JP2022067483A - コントローラ仮想化装置、及び、制御システム - Google Patents

Abstract

【課題】障害の発生態様に関わらず制御対象を安定的に制御でき、優れた高可用性を有しながらも低コストで長期安定供給可能なコントローラ仮想化装置、及び、制御システムを提供する。
【解決手段】コントローラ仮想化装置は、制御対象に対する制御信号を生成するための１以上の仮想機械をそれぞれ含む複数のコントローラ仮想化装置と、複数のコントローラ仮想化装置からの制御信号を制御対象に伝送するための１以上のＯＴラインと、を備える。複数のコントローラ仮想化装置は、それぞれ、１以上のＯＴラインを介して、仮想機械の生存確認信号、又は、信頼性確認信号を互いに送受信するように構成される。
【選択図】図１

Description

本開示は、コントローラ仮想化装置、及び、制御システムに関する。

例えば各種機器を含むプラントを制御対象とする制御システムとして、制御機能を各機器に対応して複数の制御盤に分散させた分散型制御システム（ＤＣＳ：Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）が知られている。分散型制御システムでは、構成の規模が複数の制御盤にわたるため、大きな製造コストが課題となっている。このような課題を解決するために、仮想化技術を利用することで、単一の物理コントローラ上に複数の仮想機械（ＶＭ：Ｖｅｒｔｕｒａｌ Ｍａｃｈｉｎｅ）を搭載したコントローラ仮想化装置において、各仮想機械で独立的にアプリケーションを実行することで、製造コストを抑えた分散型制御システムが実現できる。

この種のコントローラ仮想化装置を含む制御システムでは、リアルタイム性が必要であり、更に障害発生時においても制御機能を安定的に維持できる可用性が要求される。リアルタイム性は、仮想化ソフトウェア（ハイパーバイザ）をリアルタイム化し、仮想機械上のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）としてリアルタイムＯＳを搭載することで実現可能である。一方で高可用性は、ハードウェアのランダムな障害発生に備え、物理コントローラを冗長化させることが一般的である。冗長化された構成では、制御対象に対して実際に制御信号を出力する稼働側装置と、稼働側装置と同等の構成を有する待機側装置とを含み、稼働側装置に障害が発生した場合に、制御周期（例えばミリ秒）単位で待機側装置に切り替えることで、制御機能が維持される。

このように仮想化技術を利用したコントローラ仮想化装置を含む制御システムとして、例えば特許文献１がある。特許文献１では、仮想機械で稼働している各アプリケーションの動作状態を、生存確認信号であるハートビートメッセージを送信することで監視し、ハートビートメッセージに対する応答が適切に得られなかった場合に、仮想機械の再起動が実施されている。

特許第５８５１５０３号公報

上述のように高可用性を実現するために、稼働側装置と待機側装置とを含む冗長化又は多重化された構成では、稼働側装置と待機側装置との間を接続するイーサネット（登録商標）等の汎用ネットワークを介して、上記特許文献１のような生存確認信号を互いに送受信することで、障害発生時における装置切り替えが行われていた。しかしながら、イーサネット（登録商標）等の汎用ネットワークを直結して構成する接続ケーブルに断線などの障害が発生した場合や、その一方がコネクタから脱落した場合には、両方のコネクタのリンク状態が切れてしまう。この場合、生存確認信号の送受信結果によっては、両方の系が稼働側装置となって制御出力信号（以下、単に「制御信号」と称する）が競合してしまったり、両方の系が待機側装置となることで稼働側装置が存在しなくなるなど、安定した制御の継続が困難になるおそれがあった。

本開示の少なくとも一態様は、上述の事情に鑑みなされたものであり、障害の発生態様に関わらず制御対象を安定的に制御でき、優れた高可用性を有しながらも低コストで長期安定供給可能なコントローラ仮想化装置、及び、制御システムを提供することを目的とする。

本開示の少なくとも一態様に係るコントローラ仮想化装置は、上記課題を解決するために、
制御対象に対する制御信号を生成するための１以上の仮想機械をそれぞれ含む複数のコントローラ仮想化装置と、
前記複数のコントローラ仮想化装置からの前記制御信号を前記制御対象に伝送するための１以上のＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ：制御・運用技術）ネットワーク通信ライン（以下、単に「ＯＴライン」と称する）と、
を備え、
前記複数のコントローラ仮想化装置は、それぞれ、前記１以上のＯＴラインを介して、前記仮想機械の生存確認信号、又は、信頼性確認信号を互いに送受信するように構成される。

本開示の少なくとも一態様によれば、障害の発生態様に関わらず制御対象を安定的に制御でき、優れた高可用性を有しながらも低コストで長期安定供給可能なコントローラ仮想化装置、及び、制御システムを提供できる。

第１実施形態に係る制御システムの全体構成図である。 図１の制御システムにおいて一方のコントローラ仮想化装置側で障害が発生した場合の様子を示す図である。 図１の制御システムにおいて両方のコントローラ仮想化装置で障害が生じた場合の様子を示す図である。 第２実施形態に係る制御システムの全体構成図である。 第３実施形態に係る制御システムの全体構成図である。 第４実施形態に係る制御システムの全体構成図である。 図６の制御システムにおいて二重障害が発生した状況を示す図である。

以下、添付図面を参照して本開示の幾つかの実施形態について説明する。ただし、実施形態として記載されている又は図面に示されている構成部品の寸法、材質、形状、その相対的配置等は、本開示の範囲をこれに限定する趣旨ではなく、単なる説明例にすぎない。
例えば、「ある方向に」、「ある方向に沿って」、「平行」、「直交」、「中心」、「同心」或いは「同軸」等の相対的或いは絶対的な配置を表す表現は、厳密にそのような配置を表すのみならず、公差、若しくは、同じ機能が得られる程度の角度や距離をもって相対的に変位している状態も表すものとする。
例えば、「同一」、「等しい」及び「均質」等の物事が等しい状態であることを表す表現は、厳密に等しい状態を表すのみならず、公差、若しくは、同じ機能が得られる程度の差が存在している状態も表すものとする。
例えば、四角形状や円筒形状等の形状を表す表現は、幾何学的に厳密な意味での四角形状や円筒形状等の形状を表すのみならず、同じ効果が得られる範囲で、凹凸部や面取り部等を含む形状も表すものとする。
一方、一の構成要素を「備える」、「具える」、「具備する」、「含む」、又は、「有する」という表現は、他の構成要素の存在を除外する排他的な表現ではない。

