JP2005184842A - 通信制御システム - Google Patents

Abstract

【課題】 工業用途の要求とオープン化の要求を同時に満たした通信が行える通信制御システムを実現する。
【解決手段】 実時間性、高信頼性を実現するクリティカルな通信を行う高優先度通信手段と、オープンな標準プロトコルの通信を行う低優先度通信手段を同一の通信局に並存させる。

【選択図】 図１

Description

本発明は、分散型制御システム等に用いられる通信制御システムに関するものである。

分散型制御システムは、石油化学、鉄鋼、紙パルプ、食品、薬品、電力等の幅広い分野のプラント運転制御に用いられている。

図１６は一般的な分散型制御システムの構成例を示した図である。
図１６で、操作監視装置１と制御装置２は制御バス３に接続されている。制御装置２は操作監視装置１の監視下でプラント４を制御する。操作監視装置１はプラントの運転操作と監視を担当する。操作監視装置１は制御運転や監視をするための画面を表示する。プラントの規模に応じて複数の制御装置がプラントに分散配置される。制御バス３を介して、操作監視装置１と制御装置２が相互に通信をしながらプラントを制御する。

プラント４に存在するセンサ機器５，６は、温度、圧力、液位等のプロセス値を検出する。バルブ７，８は制御装置２から与えられる操作信号によって開度が制御される。センサ機器５，６が出力した４〜２０ｍＡ，１〜５Ｖのアナログ信号が制御装置２に入力される。この入力をもとに制御装置２にある制御ユニット（図示せず）は、制御演算を行い、操作量を求める。この操作量は４〜２０ｍＡ，１〜５Ｖのアナログ信号として出力され、この出力によりバルブ７，８の開度を制御する。例えば反応釜のバルブ開度を制御することによって、温度、圧力等のプロセス量を制御する。

従来における分散型制御システムの制御バスは、プロセス制御専用のバスであった。また、制御バスのプロトコルはプロセス制御専用のプロトコルになっていた。
近年、ＩＴ（情報技術）やＷｅｂ関連技術の著しい進歩により、分散型制御システムの制御バスにもオープン化が求められてきた。オープン化要求の一つとして、制御バスをイーサネット（登録商標）をベースとしたネットワークにしたいという要求が高まりつつある。
このような背景から工業用イーサネット（登録商標）を分散型制御システムの制御バスに適用することが検討されている。

特許文献１には、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）プロトコルで通信を行う通信局をイーサネット（登録商標）上に接続したときに、ネットワークアダプタを冗長化構成にしてもユーザアプリケーションプログラムが冗長化を意識する必要がない通信制御システムが記載されている。

特開平１１−２０５３５６号公報

しかし、現状の工業用イーサネット（登録商標）ではプロセス制御で要求されている実時間性や信頼性を満たしていないため、実用化が困難な状況にある。

従来のシステムでは、次の事情から実時間性や信頼性を保証することと、オープン化を実現することの両立が難しかった。
（ａ）イーサネット（登録商標）やＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）等をベースとした標準プロトコルによる通信は、プロセス制御等の工業用途に使用する場合、実時間性や信頼性の面で十分に要求を満たしていない。
（ｂ）実時間性と高信頼性を実現するための独自な専用プロトコルによる通信は、他システムと接続するときや、世の中に広く流通しているネットワーク機器やソフトウェアを利用するときに十分な互換性がないため、オープン化の要求を十分に満たさない。

本発明は上述した問題点を解決するためになされたものであり、実時間性、高信頼性を実現するクリティカルな通信手段と、オープンな通信手段を同一の通信局に並存させることによって、実時間性及び高信頼性と、オープン化を両立させた通信を行える通信制御システムを実現することを目的とする。

このような課題を達成するために、本発明は次のとおりの構成になっている。

（１）主経路と副経路により多重化された通信経路に接続された複数の通信局間で行う通信を制御する通信制御システムであって、
前記主経路と前記副経路のそれぞれに対応して多重化されていて、ＯＳＩ階層モデルの物理層にある通信機能を実現する第１の通信機能実現手段と、
前記多重化された第１の通信機能実現手段のそれぞれに対応して多重化されていて、ＯＳＩ階層モデルのデータリンク層にある通信機能を実現する第２の通信機能実現手段と、
前記主経路または副経路のいずれかに対応する通信機能実現手段を介して高優先度通信を行う高優先度通信手段と、
前記副経路に対応する通信機能実現手段を介して低優先度通信を行う低優先度通信手段と、
前記主経路と副経路の健全性を診断する経路診断手段と、
この経路診断手段による診断の結果、主経路が異常なときに、前記高優先度通信の通信経路を前記副経路に切り替える切替手段と、
を有することを特徴とする通信制御システム。

（２）前記経路診断手段は、
自局から各通信局までの経路状態情報を保持する経路状態格納手段と、
定周期で自局から各通信局までの通信経路を診断する定周期経路診断手段と、
を有し、
前記定周期経路診断手段は診断結果から得た経路状態情報を前記経路状態格納手段に登録することを特徴とする（１）に記載の通信制御システム。

