JPH0535441B2 - - Google Patents

Description

【発明の詳細な説明】 ［産業上の利用分野］ 本発明は２重化構成の制御装置に係り、特に、
信頼性を高めるのに好適な２重化制御装置に関す
る。

［従来の技術］ 第６図は、従来の２重化制御装置の構成図であ
る。図示しない上位制御系等からの指令信号（目
標値）３がこの２重化制御装置１に与えられる
と、この指令信号３は、２重化された制御演算部
１１ａ，１１ｂに入力される。各制御演算部１１
ａ，１１ｂには、制御対象２からのフイードバツ
ク信号４も戻される。各制御演算部１１ａ，１１
ｂは、夫々、目標値３とフイードバツク信号４と
の偏差を求める減算器と、各偏差信号１２ａ，１
２ｂを零にする制御信号１４ａ，１４ｂを演算し
て求め出力する制御演算機能１３ａ，１３ｂとを
備える。信号選択部２１は、選択ロジツク部２
２、制御信号１４ａ，１４ｂ対応の信号選択リレ
ー接点４ａ，２４ｂを備え、制御信号１４ａ，１
４ｂの一方が選択ロジツク部２２より選択され、
最終的な制御信号１６として制御対象２に与えら
れる。

選択ロジツク部２２における選択の方法につい
ては従来から種々の方法があるが、大きく分ける
と次の２種類に分類される。

(1) ２つの制御信号１４ａ，１４ｂのうちからシ
ステム的にフエイルセイフ方向のものを選択す
る。具体的には、高値または低値の制御信号を
選択する。

(2) 制御演算部１１ａ，１１ｂが夫々異常の自己
診断を行い、少なくとも異常の発見された側の
制御演算部が出力する制御信号は選択しないよ
うにする。

前者は、システム的にはフエイルセイフ動作と
なるが、システムによつては、必ずしもフエイル
セイフ方向が定まつていないものがある。また、
あまりにフエイルセイフ性にこだわると、制御系
としての稼働率を減少させることになり、その適
用が極めて限定されるという問題がある。

後者は、制御演算部に計算機を使用すること
で、特別にハードウエアを追加しなくても異常診
断能力の強化を図ることができるため、最近多く
使われるようになつてきている。第７図ａはその
ロジツクの一例を示す論理回路図であり、第７図
ｂは、論理回路の記号説明図である。

第７図ａにおいて、制御演算部１１ａ（Ａ系）
の自己診断機能は、自己診断結果１５ａを信号選
択部２１の選択ロジツク部２２に入力する。ま
た、制御演算部１１ｂ（Ｂ系）の自己診断機能も、
自己診断結果１５ｂを選択ロジツク部２２に入力
する。

選択ロジツク部２２は、ANDロジツク５０ａ，
５０ｂ，５１ａ，５１ｂ，５２と、ORロジツク
５３ａ，５３ｂと、NOTロジツク５４，５５，
５６，５７を備える。そして、自己診断結果１５
ａ，１５ｂは、正常のとき“１”となり、異常の
とき“０”となる。また、Ａ系手動、Ｂ系手動が
選択されると“１”が出力され、ANDロジツク
５１ａ，５１ｂの出力が“１”となるとＡ系（Ｂ
系）選択指令が出力されてリレー接点２４ａ，２
４ｂがオン状態となる。

(1) この論理回路において、Ａ系、Ｂ系とも正常
判定のとき、Ａ系が自動的に選択され、Ａ系選
択指令２３ａにより、リレー接点２４ａがオン
状態となる。このとき、Ｂ系信号選択リレー接
点２４ｂはオフ状態のままである。ここで、何
らかの理由によりＢ系制御に切り替えたい場合
には、Ｂ系手動選択スイツチをオンする。これ
により、Ｂ系手動選択の出力が“１”となり、
信号１５ｂが“１”のためANDロジツク５０
ｂの出力が“１”となる。このため、NOTロ
ジツク５４の出力が“０”となつてANDロジ
ツク５１ａの出力は“０”となり、Ａ系選択指
令は出力されず、接点２４ａはオフ状態とな
る。一方、Ａ系手動選択は“０”であるため
ANDロジツク５０ａは“０”を出力し、NOT
ロジツク５７の出力は“１”である。また、自
己診断結果１５ｂは正常を示す“１”であるた
め、Ｂ系手動選択が“１”になつたときにOR
ロジツク５３ｂが“１”を出力し、ANDロジ
ツク５１ｂの出力は“１”となる。これによ
り、Ｂ系選択指令が出力され、接点２４ｂがオ
ン状態となる。再度、Ａ系制御に切り替えたい
場合には、Ａ系手動選択スイツチをオンするこ
とで、上記と同様のロジツクにて、接点２４ａ
がオン、接点２４ｂがオフとなる。

