Siemensの安全PLC入門

日本語フォーラム 電子部品技術の深層
1

APDahlen Applications Engineer

この技術概要では、SiemensのフェイルセーフPLCのアプリケーション例を紹介します。このデモには1つの安全ゾーンに、非常停止ボタン（E-Stop）およびライトカーテンによる安全保護を備えた1台のモータが含まれています。また、モータスタータの接点溶着を監視し、両手操作による安全起動も実装しています。まずハードウェアの概要を説明し、次にメインプログラムと安全プログラム間の変数の受け渡しに焦点を当てます。

機械の予期しない再起動によって、あなたやオペレーターが、決して不意を突かれることがあってはなりません。

この記事では、SiemensのS7-1200およびS7-1500 PLCに精通している技術者およびエンジニアを対象としています。また、こちらの記事で説明するET 200SP分散型I/Oシステムについてもある程度の知識があることを前提としています。1つの目安として、Siemensのデータブロックと、構造体のタグの使用に慣れていることを前提としています。

この記事は、DigiKey Field Guide for Industrial Automationの一部です。

分類： Understand It → Safety Concepts
難易度： :wrench: Technician — 難易度レベルの説明
著者： Aaron Dahlen | MSEE | Senior Applications Engineer, DigiKey
最終更新日： 2026年4月13日

はじめに

非常停止ボタン（E-stop）を従来のPLCに、決して直接配線しないでください。

この問題には、2つの側面があります。

  • ハードウェア： 一般的なPLC入力は、安全用途向けには設計されていません。これは、このプロジェクトで使用されている安全規格対応の CPU 1215 FC PLCでも同様です。その代わりに、安全関連のI/Oは、図1に示す F-DI モジュールやET 200SPモジュールなどのハードウェア安全モジュールを使用して処理されます。これらのモジュールは、コアPLCには直接備わっていない冗長性とフェイルセーフ機能を備えています。

  • ソフトウェア： 定義上、フェイルセーフソフトウェアは従来のソフトウェアのサブセットです。最小限のシンプルな機能のみを含むように簡素化されています。複雑さを軽減することで、安全性を損なう可能性を低減できます。

免責事項： この資料は教育目的のみに提供されるものです。お客様の設備におけるSIL（Safety Integrity Level）およびPL（Performance Level）の実装は、お客様ご自身の責任において行ってください。適用されるすべての地方、州、連邦、および国際的な法令・規制を遵守してください。

この資料は細心の注意を払って作成されていますが、意図しない誤りや、規格の解釈の誤りが含まれている可能性があります。公式情報については、DigiKey’ご利用条件およびご注文に関する諸条件を参照してください。記述内容および事実関係の改善に関するご意見、ご感想をお待ちしています。

Figure 1: Image of the Siemens safety modules as part of an ET 200SP distributed I/O system from the author’s workbench.
Figure 1: Image of the Siemens safety modules as part of an ET 200SP distributed I/O system from the author’s workbench.975×730 123 KB

図1： 著者の作業台の上にあるET 200SP分散型I/Oシステムの一部としてのSiemensの安全モジュールの画像

技術的なヒント： 冗長性は産業安全の重要な要素です。例えば、非常停止は1-out-of-2（1oo2）信号を構成するハードウェアによって処理されます。このため、2つの独立した接点ブロックを持つスイッチが必要です。非常停止押ボタンの詳細については、こちらのページをご覧ください。

このようなフェイルセーフ冗長性は、従来のPLC入力には含まれていないことを認識してください。したがって、従来のPLC入力は安全機器の監視用途として安全とは見なされません。同様のことは、ライトカーテンによって生成されるOSSD信号出力についても言えます。

ご紹介する安全プロジェクトの概要

この機械は、三相モータを保護する1つの安全ゾーンを備えた構成になっています。主な目的は、非常停止ボタン（E-stop）が操作された場合、またはライトカーテンが遮断された場合に、モータを直ちに安全な状態に移行させることです。

このプロジェクトの中核となるのは、ET 200SP分散型I/Oに安全ハードウェアを組み込んだS7-1200安全PLC（ CPU 1215 FC ）です。安全コンポーネントは以下のとおりです。

  • 冗長構成のノーマリクローズ接点を備えた非常停止スイッチ

  • Output Signal Switching Device（OSSD）信号を備えたライトカーテン

  • 2つのSiemensの 3RT2015 コンタクタを備えた監視機能付きモータスタータ。三相接点は直列接続（冗長構成）されています。そして、補助接点を監視して、アーマチュアの固着（接点溶着）を検出します。なお、コンタクタをPLCへ接続するためにインターポージングリレー（中継リレー）が使用されていますこちらの記事では、標準的なPLC出力ピンでのダイオードクランプと比較して、コンタクタの開放速度がどのように向上するかを説明しています。

