JPH06214605A

JPH06214605A - 多重系制御装置の相互異常診断処理方法及び装置、並びに、これを備えた縮退型多重系制御装置

Info

Publication number: JPH06214605A
Application number: JP26107991A
Authority: JP
Inventors: Yoichi Yoshida; 洋一吉田
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1991-09-12
Filing date: 1991-09-12
Publication date: 1994-08-05
Anticipated expiration: 2014-12-20
Also published as: JP2991547B2

Abstract

(57)【要約】【目的】サブシステム間での相互異常診断機能を有
し、しかも全系のシステムダウンを確実に回避でき、か
つ柔軟な多重系制御装置の相互異常診断処理方式。【構成】制御対象を複数のサブシステム１０i〜１０k
により制御する多重系制御装置で、上記各サブシステム
は、入力量ｎを所定の演算処理するロジック部１１i〜
１１kと、他のサブシステムからの演算処理データＤj、
Ｄkを自己のデータＤiと比較して自系の異常を診断する
相互異常診断部１２i〜１２kと、さらに、上記相互異常
診断部での診断の結果に基づいて自系を制御系から切り
離し回路１４i〜１４kとを備えている。そして、上記複
数のサブシステム間には、優先順位が予め定められてお
り、異常発生の際には、この優先順位に従ってサブシス
テムの切り離しを行う。この優先順位の決定は、各サブ
システムで行ってもよく、あるいは、独立した運転モー
ド判定部１９（図２）で行ってもよい。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、各サブシステム間のデ
ータ伝送により相互異常診断可能な多重系制御装置に関
し、特に、異常サブシステムの切離によっても制御シス
テム全系のダウンを回避することの可能な多重系制御装
置並びに多重系制御装置の相互異常診断処理装置及びそ
の方法に関する。

【０００２】

【従来の技術】従来、例えば原子炉再循環流量制御装置
等の原子力プラントの制御系のように、その誤動作が重
大な結果を引き起こす可能性のある場合には、一般に、
制御装置を多重化してその信頼性を高める手法が多用さ
れている。また、制御装置を多重化した場合には、かか
る多重化された制御装置を構成する各制御装置（サブシ
ステム）間で相互に内部データのやりとりをさせ、デー
タの比較・検討を行いながら自系サブシステムの状態を
監視し、異常と判断される場合には自系の制御を停止
（切り離す）する相互異常診断の手法も多く使われてい
る。

【０００３】かかる従来技術になる多重系制御方式とし
ては、例えば特開昭５８−１７８４０２号公報により知
られる「多重系制御方式」、特開昭５８−２０５２０１
号公報により知られる「３重化された制御保護装置の故
障検出装置」等がある。すなわち、これらの従来技術に
なる多重系制御方式においては、サブシステム内で異常
が発生した場合、いわゆる「２対１論理（多数決理
論）」により、異常を確実に検出することが出来、もっ
て、装置全体の制御上には全く影響を及ぼさないという
観点からのものであった。

【０００４】

【発明が解決しようとする課題】しかしながら、上記の
従来技術になる多重系制御方式においては、成る程、制
御系全体の高信頼化という観点からの相互異常診断機能
を有してはいたが、その機能により、むしろ相互に干渉
しあい、制御系全系がシステムダウンに至ってしまう場
合があった。例えば、プロセス量に急激な変化が生じた
場合などにおいて、相互の系のデータがそれぞれ異なっ
てしまい、各系が切り離され、相互異常診断機能が悪影
響を及ぼして、最悪の場合には、３重系共に切り離され
てしまいシステムダウンに至る。

【０００５】かかる従来技術に対し、本発明では、例え
３重系といえども２対１の多数決論理が働かず、３台共
にデータが相互に異なる場合が現実に存在し得るという
前提に立っての多重系の多重系制御装置並びに多重系制
御装置の相互異常診断処理装置及び方法を提案するもの
である。

