• 专利附录
  • 专利说明
  • 权利要求
  • 类似技术
  • 同族专利
  • 引用文献
  • 法律状态
  • 优先权
    • 专利摘要:

    公开号:WO1988004071A1
    申请号:PCT/JP1984/000251
    申请日:1984-05-18
    公开日:1988-06-02
    发明作者:Kazuo Asami
    申请人:Kazuo Asami；
    IPC主号:G06F11-00
    专利说明:
    [0001] 明 細 書
    [0002] 多重化制御装置
    [0003] 技術分野
    [0004] 本発明は、 多重化制御装置に関する。
    [0005] 背景技術
    [0006] 制御装置の高信頼化には種々の方法がある。 従来から とられている最も一般的な方法は、 制御装置に使用され ているハ 一 ドウエア個々のレベルでの高信頼ィヒである。 具体的には、 高信頼度部品の選択使用及び、 十分 設計 裕度の確保、 或いは、 部品のスク リ ーニング実施及びェ — ジング実施、 さらには使用部品点数の削減 （集積回路 の適用） ¾どである。 しかしながら、 これらハ ードゥエ ァレベルでの高信頼化には限界がある。 そこで、 最近は、 システム レベルでの高信頼化の必要性と有効性が強く認 識されてきている。
    [0007] 例えば、 従来のシングル系の制御装置のシステム構成 では、 コ ンデンサ 1個又は ト ラ ン ジスタ. 1個の異常が、 制御システム全体に大き ¾影響を与える可能性がある。 事実、 過まの制御システムの異常原因を分析してみると、 ほとんどがこの種のトラブルに起因している。 そこで、 制御システムを多重化することが考えられている。
    [0008] 制御システムの多重化制御装置は例えば
    [0009] TRANS ACT I ONS OF THE AMER I CAN NUC L EAR SOCIETY AND THE EUROPEAN NUCLEAR
    [0010] SOCIETY 1980 INTERNA IONAL
    [0011] CONFERENCE ON WORLD NUCLEAR ΕΝΕΕ Υ- ACCOMPLISHMENTS AND PERSPEC IVES ，
    [0012] Volume 3 5 , 4 0 6〜 4 1 1頁に記載された論文
    [0013] " BWR PLANTS IN JAPAN -A NEW
    [0014] PERSPECTIVE " 中の 3 . Toshiba BWR Power
    [0015] Control Sys ten ADMIX with ripple - Control Channel and s el f— Di agnoses <D FIG.
    [0016] 1に示されている。 この FIG. 1には中間値選択三重化
    [0017] ブラン ト制御装置の一例が開示されている。 即ち、 この
    [0018] 三重化プラ ン ト制御装置では、 フィードバック信号とし
    [0019] て制御に使用するプロ セス信号の reactor water
    [0020] level , fee d a ter ilo , main s team flowは各々
    [0021] 三重化され、 各々の信号は 3信号のうちの中間値を選'択
    [0022] して出力する中間値選択回路 MV Gに入力される。 中間
    [0023] 値選択回路 M V Gによ 選択された信号は三重化された
    [0024] master Control ler 1VI Z Cに入力される。 各 M/C
    [0025] によ 演算された 3つの出力信号の中間値を中間値選択
    [0026] 回路 MVGに入力し、 この出力力； secondary
    [0027] control ler S ZCに入力される。 この中間値選択回
    [0028] 路 MVG"は、 例えば高値入力選択回路と低値入力選択回
    [0029] 路の組合せによ ])作られる。
    [0030] ゝ¾ 10 ソ しかし、 本方式では中間値選択回路の故障がコ モ ンモ — ドとなるので、 中間値選択回路 M V Gを十分信頼性の 高いものにしないと効果は半減する。 お、 電源まで含 めた多重化を考慮した場合は、 この中間値選択回路の電 源異常で、 三重化プラ ン ト制御装置全体が異常となる。
    [0031] お、 制御装置の出力が多数ある場合、 本方式では、 各 出力信号毎に中間値をとる形になるので、 制御対象シス テムによっては、 各々の制御装置が干渉しあい、 ハンチ ング現象が発生する可能性がある。
    [0032] 発明の開示 、
    [0033] 本発明の目的は信頼性の高い多重化制御装置を-提供す ることにある。
    [0034] 本発明は、 以下に述べる詳細 説明を参照すれば明ら か ¾よ うにシステム構成面からは、 万一の故障発生時に はその故障をマスク し、 その故障した機能を代行させる ための多重化構成と、 万一の故障発生時の危険を最小化 するための分散化構成とを合わせた、 いわば多重分散化 システム構成とすることによ ])上記の目的を達成するも のである。
    [0035] 図面の簡単 ¾説明
    [0036] 第 1図は本発明の好適な一実施例である三重化ブラン ト制御装置の系統図、 第 2図は第 1図に示す各サブシス テムにおける制御装置の信号入力側における信号伝送回
    [0037] CMPI 路の系統図、 第 3図は第 1図に示す各サブシステムの制
    [0038] 御装置間における情報伝送回路の系統図、 第 4図は第 1
    [0039] 図に示す各サブシステムにおける制御装置の信号出力側
    [0040] における信号伝送回路の系統図、 第 5図は第 4図の他の
    [0041] 変形例図である。
    [0042] 発明を実施するための最良の形態
    [0043] 第 1図を参照するに、 本実施例の三重化プラ ント制御
    [0044] 装置は、 完全に分離独立した 3つのサブシステム A, B , および Cからなつている。
    [0045] この三重化プラ ン ト制御装置のサブシステム A， B ,
    [0046] および Cは三重化された検出器 1 4， 1 5， 1 6， 各検
    [0047] 出器からの検出信号を入力する入力信号切換部 9 1，
    [0048] 9 2， 9 3 , 入力信号切換部からの信号によ ] 制御信号
    [0049] を出力す-る制御装置 1 1 , ·1 2， 1 3 , 制御装置からの
