JPH055121B2

JPH055121B2 -

Info

Publication number: JPH055121B2
Application number: JP58085803A
Authority: JP
Inventors: Kazuo Asami
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1983-05-18
Filing date: 1983-05-18
Publication date: 1993-01-21
Also published as: WO1988004071A1; US4667284A; JPS59212902A

Description

【発明の詳細な説明】〔発明の利用分野〕本発明は、多重化制御装置に関する。

〔発明の背景〕

制御装置の高信頼化には種々の方法がある。従
来からとられている最も一般的な方法は、制御装
置に使用されているハードウエア個々のレベルで
の高信頼化である。具体的には、高信頼度部品の
選択使用及び、十分な設計裕度の確保、或いは、
部品のスクリーニング実施及びエージング実施、
さらには使用部品点数の削減（集積回路の適用）
などである。しかしながら、これらハードウエア
レベルでの高信頼化には限界がある。そこで、最
近は、システムレベルでの高信頼化の必要性と有
効性が強く認識されてきている。

例えば、従来のシングル系の制御装置のシステ
ム構成では、コンデンサ１個又はトランジスタ１
個の異常が、制御システム全体に大きな影響を与
える可能性がある。事実、過去の制御システムの
異常原因を分析してみると、ほとんどがこの種の
トラブルに起因している。そこで、制御システム
を多重化することが考えられている。

第１図は二重化プラント制御装置の一構成例を
示したものである。同一機能をもつ２台の制御装
置１１及び１２は、プラント１から検出されたプ
ラント情報２１及び２２を入力して出力信号３１
及び３２を出力する。出力信号３１及び３２は切
換回路５１にて選択され、切換回路５１より最終
的な選択制御信号３０が出力される。この制御信
号３０によりプラント１の制御対象機器を制御す
る。例えば、現在、切換回路５１によつて制御装
置１１が選択されている場合を考える。この場
合、制御装置１２は待機中である。制御装置１１
及び１２は、各々自己の機能が正常であるか否か
を常にチエツクしている。さて、制御装置１１
が、自己診断などでその異常を発見すると、制御
装置１１より切換回路５１に異常である旨の自己
診断結果信号４１を送る。切換回路５１では、制
御装置１１及び１２から送られてきた自己診断結
果信号４１及び４２より、より正常だと考えられ
る制御装置１１又は１２を選択する。

第１図の二重化プラント制御装置は、切換回路
５１による制御装置の切換を、主として自己診断
結果をベースに判定している。従つて、万一自己
診断により発見できなかつた異常が生じている場
合、制御装置１１及び１２の演算結果が異なつた
場合などは、正しく機能している制御装置を判定
できない。

この点を改良した例が、第２図に示す異常検出
装置付二重化プラント制御装置である。異常検出
装置６１の構成に対しても、種々の公知例があ
る。例えば、制御装置１１及び１２の出力信号３
１及び３２を常時モニタしておき、変化率チエツ
ク、ドリフトチエツクなどの一種の合理性チエツ
クにより、制御装置１１又は１２の異常を検出す
るものである。一般には、上記異常検出機能と、
第１図の二重化プラント制御装置にて説明した自
己診断結果信号４１及び４２とを考慮して、正常
な制御装置を判定することが多い。すなわち、マ
イクロコンピユータなどでこの処理を実行するケ
ースが多い。

第２図に示した異常検出装置付二重化プラント
制御装置は、異常検出装置６１の故障検出能力が
大きく制御装置全体の信頼性に関わつてくる。例
えば、故障検出率が0.9と0.99ではプラント制御
装置全体の信頼性は約１桁異なつてくる。従つ
て、この種のプラント制御装置ではできる限り故
障検出率を上げることが必須となる。しかし、各
各の制御装置から出力される２つの自己診断結果
信号によつて、正確にどちらの制御装置が正しく
機能しているかを判定することには限界がある。
そのため、故障検出率を高めることを目的とし
て、異常検出装置６１にもプラント１から制御装
置出力信号３１及び３２の良否を判定するために
参考となる必要情報を入力し、これらの信号より
基準信号を作成して異常の有無を判定するという
方法もある。この場合は、異常検出装置６１の規
模が大きくしかも複雑になり、第３図に示す三重
化プラント制御装置と構造的に大差がなくなつて
しまう。また、異常検出装置６１の信頼性も問題
となる。特に、異常検出装置６１の故障は制御装
置１１及び１２のコモンモードとなり、実際は期
待したほど二重化プラント制御装置のトータルの
信頼性は向上しない。

