JP6138591B2 - Control system - Google Patents
Control system Download PDFInfo
- Publication number
- JP6138591B2 JP6138591B2 JP2013113596A JP2013113596A JP6138591B2 JP 6138591 B2 JP6138591 B2 JP 6138591B2 JP 2013113596 A JP2013113596 A JP 2013113596A JP 2013113596 A JP2013113596 A JP 2013113596A JP 6138591 B2 JP6138591 B2 JP 6138591B2
- Authority
- JP
- Japan
- Prior art keywords
- control
- unit
- diagnosis
- function unit
- control system
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000003745 diagnosis Methods 0.000 claims description 89
- 238000012360 testing method Methods 0.000 claims description 26
- 238000012795 verification Methods 0.000 claims description 14
- 230000008859 change Effects 0.000 claims description 7
- 230000000087 stabilizing effect Effects 0.000 claims description 3
- 238000000605 extraction Methods 0.000 claims 1
- 230000006870 function Effects 0.000 description 82
- 238000010586 diagram Methods 0.000 description 6
- 230000007850 degeneration Effects 0.000 description 5
- 238000000034 method Methods 0.000 description 4
- 230000005856 abnormality Effects 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 239000000470 constituent Substances 0.000 description 2
- 230000007123 defense Effects 0.000 description 2
- 238000012544 monitoring process Methods 0.000 description 2
- 238000012545 processing Methods 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- 230000006399 behavior Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000001010 compromised effect Effects 0.000 description 1
- 230000005389 magnetism Effects 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 230000007257 malfunction Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000008569 process Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
Landscapes
- Test And Diagnosis Of Digital Computers (AREA)
Description
本発明は，制御システムに関する。
The present invention relates to a control system.
制御対象設備の安全かつ安定な運転を担保するため、制御装置における各種機能の健全性を診断し、機能の異常を未然に、あるいは早期に検出して対策を実行することが求められる。 In order to ensure the safe and stable operation of the control target equipment, it is required to diagnose the soundness of various functions in the control device and to detect the abnormality of the function in advance or at an early stage to take countermeasures.
本技術分野に関連する背景技術として，〔特許文献１〕には、共有バスの診断において、テストパターンによるモジュールの誤動作や診断報告の誤りを防止し、安全かつ正確な診断を実施するための診断制御技術が開示されている。
As a background art related to this technical field, [Patent Document 1] describes a diagnosis for implementing a safe and accurate diagnosis by preventing a module malfunction or a diagnosis report error due to a test pattern in a shared bus diagnosis. A control technique is disclosed.
特に社会インフラ分野の制御システムは社会生活の維持に密接に関連するため，悪意を持つ者により制御装置のセキュリティが侵害された場合には制御対象設備の安全を確保しつつも，稼動状態を可能な限り維持することが求められる。そのため，被害拡大防止の観点から，制御システムには，機能の一部縮退などの状態変更を含む防御機能が必要とされ，かつそれが必要なときに正しく動作することを担保するために定期的な診断が必要とされる。 In particular, the control system in the social infrastructure field is closely related to the maintenance of social life, so if the security of the control device is violated by a malicious person, it can be operated while ensuring the safety of the controlled equipment. It is required to maintain as much as possible. Therefore, from the viewpoint of preventing damage expansion, the control system requires a defense function including a state change such as partial degeneration of the function, and is regularly performed to ensure that it operates correctly when necessary. Diagnosis is required.
ただし，実際に制御状態の変更を行わせるような機能診断の実施にあたっては，それが平常時における制御対象設備の稼動状態を損ねないこと、そして，診断後には診断前の制御状態が維持されることが必要である。 However, when performing functional diagnosis that actually changes the control state, it does not impair the operating state of the controlled equipment in normal times, and the control state before diagnosis is maintained after diagnosis. It is necessary.
従来技術の（特許文献１）の構成は，制御処理の中でそれ以外の機能に対する診断を指令するものであり，制御機能自身の状態変更を伴う機能診断を実施する方法は開示されていない。 The configuration of the prior art (Patent Document 1) instructs diagnosis for other functions in the control process, and does not disclose a method for performing function diagnosis that involves changing the state of the control function itself.
本発明は，平常時における制御対象設備の稼動状態を維持しつつ，制御状態の変更を伴う機能診断を実施可能な制御システムを提供することを目的とする。
An object of this invention is to provide the control system which can implement the functional diagnosis accompanying the change of a control state, maintaining the operating state of the control object equipment in normal times.
