JP7599786B2

JP7599786B2 - プラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法

Info

Publication number: JP7599786B2
Application number: JP2021029627A
Authority: JP
Inventors: 大樹深水
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2021-02-26
Filing date: 2021-02-26
Publication date: 2024-12-16
Anticipated expiration: 2041-02-26
Also published as: JP2025003732A; JP2022130945A

Description

本願は、プラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法に関するものである。

従来、計装制御システムにおいては、二重化制御装置のプログラムの更新時に、更新版プログラムを実稼働させる前には、まず、待機系制御装置に更新版プログラムを導入し、依然として更新前プログラムが動作する制御系制御装置の入力データを待機系制御装置の入力として更新版プログラムを動作させ、更新前後の両プログラムの動作結果を比較している（例えば、特許文献１参照）。

特開２０１６－２４７９８号公報

従来のプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法においては、待機系制御装置へ更新版プログラムを書込みし、更新前後の両プログラムの動作結果を比較検証した結果、プログラムに誤りがあることが判明し、更新前の状態に戻す必要がある場合は、再度、オペレータがエンジニアリングツールから待機系制御装置に更新前プログラムを書込み直す必要があり手間がかかるという課題があった。

また、待機系制御装置へ更新版プログラムを書込みし、更新版プログラムの動作検証が未完了の段階で、外乱などの要因で異常が発生し、制御装置間で制御系、待機系の切替えが行われた場合に、未検証の更新版プログラムが実稼働してしまうなどの課題があった。

本願は、上記のような課題を解決するための技術を開示するものであり、待機系制御装置へ更新版プログラムを書込みし、更新前後の両プログラムの動作結果を比較検証した結果、プログラムに誤りがあることが判明し、更新前の状態に戻す必要がある場合に、容易に復元でき、また、待機系制御装置へ更新版プログラムを書込みし、更新版プログラムの動作検証が未完了の段階で、外乱などの要因で異常が発生し、制御装置間で制御系、待機系の切替えが行われた場合に、未検証の更新版プログラムで実稼働してしまうことを防止できるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法を提供することを目的とする。

本願に開示されるプラント計装制御システムは、
被制御装置を制御する制御系の制御装置と、前記制御系の制御装置と同じ構成のバックアップ装置としての待機系の制御装置とが二重化された二重化制御装置と、
前記二重化制御装置への入出力を行う入出力装置と、
前記二重化制御装置の２つの前記制御装置のプログラムの編集および２つの前記制御装置が使用するデータのエンジニアリングを行うエンジニアリングツールと、
前記二重化制御装置と前記入出力装置と前記エンジニアリングツールと前記被制御装置の間を接続して通信を行う保守ネットワークとを備え、
それぞれの前記制御装置は、前記制御装置のプログラムを格納する第一プログラムメモリ領域および前記制御装置の前記プログラムを格納する第二プログラムメモリ領域と、
前記第一プログラムメモリ領域と前記第二プログラムメモリ領域とを同値化する同値化処理部と、
前記入出力装置からの入力データを読み込んで前記第一プログラムメモリ領域上及び前記第二プログラムメモリ領域上の前記プログラムを実行する演算処理部とを備え、
前記第一プログラムメモリ領域と前記第二プログラムメモリ領域は、
一方が前記被制御装置の制御を行う実行領域であるとき、他方は、前記被制御装置の制御を行わない非実行領域であり、前記実行領域と前記非実行領域は入れ替え可能であり、
前記制御系の制御装置の前記実行領域上の更新前のプログラムと、前記待機系の制御装置の前記非実行領域に書き込まれた更新プログラムとのモニタリング結果を表示するモニタ部を備え、
前記制御系の制御装置の前記実行領域および前記待機系の制御装置の前記実行領域においてそれぞれ、前記被制御装置を制御する前記プログラムが動作している際に、
前記待機系の制御装置の前記非実行領域の前記プログラムを更新版プログラムに書換え、
前記待機系の制御装置の前記実行領域と前記非実行領域とを入れ替え、
前記待機系の制御装置の前記実行領域の内容を前記待機系の制御装置の前記非実行領域の内容で同値化させ、
前記制御系の制御装置を待機系の制御装置とし、前記待機系の制御装置を制御系の制御装置とし、
現在の待機系の前記制御装置の前記非実行領域の前記プログラムを前記更新版プログラムに書換え、
現在の待機系の前記制御装置の前記実行領域の内容を前記現在の待機系の前記制御装置の前記非実行領域の内容で同値化させるものである。
本願に開示されるプラント計装制御システムのプログラム書換え方法は、
前記待機系の制御装置の前記非実行領域の前記プログラムを更新版プログラムに書換える第一書換工程と、
前記待機系の制御装置の前記実行領域の内容を前記待機系の制御装置の前記非実行領域の内容で同値化させる第一同値化工程と、
前記制御系の制御装置を待機系の制御装置とし、前記待機系の制御装置を制御系の制御装置とする制待入替工程と、
現在の待機系の制御装置の前記非実行領域の前記プログラムを前記更新版プログラムに書換える第二書換工程と、
現在の待機系の制御装置の前記実行領域の内容を前記現在の待機系の制御装置の前記非実行領域の内容で同値化させる第二同値化工程とを備えるものである。