    [0050] 信号によ ])最も正常と考えられる 1つの制御装置を選択
    [0051] するための総合判定部 6 4 , 6 5， 6 6， 総合判定部か
    [0052] らの選択指令信号によ 選択された制御装置からの出力
    [0053] 信号を制御対象機器に出力させるための出力信号切換部
    [0054] 5 1 , 5 2， 5 3 ， ならびに各サブシステム A， B , C
    [0055] の専用電源装置 8 1， 8 2， 8 3力 らなってお]) これら
    [0056] サブシステムお， B， Cは以下の詳細な説明で述べるよ
    [0057] うな特徵を具傭する。 こ こでテス トツール 1 0 0は各サ
    [0058] ブシステム A， B， Cの回路のチェックを行うために供
    [0059] OMFI
    [0060] 一 WIPO一 ' される。
    [0061] 本実施例の三重化プラント制御装置は後述するよ うに、 万一、 1つのサブシステム内で異常が発生すると、 その 異常部分が属する異常サブシステム内の制御装置 1 1 , 1 2 , 1 3 自体による自己診断機能によ D検出され、 異 常サブシステムを、 他の正常なサブシステムか ら切！）離 す。 万一、 異常サブシステムの自己診断機能によ ] 異常 を検出でき かったと しても、 その異常は相互診断機能 によ ])検出されるため他の正常なサブシステムにその影 響を及ぼすことはなく、 またその異常に基づく現象は異 常サブシステム内に-封じ込めることができる。 - - 以下、 各サブシステム内の主要構成要素とその-動作に つき説明する。
    [0062] 1 ) サブシステムへの電源供給
    [0063] 各サブシステムは、 各々独立した電源装置 8 1， 8 2 及び 8 .3を所有している。 万一あるサブシステム、 例え ばサブシステム A内の電源装置 8 1に異常が発生した場 合には、 それによ ] 、 サブシステム Aは、 三重化プラ ン ト制御装置から切離される。 このため、 サブシステム A の出力が他のサブシステム B及び Cに影響を与えること は原理的に ¾い。 あえてあるとすれば、 後述する情報入 力部において、 1 チャンネル分の入力信号が喪失する程 度て'あ 。
    [0064] O PI 2 ) プラ ン ト情報入力方法
    [0065] 本三重化プラ ン ト制御装置は、 信号の入力系統そのも のも多重化することを原則としている。 即ち、 三重化プ ラン ト制御装置は、 ブラ ン ト情報をベースに出力信号を 決定するいわば情報処理装置である。 従って、 入力情報 が単一の場合には、 この異常時にその使命が完遂でき くなると考えられるからである。 本実施例では、 プラ ン トの同じ状態量を測定する検出器が 3個設けられる。 す なわち、 同じ状態 *：を測定する 3個の検出器 1 4 , 1 5 及び 1 6が、 ブラントに設けられる。 すべての検出器を 三重化するとシステムが複雑になるので、 三重化する検 出器は、 プラ ン ト の還転制御にとって重要なものだけで よい。
    [0066] さて、 本実施例では検出器 1 4， 1 5及び 6の出力 信号、 すなわち、 ブラ ン ト情報 2 1， 2 2 , 2 3 (制御 对象からのアイ―ドバック信号など ) は、 原則として三 重化されている。 それらの入力情報は、 基本的には各々 のサブシステムの入力信号切換部 9 1， 9 2及び 9 3を 介して制御装置 1 1， 1 2及び 1 3にそれぞれ入力され る。 また、 圧力発信器 どの外部電源を必要とする検出 器に対しては、 それが属するサブシステムの電源装置よ 電力が供給される。 従って、 1 つのサブシステムの電 源装置が故障した場合、 その電源装置から電力が供給さ れている検出器は作動しないが、 他の 2つの検出器は正 常に作動するので、 各々のサブシステムの制御装置は入 力情報を確保出来る。 このよ うにブラ ン ト情報が完全に 喪失することは ¾い。 3つの検出器が同時に故障するこ とは極めて希 ことである。 次に、 これら多重化された 信号の各サブシステムへの入力方法につき説明する。
    [0067] ブラン トの同一の状態量を検出する三重化された各検 出器の出力信号を、 各サブシステムに入力する方法と 1し ては、 第 1図に示した如く、 各々の検出器から出力され たブラン ト情報を各サブシステムの全てにそれぞれ入力 する方法と、 1 '対 1、 即ち、 その検出器が-属するサブシ ステムのみへ入力する方法 （図示せず） の 2つがある。
    [0068] 両者の使いわけは、 主に要求信頼度-と経済上の観点から 決められる。 前者の方法は、 単純に言って後者の—方法の 3倍のプラ ン ト情報を入力することに ¾！)、 入力部及び その入力信号の処理部が増大する。 現実的には、 プラ ン トの制御上特に重要 ¾信号は、 前者の方法とし、 各サブ システム内で、 各々の多重化信号をチェックし、 最も真 値に近いと考えられる信号を選択、 或いは算出し、 自己 の演算用データと している。 これは、 プラン トに設けら れた検出器の異常による悪影響.をサブシステムにでき る 限！）及ぼさ いよ うにするためである。
    [0069] 3 ) 入力信号の分離と切離し
    [0070] OMPI 各検出器 1 4 , 1 5及び 1 6にて検出されたプラント 情報は、 入力信号切換部 9 1 , 9 2及び 9 3を介し、 制 御装置 1 1 ， 1 2 ， 1 3に入力する。 入力信号切換部 9 1 ， 9 2 ， 9 3は、 本実施例では具体的には電磁リ レ 5 一、 水銀リ レーなどによって構成されている。 しかし、 必ずしも この種のハー ドウェアによるものでるく ても よ 一 い。
    [0071] 万一、 1つのサブシステム內に異常が発生した場合 -
    [0072] (例えば竃源装置の異常、 制御装置の異常など） 、 その 10 異常サブシステムは、 該当する入力信号切換部及び出力 信号切換部 （後述） によ ] 、 制御対象機器及びブラ ン ト
    [0073] 1から完全に切離される。
    [0074] また、 切離された異常サブシステムの ト ラ ブルシユー ティ ング及び修復後の動作確認を容易にする めに、 入
    [0075] 15 力信号切換部 9 1 ， 9 2 ， 9 3及び出力信号切換部 5 1 ，