（３）前記定周期経路診断手段は、
他の通信局からの経路診断パケットの受信状態情報を含む経路診断パケットを他の通信局へ同報通信する診断パケット送信手段を有し、
経路診断パケットを受信したとき、受信した経路診断パケットに含まれる自局が送信した経路診断パケットの受信状態情報を、自局から経路診断パケットの送信元までの通信経路の経路状態情報として前記経路状態格納手段に登録することを特徴とする（２）に記載の通信制御システム。

（４）他の通信局にデータを送信し、所定時間内に相手局から正常受信応答が返信されないときは、データを再送するデータ送信手段と、
データを正常に受信したときに正常受信応答を送信元に返信するデータ受信手段と、
を有することを特徴とする（１）乃至（３）のいずれかに記載の通信制御システム。

（５）自局から各通信局までの経路状態情報を保持する経路状態格納手段と、
前記データ送信手段がデータを再送する回数をカウントする計数手段と、
この計数手段のカウント値が規定値まで達したときに通信経路が異常と判断し、当該経路が異常であることを示す経路状態情報を前記経路状態格納手段に登録する登録手段と、
を有することを特徴とする（４）に記載の通信制御システム。

（６）前記データ送信手段がデータを再送する回数をカウントする計数手段と、
前記計数手段のカウントが規定値まで達したときに通信経路が異常と判断し、通信経路を切り替える切替手段と、
を有することを特徴とする（４）に記載の通信制御システム。

以上説明したことから明らかなように、本発明によれば次のような効果がある。
（１）実時間性、高信頼性を実現するクリティカルな通信手段（高優先度通信手段）と、オープンな通信手段（低優先度通信手段）を同一の通信局に並存させた。これによって、工業用途の要求とオープン化の要求を同時に満たした通信を行える通信制御システムを実現できる。
（２）クリティカルな通信の通信経路が異常なときに、クリティカルな通信の通信経路をオープンな通信の通信経路に切り替えている。これによって、標準プロトコルによるオープンな通信のトラフィックがクリティカルな通信の実時間性に影響を与えないようにすることができる。
（３）クリティカルな通信がオープンな通信の通信経路を用いているときでも、オープンな通信は制限を受けながら通信を行うことができる。これによって、オープンな通信を継続できる。
（４）クリティカルな通信と標準プロトコルの通信を同一通信局に並存させた構成のもとで、通信経路を多重化することによって、高信頼性を実現できる。
（５）同一の通信局において、同一の通信経路と送受信手段を共用して、オープンな標準プロトコルによる通信と、クリティカルな通信を行える。これによって、部品コストや配線コストを低減できる。

以下、図面を用いて本発明を詳細に説明する。

（１）実施例１
図１は本発明の一実施例を示す構成図である。
図１で、通信経路１０は主経路１１と副経路１２により２重化されている。通信経路１０は、例えば分散型制御システムの制御バスである。
通信局２０と通信局３１〜３Ｎは主経路１１と副経路１２に接続されている。

通信局２０には通信を行うためのユニット２１がある。図１の実施例はユニットがシングル構成になっている。
ユニット２１で、高優先度通信手段２１１は高優先度通信を行う。低優先度通信手段２１２は低優先度通信を行う。
高優先度通信では、プロセスデータ、操作量、アラーム等を転送する。低優先度通信では、画像データ転送、ファイル転送、メッセージ転送等を行う。高優先度通信では、実時間性の高いデータを転送し、低優先度通信は高優先度通信に比べて実時間性が低い。
高優先度通信手段２１１は、プロセス制御専用のプロトコルに従って通信を行う。これに対して低優先度通信手段は、オープンな標準プロトコルに従って通信を行う。オープンな標準プロトコルは、例えばＩＰ（Internet Protocol）である。

通信機能実現手段２１３ａ、２１３ｂは二重化されている。通信機能実現手段２１４ａ、２１４ｂも二重化されている。これらの通信機能実現手段はＯＳＩ（Open Systems Interconnection）階層モデルの所定の階層にある通信機能を実現するために設けられている。
通信機能実現手段２１３ａ、２１３ｂは、ＯＳＩ階層モデルの物理層（第１層）にある通信機能を実現する。
通信機能実現手段２１４ａ、２１４ｂは、ＯＳＩ階層モデルのデータリンク層（第２層）にある通信機能を実現する。
通信機能実現手段２１３ａと２１４ａは主経路１１に対応して設けられている。通信機能実現手段２１３ｂと２１４ｂは副経路１２に対応して設けられている。

図１の通信制御システムで、通信に異常がない通常時は、高優先度通信手段２１１は、通信機能実現手段２１３ａと２１４ａを用いて主経路１１で通信する。低優先度通信手段２１２は、通信機能実現手段２１３ｂと２１４ｂを用いて副経路１２で通信する。
主経路１１が異常になったときは、高優先度通信手段２１１は通信機能実現手段２１３ｂ、２１４ｂと副経路１２を用いて通信する。このときは低優先度通信が制限を受けることになる。

高優先度通信手段２１１は、二重化された通信機能実現手段２１３ａ、２１３ｂと通信機能実現手段２１４ａ、２１４ｂのいずれかを用いて通信することができる。これに対して低優先度通信手段２１２は、対応する通信機能実現手段２１３ｂと２１４ｂだけしか用いることができない。
このようにして高優先度通信手段２１１と低優先度通信手段２１２は、同一の通信局内に並存している。

