JPS6123204A - ２重化制御装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔発明の利用分野〕 本発明は、２重化構成をもつ制御装置に係わシ、特に原
子カブランのだめの高信頼度を実現するに好適な二重化
システムを有する制御装置に関する。

〔発明の背景〕

第６図は従来の２重化構成の制御装置１の概略ブロック
図を示す。上位制御系などからの指令信号（目標値）３
は、２重化された制御演算部１１ａ。

１１ｂ（以下各々Ａ系、Ｂ系と称する）に入力される。

一方、制御対象２からのフィードバック信号４も各々の
制御演算部１１ａ、ｌｌＨに入力され、指令値３との偏
差１２ａ、１２ｂを零にすべく、制御演算機能１３ａ、
１３ｂが働き、各々の制御出力信号１４ａ、１４ｂを出
力する。この制御出力信号１１ａ、１４ｂは、信号選択
部２１にて、どちらかが選択され、最終的な制御信号１
６として、制御対象２に与えら′れる。

本信号選択部２１の構成については、従来より種々の方
法があるが、大きくは １）二信号（１４ａ、１４ｂ）のうちから、システム的
に７エイルセイ７方向のものを選択する。

具体的には、高値選択または低値選択する方式などがあ
る。

２）制御演算部１１ａ９、ｌｌｂなどの異常診断を実施
し、少なくとも異常が発見された側の信号は選択しない
ようにする（第　図）。

の２稽類に分類できる。前者はシステム的にはフェイル
セイフ動作となるが、システムによっては必らずしも７
エイルセイフ方向が定まっていなかったり、あ−ｉｂに
７エイルセイ７性にこだわっているため、制御系として
の稼動率を減少させることになるなど、その適用は極め
て限定される゛。一方後者は、制御演算部に計算機を使
用することにより、一般には特別にハードウェアを追加
しなくとも、異常診断能力の強化が図れるため、最近多
く使われるようになってきている。そのロジックの１例
を第６図および第７図（ａ）に示す。第７図（ｂ）は第
７図（ａ）中に使用噛れている記号を説明するための図
表である。

Ａ系制御演算部の自己診断結果１５ａおよびＢ系制御演
算部の自己診断結果１５ｂは、信号選択部２１の選択ロ
ジック部２２に入力される。

１）Ａ系、Ｂ系とも正常判定のとき、Ａ系が自動的に選
択され、Ａ系選択指令２３ａにより、Ａ糸信号選択リレ
ー接点２４ａがオン状態となる。この時Ｂ糸信号選択リ
レー接点２４ｂはオフ状態のままである。

なお、何らかの理由でＢ系制御に切換えたい場合には、
Ｂ系手動選択スイッチをオンとすることにより、２４ａ
オフ、２４．ｂオンと変化する。再度Ａ系制御に切換え
たい時は、同様に、Ａ系手動選択スイッチをオンとすれ
ばよい。

２）もしＡ系制御中（選択中）、Ｂ系待機中に、Ａ系に
異常が検出されると、直ちに制御はＢ系に移る。すなわ
ち、２４ａオン、２４ｂオフの状態から２４ａオフ、２
４ｂオンに変る。

３）もしＢ系制御中（選択中）、Ａ系待機中ＫＢ系に異
常が検出されると、直ちに制御はＡ系に移る。すなわち
、２４ａオフ、２４ｂオンの状態から２４ａオン、２４
ｂオフに変る。

４）待機側の制御演算部に異常が発見されても制御その
ものは変らない。

５）なお、Ａ、Ｂ両系とも異常になった場合には、操作
端ロックなどの７工イルアズイズ動作、またはフェイル
セイフ動作をとらせることが多い。

６）また、異常検出で警報を出すなどは、本ロジックに
は示していないが、現実的によくとられる手法でおる。

本ロジックは、ａＳ的には極めて有効であり、１重系に
比べて、相当な高信頼化が期待できるものの、 １）基本的な動作としては、１重系にバックアップ系を
用意したものにすぎず、出力信号そのものの信頼度は、
１重系と等価である。

２）異常検出能力の大小により、そのシステム信頼度（
稼動率）が大きく変わる。

３）Ａ系、Ｂ系の演算結果が不一致となっても、自己診
断機能で異常を構出できない場合は、どちらが正しいデ
ータなのか確定することができず、したがって最悪の場
合、異常制御を許容してしまう場合がある。

などの点で、超高信頼度を要求されるシステムへの適用
には問題が多い。そこで一般には、この糧の超高信頼度
を要求されるシステムの制御装置としては、多数決判定
の可能な３重化システムが適用されているが、ハードウ
ェア量が膨大となり、また価格もそれに伴なって上昇す
るため、その適用範囲もある程度限定せざるを得ない。

〔発明の目的〕

本発明の目的は、基本的には２重化構成としながら、３
重化システムなみの高信頼度を達成するシステム構成を
有する制御装置を提供することである。

〔発明の概要〕

上記目的を達成するために、本発明による２重化構成を
有する制御装置は、各々の制御演算部の演算結果を比較
し、その偏差が許容値を超えた場合に偏差穴として異常
を検出する手段と、制御対象からのフィートンクツク信
号を推定する手段と、該フィードバック信号を推定する
手段によシ推定されたフィードバック相当信号と実際の
フィードバック信号とを比較し、その偏差が許容値を超
えた場合に偏差穴として異常を検出する手段と、上記諸
手段により検出された状態を組み合わせて異常発生側を
判定する手段と、該異常発生側を判定する手段から判定
結果を取シ込み、２重化７ステムの切換えを行なう手段
とを具備することを要旨とする。すガわち、本発明は、
２重化システムにおいては、異常検出能力が３重化シス
テムに対して劣っているため１．超高信頼度の実現に限
界があることに着目し、簡単でかつ異常検出能力を飛躍
的に上昇させることのできる異常判定機能を付加するこ
とにより、２重化システムの持つ特長（）・−ド量が少
ない、価格が低い）を生かしつつ、３重化システムなみ
の超高信頼度を実現するものである。

本発明の有利な実施の態様においては、フィードバック
信号検出器も２Ｎ化され、各々の検出信号が２重化され
九〜制御演算部にそれぞれフィードバック信号として入
力され、その２重化されたフィードバック信号を比較し
、その偏差が許容値を超えた場合に偏差穴として異常を
検出する手段と、上記異常を検出する手段により検出さ
れた状態を組み合わせて異常発生個所を判定する手段と
、該異常発生個所を判定する手段から判定結果を取り込
み、２重化システムの切換えを行ない、常に正常側を選
択する手段とが備えられる。

以下に、図面を参照しながら、実施例を用いて本発明を
一層詳細に説明するが、それらは例示に過ぎず、本発明
の枠を越えること低しにいろいろな変形や改良があり得
ることは勿論である。

〔発明の実施例〕

第１図および第２図は第６図および第７図に示した２重
化システムに本発明を適用した場合の制御装置の構成を
示す。すなわち、ｉ図に示す装置に異常判定部３１を付
加した形となっている。

異常判定部３１０機能を以下説明する。異常列一定部３
１の第１の機能は、Ａ系制御演算部、Ｂ系制御演算部の
演算結果１４ａ、１４ｂｉｔ：入力し、この偏差を偏差
モニタ３２にて常時監視し、万−両信号間にあらかじめ
設定された許容偏差以上の偏差が発生し、これが規定時
間以上続いた場合には、制御演算結果不一致と判定する
ものである。

ｉ１図中のＴＤＰＵ３３は、このだめのタイムディレィ
ピックアップ要素（限時要素）である。異常判定部３１
の第２の機能は、本来制御系が正常に動作している場合
には、フィードバック信号４は、指令値（目標値）３に
、ある関係をもって追従していることを利用し、指令値
３と、フィードバック値４の相関関係がずれた場合には
制御系の異常と判定するものである。すなわち、制御系
の簡易モデル３４を利用し、指令値（目標値）３より、
フィードバック信号４相当の推定値３５を求め、これと
実フィードバック信号４との偏差モニタ３６にて常時監
視し、万−両信号間にあらかじめ設定された許容偏差以
上の偏差が発生し、これが規定時間以上続いた場合に制
御側の異常と判定する。異常判定部３１の第３の機能は
、上町声１の機能、第２の機能にて検出された不一致、
異常を組み合わせて、現在制御中の系の異常か、待機側
の系の異常かを判定するものでおる。第１の機能で、２
重系のどちらかに異常が発生していることを検出し、第
２の機能で、制御側または待機側のどちらの異常かを判
定し、この二つの条件で最終判定を下す方式としたこと
により、異常の確実な検出を可能としている。さらに本
方式においては、偏差モニタ３２，３６、ＴＤＰＵ３３
．３７および制御系モデル３４の設定にそれほど詳細な
試験や解析などを必要としないということも実用上の大
きな長所としてあげることができる。例えば第１の機能
のみでは、２重系のうちどちらかに異常が発生したかは
わかるが、それ以上を知ることは難かしい。また第２の
機能のみでは、まず制御系そデルの精度が問題となり、
異常検出信頼性を上げようとすると、極めて複雑なモデ
ル化が必要となる。また万一システムに予期しない外乱
が入ったとすると、異常を検出してしまう可能性がある
が、本発明の方法では、あくまで二重系のうちのどちら
かに異常が発生した時のみ、このモデルを利用した判定
結果が使用される。したがってモデルも一般には、むだ
時間要素と２次遅れ要素の組合せ程度で十分であり、ま
た異常でないのに異常と判定する誤検出の可能性も極め
て小さい（対象システムによっては、本モデルの削除も
可能であり、むろん１次遅れ要素だけでも十分実用にた
えるケースも多い。）。

本異常判定部３１の判定結果である制御側異常信号３８
または待機側異常信号３９は信号選択部２１の選択ロジ
ック部２２に入力される。

第２図は、選択ロジック部２２の具体的な選択ロジック
の例を示す。現在の制御がＡ系によって行なわれている
か、Ｂ系によって行なわれているかの条件と、上記制御
側異常信号３８、待機側異常信号３９の条件を組合せる
ことにより、Ａ系の異常かＢ系の異常かを判定している
。なお、異常発生により制御系が切り換えられると、新
たに制御側となった系が正常状態に復帰させるよう動作
するが、直ちに正常にもどることは限らないので、ＴＤ
ＰＵ２５ａ、２５ｂを設け、切換え直後の安定化を図っ
ている。また自己診断恍よる自動切換えロジックが第７
図と同様に具備されている。

以上述べた構成によれば、本来２重系間で不一致が発生
した場合に不可能と言われているどちらの系で異常が発
生しているかの判定が可能と女るため、３重系システム
なみの異常検出能力を簡単な診断回路の追加で２重系シ
ステムに持たせることができる。したがって、通常の２
重系システムに比して大幅な信頼度向上が実現できる。

第３図は、フィードバック信号も２重化された２重化シ
ステムにおける本発明の適用例を示す。

一般にフィードバック制御においては、フィードバック
信号の喪失は、制御の暴走にもつながるため、本図のよ
うに、フィードバック信号検出器から２重化することも
多い。第１図の２重化システムでは、二つの制御演算部
に入力されるデータは同一データであったが、第３図の
システムでは、必らずしも入力データの一致性が保証さ
れないため、若干複雑な判定ロジックが必要となるが基
本的な考え方はほとんど同じである。

異常判定部３１の機能は、第１図の例と同じく大きく三
つに分割できる。

１）制御演算結果不一致検出機能 ２）フィードバック信号、制御系異常検出機能３）異常
判定機能 １）は第１図の例と全く同一だが、２）については、フ
ィードバック信号が２信号あるため、これにフィードバ
ック信号相当推定値３５を加えた３信号間の偏差チェッ
クにより、フィードバック信号４ａ、４ｂの異常および
制御側または待機側の異常を検出するもめである。３）
はこれら検出された異常の組合せにより、最終判定を行
なうものである。

今、第３図に示したように、制御演算部の演算データ１
４ａ、１４ｂの偏差チェック結果を異常検出信号ａ（４
４）とし、２重化されたフィードバック信号４ａと４ｂ
間の偏差チェック結果を異常信号ｂ（４５）とし、Ｂ系
用フィードバック信号４ｂとフィードバック信号推定値
３５の偏差チェック結果を異常信号ｃ（４６）とし、Ａ
系層フィードバック信号４ａとフィードバック信号推定
値３５との偏差チェック結果を異常検出信号ｄ（４７）
とし、各々異常検出で１、異常未検出で０としてその組
合せを考えると第４図のようになる。以下各ケース毎に
その意味を説明する。

１）ケース１ 異常検出信号ａ、ｂ、ｃ、ｄ全てが０１すなわち異常未
検出状態であり、正常と判定する。

２）ケース２ フィードバック信号４ａと４ｂの＠差、およびフィード
バック信号４ａと推定値３５の偏差は正常だが、フィー
ドバック信号４ａと推定値３５の偏差が異常と検出され
る極めてまれなケースであり、システム的には正常と考
えてよいケース。

３）ケース３ ケース２と同様（ただし４ａと４ｂが入れ換っている。

） ４）ケース４ フィードバック信号４ａ、４ｂの偏差は正常だが、推定
値３５と４ａ、４ｂの偏差が異常検出されたケース。

推定値３５の推定誤りか、制御対象の特性が変化（異常
発生）、あるいは何らかの外乱がシステムに加わったと
推定できるケース。

二つのフィードバック信号、二つの制御演算部ともに正
常と考えてよいから（偏差正常のため）、全体として正
常と判定してもよい（システムによっては、制御対象動
作異常と判定し、操作端ロツクガどの７工イルアズイズ
動作をしたほうがよいこともちも）。

５）ケース５ フィードバック信号４ａ、４ｂ間の偏差は異常だが推定
値３５と４８，３５’と４ｂは正常という、極めて起り
にくいケース。

フィードバック信号検出器の片方に異常が発生したばか
りの初期の段階にこのケースが現われる可能性はあるが
、いずれはケース６またはケース７に移行すると考えら
れる。したがって本ケースはとりあえず正常と判定して
よい。

６）ケース６ フィードバック信号４ａと４ｂ、４ａと３５が異常で、
４ｂと３５が正常なことから、フィードバック信号４ａ
を異常と判定できるケース。いずれはケース１４に移行
すると考えられる。Ａ系は異常フィードバック信号によ
シ制御演算していることから、制御はＢ系側に移さなけ
ればならない。

７）ケース７ ケース６で、Ａ系とＢ系が逆になったケースに相当する
。Ａ系側制御としなければならない。

−８）ケース８ フィードバック信号推定値３５の推定精度が悪いか、フ
ィードバック、信号検出器が２台とも異常で、かつ、偏
差大なるフィードバック信号を使って算出した制御演算
結果のデータには偏差が小という、極めてあり得ないケ
ース。強いて何かするとすれば操作端ロック位であろう
がいずれはケース１６に移行すると考えられるので必ら
ずしも対応動作をとる必要もないと言える。

９）ケース９ 制御演算結果は偏差大だがシステム的には正常と考えら
れるケース。すなわち制御側は正しい動作をしており、
待機側の制御演算部に異常が発生していると推定できる
。

１０）ケース１０ ケース２において制御演算結果にも偏差大が検検出され
たケースで、異常個所の判定はできない。

ただしいずれはケース９またはケース１２に移行すると
考えられるので、本ケースになる可能性の低さから考え
ても特に直ちに何らかの動作をとる必要はない。

１１）ケース１１ ケース１０においてＡ系とＢ系が入れ換った状態。

１２）ケース１２ フィードバック信号は２信号とも真値と考えてよい。こ
れが推定値と大きく異なっており、かつ制御演算結果の
偏差が大ということから、異常が発生した制御演算部の
出力でシステムが制御されている状態と考えられる。し
たがって待機側に切り換えなければならない。

１３）ケース１３ ケース５と同じく極めて起りにくいケース。フィードバ
ック信号推定値が実測値とよくあっているということか
ら、システムとしては正常に動作している状態とも考え
られるため、特別な対応は不要。

１４）ケース１４ Ａ系のフィードバック信号が異常となったため、このデ
ータを用いて算出した制御演算データが、他系のデータ
と大きく食い違ってしまったケース。

Ｂ系に制御を移さなければならない。

１５）ケース１５ ケース１４０Ａ系とＢ系を逆にしたケース。Ａ系制御が
妥当。

１６）ケース１６ ケース８の状態が発展してきたケースと考えられる。操
作端ロックなどを行なわなければならない。

以上の検討から、切換えに係わる何らかの異常が発生し
ているのは、ケース６．７，９，１２゜１４．１５であ
り、操作端ロックなどを行なう必要があると考えられる
のはケース１６である（ケース４，５，８，１０，１１
．１３についても操作端ロックとしてもよい。これは対
象システムの゛特性により決定しなければならない。）
。

第５図は本システムの切換えロジックを整理して示す。

本２重化システムでは、制御対象を除く制御システム規
模内一故障が発生してもそれを検出し、切り換えること
によって制御の続行が可能となる。

なり、以上の説明は−りの制御ループに対して行なって
きたが、大規模なディジタル制御システム（多変数制御
）に対しては、追加すべき異常判定部の最少化とい５観
点から、最も重要な制御ループに対してのみ本方式を適
用しても、基本的にはほとんどその効果は変わらない。

す力わち、中央演算装置内の動作の正常性を代表データ
１点で判定することになるが、本発明が意味を持つのは
あくまで２系統とも自己診断で正常となっているにもか
かわらず、その出力データが食い違っている吟であり、
同一演算装置で演算された多数のデータのうち一つのデ
ータのみが異常となるケースは現実的にはほとんどない
ためである。

また、以上述べた実施例においては、自己診断結果もそ
の切換えロジックに取り込み、総合的に判断しているが
、制御演算部をアナログ演算器で構成したような時には
、必らずしもこの自己診断機能を付加できるとは限らな
い。この場合にも、この自己診断結果を削除して切換え
ロジックを構成すればよい。

〔発明の効果〕

以上説明した通り、本発明によれば、２重系システムに
おいて、３重系システム並の異常検出能力を具備させる
ことができるので、システム信頼度も、２重系でありな
がら、３重系に近い値を実現させることができる。

さらに、上記のために必要と力る追加回路は極めて簡単
である。

一般にシングル系のハード量を１とすると、２重系で約
２．５．３重系で約４．５と増加し、システム信頼度も
シングル系を１とすれば、２重系で約１０．３重系で約
１００と上昇する（ただし、システム規模にもよる。）
。本発明によれば、２重系からほとんどハード量を増す
ことなく、３重系゛に近い信頼度を実現できるため、コ
ストパフォーマンスにすぐれた高信頼化システムを提供
できる。

【図面の簡単な説明】

第１図は本発明の第１の実施の態様による制御装置の構
成図、第２図は第１図に示す装置における切換えロジッ
ク図、第３図は本発明の第２の実施の態様による制御装
置の構成図、第４図は第３図に示す装置における切換え
ロジックを示す説明図、第５図は第３図に示す装置にお
ける切換え四囲である。 １・・・二重化制御装置、２・・・制御対象、３・・・
指令信号（目標値）、４・・・フィードバック信号、４
ａ・・・フィードバック信号Ａ系、４ｂ・・・フィード
バック信号Ｂ系、５ａ・・・フィードバック信号検出器
Ａ系、５ｂ・・・フィードバック信号検出器Ｂ系、１１
ａ・・・制御演算部Ａ系、１１ｂ・・・制御演算部Ｂ系
、１２ａ・・・制御偏差信号Ａ系、１２ｂ・・・制御偏
差信号Ｂ系、１３ａ・・・制御演算機能Ａ系、１３ｂ・
・・制御演算機能Ｂ系、１４ａ・・・制御出力信号Ａ系
、１４ｂ・・・制御出力信号Ｂ系、１５ａ・・・自己診
断結果Ａ系、１５ｂ・・・自己診断結果Ｂ系、１６・・
・制御信号、２１・・・信号選択部、２２・・・信号選
択ロジック部、２３ａ・・・Ａ系選択指令、２３ｂ・・
・Ｂ系選択指令、２４ａ・・・Ａ糸信号選択リレー、２
４ｂ・・・Ｂ糸信号選択リレー、２５ａ、２５ｂ・・・
限時要素（タイムディレィピックアップ）、３１・・・
異常判定部、３２・・・Ａ系／Ｂ系制御出力信号偏差検
出モニタ、３３．３７，４１．４３・・・限時要素（タ
イムディレィピックアップ）、３４・・・制御システム
の簡易動作モデル、３５・・・フィードバック信号推定
値、３６．４２・・・実フィードバック信号と推定値の
偏差検出モニタ、３８・・・制御側異常判定信号、３９
・・・待機側異常判定信号、４０・・・Ａ系／Ｂ系フィ
ードバック信号偏差検出モニタ、４４・・・Ａ系／Ｂ系
制御出力信号偏差大信号、４５・・・Ａ系／Ｂ系フィー
ドバック信号偏差大信号、４６・・・Ｂ系フィードバッ
ク信号／フィードバック信号推定値の偏差大信号、４７
・・・Ａ系フィードバック信号／フィードバック信号推
定値の偏差大信号。

Claims (1)

1. 【特許請求の範囲】 １、２重化構成を持つ制御装置において、 各々の制御演算部の演算結果を比較し、その偏差が許容
   値を超えた場合に偏差大として異常を検出する手段と、 制御対象からのフィードバック信号を推定する手段と、 該フィードバック信号を推定する手段により推定された
   フィードバック相当信号と実際のフィードバック信号と
   を比較し、その偏差が許容値を超えた場合に偏差大とし
   て異常を検出する手段と、上記諸手段により検出された
   状態を組み合わせて異常発生側を判定する手段と、 該異常発生側を判定する手段から判定結果を取り込み、
   ２重化システムの切換えを行なう手段とを具備すること
   を特徴とする制御装置。 ２、フィードバック信号検出器も２重化され、各各の検
   出信号が２重化された制御演算部にそれぞれフィードバ
   ック信号として入力され、その２重化されたフィードバ
   ック信号を比較し、その偏差が許容値を超えた場合に偏
   差大として異常を検出する手段と、 上記異常を検出する手段により検出された状態を組み合
   わせて異常発生個所を判定する手段と、該異常発生個所
   を判定する手段から判定結果を取り込み、２重化システ
   ムの切換えを行ない、常に正常側を選択する手段、 とを具備することを特徴とする、特許請求の範囲第１項
   記載の制御装置。