JP3175465B2 - 二重化制御装置の切替え方法及びその二重化制御装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、二重化された制御装置
の二重化切替え時の切替え方法及びその二重化制御装置
に関する。

【０００２】

【従来の技術】制御装置の信頼性・稼働率の向上のた
め、特に重要な制御システムに対して、制御装置の二重
化が行われている。図４は、制御装置が二重化された二
重化制御装置の機能ブロック図を示す。図４において、
2個の制御装置1A,1B は、一方が稼働系（図示例では制
御装置1A）として動作し、他方が待機系（制御装置1B）
として動作し、制御装置1A(1B)は、制御部2A(2B)と、制
御装置間伝送を行う伝送部3A(3B)と、制御装置−入出力
装置間伝送を行う伝送部4A(4B)と、の機能ブロックから
構成される。稼働系と待機系の制御装置1A−1B間は、伝
送部3A、3Bを介して制御装置間伝送路８により、常時、
データの等値化が行われている。

【０００３】入出力装置15は、制御装置−入出力装置間
伝送を行う2個の伝送部16A,16B と、複数のI/O 部7A〜7
Nとから構成され、図示例では1個の入出力装置15が示さ
れているが、必要に応じて複数の入出力装置15が上記制
御装置−入出力装置間をI/O 伝送路9a,9b によってマル
チドロップ接続される。上記構成において、稼働系制御
装置1Aに異常が発生すると、制御装置間伝送路８を介し
て稼働系制御装置1Aを監視していた待機系制御装置1Bが
二重化制御装置の制御権を獲得し、また、入出力装置15
の伝送部16A もI/O 伝送路9aを介して稼働系制御装置1A
を監視しており、稼働系制御装置1Aの異常を検出するこ
とにより、入出力装置15のI/O 部7A〜7Nの制御権を放棄
する。入出力装置15の伝送部16Aが制御権を放棄したこ
とを受けて、入出力装置15の伝送部16B は、今まで待機
系であった新稼働系制御装置1Bからのデータを受信しI/
O 部7A〜7Nを介して外部に出力したり、或いは外部から
入力されたデータをI/O 部7A〜7Nを介して新稼働系制御
装置1Bに送信を開始する。

【０００４】

【発明が解決しようとする課題】この様な二重化制御装
置において、一方の制御装置が異常となった場合、他方
の制御装置及び異常となった制御装置に接続された入出
力装置の伝送部は、どのくらいの時間、異常となった制
御装置を監視していればよいのか、その時間設定をする
ことが難しい。また、制御装置が異常となった場合、制
御権の移動ルートが、他方の制御装置側から発するとき
と、異常となった制御装置に接続された入出力装置の伝
送部側から発するときと、の２系統があり、このロジッ
ク構成が複雑になる。

【０００５】本発明は上記の点にかんがみてなされたも
のであり、その目的は前記した課題を解決して、二重化
切替え要因の時間的要素を最小限に抑え、簡素化された
ロジックで、信頼性の高い二重化制御装置の切替え方法
及びその二重化制御装置を提供することにある。

【０００６】

【課題を解決するための手段】上記目的を達成するため
に、第１の発明においては、制御装置間伝送路によって
接続された２個の制御装置と、これらの制御装置にそれ
ぞれI/O 伝送路によって接続されてデータ伝送を行う２
個の伝送部及びこれらの伝送部に切換接続される複数の
I/O 部とを備えてなる１または複数の入出力装置と、を
有し、 一方の制御装置を稼働系として動作させ、他方
の制御装置を待機系として動作させ、稼働系と待機系の
制御装置間は、前記制御装置間伝送路を介したデータ伝
送により、常時データの等値化が行われてなる、二重化
制御装置の切替え方法において、制御装置の制御動作を
稼働系制御装置から待機系制御装置に切り替えるとき、
待機系制御装置は、稼働系制御装置から前記二重化制御
装置の制御権を獲得し、入出力装置の待機系側伝送部に
前記二重化制御装置の制御権が移動したことを通知し、
待機系側伝送部は、入出力装置の稼働系側伝送部に二重
化制御装置の制御権が移動したことを通知し、稼働系側
伝送部が制御していた複数のI/O部の制御権を放棄する
ことによりこの複数のI/O 部の制御権を獲得し、このI/
O部の制御権を獲得したことを前記待機系制御装置に通
知し、待機系制御装置は、この通知により自身に保有し
ていた入出力データのリフレッシュを行うものとする。

