JP2010257361A - 二重化フィールド機器 - Google Patents

Abstract

【課題】フィールド機器を二重化計装しなくても高い信頼性を得ることができるフィールド機器を提供する。
【解決手段】メインユニット１Ａおよびサブユニット１Ｂは、ＣＰＵ１５を介して互いのユニット内の出力値やデバイス情報（デバイスのステータス情報など）、パラメータ書き込みされた内容、ＥＥＰＲＯＭ１４ｂのデータ情報を交換する。また、メインユニット１Ａおよびサブユニット１Ｂは、交換されたデータについて自らのデータと相手側のデータとをＣＰＵ１５において照合し、両者に相違がないか、また長期的に比較し続けることで数値の異常（例えば、一定以上のずれの発生やずれの拡大傾向）がないか、また動作タイミングにずれがないか判定する。
【選択図】図２

Description

本発明は、フィールド制御システムに接続されるフィールド機器に関し、とくに高い信頼性を発揮できるフィールド機器に関する。

各種プラント等における安全計装の観点から、フィールド機器が正常に動作しているかを確認する方法として、同一箇所に２台のフィールド機器を設置する方法がある。この方法では、２台のフィールド機器からの出力値を上位システムなどで監視し、出力値に差異が発生した場合に異常と判断するものである。

特開平６−１０３４８５号公報

しかし、上記のようにフィールド機器を二重化計装する場合には、機器の増設となり作業負担やコスト増を招く。また、新たに二重化計装を実施する場合には、コンフィギュレーション情報（プラント等の設備構成情報）を再設定する必要があり、煩雑なエンジニアリング作業を要求される。

本発明の目的は、フィールド機器を二重化計装しなくても高い信頼性を得ることができるフィールド機器を提供することにある。

本発明のフィールド機器は、フィールド制御システムに接続されるフィールド機器において、前記フィールド制御システムによるフィールド制御に応じた同一の処理を同時に実行し、いずれかが稼動側ユニットとして選択される第１のユニットおよび第２のユニットと、前記第１のユニットにおける処理および前記第２のユニットにおける処理が一致しているか否かを判定する判定手段と、を備えることを特徴とする。
このフィールド機器によれば、第１のユニットおよび第２のユニットにおいてフィールド制御に応じた同一の処理を同時に実行し、第１のユニットにおける処理および第２のユニットにおける処理が一致しているか否かを判定するので、信頼性の高いフィールド機器を得ることができる。

前記判定手段は前記第１のユニットにおける処理に関連するデータおよび前記第２のユニットにおける処理に関連するデータを照合し、その照合結果に基づいて処理が一致しているか否かを判定してもよい。

前記判定手段により前記処理の不一致が認められた場合には、前記稼動側ユニットを前記第１のユニットから前記第２のユニットに切り替える切替手段を備えてもよい。

前記切替手段は、前記フィールド制御システムへの送信の有無を規定するスイッチを備え、このスイッチを切り替えることによって前記稼動側ユニットを切り替えてもよい。

前記第１のユニットには第１のセンサが、前記第２のユニットには前記第１のセンサと独立した第２のセンサが、それぞれ接続されてもよい。

前記第１のユニットには前記フィールド制御システムとの間で通信を実行する第１の通信手段が、前記第２のユニットには前記第１の通信手段と独立して前記フィールド制御システムとの間で通信を実行する第２の通信手段が、それぞれ設けられてもよい。

前記稼動側ユニットとして前記第１のユニットおよび前記第２のユニットのうちいずれが選択されているかに関わらず、前記フィールド制御システムとの通信に使用される前記フィールド機器の通信アドレスとして同一アドレスが使用されてもよい。

前記判定手段によって前記処理が一致していないと判定された場合、前記フィールド制御システムへ異常を通知してもよい。

本発明のフィールド機器によれば、第１のユニットおよび第２のユニットにおいてフィールド制御に応じた同一の処理を同時に実行し、第１のユニットにおける処理および第２のユニットにおける処理が一致しているか否かを判定するので、信頼性の高いフィールド機器を得ることができる。

