JP4630234B2 - Dual system - Google Patents
Dual system Download PDFInfo
- Publication number
- JP4630234B2 JP4630234B2 JP2006166353A JP2006166353A JP4630234B2 JP 4630234 B2 JP4630234 B2 JP 4630234B2 JP 2006166353 A JP2006166353 A JP 2006166353A JP 2006166353 A JP2006166353 A JP 2006166353A JP 4630234 B2 JP4630234 B2 JP 4630234B2
- Authority
- JP
- Japan
- Prior art keywords
- control device
- response
- counterpart
- control
- self
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
本発明は、通信回線により接続される第１の制御装置と第２の制御装置を立ち上げたとき、第１の制御装置と第２の制御装置が通信回線を介して通信を行い、一方を運用系に、他方を非運用系に設定して縮退運転を行う二重系システムに関する。 In the present invention, when the first control device and the second control device connected by the communication line are started up, the first control device and the second control device communicate with each other via the communication line. The present invention relates to a dual system that performs degenerate operation with the other set as the active system and the other as the non-active system.
プラント制御等、高信頼性を要求される制御環境にあっては、一方を運用系、他方を待機系（非運用系）とする冗長構成を持つ二重系として計算機システムを構築し、運用系に異常が発見された場合に即時待機系に切替え、継続して制御が実行される。 In a control environment that requires high reliability such as plant control, a computer system is constructed as a redundant system with a redundant configuration where one is the active system and the other is the standby system (non-operating system). If an abnormality is found in the system, the system switches to the immediate standby system and the control is executed continuously.
前記した二重系システムの立ち上げ時、相手制御装置が運用未確定状態で自制御装置も運用未確定状態である時、自制御装置と相手制御装置とが同時に運用系になるのを防止するため、乱数により設定した一定時間経過後に相手装置の状態を監視し、そのときの状態で自制御装置が運用系になるか否かを決定する技術が知られている。前記した技術によれば、二重系システムの立ち上げ時、相手制御装置からの情報が接続回線の断線等により通信異常等の信用できない事態を検出した場合には、現在の状態を保持するようにしている。ただし、自制御装置が非運用系の場合は両方の制御装置が非運用となるのを回避するため、自制御装置を運用系に遷移するようにしている（例えば、特許文献１参照）。 When the above-mentioned dual system is started up, when the partner control device is in the operation unconfirmed state and the own control device is in the operation unconfirmed state, the self control device and the partner control device are prevented from becoming the active system at the same time. Therefore, a technique is known in which the state of the counterpart device is monitored after the elapse of a predetermined time set by a random number, and whether or not the own control device becomes an active system in that state is known. According to the above-described technology, when the duplex system is started up, if the information from the partner control device detects an untrustworthy situation such as a communication abnormality due to disconnection of the connection line, the current state is maintained. I have to. However, when the self-control device is a non-operational system, the self-control device is transitioned to the operation system in order to avoid both control devices becoming non-operational (see, for example, Patent Document 1).
また、二重化システムにおいて、運用系（マスタ状態）、非運用系（スレーブ状態）の切替えをＣＰＵ（Central Processing Unit）に依存せずハードウェアで自律的に行うために、例えば、故障が無く、リセットされず、スイッチがＯＦＦ状態で、他の制御装置がスレーブ状態にあったときの自制御装置を、運用系として動作させる技術も知られている。前記した技術によれば、二重系システムのリセット時、各制御装置の出力遅延時間に差を設け、短い時間が設定された制御装置が運用系に、他方の制御装置が非運用系に遷移するようにしている（例えば、特許文献２参照）
前記した特許文献１に開示された技術によれば、二重系システムの運用系を決定する際に乱数を使用しているため、どちらの制御装置が運用系になるかをユーザが予測できないという欠点を持つ。この欠点により、制御装置毎に改造を行う時の保全作業において、まだ改造を施していない制御装置がプラントの制御を行う恐れがある。また、自制御装置が非運用系である状態において、相手制御装置からの情報に基づき接続回線の断線等により通信異常等の信用できない状態を検出した場合に、両方の制御装置が非運用系となるのを回避するために自制御装置を運用系にすることになり、この場合、プラントに対して両方の制御装置から制御が行われ、プラントを誤制御する危険性を有している。
According to the technique disclosed in
一方、前記した特許文献２に開示された技術によれば、二重系システムの立ち上げ時、制御装置の出力遅延時間に差を設け、短い時間が設定された制御装置が運用系に、他方が非運用系に遷移するようにしているが、前記した出力遅延時間の差と、運用系と非運用系の制御装置を電源投入等により立ち上げる時間の差とが同じになった場合、制御装置が同時に立ち上がるため両方の制御装置が運用系となり、この場合、特許文献１に開示された技術同様、制御装置が制御しているプラントに対して両方の制御装置から制御が行われ、プラントを誤制御する危険性を有している。
On the other hand, according to the technique disclosed in Patent Document 2 described above, when the dual system is started up, a difference is provided in the output delay time of the control device, so that the control device in which a short time is set becomes the active system, If the difference between the output delay time described above is the same as the difference between the time when the control device for the active system and the non-active system are started up by turning on the power, etc. Since the devices start up at the same time, both control devices become active systems. In this case, as in the technique disclosed in
本発明は、前記した課題を解決するためになされたものであり、プラントを誤制御することなく、システムの状態に応じて最適かつ安全に二重系システムの立ち上げを実現する、二重系システムを提供することを目的とする。 The present invention has been made in order to solve the above-described problems, and realizes the start-up of a dual system optimally and safely according to the state of the system without erroneously controlling the plant. The purpose is to provide a system.