本願に開示されるプラント計装制御システムのプログラムの書換え方法によれば、
待機系制御装置へ更新版プログラムを書込みし、更新前後の両プログラムの動作結果を比較検証した結果、プログラムに誤りがあることが判明し、更新前の状態に戻す必要がある場合容易に元に戻せる。

また、待機系制御装置へ更新版プログラムを書込みし、更新版プログラムの動作検証が未完了の段階で、外乱などの要因で異常が発生し、制御装置間で制御系、待機系の切替えが行われた場合であっても、未検証の更新版プログラムが実稼働することはない。

実施の形態１によるプラント計装制御システムの構成を示す図である。図１の要部拡大図である。図１の要部拡大図である。実施の形態１による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態１による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態１による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態１による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態２による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態２による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態３による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態３による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態３による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態４による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。図１３の要部拡大図である。実施の形態４による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態４による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。実施の形態４による二重化制御装置のプログラムの書換え方法を時系列に沿って説明する図である。

実施の形態１．
以下、実施の形態１によるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法を、図を用いて説明する。
図１は、プラント計装制御システム１００の構成を示す図である。
図２、図３は、図１の要部拡大図である。
プラント計装制御システム１００は、二重化され、図示しないプラントの被制御装置を制御する二重化制御装置１０と、二重化制御装置１０との間でデータの入出力を行う入出力装置２０と、二重化制御装置１０を構成する２つの制御装置１０Ａ、１０Ｂの制御プログラム（以下、単にプログラムという）の編集および制御装置１０Ａ、１０Ｂが使用する各種データのエンジニアリングを行うエンジニアリングツール３０と、二重化制御装置１０、入出力装置２０、エンジニアリングツール３０、および、上述の被制御装置間を接続して通信を行う保守ネットワーク５０とを備える。

二重化制御装置１０は、制御装置１０Ａと、制御装置１０Ｂとを備える。制御装置１０Ａと制御装置１０Ｂとは、いわゆる冗長化された制御装置であり、いずれか一方が、プラント制御のための制御系の制御装置となっており、そのとき他方は、バックアップ装置としての待機系の制御装置となっている。待機系制御装置は、二重化制御装置１０のそれぞれの制御装置１０Ａ、１０Ｂのプログラムを更新する場合、あるいは、制御系制御装置に突発的な不具合が発生した場合などに、制御系の制御装置としてバックアップするために備えられている。

次に、制御装置１０Ａの構成を説明する。
制御装置１０Ａは、同値化処理部１１Ａと、記憶装置１２Ａと、演算処理部１３Ａとを備える。

記憶装置１２Ａは、制御装置１０Ａ用のプログラムを格納するプログラムメモリ領域１２ＡＰ１（第一プログラムメモリ領域）とプログラムメモリ領域１２ＡＰ２（第二プログラムメモリ領域）の二重化されたメモリ領域を備える。
同値化処理部１１Ａは、プログラムメモリ領域１２ＡＰ１と、プログラムメモリ領域１２ＡＰ２の同値化を行う。演算処理部１３Ａは、入出力装置２０からの入力データを読み込んでプログラムメモリ領域１２ＡＰ１、１２ＡＰ２上のプログラムを実行し出力データを入出力装置２０へ出力する。

