JPS60151706A - 冗長制御装置 - Google Patents
冗長制御装置Info
- Publication number
- JPS60151706A JPS60151706A JP706384A JP706384A JPS60151706A JP S60151706 A JPS60151706 A JP S60151706A JP 706384 A JP706384 A JP 706384A JP 706384 A JP706384 A JP 706384A JP S60151706 A JPS60151706 A JP S60151706A
- Authority
- JP
- Japan
- Prior art keywords
- control device
- output
- failure
- control
- circuit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
- G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Safety Devices In Control Systems (AREA)
Abstract
(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。
め要約のデータは記録されません。
Description
【発明の詳細な説明】
〔発明の技術分野〕
本発明は例えば原子力発電所の安全保護系、ＪｉＬ子炉
廻りの制御装りあるいは主機（タービン、発電機等）の
ｉｆｉ制御装置等、極めて高い信頼性および安全性が要
求されるシステムに好適な冗長制御装置Ｉ′ｔ、に関す
る。
廻りの制御装りあるいは主機（タービン、発電機等）の
ｉｆｉ制御装置等、極めて高い信頼性および安全性が要
求されるシステムに好適な冗長制御装置Ｉ′ｔ、に関す
る。
原子力発電所の重要制御装置特に保設系関係については
、安定設計指針その他によシ制御装置を冗長に構成する
ことが義務づけられている。また、これ以外の制御装置
についても、重要度が比較的高いものについては冗長設
計が採用され一〇おシ、これらによ〕原子力発電所にお
いては制御装置の部分的な故障によシ、直ちに発電所の
運転件止などの状態に陥ることのないような配慮が払わ
れでいる。
、安定設計指針その他によシ制御装置を冗長に構成する
ことが義務づけられている。また、これ以外の制御装置
についても、重要度が比較的高いものについては冗長設
計が採用され一〇おシ、これらによ〕原子力発電所にお
いては制御装置の部分的な故障によシ、直ちに発電所の
運転件止などの状態に陥ることのないような配慮が払わ
れでいる。
原子力発電所に適用される′１ｂＩＪ仙１装置６゛の冗
長構成にはＺ Ｊｊ化および３重化かるり、４止化の通
用も行なわれている。重要度の高い１ｉｊｉｌ （ｄ’
Ｊ装置ｉ：′Ｌにじ°１しては、現在では３重化以上と
することが通例でりる。
長構成にはＺ Ｊｊ化および３重化かるり、４止化の通
用も行なわれている。重要度の高い１ｉｊｉｌ （ｄ’
Ｊ装置ｉ：′Ｌにじ°１しては、現在では３重化以上と
することが通例でりる。
第１図にこのような冗長ｊｉｉ制御装置の例として、３
重化の場合の概念図を示す。図において、質素制御装置
１は実際の制ａｌを司どるし分であり〜全部で３台ある
。一般にはこの女素ｉｉ：Ｉ仰装置ｌデｌの出力は複数
であるが、ここでは１点で代表し９索出力２で表９．わ
しておシ、３台の硬素１ｉｉｌ制御装置ｌがらのそれぞ
れは等価な内容のものである。３点の要素出力２は、出
力選択Ｐ−ト回路である２／３ゲ一ト回路３すなわち３
点の入力中２点以上が一定許容偏差内で一致したとき、
その一致した入力と等価々信号出力を行なう回路に入力
され、１点の制御出力４に集約される。
重化の場合の概念図を示す。図において、質素制御装置
１は実際の制ａｌを司どるし分であり〜全部で３台ある
。一般にはこの女素ｉｉ：Ｉ仰装置ｌデｌの出力は複数
であるが、ここでは１点で代表し９索出力２で表９．わ
しておシ、３台の硬素１ｉｉｌ制御装置ｌがらのそれぞ
れは等価な内容のものである。３点の要素出力２は、出
力選択Ｐ−ト回路である２／３ゲ一ト回路３すなわち３
点の入力中２点以上が一定許容偏差内で一致したとき、
その一致した入力と等価々信号出力を行なう回路に入力
され、１点の制御出力４に集約される。
第１図の３重化冗長Ｗｒｌｊ御装置の特徴は、１台の要
素制御装置１に故障が生じても、残）２台が正常であれ