    [0076] 5 2 , 5 3は、 テス トツール 1 0 0力ゝらの信号を入力で きるよ うに構成されている。 この機能は、 後述の第 2図 に示されたリ レーの接点 ϋ側にテス ト ツ ール 1 0 0から の信号を入力することによ 実現している。 お、 テス
    [0077] 20 ト ツ ー ル 1 0 0は図示してない信号入力部、 信号演算部 らびに信号発生部を有する。
    [0078] サブシステム Αに属する検出器 1 4の出力信号を、 各 各のサブシステムに設けられる制御装置 1 Γ , 1 2及び 1 3に伝える具体的な信号伝送回路を第 2図に示す。 検 出器 1 4への電力は、 サブシステム A内の電源装置 8 1 よ ])供給されている。 電源ラィ ン （ 2線式検出器を例に とってお])、 信号ラ イ ンに一致） には、 ヒューズ 2 5 A、 ス ィ ッ チ 2 4 A及びリ レー 2 6 Aが接続されている。 ヒ ユーズ 2 5 Aは、 信号伝送回路の保護用である。 スイ ツ チ 2 4 Aは、 万一、 検出器 1 4に異常が発生した時のメ ィ ンテナンス時に、 検出器 1 4を電源装置 8 1及び各制 御装置から切離せるよ うに設置してある。 また リ レー
    [0079] 2 6 Aは、 検出器 1 4への供給電力を監視するものであ る。 スィ ッチ- 2 4 Aの動作位置及びリ レー 2 6 Aの接点 状態によ i 、 各サブシステムの制御装置がそれぞれに取 込んだ検出器 1 4の出力信号が使用可能状態にあ—るの か、 それとも無視すべき状態にあるのかを判断する-こ''と ができる。 検出器 1 4の出力信号 （一般には 4〜 2 0 mA . D C ) は、 5 0 程度の抵抗2 7 ， 2 8 A及び 2 9 Aによ ！)、 電圧信号に変換される。 この電圧信号が、 入力信号切換部 （水銀リ レー ） 9 1 ， 9 2及び 9 3の接 点を介して各制御装置 1 1 ， 1 2及び 1 3にそれぞれ入 力されている。 この場合、 入力信号. 換部 9 1 ， .9 2及 び 9 3の接点 Vと接点 Wが、 それぞれ接続されている。
    [0080] 検出器 1 5及び 1 6 も、 第 2図と同様 ¾信号伝送回路 に接続されている。 検出器 1 5及び 1 6の出力信号は、
    [0081] ΟΜΡΙ _ 上己信号伝送回路を介して制御装置 1 1， 1 2及び 1 3 にそれぞれ伝えられる。
    [0082] 制御装置 1 1， 1 2及び1 3の入カ回路方式にょれば、 その入カイ ンビーダンスは電源が入っているときには各 各 1 0〜 1 0 0 M 2程度、 電源が入ってい いときには 数 Κ ώ程度以下に低下することがある。 この よ うな信号 伝送回路を用いると、 各システム毎に小さな抵抗 2 7 Α，
    [0083] 2 8 Α、 るらびに 2 9 Αが直列に入っているので、 ある サブシステム內で制御装置 1 1， 1 2、 又は 1 3の短絡、 地絡、 又は内部ィ ンピーダンスの変化などの ト ラブルが 発生したとしても、 他のサブシステムに対する入力信号
    [0084] (プラント情報） に影響を与えることはほとんどない。
    [0085] なお、 入力信号切換部 9 1， 9 2及び 9 3の接点 Uは、
    [0086] テス ト ッール 1 0 0の接続用コネク タ （図示せず） に接 続されている。 あるサブシステムに異常が生じた場合は、 異常サブシステムの入力信号切換部の接点 Vと接点 Wの 接続を切離し、 その後、 接点 ϋと接点 Wを接続する。 テ ス ト ツール 1 0 0から出力された検出器の出力信号に相
    [0087] 当する模擬信号が、 接点 ϋ及び Wを介して異常サブシス テムの制御装置に入力される。 この制御装置に、 テス ト ッ一ル 1 0 0の出力信号を入力することによって各サブ システム毎の種々 のテス トが行われる。
    [0088] ) 制御装置の機能と出力信号 ;^細 ^ 各サブシステムの制御装置 1 1 ， 1 2及び 1 3は、 入 力信号切換部 9 1 , 9 2 , 9 3を介し入力したプラ ン ト 情報 2 1， 2 2及び 2 3に基づいて得られた制御信号 3 1 ， 3 2及び 3 3をそれぞれ出力する。 但しテス ト ツ — ル 1 0 0が接続されている制御装置のテス ト中は、 テ ス ト ツール 1 0 0の出力モ ー ドに対応した信号を出力す る。 また、 各々 の制御装置は、 それらが属する当該サブ システムの制御装置 1 1 , 1 2， 1 3 自体が内蔵するパ リテイチエックるどの自己診断のほかに、 後述の第 3図 に示す情報伝送回路を介して入力される他のサブシステ ムからの入力を使用して各制御装置 1 Γ,— 1 2 ， 1 3内 で実施される相互診断によ ] 3、 サブシステム異常の早期 発見ができるとともに、 これらの結果から制御対象核器 5 5に対し制御信号 3 1 ， 3 2 , 3 3の何れから制御対 象機器 5 5へ入力するかを決定している。 すなわち必ず しも自己のサブシステムのデータを常に出力するわけで はなく、 診断結果を尊重し、 その時点で最も妥当と考え られる多数決の原理によ 決定されたデータ制御対象機 器に出力する。
    [0089] 本来、 共通部の最少化という観点からは、 各サブシス テム間同士の信号の相互授受はないほうがよいし、 多重 分散化の思想にも合致する。 しかしながら、 サブシステ ム間での切換時のパ ンブレス性や、 異常復帰後のサブシ ステム再立ち上げ時 どの内部データ設定機能などの確 保のためには、 若干 Qデータの授受が必要不可欠と る。
    [0090] 特に、 制御演算と して、 比例積分制御あるいはラッチデ ータなど、 過去の履歴を必要とするデータを扱う場合に は、 ある種のデータコピー機能が必要と ¾る。 また、 確 実な異常検出のためには、 自己のデータ以外の他のデー タを入手し、 これらの相互比較を行 うことも必要とな る。 しかしながら上記した様に、 本機能は、 共通モード 故障をひきおこす可能性もあるのでその適用には十分 ¾ 注意が必要である。 本実施例では、 第 3図に示すよ うに 信頼性の高いデータ伝送装置回路 3 4 , 3 5及び 3 .6と、 伝送回路切離装置 3 7 ， 3 ·8及び 3 9の適用に加え、 デ ータの二重伝送方式と、 各サブシステム毎のデ一タ コン ト ロール方式によ！)、 本機能のコ モ ンモード化を極力防 止している。 第 3図によ ]3以下本機能のコ モンモ ード化 防止について説明する。 ¾お第 3図における制御装置
    [0091] 1 1 ， 1 2ならびに 1 3は第 1図における制御装置 1 1 ，
    [0092] 1 2 らぴに 1 3に対応する。 .