図１は第１実施形態に係る制御システム１００の全体構成図である。制御システム１００は、オペレータの操作に基づいて制御対象２００を制御するためのシステムである。制御対象２００は、制御システム１００から出力される制御信号Ｓに基づいて制御可能な任意の機器を含むことができるが、本実施形態では、各種機器から構成されるプラントを一例に説明する。プラントは、例えば発電プラント（火力発電プラント、原子力発電プラント、水力発電プラント又は風力発電プラント等）である。

制御システム１００は、オペレータが操作可能なオペレーション装置１１０と、制御対象２００からの各種センサ入力、制御ロジックの内部状態、及び、オペレーション装置１１０からの入力に基づいて制御対象２００を制御するための制御信号を生成可能なコントローラ仮想化装置１２０と、を備える。

尚、以下の実施形態では、オペレータの操作に基づいて制御対象２００を制御するための制御システム１００について述べるが、本願発明は、オペレータの操作に基づくことなく制御対象２００を自動制御するための制御システムにも適用可能である。この場合、制御システム１００は、オペレーション装置１１０に代えて指令信号Ｄを生成するための構成を有することとなり、オペレーション装置１１０は不要である。

オペレーション装置１１０は、オペレータの操作を受け付けるとともに、操作内容に基づいてコントローラ仮想化装置１２０に対する指令信号Ｄを生成する。本実施形態では、オペレーション装置１１０は、制御対象２００の状態を監視するための監視部１１２と、オペレータの操作を受け付ける操作部１１４とを含む。監視部１１２は、制御対象２００の状態をオペレータが認識可能な態様で表示する機能を有し、例えば、ディスプレイ等の表示装置である。オペレータは、監視部１１２による監視結果（例えば、ディスプレイに表示された制御対象２００の状態）に基づいて操作部１１４を操作可能である。操作部１１４は、例えばオペレータによるコマンド入力操作を受け付けることにより、操作内容に対応した指令信号Ｄを生成する。

オペレーション装置１１０は、コントローラ仮想化装置１２０に対してＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）ネットワーク（以下、単に「ＩＴネットワーク」と称する）１５０を介して接続される。ＩＴネットワーク１５０は、例えば制御装置の内部信号の監視（モニタ）やデータ収録（ログ）、他装置との信号取り合い等、ＯＴライン上の時間制約に対して比較的余裕ある時間制約でのデータ通信を行う通信経路である。オペレーション装置１１０からの指令信号Ｄは、ＩＴネットワーク１５０を介してコントローラ仮想化装置１２０に対して伝送される。

コントローラ仮想化装置１２０は、ＩＴネットワーク１５０を介して伝送された指令信号Ｄに基づいて制御信号Ｓを生成する。コントローラ仮想化装置１２０は、制御信号Ｓを生成可能な複数のコントローラ仮想化装置を備える。本実施形態では、コントローラ仮想化装置１２０が２つのコントローラ仮想化装置１２２Ａ、１２２Ｂを備える場合について例示的に説明するが、３以上のコントローラ仮想化装置を備えてもよい（例えば、後述する図５を参照）。

コントローラ仮想化装置１２２Ａ、１２２Ｂの各々は、例えば、ハードウェア構成として、中央処理装置（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）をはじめとする電子部品を含む電子演算装置を有しており、当該電子演算装置が備えるハイパーバイザ１２４において仮想化ソフトウェアを実行することにより少なくとも１の仮想機械を示すＶＭ（以下、単に「ＶＭ」と称する）が搭載される。本実施形態では、コントローラ仮想化装置１２２Ａ、１２２Ｂの各々には、それぞれ１つのＶＭが搭載されている。ＶＭは仮想化ソフトウェアの実行により構成され、例えば、分散型制御システムにおいて、制御対象２００を構成する各機器に対応する各制御盤を仮想的に模擬する機能を有する。

ここで、プラントのような制御対象２００のライフサイクルは数１０年の長期に及ぶ一方で、近年、電子演算装置を構成する電子部品のバージョンアップサイクル（ライフサイクル）は数年程度に短くなってきている。従来、コントローラ仮想化装置１２０には、ハードウェア構成に特化された専用の組み込みソフトウェアが搭載されることが一般的であったが、ハードウェア構成の旧バージョンの生産中止（ＥＯＬ：Ｅｎｄ Ｏｆ Ｌｉｆｅ）による設計変更が生じた場合、ハードウェア構成に特化したソフトウェアの設計変更が必要となる。その結果、設計変更にかかる開発コストやバージョン管理負担が増大するという課題が生じていた。

本実施形態のコントローラ仮想化装置１２２Ａ、１２２Ｂでは、仮想化ソフトウェアであるハイパーバイザ１２４によって仮想機械ＶＭを構成することで、このような課題を好適に解決することができる。すなわち、コントローラ仮想化装置１２２Ａ、１２２Ｂのハードウェア構成を設計変更した場合においても、ハイパーバイザ１２４を介してＶＭから見たハードウェア・アーキテクチャが画一化されているため、ＶＭ自身の設計変更が不要となり、開発コストやバージョン管理負担が少なく済む。

また後述するように、ハイパーバイザ１２４において仮想化ソフトウェアを実行することによって単一のハードウェアに対して複数のＶＭを搭載することも可能となる。そのため、例えば、プラントの構成機器ごとに複数の制御盤を有していた従来の分散型制御システムに比べて、従来の分散型制御システムによる機能的な独立性を維持したまま、個々のコントローラ機能を同一のコントローラ仮想化装置状に集約することによって、ハードウェアを集約した分散型制御システムを実現でき、コストを効果的に抑制できる。

コントローラ仮想化装置１２０は、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂを備えることで冗長化された構成を備えており、高可用性を有する。これら２つのコントローラ仮想化装置１２２Ａ、１２２Ｂは、いわゆるハートビート信号である生存確認信号Ｓｃを互いに送受信することで、互いの動作状態に応じて、稼働側装置又は待機側装置として選択される。図１では、コントローラ仮想化装置１２２Ａが稼働側装置として選択されることで制御信号Ｓの生成を行い、残りのコントローラ仮想化装置１２２Ｂが待機側装置として選択されることで制御信号Ｓの生成が行われない待機状態に制御されている場合が例示されている。