ば制御装置出力としてはその機能が維持される点にある
。原理的には要素出力２の如何なる異常もそれが１点で
ある限り許容され、制御装置全体としては誤不動作める
いは誤動作を行なうことは回避されるつ ところで、この３重化制御装置では、１台の要素制御装
置１に故障が生じた以後も１ｂ１］御装置全体として十
分な信す・ｎ性、安定性が保たれるかと言うとそうでも
ない。１台の要素ｉｎ！Ｉ ４＋Ｉｔｌ装置１に故障が
生じた場合、一般には２／３ダ一ト回路３の原理上、残
シ２台の要素制御装置１は常に健全であることが運転継
続のためには必要である。このことは、ある意味で単−
系よシ信頼度が低下していることを意味している。つま
シ、それは故障の仕方すなわちモード（安全モード、非
安全モード）によっては２台目の要素制御装置１の故障
が制御出力４を制御対象にとって著しく危険なものとす
るおそれがあることを意味する。
素制御装置１に故障が生じても、残）２台が正常であれ
ば制御装置出力としてはその機能が維持される点にある
。原理的には要素出力２の如何なる異常もそれが１点で
ある限り許容され、制御装置全体としては誤不動作める
いは誤動作を行なうことは回避されるつ ところで、この３重化制御装置では、１台の要素制御装
置１に故障が生じた以後も１ｂ１］御装置全体として十
分な信す・ｎ性、安定性が保たれるかと言うとそうでも
ない。１台の要素ｉｎ！Ｉ ４＋Ｉｔｌ装置１に故障が
生じた場合、一般には２／３ダ一ト回路３の原理上、残
シ２台の要素制御装置１は常に健全であることが運転継
続のためには必要である。このことは、ある意味で単−
系よシ信頼度が低下していることを意味している。つま
シ、それは故障の仕方すなわちモード（安全モード、非
安全モード）によっては２台目の要素制御装置１の故障
が制御出力４を制御対象にとって著しく危険なものとす
るおそれがあることを意味する。
一般に故障のモードには、その制御対象にとって安全側
であるものと非安全側であるものとの二つがある。上記
の３Ｍ化制御装置では、１台の要素制御装置１がその制
御対象にとって非安全側モードの故障をすると、残り２
台の要素制御装置ｌは２台あるにもかかわらずもはや１
台も非安全側モードに故障することは許されない。もし
、そのような故障が生ずれば直ちに危険な状態が発生し
、たとえ残り１台の要素制御装置ｉｔ １が正常であっ
ても何の意味もなさない。
であるものと非安全側であるものとの二つがある。上記
の３Ｍ化制御装置では、１台の要素制御装置１がその制
御対象にとって非安全側モードの故障をすると、残り２
台の要素制御装置ｌは２台あるにもかかわらずもはや１
台も非安全側モードに故障することは許されない。もし
、そのような故障が生ずれば直ちに危険な状態が発生し
、たとえ残り１台の要素制御装置ｉｔ １が正常であっ
ても何の意味もなさない。
このことから、第１図の３血化制御装五では１台の＊素
制御装置ｌに故障が生じた場合、直ちに修復を行なうこ
とが一般的には不可欠となる。すなわち、１台の要素制
御装置ｌに故障が生じた場合、そのまま運転継続するこ
とは非常な危険がつきまとうと言える。
制御装置ｌに故障が生じた場合、直ちに修復を行なうこ
とが一般的には不可欠となる。すなわち、１台の要素制
御装置ｌに故障が生じた場合、そのまま運転継続するこ
とは非常な危険がつきまとうと言える。
以上、３爪化制御装置を中心に論じたが、よシ高次な冗
長系においても大小の違いはあれ、同じ危険性を回避す
ることはできない。
長系においても大小の違いはあれ、同じ危険性を回避す
ることはできない。
本発明の目的は、１台の要素制御装置に故障が生じた以
後も十分な信頼性あるいは安全性を保ちなから運転を継
続し得る冗長制御装置を提供することにある。
後も十分な信頼性あるいは安全性を保ちなから運転を継
続し得る冗長制御装置を提供することにある。
本発明の冗長制御装置は、冗長系を構成する各ＪＡｌＡ
ｌ動制御装置障およびそのモードを検出する故障モード
検出回路と、故障モード検出回路からの出力によりその
出力選択ケ゛−ト論理を変更する機能を有した出力選択
ダート回路とを具備したことを特徴とするもので、１台
の要素制御装置に故障が発生した以後は、出力選択ｆ−
）論理をそれ以後の故障モードが女定側となるよう変更
することで、制御対象にとって安全性が損われることの
ないようにしようとするものである。
ｌ動制御装置障およびそのモードを検出する故障モード
検出回路と、故障モード検出回路からの出力によりその