【０００７】また、第２の発明においては、制御装置間
伝送路によって接続された２個の制御装置と、これらの
制御装置にそれぞれI/O 伝送路によって接続されてデー
タ伝送を行う２個の伝送部及びこれらの伝送部に切換接
続される複数のI/O 部を備えてなる１または複数の入出
力装置と、を有し、一方の制御装置を稼働系として動作
させ、他方の制御装置を待機系として動作させ、稼働系
と待機系の制御装置間は、前記制御装置間伝送路を介し
たデータ伝送により、常時データの等値化が行われてな
る、二重化制御装置において、待機系制御装置は、稼働
系制御装置から二重化制御装置の制御権を獲得する獲得
手段と、入出力装置の待機系側伝送部に二重化制御装置
の制御権が移動したことを通知する第１通知手段と、待
機系伝送部からI/O 部の制御権を獲得したことの通知を
受けることにより、待機系制御装置内部に保有していた
入出力データのリフレッシュを行うリフレッシュ手段
と、を備え、待機系側伝送部は、待機系側伝送部から前
記入出力装置の稼働系側伝送部に二重化制御装置の制御
権が移動したことを通知する第２通知手段と、稼働系側
伝送部が制御していた複数のI/O 部の制御権を放棄する
ことにより、この複数のI/O部の制御権を獲得する獲得
手段と、このI/O 部の制御権を獲得したことを待機系制
御装置に通知する第３通知手段と、を備えるものとす
る。

【０００８】

【作用】上記構成により、本発明においては、制御装置
の制御動作を切り替えるとき、待機系制御装置は、稼働
系制御装置から二重化制御装置の制御権を獲得し、入出
力装置の待機系側伝送部に二重化制御装置の制御権が移
動したことを第１の通知で行い、待機系側伝送部は、こ
の第１の通知を受け入出力装置の稼働系側伝送部に二重
化制御装置の制御権が移動したことを第２の通知で行
い、稼働系側伝送部は、この第２の通知を受けるか或い
は稼働系制御装置を監視して稼働系制御装置の異常を検
知して、自身が制御していた複数のI/O 部の制御権を放
棄し、この制御権放棄により待機系側伝送部は、この複
数のI/O 部の制御権を獲得し、I/O 部の制御権を獲得し
たことを待機系制御装置に第３の通知で行い、待機系制
御装置は、この第３の通知により自身に保有していた入
出力データのリフレッシュを行い、新ルートで複数のI/
O 部との伝送が開始され、二重化制御装置の切替えが完
了する。

【０００９】即ち、入出力装置の稼働系側伝送部は、稼
働系制御装置を監視することによって入出力装置の待機
系側伝送部に二重化制御装置の制御権移動を通知し、稼
働系側伝送部の複数のI/O 部の制御権を放棄するという
ことではなく、待機系制御装置に二重化制御装置の制御
権が移動したことを、待機系側伝送部から通知を受けI/
O 部の制御権を放棄するものである。従って、二重化制
御装置の切替えルートが１本化できる。

【００１０】

【実施例】図１は本発明による一実施例の二重化制御装
置の切替え方法を説明する機能ブロック図、図２は稼働
系・待機系制御装置の切替え処理内容を示すフローチャ
ート、図３は入出力装置の処理内容を示すフローチャー
トであり、図４に対応する同一機能部材には同じ符号が
付してある。

【００１１】図１において、２個の制御装置1A,1B は、
一方が稼働系（制御装置1A）として動作し、他方が待機
系（制御装置1B）として動作し、制御装置1A(1B)は、制
御部2A(2B)と、制御装置間伝送を行う伝送部3A(3B)と、
制御装置−入出力装置間伝送を行う伝送部4A(4B)と、の
機能ブロックから構成される。稼働系と待機系の制御装
置1A−1B間は、伝送部3A、3Bを介して制御装置間伝送路
８により、常時、データの等値化が行われている。

【００１２】入出力装置５は、制御装置−入出力装置間
伝送を行う２個の伝送部6A,6B と、制御権切替え回路6C
と、複数のI/O 部7A〜7Nとから構成され、図示例では制
御装置1Aが稼働系を構成しているので、この制御権切替
え回路6Cは伝送部6A側に切替えられている。なお、図１
では１個の入出力装置５が示されているが、必要に応じ
て複数の入出力装置５が上記制御装置−入出力装置間を
I/O 伝送路9a,9b によってマルチドロップ接続される。
また、入出力装置の制御権切替回路6Cは接点回路で図示
してあるが、ゲート回路などの論理回路で構成できる。

