JP4784333B2

JP4784333B2 - 時刻同期異常検出装置および時刻同期異常検出方法

Info

Publication number: JP4784333B2
Application number: JP2006045042A
Authority: JP
Inventors: 敏幸江守
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2006-02-22
Filing date: 2006-02-22
Publication date: 2011-10-05
Anticipated expiration: 2026-02-22
Also published as: DE102007008563A1; US20070274349A1; US7990880B2; JP2007226389A; DE102007008563B4

Description

本発明は、通信回線を介して互いに接続された機器間における計時ずれを検出する時刻同期異常検出装置および同期異常検出方法に関する。

プラントの安全を確保するための安全システムが知られている。安全システムは、プラントの異常を検出すると、アラームを発生させるとともに、プラントのシャットダウンを実行することで、プラントの安全を確保する。

また、この安全システムでは、システムを構成する安全コントローラ間での通信異常を常時検出しており、通信異常が検出された場合にも、プラントをシャットダウンする。これにより、通信異常により安全システムが機能しない場合における不測の事態を回避している。

特許文献１には、複数のステーションの時刻を同期させるための時刻補正を行うイベント収集システムが記載されている。

特開２０００−３０５９５５号公報

上記安全システムでは、通信異常の検出項目として通信回線の伝送遅延がある。所定のメッセージの送信から受信までの時間が一定の閾値を越える場合には、伝送遅延を発生させる何らかの通信異常があると判断して、プラントをシャットダウンしている。

しかし、メッセージの送信時刻は送信側のタイマにより、メッセージの受信時刻は受信側のタイマにより、それぞれ計測される。このため、タイマ間の時刻同期が確保されておらず両者に計時ずれがあると、伝送遅延による通信異常を誤検出してしまう可能性がある。

本発明の目的は、時刻同期の異常に基づく計時ずれを検出して、通信異常の誤検出を防止できる時刻同期異常検出装置および時刻同期異常検出方法を提供することにある。

本発明の時刻同期異常検出装置は、通信回線を介して互いに接続された第１の機器および第２の機器における計時ずれを検出する時刻同期異常検出装置において、通信回線を介し第１の機器から前記第１の機器における計時を付したデータを送信し、前記データを前記第２の機器において受信する送受信手段と、前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が第１の閾値よりも大きいことを検出する第１の検出手段と、前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が前記第１の閾値よりも小さな第２の閾値よりも大きいことを検出する第２の検出手段と、を備え、前記第１の機器および前記第２の機器の間での通信異常に起因して前記時間差が前記第１の閾値よりも大きくなり、前記第１の機器および前記第２の機器における計時ずれに起因して前記時間差が前記第２の閾値よりも大きくなるように、前記第１の閾値および前記第２の閾値が定められることを特徴とする。
この時刻同期異常検出方法によれば、データに付された前記計時と、前記データの受信時における第２の機器の計時とを比較することにより、第１の機器および第２の機器における計時ずれを検出する。通信異常を検出するためのデータを、計時ずれの検出に利用できる。

前記第１の検出手段により前記時間差が前記第１の閾値よりも大きいことが検出された場合には、前記第１の機器および前記第２の機器が設置されたプラントの設備をシャットダウンするシャットダウン手段を備えてもよい。

前記第１の機器は、前記第１の機器における計時を行う第１のタイマと、前記第１のタイマの時刻を較正する第１のＧＰＳ受信機と、を具備し、前記第２の機器は、前記第２の機器における計時を行う第２のタイマと、前記第２のタイマの時刻を較正する第２のＧＰＳ受信機と、を具備し、前記第１のタイマは、前記第１のＧＰＳ受信機による較正ができない場合には前記第１のタイマが有する精度で計時を行い、前記第２のタイマは、前記第２のＧＰＳ受信機による較正ができない場合には前記第２のタイマが有する精度で計時を行ってもよい。

