JPH0619641B2 - 多重系制御システムのデータ管理方式 - Google Patents

Description

【発明の詳細な説明】 〔発明の利用分野〕 本発明は、制御対象の状態量を複数の制御装置に並行し
て入力して処理し、制御対象を制御する多重系によるプ
ロセス制御システムのデータ管理方式に関する。

〔発明の背景〕

従来の高信頼度を目的としたプロセス制御用の多重系制
御システムとしては、特開昭５８−３７７０２号公報又
は特開昭５８−９６３０３号公報等に記載されたものが
知られている。これらの公報によれば、それぞれ制御対
象の状態量を入力し、独立して所定の演算処理をする複
数の制御装置を設け、これらの制御装置を情報伝送路に
より相互に接続し、各制御装置はその伝送路を介して他
の制御装置の演算処理により得られた制御出力データを
取り込み、各制御装置相互の制御出力データの一致・不
一致を判定するようになっており、その判定結果に基づ
いて出力切換部は多数決論理により正常な１つの制御装
置を選択し、その制御出力データを制御対象に出力する
ように構成されている。

しかしながら、上記従来の多重系制御システムは、同一
の状態量にかかる帰還値を複数の制御装置がそれぞれ別
個に設けられたタイマにより独立してサンプリングする
場合について考慮されていないことから、次のような問
題がある。

すなわち、同一の状態量であっても、異なるタイミング
でサンプリングすると、その間に状態量の値が変化する
ことがあり、各制御装置間にサンプリングされる帰還値
に差が生ずる。各制御装置はそのような差を有する帰還
値を目標値に一致させるように制御出力を演算する。一
方、制御対象に出力されるのは１つの制御装置（以下、
制御担当という）の制御出力データであることから、そ
れに対する帰還値は、必ずしも他の制御装置（以下、待
機系という）の制御出力データに対応したものではな
い。したがって、制御担当の制御装置からみて帰還値と
目標値との偏差が零になっても、待機系の制御装置から
みると常に偏差が残ってしまう可能性がある。このよう
な場合、待機系の積分要素を含んだ帰還制御処理は、そ
の偏差を除去するように演算処理を行うことから、制御
サイクルを重ねるにつれて偏差が積分され、制御出力デ
ータが制御担当の制御出力データと大きく離れてしま
い、待機系の制御装置の機能が正常であっても、異常と
判定されてしまうという不都合があり、多重系制御シス
テムの信頼性が損なわれるという問題がある。

また、このような問題は、各制御装置に与えられる制御
目標値等の設定値に差がある場合も同様に生ずる問題で
ある。つまり、制御担当の制御装置からみて帰還値と目
標値との偏差が零でも、待機系の制御装置からみると常
に偏差が残ってしまい、積分要素を含む演算処理のサイ
クルを重ねるにつれて、偏差が積分され、制御出力デー
タが制御担当の制御出力データと大きく離れてしまうこ
とになるからである。

〔発明の目的〕

本発明は、前記従来技術の欠点を解消するためになされ
たもので、信頼性の高い多重系制御システムにおけるデ
ータ管理方式を提供することを目的とする。

〔発明の概要〕

本発明は、上記目的を達成するため、それぞれ並行して
入力される制御対象の状態量をそれぞれ別個に設けられ
たタイマにより独立してサンプリングし、そのサンプリ
ングした状態量に基づき独立して所定の帰還制御を含む
演算処理を行う複数の制御装置と、これらの制御装置を
相互に接続する情報伝送路と、前記制御装置の少なくと
も１つに設けられ、前記各制御装置の制御出力データを
前記情報伝送路を介して入力し、各制御装置相互の制御
出力データが許容偏差内で一致・不一致かを判定して診
断を行う診断部と、該診断部の診断結果に基づいて多数
決論理により正常な１つの制御装置を選択し、その制御
出力データを制御対象に出力する多数決判定装置とを備
えてなる多重系制御システムのデータ管理方式におい
て、前記多数決判定装置により選択された制御装置を制
御担当とし、他の制御装置を待機系とし、この待機系の
制御装置は、前記制御担当制御装置の少なくとも帰還制
御処理に係る内部データをコピーして自己の帰還制御処
理に係る内部データに置き換えることを特徴とする。

