JPH0346841B2 - - Google Patents

Description

【発明の詳細な説明】 本発明は、プラントを分散制御する方法に関
し、特に複数の分散制御コントローラにおけるメ
モリ容量を徒らに増大せしめることなく、何れか
のコントローラが故障した場合であつても支障な
しにプラントを制御し得る方法に関するものであ
る。

従来より例えば原子力プラント制御システムに
おいては制御対象が多くなる程に単一のプラント
制御用コントローラで以てそれらを制御すること
は危険であることから、複数のプラント制御用コ
ントローラによつて分散的に制御対象を制御する
ようになつている。このような分散制御において
は何れかのプラント制御用コントローラが故障し
た場合にはその機能を残りの正常なプラント制御
用コントローラが肩代り実行するようになつてい
るわけであるが、従来にあつては制御システム自
体が不経済なものであつたり、コントローラ間の
接続態様が複雑であつたり、あるいは各コントロ
ーラにおける制御プログラム格納用のメモリの容
量を徒らに増大せねばならないなどの欠点をもつ
ている。

即ち、従来にあつては制御の高信頼度化を実現
する観点より制御システムは一般に２重系や２ア
ウト・オブ３などの冗長系または８対１バツクア
ツプなどのバツクアツプ系として構成されていた
ものである。しかしながら、冗長系として構成さ
れる場合はシステム構成が不経済になることは否
めない。また、バツクアツプ系として構成される
場合にはバツクアツプ用コントローラとの接続態
様が複雑化するばかりか、バツクアツプ用コント
ローラは他のコントローラの機能を全て肩代り実
行する必要があることから、制御プログラム格納
用メモリの容量はコントローラや制御対象の数が
多くなる程に大としなければならないという欠点
がある。

このため冗長系やバツクアツプ系として構成せ
ず複数あるコントローラのうち何れかが故障した
場合には他のコントローラがその機能を互いに肩
代り実行するといつた制御システムも考えられて
いる。複数のコントローラが互いにバツクアツプ
し合うわけであるが、このような制御システムに
問題がないわけではない。というのは、互いにバ
ツクアツプし合うためには各コントローラは他の
コントローラの機能をも全て実行するべく他のコ
ントローラが実行する制御プログラムをも予め内
臓する必要があるからである。通常時にあつては
他のコントローラが実行する制御プログラムを各
コントローラは何等実行することはないが、他の
コントローラが故障した場合に初めてそのコント
ローラが実行すべき制御プログラムを肩代り実行
するところとなるものである。したがつて、この
ような制御システムにおけるコントローラとして
はメモリ容量を大としなければならず分散制御を
経済的に行ない得ないというものである。

よつて本発明の目的は、各分散制御用コントロ
ーラにおけるメモリ容量を徒らに増大せしめるこ
となく、しかもシステム構成簡単にして何れかの
コントローラが故障した場合であつても特に支障
をきたすことなくプラントを経済的に制御し得る
プラント分散制御方法を提供するにある。

この目的のため本発明は、各コントローラが本
来実行すべき制御プログラムは各種制御プログラ
ム部分よりなり、しかもそれら制御プログラム部
分の重要度は一般に同一ではなく重要度の低いも
のは実行されなくとも差し当り特に支障をきたさ
ない事実に着目してなされたものである。即ち、
各コントローラには少なくとも自己が本来実行す
べき制御プログラムのみを予め内臓せしめてお
き、何れかのコントローラが故障する度に予め定
められたコントローラがそのコントローラの機能
を肩代り実行すべく自己が実行する制御プログラ
ムを重要度の高い制御プログラム部分よりなるも
のとして再編成したうえ、再編成に係る制御プロ
グラムを実行するようにしたものである。制御プ
ログラムの再編成に際しては、故障に係るコント
ローラより上位コンピユータを介し重要度の高い
制御プログラム部分を受け取り、これを自己が本
来実行すべき重要度の低い制御プログラム部分に
代えて実行するわけである。

