(57)【特許請求の範囲】
【請求項１】
入出力モジュールを介してプラントのフィールド機器にコントロール値を出力させる上位システムに設けられ、前記入出力モジュールの異常情報を取得すると前記コントロール値をフェイルセーフ値に切り換え、正常復帰情報を取得すると前記コントロール値に切り換える第１の切換え手段と、
前記入出力モジュール内に設けられ、前記入出力モジュールの異常情報を取得すると前記上位システムからの指令値をフェイルセーフ値に切り換え、正常復帰情報を取得すると前記指令値に切り換える第２の切換え手段と、
前記異常情報の取得時に、前記第２の切換え手段を即時フェイルセーフ値に切り換えると共に、前記第２の切換え手段の復帰を所定時間遅延させる復帰遅延手段と、
を備えることを特徴とする制御装置。
【請求項２】
前記復帰遅延手段の遅延時間は、前記第１の切換え手段の切換え時間よりも長く設定されていることを特徴とする請求項１に記載の制御装置。
【請求項３】
前記第１及び第２の切換え手段並びに前記復帰遅延手段は、前記入出力モジュールのチャネル毎に設けられていることを特徴とする請求項１又は２に記載の制御装置。
【請求項４】
前記入出力モジュールの異常情報は、配線の異常情報であることを特徴とする請求項１乃至３のいずれかに記載の制御装置。
【請求項５】
前記制御装置は、前記プラントからのトリップ要求を受けて前記プラントを安全側に操作する、安全制御装置であることを特徴とする請求項１乃至４のいずれかに記載の制御装置。
【請求項６】
前記復帰遅延手段は、前記正常復帰情報を取得したときから前記所定時間持続して前記第２の切換え手段に異常信号を出力し、前記第２の切換え手段の復帰を所定時間遅延させることを特徴とする請求項１乃至５のいずれかに記載の制御装置。
【請求項７】
前記復帰遅延手段は、正常復帰情報を取得したときから前記所定時間遅延して前記第２の切換え手段に正常信号を出力し、前記第２の切換え手段の復帰を所定時間遅延させることを特徴とする請求項１乃至５のいずれかに記載の制御装置。
【請求項８】
入出力モジュールの全チャネルについて、前記復帰遅延手段の所定時間を一括して管理する管理手段を設けたことを特徴とする請求項１乃至７のいずれかに記載の制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、上位システムからのコントロール値を、入出力モジュール（以下、ＩＯＭと略称する）を介してプラントのフィールド機器に出力させる制御装置におけるフェイルセーフ機能に関するものである。
【背景技術】
【０００２】
プラントの機器を制御する分散型の制御システムと、その制御バスを共通に使用し、プラント側からのトリップ要求に対して安全側に停止制御する安全システムとを統合化した統合制御システムがある。
【０００３】
図４は、従来の統合制御システムの構成例を示す機能ブロック図である。統合制御システムは、安全システム１及び制御システム２よりなる。３は、これら両システムが共通に使用する制御バスである。４は制御対象のプラントである。
【０００４】
安全システム１は、制御バス３に接続されたエンジニアリング装置５及びこの制御バス３に接続されてエンジニアリング装置５と通信すると共に、プラント４の機器からのトリップ要求に対して安全側に停止制御する安全制御装置６により階層的に構成されている。      
【０００５】
制御システム２は、制御バス３に接続された操作監視装置７及び制御バス３に接続されて操作監視装置７と通信すると共に、プラント４のフィールド機器の制御を実行する制御装置８により階層的に構成されている。
【０００６】
安全制御装置６は、プラント４のフィールド機器に対応して複数チャンネルＣＨ１乃至ＣＨｎのアプリケーションよりなる上位システム９と、各チャンネルからのコントロール値を取得してプラント４のフィールド機器に出力する複数チャンネルＣＨ１乃至ＣＨｎのモジュールからなるＩＯＭ１０とを備えている。
【０００７】
上位システム９の各チャンネルにおいて、９ａは第１の切換え手段であり、デフォルトではコントロール値を選択して上位指令値保持手段９ｂに設定し、通信によりＩＯＭの異常情報をＣＰＵ９ｃが取得すると、その指令によりフェイルセーフ値を選択して上位指令値保持手段９ｂに設定する。
【０００８】
ＩＯＭ１０の各チャンネルにおいて、１０ａは自己復帰型の第２の切換え手段であり、デフォルトでは通信Ｗ１を介して上位指令値保持手段９ｂの上位指令値を選択し、ＩＯＭの異常情報を取得するとフェイルセーフ値を選択してプラント４への出力値保持手段１０ｂに出力する。