【００１３】上記構成において、稼働系制御装置1Aに異
常が発生すると、制御装置間伝送路８を介して稼働系制
御装置1Aを監視していた待機系制御装置1Bは、二重化制
御装置の制御権を獲得し、入出力装置５の待機系側伝送
部6Bに二重化制御装置の制御権が移動したことを第１の
通知で通知する。待機系側伝送部6Bは、入出力装置５の
稼働系側伝送部6Aに二重化制御装置の制御権が移動した
ことを第２の通知で通知し、稼働系側伝送部6Aが制御し
ていた複数のI/O 部（7A〜7N) の制御権を放棄すること
によりこの複数のI/O 部（7A〜7N) の制御権を獲得し、
このI/O 部（7A〜7N) の制御権を獲得したことを待機系
制御装置1Bに第３の通知を行う。

【００１４】待機系制御装置1Bは、この第３の通知を受
け取ることにより、自身に保有していた入出力データの
リフレッシュを行い、新稼働系となった旧待機系制御装
置1Bによって制御演算が継続される。図２、図３は上述
の二重化制御装置の切替え方法を説明するフローチャー
トである。図２において、制御装置1A,1B はステップS1
で自己の制御装置が稼働系か待機系かを判断する。待機
Noでこの制御装置は稼働系であることを知り、以下ステ
ップS2〜S8の処理を行う。ステップS1で待機Yes でこの
制御装置は待機系であることを知り、以下ステップS9〜
S16 の処理を行う。

【００１５】まず、稼働系の制御装置（切替え直前の状
態で、稼働系制御装置を1Aとし、待機系制御装置を1Bと
する）から説明する。ステップS2で自己診断を行う。こ
こで、制御装置が自己の内部異常を検知する手段は、制
御装置1A(1B)内の制御部2A(2B)、制御装置間伝送部イン
タフェース3A(3B)あるいは制御装置−入出力装置間伝送
部インタフェース4A(4B)のハードウエアの自己診断につ
いては、立上げ時はパリティチェック、ウオッチドッグ
タイマチェック、メモリサムチェックあるいはリードラ
イトチェックなどの所謂、ＲＡＳ機能でチェックされ、
またプログラム処理ステップではパリティチェックなど
でチェックされ、また、制御装置内の制御部、制御装置
間伝送部インタフェースあるいは制御装置−入出力装置
間伝送部インタフェースの相互間の異常チェックは、こ
れらの機能部間のデータが一定周期で交信されているの
で、一定期間内に、監視対象部からのアクセスがないこ
とをもって、異常とする。

【００１６】自己診断結果としてステップS3で異常？No
で、稼働系制御装置1Aは自己が正常であると判断して、
ステップS4で制御装置としての所要の制御演算動作を行
い、ステップS5でステップS4で得られた制御演算データ
を制御装置間伝送路８を介して待機系制御装置1Bに伝送
し、また逆に待機系制御装置1Bから待機系制御装置1Bが
正常であるか否かの情報の返信を受け、両制御装置間の
データの等値化伝送処理を行い、ステップS6でI/O 部
（7A〜7N）のリフレッシュ伝送を行い、通常の制御演算
動作を行う。ステップS6の処理された後は、再びステッ
プS1に戻り、同様な処理が繰り返される。

【００１７】次に、自己診断結果としてステップS3で異
常？Yes のときは、ステップS7に移行し、入出力装置５
の稼働系側伝送部6Aに対して稼働から待機への切替え指
令を発し、ステップS8で自身の制御装置1Aを稼働から待
機へ切替え、旧待機系制御装置1Bに二重化制御装置の制
御権を渡し、再びステップS1に戻る。次に、ステップS1
で待機Yes の場合は、この制御装置は自分が待機系であ
ることを知り、以下ステップS9〜S16 の処理を行う。以
下、待機系の制御装置（待機系制御装置を1Bとする）を
説明する。待機系制御装置1Bは、ステップS9で自己診断
を行い、この自己診断方法はステップS2で述べたものと
同じである。自己診断結果としてステップS10 で異常？
Noで、待機系制御装置は自己が正常と判断して、以下の
待機状態としての制御動作を行う。即ち、ステップS11
で稼働系制御装置1Aからの制御演算データを受け、デー
タの等値化伝送処理を行い、ステップ S12、S13 で稼働
系制御装置1Aとの制御装置間伝送の異常の有無や稼働系
制御装置1Aからの異常の通知の有無の診断・監視を行
う。ここでは、伝送部インタフェースの相互間のデータ
が一定周期で交信されているので、一定期間内に、監視
対象部からのアクセスがないことをもって、異常とし、
異常処理を行うものである。ステップS13 で異常？No
で、稼働系制御装置1Aは正常であることが確認され、待
機系制御装置1Bは待機状態を持続し、再びステップS1に
戻る。

