JP4472202B2 - 多重冗長系システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は多重冗長系システムに関し、特に複数の制御系を含む多重冗長系システムにおける一つの制御系の異常事態に対処して、当該システムにおける１フェィルオペラティブを達成し、前記異常事態に起因するシステム機能の障害を排除することを可能とする多重冗長系システムに関する。
【０００２】
【従来の技術】
一般に、冗長化されたｎ個のＧi （i ＝１，２，３，……，ｎ）系を備え、該各Ｇi 系より各制御量に対応して出力される制御信号を合成して、所定の被制御対象に対して出力する多重冗長系システムにおいては、所定の機能を維持するために、システムとしての信頼性を維持することが強く要請されている。例えば、Ｇi 系は無人航空機のフラップ角度制御回路であり、制御量はフラップ角度であり、制御対象は油圧や電動モータでなるフラップアクチュエータである。ｎ＝３であるときの無人航空機のフラップ角度制御用多重冗長系システムの例は、本発明の一実施例として図3を参照して後述する。
【０００３】
多重冗長系システム内に組み込まれている制御系の内、非冗長系の一つの制御系（例えば、無人航空機におけるラダー操縦系不能）において生じた故障により、システム全体（例えば、無人航空機）としての機能を維持達成することが不可能（例えば、無人航空機の操縦不能）となる場合がある。このような事態においては、該システムの機能障害が、外部（人および建造物等）に対して悪影響を及ぼさないようにするために、システム自体を安全な状態に推移させる（例えば、無人航空機においてパラシュートを開傘させ、落下させる）ことが必要となる。そこで、システムにおける非冗長系の一つに故障が生じたとき、システムを安全な状態に推移させるために、外部から指示を与えるのが安全コマンド信号である。この安全コマンド信号の指示によって、全システムは外部に対し安全な状態に推移して保持される。
【０００４】
図５は、従来の多重冗長系システムの一例を示すブロック図である。この多重冗長系システムは、多重数がｎであり、ｎ個の制御系から出力される各制御量に相応する制御信号101/103を加算して、所定の被制御対象（アクチュエータ等）に制御信号105として出力する。図５の多重冗長系システムは、制御系１，２，３，…………，ｎと、加算器Ａとを備えて構成され、各制御系には、安全コマンド入力回路１１，２１，３１，…………，ｎ１と、安全コマンド制御信号生成回路１２，２２，３２，…………，ｎ２と、制御信号切換回路１３，２３，３３，…………，ｎ３が設けられている。
【０００５】
正常動作時には、外部からの安全コマンド信号１０２は各制御系に対して入力されることはなく、各制御系の制御信号切換回路１３，２３，３３，…………，ｎ３における接続は、接点ａの側に接となっている。これにより各制御系の制御信号切換回路１３，２３，３３，…………，ｎ３からは、入力される正常時制御信号１０１が選択されて出力され、加算器Ａにおいて加算されて、所定の制御信号１０５として被制御対象に対し供給される。
【０００６】
このような正常動作状態において、例えば制御系２において、安全コマンド入力回路２１または制御信号切換回路２３において故障が生じたとする。このとき、その故障状態によっては、外部からの安全コマンド信号１０２が、該制御系２に対して入力されていない状態にも拘わらず、安全コマンド制御信号生成回路２２おいて生成される安全コマンド制御信号１０３が、安全コマンド制御信号として、制御信号切換回路２３を介して出力される。制御信号切換回路２３から出力されたこの安全コマンド制御信号１０３は、他の制御系の正常時制御信号１０１と加算器Ａにおいて加算され、誤った値の制御信号１０５として被制御対象に対し供給される。誤った値の制御信号１０５は、システムを意図しない状態に制御し、システムを機能障害に陥れる。このように、図５の従来の多重冗長系システムでは、ｎ多重された冗長系であっても、冗長系の１つにおける安全コマンド制御信号の系統に故障が起こったときには、システム全体が機能障害に陥り、いわゆる１フェイルオペラティブが成立しない。