前記した課題を解決するために本発明は、二重系システムの運用系を決定する際に、系を構成する第１の制御装置と、第２の制御装置が持つ、相手制御装置の状態を取り込む通信制御処理において、乱数を使用することなく、相手制御装置から応答を待つ時に使用する応答待ち時間にそれぞれの制御装置間で差を設けることにより、第１の制御装置と第２の制御装置のいずれを運用系として立ち上げるかについて決定する構成としたものである。そして、この第１の制御装置および第２の制御装置は、相手制御装置へ生存確認データを送信し、その応答を受信する通信制御部と、通信制御部により、相手制御装置からの応答を、自制御装置の応答待ち時間が経過しても、受信しなかったことを検出したとき、自制御装置を運用系として設定し、自制御装置の系の状態が運用系である旨を示す応答を相手制御装置へ送信し、通信制御部により、相手制御装置から自制御装置の系の状態が運用系である旨を示す応答を受信したとき、自制御装置を非運用系として設定する信号処理部とを有する系切替え制御手段を備える。また、信号処理部は、通信制御部により、自制御装置の応答待ち時間以内に、相手制御装置からの応答を受信したとき、応答に含まれる相手制御装置に設定された応答待ち時間と、自制御装置の応答待ち時間とを比較する。そして、相手制御装置に設定された応答待ち時間が自制御装置の応答待ち時間より短い場合に自制御装置を非運用系として設定し、相手制御装置に設定された応答待ち時間が自制御装置の応答待ち時間より長い場合に自制御装置を運用系として設定する。 In order to solve the above-described problems, the present invention determines the state of the counterpart control device possessed by the first control device and the second control device constituting the system when determining the operating system of the dual system. In the communication control processing to be taken in, the first control device and the second control device are provided by providing a difference between the respective control devices in the response waiting time used when waiting for a response from the counterpart control device without using a random number. It is configured to determine which of these will be launched as an operational system. Then, the first control device and the second control device transmit the survival confirmation data to the counterpart control device and receive a response from the counterpart control device by the communication control unit that receives the response, and the communication control unit, When the response waiting time of the own control device elapses, when it is detected that it has not been received, the own control device is set as the active system, and a response indicating that the status of the own control device system is the active system is sent. A signal processing unit that sets a self-control device as a non-operation system when a response indicating that the status of the system of the self-control device is an active system is received from the counterpart control device by the communication control unit. System switching control means. In addition, when the communication control unit receives a response from the counterpart control device within the response wait time of the own control device, the signal processing unit and the response wait time set in the counterpart control device included in the response, Compare the response waiting time of the control unit. Then, when the response waiting time set in the partner control device is shorter than the response waiting time of the own control device, the own control device is set as a non-operational system, and the response waiting time set in the partner control device is If it is longer than the response waiting time, set the own control device as the active system.
本発明によれば、プラントを誤制御することなく、システムの状態に応じて最適かつ安全に二重系システムの立ち上げを実現することができる。 According to the present invention, it is possible to realize the start-up of a dual system optimally and safely according to the state of the system without erroneously controlling the plant.
以下、本発明を実施するための最良の形態（以下、実施の形態という）を、第１の実施の形態ないし第３の実施の形態に分けて説明する。 Hereinafter, the best mode for carrying out the present invention (hereinafter referred to as an embodiment) will be described by dividing it into a first embodiment to a third embodiment.
＜第１の実施の形態＞
図１は、第１の実施の形態における二重系システムのシステム構成の一例を示す図である。
<First Embodiment>
FIG. 1 is a diagram illustrating an example of a system configuration of a dual system according to the first embodiment.
