JP5161808B2

JP5161808B2 - ２重系制御装置

Info

Publication number: JP5161808B2
Application number: JP2009032654A
Authority: JP
Inventors: 靖信古賀
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2009-02-16
Filing date: 2009-02-16
Publication date: 2013-03-13
Anticipated expiration: 2029-02-16
Also published as: JP2010192980A

Description

この発明は、例えばプラント制御に使用される、制御系と待機系からなる２重化された制御装置において、他系の状態を信号ラインにより認識し、認識した他系の状態に応じて、制御系と待機系の切り換えなどを行う２重系制御装置に関するものである。

例えば特許文献１において提案されている従来の２重系制御装置では、各系の状態を通知するための信号ラインに固着故障が発生していることを検出するために、ソフトウエア（以下Ｓ/Ｗと記す）またはハードウエア（以下Ｈ/Ｗと記す）によって認識された正常または異常状態を格納するレジスタの値に従ってＨ/Ｗ回路によりパルス信号を生成し、パルス信号の有無または反転された２つのパルス信号により、状態を他系に通知している。固着故障が発生している場合には、パルス信号が正常に伝送されないため、装置の異常を検出することができる。

特開２００２−５７６５５号公報

前記従来の２重系制御装置においては、Ｓ/ＷまたはＨ/Ｗによる異常検出部によって認識された正常または異常状態を格納するレジスタの値に従い、Ｈ/Ｗ回路によりパルス信号を生成しているが、一度、レジスタに正常状態を設定した後は、その値が保持されている限りパルス信号が伝送され続けることになる。そのため、例えば、Ｓ/Ｗ暴走などの異常を検出するＨ/Ｗ異常検出部自体が故障しているような場合、異常状態であるにも関わらず、他系に正常状態として誤通知されてしまうという問題があった。

この発明は上記のような問題を解決するためになされたものであり、パルス信号発生部内にパルス期間レジスタを付加し、パルス期間レジスタに設定された期間のみパルス信号を発生させ、Ｓ/Ｗにより一定周期毎にパルス期間レジスタにパルス期間の値を書き込み続けるようにすることで、他系の制御装置内でメモリのパリティエラーやＳ/Ｗ暴走を検出するためのＷＤＴ(Watch Dog Timer)エラー等のＨ/Ｗ故障を検出するＨ/Ｗ異常検出部自体が故障しているような場合でも、他系の状態を正しく認識することを可能とする２重系制御装置を得ることを目的とする。

この発明に係る２重系制御装置は、制御系装置と待機系装置を有する２重系制御装置において、Ｓ/Ｗにより正常または異常の検出及び通知を行うＳ/Ｗ異常検出部と、Ｈ/Ｗにより正常または異常の検出及び通知を行うＨ/Ｗ異常検出部と、これら２つの異常検出部により検出された状態情報（正常または異常）を格納する状態レジスタと、この状態レジスタの値によって状態信号ラインを通じて他系装置に自系装置の状態を通知する状態信号発生部と、前記Ｓ/Ｗ異常検出部が正常のときのみパルス発生期間情報が繰り返し設定されるパルス期間レジスタと、このパルス期間レジスタに設定された期間はパルス信号を発信するが、その期間終了後パルス信号の発信を停止するパルス信号発生部と、他系装置から前記状態信号ラインを通じて状態信号を受信する他系状態信号受信部と、他系装置のパルス信号発生部からパルス信号ラインを通じパルス信号を受信する他系パルス信号受信部と、他系装置からの前記状態信号と前記パルス信号により他系装置の状態を認識する他系状態認識部とを前記制御系装置及び待機系装置に備えている。

以上説明したように、この発明によれば、制御装置内でメモリのパリティエラーやＳ/Ｗ暴走を検出するためのＷＤＴ(Watch Dog Timer)エラー等のＨ/Ｗ故障を検出するＨ/Ｗ異常検出部自体が故障しているような場合でも、他系の状態を正しく認識することができ、その結果、制御系から待機系への切り替え後の動作を保証し、制御装置の信頼性を高めることができる。

