JP2006285845A - 耐障害性を有する情報通信システムおよび耐障害性を有する情報通信装置 - Google Patents

Abstract

【課題】 簡易な構成でありながら高い耐障害性を備えた情報通信システムおよび情報通信装置を提供する。
【解決手段】 センサ端末Ｓ１、センサ端末Ｓ２、および処理装置１００はネットワーク１０を介して接続されている。センサ端末Ｓ１は測定したデータをセンサ端末Ｓ２と処理装置１００に送信する。センサ端末Ｓ２はセンサ端末Ｓ１からデータを受信するとともに自身も独自にデータを収集している。ここでセンサ端末Ｓ２において、収集しているデータとセンサ端末Ｓ１から送信されたデータとが不一致となった場合、センサ端末Ｓ１のデータが異常であると判断し、センサ端末Ｓ１と処理装置１００に異常の発生を通知する。その後、センサ端末Ｓ１は異常の発生の通知を受けると動作を停止し、センサ端末Ｓ２が自身の収集しているデータを処理装置１００に送信する。これにより簡易な構成でありながら高い耐障害性を備えた情報通信システムを実現することができる。
【選択図】 図４

Description

本発明は情報通信システムおよび情報通信装置に関し、特に高い耐障害性を有する情報通信システムおよび情報通信装置に関する。

近年計算機システムの大規模化、複雑化ならびに並列処理化の進展に伴い、システムのノンストップ運転に関する要求が強まっている。ノンストップ運転を実現するにはサブシステムを多重化し、システム全体を管理する管理装置等によってシステム内の異常を検出し、異常が発生したサブシステムを停止して他のサブシステムに動作を切り換えるというフォールトトレラントシステムが一般に用いられている。

また、サブシステムを多重化してそれぞれに管理機能を設けたフォールトトレラントシステム等も提案されている。このようなフォールトトレラントシステムでは、多重化した各サブシステムに同じ処理を実行させ、各サブシステムの出力する処理結果のうち、多数決論理等によって最も正しいと判断される処理結果を選択し、制御対象に出力することが行われている（例えば特許文献１参照）。
特開平９−２７４５７５号公報

しかしながら、特許文献１に記載のような統合システム運転管理方式を用いる場合、これを実行するための専用の管理装置が必要であり、汎用性に乏しいものであった。さらに、管理装置等を多重化するためには複数の装置を必要とし、構成が複雑となるばかりでなくシステムを稼働させるための専用ソフトウェアの開発等が必要になり、システムが高価となるという問題を有していた。

また、各サブシステムがそれぞれの処理結果を常に出力するので、サブシステムの数を増やすとネットワークの帯域消費量が増大するという問題も有していた。

本発明は、上記問題に鑑み、簡易な構成でありながら高い耐障害性を有する情報通信システムおよび情報通信装置を提供することを目的とする。

請求項１に記載の発明は、データ収集を行い、ネットワークに接続してデータを送受信する複数の端末と、前記複数の端末のうちいずれか１つの端末から送信されるデータをネットワークを介して受信するデータ処理装置と、からなる情報通信システムにおいて、前記端末は、自己の端末よりも優先順位の高い端末のデータを受信している場合にデータの送信を中止する優先順位制御手段と、収集した自己のデータと他の端末が収集したデータを比較するデータ比較手段と、比較したデータに差異が生じた時に、差異が生じたことを示すデータが含まれる異常通知データと自己のデータとを他の端末に送信するデータ送信手段と、他の端末から受信した受信異常通知データを集計し、自己のデータと一致するデータが最多でない時に自己の端末の故障と判断してデータの送受信を停止する停止手段と、を備えたことを特徴とする。

この発明では、ネットワークで接続された複数の端末がそれぞれデータを収集し、ネットワークを介してデータの送受信をする。各端末は優先順位が定義されており、自己の端末よりも優先順位の高い端末のデータを受信している場合は、データ送信を中止する。このため、ネットワークを介して接続されたデータ処理装置は、複数の端末のいずれか１つの端末からデータを受信し、データ処理を行う。各端末は受信しているデータと自己の収集したデータを比較し、データに差異が生じた時に異常が発生したとして、異常パケットを他の端末に送信する。各端末は、受信した異常パケットを集計して最も集計数の多いデータと自己の端末のデータが異なる場合に、自己の端末を故障と判断して送受信を停止する。優先順位の高い端末が故障となり停止したときは次に優先順位の高い端末がデータを送信することになり、そのデータが各端末とデータ処理装置に送信されることになる。これにより、簡易な構成でありながら高い耐障害性を備えることができる。

請求項２に記載の発明は、上記発明において、前記端末は、単独で自己のデータについて異常を検出する自己診断手段をさらに備え、該自己診断手段が自己のデータについて異常を検出した時に前記データ送信手段は、他の端末に自己のデータが異常であることを示すデータが含まれる自己異常通知データを送信し、前記停止手段は、自己のデータが異常であることを検出した時に他の端末が収集したデータを他の端末から受信した後にデータ送受信を停止する、ことを特徴とする。