【０００９】
１０ｃは診断手段であり、ＩＯＭ各チャンネルの配線異常を診断し、正常信号“０”及び異常信号“１”を出力し、異常の場合には第２の切換え手段１０ａを切り換えてフェイルセーフ値を出力値保持手段１０ｂに出力させると共に、通信Ｗ２を介して上位システムのＣＰＵ９ｃに配線異常を通知する。
【００１０】
配線異常が復帰した場合には、第２の切換え手段１０ａは、即時自己復帰特性で上位指令値保持手段９ｂの上位指令値を選択して出力値保持手段１０ｂに出力させる。第１の切換え手段９ａは、ＣＰＵ処理時間を経過してコントロール値を上位指令値保持手段９ｂに設定する。
【００１１】
ＩＯＭ異常に伴なうフェイルセーフ切換えは、通常の制御装置では上位システム側のみで実行されるが、安全制御装置等では緊急（より速やかに）にフェイルセーフしたい場合があり、ＩＯＭ側にもフェイルセーフ切換え機能を持たせる設計が行なわれる。
【００１２】
特許文献１には、Ｉ／Ｏカード（入出力カード）の異常を検出するシステムが記載されている。
【００１３】
【特許文献１】実用新案登録第２５１８８２９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１４】
このように、フェイルセーフ値への換え手段を、上位システム及びＩＯＭに重複して設ける構成では、２個の切換え手段の動作に同期関係がないと出力のバンプが発生する可能性がある。
【００１５】
図５は、出力バンプの発生を説明するシーケンス図である。時刻ｔ１で配線異常が発生しＩＯＭがフェイルセーフ値を出力し、時刻ｔ２で配線復帰して自己復帰したときに上位のフェイルセーフ設定が遅延していた場合には、フェイルセーフ設定が完了までの間上位指令値保持手段１９ｂにはコントロール値に設定されているために、出力が時刻ｔ２で一旦コントロール値になり、時刻ｔ３のフェイルセーフ設定完了のタイミングでフェイルセーフ値に変化するという、バンプが発生する。
【００１６】
図６は、復帰処理手段を上位システムに設けてバンプを回避する制御装置の構成例を示す機能ブロック図である。図４との構成上の差は、上位システム９側では第１の切換え手段９ａはチャンネル毎ではなく、共通に１個が設けられ、ＩＯＭ１０側でも第２の切換え手段１０ａはチャンネル毎ではなく、共通に１個が設けられている。
【００１７】
この場合、第２の切換え手段１０ａは自己復帰型ではない。診断手段１０ｃから配線異常を通知されると第２の切換え手段１０ａはフェイルセーフ値を選択して全てのＩＯＭチャンネルの出力値をフェイルセーフ値とする。
【００１８】
９ｄは、上位システム９に共通に１個設けられた復帰処理手段であり、ＣＰＵ９ｃの指令により動作する。通信Ｗ２を介して配線異常がＣＰＵ９ｃに通知されると、ＣＰＵ９ｃは第１の切換え手段９ａによりフェイルセーフ設定を実行する。
【００１９】
通信Ｗ２を介して正常復帰がＣＰＵ９ｃに通知されると、ＣＰＵ９ｃは第１の切換え手段９ａによりコントロール値への切換え設定を実行すると共に、復帰処理手段９ｄに指令して、通信Ｗ３を介してＩＯＭ１０の第２の切換え手段１０ａを切換え操作し、全てのＩＯＭのチャンネル出力値を上位指令値に設定する。
【００２０】
この実施形態では、正常復帰後に上位システム側から復帰処理をかけて復帰を行う手法により、出力のバンプは発生しない。この手法では、再起動シーケンスが一括で行えるため比較的簡単な構成でバンプレス切換えが実現できるが、配線異常発生時に全チャンネルの出力に影響する問題がある。
【００２１】
図７は、復帰処理手段９ｄを上位システムに設けてバンプを回避する制御装置の他の構成例を示す機能ブロック図である。この構成では図４と同様にＩＯＭ配線異常を発見した場合には、対象チャンネルのみ出力をフェイルセーフする。
【００２２】
この実施形態では、配線復帰後に上位システムで各該当チャンネル個別に設けた復帰処理手段９ｄにより異常発生したＩＯＭチャンネルの復帰を行う。この手法では、再起動シーケンスがチャンネル毎に必要となり、アプリケーションの構成が複雑となる。更に、チャンネル個別に復帰シーケンス処理が必要となる。
【００２３】
本発明は上述した問題点を解決するためになされたものであり、ＩＯＭの配線異常を発見したら，該当チャンネルのみを確実にフェイルセーフし、配線の正常復帰時に簡易なインターフェイスでチャンネル個別にバンプレスで上位指令値をプラントに出力できる制御装置を実現することを目的としている。
【課題を解決するための手段】
【００２４】
このような課題を達成するために、本発明は次の通りの構成になっている。
