JP4193140B2 - 二重化情報処理システム - Google Patents

Description

本発明は、２系統の情報処理装置を備え、稼動側となる情報処理装置を切り替え可能とした二重化情報処理システムに関する。

プラントに配置されたフィールド機器を管理、制御するプラント制御システムが知られている。また、このようなプラントでは、プラントの安全を図るための安全システムが導入される。安全システムは、フィールド機器に異常が認められた場合に、警報を通知するとともに必要な措置を実行するシステムであり、プラント制御システムの一部として、あるいは、プラント制御システムとは独立して設けられる。

特開２０００−３４７７０６号公報

安全システムには、その意図する機能から極めて高度の信頼性を要求される。このため、２系統のモジュールを用意し、稼動側となるモジュールを切り替え可能とした二重化システムが構築される場合がある。この場合、稼動中のモジュールに異常が発生した場合、待機側のモジュールを速やかに稼動状態に切り替えることが望まれる。

本発明の目的は、稼動側となる情報処理装置を即時に切り替えることができる二重化情報処理システムを提供することにある。

本発明の二重化情報処理システムは、２系統の情報処理装置を備え、この２系統の情報処理装置間で稼動側となる情報処理装置を切り替え可能とした二重化情報処理システムにおいて、前記２系統の情報処理装置は、それぞれの情報処理装置においてそれぞれ処理すべきデータに対して同一処理を実行するマスター装置およびスレーブ装置を備え、前記スレーブ装置は、前記２系統の情報処理装置間における稼動側装置の切り替えを指示する切り替え信号を前記マスター装置に向けて出力する信号出力手段を具備し、前記マスター装置は、前記信号出力手段により出力された前記切り替え信号の検出をトリガとして、前記２系統の情報処理装置間において相手方の情報処理装置と稼動側装置を切り替えるための処理を、割り込み処理により実行する割り込み処理実行手段を具備することを特徴とする。
この二重化情報処理システムによれば、マスター装置は、信号出力手段により出力された切り替え信号の検出をトリガとして、２系統の情報処理装置間において相手方の情報処理装置と稼動側装置を切り替えるための処理を、割り込み処理により実行するので、稼動側となる情報処理装置を即時に切り替えることができる。

前記スレーブ装置は、複数の信号に基づいて前記切り替え信号を生成する信号生成手段を具備し、前記信号出力手段は、前記信号生成手段により生成された前記切り替え信号を前記マスター装置に向けて出力してもよい。
この場合には、信号生成手段は複数の信号に基づいて、要約信号としての切り替え信号を生成するので、要約信号のみをマスター装置に向けて出力すればよい。

前記割り込み処理実行手段は、エッジ検出により前記切り替え信号を検出してもよい。

前記マスター装置および前記スレーブ装置は、互いに絶縁されて実装されてもよい。

本発明によれば、マスター装置は、信号出力手段により出力された切り替え信号の検出をトリガとして、相手方の情報処理装置と稼動側装置を切り替えるための処理を、割り込み処理により実行するので、稼動側となる情報処理装置を即時に切り替えることができる。

図１は本発明の二重化情報処理システムの構成を機能的に示すブロック図である。

図１において、情報処理装置１０１は、同一処理を実行するマスター装置１０２およびスレーブ装置１０３を備える。スレーブ装置１０３は、稼動側装置の切り替えを指示する切り替え信号をマスター装置１０２に向けて出力する信号出力手段１０４を具備する。

マスター装置１０２は、信号出力手段１０４により出力された切り替え信号の検出をトリガとして、相手方の情報処理装置１０５と稼動側装置を切り替えるための処理を、割り込み処理により実行する割り込み処理実行手段１０６を具備する。

スレーブ装置１０３は、複数の信号に基づいて切り替え信号を生成する信号生成手段１０７を具備し、信号出力手段１０４は、信号生成手段１０７により生成された切り替え信号をマスター装置１０２に向けて出力する。

以下、図２〜図４を参照して、本発明による二重化情報処理システムの一実施形態について説明する。

図２は本実施形態の二重化情報処理システムが適用される安全システムの構成を示すブロック図である。この安全システムはプラント制御システムの一部として構成されている。

図２に示すように、プラント制御システムは、プラント各部に配置された電磁弁やセンサ等のフィールド機器を統合的に管理、制御するコントローラ２と、コントローラ２およびフィールド機器の間に介装される入出力装置３，３，・・・と、を備える。入出力装置３，３，・・・は、ネットワーク４を介してコントローラ２に接続されている。

