JPH02157945A - 同期２重化電力制御用ディジタルコントローラ - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［発明の目的］ （産業上の利用分野） 本発明は、特に高い信頼性が要求される電力制御用ディ
ジタルコントローラの多重化技術に関する。

（従来の技術） 公共性が高く、巨大かつ複雑な発電プラントなどの電力
制御システムにおいて用いられる制御装置は、高い信頼
性が要求されるにの信頼性を達成するためキーコンポー
ネントの多重化が１つの手段として用いられている。

制御装置の多重化方法には何種類かがある。ここでは１
系の不具合でシステムダウンまでには至らず、多重化構
成での運転時には勿論、多重化の一系統の異常検出時、
および復旧時にプラントへ誤出力をしないという装置（
例えばシーケンスコン−トローラ）を２重化で構成した
場合を考える。

第２図は、従来の１重化制御装置における構成を示した
ものである。プラント内の制御情報（たとえば、センサ
入力、アクチュエータ出方）の取り合いを行う入出カモ
ジュール４と、入力情報に基づき機器制御に合致した演
算をＣＰＵにより実行し、出力情報を算出する中央演算
ユニット１とが基本要素である。各装置で処理する入出
力点に融通を持たすため通常ビルディングブロック化し
、所定数の入出カモジュールを増減することをある程度
可能にしている。このため入出カモジュール４と入出力
インタフェースモジュール３とで、入出力ユニット２を
構成し、これらは入出力バスｂで接続されるとともに、
入出カモジュール４は入出力インタフェースモジュール
３のコントロール下におかれる。さらに、中央演算ユニ
ット１には、この複数個の入出力ユニット２がシステム
バスａを介して接続され、入出力データ交換が行われる
。

このとき、入出力インタフェースモジュール３は。

システムバスａのインタフェース機能をも有することに
なる。尚、中央演算ユニット１は、マイクロプロッサを
中枢とし、メモリやシステムバスインタフェース、自己
診断回路等から成る。また、入出力インタフェースモジ
ュール３にもマイクロプロッサが実装されている。

この基本構成に対し、前述した条件の２重化を施すこと
を考えると、１ケ所の不具合でシステムダウンとしない
ため、２重化の範囲は中央演算ユニット１、システムバ
スａ、入出力インタフェースモジュール３まで必要とな
る。

中央演算ユニット１に不具合が発生すれば、制御装置と
しての中枢機能が喪失し、演算、システムバスａを介す
る入出力制御等が不可能となる。

入出力インタフェースモジュール３に不具合が発生する
と、その入出力ユニット２全体の入出力制御が不可能と
なり、制御装置の機能における喪失分が大きくプラント
制御が不可能となる場合が多い、システムバスａに接続
されている両者（中央演算ユニット１と入出力インタフ
ェースモジュール３）がいずれも２重化されているため
、システ“ムバス２も必然的に２重化となる。さらにバ
スのアーキテクチャ−にもよるがデイジ−チェーン方式
では断線等により複数の入出力ユニット２のデータ交信
が不可能になる。スタ一方式でも少なくとも１個の入出
力ユニット２とのデータ交信が不可能となり装置の基本
機能が著しく喪失し、プラント制御が難しくなる。

一方、いかなる時でも誤出力しないためには。

入出力データについての全データ照合方式が望ましい。

この場合の２重化は同一演算を同時に実行し出力データ
を照合して行ない、これらが一致していれば出力するＤ
ＵＡＬ方式となる。但し、稼働率向上もプラント全体の
制御から見ると重要であり、中央演算ユニット１と、入
出力インタフェースモジュール３とは自己診断機能を有
している。

そのため、不具合を自己で検出した場合、健全系は１重
化で運転を続行し、不具合が修復された時にはまた。Ｄ
ＵＡＬの２重化に再構築する機能を有する必要がある。

第３図は、制御装置が２重化された場合の構成を示す、
２重化された中央演算ユニット１は両系とも同一演算を
行うため、その実行サイクル毎にタイミングを合ねせ、
また両系共に健全であることの確認を取り合うため、中
央演算ユニット間の２重化同期バスＣを介してデータ交
信を行う。

方、２重化された入出力インタフェースモジュール３も
入出カモジュール４のアクセスの都度タイミングを合わ
せデータ照合を行う。そして、このデータ照合は入出力
インタフェースモジュール３間を接続している２重化同
期バスｄを介して行う。

但し、入出力バスｂは１重化なのでこの入出力バスｂへ
のデータ出力は、主導権を有する入出力インタフェース
モジュール３で行う。主導権の獲得は両系とも健全であ
る時は電源投入時に先にスタートシた側であり片系に不
具合が発生した時は。

