JPH02501244A - 故障許容出力回路 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 発明の名称 本発明は一般には故障許容回路、特に、故障許容コンピュータや産業用制御装置 に関連した出力回路に関する。電算機を複数台用いてコンピュータ制御処理の完 全性を維持するという考えは、数年前から公知である。各電算機は命令を別個に 実行する。得られた結果は相互に比較されて「正しい」結果が決定される。一般 には３台の電算機を用いて得られた結果が票決回路で比較され、２種類以上の結 果が同一であれば、それが正しい結果とみなされる構成になっている。３台の電 算機の内のいずれか１台が誤った結果を出した場合は、稼働中に同時に２台の電 算機が故障してしまうという可能性を避けるために通常はその１伊台が直ちに取 り替えられる。この票機が実行する計算及び論理演算などを含めて、演算のほと んど総べてに適用することができる。

別ではあるが関連した問題として、出力回路に前記のような冗長性を持たせるた めの設計が挙げられる。産業用制御装置に用いられる電算機の出力は基本的に２ 種類に分けられる。

一方の出力は「オン」及び「オフ」の２種類の信号で構成されるもので、デジタ ル又はバイナリと一般に呼ばれているものである。他方の出力はアナログ信号で あり、例えば、弁の位置の制御に用いられる。弁は流体の流量、圧力水準、その 他の物理的パラメータを制御する。デジタル出力信号は直流電流モータのオンオ フ制御、ソレノイドにより開閉する弁の制御を初めとするその能様々な機能の制 御の処理に用いられる。

出力信号を供給する一つの方法として、複数台の電算機から得られる複数個の出 力を１個の票決回路に接続し、票決回路の出力を電源供給装置とモータなどの負 荷との間に設けられた直流スイッチの制御端子に接続する方法がある。ところが 、この方法には票決回路及びスイッチがいずれも故障する可能性のある単一の構 成要素であるという点に問題がある。

即ち、画構成要素のうちいずれか一方が故障すると、電算機を複数台備えていて も、誤った信号を発生する可能性がある。

同じことはアナログの場合にも当てはまる。例えば、３台の電算機の各デジタル 出力を単一の票決回路に接続し、その出力を単一のデジタルアナログ変換器に供 給する場合、票決回路か変換器のいずれか一方が故障すると、誤った出力信号が 生成される可能性がある。

以上のことから、電算機を複数台設けて冗長性を持たせることにより電算機自体 に故障許容性を持たせるのと同じように、故障許容性のある出力回路を構成する 必要性があることは明らかである。本発明は正にこのために開発されたもので本 発明の本質は、複数台の電算機に関連した出力回路を重複して設けることにより 、出力回路を冗長性のある構成にすることにある。この構成により、出力回路の 少なくとも１構成要素の故障が許容され、しかも所期の出力信号の供給が可能と なる。

本発明の概略を一般的な言葉で述べれば、その最も一般的な形態は、各々が複数 台の電算機に接続されていて、各電算機の出力信号を受信して個別に票決出力信 号を出力する２個の票決回路と、故障している構成要素が出力回路内にないかど うかを判定する故障検出手段と、少なくとも１個のスイッチとを備えている。ス イッチは票決出力信号と故障検出手段により発生される信号との論理的な組み合 わせに従って切り替えられる。この構成により、出力回路は構成要素の故障に対 する許容能が増大する。

本発明の一実施例は特にデジタル制御信号の出力に関するものである。一実施例 の出力回路には、各々が複数台の電算機に接続されていて、各電算機の出力信号 を受信して個別に票決出力信号を出力する２個の票決回路と、制御対象である回 路内で直列に接続されている電気的に制御可能な２個のスイッチとが設けられて いる。両票決回路の出力は両スイッチを別々に制御できるように対応するスイッ チに接続されている。この構成により、両票決回路のいずれか一方の故障又は両 スイッチのいずれか一方の故障は、生じ得る可能性のある２種類の結果のいずれ か一方になる。即ち、スイッチはオンる。ところで、前者の場合はもう一方の直 列スイッチにより負荷を適切に制御することができる。これに対し、後者の場合 は最悪でも制御対象である回路がオフになるので危険が防止される。出力回路に オンオフ動作をしないスイッチがないかどうかを検出する手段を設けることが理 想的である。

