WO2022215363A1 - 制御システム及び制御方法 - Google Patents

制御システム及び制御方法 Download PDF

Info

Publication number
WO2022215363A1
WO2022215363A1 PCT/JP2022/006268 JP2022006268W WO2022215363A1 WO 2022215363 A1 WO2022215363 A1 WO 2022215363A1 JP 2022006268 W JP2022006268 W JP 2022006268W WO 2022215363 A1 WO2022215363 A1 WO 2022215363A1
Authority
WO
WIPO (PCT)
Prior art keywords
general
input
operating system
control
output
Prior art date
Application number
PCT/JP2022/006268
Other languages
English (en)
French (fr)
Inventor
輝昭 酒田
祐策 大塚
俊樹 清水
典剛 松本
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Publication of WO2022215363A1 publication Critical patent/WO2022215363A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems

Definitions

  • the present invention relates to control systems and control methods.
  • control systems that perform control with control devices have been put into practical use.
  • a control system having a plurality of control devices connected to a main machine is in charge of processing.
  • This control device executes control arithmetic processing, and performs control by outputting a control command to the main engine as control data (signal).
  • commands for performing such control must be input/output to/from I/O (Input/Output) after the arithmetic processing is completed within the time of the control cycle determined by the control system. be. If it is not output in time, the system may not be able to operate, resulting in losses, and the system may become unstable. Therefore, in such a control system, the control device is required to have real-time capability to complete the processing and output within the time.
  • I/O Input/Output
  • control systems are being considered to improve efficiency by promoting automation and autonomy in order to deal with problems such as future labor shortages.
  • AI Artificial Intelligence
  • studies have begun to calculate more efficient control command values by analyzing the data acquired by arranging multiple sensors in a vast field using AI (Artificial Intelligence).
  • AI Artificial Intelligence
  • it is desired to be able to process arithmetic processing such as AI on a general-purpose OS (Operating System) that runs on a general-purpose CPU (Central Processing Unit).
  • Patent Document 1 describes a storage unit that stores a first OS that is a real-time OS and a second OS that provides a user interface function via a display unit, and an electronic device that operates the first OS.
  • a configuration including a control unit for controlling is disclosed. The control unit described in Patent Document 1 activates the second OS and controls the display unit when the electronic device is operated with the user interface function via the display unit enabled.
  • Patent Document 2 Another conventional technology is the technology described in Patent Document 2.
  • a general-purpose I/F (Interface) Ethernet registered trademark
  • the program executed by the MCU is a real-time OS having a multitasking environment, and the application program is divided into tasks based on differences in time constraints and the like.
  • Patent Document 1 requires the use of dedicated inter-OS communication for data transfer between the first OS and the second OS. There is a problem that it is difficult to apply when it is desired to combine and implement a control device with high real-time performance.
  • Patent Document 2 is a configuration in which an MCU that operates a real-time OS with high real-time characteristics is connected via a general-purpose interface, but a configuration that can execute arithmetic processing such as AI is not assumed. However, there is a problem that it is difficult to achieve both versatility and real-time performance.
  • the real-time property means that processing is completed within a predetermined response time
  • the high real-time property means that the response time is short.
  • the control system of the present invention comprises a first control unit operating in a first operating system and a second operating system. an input/output port connected to the second control unit; and a general purpose interface connecting the first control unit and the second control unit.
  • the second operating system includes a monitoring unit that acquires information of the first operating system via a general-purpose interface, an input/output processing unit that processes input/output at the input/output port, and an input/output processing unit.
  • a general-purpose interface processing unit that transmits and receives data to be output to and from the first control unit via the general-purpose interface.
  • FIG. 1 is a block diagram illustrating a configuration example of a control system according to a first embodiment of the present invention
  • FIG. It is a figure explaining the structural example of the real-time guarantee general-purpose interface part in the control system which concerns on the example of the 1st Embodiment of this invention.
  • 4 is a diagram illustrating an example of a packet configuration of control data flowing between general-purpose I/Fs of the control system according to the first embodiment of the present invention
  • FIG. It is a figure explaining an example of the timing chart explaining operation
  • FIG. 4 is a diagram illustrating an example of a timing chart for describing safety control operations of the control system according to the first embodiment of the present invention
  • FIG. 7 is a block diagram illustrating a configuration example of a control system according to a second embodiment of the present invention
  • FIG. It is a figure explaining an example of the operation
  • FIG. 4 is a diagram illustrating an example of a timing chart for describing safety control operations of the control system according to the first embodiment of the present invention
  • FIG. 7 is a block diagram illustrating a configuration example of a control system according to a second embodiment of the present invention
  • FIG. It is a figure explaining an example of the operation
  • FIG. 4 is a diagram illustrating an example of a timing chart for describing safety control operations of the control system according to the first embodiment of the present invention
  • FIG. 9 is a block diagram illustrating another configuration example of the control system according to the second embodiment of the present invention. It is a figure explaining another example of the operation
  • FIG. 12 is a block diagram illustrating a configuration example of a control system according to a third embodiment of the present invention; FIG. BRIEF DESCRIPTION OF THE DRAWINGS It is a figure explaining an example of the mounting form of the control system based on each embodiment of this invention. It is a figure explaining another example of the implementation form of the control system which concerns on each example of embodiment of this invention. It is a figure explaining another example of the implementation form of the control system which concerns on each example of embodiment of this invention. It is a figure explaining another example of the implementation form of the control system which concerns on each example of embodiment of this invention.
  • FIG. 1 A control system according to a first embodiment of the present invention will be described below with reference to FIGS. 1 to 7.
  • FIG. 1 A control system according to a first embodiment of the present invention will be described below with reference to FIGS. 1 to 7.
  • FIG. 1 A control system according to a first embodiment of the present invention will be described below with reference to FIGS. 1 to 7.
  • FIG. 1 A control system according to a first embodiment of the present invention will be described below with reference to FIGS. 1 to 7.
  • FIG. 1 is a block diagram illustrating a configuration example of a control system 1 according to a first embodiment of the invention.
  • the control system 1 shown in FIG. 1 has a configuration in which a first control device 100 and a second control device 200 are connected via a general-purpose communication interface 11 .
  • the first control device 100 includes a general-purpose CPU 110 that is a general-purpose control unit (first control unit).
  • the general-purpose CPU 110 is connected to a general-purpose I/F port 120 as a general-purpose interface processing unit and a memory control unit 150 .
  • a memory 160 is connected to the memory control unit 150 .
  • the general-purpose CPU 110 has an architecture in which a general-purpose OS 130 operates and a general-purpose application 140 is executed by the general-purpose OS 130 .
  • the second control device 200 includes an MCU 210, which is a computer-systemized control unit (second control unit) incorporating a memory and peripheral functions.
  • a general-purpose I/F port 220 and an I/O port 270 are connected to the MCU 210 .
  • General-purpose I/F port 220 is connected to general-purpose I/F port 120 of first control device 100 via communication interface 11 .
  • Ethernet registered trademark
  • the I/O network 12 is connected to the I/O port 270 which is an input/output port.
  • the RTOS 230 is an architecture in which the I/O processing unit 240, the real-time assurance general-purpose interface unit 250, and the general-purpose OS monitoring unit 260 are executed.
  • the I/O processing unit 240 is an input/output processing unit that executes input processing and output processing at the I/O port 270 .
  • a general-purpose application 140 that performs general-purpose processing in the first control device 100 is executed on the general-purpose OS 130 .
  • the processing result of the general-purpose application 140 is transmitted from the general-purpose CPU 110 via the general-purpose I/F port 120 to the general-purpose I/F port 220 of the second control device 200 and transmitted to the MCU 210 .
  • the real-time assurance general-purpose interface unit 250 monitors the timing of outputting the processing result of the general-purpose application 140 to the I/O network 12 .
  • the I/O processing unit 240 executes input/output processing at the I/O port 270 and outputs the processing result of the general-purpose application 140 to the I/O network 12 via the I/O port 270 .
  • the general-purpose OS monitoring unit 260 also determines whether or not an abnormality or failure has occurred in the general-purpose OS 130 of the first control device 100 by reading the processing result of the general-purpose application 140 .
  • the configuration of the control system 1 shown in FIG. 1 assigns general-purpose arithmetic processing to one control device 100 equipped with a general-purpose CPU 110, but a plurality of control devices equipped with a general-purpose CPU are connected. may be configured.
  • FIG. 2 shows a configuration example of the real-time assurance general-purpose interface section 250 of the control system 1 shown in FIG.
  • the real-time assurance general-purpose interface unit 250 is composed of a multiple input data arrival confirmation processing unit 251, a general-purpose CPU trigger processing unit 252, a data reception processing unit 253 from the general-purpose CPU, and an output data timing correction processing unit 254. .
  • the multiple input data arrival confirmation processing unit 251 performs processing for determining whether or not input data from multiple sensors input from the I/O port 270 has arrived. For the determination of the arrival confirmation processing unit 251 of multiple input data, for example, the time determined by the control cycle is used.
  • the general-purpose CPU trigger processing unit 252 performs processing for generating a trigger from the MCU 210 to notify the general-purpose CPU 110 of the start or end of processing.
  • the data reception processing unit 253 from the general-purpose CPU receives the processing result at the RTOS 230 at the timing when the processing result of the general-purpose application 140 is transmitted from the general-purpose CPU 110 to the MCU 210 via the communication interface 11 .
  • the output data timing correction processing unit 254 corrects the timing of outputting the processing result from the MCU 210 to the I/O network 12 via the I/O port 270 . For example, the time determined by the control cycle is used for the judgment of the output data timing correction processing unit 254 .
  • FIG. 3 shows a configuration example of the general-purpose OS monitoring unit 260 of the control system 1 shown in FIG.
  • the general-purpose OS monitoring unit 260 is composed of a response performance monitoring processing unit 261 , a memory abnormality monitoring processing unit 262 and a safety control data generation processing unit 263 .
  • the response performance monitoring processing unit 261 performs processing for measuring the time and throughput required for a response to receive data transmitted from the MCU 210 to the general-purpose CPU 110, monitors the response performance of the general-purpose OS, and monitors the response performance within the allowable range. Determine whether or not there is For the determination by the response performance monitoring processing unit 261, for example, the time determined by the control cycle is used.
  • the memory abnormality monitoring processing unit 262 performs processing for determining whether or not an abnormality has occurred in the memory 160 of the control device 100 .
  • the determination by the memory abnormality monitoring processing unit 262 is performed by, for example, predetermined diagnostic data write and read operations. If it is determined that a defective block has occurred in part of the memory 160, the memory abnormality monitoring processing unit 262 instructs the general-purpose CPU 110 not to use that block.
  • the safety control data generation processing unit 263 determines whether the control data output from the I/O port 270 to the I/O network 12 is safe based on the judgment by the response performance monitoring processing unit 261 and the judgment by the memory abnormality monitoring processing unit 262. Perform processing to set and output a value that will be processed. When it is determined that the processing result sent from the communication interface 11 to the MCU 210 via the general-purpose I/F port 220 is incorrect due to an abnormality in the general-purpose CPU 110 or the memory 160, the MCU 210 generates safety control data. Output to I/O port 270 . When the MCU 210 generates safety control data, the MCU 210 does not use the processing result as the control output.
  • the MCU 210 when the response time of the general-purpose OS is outside the allowable range due to an abnormality in the general-purpose CPU 110 or the memory 160, the MCU 210 generates safety control data, which is predetermined data, and controls the I/O port 270. Output to
  • FIG. 4 shows an example of the packet configuration of control data flowing through the communication interface 11 of the control system 1 shown in FIG.
  • Control data flowing through the communication interface 11 has a header 31 at the beginning, followed by a data section 30, and an FCS (Frame Check Sequence) 39 at the end.
  • FCS 39 is check data obtained as a result of encoding communication frame data.
  • a status 32 indicates whether the state of the general-purpose CPU 110 is normal or abnormal, and a time 33 indicates the time when the general-purpose OS 130 processed.
