JP2017021617A - 多重化制御装置 - Google Patents

Abstract

【課題】二重故障に対する安全性を向上させることが可能な多重化制御装置を提供する。【解決手段】多重化制御装置は、入力信号を入力値に変換し、前記入力値を出力する第１から第Ｎ入力部１０（Ｎは３以上の整数）と、前記入力値を演算して出力値を生成し、前記出力値を出力する第１から第Ｎ演算部２０とを備える。前記装置はさらに、前記出力値を出力信号に変換し、前記出力信号を、前記出力信号の多数決演算を行う多数決部に出力する第１から第Ｎ出力部３０と、前記第１から第Ｎ入力部、前記第１から第Ｎ演算部、および前記第１から第Ｎ出力部にそれぞれ電力を供給する第１から第Ｎ電源部６０とを備える。さらに、第Ｘ出力部（Ｘは１〜Ｎの整数）は、第Ｘ電源部から前記第Ｘ出力部への電力供給が停止している場合に、前記第Ｘ出力部と前記多数決部との間の出力信号線が、安全側状態であるオープン状態になるように構成されている。【選択図】図２

Description

本発明の実施形態は、多重化制御装置に関する。

一般に、発電プラント等を制御する制御装置は、制御装置の単一故障が発生しても出力を誤らずに制御を継続する必要がある。そのため、このような制御装置には、単一故障時にも出力を誤らずに制御を継続できるように、三重化以上の多重化アーキテクチャが用いられることが多い。このような制御装置を、多重化制御装置と呼ぶ。

図１０は、従来の多重化制御装置２の構成を示すブロック図である。

図１０の多重化制御装置２は、三重化制御装置であり、入力装置１Ａ〜１Ｃと出力装置３とに接続されている。この多重化制御装置２は、入力部１０Ａ〜１０Ｃと、演算部２０Ａ〜２０Ｃと、出力部３０Ａ〜３０Ｃと、多数決部４０とを備えている。この多重化制御装置２は、入力部１０Ａ、演算部２０Ａ、および出力部３０Ａを含むＡ系と、入力部１０Ｂ、演算部２０Ｂ、および出力部３０Ｂを含むＢ系と、入力部１０Ｃ、演算部２０Ｃ、および出力部３０Ｃを含むＣ系の３系統を備えている。

入力部１０Ａ〜１０Ｃはそれぞれ、入力装置１Ａ〜１Ｃから入力信号を受け取り、受け取った入力信号を入力値に変換し、入力値を入力値線５１Ａ〜５１Ｃに出力する。演算部２０Ａ〜２０Ｃはそれぞれ、入力値線５１Ａ〜５１Ｃから入力値を受け取り、受け取った入力値を演算して出力値を生成し、出力値を出力値線５２Ａ〜５２Ｃに出力する。出力部３０Ａ〜３０Ｃは、出力値線５２Ａ〜５２Ｃから出力値を受け取り、受け取った出力値を出力信号に変換し、出力信号を出力信号線５３Ａ〜５３Ｃに出力する。

多数決部４０は、出力信号線５３Ａ〜５３Ｃから出力信号を受け取り、受け取った出力信号の多数決を取る多数決演算を行い、多数決で選択された出力信号をシステム出力信号として出力する。システム出力信号は、システム出力信号線５４を介して出力装置３に出力される。多数決部４０は、３つの出力信号の中から２つ以上の出力信号と一致するシステム出力信号を選択する「2 out of 3」の多数決演算を行う。出力装置３の動作は、このシステム出力信号により制御される。

これにより、多重化制御装置２は、入力部１０Ａ〜１０Ｃ、演算部２０Ａ〜２０Ｃ、および出力部３０Ａ〜３０Ｃのうちの１か所に故障が発生しても、正しい出力で制御を継続することができる。理由は、この故障により出力部３０Ａ〜３０Ｃの１つが正しい出力を行えなくなるものの、他の２つが正しい出力を行えるため、多重化制御装置２は多数決で正しい出力を行えるからである。

出力装置３の例は、発電プラント内のモータや弁である。出力値の例は、モータや弁を稼働させるためのデジタル出力条件を示す値である。出力信号およびシステム出力信号の例は、このような出力値を２値化した信号である。この場合、出力信号線５３Ａ〜５３Ｃやシステム出力信号線５４は、安全側状態と危険側状態の２つの状態を取り得る。

安全側状態とは、例えばこれらの信号線のオープン状態を指し、信号線が開いた状態を指す。一方、危険側状態とは、例えばこれらの信号線のクローズ状態を指し、信号線が閉じた状態を指す。この場合のシステム出力信号の例は、システム出力信号線５４がクローズ状態の場合に、発電プラントを駆動させるモータに電力を供給する制御信号である。理由は、このようなモータは一般に、電力が供給されて動作状態にあるよりも、電力が遮断されて停止状態にある方が安全であるからである。