これにより、待機系の制御装置における帰還制御にかか
る内部データが制御担当の制御装置の内部データに一致
されるため、サンプリングタイミングの違いによる帰還
値の差や目標値等の設定値の差等に起因する偏差の積分
処理に伴う誤差の積み重ね、入力ノイズ、演算結果のバ
ラツキ等による不一致を防止して、誤った異常診断を無
くすことができるから、多重系制御システムの信頼性が
向上されることになる。

なお、前記診断部を複数の制御装置にそれぞれ分散して
設け、多数決判定装置は、それら複数の診断部の診断結
果に基づいて多数決論理により正常な制御装置を選択す
ることが望ましい。これによれば、診断部の信頼性が向
上する。

また、前記待機系制御装置による前記制御担当制御装置
の内部データのコピーは、前記診断部による自己の制御
出力データの判定が、一致又は判定不能のときに実行
し、不一致のときは設定サイクル数の演算処理にわたっ
て連続して不一致であると判定されたときにのみ実行す
ることが望ましい。つまり、不一致のときにも常にコピ
ーしてしまうと、真に異常な制御装置を見つけだすのが
遅れることになるからである。

さらに、前記診断部は特定の制御装置にかかる制御出力
データが所定サイクル数連続して不一致のときのみ、そ
の制御装置の診断結果を異常として前記多数決判定装置
に出力するものとし、前記制御担当制御装置は、前記診
断部による自己の制御出力データの判定結果が不一致の
とき、自己の制御出力データとして、正常な他の待機系
制御装置の制御出力データをコピーして出力するように
することが望ましい。これによれば、外乱ノイズなどに
よりたまたま制御出力データが不一致になった場合を異
常と扱わずにすみ、安定な診断に基づいた信頼度の高い
システム運用を行うことができる。

〔発明の実施例〕

第１図は、本発明に係る多重系制御システムのデータ管
理方式の実施例の基本構成図である。

第１図において、第１コストローラ１０と第２コントロ
ーラ１２と第３コントローラ１４とがそれぞれ第１通信
回線１６、第２通信回線１８、第３通信回線２０により
相互に連結されている。そして、第１コントローラ１
０、第２コントローラ１２、第３コントローラ１４の制
御出力２２，２４，２６がそれぞれ多数決判定回路２８
に入力できるようになつており、多数決判定回路２８が
選定した制御出力３０が制御対象３２を制御するように
なつている。制御対象３２の状態量であるプロセスデー
タ（帰還値）３４，３６，３８は、それぞれ個別の図示
しないセンサを介して独立のラインにより第１コントロ
ーラ１０、第２コントローラ１２、第３コントローラ１
４に入力される。また、指令情報４０も三重化され、独
立した伝送路により各コントローラ１０，１２，１４に
入力される。これら第１コントローラ１０、第２コント
ローラ１２、第３コントローラ１４は、それぞれ独立し
た電源を有しており、各コントローラに入力される帰還
値と指令値とを基にして、単独の制御系として作動する
ようになつている。また、第１〜第３のコントローラの
うち、多数決判定回路２８により選定された１つのコン
トローラが制御担当コントローラとされ、他のコントロ
ーラは待機中制御コントローラとされる。

