JP6714981B2 - 多重化制御装置 - Google Patents

Description

本発明の実施形態は、多重化制御装置に関する。

一般に、発電プラント等を制御する制御装置は、制御装置の単一故障が発生しても出力を誤らずに制御を継続する必要がある。そのため、このような制御装置には、単一故障時にも出力を誤らずに制御を継続できるように、三重化以上の多重化アーキテクチャが用いられることが多い。このような制御装置を、多重化制御装置と呼ぶ。

図１５は、従来の多重化制御装置２の構成の例を示すブロック図である。

図１５の多重化制御装置２は、三重化制御装置であり、入力装置１Ａ〜１Ｃと出力装置３とに接続されている。この多重化制御装置２は、入力部１０Ａ〜１０Ｃと、演算部２０Ａ〜２０Ｃと、出力部３０Ａ〜３０Ｃと、多数決部４０とを備えている。また、演算部２０Ａ〜２０Ｃはそれぞれ、演算処理部２１Ａ〜２１Ｃと、診断部２２Ａ〜２２Ｃと、通信部２３Ａ〜２３Ｃとを備えている。この多重化制御装置２は、入力部１０Ａ、演算部２０Ａ、および出力部３０Ａを含むＡ系と、入力部１０Ｂ、演算部２０Ｂ、および出力部３０Ｂを含むＢ系と、入力部１０Ｃ、演算部２０Ｃ、および出力部３０Ｃを含むＣ系の３系統を備えている。

入力部１０Ａ〜１０Ｃはそれぞれ、入力装置１Ａ〜１Ｃから入力信号を受け取り、受け取った入力信号を入力値に変換し、入力値を入力値線５１Ａ〜５１Ｃに出力する。演算部２０Ａ〜２０Ｃはそれぞれ、入力値線５１Ａ〜５１Ｃから入力値を受け取り、受け取った入力値を演算して出力値を生成し、出力値を出力値線５２Ａ〜５２Ｃに出力する。出力部３０Ａ〜３０Ｃは、出力値線５２Ａ〜５２Ｃから出力値を受け取り、受け取った出力値を出力信号に変換し、出力信号を出力信号線５３Ａ〜５３Ｃに出力する。

演算処理部２１Ａは、入力部１０Ａからの入力値を演算して出力値を生成し、出力値を出力値線５２Ａに出力する。これは、演算処理部２１Ｂ、２１Ｃでも同様である。

通信部２３Ａ、２３Ｂは、ネットワーク５５Ａにより互いに接続されている。通信部２３Ｂ、２３Ｃは、ネットワーク５５Ｂにより互いに接続されている。通信部２３Ｃ、２３Ａは、ネットワーク５５Ｃにより互いに接続されている。

通信部２３Ａは、入力部１０Ａからの入力値や、演算処理部２１Ａにより生成された出力値を、ネットワーク５５Ａ、５５Ｃを介して通信部２３Ｂ、２３Ｃに供給する。また、通信部２３Ａは、入力部１０Ｂからの入力値や、演算処理部２１Ｂにより生成された出力値を、ネットワーク５５Ａを介して通信部２３Ｂから受け取る。また、通信部２３Ａは、入力部１０Ｂからの入力値や、演算処理部２１Ｃにより生成された出力値を、ネットワーク５５Ｃを介して通信部２３Ｃから受け取る。これは、通信部２３Ｂ、２３Ｃでも同様である。

診断部２２Ａは、入力部１１Ａから受け取った入力値や、演算処理部２１Ａにより生成された出力値や、通信部２３Ｂ、２３Ｃから受け取った入力値や出力値を用いて診断処理を行う。これは、診断部２２Ｂ、２２Ｃでも同様である。

多数決部４０は、出力信号線５３Ａ〜５３Ｃから出力信号を受け取り、受け取った出力信号の多数決を取る多数決演算を行い、多数決で選択された出力信号をシステム出力信号として出力する。システム出力信号は、システム出力信号線５４を介して出力装置３に出力される。多数決部４０は、３つの出力信号の中から２つ以上の出力信号と一致するシステム出力信号を選択する「2 out of 3」の多数決演算を行う。出力装置３の動作は、このシステム出力信号により制御される。

これにより、多重化制御装置２は、入力部１０Ａ〜１０Ｃ、演算部２０Ａ〜２０Ｃ、および出力部３０Ａ〜３０Ｃのうちの１か所に故障が発生しても、正しい出力で制御を継続することができる。理由は、この故障により出力部３０Ａ〜３０Ｃの１つが正しい出力を行えなくなるものの、他の２つが正しい出力を行えるため、多重化制御装置２は多数決で正しい出力を行えるからである。

前述のように、多重化制御装置２は、このような単一故障が発生しても制御を継続する必要がある。多重化制御装置２は、第１の故障が発生した場合でも、その故障状態が維持されたまま、制御を継続することが要求される。この場合に、予期せぬ第２の故障が発生すると、以下の仕組みにより多重化制御装置２の出力に異常が生じるおそれがある。

図１６は、図１５の多重化制御装置２の動作を説明するための表である。

出力部３０Ａに第１の故障が発生した場合、多数決部４０では正常出力が２対１で多数となり、システム出力信号は多数決により正常値となる。しかしながら、第１の故障状態が維持されたまま出力部３０Ｂに第２の故障が発生すると、多数決部４０では異常出力が２対１で多数となり、システム出力信号は多数決により異常値となってしまう。

図１７は、従来の多重化制御装置２の構成の別の例を示すブロック図である。

図１７では、このような二重故障の問題を解決するために、故障系統に関する情報を検出して多数決部４０に入力することで、異常出力が多数派とならないように多数決部４０で多数決結果を操作する。具体的には、故障系統検出部６１が、出力部３０Ａ〜３０Ｃのうちのどの出力部が故障しているかの情報を、信号線６２を介して多数決部４０に入力する。これにより、多数決部４０で出力を操作することができ、二重故障時にも制御対象機器（出力装置３）が安全側状態となる安全信号を出力することができる。

特許第４７０１２０３号公報 特開２０１１−２１６０２０号公報

しかしながら、図１７の多重化制御装置２では、多数決部４０に、故障系統検出部６１から故障系統情報を入力する機能と、多数決結果を操作する機能とが必要となる。そのため、図１７の多数決部４０は、複雑な演算機能を有する装置として構成する必要がある。

一方、発電プラント用の多重化制御装置２の出力部３０Ａ〜３０Ｃは、発電プラントの様々な出力信号仕様に合わせて設計される必要がある。しかしながら、図１７のように多数決部４０に複雑な演算機能を持たせる場合には、様々な出力信号仕様に適合した多数決部４０を用意することが難しい。そのため、この場合には、発電プラントの各所で適用可能な多重化制御装置２を提供することが難しくなる。

そこで、本発明は、出力部等の機能により二重故障に対応可能な多重化制御装置を提供することを課題とする。

一の実施形態によれば、多重化制御装置は、入力信号を入力値に変換し、前記入力値を出力する第１から第Ｎ入力部（Ｎは３以上の整数）を備える。前記装置はさらに、前記入力値を演算して出力値を生成し、前記出力値を出力する第１から第Ｎ演算部を備える。前記装置はさらに、前記出力値を出力信号に変換し、前記出力信号を、前記出力信号の多数決演算を行う多数決部に出力する第１から第Ｎ出力部を備える。さらに、各出力部は、第１および第２回路を備え、前記出力値を第１および第２信号に変換し、前記第１および第２信号をそれぞれ前記第１および第２回路に供給する。さらに、第Ｘ出力部（Ｘは１〜Ｎの整数）の前記第２回路は、前記第Ｘ出力部により生成された前記第２信号を受け取り、受け取った前記第２信号を第Ｙ出力部（ＹはＸと異なる１〜Ｎの整数）の前記第１回路に出力する。さらに、前記第Ｘ出力部の前記第１回路は、前記第Ｘ出力部により生成された前記第１信号を受け取り、第Ｚ出力部（ＺはＸおよびＹと異なる１〜Ｎの整数）の前記第２回路から前記第２信号を受け取り、受け取った前記第１および第２信号の少なくともいずれかを前記出力信号として前記多数決部に出力する。

第１実施形態の多重化制御装置の構成を示すブロック図である。 第１実施形態の多重化制御装置の出力部の構成を示すブロック図である。 第１実施形態の多重化制御装置の動作を示すシーケンス図である。 第１実施形態の多重化制御装置の動作を示す別のシーケンス図である。 第１実施形態の多重化制御装置の故障時の動作を説明するための表である。 第２実施形態の多重化制御装置の出力部の構成を示すブロック図である。 第２実施形態の多重化制御装置の故障について説明するための表である。 第３実施形態の多重化制御装置の演算部の構成を示すブロック図である。 第３実施形態の多重化制御装置の故障について説明するための表である。 第４実施形態の多重化制御装置の出力部の構成を示すブロック図である。 第４実施形態の多重化制御装置の動作を説明するための表である。 第７実施形態の多重化制御装置の動作を説明するための表である。 第７実施形態の多重化制御装置の動作を説明するための表である。 第８実施形態の多重化制御装置の演算部の構成を示すブロック図である。 従来の多重化制御装置の構成の例を示すブロック図である。 図１５の多重化制御装置の動作を説明するための表である。 従来の多重化制御装置の構成の別の例を示すブロック図である。

以下、本発明の実施形態を、図面を参照して説明する。

図１〜図１４において、図１５や図１７に示す構成要素と同一または類似の構成要素には同一の符号を付し、図１５や図１７の説明と重複する説明は省略する。

（第１実施形態）
図１は、第１実施形態の多重化制御装置２の構成を示すブロック図である。

図１の多重化制御装置２は、第１から第Ｎ入力部（Ｎは３以上の整数）の例である入力部１０Ａ〜１０Ｃと、第１から第Ｎ演算部の例である演算部２０Ａ〜２０Ｃと、第１から第Ｎ出力部の例である出力部３０Ａ〜３０Ｃと、多数決部４０とを備えている。演算部２０Ａ〜２０Ｃはそれぞれ、演算処理部２１Ａ〜２１Ｃと、診断部２２Ａ〜２２Ｃと、通信部２３Ａ〜２３Ｃとを備えている。

入力部１０Ａは、入力装置１Ａから受け取った入力信号を入力値に変換し、この入力値を入力値線５１Ａに出力する。演算部２０Ａは、入力値線５１Ａから受け取った入力値を演算して出力値を生成し、この出力値を出力値線５２Ａに出力する。また、演算部２０Ａは、演算部２０Ｃにより生成された出力値をネットワーク５５Ｃから受け取り、この出力値を出力値線５２Ａに出力する。出力部３０Ａは、出力値線５２Ａから受け取った出力値を出力信号に変換し、この出力信号を出力信号線５３Ａに出力する。

同様に、入力部１０Ｂは、入力装置１Ｂから受け取った入力信号を入力値に変換し、この入力値を入力値線５１Ｂに出力する。演算部２０Ｂは、入力値線５１Ｂから受け取った入力値を演算して出力値を生成し、この出力値を出力値線５２Ｂに出力する。また、演算部２０Ｂは、演算部２０Ａにより生成された出力値をネットワーク５５Ａから受け取り、この出力値を出力値線５２Ｂに出力する。出力部３０Ｂは、出力値線５２Ｂから受け取った出力値を出力信号に変換し、この出力信号を出力信号線５３Ｂに出力する。

同様に、入力部１０Ｃは、入力装置１Ｃから受け取った入力信号を入力値に変換し、この入力値を入力値線５１Ｃに出力する。演算部２０Ｃは、入力値線５１Ｃから受け取った入力値を演算して出力値を生成し、この出力値を出力値線５２Ｃに出力する。また、演算部２０Ｃは、演算部２０Ｂにより生成された出力値をネットワーク５５Ｂから受け取り、この出力値を出力値線５２Ｃに出力する。出力部３０Ｃは、出力値線５２Ｃから受け取った出力値を出力信号に変換し、この出力信号を出力信号線５３Ｃに出力する。

多数決部４０は、出力信号線５３Ａ〜５３Ｃから出力信号を受け取り、受け取った出力信号の多数決を取る多数決演算を行い、多数決で選択された出力信号をシステム出力信号として出力する。システム出力信号は、システム出力信号線５４を介して出力装置３に出力される。多数決部４０は、３つの出力信号の中から２つ以上の出力信号と一致するシステム出力信号を選択する「2 out of 3」の多数決演算を行う。出力装置３の動作は、このシステム出力信号により制御される。

入力信号の例は、スイッチやボタンの操作内容を示す信号や、温度センサや圧力センサにより測定された温度や圧力を示す信号や、機器の速度や回転数を示す信号である。本実施形態の入力装置１Ａ〜１Ｃは、入力部１０Ａ〜１０Ｃに同一の入力信号を供給する。入力信号は、デジタル信号でもアナログ信号でもよいし、パルス信号でもよい。

入力信号がデジタル信号である場合、入力部１０Ａ〜１０Ｃは例えば、入力信号のデジタルフィルタ処理により入力信号を入力値に変換する。入力信号がアナログ信号である場合、入力部１０Ａ〜１０Ｃは例えば、入力信号のＡ／ Ｄ（アナログデジタル）変換により入力信号を入力値に変換する。入力信号がパルス信号である場合、入力部１０Ａ〜１０Ｃは例えば、パルスの個数をカウントすることで入力信号を入力値に変換する。

一方、出力装置３の例は、発電プラント内のモータや弁である。出力値の例は、モータや弁を稼働させるためのデジタル出力条件を示す値である。出力部３０Ａ〜３０Ｃは例えば、このような出力値を２値化することで出力値を出力信号に変換する。

図１の多重化制御装置２はさらに、信号線５６Ａ〜５６Ｃを備えている。信号線５６Ａは、出力部３０Ａ、３０Ｂに接続され、出力信号線５３Ａと直列に接続されている。信号線５６Ｂは、出力部３０Ｂ、３０Ｃに接続され、出力信号線５３Ｂと直列に接続されている。信号線５６Ｃは、出力部３０Ｃ、３０Ａに接続され、出力信号線５３Ｃと直列に接続されている。信号線５６Ａ〜５６Ｃの詳細は、図２を参照して説明する。

図２は、第１実施形態の多重化制御装置２の出力部３０Ａ〜３０Ｃの構成を示すブロック図である。

出力部３０Ａ〜３０Ｃはそれぞれ、第１回路の例である主出力回路３１Ａ〜３１Ｃと、第２回路の例である副出力回路３２Ａ〜３２Ｃとを備えている。主出力回路３１Ａ〜３１Ｃはそれぞれ、出力信号線５３Ａ〜５３Ｃにより多数決部４０に接続されている。主出力回路３１Ａと副出力回路３２Ｂは、信号線５６Ａにより互いに接続されている。主出力回路３１Ｂと副出力回路３２Ｃは、信号線５６Ｂにより互いに接続されている。主出力回路３１Ｃと副出力回路３２Ａは、信号線５６Ｃにより互いに接続されている。副出力回路３２Ａ〜３２Ｃはそれぞれ、信号線５７Ａ〜５７Ｃにより固定電位（例えば接地電位）に接続されている。

さらに、出力部３０Ａ〜３０Ｃはそれぞれ、テスト部３６Ａ〜３６Ｃを備えている。テスト部３６Ａ〜３６Ｃの詳細は、第７実施形態で説明する。

出力部３０Ａは、演算部２０Ａにより生成された出力値と、演算部２０Ｃにより生成された出力値とを、出力値線５２Ａから受け取る。出力部３０Ａは、前者の出力値を第１信号の例である主出力信号に変換し、この主出力信号を主出力回路３１Ａに供給する。出力部３０Ａはさらに、後者の出力値を第２信号の例である副出力信号に変換し、この副出力信号を副出力回路３２Ａに供給する。

同様に、出力部３０Ｂは、演算部２０Ｂにより生成された出力値と、演算部２０Ａにより生成された出力値とを、出力値線５２Ｂから受け取る。出力部３０Ｂは、前者の出力値を第１信号の例である主出力信号に変換し、この主出力信号を主出力回路３１Ｂに供給する。出力部３０Ｂはさらに、後者の出力値を第２信号の例である副出力信号に変換し、この副出力信号を副出力回路３２Ｂに供給する。

同様に、出力部３０Ｃは、演算部２０Ｃにより生成された出力値と、演算部２０Ｂにより生成された出力値とを、出力値線５２Ｃから受け取る。出力部３０Ｃは、前者の出力値を第１信号の例である主出力信号に変換し、この主出力信号を主出力回路３１Ｃに供給する。出力部３０Ｃはさらに、後者の出力値を第２信号の例である副出力信号に変換し、この副出力信号を副出力回路３２Ｃに供給する。

本実施形態の主出力信号と副出力信号は、上述の出力信号と同様の機能を有する信号である。例えば、出力信号がデジタル出力条件を示す２値信号である場合、主出力信号と副出力信号もデジタル出力条件を示す２値信号である。本実施形態の主出力信号と副出力信号はいずれも、上述の出力信号として機能することができる。

本実施形態の主出力回路３１Ａ〜３１Ｃと副出力回路３２Ａ〜３２Ｃはそれぞれ、出力信号線５３Ａ〜５３Ｃと信号線５６Ａ〜５６Ｃに対するスイッチとして機能し、主出力信号や副出力信号に従い安全側状態と危険側状態の２つのスイッチ状態を取る。

スイッチの安全側状態とは、例えば信号線の解放状態を指し、信号線が開いた状態を指す。一方、スイッチの危険側状態とは、例えば信号線の接続状態を指し、信号線が閉じた状態を指す。この場合、出力部３０Ａ〜３０Ｃの電源が切れている場合の各スイッチの状態が、安全側状態に相当する。この場合のシステム出力信号の例は、発電プラントを駆動させるモータに電力を供給するための制御信号である。理由は、このようなモータは一般に、電力が供給されて動作状態にあるよりも、電力が遮断されて停止状態にある方が安全であるからである。

本実施形態では、信号線の解放状態が安全側状態であるが、信号線の接続状態が安全側状態である場合も考えられる。この場合のシステム出力信号の例は、発電プラント内の電磁弁に電力を供給するための制御信号である。理由は、このような電磁弁は一般に、電力が遮断されて動作できない状態にあるよりも、電力が供給されて動作できる状態にある方が安全であるからである。このような場合の例は、第６実施形態で説明する。

以下、出力部３０Ａ〜３０Ｃが出力信号を出力する動作を、出力部３０Ａの動作を例として説明する。以下の説明において、出力部３０Ａは、第Ｘ出力部（Ｘは１〜Ｎの整数）の例である。出力部３０Ｃは、第Ｙ出力部（ＹはＸと異なる１〜Ｎの整数）の例である。出力部３０Ｂは、第Ｚ出力部（ＺはＸおよびＹと異なる１〜Ｎの整数）の例である。演算部２０Ａは、第Ｘ出力部に対応する第Ｘ演算部の例である。演算部２０Ｃは、第Ｙ出力部に対応する第Ｙ演算部の例である。以下の説明は、出力部３０Ａだけでなく、出力部３０Ｂ、３０Ｃにも当てはまる。

出力部３０Ａの副出力回路３２Ａは、出力部３０Ａにより生成された副出力信号を受け取る。副出力信号は、解放状態を示す第１値と、接続状態を示す第２値のいずれかの値を有する。第１値の例はハイであり、第２値の例はローである。この副出力信号が第１値を有する場合には、副出力回路３２Ａは解放状態となる。その結果、第１値を有する副出力信号が、副出力回路３２Ａから信号線５６Ｃを介して出力部３０Ｃの主出力回路３１Ｃに出力される。一方、この副出力信号が第２値を有する場合には、副出力回路３２Ａは接続状態となる。その結果、第２値を有する副出力信号が、副出力回路３２Ａから信号線５６Ｃを介して出力部３０Ｃの主出力回路３１Ｃに出力される。

出力部３０Ａの主出力回路３１Ａは、出力部３０Ａにより生成された主出力信号を受け取る。主出力信号も、解放状態を示す第１値と、接続状態を示す第２値のいずれかの値を有する。前述のように、第１値の例はハイであり、第２値の例はローである。この主出力信号が第１値を有する場合には、主出力回路３１Ａは解放状態となる。その結果、第１値を有する主出力信号が、出力信号として主出力回路３１Ａから出力信号線５３Ａを介して多数決部５４に出力される。一方、この主出力信号が第２値を有する場合には、主出力回路３１Ａは接続状態となる。その結果、第２値を有する主出力信号が、出力信号として主出力回路３１Ａから出力信号線５３Ａを介して多数決部５４に出力される。

また、出力部３０Ａの主出力回路３１Ａは、出力部３０Ｂの副出力回路３２Ｂから信号線５６Ａを介して副出力信号を受け取る。前述のように、信号線５６Ａは出力信号線５３Ａに直列に接続されている。よって、この副出力信号が第１値を有する場合には、第１値を有する副出力信号が、出力信号として主出力回路３１Ａから出力信号線５３Ａを介して多数決部５４に出力される。一方、この副出力信号が第２値を有する場合には、第２値を有する副出力信号が、出力信号として主出力回路３１Ａから出力信号線５３Ａを介して多数決部５４に出力される。

本実施形態では、解放状態を示す第１値の例は正電圧であり、接続状態を示す第２値の例はゼロ電圧である。よって、主出力回路３１Ａと副出力回路３２Ｂの少なくとも一方が解放状態になれば、出力信号線５３Ａは解放状態となる。一方、主出力回路３１Ａと副出力回路３２Ｂの両方が接続状態になれば、出力信号線５３Ａは接続状態となる。このように、出力部３０Ａの出力信号線５３Ａの状態は、主出力回路３１Ａにより出力部３０Ａ自身が操作できるだけでなく、副出力回路３２Ｂにより隣の出力部３０Ｂも操作できる。同様に、出力信号線５３Ｂの状態は出力部３０Ｂ、３０Ｃが操作することができ、出力信号線５３Ｃの状態は出力部３０Ｃ、３０Ａが操作することができる。

なお、主出力回路３１Ａと副出力回路３２Ｂのうち、主出力回路３１Ａのみが解放状態の場合には、第１値を有する主出力信号が、出力信号線５３Ａの出力信号となる。また、主出力回路３１Ａと副出力回路３２Ｂのうち、副出力回路３２Ｂのみが解放状態の場合には、第１値を有する副出力信号が、出力信号線５３Ａの出力信号となる。一方、主出力回路３１Ａと副出力回路３２Ｂの両方が解放状態の場合には、第１値を有する主出力信号と第１値を有する副出力信号の合成信号が、出力信号線５３Ａの出力信号となる。

図３は、第１実施形態の多重化制御装置２の動作を示すシーケンス図である。図３は、出力信号線５３Ａの取り扱いに注目したシーケンス図を示している。

まず、入力部１０Ａ、１０Ｂが、入力信号を入力値に変換する（ステップＳ１Ａ、Ｓ１Ｂ）。次に、演算部２０Ａ、２０Ｂが、入力値から出力値を生成する（ステップＳ２Ａ、Ｓ２Ｂ）。次に、演算部２０Ａ、２０Ｂ（および２０Ｃ）が、生成した出力値を互いに交換する（ステップＳ３Ａ、Ｓ３Ｂ）。次に、演算部２０Ａ、２０Ｂがそれぞれ、生成した出力値と交換した出力値とを出力部３０Ａ、３０Ｂに送信する（ステップＳ４Ａ、Ｓ４Ｂ）。

次に、出力部３０Ａが、主出力回路３１Ａに対して主出力処理を行うと共に、出力部３０Ｂが、副出力回路３２Ｂに対して副出力処理を行う（ステップＳ５Ａ、Ｓ５Ｂ）。具体的には、出力部３０Ａは、出力値を主出力信号に変換し、主出力信号を主出力回路３１Ａに供給する。一方、出力部３０Ｂは、出力値を副出力信号に変換し、副出力信号を副出力回路３２Ｂに供給する。その結果、出力信号線５３Ａが解放状態または接続状態となる。

出力部３０Ａ、３０Ｂに故障がない場合には、主出力回路３１Ａと副出力回路３２Ｂは同期して動作し、主出力回路３１Ａと副出力回路３２Ｂの状態により出力信号線５３Ａの状態が決定される。これは、出力信号線５３Ｂ、５３Ｃでも同様である。

図４は、第１実施形態の多重化制御装置２の動作を示す別のシーケンス図である。図４は、出力信号線５３Ａ〜５３Ｃの取り扱いに注目したシーケンス図を示している。

図４のステップＳ１Ａ〜Ｓ５Ｃの処理は、図３のステップＳ１Ａ〜Ｓ５Ｂの処理と同様に行われる。その結果、出力部３０Ａ〜３０Ｃからの出力信号により出力信号線５３Ａ〜５３Ｃが解放状態または接続状態となる。次に、多数決部４０が、これらの出力信号の多数決演算を行い、システム出力信号を出力する（ステップＳ６、Ｓ７）。

図５は、第１実施形態の多重化制御装置２の故障時の動作を説明するための表である。

図５は、出力部３０Ａに異常が発生した場合の信号線５３Ａ、５３Ｂ、５３Ｃ、５４の状態と、出力部３０Ａ、３０Ｂに異常が発生した場合の信号線５３Ａ、５３Ｂ、５３Ｃ、５４の状態とを示している。前者は一重故障（単一故障）に相当し、後者は二重故障に相当する。

まず、第１の故障が出力部３０Ａに発生した場合、主出力回路３１Ａと副出力回路３２Ａは誤った出力状態となる。しかしながら、信号線５３Ａの状態は、主出力回路３１Ａだけでなく副出力回路３２Ｂにも依存するため、正しい状態となる。同様に、信号線５３Ｃの状態は、副出力回路３２Ａだけでなく主出力回路３１Ｃにも依存するため、正しい状態となる。一方、信号線５３Ｂの状態は、主出力回路３１Ａにも副出力回路３２Ａにも依存しないため、正しい状態となる。

このように、第１の故障が出力部３０Ａに発生した場合、信号線５３Ａ〜５３Ｃの状態は、いずれも正しい状態となる。よって、システム出力信号線５４の状態も、正しい状態となる。

次に、第１の故障が解消されないまま第２の故障が出力部３０Ｂに発生した場合、信号線５３Ａは誤った状態となる。しかしながら、残りの信号線５３Ｂ、５３Ｃは正しい状態に保たれる。よって、多数決部４０では正常出力が２対１で多数派となり、システム出力信号線５４は正しい状態となる。

以上のように、本実施形態の出力部３０Ａ〜３０Ｃはそれぞれ、主出力回路３１Ａ〜３１Ｃと副出力回路３２Ａ〜３２Ｃとを備え、出力信号線５３Ａ〜５３Ｃの各々を、異なる出力部内の主出力回路と副出力回路により制御する。よって、本実施形態によれば、出力部３０Ａ〜３０Ｃに二重故障が発生した場合でも、正常出力が多数となる出力信号を多数決部４０に供給することができる。

よって、本実施形態では例えば、多数決部４０に複雑な構成を持たせずに、単純な構成の多数決部４０を採用しても、多重化制御装置２の二重故障時にも安全な制御を継続することができる。このように、本実施形態によれば、出力部３０Ａ〜３０Ｃ等の機能により二重故障に対応可能な多重化制御装置２を提供することが可能となる。

さらに、本実施形態の主出力回路３１Ａ〜３１Ｃは、主出力信号と副出力信号の安全側状態（解放状態）をＯＲ演算で取り扱い、主出力信号と副出力信号の危険側状態（接続状態）をＡＮＤ演算で取り扱うよう動作する。よって、本実施形態では、システム出力信号が誤った状態になる場合において、システム出力信号が誤って危険側状態になる割合を減らし、システム出力信号が誤って安全側状態になる割合を増やすことができる。よって、本実施形態によれば、多重化制御装置２の故障時の安全性を高めることが可能となる。

（第２実施形態）
図６は、第２実施形態の多重化制御装置２の出力部３０Ａの構成を示すブロック図である。以下の説明は、出力部３０Ｂ、３０Ｃにも当てはまる。

本実施形態の出力部３０Ａは、主出力回路３１Ａと、副出力回路３２Ａと、診断部の例である診断入力部３３Ａと、第１判定部の例である判定部３４Ａとを備えている。

診断入力部３３Ａは、信号線５６Ａにおける信号の値を診断する。これにより、この信号の値が第１値であるか第２値であるかが診断される。前述のように、信号線５６Ａは出力信号線５３Ａと直列に接続されている。そのため、信号線５６Ａにおける信号の値は、出力信号線５３Ａにおける信号の値と同一である。よって、診断入力部３３Ａは、信号線５６Ａにおける信号の値を診断することで、出力部３０Ａから多数決部４０に供給される出力信号の値を診断することができる。診断入力部３３Ａは例えば、フオトカプラなどの回路要素により構成される。

判定部３４Ａは、出力部３０Ａにより生成された主出力信号の値と、診断入力部３３Ａにより診断された出力信号の値とに基づいて、出力部３０Ａ、３０Ｂにおける故障を検出する。例えば、主出力信号の値と出力信号の値が異なる場合には、出力部３０Ａ、３０Ｂにおいて故障が発生していると判定される。理由は、この出力信号の値は、出力部３０Ａからの主出力信号と、出力部３０Ｂからの副出力信号とに依存しているからである。判定部３４Ａは例えば、ＭＰＵ（Micro Processing Unit）やＦＰＧＡ（Field Programmable Gate Array）などの論理演算要素により構成される。

図７は、第２実施形態の多重化制御装置２の故障について説明するための表である。

図７は、故障要因を出力回路３０Ａ〜３０Ｃに限定した場合において、判定部３４Ａにより故障が発生していると判定されるパターンをすべて示している。この場合、主出力回路３１Ａと診断入力回路３３Ａのうちの主出力回路３１Ａのみが異常な場合と、主出力回路３１Ａと診断入力回路３３Ａのうちの診断入力回路３３Ａのみが異常な場合と、信号線５６Ａが異常な場合とが起こり得る。信号線５６Ａが異常である場合には、出力信号線５３Ａの出力信号が異常であるため、主出力回路３１Ａおよび／または副出力回路３２Ｂが異常である。

以上のように、本実施形態では、出力部３０Ａにより、出力部３０Ａに起因する故障だけでなく、出力部３０Ｂに起因する故障も検出することができる。よって、本実施形態によれば、各出力部が他の出力部の故障をも検出することで、故障検出性能を高めることが可能となる。なお、本実施形態の故障検出結果の利用方法の例は、後述する実施形態にて説明する。

（第３実施形態）
図８は、第３実施形態の多重化制御装置２の演算部２０Ａの構成を示すブロック図である。以下の説明は、演算部２０Ｂ、２０Ｃにも当てはまる。

本実施形態の演算部２０Ａは、前述のように、演算処理部２１Ａと、診断部２２Ａと、通信部２３Ａとを備えている（不図示）。本実施形態の演算部２０Ａはさらに、第２判定部の例である系統間判定部２４Ａを備えている。

本実施形態の出力部３０Ａ〜３０Ｃは、第２実施形態の出力部３０Ａと同様の構成を有している。出力部３０Ａは、判定部３４Ａの故障検出結果を出力値線５２Ａを介して演算部２０Ａに供給する。これにより、演算部２０Ａは出力部３０Ａから故障検出結果を取得することができる。同様に、演算部２０Ｂ、２０Ｃはそれぞれ出力部３０Ｂ、３０Ｃから故障検出結果を取得することができる。さらに、演算部２０Ａ〜２０Ｃは、これらの故障検出結果をネットワーク５５Ａ〜５５Ｃを介して交換する。これにより、演算部２０Ａの系統間判定部２４Ａは、出力部３０Ａ〜３０Ｃによる故障検出結果を取得することができる。これは、演算部２０Ｂ、２０Ｃでも同様である。

出力部３０Ａ（判定部３４Ａ）による故障検出結果は、出力部３０Ａ、３０Ｂにおける故障の検出結果を示している。同様に、出力部３０Ｂによる故障検出結果は、出力部３０Ｂ、３０Ｃにおける故障の検出結果を示し、出力部３０Ｃによる故障検出結果は、出力部３０Ｃ、３０Ａにおける故障の検出結果を示している。よって、本実施形態の系統間判定部２４Ａは、これらの故障検出結果に基づいて、出力部３０Ａ〜３０Ｃの故障箇所を特定することができる。例えば、出力部３０Ａ、３０Ｃによる故障検出結果が故障の発生を示している場合には、出力部３０Ａに故障が存在する可能性があると判定可能である。

図９は、第３実施形態の多重化制御装置２の故障について説明するための表である。

図９は、出力部３０Ａに異常が発生した場合の判定部３４Ａ〜３４Ｃの故障検出結果を示している。出力部３０Ａの判定部３４Ａと同様に、判定部３４Ｂ、３４Ｃはそれぞれ出力部３０Ｂ、３０Ｃ内に設けられている。また、出力部３０Ａの診断入力部３３Ａと同様に、診断入力部３３Ｂ、３３Ｃはそれぞれ出力部３０Ｂ、３０Ｃ内に設けられている。

出力部３０Ａについては、判定部３４Ａ、３４Ｃの２つの判定部が故障可能性ありと判定している。一方、出力部３０Ｂについては、１つの判定部が故障可能性ありと判定し、１つの判定部が故障可能性なしと判定している。同様に、出力部３０Ｃについては、１つの判定部が故障可能性ありと判定し、１つの判定部が故障可能性なしと判定している。

本実施形態の系統間判定部２４Ａは、これらの判定結果に多数決論理を適用することで故障箇所を特定することができる。具体的には、出力部３０Ａは２つの判定部により故障可能性ありと判定され、出力部３０Ｂは１つの判定部により故障可能性ありと判定され、出力部３０Ｃは１つの判定部により故障可能性ありと判定されたため、多数決により出力部３０Ａに故障があると判定することができる。

以上のように、本実施形態では、系統間判定部２４Ａにより、出力部３０Ａ〜３０Ｃの故障箇所を特定することができる。よって、本実施形態によれば、第２実施形態よりもさらに高精度の故障判定が可能となる。

（第４実施形態）
図１０は、第４実施形態の多重化制御装置２の出力部３０Ａの構成を示すブロック図である。以下の説明は、出力部３０Ｂ、３０Ｃにも当てはまる。

本実施形態の出力部３０Ａは、主出力回路３１Ａと、副出力回路３２Ａと、診断入力部３３Ａと、判定部３４Ａと、指示部の例である安全停止指示部３５Ａとを備えている。図１０では、作図の便宜上、出力値線５２Ａと主出力回路３１Ａおよび副出力回路３２Ａとの間の配線の図示が省略されている。

本実施形態の演算部２０Ａ〜２０Ｃは、第３実施形態の演算部２０Ａと同様の構成を有している。演算部２０Ａは、系統間判定部２４Ａの故障箇所特定結果を出力値線５２Ａを介して出力部３０Ａに供給する。これにより、出力部３０Ａの安全停止指示部３５Ａは、演算部２０Ａから故障検出結果を取得することができる。これは、出力部３０Ｂ、３０Ｃでも同様である。

安全停止指示部３５Ａは、判定部３４Ａから故障検出結果を受け取り、系統間判定部２４Ａから故障箇所特定結果を受け取る。故障検出結果は、出力部３０Ａ、３０Ｂにおける故障の検出結果を示している。故障箇所特定結果は、出力部３０Ａ〜３０Ｃの故障箇所の特定結果を示している。例えば、故障箇所特定結果は、出力部３０Ａに故障があるという判定結果を、出力部３０Ａの停止を指示するという形で示している。以下、故障検出結果を「第１判定結果」と表記し、故障箇所特定結果を「第２判定結果」と表記する。

安全停止指示部３５Ａは、第１判定結果と第２判定結果をＯＲ演算で取り扱う。具体的には、安全停止指示部３５Ａは、第１判定結果が出力部３０Ａ、３０Ｂに故障があることを示している場合、または、第２判定結果が出力部３０Ａに故障があることを示している場合に、主出力回路３１Ａと副出力回路３２Ａに安全停止指示を発行する。安全停止指示は、主出力回路３１Ａの状態や副出力回路３２Ａの状態を安全側状態（解放状態）に遷移させる指示である。これらの回路が安全側状態に遷移することで、出力部３０Ａの出力信号線５３Ａが安全側状態（解放状態）に遷移する。

出力部３０Ａは、演算部２０Ａからの出力値よりも、安全停止指示部３５Ａからの安全停止指示を優先して取り扱う。よって、演算部２０Ａが出力部３０Ａに出力値を出力しても、安全停止指示部３５Ａが安全停止指示を発行した場合には、主出力回路３１Ａと副出力回路３２Ａは安全側状態に遷移する。

第１判定結果が出力部３０Ａ、３０Ｂに故障があることを示している場合、出力部３０Ａのみが故障している場合と、出力部３０Ｂのみが故障している場合と、出力部３０Ａと出力部３０Ｂの両方が故障している場合とがあり得る。本実施形態の安全停止指示部３５Ａは、これらのいずれの場合にも主出力回路３１Ａと副出力回路３２Ａを安全側状態（解放状態）に遷移させる。主出力回路３１Ａが解放状態になることで、出力部３０Ａの出力信号線５３Ａが解放状態となる。また、副出力回路３２Ａが解放状態になることで、出力部３０Ｃの出力信号線５３Ｃも解放状態となる。このように、本実施形態では、１つの出力部が安全停止指示を発行すると、２本の出力信号線が安全側状態へと遷移する。

図１１は、第４実施形態の多重化制御装置２の動作を説明するための表である。

多重化制御装置２は、安全停止指示部３５Ａが第１判定結果と第２判定結果をＡＮＤ演算で取り扱うかＯＲ演算で取り扱うかを設定するための設定部を備えている。設定部に設定値「ＡＮＤ演算」が設定されていると、安全停止指示部３５ＡはこれらをＡＮＤ演算で取り扱う。一方、設定部に設定値「ＯＲ演算」が設定されていると、安全停止指示部３５ＡはこれらをＯＲ演算で取り扱う。

本実施形態では、設定部に設定値「ＯＲ演算」が設定されている。一方、後述する第５実施形態では、設定部に設定値「ＡＮＤ演算」が設定されている。

以上のように、本実施形態では、出力部３０Ａ〜３０Ｃのいずれかが故障した場合に、安全停止指示により２本の出力信号線が安全側状態に遷移する。その結果、多数決部４０の多数決演算により、システム出力信号線５４が安全側状態に遷移する。よって、本実施形態によれば、１つの出力部の故障でもシステム出力信号線５４が安全側状態に遷移する安全性の高い多重化制御装置２を実現することできる。

（第５実施形態）
第５実施形態は、第４実施形態と同様に、図１０と図１１を参照して説明する。

本実施形態の出力部３０Ａは、図１０に示すように、主出力回路３１Ａと、副出力回路３２Ａと、診断入力部３３Ａと、判定部３４Ａと、指示部の例である安全停止指示部３５Ａとを備えている。本実施形態では、上述の設定部に設定値「ＡＮＤ演算」が設定されている（図１１参照）。

よって、本実施形態の安全停止指示部３５Ａは、第１判定結果が出力部３０Ａ、３０Ｂに故障があることを示している場合、かつ、第２判定結果が出力部３０Ａに故障があることを示している場合に、安全停止指示を発行する。ただし、この安全停止指示は、主出力回路３１Ａのみに発行され、副出力回路３２Ａには発行されない。これにより、主出力回路３１Ａが安全側状態（解放状態）に遷移し、その結果、出力部３０Ａの出力信号線５３Ａが安全側状態（解放状態）に遷移する。

第１判定結果が出力部３０Ａ、３０Ｂに故障があることを示している場合、出力部３０Ａが故障している場合と、出力部３０Ａが故障していない場合とがあり得る。よって、本実施形態の安全停止指示部３５Ａは、第１判定結果のみに基づいて安全停止指示を発行せずに、第１および第２判定結果に基づいて安全停止指示を発行する。これにより、出力部３０Ａが故障している場合のみに、出力部３０Ａの出力信号線５３を安全側状態に遷移させることができる。

この場合、安全停止指示が副出力回路３２Ａに発行されると、出力部３０Ｃが故障していないにもかかわらず、出力部３０Ａの出力信号線５３が安全側状態に遷移してしまう。そのため、本実施形態の安全停止指示部３５Ａは、主出力回路３１Ａのみに安全停止指示を発行し、副出力回路３２Ａには安全停止指示を発行しない。このように、本実施形態では、１つの出力部が安全停止指示を発行すると、１本の出力信号線が安全側状態へと遷移する。

以上のように、本実施形態では、出力部３０Ａ〜３０Ｃのいずれかが故障した場合に、安全停止指示により１本の出力信号線が安全側状態に遷移する。この場合、多数決部４０の多数決演算により、システム出力信号線５４は安全側状態には遷移せず、もとの状態に維持される。よって、本実施形態によれば、ある出力部が故障した場合にはその出力部のみを停止させることができ、故障のない出力部の停止を防ぐことができる。よって、本実施形態によれば、出力部３０Ａ〜３０Ｃの故障に対する安全性と、出力部３０Ａ〜３０Ｃの一重故障時の運転継続性とを両立させることが可能となる。

なお、第４および第５実施形態の安全停止指示部３５Ａは、第１および第２判定結果の両方を取得可能であり、第１判定結果または／および第２判定結果に基づいて安全停止指示を発行するが、第１および第２判定結果の片方のみを取得可能でもよい。この場合、第４および第５実施形態の安全停止指示部３５Ａは、取得可能な第１判定結果のみに基づいて安全停止指示を発行してもよいし、取得可能な第２判定結果のみに基づいて安全停止指示を発行してもよい。

（第６実施形態）
第６実施形態は、第１実施形態と同様に、図２を参照して説明する。以下の説明では、まず第１〜第５実施形態について図２を参照して説明し、次に第６実施形態について図２を参照して説明する。

第１〜第５実施形態における安全側状態とは、信号線の解放状態を指し、信号線が開いた状態を指す。一方、危険側状態とは、信号線の接続状態を指し、信号線が閉じた状態を指す。この場合のシステム出力信号の例は、発電プラントを駆動させるモータに電力を供給するための制御信号である。理由は、このようなモータは一般に、電力が供給されて動作状態にあるよりも、電力が遮断されて停止状態にある方が安全であるからである。

図２において、出力部３０Ａの出力信号線５３Ａの状態は、出力信号線５３Ａに主出力信号を出力する主出力回路３１Ａと、出力信号線５３Ａに副出力信号を出力する副出力回路３２Ｂにより制御される。主出力信号と副出力信号は、解放状態を示す第１値と、接続状態を示す第２値のいずれかの値を有する。第１〜第５実施形態では、解放状態を示す第１値の例は正電圧であり、接続状態を示す第２値の例はゼロ電圧である。よって、主出力回路３１Ａと副出力回路３２Ｂの少なくとも一方が解放状態になれば、出力信号線５３Ａは解放状態となる。一方、主出力回路３１Ａと副出力回路３２Ｂの両方が接続状態になれば、出力信号線５３Ａは接続状態となる。

このように、第１〜第５実施形態では、主出力信号と副出力信号の安全側状態（解放状態）がＯＲ演算で扱われ、主出力信号と副出力信号の危険側状態（接続状態）がＡＮＤ演算で扱われる。よって、システム出力信号が誤った状態になる場合において、システム出力信号が誤って危険側状態になる割合を減らし、システム出力信号が誤って安全側状態になる割合を増やすことができる。

一方、本実施形態における安全側状態とは、信号線の接続状態を指し、信号線が閉じた状態を指す。一方、危険側状態とは、信号線の解放状態を指し、信号線が開いた状態を指す。この場合のシステム出力信号の例は、発電プラント内の電磁弁に電力を供給するための制御信号である。理由は、このような電磁弁は一般に、電力が遮断されて動作できない状態にあるよりも、電力が供給されて動作できる状態にある方が安全であるからである。

本実施形態では、解放状態を示す第１値の例はゼロ電圧であり、接続状態を示す第２値の例は正電圧である。よって、主出力回路３１Ａと副出力回路３２Ｂの少なくとも一方が接続状態になれば、出力信号線５３Ａは接続状態となる。一方、主出力回路３１Ａと副出力回路３２Ｂの両方が解放状態になれば、出力信号線５３Ａは解放状態となる。

このように、本実施形態では、主出力信号と副出力信号の安全側状態（接続状態）がＯＲ演算で扱われ、主出力信号と副出力信号の危険側状態（解放状態）がＡＮＤ演算で扱われる。よって、システム出力信号が誤った状態になる場合において、システム出力信号が誤って危険側状態になる割合を減らし、システム出力信号が誤って安全側状態になる割合を増やすことができる。すなわち、本実施形態によれば、第１〜第５実施形態と同様に、システム出力信号が誤って安全側状態になる割合を増やすことができる。

なお、本実施形態の出力部３０Ａは、第２〜第５実施形態と同様に、診断入力部３３Ａや、判定部３４Ａや、安全停止指示部３５Ａを備えていてもよい。また、本実施形態の演算２０Ａは、第２〜第５実施形態と同様に、系統間判定部２４Ａを備えていてもよい。これは、出力部３０Ｂ、３０Ｃや演算部２０Ｂ、３０Ｃでも同様である。

また、本実施形態の多重化制御装置２は、解放状態と接続状態のいずれか一方を安全側状態に設定するための設定部を備えていてもよい。設定部に設定値「解放状態」が設定されていると、解放状態が安全側状態として扱われる。一方、設定部に設定値「接続状態」が設定されていると、接続状態が安全側状態として扱われる。

また、本実施形態では、安全側状態（接続状態）をＯＲ演算で扱い、危険側状態（解放状態）をＡＮＤ演算で扱っているが、逆に、安全側状態をＡＮＤ演算で扱い、危険側状態をＯＲ演算で扱ってもよい。これを、後述の説明中において第６実施形態の変形例と呼ぶことにする。同様に、第１〜第５実施形態では、安全側状態（解放状態）をＯＲ演算で扱い、危険側状態（接続状態）をＡＮＤ演算で扱っているが、逆に、安全側状態をＡＮＤ演算で扱い、危険側状態をＯＲ演算で扱ってもよい。これを、後述の説明中において第１〜第５実施形態の変形例と呼ぶことにする。

（第７実施形態）
第７実施形態は、第１実施形態と同様に、図２を参照して説明する。

本実施形態の出力部３０Ａ〜３０Ｃは、出力部３０Ａ〜３０Ｃの動作をテストするテスト部３６Ａ〜３６Ｃを備えている（図２参照）。テスト部３６Ａ〜３６Ｃは、主出力回路３１Ａ〜３１Ｃ、副出力回路３２Ａ〜３２Ｃ、出力信号線５３Ａ〜５３Ｃ、信号線５６Ａ〜５６Ｃなどの健全性を確認するためのテストを実行することができる。

本実施形態のテスト部３６Ａ〜３６Ｃは、主出力回路３１Ａ〜３１Ｃや副出力回路３２Ａ〜３２Ｃの出力を一時的に操作し、この操作の結果としての診断結果を診断入力部３３Ａ〜３３Ｃ（図６参照）から取り込む。そして、テスト部３６Ａ〜３６Ｃによる操作により設定された出力信号の値と、診断入力部３３Ａ〜３３Ｃにより診断された出力信号の値との間に不一致がある場合には、判定部３４Ａ〜３４Ｃ（図６参照）は、テスト部３６Ａ〜３６Ｃからの操作に応じて、出力部３０Ａ〜３０Ｃにおける故障の検出処理を行う。テスト部３６Ａ〜３６Ｃは、判定部３４Ａ〜３４Ｃによる故障の検出結果を取得することで、出力部３０Ａ〜３０Ｃが健全であるか否かを確認することができる。

図１２は、第７実施形態の多重化制御装置２の動作を説明するための表である。

図１２の表は、第１〜第５実施形態の多重化制御装置２のテストに適用可能である。また、図１２の表は、解放状態と接続状態を入れ替えることで、第６実施形態の多重化制御装置２のテストにも適用可能である。

図１２は、安全側状態の設定値が「解放状態」の場合におけるテストパターンの例を示している。例えば、テストパターン１では、主出力回路３１Ａ〜３１Ｃと副出力回路３２Ａ〜３２Ｃのうち、主出力回路３１Ａが解放状態に設定され、その他の回路は接続状態に設定される。この場合、出力部３０Ａ〜３０Ｃに故障がなければ、診断入力部３３Ａは、出力信号の値を第１値（解放状態）と判定し、診断入力部３３Ｂ、３３Ｃは、出力信号の値を第２値（接続状態）と判定すると期待される。さらに、出力部３０Ａ〜３０Ｃに故障がなければ、多数決部４０のシステム出力信号の値は、第２値（接続状態）になると期待される。

テストパターン２〜６でも、テストパターン１と同様に、主出力回路３１Ａ〜３１Ｃと副出力回路３２Ａ〜３２Ｃのうち、１つの回路が解放状態に設定され、その他の回路は接続状態に設定される。これにより、テスト部３６Ａ〜３６Ｃは、各回路の解放動作能力を確認することができる。

テストパターン１において、診断入力部３３Ａが出力信号の値を第２値（接続状態）と判定した場合には、出力部３０Ａ、３０Ｂに故障がある可能性がある。理由は、テストパターン１の際のテスト部３６Ａ〜３６Ｃは、主出力回路３１Ａを解放状態、副出力回路３２Ｂを接続状態に設定することにより、出力部３０Ａの出力信号の値を第１値（解放状態）に設定したからである。よって、出力部３０Ａ、３０Ｂに故障がなければ、診断入力部３３Ａによる診断結果は第１値（解放状態）になるはずである。

この場合、判定部３４Ａ〜３４Ｃは、テスト部３６Ａ〜３６Ｃからの操作に応じて、出力部３０Ａ〜３０Ｃにおける故障の検出処理を行う。例えば、出力部３０Ａに故障がある場合においては、判定部３４Ａ、３４Ｃは故障があると判定し、判定部３４Ｂは故障はないと判定すると期待される。テスト部３６Ａ〜３６Ｃは、これらの判定結果を取得することで、出力部３０Ａに故障があることを確認することができる。

図１３は、第７実施形態の多重化制御装置２の動作を説明するための表である。

図１３の表は、第６実施形態の変形例の多重化制御装置２のテストに適用可能である。また、図１３の表は、解放状態と接続状態を入れ替えることで、第１〜第５実施形態の変形例の多重化制御装置２のテストにも適用可能である。

図１３は、安全側状態の設定値が「接続状態」の場合におけるテストパターンの例を示している。例えば、テストパターン１では、主出力回路３１Ａ〜３１Ｃと副出力回路３２Ａ〜３２Ｃのうち、主出力回路３１Ａと副出力回路３２Ｂが接続状態に設定され、その他の回路は解放状態に設定される。この場合、出力部３０Ａ〜３０Ｃに故障がなければ、診断入力部３３Ａは、出力信号の値を第２値（接続状態）と判定し、診断入力部３３Ｂ、３３Ｃは、出力信号の値を第１値（解放状態）と判定すると期待される。さらに、出力部３０Ａ〜３０Ｃに故障がなければ、多数決部４０のシステム出力信号の値は、第１値（解放状態）になると期待される。

テストパターン２、３でも、テストパターン１と同様に、主出力回路３１Ａ〜３１Ｃと副出力回路３２Ａ〜３２Ｃのうち、２つの回路が接続状態に設定され、その他の回路は解放状態に設定される。これにより、テスト部３６Ａ〜３６Ｃは、各回路の接続動作能力を確認することができる。

なお、図１３のテストにて異常が検出された場合のテスト部３６Ａ〜３６Ｃの動作は、図１２のテストの場合と同様である。

以上のように、本実施形態によれば、診断入力部３３Ａ〜３３Ｃと、判定部３４Ａ〜３４Ｃと、テスト部３６Ａ〜３６Ｃにより、出力部３０Ａ〜３０Ｃの動作をテストすることが可能となる。例えば、本実施形態によれば、系統間判定部２４Ａ〜２４Ｃを用いずに、３つの出力部のうちのどの出力部に故障があるかを判定することや、どの主出力回路または副出力回路に故障があるかを判定することが可能となる。

（第８実施形態）
図１４は、第８実施形態の多重化制御装置２の演算部２０Ａ〜２０Ｃの構成を示すブロック図である。

本実施形態の演算部２０Ａ〜２０Ｃはそれぞれ、前述のように、演算処理部２１Ａ〜２１Ｃと、診断部２２Ａ〜２２Ｃと、通信部２３Ａ〜２３Ｃとを備えている（不図示）。さらに、本実施形態の演算部２０Ａ〜２０Ｃはそれぞれ、系統間判定部２４Ａ〜２４Ｃと、設定部２５Ａ〜２５Ｃとを備えている。設定部２５Ａ〜２５Ｃはそれぞれ、出力部３０Ａ〜３０Ｃ用の上述の「ＡＮＤ演算」「ＯＲ演算」の設定値や、出力部３０Ａ〜３０Ｃ用の上述の「解放状態」「接続状態」の設定値を設定するために使用される。演算部２０Ａ〜２０Ｃはそれぞれ、設定部２５Ａ〜２５Ｃ内の設定値を出力値線５２Ａ〜５２Ｃを介して出力部３０Ａ〜３０Ｃに出力することができる。出力部３０Ａ〜３０Ｃは、受け取った設定値を用いることにより、上述の設定を実現することができる。出力部３０Ａ〜３０Ｃは、受け取った設定値を出力部３０Ａ〜３０Ｃ内に登録してもよい。

図１４はさらに、多重化制御装置２にアクセス可能なエンジニアリングツール４を示している。エンジニアリングツール４は、多重化制御装置２にアクセスして多重化制御装置２の各種設定を行うことが可能なソフトウェアや、このソフトウェアを実行可能なコンピュータの総称である。エンジニアリングツール４の例は、このようなソフトウェアがインストールされたＰＣ（Personal Computer）である。このＰＣは例えば、ケーブル等の信号線５８により多重化制御装置２に接続されることで、多重化制御装置２にアクセスすることができる。

演算部２０Ａ〜２０Ｃは、エンジニアリングツール４と通信可能である。エンジニアリングツール４は、この通信により設定部２５Ａ〜２５Ｃ内に各種設定値を登録することができる。エンジニアリングツール４は、ユーザが設定値を選択するためのユーザインターフェースを提供する。

上述の設定値は、多重化制御装置２を適用する発電プラントの入力装置１Ａ〜１Ｃおよび出力装置３の仕様や、多重化制御装置２の多数決部４０の仕様により、必要とされる値が異なる。本実施形態によれば、多重化制御装置２のユーザが、これらの仕様に適した設定値を設定することが可能となる。

なお、第１〜第８実施形態の多重化制御装置２は、３系統の入力部、演算部、出力部を備えているが、４系統以上の入力部、演算部、出力部を備えていてもよい。例えば、多重化制御装置２がＮ系統（Ｎは３以上の整数）の入力部、演算部、出力部を備えている場合には、多重化部４０は、Ｎ系統の出力部からの出力信号の多数決演算を行う。

以上、いくつかの実施形態を説明したが、これらの実施形態は、例としてのみ提示したものであり、発明の範囲を限定することを意図したものではない。本明細書で説明した新規な装置は、その他の様々な形態で実施することができる。また、本明細書で説明した装置の形態に対し、発明の要旨を逸脱しない範囲内で、種々の省略、置換、変更を行うことができる。添付の特許請求の範囲およびこれに均等な範囲は、発明の範囲や要旨に含まれるこのような形態や変形例を含むように意図されている。

１Ａ、１Ｂ、１Ｃ：入力装置 ２：多重化制御装置 ３：出力装置
４：エンジニアリングツール １０Ａ、１０Ｂ、１０Ｃ：入力部
２０Ａ、２０Ｂ、２０Ｃ：演算部 ２１Ａ、２１Ｂ、２１Ｃ：演算処理部
２２Ａ、２２Ｂ、２２Ｃ：診断部 ２３Ａ、２３Ｂ、２３Ｃ：通信部
２４Ａ、２４Ｂ、２４Ｃ：系統間判定部 ２５Ａ、２５Ｂ、２５Ｃ：設定部
３０Ａ、３０Ｂ、３０Ｃ：出力部 ３１Ａ、３１Ｂ、３１Ｃ：主出力回路
３２Ａ、３２Ｂ、３２Ｃ：副出力回路 ３３Ａ、３３Ｂ、３３Ｃ：診断入力部
３４Ａ、３４Ｂ、３４Ｃ：判定部 ３５Ａ、３５Ｂ、３５Ｃ：安全停止指示部
３６Ａ、３６Ｂ、３６Ｃ：テスト部 ４０：多数決部
５１Ａ、５１Ｂ、５１Ｃ：入力値線 ５２Ａ、５２Ｂ、５２Ｃ：出力値線
５３Ａ、５３Ｂ、５３Ｃ：出力信号線 ５４：システム出力信号線
５５Ａ、５５Ｂ、５５Ｃ：ネットワーク ５６Ａ、５６Ｂ、５６Ｃ：信号線
５７Ａ、５７Ｂ、５７Ｃ：信号線 ５８：信号線
６１：故障系統検出部 ６２：信号線

Claims (7)

1. 入力信号を入力値に変換し、前記入力値を出力する第１、第２、および第３入力部と、
   前記入力値を演算して出力値を生成し、前記出力値を出力する第１、第２、および第３演算部と、
   前記出力値を出力信号に変換し、前記出力信号を、前記出力信号の多数決演算を行う多数決部に出力する第１、第２、および第３出力部とを備え、
   各出力部は、第１および第２回路を備え、各出力部に対応する演算部により生成された前記出力値を第１信号に変換し、各出力部に対応する演算部以外の演算部により生成された前記出力値を第２信号に変換し、前記第１および第２信号をそれぞれ前記第１および第２回路に供給し、
   第Ｘ出力部（Ｘは１、２、３のいずれか）の前記第２回路は、前記第Ｘ出力部により生成された前記第２信号を受け取り、受け取った前記第２信号を第Ｙ出力部（Ｘが１の場合はＹは３、Ｘが２の場合はＹは１、Ｘが３の場合はＹは２）の前記第１回路に出力し、
   前記第Ｘ出力部の前記第１回路は、前記第Ｘ出力部により生成された前記第１信号を受け取り、第Ｚ出力部（Ｘが１の場合はＺは２、Ｘが２の場合はＺは３、Ｘが３の場合はＺは１）の前記第２回路から前記第２信号を受け取り、受け取った前記第１および第２信号の少なくともいずれかを前記出力信号として前記多数決部に出力する、
   多重化制御装置。
2. 前記第Ｘ出力部は、前記第Ｘ出力部に対応する第Ｘ演算部により生成された前記出力値を前記第１信号に変換し、前記第Ｙ出力部に対応する第Ｙ演算部により生成された前記出力値を前記第２信号に変換する、請求項１に記載の多重化制御装置。
3. 前記第Ｘ演算部は、前記第Ｘ演算部により生成された前記出力値と、前記第Ｙ演算部から受け取った前記出力値とを、前記第Ｘ出力部に出力する、請求項２に記載の多重化制御装置。
4. 前記第Ｘ出力部は、
   前記第Ｘ出力部から前記多数決部に供給される前記出力信号の値が第１値であるか第２値であるかを診断する診断部と、
   前記第Ｘ出力部により生成された前記第１信号の値と、前記診断部により診断された前記出力信号の値とが一致するか否かに基づいて、前記第Ｘおよび第Ｚ出力部における故障を検出する第１判定部と、
   を備える請求項１から３のいずれか１項に記載の多重化制御装置。
5. 前記第Ｘ出力部に対応する第Ｘ演算部は、前記第１、第２、および第３出力部の前記第１判定部による故障の検出結果を取得し、前記検出結果に基づいて、前記第１、第２、および第３出力部の故障箇所を特定する第２判定部を備える、請求項４に記載の多重化制御装置。
6. さらに、前記第１、第２、および第３出力部の動作をテストするテスト部を備え、
   前記第１判定部は、前記テスト部により設定された前記出力信号の値と、前記診断部により診断された前記出力信号の値との間に不一致がある場合に、前記故障の検出処理を行う、請求項４または５に記載の多重化制御装置。
7. さらに、前記多重化制御装置にアクセス可能なツールから前記出力部の設定値を設定するための設定部を備え、
   前記設定部は、前記出力部の出力信号線の解放状態と接続状態のいずれか一方を安全側状態に設定するための前記設定値を設定可能である、請求項１から６のいずれか１項に記載の多重化制御装置。

Images