生存確認信号Ｓｃは、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間で互いに送受信されることにより、互いの動作状態を確認するための通信データである。生存確認信号Ｓｃの一態様としては、例えば、一方側のコントローラ仮想化装置１２２Ａから他方側のコントローラ仮想化装置１２２Ｂに対応する宛先アドレスを含むデータヘッダを有する送信データを送信し、当該送信データを受信した他方側のコントローラ仮想化装置１２２Ｂが出力する応答データを、一方側のコントローラ仮想化装置１２２Ａで受信することにより、一方側のコントローラ仮想化装置１２２Ａにおいて他方側のコントローラ仮想化装置１２２Ｂが健全に生存しているか否かを確認することができる。同様に、他方側のコントローラ仮想化装置１２２Ｂから一方側のコントローラ仮想化装置１２２Ａに対応する宛先アドレスを含むデータヘッダを有する送信データを送信し、当該送信データを受信した一方側のコントローラ仮想化装置１２２Ａが出力する応答データを、他方側のコントローラ仮想化装置１２２Ｂで受信することにより、他方側のコントローラ仮想化装置１２２Ｂにおいて一方側のコントローラ仮想化装置１２２Ａが健全に生存しているか否かを確認することができる。
尚、生存確認信号Ｓｃは、上述したようなリクエスト－レスポンス型の双方向通信で互いの情報を取り合う態様の他に公知の各種態様を取ることができ、例えば、双方が定期的にハートビート信号を出し続け、互いに相手から送信されたハートビート信号を受信監視する態様でもよい。

このような生存確認信号Ｓｃには、種々の情報を含めることができる。例えば生存確認信号Ｓｃには、コントローラ仮想化装置１２２Ａ、１２２Ｂの動作状態（稼働中／待機中／初期化中／故障中等）或いは動作カウンタ、又は、コントローラ仮想化装置１２２Ａ、１２２Ｂ内の各ＶＭの動作状態（稼働中／待機中／初期化中／故障中等）或いは動作カウンタを含んでいてもよい。

稼働側装置であるコントローラ仮想化装置１２２Ａでは、制御対象２００に対する制御信号Ｓの生成が行われる一方で、待機側装置であるコントローラ仮想化装置１２２Ｂでは、制御信号Ｓの生成は行われない（尚、他の態様としては、制御信号Ｓの通信パケットの中に有効フラグを持たせることで、待機側装置であっても有効フラグを立てない制御信号Ｓを生成し、送信させるように構成することで、実質的な出力指令が稼働側装置からしか出力されないようにしてもよい）。その結果、コントローラ仮想化装置１２０では、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂからの制御信号が競合することがなく、稼働側装置であるコントローラ仮想化装置１２２Ａで生成された制御信号Ｓがゲートウェイ装置１６５からＯＴライン１６０を介して、入出力装置１７０に出力される。入出力装置１７０には、稼働側装置であるコントローラ仮想化装置１２２Ａからの制御信号Ｓが入力され、制御対象２００に対して当該制御信号Ｓを出力する。

このように冗長化された構成を有するコントローラ仮想化装置１２０では、稼働側装置であるコントローラ仮想化装置１２２Ａ側で障害（例えば、コントローラ仮想化装置１２２ＡとＯＴライン１６０とを含む経路上における接続ケーブルの断線、当該経路に接続される通信チップや通信機器の故障など）が生じると、稼働側装置であったコントローラ仮想化装置１２２Ａは、待機側装置に切り替えられることで制御から離脱される一方で、待機側装置にあったコントローラ仮想化装置１２２Ｂが稼働側装置に切り替えられる。その結果、障害発生時においても、障害が発生していないコントローラ仮想化装置１２２Ｂ側を用いることで、制御対象２００の制御が安定的に維持される。

ところで従来、このような複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間における生存確認信号Ｓｃの送受信は、これらのコントローラ仮想化装置１２２Ａ、１２２Ｂ間を接続する装置間接続ネットワーク１８０、又は、前述のＩＴネットワーク１５０のようにイーサネット（登録商標）等の汎用ネットワークを介して行われていた。この場合、各コントローラ仮想化装置１２２Ａ、１２２Ｂにおいて障害発生時に、稼働側装置と待機側装置との切り替えを短時間（例えばハードウェア構成に含まれる中央演算装置の制御周期であるミリ秒単位）で行うためのリアルタイム性を実現するために、ＦＰＧＡ等を用いた専用の切替回路が用いられていた。しかしながら、このような専用の切替回路もまた、コントローラ仮想化装置１２２Ａ、１２２Ｂに用いられる電子部品のバージョンアップサイクルに伴ってアップデートする必要があり、旧バージョンの生産中止（ＥＯＬ）の際には、それに対応するための設計変更の開発コスト増加の要因の一つになっている。

またイーサネット（登録商標）等の汎用ネットワークを直結して構成する接続ケーブルに断線などに障害が発生した場合や、その一方がコネクタから脱落した場合には、両方のコネクタのリンク状態が切れてしまう。この場合、生存確認信号Ｓｃの送受信結果によっては、コントローラ仮想化装置１２２Ａ、１２２Ｂの両方が稼働側装置となって制御信号が競合してしまったり、コントローラ仮想化装置１２２Ａ、１２２Ｂの両方が待機側装置となることで稼働側装置が存在しなくなるなど、安定した制御の継続が困難になるおそれがあった。

このような課題を解決するために、本実施形態では、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間における生存確認信号Ｓｃの伝送が、ＯＴライン１６０を介して行われるように構成される。

ここで図２は図１の制御システム１００においてコントローラ仮想化装置１２２Ａ側で障害が発生した場合の様子を示す図である。この例では、障害が発生する直前まで図１に示すように、コントローラ仮想化装置１２２Ａが稼働側装置であり、コントローラ仮想化装置１２２Ｂが待機側装置として制御されており、図２では、コントローラ仮想化装置１２２Ａと入出力装置１７０との間のＯＴライン１６０を構成する接続ケーブル上に障害発生箇所１８５（断線等）が生じた場合の様子が示されている。この場合、コントローラ仮想化装置１２２ＡからＯＴライン１６０を介して伝送される生存確認信号Ｓｃは障害発生箇所１８５によって途絶える。これにより、図２に示すように、稼働側装置であるコントローラ仮想化装置１２２Ａは自身の障害を認識して待機側装置に切り替わるとともに、待機側装置であったコントローラ仮想化装置１２２Ｂが稼働側装置に切り替わることで、制御対象の制御が維持される。