最も有用な実施例では、いま述べた回路をモジュールとして２個備えている。各 モジュールが有する２個の褒状回路の出力信号は、同モジュール内で直列に接続 されている２個のスイッチを別々に制御できるように、対応するスイッチに個別 に接続されている。一方のモジュール内の直列スイッチは、他方のモジュール内 の直列スイッチと並列になるように接続されている。２個のモジュールにより同 一回路を制御するための冗長手段が構成されており、所期のオンオフ命令が高度 の故障許容性能を持って実施される。

各モジュールの故障検出手段は、周期的なテストパルスを発生する手段と、この テストルスと票決回路の出力信号とを論理的に組み合わせることにより、オフ状 態に指定されているスイッチをテストパルスにより周期的にオンに切り替え、オ ン状態のスイッチをテストパルスにより周期的にオフに切り替える手段とを備え ている。

本発明をアナログ出力回路に適用した場合は、アナログ出。

力回路は複数台の電算機からアナログ出力信号を生成する手段と、アナログ出力 信号が有効であるかどうかを判断してモジュール有効信号を発生する手段と、モ ジュールをハイインピーダンス状態にすることにより、モジュールからのアナロ グ出力の発生を実施したり、中止したりする手段とを備えている。この実施例の 非常に有用な形態では、２個の全く同一のモジュールが用いられている。各モジ ュールはモジュール有効信号と他方のモジュールのスイッチ手段の状態とを組み 合わせてスイッチ手段制御信号を発生する論理手段を備えている。制御可能なス イッチ手段がオン状態にされて何時でも作動しているのは両モジュールの内の一 方だけであり、この作動中のモジュールに故障が検出されない限り、論理手段に より他方のモジュールは作動しない。

より詳しく述べれば、アナログ出力信号生成手段は、各々が複数台の電算機に接 続されていて、各電算機の出力信号を受信し、命令されたアナログ出力レベルを 示す票決出力信号を個別に出力する２個の票決回路と、各々が対応する票決回路 に接続されていて、票決回路からの信号を入力し、アナログ出力信号を個別に出 力する２個のデジタルアナログ変換器とを備えている。アナログ出力信号が有効 であるかどうかを判断してモジュール有効信号を発生する手段は、デジタルアナ ログ変換器に接続されていて、入力としてデジタルアナログ変換器の出力を受信 して、両アナログ出力信号がマツチするかどうかを示すバイナリ出力信号を生成 するアナログ比較器を備えている。

アナログ出力回路モジュールを２個有する本発明の先に述べた形態では、各モジ ュール内の論理手段は、一方の入力が同一モジュールの比較器から得られ、他方 の入力が他方のモジュールの論理機能ゲートの出力の逆から得られる論理機能ゲ ートを有している。従って、両モジュール内の論理機能ゲートは交差して接続さ れていて、両モジュールの間に配置されたフリップフロップ回路が形成されてい る。

以上の説明から本発明は故障許容出力回路の分野で重要な進歩を成し遂げている ことは明らかである。特に、本発明により、回路の特定の構成要素の完全性に依 存することなく、命令されたデジタル又はアナログ出力信号を確実に発生するこ とが可能となる。本発明の出力回路は簡便なモジュールとして構成されているの で、所望の出力状態に影響を与えることなく容易に交換することができる。本発 明の上記以外の観点及び利点は、以下の詳細な説明及び図面を参照することによ り明らかである。

図面の簡単な説明 第１図は本発明に基づく直流出力回路を簡略化して示すブロック図、第２図は第 １図の回路に類似した２個のモジュールよりなる直流出力回路を簡略化して示す ブロック図、第３図は第１図の回路のより詳細なブロック図、第３ａ及び３ｂ図 は第３図の回路に用いられているテストパルス波形を簡略化して示すグラフ、第 ４図は第１図及び第３図の回路に類似した直流出力回路の一部をより詳細に示す 概略図、第５図は本発明に基づくアナログ出力回路の簡単な概略図である。