出力選択ケ゛−ト論理を変更する機能を有した出力選択
ダート回路とを具備したことを特徴とするもので、１台
の要素制御装置に故障が発生した以後は、出力選択ｆ−
）論理をそれ以後の故障モードが女定側となるよう変更
することで、制御対象にとって安全性が損われることの
ないようにしようとするものである。
以下、本発明の冗長制御装置を３止化構成にした場合を
例にとシ、その実施例を第２図を参照して説明する。な
お、本実施例では、制御装置出力の喪失する方向は２値
ディジタル信号の場合“Ｌ＃。
例にとシ、その実施例を第２図を参照して説明する。な
お、本実施例では、制御装置出力の喪失する方向は２値
ディジタル信号の場合“Ｌ＃。
”Ｈ”の２状態の”Ｌ”側、アナログ信号の場合レンジ
の最小値が制御対象にとシ安全側であるものとする・ 本実施例の冗長制御装置は、実際の制御Ｉを司どる３台
の機能的に等価な要素制御装置ｌと、安制御装置ｌから
の３点の要素出力２を受り、それら相互間の比較および
予め内部内部にセットされているモード情報との比較と
によシ、要素制御装置１の故障およびその故障モードを
検出し、その内容に応じてコントロール出力５を変化さ
せる故障モード検出回路６と、３点の要素出力２および
コントロール出力５を受けて、それを３７４論理（アナ
ログ信号の場合には４点の信号の中で大きい方から３番
目の値のものを出力する）にて１点の制排出力４とする
３／４り゛−ト回路７とから成る。
の最小値が制御対象にとシ安全側であるものとする・ 本実施例の冗長制御装置は、実際の制御Ｉを司どる３台
の機能的に等価な要素制御装置ｌと、安制御装置ｌから
の３点の要素出力２を受り、それら相互間の比較および
予め内部内部にセットされているモード情報との比較と
によシ、要素制御装置１の故障およびその故障モードを
検出し、その内容に応じてコントロール出力５を変化さ
せる故障モード検出回路６と、３点の要素出力２および
コントロール出力５を受けて、それを３７４論理（アナ
ログ信号の場合には４点の信号の中で大きい方から３番
目の値のものを出力する）にて１点の制排出力４とする
３／４り゛−ト回路７とから成る。
以上の構成で、全ての要素制御装置１が正常な場合、制
仙１出力４は３台の要素制御装置１の三つの要素出力２
の２／３論理で行なわれる。１台の要素制御装置〆１１
が故障した場合は、残る２台の要素制御装ｊ７． ｌの
イ１１」れか一方が正常に動作すれば制御対象にとって
安全側であるｉｌｉ制御出力４が得られるよう、３／４
ケ゛−ト回路７の笑ｌ！ｉ機能を動的に変化させる。こ
の作用を司どるのが故障モード検出回路６である。
仙１出力４は３台の要素制御装置１の三つの要素出力２
の２／３論理で行なわれる。１台の要素制御装置〆１１
が故障した場合は、残る２台の要素制御装ｊ７． ｌの
イ１１」れか一方が正常に動作すれば制御対象にとって
安全側であるｉｌｉ制御出力４が得られるよう、３／４
ケ゛−ト回路７の笑ｌ！ｉ機能を動的に変化させる。こ
の作用を司どるのが故障モード検出回路６である。
故障モード検出回路６シ１、二つの状態を持つ順序回路
であり、全ての要素ｆｌｉｌｌ ｒｌｌｔ］ ’Ａ Ａ
Ｊが正常なとき、すなわち三つの要素出力２がＪ′１
″容偏差各個一致している」助合には、そのコントロー
ル出力５は”Ｈ＃状態となる（アナログ信号を扱う場合
はレンジの最大（＋ｆＬ）。この状態のとき３／４ケ゛
−ト回路７の一つの入力（コントロール出力５）には゛
′ｆ状態が成立したこととなシ、残りの三つの入力のう
ち二つが’）Ｉ”状態となることで、その出力（制御出
力４）は“Ｈ″状態すなわち実質的に要素出力２に対し
て２／３論理として作用することとなる。
であり、全ての要素ｆｌｉｌｌ ｒｌｌｔ］ ’Ａ Ａ
Ｊが正常なとき、すなわち三つの要素出力２がＪ′１
″容偏差各個一致している」助合には、そのコントロー
ル出力５は”Ｈ＃状態となる（アナログ信号を扱う場合
はレンジの最大（＋ｆＬ）。この状態のとき３／４ケ゛
−ト回路７の一つの入力（コントロール出力５）には゛
′ｆ状態が成立したこととなシ、残りの三つの入力のう
ち二つが’）Ｉ”状態となることで、その出力（制御出
力４）は“Ｈ″状態すなわち実質的に要素出力２に対し
て２／３論理として作用することとなる。
故障モード検出回路６のもう一つの状態は、三つの要素
ｆｔｉ制御装置イｌのうち１台に故障が生じた場合に、
そのモードによってコントロール出力５の状態を決定す
る状態である。故障モード検出回路６は三つの要素出力
２の状態を比軟して、要素制御装置１の故障の有無を検