また、プログラムメモリ領域１２ＡＰ１とプログラムメモリ領域１２ＡＰ２とは、いずれか一方が、プラント制御（被制御装置の制御）を行う実行領域となり、そのとき、他方がプラント制御を行わない非実行領域となる。ただし、待機系の制御装置の実行領域は、二重化制御装置１０の制御系と待機系が切り替わる、制待切替えが発生した場合にプラント制御を行うことが予定されているプログラムメモリ領域である。非実行領域となるプログラムメモリ領域は、詳細を後述する制御装置１０Ａのプログラムを更新する際に使用する。

次に、制御装置１０Ｂの構成を説明する。
制御装置１０Ｂは、同値化処理部１１Ｂと、記憶装置１２Ｂと、演算処理部１３Ｂとを備える。

記憶装置１２Ｂは、制御装置１０Ｂ用のプログラムを格納するプログラムメモリ領域１２ＢＰ１（第一プログラムメモリ領域）とプログラムメモリ領域１２ＢＰ２（第二プログラムメモリ領域）の二重化されたメモリ領域を備える。
同値化処理部１１Ｂは、プログラムメモリ領域１２ＢＰ１と、プログラムメモリ領域１２ＢＰ２の同値化を行う。演算処理部１３Ｂは、入出力装置２０からの入力データを読み込んでプログラムメモリ領域１２ＢＰ１、１２ＢＰ２上のプログラムを実行し出力データを入出力装置２０へ出力する。

また、プログラムメモリ領域１２ＢＰ１とプログラムメモリ領域１２ＢＰ２とは、いずれか一方が、プラント制御を行う実行領域となり、そのとき、他方がプラント制御を行わない非実行領域となる。非実行領域となるプログラムメモリ領域は、詳細を後述する制御装置１０Ｂのプログラムを更新する際に使用する。

エンジニアリングツール３０は、制御装置１０Ａ、１０Ｂ上で動作するプログラム用のエディタ機能およびモニタ機能を提供するプログラムエディタ・モニタ部３１と、制御装置１０Ａ、１０Ｂの演算処理部１３Ａ、１３Ｂで演算した出力結果を一覧表示し、両系の出力結果の差異を確認する機能を提供する出力一覧表示部３２とを備える。

次に、二重化制御装置１０のプログラムのオンライン書換え方法について図２～図４を用いて説明する。
図４～図７は、二重化制御装置１０のプログラムの書換え方法を時系列に沿って説明する図である。
図４おいて、二重化制御装置１０は、制御装置１０Ａが、制御系制御装置として動作し、制御装置１０Ｂが待機系制御装置として動作している。

制御装置１０Ａの記憶装置１２Ａのプログラムメモリ領域１２ＡＰ１とプログラムメモリ領域１２ＡＰ２、及び制御装置１０Ｂの記憶装置１２Ｂのプログラムメモリ領域１２ＢＰ１とプログラムメモリ領域１２ＢＰ２には、全て同じプログラムが書き込まれている。すなわち、制御装置１０Ａ、１０Ｂでは、同じプログラムが動作し、さらに、それぞれの制御装置１０Ａ、１０Ｂのプログラムメモリ領域は、二重化されている。

実際には、４つのプログラムメモリ領域１２ＡＰ１、１２ＡＰ２、１２ＢＰ１、１２ＢＰ２上のそれぞれのプログラムは、入出力装置２０からの入力情報を用いて動作しているが、制御系として動作している制御装置１０Ａのプログラムメモリ領域１２ＡＰ１上のプログラムのみが入出力装置２０に演算結果を出力し、プラントを制御している。

上述のように、図４は、制御装置１０Ａのプログラムメモリ領域１２ＡＰ１上のプログラムが、プラントの制御を行っている状態を示している。
そして、万一、制御装置１０Ａに不具合が発生した場合に備えて、制御装置１０Ｂが待機（プログラムは、動作しているが、出力は行わない状態）している。制御装置１０Ｂが制御系の制御装置に切り替わった場合は、記憶装置１２Ｂのプログラムメモリ領域１２ＢＰ１上のプログラムが、制御系として動作する。