第２図は、第１コントローラ１０の処理概要を示してお
り、第２コントローラ１２、第３コントローラ１４も同
様の処理を行なう。第２図において、自己のコントロー
ラ、即ち第１コントローラ１０に対するプロセスデータ
３４や指令情報４０は、プロセスデータ入力処理部４２
において工学値変換やフイルタ処理、リミトチエツク等
が行なわれ、制御演算部４４において演算処理され、演
算結果４６が相互診断部４８に入力される。また、相互
診断部４８には、第２コントローラ１２の演算結果５０
が第１通信回線１６、他系データ受信部５２を介して入
力され、第３コントローラ１４の演算結果５４が第３通
信回線２０、他系データ受信部５６を介して入力され
る。相互診断部４８は、入力された演算結果４６，５
０，５４から詳細を後述する多数決判定論理に基づき相
互診断を行ない、今回の相互診断結果５８を診断結果の
報告と最適制御量の選択部６０に入力するとともに、各
演算結果４６，５０，５４を診断結果の報告と最適制御
量の選択部６０に入力する。この診断結果の報告と最適
制御量の選択部６０は、今回の相互診断結果５８を受け
て第１コントローラ１０独自の判断に基づき、表１に示
す相互診断アルゴリズムに従つて第１コントローラ１０
に対する診断結果６２、第２コントローラ１２に対する
診断結果６４、第３コントローラ１４に対する診断結果
６６を求め、最適制御指令値６８とともに制御出力２２
として多数決判定回路２８に送る。ここで、診断結果６
２、６４、６６は各制御装置の「正常」又は「異常」を
表す報告となっている。

表１は、３台のコントローラ１０，１２，１４がそれぞ
れ２台のコントローラの相互診断用データを組にして行
う相互チエツクの結果を示すものである。表１中に示し
た〇はデータが相互に一致したことを示し、×が不一致
であつたことを示す。ここに、相互チエツクとは、デイ
ジタルデータの場合にはビツトのＯＮ，ＯＦＦ状況が一
致しているか否かのチエツクを示し、アナログデータの
場合には２データが所定の偏差内にあるか否かのチエツ
クを示す。ここで、デジタルデータとはＯＮ，ＯＦＦ又
は高、低等の２値状態を表すデータであり、アナログデ
ータとは温度、流量等の連続的なアナログ量を表すデー
タであり、第２図に示したプロセスデータ３４、指令情
報４０、他系データには、デジタルデータとアナログデ
ータが含まれている。

なお、本方式では、ケースNo.８の判定不能の場合を除
くと、明らかに特定のコントローラが不一致であると判
定できるのは、ケースNo.４，６，７の場合で、これを
不一致のケースとして採用する。そして、ケースNo.
２，３，５は、アナログデータの場合に生じ得るが、具
体的にどちらのデータの信憑性が低いかを判定するアル
ゴリズムが複雑となり、複雑の割に効果が薄いことと、
デイジタルデータの場合にはあり得ないため、ケースN
o.１と同様に全て正常とみなす。つまり、ディジタルデ
ータの場合はＯＮ、ＯＦＦ等の２値状態データであるか
ら、第１と第２、第２と第３の２つの組合せが一致して
いれば、第１〜第３はいずれも「ＯＮ」又は「ＯＦＦ」
の一方でなければならないから、第１と第３が不一致と
いうことはあり得ない。これに対し、アナログデータの
場合は連続量であるから、第１と第２、第２と第３のデ
ータの偏差がそれぞれ所定内であっても、第１と第３の
偏差が所定内に収まるとは限らないから、ケースＮｏ．
２，３，５の場合が生ずるのである。

第３図は、各コントローラ１０，１２，１４がそれぞれ
実行する主要処理の概要を示す図である。第３図におい
て、各コントローラに入力されたプロセスデータは、プ
ロセスデータ入力処理部４２においてプロセスデータ入
力処理１００がなされた後、制御演算部４４において制
御演算処理１１０がなされる。演算結果は他コントロー
ラとの情報交換１２０を行なつた後、相互診断部４８に
入力され、相互診断部４８においてデイジタルデータ相
互診断１３０、アナログデータ相互診断１４０が行なわ
れる。その後、各コントローラは、演算結果に基づき、
診断結果の報告と最適制御量の選択部６０において異常
コントローラ判定処理１５０を行ない、自己が制御担当
か否かの判断１６０の結果に基づき、自己が制御中であ
るときは制御系におけるコピー処理１７０を行ない、自
己が待機中であるときは待機系におけるコピー処理１８
０を行なつた後最終処理１９０を行なう。

