JP6787239B2

JP6787239B2 - 制御装置、制御方法、及び制御プログラム

Info

Publication number: JP6787239B2
Application number: JP2017086225A
Authority: JP
Inventors: 麗衣森田; 和司坂本; 篤寺山; 斎半田
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2017-04-25
Filing date: 2017-04-25
Publication date: 2020-11-18
Anticipated expiration: 2037-04-25
Also published as: EP3571556B1; US20190384371A1; JP2018185616A; CN110462534B; US11079826B2; CN110462534A; EP3571556A1; WO2018199116A1

Description

本発明は、制御装置に関し、特に、安全計装システムのＦ＆Ｇ（ＦｉｒｅａｎｄＧａｓｓｙｓｔｅｍ）における、二重化された入出力モジュールの制御状態（稼働／待機）の切り替えを抑制する制御装置に関する。

従来から、石油精製、石油化学プロセスや、上下水道の水処理プロセス等を行うプラントにおいては、工業プロセスにおける、例えば、圧力、温度、流量等のような状態量を制御するプロセス制御システムは、安全性を確保しつつ高度な制御を行うために、分散制御システム（ＤＣＳ：ＤｉｓｔｒｉｂｕｔｅｄＣｏｎｔｒｏｌＳｙｓｔｅｍ）等の制御システムと、安全計装システム（ＳＩＳ：ＳａｆｅｔｙＩｎｓｔｒｕｍｅｎｔｅｄＳｙｓｔｅｍ）等の安全システムとを備える。

上記の分散制御システムは、例えば流量計や伝送器のようなフィールド機器と、これらを制御する制御装置とがネットワークを介して接続され、フィールド機器で測定された測定データを制御装置が収集し、収集された測定データに応じて制御装置がフィールド機器を制御することによって、各種状態量の制御を行うシステムである。

上記の安全計装システムは、ガス、炎、熱、煙等を検知するフィールド機器が設けられており、フィールド機器の検知結果に応じてアラームが出力される。このアラームの緊急度に応じて、プラントを確実に安全な状態に停止させることで、人身事故や環境汚染を未然に防止するとともに、プラントにおける設備の保護を図るシステムである。

例えば、非特許文献１には、安全計装システムで用いられる制御装置の構成例が開示されている。

特許文献１には、安全計装システムにおいてフィールド機器から出力されるアラームを解除するため、フィールド機器の電源におけるオン／オフ制御を行う技術が開示されている。

山城靖彦、「ＰｒｏＳａｆｅ−ＲＳハードウェアの特長」、横河技報、横河電機株式会社、２００５年１０月３０日、Ｖｏｌ．４９Ｎｏ．４（２００５）ｐ．１５５−１５８

特開２０１７−０５９１１５号公報

図１は、従来の安全計装システムで用いられる制御装置１の構成例を示す。制御装置１はＶｎｅｔ／ＩＰ（登録商標）等のような制御用ネットワーク７を介して、操作監視端末５やエンジニアリング端末６と接続される。図１において、制御装置１は電源モジュール１４１・１４２、プロセッサモジュール１３１・１３２、入出力モジュール１１１−１１６（以下Ｉ／Ｏモジュールとする）、通信バスモジュール１２１・１２２、及びＩ／Ｏモジュール１１１−１１６を介して接続されるフィールド機器４から構成されるセーフティコントロールユニットと、電源モジュール２３１・２３２、Ｉ／Ｏモジュール２１１−２１８、通信バスモジュール２２１・２２２、及びＩ／Ｏモジュール２１１−２１８を介して接続されるフィールド機器（図示せず）から構成される第１のセーフティノードユニットと、電源モジュール３３１・３３２、Ｉ／Ｏモジュール３１１−３１８、通信バスモジュール３２１・３２２、及びＩ／Ｏモジュール３１１−３１８を介して接続されるフィールド機器（図示せず）から構成される第２のセーフティノードユニットとから構成される。これら電源モジュール１４１・１４２、２３１・２３２、及び、３３１・３３２、プロセッサモジュール１３１・１３２、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８、並びに、通信バスモジュール１２１・１２２、２２１・２２２、及び、３２１・３２２の各モジュールは２つのモジュールを１組のモジュールとして、一方を稼働状態（稼働側）、他方を待機状態（待機側）とする二重化構成をとることができる。

電源モジュール１４１・１４２、２３１・２３２、及び、３３１・３３２は、制御装置１を構成するプロセッサモジュール１３１・１３２、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８、及び通信バスモジュール１２１・１２２、２２１・２２２、及び、３２１・３２２へ電力供給を行う。
プロセッサモジュール１３１・１３２は、制御用ネットワーク７と接続され、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８を介してフィールド機器４の測定値を取得し、プラントを制御するための制御用パラメータを算出するための演算処理を行う。
通信バスモジュール１２１・１２２は、他の通信バスモジュール２２１、２２２、３２１、及び、３２２と通信バスを介し接続して、Ｉ／Ｏモジュール２１１−２１８、３１１−３１８を含む制御装置１を拡張する。

Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８は、フィールド機器４と接続され、フィールド機器４から入出力される信号をプロセッサモジュール１３１・１３２でプラントを制御するための制御用パラメータを算出するための演算処理を行うことができる形式に変換する。さらに、変換された信号は、プラントを制御するための制御用パラメータを算出するための演算処理を行うためプロセッサモジュール１３１・１３２へ送信する。

また、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８は、接続されるフィールド機器４を動作させるため、フィールド機器４における電力の供給を行う。ここで、二重化されたＩ／Ｏモジュールがフィールド機器４へ電力供給を行う場合、稼働状態（稼働側）である一方のモジュールから電力供給を行う。このとき、待機状態（待機側）である他方のモジュールは、電力供給を行う稼働状態（稼働側）である一方のモジュールが、例えば、故障等によって電力供給を行うことができなくなったとき、代わりに電力供給を行えるようにフィールド機器４と接続され、待機している。
なお、二重化されたＩ／Ｏモジュールを介して電力供給を行う場合、稼働状態（稼働側）であるモジュール、及び、待機状態（待機側）であるモジュールの両方から電力供給を行ってもよい。

ここで、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８に接続されたフィールド機器４は、所定の閾値を超えた測定値が検出されると、その旨を示すアラームを出力する。フィールド機器４は、一度測定値が閾値を超えると、測定値が閾値未満に収まってもアラームを出力し続ける。これは、プラントのオペレータや保守作業員等に、プラントにおける危険／異常がフィールド機器４によって検出されたことを必ず知らせなければならないためである。フィールド機器４におけるアラームの出力状態を解除するために、フィールド機器４の電源を一旦オフ状態にする必要がある。以下、フィールド機器４におけるアラームの出力状態を解除し、通常状態（アラームが出力されていない状態）に戻すため、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８を介してフィールド機器４への電力供給を中断し、その後電力供給を再開する（すなわち、電源をオフし、その後オンする）ことを「リセット」と呼ぶ。