第３図に三重化プラント制御装置の一例を示
す。

第３図の三重化プラント制御装置は、３台の制
御装置１１，１２及び１３が常時運転していて、
その出力信号３１，３２及び３３のうちの中間値
を中間値選択回路７１が選択し出力する中間値選
択三重化プラント制御装置の一例を示している。
中間値選択回路７１は、例えば高値入力選択回路
と低値入力選択回路の組合せにより作られる。し
かし、第２図の説明で述べたように、本方式では
中間値選択回路の故障がコモンモードとなるの
で、中間値選択回路７１を十分信頼性の高いもの
にしないと効果は半減する。なお、電源まで含め
た多重化を考慮した場合は、この中間値選択回路
の電源異常で、三重化プラント制御装置全体が異
常となる。なお、制御装置の出力が多数ある場
合、本方式では、各出力信号毎に中間値をとる形
になるので、制御対象システムによつては、各々
の制御装置が干渉しあい、ハンチング現象が発生
する可能性もあり、その適用には注意を要する。

〔発明の目的〕

本発明の目的は信頼性の高い多重化制御装置を
提供することにある。

〔発明の概要〕

本発明の特徴は、制御装置間を連絡して他方の
制御装置が所有している情報を一方の制御装置に
伝送する情報伝送回路を有し、制御装置は自己が
所有している情報に基づく自己診断及び他の制御
装置の情報に基づく他の制御装置の診断を行う機
能を有し、入力した各々の制御装置の診断結果に
基づいて正常な１つの制御装置を選択する複数の
判定手段を設け、各々の判定手段の出力信号に基
づいて選択された制御装置の制御信号を制御対象
機器に出力する複数の切換手段を設けたことにあ
る。

本発明は、システム構成面からは、万一の故障
発生時にはその故障をマスクし、その故障した機
能を代行させるための多重化構成と、万一の故障
発生時の危険を最小化するための分散化構成とを
合わせた、いわば多重分散化システム構成として
いる。

本発明の構成は、信頼性理論上からも、また実
際上からも、極めて高い信頼度を期待できる。優
れたものであるが、全体のシステムの中で、多重
分散型構成をとれない、いわば共通部が多数存在
すると、全体の信頼度はこの共通部により決まつ
てしまうということになる。したがつて全体とし
ては、いかに共通部の信頼度を向上させるかが重
要となつてくるが、共通部はいわばシングル系で
あるため、そのための手法としては、超高信頼度
部品の使用及び部品点数の大幅削減位しかない。

本発明は、前者には限界があるとの現実的な判
断のもと、特に後者、即ち部品点数の大幅削減と
いう観点から、出きるかぎり共通部も多重化し、
シングル部分の最少化をねらつて実現した。

〔発明の実施例〕

以下、本発明の一実施例を第４図により説明す
る。第４図は、本発明を三重化プラント制御シス
テムに、適用した実施例である。本発明は、基本
的には、二重化プラント制御システム以上の多重
化システムに適用可能である。

