JPS5847058B2 - 多重系切換制御方式 - Google Patents

Description

【発明の詳細な説明】 本発明は多重系切換制御方式に関する。

制御用計算機は高度な自梨浦ｕ御用機器として急速な進
歩をしており、さらに高信頼度を確保するために、デュ
アル、デュプレックス等２重化、さらに２アウトオブ３
等３重化が行なわれている。

第１図に示すように一般に２重系の場合で見ると中央処
理装置１００と中央処理装置２００とさらに、これらの
プログラムの同期、出力の比較を行なう切換制御装置３
００、及び外部の被制御対象５００とのインターフェー
スであるプロセス入出力装置４００で構成される。

切換制御装置３００の部分は一般に大きくなり、ハード
ウェア規模で中央処理装置１００，２００にひってきし
、このような形態をとるにはある程度以上の規模のシス
テムでないと価格的にもひき合わなくなる。

特に最近小規模のディジタル計算機（中央処理装置がプ
リント板１〜２枚程度で構成されるもの）の応用がさか
んになってきたが、このような場合、中央処理装置の規
模よりも、むしろプロセス入出力装置の規模が大きく、
信頼度でも中央処理装置よりもプロセス入出力装置のほ
うが低くなる。

従って、このような場合、中央処理装置１００゜２００
だけの２重化は意味が少なくなり、プロセス入出力装置
４００も含めて２重化する必要がある。

かかる構成の２重化方式では、中央処理装置の２重化と
共に、プロセス入出力装置の２重化をはかつている。

この従来方式は、２系共に、常時ランさせ、入力の合理
性チェックを中央処理装置にて実施し、異常を検出する
とディジタル出力にて出力する故障判定装置を設け、こ
の出力により制御対象の故障か、プロセス入出力装置の
故障かの判定をし、被制御対象への出力を切換えていた
。

しかしこの方式では、待機冗長２重化で最も信頼性が必
要とされる切換リレーを含めた合理性チェックがなされ
ておらず、切換リレーの不動作、接触不良が発生すると
、これを検出することが出来ず、待機側に切換不可能で
あった。

一方、合理性チェック方式も、制御側、待機側それぞれ
単独で行なわれているため制御側の合理性チェックで故
障を検出しても、故障判定装置が故障している場合には
、待機側に切換らないという欠点があった。

本発明の目的は信頼性のある多重系切換制御方式を提供
するものである。

本発明の要旨は、合理性チェックとして切換スイッチの
チェックも行わせるようにしたものである。

以下、本発明を図面により詳細に述べよう。第２図は本
発明の実施例図である。

図で２重系になっている部分は、中央処理装置１，２、
プロセス入出力装置３，４、制御指令回路５，６、切換
スイッチ７．８である。

被制御対象系１０を制御してなる制御駆動回路９、及び
切換制御回路（以下、場合により「切換回路」と略称す
る）１２、及び被制御対象系１０の状態量を検出する検
出器１１は、２重系にはなっていない。

かかる構成に於いて、すべてが正常の時には、スイッチ
７がオン、スイッチ８がオフになっているものとする。

かかるスイッチ７．８の制御は切換制御回路１２によっ
て行う。

この状態では主系である中央処理装置１の処理結果がプ
ロセス入出力装置３を介してアナログ信号に変換され、
制御指令回路５、スイッチ７、制御駆動回路９を介して
被制御対象系１０の制御を行っている。

被制御対象系１００制御状態は検出器１１によって検出
され、制御指令回路５，６及びプロセス入出力装置３，
４に負帰還されている。

一方、２重系である故、待機系（従系）である中央処理
装置２も中央処理装置１と同様な処理を行っている。

従って、中央処理装置２の処理結果はプロセス入出力装
置４を介して制御指令回路６に入力し、該制御指令回路
６は制御指令を出力している。

但し、スイッチ８がオフになっている故、この制御指令
は制御駆動回路９には入力しない。

各制御指令回路５，６０制御指令出力はプロセス入出力
装置３，４を介して中央処理装置１，２に負帰還してい
る。

更に、スイッチ７．８の出力、即ち、制御駆動回路９へ
の入力はプロセス入出力装置３，４を介して中央処理装
置１，２に負帰還している。

以上の各信号の中で、プロセス入出力装置を介して中央
処理装置に負帰還してなる信号はすべて中央処理装置内
での故障診断用のデータとなる。

尚、中央処理装置１，２の出力をｌａ 、２ａ、該出力
をアナログ信号に変換してプロセス入出力装置３，４か
ら出力された場合のアナログ信号を３ａ 、４ａ、制御
指令回路５，６の出力を５ａ。

６ａ、制御駆動回路９への入力を９ａ、検出器１１の検
出出力を１１ａとする。

この信号の中で、プロセス入出力装置３，４に入力する
信号は、該入出力装置３，４の中でＡＤ変換された形で
中央処理装置１，２に送られる。

この時のＡＤ出力は、中央処理装置１側では、信号５ａ
に対しては信号５ａａ、信号９ａに対しては信号９ａａ
、信号１１ａに対しては信号１１ａａとする。

また、中央処理装置２側では、信号６ａに対して信号６
ａｂ、信号９ａに対しては信号９ａｂ、信号１１ａに対
しては信号１１ａｂとする。

次に、上記各ＡＤ変換された信号を取り込んだ後の中央
処理装置１，２の処理フローチャートを第３図ａ、ｂに
示す。

中央処理装置１，２の処理内容はほぼ同じである故、第
３図では中央処理装置１に対して述べている。

ａ図は全体の動作チェックのフローである。

先ず、処理装置１の出力となった信号１ａと検出器１１
より得られる信号１１ａａとの偏差■を求める。

この偏差■は制御指令の原信号とそれによってなされた
制御結果との差を意味する。

次に、該偏差■と制御指令回路５の出力に対応する信号
５ａａとの偏差■を求める。

制御指令回路５の出力は入力３ａと帰還信号１１ａとの
偏差（負帰還制御である故）であり、従って信号５ａａ
はこの偏差に対応する。

偏差■は、系全体が正常である時には、理想的には零と
なる。

系全体の誤差を考慮に入れ、この正常判定用として微小
な偏差基準値を与えておく。

次のフローでは、この偏差基準値内に上記偏差があるか
どうかをチェックする。

偏差基準値内であれば、正常として次のサンプル時のデ
ータに対して同様なチェックを行う。

太きければ、異常ありとして切換回路１２にその墨出力
する。

以上のフローが全体の動作に関係するチェックである。

次に、ｂ図によりスイッチ７，８の異常チェックを説明
しよう。

先ず、信号５ａａと信号９ａａとの偏差■を求める。

この偏差■はスイッチ７の入出力信号差に相当する。

次に、上記偏差■が偏差基準値内にあるかどうかチェッ
クされる。

基準値内にあれば、スイッチ７は正常として判定され、
以上であれば、スイッチ７は異常として判定され、切換
回路１２にスイッチＩが異常の旨、出力を発生する。

このスイッチの異常とは、スイッチ不動作やスイッチ破
壊に伴うオフ状態を意味している。

以上の２つのチェックを併せて合理性チェックと称する
ことができる。

この２つのチェックはそれぞれ単独に行われ、いずれか
一方に異常の判定がなされた時には、他のチェックは行
わず、スイッチ７をオフ、スイッチ８をオンにする（但
し、スイッチ７の異常の判定の際には、スイッチ７はオ
フになったままである故、スイッチ７をオフにすること
はない）。

このスイッチの切換えは、切換制御回路１２によって行
っている。

一方、従系である中央処理装置２側でも、第３図ａ、ｂ
と同じチェックを行っている。

但し、ｂ図のチェックは自分側のスイッチ８がオフにな
っている故、スイッチ７のチェックを行うことになる。

即ち、主系側のスイッチの動作チェックは従系側でも行
っており、２重チェックとなっている。

この理由は、主系側のスイッチチェックの内容のチェッ
ク及びそのチェック結果により作動する切換制御回路の
内部チェックを行うためである。

また、従系側でのａ図のチェックの結果、異常判定され
た際には、たとえ主系が故障になってもスイッチ切換え
は行わず、システムダウンにさせている。

次に、切換制御回路１２の実施例を第４図に示す。

中央処理装置１，２はそれぞれ前述のチェック結果に伴
う全体動作チェック信号１ｂ、２ｂ、スイッチチェック
結果を示すスイッチチェック信号１ ｃ 、 ２ｃを発
生する。

切換制御回路１２はアンドゲート１２０，１２１，１２
２，１２３゜１２６．１２７，１２８，１２９、オアゲ
ート１２４．１２５，１３０，１３１及び、切換回路１
３２を持つ。

切換回路１３２は主系、従系の指示、及びそれに伴うス
イッチ７．８の切換制御を行っている。

更に、外部への各種の表示機能を持つ。

この表示は主として異常内容である。切換回路１３２で
の主系、従系の指示は信号１３２ａ。

１３２ｂによって行う。

即ち、中央処理装置１が主系、中央処理装置２が従系の
時には第１主系指令信号１３２ａが発生し、この逆の時
には第２主系指令信号１３２ｂが発生する。

前者の信号が発生している時には、スイッチ７がオン、
スイッチ８がオフとなり、後者の信号が発生している時
にはスイッチ７がオフ、スイッチ８がオフとなっている
。

さて、第１主系指示信号１３２ａは主系側のゲートであ
るゲート１２０，１２１．従系側のゲー）１２８，１２
９の制御信号となっている。

この状態で、主系側の全体動作チェックの異常信号１ｂ
、又はスイッチ異常チェック信号１ｃが発生した場合に
は、ゲート１２５を通じて主系異常信号１２５ａが発生
し、切換回路１３２に送られる。

切換回路１３２では、主系異常信号１２５ａをうけて、
タイミングをとった後、主系と従系の切換、即ち、スイ
ッチ７をオフ、スイッチ８をオンにし、中央処理装置２
側を主系にする。

また、従系側にも第１主系指示信号１３２ａが送られて
ゲート１２８．１２９を開いている。

この状態で異常信号２ｃが発生すると、ゲート１２９を
通じて出力１２９ａが発生し、信号１２５ａとなる。

これは、ゲート１２１の故障やスイッチ７が異常にもか
かわらず主系側からスイッチ異常信号１ｃが発生しない
場合のバンクアンプ信号となる。

一方、異常信号２ｂが発生した場合にはゲート１２８を
通じて従系側が異常であることを示す信号１２８ａが発
生し、切換回路１３２に送られる。

切換回路１３２では従系側、即ち中央処理装置２が異常
であるとして記憶し、主系、即ち中央処理装置１側がそ
の後で異常になった場合でも主系、従系の切換えは行わ
ず、システムダウンとさせる。

次に、中央処理装置２が主系、中央処理装置１が従系の
場合には、第２主系指示信号１３２ｂが発生する。

この時にはスイッチ７がオフ、スイッチ８がオンとなっ
ている。

かかる状態では、異常信号として、信号１２２ａ、１２
３ａ、１３１ａが発生する。

信号１２３ａは先に述べた信号１２９ａと同様にバンク
アップ用である。

信号１３１ａが主系異常信号であり、主系、従系の切換
えが行われる。

信号１２２ａは信号１２８ａと同じく従系側、即ち中央
処理装置１側が異常であるとして切換回路１３２に記憶
され、その後の切換制御をロックする。

第５図は切換回路１３２の具体的実施例を示す図である
。

制御回路１３２０には、第４図で示した信号１３１ａ、
１２５ａ、１２８ａ、１２２ａの他に、ケート１２４の
出力１２４ａ、ゲート１３０の出力１３０ａが入力して
いる。

第４図では特にこのことを示さなかった。

かかる各種の信号を入力として、制御回路１３２０は出
力信号Ａ。

Ｂ、Ｃ，Ｄ、Ｅ、Ｆを出力する。

フリップ・フロップ（ＦＦ）１３２１は主系、従系の切
換モード設定用であり、ＦＦ１３２４は中央処理装置１
側が異常の記憶用であり、ＦＦ１３２５は中央処理装置
２側が異常の記憶用であり、ＦＦ１３２６はスイッチ７
が異常の記憶用であり、ＦＦ１３２７はスイッチ８が異
常の記憶用である。

信号Ａはスタート時又は中央処理装置１が従系で且つ信
号１３１ａがきた時、且つ中央処理装置１側が異常でな
い時、スイッチ７が異常でない時に発生し、ＦＦ１３２
１をセットし、第１主系指示信号１３２ａ及びアンプ１
３２２を駆動しスイッチ７をオン、スイッチ８をオフに
して主系、従系を切換えを行う。

信号Ｂは中央処理装置２が従系で且つ信号１２５ａがき
た時、且つ中央処理装置２側が異常でない時、スイッチ
８が異常でない時に発生し、ＦＦ１３２１をリセットし
、第２主系指示信号１３２ｂ及びアンプ１３２３を駆動
し、スイッチ７をオフ、スイッチ８をオンにして主系、
従系の切換えを行う。

信号Ｃは中央処理装置１側が異常の際に発生しＦＦ１３
２４にその旨を記憶させる。

この記憶内容は外部表示用や、制御回路１３２０に帰還
させて制御回路１３２０の信号Ａ、Ｂの発生の制御、及
び後述するシステムダウン信号１３２０ａの発生用に使
用される。

信号りは中央処理装置２側が異常の際に発生し、上述と
同様な機能を行う。

信号Ｅは、スイッチ７が異常の際の信号であり、ＦＦ１
３２６に記憶される。

信号Ｆはスイッチ８が異常の際の信号であり、ＦＦ１３
２６に記憶される。

いずれも、外部表示用、及び制御回路１３２０への帰還
用として利用されている。

システムダウン信号１３２０ａは、主系、従系共にスイ
ッチの異常を含めてダウンした時に発生し、全体の系を
ダウンさせる役割を持つ。

この信号１３２０ａは、信号Ｃ，Ｄ、Ｅ、Ｆを利用して
発生する。

この利用のロジックは上述の説明で明らかな故、説明は
省略する。

以上の実施例によれば、信頼性のある２重系を達成でき
た。

本発明の好適な対象事例としては、電子式タービンカバ
ナ制御での２重系の事例がある。

この実際の実施例を第６図に示す。

図に於いて、プロセス入出力装置３，４は、ＤＡ変換器
３４，４４を持つ。

この入力ａ、ｌは中央処理装置１，２による処理出力で
あり、第２図の信号１ａ、２ａに相当している。

更に、ＡＤ変換器３１，３３，３５゜４１．４３，４５
、異常信号出力部３０，３２゜４０．４２を持っている
。

弁開度制御回路５０゜６０は第２図の制御指令回路５，
６に相当し、それぞれ、抵抗５１．５２，５４，５５，
６１゜６２．６４，６５及び演算増巾器５３，６３より
構成されている。

接点（ＡＸ）７０、（ＢＸ）８０は第２図のスイッチ７
．８に相当している。

サーボ弁６０は第２図の制御駆動回路９に相当し、ター
ビン９５のカバナ制御を行っている。

位置検出器１１０は第２図の状態検出器１１に相当して
いる。

９０，９１．９２，９３は異常検出リレーであり、図に
は示していないが、第４図の切換制御回路１２に相当す
るリレ一式の切換制御回路の制御を行っている。

このリレ一式の切換制御回路の出力により接点７０，８
００オン、オフが行われる。

第２図、第４図の信号相互の対応を示すと、次のように
なる。

１１ａ→ｆ、９ａ→ｄ、５ａ→ｃ、６ａ→ｘ。

５ ａａ →ｋ 、 ６ ａａ″ｔ、 １１ ａａ−
）ｇｌｌ １ ａｂ−）ｒ、９ａａ→ｅ ｓ ９ ａ
ｂ″ｎ更に、ｂは中央処理装置１側全体動作チェックの
結果生ずる異常信号、Ｃはスイッチ７のチェック異常信
号、ｍは中央処理装置２側のチェック異常信号、ｐはス
イッチ８のチェック異常信号を示している。

以上の構成の動作は、基本的に第２図、第３図、第４図
、第５図に従えば可能である故、説明は省略する。

リレ一方式の場合、特に接点のバックアップ制御は有効
である。

尚、以上の各実施例では、スイッチ、又は接点を制御駆
動回路の入力側に設けたが、出力側に設けることもでき
る。

この際、制御駆動回路自体も２重化される。

また、制御指令回路を除くこともできる。

これはゲイン的にプロセス入出力装置がその役割を持つ
ような場合である。

また多重系についても適用可能である。

本発明によれば、信頼性のある多重系の切換制御が可能
になった。

【図面の簡単な説明】

第１図は一般的な２重系の構成図、第２図は本発明の実
施例図、第３図ａ、ｂはその処理フローチャート、第４
図、第５図はそれぞれより具体的な部分的実施例図、第
６図は本発明の他の実施例図である。 １．２・・・・・・中央処理装置、３，４・・・・・・
プロセス入出力装置、５，６・・・・・・制御指令回路
、７，８・・・・・・制御駆動回路、１０・・・・・・
被制御対象系、１２・・・・・・切換制御回路。

Claims (1)

【特許請求の範囲】
1. １ 多重化された中央処理装置と、該中央処理装置にそ
   れぞれ対応してなる多重化されたプロセス入出力装置と
   、該多重化されたプロセス入出力装置の出力により作動
   する多重化された制御手段と、該制御手段のそれぞれの
   出力側に設けられいずれか一つがオンされてなる多重化
   された切換スイッチと、該切換スイッチの出力により制
   御される被制御対象系と、該被制御対象系の制御に伴う
   状態を検出し状態信号を出力する検出手段とを備えると
   共に、上記切換スイッチの前段の多重化された各中央処
   理装置とプロセス入出力装置と制御手段とを並列的に常
   時ラン状態にせしめると共に上記切換スイッチの入出力
   信号及び前記検出手段からの状態信号とを上記プロセス
   入出力装置を介して該中央処理装置に帰還させ、該帰還
   されてなる信号をもとに各中央処理装置は全体の動作チ
   ェック及びスイッチの動作チェックを行い、その結果に
   応じて切換スイッチの切換制御を行わせるようにした多
   重系切換制御方式。