フィールド機器４のリセットを行う場合、制御装置１は、フィールド機器４と接続されるＩ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８を介してフィールド機器４への電力供給を制御する。

二重化されたＩ／Ｏモジュール１１１−１１２は、制御装置１からフィールド機器４をリセットする旨の指示を受けると、図示しない制御手段によりＩ／Ｏモジュール１１１−１１２を制御状態から未制御状態に遷移させ、フィールド機器４への電力供給を中断する。ここで、未制御状態は、二重化されたＩ／Ｏモジュール１１１−１１２が制御装置１によって制御することができない状態（オフライン状態）を指す。一方、二重化されたＩ／Ｏモジュール１１１−１１２を、一方のモジュールを稼働状態（稼働側）、他方のモジュールを待機状態（待機側）として、制御装置１が制御することができる状態を制御状態（オンライン状態）という。
予め設定された時間が経過すると、制御装置１から、フィールド機器４を復帰する旨の指示によって、Ｉ／Ｏモジュール１１１−１１２はフィールド機器４へ電力供給を再開する。

ここで、二重化されるＩ／Ｏモジュール１１１−１１２は、フィールド機器４へ電力供給を中断する、及び、電力供給を再開するとき、Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）または待機状態（待機側）が切り替わることがある。例えば、リセット操作が行われると、リセット前は待機状態（待機側）であったＩ／Ｏモジュール１１１が稼働状態（稼働側）として、リセット前は稼働状態（稼働側）であったＩ／Ｏモジュール１１２が待機状態（待機側）として、Ｉ／Ｏモジュール１１１−１１２の制御状態（稼働／待機）が復帰し、フィールド機器４へ電力を供給する。
すなわち、リセット操作の前後で各Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）が待機状態（待機側）に、または、待機状態（待機側）が稼働状態（稼働側）に切り替わり、フィールド機器４は電力供給される。

例えば、図１のＩ／Ｏモジュールを例とすると、Ｉ／Ｏモジュール１１１が待機状態（待機側）、Ｉ／Ｏモジュール１１２が稼働状態（稼働側）として動作する、二重化されたＩ／Ｏモジュール１１１−１１２に接続されるフィールド機器へリセット操作が行われるとする。すると、リセットが行われた後、Ｉ／Ｏモジュール１１１が稼働状態（稼働側）、Ｉ／Ｏモジュール１１２が待機状態（待機側）として、フィールド機器４に電力供給されることになる。すなわち、フィールド機器４のリセット操作に伴い、Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）と待機状態（待機側）が切り替わってしまう。

二重化されるＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）が待機状態（待機側）に、または、待機状態（待機側）が稼働状態（稼働側）に切り替わると、プラントではＩ／Ｏモジュール１１１−１１２に故障または障害が発生したものとして記録され、運転員へＩ／Ｏモジュール１１１−１１２の故障・障害が伝えられる。しかし、記録されるＩ／Ｏモジュール１１１−１１２の故障・障害は、フィールド機器４へのリセット操作に基づくものか、Ｉ／Ｏモジュール１１１−１１２の故障・障害か等の原因を特定することができない。

そのため、運転員はＩ／Ｏモジュール１１１−１１２の故障・障害に対する対応が迅速に行うことができない。この結果、Ｉ／Ｏモジュール１１１−１１２の故障・障害の原因特定作業の発生や、Ｉ／Ｏモジュール１１１−１１２の交換作業が発生し、運転員の作業が煩雑になる。

そこで、本発明は、フィールド機器４のリセット操作に伴う、二重化されるＩ／Ｏモジュール１１１−１１２における稼働状態から待機状態、または、待機状態から稼働状態への切り替えを抑制することを目的とする。

このような課題を解決するために、本発明のうち請求項１に記載の発明は、
フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信する制御装置であって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御装置において、
動作管理情報を格納する記憶部と、
前記フィールド機器への電力供給を中断するための信号を送信するアプリケーション実行部と、
前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するリセット部と、
を具備し、
前記リセット部は、前記信号の受信に基づき、前記動作管理情報に記憶される前記入出力モジュールの制御状態を記憶または更新することを特徴とする。

請求項２記載の発明は、請求項１に記載の制御装置において、
前記動作管理情報は、二重化された前記入出力モジュールの稼働中である状態または待機中である状態、を含むことを特徴とする。

請求項３記載の発明は、請求項１または請求項２に記載の制御装置において、
前記動作管理情報は、前記電力供給を中断する旨の指示の送信時点における前記入出力モジュールの稼働中の状態又は待機中の状態、または、前記制御装置とネットワークを介して接続される操作監視端末により前記フィールド機器への電力供給を中断するための操作が行われた時点の前記入出力モジュールの稼働中の状態又は待機中の状態の少なくともいずれかを含むことを特徴とする。

請求項４記載の発明は、請求項１から請求項３のいずれかに記載の制御装置において、
前記二重化された入出力モジュールは、前記電力供給を中断する旨の指示を受信すると、予め設定された時間が経つと前記稼働中である状態における入出力モジュールからの電力供給を中断することを特徴とする。

請求項５記載の発明は、請求項１から請求項４のいずれかに記載の制御装置において、
前記制御装置は、
前記フィールド機器への電力供給を再開するための信号を送信するアプリケーション実行部と、
前記電力供給を再開するための信号に基づき、前記入出力モジュールからの電力供給を再開する旨の指示を送信するリセット部と、
予め設定した前記入出力モジュールからの電力供給が中断された状態である時間の経過に基づき、前記入出力モジュールからの電力供給を再開する旨の指示を送信する起動部と、
を具備することを特徴とする。

請求項６記載の発明は、請求項１から請求項５のいずれかに記載の制御装置において、
前記二重化された入出力モジュールは、前記動作管理情報に基づき、前記起動部から前記入出力モジュールからの電力供給を再開する旨の指示を受信すると、前記稼働中であった状態の入出力モジュールからの電力供給を再開することを特徴とする。

請求項７記載の発明は、請求項１から請求項６のいずれかに記載の制御装置において、
前記入出力モジュールは、前記入出力モジュールの前記稼働中である状態又は前記待機中である状態を切り替える制御手段を備え、
前記動作管理情報は、前記制御手段によって前記入出力モジュールの前記稼働中である状態又は前記待機中である状態を切り替えたことに基き、前記入出力モジュールに備わるメモリに格納される前記入出力モジュールの前記稼働中である状態又は前記待機中である状態を示す情報が記憶または更新されることを特徴とする。