図２に示すように、入出力装置３にはフィールド機器１とコントローラ２との間のインターフェース処理を実行する入出力モジュール３１，３２等が実装される。

本実施形態では、入出力モジュール３１，３２は同一構成であり、２つのモジュールにより二重化装置を構成している。通常時には入出力モジュール３１が稼動側、入出力モジュール３２が待機側となる。しかし、入出力モジュール３１を使用した動作に異常が発生した場合、入出力モジュール３２が稼動側に切り替えられる。

図３は二重化装置の構成を示すブロック図である。

図３に示す二重化装置は、入力部５を経由したフィールド機器１側からの情報を受け取り、コントローラ２側である上位システムで使用可能なデータに変換する装置である。入力部５からは同一の情報が入出力モジュール３１および入出力モジュール３２に入力される。しかし、稼動側のモジュールのみが、上位システムに向けて変換後のデータを出力し、待機側のモジュールはデータを出力しない。

図３に示すように、入出力モジュール３１は上記データの変換のための同一処理を実行するマスターＣＰＵ１０と、スレーブＣＰＵ２０とを備える。マスターＣＰＵ１０およびスレーブＣＰＵ２０は、非同期通信（ＵＡＲＴ）を用いたＣＰＵ間通信を実行し、互いの処理を同期化する。また、処理により生成されたデータを交換し合い、自らのデータと、他のＣＰＵから受け取ったデータとを照合し、データが不一致の場合には異常と判断することで、処理の信頼性を向上させている。

入出力モジュール３２は上記データの変換のための同一処理を実行するマスターＣＰＵ１０Ａと、スレーブＣＰＵ２０Ａとを備える。マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａは、非同期通信（ＵＡＲＴ）を用いたＣＰＵ間通信を実行し、互いの処理を同期化する。また、処理により生成されたデータを交換し合い、自らのデータと、他のＣＰＵから受け取ったデータとを照合し、データが不一致の場合には異常と判断することで、処理の信頼性を向上させている。

図３に示すように、入出力モジュール３１のマスターＣＰＵ１０と、入出力モジュール３２のマスターＣＰＵ１０Ａとは、互いに通信し合い、二重化制御信号をやり取りする。二重化制御信号は、入出力モジュール３１および入出力モジュール３２のうちのどちらが稼動側となっているかを定義する信号である。二重化制御信号をマスターＣＰＵ１０およびマスターＣＰＵ１０Ａ間でやり取りすることで、稼動側のモジュールについての同一認識を、入出力モジュール３１，３２間で共有している。また、二重化制御信号をマスターＣＰＵ１０およびマスターＣＰＵ１０Ａ間で送受信することにより、稼動側のモジュールの切り替えを実行することができる。

図４は入出力モジュール３１における処理を示すブロック図である。

図４に示すように、入出力モジュール３１は、上位システム側（コントローラ２側）と、フィールド機器１側との絶縁境界Ｌにまたがって構成されている。上位システム側にはマスターＣＰＵ１０が設けられたマスター装置が、フィールド機器１側にはスレーブＣＰＵ２０が設けられたスレーブ装置が、それぞれ実装される。

マスターＣＰＵ１０は、後述する切り替え信号をエッジ検出するエッジ検出部１１と、上記データの変換のための処理や、上記データ照合のための処理を実行する処理部１２と、スレーブＣＰＵ２０との間で通信を実行する通信部１４と、を備える。

また、マスターＣＰＵ１０が実装された上位システム側のマスター装置には、上位システム側の診断情報が入力される診断部１５と、切り替え信号のＯＲ信号を出力するＯＲ判定部１６とが設けられている。

スレーブＣＰＵ２０は、フィールド機器１側の診断情報が入力される診断部２５と、上記データの変換のための処理や、上記データ照合のための処理を実行する処理部２２と、マスターＣＰＵ１０との間で通信を実行する通信部２４と、を備える。