一方、信号線のクローズ状態が安全側状態である場合も考えられる。この場合のシステム出力信号の例は、システム出力信号線５４がクローズ状態の場合に、発電プラント内の電磁弁に電力を供給する制御信号である。理由は、このような電磁弁は一般に、電力が遮断されて動作できない状態にあるよりも、電力が供給されて動作できる状態にある方が安全であるからである。

特開２００１−１７５３０１号公報

前述のように、多重化制御装置２は、単一故障時にも、出力を誤らずに制御を継続する必要がある。多重化制御装置２は、第１の故障が発生した場合でも、その故障状態が維持されたまま、制御を継続することが要求される。この場合に、予期せぬ第２の故障が発生すると、多重化制御装置２の出力に異常が生じるおそれがある。

例えば、出力部３０Ａに第１の故障が発生した場合、出力部３０Ａの出力信号が危険側に固着する場合がある。この場合、出力部３０Ｂに第２の故障が発生して、出力部３０Ｂの出力信号が危険側に固着すると、出力部３０Ａ、３０Ｂの危険側の出力信号が多数決部４０で多数派となる。その結果、多数決部４０は、この二重故障により危険側のシステム出力信号しか出力できなくなる。

よって、従来の三重化制御装置２では、単一故障が発生した場合、二重故障が発生する前に必要な対策をとる必要がある。そのため、単一故障時に多重化制御装置２による制御を継続できないことが問題となる。

そこで、本発明は、二重故障に対する安全性を向上させることが可能な多重化制御装置を提供することを課題とする。

一の実施形態によれば、多重化制御装置は、入力信号を入力値に変換し、前記入力値を出力する第１から第Ｎ入力部（Ｎは３以上の整数）と、前記入力値を演算して出力値を生成し、前記出力値を出力する第１から第Ｎ演算部とを備える。前記装置はさらに、前記出力値を出力信号に変換し、前記出力信号を、前記出力信号の多数決演算を行う多数決部に出力する第１から第Ｎ出力部と、前記第１から第Ｎ入力部、前記第１から第Ｎ演算部、および前記第１から第Ｎ出力部にそれぞれ電力を供給する第１から第Ｎ電源部とを備える。さらに、第Ｘ出力部（Ｘは１〜Ｎの整数）は、第Ｘ電源部から前記第Ｘ出力部への電力供給が停止している場合に、前記第Ｘ出力部と前記多数決部との間の出力信号線が、安全側状態であるオープン状態になるように構成されている。

第１実施形態の多重化制御装置の構成を示すブロック図である。 第１実施形態の多重化制御装置の構成を詳細に示すブロック図である。 第１実施形態の多重化制御装置の動作例を示すフローチャートである。 第１実施形態の多重化制御装置の別の動作例を示すフローチャートである。 第２実施形態の多重化制御装置の動作例を示すブロック図である。 第２実施形態の多重化制御装置の別の動作例を示すブロック図である。 第３実施形態の多重化制御装置の動作例を示すブロック図である。 第４実施形態の多重化制御装置の動作例を示すブロック図である。 第４実施形態の多重化制御装置の別の動作例を示すブロック図である。 従来の多重化制御装置の構成を示すブロック図である。

以下、本発明の実施形態を、図面を参照して説明する。

図１〜図９において、図１０に示す構成要素と同一または類似の構成要素には同一の符号を付し、図１０の説明と重複する説明は省略する。

（第１実施形態）
図１は、第１実施形態の多重化制御装置２の構成を示すブロック図である。

図１の多重化制御装置２は、第１から第Ｎ入力部（Ｎは３以上の整数）の例である入力部１０Ａ〜１０Ｃと、第１から第Ｎ演算部の例である演算部２０Ａ〜２０Ｃと、第１から第Ｎ出力部の例である出力部３０Ａ〜３０Ｃと、多数決部４０と、第１から第Ｎ電源部の例である電源部６０Ａ〜６０Ｃとを備えている。さらに、演算部２０Ａ〜２０Ｃはそれぞれ、演算処理部２１Ａ〜２１Ｃと、診断部２２Ａ〜２２Ｃと、通信部２３Ａ〜２３Ｃとを備えている。

入力部１０Ａは、入力装置１Ａから受け取った入力信号を入力値に変換し、この入力値を入力値線５１Ａに出力する。演算部２０Ａは、入力値線５１Ａから受け取った入力値を演算して出力値を生成し、この出力値を出力値線５２Ａに出力する。出力部３０Ａは、出力値線５２Ａから受け取った出力値を出力信号に変換し、この出力信号を出力信号線５３Ａに出力する。電源部６０Ａは、入力部１０Ａ、演算部２０Ａ、および出力部３０Ａに電力を供給する。