このような構成によれば、ＯＴライン１６０を介して互いに伝送される生存確認信号Ｓｃに基づいて、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂを稼働側装置又は待機側装置に切り替えることで、障害が発生した際においても、制御対象２００の制御を好適に維持することができる。例えば生存確認信号Ｓｃをやり取りするラインとして、ＯＴライン１６０とは独立した装置間接続ネットワーク１８０のような複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間を直結した接続ケーブルを用いると、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂが互いに制御信号Ｓｃを出力してしまい、制御が不安定になる可能性がある。それに対して本構成では、生存確認信号ＳｃをＯＴライン１６０を介して複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間を互いに伝送することで、ＯＴライン１６０が断線した場合には、当該断線箇所側のコントローラ仮想化装置から制御信号Ｓｃが物理的に途切れることで出力されないため、このような可能性を効果的に防止することができる。またＯＴライン１６０は、例えばギガビットイーサネットワーク等の汎用高速通信ネットワークを用いられるため、従来用いられていたＦＰＧＡ等の専用の切替回路が不要となり、コントローラ仮想化装置１２２Ａ、１２２Ｂを構成するハードウェア構成である電子部品にバージョンアップサイクルに伴う旧バージョンの生産中止（ＥＯＬ）が発生した場合においても、設計変更に伴う開発コストを効果的に削減することができる。

尚、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂの両方で障害が生じた場合には、図３に示すように、コントローラ仮想化装置１２０は、コントローラ仮想化装置１２２Ａ、１２２Ｂの両方を待機側装置に切り替えるとともに、入出力装置１７０から、緊急停止制御信号Ｓｓを制御対象２００に出力してもよい。緊急停止制御信号Ｓｓは、制御対象２００を正常に停止するためのシーケンス制御が実行可能な制御信号であり、これにより、コントローラ仮想化装置１２２Ａ、１２２Ｂの両方に障害が発生する重大な事態に陥った場合においても、各コントローラ仮想化装置からの意図しない制御信号Ｓが制御対象２００から出力されることを回避し、制御対象２００を適切に停止させることができる。

尚、上記実施形態では、ＯＴライン１６０を介して互いに伝送される生存確認信号Ｓｃに基づいて複数のコントローラ仮想化装置１２２Ａ、１２２Ｂを稼働側装置又は待機側装置に切り替えるように構成された場合について説明したが、生存確認信号Ｓｃに代えて、ＯＴライン１６０を介して互いに伝送される信頼性確認信号Ｓｒに基づいて複数のコントローラ仮想化装置１２２Ａ、１２２Ｂを稼働側装置又は待機側装置に切り替えるように構成されてもよい。

この場合、信頼性確認信号Ｓｒは、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂの信頼性に関する情報パラメータを含み、これらのパラメータ同士を比較して、各コントローラ仮想化装置の信頼性を判断してもよいし、パラメータが基準値以上であるコントローラ仮想化装置に信頼性があると判断してもよい。これにより、信頼性が保証されたコントローラ仮想化装置を稼働側装置として、当該コントローラ仮想化装置からの制御信号Ｓを制御対象に伝送することで、信頼性の高い多重化構成を有するコントローラ仮想化装置１２０を実現できる。

以上説明したようにコントローラ仮想化装置１２０は、生存確認信号Ｓｃ又は信頼性確認信号Ｓｒが複数のコントローラ仮想化装置１２２Ａ、１２２Ｂの間をＯＴライン１６０を介して互いに送受信するように構成される。これにより、例えば、制御対象２００に対して制御信号ＳをＯＴライン１６０を介して出力しているコントローラ仮想化装置１２２Ａ、１２２ＢとＯＴライン１６０とを含む経路上に障害（当該経路に関するケーブルの断線、通信チップや通信機器の故障等）が発生した場合には、当該コントローラ仮想化装置は自身の制御出力ラインの断線を検知して制御から離脱し、他のコントローラ仮想化装置が代わりに制御対象に対する制御信号ＳをＯＴライン１６０を介して出力できる。

このように、生存確認信号Ｓｃ又は信頼性確認信号Ｓｒを複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間でＯＴラインを介して互いに送受信するように構成することで、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間を接続するＩＴネットワークや装置間接続ネットワークを介して生存確認信号Ｓｃ又は信頼性確認信号Ｓｒを複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間で互いに送受信する場合に必要となるＦＰＧＡ等を用いた専用回路が不要となる。その結果、コントローラ仮想化装置１２０のハードウェアを構成する電子部品がバージョンアップサイクルに伴う旧バージョンの生産中止（ＥＯＬ）による設計変更を迫られた場合においても、コントローラ仮想化装置１２０に要求される開発コストを効果的に削減することができる。

図４は第２実施形態に係る制御システム１００の全体構成図である。第２実施形態に係る制御システム１００では、各コントローラ仮想化装置１２２Ａ、１２２Ｂがそれぞれ複数のＶＭ１、ＶＭ２、・・・ＶＭｘを有する点において前述の実施形態と異なっている。複数のＶＭ１、ＶＭ２、・・・ＶＭｘは、ハイパーバイザ１２４において仮想化ソフトウェアが実行されることによって搭載される。このように、コントローラ仮想化装置１２２Ａ、１２２Ｂの各々に複数のＶＭ１、ＶＭ２、・・・ＶＭｘをそれぞれ搭載することで、単一のハードウェア中においても複数の仮想機械ＶＭで独立したアプリケーションの実行が可能になる。このような構成は、例えば、プラントのように各種機器を含む制御対象２００について、各機器を分散的に制御する分散型制御システムを少ないハードウェア構成で実現するのに適している。

この場合、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間で互いに伝送される生存確認信号Ｓｃには、各コントローラ仮想化装置１２２Ａ、１２２Ｂ内の各ＶＭ１、ＶＭ２、・・・、ＶＭｘの動作状態（稼働中／待機中／初期化中／故障中等）或いは動作カウンタを含んでいてもよい。

