(57)【要約】【課題】構成を複雑化せずに被制御対象に対する制御系統を冗長化し、複数の制御系統のうちいずれかの制御系統が故障した場合であっても、システム全体における制御に影響を生じさせず、システム全体の信頼性を向上させることができることを目的とする。【解決手段】相互に接続され自系統の情報の出力及び他系統の情報の入力を行う複数の制御系統を有する制御装置１０により、少なくとも１以上の制御対象３０ａ，３０ｂを駆動制御する多重冗長系制御システムであって、複数の制御系統１１，１２，１３が、それぞれ自系統又は他系統の故障を判定し、判定結果に基づいて制御対象に対するそれぞれの制御量に応じた制御信号を出力する。そして、この制御信号に基づいて、信号生成手段により制御対象を駆動制御するための主制御信号を生成する。【選択図】図１
2010204775.tif 000002
【特許請求の範囲】
【請求項１】
複数の制御系統を有する制御装置により少なくとも１以上の制御対象を駆動制御する多重冗長系制御システムであって、
前記複数の制御系統は、自系統の情報を出力すると共に他系統の情報が入力されるよう相互に接続され、それぞれ自系統又は他系統の故障を判定する制御系統故障判定手段と、前記制御系統故障判定手段の判定結果に基づいて前記制御対象に対するそれぞれの制御量に応じた制御信号を出力する制御演算手段を備え、
前記制御演算部から出力された制御信号に基づいて、前記制御対象を駆動制御するための主制御信号を生成する信号生成手段を、備えたことを特徴とする多重冗長系制御システム。
【請求項２】
前記制御系統は、前記制御対象の故障を判定すると共に、故障していると判定された場合に前記制御対象についての故障信号を信号生成手段へ出力する制御対象故障判定手段を更に備え、
前記信号生成手段は、前記故障信号に基づいて、故障していると判定された前記制御対象の駆動を停止するための主故障信号を生成することを特徴とする請求項１に記載の多重冗長系制御システム。
【請求項３】
前記制御対象は、自己の駆動状態をフィードバック情報として前記複数の制御系統に出力することを特徴とする請求項１又は請求項２に記載の多重冗長系制御システム。
【請求項４】
前記制御系統故障判定手段は、前記制御対象から入力された前記フィードバック情報及び他系統から入力された前記フィードバック情報に基づいて、自系統又は他系統の故障を判定することを特徴とする請求項３に記載の多重冗長系制御システム。
【請求項５】
前記制御対象故障判定手段は、前記制御対象から入力された前記フィードバック情報及び他系統から入力された前記フィードバック情報に基づいて、前記制御対象の故障を判定することを特徴とする請求項３に記載の多重冗長系制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、同一の制御対象を複数の制御装置を用いて制御する多重冗長系制御システムに関するものである。
【背景技術】
【０００２】
例えば、航空機の舵面操舵システム等に適用される制御システムでは、同一の制御対象を制御するための駆動系制御装置を複数設けることで冗長化し、いずれかの駆動系制御装置が故障した場合でも、他の駆動系制御装置により制御対象の正常な動作を継続できるようにして、制御システム全体の信頼性を向上させている。このような制御システムの例として、特開２０００−３４７７０７号公報（特許文献１）には、１つの制御対象を２つの制御装置を備えた２重系制御装置により制御する技術が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０００−３４７７０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１に記載の技術では、２つの制御装置それぞれが単独で制御対象の制御を行うことが可能であり、この２つの制御装置において生成された制御信号を１重系制御装置によって何れが健全な制御信号あるかを判断し、健全と判断された制御信号に基づいて制御対象を制御している。すなわち、何れの制御信号が健全であるかを判断し、何れの制御信号を用いるかを選択するための制御装置を設けなければならない点で構成が複雑になる。
【０００５】
本発明は、上記問題を解決するためになされたもので、構成を複雑化せずに被制御対象に対する制御系統を冗長化し、複数の制御系統のうちいずれかの制御系統が故障した場合であっても、システム全体における制御に影響を生じさせず、システム全体の信頼性を向上させることができる多重冗長系制御システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明は以下の手段を採用する。