第４図は、デイジタルデータ相互診断の処理内容を示し
たものである。まず、ブロツク１３１において第１コン
トローラ１０と第２コントローラ１２との演算結果４
６，５０に基づき、デイジタルデータのＯＮ，ＯＦＦの
チエツクを行なう。そして、全デイジタルデータの内一
点でも不一致が発生したときは、ブロツク１３２に分岐
し、表２に示したカウンタテーブルの第１語目の第１−
第２間デイジタルデータ不一致カウンタエリアのカウン
タを１加算し、今回のサンプル周期のデイジタルデータ
に不一致があつたことを記録する。

この加算値は、上限が設けられており、例えば加算値が
ｎになつたときに、後述するように不一致の原因となる
演算結果を出力しているコントローラが異常と見なさ
れ、カウントアツプが中止される。一方、ブロツク１３
１におけるデイジタルデータのＯＮ，ＯＦＦチエツクの
結果が全デイジタルデータにおいて一致しているとき
は、ブロツク１３３に分岐し、表２の第１語目のカウン
タを０クリアしブロツク１３４に進む。以下同様に第２
コントローラ１２と第３コントローラ１４とのデイジタ
ルデータのＯＮ，ＯＦＦチエツクと第１コントローラ１
０と第３コントローラ１４とのデイジタルデータのＯ
Ｎ，ＯＦＦチエツクが行なわれ、不一致があつたときは
表２に示した第２語目，第３語目のカウンタを１加算す
る。

アナログデータの相互診断１４０は、デイジタルデータ
相互診断１３０と同様にして行なわれる。ただし、アナ
ログデータ相互診断１４０においては、ビツトデータの
ＯＮ，ＯＦＦチエツクの代りに２つのデータ間における
偏差が許容範囲内にあるか否かをもつて判定する。そし
て、２つのデータ間における偏差が許容範囲以上である
ときは、表２に示した第４語目から第６語目までのカウ
ンタエリアのカウンタを１加算し、許容範囲内であると
きはこれらのカウンタを０クリアする。なお、表２に示
した第７語目から第９語目の内容については第８図の説
明において詳述する。

表３は、表２に示したカウンタテーブルの第１語目から
第６語目までのカウンタ加算による異常コントローラの
判定例を示したもので、第２コントローラ１２が異常で
あると見なされた場合を例示している。即ち、サンプル
周期がＮ＋１のときに第２コントローラ１２が異常とな
つたため、表２の第１語目と第２語目のカウンタに１が
入れられる。しかし、この不一致が外乱等による一次的
なものである場合もあるため、不一致がｎ回連続する間
は第２コントローラ１２を異常であると判定しない。従
つて、最初に不一致を検出したサンプル周期Ｎ＋１回目
からサンプル周期Ｎ＋ｎ−１回目までの期間において連
続不一致であつても、コントローラ内においては不一致
である状況認知をするが、外部、即ち多数決判定回路２
８に対しては正常であると報告する。そして、引続き不
一致が発生し、サンプル周期Ｎ＋ｎ回目においても不一
致となつたときに、初めて第２コントローラ１２が異常
であると判定する。