尚、本実施形態では、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂのうち一方に含まれる全ＶＭが稼働状態になるとともに、他方に含まれる全ＶＭが待機状態になるように制御される場合が例示されているが、一方に含まれる一部のＶＭが稼働状態であるとともに残りのＶＭが待機状態であり、且つ、他方に含まれる一部のＶＭが待機状態であるとともに残りのＶＭが稼働状態になるように制御されてもよい。すなわち複数のコントローラ仮想化装置１２２Ａ、１２２ＢのいずれかでＶＭ１、ＶＭ２、・・・、ＶＭｘの各々がそれぞれ稼働状態と待機状態に制御されていればよく、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂのいずれが稼働側装置であり、いずれが待機側装置であると区別する意味が実質的になくともよい。

また本実施形態についても、前述の実施形態と同様に、生存確認信号Ｓｃに代えて信頼性確認信号Ｓｒに基づいて複数のコントローラ仮想化装置１２２Ａ、１２２Ｂを制御側装置又は待機側装置に切り替えるように構成されてもよい。

以上説明したように第２実施形態によれば、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂの各々に、複数のＶＭ１、ＶＭ２、・・・、ＶＭｘが搭載されることで、少ないハードウェア構成のもとで多機能な制御装置を集約して実現でき、製造コストを効果的に抑制できる。

図５は第３実施形態に係る制御システム１００の全体構成図である。第３実施形態に係る制御システム１００では、コントローラ仮想化装置１２０は、３以上のコントローラ仮想化装置を備える。図５では、コントローラ仮想化装置１２０が３つのコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃを備える場合について例示している。

３つのコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃは、ＩＴネットワーク１６０を介して、オペレーション装置１１０から指令信号Ｄが並列に入力されるとともに、コントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃからの制御信号ＳがＯＴライン１６０を介して入出力装置１７０に出力されるように構成される。

３つのコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃは、ＯＴライン１６０を介して生存確認信号Ｓｃ又は信頼性確認信号Ｓｒが互いに伝送されるように構成される。ＯＴライン１６０を生存確認信号Ｓｃが互いに伝送される場合、生存確認信号Ｓｃは、例えば、相手側のコントロール仮想化装置をアドレスとするデータヘッダを含むハートビート信号であり、相手側のコントロール仮想化装置からの応答に基づいて生存状態を確認する。またＯＴライン１６０を信頼性確認信号Ｓｒが互いに伝送される場合、信頼性確認信号Ｓｒは、各コントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃの信頼性に関する情報パラメータを含み、これらを比較する。その結果、信頼性が高いコントローラ仮想化装置が稼働側装置とされ、残りのコントローラ仮想化装置が待機側装置とされる。

尚、３つのコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃ間で、ＯＴライン１６０を介して信頼性確認信号Ｓｒが互いに伝送される場合、信頼性確認信号Ｓｒは複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃの信頼性に関する情報パラメータを含み、これらのパラメータ同士を比較して、いわゆる多数決によって各コントローラ仮想化装置の信頼性を判断してもよいし、パラメータが基準値以上であるコントローラ仮想化装置に信頼性があると判断してもよい。

生存確認信号Ｓｃ又は信頼性確認信号Ｓｒは、コントローラ仮想化装置１２０が有するコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃの任意の組み合わせに対応して、ＯＴライン１６０を介して伝送される。具体的には、コントローラ仮想化装置１２２Ａ、１２２Ｂ間ではＯＴライン１６０を介して第１生存確認信号Ｓｃ１又は第１信頼性確認信号Ｓｒ１が互いに伝送され、コントローラ仮想化装置１２２Ｂ、１２２Ｃ間ではＯＴライン１６０を介して第２生存確認信号Ｓｃ２又は第２信頼性確認信号Ｓｒ２が互いに伝送され、コントローラ仮想化装置１２２Ｃ、１２２Ａ間ではＯＴライン１６０を介して第３生存確認信号Ｓｃ又は第３信頼性確認信号Ｓｒ３が互いに伝送される。

このように３以上のコントローラ仮想化装置を備えるコントローラ仮想化装置１２０を有する制御システム１００においても、ＯＴライン１６０を介して、生存確認信号Ｓｃ又は信頼性確認信号Ｓｒを互いに伝送することで、高機能で信頼性に優れた制御装置を、製造コストを抑えながら実現できる。またハードウェアを構成する電子部品にバージョンアップサイクルに伴う旧バージョンの生産中止（ＥＯＬ）が発生した場合においても、設計変更に伴う開発コストを効果的に削減することができる。

図６は第４実施形態に係る制御システム１００の全体構成図である。第４実施形態に係る制御システム１００では、各コントローラ仮想化装置が有する複数の仮想機械にそれぞれ対応する互いに独立した複数のＯＴラインを有する。具体的には、コントローラ仮想化装置１２０が備える２つのコントローラ仮想化装置１２２Ａ、１２２Ｂにはそれぞれ複数のＶＭ１、ＶＭ２が搭載される。そして、複数のＶＭ１、ＶＭ２は、それぞれに対応する互いに独立した第１ＯＴライン１６０－１、及び、第２ＯＴライン１６０－２を介して、生存確認信号Ｓｃ又は信頼性確認信号Ｓｒを互いに伝送するように構成される。すなわち、コントローラ仮想化装置１２２Ａが有するＶＭ１と、コントローラ仮想化装置１２２Ｂが有するＶＭ１とは、第１ＯＴライン１６０－１を介して接続され、当該第１ＯＴライン１６０－１を介して生存確認信号Ｓｃａ又は信頼性確認信号Ｓｒａを互いに伝送する。またコントローラ仮想化装置１２２Ａが有するＶＭ２と、コントローラ仮想化装置１２２Ｂが有するＶＭ２とは、第２ＯＴライン１６０－２を介して接続され、当該第２ＯＴライン１６０－２を介して生存確認信号Ｓｃｂ又は信頼性確認信号Ｓｒｂを互いに伝送する。