本発明は、複数の制御系統を有する制御装置により少なくとも１以上の制御対象を駆動制御する多重冗長系制御システムであって、前記複数の制御系統は、自系統の情報を出力すると共に他系統の情報が入力されるよう相互に接続され、それぞれ自系統又は他系統の故障を判定する制御系統故障判定手段と、前記制御系統故障判定手段の判定結果に基づいて前記制御対象に対するそれぞれの制御量に応じた制御信号を出力する制御演算手段を備え、前記制御演算部から出力された制御信号に基づいて、前記制御対象を駆動制御するための主制御信号を生成する信号生成手段を、備えたことを特徴とする多重冗長系制御システムを提供する。
【０００７】
本発明の多重冗長系制御システムによれば、制御装置は、複数の制御系統を有し、この複数の制御系統は、自系統の情報を出力すると共に他系統の情報が入力されるように相互に接続されている。これは、ＣＣＤＬ（Cross Channel Data Link）と呼ばれ、電気信号を伝送可能なケーブルにより接続し、相互に情報の授受を行うことができる。これにより、例えば、特定の制御系統が保有する情報や外部から受信した情報などを、他の制御系統に出力することができると共に、他の制御系統が保有する情報や外部から受信した情報の入力を受けつけることができる。
【０００８】
また、複数の制御系統はそれぞれ自系統又は他系統の故障を判定する制御系統故障判定手段を備えている。複数の制御系統のいずれかに故障が生じた場合には、故障が生じた制御系統の稼動を継続させることが好ましくないため、自系統または他系統に故障が生じているか否かを判定する。複数の制御系統それぞれには制御演算手段が設けられ、この制御演算手段により、制御系統故障判定手段の判定結果に基づいて制御対象に対するそれぞれの制御量に応じた制御信号を出力する。
【０００９】
すなわち、複数の制御系統の全てが正常に稼動している場合には、全ての制御系統が均等に、且つ、独立して制御信号を生成し出力可能であるが、何れかの制御系統が故障している場合には、故障している制御系統の制御演算手段は正しい制御信号を生成して出力することができない。そこで、制御系統故障判定手段の判定結果に基づいて、故障が生じていない制御系統のみが、均等に、且つ、独立して制御信号を生成して信号生成手段に出力する。信号生成手段では、各制御系統の制御演算手段により出力された制御信号に基づいて、制御対象を駆動制御するための主制御信号を生成する。
【００１０】
具体的には、例えば、制御系統が３つである場合に、全ての制御系統が正常に稼動している場合は、それぞれの制御演算手段は、主制御信号に対して、３分の１の出力の制御信号を生成し、信号生成手段に出力する。信号生成手段では３分の１の出力の制御信号を３つの制御系統から入力され、これらを例えば加算して主制御信号を生成する。また、３つの制御系統のうち、１つの制御系統が故障している場合には、２つの制御系統のみが正常に稼動するため、２つの制御系統の制御演算手段それぞれが、主制御信号に対して、２分の１の出力の制御信号を生成し、信号生成手段に出力する。信号生成手段では、この２つの制御信号に基づいて主制御信号を生成する。さらに、３つの制御系統のうち、２つの制御系統が故障している場合には、１つの制御系統のみが正常に稼動しているため、正常な制御系統のみが制御信号を生成し出力する。従って、正常な制御系統は、主制御信号の出力と同様の出力の制御信号を生成し、信号生成手段に出力する。
【００１１】
前記多重冗長系制御システムにおいて、前記制御系統は、前記制御対象の故障を判定すると共に、故障していると判定された場合に前記制御対象についての故障信号を信号生成手段へ出力する制御対象故障判定手段を更に備え、前記信号生成手段は、前記故障信号に基づいて、故障していると判定された前記制御対象の駆動を停止するための主故障信号を生成することが好ましい。
【００１２】
故障した制御対象を継続して駆動させておくことは好ましくないため、制御対象の駆動を停止する必要がある。このため、制御系統は、制御対象の故障を判定すると共に、故障していると判定された場合に故障信号を信号生成手段へ出力する制御対象故障判定手段を備える。制御対象故障判定手段が、制御対象が故障していると判定した場合には、その制御対象についての故障信号を生成し、信号生成手段へ出力する。制御系統が複数設けられていることから、同一の制御対象について複数の制御対象故障判定手段によって故障信号が生成される。このため、信号生成手段により、複数の故障信号に基づいて、例えば、それらの論理和を演算するなどして主故障信号を生成する。生成された主故障信号は、故障していると判定された制御対象に出力され、制御対象は、この主制御信号の入力に基づいてその駆動を停止する。