好ましい実施例の説明 本発明は、説明のための図面に示したように、産業用制御装置その他の出力回路 に故障許容性を与えることに関する。

電算機レベルでは冗長性や故障許容性を有する装置が存在するが、出力制御信号 は構成要素の故障を許容することのできる出力回路から出力されることが理想的 である。制御信号は、デジタル又はオンオフ信号とアナログ信号との２種類に大 別できる。

本発明では、誤っている可能性の高い出力制御信号が複数個の出力制御信号を「 票決」することにより排除されるだけでなく、単一の構成要素の故障によって出 力に誤りが生じる可能性が票決回路及び出力スイッチを二重にすることにより除 去されている。出力がデジタル、アナログのいずれの場合視されるので、−構成 要素が故障した場合は、第２の構成要素が故障する前に故障した構成要素を取り 替えることができる。

第１図には、参照符号１０で示す電源及び直流モータ１２を有する直流電流（ｄ ｃ）回路を制御するための本発明の最も簡単な形態が示されている。制御装置は 一部しか図示されていないが、モータ１２のオンオフ状態を制御する出力信号を 発生する３台の同一の電算機１４ａ　ｓ　１４ｂ　、　１４ｃを備えている。こ れらの出力制御信号はそれぞれが対応する出力ライン１６ａ１１６ｂ　、　１６ ｃを通って２個の全く同一の票決回路１８ａ　、　１８ｂに供給される。個々の 票決回路は、入力されたこれらの信号の「票決」に従って正しい出力信号を決定 する。票決出力信号は、電源ｌＯとモータ１２とを接続する直列に接続された２ 個のスイッチ２０ａ　、　２０ｂの制御に用いられる。

モータや、他の類似した負荷の制御用デジタル出力は正常状態と「危険防止」状 態とに分類できる。オン信号が発生されているにも拘らずモータがオンしないと いう故障の場合は、この状態が早期に検出されて故障が修理されるならば、通常 は許容可能な故障状態とみなされる。ところが、オフ信号が出力されているにも 拘らずモータが回転し続けるという故障は、通常は許容することができない。モ ータ１２の制御に単一の票決回路及び単一のスイッチが用いられている場合、オ ン状態でスイッチが故障する確率とオフ状態でスイッチが故障する確率とは理論 上同一であるので、許容できない故障が発生する確率は非常に高い。

一方、第１図の構成では、許容できない故障状態が生じる確率は表１に示すよう に非常に低い。表１には故障状態の可能な組み合わせが総べて示されている。こ の票ではスイッチ２０ａ及び２０ｂはそれぞれＡ及びＢで示されている。

表１′ Ａオン　Ａオン　Ｂオフ　Ｂオフ　Ａオン　Ａオン　Ａオン　Ａオン文字の記載 されている横の列は故障状態を示す。例えば、「Ａオン」はスイッチＡが「オフ 」状態で故障していること、即ち、「オン」できないことを表わす。右側の縦４ 列は両方のスイッチが共に故障していることを表わしている。状態ｒＯＪは、制 御されているモータなどの負荷が２個のスイッチの内のいずれか一方のスイッチ によりオフされるか、出力回路が一般に安全な「オフ」状態で故障することを示 している。スイッチ２０ａ　、　２０ｂは直列に接続されているので、いずれか 一方がオン状態で故障しても、他方のスイッチをオフにできるので、回路全体に とって致命的な故障にはならない。

また、スイッチの一方又は両方がオフ状態で故障した場合は、一般にオフ状態は 制御されているモータにとって安全な故障状態なので、いずれも致命的な故障で はない。唯一許容することができないのは、スイッチが両方ともオン状態で故障 した場合である。この故障状態が生じる確率は非常に低い。例えば、所定の期間 内で一つのスイッチがオン状態で故障する確率が１％であり、同スイッチがオフ 状態で故障する確率が同じであるとする。このときスイッチを１個だけ用いてモ ータを制御した場合、前期期間内に許容することのできない故障の生じる確率は １％である。ところが、第１図のように２個のスイッチを直列に繋いだ場合、同 一期間内に許容することのできない故障の生じる確率は１．ＯＩＸ、０１、即ち 、。

０１％に過ぎない。許容することのできない故障の確率は、以下に説明するよう に、第１図に示した出力装置をモジュールとして多数使用することにより更に減 少させることができる。