（１）入出力モジュールを介してプラントのフィールド機器にコントロール値を出力させる上位システムに設けられ、前記入出力モジュールの異常情報を取得すると前記コントロール値をフェイルセーフ値に切り換え、正常復帰情報を取得すると前記コントロール値に切り換える第１の切換え手段と、
前記入出力モジュール内に設けられ、前記入出力モジュールの異常情報を取得すると前記上位システムからの指令値をフェイルセーフ値に切り換え、正常復帰情報を取得すると前記指令値に切り換える第２の切換え手段と、
前記異常情報の取得時に、前記第２の切換え手段を即時フェイルセーフ値に切り換えると共に、前記第２の切換え手段の復帰を所定時間遅延させる復帰遅延手段と、
を備えることを特徴とする制御装置。
【００２５】
（２）前記復帰遅延手段の遅延時間は、前記第１の切換え手段の切換え時間よりも長く設定されていることを特徴とする（１）に記載の制御装置。
【００２６】
（３）前記第１及び第２の切換え手段並びに前記復帰遅延手段は、前記入出力モジュールのチャネル毎に設けられていることを特徴とする（１）又は（２）に記載の制御装置。
【００２７】
（４）前記入出力モジュールの異常情報は、配線の異常情報であることを特徴とする（１）乃至（３）のいずれかに記載の制御装置。
【００２８】
（５）前記制御装置は、前記プラントからのトリップ要求を受けて前記プラントを安全側に操作する、安全制御装置であることを特徴とする（１）乃至（４）のいずれかに記載の制御装置。
【００２９】
（６）前記復帰遅延手段は、前記正常復帰情報を取得したときから前記所定時間持続して前記第２の切換え手段に異常信号を出力し、前記第２の切換え手段の復帰を所定時間遅延させることを特徴とする（１）乃至（５）のいずれかに記載の制御装置。
【００３０】
（７）前記復帰遅延手段は、正常復帰情報を取得したときから前記所定時間遅延して前記第２の切換え手段に正常信号を出力し、前記第２の切換え手段の復帰を所定時間遅延させることを特徴とする（１）乃至（５）のいずれかに記載の制御装置。
【００３１】
（８）入出力モジュールの全チャネルについて、前記復帰遅延手段の所定時間を一括して管理する管理手段を設けたことを特徴とする（１）乃至（７）のいずれかに記載の制御装置。
【発明の効果】
【００３２】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
（１）ＩＯＭ側の切換え手段の自己復帰を所定時間遅延させることにより、上位システム側のフェイルセーフ設定が確実に実行された後にＩＯＭの自己復帰を実行することで、配線異常チャンネルの確実なフェイルセーフ設定が可能となる。
【００３３】
（２）これにより、配線異常時には即時フェイルセーフ、又正常復帰時には上位システム側のフェイルセーフ設定を用いることでバンプレスな自己復帰が可能となる。
【００３４】
（３）発明を実施するための構成要素は簡単な復帰遅延手段のみであり、低コストかつ簡易なインターフェイスでの構成が可能となる。
【発明を実施するための最良の形態】
【００３５】
以下、本発明を図面により詳細に説明する。図１は本発明を適用した制御装置の一実施形態の主要部を示す機能ブロック図である。図４で説明した従来装置と同一要素には同一符号を付して説明を省略する。以下、本発明の特徴部につき説明する。
【００３６】
図１において、ＩＯＭ１０に設けられた点線のブロック１００は、本発明の特徴部を形成する復帰遅延手段であり、診断手段１０ｃと第２の切換え手段１０ａの間に挿入接続されている。この復帰遅延手段１００は、オフディレイタイマとＯＲ論理回路とで構成されている。
【００３７】
この復帰遅延手段１００は、診断手段１０ｃより異常信号“１”を取得すると即時第２の切換え手段１０ａに異常信号“１”を伝えてＩＯＭの出力値を自発的にフェイルセーフ値に切り換える。
【００３８】
上位システムのＣＰＵ９ｃは、通信Ｗ２を介してＩＯＭ側から配線異常を通知された場合、第１の切換え手段９ａを切り換えて異常チャンネルのフェイルセーフ設定をＩＯＭ側に送信する。
【００３９】
復帰遅延手段１００は、異常情報を取得してから異常信号“１”を所定時間（図示では４秒）持続させて第２の切換え手段１０ａに出力する。これにより第２の切換え手段１０ａの自己復帰を所定時間遅延させる。
【００４０】