【００１３】
前記多重冗長系制御システムにおいて、前記制御対象は、自己の駆動状態をフィードバック情報として前記複数の制御系統に出力することが好ましい。
【００１４】
制御対象は、自己の駆動状態をフィードバック情報として前記複数の制御系統に出力することで、フィードバック情報に基づいて、制御系統が制御対象の駆動状態を把握することができる。すなわち、制御対象の駆動状態を把握することで、例えば、主制御信号に従って駆動されているか否かを判断することができる。
【００１５】
前記多重冗長系制御システムにおいて、前記制御系統故障判定手段は、前記制御対象から入力された前記フィードバック情報及び他系統から入力された前記フィードバック情報に基づいて、自系統又は他系統の故障を判定することが好ましい。
【００１６】
制御系統はＣＣＤＬによって互いに接続されているため、制御系統間で、制御対象から入力されたフィードバック情報を入出力することが可能である。制御対象が複数の制御系統に出力したフィードバック情報は本来同一の情報であるが、例えば、制御系統に故障がある場合には、制御系統間で入出力したフィードバック情報に差異が生じる。従って、この差異やフィードバック情報に基づいて制御系統の故障を判定することができる。
【００１７】
フィードバック情報に基づいて、制御系統が制御対象の駆動状態を把握することができる。すなわち、制御対象の駆動状態を把握することで、例えば、主制御信号に従って駆動されているか否か等を把握することができる。また、例えば、制御対象がアクチュエータである場合には、フィードバック情報としてアクチュエータの位置情報やモータの速度情報並びに圧力の値に関する情報などが考えられるが、これらの情報がアクチュエータが正常に駆動している場合には想定できない値を示している場合などには、フィードバック情報に基づいて制御対象の故障を判定することができる。
【発明の効果】
【００１８】
このように、本発明によれば、構成を複雑化せずに被制御対象に対する制御系統を冗長化し、複数の制御系統のうちいずれかの制御系統が故障した場合であっても、システム全体における制御に影響を生じさせず、システム全体の信頼性を向上させることができる。
【図面の簡単な説明】
【００１９】
【図１】本発明の実施形態にかかる多重冗長系制御システムの概略構成を示すブロック図である。
【図２】本発明の実施形態にかかる多重冗長系制御システムが航空機の舵面を駆動するアクチュエータに適用された場合の例を示す参考図である。
【図３】本発明の実施形態にかかる多重冗長系制御システムがロケットエンジンのジンバルを駆動するアクチュエータに適用された場合の参考図である。
【図４】本発明の実施の形態にかかる多重冗長系制御システムの制御対象として適用可能な流体圧アクチュエータシステム例を示す説明図である。
【図５】本発明の実施の形態にかかる多重冗長系制御システムの制御対象として適用可能な流体圧アクチュエータシステム例を示す説明図である。
【発明を実施するための形態】
【００２０】
以下に、本発明に係る多重冗長系制御システムの実施形態について、図面を参照して説明する。
【００２１】
図１は、本実施形態に係る多重冗長系制御システムの概略構成を示したブロック図である。本実施形態の多重冗長系制御システムは、例えば、航空機の舵面を駆動するアクチュエータや、ロケットエンジンのジンバルを駆動するアクチュエータの制御に適用されるものであり、図１に示すように、複数の制御系統からなる制御装置１０、信号生成器２０及び制御対象３０を備えている。
【００２２】
制御装置１０は、制御対象３０を制御する制御系統１１，１２，１３を複数備えることで冗長化されており、制御系統１１，１２，１３はＣＣＤＬ１４により接続され、相互に情報の授受が可能となっている。制御対象３０は、アクチュエータに例示される制御対象３０ａ，３０ｂを含んでおり、制御装置１０は、信号生成器２０を介して制御対象３０を駆動制御する。本実施形態においては、説明の便宜上、制御装置１０は３つの制御系統１１，１２及び１３を備えた３重系制御装置であり、制御対象３０は、制御対象３０ａ，３０ｂを備えた２重系制御対象であることとして説明する。また、以下、全ての制御対象を示すときは単に符号「３０」を付し、各制御対象を示すときは符号「３０ａ」、「３０ｂ」等を付す。）
【００２３】
制御装置１０の制御系統１１は、制御演算部５１、フィードバック信号処理部５２及び故障判定部５３を備えている。制御演算部５１は、図示しない主たる制御装置からの指示に従って、制御対象３０ａを駆動するための制御指令演算結果１０１ａ及び制御対象３０ｂを駆動するための制御指令演算結果１０１ｂを生成し、生成した制御指令演算結果１０１ａ，１０１ｂを後述する信号生成器２０へ出力する。
