JP4776374B2

JP4776374B2 - 二重化監視制御システム、及び同システムの冗長化切替え方法

Info

Publication number: JP4776374B2
Application number: JP2005376256A
Authority: JP
Inventors: 潤竹原; 彰澤田; 誠登古; 宏之日下部; 慎哉河野; 裕二梅田
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2005-12-27
Filing date: 2005-12-27
Publication date: 2011-09-21
Anticipated expiration: 2025-12-27
Also published as: US20070147232A1; JP2007180830A; DE102006061063A1; CN100524124C; DE102006061063B4; US7613108B2; CN1991650A

Description

本発明は、二重化監視制御システムにおいて、システムを構成する複数の制御装置と複数のリモート入出力装置との間でデータ伝送するときに、この間の伝送経路を切り替える二重化監視制御システム、及び同システムのその切替え制御方法に関する。

従来のプラント等を制御する監視制御システムの構成図を図１０に示す。この構成においては、制御部１１とリモート入出力部２１とは、例えば、ＩＥＣ６１１５８で定義された計測・制御用機器間の通信に用いられるデジタルネットワークのフィールドバス１１３を使用してカスケード接続し、プラントの監視制御を実行していた。

このネットワークの接続方式では、このフィールドバス１１３の断線やリモート入出力部２１が故障すると、制御部１１とリモート入出力部２１とが分断され、故障箇所より下位のリモート入出力部２１が全てアクセス不能となる問題があった。

また、図１１に示すような制御部１２とリモート入出力部２２をスター状に１対多で接続する方式もあるが、この方式の場合には、故障により分断される問題以外に、制御部１２のインタフェースバス１１４の数がリモート入出力部２２の数だけ必要となり拡張性に乏しい問題がある。

このような問題を解決するために、図１２に示すようなフィールドバス１１５及びループＩＦ部２３ａをリング状に接続してなる監視制御システムがある。この接続方式では、リング上の一箇所の断線であれば全てのリモート入出力部２３に対してアクセスが可能とし、また、ひとつのリモート入出力部２３の故障であれば他のリモート入出力部２３へは影響がなくアクセスが可能として、監視制御を継続可能となるようにしていた。

しかし、この接続方式においても、複数個所でのフィールドバス２３のケーブル断線やリモート入出力部２３の故障が発生すると、故障箇所を挟み制御部１３から遠方の側に置かれるリモート入出力部２３とのアクセスが不能となる。

また、機器故障に対応するための冗長化方式として、従来から図１３に示すような二重化監視制御システムがある。

この方式では、制御部１４Ａ制御部１４Ｂとリモート入出力部２４とで構成される制御系等を二重化し、一方を運用系、他方を待機系として、運用系のリモート入出力部２４に故障が発生した場合に、待機系に切替えることでアクセスが継続できるようにして、制御を継続できるシステムとしていた。

しかし、この二重化監視制御システムでは、リモート入出力部２４の故障がどこか一箇所でも発生すると運用系から待機系への系の切替えが必ず発生し、制御が一次中断してしまうという問題点がある。

また、複数あるリモート入出力部２４のＩＦ部２４ａの片系故障と他のリモート入出力部２４のＩＦ部２４ｂの片系故障であっても、異なる系が故障した場合は、どちらかのリモート入出力部２４がアクセス不能となるという問題点があった。

一方、図１４に示すような監視制御装置１００においては、二重化された伝送路のプロセス入出力装置６１の伝送路１１７、伝送路１１８の切替えをする場合、その故障箇所が複数のコントローラ４１を接続するデータ伝送路の共通部でなくても、系単位で運用系と待機系の伝送路の切替えを行うようにしていた。

例えば、プロセス入出力装置６１のコントローラ４１から伝送路の幹線（共通部）に至るまでの、当該コントローラのみにかかわる伝送路部分ａ、ｂが断線しているような場合であっても、監視制御装置側ではこのような事情を把握することができず、運用系の伝送路１１７、１１８の全体が異常であるとみなしてデータ伝送路を待機系に切替える。

この場合には、他のコントローラ４１にとっては運用系が故障していないにもかかわらず、伝送路１１７の切替えが行われることとなる。また、従来の伝送路の切替え方法では、どちらか一方の系のみを運用系としているため、共通部以外の１つコントローラ４１のみの運用系の伝送路部分と、他のコントローラ４１の待機系の伝送路部分とが同時故障した場合には、少なくとも一方の系のコントローラとの通信が不可能となる。

このため、何れか一方のコントローラ４１からの入力データ抜けが生じるとともに、監視制御装置１００は、このコントローラを故障しているものと扱うことになる。

このような問題点を解決するために、コントローラ４１から二重化された伝送路１１７及び伝送路１１８に至るまでの個々のコントローラ４１のみにかかわる箇所の故障に対し、プロセス入出力装置６１が使用する伝送路の切替えを効率よく行って信頼性の高いシステムを構築可能とした、リモート型プロセス入出力装置のデータ伝送路の切替え方法がある（例えば、特許文献1参照。）。

この方法では、稼動系と待機系の伝送路の切替えを、入出力を制御する制御手段単位でデータ伝送路を切替えるようにしている。

このような手段を設けたことにより、二重化されたデータ伝送路の故障に対し、プロセス入出力装置６１が使用する伝送路の切替えを効率よく行って信頼性の高いシステムを構築するシステムが開示されている。

また、リモートプロセス入出力装置の制御自身を多重化して、マルチタスクのシリアルバスとすることで、プロセス制御システムの信頼性を高める方法が開示されている（例えば、特許文献２参照。）。
特開平１１−１１９８０２号公報特開２０００−２０７３７３号公報

しかしながら、図１３に示したような二重化監視制御システムにおいては、複数のリモート入出力部２４の故障がどこか１つでも発生すると運用系から待機系への系の切替えが必ず発生し、制御が一次中断してしますという問題点がある。

