(57)【要約】【課題】ｎを自然数とする時、多数決回路を含む、いかなる部位のｎ故障によっても、安全を保証する。【解決手段】制御対象物の制御を行う制御装置を（２ｎ＋１）台とし、故障切替スイッチ２とアクチュエータ４と電源５を各々少なくとも（ｎ＋１）台とする。各故障切替スイッチ２は、並列数が２ｎＣｎ、直列数がｎとする行列状にスイッチが並んでおり、各直列内のスイッチは、各故障切替スイッチ２を直接制御している制御装置１を除く、残りの２ｎ個の制御装置の内ｎ個の組合せで制御され、２ｎＣｎ列における制御装置１の組合せが２ｎＣｎ通りになっている。異常のない制御装置１からの制御信号に基づいて故障切替スイッチ２内の各スイッチが制御され、ｎ個の故障があった場合でも、異常のあるアクチュエータの電源を確実に切り、かつ正常なアクチュエータの電源を確実に入れることにより危険を回避する。【選択図】図３
2012025223.tif 000002
【特許請求の範囲】
【請求項１】
制御対象物を共有し、各々に前記制御対象物を制御するためのアクチュエータが接続されている（２ｎ＋１）個（ｎは１以上の整数）の制御装置と、
前記（２ｎ＋１）個の制御装置に対応付けられて配置され、自装置が対応付けられている制御装置のアクチュエータと当該アクチュエータの電源とに接続され、当該アクチュエータへの電力供給を管理する（２ｎ＋１）個の故障切替部とを有し、
各故障切替部は、
２ｎＣｎ列が並列に配置され、各列がアクチュエータと電源とを接続し、列ごとにｎ個のスイッチが直列に配置されている構成の（ｎ×２ｎＣｎ）個のスイッチを有し、
列ごとに異なる組合せで、１列内のｎ個のスイッチが、自装置が対応付けられている制御装置以外の（２ｎ）個の制御装置のうちのｎ個の制御装置に接続され、２ｎＣｎ列における制御装置の組合せが２ｎＣｎ通りになっており、
各制御装置は、
前記制御対象物に対する制御を行う制御装置として選択され前記制御対象物に対する制御を行っている実行制御装置及び前記実行制御装置のアクチュエータの少なくともいずれかで発生した異常を検知する異常検知部と、
他の（２ｎ）個の制御装置に対応付けられている（２ｎ）個の故障切替部の各故障切替部内の自装置用のスイッチに接続され、前記異常検知部により異常が検知された場合に、前記実行制御装置に対応付けられている故障切替部内の自装置用のスイッチをオフ状態にするためのスイッチオフ信号を当該スイッチに出力し、前記実行制御装置以外の特定の制御装置に対応付けられている故障切替部内の自装置用のスイッチをオン状態にするためのスイッチオン信号を当該スイッチに出力する信号出力部とを有することを特徴とするフェイルセーフ制御システム。
【請求項２】
各故障切替部は、
１列内のｎ個のスイッチのうちの少なくとも１つがオフ状態になった場合に当該列がオフ状態になり、２ｎＣｎ列の全てがオフ状態になった場合にアクチュエータへの電力供給が停止し、
１列内のｎ個のスイッチの全てがオン状態になった場合に当該列がオン状態になり、２ｎＣｎ列のうちの少なくとも１つがオン状態になった場合にアクチュエータへの電力供給が開始することを特徴とする請求項１に記載のフェイルセーフ制御システム。
【請求項３】
前記信号出力部は、
前記実行制御装置をバックアップする制御装置に対応付けられている故障切替部内の自装置用のスイッチにスイッチオン信号を出力することを特徴とする請求項１又は２に記載のフェイルセーフ制御システム。
【請求項４】
前記フェイルセーフ制御システムは、
（２ｎ＋１）個の制御装置及び（２ｎ＋１）個のアクチュエータのうちのいずれかｎ個に異常が発生しても、正常に動作している制御装置のアクチュエータへの電力供給が行われることを特徴とする請求項１〜３のいずれかに記載のフェイルセーフ制御システム。
【請求項５】
前記フェイルセーフ制御システムは、
（２ｎ＋１）個の制御装置及び（２ｎ＋１）個のアクチュエータが正常に動作している場合には、前記実行制御装置に対応付けられている故障切替部において（ｎ×２ｎＣｎ）個のスイッチのうちのいずれかｎ個のスイッチに異常が発生しても、前記実行制御装置のアクチュエータへの電力供給が維持されることを特徴とする請求項１〜４のいずれかに記載のフェイルセーフ制御システム。
【請求項６】
前記フェイルセーフ制御システムは、
（２ｎ＋１）個の制御装置及び（２ｎ＋１）個のアクチュエータのうちのいずれかと、いずれかの故障切替部の（ｎ×２ｎＣｎ）個のスイッチにおいて合わせてｎ個の異常が発生しても、正常に動作している制御装置のアクチュエータへの電力供給が行われることを特徴とする請求項１〜５のいずれかに記載のフェイルセーフ制御システム。
【請求項７】
制御対象物を共有し、各々に前記制御対象物を制御するためのアクチュエータが接続されている（ｎ＋１）個（ｎは１以上の整数）の第１の制御装置と、
ｎ個の第２の制御装置と、
前記（ｎ＋１）個の第１の制御装置に対応付けられて配置され、自装置が対応付けられている第１の制御装置のアクチュエータと当該アクチュエータの電源とに接続され、当該アクチュエータへの電力供給を管理する（ｎ＋１）個の故障切替部とを有し、
