JP2991547B2

JP2991547B2 - 多重系制御装置の相互異常診断処理方法及び多重系制御装置

Info

Publication number: JP2991547B2
Application number: JP3261079A
Authority: JP
Inventors: 洋一吉田
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1991-09-12
Filing date: 1991-09-12
Publication date: 1999-12-20
Anticipated expiration: 2014-12-20
Also published as: JPH06214605A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、各サブシステム間のデ
ータ伝送により相互異常診断可能な多重系制御装置に関
し、特に、異常サブシステムの切離によっても制御シス
テム全系のダウンを回避することの可能な多重系制御装
置並びに多重系制御装置の相互異常診断処理方法に関す
る。

【０００２】

【従来の技術】従来、例えば原子炉再循環流量制御装置
等の原子力プラントの制御系のように、その誤動作が重
大な結果を引き起こす可能性のある場合には、一般に、
制御装置を多重化してその信頼性を高める手法が多用さ
れている。また、制御装置を多重化した場合には、かか
る多重化された制御装置を構成する各制御装置（サブシ
ステム）間で相互に内部データのやりとりをさせ、デー
タの比較・検討を行いながら自系サブシステムの状態を
監視し、異常と判断される場合には自系の制御を停止
（切り離す）する相互異常診断の手法も多く使われてい
る。

【０００３】かかる従来技術になる多重系制御方式とし
ては、例えば特開昭５８−１７８４０２号公報により知
られる「多重系制御方式」、特開昭５８−２０５２０１
号公報により知られる「３重化された制御保護装置の故
障検出装置」等がある。すなわち、これらの従来技術に
なる多重系制御方式においては、サブシステム内で異常
が発生した場合、いわゆる「２対１論理（多数決理
論）」により、異常を確実に検出することが出来、もっ
て、装置全体の制御上には全く影響を及ぼさないという
観点からのものであった。

【０００４】

【発明が解決しようとする課題】しかしながら、上記の
従来技術になる多重系制御方式においては、成る程、制
御系全体の高信頼化という観点からの相互異常診断機能
を有してはいたが、その機能により、むしろ相互に干渉
しあい、制御系全系がシステムダウンに至ってしまう場
合があった。例えば、プロセス量に急激な変化が生じた
場合などにおいて、相互の系のデータがそれぞれ異なっ
てしまい、各系が切り離され、相互異常診断機能が悪影
響を及ぼして、最悪の場合には、３重系共に切り離され
てしまいシステムダウンに至る。

【０００５】かかる従来技術に対し、本発明では、例え
３重系といえども２対１の多数決論理が働かず、３台共
にデータが相互に重なる場合が現実に存在し得るという
前提に立っての多重系の多重系制御装置及び方法を提案
するものである。

【０００６】すなわち、本発明の目的は、サブシステム
間での相互異常診断機能を有しながらも、制御系全系の
システムダウンを確実に回避することの可能な、柔軟な
多重化運転モードの可能な多重系制御装置を構築し、一
層フォールトトレラントな多重系制御装置、及び相互異
常診断処理方法を提供することにある。

【０００７】

【課題を解決するための手段】本発明は、共通の制御対
象を複数のサブシステムにより制御すると共に、上記各
サブシステムは、制御量を演算する制御演算部と、上記
演算された制御量データを他のサブシステムにより演算
された制御量データと比較することにより自系の異常を
診断する相互異常診断部と、上記相互異常診断部での診
断の結果、異常であれば自系を制御系から切り離す信号
切替部とを備えた多重系制御装置において、上記複数の
サブシステム間には、運転中の全サブシステム異常時で
の切り離しの優先順位が予め定められており、運転中の
全サブシステム異常時にはこの運転中のサブシステムの
中の優先順位の低いサブシステムを切り離すものとした
ことを特徴とする多重系制御装置の相互異常診断処理方
法を開示する。

【０００８】更に本発明は、各サブシステムの相互異常
診断部からの異常診断信号の組合せに基づき、上記各サ
ブシステムを切り離す上記優先順位を予め定めたことを
特徴とする多重系制御装置の相互異常診断処理方法を開
示する。