【０００６】すなわち、本発明の目的は、サブシステム
間での相互異常診断機能を有しながらも、制御系全系の
システムダウンを確実に回避することの可能な、柔軟な
多重化運転モードの可能な多重系制御装置を構築し、一
層フォールトトレラントな多重系制御装置、さらには、
その相互異常診断処理装置及び相互異常診断処理方法を
提供することにある。

【０００７】

【課題を解決するための手段】上記の本発明の目的は、
本発明によれば、縮退型制御装置において待機冗長２重
系運転とすることにより達成される。すなわち、本発明
になる多重系制御装置の相互異常診断処理方式及び装
置、並びに、これを備えた縮退型多重系制御装置によれ
ば、サブシステム間の相互異常診断機能は有しながら
も、予め設定された優先順位の、又は、異常ヶ所を有す
る１のサブシステムをダウンさせることにより、多重系
制御システムを待機冗長２重系運転とする。

【０００８】具体的には、本発明によれば、共通の制御
対象を複数のサブシステムにより制御する多重系制御装
置であって、上記各サブシステムは、制御量を演算する
制御演算部と、上記演算された制御量データを他のサブ
システムにより演算された制御量データと比較すること
により自系の異常を診断する相互異常診断部と、上記相
互異常診断部での診断の結果、自系を制御系から切り離
す信号切替部とを備えたものにおいて、上記複数のサブ
システム間には、異常時での切り離しの優先順位が予め
定められており、この優先順位に従って異常時の上記サ
ブシステムの切り離しを行う多重系制御装置の相互異常
診断処理方法が提案される。

【０００９】また、本発明によれば、それぞれ、制御量
を演算する制御演算部と、上記演算された制御量データ
を他のサブシステムにより演算された制御量データと比
較することにより自系の異常を診断する相互異常診断部
と、自系を制御系から切り離す信号切替部とを備えた複
数のサブシステムから成る多重系制御装置において、上
記各サブシステムからは独立して設けられ、異常時にお
いては、上記各サブシステムの相互異常診断部からの診
断結果信号に基づいて、予め定められた優先順位で上記
各サブシステムを切り離す指令を出力する多重系制御装
置の相互異常診断処理装置が提案される。

【００１０】さらに、本発明では、共通の制御対象を複
数のサブシステムにより制御する多重系制御装置であっ
て、上記各サブシステムは、制御量を演算する制御演算
部と、上記演算された制御量データを他のサブシステム
により演算された制御量データと比較することにより自
系の異常を診断する相互異常診断部と、上記相互異常診
断部での診断の結果、自系を制御系から切り離す信号切
替部とを備え、さらに、異常時での上記複数のサブシス
テム間の切り離しの順位を予め定めるための手段を備え
た縮退型多重系制御装置が提案されている。

【００１１】

【作用】すなわち、上記の本発明によれば、サブシステ
ム間での相互異常診断機能を有しながらも、異常検出時
のサブシステムの切離しを、予め設定された優先順位、
又は、異常ヶ所を有する１のサブシステムをダウンさせ
ることによって行うため、多重系制御システムがいわゆ
る待機冗長２重系運転となり、もって、全系のシステム
ダウンを回避させる。これに伴い、既にダウンしたサブ
システムにおいても、その後の相互異常診断によりデー
タが所定範囲内に収斂すれば、再び制御モードに移行可
能となるため、柔軟な多重化運転モードを構築し、一層
のフォールトトレラントなシステムを提供することが可
能となる。

【００１２】即ち、待機冗長２重系運転の場合、制御側
サブシステムは、相互異常診断により異常を検出して
も、当該系を切り離すことはない。又、ＲＡＳ機能等の
自己診断により異常検出した場合、当該系は切り離さ
れ、待機側サブシステムが、制御側となり、制御続行可
能である。