各故障切替部は、
２ｎＣｎ列が並列に配置され、各列がアクチュエータと電源とを接続し、列ごとにｎ個のスイッチが直列に配置されている構成の（ｎ×２ｎＣｎ）個のスイッチを有し、
列ごとに異なる組合せで、１列内のｎ個のスイッチが、自装置が対応付けられている第１の制御装置以外のｎ個の第１の制御装置及びｎ個の第２の制御装置のうちのｎ個の制御装置に接続され、２ｎＣｎ列における制御装置の組合せが２ｎＣｎ通りになっており、
第１の制御装置の各々は、
前記制御対象物に対する制御を行う第１の制御装置として選択され前記制御対象物に対する制御を行っている実行第１の制御装置及び前記実行第１の制御装置のアクチュエータの少なくともいずれかで発生した異常を検知する異常検知部と、
他のｎ個の第１の制御装置に対応付けられているｎ個の故障切替部の各故障切替部内の自装置用のスイッチに接続され、前記異常検知部により異常が検知された場合に、前記実行第１の制御装置に対応付けられている故障切替部内の自装置用のスイッチをオフ状態にするためのスイッチオフ信号を当該スイッチに出力し、前記実行第１の制御装置以外の特定の第１の制御装置に対応付けられている故障切替部内の自装置用のスイッチをオン状態にするためのスイッチオン信号を当該スイッチに出力する信号出力部とを有し、
第２の制御装置の各々は、
前記実行第１の制御装置及び前記実行第１の制御装置のアクチュエータの少なくともいずれかで発生した異常を検知する異常検知部と、
（ｎ＋１）個の故障切替部の各故障切替部内の自装置用のスイッチに接続され、前記異常検知部により異常が検知された場合に、前記実行第１の制御装置に対応付けられている故障切替部内の自装置用のスイッチをオフ状態にするためのスイッチオフ信号を当該スイッチに出力し、前記実行第１の制御装置以外の特定の第１の制御装置に対応付けられている故障切替部内の自装置用のスイッチをオン状態にするためのスイッチオン信号を当該スイッチに出力する信号出力部とを有することを特徴とするフェイルセーフ制御システム。
【請求項８】
各故障切替部は、
１列内のｎ個のスイッチのうちの少なくとも１つがオフ状態になった場合に当該列がオフ状態になり、２ｎＣｎ列の全てがオフ状態になった場合にアクチュエータへの電力供給が停止し、
１列内のｎ個のスイッチの全てがオン状態になった場合に当該列がオン状態になり、２ｎＣｎ列のうちの少なくとも１つがオン状態になった場合にアクチュエータへの電力供給が開始することを特徴とする請求項７に記載のフェイルセーフ制御システム。
【請求項９】
第１の制御装置及び第２の制御装置の各々において、
前記信号出力部は、
前記実行第１の制御装置をバックアップする第１の制御装置に対応付けられている電力管理装置内の自装置用のスイッチにスイッチオン信号を出力することを特徴とする請求項７又は８に記載のフェイルセーフ制御システム。
【請求項１０】
前記フェイルセーフ制御システムは、
（ｎ＋１）個の第１の制御装置及び（ｎ＋１）個のアクチュエータのうちのいずれかｎ個に異常が発生しても、正常に動作している第１の制御装置のアクチュエータへの電力供給が行われることを特徴とする請求項７〜９のいずれかに記載のフェイルセーフ制御システム。
【請求項１１】
前記フェイルセーフ制御システムは、
（ｎ＋１）個の第１の制御装置及び（ｎ＋１）個のアクチュエータが正常に動作している場合には、前記実行第１の制御装置に対応付けられている故障切替部において（ｎ×２ｎＣｎ）個のスイッチのうちのいずれかｎ個のスイッチに異常が発生しても、前記実行第１の制御装置のアクチュエータへの電力供給が維持されることを特徴とする請求項７〜１０のいずれかに記載のフェイルセーフ制御システム。
【請求項１２】
前記フェイルセーフ制御システムは、
（ｎ＋１）個の第１の制御装置及び（ｎ＋１）個のアクチュエータのうちのいずれかと、いずれかの故障切替部の（ｎ×２ｎＣｎ）個のスイッチにおいて合わせてｎ個の異常が発生しても、正常に動作している第１の制御装置のアクチュエータへの電力供給が行われることを特徴とする請求項７〜１１のいずれかに記載のフェイルセーフ制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フェイルセーフ制御システムに関するものである。
例えば、本発明は、列車制御システムや有人宇宙船等の対人安全性を保証するためのフェイルセーフ制御システムに関する。
【背景技術】
【０００２】
列車制御システム（ＡＴＣ）や宇宙機のランデブドッキング制御装置では、故障によっても、人命への影響に至ってはいけないことが求められている。
列車制御システムは、フェイルセーフに情報伝達を行うため、地上装置は同一の論理を持つ多重系構成とし、出力データを交換・照合することで各系コンピュータが判定した主系（データを出力する系）の正常／異常状態を、車上装置に送信し、車上装置側で多数決をとり、主系異常判定時には該当車上装置内のリレーによりデータ出力を制限するという手法を用いてきた（例えば、特許文献１）。