フィールド制御システムの構成を示すブロック図。 本実施形態のフィールド機器の構成を示すブロック図。 通信モジュールの構成を示すブロック図。

以下、本発明によるフィールド機器の実施形態について説明する。

図１は、本実施形態のフィールド機器が接続されるフィールド制御システムの構成を示すブロック図、図２は本実施形態のフィールド機器の構成を示すブロック図である。

図１に示すように、フィールド制御システムは、プラントに分散配置されるフィールドコントローラ２と、フィールドコントローラ２を介してフィールド機器群を操作監視する操作監視装置３とを備える。図１に示すように、フィールド機器１は、フィールドバス通信仕様を満たす機器であり、フィールドバス２１を介してフィールドコントローラ２と接続される。なお、図１において、フィールドコントローラ２およびフィールド機器１をそれぞれ１台のみ示しているが、１つの操作監視装置３に対してフィールドコントローラを複数設けることができるとともに、通常、１つのフィールドコントローラ２に複数のフィールド機器が接続される。

図１に示すように、プラントの配管４にはセンサ５Ａおよびセンサ５Ｂが取り付けられ、センサ５Ａおよびセンサ５Ｂはフィールド機器１に接続される。センサ５Ａおよびセンサ５Ｂは実質的に配管４の同一場所に取り付けられており、同一の圧力、温度、流量等を計測している。センサ５Ａおよびセンサ５Ｂは、正常時には同一の計測値を出力する。

図２に示すように、フィールド機器１は、それぞれセンサ５Ａおよびセンサ５Ｂからの計測値に基づいて同一処理を実行するメインユニット１Ａおよびサブユニット１Ｂを備える。

メインユニット１Ａは、センサ５Ａの出力信号（計測値）を受ける入力装置１１、フィールド機器１の周辺制御のための周辺制御ＩＣ１２、演算データ等を一時保存するＲＡＭ１３、プログラム、その他のデータを格納するフラッシュＲＯＭ１４ａ、ＥＥＰＲＯＭ１４ｂ、フィールド制御のための演算処理および通信処理を制御するＣＰＵ１５、フィールドバス２１を介する通信を実行する通信モジュール１６、およびメインユニット１Ａ各部に電源を供給する電源モジュール１７を備える。

サブユニット１Ｂは、センサ５Ｂの出力信号（計測値）を受ける入力装置１１、フィールド機器１の周辺制御のための周辺制御ＩＣ１２、演算データ等を一時保存するＲＡＭ１３、プログラム、その他のデータを格納するフラッシュＲＯＭ１４ａ、ＥＥＰＲＯＭ１４ｂ、フィールド制御のための演算処理および通信処理を制御するＣＰＵ１５、フィールドバス２１を介するフィールドバス通信を実行する通信モジュール１６、およびサブユニット１Ｂ各部に電源を供給する電源モジュール１７を備える。

次に、フィールド機器１の動作について説明する。

メインユニット１Ａおよびサブユニット１Ｂは、それぞれ単体で起動処理、各種演算処理、データ保持、通信処理を実行可能とされる。

メインユニット１Ａおよびサブユニット１Ｂは、センサ５Ａおよびセンサ５Ｂから出力信号を受け取るとともに、フィールドバス２１を介して通信データを受信し、同一処理を実行する。ただし、メインユニット１Ａおよびサブユニット１Ｂのいずれか一方、すなわち稼動側ユニットのみがフィールドバス２１に通信データを送信する。

フィールド機器１では、通常時にはメインユニット１Ａが稼動側ユニットとして機能する。この場合、電源モジュール１７を介してメインユニット１Ａに電力が供給されると、メインユニット１Ａは起動し、メインユニット１Ａ内のすべての制御はメインユニット１Ａにおいて独立して実行される。メインユニット１Ａでは、ファンクションブロック等の形式でプログラムされたアルゴリズムに従って演算処理およびフィールドバス通信を定周期で実行する。この処理では、センサ５Ａから取り込んだ計測値およびフィールドバス通信により取得した通信データに基づく演算を実行し、演算結果等のデータをフィールドバス通信により送信する。

同様に、電源モジュール１７を介してサブユニット１Ｂに電力が供給されると、サブユニット１Ｂは起動し、サブユニット１Ｂ内のすべての制御はサブユニット１Ｂにおいて独立して実行される。サブユニット１Ｂでは、ファンクションブロック等の形式でプログラムされたアルゴリズムに従って演算処理およびフィールドバス通信を定周期で実行する。この処理では、センサ５Ｂから取り込んだ計測値およびフィールドバス通信により取得した通信データに基づく演算を実行する。しかし、フィールドバス通信によるデータ送信は行わない。

メインユニット１Ａおよびサブユニット１Ｂで実行される処理は同一であり、正常時には同一処理を同一のタイミングで実行している。例えば、自分宛の要求やスケジューリングされたファンクションブロックに従った動作が、両ユニットで同時に実行される。