出する。この検出は、三つの要素出力２の中に不一致、
すなわち１照が他の２点と七〇ｒＦ谷’ｌｕｉ差範囲を
逸脱し−Ｃｉ＋ｊ；っ／こ状態となっていないかを見出
すことによって行なう。
ｆｔｉ制御装置イｌのうち１台に故障が生じた場合に、
そのモードによってコントロール出力５の状態を決定す
る状態である。故障モード検出回路６は三つの要素出力
２の状態を比軟して、要素制御装置１の故障の有無を検
出する。この検出は、三つの要素出力２の中に不一致、
すなわち１照が他の２点と七〇ｒＦ谷’ｌｕｉ差範囲を
逸脱し−Ｃｉ＋ｊ；っ／こ状態となっていないかを見出
すことによって行なう。
ただし、２台の要素１１□ＩＪ６１装置ｌが同日、テに
同じモードに故障した場合、正常なり素出力２を出して
いる要素制御装置１を故障と見放すこととなるが、２台
回時に故障が生じる確率は極めて低く、寸だその場合に
は３台共通の原因（例えば′「ＩＬυＭｌｖ１）が大部
分を占める。従って、ここでは２台同時故障はほとんど
発生しないものとして無視する。
同じモードに故障した場合、正常なり素出力２を出して
いる要素制御装置１を故障と見放すこととなるが、２台
回時に故障が生じる確率は極めて低く、寸だその場合に
は３台共通の原因（例えば′「ＩＬυＭｌｖ１）が大部
分を占める。従って、ここでは２台同時故障はほとんど
発生しないものとして無視する。
故障モード検出回路６によって見い出される故障には、
その該当要素出力２が＋ｔＬｎ側となるものと、’Ｈ”
側となるものとの２社類がある。故障モード検出回路６
は、予め何れのモードの故障が制御対象にとって安全側
であるか、非安全側であるかをモード情報として有して
おり、との笑施例ではＬ”′側が安全側としてセットさ
れている。
その該当要素出力２が＋ｔＬｎ側となるものと、’Ｈ”
側となるものとの２社類がある。故障モード検出回路６
は、予め何れのモードの故障が制御対象にとって安全側
であるか、非安全側であるかをモード情報として有して
おり、との笑施例ではＬ”′側が安全側としてセットさ
れている。
要素制例装（６１の故障が゛ビ側の場合、故障モード検
出回路６はモード情報に基づきそのコントロール出力５
を最初の状態である゛Ｈ″状態のまま保持する。これは
、コントロール出力５を″Ｌ″状態とすると、：（／４
ケ゛−ト回路７の４人力のうち“Ｈ″状態人力が二つと
なり、制御出力４が”Ｌ ”側に誤動作してしまうこと
と、３／４ケ９−１・回路７の一つの入力は要素制御装
置度１の故障のため、゛Ｌ″状態であるので、残９２台
の要素ｆｌｉｌｌ ０−１１装置工が正常ならば３／４
購理によって止當な制御出力４を得るためである。−ま
た、要素制御装置Ｊが°゛Ｌ″側故障のとき、故１櫂モ
ード検出回路６のコントロール出力５を１１”状態に保
つことにより、残９２台の要素１ｂ制御装置７，３４１
のいずれが故障したとき、制御出力４を“Ｌ″状ｊルの
安全側に保つことができる。
出回路６はモード情報に基づきそのコントロール出力５
を最初の状態である゛Ｈ″状態のまま保持する。これは
、コントロール出力５を″Ｌ″状態とすると、：（／４
ケ゛−ト回路７の４人力のうち“Ｈ″状態人力が二つと
なり、制御出力４が”Ｌ ”側に誤動作してしまうこと
と、３／４ケ９−１・回路７の一つの入力は要素制御装
置度１の故障のため、゛Ｌ″状態であるので、残９２台
の要素ｆｌｉｌｌ ０−１１装置工が正常ならば３／４
購理によって止當な制御出力４を得るためである。−ま
た、要素制御装置Ｊが°゛Ｌ″側故障のとき、故１櫂モ
ード検出回路６のコントロール出力５を１１”状態に保
つことにより、残９２台の要素１ｂ制御装置７，３４１
のいずれが故障したとき、制御出力４を“Ｌ″状ｊルの
安全側に保つことができる。
要素制御装置ｌの故障が“１１″側の場合、故障モード
検出回路６はモード情報に基づきそのコントロール出力
５を第２の状態である゛Ｌ＃状態に変化させる。これは
コントロール出力５が”Ｈ”状態のまま保持されると、
残シ２台の要素制御装置１の一方が更にＨ″側に故障し
た場合、制御対象にとって安全側である“Ｌ″状態制御
出力４を得ることが不可能となるためである。コントロ
ール出力５を″′Ｌ″状態とすることで、残り２台の要
素制御装置１が共に正常であれば正常な制御出力４を得
ることができる。まプこ、２台の要素制御装置］のうち
１台が故障した場合は、制御出力４として、制御対象に
とって安全側の”Ｌ’状態出力がｎ１能となる０ 以上の故障モード検出回路６の動作をまとめると下表１
の通ｐとなる。