また、宇宙機のランデブドッキング制御装置では、並列に同期動作を行い、同一のソフトウェアおよびハードウェアからなる３個のコントローラと、このコントローラから出力されるアクチュエータ制御・切換制御信号を多数決処理する比較処理回路により、フェイルセーフを実現している（例えば、特許文献２）。
また、非特許文献１の第１０４ページおよび非特許文献２の冒頭あらまし部分でも、多数決冗長回路では、最終的に多数決回路の多数決を採らなければならない問題があることが述べられている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−２５４５５６号公報（第４−８頁、第１図）
【特許文献２】特開平５−２８６４９９号公報（第２、７頁、第３図）
【非特許文献】
【０００４】
【非特許文献１】当麻、南谷、藤原：フォールトトレラントシステムの構成と設計，槇書店，  １９９１
【非特許文献２】高江洲、吉田：多数決冗長系における多数決回路の高信頼化に関する一検討，電子情報通信学会論文誌Ｄ，  Ｖｏｌ．Ｕ８４−Ｄ１  Ｎｏ．４  ｐｐ．３７８−３８８，  ２００１
【０００５】
さらに、国際宇宙ステーションの安全基準では、２フェイルセーフといって、いかなる部位の２故障によっても、安全を保証することを要求している。
ただし、同時同モード２故障は、その確率が極めて低いことが定量的に示せる場合は、設計前提から外しても良いとされている。
しかしながら、列車制御システムでも、宇宙機のランデブドッキング制御装置でも、多数決を行う回路に故障が起きた場合に対して、フェイルセーフであるかどうかは示されていない。
安全性を確実に確保するには、いかなる回路の故障についても、フェイルセーフであることを示す必要がある。
【０００６】
一般に、多数決回路は、図４のように、ＡＮＤゲートやＯＲゲートで構成する方法が知られている。
図４の回路では、ＡＮＤゲートまたはＯＲゲートが１つ故障した場合、たとえＡ＝Ｂ＝Ｃであっても、多数決回路の出力は異常になる。  もし、故障許容の多数決回路を構成する方法があれば、図４のような回路を使うよりも、簡単にフェイルセーフ・システムを構成することができる。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
従来の学術論文にみられる多数決冗長系や、実際に産業に利用されている列車制御システムなどでは、多数決を行う回路の故障については、明確な対策を示せていない。
本発明は、ｎを自然数とする時、多数決回路を含む、いかなる部位のｎ故障によっても、安全を保証する手段を提供することを主な目的とする。
【課題を解決するための手段】
【０００８】
本発明に係るフェイルセーフ制御システムは、
制御対象物を共有し、各々に前記制御対象物を制御するためのアクチュエータが接続されている（２ｎ＋１）個（ｎは１以上の整数）の制御装置と、
前記（２ｎ＋１）個の制御装置に対応付けられて配置され、自装置が対応付けられている制御装置のアクチュエータと当該アクチュエータの電源とに接続され、当該アクチュエータへの電力供給を管理する（２ｎ＋１）個の故障切替部とを有し、
各故障切替部は、
２ｎＣｎ列が並列に配置され、各列がアクチュエータと電源とを接続し、列ごとにｎ個のスイッチが直列に配置されている構成の（ｎ×２ｎＣｎ）個のスイッチを有し、
列ごとに異なる組合せで、１列内のｎ個のスイッチが、自装置が対応付けられている制御装置以外の（２ｎ）個の制御装置のうちのｎ個の制御装置に接続され、２ｎＣｎ列における制御装置の組合せが２ｎＣｎ通りになっており、
各制御装置は、
前記制御対象物に対する制御を行う制御装置として選択され前記制御対象物に対する制御を行っている実行制御装置及び前記実行制御装置のアクチュエータの少なくともいずれかで発生した異常を検知する異常検知部と、
他の（２ｎ）個の制御装置に対応付けられている（２ｎ）個の故障切替部の各故障切替部内の自装置用のスイッチに接続され、前記異常検知部により異常が検知された場合に、前記実行制御装置に対応付けられている故障切替部内の自装置用のスイッチをオフ状態にするためのスイッチオフ信号を当該スイッチに出力し、前記実行制御装置以外の特定の制御装置に対応付けられている故障切替部内の自装置用のスイッチをオン状態にするためのスイッチオン信号を当該スイッチに出力する信号出力部とを有することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ｎを自然数とする時、多数決回路を含む、いかなる部位のｎ故障によっても、安全を保証することができる。
【図面の簡単な説明】
【００１０】
【図１】実施の形態１に係るフェイルセーフ制御システムの構成例を示す図。
【図２】実施の形態２に係るフェイルセーフ制御システムの構成例を示す図。