上記課題を解決するために、本発明は制御対象設備に対する制御を行う制御システムにおいて、一時的に制御を停止可能で、制御の健全性を診断するテストデータを入力する制御機能部と、該制御機能部の制御データを退避可能な記憶部と、前記制御データを前記記憶部へ退避させ、前記制御機能部の健全性を診断する診断実行制御部と、前記診断結果を出力可能な出力部とを備え、機能診断を行うことを特徴とするものである。 In order to solve the above-described problems, the present invention provides a control function unit for controlling control target equipment, a control function unit capable of temporarily stopping control and inputting test data for diagnosing the soundness of control, and the control A storage unit capable of saving control data of the function unit, a diagnosis execution control unit for saving the control data to the storage unit and diagnosing the soundness of the control function unit, and an output unit capable of outputting the diagnosis result It is characterized by performing functional diagnosis.
更に、本発明は制御システムにおいて、前記制御機能部の応答を収集し解析する診断解析部を備え、該診断解析部は診断の前後における前記制御対象設備に対する制御指令値の変化内容を解析することを特徴とするものである。 Furthermore, the present invention includes a diagnostic analysis unit that collects and analyzes responses of the control function unit in the control system, and the diagnostic analysis unit analyzes changes in the control command value for the control target equipment before and after the diagnosis. It is characterized by.
更に、本発明は制御システムにおいて、前記制御機能部の内部状態を取得及び設定する状態取得・設定部を備え、前記診断実行制御部は制御状態を監視・退避あるいは復元するために、前記状態取得・設定部に接続され、制御機能部の内部状態を取得・設定可能となるようにしたことを特徴とするものである。 The present invention further includes a state acquisition / setting unit that acquires and sets an internal state of the control function unit in the control system, and the diagnosis execution control unit acquires the state in order to monitor, save, or restore the control state. -It is connected to the setting unit, and the internal state of the control function unit can be acquired and set.
更に、本発明は制御システムにおいて、前記制御対象設備に対する制御出力を安定させるための代替出力生成部と、前記制御対象設備に対する制御出力の出力元を切り替える制御出力切替部とを備えたことを特徴とするものである。 Furthermore, the present invention is characterized in that the control system includes an alternative output generation unit for stabilizing the control output for the control target equipment, and a control output switching unit for switching an output source of the control output for the control target equipment. It is what.
更に、本発明は制御システムにおいて、前記テストデータが更新可能であることを特徴とするものである。 Furthermore, the present invention is characterized in that in the control system, the test data can be updated.
更に、本発明は制御システムにおいて、制御を一時的に停止した際に、停止状態信号を外部へ出力することを特徴とするものである。
Furthermore, the present invention is characterized in that, in the control system, when the control is temporarily stopped, a stop state signal is output to the outside.
本発明によれば，制御対象設備の稼動状態を維持しつつ，制御状態の変更を伴う機能診断を実施可能な制御システムを提供することができる。
ADVANTAGE OF THE INVENTION According to this invention, the control system which can implement the function diagnosis accompanying the change of a control state can be provided, maintaining the operation state of controlled object equipment.
以下，図面を用いて本発明の実施例を説明する。 Embodiments of the present invention will be described below with reference to the drawings.
本実施例では，本願の第一の発明である制御システムについて説明する。 In this embodiment, a control system according to the first invention of the present application will be described.
＜各部の構成と機能＞
図１は，本実施例における制御システム１の全体構成図である。
<Configuration and function of each part>
FIG. 1 is an overall configuration diagram of a control system 1 in the present embodiment.
制御装置１０は、制御プログラム（図示せず）に従い、制御対象設備２に対する制御指令値を算出する装置であり、制御プログラムを実行する制御機能部１１と，セキュリティの侵害時に制御機能の縮退などの保護指令を生成する保護機能部１２と，制御機能部１１の内部状態を取得及び設定する状態取得・設定部１３と，診断時に入力されたテストデータに対する保護機能部１２及び制御機能部１１の応答を収集し解析する診断解析部１４と、制御対象設備２に対する制御出力の出力元を切り替える制御出力切替部１５と、制御対象設備２に対する制御出力を安定させるための代替出力生成部１６とを具備する。 The control device 10 is a device that calculates a control command value for the control target equipment 2 according to a control program (not shown), such as a control function unit 11 that executes the control program, and a degeneration of the control function when security is compromised. The protection function unit 12 that generates a protection command, the state acquisition / setting unit 13 that acquires and sets the internal state of the control function unit 11, and the responses of the protection function unit 12 and the control function unit 11 to the test data input at the time of diagnosis A diagnostic analysis unit 14 that collects and analyzes data, a control output switching unit 15 that switches an output source of control output for the control target equipment 2, and an alternative output generation unit 16 for stabilizing the control output for the control target equipment 2 To do.