【００２４】
フィードバック処理部５２は、制御対象３０ａ，３０ｂに取り付けられた各種センサ（図示せず）から、例えば、アクチュエータの位置情報やモータの速度情報並びに圧力情報等のフィードバック情報を受信し、このフィードバック情報に対して所定の処理を施すことで、制御対象３０ａ，３０ｂの駆動状態を把握すると共に、フィードバック情報を制御演算部５１、故障判定部５３及び他の制御系統１２，１３に出力する。
【００２５】
故障判定部５３は、制御系統故障判定部５３ａと制御対象故障判定部５３ｂを備えている。制御系統故障判定部５３ａは、自己系統、すなわち制御系統１１に入力されたフィードバック情報、他の制御系統１２，１３からＣＣＤＬ１４を介して取得したフィードバック情報及び他の制御系統１２，１３の状態情報に基づいて、自己系統である制御系統１１及び他の制御系統１２，１３が故障しているか否かを判定する。具体的には、故障判定部５３にフィードバック処理部５２から入力されたフィードバック情報と、ＣＣＤＬ１４を介して他の制御系統１２，１３から入力されたフィードバック情報とは、本来同一の情報である。従って、このフィードバック情報同士を比較し、フィードバック情報同士の相違点の有無に基づいて、自己の制御系統１１又は他のいずれかの制御系統１２，１３が故障しているか否かを判定する。そして、得られた判定結果である自己の制御系統１１又は他のいずれかの制御系統１２，１３の状態情報を、ＣＣＤＬ１４を介して他の制御系統１２，１３に出力する。
【００２６】
制御対象故障判定部５３ｂは、自己系統に入力されたフィードバック情報、他の制御系統１２，１３からＣＣＤＬ１４を介して取得したフィードバック情報及び他の制御系統１２，１３の状態情報に基づいて制御対象３０ａ，３０ｂの故障を判定する。まず、故障判定の基礎となるフィードバック情報によって、制御対象３０ａ，３０ｂの駆動状態を把握する。上述したように、故障判定部５３にフィードバック処理部５２から入力されたフィードバック情報と、ＣＣＤＬ１４を介して他の制御系統１２，１３から入力されたフィードバック情報とは、本来同一の情報である。従って、把握された制御対象３０ａ，３０ｂの駆動状態と、ＣＣＤＬ１４を介して取得した他の制御系統１２，１３からのフィードバック情報によって把握される制御対象３０ａ，３０ｂの駆動状態とが同一であるか否かを判定すると共に把握された駆動状態に基づいて、制御対象３０ａ又は制御対象３０ｂに故障があるか否かを判断する。判断の結果、制御対象３０ａの故障を検出した場合はエンゲージ信号演算結果２０１ａを、制御対象３０ｂの故障を検出した場合はエンゲージ信号演算結果２０１ｂを信号生成器２０へ出力する。
【００２７】
制御装置１０の制御系統１２及び制御系統１３も、制御系統１１と同様に制御演算部６１，７１、フィードバック信号処理部６２，７２及び故障判定部６３，７３を備えている。これら各部は上記した制御系統１１と同様の機能を有しているため、その説明を省略する。
【００２８】
信号生成器２０は、制御指令生成器２１及びエンゲージ信号生成器２２を備えている。制御指令生成器２１は、制御系統１１，１２，１３から入力された制御対象３０ａに対する制御指令演算結果１０１ａ，１０２ａ，３０３ａを加算して、制御対象３０ａを駆動制御するための一つの制御指令１００Ａを生成する。同様に、制御系統１１，１２，１３から入力された制御対象３０ｂに対する制御指令演算結果１０１ｂ，１０２ｂ，１０３ｂを加算して、制御対象３０ｂを駆動制御するための一つの制御指令１００Ｂを生成する。生成された制御指令１００Ａは、制御対象３０ａへ出力され、制御指令１００Ｂは、制御対象３０ｂへ出力される。なお、制御指令生成器２１として、加算器を適用することができ、この場合には、構成が簡単であって、信頼性が高い。
【００２９】
エンゲージ信号生成器２２は、制御系統１１，１２，１３から入力された制御対象３０ａに対するエンゲージ信号演算結果２０１ａ，２０２ａ，２０３ａの論理和を演算し、制御対象３０ａに対するエンゲージ信号２００Ａを生成する。同様に、制御系統１１，１２，１３から入力された制御対象３０ｂに対するエンゲージ信号演算結果２０１ｂ，２０２ｂ，２０３ｂの論理和を演算し、制御対象３０ｂに対するエンゲージ信号２００Ｂを生成する。生成されたエンゲージ信号２００Ａは、制御対象３０ａへ出力され、エンゲージ信号２００Ｂは、制御対象３０ｂへ出力される。
【００３０】
次に、このように構成された多重冗長系制御システムにかかる制御について説明する。