【００１３】さらに、必要に応じて（相互異常診断部に
て自系の異常が検出されなくなった場合）、再び３重系
運転へ移行することも可能となる。

【００１４】

【実施例】以下、本発明の一実施例につき、添付の図面
を用いながら詳細に説明を行う。先ず、添付の図１に
は、本発明を原子力プラントに適用した例として、より
具体的には、ＢＷＲ型原子力発電所の原子炉再循環流量
制御装置に適用された場合の概略構成が示されている。
この図１に示す原子炉再循環流量制御装置は、いわゆる
３重系システムとなっており、原子炉１の水を強制循環
させ、その量を調節することにより炉出力を変化させる
機能を有するものである。即ち、原子炉再循環流量制御
装置は、再循環を行うポンプ５を駆動するポンプモータ
４に可変周波数電力を発生・供給する可変周波数電源装
置を制御するものであり、いわゆるＭＧセット２の発電
機（Ｇ）の回転数ｎをフィードバック制御することによ
り、周波数変換装置（ＦＣ）を制御するものである。
尚、コントロールドライブ（Ｃ／Ｄ）３は、このＭＧセ
ット２の制御の操作端となっている。

【００１５】図において、制御装置は３重化された各サ
ブシステム、すなわち、コントローラ１０i〜１０kから
構成されている。これらのコントローラ１０i〜１０k
は、各々、比例積分演算等を行うロジック部１１i〜１
１kと、他のコントローラからの信号を入力して自己の
内容と比較しながら診断を行う、いわゆる相互異常診断
部１２i〜１２kとを備えている（ただし、図において
は、一例として、コントローラ１０iの内部のみを詳細
に示す）。より具体的に説明を加えると、コントローラ
１０iにおいて、発電機（Ｇ）の回転数信号ｎは、ライ
ン１７を介してロジック部１１iに入力され、所定の基
準値（ＳＶ）と比較され、比例積分器（ＰＩ）において
比例積分演算処理が行われる。そして、この比例積分器
（ＰＩ）により比例積分演算処理された信号Ｄiは、例
えばスイッチから構成される切り離し回路１４iを介し
て操作端出力選択回路（ＭＶＧ）１６へ出力されてい
る。また、ライン１８上には、各サブシステムからのデ
ータ（Ｄi,Ｄj,Ｄk）の中間値がＳｏとして出力されて
いる。

【００１６】一方、各コントローラの相互異常診断部１
２iは、自系データＤiと、他の２つの系から電送（図中
において、矢印１５、１５…で示されている）を介して
送られてきた他の系のデータＤj、Ｄkとの偏差の大きさ
（数値データの場合）、又は、不一致（ビットデータの
場合）を、他の系の運転状態信号Ｃj、Ｃkを考慮しなが
ら検出し、自系のデータＤiが不一致であると検出され
た場合、不一致フラグｉcを出力し、ライン１８上の制
御信号Ｓｏを自系データＤiとしてコピーする。その結
果、尚、不一致がさらに継続した場合、異常フラグＣi
を出力し、上記の切り離し回路１４iによって切り離さ
れることとなる。したがって、コントローラ１０iから
の出力信号Ｄiは、操作端出力選択回路１６へは出力さ
れなくなる。

【００１７】そして、本発明によれば、上記コントロー
ラ１０i〜１０kは、予め設定された優先順位により、又
は、異常ヶ所を有する１のサブシステムのみをダウンさ
せることにより、多重系制御システムを待機冗長２重系
運転としている。

【００１８】図２には、本発明の他の実施例として、図
１と同様、原子力プラントであるＢＷＲ型原子力発電所
の原子炉再循環流量制御装置に適用された多重系制御装
置が示されている。また、この図においても、図１の構
成部分と同様の部品は、図１に示すと同一の符号で示さ
れている。この他の実施例になる多重系制御システムに
おいて、特に、特徴的なことは、上記図１に示したもの
と比較し、さらに、いわゆる運転モード判定部１９を、
各サブシステムであるコントローラ１０i〜１０kとは独
立して設けたことである。すなわち、この運転モード判
定部１９は、各サブシステム（コントローラ１０i〜１
０k）の相互異常診断部１２i〜１２kにより検出された
異常フラグＣi〜Ｃkをベースに、どのサブシステムを切
り離すかを決定し、各サブシステムへ切り離し指令を出
力するものである。一方、各サブシステム（コントロー
ラ１０i〜１０k）は、自己の相互異常診断部１２i〜１
２kにより出力された異常フラグＣi〜Ｃkと、上記運転
モード判定部１９からの切り離し指令Ｙi〜Ｙkとを入力
するＡＮＤゲート１３iを介して、ＡＮＤ論理により、
自系を切り離すこととなる。