(2) Ａ系が選択されて制御を行い、Ｂ系が待機し
ているときに、Ａ系に異常が検出されたとす
る。自己診断結果１５ａが“０”となるため、
ANDロジツク５１ａの出力が“０”となり、
Ａ系選択指令は出力されず、接点２４ａはオフ
となる。一方、ANDロジツク５０ａの出力は
“０”であるためNOTロジツク５７の出力は
“１”であり、Ｂ系の自己診断結果１５ｂは
“１”である。ここで、Ａ系に異常が生じると
NOTロジツク５６の出力が“１”となつてOR
ロジツク５３ｂの出力が“１”となり、AND
ロジツク５１ｂの出力は“１”になる。このた
め、Ｂ系が選択され、接点２４ｂがオンとな
る。

(3) Ｂ系が選択されて制御を行い、Ａ系が待機し
ているときに、Ｂ系に異常が検出された場合に
は、上記の(2)と同様に動作し、接点２４ａがオ
ンとなり、接点２４ｂがオフとなる。

(4) 一方の系が選択されて制御を行い、他系が待
機しているときに、待機系に異常が生じた場合
には、制御そのものの変更はない。

(5) Ａ、Ｂ両系が共に異常になつた場合には、
ANDロジツク５２の出力が“１”となつて、
操作端ロツクなどのフエイルアズイズ動作また
はフエイルセイフ動作をとらせることが多い。

(6) 上述した制御に加え、異常検出時に警報を出
力することが、現実的によくとられる。

［発明が解決しようとする課題］ 上述した従来技術におけるロジツクは、現実的
に極めて有効であり、１重系に比べて、相当な高
信頼化が期待できるものの、次の様な３つの問題
がある。

(1) 基本的な動作としては、１重系にバツクアツ
プ系を用意して２重系としたものにすぎず、出
力信号そのものの信頼度は、１重系と等価にす
ぎない。

(2) 異常検出能力の大小により、そのシステム信
頼度（稼働率）が大きく変わる。

(3) Ａ系、Ｂ系の演算結果が不一致となつても、
自己診断機能が異常を検出できない場合には、
どちらが正しいデータなのか確定することがで
きず、したがつて最悪の場合には異常制御を許
容してしまう場合がある。

そこで、一般には、この種の超高信頼度が要求
されるシステムでは、多数決判定の可能な３重化
システムが適用されている。しかし、３重化シス
テムはハードウエア量が膨大となり、また、価格
もそれに伴つて上昇するため、その適用範囲もあ
る程度限定せざるを得ず、全ての制御装置を３重
化システムとすることはできない。

本発明の目的は、２重化システムでの信頼性を
３重化システムでの信頼性並に高めることのでき
る制御装置を提供することにある。

［課題を解決するための手段］ 上記目的は、目標値と制御対象からのフイード
バツク信号との偏差を入力とし該偏差を減少させ
る制御信号を出力する制御演算手段を２つ備え、
一方を制御側、他方を待機側として制御側の制御
演算手段の出力信号を前記制御対象に与え、制御
側に異常が生じたとき待機側の制御演算手段を制
御側に切り替る２重化制御装置において、両制御
演算手段の出力信号間の偏差を検出する第１手段
と、前記フイードバツク信号と前記目標値との偏
差を検出する第２手段と、前記第１手段が許容値
を越える偏差を検出した場合に前記第２手段の検
出偏差が許容値以内のときは待機側の制御演算手
段に異常が発生したと判定する第３手段とを設け
ることで、達成される。