本発明の時刻同期異常検出方法は、通信回線を介して互いに接続された第１の機器および第２の機器における計時ずれを検出する時刻同期異常検出方法において、通信回線を介し第１の機器から前記第１の機器における計時を付したデータを送信し、前記データを前記第２の機器において受信する送受信ステップと、前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が第１の閾値よりも大きいことを検出する第１の検出ステップと、前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が前記第１の閾値よりも小さな第２の閾値よりも大きいことを検出する第２の検出ステップと、を備え、前記第１の機器および前記第２の機器の間での通信異常に起因して前記時間差が前記第１の閾値よりも大きくなり、前記第１の機器および前記第２の機器における計時ずれに起因して前記時間差が前記第２の閾値よりも大きくなるように、前記第１の閾値および前記第２の閾値が定められることを特徴とする。
この時刻同期異常検出方法によれば、データに付された前記計時と、前記データの受信時における第２の機器の計時とを比較することにより、第１の機器および第２の機器における計時ずれを検出する。通信異常を検出するためのデータを、計時ずれの検出に利用できる。

前記第１の検出ステップにより前記時間差が前記第１の閾値よりも大きいことが検出された場合には、前記第１の機器および前記第２の機器が設置されたプラントの設備をシャットダウンするシャットダウンステップを備えてもよい。

本発明の時刻同期異常検出装置時刻同期異常検出装置によれば、データに付された前記計時と、前記データの受信時における第２の機器の計時とを比較することにより、第１の機器および第２の機器における計時ずれを検出する。通信異常を検出するためのデータを、計時ずれの検出に利用できる。

本発明の時刻同期異常検出方法によれば、データに付された前記計時と、前記データの受信時における第２の機器の計時とを比較することにより、第１の機器および第２の機器における計時ずれを検出する。通信異常を検出するためのデータを、計時ずれの検出に利用できる。

図１は本発明による時刻同期異常検出装置を機能的に示すブロック図である。

図１において、送受信手段１０１は、通信回線を介し第１の機器から第１の機器における計時を付したデータを送信し、データを第２の機器において受信する。通信異常検出手段１０２は、受信されたデータに基づいて第１の機器および第２の機器間の通信異常を検出する。計時ずれ検出手段１０３は、データに付された計時と、データの受信時における第２の機器の計時とを比較することで第１の機器および第２の機器における計時ずれを検出する。

以下、図２〜図４を参照して、本発明による時刻同期異常検出装置の一実施形態について説明する。

図２は、本発明による時刻同期異常検出装置を適用した安全システムの構成の一部を示すブロック図である。この安全システムは、プラントの異常を検出して必要な処理を実行することで、プラントの安全を確保するためのシステムである。

図２に示すように、安全システムは、プラントに設置されたセンサ４が接続される安全コントローラ１と、プラントに設置されたバルブ５が接続される安全コントローラ２と、を備える。安全コントローラ１および安全コントローラ２は、通信回線３を介して互いに接続されている。

安全コントローラ１は、必要な処理を実行する処理部１１と、現在時刻を取得するためのタイマ１２と、を備える。同様に、安全コントローラ２は、必要な処理を実行する処理部２１と、現在時刻を取得するためのタイマ２２と、を備える。

図２に示すように、タイマ１２はＧＰＳ受信機１３を介して得られた正確な時刻により、タイマ２２はＧＰＳ受信機２３を介して得られた正確な時刻を、それぞれマスタ時刻として計時を実行する。したがって、タイマ１２およびタイマ２２の計時は常に同期しており、安全コントローラ１の処理部１１および安全コントローラ２の処理部２１は、それぞれのタイマに基づいて正確な時刻を取得することが可能とされている。

次に、安全システムの動作について説明する。安全コントローラ１の処理部１１は、センサ４からの情報に基づく所定の処理を実行し、必要なデータを、通信回線３を介して安全コントローラ２に転送する。安全コントローラ２の処理部２１は、安全コントローラ１１から転送されてきたデータに基づく演算を実行し、プラントの異常が検出されればバルブ５を閉じる等、所定のシャットダウン処理を実行する。

また、この安全システムでは、安全コントローラ１および安全コントローラ２間で周期的にメッセージ（所定のデータ）の送受信を実行し、通信異常を検出している。通信異常が検出された場合、所定のシャットダウン処理が実行される。メッセージにはシーケンス番号やＣＲＣ（Cyclic Redundancy Check；巡回冗長検査）コードなどが付加される。メッセージの受信側では、所定の照合処理やメッセージの受信順序の確認を行い、伝送時に発生しうるエラーを厳密にチャックしている。このようなエラーには、メッセージ破壊、メッセージ抜け、メッセージの重複、メッセージの受信順序の異常、あて先（送信先）異常等が含まれる。

また、このメッセージには、メッセージ送信時の時刻を示すタイムスタンプが付加され、受信時の時刻と、タイムスタンプで示される時刻とを比較している。このような時刻の差が所定の閾値を越えた場合、伝送遅延が発生しているものとして通信異常と判断し、所定のシャットダウン処理を実行する。さらに、本実施例では、伝送遅延の有無の判断に必要な時刻の比較を利用して、安全コントローラ間のタイマによる計時ずれを検出している。

図３は、時刻比較に関連した異常検出手順を示すフローチャートである。以下、安全コントローラ１から安全コントローラ２に向けて上記メッセージが送信された場合の手順を例示する。

図３のステップ１〜ステップＳ２は、安全コントローラ１におけるメッセージの作成、送信手順を示す。この手順は、安全コントローラ１の処理部１１の制御に基づいて実行される。

図３のステップＳ１では、処理部１１においてメッセージが作成される。上記のようにこのメッセージには、シーケンス番号、ＣＲＣおよびタイムスタンプが付加される。タイムスタンプには、安全コントローラ１のタイマ１２に基づく、メッセージの送信時刻が示される。

次にステップＳ２では、ステップＳ１で作成されたメッセージを送信し、ステップＳ１へ戻る。このように、安全コントローラ１ではメッセージの作成、送信が周期的に繰り返される。

図３のステップＳ１１〜ステップＳ１８は、安全コントローラ２における異常検出手順を示している。この手順は、安全コントローラ２の処理部２１の制御に基づいて実行される。

図３のステップＳ１１では、メッセージが受信されるのを待って、ステップＳ１２へ進む。

ステップＳ１２では、安全コントローラ２のタイマ２２の現在時刻、すなわちタイマ２２に基づく、メッセージの受信時刻を取得する。

次に、ステップＳ１３では、メッセージに付加されたタイムスタンプが示す時刻を取得する。

次に、ステップＳ１４では、ステップＳ１２で取得されたメッセージの受信時刻と、ステップＳ１３で取得されたタイムスタンプの時刻とを比較する。

ステップＳ１５では、ステップＳ１４における時刻の比較結果に基づき、予め定められた閾値Ｔ１を越えて、メッセージの受信時刻がタイムスタンプの時刻よりも遅延しているか否か判断する。判断が肯定されればステップＳ１８へ進み、判断が否定されればステップＳ１６へ進む。

ステップＳ１８では、所定のシャットダウン処理を実行し、ステップＳ１１へ戻る。このように、ステップＳ１５の判断が肯定されれば、伝送遅延を招く通信異常が発生していると判定し、ステップＳ１８においてアラームを通知するとともに、シャットダウン処理を実行している。

一方、ステップＳ１６では、ステップＳ１４における時刻の比較結果に基づき、予め定められた閾値Ｔ２を越えて、メッセージの受信時刻がタイムスタンプの時刻よりも遅延しているか否か判断する。この閾値Ｔ２は、ステップＳ１５で使用する閾値Ｔ１よりも小さな値とされている。判断が肯定されればステップＳ１７へ進み、判断が否定されればステップＳ１１へ戻る。

ステップＳ１７では、タイマの計時ずれを知らせるプリアラーム通知を実行し、ステップＳ１１へ戻る。このように、ステップＳ１６の判断が肯定されれば、タイマの計時ずれが発生したと判定し、ステップＳ１７においてプリアラーム通知を実行している。

図３のステップＳ１１〜ステップＳ１８の手順を実行させる手段は任意に選択できる。例えば、通信異常を検出するためのファンクションブロックと、タイマの計時ずれを検出するためのファンクションブロックをそれぞれ作成してもよい。

この場合には、図４（ａ）に示すように、前者のファンクションブロックの入力パラメータに閾値Ｔ１を入れ、ステップＳ１５の判断が肯定される場合には、予め指定されたフェイルセーフ値が出力されるとともに、フェイルセーフ値を受ける後段のロジックにより、プラントをシャットダウンさせる。また、後者のファンクションブロックの入力パラメータには閾値Ｔ２を入れ、ステップＳ１６の判断が肯定される場合には、上記プリアラームを通知するように構成する。この場合、後者のファンクションブロックの出力値は、シャットダウン処理を実行するための後段のロジックには与えない。

また、通信異常の検出およびタイマの計時ずれの検出を１つのファンクションブロックで組み立てても良い。例えば、図４（ｂ）に示すように、入力パラメータに閾値Ｔ１および閾値Ｔ２を入れ、時刻のずれが閾値Ｔ１を越える場合には通信異常時のシャットダウン処理を実行するとともに、閾値Ｔ２を越えるが、閾値Ｔ１を越えない場合には、上記プリアラームを通知するようにしてもよい。

さらに、図４（ｃ）に示すように、ユーザ定義ファンクションブロックにより、上記２つの検出動作を１つのファンクションブロックにまとめてもよい。

以上のように、本実施形態では、安全コントローラのタイマ間の時刻同期がとれず、計時ずれが発生した場合には、その異常が検出される。また、時刻同期異常を検出するための閾値Ｔ２は、通信異常を検出する際の閾値Ｔ１よりも小さな値とされているので、安全コントローラ間でタイマの計時がゆっくりとずれてくる場合でも、通信異常の検出によりプラントがシャットダウンされる前に、プリアラームを通知することができる。

このため、本実施形態では、通信は正常であるが、タイマ間の時刻同期異常が発生した場合に、誤って通信異常と判断される率を低下させることができるため、プラントの稼動率を向上させることができる。

タイマの時刻同期異常の原因は様々であるが、例えば、図２においてＧＰＳ受信機２３の受信状態が悪化し、タイマ２２が正確な時刻をＧＰＳ受信機２３から取得できなくなった場合、タイマ２２は非同期状態で自身の精度で時刻をカウントし続ける動作となる。このように、何らかの原因で同期が外れた場合、安全コントローラ間の時刻は、安全コントローラのタイマが持っている精度に応じ、段々とそのずれ幅が広がっていくことになる。本実施形態によれば、複数のタイマに基づくメッセージの送信時刻および受信時刻を比較することで、通信異常としてプラントをシャットダウンする前に、いずれかのタイマの計時異常やタイマ間の同期異常を予知診断することが可能となる。

このように、本実施形態によれば、非安全な機能である時刻同期の異常によって、安全システムが誤ってプラントをシャットダウンさせることなく、事前に異常を検知できる。また、通信異常として取り扱われない範囲での時刻同期の異常を高感度に検知し、プラントをシャットダウンさせる前に、プリアラームを通知することができる。

本発明の適用範囲は上記実施形態に限定されることはない。本発明は、通信回線を介して互いに接続された第１の機器および第２の機器における計時ずれを検出する時刻同期異常検出装置および時刻同期異常検出方法に対し、広く適用することができる。

本発明による時刻同期異常検出装置を機能的に示すブロック図。本発明による時刻同期異常検出装置を適用した安全システムの構成の一部を示すブロック図。時刻比較に関連した異常検出手順を示すフローチャート。ファンクションブロックを用いた例を示す図であり、（ａ）は２つのファンクションブロックを組み合わせる例を示す図、（ｂ）は、入力パラメータに閾値Ｔ１および閾値Ｔ２を入れる例を示す図、（ｃ）は、ユーザ定義ファンクションブロックにより２つの検出動作を１つのファンクションブロックにまとめた例を示す図。

符号の説明

１安全コントローラ（第１の機器）
２安全コントローラ（第２の機器）
１１処理部（送受信手段）
１２タイマ
２１処理部（送受信手段、通信異常検出手段、計時ずれ検出手段）
２２タイマ
１０１送受信手段
１０２通信異常検出手段
１０３計時ずれ検出手段

Claims

通信回線を介して互いに接続された第１の機器および第２の機器における計時ずれを検出する時刻同期異常検出装置において、
通信回線を介し第１の機器から前記第１の機器における計時を付したデータを送信し、前記データを前記第２の機器において受信する送受信手段と、
前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が第１の閾値よりも大きいことを検出する第１の検出手段と、
前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が前記第１の閾値よりも小さな第２の閾値よりも大きいことを検出する第２の検出手段と、
を備え、
前記第１の機器および前記第２の機器の間での通信異常に起因して前記時間差が前記第１の閾値よりも大きくなり、前記第１の機器および前記第２の機器における計時ずれに起因して前記時間差が前記第２の閾値よりも大きくなるように、前記第１の閾値および前記第２の閾値が定められることを特徴とする時刻同期異常検出装置。
前記第１の検出手段により前記時間差が前記第１の閾値よりも大きいことが検出された場合には、前記第１の機器および前記第２の機器が設置されたプラントの設備をシャットダウンするシャットダウン手段を備えることを特徴とする請求項１に記載の時刻同期異常検出装置。
前記第１の機器は、前記第１の機器における計時を行う第１のタイマと、前記第１のタイマの時刻を較正する第１のＧＰＳ受信機と、を具備し、
前記第２の機器は、前記第２の機器における計時を行う第２のタイマと、前記第２のタイマの時刻を較正する第２のＧＰＳ受信機と、を具備し、
前記第１のタイマは、前記第１のＧＰＳ受信機による較正ができない場合には前記第１のタイマが有する精度で計時を行い、
前記第２のタイマは、前記第２のＧＰＳ受信機による較正ができない場合には前記第２のタイマが有する精度で計時を行うことを特徴とする請求項１または２に記載の時刻同期異常検出装置。
通信回線を介して互いに接続された第１の機器および第２の機器における計時ずれを検出する時刻同期異常検出方法において、
通信回線を介し第１の機器から前記第１の機器における計時を付したデータを送信し、前記データを前記第２の機器において受信する送受信ステップと、
前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が第１の閾値よりも大きいことを検出する第１の検出ステップと、
前記データに付された前記計時と、前記データの受信時における前記第２の機器の計時とを比較し、その時間差が前記第１の閾値よりも小さな第２の閾値よりも大きいことを検出する第２の検出ステップと、
を備え、
前記第１の機器および前記第２の機器の間での通信異常に起因して前記時間差が前記第１の閾値よりも大きくなり、前記第１の機器および前記第２の機器における計時ずれに起因して前記時間差が前記第２の閾値よりも大きくなるように、前記第１の閾値および前記第２の閾値が定められることを特徴とする時刻同期異常検出方法。
前記第１の検出ステップにより前記時間差が前記第１の閾値よりも大きいことが検出された場合には、前記第１の機器および前記第２の機器が設置されたプラントの設備をシャットダウンするシャットダウンステップを備えることを特徴とする請求項４に記載の時刻同期異常検出方法。
前記第１の機器は、前記第１の機器における計時を行う第１のタイマと、前記第１のタイマの時刻を較正する第１のＧＰＳ受信機と、を具備し、
前記第２の機器は、前記第２の機器における計時を行う第２のタイマと、前記第２のタイマの時刻を較正する第２のＧＰＳ受信機と、を具備し、
前記第１のタイマは、前記第１のＧＰＳ受信機による較正ができない場合には前記第１のタイマが有する精度で計時を行い、
前記第２のタイマは、前記第２のＧＰＳ受信機による較正ができない場合には前記第２のタイマが有する精度で計時を行うことを特徴とする請求項４または５に記載の時刻同期異常検出方法。