検出回路６はモード情報に基づきそのコントロール出力
５を第２の状態である゛Ｌ＃状態に変化させる。これは
コントロール出力５が”Ｈ”状態のまま保持されると、
残シ２台の要素制御装置１の一方が更にＨ″側に故障し
た場合、制御対象にとって安全側である“Ｌ″状態制御
出力４を得ることが不可能となるためである。コントロ
ール出力５を″′Ｌ″状態とすることで、残り２台の要
素制御装置１が共に正常であれば正常な制御出力４を得
ることができる。まプこ、２台の要素制御装置］のうち
１台が故障した場合は、制御出力４として、制御対象に
とって安全側の”Ｌ’状態出力がｎ１能となる０ 以上の故障モード検出回路６の動作をまとめると下表１
の通ｐとなる。
表１
尚、故障モード検出回路６のコントロール出力５は最初
の故障検出に伴なって変化した状態（故障モードによっ
ては変化しない）のまま、以後は要素出力２に変化が生
じても変化させないよう構成する。
の故障検出に伴なって変化した状態（故障モードによっ
ては変化しない）のまま、以後は要素出力２に変化が生
じても変化させないよう構成する。
このようにして、１台の要素制御装置１に故障が生じた
以後、さらに２台目の要素制御装置１が何れのモードに
故障しても、制御対象の安全性は残り１台の要素制御装
置１が健全である限シ保たれる。従って、一般の３重化
冗長制御装置のように、２台目の要素制御装置１の故障
によ多制御対象にとって危険な状態が生ずることはない
。また、故障モード検出回路６の果す機能が上述の通シ
単純なため、例えばディジタル２値信号を扱う場合、Ａ
ＮＤＰ−） 、０Ｒｒ−ト、ＥＸＯＲｒ−ト、７リツグ
フロツプ等の素子を用いて簡単にかつ高信頼度のものと
して構成でき、故障モード検出回路６の誤動作等の可能
性を非常に少なくし得る。特に、本発明の冗長制御装置
では、万一故障モード検出回路６が非安全側に故障して
も、出力選択ｆ−）回路部の論理は２／３論理となるの
で、一般の３重化制御装置の機能は保たれる。
以後、さらに２台目の要素制御装置１が何れのモードに
故障しても、制御対象の安全性は残り１台の要素制御装
置１が健全である限シ保たれる。従って、一般の３重化
冗長制御装置のように、２台目の要素制御装置１の故障
によ多制御対象にとって危険な状態が生ずることはない
。また、故障モード検出回路６の果す機能が上述の通シ
単純なため、例えばディジタル２値信号を扱う場合、Ａ
ＮＤＰ−） 、０Ｒｒ−ト、ＥＸＯＲｒ−ト、７リツグ
フロツプ等の素子を用いて簡単にかつ高信頼度のものと
して構成でき、故障モード検出回路６の誤動作等の可能
性を非常に少なくし得る。特に、本発明の冗長制御装置
では、万一故障モード検出回路６が非安全側に故障して
も、出力選択ｆ−）回路部の論理は２／３論理となるの
で、一般の３重化制御装置の機能は保たれる。
尚、上記実施例では、制御装置出力の喪失方向が安全側
である制御対象の場合には、出力選択ｒ−ト回路を２Ａ
ダ一ト回路とし、故障モード検出回路のコントロール出
力を反転させることで同様に構成することができる。ま
た、出力選択ダート回路を３７５ダ一ト回路とし、故障
モード検出回路のコントロール出力を２点とすることで
、制御装置出力の喪失方向、非喪失方向の倒れにも対処
しうる構成とすることもできる。まだ、本発明の冗長制
御装置は４重化以上の冗長系にも、適用可能なことも言
う迄もない。
である制御対象の場合には、出力選択ｒ−ト回路を２Ａ
ダ一ト回路とし、故障モード検出回路のコントロール出
力を反転させることで同様に構成することができる。ま
た、出力選択ダート回路を３７５ダ一ト回路とし、故障
モード検出回路のコントロール出力を２点とすることで
、制御装置出力の喪失方向、非喪失方向の倒れにも対処
しうる構成とすることもできる。まだ、本発明の冗長制
御装置は４重化以上の冗長系にも、適用可能なことも言
う迄もない。
以上のように本発明によれば、１台の要素制御装置に故
障が生じても如何なる継続的ないし一過的な異常制御状
態となることはなく、更にその故障状態のまま高い安全
側信頼度を維持しつつ運転を継続することができる。こ
のことは、本来なら１台の要素制御装置に故障が発生し
た場合、直ちに必要な修復作粟を不要とするものであシ
、計画的な保守対応を行ないうるようにする効果がある
。
障が生じても如何なる継続的ないし一過的な異常制御状
態となることはなく、更にその故障状態のまま高い安全
側信頼度を維持しつつ運転を継続することができる。こ
のことは、本来なら１台の要素制御装置に故障が発生し