【００１８】ステップS13 で異常？Yes で待機系制御装
置1Bは稼働系制御装置1Aの異常を知り、ステップS14 で
入出力装置５の伝送部6Bに対して稼働切替指令を発す
る。そして待機系制御装置1Bは、ステップS15 で待機系
から稼働系へと切替り、再びステップS1に戻る。また、
ステップS10 の自己診断異常？Yes のときは、待機系制
御装置1Bの異常を意味し、この状態は待機系としての本
来の役割を果たすことができないので、ステップS16 で
オペレータに異常を通報し、適切な異常処理を行う。

【００１９】次に、図３において、入出力装置５の伝送
部6A、6Bの処理を説明する。図１に示されるように、制
御装置1A(1B)に対応して、入出力装置５の伝送部6A(6B)
があり、制御権切替回路6Cにより、稼働側の伝送部が選
択される。上述のように、制御装置1Aを稼働系とすれ
ば、入出力装置５の伝送部6Aも稼働系となり、伝送部6A
が選択される。入出力装置５の伝送部6A(6B)はステップ
S21 で自己の伝送部が稼働系か待機系かを判断する。待
機？Noでこの伝送部6Aは稼働系であることを知り、以下
ステップS22 〜S28 の処理を行う。ステップS21 で待機
？Yes でこの伝送部6Bは待機系であることを知り、以下
ステップ S29〜S37 の処理を行う。

【００２０】図３において、ステップS22 で、ステップ
S2で述べた制御装置の自己診断と同様な自己診断を行
い、ステップS23 で異常？Noで、稼働系伝送部6Aは正常
であると判断して、以下の正常なる入出力装置としての
動作を行う。即ちステップS24で稼働系制御装置1Aとの
伝送関係の診断を行い、ステップS25 で異常？Noで、伝
送路9aを含めて稼働系制御装置1Aが正常と判断する。

【００２１】次に、ステップS26 で、稼働系制御装置1A
或いは待機系側伝送部6Bからの待機切替指令の有無を確
認する。待機切替指令確認が有り？Noのときは、稼働系
の伝送部6Aは待機系に切替ることなく、そのままの稼働
系の状態を持続し、次のステップS27 に移行して、I/O
部（7A〜7N）とのリフレッシュ（データ伝送）を行い、
二重化制御装置としての正常な制御演算動作を継続し、
再びステップ S21に戻り、同じ処理が繰り返される。

【００２２】ステップS23 で自己診断異常？Yes 、又
は、ステップS25 で制御装置診断異常？Yes 、或いは、
ステップS26 で制御装置又は相手伝送部からの待機切替
指令ありYes の場合は、ステップS28 に移行して、稼働
側の権利を放棄して、再びステップ S21に戻る。ステッ
プS21 で待機？Yes のときは、自分が待機系であること
を知り、以下ステップS29 〜S37 の処理を行う。待機系
の伝送部6Bは、ステップS29 で、既にステップS22 で述
べた診断と同様な自己診断を行い、自己診断結果として
ステップS30 で異常？Noで、待機系伝送部6Bは自己が正
常であると判断して、以下の待機動作を行う。まず、ス
テップS31 で待機系制御装置1Bとの伝送関係の診断を行
い、ステップS32 で異常？Noで、伝送路9bを含めて待機
系制御装置1Bが正常であると判断する。次にステップ S
33で、待機系制御装置1Bからの稼働切替指令ありか否か
を調べ、Noの場合は、ステップ S34で、相手伝送部6Aか
らの稼働権放棄指令ありか否かを調べ、Noの場合は、そ
のまま待機状態を持続し、再びステップ S21に戻り、同
じ処理が繰り返される。

【００２３】ステップS34 で相手伝送部6Aからの稼働権
放棄指令ありYes の場合は、ステップS35 に移行して、
待機系制御装置1Bは新稼働系制御装置1Bとして稼働側に
切替り、再びステップ S21に戻り。また、ステップS33
で制御装置1Bからの稼働切替指令ありYes の場合は、ス
テップS36 に移行して、相手伝送部6AにI/O 部の稼働側
の権利放棄を要求して、再びステップ S21に戻り、同じ
処理が繰り返される。