さて、第４図において破線で囲んだ部分が１つ
のサブシステムを表わしている。即ち、本実施例
の三重化プラント制御装置は、完全に分離独立し
た３つのサブシステムＡ，Ｂ及びＣからなる。後
述するように、万一、１つのサブシステム内で異
常が発生すると、その異常部分が属する異常サブ
システム内での自己診断機能により検出され、異
常サブシステムを、他の正常なサブシステムから
切り離す。万一、異常サブシステムの自己診断機
能により検出されなかつたとしても、その異常の
影響を他の正常なサブシステムに及ぼすことはな
く、その異常に基づく現象は異常サブシステム内
に封じ込められている。実際には、この異常は、
他の正常なサブシステムからの相互診断機能によ
り検出できるよう考慮はされているが、上記した
ように、万一の発見不能時にも、その影響を他の
サブシステムに波及させないということから、い
わば危険分散の思想もあわせ持つたシステム構成
であり、多重分散化と称している。

第４図からも明らかな如く、共通部はほとんど
存在せず、多重化による高信頼化効果を最も有効
的に実現しており、一般に多重化システムにおい
て最も問題となるコモンモード故障の発生の可能
性を最少化している。

以下、各サブシステム内の主要構成要素とその
動作につき説明する。

１サブシステムへの電源供給各サブシステムは、各々独立した電源装置８
１，８２及び８３を所有している。万一あるサブ
システム、例えばサブシステムＡ内の電源装置８
１に異常が発生した場合には、それにより、サブ
システムＡは、三重化プラント制御装置から切離
される。このため、サブシステムＡの出力が他の
サブシステムＢ及びＣに影響を与えることは原則
的にない。あえてあるとすれば、後述する情報入
力部において、１チヤンネル分の入力信号が喪失
する程度である。

２プラント情報入力方法本三重化プラント制御装置は、信号の入力系統
そのものも多重化することを原則としている。即
ち、三重化プラント制御装置は、プラント情報を
ベースに出力信号を決定するいわば情報処理装置
である。従つて、入力情報が単一の場合には、こ
の異常時にその使命が完遂できなくなると考えら
れるからである。本実施例では、プラントの同じ
状態量を測定する検出器が３個設けられる。すな
わち、同じ状態量を測定する３個の検出器１４，
１５及び１６が、プラントに設けられる。すべて
の検出器を三重化するとシステムが複雑になるの
で、三重化する検出器は、プラントの運転制御に
とつて重要なものだけである。

さて、本実施例では検出器１４，１５及び１６
の出力信号、すなわち、プラント情報２１，２
２，２３（制御対象からのフイードバツク信号な
ど）は、原則として３重化されている。それらの
入力情報は、基本的には各々のサブシステムの入
力信号切換部９１，９２及び９３を介して制御装
置１１，１２及び１３にそれぞれ入力される。ま
た、圧力発信器などの外部電源を必要とする検出
器に対しては、それが属するサブシステムの電源
装置より電力が供給される。従つて、１つのサブ
システムの電源装置が故障した場合、その電源装
置から電力が供給されている検出器は作動しない
が、他の２つの検出器は正常に作動するので、
各々のサブシステムの制御装置は入力情報を確保
出来る。このようにプラント情報が完全に喪失す
ることはない。３つの検出器が同時に故障するこ
とは極めて希なことである。次に、これら多重化
された信号の各サブシステムへの入力方法につき
説明する。

プラントの同一の状態量を検出する三重化され
た各検出器の出力信号を、各サブシステムに入力
する方法としては、第４図に示した如く、各々の
検出器から出力されたプラント情報を各サブシス
テムの全てにそれぞれ入力する方法と、１対１、
即ち、その検出器が属するサブシステムのみへ入
力する方法（図示せず）の２つがある。両者の使
いわけは、主に要求信頼度と経済上の観点から決
められる。前者の方法は、単純に言つて後者の方
法の３倍のプラント情報を入力することになり、
入力部及びその入力信号の処理部が増大する。現
実的には、プラントの制御上特に重要な信号は、
前者の方法とし、各サブシステム内で、各々の多
重化信号をチエツクし、最も真値に近いと考えら
れる信号を選択、或いは算出し、自己の演算用デ
ータとしている。これは、プラントに設けられた
検出器の異常による悪影響をサブシステムにでき
る限り及ぼさないようにするためである。