  • the CPU number 34 represents the number by a number when there are a plurality of general-purpose CPUs 110 .
  • the OS type 35 indicates the type of the general-purpose OS 130
  • the container information 36 indicates the status of the container in operation when the container is running on the general-purpose OS 130.
  • the application calculation data 37 indicates the result of application processing by the general-purpose OS 130 .
  • the safety control data 38 is data that instructs safe control output to the I/O.
  • the data section 30 from the status 32 to the safety control data 38 is not limited to the format shown in FIG. 4, and various formats can be adopted.
  • FIG. 5 is a timing chart showing an example of the operation of the control system 1 according to the first embodiment.
  • the control system 1 performs input processing, arithmetic processing, and output processing within a certain control period.
  • the upper part of the timing chart shown in FIG. 5 shows processing performed by the general-purpose CPU 110 and the general-purpose OS 130 .
  • the lower stage of the timing chart shown in FIG. 5 shows the processing performed by the MCU 210 and RTOS 230 .
  • the input task T1 of the RTOS 230 receives the input group I1.
  • the MCU 210 transmits the data to the operation process P1 of the general-purpose OS 130 via the communication interface 11 .
  • the output reception task T2 of the RTOS 230 receives the output result of the arithmetic process P1 via the communication interface 11, and when all the output results are received, the output task T3 outputs the output group O1.
  • the control cycle C1 ends, the same processing is executed from the input task T4 in the next control cycle C2.
  • the general-purpose OS 130 While the general-purpose OS 130 is running, processing and management processes dedicated to the general-purpose OS are executed separately from the application programs developed by the user. Therefore, unexpected large jitters J1, J2 and J3 may occur. In the example of FIG. 5, the jitters J1 and J3 generated in the general-purpose OS 130 do not overlap with the processing time of the calculation process P1 of the application program. However, when the controller 100 is configured by the general-purpose CPU 110 and the general-purpose OS 130 without using the MCU 210 and the RTOS 230 to operate the system, the general-purpose OS 130 may cause jitter in the input and output timings.
  • FIG. 6 is a timing chart showing another example of the operation of the control system 1 according to the first embodiment.
  • the timing chart of FIG. 6 differs from the timing chart of FIG. 5 in that the output task is executed at the beginning of the control cycle.
  • the upper part of the timing chart in FIG. 6 shows processing performed by the general-purpose CPU 110 and the general-purpose OS 130 .
  • the bottom part of the timing chart in FIG. 6 shows the processing performed by the MCU 210 and RTOS 230 .
  • the output task T3 of the RTOS 230 outputs the output group O1 at the start timing of the control cycle C1.
  • the input task T1 of the RTOS 230 receives the input group I1.
  • the input task T1 of the RTOS 230 is transmitted to the operation process P1 of the general-purpose OS 130 via the communication interface 11 .
  • the output reception task T2 of the RTOS 230 receives the output results from the arithmetic process P1 via the communication interface, and receives all the output results.
  • the control cycle C1 ends, the same processing is executed from the output task T6 in the next control cycle C2.
  • the jitters J1 and J3 generated by the general-purpose OS 130 do not overlap with the processing time of the calculation process P1 of the application program.
  • the jitter J2 occurs during execution of the arithmetic process P1, and there is a delay in the transmission of the last output result to the RTOS 230.
  • FIG. 7 is a timing chart explaining an example of the safety control operation of the control system 1 according to the first embodiment.
  • the timing chart shown in FIG. 7 differs from the timing chart explained in FIG. 5 in that the operation process processing of the general-purpose OS 130 is prolonged and the execution of the output task is delayed.
  • the upper part of the timing chart in FIG. 7 shows processing performed by the general-purpose CPU 110 and the general-purpose OS 130 .
  • the lower part of the timing chart in FIG. 7 shows the processing performed by the MCU 210 and RTOS 230 .
  • the processing of the arithmetic process P1 is delayed due to the occurrence of large jitter J2.
  • the RTOS 230 transmits a response performance monitoring signal from the general-purpose OS monitoring unit 260 and monitors the state of the general-purpose CPU 110 and the state of the general-purpose OS 130 .
  • the output task T3 of the RTOS 230 determines that the output results have not been obtained for the output group O1. , output the output result O1. That is, depending on the function and configuration of the I/O connected to the output destination, it is predetermined whether to output a stop signal, output while holding the previous value, or output a signal instructing degeneracy operation.
  • the MCU 210 and the RTOS 230 determine whether or not to output the safety control data that has been set, and output.
  • the effect of jitter that occurs when the general-purpose CPU 110 and the general-purpose OS 130 are employed is reduced. This makes it possible to improve the real-timeness of the input reception time and the output transmission time. Furthermore, in the control system 1 having the general-purpose OS 130, even if the output result cannot be transmitted at the specified time, the control data that ensures the safety of the control system 1 is output within the time, thereby ensuring safety. becomes possible to build.
  • FIG. 8 to 11 the same parts as those in FIGS. 1 to 7 described in the first embodiment are denoted by the same reference numerals, and redundant description will be omitted.
  • FIG. 8 is a block diagram illustrating a configuration example of the control system 2 according to the second embodiment of the invention.
  • the control system 2 shown in FIG. 8 includes a first control device 100 a having a general purpose CPU 111 , a second control device 200 a having an MCU 210 , and a third control device 100 b having a general purpose CPU 112 .
  • the second control device 200a includes a general-purpose I/F port 221 for communicating with the first control device 100a, and communicates with the general-purpose I/F port 121 of the first control device 100a via the communication interface 11a. conduct.
  • the second control device 200a includes a general-purpose I/F port 222 for communicating with the third control device 100b, and via the general-purpose I/F port 122 of the third control device 100b and the communication interface 11b. communicate.
  • the second control device 200a is different from the second control device 200a described in the first embodiment in that it includes a comparison/collation section 280.
  • the first control device 100a and the third control device 100b have the same configuration, and general-purpose CPUs 111 and 112 execute general-purpose OSs 131 and 132, respectively. Also, high-reliability applications 171 and 172 are executed in the general-purpose OSs 131 and 132, respectively. The two high-reliability applications 171, 172 perform the same processing.
  • Memory control units 151 and 152 are connected to the general-purpose CPUs 111 and 112, respectively, and memories 161 and 162 are connected to the memory control units 151 and 152, respectively.
  • a processing result of the high-reliability application 171 in the first control device 100 a is received by the RTOS 230 of the MCU 210 via the general-purpose I/F port 221 .
  • a processing result of the high-reliability application 172 in the third control device 100 b is received by the RTOS 230 of the MCU 210 via the general-purpose I/F port 222 .
  • the processing results of these two high-reliability applications 171 and 172 are compared in the comparison/collation section 280 . If the two general-purpose CPUs 111 and 112 do not have a failure or the like, the results of comparison by the comparison/collation unit 280 will match. As a result, the second control device 200a detects failures that have occurred in the general-purpose CPUs 111 and 112.
  • FIG. 9 is a timing chart showing an example of the operation of the control system 2 according to the second embodiment of the invention.
  • the control system 2 performs input processing, high-reliability processing, and output processing within a certain control period.
  • the upper part of the timing chart in FIG. 9 shows processing performed by the general-purpose CPU 111 and the general-purpose OS 131 of the first control device 100a.
  • the middle part of the timing chart in FIG. 9 shows the processing performed by the general-purpose CPU 112 and the general-purpose OS 132 of the third control device 100b.
  • the bottom part of the timing chart in FIG. 9 shows the processing performed by the MCU 210 and the RTOS 230 of the second control device 200a.
  • the RTOS 230 accepts the input group I11 in the input task T11.
  • the general-purpose CPU 111 of the first control device 100a transmits the high-reliability process P11 of the general-purpose OS 131 to the MCU 210 via the communication interface 11a.
  • the general-purpose CPU 112 of the third control device 100b transmits the high-reliability process P12 of the general-purpose OS 132 to the MCU 210 via the communication interface 11b.
  • the comparison/collation task T12 of the MCU 210 receives the output results from the high-reliability processes P11 and P12 via the communication interfaces 11a and 11b. Output.
  • the second control device 200a performs the same processing from the input task T14 in the next control cycle C12.
  • the general-purpose OSs 131 and 132 are operating, processing and management processes dedicated to the general-purpose OS are executed separately from application programs developed by the user. Therefore, unexpected large jitter may occur.
  • the jitter J12 delays the result output of the high-reliability process P11
  • the jitter J15 delays the result output of the high-reliability process P12.
  • the comparison and collation task T12 of the RTOS 230 matches the reception timings of the respective output results and then compares them, the comparison results are not erroneously detected due to the mismatch of the output timings of the respective high-reliability processes.
  • FIG. 10 is a block diagram illustrating another configuration example of the control system 2 according to the second embodiment of the present invention.
  • the control system 3 shown in FIG. 10 includes a fourth control device 100c having a general-purpose CPU 113 in addition to the configuration of the control system 2 shown in FIG.
  • the second control device 200b further includes a general-purpose I/F port 223 in addition to the general-purpose I/F ports 221 and 222 already described with reference to FIG.
  • the second control device 200b communicates with the general-purpose I/F port 123 of the fourth control device 100c via the general-purpose I/F port 223 and the communication interface 11c.
  • the second control device 200b includes a majority determination section 290 instead of the comparison/collation section 280 shown in FIG.
  • the first control device 100a, the third control device 100b, and the fourth control device 100c have the same configuration.
  • the general-purpose CPU 113 included in the fourth control device 100 c executes the general-purpose OS 133
  • the general-purpose OS 133 executes the high-reliability application 173 .
  • the three high-reliability applications 171, 172, 173 of the first control device 100a, the third control device 100b, and the fourth control device 100c execute the same processing.
  • a memory control unit 153 is connected to the general-purpose CPU 113
  • a memory 163 is connected to the memory control unit 153 .
  • a processing result of the high-reliability application 173 in the fourth control device 100 c is received by the RTOS 230 of the MCU 210 via the general-purpose I/F port 223 .
  • the processing results of the three high-reliability applications 171, 172, and 173 are compared in the majority decision section 290 to make a majority decision. If there is no failure in each of the general-purpose CPUs 111, 112, 113 of the first control device 100a, the third control device 100b, and the fourth control device 100c, the majority determination results of the majority determination unit 290 are the same. However, if a failure or the like occurs, one of the results will be inconsistent.
  • the majority decision section 290 adopts a number of matching results and outputs the results to the I/O network 12 via the I/O port 270 .
  • FIG. 11 is a timing chart showing an example of the operation of the control system 3 shown in FIG.
  • the control system 3 performs input processing, high-reliability processing, and output processing within a certain control period.
  • the uppermost part of the timing chart in FIG. 11 shows processing performed by the general-purpose CPU 111 and the general-purpose OS 131 of the first control device 100a.
  • the second stage from the top of the timing chart in FIG. 11 shows processing performed by the general-purpose CPU 112 and the general-purpose OS 132 of the third control device 100b.
  • the third stage from the top of the timing chart in FIG. 11 shows processing performed by the general-purpose CPU 113 and the general-purpose OS 133 of the fourth control device 100c.
  • the bottom part of the timing chart in FIG. 11 shows the processing performed by the MCU 210 and the RTOS 230 of the second control device 200b.
  • the RTOS 230 accepts the input group I21 with the input task T21.
  • the second control device 200b sends a high-reliability process P21 of the general-purpose OS 111, a high-reliability process P22 of the general-purpose OS 112, and a high-reliability process P23 of the general-purpose OS 113 through the communication interfaces 11a, 11b, and 11c. submit the execution of
  • the majority decision task T22 of the MCU 210 receives the output results of the highly reliable processes P21, P22 and P23 via the communication interfaces 11a, 11b and 11c. When all the output results are received, the majority decision task T22 performs majority decision processing, and the output task T23 outputs the output group O21. When the control cycle C21 ends, the second control device 200b performs the same processing from the input task T24 in the next control cycle C22.
  • jitter J22 delays the result output of the highly reliable process P21
  • jitter J25 delays the highly reliable process P22 result output
  • jitter J28 delays the highly reliable process P23 result output.
  • the majority decision process is performed after matching the reception timings of the output results, so that the majority result will not be erroneously detected due to a mismatch in the output timings of the high-reliability processes.
  • the verification result is not correct due to a large deviation in the reception timing of the control data packet due to the influence of jitter or the like occurring in the general-purpose OS. and the situation in which the majority result is inconsistent can be avoided.