二重化制御装置１０のプログラムを更新する場合は、次の手順で更新する。
まず、オペレータは、エンジニアリングツール３０のプログラムエディタ・モニタ部３１を用いて二重化制御装置１０の更新版プログラムＮＰを作成する。更新版プログラムＮＰの作成を完了後、最初に、現在の待機系制御装置である制御装置１０Ｂの非実行領域のプログラムメモリ領域１２ＢＰ２へ書込みを行う（図４中のＰ１：第一書換工程）。

その後、エンジニアリングツール３０のプログラムエディタ・モニタ部３１にて、現在制御系制御装置として動作している、制御装置１０Ａのプログラムメモリ領域１２ＡＰ１上の更新前のプログラムと、待機系制御装置として動作している制御装置１０Ｂのプログラムメモリ領域１２ＢＰ２上の更新版プログラムＮＰのモニタリング結果を表示（図４中のＰ２）する。また、出力一覧表示部にて、プログラムメモリ領域１２ＡＰ１上の更新前のプログラムとプログラムメモリ領域１２ＢＰ２上の更新版プログラムＮＰの演算の出力結果一覧を表示する（図４中のＰ３）。そして、オペレータは、出力結果一覧を用いて更新版プログラムＮＰの健全性を確認する（第一比較工程）。

オペレータが確認した結果、更新版プログラムＮＰに問題が無い場合は、オペレータがエンジニアリングツール３０から更新版プログラムＮＰの書換えを続行することで、エンジニアリングツール３０から待機系の制御装置１０Ｂに対してプログラムメモリ領域１２ＢＰ１、１２ＢＰ２の実行領域、非実行領域の切替え処理命令を発行する（第一実行領域入替工程）。

命令を受けた待機系の制御装置１０Ｂは、プログラムメモリの実行領域、非実行領域の切替えを行い、実行領域がプログラムメモリ領域１２ＢＰ１からプログラムメモリ領域１２ＢＰ２に切り替わる。実行領域の切替え完了後に、同値化処理部１１Ｂにてプログラムメモリ領域１２ＢＰ２とプログラムメモリ領域１２ＢＰ１の同値化が行われ、プログラムメモリ領域１２ＢＰ１にも更新版プログラムＮＰが反映される（図５中のＰ４：第一同値化工程）。

このようにして待機系の制御装置１０Ｂへの更新版プログラムＮＰの書込み操作を完了後、二重化制御装置１０の制御系と待機系の切替えを行い、制御装置１０Ａが待機系制御装置、制御装置１０Ｂが制御系制御装置の状態とする（図６中のＰ５：制待切替工程）。

次に、現在の待機系制御装置である制御装置１０Ａの非実行領域のプログラムメモリ領域１２ＡＰ２へ更新版のプログラムの書込みを行う。
まず、制御装置１０Ａの非実行領域のプログラムメモリ領域１２ＡＰ２に更新版プログラムＮＰの書込みを行う（図６中のＰ６：第二書換工程）。その後、エンジニアリングツール３０のプログラムエディタ・モニタ部３１にて、現在の制御系の実行領域である制御装置１０Ｂのプログラムメモリ領域１２ＢＰ２の更新版プログラムＮＰと、待機系の非実行領域のプログラムメモリ領域１２ＡＰ２の更新版プログラムＮＰのモニタリング結果を表示し（図６中のＰ７）、また、出力一覧表示部３２にて、制御系のプログラムメモリ領域１２ＢＰ２の更新版プログラムＮＰと、待機系のプログラムメモリ領域１２ＡＰ２の更新版プログラムＮＰの演算の出力結果一覧を表示（図６中のＰ８）して、オペレータが、待機系のプログラムメモリ領域１２ＡＰ２に書き込んだ更新版プログラムＮＰの健全性を確認する（第二比較工程）。

オペレータが確認した結果、プログラムメモリ領域１２ＡＰ２の更新版プログラムＮＰに問題が無い場合は、オペレータがエンジニアリングツール３０から書換えを続行することで、エンジニアリングツール３０より制御装置１０Ａに実行領域の切替え処理命令を発行する（第二実行領域入替工程）。