【００１９】以上に説明した本発明の実施例になる多重
系制御装置における相互異常診断による運転モード遷移
方法を、以下に添付の図を参照しながら詳細に説明す
る。

【００２０】図３には、上記多重系制御装置、具体的に
は３重系制御装置において、３重系（Ａ）から２重系
（Ｂ）へ、２重系から１重（シングル）系（Ｃ）への運
転モードの遷移及びその時の運転状態が示されている。
また、図４には、その時の事象発生フローが示されてい
る。

【００２１】図４において、ここで、３重系運転時（Ｓ
１０）では、ライン１８上の制御データＳｏは、各サブ
システムであるコントローラ１０i〜１０kからのデータ
Ｄi,Ｄj,Ｄkの中間値が出力されている。従って、各サ
ンプリング毎のＳｏは、特定のコントローラからの信号
を常時出力しているわけではない。一方、２重系運転時
（Ｓ２０）では、予め優先順位の決めてあるコントロー
ラの信号を出力する待機冗長２重系となっている。

【００２２】相互異常診断そのものは、特に３重系にお
いては、多数決論理（２対１理論）が機能するため、異
常検出時における多重系でのサブシステムの切り離しに
有効な手段であるが、しかしながら、３重系の各々のコ
ントローラが全て、正常な場合においても、例えばプロ
セス量の急激な変化が生じた場合等には、逆に、相互異
常診断が悪影響を及ぼし、最悪の場合、３重系共に切り
離され、システムダウンに至る場合がある。そこで、本
発明では、必ず３重系から２重系へ移行するようにし
て、かかる３重系の全系が切り離されることにより生じ
るシステムダウンの発生を防止する。

【００２３】即ち、上記の事柄を、図４のフローによっ
て説明する。３重系運転（Ｓ１０）においては、各サブ
システムのコントローラ１０i〜１０kは、その相互異常
診断部１２i〜１２kの働きにより、自己のデータと他の
系のデータと比較しながら異常を検出している。ところ
で、この３重系運転において、プロセス量の急激な変化
が生じた場合（Ｓ１１）、例えば伝送遅れ等の原因によ
り、各サブシステムでは自系のデータが他の系のデータ
と一致しなくなり（Ｓ１２）、相互異常診断部１２i〜
１２kが異常を検出する。その結果、異常（例えば、デ
ータの不一致等）を検出した系のコントローラ１０i〜
１０kは、自系のデータとして、３系の出力データの中
間値であるライン１８上の制御信号Ｓｏをコピーする
（Ｓ１３）。

【００２４】ところで、３つの系は非同期にて演算して
おり、そのため、上記のデータのコピータイミングによ
っては、コピーされたデータそのものが、次にコピーさ
れる３系出力データの中間値（すなわち、信号Ｓｏ）に
も影響を与える（Ｓ１４）。そのため、３つの系の各々
の相互異常診断データ間に不一致状態が継続することが
ある（Ｓ１５）。