３入力信号の分離と切離し各検出器１４，１５及び１６にて検出されたプ
ラント情報は、入力信号切換部９１，９２及び９
３を介し、制御装置１１，１２，１３に入力す
る。入力信号切換部９１，９２，９３は、本実施
例では具体的には電磁リレー、水銀リレーなどに
よつて構成されている。しかし、必ずしもこの種
のハードウエアによるものでなくてもよい。

万一、１つのサブシステム内に異常が発生した
場合（例えば電源装置の異常、制御装置の異常な
ど）、その異常サブシステムは、該当する入力信
号切換部及び出力信号切換部（後述）により、制
御対象機器及びプラント１から完全に切離され
る。これによつて異常サブシステムによる悪影響
が、他の正常なサブシステムに及ぼされることを
阻止できる。

また、切離された異常サブシステムのトラブル
シユーテイング及び修復後の動作確認を容易にす
るために、入力信号切換部及び出力信号切換部
は、テストツール１００からの信号を入力できる
ように構成されている。この機能は、リレーの接
点Ｕ（第５図）側を利用して実現している。

サブシステムＡに属する検出器１４の出力信号
を、各々のサブシステムに設けられる制御装置１
１，１２及び１３に伝える具体的な信号伝送回路
を第５図に示す。検出器１４への電力は、サブシ
ステムＡ内の電源装置８１より供給されている。
電源ライン（２線式検出器を例にとつており、信
号ラインに一致）には、ヒユーズ２５Ａ、スイツ
チ２４Ａ及びリレー２６Ａが接続されている。ヒ
ユーズ２５Ａは、信号伝送回路の保護用である。
スイツチ２４Ａは、万一、検出器１４に異常が発
生した時のメインテナンス時に、検出器１４を電
源装置８１及び各制御装置から切離せるように設
置してある。またリレー２６Ａは、検出器１４へ
の供給電力を監視するものである。スイツチ２４
Ａの動作位置及びリレー２６Ａの接点状態は、各
サブシステムの制御装置がそれぞれに取り込んだ
検出器１４の出力信号が使用可能状態にあるの
か、それとも無視すべき状態にあるのかを判断す
ることによつて検知される。検出器１４の出力信
号（一般には４〜20mADC）は、50Ω程度の抵
抗２７Ａ，２８Ａ及び２９Ａにより、電圧信号に
変換される。この電圧信号が、入力信号切換部
（水銀リレー）９１，９２及び９３の接点を介し
て各制御装置１１，１２及び１３にそれぞれ入力
されている。この場合、入力信号切換部９１，９
２及び９３の接点Ｖと接点Ｗが、それぞれ接続さ
れている。

検出器１５及び１６も、第５図と同様な信号伝
送回路に接続されている。検出器１５及び１６の
出力信号は、上記信号伝送回路を介して制御装置
１１，１２及び１３にそれぞれ伝えられる。この
ような信号伝送回路を用いると、あるサブシステ
ム内で、短絡又は地絡などのトラブルが発生した
としても、他のサブシステムに対する入力信号
（プラント情報）に影響を与えることはほとんど
ない。なお、入力信号切換部９１，９２及び９３
の接点Ｕは、テストツール１００の接続用コネク
タ（図示せず）に接続されている。あるサブシス
テムに異常が生じた場合は、その異常サブシステ
ムの入力信号切換部の接点Ｖと接点Ｗの接続を切
離し、その後、接点Ｕと接点Ｗを接続する。テス
トツール１００から出力された検出器の出力信号
に相当する模擬信号が、接点Ｕ及びＷを介して異
常サブシステムの制御装置に入力される。この制
御装置に、テストツール１００の出力信号を入力
することによつて種々のテストが行われる。