待機系である制御装置１０Ａは、プログラムメモリの実行領域と非実行領域の切替えを行い、実行領域がプログラムメモリ領域１２ＡＰ１からプログラムメモリ領域１２ＡＰ２に切り替わる。実行領域切替え完了後に同値化処理部１１Ａにてプログラムメモリ領域１２ＡＰ２とプログラムメモリ領域１２ＡＰ１との同値化が行われ、プログラムメモリ領域１２ＡＰ１にも更新版プログラムＮＰが反映される（図７中のＰ９：第二同値化工程）。

実施の形態１によるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法によれば、制御装置１０Ａ、１０Ｂのプログラムメモリ領域を二重化し、エンジニアリングツール３０での確認手段を備えることで、オペレータが健全性を確認し、稼働中の二重化制御装置１０の更に二重化されたプログラムメモリ領域のプログラムの安全な書換えが可能となる。

実施の形態２．
以下、実施の形態２によるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法を、実施の形態１と異なる部分を中心に説明する。
実施の形態１では、更新版プログラムＮＰの健全性を確認した結果、更新版プログラムＮＰに問題が無い場合について述べたが、本実施の形態２では、二重化制御装置１０への書込みキャンセル機能を備えることで、自動で書込み前の状態の戻すことができる。

図８、図９は、二重化制御装置１０のプログラムの書換え方法を時系列に沿って説明する図である。
図８に示すように、更新版プログラムＮＰを書込みし（図８のＰ１）、健全性を確認した結果（図８のＰ２、Ｐ３）、更新版プログラムＮＰに問題があった場合、オペレータが書込みキャンセル（図９のＰ２４）することで、二重化制御装置１０の図示しないキャンセル機能が動作する。

制御装置のキャンセル機能では、待機系である制御装置１０Ｂの更新前プログラムを保持しているプログラムメモリ領域１２ＢＰ１のデータを正とし、プログラムメモリ領域ＢＰ１、ＢＰ２の同値化が行われ、プログラムメモリ領域ＢＰ２にプログラムメモリ領域ＢＰ１の更新前プログラムが反映され（図９のＰ２５）、制御装置１０Ｂを、更新版のプログラムの書込み前の状態に戻すことができる。

従来、プログラム書込み前の状態に戻す場合は、オペレータが更新前プログラムを用意し、更新前プログラムを書込みする必要があったが、本実施の形態２では復元自体は自動で行われる。

実施の形態２によるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法によれば、万一、更新版プログラムＮＰが正常に動作しない場合であっても、容易に二重化制御装置１０を元の状態に復元できる。

実施の形態３．
以下、実施の形態３によるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法を、実施の形態１、２と異なる部分を中心に説明する。
実施の形態２では、更新版プログラムＮＰの健全性を確認し、健全でない場合にオペレータにて書込みキャンセルを実行する場合について述べた。
本実施の形態では、更新版プログラムＮＰの問題ではなく、外乱等の他の事象によって、更新版プログラムＮＰの書換えを中止する必要がある場合について説明する。

図１０～図１２は、二重化制御装置１０のプログラムの書換え方法を時系列に沿って説明する図である。
図１０に示すように、待機系の制御装置１０Ｂのプログラムメモリ領域１２ＢＰ２に更新版プログラムＮＰの書込み完了後（図１０のＰ１）、オペレータによる更新版プログラムＮＰの動作検証が未確認の段階で、外乱などの要因によって制御系の制御装置１０Ａに異常が発生し、二重化制御装置１０の制待切替えが行われた場合（図１１のＰ２）、制御装置１０Ａが待機系の制御装置となり、制御装置１０Ｂが、制御系の制御装置となるが、制御系の制御装置１０Ｂは、プログラムメモリ領域１２ＢＰ１の更新前のプログラムで演算することになる（図１２のＰ３）。

従来、待機系の制御装置への更新版プログラムＮＰの書込み完了後、二重化制御装置の制待切替えが行われた場合、新たに制御系となった制御装置では、更新版プログラムＮＰで演算が行われるため、更新版プログラムＮＰに問題があった場合は、二重化制御装置が誤動作する恐れがあったが、実施の形態３による計装制御システムによれば、制御系の制御装置と、待機系の制御装置のいずれについてもプログラムメモリ領域を二重化することによって、二重化制御装置１０の誤動作を防止できる。