【００２５】ところで、従来の多重系制御装置において
は、多数決理論により、かかる状況が一定時間継続する
と、各系はそれぞれ自系を制御系から切り離し、タイム
フローが各系共に同じである場合には、最悪の場合に
は、全系システムダウンとなってしまう。そこで、本発
明のように、万が一にも全系システムダウンに至らぬ
様、相互異常診断継続時に自系を切り離すタイムフロー
に優先順位を決めて設定すると（Ｓ１６）、全系システ
ムダウンに至ることなく、２重系運転に移行させること
が可能となる（Ｓ２０）。例えば、本実施例では、優先
順位として、コントローラ１０iの優先順位を最も高
く、続いてコントローラ１０jが、そして、最後にコン
トローラ１０kの順（１０i＞１０j＞１０k）に設定され
ている。すなわち、この優先順位の設定により、各系の
切り離しの際には、優先順位が低いものから順序に制御
系から切り離されるため、従来技術における問題点であ
る全系システムダウンを回避させることが出来、かつ、
待機冗長な、信頼性を有する２重系運転にて、制御が続
行可能となる。

【００２６】さらに、図において、２重系運転（Ｓ２
０）の場合について説明する。再び、例えばプロセス量
の急激な変化等（Ｓ２１）に伴い、各サブシステム（上
記の例ではコントローラ１０iと１０j）が、その相互異
常診断機能によって自系のデータと他系のデータとの不
一致により異常を検出すると（Ｓ２２）、常に、予め設
定された優先順位の高い系の出力データ（この例では、
Ｄi）を、自己データとしてコピーする（Ｓ２３）。従
って優先系側（すなわち、コントローラ１０i）では、
データの不一致による異常が検出されても、データのコ
ピーは行わない。すなわち、プロセス量の急変等が継続
した場合には、常に、非優先系は、優先系のデータを自
己データとしてコピーすることとなる。従って、コント
ローラが正常に動作しているならば、必ず、非優先系
（この場合、コントローラ１０j）の相互異常診断デー
タ（Ｄj）は、優先系（コントローラ１０i）のデータ
（Ｄi）に一致することとなり（Ｓ２４）、２重系運転
（相互異常診断データの一致）となる。

【００２７】ところで、ここで、上記の２重系運転にお
いて、非優先系（この場合、コントローラ１０j）のデ
ータ（Ｄj）が、優先系のデータ（Ｄi）に一致しない状
態が継続した場合（Ｓ２５）、制御装置としては、いわ
ゆるシングル系運転（Ｓ３０）へ移行することとなる
（但し、各コントローラが正常であれば、本運転への移
行は生じ難い）。

【００２８】尚、シングル系運転から２重系運転へは、
図４において、非優先系のコントローラ１０jが優先系
のコントローラ１０iのデータ（Ｄi）をコピーし（Ｓ３
１）、非優先系のコントローラ１０jの相互異常診断デ
ータが優先側と一致した（Ｓ３２）ところで、再び、２
重系運転（Ｓ２０）へ移行することがで出来る。

【００２９】さらに、２重系運転（Ｓ２０）から、３重
系運転（Ｓ３０）への復帰についても、図４に示すよう
に、以下の順で可能となる。

【００３０】すなわち、先ず、３重系から２重系への運
転の切り替えによって切り離された系（例えば、コント
ローラ１０k）は、２重系運転状態での優先系（コント
ローラ１０i）の相互診断データをコピーする（Ｓ１
７）。従って、切り離されたコントローラ（ここでは、
コントローラ１０k）が正常であれば、当該コントロー
ラは、必ず２重系運転時の優先系の相互診断データＤi
に一致することとなる（Ｓ１８）。従って、当該コント
ローラは、制御に参入することが出来、システムとして
３重系運転（Ｓ１０）へ移行することなる。

【００３１】ここで、上記（Ｓ１７）の後、当該コント
ローラの相互診断データが、やはり、優先系のそれに一
致しない場合（Ｓ１９）には、再び、２重系運転継続状
態に戻ることとなる（但しコントローラが正常であれば
本事象はおこりにくい）。