図１において、符号１０は、第１の制御装置としての制御装置、符号３０は、第２の制御装置としての制御装置を示す。また、符号１２，３２は、状態遷移テーブルを示す。この状態遷移テーブル１２,３２は、相手制御装置の状態をもとに次に遷移させる自制御装置の状態を決定するときに参照される。また、符号１１，３１は、制御装置１０，３０それぞれの信号処理部を示す。この通信処理部１１,３１は、状態遷移テーブル１２，３２に基づいた状態遷移を実行する。第１の実施の形態では、制御装置１０、制御装置３０間を接続する通信回線を、専用接続回線４０と基幹ネットワーク５０とで二重化している。
In FIG. 1,
制御装置１０，３０が専用接続回線４０に接続されている場合、停止前に自制御装置の状態が運用系であったときは、自制御装置を優先的に運用系とする優先系として立ち上げる。一方、停止前に自制御装置の状態が非運用系であった場合は相手制御装置を運用系とする非優先系として立ち上げると判断する。なお、停止前に自制御装置の状態が運用系であったか非運用系であったか否かは、自制御装置情報記憶部１３，３３に記録される。
When the
一方、制御装置１０，３０が専用接続回線４０に接続されていない場合、それぞれの制御装置１０，３０が所有するネットワーク接続監視部１５，３５が、基幹ネットワーク５０の接続状態を監視し、自制御装置の基幹ネットワーク５０への接続状態を信号処理部１１，３１へ通知する。信号処理部１１，３１は、自制御装置が基幹ネットワーク５０に接続されている場合、それぞれの制御装置１０，３０が所有する通信制御部１４，３４を使用し、基幹ネットワーク５０を介して相手制御装置と通信を行い、相手制御装置の状態を取得する。相手制御装置の状態を取得した通信制御部１４，３４は、相手制御装置の状態を信号処理部１１，３１へ通知し、それを受け取った信号処理部１１，３１は、状態遷移テーブル１２，３２に基づいた状態遷移を実行する。
On the other hand, when the
また、信号処理部１１，３１は、自制御装置が基幹ネットワーク５０に接続されていない場合、状態遷移テーブル１２，３２（詳細は後記）に基づいた状態遷移を実行する。なお、制御装置１０,３０のハードウェア構成はここでは図示を省略するが、専用接続回線４０および基幹ネットワーク５０により通信を行うための通信インタフェースと、状態遷移テーブル１２,３２、自制御装置情報記憶部１３,３３を所定領域に備える記憶部と、各種演算処理を実行する演算処理部とを備える。演算処理部は、専用の回路により実現するようにしてもよいし、ＣＰＵ等が記憶部に記憶されたプログラムを実行することで実現するようにしてもよい。前記した通信制御部１４,３４、信号処理部１１,３１およびネットワーク接続監視部１５,３５をまとめて系切替え制御手段とする。
Further, when the own control device is not connected to the
図２は、図１の状態遷移テーブルを表形式で例示した図である。以下、図２に例示する状態遷移テーブルを参照しながら、本実施の形態の二重系システムにおける系切替え制御方法について説明する。 FIG. 2 is a diagram illustrating the state transition table of FIG. 1 in a table format. Hereinafter, the system switching control method in the dual system according to the present embodiment will be described with reference to the state transition table illustrated in FIG.
図２に例示するように、自制御装置の状態が優先系で、自制御装置が専用接続回線４０に接続されている場合、自制御装置は、相手制御装置の状態を、専用接続回線４０を使用して取得する。ここで、相手制御装置の状態が非運用系である場合、自制御装置を運用系として立ち上げ、二重系システムの縮退運転を開始する（符合２１，２３参照）。また、相手制御装置の状態が運用系である場合、自制御装置を非運用系として立ち上げ、二重系システムの運転を開始する（符合２２，２４参照）。
As illustrated in FIG. 2, when the state of the own control device is a priority system and the own control device is connected to the
一方、専用接続回線４０が切断状態であるが、基幹ネットワーク５０に接続されている場合、自制御装置は、基幹ネットワーク５０を使用した通信で相手制御装置の状態を取得する。ここで、相手制御装置から応答が無かった場合、自制御装置は、相手制御装置が非運用系であると判定し、自制御装置を運用系として立ち上げ、二重系システムの縮退運転を開始する（符合２５参照）。また、相手制御装置から応答が返ってきた場合は、相手制御装置が運用系であると判定し、自制御装置を非運用系とすることで二重系システムを縮退運転とする（符号２６参照）。ここで、相手制御装置から応答が無かった場合、自制御装置を非運用系としたのは、自制御装置を運用系としてしまうと、相手制御装置が既に運用系として立ち上がっている場合、プラントに対して両方の制御装置から制御が行われ、プラントを誤制御する可能性があるからである。
On the other hand, when the
また、専用接続回線４０が切断状態であり、かつ、基幹ネットワーク５０も切断状態の場合、自制御装置を非運用系とすることで二重系システムを縮退運転とする（符号２７，２８参照）。この場合も、自制御装置を非運用系としたのは、自制御装置を運用系としてしまうと、相手制御装置が既に運用系として立ち上がっている場合、プラントに対して両方の制御装置から制御が行われ、プラントを誤制御する可能性があるからである。
Further, when the
なお、自制御装置の状態が非優先系である場合も、自制御装置の専用接続回線４０への接続状態、基幹ネットワーク５０の接続状態による状態遷移先は、自制御装置の状態が優先系である場合と同じであるので説明を省略する。
Even when the state of the own control device is a non-priority system, the state of the own control device is the priority system in the state transition destination according to the connection state of the own control device to the
図３は、第１の実施の形態における二重系システムの動作を示すシーケンス図である。以下、図１、図２を参照しつつ、図３を用いて第１の実施の形態における二重系システムの動作を説明する。 FIG. 3 is a sequence diagram showing the operation of the dual system in the first exemplary embodiment. The operation of the dual system according to the first embodiment will be described below with reference to FIGS. 1 and 2 and FIG.