このように複数のコントローラ仮想化装置１２２Ａ、１２２Ｂに搭載されるＶＭ１、ＶＭ２ごとに第１ＯＴライン１６０－１、第２ＯＴライン１６０－２を設けることで、前述の実施形態のように、単一のＯＴライン１６０を有する場合に比べて、ＯＴラインを構成する接続ケーブルに断線が生じる等の故障に対する耐性を向上させることができる。また各コントローラ仮想化装置１２２Ａ、１２２Ｂと入出力装置１７０との間において、各ＶＭ１、ＶＭ２からの制御信号Ｓの相互干渉を回避できるため、応答性を向上し、優れたリアルタイム性が得られる。また生存確認信号Ｓｃ又は信頼性確認信号Ｓｒは、複数のＯＴライン１６０－１、１６０－２を介して互いに送受信されることで、複数のコントローラ仮想化装置１２２Ａ、１２２Ｂ間を接続するＩＴネットワーク１５０や装置間接続ネットワーク１８０を介して生存確認信号Ｓｃ又は信頼性確認信号Ｓｒを複数のコントローラ仮想化装置１２２Ａ、１１２Ｂ間で互いに送受信する場合に必要となるＦＰＧＡ等を用いた専用回路を不要とすることができる。

図７は第５実施形態に係る制御システム１００の全体構成図である。図７では、コントローラ仮想化装置１２２Ａ、１２２Ｂはそれぞれ１つのＶＭを備える一方で、それぞれのＶＭからの制御信号が伝送されるＯＴラインとして、二重化された第１ＯＴライン１６０－１及び第２ＯＴライン１６０－２を有することで耐故障性を向上させている。このような構成において、コントローラ仮想化装置１２２Ａ、１２２Ｂは、第１ＯＴライン１６０－１を介して生存確認信号Ｓｃａを互いに伝送するとともに、第２ＯＴライン１６０－２を介して生存確認信号Ｓｃｂを互いに伝送する。

尚、図７に示す実施形態では、コントローラ仮想化装置１２２Ａ、１２２ＢがＶＭを１つずつ備える場合について例示的に説明したが、コントローラ仮想化装置１２２Ａ、１２２Ｂがそれぞれ複数のＶＭを備え、ＯＴライン１６０が二重化されている構成においても同様である。

図７では、このような構成において、第１ＯＴライン１６０－１のうちコントローラ仮想化装置１２２Ａ側に発生した第１障害発生箇所１８５－１と、第２ＯＴライン１６０―２のうちコントローラ仮想化装置１２２Ｂ側に発生した第２障害箇所１８５－２とを含む二重障害が発生した場合が示されている。このような二重障害が発生すると、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂ間で生存確認信号Ｓｃａ、Ｓｃｂが互いに伝送できなくなるため、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂの両方が稼働側装置になるおそれがある。この場合、入出力装置１７０では、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂからの制御信号Ｓが競合し、制御が不安定になってしまう。

本実施形態では、このような二重障害が発生した場合に、図７に示すように、装置間接続ネットワーク１８０を介して、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂ間で、第２生存確認信号Ｓｃ２を互いに伝送可能に構成される。これにより、２つのコントローラ仮想化装置１２２Ａ、１２２Ｂが同時に稼働側装置にならないようにすることができる。すなわち、制御システム１００では、第１ＯＴライン１６０－１及び第２ＯＴライン１６０－２を介した生存確認信号Ｓｃａ、Ｓｃｂの伝送によって二重障害が発生した場合に、装置間接続ネットワーク１８０を介した第２生存確認信号Ｓｃ２に基づいて、各コントローラ仮想化装置１２２Ａ、１２２Ｂの一方を稼働側装置とし、他方を待機側装置とする。これにより、二重障害の発生時においても２つのコントローラ仮想化装置１２２Ａ、１２２Ｂからの制御信号Ｓの競合を回避し、制御が不安定になることを防止できる。

以上説明したように、上記各実施形態によれば、コントローラ仮想化装置１２０からの制御信号Ｓを出力するＯＴライン１６０を介して、複数のコントローラ仮想化装置間で生存確認信号Ｓｃ又は信頼性確認信号Ｓｒを互いに伝送することで、高機能で信頼性に優れた制御装置を、製造コストを抑えながら実現できる。またハードウェアを構成する電子部品にバージョンアップサイクルに伴う旧バージョンの生産中止（ＥＯＬ）が発生した場合においても、設計変更に伴う開発コストを効果的に削減することができる。

上記各実施形態に記載の内容は、例えば以下のように把握される。

（１）一態様に係るコントローラ仮想化装置（例えば上記実施形態のコントローラ仮想化装置１２０）は、
制御対象（例えば上記実施形態の制御対象２００）に対する制御信号（例えば上記実施形態の制御信号Ｓ）を生成するための１以上の仮想機械（例えば上記実施形態のＶＭ）をそれぞれ含む複数のコントローラ仮想化装置（例えば上記実施形態のコントローラ仮想化装置１２２Ａ、１２２Ｂ、１２２Ｃ）と、
前記複数のコントローラ仮想化装置からの前記制御信号を前記制御対象に伝送するための１以上のＯＴライン（例えば上記実施形態のＯＴライン１６０）と、
を備え、
前記複数のコントローラ仮想化装置は、それぞれ、前記１以上のＯＴラインを介して、前記仮想機械の生存確認信号（例えば上記実施形態の生存確認信号Ｓｃ）、又は、信頼性確認信号（例えば上記実施形態の信頼性確認信号Ｓｒ）を互いに送受信するように構成される。

上記（１）の態様によれば、制御装置は、生存確認信号又は信頼性確認信号が複数のコントローラ仮想化装置の間をＯＴラインを介して互いに送受信するように構成される。これにより、例えば、制御対象に対して制御信号をＯＴラインを介して出力しているコントローラ仮想化装置とＯＴラインとを含む経路上に障害（当該経路に関するケーブルの断線、通信チップや通信機器の故障等）が発生した場合には、当該コントローラ仮想化装置は自身の制御出力ラインの断線を検知して制御から離脱し、他のコントローラ仮想化装置が代わりに制御対象に対する制御信号をＯＴラインを介して出力できる。このように、生存確認信号又は信頼性確認信号を複数のコントローラ仮想化装置間でＯＴラインを介して互いに送受信するように構成することで、複数のコントローラ仮想化装置間を接続するＩＴネットワークや装置間接続ネットワークを介して生存確認信号又は信頼性確認信号を複数のコントローラ仮想化装置間で互いに送受信する場合に必要となるＦＰＧＡ等を用いた専用回路が不要となる。その結果、制御装置のハードウェアを構成する電子部品がバージョンアップサイクルに伴う旧バージョンの生産中止（ＥＯＬ）による設計変更を迫られた場合においても、制御装置に要求される開発コストを効果的に削減することができる。