  • the frequency of erroneous fault detection can be reduced, and a control system with high real-time performance can be realized.
  • FIG. 12 the same parts as those in FIGS. 1 to 7 described in the first embodiment are denoted by the same reference numerals, and redundant description is omitted.
  • FIG. 12 is a block diagram illustrating a configuration example of the control system 4 according to the third embodiment of the invention.
  • the control system 4 shown in FIG. 12 is different from the second control device 200 of the control system 1 shown in FIG.
  • the FCS information overwriting unit 271 receives a control data packet via the general-purpose I/F port 220, and performs processing to rewrite the FCS 39 of the control data packet shown in FIG. 4 when the general-purpose CPU 110 is in an abnormal state. Then, the I/O port 270 transmits to the I/O network 12 the control data packet to which the FCS 39 rewritten by the FCS information overwriting section 271 is added.
  • the second control device 200c having the MCU 210 rewrites the FCS 39 of the control data packet. Processing is performed.
  • the FCS 39 checks to determine that the control data packet is invalid, discards the received control data packet, and secures the control system. can be kept in good condition.
  • the second control device 200c having the MCU 210 it is not necessary for the second control device 200c having the MCU 210 to specify in advance the value of the I/O safety control data 38 (FIG. 4) for keeping the control system safe. Therefore, according to the third embodiment, the safety of the control system can be maintained at low cost.
  • FIG. 13 is a diagram illustrating a first example (implementation example 1) of the implementation mode.
  • a general-purpose CPU 110 and an MCU 210 are arranged inside a chip package 300 mounted on a substrate 301, and one chip package 300 includes the first controller 100 and the second controller shown in FIG. A device 200 is configured.
  • the general-purpose CPU 110 and MCU 210 are connected by the communication interface 11 via general-purpose I/F ports 120 and 220 (not shown).
  • the MCU 210 is connected to the I/O network 12 via an I/O port 270 (not shown).
  • General-purpose CPU 110 is connected to communication network 13 via a general-purpose communication interface.
  • FIG. 14 is a diagram illustrating a second example (implementation example 2) of the implementation mode.
  • a communication network 318 is connected to the general-purpose CPU-equipped unit 311 .
  • An I/O network 317 is connected to the MCU-mounted unit 310 .
  • I/O devices 314 , 315 and 316 are connected to the MCU-mounted unit 310 via this I/O network 317 .
  • FIG. 15 is a diagram illustrating a third example of implementation (implementation example 3).
  • an MCU-equipped dongle 327 having a shape connectable to the general-purpose I/F port 320a is connected to the general-purpose CPU-equipped unit 320 having the general-purpose I/F port 320a.
  • a general-purpose CPU-equipped unit 321 having a general-purpose I/F port 321a is connected to an MCU-equipped dongle 228 having a shape that can be connected to the general-purpose I/F port 321a.
  • An I/O network 326 is connected to the MCU-equipped dongles 327 and 328 , and I/O devices 323 , 324 and 325 are connected to the MCU-equipped dongles 327 and 328 via this I/O network 326 .
  • I/O devices 323 , 324 and 325 are connected to the MCU-equipped dongles 327 and 328 via this I/O network 326 .
  • FIG. 16 is a diagram illustrating a fourth example of implementation (implementation example 4).
  • the control system shown in FIG. 16 adds a general-purpose CPU-equipped unit 331 having a general-purpose I/F port 331a in comparison with the implementation example 4 shown in FIG. The part where the unit 336 is added is different.
  • Each general-purpose I/F port 320a, 321a, 331a is connected to an I/O control integration unit 336 by communication interfaces 333, 334, 335.
  • FIG. By using a general-purpose communication interface in this way, it is possible to implement a control system that can flexibly respond to configuration changes of devices.
  • a control system can be configured in various forms by combining a general-purpose communication interface, a general-purpose CPU, and an MCU.
  • a general-purpose communication interface by separating the I/O input/output control function from the general-purpose CPU and processing it by the MCU, it becomes possible to flexibly implement a control system that requires real-time performance and expandability.
  • new functions can be added to an existing control system at low cost while maintaining real-time performance.
  • the number of general-purpose CPU-equipped units, MCU-equipped units, MCU-equipped dongles, etc. installed is not limited to the number shown in the above-described implementation examples, and may be expanded and arbitrarily set. can be implemented with a number of For example, in the implementation example of FIG. 13, the configuration of FIG. 1 is implemented, but the configurations of FIGS. 8, 10, and 12 may be implemented.
  • FIG. 17 shows an example (application example 1) in which the control system of the present invention is applied to a steel hot-rolling facility.
  • a terminal 500 connected to a control network 600 controls control systems 400, 401 and 402.
  • FIG. The steel heated in the heating furnace 801 is put into the hot rolling equipment 800 .
  • the temperature of heating furnace 801 obtained by temperature sensor 700 is acquired by control system 400 via field bus 601 .
  • the control system 400 incorporates a control device 100A equipped with a general-purpose CPU.
  • the control system 400 controls the PI/O (Programmable Input/Output) 701 and adjusts the rotation speed of the roughing mill 802 .
  • the control system 401 controls the PI/O 702 to adjust the rotation speed and tension of the finishing mill 803 .
  • the temperature of cooling equipment 804 obtained by temperature sensor 703 is obtained by control system 402 .
  • Control system 402 controls PI/O 704 to adjust the speed and direction of winder 805 .
  • the control system 401 which requires high performance and real-time performance, has a configuration in which an MCU-equipped control device 200B and a general-purpose CPU-equipped control device 100B are connected via a general-purpose interface.
  • High-performance processing is executed by the control device 100B, and the processing result is shared with the control device 200B via a general-purpose interface to perform real-time control processing with the PI/O 702 .
  • the control system 402 that controls the winder 805, which is important in refining a fine steel plate, is also required to have high processing performance and real-time capability. Therefore, the control system 402 has a configuration in which a control device 200C equipped with an MCU and a control device 100C equipped with a general-purpose CPU are connected via a general-purpose interface. Temperature data obtained from the temperature sensor 703 is received and calculated by the control device 100C, and the calculation result is shared with the control device 200C via a general-purpose interface, and the control device 200C controls the PI / O 704 in real time. process.
  • control system 400 that controls the temperature sensor 700 and the PI/O 701 is in charge of processing that does not require high real-time performance, processing is performed only by the control device 100A equipped with a general-purpose CPU.
  • FIG. 18 shows an example (application example 2) in which the control system of the present invention is applied to a water plant (water treatment system).
  • the water treatment system shown in FIG. 18 controls control systems 410 , 411 and 412 connected to a control network 611 by an information terminal 510 , a monitoring device 512 and a file server 513 connected to the information network 610 .
  • Control system 410 controls high pressure platen 810 and low pressure platen 811 from PI/O 710 and PI/O 711 respectively via fieldbus 612 .
  • Control system 411 regulates the amount of water pumped by pump 812 and blower 813 through sequencer 712 .
  • the water quality obtained by the water quality meter 814 and the field image data captured by the camera 815 are collected by the sequencer 713 and acquired by the control system 412 via the fieldbus 613 .
  • These control systems 410, 411 and 412 are connected via a control network 611 and share data.
  • the control system 411 that controls the sequencer 712 connected to the pump 812 and blower 813 is required to have high processing performance and real-time performance. Therefore, in the water treatment system having the configuration shown in FIG. 18, the control system 411, which requires high performance and real-time performance, has a configuration in which the MCU-equipped controller 200E and the general-purpose CPU-equipped controller 100E are connected via a general-purpose interface. and The control device 100E executes high-performance processing, shares the processing results with the control device 200E via a general-purpose interface, and performs real-time control processing of input/output with the sequencer 712. FIG.
  • the control system 412 that controls the water quality meter 814 and the camera 815, and the control system 410 that controls the high pressure plate 810 and the low pressure plate 811 are responsible for processing that does not require high real-time performance. Processing is performed by devices 100D and 100F, respectively.
  • FIG. 19 shows an example (application example 3) in which the control system of the present invention is applied to an FA system.
  • the FA system shown in FIG. 19 controls a control system 420 connected to a control network 621 by a server 520 and a monitor terminal 521 connected to an information network 620 .
  • the product placed on the belt conveyor 825 is photographed by a camera 821, shape data is processed by a PLC (Programmable Logic Controller) 720, and the PLC 721 controls a picking robot 822 to place the product at a predetermined position.
  • a conveyor motor 823 controlled by a PLC 722 moves a belt conveyor 825 at a predetermined speed, and a painting robot 824 controlled by the PLC 723 paints the surface of the product.
  • the control system 420 collectively controls the multiple PLCs required to control the belt conveyor 825. Therefore, in order to perform high-quality painting, the control system 420 must perform high-performance and real-time processing. There is Therefore, in the FA system shown in FIG. 19, the control system 420, which requires high performance and real-time performance, has a configuration in which an MCU-equipped control device 200G and a general-purpose CPU-equipped control device 100G are connected via a general-purpose interface. High-performance processing is executed by the control device 100G, and the processing result is transmitted from the control device 200G to the control network 621 in real time via the general-purpose interface to perform distributed control processing.
  • FIG. 20 shows an example (application example 4) in which the control system of the present invention is applied to a power generation control system.
  • overall power generation control is performed by a control system 733 connected to a control network 631 .
  • control data generated by pressing the switch 831 is transmitted to the control device 100J of the control system 730 via the electric control panel 830, and the system is activated.
  • the control system 732 controls the boiler control board 834 which controls the firing boiler 835 and the control system 731 monitors the speed of the rotating turbine 833 via the turbine control board 832 .
  • the control system 731 transmits this monitoring state to the control system 733 via the control network 631, thereby performing overall control.
  • the control system 732 that controls the boiler control panel 834 which is important for safe power generation, requires high availability and safety to keep the boiler operating safely. Therefore, the control system 732 of the power generation control system shown in FIG. 20 employs the configuration of FIG. 10 described in the second embodiment. That is, three controllers 100L, 100M, and 100N equipped with general-purpose CPUs are prepared. Each of the control devices 100L, 100M, and 100N inputs control data from the control network 631, performs calculation, and outputs the calculation result to the control device 200L equipped with the MCU via a communication interface. In the control device 200L equipped with the MCU, majority decision processing is executed.
  • control system 733 which performs monitoring control necessary for safe power generation, is required to have high reliability and safety in order to constantly monitor the power generation system. Therefore, the control system 733 included in the power generation control system shown in FIG. 20 employs the configuration shown in FIG. 8 described in the second embodiment. That is, the control devices 100G and 100H equipped with general-purpose CPUs respectively perform calculations and output to the control device 200G equipped with an MCU via a communication interface, and the control device 200G executes comparison processing.
  • each embodiment of the present invention to a power generation control system that requires high availability as shown in FIG. 20, it is possible to realize a control system with high availability and operating rate.
  • the transfer timing of the control data may be affected by the effects of jitter or the like generated in the general-purpose OS. It is possible to avoid a situation in which the collation result or the majority decision result do not match due to a large deviation in the As a result, the frequency of fault detection errors can be reduced, and a power generation control system with high availability and operating rate can be realized.
  • control system of each embodiment of the present invention are not limited to the application examples shown in FIGS. It can be used in various systems such as machine control systems.
  • the present invention is not limited to the above-described embodiment examples, and includes various modifications.
  • the above-described embodiments are detailed and specific descriptions of the control system and its control method, and are not necessarily limited to those having all the components described.
  • Control device 210... MCU, 220, 221, 222, 223...
  • I/O processing unit 250 real-time assurance general-purpose interface unit 251 arrival confirmation processing unit 252 trigger processing unit 253 data reception processing unit , 254 timing correction processing unit 260 general-purpose OS monitoring unit 261 response performance monitoring processing unit 262 memory abnormality monitoring processing unit 263 safety control data generation processing unit 270 I/O port 271 FCS Information overwriting unit 280 Comparison collation unit 290 Majority determination unit 300 Chip package 301 Substrate 310 MCU mounted unit 311 General purpose CPU mounted unit 312 Power supply unit 313 Backplane 314 I/O device 317 I/O network 318 communication network 319 communication interface 320, 321 general-purpose CPU mounted unit 323 I/O device 326 I/O network 327 MCU mounted dongle , 3

