CN111273577B - 设施监视系统及设施监视系统的通信方法 - Google Patents

Abstract

本发明提供一种设施监视系统，不需要工作系统控制器的倍数的待机系统控制器就能够实现双重化。多台控制器(2)包括多台工作系统控制器(21)和1台待机系统控制器(22)，多台工作系统控制器(21)分别具有有效的虚拟IP地址，使用该有效的虚拟IP地址与监视点及监视装置(1)进行通信，待机系统控制器(22)将多台工作系统控制器(21)各自的虚拟IP地址保持为无效状态，在多台工作系统控制器(21)中的某一台发生了故障的情况下，将处于无效状态的、发生了该故障的工作系统控制器的虚拟IP地址设为有效状态，使用设为该有效状态的虚拟IP地址，与监视点及监视装置(1)进行通信。

Description

设施监视系统及设施监视系统的通信方法

技术领域

本发明涉及对设置在设施内的设备进行监视或控制的设施监视系统，涉及双重化的设施监视系统以及该设施监视系统的通信方法。

背景技术

以往，公知有如下技术：在对设施内的设备进行监视或控制的设施监视系统中，设置工作系统的装置和待机系统的装置来进行双重化，该待机系统的装置具有与该工作系统的装置相同的构成，成为该工作系统的装置的预备装置。

例如，在专利文献1中，关于与控制大厦设备的控制器连接的服务器，公开了具有工作系统服务器和待机系统服务器的双重化服务器的大厦管理系统。

现有技术文献

专利文献

专利文献1：日本专利特开2012-128573号公报

发明内容

发明要解决的问题

在上述专利文献1所公开的技术为代表的现有技术中，服务器所采用的双重化结构中一个工作系统的装置具备一个待机系统的装置。

因此，在设施监视系统中，在进行设备的控制等的控制器中要采用双重化的结构的情况下，存在如下问题：需要单纯地准备工作系统控制器的倍数的台数的控制器来作为待机系统控制器。

本发明是为了解决上述问题而完成的，其目的在于提供一种设施监视系统以及设施监视系统的通信方法，在进行设施内的设备的监视或控制的设施监视系统中，不需要工作系统控制器的倍数的台数的待机系统控制器就能够实现双重化。

用于解决问题的技术手段

本发明的设施监视系统具备通过网络与设施内的多个监视点连接的多台控制器、以及通过网络与该多台控制器连接的监视装置，该设施监视系统的特征在于，多台控制器包括多台工作系统控制器和1台待机系统控制器，多台工作系统控制器分别具有有效的虚拟IP地址，并使用该有效的虚拟IP地址与监视点及监视装置进行通信，待机系统控制器将多台工作系统控制器各自的虚拟IP地址保持为无效状态，在多台工作系统控制器中的某一台发生故障的情况下，将处于无效状态的、发生了该故障的工作系统控制器的虚拟IP地址设为有效状态，使用设为该有效状态的虚拟IP地址，与监视点及监视装置进行通信。

发明的效果

根据本发明，在进行设施内的设备的监视或控制的设施监视系统中，不需要工作系统控制器的倍数的台数的待机系统控制器就能够实现双重化。

附图说明

图1是表示实施方式1的设施监视系统的构成例的图。

图2是用于更具体地说明在实施方式1的设施监视系统中，控制器所具有的IP地址的一例，以及工作系统控制器使用虚拟IP地址进行通信、在该工作系统控制器发生故障的情况下，待机系统控制器切换为工作系统控制器的结构的图，是表示正常状态的图。

图3是用于更具体地说明在实施方式1的设施监视系统中，控制器所具有的IP地址的一例，以及工作系统控制器使用虚拟IP地址进行通信、在该工作系统控制器发生故障的情况下，待机系统控制器切换为工作系统控制器的结构的图，是表示故障发生状态的图。

图4是用于更具体地说明在实施方式1的设施监视系统中，控制器所具有的IP地址的一例，以及工作系统控制器使用虚拟IP地址进行通信、在该工作系统控制器发生故障的情况下，待机系统控制器切换为工作系统控制器的结构的图，是表示恢复后状态的图。

图5是表示实施方式1的控制器的构成例的框图，图5A表示工作系统控制器的构成例，图5B表示待机系统控制器的构成例。

图6是用于说明实施方式1的设施监视系统的动作的流程图。

图7是表示在实施方式1的设施监视系统中，工作系统控制器检测到自身的异常并向待机系统控制器通知发生了异常这一情况，待机系统控制器根据来自工作系统控制器的通知，判定工作系统控制器发生了故障的情况下的工作系统控制器及待机系统控制器的构成例的图，图7A是表示工作系统控制器的构成例的图，图7B是表示待机系统控制器的构成例的图。

具体实施方式

以下，参照附图对本发明的实施方式进行详细说明。

实施方式1

图1是表示实施方式1的设施监视系统的构成例的图。

实施方式1的设施监视系统例如适用于BA系统(Building Automation System，建筑物自动化系统)。

设施监视系统具备监视装置1、控制器2、设备3和存储装置4。

监视装置1、控制器2、设备3和存储装置4通过网络连接。

在图1中，为了简化说明，仅示出了一台控制器2，但设施监控系统至少具备三台控制器2。

至少3台控制器中，1台是待机系统控制器22(参照后述的图2)，其他是工作系统控制器21(参照后述的图2)。在以下的说明中，将多台工作系统控制器21简称为“工作系统控制器21”。