第２図は第１図の直流出力装置をモジュールとして２個用いたものである。符号 ２２及び２４で示すモジュールは、外部の配線により電源ｌＯ及び負荷１２に接 続されている。その際に、一方のモジュール内の直列に接続されている一対のス イッチ２０ａ及び２０ｂは対応するモジュール内°の対と並列になるように接続 される。従って、電気はスイッチの一方の対又は両方の対を介して負荷に印加さ れるので、負荷の制御に影響を与えること無く一方のモジュールの除去及び交換 をすることができる。この構成にモジュール内の故障を検出する回路を設ければ 、一方のモジュールが故障した場合に故障したモジュールを直ちに交換すること ができるので、両方のモジュールが故障してしまうという事態を防止することが 可能となる。

この構成は「危険防止」に役立つだけでなく、「故障を許容して作動」可能でも ある。即ち、−構成要素が故障しても意図した切り替え操作はなんらの影響も受 けない。例えば、負荷をオンに切り替える際に、仮にいずれか一つのスイッチが オフ状態で故障していたとしても、他方のスイッチモジュールにより負荷はオン に切り替わる。同様に、負荷をオフに切り替える際に、いずれか一つのスイッチ がオン状態で故障している場合は、各モジュールの直列に接続されているスイッ チにより負荷は確実にオフ状態に切り替わる。所期の動作をしない唯一の事態は 、同一モジュール内め一対のスイッチが両方ともオン状態で故障していて、負荷 をオフにしようとする場合である。既に述べたように、スイッチの故障はモジュ ール内の適切な回路により検出され、故障したスイッチを有するモジュールは同 モジュール内の別のスイッチが故障する前に交換されるので、同一モジュール内 の一対のスイッチが両方ともオン状態でほぼ同時に故障する確率は非常に低い。

故障の確率の低さの尺度は、故障間の平均時間の長さくＭＴＢＦ）である。ここ に述べた構成では、故障間の平均時間は何百年と計算される。

第３図は第１図のモジュールをより詳細にした概略図である。両票決回路の出力 は図示のようにそれぞれが対応する信号調節回路３０ａ及び３０ｂを通過して対 応する排他的ＯＲ（ＸＯＲ）ゲート３２ａ及び３２ｂに入力される。ＸＯＲの出 力は、アイソレータ３４ａ及び３４ｂを通過してから、ＭＯＳＦＥＴ（金属酸化 物半導体電界効果トランジスタ）として示されているスイッチ２０ａ及び２０ｂ を制御する。符号１２°で示されている負荷は両スイッチ２０ａ及び２０ｂの間 に接続されている。この出力回路はテストパルスを整形回路３８に供給する発振 器３６を有している。整形回路はＸ及びＹで示されているテストパルスを対応す るＸＯＲゲート３２ａ及び３２ｂの一方の入力に供給する。ＸＯＲゲートの他方 の入力に関しては、Ａ及びＢとして後に説明する。また、ＸＯＲゲートの出力は Ａ′及びＢ″として説明する。

ＸＯＲゲートの出力Ａ′及びＢ−は、符号４０で示す故障検出回路にも接続され ている。故障検出回路はスイッチ２０ａ及び２０ｂの状態も監視する。直流電源 回路は、電源１０から第１スイツチ２０ａ及びダイオード４２を通過して負荷１ ２°に延び、更に別のダイオード４４及び第２スイツチ２０ｂを通過して最後に 電源１０に戻る。第１スイツチ２０ａとダイオード４２との接続部には別のアイ ソレータ４８ａを介して、また、第２スイツチ２０ｂとダイオード４４との接続 部には別のアイソレータ４６ｂを介して故障検出回路４０が接続されている。

アイソレータは制御を受ける回路、この例では直流モータ回路、を本発明の出力 回路に関連する制御論理から隔離するためのものである。隔離は発光ダイオード 及びフォトトランジスタの組み合わせで簡便に形成することができる。

テストパルス整形回路３８により生成されるテストパルスＸ及びＹは、はぼ第３ ａ図及び第３ｂ図に示すような形状をしている。各信号（Ｘ及びＹ）は、はとん ど常に高いレベル又は論理レベル「１」に維持されているが、はぼ１秒ごとに瞬 間的に低いレベル又は論理レベル「０」に変わる。このようにしてパルスが形成 されているが、各パルスの継続期間はほぼ３００マイクロセカンド以下である。