Abstract

システムとして、第１ＯＳで動作する第１制御ユニットと、第２ＯＳで動作する第２制御ユニットと、第２制御ユニットに接続された入出力ポートと、第１制御ユニットと第２制御ユニットとを接続する汎用インタフェースとを備える。第２ＯＳは、汎用インタフェースを介して第１ＯＳの情報を取得する監視部と、入出力ポートでの入出力を処理する入出力処理部と、入出力処理部で入出力するデータを、汎用インタフェースを介して第１制御ユニットに送受信する汎用インタフェース処理部とを有する。

Description

制御システム及び制御方法
　本発明は、制御システム及び制御方法に関する。
　プラント、鉄鋼、水処理、ＦＡ（Factory Automation）、発電などの分野において、制御装置で制御を行う制御システムが各種実用化されている。
　例えば、鉄鋼、上下水処理、工場、発電プラント等の社会インフラ分野では、主機に接続された制御装置を複数有する制御システムが処理を担っている。この制御装置は制御演算処理を実行し、主機に対する制御指令を制御データ（信号）として出力することで制御を行う。
　このような制御を行うための指令は、制御システムで定められている制御周期の時間内に演算処理が完了して、Ｉ／Ｏ（Input/Output）に対し入出力がなされなければならない場合がある。時間内に出力されない場合、システムが可動できなくなって損失が発生すると共に、システムの状態が不安定になる可能性がある。そのため、こうした制御システムにおいては、制御装置として、時間内に処理を完了して出力するリアルタイム性が要求されている。
　一方で、近年の制御システムでは、将来の労働力不足問題などに対応するために自動化や自律化を進めることによる高効率化が検討されている。そのためには広大なフィールドに複数のセンサ等を配置して取得したデータをＡＩ（Artificial Intelligence）などで分析することで、より高効率な制御指令値を演算する検討が始まっている。更に、汎用性や移植性を高めるためには、ＡＩなどの演算処理を汎用ＣＰＵ（Central Processing Unit）で動作する汎用ＯＳ（Operating System）の上で処理できるようにすることが望まれている。
　従来型の制御システムでは、大量のデータの収集、データの分析及び最適出力の自動化、汎用ＯＳによる制御といったような構成は想定されていなかったため、このような構成やアーキテクチャへ対応できることが今後の制御システムにおいて必要になる。
　こうした要求に応える従来技術として、例えば特許文献１に記載された技術がある。特許文献１には、電子機器において固定時間処理を実現しつつ複雑な機能を実装する構成が記載されている。すなわち、特許文献１には、リアルタイムＯＳである第１のＯＳ、及び、表示部を介するユーザインタフェース機能を提供する第２のＯＳを格納する格納部と、第１のＯＳを動作させて電子機器を制御する制御部とを備える構成が開示されている。
　特許文献１に記載の制御部は、表示部を介するユーザインタフェース機能を有効にして電子機器を動作させる場合に、第２のＯＳを起動させて表示部を制御するようにしている。
　また別の従来技術として、特許文献２に記載された技術がある。この特許文献２には、２つのＭＣＵ（Micro Controller Unit）が相互に接続された分散制御システムにおいて、ＭＣＵの接続には汎用Ｉ／Ｆ（Interface）であるイーサネット（登録商標）が使用される構成が記載されている。ここで、ＭＣＵが実行するプログラムは、マルチタスク環境を備えるリアルタイムＯＳであり、アプリケーションプログラムは時間制約の違い等に基づいてタスクに分割される構成である。
特開２０１３－３０９４９号公報 特開２００７－２４９３５７号公報
　特許文献１に記載される構成は、第１のＯＳと第２のＯＳの間でのデータ転送は専用のＯＳ間通信を用いる必要がある構成となるため、様々な種類の汎用ＯＳやリアルタイムＯＳを組み合わせてリアルタイム性の高い制御装置を実装したい場合に、適用が困難という問題がある。
　また特許文献２に記載される構成は、リアルタイム性の高いリアルタイムＯＳを動作させるＭＣＵを汎用インタフェースで接続した構成となっているが、ＡＩなどの演算処理を実行できるような構成は想定されておらず、汎用性とリアルタイム性の両立が困難であるという問題がある。
　このように、汎用部品、汎用ＣＰＵ、汎用ＯＳ、汎用インタフェースの採用による拡張性の高い制御システムであって、かつ、高いリアルタイム性を保証可能な制御システム及びその制御方法が望まれていた。なお、ここでのリアルタイム性とは、定められた応答時間内に処理が完了することを指し、高いリアルタイム性とは応答時間が短いことを指している。
　上記課題を解決するために、例えば請求の範囲に記載の構成を採用する。
　本願は、上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、本発明の制御システムは、第１のオペレーションシステムで動作する第１の制御ユニットと、第２のオペレーションシステムで動作する第２の制御ユニットと、第２の制御ユニットに接続された入出力ポートと、第１の制御ユニットと第２の制御ユニットとを接続する汎用インタフェースと、を備える。
　そして、第２のオペレーションシステムは、汎用インタフェースを介して第１のオペレーションシステムの情報を取得する監視部と、入出力ポートでの入出力を処理する入出力処理部と、入出力処理部で入出力するデータを、汎用インタフェースを介して第１の制御ユニットに送受信する汎用インタフェース処理部と、を有する。
　本発明によれば、社会インフラなどを制御する制御システムであって、汎用性と拡張性が高く、部品改廃に柔軟に対応可能で、かつ、高いリアルタイム性を保証する制御システムを実現することができる。
　上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
本発明の第１の実施の形態例に係る制御システムの構成例を説明するブロック図である。 本発明の第１の実施の形態例に係る制御システムにおけるリアルタイム保証汎用インタフェース部の構成例を説明する図である。 本発明の第１の実施の形態例に係る制御システムにおける汎用ＯＳ監視部の構成例を説明する図である。 本発明の第１の実施の形態例に係る制御システムの汎用Ｉ／Ｆ間を流れる制御データのパケット構成の一例を説明する図である。 本発明の第１の実施の形態例に係る制御システムの動作を説明するタイミングチャートの一例を説明する図である。 本発明の第１の実施の形態例に係る制御システムの動作を説明するタイミングチャートの別の一例を説明する図である。 本発明の第１の実施の形態例に係る制御システムが安全制御動作を説明するタイミングチャートの一例を説明する図である。 本発明の第２の実施の形態例に係る制御システムの構成例を説明するブロック図である。 本発明の第２の実施の形態例に係る制御システムの動作タイミングチャートの一例を説明する図である。 本発明の第２の実施の形態例に係る制御システムの別の構成例を説明するブロック図である。 本発明の第２の実施の形態例に係る制御システムの動作タイミングチャートの別の一例を説明する図である。 本発明の第３の実施の形態例に係る制御システムの構成例を説明するブロック図である。 本発明の各実施の形態例に係る制御システムの実装形態の一例を説明する図である。 本発明の各実施の形態例に係る制御システムの実装形態の別の一例を説明する図である。 本発明の各実施の形態例に係る制御システムの実装形態の別の一例を説明する図である。 本発明の各実施の形態例に係る制御システムの実装形態の別の一例を説明する図である。 本発明の各実施の形態例に係る制御システムを鉄鋼システムに適用した場合の一例を示す図である。 本発明の各実施の形態例に係る制御システムを水処理システムに適用した場合の一例を示す図である。 本発明の各実施の形態例に係る制御システムをＦＡシステムに適用した場合の一例を示す図である。 本発明の各実施の形態例に係る制御システムを発電制御システムに適用した場合の一例を示す図である。
［第１の実施の形態例］
　以下、本発明の第１の実施の形態例に係る制御システムを、図１から図７を参照して説明する。
　図１は、本発明の第１の実施の形態例に係る制御システム１の構成例を説明するブロック図である。
　図１に示す制御システム１は、第１の制御装置１００と第２の制御装置２００とが、汎用の通信インタフェース１１で接続された構成となっている。
　第１の制御装置１００は、汎用の制御ユニット（第１の制御ユニット）である汎用ＣＰＵ１１０を備える。汎用ＣＰＵ１１０には、汎用インタフェース処理部である汎用Ｉ／Ｆポート１２０と、メモリ制御部１５０とが接続される。メモリ制御部１５０には、メモリ１６０が接続される。
　汎用ＣＰＵ１１０は、汎用ＯＳ１３０が動作し、汎用ＯＳ１３０により汎用アプリケーション１４０が実行されるアーキテクチャとなっている。
　第２の制御装置２００は、メモリや周辺機能が組み込まれてコンピュータシステム化された制御ユニット（第２の制御ユニット）であるＭＣＵ２１０を備える。ＭＣＵ２１０には、汎用Ｉ／Ｆポート２２０及びＩ／Ｏポート２７０が接続される。汎用Ｉ／Ｆポート２２０は、通信インタフェース１１を介して、第１の制御装置１００の汎用Ｉ／Ｆポート１２０と接続される。汎用Ｉ／Ｆポート１２０、２２０に接続される通信インタフェース１１としては、例えばイーサネット（登録商標）が使用される。
　入出力ポートであるＩ／Ｏポート２７０には、Ｉ／Ｏネットワーク１２が接続される。
　ＲＴＯＳ２３０は、Ｉ／Ｏ処理部２４０、リアルタイム保証汎用インタフェース部２５０及び汎用ＯＳ監視部２６０が実行されるアーキテクチャである。Ｉ／Ｏ処理部２４０は、Ｉ／Ｏポート２７０での入力処理及び出力処理を実行する入出力処理部である。
　図１に示す制御システム１において、第１の制御装置１００で汎用的な処理を行う汎用アプリケーション１４０が、汎用ＯＳ１３０上で実行される。そして、汎用アプリケーション１４０の処理結果は、汎用ＣＰＵ１１０から汎用Ｉ／Ｆポート１２０を介して、第２の制御装置２００の汎用Ｉ／Ｆポート２２０に送信され、ＭＣＵ２１０に伝送される。
　リアルタイム保証汎用インタフェース部２５０は、汎用アプリケーション１４０の処理結果をＩ／Ｏネットワーク１２に出力するタイミングを監視する。
　Ｉ／Ｏ処理部２４０は、Ｉ／Ｏポート２７０での入出力処理を実行するものであり、汎用アプリケーション１４０の処理結果を、Ｉ／Ｏポート２７０を介してＩ／Ｏネットワーク１２に出力する。
　また汎用ＯＳ監視部２６０は、第１の制御装置１００の汎用ＯＳ１３０に異常や故障などが発生しているか否かを、汎用アプリケーション１４０の処理結果を読み取ることで判断する。
　なお、図１に示す制御システム１の構成は、汎用の演算処理を、汎用ＣＰＵ１１０を搭載した１台の制御装置１００に割り当てたものであるが、汎用ＣＰＵを搭載した制御装置を複数台接続した構成にしてもよい。
　図２は、図１に示す制御システム１のリアルタイム保証汎用インタフェース部２５０の構成例を示す。
　リアルタイム保証汎用インタフェース部２５０は、複数入力データの到着確認処理部２５１、汎用ＣＰＵへのトリガ処理部２５２、汎用ＣＰＵからのデータ受信処理部２５３、及び出力データのタイミング補正処理部２５４によって構成される。
　複数入力データの到着確認処理部２５１は、Ｉ／Ｏポート２７０から入力される複数のセンサなどの入力データが到着しているか否かを判定する処理を行う。複数入力データの到着確認処理部２５１の判定には、例えば制御周期で定めた時刻などが使用される。
　汎用ＣＰＵへのトリガ処理部２５２は、ＭＣＵ２１０から汎用ＣＰＵ１１０に対して処理の開始や終了を知らせるトリガを発生させる処理を行う。
　汎用ＣＰＵからのデータ受信処理部２５３は、汎用アプリケーション１４０の処理結果が汎用ＣＰＵ１１０から通信インタフェース１１を介してＭＣＵ２１０に送信されてきたタイミングで、ＲＴＯＳ２３０にて処理結果を受信する処理を行う。
　出力データのタイミング補正処理部２５４は、処理結果をＭＣＵ２１０からＩ／Ｏポート２７０を介してＩ／Ｏネットワーク１２へ出力するタイミングを補正する処理を行う。なお、出力データのタイミング補正処理部２５４の判定には、例えば制御周期で定めた時刻などが使用される。
　図３は、図１に示す制御システム１の汎用ＯＳ監視部２６０の構成例を示す。
