JP6288609B2

JP6288609B2 - 二重化制御装置

Info

Publication number: JP6288609B2
Application number: JP2015233594A
Authority: JP
Inventors: 郁知渡邉; 幸雄馬庭
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2015-11-30
Filing date: 2015-11-30
Publication date: 2018-03-07
Anticipated expiration: 2035-11-30
Also published as: US20170155546A1; JP2017102569A; US10574514B2

Description

本発明は、二重化制御装置に関し、特に切換部の固着故障を検出可能な二重化制御装置に関する。

装置の信頼性を高める手法の一つとして二重化方式がある。二重化されたシステムにおいては、どちらか一方の系統をサービス側にして実作業に従事させ、他系統はスタンバイ側にしておき、サービス側の故障を発見したときに実作業の受け持ちをスタンバイ側に切り替える。

図６は、操作量ＭＶ（Manipulated Value）に応じた４−２０ｍＡの電流を出力する電流出力部を二重化した従来の二重化システム３００の構成例を示している。本例では、電流出力部Ａ３１０ａと電流出力部Ｂ３１０ｂとで二重化している。電流出力部Ａ３１０ａと電流出力部Ｂ３１０ｂとは、同じ構成であり、同じ操作量ＭＶが入力される。このため、電流出力部Ｂ３１０ｂは記載を簡略化している。

二重化システム３００では、電流出力部Ａ３１０ａの動作を監視する二重化制御部Ａ３２０ａと、電流出力部Ｂ３１０ｂの動作を監視する二重化制御部Ｂ３２０ｂとが設けられている。二重化制御部Ａ３２０ａ、二重化制御部Ｂ３２０ｂとも二重化システム３００の制御を行なう上位システムに接続されている。

二重化制御部Ａ３２０ａは、電流出力部Ａ３１０ａの動作を監視し、電流出力部Ａ３１０ａが正常であれば制御権を要求するＲｅｑＡ信号をＨにし、異常が検出されればＲｅｑＡ信号をＬにする。二重化制御部Ｂ３２０ｂは、電流出力部Ｂ３１０ｂの動作を監視し、電流出力部Ｂ３１０ｂが正常であれば制御権を要求するＲｅｑＢ信号をＨにし、異常が検出されればＲｅｑＢ信号をＬにする。

二重化システム３００は、電流出力部Ａ３１０ａ、電流出力部Ｂ３１０ｂのいずれか一方をサービス側とし、他方をスタンバイ側に切り替える切替部３３０を備えている。切替部３３０は、ＲｅｑＡ信号とＲｅｑＢ信号を入力し、電流出力部Ａ３１０ａにＳｅｒｖｉｃｅＡ信号を出力し、電流出力部Ｂ３１０ｂにＳｅｒｖｉｃｅＢ信号を出力する。

切替部３３０は、ＳＲ型のラッチ回路で構成することができ、本図の例ではＮＡＮＤゲートＧ１とＮＡＮＤゲートＧ２とから構成される負論理ＳＲ型ラッチ回路で構成されている。すなわち、ＮＡＮＤゲートＧ１が、Ｒｅｑ信号ＡとＮＡＮＤゲートＧ２の出力であるＳｅｒｖｉｃｅＢ信号とを入力して、ＳｅｒｖｉｃｅＡ信号を出力し、ＮＡＮＤゲートＧ２が、Ｒｅｑ信号ＢとＮＡＮＤゲートＧ１の出力であるＳｅｒｖｉｃｅＡ信号とを入力して、ＳｅｒｖｉｃｅＢ信号を出力する。

ここで、ＮＡＮＤゲートＧ１が出力するＳｅｒｖｉｃｅＡ信号をＮＡＮＤゲートＧ２にフィードバックする経路をｆｂＡと称し、ＮＡＮＤゲートＧ２が出力するＳｅｒｖｉｃｅＢ信号をＮＡＮＤゲートＧ１にフィードバックする経路をｆｂＢと称するものとする。

