JP4138573B2

JP4138573B2 - Automatic restoration distributed control system

Info

Publication number: JP4138573B2
Application number: JP2003135013A
Authority: JP
Inventors: 弘順大椙
Original assignee: Japan Science and Technology Agency; National Institute of Japan Science and Technology Agency
Current assignee: Japan Science and Technology Agency; National Institute of Japan Science and Technology Agency
Priority date: 2003-05-13
Filing date: 2003-05-13
Publication date: 2008-08-27
Anticipated expiration: 2023-05-13
Also published as: JP2004341645A

Description

【０００１】
【発明の属する技術分野】
本発明は、複数の制御系の組み合わせにより全体の機能が実現されている分散制御システムの信頼性の向上に関する。
【０００２】
【技術的背景】
多数の制御系の組み合わせで全体の機能が実現されているシステム（例えばシーケンス制御システムなど）において、従来、システムの信頼性を向上させるためにシステムの多重化により対処する場合（例えば上下水道などの公共設備プラントなど）がある。しかしながら、一般の製造システムなどでは、コストの問題等により、制御系を全て多重化することはまれである。このため、各制御系に故障が発生した場合には、各制御系の修復に関して個別に対応する必要があった。また、どの制御系に異常が発生したかを自動的に検出し、自動的に修復するシステムも開発されている。例えば特許文献１では、ＦＰＧＡ (Field Programmable Gate Array) を利用した機能装置（制御系）の信頼性を向上するために、次のような技術を提案している。なお、ここで、ＦＰＧＡとはプログラミング可能なＬＳＩなどの電子回路であり、例えば特許文献２などでも利用されている従来技術である。
特許文献１の発明における機能装置は機能回路部、障害検出部、定義処理部、内部メモリで構成され、機能回路部の機能を実現するためのレイアウトパターン定義情報を内部メモリに格納（および外部メモリにバックアップ）しておく。障害検出部は、障害を検出し、障害領域を判別する。その情報に従って、定義処理部はメモリから障害領域を回避できるレイアウトパターン定義情報を読み出し、そのレイアウトパターン定義情報に従って機能回路部を再定義する。これにより、機能装置がサービス中、運用中であっても、装置の機能を自己修復することができる。
【０００３】
【特許文献１】
特開平９−６２５２８号公報
【特許文献２】
特開平１０−９２９４３号公報
【０００４】
【発明が解決しようとする課題】
しかしながら、特許文献１の従来技術を用いても、次のような問題が残る。まず、障害の箇所によっては修復が不可能となってしまう場合がある。例えば、レイアウトパターン定義情報を格納した内部メモリおよび外部メモリにアクセスできなくなった場合である。さらに、外部メモリはレイアウトパターン定義情報のバックアップという目的に特化した存在であるため、この外部メモリに障害が発生した場合、修復が不可能となったり、システム全体が機能不全に陥る場合がある。
【０００５】
【課題を解決するための手段】
上記の課題を解決するために、本発明は、ネットワークで互いに接続している、予備の制御系として動作する少なくとも１つの幹細胞を含む複数の制御系と、該各制御系が制御している制御対象と制御系との間を接続するリモートＩ／Ｏとで構成した自動修復分散制御システムであって、前記リモートＩ／Ｏは、前記制御系のいずれとも接続しており、前記制御系と制御対象との間で、制御系からの制御信号および制御対象からのフィードバック伝達を行なう入出力手段と、少なくとも該リモートＩ／Ｏを介して制御対象を制御している制御系の異常を検知する異常検知手段を有し、前記制御系は、前記リモートＩ／Ｏを介して前記制御対象を制御する制御手段と、少なくとも１つの前記制御系の異常を検知する異常検知手段と、制御系を形成するための情報により該制御手段を変化させる再生手段と、制御系を形成するための情報を保存する制御系メモリ及びデータ保存用メモリを有し、前記制御系メモリ及びデータ保存用メモリは、それぞれ自己以外の少なくとも１つの制御系を形成するための情報及びデータを格納し、全体として全ての制御系を形成するための情報及びデータを格納しており、前記制御系の異常は、全体としてリモートＩ／Ｏ又は制御系のいずれかで検出され、前記リモートＩ／Ｏ又は前記制御系で前記制御系の異常を検知した場合、検知した前記リモートＩ／Ｏ又は前記制御系は、前記幹細胞および異常が検知された制御系と接続しているリモートＩ／Ｏに通知し、通知を受けた幹細胞の再生手段は、異常が検知された制御系を形成するための情報及びデータを、保存している制御系の制御系メモリ及びデータ保存用メモリから取得し、自身の制御手段を該異常制御系と同様の機能に変化させ、通知を受けたリモートＩ／Ｏの入出力手段は、該異常制御系との接続を停止して、通知を受けた幹細胞と接続し、さらに、前記制御系の前記再生手段は、自己以外の少なくとも１つの制御系に対して、自己の制御系を形成するための情報及びデータを送信し、受信した制御系の前記再生手段は、該情報及びデータを前記制御系メモリ及びデータ保存用メモリにそれぞれ格納することを特徴とする。
前記リモートＩ／Ｏ及び前記制御系は、前記制御系からの信号パターンを格納した信号パターンメモリを有しており、前記制御系及び前記リモートＩ／Ｏの前記異常検知手段は、前記制御信号を前記信号パターンメモリに格納している信号パターンと照合することにより、前記制御系の異常を検知することができる。
また、前記制御系の前記再生手段は、自己の制御系を形成するための情報及びデータを、他の制御系に対して定期的に送信するとよい。
【０００６】
【発明の実施の形態】
本発明では、上述した従来技術の問題点を解決するために、次のような特徴を有する。まず、複数の制御系の組み合わせにより全体の機能が実現されるような工学システムにおいて、ある制御系が故障した場合に、故障した制御系の機能を再生させるために、生物の再生過程に見られる「幹細胞」に相当するものを、制御系の予備として導入する。すなわち、それ自体通常はなんら特定の性格（機能）を持たない状態の「幹細胞的性質を持つ電気回路基盤（ボード）」（以降「幹細胞コンポーネント」とよぶ）を１個以上、ネットワークでシステムにあらかじめ結合しておき、各々の制御系が故障した場合に、幹細胞コンポーネントが故障した制御系に自動的に変化（以降「再生」という）する仕組みを構築する。これにより、システム全体の機能を維持できるようにする。
以降、本発明の自動修復分散制御システムの実施形態を、図を参照しながら詳細に説明する。
【０００７】
＜システム構成＞
最初に、本実施形態のシステム構成を説明する。本実施形態のシステムにおいては、全ての制御対象はネットワークとリモートＩ／Ｏ（以降、単に「Ｉ／Ｏ」ともいう）を介して各制御系に制御される。また、各制御系（幹細胞コンポーネントを含む）同士も、イーサネット（登録商標）等のネットワークで接続する。ネットワーク接続の様式の例を図１に示す。なお、図１は接続様式の一例を示すものであり、他の多様なケースが考えられる。他の例については後述する。
【０００８】
図１において、制御対象１１３１〜制御対象４１３４はそれぞれ、Ｉ／Ｏ（リモートＩ／Ｏ）１１２１〜Ｉ／Ｏ（リモートＩ／Ｏ）４１２４を介して制御系１１１１〜制御系４１１４に接続されている。これにより、各制御系から各制御対象を制御することができる。
ここで、各Ｉ／Ｏと各制御系との間の接続は、Ｉ／Ｏ側の黒丸１５０と制御系側の黒丸１５０との間の接続として示されている。Ｉ／Ｏ側の黒丸１５０は、Ｉ／Ｏ内の構成要素の１つである「制御系と制御対象との信号のやり取りをする制御部」（図３において入出力制御部３１０で示している）からの接続を意味している。また、制御系側の黒丸１５０は、制御系内の構成要素の１つである「対象Ｉ／Ｏと信号をやり取りする回路部」（図２において入出力回路部２６０で示している）からの接続を意味している。
各幹細胞コンポーネントに示された黒丸１５０も、制御系と同様、幹細胞コンポーネント内の構成要素の１つである「対象Ｉ／Ｏと信号をやり取りする回路部」（図２において２６０で示している）からの接続である。図１に示すように、幹細胞コンポーネント側の黒丸１５０と各制御系とはネットワークで接続されている。これにより、例えば、制御系が故障して幹細胞コンポーネントがその制御系の代わりとして機能する際に、対象Ｉ／Ｏと信号をやり取りすることができる。
【０００９】
一方、図１において、制御系１１１１〜制御系４１１４および幹細胞コンポーネント１１４１〜幹細胞コンポーネント２１４２は、それぞれの白丸１６０間で、互いにネットワーク接続されている。この白丸１６０は、制御系および幹細胞コンポーネント内の構成要素の１つである「再生を実現するための制御部」（図２において再生制御部２４０で示している）からの接続を意味している。これにより、例えば、幹細胞コンポーネントが故障した制御系の代わりとして機能する際に、対象Ｉ／Ｏと信号をやり取りすることができる。なお、図１においては制御系１１１１〜制御系４１１４と幹細胞１１４１，幹細胞２１４２を２重のネットワーク接続で示しているが、本実施形態においてネットワーク接続は１重以上であればよい。ネットワーク接続が多重であるほど、ネットワークの切断等の故障に強いシステムとすることができる。
【００１０】
上述したように、制御系、幹細胞コンポーネント、およびリモートＩ／Ｏの内部構成要素は図２および図３に示している。次に、これらの図を参照しながら、各々の内部構成要素について説明する。
【００１１】
＜制御系、幹細胞コンポーネントおよびリモートＩ／Ｏの内部構成＞
制御系および幹細胞コンポーネントは、図２に示すような内部構成要素からなる。なお、図２に示す構成要素は一例であり、他のバリエーションも考えられる。
各制御系（幹細胞コンポーネントを含む）２００の内部において、機能回路部２１０はＦＰＧＡにより構成され、制御対象を制御するための回路である。回路定義メモリ部２２０は、機能回路部２１０のＦＰＧＡ回路を定義するための情報が格納されている。本実施形態では機能回路部２１０の外部にあるが、機能回路部２１０の内部にあってもよい。回路制御部２３０は、回路定義メモリ部２２０から定義回路を選択し、機能回路部２１０のＦＰＧＡ回路を書き換えるための制御部である。
再生制御部２４０は、異常信号検出部を含んでいる。この異常信号検出部は少なくとも１つの制御系の異常を、異常信号パターン検出用メモリ部２７０に格納されている異常信号パターンと照合することにより検出している。そして、リモートＩ／Ｏ部等が異常を検出したとき、「再生」を実現している。
再生制御部２４０は、上述の図１で説明したように、他の制御系、幹細胞コンポーネントおよびリモートＩ／Ｏと信号をやり取りする。
また、各制御系（幹細胞コンポーネントを含む）は、後述するように、「再生」を実現するために自己以外の制御系の回路定義情報やデータを回路定義メモリ部２２０やデータ保存用メモリ部２５０に保持している。再生制御部２４０は、自己の制御系がどの制御系の回路定義情報やデータを保持しているかの情報を持つ。