【０００７】
一般に、多重冗長系システムにおいては、或る１つの制御系が他の制御系とは明らかに異質の制御信号を出力した場合には、他制御系から当該制御系に対して、その制御信号出力をシステムより切離すための指示が出力される。しかしながら、上記のように、制御系内部の故障に起因して当該制御系より安全コマンド制御信号が出力される状態となった場合には、システムとして、その切り離し指示が無視される構成になっている。本来、安全コマンド制御信号の出力指示は、システムの外部からの指示（安全コマンド信号）によるものであり、当該安全コマンド制御信号出力の指示が発せられたということは、多重冗長系システムを含めた全システム中に、何らかの異常による機能障害が発生したことを意味している。そのような機能障害が発生した場合には、システム規定要件として、多重冗長系システムにおける状態（正常または故障）の如何に拘わらず、各制御系からは安全コマンド制御信号を出力するように求められているのである。
【０００８】
このような従来の多重冗長系システムにおいては、例えば制御系２の故障により、安全コマンド制御信号１０３が出力されるシステム障害が起こったときは、やむを得ない対応策として、安全コマンド信号１０２を外部から入力せざるをえない。その安全コマンド信号１０２は、制御系１，３，４，…………，ｎの各制御系の安全コマンド入力回路１１，２１，３１，４１，…………，ｎ１に対して、一様に入力される。これらの安全コマンド入力回路から出力される安全コマンド信号は、それぞれ対応する制御信号切換回路１３，３３，…………，ｎ３に入力される。その安全コマンド信号による接点切換制御によって、各制御信号切換回路における接続は接点ｂの側に接となる。これにより各制御系の制御信号切換回路は、それぞれ安全コマンド制御信号生成回路１２，３２，４２，…………，ｎ２から出力される安全コマンド制御信号１０３を選択し、加算器Ａはｎ−１系分の制御信号１０３を故障制御系２の制御信号１０３と加算する。加算器Ａの出力の制御信号１０５は、安全コマンド１０２対応の制御信号（安全コマンド制御信号１０５）であり、被制御対象に対し供給される。このように、各制御系から出力される安全コマンド制御信号１０３を加算して、被制御対象に対する制御信号１０５として出力することにより、全システムは、外部に対して一応安全な動作状態に推移する。
【０００９】
【発明が解決しようとする課題】
上述した従来の冗長化された複数の制御系を含む多重冗長系システムにおいては、当該システムに含まれる一つの制御系において、安全コマンド入力回路または制御信号切換回路等において異常事態が発生し、これにより、外部から入力されるべき安全コマンド信号が当該制御系に入力されていない状態にも拘わらず、制御信号切替回路を通して安全コマンド制御信号が出力され、加算器Ａに入力される。しかも、システムとして、この安全コマンド制御信号をシステムから切離すことができない。従って、従来の多重冗長系システムにおいては、故障は一つの制御系だけで生じている（即ち１フェイル）にも拘わらず、意図しない制御信号が出力されるという機能障害が発生する。このように、従来の多重冗長系システムには、１フェイルオペラティブを成立させることができないという欠点がある。 本発明の目的は、一つの故障制御系による意図外の安全コマンド制御信号が出力されることがなく、当該故障制御系を自動的に他の制御系より切離し、故障制御系が１つだけのときには正常な制御が可能な（１フェイルオペラティブ）多重冗長系システムを提供することにある。
【００１０】
【課題を解決するための手段】
前述の課題を解決するために本発明は次の手段を提供する。
【００１１】