この発明の実施の形態１に係る２重系制御装置の構成を示すブロック図である。この発明の実施の形態１における待機系Ｓ/Ｗ異常検出部の動作を示すフローチャートである。この発明の実施の形態２に係る２重系制御装置の構成を示すブロック図である。この発明の実施の形態２における待機系パルス信号ラインと待機系状態信号ラインの状態を説明するタイミングチャートである。この発明の実施の形態３に係る２重系制御装置の構成を示すブロック図である。この発明の実施の形態４に係る２重系制御装置の構成を示すブロック図である。この発明の実施の形態５に係る２重系制御装置の構成を示すブロック図である。

実施の形態１.
図１は、この発明の実施の形態１に係る２重系制御装置のシステム構成を示す図である。この２重系制御装置は、現に稼動中の制御系装置１と待機中の待機系装置２とからなり、相互にパルス信号ライン１８、２８及び状態信号ライン１９、２９で接続されている。制御系装置１と待機系装置２とは同一構成になされており、状態に応じて切り替えられて稼動するようになっている。制御系装置１と待機系装置２はそれぞれ次のような要素から構成されている。すなわち、パルス期間レジスタ１１１、２２１に所定値が設定された期間はパルス信号を発信するが、その期間を過ぎるとパルス信号の発信を停止するパルス信号発生部１１、２１と、状態レジスタ１１２、２２２の値によって前記状態信号ライン１９、２９を通じて他系に自系の状態（例えば正常または異常）をＯＮ/ＯＦＦ値によって通知する状態信号発生部１２、２２を備えている。制御系装置１と待機系装置２には前記パルス信号ライン１８、２８を通じて他系装置からのパルス信号を受信する他系パルス信号受信部１３、２３と、前記状態信号ライン１９、２９を通じて他系の状態信号を受信する他系状態信号受信部１４、２４が設けられている。

また、制御系装置１と待機系装置２には、Ｓ/Ｗにより自系の正常または異常の検出及び通知を行うＳ/Ｗ異常検出部１５、２５と、Ｈ/Ｗにより自系の正常また異常の検出及び通知を行うＨ/Ｗ異常検出部１６、２６が具わっている。さらに、各系は、他系装置からのパルス信号を他系パルス信号受信部１３、２３から、また、他系装置からの状態信号を他系状態信号受信部１４、２４から受けて他系装置の状態を認識する他系状態認識部１７、２７を有している。前記Ｓ/Ｗ異常検出部１５、２５は、Ｓ/Ｗが動作できない異常を検出した場合、待機系状態レジスタ１１２、２２２に異常状態をセットし、異常を検出しなかった場合、パルス期間レジスタ１１１、２２１にＳ/Ｗ異常検出部１５、２５の実行周期（例えば１００ミリ秒周期で動作していれば「１００」）を設定するようになされている。すなわち、パルス期間レジスタ１１１と２２１はパルス発生期間情報を格納するパルス期間レジスタである。また、Ｈ/Ｗ異常検出部１６、２６は、例えば、メモリのパリティエラーやＳ/Ｗ暴走を検出するためのＷＤＴ(Watch Dog Timer)エラー等のＨ/Ｗ故障を常時チェックしており、異常を検出した場合、即座に状態レジスタ１１２、２２２に異常状態をセットするようになされている。すなわち、状態レジスタ１１２と２２２はＳ/ＷとＨ/Ｗの２つの異常検出部により検出された状態情報（正常または異常）を格納する状態レジスタである。

前記パルス信号発生部１１と他系パルス信号受信部２３は前記パルス信号ライン１８で接続され、前記パルス信号発生部２１と他系パルス信号受信部１３は前記パルス信号ライン２８で接続されている。前記状態信号発生部１２と他系状態信号受信部２４は前記状態信号ライン１９で接続され、前記状態信号発生部２２と他系状態信号受信部１４は前記状態信号ライン２９で接続されている。

次に上記実施の形態１の動作を説明する。図１に示す２重制御装置においては、制御系装置１から待機系装置２へ、待機系装置２から制御系装置１へと相互に自系の状態を通知しあっており、互いに相手系の状態を認識する。制御系装置１から待機系装置２へ、待機系装置２から制御系装置１への状態通知方法及び状態認識方法は同様であるので、ここでは、待機系装置２から制御系装置１への状態通知方法及び制御系装置１内での待機系装置２の状態認識方法についてのみ説明する。