更に、パルスＸとパルスＹは、第３ａ図及び第３ｂ図に示すように、同時には生 じないで、時間的にずれて生じる。

テストパルスＸ及びＹと信号ＡＳＢＳＡ−及びＢ′との関係は次の表２に示す通 りである。

オ　ン　０　０　０　オフへの切り替えテストオ　ン　０　１　１　正常なオン への切り替え動作オ　フ　１　０　１　オフへの切り替えテストオ　フ　１　１ 　１　正常なオフへの切り替え動作出力コマンドがＯＮであるとき、信号Ａおよ びＢは“０”であり、これらはテストパルスが発生していないときに“１２信号 をＡ′にて発生するためにＸＯＲゲートにおいて補充される。各テストパルス（ ＸまたはＹ−〇）の期間において、Ａ′およびＢ′信号は一時的に論理“０”に 低下し、対応するスイッチ２０ａまたは２０ｂが極短時間、解放する。制御され るほとんどの付加はモータ高慣性装置であるので、電源でのこの短時間中断は重 要ではない。スイッチがＯＦＦ状態に命令されている間は、同じテストパルスが スイッチを一時的にＯＮ状態に切り換えるときに有効であるが、ＸおよびＹ信号 はやがてオフセットされるので、両スイッチは共に閉成されることがない。テス トパルスは通常の監視タイマ回路（図示せず）を制御する故障検出回路４０に入 力される。監視タイマの周知の原理はこれが警報状態の発生を防ぐためにある票 決期間内にリセットされねばならないことである。この状態において、タイマは ＸおよびＹテストパルスがスイッチ２０ａ、２０ｂから入力されるときにこれら テストパルスの検出によってリセットされる。いずれかのスイッチがテストパル スの１つによって指示されたように開成または閉成しなければ、タイマはリセッ トされなく、エラー状態はシステムを操作しているオペレータに伝達される。

第４図は第１図及び第２図に示されたものと同様な出力回路の詳細図である。同 じ参照番号が同じ部分に対して使用されている。第４図の回路は種々回路部材に 対して標準の部品番号を示している。第３図の故障検出回路４０がこの発明の好 適実施例にどのように機能しているかがこの回路から更に明らかになる。第１ス イツチ２０ａはツェナーダイオード５０に接続され、それからアイソレータ４６ ａを介して電源に接続される。同様に、Ｎ２スイッチ２０ｂは他のツェナーダイ オード５２を介して、その後アイソレータ４６ａを介して電源ラインに接続され る。アイソレータ４６ａの出力は監視タイマ回路５４に接続され、アイソレータ ４６ｂの出力は他の監視タイマ回路５６に接続される。

両スイッチ２０ａ、２０ｂがＯＦＦ状態になり、テストパルスがスイッチ２０ａ をＯＮにするためにスイッチ２０ａに入力されることが行なわれると、回路がス イッチ２０　ａ　ｓツェナーダイオード、およびアイソレータ４６ａによって形 成される。それゆえ、パルスがアイソレータ４６ａの出力に現われ、タイマ５４ をリセットする。同様に、他のスイッチェナーダイオード５２、およびスイッチ ２０ｂ介して回路が形成され、それによりアイソレータからパルスを出力し、タ イマ５６をリセットする。

両スイッチ２０ａ、２０ｂがＯＮになると、２つのツェナーダイオード５０を介 する２つの電路が共に形成されるが、スイッチの１つのパルス的なＯＦＦにより いずれかの電路が一時的に遮断すると、アイソレータ４６ａ、４６ｂ一方からパ ルスが出力し、タイマ５４．５６の一方がリセットされる。

タイマは警報信号を発生する前の３秒以内にリセットパルスを要求するように構 成され、テストパルスが１秒毎に出力される。スイッチの１つに供給される３つ の連続テストパルスが対応するタイマ５４．５６に供給されなければ、故障が存 在すると判断される。