【００３２】次に、上記のは本発明の特徴ともなる、い
わゆる、相互異常診断運転モード判定を行うためのより
詳細な構成について説明する。先ず、図５には、上記の
図１に示した相互異常診断部１２i〜１２kの詳細構造で
あり、図にも示される様に、相互異常診断部４１と運転
モード判定部３２を各サブシステム（すなわち、コント
ローラ１０i〜１０k）に内蔵された場合の例を示してい
る。この診断部４１は、例えばアナログデータの場合に
はその偏差の大きさを、あるいは、ディジタルデータの
場合にはそのビット内容の不一致を検出する機能を有し
ている。また、運転モード判定部３２は、さらに、自系
を切り離す指令を確立する自系切離確立用タイマー（Ｔ
Ｐ１）３２１を有し、一方、異常フラグ解消後（すなわ
ち、正常状態成立後）、自系を制御モードに投入するま
での遅れを確保するための自系制御モード確立用タイマ
ー（ＴＰ２）３２２をも併せて有している。また、図中
の符号３２３は、上記自系制御モード確立用タイマー
（ＴＰ２）３２２からの出力で閉勢するスイッチ素子で
あり、３２４はいわゆるＡＮＤ論理素子である。そし
て、各コントローラ１０i〜１０kの優先順位は、この自
系切離確立用タイマー（ＴＰ１）３２１の設定時間によ
って設定されることとなる。

【００３３】次に、図６には、上記の図２に示した多重
系制御装置の運転モード判定部１９（図６の（Ａ））
と、同時に、その時の、各コントローラ１０i〜１０kの
相互異常診断部１２’（図６の（Ｂ））の詳細構造が論
理的に示されている。先ず、運転モード判定部１９は、
例えば論理素子等から構成されており、図に論理的に示
すように、複数の入力（Ｃi,Ｃj,Ｃk）の組み合わせ
（図の縦方向）に対し、いかなる場合においても、必ず
出力（Ｙi,Ｙj,Ｙk）の中の１出力のみだけが‘１’と
なる様に構成されている。すなわち、いかなる場合にお
いても、誤った切り離しによる全系システムダウンには
絶対至らない処理方式としている。また、この時の相互
異常診断部１２’は、相互異常診断部４１と、自系切離
確立用タイマー（ＴＰ）３３のみからなる運転モード判
定部とから構成されている。

【００３４】さらに、図７には、上記の相互異常診断部
４１の具体的な回路構成が示されている。すなわち、図
７の（Ａ）には、数値データの相互異常を診断する場合
の回路例が、また、その（Ｂ）には、ビットデータの相
互異常を診断する場合の回路例が示されている。

【００３５】図７の（Ａ）に示す回路の動作について、
以下、簡単に説明する。先ず、自系のデータＤiの妥当
性を評価するのに、自系のデータＤiを他系のデータＤ
j、Ｄkと偏差モニタ（ＭＲＹ）を介してチェックする。
偏差モニタ（ＭＲＹ）は、内部の所定値以上の偏差が生
じた場合に‘１’を出力し、また、この時、他系のデー
タＤj、Ｄkが偏差内の同等値であるとき、自系データの
みが異常と判断される。但し、ｉ、ｊ、ｋ共に制御中
（すなわち、図１において、コントローラ１０i〜１０k
が、その切り離し回路１４i〜１４kによって切り離され
ていない状態）であることが前提である。すなわち、こ
の様な構成をとることにより、異常フラグ出力（ｉc）
が所定の時間（例えば、図５に示した自系切離確立用タ
イマー（ＴＰ１）３２１により決まる時間、あるいは、
図６の（Ｂ）に示した自系切離確立用タイマー（ＴＰ）
３３により決まる時間）継続した場合、自系が分離され
ることとなる。