図２は待機系Ｓ/Ｗ異常検出部２５の動作を示すフローチャートである。待機系Ｓ/Ｗ異常検出部２５は定周期で動作しており、Ｓ/Ｗが動作可能かどうかをチェックする（Ｓ１０１）。Ｓ/Ｗが動作できない異常を検出した場合、待機系状態レジスタ２２２に異常状態をセットし（Ｓ１０３）、処理を終了する。異常を検出しなかった場合、待機系パルス期間レジスタ２２１に待機系Ｓ/Ｗ異常検出部２５の実行周期（例えば１００ミリ秒周期で動作していれば「１００」）を設定して（Ｓ１０４）、動作を終了する。

一方、待機系Ｈ/Ｗ異常検出部２６は、例えばメモリのパリティエラーやＳ/Ｗ暴走を検出するためのＷＤＴ(Watch Dog Timer)エラー等のＨ/Ｗ故障を常時チェックしており、異常を検出した場合、即座に待機系状態レジスタ２２２に異常状態をセットする。

待機系状態信号発生部２２は、待機系Ｓ/Ｗ異常検出部２５及び待機系Ｈ/Ｗ異常検出部２６によりセットされた待機系状態レジスタ２２２の値により、待機系状態信号ライン２９にＯＮまたはＯＦＦの信号を送信する。例えば、異常状態の場合はＯＦＦ、正常状態の場合はＯＮの信号を送信する。

待機系パルス信号発生部２１は、待機系パルス期間レジスタ２２１に設定された期間だけパルス信号を発信する。例えば、「１００」と設定された場合は、１００ミリ秒間だけパルス信号を発信する。この際、待機系パルス期間レジスタ２２１の値を１ミリ秒毎に１ずつデクリメントする。実行周期である１００ミリ秒経過後は待機系パルス期間レジスタ２２１の値は「０」となり、パルス信号発生部２１はパルス信号の発信を停止する。この時点で、直ぐにまた、待機系Ｓ/Ｗ異常検出部２５が待機系パルス期間レジスタ２２１に値「１００」を設定すれば、パルス信号が継続して１００ミリ秒間発信されることになる。

一方、制御系装置１側では、制御系他系状態信号受信部１４が待機系状態信号ライン２９より待機系装置２の状態をＯＮ/ＯＦＦ信号で受信し、また、制御系他系パルス信号受信部１３が待機系パルス信号ライン２８より待機系装置２の状態をパルス信号で受信している。

制御系他系状態認識部１７は、待機系装置２からパルス信号を受信し、かつ、待機系装置２からの状態信号が正常（ＯＮ）である場合に、待機系装置２が正常であると認識する。また、パルス信号が停止しているか、または、待機系装置２からの状態信号が異常（ＯＦＦ）を示している場合、待機系装置２は異常であると認識する。

このように、待機系パルス信号発生部２１は、待機系パルス期間レジスタ２２１に設定された期間を経過するとパルス信号の発信を停止するようになっているため、Ｈ/Ｗ異常検出部２６自体が故障しているような場合でも、待機系装置２内でＳ/Ｗが暴走した場合、パルス信号の停止として異常を検出することができ、待機系装置２の状態を正常であると誤認識する問題を回避することができる。

実施の形態２.
図３は、この発明の実施の形態２に係る２重系制御装置のシステム構成を示す図である。構成要素は図１に示す実施の形態１の場合と同様であるが、パルス信号発生部１１、２１が状態レジスタ１１２、２２２の設定内容を参照するようになっており、この動作が実施の形態１と以下のように異なる。

図４（ｂ）は、前述の実施の形態１の構成において、待機系状態信号ライン２９が固着故障のため、ＯＮ固定となっている場合に、待機系Ｈ/Ｗ異常検出部２６により異常が検出された場合の、待機系パルス信号ライン２８と待機系状態信号ライン２９の状態を示したものである。実施の形態１の構成では、待機系Ｈ/Ｗ異常検出部２６により異常が検出された後も、待機系パルス信号発生部２１は、待機系パルス期間レジスタ２２１に設定された実行周期の間はパルス信号を発信し続けるようになっているため、状態信号に固着故障が発生している場合、ｘ時点で異常が発生しても、相手系の状態を正しく認識できるまでに最大で待機系Ｓ/Ｗ異常検出部２５の実行周期時間終了までの遅れｚが生じるという問題がある。