この発明では、各端末は単独で自己のデータについて異常を検出する自己検出手段を備えている。自己検出手段手段が異常を検出すると自己の端末を故障と判断して、他の端末に異常を通知し、さらに他の端末からデータを受信した後に送受信を停止する。

請求項３に記載の発明は、データ収集を行い、ネットワークに接続された装置との間でデータを送受信する情報通信装置において、自己よりも優先順位の高い装置のデータを受信している場合にデータの送信を中止する優先順位制御手段と、収集した自己のデータと他の装置から受信したデータを比較するデータ比較手段と、比較したデータに差異が生じた時に、差異が生じたことを示すデータが含まれる異常通知データと自己のデータとを他の装置に送信するデータ送信手段と、他の端末から受信した受信異常通知データを集計し、自己のデータと一致するデータが最多でない時に自己の装置の故障であると判断してデータの送受信を停止する停止手段と、を備えたことを特徴とする。

この発明では、情報通信装置がそれぞれデータを収集し、ネットワークを介して他の装置とデータの送受信をすることができる。各装置は優先順位が定義されており、自己の装置よりも優先順位の高い装置のデータを受信している場合は、データ送信を中止する。各装置は受信しているデータと自己の収集したデータを比較し、データに差異が生じた時に異常が発生したとして、異常パケットを他の装置に送信する。各装置は、受信した異常パケットを集計して最も集計数の多いデータと自己の端末のデータが異なる場合に、自己の装置を故障と判断して送受信を停止する。優先順位の高い装置が故障となり停止したときは次に優先順位の高い装置がデータを送信することになり、そのデータが各装置とデータ処理装置に送信されることになる。これにより、簡易な構成でありながら高い耐障害性を備えることができる。

請求項４に記載の発明は、上記発明において、単独で自己のデータについて異常を検出する自己診断手段をさらに備え、該自己診断手段が自己のデータについて異常を検出した時に前記データ送信手段は、自己のデータが異常であることを示すデータが含まれる自己異常通知データを送信し、前記停止手段は、自己のデータが異常であることを検出した時に他の装置が収集したデータを他の装置から受信した後にデータ送受信を停止する、ことを特徴とする。

この発明では、各装置は単独で自己のデータについて異常を検出する自己検出手段を備えている。自己検出手段手段が異常を検出すると自己の装置を故障と判断して、他の装置に異常を通知し、さらに他の装置からデータを受信した後に送受信を停止する。

以上のように、この発明によれば、ネットワークに接続された各端末がデータを収集し、優先順位の最も高い端末のみが常にデータを送信し、各端末が自己の収集したデータと受信したデータを比較するので、ネットワークの帯域消費量が増大することなくデータ異常の有無を監視することが可能となる。また、異常となった端末はデータ送受信を停止して次に優先順位の高い端末が代替してデータを送信するようになるので、システムを管理する専用の装置や専用のソフトウェア等を必要としない簡易な構成でありながら高い耐障害性を備えることが可能となる。

以下、本発明の実施形態である耐障害性を有する情報通信システムについて図を用いて詳細に説明する。
図１は本発明の情報通信システムを示すブロック図である。同図のように、本発明の情報通信システムは、処理装置１００とネットワーク１０を介して接続されるセンサ端末Ｓ１およびセンサ端末Ｓ２から構成される。ここではセンサ端末がセンサ端末Ｓ１とセンサ端末Ｓ２の２台接続される場合を例にとって説明する。

各センサ端末は、データを収集するデータ収集部、自己のセンサ端末についての障害の発生を検出する自己診断部、データの送受信を行う通信処理部、およびセンサ端末を制御する制御部を備えている。処理装置１００は各センサ端末からデータを受信する通信処理部と、受信したデータの解析処理を行うデータ解析部と、データの解析結果を外部ディスプレイ等に出力して表示する外部表示部のうち、少なくとも１つを備えている。

図１においてはセンサ端末Ｓ１がデータを送信し、センサ端末Ｓ２と処理装置１００がデータを受信する場合の情報通信システムを示している。このような情報通信システムの動作について説明する。まず、センサ端末Ｓ１とセンサ端末Ｓ２は、それぞれ独自にデータ収集を行い、収集したデータについて異常が無いか否かを自己診断を行う。その後それぞれが収集したデータをネットワーク１０を介して送信する。送信したデータは互いのセンサ端末に受信される。ここで、センサ端末にはそれぞれ優先順位が定義されており、自己よりも優先順位の高いセンサ端末からデータを受信したときはデータの送信を中止する。図１においてはセンサ端末Ｓ２よりもセンサ端末Ｓ１の方が優先順位が高いため、センサ端末Ｓ２はセンサ端末Ｓ１からのデータを受信するとデータの送信を中止する。その結果センサ端末Ｓ１だけがデータを送信することとなる。したがって処理装置１００においてはセンサ端末Ｓ１が収集したデータが受信される。処理装置１００は受信したセンサ端末Ｓ１のデータを解析して結果を外部ディスプレイ等に表示する。

