JP2007067540A - 二重系系切替装置 - Google Patents

Abstract

【課題】 下位ネットワーク通信異常を主系装置から待機系装置への系切替時の条件に追加すると共に、系切替時に待機系装置の状態によっては系切替を行わず、主系装置で処理を続行するようにした二重系系切替装置を得る。
【解決手段】 Ａ系装置４の状態を監視するＡ系装置状態監視部２４と、Ｂ系装置５の状態を監視するＢ系装置状態監視部２５と、Ａ系装置状態監視部２４によりＡ系装置４の異常が検出されたとき、Ｂ系装置状態監視部２５により監視されるＢ系装置５の異常の状態に応じてＡ系装置４からＢ系装置５への系切替を判断する系切替判断部２６と、この系切替判断部２６の系切替の判断によって、Ａ系装置４からＢ系装置５への系切替を行う系切替出力部２７とを備え、Ａ系装置状態監視部２４により検出される異常には、Ａ系装置４とプラント機器２１を接続する下位ネットワーク１９の通信異常を含むようにした。
【選択図】図１

Description

この発明は、二重系で構成されたプラントの制御装置で用いられ、主系装置で異常が発生した場合に待機系装置へ系切替を行う二重系系切替装置に関するものである。

特許文献１に記載された従来の二重系システムの系切替装置では、ＣＰＵモジュール、系切替制御装置及びＣＰＵラックを各１つずつ備えたものを一系統分のＣＰＵシステムとし、このＣＰＵシステムを２系統分具備するものである。
この二重系システムでは、系切替制御装置が、主系装置及び待機系装置の正常／異常及び制御／待機の状態を監視する。各ＣＰＵモジュールは、コンパクトＰＣＩバスを介して、主系の系切替制御装置にアクセスすることにより、主系及び待機系装置の正常／異常の状態、及び制御／待機の状態を把握し、これらの情報に基づいて系切替を行う。

特開２００２−１４９２０３号公報（第３〜６頁、図１）

特許文献１に記載された従来の制御装置の二重系系切替装置は、以上のように構成され、ＣＰＵモジュール異常時には、主系装置から待機系装置への系切替を行っていた。
ところで、近年は、プラント機器と制御装置間の通信を行う下位ネットワークを接続する構成が増え、制御装置と下位ネットワーク間で通信を行うための下位ネットワーク通信カードを制御装置に挿入する場合が増えている。しかしながら、この下位ネットワーク通信異常については、従来、系切替装置の系切替条件に含まれていなかった。その結果、主系装置で下位ネットワーク通信異常が発生した場合、待機系装置に異常がなくても、待機系装置への系切替が行われず、下位ネットワーク通信異常が発生している主系装置で処理を続行するため、上位ネットワークを介して接続された監視装置でプラントの監視・制御が行えず、プラント運用に支障をきたすという問題があった。
また、下位ネットワーク通信異常を系切替の条件に追加すれば、主系装置で下位ネットワーク通信異常時に待機系装置への系切替を行うことができるようになるが、この場合でも、主系装置の下位ネットワーク通信異常時にすべて待機系装置へ系切替を行うと、待機系装置で、下位ネットワーク通信異常よりもプラントを監視・制御する上で重要なＣＰＵや上位ネットワークとの通信に異常が発生している場合は、プラント監視・制御の状態が系切替前よりも悪化するという問題がある。

この発明は、上述のような課題を解決するためになされたものであり、制御装置の主系装置から待機系装置へ系切替を行う場合に、下位ネットワーク通信異常でも主系装置から待機系装置に系切替を行い、待機系装置で主系装置より重大な異常が発生している場合には系切替を行わず、主系装置で処理を続行するようにした二重系系切替装置を得ることを目的としている。

この発明に係わる二重系系切替装置においては、プラント機器を下位ネットワークを介して制御する主系装置の状態を監視する主系装置状態監視部、主系装置に異常があるとき、主系装置の処理を引き継ぐよう待機する待機系装置の状態を監視する待機系装置状態監視部、主系装置状態監視部により主系装置の異常が検出されたとき、待機系装置状態監視部により監視される待機系装置の状態に応じて主系装置から待機系装置への系切替を判断する系切替判断部、及びこの系切替判断部の系切替の判断によって、主系装置から待機系装置への系切替を行う系切替出力部を備え、主系装置状態監視部により検出される異常には、下位ネットワークの通信異常が含まれるとともに、系切替判断部は、待機系装置状態監視部により待機系装置に主系装置の異常より重大な異常が検出されたときは、系切替を行わないように判断するものである。

この発明は、以上説明したように、プラント機器を下位ネットワークを介して制御する主系装置の状態を監視する主系装置状態監視部、主系装置に異常があるとき、主系装置の処理を引き継ぐよう待機する待機系装置の状態を監視する待機系装置状態監視部、主系装置状態監視部により主系装置の異常が検出されたとき、待機系装置状態監視部により監視される待機系装置の状態に応じて主系装置から待機系装置への系切替を判断する系切替判断部、及びこの系切替判断部の系切替の判断によって、主系装置から待機系装置への系切替を行う系切替出力部を備え、主系装置状態監視部により検出される異常には、下位ネットワークの通信異常が含まれるとともに、系切替判断部は、待機系装置状態監視部により待機系装置に主系装置の異常より重大な異常が検出されたときは、系切替を行わないように判断するので、下位ネットワークの通信異常によっても系切替を行うと共に、系切替された待機系装置の異常によりプラント状態が悪化することがないため、プラントの監視・制御の信頼性が向上する。

実施の形態１．
図１は、この発明の実施の形態１によるプラントの制御装置を示す構成図である。
図１において、制御装置は、Ａ系装置４及びＢ系装置５の二重系で構成され、Ａ系装置４、Ｂ系装置５は、それぞれＣＰＵモジュール６、７及び下位ネットワーク通信カード１２、１３を具備する。ＣＰＵモジュール６、７は、それぞれ上位ネットワーク通信カード８、９及びＣＰＵ１０、１１から構成されており、ＣＰＵ１０とＣＰＵ１１は、トラッキングケーブル１７を介して通信を行う。

通常は、Ａ系装置４を主系装置、Ｂ系装置５を待機系装置とし、Ａ系装置４が上位ネットワーク通信カード８と通信ケーブル１６を介して、上位ネットワーク１５と通信を行うことにより、上位ネットワーク１５に通信ケーブル２３を介して接続された監視装置２２が、プラント機器２１の監視・制御を行っている。
Ｂ系装置５は、待機系装置として、通常は処理を行わないが、Ａ系装置４が異常となった場合にＡ系装置４に代わり、主系装置となり、トラッキングケーブル１７にてＡ系装置４が異常となる直前の状態を引き継いで、制御を続行することにより、主系であるＡ系装置４から待機系であるＢ系装置５への系切替をスムーズに行う。
また、下位ネットワーク通信カード１２、１３は、通信ケーブル１８を介して下位ネットワーク１９と通信を行い、下位ネットワーク１９は、通信ケーブル２０を介して、プラント機器２１と通信を行っている。
二重系系切替装置１は、Ａ系装置４が主系の場合には、Ａ系動作中ＬＥＤ２が点灯し、Ｂ系装置５が主系の場合には、Ｂ系動作中ＬＥＤ３が点灯するというように、主系として動作している装置に対応して点灯するＡ系動作中ＬＥＤ２、Ｂ系動作中ＬＥＤ３を具備する。二重系系切替装置１は、主系装置４及び待機系装置５内のＣＰＵ１０、１１、上位ネットワーク通信カード８、９、下位ネットワーク通信カード１２、１３と、通信ケーブル１４を介して接続される。

図２は、この発明の実施の形態１によるプラントの制御装置の二重系系切替装置を示すブロック図である。
図２において、１、４、５、１０、１１は図１におけるものと同一のものである。二重系系切替装置１は、Ａ系装置４の状態を監視するＡ系装置状態監視部２４（主系装置状態監視部）と、Ｂ系装置５の状態を監視するＢ系装置状態監視部２５（待機系装置状態監視部）と、これらの監視結果に応じて、系切替を判断する系切替判断部２６と、系切替判断部２６による判断結果が切替を要する場合に、ＣＰＵ１０、１１に系切替を指示する系切替出力部２７とを有している。
図３は、この発明の実施の形態１によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。

次に、動作について説明する。
Ａ系装置４を主系装置、Ｂ系装置５を待機系装置として以下の説明を行う。
監視装置２２では、プラント全体の監視・制御を行っている。プラント機器２１が接続された下位ネットワーク１９で通信異常が発生した場合には、下位ネットワーク通信カード１２、１３で異常を感知し、監視装置２２が接続された上位ネットワーク１５で通信異常が発生した場合には、上位ネットワーク通信カード８、９で異常を感知する。
Ａ系装置状態監視部２４及びＢ系装置状態監視部２５は、常に主系装置４及び待機系装置５内のＣＰＵ１０、１１、上位ネットワーク通信カード８、９、下位ネットワーク通信カード１２、１３の現在の状態について、通信ケーブル１４を通じて監視を行っており、いずれかにおいて異常を感知した場合は、監視結果を系切替判断部２６に送信する。

系切替判断部２６は、Ａ系装置状態監視部２４及びＢ系装置状態監視部２５よりの異常の通知を受けて、異常箇所の重要度判定を行い、図３に示すフローチャートに従って系切替を行う。すなわち、系切替判断部２６は、待機系装置５に、待機系装置５がプラントの監視・制御を行う上で、主系装置４より重要な異常がない場合は、待機系装置５へ系切替可能と判断し、系切替の指示を系切替出力部２７より、Ａ系装置４、Ｂ系装置５のＣＰＵ１０、１１へ通知して系切替を行う。
系切替判断部２６による判断で、待機系装置５に、主系装置４と同等か、重大な異常がある場合には、待機系装置５に系切替を行うと、現状のまま主系装置４で処理を行うよりもシステム状態が悪化し、プラント運用に支障をきたすので、系切替を行わない。系切替の際は、点灯しているＡ系動作中ＬＥＤ２を消灯し、消灯しているＢ系動作中ＬＥＤ３を点灯する。

次に、系切替判断部２６が装置状態監視部２４、２５より異常の通知を受けた場合に、系切替判断部２６で系切替を行うことが可能と判断するまでの動作を、図３に基き説明する。
主系装置ＣＰＵ１０に異常が発生した場合（ステップＳ１）、待機系装置ＣＰＵ１１の状態を確認し（ステップＳ６）、正常ならば、待機系装置５へ系切替可能と判断する（ステップＳ７）。
主系装置４の上位ネットワーク通信カード８に異常が発生した場合（ステップＳ２）、待機系装置５の上位ネットワーク通信カード９（ステップＳ５）とＣＰＵ１１（ステップＳ６）の状態を確認し、正常ならば、待機系装置５へ系切替可能と判断する（ステップＳ７）。
主系装置４の下位ネットワーク通信カード１２に異常が発生した場合（ステップＳ３）、待機系装置５の下位ネットワーク通信カード１３（ステップＳ４）と上位ネットワーク通信カード９（ステップＳ５）とＣＰＵ１１（ステップＳ６）の状態を確認し、正常ならば、待機系装置５へ系切替可能と判断する（ステップＳ７）。
ステップＳ４、Ｓ５、Ｓ６で正常でなければ、系切替不可と判断する（ステップＳ８）。

以上のように、実施の形態１によれば、下位ネットワーク通信カード１２が異常となり、待機系装置５への系切替を行う場合において、主系装置４、待機系装置５のＣＰＵモジュール６、７及び下位ネットワーク通信カード１２、１３それぞれについて正常に作動しているかどうかの監視を行い、待機系装置５において主系装置４と同等以上の異常がないことを確認してから、系切替を行うので、この確認ができない場合には、下位ネットワーク通信カード１２が異常となっている主系装置により、制御し続けることで、プラント監視・制御に支障をきたすことを防止し、かつ系切替の結果プラント状態が悪化することがないため、従来に比べ、プラントの監視・制御システムの信頼性が向上するという効果がある。

なお、ここではＡ系装置４が主系装置、Ｂ系装置５が待機系装置として説明したが、Ａ系装置４が待機系装置、Ｂ系装置５が主系装置となった場合も、上記と同様の手順で系切替のための処理が行われる。

実施の形態２．
図４は、この発明の実施の形態２によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。
図４において、ステップＳ１〜Ｓ８は、図３におけるものと同一の処理を行う。図４では、Ａ系装置４、Ｂ系装置５と二重系系切替装置１間を繋ぐ通信ケーブル１４の動作状況の確認を行うステップＳ２１が、ステップＳ１の前に追加されている。
実施の形態１では、Ａ系装置４、Ｂ系装置５のＣＰＵモジュール６、７、下位ネットワーク通信カード１２、１３の動作状況について、それぞれＡ系装置状態監視部２４、Ｂ系装置状態監視部２５で監視を行っていたが、実施の形態２では、図４に示すように、Ａ系装置４、Ｂ系装置５と二重系系切替装置１間を繋ぐ通信ケーブル１４の動作状況の確認を行うステップ（ステップＳ２１）を設け、このステップＳ２１で、通信ケーブル１４が正常なときのみ、ステップＳ１〜Ｓ８を実行する。
すなわち、実施の形態２では、通信ケーブル１４に異常がない場合のみ、系切替を行う処理を続行し、通信ケーブル１４に異常がある場合は、系切替を行わない。

以上のように、実施の形態２によれば、通信ケーブル１４においても異常が発生していないかどうかの確認を行うことで、通信ケーブル１４断線時に誤って待機系装置への系切替を行うことを防止できるので、信頼性の高い方法で系切替の判断を行うことができるという効果がある。

実施の形態３．
図５は、この発明の実施の形態３によるプラントの制御装置を示す構成図である。
図５において、１〜２３は図１におけるものと同一のものである。図５では、実施の形態１、２の構成に加えて、二重系系切替装置１に、下位ネットワークの通信異常に対応して、異常発生時に系切替を行うか行わないかを、下位ネットワーク通信カード毎に手動で設定できる系切替スイッチ３１を設けている。
図６は、この発明の実施の形態３によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。
図６において、ステップＳ１〜Ｓ８は図３におけるものと同一の処理を行う。図６では、ステップＳ３の次に、主系下位ネットワーク異常に対応する系切替スイッチ３１がＯＮかどうかを判断するステップＳ３１が設けられ、ステップＳ３１で、系切替スイッチ３１がＯＮのとき、ステップＳ４〜Ｓ８が実行される。

実施の形態１、２では、下位ネットワーク通信カード１２が、複数挿入されている場合、どれか１枚でも異常が発生したら系切替を行っていたが、実施の形態３では、各下位ネットワーク通信カード１２がプラント機器２１の監視・制御を行う上での重要度により、異常発生時に系切替を行うか行わないか手動で設定できる系切替スイッチ３１を具備している。このため、系切替スイッチ３１により、各下位ネットワーク通信カード１２の重要度に応じて系切替を行うか行わないかを設定することができる。

図６で、ステップＳ３で、Ａ系装置４のいずれかの下位ネットワーク通信カード１２で異常が発生した場合、異常が発生した下位ネットワーク通信カード１２の系切替スイッチ３１がＯＮになっている場合（ステップＳ３１）、待機系装置５の下位ネットワーク通信カード１３（ステップＳ４）と上位ネットワーク通信カード９（ステップＳ５）とＣＰＵ１１（ステップＳ６）の状態を確認し、正常ならば、待機系装置５へ系切替可能と判断する（ステップＳ７）。ステップＳ３１で、系切替スイッチＯＦＦの場合は、待機系装置５への系切替は行わない。

以上のように、実施の形態３によれば、各下位ネットワーク通信カード１２、１３に応じた設定で系切替の判断を行うことができ、プラント監視・制御にあまり関係のない下位ネットワーク通信カード１２、１３の異常が発生した場合には、系切替を行わず、プラント監視・制御に必要な下位ネットワーク通信カード１２、１３については、系切替を行うというように、下位ネットワーク通信カード毎に自由に設定を行うことができる。
このため、プラント毎の運用の相違によって、下位ネットワーク通信カード毎に、系切替を行うかどうかの設定を行うことができるという効果がある。

実施の形態４．
図７は、この発明の実施の形態４によるプラントの制御装置を示す構成図である。
図７において、１〜２３は図１におけるものと同一のものである。図７では、実施の形態１〜３の構成に加えて、二重系系切替装置１に、系切替を手動で行うための手動系切替スイッチ４１を設けている。
図８は、この発明の実施の形態４によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。
図８において、ステップＳ１〜Ｓ８は、図３におけるものと同一の処理を行う。図８では、系切替を手動で行う手動系切替スイッチ４１のＯＮ（系切替の待機系装置が選択されたことを示す）を確認する処理（ステップ４１）が、ステップＳ１の前に追加されている。

実施の形態１〜３では、ＣＰＵモジュール６、７、下位ネットワーク通信カード１２、１３の動作状況の通知を受け、制御装置のＡ系装置４に異常が起きた場合に、自動で系切替を行う場合について述べたが、実施の形態４は、二重系系切替装置１に系切替を手動で行うための手動系切替スイッチ４１を具備し、手動系系切替スイッチ４１により制御装置の待機系装置５が選択された場合（ステップＳ４１）、すなわち、ＯＮになった場合においても、待機系装置５のＣＰＵモジュール７、下位ネットワーク通信カード１３の正常を確認した上で系切替を行うようにしている。
すなわち、図８のステップ４１で、手動系切替スイッチ４１がＯＮであれば、ステップＳ４〜Ｓ８を実行し、手動系切替スイッチ４１がＯＮでなければ、ステップＳ１〜Ｓ８を実行する。

以上のように、実施の形態４によれば、待機系装置５へ手動系切替スイッチ４１を操作して系切替を実施する場合に、待機系装置５が正常に動作していることを確認してから系切替を行うので、待機系装置５に系切替を行うことでプラントに異常が発生することなく、安全に系切替を行うことができるという効果がある。

実施の形態５．
図９は、この発明の実施の形態５によるプラントの制御装置を示す構成図である。
図９において、１〜２３、４１は図１におけるものと同一のものである。図９では、実施の形態４の構成に加えて、二重系系切替装置１に、Ａ系装置４、Ｂ系装置５が正常な場合にそれぞれ点灯するＡ系正常ＬＥＤ５１（主系正常表示部）、Ｂ系正常ＬＥＤ５２（待機系正常表示部）を設けている。

実施の形態４においては、手動系切替スイッチ４１を操作する際に、Ａ系装置４、Ｂ系装置５が正常に動作しているかどうかが、不明のまま操作することになるが、実施の形態５では、Ａ系装置４、Ｂ系装置５が正常な場合に点灯するＡ系正常ＬＥＤ５１、Ｂ系正常ＬＥＤ５２を二重系系切替装置１に設けたので、待機系装置が正常に動作していることを作業者が認識した上で、系切替操作を行うことができる。

以上のように、実施の形態５によれば、Ａ系装置４、Ｂ系装置５が正常に動作している場合に点灯するＡ系正常ＬＥＤ５１、Ｂ系正常ＬＥＤ５２を具備することで、手動系切替スイッチ４１で系切替を行う場合に、待機系装置の動作状態が認識しやすくなることで、手動で切替を行う場合に異常が起きている制御装置に誤って系切替操作を行うことを防ぐ効果がある。

この発明の実施の形態１によるプラントの制御装置を示す構成図である。 この発明の実施の形態１によるプラントの制御装置の二重系系切替装置を示すブロック図である。 この発明の実施の形態１によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。 この発明の実施の形態２によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。 この発明の実施の形態３によるプラントの制御装置を示す構成図である。 この発明の実施の形態３によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。 この発明の実施の形態４によるプラントの制御装置を示す構成図である。 この発明の実施の形態４によるプラントの制御装置の二重系系切替装置の動作を示すフローチャートである。 この発明の実施の形態５によるプラントの制御装置を示す構成図である。

符号の説明

１ 二重系系切替装置、２ Ａ系動作中ＬＥＤ、３ Ｂ系動作中ＬＥＤ、
４ Ａ系装置、５ Ｂ系装置、６，７ ＣＰＵモジュール、
８，９ 上位ネットワーク通信カード、１０，１１ ＣＰＵ、
１２，１３ 下位ネットワーク通信カード、
１４，１６，１８，２０，２３ 通信ケーブル、１５ 上位ネットワーク、
１７ トラッキングケーブル、１９ 下位ネットワーク、２１ プラント機器、
２２ 監視装置、２４ Ａ系装置状態監視部、２５ Ｂ系装置状態監視部、
２６ 系切替判断部、２７ 系切替出力部、３１ 系切替スイッチ、
４１ 手動系切替スイッチ、５１ Ａ系正常ＬＥＤ、５２ Ｂ系正常ＬＥＤ。

Claims (5)

1. プラント機器を下位ネットワークを介して制御する主系装置の状態を監視する主系装置状態監視部、上記主系装置に異常があるとき、上記主系装置の処理を引き継ぐよう待機する待機系装置の状態を監視する待機系装置状態監視部、上記主系装置状態監視部により上記主系装置の異常が検出されたとき、上記待機系装置状態監視部により監視される上記待機系装置の状態に応じて上記主系装置から上記待機系装置への系切替を判断する系切替判断部、及びこの系切替判断部の系切替の判断によって、上記主系装置から上記待機系装置への系切替を行う系切替出力部を備え、上記主系装置状態監視部により検出される異常には、上記下位ネットワークの通信異常が含まれるとともに、上記系切替判断部は、上記待機系装置状態監視部により上記待機系装置に上記主系装置の異常より重大な異常が検出されたときは、上記系切替を行わないように判断することを特徴とする二重系系切替装置。
2. 上記主系装置状態監視部により検出される異常には、上記主系装置及び上記主系装置状態監視部間を接続する通信ケーブルの異常が含まれることを特徴とする請求項１記載の二重系系切替装置。
3. 上記主系装置は、それぞれ上記下位ネットワークに接続された複数の下位ネットワーク通信カードを有し、上記主系装置状態監視部は、上記各下位ネットワーク通信カード毎に下位ネットワークの通信異常を監視すると共に、上記下位ネットワークの通信異常が発生した場合の系切替を行うかどうかを上記各下位ネットワーク通信カード毎に設定できる系切替スイッチを備えたことを特徴とする請求項１記載の二重系系切替装置。
4. 上記主系装置から上記待機系装置への系切替を手動で行う手動系切替スイッチを備え、上記手動系切替スイッチは、上記系切替判断部により上記主系装置から上記待機系装置への系切替が判断された後に系切替を実行することを特徴とする請求項１〜３のいずれかに記載の二重系系切替装置。
5. 主系装置が正常に動作していることを示す主系正常表示部、及び待機系装置が正常に動作していることを示す待機系正常表示部を備えたことを特徴とする請求項４記載の二重系系切替装置。

Images