４制御装置の機能と出力信号各サブシステムの制御装置１１，１２及び１３
は、入力信号切換部９１，９２，９３を介し入力
したプラント情報２１，２２及び２３に基づいて
得られた制御信号３１，３２及び３３をそれぞれ
出力する。但しテストツール１００が接続されて
いる制御装置のテスト中は、テストツール１００
の出力モードに対応した信号を出力する。また、
各々の制御装置は、それらが属する当該サブシス
テムの自己診断のほかに、他のサブシステムとの
相互診断を実施し、サブシステムの異常の確実な
早期発見に努めるとともに、これらの結果から制
御対象機器５５に対する制御信号３１，３２及び
３３を決定している（必ずしも自己のデータを常
に出力するわけではなく、診断結果を尊重し、そ
の時点で最も妥当と考えられるデータを出力す
る）。

本来、共通部の最少化という観点からは、各サ
ブシステム間同士の信号の相互授受はないほうが
よいし、多重分散化の思想にも合致する。しかし
ながら、サブシステム間での切換時のバンプレス
性や、異常復帰後のサブシステム再立ち上げ時な
どの内部データ設定機能などの確保のためには、
若干のデータの授受が必要不可欠となる。特に、
制御演算として、比例積分制御あるいはラツチデ
ータなど、過去の履歴を必要とするデータを扱う
場合には、ある種のデータコピー機能が必要とな
る。また、確実な異常検出のためには、自己のデ
ータ以外の他のデータを入手し、これらの相互比
較を行なうことも必要となる。しかながら上記し
た様に、本機能は、共通モード故障をひきおこす
可能性もあるのでその適用には十分な注意が必要
である。本実施例では、第６図に示すように信頼
性の高いデータ伝送装置回路３４，３５及び３６
と、伝送回路切離装置３７，３８及び３９の適用
に加え、データの二重伝送方式と、各サブシステ
ム毎のデータコンロール方式により、本機能のコ
モンモード化を極力防止している。第６図により
以下説明する。

データ伝送回路３４，３５及び３６は、光伝送
技術を応用した絶縁型データ伝送回路を使用して
いる。第６図においてデータ伝送回路３４，３５
及び３６がそれぞれ２本ずつ示されているが、こ
れは制御装置間のデータの流れをわかりやすくし
たためである。実際は、データ伝送回路３４，３
５及び３６は、一本である。データ伝送回路３４
は、制御装置１１と制御装置１２を接続してい
る。データ伝送回路３５は、制御装置１２と制御
装置１３を連絡している。データ伝送回路３６
は、制御装置１１と制御装置１３を連絡してい
る。１つのデータ伝送回路は、それによつて連絡
される一方の制御装置内のデータを他方の制御装
置に伝える。そのデータ伝送回路は、逆に、他方
の制御装置内のデータを一方の制御装置に伝え
る。このため、サブシステムＡの制御装置１１内
のサブシステムＡに関するデータは、データ伝送
回路３６を介してサブシステムＣの制御装置１３
に伝えられ、さらにそこからデータ伝送回路３５
を介してサブシステムＢの制御装置１２に伝えら
れる。逆に、制御装置１１内のサブシステムＡに
関するデータは、データ伝送回路３４を介して制
御装置１２に伝えられ、さらにそこからデータ伝
送回路３６を介して制御装置１３に伝えられる。
制御装置１２内のサブシステムＢに関するデータ
及び制御装置１３内のサブシステムＣに関するデ
ータも、前述のサブシステムＡに関するデータと
同様に各各のデータ伝送回路を介して他の制御装
置に伝えられる。１つの制御装置は、自己のデー
タと、異なるデータ伝送回路によつて伝えられた
他の２つの制御装置のデータを２種類ずつ、合計
５種類のデータを所有している。

伝送回路切離し装置３７が、データ伝送回路３
４に設けられる。伝送回路切離し装置３８が、デ
ータ伝送回路３５に設けられる。伝送回路切離し
装置３９が、データ伝送装置３６に設置される。

