JPH08106400A - プロセス入出力装置を二重化した二重化制御装置 - Google Patents

Abstract

(57)【要約】 【目的】稼働系および待機系の入出力部に発生した異常
が冗長化した該当入出力部でなければ、２ケ所以上の異
常発生でも正常なプラント制御を行う。 【構成】ＭＰＵ3A(3B)と, ２組のI/O 伝送路9a,9c(9b,9
d)と接続できるI/Oインタフェース部5a(5b)とを備えて
なる制御部2A(2B)と、２組の伝送部7A,7B, (7C,7D)と，
複数のI/O 部8A〜8Nとを備えてなる複数の入出力部6A〜
6Dとからなるプロセス入出力装置9A(9B)と、を備えてな
る制御装置1A(1B)を備え、一方の制御部2Aを稼働系と
し、他方の制御部2Bを待機系として動作させ、稼働系と
待機系の制御部間は常時データの等値化を行い、プロセ
ス入出力装置9A,9B と制御部2A,2B との接続は、入出力
部6A,6C の一方の伝送部7A,7C をI/O 伝送路9a,9c によ
って稼働系のI/O インタフェース部5Aと接続し、他方の
伝送部7B,7D をI/O 伝送路9b,9d によって待機系のI/O
インタフェース部5Bと接続する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、高信頼性が要求される
二重化制御装置に関し、特に、プロセス入出力装置の二
重化を備えた二重化制御装置に関する。

【０００２】

【従来の技術】制御装置の信頼性・稼働率の向上のた
め、特に重要な制御システムに対して、制御装置の二重
化が行われている。この様な従来の技術の二重化制御装
置は、マイクロプロセッサユニット（以下、マイクロプ
ロセッサユニットをＭＰＵと略称する）を２組備える制
御部の二重化とか、ＭＰＵを備える制御部とプロセス入
出力装置とを備える制御装置を２組備えたものが多い。
図２は、後者の制御装置を２組備えた二重化制御装置の
機能ブロック図を示す。二重化制御装置は同一構成の制
御装置1A、1Bより構成されるので、以下、制御装置1A側
を中心に説明し、制御装置1B側は括弧内の符号で対応を
示す。

【０００３】図２において、制御装置1A(1B)は、制御部
2A(2B)とプロセス入出力装置9A(9B)とから構成される。
制御部2A(2B)は、ＭＰＵ3A(3B)と，プロセッサ間伝送路
4aを介して接続されるプロセッサ間伝送インタフェース
部4A(4B)と，プロセス入出力装置9A(9B)とI/O 伝送路9a
(9c)を介して接続できるI/O インタフェース部5A(5B)
（I/O INF の略符号で図示）と，から構成される。

【０００４】プロセス入出力装置9A(9B)は、１または複
数の入出力部（図示例では２つの入出力部6A,6B 、(6C,
6D) ）から構成され、この入出力部6A,6B,(6C,6D) は、
上記制御部2A(2B)と上記I/O 伝送路9a(9c)によって接続
され, 制御部2A(2B)とのデータ伝送を行う伝送部7A(7C)
と，複数のI/O 部（8A〜8N）と，から構成される。各プ
ロセス入出力装置9A(9B)は、同一検出端からの２組の入
力信号を２組の制御装置1A(1B)の入出力部の該当するI/
O 部に入力し、このデータが該当する制御装置1A(1B)の
制御部2A(2B)に伝送される。例えば、図２の図示例で
は、同一検出端からのデジタル入力信号Di1A(Di1B)が該
当する入出力部6BのI/O 部8Aおよび入出力部(6D)のI/O
部(8A)に入力され、各々伝送部7Aと伝送路9a(9c)を介し
て制御部2A(2B)に伝送される。同一検出端から得られる
アナログ入力信号も同様に、各プロセス入出力装置9A(9
B)に入力され、図示省略されているが、例えば、該当す
る入出力部6AのI/O 部8Bおよび入出力部(6C)のI/O 部(8
B)に入力され、各々伝送部7Aと伝送路9a(9c)を介して制
御部2A(2B)に伝送される。

【０００５】また、出力信号（ディジタル信号、アナロ
グ信号）は、稼働系および待機系の制御部からそれぞれ
の入出力部の該当するI/O 部に入力され、この内、稼働
系側の出力が二重化制御装置の出力として選択的に出力
される。例えば、アナログ出力Ao1A(Ao1B)は、図２の図
示例では、該当する入出力部6BのI/O 部8Nおよび入出力
部(6D)のI/O 部(8N)から出力され、この出力信号は、例
えば、図示例の様に切り替えリレーを介して稼働系側の
出力Ao1Aが出力される。