この発明に従ったアナログ出力回路において、第５図に示されるように、２つの 回路モジュール６０ａ、６０ｂが採用されているが、これらの１つだけが何時で も所望のアナログ出力信号を発生する。他のモジュールは能動モジュールと同じ 票決及びＤ−Ａ変換を行なうが、その出力は能動モジュールが正確な出力信号を 出力し続ける限り割り込み禁止される。

次の説明では、同じ参照番号が両モジュールに対して用いられ、いずれのモジュ ールを示すかを添え字ａおよびｂによって示されている。各モジュールは２つの アナログ票決回路６２．６４および２つの独立したデジタルアナログ変換器６６ および６８を有する。票決回路６２．６４は基本的にはデジタル票決回路であり 、３つのデジタル入力の主要事項である出力を発生する。票決出力は変換器６６ ．６８においてアナログ形態に変換され、アナログそれからアナログ比較器７０ に入力される。この比較器は２つのアナログ入力が所定余裕度内で等しいか否か を示す２進出力を発生する。比較器７０の２進出力はＡＮＤゲート７２の一方入 力として供給され、ＡＮＤゲートの出力はスイッチ７４の位置を制御するために 使用される。ＡＮＤゲートの他の入力は変転入力である。

スイッチ７４は一方変換器６６の出力と出力端子７６との間に接続される。出力 端子７６ａおよび７６ｂは一対のモジュール６０からの単一信号を得るために共 通に接続される。回路はＡＮＤゲート７２を交差接続することによって完成する 。

故に、ＡＮＤゲート７２ａの出力は外部においてＡＮＤゲート７２ｂの反転入力 に接続され、ＡＮＤゲート７２ｂの出力はＡＮＤゲート７２ａの反転入力に接続 される。

この動作において、同じモジュールの２つの変換器６６．５８がほぼ同じ出力を 発生しておれば、モジュールは適正に動作していると判断される。この時、比較 器７０は論理“１“出力を発生し、この出力はＡＮＤゲート７２に入力として供 給される。瞬間的に、スイッチ７４ａが閉成し、スイッチ７４ｂが開成すると仮 定すると、ＡＮＤゲート７２ａは論理“１”を出力し、スイッチ７４ａの閉成を 維持し、ＡＮＤゲート７２ｂが論理“１”を出力する。交差接続ＡＮＤゲート出 力はこの状態に安定に出力を保持するＡＮＤゲートの反対反転入力に供給される 。一方のモジュールが故障を検出し、他方のモジュールがＯＦＦとなるが、故障 でないときだけ、出力状態が反転される。Ａモジュールが開成スイッチ７４ａを 介して出力を発生している例において、故障がＡモジュールにおいて検出される と、比較器７０ａから“０”が出力され、これがＡＮＤゲート７２ａから“０′ を発生する。この出力が論理“１”としてＡＮＤゲート７２ｂに供給され、これ がＢモジュールＡＮＤゲートから“１″を出力し、スイッチ７４ｂを閉成する。

ＡＮＤゲート７２及びそれらの交差接続は単一のフリップフロップを形成し、こ の構成は２つの回路モジュール間に分布される。フリップフロップの状態は２つ のモジュールのどちらが現時点で能動状態であるかを決定し、各モジュールの監 視状態はフリップフロップが１状態から他の状態にいつ切り換えられたかを決定 する。

２つのＡＮＤゲート７２によって形成される分配フリップフロップの重要な特性 は論理“０′出力を有するモジュール、即ち非能動モジュールが能動モジュール に影響を与えないで取り外せることである。非能動モジュールはその交差接続を 介して能動モジュールに論理“０″入力を与える。論理“０２が零電圧レベルに よって表わされていれば、非能動モジュールの取り外しは能動モジュールに影響 を与えない。それ故に、装置の中断操作が制御されることなく、非能動モジュー ルは取り外すことができ、故障が検出されると直ちに取り替えられる。

アナログ出力タイプの単一モジュールはもっと限定された応用を有するが、第１ 図のデジタル出力回路のフエーイルセーフ（二重安全）動作に類似する動作のフ ェールセーフタイプを提供する。比較器７０によって故障を検出すると、スイッ チ７４は第５図の二重モジュール方式に関して述べられたように開成される。１ つだけのモジュールが存在していれば、これはモジュールから零を出力し、この 出力は一般的にはアナログ制御システムにフェールセーフ状態を与える出力レベ ルである。