  • 安全機能には、両手操作による安全起動機能が含まれています。

技術的なヒント： 起動時および停止時の安全機能の違いを理解してください。接点溶着検出および両手操作による安全機能は機械の起動を阻止するものであり、非常停止ボタンとライトカーテンは運転中の機械を直ちに停止させるためのものです。

安全モジュールへの物理的接続

図2は、安全I/Oの割り当てとタグ名を示しています。

安全入力接続

  • 非常停止ボタンの2つの接点は、入力チャンネル0と4を使用して1oo2インターフェースを構成しています。タグ名RemoteStop1は、アドレス%I10.0に関連付けられており、10はモジュールに割り当てられたアドレスです。入力チャネル0と4がペアになっていることを示すために、赤色の文字で追記されています。

    非常停止ボタンは、ベースユニット下部の接続部から出力されるV0およびV4信号によって駆動されます。これらの信号は、短絡や配線取り違えによる誤接続（crossed wire）を検出するために使用されます。

  • ライトカーテンからのOSSD信号は、1oo2割り当てを使用して入力チャネル3および7に接続されます。非常停止とは異なり、ライトカーテンは独自のテスト信号を生成します。そのため、ベースユニット下部の信号と発生器の接続はありません。

  • 両手操作入力用のスイッチ接点（ノーマリオープン）は、チャネル2と6に接続されています。

  • モータスタータの直列接続されたノーマリクローズ補助接点を監視するラインは、入力チャンネル1に接続されています。ベースユニットV1を信号源として使用します。

安全出力接続

2つの出力を使用し、インターポージングリレー（中継リレー）を介してモータスタータを駆動します。1つの出力チャンネルから2つのリレーを駆動することも可能ですが、このケースでは、安全出力の使用箇所が少ないため、この場合はメリットがありません。

非安全接続

ノーマリオープンの押ボタンが非安全入力モジュールに接続されています。リセットは安全停止や監視付き起動に直接関与しないため、非安全接続でも問題ありません。

Figure 2: Physical connection to the safety modules along with tag name assignments. Red text shows the 1oo2 pairs.
Figure 2: Physical connection to the safety modules along with tag name assignments. Red text shows the 1oo2 pairs.975×627 142 KB

図2： 安全モジュールへの物理的な接続とタグ名の割り当て。赤色の文字は1oo2ペアを示します。

S7-1200 PLCの主な安全プログラム特性

この安全プログラムでは、以下の2種類の機能を提供します。

  • 非常停止ボタンとライトカーテンによる無条件の停止

  • モータスタータの接点溶着監視および両手操作安全機能による条件付き起動

技術的なヒント： モータスタータは、過負荷ブロックと直列に接続された2つの三相コンタクタで構成されています。安全PLCは、各コンタクタのノーマリクローズ補助接点を監視します。接点溶着など、いずれかのコンタクタのアーマチュアが固着するとフォールト状態となります。この安全機能がない場合、単一の潜在故障が検出されないままとなり、非常停止指令に応答せず運転を継続するシステムとなる可能性があります。

フェイルセーフラダーロジックの例

最も重要なラダーロジックネットワークを図3に示します。以下の条件が満たされた場合に三相モータを起動します。

  • 非常停止が解除されていること。これは、非常停止用とライトカーテン用の2つのESTOP1ファンクションブロックによって判定されます。

  • FDBACKファンクションブロックによって判定される接点溶着がないこと。

  • メインプログラム[OB1]がモータの起動を要求していること。両手操作による安全許可信号（図示せず）は、他の条件と論理的に組み合わせるためにメインプログラムに渡されます。条件が満たされると、その要求はブール値xMotorRunRequestとしてメインプログラムに返されます。

Coil1AおよびCoil1Bが励磁されると、モータが回転します。

Figure 3: This is the principal ladder logic network for the safety program.
Figure 3: This is the principal ladder logic network for the safety program.975×530 81.1 KB

図3： これは安全プログラムの主要なラダーロジックネットワークです。

安全プログラムのフォールト時の動作

予測可能性は、すべての安全システムの基本的な特性です。

予期せぬ機器の起動は排除されなければなりません。この安全ラッチ動作は、ESTOP1ブロックとFDBACKブロックの設計に暗黙的に含まれています。いったん動作すると、どちらのブロックもACK（確認）信号を受信するまでフォールト状態を維持します。したがって、フォールトブロックがリセットされるまで、機械は停止状態のままとなります。

フォールト状態のACKリセット信号を図4に示します。xResetRequestはメインプログラムで生成され、プライマリセレクタスイッチがオフの位置にあり、かつ安全リセットボタンが押された場合にのみ有効になります。これにより、システムのリセット前に機械が既知の非通電状態にあることが保証されます。