センサ端末の優先順位は、イーサネット（登録商標）アドレス等を基準に定義すればよい。本実施形態ではそれぞれのセンサ端末が送信するデータに発信元を示すヘッダ情報を付随して送信する。このヘッダ情報にイーサネット（登録商標）アドレス等を含める。これにより各センサ端末において、受信したデータがどのセンサ端末から送信されたデータであるかの識別と優先順位の判断ができる。なお、センサ端末の優先順位は上記の定義に限らず、情報通信システム内で重複しない番号を用いればどのようなものであってもよい。例えば各センサ端末のシリアル番号等を基準にしてもよい。また、乱数等を用いてランダムにセンサ端末を選択するようにしてもよい。いずれか１つのセンサ端末がデータを送信するようにすれば、どのセンサ端末を選択してもよい。

センサ端末Ｓ２はデータの送信を中止するが、独自にデータの収集は続行し、収集したデータについて異常が無いか否かの自己診断も続行する。さらにセンサ端末Ｓ２の制御部はセンサ端末Ｓ１から受信したデータと、自己が独自に収集したデータとを常時比較する。すなわち、センサ端末Ｓ２の制御部はセンサ端末Ｓ１のデータについて異常がないか否かの監視を行うことになる。センサ端末Ｓ１から受信したデータとセンサ端末Ｓ２が独自に収集したデータに差異が無い場合、情報通信システムが正常に機能していると判断する。ここでセンサ端末Ｓ１から受信したデータとセンサ端末Ｓ２の収集しているデータに差異が生じた場合、センサ端末Ｓ２の制御機能はセンサ端末Ｓ１に異常が生じたと判断する。

図２は異常時の情報通信システムを示すブロック図である。上記のようにセンサ端末Ｓ２において、センサ端末Ｓ１から受信したデータとセンサ端末Ｓ２が独自に収集したデータに差異が生じた時に、図２に示す異常時の動作を開始する。センサ端末Ｓ２の制御部は、センサ端末Ｓ１に異常が生じたと判断すると、センサ端末Ｓ１と処理装置１００に対して、センサ端末Ｓ１に異常が発生している旨を示すデータである異常パケットを送信する。異常パケットは差異が発生したことを示す情報とセンサ端末２が収集しているデータ等が含まれている。

図３は、データの伝送に用いるパケットの一例である。同図に示すように、センサ端末が送信するパケットは、センサ端末の優先順位ＩＤ（発信元を示すヘッダ情報）を示すデータと、センサ端末の状態を示すデータと、計測したデータとを含んでいる。優先順位ＩＤは、上述したようにそのセンサ端末に固定のデータである。センサ端末の状態を示すデータは、センサ端末の状態に応じて、システムが正常に動作していると判断しているときに送信する正常データ、自己のセンサ端末についての障害の発生を検出したときに送信する自己診断結果異常データ、受信したデータと自己の計測しているデータが一致しなかった場合に送信する不一致発生データ、受信したデータと自己の計測したデータのいずれが正常かを判断できない場合に送信する正常データ決定不能データ、のうちいずれかを選択して送信する。

センサ端末Ｓ１の自己診断機能が自己のセンサ端末Ｓ１について異常が発生したことを検出した場合についても図２に示す異常時の動作を開始する。この場合、センサ端末Ｓ１の自己診断部からセンサ端末Ｓ１の制御部に自己のセンサ端末Ｓ１に異常が発生したことが通知されると、センサ端末Ｓ２と処理装置１００にセンサ端末Ｓ１に異常が発生している旨を示す自己診断結果異常データを含む異常パケットを送信する。センサ端末Ｓ２の制御部はセンサ端末Ｓ１から異常パケットを受信すると、センサ端末Ｓ２が独自に収集しているデータをセンサ端末Ｓ１と処理装置１００に送信する。センサ端末Ｓ１はセンサ端末Ｓ２が収集しているデータを受信した後、データの送信を停止する。この結果、異常の発生したセンサ端末Ｓ１に代替してセンサ端末Ｓ２が収集しているデータを送信することになる。

処理装置１００はセンサ端末Ｓ１から異常パケットを受信すると、外部ディスプレイ等に異常発生の表示を行う。その後、センサ端末Ｓ２からデータを受信して解析結果を外部ディスプレイ等に表示する。このとき、データを受信しているセンサ端末がセンサ端末Ｓ１からセンサ端末Ｓ２に変更された旨を表示するようにしてもよい。