図４（ａ）は、本実施の形態２の構成において、待機系状態信号ライン２９が固着故障のためＯＮ固定となっている場合に、待機系Ｈ/Ｗ異常検出部２６によりこの異常が検出された場合の、待機系パルス信号ライン２８と待機系状態信号ライン２９の状態を示したものである。本実施の形態２では、待機系Ｈ/Ｗ異常検出部２６により異常が検出された場合、待機系パルス信号発生部２１は状態レジスタ２２２の異常状態を読み取り、ｘ時点において即座にパルス信号の発信を停止するようになっている。そのため、他系パルス信号受信部１３は、ｘ時点からパルス信号１周期のｙ時間という短期間後に相手系の異常状態を正しく認識することができる。上記以外の動作については、実施の形態１と同様であるため、省略する。

このように、待機系Ｈ/Ｗ異常検出部２６により異常が検出された場合、待機系パルス信号発生部２１は即座にパルス信号を停止するようになっているので、待機系状態信号ライン２９が固着故障のためＯＮ固定となっている場合でも、異常発生からパルス信号１周期の時間後に相手系の異常状態を正しく認識することができる。

実施の形態３.
図５は、この発明の実施の形態３に係る２重系制御装置のシステム構成を示す図である。実施の形態２（図３）の構成から、状態信号発生部１２、２２、状態信号ライン１９、２９、状態信号受信部１４、２４を削除した構成となっている。その他の構成要素は、実施の形態２（図３）と同様である。

本実施の形態３では、制御系他系状態認識部１７は、待機系装置２からパルス信号を受信している場合には待機系装置２が正常であると認識する。また、パルス信号が停止している場合には、待機系装置２は異常であると認識する。上記以外の構成要素の動作については、実施の形態２と同様であるため省略する。

前記実施の形態２では、状態信号発生部２２から待機系装置２のＨ/Ｗの異常を状態信号として即座に制御系装置１に通知することが出来るのに対して、本実施の形態３ではこの機能はない。しかし、Ｈ/Ｗ異常検出部２６による異常検出は、状態レジスタ２２２からパルス信号発生部２１に送られるため、待機系パルス期間レジスタ２２１に設定された期間を経過した時点で制御系の他系状態認識部１７が異常を検出する。このようにして、パルス信号のみを使って相手系の状態を認識することができるため、制御装置のＨ/Ｗ部品を減らし、コストを削減した形で２重系制御装置を実現することができる。

実施の形態４.
図６は、この発明の実施の形態４に係る２重系制御装置のシステム構成を示す図である。本実施の形態４は、パルス信号ラインを有する２重系制御装置の構成に対して、パルス信号ライン１８を１８ａ、１８ｂに、また、２８を２８ａ、２８ｂにそれぞれ２重化した構成となっている。その他の構成要素は、実施の形態２と同様である。

このようにすることにより、パルス信号ライン１８ａ、２８ａまたは１８ｂ、２８ｂのうち、いずれか一方に固着故障が発生してパルス信号が送信できない状態になった場合でも、もう一方のパルス信号ラインを使って正常にパルス信号が送信できている場合は、相手系の状態を正しく認識することができるようになり、２重系制御装置の信頼性を一層高めることができる。なお、本実施の形態の説明は実施の形態２に基づいて説明しているが、本実施の形態の構成は実施の形態１、３にも適用できる。

実施の形態５.
図７は、この発明の実施の形態５に係る２重系制御装置のシステム構成を示す図である。実施の形態２（図３）の構成の他系状態認識部１７、２７に、動作選択レジスタ３１、４１を追加した構成となっている。その他の構成要素は、実施の形態２（図３）と同様である。

本実施の形態５では、実施の形態２における他系状態認識部１７、２７における状態認識方法を次のように変更する。動作選択レジスタ３１、４１には、パルス信号が正常状態を示し、しかも状態信号が異常状態を示している場合に、他系の状態を正常と認識するのか異常と認識するのかを設定する。制御系他系状態認識部１７は、動作選択レジスタ３１の設定に従って、パルス信号が正常状態を示し、状態信号が異常状態を示している場合に、他系の状態を正常と異常のいずれかとして認識する。待機系他系状態認識部２７と待機系動作選択レジスタ４１との関係も同様である。上記以外の動作については、実施の形態２と同様であるため省略する。なお、本実施の形態の説明は実施の形態２に基づいて説明しているが、本実施の形態の構成は実施の形態１にも適用できる。

パルス信号が正常状態を示し、状態信号が異常状態を示している場合、状態信号が異常状態に固着しているだけで、制御装置は正常に動作している可能性が高いと考えられるが、上記のように、このようなケースで、相手系を正常と認識するか、異常と認識するかを選択可能とすることにより、用途に合わせた動作を実現することが可能となる。

１制御系装置、
２待機系装置、
１１制御系パルス信号発生部、
１２制御系状態信号発生部、
１３制御系他系パルス信号受信部、
１４制御系他系状態信号受信部、
１５制御系Ｓ/Ｗ異常検出部、
１６制御系Ｈ/Ｗ異常検出部、
１７制御系他系状態認識部、
１８、１８ａ、１８ｂ制御系パルス信号ライン、
１９制御系状態信号ライン、
２１待機系パルス信号発生部、
２２待機系状態信号発生部、
２３待機系他系パルス信号受信部、
２４待機系他系状態信号受信部、
２５待機系Ｓ/Ｗ異常検出部、
２６待機系Ｈ/Ｗ異常検出部、
２７待機系他系状態認識部、
２８、２８ａ、２８ｂ待機系パルス信号ライン、
２９待機系状態信号ライン、
３１制御系動作選択レジスタ、
４１待機系動作選択レジスタ、
１１１制御系パルス期間レジスタ、
１１２制御系状態レジスタ、
２２１待機系パルス期間レジスタ、
２２２待機系状態レジスタ。

Claims

制御系装置と待機系装置を有する２重系制御装置において、Ｓ/Ｗにより正常または異常の検出及び通知を行うＳ/Ｗ異常検出部と、Ｈ/Ｗにより正常または異常の検出及び通知を行うＨ/Ｗ異常検出部と、これら２つの異常検出部により検出された状態情報（正常または異常）を格納する状態レジスタと、この状態レジスタの値によって状態信号ラインを通じて他系装置に自系装置の状態を通知する状態信号発生部と、前記Ｓ/Ｗ異常検出部が正常のときのみパルス発生期間情報が繰り返し設定されるパルス期間レジスタと、このパルス期間レジスタに設定された期間はパルス信号を発信するが、その期間終了後パルス信号の発信を停止するパルス信号発生部と、他系装置から前記状態信号ラインを通じて状態信号を受信する他系状態信号受信部と、他系装置のパルス信号発生部からパルス信号ラインを通じパルス信号を受信する他系パルス信号受信部と、他系装置からの前記状態信号と前記パルス信号により他系装置の状態を認識する他系状態認識部とを前記制御系装置及び待機系装置に備えた２重系制御装置。
前記パルス信号発生部は、前記パルス期間レジスタに設定された期間が過ぎたとき及び前記Ｈ/Ｗ異常検出部からの異常検出通知を受けたとき即座にパルス発信を停止するものであることを特徴とする請求項１に記載の２重系制御装置。
他系装置からの状態信号とパルス信号から他系装置の状態が正常か異常かを認識する前記他系状態認識部には、前記他系装置からの状態信号とパルス信号の組み合わせを正常と認識するか異常と認識するか前記他系状態認識部に選択させる動作選択レジスタを付加したことを特徴とする請求項１または２に記載の２重系制御装置。
制御系装置と待機系装置を有する２重系制御装置において、Ｓ/Ｗにより正常または異常の検出及び通知を行うＳ/Ｗ異常検出部と、Ｈ/Ｗにより正常または異常の検出及び通知を行うＨ/Ｗ異常検出部と、前記Ｓ/Ｗ異常検出部が正常のときのみこのＳ/Ｗ異常検出部にパルス発生期間情報が繰り返し設定されるパルス期間レジスタと、このパルス期間レジスタに設定された期間はパルス信号を発信するが、その期間を過ぎたとき及び前記Ｈ/Ｗ異常検出部から異常の通知を受けたときにパルス信号の発信を停止するパルス信号発生部と、他系装置からのパルス信号ラインを通じパルス信号を受信する他系パルス信号受信部と、他系装置からのパルス信号により他系装置の状態を認識する他系状態認識部とを備えた２重系制御装置。
前記パルス信号を他系に送るパルス信号ラインを２重化したことを特徴とする請求項１または４に記載の２重系制御装置。