また、複数あるリモート入出力部２４のＩＦ部２４ａの片系故障と他のリモート入出力部２４のＩＦ部２４ｂの片系故障であっても、故障が発生した場合には、二重化監視制御システムとしての制御が不可能となる問題がある。

また、上述した特開平１１−１１９８０２号公報に開示されたプロセス入出力装置による伝送路の切替え方法では、幹線となる伝送路のいずれかの箇所が故障した場合、幹線の伝送路から切り離された入出力装置からの信号は二重化されないし、また、二重化された幹線の伝送路のいずれもが故障した場合には、制御が不可能になる問題がある。

また、特開２０００−２０７３７３号公報に開示された方法では、プロセス入出力装置の信頼性は向上するものの、制御装置とプロセス入出力装置を接続する幹線の伝送路の故障の問題は、考慮されていない。

本発明は上記問題点を解決するためになされたもので、二重化監視制御システムにおいて、リモート入出力装置から制御装置に至る伝送路において、複数箇所で故障が発生した場合でも、リモート入出力装置とのアクセスが不可能になることが少なく、システムの信頼性を向上させた二重化監視制御システム、及びその冗長化切替え方法を提供することを目的とする。

上記目的を達成するために、本発明の二重化監視制御システムは、被制御対象から入力データを収集し、前記入力データに基づいて制御データを出力する一対の制御部と、前記被制御対象から前記入力データを収集して夫々の前記制御部に送信し、制御実行中の運用系の前記制御部からの前記制御データを前記被制御対象に出力する複数のリモート入出力部と、一対の前記制御部と複数の前記リモート入出力部とを円環状に接続する通信ケーブルと、一対の前記制御部の異常状態を相互に監視し、１対の前記制御部に対して制御を運用状態または待機状態とする制御権を設定する一対の二重化制御インタフェース部とから成り、前記一対の制御部、複数の前記リモート入出力部、及び前記通信ケーブルからなるループネットワークにおいて、予め設定される通信手順で双方向に通信を行い、前記被制御対象を制御する二重化監視制御システムであって、夫々の前記制御部は、他方の前記制御部及び前記リモート入出力部と前記入力データ及び前記制御データを双方向で通信し、前記入力データが正常に受信できたか否かを判定する複数の第１のループインタフェース部と、前記第１のループインタフェース部の判定結果に基づいて、複数の前記第１のループインタフェース部の内、正常受信が可能ないずれか１つの前記第１のループインタフェース部を選択する第１の切替え制御部と、前記第１の切替え制御部で選択した前記第１のループインタフェース部から出力された前記入力データを受信し、前記制御データを複数の前記第１のループインタフェース部に分配する第１のデータ分配・選択部と、前記第１のデータ分配・選択部から出力された前記入力データを入力して演算処理し、その結果を前記制御データとして前記第１のデータ分配・選択部へ出力し、複数の夫々の前記リモート入出力部は、一対の前記制御部と前記入力データ及び前記制御データを双方向で通信して、前記制御データが正常に受信できたか否かを判定する複数の第２のループインタフェース部と、前記第２のループインタフェース部の判定結果に基づいて、複数の第２のループインタフェース部の内、正常受信が可能な前記第２のループインタフェース部を選択する第２の切替え制御部と、前記第２の切替え制御部で選択された第２の前記ループインタフェース部からの前記制御データを出力するとともに、前記被制御対象から収集した前記入力データを複数の前記第２のループインタフェース部に分配する第２のデータ分配・選択部と、前記第２のデータ分配・選択部で分配された前記制御データに基づいて前記被制御対象に前記制御データを送信し、前記被制御対象から収集した信号を前記入力データとして前記第２のデータ分配・選択部に送信するＩＯ部とを備え、前記二重化制御インタフェース部は、前記第１の切替え制御部を介して前記ループネットワークの故障箇所を含む接続状態を受信情報として収集し、テーブル化したループ状態判定テーブルを備えるループ状態判定手段と、更に、前記リモート入出力部が故障した場合、前記二重化監視制御システムを運転する上での要否の優先度を、予め設定される前記リモート入出力部毎の優先度判定テーブルを備え、前記制御部の前記自己診断情報及び当該前記優先度判定テーブルを相互に参照して、１対の前記制御部の夫々の前記制御権を設定する制御権設定手段と、を備え、前記第１のループインタフェース部及び前記第２のループインタフェース部において受信異常が検出されたとき、複数の前記第１のループインタフェース部及び複数の前記第２のループインタフェース部の内、正常通信が可能な前記第１のループインタフェース部及び前記第２のループインタフェース部を自動的に選択して、前記ループネットワークの故障に対して、前記リモート入出力部とのアクセスを可能とし、前記ループネットワークの複数箇所の故障に対して、前記制御権の切替えを少なくなるようにして、制御が継続できるようにしたことを特徴とする。

上記目的を達成するために、本発明の二重化監視制御システムは、前記制御権設定手段は、前記ループ状態判定テーブルにおいて、複数の前記ループネットワークの夫々の故障箇所を含む区間が重複しないと判定した場合は、前記制御権を切替えることなく制御運転を継続し、さらに、重複していると判定した場合には、さらに、前記優先度判定テーブルを参照して前記制御部からの通信が不可能な前記リモート入出力部のとのアクセスの「要否」を判定し、「否」の場合には前記制御権を切替えることなく制御運転を継続し、更に、「要」の場合には、他方の前記ループネットワークで通信が可能であるか否かを判定して前記制御権を再設定し、前記ループ状態判定テーブルと前記優先度判定テーブルとを参照して、前記制御権の切替えを少なくなるようにしたことを特徴とする。