もし、データ伝送回路３４，３５及び３６の１
つに異常が発生した場合、または制御装置１１，
１２及び１３の１つに異常が発生した場合は、そ
の異常箇所に該当する伝送回路切離し装置を作動
させて異常箇所を正常な部分から切離す。これに
よつて、コモンモード故障を阻止できる。各デー
タ伝送回路は、前述したようにそれが接続される
制御装置から出力されたデータとともに他の伝送
回路を介して入手した他の制御装置のデータをの
せて伝送しあう二重伝送方式を採用しているの
で、１つのデータ伝送回路が異常になつた場合で
も、それぞれの制御装置に異なる他のすべての制
御装置のデータを入力することができる。

本実施例では、このように二重伝送方式を採用
することにより各制御装置の相互間を連絡するデ
ータ伝送回路は単一でありながらデータ伝送に関
しては二重化された信頼性の高いデータ伝送方式
を実現している。

制御装置１１，１２及び１３は、前述のように
各データ伝送回路により入手した各サブシステム
のデータをベースに相互診断を実施する。基本的
には、ビツトデータに対しては2out of3ロジツク
を応用した論理により数値データに対しては偏差
チエツクをベースにした論理により、制御装置１
１，１２及び１３は出力データを決定する。この
決定は、各サブシステムがその時点で所有してい
る各サブシステムのデータに基づいて、各サブシ
ステムの判断により独立して行なう方式としてい
るため、極めてコモンモード故障をひきおこしに
くい形となつている。また、制御装置の自己デー
タと、他の制御装置のデータ及び制御装置の出力
データとを制御装置内で分離して取扱う方式とし
ている。従つて、万一ある制御装置の自己データ
が他の２つのサブシステムのデータと一致しない
事象が発生した場合には、制御装置の出力データ
は、一致している他の２つのサブシステムのデー
タとする。しかし、自己データの変更は、その不
一致事象が複数回以上連続して発生しない限り行
なわないので、自己データの他のサブシステムの
データからの汚染を防止するとともに、相互診断
機能に用いる各サブシステムのデータの独立性を
確保している。

制御装置１１，１２及び１３で得られたそれぞ
れの自己診断及び相互診断結果は、診断結果信号
４４，４５及び４６として制御装置１１，１２及
び１３より総合判定部６４，６５及び６６にそれ
ぞれ出力される。１つの総合判定部には、診断結
果信号４４，４５及び４６が入力される。本実施
例では、各制御装置１１，１２及び１３は、各サ
ブシステム毎の正常性を判定し、正常と考えられ
るサブシステムに対しては「１」、異常と考えら
れるサブシステムに対しては「０」を出力する。
これは後述するように総合判定回路６４，６５及
び６６の判定ロジツクを単純化するためである。
各制御装置においてよりきめ細かな判定を行う場
合は、各サブシステム毎の状態判定結果を、重故
障、中故障、軽故障、正常などと分類し出力させ
てもよい。また、いわば各サブシステムの正常度
などを数値で出力させてもよい。

５制御信号選択部本実施例の中核をなすのが、制御信号選択部で
ある。制御信号選択部は、各サブシステム毎に設
けられた総合判定部６４，６５及び６６と、各サ
ブシステムの総合判定部６４，６５及び６６の出
力により実際に出力信号を切換える出力信号切換
部５１，５２及び５３よりなる。出力信号切換部
５１，５２及び５３は、プラント１の制御対象機
器５５に接続されている。

多重化プラント制御装置において最も問題とな
るのは、いかにして最適な制御信号を選択するか
ということである。一般の多重化プラント制御装
置では、いわゆるボータ部と呼ばれる総合判定部
がシングルであるため、万一、ボータ部が誤判断
すると、多重化プラント制御装置全体の機能の健
全性が阻外される可能性があつた。本実施例で
は、各サブシステム毎に総合判定部６４，６５及
び６６を設け、各々の総合判定部の出力信号から
2out of3ロジツクに基づいて最も正常に機能して
いると思われる制御装置を選択する新たに考えた
判定部冗長化方式を採用している。