　汎用ＯＳ監視部２６０は、応答性能監視処理部２６１、メモリ異常監視処理部２６２、及び安全制御データ生成処理部２６３によって構成される。
　応答性能監視処理部２６１は、ＭＣＵ２１０から汎用ＣＰＵ１１０に対して送信したデータを受信するまでの応答に要した時間やスループットを測定する処理を行い、汎用ＯＳの応答性能を監視し、許容範囲内であるか否かを判定する。応答性能監視処理部２６１の判定には、例えば制御周期で定めた時刻などが使用される。
　メモリ異常監視処理部２６２は、制御装置１００のメモリ１６０で異常が発生しているか否かを判定する処理を行う。メモリ異常監視処理部２６２の判定は、例えば予め定めた診断用データのライト動作とリード動作によって行われる。そして、メモリ１６０の一部で不良ブロックが発生していると判断した場合は、メモリ異常監視処理部２６２は、そのブロックを使用しないようにする指示処理を汎用ＣＰＵ１１０に対して行う。
　安全制御データ生成処理部２６３は、応答性能監視処理部２６１での判定やメモリ異常監視処理部２６２での判断に基づいて、Ｉ／Ｏポート２７０からＩ／Ｏネットワーク１２へ出力する制御データが安全処理となるような値を設定して出力する処理を行う。汎用ＣＰＵ１１０やメモリ１６０の異常により、通信インタフェース１１から汎用Ｉ／Ｆポート２２０を介してＭＣＵ２１０に送信された処理結果が正しくないと判定された場合には、ＭＣＵ２１０は、安全制御データを生成してＩ／Ｏポート２７０へ出力する。ＭＣＵ２１０が安全制御データを生成した場合には、ＭＣＵ２１０は、処理結果を制御の出力として用いない。つまり、汎用ＣＰＵ１１０やメモリ１６０の異常により、汎用ＯＳでの応答時間が許容範囲外であった場合に、ＭＣＵ２１０は、予め定められたデータである、安全制御データを生成してＩ／Ｏポート２７０へ出力する。
　図４は、図１に示す制御システム１の通信インタフェース１１を流れる制御データのパケット構成の一例を示す。
　通信インタフェース１１を流れる制御データは、先頭のヘッダ３１に続いて、データ部３０を有し、最後尾にＦＣＳ(Frame Check Sequence)３９を有する。ＦＣＳ３９は、通信フレームデータを符号化した結果として得られるチェックデータである。
　データ部３０には、ステータス３２、時刻３３、ＣＰＵ番号３４、ＯＳ種別３５、コンテナ情報３６、アプリ演算データ３７、及び安全制御データ３８が配置される。
　ステータス３２は、汎用ＣＰＵ１１０の状態が正常か異常かを示し、時刻３３は、汎用ＯＳ１３０で処理した時刻を示す。ＣＰＵ番号３４は、汎用ＣＰＵ１１０が複数の場合にその番号を数字で表したものである。
　また、ＯＳ種別３５は、汎用ＯＳ１３０の種類を示し、コンテナ情報３６は、汎用ＯＳ１３０でコンテナを実行している場合、動作中のコンテナの状態を示す。アプリ演算データ３７は、汎用ＯＳ１３０でアプリケーションが処理した結果を示す。安全制御データ３８は、Ｉ／Ｏに対して安全な制御出力を指示するデータである。
　なお、ステータス３２から安全制御データ３８までのデータ部３０については、図４に示すフォーマットに限定されることなく、様々なフォーマットを採ることができる。
　図５は、第１の実施の形態例に係る制御システム１の動作の一例を示すタイミングチャートである。
　図５に示す例では、制御システム１は、一定の制御周期の期間内に、入力処理、演算処理、出力処理を行う。
　図５に示すタイミングチャートの上段は、汎用ＣＰＵ１１０と汎用ＯＳ１３０で行う処理を示す。図５に示すタイミングチャートの下段は、ＭＣＵ２１０とＲＴＯＳ２３０で行う処理を示す。
　制御周期Ｃ１の開始タイミングで、ＲＴＯＳ２３０の入力タスクＴ１は、入力群Ｉ１を受け付ける。受け付け完了後、ＭＣＵ２１０は、通信インタフェース１１を介して汎用ＯＳ１３０の演算プロセスＰ１に送信する。
　ＲＴＯＳ２３０の出力受付タスクＴ２は、演算プロセスＰ１による出力結果を、通信インタフェース１１を介して受信し、全ての出力結果を受信すると、出力タスクＴ３により出力群Ｏ１を出力する。制御周期Ｃ１が終了すると、次の制御周期Ｃ２にて入力タスクＴ４から同様の処理が実行される。
　ここで、汎用ＯＳ１３０の動作中には、ユーザが開発したアプリケーションプログラムとは別に、汎用ＯＳ専用の処理や管理プロセスが実行されている。そのため、予想していない大きなジッタＪ１、Ｊ２及びＪ３が発生することがある。図５の例では、汎用ＯＳ１３０で発生したジッタＪ１及びＪ３はアプリケーションプログラムの演算プロセスＰ１の処理時刻とは重複していない。しかし、ＭＣＵ２１０とＲＴＯＳ２３０を使用せずに汎用ＣＰＵ１１０と汎用ＯＳ１３０によって制御装置１００を構成してシステムを動作させる場合には、入力及び出力のタイミングに汎用ＯＳ１３０のジッタが発生することがある。
　図６は、第１の実施の形態例に係る制御システム１の動作の別の例を示すタイミングチャートである。
　図６のタイミングチャートは、図５で説明したタイミングチャートと比較して、制御周期の先頭で出力タスクを実行する部分が異なっている。図６のタイミングチャートの上段は、汎用ＣＰＵ１１０と汎用ＯＳ１３０で行う処理を示す。図６のタイミングチャートの下段は、ＭＣＵ２１０とＲＴＯＳ２３０で行う処理を示す。
　図６の例の場合、制御周期Ｃ１の開始タイミングで、ＲＴＯＳ２３０の出力タスクＴ３は、出力群Ｏ１を出力する。次に入力群Ｉ１をＲＴＯＳ２３０の入力タスクＴ１で受け付ける。
　ＲＴＯＳ２３０の入力タスクＴ１の受け付け完了後、ＲＴＯＳ２３０の入力タスクＴ１は、通信インタフェース１１を介して汎用ＯＳ１３０の演算プロセスＰ１に送信する。ＲＴＯＳ２３０の出力受付タスクＴ２は、演算プロセスＰ１による出力結果を、通信インタフェースを介して受信し、全ての出力結果を受信する。制御周期Ｃ１が終了すると、次の制御周期Ｃ２にて出力タスクＴ６から同様の処理が実行される。
　ここで、汎用ＯＳ１３０で発生したジッタＪ１及びＪ３は、アプリケーションプログラムの演算プロセスＰ１の処理時刻とは重複していない。ジッタＪ２は演算プロセスＰ１の実行中に発生し、最後の出力結果のＲＴＯＳ２３０への送信に遅れが発生しているが、制御周期Ｃ１が終了するまでに出力結果がＲＴＯＳ２３０へ送信されていればよいため、時間に余裕を持たせることができる。
　図７は、第１の実施の形態例に係る制御システム１の安全制御動作の一例を説明するタイミングチャートである。
　図７に示したタイミングチャートは、図５で説明したタイミングチャートと比較して、汎用ＯＳ１３０の演算プロセス処理が長期化し、出力タスクの実行が遅れている部分が異なっている。図７のタイミングチャートの上段は、汎用ＣＰＵ１１０と汎用ＯＳ１３０で行う処理を示す。図７のタイミングチャートの下段は、ＭＣＵ２１０とＲＴＯＳ２３０で行う処理を示す。
　汎用ＯＳ１３０の演算プロセスＰ１において、最初の出力結果が通信インタフェース１１を介してＲＴＯＳ２３０に送信された後、大きなジッタＪ２の発生により演算プロセスＰ１の処理が滞っている。ＲＴＯＳ２３０は、汎用ＯＳ監視部２６０から応答性能監視信号を送信し、汎用ＣＰＵ１１０の状態と汎用ＯＳ１３０の状態を監視する。
　汎用ＯＳ１３０から正常な応答が無く、制御周期Ｃ１の時間内に出力結果が揃わない場合には、ＲＴＯＳ２３０の出力タスクＴ３は、出力群Ｏ１に対して出力結果が得られなかったことを判断して、出力結果Ｏ１を出力する。すなわち、出力先に接続しているＩ／Ｏの機能や構成などに応じて、停止信号を出力するか、前値保持のまま出力するか、縮退動作を指示する信号を出力するか、予め定めてあった安全制御データを出力するか、等をＭＣＵ２１０とＲＴＯＳ２３０で判断して出力する。
　以上説明したように、第１の実施の形態例によれば、高い汎用性とリアルタイム性が要求される制御システム１において、汎用ＣＰＵ１１０と汎用ＯＳ１３０を採用した場合に発生するジッタの影響を軽減することで、入力受付時刻と出力送信時刻のリアルタイム性を向上させることが可能になる。
　また更に、汎用ＯＳ１３０を有する制御システム１において、定められた時刻に出力結果を送信できない場合でも、制御システム１の安全を担保する制御データを時間内に出力することで、安全性を担保するシステムを構築することが可能になる。
［第２の実施の形態例］
　次に、本発明の第２の実施の形態例に係る制御システムを、図８から図１１を参照して説明する。図８から図１１において、第１の実施の形態例で説明した図１から図７と同一の箇所には同一符号を付し、重複説明は省略する。
　図８は、本発明の第２の実施の形態例に係る制御システム２の構成例を説明するブロック図である。
　図８に示す制御システム２は、汎用ＣＰＵ１１１を有する第１の制御装置１００ａと、ＭＣＵ２１０を有する第２の制御装置２００ａに加えて、汎用ＣＰＵ１１２を有する第３の制御装置１００ｂを備える。
　第２の制御装置２００ａは、第１の制御装置１００ａと通信するための汎用Ｉ／Ｆポート２２１を備え、第１の制御装置１００ａの汎用Ｉ／Ｆポート１２１と通信インタフェース１１ａを介して通信を行う。また、第２の制御装置２００ａは、第３の制御装置１００ｂと通信するための汎用Ｉ／Ｆポート２２２を備え、第３の制御装置１００ｂの汎用Ｉ／Ｆポート１２２と通信インタフェース１１ｂを介して通信を行う。
　さらに、第２の制御装置２００ａは、比較照合部２８０を備える点が、第１の実施の形態例で説明した第２の制御装置２００ａと相違する。
　第１の制御装置１００ａと第３の制御装置１００ｂは、それぞれ同一の構成であり、それぞれの汎用ＣＰＵ１１１、１１２は、汎用ＯＳ１３１、１３２を実行する。また、それぞれの汎用ＯＳ１３１、１３２では、高信頼アプリケーション１７１、１７２が実行される。２つの高信頼アプリケーション１７１、１７２は、同一の処理を実行する。
　また、それぞれの汎用ＣＰＵ１１１、１１２には、メモリ制御部１５１、１５２が接続され、それぞれのメモリ制御部１５１、１５２には、メモリ１６１、１６２が接続される。
　第１の制御装置１００ａでの高信頼アプリケーション１７１の処理結果は、汎用Ｉ／Ｆポート２２１を介してＭＣＵ２１０のＲＴＯＳ２３０で受信される。第３の制御装置１００ｂでの高信頼アプリケーション１７２の処理結果は、汎用Ｉ／Ｆポート２２２を介してＭＣＵ２１０のＲＴＯＳ２３０で受信される。
　この２つの高信頼アプリケーション１７１、１７２の処理結果は、比較照合部２８０において比較される。２つの汎用ＣＰＵ１１１、１１２に故障などが発生していなければ、比較照合部２８０での照合結果は一致するが、故障などが発生した場合は照合結果が不一致になる。これにより、第２の制御装置２００ａは、汎用ＣＰＵ１１１、１１２で生じた障害を検出する。
　図９は、本発明の第２の実施の形態例に係る制御システム２の動作の一例を示すタイミングチャートである。
　図９に示す例では、制御システム２は、一定の制御周期の期間内に、入力処理、高信頼処理、出力処理を行う。
　図９のタイミングチャートの上段は、第１の制御装置１００ａの汎用ＣＰＵ１１１と汎用ＯＳ１３１で行う処理を示す。図９のタイミングチャートの中段は、第３の制御装置１００ｂの汎用ＣＰＵ１１２と汎用ＯＳ１３２で行う処理を示す。図９のタイミングチャートの最下段は、第２の制御装置２００ａのＭＣＵ２１０とＲＴＯＳ２３０で行う処理を示している。
　制御周期Ｃ１１の開始タイミングで、ＲＴＯＳ２３０は、入力群Ｉ１１を入力タスクＴ１１で受け付ける。入力タスクＴ１１における受け付け完了後、第１の制御装置１００ａの汎用ＣＰＵ１１１は、通信インタフェース１１ａを介して汎用ＯＳ１３１の高信頼プロセスＰ１１をＭＣＵ２１０に送信する。また、第３の制御装置１００ｂの汎用ＣＰＵ１１２は、通信インタフェース１１ｂを介して汎用ＯＳ１３２の高信頼プロセスＰ１２をＭＣＵ２１０に送信する。
　ＭＣＵ２１０の比較照合タスクＴ１２は、高信頼プロセスＰ１１及びＰ１２による出力結果を通信インタフェース１１ａ、１１ｂを介して受信し、全ての出力結果を受信すると比較照合処理を行い、出力タスクＴ１３により出力群Ｏ１１を出力する。制御周期Ｃ１１における処理が終了すると、第２の制御装置２００ａは、次の制御周期Ｃ１２にて入力タスクＴ１４から同様の処理を行う。
　ここで、汎用ＯＳ１３１、１３２の動作中は、ユーザが開発したアプリケーションプログラムとは別に、汎用ＯＳ専用の処理や管理プロセスが実行されている。そのため、予想していない大きなジッタ発生することがある。