【０００９】更に本発明は、共通の制御対象を複数のサ
ブシステムにより制御すると共に、上記各サブシステム
は、制御量を演算する制御演算部と、上記演算された制
御量データを他のサブシステムにより演算された制御量
データと比較することにより自系の異常を診断する相互
異常診断部と、異常の場合、自系を制御系から切り離す
信号切替部とを備えた多重系制御装置において、運転中
の全サブシステムの異常時に、上記各サブシステムの相
互異常診断部からの診断結果信号に基づいて、予め定め
られた、運転中の全サブシステム異常時での切り離しの
優先順位の低いサブシステム切り離し指令を上記信号切
替部に出力する手段を、各サブシステム内に又は各サブ
システムとは独立に設けたことを特徴とする多重系制御
装置を開示する。

【００１０】更に本発明は、共通の制御対象を３重系サ
ブシステムにより制御すると共に、上記各サブシステム
は、制御量を演算する制御演算部と、上記演算された制
御量データを他のサブシステムにより演算された制御量
データと比較することにより自系の異常を診断する相互
異常診断部と、上記相互異常診断部での診断の結果、異
常であれば自系を制御系から切り離す信号切替部とを備
えた多重系制御装置において、運転中の全サブシステム
の異常の場合にその切り離しの優先順位の低いサブシス
テムを切り離すように構成しておき、３重系サブシステ
ムのすべてが正常の状態で３重系制御、一系サブシステ
ムの異常による一系切り離した状態のもと、又は三系す
べてが異常での低い優先順位のサブシステムを切り離し
た状態のもとでは残りの二系の待機冗長２重系制御、二
系サブシステムの異常による二系切り離した状態のも
と、又は二系運転下でこの二系すべてが異常での低い優
先順位のサブシステムの切離した状態のもとでは残りの
一系によるシングル系制御を行い、切り離されているサ
ブシステムの異常解消した場合そのサブシステムを制御
用に自動復帰せしめるようにした多重系制御装置を開示
する。

【００１１】

【作用】すなわち、上記の本発明によれば、サブシステ
ム間での相互異常診断機能を有しながらも、異常検出時
のサブシステムの切離しを、予め設定された優先順位、
又は、異常ヶ所を有する１のサブシステムをダウンさせ
ることによって行うため、多重系制御システムがいわゆ
る待機冗長２重系運転となり、もって、全系のシステム
ダウンを回避させる。これに伴い、既にダウンしたサブ
システムにおいても、その後の相互異常診断によりデー
タが所定範囲内に収斂すれば、再び制御モードに移行可
能となるため、柔軟な多重化運転モードを構築し、一層
のフォールトトレラントなシステムを提供することが可
能となる。

【００１２】即ち、待機冗長２重系運転の場合、制御側
サブシステムは、相互異常診断により異常を検出して
も、当該系を切り離すことはない。又、ＲＡＳ機能等の
自己診断により異常検出した場合、当該系は切り離さ
れ、待機側サブシステムが、制御側となり、制御続行可
能である。

【００１３】さらに、必要に応じて（相互異常診断部に
て自系の異常が検出されなくなった場合）、再び３重系
運転へ移行することも可能となる。

【００１４】

【実施例】以下、本発明の一実施例につき、添付の図面
を用いながら詳細に説明を行う。先ず、添付の図１に
は、本発明を原子力プラントに適用した例として、より
具体的には、ＢＷＲ型原子力発電所の原子炉再循環流量
制御装置に適用された場合の概略構成が示されている。
この図１に示す原子炉再循環流量制御装置は、いわゆる
３重系システムとなっており、原子炉１の水を強制循環
させ、その量を調節することにより炉出力を変化させる
機能を有するものである。即ち、原子炉再循環流量制御
装置は、再循環を行うポンプ５を駆動するポンプモータ
４に可変周波数電力を発生・供給する可変周波数電源装
置を制御するものであり、いわゆるＭＧセット２の発電
機（Ｇ）の回転数ｎをフィードバック制御することによ
り、周波数変換装置（ＦＣ）を制御するものである。
尚、コントロールドライブ（Ｃ／Ｄ）３は、このＭＧセ
ット２の制御の操作端となっている。