另外，在图1中，为了简化说明，仅示出了一个设备3，但设施监视系统具备多个设备3。一台工作系统控制器21供一个以上的设备3连接。此外，设备3是传感器、照明、开关、马达等，并被设置在设施内。在以下的说明中，将一个以上的设备3或多个设备3简称为“设备3”。

工作系统控制器21进行设备3的监视或控制。

工作系统控制器21通过网络从设备3收集该设备3获取的测量值等数据。工作系统控制器21收集到的数据被存储在工作系统控制器21所具备的第1存储部215(使用图5A在下文叙述)中。另外，该数据通过网络被收集在监视装置1中。在监视装置1中，例如根据来自管理者等的指示，将与从工作系统控制器21收集到的数据相关的信息显示在显示装置(省略图示)上。管理者等通过确认显示在显示装置上的信息，来进行设施监视系统的监视等。以下，在实施方式1中，将工作系统控制器21所监视或控制的设备3也称为监视点，将该监视点获取的数据也称为监视点数据。

工作系统控制器21使用与自身固有IP地址不同的虚拟IP地址，来进行与监视装置1以及监视点的通信。虚拟IP地址由管理者等对每个工作系统控制器21设定。关于虚拟IP地址的详细情况，将在下文叙述。

另外，工作系统控制器21以预先设定的周期，将该工作系统控制器21所具有的与工作系统控制器21相关的信息(以下称为“控制器信息”。)存储在存储装置4中。在工作系统控制器21存储在存储装置4中的控制器信息中，包含该工作系统控制器21收集到的监视点数据、在显示装置上显示监视点数据时使用的图形数据、或者与对监视点的控制有关的信息等监视点的监视或控制中使用的各种信息。

工作系统控制器21是以实现专门用于监视点的监视或控制这样的特定用途的功能为目的的嵌入式设备，工作系统控制器21所具备的第1存储部215的容量为数十千兆字节左右。因此，如果工作系统控制器21要将正在监视或控制的监视点的过去数十年份的监视点数据或控制信息等大容量的数据内部存储在工作系统控制器21中，则自身所具备的第1存储部215的容量不够。因此，工作系统控制器21以预先设定的周期，将控制器信息转移到工作系统控制器21的外部的存储装置4，并在存储装置4中存储控制器信息。

工作系统控制器21在使控制器信息存储到存储装置4时，赋予装置ID等能够确定该控制器信息是哪个工作系统控制器21存储的信息。在实施方式1中，工作系统控制器21对控制器信息赋予自身的装置ID并进行存储。但这不过是一个例子，只要在控制器信息中附加能够确定是哪个工作系统控制器21存储的控制器信息的信息即可。

此外，在实施方式1中，装置ID是控制器2所分别具有的、控制器2固有的信息。

如上所述，监视装置1经由工作系统控制器21从监视点收集监视点数据，并将与收集到的监视点数据相关的信息显示在显示装置上。

另外，监视装置1经由工作系统控制器21进行监视点的控制。具体而言，监视装置1例如从管理者等接受用于进行监视点的监视或控制的控制指示，并将接受到的控制指示发送到工作系统控制器21。监视装置1发送到工作系统控制器21的控制指示经由工作系统控制器21被发送到监视点，工作系统控制器21根据从监视装置1发送的控制指示，进行监视点的监视或控制。

待机系统控制器22进行工作系统控制器21的死活监视。待机系统控制器22进行的工作系统控制器21的死活监视的详细情况将在下文叙述。

在待机系统控制器22进行死活监视的结果为工作系统控制器21没有发生故障的期间，待机系统控制器22不与监视装置1、监视点以及存储装置4进行通信。在待机系统控制器22进行死活监视的结果为在工作系统控制器21的某一台中发生故障的情况下，切换为发生了该故障的工作系统控制器21，作为工作系统控制器21进行工作。具体而言，待机系统控制器22切换为工作系统控制器21，使用该工作系统控制器21所具有的虚拟IP地址与监视装置1或监视点进行通信。另外，待机系统控制器22在切换为工作系统控制器21时，从存储装置4获取发生了故障的工作系统控制器21的控制器信息，从发生了故障的工作系统控制器21接管监视或控制监视点所需的控制器信息。

工作系统控制器21和待机系统控制器22具有同样的构成。工作系统控制器21及待机系统控制器22的具体构成将在下文叙述。

这里，图2、图3及图4是用于更具体地说明在实施方式1的设施监视系统中，控制器2具有的IP地址的一例，以及工作系统控制器21使用虚拟IP地址进行通信，在该工作系统控制器21发生故障的情况下，待机系统控制器22切换为工作系统控制器21的结构的图。此外，在图2～图4中，为了简化说明，在设施监视系统中，具备2台工作系统控制器21和1台待机系统控制器22，将2台工作系统控制器21中的一方作为第1工作系统控制器21A，将另一方作为第2工作系统控制器21B。