このような課題を解決するために、本発明のうち請求項８に記載の発明は、
フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信し、動作管理情報を格納する記憶部を有する制御装置による制御方法であって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御方法において、
前記フィールド機器への電力供給を中断するための信号を送信するステップと、
前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するステップと、
予め設定した前記入出力モジュールからの電力供給が中断された状態である時間の経過に基づき、前記入出力モジュールからの電力供給を再開する旨の指示を送信するステップと、
前記再開する旨の指示の受信に基づき、前記動作管理情報に記憶される前記入出力モジュールの制御状態を記憶または更新するステップと、
を含む。

このような課題を解決するために、本発明のうち請求項９に記載の発明は、
コンピュータに、
フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信し、動作管理情報を格納する記憶部を有する制御装置で実行される制御プログラムであって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御プログラムにおいて、
前記フィールド機器への電力供給を中断するための信号を送信するモジュールと、
前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するモジュールと、
予め設定した前記入出力モジュールからの電力供給が中断された状態である時間の経過に基づき、前記入出力モジュールからの電力供給を再開する旨の指示をするモジュールと、
を含み、
前記入出力モジュールからの電力供給を中断する旨の指示を送信するモジュールは、前記再開する旨の指示の受信に基づき、前記動作管理情報の前記入出力モジュールにおける制御状態を記憶または更新することを特徴とする。

フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信する制御装置であって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御装置において、動作管理情報を格納する記憶部と、前記フィールド機器への電力供給を中断するための信号を送信するアプリケーション実行部と、前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するリセット部と、を具備し、前記リセット部は、前記信号の受信に基づき、前記動作管理情報に記憶される前記入出力モジュールの制御状態を記憶または更新することで、入出力モジュールからの電力供給が中断される前の入出力モジュールの稼働状態（稼働側）または待機状態（待機側）を制御装置が把握できるため、二重化される入出力モジュールの稼働状態（稼働側）または待機状態（待機側）の切り替えを抑制することができる。

従来の安全計装システムにおける制御装置の構成例を示す構成図である。本発明の安全計装システムにおける制御装置の構成例を示す構成図である。本発明の実施例を示す構成説明図である。従来のプロセス制御システムの一例を示す基本構成説明図である。本発明のＩ／Ｏモジュールからの電力供給を中断する動作の一例を示すフローチャートである。本発明のＩ／Ｏモジュールからの電力供給を再開する動作の一例を示すフローチャートである。

＜安全計装システムにおける制御装置の構成例＞
以下、図面をもとに本発明に係る安全計装システムにおける制御装置に関する詳細な説明を行う。図２は本発明の基本構成説明図であり、図１と共通する部分には同一の符号を付けている。

図２において、制御装置１００は、制御装置１００は電源モジュール１４１・１４２、プロセッサモジュール１３１・１３２、Ｉ／Ｏモジュール１１１−１１６、及び通信バスモジュール１２１・１２２と、Ｉ／Ｏモジュール１１１−１１６を介して接続されるフィールド機器４から構成されるセーフティコントロールユニットと、電源モジュール２３１・２３２、Ｉ／Ｏモジュール２１１−２１８、通信バスモジュール２２１・２２２、及びＩ／Ｏモジュール２１１−２１８を介して接続されるフィールド機器（図示せず）から構成される第１のセーフティノードユニットと、電源モジュール３３１・３３２、Ｉ／Ｏモジュール３１１−３１８、通信バスモジュール３２１・３２２、及びＩ／Ｏモジュール３１１−３１８を介して接続されるフィールド機器（図示せず）から構成される第２のセーフティノードユニットから構成される。なお、セーフティコントロールユニットおよびこれらセーフティノードユニットは通信バスモジュール１２１・１２２、２２１・２２２、及び、３２１・３２２、及びＩ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８等を介してフィールド機器４と接続される図１と同様にＶｎｅｔ／ＩＰ（登録商標）等のような制御用ネットワーク７を介して、操作監視端末５、エンジニアリング端末６と接続される。また、制御装置１００を構成する電源モジュール１４１・１４２、２３１・２３２、及び、３３１・３３２、プロセッサモジュール１３１・１３２、Ｉ／Ｏモジュール１１１−１１６、２１１−２１８、及び、３１１−３１８、並びに、通信バスモジュール１２１・１２２、２２１・２２２、及び、３２１・３２２の各モジュールは、２つのモジュールを１組のモジュールとして、一方を稼働状態（稼働側）、他方を待機状態（待機側）とする二重化構成をとることができる。

フィールド機器４は、例えば流量計や温度センサ等のセンサ機器、流量制御弁や開閉弁等のバルブ機器、ファンやモータ等のアクチュエータ機器、その他のプラントの現場に設置される機器である。

操作監視端末５は、例えば、プラントのオペレータによって操作され、プロセスの監視に用いられる装置である。また、操作監視端末５には、例えば、フィールド機器４への電力供給を中断、再開を操作できるような計器図５０１・５０２を表示してもよい。エンジニアリング端末６は、制御装置１００によって実行されるプログラムを作成するための装置である。

本発明では、二重化されるＩ／Ｏモジュール１１１−１１２からの電力供給を一旦中断し、その後再開するという動作を介して、フィールド機器４をアラーム出力状態から通常状態（アラームが出力されていない状態）に戻す、という一連のリセット操作を実行することに起因した、二重化されたＩ／Ｏモジュールにおける稼働状態（稼働側）又は待機状態（待機側）の切り替えにおける抑制をプロセッサモジュール１３１・１３２において実現する。また、本実施例では二重化される一方の稼働状態（稼働側）のプロセッサモジュール１３１におけるＩ／Ｏモジュールの稼働状態（稼働側）又は待機状態（待機側）の切り替え抑制機能８について記載を行うが、他方の待機状態（待機側）のプロセッサモジュール１３２にも同様のＩ／Ｏモジュールの稼働状態（稼働側）又は待機状態（待機側）の切り替え抑制機能（図示せず）が搭載されている。

＜Ｉ／Ｏモジュールの制御状態の切り替え抑制機能の構成例＞
次に、図２に安全計装システムにおける制御装置１００の構成要素である、プロセッサモジュール１３１内で構成されるＩ／Ｏモジュールの稼働状態（稼働側）又は待機状態（待機側）の切り替え抑制機能８について図３を用いて詳細に説明する。図３は、本発明の制御装置１００で用いられるプロセッサモジュール１３１の一実施例のうちＩ／Ｏモジュールの制御状態（稼働／待機）の切り替え抑制機能８の構成説明図である。
本発明のＩ／Ｏモジュールの稼働状態（稼働側）又は待機状態（待機側）の切り替え抑制機能８は、アプリケーション実行部８１、記憶部８２、リセット部８３、診断部８４、モジュール起動部８５から構成される。
また、図３ではプロセッサモジュール１３１と接続される、Ｉ／Ｏモジュール１１１−１１２と、Ｉ／Ｏモジュール１１１−１１２を介して接続されるフィールド機器４０１−４１６も表記している。
なお、記憶部８２はメモリや外部の記憶媒体に構成されるものでもよい。