Figure 4: The ESTOP1 and FDBACK blocks share a common ACK reset request.
Figure 4: The ESTOP1 and FDBACK blocks share a common ACK reset request.975×1225 145 KB

図4： ESTOP1ブロックとFDBACKブロックは、同じACKリセット要求を共有します。

技術的なヒント： システムのラッチ動作の重要性は、いくら強調しても、し過ぎることはありません。分かりやすい例として、人がライトカーテンを通過して機械の囲い内部へ入る場合を考えてみてください。確かに、カーテンの光線が遮断されている間は機器は停止します。しかし、フォールトラッチ機能がなければ、その人が完全に機械の囲い内部に入った時点で機器はすぐに再起動してしまいます。

SiemensのPLCにおいてメインプログラムと安全プログラム間で変数を受け渡す方法

図3をよく見ると、すべてのタグが安全タグ（黄色でハイライト）であることがわかります。しかし前述したように、xMotorRunRequestはメインプログラムで生成されています。

分かりやすくするために、メインプログラムと安全プログラム間で変数を転送するには、DataToSafetyとDataFromSafetyという2つのグローバルデータブロックを使用します。安全プログラムは、以下の3つの部分で構成されています。

  • DataToSafetyデータブロックからの読み取り（グローバルタグをローカル安全タグに転送）

  • 安全ルーチンの実行

  • DataFromSafetyデータブロックへの書き込み（ローカル安全タグをグローバルタグに転送）

この変数の橋渡し（ブリッジ構造）は厳密には必須ではありませんが、グローバル安全タグとローカル安全タグを分離することで、プログラムの可読性が向上し、潜在的なエラーを排除できます。

技術的なヒント： この3つの部分からなる変数の橋渡しは、PLCのスキャンサイクルの構造を模倣しています。すなわち、入力の読み取り、ロジックの実行、出力設定です。

これを「PLC方式」と呼びましょう。

フォールトの特定

このプロジェクトには、非常停止、ライトカーテン、監視対象モータスタータのフォールト（接点溶着）という3つの潜在的な安全フォールトがあります。効果的なトラブルシューティングのためには、これらのフォールト情報をメインプログラムから利用できるようにすることが重要です。これにより、パネルランプの点灯、HMIディスプレイの表示、または大規模なSCADAシステムや履歴へのデータ転送が可能になります。

この転送はDataFromSafetyデータブロックを使用して実現されており、このデータブロックには構造体内に複数のフォールトタグが含まれています。これにより、メインプログラムは各フォールト状態へアクセスでき、適切な処理を実行できます。

Figure 5: Tags used to transfer data from safety to main.
Figure 5: Tags used to transfer data from safety to main.975×397 67.1 KB

図5： 安全プログラムからメインプログラムへデータを転送するために使用されるタグ

おわりに

メインプログラムと安全プログラム間で変数を受け渡すための変数の橋渡しを覚えておいてください。

他のことは何も覚えていなくても、変数の橋渡しだけは覚えておいてください。入力を読み取り、ロジックを実行し、出力を設定します。このパターンは、PLCスキャンだけでなく、メインプログラムと安全プログラムのインターフェースにも適用できます。

そこまで理解したら、ぜひプログラミングに取り組んでください。これは、本を読むだけでは身につきません。メインプログラムと安全プログラムを適切に連携させた安全プログラムを設計するのは、見た目以上に難しいものです。

ご健闘をお祈りします。

APDahlen

:books: 産業制御システムの探求の継続

この記事がお役に立った場合は、以下の内容もご覧ください。

:world_map: ナビゲーション

:japanese_symbol_for_beginner: 関連する基礎的な記事

著者について

Aaron Dahlen氏、元米国沿岸警備隊（USCG）少佐（LCDR）は、シーフリバーフォールズにあるDigiKeyのシニアアプリケーションエンジニアを務めています。エレクトロニクスおよび産業オートメーションに関する彼の知識と経験は、技術者およびエンジニアとして従事した27年間の軍歴と、その後10年以上にわたる教育経験を通じて培われました。

Dahlen氏は、ミネソタ州立大学マンケート校で電気工学修士号（MSEE）を取得しています。また、ABET認定を受けた電気工学プログラムで教鞭を執ったほか、電子工学技術プログラムのコーディネーターを務め、軍の技術者に対して部品レベルの修理技術を指導してきました。

現在は、ミネソタ州北部の故郷へ戻り、コンデンサ探しから始まった数十年にわたる旅を終えました。 彼の物語はこちらからお読みください。




オリジナル・ソース（English）