另外，假设对第1工作系统控制器21A赋予装置ID“1111”，对第2工作系统控制器21B赋予装置ID“1112”，对待机系统控制器22赋予装置ID“1113”。

图2表示任何一台工作系统控制器21都没有发生故障的状态(以下称为“正常状态”。)，图3表示第1工作系统控制器21A发生了故障的状态(以下称为“故障发生状态”。)，图4表示在图3中发生了故障的第1工作系统控制器21A恢复后的状态(以下称为“恢复后状态”。)。

首先，对正常状态下的各控制器2进行说明。

控制器2分别具有有效的固有IP地址。这里，第1工作系统控制器21A具有固有IP地址“172.16.10.11”，第2工作系统控制器21B具有固有IP地址“172.16.10.12”，待机系统控制器22具有固有IP地址“172.16.10.13”。

另外，控制器2在作为工作系统控制器21动作的情况下，分别具有有效的虚拟IP地址。以图2的例子来说，第1工作系统控制器21A具有虚拟IP地址“172.16.10.1”，第2工作系统控制器21B具有虚拟IP地址“172.16.10.2”。

另一方面，控制器2在作为待机系统控制器22动作的情况下，将设施监视系统所具备的所有工作系统控制器21所具有的虚拟IP地址保持为无效状态。例如，以图2的例子来说，待机系统控制器22将第1工作系统控制器21A所具有的虚拟IP地址“172.16.10.1”保持为无效状态，将第2工作系统控制器21B所具有的虚拟IP地址“172.16.10.2”保持为无效状态。

工作系统控制器21在与监视装置1或监视点进行通信时，不使用固有IP地址，而是使用虚拟IP地址。例如，在第1工作系统控制器21A从监视点收集监视点数据时，监视点对第1工作系统控制器21A的虚拟IP地址“172.16.10.1”发送监视点数据。另外，例如，在第2工作系统控制器21B从监视装置1接收监视点的控制指示时，监视装置1对第2工作系统控制器的虚拟IP地址“172.16.10.2”发送控制指示。

此时，待机系统控制器22所保持的虚拟IP地址“172.16.10.1”及“172.16.10.2”为无效状态，因此待机系统控制器22与监视装置1、或待机系统控制器22与监视点之间不进行通信。

把哪个控制器2作为工作系统控制器21或待机系统控制器22进行动作，由管理者等在导入设施监视系统时等进行适当设定。此时，管理者等在作为工作系统控制器21动作的控制器2中，设定该工作系统控制器21自身的固有IP地址、以及该工作系统控制器21自身的虚拟IP地址。另外，管理者等在作为待机系统控制器22动作的控制器2中，设定该待机系统控制器22自身的固有地址。另外，管理者等在作为待机系统控制器22动作的控制器2中，将在设施监视系统中作为工作系统控制器21的所有控制器2所设定的虚拟IP地址分别设定为无效状态。

在此，从图2的状态起，例如，假设第1工作系统控制器21A发生故障，变为故障发生状态。

在该情况下，待机系统控制器22判定第1工作系统控制器21A发生了故障，将处于无效状态的第1工作系统控制器21A的虚拟IP地址“172.16.10.1”设为有效状态。在待机系统控制器22中，工作系统控制器21的虚拟IP地址例如与装置ID相关联地保持，待机系统控制器22根据装置ID判断使哪个虚拟IP地址成为有效状态即可。

待机系统控制器22将第1工作系统控制器21A的虚拟IP地址“172.16.10.1”设为有效状态的结果是，例如监视装置1或监视点对虚拟IP地址“172.16.10.1”发送的控制指示或监视点数据会被发送到待机系统控制器22。换言之，第1工作系统控制器21A发生切换，在正常状态下作为待机系统控制器22动作的装置ID1113的控制器2转而作为第1工作系统控制器21A动作(参照图3)。

待机系统控制器22在图2所示的正常状态下，进行工作系统控制器21的死活监视(参照图2)。具体而言，例如，待机系统控制器22以预先设定的周期，对第1工作系统控制器21A及第2工作系统控制器21B分别发送生存确认命令。当被发送了生存确认命令的第1工作系统控制器21A及第2工作系统控制器21B接收到该生存确认命令时，将针对该生存确认命令的应答命令发送给待机系统控制器22。

如果在工作系统控制器21中发生了故障，则发生了该故障的工作系统控制器21无法发送应答命令。待机系统控制器22通过没有接收应答命令这一情况来判定工作系统控制器21发生了故障。这里，由于第1工作系统控制器21A发生了故障，因此待机系统控制器22通过没有从第1工作系统控制器21A发送应答命令这一情况来判定第1工作系统控制器21A发生了故障。

此外，上述的控制器2间的生存确认命令的收发以及应答命令的收发，使用固有IP地址进行。

待机系统控制器22在切换到第1工作系统控制器21A时，获取存储在存储装置4中的、故障发生前的第1工作系统控制器21A的控制器信息。然后，待机系统控制器2 2作为第1工作系统控制器21A，使用获取到的控制器信息进行监视点的监视或控制。

由于第1工作系统控制器21A以预先设定的周期，在存储装置4中存储控制器信息，因此如上所述，待机系统控制器22可以从存储装置4接管故障发生前的第1工作系统控制器21A的控制器信息，并可以代替第1工作系统控制器21A进行监视点的监视或控制。