＜動作概要＞
ここでは、制御装置１０の応答待ち時間を制御装置３０の応答待ち時間より短く設定することで、制御装置１０を制御装置３０よりも優先的に立ち上げる優先系として設定し、制御装置３０を非優先系として設定している。なお、ここでの応答待ち時間とは、制御装置１０，３０に電源投入あるいはリセットがされた後、この制御装置１０，３０が生存確認データを送信してから、相手制御装置からの生存確認データに対する応答データを送信する処理を実行するまでの時間を指す。
<Overview of operation>
Here, by setting the response waiting time of the
図３中、符号Ｍ１は、相手制御装置の生存を確認する専用の通信データ（生存確認データ）であり、符号Ｍ２はＭ１に対する専用の応答データ（応答データ）である。なお、この応答データには、対応する生存確認データのシーケンス番号が含まれ、制御装置１０，３０は、この応答データに含まれるシーケンス番号により、確かに当該応答データが相手制御装置からの応答データであることを確認するものとする。
In FIG. 3, symbol M1 is dedicated communication data (survival confirmation data) for confirming the existence of the counterpart control device, and symbol M2 is dedicated response data (response data) for M1. Note that the response data includes the sequence number of the corresponding survival confirmation data, and the
また、優先系である制御装置１０の応答待ち時間は、非優先系である制御装置３０の応答待ち時間よりも短い時間に設定する。ここでは、制御装置１０，３０とも、応答データＭ２の受信処理を開始してから、この処理をタイムアウトするまでの時間（タイムアウト値）を同じ時間とし、制御装置１０，３０のうち、運用系である制御装置１０のタイムアウト回数を非運用系である制御装置３０のタイムアウト回数よりも少ない値とすることで、応答待ち時間に差を設ける。
Further, the response waiting time of the
すなわち、通信制御部１４，３４は、相手制御装置に生存確認データＭ１を送信し、その応答データＭ２の受信を待つ処理を行う。信号処理部１１，３１は、応答データＭ２の受信ができたか否かにより相手制御装置の生存判定を行う。ここで、通信制御部１４，３４により応答データＭ２の受信待ちのタイムアウトをｎ回検出したとき、相手制御装置を非運用系と判定し、自制御装置を運用系に決定する。
この後、通信制御部１４，３４を介して、相手制御装置からの生存確認データＭ１の受信を待つ処理を行う。そして、相手制御装置から、生存確認データＭ１を受信すると、信号処理部１１，３１は、この生存確認データＭ１に対する自制御装置の状態を示した応答データＭ２を相手制御装置へ送信し、自制御装置を運用系に決定したことを相手制御装置へ通知する。このような応答データＭ２を受信した相手制御装置は、自身を非運用系として決定する。
That is, the
Thereafter, a process of waiting for reception of the survival confirmation data M1 from the counterpart control device is performed via the
＜動作詳細＞
図３において、まず、優先系とした制御装置１０と、非優先系とした制御装置３０の電源を同時に投入して両方を同時に立ち上げた場合（Ｓ１０，Ｓ３０：電源投入）、制御装置１０と制御装置３０は、ともに相手制御装置が運用系として立ち上がっているか否かを確認するため、生存確認データＭ１の送信を実行し（Ｓ１１，Ｓ３１）、その応答データＭ２の受信処理（受信待ちの処理）を実行する。具体的には、信号処理部１１，３１は、生存確認データＭ１を生成して通信制御部１４，３４に引渡し、通信制御部１４，３４は、その生存確認データＭ１を基幹ネットワーク５０へ送信する。
<Operation details>
In FIG. 3, first, when the
なお、制御装置１０，３０の信号処理部１１，３１は前記した応答待ち時間が経過しないと通信制御部３４を起動させ、応答データＭ２の送信処理を実行させない。つまり、制御装置１０，３０は、応答待ち時間が経過しないと、相手制御装置から生存確認データＭ１を受信しても、これに対する応答データＭ２を送信しない。よって、制御装置１０，３０は、生存確認データＭ１に対する応答データＭ２のタイムアウトを検出し、信号処理部１１，３１へ報告する（Ｓ１２，Ｓ３２）。
The
続いて、信号処理部１１，３１は、通信制御部１４，３４からタイムアウト報告を受け、相手制御装置からの応答が無いことを認識する（Ｓ１３，Ｓ３３）。つまり、１回目のタイムアウトを認識する。
Subsequently, the
次に、再度、制御装置１０と制御装置３０は、生存確認データＭ１の送信処理を実行し、その応答データＭ２の受信処理を実行する。そして、前記したＳ１２，Ｓ３２と同様に通信制御部１４，３４は、応答データＭ２の受信処理のタイムアウトを検出し、信号処理部１１，３１へ報告する（Ｓ１４,Ｓ３４）。信号処理部１１,３１は、通信制御部１４，３４からタイムアウト報告を受け、相手制御装置から応答が無いことを認識する（Ｓ１５，Ｓ３５）。つまり、２回目のタイムアウトを認識する。
Next, the
次に、再度、制御装置１０と制御装置３０の信号処理部１１，３１は、前記と同様の手順により３回目のタイムアウト報告を受ける（Ｓ１６,Ｓ３６）。
Next, the
以上により、制御装置１０は、タイムアウトを３回認識したため、つまり、生存確認データＭ１を合計３回送信し、応答データＭ２の応答を３回待ったが、制御装置３０から応答データＭ２が送信されてこなかったため、応答待ち時間が経過したと判断する。そして、制御装置１０は、制御装置３０を非運用系と判定し（Ｓ１７）、生存確認データＭ１の送信を停止して、自制御装置１０を運用系に決定する。そして、応答データＭ２の送信処理を起動させ（Ｓ１８）、制御装置３０からの生存確認データＭ１を受信する処理を実行する。また、制御装置３０の信号処理部３１は、３回目のタイムアウト報告を受けると、相手制御装置からの応答無しを認識する（Ｓ３７）。
As described above, since the
前記したＳ１８における処理の詳細を、図４を用いて詳細に説明する。図４に示すように、制御装置１０の信号処理部１１は、応答待ち時間が経過したことを認識すると（つまり、タイムアウトを３回認識すると）、通信制御部１４が備える応答データＭ２の送信処理を起動する（Ｓ１８）。ここで、応答データＭ２とは、自制御装置の系の状態（ここでは、運用系）を、相手装置からの生存確認データＭ１に対する応答として送信するデータである。また、応答データＭ２の送信処理は、相手制御装置（制御装置３０）から送信される生存確認データＭ１の受信を待って（Ｓ１８１）、応答データＭ２を送信する処理である（Ｓ１８２）。
なお、ここでは説明を省略するが、制御装置３０の信号処理部３１も、同様に応答待ち時間が経過したことを認識すると（つまり、タイムアウトを１０回認識すると）、通信制御部３４が備える応答データＭ２の送信処理を起動する。