再生制御部２４０は、機能回路部２１０と同様にＦＰＧＡやマイクロプロセッサなどを用いて構成することができる。なお、異常信号検出部は、複数の制御系の異常を検出するようにすれば、全体的にどれかの制御系が故障しても異常を検出する確率が増すことになる。
【００１２】
データ保存用メモリ部２５０は、機能回路部２１０のＦＰＧＡの機能実現に必要となるデータを格納している。
入出力回路部２６０は、機能回路部２１０のＦＰＧＡによる、対象の制御実行した結果を、対象リモートＩ／Ｏと入出力信号のやり取りをする。
異常信号パターン検出用メモリ部２７０は、異常信号を検出するための検出用パターンを格納している。
本実施形態において「制御系の異常」とは、これら制御系内部の各機能のどれか１つでも異常になった場合を全て含む。つまり、ＦＰＧＡ内部の異常にとどまらず、機能単位である制御回路基板のどこかに１つ何らかの異常があった場合、制御機能異常として検出され処理される。
なお、回路定義メモリ部２２０、データ保存用メモリ部２５０、異常信号パターン検出用メモリ部２７０については、ハードディスク等の大容量の記憶媒体を用いることも可能である。
【００１３】
一方、リモートＩ／Ｏは図３に示すような内部構成要素からなる。
リモートＩ／Ｏ３００の内部において、入出力制御部３１０は、制御系と制御対象との信号のやり取りをする。入出力制御部３１０は、各々の制御系および制御対象と連絡している。異常検出部３２０は、少なくとも当該リモートＩ／Ｏを介して制御対象を制御している制御系からの異常信号を検出する。もちろん、他の制御系の異常信号を検出するようにしてもよい。異常信号パターン検出用メモリ部３３０は、異常信号パターンを格納しており、異常検出部３２０は、格納されている異常信号パターンを用いて、制御系からの信号の異常を検出する。
なお、これらの構成要素の、本実施形態のシステムにおける具体的な役割については、後で詳しく説明する。
【００１４】
本実施形態のシステムでは、上述したようなネットワークを利用して、各々の制御系、幹細胞コンポーネント、リモートＩ／Ｏが常時、互いにパケットを送信する。これにより、互いの状態を常時モニタすることができる。
この常時モニタにより、ある制御系の異常を、他の各制御系、幹細胞コンポーネント、および各リモートＩ／Ｏのどれか（複数を含む）が検出することができるように構成する。また、各制御系が制御対象を制御するための出力信号の異常は、出力が無い場合を含め検出可能である。つまり、各制御系が担う機能のうち、どれが異常になった場合でも、その異常が検出される。
【００１５】
幹細胞コンポーネントは、そのようにして検出された異常の情報を得て、異常が検出された制御系に対応するリモートＩ／Ｏにその情報を与え、当該異常制御系からの当該リモートＩ／Ｏへの情報を無効とし、新に自らは後述のように、ＦＰＧＡを用いて当該故障制御系と同等の制御機能を実現する制御回路を構築し、自らが当該制御系の代わりとなり、当該制御対象を制御する「再生」を行なう。幹細胞コンポーネントが「再生」を行なうために制御回路を構築する方法を、次の（方法１）〜（方法４）に示す。
【００１６】
＜制御回路の構築方法＞
（方法１）
最も単純な方法としては、幹細胞コンポーネントの回路定義メモリ部２２０に、各制御系の制御回路全てを構築するための回路定義情報を保持させ、どれが異常な制御系であるかの情報を得た後、その回路定義情報に基づき必要となる制御回路を構築する方法である。
但し、制御系の機能の種類によっては、その機能を実現するために、変化するデータを短期間あるいは長期間にわたりデータ保存用メモリ部２５０に保存することが必要となる場合がある。また、入力データ次第でＦＰＧＡの回路パターンを変化させることが必要となる場合もある。このような場合、各制御系は、それぞれが必要とするデータをデータ保存用メモリ部２５０や回路定義メモリ部２２０に保持することになる。幹細胞コンポーネントがどの制御系にも変化しうるようにするために最も簡単な方法は、幹細胞コンポーネントのデータ保存用メモリ部２５０や回路定義メモリ部２２０に、各制御系のそれらのデータを全て保持することである。
しかし、例えば幹細胞コンポーネントの回路定義メモリ部２２０が、ハードディスクなど大容量の記憶媒体である場合には、幹細胞コンポーネント内に全てのデータを保持することが可能となるが、そうでない場合には膨大なメモリが必要となり、事実上それが困難な場合も想定される。
そのような場合を想定して、以下の（方法２）〜（方法４）に説明するような方法をとることもできる。
【００１７】
（方法２）
番号ｎの制御系（制御系ｎ）のデータ保存用メモリ部２５０の内容を、制御系ｎが常時、制御系ｎ＋１にも転送し、制御系ｎ＋１のデータ保存用メモリ部２５０にもその内容を同時に持たせ、システム全体として全ての制御系のデータ保存用メモリ部２５０の内容を自己以外のいずれかの制御系に持たせるようにする。また、制御系ｎにおいて、もしＦＰＧＡの回路パターンの書き換えが行なわれた場合、その回路パターン情報を常時、制御系ｎ＋１にも転送し、その回路パターン定義情報を制御系ｎ＋１の回路定義メモリ部２２０（もしくはデータ保存用メモリ部２５０）に同時に持たせる。この転送は各制御系の再生制御部２４０により実現される。
これによって、制御系ｎと制御系ｎ＋１が、同一時刻に同時に故障しないかぎり、制御系ｎが異常になった場合、幹細胞コンポーネントは制御系ｎ＋１のメモリを参照して制御系ｎの機能を持つように変化し、その機能を復旧することができる。
もちろん、これを実現するには、おおまかに言えば、各制御系には最大量のメモリを必要とする制御系のメモリ量（Ｍとする）の２倍量が必要となり、系全体で必要なメモリ量は、最大２Ｍ×Ｎ（Ｎは制御系の数）となる。しかし、上記（方法１）のように、幹細胞コンポーネントに仮にＭ×Ｎのメモリを載せ、その幹細胞コンポーネントをあらかじめ複数個用意するよりはメモリ量が節約できる。
【００１８】
（方法３）
上記（方法２）において、再生制御部２４０が、制御系ｎのメモリ内容を常時、制御系ｎ＋１と制御系ｎ−１にも転送し、システム全体として全ての制御系のデータ保存用メモリ部２５０の内容を自己以外のいずれか２つの制御系に持たせるようにすれば、同一時刻に同時に、番号が隣り合う２個の制御系が故障しても復旧が可能となり、系全体の信頼性はさらに増大する。ただし、制御系に必要なメモリは、系全体で最大３Ｍ×Ｎ必要になる。なお、常時転送先の制御系数をさらに増やすことにより、系全体の信頼性をいっそう増大させることが可能となる。ここで、転送先の制御系の数や、どの制御系に対して転送するかなどのルールは、システムに応じて決定すればよい。
【００１９】
（方法４）
系全体のメモリを節約するために、各制御系の再生制御部２４０に、他の制御系の空いているデータ保存用メモリ部２５０の量をモニタする機能を持たせる。これにより、多くのデータを転送する必要のある制御系は、メモリに余裕がある制御系を選択してメモリ内容の転送を行なうことができる。また必要があれば、そのデータを分割し、複数の制御系のメモリに転送するというように、各転送先制御系の空いているメモリ量に応じて、転送先を動的に決定するということも可能となる。この方法においても上記（方法１）〜（方法３）と同様に、システム全体として全ての制御系のデータ保存用メモリ部２５０の内容を自己以外のいずれかの制御系に持たせるようにする。
この方法では、上述でｎで説明したような番号のルールには拘束されずに、各制御系は他の（単数または複数の）制御系に対して、自己制御系を再構築するためのデータを転送する。また、各制御系および幹細胞コンポーネントは、どの制御系が他のどの制御系のデータを持っているかを再生制御部２４０で把握する。このような動的なメモリ割振りを活用すれば、例えば、ある特定の制御系２つだけが大量のメモリ（Ｍ）を必要とし、他の制御系はさほどメモリを必要としていない場合に、例えば上記（方法１）では幹細胞コンポーネントと他のどれか２つの制御系（複数あるうちの他の幹細胞コンポーネントを含む）がＭ量ずつのメモリを持てばよい（あるいは、上記のデータ分割を行なう場合は、分割データを転送するグループを形成しているうちの他のどれか２つの制御系が、それぞれのグループ内でトータルＭ量ずつのメモリを持てばよい）ということになり、系全体のメモリ量をさらに減らすことが可能となる。
【００２０】
このように、各制御系は、自己の制御系を形成するための情報を他の（単数または複数の）制御系に転送し保持させる。このとき、上述したように、システム全体として全ての制御系の情報（単数又は複数）を自己以外のいずれかの制御系に保持させるようにする。なお、上記の（方法２）〜（方法４）においては、各制御系において自己がどの制御系の情報を保持しているのかを把握する必要があり、上述したように、各制御系の再生制御部２４０がそれを把握している。
そして、ある制御系が機能不全に陥ったり破壊された場合に、幹細胞コンポーネントはその保持された情報を参照し、当該制御系の機能を持つコンポーネントに変化（再生）することで、システム全体の機能を回復する。
【００２１】
以降、本実施形態のシステムにおいて制御系が制御対象を制御する方法、制御系の異常検出方法、異常発生時のシステム回復の流れについて、図１に示すシステム構成を例として具体的に説明する。
【００２２】
＜制御方法の具体例＞
まず、図１を参照しながら、制御系２１１２がＩ／Ｏ２１２２を通じて、制御対象２１３２の制御をする過程を例として、制御方法の具体例を説明する。
なお、本実施形態においては、例えば Fast Ethenet と UDP/IP を利用した技術を用いて、パケットによるデータ（信号）のやり取りを行なうものとする。この Fast Ethenet と UDP/IP を利用した技術は従来技術であり、例えば、藤本康孝・関口隆「分散型プログラマブルコントローラ群による耐故障制御」（平成１３年電気学会電子・情報・システム部門大会講演論文集Ｉ）に示されている。
（１）制御系２１１２の入出力回路部２６０は、ブロードキャストで全ての宛先（幹細胞を含む各制御系の再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対して、ネットワークを介してパケットを送る。
（２）Ｉ／Ｏ２１２２は、送信元が制御系２１１２のパケットのみを選択し、そのデータを制御対象２１３２に渡す。この時、Ｉ／Ｏ２１２２の異常検出部３２０は、制御系２１１２からのデータ（信号）が、信号パターンの許容範囲にあるかどうかについて異常の検出を行なう。仮に異常が検出された場合は、Ｉ／Ｏ２１２２は、ブロードキャストで全ての宛先（幹細胞を含む各制御系の再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対してパケットを送り、制御系２１１２の異常情報を送信する。
【００２３】
（３）制御対象２１３２はＩ／Ｏ２１２２に対し、必要に応じて、フィードバックのための情報（信号）を返す。ここで、Ｉ／Ｏ２１２２の作用に関しては以下の（ａ）（ｂ）２つの場合を考える。
（ａ）Ｉ／Ｏ２１２２は、制御系２１１２の入出力回路部２６０宛てに、制御対象２１３２からの信号をパケットで送る。
（ｂ）Ｉ／Ｏ２１２２は、ブロードキャストで全ての宛先（各制御系の再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対して、制御対象２１３２からの信号をパケットで送る。制御系２１１２の入出力回路部２６０は、送信元がＩ／Ｏ２１２２のパケットを選択する。
