JP2018101241A

JP2018101241A - 処理装置

Info

Publication number: JP2018101241A
Application number: JP2016246251A
Authority: JP
Inventors: 貴夫今澤; Takao Imazawa; 雅裕白石; Masahiro Shiraishi; 悟史西川; Satoshi Nishikawa; 知彦道券; Tomohiko Doken
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2016-12-20
Filing date: 2016-12-20
Publication date: 2018-06-28
Also published as: GB201718872D0; GB2558750A; GB2558750B; WO2018117065A1

Abstract

【課題】共通要因故障に起因する異常であっても検出を可能にする技術を提供する。
【解決手段】処理装置は、互いに異なるハードウェア構成を有し、同一の入力信号に対して同一の処理を行い、同一の出力信号を生成する複数系の処理回路と、前記複数系の処理回路の出力信号を照合し照合結果を出力する出力信号照合部と、を有する。複数系の処理回路が互いに異なるハードウェア構成を有しているので、共通要因故障が発生しても、出力信号には異なる信号が現れ、それら出力信号を対比することにより異常を検出することが可能である。
【選択図】図１

Description

本発明は高い信頼性が要求されるシステムに関する。

原子力発電所や工場プラントにおいてプロセスを制御するシステムなど高い信頼性が要求されるシステムでは機能安全（ｆｕｎｃｔｉｏｎａｌｓａｆｅｔｙ）が採用される。機能安全は、システムに対して監視装置あるいは保護装置などを付加することによりシステム障害のリスクを低減するものである。

機能安全のために、例えば、システムの一部をなすハードウェアが多重化あるいは多様化される場合がある。多重化は同一機能を有するハードウェアを複数設けることで、その部分の故障などの障害に備えるものである。多様化は、多重化されるハードウェアを互いに異なるハードウェア部品で構成するものである。例えば、プロセス制御システムにＦＰＧＡ（ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）が採用されることがある（特許文献１〜３参照）。その場合、入出力装置や演算装置に搭載するＦＰＧＡなど、各モジュールにおける基幹機能を担う部品について多重化および多様化が要求される場合がある。例えば、同一の入力信号に対して同一の処理を行い同一の出力信号を生成する２つの系のハードウェア回路を設け、それらの出力信号が一致していることを確認することでハードウェア回路の正常動作を確認することができる。どちらか一方のハードウェア回路に異常が発生すると、２つのハードウェア回路の出力信号が不一致となるので、異常を容易に検出することができる。

特開２０１２−１０３８６６号公報特開２０１０−１７７８８１号公報特開２００９−２１２２３０号公報

しかし、多重化された２系のハードウェア回路に共通要因故障（ＣＣＦ：ＣｏｍｍｏｎＣａｕｓｅＦａｉｌｕｒｅ）が発生することがある。共通要因故障とは、共通する要因により複数のハードウェアにおける同じ個所が同じように故障することである。２つの系で同時に共通要因故障が起こると、２つの系の出力信号が同じように異常な値を示す。その場合、出力信号同士が一致するか否かを監視することで異常を検出することはできない。共通要因故障の原因としては、例えば、複数のハードウェアに共通採用されている部品におけるロット不良がある。

本発明の目的は、共通要因故障に起因する異常であっても検出を可能にする技術を提供することである。

本発明の一態様による処理装置は、互いに異なるハードウェア構成を有し、同一の入力信号に対して同一の処理を行い、同一の出力信号を生成する複数系の処理回路と、前記複数系の処理回路の出力信号を照合し照合結果を出力する出力信号照合部と、を有する。

本発明によれば、複数系の処理回路が互いに異なるハードウェア構成を有しているので、共通要因故障が発生しても、出力信号には異なる信号が現れ、それら出力信号を対比することにより異常を検出することが可能である。

実施例１によるＦＰＧＡ搭載モジュールの構成を示す図である。実施例１において共通要因故障が発生した場合について説明するための図である。実施例２によるＦＰＧＡ搭載モジュールの構成を示す図である。実施例３によるＦＰＧＡ搭載モジュールの構成を示す図である。

本発明を実施するための形態について図面を用いて説明する。

図１は、実施例１によるＦＰＧＡ搭載モジュールの構成を示す図である。

ＦＰＧＡ搭載モジュール３内にはＡ系回路とＢ系回路が存在する。Ａ系回路には、入力端子部１０１と、出力端子部１０２と、内部論理Ａ１０３および内部論理Ｂ１０４を有するＦＰＧＡ１が設けられている。ＦＰＧＡ１の内部論理Ａ１０３および内部論理Ｂ１０４は、外部からプログラミングが可能である。同様に、Ｂ系回路には、ＦＰＧＡ１と同一の入力端子部２０１および出力端子部２０２と、同一の内部論理Ａ２０３および内部論理Ｂ２０４を有するＦＰＧＡ２が設けられている。ＦＰＧＡ２の内部論理Ａ２０３および内部論理Ｂ２０４は外部からプロラミングが可能である。

Ａ系の内部論理Ａ１０３とＢ系の内部論理Ａ２０３は同一の処理を行う機能部である。また、Ａ系の内部論理Ｂ１０４とＢ系の内部論理Ｂ２０４は同一の処理を行う機能部である。

また、ＦＰＧＡ搭載モジュール３は、Ａ系回路とＢ系回路とは別に共通部分として出力信号照合部８を有する。出力信号照合部８は、ＦＰＧＡ１の出力信号Ａ、Ｂ、ＣとＦＰＧＡ２の出力信号Ａ、Ｂ、Ｃとを照合する。Ａ系回路からの出力信号Ａ、Ｂ、Ｃと、それぞれに対応するＢ系回路からの出力信号Ａ、Ｂ、Ｃとが全て一致したら、ＦＰＧＡ搭載モジュール３が正常動作をしていると推定できる。その場合、出力信号照合部８は出力信号Ａ、Ｂ、Ｃをコントローラ３０に出力する。出力信号Ａ、Ｂ、Ｃのいずれか一つでも一致しないものがあれば、出力信号照合部８は、異常の発生を通知する所定の異常信号を出力する。

上述のように、ＦＰＧＡ１の内部論理Ａ１０３とＦＰＧＡ２の内部論理Ａ２０３は同じ演算を行う。また、ＦＰＧＡ１の内部論理Ｂ１０４とＦＰＧＡ２の内部論理Ｂ２０４も同じ演算を行う。そしてＦＰＧＡ全体としても、ＦＰＧＡ１とＦＰＧＡ２は同一の動作を行う。

本実施例では、ＦＰＧＡ１への入力信号群４とＦＰＧＡ２の入力信号群５として、同じセンサ４０から出力された同じ信号が用いられているので、何も故障等の異常がなければ、ＦＰＧＡ１からの出力信号群６とＦＰＧＡ２からの出力信号群７は完全に一致する。

ＦＰＧＡ１とＦＰＧＡ２は上述したように同一の機能を果たす機能部であるが、ハードウェア構成が互いに異なる。具体的には、入力信号と入力端子の組み合わせ、出力信号と出力端子の組み合わせが系毎に互いに異なっている。例えば、ＦＰＧＡ１では、入力信号Ａに入力端子ＰＮ１が割り振られ、入力信号Ｂに入力端子ＰＮ２が割り振られ、入力信号Ｃに入力端子ＰＮ３が割り振られている。一方、ＦＰＧＡ２では、入力信号Ａに入力端子ＰＮ２が割り振られ、入力信号Ｂに入力端子ＰＮ３が割り振られ、入力信号Ｃに入力端子ＰＮ１が割り振られている。また、ＦＰＧＡ１では、出力信号Ａに入力端子ＰＮ４が割り振られ、出力信号Ｂに入力端子ＰＮ５が割り振られ、出力信号Ｃに入力端子ＰＮ６が割り振られている。一方、ＦＰＧＡ２では、出力信号Ａに入力端子ＰＮ６が割り振られ、出力信号Ｂに入力端子ＰＮ４が割り振られ、出力信号Ｃに入力端子ＰＮ５が割り振られている。

図２は、実施例１において共通要因故障が発生した場合について説明するための図である。ここでは、内部論理Ａ１０３、２０３は、入力信号Ａおよび入力信号Ｂを入力として所定の処理を行い、出力信号Ａを出力する回路である。内部論理Ｂ１０４、２０４は、入力信号Ｃを入力として所定の処理を行い、出力信号Ｂおよび出力信号Ｃを出力する回路である。

図２に示す通り、例えばＦＰＧＡ１およびＦＰＧＡ２に共通要因故障として入力端子ＰＮ３が故障したとする。その場合、Ａ系回路では、内部論理Ｂ１０４の入力が異常となるので内部論理Ｂ１０４から出力される出力信号Ｂ、Ｃが異常となる。一方、Ｂ系回路では、内部論理Ａ２０３の入力が異常となるので、内部論理Ａ２０３から出力される出力信号Ａが異常となる。その結果、出力信号照合部８では、Ａ系回路とＢ系回路の出力信号の不一致が検出されることとなる。その場合、出力信号照合部８は、コントローラ３０に出力信号Ａ、Ｂ、Ｃではなく、所定の異常信号を出力する。コントローラ３０は、異常信号を受信していなければ出力信号Ａ、Ｂ、Ｃに基づいて所定のプロセス制御を実行するが、上述のように異常信号を受信すると、プロセス制御を行なわずに所定の異常処理を実行することになる。

以上説明したように、本実施例では、プロセス制御システムは、互いに異なるハードウェア構成を有し、同一の入力信号に対して同一の処理を行い、同一の出力信号を生成する複数系の処理回路（ＦＰＧＡ１、２）と、複数系の処理回路の出力信号を照合し照合結果を出力する出力信号照合部８と、を有する。このように複数系の処理回路が互いに異なるハードウェア構成を有しているので、共通要因故障が発生しても、出力信号には異なる信号が現れ、それら出力信号を対比することにより異常を検出することが可能である。

また、出力信号照合部５は、出力信号Ａ、Ｂ、Ｃが一致していればその出力信号Ａ、Ｂ、Ｃをコントローラ３０に送信し、出力信号Ａ、Ｂ、Ｃが不一致であれば異常であることを示す異常信号をコントローラ３０に送信する。コントローラ３０は、異常信号を受信していなければ、受信しているのは出力信号Ａ、Ｂ、Ｃなので、その出力信号Ａ、Ｂ、Ｃに基づいてプロセス制御を実行するが、異常信号を受信した場合にはプロセス制御を行なわずに所定の異常処理を実行する。複数の処理回路の出力信号が一致した場合にプロセス制御を実行し、それらが一致しない場合には異常処理を実行するので、信頼性の高いプロセス制御を実現することができる。

また、本実施例では、処理回路は特定の用途に構成された集積回路（ＦＰＧＡ）であり、処理回路と出力信号照合部８が１つのモジュール（ＦＰＧＡ搭載モジュール３）内に構成されている。そのため、多重化された複数の処理回路を含むモジュールを、それら処理回路の部品に共通要因故障が発生したときに出力信号の照合で異常が検知されるように構成することができる。また、その処理回路がＦＰＧＡであるため、同じ処理を行う複数の処理回路を容易にハードウェア構成が異なるものとして構成することができる。

また、複数のＦＰＧＡは、入出力信号と入出力端子の組み合わせがそれぞれに異なる。入出力信号と入出力端子の組み合わせを変えることでＦＰＧＡのハードウェア構成を容易に異ならせることができる。

実施例１では、２系の処理回路を搭載したモジュールを例示したが、本発明がそれに限定されることはなく、複数系の処理回路を搭載したモジュールに本発明を適用することができる。実施例２では、３系の処理回路を搭載したモジュールを例示する。

図３は、実施例２によるＦＰＧＡ搭載モジュールの構成を示す図である。ＦＰＧＡ搭載モジュール３内にはＡ系回路、Ｂ系回路、およびＣ系回路が存在する。Ａ系回路には、入力端子部１０１と、出力端子部１０２と、内部論理Ｃ１０５、内部論理Ｄ１０６、および内部論理Ｅ１０７を有するＦＰＧＡ１が設けられている。ＦＰＧＡ１の内部論理Ｃ１０５、内部論理Ｄ１０６、および内部論理Ｅ１０７は、外部からプログラミングが可能である。同様に、Ｂ系回路には、入力端子部２０１と、出力端子部２０２と、内部論理Ｃ２０５、内部論理Ｄ２０６、および内部論理Ｅ２０７を有するＦＰＧＡ２が設けられている。ＦＰＧＡ２の内部論理Ｃ２０５、内部論理Ｄ２０６、および内部論理Ｅ２０７は、外部からプログラミングが可能である。同様に、Ｃ系回路には、入力端子部９０１と、出力端子部９０２と、内部論理Ｃ９０５、内部論理Ｄ９０６、および内部論理Ｅ９０７を有するＦＰＧＡ３が設けられている。ＦＰＧＡ３の内部論理Ｃ９０５、内部論理Ｄ９０６、および内部論理Ｅ９０７は、外部からプログラミングが可能である。

Ａ系の内部論理Ｃ１０５とＢ系の内部論理Ｃ２０５とＣ系の内部論理Ｃ９０５は同一の処理を行う機能部である。Ａ系の内部論理Ｄ１０６とＢ系の内部論理Ｄ２０６とＣ系の内部論理Ｄ９０６は同一の処理を行う機能部である。Ａ系の内部論理Ｅ１０７とＢ系の内部論理Ｅ２０７とＣ系の内部論理Ｅ９０７は同一の処理を行う機能部である。

また、ＦＰＧＡ搭載モジュール３は、Ａ系回路、Ｂ系回路、Ｃ系回路とは別に共通部分として出力信号照合部８を有する。出力信号照合部８は、ＦＰＧＡ１の出力信号Ａ、Ｂ、ＣとＦＰＧＡ２の出力信号Ａ、Ｂ、ＣとＦＰＧＡ３の出力信号Ａ、Ｂ、Ｃを照合する。Ａ系回路からの出力信号Ａ、Ｂ、Ｃと、それぞれに対応するＢ系回路からの出力信号Ａ、Ｂ、ＣおよびＣ系回路からの出力信号Ａ、Ｂ、Ｃと、が全て一致したら、ＦＰＧＡ搭載モジュール３が正常動作をしていると推定できる。その場合、出力信号照合部８は出力信号Ａ、Ｂ、Ｃを不図示のコントローラに出力する。出力信号Ａ、Ｂ、Ｃのいずれか一つでも一致しないものがあれば、出力信号照合部８は、異常の発生を通知する所定の異常信号をコントローラに出力する。

上述の通り、ＦＰＧＡ１の内部論理Ｃ１０５とＦＰＧＡ２の内部論理Ｃ２０５とＦＰＧＡ３の内部論理Ｃ９０５は同じ演算を行う。また、ＦＰＧＡ１の内部論理Ｄ１０６とＦＰＧＡ２の内部論理Ｄ２０６とＦＰＧＡ３の内部論理Ｄ９０６も同じ演算を行う。さらに、また、ＦＰＧＡ１の内部論理Ｅ１０７とＦＰＧＡ２の内部論理Ｅ２０７とＦＰＧＡ３の内部論理Ｅ９０７も同じ演算を行う。そしてＦＰＧＡ全体としても、ＦＰＧＡ１とＦＰＧＡ２とＦＰＧＡ３は同一の動作を行う。

本実施例では、ＦＰＧＡ１への入力信号群４とＦＰＧＡ２の入力信号群５とＦＰＧＡ３の入力信号群１０として、不図示の同じセンサから出力された同じ信号が用いられているとする。そのため、何も故障等の異常がなければ、ＦＰＧＡ１からの出力信号群６とＦＰＧＡ２からの出力信号群７とＦＰＧＡ３からの出力信号群１１は完全に一致する。

ＦＰＧＡ１とＦＰＧＡ２とＦＰＧＡ３は上述したように同一の機能を果たす機能部であるが、ハードウェア構成が互いに異なる。具体的には、入力信号と入力端子の組み合わせ、出力信号と出力端子の組み合わせが系毎に互いに異なっている。

例えば、ＦＰＧＡ１では、入力信号Ａに入力端子ＰＮ１が割り振られ、入力信号Ｂに入力端子ＰＮ２が割り振られ、入力信号Ｃに入力端子ＰＮ３が割り振られている。一方、ＦＰＧＡ２では、入力信号Ａに入力端子ＰＮ２が割り振られ、入力信号Ｂに入力端子ＰＮ３が割り振られ、入力信号Ｃに入力端子ＰＮ１が割り振られている。さらに、ＦＰＧＡ３では、入力信号Ａに入力端子ＰＮ３が割り振られ、入力信号Ｂに入力端子ＰＮ１が割り振られ、入力信号Ｃに入力端子ＰＮ２が割り振られている。

また、ＦＰＧＡ１では、出力信号Ａに入力端子ＰＮ４が割り振られ、出力信号Ｂに入力端子ＰＮ５が割り振られ、出力信号Ｃに入力端子ＰＮ６が割り振られている。一方、ＦＰＧＡ２では、出力信号Ａに入力端子ＰＮ５が割り振られ、出力信号Ｂに入力端子ＰＮ６が割り振られ、出力信号Ｃに入力端子ＰＮ４が割り振られている。さらに、ＦＰＧＡ３では、出力信号Ａに入力端子ＰＮ６が割り振られ、出力信号Ｂに入力端子ＰＮ４が割り振られ、出力信号Ｃに入力端子ＰＮ５が割り振られている。

ここで、内部論理Ｃ１０５、２０５、９０５は、入力信号Ａを入力として所定の処理を行い、出力信号Ａを出力する回路である。内部論理Ｄ１０６、２０６、９０６は、入力信号Ｂを入力として所定の処理を行い、出力信号Ｂを出力する回路である。内部論理Ｅ１０７、２０７、９０７は、入力信号Ｃを入力として所定の処理を行い、出力信号Ｃを出力する回路である。

例えばＦＰＧＡ１、ＦＰＧＡ２、およびＦＰＧＡ３に共通要因故障として入力端子ＰＮ３が故障したとする。その場合、Ａ系回路では、内部論理Ｅ１０７の入力が異常となるので内部論理Ｅ１０７から出力される出力信号Ｃが異常となる。一方、Ｂ系回路では、内部論理Ｄ２０６の入力が異常となるので、内部論理Ｄ２０６から出力される出力信号Ｂが異常となる。さらに、Ｃ系回路では、内部論理Ｃ９０５の入力が異常となるので、内部論理Ｃ９０５から出力される出力信号Ａが異常となる。

その結果、出力信号照合部８では、Ａ系回路、Ｂ系回路、およびＣ系回路の出力信号の不一致が検出されることとなる。その場合、出力信号照合部８は、不図示のコントローラに出力信号Ａ、Ｂ、Ｃではなく、所定の異常信号を出力する。コントローラは、異常信号を受信していなければ出力信号Ａ、Ｂ、Ｃに基づいて所定のプロセス制御を実行するが、上述のように異常信号を受信すると、プロセス制御を行なわずに所定の異常処理を実行することになる。

実施例１では、２つのＦＰＧＡにおいて入出力信号と入出力端子の組み合わせが系毎に異なる例を示したが、本発明がこれに限定されることはない。他の例として実施例３では、２つのＦＰＧＡがそれぞれ互いに異なる入出力端子が使用される例を示す。

図４は、実施例３によるＦＰＧＡ搭載モジュールの構成を示す図である。

本実施例では、ＦＰＧＡ１への入力信号群４とＦＰＧＡ２の入力信号群５として、不図示の同じセンサから出力された同じ信号が用いられているものとする。そのため、何も故障等の異常がなければ、ＦＰＧＡ１からの出力信号群６とＦＰＧＡ２からの出力信号群７は完全に一致する。

ＦＰＧＡ１とＦＰＧＡ２は上述したように同一の機能を果たす機能部であるが、ハードウェア構成が互いに異なる。具体的には、２つのＦＰＧＡ１、２は、それぞれ互いに異なる入出力端子を使用している。例えば、ＦＰＧＡ１では、入力信号Ａに入力端子ＰＮ１が割り振られ、入力信号Ｂに入力端子ＰＮ２が割り振られ、入力信号Ｃに入力端子ＰＮ３が割り振られている。一方、ＦＰＧＡ２では、入力信号Ａに入力端子ＰＮ７が割り振られ、入力信号Ｂに入力端子ＰＮ８が割り振られ、入力信号Ｃに入力端子ＰＮ９が割り振られている。また、ＦＰＧＡ１では、出力信号Ａに入力端子ＰＮ４が割り振られ、出力信号Ｂに入力端子ＰＮ５が割り振られ、出力信号Ｃに入力端子ＰＮ６が割り振られている。一方、ＦＰＧＡ２では、出力信号Ａに入力端子ＰＮ１０が割り振られ、出力信号Ｂに入力端子ＰＮ１１が割り振られ、出力信号Ｃに入力端子ＰＮ１２が割り振られている。

ここでは、内部論理Ａ１０３、２０３は、入力信号Ａおよび入力信号Ｂを入力として所定の処理を行い、出力信号Ａを出力する回路である。内部論理Ｂ１０４、２０４は、入力信号Ｃを入力として所定の処理を行い、出力信号Ｂおよび出力信号Ｃを出力する回路である。

例えばＦＰＧＡ１およびＦＰＧＡ２に共通要因故障として入力端子ＰＮ３が故障したとする。その場合、Ａ系回路では、内部論理Ｂ１０４の入力が異常となるので内部論理Ｂ１０４から出力される出力信号Ｂ、Ｃが異常となる。一方、Ｂ系回路では、入力端子ＰＮ３を使用されていないので、内部論理Ａ２０３および内部論理Ｂ２０４のいずれの入力にも異常が起こらず、内部論理Ａ２０４から出力される出力信号Ａ、および内部論理Ｂ２０４から出力される出力信号Ｂ、Ｃに異常が発生しない。その結果、出力信号照合部８では、Ａ系回路とＢ系回路の出力信号の不一致が検出されることとなる。その場合、出力信号照合部８は、コントローラ３０に出力信号Ａ、Ｂ、Ｃではなく、所定の異常信号を出力する。コントローラ３０は、異常信号を受信していなければ出力信号Ａ、Ｂ、Ｃに基づいて所定のプロセス制御を実行するが、上述のように異常信号を受信すると、プロセス制御を行なわずに所定の異常処理を実行することになる。

以上のように、本実施例では、複数のＦＰＧＡは、それぞれ互いに異なる入出力端子が使用されるので、互いに異なる入出力端子を用いることによりＦＰＧＡのハードウェア構成を容易に異ならせることができる。

以上、各種実施例について述べてきたが、本発明は、これらの実施例だけに限定されるものではなく、本発明の技術思想の範囲内において、これらの実施例を組み合わせて使用したり、一部の構成を変更したりしてもよい。

１…ＦＰＧＡ、１０…入力信号群、１０１…入力端子部、１０２…出力端子部、１１…出力信号群、２…ＦＰＧＡ、２０１…入力端子部、２０２…出力端子部、２０３…内部論理Ａ、２０４…内部論理Ｂ、３…ＦＰＧＡ搭載モジュール、３０…コントローラ、４…入力信号群、４０…センサ、５…出力信号照合部、５…入力信号群、６…出力信号群、７…出力信号群、
８…出力信号照合部、９０１…入力端子部、９０２…出力端子部

Claims

互いに異なるハードウェア構成を有し、同一の入力信号に対して同一の処理を行い、同一の出力信号を生成する複数系の処理回路と、
前記複数系の処理回路の出力信号を照合し照合結果を出力する出力信号照合部と、を有する、処理装置。
所定の制御を実行するコントローラを更に有し、
前記出力信号照合部は、前記出力信号が一致していれば該出力信号を前記コントローラに送信し、前記出力信号が不一致であれば異常であることを示す所定の異常信号を前記コントローラに送信し、
前記コントローラは、前記異常信号を受信していなければ前記出力信号に基づいて前記制御を実行し、前記異常信号を受信すると前記制御を行なわずに所定の異常処理を実行する、
請求項１に記載の処理装置。
前記処理回路は特定の用途に構成された集積回路であり、
前記処理回路と前記出力信号照合部が１つのモジュール内に構成された、
請求項１に記載の処理装置。
前記処理回路がＦＰＧＡである、請求項１に記載の処理装置。
前記複数のＦＰＧＡは、入出力信号と入出力端子の組み合わせがそれぞれに異なる、請求項４に記載の処理装置。
前記複数のＦＰＧＡは、それぞれ互いに異なる入出力端子が使用される、請求項４に記載の処理装置。