    [0093] データ伝送回路 3 4 ， 3 5及び 3 6は、 光伝送技術を 応用した絶縁型データ伝送回路を使用している。 第 3図
    [0094] いてデータ伝送回路 3 4 , 3 5及び 3 6がそれぞれ
    [0095] 2本ずつ示されているが、 これは制御装置 1 1 ， 1 2な らびに 1 3間のデータの流れをわか ]λやすく したためで
    [0096] O PI 。 ある。 実除は、 データ伝送回路 3 4 ， 3 5及び 3 6は、 一本であっても よい。 データ伝送回路 3 4は、 制御装置 1 1 と制御装置 1 2を接続している。 データ伝送回路 3 5は、 制御装置 1 2 と制御装置 1 3 を連絡している。 デー タ伝送回路 3 6は、 制御装置 1 1 と制御装置 1 3を 連絡している。 1つのデータ伝送回路は、 それによつて 連絡される一方の制御装置内のデータを他-方の制御装置 に伝える。 そのデータ伝送回路は、 逆に、 他方の制御装 置内のデータを一方の制御装置に伝える。 このため、 サ ブシステム Aの制御装置 1 1内のサブシステム Aに関す るデータは、 データ伝送回路 3 6を介してサブシステム Cの制御装置 1 3 に伝えられ、 さ らにそこからデータ伝 送回路 3 5を介してサブシステ Bの制御装置 1 -2 に伝 えられる。 逆に、 制御装置 1 1 内のサブシス ム Aに関 するデータは、 データ伝送回路 3 4 を介して制御装置 1 2に伝えられ、 さ らにそこからデータ伝送路 3 5を介 して制御装置 1 3に伝えられる。 制御装置 1 2内のサブ システム Bに関するデータ及び制御装置 1 3 内のサブシ ステム Cに関するデータ も、 前述のサブシステム Aに関 するデータと同様に各々のデータ伝送回路を介して他の 制御装置に伝えられる。 1つの制御装置は、 自己のデ— タ と、 異なるデータ伝送回路によって伝えられた他の 2 つの制御装置のデータを 2種類ずつ、 合計 5種類のデ— タを所有している。
    [0097] 伝送回路切離し装置 3 7力 データ伝送回路 3 4に設
    [0098] けられる。 伝送回路切難し装置 3 8が、 データ伝送回路
    [0099] 3 5に設けられる。 伝送回路切難し装置 3 9力、 データ
    [0100] 伝送装釐 3 6に設置される。
    [0101] も し、 データ伝送回路 3 4 ， 3 5及び 3 6の 1つに異
    [0102] 常が発生した場合、 または制御装置 1 1 , 1 2及び 1 3
    [0103] の 1つに異常が発生したことを自己診断あるいは自己の
    [0104] 制御装置内のデ一タと他のサブシステムの制御装置から
    [0105] データ伝送回路 3 4， 3 5 ， 3 6を介して自己の制御装
    [0106] 置に入力したデータと比較することによ 実施される。
    [0107] いわゆる相互診断によ ] 検出した場合は、 その異常箇所
    [0108] に該当する伝送回路切離し装置を作動させて異常箇所を
    [0109] 正 な部分から切離す。 これによつて、 コ モ ンモー ド故
    [0110] 障を阻止できる。 各データ伝送回路は、 前述したよ うに
    [0111] それが接続される制御装置から出力されたデータととも
    [0112] に他の伝送回路を介して入手した他の制御装置のデータ
    [0113] をのせて伝送しあう二重伝送方式を採用しているので、
    [0114] 1つのデ-タ伝送回路が異常になつた場合でも、 それぞ
    [0115] れの制御装置に異なる他のすべての制御装置のデータを
    [0116] 入力することができる。
    [0117] 本実施例では、 このよ うに二重伝送方式を採甩するこ
    [0118] とによ！）各制御装置の相互間を連絡するデータ伝送回路 o
    [0119] / 驚。 y j は単一であ ]9 ¾がらデータ伝送に関しては二重化された 信頼性の高いデータ伝送方式を実現している。
    [0120] 制御装置 1 1 , 1 2及び 1 3は、 前述のよ うに各デー タ伝送回路によ 入手した各サブシステムのデータをべ ースに相互診断を実施する。 基本的には、 ビッ トデータ に対しては 2 o u t o f 3 ロジックを応用した論理によ ]) 数値データに対しては偏差チェックをベースにした論理 によ 、 制御装置 1 1 , 1 2及び 1 3は出力データを決 定する。 この決定は、 各サブシステムがその時点で所有 している各サブシステムのデータに基づいて、 各サブシ ステムの判断によ D独立して行 う方式と しているため、 極めてコモンモー ド故障をひきおこしにく い形とるって いる。 また、 制御装置の自己データと、 他の制御装置の データ及び制御装置の出力データとを制御装置内で分離 して取扱う方式と している。 従って、 万一ある制御装置 の自己演算データが他の 2つの'サブシステムのデータ と 一致し い事象が発生した場合には、 制御装置の出力デ ータは、 一致している他の 2つのサブシステムのデータ とする。 しかし、 自己の演算データの変更は、 その不一 致事象が複数回あるいは一定時間以上連続して発生し ¾ い限])行なわない。 このよ うに、 ある制御装置の自己演 算結果とその制御装置からの実際の出力信号とを別個の ものと して管理する方式をとることによ ！）、 自己データ の他のサブシステムのデータからの汚染を防止するとと もに、 相互診断機能に用いる各サブシステムのデータの 独立性を確保している。
    [0121] 制御装置 1 1 , 1 2及び 1 3で得られたそれぞれの自 己診断及び相互診断結果は、 第 1図ならびに第 4図に示 す診断結果信号 4 4， 4 5及び 4 6 として制御装置 1 1，
    [0122] 1 2及び 1 3 よ！？総合判定部 6 4， 6 5及び 6 6にそれ ぞれ出力される。 1つの総合判定部には、 診断結果信号
    [0123] 4 4 , 4 5及び 4 6が入力される。 本実施例では、 各制 御装置 1 ' 1， 1 2及び 1 3は、 各サブシステム毎の正常 性を判定し、 正常と考えられるサブシステムに対しては
    [0124] 「1」 、 異常と考えられるサブシステムに対しては 「0」 を出力する。 これは後述するように総合判定回路 6 4 ,
    [0125] 6 5及び 6 6の判定口ジックを単純化するためで ¾る。 す わち、 この総合判定回路は後述の説明によ 1)明らか と ¾るように、 制御装置 1 1 , 1 2ならびに 1 3の内、 例えば制御装置 1 1がフォールしたときに、 制御装置
    [0126] 1 2あるいは 1 3からの診断結杲信号 4： 5あるいは 4 6 のうち、 何れの診断結杲信号を選択して出力信号切換部
    [0127] 5 1に出力するかと云うよ う 場合に出力信号切換部
    [0128] 5 1の制御信号選択切換時間を最小にする上で必要であ る
    [0129] さらに各制御装置においてよ D きめ細かな判定を行う 場合には、 各サブシステム毎の状態判定結果を、 重故障， 中故障， 輊故障， 正常などと分類し出力させても よい。
    [0130] また、 いわば各サブシステムの正常度などを数値で出力 させても よい。
    [0131] 5 ) 制御信号選択部
    [0132] 本実施例の中核を すのが、 制御信号選択部である。
    [0133] 制御信号選択部は、 各サブシステム毎に設けられた総合 判定部 6 4， 6 5 及び 6 6 と、 各サブシステムの総合判 定部 6 4 , 6 5及び 6 6の出力によ ] 実際に出力信号を 切換える出力信号切換部 5 1 , 5 2及び 5 3 よ ]) なる。
    [0134] 出力信号切換部 5 1 , 5 2及び 5 3は、 プラ ン ドの制御 対象機器 5 5に接続されている。
    [0135] 多重化ブラン ト制御装置において最も問題と るのは、 いかにして最適な制御信号を選択するかということであ る。 一般の多重化ブラン ト制御装置では、 いわゆるボー タ部と呼ばれる総合 fO定部がシングル、 す わち、 本実 施例のよ う ¾相互判断方式によ らず、 1個のボ—タ部か らの制御信号によ D各出力信号切換部を操作する方式を とっているため、 万一、 ボータ部が誤判断すると、 多重 化ブラ ン ト制御装置全体の機能の健全性が阻外される可 能性があった。 本実施例では、 各サブシステム毎に総合 判定部 6 4 , 6 5 及び 6 6 を設け、 各々の総合判定部の 出力信号から 2 o u t o f 3 口 ジックに基づいて最も正常
    [0136] CMPI
    [0137] - wi o~~ に機能していると思われる制御装置を選択する新たに考 えた判定部冗長化方式を採用している。
    [0138] 実際には、 総合判定部 6 4， 6 5及び 6 6は 4 ) 項で 述べたよ うに、 各制御装置 1 1， 1 2及び 1 3がそれぞ れ 力した各サブシステムの診断結果信号 4 4， 4 5， 4 6を全て取])込み、 「1」 を出力した診断結果、 信号 の数に基づく多数決判定ロジックによって最も正常に機 能している可能性が高いと推定される 1つの制御装置を 選択し、 その旨の選択信号を各々独自に出力する。 も し、 2つのサブシステムの制御装置が全ぐ同じ程度に正常に 機能していると判断された場合には、 総合判定部は、 前 回から選択されている一方のサブシステムの制御装置を、 または両者のうちで優先順位の高いサブシステムの制御 装置を選択する。 このよ うな場合に傭えて、 制御装置 1 1 , 1 2及び 1 3には、 選択する優先順位、 例えば、 制御装置 1 1 , 1 2及び 1 3の順に順位をつけてある。 従って、 各総合判定部は、 いかなる事態においても判定 の時点で最も正常に機能していると思われる制御装置を 1つだけ選択する。
    [0139] 各々の総合判定部から出力された選択信号は、 各出力 信号切換部 5 1， 5 2及び 5 3のすべてに入力される。 従って 1つの出力信号切換部は、 3つの総合判定部 6 4 , 6 5—及び 6 6からの選択信号を入力することに ¾る。 出 力信号切換部の詳細構造を出力信号切換部 5 1を例にと つて第 4図によ ] 説明する。 出力信号切換部 5 2及び 5 3は、 出力信号切換部 5 1 と同一の構成を有する。 出 力信号切換部 5 1は、 総合判定部 6 4 , 6 5及び 6'— 6が 出力したすベての選択信号を入力する 2 out of 3 ロジ ック回路 5 4 A、 2つの総合判定部が異常、 または動作 不能になったときに残 の動作中の総合判定部の判定に 従った結果を出力する 2 out of 3 ロジックバイ パス回 路 5 4 B、 制御装置から出力された制御信号を入力する 固定接点 P、 ブラ ン ト 1の制御すべき制御対象機器 5 5 に接続される固定接点 Q、 固定接点—R及び可動接点 Sか ら¾つている。 固定接点 Rには、 必要に応じてテス ト ツ ール 1 0 0を接続する。 サブシステム Aの出力信号切換 部 5 1に設けられた 2 out of 3 ロジック回路 5 4は、 3つの総合判定部 6 4 , 6 5及び 6 6から出力された 3 つの選択信号の ち 2以上の選択信号が制御装置 1 1を 選択したものである場合に、 出力信号切換部 5 1の可動 接点 Sを作動させて固定接点 Pと固定接点 Qを接続する。
    [0140] しかしながら、 通常の 2 out of 3回路は、 3つの入 力信号のうち 1つの入力信号の異常をマスクできるが、 2つの入力信号の異常時は動作できないという欠点を持 つ。 そこで本実施例では、 各総合判定部 6 4， 6 5及び 6 6に自己診断機能を付加して 2つの総合判定部で異常 であるとの自己診断結杲がでた時は、 残！）の総合判定部 の判断のみて、 制御信号の選択が出来るよう 2 out of 3 ロジックバィパス回路 5 4 Bも設けている。
    [0141] 出力信'号切換部 5 1の可動接点 Sは、 上記の場合以外 においては固定接点： Sと固定接点 Qを接続し い。 サブ システム Bの出力信号切換部 5 2に設けられた 2 out 0f 3 ロジック回路は、 入力された 3つの還択信号のう ち 2以上の選択信号が制御装置 1 2を選択したものであ る場合に、 出力信号切換部 5 2の可動接点 Sを作動させ てその固定接点 Pと固定接点 Qを接続する。 また 2 out of 3 ロジックバィパス ロ ジック成立時にも可動接点 S を作動させその固定接点 Pと固定接点 Qを接続する。
    [0142] サブシステム Cの出力信号切換部 5 3に設けられた 2 out of 3 口ジッタ回路は、 入力された 3つ O還択信号 のうち 2以上の選択信号が制御装置 1 3を選択したもの である場合に、 出力信号 換部 5 3の可動接点 Sを作動 させてその固定接点 Pと固定接点 Qを接続する。 また 2 out of 3 口ジックバイ パスロジック成立時にも可動接 点 Sを作動させ、 その固定接点 Pと固定接点 Qを接続す る。
    [0143] 従って、 総合判定部 6 4 ， 6 5及び 6 6の 1つに異常 が発生したとしても、 2 out of 3回路 5 4 Aを設ける ことによ Ϊ)最終的 制御信号の選択が誤まることはない
    [0144] ΟΜΡΙ また、 出力信号切換部の 1つに異常が発生しても問題は ¾い。 また、 本実施例は、 上述のよ うに 2 ou t o f 3 口 ジックパイパス回路 5 4 Bを設けることによ ] 2つのサ ブシステムが何らかの原因でダウ ン状態にある時または オフ ラ イ ン状態にある時は、 残] のサブシステムで異常 であるとの自己診断結果を得てい い場合に限！）、 自動 的にこの残 のサブシステムを選択できるよ う ¾機能を も有している。 これらの機能を有する本実施例は、 最終 的には 3台中 1台のみ運転続行可能であれば、 制御続行 可能 ¾ システムを実現している。
    [0145] 第 4図においては、 接^ P ， Q ， Rが 1個であるた 、 たとえばリ レーなどでこの接点を'構成した場合は接触不 良、 あるいは接点溶着、 コ イ ル断線るどのリ レーの単一 故障でたとえ制御装置 1 1が選択されていても、 その出 力信号は制御対象に伝達され ¾かつたり、 2っ以 _hの制 御装置の出力が制御対象に伝達された] することがあ] うる。 一般にリ レー等の信頼性は高いので問題になるこ とは少るいが、 も しこの部分の単一故障をも防止したい という場合には、 上記第 4図に示すロジックを直接に出 力信号選択ライ ンによ 回路を構成した第 5図に示す回 路を適用することも可能である。 -
    [0146] ¾ぉ、 ちなみに 3つのサブシステムが全てダウンした 場合には、 その出力は、 システム的に、 フ ェイ ルセ イ ブ ， フ ェイ ルァズィズ どの方向に動作することはもちろん である。
    [0147] 本実施例によれば、 多重化の効果を十分に生かせるた め、 極めて高信頼度を期待できるフォール ト トララ ン ト システムを構築することができる。
    [0148] 以上述べた本実施例によれば、 多重化プラ ン ト制御装 置の信頼性が著しく向上し、 プラ ン 卜の稼動率が著しく 向上する。
    [0149] また、 総合判定部の判定 °ジックを多数決判定方式と して説明したが、 よ ] きめこまかな判定口ジックとして、 各サブシステミ の状態を重故障， 中故障， 軽故障， 正常 ¾どと分類する場合は、 それぞれ、 最も正常に近いもの から順次還択する方法や、 各サブシステムの正常度 ど を数値で表現した場合は、 これら数値の最大のシステム を選択する方法なども考えられる。 この場合、 判定結果 そのものはよ ) きめ細かなものに .るが、 総合判定部の ロジックが複雑になるという欠点も有する。
    [0150] お、 無用の切換を防止するために、 例えば、 同ラ ン クだった場合は、 現在制御中として選択されているもの をそのまま選択させておく ことなどのロジックを入れる ことも効果がある。
    [0151] 本発明は、 三重化ブラント制御装置だけでなく二重化 プラン ト制御装置にも適用できる。 本発明によれば、 共通部を最小とした多重化システム
    [0152] を構成できるので、 特に高信頼化システムの実現が容易
    [0153] に可能となる。
    [0154] 一。 -
    权利要求:
    Claims 請求の範囲
    1 . 状態量を検出する検出器と、 前記検出器からの出力 信号を入力して演算処理し出力信号を出力するとともに、 前記出力信号の正常性 らびに演算装置を含む制御装置 の正常性を判定し、 前記出力信号るらびに制御装置が正 常 ¾場合と異常な場合の各々についてそれぞれ異る診断 結果信号を出力する複数の制御装置と、 前記制御装置か らの前記診断結杲信号に基づき多数決の原理に基づき最 も正常に機能している 1つの制御装置を選択して、 選択 された制御装置に対応する選択指令信号を出力する総合 判定部と、 前記総合判定部からの選択指令信号に基づき 最も正常に機能している制御装置から ©出力信号を選択 して制御対象機器に出力する出力信号切換部とよ ] ¾る ことを特徵とする多重化制御装置。
    2 . 第 1項記载の多重化制御装置において、 .前記制御装 置はその出力信号ならびに、 制御装置の正常性を前記制 御装置内の演算器または診断回路による自己診断によ ] 判定することを特徵とする多重化制御装置。
    3 . 第 1項記載の多重化制御装置において、 前記制御装 置はその出力信号の正常性と、 異常性の診断結杲信号を 出力することを特徵とする多重化制御装置。
    4 . 第 1項記载の多重化制御装置において、 前記総合判 定部は最も正常に機能している 1つの制御装置を選択す るに際し、 あらかじめ決められた優先順位に基づき正常 に機能している制御装置を選択することを特徵とする多 重化制御装置。
    5 . 第 1項記載の多重化制御装置において、 前記制御装 置は自己の制御装置の演算情報を他の制御装置に伝送す るとともに、 他の制御装置の演算情報を自己の制御装置 に伝送するため情報伝送回路を有し、 各制御装置は前記 情報伝送回路を介じて自己の制御装置内に入力した他の 制御装置からの演算情報と自己の演算情報とを比較して 自己の演算結果の正常性および他の制御装置の演算結果 の正常性を判定することを特徴とする'多重化制御装置。一
    6 . 第 1項記載の多重化制御装置において、 前記検出器 と前記制御装置間に発生した異常信-号が前記僩御装置に 入力するのを防止するた の入力信号切換部を設けた - とを特徴とする多重化制御装置。
    7 . 第 1項記載の多重化制御装置において、 前記検出器 は各制御装置ごとに専用の検出器を設'けたことを特徴と する多重化制御装置。
    8 . 第 1項記載の多重化制御装置において、 前記出力信 号切換部は全ての総合判定部からの選択指令信号を入力 し、 同一の値の選択指令信号が少なく とも 2個あるとき には、 前記同一の谆の選択指令信号に基づき最も正常に 機能している 1つの制御装置からの出力信号を選択して 前記制御対象機器に出力することを特徵とする多重化制
    9 . 第 1項記載の多重化制御装置において、 前記出力信 号切換部は全ての総合判定部からの選択指令信号を入力 し、 他の総合判定部からの選択指令信号が異常であ] 、 自己の総合判定部の選択指令信号が正常である場合、 自 己の選択指令信号に基づき自己の制御装置からの出力信 号を選択して制御対象機器に出力することを特徵とする 多重化制御装置。
    10. 第 5項記載の多重化制御装置において、 前記制御装 置は、 自己の制御装置の演算情報が他の復数個の制御装 置からの演算情報と一致している場合には自己の制御装 置の演算情報に基づき出力信号を送出し、 .自己の制御装 置の演算情報が他の複数個の制御装置からの演算情報と 複数回あるいは一定時間 上違続して一致しない場合に は自己の制御装置の滇算情報を一致している他の制御装 置の演算情報におきかえて、 おきかえられた演算情報に 基づき自己の制御装置から出力することを待徵とする多 重化制御装置。
    11. 第 5項記載の多重化制御装置において、 さらに前記 制御装置が自己の演算結果を異常と判定したときに、 異 常信号が正常な制御装置に前記情報伝送回路を介して伝 送されるのを防止するため前記情報伝送回路に伝送回路 切離し装置を設けたことを特徴とする多重化制御装置。
    12. 第 5項記載の多重化制御装置に いて、 前記伝送回 路は光伝送を応用した絶縁型データ伝送回路であること を特徴とする多重化制御装置。
    13. 第 6項記載の多重化制御装置において、 前記入力信 号切換部、 前記制御装置、 前記総合判定部、 ならびに前 記出力信号切換部は同一の制御対象システムを制御する ための複数個のサブシステムによって構成され、 前記サ ブシステムは各々個々に電源を具備することを特徵とす る多重化制御装置。
    14. 第 6項記載の多重化制御装置において、 前記—入力信— 号切換部るらびに前記出力信号切換部は前記検出部 ら びに前記制御装置からの入力信号をぞれぞれしゃ—断状態 に依持するための,中間端子を有し、 テス ト ッ—ルの信号 発生部からの出力信号を前記中間端子間に印加すること によ ]3前記個々のサブシステムをテス トするためテス ト ツールを具備することを特徵とする多重化制御装置。
    15. 同一の制御対象システムを制御するために下記よ i るサブシステムを複数個組合せることによ！）構成され る多重化制御装置、
    (1) 同一状態量を検出するために各サブシステム毎に 設けられる検出器、
    (2) 前記検出器から異常信号が自己のサブシステムに 入力するのをしゃ断するための入力信号切換部、
    (3) 前記入力信号切換部を介して入力される前記検出
    器からの信号をもとに出力信号を演算して出力する制
    御装置、 前記制御装置は自己のサブシステムの制御装
    置の演算結果を他のサブシステムの制御装置に伝送す
    るとともに他のサブシステムの制御装置の演算結果を
    自己のサブシステムの制御装置に伝送するための情報
    伝送回路を有し、 各サブシステムの制御装置は前記情
    報伝送回路を介して自己のサブシステムの制御装置に
    入力される他のサブシステムの制御装置からの演算結
    杲と自己のサブシステムの演算結果とを比較して自己
    および他のサブシステムの制御装置からの演算結果の
    正常性を判定し、 自己のサブシステムの制御装置の演
    算結果が正常る場合と異常な場合の各々についてそれ
    ぞれ異る診断結果信号を出力する、
    (4) 前記制御装置が自己のサブシステムの制御装置の
    動作状態を異常と判定したときに異常情報が正常な制
    御装置に前記情報伝送回路を介して伝送されるのをし
    や断するために前記データ伝送回路に設けられる伝送
    回路-切離し装置、
    (5) 前記制御装置からの前記診断結果信号に基づき最
    も正常に機能している iつの制御装置に対応する選択
    指令信号をあらかじめ決められた優先順位に従って選
    O PI WIPO .一 J 択して出力するための総合判定部、
    (6) 前記総合判定部からの選択指令信号に基づき最も 正常に機能している制御装置からの出力信号を選択し て制御対象機器に出力する出力信号切換部。
    OMPI
    类似技术:
    公开号 | 公开日 | 专利标题
    US20170305447A1|2017-10-26|Method and Apparatus for an Interlocking Control Device
    CN102289206B|2016-08-31|飞行控制系统及具有这种系统的航空器
    CN101228485B|2011-07-13|紧急停机系统
    RU2333528C2|2008-09-10|Управляемая компьютером отказоустойчивая система
    US4159470A|1979-06-26|Data communications systems employing redundant series transmission loops
    EP1540428B1|2006-10-04|Redundante steuergeräteanordnung
    US5274554A|1993-12-28|Multiple-voting fault detection system for flight critical actuation control systems
    ES2550161T3|2015-11-04|Procedimiento, sistema y acoplador de bus para el intercambio de datos entre una red superpuesta y una subyacente
    US7464291B2|2008-12-09|Storage subsystem and information processing system
    US5984504A|1999-11-16|Safety or protection system employing reflective memory and/or diverse processors and communications
    US5515282A|1996-05-07|Method and apparatus for implementing a databus voter to select flight command signals from one of several redundant asynchronous digital primary flight computers
    CN101119187B|2010-05-19|一种主从设备切换控制方法
    EP0102059B1|1990-11-22|Data transmission device for loop transmission system
    ES2267512T3|2007-03-16|Sistema electronico de seguridad para ascensores.
    JP3252907B2|2002-02-04|車両における複数の制御装置の機能監視装置
    US6732300B1|2004-05-04|Hybrid triple redundant computer system
    US4583224A|1986-04-15|Fault tolerable redundancy control
    EP0776855B1|2004-03-31|Procedure and apparatus for analyzing elevator operation
    US6957115B1|2005-10-18|Security-related bus automation system
    CA1171501A|1984-07-24|Steam turbine-generator control system
    US8301939B2|2012-10-30|Redundant data path
    US4562575A|1985-12-31|Method and apparatus for the selection of redundant system modules
    CN1176829C|2004-11-24|舱室压力控制系统、控制舱室内部实际压力的方法及流出阀
    EP1055077B1|2007-06-06|Two out of three voting solenoid arrangement
    US5086499A|1992-02-04|Computer network for real time control with automatic fault identification and by-pass
    同族专利:
    公开号 | 公开日
    JPH055121B2|1993-01-21|
    US4667284A|1987-05-19|
    JPS59212902A|1984-12-01|
    引用文献:
    公开号 | 申请日 | 公开日 | 申请人 | 专利标题
    JPS4861886A|1971-12-02|1973-08-29|||
    JPS5014987A|1973-06-13|1975-02-17|||
    JPS56168802U|1980-05-19|1981-12-14|||
    JPS5837702A|1981-08-28|1983-03-05|Hitachi Ltd|Triplex controller|GB2481753A|2007-09-18|2012-01-04|Fisher Rosemount Systems Inc|Process plant control system with control redundancy|US4101958A|1977-09-01|1978-07-18|Rockwell International Corporation|Apparatus and method for effecting redundant control data transfer in a digital flight control system|
    US4412281A|1980-07-11|1983-10-25|Raytheon Company|Distributed signal processing system|
    US4327437A|1980-07-30|1982-04-27|Nasa|Reconfiguring redundancy management|
    US4472806A|1982-05-03|1984-09-18|The Boeing Company|Signal selection and fault detection apparatus|
    JPS59157703A|1983-02-28|1984-09-07|Hitachi Eng Co Ltd|Switching system of multisystem controller|JPH0830962B2|1985-04-05|1996-03-27|株式会社日立製作所|階層型高信頼化装置|
    JPH0543121B2|1985-07-01|1993-06-30|Hitachi Ltd||
    JPS6281201U|1985-11-07|1987-05-23|||
    US4772445A|1985-12-23|1988-09-20|Electric Power Research Institute|System for determining DC drift and noise level using parity-space validation|
    DE3639055C2|1986-11-14|1998-02-05|Bosch Gmbh Robert|Verfahren zur Betriebsüberwachung und Fehlerkorrektur von Rechnern eines Mehrrechnersystems und Mehrrechnersystem|
    SE457391B|1987-04-16|1988-12-19|Ericsson Telefon Ab L M|Programminnesstyrt realtidssystem omfattande tre i huvudsak identiska processorer|
    JPH0731537B2|1987-09-11|1995-04-10|株式会社日立製作所|多重化制御装置|
    JPH01245335A|1988-03-28|1989-09-29|Hitachi Ltd|Multiplexing system for programmable controller|
    US5084878A|1988-10-24|1992-01-28|Hitachi, Ltd.|Fault tolerant system employing majority voting|
    US5245531A|1989-03-10|1993-09-14|Kabushiki Kaisha Toshiba|Multiplexed digital control device|
    JP2768722B2|1989-03-10|1998-06-25|株式会社東芝|多重化制御装置|
    DE4005546A1|1990-02-22|1991-08-29|Gutehoffnungshuette Man|Verfahren zur redundanten drehzahlregelung und vorrichtung zur durchfuehrung dieses verfahrens|
    JPH0490648A|1990-08-06|1992-03-24|Fujitsu Ltd|Coded transmission system|
    JPH04101201A|1990-08-21|1992-04-02|Toshiba Corp|Plant monitoring and controlling system|
    US5357425A|1991-02-13|1994-10-18|General Electric Company|Method and apparatus for controlling a real time system|
    JP2682251B2|1991-04-05|1997-11-26|株式会社日立製作所|多重化制御装置|
    US5339404A|1991-05-28|1994-08-16|International Business Machines Corporation|Asynchronous TMR processing system|
    US5428769A|1992-03-31|1995-06-27|The Dow Chemical Company|Process control interface system having triply redundant remote field units|
    US5664089A|1994-04-26|1997-09-02|Unisys Corporation|Multiple power domain power loss detection and interface disable|
    US5613064A|1995-01-13|1997-03-18|Curtin; Keith W.|Output network for a fault tolerant control system|
    FR2730074B1|1995-01-27|1997-04-04|Sextant Avionique|Architecture de calculateur tolerante aux fautes|
    DE19718284C2|1997-05-01|2001-09-27|Kuka Roboter Gmbh|Verfahren und Vorrichtung zum Überwachen einer Anlage mit mehreren Funktionseinheiten|
    US6473711B1|1999-08-13|2002-10-29|Rosemount Inc.|Interchangeable differential, absolute and gage type of pressure transmitter|
    DE60327687D1|2003-01-23|2009-07-02|Supercomputing Systems Ag|Fehlertolerantes computergesteuertes System|
    DE102004033263B4|2004-07-09|2007-07-26|Diehl Aerospace Gmbh|Steuer-und Regeleinheit|
    JP4639930B2|2005-04-26|2011-02-23|日産自動車株式会社|冗長系システム及びその故障診断方法|
    US7467555B2|2006-07-10|2008-12-23|Rosemount Inc.|Pressure transmitter with multiple reference pressure sensors|
    JP2008060713A|2006-08-29|2008-03-13|Fuji Xerox Co Ltd|情報処理装置およびプログラム|
    JP4859803B2|2007-10-01|2012-01-25|日立オートモティブシステムズ株式会社|電動アクチュエータの制御装置|
    JP5286151B2|2009-04-24|2013-09-11|株式会社東芝|多重化制御システムおよび多重化制御システムの制御方法|
    WO2011099233A1|2010-02-10|2011-08-18|日本電気株式会社|多重化システム|
    JP5783944B2|2012-03-28|2015-09-24|株式会社東芝|多重化制御システム|
    JP2013239034A|2012-05-15|2013-11-28|Mitsubishi Electric Corp|系切替制御装置及び二重化システム|
    法律状态:
    1988-06-02| AK| Designated states|Kind code of ref document: A1 Designated state(s): US |
    优先权:
    申请号 | 申请日 | 专利标题
    [返回顶部]