一方、メインユニット１Ａおよびサブユニット１Ｂは、ＣＰＵ１５を介して互いのユニット内の出力値やデバイス情報（デバイスのステータス情報など）、パラメータ書き込みされた内容、ＥＥＰＲＯＭ１４ｂのデータ情報を交換する。データ交換には、同期通信、非同期通信、Ｉ／Ｏなどの汎用的なインタフェースを用いた通信を利用できる。

さらに、メインユニット１Ａおよびサブユニット１Ｂは、交換されたデータについて自らのデータと相手側のデータとをＣＰＵ１５において照合し、両者に相違がないか、また長期的に比較し続けることで数値の異常（例えば、一定以上のずれの発生やずれの拡大傾向）がないか、また動作タイミングにずれがないか判定する。

判定の結果、異常の発生または異常になる可能性が認められる場合には、メインユニット１Ａを介して上位システムであるフィールドコントローラ２あるいは操作監視装置３にエラーを通知する。このエラーは、センサ５Ａまたはセンサ５Ｂに起因するものも含め、メインユニット１Ａまたはサブユニット１Ｂにおける何らかの異常を示している。

エラーの通知を受けた上位システムは、メインユニット１Ａからの送信を停止させ、サブユニット１Ｂを稼動側ユニットに昇格させることができる。これは、両ユニットが完全に独立した構成をとり、内部動作をリアルタイムに同期させているために可能となる処理である。

上記のように、フィールド機器１は二重のハードウェア構成を有し、完全に独立して動作している。また、コンフィギュレーション情報は同一設定となっており、どちらのユニットでも同等のパフォーマンスで同一内容の処理を実行することになる。したがって、内部データの不一致、遅れや進みは、何らかの故障もしくは将来的な故障の前兆を示す可能性がある。このため、本実施形態では、これらの現象が検知された場合には直ちにアラームを発生させる。

検知内容としては、例えば、以下のものがある。
（１）センサからの入力値が常に一定間隔でずれている場合、入力調整不備もしくはセンサの固体誤差であると認識できる。
（２）不揮発性メモリの内容をベリファイルすれば、データ化けがないかチェックすることができる。
（３）通信の変調復調周りでアナログ的な劣化がある場合、受信データ化けとしてエラー回数を記録することができ、この回数が著しく異なる場合はアナログ部品の劣化などを推定できる。
（４）センサからの信号（計測値）が著しく異なる場合にはセンサの異常を警告することができる。一般的に計測値が正常範囲内においてセンサに不具合が発生した場合は異常を検知することが難しく、計測値が異常値を示すまでセンサの異常を発見できない可能性がある。本実施形態では、２つのセンサの計測値の相違を監視することで、センサの異常を早期に発見できる。

図３は、通信モジュール１６の構成を示すブロック図である。

図３に示すように、通信モジュール１６は通信データと電源電圧を分離するための受信送信フィルタ６１と、通信データの変復調を行う変調・復調部６２と、通信データのアナログ・デジタル間の変換を行う信号変換部６３と、データ送信動作の有無を規定するスイッチ６４とを備える。

スイッチ６４は本実施形態のフィールド機器１に固有の要素であり、スイッチ６４を制御することによって、メインユニット１Ａまたはサブユニット１Ｂのうち、稼動側ユニットについて選択的にデータ送信を許容する。これにより、両ユニットで同時に送信を行うことにより不都合（混信）を回避できる。スイッチ６４の状態は、上位ユニットからの指令等に基づいて設定される。

本実施形態のフィールド機器は、二重のハードウェア構成を有する。このため、上記のようにフィールドバス通信ではいずれかのユニットが応答（送信）することになるが、受信に関しては両ユニットが同時に同一処理を行う。

２台のユニットは同一の通信アドレスを保有でき、この場合、上位システム、あるいはフィールドバス２１に接続された他の機器からは１台の機器として認識される。また、上位システムからパラメータの変更が通知されたとき、両者のユニットは同時にパラメータの変更を反映させ、また、上位システムから与えられるスケジューリング情報は両者のユニットが同様に保有する。したがって、両ユニットにおける処理の同一性、同時性が確保される。

一般に、ＣＰＵや周辺機器で演算した結果が著しく異なる場合、または徐々に差が大きくなる場合は、原因として何らかのデジタル部品の異常が考えられる。このような障害をいち早く検知するため、逆演算を実施するシステムもあるが、本実施形態では同一マイコン、同一周辺部品で２つのユニットを構成できるため、より高い信頼性を獲得することができる。