在故障发生状态下，待机系统控制器22将处于无效状态的虚拟IP地址设为有效，在切换为第1工作系统控制器21A开始工作时，待机系统控制器22删除处于无效状态的、发生故障的第1工作系统控制器21A以外的工作系统控制器21的虚拟IP地址。具体而言，如图3所示，待机系统控制器22将虚拟IP地址“172.16.10.1”设为有效状态，将虚拟IP地址“172.16.10.2”删除。但是，这只不过是一个例子，待机系统控制器22即使作为第1工作系统控制器21A工作，也可以将处于无效状态的、发生了故障的工作系统控制器21以外的工作系统控制器21的虚拟IP地址继续保持为无效状态。

待机系统控制器22在切换为第1工作系统控制器21A时，如果将该第1工作系统控制器21A的虚拟IP地址设为有效状态，则对正在与该第1工作系统控制器21A通信的监视装置1及监视点发送用于与自身(待机系统控制器22)通信的信息。具体地说，例如，待机系统控制器22对监视装置1及监视点发送GARP(Gratuitous ARP，免费ARP)，发送更新ARP高速缓冲存储器的指示。在监视装置1及监视点中，当接收到GARP时，更新ARP表，对于该ARP表的虚拟IP地址设定待机系统控制器22的MAC地址。

因此，即使在第1工作系统控制器21A发生了故障的情况下，监视装置1及监视点也与发生该故障之前没有变化，进行使用了虚拟IP地址“172.16.10.1”的通信。因此，监视装置1及监视点能够在不意识到待机系统控制器22切换为第1工作系统控制器21A的情况下，将待机系统控制器22作为第1工作系统控制器21A，与该控制器2进行通信。即，管理者等无需对监视装置1及监视点采取针对第1工作系统控制器21A发生了切换的某种对策。

对于发生了故障的第1工作系统控制器21A(装置ID1111的控制器2)，例如，由管理者等暂时解除设施监视系统中的连接，管理者等进行该第1工作系统控制器21A的修理。然后，在修理完成后，管理者等再次将该第1工作系统控制器21A与设施监视系统连接。

此时，管理者等将修理后的第1工作系统控制器21A作为待机系统控制器22与设施监视系统连接。即，在恢复后状态下，装置ID1111的控制器2成为待机系统控制器22(参照图4)。

通过这样做，管理者等能够省略将从待机系统控制器22切换为第1工作系统控制器21A的装置ID1113的控制器2再次作为待机系统控制器22等的切换作业。

对实施方式1的控制器2的构成例进行说明。

图5是表示实施方式1的控制器2的构成例的框图。

在图5中，图5A表示工作系统控制器21的构成例，图5B表示待机系统控制器22的构成例。

此外，在图5中，为了简化说明，对于工作系统控制器21及待机系统控制器22，分别仅表示了在作为工作系统控制器21的情况下发挥功能的构成部、以及在作为待机系统控制器22的情况下发挥功能的构成部，但工作系统控制器21和待机系统控制器22基本上具有相同的构成。工作系统控制器21也具备如图5B所示的待机系统控制器22所具有的构成部，待机系统控制器22也具备如图5A所示的工作系统控制器21所具有的构成部。

控制器2通过使用基于软件的CPU的程序处理来执行。另外，控制器2具有与其他控制器2或监视装置1等外部设备进行通信的输入接口装置(省略图示)以及输出接口装置(省略图示)。

如图5A所示，工作系统控制器21包括生存确认命令接收部211、应答命令发送部212、通信部、存储控制部214以及存储部。以下，也将工作系统控制器21的通信部称为第1通信部213。另外，也将工作系统控制器21的存储部称为第1存储部215。

生存确认命令接收部211接收从待机系统控制器22发送的生存确认命令。

生存确认命令接收部211在接收到生存确认命令后，将表示接收到该生存确认命令的信息输出到应答命令发送部212。

当从生存确认命令接收部211输出表示接收到生存确认命令的信息时，应答命令发送部212对待机系统控制器22发送应答生存确认命令的应答命令。此外，此时，应答命令发送部212对应答命令赋予装置ID等能够确定工作系统控制器21的信息。

第1通信部213进行与监视点或监视装置1的通信。

具体而言，第1通信部213例如从监视点收集监视点数据。第1通信部213将收集到的监视点数据存储在第1存储部215中。另外，第1通信部213例如接收从监视装置1发送的监视点的控制指示。第1通信部213根据需要，将与对监视点进行的控制有关的信息存储在第1存储部215中。

当达到预先设定的周期时，存储控制部214将存储在第1存储部215中的控制器信息存储到存储装置4中。

第1存储部215由存储器等构成，存储控制器信息。

在实施方式1中，第1存储部215设置在工作系统控制器21中，但这只不过是一个例子，第1存储部215也可以设置在工作系统控制器21的外部的、工作系统控制器21及存储装置4可参照的场所。

另外，虽然在图5A中省略了图示，但工作系统控制器21还具备控制部。控制部例如根据第1通信部213接收到的控制指示来控制监视点。

如图5B所示，待机系统控制器22具备生存确认命令发送部221、应答命令接收部222、生存判定部223、切换控制部224、通信部、数据获取部226以及存储部。以下，也将待机系统控制器22的通信部称为第2通信部225。另外，也将待机系统控制器22的存储部称为第2存储部227。