【０００６】また、I/O 部のアナログ電流出力回路が、
稼働系／待機系の信号により選択的に出力を生かし・殺
し可能な機能を有するI/O 部の場合は、電流信号の混入
防止用ダイオード（通常この回路もI/O 部に収納されて
いる）突き合わせで選択的に出力することができ、この
場合は図示例の様な切り替えリレーは不要となる。かか
る構成において、制御装置1A(1B)は、一方の制御装置、
例えば、制御装置1Aを稼働系とし、他方の制御装置1Bを
待機系として動作させ、稼働系と待機系の制御装置1A、
1B間は、プロセッサ間伝送路4aを介したデータ伝送によ
り、常時データの等値化を行い、稼働系側の制御装置1A
で制御対象を制御し、稼働系側の制御装置1Aに異常が発
生すると、直ちに、待機系側の制御装置1Bが稼働系に切
り替わり、新稼働系側の制御装置1Bによって制御が継続
される。

【０００７】即ち、稼働系側も待機系側の制御装置1A(1
B)も、制御装置毎に独立したプロセス入出力装置9A(9B)
を用意し、該当する入力用I/O 部には同一の信号を入力
し、また、該当する出力用I/O 部には等値化の結果得ら
れた同じ信号を出力しうる、制御装置を２組備えた二重
化制御装置を構成していた。

【０００８】

【発明が解決しようとする課題】この様な従来技術の二
重化制御装置には次の様な問題がある。今、制御装置1A
を稼働系とし、仮に、稼働系側の入出力部6Aが異常とな
った場合、稼働系制御装置1Aの制御権は移行し、待機系
であった制御装置1Bを新稼働系に切り替える。しかし、
ここで既に、待機系である制御装置1B側の入出力部6Dに
異常が発生していた場合、待機系であった制御装置1Bを
稼働系にすると、入出力部の異常により制御装置1Bのソ
フトウェア内容が制御装置1Aのソフトウェア内容と異な
る可能性を有し、この結果、新稼働系の制御装置1Bによ
る制御動作は保障されず、プラント制御に異常をきたす
原因となる。

【０００９】このため待機系の入出力部に異常が発生し
た場合、その時点で待機系の制御装置1Bを停止し、現在
稼働系の入出力部に異常が発生しても制御装置の制御権
の移行が発生しない様に構成している。つまり、従来技
術では、入出力部に１ケ所の異常発生であればプラント
制御は正常に行われるが、２ケ所以上異常発生となった
場合プラント制御は保障されない状態となる。

【００１０】本発明は上記の点にかんがみてなされたも
のであり、その目的は前記した課題を解決して、稼働系
側および待機系の入出力部に異常が発生しても、異常発
生した入出力部が二重化のため冗長化した該当の入出力
部でなければ、２ケ所以上の異常発生でも正常なプラン
ト制御を行うプロセス入出力装置を二重化した二重化制
御装置を提供することにある。

【００１１】

【課題を解決するための手段】上記目的を達成するため
に、本発明においては、マイクロプロセッサユニット
と, プロセッサ間伝送路を介して接続されるプロセッサ
間伝送インタフェース部と, ２組のI/O 伝送路と接続で
きるI/O インタフェース部と，を備えてなる制御部と、
この制御部とI/O 伝送路によって接続され制御部とのデ
ータ伝送を行う２組の伝送部と，複数のI/O 部と，を備
えてなる入出力部と、を有し、制御部と、１または複数
の入出力部からなるプロセス入出力装置と、を備えてな
る制御装置を２組備え、一方の制御装置の制御部を稼働
系とし他方の制御装置の制御部を待機系として動作さ
せ、稼働系と待機系の制御部間はプロセッサ間伝送路を
介したデータ伝送により常時データの等値化を行い、同
一検出端からの２組の入力信号は２組の制御装置の入出
力部の該当するI/O 部に入力し、稼働系制御部からの同
一出力信号は２組の制御装置の入出力部の該当するI/O
部に入力し、このI/O 部からの出力信号を選択的に出力
するプロセス入出力装置を二重化した二重化制御装置に
おいて、各プロセス入出力装置内の複数の入出力部は、
二重化されたI/O 伝送路によって入出力部の２組の伝送
部をマルチドロップ接続し、各プロセス入出力装置と制
御部との接続は、プロセス入出力装置の端部に接続され
る入出力部の２組の伝送部の内，一方の伝送部をI/O 伝
送路によって稼働系の制御部のI/O インタフェース部と
接続し、他方の伝送部をI/O 伝送路によって待機系の制
御部のI/O インタフェース部と接続するものとする。