機能診断装置２０は、制御装置１０において制御を停止可能となったときに、制御装置１０に対してテストデータを入力し、制御装置１０における保護機能部１２の健全性診断を実行する装置であり、制御装置１０における制御状態を監視し、診断の実行を指令する診断実行制御部２１と、診断実行制御部２１からの指令に基づき、テストデータを生成して制御装置１０に入力する診断入力生成部２２と、制御機能部１１の内部状態を退避する退避メモリ２３と、テストデータに対して制御装置１０が生成する診断報告を受信し、検証する診断結果検証部２４を具備する。 The function diagnosis device 20 is a device that inputs test data to the control device 10 when the control device 10 can stop control, and performs a soundness diagnosis of the protection function unit 12 in the control device 10. The diagnosis execution control unit 21 for monitoring the control state in the control device 10 and instructing the execution of diagnosis, and the diagnostic input generation for generating test data and inputting the test data to the control device 10 based on the command from the diagnosis execution control unit 21 Unit 22, a save memory 23 for saving the internal state of the control function unit 11, and a diagnosis result verification unit 24 that receives and verifies a diagnosis report generated by the control device 10 for the test data.
また、診断実施装置２０には、テストデータの生成パターンの設定・更新及び診断実行結果の監視・記録を行うための管理端末２５が接続される。 The diagnosis execution apparatus 20 is connected to a management terminal 25 for setting / updating a test data generation pattern and monitoring / recording a diagnosis execution result.
制御装置１０と機能診断装置２０は、制御用ネットワーク３０を介して相互に接続される。診断実行制御部２１は、制御装置１０の制御状態を監視・退避あるいは復元するために、状態取得・設定部１３に接続され、制御機能部１１の内部状態を取得・設定可能となるように構成される。診断実行制御部２１と状態取得・設定部１３との接続手段は、専用線を用いても、上記の制御用ネットワーク３０を用いてもよい。 The control device 10 and the function diagnosis device 20 are connected to each other via the control network 30. The diagnosis execution control unit 21 is connected to the state acquisition / setting unit 13 in order to monitor / save / restore the control state of the control device 10 and can be configured to acquire / set the internal state of the control function unit 11. Is done. The connection means between the diagnosis execution control unit 21 and the state acquisition / setting unit 13 may use a dedicated line or the control network 30 described above.
加えて、診断実行制御部２１は制御装置１０の診断中における制御出力の切り替え指令と、診断実行後の解析結果取得のため、制御出力切替部１５と、診断解析部１４に接続された診断結果検証部２４にそれぞれ接続する。 In addition, the diagnosis execution control unit 21 receives a control output switching command during diagnosis of the control device 10 and a diagnosis result connected to the control output switching unit 15 and the diagnosis analysis unit 14 in order to obtain an analysis result after the diagnosis is executed. Each is connected to the verification unit 24.
なお、上記の接続態様に関して、１台の機能診断装置２０に対して任意の台数の制御装置１０が接続される各種の接続手段を構成してよい。
＜全体の動作＞
次に、全体の動作について、図２から図４までを参照して説明する。
In addition, regarding the connection mode described above, various connection means for connecting an arbitrary number of control devices 10 to one function diagnosis device 20 may be configured.
<Overall operation>
Next, the overall operation will be described with reference to FIGS.
図２は、本実施例における平常運転時から診断開始前にかけての動作を説明する図である。 FIG. 2 is a diagram for explaining the operation from the normal operation to the start of diagnosis in the present embodiment.
制御機能部１１は、例えば１０ｍｓといった所定の制御周期で制御プログラムを実行し、制御指令値１００を算出する。このとき、制御プログラムの実行により、制御機能部１１の内部状態も制御周期ごとに更新される。制御システム１が平常状態にあるとき、制御出力切替部１５は制御機能部１１の側に接続されており、制御指令値１００は制御対象設備２に出力される。 The control function unit 11 calculates a control command value 100 by executing a control program at a predetermined control cycle such as 10 ms. At this time, the internal state of the control function unit 11 is also updated every control cycle by executing the control program. When the control system 1 is in a normal state, the control output switching unit 15 is connected to the control function unit 11 side, and the control command value 100 is output to the control target equipment 2.
診断実行制御部２１は、前記の制御周期ごとに状態取得・設定部１３を介して制御機能部１１の内部状態を取得し、制御装置１０が一時的に制御を休止可能かどうか判定する。例えば、制御対象設備２がボイラである場合において、蒸気圧力が許容上下限値に対して十分余裕を持っており、かつ流量変動が少ないときに制御を休止するといった判定が可能である。 The diagnosis execution control unit 21 acquires the internal state of the control function unit 11 via the state acquisition / setting unit 13 for each control cycle, and determines whether the control device 10 can temporarily stop the control. For example, when the control target equipment 2 is a boiler, it is possible to determine that the control is stopped when the steam pressure has a sufficient margin with respect to the allowable upper and lower limit values and the flow rate fluctuation is small.