実施の形態４．
以下、実施の形態４によるプラント計装制御システムおよびプラント計装制御システムのプログラムの書換え方法を、実施の形態１～３と異なる部分を中心に説明する。
実施の形態１～３では、待機系の制御装置１０Ｂのプログラムメモリ領域１２ＢＰ２に更新版プログラムＮＰを書込み後、オペレータが演算結果の出力などを目視で確認して、エンジニアリングツール３０を都度操作し、更新版プログラムＮＰの書換え作業を実施する場合について述べた。

本実施の形態４では、オペレータがエンジニアリングツール３０を都度操作する必要が無く、自動的に更新版プログラムＮＰの書換え作業を行うことができるようにする。

図１３、図１５～図１７は、二重化制御装置１０のプログラムの書換え方法を時系列に沿って説明する図である。
図１４は、図１３の要部拡大図である。
エンジニアリングツール３０は、自動判定処理部３３と正常範囲設定ファイル３４とを備える。

正常範囲設定ファイル３４は、更新版プログラムＮＰの各種出力値の正常範囲（下限値・上限値）を予め設定したファイルである。自動判定処理部３３は、正常範囲設定ファイル３４を予め読み込んでおり（図１３のＰ４０）、プログラムメモリ領域１２ＢＰ２に更新版プログラムＮＰの書込み後（図１３のＰ１）、自動判定処理部３３が、演算処理部１３Ｂの演算の出力結果が、正常範囲設定ファイル３４の正常範囲内に収まっているか否かを判定し、更新版プログラムＮＰの書換え作業を続行するか否かを自動判定する（図１３のＰ４３）。書き換えを続行する場合は、待機系の制御装置１０Ｂの実行領域と非実行領域を入れ替えて、プログラムメモリ領域１２ＢＰ１をプログラムメモリ領域１２ＢＰ２と同値化する（図１５のＰ４５）。

次に、二重化制御装置１０の制御装置１０Ａと制御装置１０Ｂとの制待切替えを自動実行する（図１６のＰ４６）。次に、制御装置１０Ａのプログラムメモリ領域１２ＡＰ２に更新版プログラムを自動書込み後（図１６のＰ４７）、自動判定処理部３３が、演算処理部１３Ａの演算の出力結果が、正常範囲設定ファイル３４の正常範囲内に収まっているか否かを判定し、更新版プログラムＮＰの書換え作業を続行するか否かを自動判定する（図１６のＰ４８）。書き換えを続行する場合は、待機系の制御装置１０Ａの実行領域と非実行領域を入れ替えて、プログラムメモリ領域１２ＡＰ１をプログラムメモリ領域１２ＡＰ２と同値化する（図１７のＰ５０）。

これにより、更新版プログラムＮＰの変更内容が大量にあった場合であっても、オペレータの目視確認の誤り等によって更新版プログラムＮＰがそのまま書き込まれ、二重化制御装置１０が誤動作することを防止できる。また、オペレータが、その都度操作する必要が無いため、更新版プログラムＮＰの書換え作業の効率化を図ることができる。

本願は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１００プラント計装制御システム、１０二重化制御装置、
１０Ａ，１０Ｂ制御装置、１１Ａ，１１Ｂ同値化処理部、
１２Ａ，１２Ｂ記憶装置、
１２ＡＰ１，１２ＡＰ２，１２ＢＰ１，１２ＢＰ２プログラムメモリ領域、
１３Ａ，１３Ｂ演算処理部、２０入出力装置、３０エンジニアリングツール、
３１プログラムエディタ・モニタ部、３２出力一覧表示部、３３自動判定処理部、
３４正常範囲設定ファイル、５０保守ネットワーク。