【００３６】以上に説明した事象につき、図８に、その
場合のタイムチャートを示して説明を加える。図におい
て、（Ａ）は従来技術になる制御装置の各系（系i、系
j、系k）の動作状態を示しているが、この従来技術によ
る制御装置では、各系とも同じ自系切離確立用タイマー
の設定時間（ＴＰ１）により、全系システムダウンが発
生し得、また、その後の一定時間（ＴＰ２＋α）経過
後、再び、ライン１７上の回転数信号ｎが整定していれ
ば、制御モードに移行することは可能である。これに対
し、本発明の制御装置によれば、同図の（Ｂ）に示す様
に、全系システムダウンを回避させるため、図５に示し
た相互異常診断部１２i〜１２k内の自系切離確立用タイ
マー３２１及び自系制御モード確立用タイマー３２２の
各タイマー値であるＴＰ１、ＴＰ２を、各サブシステム
毎に各々別個に設定させれば、同図の（Ｂ）からも明か
な様に、３重系全系のシステンダウンを回避させること
が可能になる。

【００３７】即ち、プラント状態の急変等により、例え
ば、ライン１７上の回転数信号ｎが、演算処理の非同期
性、電送遅れ等の原因により、各サブシステム内での入
力値に差異が生じた場合、各サブシステム内の相互異常
診断部１２は異常フラグｉcを出力する。しかしなが
ら、各サブシステム内での自系切離確立用タイマーの設
定値（ＴＰ１）は、予め定められた優先順位に基づいて
各々別個に設定されているため、全系が同時にダウンす
ることはなく、必ず、ー系のみが強制的に先にダウンす
ることとなる。これにより、３重系制御装置は２重系運
転となるが、全系システムダウンには至らない。

【００３８】また、当該ダウンしたサブシステムは、そ
の後、他のサブシステムのデータを入手し、相互診断デ
ータが所定偏差内に収斂され、自系制御モード確立用タ
イマーの設定値（ＴＰ２）を経過すれば、再度復帰し、
再び、３重系運転となる（図８の（Ｂ）の右側を参
照）。

【００３９】以上の内容は、上述した本発明の実施例に
おいて示された様に、すなわち回転機の回転数信号ｎの
様に急変するプロセス量を演算処理し、この演算処理し
た信号を相互診断データとした場合のみならず、さらに
は、例えば上記ライン１７上の回転信号ｎをそのまま用
いて得られる信号を相互診断データとした場合でも、さ
らには、複数の相互診断部を設けた場合も同様である。
その場合の構成の具体例を添付の図９に例示する。

【００４０】さらに、本発明は、上述の実施例で示すよ
うな原子力プラントであるＢＷＲ型原子力発電所の原子
炉再循環流量制御装置に適用された３重系制御装置に限
定されるものではなく、その他一般の制御装置における
多重系縮退型制御装置に対しても同様に適用可能であ
る。かかる一例として、添付の図９には、原子炉給水制
御系の３重化システムに本発明を適用し、その際、相互
診断データとしてライン９１上の水位信号Ｌｗを使用し
た場合の構成を示す。また、この他の実施例として示さ
れたシステムは、原子炉への再循環給水流量を制御する
ため、いわゆるバルブ５１、５２、５３の開閉を制御す
るものである。

【００４１】

【発明の効果】以上に詳細に説明したように、本発明に
よれば、多重系制御装置において、サブシステム間での
相互異常診断機能を有しながらも、制御系全系のシステ
ムダウンを確実に回避することが可能で、かつ、柔軟な
多重化運転モードの可能な多重系制御装置を構築し、さ
らに、一層フォールトトレラントな多重系制御装置を提
供することが可能になる。本発明によれば、さらには、
制御系全系のシステムダウンを確実に防止することが可
能になることにより、被制御系としての装置の可動率の
向上、加えて、その制御性の向上にも著しい効果があ
る。