【図３】実施の形態３に係るフェイルセーフ制御システムの構成例を示す図。
【図４】従来のＡＮＤゲートとＯＲゲートによる多数決回路を示す図。
【図５】電源とスイッチによる故障切替スイッチ回路を示す図。
【発明を実施するための形態】
【００１１】
以下の実施の形態１〜３では、多数決回路を用いたフェイルセーフ制御システムを説明する。
実施の形態１〜３では、図５に示すような多数決回路を用いる。
図５の回路は、各列２個×３列の計６個のスイッチから構成されている。
一列目には、制御元Ａからの信号により開閉するスイッチと制御元Ｂからの信号により開閉するスイッチが直列に配置されている。
二列目には、制御元Ｂからの信号により開閉するスイッチと制御元Ｃからの信号により開閉するスイッチが直列に配置されている。
三列目には、制御元Ｃからの信号により開閉するスイッチと制御元Ａからの信号により開閉するスイッチが直列に配置されている。
このように、各列のスイッチの制御元の組合せが異なっており、図５の回路によれば、Ａ、Ｂ、Ｃいずれかの信号に誤りがある場合、もしくは、６個のスイッチいずれか１個が壊れている場合でも、正しい論理を出力することができる。
即ち、図５は、１故障許容の多数決回路であると言える。
【００１２】
実施の形態１では、１フェールセーフを実現するためのフェイルセーフ制御システムを説明する。
実施の形態２では、２フェールセーフを実現するためのフェイルセーフ制御システムを説明する。
実施の形態３では、ｎフェイルセーフ（ｎは１以上の整数）を実現するためのフェイルセーフ制御システムを説明する。
実施の形態１〜３で説明するフェイルセーフ制御システムは、自動列車制御システム（ＡＴＣ）や有人宇宙船などに利用できる。
【００１３】
実施の形態１．
以下、図を用いて実施の形態１に係るフェイルセーフ制御システムを説明する。
図１は、実施の形態１に係るフェイルセーフ制御システムの構成例を示す。
上述のように、実施の形態１に係るフェイルセーフ制御システムは、１フェイルセーフ（ｎ＝１）を保証する。
【００１４】
図１において、１は制御装置である。
図１に示すように、本実施の形態では、制御装置の数は３個（２ｎ＋１個）である。
３個の制御装置１は、制御対象物１０を共有する。
【００１５】
２は制御装置１に給電する故障切替スイッチである。
故障切替スイッチ２は、制御装置１に対応付けて配置される。
また、故障切替スイッチ２は、対応付けられている制御装置１のアクチュエータ４と、アクチュエータ４の電源５とに接続され、アクチュエータ４の作用可能性を管理する。
【００１６】
３は制御対象物１０に配置されているセンサである。
４は制御装置１が用いるアクチュエータである。
５はアクチュエータ４の電源である。
【００１７】
６は制御装置１中にある制御部である。
７はセンサ値の変化量を求める微分部である。
【００１８】
８は微分部７の出力であるセンサ値の変化量と制御部６の出力の比較からアクチュエータ４や制御装置１の正常性をチェックする異常検知部である。
異常検知部８は、制御対象物１０に対する制御を行う制御装置として選択され制御対象物に対する制御を行っている制御装置（以下、実行制御装置という）及び実行制御装置のアクチュエータの少なくともいずれかで発生した異常を検知する。
【００１９】
９は異常検知部８が異常を検知した場合に動作中のアクチュエータをオフ状態にするためのスイッチオフ信号を出力するとともに、次に動作させるアクチュエータをオン状態にするためのスイッチオン信号を出力する信号出力部である。
信号出力部９は、他の制御装置１に対応付けられているの各故障切替スイッチ２内の自装置用のスイッチに接続されている。
そして、異常検知部８により異常が検知された場合に、実行制御装置に対応付けられている故障切替スイッチ２内の自装置用のスイッチをオフ状態にするためのスイッチオフ信号を当該スイッチに出力し、実行制御装置以外の特定の制御装置に対応付けられている故障切替スイッチ２内の自装置用のスイッチをオン状態にするためのスイッチオン信号を当該スイッチに出力する。
【００２０】
１０は制御対象物である。
【００２１】
Ａｂ、Ａｃ、Ｂａ、Ｂｃ、Ｃａ、Ｃｂは、故障切替スイッチ２に対する制御信号（スイッチオン信号、スイッチオフ信号）を示す。
例えば、信号Ａｂは、制御装置Ａ（１ａ）から故障切替スイッチ２ｂに対する制御信号であり、信号Ｂａは、制御装置Ｂ（１ｂ）から故障切替スイッチ２ａに対する制御信号である。
【００２２】
構成要素の個数は、制御装置１は３個（２ｎ＋１個）、アクチュエータ４は２〜３個、故障切替スイッチ２と電源５は、アクチュエータと同数必要である。
図１では、アクチュエータＣ（４ｃ）と該アクチュエータＣ（４ｃ）につながる故障切替スイッチ２ｃと電源５ｃは、破線で表示しているが、これらは、１フェイルセーフを実現する上では必要でない部分である。
