(57)【要約】【課題】待機系コントローラが正常であれば待機系コントローラに実行権を切り替えることができる二重化制御により、プラント制御を継続可能な制御システムを提供する。【解決手段】生産設備の生産工程を制御する計装システムにおける実行系コントローラと待機系コントローラを有する二重化システムを備えた制御システムにおいて、実行系コントローラのイコライズコントローラへ電源を供給する電源素子と、電源素子の異常を検出する検出回路と、検出回路で電源素子の異常を検出すると、実行系コントローラから待機系コントローラへの実行権の切り替え要求を待機系コントローラへ送信する二重化制御回路とを備えたことを特徴とする。【選択図】  図７
2012027805.tif 000002
【特許請求の範囲】
【請求項１】
生産設備の生産工程を制御する計装システムにおける実行系コントローラと待機系コントローラを有する二重化システムを備えた制御システムにおいて、
前記実行系コントローラのイコライズコントローラへ電源を供給する電源素子と、
前記電源素子の異常を検出する検出回路と、
前記検出回路で前記電源素子の異常を検出すると、前記実行系コントローラから前記待機系コントローラへの実行権の切り替え要求を前記待機系コントローラへ送信する二重化制御回路とを備えたことを特徴とする制御ユニット。
【請求項２】
請求項１において、前記待機系ユニットは、前記実行系コントローラのイコライズコントローラから前記待機系コントローラへ送信されるイコライズデータの送信が停止したことを検出して前記実行系コントローラからの実行権の新たな切り替え要求を拒否することを特徴とする制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、石油精製プラント，石油化学プラント，発電プラント，環境処理プラントといった生産設備において、生産工程を制御する計装システムに係り、特に、実行系コントローラと待機系コントローラを有する制御システムに関する。
【背景技術】
【０００２】
石油精製プラント，石油化学プラント，発電プラント，環境処理プラントといった生産設備において、生産工程を制御する計装システムは、安定かつ高稼働である必要がある。例えば、環境処理プラントのうちのごみ焼却プラントについて、以下、説明する。図１はごみ焼却プラントの主な構成を示す構成図、図２はごみ焼却プラントの計装システムの主な構成を示す構成図である。ごみ焼却プラントでは、ごみピット１０１から焼却炉１０２にごみを投入し、サーマルフローメータ１０３で炉内の燃焼空気計測や流量計１０４により、焼却炉１０２内のごみ汚水噴霧再利用水の液体計測などを行い、ごみを焼却処理するとともに、有価物の回収や熱回収を行っている。計装システム２０３は、ごみ焼却プラントの生産工程で使用される超音波レベル計２０５，サーマルフローメータ１０３，流量計１０４といった計測機器を制御するための制御コントローラ２０４を有しており、また、制御コントローラ２０４は、イーサネット（イーサネットは登録商標）等のネットワーク回線２０２で操作卓２０１と接続され、プラントの生産工程を管理，制御している。このため、前記のように安定かつ高稼働な計装システムを構成するには、制御コントローラ２０４の高信頼化が必要となる。この制御コントローラ２０４の高信頼化手法としては、実行系コントローラの他に、待機系コントローラを備えた二重化システムが広く使用されている。
【０００３】
制御コントローラ２０４の高信頼化手法のための二重化システムを構成する方法として、待機系コントローラのホットスタンバイを可能とするために、一般に、実行系コントローラの主記憶にあるプラントの制御情報など、信頼性が必要なデータ（以下、イコライズデータと称す）を実行系コントローラから待機系コントローラへ継続的に転写し、系間のイコライズデータが一致しているかのチェックを行い、二重化制御が正しいことを確認するメモリ転写方式が提案されている（例えば、特許文献１参照）。
【０００４】
このメモリ転写方式での信頼性向上のために、例えば、特許文献１では、主記憶においてＥＣＣ１ビットエラーの自動修復機能と複数ビットエラーの検出を行い、複数ビットエラーが発生した場合は、待機系コントローラに実行権を切り替えることで、信頼性の高い制御コントローラを提供することにより、二重化システムにおけるプラントの安定稼動を実現している。