　図９の例では、ジッタＪ１２により高信頼プロセスＰ１１の結果出力が遅れ、ジッタＪ１５により高信頼プロセスＰ１２の結果出力が遅れる。ここで、ＲＴＯＳ２３０の比較照合タスクＴ１２により、それぞれの出力結果の受信タイミングを合わせてから比較されるので、各高信頼プロセスの出力タイミングの不一致により、比較結果が誤って検出されることがない。
　図１０は、本発明の第２の実施の形態例に係る制御システム２の別の構成例を説明するブロック図である。
　図１０に示す制御システム３は、図８に示す制御システム２の構成に加えて、さらに汎用ＣＰＵ１１３を有する第４の制御装置１００ｃを備える。
　第２の制御装置２００ｂは、既に図８で説明した汎用Ｉ／Ｆポート２２１、２２２に加えて、さらに汎用Ｉ／Ｆポート２２３を備える。第２の制御装置２００ｂは、汎用Ｉ／Ｆポート２２３と通信インタフェース１１ｃを介して、第４の制御装置１００ｃの汎用Ｉ／Ｆポート１２３と通信を行う。
　さらに、第２の制御装置２００ｂは、図８に示す比較照合部２８０の代わりに、多数決判定部２９０を備える。
　第１の制御装置１００ａと第３の制御装置１００ｂと第４の制御装置１００ｃは、それぞれ同一の構成である。第４の制御装置１００ｃが備える汎用ＣＰＵ１１３では、汎用ＯＳ１３３が実行され、汎用ＯＳ１３３で高信頼アプリケーション１７３が実行される。第１の制御装置１００ａと第３の制御装置１００ｂと第４の制御装置１００ｃの３つの高信頼アプリケーション１７１、１７２、１７３は、同一の処理を実行する。
　また、汎用ＣＰＵ１１３には、メモリ制御部１５３が接続され、メモリ制御部１５３には、メモリ１６３が接続される。
　第４の制御装置１００ｃでの高信頼アプリケーション１７３の処理結果は、汎用Ｉ／Ｆポート２２３を介してＭＣＵ２１０のＲＴＯＳ２３０で受信される。
　３つの高信頼アプリケーション１７１、１７２、１７３の処理結果は、多数決判定部２９０において比較され、多数決判定がなされる。
　第１の制御装置１００ａと第３の制御装置１００ｂと第４の制御装置１００ｃの各汎用ＣＰＵ１１１、１１２、１１３に故障などが発生していなければ、多数決判定部２９０での多数決判定結果は一致するが、故障などが発生した場合はいずれかの結果が不一致となる。多数決判定部２９０では、一致している多数の結果が採用されて、Ｉ／Ｏポート２７０を介してＩ／Ｏネットワーク１２に結果が出力される。
　図１１は、図１０に示す制御システム３の動作の一例を示すタイミングチャートである。
　図１１に示す例では、制御システム３は、一定の制御周期の期間内に、入力処理、高信頼処理、出力処理を行う。
　図１１のタイミングチャートの最上段は、第１の制御装置１００ａの汎用ＣＰＵ１１１と汎用ＯＳ１３１で行う処理を示す。図１１のタイミングチャートの上から２段目は、第３の制御装置１００ｂの汎用ＣＰＵ１１２と汎用ＯＳ１３２で行う処理を示す。図１１のタイミングチャートの上から３段目は、第４の制御装置１００ｃの汎用ＣＰＵ１１３と汎用ＯＳ１３３で行う処理を示す。図１１のタイミングチャートの最下段は、第２の制御装置２００ｂのＭＣＵ２１０とＲＴＯＳ２３０で行う処理を示す。
　制御周期Ｃ２１の開始タイミングで、ＲＴＯＳ２３０は、入力群Ｉ２１を入力タスクＴ２１で受け付ける。入力タスクＴ２１による受け付け完了後、第２の制御装置２００ｂは、通信インタフェース１１ａ、１１ｂ、１１ｃを介して汎用ＯＳ１１１の高信頼プロセスＰ２１、汎用ＯＳ１１２の高信頼プロセスＰ２２、及び汎用ＯＳ１１３の高信頼プロセスＰ２３の実行を送信する。
　ＭＣＵ２１０の多数決判定タスクＴ２２は、高信頼プロセスＰ２１、Ｐ２２及びＰ２３による出力結果を、通信インタフェース１１ａ、１１ｂ、１１ｃを介して受信する。そして、全ての出力結果を受信すると、多数決判定タスクＴ２２は多数決判定処理を行い、出力タスクＴ２３により出力群Ｏ２１を出力する。制御周期Ｃ２１が終了すると、第２の制御装置２００ｂは、次の制御周期Ｃ２２にて入力タスクＴ２４から同等の処理を行う。
　ここで、それぞれの汎用ＯＳ１１１、１１２、１１３の動作中は、ユーザが開発したアプリケーションプログラムとは別に、汎用ＯＳ専用の処理やプロセスが実行されている。そのため、予想していない大きなジッタ発生することがある。例えば、図１１の例では、ジッタＪ２２により高信頼プロセスＰ２１の結果出力が遅れ、ジッタＪ２５により高信頼プロセスＰ２２の結果出力が遅れ、ジッタＪ２８により高信頼プロセスＰ２３の結果出力が遅れている。ここで、ＲＴＯＳ２３０の多数決判定タスクＴ２２では、出力結果の受信タイミングを合わせてから多数決処理するので、各高信頼プロセスの出力タイミングの不一致により多数決結果が誤って検出されてしまうことがない。
　この第２の実施の形態例によれば、汎用ＣＰＵで故障が発生していなくても、汎用ＯＳで発生したジッタなどの影響により制御データパケットの受信タイミングに大きなずれが生じたことで照合結果や多数決結果が不一致となる状況を回避できる。これにより、高信頼が必要とされる制御システムにおいて、障害の誤検出頻度を低下させ、リアルタイム性の高い制御システムを実現することができる。
［第３の実施の形態例］
　次に、本発明の第３の実施の形態例に係る制御システムを、図１２を参照して説明する。図１２において、第１の実施の形態例で説明した図１から図７と同一の箇所には同一符号を付し、重複説明は省略する。
　図１２は、本発明の第３の実施の形態例に係る制御システム４の構成例を説明するブロック図である。
　図１２に示す制御システム４は、第２の制御装置２００ｃが、図１で示した制御システム１の第２の制御装置２００と比較して、ＦＣＳ情報上書き部２７１を備える点で相違する。
　ＦＣＳ情報上書き部２７１は、汎用Ｉ／Ｆポート２２０を介して制御データパケットを受信し、汎用ＣＰＵ１１０が異常状態であった場合に、図４で示した制御データパケットのＦＣＳ３９を書き換える処理を行う。そして、Ｉ／Ｏポート２７０は、ＦＣＳ情報上書き部２７１により書き換えられたＦＣＳ３９が付加された制御データパケットをＩ／Ｏネットワーク１２へ送信する。
　この第３の実施の形態例によれば、第１の制御装置１００の汎用ＣＰＵ１１０及び汎用ＯＳ１３０で異常状態が発生した場合に、ＭＣＵ２１０を有する第２の制御装置２００ｃによって制御データパケットのＦＣＳ３９を書き換える処理が実行される。これにより、Ｉ／Ｏネットワーク１２を介して制御データパケットを受信するＩ／Ｏ装置側では、ＦＣＳ３９のチェックで不正な制御データパケットと判別され、受信した制御データパケットが破棄され、制御システムを安全な状態に保つことが可能となる。この場合、ＭＣＵ２１０を有する第２の制御装置２００ｃが予め制御システムを安全に保つためのＩ／Ｏの安全制御データ３８（図４）の値を予め指定する必要がない。このため、第３の実施の形態例によれば、低コストに制御システムの安全を維持することができる。
［各実施の形態例に係る制御システムの実装形態］
　次に、ここまで説明した本発明の各実施の形態例に係る制御システムの実装形態（実装例１から実装例４）を、図１３から図１６を用いて説明する。
　図１３は、実装形態の第１の例（実装例１）を示す図である。
　図１３に示す制御システムは、基板３０１に実装されたチップパッケージ３００の内部に汎用ＣＰＵ１１０とＭＣＵ２１０が配置され、１つのチップパッケージ３００に、図１に示す第１の制御装置１００と第２の制御装置２００とが構成される。
　チップパッケージ３００の内部で、汎用ＣＰＵ１１０とＭＣＵ２１０とは、汎用Ｉ／Ｆポート１２０及び２２０（不図示）を介して通信インタフェース１１により接続されている。ＭＣＵ２１０には、Ｉ／Ｏポート２７０（不図示）を介してＩ／Ｏネットワーク１２に接続されている。汎用ＣＰＵ１１０は、汎用の通信インタフェースを介して通信ネットワーク１３に接続されている。このように汎用の通信インタフェースを用いることで、制御システムは、ＳｏＣ(Systems on Chip)としての実装が可能である。
　図１４は、実装形態の第２の例（実装例２）を示す図である。
　図１４に示す制御システムは、汎用ＣＰＵを搭載した装置である汎用ＣＰＵ搭載ユニット３１１と、ＭＣＵを搭載した装置であるＭＣＵ搭載ユニット３１０が、汎用Ｉ／Ｆポート１２０及び２２０を介して通信インタフェース３１９により接続されている。これらの汎用ＣＰＵ搭載ユニット３１１とＭＣＵ搭載ユニット３１０は、電源ユニット３１２とともにバックプレーン３１３に実装されている。
　汎用ＣＰＵ搭載ユニット３１１には通信ネットワーク３１８が接続されている。ＭＣＵ搭載ユニット３１０にはＩ／Ｏネットワーク３１７が接続される。このＩ／Ｏネットワーク３１７を経由して、ＭＣＵ搭載ユニット３１０には、Ｉ／Ｏ装置３１４、３１５及び３１６が接続されている。このように汎用の通信インタフェースを用いることで、汎用ＣＰＵ搭載ユニット３１１が通信ネットワーク処理を行い、ＭＣＵ搭載ユニット３１０がＩ／Ｏ装置と入出力制御を行う実装構成を採ることが可能である。
　図１５は、実装形態の第３の例（実装例３）を示す図である。
　図１５に示す制御システムでは、汎用Ｉ／Ｆポート３２０ａを有する汎用ＣＰＵ搭載ユニット３２０に対し、その汎用Ｉ／Ｆポート３２０ａに接続できる形状のＭＣＵ搭載ドングル３２７が接続される。同様に、汎用Ｉ／Ｆポート３２１ａを有する汎用ＣＰＵ搭載ユニット３２１に対し、その汎用Ｉ／Ｆポート３２１ａに接続できる形状のＭＣＵ搭載ドングル２２８が接続される。
　ＭＣＵ搭載ドングル３２７及び３２８には、Ｉ／Ｏネットワーク３２６が接続され、このＩ／Ｏネットワーク３２６を経由してＭＣＵ搭載ドングル３２７及び３２８にＩ／Ｏ装置３２３、３２４及び３２５が接続されている。このように汎用Ｉ／Ｆポート３２０ａ、３２１ａを介した構成とすることで、ＭＣＵを搭載した装置であるＭＣＵ搭載ドングル３２７、３２８によってＩ／Ｏ装置と入出力制御を行う実装を採ることが可能である。
　図１６は、実装形態の第４の例（実装例４）を示す図である。
　図１６に示す制御システムは、図１５に示す実装例４と比較して、汎用Ｉ／Ｆポート３３１ａを有する汎用ＣＰＵ搭載ユニット３３１を追加し、ＭＣＵ搭載ドングルの機能を集約したＩ／Ｏ制御統合ユニット３３６を追加した部分が異なっている。各汎用Ｉ／Ｆポート３２０ａ、３２１ａ、３３１ａは、通信インタフェース３３３、３３４、３３５によりＩ／Ｏ制御統合ユニット３３６に接続される。
　このように汎用の通信インタフェースを用いることで、機器の構成変更に柔軟に対応可能な制御システムの実装が可能となる。
　図１３から図１６に示す実装形態に示すように、汎用の通信インタフェースと汎用ＣＰＵとＭＣＵとを組み合わせて、様々な形態で制御システムを構成することができる。ここで、Ｉ／Ｏの入出力制御機能を汎用ＣＰＵから分離しＭＣＵで処理させることで、リアルタイム性と拡張性が要求される制御システムを柔軟に実装することが可能になる。
　さらに、汎用の通信インタフェースを用いるため、既設の制御システムに対し、リアルタイム性を維持しながら新機能などを低コストで追加することができる。
　なお、図１３から図１６に示す実装形態における汎用ＣＰＵ搭載ユニット、ＭＣＵ搭載ユニット、ＭＣＵ搭載ドングルなどの設置数は、上述の実装例で示した数に限定されるものではなく、拡張して任意の数で実装することができる。例えば図１３の実装例は、図１の構成を実装する場合としたが、図８、図１０、図１２の構成を実装してもよい。
［各実施の形態例に係る制御システムをプラントなどの制御に適用した例］
　次に、本発明の各実施の形態例に係る制御システムをプラントなどの各種設備の制御に適用した例（適用例１から適用例４）を、図１７から図２０を用いて説明する。
　図１７は、本発明の制御システムを鉄鋼の熱延設備に適用した場合の例（適用例１）を示す。
　図１７に示す熱延設備は、制御ネットワーク６００に接続された端末５００が制御システム４００、４０１及び４０２の制御を行う。
　加熱炉８０１で熱された鋼は熱延設備８００に投入される。温度センサ７００によって得られた加熱炉８０１の温度は、フィールドバス６０１を経由して制御システム４００で取得される。制御システム４００には、汎用ＣＰＵ搭載の制御装置１００Ａが内蔵されている。