（１）冗長化された制御系Ｇi （i ＝１，２，３，……，ｎ）を備え、該各制御系Ｇi より、それぞれの制御量に対応して出力される制御信号を加算して、所定の制御信号として被制御対象に対し供給する多重冗長系システムにおいて、前記制御系Ｇi に対する外部からの安全コマンド信号の入力を受けて当該制御系内に出力するとともに、該安全コマンド信号を制御系Ｇi 以外の他の全ての制御系に対して分配出力する安全コマンド入力回路と、他の制御系の前記安全コマンド入力回路から分配出力されて制御系Ｇi に入力される前記安全コマンド信号に基づき、所定の安全コマンド制御信号を生成して出力する安全コマンド制御信号生成回路と、正常時制御信号入力端および前記安全コマンド制御信号の入力端を有し、前記安全コマンド入力回路から出力される安全コマンド信号の切替制御を受け、該安全コマンド入力回路から出力される該安全コマンド信号を受けないときには、前記正常時制御信号入力端の側に「接」となり、該正常時制御信号を選択して出力するとともに、該安全コマンド入力回路から出力される該安全コマンド信号を受けたときには、前記安全コマンド制御信号入力端に「接」となり、該安全コマンド制御信号生成回路の出力を選択して出力する制御信号切替回路とをそれぞれ各制御系Ｇi 内に備えることを特徴とする多重冗長系システム。
【００１２】
（２）前記安全コマンド制御信号生成回路は、他の制御系の前記安全コマンド入力回路から分配出力されて制御系Ｇi に入力される前記安全コマンド信号につき論理和演算をする論理和回路を備え、該論理和回路の出力に基づき前記安全コマンド制御信号を生成することを特徴とする前記（１）に記載の多重冗長系システム。
【００１３】
（３）前記安全コマンド制御信号生成回路は、前記論理和回路の出力を受ける電圧調整回路を備え、
前記電圧調整回路は、前記論理和回路の出力で表される論理値に対応する所定の電圧値の信号を前記安全コマンド制御信号として生成する
ことを特徴とする前記（２）に記載の多重冗長系システム。
【００１４】
【発明の実施の形態】
上の「課題を解決するための手段」の欄に記載した本発明の構成によれば、或る制御系において、安全コマンド入力回路または制御信号切換回路等において異常事態が発生し、外部からの安全コマンド信号が入力されない（安全コマンド信号ＯＦＦ）にも拘わらず、この異常事態により、仮に制御信号切替回路の接点が、安全コマンド制御信号生成回路の出力端に「接」になったとしても、当該安全コマンド制御信号生成回路に対して、他の制御系から送られてくる安全コマンド信号が全てＯＦＦであるので、安全コマンド制御信号生成回路の安全コマンド制御信号出力もＯＦＦとなる。これにより、異常事態となった制御系は自動的に他の制御系より切り離されて、システムの１フェイルオペラティブが達成される。即ち、本発明の多重冗長系システムは、多重制御系のうちの１つが故障しても、システム全体として正常な制御を継続できる（１フェイルオペラティブである）。
【００１５】
次に、このような本発明の多重冗長系システムの理解を容易にするために、本発明の実施の形態を図面を参照して説明する。図１は、本発明の第１の実施の形態を示すブロック回路図である。
【００１６】
図１に示されるように、本実施の形態は、安全コマンド入力回路１１、安全コマンド制御信号生成回路１２および制御信号切換回路１３を含む制御系１と、安全コマンド入力回路２１、安全コマンド制御信号生成回路２２および制御信号切換回路２３を含む制御系２と、安全コマンド入力回路３１、安全コマンド制御信号生成回路３２および制御信号切換回路３３を含む制御系３と、安全コマンド入力回路４１、安全コマンド制御信号生成回路４２および制御信号切換回路４３を含む制御系４とを備えて構成されている。各制御系における安全コマンド制御信号生成回路１２、２２、３２及び４２は、共にダイオードD1,D2及びD3でなる論理和回路と抵抗R1及びR2でなる電圧調整回路とで構成されている。
【００１７】