【０００５】
また、複数ビットエラーを検出した実行系コントローラは、待機系コントローラに実行権を切り替え後、主記憶の診断テストを実施し、問題なければ待機系コントローラとして継続して動作させることにより、主記憶自体のハードに問題はなく、ノイズ等の一過性の外乱により発生した複数ビットエラーについては修復させるといった機能を持たせている。このように複数ビットエラー発生時のエラー要因を特定する機能においては、制御コントローラに異常がない場合、制御コントローラを交換するといった作業やコストが発生しないため、保守性においても優れた二重化システムを提供している。
【０００６】
このように、実行系コントローラで異常が発生した場合に、異常を検出し、待機系コントローラに実行権を切り替える二重化制御切り替え方式において、従来技術によれば、イコライズデータの信頼性および複数ビットエラー発生時のノイズ耐性強化などについては考慮されているが、実行系コントローラに実装されている電源生成素子の偶発故障によって発生する異常要因については考慮されていない。
【０００７】
図３は、図２の構成をより詳細に説明する構成図であり、制御コントローラ２０４は、二重化システムでは、実行系コントローラ３０２と待機系コントローラ３０３から構成される。また、超音波レベル計２０５，サーマルフローメータ１０３，流量計１０４などの計測機器は、図３では複数のプラント制御計測機器３１３として記載している。二重化システムは、例えば、図３のような操作卓２０１とイーサネット回線３０１により接続された実行系コントローラ３０２と待機系コントローラ３０３を持つ二重化システムでは、各々のコントローラはＣＰＵ（Central Processing Unit）３０６と、ＣＰＵ３０６に接続されるイーサネットコントローラ３０４，イコライズコントローラ３０５，主記憶部３０７，二重化制御回路３０８，外部バス３１１，Ｉ／Ｏ（Input／Output）バス３１２を持ち、ＣＰＵ３０６によりＩ／Ｏバス３１２に接続されたプラント制御計測機器３１３の制御を行っている。通常は、実行系コントローラ３０２で複数のプラント制御計測機器３１３を制御しており、イーサネットコントローラ３０４からイーサネット回線３０１を介して操作卓２０１でプラントの制御情報の管理，制御を行っている。一方、待機系コントローラ３０３のホットスタンバイを可能とするために、実行系コントローラ３０２の主記憶部３０７にあるイコライズデータを、イコライズコントローラ３０５により待機系コントローラ３０３に継続して転送を行っている。二重化の切り替えについては、ＣＰＵ３０６の異常や電源断による停電時の検出を行い、二重化制御回路３０８から二重化制御信号の実行権切り替え要求を待機系コントローラ３０３に出力することで制御を行っている。
【０００８】
また、一般に、制御コントローラの二重化を必要とするシステムでは、停電時に主記憶部３０７のバッテリバックアップを行っており、主記憶部３０７への供給電源はＣＰＵ３０６やイコライズコントローラ３０５などの電源とは別電源である必要がある。このため、ＣＰＵ３０６やイコライズコントローラ３０５などに供給する第１電源を生成する第１電源生成素子３０９と主記憶部３０７への供給電源である第２電源を生成する第２電源生成素子３１０とで構成されている。
【０００９】
図４は、実行系コントローラおよび待機系コントローラのタイムチャートである。実行系コントローラ３０２に搭載されている第１電源生成素子３０９の偶発故障によって発生する異常要因について、図４を用いて説明する。第１電源を生成する第１電源生成素子は偶発故障によって、時間の経過とともに過電圧となる場合がある。異常発生時の第１時刻４０１では、第１電源はまだ正常電圧のため、実行系コントローラのＣＰＵ，イコライズコントローラは正常に動作している。第２時刻４０２では、実行系コントローラのＣＰＵはまだ正常に動作しており、異常は検出されないため、待機系コントローラに実行権の切り替え要求は行われない。