実際には、総合判定部６４，６５及び６６は
４）項で述べたように、各制御装置１１，１２及
び１３がそれぞれ出力した各サブシステムの診断
結果信号４４，４５，４６を全て取り込み、「１」
を出力した診断結果、信号の数に基づく多数決判
定ロジツクによつて最も正常に機能している可能
性が高いと推定される１つの制御装置を選択し、
その旨の選択信号を各々独自に出力する。もし、
２つのサブシステムの制御装置が全く同じ程度に
正常に機能していると判断された場合には、総合
判定部は、前回から選択されている一方のサブシ
ステムの制御装置を、または両者のうちで優先順
位の高いサブシステムの制御装置を選択する。こ
のような場合に備えて、制御装置１１，１２及び
１３には、選択する優先順位、例えば、制御装置
１１，１２及び１３の順に順位をつけてある。従
つて、各総合判定部は、いかなる事態においても
判定の時点で最も正常に機能していると思われる
制御装置を１つだけ選択する。

各々の総合判定部から出力された選択信号は、
各出力信号切換部５１，５２及び５３のすべてに
入力される。従つて１つの出力信号切換部は、３
つの総合判定部６４，６５及び６６からの選択信
号を入力することになる。出力信号切換部の詳細
構造を出力信号切換部５１を例にとつて第７図に
より説明する。出力信号切換部５２及び５３は、
出力信号切換部５１と同一の構成を有する。出力
信号切換部５１は、総合判定部６５，６５及び６
６が出力したすべての選択信号を入力する2out
of3ロジツク回路５４、制御装置から出力された
制御信号を入力する固定接点Ｐ、プラント１の制
御すべき制御対象機器５５に接続される固定接点
Ｑ、固定接点Ｒ及び可動接点Ｓからなつている。
固定接点Ｒには、必要に応じてテストツール１０
０を接続する。サブシステムＡの出力信号切換部
５１に設けられた2out of3ロジツク回路５４は、
３つの総合判定部６４，６５及び６６から出力さ
れた３つの選択信号のうち２以上の選択信号が制
御装置１１を選択したものである場合に、出力信
号切換部５１の可動接点Ｓを作動させて固定接点
Ｐと固定接点Ｑを接続する。出力信号切換部５１
の可動接点Ｓは、上記の場合以外においては固定
接点Ｓと固定接点Ｑを接続しない。サブシステム
Ｂの出力信号切換部５２に設けられた2out of3ロ
ジツク回路は、入力された３つの選択信号のうち
２以上の選択信号が制御装置１２を選択したもの
である場合に、出力信号切換部５２の可動接点Ｓ
を作動させてその固定接点Ｐと固定接点Ｑを接続
する。サブシステムＣの出力信号切換部５３に設
けられた2out of3ロジツク回路は、入力された３
つの選択信号のうち２以上の選択信号が制御装置
１２を選択したものである場合に、出力信号切換
部５２の可動接点Ｓを作動させてその固定接点Ｐ
と固定接点Ｑを接続する。サブシステムＣの出力
信号切換部５３に設けられた2out of3ロジツク回
路は、入力された３つの選択信号のうち２以上の
選択信号が制御装置１３を選択したものである場
合に、出力信号切換部５３の可動接点Ｓを作動さ
せてその固定接点Ｐとの固定接点Ｑを接続する。

従つて、総合判定部６４，６５及び６６の１つ
に異常が発生したとしても、最終的な制御信号の
選択が誤まることはない。また、出力信号切換部
の１つに異常が発生しても問題はない。

しかしながら、通常の2out of3回路は、３つの
入力信号のうち１つの入力信号の異常をマスクで
きるが、２つの入力信号の異常時は動作できない
という欠点を持つ。そこで本実施例では、各総合
判定部６４，６５及び６６に自己診断機能を付加
して２つの総合判定部で異常であるとの自己診断
結果がでた時は、残りの総合判定部の判断のみ
で、制御信号の選択が出来るよう配慮している。
また、本実施例は、２つのサブシステムが何らか
の原因でダウン状態にある時またはオフライン状
態にある時は、残りのサブシステムで異常である
との自己診断結果を得ていない場合に限り、自動
的にこの残りのサブシステムを選択できるような
機能をも有している。これらの機能を有する本実
施例は、最終的には３台中１台のみ運転続行可能
であれば、制御続行可能なシステムを実現してい
る。