　制御システム４００は、ＰＩ／Ｏ(Programmable Input/Output)７０１を制御し、粗圧延機８０２の回転数を調整する。制御システム４０１は、ＰＩ／Ｏ７０２を制御し、仕上圧延機８０３の回転数や張力を調整する。温度センサ７０３によって得られた冷却設備８０４の温度は、制御システム４０２で取得される。制御システム４０２は、ＰＩ／Ｏ ７０４を制御し、巻取機８０５の回転数や方向を調整する。
　ここで、品質の良い鋼板を精製する上で重要となる仕上圧延機８０３を制御する制御システム４０１には、高い処理性能とリアルタイム性が要求される。そのため図１７に示す鉄鋼システムでは、高性能とリアルタイム性能が要求される制御システム４０１は、ＭＣＵ搭載の制御装置２００Ｂと汎用ＣＰＵ搭載の制御装置１００Ｂを汎用インタフェースで接続した構成としている。
　高性能な処理を制御装置１００Ｂで実行するとともに、その処理結果を、汎用インタフェースを介して制御装置２００Ｂと共有し、ＰＩ／Ｏ７０２とリアルタイムな制御処理を行う。
　また、精巧な鋼板を精製する上で重要となる巻取機８０５を制御する制御システム４０２についても高い処理性能とリアルタイム性が要求される。そのため制御システム４０２は、ＭＣＵ搭載の制御装置２００Ｃと汎用ＣＰＵ搭載の制御装置１００Ｃを汎用インタフェースで接続した構成としている。温度センサ７０３から得られた温度データを制御装置１００Ｃで受信して演算し、その演算結果を、汎用インタフェースを介して制御装置２００Ｃと共有し、制御装置２００Ｃは、ＰＩ／Ｏ７０４に対しリアルタイムに制御処理を行う。
　温度センサ７００及びＰＩ／Ｏ７０１を制御する制御システム４００は、ここでは高いリアルタイム性が不要な処理を担っているため、汎用ＣＰＵを搭載した制御装置１００Ａのみで処理を行う。
　本発明の各実施の形態例を、図１７に示すような高い処理性能とリアルタイム性が要求される鉄鋼システムに適用することで、専用装置を用意することなく汎用部品と汎用インタフェースの活用によって実現でき、かつ低コストで提供することができる。
　図１８は、本発明の制御システムを水プラント（水処理システム）に適用した場合の例（適用例２）を示す。
　図１８に示す水処理システムは、情報ネットワーク６１０に接続された情報端末５１０、監視装置５１２、ファイルサーバ５１３により、制御ネットワーク６１１に接続された制御システム４１０、４１１及び４１２の制御を行う。
　制御システム４１０は、フィールドバス６１２を介してＰＩ／Ｏ７１０とＰＩ／Ｏ７１１から高圧盤８１０及び低圧盤８１１をそれぞれ制御する。
　制御システム４１１は、シーケンサ７１２を介してポンプ８１２とブロワ８１３によって送り出す水量を調節する。
　水質計８１４で得られた水質とカメラ８１５が撮影したフィールド画像データは、シーケンサ７１３で収集され、フィールドバス６１３を介して制御システム４１２で取得される。
　これらの制御システム４１０、４１１及び４１２は、制御ネットワーク６１１を介して接続され、データを共有する。
　ここで、品質の高い水処理を行う上で、ポンプ８１２とブロワ８１３に接続するシーケンサ７１２を制御する制御システム４１１には、高い処理性能とリアルタイム性が要求される。そのため、図１８に示す構成の水処理システムでは、高性能とリアルタイム性能が要求される制御システム４１１は、ＭＣＵ搭載の制御装置２００Ｅと汎用ＣＰＵ搭載の制御装置１００Ｅとを、汎用インタフェースで接続した構成としている。高性能な処理を制御装置１００Ｅで実行するとともに、その処理結果を、汎用インタフェースを介して制御装置２００Ｅと共有し、シーケンサ７１２と入出力のリアルタイムな制御処理を行う。
　水質計８１４とカメラ８１５を制御する制御システム４１２、及び高圧盤８１０と低圧盤８１１を制御する制御システム４１０は、ここでは高いリアルタイム性が不要な処理を担っているため、汎用ＣＰＵを搭載した制御装置１００Ｄ及び１００Ｆによりそれぞれ処理を行う。
　本発明の各実施の形態例を、図１８に示すような高い処理性能とリアルタイム性が要求される水処理システムに適用することで、水処理システムの制御システムを、専用装置を用意することなく汎用部品と汎用インタフェースの活用によって実現でき、かつ低コストで提供することができる。
　図１９は、本発明の制御システムをＦＡシステムに適用した場合の例（適用例３）を示す。
　図１９に示すＦＡシステムは、情報ネットワーク６２０に接続されたサーバ５２０と監視端末５２１により、制御ネットワーク６２１に接続された制御システム４２０の制御を行う。
　ベルトコンベア８２５に載せられた製品はカメラ８２１で撮影されて形状データがＰＬＣ(Programmable Logic Controller)７２０で処理され、ＰＬＣ７２１がピッキングロボット８２２を制御し所定の位置に配置する。ＰＬＣ７２２が制御するコンベアモータ８２３によってベルトコンベア８２５が所定の速度で移動し、ＰＬＣ７２３が制御する塗装ロボット８２４が製品の表面を塗装する。
　このＦＡシステムでは、ベルトコンベア８２５の制御に必要な複数のＰＬＣを制御システム４２０で一括制御しているため、高品質な塗装を行うには、制御システム４２０で高性能かつリアルタイムな処理を行う必要がある。
　そのため図１９に示すＦＡシステムでは、高性能とリアルタイム性が要求される制御システム４２０は、ＭＣＵ搭載の制御装置２００Ｇと、汎用ＣＰＵ搭載の制御装置１００Ｇとを汎用インタフェースで接続した構成としている。高性能な処理を制御装置１００Ｇで実行するとともに、その処理結果を、汎用インタフェースを介して制御装置２００Ｇからリアルタイムに制御ネットワーク６２１に送信して分散制御処理を行う。
　本発明の各実施の形態例を、図１９に示すような高い処理性能とリアルタイム性が要求されるＦＡシステムに適用することで、専用装置を用意することなく汎用部品と汎用インタフェースの活用によって実現でき、かつ低コストで提供することができる。
　図２０は、本発明の制御システムを発電制御システムに適用した場合の例（適用例４）を示す。
　図２０に示す発電制御システムは、制御ネットワーク６３１に接続された制御システム７３３により全体の発電制御が行われる。
　この発電制御システムでは、スイッチ８３１が押されたことによる制御データは電気制御盤８３０を介して制御システム７３０の制御装置１００Ｊに送信され、システムが起動する。システムが起動すると、制御システム７３２が、燃焼するボイラ８３５を制御するボイラ制御盤８３４を制御し、制御システム７３１が、回転するタービン８３３の回転数を、タービン制御盤８３２を介して監視する。制御システム７３１は、この監視状態を、制御ネットワーク６３１を介して制御システム７３３に伝えることで全体の制御が行われる。
　ここで、安全に発電をする上で重要となるボイラ制御盤８３４を制御する制御システム７３２には、ボイラを安全に動作させ続けるための高い可用性と安全性が要求される。そのため、図２０に示す発電制御システムの制御システム７３２では、第２の実施の形態例で説明した図１０の構成を採用している。
　すなわち、汎用ＣＰＵを搭載した３台の制御装置１００Ｌ、１００Ｍ及び１００Ｎを用意する。そして、それぞれの制御装置１００Ｌ、１００Ｍ及び１００Ｎが、それぞれ制御ネットワーク６３１から制御データを入力して演算を行い、ＭＣＵを搭載した制御装置２００Ｌに対して通信インタフェースを介して演算結果を出力する。ＭＣＵを搭載した制御装置２００Ｌでは、多数決判定処理が実行される。
　また、安全に発電をする上で必要な監視制御を行う制御システム７３３には、発電システムを常時監視し続けるための高い信頼性と安全性が要求される。そのため、図２０に示す発電制御システムが備える制御システム７３３では、第２の実施の形態例で説明した図８の構成を採用している。
　すなわち、汎用ＣＰＵを搭載した制御装置１００Ｇ及び１００Ｈがそれぞれ演算を行い、ＭＣＵを搭載した制御装置２００Ｇに対して通信インタフェースを介して出力し、制御装置２００Ｇで比較照合処理が実行される。
　本発明の各実施の形態例を、図２０に示すような高い可用性が要求される発電制御システムに適用することで、可用性と稼働率の高い制御システムを実現することができる。すなわち、複数の装置で同一演算を行った出力を比較照合または多数決処理を行う場合に、汎用ＣＰＵで故障が発生していなくても、汎用ＯＳで発生したジッタなどの影響により制御データの転送タイミングに大きなずれが生じたことで照合結果や多数決結果が不一致となる状況を回避できる。これにより、障害の誤検出頻度を低下させ、可用性と稼働率の高い発電制御システムを実現することができる。
　なお、本発明の各実施の形態例の制御システムの適用例は、図１７から図２０に示す適用例に限定されるものではなく、例えば、エレベーター制御システム、鉄道制御システム、自動車制御システム、建設機械制御システムなど、種々のシステムに使用することができる。
　また、本発明は上記した実施の形態例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施の形態例は本発明を分かりやすく説明するために、制御システム及びその制御方法を詳細かつ具体的に説明したものであり、必ずしも説明した全ての構成要素を有するものに限定されない。また、ある実施の形態例の構成要件の一部を、他の実施の形態例の構成要素の一部に置き換えることが可能である。また、ある実施の形態例の構成要件に他の実施の形態例の構成要件を加えることも可能である。また、各実施の形態例の構成要件の一部について、他の実施の形態の構成要素の一部に、追加、削除、置換をすることも可能である。
　１，２，３，４…制御システム、１１，１１ａ，１１ｂ，１１ｃ…通信インタフェース１２…Ｉ／Ｏネットワーク、１３…通信ネットワーク、３０…データ部、３１…ヘッダ、３２…ステータス、３３…時刻、３４…ＣＰＵ番号、３５…ＯＳ種別、３６…コンテナ情報、３７…アプリ演算データ、３８…安全制御データ、３９…ＦＣＳ、１００，１００Ａ，１００ａ，１００Ｂ，１００ｂ，１００Ｃ，１００ｃ，１００Ｄ，１００Ｅ，１００Ｇ，１００Ｊ，１００Ｌ…制御装置、１１０，１１１，１１２，１１３…汎用ＣＰＵ、１２０，１２１，１２２，１２３…汎用Ｉ／Ｆポート、１４０…汎用アプリケーション、１５０，１５１，１５３…メモリ制御部、１６０，１６１，１６３…メモリ、１７１，１７２，１７３…高信頼アプリケーション、２００，２００ａ，２００ｂ，２００ｃ，２００Ｂ，２００Ｃ，２００Ｅ，２００Ｇ，２００Ｌ…制御装置、２１０…ＭＣＵ、２２０，２２１，２２２，２２３…汎用Ｉ／Ｆポート、２２８…ＭＣＵ搭載ドングル、２３０…ＲＴＯＳ、２４０…Ｉ／Ｏ処理部、２５０…リアルタイム保証汎用インタフェース部、２５１…到着確認処理部、２５２…トリガ処理部、２５３…データ受信処理部、２５４…タイミング補正処理部、２６０…汎用ＯＳ監視部、２６１…応答性能監視処理部、２６２…メモリ異常監視処理部、２６３…安全制御データ生成処理部、２７０…Ｉ／Ｏポート、２７１…ＦＣＳ情報上書き部、２８０…比較照合部、２９０…多数決判定部、３００…チップパッケージ、３０１…基板、３１０…ＭＣＵ搭載ユニット、３１１…汎用ＣＰＵ搭載ユニット、３１２…電源ユニット、３１３…バックプレーン、３１４…Ｉ／Ｏ装置、３１７…Ｉ／Ｏネットワーク、３１８…通信ネットワーク、３１９…通信インタフェース、３２０，３２１…汎用ＣＰＵ搭載ユニット、３２３…Ｉ／Ｏ装置、３２６…Ｉ／Ｏネットワーク、３２７…ＭＣＵ搭載ドングル、３３１…汎用ＣＰＵ搭載ユニット、３３３…通信インタフェース、３３６…Ｉ／Ｏ制御統合ユニット、４００，４０１，４０２，４１０，４１１４１２，４２０…制御システム、５００…端末、５１０…情報端末、５１２…監視装置、５１３…ファイルサーバ、５２０…サーバ、５２１…監視端末、６００…制御ネットワーク、６０１…フィールドバス、６１０…情報ネットワーク、６１１…制御ネットワーク、６１２，６１３…フィールドバス、６２０…情報ネットワーク、６２１，６３１…制御ネットワーク、７００，７０３…温度センサ、７１２，７１３…シーケンサ、７３０，７３１，７３２，７３３…制御システム、８００…熱延設備、８０１…加熱炉、８０２…粗圧延機、８０３…仕上圧延機、８０４…冷却設備、８０５…巻取機、８１０…高圧盤、８１１…低圧盤、８１２…ポンプ、８１３…ブロワ、８１４…水質計、８１５，８２１…カメラ、８２２…ピッキングロボット、８２３…コンベアモータ、８２４…塗装ロボット、８２５…ベルトコンベア、８３０…電気制御盤、８３１…スイッチ、８３２…タービン制御盤、８３３…タービン、８３４…ボイラ制御盤、８３５…ボイラ