（２）他の態様では、上記（１）の態様において、
前記生存確認信号又は前記信頼性確認信号に基づいて前記複数のコントローラ仮想化装置から稼働側装置として選択された前記コントローラ仮想化装置で生成された前記制御信号を前記制御対象に伝送するように構成される。

上記（２）の態様によれば、複数のコントローラ仮想化装置のうち生存確認信号又は信頼性確認信号に基づいて選択された稼働側装置からの制御信号が制御対象に伝送される。このように選択された稼働側装置であるコントローラ仮想化装置とＯＴラインとを含む経路で障害が発生した場合には、前述したように各コントローラ仮想化装置はＯＴライン上における生存確認信号又は信頼性確認信号の送受信状態に基づいて、稼働側装置として選択されていない（すなわち、待機側装置として選択された）コントローラ仮想化装置が稼働側装置に切り替えられる。

（３）他の態様では、上記（２）の態様において、
前記生存確認信号に基づいて前記複数のコントローラ仮想化装置のうち生存が確認された前記コントローラ仮想化装置を前記稼働側装置として選択するように構成される。

上記（３）の態様によれば、複数のコントローラ仮想化装置はＯＴラインを介して互いに送受信される生存確認信号に基づいて、生存が確認されたコントローラ仮想化装置を稼働側装置として選択し、当該コントローラ仮想化装置で生成された制御信号を制御対象に伝送する。一方で、稼働側装置として選択されなかったコントローラ仮想化装置は待機側装置として、稼働側装置として選択されたコントローラ仮想化装置とＯＴラインとを含む経路上に障害が発生した際に、稼働側装置に切り替え可能な状態で待機する。これにより、障害発生時においてもＯＴラインを介した生存確認信号に基づいて稼働側装置と待機側装置とを切り替えることで、信頼性の高い冗長化構成を有する制御装置を実現できる。

（４）他の態様では、上記（２）の態様において、
前記信頼性確認信号に基づいて前記複数のコントローラ仮想化装置から信頼性が確認された前記コントローラ仮想化装置を前記稼働側装置として選択するように構成される。

上記（４）の態様によれば、複数のコントローラ仮想化装置はＯＴラインを介して互いに送受信される信頼性確認信号に基づいて、信頼性が確認されたコントローラ仮想化装置を稼働側装置として選択し、当該コントローラ仮想化装置で生成された制御信号を制御対象に伝送する。例えば、信頼性確認信号は、複数のコントローラ仮想化装置の信頼性に関する情報パラメータを含み、これらのパラメータ同士を比較して、いわゆる多数決によって各コントローラ仮想化装置の信頼性を判断してもよいし、パラメータが基準値以上であるコントローラ仮想化装置に信頼性があると判断してもよい。これにより、信頼性が保証されたコントローラ仮想化装置からの制御信号を制御対象に伝送することで、信頼性の高い多重化構成を有する制御装置を実現できる。

（５）他の態様では、上記（２）から（４）のいずれか一態様において、
前記生存確認信号又は前記信頼性確認信号に基づいて前記稼働側装置に該当する前記コントローラ仮想化装置が存在しない場合、緊急停止制御信号（例えば上記実施形態の緊急停止制御信号Ｓｓ）を前記制御対象に出力するように構成される。

上記（５）の態様によれば、稼働側装置となるコントローラ仮装化装置が存在しない場合には、緊急停止信号を制御対象に出力して、制御対象が緊急停止制御させる。これにより、意図しない制御信号が制御対象に対して出力されることで障害に起因した不具合発生を効果的に防止できる。

（６）他の態様では、上記（２）から（５）のいずれか一態様において、
前記複数のコントローラ仮想化装置の各々は、起動時に前回停止前の動作状態を再現するように動作するように構成され、
前記複数のコントローラ仮想化装置の前回停止前の動作状態が前記稼働側装置であった場合、前記複数のコントローラ仮想化装置の起動タイミングを異ならせる。

上記（６）の態様によれば、起動時にコントローラ仮想化装置の動作状態が前回停止前（直前）の動作状態を再現するように制御される。このような場合、複数のコントローラ仮想化装置の前回停止前の動作状態がともに稼働側装置であったとしても、これらの起動タイミングを異ならせることで、起動時に複数のコントローラ仮想化装置が同時に稼働側装置となることを回避し、制御が不安定になることを防止できる。

（７）他の態様では、上記（１）から（６）のいずれか一態様において、
前記複数のコントローラ仮想化装置は、複数の前記仮想機械をそれぞれ含む。

上記（７）の態様によれば、例えば仮想化ソフトウェアの実行によって単一のハードウェア上に複数の仮想機械を作成することで、複数のコントローラ仮想化装置の各々に、複数の仮想機械が搭載される。このように一つの物理コントローラ上に複数の仮想機械を搭載することで複数のコントローラ機能を実現でき、制御装置の製造コストを効果的に抑制できる。

（８）他の態様では、上記（７）の態様において、
前記１以上のＯＴラインは、前記複数の仮想機械にそれぞれ対応する互いに独立した複数のＯＴライン（例えば上記実施形態の第１ＯＴライン１６０－１、第２ＯＴライン１６０－２）を含む。

上記（８）の態様によれば、各コントローラ仮想化装置に複数の仮想機械が搭載される場合には、各仮想機械に対応する複数のＯＴラインが設けられていてもよい。この場合、生存確認信号又は信頼性確認信号は、複数のＯＴラインを介して互いに送受信されることで、複数のコントローラ仮想化装置間を接続するＩＴネットワークや装置間接続ネットワークを介して生存確認信号又は信頼性確認信号を複数のコントローラ仮想化装置間で互いに送受信する場合に必要となるＦＰＧＡ等を用いた専用回路を不要とすることができる。

（９）他の態様では、上記（１）から（６）のいずれか一態様において、
前記複数のコントローラ仮想化装置は、前記仮想機械をそれぞれ１つずつ含み、
前記１以上のＯＴラインは、互いに独立した複数のＯＴラインを含み、
前記複数のＯＴラインの各々において障害が発生した場合、前記複数のコントローラ仮想化装置の間に設けられた装置間接続ネットワークを介して互いに伝送され、且つ、前記複数のコントローラ仮想化装置の各々の動作状態を示す第２生存確認信号に基づいて選択される前記コントローラ仮想化装置で生成された前記制御信号を、前記制御対象に伝送するように構成される。