復帰遅延手段１００に設定される遅延時間は、ＣＰＵ１０ｃの指令で操作される第１の切換え手段９ａの切換え時間よりも十分に長く設定されている。これにより、配線異常で第１の切換え手段９ａが操作されて上位指令値保持手段９ｂにフェイルセーフ値が設定される前（コントロール値が保持されている）に配線が正常復帰して第２の切り換えスイッチが自己復帰したときに、まだ上位指令値保持手段９ｂに保持されていたコントロール値が出力されてしまうことで発生する出力値のバンプが回避される。
【００４１】
図２は、出力バンプの不発生を説明するシーケンス図である。図２（Ａ）は上位システム９の第１の切り換え手段９ａの動作シーケンス、（Ｂ）はＩＯＭ１０の第２の切り換え手段１０ａの動作シーケンスを示す。
【００４２】
時刻ｔ１で配線異常が発生し、第２の切り換え手段１０ａがオンからオフに切り換わる。配線異常情報が上位システムのＣＰＵに通知され、時刻ｔ２で第１の切り換え手段９ａがオンからオフに切り換わり、ｔ２以降上位指令値がフェイルセーフ値に設定される。
【００４３】
復帰遅延手段１００は、時刻ｔ２を越えて時刻ｔ３までの期間（４秒）第２の切り換え手段１０ａを強制的にオフに操作し、時刻ｔ３以降自己診断による切り換え動作を再開し、上位システムのフェイルセーフ値を指令値として取得する。
【００４４】
仮に、時刻ｔ１から時刻ｔ２の間に配線が正常復帰した場合でも、この時刻では第２の切り換え手段１０ａは強制的にオフとされているので、上位システムのコントロール値を指令値として取得するので、出力値がバンプすることはない。
【００４５】
図１の実施形態における復帰遅延手段１００は、配線異常発生時に第２の切り換え手段１０ａを所定の時間強制的にオフとするように動作するが、配線の正常復帰時に遅延時間を設定する構成でも同一の効果が得られる。
【００４６】
図３は、本発明を適用した制御装置の他の実施形態の主要部を示す機能ブロック図である。復帰遅延手段２００は、診断手段１０ｃより異常信号“１”を取得すると即時第２の切換え手段１０ａに異常信号“１”を伝えてＩＯＭの出力値を自発的にフェイルセーフ値に切り換える。
【００４７】
上位システムのＣＰＵ９ｃは、通信Ｗ２を介してＩＯＭ側から配線異常を通知された場合、第１の切換え手段９ａを切り換えて異常チャンネルのフェイルセーフ設定をＩＯＭ側に送信する。
【００４８】
復帰遅延手段２００は、配線が正常復帰しても正常信号“０”の出力を、所定時間（図示では４秒）遅延させて第２の切換え手段１０ａに出力する。これにより第２の切換え手段１０ａの自己復帰を遅延させる。
【００４９】
この実施形態において、配線異常の診断結果を上位システムに通知するルートとして、図１と同様に、診断手段１０ｃの出力をそのまま通知するルートＲ１と、復帰遅延手段２００の出力を通知するルートＲ２を選択することができる。
【００５０】
なお、ＩＯＭ１０の全チャネルについて、復帰遅延手段１００の所定時間（図示では４秒）を一括して管理する管理手段を設けてもよい。この管理手段は、ＩＯＭ１０内に設けても、ＩＯＭ１０外に設けてもよい。
【００５１】
以上説明した図１及び図３の実施形態では、本発明を安全制御装置に適用した場合を例示したが、本発明の適用範囲は安全制御装置に限定されるものではなく、上位システムのコントロール値をＩＯＭを介して出力する制御装置一般に適用することができる。
【図面の簡単な説明】
【００５２】
【図１】本発明を適用した制御装置の一実施形態の主要部を示す機能ブロック図である。
【図２】出力のバンプ不発生を説明するシーケンス図である。
【図３】本発明を適用した制御装置の他の実施形態の主要部を示す機能ブロック図である。
【図４】従来の統合制御システムの構成例を示す機能ブロック図である。
【図５】出力バンプの発生を説明するシーケンス図である。
【図６】復帰処理手段を上位システムに設けてバンプを回避する制御装置の構成例を示す機能ブロック図である。
【図７】図復帰処理手段を上位システムに設けてバンプを回避する制御装置の他の構成例を示す機能ブロックである。
【符号の説明】
【００５３】
９  上位システム
９ａ  第１の切り換え手段
９ｂ  上位指令値保持手段
９ｃ  ＣＰＵ
１０  ＩＯＭ
１０ａ  第２の切り換え手段
１０ｂ  出力値保持手段
１０ｃ  診断手段
１００  復帰遅延手段
【図１】
0004600771.tif 000002
【図２】
0004600771.tif 000003
【図３】
0004600771.tif 000004
【図４】
0004600771.tif 000005
【図５】
0004600771.tif 000006
【図６】
0004600771.tif 000007
【図７】
0004600771.tif 000008