Details of the processing in S18 will be described in detail with reference to FIG. As illustrated in FIG. 4, when the
Although not described here, the
図３の説明に戻る。図３のＳ１７において、制御装置１０は、自制御装置を運用系と決定し、立ち上げようとするが、ここで、制御装置１０は、相手制御装置（制御装置３０）が運用系として立ち上がっているか否かを確認する必要がある。そこで、再度、相手制御装置生存確認判定処理のリトライ処理を実行する（Ｓ１９）。つまり、制御装置１０は、再度、生存確認データＭ１を合計３回送信する。ここでのリトライ処理により相手制御装置（制御装置３０）が非運用系であることが確認できると、自制御装置（制御装置１０）は、運用系として立ち上げる（Ｓ２０）。
Returning to the description of FIG. In S17 of FIG. 3, the
一方、制御装置３０は、相手制御装置（制御装置１０）が運用系として立ち上がっているか否かを判定するため、生存確認データＭ１を送信し（Ｓ３８）、その応答データＭ２を待つ。この段階で、制御装置１０の応答データＭ２送信処理は起動されているため、制御装置３０は、応答データＭ２を受信し（Ｓ３９）、その受信データＭ２から制御装置１０が運用系であることを認識する（Ｓ４０）。そして、制御装置３０は、自身を非運用系に決定する。
On the other hand, the
前記した第１の実施の形態によれば、優先系とした制御装置１０と非優先系とした制御装置３０を同時に立ち上げても、応答待ち時間の短い制御装置１０を運用系とし、応答待ち時間が長い制御装置３０を非運用系として設定し、制御することで、二重系システムを安全な状態に維持することができる。
According to the first embodiment described above, even if the
＜第２の実施の形態＞
図５は、第２の実施の形態における二重系システムの動作を示すシーケンス図である。以下、図１〜図４を参照しつつ、図５を用いて第２の実施の形態における二重系システムの動作を説明する。二重系システムのシステム構成は、図１に示す第１の実施の形態と同じ構成を用いることとする。ここでも、制御装置１０を優先系とし、制御装置３０を非優先系とする。また、制御装置１０の応答待ち時間を、制御装置３０の応答待ち時間よりも短く設定しておく。具体的には、制御装置１０が応答データ受信のタイムアウトを３回認識したとき、応答データＭ１の送信処理を実行し、制御装置３０が、応答データ受信のタイムアウトを１０回認識したとき、応答データＭ１の送信処理を実行するものとする。
<Second Embodiment>
FIG. 5 is a sequence diagram showing the operation of the dual system in the second exemplary embodiment. Hereinafter, the operation of the dual system according to the second embodiment will be described with reference to FIGS. The system configuration of the dual system is the same as that of the first embodiment shown in FIG. Again, the
本実施の形態は、制御装置１０，３０の電源投入等により立ち上げる時間差が、制御装置１０と制御装置３０の応答待ち時間差（タイムアウト７回分）と同じ場合においても、応答待ち時間の短い制御装置１０を運用系として決定することを特徴とする。
In the present embodiment, a control device with a short response waiting time is used even when the time difference between the
まず、制御装置３０の電源が投入されてから（Ｓ３００）、応答待ち時間差と同じ時間が経過した後に、制御装置１０の電源が投入されたとする（Ｓ１００）。そして、前記した図３のＳ１１，Ｓ３１と同様に、制御装置１０と制御装置３０は、相手制御装置が運用系として立ち上がっているか否かを確認するために生存確認データＭ１を送信する（Ｓ１０１，３０１）。そして、その応答データＭ２を待つ。次に、前記した第１の実施の形態と同様に、制御装置１０，３０の信号処理部１１，３１は、タイムアウト報告を受け、相手制御装置から応答が無かったことを制御装置１０は３回（Ｓ１０２〜Ｓ１０４）、制御装置３０は１０回認識する（Ｓ３０２〜Ｓ３０４）。
First, it is assumed that the
制御装置１０は、生存確認データＭ１を合計３回送信し、応答データＭ２の応答を３回待ったが、制御装置３０から応答データＭ２が送信されてこなかったため、相手制御装置（制御装置３０）を非運用系と判定する（Ｓ１０５）。そして、前記した図４のＳ１８と同様に、応答データＭ２の送信処理を起動する（Ｓ１０６）。一方、制御装置３０も、生存確認データＭ１を合計１０回送信し、応答データＭ２の応答を１０回待ったが、制御装置１０から応答データＭ２が送信されてこなかったため、相手制御装置を非運用系と判定する（Ｓ３０５）。そして、前記した図４のＳ１８と同様に、応答データＭ２の送信処理を起動する（Ｓ３０６）。
The
次に、制御装置１０，３０は相手制御装置が運用系として立ち上がっているか否かを判定するため、再度、生存確認データＭ１を送信するリトライ処理を実行する（Ｓ１０７，３０７）。すなわち、制御装置１０，３０は、生存確認データＭ１を送信し（Ｓ１０８,Ｓ３０８）、その応答データＭ２を待つ。ここでは、既に制御装置１０，３０の応答データＭ２送信処理は起動されているため、お互いに応答データＭ２を送信する。なお、この応答データＭ２には、自身の制御装置に設定された応答待ち時間を含める。
Next, the
制御装置１０,３０は、相手制御装置からの応答データＭ２を受信すると、この応答データＭ２に含まれる相手制御装置の応答待ち時間を取得し、この相手制御装置の応答待ち時間と、自制御装置情報記憶部１３，３３にあらかじめ格納されてある自制御装置の応答待ち時間とを比較する（Ｓ１０９,Ｓ３０９）。
When the
ここで、制御装置１０は、応答待ち時間を比較した結果、自制御装置の応答待ち時間の方が短いことを認識すると、自制御装置と相手制御装置との立ち上げの時間差が、制御装置３０の応答時間と制御装置１０の応答時間の差と等しい場合の立ち上げと判定し、信号処理部１１による制御の下、自制御装置を運用系として立ち上げる。つまり、リトライした結果、相手制御装置から応答があり、かつ伝文（応答データＭ２）内に設定された相手制御装置の応答待ち時間が自制御装置の応答待ち時間よりも長いとき、自制御装置を運用系として立ち上げる（Ｓ１１０）。
Here, as a result of comparing the response waiting time, the
また、制御装置３０は、応答待ち時間を比較した結果、自制御装置の応答待ち時間の方が長いことを認識すると、自制御装置と相手制御装置との立ち上げの時間差が、制御装置３０の応答時間と制御装置１０の応答時間の差と等しい場合の立ち上げと判定し、制信号処理部３１による制御の下、自制御装置３０を非運用系として立ち上げる。つまり、リトライした結果、相手制御装置から応答があり、かつ伝文（応答データＭ２）内に設定された相手制御装置（制御装置１０）の応答待ち時間が自制御装置（制御装置３０）の応答待ち時間よりも短いとき、自制御装置を非運用系として立ち上げる（Ｓ３１０）。