しかし、第２時刻４０２において、実行系コントローラのイコライズコントローラが異常となり、待機系コントローラのイコライズコントローラにイコライズデータが送られなくなる。一方、待機系コントローラではイコライズデータの受信停止により、イコライズ監視タイマが作動してタイマがタイムアップすると、イコライズデータ受信エラーが検出され、待機系コントローラの二重化制御回路は自身が異常であると判断し、以降に実行系コントローラから実行権切り替え要求があっても、切り替えを拒否するように動作する。異常発生からさらに時間が経過し第３時刻４０３では、実行系コントローラのＣＰＵが異常となり、実行系コントローラの二重化制御回路は自身の異常を検出し、待機系コントローラに実行権切り替え要求を行うが、前記の通り、待機系コントローラでは既に第２時刻４０２において自身の異常を検出しているため、プラント制御の計測機器を安定制御するのに必要なＣＰＵやイーサネットコントローラ，主記憶部、またそれらに供給する電源生成素子などは正常であるにも関わらず、実行権の切り替えが正常に行われない。このため、実行系コントローラの電源生成素子の偶発故障であっても、その影響を待機系コントローラで受けることなく、待機系コントローラが正常であれば待機系コントローラに実行権を切り替えることができる二重化制御回路が必要となる。これにより、異常を警告するだけで、プラント制御を継続可能であるにもかかわらず、プラントが停止してしまうという課題があった。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００８−１４６２３９号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
上記のように、生産設備の生産工程を制御する制御コントローラの高信頼化のために、実行系コントローラと待機系コントローラを持った二重化システムにおいて、従来の実行権の切り替えを行う二重化制御の切り替え方式では、実行系コントローラのＣＰＵやイコライズコントローラに供給する電源を生成する素子の偶発故障が発生した場合、プラント制御の計測機器を安定制御するのに必要なＣＰＵやイーサネットコントローラ，主記憶部、またそれらに供給する電源生成素子などは正常であるにも関わらず、実行系から待機系へ実行権の切り替えができない。その結果、異常を警告するだけで、プラント制御を継続可能であるにもかかわらず、プラントが停止してしまうという課題があった。
【００１２】
本発明の目的は、実行系コントローラの電源生成素子の偶発故障であっても、その影響を待機系コントローラで受けることなく、待機系コントローラが正常であれば待機系コントローラに実行権を切り替えることができるようにした二重化制御の切り替え方式を構築することで、プラント制御を継続可能な制御システムを提供することである。
【課題を解決するための手段】
【００１３】
上記課題を解決するために、本発明の実施態様は、生産設備の生産工程を制御する計装システムにおける実行系コントローラと待機系コントローラを有する二重化システムを備えた制御システムにおいて、実行系コントローラのイコライズコントローラへ電源を供給する電源素子と、電源素子の異常を検出する検出回路と、検出回路で電源素子の異常を検出すると、実行系コントローラから待機系コントローラへの実行権の切り替え要求を待機系コントローラへ送信する二重化制御回路とを備えたことを特徴とする。
【発明の効果】
【００１４】
本発明によれば、プラントの生産工程を制御する制御コントローラの高信頼化のために、実行系コントローラと待機系コントローラを持った二重化システムにおいて、実行系コントローラの電源生成素子の偶発故障であっても、その影響を待機系コントローラで受けることなく、待機系コントローラが正常であれば待機系コントローラに実行権を切り替えることができる二重化制御の切り替え方式を構築することが可能となり、プラント制御を継続可能な制御システムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】ごみ焼却プラントの主な構成を示す構成図である。
【図２】ごみ焼却プラントの計装システムの主な構成を示す構成図である。