なお、ちなみに３つのサブシステムが全てダウ
ンした場合には、その出力は、システム的に、フ
エイルセイフ、フエイルアズイズなどの方向に動
作することはもちろんである。

本実施例によれば、多重化の効果を十分に生か
せるため、極めて高信頼度を期待できるフオール
トトララントシステムを構築することができる。

以上述べた本実施例によれば、多重化プラント
制御装置の信頼性が著しく向上し、プラントの稼
動率が著しく向上する。

また、総合判定部の判定ロジツクを多数決判定
方式として説明したが、よりきめこまかな判定ロ
ジツクとして、各サブシステムの状態を重故障、
中故障、軽故障、正常などと分類する場合は、そ
れぞれ、最も正常に近いものから順次選択する方
法や、各サブシステムの正常度などを数値で表現
した場合は、これら数値の最大のシステムを選択
する方法なども考えられる。この場合、判定結果
そのものはよりきめ細かなものになるが、総合判
定部のロジツクが複雑になるという欠点も有す
る。

なお、無用の切換を防止するために、例えば、
同ランクだつた場合は、現在制御中として選択さ
れているものをそのまま選択させておくことなど
のロジツクを入れることも効果がある。

本発明は、三重化プラント制御装置だけでなく
二重化プラント制御装置にも適用できる。

〔発明の効果〕

本発明によれば、共通部を最小とした多重化シ
ステムを構成できるので、特に高信頼化システム
の実現が容易に可能となる。

【図面の簡単な説明】

第１図は従来例の二重化プラント制御装置の系
統図、第２図は他の従来例である異常検出装置付
二重化プラント制御装置の系統図、第３図は他の
従来例である中間値選択三重化プラント制御装置
の系統図、第４図は本発明の好適な一実施例であ
る三重化プラント制御装置の系統図、第５図は第
４図に示す各サブシステムの制御装置の信号入力
側における信号伝送回路の系統図、第６図は第４
図に示す各サブシステムの制御装置間における情
報伝送回路の系統図、第７図は第４図に示すサブ
システムの信号出力側における信号伝送回路の系
統図である。１…プラント、１１，１２，１３…制御装置、
１４，１５，１６…検出器、３４，３５，３６…
データ伝送回路、３７，３８，３９…伝送回路切
離し装置、５１，５２，５３…出力信号切換部、
５４…2out of3ロジツク回路、５５…制御対象機
器、６４，６５，６６…総合判定部、８１，８
２，８３…電源装置、９１，９２・９３…入力信
号切換部、Ａ，Ｂ，Ｃ…サブシステム。

Claims

【特許請求の範囲】

１同一のプラント状態量を検出するために多重
化の数だけ設けられた複数台の検出器と、これら
複数台の検出器で検出したプラント状態量をそれ
ぞれ総て入力してプラントを構成する制御対象機
器の制御信号を出力する多重化数だけの複数台の
制御装置であつて、他の総ての制御装置のデータ
をデータ伝送回路を介して取込み自己診断と相互
診断を行い自己診断結果と相互診断結果の診断結
果信号を出力する複数台の制御装置と、該複数台
の制御装置毎に設けられ、これら複数台の制御装
置の出力する診断結果信号をそれぞれ総て入力し
ていずれか１台の制御装置を正常であると選択す
る複数台の判定手段と、前記複数台の制御装置毎
に設けられ対応する制御装置の出力する制御信号
をそれぞれ入力すると共に前記複数台の判定手段
で判定した選択信号を総て入力して対応する制御
装置を選択すべきかを決定し、選択すべきと決定
した制御装置の制御信号を前記制御対象機器に与
えるための複数台の出力信号切換手段とを具備し
た多重化制御装置。