［作用］ 制御側の制御演算手段または待機側の制御演算
手段のどちらかに異常が発生した場合には、両者
の演算結果間の偏差が大になることで検出でき
る。しかし、これだけでは、制御側、待機側のど
ちらで異常が発生したかまでは分からない。そこ
で、異常の発生したとき、フイードバツク信号と
目標値との偏差でどちらに異常が発生したかを判
定する。もし、制御側に異常が発生した場合に
は、フイードバツク信号が異常となるので目標値
との偏差が大となり、待機側に異常が発生した場
合には、正常な制御演算手段の演算結果が与えら
れる制御対象からのフイードバツク信号は目標値
に追随して変化しているため偏差は小さい。従つ
て、フイードバツク信号と目標値との偏差の程度
により、制御側、待機側のどちらに異常が発生し
たかを判定することが可能となる。

［実施例］ 以下、本発明の一実施例を図面を参照して説明
する。

第１図は、本発明の第１実施例に係る２重化制
御装置の構成図である。本実施例の２重化制御装
置は、第６図に示す従来の制御装置に、異常判定
部３１を設けている。この異常判定部３１は、２
つの偏差モニタ３２，３６を備える。

偏差モニタ３２は、制御演算部１１ａ，１１ｂ
の演算結果１４ａ，１４ｂを常時監視し、両結果
１４ａ，１４ｂの間に予め設定された第１許容値
を越える偏差が発生している否かを判定し、第１
許容値を越える偏差が発生している場合には、例
えば“１”信号を出力し、第１許容値以内の場合
には“０”信号を出力する。

偏差モニタ３６は、制御対象２からのフイード
バツク信号４と、簡易モデル３４に目標値３を通
すことで得られるフイードバツク推定値３５との
偏差を常時監視し、該偏差が第２許容値を越える
か否かを判定する。そして、第２許容値を越える
場合には、例えば“１”信号を出力し、第２許容
値以内の場合には“０”信号を出力する。

簡易モデルは、制御系および／または制御対象
を模擬するモデルであるが、本実施例で用いる簡
易モデル３４は、単に、無駄時間要素と１次また
は２次遅れ要素の組み合わせで構成される。尚、
簡易モデル３４は、１次遅れ要素のみでもよく、
また、システムによつてはこれを削除することも
可能である。

異常判定部３１は、更に、タイムデイレイピツ
クアツプ要素（限時要素、以下、TDPUと略
す。）３３，３７を備える。TDPU３３は、偏差
モニタ３２の出力を受け、モニタ３２の出力
“１”が規定時間以上継続したとき“１”を出力
し、それ以外のとき“０”を出力する。TDPU
３７は、偏差モニタ３６の出力を受け、モニタ３
６の出力“１”が規定時間以上継続したとき
“１”を出力し、それ以外のとき“０”を出力す
る。

異常判定部３１は、TDPU３３，３６の両出
力信号のAND条件をとり制御側制御演算部（１
ａまたは１１ｂ）の異常の有無を示す信号３８を
出力するANDロジツクと、TDPU３３の出力信
号及びTDPU３７の出力の否定信号のAND条件
をとり待機側制御演算部（１１ａまたは１１ｂ）
の異常の有無を示す信号３９を出力するANDロ
ジツクとを備える。

この第１図の２重化制御装置で、例えば、今、
制御演算部１１ａが制御側、制御演算部１１ｂが
待機側であるとする。そして、制御側に異常が発
生したと仮定すると、制御演算部１１ａの計算結
果１４ａと制御演算部１１ｂの計算結果１４ｂが
異なり、両者の結果間の偏差が許容値を越えるこ
とになる。このため、偏差モニタ３２が“１”を
出力し、TDPU３３が“１”を出力する。もし、
ノイズにて偏差モニタ３３が“１”を出力した場
合には、それは規定時間以上継続することは希な
ため、TDPU３３の出力は“０”のままとなる。
つまり、TDPU３３はノイズ等による誤検出を
回避する働きをする。尚、規定時間として０秒を
設定することもできる。

今の場合は、制御側の制御演算部１１ａに異常
が発生したと仮定しているので、異常な計算結果
１４ａが制御対象２に与えられ、このため、フイ
ードバツク信号４の値も、目標値３とかけ離れた
値となる。このため、偏差モニタ３６は両者の許
容値以上の偏差を検出して“１”を出力し、
TDPU３７も“１”を出力する。この結果、制
御側異常を示す信号３８は“１”（異常を示す。）
となり、待機側異常を示す信号３９は“０”（正
常を示す。）のままとなる。これらの信号３８，
３９により、信号選択部２１を制御し、接点２４
ａを解放して接点２４ｂを閉じることで、待機側
制御演算部１１ｂを制御側に切り替えることがで
きる。

今、仮に、制御側制御演算部１１ａが正常で、
待機側制御演算部１１ｂに異常が発生したとす
る。この場合にも、偏差モニタ３２がこれを検知
して“１”を出力し、TDPU３３も“１”を出
力する。一方、制御対象２には正常な制御側の制
御演算部１１ａの出力１４ａが与えられているた
め、そのフイードバツク信号４は目標値３にある
関係を追従しており、両者の偏差は許容値以内と
なつている。このため、偏差モニタ３６つまり
TDPU３７の出力は“０”となる。この結果、
制御側異常を示す信号３８は“０”（正常を示
す。）となり、待機側異常を示す信号３９は“１”
（異常を示す。）となる。

この様に、２つの偏差（制御演算部の計算結果
の偏差、及び、フイードバツク信号と目標値との
偏差）を用いて最終判定を下すので、異常の確実
な検出が可能となる。尚、この方式による異常検
出を採用すると、偏差モニタ３２，３６、
TDPU３３，３７、簡易モデル３４は、それほ
ど詳細な試験や解析を必要としないで構成するこ
とが可能となり、実用上の大きな長所となる。例
えば、２つの制御演算部１１ａ，１１ｂの出力間
の偏差のみでの判定では、２重系のどちらかに異
常が発生したことは分かるが、どちらに発生した
かまでは分からない。また、フイードバツク信号
と目標値との偏差のみでの判定では、モデル３４
の精度が問題となり、異常検出の信頼性を上げよ
うとすると、極めて複雑なモデルが必要になつて
しまう。また、万一システムに予期しない外乱が
入つたとすると、これを異常発生と間違える可能
性がある。

しかし、上述した本発明の実施例によれば、２
つの制御演算部の出力間に許容値以上の偏差が生
じたときのみ、フイードバツク信号と目標値との
偏差による判定結果を用いて異常の有無を判断す
るので、異常でないときに異常であると判定する
誤検出の可能性が極めて小さくなる。

第２図は、信号選択部２１の詳細構成図であ
る。この第２図のロジツク構成は、各制御演算部
が自己診断機能を持つ場合についてのもの（第１
図では省略）であり、また、操作端ロツクについ
ては省略してある。また、信号喪失時におけるフ
エイルセイフの機能についても図示を省略してあ
る。尚、第７図ａのロジツク要素と同じ結線のロ
ジツク要素には同一符号を付してある。

この信号選択部２１には、ANDロジツク６０
ａ，６０ｂ，６３ａ，６３ｂ，６４ａ，６４ｂ
と、ORロジツク６２ａ，６２ｂと、否定ロジツ
ク６１ａ，６１ｂと、TDPU２５ａ，２５ｂが
設けられている。

今、Ａ系（制御演算部１１ａ）が制御側となつ
ている状態で正常であり、Ｂ系（制御演算部１１
ｂ）が待機側で正常であると仮定する。Ａ系が制
御側であるため、ANDロジツク５１ａの出力が
“１”でANDロジツク５１ｂの出力は“０”とな
つている。これらの出力は、TDPU２５ａ，２
５ｂを介してANDロジツク６３ａ，６３ｂ，６
４ａ，６４ｂに戻される。TDPU２５ａ，２５
ｂを設けずに、ANDロジツク５1a，５１ｂの出
力を戻してもよいが、異常発生により制御系が切
り替えられると、新たに制御側となつた系が正常
状態に復帰させるように動作するが、直ちに正常
に戻るとは限らないので、動作の安定化を図る為
に、これらのTDPU２５ａ，２５ｂを設けてい
る。

信号の状態は、Ａ系自己診断結果１５ａは「正
常」のため“０”となり、Ｂ系自己診断結果１５
ｂも「正常」を示す“１”である。また、第１図
の異常判定部３１の判定結果により、制御側異常
信号３８は“０”となり、待機側異常信号３９は
“０”となる。

ANDロジツク６３ａ，６４ａの出力は共に
“０”であるためORロジツク６２ａの出力は
“０”となり、これが否定ロジツク６１ａにて
“１”になつてANDロジツク６０ａに入力する。
ANDロジツク６０ａの他方の入力端子にはＡ系
自己診断結果１５ａが入力し、今の場合“１”で
あるので、ANDロジツク６０ａの出力は“１”
となる。同様に、ANDロジツク６０ｂの出力も
“１”となる。

Ａ系手動選択、Ｂ系手動選択は共にその出力
“０”（手動選択はしていない状態）であるので、
ANDロジツク５０ａ，５０ｂの出力は“０”で
ある。ORロジツク５３ａには、Ａ系を選択して
いることを示すANDロジツク５１ａの出力“１”
と、Ｂ系を選択していないことを示すANDロジ
ツク５１ｂの出力“０”の否定（ロジツク５５）
“１”と、ANDロジツク５０ａの出力“０”が入
力しているので、その出力は“１”となる。
ANDロジツク５１ａには、ANDロジツク６０ａ
の出力“１”と、ANDロジツク５０ｂの出力
“０”の否定（ロジツク５４）“１”と、ORロジ
ツク５３ａの出力“１”が入力しているので、そ
の出力は“１”となり、Ａ系選択指令２３ａが出
力され、接点２４ａは閉成されたままとなる。

一方、ORロジツク５３ｂには、Ｂ系を選択し
ていないことを示すANDロジツク５１ｂ出力
“０”と、ANDロジツク６０ａの出力“１”の否
定（ロジツク５６）“０”と、ANDロジツク５０
ｂの出力“０”とが入力しているので、その出力
は“０”となつている。ANDロジツク５１ｂに
は、ORロジツク５１の出力“０”と、ANDロジ
ツク５０ａの出力“０”の否定（ロジツク５７）
“１”と、ANDロジツク６０ｂの出力“１”が入
力しているので、その出力は“０”となり、Ｂ系
選択指令２３ｂは出力されず、接点２４ｂは解放
状態を維持する。

今ここで、制御側の制御演算部１１ｂに異常が
発生したとする。この場合、Ａ系自己診断結果１
５Ａが“１”→“０”となり、制御側異常信号３
８が“０”→“１”となる。この結果、ANDロ
ジツク６０ａの出力は“０”となつてANDロジ
ツク５１ａの出力も“０”となる。このため、Ａ
系選択指令２３ａはＡ系を選択しないことを示す
信号となり、接点２４ａは解放される。

ANDロジツク６０ａの出力が“０”になると、
その否定（ロジツク５６）“１”がORロジツク
５３ｂに入力してORロジツク５３ｂの出力が
“１”となり、ANDロジツク５１ｂの全入力が
“１”となる。この結果、Ｂ系選択指令２３ｂが
出力されて、接点２４ｂが閉成される。

第３図は、フイードバツク信号も２重化して異
常判定する構成にした２重化制御装置の構成図で
ある。一般に、フイードバツク制御において、フ
イードバツク信号の喪失は制御の暴走につながる
ため、第３図に示す様に、フイードバツク信号検
出器を２重化することが多い。第１図の２重化制
御装置では、２つの制御演算部に入力されるデー
タは、同一のフイードバツク信号であつたが、第
３図の２重化制御装置では、必ずしも入力データ
の一致性が保証されないため、若干複雑な判定ロ
ジツクが必要となる。しかし、基本的な考え方は
第１図と同様である。本実施例における異常判定
部３１の機能は、第１図の例と同様に大きく３つ
に分割できる。

(1) 制御演算結果不一致検出機能 (2) フイードバツク信号による制御系異常検出機
能 (3) 異常判定機能 上記のうち、(1)の機能は第１図の実施例と全く
同一である。(2)については、フイードバツク信号
が２信号あるため、これに、フイードバツク信号
相当推定値３５を加えた３信号間の偏差チエツク
により、フイードバツク信号４ａ，４ｂの異常お
よび制御側または待機側の異常を検出するもので
ある。(3)は、これらの検出された異常の組み合わ
せにより、最終判定を行うものである。

今、第３図に示した様に、制御演算部の演算結
果１４ａ，１４ｂの偏差チエツク結果を異常検出
信号ａ４４とし、２重化されたフイードバツク信
号４ａと４ｂ間の偏差チエツク結果を異常信号ｂ
４５とし、Ｂ系用フイードバツク信号４ｂとフイ
ードバツク信号推定値３５の偏差チエツク結果を
異常信号ｃ４６とし、Ａ系フイードバツク信号４
ａとフイードバツク信号推定値３５との偏差チエ
ツク結果を異常検出信号ｄ４７とし、各々異常検
出で“１”、異常未検出で“０”としてその組み
合わせを考える。この組み合わせを第４図に示
す。以下、組み合わせケース毎にその意味を説明
する。

(1) ケース１ 異常検出信号ａ，ｂ，ｃ，ｄの全てが“０”
即ち異常未検出状態であり、正常と判定する。

(2) ケース２ フイードバツク信号４ａ，４ｂ間の偏差およ
びフイードバツク信号４ａと推定値３５の偏差
は正常だが、フイードバツク信号４ｂと推定値
３５の偏差が異常と判定される。極めて希なケ
ースであり、システム的には正常と考えて良
い。

(3) ケース３ ケース２と同様（但し、フイードバツク信号
４ａと４ｂが入れ替わつている。） (4) ケース４ フイードバツク信号４ａ，４ｂの偏差は正常
だが、推定値３５とフイードバツク信号４ａ，
４ｂとの偏差に異常有りと判定されたケース。
推定値３５の推定誤りか、制御対象の特性が変
化（異常発生）し、或いは何らかの外乱がシス
テムに加わつたと推定できるケース。

２つのフイードバツク信号、２つの制御演算
部ともに正常と考えてよいから（偏差が正常の
ため）、全体として正常と判定して良い（シス
テムによつては、制御対象の動作異常と判定
し、操作端ロツクなどのフエイルアズイズ動作
をしたほうがよいこともある。）。

(5) ケース５ フイードバツク信号４ａ，４ｂ間の偏差は異
常だが、推定値３５とフイードバツク信号４
ａ，４ｂとの偏差は正常というケース。極めて
起こりにくいケース。

フイードバツク信号検出器の片方に異常が発
生したばかりの初期の段階にこのケースが現れ
る可能性がある。しかし、いずれは後述のケー
ス６またはケース７に移行すると考えられる。
従つて、ケース５はとりあえず正常と判定して
よい。

(6) ケース６ フイードバツク信号４ａ，４ｂ間の偏差と、
フイードバツク信号４ａ、推定値３５間の偏差
とが異常で、フイードバツク信号４ｂ、推定値
３５間の偏差が正常なケース。つまり、フイー
ドバツク信号４値が異常であると判定できるケ
ース。いずれは、後述のケース１４に移行する
と考えられる。Ａ系は異常フイードバツク信号
により制御演算していることから、制御はＢ系
側に移す必要がある。

(7) ケース７ ケース６で、Ａ系とＢ系が逆になつたケース
に相当する。Ａ系側制御としなければならな
い。

(8) ケース８ フイードバツク信号推定値３５の推定精度が
悪いか、フイードバツク信号検出器が２台とも
異常で、且つ、偏差大なるフイードバツク信号
を使つて算出した制御演算結果のデータでは偏
差が小であるという極めて有り得ないケース。
強いて何かするとすれば、操作端ロツクくらい
であろうが、いずれは後述のケース16に移行す
ると考えられるので、必ずしも対応動作をとる
必要はないといえる。

(9) ケース９ 制御演算結果間の偏差は大であるが、システ
ム的には正常と考えられるケース。即ち、制御
側は正しい動作をしており、待機側の制御演算
部に異常が発生していると推定できる。

(10) ケース10 ケース２において、制御演算結果間にも偏差
大が検出されたケースで、異常箇所の判定はで
きない。但し、いずれはケース９または後述の
ケース12に移行すると考えられる。このケース
10になる可能性は低く、特に直ちに何らかの動
作をとる必要はない。

(11) ケース11 ケース10において、Ａ系とＢ系が入れ替わつ
た状態。

(12) ケース12 フイードバツク信号は２信号とも真値と考え
て良い。これが推定値と大きく異なつており、
且つ、制御演算結果間の変化が大ということか
ら、異常が発生した側の制御演算部の出力でシ
ステムが制御されている状態と考えられる。従
つて、待機側に切り替えなければならない。

(13) ケース13 ケース５と同じく極めて起こりにくいケー
ス。フイードバツク信号推定値が実測値とよく
あつているということから、システムとしては
正常に動作している状態も考えられ、特別な対
応は不要である。

(14) ケース14 Ａ系のフイードバツク信号が異常となつたた
め、このデータを用いて算出した制御演算結果
が他系の制御演算結果と大きく食い違つてしま
つたケース。Ｂ系に制御を移さなければならな
い。

(15) ケース15 ケース14のＡ系とＢ系を逆にしたケース。Ａ
系制御が妥当である。

(16) ケース16 ケース８の状態が発展してきたケースと考え
られる。操作端ロツクなどを行わなければなら
ない。

以上の検討から、切換えに係わる何らかの異常
が発生しているのは、ケース６、７、９、12、
14、15であり、操作端ロツクなどを行う必要があ
ると考えられるのはケース16である（ケース４、
５、８、10、11、13についても操作端ロツクとし
てもよい。これは対象システムの特性により決定
しなければならない。）。

第５図は、上述した各ケースを考慮した２重化
制御装置の信号選択部の構成図である。今、Ａ
系、Ｂ系ともに正常（自己診断結果は“１”）で、
各ケースは生起していないので、いずれもその出
力が“０”であるとする。そして、Ａ系が制御側
であり（ANDロジツク５１ａの出力が“１”）、
Ｂ系が待機側である（ANDロジツク５１ｂの出
力が“０”）とする。この仮定のもとで、第５図
に示すANDロジツク６８ａ，６８ｂ，６９ａ，
６９ｂはいずれもその出力が“０”となり、OR
ロジツク６７ａ，６７ｂの出力は“０”となる。
従つて、ANDロジツク６０ａ，６０ｂの出力は
いずれも“１”であり、他のロジツクの結線は第
２図と同じなので、Ａ系が選択され、Ｂ系が選択
されない信号が夫々ANDロジツク５１ａ，５１
ｂから出力される。

今ここで、ケース12が発生したとすると、その
出力が“０”→“１”と偏差する。この結果、
ANDロジツク６８ａの出力が“１”となつてOR
ロジツク６７ａの出力が“１”となり、ANDロ
ジツク６０ａの出力が“０”に変化してＡ系は非
選択となる（ANDロジツク５１ａの出力が“０”
となる。）一方、ANDロジツク６０ａの出力が
“０”に変化すると、ORロジツク５３ｂの出力
が“１”となつてANDロジツク５１ｂの出力が
“１”となり、Ｂ系が選択される。

尚、以上の説明は、１つの制御ループに対して
行つてきたが、大規模なデジタル制御システム
（多変数制御）に対しては、追加すべき異常判定
部の最小化という観点から、最も重要な制御ルー
プに対してのみ本方式を採用しても、基本的には
殆どその効果は変わらない。即ち、中央演算処理
装置内の動作の正常性を代表データ１点で判定す
ることになるが、本発明が意味を持つのはあくま
で２系統とも自己診断で正常となつているにもか
かわらず、その出力データが食い違つているとき
であり、同一演算装置で演算された多数のデータ
のうち１つのデータのみが異常となるケースは現
実的には殆どないためである。

また、以上述べた実施例においては、自己診断
結果もその切換えロジツクに取り込み、総合的に
判断しているが、制御演算部をアナログ演算器で
構成したようなときには、必ずしもこの自己診断
機能を付加できるとは限らない。この場合にも、
この自己診断結果を削除して切換えロジツクを構
成すればよい。

［発明の効果］ 本発明によれば、２重化制御装置において、極
めて簡単な構成の判定手段を付加するだけで、３
重化システム並の異常検出能力を具備させること
ができ、システム信頼性も３重系に近い値を実現
することができる。

一般に、シングル系のハード量を１とすると、
２重系で約2.5、３重系で約4.5と増加し、システ
ム信頼度もシングル系を１とすれば、２重系で約
10、３重系で約100と上昇する（但し、システム
規模にもよる。）。本発明によれば、２重系のハー
ド量に殆ど増やすことなく、２重系に近い信頼度
を実現できるため、コストパフオーマンスに優れ
た高信頼化システムを構築することができる。

【図面の簡単な説明】

第１図は本発明の第１実施例に係る２重化制御
装置の構成図、第２図は第１図に示す信号選択部
の詳細構成図、第３図は本発明の第２実施例に係
る２重化制御装置の構成図、第４図は第３図に示
す信号選択部の切換ロジツクの説明図、第５図は
第３図に示す信号選択部の詳細構成図、第６図は
従来の２重化制御装置の構成図、第７図ａは第６
図に示す信号選択部の詳細構成図、第７図ｂは同
図ａのロジツク要素の説明図である。 １……２重化制御装置、２……制御対象、３…
…指令信号（目標値）、４……フイードバツク信
号、４ａ……フイードバツク信号Ａ系、４ｂ……
フイードバツク信号Ｂ系、５ａ……フイードバツ
ク信号検出器Ａ系、５ｂ……フイードバツク信号
検出器Ｂ系、１１ａ……制御演算部Ａ系、１１ｂ
……制御演算部Ｂ系、１２ａ……制御偏差信号Ａ
系、１２ｂ……制御偏差信号Ｂ系、１３ａ……制
御演算機能Ａ系、１３ｂ……制御演算機能Ｂ系、
１４ａ……制御演算結果Ａ系、１４ｂ……制御演
算結果Ｂ系、１５ａ……自己診断結果Ａ系、１５
ｂ……自己診断結果Ｂ系、１６……制御信号、２
１……信号選択部、２２……信号選択ロジツク
部、２３ａ……Ａ系選択指令、２３ｂ……Ｂ系選
択指令、２４ａ……Ａ系信号選択リレー接点、２
４ｂ……Ｂ系信号選択リレー接点、２５ａ，２５
ｂ，３３，３７，４１，４３……限時要素
（TDPU：タイムデイレイピツクアツプ）、３１
……異常判定部、３２……Ａ系／Ｂ系制御出力信
号偏差検出モニタ、３４……制御システムの簡易
動作モデル、３５……フイードバツク信号推定
値、３６，４２……実フイードバツク信号と推定
値の偏差検出モニタ、３８……制御側異常判定信
号、３９……待機側異常判定信号、４０……Ａ
系／Ｂ系フイードバツク信号偏差検出モニタ、４
４……Ａ系／Ｂ系制御出力信号偏差大信号、４５
……Ａ系／Ｂ系フイードバツク信号偏差大信号、
４６……Ｂ系フイードバツク信号／フイードバツ
ク信号推定値の偏差大信号、４７……Ａ系フイー
ドバツク信号／フイードバツク信号推定値の偏差
大信号。

Claims (1)

【特許請求の範囲】
1. １ 目標値と制御対象からのフイードバツク信号
   との偏差を入力とし該偏差を減少させる制御信号
   を出力する制御演算手段を２つ備え、一方を制御
   側、他方を待機側として制御側の制御演算手段の
   出力信号を前記制御対象に与え、制御側に異常が
   生じたとき待機側の制御演算手段を制御側に切り
   替る２重化制御装置において、両制御演算手段の
   出力信号間の偏差を検出する第１手段と、前記フ
   イードバツク信号と前記目標値との偏差を検出す
   る第２手段と、前記第１手段が許容値を越える偏
   差を検出した場合に前記第２手段の検出偏差が許
   容値以内のときは待機側の制御演算手段に異常が
   発生したと判定する第３手段とを備えることを特
   徴とする２重化制御装置。