上記目的を達成するために、本発明の二重化監視制御システムの冗長化切替え方法は、被制御対象から入力データを収集し、前記入力データに基づいて制御データを出力する一対の制御部と、前記被制御対象から前記入力データを収集して夫々の前記制御部に送信し、制御実行中の運用系の前記制御部からの前記制御データを前記被制御対象に出力する複数のリモート入出力部と、一対の前記制御部と複数の前記リモート入出力部とを円環状に接続する通信ケーブルと、一対の前記制御部の異常状態を相互に監視し、１対の前記制御部に対して制御を運用状態または待機状態とする制御権を設定する一対の二重化制御インタフェース部とから成り、前記一対の制御部、複数の前記リモート入出力部、及び前記通信ケーブルからなるループネットワークにおいて、予め設定される通信手順で双方向に通信を行い、前記被制御対象を制御する二重化監視制御システムの冗長化切替え方法であって、一対の前記制御部の夫々に複数の第１のループインタフェース部と、複数の前記リモート入出力部の夫々に複数の第２のループインタフェース部と、複数の第１のループインタフェース部と複数の第２のループインタフェース部とを接続する前記通信ケーブルとを有し、前記ループネットワークを複数備えて、前記第１のループインタフェース部及び前記第２のループインタフェース部のいずれかを選択可能とし、前記ループネットワークにおける前記入力データ及び前記制御データの受信が、受信側で正常に受信できたか否かの受信情報を検出する受信情報検出ステップと、前記受信情報から、複数の第１のループインタフェース部と、複数の前記リモート入出力部の夫々に複数の第２のループインタフェース部とを選択し、受信可能な第１のループインタフェース部及び第２のループインタフェース部とを選択するループインタフェース部選択ステップと、前記受信情報から前記ループネットワークの故障箇所を含む接続状態を判定するループネットワークのループ状態判定ステップと、前記ループ状態判定ステップに基づいて、一対の前記制御部の制御権を再設定する制御権設定ステップとからなり、前記ループネットワーク判定ステップにおいて、複数の前記ループネットワークにおいて故障箇所を含む区間が重複しないと判定した場合は、前記ループネットワークの前記制御権を切替えることなく制御を継続し、前記ループネットワークの複数箇所で故障が発生し、前記ループネットワークにおいて故障箇所を含む区間が重複したと判定した場合には、一対の前記制御部の前記制御権を再設定するようにしたことを特徴とする。

本発明によれば、一対の制御部の夫々に複数の第１のループインタフェース部と、複数の前記リモート入出力部の夫々に複数の第２のループインタフェー部と、複数の第１のループインタフェース部と複数の第２のループインタフェース部とを円環状に接続する通信ケーブルとを有し、制御部とリモート入出力部とを複数のループネットワークで構成し、このループネットワークでの受信データの異常が検出された場合には、正常な受信が可能な第１のループインタフェース部及び第２のループインタフェース部を自動的に選択するようにしたので、複数のループネットワーク上において、一対の前記制御部からの故障箇所までの区間が重複しない場合は、稼動中の制御部の制御権を切替えすることなく制御の継続が可能な二重化監視制御システムを提供できる。

また、上記目的を達成するために、本発明の二重化監視制御システムは、制御部と複数のリモート入出力部との通信が正常に行われている否かの受信情報を収集して、ループネットワークの接続状態を判定し、このループネットワークの接続状態と予め設定されるリモート入出力部毎の優先度判定テーブルとに基づいて１対の制御部の夫々の制御権を設定するようにしたので、複数のループネットワーク上において一対の前記制御部からの故障箇所までの区間が重複し、一対の制御部の夫々のループネットワークがセグメント化され、夫々のループネットワーク上でリモート入出力部に対するアクセス可能な範囲が異なる場合には、予め設定された優先度テーブルの情報に基づいて制御権の切替えを判定するようにしたので、複数箇所で故障が発生した場合に、制御権の切替えを極力避けて継続運転が可能な二重化監視制御システムを提供できる。

また、ループネットワークにおけるデータの受信が正常に受信できたか否かの受信情報を検出する受信情報検出ステップと、この受信情報から、受信可能な第１のループインタフェースブ及び第２のループインタフェース部とを選択するループインタフェース部選択ステップと、この受信情報から前記ループネットワークの接続状態を判定するループネットワーク判定ステップと、ループネットワーク判定ステップに基づいて、一対の制御部の制御権の切替えを判定する制御権設定ステップとを備えたので、ループネットワーク判定ステップにおいて、複数の前記ループネットワーク上において一対の前記制御部からの故障箇所までの区間が重複しないと判定した場合は、前記ループネットワークの前記制御権を切替えることなく制御を継続し、前記ループネットワーク上の複数箇所で故障が発生し、前記ループネットワーク上において一対の前記制御部からの故障箇所までの区間が重複したと判定し、一対の制御部の夫々のループネットワークがセグメント化され、複数のリモート入出力部に対するアクセスが可能な範囲が異なる場合には、予め設定された優先度テーブルの情報に基づいて、制御権の切替えを極力避けることが可能な二重化監視制御システムの冗長化切替え方法を提供することができる。

以下、図面を参照して、本発明の実施例を説明する。

以下に、本発明による実施例１に係る監視制御システムについて、図１乃至図７を参照して説明する。図１は、例えば、石油、化学などのプラントで使用されるか二重化監視制御システムの構成図である。

この、二重化監視制御システムは、一対の制御部１Ａ、制御部１Ｂ(以後、制御部を総称する場合には制御部１と記載すると、制御部１で制御する被制御対象５―１乃至被制御対象５−ｎ（以後、被制御対象を総称する場合には被制御対象５と記載する）からの計測信号を収集して、制御部１に入力し、制御部１で処理された制御出力を被制御対象５に出力する複数のリモート入出力部２−１乃至リモート入出力部２−ｎ（以後、リモート入出力部を総称する場合は、リモート入出力部２と記載する）と、制御部１とリモート入出力部２との間を接続する通信ケーブルからなる伝送路４ａ及び伝送路４ｂとから成る。

さらに、１対の制御部１の夫々には、夫々の制御部１に対して稼動系または待機系の制御権を予め設定する二重化制御インタフェース部３とから成る。

制御部１とリモート入出力部２、伝送路４ａ、及び伝送路４ｂは、例えば、工場内の計測・制御機器間の通信に使用されるデジタルネットワークの１つであるフィールドバス（ＩＥＥＥ６１１５８規格）を円環状に二重化して接続される。(以後、円環状に接続されたこのネットワークをループネットワークと称す。)。