なお、上記の（ｂ）を実行することにより、Ｉ／Ｏ２１２２や制御対象２１３２の異常の認識が、制御系２１１２以外からも可能となるが、例えば実行速度の面では（ａ）の方が優れている。従って（ａ）（ｂ）どちらを採用するかは、システムによって判断するとよい。
（４）制御系２１１２の入出力回路部２６０に渡された信号は、制御系２１１２の機能回路部２１０により処理される。
（５）制御系２１１２の機能回路部２１０により処理された結果の信号は、制御系２１１２の入出力回路部２６０に渡される。
【００２４】
上記（１）〜（５）を繰り返すことにより、制御系２１１２は、Ｉ／Ｏ２１２２を通じて制御対象２１３２とパケットによるデータのやり取りを行ない、制御対象２１３２の制御を行なう。
なお、制御系２１１２の機能回路部２１０は、上述したＩ／Ｏ２１２２からのフィードバック信号以外にも、各種の入力情報（例えば時間制御、マニュアル制御、その他必要に応じて他の制御対象からの情報など）に従い、制御系２１１２の入出力回路部２６０に信号を渡す。
また、制御システムの実行動作上問題がない場合は、各制御系（幹細胞コンポーネントを含む）の入出力回路部２６０と再生制御部２４０の機能を１つの構成要素内に持たせることもできる。
【００２５】
＜異常検出方法の具体例＞
本実施形態では、上述のリモートＩ／Ｏによる異常検出の他、次のような異常検出方法をとる。
【００２６】
（１）制御系全てが常時動作しているシステムの場合
この場合は、上述のように、各制御系の入出力回路部２６０はブロードキャストで全ての宛先（各制御系および幹細胞コンポーネントの再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対してパケットを送るが、これにより各制御系の再生制御部２４０は、制御対象以外からの信号についても、その送信元と信号内容を認識する。各制御系の再生制御部２４０には、全ての制御系からの信号あるいは特定の１個以上の制御系からの信号に対して、その信号の異常（信号が途絶える、あるいは信号パターンに異常が認められる）を認識する異常信号検出部を持たせる。
なお、信号パターンの異常を識別するために、異常信号パターン検出用メモリ部２７０を持たせる。異常信号パターン検出用メモリ部２７０は、各制御系に対応する異常信号パターン検出用メモリ（どのような信号パターンを異常と見なすかについてのメモリ）である。このとき、各々の制御系の異常を、他の各制御系（単数または複数）、幹細胞コンポーネント（単数または複数）、のどれかが検出することができるようにする。また、必要に応じて上述の各制御系が制御する制御対象と接続するリモートＩ／Ｏ以外のリモートＩ／Ｏ（単数または複数）によっても検出することができるようにする。これにより、自己以外の各制御系の異常が検出可能となる。
【００２７】
このように、システム全体として各制御系の異常を、少なくとも１個以上の自己以外の上記各制御系、幹細胞コンポーネントあるいはリモートＩ／Ｏが検出することになる。各制御系の異常をそれらの何個により検出可能とするかは、各制御系やシステムごとに決めることができる。その数が多いほど、故障に対して強いシステムにすることができる。
なお、この異常信号パターン検出用メモリ部２７０は、回路定義メモリ部２２０やデータ保存用メモリ部２５０で代用することも可能である。
【００２８】
（２）制御系全ての常時動作が必要でないシステムの場合
この場合は、各制御系からの制御信号が長時間にわたり発生しなくてもそれが異常ではないケースがある。このようなシステムにおいては、各制御系の再生制御部２４０は、ブロードキャストで全ての宛先（各制御系および幹細胞コンポーネントの再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対して、正常動作確認のための信号を、一定時間間隔でパケット送信する。このパケットは当該制御系が正常に機能しうることを他の制御系に認識させるための信号のみを含み、実際の制御のための情報は持たない。なお、時間間隔は、そのシステムが必要とする制御対象やその制御動作時間などに依存し、システムによりケースバイケースで設定する。
上記（１）と同様、各制御系の再生制御部２４０には、全ての制御系からの信号あるいは特定の（単数あるいは複数の）制御系からの信号に対して、その信号の異常（信号が途絶える、あるいは信号パターンに異常が認められる）を認識する異常信号検出部を持たせる。異常信号パターン検出用メモリ部２７０についても、上記（１）と同様である。
【００２９】
なお、制御系が正常に機能しうることを知らせるパケット信号の送信には、次の（ａ）（ｂ）２通りの方法があるが、これらも、システムによりケースバイケースで設定する。
（ａ）単に再生制御部２４０が定期的に信号パケットを送ることにより、再生制御部２４０の機能が正常であることを示す方法
（ｂ）再生制御部２４０が機能回路部２１０に定期的にテスト信号を与え、当該制御系の機能回路部２１０の実行動作テストを行ない、機能回路部２１０が正常であることを再生制御部２４０が確認した後、正常である旨の信号パケットを送る方法
【００３０】
＜故障発生時におけるシステム回復の流れの具体例＞
次に、システム内のある制御系に異常や故障が発生した場合に、システム回復（再生）に至るまでの具体的な流れを説明する。ここでは、図１において制御系２１１２が故障した場合を例として説明する。
（１）制御系２１１２に異常が発生した場合、上述の異常検出方法により、その異常はＩ／Ｏ（リモートＩ／Ｏ）２１２２および他の単数または複数の制御系（幹細胞コンポーネント１および２を含む）、あるいは必要に応じてＩ／Ｏ２１２２以外の単数または複数の各リモートＩ／Ｏにより検出される。この異常情報は幹細胞コンポーネント１および２（あるいはそれらを含む全ての制御系）に送信される。
本実施形態では、前述のように、各々の制御系の異常を、他の各制御系、幹細胞コンポーネントのどれか（単数または複数）、および各リモートＩ／Ｏのどれか（単数または複数）が検出することができるようにしているため、いずれの制御系に異常が発生した場合でも、幹細胞コンポーネントに異常を伝えることができる。また、Ｉ／Ｏ２１２２による異常検出が失敗した場合でも、このような他の制御系や他のＩ／Ｏによる異常検出情報から、Ｉ／Ｏ２１２２は制御系２１１２の異常を認識できる。
【００３１】
（２）ここで、例えば、幹細胞コンポーネントのアドレスが若い順（値が小さい順）に「再生」に参加するというルールをあらかじめ与えておく。この場合、幹細胞コンポーネント１がまず「再生」に参加し、制御系２１１２に変化する。なお、どの幹細胞コンポーネントのアドレスが若いかは、各幹細胞コンポーネントの再生制御部２４０が互いにパケット信号を送受信することにより、「再生」に参加する前に、あらかじめ各幹細胞コンポーネントが把握している。
（３）上述したように、本実施形態では、制御系２１１２の回路定義情報とデータを、（ａ）幹細胞コンポーネント１が保持している場合もあるが、（ｂ）他の（単数または複数の）制御系のメモリに保存されていることもある。
上記（ａ）の、幹細胞コンポーネント１が制御系２１１２の回路定義情報とデータを回路定義メモリ部２２０やデータ保存用メモリ部２５０に保持している場合、後述するように再生制御部２４０はそれらの情報を保持していることを把握している。そして、制御系２１１２に異常が発生した際、幹細胞コンポーネント１はそれらの情報を用いて回路制御部２３０によって機能回路部２１０の形成を行なう。
【００３２】
また、上記（ｂ）の、他の（単数または複数の）制御系が制御系２１１２の回路定義情報とデータを保持している場合、それらの情報を保持している各制御系の再生制御部２４０は、「自己の回路定義メモリ部２２０やデータ保存用メモリ部２５０に、制御系２１１２の回路定義情報あるいはデータが保持されている」という情報も持つ。このためのメモリは、再生制御部２４０に独自に持たせることとするが、回路定義メモリ部２２０、データ保存用メモリ部２５０や異常信号パターン検出用メモリ部２７０で代用してもよい。
そして、制御系２１１２に異常が発生した際、幹細胞コンポーネント１の再生制御部２４０は、各制御系の再生制御部２４０にアクセスして、制御系２１１２の回路定義情報やデータが保持されている制御系を選択し、（あるいは、後述するように、どの制御系が制御系２１１２の回路定義情報やデータを有するのかを、幹細胞コンポーネント１の再生制御部２４０があらかじめ把握していることにより、）該当する他の制御系の再生制御部２４０を通じて、それらの制御系の回路定義メモリ部２２０やデータ保存用メモリ部２５０を参照し、（または、幹細胞コンポーネント１の回路定義メモリ部２２０やデータ保存用メモリ部２５０にその内容をあらかじめコピーした後、それらを用いて、）回路制御部２３０によって機能回路部２１０の形成を行なう。
【００３３】
なお、上記の「再生」を実現するために、各幹細胞コンポーネントおよび各制御系の再生制御部２４０は「自己の回路定義メモリ部２２０やデータ保存用メモリ部２５０にどの制御系の回路定義情報あるいはデータ情報が保持されているか」についての情報を持つ。この「どの制御系の回路定義情報あるいはデータに関する情報を持つか」について、各幹細胞コンポーネントおよび各制御系の再生制御部２４０は、他の各幹細胞コンポーネントの（あるいは各制御系も含め、その）全ての再生制御部２４０に対して、定期的に、あるいは自己がどの制御系の回路定義情報あるいはデータに関する情報を持つかについて変更があった場合などに随時、パケット送信することとしてもよい。
これにより、各幹細胞コンポーネントの（あるいは各制御系も含め、その）全ての再生制御部２４０は、常に、どの幹細胞コンポーネントあるいは制御系から各制御系の再生に必要な情報を読み出したらよいのかをあらかじめ把握することが可能となる。
【００３４】
（４）このように、制御系２１１２と同様の機能回路部２１０およびデータを獲得した幹細胞コンポーネント１は、ブロードキャストで全ての宛先（各制御系の再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対してパケットを送る。前述したように、このパケットはＩ／Ｏ２１２２に信号を与える目的のほか、他の制御系等による異常信号の検出に利用される。
【００３５】
（５）一方、Ｉ／Ｏ２１２２は、制御系２１１２が異常になったという情報を得た後、対応すべき入力信号の送信元のアドレスを、もとの制御系２１１２から幹細胞コンポーネント１に変更し、また、制御対象２１３２からの信号をパケット送信する宛先を、幹細胞コンポーネント１の入出力回路部２６０に変更する（前述の＜制御方法の具体例＞の（３）（ａ）の方法を用いた場合）。もしくは、全ての宛先（各制御系の再生制御部２４０と入出力回路部２６０、および各リモートＩ／Ｏの入出力制御部３１０）に対してパケットを送る（前述の＜制御方法の具体例＞の（３）（ｂ）の方法を用いた場合）。
（６）また、幹細胞コンポーネント１は、制御系２１１２が異常になったという情報を得た後、入出力回路部２６０が対応すべき入力信号パケットの送信元アドレスを、Ｉ／Ｏ２１２２からのものと設定する。
以上（１）〜（６）により、幹細胞コンポーネント１が完全に、故障した制御系２１１２と置き換わることにより、システムの再生を行なう。
【００３６】
＜ネットワークの接続様式の例＞
本実施形態のシステムのネットワーク構成は、上述したように、図１に示す他にも様々な様式が考えられる。また、制御系、幹細胞コンポーネントおよびリモートＩ／Ｏなどの数も、図１に限られるものではない。
以降、ネットワーク接続様式の他の例を、図４〜図７を用いて紹介する。なお、ここに挙げる接続様式も例示であり、さらに他の様式も考えられる。
【００３７】
図４〜図６は、図１と同じく、４つの制御対象に対して４つの制御系がリモートＩ／Ｏを介して接続してあり、幹細胞コンポーネントの数は２つである。しかし、図１と比較してネットワーク構成が増強されており、ネットワークの回線そのものに（複数の）支障や破壊があった場合においても、システムの復旧（再生）を行なうことが可能となる。すなわち、ネットワーク接続の障害に対する信頼性を向上することができる。例えば、図４に示すネットワーク構成の場合、図１と比べ、各制御系と各々の制御対象との間のネットワークが切断された場合にも、システムを復旧することができる。
また、図７は、図１と同じネットワーク構成であるが、ネットワークを構成する制御系や制御対象の数が異なる例である。図７のネットワークでは、制御系の数は制御系１１１１〜制御系５１１５まで５つである。また、制御系４１１４は、Ｉ／Ｏ４ａ１２４ａを介して制御対象４ａ１３４ａを、Ｉ／Ｏ４ｂ１２４ｂを介して制御対象４ｂ１３４ｂを制御している。このように、本実施形態においては制御系、リモートＩ／Ｏ、制御対象の数に特に制限はない。また、幹細胞コンポーネントの数にも制限はないが、数が多いほど、故障に対して強いシステムにすることができる。
実際どのネットワーク構成を採用するか、あるいは、制御系、幹細胞コンポーネントおよびリモートＩ／Ｏなどの数は、システムの目的や必要性、コストとのバランス等により、個々のシステムごとに決めることができる。
なお、上述では、制御系の機能回路部として、ＦＰＧＡを用いた場合で説明したが、プロセッサとプログラムにより、機能回路部を構成することもできる。この場合、機能回路部を構成する情報として、プログラムが用いられる。
【００３８】
【発明の効果】
本発明では、多数の制御系の組み合わせで全体の機能が実現されているシステムにおいて、個々の各制御系が故障したり破壊された場合、当該故障制御系が自動的に自己修復する機構をシステム全体に加えている。特に、システム内のどのような制御系に機能不全が生じた場合においても自己修復を可能としている。
これにより、制御系システム全体において「この機能部分が故障したり破壊された場合は自己修復が不可能となる」という状況を回避し、システムの信頼性を向上することができる。
また、本発明で提案する基本的な原理は、多くの実際的な制御システムにおいて活用することが可能で、例えば、各種プラントの制御、工場等のプロセス系の制御をはじめ、今後発展が予想されるネットワーク家電分野での活用も可能である。ネットワーク家電分野での活用例としては、ネットワークで接続された家電のうちある特定の家電の制御基盤が故障した場合に、瞬時に自動的に自己復旧する機能を付加することが可能となる。
また、本発明の方法は、制御システムの故障を想定した場合にとどまらず、人為的なシステムの破壊が行なわれた場合のシステムの自動復旧方法としても有効である。具体的には、テロ等により大規模システムの一部が破壊された場合、本発明の方法を使うことで自動復旧が可能となる。
【図面の簡単な説明】
【図１】本実施形態のシステム構成の例である。
【図２】制御系および幹細胞コンポーネントの内部構成要素の例である。
【図３】リモートＩ／Ｏの内部構成要素の例である。
【図４】本実施形態のネットワーク接続様式の例である。
【図５】本実施形態のネットワーク接続様式の例である。
【図６】本実施形態のネットワーク接続様式の例である。
【図７】本実施形態のネットワーク接続様式の例である。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to improving the reliability of a distributed control system in which the overall function is realized by a combination of a plurality of control systems.
[0002]
[Technical background]
In a system in which the entire function is realized by a combination of a large number of control systems (for example, a sequence control system), conventionally, in order to improve system reliability by dealing with multiplexing of systems (for example, water and sewage) Public facilities plant). However, in a general manufacturing system or the like, it is rare that all control systems are multiplexed due to a cost problem or the like. For this reason, when a failure occurs in each control system, it is necessary to individually cope with the repair of each control system. In addition, a system has been developed that automatically detects which control system has an abnormality and automatically repairs it. For example, Patent Document 1 proposes the following technique in order to improve the reliability of a functional device (control system) using an FPGA (Field Programmable Gate Array). Here, the FPGA is an electronic circuit such as a programmable LSI, and is a conventional technique used in Patent Document 2, for example.
The functional device in the invention of Patent Document 1 includes a functional circuit unit, a failure detection unit, a definition processing unit, and an internal memory, and stores layout pattern definition information for realizing the functions of the functional circuit unit in the internal memory (and external memory). Backup). The failure detection unit detects a failure and determines a failure area. According to the information, the definition processing unit reads layout pattern definition information that can avoid the failure area from the memory, and redefines the functional circuit unit according to the layout pattern definition information. Thereby, even if the functional device is in service or in operation, the function of the device can be self-repaired.
[0003]
[Patent Document 1]
JP-A-9-62528
[Patent Document 2]
JP-A-10-92943
[0004]
[Problems to be solved by the invention]
However, even if the conventional technique of Patent Document 1 is used, the following problem remains. First, repair may not be possible depending on the location of the failure. For example, the internal memory and the external memory storing the layout pattern definition information can no longer be accessed. Furthermore, since external memory is specialized for the purpose of backing up layout pattern definition information, if this external memory fails, it may be impossible to repair or the entire system may malfunction. .
[0005]
[Means for Solving the Problems]
In order to solve the above problems, the present invention provides a plurality of control systems including at least one stem cell operating as a spare control system, which are connected to each other via a network, and a control controlled by each control system. An automatic restoration distributed control system comprising a remote I / O for connecting a target and a control system, wherein the remote I / O is connected to any of the control systems, and the control system and the control system An input / output means for transmitting a control signal from the control system and feedback from the control object to the target, and an abnormality for detecting an abnormality in the control system controlling the control target via at least the remote I / O And a control means for controlling the control object via the remote I / O, an abnormality detection means for detecting an abnormality of at least one of the control systems, By information to form a control system Reproducing means for changing the control means, and control system To form Control system memory for storing information And data storage memory Have Each of the control system memory and the data storage memory stores information and data for forming at least one control system other than itself, and stores information and data for forming all control systems as a whole. Cage The control system abnormality is detected by either the remote I / O or the control system as a whole. When the control system abnormality is detected by the remote I / O or the control system, the detected remote I / O is detected. O or the control system notifies the remote I / O connected to the stem cell and the control system in which an abnormality is detected, and the regenerating means of the received stem cell is: Information and data for forming a control system in which an abnormality is detected Control system memory And data storage memory From Get and control their own Same function as the abnormal control system Change The remote I / O input / output means that received the notification stops the connection with the abnormal control system and connects with the notified stem cell. Further, the reproduction means of the control system transmits information and data for forming its own control system to at least one control system other than itself, and the reproduction means of the received control system receives , Storing the information and data in the control system memory and data storage memory, respectively It is characterized by doing.
The remote I / O and the control system have a signal pattern memory storing a signal pattern from the control system, and the abnormality detection means of the control system and the remote I / O receives the control signal. By comparing with the signal pattern stored in the signal pattern memory, an abnormality of the control system can be detected.
Also , The regeneration means of the control system is self-control To form a system information And data May be transmitted periodically to other control systems.
[0006]
DETAILED DESCRIPTION OF THE INVENTION
The present invention has the following features in order to solve the above-described problems of the prior art. First, in an engineering system in which the overall function is realized by combining multiple control systems, when a certain control system fails, it is found in the regeneration process of organisms to regenerate the function of the failed control system. Those corresponding to “stem cells” are introduced as a spare for the control system. In other words, one or more “electric circuit boards (boards)” having a stem cell property (hereinafter referred to as “stem cell components”), which normally do not have any specific personality (function), are preliminarily stored in the system over the network. In this way, a system is constructed in which when each control system fails, the stem cell component automatically changes to a failed control system (hereinafter referred to as “regeneration”). As a result, the functions of the entire system can be maintained.
Hereinafter, an embodiment of the automatic restoration distributed control system of the present invention will be described in detail with reference to the drawings.
[0007]
<System configuration>
First, the system configuration of this embodiment will be described. In the system of the present embodiment, all control targets are controlled by each control system via a network and remote I / O (hereinafter also simply referred to as “I / O”). Each control system (including stem cell components) is also connected by a network such as Ethernet (registered trademark). An example of a network connection mode is shown in FIG. FIG. 1 shows an example of the connection mode, and various other cases are conceivable. Other examples will be described later.
[0008]
In FIG. 1, a control target 1 131 to a control target 4 134 are controlled by a control system 1 111 to a control system 4 via I / O (remote I / O) 1 121 to I / O (remote I / O) 4 124, respectively. 114. Thereby, each control object can be controlled from each control system.
Here, the connection between each I / O and each control system is shown as a connection between the black circle 150 on the I / O side and the black circle 150 on the control system side. The black circle 150 on the I / O side is one of the components in the I / O “control unit for exchanging signals between the control system and the control target” (indicated by the input / output control unit 310 in FIG. 3). ) Means connection. Further, the black circle 150 on the control system side is from one of the components in the control system, “a circuit unit that exchanges signals with the target I / O” (indicated by the input / output circuit unit 260 in FIG. 2). Means connection.
Similarly to the control system, the black circle 150 shown in each stem cell component is also a “circuit unit that exchanges signals with the target I / O”, which is one of the components in the stem cell component (indicated by 260 in FIG. 2). It is a connection from. As shown in FIG. 1, the black circle 150 on the stem cell component side and each control system are connected by a network. Thereby, for example, when the control system fails and the stem cell component functions as a substitute for the control system, signals can be exchanged with the target I / O.
[0009]
On the other hand, in FIG. 1, the control system 1 111 to the control system 4 114 and the stem cell component 1 141 to the stem cell component 2 142 are network-connected to each other between the white circles 160. This white circle 160 means a connection from a “control unit for realizing regeneration” (shown as a regeneration control unit 240 in FIG. 2), which is one of the components in the control system and the stem cell component. . Thereby, for example, when the stem cell component functions as a substitute for the failed control system, signals can be exchanged with the target I / O. In FIG. 1, the control system 1 111 to the control system 4 114, the stem cell 1 141, and the stem cell 2 142 are shown by double network connection. However, in this embodiment, the network connection may be one or more. As the network connection is multiplexed, the system is more resistant to failures such as network disconnection.
[0010]
As mentioned above, the internal components of the control system, stem cell components, and remote I / O are shown in FIGS. Next, each internal component will be described with reference to these drawings.
[0011]
<Internal configuration of control system, stem cell component and remote I / O>
The control system and stem cell components are composed of internal components as shown in FIG. In addition, the component shown in FIG. 2 is an example, and other variations are also conceivable.
In each control system (including stem cell components) 200, the functional circuit unit 210 is configured by an FPGA and is a circuit for controlling a control target. The circuit definition memory unit 220 stores information for defining the FPGA circuit of the functional circuit unit 210. In this embodiment, it is outside the functional circuit unit 210, but may be inside the functional circuit unit 210. The circuit control unit 230 is a control unit for selecting a definition circuit from the circuit definition memory unit 220 and rewriting the FPGA circuit of the functional circuit unit 210.
The reproduction control unit 240 includes an abnormal signal detection unit. The abnormal signal detection unit detects an abnormality of at least one control system by collating with an abnormal signal pattern stored in the abnormal signal pattern detection memory unit 270. When the remote I / O unit or the like detects an abnormality, “reproduction” is realized.
The playback control unit 240 exchanges signals with other control systems, stem cell components, and remote I / O, as described with reference to FIG.
In addition, each control system (including the stem cell component) stores circuit definition information and data of a control system other than itself in the circuit definition memory unit 220 and the data storage memory unit 250 in order to realize “regeneration”, as will be described later. Hold on. The reproduction control unit 240 has information on which control system's circuit definition information and data are held by its own control system.
The reproduction control unit 240 can be configured using an FPGA, a microprocessor, or the like, similar to the functional circuit unit 210. If the abnormality signal detection unit detects an abnormality in a plurality of control systems, the probability of detecting an abnormality will increase even if any control system fails as a whole.
[0012]
The data storage memory unit 250 stores data necessary for realizing the FPGA function of the functional circuit unit 210.
The input / output circuit unit 260 exchanges input / output signals with the target remote I / O based on the result of the target control executed by the FPGA of the functional circuit unit 210.
The abnormal signal pattern detection memory unit 270 stores a detection pattern for detecting an abnormal signal.
In this embodiment, “abnormality of the control system” includes all cases where any one of these functions in the control system becomes abnormal. That is, not only the abnormality inside the FPGA but also one abnormality somewhere on the control circuit board as a functional unit is detected and processed as a control function abnormality.
The circuit definition memory unit 220, the data storage memory unit 250, and the abnormal signal pattern detection memory unit 270 may be a large-capacity storage medium such as a hard disk.
[0013]
On the other hand, the remote I / O includes internal components as shown in FIG.
Inside the remote I / O 300, the input / output control unit 310 exchanges signals between the control system and the control target. The input / output control unit 310 communicates with each control system and control target. The abnormality detection unit 320 detects an abnormality signal from the control system that controls the control target via at least the remote I / O. Of course, an abnormal signal of another control system may be detected. The abnormal signal pattern detection memory unit 330 stores an abnormal signal pattern, and the abnormality detection unit 320 detects an abnormality of a signal from the control system using the stored abnormal signal pattern.
The specific roles of these components in the system of this embodiment will be described in detail later.
[0014]
In the system of this embodiment, each control system, stem cell component, and remote I / O always transmit packets to each other using the network as described above. Thereby, it is possible to always monitor each other's state.
By this constant monitoring, an abnormality of a certain control system can be detected by any one (including a plurality) of other control systems, stem cell components, and remote I / Os. In addition, an abnormality in an output signal for each control system to control a control target can be detected even when there is no output. That is, even if any of the functions of each control system becomes abnormal, the abnormality is detected.
[0015]
The stem cell component obtains information on the abnormality detected as described above, gives the information to the remote I / O corresponding to the control system in which the abnormality is detected, and sends the information to the remote I / O from the abnormality control system. As described later, a new control circuit that realizes a control function equivalent to that of the fault control system is constructed by using an FPGA, and the control target is replaced by the control system. Perform “playback” to control. The following (Method 1) to (Method 4) show a method of constructing a control circuit for the stem cell component to “regenerate”.
[0016]
<Construction method of control circuit>
(Method 1)
As the simplest method, circuit definition information for constructing all control circuits of each control system is held in the circuit definition memory unit 220 of the stem cell component, and information on which is an abnormal control system is obtained. Thereafter, a necessary control circuit is constructed based on the circuit definition information.
However, depending on the type of function of the control system, it may be necessary to store the changing data in the data storage memory unit 250 for a short period or a long period in order to realize the function. Also, it may be necessary to change the circuit pattern of the FPGA depending on the input data. In such a case, each control system holds data required by the control system in the data storage memory unit 250 or the circuit definition memory unit 220. In order to make the stem cell component change to any control system, the simplest method is to store all the data of each control system in the data storage memory unit 250 or the circuit definition memory unit 220 of the stem cell component. That is.
However, for example, when the circuit definition memory unit 220 of the stem cell component is a large-capacity storage medium such as a hard disk, all the data can be held in the stem cell component. There may be cases where memory is required and is difficult in practice.
Assuming such a case, the methods described in the following (Method 2) to (Method 4) can also be taken.
[0017]
(Method 2)
The contents of the data storage memory unit 250 of the control system of number n (control system n) are always transferred to the control system n + 1 by the control system n, and the contents are also transferred to the data storage memory unit 250 of the control system n + 1. At the same time, the contents of the data storage memory section 250 of all control systems as a whole system are provided to any control system other than itself. In the control system n, if the circuit pattern of the FPGA is rewritten, the circuit pattern information is always transferred to the control system n + 1, and the circuit pattern definition information is transferred to the circuit definition memory unit 220 of the control system n + 1. (Or data storage memory unit 250). This transfer is realized by the reproduction control unit 240 of each control system.
As a result, unless the control system n and the control system n + 1 fail simultaneously at the same time, if the control system n becomes abnormal, the stem cell component has a function of the control system n with reference to the memory of the control system n + 1. The function can be restored.
Of course, in order to realize this, roughly speaking, each control system requires twice the amount of memory (M) of the control system that requires the maximum amount of memory, which is necessary for the entire system. The maximum amount of memory is 2M × N (N is the number of control systems). However, as in the above (Method 1), the amount of memory can be saved compared to the case where an M × N memory is temporarily placed on the stem cell component and a plurality of the stem cell components are prepared in advance.
[0018]
(Method 3)
In the above (Method 2), the reproduction control unit 240 always transfers the memory contents of the control system n to the control system n + 1 and the control system n-1, and the data storage memory unit 250 of all the control systems as a whole system. If any two control systems other than the self have the same contents, it is possible to recover even if two control systems adjacent to each other at the same time fail, and the reliability of the entire system is Further increase. However, the memory required for the control system requires a maximum of 3M × N for the entire system. Note that the reliability of the entire system can be further increased by further increasing the number of control systems at the constant transfer destination. Here, rules such as the number of transfer destination control systems and which control system to transfer to may be determined according to the system.
[0019]
(Method 4)
In order to save the memory of the entire system, the reproduction control unit 240 of each control system is provided with a function of monitoring the amount of the free data storage memory unit 250 of other control systems. As a result, a control system that needs to transfer a large amount of data can select a control system with sufficient memory and transfer the memory contents. In addition, if necessary, the transfer destination is dynamically determined according to the amount of free memory in each transfer destination control system, such as dividing the data and transferring it to a plurality of control system memories. Is also possible. Also in this method, as in the above (Method 1) to (Method 3), the contents of the data storage memory unit 250 of all the control systems as a whole system are given to any control system other than itself.
In this method, each control system is not restricted by the rule of the number described above with respect to n, and each control system is data for reconstructing the self-control system with respect to other (single or plural) control systems. Forward. In addition, each control system and stem cell component grasps which control system has data of which other control system by the reproduction control unit 240. By utilizing such dynamic memory allocation, for example, when only two specific control systems require a large amount of memory (M) and other control systems do not require much memory, for example, In (Method 1), the stem cell component and any other two control systems (including other stem cell components among the plurality) need only have M memories (or when the above data division is performed, Any other two control systems that form a group to which the divided data is transferred need only have a total of M memories in each group). Further reduction is possible.
[0020]
In this way, each control system transfers and holds information for forming its own control system to other (single or plural) control systems. At this time, as described above, the information (single or plural) of all the control systems as a whole system is held in any control system other than itself. In the above (Method 2) to (Method 4), it is necessary to grasp which control system information is held in each control system, and as described above, regeneration of each control system. The control unit 240 grasps this.
Then, when a certain control system falls into a malfunction or is destroyed, the stem cell component refers to the stored information and changes (regenerates) to a component having the function of the control system, thereby making the function of the entire system To recover.
[0021]
Hereinafter, a method in which the control system controls the control target in the system of the present embodiment, a control system abnormality detection method, and a system recovery flow when an abnormality occurs will be specifically described with reference to the system configuration illustrated in FIG. 1 as an example.
[0022]
<Specific example of control method>
First, a specific example of the control method will be described with reference to FIG. 1 by taking as an example the process in which the control system 2 112 controls the control target 2 132 through the I / O 2 122.
In the present embodiment, for example, data (signal) is exchanged by a packet using a technique using Fast Ethernet and UDP / IP. This technology using Fast Ethenet and UDP / IP is a conventional technology. For example, Yasutaka Fujimoto and Takashi Sekiguchi “Fault Tolerant Control with Distributed Programmable Controllers” I).
(1) The input / output circuit unit 260 of the control system 2 112 broadcasts all destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system including stem cells, and input / output control unit of each remote I / O) 310), the packet is sent through the network.
(2) The I / O2 122 selects only the packet whose transmission source is the control system 2 112 and passes the data to the control target 2 132. At this time, the abnormality detection unit 320 of the I / O2 122 detects an abnormality as to whether the data (signal) from the control system 2 112 is within the allowable range of the signal pattern. If an abnormality is detected, the I / O2 122 broadcasts all destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system including stem cells, and input / output control units of each remote I / O). 310) and send the abnormal information of the control system 2 112.
[0023]
(3) The control target 2 132 returns information (signal) for feedback to the I / O2 122 as necessary. Here, regarding the operation of the I / O2 122, the following two cases (a) and (b) are considered.
(A) The I / O 2 122 sends a signal from the control target 2 132 to the input / output circuit unit 260 of the control system 2 112 in a packet.
(B) The I / O 2 122 is broadcasted to all destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system, and input / output control unit 310 of each remote I / O). The signal from 132 is sent in a packet. The input / output circuit unit 260 of the control system 2 112 selects a packet whose transmission source is the I / O 2 122.
By executing the above (b), it is possible to recognize the abnormality of the I / O 2 122 and the control target 2 132 from other than the control system 2 112. For example, in terms of execution speed, Is better. Therefore, it is preferable to determine which one of (a) and (b) is adopted by the system.
(4) The signal passed to the input / output circuit unit 260 of the control system 2 112 is processed by the functional circuit unit 210 of the control system 2 112.
(5) The resulting signal processed by the functional circuit unit 210 of the control system 2 112 is passed to the input / output circuit unit 260 of the control system 2 112.
[0024]
By repeating the above (1) to (5), the control system 2 112 exchanges data with the control target 2 132 via the I / O 2 122 and controls the control target 2 132.
In addition to the feedback signal from the I / O 2 122 described above, the functional circuit unit 210 of the control system 2 112 receives various input information (for example, time control, manual control, and other control objects from other control objects as necessary. The signal is passed to the input / output circuit 260 of the control system 2 112 in accordance with the information).
When there is no problem in the execution operation of the control system, the functions of the input / output circuit unit 260 and the regeneration control unit 240 of each control system (including stem cell components) can be provided in one component.
[0025]
<Specific example of abnormality detection method>
In this embodiment, in addition to the above-described abnormality detection by the remote I / O, the following abnormality detection method is adopted.
[0026]
(1) In the case of a system in which all control systems are always operating
In this case, as described above, the input / output circuit unit 260 of each control system broadcasts all the destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system and stem cell component, and each remote I / O). The packet is sent to the input / output control unit 310), so that the reproduction control unit 240 of each control system recognizes the transmission source and signal content of signals from other than the control target. The reproduction control unit 240 of each control system recognizes an abnormality of the signal (a signal is interrupted or an abnormality in the signal pattern) with respect to signals from all control systems or signals from one or more specific control systems. An abnormal signal detector for recognizing
In order to identify an abnormality in the signal pattern, an abnormal signal pattern detection memory unit 270 is provided. The abnormal signal pattern detection memory unit 270 is an abnormal signal pattern detection memory corresponding to each control system (a memory for determining which signal pattern is considered abnormal). At this time, an abnormality of each control system can be detected by any of the other control system (single or plural) and stem cell component (single or plural). In addition, detection can be performed by remote I / O (single or plural) other than remote I / O connected to the control target controlled by each control system as necessary. Thereby, abnormality of each control system other than self can be detected.
[0027]
As described above, the abnormality of each control system as a whole system is detected by at least one of the above control systems other than the self, the stem cell component, or the remote I / O. It is possible to determine for each control system or system how many of the abnormalities of each control system can be detected. The larger the number, the stronger the system against failure.
The abnormal signal pattern detection memory unit 270 can be replaced by the circuit definition memory unit 220 or the data storage memory unit 250.
[0028]
(2) For systems that do not require constant operation of all control systems
In this case, there is a case where it is not abnormal even if the control signal from each control system does not occur for a long time. In such a system, the reproduction control unit 240 of each control system broadcasts all destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system and stem cell component, and input / output of each remote I / O). A signal for confirming normal operation is transmitted to the control unit 310) at regular time intervals. This packet includes only a signal for allowing other control systems to recognize that the control system can function normally, and has no information for actual control. The time interval depends on the control target required by the system, the control operation time, and the like, and is set on a case-by-case basis by the system.
As in the above (1), the regeneration control unit 240 of each control system has a signal abnormality (a signal is received) from all control systems or a specific (single or plural) control system. An abnormal signal detection unit for recognizing that the signal pattern is interrupted or abnormal is recognized in the signal pattern is provided. The abnormal signal pattern detection memory unit 270 is the same as (1) above.
[0029]
There are the following two methods (a) and (b) for transmitting a packet signal notifying that the control system can function normally. These are also set on a case-by-case basis by the system.
(A) A method for indicating that the function of the reproduction control unit 240 is normal simply by the reproduction control unit 240 periodically sending a signal packet
(B) The regeneration control unit 240 periodically gives a test signal to the functional circuit unit 210, performs an execution operation test of the functional circuit unit 210 of the control system, and confirms that the functional circuit unit 210 is normal. To send a normal signal packet after confirming
[0030]
<Specific example of system recovery flow when a failure occurs>
Next, a specific flow up to system recovery (regeneration) when an abnormality or failure occurs in a certain control system in the system will be described. Here, a case where the control system 2 112 fails in FIG. 1 will be described as an example.
(1) When an abnormality occurs in the control system 2 112, the abnormality is detected by the above-described abnormality detection method, and the abnormality is I / O (remote I / O) 2 122 and one or more other control systems (stem cell components 1 and 2). Or, if necessary, detected by one or more remote I / Os other than the I / O 2122. This abnormality information is transmitted to the stem cell components 1 and 2 (or all control systems including them).
In the present embodiment, as described above, each control system abnormality is determined by each of the other control systems, any of the stem cell component (s), and any of the remote I / O (s). Since the detection can be performed, even if an abnormality occurs in any of the control systems, the abnormality can be transmitted to the stem cell component. Even when the abnormality detection by the I / O2 122 fails, the I / O2 122 can recognize the abnormality of the control system 2112 from the abnormality detection information by such another control system or other I / O.
[0031]
(2) Here, for example, a rule is given in advance to participate in “regeneration” in ascending order of stem cell component addresses (in ascending order of values). In this case, the stem cell component 1 first participates in “regeneration” and changes to the control system 2 112. Note that which stem cell component has a younger address is known in advance by each stem cell component before participating in “reproduction” by the reproduction control unit 240 of each stem cell component transmitting and receiving packet signals to and from each other.
(3) As described above, in this embodiment, (a) the stem cell component 1 may hold the circuit definition information and data of the control system 2 112, but (b) other (single or plural). It may be stored in the control system memory.
When the stem cell component 1 in the above (a) holds the circuit definition information and data of the control system 2 112 in the circuit definition memory unit 220 and the data storage memory unit 250, the reproduction control unit 240 will be described later. We know that we hold the information. When an abnormality occurs in the control system 2112, the stem cell component 1 uses the information to form the functional circuit unit 210 by the circuit control unit 230.
[0032]
Further, in the case where the other control system (single or plural) in (b) holds the circuit definition information and data of the control system 2112, the reproduction control of each control system that holds the information. The unit 240 also has information that “the circuit definition information or data of the control system 2112 is held in its circuit definition memory unit 220 or the data storage memory unit 250”. A memory for this purpose is given to the reproduction control unit 240 independently, but the circuit definition memory unit 220, the data storage memory unit 250, and the abnormal signal pattern detection memory unit 270 may be substituted.
When an abnormality occurs in the control system 2112, the regeneration control unit 240 of the stem cell component 1 accesses the regeneration control unit 240 of each control system, and the circuit definition information and data of the control system 2112 are held. (Or, as will be described later, the regeneration control unit 240 of the stem cell component 1 knows in advance which control system has the circuit definition information and data of the control system 2112). )) Refers to the circuit definition memory unit 220 and the data storage memory unit 250 of the control system through the reproduction control unit 240 of the corresponding other control system (or the circuit definition memory unit 220 and the data of the stem cell component 1). After the contents are previously copied to the storage memory unit 250, the functional circuit unit 21 is used by the circuit control unit 230) Carried out of the formation.
[0033]
In order to realize the above-mentioned “regeneration”, the reproduction control unit 240 of each stem cell component and each control system is configured as “the circuit definition information of the control system or its own in the circuit definition memory unit 220 or the data storage memory unit 250 It holds information about “data information is retained”. With regard to “which control system circuit definition information or data has information”, each of the stem cell components and the reproduction control unit 240 of each control system, all of each other stem cell component (or each control system including that) Packets may be transmitted to the reproduction control unit 240 periodically or whenever there is a change in which control system circuit definition information or data information is included.
As a result, all the reproduction control units 240 of each stem cell component (or each control system including its control system) always know in advance which stem cell component or control system should read information necessary for reproduction of each control system. It becomes possible to grasp.
[0034]
(4) As described above, the functional circuit unit 210 similar to the control system 2 112 and the stem cell component 1 that has acquired the data are broadcasted to all destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system, and A packet is sent to the input / output control unit 310) of each remote I / O. As described above, this packet is used not only for the purpose of giving a signal to the I / O2 122 but also for detection of an abnormal signal by another control system or the like.
[0035]
(5) On the other hand, after obtaining information that the control system 2 112 has become abnormal, the I / O2 122 sends the address of the transmission source of the corresponding input signal from the original control system 2 112 to the stem cell component 1 And the destination for packet transmission of the signal from the control target 2 132 is changed to the input / output circuit unit 260 of the stem cell component 1 (see (3) (a) of <Specific Example of Control Method> above) Method). Alternatively, packets are sent to all destinations (reproduction control unit 240 and input / output circuit unit 260 of each control system, and input / output control unit 310 of each remote I / O) (the above-described <specific example of control method>) (When the method of (3) and (b) is used).
(6) Further, after obtaining information that the control system 2 112 has become abnormal, the stem cell component 1 obtains the transmission source address of the input signal packet to which the input / output circuit unit 260 should respond from the I / O 2 122. Set as stuff.
By the above (1) to (6), the stem cell component 1 is completely replaced with the failed control system 2112 to perform system regeneration.
[0036]
<Example of network connection style>
As described above, the network configuration of the system according to the present embodiment may have various modes other than those shown in FIG. Further, the number of control systems, stem cell components, remote I / Os, etc. is not limited to that shown in FIG.
Hereinafter, other examples of the network connection mode will be introduced with reference to FIGS. The connection modes listed here are only examples, and other modes are also conceivable.
[0037]
4 to 6, as in FIG. 1, four control systems are connected to four control objects via remote I / O, and the number of stem cell components is two. However, the network configuration is enhanced as compared with FIG. 1, and the system can be recovered (reproduced) even when the network line itself has a problem or damage. That is, it is possible to improve the reliability against a network connection failure. For example, in the case of the network configuration shown in FIG. 4, the system can be restored even when the network between each control system and each control target is disconnected, as compared to FIG.
FIG. 7 shows an example in which the network configuration is the same as that in FIG. 1, but the number of control systems and control targets configuring the network is different. In the network of FIG. 7, the number of control systems is five from control system 1 111 to control system 5 115. The control system 4 114 controls the control target 4a 134a via the I / O 4a 124a and the control target 4b 134b via the I / O 4b 124b. Thus, in this embodiment, there are no particular restrictions on the number of control systems, remote I / Os, and control targets. Also, the number of stem cell components is not limited, but the larger the number, the stronger the system against failure.
The actual network configuration to be employed, or the number of control systems, stem cell components, remote I / O, etc. can be determined for each individual system according to the purpose and necessity of the system, balance with cost, and the like.
In the above description, the FPGA is used as the functional circuit unit of the control system. However, the functional circuit unit can be configured by a processor and a program. In this case, a program is used as information constituting the functional circuit unit.
[0038]
【The invention's effect】
In the present invention, in a system in which the entire function is realized by a combination of a large number of control systems, when each control system breaks down or is destroyed, a system that automatically self-repairs the fault control system In addition to the whole. In particular, self-healing is possible even when a malfunction occurs in any control system in the system.
As a result, it is possible to avoid a situation in which the self-healing is impossible if this functional part fails or is destroyed in the entire control system, and the reliability of the system can be improved.
The basic principle proposed in the present invention can be used in many practical control systems. For example, it is expected to develop in the future, including control of various plants, control of process systems of factories, etc. It can also be used in the field of network home appliances. As an application example in the field of network home appliances, it is possible to add a function that automatically and automatically recovers when a control infrastructure of a specific home appliance out of home appliances connected via a network fails.
Further, the method of the present invention is effective not only in the case of assuming a failure of the control system but also as an automatic system recovery method when an artificial system is destroyed. Specifically, when a part of a large-scale system is destroyed due to terrorism or the like, automatic recovery is possible by using the method of the present invention.
[Brief description of the drawings]
FIG. 1 is an example of a system configuration of the present embodiment.
FIG. 2 is an example of internal components of the control system and stem cell components.
FIG. 3 is an example of internal components of a remote I / O.
FIG. 4 is an example of a network connection mode according to the present embodiment.
FIG. 5 is an example of a network connection mode according to the present embodiment.
FIG. 6 is an example of a network connection mode according to the present embodiment.
FIG. 7 is an example of a network connection mode of the present embodiment.

Claims

A plurality of control systems including at least one stem cell operating as a spare control system connected to each other via a network, and a remote I / O connecting between a control target controlled by each control system and the control system An automatic restoration distributed control system configured with O,
The remote I / O is connected to any of the control systems, and at least input / output means for transmitting a control signal from the control system and feedback from the control object between the control system and the control object; Having an abnormality detection means for detecting an abnormality of a control system controlling a control object via the remote I / O;
The control system includes a control unit that controls the control target via the remote I / O, an abnormality detection unit that detects an abnormality of at least one control system, and information for forming a control system. A reproduction means for changing the means, a control system memory for storing information for forming a control system, and a data storage memory ;
Each of the control system memory and the data storage memory stores information and data for forming at least one control system other than itself, and stores information and data for forming all control systems as a whole. And
The control system abnormality is detected by either the remote I / O or the control system as a whole,
When an abnormality of the control system is detected by the remote I / O or the control system, the detected remote I / O or the control system is connected to the stem cell and the control system in which the abnormality is detected. Notify / O,
Upon receiving the notification, the stem cell regeneration means acquires information and data for forming a control system in which an abnormality is detected from the control system memory and the data storage memory of the stored control system, and the own control means changing the same function as the abnormal control system to,
The input / output means of the remote I / O that has received the notification stops the connection with the abnormal control system and connects to the stem cell that has received the notification ,
Furthermore, the reproduction means of the control system transmits information and data for forming its own control system to at least one control system other than itself,
The reproduction means of the received control system stores the information and data in the control system memory and data storage memory, respectively .

The automatic repair distributed control system according to claim 1,
The remote I / O and the control system have a signal pattern memory storing a signal pattern from the control system,
The abnormality detection means of the control system and the remote I / O detects an abnormality of the control system by comparing the control signal with a signal pattern stored in the signal pattern memory. Automatic repair distributed control system.

In the automatic repair distributed control system according to claim 1 or 2 ,
The automatic restoration distributed control system characterized in that the reproduction means of the control system periodically transmits information and data for forming its own control system to other control systems.