アプリケーション実行部８１は、ダウンロードされた制御プログラム等のプログラムを実行し、Ｉ／Ｏモジュール１１１−１１２を介してフィールド機器４０１−４１６から測定値等のデータを収集する。なお、フィールド機器４０１−４１６からの測定値はプロセス値を含む。アプリケーション実行部８１は、収集されたデータを演算し、他のフィールド機器４０１−４１６に対して駆動信号を送信し、予め定められた制御プログラムに基づき、制御対象のプロセスを制御する。

ここで、ダウンロードされた制御プログラム等のプログラムは、アプリケーションロジックを含む。アプリケーションロジックは、エンジニアリング端末６によって作成され、プログラムとして記憶部８２に格納される。アプリケーションロジックは、グラフィカルユーザインタフェースを用いて、機能ブロック図（ＦＢＤ：ＦｕｎｃｔｉｏｎａｌＢｌｏｃｋＤｉａｇｒａｍ）形式などで記述される。
また、アプリケーションロジックを格納する記憶部８２は、図示しない記憶部８２とは異なるデータベース、メモリや外部の記憶媒体としてもよい。

機能ブロック８１１−８１２は（詳細は後述する）、操作監視端末５でフィールド機器４０１−４１６に対するリセット操作が入力されると、制御用ネットワーク７を介してリセット操作の指示を受信する。
また、機能ブロック８１１−８１２は、リセット操作の指示を受信すると、リセット部８３へＩ／Ｏモジュール１１１−１１２からの電力供給を中断する旨の指示を行うための信号を送信する。
なお、機能ブロックは、アプリケーション実行部８１に、各のフィールド機器４０１−４１６のそれぞれに対して１機能ブロックずつ用意される。

また、機能ブロック８１１−８１２は、フィールド機器４０１−４１６への電力供給が中断されてから、再びフィールド機器４０１−４１６への電力供給が開始されるまでの時間（リセット時間）をカウントするカウンタ（図示せず）を備える。
このカウンタが、リセット時間をカウントし終えると、リセット部８３へリセット時間が終了し未制御状態から制御状態に復帰させる旨を送信する（詳細は後述する）。

記憶部８２は、上述した機能ブロック８１１−８１２図形式などで記述されたアプリケーションロジックや、後述する二重化されたＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）である制御状態を記録する動作管理情報、フィールド機器４０１−４１６と接続されるＩ／Ｏモジュール１１１−１１２が、例えば、断線がない状態、故障がない状態で正常に動作するか否かについて、診断部８４で診断した診断結果等を格納する。
また、記憶部８２は、フィールド機器４０１−４１６が測定したプロセス値を格納してもよい。なお、記憶部８２は、メモリや外部の記憶媒体としてもよい。

リセット部８３は、機能ブロック８１１−８１２から受信した、フィールド機器４０１−４１６における電源をオフする旨の指示に基づき、フィールド機器４０１−４１６への電力供給を中断するために、Ｉ／Ｏモジュール１１１−１１２を制御状態から未制御状態に遷移させる旨の指示をＩ／Ｏモジュール１１１−１１２へ送信する。
さらに、リセット部８３は、Ｉ／Ｏモジュール１１１−１１２からの電力供給を中断するために、Ｉ／Ｏモジュール１１１−１１２を制御状態から未制御状態に遷移させる旨の指示をＩ／Ｏモジュール１１１−１１２へ送信する場合、フィールド機器４０１−４１６への電力供給を中断する前における１組のＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を確認し、動作管理情報に記憶し、更新する。このとき、１組の二重化Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）または待機状態（待機側）は、後述する診断部８４でＩ／Ｏモジュール１１１−１１２に設定されている稼働状態（稼働側）または待機状態（待機側）がフィールド機器４０１−４１６から測定値を取得するときに確認され、各Ｉ／Ｏモジュールごとに確認された稼働状態（稼働側）または待機状態（待機側）である旨を示す情報が動作管理情報に記憶され、更新される。

また、リセット部８３は、機能ブロック８１１−８１２に備えたカウンタ（図示しない）によって、リセット時間がカウントされると、Ｉ／Ｏモジュール１１１−１１２へフィールド機器４０１−４１６の電力供給を再開するために、Ｉ／Ｏモジュール１１１−１１２を未制御状態から制御状態に復帰させる旨を送信する。

ここで、動作管理情報の一例を図４に示す。動作管理情報はＩ／Ｏモジュール１１１−１１２の制御状態（稼働／待機）４１、リセット操作に基づくリセット部８３によるＩ／Ｏモジュール１１１−１１２からの電力供給を中断する前の稼働状態（稼働側）又は待機状態（待機側）である制御状態４２を含む。
なお、Ｉ／Ｏモジュール１１１−１１２からの電力供給が中断される前の稼働状態（稼働側）又は待機状態（待機側）である制御状態４２は、Ｉ／Ｏモジュール１１１−１１２へ電力供給を中断する指示を送信した場合における所定時点の状態、または、操作監視端末５でフィールド機器４０１−４１６に対してリセット操作が行われた場合における所定時点の状態のうち、少なくともいずれかの場合における状態を含むものでよい。
また、図４ではＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を、ＴＲＵＥ、ＦＡＬＳＥと表記しているが、稼働状態、待機状態が判別できるものであれば、例えば、稼働・待機、又は、○・×等と表記してもよい。

診断部８４は、フィールド機器４０１−４１６から測定値を取得するとき、後述するＩ／Ｏモジュール１１１−１１２のメモリに格納される、二重化されたＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を確認する。そして、Ｉ／Ｏモジュール１１１−１１２における、稼働状態（稼働側）又は待機状態（待機側）の確認の後、記憶部８２に格納される動作管理情報にＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）である制御状態として記録する。
なお、フィールド機器４０１−４１６から測定値を取得するタイミング、及び、二重化されたＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を確認するタイミングは、ユーザが設定してよい。

また、診断部８４は、Ｉ／Ｏモジュール１１１−１１２が例えば、断線又はリセット操作が行われているか、若しくは、故障・障害がないか等、異常なく動作するか、フィールド機器４０１−４１６へ電力供給を中断するために、制御状態から未制御状態に遷移されたＩ／Ｏモジュール１１１−１１２や、図示しないフィールド機器へ電力供給を行うＩ／Ｏモジュールに対して、診断を行う。このとき、診断部８４はＩ／Ｏモジュールに対する診断結果を、記憶部８２へ格納する。
ここで、診断部８４が、Ｉ／Ｏモジュール１１１−１１２を、例えば、二重化されるＩ／Ｏモジュールの稼働状態（稼働側）又は待機状態（待機側）の切り替えや、断線等の故障、リセット操作が行われている等による異常状態であると診断した場合、操作監視端末５を介して、Ｉ／Ｏモジュール１１１−１１２の動作異常としてアラームを表示させてもよい。
なお、記憶部８２にＩ／Ｏモジュール１１１−１１２の故障・障害として記録してもよい。