図１の実施例によれば、実時間性、高信頼性を実現する高優先度通信手段と、オープンで標準プロトコルの低優先度通信手段を同一の通信局に並存させた。これによって、工業用途の要求とオープン化の要求を同時に満たした通信を行える通信制御システムを実現した。

図２はデータリンク層にある通信機能を実現する通信機能実現手段の構成例を示した図である。
通信機能実現手段２１４ａを例に構成を説明する。通信機能実現手段２１４ｂも同様な構成になっている。
図２で、アドレス保持手段２１５は、高優先度通信手段２１１と低優先度通信手段２１２に対応したそれぞれのＭＡＣアドレスを保持する。高優先度通信手段２１１と低優先度通信手段２１２には、それぞれ１個ずつＭＡＣ（Media Access Control）アドレスが割り付けられている。

送信手段２１６は、送信要求元が高優先度通信手段２１１か低優先度通信手段２１２のいずれであるかに応じて通信フレームに対応するＭＡＣアドレスを付加し、この通信フレームを通信経路に送出する。
受信手段２１７は、通信機能実現手段２１３ａから受信した通信フレームの宛先ＭＡＣアドレスとアドレス保持手段２１５で保持されたＭＡＣアドレスとを比較し、比較結果が一致しているときは受信した通信フレームを該当する通信手段（高優先度通信手段２１１または低優先度通信手段２１２）に渡す。

なお、アドレス保持手段２１５の代わりに、複数のＭＡＣマルチキャスト・アドレスを保持するマルチキャスト・アドレス保持手段を設けた構成にしてもよい。
このような構成では、通信機能実現手段２１４ａの受信手段２１７は、主経路１１から受信した通信フレームの宛先アドレスがＭＡＣマルチキャスト・アドレス保持手段に存在するアドレスのいずれかと一致するときは高優先度通信手段２１１に通信フレームを渡す。一致しないときは低優先度通信手段２１２に通信フレームを渡す。
このようにして高優先度通信ではＭＡＣマルチキャスト・アドレスを用いて通信を行う。

（２）実施例２
図３は本発明の他の実施例を示す構成図である。図３で前出の図と同一のものは同一符号を付ける。この実施例ではユニットが二重化構成になっている。
通信局２２には二重化されたユニット２１ａと２１ｂが設けられている。ユニット２１ａは、高優先度通信手段２１１、低優先度通信手段２１２、通信機能実現手段２１３ａ、２１３ｂ、２１４ａ、２１４ｂを有する。ユニット２１ｂもユニット２１ａと同一構成になっている。図の例ではユニット２１ａが現用側、ユニット２１ｂが待機側になっている。

現用側のユニット２１ａが通信動作を行う。現用側のユニット２１ａに異常が発生したときは、ユニット２１ａは通信動作を停止して待機側となり、待機側のユニット２１ｂは現用側に切り替わり、通信動作を行う。
この実施例によれば、ユニットを二重化構成にしているため、通信の信頼性をさらに向上できる。なお、ユニットは三重化以上に多重化してもよい。

（３）実施例３
図４は本発明の他の実施例を示す構成図である。
図４で、通信局４０は主経路１１と副経路１２に接続されている。
高優先度通信手段４０１は、主経路１１を用いて高優先度通信を行う。
低優先度通信手段４０２は、副経路１２を用いて低優先度通信を行う。
経路診断手段４０３は、主経路１１と副経路１２の健全性を診断する。
切替手段４０４は、経路診断手段４０３の診断結果をもとに、高優先度通信手段４０１の送受信先の通信経路を切り替える。

制限手段４０５は、経路診断手段４０３の診断結果をもとに、低優先度通信手段４０２の通信を制限する。例えば、低優先度通信手段４０２の送信帯域を制限する。
送受信手段４０６は、高優先度通信手段４０１から送信要求があると、通信フレームを順次、主経路１１へ送信し、主経路１１から受信した通信フレームを送信先に渡す。
送受信手段４０７は、低優先度通信手段４０２から送信要求があると、通信フレームを順次、副経路１２へ送信し、副経路１２から受信した通信フレームを送信先に渡す。
送受信手段４０６及び４０７は、図１の実施例における通信機能実現手段２１３ａ、２１４ａ及び２１３ｂ、２１４ｂにそれぞれ相当する。

図４の実施例で、切替手段４０４は、経路診断手段４０３が主経路１１を正常と判断した場合は、高優先度通信手段４０１の通信経路を主経路１１とする。主経路１１を異常と診断した場合は、高優先度通信手段４０１の通信経路を副経路１２に切り替える。
制限手段４０５は、経路診断手段４０３が主経路１１を正常と判断した場合は、低優先度通信手段４０２の送信帯域を制限しない。主経路１１を異常と診断した場合は、低優先度通信手段４０２の送信帯域を制限する。
経路診断手段４０３は、副経路１２の診断も行って、異常を検出したときはアラームを発生する。

経路診断手段４０３は、主経路１１を正常と判断した場合は、全通信局へ主経路の異常を定周期で同報通知する。低優先度通信手段４０２は、主経路異常の同報通知を受信したときに、低優先度通信の単位時間あたりの送信回数が所定値以下になるように送信を制御する。所定の時間以上にわたって主経路異常の同報通知を受信しなかったときは主経路が正常に復旧したと判断し、低優先度通信手段４０２は送信回数が所定値以下になるような送信制御を停止する。