この発明は故障許容制御システムの分野において重要な進展を示していることが 上述したことから評価される。特に、この発明は少なくとも１つの要素での故障 に耐え、故障間の非常に長い平均時間を有する出力回路構成を提供する。この発 明の種々実施例は説明のために詳細に記載されているが、種々の変形はこの発明 の精神及び範囲を逸脱しないでなし得る。従って、発明は添付の請求の範囲によ って引用して限定されるべきでない。

国際調査報告

Claims (15)

【特許請求の範囲】
1. １．デジタル制御装置の出力信号用の故障許容出力回路において、 各々が複数台の計算装置に接続されていて、各計算装置の出力信号を受信して個 別に票決出力信号を出力する２個の票決回路と、 制御対象である回路内で直列に接続されている電気的に制御可能な２個のスイッ チとを備え、 両票決回路はそれぞれが対応するスイッチに接続されていて、票決回路の出力に より両スイッチが別々に制御されることにより、両票決回路のいずれか一方、又 は両スイッチのいずれか一方が故障したときに、最悪の場合でも、制御対象であ る回路が危険防止（フェイルセーフ）状態になることを特徴とする故障許容出力 回路。
2. ２．スイッチのオンオフ切り替え能力を検査する手段を有していることを特徴と する請求項１に記載の故障許容出力装置。
3. ３．デジタル制御装置の出力信号用の故障許容出力回路において、 各々が複数台の計算装置に接続されていて、各計算装置の出力信号を受信して個 別に票決出力信号を出力する２個の票決回路と、制御対象である回路内で直列に 接続されている電気的に制御可能な２個のスイッチとを有する同一回路モジュー ルを２個備え、 各モジュール内の２個の票決回路は当該モジュール内で直列に接続されている２ 個のスイッチの内で対応するスイッチに個別に接続されていて、両票決回路の出 力信号により両スイッチが別々に制御され、一方のモジュール内で直列に接続さ れている両スイッチは他方のモジュール内で直列に接続されている両スイッチと 並列に接続されていて、両モジュールにより同一回路を制御する冗長手段が構成 されて、意図されたオン命令又はオフ命令が故障許容可能に実行されることを特 徴とする故障許容出力回路。
4. ４．両モジュールの個々の取り外し及び交換は、いずれも制御対象である回路の 正常なオンオフ動作に影響しないことを特徴とする請求項３に記載の故障許容出 力回路。
5. ５．各モジュールはオン又はオフ信号に応答不能なモジュールスイッチを検出す る故障検出手段を有していることを特徴とする請求項３に記載の故障許容出力回 路。
6. ６．故障検出手段は、周期的なテストパルスを生成する手段と、テストパルスを 票決回路の出力信号と論理的に組み合わせる手段とを備えており、 オフ状態に指定されている個々のスイッチをテストパルスにより周期的にオンに 切り替え、オン状態にある個々のスイッチをテストパルスにより周期的にオフに 切り替えることを特徴とする請求項４に記載の故障許容出力回路。
7. ７．アナログ信号を発生する故障許容出力回路において、各々が複数台の計算装 置に接続されていて、各計算装置のデジタル出力信号を受信して、命令されたア ナログ出力レベルを示す票決出力信号を個別に出力する２個の票決回路と、各々 が対応する票決回路に接続されていて、票決回路からの信号を入力し、アナログ 出力信号を個別に出力する２個のデジタルアナログ変換器と、 両デジタルアナログ変換器に接続されていて、両デジタルアナログ変換器の出力 を入力として受信して、両アナログ出力信号がマッチしているかどうかを示すバ イナリ出力信号を生成するアナログ比較器と、 両デジタルアナログ変換器のいずれか一方からの出力と出力端子との間に接続さ れ、制御端子が比較器の出力に接続されている制御可能なスイッチとを備え、両 デジタルアナログ変換器のアナログ出力がマッチしていないことが検出されると 、出力回路全体からのアナログ出力の発生が中止されることを特徴とする故障許 容出力回路。