以上のように、センサ端末Ｓ１は収集するデータについて自己診断を行うとともに、センサ端末Ｓ１が送信するデータをセンサ端末Ｓ２が監視し、センサ端末Ｓ１の異常時にはセンサ端末Ｓ２が代替してデータを送信するため、ネットワーク管理装置などの専用装置等を必要としない簡易な構成でありながら高い耐障害性を実現することができる。

図４はセンサ端末をｎ台備えた構成の情報通信システムを示す図である。
同図に示すようにこの例における情報通信システムは、処理装置１００とネットワーク１０を介して接続されるｎ台のセンサ端末Ｓ１〜Ｓｎから構成される。この例においても各センサ端末は、データを収集するデータ収集部、自己のセンサ端末についての障害の発生を検出する自己診断部、データの送受信を行う通信処理部、およびセンサ端末を制御する制御部を備えている。処理装置１００は各センサ端末からデータを受信する通信処理部と、受信したデータの解析処理を行うデータ解析部と、データの解析結果を外部ディスプレイ等に出力して表示する外部表示部のうち、少なくとも１つを備えている。

図４においてはセンサ端末Ｓ１がデータを送信し、他のセンサ端末Ｓ２〜Ｓｎと処理装置１００がデータを受信する場合の情報通信システムを示している。このような情報通信システムの動作について説明する。まず、センサ端末Ｓ１〜Ｓｎは、それぞれ独自にデータ収集を行い、収集したデータについて異常が無いか否かを自己診断を行う。その後、それぞれが収集したデータをネットワーク１０を介して送信する。送信したデータはそれぞれのセンサ端末に受信される。ここで、センサ端末には優先順位が定義されており、自己よりも優先順位の高いセンサ端末からデータを受信したときはデータの送信を中止する。同図においてはセンサ端末Ｓ１が最も優先順位が高いため、他のセンサ端末Ｓ２〜Ｓｎはセンサ端末Ｓ１からのデータを受信するとデータの送信を中止する。その結果センサ端末Ｓ１だけがデータを送信することとなり、センサ端末Ｓ１はメインのセンサ端末として機能する。したがって処理装置１００においてはセンサ端末Ｓ１が収集したデータが受信される。処理装置１００は受信したセンサ端末Ｓ１のデータを解析して結果を外部ディスプレイ等に表示する。

この例においてもセンサ端末の優先順位は、イーサネット（登録商標）アドレス等を基準に定義すればよい。本実施形態ではそれぞれのセンサ端末が送信するデータに発信元を示すヘッダ情報を付随して送信する。このヘッダ情報にイーサネット（登録商標）アドレス等を含める。これにより各センサ端末において、受信したデータがどのセンサ端末から送信されたデータであるかの識別と優先順位の判断ができる。なお、ここでもセンサ端末の優先順位は上記の定義に限らず、情報通信システム内で重複しない番号を用いればどのようなものであってもよい。例えば各センサ端末のシリアル番号等を基準にしてもよいし、乱数等を用いてランダムに装置を選択するようにしてもよい。各センサ端末が送信するデータは、図３に示したように、センサ端末の優先順位ＩＤを示すデータやセンサ端末の状態を示すデータ等を含むものである。

他のセンサ端末Ｓ２〜Ｓｎはデータの送信を中止するが、独自にデータの収集は続行し、収集したデータについて異常が無いか否かの自己診断も続行する。さらにセンサ端末Ｓ２〜Ｓｎの制御部はセンサ端末Ｓ１から受信したデータと、自己が独自に収集したデータとを常時比較する。すなわち、センサ端末Ｓ２〜Ｓｎの制御部はメインのセンサ端末Ｓ１のデータについて異常がないか否かの監視を行うことになる。各センサ端末において、センサ端末Ｓ１から受信したデータと自己が独自に収集したデータに差異が無い場合、情報通信システムが正常に機能していると判断する。ここで他のセンサ端末Ｓ２〜Ｓｎのうち、あるセンサ端末Ｓｘにおいて、センサ端末Ｓ１から受信したデータとセンサ端末Ｓｘが独自に収集したデータに差異が生じた場合、センサ端末Ｓｘの制御機能はセンサ端末Ｓ１に異常が生じたと判断する。

図５はセンサ端末をｎ台備えた構成の異常時の情報通信システムを示す図である。上記のようにセンサ端末Ｓ２〜Ｓｎのうち、あるセンサ端末Ｓｘにおいて、メインのセンサ端末Ｓ１から受信したデータとセンサ端末Ｓｘが独自に収集したデータに差異が生じた時に図５に示す異常時の動作を開始する。センサ端末Ｓｘの制御機能は、センサ端末Ｓ１に異常が生じたと判断すると、センサ端末Ｓｘ以外の全てのセンサ端末と処理装置１００に異常が発生している旨を示す不一致発生データを含む異常パケットを送信する。異常パケットは差異が発生したことを示す不一致発生データとセンサ端末Ｓｘが収集しているデータ等が含まれている。