【００２４】また、ステップS32 で制御装置1B診断異常
？Yes のときは伝送路9bを含めた待機系制御装置1Bの異
常を意味し、いずれの場合も、待機系制御装置1Bから待
機系伝送部6Bのいずれかに異常が存在することを意味
し、待機系への切替え不能を意味する。従って、ステッ
プS37 でオペレータに異常を通報し、適切な異常処理を
行う。

【００２５】

【発明の効果】以上述べたように本発明によれば、二重
化制御装置の切替えルートが１本化できるので、二重化
切替え要因の時間的要素を最小限に抑え、簡素化された
ロジックで、信頼性の高い二重化制御装置の切替え方法
およびその二重化制御装置を提供することができる。

【図面の簡単な説明】

【図１】本発明による一実施例の二重化制御装置の機能
ブロック図

【図２】稼働系・待機系制御装置の切替え処理内容を示
すフローチャート

【図３】入出力装置の処理内容を示すフローチャート

【図４】従来技術における二重化制御装置の機能ブロッ
ク図

【符号の説明】

1A,1B 制御装置 2A,2B 制御部 3A,3B 伝送部 4A,4B 、6A,6B 、16A,16B 伝送部 ５、15 入出力装置 6C 制御権切替回路 7A〜7N I/O 部 ８ 制御装置間伝送路 9a,9b I/O 伝送路 S1〜S37 プログラムステップ

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/16 - 11/20 G06F 15/16 - 15/177

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】制御装置間伝送路によって接続された２個
   の制御装置と、 これらの制御装置にそれぞれI/O 伝送路によって接続さ
   れてデータ伝送を行う２個の伝送部及びこれらの伝送部
   に切換接続される複数のI/O 部とを備えてなる１または
   複数の入出力装置と、を有し、 一方の制御装置を稼働系として動作させ、他方の制御装
   置を待機系として動作させ、稼働系と待機系の制御装置
   間は、前記制御装置間伝送路を介したデータ伝送によ
   り、常時データの等値化が行われてなる、二重化制御装
   置の切替え方法において、 制御装置の制御動作を稼働系制御装置から待機系制御装
   置に切り替えるとき、前記待機系制御装置は、前記稼働
   系制御装置から前記二重化制御装置の制御権を獲得し、
   前記入出力装置の待機系側伝送部に前記二重化制御装置
   の制御権が移動したことを通知し、 前記待機系側伝送部は、前記入出力装置の稼働系側伝送
   部に前記二重化制御装置の制御権が移動したことを通知
   し、稼働系側伝送部が制御していた複数のI/O部の制御
   権を放棄することによりこの複数のI/O 部の制御権を獲
   得し、このI/O部の制御権を獲得したことを前記待機系
   制御装置に通知し、 前記待機系制御装置は、この通知により自身に保有して
   いた入出力データのリフレッシュを行う、 ことを特徴とする二重化制御装置の切替え方法。
2. 【請求項２】制御装置間伝送路によって接続された２個
   の制御装置と、 これらの制御装置にそれぞれI/O 伝送路によって接続さ
   れてデータ伝送を行う２個の伝送部及びこれらの伝送部
   に切換接続される複数のI/O 部を備えてなる１または複
   数の入出力装置と、を有し、 一方の制御装置を稼働系として動作させ、他方の制御装
   置を待機系として動作させ、稼働系と待機系の制御装置
   間は、前記制御装置間伝送路を介したデータ伝送によ
   り、常時データの等値化が行われてなる、二重化制御装
   置において、 前記待機系制御装置は、 前記稼働系制御装置から前記二重化制御装置の制御権を
   獲得する獲得手段と、 前記入出力装置の待機系側伝送部に前記二重化制御装置
   の制御権が移動したことを通知する第１通知手段と、 前記待機系伝送部からI/O 部の制御権を獲得したことの
   通知を受けることにより、前記待機系制御装置内部に保
   有していた入出力データのリフレッシュを行うリフレッ
   シュ手段と、を備え、 前記待機系側伝送部は、 前記待機系側伝送部から前記入出力装置の稼働系側伝送
   部に前記二重化制御装置の制御権が移動したことを通知
   する第２通知手段と、 稼働系側伝送部が制御していた複数のI/O 部の制御権を
   放棄することにより、この複数のI/O 部の制御権を獲得
   する獲得手段と、 このI/O 部の前記制御権を獲得したことを前記待機系制
   御装置に通知する第３通知手段と、を備える、 ことを特徴とする二重化制御装置。