同様に、入力部１０Ｂは、入力装置１Ｂから受け取った入力信号を入力値に変換し、この入力値を入力値線５１Ｂに出力する。演算部２０Ｂは、入力値線５１Ｂから受け取った入力値を演算して出力値を生成し、この出力値を出力値線５２Ｂに出力する。出力部３０Ｂは、出力値線５２Ｂから受け取った出力値を出力信号に変換し、この出力信号を出力信号線５３Ｂに出力する。電源部６０Ｂは、入力部１０Ｂ、演算部２０Ｂ、および出力部３０Ｂに電力を供給する。

同様に、入力部１０Ｃは、入力装置１Ｃから受け取った入力信号を入力値に変換し、この入力値を入力値線５１Ｃに出力する。演算部２０Ｃは、入力値線５１Ｃから受け取った入力値を演算して出力値を生成し、この出力値を出力値線５２Ｃに出力する。出力部３０Ｃは、出力値線５２Ｃから受け取った出力値を出力信号に変換し、この出力信号を出力信号線５３Ｃに出力する。電源部６０Ｃは、入力部１０Ｃ、演算部２０Ｃ、および出力部３０Ｃに電力を供給する。

演算処理部２１Ａは、入力部１０Ａからの入力値を演算して出力値を生成し、出力値を出力値線５２Ａに出力する。これは、演算処理部２１Ｂ、２１Ｃでも同様である。

通信部２３Ａ、２３Ｂは、ネットワーク５５Ａにより互いに接続されている。通信部２３Ｂ、２３Ｃは、ネットワーク５５Ｂにより互いに接続されている。通信部２３Ｃ、２３Ａは、ネットワーク５５Ｃにより互いに接続されている。

通信部２３Ａは、入力部１０Ａからの入力値や、演算処理部２１Ａにより生成された出力値を、ネットワーク５５Ａ、５５Ｃを介して通信部２３Ｂ、２３Ｃに供給する。また、通信部２３Ａは、入力部１０Ｂからの入力値や、演算処理部２１Ｂにより生成された出力値を、ネットワーク５５Ａを介して通信部２３Ｂから受け取る。また、通信部２３Ａは、入力部１０Ｂからの入力値や、演算処理部２１Ｃにより生成された出力値を、ネットワーク５５Ｃを介して通信部２３Ｃから受け取る。これは、通信部２３Ｂ、２３Ｃでも同様である。

診断部２２Ａは、入力部１１Ａから受け取った入力値や、演算処理部２１Ａにより生成された出力値や、通信部２３Ｂ、２３Ｃから受け取った入力値や出力値を用いて自己診断などの診断処理を行う。これは、診断部２２Ｂ、２２Ｃでも同様である。診断部２２Ａ〜２２Ｃは、診断結果をネットワーク５５Ａ〜５５Ｃを介して互いに交換してもよい。

多数決部４０は、出力信号線５３Ａ〜５３Ｃから出力信号を受け取り、受け取った出力信号の多数決を取る多数決演算を行い、多数決で選択された出力信号をシステム出力信号として出力する。システム出力信号は、システム出力信号線５４を介して出力装置３に出力される。多数決部４０は、３つの出力信号の中から２つ以上の出力信号と一致するシステム出力信号を選択する「2 out of 3」の多数決演算を行う。出力装置３の動作は、このシステム出力信号により制御される。

入力信号の例は、スイッチやボタンの操作内容を示す信号や、温度センサや圧力センサにより測定された温度や圧力を示す信号や、機器の速度や回転数を示す信号である。本実施形態の入力装置１Ａ〜１Ｃは、入力部１０Ａ〜１０Ｃに同一の入力信号を供給する。入力信号は、デジタル信号でもアナログ信号でもよいし、パルス信号でもよい。

入力信号がデジタル信号である場合、入力部１０Ａ〜１０Ｃは例えば、入力信号のデジタルフィルタ処理により入力信号を入力値に変換する。入力信号がアナログ信号である場合、入力部１０Ａ〜１０Ｃは例えば、入力信号のＡ／ Ｄ（アナログデジタル）変換により入力信号を入力値に変換する。入力信号がパルス信号である場合、入力部１０Ａ〜１０Ｃは例えば、パルスの個数をカウントすることで入力信号を入力値に変換する。

一方、出力装置３の例は、発電プラント内のモータや弁やＬＥＤ（発光ダイオード）表示機器である。出力値の例は、モータや弁やＬＥＤ表示機器を稼働させるためのデジタル出力条件を示す値である。デジタル出力条件は、代わりにアナログ出力条件でもよい。出力信号およびシステム出力信号の例は、このような出力値を２値化した信号である。この場合、出力信号線５３Ａ〜５３Ｃやシステム出力信号線５４は、安全側状態と危険側状態の２つの状態を取り得る。

本実施形態の安全側状態は、これらの信号線のオープン状態を指し、信号線が開いた状態を指す。一方、本実施形態の危険側状態は、これらの信号線のクローズ状態を指し、信号線が閉じた状態を指す。本実施形態のシステム出力信号の例は、システム出力信号線５４がクローズ状態の場合に、発電プラントを駆動させるモータに電力を供給する制御信号である。よって、システム出力信号線５４が危険側状態であるクローズ状態の場合に、モータに電力が供給され、システム出力信号線５４が安全側状態であるオープン状態の場合に、モータの電力が遮断される。

図２は、第１実施形態の多重化制御装置２の構成を詳細に示すブロック図である。

電源部６０Ａ〜６０Ｃはそれぞれ、Ａ系〜Ｃ系の装置に電力を供給する。例えば、電源部６０Ａは、入力部１０Ａに電源線６１Ａを介して電力を供給し、演算部２０Ａに電源線６２Ａを介して電力を供給し、出力部３０Ａに電源線６３Ａを介して電力を供給する。また、演算部２０Ａ〜２０Ｃは、信号線６４Ａにより電源部６０Ａに接続されており、電源部６０Ａによる電力供給のオン／オフを信号線６４Ａを介して制御することができる。これは、電源部６０Ｂ、６０Ｃでも同様である。よって、演算部２０Ａ〜２０Ｃは、電源部６０Ｂによる電力供給のオン／オフや、電源部６０Ｃによる電力供給のオン／オフも、不図示の信号線を介して制御することができる。

本実施形態の出力部３０Ａは、電源部６０Ａから出力部３０Ａへの電力供給が停止している場合に、出力信号線５３Ａが安全側状態であるオープン状態になるように構成されている。よって、例えば出力部３０Ａに故障などの異常が発生した場合、演算部２０Ａ〜２０Ｃは電源部６０Ａから出力部３０Ａへの電力供給を停止させる。これにより、出力部３０Ａの出力信号を、危険側（出力クローズ）ではなく、安全側（出力オープン）に固着させることができる。これは、出力部３０Ｂ、３０Ｃでも同様である。

よって、本実施形態によれば、出力部３０Ａ〜３０Ｃの二重故障が発生した場合に、多数決部４０が危険側のシステム出力信号しか出力できなくなる事態を回避することが可能となる。よって、本実施形態によれば、二重故障に対する多重化制御装置２の安全性を向上させることが可能となる。

以下、出力部３０Ａの故障発生時の多重化制御装置２の動作について説明する。出力部３０Ａは、第Ｘ出力部（Ｘは１〜Ｎの整数）の例である。以下の説明は、出力部３０Ｂ、３０Ｃにも当てはまる。

本実施形態の演算部２０Ａ〜２０Ｃは、出力部３０Ａの故障の有無を監視し、出力部３０Ａの故障が検出された場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させる。その結果、出力信号線５３Ａがオープン状態になる。演算部２０Ａ〜２０Ｃは、監視部および停止部の例である。

出力部３０Ａは、演算部２０Ａ〜２０Ｃの３つにより監視されてもよいし、演算部２０Ａ〜２０Ｃの１つまたは２つにより監視されてもよい。以下、後者の場合の様々な例を説明する。

第１の例では、演算部２０Ａが、出力部３０Ａの故障の有無を監視する。そして、演算部２０Ａは、出力部３０Ａの故障が演算部２０Ａにより検出された場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させる。この場合の演算部２０Ａは、監視部および停止部の例であり、第Ｘ演算部の例である。

本実施形態では、診断部２２Ａが実施する自己診断により、出力部３０Ａの故障の有無が常時監視されている。第１の例では、演算部２０Ａはこの自己診断により出力部３０Ａの故障を検出することができる。

第２の例では、演算部２０Ｂが、出力部３０Ａの故障の有無を監視する。そして、演算部２０Ｂは、出力部３０Ａの故障が演算部２０Ｂにより検出された場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させる。この場合の演算部２０Ｂは、監視部および停止部の例であり、第Ｙ演算部（ＹはＸと異なる１〜Ｎの整数）の例である。

本実施形態では、前述のように、診断部２２Ａが実施する自己診断により、出力部３０Ａの故障の有無が常時監視されている。この診断結果は、ネットワーク５５Ａ、５５Ｃを介して診断部２２Ｂ、２２Ｃに伝達される。第２の例では、演算部２０Ｂはこの診断結果により出力部３０Ａの故障を検出することができる。

第２の例では、演算部２０Ｂが出力部３０Ａを監視し、演算部２０Ｃが出力部３０Ｂを監視し、演算部２０Ａが出力部３０Ｃを監視することで、ループ状の監視関係が実現されている。代わりに、演算部２０Ｃが出力部３０Ａを監視し、演算部２０Ａが出力部３０Ｂを監視し、演算部２０Ｂが出力部３０Ｃを監視してもよい。

図３は、第１実施形態の多重化制御装置２の動作例を示すフローチャートである。

この例では、演算部２０Ｂ、２０Ｃが、出力部３０Ａの故障の有無を監視している。よって、出力部３０Ａで故障が発生すると（ステップＳ１１）、演算部２０Ｂ、２０Ｃの各々が出力部３０Ａの故障を検出する（ステップＳ１２、Ｓ１３）。演算部２０Ｂ、２０Ｃはそれぞれ、診断部２２Ａから診断部２２Ｂ、２２Ｃに伝達された診断結果を用いて、出力部３０Ａの故障を検出することができる。

多重化制御装置２は、演算部２０Ｂ、２０Ｃの両方が出力部３０Ａの故障を検出した場合に、出力部３０Ａに故障があると判断する（ステップＳ１４）。多重化制御装置２は、出力部３０Ａに故障があると判断した場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させる（ステップＳ１５）。一方、演算部２０Ｂ、２０Ｃの一方のみが出力部３０Ａの故障を検出した場合には、電源部６０Ａから出力部３０Ａへの電力供給が維持される。

ステップＳ１４、Ｓ１５の処理は、例えば演算部２０Ｂ、２０Ｃにより実行される。この場合、演算部２０Ｂ、２０Ｃは例えば、出力部３０Ａの故障の判断結果をネットワーク５５Ｂを介して互いに交換することで、演算部２０Ｂ、２０Ｃの両方が出力部３０Ａの故障を検出したか否かを判断することができる。ステップＳ１４の判断処理やステップＳ１５の停止処理は、演算部２０Ｂが単独で行ってもよいし、演算部２０Ｃが単独で行ってもよい。図３の例において、演算部２０Ｂ、２０Ｃは、監視部および停止部の例であり、第Ｙおよび第Ｚ演算部（ＹとＺは、Ｘと異なる１〜Ｎの整数）の例である。なお、ステップＳ１４、Ｓ１５の処理を演算部２０Ａが実行する例については、後述する。

図４は、第１実施形態の多重化制御装置２の別の動作例を示すフローチャートである。

この例では、演算部２０Ｂ、２０Ｃが、出力部３０Ａの故障の有無を監視している。よって、出力部３０Ａで故障が発生すると（ステップＳ２１）、演算部２０Ｂ、２０Ｃの各々が出力部３０Ａの故障を検出する（ステップＳ２２、Ｓ２３）。演算部２０Ｂ、２０Ｃはそれぞれ、診断部２２Ａから診断部２２Ｂ、２２Ｃに伝達された診断結果を用いて、出力部３０Ａの故障を検出することができる。

多重化制御装置２は、演算部２０Ｂ、２０Ｃの少なくとも一方が出力部３０Ａの故障を検出した場合に、出力部３０Ａに故障があると判断する（ステップＳ２４）。多重化制御装置２は、出力部３０Ａに故障があると判断した場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させる（ステップＳ２５）。一方、演算部２０Ｂ、２０Ｃがいずれも出力部３０Ａの故障を検出しなかった場合には、電源部６０Ａから出力部３０Ａへの電力供給が維持される。

ステップＳ２４、Ｓ２５の処理は、例えば演算部２０Ｂ、２０Ｃの各々により実行される。例えば、演算部２０Ｂが出力部３０Ａの故障を検出した場合には、演算部２０ＢがステップＳ２４、Ｓ２５の処理を単独で行うことができる。また、演算部２０Ｃが出力部３０Ａの故障を検出した場合には、演算部２０ＣがステップＳ２４、Ｓ２５の処理を単独で行うことができる。図４の例において、演算部２０Ｂ、２０Ｃは、監視部および停止部の例であり、第Ｙおよび第Ｚ演算部（ＹとＺは、Ｘと異なる１〜Ｎの整数）の例である。なお、ステップＳ２４、Ｓ２５の処理を演算部２０Ａが実行する例については、後述する。

以上のように、本実施形態の出力部３０Ａは、電源部６０Ａから出力部３０Ａへの電力供給が停止している場合に、出力信号線５３Ａが安全側状態であるオープン状態になるように構成されている。これは、本実施形態の出力部３０Ｂ、３０Ｃでも同様である。よって、本実施形態によれば、二重故障に対する多重化制御装置２の安全性を向上させることが可能となる。

また、本実施形態では、第１および第２の例や、図３および図４の例のように、出力部３０Ａの故障を様々な方法で監視することができ、電源部６０Ａから出力部３０Ａへの電力供給を様々な方法で制御することができる。例えば、出力部３０Ａを１つの演算部で監視することには、監視処理の負担を軽減できるという利点がある。また、出力部３０Ａを２つの演算部で監視することには、故障検出の確実性を向上できるという利点がある。

（第２実施形態）
図５は、第２実施形態の多重化制御装置２の動作例を示すブロック図である。図５は、Ａ系の構成のみを示しているが、以下の説明は、Ｂ系およびＣ系にも当てはまる。

出力部３０Ａは、出力部３０Ａの動作を制御する制御部３１Ａと、制御部３１Ａと出力信号線５３Ａとを接続する出力回路部３２Ａとを備えている。制御部３１Ａの例は、ＭＰＵ（Micro Processing Unit）である。出力回路３２Ａの例は、回路素子や電気配線を含む電気回路である。例えば、制御部３１Ａは、出力値線５２Ａから出力値を受け取り、受け取った出力値を出力信号に変換し、この出力信号を出力回路部３２Ａに出力する。また、出力回路部３２Ａは、制御部３１Ａから出力信号を受け取り、この出力信号を出力信号線５３Ａに出力する。

図５は、出力回路部３２Ａの故障を示している。本実施形態では、出力回路部３２Ａが故障し、制御部３１Ａが動作を継続している場合、制御部３１Ａが出力回路部３２Ａの故障を検出することが可能である。よって、制御部３１Ａは、出力回路部３２Ａが故障したことを示す情報を出力値線５１Ａを介して演算部２０Ａに通知する。演算部２０Ａは、この情報により出力部３０Ａ（出力回路部３２Ａ）の故障を検出することができ、これにより電源部６０Ａから出力部３０Ａへの電力供給を停止させる。

出力部３０Ａの故障に関し、演算部２０Ａは、制御部３１Ａからの通知情報により、診断部２２Ａからの診断結果よりも多くの情報を得ることができる。例えば、演算部２０Ａは、制御部３１Ａからの通知情報により、出力回路部３２Ａが故障し、制御部３１Ａが動作を継続しているとの情報を得ることができる。よって、本実施形態によれば、第１実施形態に比べて故障検出結果の利便性を高めることができ、例えば、このような故障検出結果を用いて多重化制御装置２内でより高度な制御処理を行うことが可能となる。

なお、演算部２０Ａは、制御部３１Ａからの通知情報を演算部２０Ｂ、２０Ｃに伝達してもよい。この場合、演算部２０Ｂ、２０Ｃは、この通知情報に基づいて電源部６０Ａから出力部３０Ａへの電力供給を停止させてもよい。

図６は、第２実施形態の多重化制御装置２の別の動作例を示すブロック図である。図６は、Ａ系の構成のみを示しているが、以下の説明は、Ｂ系およびＣ系にも当てはまる。

図６は、制御部３１Ａの故障や出力回路部３２Ａの故障を含む出力部３０Ａ全体の故障を示している。この場合、制御部３１Ａは、出力部３０Ａの故障を演算部２０Ａに通知することができない。よって、演算部２０Ａは、出力部３０Ａの故障の詳細を認識することができない。しかしながら、演算部２０Ａは、診断部２２Ａからの診断結果より、出力部３０Ａが何らかの故障状態にあることを認識することができる。すなわち、演算部２０Ａは、出力部３０Ａの制御部３１Ａからの情報によらずに、出力部３０Ａの故障を検出することができる。

以上のように、本実施形態の演算部２０Ａ〜２０Ｃは、出力部３０Ａの故障を複数の方法により検出することができる。よって、本実施形態によれば、故障の検出精度を高めることや、種々の故障パターンに対応することが可能となる。

（第３実施形態）
図７は、第３実施形態の多重化制御装置２の動作例を示すブロック図である。

第１実施形態では、電源部６０Ａが、信号線６４Ａを介して演算部２０Ａ〜２０Ｃと接続されている（図２）。よって、演算部２０Ａ〜２０Ｃはいずれも、信号線６４Ａを用いて電源部６０Ａを制御することが可能である。よって、図３や図４の処理では、演算部２０Ｂや演算部２０Ｃは、電源部６０Ａから出力部３０Ａへの電力供給を停止させることができる。この場合、演算部２０Ｂや演算部２０Ｃは、停止部の例である。

一方、第３実施形態では、図７に示すように、信号線６４Ａが存在しない場合でも適用可能な電力供給停止方法を提供する。本実施形態の演算部２０Ｂは、出力部３０Ａの故障を検出した場合、出力部３０Ａの故障に関する情報をネットワーク５５Ａを介して演算部２０Ａに伝達する。同様に、本実施形態の演算部２０Ｃは、出力部３０Ａの故障を検出した場合、出力部３０Ａの故障に関する情報をネットワーク５５Ｃを介して演算部２０Ａに伝達する。

よって、演算部２０Ａは、演算部２０Ｂ、２０Ｃの代わりに、図３のステップＳ１４、Ｓ１５の処理を実行することできる。すなわち、演算部２０Ａは、演算部２０Ｂ、２０Ｃの両方が出力部３０Ａの故障を検出したことを伝達情報から認識した場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させることができる。この演算部２０Ａは、停止部の例である。

同様に、演算部２０Ａは、演算部２０Ｂ、２０Ｃの代わりに、図４のステップＳ２４、Ｓ２５の処理を実行することできる。すなわち、演算部２０Ａは、演算部２０Ｂ、２０Ｃの少なくとも一方が出力部３０Ａの故障を検出したことを伝達情報から認識した場合に、電源部６０Ａから出力部３０Ａへの電力供給を停止させることができる。この演算部２０Ａは、停止部の例である。

以上のように、本実施形態においては、演算部２０Ｂ、２０Ｃが出力部３０Ａの故障を検出し、演算部２０Ａが電源部６０Ａを制御する。よって、本実施形態によれば、Ａ系の出力部３０Ａの情報を、Ａ系の演算部２０Ａに集約することができる。よって、本実施形態によれば、例えば、出力部３０Ａの故障や電源部６０Ａからの電力供給停止などの情報を演算部２０Ａが管理し、同様に、出力部３０Ｂ、３０Ｃの故障や電源部６０Ｂ、６０Ｃからの電力供給停止などの情報を演算部２０Ｂ、２０Ｃが管理することで、系統別に様々な情報処理を実行することが可能となる。

なお、本実施形態の処理は、Ａ系の演算部２０Ａだけでなく、Ｂ系の演算部２０ＢやＣ系の演算部２０Ｃにも適用可能である。また、本実施形態の処理は、第１実施形態の第２の例にも適用可能である。すなわち、第２の例では、演算部２０Ｂが出力部３０Ａの故障を検出し、演算部２０Ａが電源部６０Ａを制御してもよい。

（第４実施形態）
図８は、第４実施形態の多重化制御装置２の動作例を示すブロック図である。図８は、Ａ系の構成のみを示しているが、以下の説明は、Ｂ系およびＣ系にも当てはまる。

本実施形態の出力部３０Ａは、第２実施形態と同様に、制御部３１Ａと出力回路部３２Ａとを備えている。制御部３１Ａと出力回路部３２Ａは、電源部６０Ａから共通の電源線６３Ａを介して電力を供給されている。

電源部６０Ａから出力部３０Ａへの電力供給は、図８に示すように、電源線６３Ａへの電力供給を停止することで停止可能である。これにより、出力信号線５３Ａがオープン状態になる。このような電力供給停止方法は、出力部３０Ａ全体が故障した場合には効果的である（図６参照）。しかしながら、この方法は、出力回路部３２Ａのみが故障した場合には望ましくない場合がある（図５参照）。理由は、故障のない制御部３１Ａが、これにより停止してしまい、出力回路部３２Ａの故障を示す情報を演算部２０Ａに通知できなくなるからである。

図９は、第４実施形態の多重化制御装置２の別の動作例を示すブロック図である。図９は、Ａ系の構成のみを示しているが、以下の説明は、Ｂ系およびＣ系にも当てはまる。

図９では、電源線６３Ａが電源線６５Ａ、６６Ａに置き換えられている。電源線６５Ａは、電源部６０Ａから出力回路部３２Ａに電力を供給するために使用される。電源線６６Ａは、電源部６０Ａから制御部３１Ａに電力を供給するために使用される。電源線６５Ａと電源線６６Ａは、互いに独立な配線である。

図９では、出力回路部３２Ａが故障し、制御部３１Ａが故障していない場合、電源部６０は、電源線６６Ａへの電力供給を維持しつつ、電源線６５Ａへの電力供給を停止する。これにより、出力回路部３２Ａへの電力供給が停止され、出力回路部３２Ａの動作が停止することで、出力信号線５３Ａがオープン状態になる。一方、制御部３１Ａへの電力供給は維持され、制御部３１Ａは動作を継続する。よって、制御部３１Ａは、出力回路部３２Ａの故障を示す情報を演算部２０Ａに通知することができる。

以上のように、本実施形態では、制御部３１Ａと出力回路部３２Ａへの電力供給を同時にまたは個々に停止することができる。前者の構成には例えば、電源線６３の構成や電力供給の制御を単純化できるという利点がある。一方、後者の構成には例えば、出力信号線５３Ａをオープン状態にしつつ、制御部３１Ａの動作を継続できるという利点がある。

なお、本実施形態の多重化制御装置２の構成は、第２実施形態だけでなく、第１実施形態や第３実施形態にも適用可能である。

また、第１〜第４実施形態の多重化制御装置２は、３系統の入力部、演算部、出力部を備えているが、４系統以上の入力部、演算部、出力部を備えていてもよい。例えば、多重化制御装置２がＮ系統（Ｎは３以上の整数）の入力部、演算部、出力部を備えている場合には、多重化部４０は、Ｎ系統の出力部からの出力信号の多数決演算を行う。

以上、いくつかの実施形態を説明したが、これらの実施形態は、例としてのみ提示したものであり、発明の範囲を限定することを意図したものではない。本明細書で説明した新規な装置は、その他の様々な形態で実施することができる。また、本明細書で説明した装置の形態に対し、発明の要旨を逸脱しない範囲内で、種々の省略、置換、変更を行うことができる。添付の特許請求の範囲およびこれに均等な範囲は、発明の範囲や要旨に含まれるこのような形態や変形例を含むように意図されている。

１Ａ、１Ｂ、１Ｃ：入力装置 ２：多重化制御装置 ３：出力装置
１０Ａ、１０Ｂ、１０Ｃ：入力部 ２０Ａ、２０Ｂ、２０Ｃ：演算部
２１Ａ、２１Ｂ、２１Ｃ：演算処理部 ２２Ａ、２２Ｂ、２２Ｃ：診断部
２３Ａ、２３Ｂ、２３Ｃ：通信部 ３０Ａ、３０Ｂ、３０Ｃ：出力部
３１Ａ：制御部 ３２Ａ：出力回路部 ４０：多数決部
５１Ａ、５１Ｂ、５１Ｃ：入力値線 ５２Ａ、５２Ｂ、５２Ｃ：出力値線
５３Ａ、５３Ｂ、５３Ｃ：出力信号線 ５４：システム出力信号線
５５Ａ、５５Ｂ、５５Ｃ：ネットワーク ６０Ａ、６０Ｂ、６０Ｃ：電源部
６１Ａ：電源線 ６２Ａ：電源線 ６３Ａ：電源線
６４Ａ：信号線 ６５Ａ：電源線 ６６Ａ：電源線

Claims (8)

1. 入力信号を入力値に変換し、前記入力値を出力する第１から第Ｎ入力部（Ｎは３以上の整数）と、
   前記入力値を演算して出力値を生成し、前記出力値を出力する第１から第Ｎ演算部と、
   前記出力値を出力信号に変換し、前記出力信号を、前記出力信号の多数決演算を行う多数決部に出力する第１から第Ｎ出力部と、
   前記第１から第Ｎ入力部、前記第１から第Ｎ演算部、および前記第１から第Ｎ出力部にそれぞれ電力を供給する第１から第Ｎ電源部とを備え、
   第Ｘ出力部（Ｘは１〜Ｎの整数）は、第Ｘ電源部から前記第Ｘ出力部への電力供給が停止している場合に、前記第Ｘ出力部と前記多数決部との間の出力信号線が、安全側状態であるオープン状態になるように構成されている、多重化制御装置。
2. 前記第Ｘ出力部の異常の有無を監視する監視部と、
   前記監視部が前記第Ｘ出力部の異常を検出した場合に、前記第Ｘ電源部から前記第Ｘ出力部への電力供給を停止させる停止部とを備え、
   前記第Ｘ出力部は、前記停止部が前記第Ｘ電源部から前記第Ｘ出力部への電力供給を停止させた場合に、前記出力信号線が前記オープン状態になるように構成されている、請求項１に記載の多重化制御装置。
3. 前記第Ｘ出力部の前記監視部および前記停止部は、第Ｘ演算部である、請求項２に記載の多重化制御装置。
4. 前記第Ｘ出力部の前記監視部および前記停止部は、第Ｙ演算部（ＹはＸと異なる１〜Ｎの整数）である、請求項２に記載の多重化制御装置。
5. 前記第Ｘ出力部は、前記出力値を前記出力信号に変換する制御部と、前記出力信号を前記多数決部に出力する出力回路部とを備え、
   前記第Ｘ出力部の前記制御部は、前記第Ｘ出力部の前記出力回路部の異常を検出し、前記出力回路部の異常に関する情報を第Ｘ演算部に伝達する、請求項１から４のいずれか１項に記載の多重化制御装置。
6. 前記第Ｘ出力部は、前記出力値を前記出力信号に変換する制御部と、前記出力信号を前記多数決部に出力する出力回路部とを備え、
   第Ｘ演算部は、前記第Ｘ出力部の前記制御部からの情報によらずに、前記第Ｘ出力部の異常を検出可能である、請求項１から５のいずれか１項に記載の多重化制御装置。
7. 前記第Ｘ出力部は、前記出力値を前記出力信号に変換する制御部と、前記出力信号を前記多数決部に出力する出力回路部とを備え、
   前記第Ｘ電源部は、前記第Ｘ出力部の前記制御部および前記出力回路部への電力供給を停止することで、前記出力信号線の前記オープン状態を実現する、請求項１から６のいずれか１項に記載の多重化制御装置。
8. 前記第Ｘ出力部は、前記出力値を前記出力信号に変換する制御部と、前記出力信号を前記多数決部に出力する出力回路部とを備え、
   前記第Ｘ電源部は、前記第Ｘ出力部の前記制御部への電力供給を維持しつつ、前記第Ｘ出力部の前記出力回路部への電力供給を停止することで、前記出力信号線の前記オープン状態を実現する、請求項１から６のいずれか１項に記載の多重化制御装置。

Images