生存确认命令发送部221以预先设定的周期对各工作系统控制器21发送生存确认命令。

应答命令接收部222从工作系统控制器21中的每一台接收对由生存确认命令发送部221发送的生存确认命令进行应答的应答命令。

应答命令接收部222将接收到的应答命令输出到生存判定部223。

生存判定部223判定工作系统控制器21的某一台是否发生了故障。具体而言，在应答命令接收部222未从工作系统控制器21中的某一台接收到应答命令的情况下，生存判定部223判定未接收到该应答命令的工作系统控制器21发生了故障。生存判定部223能够根据对应答命令接收部222接收到的应答命令赋予的装置ID，确定未接收应答命令的工作系统控制器21。

生存判定部223在判定为工作系统控制器21中的某一台发生了故障的情况下，将表示工作系统控制器21发生了故障这一情况故障发生信息输出到切换控制部224及数据获取部226。故障发生信息包含被判定为发生了故障的工作系统控制器21的装置ID的信息。

切换控制部224在从生存判定部223输出故障发生信息的情况下，将生存判定部223判定为发生了故障的工作系统控制器21的虚拟IP地址设为有效状态。

此时，切换控制部224可以删除未设为有效状态的工作系统控制器21的虚拟IP地址，也可以继续保持无效状态进行存储。此外，待机系统控制器22例如在第2存储部227中存储工作系统控制器21的虚拟IP地址。

另外，切换控制部224经由后述的第2通信部225，以控制器2的地址的形式对监视装置1及监视点发送用于与自身(待机系统控制器22)通信的信息。具体而言，例如，切换控制部224经由第2通信部225，对监视装置1以及监视点发送GARP，并发送使ARP高速缓冲存储器更新的指示。

切换控制部224进行上述动作，由此待机系统控制器22切换为判定为发生故障的工作系统控制器21。

第2通信部225使用切换控制部224设为有效状态的虚拟IP地址，进行与监视点及监视装置1的通信。

在从生存判定部223输出了故障发生信息的情况下，数据获取部226参照存储装置4，获取判定为发生了故障的工作系统控制器21的控制器信息。此外，在待机系统控制器22切换为工作系统控制器21的时刻，数据获取部226获取用于监视或控制监视点所需的最低限度的控制器信息即可。

第2存储部227存储工作系统控制器21的虚拟IP地址等。

在实施方式1中，第2存储部227设置在待机系统控制器22中，但这只不过是一例，第2存储部227也可以设置在待机系统控制器22的外部的、待机系统控制器22可参照的场所。

此外，在图5B中省略了图示，但待机系统控制器22还具备控制部。

例如在生存判定部223判定为工作系统控制器21中的某一台发生了故障、切换控制部224将判定为发生了故障的工作系统控制器21的虚拟IP地址设为有效状态来进行向工作系统控制器21的切换后，当数据获取部226获取控制器信息时，控制部根据获取到的控制器信息来控制监视点。

接着，对实施方式1的设施监视系统的动作进行说明。

图6是用于说明实施方式1的设施监视系统的动作的流程图。

待机系统控制器22进行工作系统控制器21的死活监视(步骤ST601)。具体而言，当到达预先设定的周期时，待机系统控制器22的生存确认命令发送部221对各工作系统控制器21发送生存确认命令。

工作系统控制器21的生存确认命令接收部211接收从待机系统控制器22发送的生存确认命令，应答命令发送部212对待机系统控制器22发送应答生存确认命令的应答命令。

待机系统控制器22的生存判定部223判定工作系统控制器21中的某一台是否发生了故障(步骤ST602)。在应答命令接收部222未从工作系统控制器21中的某一台接收到应答命令的情况下，生存判定部223判定未接收该应答命令的工作系统控制器21发生了故障。

另一方面，生存判定部223在从所有的工作系统控制器21接收到应答命令的情况下，判定工作系统控制器21没有发生故障。

在步骤ST602中，在生存判定部223判定工作系统控制器21没有发生故障的情况下(步骤ST602的“否”的情况下)，工作系统控制器21及监视装置1进行监视点的监视或控制(步骤ST603)。此时，工作系统控制器21和监视点、以及工作系统控制器21和监视装置1使用工作系统控制器21的虚拟IP地址进行通信。

在到达预先设定的周期时(步骤ST604的“是”的情况)，工作系统控制器21的存储控制部214将存储在第1存储部215中的控制器信息存储到存储装置4中(步骤ST605)。然后，返回步骤ST601。

在未到达预先设定的周期的情况下(步骤ST604的“否”的情况下)，工作系统控制器21的存储控制部214跳过步骤ST604而返回步骤ST601。

另一方面，在步骤ST602中，在待机系统控制器22的生存判定部223判定工作系统控制器21发生了故障的情况下(步骤ST602的“是”的情况下)，换言之，在生存判定部223未从工作系统控制器21中的某一台接收到应答命令的情况下，待机系统控制器22进行控制器2的切换。具体而言，在待机系统控制器22中，切换控制部224将判定为发生了故障的工作系统控制器21的虚拟IP地址设为有效状态。然后，切换控制部224经由后述的第2通信部225，以控制器2的地址的形式对监视装置1及监视点发送用于与自身进行通信的信息。第2通信部225使用切换控制部224设为有效状态的虚拟IP地址，与监视点及监视装置1进行通信。