また、上位システムに通信異常が発生した場合（例えば、通信切断など）、サブユニットでも受信できない状態か否かを確認できるため、通信状態をより正確に把握でき、信頼性の高い計装障害の検出が可能となる。

また、メインユニットの通信モジュール等が故障した場合には、上位システム側からは機器の故障として認識され、アラームが発生する。しかし、メインユニットがサブユニットと情報交換する中でハードウェア故障（致命的な故障など）を発見した場合は、自動的にサブユニットを稼動側ユニットに昇格させ、制御ループを維持し続けることが可能である。

以上のように、本実施形態のフィールド機器は、互いに独立して動作可能な２台のユニットを備えるので、高い信頼性を得ることができる。また、設置スペースや計装の作業、配管のメンテナンス等は通常のフィールド機器１台分の負担で済ますことができるとともに、従来のフィールド機器を２台購入するよりも低コストとすることができる。

本実施形態のフィールド機器はフィールドバス通信仕様を満足しているため、通常のフィールド機器と同様に導入できる。また、上位システム側は、１台のフィールド機器として取り扱うので、従来設計した制御アルゴリズムをそのまま継承でき、立ち上げ時の動作、機器のメンテナンス性、管理工数などは変わらず、導入に際して新たに煩雑な作業が必要とされることはない。

ハードウェアを二重化する範囲は、上記実施形態に限定されない。両ユニットにおいて、それぞれフィールド制御に応じた同一の処理を同時に実行できればよく、例えば、電源モジュール、センサ等を共通としてもよい。

以上説明したように、本発明のフィールド機器によれば、第１のユニットおよび第２のユニットにおいてフィールド制御に応じた同一の処理を同時に実行し、第１のユニットにおける処理および第２のユニットにおける処理が一致しているか否かを判定するので、信頼性の高いフィールド機器を得ることができる。

本発明の適用範囲は上記実施形態に限定されることはない。本発明は、フィールド制御システムに接続されるフィールド機器に対し、広く適用することができる。

１Ａ メインユニット（第１のユニット）
１Ｂ サブユニット（第２のユニット）
２ フィールドコントローラ（切替手段）
５Ａ センサ
５Ｂ センサ
１５ ＣＰＵ（判定手段、切替手段）
１６ 通信モジュール（第１の通信手段、第２の通信手段、切替手段）
６４ スイッチ（切替手段）

Claims (8)

1. フィールド制御システムに接続されるフィールド機器において、
   前記フィールド制御システムによるフィールド制御に応じた同一の処理を同時に実行し、いずれかが稼動側ユニットとして選択される第１のユニットおよび第２のユニットと、
   前記第１のユニットにおける処理および前記第２のユニットにおける処理が一致しているか否かを判定する判定手段と、
   を備えることを特徴とするフィールド機器。
2. 前記判定手段は前記第１のユニットにおける処理に関連するデータおよび前記第２のユニットにおける処理に関連するデータを照合し、その照合結果に基づいて処理が一致しているか否かを判定することを特徴とする請求項１に記載のフィールド機器。
3. 前記判定手段により前記処理の不一致が認められた場合には、前記稼動側ユニットを前記第１のユニットから前記第２のユニットに切り替える切替手段を備えることを特徴とする請求項１または２に記載のフィールド機器。
4. 前記切替手段は、前記フィールド制御システムへの送信の有無を規定するスイッチを備え、このスイッチを切り替えることによって前記稼動側ユニットを切り替えることを特徴とする請求項３に記載のフィールド機器。
5. 前記第１のユニットには第１のセンサが、前記第２のユニットには前記第１のセンサと独立した第２のセンサが、それぞれ接続されることを特徴とする請求項１〜４のいずれか１項に記載のフィールド機器。
6. 前記第１のユニットには前記フィールド制御システムとの間で通信を実行する第１の通信手段が、前記第２のユニットには前記第１の通信手段と独立して前記フィールド制御システムとの間で通信を実行する第２の通信手段が、それぞれ設けられることを特徴とする請求項１〜５のいずれか１項に記載のフィールド機器。
7. 前記稼動側ユニットとして前記第１のユニットおよび前記第２のユニットのうちいずれが選択されているかに関わらず、前記フィールド制御システムとの通信に使用される前記フィールド機器の通信アドレスとして同一アドレスが使用されることを特徴とする請求項１〜６のいずれか１項に記載のフィールド機器。
8. 前記判定手段によって前記処理が一致していないと判定された場合、前記フィールド制御システムへ異常を通知することを特徴とする請求項１〜７のいずれか１項に記載のフィールド機器。

Images