診断実行制御部２１は、一時的に制御を休止可能と判定した場合、取得した制御機能部１１の内部状態を退避メモリ２３に保存する。次いで、診断実行制御部２１は、制御出力切替部１５に対し、代替出力生成部１６と接続するよう出力切替指令２００を出力する。出力切替指令２００は、診断実行中を示す信号として制御システム１の外部へも出力されるようにしてよい。 When the diagnosis execution control unit 21 determines that the control can be temporarily stopped, the diagnosis execution control unit 21 stores the acquired internal state of the control function unit 11 in the save memory 23. Next, the diagnosis execution control unit 21 outputs an output switching command 200 to the control output switching unit 15 so as to connect to the alternative output generation unit 16. The output switching command 200 may be output to the outside of the control system 1 as a signal indicating that the diagnosis is being executed.
図３は、本実施例における診断実行中の動作を説明する図である。 FIG. 3 is a diagram for explaining an operation during execution of diagnosis in the present embodiment.
診断実行制御部２１は、御機能部１１の内部状態を退避メモリ２３に保存した後、診断入力生成部２２に対してテストデータ生成を指示する。診断入力生成部２２は、テストデータ生成パターン２６に基づいて一連のテストデータ２７を生成し、制御装置１０に対して送出する。テストデータ生成パターン２６は診断の目的に合わせて作成され、管理端末２５から設定されるものである。 The diagnostic execution control unit 21 instructs the diagnostic input generation unit 22 to generate test data after saving the internal state of the control unit 11 in the save memory 23. The diagnostic input generation unit 22 generates a series of test data 27 based on the test data generation pattern 26 and sends it to the control device 10. The test data generation pattern 26 is created according to the purpose of diagnosis and is set from the management terminal 25.
例えば、保護機能部１２に関してセキュリティ侵害に対する防御機能を診断しようとする場合、テストデータ生成パターン２６は、既知の攻撃パターン（特定の通信ポートに侵入コードを送りつけてメモリ上に配置させ、さらに前記侵入コードを介して外部から攻撃コードを送り込むなど）を再現可能なように作成する。 For example, when diagnosing a defense function against a security breach with respect to the protection function unit 12, the test data generation pattern 26 is a known attack pattern (an intrusion code is sent to a specific communication port and placed on a memory, and Create an attack code that can be reproduced from the outside via an intrusion code.
送出されるテストデータ２７は、例えば上記の攻撃パターンを元に、通信ポートの番号や侵入コードの長さやアドレスといったパラメータを所定の範囲で変更し、保護機能部１２が適切に動作することを確認可能となるように生成する。 The test data 27 to be transmitted confirms that the protection function unit 12 operates properly by changing parameters such as the communication port number, intrusion code length, and address within a predetermined range based on the above attack pattern, for example. Generate as possible.
テストデータ２７を受信した保護機能部１２は、これを制御入力に対する実際の攻撃として認識し、攻撃内容に対応する所定の保護出力、例えば制御機能部１１に対する機能縮退指令１０１を発動する。制御機能部１１が機能縮退指令１０１を受信し、自らの制御機能の一部を制限することで、制御機能部１１が算出する制御指令値１００の内容も変化する。 The protection function unit 12 that has received the test data 27 recognizes this as an actual attack on the control input, and issues a predetermined protection output corresponding to the attack content, for example, a function degeneration command 101 for the control function unit 11. When the control function unit 11 receives the function degeneration command 101 and restricts a part of its own control function, the content of the control command value 100 calculated by the control function unit 11 also changes.
診断解析部１４は、発行された機能縮退指令１０１の内容や、診断の前後における制御指令値１００の変化内容を解析し、結果を診断報告１０２として診断結果検証部２４へ送信する。尚、診断報告１０２の返送手段は、専用線であっても、制御ネットワーク３０を利用したものでもよい。 The diagnosis analysis unit 14 analyzes the contents of the issued function degeneration command 101 and the change contents of the control command value 100 before and after the diagnosis, and transmits the result as a diagnosis report 102 to the diagnosis result verification unit 24. Note that the return means for the diagnosis report 102 may be a dedicated line or one using the control network 30.
図４は、本実施例における診断完了時の動作を説明する図である。 FIG. 4 is a diagram for explaining the operation when the diagnosis is completed in the present embodiment.
診断結果検証部２４は、診断解析部１４から受信した診断報告１０２を、送出したテストデータ２７に対する診断報告の期待値２０１と比較し、保護機能部１２及び制御機能部１１が期待する挙動を示したかどうかを検証する。期待値２０１は、診断結果検証部２４が検証に先立ちテストデータ２７に基づいて生成したものである。 The diagnostic result verification unit 24 compares the diagnostic report 102 received from the diagnostic analysis unit 14 with the expected value 201 of the diagnostic report for the transmitted test data 27 and shows the behavior expected by the protection function unit 12 and the control function unit 11. Verify whether or not The expected value 201 is generated by the diagnosis result verification unit 24 based on the test data 27 prior to verification.