以下、本発明を第１図から第４図により説明す
る。

先ず第１図は本発明に係るプラント分散制御シ
ステムの一例でのシステム構成を示したものであ
る。

図示の如く３つの分散制御用のコントローラ
Ａ，Ｂ，Ｃは上位コンピユータ１による制御下に
バスライン２を介し間接的に結合されており、通
常各コントローラＡ，Ｂ，Ｃは自己に割り当てら
れている検出器からの検出出力を入力する一方、
その検出出力を適当に演算処理するなどして操作
器を制御するようになつている。符号１０Ａ，１
０Ｂ，１０Ｃは検出器を、また符号１１Ａ，１１
Ｂ，１１Ｃは操作器を示すが、実際には各コント
ローラＡ，Ｂ，Ｃは各種検出器や操作器を複数収
容するようにしてなることは勿論である。ところ
で各コントローラＡ，Ｂ，Ｃは同一として構成さ
れる。その構成をコントローラＡについて説明す
れば、CPU部３Ａ、メモリ部６Ａ，７Ａ、プロ
セス入出力部８Ａ、通信部４Ａ、プログラム再編
成部５Ａおよび切替部９Ａよりなるが、他のコン
トローラＢ，Ｃについても事情は同様である。上
記メモリ部６Ａ，７Ａのうちメモリ部６Ａは制御
プログラム格納用として、またメモリ部７Ａはオ
ペレーテイングシステム（OS）や基本制御用サ
ブルーチン（比例・積分・微分制御やリミツタな
どについての）格納用として設けられたものであ
るが、ここで注意すべきはメモリ部６Ａに格納さ
れる制御プログラムの種類である。メモリ部６Ａ
にコントローラＡが本来実行すべき制御プログラ
ムが格納されることは当然として、場合によつて
はコントローラＢ，Ｃの何れか一方が本来実行す
べき重要度の高い制御プログラムもが格納される
ということである。コントローラＢ，Ｃが本来実
行すべき制御プログラムの全てが格納されるとす
れば、メモリ容量の点で従来技術と何等変わると
ころないからである。但し、基本的には自己が本
来実行すべき制御プログラムのみで必要十分であ
る。コントローラＢ，Ｃにおけるメモリ部６Ｂ，
６Ｃに格納される制御プログラムについても事情
は全く同じである。

さてここでコントローラＡが故障した場合には
コントローラＢが、コントローラＢが故障した場
合はコントローラＣが、コントローラＣが故障し
た場合にはコントローラＡがそれぞれの機能を肩
代り実行するものとすれば、メモリ部６Ａ，６
Ｂ，６Ｃには少なくともコントローラＡ，Ｂ，Ｃ
が本来実行すべき制御プログラムが格納され、場
合によつてはメモリ部６Ａ，６Ｂ，６Ｃには更
に、コントローラＣ，Ａ，Ｂが本来実行すべき重
要度の高い制御プログラムが格納されるというわ
けである。通常時にあつては各コントローラＡ，
Ｂ，Ｆは自己に割り当てられた検出器や操作器を
切替部、プロセス入出力部を介して収容し、自己
が本来実行すべき制御プログラムを実行すること
によつて、プラント全体を分散制御するが、この
ような状態でコントローラＡ，，Ｂ，Ｃの何れか
が故障した場合は故障に係るコントローラに隣接
するコントローラがその機能を肩代り実行するよ
うになるものである。

例えばコントローラＡが故障すれば、その故障
はウオツチドツグタイマー等によつて検出される
が、これによつて切替部９Ａが切替制御され検出
器１０Ａ、操作器１１Ａはそれぞれ中継信号線１
２AB，１２BAに接続されるところとなるもの
である。一方、コントローラＡが故障した旨は通
信部４Ａ、バスライン２を介し上位コンピユータ
１に、更に上位コンピユータ１よりバスライン２
を介しコントローラＢに報告され、コントローラ
Ｂは必要な措置を採るところとなる。即ち、コン
トローラＢは直ちに切替部９Ｂを切替制御するこ
とによつて検出器１０Ａ、操作器１１Ａをも自己
に収容し、制御プログラムの再編成を行なうもの
である。この場合の再編成はプログラム再編成部
５Ｂによつて行なわれるが、メモリ部６Ｂにコン
トローラＡが本来実行すべき制御プログラムの全
部あるいはそのうちの重要度の高い制御プログラ
ム部分が格納されているか否かによつて編成の態
様は若干異なる。メモリ部６Ｂに格納されている
場合は重要度の高い制御プログラム部分をコント
ローラＡ，Ｂが本来実行すべき制御プログラムよ
り抽出して再編成し、再編成に係る制御プログラ
ムをコントローラＢが実行するようになるが、格
納されていない場合には、上位コンピユータ１に
よる介在転送制御下にコントローラＡより重要度
の高い制御プログラム部分を受け取つた後再編成
が行なわれるからである。