図１において、本実施の形態の正常動作時においては、外部からの安全コマンド信号１０２はＯＦＦである。各制御系の安全コマンド入力回路１１、２１、３１および４１はバッファー回路である。そこで、安全コマンド入力回路１１、２１、３１および４１の出力は、入力と同じ安全コマンド信号である。安全コマンド信号１０２がＯＦＦであるとき、各制御系の制御信号切換回路１３、２３、３３および４３の接続は、それぞれ接点ａの側に「接」となっている。従って、各制御系の制御信号切換回路からは、入力される正常時制御信号１０１が選択されて出力され、加算器Ａにおいて加算されて、所定の正常な制御信号１０５として被制御対象に対し供給される。
【００１８】
このような正常動作状態（安全コマンド信号１０２がＯＦＦ）において、例えば制御系２において、安全コマンド入力回路２１が故障したとする。このとき、外部からの安全コマンド信号１０２がＯＦＦであるにも拘わらず、安全コマンド入力回路２１の誤動作により、制御信号切換回路２３の接続が接点ｂの側に「接」となることがあっても、この状態においては、他の稼働状態にある制御系１，３，４からは、安全コマンド信号が分配出力されることはなく、安全コマンド制御信号生成回路２２に入力される安全コマンド信号は全てＯＦＦとなるので、安全コマンド制御信号１０３は生成されない。この点で、図１の多重冗長系システムは前述の従来例の場合とは異なる。図１の多重冗長系システムでは、意図しない安全コマンド制御信号が制御系２より出力されることはない。
【００１９】
また、制御信号切換回路２３において故障が生じた場合に、その誤動作により制御信号切換回路２３の接続が接点ｂの側に「接」となるようなことがあっても、この状態においては、上記の場合と同様に、他の制御系１，３，４から分配出力される安全コマンド信号が全てＯＦＦとなるので、安全コマンド制御信号１０３はやはり生成されず、意図しない安全コマンド制御信号が制御系２より出力されることはない。
【００２０】
図１の実施の形態においては、各制御系の一構成要素である安全コマンド制御信号生成回路の信号生成機能は、他の制御系より分配出力される安全コマンド信号入力に依存している。そこで、仮に一つの制御系における安全コマンド入力回路または制御信号切換回路が故障した場合においても、他の制御系から分配出力される安全コマンド信号が全てＯＦＦとなっているので、安全コマンド制御信号は生成されない。この構成により、意図しない安全コマンド制御信号はどの制御系からも出力されることはなく、故障制御系は自動的に他の制御系から切り離されて、１フェイルオペラティブが達成される。
【００２１】
図２は、本発明の第２の実施の形態を示すブロック回路図である。本実施の形態は、ｎ個の制御系ｉ（i ＝１，２，３，……，ｎ） を含む多重冗長系システムとして構成され、該各制御系ｉより出力される制御信号を加算器Ａで加算して、所定の被制御対象に対する制御信号１０５として供給する。各制御系ｉは、外部からの安全コマンド信号を入力する安全コマンド入力回路と、制御系ｉ以外の他の制御系１，２，……，(ｉ−１)，(ｉ＋１)……，ｎより分配出力される安全コマンド信号を受け、該安全コマンド信号の論理和を演算するとともに、該論理和の信号における各論理値の電圧を所定の値に調整し、安全コマンド制御信号として出力する安全コマンド制御信号生成回路と、所定の正常時制御信号と前記安全コマンド制御信号を入力して、前記安全コマンド信号の切替制御により、正常動作時には前記正常時制御信号を選択出力し、外部からの前記安全コマンド信号の入力時には、前記安全コマンド制御信号生成回路の出力端に「接」となる制御信号切替回路とをそれぞれ備えて構成される。
【００２２】
図２の実施の形態は、ｎユニットの制御系ｉ（ｉ＝１，２，３，………，ｎ）により構成されているが、図面記載上の都合により、その一部のみが記載されている。なお、本実施例と前述の第１の実施の形態との差異は、構成要素の制御系のユニット数のみの差異であり、各制御系の構成ならびに機能については、第１の実施の形態の場合と同様である。
