JP5494077B2

JP5494077B2 - フェールセーフ制御装置

Info

Publication number: JP5494077B2
Application number: JP2010064160A
Authority: JP
Inventors: 仁司岩井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2010-03-19
Filing date: 2010-03-19
Publication date: 2014-05-14
Anticipated expiration: 2030-03-19
Also published as: JP2011198038A

Description

この発明は、フェールセーフ制御装置に関するものである。

近年、人工衛星や宇宙船などの宇宙機器、列車や自動車の安全制御システムなどにおいて、フェールセーフ制御装置が広く利用されている。さらに近い将来、有人宇宙船の設計では、乗員が搭乗しているので、所定の安全性要求をフェールセーフにより満足しなければならない。その要求の根幹において、２フェールセーフといって、いかなる２故障によっても人命への影響に至ってはいけないことが求められるだろう。

フェールセーフ機能を備えたシステムの一例として、列車制御システムのフェールセーフ制御装置がある。この装置は、フェールセーフに情報伝達を行うため、地上装置は同一の論理を持つ多重系計算機を構成し、自系と他系の処理計算結果を相互に交換して照合し、当該照合結果に基づいて自系及び他系の計算機に対する健全性判定結果（例えば、各系計算機が判定した主系（データを出力する系）の正常または異常状態を示す情報）を作成する。作成された健全性判定結果は、処理計算結果とともに地上装置から車上装置に送信され、車上装置側で多数決処理が行われて、処理計算結果の利用可否を判定する（例えば、主系異常の判定時には車上装置内のリレーにより、データ出力を制限する）という手法が用いられている（例えば、特許文献１参照）。

また、宇宙機のランデブドッキング制御装置では、並列に同期動作を行い、同一のソフトウェアおよびハードウェアからなる３台のコントローラと、各コントローラから出力されるアクチュエータ制御及び切換制御信号を多数決処理する比較処理回路により、フェールセーフを実現している（例えば、特許文献２参照）。

特開２００８−２５４５５６号公報

特開平５−２８６４９９号公報

安全性を確実に確保するには、いかなる回路の故障についてもフェールセーフであることを示す必要がある。例えば、国際宇宙ステーションの安全基準では、２フェールセーフといって、いかなる部位の２故障によっても、安全を保証することが要求されている。ただし、同時同モード２故障は、その確率が極めて低いことが定量的に示せる場合は、設計前提から外しても良いとされている。

一般に、多数決回路は、図５に示すように、ＡＮＤゲートやＯＲゲートで構成される。図５の回路では、ＡＮＤゲートまたはＯＲゲートが１つ故障した場合、たとえＡ＝Ｂ＝Ｃであっても、多数決回路の出力は異常になる。

もし、故障許容の多数決回路を構成する方法があれば、図５のような回路を使うよりも、簡単にフェイルセーフシステムを構成することができる。

しかしながら、特許文献１、２に示すような従来のフェールセーフ制御装置においては、多数決を行う多数決処理回路に故障が起きた場合についても、フェールセーフが施されているかどうかについては示されていない。

この発明は、係る課題を解決するためになされたものであり、ｎを自然数とする時、多数決処理回路を含む、いかなる部位のｎ故障によっても、安全を保証するフェールセーフ制御装置を得ることを目的とする。

この発明によるフェールセーフ制御装置は、同一処理対象について同一処理計算を実行し、自系コンピュータの処理計算結果と他系コンピュータの処理計算結果とを相互に交換して照合を行い、照合結果を出力する、（ｎ×２＋１）台（ｎは１以上の整数）のコンピュータと、並列数を（ｎ×２）個からｎ個を選ぶ組合せ数とし、直列数をｎ個とする行列状に配列された複数のスイッチからなり、自己の接続される自系の上記コンピュータと電源との間にそれぞれ接続された（ｎ×２＋１）個の多数決電源スイッチと、を備え、上記多数決電源スイッチは、他系の各上記コンピュータから出力される上記照合結果の組合せに基づいて上記各スイッチの入切を行い、当該各スイッチの入切によって、多数決で自系の上記コンピュータの入切を制御するものである。

