JP2019046274A

JP2019046274A - 入出力装置

Info

Publication number: JP2019046274A
Application number: JP2017169987A
Authority: JP
Inventors: 秀和西樂; Hidekazu Sairaku
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2017-09-05
Filing date: 2017-09-05
Publication date: 2019-03-22

Abstract

【課題】制御データの処理に対する影響を抑制しつつ、ビット化け等によるデータ異常の検出及び修復を行うことができる入出力装置を提供する。【解決手段】ＩＯカード１００は、内容が同一の制御データをそれぞれ保存する第１の制御データ保存部１０２及び第２の制御データ保存部１０３と、それぞれの制御データ保存部に保存された制御データに内容が同一の演算をそれぞれ施し、得られた演算結果をそれぞれの制御データ保存部に保存させる演算部１０４と、２つの演算結果を比較照合して演算結果の健全性を判定する演算結果診断部１１０と、２つの演算結果が健全であると判定された場合に演算結果をバックアップとして保存し、２つの演算結果が健全でないと判定された場合にバックアップを第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存させるバックアップ制御部１１１とを備える。【選択図】図１

Description

この発明は、原子力プラントなどの制御において制御対象機器の状態や測定値などの制御データを上位制御装置に送信するとともに、上位制御装置から受信した制御指令を制御対象機器に出力する入出力装置に関するものである。

原子力プラント等の大規模プラントにおいては、フィールド機器等の制御対象機器から入力される制御データを大規模プラントのコントローラである上位制御装置に送り、上位制御装置にて制御データを用いて制御対象機器への制御指令を演算している。上位制御装置には高い信頼性が求められるため、稼働系と待機系から構成される二重化制御装置を構成し、自系のメモリに複数ビットエラーが発生した場合に相手系を単独運転モードに遷移させ、相手系のプロセス制御データにより該メモリの複数ビットエラーが正常に修復した後に自系を待機系に遷移させることで運転を停止することなく複数ビットエラーに対応するものがある（例えば、特許文献１参照）。

特開２００８−１４６２３９号公報

ところで、上位制御装置と制御対象機器は、ＩＯカードなどの入出力装置によって互いに接続されており、この入出力装置を介して上位制御装置と制御対象機器との間でのデータの送受信が行われる。入出力装置は、基板に搭載されたファームウエアにより動作し、制御データの上下限範囲チェックやフィルタ演算、上位制御装置に合わせたデータ形式へのデータ変換や上位制御装置との通信を行う。このような入出力装置においては、ＳＥＵ（ＳｉｎｇｌｅＥｖｅｎｔＵｐｓｅｔ）のように宇宙線や放射線に起因するビット化け（ビットエラー）によるデータ異常が発生する可能性がある。しかしながら、特許文献１の技術では、上位制御装置におけるビット化けに対応することができても、上位制御装置と制御対象機器を接続する入出力装置におけるビット化けには対応していない。また、従来の入出力装置は、上述したような上下限範囲チェック等を行うものの、ビット化けによるデータ異常の検出や修復はできない。さらに、大規模プラントの制御においては数十ミリ秒サイクルという高速での監視・制御が要求されるため、上位制御装置のような演算処理能力を持たない入出力装置においては、上位制御装置の場合のように単純に二重化すると制御データの処理に遅れが生じ、リアルタイムの監視・制御が困難になる虞がある。

この発明は、上記のような問題点を解決するためになされたもので、制御データの処理に対する影響を抑制しつつ、ビット化け等によるデータ異常の検出及び修復を行うことができる入出力装置を得るものである。

この発明の入出力装置は、上位制御装置と、上位制御装置によって制御される制御対象機器を接続し、制御対象機器から入力された制御データを上位制御装置に伝達するとともに、上位制御装置から制御指令を受信して、受信した制御指令を制御対象機器に出力する入出力装置において、制御データを保存する第１の制御データ保存部と、第１の制御データ保存部に保存された制御データと内容が同一の制御データを保存する第２の制御データ保存部と、第１の制御データ保存部に保存された制御データに第１の演算を施し、得られた結果を第１の演算結果として第１の制御データ保存部に保存させ、第２の制御データ保存部に保存された制御データに第１の演算と内容が同一の第２の演算を施し、得られた結果を第２の演算結果として第２の制御データ保存部に保存させる演算部と、第１の演算結果と第２の演算結果を比較照合し、第１の演算結果及び第２の演算結果の健全性を判定する演算結果診断部と、演算結果診断部により第１の演算結果及び第２の演算結果が健全であると判定された場合に第１の演算結果又は第２の演算結果をバックアップとして保存し、演算結果診断部により第１の演算結果及び前記第２の演算結果が健全でないと判定された場合にバックアップを第１の制御データ保存部及び第２の制御データ保存部に保存させるバックアップ制御部とを備えたものである。

この発明によれば、制御データの処理速度に対する影響を抑制しつつ、ビット化け等によるデータ異常の検出及び修復を行うことができる入出力装置を得ることができる。

この発明の実施の形態１におけるＩＯカードを示す機能ブロック図である。この発明の実施の形態１におけるＩＯカードのハードウエア構成図である。この発明の実施の形態１におけるＩＯカードの動作を説明する図であり、演算結果が健全であると判定される場合の動作を説明する図である。この発明の実施の形態１におけるＩＯカードの動作を説明する図であり、演算結果が健全でないと判定される場合の動作を説明する図である。

実施の形態１．
以下に、この発明の実施の形態１を図１から図４に基づいて説明する。図１は、実施の形態１における入出力装置を示す機能ブロック図であり、図２は、ハードウエア構成図である。図１において、実線の矢印は制御対象機器から上位制御装置へのデータの流れを示し、破線の矢印は上位制御装置から制御対象機器へのデータの流れを示す。また一点鎖線の矢印は、後述するバックアップ処理又はリカバリ処理におけるデータの流れを示す。ＩＯカード１００、すなわち入出力装置は、制御対象機器５０２と上位制御装置５０１を接続するものであり、制御対象機器５０２から入力される制御データに所定の処理を施して上位制御装置５０１に搭載されたＣＰＵ（図示なし）に伝達するとともに、上位制御装置５０１からの制御指令を制御対象機器に伝達するものである。制御対象機器５０２から入力される制御データは、入力データ制御部１０１によって複製され、内容が同一の制御データが第１の制御データ保存部１０２及び第２の制御データ保存部１０３にそれぞれ保存される。なお、ここでは制御データとして電流値、電圧値、温度、回転数等、プラントの状態を示すアナログデータを想定しているが、これに限られるものではなく、ＯＮ／ＯＦＦ信号などのデジタルデータでもよい。

第１の制御データ保存部１０２及び第２の制御データ保存部１０３は、保存している制御データを所定のタイミングで演算部１０４に送信し、演算部１０４は受信した制御データにフィルタ演算等の所定の演算を施す。演算部１０４は、得られた演算結果を第１の演算結果及び第２の演算結果として第１の制御データ保存部１０２及び第２の制御データ保存部１０３に返し、それぞれ新たな制御データとして第１の制御データ保存部１０２及び第２の制御データ保存部１０３に上書き保存させる。なお、演算部１０４は第１の制御データ保存部１０２及び第２の制御データ保存部１０３からの制御データそれぞれについて同じ内容の演算を施すので、演算部１０４が第１の制御データ保存部１０２及び第２の制御データ保存部１０３にそれぞれ返す第１の演算結果及び第２の演算結果は通常同一で一致するが、ビット化け等によるデータ異常により同一性が損なわれて不一致が生じることがある。

演算結果診断部１１０は、演算部１０４による演算後に第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存されているそれぞれの制御データ（第１の演算結果及び第２の演算結果）を比較照合し、その同一性をチェックすることで演算結果の健全性を診断するものである。演算結果診断部１１０は、２つの制御データが一致している場合、２つの制御データにはビット化け等によるデータ異常が生じておらず演算結果は健全であると判定し、後述するバックアップ処理を行うようバックアップ制御部１１１に指示を出す。２つの制御データの間に不一致が生じている場合、２つの制御データの片方又は両方にビット化け等によるデータ異常が生じており、演算結果は健全ではないと判定し、後述するリカバリ処理を行うようバックアップ制御部１１１に指示を出す。

バックアップ制御部１１１は、２つの制御データが健全であると判定された場合に第１の制御データ保存部１０２に保存されている制御データをバックアップとして保存するバックアップ処理を行い、２つの制御データが健全ではないと判定された場合に、バックアップとして保存した制御データを第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存させるリカバリ処理を行う。リカバリ処理に用いられる制御データは、過去に健全であると判定されバックアップ処理されたものであるため、データ異常が生じていない健全な制御データがリカバリ処理により第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存されることとなる。なお、バックアップ処理において、実施の形態１では第１の制御データ保存部１０２に保存されている制御データをバックアップに保存するが、バックアアップ処理は第１の制御データ保存部１０２に保存されている制御データと第２の制御データ保存部１０３に保存されている制御データが一致した場合に行われるものであるので、第２の制御データ保存部１０３に保存されている制御データを保存してもよい。

演算結果診断部１１０は、上記した演算結果の健全性の診断を１演算周期（数十ミリ秒程度）など、予め定められた周期で周期的に行う。このため、バックアップ制御部１１１によるバックアップ処理やリカバリ処理も周期的に行われるので、バックアップ制御部１１１が保存する制御データは周期的に更新される。また、ある周期でリカバリ処理が行われた場合、リカバリ処理により第１の制御データ保存部１０２及び第２の制御データ保存部１０３にそれぞれ保存された健全な制御データにより次周期以降の演算が行われることになる。

制御データチェック部１２１は、上位制御装置５０１に送信する制御データを第１の制御データ保存部１０２から取得して上下限範囲のチェックを実施し、制御データが所定の範囲内であれば、データ変換部１２２にチェック済みの制御データを送信する。制御データが所定の範囲内にない場合、データ変換部１２２に対してエラー信号を送信する。

データ変換部１２２は、制御データチェック部１２１から受信したチェック済みの制御データ又はエラー信号のデータ形式を上位制御装置５０１が処理可能なデータ形式に変換し、変換済みの制御データ又はエラー信号を送受信部１２３に送信する。また、データ変換部１２２は送受信部１２３を介して上位制御装置５０１から受信した制御指令のデータ形式を制御対象機器５０２が処理可能なデータ形式に変換し、制御指令出力部１２４に送信する。データ変換部１２２によるデータ形式の変換は、例えばアナログデジタル変換であるが、上位制御装置５０１及び制御対象機器５０２がそれぞれ扱うデータ形式によって変わるものである。また、上位制御装置５０１及び制御対象機器５０２が扱うデータ形式が同じであればデータ変換部１２２は省略可能である。

送受信部１２３は、データ変換部１２２から受信した変換済みの制御データ又はエラー信号をフィールドネットワークなどの通信回線を介して上位制御装置５０１に送信する。また、上位制御装置５０１のＣＰＵによって演算された制御指令を上位制御装置５０１から受信し、データ変換部１２２に送信する。

制御指令出力部１２４は、データ変換部から受信した制御指令を制御対象機器５０２に出力する。

次に、図１で示した各機能を実現するハードウエア構成について説明する。第１の制御データ保存部１０２及び第２の制御データ保存部１０３は、図２に示す２つのＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）８６によって実現される。
入力データ制御部１０１、演算部１０４、演算結果診断部１１０、バックアップ制御部１１１、制御データチェック部１２１は、主にプロセッサ８５により実現される。プロセッサ８５は、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）８８に記憶されているファームウエアによって動作する。なお、入力データ制御部１０１により複製される制御データは、入力回路８１を介して制御対象機器５０２から入力される。また、演算結果診断部１１０による制御データの比較照合は、２つのデータをビット単位で比較する比較器８９により行われる。また、制御データチェック部が制御データをチェックする際に参照する上下限範囲は、ＲＯＭ８８に記憶されている。また、バックアップ制御部１１１によるバックアップの保存は、バックアップ用記憶装置８７により実現される。
データ変換部１２２は、上記のようなアナログデジタル変換の場合、Ａ／Ｄ変換回路８４により実現される。
送受信部１２３は、通信入出力回路８３により実現される。
制御指令出力部１２４は、出力回路８２により実現される。

なお、前回の演算結果の健全性の診断からの経過時間はタイマ９０により計測され、この経過時間が予め定められた周期に達すると、演算結果診断部１１０はその時点で第１の制御データ保存部１０２及び第２の制御データ保存部１０３にそれぞれ保存されている制御データの比較照合を行い、演算部１０４により直前に行われた演算の演算結果の健全性の診断を行うように構成されている。すなわち、演算結果診断部１１０は、演算結果の健全性の診断を周期的に行う。健全性の診断を行う周期はＲＯＭ８８に記憶されている。

次に、動作について説明する。図３は、実施の形態１におけるＩＯカードの動作を説明する図であり、演算結果が健全であると判定される場合の動作を説明する図である。また、図４は演算結果が健全でないと判定される場合の動作を説明する図である。なお、図３及び図４では、既に入力データ制御部１０１による入力データの複製が行われ、第１の制御データ保存部１０２及び第２の制御データ保存部１０３に制御データ１Ａ及び制御データ１Ｂがそれぞれ保存されているものとして説明する。また、１演算周期の間に行われる１つ又は複数の演算を演算Ａ１及び演算Ｂ１とする。図中の制御データ１Ａ及び制御データ１Ｂは内容が同一のデータであり、演算Ａ１及び演算Ｂ１は内容が同一の演算であるが、説明の便宜上それぞれ異なる符号を付している。

まず、演算結果が健全であると判定される場合の動作について説明する。図３に示すように、まず制御データ１Ａ及び制御データ１Ｂに対して所定の演算を演算部１０４により施す（ステップＳＴ０１）。ステップＳＴ０１のデータ演算では、まず制御データ１Ａに対して演算Ａ１を施し、演算結果である制御データ２Ａを第１の制御データ保存部１０２に保存する（ステップＳＴ０１１）。次いで制御データ１Ｂに対して演算Ｂ１を施し、演算結果である制御データ２Ｂを第２の制御データ保存部１０３に保存する（ステップＳＴ０１２）。図３において、演算Ａ１及び演算Ｂ１は、それぞれ第１の演算及び第２の演算に相当する。制御データ２Ａ及び制御データ２Ｂは、それぞれ第１の演算結果及び第２の演算結果に相当する。
なお、実施の形態１では演算Ａ１を行った後に演算Ｂ１を実施しているが、プロセッサ８５を２つ用いて演算Ａ１及び演算Ｂ１を同時並行して行ってもよい。

次に、演算結果診断部１１０により制御データ２Ａ及び制御データ２Ｂを比較照合することで演算結果の健全性の診断を行う（ステップＳＴ０２）。演算結果診断部１１０は、制御データ２Ａ及び制御データ２Ｂをビット単位で比較し（ステップＳＴ０２１）、比較照合の結果が「一致」であることを受けて（ステップＳＴ０２２）、制御データ２Ａ及び制御データ２Ｂにはビット化け等によるデータ異常が生じておらず健全であると判定し、判定結果をバックアップ制御部１１１に送信する。判定結果の送信後、タイマ９０をリセットする。

演算結果診断部１１０により演算結果が健全であると判定されると、バックアップ制御部１１１はバックアップ処理を行う（ステップＳＴ０３）。バックアップ処理では、第１の制御データ保存部１０２から制御データ２Ａを取得し（ステップＳＴ０３１）、取得した制御データ２Ａをバックアップ制御部１１１に保存する（ステップＳＴ０３２）。以上が、演算結果が健全であると判定される場合のＩＯカード１００の動作である。

なお、続けて演算部１０４にて次の演算が行われる場合は、上記した図３の説明において制御データ１Ａ及び制御データ１Ｂを制御データ２Ａ及び制御データ２Ｂに置き換え、次の演算の演算結果に対してステップＳＴ０２１で行った比較照合を行うことで演算結果の診断を行い、演算結果が健全であると判定されたらバックアップ処理により次の演算の演算結果がバックアップとしてバックアップ制御部１１１に保存される。さらに演算が続く場合も同様の処理を繰り返す。バックアップの保存は、演算が進むにつれて上書き保存してもよいし、過去のバックアップに追加で保存していってもよい。

次に、演算結果が健全でないと判定される場合の動作について説明する。なお。ここでは図３で説明したバックアップ処理が少なくとも１回行われており、バックアップ制御部１１１には最後にバックアップ処理が行われた演算周期における演算結果が初期状態において保存されていると仮定している。具体例として、図４ではバックアップ制御部１１１に制御データ２Ａが保存されているとしている。第１の制御データ保存部１０２及び第２の制御データ保存部１０３には制御データ２Ａ及び制御データ２Ｂがそれぞれ保存されている。

まず、図３の場合と同様に制御データ２Ａ及び制御データ２Ｂの演算を演算部１０４により施す（ステップＳＴ１１）。ステップＳＴ１１のデータ演算では、まず制御データ２Ａに対して演算Ａ２を施し、演算結果である制御データ３Ａを第１の制御データ保存部１０２に保存する（ステップＳＴ１１１）。次いで制御データ２Ｂに対して演算Ｂ２を施し、演算結果である制御データ３Ｂを第２の制御データ保存部１０３に保存する（ステップＳＴ１１２）。図４において、演算Ａ２及び演算Ｂ２は、それぞれ第１の演算及び第２の演算に相当する。制御データ３Ａ及び制御データ３Ｂは、それぞれ第１の演算結果及び第２の演算結果に相当する。
なお、実施の形態１では演算Ａ２を行った後に演算Ｂ２を実施しているが、プロセッサ８５を２つ用いて演算Ａ２及び演算Ｂ２を同時並行して行ってもよい。

次に、演算結果診断部１１０により制御データ３Ａ及び制御データ３Ｂを比較照合することで演算結果の健全性の診断を行う（ステップＳＴ１２）。演算結果診断部１１０は、制御データ３Ａ及び制御データ３Ｂをビット単位で比較し（ステップＳＴ１２１）、比較照合の結果により不一致が生じていることを認識すると（ステップＳＴ１２２）、制御データ３Ａ若しくは制御データ３Ｂのいずれか、又は両方にビット化け等によるデータ異常が生じており演算結果は健全でないと判定し、判定結果をバックアップ制御部１１１に送信する。判定結果の送信後、タイマ９０をリセットする。

演算結果診断部１１０により演算結果が健全でないと判定されると、バックアップ制御部１１１はリカバリ処理を行う（ステップＳＴ１３）。リカバリ処理では、バックアップ制御部１１１から制御データ２Ａを取得し（ステップＳＴ１３１）、取得した制御データ２Ａを複製して第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存することで、第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存されている制御データ３Ａ及び制御データ３Ｂを制御データ２Ａに置き換える（ステップＳＴ１３２）。これにより、健全でないと判定された制御データ３Ａ及び制御データ３Ｂが、健全であると判定された制御データ２Ａに置き換えられたことになる。以上が、演算結果が健全でないと判定される場合のＩＯカード１００の動作である。次の演算周期における演算では、リカバリ処理によって第１の制御データ保存部１０２及び第２の制御データ保存部１０３に保存された制御データ２Ａに対して演算を施す。
なお上記したとおり、ここではバックアップ処理が少なくとも１回行われていると仮定したが、バックアップ処理が一度も行われていない場合はリカバリ処理に必要な制御データが存在しないため、制御対象機器から制御データを取得し直して１回目の演算周期の場合と同様に処理する。

実施の形態１によれば、２つの制御データ保存部、及びそれぞれの制御データ保存部に保存された演算結果をビット単位で比較照合して演算結果の健全性を判定する演算結果診断部を備えたため、ビット化け等によるデータ異常の検出を行うことができる。
また、健全と判定された演算結果をバックアップとして保存するバックアップ処理を行い、このバックアップによって健全でないと判定された演算結果を置き換えるリカバリ処理を行うバックアップ制御部を備えたため、データ異常の修復を行うことができる。
また、演算結果診断部による比較照合の対象が特定の演算結果に限られ照合範囲が局所化されているため、健全性の判定を低負荷かつ短時間で行うことが可能であり、制御データの処理に対する影響を抑制することができる。

なお、実施の形態１では二重化した制御データ保存部を利用して制御データの健全性を判定する構成としたが、制御データ保存部は三重化以上にしてもよい。

なお、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１００ＩＯカード、１０２第１の制御データ保存部、１０３第２の制御データ保存部、１０４演算部、１１０演算結果診断部、１１１バックアップ制御部、５０１上位制御装置、５０２制御対象機器

Claims

上位制御装置と、前記上位制御装置によって制御される制御対象機器を接続し、前記制御対象機器から入力された制御データを前記上位制御装置に伝達するとともに、前記上位制御装置から制御指令を受信して、受信した前記制御指令を前記制御対象機器に出力する入出力装置において、
前記制御データを保存する第１の制御データ保存部と、
前記第１の制御データ保存部に保存された制御データと内容が同一の制御データを保存する第２の制御データ保存部と、
前記第１の制御データ保存部に保存された制御データに第１の演算を施し、得られた結果を第１の演算結果として前記第１の制御データ保存部に保存させ、前記第２の制御データ保存部に保存された制御データに前記第１の演算と内容が同一の第２の演算を施し、得られた結果を第２の演算結果として前記第２の制御データ保存部に保存させる演算部と、
前記第１の演算結果と前記第２の演算結果を比較照合し、前記第１の演算結果及び前記第２の演算結果の健全性を判定する演算結果診断部と、
前記演算結果診断部により前記第１の演算結果及び前記第２の演算結果が健全であると判定された場合に前記第１の演算結果又は前記第２の演算結果をバックアップとして保存し、前記演算結果診断部により第１の演算結果及び前記第２の演算結果が健全でないと判定された場合に前記バックアップを前記第１の制御データ保存部及び前記第２の制御データ保存部に保存させるバックアップ制御部と
を備えたことを特徴とする入出力装置。
前記演算結果診断部は、前記第１の演算結果及び前記第２の演算結果の健全性の判定を予め定められた周期で周期的に行うことを特徴とする請求項１に記載の入出力装置。