【００２３】
図２の実施の形態は、安全コマンド入力回路１１、安全コマンド制御信号生成回路１２および制御信号切換回路１３を含む制御系１と、安全コマンド入力回路２１、安全コマンド制御信号生成回路２２および制御信号切換回路２３を含む制御系２と、安全コマンド入力回路３１、安全コマンド制御信号生成回路３２および制御信号切換回路３３を含む制御系３と、………、安全コマンド入力回路ｎ１、安全コマンド制御信号生成回路ｎ２および制御信号切換回路ｎ３を含む制御系ｎとを備えて構成される。図１に示した第１の実施の形態と同様に、各制御系における安全コマンド制御信号生成回路１２，２２，３２，………およびｎ２は、共にダイオードと抵抗による加算回路として構成されている。
【００２４】
本実施の形態の動作は、第１の実施の形態と場合と同様であり、正常動作時においては、外部からの安全コマンド信号１０２のＯＦＦ入力により、各制御系の制御信号切換回路１３，２３，３３，………，ｎ３の接続は、それぞれ接点ａの側に「接」となっている。従って、各制御系の制御信号切換回路からは、正常時制御信号１０１が選択されて出力され、加算器Ａにおいて加算されて、所定の正常な制御信号１０５として被制御対象に対し供給される。
【００２５】
また、例えば制御系２において、安全コマンド入力回路２１または制御信号切換回路２３において故障が生じた場合には、外部からの安全コマンド信号がＯＦＦであるにも拘わらず、制御信号切換回路２３の誤動作により制御信号切換回路２３の接続が接点ｂの側に「接」となることがあっても、他の制御系から分配出力される安全コマンド信号が全てＯＦＦとなるので、安全コマンド制御信号１０３は生成されず、意図しない安全コマンド制御信号が制御系２から出力されることはない。これにより意図しない安全コマンド制御信号の出力が避けられ、当該故障制御系は自動的に他の制御系より切り離されて、１フェイルオペラティブが達成される。
【００２６】
図３は、本発明の第３の実施の形態を示すブロック回路図である。図４は、図３の実施の形態における安全コマンド入力回路および制御信号切換回路の故障と被制御対象に出力する制御信号の関係を表形式で示す図である。
【００２７】
図３の実施の形態は、制御系の数ｎが３であるときの図２の実施の形態に相当し、制御系はX,Y及びZである。この実施の形態は無人飛行機のフラップ制御系の例であり、正常時制御信号101x,101y,101zはフラップ制御信号である。安全コマンド信号１０２は、バッファーである安全コマンド入力回路１１，２１及び３１を経て、安全コマンド信号１０２x，１０２y及び１０２zとなる。安全コマンド信号１０２y及び１０２zは、安全コマンド制御信号生成回路１２におけるダイオードD1及びD2にそれぞれ入力される。ダイオードD1及びD2は論理和回路をなしている。この論理和回路は、安全コマンド信号１０２y及び１０２zについて論理和演算をし、論理和信号を出力する。抵抗R1及びR2は電圧調整回路をなす。電圧調整回路は、論理和回路の出力で表す論理値に対応する電圧を所定値に調整する。ここでは、電圧調整回路は、論理値”１”を−１．５ボルトで表し、論理値”０”を０ボルトで表す。ダイオードD1,D2でなる論理和回路に入力される安全コマンド信号１０２y及び１０２zの少なくとも一方がＯＮであるとき、論理和回路の出力は論理値”１”となり、電圧調整回路の出力電圧は−１．５ボルトとなる。同様に、安全コマンド制御信号１０３yは、安全コマンド制御信号生成回路２２に入力された安全コマンド信号１０２z及び１０２xの論理和の信号である。また、安全コマンド制御信号１０３zは、安全コマンド制御信号生成回路３２入力された安全コマンド信号１０２x及び１０２yの論理和の信号である。
【００２８】
図４に示すように、安全コマンド信号１０２，１０２x，１０２y及び１０２zは、ＯＮのとき−１．５Ｖ（ボルト）、ＯＦＦのとき０Ｖである。正常時制御信号101x,101y,101zは、遠隔操縦装置から無線信号で送信されるフラップ角度の目標値に応じ変化するが、図4では最大値３Ｖの場合が示してある。