この発明によれば、電源と同一処理対象について同一処理計算を実行するコンピュータとの間を接続する多数決電源スイッチによって多数決処理回路を構成し、所要の演算による出力結果を各コンピュータ間で相互に照合し、照合結果により他系コンピュータの多数決電源スイッチを制御することによって、多数決で故障のコンピュータをＯｆｆすることができるので、多数決処理回路も含めたフェールセーフにより、制御系の安全を保証することができる。

この発明に係る実施の形態１によるフェールセーフ制御装置に関し、２フェールセーフを保証する構成例を示す図である。この発明に係る実施の形態１によるフェールセーフ制御装置に関し、ｎを自然数とするときｎ故障時でもフェールセーフを保証する構成例を示す図である。この発明に係る実施の形態２によるフェールセーフ制御装置に関し、ハードウェアは同時複数故障を起こさないことを前提とした場合の、ｎ故障時のフェールセーフを保証する構成例を示す図である。この発明に係る実施の形態２によるフェールセーフ制御装置に関し、ハードウェアは同時複数故障を起こさないことを前提とした場合の、２フェールセーフを保証する構成例を示す図である。従来の多数決回路の構成を示す図である。

実施の形態１．
図１は、この発明に係る実施の形態１によるフェールセーフ制御装置の構成を示す図である。図において、フェールセーフ制御装置は、ＣＰＵ（計算機）から構成される複数（５台）のコンピュータ１（１ａ〜１ｅ）と、複数（５台）の多数決電源スイッチ３と、電源４から構成される。フェールセーフ制御装置は、２フェールセールを実現する冗長構成となっており、２つのコンピュータが同時に故障しても、他の３つのコンピュータが多数決によって、３つ目の故障を検出するまで正確に演算処理を継続することのできる冗長構成が組まれている。これは、５つのコンピュータの多数決処理によって、いかなる部位の2故障によっても、常に正しい演算処理結果を出力することができる２故障許容のフェールセーフ制御装置を構成している。各コンピュータ１ａ〜１ｅは、同一処理対象について同一処理計算を実行する。各コンピュータ１ａ〜１ｅは、データバスを通じて互いに接続されてデータの授受を行い、自系コンピュータの処理計算結果と他系コンピュータの処理計算結果とを相互に交換して照合することができるようになされている。

図１において、英大文字と英小文字の２文字の記号は、英小文字のコンピュータの出力結果を、英大文字のコンピュータで照合したことによる照合結果を示している。
すなわち、コンピュータ１ａは、自系コンピュータによる演算処理結果と、他系コンピュータ１ｂ、１ｃ、１ｄ、１ｅのそれぞれの演算処理による出力データとのデータ照合を行い、それぞれの照合結果Ａｂ、Ａｃ、Ａｄ、Ａｅを出力する。コンピュータ１ｂは、自系コンピュータによる演算処理結果と、他系コンピュータ１ａ、１ｃ、１ｄ、１ｅのそれぞれの演算処理による出力データとのデータ照合を行い、それぞれの照合結果Ｂａ、Ｂｃ、Ｂｄ、Ｂｅを出力する。コンピュータ１ｃは、自系コンピュータによる演算処理結果と、他系コンピュータ１ａ、１ｂ、１ｄ、１ｅのそれぞれの演算処理による出力データとのデータ照合を行い、それぞれの照合結果Ｃａ、Ｃｂ、Ｃｄ、Ｃｅを出力する。コンピュータ１ｄは、自系コンピュータによる演算処理結果と、他系コンピュータ１ａ、１ｂ、１ｃ、１ｅのそれぞれの演算処理による出力データとのデータ照合を行い、それぞれの照合結果Ｄａ、Ｄｂ、Ｄｃ、Ｄｅを出力する。コンピュータ１ｅは、自系コンピュータによる演算処理結果と、他系コンピュータ１ａ、１ｂ、１ｃ、１ｄのそれぞれの演算処理による出力データとのデータ照合を行い、それぞれの照合結果Ｅａ、Ｅｂ、Ｅｃ、Ｅｄを出力する。

各多数決電源スイッチ３は、自系のコンピュータ１と電源４との間に接続される。各多数決電源スイッチ３は、直列に接続された２つのスイッチを１組のスイッチペアとして、６組のスイッチペアを並列に接続して構成される。各多数決電源スイッチ３は、自系に接続されたコンピュータ１の出力結果を、他系に接続された各コンピュータで照合した照合結果がデータバスを介して入力される。各多数決電源スイッチ３は、入力される各コンピュータ１のそれぞれの照合結果に基いて、照合結果が一致した場合はスイッチＯＮ、一致しなかった場合はスイッチＯＦＦとして、各スイッチの切替制御処理を行う。

ここで、例として、自系のコンピュータ１ａに接続された多数決スイッチ３の動作を説明する。
例えば、コンピュータ１ｂ、１ｃが故障している場合、コンピュータ１ｂ及び１ｃからの照合結果の出力データＢａ、Ｂｃ、Ｂｄ、Ｂｅ及びＣａ、Ｃｂ、Ｃｄ、Ｃｅは不一致となる。また、コンピュータ１ｄからの照合結果の出力データＤｂ、Ｄｃは不一致となり、出力データＤａ、Ｄｅは一致となる。コンピュータ１ｅからの照合結果の出力データＥｂ、Ｅｃは不一致となり、出力データＥａ、Ｅｄは一致となる。
この結果、多数決電源スイッチ３において、１列目、３列目〜６列目のスイッチは何れからのスイッチがＯＦＦになるので電源４との接続が遮断されるが、２列目のスイッチはＯＮになるので電源４との接続が維持された状態となる。すなわち、故障していないコンピュータ１ａは、電源４に接続された状態が維持される。

また、コンピュータ１ａのみが故障している場合、コンピュータ１ｂからの照合結果の出力データＢａは不一致となり、出力データＢｃ、Ｂｄ、Ｂｅは一致となる。コンピュータ１ｃからの照合結果の出力データＣａは不一致となり、出力データＣｂ、Ｃｄ、Ｃｅは一致となる。コンピュータ１ｄからの照合結果の出力データＤａは不一致となり、出力データＤｂ、Ｄｃ、Ｄｅは一致となる。コンピュータ１ｅからの照合結果の出力データＥａは不一致となり、出力データＥｂ、Ｅｃ、Ｅｄは一致となる。
この結果、多数決電源スイッチ３において、１列目〜６列目のスイッチは全てがＯＦＦになるので、故障したコンピュータ１ａは電源４との接続が遮断される。
なお、各スイッチの何れか１つがＯＮ故障（ＯＮの状態のまま故障）になっても、直列に接続された他のスイッチがＯＦＦになるので、電源４から確実に遮断されることとなる。

このように構成された実施の形態１によるフェールセーフ制御装置は、同時に２台のコンピュータ１が故障しても、故障していない他系のコンピュータ１の出力データに基いて、故障した自系のコンピュータ１に接続される多数決電源スイッチ３の各スイッチのＯＮ／ＯＦＦが制御され、自系の多数決電源スイッチ３と電源４との接続が遮断される。すなわち、自系のコンピュータ１の電源を他系のコンピュータ１の照合結果の多数決処理に基づいて、２故障を許容して、ＯＮ／ＯＦＦ制御できるように接続している。
これによって、コンピュータ１が電源４から遮断されて、コンピュータ１が非作動状態となり、故障していない他系のコンピュータ１によって継続して演算処理が行われることとなる。

実施の形態２．
図２は、この発明に係る実施の形態２によるフェールセーフ制御装置の構成を示す図である。図において、フェールセーフ制御装置は、ＣＰＵ（計算機）から構成される（２ｎ＋１）台のコンピュータ１と、複数（２ｎ＋１台）の多数決電源スイッチ３と、電源４から構成される。コンピュータ１は、ｎ故障を許容する（同時複数故障を許容する）多重系コンピューターシステムを構成している。図において、フェールセーフｎを自然数とするとき、ｎ故障時でもフェールセーフを保証する多重系コンコンピューターシステム構成単位を示している。アクチュエータ５は、複数（ｎ＋１）台以上構成することにより、ｎ故障時にも、フェールセーフを維持してアクチュエータを有した制御系の制御が行われる。

図２において、（２ｎ＋１）台のコンピュータ１は、同一処理対象について同一処理計算を実行する。自系コンピュータ１は、自系の演算処理結果（Ｓｅｌｆ出力データ）２−１と、他系のコンピュータ１からの演算処理結果（出力データ）２−２〜２−（２ｎ＋１）とを、相互に交換する。自系コンピュータ１は、自系の演算処理結果（Ｓｅｌｆ出力データ）２−１と、他系のコンピュータ１からの演算処理結果（出力データ）２−２〜２−（２ｎ＋１）とを、それぞれ比較することで、照合結果６を得る。照合結果６は、それぞれ他系多数決電源スイッチ３へ出力されることとなる。

各コンピュータ１は、スイッチの並列数をｎ×２個からｎ個を選ぶ組合せ数とし、スイッチの直列数をｎとする行列状に並んだスイッチから構成されて多数決電源スイッチ３に接続される。他系多数決電源スイッチ３は、他系コンピュータ１からの照合結果６に基づいて、自己の各スイッチのＯＮ／ＯＦＦを制御する。
すなわち、他系多数決電源スイッチ３は、各スイッチを各コンピュータ１の組合せで制御することにより、自系の電源４を各コンピュータ１の照合結果６の多数決によってＯＮ／ＯＦＦ制御できるように接続されることで、ｎ故障を許容するフェールセーフ制御を実現する。

ここで、自系コンピュータの照合結果は、常に一致していることが自明なので、多数決の母数から外すことができる。すなわち、多数決電源スイッチ３では、２×ｎ個のコンピュータの内、半数のｎ個の照合結果が一致した場合を正常として考えればよい。
例えば、図１に示した多数決電源スイッチ３においては、直列に接続されたスイッチの内、いずれか１直列の照合結果出力データに対応したコンピュータ２台について、２台１組のスイッチがＯＮで一致すればよい。
したがって、図２の他系多数決電源スイッチ３の場合は、スイッチの直列数はｎとなり、このスイッチ直列回路の並列数は２ｎ個からｎ個を取り出す組合せ_２ｎＣ_ｎで求められる数となり、この数が多数決電源スイッチにおける多数決の母数となる。
その他の詳細については、実施の形態１と同様に多数決処理が行われる。

なお、その他の詳細動作については、実施の形態１と同様に多数決処理が行われる。例えば、図２のｎを２としたときの回路構成が、図１の回路構成となる。図２のフェールセーフ制御装置の動作については、図１のフェールセーフ制御装置のコンピュータ１及び多数決電源スイッチ３の個数を拡張したものになる。
また、多数決電源スイッチ３における電源スイッチ制御の電気信号は、ＬｏｗでスイッチＯｎ、ＨｉｇｈでスイッチＯｆｆとすることにより、一旦多数決で電源Ｏｆｆされたコンピュータを、多数決処理の対象から排除するようにしても良い。

実施の形態３．
図３は、この発明に係る実施の形態３によるフェールセーフ制御装置の構成を示す図である。このフェールセーフ制御装置では、ハードウェアは同時複数故障を起こさないことを前提とした場合の、ｎ故障時のフェールセーフを保証する、多重系コンピューターシステムの１構成単位を示すものである。実施の形態３によるフェールセーフ制御装置は、同一処理対象についてＣＰＵにより同一処理計算を実行するｎ＋２台のコンピュータ（計算機）１と、複数（ｎ＋２台）の多数決電源スイッチ３と、電源４から構成される。コンピュータ１は、自系のコンピュータ１の処理計算結果と他系のコンピュータ１の処理計算結果とを相互に交換して照合することで、ｎ故障を許容する。アクチュエータ５は、主系、従系、第三系の３冗長構成が取られており、（ｎ＋２）台のコンピュータ１を用いて、フェールセーフを維持してアクチュエータを有した制御系の制御が行われる。

コンピュータや半導体部品の信頼度は非常に高いので、同時に複数の故障が起こらないと仮定しても実際的である。この場合、ハードウェアは１個ずつ壊れると仮定しているので、壊れたハードウェアをシステムから分離できれば、多数決処理を行うコンピュータ１の母数は、ｎ＋２個で必要十分である。

また、多数決電源スイッチ３では、自系の照合結果は、常に一致していることが自明なので、多数決の母数から外すことができる。したがって、多数決電源スイッチ３の多数決の母数、すなわち多数決電源スイッチ３を構成するスイッチの並列数はｎ＋１個になる。

多数決電源スイッチ３は、この多数決電源スイッチ３に接続されたコンピュータ１が異常動作した場合に備えて、ｎ−１個までのスイッチのＯＮ故障があっても、このコンピュータ１の電源を遮断できなければならない。したがって、多数決電源スイッチ３の直列数はｎになる。
以上により、多数決電源スイッチ３は、構成するスイッチの直列数がｎであり、スイッチ直列回路の並列数が母数ｎ＋１個からｎ個を取り出す組合せである、_{（ｎ＋１）}Ｃ_ｎとなる。