Claims (7)

  1. 　第１のオペレーションシステムで動作する第１の制御ユニットと、
    　第２のオペレーションシステムで動作する第２の制御ユニットと、
    　前記第２の制御ユニットに接続された入出力ポートと、
    　前記第１の制御ユニットと前記第２の制御ユニットとを接続する汎用インタフェースと、を備え、
    　前記第２のオペレーションシステムは、
    　前記汎用インタフェースを介して前記第１のオペレーションシステムの情報を取得する監視部と、
    　前記入出力ポートでの入出力を処理する入出力処理部と、
    　前記入出力処理部で入出力するデータを、前記汎用インタフェースを介して前記第１の制御ユニットに送受信する汎用インタフェース処理部と、を有する
    　制御システム。
  2. 　前記汎用インタフェース処理部は、前記入出力ポートから入力される入力データの到着確認処理と、前記第１のオペレーションシステムへプロセス開始を伝えるトリガ処理と、前記第１のオペレーションシステムからの複数データの受信確認処理と、前記入出力ポートへ出力する出力データの出力タイミングの変更処理とを行う
    　請求項１に記載の制御システム。
  3. 　前記第２のオペレーションシステムが備える監視部は、前記第１のオペレーションシステムの応答性能を監視し、許容範囲内であるか否かを判定する判定処理を行う
    　請求項２に記載の制御システム。
  4. 　前記判定処理で、前記第１のオペレーションシステムの応答時間が許容範囲外であったと前記監視部が判定した場合に、前記第２のオペレーションシステムが、予め定められたデータを前記入出力ポートに対して出力する
    　請求項３に記載の制御システム。
  5. 　さらに、第３のオペレーションシステムで動作する第３の制御ユニットを備え、
    　前記汎用インタフェースは、前記第２の制御ユニットと前記第３の制御ユニットとを接続し、
    　前記第２のオペレーションシステムは、前記汎用インタフェースを介して受信する前記第１のオペレーションシステムによるデータと前記第３のオペレーションシステムによるデータとを比較照合する比較照合部を有する
    　請求項１に記載の制御システム。
  6. 　第１のオペレーションシステムで動作する第１の制御ユニットと、
    　第２のオペレーションシステムで動作する第２の制御ユニットと、
    　前記第２の制御ユニットに接続された入出力ポートと、
    　前記第１の制御ユニットと前記第２の制御ユニットとを接続する汎用インタフェースと、を備えた制御システムに適用される制御方法であり、
    　前記第２のオペレーションシステムは、前記入出力ポートからの入力を受け付ける入力タスクを実行し、
    　前記入力タスクの処理後に前記汎用インタフェースを介して前記第１のオペレーションシステムに前記入力タスクで受け付けた入力を送信し、
    　前記第１のオペレーションシステムが演算プロセスを実行しているタイミングで、前記第２のオペレーションシステムは、演算結果を受け付けるタスクを実行し、
    　前記第１のオペレーションシステムは、前記演算プロセスの演算結果を、前記汎用インタフェースを介して前記第２のオペレーションシステムに送信し、
    　前記第２のオペレーションシステムは、前記演算結果を前記入出力ポートへ出力する出力タスクを実行する
    　制御方法。
  7. 　前記制御システムは、さらに、第３のオペレーションシステムで動作する第３の制御ユニットを備え、前記汎用インタフェースは、前記第２の制御ユニットと前記第３の制御ユニットとを接続する構成とし、
    　前記第２のオペレーションシステムは、前記入出力ポートからの入力を受け付ける入力タスクを実行し、
    　前記入力タスクの処理後に前記汎用インタフェースを介して前記第１のオペレーションシステム及び前記第３のオペレーションシステムにそれぞれ前記入出力ポートからの入力を送信し、
    　前記第１のオペレーションシステム及び前記第３のオペレーションシステムがそれぞれ演算プロセスを実行しているタイミングで、前記第２のオペレーションシステムは比較照合データを受け付けるタスクを実行し、
    　前記第１のオペレーションシステム及び前記第３のオペレーションシステムでの演算プロセスの演算結果を、それぞれ前記汎用インタフェースを介して前記第２のオペレーションシステムに送信し、
    　前記第２のオペレーションシステムは、前記演算結果の受信を確認した後に、比較照合処理を行い、照合結果に基づいて前記入出力ポートへ出力する出力タスクを実行する
    　請求項６に記載の制御方法。
PCT/JP2022/006268 2021-04-07 2022-02-16 制御システム及び制御方法 WO2022215363A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021065475A JP2022160940A (ja) 2021-04-07 2021-04-07 制御システム及び制御方法
JP2021-065475 2021-04-07

Publications (1)

Publication Number Publication Date
WO2022215363A1 true WO2022215363A1 (ja) 2022-10-13

Family

ID=83546333

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/006268 WO2022215363A1 (ja) 2021-04-07 2022-02-16 制御システム及び制御方法

Country Status (2)

Country Link
JP (1) JP2022160940A (ja)
WO (1) WO2022215363A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002358106A (ja) * 2001-05-31 2002-12-13 Omron Corp 安全コントローラ
WO2015025367A1 (ja) * 2013-08-20 2015-02-26 株式会社小松製作所 建設機械用コントローラ

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002358106A (ja) * 2001-05-31 2002-12-13 Omron Corp 安全コントローラ
WO2015025367A1 (ja) * 2013-08-20 2015-02-26 株式会社小松製作所 建設機械用コントローラ

Also Published As

Publication number Publication date
JP2022160940A (ja) 2022-10-20

Similar Documents

Publication Publication Date Title
JP5916716B2 (ja) 自動化作業セルを制御するための方法
JP6382225B2 (ja) 制御システム
DK2569130T4 (en) Procedure for controlling an automated work cell
WO2001067194A1 (fr) Robot, systeme robotique et procede de commande robotisee
US20130132059A1 (en) Multiple plc simulation system
US20130274900A1 (en) Alternative synchronization connections between redundant control devices
CN104690726B (zh) 一种空间机械臂运动控制系统
US10678231B2 (en) Production controller equipped with function of identifying cause upon operation stop of production facility including manufacturing facilities
WO2022215363A1 (ja) 制御システム及び制御方法
US10244043B1 (en) Management system for a plant facility and method for managing a plant facility
CN112296995B (zh) 机器人协作搬运系统
CN107153351A (zh) 作动器的冗余控制系统以及用于其冗余控制的方法
JP4993208B2 (ja) 産業用コントローラ用機器
JP4899615B2 (ja) 二重化プログラマブルコントローラの等値化方式
CN116490829A (zh) 用于控制具有控制冗余的自动化系统的方法以及自动化系统
Kaiser et al. Modular control architecture for reconfigurable fabrication systems for prefabrication in construction
US8572291B2 (en) Electronic board and system comprising a plurality of such boards
US11513490B2 (en) I/O mesh architecture for a safety instrumented system
US20220121179A1 (en) Control system and control method therefor
JP4558111B2 (ja) 三重系フォールトトレラントシステムのデータ変更方法
US20110125321A1 (en) Method And Device For Controlling Manipulators
CN112276976B (zh) 基于云控平台的功能机器人控制系统
US20110314258A1 (en) Method and apparatus for operating a programmable logic controller (plc) with decentralized, autonomous sequence control
Wilkening et al. Modular System Architecture for Large Multi-Axis Motion Control Systems in Automation
WO2022180805A1 (ja) 機器制御システム、機器制御方法、および機器制御プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22784348

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22784348

Country of ref document: EP

Kind code of ref document: A1