第５図は、表１および表３のアルゴリズムに基づいて異
常コントローラ判定処理１５０を行なう処理内容を示し
たものである。まず、ブロツク１５１において表２の第
１語目から第３語目までのカウンタチエツクを行ない、
カウンタの値がｎとなつているか否かを調べ、特定のコ
ントローラが異常であるか、全て正常か、あるいは判定
不能かを決定する。そして、例えば表３に示した如く表
２の第１語目と第２語目のカウンタがｎを示していると
きは、表１のアルゴリズムに従い、ブロツク１５２にお
いて第２コントローラ１２を異常と判定し、その旨を多
数決判定回路２８に対する報告内容とする。一方、表２
の第１語目から第３語目までのカウンタの数値がｎとな
つていたときには、表１に示したアルゴリズムに従い判
定不能と決定し、自己のコントローラのみ正常と判定し
て多数決判定回路２８に報告する。そして、デイジタル
データに対して全てのコントローラが正常であるとき
は、引続きブロツク１５４においてアナログデータの相
互診断結果を求め、同様の処理を行なう。アナログデー
タに対してコントローラが正常であるときは、コントロ
ーラは全て正常と判定し、多数決判定回路２８に報告す
る。

第６図は、第３図に示した制御系におけるコピー処理１
７０の処理内容を示したものであり、制御担当コントロ
ーラにおける相互診断処理後の補正処理である。また、
第７図は、第３図の待機系におけるコピー処理１８０の
内容を示したものであり、待機中制御コントローラにお
ける相互診断処理後の補正処理を示したものである。

第５図に従い異常コントローラ判定処理１５０を行なつ
た後、各コントローラは自己が制御担当コントローラで
あるか待機中制御コントローラであるかを判断する。制
御担当コントローラの出力は、プロセスに直接反映され
るため、自己のデータが１回でも不一致と見なされた場
合には、データを補正して出力すべきである。しかし、
異常検出アルゴリズムは、表３に示した如くｎ回連続し
て不一致の状態をもつて異常と見なすようになつてお
り、１からｎ−１までの間は、外部に対して正常である
と報告するようになつている。そこで、例えば第２コン
トローラ１２を制御担当コントローラとすると、第２コ
ントローラ１２は、ブロツク１７１において表２に示し
た第１語目から第６語目までのカウンタを再度チエツク
する。そして、サンプル周期がＮのときは表３に示す如
くデータに不一致が発生していないため、自己のデータ
をそのまま制御対象に出力し、制御対象を制御する。し
かし、サンプル周期がＮ＋１からＮ＋ｎ−１の状態にお
いては、自己のデータが不一致発生（換言すると多数決
で負けた）であると見なし、ブロツク１７２において自
己の出力データの部分のみを、他の待機中制御コントロ
ーラの当該データと置き換え出力する。従つて、サンプ
ル周期Ｎ＋１からＮ＋ｎ−１の間においては、表面的に
は異常としない期間であつても、常に多数決を得たより
信憑性の高い出力値をプロセスに反映できるため、制御
担当コントローラ内における一過性のデータ変動を押え
ることができ、信頼性が高まる。

第７図は、待機系におけるコピー処理１８０の内容を示
したものである。自己が待機中制御コントローラである
場合には、自己の出力はプロセスに反映されず、制御系
のバツクアツプ役となつている。そこで、待機中制御コ
ントローラが制御担当コントローラから制御権を移行さ
れた場合に、バンプレス制御を行なうことができるよう
に相互診断後における主系に対する追従と、異常時の自
動回復機能とをもたせている。

まず、第７図のブロツク１８１において、待機中制御コ
ントローラは、自己の出力した演算結果がサンプル周期
のｎ回に渡つて連続して不一致となり自己が異常とされ
たか否かを判断する。そして、自己が異常でないそ判断
したときには、ブロツク１８２において判定不能か否か
のチエツクを行ない、自己が異常であるときにはブロツ
ク１８４に分岐し制御担当コントローラの全データをコ
ピーする。また、ブロツク１８２において自己が判定不
能であると判断した場合にも、ブロツク１８４において
制御担当コントローラの全データをコピーする。一方、
自己が異常でもなく、判定不能でない場合には、ブロツ
ク１８３において自己の出力するデータに不一致が発生
したか否かをチエツクし、不一致が発生していないとき
にはブロツク１８４において制御担当コントローラの全
データをコピーする。自己のデータに不一致が発生し、
しかもその不一致がｎ回連続していない１からｎ−１回
にあたるときは、制御担当コントローラのデータをコピ
ーせず、主系への追従を行なわない。これは、不一致が
ｎ回連続して発生し、異常と決定するまで様子をみるも
のである。この待機中制御コントローラがブロツク１８
４において制御担当コントローラの全データをコピーす
るのは次の３つの理由による。