診断報告１０２の検証の結果、期待値２０１との不一致が検出された場合は、保護機能部１２または制御機能部１１の機能異常が疑われるため、アラーム信号を管理端末２５に送信、表示し、制御システム１の健全性を維持するために必要な対応を運転要員に促す。 As a result of the verification of the diagnostic report 102, when a mismatch with the expected value 201 is detected, a function abnormality of the protection function unit 12 or the control function unit 11 is suspected, so an alarm signal is transmitted to the management terminal 25 and displayed. The operation staff is encouraged to take necessary actions to maintain the soundness of the control system 1.
続いて、診断結果検証部２４は、検証結果に関わらず、診断を実施したエビデンスとして、診断実施日時、診断に用いたテストデータ２７、退避メモリ２３に退避した制御機能部１１の内部状態、診断報告１０２の内容を診断記録２０２として管理端末２５に出力し、さらに、診断実行制御部２１に対して診断報告の検証完了通知２０３を発行する。 Subsequently, regardless of the verification result, the diagnosis result verification unit 24 provides the diagnosis execution date and time, the test data 27 used for the diagnosis, the internal state of the control function unit 11 saved in the save memory 23, the diagnosis The contents of the report 102 are output to the management terminal 25 as a diagnostic record 202, and further a diagnostic report verification completion notification 203 is issued to the diagnostic execution control unit 21.
診断実行制御部２１は、診断報告の検証完了通知２０３を検出後、退避メモリ２３に保存されていた制御機能部１１の診断実行前の内部状態を状態取得・設定部１３を介して制御機能部１１に再設定し、テストデータ２７によって変更された可能性のある制御状態を復元した後、出力切替指令２００を解除し、制御出力切替部１５と制御機能部１１を再接続して制御を継続させる。 The diagnosis execution control unit 21 detects the internal state before the diagnosis execution of the control function unit 11 stored in the save memory 23 after detecting the diagnosis report verification completion notification 203 via the state acquisition / setting unit 13. 11 is restored, and the control state that may have been changed by the test data 27 is restored, then the output switching command 200 is canceled, and the control output switching unit 15 and the control function unit 11 are reconnected to continue control. Let
以上説明した動作により、本実施例の制御システムは制御を休止可能な状態となったときに制御機能部１１の内部状態を退避させて機能診断を実施し、診断実施後に前記退避させた内部状態を制御機能部１１に再設定して制御を継続させる。従って、制御状態を維持しながらも、制御状態の変更を伴う機能診断を実行することが可能となる。
By the operation described above, the control system of the present embodiment performs the function diagnosis by retracting the internal state of the control function unit 11 when the control can be paused, and the internal state that is retracted after the diagnosis is performed. Is reset in the control function unit 11 to continue the control. Therefore, it is possible to execute the function diagnosis accompanied with the change of the control state while maintaining the control state.
本実施例では，本願の第二の発明である制御システムについて説明する。 In this embodiment, a control system according to the second invention of the present application will be described.
＜各部の構成と機能＞
図５は，本実施例における制御システム１−２の全体構成図である。
制御装置１０−２ａ及び１０−２ｂは、実施例１における制御装置１０とほぼ同様の構成であり，制御プログラムに従って制御対象設備２に対する制御指令値を算出する機能を具備する。ただし，制御装置１０における診断実行部１４及び代替出力生成部１６が省かれている。また，制御出力切替部１５は制御装置の外部に設けられ，制御装置１０−２ａ及び１０−２ｂの制御機能部１１の出力にそれぞれ接続される。この構成により，制御装置１０−２ａ及び１０−２ｂは待機冗長系として機能する。本実施例では，制御装置１０−２ａを主系（稼動系），制御装置１０−２ｂを従系（待機系）と仮定する。
<Configuration and function of each part>
FIG. 5 is an overall configuration diagram of the control system 1-2 in the present embodiment.
The control devices 10-2a and 10-2b have substantially the same configuration as the control device 10 in the first embodiment, and have a function of calculating a control command value for the control target equipment 2 according to a control program. However, the diagnosis execution unit 14 and the alternative output generation unit 16 in the control device 10 are omitted. The control output switching unit 15 is provided outside the control device and is connected to the outputs of the control function units 11 of the control devices 10-2a and 10-2b. With this configuration, the control devices 10-2a and 10-2b function as a standby redundant system. In this embodiment, it is assumed that the control device 10-2a is a main system (active system) and the control device 10-2b is a subordinate system (standby system).