【００１２】また、同一検出端から２組の制御装置の入
出力部の該当するI/O 部に入力された信号は、制御装置
が入出力部の正常・異常の判断をし、正常な入出力部の
入力信号を正常データとして制御部に取り込むものとす
る。

【００１３】

【作用】上記構成により、本発明においては、従来, 制
御装置毎に独立して用意していたプロセス入出力装置の
伝送部を二重化し、この二重化された伝送部をそれぞれ
稼働系の制御装置および待機系の制御装置に接続するこ
とにより、プロセス入出力装置を稼働系の制御装置およ
び待機系の制御装置の両方に共通のプロセス入出力装置
とした。また、稼働系および待機系の制御装置は、入出
力部の正常・異常の判断をし、正常な入出力部の入力信
号を正常データとして制御部に取り込むことにより、稼
働系および待機系の両制御装置に共通のプロセス入出力
装置としてプロセス入出力装置の二重化を行うことがで
きる。

【００１４】

【実施例】図１は本発明による一実施例のプロセス入出
力装置を二重化した二重化制御装置の機能ブロック図で
あり、図２に対応する同一機能部材には同じ符号が付し
てある。図１において、二重化制御装置は、同一構成の
制御装置1A、1Bより構成され、制御装置1A(1B)は、制御
部2A(2B)とプロセス入出力装置9A(9B)とから構成され
る。制御部2A(2B)は、ＭＰＵ3A(3B)と，プロセッサ間伝
送路4aを介して接続されるプロセッサ間伝送インタフェ
ース部4A(4B)と，プロセス入出力装置(9A,9B)とI/O 伝
送路9a,9c,(9b,9d) を介して接続できるI/O インタフェ
ース部5A(5B)と，から構成される。

【００１５】プロセス入出力装置9A(9B)は、１または複
数の入出力部（図示例では２つの入出力部6A,6B,(6C,6
D) ）から構成され、この入出力部6A,6B,(6C,6D) は、
上記制御部(2A,2B) と上記I/O 伝送路(9a 〜9d) によっ
て接続され, 制御部(2A,2B) とのデータ伝送を行う伝送
部7A,7B,(7C,7D) と，複数のI/O 部（8A〜8N）と，から
構成される。

【００１６】一方の制御装置の制御部、例えば、制御部
2Aを稼働系（以下、特に断らなければ稼働系を制御装置
1A側とし、待機系を制御装置1B側とする）とし、他方の
制御装置1Bの制御部2Bを待機系として動作させ、稼働系
と待機系の制御部2A,2B 間は、プロセッサ間伝送インタ
フェース部4A(4B)をプロセッサ間伝送路4aを介して接続
し、両制御部2A,2B 間のデータは、このデータ伝送によ
り、常時データの等値化が行われ、稼働系の制御部2Aが
異常のとき、直ちに待機系の制御部2Bに切り替わるよう
に構成されている。

【００１７】次に、制御部(2A,2B) とプロセス入出力装
置(9A,9B) との接続は下記の接続となる。まず、プロセ
ス入出力装置9A(9B)内の複数の入出力部6A,6B,(6C,6D)
は、二重化されたI/O 伝送路9a,9b,(9c,9d) によって入
出力部6A,6B,(6C,6D) 内の２組の伝送部7A,7B,(7C,7D)
をマルチドロップ接続される。プロセス入出力装置 (9
A,9B)と制御部(2A,2B) との接続は、プロセス入出力装
置の端部に配置・接続された入出力部6A(6C)の２組の伝
送部7A,7B,(7C,7D) の内、一方の伝送部7A(7C)をI/O 伝
送路9a,9c によって稼働系の制御部2AのI/O インタフェ
ース部5Aと接続し、他方の伝送部7B(7D)をI/O 伝送路9
b,9d によって待機系の制御部2BのI/O インタフェース
部5Bと接続される。