(1) 正常時におけるコピーは、比例積分演算等の積分
項の誤差積重ねを防止する。

(2) 判定不能の場合におけるコピーは、弧立化を防止
する。

(3) 自己が異常と判定された場合におけるコピーは、
内部リセツトを行ない制御系と等しい状態にし、自動回
復を実現する。

なお、自己のデータに不一致が発生しない場合における
制御担当コントローラのデータコピーは、システムの構
成や、プログラムの簡単化等を考慮して行なわなくても
よい。

第８図は、第３図に示した終了処理１９０の内容を示し
たものであり、多数決判定回路２８の誤動作防止を目的
としている。即ち、各コントローラ１０，１２，１４
は、別個のタイマにより独立したサンプリング演算を行
なつているため、出力タイミングが一致せず各コントロ
ーラが瞬間的に同期せずに異常情報を出力したり、ある
いはその異常情報が１サンプル周期分のみだつた場合、
多数決判定回路２８に応答不良や誤動作が発生し、予定
通りのコントローラの切換えができなくなる場合があ
る。そこで、多数決判定回路２８の誤動作を防止するた
め、異常コントローラの存在が一度認識されると、その
異常状態を一定時間持続し、異常状態を解除するための
立下り信号を一定時間遅延させる方法を用いた。

まず、第８図のブロツク１９１において判断対象となる
当該コントローラは、今回異常と判定されたか否かを判
断し、異常と判定された場合にはブロツク１９２におい
て表２に示したカウンタテーブルの第７語目から第９語
目の当該コントローラのコントローラエラーホールドカ
ウンタに初期値ｍをセツトする。その後、ブロツク１９
３においてエラーホールドカウンタが０でないことを確
認し、ブロツク１９５において当該コントローラは今回
異常であると見なし、エラーホールドカウンタを１減算
した後、次のコントローラのチエツクを行なう。そし
て、次のサンプル周期においても当該コントローラが異
常と判定された場合には、エラーホールドカウンタの初
期値をセツトしなおし、以下前記したと同様に処理を行
なう。

一方、ブロツク１９１において今回異常でないと判定さ
れたときには、ブロツク１９３に分岐し、エラーホール
ドカウンタが０か否かを調べ、エラーホールドカウンタ
が０の時は、ブロツク１９４において当該コントローラ
は正常であると見なし、次のコントローラのチエツクを
行なう。しかし、ブロツク１９１において今回異常でな
いと判断され、しかもブロツク１９３においてエラーホ
ールドカウンタが０でないことが明らかになつたとき
は、ブロツク１９５に分岐し当該コントローラが異常表
示ホールド期間中であると見なし、エラーホールドカウ
ンタを１減算して次のコントローラのチエツクを行な
う。このようにして一定サンプル周期の間連続してエラ
ーホールドカウンタが０でないことが確認されると、当
該コントローラは異常とみなし、しばらくのあいだ異常
の解除をしないで監視下におく。

上記の如くして全コントローラのチエツクが終了したこ
とをブロツク１９７において確認したときには、ブロツ
ク１９８において自己が判定した全コントローラの制御
量と診断結果を制御指令、判定結果として多数決判定回
路２８に出力する。