【００３１】
全ての制御系統１１，１２，１３が正常に稼動している場合には、制御系統１１，１２，１３の制御演算部５１，６１，７１がそれぞれ制御対象３０ａに対する制御指令演算結果１０１ａ，１０２ａ，１０３ａ及び制御対象３０ｂに対する制御指令演算結果１０１ｂ，１０２ｂ，１０３ｂを生成し、信号生成器２０の制御指令生成器２１に出力する。このとき、制御指令演算結果１０１ａ，１０２ａ，１０３ａは、それぞれが同等の制御量に基づく電気信号であり、制御指令演算結果１０１ａ，１０２ａ，１０３ａを加算することで制御指令１００Ａが生成される。すなわち、制御指令演算結果１０１ａ，１０２ａ，１０３ａは、制御指令生成器２１で生成される制御指令１００Ａと比較して、それぞれ３分の１の出力となっている。制御指令演算結果１０１ｂ，１０２ｂ，１０３ｂも同様に、それぞれが同等の制御量に基づく電気信号であり、制御指令演算結果１０１ｂ，１０２ｂ，１０３ｂに基づいて同様に制御指令１００Ｂが生成される。生成された制御指令１００Ａ，１００Ｂはそれぞれ制御対象３０ａ，３０ｂへ出力され、制御対象３０ａ，３０ｂは各々の制御指令１００Ａ，１００Ｂに従って、駆動制御される。
【００３２】
一方、いずれかの制御系統１１，１２，１３の一つに故障が生じた場合、例えば、制御系統１１が故障している場合には、制御系統１２，１３の制御演算部６１，７１がそれぞれ制御対象３０ａに対する制御指令演算結果１０２ａ，１０３ａ及び制御対象３０ｂに対する制御指令演算結果１０２ｂ，１０３ｂを生成し、信号生成器２０の制御指令生成器２１に出力する。このとき、制御指令演算結果１０２ａ，１０３ａは、それぞれが同等の制御量に基づく電気信号であり、制御指令演算結果１０２ａ，１０３ａを加算することで制御指令１００Ａが生成される。すなわち、制御指令演算結果１０２ａ，１０３ａは、制御系統１１からの制御指令演算結果１０１ａの分を補っており、制御指令生成器２１で生成される制御指令１００Ａと比較して、それぞれ２分の１の出力となっている。制御指令演算結果１０２ｂ，１０３ｂも同様に、それぞれが同等の制御量に基づく電気信号であり、制御指令演算結果１０２ｂ，１０３ｂに基づいて同様に制御指令１００Ｂが生成される。生成された制御指令１００Ａ，１００Ｂはそれぞれ制御対象３０ａ，３０ｂへ出力され、制御対象３０ａ，３０ｂは各々の制御指令１００Ａ，１００Ｂに従って、駆動制御される。
【００３３】
また、いずれかの制御系統１１，１２，１３の二つに故障が生じた場合は、例えば、制御系統１１，１２が故障している場合には、制御系統１３の制御演算部７１が制御対象３０ａに対する制御指令演算結果１０３ａ及び制御対象３０ｂに対する制御指令演算結果１０３ｂを生成し、信号生成器２０の制御指令生成器２１に出力する。このとき、他の制御系統１１，１２からは制御指令演算結果１０１ａ，１０２ａの出力がないため、制御系統１３は単独で制御対象３０ａを駆動する必要がある。従って、制御指令演算結果１０３ａは制御指令１００Ａと同等の出力となっている。１０３ｂも同様に、制御指令１００Ｂと同等の出力となる。制御指令演算結果１０３ａ，１０３ｂは、信号生成器２０の制御指令生成器２１により制御指令１００Ａ，１００Ｂに変換され、変換された制御指令１００Ａ，１００Ｂはそれぞれ制御対象３０ａ，３０ｂへ出力され、制御対象３０ａ，３０ｂは各々の制御指令１００Ａ，１００Ｂに従って、駆動制御される。
【００３４】
また、このように構成された多重冗長系制御システムにおいて、制御系統１１，１２，１３が故障しているか否かの判定は以下のように行われる。
フィードバック信号処理部５２，６２，７２には、制御指令１００Ａ，１００Ｂに従って駆動された制御対象３０ａ，３０ｂから、それぞれのアクチュエータの位置情報やモータの速度情報並びに圧力の値に関する情報等のフィードバック情報が入力される。フィードバック信号処理部５２，６２，７２では、制御対象３０ａ，３０ｂの駆動状態を把握すると共に、入力されたフィードバック情報を制御演算部５１，６１，７１、故障判定部５３，６３，７３へ出力するとともに、制御系統１１，１２，１３とで互いのフィードバック情報の授受を行う。
【００３５】
故障判定部５３，６３，７３では、制御系統故障判定部５３ａ，６３ａ，７３ａが、自己系統に入力されたフィードバック情報、他の制御系統１２，１３からＣＣＤＬ１４を介して取得したフィードバック情報及び他の制御系統１２，１３の状態情報基づいて、自己系統である制御系統１１及び他の制御系統１２，１３の故障を判定する。
【００３６】
すなわち、全ての制御系統１１，１２，１３が正常に稼動している場合には、自己系統に入力されたフィードバック情報と他の制御系統からＣＣＤＬ１４を介して取得したフィードバック情報は一致し、全ての制御系統１１，１２，１３は正常であるとの判断が得られる。一方、制御系統１１，１２，１３のうち、いずれかの制御系統に故障がある場合には、自己系統に入力されたフィードバック情報と、他の制御系統からＣＣＤＬ１４を介して取得したフィードバック情報が一致しない。このため、全てのフィードバック情報から想定される制御対象３０ａ，３０ｂの駆動状態と、一致しないフィードバック情報とから、何れの制御系統が故障した制御系統であるかを判断する。この方法をクロスモニタリングという。
【００３７】
また、各制御系統１１，１２，１３は、自系統の故障判定として、フィードバック情報の値がその想定範囲内に収まっているか否かを確認する。この方法を、セルフモニタリングという。クロスモニタおよびセルフモニタから得られた判定結果である制御系統１１，１２，１３の正常又は故障状態にかかる状態情報は、ＣＣＤＬ１４を介して他の制御系統１２，１３に出力される。上記の処理が、全ての制御系統１１，１２，１３において行われ、全ての制御系統の状態情報に基づいて、制御系統１１，１２，１３の制御演算部５１，６１，７１から出力される制御指令の出力量が決定される。
【００３８】
例えば、制御系統１１に故障がある場合には、自己系統１１に入力されたフィードバック情報のみが、他の制御系統１２，１３からＣＣＤＬ１４を介して取得したフィードバック情報と一致しない。このため、制御系統１１の故障判定部５３は、すべてのフィードバック情報に基づいて把握される制御対象３０ａ，３０ｂの駆動状態と、自己系統１１が制御対象３０ａ，３０ｂから直接入力されたフィードバック情報とに基づいて、自己系統１１に故障があると判断し、自己系統１１の故障状態情報及び制御系統１２，１３の正常状態情報を制御演算部５１と他の制御系統１２，１３とに出力する。制御系統１１，１２，１３の制御演算部５１，６１，７１では、この状態情報に基づいて制御指令の出力量を決定する。すなわち、制御系統１１の制御演算部５１は故障を起因として制御指令を出力せず、制御系統１２，１３の制御演算部６１，７１はそれぞれ均等に制御指令１００Ａに対して２分の１の制御量の制御指令演算結果１０２ａ，１０３ａ及び制御指令１００Ｂに対して２分の１の制御量の制御指令演算結果１０２ｂ，１０３ｂを出力する。
【００３９】
加えて、制御系統１２に故障が発生した場合、制御対象１３はＣＣＤＬ１４を介して取得した制御対象１２のフィードバック情報と、制御対象１３のフィードバック情報のどちらが正常な情報か判断できなくなるため、フィードバック情報から推定される制御対象の挙動を演算し、その演算結果と比較して、自系統の状態を判定して制御指令１００Ａ，１００Ｂの出力量を決定する。すなわち、制御系統１２の制御演算部６１は故障を起因として制御指令１００Ａ，１００Ｂを出力せず、制御系統１３の制御演算部７１の制御指令演算結果１０３ａ及び制御指令１００Ｂに対して制御指令演算結果１０３ｂを出力する。
【００４０】
また、制御対象３０ａ，３０ｂが故障しているか否かの判定は以下のように行われる。制御対象故障判定部５３ｂ，６３ｂ，７３ｂは、自己系統に入力されたフィードバック情報、他の制御系統からＣＣＤＬ１４を介して取得したフィードバック情報及び他の制御系統の状態情報に基づいて制御対象３０ａ，３０ｂの故障を判定する。すなわち、制御対象３０ａ，３０ｂに故障がない場合には、制御対象故障判定部５３ｂ，６３ｂ，７３ｂのいずれにおいてもエンゲージ信号演算結果が生成されず、制御対象３０ａ，３０ｂにエンゲージ信号が入力されない。従って、制御対象３０ａ，３０ｂは制御装置１０に従って駆動を継続する。
【００４１】
一方、制御対象３０ａ又は制御対象３０ｂのいずれかに故障が生じている場合には、自己系統に入力されたフィードバック情報、他の制御系統からＣＣＤＬ１４を介して取得したフィードバック情報及び他の制御系統の状態情報に基づいて制御対象３０ａ，３０ｂの駆動状態を把握する。具体的には、制御対象３０ａ，３０ｂの駆動状態に異常がある場合は、以下のようにその異常を判定する。制御系統１１，１２，１３が正常である場合、各制御系統１１，１２，１３は、入力されたフィードバック情報の値が想定の範囲を超えたことを正常に判断することができる。従って、制御系統１１，１２，１３の判断結果を比較し、正常な制御系統の全ての判断結果が一致した場合に、制御対象３０ａ，３０ｂの異常を判定する。また、制御対象３０ａ，３０ｂの構成機器（具体的には、例えば電動モータドライバなど）によっては独自の故障判定機能を持つものがあれば、その判定結果もフィードバック情報として取り込んで制御対象３０ａ，３０ｂの故障判定をする。