上記（９）の態様によれば、各コントローラ仮想化装置が仮想機械をそれぞれ含み、且つ、複数のＯＴラインによって耐故障性を向上させるように二重化されている場合において、複数のＯＴラインの各々において障害が発生する、いわゆる二重障害が発生した際には、装置間接続ネットワークを介して互いに伝送される第２生存確認信号に基づいて、制御対象に対して制御信号を伝送するコントローラ仮想化装置を選択するように構成される。二重障害発生時では、複数のコントローラ仮想化装置間でＯＴラインを介して生存確認信号又は信頼性確認信号を送受信し合うことが困難になる場合が考えられるが、このような場合においても、装置間接続ネットワークを介して互いに伝送される第２生存確認信号に基づいて制御対象に制御信号を伝送すべきコントローラ仮想化装置を選択することで、複数のコントローラ仮想化装置からの制御信号が競合して、制御が不安定になることを効果的に回避することができる。

（１０）他の態様では、上記（１）から（９）のいずれか一態様において、
前記生存確認信号又は前記信頼性確認信号は、前記コントローラ仮想化装置の動作状態若しくは動作カウント数、又は、前記仮想機械の動作状態若しくは動作カウント数の少なくとも１つを含む。

上記（１０）の態様によれば、制御アプリケーションと生存確認信号又は信頼性確認信号を交換する処理が別プロセス（若しくはスレッド）で構成されている場合であっても、制御アプリケーションの動作状態を相手装置に伝達できる。特に、生存確認信号又は信頼性確認信号に仮想機械の動作状態を含めることで、複数の仮想機械の状態を個別に判定処理することが可能となる。また、カウント数を送信パケットのシーケンス番号とみなし、ＯＴラインが冗長化された場合に、同タイミングで送信されたパケットに対して、先に受信したパケットを処理し、後に受信したパケットを破棄させることで、生存確認信号又は信頼性確認信号を二重に処理することを防ぐことができる。

（１１）一態様に係る制御システムは、
上記（１）から（１０）のいずれか一態様に係るコントローラ仮想化装置を備える。

上記（１１）の態様によれば、障害の発生態様に関わらず制御対象を安定的に制御でき、優れた高可用性を有する制御システムを実現できる。

１００ 制御システム
１１０ オペレーション装置
１１２ 監視部
１１４ 操作部
１２０ コントローラ仮想化装置
１２２Ａ，１２２Ｂ，１２２Ｃ コントローラ仮想化装置
１２４ ハイパーバイザ
１５０ ＩＴネットワーク
１６０ ＯＴライン
１６０－１ 第１ＯＴライン
１６０－２ 第２ＯＴライン
１６５ ゲートウェイ装置
１７０ 入出力装置
１８０ 装置間接続ネットワーク
１８５ 障害発生箇所
１８５－１ 第１障害発生箇所
１８５－２ 第２障害箇所

Claims (11)

1. 制御対象に対する制御信号を生成するための１以上の仮想機械をそれぞれ含む複数のコントローラ仮想化装置と、
   前記複数のコントローラ仮想化装置からの前記制御信号を前記制御対象に伝送するための１以上のＯＴラインと、
   を備え、
   前記複数のコントローラ仮想化装置は、それぞれ、前記１以上のＯＴラインを介して、前記仮想機械の生存確認信号、又は、信頼性確認信号を互いに送受信するように構成される、コントローラ仮想化装置。
2. 前記生存確認信号又は前記信頼性確認信号に基づいて前記複数のコントローラ仮想化装置から稼働側装置として選択された前記コントローラ仮想化装置で生成された前記制御信号を前記制御対象に伝送するように構成された、請求項１に記載のコントローラ仮想化装置。
3. 前記生存確認信号に基づいて前記複数のコントローラ仮想化装置のうち生存が確認された前記コントローラ仮想化装置を前記稼働側装置として選択するように構成された、請求項２に記載のコントローラ仮想化装置。
4. 前記信頼性確認信号に基づいて前記複数のコントローラ仮想化装置から信頼性が確認された前記コントローラ仮想化装置を前記稼働側装置として選択するように構成された、請求項２に記載のコントローラ仮想化装置。
5. 前記生存確認信号又は前記信頼性確認信号に基づいて前記稼働側装置に該当する前記コントローラ仮想化装置が存在しない場合、緊急停止制御信号を前記制御対象に出力するように構成された、請求項２から４のいずれか一項に記載のコントローラ仮想化装置。
6. 前記複数のコントローラ仮想化装置の各々は、起動時に前回停止前の動作状態を再現するように動作するように構成され、
   前記複数のコントローラ仮想化装置の前回停止前の動作状態が前記稼働側装置であった場合、前記複数のコントローラ仮想化装置の起動タイミングを異ならせる、請求項２から５のいずれか一項に記載のコントローラ仮想化装置。
7. 前記複数のコントローラ仮想化装置は、複数の前記仮想機械をそれぞれ含む、請求項１から６のいずれか一項に記載のコントローラ仮想化装置。
8. 前記１以上のＯＴラインは、前記複数の仮想機械にそれぞれ対応する互いに独立した複数のＯＴラインを含む、請求項７に記載のコントローラ仮想化装置。
9. 前記複数のコントローラ仮想化装置は、前記仮想機械をそれぞれ１つずつ含み、
   前記１以上のＯＴラインは、互いに独立した複数のＯＴラインを含み、
   前記複数のＯＴラインの各々において障害が発生した場合、前記複数のコントローラ仮想化装置の間に設けられた装置間接続ネットワークを介して互いに伝送され、且つ、前記複数のコントローラ仮想化装置の各々の動作状態を示す第２生存確認信号に基づいて選択される前記コントローラ仮想化装置で生成された前記制御信号を、前記制御対象に伝送するように構成された、請求項１から６のいずれか一項に記載のコントローラ仮想化装置。
10. 前記生存確認信号又は前記信頼性確認信号は、前記コントローラ仮想化装置の動作状態若しくは動作カウント数、又は、前記仮想機械の動作状態若しくは動作カウント数の少なくとも１つを含む、請求項１から９のいずれか一項に記載のコントローラ仮想化装置。
11. 請求項１から１０のいずれか一項に記載のコントローラ仮想化装置を備える、制御システム。

Images