【図面の簡単な説明】

【図１】本発明のー実施例である再循環流量制御装置の
３重系制御システムの概略構成を示す図である。

【図２】本発明の他の実施例である再循環流量制御装置
の３重系制御システムの概略構成を示す図である。

【図３】上記３重系システムの運転モードを説明するた
めの図である。

【図４】上記３重系システムにおける運転モード移行動
作を説明するフロー図である。

【図５】上記図１の相互診断部の詳細構造を示す回路図
である。

【図６】上記図２に示した運転モード判定部と相互異常
診断部の詳細構造を示す回路図である。

【図７】上記相互異常診断部のより具体的な回路構造を
示す詳細回路図である。

【図８】上記３重系制御システムの動作を従来技術の動
作と比較して説明するためのタイムチャート図である。

【図９】本発明のさらに他の変形例を示す３重系制御シ
ステムの概略構成図である。

【図１０】本発明を、さらに他の制御装置に適用した場
合の実施例を示す、概略構成図である。

【符号の説明】

１原子炉２ＧＭセット３コントロールドライブ４ポンプモータ５ポンプ１０i〜k コントローラ１１i〜k ロジック部１２i〜k 相互異常診断部１４i〜k 切り離し回路１６操作端出力選択回路１７、１８ライン

【手続補正書】

【提出日】平成５年８月２５日

【手続補正１】

【補正対象書類名】図面

【補正対象項目名】全図

【補正方法】変更

【補正内容】

【図１】

【図２】

【図５】

【図６】

【図３】

【図７】

【図１０】

【図４】

【図８】

【図９】

Claims

【特許請求の範囲】

【請求項１】共通の制御対象を複数のサブシステムに
より制御する多重系制御装置であって、上記各サブシス
テムは、制御量を演算する制御演算部と、上記演算され
た制御量データを他のサブシステムにより演算された制
御量データと比較することにより自系の異常を診断する
相互異常診断部と、上記相互異常診断部での診断の結
果、自系を制御系から切り離す信号切替部とを備えたも
のにおいて、上記複数のサブシステム間には、異常時で
の切り離しの優先順位が予め定められており、この優先
順位に従って異常時の上記サブシステムの切り離しを行
うことを特徴とする多重系制御装置の相互異常診断処理
方法。
【請求項２】上記各サブシステムの相互異常診断部か
らの異常診断信号の組合せに基づき、上記各サブシステ
ムを切り離す上記優先順位を予め定めたことを特徴とす
る請求項１記載の多重系制御装置の相互異常診断処理方
法。
【請求項３】それぞれ、制御量を演算する制御演算部
と、上記演算された制御量データを他のサブシステムに
より演算された制御量データと比較することにより自系
の異常を診断する相互異常診断部と、自系を制御系から
切り離す信号切替部とを備えた複数のサブシステムから
成る多重系制御装置において、上記各サブシステムから
は独立して設けられ、異常時においては、上記各サブシ
ステムの相互異常診断部からの診断結果信号に基づい
て、予め定められた優先順位で上記各サブシステムを切
り離す指令を出力することを特徴とする多重系制御装置
の相互異常診断処理装置。
【請求項４】上記請求項３の多重系制御装置の相互異
常診断処理装置は、上記各サブシステムの相互異常診断
部からの異常診断信号の組合せに基づき、上記各サブシ
ステムを切り離す上記優先順位を予め定める手段を備え
たことを特徴とする多重系制御装置の相互異常診断処理
装置。
【請求項５】共通の制御対象を複数のサブシステムに
より制御する多重系制御装置であって、上記各サブシス
テムは、制御量を演算する制御演算部と、上記演算され
た制御量データを他のサブシステムにより演算された制
御量データと比較することにより自系の異常を診断する
相互異常診断部と、上記相互異常診断部での診断の結
果、自系を制御系から切り離す信号切替部とを備え、さ
らに、異常時での上記複数のサブシステム間の切り離し
の順位を予め定めるための手段を備えたことを特徴とす
る縮退型多重系制御装置。
【請求項６】上記複数のサブシステム間の切り離し順
位を予め定める手段は、上記サブシステムとは独立して
設けられていることを特徴とする請求項５の縮退型多重
制御装置。
【請求項７】上記複数のサブシステム間の切り離し順
位を予め定める手段は、上記各サブシステムの上記相互
異常診断部からの異常診断信号の組合せに基づいて定ま
る１のサブシステムを切り離す信号を出力すること特徴
とする請求項６の縮退型多重系制御装置。