【００２９】
図４において、最左列のNoは、安全コマンド入力回路および制御信号切換回路の正常であるか、或いは故障であるかの状態（ケース）を示す。No.1の状態では、制御系X,Y及びZにおける安全コマンド入力回路および制御信号切換回路が共に正常であり、制御系X,Y及びZにおける制御信号切換回路がＯＦＦであり、各制御信号切換回路は正常時制御信号101x,101y,101zを選択し、制御系X,Y及びZにおける制御信号１０４x，１０４y及び１０４zとして正常時制御信号101x,101y,101zをそのまま出力している。したがって、制御信号１０４x，１０４y及び１０４zは、正常時制御信号101x,101y,101zと同じく、３Ｖである。加算器Ａは、制御信号１０４x，１０４y及び１０４zを加算し、被制御対象制御信号（この実施の形態ではフラップ制御信号）１０５として９Ｖを出力する。
【００３０】
状態No.２では、制御信号切換回路はいずれも正常であるが、制御系X,Y又はZのうちの１つにおける安全コマンド入力回路が故障し、故障した安全コマンド入力回路の出力で切り換えられる制御信号切換回路が安全コマンド制御信号を選択した状態を示す。制御系X,Y又はZのうちの１つに故障が起こった状態を１軸故障と通称するので、図４では通称にしたがい、１軸故障と表記してある。
【００３１】
状態No.２のうちの状態２−１では、制御系Xにおける安全コマンド入力回路１１が故障し、制御信号切換回路１３がＯＮとなり、制御信号切換回路１３が安全コマンド制御信号１０３xを選択した状態を示す。制御信号切換回路２３及び３３はＯＦＦであり、正常時制御信号101y及び101zをそれぞれ選択している。制御系Xにおける安全コマンド制御信号１０３xは、安全コマンド信号１０２y（０Ｖ）及び１０２z（０Ｖ）の加算値であるから、０Ｖである。したがって、制御信号切換回路１３から出力される制御系xの制御信号１０４xは０Ｖである。
【００３２】
この状態２−１では、制御系Y及びZから出力される制御信号１０４y及び１０４zは、正常時制御信号101y及び101zであるから、３Ｖである。加算器Ａは、制御信号１０４x，１０４y及び１０４zを加算し、被制御対象制御信号（この実施の形態ではフラップ制御信号）１０５として６Ｖを出力する。このときの被制御対象制御信号の電圧値６Ｖは、制御系X,Y及びZの全てが正常である前述の状態No.1のときより３Ｖ低下した値であるが、フラップ制御信号としては６Ｖで足りる。このように、図３の実施の形態では、制御系x,y,zにおける１つの制御系に故障が生じても、システム全体としては、制御を継続でき、故障制御系を被制御対象制御信号１０５から除くことができる。図４では安全コマンドがＯＦＦの状態を示すが、図３の実施の形態は、安全コマンド信号１０２がＯＮとなったときには、所定の安全状態にフラップを制御する。安全コマンド信号１０２がＯＮとなり、安全コマンド信号１０２の電圧が−１．５Ｖになったときには、安全コマンド信号１０２y及び１０２zも−１．５Ｖとなり、制御信号切換回路２３及び３３もＯＮとなり、安全コマンド信号１０２x，１０２y及び１０２zは−１．５Ｖとなり、制御信号１０４x，１０４y及び１０４zは−１．５Ｖとなり、ひいては加算器Ａは被制御対象制御信号１０５として−４．５Ｖを出力し、例えばフラップを最大に出す（下げる）ようフラップアクチュエータを制御する。なお、以上に実施の形態を挙げ本発明を具体的に説明したが、本発明はこれらの実施の形態に限られるものでないことは勿論である。
【００３３】
【発明の効果】
以上説明したように、本発明は、安全コマンド入力回路、安全コマンド制御信号生成回路および制御信号切換回路を含んで構成される複数の制御系により形成され、各制御系より出力される制御信号を加算して被制御対象に供給する多重冗長系システムに適用されて、安全コマンド制御信号生成回路を、他の制御系から分配出力される安全コマンド信号のＯＮ出力時においてのみ所定の安全コマンド制御信号を生成して出力するように構成することにより、或る制御系における安全コマンド入力回路または制御信号切替回路の故障発生時においても、他の制御系からの安全コマンド信号が全てＯＦＦ出力であるので、該故障制御系からの意図しない安全コマンド制御信号が出力される事態を回避できる。このとき、故障制御系は自動的に他の制御系より切り離される。
【００３４】
このように、本発明によれば、多重冗長構成の制御系の内の１つだけが故障してもシステム全体を制御可能に維持する性能、いわゆる１フェイルオペラティブ性を備えた多重冗長系システムが提供できる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態を示すブロック回路図である。
【図２】本発明の第２の実施の形態を示すブロック回路図である。
【図３】本発明の第３の実施の形態を示すブロック回路図である。
【図４】図３の実施の形態における安全コマンド入力回路および制御信号切換回路の故障と被制御対象に出力する制御信号の関係を表形式で示す図である。
【図５】従来例の構成を示すブロック図である
【符号の説明】
１，２，３，４，………，ｎ，X，Y，Z 制御系
１１，２１，３１，４１，………，ｎ１ 安全コマンド入力回路
１２，２２，３２，４２，………，ｎ２ 安全コマンド制御信号生成回路
１３，２３，３３，４３，………，ｎ３ 制御信号切換回路
１０２，１０２x，１０２y，１０２z 安全コマンド信号
101，101x，101y，101z 正常時制御信号
１０３，１０３x，１０３y，１０３z 安全コマンド制御信号
１０４x，１０４y，１０４z 制御信号
１０５ 被制御対象制御信号
Ａ 加算器
D1,D2,D3, ………，Dn 論理和回路をなすダイオード
R1,R2 電圧調整回路をなす抵抗

Claims (3)

1. 冗長化された制御系Ｇi （i ＝１，２，３，……，ｎ）を備え、該各制御系Ｇi より、それぞれの制御量に対応して出力される制御信号を加算して、所定の制御信号として被制御対象に対し供給する多重冗長系システムにおいて、前記制御系Ｇi に対する外部からの安全コマンド信号の入力を受けて当該制御系内に出力するとともに、該安全コマンド信号を制御系Ｇi 以外の他の全ての制御系に対して分配出力する安全コマンド入力回路と、他の制御系の前記安全コマンド入力回路から分配出力されて制御系Ｇi に入力される前記安全コマンド信号に基づき、所定の安全コマンド制御信号を生成して出力する安全コマンド制御信号生成回路と、正常時制御信号入力端および前記安全コマンド制御信号の入力端を有し、前記安全コマンド入力回路から出力される安全コマンド信号の切替制御を受け、該安全コマンド入力回路から出力される該安全コマンド信号を受けないときには、前記正常時制御信号入力端の側に「接」となり、該正常時制御信号を選択して出力するとともに、該安全コマンド入力回路から出力される該安全コマンド信号を受けたときには、前記安全コマンド制御信号入力端に「接」となり、該安全コマンド制御信号生成回路の出力を選択して出力する制御信号切替回路とをそれぞれ各制御系Ｇi 内に備えることを特徴とする多重冗長系システム。
2. 前記安全コマンド制御信号生成回路は、他の制御系の前記安全コマンド入力回路から分配出力されて制御系Ｇi に入力される前記安全コマンド信号につき論理和演算をする論理和回路を備え、該論理和回路の出力に基づき前記安全コマンド制御信号を生成することを特徴とする請求項１に記載の多重冗長系システム。
3. 前記安全コマンド制御信号生成回路は、前記論理和回路の出力を受ける電圧調整回路を備え、
   前記電圧調整回路は、前記論理和回路の出力で表される論理値に対応する所定の電圧値の信号を前記安全コマンド制御信号として生成する
   ことを特徴とする請求項２に記載の多重冗長系システム。

Images