【００１８】上記構成において、各プロセス入出力装置
9A(9B)は、同一検出端からの入力信号が該当するI/O 部
に入力され、冗長化される。例えば、図１の図示例で
は、同一検出端からの２組のデジタル入力信号Di1A(Di1
B)が該当する入出力部6BのI/O部8Aおよび入出力部(6D)
のI/O 部(8A)に入力される。これらの入力信号Di1A(Di1
B)は、入出力部6B(6D)の内部バス7aを経由して、伝送部
7A,7B,(7C,7D) に伝達され、二重化されたI/O 伝送路9
a,9b,(9c,9d) を介して制御部2A,2B のI/O インタフェ
ース部5A,5B と接続される。同様に、同一検出端から得
られるアナログ入力信号も、プロセス入出力装置9A(9B)
に入力され、ここでは図示省略されているが、例えば、
該当する入出力部6AのI/O 部8Bおよび入出力部(6C)のI/
O 部(8B)に入力され、二重化されたI/O 伝送路9a,9b,(9
c,9d) を介して制御部2A,2B のI/O インタフェース部5
A,5B と接続される。

【００１９】該当する入出力部からのデジタル入力、ア
ナログ入力は、該当する入出力部の正常・異常判定によ
り、いずれか一方に異常が発生すれば、正常側の入出力
部からの入力が選択され、稼働系・待機系の両制御部2
A,2B に入力される。冗長化された両入出力部が正常の
ときは、例えば、それぞれの入出力部からの入力が該当
する制御部に入力するとか、稼働系側の入出力部から入
力するとか、あるいは、それ以前から継続して入力され
ている入出力部から継続入力するとか、制御システムの
設計思想により種々の設計法がソフトウェア対応して実
施される。

【００２０】次に出力信号は、稼働系制御部2Aからの同
一出力信号が上記２組の制御装置1A,1B の入出力部 (6A
〜6D) の該当するI/O 部に入力され、このI/O 部からの
出力信号が選択的に出力される。例えば、図１の図示例
では、アナログ出力Ao1A(Ao1B)は、該当する入出力部6B
のI/O 部8Nおよび入出力部(6D)のI/O 部(8N)に出力さ
れ、この出力信号は、別に出力されるディジタル出力に
より、いずれの入出力部（6Bまたは6D) のI/O 部からの
出力を選択するかの指令に基づき、図示例の様に切り替
えリレーを介して出力される。また、従来技術で述べた
様に、I/O 部のアナログ電流出力回路が別の信号により
選択的にその出力を生かし・殺し可能な機能を有するI/
O 部の場合は、図示例の様な切り替えリレーは不要とな
る。

【００２１】該当する入出力部からの選択的なアナログ
出力は、該当する入出力部のいずれか一方に異常が発生
すれば、正常側の入出力部からの出力が選択され、出力
される。また、冗長化された両入出力部が正常のとき
は、いずれかの一方の出力が出力される。例えば、稼働
系側の入出力部からとか、あるいは、それ以前から出力
が継続している入出力部側から出力が出力される。

【００２２】また、該当する入出力部からの選択的なデ
ジタル出力は、稼働系の制御部2Aから冗長化された該当
する両入出力部に入力され、該当する入出力部のいずれ
か一方に異常が発生すれば、正常側の入出力部からの出
力が選択され、出力される。冗長化された両入出力部が
正常のときは、制御システムの設計思想により種々の設
計法がある。例えば、単純に稼働系側の入出力部から出
力するとか、あるいは、制御システムがデジタル出力
"0","1" に対していずれの方向がシステムにとってより
安全かという観点より、冗長化された両入出力部の出力
の論理和または論理積を出力する方法などがある。

【００２３】この様に構成することにより、すべての入
出力部6A〜6Dが、制御装置1A,1B 共通の入出力部とする
ことができる。即ち、入力信号は入出力装置9A,9B の
内、正常なデータを取り込み、出力信号は入出力装置9
A,9B に同一信号を出力する様にソフトウエア処理を行
うことができる。本発明と従来技術との相違点は、各入
出力部6A〜6Dの伝送部に各々２組の伝送部7A,7B,(7C,7
D) を設け、制御装置1Aの入出力装置9Aから制御装置1B
のI/O インタフェース部5Bおよび制御装置1Bの入出力装
置9Bから制御装置1AのI/O インタフェース部5Aへの伝送
路9b,9c が存在する点にある。この制御装置1A,1B 間を
クロスする伝送路9b,9c により、稼働系の入出力装置9A
のデータと待機系の入出力装置9Bのデータを稼働系およ
び待機系の制御装置1A,1B が共用することができる。