このようにセンサ端末Ｓｘにおいて、メインのセンサ端末Ｓ１から受信したデータとセンサ端末Ｓｘが独自に収集したデータに差異が生じるのは、メインのセンサ端末Ｓ１に異常が発生したかセンサ端末Ｓｘに異常が発生したかのいずれかの場合である。以下、メインのセンサ端末Ｓ１に異常が発生した場合と、センサ端末Ｓｘに異常が発生した場合とに分けて説明する。

［センサ端末Ｓ１に異常が発生した場合］
センサ端末Ｓｘ以外のセンサ端末は、センサ端末Ｓｘと同様にメインのセンサ端末Ｓ１の異常を検出していた場合は直ちに異常パケットを送信するので、センサ端末Ｓｘから異常パケットを受信した時には既に異常パケットを送信していることになる。したがって、それぞれのセンサ端末において自身以外のセンサ端末から異常パケットが送信されることになる。その後、それぞれのセンサ端末は、受信した異常パケットと自身が独自に収集したデータを比較する。

その結果、自身が独自に収集したデータが含まれる異常パケットの数が最も多ければ自身の収集したデータは正常であると判断する。自身が独自に収集したデータが含まれる異常パケットの数が少ない、あるいは存在しなければ自身のセンサ端末に異常があると判断してデータの送受信を停止する。すなわち、ここではメインのセンサ端末Ｓ１に異常が発生しており、センサ端末Ｓ１では自身のデータが含まれる異常パケットが存在しないため送受信を停止することになる。他のセンサ端末では、自身のデータが含まれる異常パケットが最も多いためデータの送受信を継続する。

収集したデータを送信していたメインのセンサ端末であるセンサ端末Ｓ１が停止すると、正常時の情報通信システムの動作に復帰する。すなわち、他のセンサ端末において再びそれぞれが収集したデータを送信し、自己のセンサ端末よりも優先順位の高いデータを受信した場合は送信を中止する。上述の例で言うと、センサ端末Ｓ１がデータの送受信を停止すると、センサ端末Ｓ１以外の端末は再び互いに自己が収集したデータを送受信し、センサ端末Ｓ１の次に優先順位の高いセンサ端末Ｓ２以外のセンサ端末は送信を中止して、センサ端末Ｓ２が代替して収集したデータを送信することになる。

処理装置１００は、センサ端末Ｓｘから異常パケットを受信すると、外部ディスプレイ等に異常発生の表示を行う。その後、センサ端末Ｓ１が停止した場合には、センサ端末Ｓ２からデータを受信してその解析結果を外部ディスプレイ等に表示する。このとき、データを受信しているセンサ端末がセンサ端末Ｓ１からセンサ端末Ｓ２に変更された旨を表示するようにしてもよい。

また、センサ端末Ｓ１の自己診断部が自己のセンサ端末Ｓ１について異常を検出した場合についても図５に示す異常時の動作を開始する。この場合、センサ端末Ｓ１の自己診断部からセンサ端末Ｓ１の制御部に自己のセンサ端末Ｓ１に異常が発生したことが通知されると、センサ端末Ｓ２〜Ｓｎ、および処理装置１００にセンサ端末Ｓ１に異常が発生している旨を示す自己診断結果異常データを含む異常パケットを送信する。センサ端末Ｓ２〜Ｓｎはセンサ端末Ｓ１から異常パケットを受信すると、それぞれのセンサ端末が独自に収集しているデータを他のセンサ端末に送信する。センサ端末Ｓ１はセンサ端末Ｓ２〜Ｓｎからデータを受信した後、すなわちセンサ端末Ｓ２〜Ｓｎがデータの送信を行ったことを確認してからデータの送信を停止する。センサ端末Ｓ２はセンサ端末Ｓ１の次に優先順位が高いので、センサ端末Ｓ３〜Ｓｎは優先順位の高いセンサ端末Ｓ２からデータを受信した後、自己が独自に収集したデータの送信を停止する。この結果、それ以降は異常の発生したセンサ端末Ｓ１に代替してセンサ端末Ｓ２が収集しているデータを送信することになる。

ここで処理装置１００はセンサ端末Ｓ１から異常パケットを受信すると、外部ディスプレイ等に異常発生の表示を行う。その後、センサ端末Ｓ２からデータを受信して解析結果を外部ディスプレイ等に表示する。このとき、データを受信しているセンサ端末がセンサ端末Ｓ１からセンサ端末Ｓ２に変更された旨を表示するようにしてもよい。

［センサ端末Ｓｘに異常が発生した場合］
一方で、センサ端末Ｓｘに異常が発生して、センサ端末Ｓｘが独自に収集しているデータとセンサ端末Ｓ１から送信されるデータに差異が生じた場合、センサ端末Ｓｘは異常を示す不一致発生データと自身が独自に収集したデータとを含む異常パケットを他のセンサ端末に送信する。