【図３】図２の構成をより詳細に説明する構成図である。
【図４】実行系コントローラおよび待機系コントローラのタイムチャートである。
【図５】実行系コントローラおよび待機系コントローラのタイムチャートである。
【図６】実行系コントローラの実行内容を示すフローチャートである。
【図７】待機系コントローラの実行内容を示すフローチャートである。
【図８】制御コントローラの第１電源生成素子と二重化制御回路の構成を示すブロック図である。
【図９】第１電源の過電圧検出時の実行系コントローラの動作を示すフローチャートである。
【発明を実施するための形態】
【００１６】
以下、本発明の実施例を、図面を参照しながら説明する。
【００１７】
〔実施例〕
図５は、実行系コントローラおよび待機系コントローラのタイムチャートであり、図３に示す実行系コントローラ３０２のＣＰＵ３０６やイコライズコントローラ３０５に供給している第１電源生成素子３０９の偶発故障によって、第１電源が過電圧となった場合の、二重化制御回路における待機系コントローラ３０３への実行権切り替えタイミングを示している。また、図６は、実行系コントローラ３０２の実行内容を示すフローチャートであり、図７は、待機系コントローラ３０３の実行内容を示すフローチャートである。
【００１８】
実行系コントローラ３０２のＣＰＵ３０６やイコライズコントローラ３０５に供給している第１電源を生成する第１電源生成素子３０９は、偶発故障によって、時間の経過とともに過電圧となる場合がある。図５において、異常発生時の第１時刻５０１では、第１電源はまだ正常電圧であり、実行系コントローラ３０２のＣＰＵ３０６とイコライズコントローラ３０５は正常に動作している。第２時刻５０２になると、第１電源の電圧が異常電圧１に達し、過電圧になるので、実行系コントローラ３０２のＣＰＵ３０６とイコライズコントローラ３０５が異常となる。このとき、イコライズコントローラ３０５から待機系コントローラ３０３のイコライズコントローラにイコライズデータが送信されなくなる。この時にイコライズコントローラ３０５で検出されるイコライズデータ送信エラーを検出するタイミング５０３を、実行系コントローラ３０２の二重化制御回路３０８において、ＣＰＵ３０６の異常による実行権切り替え要因に加えることで、図６に示す実行系コントローラ３０２の動作フローの通り、イコライズデータ送信エラーを検出し（ステップ６０１）、待機系コントローラ３０３に実行権切り替え要求を行い、操作卓２０１にイコライズデータ送信エラーの検出を示すデータを出力する（ステップ６０２）。なお、この時の実行系コントローラ３０２の操作卓２０１へのエラー報告は、図３に示すＣＰＵ３０６からイーサネットコントローラ３０４を介して行われ、操作卓２０１にエラーログ３１４を残す。エラーログ３１４には、エラーが発生した年月日，時刻（ｙｙｙｙ／ｍｍ／ｄｄ  ｈｈ：ｍｍ：ｓｓ）を付加しているので、エラー発生要因の特定が容易となる。
【００１９】
また、実行系コントローラ３０２の動作フローは、図６に示すように、ＣＰＵの異常を検出し（ステップ６０３）、以降の実行権の切り替えの受付を拒否する。一方、待機系コントローラ３０３では、図７に示すように、実行系コントローラ３０２のイコライズコントローラ３０５が異常となり、イコライズ監視タイマがタイムアップする前に、実行系コントローラ３０２からイコライズデータ送信エラーにより実行権切り替え要求が出力される（ステップ７０１）。このステップにより、待機系コントローラ３０３は実行権切り替えの受付が可能となり（ステップ７０６）、待機系コントローラ３０３は実行系コントローラ３０２と同様の動作を行う（ステップ７０７）。一方、従来技術では、実行権切り替え要求のステップ７０１がなく、異常によりイコライズデータを受信しない場合（ステップ７０２）、イコライズ監視タイマが作動し（ステップ７０３）、タイマ作動後、イコライズ監視タイマがタイムアップすると（ステップ７０４）、待機系コントローラ３０３の二重化制御回路は、自身のＣＰＵ異常を検出し（ステップ７０５）、以降の実行系コントローラ３０２から送られる実行権切り替え要求の受付を拒否するので、制御が停止してしまう。