【００４２】
制御対象３０ａ又は制御対象３０ｂに故障があると判定した制御対象故障判定部５３ｂ，６３ｂ，７３ｂは、制御対象３０ａに対するエンゲージ信号演算結果２０１ａ，２０２ａ，２０３ａ、又は、制御対象３０ｂに対するエンゲージ信号演算結果２０１ｂ，２０２ｂ，２０３ｂを生成し、信号生成器２０のエンゲージ信号生成器２２に出力する。エンゲージ信号生成器２２では、エンゲージ信号演算結果２０１ａ，２０２ａ，２０３ａが入力された場合には、これらから論理和を演算することで制御対象３０ａに対するエンゲージ信号２００Ａを生成し、同様に、エンゲージ信号演算結果２０１ｂ，２０２ｂ，２０３ｂが入力された場合には、これらから論理和を演算することでエンゲージ信号２００Ｂを生成する。生成されたエンゲージ信号２００Ａ又はエンゲージ信号２００Ｂは、制御対象３０ａ又は制御対象３０ｂに出力され、ンゲージ信号２００Ａ又はエンゲージ信号２００Ｂを受信した制御対象３０ａ又は制御対象３０ｂはその駆動を停止等する。
【００４３】
このように構成された多重冗長系制御システムは、上述したように、例えば、航空機の舵面を駆動するアクチュエータや、ロケットエンジンのジンバルを駆動するアクチュエータの制御に適用することができる。図２は、航空機の舵面を駆動するアクチュエータに適用された場合の例を示す参考図であり、図２において、斜線が付された部分が制御対象としてのアクチュエータであり、制御装置及び信号生成器としてのＡＣＣ（アクチュエータ・コントロール・コンピュータ）がこのアクチュエータを駆動制御する。また、図３は、ロケットエンジンのジンバルを駆動するアクチュエータに適用された場合の参考図であり、図中に示したアクチュエータを制御対象として、制御装置及び信号生成器としてのＡＣＣがこのアクチュエータを駆動制御する。
【００４４】
多重冗長系制御システムの制御対象のより詳細な例として、図４、５に、本発明に多重冗長系制御システムの制御対象として適用可能な流体圧アクチュエータシステムを示す。
【００４５】
図４に示すアクチュエータシステムは、一つの流体圧シリンダ３５０に対して、Ａ系統とＢ系統の２系統の流体圧回路で構成されている。流体圧シリンダ３５０には、本体に壁５６が設けられ、この壁３５６によって、Ａ系統からの作動油が入る空間とＢ系統からの作動油が入る空間とに分けられている。また、Ａ系統とＢ系統が同期して、流体圧シリンダ３５０のピストンロッド３５４を動かすようになっている。
【００４６】
電動モータ３３０は、可変容量形流体圧ポンプ３３２に接続されており、可変容量形流体圧ポンプ３３２が流体圧シリンダ３５０のピストンロッド３５４を動かすための流体圧源として機能する。可変容量形流体圧ポンプ３３２の内部漏れをアキュムレータ３５２に蓄える。このときアキュムレータに発生する圧力をケースドレン圧力という。
【００４７】
アキュムレータ３５２は、ソレノイド弁３３６と接続されている。ソレノイド弁３３６は、Ａ系統の場合は、大ピストン側流体圧回路３５８ａ及び小ピストン側流体圧回路３６０ａを介して、Ｂ系統の場合は、大ピストン側流体圧回路３５８ｂ及び小ピストン側流体圧回路３６０ｂを介して、フェールセーフ弁３３４と接続されている。また、ソレノイド弁３３６には、ポップアップチャンバー３３８が接続されている。
【００４８】
図５に、二系統の流体圧回路が正常に作動している場合のフェールセーフ弁の状態を示す。Ａ系統あるいはＢ系統の何れも正常である場合のフェールセーフ弁３７４の動作について説明する。まず、Ａ系統について説明する。Ａ系統のアキュムレータ３７０には、可変容量形流体圧ポンプ３３２のケースドレン圧力が蓄積されており、その流体圧がアキュムレータソレノイド弁間流体圧回路３１０からソレノイド弁３７２の送り回路８８を経由し、大ピストン側流体圧回路１０４と小ピストン側流体圧回路１０８とに分岐して、フェールセーフ弁３７４に伝わる。大ピストン側流体圧回路１０４は、Ｂ系統のフェールセーフ弁３７４の大ピストン８０がおさめられているフェールセーフ弁流体圧室１１２に接続されている。
【００４９】
一方、小ピストン側流体圧回路１０８は、Ａ系統のフェールセーフ弁３７４の小ピストン８２がおさめられているフェールセーフ弁流体圧室１１２に接続されている。作動油は、圧力を持っているので、Ａ系統における小ピストン８２は、図５中に示すＲの方向に押され、Ｂ系統における大ピストン８０は、図５中に示すＬの方向に押される。スプール弁９７は、ノーマル状態９２とバイパス状態９４とダンピング状態９６を有し、そのスプール弁９７がバネ９８によって、小ピストン８２側に押されている。図５の状態では、小ピストン８２が上記スプール弁９７を図５中に示すＲの方向に押し、ノーマル状態９２となり吐き戻し流体圧回路１１６及び吐き戻し流体圧回路１１８に接続される。すなわち、可変容量形流体圧ポンプ３３２と流体圧シリンダ３７６との間で、流体圧が伝わるように接続されることとなる。
【００５０】
次に、Ｂ系統について説明する。Ｂ系統のアキュムレータ３７０には、可変容量形流体圧ポンプ３３２のケースドレン圧力が蓄圧されており、その流体圧がアキュムレータソレノイド弁間流体圧回路３１０からソレノイド弁３７２の送り回路８８を経由し、大ピストン側流体圧回路１０６と小ピストン側流体圧回路１１０とに分岐して、フェールセーフ弁３７４に伝わる。大ピストン側流体圧回路１０６は、Ａ系統のフェールセーフ弁３７４の大ピストン８０がおさめられているフェールセーフ弁流体圧室１１２に接続されている。
【００５１】
一方、小ピストン側流体圧回路１１０は、Ｂ系統のフェールセーフ弁３７４の小ピストン８２がおさめられているフェールセーフ弁流体圧室１１２に接続されている。作動油は、圧力を持っているので、Ｂ系統における小ピストン８２は、図５中に示すＬの方向に押され、Ａ系統における大ピストン８０は、図５中に示すＲの方向に押される。スプール弁９７は、ノーマル状態９２とバイパス状態９４とダンピング状態９６を有し、そのスプール弁９７がバネ９８によって、小ピストン８２側に押されている。図５の状態では、小ピストン８２が上記スプール弁９７を図５中に示すＬの方向に押し、ノーマル状態９２となり吐き戻し流体圧回路１１６及び吐き戻し流体圧回路１１８に接続される。すなわち、可変容量形流体圧ポンプ３３２と流体圧シリンダ３７６との間で、流体圧が伝わるように接続されることとなる。
【００５２】
このような、流体圧アクチュエータシステムに、生成されたエンゲージ信号２００Ａ又はエンゲージ信号２００Ｂが入力された場合、すなわち、エンゲージ信号２００Ａ又はエンゲージ信号２００Ｂが制御対象３０ａとしてのＡ系統又は制御対象３０ｂとしてのＢ系統に入力され、エンゲージ信号２００Ａ又はエンゲージ信号２００Ｂを受信したＡ系統又はＢ系統のソレノイド弁３７２は、そのフェールセーフ弁の状態をＡ系統またはＢ系統の何れか１系統が故障したときはその故障した系統をバイパス状態９４に、Ａ系統及びＢ系統双方が故障したとき、すなわち、２系統が故障したときはダンピング状態９６に適宜切り替える。また、エンゲージ信号２００Ａ，２００Ｂは、フェールセーフ弁の作動状態と関係なく、それぞれの系統に対応する電動モータ３３０の駆動を停止する。
【００５３】
このように、本実施形態にかかる多重冗長系制御システムは、構成を複雑化せずに被制御対象に対する制御系統を冗長化し、複数の制御系統のうちいずれかの制御系統が故障した場合であっても、システム全体における制御に影響を生じさせず、システム全体の信頼性を向上させることができる。
【００５４】
なお、本実施形態においては、制御装置１０は３つの制御系統１１，１２，１３を備えており、この３つの制御系統１１，１２，１３により２つの制御対象３０ａ，３０ｂを制御する構成について説明したが、これに限られることはなく、４つ以上の制御系統を備える構成とすることもでき、また、１つ又は３つ以上の制御対象を制御する構成とすることもできる。
【符号の説明】
【００５５】
１０  制御装置
１１  制御系統
１２  制御系統
１３  制御系統
１４  ＣＣＤＬ
２０  信号生成器
２１  制御指令生成器
２２  エンゲージ信号生成器
３０  制御対象
３０ａ  制御対象
３０ｂ  制御対象
５１  制御演算部
５２  フィードバック信号処理部
５３  故障判定部
５３ａ  制御系統故障判定部
５３ｂ  制御対象故障判定部
６１  制御演算部
６２  フィードバック信号処理部
６３  故障判定部
６３ａ  制御系統故障判定部
６３ｂ  制御対象故障判定部
７１  制御演算部
７２  フィードバック信号処理部
７３  故障判定部
７３ａ  制御系統故障判定部
７３ｂ  制御対象故障判定部
１００Ａ，１００Ｂ  制御指令
１０１ａ，１０１ｂ，１０２ａ、１０２ｂ，１０３ａ，１０３ｂ  制御指令演算結果
２００Ａ，２００Ｂ  エンゲージ信号
２０１ａ，２０１ｂ，２０２ａ，２０２ｂ，２０３ａ，２０３ｂ  エンゲージ信号演算結果
【図１】
2010204775.tif 000003
【図２】
2010204775.tif 000004
【図３】
2010204775.tif 000005
【図４】
2010204775.tif 000006
【図５】
2010204775.tif 000007