他方の健全系が主導権を有する。

ここで１片系が不具合を検出してダウンした後に復旧し
た場合の挙動を考える。健全系は、演算、入出力を実行
しており復旧した系へ２重化として再起動するために同
一のデータ、パラメータ等を中央演算ユニット１間の２
重化同期バスＣを介して送信する必要がある。再起動に
要するデータ量は、通常の２重化として動作している時
の同期確認用の交信データ量に比べて大量でありサイク
リック演算周期が比較的短く設定されていた場合にこの
演算周期を越える時がある。また、入出力インタフェー
スモジュール３間も入出カモジュール４のアクセスに関
するパラメータ、データを復旧した側の入出力インタフ
ェースモジュール３に合わすため、入出力インタフェー
スモジュール３間の２重化同期バスｄを介して送信する
必要がある。

２重化として再起動するために今まで動作していた系の
有している各種データを同一にするための行為は、従来
はまず中央演算ユニット１間で実行されこの指示に基づ
き下位の入出力インタフェースモジュール３間で実行さ
れていた。

（発明が解決しようとする課題） 系のいずれかに不具合が発生した場合には、修復が不十
分であったり、あるいは入出力インタフェースモジュー
ル３内で、オペレータによる復旧行為が実行される前に
、くり返し不具合を検出しダウンし再起動をするような
現象（例えば２重化同期回路の部品不良で入出力インタ
フェースモジュール２重化同期パスｄを介して同期がと
九ない、あるいは、インタフェース入出カモジュール３
内のメモリ部品に不具合があり特定の番地をアクセスす
る都度エラーをする等）が発生すると、その都度中央演
算ユニット１間で再起動のための全データ交信を実行す
るため動作している健全系から見るとサイクリックな演
算周期の維持が乱され、プラント制御上好ましくない場
合が発生するという問題があった。

第４図に、従来例における２重化動作の挙動とタイミン
グを示す。図中、片系の中央演算ユニット１およびこの
中央演算ユニット１に接続される入出力インタフェース
モジュール３を各々Ａ、もう１系統をそれぞれＢとして
いる。

系が２重化で動作している時には、中央演算ユニットＡ
、Ｂ間で演算終了後同期をとり各々の入出力インタフェ
ースモジュールＡ、Ｈに対し出力指示、入力指示を与え
、その応答確認を行う。入出力インタフェースモジュー
ルＢに故障が生ずると同期がとれずに入出力インタフェ
ースＡは、１重化で動作し中央演算ユニットＢは、再ス
タート動作を行う、初期化自己診断の後、中央演算ユニ
ットＡに対し全データ送信要求を出し、このデータを受
信後、入出力インタフェースモジュールＢヘアクセスす
るが、入出力インタフェースＢが復旧していない時には
、応答が得られず再び再スタートの準備を行う。一方中
央演算ユニットＡは。

２重化確立確認のため中央演算ユニットＢからの応答を
待っているが、ある規定時間待ち合わせても応答が得ら
れない時には、１重化で動作を再開する。この２重化確
立動作の期間は、通常の動作サイクルに比べより多くの
時間を費やすが、入出力インタフェースモジュールＢが
正常に復旧しない間は、くり返される。この２重化確立
動作のため、基本的に同一時刻で制御がくり返し実行さ
れる健全な制御装置に対し、特にその周期が高速性を要
求される場合、同期を乱されることが無視できず、外乱
を与えることになるという問題があった。　本発明は、
これらの問題点に鑑み、不具合の生じた系が２重化へ自
動復旧する場合において、健全系に外乱を与えることが
なく、より確実に復旧動作を完結させる同期２重化電力
制御用ディジタルコントローラを提供することを目的と
する。

［発明の構成コ （課題を解決するための手段） 本発明は、上記目的を達成するためのもので、マイクロ
プロセッサを有する中央演算ユニットと、入出カモジュ
ールおよび入出力インタフェースモジュールからなる複
数の入出力ユニットとから構成された複数の系は５各系
毎に自己診断機能を有し、エラーを検出された系は切り
離され、１重化で運転を続行し、エラー修復後自動的に
２重化へ復帰する同期２重化電力制御用ディジタルコン
トローラにおいて、前記入出力ユニットにおける入出力
インタフェースモジュールは、自己の有するマイクロ・
プロセッサによって各自自己診断を行い、エラーのない
ことを確認後、入出力インタフェ“−スモジュール間で
２重化同期の確立を行なう機能を有し、前記中央演算ユ
ニットは、前記入出力ユニットからの２重化同期の確立
終了の通知により、自己の有するマイクロ・プロセッサ
により自己診断で異常でないことを確認後、２重化同期
の確認を行なうことを特徴とする。

（作　用） 本発明によれば、入出力インタフェースモジュール内に
不具合が内在している場合には、入出力インタフェース
モジュール間で同期確立をとっている間、中央演算ユニ
ットは同期確立のための無用なデータ交信をしないです
むので、その健全系に外乱を与えることがない。

また、システムバスに不具合が内在している場合には、
入出力インタフェースモジュールから中央演算ユニット
へ同期確立の通知が伝達されないので、中央演算ユニッ
トは同期確立のための無用なデータ交信をしないですむ
ので、その健全系に外乱を与えることがない。

更に、中央演算ユニットに不具合が内在している場合に
は、入出力インタフェースモジュールより中央演算ユニ
ットに同期確立の通知受付けが不能であるから中央演算
ユニットは同期確立のための無用なデータ交信をしない
ですむので、その健全系に外乱を与えることがない。

（実施例） 本発明による同期２重化電力制御用ディジタルコントロ
ーラのシステムブロック構成図は、第３図と全く同様で
あるが、入出力ユニットのいずれかに不具合が起り、１
系統が切離された後、２重化への再構築を図る機能構成
が従来方式と異なる。即ち、まず、中央演算ユニット１
から見てスレーブにあたる入出力インタフェースモジュ
ール３は、各自自己診断でエラーのないことを確認の後
１両者間で同期の確立をはかり、同期の確立がとれた入
出力ユニット２から中央演算ユニット１ヘシステムバス
ａを介して通知する。全ての入出力ユニット２から通知
を受けた中央演算ユニット１は、自己診断で異常のない
事を確認後２重化同期の確認を行なう、その後、動作系
の中央演算ユニット１から全データの送信を促す。この
様な機能構成にすることで。

（１）入出力インタフェースモジュール３内に不具合が
まだ内在していた時、入出力インタフェースモジュール
３間で同期確立がとれないため上位の中央演算ユニット
１間で無用なデータ送信をしないですむ。

（２）システムバスａに関する不具合が内在（たとえば
、ドライバ、レシーバ素子不良ケーブル断線等）してい
た時、復帰しようとする系の中央演算ユニット１への入
出力インタフェースモジュール３からの同期確立通知は
不可能となる。従って。

この間、中央演算ユニット１は待機したままの状態にお
り、動作系への無用なデータ送信要求をしないですむ。

（３）中央演算ユニット１内に不具合が内在していた時
、自己診断でエラーとなるか、入出力インタフェースモ
ジュール３よりの通知受付が不可能となり、やはり無用
な中央演算ユニット１間のデータ送信要求はしないです
む。

が達成され、健全な動作系に対し無用な外乱を与えるこ
とがない。これに対して従来方式では、まず、動作系の
中央演算ユニット１に対し、全データ送信要求を行ない
、不具合内在によりまたダウンし再帰のために改めて全
データ送信要求を行なうことをくり返すことがあった。

このような点が本方式により改められ、従来技術の問題
点が除かれる。

この様子を第１図に示す。第１図においても第４図と同
様に片系をＡ、同じく他方の系をＢとしている。２重化
で動作している時、入出力インタフェースモジュールＢ
が故障し、１重化に移行後復旧した時、まず入出力イン
タフェースモジュールＡ、Ｂ間で同期パラメータの送受
が実行され、中央演算ユニットＢへ復旧したことを知ら
しめる立ち上げ要求を出力する。この後、中央演算ユニ
ットＡ、Ｂ間で全データの送信が実行され２重化へ復帰
する。

［発明の効果］ 以上に説明したように、本発明によれば、入出力インタ
フェースモジュール、システムバス、あるいは中央演算
ユニットのいずれに不具合が内在していても、中央演算
ユニットは同期確立のための無用なデータ交信をしない
ですむので、その健全系に外乱を与えることがなくなる
。

【図面の簡単な説明】

第１図は、本発明による２重化動作の挙動説明図、第２
図は、従来の１重化制御装置のブロック構成図、第３図
は、同期２重化電力制御用コントローラーのブロック構
成図、第４図は、従来の２重化動作の挙動説明図を示す
。 １・・・中央演算ユニット、２・・・入出力ユニット、
３・・・入出力インタフェースモジュール、４・・・入
出カモジュール、ａ・・・システムバス、ｂ・・・入出
力バス、Ｃ・・・中央演算ユニット間２重化量期バス、
ｄ・・・入出力インタフェースモジュール間２重化量期
バス。 （７３１７）　　代理人　弁理士　則　近　　憲　佑（
８８６９）　　　同　　第子丸　健 第 図

Claims (1)

【特許請求の範囲】
1. マイクロプロセッサを有する中央演算ユニットと複数の
   入出力ユニットとから構成された複数の系のうちエラー
   の検出された系は切り離され、１重化で運転を続行し、
   エラー修復後自動的に２重化へ復帰する同期２重化電力
   制御用ディジタルコントローラにおいて、前記入出力ユ
   ニットにおける入出力インタフェースモジュールは、各
   自自己診断によりエラーのないことを確認後、入出力イ
   ンタフェースモジュール間で２重化同期の確立を行なう
   機能を有し、前記中央演算ユニットは、前記入出力ユニ
   ットからの２重化同期の確立終了の通知により中央演算
   ユニットが自己診断で異常でないことを確認後、２重化
   同期を確認する機能を有することを特徴とする同期２重
   化電力制御用ディジタルコントローラ。