このフィールドバスの通信アクセスは、このリングトポロジでのマスタースレーブ方式、トークン・パッシング方式、及びＣＳＭＡ／ＣＤ（carrier sense multiple access with collision detection）方式のいずれでも良く、ループネットワークを双方向に通信可能な状態に設定しておく。

また、ループネットワーク上を伝送するデータは、実際の入力データ、制御データの他に送信元と宛先が判別できる識別子を付与するようにしておく。

次に、各部の構成について説明する。図２に示すように、制御部１は、伝送路４ａ及び伝送路４ｂと接続される二組の第１のループインタフェース部１ａ及び第１のループインタフェース部１ｂ（以後、図中では、第１のループＩＦ部と記載する)と、第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂと接続され、ここで受信されるデータが正常に受信できたか否かの受信情報で二組の第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂとを選択する選択信号を生成する第１の切替え制御部１ｃと、第１の切替え制御部１ｃと接続され、ここで選択された第１のループＩＦ部１ａから出力される入力データを取り込み、及び第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂに制御データを出力する第１のデータ分配・選択部１ｄとからなる。

さらに、後述する制御権設定手段３ａと接続され、制御権設定手段３ａで設定された制御権を設定し、第１のデータ分配・選択部１ｄからの入力データに基づいて求めた制御データを第１のデータ分配・選択部へ出力する制御演算部１ｅとから成る。

詳細には、第１のデータ分配・選択部１ｄは、制御演算部１ｅからの同一の制御データを二系統の第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂに出力する。また二系統の第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂからの入力データは、切替え制御部１ｃで選択されたいずれか１系統からの入力データが選択され、制御演算部１ｅへ送られる。

また、第１の切替え制御部１ｃは、第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂと接続され、ループネットワークでの受信状態を判定し、二重化制御インタフェース部３のループ状態判定手段３ｂに送信する。

次に、リモート入出力部２の構成について図３を参照して説明する。リモート入出力部２は、二系統の伝送路４ａ及び伝送路４ｂと双方向で通信可能に接続される第２のループＩＦ部２ａ及び第２のループＩＦ部２ｂと、第２のループＩＦ部１ａ及び第２のループＩＦ部１ｂと接続され、伝送路４ａ及び伝送路４ｂを介して第２のループＩＦ部２ａ及び第２のループＩＦ部２ｂで受信された受信データが正常に受信できたかの受信情報で第２のループＩＦ部２ａまたは第２のループＩＦ部２ｂを選択する選択信号を生成する切替え制御部２ｃとからなる。

さらに、切替え制御部２ｃと接続され、一方を第２のループＩＦ部２ａ、２ｂと、他方を後述する後述するＩＯ部２ｅと接続される第２のデータ分配・選択部２ｄと、被制御対象５と接続され、被制御対象５から検出された入力データを第２のデータ分配・選択部２ｄに送り、第２のデータ分配・選択部２ｄから出力される制御データを被制御対象５に出力するＩＯ部２ｅとからなる。

詳細には、第２のデータ分配・選択部２ｄは、第２の切替え選択部２ｃの選択信号で選択された第２のループＩＦ部２ａまたは、第２のループＩＦ部２ｂからの制御データをＩＯ部２ｅに送り、ＩＯ部２ｅで収集した入力データを二系統の第２のループＩＦ部２ａ及び第２のループＩＦ部２ｂに送る。

次に、再び図１を参照して、二重化制御インタフェース部３の構成について説明する。二重化制御インタフェース部３は、一対の二重化インタフェース３を相互に接続し、対応する一対の制御部１の自己診断による自制御部の故障の有無信号を相互に受信して、制御部１の制御権を切替える制御権設定手段３ａと、制御部１とリモート入出力２との受信状態を、予め設定される所定の診断方法で調べ、その受信状態が正常であるか否かの受信情報を第１の切替え制御部１ｃを介して受信し、ループネットワークの受信状態を判定するループ状態判定手段３ｂとからなる。

待機状態に置かれた制御部１Ｂは、入力データを収集し制御演算を実行するが、その制御データはリモート入出力部２には出力されない。しかし、一対のループ状態判定手段３ｂは、自ループネットワークの夫々のリモート入出力部２が正常に動作していることを、相互に定期的に通信して監視するようにしておく。

ここで、ループネットワークについて図４を参照して説明する。ネットワークループには、破線で示すように伝送路４ａ接続されたループネットワークａと伝送路４ｂで接続されたループネットワークｂの二系統がある。

例えば、ループネットワークａは、運用状態の制御部１Ａの第１のループＩＦ１ａと、待機状態の制御部１Ｂの第１のループＩＦ部１ａと、リモート入出力部２−１乃至リモート入出力部２−ｎの夫々の第２のループＩＦ部２ａとを円環状（ループ状、リング状とも言う）に接続してなる。

同様に、ループネットワークｂは、運用状態の制御部１Ａの第１のループＩＦ部１ｂと、待機状態の制御部１Ｂの第１のループＩＦ部１ｂと、リモート入出力部２−１乃至リモート入出力部２−ｎ夫々の第２のループＩＦ部２ｂとを円ループ状に接続してなる。

制御部１Ａ及び制御部１Ｂとは、ループネットワークａ及びループネットワークｂ上は、必ずしも隣り合うように配置する必要はなく、ループネットワーク上のいずれの任意の位置におかれても良い。

次に、このループネットワークの通信プロトコルの設定について説明する。ネットワークループａ及びネットワークループｂの構成では、受信データが周回する恐れがあるが、制御権を有する制御部１Ａが、マスターノードとなり片側の伝送路４ａ及び伝送路４ｂのどちらか一方をブロックするか、ネットワークループａ及びネットワークループｂ内のどこか一箇所をブロックすることで周回を回避するようにしておく。

また、データは、ループの巡回方向を送信側で２方向から出力し、受信側でどちらか一方を選択しても良いし、送信側でどちらか片側に出力して異常時には逆方向から出力するように構成しても良い。

このループネットワークａ及びループネットワークｂの無限巡回の回避や障害復旧に関しては、本発明の範囲外であるのでその詳細を省略するが、例えば、スパニングツリープロトコルなどが使用できる。

また、フィールドバスは伝送帯域を全てのリモート入出力部が共有しているので、競合が発生する可能性があるが、バスの転送容量を大きくしたり、制御部１Ａがマスターノードとなり、データの転送タイミングを調停することによりネットワークのリソースの公平な配分を持たせるようにしておく。

別な方法として、ＣＳＭＡ／ＣＤ方式やトークン・パッシング（トークン巡回）方式を用いて競合を回避するようにしても良い。

次に、図５を参照して、このネットワークループａ及びネットワークループｂを選択するための第１の切替え制御部１ｃ及び第２の切替え制御部２ｃの選択動作について説明する。

図５において、縦覧は送信元となる制御部１及びリモート入出力部２を示し、横覧は、左から現在選択されているループＩＦ部の受信状態、現在選択されていないもう一方のループＩＦ部の受信状態、及び夫々のループＩＦ部において受信状態が異常となった場合、第１の切替え制御部１ｃ及び第２の切替え制御部２ｃの選択判定の動作を表にしたものである。

例えば、制御部１の欄に示すように、第１の切替え制御部１ｃは、現在選択の第１のループＩＦ部１ａの受信情報が正常で、現在選択されていないもう一つの第１のループＩＦ部１ｂが正常でる場合、現在選択の第１のループＩＦ部１ａの受信情報が正常で、現在選択されていないもう一つの第１のループＩＦ部１ｂが異常である場合、及び現在選択の第１のループＩＦ部１ａの受信情報が異常で、現在選択されていないもう一つの第１のループＩＦ部１ｂも異常である場合は、その選択状態を維持する。

しかし、現在選択の第１のループＩＦ部１ａの受信情報が異常で、現在選択されていないもう一つの第１のループＩＦ部１ｂが正常でる場合、現在選択されていないもう一つの第１のループＩＦ部１ｂに切替える選択信号を出力する。

同様に、例えば、第２の切替え制御部２ｃは、現在選択の第２のループＩＦ部２ａの受信情報が正常で、現在選択されていないもう一つの第２のループＩＦ部２ｂが正常でる場合、現在選択の第２のループＩＦ部２ａの受信情報が正常で、現在選択されていないもう一つの第２のループＩＦ部２ｂが異常である場合、及び現在選択の第２のループＩＦ部２ａの受信情報が異常で、現在選択されていないもう一つの第１のループＩＦ部２ｂも異常である場合は、その選択状態を維持する。

しかし、現在選択の第１のループＩＦ部２ａの受信情報が異常で、現在選択されていないもう一つの第１のループＩＦ部２ｂが正常でる場合、現在選択されていないもう一つの第２のループＩＦ部２ｂに切替える選択信号を出力する。

以上の様に構成された、監視制御システムの動作を図１及び図６を参照して説明する。

例えば、先ず、制御部１に制御権を初期設定する。この初期設定は、二重化制御インタフェース部３の制御権設定手段３ａから１対の制御部１に対し、一方を運用状態に他方を待機状態として、制御部１の電源オン時、起動時及びリセット時において、先に立ち上がった方制御部１Ａを稼動系、他方の制御部１Ｂを待機系として設定する（ｓ１）。

そして、ループ状態判定手段３ｂの出力が正常である場合、ループネットワークａが選択されるようにしておく。

この状態で制御部１Ａから図示しない指令釦を押して、制御運転開始を指令し、稼動系の制御部１Ａによって制御運転処理を開始する。この詳細動作については後述する（ｓ２）。

次に、受信情報検出処理（ｓ３）では、第１のループＩＦ部１ａ、第１のループＩＦ部１ｂ、第２のループＩＦ部２ａ、及び第２のループＩＦ部２ｂで、ループネットワークを介して、逐次、受信情報が正常であるか否かがチェックされる（ｓ３）。

受信状態に異常が検出されるとその受信情報が第１の切替え制御部１ｃを介して,ループ状態判定手段３ｂに送信される（ｓ４）。異常がなければ、制御運転をそのまま継続する。

この受信情報検出処理（ｓ３）は、例えば、制御部１Ａの第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂにおいて、夫々のループネットワークに接続されているリモート入出力部２からの受信データが、正常であるか否かで判定する。この判定は、例えば、周期時間内の着信の有無、受信データの誤りの有無で判定する。

この異常検出処理によって、伝送路４ａ及び伝送路４ｂの通信ケーブルの断線や第１のループＩＦ部１ａ及び第１のループＩＦ部１ｂ、第２のループＩＦ部１ａ及び第２のループＩＦ部１ｂの故障が判定される。

そして、ループ状態判定手段３ｂでは、ループネットワークの後述する受信状態テーブルを作成して、ループの故障箇所と接続状態を判定（ｓ５）し、ネットワークループａ及びループネットワークｂの故障箇所から、一対の前記制御部からの故障箇所までの区間が重複していないかを判定する（ｓ６）。この判定処理の詳細については、後述する。

そして、故障箇所までの区間が重複していると判定された場合には、通信が不可能であるリモート入出力部２が発生したと判定され、予め設定されたリモート入出力部２の優先度判定テーブルに基づいて、制御権の切替えの要否判定（再設定の要否）がされる（ｓ７）。

次に、図６の各処理ステップの詳細について説明する。先ず、制御運転処理（ｓ２）時の入力データ、制御データの処理動作について説明する。

再び図１において、例えば、リモート入出力部２−２のＩＯ部２ｅで被制御対象５から収集した入力データは、データ分配・選択部２ｄから第２のループＩＦ部２ａと第２のループＩＦ部２ｂとに同一情報を出力する。

そして、第２のループＩＦ部２ａと第２のループＩＦ部２ｂとは、二方向の伝送路４ａに向けて同一情報を送信する。

リモート入出力部２−２と隣接している両側のリモート入出力部２−１とリモート入出力部２−３とは、受信したデータを受信した方向と逆方向の伝送路４ａに向けて転送する。以下、同様に、隣接しているリモート入出力部２―ｎは、同様にしてデータを転送する。

そして、待機系の制御部１Ｂにも、同様にデータを転送する。このようにして、リモート入出力部２−２のＩＯ部２ｅで収集した入力データは、制御部１Ａへ送信される。

その他のリモート入出力部２−１からリモート入出力部２−ｎも同様の動作をし、制御部１に入力データを送信する。

制御部１においては、各リモート入出力部２から収集した入力データを制御部１Ａの制御演算部１ｅにおいて演算処理し、その結果を制御データとして各リモート入出力部２へ送るため、制御部１Ａのデータ分配・選択部１ｄで第１のループＩＦ部１ａと第１のループＩＦ部１ｂとに同一の制御データを出力する。

そして、第１のループＩＦ部１ａと第１のループＩＦ部１ｂとは、２方向の伝送路４ａに同一の制御データを出力する。

この制御データをリモート入出力部２の第２のループＩＦ部２ａ、第２のループＩＦ部２ｂは、それぞれ制御データを受信した方向とは逆方向の伝送路４ａ及び伝送路４ｂに向けてデータを転送するとともに、自リモート入出力部２宛のデータを受信した場合は、第２の切替え制御部２ｃへ受信情報を送信し、選択された第２のループＩＦからの受信データが第２のデータ分配・選択部２ｄを介してＩＯ部２ｅへ送信される。

このようにして、稼動中の制御部１Ａによって、被制御対象５の監視制御が実行される。

次に、このループネットワークのいずれかの箇所が伝送路４ａ、伝送路４ｂの通信ケーブルの断線やリモート入出力装置２に故障が発生した場合のループ状態判定処理（ｓ５乃至ｓ６）と制御権の再設定処理（ｓ７）の詳細について、図７図乃至図９で説明する。

先ず、図７は、ループネットワークａにおいて、第２のループＩＦ部２―１の第２のループＩＦ部２ａが故障、また、ループネットワークｂにおいては伝送路４ｂのＰ１及びＰ２の２箇所で断線が発生した場合を示す。

この場合には、リモート入出力部２―２乃至リモート入出力部２−ｎは、破線に示すルートでアクセスが可能であり、モート入出力部２−１へは故障した第２のループＩＦ部２ａに変わって、切替えられた第２のループＩＦ部２ｂを介して破線に示すルートで第１のループＩＦ部１ａからアクセスが可能である。

以上の様な、伝送路４ａ及び伝送路４ｂの通信ケーブルの断線、及び一箇所のリモート入出力部２の第２のループＩＦ部２ａまたは第２のループＩＦ部２ｂの故障では、運用系の制御部１Ａと全てのリモート入出力部２とのアクセスが可能であり制御部１Ａの制御権の切替えなしで制御が実行可能である。

即ち、単一のループネットワーク上の複数箇所での通信ケーブルの断線や複数のリモート入出力部２の第２のループＩＦ部２ａ及び第２のループＩＦ部２ｂの故障では、障害箇所を挟み制御部１Ａから遠方のリモート入出力部２とのアクセスが不能となってしまうが、障害を挟む区間がループネットワークａとループネットワークｂとで重ならない場合は、制御部１Ａと全てのリモート入出力部２とのアクセスが可能であるので、制御部１Ａの制御権の切り替えなしで、制御の継続実行が可能となる。

しかしながら、ループネットワークａ及びループネットワークｂの双方が異常である場合、各種の故障パターンが発生するが、この場合の二重化制御インタフェース３での制御権の設定処理について図８を参照して説明する。

図８（ａ）は、二重化された監視制御システムのループネットワークａにおいて、Ｐ１及びＰ２の２箇所で断線が、また、ループネットワークｂのＰ３、Ｐ４の２箇所で断線が、発生した状態を示す。

図８（ｂ）は、この時の制御部１Ａの第１の切替え制御部１ｃで受信した受信情報をループ状態判定手段３ｂで受信して作成したループ状態判定テーブルの例である。同じく、図８（ｃ）は、この時の制御部１Ｂの第１の切替え制御部１ｃで受信した受信情報をループ状態判定手段３ｂで受信して作成したループ状態判定テーブルの例である。

このループ状態判定テーブルの作成は、例えば、リモート入出力部２から予め設定される定周期でキープアライブメッセージを送信し、第１の切替え制御部１ｃで一定の時間以上着信がない場合に異常として判定する。

この他には、実際の入力データ及び制御データの送信データを使用して、制御運転中に、逐次作成するようにすることも可能である。

例えば、制御部１Ａにおいては、送信元がリモート入出力部２の場合、ループネットワークａではＰ１、Ｐ２の２箇所に挟まれた故障であるので、時計方向Ｆの送信信号も反時計方向Ｒの送信信号のいずれも所定の時間内で受信できない（図中に×印で記載）が、ループネットワークｂにおいては、いずれの方向からも正常受信できる（図中に○印を記載）。

この送信元ノード毎の正常受信情報を、送信方向とも対応付けてテーブル化することで、故障箇所を判定する。例えば、ループネットワークａのリモート入出力部２−１の受信状態は正常で、リモート入出力部２−２の受信状態は異常であり、且つ、リモート入出力部２−ｎは正常受信できているので、このループネットワークａは、リモート入出力部２−１から反時計方向にモート入出力部２−リモート入出力部２−ｎ−１までがアクセスできない異常区間と判断され、Ｐ１及びＰ２の２箇所で断線があることが予測できる。

また、制御権の切り替えの要否は、例えば、予め制御権設定手段３ａに記憶されるリモート入出力部２の優先度判定テーブルを参照して、このテーブルに有るリモート入出力部２が通信可能な状態となっている方の制御部１に制御権を切替える。

例えば、リモート入出力部２−２が優先度判定テーブルに記載されている場合、図８（ａ）は通信可能であるので、制御権は切替えない。

しかし、リモート入出力部２−３が優先度テーブルに予め設定されている場合には、制御部１Ａは制御部１Ｂに制御権設定手段３ａを介して制御権の切替えを通知する。この優先度テーブル以外に、制御権切替えの判定条件、例えばリモート入出力部２の通信可能な数が逆転する場合に制御権を切替えるなどの判定ロジックを設けるようにしても良い。

このようにして、故障パターンを判定して、制御権の切替えを極力避けた監視制御システムの運転が可能となる。

このような構成においても、制御権を切替えることが必要な故障パターンもいくつかは存在する。例えば、同一のリモート入出力部２の第２のループＩＦ部２ａと第２のループＩＦ部２ｂとが同時に故障した場合は、このリモート入出力部２とのアクセスは不能である。

また、図９に示すように、制御部１Ａと制御１Ｂにおけるアクセス範囲が異なる、即ち、制御部１Ａからはリモート入出力部２ｎのみへアクセスが可能であるが、制御部１Ｂからは全てのリモート入出力部２へのアクセスが可能な故障パターンが発生する場合がある。

この故障パターンの場合においては、全てのリモート入出力部２へのアクセスが可能な制御部１Ｂを待機状態から運用状態に切替えることになる。

二重化制御インタフェース３の運用系の制御権設定手段３ａでは、相手系（待機系）の制御部１Ｂの制御権設定手段３ａに状態を問い合わせ、制御部１Ｂ自体が故障している場合は待機系故障と判断し、制御部１Ａが運用系として単独運転を行う。

このような構成で制御権の切替えを判定することで、従来の二重化監視制御システムにおいては、運用系の制御部が故障し、待機系の制御部への切替えを行う場合、制御の継続性を保つため運用系で収集した入力データから演算処理したデータを、二重化制御インタフェースを介して運用系から待機系へ常時転送するようにしていた。

しかしながら、本発明によれば、わざわざ二重化制御インタフェースを介してデータの授受を行わずとも常に入力データは運用系と待機系で同一の入力データの情報を共有することができるので、二重化制御インタフェース部において膨大な量のデータ伝送を行わずに済む効果がある。さらに、二重化制御インタフェース部を介する遅延がなくなるので高速な切替え動作が可能となる効果もある。

本発明は、上述した実施例に何ら限定されるものではなく、ループネットワークやその伝送路は、無線通信路で構成すること、また、本説明では、ループネットワークを二重構成として説明したが、三重、四重構成のループネットワークとしてもよい。

さらに、送信側の第２のデータ分配・選択部２ｄにおいて、送信する入力データにシーケンス番号を付与し、受信側の第１ループＩＦ部１ａ及び第１ループＩＦ部１ｂでの正常受信情報の判定において、受信したシーケンス番号を比較して、一定時間内にこのシーケンス番号が更新されないときネットワークループが異常と判断する。そして、両方のネットワークループが正常の場合は最新のシーケンス番号の側を選択するようにして、送信されるデータの信頼性を上げるたりしてもよく、本主旨を逸脱しない範囲で、種々変形して実施することが可能である。

本発明の監視制御システムの構成図。本発明の制御部の構成図。本発明のリモート入出力部の構成図。本発明の監視制御システムのループネットワークを説明する図。本発明の第１の切替え制御部及び第２の切替え制御部のループインタフェース部の選択動作を説明する表。本発明の監視制御システムの制御動作のフロー図。ループネットワークの複数箇所で故障が発生した場合の監視制御システムの動作を説明する図。ループネットワークの複数箇所で故障が発生した場合の監視制御システムの動作を説明する図。ループネットワークにアクセス不可能な箇所が発生した場合の制御動作を説明する図。従来のフィールドバスによる監視制御システムの構成図。従来の並列接続による監視制御システムの構成図。従来のリング状接続による監視制御システム従来の二重化監視制御システムの構成図。従来のリモート入出力装置の伝送路の切り替えの構成図。

符号の説明

１制御部
１Ａ稼動系の制御部
１Ｂ待機系の制御部
１ａ、１ｂ第１のループＩＦ（インタフェース）部
１ｃ切替え制御部
１ｄデータ分配・選択部
１ｅ制御演算部
２、２_１、〜２ｎリモート入出力部
２ａ、２ｂ第２のループ（インタフェース）部
２ｃ切替え制御部
２ｄデータ分配・選択部
２ｅＩＯ部
３二重化制御インタフェース部
３ａ制御権設定手段
３ｂループ状態判定手段
４ａ、４ｂ伝送路
５被制御対象
１０監視制御システム
１１、１２、１３、１４制御部
１１ａ、１２ａ、１４ａＩＦ部
１３ａループＩＦ部
２１、２２、２３、２４リモート入出力部
２１ａ、２２ａ、２４ａＩＦ部
２３ａループＩＦ部
４１コントローラ
５１Ｉ／Ｏ
６１ＰＩＯ
８１伝送路切替え部
９１ヘルスチェック受信部
１００監視制御装置
１０１ａ状態テーブル
１１７，１１８伝送路

Claims

被制御対象から入力データを収集し、前記入力データに基づいて制御データを出力する一対の制御部と、前記被制御対象から前記入力データを収集して夫々の前記制御部に送信し、制御実行中の運用系の前記制御部からの前記制御データを前記被制御対象に出力する複数のリモート入出力部と、一対の前記制御部と複数の前記リモート入出力部とを円環状に接続する通信ケーブルと、一対の前記制御部の異常状態を相互に監視し、１対の前記制御部に対して制御を運用状態または待機状態とする制御権を設定する一対の二重化制御インタフェース部とから成り、前記一対の制御部、複数の前記リモート入出力部、及び前記通信ケーブルからなるループネットワークにおいて、予め設定される通信手順で双方向に通信を行い、前記被制御対象を制御する二重化監視制御システムであって、
夫々の前記制御部は、他方の前記制御部及び前記リモート入出力部と前記入力データ及び前記制御データを双方向で通信し、前記入力データが正常に受信できたか否かを判定する複数の第１のループインタフェース部と、前記第１のループインタフェース部の判定結果に基づいて、複数の前記第１のループインタフェース部の内、正常受信が可能ないずれか１つの前記第１のループインタフェース部を選択する第１の切替え制御部と、前記第１の切替え制御部で選択した前記第１のループインタフェース部から出力された前記入力データを受信し、前記制御データを複数の前記第１のループインタフェース部に分配する第１のデータ分配・選択部と、前記第１のデータ分配・選択部から出力された前記入力データを入力して演算処理し、その結果を前記制御データとして前記第１のデータ分配・選択部へ出力し、
複数の夫々の前記リモート入出力部は、一対の前記制御部と前記入力データ及び前記制御データを双方向で通信して、前記制御データが正常に受信できたか否かを判定する複数の第２のループインタフェース部と、前記第２のループインタフェース部の判定結果に基づいて、複数の第２のループインタフェース部の内、正常受信が可能な前記第２のループインタフェース部を選択する第２の切替え制御部と、前記第２の切替え制御部で選択された第２の前記ループインタフェース部からの前記制御データを出力するとともに、前記被制御対象から収集した前記入力データを複数の前記第２のループインタフェース部に分配する第２のデータ分配・選択部と、前記第２のデータ分配・選択部で分配された前記制御データに基づいて前記被制御対象に前記制御データを送信し、前記被制御対象から収集した信号を前記入力データとして前記第２のデータ分配・選択部に送信するＩＯ部とを備え、
前記二重化制御インタフェース部は、前記第１の切替え制御部を介して前記ループネットワークの故障箇所を含む接続状態を受信情報として収集し、テーブル化したループ状態判定テーブルを備えるループ状態判定手段と、更に、前記リモート入出力部が故障した場合、前記二重化監視制御システムを運転する上での要否の優先度を、予め設定される前記リモート入出力部毎の優先度判定テーブルを備え、前記制御部の前記自己診断情報及び当該前記優先度判定テーブルを相互に参照して、１対の前記制御部の夫々の前記制御権を設定する制御権設定手段と、
を備え、
前記第１のループインタフェース部及び前記第２のループインタフェース部において受信異常が検出されたとき、複数の前記第１のループインタフェース部及び複数の前記第２のループインタフェース部の内、正常通信が可能な前記第１のループインタフェース部及び前記第２のループインタフェース部を自動的に選択して、前記ループネットワークの故障に対して、前記リモート入出力部とのアクセスを可能とし、
前記ループネットワークの複数箇所の故障に対して、前記制御権の切替えを少なくなるようにして、制御が継続できるようにしたことを特徴とする二重化監視制御システム。
前記制御権設定手段は、前記ループ状態判定テーブルにおいて、複数の前記ループネットワークの夫々の故障箇所を含む区間が重複しないと判定した場合は、前記制御権を切替えることなく制御運転を継続し、
さらに、重複していると判定した場合には、さらに、前記優先度判定テーブルを参照して前記制御部からの通信が不可能な前記リモート入出力部のとのアクセスの「要否」を判定し、
「否」の場合には前記制御権を切替えることなく制御運転を継続し、
更に、「要」の場合には、他方の前記ループネットワークで通信が可能であるか否かを判定して前記制御権を再設定し、
前記ループ状態判定テーブルと前記優先度判定テーブルとを参照して、前記制御権の切替えを少なくなるようにしたことを特徴とする請求項１に記載の二重化監視制御システム。
被制御対象から入力データを収集し、前記入力データに基づいて制御データを出力する一対の制御部と、前記被制御対象から前記入力データを収集して夫々の前記制御部に送信し、制御実行中の運用系の前記制御部からの前記制御データを前記被制御対象に出力する複数のリモート入出力部と、一対の前記制御部と複数の前記リモート入出力部とを円環状に接続する通信ケーブルと、一対の前記制御部の異常状態を相互に監視し、１対の前記制御部に対して制御を運用状態または待機状態とする制御権を設定する一対の二重化制御インタフェース部とから成り、前記一対の制御部、複数の前記リモート入出力部、及び前記通信ケーブルからなるループネットワークにおいて、予め設定される通信手順で双方向に通信を行い、前記被制御対象を制御する二重化監視制御システムの冗長化切替え方法であって、
一対の前記制御部の夫々に複数の第１のループインタフェース部と、複数の前記リモート入出力部の夫々に複数の第２のループインタフェース部と、複数の第１のループインタフェース部と複数の第２のループインタフェース部とを接続する前記通信ケーブルとを有し、前記ループネットワークを複数備えて、前記第１のループインタフェース部及び前記第２のループインタフェース部のいずれかを選択可能とし、
前記ループネットワークにおける前記入力データ及び前記制御データの受信が、受信側で正常に受信できたか否かの受信情報を検出する受信情報検出ステップと、
前記受信情報から、複数の第１のループインタフェース部と、複数の前記リモート入出力部の夫々に複数の第２のループインタフェース部とを選択し、受信可能な第１のループインタフェース部及び第２のループインタフェース部とを選択するループインタフェース部選択ステップと、
前記受信情報から前記ループネットワークの故障箇所を含む接続状態を判定するループネットワークのループ状態判定ステップと、
前記ループ状態判定ステップに基づいて、一対の前記制御部の制御権を再設定する制御権設定ステップとからなり、
前記ループネットワーク判定ステップにおいて、複数の前記ループネットワークにおいて故障箇所を含む区間が重複しないと判定した場合は、前記ループネットワークの前記制御権を切替えることなく制御を継続し、前記ループネットワークの複数箇所で故障が発生し、前記ループネットワークにおいて故障箇所を含む区間が重複したと判定した場合には、一対の前記制御部の前記制御権を再設定するようにしたことを特徴とする二重化監視制御システムの冗長化切替え方法。