次に、入出力モジュール３１の動作について説明する。

マスターＣＰＵ１０の処理部１２およびスレーブＣＰＵ２０の処理部２２では、それぞれ、入力部５からの情報を受けて、その情報を上位システムで使用可能なデータに変換する処理を実行する。入出力モジュール３１が稼動側の場合、処理部１２において作成されたデータは、上位通信によって上位システムに向けて出力される。

また、通信部１４および通信部２４によるＣＰＵ間通信を介して、それぞれの処理により生成されたデータを交換し、処理部１２および処理部２４において両者のデータを照合する。処理部１２または処理部２４の照合で両者のデータが一致しない場合には処理の異常と判定し、ＣＰＵ間通信により異常であることの認識を共有化する。また、処理部１２は、上位通信を介して処理の異常を上位システムに通知する。また、処理部１２は入出力モジュール３２との間で二重化制御信号をやり取りすることで、入出力モジュール３２を稼動側に設定する。

さらに、マスターＣＰＵ１０およびスレーブＣＰＵ２０は、通信部１４および通信部２４によるＣＰＵ間通信を介して、同期をとるための同期化信号をやり取りする。同期化信号は、所定の処理フェーズごとに実行され、両ＣＰＵ間で同一処理フレーズを同時に実行するようにしている。同期化信号のやり取りと、対応する処理フェーズの実行とが交互に繰り返される。上記データの交換や、異常の認識の共有化のためのＣＰＵ間通信は、この処理フェーズにおける処理の一部として実行される。したがって、同期化信号のやり取りと、ＣＰＵ間における各種データのやり取りとが、ＣＰＵ間通信を用いて所定の周期で交互に実行されることになる。

診断部１５には上位システム側の診断情報が入力される。診断情報は稼動するモジュールの切り替えの必要性を判断するための各種情報である。診断情報には、マスターＣＰＵ１０の周辺回路の診断情報が含まれる。診断部１５は、入力された診断情報に基づき、モジュールの切り替えの必要性の有無を示す信号である切り替え信号を生成する。切り替え信号はＯＲ判定部１６に与えられる。

診断部２５にはフィールド機器１側の複数の診断情報が入力される。診断部１５に入力される診断情報と同様、この診断情報は稼動するモジュールの切り替えの必要性を判断するための各種情報である。診断情報には、スレーブＣＰＵ２０の周辺回路の診断情報が含まれる。診断部２５は、入力された診断情報に基づき、モジュールの切り替えの必要性の有無を示す信号である切り替え信号を生成する。切り替え信号はスレーブＣＰＵ２０のポートから出力され、フォトカプラ２７を介して信号線２８により上位システム側に出力される。この切り替え信号はＯＲ判定部１６に与えられる。

診断部１５および診断部２５から出力された切り替え信号は、ＯＲ判定部１６によりＯＲ信号に変換され、マスターＣＰＵ１０のエッジ検出部１１に与えられる。ＯＲ判定部１６では、診断部１５または診断部２５から出力された切り替え信号のうちのいずれかが切り替えの必要性を示す場合に、切り替えの必要性を示す切り替え信号を出力する。すなわち、出力信号がオンとなる。

エッジ検出部１１では、ＯＲ判定部１６の出力信号がオンする立ち上がりをエッジ検出により検出する。エッジ検出部１１で信号の立ち上がりが検出されると、マスターＣＰＵ１０は割り込み処理に移行する。

割り込み処理では、二重化制御信号をスレーブＣＰＵ２０との間でやり取りすることで、モジュールの切り替えを即時に実行する。

このように、本実施形態では、信号線２８を設けることで、切り替え信号をスレーブＣＰＵ２０からマスターＣＰＵ１０に伝達している。そのため、スレーブＣＰＵ２０においてモジュールの切り替えが必要と判断した場合、すなわち、診断部２５から切り替え信号が出力された場合に、切り替え信号の立ち上がりをマスターＣＰＵ１０のエッジ検出部１１で即時に検出することができる。そして、エッジ検出部１１における信号の立ち上がりの検出をトリガとして、割り込み処理に移行し、割り込み処理においてモジュールの切り替え処理を実行する。このため、フィールド機器１側でモジュール切り替えが必要な異常を検出した場合に、ＣＰＵ間通信を用いるまでもなく、即時にモジュールの切り替えを実行することができる。