然后，数据获取部226参照存储装置4，获取判定为发生了故障的工作系统控制器21的控制器信息。

然后，进入步骤ST606。

这样，在实施方式1的设施监视系统中，对于2台以上的工作系统控制器21，准备保持该2台以上的工作系统控制器21全部的虚拟IP地址的1台待机系统控制器22。并且，该1台待机系统控制器22进行工作系统控制器21的死活监视，在工作系统控制器21中的某一台发生故障的情况下，该1台待机系统控制器22能够切换为发生了故障的工作系统控制器21，从而实现双重化。

在使用上述现有技术来在监视或控制监视点的控制器2中采用双重化的结构的情况下，需要单纯地准备工作系统控制器21的倍数的台数的控制器2作为待机系统控制器22。其结果，会花费设备成本。

另外，1台工作系统控制器21能够监视或控制的监视点的数量有限。例如，在设施监视系统应用于大规模设施的情况下，为了监视或控制设置在该设施内的庞大的监视点，必须增加工作系统控制器21的数量。这样一来，需要准备工作系统控制器21的倍数的台数的待机系统控制器22，设备成本也进一步增大。

另一方面，控制器2是嵌入式设备，与例如PC(Personal Computer，个人计算机)那样面向通用用途的以发挥多种多样的功能为目的的设备相比，发生故障的概率低。在控制器2中，例如也有保证能够连续运转10年的品质的控制器。

尽管如此，准备工作系统控制器21的倍数的台数的待机系统控制器22，也可以说是由于该待机系统控制器22而花费了无用的设备成本。

对此，实施方式1的设施监视系统中，对于2台以上的工作系统控制器21，通过准备保持该2台以上的工作系统控制器21全部的虚拟IP地址的1台待机系统控制器22，从而能够实现设施监视系统的双重化。由此，即使2台以上的工作系统控制器21中的某一台发生故障，实施方式1的设施监视系统也能够继续监视点的监视和控制。

此外，如上所述，由于作为嵌入式设备的控制器2故障的概率低，因此同时多台工作系统控制器21发生故障的可能性极低。

实施方式1的设施监视系统能够实现有效利用控制器2的高可靠性的成本降低。

另外，如上所述，在实施方式1的设施监视系统中，工作系统控制器21分别使用有效的虚拟IP地址，与监视装置1及监视点进行通信，进行监视点的监视或控制。

在工作系统控制器21发生了故障的情况下，并且在该故障发生前、该故障发生而工作系统控制器21切换后，监视装置1及监视点都使用相同的虚拟IP地址与工作系统控制器21进行通信，因此不需要意识到该工作系统控制器21发生了切换。即，管理者等无需对监视装置1及监视点采取针对第1工作系统控制器21A发生切换的某种对策。

此外，在以上的实施方式1中，待机系统控制器22对工作系统控制器21发送生存确认命令，根据没有从工作系统控制器21发送针对该生存确认命令的应答命令这一情况，判定工作系统控制器21发生了故障。

但是，这只不过是一个例子，待机系统控制器22也能够用其他的方法来判定工作系统控制器21发生了故障。

具体而言，工作系统控制器21a(参照后述的图7)检测自身(工作系统控制器21a)的异常，将检测到该异常这一情况通知给待机系统控制器22a(参照后述的图7)。然后，待机系统控制器22a也可以接受来自工作系统控制器21a的表示检测到异常的通知，判定工作系统控制器21a发生了故障。

图7是表示在实施方式1的设施监视系统中，在工作系统控制器21a检测到自身的异常并向待机系统控制器22a通知发生了异常这一情况，待机系统控制器22a根据来自工作系统控制器21a的通知，判定工作系统控制器21a发生了故障的情况下的、工作系统控制器21a以及待机系统控制器22a的构成例的图，图7A是表示工作系统控制器21a的构成例的图，图7B是表示待机系统控制器22a的构成例的图。

在图7A中，对于与使用图5A说明的工作系统控制器21相同的构成，标注相同的符号，省略重复的说明。

另外，在图7B中，对于与使用图5B说明的待机系统控制器22相同的构成，标注相同的符号，省略重复的说明。

图7A所示的工作系统控制器21a与使用图5A说明的工作系统控制器21相比，不同点在于，具备异常检测部216及异常通知部217来代替生存确认命令接收部211及应答命令发送部212。

异常检测部216检测自身的异常。

异常检测部216在检测到异常的情况下，将表示检测到异常的信息输出到异常通知部217。

异常通知部217向待机系统控制器22a发送通知异常发生的异常发生通知信息。异常发生通知信息中包含能够确定发送了该异常发生通知信息的工作系统控制器21a的信息。

此外，从异常通知部217到待机系统控制器22a的异常发生通知信息的发送，使用固有IP地址进行。

图7B所示的待机系统控制器22a与使用图5B说明的待机系统控制器22相比，不同点在于，具有异常通知接收部228来代替生存确认命令发送部221及应答命令接收部222。