すなわち、実施の形態３によるフェールセーフ制御装置は、各コンピュータ１が、スイッチの直列数をｎ個、並列数をｎ＋１個とする行列状に並んだ多数決電源スイッチ３を具備する。各多数決電源スイッチ３は、多数決電源スイッチ３を構成する各スイッチを自系以外の各コンピュータ１の組合せで制御することにより、自系のコンピュータ１の電源を他系のコンピュータ１の照合結果の多数決でＯＮ／ＯＦＦ制御できるように接続している。

また、コンピュータ１の母数をｎ＋２個とする多数決処理では、フェールセーフ制御により、壊れたハードウェアを多数決から分離する必要がある。このため、多数決電源スイッチ３の各スイッチを制御する電気信号は、ＬｏｗでスイッチＯｎ、ＨｉｇｈでスイッチＯＦＦとする。これによって、一旦多数決で電源ＯＦＦされたコンピュータは、自動的に、多数決から排除されていくことになる。図３において、照合結果６は不一致でスイッチＯｆｆ(信号はＨｉｇｈ)、一致でスイッチＯｎ（信号はＬｏｗ）となっている。

すなわち、多数決電源スイッチ３における電源スイッチ制御の電気信号は、ＬｏｗでスイッチＯｎ、ＨｉｇｈでスイッチＯｆｆとすることにより、一旦多数決で電源Ｏｆｆされたコンピュータを、多数決処理の対象から排除するようにしている。
なお、その他の詳細動作については、実施の形態１、２と同様に多数決処理が行われる。

実施の形態４．
図４は、この発明に係る実施の形態４によるフェールセーフ制御装置の構成を示す図である。このフェールセーフ制御装置は、図３に示す実施の形態３によるフェールセーフ制御装置において、特に２フェールセーフを保証する例を示している。フェールセーフ制御装置は、ＣＰＵ（計算機）から構成される４台のコンピュータ１（１ａ〜１ｄ）と、それぞれのコンピュータ１に接続された複数の多数決電源スイッチ３と、電源４から構成される。また、図４において、アクチュエータ５は、主系、従系、第三系の３冗長構成が取られており、４台のコンピュータ１を用いて、フェールセーフを維持して制御が行われる。その他の構成及び動作については、実施の形態３と同様であるため、説明を省く。

以上、実施の形態１乃至４に係るフェールセーフ制御装置は、自動列車制御システムや有人宇宙船などに利用することができる。

１コンピュータ、３多数決電源スイッチ、４電源、５アクチュエータ。

Claims

同一処理対象について同一処理計算を実行し、自系コンピュータの処理計算結果と他系コンピュータの処理計算結果とを相互に交換して照合を行い、照合結果を出力する、（ｎ×２＋１）台（ｎは１以上の整数）のコンピュータと、
並列数を（ｎ×２）個からｎ個を選ぶ組合せ数とし、直列数をｎ個とする行列状に配列された複数のスイッチからなり、自己の接続される自系の上記コンピュータと電源との間にそれぞれ接続された（ｎ×２＋１）個の多数決電源スイッチと、
を備え、
上記多数決電源スイッチは、他系の各上記コンピュータから出力される上記照合結果の組合せに基づいて上記各スイッチの入切を行い、当該各スイッチの入切によって、多数決で自系の上記コンピュータの入切を制御するフェールセーフ制御装置。
同一処理対象について同一処理計算を実行し、自系コンピュータの処理計算結果と他系コンピュータの処理計算結果とを相互に交換して照合を行い、照合結果を出力する、（ｎ＋２）台（ｎは１以上の整数）のコンピュータと、
並列数を（ｎ＋１）個、直列数をｎ個とする行列状に配列された複数のスイッチからなり、自己の接続される自系の上記コンピュータと電源との間にそれぞれ接続された（ｎ＋２）個の多数決電源スイッチと、
を備え、
上記多数決電源スイッチは、他系の各上記コンピュータから出力される上記照合結果の組合せに基づいて、上記各スイッチの入切を行い、当該各スイッチの入切によって、多数決で自系の上記コンピュータの入切を制御するフェールセーフ制御装置。