Further, as a result of comparing the response waiting time, the
前記した第２の実施の形態によれば、優先系とした制御装置１０を非優先系とした制御装置３０の後、特に、制御装置１０と制御装置３０の応答時間差と同じ時間経過後に立ち上げた場合でも、応答待ち時間が短い制御装置１０が運用系となり、応答待ち時間が長い制御装置３０が非運用系となる。したがって、二重系システムを安全な状態に設定することができる。
According to the second embodiment described above, the
＜第３の実施の形態＞
図６は、第３の実施の形態における二重系システムの動作を示すシーケンス図である。以下、図１〜図５を参照しつつ、図６を用いて第３の実施の形態における二重系システムの動作を説明する。二重系システムのシステム構成は、図１に示す第１の実施の形態と同じ構成を用いることとする。第３の実施の形態は、応答時間の短い制御装置１０が電源未投入、故障等の理由で、運用系にならならなかった場合、応答時間の長い制御装置３０が運用系になることを特徴とする。
<Third Embodiment>
FIG. 6 is a sequence diagram illustrating the operation of the dual system according to the third embodiment. The operation of the dual system according to the third embodiment will be described below with reference to FIGS. 1 to 5 and FIG. The system configuration of the dual system is the same as that of the first embodiment shown in FIG. The third embodiment is characterized in that when the
制御装置３０が電源投入等により立ち上がると（Ｓ６００）、制御装置３０は、相手制御装置（制御装置１０）が運用系として立ち上がっているか否かを判定するため、生存確認データＭ１を送信し（Ｓ６０１）、その応答データＭ２を待つ。そして、制御装置３０は、前記した実施の形態と同様に、相手制御装置から応答が無かったことを合計１０回認識する（Ｓ６１２〜Ｓ６１４）。そして、制御装置３０は、相手制御装置（制御装置１０）が非運用系と判定する（Ｓ６１５）。そして、応答データＭ２の送信処理を起動し（Ｓ６１６）、前記したリトライ処理を実行する（Ｓ６１７）。つまり、再度、相手制御装置（制御装置１０）へ生存確認データを送信する。そして、リトライ処理に基づき、Ｓ６１８,Ｓ６１９の処理を実行した後、１０回目のタイムアウトの報告を受けたとき（Ｓ６２０）、制御装置３０は、相手制御装置が非運用系であると判定する（Ｓ６２１）。そして、制御装置３０は、自制御装置を運用系に決定し、運用系として立ち上がる。
When the
前記した第３の実施の形態によれば、優先系とした制御装置１０が運用系とならない場合においても、非優先系とした制御装置３０を運用系とすることで、二重系システムを安全な状態とすることができる。
According to the third embodiment described above, even when the
以上説明のように、本実施の形態によれば、二重系システムの運用系を決定する際に、乱数を使用しないため、二重系システムを構成するいずれの制御装置が運用系になるか明確になる。したがって、ユーザが制御装置毎に改造を行う時の保全作業が容易になる。また、二重系システムを構成する制御装置の立ち上げ時間の差がいかなる状態にあっても、二重系システムを構成する制御装置の１つを運用系とし、他方を非運用系とすることで、二重系システムを安全な状態に設定することができる。さらに、接続回線４０が故障等の原因により一方の制御装置が接続回線４０から切り離された状態においては、両方の制御装置１０,３０を非運用系とすることにより、両系が運用系となり、プラントに対して両方の制御装置から制御が行われる事態は回避される。したがって、プラントの誤制御を防止することができる。
As described above, according to the present embodiment, since no random number is used when determining the operating system of the dual system, which control device constituting the dual system becomes the active system? Become clear. Therefore, the maintenance work when the user modifies each control device is facilitated. Also, regardless of the startup time difference between the control devices that make up the duplex system, one of the control devices that make up the duplex system should be the active system and the other should be the non-operating system. Thus, the dual system can be set to a safe state. Furthermore, in a state where one control device is disconnected from the
さらに、前記した実施の形態では、二重系システムのみ例示したが、制御装置を３以上とする多重系システムにも同様に応用が可能である。また、前記した実施の形態によれば、いずれも相手制御装置に生存確認データＭ１を送信する回数を、優先系とした制御装置１０は３回、非優先系とした制御装置３０は１０回としたが、優先系とした制御装置１０の応答待ち時間を非優先系とした制御装置３０よりも短く設定すれば、この回数は任意である。
Furthermore, in the above-described embodiment, only the dual system is illustrated, but the present invention can be similarly applied to a multiplex system having three or more control devices. Further, according to the above-described embodiment, the number of times that the survival confirmation data M1 is transmitted to the counterpart control device is 3 times for the
１０ 制御装置（第１の制御装置）
１１,３１ 信号処理部