コントローラＢ，Ｃが故障した場合にもそれぞ
れコントローラＣ，Ａが上記の場合と同様にして
故障に係るコントローラＢ，Ａの機能を肩代り実
行するところとなるものである。本発明による場
合何れか１つのコントローラを残して他のコント
ローラの全てが故障した場合でも特に支障をきた
すことなくプラントを制御し得る。例えば第１図
においてコントローラＡ，Ｂが故障した場合はコ
ントローラＣがそれらコントローラＡ，Ｂの機能
を肩代り実行するものである。故障したコントロ
ーラの切替部においてはそれまで収容していた検
出器や操作器をその両側に存する中継信号線に収
容接続せしめる一方、正常なコントローラは必要
に応じ故障に係るコントローラより重要度の高い
制御プログラム部分を受け取つて制御プログラム
を再編成すればよいからである。なお、本発明の
内容をコントローラが３つの場合について概略的
に説明したが、本発明は一般に２つ以上のコント
ローラを有するプラント分散制御システムに適用
可である。但し、各コントローラにおける切替部
は中継信号線を介しループ状に配されている必要
がある。

本発明は以上のようなものであるが、以下最も
基本的な場合を想定して本発明をより詳細に説明
する。各コントローラがそのメモリ部に自己が本
来実行すべき制御プログラムだけを有していると
想定した場合、何れかのコントローラが故障すれ
ば原則としてそれに隣接したコントローラがその
機能を肩代り実行することは既に述べたところで
あるが、第２図は故障に係るコントローラの機能
を肩代り実行するコントローラのメモリ部におけ
る制御プログラムの格納状態が如何に変化するか
を示したものである。即ち、第２図ａは故障前の
それを、また、第２図ｂは故障後のそれを示す。
図示の如く本例ではメモリ部６は16進表示で1000
番地より15FFまでとされ、６等分された各メモ
りエリアには制御プログラム部分が256バイト長
で格納されるようになつている。各メモリエリア
の先頭アドレスには制御プログラム部分を特定す
る１バイト長のラベルが格納されており、このラ
ベルによつて後述するところの制御プログラムの
再編成が行なわれる。本例での場合ラベルを構成
する上位３ビツトはコントローラ固有のプログラ
ム名を、下位２ビツトはその制御プログラム部分
の重要部を、中央部に位置する３ビツトは制御プ
ログラム部分の実行順序を示すようになつてい
る。したがつて例えばラベルが“00101011”であ
ればそのラベルはビツト区間を上記の如くに区切
ることによつて（123）として表示され得、これ
よりこのラベルが付された制御プログラム部分は
機能を肩代り実行するコントローラの制御プログ
ラムの部分を構成し、重要度は３であつて、しか
も２番目に実行されるものであることが知れるも
のである。但し、本例での場合重要度については
数値が小なる程に重要となつている。

通常時でのメモリ部６における制御プログラム
部分の格納態様は第２図ａに示すようであるが、
隣接したコントローラが故障した場合はそのコン
トローラより重要度の高い制御プログラム部分を
受け取り、それら制御プログラム部分を自己の重
要度の低い制御プログラム部分が格納されている
メモリエリアに所定順に格納しようというもので
ある。第２図ｂ中における（210），（231）および
（241）の各制御プログラム部分は勿論故障に係る
コントローラからのものであり、故障に係るコン
トローラ固有のプログラム名は「２」と表示され
ているものである。機能を肩代り実行するコント
ローラはその再編成に係る制御プログラムを例え
ば（110），（130），（151），（210），（231），（2
41）
といつた順に順次実行することにより故障に係る
コントローラの機能を肩代り実行し得るものであ
る。このようにして故障に係るコントローラの機
能をバツクアツプする場合には、重要度の低い制
御プログラム部分は実行されなくなるにしても重
要度の高いものはコントローラが故障したにも拘
わらず実行され得るから、差し当り大きな問題は
生じないものである。

ところで以上のような制御プログラムの再編成
や再編成に係る制御プログラムの実行に際しては
重要度の低い制御プログラム部分を探索してその
先頭アドレスを表示したり、故障に係るコントロ
ーラからの重要度の高い制御プログラム部分を円
滑、且つ迅速にメモリ部に格納したり、実行され
るべき制御プログラム部分対応の先頭アドレスを
発生表示させるなどの配慮が必要である。これら
を円滑に行なうために用意されたのがプログラム
再編成部なわけである。

第３図はプログラム再編成部の構成を示したも
のである。既に述べた如く何れかのコントローラ
が故障すればその旨は通信部、バスライン等を介
し、更にはそのコントローラの機能を肩代り実行
するコントローラの通信部を介しCPU部に報告
されるが、これによつてCPU部はコントローラ
内部のバスラインを介しプログラム再編成部５を
起動するところとなるものである。プログラム再
編成部５が起動されるとその制御回路５ｂは先ず
ラベル入力レジスタ５ｄに重要度の低い値をセツ
トすることになる。第２図ａ，ｂに示す例からす
れば先ず「３」の値がセツトされるわけである。
以下、第２図ａ，ｂに示す例に従つて説明すれ
ば、この重要度の値をマスクレジスタ５ｅを介し
連想メモリ５ｆに格納されているラベルと比較す
れば、重要度が一致したラベル（123），（163）に
は一致した旨のフラグが立つようになつているも
のである。照合用レジスタ５ｇはラベル対応のビ
ツトよりなるが、重要度が一致したラベル対応の
ビツト位置にはフラグが立つわけである。ラベル
入力レジスタ５ｄにおける重要度の値を適当な範
囲内で更新することによつて照合用レジスタ５ｇ
に次々にフラグを立てれば、重要度の低い制御プ
ログラム部分が検出され得、フラツグ情報にもと
づきそれら制御プログラム部分の先頭アドレスが
実アドレス発生回路５ｈで発生されアドレスレジ
スタ５ｉに所定順に格納されるようになつている
ものである。一方、故障に係るコントローラから
の重要度の高い制御プログラム部分は重要度が高
い順にその通信部よりバスライン上に出力され、
直接間接に機能を肩代り実行するコントローラに
通信部を介して入力された後、プログラム再編成
部５のバツフアレジスタ５ａに一時的に格納され
るようになつている。しかしてDMA制御回路５
ｃがアドレスレジスタ５ｉに格納されている先頭
アドレスにもとづき制御プログラム部分をバツフ
アメモリ５ａよりメモリ部にDMA転送するよう
にすれば、それまで重要度が低い制御プログラム
部分が格納されていたメモリエリアには故障に係
るコントローラからの重要度の高い制御プログラ
ム部分が所定順に格納されるものである。

制御プログラム部分のメモリ部への格納の終了
に伴い制御プログラムの再編成も終了するが、こ
の後は再編成に係る制御プログラムをコントロー
ラが実行することになる。この実行において制御
プログラム部分の実行順序は1000番地から15FF
番地に向つて順に実行されるとは限らない。既述
した第２図ｂの例では○印中に表示された数字の
順に制御プログラム部分が実行されるが、そのよ
うな実行順序の制御は以下のようにして行なわれ
る。即ち、CPU部は制御プログラム実行に際し
先ず（11X）をプログラム再編成部５に送るよう
にされる。但し、重要度を示すＸの値はこの場合
如何なる値であつてもよい。（11X）はDMA制御
回路５ｃを介し制御回路５ｂに入力された後、ラ
ベル入力レジスタ５ｄにセツトされ、重要度を無
視した状態でマスクレジスタ５ｅを介し連想メモ
リ５ｆの内容と比較されるものである。制御プロ
グラム実行時には連想メモリ５ｆにおける格納内
容は第４図に示す如くになつており、プログラム
名と実行順序が一致した場合には前述の場合と同
様にして照合用レジスタ５ｇにおけるそのラベル
対応のビツト位置にはフラグが立つようになつて
いるものである。したがつて、フラグが立つたビ
ツト位置ナンバＹより実行されるべき制御プログ
ラム部分の実先頭アドレスは16進表示で以下のよ
うにして求められる。

実先頭アドレス＝＄1000 ＋＄100×（ビツト位置ナンバＹ） 実先頭アドレスは実アドレス発生回路５ｈによ
つて求められるが、これがアドレスレジスタ５
ｉ、制御回路５ｂなどを介しCPU部に送られる
ことによつてCPU部は先ずラベル（110）対応の
制御プログラム部分を実行するものである。この
実行終了後CPU部はラベル（12X）をプログラム
再編成部５に送ることになるが、この場合はフラ
グが立つことはないのでその旨の報告を受けた
CPU部は次にはラベル（13X）を送るようになる
ものである。このように送つたラベルに対してフ
ラグが立つた場合はそのラベル対応の制御プログ
ラム部分を実行し、制御プログラム部分が実行終
了された場合およびフラグが立たなかつた場合に
は実行順序が更新されたラベルをプログラム再編
成部５に送るものである。CPU部がラベル
（16X）を送つた後はラベル（21X），（22X），
（23X），（24X），（25X），（26X）を順次送ること
によつて、既に述べた如くにして制御プログラム
部分は所定順に実行され得るわけである。なお、
連想メモリ５ｆの代りに通常のメモリを使用し、
これにラベルを書き込んでから順次読み出し、照
合ラベルと比較することも可であるが、処理に多
くの時間を要する。

以上本発明を最も基本的な場合について説明し
たが、故障に係るコントローラの機能を肩代り実
行するコントローラが予めそのメモリ部に故障に
係るコントローラの制御プログラムを有している
場合には、切替部を切替制御した後直ちにバツク
アツプし得ることは勿論である。故障に係るコン
トローラをバツクアツプしているコントローラが
更に故障した場合には、正常に動作している他の
コントローラがそのコントローラの制御プログラ
ム部分を入手して制御プログラムを更に再編成す
るところとなるものである。

一般にコントローラ内部に他のコントローラの
制御プログラムを有しさせておく程に分散制御は
効率的に行なわれるが、その反面メモリ容量の増
大は免れ得ない。しかしながら、予め必要最小限
の制御プログラムを各コントローラに有せしめて
おく場合はメモリ容量を徒らに増大させることも
なければ、コントローラの何れかに故障が生じた
としてもプラント全体の機能に特に支障を与える
ことなく必要最小限以上の分散制御が可能となる
ものである。本発明が適用された分散制御システ
ムにおいては全てのコントローラが同時に故障し
ない限り制御機能を失なうことはなく、しかもプ
ラントを停止させることなく故障に係るコントロ
ーラを修復することが可能であるから、例えば原
子力プラントなど高信頼性、高安全性が要求され
るプラントに対しては非常に有効なものとなり、
経済的にも見合つたものとなる。

以上説明したように本発明は、各コントローラ
に自己が本来実行すべき制御プログラムのみを格
納せしめておき、何れかのコントローラが故障す
る度に所定のコントローラが故障に係るコントロ
ーラより重要度の高い制御プログラム部分を受
け、故障に係るコントローラが実行すべき重要度
の高い制御プログラム部分と自己が実行すべき重
要度の高い制御プログラム部分とから制御プログ
ラムを再編成したうえこの再編成された制御プロ
グラムを実行するようにしたものである。したが
つて本発明による場合は、各コントローラにおけ
るメモリ容量を徒らに増大せしめることなく、し
かも何れかのコントローラが故障した場合であつ
ても特に支障をきたすことなくプラントを経済的
に制御し得るという効果がある。

【図面の簡単な説明】

第１図は、本発明に係るプラント分散制御シス
テムの一例でのシステム構成を示す図、第２図
ａ，ｂは、制御プログラムのメモリ部における一
例での格納状態の再編成後のそれの格納状態を示
す図、第３図は、第１図におけるプログラム再編
成部の一部での構成を示す図、第４図は、再編成
された制御プログラムの実行時における連想メモ
リを中心とした動作説明図である。 ２……バスライン、３Ａ〜３Ｃ……CPU部、
５Ａ〜５Ｃ，５……プログラム再編成部、６Ａ〜
６Ｃ，６……（制御プログラム格納用）メモリ
部、８Ａ〜８Ｃ……プロセス入出力部、９Ａ〜９
Ｃ……切替部、１０Ａ〜１０Ｃ……検出器、１１
Ａ〜１１Ｃ……操作器。

Claims (1)

【特許請求の範囲】
1. １ 上位コンピユータによる制御下に外部共通バ
   スラインを介し間接的に互いに接続されてなる複
   数のコントローラがプラントを分散制御するよう
   にしてなるシステムにおいて、各コントローラに
   自己が本来実行すべき制御プログラムのみを予め
   格納せしめておき、何れかのコントローラが故障
   する度に該コントローラに接続収容されていた制
   御対象および検出器を予め定められた所定のコン
   トローラに接続収容せしめる一方、該所定のコン
   トローラは故障に係るコントローラより重要度の
   高い制御プログラム部分を受け、故障に係るコン
   トローラが実行すべき重要度の高い制御プログラ
   ム部分と、自己が実行すべき重要度の高い制御プ
   ログラム部分とから新たな制御プログラムを再編
   成したうえ実行するようにしたことを特徴とする
   プラント分散制御方法。