一、第二的多功能单元4-1、4-2的内部安全输入。
第一多功能单元4-1在内部安全输入为接通的状态下，且第一多功能单元4-1在安全方的时候，将安全输出接通。在该图16中，在内部安全输入接通的时候，如图16(f)、(g)所示，连接在第一多功能单元4-1的安全门开关的门被关闭，并两个安全输入1、2接通，所以，响应于内部安全输入，如图16(h)、(i)所示，安全瞬间输出及安全断开延迟输出接通，并磁性开关48、49的主接触点接通，电动机51被驱动。
同样，第二多功能单元4-2也响应于来自单功能单元3的内部安全输入，如图16(m)、(n)所示，安全瞬间输出和安全断开延迟输出接通，并磁性开关87、88的主接触点接通，电动机89被驱动。
在该状态中，当操作连接在单功能单元3的紧急停止开关82的时候，如图16(a)、(b)所示的单功能单元3的两个安全输入5、6断开，如图16(d)所示的内部安全输出断开。另外，安全输入5、6是同时接通断开的，但图16(b)中表示安全输入6接通的时候的情况。
第一、第二的多功能单元4-1、4-2通过单功能单元3的内部安全输出，即，将图16(e)、(j)的内部安全输入接通，图16(h)、(m)的安全瞬间输出断开，并通过放大器52、86来减速，还有，如图16(i)、(n)所示，延迟一定时间T后，安全断开延迟输出断开，由此，各磁性开关48、49、87、88的主接触点断开，并切断向电动机51、59的电源。
这样，可以将第一、第二多功能单元4-1、4-2的安全输入容易地和单功能单元3的内部安全输出相关联起来。
接着，基于图17的流程图来说明如上述的多功能单元4的动作。同图(a)是表示整体的处理，同图(b)是表示安全输入及安全输出的处理。
另外，在该图17中，表示来自其它的多功能单元的内部安全输入被供给，用“与”逻辑连接的时候的例子。
首先，如同图(a)所示，当接通电源时(步骤n1)，进行作为控制部的CPU的最初处理、自我诊断处理及读取设定状态等初始化处理(步骤n2)，转移到后述的安全输入处理(步骤n3)，其次，进行诊断处理(步骤n4)。在该诊断处理中，进行内部电路的动作异常、输入机器及安全输出控制对象的连接的错误配线、端子短路等的各种自我诊断处理。另外，进行后述的安全输出处理(步骤n5)，其次，进行诊断处理，即检查诊断处理程序是否按预先规定的顺序被进行的(步骤n6)，且进行故障处理、显示器输出、显示控制等的非安全控制处理(步骤n7)，并返回到步骤n3。
在步骤n3的安全输入处理中，如同图(b)所示，判断上述的安全输入1、2的两个安全输入的输入状态是否为接通(安全方)(步骤n3-1)，在安全方的时候，判断内部安全输入的输入状态是否为接通(安全方)(步骤n3-2)，在安全方的时候，判断复位输入的输入状态是否为可以输出安全输出的输出许可的状态(步骤n3-3)，在输出许可的状态的时候，转移到步骤n4的诊断处理。
在步骤n3-1中，两个安全输入的输入状态不是接通(安全方)的时候，在步骤n3-2中，内部安全输入的输入状态不是接通(安全方)的时候，或者，在步骤n3-3中，复位输入的输入状态不为输出许可的状态的时候，转移到安全输出处理，将安全输出及内部安全输出为断开(危险方)的输出(步骤n5-3)。
在步骤n5的安全输出处理中，步骤n4的诊断处理的结果为OK，即，判断是否有异常(步骤n5-1)，在无异常时，将安全输出和内部安全输出为接通(安全方)的输出(步骤n5-2)，在步骤n5-1有异常时，将安全输出和内部安全输出为断开(危险方)的输出(步骤n5-3)。
(其它的实施方式)
在上述实施方式中，作为设定部的滑动开关12和旋转开关13安装在DIN导轨85之后，不能目视或操作，但是，对于设定部中设定项目的至少一部分，例如设定断开延迟时间的旋转开关13，例如如图18所示，在外壳的正面上增加旋转开关92来力求双重化的同时，可容易地确认断开延迟时间的设定内容。
在这里，将上述的背面的旋转开关13称作第一旋转开关13，将正面的旋转开关92称作第二旋转开关92。
第一、第二旋转开关13、92的设定输出，如图19所示，分别供给到上述第一、第二的CPU17、18，各CPU17、18将各设定输出相互比较并判断是否一致，在一致时，控制成和响应于其设定内容的断开延迟时间，在不一致时，进行故障显示等警告并禁止机械设备的运转。
这样通过实现双重化，例如，由于一方的旋转开关的接触点的接触不良或短路等的故障，而没有成为用户想要的设定内容的情况下，两个旋转开关13、92的设定内容成为互不相同，通过第一、第二CPU17、18来检测出此状态，使机械设备的运转禁止，所以可以确保高的安全水平。
另外，第二旋转开关92配置在外壳正面的可以目视的位置，用户可以目视第二旋转开关92的设定状态，并容易地确认被设定的断开延迟时间。
在上述实施方式中，单功能单元3及多功能单元4分别具有两个CPU，但作为本发明的实施方式，CPU也可以为一个。
上述实施方式中，通过“与”来逻辑连接的，但不局限于“与”，也可以通过“或”或“异”或来逻辑连接，此外，可以进行多个逻辑连接。为了对应这样的多个逻辑连接，最好使内部安全输出和输出到安全输出控制对象的安全输出的信号模式不同。
例如，安全输出将安全方的状态为接通信号，将危险方的状态为断开信号，与此相对，在内部安全输出中，例如，将安全方的状态为一定周期的接通断开信号，将危险方的状态为断开信号。由此，使前述一定周期和负荷比等不同，例如，通过图20所示的多个种类的接通断开信号，可以容易地对应多个各逻辑。
另外，单功能单元3及多功能单元4的安全输出或内部安全输出(内部安全输入)的数目不局限于上述的实施方式，这是理所当然的。
如上所述，根据本发明，具有将半导体输出的安全输出供给到安全输出控制对象的多个安全输出部，和按照程序控制安全输出的控制部，所以无需如内藏电磁继电器的现有的继电器单元那样，通过继电器序列组建安全电路，并减少配线数目的同时，在响应于用户的要求，制造方想改变系统的一部分的时候，也能容易地通过软件的改变来对应。
还有，可以将多个安全控制器用连接用输出容易地相关联起来，而提高了系统的扩展性。