た場合、直ちに必要な修復作粟を不要とするものであシ
、計画的な保守対応を行ないうるようにする効果がある
。
従って、制御装置修復のために発電所を停止させる等の
運転上の重大なインパクトを回避することができる。ま
た、一般にこの種の冗長制御装置では、１台の要素制御
装置に故障が生じたまま運転継続することは、それが重
要な制御装置であればある程大きな危険性を伴なう。こ
のため、故障の有無を運転員が知シ得るようにすること
が必要である。本発明によれば、このような状態におい
ても十分な安全性、信頼性を維持することが可能であり
、必ずしもこのような故障表示の必要はない。
運転上の重大なインパクトを回避することができる。ま
た、一般にこの種の冗長制御装置では、１台の要素制御
装置に故障が生じたまま運転継続することは、それが重
要な制御装置であればある程大きな危険性を伴なう。こ
のため、故障の有無を運転員が知シ得るようにすること
が必要である。本発明によれば、このような状態におい
ても十分な安全性、信頼性を維持することが可能であり
、必ずしもこのような故障表示の必要はない。
このことは運転員に対する負担を減らす意味で、大きな
効果をもたらすものである。更に、本発明によれば基本
的に冗長度を高めることなく、構成が単純な故障モード
検出回路を付〃口するだけで、以上の効果を得ることが
でき、小型で高信頼度の制御装置を得ることができる。
効果をもたらすものである。更に、本発明によれば基本
的に冗長度を高めることなく、構成が単純な故障モード
検出回路を付〃口するだけで、以上の効果を得ることが
でき、小型で高信頼度の制御装置を得ることができる。
第１図は従来の３重化冗長制御装置の概念図、第２図は
本発明の一実施例を示す冗長制御装置の概念図である。 １・・・要素制御装置、２・・・要素出力、３・・・２
／３ゲ一ト回路、４・・・制御出力、５・・・コントロ
ール出力、６・・・故障モード検出回路、７・・・３／
４ ｒ −ト回路。 （７３１７） 代理人 弁理士 則 近 憲 佑（ほか
１名） 第１図 ど１ 第２図
本発明の一実施例を示す冗長制御装置の概念図である。 １・・・要素制御装置、２・・・要素出力、３・・・２
／３ゲ一ト回路、４・・・制御出力、５・・・コントロ
ール出力、６・・・故障モード検出回路、７・・・３／
４ ｒ −ト回路。 （７３１７） 代理人 弁理士 則 近 憲 佑（ほか
１名） 第１図 ど１ 第２図
Claims (1)
- 少なくとも３台の機能的に同一な制御装置と、これら制
御装置からの各出力信号を比較照合して故障のモードを
検出し、そのモードに応じた信号を出力する故障モード
検出回路と、この故障モード検出回り１Ｓおよび前記谷
１ｕ１］御装Ｗχからの各出力信号を比較照合し、ま１
・各個差内で、ある定められた個数以上の信号が一致し
たとき、その一致した信号と等価な信号を出力する出力
選択ｒ−）回路とを備えてなることを特徴とする冗長制
御装置＠
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP706384A JPS60151706A (ja) | 1984-01-20 | 1984-01-20 | 冗長制御装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP706384A JPS60151706A (ja) | 1984-01-20 | 1984-01-20 | 冗長制御装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPS60151706A true JPS60151706A (ja) | 1985-08-09 |
Family
ID=11655606
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP706384A Pending JPS60151706A (ja) | 1984-01-20 | 1984-01-20 | 冗長制御装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JPS60151706A (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS62182802A (ja) * | 1986-02-05 | 1987-08-11 | Nec Corp | 障害対応プロセス制御装置 |