8. ８．２個の回路モジュールからなり、アナログ信号を発生する故障許容出力回路 において、各回路モジュールは、各々が複数台の計算装置に接続されていて、各 計算装置のデジタル出力信号を受信して、命令されたアナログ出力レベルを示す 票決出力信号を個別に出力する２個の票決回路と、各々が対応する票決回路に接 続されていて、票決回路からの信号を入力し、アナログ出力信号を個別に出力す る２個のデジタルアナログ変換器と、 両デジタルアナログ変換器に接続されていて、両デジタルアナログ変換器の出力 を入力として受信して、両アナログ出力信号がマッチしているかどうかを示すバ イナリ出力信号を生成するアナログ比較器と、 両デジタルアナログ変換器のいずれか一方からの出力と両モジュールで共通の出 力端子との間に接続され、制御端子が比較器の出力に接続されている制御可能な スイッチと、比較器の出力と他方の回路モジュール内の制御可能なスイッチの論 理状態とを組み合わせてスイッチ制御信号を発生する論理手段とを備え、 制御可能なスイッチがオン状態にされて何時でも作動しているのは両モジュール の内の一方だけであり、論理手段はこの作動中のモジュールに故障が検出されな い限り他方のモジュールを作動させないことを特徴とする故障許容出力回路。
9. ９．各モジュール内の論理手段は、同一モジュール内の比較器から得られた一入 力と、他方のモジュール内のＡＮＤゲートの出力の逆から得られた一入力とを有 するＡＮＤゲートを備えていることを特徴とする請求項８に記載の故障許容出力 回路。
10. １０．２個の回路モジュールからなり、アナログ出力信号を発生する故障許容出 力回路において、各モジュールは複数台の計算装置からアナログ出力信号を生成 する手段と、アナログ出力信号が有効であるかどうかを判断してモジュール有効 信号を発生する手段と、 モジュールからのアナログ出力の発生を実施したり、中止したりするスイッチ手 段と、 モジュール有効信号と他方のモジュールのスイッチ手段の状態とを組み合わせて 、自らが有するスイッチ手段を制御するスイッチ手段制御信号を発生する論理手 段とを備え、制御可能なスイッチがオン状態にされて何時でも作動しているのは 両モジュールの内の一方だけであり、論理手段はこの作動中のモジュールに故障 が検出されない限り他方のモジュールを作動させないことを特徴とする故障許容 出力回路。
11. １１．アナログ出力信号を生成する手段は、各々が複数台の計算装置に接続され ていて、各計算装置のデジタル出力信号を受信して、命令されたアナログ出力レ ベルを示す票決出力信号を個別に出力する２個の票決回路と、各々が対応する票 決回路に接続されていて、票決回路からの信号を入力し、アナログ出力信号を個 別に出力する２個のデジタルアナログ変換器とを有していることを特徴とする請 求項１０に記載の故障許容出力回路。
12. １２．アナログ出力信号が有効であるかどうかを判断してモジュール有効信号を 発生する手段は、両デジタルアナログ変換器に接続されていて、両デジタルアナ ログ変換器の出力を入力として受信して、両アナログ出力信号がマッチしている かどうかを示すバイナリ出力信号を生成するアナログ比較器を備えていることを 特徴とする請求項１１に記載の故障許容出力回路。
13. １３．論理手段は、一方の入力が同一モジュールの比較器から得られ、他方の入 力が他方のモジュールの論理機能ゲートの出力の逆から得られる論理機能ゲート を備えていることを特徴とする請求項１２に記載の故障許容出力回路。
14. １４．両モジュールの個々の取り外し及び交換は、いずれも制御対象である回路 の正常なアナログ出力動作に影響しないことを特徴とする請求項１０に記載の故 障許容出力回路。
15. １５．制御装置出力信号用の故障許容出力回路において、各々が複数台の計算装 置に接続されていて、各計算装置の出力信号を受信して個別に票決出力信号を出 力する２個の票決回路と、 出力回路内の構成要素が故障していないかどうかを判断する故障検出手段と、 票決出力信号と故障検出手段により発生された信号との論理的な組み合わせに従 って切り替えられて、出力回路構成要素の故障状態許容能力を増大させる少なく とも１個の制御可能なスイッチとを備えたことを特徴とする故障許容出力回路。