なお、主経路異常の同報通知に限らず低優先度通信手段４０２は、主経路１１を異常と認識しているときに、低優先度通信の単位時間あたりの送信回数が所定値以下になるように送信を制御してもよい。

低優先度通信手段４０２は、主経路１１を異常と認識しているときに、副経路１２が送信中でないときに直ちに高優先度通信を行わせ、副経路１２が送信中でなく送信待ちの高優先度通信がないときには低優先度通信を行う。

図４の実施例によれば、通信経路が正常な通常時には、高優先度通信手段４０１と低優先度通信手段４０２はそれぞれ別々の経路を使うため、制限のない帯域で通信を共存できる。
また、主経路の異常時には、高優先度通信手段４０１の通信経路は副経路に切り替わり、低優先度通信手段４０２は送信帯域が制限される。このため、高優先度通信は帯域を維持したまま通信できるため、実時間性が維持できる。
さらに、主経路の異常時には、高優先度通信手段４０１の通信経路は副経路に切り替わるが、低優先度通信手段４０２も制限された帯域の中で通信を行うことができる。

（４）実施例４
図５は本発明の他の実施例を示す構成図である。図５では経路診断手段の具体的構成例を示している。
図５で、経路状態格納手段５０１は、自局からの通信経路がインターフェイス及び通信相手局毎に健全であるかどうかの経路状態情報を保持する。

送信手段５０２は、高優先度通信手段４０１からの送信要求を受け、経路状態格納手段５０１の経路状態情報を参照し、健全な通信経路を選択してデータを送信する。また、送信手段５０２は、データ送信後、所定時間内に正常受信応答がない場合に、当該通信経路を異常とし、このことを経路状態格納手段５０１の経路状態情報に反映する。
受信手段５０３は、相手通信局からデータを受信し、高優先度通信手段４０１へ受信データを渡す。また、相手通信局からデータを受信したときは正常受信応答を相手通信局へ返信する。
このように送信手段５０２と受信手段５０３により、データ送信に対して正常受信応答が返ってきたかどうかをもとに診断する応答確認通信を行う。

定周期経路診断手段５０４は、自局からの経路状態をインターフェイス及び通信相手局毎に定期的に診断する。診断結果を経路状態格納手段５０１に登録する。
定周期経路診断手段５０４は診断パケット送信手段５０５を有する。診断パケット送信手段５０５は、他の通信局からの経路診断パケットの受信状態情報を含む経路診断パケットを他の通信局へ同報通信する。
定周期経路診断手段５０４は、経路診断パケットを受信したとき、受信した経路診断パケットに含まれる自局が送信した経路診断パケットの受信状態情報を、自局から経路診断パケットの送信元までの通信経路の経路状態情報として経路状態格納手段５０１に登録する。

インターフェイス５０６は主経路１１と通信局５０との間の通信を仲介する。インターフェイス５０７は副経路１２と通信局５０との間の通信を仲介する。

図５の実施例によれば、実際に通信するときに応答確認通信をして経路診断する機能と、通信タイミングとは関わりなく定周期で経路診断する機能を併せ持つことにより、迅速に経路異常を検出することが可能になる。

なお、定周期経路診断手段５０４は、ＩＰ（インターネットプロトコル）のマルチキャストプロトコルに従って経路診断パケットの同報通信を行う構成にしてもよい。この場合は、主経路１１と副経路１２には、それぞれ異なるＩＰマルチキャスト・アドレスが割り付けられる。各通信局は、主経路と副経路のうち選択された経路に対応したＩＰマルチキャスト・アドレスを宛先ＩＰアドレスに用いて同報通信を行い、宛先ＩＰアドレスが主経路と副経路のそれぞれに対応したＩＰマルチキャスト・アドレスと一致する経路診断パケットの受信を行う。
このようにすると、特定の通信局に対して同時に通信することができるため、通信回数が減る。また、ＩＰのマルチキャストプロトコルでは、ルータを介してネットワークを相互接続したときに、送信局は自局があるネットワーク上の通信局だけでなく、ルータを介して接続されたネットワーク上の通信局にまで通信することができる。これにより、通信経路の切り替わり時間を最小限にできるため、通信の実時間性を保証できる。

（５）実施例５
図６は本発明の他の実施例を示す構成図である。
図６で、プロトコル手段６１は、汎用のコネクションレス型プロトコルに従って二重化された主経路１１と副経路１２の通信制御を実行する。汎用のコネクションレス型プロトコルは、例えばＵＤＰ／ＩＰ（User Datagram Protocol /Internet Protocol）である。

ＵＤＰ／ＩＰは、ＴＣＰ／ＩＰを構成するプロトコル群のうち、ＩＰの上位プロトコルであり、トランスポート層に属し、ＲＦＣ７６８で規定されている。ＵＤＰはコネクションレスレス型のプロトコルであり、ＴＣＰが持っているコネクション管理、応答確認、シーケンス、ウィンドウコントロール、フロー制御といった機能を持たない。

即ち、ＵＤＰ／ＩＰは実質的に、ＩＰパケットをそのまま相手先のアプリケーションが使用できるプロトコルである。機能が少ない分だけ通信負荷が少なく、高速のデータ通信が可能である。しかし、データが確実に相手に届くという保証がないので、信頼性を確保するための手段を講ずる必要がある。
本発明では、ＵＤＰ／ＩＰ上で応答確認通信を行うことにより信頼性を確保している。

送受信部６０で、切替手段６０１は、二重化された通信経路（主経路１１と副経路１２）にデータを送信するポートを切り替える。
データ送信手段６０２は高優先度通信手段４０１の送信データを切替手段６０１に送る。
データ受信手段６０３は、主経路１１または副経路１２からのデータを受信して高優先度通信手段４０１に送る。

タイマ６０４は、データ送信手段６０２のデータ送信により発生する信号ＴＲで起動され、データ受信手段６０３が受けた正常受信応答で発生する信号ＲＳでリセットされる。タイマ６０４は、規定値まで計時するとタイムアップ信号ＴＵをデータ送信手段６０２に送って再送信要求をする。データ送信手段６０２は、タイムアップ信号ＴＵが来るとデータを再送する。

計数手段６０５は、タイムアップ信号ＴＵの発生個数をカウントし、所定値に達すると切替手段６０１に切替信号ＳＷを発信して通信経路を切り替える。
経路状態格納手段６０６は、自局から各通信局までの経路状態情報を保持する。
登録手段６０７は、計数手段６０５のカウント値が規定値まで達したときに通信経路が異常と判断し、当該経路が異常であることを示す経路状態情報を経路状態格納手段６０６に登録する。

図６の実施例によれば、コネクションレス型プロトコルが本来有する高速性を享受しながら信頼性を確保することができる。更にコネクションレス型プロトコルの汎用性により、制御バスのオープン化も同時に実現することができる。
また、データの再送回数が所定値に達したところで通信経路を切り替えるため、通信経路の一時的な異常で経路切替が行われることを防止できる。また、過渡的異常と恒久的異常を識別して経路切替をすることができる。

（６）実施例６
図７は本発明の他の実施例を示す構成図である。
図７で、多重化通信局７０は多重化したユニット７１ａ、７１ｂからなる。図の例では二重化されている。ユニット７１ａ、７１ｂはそれぞれ図４の通信局４０と同様な構成になっている。二重化したユニット７１ａ、７１ｂの一方が現用側、他方は待機側となる。各ユニットの高優先度通信手段には異なるアドレスが割り付けられている。各ユニットは多重化された通信経路（主経路と副経路）にそれぞれ接続されている。

例えばユニット７１ａを現用側、ユニット７１ｂを待機側とする。
多重化通信局７０へ送信を行う他の通信局７２は、現用側のユニット７１ａ宛に通信を行う。このとき、多重化された通信経路のいずれでも現用側のユニット７１ａとの通信に失敗したときは、宛先を待機側のユニット７１ｂに切り替えて通信を試みる。

図８は図７の実施例で制御権が切り替えられたときの説明図である。
各ユニット７１ａ、７１ｂは自己診断手段７３をそれぞれ有する。
例えばユニット７１ａを現用側、ユニット７１ｂを待機側とする。
現用側のユニット７１ａにある自己診断手段７３は、異常を検出したときは自ユニットを待機状態にして通信動作を停止する。待機側のユニット７１ｂはユニット７１ａが通信動作を停止したときは、自ユニットを現用状態にして通信動作を開始し、自ユニットが現用側になったことを他の通信局に同報通信する。
他の通信局７２は、多重化通信局７０のどちらのユニットが現用側になっているかを示す情報を保持したテーブル７４を有する。通信局７２は、テーブル７４で保持した情報を参照して現用側のユニットに送信を行うとともに、ユニット７１ｂから同報通信を受信したときにテーブル７４の情報を更新する。

図７の実施例によれば、多重化通信局にしたことによって、高信頼性の通信を実現した。

（７）実施例７
図４の通信局４０に認証手段を設けてもよい。認証手段は、異なる通信局にある高優先度通信手段の間で認証を行い、認証された通信局間で通信を可能にする。
図９は認証手段の具体的構成例を示した図である。
図９では説明の便宜上、認証手段の構成を示しているが、通信局８０にも通信局４０の構成要素が設けられている。

公開鍵生成手段８０１は、自局に固有の電子的な私有鍵Ｋ１から他の通信局との間で交換する電子的な公開鍵Ｋ２を生成する。
鍵送信手段８０２は、生成した公開鍵Ｋ２を全通信局宛に同報通知する。
共通鍵生成手段８０３は、他の通信局８１から受信した公開鍵Ｋ２´と自局の私有鍵Ｋ１から通信局８０と８１の間の固有な電子的な共通鍵Ｋ３を生成する。共通鍵は通信局毎に生成し、生成した共通鍵を通信局８０で保持する。共通鍵生成手段８０３は、例えばDiffer-Hellman法を用いて私有鍵と公開鍵から共通鍵を生成する。

認証パケット送信手段８０４は、生成した共通鍵Ｋ３を用いてパケットを暗号化したり、パケットへの認証値の付加を行う。そして、暗号化したパケットを他の通信局８１へ送信したり、認証値を付加したパケットを他の通信局８１へ送信する。
認証パケット受信手段８０５は、他の通信局８１から受信したパケットを共通鍵Ｋ３を利用して復号化したり、共通鍵とパケットに付加された認証値に基づいて受信可否の判断を行う。

鍵更新手段８０５は、私有鍵を所定時間毎に変えることにより共通鍵を更新する。
確認手段８０６は、更新直前の共通鍵と最新の共通鍵を保存し、パケット受信時に最新の共通鍵を用いて認証値の確認を行う。この確認が不正とされた場合は、更新直前の共通鍵を用いて認証値の確認を行う。
復号化手段８０７は、認証値の正当性を確認することができた更新直前の共通鍵または最新の共通鍵のいずれかを用いてパケットの復号化を行う。

図１０は図９の認証手段の動作説明図である。
通信局８０では、公開鍵生成手段８０１は自局の私有鍵Ｋ１から公開鍵Ｋ２を生成する。生成した公開鍵Ｋ２を全通信局宛に同報通知する。
通信局８１でも、公開鍵生成手段８０１は自局の私有鍵Ｋ１´から公開鍵Ｋ２´を生成する。生成した公開鍵Ｋ２´を全通信局宛に同報通知する。

通信局８０では、共通鍵生成手段８０３は、通信局８１から受信した公開鍵Ｋ２´と自局の私有鍵Ｋ１から通信局８１との間の固有な電子的な共通鍵Ｋ３を生成する。
同様に通信局８１でも、共通鍵生成手段８０３は、通信局８０から受信した公開鍵Ｋ２と自局の私有鍵Ｋ１´から通信局８０との間の固有な電子的な共通鍵Ｋ３´を生成する。
このようにして各通信局は他の通信局との間の共通の合言葉になる共通鍵を生成し、保持する。

通信局８０では、認証パケット送信手段８０４は、生成した共通鍵Ｋ３を用いてパケットを暗号化したり、パケットへの認証値の付加を行う。そして、暗号化したパケットを通信局８１へ送信したり、認証値を付加したパケットを通信局８１へ送信する。
通信局８１では、認証パケット受信手段８０５は、通信局８０から受信したパケットを共通鍵Ｋ３´を利用して復号化したり、共通鍵Ｋ３´とパケットに付加された認証値に基づいて受信可否の判断を行う。

図９の実施例によれば公開鍵が送られない通信局は共有鍵を生成できないため、送信されるパケットの盗聴、改竄はできない。これによって通信のセキュリティを保証できる。高優先度通信に共通鍵を持たせることによって、オープンな低優先度通信でのセキュリティ上の攻撃が高優先度通信に影響を与えないようにすることができる。

（８）実施例８
図１１は本発明の他の実施例を示す構成図である。
図１１の実施例では、インターネットプロトコルに従って通信経路の経路制御を行うルータ９０、９１を主経路と副経路上に設けている。主経路はルータ９０で相互接続されたサブネットワーク１１ａ、１１ｂから構成されている。副経路はルータ９１で相互接続されたサブネットワーク１２ａ、１２ｂから構成されている。

サブネットワーク上には唯一のマスタ局が存在する。マスタ局はネット間診断フレームを送信する。ネット間診断フレームは、自局と自局が属するサブネットワーク上に存在する他の全通信局との間の経路状態情報と、自局が属さないサブネットワーク上に存在するマスタ局との間の経路状態情報を含む。
図１１では、通信局２０がサブネットワーク１１ａ、１２ａのマスタ局である。通信局２３がサブネットワーク１１ｂ、１２ｂのマスタ局である。

通信局２０で、経路状態格納手段２２１は、自局から他の通信局までの通信経路が健全であるかどうかを示す経路状態情報を保持する。
診断メッセージ受信手段２２２は、ネット間診断フレームに含まれた経路状態情報をもとに、自局と自局が属さないサブネットワーク上に存在する通信局との間の経路状態を経路状態格納手段２２１に登録する。図の例では通信局２０とサブネットワーク１１ｂ、１２ｂ上の通信局との間の経路状態を登録する。
データ送信手段２２３は、経路状態格納手段２２１にある情報に従って、主経路と副経路のいずれかを選択してデータの送信を行う。
経路状態格納手段２２１、診断メッセージ受信手段２２２、データ送信手段２２３は、マスタ局とそれ以外の通信局に設けられている。

選出手段２２４は、サブネットワーク上に存在する全通信局のネットワークアドレスのリストを作成し、リストの中で、自局のアドレスが所定の条件から一義的に決められるアドレスである場合、自局を当該サブネットワークにおけるマスタ局として動作させる。ここで、一義的に決められるアドレスは、例えば最も大きいアドレス、最も小さいアドレス等である。

図１２は通信局が経路状態情報を得る手順を示した説明図である。
図１２で、マスタ局以外の通信局を一般局と称する。サブネットワークＡとＢがあり、これらが相互接続されている。サブネットワークＡ上にはマスタ局ａと一般局ａ´が接続されている。サブネットワークＢ上にはマスタ局ｂと一般局ｂ´が接続されている。

このようなネットワークにおいて次の手順で処理を行う。
一般局ａ´は自サブネットワーク内の各局からの受信状態を自サブネットワーク内の二重化経路の各々にマルチキャストで定周期に送信する。
受信した各局は相手局の受信状況から、自局から相手局への経路状態情報１を獲得する。
各サブネットワークのマスタ局は他のサブネットワークのマスタ局からの受信状態及び自サブネットワーク内の各局からの受信状態を二重化経路の各々にマルチキャストで定周期に送信する。
受信した各局は他のサブネットワークのマスタ局からの受信状況から、マスタ局間の経路状態情報２を獲得する。
また、送信元サブネットワーク内の受信状況から、各マスタ局内の各局への経路状態情報３を獲得する。
このようにして各通信局は経路状態情報1、２、３から、二重化経路の各々の健全性を判断することができる。

図１１の実施例によれば次の効果が得られる。
（ａ）全通信局が各々で経路の健全性を判断することが可能である。
（ｂ）一般局及びマスタ局がマルチキャスト送信することで自サブネットワーク外への経路状態情報を得ることが可能である。
（ｃ）自局の経路状態情報が全て異常、もしくは一定時間診断通信が途絶えた場合に自局の異常と判断することで、故障診断にも使用することが可能である。

（９）実施例９
図１３は本発明の他の実施例を示す構成図である。
この実施例では、高優先度通信と低優先度通信が１つの通信経路を共用する。
通信局１００には、高優先度通信を行うためのプロトコルインターフェイス手段１０１と、低優先度通信を行うためのプロトコルインターフェイス手段１０２が設けられている。
上位側のホストコンピュータ（図示せず）は、高優先度通信プロトコルに従ってプロトコルインターフェイス手段１０１と通信する。また、低優先度通信プロトコルに従ってプロトコルインターフェイス手段１０２と通信する。

通信機能実現手段１０３と１０４はプロトコルインターフェイス手段１０１と１０２にそれぞれ対応して設けられている。これらの通信機能実現手段１０３、１０４は、ＯＳＩ階層モデルのデータリンク層（第２層）にある通信機能を実現する。
優先制御手段１０５は、通信機能実現手段１０３、１０４からの送信をプロトコルの優先度に基づいて制御する。通信機能実現手段１０３、１０４はフレームを一定のフレーム長以下に分割して優先制御手段１０５に送る。
通信機能実現手段１０６は、ＯＳＩ階層モデルの物理層（第１層）にある通信機能を実現する。高優先度通信と低優先度通信が通信機能実現手段１０６を共用する。
通信局１００は通信経路１５０に接続されている。通信経路１５０を共用して高優先度通信と低優先度通信を行う。

通信機能実現手段１０３で、ＭＡＣアドレスレジスタ１２１は高優先度通信のプロトコルに対応したＭＡＣアドレスを格納する。送信受付手段１２２は通信局１００が送信するフレームを受け付ける。受信受付手段１２３は通信局１００が受信したフレームを受け付ける。
通信機能実現手段１０４も同様な構成になっている。通信機能実現手段１０４のＭＡＣアドレスレジスタ１２１は低優先度通信のプロトコルに対応したＭＡＣアドレスを格納する。

図１３の実施例の動作を説明する。
図１４は送信処理手順を示したフローチャートである。
高優先度通信の送信処理では、送信受付手段１２２は、プロトコルインターフェイス手段１０１から受け取った送信フレームの送信元アドレス部にＭＡＣアドレスレジスタ１２１のＭＡＣアドレスを付加して一旦保持する。
優先制御手段１０５が出力する送信許可信号がＨｉｇｈであれば、送信受付手段１２２はフレームを優先制御手段１０５に渡し、優先制御手段１０５はフレームを直ちに通信機能実現手段１０６に渡す。優先制御手段１０５の送信許可信号がＬｏｗであれば、送信受付手段１２２はフレームを保持し続け、送信許可信号がＨｉｇｈになるまでフレームを待機させる。優先制御手段１０５は、高優先度通信のプロトコルに割り当てられた優先度に基づいて送信許可信号を制御する．
低優先度通信の送信処理も同様にして行う。

図１５は受信処理手順を示したフローチャートである。
高優先度通信の受信処理では、通信機能実現手段１０６から受け取った受信フレームの送信先アドレスとＭＡＣアドレスレジスタ１２１に格納されたＭＡＣアドレスの比較を受信受付手段１２３で行い、不一致であればフレームを破棄し、一致していればプロトコルインターフェイス手段１０１にフレームを渡す。
低優先度通信の受信処理も同様にして行う。

優先制御手段１０５は、通信を高優先度プロトコル通信と低優先度プロトコル通信に分ける。高優先度プロトコルのフレームに対しては、他のフレームが送信中でない限り、常にその送信受付に送信権を与え、直ちにフレームを送信させる。逆に、低優先度プロトコルのフレームに対しては、送信中でなく、かつ、高優先度プロトコルの送信受付に待ちのフレームがないときに限り、送信権を与え、直ちにフレームを送信させる．
優先制御手段１０５は、各通信機能実現手段１０３、１０４からの送信フレームの一定時間当りの送信回数が、各通信機能実現手段１０３、１０４毎に割り付けた所定の値以下になるように、送信許可信号を使用して送信フレームの送信を抑制する。

図１３の実施例によれば、標準的でオープンなプロトコルによるネットワークと、リアルタイム通信を実現するような独自プロトコルによるネットワークの両方が各ホスト間での通信で必要なとき、両方のプロトコルのインターフェースを同一の通信局内にもち、それらのプロトコルの処理機能が同一の通信機能実現手段と通信経路を共用する。これによって、ハードウェアの原価やケーブルの敷設費用を低減できる。

上述した実施例で、通信局は分散型制御システムの操作監視装置、制御装置等に存在する。

なお、実施例では２重化された例を示しているが三重化以上に多重化してもよい。三重化以上の多重化構成では、一つの主経路と複数の副経路により通信経路をなす。

本発明の一実施例を示す構成図である。 通信機能実現手段の構成例を示した図である。 本発明の他の実施例を示す構成図である。 本発明の他の実施例を示す構成図である。 本発明の他の実施例を示す構成図である。 本発明の他の実施例を示す構成図である。 本発明の他の実施例を示す構成図である。 図７の実施例で制御権が切り替えられたときの説明図である。 認証手段の具体的構成例を示した図である。 図９の認証手段の動作説明図である。 本発明の他の実施例を示す構成図である。 通信局が経路状態情報を得る手順を示した説明図である。 本発明の他の実施例を示す構成図である。 送信処理手順を示したフローチャートである。 受信処理手順を示したフローチャートである。 一般的な分散型制御システムの構成例を示した図である。

符号の説明

１１ 主経路
１１ａ、１１ｂ、１２ａ、１２ｂ サブネット
１２ 副経路
２０、２２、２３、３１〜３Ｎ、４０、５０、８０ 通信局
２１ａ、２１ｂ、７１ａ、７１ｂ ユニット
７０ 通信局
７２ 多重化通信局
７３ 自己診断手段
７４ テーブル
９０、９１ ルータ
２１１、４０１ 高優先度通信手段
２１２、４０２ 低優先度通信手段
２１３ａ、２１３ｂ、２１４ａ、２１４ｂ 通信機能実現手段
２１５ アドレス保持手段
２１６、５０２ 送信手段
２１７、５０３ 受信手段
２２２ 診断メッセージ受信手段
２２３ データ受信手段
２２４ 選出手段
４０３ 経路診断手段
４０４、６０１ 切替手段
４０５ 制限手段
２２１、５０１、６０６ 経路状態格納手段
５０４ 定周期経路診断手段
５０５ 診断パケット送信手段
６０２ データ送信手段
６０３ データ受信手段
６０４ タイマ
６０５ 計数手段
６０７ 登録手段
８０１ 公開鍵生成手段
８０２ 鍵送信手段
８０３ 共通鍵生成手段
８０４ 認証パケット送信手段
８０５ 認証パケット受信手段

Claims (6)

1. 主経路と副経路により多重化された通信経路に接続された複数の通信局間で行う通信を制御する通信制御システムであって、
   前記主経路と前記副経路のそれぞれに対応して多重化されていて、ＯＳＩ階層モデルの物理層にある通信機能を実現する第１の通信機能実現手段と、
   前記多重化された第１の通信機能実現手段のそれぞれに対応して多重化されていて、ＯＳＩ階層モデルのデータリンク層にある通信機能を実現する第２の通信機能実現手段と、
   前記主経路または副経路のいずれかに対応する通信機能実現手段を介して高優先度通信を行う高優先度通信手段と、
   前記副経路に対応する通信機能実現手段を介して低優先度通信を行う低優先度通信手段と、
   前記主経路と副経路の健全性を診断する経路診断手段と、
   この経路診断手段による診断の結果、主経路が異常なときに、前記高優先度通信の通信経路を前記副経路に切り替える切替手段と、
   を有することを特徴とする通信制御システム。
2. 前記経路診断手段は、
   自局から各通信局までの経路状態情報を保持する経路状態格納手段と、
   定周期で自局から各通信局までの通信経路を診断する定周期経路診断手段と、
   を有し、
   前記定周期経路診断手段は診断結果から得た経路状態情報を前記経路状態格納手段に登録することを特徴とする請求項１に記載の通信制御システム。
3. 前記定周期経路診断手段は、
   他の通信局からの経路診断パケットの受信状態情報を含む経路診断パケットを他の通信局へ同報通信する診断パケット送信手段を有し、
   経路診断パケットを受信したとき、受信した経路診断パケットに含まれる自局が送信した経路診断パケットの受信状態情報を、自局から経路診断パケットの送信元までの通信経路の経路状態情報として前記経路状態格納手段に登録することを特徴とする請求項２に記載の通信制御システム。
4. 他の通信局にデータを送信し、所定時間内に相手局から正常受信応答が返信されないときは、データを再送するデータ送信手段と、
   データを正常に受信したときに正常受信応答を送信元に返信するデータ受信手段と、
   を有することを特徴とする請求項１乃至３のいずれかに記載の通信制御システム。
5. 自局から各通信局までの経路状態情報を保持する経路状態格納手段と、
   前記データ送信手段がデータを再送する回数をカウントする計数手段と、
   この計数手段のカウント値が規定値まで達したときに通信経路が異常と判断し、当該経路が異常であることを示す経路状態情報を前記経路状態格納手段に登録する登録手段と、
   を有することを特徴とする請求項４に記載の通信制御システム。
6. 前記データ送信手段がデータを再送する回数をカウントする計数手段と、
   前記計数手段のカウントが規定値まで達したときに通信経路が異常と判断し、通信経路を切り替える切替手段と、
   を有することを特徴とする請求項４に記載の通信制御システム。
   

Images