１２,３２ 状態遷移テーブル
１３,３３ 自制御装置情報記憶部
１４,３４ 通信制御部
１５,３５ ネットワーク接続監視部
３０ 制御装置（第２の制御装置）
４０ 接続回線
５０ 基幹ネットワーク
Ｍ１ 生存確認データ
Ｍ２ 応答データ
10 Control device (first control device)
DESCRIPTION OF
40
Claims (2)
前記第１の制御装置および前記第２の制御装置は、
相手制御装置に対して生存確認データを送信し、その応答データを待つ前記通信の応答待ち時間に、前記第１の制御装置と前記第２の制御装置との間で時間差を設け、前記応答待ち時間の短い相手制御装置を優先的に立ち上げる運用系に設定し、他方を非運用系に設定して縮退運転を実行するため、
前記相手制御装置へ生存確認データを送信し、その応答を受信する通信制御部と、
前記通信制御部により、前記相手制御装置からの応答を、自制御装置の応答待ち時間が経過しても、受信しなかったことを検出したとき、前記自制御装置を運用系として設定し、前記自制御装置の系の状態が前記運用系である旨を示す応答を前記相手制御装置へ送信し、前記通信制御部により、前記相手制御装置から前記自制御装置の系の状態が前記運用系である旨を示す応答を受信したとき、自制御装置を非運用系として設定する信号処理部とを有する系切替え制御手段を備え、
前記信号処理部は、
前記通信制御部により、前記自制御装置の応答待ち時間以内に、前記相手制御装置からの応答を受信したとき、前記応答に含まれる相手制御装置に設定された応答待ち時間と、前記自制御装置の応答待ち時間とを比較し、前記相手制御装置に設定された応答待ち時間が前記自制御装置の応答待ち時間より短い場合に自制御装置を非運用系として設定し、前記相手制御装置に設定された応答待ち時間が前記自制御装置の応答待ち時間より長い場合に自制御装置を運用系として設定すること
を特徴とする二重系システム。 When the first control device and the second control device connected through the communication line are started up, the first control device and the second control device communicate with each other via the communication line, It is a dual system that performs degenerate operation by setting the other to the non-operational system as the active system,
The first control device and the second control device are:
A time difference is provided between the first control device and the second control device in the response response waiting time of the communication that transmits survival confirmation data to the counterpart control device and waits for the response data, and waits for the response In order to execute the degenerate operation by setting the other control device with a short time to the active system to be activated preferentially and the other to the non-active system ,
A communication control unit that transmits survival confirmation data to the counterpart control device and receives a response thereof;
When the communication control unit detects that the response from the counterpart control device has not been received even if the response waiting time of the self control device has elapsed, the self control device is set as an active system, A response indicating that the state of the system of the own control device is the active system is transmitted to the counterpart control device, and the status of the system of the self control device is changed from the counterpart control device to the active system by the communication control unit. When receiving a response indicating that there is a system switching control means having a signal processing unit for setting the own control device as a non-operational system,
The signal processing unit
When the communication control unit receives a response from the counterpart control device within the response wait time of the self control device, the response wait time set in the counterpart control device included in the response, and the self control device If the response waiting time set in the counterpart control device is shorter than the response wait time of the own control device, the own control device is set as a non-operational system and set in the counterpart control device. The dual system is characterized in that the self-control device is set as an active system when the response wait time is longer than the response wait time of the self-control device .
前記通信回線から前記第１の制御装置または前記第２の制御装置が切り離されたとき、前記第１の制御装置と第２の制御装置とを非運用系に設定して縮退運転を実行すること、
を特徴とする請求項１に記載の二重系システム。 The system switching control means includes
When the first control device or the second control device is disconnected from the communication line, the first control device and the second control device are set to a non-operational system and a degenerate operation is executed. ,
The dual system according to claim 1 , wherein:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006166353A JP4630234B2 (en) | 2006-06-15 | 2006-06-15 | Dual system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006166353A JP4630234B2 (en) | 2006-06-15 | 2006-06-15 | Dual system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2007334663A JP2007334663A (en) | 2007-12-27 |
| JP4630234B2 true JP4630234B2 (en) | 2011-02-09 |
Family
ID=38934081
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006166353A Expired - Fee Related JP4630234B2 (en) | 2006-06-15 | 2006-06-15 | Dual system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4630234B2 (en) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010033506A (en) * | 2008-07-31 | 2010-02-12 | Nec Corp | Duplication system, and active system determination method in duplication system |
| JP2013207385A (en) * | 2012-03-27 | 2013-10-07 | Toshiba Corp | State transition processing device |
| CN114237722B (en) * | 2021-11-19 | 2023-09-01 | 湖南三一智能控制设备有限公司 | System starting method, device, equipment and engineering vehicle |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0675653A (en) * | 1992-08-25 | 1994-03-18 | Nec Corp | Computer redundancy control system |
| JPH06175868A (en) * | 1992-12-04 | 1994-06-24 | Kawasaki Steel Corp | Duplex computer fault monitoring method |
| WO1999026138A1 (en) * | 1997-11-14 | 1999-05-27 | Hitachi, Ltd. | Method of changing over a multiplex system |
| JPH11175108A (en) * | 1997-12-16 | 1999-07-02 | Yokogawa Electric Corp | Duplex computer device |
-
2006
- 2006-06-15 JP JP2006166353A patent/JP4630234B2/en not_active Expired - Fee Related
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0675653A (en) * | 1992-08-25 | 1994-03-18 | Nec Corp | Computer redundancy control system |
| JPH06175868A (en) * | 1992-12-04 | 1994-06-24 | Kawasaki Steel Corp | Duplex computer fault monitoring method |
| WO1999026138A1 (en) * | 1997-11-14 | 1999-05-27 | Hitachi, Ltd. | Method of changing over a multiplex system |
| JPH11175108A (en) * | 1997-12-16 | 1999-07-02 | Yokogawa Electric Corp | Duplex computer device |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2007334663A (en) | 2007-12-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6550192B2 (en) | Network device | |
| EP2193635A1 (en) | Method and apparatus for preventing network conflict | |
| EP2395713A1 (en) | Communication system, communication device, control device, control method, and program | |
| WO2018096798A1 (en) | Function extension device, information processing system, and control program of function extension device | |
| JP4630234B2 (en) | Dual system | |
| US8407390B2 (en) | Method and apparatus for data processing | |
| JP4487260B2 (en) | Multiplex system | |
| JP2009296293A (en) | Communication apparatus | |
| EP2177999B1 (en) | Terminal device | |
| JP4492722B2 (en) | Wireless communication apparatus and wireless communication system | |
| JP5176914B2 (en) | Transmission device and system switching method for redundant configuration unit | |
| JP5152330B2 (en) | Information processing apparatus and data transfer circuit operating method | |
| JP2008287632A (en) | Control device recovery system | |
| JP4483947B2 (en) | I / O controller | |
| JP4692419B2 (en) | Network device, redundant switching method used therefor, and program thereof | |
| JP2004007930A (en) | System and program for controlling power system monitoring | |
| JP2006195589A (en) | Communication control device, communication control method, program, and storage medium | |
| KR102187083B1 (en) | Apparatus and method for field bus controller redundancy | |
| JP5763030B2 (en) | Duplex network control system and duplex network control method | |
| JP2007026038A (en) | Path monitoring system, path monitoring method and path monitoring program | |
| WO2013027298A1 (en) | Communication establishing method, computer system, and computer | |
| JPWO2013027298A1 (en) | Communication establishment method, computer system, and computer | |
| JP2010020697A (en) | Redundant configuration system and switching control method thereof | |
| JP3915313B2 (en) | LAN communication system in PLC | |
| JP2015011371A (en) | Alternative control apparatus, alternative control method, and alternative control program |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20080514 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20100219 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20100629 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100826 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20101109 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20101112 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131119 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 4630234 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |