二重化制御装置およびその自系動作抑止方法
【課題】制御装置の障害発生時に、メイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止する技術を提供する。
【解決手段】二重化制御装置において、主系制御装置１と、従系制御装置２と、主系制御装置１と従系制御装置２とを接続する通信回線３とを有し、互いの動作状況を把握するために通信回線３を使用して主系制御装置１と従系制御装置２との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置であって、主系制御装置１と従系制御装置２とのそれぞれは、通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源と、障害が発生した場合に、メイン電源により動作する回路とサブ電源により動作する回路との動作を停止する自系動作抑止部１３，２３とを有する。
【解決手段】二重化制御装置において、主系制御装置１と、従系制御装置２と、主系制御装置１と従系制御装置２とを接続する通信回線３とを有し、互いの動作状況を把握するために通信回線３を使用して主系制御装置１と従系制御装置２との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置であって、主系制御装置１と従系制御装置２とのそれぞれは、通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源と、障害が発生した場合に、メイン電源により動作する回路とサブ電源により動作する回路との動作を停止する自系動作抑止部１３，２３とを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主系制御装置と従系制御装置とを備えた二重化制御装置に関し、特に、この二重化制御装置における自系動作抑止方法に適用して有効な技術に関するものである。
【背景技術】
【０００２】
一般に、主系制御装置と従系制御装置とからなる二重化制御装置では、通常時に主系制御装置を動作させ、主系制御装置の障害発生時には主系制御装置の動作を停止させ、従系制御装置に切替えることによりシステムの信頼性（耐故障性）を向上させている。また、両制御装置の切替えは、主系制御装置と従系制御装置との間で相互監視を行い、最短かつ安定に行うことにしている。このような二重化制御装置については、例えば、特許文献１や特許文献２に記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−２１３４１２号公報
【特許文献２】特許第４４７４６１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、前述したような特許文献１や特許文献２などを含む従来技術では、主系制御装置に障害が発生した場合、主系制御装置の動作を停止するために、主系制御装置内部のメインリセット信号を制御していたが、メインリセット信号では制御回路部においてサブ電源により動作する機能の動作を止めることが出来ない。そのため、制御装置の障害発生時に動作を停止しようとしても、サブ電源で動作する機能が働き続けるため、制御装置の動作を完全に停止することができず、二重化制御装置の動作に障害が発生する可能性があった。
【０００５】
そこで、本発明は、このような従来技術の課題を解決するためになされたものであり、その代表的な目的は、制御装置の障害発生時に、メイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止する技術を提供することである。
【０００６】
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【０００７】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。
【０００８】
すなわち、代表的なものの概要は、主系制御装置と、従系制御装置と、前記主系制御装置と前記従系制御装置とを接続する通信回線とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置に適用される。そして、前記主系制御装置と前記従系制御装置とのそれぞれは、通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源と、障害が発生した場合に、前記メイン電源により動作する回路と前記サブ電源により動作する回路との動作を停止する自系動作抑止部とを有することを特徴とする。
【０００９】
さらに好適には、前記主系制御装置と前記従系制御装置とのそれぞれは、前記メイン電源と前記サブ電源とで動作する制御回路部と、前記メイン電源と前記サブ電源とで動作するインタフェース部とを有する。さらに、前記自系動作抑止部は、前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部を有する。そして、前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする。
【００１０】
また、前記二重化制御装置の自系動作抑止方法にも、適用されるものである。
【発明の効果】
【００１１】
本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
【００１２】
すなわち、代表的なものによって得られる効果は、制御装置の障害発生時に、メイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止する技術を提供することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施の形態に係る二重化制御装置のシステム構成の一例を示す図である。
【図２】図１に示した二重化制御装置において、制御装置の構成の一例を示す図である。
【図３】図２に示した制御装置において、メイン電源およびサブ電源による動作の一例を示す図である。
【図４】図１に示した二重化制御装置の動作の一例を示す図である。
【発明を実施するための形態】
【００１４】
以下の実施の形態においては、便宜上その必要があるときは、複数の実施の形態またはセクションに分割して説明するが、特に明示した場合を除き、それらは互いに無関係なものではなく、一方は他方の一部または全部の変形例、詳細、補足説明等の関係にある。また、以下の実施の形態において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でも良い。
【００１５】
さらに、以下の実施の形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数値および範囲についても同様である。
【００１６】
［本発明の実施の形態の概要］
本発明の実施の形態に係る二重化制御装置（一例として、（）内に対応する構成要素、符号などを付記）は、主系制御装置（１（４））と、従系制御装置（２（４））と、前記主系制御装置と前記従系制御装置とを接続する通信回線（３）とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置に適用される。そして、前記主系制御装置と前記従系制御装置とのそれぞれは、通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源と、障害が発生した場合に、前記メイン電源により動作する回路と前記サブ電源により動作する回路との動作を停止する自系動作抑止部（１３，２３（４３））とを有することを特徴とする。
【００１７】
さらに好適には、前記主系制御装置と前記従系制御装置とのそれぞれは、前記メイン電源と前記サブ電源とで動作する制御回路部（１１，２１（４１））と、前記メイン電源と前記サブ電源とで動作するインタフェース部（１２，２２（４２））とを有する。さらに、前記自系動作抑止部は、前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部（制御回路部・電源確認信号制御部４３２，インタフェース部・電源確認信号制御部４３３）を有する。そして、前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする。
【００１８】
また、前記二重化制御装置の自系動作抑止方法にも、適用されるものである。
【００１９】
上述した本発明の実施の形態の概要に基づいた本発明の一実施の形態を、以下において図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。
【００２０】
［本発明の一実施の形態］
本発明の一実施の形態に係る二重化制御装置について、図１〜図４を用いて説明する。本実施の形態においては、主系制御装置に障害が発生した場合に、自系動作抑止部を用いて主系制御装置のメイン電源およびサブ電源で動作する機能を停止させ、従系制御装置に切替える例を主に説明するが、従系制御装置に障害が発生した場合にも同様に適用可能であることは言うまでもない。
【００２１】
＜二重化制御装置のシステム構成＞
図１を用いて、本実施の形態に係る二重化制御装置のシステム構成について説明する。図１は、この二重化制御装置のシステム構成の一例を示す図である。なお、図１において、（）内に付した符号は、詳細を後述する図２に対応する符号である。
【００２２】
図１に示すように、本実施の形態に係る二重化制御装置は、制御回路部１１（４１）とインタフェース部１２（４２）と自系動作抑止部１３（４３）とを有した主系制御装置１（４）と、制御回路部２１（４１）とインタフェース部２２（４２）と自系動作抑止部２３（４３）とを有した従系制御装置２（４）と、主系制御装置１と従系制御装置２とを接続する通信回線３とを備えて構成される。
【００２３】
この二重化制御装置においては、通常時に主系制御装置１を動作させ、主系制御装置１の障害発生時には主系制御装置１の動作を停止させ、従系制御装置２に切替えることによりシステムの信頼性（耐故障性）を向上させている。また、主系制御装置１と従系制御装置２との切替えは、主系制御装置１と従系制御装置２との間で相互監視を行い、最短かつ安定に行うことにしている。
【００２４】
特に、本実施の形態に係る二重化制御装置においては、主系制御装置１と従系制御装置２とが通信回線３を用いて相互の状態を監視し、主系制御装置１に障害が発生した場合に、自系動作抑止部１３によって主系制御装置１の動作を停止する構成において、自系動作抑止部１３は次のようにして自系の動作を停止させる。
【００２５】
すなわち、自系動作抑止部１３は、制御回路部１１およびインタフェース部１２に入力されるメイン電源の電源が正しく入力されているかどうかを伝えるメイン電源確認信号とサブ電源の電源が正しく入力されているかどうかを伝えるサブ電源確認信号の状態を変化させる電源確認信号制御部を有する。そして、主系制御装置１に障害が発生した場合、自系動作抑止部１３は、メイン電源確認信号およびサブ電源確認信号の状態を変化させ、制御回路部１１およびインタフェース部１２にメイン電源およびサブ電源が正しく入力されていないと認識させることにより、制御回路部１１およびインタフェース部１２の動作を停止させる。
【００２６】
このように、主系制御装置１の障害発生時に、自系動作抑止部１３にて自系の動作を停止するため、この自系動作抑止部１３にて、自系のメイン電源確認信号およびサブ電源確認信号を電源確認信号制御部で制御することにより、制御回路部１１およびインタフェース部１２の動作を停止させることができる。
【００２７】
なお、主系制御装置１の障害発生時に限らず、例えば従系制御装置２の障害発生時にも同様に、自系動作抑止部２３にて自系の動作を停止するため、この自系動作抑止部２３にて、自系のメイン電源確認信号およびサブ電源確認信号を電源確認信号制御部で制御することにより、制御回路部２１およびインタフェース部２２の動作を停止させることができる。
【００２８】
＜制御装置の構成＞
図２を用いて、図１に示した二重化制御装置において、制御装置の構成について説明する。図２は、この制御装置の構成の一例を示す図である。
【００２９】
図２に示すように、図１に示した主系制御装置１、従系制御装置２のそれぞれの制御装置４は、制御回路部４１、インタフェース部４２および自系動作抑止部４３で構成されている。
【００３０】
制御回路部４１は、主系制御装置１、従系制御装置２のそれぞれの制御を司る回路部であり、制御部４１１、メイン電源生成部４１２、メイン電源確認部４１３、サブ電源生成部４１４およびサブ電源確認部４１５を含んで構成される。
【００３１】
制御部４１１は、制御回路部４１を制御するための機能部である。この制御部４１１は、メイン電源生成部４１２、メイン電源確認部４１３、サブ電源生成部４１４およびサブ電源確認部４１５に接続され、この制御部４１１によりこれらの各部の制御が行われる。この制御部４１１は、さらに、インタフェース部４２の制御部４２１、自系動作抑止部４３の制御部４３１にも接続され、相互に制御信号などのやり取りが可能となっている。
【００３２】
メイン電源生成部４１２は、メイン電源を生成するための機能部である。このメイン電源生成部４１２は、制御部４１１に接続され、このメイン電源生成部４１２により生成されたメイン電源が制御部４１１に給電されている。
【００３３】
メイン電源確認部４１３は、メイン電源を確認するための機能部である。このメイン電源確認部４１３は、メイン電源生成部４１２および制御部４１１に接続され、このメイン電源確認部４１３により制御部４１１に正常にメイン電源が給電されているかが確認され、メイン電源の状態が制御部４１１へメイン電源確認信号として出力されている。
【００３４】
サブ電源生成部４１４は、サブ電源を生成するための機能部である。このサブ電源生成部４１４は、制御部４１１に接続され、このサブ電源生成部４１４により生成されたサブ電源が制御部４１１に給電されている。
【００３５】
サブ電源確認部４１５は、サブ電源を確認するための機能部である。このサブ電源確認部４１５は、サブ電源生成部４１４および制御部４１１に接続され、このサブ電源確認部４１５により制御部４１１に正常にサブ電源が給電されているかが確認され、サブ電源の状態が制御部４１１へサブ電源確認信号として出力されている。
【００３６】
インタフェース部４２は、主系制御装置１と従系制御装置２との間のインタフェースを司る回路部であり、制御回路部４１と同様に、制御部４２１、メイン電源生成部４２２、メイン電源確認部４２３、サブ電源生成部４２４およびサブ電源確認部４２５を含んで構成される。
【００３７】
このインタフェース部４２の各部の機能および接続などは、制御回路部４１と同様であり、メイン電源生成部４２２およびサブ電源生成部４２４により生成されたメイン電源およびサブ電源が制御部４２１に給電され、また、メイン電源確認部４２３およびサブ電源確認部４２５により制御部４２１に正常にメイン電源およびサブ電源が給電されているかが確認され、メイン電源およびサブ電源の状態が制御部４２１へメイン電源確認信号およびサブ電源確認信号として出力されている。
【００３８】
さらに、インタフェース部４２には、送受信部４２６が含まれている。この送受信部４２６は、通信回線３を通じて接続される主系制御装置１と従系制御装置２との間で相互に送受信を行うための機能部である。
【００３９】
自系動作抑止部４３は、制御部４３１、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３を含んで構成される。
【００４０】
制御部４３１は、自系動作抑止部４３を制御するための機能部である。この制御部４３１は、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３に接続され、この制御部４３１によりこれらの各部の制御が行われる。この制御部４３１は、さらに、制御回路部４１の制御部４１１およびインタフェース部４２の制御部４２１にも接続され、相互に制御信号などのやり取りが可能となっている。
【００４１】
制御回路部・電源確認信号制御部４３２は、制御回路部４１のメイン電源確認信号およびサブ電源確認信号を制御するための機能部である。この制御回路部・電源確認信号制御部４３２は、制御回路部４１のメイン電源確認部４１３およびサブ電源確認部４１５の出力に接続され、制御部４１１へ出力されるメイン電源確認信号およびサブ電源確認信号が、正常時には正常な状態を示す信号で出力され、一方、異常発生時には異常な状態を示す信号に変化して出力される。
【００４２】
インタフェース部・電源確認信号制御部４３３は、インタフェース部４２のメイン電源確認信号およびサブ電源確認信号を制御するための機能部である。このインタフェース部・電源確認信号制御部４３３は、インタフェース部４２のメイン電源確認部４２３およびサブ電源確認部４２５の出力に接続され、制御部４２１へ出力されるメイン電源確認信号およびサブ電源確認信号が、正常時には正常な状態を示す信号で出力され、一方、異常発生時には異常な状態を示す信号に変化して出力される。
【００４３】
＜メイン電源およびサブ電源による動作＞
図３を用いて、図２に示した制御装置において、メイン電源およびサブ電源による動作について説明する。図３は、このメイン電源およびサブ電源による動作の一例を示す図である。
【００４４】
図３に示すように、制御装置４の動作には、例えば、制御装置を起動する際の起動動作、起動後の通常な制御を行うための通常動作、制御装置を停止する際の停止動作、制御装置をスタンバイ状態にするためのスタンバイ動作などがある。
【００４５】
これらの動作のうち、起動動作、停止動作およびスタンバイ動作は、サブ電源の給電による動作である。図３の例では、サブ電源として５Ｖの電圧が印加されることで、このサブ電源の給電による回路が動作する。一方、通常動作は、メイン電源の給電による動作である。図３の例では、メイン電源として５Ｖの電圧が印加されることで、このメイン電源の給電による回路が動作する。
【００４６】
このように、制御装置４の制御回路部４１およびインタフェース部４２には、サブ電源により動作する回路と、メイン電源により動作する回路とがあり、制御装置４の障害発生時には、メイン電源にて動作する回路だけでなく、サブ電源で動作する回路も停止することが必要であり、本実施の形態においては、前述した図１および図２に示したような構成、および後述する図４に示すような動作により、これを実現している。
【００４７】
＜二重化制御装置の動作＞
図４を用いて、図１に示した二重化制御装置の動作について説明する。図４は、この二重化制御装置の動作の一例を示す図である。
【００４８】
二重化制御装置のシステムでは、主系制御装置１と従系制御装置２とのそれぞれの制御装置４はインタフェース部４２の送受信部４２６に接続されている通信回線３により通信を行っている。
【００４９】
主系制御装置１が正常に動作している場合は、主系制御装置１は、制御回路部４１からの命令によって、インタフェース部４２が送受信部４２６を用いて、従系制御装置２へ自系の生存確認信号を送信し続ける（ステップＳ１）。
【００５０】
もし、主系制御装置１に障害が発生すると（ステップＳ２）、主系制御装置１のインタフェース部４２内の送受信部４２６からの生存確認信号の送信が途絶え、従系制御装置２は障害が発生したことを確認する（ステップＳ３）。そして、従系制御装置２は、障害が発生した主系制御装置１に動作停止要求信号を送信する（ステップＳ４）。
【００５１】
さらに、主系制御装置１において、動作停止要求信号はインタフェース部４２内の送受信部４２６が受信し、制御部４２１より制御回路部４１および自系動作抑止部４３へ信号を伝える（ステップＳ５）。
【００５２】
さらに、主系制御装置１において、自系動作抑止部４３は動作停止要求信号を受信すると、制御部４３１から制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３へ動作停止命令を出す（ステップＳ６）。
【００５３】
さらに、主系制御装置１において、動作停止命令を受けた制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３は、それぞれ接続されているメイン電源確認部４１３，４２３のメイン電源確認信号およびサブ電源確認部４１５，４２５のサブ電源確認信号を電源給電が異常な状態を示す状態に変化させる（ステップＳ７）。
【００５４】
さらに、主系制御装置１において、メイン電源確認部４１３，４２３のメイン電源確認信号およびサブ電源確認部４１５，４２５のサブ電源確認信号が変化すると、制御回路部４１およびインタフェース部４２の制御部４１１，４２１は、電源が正常に給電されておらず、動作を継続できないと判断し、動作を停止する（ステップＳ８）。
【００５５】
そして、制御回路部４１およびインタフェース部４２の制御部４１１，４２１が動作を停止した後も、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３は、それぞれ接続されているメイン電源確認部４１３，４２３のメイン電源確認信号およびサブ電源確認部４１５，４２５のサブ電源確認信号を電源給電が異常な状態を示す状態に変化させ続けることで、主系制御装置１の動作を停止させ続ける（ステップＳ９）。
【００５６】
このように、主系制御装置１の障害発生時に、制御回路部４１およびインタフェース部４２の制御部４１１，４２１は主系制御装置１の動作を停止させることができ、その後も続く場合には主系制御装置１の動作を停止させ続けることができる。
【００５７】
なお、従系制御装置２の障害発生時にも同様に、制御回路部４１およびインタフェース部４２の制御部４１１，４２１は従系制御装置２の動作を停止させることができ、その後も続く場合には従系制御装置２の動作を停止させ続けることができる。
【００５８】
＜本実施の形態の効果＞
以上説明したように、本実施の形態に係る二重化制御装置によれば、主系制御装置１と従系制御装置２とのそれぞれの制御装置４は、自系動作抑止部１３，２３を有することで、障害が発生した場合に、自系動作抑止部１３，２３は、メイン電源により動作する回路とサブ電源により動作する回路との動作を停止することができる。
【００５９】
さらに好適には、主系制御装置１と従系制御装置２とのそれぞれの制御装置４は、制御回路部１１，２１とインタフェース部１２，２２とを有し、さらに、自系動作抑止部１３，２３は、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３を有することで、主系制御装置１（従系制御装置２）に障害が発生した場合に、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３は、メイン電源確認信号およびサブ電源確認信号の状態を変化させ、制御回路部１１（制御回路部２１）およびインタフェース部１２（インタフェース部２２）にメイン電源およびサブ電源が正しく入力されていないと認識させることにより、制御回路部１１（制御回路部２１）およびインタフェース部１２（インタフェース部２２）の動作を停止させることができる。
【００６０】
より具体的には、制御回路部・電源確認信号制御部４３２が、制御回路部１１（制御回路部２１）のメイン電源確認信号およびサブ電源確認信号を異常な状態を示す信号に変化させて、制御回路部１１（制御回路部２１）の動作を停止させることができ、インタフェース部・電源確認信号制御部４３３が、インタフェース部１２（インタフェース部２２）のメイン電源確認信号およびサブ電源確認信号を異常な状態を示す信号に変化させて、インタフェース部１２（インタフェース部２２）の動作を停止させることができる。
【００６１】
このように、主系制御装置１と従系制御装置２とを有する二重化制御装置において、主系制御装置１（従系制御装置２）に障害が発生した場合においても、自系動作抑止部１３（自系動作抑止部２３）を用いて、主系制御装置１（従系制御装置２）のメイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止させ、従系制御装置２（主系制御装置１）に切替えることにより、従来手法にて課題となっていたサブ電源で動作する機能による二重化制御装置の障害発生の可能性をなくし、システムの信頼性、耐故障性を向上させることができる。
【００６２】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【産業上の利用可能性】
【００６３】
本発明の主系制御装置と従系制御装置とを備えた二重化制御装置は、特に、この二重化制御装置における自系動作抑止方法に利用可能である。
【符号の説明】
【００６４】
１…主系制御装置、１１…主系制御装置の制御回路部、１２…主系制御装置のインタフェース部、１３…主系制御装置の自系動作抑止部、
２…従系制御装置、２１…従系制御装置の制御回路部、２２…従系制御装置のインタフェース部、２３…従系制御装置の自系動作抑止部、
３…通信回線、
４…制御装置、
４１…制御装置の制御回路部、４１１…制御回路部の制御部、４１２…制御回路部のメイン電源生成部、４１３…制御回路部のメイン電源確認部、４１４…制御回路部のサブ電源生成部、４１５…制御回路部のサブ電源確認部、
４２…制御装置のインタフェース部、４２１…インタフェース部の制御部、４２２…インタフェース部のメイン電源生成部、４２３…インタフェース部のメイン電源確認部、４２４…インタフェース部のサブ電源生成部、４２５…インタフェース部のサブ電源確認部、４２６…インタフェース部の送受信部、
４３…制御装置の自系動作抑止部、４３１…自系動作抑止部の制御部、４３２…自系動作抑止部の制御回路部・電源確認信号制御部、４３３…自系動作抑止部のインタフェース部・電源確認信号制御部。
【技術分野】
【０００１】
本発明は、主系制御装置と従系制御装置とを備えた二重化制御装置に関し、特に、この二重化制御装置における自系動作抑止方法に適用して有効な技術に関するものである。
【背景技術】
【０００２】
一般に、主系制御装置と従系制御装置とからなる二重化制御装置では、通常時に主系制御装置を動作させ、主系制御装置の障害発生時には主系制御装置の動作を停止させ、従系制御装置に切替えることによりシステムの信頼性（耐故障性）を向上させている。また、両制御装置の切替えは、主系制御装置と従系制御装置との間で相互監視を行い、最短かつ安定に行うことにしている。このような二重化制御装置については、例えば、特許文献１や特許文献２に記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−２１３４１２号公報
【特許文献２】特許第４４７４６１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、前述したような特許文献１や特許文献２などを含む従来技術では、主系制御装置に障害が発生した場合、主系制御装置の動作を停止するために、主系制御装置内部のメインリセット信号を制御していたが、メインリセット信号では制御回路部においてサブ電源により動作する機能の動作を止めることが出来ない。そのため、制御装置の障害発生時に動作を停止しようとしても、サブ電源で動作する機能が働き続けるため、制御装置の動作を完全に停止することができず、二重化制御装置の動作に障害が発生する可能性があった。
【０００５】
そこで、本発明は、このような従来技術の課題を解決するためになされたものであり、その代表的な目的は、制御装置の障害発生時に、メイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止する技術を提供することである。
【０００６】
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【０００７】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。
【０００８】
すなわち、代表的なものの概要は、主系制御装置と、従系制御装置と、前記主系制御装置と前記従系制御装置とを接続する通信回線とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置に適用される。そして、前記主系制御装置と前記従系制御装置とのそれぞれは、通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源と、障害が発生した場合に、前記メイン電源により動作する回路と前記サブ電源により動作する回路との動作を停止する自系動作抑止部とを有することを特徴とする。
【０００９】
さらに好適には、前記主系制御装置と前記従系制御装置とのそれぞれは、前記メイン電源と前記サブ電源とで動作する制御回路部と、前記メイン電源と前記サブ電源とで動作するインタフェース部とを有する。さらに、前記自系動作抑止部は、前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部を有する。そして、前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする。
【００１０】
また、前記二重化制御装置の自系動作抑止方法にも、適用されるものである。
【発明の効果】
【００１１】
本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
【００１２】
すなわち、代表的なものによって得られる効果は、制御装置の障害発生時に、メイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止する技術を提供することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施の形態に係る二重化制御装置のシステム構成の一例を示す図である。
【図２】図１に示した二重化制御装置において、制御装置の構成の一例を示す図である。
【図３】図２に示した制御装置において、メイン電源およびサブ電源による動作の一例を示す図である。
【図４】図１に示した二重化制御装置の動作の一例を示す図である。
【発明を実施するための形態】
【００１４】
以下の実施の形態においては、便宜上その必要があるときは、複数の実施の形態またはセクションに分割して説明するが、特に明示した場合を除き、それらは互いに無関係なものではなく、一方は他方の一部または全部の変形例、詳細、補足説明等の関係にある。また、以下の実施の形態において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でも良い。
【００１５】
さらに、以下の実施の形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数値および範囲についても同様である。
【００１６】
［本発明の実施の形態の概要］
本発明の実施の形態に係る二重化制御装置（一例として、（）内に対応する構成要素、符号などを付記）は、主系制御装置（１（４））と、従系制御装置（２（４））と、前記主系制御装置と前記従系制御装置とを接続する通信回線（３）とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置に適用される。そして、前記主系制御装置と前記従系制御装置とのそれぞれは、通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源と、障害が発生した場合に、前記メイン電源により動作する回路と前記サブ電源により動作する回路との動作を停止する自系動作抑止部（１３，２３（４３））とを有することを特徴とする。
【００１７】
さらに好適には、前記主系制御装置と前記従系制御装置とのそれぞれは、前記メイン電源と前記サブ電源とで動作する制御回路部（１１，２１（４１））と、前記メイン電源と前記サブ電源とで動作するインタフェース部（１２，２２（４２））とを有する。さらに、前記自系動作抑止部は、前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部（制御回路部・電源確認信号制御部４３２，インタフェース部・電源確認信号制御部４３３）を有する。そして、前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする。
【００１８】
また、前記二重化制御装置の自系動作抑止方法にも、適用されるものである。
【００１９】
上述した本発明の実施の形態の概要に基づいた本発明の一実施の形態を、以下において図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。
【００２０】
［本発明の一実施の形態］
本発明の一実施の形態に係る二重化制御装置について、図１〜図４を用いて説明する。本実施の形態においては、主系制御装置に障害が発生した場合に、自系動作抑止部を用いて主系制御装置のメイン電源およびサブ電源で動作する機能を停止させ、従系制御装置に切替える例を主に説明するが、従系制御装置に障害が発生した場合にも同様に適用可能であることは言うまでもない。
【００２１】
＜二重化制御装置のシステム構成＞
図１を用いて、本実施の形態に係る二重化制御装置のシステム構成について説明する。図１は、この二重化制御装置のシステム構成の一例を示す図である。なお、図１において、（）内に付した符号は、詳細を後述する図２に対応する符号である。
【００２２】
図１に示すように、本実施の形態に係る二重化制御装置は、制御回路部１１（４１）とインタフェース部１２（４２）と自系動作抑止部１３（４３）とを有した主系制御装置１（４）と、制御回路部２１（４１）とインタフェース部２２（４２）と自系動作抑止部２３（４３）とを有した従系制御装置２（４）と、主系制御装置１と従系制御装置２とを接続する通信回線３とを備えて構成される。
【００２３】
この二重化制御装置においては、通常時に主系制御装置１を動作させ、主系制御装置１の障害発生時には主系制御装置１の動作を停止させ、従系制御装置２に切替えることによりシステムの信頼性（耐故障性）を向上させている。また、主系制御装置１と従系制御装置２との切替えは、主系制御装置１と従系制御装置２との間で相互監視を行い、最短かつ安定に行うことにしている。
【００２４】
特に、本実施の形態に係る二重化制御装置においては、主系制御装置１と従系制御装置２とが通信回線３を用いて相互の状態を監視し、主系制御装置１に障害が発生した場合に、自系動作抑止部１３によって主系制御装置１の動作を停止する構成において、自系動作抑止部１３は次のようにして自系の動作を停止させる。
【００２５】
すなわち、自系動作抑止部１３は、制御回路部１１およびインタフェース部１２に入力されるメイン電源の電源が正しく入力されているかどうかを伝えるメイン電源確認信号とサブ電源の電源が正しく入力されているかどうかを伝えるサブ電源確認信号の状態を変化させる電源確認信号制御部を有する。そして、主系制御装置１に障害が発生した場合、自系動作抑止部１３は、メイン電源確認信号およびサブ電源確認信号の状態を変化させ、制御回路部１１およびインタフェース部１２にメイン電源およびサブ電源が正しく入力されていないと認識させることにより、制御回路部１１およびインタフェース部１２の動作を停止させる。
【００２６】
このように、主系制御装置１の障害発生時に、自系動作抑止部１３にて自系の動作を停止するため、この自系動作抑止部１３にて、自系のメイン電源確認信号およびサブ電源確認信号を電源確認信号制御部で制御することにより、制御回路部１１およびインタフェース部１２の動作を停止させることができる。
【００２７】
なお、主系制御装置１の障害発生時に限らず、例えば従系制御装置２の障害発生時にも同様に、自系動作抑止部２３にて自系の動作を停止するため、この自系動作抑止部２３にて、自系のメイン電源確認信号およびサブ電源確認信号を電源確認信号制御部で制御することにより、制御回路部２１およびインタフェース部２２の動作を停止させることができる。
【００２８】
＜制御装置の構成＞
図２を用いて、図１に示した二重化制御装置において、制御装置の構成について説明する。図２は、この制御装置の構成の一例を示す図である。
【００２９】
図２に示すように、図１に示した主系制御装置１、従系制御装置２のそれぞれの制御装置４は、制御回路部４１、インタフェース部４２および自系動作抑止部４３で構成されている。
【００３０】
制御回路部４１は、主系制御装置１、従系制御装置２のそれぞれの制御を司る回路部であり、制御部４１１、メイン電源生成部４１２、メイン電源確認部４１３、サブ電源生成部４１４およびサブ電源確認部４１５を含んで構成される。
【００３１】
制御部４１１は、制御回路部４１を制御するための機能部である。この制御部４１１は、メイン電源生成部４１２、メイン電源確認部４１３、サブ電源生成部４１４およびサブ電源確認部４１５に接続され、この制御部４１１によりこれらの各部の制御が行われる。この制御部４１１は、さらに、インタフェース部４２の制御部４２１、自系動作抑止部４３の制御部４３１にも接続され、相互に制御信号などのやり取りが可能となっている。
【００３２】
メイン電源生成部４１２は、メイン電源を生成するための機能部である。このメイン電源生成部４１２は、制御部４１１に接続され、このメイン電源生成部４１２により生成されたメイン電源が制御部４１１に給電されている。
【００３３】
メイン電源確認部４１３は、メイン電源を確認するための機能部である。このメイン電源確認部４１３は、メイン電源生成部４１２および制御部４１１に接続され、このメイン電源確認部４１３により制御部４１１に正常にメイン電源が給電されているかが確認され、メイン電源の状態が制御部４１１へメイン電源確認信号として出力されている。
【００３４】
サブ電源生成部４１４は、サブ電源を生成するための機能部である。このサブ電源生成部４１４は、制御部４１１に接続され、このサブ電源生成部４１４により生成されたサブ電源が制御部４１１に給電されている。
【００３５】
サブ電源確認部４１５は、サブ電源を確認するための機能部である。このサブ電源確認部４１５は、サブ電源生成部４１４および制御部４１１に接続され、このサブ電源確認部４１５により制御部４１１に正常にサブ電源が給電されているかが確認され、サブ電源の状態が制御部４１１へサブ電源確認信号として出力されている。
【００３６】
インタフェース部４２は、主系制御装置１と従系制御装置２との間のインタフェースを司る回路部であり、制御回路部４１と同様に、制御部４２１、メイン電源生成部４２２、メイン電源確認部４２３、サブ電源生成部４２４およびサブ電源確認部４２５を含んで構成される。
【００３７】
このインタフェース部４２の各部の機能および接続などは、制御回路部４１と同様であり、メイン電源生成部４２２およびサブ電源生成部４２４により生成されたメイン電源およびサブ電源が制御部４２１に給電され、また、メイン電源確認部４２３およびサブ電源確認部４２５により制御部４２１に正常にメイン電源およびサブ電源が給電されているかが確認され、メイン電源およびサブ電源の状態が制御部４２１へメイン電源確認信号およびサブ電源確認信号として出力されている。
【００３８】
さらに、インタフェース部４２には、送受信部４２６が含まれている。この送受信部４２６は、通信回線３を通じて接続される主系制御装置１と従系制御装置２との間で相互に送受信を行うための機能部である。
【００３９】
自系動作抑止部４３は、制御部４３１、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３を含んで構成される。
【００４０】
制御部４３１は、自系動作抑止部４３を制御するための機能部である。この制御部４３１は、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３に接続され、この制御部４３１によりこれらの各部の制御が行われる。この制御部４３１は、さらに、制御回路部４１の制御部４１１およびインタフェース部４２の制御部４２１にも接続され、相互に制御信号などのやり取りが可能となっている。
【００４１】
制御回路部・電源確認信号制御部４３２は、制御回路部４１のメイン電源確認信号およびサブ電源確認信号を制御するための機能部である。この制御回路部・電源確認信号制御部４３２は、制御回路部４１のメイン電源確認部４１３およびサブ電源確認部４１５の出力に接続され、制御部４１１へ出力されるメイン電源確認信号およびサブ電源確認信号が、正常時には正常な状態を示す信号で出力され、一方、異常発生時には異常な状態を示す信号に変化して出力される。
【００４２】
インタフェース部・電源確認信号制御部４３３は、インタフェース部４２のメイン電源確認信号およびサブ電源確認信号を制御するための機能部である。このインタフェース部・電源確認信号制御部４３３は、インタフェース部４２のメイン電源確認部４２３およびサブ電源確認部４２５の出力に接続され、制御部４２１へ出力されるメイン電源確認信号およびサブ電源確認信号が、正常時には正常な状態を示す信号で出力され、一方、異常発生時には異常な状態を示す信号に変化して出力される。
【００４３】
＜メイン電源およびサブ電源による動作＞
図３を用いて、図２に示した制御装置において、メイン電源およびサブ電源による動作について説明する。図３は、このメイン電源およびサブ電源による動作の一例を示す図である。
【００４４】
図３に示すように、制御装置４の動作には、例えば、制御装置を起動する際の起動動作、起動後の通常な制御を行うための通常動作、制御装置を停止する際の停止動作、制御装置をスタンバイ状態にするためのスタンバイ動作などがある。
【００４５】
これらの動作のうち、起動動作、停止動作およびスタンバイ動作は、サブ電源の給電による動作である。図３の例では、サブ電源として５Ｖの電圧が印加されることで、このサブ電源の給電による回路が動作する。一方、通常動作は、メイン電源の給電による動作である。図３の例では、メイン電源として５Ｖの電圧が印加されることで、このメイン電源の給電による回路が動作する。
【００４６】
このように、制御装置４の制御回路部４１およびインタフェース部４２には、サブ電源により動作する回路と、メイン電源により動作する回路とがあり、制御装置４の障害発生時には、メイン電源にて動作する回路だけでなく、サブ電源で動作する回路も停止することが必要であり、本実施の形態においては、前述した図１および図２に示したような構成、および後述する図４に示すような動作により、これを実現している。
【００４７】
＜二重化制御装置の動作＞
図４を用いて、図１に示した二重化制御装置の動作について説明する。図４は、この二重化制御装置の動作の一例を示す図である。
【００４８】
二重化制御装置のシステムでは、主系制御装置１と従系制御装置２とのそれぞれの制御装置４はインタフェース部４２の送受信部４２６に接続されている通信回線３により通信を行っている。
【００４９】
主系制御装置１が正常に動作している場合は、主系制御装置１は、制御回路部４１からの命令によって、インタフェース部４２が送受信部４２６を用いて、従系制御装置２へ自系の生存確認信号を送信し続ける（ステップＳ１）。
【００５０】
もし、主系制御装置１に障害が発生すると（ステップＳ２）、主系制御装置１のインタフェース部４２内の送受信部４２６からの生存確認信号の送信が途絶え、従系制御装置２は障害が発生したことを確認する（ステップＳ３）。そして、従系制御装置２は、障害が発生した主系制御装置１に動作停止要求信号を送信する（ステップＳ４）。
【００５１】
さらに、主系制御装置１において、動作停止要求信号はインタフェース部４２内の送受信部４２６が受信し、制御部４２１より制御回路部４１および自系動作抑止部４３へ信号を伝える（ステップＳ５）。
【００５２】
さらに、主系制御装置１において、自系動作抑止部４３は動作停止要求信号を受信すると、制御部４３１から制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３へ動作停止命令を出す（ステップＳ６）。
【００５３】
さらに、主系制御装置１において、動作停止命令を受けた制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３は、それぞれ接続されているメイン電源確認部４１３，４２３のメイン電源確認信号およびサブ電源確認部４１５，４２５のサブ電源確認信号を電源給電が異常な状態を示す状態に変化させる（ステップＳ７）。
【００５４】
さらに、主系制御装置１において、メイン電源確認部４１３，４２３のメイン電源確認信号およびサブ電源確認部４１５，４２５のサブ電源確認信号が変化すると、制御回路部４１およびインタフェース部４２の制御部４１１，４２１は、電源が正常に給電されておらず、動作を継続できないと判断し、動作を停止する（ステップＳ８）。
【００５５】
そして、制御回路部４１およびインタフェース部４２の制御部４１１，４２１が動作を停止した後も、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３は、それぞれ接続されているメイン電源確認部４１３，４２３のメイン電源確認信号およびサブ電源確認部４１５，４２５のサブ電源確認信号を電源給電が異常な状態を示す状態に変化させ続けることで、主系制御装置１の動作を停止させ続ける（ステップＳ９）。
【００５６】
このように、主系制御装置１の障害発生時に、制御回路部４１およびインタフェース部４２の制御部４１１，４２１は主系制御装置１の動作を停止させることができ、その後も続く場合には主系制御装置１の動作を停止させ続けることができる。
【００５７】
なお、従系制御装置２の障害発生時にも同様に、制御回路部４１およびインタフェース部４２の制御部４１１，４２１は従系制御装置２の動作を停止させることができ、その後も続く場合には従系制御装置２の動作を停止させ続けることができる。
【００５８】
＜本実施の形態の効果＞
以上説明したように、本実施の形態に係る二重化制御装置によれば、主系制御装置１と従系制御装置２とのそれぞれの制御装置４は、自系動作抑止部１３，２３を有することで、障害が発生した場合に、自系動作抑止部１３，２３は、メイン電源により動作する回路とサブ電源により動作する回路との動作を停止することができる。
【００５９】
さらに好適には、主系制御装置１と従系制御装置２とのそれぞれの制御装置４は、制御回路部１１，２１とインタフェース部１２，２２とを有し、さらに、自系動作抑止部１３，２３は、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３を有することで、主系制御装置１（従系制御装置２）に障害が発生した場合に、制御回路部・電源確認信号制御部４３２およびインタフェース部・電源確認信号制御部４３３は、メイン電源確認信号およびサブ電源確認信号の状態を変化させ、制御回路部１１（制御回路部２１）およびインタフェース部１２（インタフェース部２２）にメイン電源およびサブ電源が正しく入力されていないと認識させることにより、制御回路部１１（制御回路部２１）およびインタフェース部１２（インタフェース部２２）の動作を停止させることができる。
【００６０】
より具体的には、制御回路部・電源確認信号制御部４３２が、制御回路部１１（制御回路部２１）のメイン電源確認信号およびサブ電源確認信号を異常な状態を示す信号に変化させて、制御回路部１１（制御回路部２１）の動作を停止させることができ、インタフェース部・電源確認信号制御部４３３が、インタフェース部１２（インタフェース部２２）のメイン電源確認信号およびサブ電源確認信号を異常な状態を示す信号に変化させて、インタフェース部１２（インタフェース部２２）の動作を停止させることができる。
【００６１】
このように、主系制御装置１と従系制御装置２とを有する二重化制御装置において、主系制御装置１（従系制御装置２）に障害が発生した場合においても、自系動作抑止部１３（自系動作抑止部２３）を用いて、主系制御装置１（従系制御装置２）のメイン電源にて動作する機能だけでなく、サブ電源で動作する機能も停止させ、従系制御装置２（主系制御装置１）に切替えることにより、従来手法にて課題となっていたサブ電源で動作する機能による二重化制御装置の障害発生の可能性をなくし、システムの信頼性、耐故障性を向上させることができる。
【００６２】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【産業上の利用可能性】
【００６３】
本発明の主系制御装置と従系制御装置とを備えた二重化制御装置は、特に、この二重化制御装置における自系動作抑止方法に利用可能である。
【符号の説明】
【００６４】
１…主系制御装置、１１…主系制御装置の制御回路部、１２…主系制御装置のインタフェース部、１３…主系制御装置の自系動作抑止部、
２…従系制御装置、２１…従系制御装置の制御回路部、２２…従系制御装置のインタフェース部、２３…従系制御装置の自系動作抑止部、
３…通信回線、
４…制御装置、
４１…制御装置の制御回路部、４１１…制御回路部の制御部、４１２…制御回路部のメイン電源生成部、４１３…制御回路部のメイン電源確認部、４１４…制御回路部のサブ電源生成部、４１５…制御回路部のサブ電源確認部、
４２…制御装置のインタフェース部、４２１…インタフェース部の制御部、４２２…インタフェース部のメイン電源生成部、４２３…インタフェース部のメイン電源確認部、４２４…インタフェース部のサブ電源生成部、４２５…インタフェース部のサブ電源確認部、４２６…インタフェース部の送受信部、
４３…制御装置の自系動作抑止部、４３１…自系動作抑止部の制御部、４３２…自系動作抑止部の制御回路部・電源確認信号制御部、４３３…自系動作抑止部のインタフェース部・電源確認信号制御部。
【特許請求の範囲】
【請求項１】
主系制御装置と、従系制御装置と、前記主系制御装置と前記従系制御装置とを接続する通信回線とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置であって、
前記主系制御装置と前記従系制御装置とのそれぞれは、
通常動作のためのメイン電源と、
起動動作、停止動作およびスタンバイ動作のためのサブ電源と、
障害が発生した場合に、前記メイン電源により動作する回路と前記サブ電源により動作する回路との動作を停止する自系動作抑止部とを有することを特徴とする二重化制御装置。
【請求項２】
請求項１に記載の二重化制御装置において、
前記主系制御装置と前記従系制御装置とのそれぞれは、
前記メイン電源と前記サブ電源とで動作する制御回路部と、
前記メイン電源と前記サブ電源とで動作するインタフェース部とを有し、
前記自系動作抑止部は、
前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部を有し、
前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする二重化制御装置。
【請求項３】
請求項２に記載の二重化制御装置において、
前記制御回路部と前記インタフェース部とのそれぞれは、
前記メイン電源を生成するためのメイン電源生成部と、
前記メイン電源生成部により生成された前記メイン電源を確認するためのメイン電源確認部と、
前記サブ電源を生成するためのサブ電源生成部と、
前記サブ電源生成部により生成された前記サブ電源を確認するためのサブ電源確認部とを有し、
前記電源確認信号制御部は、
前記主系制御装置に障害が発生した場合に、前記制御回路部の前記メイン電源確認信号および前記サブ電源確認信号を異常な状態を示す信号に変化させる制御回路部・電源確認信号制御部と、
前記主系制御装置に障害が発生した場合に、前記インタフェース部の前記メイン電源確認信号および前記サブ電源確認信号を異常な状態を示す信号に変化させるインタフェース部・電源確認信号制御部とを有することを特徴とする二重化制御装置。
【請求項４】
主系制御装置と、従系制御装置と、前記主系制御装置と前記従系制御装置とを接続する通信回線とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置の自系動作抑止方法であって、
前記主系制御装置と前記従系制御装置とのそれぞれは、
通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源とで動作する制御回路部と、
前記メイン電源と前記サブ電源とで動作するインタフェース部と、
前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部とを有し、
前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする二重化制御装置の自系動作抑止方法。
【請求項１】
主系制御装置と、従系制御装置と、前記主系制御装置と前記従系制御装置とを接続する通信回線とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置であって、
前記主系制御装置と前記従系制御装置とのそれぞれは、
通常動作のためのメイン電源と、
起動動作、停止動作およびスタンバイ動作のためのサブ電源と、
障害が発生した場合に、前記メイン電源により動作する回路と前記サブ電源により動作する回路との動作を停止する自系動作抑止部とを有することを特徴とする二重化制御装置。
【請求項２】
請求項１に記載の二重化制御装置において、
前記主系制御装置と前記従系制御装置とのそれぞれは、
前記メイン電源と前記サブ電源とで動作する制御回路部と、
前記メイン電源と前記サブ電源とで動作するインタフェース部とを有し、
前記自系動作抑止部は、
前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部を有し、
前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする二重化制御装置。
【請求項３】
請求項２に記載の二重化制御装置において、
前記制御回路部と前記インタフェース部とのそれぞれは、
前記メイン電源を生成するためのメイン電源生成部と、
前記メイン電源生成部により生成された前記メイン電源を確認するためのメイン電源確認部と、
前記サブ電源を生成するためのサブ電源生成部と、
前記サブ電源生成部により生成された前記サブ電源を確認するためのサブ電源確認部とを有し、
前記電源確認信号制御部は、
前記主系制御装置に障害が発生した場合に、前記制御回路部の前記メイン電源確認信号および前記サブ電源確認信号を異常な状態を示す信号に変化させる制御回路部・電源確認信号制御部と、
前記主系制御装置に障害が発生した場合に、前記インタフェース部の前記メイン電源確認信号および前記サブ電源確認信号を異常な状態を示す信号に変化させるインタフェース部・電源確認信号制御部とを有することを特徴とする二重化制御装置。
【請求項４】
主系制御装置と、従系制御装置と、前記主系制御装置と前記従系制御装置とを接続する通信回線とを有し、互いの動作状況を把握するために前記通信回線を使用して前記主系制御装置と前記従系制御装置との間の通信を行い、応答が無いことにより相手系の制御装置の障害を認識する二重化制御装置の自系動作抑止方法であって、
前記主系制御装置と前記従系制御装置とのそれぞれは、
通常動作のためのメイン電源と、起動動作、停止動作およびスタンバイ動作のためのサブ電源とで動作する制御回路部と、
前記メイン電源と前記サブ電源とで動作するインタフェース部と、
前記主系制御装置と前記従系制御装置とのそれぞれの前記制御回路部および前記インタフェース部に入力される前記メイン電源が正しく入力されているかどうかを伝えるメイン電源確認信号と、前記サブ電源が正しく入力されているかどうかを伝えるサブ電源確認信号との状態を変化させる電源確認信号制御部とを有し、
前記主系制御装置に障害が発生した場合に、前記電源確認信号制御部は、前記メイン電源確認信号および前記サブ電源確認信号の状態を変化させ、前記制御回路部および前記インタフェース部に前記メイン電源および前記サブ電源が正しく入力されていないと認識させることにより、前記制御回路部および前記インタフェース部の動作を停止させることを特徴とする二重化制御装置の自系動作抑止方法。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１３−８８８９７（Ｐ２０１３−８８８９７Ａ）
【公開日】平成２５年５月１３日（２０１３．５．１３）
【国際特許分類】
【出願番号】特願２０１１−２２６６６１（Ｐ２０１１−２２６６６１）
【出願日】平成２３年１０月１４日（２０１１．１０．１４）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２５年５月１３日（２０１３．５．１３）
【国際特許分類】
【出願日】平成２３年１０月１４日（２０１１．１０．１４）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]