多数決判定回路２８は、各コントローラ１０，１２，１
４からの診断結果に基づき、もつとも得票数の多いコン
トローラにより制御を行なうよう指示をする。従つて、
多数決判定回路２８における誤動作率が極端に減少させ
ることができる。しかも、制御に反映されるデータは、
必ず多数決を得たもつとも信憑性の高いものが用いられ
ることになり、より適切な制御を行なうことができる。
また、個個のコントローラは、それぞれ独立して演算を
行なうようになつており、共通モード故障を最小化する
ことができるとともに、待機中制御コントローラが制御
担当コントローラに追従するようにしてあるため、コン
トローラの切換時におけるバンプレス制御を実現してい
る。そして、特定のコントローラに異常が発生した場合
においても、当該コントローラは自己を異常であると報
告し、正しいデータをコピーして自動復帰するようにな
つている。

〔発明の効果〕

以上説明したように本発明によれば、三重以上の処理系
列を有する多重系制御システムにおいてより信頼性の高
い制御を行なうことができる。

【図面の簡単な説明】

第１図は本発明に係る多重系制御システムのデータ管理
方式における制御装置の実施例の基本構成図、第２図は
前記実施例のコントローラにおける処理内容を示す図、
第３図は前記実施例のコントローラにおける主要処理の
実施例の概略を示す流れ図、第４図は第３図に示したデ
イジタル相互診断の処理内容を示す図、第５図は第３図
に示した異常コントローラ判定処理の実施例の説明図、
第６図は第３図に示した制御系におけるコピー処理の実
施例の説明図、第７図は第３図に示した待機系における
コピー処理の説明図、第８図は第３図に示した終了処理
の実施例の説明図である。 １０……第１コントローラ、１２……第２コントロー
ラ、１４……第３コントローラ、１６……第１通信回
線、１８……第２通信回線、２０……第３通信回線、２
８……多数決判定回路、３２……制御対象、４６，５
０，５４……演算結果。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 山本 健二 茨城県日立市幸町３丁目２番１号 日立エ ンジニアリング株式会社内 (56)参考文献 特開 昭55−25122（ＪＰ，Ａ) 特開 昭58−66104（ＪＰ，Ａ)

Claims (3)

【特許請求の範囲】
1. 【請求項１】それぞれ並行して入力される制御対象の状
   態量をそれぞれ別個に設けられたタイマにより独立して
   サンプリングし、そのサンプリングした状態量に基づき
   独立して所定の帰還制御を含む演算処理を行う複数の制
   御装置と、 これらの制御装置を相互に接続する情報伝送路と、 前記制御装置のそれぞれに設けられ、前記各制御装置の
   演算処理により得られた制御出力データを前記情報伝送
   路を介して入力し、各制御装置相互の制御出力データが
   許容偏差内で一致・不一致かを判定して診断を行う診断
   部と、 該診断部の診断結果に基づいて多数決論理により正常な
   １つの制御装置を選択し、その制御出力データを制御対
   象に出力する多数決判定装置とを備えてなる多重系制御
   システムのデータ管理方式において、 前記多数決判定装置により選択された制御装置を制御担
   当とし、他の制御装置を待機系とし、 この待機系の制御装置は、前記制御担当制御装置の少な
   くとも帰還制御処理に係る内部データをコピーして自己
   の帰還制御処理に係る内部データに置き換えることを特
   徴とする多重系制御システムのデータ管理方式。
2. 【請求項２】特許請求の範囲第１項において、 前記診断部が、前記複数の制御装置のそれぞれに設けら
   れ、 前記多数決判定装置は、それら複数の診断部の診断結果
   に基づいて多数決論理により正常な制御装置を選択する
   ことを特徴とする多重系制御システムのデータ管理方
   式。
3. 【請求項３】特許請求の範囲第１項又は第２項におい
   て、 前記待機系制御装置による前記制御担当制御装置の内部
   データのコピーは、前記診断部による自己の制御出力デ
   ータの判定結果が、一致又は判定不能のときに実行し、
   不一致のときは設定サイクル数の演算処理にわたって連
   続して不一致であると判定されたときにのみ実行するこ
   とを特徴とする多重系制御システムのデータ管理方式。