なお、診断部２５において生成された切り替え信号を含む情報は処理部２２に与えられ、必要な情報に加工される。加工された情報は、ＣＰＵ間通信を介してマスターＣＰＵ１０に転送され、上位システムに通知される。したがって、モジュールの即時切り替えが実行された後、上位システムには異常の原因等を知らせる、より詳細な情報が提供される。

以上のように、本実施形態ではスレーブＣＰＵ２０側でモジュール切り替えが必要となる異常等を検出した場合であっても、マスターＣＰＵ１０側で異常を検出した場合と同様、遅延なく即時にモジュールの切り替えを実行できる。また、エッジ検出はマスターＣＰＵ１０に備わった機能として実現できるため、回路を追加する必要はない。

また、ＣＰＵ間が絶縁されている場合でも、スレーブＣＰＵ２０とマスターＣＰＵ１０とを接続する信号線２８は切り替え信号を伝達できれば足りるので、実装上の困難はない。例えば、仮に、上位システム側（マスターＣＰＵ１０側）で診断情報を取得し、上位システムの側で切り替え信号を生成する場合には、診断情報を転送するための信号線が必要となる。しかし、通常、診断情報は多数の情報からなり、これらのすべての情報を転送するための信号線を、絶縁境界Ｌを越えて伝達することは、実装上、困難であり、コストアップにもなる。これに対し、本実施形態では多数の診断情報を診断部２５で受けるとともに、診断部２５においてモジュールの切り替えの必要性を判断して、マスターＣＰＵ１０にとって実質的に必要な切り替え信号に要約し、これを出力している。切り替え信号は、例えば２値の信号でもよいため、信号線２８を設けることは容易である。

なお、上記実施形態では、１つのマスターＣＰＵと１つのスレーブＣＰＵを用いた例を示したが、１つのマスターＣＰＵに対し、２つ以上のスレーブＣＰＵを用いることもできる。この場合には、マスターＣＰＵと各スレーブＣＰＵとの関係を、上記実施形態と同様に構成すればよい。

本発明の適用範囲は上記実施形態に限定されることはない。本発明は、安全システムのみならず、各種情報を取り扱う情報処理システムに対し、広く適用することができる。

本発明の二重化情報処理システムの構成を機能的に示すブロック図。 本実施形態の二重化情報処理システムが適用される安全システムの構成を示すブロック図。 二重化装置の構成を示すブロック図。 入出力モジュールにおける処理を示すブロック図。

符号の説明

１０１ 情報処理装置
１０２ マスター装置
１０３ スレーブ装置
１０４ 信号出力手段
１０５ 情報処理装置
１０６ 割り込み処理実行手段
１０７ 信号生成手段

Claims (4)

1. ２系統の情報処理装置を備え、この２系統の情報処理装置間で稼動側となる情報処理装置を切り替え可能とした二重化情報処理システムにおいて、
   前記２系統の情報処理装置は、それぞれの情報処理装置においてそれぞれ処理すべきデータに対して同一処理を実行するマスター装置およびスレーブ装置を備え、
   前記スレーブ装置は、前記２系統の情報処理装置間における稼動側装置の切り替えを指示する切り替え信号を前記マスター装置に向けて出力する信号出力手段を具備し、
   前記マスター装置は、前記信号出力手段により出力された前記切り替え信号の検出をトリガとして、前記２系統の情報処理装置間において相手方の情報処理装置と稼動側装置を切り替えるための処理を、割り込み処理により実行する割り込み処理実行手段を具備することを特徴とする二重化情報処理システム。
2. 前記スレーブ装置は、複数の信号に基づいて前記切り替え信号を生成する信号生成手段を具備し、
   前記信号出力手段は、前記信号生成手段により生成された前記切り替え信号を前記マスター装置に向けて出力することを特徴とする請求項１に記載の二重化情報処理システム。
3. 前記割り込み処理実行手段は、エッジ検出により前記切り替え信号を検出することを特徴とする請求項１または２に記載の二重化情報処理システム。
4. 前記マスター装置および前記スレーブ装置は、互いに絶縁されて実装されることを特徴とする請求項１〜３のいずれか１項に記載の二重化情報処理システム。

Images