モジュール起動部８５は、機能ブロック８１１−８１２に備わるカウンタが、リセット時間をカウントし終え、かつ、記憶部８２に格納される動作管理情報のＩ／Ｏモジュール１１１−１１２からの電力供給を中断する前の稼働状態（稼働側）又は待機状態（待機側）である制御状態、及び、Ｉ／Ｏモジュール１１１−１１２について、Ｉ／Ｏモジュール１１１−１１２が未制御状態から制御状態に復帰したか否か等の診断結果に基づき、Ｉ／Ｏモジュール１１１−１１２へフィールド機器４０１−４１６の電力供給を再開する（すなわち電源をオンする）旨の指示を行う。

また、モジュール起動部８５は、記憶部８２に格納される、診断部８４による、Ｉ／Ｏモジュール１１１−１１２が、例えば、断線又はリセット操作が行われているか、若しくは、故障・障害がないか等の異常なく動作するか否かの診断結果を、予め設定されるタイミングで定期的に確認する。
なお、モジュール起動部８５が、診断部８４による診断結果を定期的に確認するタイミングは、ユーザが設定してもよい。

Ｉ／Ｏモジュール１１１−１１２は、１つのモジュールに対して複数チャネル、具体的には１６ｃｈ（チャネル）有し、各ｃｈに１つのフィールド機器４０１−４１６を接続することができる。Ｉ／Ｏモジュール１１１−１１２を二重化して構成する場合、二重化されたＩ／Ｏモジュール１１１−１１２で１つのチャネルにフィールド機器４０１−４１６をそれぞれ接続する。このとき、二重化されるＩ／Ｏモジュール１１１−１１２において、モジュール自身が各モジュールのどちらが稼働状態（稼働側）又は待機状態（待機側）のいずれかの状態であるかを判断できるように、稼働状態（稼働側）又は待機状態（待機側）である制御状態を記憶するメモリ（図示せず）も有する。
なお、本発明で用いる実施例では、Ｉ／Ｏモジュール１１１−１１２をアナログ入力用として記載するが、Ｉ／Ｏモジュール１１１−１１２はアナログ入出力（ＡＩ、ＡＯ）、デジタル入出力（ＤＩ、ＤＯ）のいずれであってもよい。
また、二重化されるＩ／Ｏモジュール１１１−１１２は、モジュール自身が各モジュールのどちらが稼働状態（稼働側）又は待機状態（待機側）を判断するため、稼働状態（稼働側）又は待機状態（待機側）である制御状態を記憶する外部メモリと接続されるものであってもよい。

また、Ｉ／Ｏモジュール１１１−１１２は、リセット部８３からＩ／Ｏモジュールからの電力供給を中断する旨の指示を受信すると、カウントを開始する図示しないカウンタ（タイマ）を備える。このカウンタは、一方の待機状態（待機側）であるモジュールが未制御状態（二重化されたＩ／Ｏモジュール１１１−１１２が制御装置によって制御することができない状態）になると、カウントを開始し、Ｉ／Ｏモジュール１１１−１１２の制御手段（図示しない）は、予め設定した時間が経過したことを確認すると、他方の稼働状態（稼働側）であるモジュールを稼働状態から未制御状態に遷移させることで、フィールド機器４０１−４１６への電力供給を中断することができる。

これにより、リセット信号に基づき、二重化されるＩ／Ｏモジュール１１１−１１２における一方の待機状態（待機側）であるモジュールが未制御状態となり、予め設定した時間が経過すると、他方の稼働状態（稼働側）であるモジュールが未制御状態に遷移することで、フィールド機器４０１−４１６への電力供給を中断することができる。
また、機能ブロック８１１−８１２に備わるカウンタが、予め設定されたリセット時間をカウントし終えると、リセット操作前の二重化されたＩ／Ｏモジュール１１１−１１２における稼働状態（稼働側）又は待機状態（待機側）に基づいて、Ｉ／Ｏモジュール１１１−１１２の制御状態は復帰される。そして、Ｉ／Ｏモジュール１１１−１１２は稼働状態（稼働側）又は待機状態（待機側）として動作する。Ｉ／Ｏモジュール１１１−１１２における制御状態への復帰に基づき、Ｉ／Ｏモジュール１１１−１１２はフィールド機器４０１−４１６への電力供給を再開することができる。

＜リセット信号における動作＞
本発明の安全計装システムの制御装置は、フィールド機器４０１−４１６のアラームを出力し続けている状態から通常状態（アラームが出力されていない状態）に変更するため、オペレータによって二重化されるＩ／Ｏモジュール１１１−１１２を制御してフィールド機器４０１−４１６へリセット操作を行う際、Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を切り替えることなく、リセット後もリセット前と同様の稼働状態（稼働側）又は待機状態（待機側）でＩ／Ｏモジュール１１１−１１２を動作させることを可能とするものである。図５〜図６を用いてオペレータからリセット操作が行われ、フィールド機器４０１−４１６のリセットを行う方法について、具体的に説明する。

（Ｉ／Ｏモジュールからの電力供給を中断する動作）
図５は本発明の安全計装システムの制御装置の一実施例における、オペレータからＩ／Ｏモジュール１１１−１１２を制御してフィールド機器４０１−４１６にリセット操作を行い、Ｉ／Ｏモジュール１１１−１１２の制御によるフィールド機器４０１−４１６への電力供給を中断する指示が入力され、Ｉ／Ｏモジュール１１１−１１２からの電力供給を中断するため、Ｉ／Ｏモジュール１１１−１１２が制御状態から未制御状態に遷移されるフローチャートである。

先ず、ステップＳ５０１において、オペレータは、操作監視端末５を介してプラントに設置されるフィールド機器４０１−４１６の信号に応じて表示されるアラームを確認し、プラントの安全を確認すると、操作監視端末５に表示される、フィールド機器４０１−４１６に対応するリセットを行うための計器図５０１・５０２上のリセットボタン５０１・５０２を押下する（ステップＳ５０１）。リセットボタンが押下されると、制御用ネットワークを介して、アプリケーション実行部８１で動作する機能ブロック８１１−８１２へフィールド機器４０１−４１６のリセット操作を行う旨の信号が送信される。

ステップＳ５０１において、操作監視端末５によって、フィールド機器４０１−４１６のリセットボタンが押下された時点のＩ／Ｏモジュール１１１−１１２における稼働状態（稼働側）又は待機状態（待機側）である制御状態を、記憶部８２に格納される動作管理情報に記録してもよい。

次に、ステップＳ５０２において、機能ブロック８１１−８１２はフィールド機器４０１−４１６のリセット操作を行う旨の信号を操作監視端末５から受信すると、リセットするフィールド機器４０１−４１６が接続される、Ｉ／Ｏモジュール１１１−１１２からフィールド機器４０１−４１６への電力供給を中断する旨の信号をリセット部８３へ送信する（ステップＳ５０２）。

ステップＳ５０３において、リセット部８３は、記憶部８２に格納される動作管理情報に記録される、Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を確認し、Ｉ／Ｏモジュール１１１−１１２からの電力供給を中断する前の稼働状態（稼働側）又は待機状態（待機側）である制御状態として、動作管理情報のフィールド機器４０１−４１６におけるリセット前のＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）を更新する（ステップＳ５０３）。
また、ステップＳ５０３における動作管理情報のフィールド機器４０１−４１６におけるリセット前のＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）である制御状態を更新するとき、Ｉ／Ｏモジュール１１１−１１２からの電力供給を中断する前の稼働状態（稼働側）又は待機状態（待機側）である制御状態は、Ｉ／Ｏモジュール１１１−１１２へ電力供給を中断する指示を送信した場合における所定時点の状態、または、操作監視端末５でフィールド機器４０１−４１６に対してリセット操作が行われた場合における所定時点の状態のうち、少なくともいずれか一方の時点でよい。

なお、ステップＳ５０３において、動作管理情報に記録されるＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）である制御状態は、診断部８４が定期的に診断する、接続される二重化されたＩ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）である制御状態における診断結果に基づくものである。

ステップＳ５０４において、リセット部８３はＩ／Ｏモジュール１１１−１１２へ、フィールド機器４０１−４１６への電力供給を中断するため、Ｉ／Ｏモジュール１１１−１１２を制御状態から未制御状態に遷移させる旨の指示を送信する（ステップＳ５０４）。

次に、ステップＳ５０５において、二重化されるＩ／Ｏモジュール１１１−１１２は、フィールド機器４０１−４１６への電力供給を中断するために、Ｉ／Ｏモジュール１１１−１１２を制御状態から未制御状態にさせる旨の指示を受信すると、自身の稼働状態（稼働側）又は待機状態（待機側）をそれぞれ確認する（ステップＳ５０５）。このとき、各Ｉ／Ｏモジュール１１１−１１２は、各Ｉ／Ｏモジュール１１１−１１２に備えるメモリに記録されている稼働状態（稼働側）又は待機状態（待機側）である制御状態に関する情報から、二重化されるモジュールのうち、どちらが稼働状態（稼働側）又は待機状態（待機側）であるかどうかを確認する。

さらに、ステップＳ５０６において、ステップＳ５０５で確認した各Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）に基づいて、Ｉ／Ｏモジュール１１１−１１２を未制御状態にする旨の指示を受けた各Ｉ／Ｏモジュール１１１−１１２は、それぞれが二重化されるモジュールのうち稼働側であるか待機側であるかを判断する、すなわち、稼働状態であるか待機状態であるかを判断する（ステップＳ５０６）。

ステップＳ５０７において、ステップＳ５０６で一方のＩ／Ｏモジュールが待機側であると判断されると、図示しないＩ／Ｏモジュールの制御手段は、リセット部８３からのＩ／Ｏモジュール１１１−１１２を制御状態から未制御状態に遷移させる旨の指示に基づき、待機側であるＩ／Ｏモジュールを未制御状態に遷移させる（ステップＳ５０７）。
また、ステップＳ５０７において、待機側のＩ／Ｏモジュールから未制御状態にする理由は、稼働側のＩ／Ｏモジュールから電力供給を中断するために未制御状態に遷移させると、従来技術に説明したように、Ｉ／Ｏモジュール１１１−１１２の稼働側又は待機側が切り替わってしまうことや、稼働側又は待機側が切り替わることにより、Ｉ／Ｏモジュール１１１−１１２が故障した旨の情報が記憶されてしまうためである。
ここで、未制御状態とは、二重化されたＩ／Ｏモジュール１１１−１１２が制御装置によって制御できない状態（オフライン状態）、例えば、フィールド機器４０１−４１６への電力供給を制御することができない状態を指す。

ステップＳ５０８において、ステップＳ５０６でＩ／Ｏモジュールの一方が稼働側であると判断されると、このＩ／Ｏモジュールの図示しない制御手段は、リセット部８３からの電力供給を中断するためにＩ／Ｏモジュール１１１−１１２を未制御状態にする旨の指示を受信しても、稼働側であるＩ／Ｏモジュールからの電力供給を維持する（ステップＳ５０８）。
また、ステップＳ５０８で稼働側であるＩ／Ｏモジュールの電力供給を維持すると、このＩ／Ｏモジュール１１１−１１２に備えるカウンタが起動しカウントを開始する。

ステップＳ５０９において、図示しないＩ／Ｏモジュール１１１−１１２の制御手段は、Ｉ／Ｏモジュール１１１−１１２のカウンタでカウントされる時間と、予め設定される稼働側のモジュールの電力供給を維持する時間と、を比較する（ステップＳ５０９）。
このとき、予め設定された稼働側の電力供給を維持する時間は、ユーザが設定してもよい。また、予め設定された稼働側の電力供給を維持する時間は、Ｉ／Ｏモジュール１１１−１１２に備えるメモリに格納されるものでもよい。

ステップＳ５１０において、ステップＳ５０９でカウンタの示す時間を経過したと判断されると、図示しないＩ／Ｏモジュール１１１−１１２の制御手段は、稼働側のモジュールからの電力供給を中断するために、稼働側のモジュールを制御状態から未制御状態に遷移させる（ステップＳ５１０）。
このとき、二重化されるＩ／Ｏモジュール１１１−１１２は、フィールド機器４０１−４１６への電力供給を中断するために、制御状態から未制御状態に遷移させる旨の指示を受けると、待機側であるモジュールから、未制御状態となり、所定の時間が経過すると、稼働側のモジュールが未制御状態となる。すなわち、フィールド機器４０１−４１６への電力供給を中断する場合、二重化されるＩ／Ｏモジュール１１１−１１２の双方が、未制御状態となる。

また、ステップＳ５１０において、リセット部８３がＩ／Ｏモジュール１１１−１１２へ電力供給を中断する指示を送信することで、機能ブロック８１１−８１２に備わるカウンタが、予め設定された電力供給を中断する時間のカウントを開始する。
なお、フィールド機器４０１−４１６へ電力供給を中断する時間は、予めユーザが設定してもよい。

ステップＳ５１１において、ステップＳ６０６でカウンタの示す時間予め設定された時間を経過していないと判断すると、Ｉ／Ｏモジュール１１１−１１２の制御手段（図示せず）は、稼働側であるＩ／Ｏモジュールからの電力供給を維持するために、稼働側を維持する（ステップＳ５１１）。

このようにすることで、操作監視端末５を介してＩ／Ｏモジュール１１１−１１２を制御してフィールド機器に対するリセット操作が行われると、Ｉ／Ｏモジュール１１１−１１２からの電力供給を中断する前の稼働状態（稼働側）又は待機状態（待機側）である制御状態は、Ｉ／Ｏモジュール１１１−１１２へ電力供給を中断する指示を送信した場合における所定の時点、または、操作監視端末５でフィールド機器４０１−４１６に対してリセット操作が行われた場合における所定の時点のうち、少なくともいずれか一方の時点における稼働状態（稼働側）又は待機状態（待機側）である制御状態に基づいて動作管理情報に記憶され、更新される。そのため、制御装置１００は、フィールド機器４０１−４１６がリセット操作される前のＩ／Ｏモジュール１１１−１１２における稼働状態（稼働側）又は待機状態（待機側）である制御状態を記憶することができる。
また、Ｉ／Ｏモジュール１１１−１１２は、Ｉ／Ｏモジュール１１１−１１２の稼働状態（稼働側）又は待機状態（待機側）が切り替わることなく、フィールド機器４０１−４１６への電力供給を中断することができる。

なお、オペレータがＩ／Ｏモジュール１１１−１１２の各チャネルに接続されるそれぞれのフィールド機器４０１−４１６のいずれか１つに対してリセット操作すると、Ｉ／Ｏモジュール１１１−１１２の各チャネルに接続される全てのフィールド機器（図示しない）がリセットされてもよい。

（Ｉ／Ｏモジュールからの電力供給を再開する動作）
図６は図５で示したフィールド機器４０１−４１６へ電力供給を中断するために、Ｉ／Ｏモジュール１１１−１１２を制御状態から未制御状態に遷移させる旨の指示が入力され、フィールド機器４０１−４１６への電力供給を中断した後、所定の時間が経過されると電力供給を再開するフローチャートである。

先ず、ステップＳ６０１において、機能ブロック８１１−８１２は、Ｉ／Ｏモジュール１１１−１１２からの電力供給が中断状態になってから所定の期間を経過したかをＩ／Ｏモジュール１１１−１１２に備わるカウンタで確認する。所定期間が経過したものと確認される場合には、リセット部８３へＩ／Ｏモジュール１１１−１１２からの電力供給が中断になってから所定の時間を経過した旨の信号を送信し、ステップＳ６０２に進む（ステップＳ６０１）。
ステップＳ６０２において、リセット部８３は、フィールド機器４０１−４１６への電力供給を再開するために、未制御状態から制御状態に復帰させる旨の指示を、Ｉ／Ｏモジュール１１１−１１２へ送信する。（ステップＳ６０２）。このとき、診断部８４がＩ／Ｏモジュール１１１−１１２に対して、Ｉ／Ｏモジュール１１１−１１２が未制御状態から稼働状態または待機状態（制御状態）に復帰した、又は、復帰できないと診断すると、稼働状態または待機状態（制御状態）に復帰した、又は、復帰できないことを示す情報を記憶部８２へ診断結果を格納する。

ステップＳ６０３において、モジュール起動部８５は、記憶部８２に格納される、診断部８４により、Ｉ／Ｏモジュール１１１−１１２に対して、例えば、リセット操作が行われ、未制御状態でないか、または、故障・障害がないか等の異常があるか否かにおける診断結果を定期的に確認する（ステップＳ６０３）。

ステップＳ６０４において、モジュール起動部８５は、Ｉ／Ｏモジュール１１１−１１２からの電力供給が中断される前の稼働状態（稼働側）又は待機状態（待機側）である制御状態を、記憶部８２に格納される動作管理情報から確認する（ステップＳ６０４）。

次に、ステップＳ６０５において、モジュール起動部８５は、ステップＳ６０３、及び、ステップＳ６０４において確認した、記憶部８２に格納される、診断部８４により、Ｉ／Ｏモジュール１１１−１１２に対して、例えば、リセット操作が行われ、未制御状態でないか、または、故障・障害がないか等の、Ｉ／Ｏモジュール１１１−１１２に異常があるか否かを定期的に診断した診断結果、及び、動作管理情報のＩ／Ｏモジュール１１１−１１２からの電力供給が中断される前の稼働状態（稼働側）又は待機状態（待機側）である制御状態に基づいて、フィールド機器４０１−４１６への電力供給を再開するために、Ｉ／Ｏモジュール１１１−１１２の未制御状態を制御状態に復帰させる旨の信号を送信する（ステップＳ６０５）。
また、ステップＳ６０５において、モジュール起動部８５は例えば、ステップＳ６０２によって、リセット部８３がＩ／Ｏモジュール１１１−１１２へ未制御状態から制御状態に復帰させる旨の指示を送信し、復帰した等の正常であると判断した診断結果に基づき、フィールド機器４０１−４１６への電力供給を再開するために、未制御状態から制御状態に復帰させる旨の信号を送信する。

さらに、ステップＳ６０６において、モジュール起動部８５からＩ／Ｏモジュール１１１−１１２からの電力供給を再開するために、未制御状態から制御状態に復帰させる旨の信号に基づいて、図示しないＩ／Ｏモジュール１１１−１１２の制御手段が、記憶部８２に記憶される動作管理情報に基づき、それぞれ二重化されるモジュールのどちらが稼働側のモジュールであるか、待機側のモジュールであるかを判断する（ステップＳ６０６）。なお、Ｉ／Ｏモジュール１１１−１１２は、動作管理情報を記憶する図示しない記憶部を有するものであってもよい。

ステップＳ６０７において、ステップＳ６０６で稼働側であったと判断されると、リセット前に稼働側であったＩ／Ｏモジュールから電力供給を再開させるために、図示しないＩ／Ｏモジュール１１１−１１２の制御手段は、未制御状態から制御状態に復帰させ、稼働側として一方のモジュールを動作させる（ステップＳ６０７）。
ステップＳ６０７において、ステップＳ６０６で待機側であったと判断されると、図示しないＩ／Ｏモジュール１１１−１１２の制御手段は、待機側であったＩ／Ｏモジュールを未制御状態で維持し、Ｉ／Ｏモジュール１１１−１１２に備わるカウンタが起動する。

ステップＳ６０８おいて、図示しないＩ／Ｏモジュール１１１−１１２の制御手段は、Ｉ／Ｏモジュール１１１−１１２に備えるカウンタでカウントされる時間と、予め設定されたリセット前に待機側であったＩ／Ｏモジュールを未制御状態で維持する時間と比較する（ステップＳ６０８）。
予め設定されたリセット前に待機側であったＩ／Ｏモジュールを未制御状態で維持する時間は、図示しないＩ／Ｏモジュール１１１−１１２に備わるメモリに記憶されている。
また、予め設定されたリセット前に待機側であったＩ／Ｏモジュールを未制御状態で維持する時間は、ユーザが設定してもよい。

ステップＳ６０９おいて、ステップＳ６０８でカウンタのカウントされる時間が予め設定された時間をカウントしたと判断されると、待機側のＩ／Ｏモジュールとして、未制御状態から制御状態に復帰する（ステップＳ６０９）。

ステップＳ６１０おいて、ステップＳ６０８のＩ／Ｏモジュール１１１−１１２に備わるカウンタで示す時間が予め設定された時間をカウントしてないと判断されると、リセット前に待機側であったＩ／Ｏモジュールを未制御状態で維持する（ステップＳ６１０）。
このようにすることで、操作監視端末５から、フィールド機器４０１−４１６に対してリセット操作を行うことで、フィールド機器４０１−４１６へ電力供給を中断しても、Ｉ／Ｏモジュール１１１−１１２はリセット操作前の稼働状態（稼働側）又は待機状態（待機側）である制御状態を維持し、フィールド機器４０１−４１６へ電力供給を再開することができる。
さらに、リセット前に待機側であった一方のモジュールを、予め設定した時間が経過した後、待機側のモジュールとして未制御状態から制御状態に復帰させることにより、Ｉ／Ｏモジュール１１１−１１２自身が、二重化されたＩ／Ｏモジュール１１１−１１２のどちらが稼働側または待機側かどうか判断することができる、すなわち、稼働状態または待機状態かどうか判断することができる。

なお、本実施例では、フィールド機器４０１−４１６への電力供給は、二重化されるＩ／Ｏモジュール１１１−１１２における一方の稼働状態（稼働側）あるモジュールによって行うことと記載されるが、稼働状態（稼働側）、又は、待機状態（待機側）のモジュールの両方から、フィールド機器４０１−４１６へ電力供給を行ってもよい。

このように、本実施形態に係る制御装置は、動作管理情報を格納する記憶部と、前記フィールド機器への電力供給を中断するための信号を送信するアプリケーション実行部と、前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するリセット部と、を具備する。

このような構成にすることにより、本発明の安全計装システムにおける制御装置は、操作監視端末５から、フィールド機器４に対してリセット操作が行われても、Ｉ／Ｏモジュール１１１−１１２はリセット操作前の稼働状態（稼働側）又は待機状態（待機側）を維持することができる。そのため、不要なＩ／Ｏモジュール１１１−１１２に故障おける通知を低減することができるため、プラントのオペレータや保守作業員等はＩ／Ｏモジュール１１１−１１２の故障に対する対応が迅速に行うことができる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成は上述の実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。例えば、上述の実施形態において説明した各機能は、任意に組み合わせることができる。

１、１００制御装置
４、４０１−４１６フィールド機器
５操作監視端末
６エンジニアリング端末
７制御ネットワーク
８稼働状態の切り替え抑制機能
８１アプリケーション実行部
８２記憶部
８３リセット部
８４診断部
８５モジュール起動部

Claims

フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信する制御装置であって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御装置において、
動作管理情報を格納する記憶部と、
前記フィールド機器への電力供給を中断するための信号を送信するアプリケーション実行部と、
前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するリセット部と、
を具備し、
前記リセット部は、前記信号の受信に基づき、前記動作管理情報に記憶される前記入出力モジュールの制御状態を記憶または更新することを特徴とする制御装置。
前記動作管理情報は、二重化された前記入出力モジュールの稼働中である状態または待機中である状態を含むことを特徴とする請求項１に記載の制御装置。
前記動作管理情報は、前記電力供給を中断する旨の指示の送信時点における前記入出力モジュールの稼働中の状態又は待機中の状態、または、前記制御装置とネットワークを介して接続される操作監視端末により前記フィールド機器への電力供給を中断するための操作が行われた時点の前記入出力モジュールの稼働中の状態又は待機中の状態の少なくともいずれかを含むことを特徴とする請求項１または請求項２に記載の制御装置。
前記二重化された入出力モジュールは、前記電力供給を中断する旨の指示を受信すると、予め設定された時間が経つと前記稼働中である状態における入出力モジュールからの電力供給を中断することを特徴とする請求項１から請求項３のいずれかに記載の制御装置。
前記制御装置は、
前記フィールド機器への電力供給を再開するための信号を送信するアプリケーション実行部と、
前記電力供給を再開するための信号に基づき、前記入出力モジュールからの電力供給を再開する旨の指示を送信するリセット部と、
予め設定した前記入出力モジュールからの電力供給が中断された状態である時間の経過に基づき、前記入出力モジュールからの電力供給を再開する旨の指示を送信する起動部と、
を具備することを特徴とする請求項１から４のいずれかに記載の制御装置。
前記二重化された入出力モジュールは、前記動作管理情報に基づき、前記起動部から前記入出力モジュールからの電力供給を再開する旨の指示を受信すると、前記稼働中であった状態の入出力モジュールからの電力供給を再開することを特徴とする請求項５のいずれかに記載の制御装置。
前記入出力モジュールは、前記入出力モジュールの前記稼働中である状態又は前記待機中である状態を切り替える制御手段を備え、
前記動作管理情報は、前記制御手段によって前記入出力モジュールの前記稼働中である状態又は前記待機中である状態を切り替えたことに基づき、前記入出力モジュールに備わるメモリに格納される前記入出力モジュールの前記稼働中である状態又は前記待機中である
状態を示す情報が記憶または更新されることを特徴とする請求項１から請求項６のいずれかに記載の制御装置。
フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信し、動作管理情報を格納する記憶部を有する制御装置による制御方法であって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御方法において、
前記フィールド機器への電力供給を中断するための信号を送信するステップと、
前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するステップと、
予め設定した前記入出力モジュールからの電力供給が中断された状態である時間の経過に基づき、前記入出力モジュールからの電力供給を再開する旨の指示を送信するステップと、
前記再開する旨の指示の受信に基づき、前記動作管理情報に記憶される前記入出力モジュールの制御状態を記憶または更新するステップと、
を含む制御方法。
コンピュータに、
フィールド機器が設置されるプラントにおける、複数の入出力モジュールを介し前記フィールド機器と通信し、動作管理情報を格納する記憶部を有する制御装置で実行される制御プログラムであって、２つの前記入出力モジュールのうち、一方を稼働させ、他方を待機させることで前記入出力モジュールの二重化を行う制御プログラムにおいて、
前記フィールド機器への電力供給を中断するための信号を送信するモジュールと、
前記信号に基づき、前記入出力モジュールからの電力供給を中断する旨の指示を送信するモジュールと、
予め設定した前記入出力モジュールからの電力供給が中断された状態である時間の経過に基づき、前記入出力モジュールからの電力供給を再開する旨の指示をするモジュールと、
を含み、
前記入出力モジュールからの電力供給を中断する旨の指示を送信するモジュールは、前記再開する旨の指示の受信に基づき、前記動作管理情報の前記入出力モジュールにおける制御状態を記憶または更新することを特徴とするプログラム。