つまり、制御装置１とアクチュエータ４と故障切替スイッチ２と電源５を各々３個（２ｎ＋１個）としてもよいし、アクチュエータ４と接続されている制御装置１（第１の制御装置の例）を２個（ｎ＋１個）とし、アクチュエータ４と接続されていない制御装置１（第２の制御装置の例）を１個（ｎ個）とし、アクチュエータ４と故障切替スイッチ２と電源５を各々２個（ｎ＋１個）とするようにしてもよい。
なお、アクチュエータ４と接続されている制御装置１を２個（ｎ＋１個）とする場合に、制御対象物１０に対する制御を行っている制御装置（第１の制御装置）を実行第１の制御装置という。
【００２３】
故障切替スイッチ２の構成は、２並列１直列のスイッチから成り、３つある制御装置の内、当該故障切替スイッチ２に接続されているアクチュエータを制御している制御装置１を除く、残りの２つの制御装置１の信号出力部９と接続され、当該制御装置１の異常検知部８によって制御される。
また、各故障切替スイッチ２では、列ごとに対象となる制御装置１が異なっている。
例えば、故障切替スイッチ２ａの左側のスイッチは、制御装置Ｂ（１ｂ）からの制御信号である信号Ｂａによって開閉され、故障切替スイッチ２ａの右側のスイッチは、制御装置Ｃ（１ｃ）からの制御信号である信号Ｃａによって開閉される。
【００２４】
なお、図１では、アクチュエータＡ（４ａ）を二重枠線にて示しているが、これは、最初にアクチュエータＡ（４ａ）を動作中に、アクチュエータ４ｂ〜４ｃは待機冗長とする例を想定した表現である。
つまり、図１の例では、制御装置Ａ（１ａ）が実行制御装置として最初に制御対象物１０を制御する。
そして、異常が生じた場合には、制御装置Ａ（１ａ）をバックアップする制御装置Ｂ（１ｂ）又は制御装置Ｃ（１ｃ）が実行制御装置として選択され、制御対象物１０を制御する。
【００２５】
制御装置１は、センサ３からセンサ値を得て、制御部６にて、アクチュエータ４への出力データに変換し、アクチュエータ４に出力する。
また微分部７は、センサ値から変化量を求める。
異常検知部８は、センサ値の変化量と制御部６の出力の比較からアクチュエータ４や制御装置１の正常性をチェックする。
チェックの結果、異常があるという判断の場合には、信号出力部９によって、動作中のアクチュエータ４の故障切替スイッチ２にスイッチオフ信号（オフ指令ともいう）を出力し、次に起動する冗長系のアクチュエータ４の故障切替スイッチ２にスイッチオン信号（オン指令ともいう）を出力する。
【００２６】
例えば、制御部６ａを含む制御装置Ａ（１ａ）が異常の場合は、制御対象物１０を正しく制御できないため、センサ３ａ、センサ３ｂ、センサ３ｃのセンサ値が異常になる。
制御装置Ａ（１ａ）の構成要素である異常検知部８ａは、制御部６ａの出力するアクチュエータの作用量とセンサから来る変動量を比較して、異常ならばアクチュエータＢ（４ｂ）の故障切替スイッチ２ｂにオン指令（信号Ａｂ）を出力するが、既に制御装置Ａ（１ａ）が故障であるという前提なので機能しないかもしれない。
同時に異常検知部８ｂは、動作中のアクチュエータＡ（４ａ）の故障切替スイッチ２ａにオフ指令（信号Ｂａ）を出力する。
やはり同時に異常検知部８ｃは、動作中のアクチュエータＡ（４ａ）の故障切替スイッチ２ａにオフ指令（信号Ｃａ）を出力し、かつ待機中のアクチュエータＢ（４ｂ）の故障切替スイッチ２ｂにオン指令（信号Ｃｂ）を出力する。
【００２７】
故障切替スイッチ２ａでは、異常検知部８ｂと異常検知部８ｃからオフ指令（信号Ｂａと信号Ｃａ）が入力されるので、２つのスイッチがオフ状態（非接触状態）となり、電源Ａ（５ａ）からの給電が停止するのでアクチュエータＡ（４ａ）はオフ状態になる。
一方、故障切替スイッチ２ｂでは、異常検知部８ｃからオン指令（信号Ｃｂ）が入力されるので、右側のスイッチがオン状態（接触状態）となり、電源Ｂ（５ｂ）からの給電が開始され、アクチュエータＢ（４ｂ）が起動する。
【００２８】
また、制御装置Ａ（１ａ）の代わりに、アクチュエータＡ（４ａ）に異常が発生した場合でも、センサ３ａ、センサ３ｂ、センサ３ｃにより異常値を検知して、制御装置Ａ（１ａ）、制御装置Ｂ（１ｂ）、制御装置Ｃ（１ｃ）により、故障切替スイッチ２ａをオフに、故障切替スイッチ２ｂをオンに制御することで、アクチュエータ４を切り替えることができる。
また、故障切替スイッチ２ａ、故障切替スイッチ２ｂ、故障切替スイッチ２ｃは、いずれも２並列スイッチで構成されているため、いずれかの１つのスイッチが故障しても、何も切り替えは起こらず、システムは正常な動作を続けることができる。
【００２９】
以上、本実施の形態では、
同一制御対象物の物理量を計測するセンサと、前記センサの値を入力して、同一処理計算を実行する３台の制御装置と、前記制御装置の出力によって制御対象物に作用するアクチュエータと、アクチュエータに給電する電源からなるフェイルセーフ制御システムにおいて、
前記制御装置は、出力したはずの制御量と前記センサの変化量を比較し、アクチュエータの妥当性を判定するアクチュエータ異常検知部と具備し、かつ、