電流出力部Ａ３１０ａは、ＳｅｒｖｉｃｅＡ信号がＬのとき、トランジスタＴｒ１がオフとなるため、操作量ＭＶに応じた４−２０ｍＡの電流を出力するサービス側として機能し、ＳｅｒｖｉｃｅＡ信号がＨのとき、トランジスタＴｒ１がオンとなるため、電流を出力せずにスタンバイ側として機能する。電流出力部Ｂ３１０ｂは、ＳｅｒｖｉｃｅＢ信号がＬのときサービス側として機能し、ＳｅｒｖｉｃｅＢ信号がＨのときスタンバイ側として機能する。

電流出力部Ａ３１０ａ、電流出力部Ｂ３１０ｂとも正常な状態で、上位システムの制御により、二重化制御部Ａ３２０ａ、二重化制御部Ｂ３２０ｂのいずれかが先に制御権を要求する。ここでは、二重化制御部Ａ３２０ａが先に制御権を要求するものとし、ＲｅｑＡ信号がＨ、ＲｅｑＢ信号がＬとなる。

これにより、ＳｅｒｖｉｃｅＡ信号がＬ、ＳｅｒｖｉｃｅＢ信号がＨで安定し、電流出力部Ａ３１０ａがサービス側となり、電流出力部Ｂ３１０ｂがスタンバイ側となる。

その後、二重化制御部Ｂ３２０ｂが制御権を要求して、ＲｅｑＡ信号、ＲｅｑＢ信号ともＨとなる。この状態では、切替部３３０の出力状態は保持されるため、電流出力部Ａ３１０ａがサービス側で、電流出力部Ｂ３１０ｂがスタンバイ側のままとなる。

二重化システム３００の稼働中に、サービス側である二重化制御部Ａ３２０ａが電流出力部Ａ３１０ａの異常を検出すると、制御権を放棄してＲｅｑＡ信号をＬにする。これにより、ＳｅｒｖｉｃｅＡ信号がＨ、ＳｅｒｖｉｃｅＢ信号がＬに反転し、電流出力部Ｂ３１０ｂがサービス側となり、電流出力部Ａ３１０ａがスタンバイ側となって、サービスを停止することなく二重化システム３００の稼働を継続することができる。

また、二重化制御部Ａ３２０ａは、電流出力部Ａ３１０ａの異常を上位システムに通知する。これにより、電流出力部Ｂ３１０ｂがサービス側となっている間に、電流出力部Ａ３１０ａを修理・交換して、再度制御権を要求することができる。このため、その後、電流出力部Ｂ３１０ｂの異常が検出された場合でも即座に電流出力部Ａ３１０ａがサービス側に移行することができ、サービスを停止することなく二重化システム３００の稼働を継続することができる。

一方、スタンバイ側である二重化制御部Ｂ３２０ｂが電流出力部Ｂ３１０ｂの異常を検出すると、ＲｅｑＢ信号をＬにする。この状態では、切替部３３０の出力状態は保持されるため、電流出力部Ａ３１０ａがサービス側として動作し続ける。

また、二重化制御部Ｂ３２０ｂは、電流出力部Ｂ３１０ｂの異常を上位システムに通知する。これにより、電流出力部Ａ３１０ａがサービス側となっている間に、電流出力部Ｂ３１０ｂを修理・交換して、再度制御権を要求することができる。このため、その後、電流出力部Ａ３１０ａの異常が検出された場合でも即座に電流出力部Ｂ３１０ｂがサービス側に移行することができ、サービスを停止することなく二重化システム３００の稼働を継続することができる。

特開２０００−２２２００１号公報

二重化されたそれぞれの電流出力部３１０については、二重化制御部３２０が監視しているため、いずれか一方に異常が発生しても即座に検出されて対応を行なうことができ、二重化システム３００の連続稼働に影響を与えることはない。

しかしながら、通常状態では伝送信号が変化しない切替部３３０は監視対象になっていないため、仮に、切替部３３０のフィードバック経路に伝送信号がＨまたはＬに固着する固着故障が発生すると、サービス側の電流出力部３１０に異常が発生し、サービス側とスタンバイ側との切り替えを実行するまで問題が表面化されない。

例えば、電流出力部Ａ３１０ａがサービス側として稼働中に、フィードバック経路ｆｂＡが固着故障を起こしたとする。この状態で、サービス側である電流出力部Ａ３１０ａの異常が検出され、二重化制御部Ａ３２０ａが制御権を放棄して、ＳｅｒｖｉｃｅＡ信号をＨに切り替えたとしても、この信号がＮＡＮＤゲートＧ２に伝わらないため、電流出力部Ｂ３１０ｂはサービス側に移行することができない。このため、二重化システム３００の稼働が停止してしまう。

このように、切替部３３０のフィードバック経路に固着故障が発生した状態で放置されると、サービス側の異常に対応した必要な切り替えが正常に行なわれず、二重化システム３００の稼働率に大きな影響を与えるおそれがある。

そこで、本発明は、二重化システムの切替部における固着故障を検出できるようにすることを目的とする。

このような課題を達成するため、本発明によれば、制御権を要求する第１リクエスト信号を出力する第１二重化制御部と、制御権を要求する第２リクエスト信号を出力する第２二重化制御部と、前記第１リクエスト信号および前記第２リクエスト信号を入力し、第１サービス信号および第２サービス信号を出力する切替部と、を備えた、二重化制御装置であって、前記切替部は、前記第１リクエスト信号と前記第２サービス信号に基づく信号とを入力し、前記第１サービス信号を出力する第１ゲートと、前記第２リクエスト信号と前記第１サービス信号に基づく信号とを入力し、前記第２サービス信号を出力する第２ゲートと、前記第１サービス信号に固着故障検出用データを付加して出力する第１送信部と、前記第１送信部の出力データを入力し、前記固着故障検出用データに基づいて、固着故障を検出するとともに、固着故障を検出しない場合は、前記第１サービス信号を抽出して前記第２ゲートに出力し、固着故障を検出した場合は、前記第１サービス信号の状態をスタンバイ側として前記第２ゲートに出力する第２受信部と、前記第２サービス信号に固着故障検出用データを付加して出力する第２送信部と、前記第２送信部の出力データを入力し、前記固着故障検出用データに基づいて、固着故障を検出するとともに、固着故障を検出しない場合は、前記第２サービス信号を抽出して前記第１ゲートに出力し、固着故障を検出した場合は、前記第２サービス信号の状態をスタンバイ側として前記第１ゲートに出力する第１受信部と、を備えたことを特徴とする。
ここで、前記第１送信部は前記第１サービス信号にパリティデータをさらに付加して出力し、前記第２受信部は、前記第１送信部の出力データを入力し、前記パリティデータに基づいて送信データの異常を検出し、前記第２送信部は前記第２サービス信号にパリティデータをさらに付加して出力し、前記第１受信部は、前記第２送信部の出力データを入力し、前記パリティデータに基づいて送信データの異常を検出することができる。
また、前記固着故障検出用データは、前記固着故障検出用データを付加して出力するデータにおいて、同じ値のビットが所定個数連続しないデータとすることができる。

本発明によれば、二重化システムの切替部における固着故障を検出できるようになる。

本実施形態に係る二重化システムの構成例を示す図である。送信部の動作を説明するフローチャートである。複数ビットシリアルデータのフレーム構成例を示す図である。受信部の動作を説明するフローチャートである。本実施形態に係る二重化システムの別例を示す図である。従来の二重化システムの構成例を示す図である。

本発明の実施の形態について図面を参照して説明する。図１は、本実施形態に係る二重化システム１００の構成例を示す図である。本実施形態では、操作量ＭＶ（Manipulated Value）に応じた４−２０ｍＡの電流を出力する電流出力部を二重化した二重化システム１００を例に説明するが、本発明は、電流出力部に限られず、デジタル信号出力部や電圧出力部等、種々の機能部を二重化したシステムに適用することができる。

本図に示すように、二重化システム１００は、電流出力部Ａ１１０ａと電流出力部Ｂ１１０ｂとで二重化している。電流出力部Ａ１１０ａと電流出力部Ｂ１１０ｂとは、同じ構成であり、同じ操作量ＭＶが入力される。このため、電流出力部Ｂ１１０ｂは記載を簡略化している。

以下では、電流出力部Ａ１１０ａ側をＡ系統と称し、電流出力部Ｂ１１０ｂ側をＢ系統と称する。電流出力部Ａ１１０ａと電流出力部Ｂ１１０ｂとを区別する必要がない場合には電流出力部１１０と総称する。他の部位についても同様である。

二重化システム１００では、電流出力部Ａ１１０ａの動作を監視する二重化制御部Ａ１２０ａと、電流出力部Ｂ１１０ｂの動作を監視する二重化制御部Ｂ１２０ｂとが設けられている。二重化制御部Ａ１２０ａ、二重化制御部Ｂ１２０ｂとも二重化システム１００の制御を行なう上位システムに接続されている。

二重化制御部Ａ１２０ａは、電流出力部Ａ１１０ａの動作を監視し、電流出力部Ａ１１０ａが正常であれば制御権を要求するＲｅｑＡ信号をＨにし、異常が検出されればＲｅｑＡ信号をＬにする。二重化制御部Ｂ１２０ｂは、電流出力部Ｂ１１０ｂの動作を監視し、電流出力部Ｂ１１０ｂが正常であれば制御権を要求するＲｅｑＢ信号をＨにし、異常が検出されればＲｅｑＢ信号をＬにする。

二重化システム１００は、電流出力部Ａ１１０ａ、電流出力部Ｂ１１０ｂのいずれか一方をサービス側とし、他方をスタンバイ側に切り替える切替部１３０を備えている。二重化制御部Ａ１２０ａ、二重化制御部Ｂ１２０ｂ、切替部１３０で二重化制御装置を構成している。切替部１３０は、ＲｅｑＡ信号とＲｅｑＢ信号を入力し、電流出力部Ａ１１０ａにＳｅｒｖｉｃｅＡ信号を出力し、電流出力部Ｂ１１０ｂにＳｅｒｖｉｃｅＢ信号を出力する。

切替部１３０は、ＳＲ型のラッチ回路を含んで構成することができ、本図の例ではＡ系統のＮＡＮＤゲートＧ１とＢ系統のＮＡＮＤゲートＧ２とから構成される負論理ＳＲ型ラッチ回路を含んで構成されている。なお、切替部１３０は、ハードウェアで構成してもよいし、ソフトウェアで構成してもよい。

すなわち、ＮＡＮＤゲートＧ１が、Ｒｅｑ信号ＡとＮＡＮＤゲートＧ２の出力であるＳｅｒｖｉｃｅＢ信号とを入力して、ＳｅｒｖｉｃｅＡ信号を出力し、ＮＡＮＤゲートＧ２が、Ｒｅｑ信号ＢとＮＡＮＤゲートＧ１の出力であるＳｅｒｖｉｃｅＡ信号とを入力して、ＳｅｒｖｉｃｅＢ信号を出力する。

後述するように、本実施形態では、経路ｆｂＡに送信部Ａ１３１ａと受信部Ｂ１３２ｂとを設け、経路ｆｂＢに送信部Ｂ１３１ｂと受信部Ａ１３２ａとを設けている。送信部Ａ１３１ａと受信部Ａ１３２ａとがＡ系統に属し、送信部Ｂ１３１ｂと受信部Ｂ１３２ｂとがＢ系統に属するものとする。

電流出力部Ａ１１０ａは、ＳｅｒｖｉｃｅＡ信号がＬのとき、トランジスタＴｒ１がオフとなるため、操作量ＭＶに応じた４−２０ｍＡの電流を出力するサービス側として機能し、ＳｅｒｖｉｃｅＡ信号がＨのとき、トランジスタＴｒ１がオンとなるため、電流を出力せずにスタンバイ側として機能する。電流出力部Ｂ１１０ｂは、ＳｅｒｖｉｃｅＢ信号がＬのときサービス側として機能し、ＳｅｒｖｉｃｅＢ信号がＨのときスタンバイ側として機能する。

二重化システム１００の基本的な動作は従来と同様である。すなわち、電流出力部Ａ１１０ａ、電流出力部Ｂ１１０ｂとも正常な状態で、上位システムの制御により、二重化制御部Ａ１２０ａ、二重化制御部Ｂ１２０ｂのいずれかが先に制御権を要求する。ここでは、二重化制御部Ａ１２０ａが先に制御権を要求するものとし、ＲｅｑＡ信号がＨ、ＲｅｑＢ信号がＬとなる。

これにより、ＳｅｒｖｉｃｅＡ信号がＬ、ＳｅｒｖｉｃｅＢ信号がＨで安定し、電流出力部Ａ１１０ａがサービス側となり、電流出力部Ｂ１１０ｂがスタンバイ側となる。

その後、二重化制御部Ｂ１２０ｂが制御権を要求して、ＲｅｑＡ信号、ＲｅｑＢ信号ともＨとなる。この状態では、切替部１３０の出力状態は保持されるため、電流出力部Ａ１１０ａがサービス側で、電流出力部Ｂ１１０ｂがスタンバイ側のままとなる。

二重化システム１００の稼働中に、サービス側である二重化制御部Ａ１２０ａが電流出力部Ａ１１０ａの異常を検出すると、制御権を放棄してＲｅｑＡ信号をＬにする。これにより、ＳｅｒｖｉｃｅＡ信号がＨ、ＳｅｒｖｉｃｅＢ信号がＬに反転し、電流出力部Ｂ１１０ｂがサービス側となり、電流出力部Ａ１１０ａがスタンバイ側となるため、サービスを停止することなく二重化システム１００の稼働を継続することができる。

また、二重化制御部Ａ１２０ａは、電流出力部Ａ１１０ａの異常を上位システムに通知する。これにより、電流出力部Ｂ１１０ｂがサービス側となっている間に、電流出力部Ａ１１０ａを修理・交換して、再度制御権を要求することができる。このため、その後、電流出力部Ｂ１１０ｂの異常が検出された場合でも即座に電流出力部Ａ１１０ａがサービス側に移行することができ、サービスを停止することなく二重化システム１００の稼働を継続することができる。

一方、スタンバイ側である二重化制御部Ｂ１２０ｂが電流出力部Ｂ１１０ｂの異常を検出すると、ＲｅｑＢ信号をＬにする。この状態では、切替部１３０の出力状態は保持されるため、電流出力部Ａ１１０ａがサービス側として動作し続ける。

また、二重化制御部Ｂ１２０ｂは、電流出力部Ｂ１１０ｂの異常を上位システムに通知する。これにより、電流出力部Ａ１１０ａがサービス側となっている間に、電流出力部Ｂ１１０ｂを修理・交換して、再度制御権を要求することができる。このため、その後、電流出力部Ａ１１０ａの異常が検出された場合でも即座に電流出力部Ｂ１１０ｂがサービス側に移行することができ、サービスを停止することなく二重化システム１００の稼働を継続することができる。

次に、切替部１３０の詳細について説明する。上記の動作は切替部１３０のフィードバック経路に固着故障が発生していないことを前提としていたが、フィードバック経路に固着故障が発生すると、必要な切り替えが行なわれず、二重化システム１００の稼働を継続することができなくなる場合がある。

そこで、本実施形態では、経路ｆｂＡに送信部Ａ１３１ａと受信部Ｂ１３２ｂとを設け、経路ｆｂＢに送信部Ｂ１３１ｂと受信部Ａ１３２ａとを設けることで、固着故障を検出できるようにしている。ここで、送信部Ａ１３１ａと受信部Ａ１３２ａとは、Ａ系統のＮＡＮＤゲートＧ１側に配置し、送信部Ｂ１３１ｂと受信部Ｂ１３２ｂとは、Ｂ系統のＮＡＮＤゲートＧ２側に配置する。

送信部Ａ１３１ａは、１ビット情報であるＳｅｒｖｉｃｅＡ信号に、所定の情報を付加して複数ビットのシリアルデータとして受信部Ｂ１３２ｂに送信する。受信部Ｂ１３２ｂは、受信した複数ビットのシリアルデータに基づいて経路ｆｂＡの固着故障診断を行なうとともに、ＳｅｒｖｉｃｅＡ信号を抽出してＮＡＮＤゲートＧ２に入力する。

送信部Ｂ１３１ｂは、１ビット情報であるＳｅｒｖｉｃｅＢ信号に、所定の情報を付加して複数ビットのシリアルデータとして受信部Ａ１３２ａに送信する。受信部Ａ１３２ａは、受信した複数ビットのシリアルデータに基づいて経路ｆｂＢの固着故障診断を行なうとともに、ＳｅｒｖｉｃｅＢ信号を抽出してＮＡＮＤゲートＧ１に入力する。

ここで、所定の情報は、送信部１３１から受信部１３２に送るシリアルデータで、同じ値のビットが所定個数連続しないようにする情報であり、固着故障検出用データと称する。固着故障検出用データは、１ビットあるいは複数ビットからなる情報であり、例えば、カウント値や時刻情報、Ｓｅｒｖｉｃｅ信号のビットを反転した情報、フレーム毎に０と１が交互に変化する情報、「０１」または「１０」の２ビットを含む情報等とすることができる。また、ハイレベル信号の状態やキャリア信号がない状態であるＩＤＬＥ信号状態をフレーム間に設けてもよい。

これにより、受信部１３２は、受信したシリアルデータで同じ値のビットが所定個数以上連続している場合に、固着故障が発生していると判断することができる。

図２は、送信部１３１の動作を説明するフローチャートである。送信部１３１は、自系統のＮＡＮＤゲートが出力するＳｅｒｖｉｃｅ信号を取得する（Ｓ１０１）。そして、固着故障検出用データを付加する（Ｓ１０２）。固着故障検出用データは、上述のように、同じ値のビットが所定個数連続しないようにする情報である。所定個数の連続は、複数のフレームをまたいでいてもよい。

さらに、本実施形態では、送受信データの信頼性を高めるためにパリティデータを付加するものとする（Ｓ１０３）。そして、複数ビットシリアルデータとして相手方系統の受信部１３２に送信する（Ｓ１０４）。送信部１３１は、以上の（Ｓ１０１）〜（Ｓ１０４）の処理を所定間隔で繰り返す。

図３は、複数ビットシリアルデータの１フレームの例を示している。本図に示すように、複数ビットシリアルデータはＳｅｒｖｉｃｅ信号、固着故障検出用データ、パリティデータで１フレームを構成している。ただし、順序を変更したり、他の情報を付加したり、パリティデータを省くようにしてもよい。また、固着故障検出用データでフレームの区切りを示すようにしてもよい。

図４は、受信部１３２の動作を説明するフローチャートである。受信部１３２は、相手方系統の送信部１３１から複数ビットシリアルデータを受信すると（Ｓ２０１）、複数ビットシリアルデータで同じ値のビットが所定個数連続しているかどうかを判定する（Ｓ２０２）。所定個数は、固着故障検出用データにより、同じ値のビットが連続し得ない個数より多い数とする。少なくとも、１フレームのビット数から固着故障検出用データのビット数を引いた個数よりも多くすることが望ましく、例えば、１フレームを構成するビット数とすることができる。

同じ値のビットが所定個数連続していない場合（Ｓ２０２：Ｎｏ）には、固着故障が発生していないと判断し、パリティデータを用いたパリティチェックを行なう（Ｓ２０３）。

パリティチェックの結果、パリティが不正でなければ（Ｓ２０３：Ｎｏ）、動作が正常であるとして、複数ビットシリアルデータからＳｅｒｖｉｃｅ信号を抽出し、自系統のＮＡＮＤゲートに出力する（Ｓ２０４）。

一方、パリティが不正であれば（Ｓ２０４：Ｙｅｓ）、固着故障は発生していないものの送信データに異常があるとして自系統の二重化制御部１２０に通知し、二重化制御部１２０は上位システムに通知する。これにより、異常発生の可能性があるとしてフィードバック経路の点検を行なうことができる。この場合も、複数ビットシリアルデータからＳｅｒｖｉｃｅ信号を抽出し、自系統のＮＡＮＤゲートに出力する（Ｓ２０４）。

同じ値のビットが所定個数連続している場合（Ｓ２０２：Ｙｅｓ）には、自身のフィードバック経路で固着故障が発生していると判断する。例えば、受信部Ｂ１３２ｂであれば、フィードバック経路ｆｂＡで固着故障が発生したと判断し、受信部Ａ１３２ａであれば、フィードバック経路ｆｂＢで固着故障が発生したと判断する。

そして、自系統がスタンバイ側であれば（Ｓ２０６：Ｙｅｓ）、自系統のＮＡＮＤゲートを操作し、出力をＬに切り替える。具体的には、自系統のＮＡＮＤゲートにＨを出力する。自系統のＲｅｑ信号はＨであるため、自系統のＮＡＮＤゲートはＬを出力することになる。これにより自系統の電流出力部１１０がサービス側に移行する。これは、サービス側となっている相手方系統の電流出力部１１０に異常が発生した場合に、フィードバック経路の固着故障により自系統側がサービス側に移行できないことから、あらかじめサービス側に移行しておくためである。

Ｌに切り替えられたＮＡＮＤゲートの出力は、固着故障が発生していない他方のフィードバック経路を経由して、相手方系統のＮＡＮＤゲートに入力される。これにより、相手方系統がサービス側からスタンバイ側に移行する。

移行後に、サービス側となった電流出力部１１０に異常が発生したとしても、正常なフィードバック経路によりサービス側とスタンバイ側とを切り替えることができるため、サービスを停止することなく二重化システム１００の稼働を継続することができる。

例えば、電流出力部Ｂ１１０ｂがスタンバイ側のときに、受信部Ｂ１３２ｂがフィードバック経路ｆｂＡの固着故障を検出すると、ＮＡＮＤゲートＧ２の出力をＬに切り替えることで、電流出力部Ａ１１０ａをスタンバイ側に移行させるとともに、電流出力部Ｂ１１０ｂをサービス側に切り替える。

この状態でサービス側の電流出力部Ｂ１１０ｂに異常が発生しても、二重化制御部Ｂ１２０ｂが、ＲｅｑＢ信号をＬにしてＳｅｒｖｉｃｅＢ信号をＨにすることで、電流出力部Ｂ１１０ｂをスタンバイ側に移行させることができる。また、正常なフィードバック経路ｆｂＡを経由して、電流出力部Ａ１１０ａをサービス側に移行させることができる。

一方、自系統がサービス側であれば（Ｓ２０６：Ｎｏ）、そのまま稼働を続ける。これは、サービス側となっている自系統の電流出力部１１０に異常が発生した場合でも、正常なフィードバック経路によりサービス側とスタンバイ側とを切り替えることができるため、サービスを停止することなく二重化システム１００の稼働を継続することができるからである。

いずれの場合も、固着異常が発生したことを自系統の二重化制御部１２０に通知し、二重化制御部１２０が上位システムに通知する（Ｓ２０８）。これにより、サービスを停止することなく二重化システム１００の稼働を継続した状態で、フィードバック経路の固着故障を修理することが可能となる。

そして、受信部１３２は、複数ビットシリアルデータからＳｅｒｖｉｃｅ信号を抽出し、自系統のＮＡＮＤゲートに出力する（Ｓ２０４）。

以上説明したように、本実施形態の二重化システム１００によれば切替部１３０におけるフィードバック経路の固着故障を検出することができるようになる。また、フィードバック経路の固着故障が発生しても、システムの稼働率に影響を与えないようにすることができる。

なお、本発明は、上記の実施形態の構成に限られない。例えば、図５に示すように、受信部１３２の出力と、二重化制御部１２０ａが出力するＤｐｓｅｌ信号とのＯＲをＮＡＮＤゲートの一方の入力とする切替部１４０を用いることで、Ｄｐｓｅｌ信号により電流出力部Ａ１１０ａと電流出力部Ｂ１１０ｂとを二重化動作させるか、それぞれが独立したシングル動作させるかを指定することができる二重化システム１０１に本発明を適用してもよい。

この場合、ＤｐｓｅｌＡ信号、ＤｐｓｅｌＢ信号をともにＬとすることで、二重化システム１０１は、上述の二重化システム１００と同様の動作を行なうことになる。一方、ＤｐｓｅｌＡ信号、ＤｐｓｅｌＢ信号をともにＨとすることで、二重化システム１０１は、電流出力部Ａ１１０ａと電流出力部Ｂ１１０ｂとが独立したシングル動作を行なうことになる。

１００…二重化システム、１０１…二重化システム、１１０…電流出力部、１２０…二重化制御部、１３０…切替部、１３１…送信部、１３２…受信部、１４０…切替部

Claims

制御権を要求する第１リクエスト信号を出力する第１二重化制御部と、
制御権を要求する第２リクエスト信号を出力する第２二重化制御部と、
前記第１リクエスト信号および前記第２リクエスト信号を入力し、第１サービス信号および第２サービス信号を出力する切替部と、を備えた、二重化制御装置であって、
前記切替部は、
前記第１リクエスト信号と前記第２サービス信号に基づく信号とを入力し、前記第１サービス信号を出力する第１ゲートと、
前記第２リクエスト信号と前記第１サービス信号に基づく信号とを入力し、前記第２サービス信号を出力する第２ゲートと、
前記第１サービス信号に固着故障検出用データを付加して出力する第１送信部と、
前記第１送信部の出力データを入力し、前記固着故障検出用データに基づいて、固着故障を検出するとともに、固着故障を検出しない場合は、前記第１サービス信号を抽出して前記第２ゲートに出力し、固着故障を検出した場合は、前記第１サービス信号の状態をスタンバイ側として前記第２ゲートに出力する第２受信部と、
前記第２サービス信号に固着故障検出用データを付加して出力する第２送信部と、
前記第２送信部の出力データを入力し、前記固着故障検出用データに基づいて、固着故障を検出するとともに、固着故障を検出しない場合は、前記第２サービス信号を抽出して前記第１ゲートに出力し、固着故障を検出した場合は、前記第２サービス信号の状態をスタンバイ側として前記第１ゲートに出力する第１受信部と、
を備えたことを特徴とする二重化制御装置。
前記第１送信部は前記第１サービス信号にパリティデータをさらに付加して出力し、
前記第２受信部は、前記第１送信部の出力データを入力し、前記パリティデータに基づいて送信データの異常を検出し、
前記第２送信部は前記第２サービス信号にパリティデータをさらに付加して出力し、
前記第１受信部は、前記第２送信部の出力データを入力し、前記パリティデータに基づいて送信データの異常を検出することを特徴とする請求項１に記載の二重化制御装置。
前記固着故障検出用データは、前記固着故障検出用データを付加して出力するデータにおいて、同じ値のビットが所定個数連続しないデータであることを特徴とする請求項１または２に記載の二重化制御装置。