【００１５】図において、制御装置は３重化された各サ
ブシステム、すなわち、コントローラ１０i〜１０kから
構成されている。これらのコントローラ１０i〜１０k
は、各々、比例積分演算等を行うロジック部１１i〜１
１kと、他のコントローラからの信号を入力して自己の
内容と比較しながら診断を行う、いわゆる相互異常診断
部１２i〜１２kとを備えている（ただし、図において
は、一例として、コントローラ１０iの内部のみを詳細
に示す）。より具体的に説明を加えると、コントローラ
１０iにおいて、発電機（Ｇ）の回転数信号ｎは、ライ
ン１７を介してロジック部１１iに入力され、所定の基
準値（ＳＶ）と比較され、比例積分器（ＰＩ）において
比例積分演算処理が行われる。そして、この比例積分器
（ＰＩ）により比例積分演算処理された信号Ｄiは、例
えばスイッチから構成される切り離し回路１４iを介し
て操作端出力選択回路（ＭＶＧ）１６へ出力されてい
る。また、ライン１８上には、各サブシステムからのデ
ータ（Ｄi,Ｄj,Ｄk）の中間値がＳｏとして出力されて
いる。

【００１６】一方、各コントローラの相互異常診断部１
２iは、自系データＤiと、他の２つの系から電送（図中
において、矢印１５、１５…で示されている）を介して
送られてきた他の系のデータＤj、Ｄkとの偏差の大きさ
（数値データの場合）、又は、不一致（ビットデータの
場合）による自系信号の異常を、他の系の運転状態信号
Ｃj、Ｃkを考慮しながら検出し、自系のデータＤiが不
一致であると検出された場合、不一致フラグｉcを出力
し、ライン１８上の制御信号Ｓｏを自系データＤiとし
てコピー（いわゆるデータの合わせ込み）する。その結
果、尚、不一致がさらに継続した場合、異常フラグＣi
を出力し、上記の切り離し回路１４iによって切り離さ
れることとなる。したがって、コントローラ１０iから
の出力信号Ｄiは、操作端出力選択回路１６へは出力さ
れなくなる。

【００１７】そして、本発明によれば、上記コントロー
ラ１０i〜１０kは、予め設定された優先順位により、又
は、異常ヶ所を有する１のサブシステムのみをダウンさ
せることにより、多重系制御システムを待機冗長２重系
運転としている。

【００１８】図２には、本発明の他の実施例として、図
１と同様、原子力プラントであるＢＷＲ型原子力発電所
の原子炉再循環流量制御装置に適用された多重系制御装
置が示されている。また、この図においても、図１の構
成部分と同様の部品は、図１に示すと同一の符号で示さ
れている。この他の実施例になる多重系制御システムに
おいて、特に、特徴的なことは、上記図１に示したもの
と比較し、さらに、いわゆる運転モード判定部１９を、
各サブシステムであるコントローラ１０i〜１０kとは独
立して設けたことである。すなわち、この運転モード判
定部１９は、各サブシステム（コントローラ１０i〜１
０k）の相互異常診断部１２i〜１２kにより検出された
異常フラグＣi〜Ｃkをベースに、どのサブシステムを切
り離すかを決定し、各サブシステムへ切り離し指令を出
力するものである。一方、各サブシステム（コントロー
ラ１０i〜１０k）は、自己の相互異常診断部１２i〜１
２kにより出力された異常フラグＣi〜Ｃkと、上記運転
モード判定部１９からの切り離し指令Ｙi〜Ｙkとを入力
するＡＮＤゲート１３iを介して、ＡＮＤ論理により、
自系を切り離すこととなる。

【００１９】以上に説明した本発明の実施例になる多重
系制御装置における相互異常診断による運転モード遷移
方法を、以下に添付の図を参照しながら詳細に説明す
る。

【００２０】図３には、上記多重系制御装置、具体的に
は３重系制御装置において、３重系（Ａ）から２重系
（Ｂ）へ、２重系から１重（シングル）系（Ｃ）への縮
退型の運転モードの遷移及びその時の運転状態が示され
ている。また、図４には、その時の事象発生フロー及び
縮退とは反対の拡張型（シングル→２重系→３重系）の
遷移フローが示されている。

【００２１】図４において、ここで、３重系運転時（Ｓ
１０）では、ライン１８上の制御データＳｏは、各サブ
システムであるコントローラ１０i〜１０kからのデータ
Ｄi,Ｄj,Ｄkの中間値が出力されている。従って、各サ
ンプリング毎のＳｏは、特定のコントローラからの信号
を常時出力しているわけではない。一方、２重系運転時
（Ｓ２０）では、予め優先順位の決めてあるコントロー
ラの信号を出力する待機冗長２重系となっている。

【００２２】相互異常診断そのものは、特に３重系にお
いては、多数決論理（２対１理論）が機能するため、異
常検出時における多重系でのサブシステムの切り離しに
有効な手段であるが、しかしながら、３重系の各々のコ
ントローラが全て、正常な場合においても、例えばプロ
セス量の急激な変化が生じた場合等には、逆に、相互異
常診断が悪影響を及ぼし、最悪の場合、３重系共に切り
離され、システムダウンに至る場合がある。そこで、本
発明では、必ず３重系から２重系へ移行するようにし
て、かかる３重系の全系が切り離されることにより生じ
るシステムダウンの発生を防止する。

【００２３】即ち、上記の事柄を、図４のフローによっ
て説明する。３重系運転（Ｓ１０）においては、各サブ
システムのコントローラ１０i〜１０kは、その相互異常
診断部１２i〜１２kの働きにより、自己のデータと他の
系のデータと比較しながら異常を検出している。ところ
で、この３重系運転において、プロセス量の急激な変化
が生じた場合（Ｓ１１）、例えば伝送遅れ等の原因によ
り、各サブシステムでは自系のデータが他の系のデータ
と一致しなくなり（Ｓ１２）、相互異常診断部１２i〜
１２kが異常を検出する。その結果、異常（例えば、デ
ータの不一致等）を検出した系のコントローラ１０i〜
１０kは、自系のデータとして、３系の出力データの中
間値であるライン１８上の制御信号Ｓｏをコピー（デー
タの合わせ込み）する（Ｓ１３）。

【００２４】ところで、３つの系は非同期にて演算して
おり、そのため、上記のデータのコピータイミングによ
っては、コピーされたデータそのものが、次にコピーさ
れる３系出力データの中間値（すなわち、信号Ｓｏ）に
も影響を与える（Ｓ１４）。そのため、３つの系の各々
の相互異常診断データ間に不一致状態が継続することが
ある（Ｓ１５）。

【００２５】ところで、従来の多重系制御装置において
は、多数決理論により、かかる状況が一定時間継続する
と、各系はそれぞれ自系を制御系から切り離し、タイム
フローが各系共に同じである場合には、最悪の場合に
は、全系システムダウンとなってしまう。そこで、本発
明のように、万が一にも全系システムダウンに至らぬ
様、相互異常診断継続時に自系を切り離すタイムフロー
に優先順位を決めて設定すると（Ｓ１６）、全系システ
ムダウンに至ることなく、２重系運転に移行させること
が可能となる（Ｓ２０）。例えば、本実施例では、優先
順位として、コントローラ１０iの優先順位を最も高
く、続いてコントローラ１０jが、そして、最後にコン
トローラ１０kの順（１０i＞１０j＞１０k）に設定され
ている。すなわち、この優先順位の設定により、各系の
切り離しの際には、優先順位が低いものから順序に制御
系から切り離されるため、従来技術における問題点であ
る全系システムダウンを回避させることが出来、かつ、
待機冗長な、信頼性を有する２重系運転にて、制御が続
行可能となる。

【００２６】さらに、図において、２重系運転（Ｓ２
０）の場合について説明する。再び、例えばプロセス量
の急激な変化等（Ｓ２１）に伴い、各サブシステム（上
記の例ではコントローラ１０iと１０j）が、その相互異
常診断機能によって自系のデータと他系のデータとの不
一致により異常を検出すると（Ｓ２２）、常に、予め設
定された優先順位の高い系の出力データ（この例では、
Ｄi）を、自己データとしてコピーする（Ｓ２３）。従
って優先系側（すなわち、コントローラ１０i）では、
データの不一致による異常が検出されても、データのコ
ピーは行わない。すなわち、プロセス量の急変等が継続
した場合には、常に、非優先系は、優先系のデータを自
己データとしてコピーすることとなる。従って、コント
ローラが正常に動作しているならば、必ず、非優先系
（この場合、コントローラ１０j）の相互異常診断デー
タ（Ｄj）は、優先系（コントローラ１０i）のデータ
（Ｄi）に一致することとなり（Ｓ２４）、２重系運転
（相互異常診断データの一致）となる。

【００２７】ところで、ここで、上記の２重系運転にお
いて、非優先系（この場合、コントローラ１０j）のデ
ータ（Ｄj）が、優先系のデータ（Ｄi）に一致しない状
態が継続した場合（Ｓ２５）、制御装置としては、いわ
ゆるシングル系運転（Ｓ３０）へ移行することとなる
（但し、各コントローラが正常であれば、本運転への移
行は生じ難い）。

【００２８】尚、シングル系運転から２重系運転へは、
図４において、非優先系のコントローラ１０jが優先系
のコントローラ１０iのデータ（Ｄi）をコピーし（Ｓ３
１）、非優先系のコントローラ１０jの相互異常診断デ
ータが優先側と一致した（Ｓ３２）ところで、再び、２
重系運転（Ｓ２０）へ移行することがで出来る。

【００２９】さらに、２重系運転（Ｓ２０）から、３重
系運転（Ｓ３０）への復帰についても、図４に示すよう
に、以下の順で可能となる。

【００３０】すなわち、先ず、３重系から２重系への運
転の切り替えによって切り離された系（例えば、コント
ローラ１０k）は、２重系運転状態での優先系（コント
ローラ１０i）の相互診断データをコピーする（Ｓ１
７）。従って、切り離されたコントローラ（ここでは、
コントローラ１０k）が正常であれば、当該コントロー
ラは、必ず２重系運転時の優先系の相互診断データＤi
に一致することとなる（Ｓ１８）。従って、当該コント
ローラは、制御に参入することが出来、システムとして
３重系運転（Ｓ１０）へ移行することなる。

【００３１】ここで、上記（Ｓ１７）の後、当該コント
ローラの相互診断データが、やはり、優先系のそれに一
致しない場合（Ｓ１９）には、再び、２重系運転継続状
態に戻ることとなる（但しコントローラが正常であれば
本事象はおこりにくい）。

【００３２】次に、上記のは本発明の特徴ともなる、い
わゆる、相互異常診断運転モード判定を行うためのより
詳細な構成について説明する。先ず、図５には、上記の
図１に示した相互異常診断部１２i〜１２kの詳細構造で
あり、図にも示される様に、相互異常診断部４１と運転
モード判定部３２を各サブシステム（すなわち、コント
ローラ１０i〜１０k）に内蔵された場合の例を示してい
る。この診断部４１は、例えばアナログデータの場合に
はその偏差の大きさを、あるいは、ディジタルデータの
場合にはそのビット内容の不一致を検出する機能を有し
ている。また、運転モード判定部３２は、さらに、自系
を切り離す指令を確立する自系切離確立用タイマー（Ｔ
Ｐ１）３２１を有し、一方、異常フラグ解消後（すなわ
ち、正常状態成立後）、自系を制御モードに投入するま
での遅れを確保するための自系制御モード確立用タイマ
ー（ＴＰ２）３２２をも併せて有している。また、図中
の符号３２３は、上記自系制御モード確立用タイマー
（ＴＰ２）３２２からの出力でＯＦＦするスイッチ素子
であり、３２４はいわゆるＯＲ論理素子である。そし
て、各コントローラ１０i〜１０kの優先順位は、この自
系切離確立用タイマー（ＴＰ１）３２１の設定時間によ
って設定されることとなる。即ち、診断部４１で異常診
断がなされて、異常の旨の出力がでると、タイマー３２
１に入力する。タイマー３２１では、そのタイマー時間
の間、異常が継続している時のみ出力“１”を出す。そ
のタイマー時間内で異常が解消されれば、タイマー３２
１は出力“１”を出さず、“０”をそのまま出力する。
一方、ＯＲ論理素子３２４の出力は、スイッチ３２３を
介して自己入力となっており、これにより、自己ホール
ド機能を持つ。従って、スイッチ２３がオンになってい
る限りタイマー３２１の出力“１”はスイッチ３２３を
介して自己ホールドされ、ＯＲ論理素子３２４の出力は
“１”となる。ＯＲ論理素子３２４の出力“１”とは、
異常フラグＣ_iが立っていることを意味する。一方、異
常解消すると、診断部４１の出力は０となり、それに応
じてタイマー３２１の出力を“０”にすると共に、診断
部４１への出力はインバータで反転され“１”となり、
タイマー３２２の入力となる。タイマー３２２のタイマ
ー時間の間、“１”が継続すれば、タイマー３２２の出
力は“１”となる。このタイマー３２２の出力“１”に
よりスイッチ３２３はオフとなり、これによってＯＲの
論理素子３２４は“１”の自己ホールド機能を失う。こ
の自己ホールド機能を失った時点でＣ_iは“１”から
“０”となり、正常の旨の信号となる。

【００３３】次に、図６には、上記の図２に示した多重
系制御装置の運転モード判定部１９（図６の（Ａ））
と、同時に、その時の、各コントローラ１０i〜１０kの
相互異常診断部１２’（図６の（Ｂ））の詳細構造が論
理的に示されている。先ず、運転モード判定部１９は、
例えば論理素子等から構成されており、図に論理的に示
すように、複数の入力（Ｃi,Ｃj,Ｃk）の組み合わせ
（図の縦方向）に対し、いかなる場合においても、必ず
出力（Ｙi,Ｙj,Ｙk）の中の１出力のみだけが‘１’と
なる様に構成されている。すなわち、いかなる場合にお
いても、誤った切り離しによる全系システムダウンには
絶対至らない処理方式としている。また、この時の相互
異常診断部１２’は、相互異常診断部４１と、自系切離
確立用タイマー（ＴＰ）３３のみからなる運転モード判
定部とから構成されている。

【００３４】さらに、図７には、上記の相互異常診断部
４１の具体的な回路構成が示されている。すなわち、図
７の（Ａ）には、数値データの相互異常を診断する場合
の回路例が、また、その（Ｂ）には、ビットデータの相
互異常を診断する場合の回路例が示されている。

【００３５】図７の（Ａ）に示す回路の動作について、
以下、簡単に説明する。先ず、自系のデータＤiの妥当
性を評価するのに、自系のデータＤiを他系のデータＤ
j、Ｄkと偏差モニタ（ＭＲＹ）を介してチェックする。
偏差モニタ（ＭＲＹ）は、内部の所定値以上の偏差が生
じた場合に‘１’を出力し、また、この時、他系のデー
タＤj、Ｄkが偏差内の同等値であるとき、自系データの
みが異常と判断される。但し、ｉ、ｊ、ｋ共に制御中
（すなわち、図１において、コントローラ１０i〜１０k
が、その切り離し回路１４i〜１４kによって切り離され
ていない状態）であることが前提である。すなわち、こ
の様な構成をとることにより、異常フラグ出力（ｉc）
が所定の時間（例えば、図５に示した自系切離確立用タ
イマー（ＴＰ１）３２１により決まる時間、あるいは、
図６の（Ｂ）に示した自系切離確立用タイマー（ＴＰ）
３３により決まる時間）継続した場合、自系が分離され
ることとなる。

【００３６】以上に説明した事象につき、図８に、その
場合のタイムチャートを示して説明を加える。図におい
て、（Ａ）は従来技術になる制御装置の各系（系i、系
j、系k）の動作状態を示しているが、この従来技術によ
る制御装置では、各系とも同じ自系切離確立用タイマー
の設定時間（ＴＰ１）により、全系システムダウンが発
生し得、また、その後の一定時間（ＴＰ２＋α）経過
後、再び、ライン１７上の回転数信号ｎが整定していれ
ば、制御モードに移行することは可能である。これに対
し、本発明の制御装置によれば、同図の（Ｂ）に示す様
に、全系システムダウンを回避させるため、図５に示し
た相互異常診断部１２i〜１２k内の自系切離確立用タイ
マー３２１及び自系制御モード確立用タイマー３２２の
各タイマー値であるＴＰ１、ＴＰ２を、各サブシステム
毎に各々別個に設定させれば、同図の（Ｂ）からも明か
な様に、３重系全系のシステンダウンを回避させること
が可能になる。

【００３７】即ち、プラント状態の急変等により、例え
ば、ライン１７上の回転数信号ｎが、演算処理の非同期
性、電送遅れ等の原因により、各サブシステム内での入
力値に差異が生じた場合、各サブシステム内の相互異常
診断部１２は異常フラグｉcを出力する。しかしなが
ら、各サブシステム内での自系切離確立用タイマーの設
定値（ＴＰ１）は、予め定められた優先順位に基づいて
各々別個に設定されているため、全系が同時にダウンす
ることはなく、必ず、ー系のみが強制的に先にダウンす
ることとなる。これにより、３重系制御装置は２重系運
転となるが、全系システムダウンには至らない。

【００３８】また、当該ダウンしたサブシステムは、そ
の後、他のサブシステムのデータを入手し、相互診断デ
ータが所定偏差内に収斂され、自系制御モード確立用タ
イマーの設定値（ＴＰ２）を経過すれば、再度復帰し、
再び、３重系運転となる（図８の（Ｂ）の右側を参
照）。

【００３９】以上の内容は、上述した本発明の実施例に
おいて示された様に、すなわち回転機の回転数信号ｎの
様に急変するプロセス量を演算処理し、この演算処理し
た信号を相互診断データとした場合のみならず、さらに
は、例えば上記ライン１７上の回転信号ｎをそのまま用
いて得られる信号を相互診断データとした場合でも、さ
らには、複数の相互診断部を設けた場合も同様である。
その場合の構成の具体例を添付の図９に例示する。

【００４０】さらに、本発明は、上述の実施例で示すよ
うな原子力プラントであるＢＷＲ型原子力発電所の原子
炉再循環流量制御装置に適用された３重系制御装置に限
定されるものではなく、その他一般の制御装置における
多重系縮退型制御装置に対しても同様に適用可能であ
る。かかる一例として、添付の図９には、原子炉給水制
御系の３重化システムに本発明を適用し、その際、相互
診断データとしてライン９１上の水位信号Ｌｗを使用し
た場合の構成を示す。また、この他の実施例として示さ
れたシステムは、原子炉への再循環給水流量を制御する
ため、いわゆるバルブ５１、５２、５３の開閉を制御す
るものである。

【００４１】

【発明の効果】以上に詳細に説明したように、本発明に
よれば、多重系制御装置において、サブシステム間での
相互異常診断機能を有しながらも、制御系全系のシステ
ムダウンを確実に回避することが可能で、かつ、柔軟な
多重化運転モードの可能な多重系制御装置を構築し、さ
らに、一層フォールトトレラントな多重系制御装置を提
供することが可能になる。本発明によれば、さらには、
制御系全系のシステムダウンを確実に防止することが可
能になることにより、被制御系としての装置の可動率の
向上、加えて、その制御性の向上にも著しい効果があ
る。

【図面の簡単な説明】

【図１】本発明のー実施例である再循環流量制御装置の
３重系制御システムの概略構成を示す図である。

【図２】本発明の他の実施例である再循環流量制御装置
の３重系制御システムの概略構成を示す図である。

【図３】上記３重系システムの運転モードを説明するた
めの図である。

【図４】上記３重系システムにおける運転モード移行動
作を説明するフロー図である。

【図５】上記図１の相互診断部の詳細構造を示す回路図
である。

【図６】上記図２に示した運転モード判定部と相互異常
診断部の詳細構造を示す回路図である。

【図７】上記相互異常診断部のより具体的な回路構造を
示す詳細回路図である。

【図８】上記３重系制御システムの動作を従来技術の動
作と比較して説明するためのタイムチャート図である。

【図９】本発明のさらに他の変形例を示す３重系制御シ
ステムの概略構成図である。

【図１０】本発明を、さらに他の制御装置に適用した場
合の実施例を示す、概略構成図である。

【符号の説明】

１原子炉２ＧＭセット３コントロールドライブ４ポンプモータ５ポンプ１０i〜k コントローラ１１i〜k ロジック部１２i〜k 相互異常診断部１４i〜k 切り離し回路１６操作端出力選択回路１７、１８ライン

Claims

(57)【特許請求の範囲】

【請求項１】共通の制御対象を複数のサブシステムに
より制御すると共に、上記各サブシステムは、制御量を
演算する制御演算部と、上記演算された制御量データを
他のサブシステムにより演算された制御量データと比較
することにより自系の異常を診断する相互異常診断部
と、上記相互異常診断部での診断の結果、異常であれば
自系を制御系から切り離す信号切替部とを備えた多重系
制御装置において、上記複数のサブシステム間には、運
転中の全サブシステム異常時での切り離しの優先順位が
予め定められており、運転中の全サブシステム異常時に
はこの運転中のサブシステムの中の優先順位の低いサブ
システムを切り離すものとしたことを特徴とする多重系
制御装置の相互異常診断処理方法。
【請求項２】上記各サブシステムの相互異常診断部か
らの異常診断信号の組合せに基づき、上記各サブシステ
ムを切り離す上記優先順位を予め定めたことを特徴とす
る請求項１記載の多重系制御装置の相互異常診断処理方
法。
【請求項３】共通の制御対象を複数のサブシステムに
より制御すると共に、上記各サブシステムは、制御量を
演算する制御演算部と、上記演算された制御量データを
他のサブシステムにより演算された制御量データと比較
することにより自系の異常を診断する相互異常診断部
と、異常の場合、自系を制御系から切り離す信号切替部
とを備えた多重系制御装置において、運転中の全サブシ
ステムの異常時に、上記各サブシステムの相互異常診断
部からの診断結果信号に基づいて、予め定められた、運
転中の全サブシステム異常時での切り離しの優先順位の
低いサブシステム切り離し指令を上記信号切替部に出力
する手段を、各サブシステム内に又は各サブシステムと
は独立に設けたことを特徴とする多重系制御装置。
【請求項４】上記各サブシステムの相互異常診断部か
らの異常診断信号の組合せに基づき、上記各サブシステ
ムを切り離す上記優先順位を予め定める手段を備えたこ
とを特徴とする請求項３の多重系制御装置。
【請求項５】上記優先順位とは、各サブシステムの異
常判定用の異常継続時間に差を設けてのものとし、各サ
ブシステムの切り離しは、自己の異常継続時間を経過し
たことをパラメータの１つとして行うものとした請求項
３又は４の多重系制御装置。
【請求項６】共通の制御対象を３重系サブシステムに
より制御すると共に、上記各サブシステムは、制御量を
演算する制御演算部と、上記演算された制御量データを
他のサブシステムにより演算された制御量データと比較
することにより自系の異常を診断する相互異常診断部
と、上記相互異常診断部での診断の結果、異常であれば
自系を制御系から切り離す信号切替部とを備えた多重系
制御装置において、運転中の全サブシステムの異常の場
合にその切り離しの優先順位の低いサブシステムを切り
離すように構成しておき、３重系サブシステムのすべて
が正常の状態で３重系制御、一系サブシステムの異常に
よる一系切り離した状態のもと、又は三系すべてが異常
での低い優先順位のサブシステムを切り離した状態のも
とでは残りの二系の待機冗長２重系制御、二系サブシス
テムの異常による二系切り離した状態のもと、又は二系
運転下でこの二系すべてが異常での低い優先順位のサブ
システムの切離した状態のもとでは残りの一系によるシ
ングル系制御を行い、切り離されているサブシステムの
異常解消した場合そのサブシステムを制御用に自動復帰
せしめるようにした多重系制御装置。
【請求項７】３重系サブシステムは、非同期で動作す
るものとし、３重系制御にあっては３重系のサブシステ
ムの各出力から選択処理された信号を制御対象に出力す
るものとし、３重系制御下及び２重系制御下での各サブ
システムの異常か否かは、先ず自己サブシステム出力が
異常との前提のもとに正常他系サブシステム出力を自己
入力とした合わせ込みを行って得た時の自己出力が異常
か否かで判断するものとした請求項６の多重系制御装
置。
【請求項８】制御対象と複数のサブシステムとの間
に、信号出力手段を設け、該手段は、切り離しがされな
いサブシステムに応じて制御対象へのサブシステムから
の出力を決定出力するものとした請求項１又は６の多重
系制御装置。