Claims

被制御装置を制御する制御系の制御装置と、前記制御系の制御装置と同じ構成のバックアップ装置としての待機系の制御装置とが二重化された二重化制御装置と、
前記二重化制御装置への入出力を行う入出力装置と、
前記二重化制御装置の２つの前記制御装置のプログラムの編集および２つの前記制御装置が使用するデータのエンジニアリングを行うエンジニアリングツールと、
前記二重化制御装置と前記入出力装置と前記エンジニアリングツールと前記被制御装置の間を接続して通信を行う保守ネットワークとを備え、
それぞれの前記制御装置は、前記制御装置のプログラムを格納する第一プログラムメモリ領域および前記制御装置の前記プログラムを格納する第二プログラムメモリ領域と、
前記第一プログラムメモリ領域と前記第二プログラムメモリ領域とを同値化する同値化処理部と、
前記入出力装置からの入力データを読み込んで前記第一プログラムメモリ領域上及び前記第二プログラムメモリ領域上の前記プログラムを実行する演算処理部とを備え、
前記第一プログラムメモリ領域と前記第二プログラムメモリ領域は、
一方が前記被制御装置の制御を行う実行領域であるとき、他方は、前記被制御装置の制御を行わない非実行領域であり、前記実行領域と前記非実行領域は入れ替え可能であり、
前記制御系の制御装置の前記実行領域上の更新前のプログラムと、前記待機系の制御装置の前記非実行領域に書き込まれた更新プログラムとのモニタリング結果を表示するモニタ部を備え、
前記制御系の制御装置の前記実行領域および前記待機系の制御装置の前記実行領域においてそれぞれ、前記被制御装置を制御する前記プログラムが動作している際に、
前記待機系の制御装置の前記非実行領域の前記プログラムを更新版プログラムに書換え、
前記待機系の制御装置の前記実行領域と前記非実行領域とを入れ替え、
前記待機系の制御装置の前記実行領域の内容を前記待機系の制御装置の前記非実行領域の内容で同値化させ、
前記制御系の制御装置を待機系の制御装置とし、前記待機系の制御装置を制御系の制御装置とし、
現在の待機系の前記制御装置の前記非実行領域の前記プログラムを前記更新版プログラムに書換え、
現在の待機系の前記制御装置の前記実行領域の内容を前記現在の待機系の前記制御装置の前記非実行領域の内容で同値化させるプラント計装制御システム。
前記エンジニアリングツールは、
前記待機系の制御装置の前記非実行領域の前記プログラムによる前記演算処理部の出力値の正常範囲を設定する正常範囲設定ファイルと、
前記待機系の制御装置の前記演算処理部の出力値と前記正常範囲設定ファイルに記載の出力値とを比較し、前記待機系の制御装置の前記非実行領域の前記プログラムの書換え作業を続行するか否かを判定する自動判定処理部とを備える請求項１に記載のプラント計装制御システム。
前記待機系の制御装置の前記非実行領域の前記プログラムを更新版プログラムに書換える第一書換工程と、
前記待機系の制御装置の前記実行領域の内容を前記待機系の制御装置の前記非実行領域の内容で同値化させる第一同値化工程と、
前記制御系の制御装置を待機系の制御装置とし、前記待機系の制御装置を制御系の制御装置とする制待入替工程と、
現在の待機系の制御装置の前記非実行領域の前記プログラムを前記更新版プログラムに書換える第二書換工程と、
現在の待機系の制御装置の前記実行領域の内容を前記現在の待機系の制御装置の前記非実行領域の内容で同値化させる第二同値化工程とを備える請求項１又は請求項２に記載のプラント計装制御システムのプログラムの書換え方法。
前記第一書換工程の後に、現在の制御系の前記制御装置の実行領域のプログラムの出力結果と、現在の待機系の前記制御装置の前記非実行領域の更新版プログラムの出力結果を比較する第一比較工程と、
前記第二書換工程の後に、現在の制御系の前記制御装置の実行領域のプログラムの出力結果と、現在の待機系の前記制御装置の前記非実行領域の前記更新版プログラムの出力結果を比較する第二比較工程とを備える請求項３に記載のプラント計装制御システムのプログラムの書換え方法。
前記第一書換工程と前記第二書換工程の後にそれぞれ、現在の待機系の前記制御装置の前記実行領域と前記非実行領域を入れ替える実行領域入替工程を備える請求項４に記載のプラント計装制御システムのプログラムの書換え方法。