【００２０】
図８は、制御コントローラ２０４の、第１電源生成素子と二重化制御回路の構成を示すブロック図である。実行系コントローラ３０２のＣＰＵ３０６やイコライズコントローラ３０５に供給される第１電源を生成する第１電源生成素子３０９が、偶発故障によって、図５に示すように時間の経過とともに過電圧となり、第１電源が第２時刻５０２で異常電圧１になると、イコライズコントローラ３０５が異常となり、待機系コントローラ３０３にイコライズデータが送信されなくなる。第１電源の過電圧を検出する回路、および過電圧検出時に過電圧検出ＬＥＤを点灯駆動する回路８０１を、実行系コントローラおよび待機系コントローラ各々に設け、過電圧検出ＬＥＤ８０２を点灯させる。また、第１電源の過電圧検出時に、二重化制御回路３０８により、図７のステップ７０１で実行される実行権の切り替え要求を行い、二重化制御信号を送信する。
【００２１】
図９は、図８に示した第１電源の過電圧検出時の実行系コントローラ３０２の動作を示すフローチャートである。実行系コントローラ３０２では、第１電源を生成する第１電源生成素子３０９の偶発故障により過電圧となった図５に示す第１電源の異常電圧１を、過電圧を検出する回路８０１により検出する（ステップ９０１）。異常電圧1の過電圧を検出すると、二重化制御回路３０８により、待機系コントローラ３０３に対して実行権の切り替え要求を行い、また、過電圧検出ＬＥＤ８０２を点灯駆動させる回路８０１により、過電圧検出ＬＥＤ８０２の点灯制御を行う（ステップ９０２）。実行権の切り替え要求後、実行系コントローラ３０２は、ＣＰＵ３０６の異常を検出し（ステップ９０３）、以降の実行権の切り替え要求の受付を拒否するように動作する。これにより、第１電源生成素子３０９からの第１電源の過電圧が発生している実行系コントローラ３０２による制御は行われなくなり、待機系コントローラ３０３による制御に切り替えることができる。
【００２２】
以上述べたように、本発明の実施例によれば、実行系コントローラにおいて、ＣＰＵやイコライズコントローラに供給している第１電源の生成素子の偶発故障によってイコライズコントローラが異常となると、待機系コントローラでイコライズデータが受信できなくなるが、その前に二重化制御回路により実行権の切り替え要求を待機系コントローラに対して行うことで、待機系コントローラではイコライズ受信エラーが検出される前に実行権の切り替えを行うようにすることで、待機系コントローラが正常であれば待機系コントローラに実行権を切り替えることができる二重化制御の切り替え方式を構築することが可能となり、プラント制御を継続可能な制御システムを提供することができる。
【００２３】
以上の通り、本発明である二重化制御の実行権切り替え方式では、プラントの生産工程を制御する制御コントローラの高信頼化のために、実行系コントローラと待機系コントローラを持った二重化システムにおいて、従来方式では考慮されていなかった実行系コントローラの電源生成素子の偶発故障であっても、その影響を待機系コントローラで受けることなく、待機系コントローラが正常であれば待機系コントローラに実行権を切り替えることができるため、信頼性の高い二重化制御の切り替え方式を提供することが可能となる。
【符号の説明】
【００２４】
１０１  ごみピット
１０２  焼却炉
２０１  操作卓
２０３  計装システム
２０４  制御コントローラ
３０２  実行系コントローラ
３０３  待機系コントローラ
３０５  イコライズコントローラ
３０６  ＣＰＵ
３０８  二重化制御回路
３０９  第１電源生成素子
３１３  プラント制御計測機器
【図１】
2012027805.tif 000003
【図２】
2012027805.tif 000004
【図３】
2012027805.tif 000005
【図４】
2012027805.tif 000006
【図５】
2012027805.tif 000007
【図６】
2012027805.tif 000008
【図７】
2012027805.tif 000009
【図８】
2012027805.tif 000010
【図９】
2012027805.tif 000011