センサ端末Ｓｘ以外のセンサ端末は、センサ端末Ｓｘから異常パケットを受信した場合、センサ端末Ｓｘから受信したデータと自身が独自に収集したデータを比較し、不一致発生データを含む異常パケットを送信する。つまり、センサ端末Ｓｘ以外の端末において、センサ端末Ｓｘから異常パケットを受信した時には情報通信システム全体に異常がないと判断しているので、センサ端末Ｓｘのデータと自己の収集したデータに差異が生じることになる。よって、その端末においては、センサ端末Ｓｘのデータに異常があると判断して不一致発生データを含む異常パケットを送信することになる。

その後、それぞれのセンサ端末において、自身以外のセンサ端末から異常パケットが送信されることになるので、受信した異常パケットと自身が独自に収集したデータを比較する。その結果自身が独自に収集したデータが含まれる異常パケットの数が最も多ければ自身の収集したデータは正常であると判断して、データの送受信を継続する。自身が独自に収集したデータが含まれる異常パケットの数が少ない、あるいは存在しなければ自身のセンサ端末に異常があると判断してデータの送受信を停止する。

つまり、センサ端末Ｓｘにおいて、センサ端末Ｓ１の異常パケットを送信した後に受信する他のセンサ端末から送信される異常パケットと自身が独自に収集したデータを比較すると、自身のデータと一致するパケットが少なく、一致しないパケットが最も多いので、センサ端末Ｓｘ自身が異常であるとしてデータ送受信を停止することになる。一方でセンサ端末Ｓ１はこの場合、センサ端末Ｓｘからは異常パケットが送信されてくるが、他のセンサ端末から送信されてくる異常パケットと自身が収集したデータを比較した結果、自身のデータと一致するパケットが最も多いので、センサ端末Ｓ１に異常は無いと判断してデータ送信を継続する。同様にセンサ端末Ｓ２〜Ｓｎのうちセンサ端末Ｓｘ以外のセンサ端末においても、自己のセンサ端末に異常は無いと判断してセンサ端末Ｓ１から送信されてくるデータの受信を継続する。

処理装置１００は、センサ端末Ｓｘが停止した場合は、センサ端末Ｓ１からのデータ受信を継続してその解析結果を外部ディスプレイ等に表示する。このとき。センサ端末Ｓｘが異常により停止した旨を表示するようにしてもよい。

以上のように、センサ端末Ｓ１は収集するデータについて自己診断を行うとともに、センサ端末Ｓ１が送信するデータを他のセンサ端末Ｓ２〜Ｓｎが監視し、センサ端末Ｓ１の異常時にはセンサ端末Ｓ２が代替してデータを送信し、センサ端末Ｓ２の異常時にはセンサ端末Ｓ３が代替してデータを送信する、というようにネットワーク管理装置などの専用装置等を必要としない簡易な構成でありながら高い耐障害性を実現することができる。また、正常動作時は１つのセンサ端末（例えばセンサ端末Ｓ１）のデータのみ通信されるので、センサ端末の数が多数になった場合であっても、ネットワークの帯域消費量が増大することなくデータ異常の有無を監視することが可能となる。さらに監視する他のセンサ端末Ｓ２〜Ｓｎのいずれかに異常が発生して、誤ってセンサ端末Ｓ１に異常が有るという判断をしても、その後他のセンサ端末が自己のデータを送信することで、監視する他のセンサ端末の異常発生も検出することが可能となる。

次に、各センサ端末の処理についてフローチャートを用いて詳細に説明する。
図６は情報通信システムの稼働開始時、および正常動作を開始した時に各センサ端末が行う処理であるメインフェーズを示したフローチャートである。まず、各センサ端末は、収集したデータを計測し、他の端末にデータを送信する（ｓ１）。その後、受信したデータに付随しているヘッダ情報をからデータ発信元を調べ、自己よりも優先度の高いデータが受信されたか否かを判断する（ｓ２）。優先度の高いデータを受信した場合は、データの送信を停止し（ｓ３）、最も優先度の高いセンサ端末が送信するデータを監視する処理であるホットスタンバイフェーズへ移る（ｓ４）。ホットスタンバイフェーズについては後に詳しく述べる。

優先度の高いセンサ端末からデータを受信しなかった場合、すなわち自己のセンサ端末が最も優先度の高い場合は、自己のセンサ端末に異常が無いか否かを判断する（ｓ５）。ここで、自己のセンサ端末について異常が有ると判断した場合は、他のセンサ端末に対して自己のセンサ端末に自己診断結果異常データを含む異常パケットを送信する（ｓ６）。その後、他のセンサ端末が独自に収集しているデータが自身に代行して送信されたか否かを判断し（ｓ７）、これを受信した場合は自己のデータの送信を停止する（ｓ８）。他のセンサ端末からデータが送信されるまでは自己のセンサ端末に異常が発生した旨の異常パケットを送信し続ける（ｓ７→ｓ６）。その後、セルフテストを行い（ｓ９）、自身のセンサ端末に異常が有るか否かの判断を行う（ｓ１０）。異常があると判断した場合にはセルフテストを繰り返す（ｓ１０→ｓ９）。異常がないと判断した場合は、メインフェーズ（ｓ１４）を最初から行う。

また、ｓ５において自己のセンサ端末に異常がなければ他の端末から異常を通知するデータである異常パケットが送信されたか否かを判断する（ｓ１１）。異常パケットが送信されていなければ自己の収集したデータを送信する処理から繰り返す（ｓ１１→ｓ１）。他のセンサ端末から異常パケットが送信された場合は、不一致発生データを含む異常パケットを他のセンサ端末に送信し（ｓ１２）、情報通信システムが異常時に行う処理である代替調停フェーズへ移る（ｓ１３）。代替調停フェーズについては後に詳しく述べる。

図７はホットスタンバイフェーズを示したフローチャートである。前述のようにホットスタンバイフェーズは、最も優先順位の高いセンサ端末の送信するデータを監視する処理である。まず、自己の端末について自己診断を行う（ｓ１５）。自己診断の結果、異常が無いか否かを判断する（ｓ１６）。自己のセンサ端末が異常であると判断した時は、自己診断を繰り返す（ｓ１６→ｓ１５）。

自己のセンサ端末に異常がないと判断した場合は、データを計測し（ｓ１７）、所定時間内に最も優先順位の高いセンサ端末からデータが受信されたか否かの判断を行う（ｓ１８）。データが受信されなければメインフェーズに移行する（ｓ１４）。データが受信された場合、最も優先順位の高いセンサ端末が自己診断により異常を検出したか否かを判断する（ｓ１９）。すなわち、最も優先順位の高いメインのセンサ端末から異常が発生した旨の異常パケットが送信されたか否かを判断する。メインのセンサ端末から異常が発生した旨の異常パケットが送信された場合はメインフェーズへ移る（ｓ１４）。

メインのセンサ端末から異常が発生した旨の異常パケットが送信されなければ、他のセンサ端末から不一致発生データを含む異常パケットが送信されたか否かを判断する（ｓ２０）。異常パケットが送信されていない場合、最も優先順位の高いメインのセンサ端末から受信したデータと、自身の収集したデータを比較する（ｓ２１）。その後、データに差異が有るか否かの判断を行い（ｓ２２）、差異が発生していなければ自己診断から処理を繰り返す（ｓ２２→ｓ１５）。差異が発生した場合、不一致発生データを含む異常パケットを他のセンサ端末に送信し（ｓ２３）、代替調停フェーズに移行する（ｓ１３）。

他のセンサ端末から不一致発生データを含む異常パケットが送信されていないと判断した場合は、不一致発生データを含む異常パケットを他のセンサ端末に送信し（ｓ２０→ｓ２３）、代替調停フェーズに移行する（ｓ１３）。

図８は代替調停フェーズを示したフローチャートである。前述のように代替調停フェーズは情報通信システムの異常時に行う処理である。まず、不一致発生データを含む異常パケットを受信したか否かを判断する（ｓ２４）。異常パケットを受信した場合、自己が収集したデータと比較する（ｓ２５）。比較した結果、データが一致した場合は一致数をカウントし（ｓ２６）、不一致の場合は不一致数をカウントする（ｓ２７）。その後、所定時間が経過したか否かを判断する（ｓ２８）。異常パケットを受信してなければ、データ比較をせずに所定時間が経過した否かの判断を行う（ｓ２４→ｓ２８）。所定の時間は、他のセンサ端末から異常パケットを受信できる程度に設定すればどのような時間であってもよい。

所定の時間が経過した場合、カウントした一致数と不一致数の比較を行う（ｓ２９）。一致数が不一致数以上であった場合（一致数≧不一致数）、自己のデータと一致するデータを送信するセンサ端末が最も多いので、自己のセンサ端末は正常であると判断して正常データを含むパケットを他のセンサ端末に送信し（ｓ３０）、メインフェーズに移行する（ｓ１４）。一致数と不一致数が等しい場合（一致数＝不一致数−１）、正常であるか否かの判断ができないため、正常データ決定不能データを含むパケットを送信し（ｓ３１）、メインフェーズに移行する（ｓ１４）。

一致数が不一致数未満であった場合（一致数＜不一致数−１）、自己のデータと一致するデータを送信するセンサ端末は少ない、または０であるので、自己のセンサ端末の収集データが異常と考えられる。そこで、最も優先順位の高いメインセンサ端末からデータを受信し（ｓ３２）、自己も独自にデータを計測し（ｓ３３）、メインセンサ端末のデータと自己の収集したデータとを比較する（ｓ３４）。メインセンサ端末のデータと自己の収集したデータが一致しない場合は、メインセンサ端末のデータの受信から処理を繰り返す（ｓ３４→ｓ３２）。メインセンサ端末のデータと自己の収集したデータが一致した場合は、メインセンサ端末のデータを監視するホットスタンバイフェーズへ移行する（ｓ４）。

以上の説明を整理すると、本実施形態の情報通信システムは、ネットワークに接続された各センサ端末がデータを収集し、優先順位の最も高いセンサ端末のみが常にデータを送信し、他のセンサ端末が自己の収集したデータと優先順位の最も高いセンサ端末のデータとを比較するようになる。これにより他のセンサ端末が優先順位の最も高いメインのセンサ端末を監視することになる。他のセンサ端末のいずれかにおいてメインのセンサ端末の異常を検出すると、それぞれのセンサ端末が異常パケットを互いに送受信することになり、さらにその異常パケットを各センサ端末において自己の収集したデータと比較する。これにより真にメインのセンサ端末に異常が発生したか、検出したセンサ端末に異常が発生したためにそのセンサ端末が誤ってメインのセンサ端末に異常が発生したと判断したかを多数決論理的に容易に判定することができる。

また、異常が発生したセンサ端末はメインセンサ端末のデータと自己の収集したデータが一致するまで、比較を繰り返して、以後誤ったデータを通信システム内に送信することが無くなる。メインのセンサ端末に異常が発生した場合は、次に優先順位の高いセンサ端末が代替してデータ送信をすることになり、メインのセンサ端末は代替センサ端末から送信されるデータと自己の収集データの比較を繰り返して、以後誤ったデータを通信システム内に送信することが無くなる。

以上のように、本実施形態の情報通信システムは、専用の管理装置やソフトウェア等を必要としない簡易な構成でありながら高い耐障害性を実現することができる。

本発明の情報通信システムを示すブロック図 異常時の情報通信システムを示すブロック図 データの伝送に用いるパケットの一例を示す図 センサ端末をｎ台備えた構成の情報通信システムを示す図 センサ端末をｎ台備えた構成の異常時の情報通信システムを示す図 メインフェーズを示したフローチャート ホットスタンバイフェーズを示したフローチャート 代替調停フェーズを示したフローチャート

符号の説明

Ｓ−センサ端末
１−センサ端末のデータ収集部
２−センサ端末の自己診断部
３−センサ端末の制御部
４−センサ端末の通信処理部
５−処理装置の通信処理部
６−処理装置のデータ解析部
７−処理装置の外部表示部
１０−ネットワーク
１００−処理装置

Claims (4)

1. データ収集を行い、ネットワークに接続してデータを送受信する複数の端末と、前記複数の端末のうちいずれか１つの端末から送信されるデータをネットワークを介して受信するデータ処理装置と、からなる情報通信システムにおいて、
   前記端末は、自己の端末よりも優先順位の高い端末のデータを受信している場合にデータの送信を中止する優先順位制御手段と、
   収集した自己のデータと他の端末が収集したデータを比較するデータ比較手段と、
   比較したデータに差異が生じた時に、差異が生じたことを示すデータが含まれる異常通知データと自己のデータとを他の端末に送信するデータ送信手段と、
   他の端末から受信した受信異常通知データを集計し、自己のデータと一致するデータが最多でない時に自己の端末の故障と判断してデータの送受信を停止する停止手段と、
   を備えた耐障害性を有する情報通信システム。
2. 前記端末は、単独で自己のデータについて異常を検出する自己診断手段をさらに備え、
   該自己診断手段が自己のデータについて異常を検出した時に前記データ送信手段は、他の端末に自己のデータが異常であることを示すデータが含まれる自己異常通知データを送信し、
   前記停止手段は、自己のデータが異常であることを検出した時に他の端末が収集したデータを他の端末から受信した後にデータ送受信を停止する、
   請求項１に記載の耐障害性を有する情報通信システム。
3. データ収集を行い、ネットワークに接続された装置との間でデータを送受信する情報通信装置において、
   自己よりも優先順位の高い装置のデータを受信している場合にデータの送信を中止する優先順位制御手段と、
   収集した自己のデータと他の装置から受信したデータを比較するデータ比較手段と、
   比較したデータに差異が生じた時に、差異が生じたことを示すデータが含まれる異常通知データと自己のデータとを他の装置に送信するデータ送信手段と、
   他の端末から受信した受信異常通知データを集計し、自己のデータと一致するデータが最多でない時に自己の装置の故障であると判断してデータの送受信を停止する停止手段と、
   を備えた耐障害性を有する情報通信装置。
4. 単独で自己のデータについて異常を検出する自己診断手段をさらに備え、
   該自己診断手段が自己のデータについて異常を検出した時に前記データ送信手段は、自己のデータが異常であることを示すデータが含まれる自己異常通知データを送信し、
   前記停止手段は、自己のデータが異常であることを検出した時に他の装置が収集したデータを他の装置から受信した後にデータ送受信を停止する、
   請求項３に記載の耐障害性を有する情報通信装置。

Images