また，機能診断装置２０−２は、実施例１における機能診断装置２０から退避メモリ２３を除いたものである。なお，機能診断装置２０−２は、制御装置１０−２ａ及び１０−２ｂに内蔵されていてもよい。 The function diagnosis apparatus 20-2 is the same as the function diagnosis apparatus 20 according to the first embodiment except the save memory 23. The function diagnostic device 20-2 may be built in the control devices 10-2a and 10-2b.
このほか，実施例１におけるサフィックスなしの構成要素と，本実施例における同じ番号にａ及びｂのサフィックスが付いた構成要素は，同じ機能を持つ。 In addition, the constituent elements without the suffix in the first embodiment and the constituent elements with the suffixes a and b added to the same number in the present embodiment have the same function.
＜全体の動作＞
制御装置１０−２ａ及び１０−２ｂは、上述の通り待機冗長系を構成している。いずれも，実施例１と同様，制御機能部１１ａ及び１１ｂにおいて，所定の制御周期で制御プログラムを実行し、制御指令値１００を算出する。平常運転時，制御出力切替部１５は，制御装置１０−２ａからの制御指令値を制御対象設備２へ出力するように構成される。
<Overall operation>
The control devices 10-2a and 10-2b constitute a standby redundant system as described above. In either case, as in the first embodiment, the control function units 11a and 11b execute a control program at a predetermined control cycle to calculate a control command value 100. During normal operation, the control output switching unit 15 is configured to output a control command value from the control device 10-2a to the control target equipment 2.
図６は，本実施例の制御システムにおいて，診断開始までの動作を説明する図である。 FIG. 6 is a diagram for explaining the operation up to the start of diagnosis in the control system of the present embodiment.
診断実行制御部２１−２は、機能診断が必要と判定した場合、例えば所定の時間ごとに，状態取得・設定部１３ａ及び１３ｂに対し，制御装置１０−２ａから制御装置１０−２ｂへの内部状態の退避を指示する。状態取得・設定部１３ａは制御機能部１１ａの内部状態を取得し，状態取得・設定部１３ｂへ送信する。状態取得・設定部１３ｂは，受信した内部状態を制御機能部１１ｂに設定する。次いで、診断実行制御部２１は、制御出力切替部１５に対し、制御機能部１１ｂと接続するよう出力切替指令２００を出力する。以上の手順により，主系と従系の制御状態を厳密に一致させた上で，制御出力を従系側に切り替える。 When the diagnosis execution control unit 21-2 determines that the function diagnosis is necessary, for example, at every predetermined time, the diagnosis execution control unit 21-2 causes the internal state from the control device 10-2a to the control device 10-2b with respect to the state acquisition / setting units 13a and 13b. Instructs to save the state. The state acquisition / setting unit 13a acquires the internal state of the control function unit 11a and transmits it to the state acquisition / setting unit 13b. The state acquisition / setting unit 13b sets the received internal state in the control function unit 11b. Next, the diagnosis execution control unit 21 outputs an output switching command 200 to the control output switching unit 15 so as to connect to the control function unit 11b. According to the above procedure, the control output is switched to the slave side after the control states of the master and slave are strictly matched.
以降，実施例１と同様に，テストデータを保護機能部１２ａへ送出し，その結果診断解析部１４ｂが生成する診断報告１０２を診断結果検証部２４にて期待値と比較することで保護機能の健全性を検証する。 Thereafter, as in the first embodiment, the test data is sent to the protection function unit 12a, and as a result, the diagnosis report 102 generated by the diagnosis analysis unit 14b is compared with the expected value by the diagnosis result verification unit 24, thereby providing the protection function. Verify soundness.
診断完了後，診断実行制御部２１−２が状態取得・設定部１３ａ及び１３ｂに対し，制御装置１０−２ｂから制御装置１０−２ａへの内部状態の復元を指示する。状態取得・設定部１３ｂは制御機能部１１ｂの内部状態を取得し，状態取得・設定部１３ａへ送信する。状態取得・設定部１３ａは受信した内部状態を制御機能部１１ａに設定する。次いで、診断実行制御部２１が制御出力切替部１５に対し、制御機能部１１ａと接続するよう出力切替指令２００を出力する。 After the diagnosis is completed, the diagnosis execution control unit 21-2 instructs the state acquisition / setting units 13a and 13b to restore the internal state from the control device 10-2b to the control device 10-2a. The state acquisition / setting unit 13b acquires the internal state of the control function unit 11b and transmits it to the state acquisition / setting unit 13a. The state acquisition / setting unit 13a sets the received internal state in the control function unit 11a. Next, the diagnosis execution control unit 21 outputs an output switching command 200 to the control output switching unit 15 so as to connect to the control function unit 11a.
以上の動作により，診断開始時に主系制御装置の制御状態を従系制御装置で引き継ぎ，全体として制御対象設備２への制御を停止することなく主系制御装置の機能診断を実施することが可能となる。 With the above operation, it is possible to take over the control state of the master controller at the start of diagnosis by the slave controller and perform the function diagnosis of the master controller without stopping the control of the controlled equipment 2 as a whole. It becomes.
尚、本発明は上記した実施例に限定されるものではなく，様々な変形例が含まれる。例えば，上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり，必ずしも説明した全ての構成を備えるものに限定されるものではない。 In addition, this invention is not limited to an above-described Example, Various modifications are included. For example, the above-described embodiments have been described in detail for easy understanding of the present invention, and are not necessarily limited to those having all the configurations described.
また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、半導体メモリや、ハードディスク等の記録装置、または、磁気や光を利用する記録媒体に置くことができる。
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
Further, a part of the configuration of one embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of one embodiment. Further, it is possible to add, delete, and replace other configurations for a part of the configuration of each embodiment.
Each of the above-described configurations, functions, processing units, processing means, and the like may be realized by hardware by designing a part or all of them with, for example, an integrated circuit. Each of the above-described configurations, functions, and the like may be realized by software by interpreting and executing a program that realizes each function by the processor. Information such as programs, tables, and files for realizing each function can be placed in a semiconductor memory, a recording device such as a hard disk, or a recording medium using magnetism or light.
Further, the control lines and information lines indicate what is considered necessary for the explanation, and not all the control lines and information lines on the product are necessarily shown. Actually, it may be considered that almost all the components are connected to each other.
１ 制御システム
２ 制御対象設備
１０ 制御装置
１１ 制御機能部
１２ 保護機能部
１３ 状態取得・設定部
１４ 診断結果解析部
２０ 機能診断装置
２１ 診断実行制御部
２２ 診断入力生成部
２３ 退避メモリ
２４ 診断結果検証部
２５ 管理端末
３０ 制御ネットワーク
DESCRIPTION OF SYMBOLS 1 Control system 2 Control object equipment 10 Control apparatus 11 Control function part 12 Protection function part 13 State acquisition and setting part 14 Diagnosis result analysis part 20 Function diagnosis apparatus 21 Diagnosis execution control part 22 Diagnosis input generation part 23 Saved memory 24 Diagnosis result verification Part 25 Management terminal 30 Control network
Claims (6)
一時的に制御を停止可能で、制御の健全性を診断するテストデータを入力する制御機能部と、
該制御機能部の制御データを退避可能な記憶部と、
前記制御データを前記記憶部へ退避させ、前記制御機能部の健全性を診断する診断実行制御部と、
前記診断結果を出力可能な出力部と、
前記制御機能部の内部状態を取得及び設定する状態取得・設定部を備え、
前記診断実行制御部は制御状態を監視・退避あるいは復元するために、前記状態取得・設定部に接続され、制御機能部の内部状態を取得・設定することを特徴とする制御システム。
In the control system that controls the equipment to be controlled,
A control function unit that can temporarily stop control and inputs test data for diagnosing the soundness of control;
A storage unit capable of saving control data of the control function unit;
A diagnosis execution control unit for evacuating the control data to the storage unit and diagnosing the soundness of the control function unit;
An output unit capable of outputting the diagnosis result ;
A state acquisition / setting unit for acquiring and setting the internal state of the control function unit;
The diagnosis execution control unit is connected to the state acquisition / setting unit and acquires / sets the internal state of the control function unit in order to monitor / save / restore the control state .
前記制御機能部に入力されるテストデータ及び前記制御機能部から出力される制御指令値を収集し、前記テストデータの入力前後に対応する前記制御指令値の変化内容を抽出し、さらに、前記抽出した制御指令値の変化内容を前記テストデータに対応する所定の期待値と比較する診断解析・検証部を備えることを特徴とする制御システム。
The control system of claim 1,
The test data input to the control function unit and the control command value output from the control function unit are collected, the change contents of the control command value corresponding to before and after the input of the test data are extracted, and the extraction A control system, comprising: a diagnostic analysis / verification unit that compares the change contents of the control command value with a predetermined expected value corresponding to the test data .
前記制御対象設備に対する制御出力を安定させるための代替出力生成部と、
前記制御対象設備に対する制御出力の出力元を切り替える制御出力切替部と
を備えたことを特徴とする制御システム。
The control system of claim 1,
An alternative output generation unit for stabilizing the control output for the equipment to be controlled;
A control system comprising: a control output switching unit that switches an output source of control output for the equipment to be controlled.
前記テストデータが更新可能であることを特徴とする制御システム。
The control system of claim 1,
A control system characterized in that the test data can be updated.
制御を一時的に停止した際に、停止状態信号を外部へ出力することを特徴とする制御システム。
The control system of claim 1,
A control system that outputs a stop state signal to the outside when control is temporarily stopped.
主系の制御機能部と従系の制御機能部とを備え、前記主系の制御機能部の制御データを前記従系の制御機能部へ退避させることを特徴とする制御システム。 The control system according to any one of claims 1 to 5 ,
A control system comprising a main control function unit and a subordinate control function unit, wherein control data of the main control function unit is saved to the subordinate control function unit.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013113596A JP6138591B2 (en) | 2013-05-30 | 2013-05-30 | Control system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013113596A JP6138591B2 (en) | 2013-05-30 | 2013-05-30 | Control system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2014232462A JP2014232462A (en) | 2014-12-11 |
| JP6138591B2 true JP6138591B2 (en) | 2017-05-31 |
Family
ID=52125792
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2013113596A Expired - Fee Related JP6138591B2 (en) | 2013-05-30 | 2013-05-30 | Control system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6138591B2 (en) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11308243B2 (en) * | 2019-09-11 | 2022-04-19 | International Business Machines Corporation | Maintenance of access for security enablement in a storage device |
| US11354455B2 (en) | 2019-09-11 | 2022-06-07 | International Business Machines Corporation | Maintenance of access for security enablement on a host system |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS5960509A (en) * | 1982-09-29 | 1984-04-06 | Toshiba Corp | Digital input/output board |
| JPH0546427A (en) * | 1991-08-09 | 1993-02-26 | Nec Corp | Online system |
| JPH08286703A (en) * | 1995-04-14 | 1996-11-01 | Toshiba Corp | Digital controller |
| JPH09297601A (en) * | 1996-05-07 | 1997-11-18 | Mitsubishi Heavy Ind Ltd | Controller |
| JP2005092520A (en) * | 2003-09-17 | 2005-04-07 | Fuji Electric Systems Co Ltd | Duplication controller system and equalization method thereof |
| JP2007293678A (en) * | 2006-04-26 | 2007-11-08 | Hitachi Ltd | Apparatus for diagnosing common bus connection |
| JP2009157525A (en) * | 2007-12-25 | 2009-07-16 | Duaxes Corp | Testing device |
| JP5393592B2 (en) * | 2010-05-25 | 2014-01-22 | 三菱電機株式会社 | Circuit test equipment |
| JP5829392B2 (en) * | 2010-09-30 | 2015-12-09 | 三菱重工業株式会社 | Control device and nuclear power plant control system |
-
2013
- 2013-05-30 JP JP2013113596A patent/JP6138591B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2014232462A (en) | 2014-12-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6015178B2 (en) | Safety system | |
| CN104639380A (en) | Server monitoring method | |
| KR20120020867A (en) | Controller with double structure and method for operating that controller | |
| CN105209982A (en) | Method and apparatus for controlling a physical unit in an automation system | |
| JP6138591B2 (en) | Control system | |
| KR101469179B1 (en) | System for diagnosing communication error of nuclear power plant simmulator | |
| JP6540473B2 (en) | Debug support system | |
| US20160320762A1 (en) | Automation Equipment and Method for Operating Automation Equipment | |
| KR20140145259A (en) | Apparatus and method for analyzing abnormal states of component base system | |
| JP2011034219A (en) | Fault detection method and monitoring device | |
| JP6377537B2 (en) | Power system monitoring apparatus, power system monitoring method, and power system monitoring program | |
| KR101594413B1 (en) | Real-time monitoring system of station control apparatus and monitoring method thereof | |
| CN102662820A (en) | Method and device for data protection | |
| CN111044826B (en) | Detection method and detection system | |
| JP2010003132A (en) | Information processor, and fault detection method of input/output device thereof, and program thereof | |
| TWI494754B (en) | Server monitoring apparatus and method thereof | |
| JP2012088815A (en) | Microprocessor operation monitoring system | |
| KR101245049B1 (en) | Nuclear power plant multiple structure adaptive control apparatus and method | |
| JP2013085427A (en) | Protection controller, diagnostic method, and diagnostic program | |
| WO2020109252A1 (en) | Test system and method for data analytics | |
| JP2016021166A (en) | Plant instrumentation system | |
| KR101540975B1 (en) | Apparatus and method for checking operation integrity on fpga based controller | |
| TWI414939B (en) | Server monitoring method | |
| JP2019121033A (en) | Control device for aircrafts and mutual diagnosis method | |
| JP7370258B2 (en) | Plant monitoring system and plant monitoring method |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20151225 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20160815 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20160927 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20161122 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20170110 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20170112 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20170405 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20170426 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6138591 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |