JPH0327923B2 - - Google Patents

Description

【発明の詳細な説明】 本発明は、ｎ＋１冗長化制御装置の改良に関す
るものである。

分散形制御装置は、インテリジエンスを有する
複数の制御ステーシヨンを制御対象の各所に分散
配置して通信線で結び、各制御のステーシヨンに
それぞれの区域を分担制御させるようにしたもの
である。このような装置は危険分散形の制御装置
であり、システムとしての信頼性は高いが、個々
の制御ステーシヨンについては、分散形だからと
いつて信頼性が高まつたことにはならない。そこ
で個々の制御ステーシヨンごとに高い信頼性が要
求されるときは、個々の制御ステーシヨンの冗長
化が必要になる。

冗長化の手法としては、経済性の見地から、所
定の複数の制御ステーシヨンに対して１つの待機
用の制御ステーシヨンを設け、実働側の制御ステ
ーシヨンのどれか１つが故障したとき、待機側の
制御ステーシヨンでバツクアツプするようにし
た、いわゆるｎ＋１冗長化が採用される。その場
合、バツクアツプ時およびバツクアツプ解除時の
制御の引き継ぎを円滑にするために、入出力信号
と制御用のデータベースを、実働側の制御ステー
シヨンと待機側の制御ステーシヨンとの間に継承
させることが必要になる。

制御ステーシヨンについてｎ＋１冗長化を行な
つた分散形制御装置の従来例としては、各制御ス
テーシヨンのプロセス入出力信号線を実働側の制
御ステーシヨンと待機側の制御ステーシヨンの間
で授受するための専用の接続手段を設けたものが
ある。このような従来例においては、多数の入出
力信号線の切り換えが必要になるので、切り換え
手段はさくそうしたものとなつて信頼性が低下す
る欠点があり、また、待機側の制御ステーシヨン
は、実働側の制御ステーシヨンの入出力部と同一
のものをすべて持つていなければならないので、
経済的でない。あるいは、逆に、実働側の制御ス
テーシヨンの持ちうる入出力部は、待機側の制御
ステーシヨンの入出力部によつて限定される。ま
た、冗長化関係にあるｎ＋１個の制御ステーシヨ
ン間に、データベース授受用の専用の接続線が必
要になるのも不経済である。さらに、バツクアツ
プ時に、待機側の制御ステーシヨンがデータベー
スを引き継ぐとき、実働側の制御ステーシヨンは
その前に故障しているのであるから、インテリジ
エンスの暴走などによつて、データベースが損傷
を受けている可能性がある。損傷を受けたデータ
ベースによつては、正しい制御ができないので、
そのようなおそれのないデータベースを引き継ぐ
ようにする必要がある。

本発明の目的は、冗長化関係にあるｎ＋１個の
制御機構の間において、制御引き継ぎ時のプロセ
ス入出力線の切り換えを必要とせず、データベー
ス授受用の専用の接続線が不要で、かつ、実働側
の故障にもかからわず、正常性の保証されたデー
タベースを引き継ぐことができる冗長換分散形制
御装置を提供することにある。

本発明は、 インテリジエンスと入出力部を持つ複数のプロ
セス制御ユニツトと、インテリジンエスを持つ冗
長ユニツトを通信線によつて接続した構成を有す
るｎ＋１冗長化制御装置であつて、 各プロセス制御ユニツトは、ウオツチドツグ・
タイマのタイムアツプに従つて故障を表示する手
段を有し、 冗長ユニツトは、プロセス制御ユニツトからア
ツプロードされるデータベースの記憶手段とし
て、通信線に繋る全てのプロセス制御ユニツトの
データベースを記憶できる容量よりも、少くとも
プロセス制御ユニツトのウオツチドツグ・タイマ
の時限値に相当する時間にアツプロードされるデ
ータベースを記憶できる容量だけ大きい容量を持
つ記憶手段と、この記憶手段に、通信線に繋る全
てのプロセス制御ユニツトのデータベースを周期
的に順番にかつ循環的に記憶させるアツプロード
手段と、プロセス制御ユニツトのいずれかが故障
を表示したとき、その時点よりもプロセス制御ユ
ニツトのウオツチドツグ・タイマの時限値以上前
にアツプロードされたそのプロセス制御ユニツト
のデータベースを用いてそのプロセス制御ユニツ
トのインテリジエンスの代りにそのプロセス制御
ユニツトの入出力部を駆使してプロセス制御を行
なう手段とを有する、 ｎ＋１冗長化制御装置 によつて上記の目的を達成したものである。

以下、実施例によつて本発明を詳細に説明す
る。第１図は、本発明が適用される分散制御装置
の概念的構成図である。第１図において、１₁〜
１_Kは制御ステーシヨンであつて、それぞれイン
テリジエンスを有し制御対象の各部を分担して制
御するものである。２₁〜２_nはマスタステーシヨ
ンであつて、オペレータまたは上位計算機による
システム全体の監視・操作用として設けられる。
３は通信線路であつて、制御ステーシヨン１₁〜
１_Kとマスタステーシヨン２₁〜２_nを接続し、分
散形制御装置を形成するものである。

制御ステーシヨン１_i（ｉ＝１〜ｋ）の詳細な
構成を第２図に示す。第２図において、４₁〜４
ｎはプロセス制御ユニツト、５はクラスタ制御ユ
ニツト、６は冗長ユニツト、７は内部通信線であ
る。プロセス制御ユニツト４₁〜４ｎとクラスタ
制御ユニツト５と冗長ユニツト６は、内部通信線
７によつて相互接続され、１つの制御ステーシヨ
ンを構成する。このような制御ステーシヨンをそ
の形態に因んでクラスタ（房）と呼ぶ。各クラス
タは、クラスタ制御ユニツト５を通じて通信線路
３に接続される。

プロセス制御ユニツト４₁〜４ｎ、クラスタ制
御ユニツト５および冗長ユニツト６はいずれもイ
ンテリジエンスを持つており、例えば、第３図、
４図および第５図のようにそれぞれ構成される。

第３図において、プロセス制御ユニツト４_j
（ｊ＝１〜ｎ）は、内部通信制御器NCMと、プ
ロセツサNPUと、メモリNMUと、入出力器
Ｉ／Ｏを持つている。これらの各コンポーネント
はデータバスDBSによつて相互に接続されて、
インテリジエントなプロセス制御ユニツトを形成
している。プセツサNPUとメモリNMUがイン
テリジエンスの中枢をなす。入出力データはメモ
リNMUに記憶され、プロセツサNPUによつて、
プロセス制御用のデータ処理がなされる。データ
処理に際しては、メモリNMU中のデータベース
が用いられ、このユニツトが担当しているプロセ
スに適したデータ処理が行なわれる。

内部通信制御器NCMは、内部通信線７に対す
る通信を制御するとともに、ダイレクト・メモリ
アクセス（DMA）によつてメモリNMUと入出
力器Ｉ／Ｏにアクセスする機能を持つている。こ
のような機能は、通信制御器NCMに内蔵された
マイクロプログラムによつて実現される。

第４図のクラスタ制御ユニツト５も、同様な内
部通信制御器NCM、プロセツサNPU、およびメ
モリNMUを持つており、さらにその他に外部通
信制御器FCAを持つている。外部通信制御器
FCAもDMA機能を持つものである。これらの各
コンポーネントもデータバスDBSによつて相互
接続されて、インテリジエントなクラスタ制御ユ
ニツトを形成している。このクラスタ制御ユニツ
トは、そのインテリジエンスによつて、クラスタ
内の各ユニツトの動作を制御する。制御の種類
は、大別して２種類あり、１つは、マスタステー
シヨン２₁〜２_nから通信線路３を通じて与えられ
る指令に基づいて、クラスタ内の各ユニツトを制
御することであり、もう１つは、プロセス制御ユ
ニツト４_jから通信される故障通信信号に基づい
て、冗長ユニツト６に故障したプロセス制御ユニ
ツト４_jのバツクアツプを行なわせることである。
これらの制御は、いずれも内部通信線７を利用し
た通信によつて行なわれる。その場合、プロセツ
サNPUは、制御用のデータ処理を行ない、内部
通信制御器NCMは、内部通信線７に対する通信
を制御し、外部通信制御器FCAは外部通信線３
に対する通信を制御する。

第５図の冗長ユニツト６も、同様な内部通信制
御器NCMとプロセツサNPUとメモリNMUを持
つており、さらにその他にアツプロードメモリ
NMUUを持つている。これら各コンポーネント
もデータバスDBSによつて相互接続されて、イ
ンテリジエントな冗長ユニツト６を形成してい
る。この冗長ユニツト６は、そのインテリジエン
スにより、クラスタ内の全プロセス制御ユニツト
４₁〜４ｎのデータベースを、通信を介して周期
的に読み出してアツプロードメモリNMUUに記
憶しており、これによつて、各プロセス制御ユニ
ツト４_jの最新のデータベースが常にアツプロー
ドメモリNMUUに存在するようになつている。
データベースの収集は、冗長ユニツト６と各プロ
セス制御ユニツト４_jにおける内部通信制御器
NCMのDMA機能によつて周期的に行なわれる。
データベースの収集時の冗長ユニツト６の挙動
を、マスタ制御ユニツト５によつて監視すること
により、待機状態における冗長ユニツト６の健全
性が確認できる。したがつて、バツクアツプは健
全性がが保証された冗長ユニツトで行なえる。

アツプロードメモリNMUUには、プロセス制
御ユニツト４_jのそれぞれに対応したアツプロー
ド領域が設けられている。これらアツプロード領
域は、プロセス制御ユニツト４_jの数よりも多く
設けられる。いま、たとえばプロセス制御ユニツ
トの数ｎを８とすると、アツプロード領域は第６
図のように構成される。

第６図においては、アツプロード領域がプロセ
ス制御ユニツト数の２倍だけ設けられ、各領域
に、それぞれ対応するプロセス制御ユニツトのデ
ータベースがアツプロードされるようになつてい
る。アツプロードは順番に行なわれ、現時点t₀に
おいては、プロセス制御ユニツト４₅のデータベ
ースがアツプロードされている。その他の領域の
データベースは、全てそれ以前にアツプロードさ
れたものであつて、時点を示す記号の負数の添字
が現時点からの溯りの程度を表す。データベース
の１回あたりのアツプロード所要時間をｔとする
と、各領域のデータベースは、ｔの添字倍だけ過
去のものである。アツプロードの所要時間ｔはた
とえば1.5秒程度である。領域の数がプロセス制
御ユニツト数の２倍であることにより、各プロセ
ス制御ユニツト４_jのデータベースは収集時点の
一周期異なるものが２つ存在する。

各プロセス制御ユニツト４_jの故障は、それぞ
れに内蔵されたウオツチドツグ・タイマのタイム
アツプによつて検出され、それに基づく故障報知
が通信によつてクラスタ制御ユニツト５に伝達さ
れる。ウオツチドツグ・タイマの時限値Ｔは、全
てのプロセス制御ユニツト４₁〜４ｎに対して同
一の値が定められ、たとえば４秒程度とされる。

クラスタ制御ユニツト５は、プロセス制御ユニ
ツトの故障を確認すると、冗長ユニツト６にその
バツクアツプを指令する。

冗長ユニツト６は、クラスタ制御ユニツト５か
らの指令に従つて、故障したプロセス制御ユニツ
トのバツクアツプを行なう。

バツクアツプ時のデータ処理に使用されるデー
タベースは、予めアツプロードされているものの
中から次のようにした選ばれ、メインメモリに移
送して利用される。

いま、プロセス制御ユニツト４₂が故障し、そ
のバツクアツプが第６図のt₀時点で指令され、こ
のとき、冗長ユニツト６は、たまたまプロセス制
御ユニツト４₅のデータベースをアツプロード中
であるとすると、冗長ユニツト６は、プロセス制
御ユニツト４₂のデータベースとしては、t₀時点
からウオツチドツグ・タイマの時限値Ｔ以上に過
去のものを採用する。いま、プロセス制御ユニツ
ト４₂のデータベースは、t_-3時点とt_-11時点の２
つがアツプロードされているが、t_-3時点がウオ
ツチドツグ・タイマの時限値Ｔ以上の位置にある
とすると、t_-11時点のデータベースが採用され
る。

ウオツチドツグ・タイマの時限値以内の位置
t_-3にデータベースがあるということは、それが
アツプロードされた時点では、すでにプロセス制
御ユニツト４₂の故障が発生しているということ
であり、そのため、その時点のデータベースは、
プロセツサの暴走によつて破壊されている可能性
がある。そこで、そのようなおそれのあるデータ
ベースは避けて、正しいことが確実な、もつと過
去のデータベースを採用する。なお、ｔ＝1.5、
Ｔ＝４の場合は、ｔ＝_-3時点は−4.5秒であり、
ウオツチドツグ・タイマの時点値をわずかに外れ
ているが、きわどい時点なので採用は避けたほう
がよい。現実的には、ウツオチドツグ・タイマの
時限値の1.5倍以上離すのが妥当である。

以上のことを可能にするために、アツプロード
領域の数をプロセス制御ユニツト４_jの数よりも
多く設けたのであるが、その数が、第６図のよう
に、プロセス制御ユニツト数の２倍とは限らず
に、ウオツチドツグ・タイマの時限値Ｔあるいは
それよりもある程度余裕をみた値と同じ時間内に
アツプロードされる複数のデータベースを受け入
れられるだけ、プロセス制御ユニツト４_jの数よ
りも多ければよい。ウオツチドツグ・タイマの時
限値Ｔと同じ時間歌にアツプロードされるデータ
ベースの数はＴ／ｔとなるから、アツプロード領
域の数はｎ＋Ｔ／ｔ以上の整数であればよい。

第６図の例でいえば、ｎ＝８、Ｔ／ｔ＝2.7で
あるから、アツプロード領域数は11あればよいこ
とになるが余裕をみて12とする。そうすると、ア
ツプロード領域０および１３〜１５は本来不要と
なる。しかし、この部分があると、アツプロード
領域数がプロセス制御ユニツト数の２倍となり、
各アツプロード領域が各プロセス制御ユニツトに
固定的に対応するので都合がよい。これに対し
て、アツプロード領域数を12とすると、第７図の
ように、各領域にアツプロードされるデータベー
スはアツプロードの周期に従つてサイクリツクに
変化する。

バツクアツプは、上記のようにして採用したデ
ータベースを用いて、冗長ユニツト６のインテリ
ジエンスが、通信を介してプロセス制御ユニツト
４₂の入出力器Ｉ／Ｏを駆使することによつて行
なう。すなわち、冗長ユニツト６のインテリジエ
ンスが、プロセス制御ユニツト４₂のインテリジ
エンスにとつて代つた形でバツクアツプを行な
う。プロセス制御ユニツト４₂は、DMA機能を有
する内部通信制御器NCMを持つているので、そ
のような入出力器Ｉ／Ｏの駆使が可能となる。す
なわち、入出力器Ｉ／Ｏの信号線の切り換えを全
く必要とせずに、バツクアツプが行なえる。この
ため、冗長ユニツト６はプロセス制御ユニツト４
_２の入出力器Ｉ／Ｏと同一のものを持つ必要がな
く、したがつて、プロセス制御ユニツト４₂は、
自己にとつて必要な入出力器Ｉ／Ｏを自由に持つ
ことを妨げられない。

バツクアツプ中は、プロセス制御ユニツト４₂
以外のものに対するデータベース収集が、周期的
に行なわれる。データベースの収集、クラスタの
内部制御用の内部通信線７を共用して通信によつ
て行なわれるので、専用の接続線は不要となる。
またデータベースは、プロセス制御ユニツト４₂
が正常な間に読み出しておいたものを採用するか
ら、データベースの正常性は保証されている。し
たがつて、故障したプロセス制御ユニツト４₂か
ら異常なデータベースを引き継いで、バツクアツ
プそのものも異常になるという、いわゆる共倒れ
現象は容易に防止される。

バツクアツプ中に、プロセス制御ユニツト４₂
の故障したインテリジエンスの修理あるいは交換
が行なわれる。修理あるいは交換により正常な機
能を回復したインテリジエンスは、機能回復信号
（レデイ信号）を発生する。この信号が通信され
ると、クラスタ制御ユニツト６は、プロセス制御
ユニツト４₂のインテリジエンスの機能回復を認
識し、自動的にあるいはオペレータの手動操作に
従つて、冗長ユニツト６にバツクアツプの解除を
指令する。

この指令に従つて、冗長ユニツト６は、アツプ
ロードメモリNMU中のプロセス制御ユニツト４
_２用のデータベースを、通信を介してプロセス制
御ユニツト４₂のメモリNMUのデータベース領
域に写しかえ、次いで、そのインテリジエンスを
起動してバツクアツプからぬけだす。

第８図に、本発明の他の実施例を示す。この実
施例は、クラスタの内外の通信系統を冗長化し、
信頼性をさらに高めたものである。すなわち、外
部通信線路は３₁，３₂の２系統設けられ、内部通
信線も７_1，７₂の２系統設けられ、かつ、これら
に対応して、クラスタ制御ユニツト５には、外部
通信制御器FCAと内部通信制御器NCMがいずれ
も２系統ずつ設けられ、プロセス制御ユニツト４
_１〜４ｎと冗長ユニツト６には、内部通信制御器
NCMが２系統設けられる。

以上、本発明を好ましい実施例について説明し
たが、本発明は特許請求の範囲内において様々な
実施態様がありうる。

【図面の簡単な説明】

第１図は、本発明が適用される分散形制御装置
の概念的構成図、第２図は、本発明実施例の概念
的構成図、第３図、第４図および第５図は、それ
ぞれ第２図の一部の詳細構成図、第６図および第
７図は、アツプロード・メモリの概念的構成図、
第８図は、本発明の他の実施例の概念的構成図で
ある。 １₁〜１_k……制御ステーシヨン、２₁〜２_n……
マスタステーシヨン、３……通信線路、４₁〜４
ｎ……プロセス制御ユニツト、５……クラスタ制
御ユニツト、６……冗長ユニツト、７……内部通
信線。

Claims (1)

1. 【特許請求の範囲】 １ インテリジエンスと入出力部を持つ複数のプ
   ロセス制御ユニツトと、インテリジンエスを持つ
   冗長ユニツトとを通信線によつて接続した構成を
   有するｎ＋１冗長化制御装置であつて、 各プロセス制御ユニツトは、ウオツチドツグ・
   タイマのタイムアツプに従つて故障を表示する手
   段を有し、 冗長ユニツトは、プロセス制御ユニツトからア
   ツプロードされるデータベースの記憶手段とし
   て、通信線に繋る全てのプロセス制御ユニツトの
   データベースを記憶できる容量よりも、少くとも
   プロセス制御ユニツトのウオツチドツグ・タイマ
   の時限値に相当する時間にアツプロードされるデ
   ータベースを記憶できる容量だけ大きい容量を持
   つ記憶手段と、この記憶手段に、通信線に繋る全
   てのプロセス制御ユニツトのデータベースを周期
   的に順番にかつ循環的に記憶させるアツプロード
   手段と、プロセス制御ユニツトのいずれかが故障
   を表示したとき、その時点よりもプロセス制御ユ
   ニツトのウオツチドツグ・タイマの時限値以上前
   にアツプロードされたそのプロセス制御ユニツト
   のデータベースを用いてそのプロセス制御ユニツ
   トのインテリジエンスの代りにそのプロセス制御
   ユニツトの入出力部を駆使してプロセス制御を行
   なう手段とを有する、 ｎ＋１冗長化制御装置。