JP5868272B2 - リモート／マニュアル装置 - Google Patents

Description

この発明は、原子力設備を制御する中央制御装置と、この中央制御装置によって制御される制御対象機器との間に配置され、制御対象機器をリモートまたはマニュアルで制御するリモート／マニュアル装置に関するものである。

従来のリモート／マニュアル装置は、マイコンを内蔵し、原子力設備を制御する中央制御装置と、この中央制御装置によって制御される制御対象機器との間に、制御対象機器と１対１で配置され、マイコンの制御により制御対象機器をリモートまたはマニュアルで制御するようになっている。
このリモート／マニュアル装置では、ノイズ等によりリモート／マニュアル装置内のマイコン周辺でエラーが発生する場合があり、この場合、マイコンが正常動作できなくなる。

特開平１−１８３７０１号公報（第２〜５頁、図１）

従来のリモート／マニュアル装置は、ノイズ等によりリモート／マニュアル装置内のマイコン周辺でエラーが発生した場合には、リモート／マニュアル装置外部のリモート制御が正常であるにも関わらず、リモート／マニュアル装置内マイコンが正常動作できなくなることで、リモート／マニュアル装置外部からのリモート制御が遮断されてしまい、システム全体に与える影響が大きいという課題があった。
特許文献１には、プラント監視装置に用いられるマイコンの異常検出時に回復させるために、所定回数までリトライ処理するものが記載されている。
しかしながら、特許文献１では、異常が検出されたとき、システムリセット状態にしてＲＯＭベース初期ルーチンを実行するリトライ処理によりマイコンの回復を図るものであるが、マイコンが動作できない場合には、マイコンをリセットすることができないという問題があった。

この発明は、上述のような課題を解決するためになされたものであり、マイコンの動作に関連するエラーに対応し、マイコンが動作できない場合にも確実にマイコンをリセットすることができるリモート／マニュアル装置を得ることを目的にしている。

この発明に係わるリモート／マニュアル装置においては、制御対象機器とこれを制御する中央制御装置との間に配置されるリモート／マニュアル装置であって、中央制御装置からの制御信号を制御対象機器にバイパスするリモート制御部、マニュアル操作により制御対象機器に制御信号を送信するマニュアル操作部、リモート制御部及びマニュアル操作部の出力を切り替える切替部、リモート制御部及びマニュアル操作部及び切替部の動作を制御するマイコン、このマイコンの動作に関連するエラーを検出するエラー検出回路、及びこのエラー検出回路がエラーを検出した場合にマイコンをリセットするためのリセット信号を出力するリセット回路を備え、マイコンは、エラーが検出された場合にソフトウェアリセット信号をリセット回路に出力するソフトウェアリセット手段を有し、リセット回路は、ソフトウェアリセット手段からのソフトウェアリセット信号を受信したとき、またはエラーが検出されてから所定時間経過後にリセット信号を出力するものである。

この発明によれば、制御対象機器とこれを制御する中央制御装置との間に配置されるリモート／マニュアル装置であって、中央制御装置からの制御信号を制御対象機器にバイパスするリモート制御部、マニュアル操作により制御対象機器に制御信号を送信するマニュアル操作部、リモート制御部及びマニュアル操作部の出力を切り替える切替部、リモート制御部及びマニュアル操作部及び切替部の動作を制御するマイコン、このマイコンの動作に関連するエラーを検出するエラー検出回路、及びこのエラー検出回路がエラーを検出した場合にマイコンをリセットするためのリセット信号を出力するリセット回路を備え、マイコンは、エラーが検出された場合にソフトウェアリセット信号をリセット回路に出力するソフトウェアリセット手段を有し、リセット回路は、ソフトウェアリセット手段からのソフトウェアリセット信号を受信したとき、またはエラーが検出されてから所定時間経過後にリセット信号を出力するので、マイコンの動作に関連するエラーに対し、ハードウェアとソフトウェアの双方によりマイコンをリセットできるようにしたことにより、確実にマイコンのリセットを行い、エラー復旧を行うことができる。

この発明の実施の形態１によるリモート／マニュアル装置を示すブロック図である。 この発明の実施の形態１によるリモート／マニュアル装置のマイコンとリセットのためのハードウェア構成を示す図である。 この発明の実施の形態１によるリモート／マニュアル装置の動作を示すフローチャートである。

実施の形態１．
図１は、この発明の実施の形態１によるリモート／マニュアル装置を示すブロック図である。
図１において、リモート／マニュアル装置１は、原子力設備を制御する中央制御装置３と、この中央制御装置３によって制御される制御対象機器４との間に配置され、次のように構成されている。
リモート制御部１１は、中央制御装置３からの信号を制御対象機器４にバイパスする。マニュアル操作部１２は、ボタン操作などのマニュアルで制御対象機器４に対する制御信号を操作入力できるように形成されている。切替部１３は、リモート制御部１１とマニュアル操作部１２の出力を切り替えるようになっている。マイコン１４は、リモート／マニュアル装置１全体を制御し、リモート制御部１１と、マニュアル操作部１２と、切替部１３とを制御する。

図２は、この発明の実施の形態１によるリモート／マニュアル装置のマイコンとリセットのためのハードウェア構成を示す図である。
図２において、マイコン１４は、後述するエラー要因格納レジスタ１６からエラー要因を読出すエラー要因読出し手段１４１と、ＥＥＰＲＯＭなどの不揮発性メモリ１５のエラー要因ログ１５１にエラー要因ログを書き込むエラー要因ログ書き込み手段１４２と、不揮発性メモリ１５のエラーリセット合計回数１５２からエラーリセット合計回数を読み出すエラーリセット合計回数読出し手段１４３と、エラーリセット回数が上限回数以内かどうかをチェックする上限回数以内チェック手段１４４と、エラーリセット回数を加算し、エラーリセット合計回数１５２に書き込むエラーリセット回数加算書込み手段１４５と、エラーリセット信号（ソフトウェアリセット信号）を出力するエラーリセット実行手段１４６とを有している。
これらの各手段が、ソフトウェアリセット手段を構成する。

図２のマイコン１４のエラーリセットのためのハードウェア構成（リセット回路）は、次のように構成されている。
エラー要因格納レジスタ１６は、種々のマイコン周辺のエラー条件（エラー情報）が入力され、このエラー情報に含まれるエラー要因を格納するとともにエラーリセット信号を送出する。エラーリセット禁止設定レジスタ１７は、マイコンのソフトウェアによるエラーリセットが上限回数を超えたときに、ハードウェアによるエラーリセットを禁止するためのレジスタである。
エラーリセット遅延タイマー１８は、エラーリセット信号を所定時間、遅延させるためのタイマである。リセット回数カウンタ１９は、ハードウェアによるリセット回数をカウントする。上限回数比較回路２０は、ハードウェアによるリセット回数が上限になったかどうかを比較し、上限回数に達したときは、エラーリセット遅延タイマー１８の出力を禁止する。

立上りエッジ検出回路２１は、エラーリセット遅延タイマー１８の出力であるエラーリセット信号の立上りエッジを検出し、これに応じてリセット回数カウンタ１９は、カウントアップする。パルス幅拡張回路２２は、入力されるエラーリセット信号のパルス幅を拡張し、拡張したエラーリセット信号を出力する。
リセットレジスタ２３は、マイコンのエラーリセット実行手段１４６により出力されるエラーリセット信号を入力し、エラーリセット信号をパルス幅拡張回路２２に出力する。このリセットレジスタ２３からのエラーリセット信号とエラーリセット遅延タイマー１８の出力のいずれかを入力として、パルス幅拡張回路２２は、エラーリセット信号のパルス幅を拡張してマイコン１４のリセット端子に入力する。

このパルス幅拡張回路２２の出力は、エラー要因格納レジスタ１６とエラーリセット禁止設定レジスタ１７とエラーリセット遅延タイマー１８のリセット端子にも入力される。
この構成により、これらのハードウェアはリセットレジスタ２３からのエラーリセット信号の出力によりリセットされ、エラーリセット遅延タイマー１８からのエラーリセット信号は出力されなくなる。
なお、エラー要因格納レジスタ１６とエラーリセット禁止設定レジスタ１７とエラーリセット遅延タイマー１８とリセット回数カウンタ１９と上限回数比較回路２０とリセットレジスタ２３とパルス幅拡張回路２２とによりリセット回路を構成する。

エラー検出回路２４は、ハードウェア上に形成された回路で、マイコン１４及びマイコン外部でノイズ等により発生し、マイコン１４の動作に関連する不正な状態をエラーとして検出し、エラーの種類によって、エラー条件１〜４をエラー要因格納レジスタ１６に出力する。
このエラー検出回路２４は、マイコン１４へ供給するクロックが無くなるクロックロスエラー、規定時間内にマイコンの処理が終了しないときのＷＤＴ（Ｗａｔｃｈ Ｄｏｇ Ｔｉｍｅｒ）エラー、パリティチェックによるエラーであるパリティエラー、一定時間内にＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの周辺装置からマイコン１４への応答がないときのタイムアウトエラーなどのエラーを検出するように構成されている。

次に、動作について説明する。
リモート／マニュアル装置１は、マイコン１４を内蔵し、原子力設備を制御する中央制御装置３と、この中央制御装置３によって制御される制御対象機器４との間に、制御対象機器４と１対１で配置され、マイコン１４の制御により制御対象機器４をリモートまたはマニュアルに設定して、通常は中央制御装置３からのリモートにより制御対象機器４を制御し、必要時にマイコン１４によりリモートをマニュアルに切替えて、マニュアル操作（ボタン操作など）により、対応する制御対象機器４を制御できるようになっている。
なお、リモート時には中央制御装置３からの制御信号はバイパスする。

このリモート／マニュアル装置１は、図２に示すように、マイコン１４の動作に影響するエラーが発生した場合に備え、ソフトウェア（Ｓ／Ｗ）によるマイコン１４のリセットと、ハードウェア（Ｈ／Ｗ）によるマイコン１４のリセットの双方により、自動的にエラー復旧処理を行うことで、システム全体に与える影響を最小限に抑えるようになっている。

以下、詳細について説明する。
リモート／マニュアル装置１は、マイコン及びマイコン周辺で、マイコン１４の動作に関連するエラーが発生したことをＨ／Ｗのエラー検出回路２４により検出したとき、エラー要因格納レジスタ１６に通知し、エラーリセット遅延タイマー１８により所定時間遅延した後に、Ｈ／Ｗ（リセット回路）により自動的にマイコン１４のエラーリセット信号を発生させる。
また、リモート／マニュアル装置１で、エラー発生後もマイコン１４が動作可能な場合は、エラーリセット遅延タイマー１８がカウントアップするまでの期間に、ＥＥＰＲＯＭなどの不揮発性メモリ１５にエラー発生情報を格納し、Ｓ／Ｗによるエラーリセット信号を発生させるようになっている。
リモート／マニュアル装置１で、Ｈ／ＷおよびＳ／Ｗのいずれのエラーリセットにも発生回数に制限を設け、発生回数以上では、リモート／マニュアル装置１自体の故障とする。

次に、図３を用いて、リモート／マニュアル装置１の処理フローについて説明する。
マイコン１４の動作に関連する不正な状態を示すエラーとして、マイコン１４へのクロックの供給が無くなるクロックロスエラー、規定時間内に処理が終了しないときのＷＤＴエラー、パリティチェックによるエラーであるパリティエラー、一定時間内にＦＰＧＡなどの周辺装置からの応答がないときのタイムアウトエラーなどのエラーが発生する（ステップＳ１）と、Ｈ／Ｗのエラー検出回路２４がこれを検出し、エラー割込み信号が、マイコン１４と、Ｈ／Ｗのエラー要因格納レジスタ１６とに出力される。

以下、マイコン１４のソフトウェア処理（ソフトウェアリセット手段の処理）を次のように実行する。
エラー要因読出し手段１４１が、エラー要因格納レジスタ１６からエラー情報収集を行う（ステップＳ２）。次いで、エラー要因ログ書込み手段１４２が、不揮発性メモリのエラー要因ログ１５１へエラー情報を書き込む（ステップＳ３）。次いで、エラーリセット合計回数読出し手段１４３が、不揮発性メモリ１５のエラーリセット合計回数１５２を読出す（ステップＳ４）。

上限回数以内チェック手段１４４により、エラーリセット合計回数が上限回数以内かどうかをチェックし（ステップＳ５）、ＮＯであれば、ステップＳ１１のエラーリセット遅延タイマー１８のカウントアップを停止させる。これは、図２のエラーリセット合計回数が上限回数を超えたとき、エラーリセット禁止設定レジスタ１７に値を設定することにより、エラーリセット遅延タイマー１８への入力信号がなくすることにより実行される。
ステップＳ５で、ＹＥＳであれば、エラーリセット回数加算書込み手段１４５により、エラーリセット回数を加算し（ステップＳ６）、加算結果を不揮発性メモリ１５のエラーリセット合計回数１５２へ書き込む（ステップＳ７）。そして、エラーリセット実行手段１４６が、エラーリセット信号（ソフトウェアリセット信号）を発行し（ステップＳ８）、後述するステップＳ１６に進む。その後、マイコン１４がリセットされ、エラー復旧される（ステップＳ９）。

次に、エラー割込み信号を受けたハードウェア処理について説明する。
エラー条件が入力されたエラー要因格納レジスタ１６からの信号により、エラーリセット遅延タイマー１８を起動し（ステップＳ１０）、タイマー加算を行う（ステップＳ１１）。タイムアップするまで加算を行い、タイムアップすれば（ステップＳ１２）、ハードウェアの上限回数比較回路２０により、リセット回数が上限回数に達したかどうかのチェックを行う（ステップＳ１３）。
リセット回数が上限回数以内でなければ（ステップＳ１４）、処理を中断する。リセット回数が上限回数以内であれば（ステップＳ１４）、リセット回数カウンタ１９により、リセット回数を加算し（ステップＳ１５）、エラーリセット信号を発行し（ステップＳ１６）、マイコン１４のリセット端子に入力する。その後、マイコン１４がリセットされ、エラー復旧される（ステップＳ１７）。

実施の形態１によれば、Ｓ／Ｗによるリセットと、Ｈ／Ｗによるリセットの双方を用いて、マイコンのリセットを行うように構成したので、確実にマイコンのリセットを行い、自動的にエラー復旧処理を行うことで、システム全体に与える影響を最小限に抑えることができる。
また、リモート／マニュアル装置内蔵のＨ／Ｗにより、マイコン周辺のエラーによりマイコンが動作できないことを検出したとき、Ｈ／Ｗにより自動的にマイコンのエラーリセットを発生させることで復旧を試みるとともに、エラー発生後もマイコンが動作可能な場合は、エラーリセット遅延タイマーがカウントアップするまでの期間に不揮発性メモリにエラー発生情報を格納し、Ｓ／Ｗによるエラーリセットを発生させることで、復旧を試みるようにし、Ｈ／ＷおよびＳ／Ｗのいずれのリセットにも発生回数に制限を設けることで、リモート／マニュアル装置自身の故障を検出することが可能である。

なお、本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。

１ リモート／マニュアル装置
３ 中央制御装置
４ 制御対象機器
１１ リモート制御部
１２ マニュアル操作部
１３ 切替部
１４ マイコン
１５ 不揮発性メモリ
１６ エラー要因格納レジスタ
１７ エラーリセット禁止設定レジスタ
１８ エラーリセット遅延タイマー
１９ リセット回数カウンタ
２０ 上限回数比較回路
２１ 立上りエッジ検出回路
２２ パルス幅拡張回路
２３ リセットレジスタ
２４ エラー検出回路
１４１ エラー要因読出し処理
１４２ エラー要因ログ書込み処理
１４３ エラーリセット合計回数読出し処理
１４４ 上限回数以内チェック処理
１４５ エラーリセット回数加算書込み処理
１４６ エラーリセット実行処理
１５１ エラー要因ログ
１５２ エラーリセット合計回数

Claims (4)

1. 制御対象機器とこれを制御する中央制御装置との間に配置されるリモート／マニュアル装置であって、
   上記中央制御装置からの制御信号を上記制御対象機器にバイパスするリモート制御部、
   マニュアル操作により上記制御対象機器に制御信号を送信するマニュアル操作部、
   上記リモート制御部及び上記マニュアル操作部の出力を切り替える切替部、
   上記リモート制御部及び上記マニュアル操作部及び上記切替部の動作を制御するマイコン、
   このマイコンの動作に関連するエラーを検出するエラー検出回路、
   及びこのエラー検出回路が上記エラーを検出した場合に上記マイコンをリセットするためのリセット信号を出力するリセット回路を備え、
   上記マイコンは、上記エラーが検出された場合にソフトウェアリセット信号を上記リセット回路に出力するソフトウェアリセット手段を有し、
   上記リセット回路は、上記ソフトウェアリセット手段からのソフトウェアリセット信号を受信したとき、または上記エラーが検出されてから所定時間経過後に上記リセット信号を出力することを特徴とするリモート／マニュアル装置。
2. 上記マイコンのソフトウェアリセット手段は、所定回数以上のソフトウェアリセット信号を出力しないように構成されていることを特徴とする請求項１記載のリモート／マニュアル装置。
3. 上記リセット回路は、上記所定時間経過したのちに出力するリセット信号を、所定回数以上出力しないように構成されていることを特徴とする請求項１または請求項２記載のリモート／マニュアル装置。
4. 上記マイコンは、上記所定時間の間に、エラーログ情報を不揮発性メモリに書き込んだ後、上記ソフトウェアリセット信号を出力することを特徴とする請求項１〜請求項３のいずれか一項記載のリモート／マニュアル装置。
   
   
   
   

Images