| TWI719319B (zh) * | 2017-06-15 | 2021-02-21 | 美商慧盛材料美國責任有限公司 | 氣體供應系統 |
-
1984
- 1984-01-20 JP JP706384A patent/JPS60151706A/ja active Pending
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS62182802A (ja) * | 1986-02-05 | 1987-08-11 | Nec Corp | 障害対応プロセス制御装置 |
| TWI719319B (zh) * | 2017-06-15 | 2021-02-21 | 美商慧盛材料美國責任有限公司 | 氣體供應系統 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CA1228655A (en) | Digital fail operational automatic flight control system utilizing redundant dissimilar data processing | |
| US4598355A (en) | Fault tolerant controller | |
| US3593307A (en) | Redundant, self-checking, self-organizing control system | |
| US5909541A (en) | Error detection and correction for data stored across multiple byte-wide memory devices | |
| US5086429A (en) | Fault-tolerant digital computing system with reduced memory redundancy | |
| CA1198802A (en) | Computer based interlocking system | |
| US7606672B2 (en) | Plant protective instrumentation equipment | |
| US6367031B1 (en) | Critical control adaption of integrated modular architecture | |
| CN104714450B (zh) | 一种机械双余度电气三余度大气数据传感器余度管理算法 | |
| US9952579B2 (en) | Control device | |
| EP0056817A4 (en) | REDONDANT SERVO ACTUATOR. | |
| US20100174967A1 (en) | Control apparatus and control method | |
| JPS60151706A (ja) | 冗長制御装置 | |
| US4562035A (en) | Logic safety system | |
| US4986952A (en) | Protection system for protecting a nuclear reactor in the event of a reaction-inhibiting element falling | |
| JP2790511B2 (ja) | 装置内監視切替方式 | |
| SU922751A1 (ru) | Резервированное устройство | |
| JPH0715514B2 (ja) | 原子炉緊急停止装置 | |
| JPS5812062A (ja) | 並列電子計算機システムの出力装置 | |
| JPH01316837A (ja) | 三重化プログラマブルコントローラ | |
| Halbert | A self-checking computer module based on the VIPER microprocessor—A building block for reliable systems | |
| JPS60195605A (ja) | プロセス制御装置 | |
| JPH04236116A (ja) | 三相保護継電器 | |
| Lee et al. | Virtual Modular Redundancy of Processor Module in the PLC | |
| Mack | System configurations (safety systems) |