异常通知接收部228接收从工作系统控制器21a发送的异常发生通知信息。

异常通知接收部228在接收到异常发生通知信息的情况下，将异常发生通知信息输出到生存判定部223a。

在待机系统控制器22a中，在从异常通知接收部228输出异常发生通知信息的情况下，生存判定部223a判定工作系统控制器21a发生了故障。此外，可以根据异常发生通知信息来确定哪个工作系统控制器21a发生了故障。

在将工作系统控制器21a及待机系统控制器22a分别设为图7A及图7B所示的构成的情况下的设施监视系统的动作，只是在使用图6说明的动作中，改变步骤ST601及步骤ST602的具体的动作内容而已。

具体而言，在步骤ST601中，待机系统控制器22a根据是否从工作系统控制器21a接收到异常发生通知信息来进行工作系统控制器21a的死活监视。

然后，在步骤ST602中，待机系统控制器22a在从工作系统控制器21a接收到异常发生通知信息的情况下，判定工作系统控制器21a发生了故障(步骤ST602的“是”的情况)，在未从工作系统控制器21a接收到异常发生通知信息的情况下，判定工作系统控制器21a未发生故障(步骤ST602的“否”的情况)。

由于已经说明了步骤ST603～步骤ST605的动作，因此省略重复的说明。

像这样，也可以是工作系统控制器21a检测自身的异常，将检测到该异常这一情况通知待机系统控制器22a，待机系统控制器22a从工作系统控制器21a接受检测到异常这一情况的通知，判定工作系统控制器21a发生了故障。

另外，也可以是在实施方式1的设施监视系统中，工作系统控制器21除了使用图5A说明的构成之外，还具备使用图7A说明的异常检测部216及异常通知部217，待机系统控制器22除了使用图5B说明的构成之外，还具备使用图7B说明的异常通知接收部228。

另外，在以上的实施方式1中，设施监视系统具备存储装置4，工作系统控制器21以预先设定的周期将控制器信息存储到存储装置4中。

但是，这只不过是一例，设施监视系统也可以不具备存储装置4，工作系统控制器21仅将控制器信息存储在自身(工作系统控制器21)所具备的第1存储部215中。

例如，在工作系统控制器21在监视或控制监视点时仅使用当前的监视点数据的情况下，工作系统控制器21应保存的信息仅是当前的监视点数据，用于存储该当前的监视点数据的容量利用工作系统控制器21所具备的第1存储部215的容量就够了。在这种情况下，设施监视系统不是必须具备存储装置4。

在工作系统控制器21发生了故障的情况下，待机系统控制器22在切换为发生了故障的工作系统控制器21时，从监视点收集当前的监视点数据，根据收集到的监视点数据继续监视或控制监视点。

另外，在以上的实施方式1中，控制器2也可以包括上位控制器及下位控制器。上位控制器通过上位网络与监视装置1连接，按照监视装置1的控制，监视或控制通过下位网络连接的下位控制器。下位控制器经由下位网络与上位控制器连接，按照上位控制器的控制，控制经由下位网络连接的多个监视点。在这种情况下，在上位控制器和下位控制器中，也可以适用如以上的实施方式1中说明的构成，即，准备2台以上的工作系统控制器21和1台待机系统控制器22，1台待机系统控制器22进行工作系统控制器21的死活监视，在工作系统控制器21中的某一台发生了故障的情况下，该1台待机系统控制器22可以切换为发生了故障的工作系统控制器21，从而实现双重化。

如上所述，根据实施方式1，在具备通过网络与设施内的多个监视点(设备3)连接的多台控制器2、和通过网络与该多台控制器2连接的监视装置1的设施监视系统中，构成为，多台控制器2包含多台工作系统控制器21和1台待机系统控制器22，多台工作系统控制器21分别具有有效的虚拟IP地址，使用该有效的虚拟IP地址与监视点及监视装置1进行通信，待机系统控制器22将多台工作系统控制器21中的每一台的虚拟IP地址保持为无效状态，在多台工作系统控制器21中的某一台发生故障的情况下，将处于无效状态的、发生了该故障的工作系统控制器21的虚拟IP地址设为有效状态，使用设为该有效状态的虚拟IP地址，与监视点及监视装置1进行通信。这样，1台待机系统控制器22进行多台工作系统控制器21的死活监视，在工作系统控制器21中的某一台发生故障的情况下，该1台待机系统控制器22能够切换为发生了故障的工作系统控制器21，由此，不需要工作系统控制器的倍数的台数的待机系统控制器就能够实现双重化。

另外，设施监视系统具备通过网络与多台控制器2连接的存储装置4，存储装置4存储与多台工作系统控制器21有关的信息(控制器信息)，在多台工作系统控制器21中的某一台发生故障的情况下，待机系统控制器22从存储装置4获取与发生了该故障的工作系统控制器21有关的数据。由此，待机系统控制器22能够经由存储装置4接管故障发生前的工作系统控制器21为了进行监视点的监视或控制所需要的控制器信息，并能够切换为工作系统控制器21，进行监视点的监视或控制。

此外，本发明在其发明的范围内，可以进行实施方式的任意构成要素的变形，或者省略实施方式的任意构成要素。

符号说明

1 监视装置

2 控制器

21、21a 工作系统控制器

21A 第1工作系统控制器

21B 第2工作系统控制器

22、22a 待机系统控制器

3 设备

4 存储装置

211 生存确认命令接收部

212 应答命令发送部

213 第1通信部

214 存储控制部

215 第1存储部

216 异常检测部

217 异常通知部

221 生存确认命令发送部

222 应答命令接收部

223、223a 生存判定部

224 切换控制部

225 第2通信部

226 数据获取部

227 第2存储部

228 异常通知接收部。

Claims (6)

1.一种设施监视系统，其具备通过网络与设施内的多个监视点连接的多台控制器、以及通过网络与该多台控制器连接的监视装置，所述设施监视系统的特征在于，

所述多台控制器包括多台工作系统控制器和1台待机系统控制器，所述多台工作系统控制器分别具有在所述多台工作系统控制器之间相互不同的有效的虚拟IP地址，并使用该有效的虚拟IP地址与所述监视点及所述监视装置进行通信，

所述待机系统控制器将所述多台工作系统控制器各自的在所述多台工作系统控制器之间相互不同的虚拟IP地址保持为无效状态，在所述多台工作系统控制器中的某一台发生故障的情况下，将处于无效状态的、所述多台工作系统控制器各自的在所述多台工作系统控制器之间相互不同的虚拟IP地址中的、发生了该故障的工作系统控制器的虚拟IP地址设为有效状态，使用设为该有效状态的虚拟IP地址，与所述监视点及所述监视装置进行通信，

发生了故障的工作系统控制器在故障恢复后作为待机系统控制器动作。

2.根据权利要求1所述的设施监视系统，其特征在于，

具备通过网络与所述多台控制器连接的存储装置，

所述存储装置存储与所述多台工作系统控制器有关的信息，

在所述多台工作系统控制器中的某一台发生了所述故障的情况下，所述待机系统控制器从所述存储装置获取与发生了该故障的工作系统控制器有关的数据。

3.根据权利要求2所述的设施监视系统，其特征在于，

所述多台工作系统控制器从所述监视点收集监视点数据，

所述存储装置存储的与所述多台工作系统控制器有关的信息包括所述监视点数据。

4.根据权利要求1至3中的任一项所述的设施监视系统，其特征在于，

所述多台工作系统控制器具备：

生存确认命令接收部，其接收从所述待机系统控制器发送的生存确认命令；以及

应答命令发送部，其发送对所述生存确认命令接收部接收到的所述生存确认命令进行应答的应答命令，

所述待机系统控制器具备：

生存确认命令发送部，其对所述多台工作系统控制器分别发送所述生存确认命令；

应答命令接收部，其从所述多台工作系统控制器分别接收对所述生存确认命令发送部发送的生存确认命令进行应答的所述应答命令；

生存判定部，其在所述应答命令接收部未从所述多台工作系统控制器中的某一台工作系统控制器接收到所述应答命令的情况下，判定未接收到该应答命令的工作系统控制器发生了所述故障；

切换控制部，其在所述生存判定部判定为发生了所述故障的情况下，将所述生存判定部判定为发生了所述故障的工作系统控制器的虚拟IP地址设为有效状态；以及

通信部，其使用所述切换控制部设为所述有效状态的虚拟IP地址，与所述监视点及所述监视装置进行通信。

5.根据权利要求1至3中的任一项所述的设施监视系统，其特征在于，

所述多台工作系统控制器分别具备：

异常检测部，其检测该多台工作系统控制器自身的异常；以及

异常通知部，其在所述异常检测部检测到所述异常的情况下，向所述待机系统控制器通知该异常的发生，

所述待机系统控制器具备：

生存判定部，其在从所述异常通知部通知了所述异常的发生的情况下，判定通知了该异常的发生的工作系统控制器发生了所述故障；

切换控制部，其将所述生存判定部判定为发生了所述故障的工作系统控制器的虚拟IP地址设为有效状态；以及

通信部，其使用所述切换控制部设为所述有效状态的虚拟IP地址，与所述监视点及所述监视装置进行通信。

6.一种设施监视系统的通信方法，该设施监视系统具备通过网络与设施内的多个监视点连接的多台控制器、以及通过网络与该多台控制器连接的监视装置，所述设施监视系统的通信方法的特征在于，

所述多台控制器包括多台工作系统控制器和1台待机系统控制器，所述多台工作系统控制器分别具有在所述多台工作系统控制器之间相互不同的有效的虚拟IP地址，

所述设施监视系统的通信方法包括如下步骤：

所述多台工作系统控制器使用该有效的虚拟IP地址与所述监视点及所述监视装置进行通信的步骤；以及

所述待机系统控制器将所述多台工作系统控制器中各自的在所述多台工作系统控制器之间相互不同的虚拟IP地址保持为无效状态，在所述多台工作系统控制器中的某一台发生故障的情况下，将处于无效状态的、所述多台工作系统控制器中各自的在所述多台工作系统控制器之间相互不同的虚拟IP地址中的、发生了该故障的工作系统控制器的虚拟IP地址设为有效状态，使用设为该有效状态的虚拟IP地址，与所述监视点及所述监视装置进行通信的步骤，

发生了故障的工作系统控制器在故障恢复后作为待机系统控制器动作。