【００２４】また、制御装置1A,1B が内部異常を検知す
る手段は、制御装置内の制御部2A,2B 、プロセッサ間伝
送インタフェース4A,4B あるいはI/O インタフェース部
5A,5B と入出力部6A〜6Dの伝送部7A〜7Dなどのハードウ
ェアの自己診断は、パリティチェック、ウオッチドッグ
タイマチェック、メモリサムチェックあるいはリードラ
イトチェックなど所謂RAS 機能でチェックされ、また、
制御装置の制御部間あるいは制御部ー入出力部間などの
相互間の異常チェックは、これらの機能部間のデータが
一定周期で交信されているので、一定期間内に、監視対
象部からのアクセスがないことをもって、異常とし異常
処理が行われる。これらの各部の異常状態は、直接的
に、間接的に両制御部2A,2B にて把握でき、入出力装置
9A,9B からきた入力データはソフトウェアで正常・異常
の論理積をとり、制御部2A,2B の正常データとして取り
込むことができる。

【００２５】

【発明の効果】本発明により、稼働系側および待機系の
入出力部に異常が発生しても、異常発生した入出力部が
二重化のため冗長化した該当の入出力部でなければ、２
ケ所以上異常発生しても、プラント制御は保障され、信
頼性を大幅に向上させることができる。

【図面の簡単な説明】

【図１】本発明による一実施例のプロセス入出力装置を
二重化した二重化制御装置の機能ブロック図

【図２】従来技術の制御装置を２組備えた二重化制御装
置の機能ブロック図

【符号の説明】

1A,1B 制御装置 2A,2B 制御部 3A,3B ＭＰＵ 4A,4B プロセッサ間伝送インタフェース部 4a プロセッサ間伝送路 5A,5B プロセス入出力装置9A(9B) 6A〜6D 入出力部 7A〜7D 伝送部 7a 内部バス 8A〜8N I/O部 9a〜9d 伝送路 Di1A,Di1B ディジタル入力信号 Ao1A,Ao1B アナログ出力信号

Claims (2)

【特許請求の範囲】
1. 【請求項１】マイクロプロセッサユニットと，プロセッ
   サ間伝送路を介して接続されるプロセッサ間伝送インタ
   フェース部と，２組のI/O 伝送路と接続できるI/O イン
   タフェース部と，を備えてなる制御部と、 この制御部と前記I/O 伝送路によって接続され前記制御
   部とのデータ伝送を行う２組の伝送部と，複数のI/O 部
   と，を備えてなる入出力部と，を有し、 前記制御部と、前記１または複数の入出力部からなるプ
   ロセス入出力装置と、を備えてなる制御装置を２組備
   え、一方の制御装置の制御部を稼働系とし、他方の制御
   装置の制御部を待機系として動作させ、稼働系と待機系
   の制御部間は、前記プロセッサ間伝送路を介したデータ
   伝送により、常時データの等値化を行い、 同一検出端からの２組の入力信号は、前記２組の制御装
   置の入出力部の該当するI/O 部に入力し、稼働系制御部
   からの同一出力信号は、前記２組の制御装置の入出力部
   の該当するI/O 部に入力し、このI/O 部からの出力信号
   を選択的に出力するプロセス入出力装置を二重化した二
   重化制御装置において、 各プロセス入出力装置内の複数の入出力部は、二重化さ
   れた前記 I/O伝送路によって前記入出力部の２組の伝送
   部をマルチドロップ接続し、 前記プロセス入出力装置と前記制御部との接続は、前記
   プロセス入出力装置の端部に接続される入出力部の２組
   の伝送部の内、一方の伝送部を前記I/O 伝送路によって
   稼働系の制御部のI/O インタフェース部と接続し、他方
   の伝送部を前記I/O 伝送路によって待機系の制御部のI/
   O インタフェース部と接続する、 ことを特徴とするプロセス入出力装置を二重化した二重
   化制御装置。
2. 【請求項２】請求項１に記載のプロセス入出力装置を二
   重化した二重化制御装置において、同一検出端から２組
   の制御装置の入出力部の該当するI/O 部に入力された信
   号は、制御装置が入出力部の正常・異常の判断をし、正
   常な入出力部の入力信号を正常データとして制御部に取
   り込む、ことを特徴とするプロセス入出力装置を二重化
   した二重化制御装置。