各アクチュエータの電源スイッチとして、並列数が２、直列数が１とする行列状に並んだ電源スイッチを具備し、各直列では、各電源スイッチを直接制御している前記制御装置を除く、残りの２つの制御装置で制御することにより、アクチュエータを含めた３つの制御装置の内、１つの故障があった場合でも、異常のあるアクチュエータの電源を確実に切り、かつ正常なアクチュエータの電源を確実に入れることにより危険を回避する１フェイルセーフ制御システムを説明した。
【００３０】
実施の形態２．
実施の形態２に係るフェイルセーフ制御システムの構成例を示す。
上述のように、実施の形態２に係るフェイルセーフ制御システムは、２フェイルセーフ（ｎ＝２）を保証する。
【００３１】
本実施の形態では、構成要素の個数は、制御装置１は５個（２ｎ＋１個）、アクチュエータ４は３〜５個、故障切替スイッチ２と電源５は、アクチュエータと同数必要である。
図２では、アクチュエータＣ（４ｃ）と該アクチュエータＣ（４ｃ）につながる故障切替スイッチ２ｃと電源Ｃ（５ｃ）、更にはアクチュエータＤ（４ｄ）と該アクチュエータＤ（４ｄ）につながる故障切替スイッチ２ｄと電源Ｄ（５ｄ）は、破線で表示しているが、これらは、２フェイルセーフを実現する上では必要でない部分である。
つまり、制御装置１とアクチュエータ４と故障切替スイッチ２と電源５を各々５個（２ｎ＋１個）としてもよいし、アクチュエータ４と接続されている制御装置１（第１の制御装置の例）を３個（ｎ＋１個）とし、アクチュエータ４と接続されていない制御装置１（第２の制御装置の例）を２個（ｎ個）とし、アクチュエータ４と故障切替スイッチ２と電源５を各々３個（ｎ＋１個）とするようにしてもよい。
なお、アクチュエータＣ（４ｃ）と故障切替スイッチ２ｃと電源Ｃ（５ｃ）、更にはアクチュエータＤ（４ｄ）と故障切替スイッチ２ｄと電源Ｄ（５ｄ）を用いない場合は、信号Ａｃ、Ａｄ、Ｂｃ、Ｂｄ、Ｃｄ、Ｄｃ、Ｅｃ、Ｅｄも出力されない。
【００３２】
なお、図２では、作図上の理由から制御装置１の内部構成の図示を省略しているが、各制御装置１の内部構成は図１のものと同様であり、制御部６、微分部７、異常検知部８、信号出力部９が含まれている。
【００３３】
故障切替スイッチ２の構成は、６並列２直列のスイッチ１２個から成り、５つある制御装置の内、当該故障切替スイッチに接続されているアクチュエータを制御している制御装置１を除く、残りの４つの制御装置１の異常検知部８によって、多数決制御される。
つまり、各故障切替スイッチ２は、６列（２ｎＣｎ列）が並列に配置され、各列がアクチュエータ４と電源５とを接続し、列ごとに２個（ｎ個）のスイッチが直列に配置されている構成の１２個（ｎ×２ｎＣｎ個）のスイッチを有する。
更に、各故障切替スイッチ２では、列ごとに異なる組合せで、１列内の２個のスイッチが、故障切替スイッチ２が対応付けられている制御装置１以外の４個（２ｎ個）の制御装置のうちの２個（ｎ個）の制御装置１に接続され、６列における制御装置１の組合せが６通りになっている。
例えば、故障切替スイッチ２ａでは、各列において、２つのスイッチは制御装置Ｂ〜制御装置Ｅのうちの２つの制御装置に接続され、列ごとの制御装置の組合せが異なっており、６通りの組合せになっている（左から制御装置Ｂと制御装置Ｃ、制御装置Ｃと制御装置Ｄ、制御装置Ｄと制御装置Ｅ、制御装置Ｅと制御装置Ｂ、制御装置Ｂと制御装置Ｄ、制御装置Ｃと制御装置Ｅ）。
【００３４】
このような構成により、５つの制御装置１または３〜５つのアクチュエータ４の内、いずれか２つが異常動作した場合でも、動作中のアクチュエータをオフ状態にし、待機している冗長アクチュエータをオン状態にすることができる。
図２では、アクチュエータＡ（４ａ）を二重枠線にて示しているが、これは、最初にアクチュエータＡ（４ａ）を動作中に、アクチュエータ４ｂ〜４ｅは待機冗長とする例を想定した表現である。
つまり、図２の例では、制御装置Ａ（１ａ）が実行制御装置として最初に制御対象物１０を制御する。
そして、異常が生じた場合には、制御装置Ａ（１ａ）をバックアップする制御装置Ｂ（１ｂ）〜制御装置Ｅ（１ｅ）のいずれかが実行制御装置として選択され、制御対象物１０を制御する。
【００３５】
図１の例と同様に、制御装置１は、センサ３からセンサ値を得て、制御部６にて、アクチュエータ４への出力データに変換し、アクチュエータ４に出力する。
また、微分部７は、センサ値から変化量を求める。
異常検知部８は、センサ値の変化量と制御部６の出力の比較からアクチュエータ４や制御装置１の正常性をチェックする。
チェックの結果、異常があるという判断の場合には、信号出力部９によって、動作中のアクチュエータ４の故障切替スイッチ２にオフ指令を出力し、次に起動する冗長系のアクチュエータにオン指令を出力する。
【００３６】
例えば、制御部６ａを含む制御装置Ａ（１ａ）が異常の場合は、制御対象物１０を正しく制御できないため、センサ３ａ〜３ｅのセンサ値が異常になる。
制御装置Ａ（１ａ）の構成要素である異常検知部８ａは、制御部６ａの出力するアクチュエータの作用量とセンサから来る変動量を比較して、異常ならばアクチュエータＢ（４ｂ）の故障切替スイッチ２ｂにオン指令（信号Ａｂ）を出力するが、既に制御装置Ａ（１ａ）が故障であるという前提なので機能しないかもしれない。
同時に異常検知部８ｂは、動作中のアクチュエータＡ（４ａ）の故障切替スイッチ２ａにオフ指令（信号Ｂａ）を出力する。
同時に異常検知部８ｃと異常検知部８ｄと異常検知部８ｅは、動作中のアクチュエータＡ（４ａ）の故障切替スイッチ２ａにオフ指令（信号Ｃａ、信号Ｄａ、信号Ｅａ）を出力し、かつ待機中のアクチュエータＢ（４ｂ）の故障切替スイッチ２ｂにオン指令（信号Ｃｂ、信号Ｄｂ、信号Ｅｂ）を出力する。
【００３７】
故障切替スイッチ２ａでは、異常検知部８ｂ〜８ｅからオフ指令（信号Ｂａ、信号Ｃａ、信号Ｄａ、信号Ｅａ）が入力されるので、１２個のスイッチがオフ状態（非接触状態）となり、電源Ａ（５ａ）からの給電が停止するのでアクチュエータＡ（４ａ）はオフ状態になる。
一方、故障切替スイッチ２ｂでは、異常検知部８ｃと異常検知部８ｄと異常検知部８ｅからオン指令（信号Ｃｂ、信号Ｄｂ、信号Ｅｂ）が入力されるので、左から２つ目のスイッチ（Ｃｂ、Ｄｂ）、左から３つ目のスイッチ（Ｄｂ、Ｅｂ）、右側のスイッチ（Ｃｂ、Ｅｂ）がオン状態（接触状態）となり、電源Ｂ（５ｂ）からの給電が開始され、アクチュエータＢ（４ｂ）が起動する。
【００３８】
故障発生の場合は、制御装置Ａ（１ａ）〜制御装置Ｅ（１ｅ）とアクチュエータＡ（４ａ）〜アクチュエータＥ（１ｅ）の内、いずれか２個が故障しても、残った３系統が故障切替スイッチ２を制御することにより、故障のない系統のアクチュエータを選択することができる。
また、故障切替スイッチ２を構成するスイッチ１２個の内、２個が故障しても、制御装置１側とアクチュエータ４側に異常がなければ、アクチュエータ４のオン／オフは発生せず、正常な動作を継続することができる。
同様に、制御装置１側の１故障と故障切替スイッチ２の１故障の組合せ、アクチュエータ４側と故障切替スイッチ２の１故障の組合せにおいても、故障のない系統のアクチュエータを選択して、動作を継続することができる。
【００３９】
以上、本実施の形態では、
同一制御対象物の物理量を計測するセンサと、前記センサの値を入力して、同一処理計算を実行する５台の制御装置と、前記制御装置の出力によって制御対象物に作用するアクチュエータと、アクチュエータに給電する電源からなるフェイルセーフ制御システムにおいて、
前記制御装置は、出力したはずの制御量と前記センサの変化量を比較し、アクチュエータの妥当性を判定するアクチュエータ異常検知部と具備し、かつ、
各アクチュエータの電源スイッチとして、並列数が６、直列数が２とする行列状に並んだ電源スイッチを具備し、各直列では、各電源スイッチを直接制御している前記制御装置を除く、残りの４つの制御装置の内２つの組合せで制御することにより、アクチュエータを含めた５つの制御装置の内、２つの故障があった場合でも、異常のあるアクチュエータの電源を確実に切り、かつ正常なアクチュエータの電源を確実に入れることにより危険を回避する２フェイルセーフ制御システムを説明した。
【００４０】
実施の形態３．
図３は、実施の形態３に係るフェイルセーフ制御システムの構成例を示す。
上述のように、実施の形態３に係るフェイルセーフ制御システムは、ｎ故障時のフェイルセーフを保証する。
本実施の形態では、実施の形態１及び実施の形態２のフェイルセーフ制御システムを一般化した構成を説明する。
【００４１】
本実施の形態では、構成要素の個数は、制御装置１は（２ｎ＋１）個、アクチュエータ４は少なくともｎ＋１個、故障切替スイッチ２と電源５は、アクチュエータと同数必要である。
図３では、Ａｃｔ−（ｎ＋２）からＡｃｔ−（２ｎ＋１）までのアクチュエータ４と該アクチュエータにつながる故障切替スイッチ２と電源５は、破線で表示しているが、これらは、ｎ故障時のフェイルセーフを実現する上では必要でない部分である。
つまり、制御装置１とアクチュエータ４と故障切替スイッチ２と電源５を各々（２ｎ＋１）個としてもよいし、アクチュエータ４と接続されている制御装置１（第１の制御装置の例）を（ｎ＋１）個とし、アクチュエータ４と接続されていない制御装置１（第２の制御装置の例）をｎ個とし、アクチュエータ４と故障切替スイッチ２と電源５を各々（ｎ＋１）個とするようにしてもよい。
【００４２】
故障切替スイッチ２の構成は、２ｎＣｎ並列×ｎ直列のスイッチから成り、（２ｎ＋１）個ある制御装置の内、当該故障切替スイッチ２に接続されているアクチュエータ４を制御している制御装置１を除く、残りの２ｎ個の制御装置１の異常検知部８によって、多数決制御される。
つまり、各故障切替スイッチ２は、２ｎＣｎ列が並列に配置され、各列がアクチュエータ４と電源５とを接続し、列ごとにｎ個のスイッチが直列に配置されている構成のｎ×２ｎＣｎ個のスイッチを有する。
更に、各故障切替スイッチ２では、列ごとに異なる組合せで、１列内のｎ個のスイッチが、故障切替スイッチ２が対応付けられている制御装置１以外の２ｎ個の制御装置１のうちのｎ個の制御装置に接続され、２ｎＣｎ列における制御装置１の組合せが２ｎＣｎ通りになっている。
また、図１及び図２の場合と同様に、１列内のｎ個のスイッチのうちの少なくとも１つがオフ状態になった場合に当該列がオフ状態になり、２ｎＣｎ列の全てがオフ状態になった場合にアクチュエータ４への電力供給が停止する。
また、１列内のｎ個のスイッチの全てがオン状態になった場合に当該列がオン状態になり、２ｎＣｎ列のうちの少なくとも１つがオン状態になった場合にアクチュエータ４への電力供給が開始する。
【００４３】
このような構成により、（２ｎ＋１）個の制御装置１または（ｎ＋１）個のアクチュエータ４の内、いずれかｎ個が異常動作した場合でも動作中のアクチュエータをオフ状態にし、待機している冗長アクチュエータをオン状態にすることができる。
図３では、アクチュエータ（Ａｃｔ−Ａ）を二重枠線にて示しているが、これは、最初にアクチュエータ（Ａｃｔ−Ａ）を動作中に、他のアクチュエータは待機冗長とする例を想定した表現である。
つまり、図３の例では、制御装置Ａが実行制御装置として最初に制御対象物１０を制御する。
そして、異常が生じた場合には、制御装置Ａをバックアップする他の制御装置のうちのいずれかが実行制御装置として選択され、制御対象物１０を制御する。
【００４４】
動作は、図１及び図２の例と同様であり、制御装置１は、センサ３からセンサ値を得て、制御部６にて、アクチュエータ４への出力データに変換し、アクチュエータ４に出力する。
また微分部７は、センサ値から変化量を求める。
異常検知部８は、センサ値の変化量と制御部６の出力の比較からアクチュエータ４や制御装置１の正常性をチェックする。
チェックの結果、異常があるという判断の場合には、信号出力部９によって、動作中のアクチュエータ４の故障切替スイッチ２にオフ指令を出力し、次に起動する冗長系のアクチュエータにオン指令を出力する。
故障切替スイッチ２における動作は、図１及び図２について説明したとおりであり、他の制御装置１からの制御信号に従い、ｎ×２ｎＣｎ個のスイッチがそれぞれオン状態又はオフ状態になり、異常が発生している系統のアクチュエータ４への給電が停止し、次に起動するアクチュエータ４への給電が開始され、当該アクチュエータ４が起動される。
【００４５】
本実施の形態に係るフェイルセーフ制御システムでは、制御装置１とアクチュエータ４の内、動作中のアクチュエータを含む、いずれかｎ個まで故障した場合は、残った（ｎ＋１）系統が故障切替スイッチ２を制御することにより、故障のない系統のアクチュエータを選択することができる。
また、動作中のアクチュエータを含まない、ｎ個までの制御装置が故障した場合は、残った（ｎ＋１）個の制御装置が動作中のアクチュエータの電源を維持するので、正常な動作を継続することができる。
また、故障切替スイッチ２を構成するスイッチ２ｎＣｎ×ｎ個の内、ｎ個まで故障しても、アクチュエータ４のオン／オフは発生せず、正常な動作を継続することができる。
同様に、制御装置１側の故障と故障切替スイッチ２の故障の組合せ、アクチュエータ４側と故障切替スイッチ２の故障の組合せにおいても、それぞれｎ故障までならば、故障のない系統のアクチュエータを選択して、動作を継続することができる。
【００４６】
以上、本実施の形態では、
同一制御対象物の物理量を計測するセンサと、前記センサの値を入力して、同一処理計算を実行する（２ｎ＋１）台の制御装置と、前記制御装置の出力によって制御対象物に作用するアクチュエータと、アクチュエータに給電する電源からなるフェイルセーフ制御システムにおいて、
前記制御装置は、出力したはずの制御量と前記センサの変化量を比較し、アクチュエータの妥当性を判定するアクチュエータ異常検知部と具備し、かつ、
各アクチュエータの電源スイッチとして、並列数が２ｎＣｎ、直列数がｎとする行列状に並んだ電源スイッチを具備し、各直列では、各電源スイッチを直接制御している前記制御装置を除く、残りの２ｎ個の制御装置の内ｎ個の組合せで制御することにより、アクチュエータを含めた（２ｎ＋１）台の制御装置の内、ｎ個の故障があった場合でも、異常のあるアクチュエータの電源を確実に切り、かつ正常なアクチュエータの電源を確実に入れることにより危険を回避するｎフェイルセーフ制御システムを説明した。
【符号の説明】
【００４７】
１  制御装置、２  故障切替スイッチ、３  センサ、４  アクチュエータ、５  電源、６  制御部、７  微分部、８  異常検知部、９  信号出力部、１０  制御対象物、１００  フェイルセーフ制御システム。
【図１】
2012025223.tif 000003
【図２】
2012025223.tif 000004
【図３】
2012025223.tif 000005
【図４】
2012025223.tif 000006
【図５】
2012025223.tif 000007