JP5993292B2 - Redundant system and redundancy method - Google Patents
Redundant system and redundancy method Download PDFInfo
- Publication number
- JP5993292B2 JP5993292B2 JP2012260977A JP2012260977A JP5993292B2 JP 5993292 B2 JP5993292 B2 JP 5993292B2 JP 2012260977 A JP2012260977 A JP 2012260977A JP 2012260977 A JP2012260977 A JP 2012260977A JP 5993292 B2 JP5993292 B2 JP 5993292B2
- Authority
- JP
- Japan
- Prior art keywords
- control device
- data
- survival
- calculation result
- calculation
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Hardware Redundancy (AREA)
- Safety Devices In Control Systems (AREA)
Description
本発明は、冗長化システムおよび冗長化方法に関し、例えば、超電導電磁石を超電導状態に保持するための冷却システム等で用いられる制御装置の冗長構成に関する。 The present invention relates to a redundancy system and a redundancy method, for example, to a redundant configuration of a control device used in a cooling system or the like for holding a superconducting electromagnet in a superconducting state.
超電導電磁石を構成する超電導コイルの温度は、冷却システムにより転移温度以下に維持されている。この種の冷却システムは、冷媒として液体ヘリウムを用いており、ヘリウムを液化するための液化装置を備えている。この液化装置により生成された液体ヘリウムの循環流量は、超電導電磁石の温度に応じて制御装置により制御されている。 The temperature of the superconducting coil constituting the superconducting electromagnet is maintained below the transition temperature by the cooling system. This type of cooling system uses liquid helium as a refrigerant and includes a liquefier for liquefying helium. The circulation flow rate of the liquid helium generated by this liquefaction device is controlled by the control device in accordance with the temperature of the superconducting electromagnet.
上述の冷却システムは無停止運転をする必要がある。このため、冷却システムにおける液体ヘリウムの循環流量を制御・管理するための制御装置として冗長化システムが用いられている。 The above cooling system needs to be operated without stopping. For this reason, a redundant system is used as a control device for controlling and managing the circulation flow rate of liquid helium in the cooling system.
図７に、上述の冷却システムにおける液体ヘリウムの循環流量を制御・管理するための制御装置に適用される従来の冗長化システムの構成例を示す。同図（ａ）から（ｃ）に示す冗長化システム５００は、冷却システムにおける液体ヘリウムの循環流量を制御するための制御データを演算する制御装置５０１，５０２と、上記制御データを格納するための共有メモリ５０３とを備えて構成されている。ここで、制御装置５０１は、故障が発生していない場合に通常的に運転される制御装置である。制御装置５０２は、制御装置５０１が故障したときに制御装置５０１に代わって運転される制御装置である。制御装置５０２は、制御装置５０１が正常運転している間は待機状態となっている。
FIG. 7 shows a configuration example of a conventional redundancy system applied to a control device for controlling and managing the circulation flow rate of liquid helium in the above cooling system. The
通常運転時は、図７（ａ）に示すように、制御装置５０１が、超電導磁石を構成する超電導コイルの温度に関する情報を含む入力データに基づいて、この超電導コイルの温度を転移温度以下に保つために必要とされる液体ヘリウムの循環流量の制御に必要な演算処理を実行し、その演算結果として得られる制御データを共有メモリ５０３に格納する。この制御データが共有メモリ５０３から出力データとして出力され、この出力データに基づいて、被冷却体である超電導電磁石の超電導コイルの温度が転移温度以下となるように、液体ヘリウムの循環流量を調整するためのバルブの開度が制御される。
At the time of normal operation, as shown in FIG. 7A, the
ここで、通常運転用の制御装置５０１が故障すると、この制御装置５０１に代わって、待機用の制御装置５０２が制御に必要な演算処理を実行する。このとき、図７（ｂ）に示すように、待機用の制御装置５０２は、故障前の通常運転用の制御装置５０１による演算結果を共有メモリ５０３から読み出し、この演算結果を反映させて演算処理を実行することにより制御の連続性を保つ。そして、図７（ｃ）に示すように、待機用の制御装置５０２は、自身が実行した演算処理の演算結果を共有メモリ５０３に格納する。
Here, when the
通常運転用の制御装置５０１が故障した後は、待機用の制御装置５０２によって共有メモリ５０３に格納された演算結果に基づいて、液体ヘリウムの循環流量を調整するためのバルブの開度が制御される。このように、通常運転用の制御装置５０１が故障すると、この通常運転用の制御装置５０１から待機用の制御装置５０２への切り替えが行われる。
After the failure of the
しかしながら、上述の従来技術によれば、通常運転用の制御装置５０１から待機用の制御装置５０２に切り替える際、制御の連続性を保つために、待機用の制御装置５０２は共有メモリ５０３から通常運転用の制御装置５０１の演算結果を読み出し、その後の演算処理に反映させる必要がある。このため、制御装置の切り替えに時間を要していた。
However, according to the above-described prior art, when switching from the
図７に示す例のほか、冗長化構成に関する従来技術として、例えば、特許文献１、特許文献２、特許文献３に開示された技術が知られている。しかしながら、これらの特許文献の技術によれば、装置を切り替える際のデータ転送時間を短縮することはできるものの、依然として、データ転送時間を必要とする。 In addition to the example shown in FIG. 7, for example, techniques disclosed in Patent Document 1, Patent Document 2, and Patent Document 3 are known as conventional techniques related to a redundant configuration. However, according to the techniques of these patent documents, the data transfer time when switching the apparatuses can be shortened, but still requires the data transfer time.
本発明は、制御装置の切り替えを速やかに行うことができる冗長化システムおよび冗長化方法を提供することを目的とする。 An object of this invention is to provide the redundancy system and the redundancy method which can perform switching of a control apparatus rapidly.
本発明の一態様による冗長化システムは、制御対象の制御に関する演算処理を実行する第１制御装置と、前記第１制御装置による演算処理と並行して、前記第１制御装置による演算処理と同等の演算処理を実行する第２制御装置と、前記第１制御装置および前記第２制御装置によって共有される記憶装置と、を備え、前記記憶装置は、前記第１制御装置および前記第２制御装置による各演算処理の演算結果を格納するための演算結果記憶領域と、前記第１制御装置の生存を確認するためのデータおよび前記第２制御装置の生存を確認するためのデータを格納するための生存確認データ記憶領域と、前記第１制御装置の異常の発生を確認するためのデータおよび前記第２制御装置の異常の発生を確認するためのデータを格納する異常発生状態管理領域と、を有し、前記第２制御装置は、前記第１制御装置による演算処理の演算結果と前記第２制御装置による演算処理の演算結果とが整合しているか否かを判定する整合判定処理を行い、前記演算結果が整合していない場合、警報を発するとともに、前記第２制御装置による演算処理の演算結果が前記第１制御装置による演算処理の演算結果に置き換えられることで、前記第１制御装置による演算結果と前記第２制御装置による演算結果とを整合し、前記第１制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第２制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第２制御装置の異常の発生を確認するためのデータを更新し、前記第２制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第１制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第１制御装置の異常の発生を確認するためのデータを更新し、該データの更新後に、前記整合判定処理において置き換えられた演算結果を前記記憶装置から出力し、前記第１制御装置と前記第２制御装置は、前記生存確認データ記憶領域に格納されたデータを参照して共に相手側の制御装置の生存を確認できない場合、前記第１制御装置と前記第２制御装置のうち、先に前記異常発生状態管理領域のデータを更新した一方の制御装置のみが運転を継続し、他方の制御装置が運転を停止し、前記一方の制御装置は、前記演算結果記憶領域に格納された演算結果のうち、前記他方の制御装置により格納された演算結果を前記記憶装置から出力させる、冗長化システムの構成を有する。 A redundancy system according to an aspect of the present invention is equivalent to a first control device that executes arithmetic processing related to control of a control target and arithmetic processing by the first control device in parallel with the arithmetic processing by the first control device. And a storage device shared by the first control device and the second control device, wherein the storage device includes the first control device and the second control device. For storing the calculation result storage area for storing the calculation result of each calculation processing according to the above, the data for checking the survival of the first control device, and the data for checking the survival of the second control device An existence confirmation data storage area, an abnormality occurrence status tube for storing data for confirming the occurrence of an abnormality in the first control device and data for confirming the occurrence of an abnormality in the second control device Anda region, said second control device, matching determination determines whether the calculation result of the arithmetic processing operation result of the operation processing by the first control unit and by the second control device are consistent When the calculation result is not consistent, an alarm is issued and the calculation result of the calculation process by the second control device is replaced with the calculation result of the calculation process by the first control device. The calculation result by the first control device is matched with the calculation result by the second control device, and the first control device refers to the data stored in the survival confirmation data storage area after the calculation result is matched . If the survival of the second control device is confirmed and the survival cannot be confirmed, update the data for confirming the occurrence of the abnormality of the second control device stored in the abnormality occurrence state management area, Serial second control unit, after the operation result is matched, referring to the stored in the alive data storage area data performs alive of the first controller, if the survival can not be confirmed, the abnormality Data for confirming the occurrence of abnormality of the first control device stored in the occurrence state management area is updated, and after the data is updated, the operation result replaced in the consistency determination process is output from the storage device. the first controller and the second controller if it can not verify the viability of the existence confirmation data storage area by referring to the data stored in both the mating of the control device, the said first control device the Of the two control devices, only one control device that has previously updated the data in the abnormality occurrence state management area continues to operate, the other control device stops operating, and the one control device Of the calculation results stored in the calculation result storage area, the calculation result stored by the other control device is output from the storage device.
前記冗長化システムにおいて、例えば、前記第１制御装置は、該第１制御装置の生存を確認するためのデータとして、所定の数値範囲で巡回する数値データを生成して前記生存確認データ記憶領域に格納する。
前記冗長化システムにおいて、例えば、前記第２制御装置は、前記生存確認データ記憶領域に格納された数値データを参照し、該数値データに所定の変化がない場合、前記第１制御装置の生存を確認できないと判定する。
In the redundancy system, for example, the first control device generates numerical data that circulates within a predetermined numerical range as data for confirming the survival of the first control device, and stores the numerical data in the survival confirmation data storage area. Store.
In the redundant system, for example, the second control device refers to the numerical data stored in the survival confirmation data storage area, and if there is no predetermined change in the numerical data, the second control device It is determined that it cannot be confirmed .
前記冗長化システムにおいて、例えば、前記第１制御装置は、該第１制御装置による演算処理の演算結果のチェックサム値を演算して前記記憶装置に格納し、前記第２制御装置は、該第２制御装置による演算処理の演算結果のチェックサム値を演算し、該演算により得られたチェックサム値と前記第１制御装置により前記記憶装置に格納されたチェックサム値とを比較することにより、前記第１制御装置による演算処理の演算結果と前記第２制御装置による演算処理の演算結果とが整合しているか否かを判定する。
前記冗長化システムにおいて、例えば、前記第１制御装置は、通常運転用の制御装置であり、前記第２制御装置は、待機用の制御装置である。
In the redundancy system, for example, the first control device calculates a checksum value of a calculation result of calculation processing by the first control device and stores the checksum value in the storage device, and the second control device (2) calculating a checksum value of a calculation result of calculation processing by the control device, and comparing a checksum value obtained by the calculation with a checksum value stored in the storage device by the first control device; It is determined whether the calculation result of the calculation process by the first control device matches the calculation result of the calculation process by the second control device .
In the redundancy system, for example, the first control device is a control device for normal operation, and the second control device is a control device for standby.
本発明の一態様による冗長化方法は、制御対象の制御に関する演算処理を実行する第１制御装置と、前記第１制御装置による演算処理と並行して、前記第１制御装置による演算処理と同等の演算処理を実行する第２制御装置と、前記第１制御装置および前記第２制御装置によって共有される記憶装置と、を備えた冗長化システムの冗長化方法であって、前記記憶装置が、前記第１制御装置および前記第２制御装置による各演算処理の演算結果を格納するための演算結果記憶領域と、前記第１制御装置の生存を確認するためのデータおよび前記第２制御装置の生存を確認するためのデータを格納するための生存確認データ記憶領域と、前記第１制御装置の異常の発生を確認するためのデータおよび前記第２制御装置の異常の発生を確認するためのデータを格納する異常発生状態管理領域と、有し、前記第２制御装置は、前記第１制御装置による演算処理の演算結果と前記第２制御装置による演算処理の演算結果とが整合しているか否かを判定する整合判定処理を行い、前記演算結果が整合していない場合、警報を発するとともに、前記第２制御装置による演算処理の演算結果が前記第１制御装置による演算処理の演算結果に置き換えられることで、前記第１制御装置による演算結果と前記第２制御装置による演算結果とを整合する段階と、前記第１制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第２制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第２制御装置の異常の発生を確認するためのデータを更新する段階と、前記第２制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第１制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第１制御装置の異常の発生を確認するためのデータを更新し、該データの更新後に、前記整合判定処理において置き換えられた演算結果を前記記憶装置から出力する段階と、前記第１制御装置と前記第２制御装置は、前記生存確認データ記憶領域に格納されたデータを参照して共に相手側の制御装置の生存を確認できない場合、前記第１制御装置と前記第２制御装置のうち、先に前記異常発生状態管理領域のデータを更新した一方の制御装置のみが運転を継続し、他方の制御装置が運転を停止する段階と、前記一方の制御装置は、前記演算結果記憶領域に格納された演算結果のうち、前記他方の制御装置により格納された演算結果を前記記憶装置から出力させる段階と、を含む冗長化方法の構成を有する。 A redundancy method according to an aspect of the present invention is equivalent to a first control device that executes arithmetic processing related to control of a control target and an arithmetic processing by the first control device in parallel with the arithmetic processing by the first control device. A redundancy method for a redundant system comprising: a second control device that executes the arithmetic processing of: and a storage device shared by the first control device and the second control device, wherein the storage device includes: A calculation result storage area for storing calculation results of each calculation processing by the first control device and the second control device, data for confirming the survival of the first control device, and the survival of the second control device A survival confirmation data storage area for storing data for confirming data, data for confirming the occurrence of an abnormality in the first control device, and confirming the occurrence of an abnormality in the second control device And abnormal condition management area for storing data, comprising the second control device, whether a calculation result of the arithmetic processing by the arithmetic result and the second control device to the computing process by the first control unit is matched A consistency determination process is performed to determine whether or not the calculation result is inconsistent, and an alarm is issued, and the calculation result of the calculation process by the second control device is converted into the calculation result of the calculation process by the first control device. By replacing the operation result of the first control device with the operation result of the second control device, the first control device stores the survival confirmation data after the operation result is matched. If the existence of the second control device is confirmed by referring to the data stored in the area and the existence of the second control device cannot be confirmed, the abnormality of the second control device stored in the abnormality occurrence state management area A step of updating the data for checking an occurrence, the second control unit, after the operation result is matched, the first control unit by referring to the stored in the alive data storage area Data When the survival check is performed and the survival cannot be confirmed, the data for checking the occurrence of the abnormality of the first control device stored in the abnormality occurrence state management area is updated , and after the data is updated, the consistency determination process Outputting from the storage device the calculation result replaced in step 1, and the first control device and the second control device both refer to the data stored in the survival confirmation data storage area, and control the other side Of the first control device and the second control device, only one control device that has previously updated the data in the abnormality occurrence state management area continues to operate, and the other And the one control device outputs, from the storage device, the operation result stored by the other control device among the operation results stored in the operation result storage area. And a redundancy method including the steps.
本発明によれば、制御装置を切り替える際に演算結果の転送を省略することができる。従って、制御装置の切り替えを速やかに行うことが可能になる。 According to the present invention, it is possible to omit the transfer of calculation results when switching between control devices. Therefore, the control device can be switched quickly.
以下、図面を参照して、本発明の実施形態について、超電導電磁石を超電導状態に保持するための冷却システムを制御する制御装置に関する冗長化システムを例として説明する。ただし、本発明は、このような例に限定されず、任意のシステムの制御装置に適用することができる。 Hereinafter, an embodiment of the present invention will be described with reference to the drawings, taking as an example a redundant system related to a control device that controls a cooling system for holding a superconducting electromagnet in a superconducting state. However, the present invention is not limited to such an example, and can be applied to a control device of an arbitrary system.
[構成の説明]
図１は、本発明の実施形態による冗長化システム１０００の構成の一例を示すブロック図である。同図に示すように、本実施形態による冗長化システム１０００は、通常運転用の制御装置１１００（第１制御装置）と、待機用の制御装置１２００（第２制御装置）と、共有メモリ１３００（記憶装置）とを備えて構成される。ここで、通常運転用の制御装置１１００は、入力データＤＩＮに基づいて制御対象の制御に関する演算処理を実行して演算結果ＲＡを出力するものであり、故障が発生しない限り通常的に運転される。本実施形態では、制御対象は、例えば、前述の超電導電磁石を超電導状態に保持するための冷却システムにおける液体ヘリウムの循環流量を規定するバルブの開度である。通常運転用の制御装置１１００は、そのバルブの開度に関する制御データを演算する。
[Description of configuration]
FIG. 1 is a block diagram showing an example of the configuration of a
待機用の制御装置１２００は、通常運転用の制御装置１１００による演算処理と並行して、入力データＤＩＮに基づいて制御装置１１００による演算処理と同等の演算処理を実行して演算結果ＲＢを出力するものである。待機用の制御装置１２００は、通常運転用の制御装置１１００が故障したときに、この制御装置１１００に代わって運転される。通常運転用の制御装置１１００および待機用の制御装置１２００は、それぞれ、例えば制御用のＣＰＵ(Central Processing Unit)であるが、この例に限定されない。
The
共有メモリ１３００は、通常運転用の制御装置１１００および待機用の制御装置１２００によって共有される記憶装置である。共有メモリ１３００には、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢが格納される。共有メモリ１３００は、例えばスタティックランダムアクセスメモリ（ＳＲＡＭ：Static Random Access Memory）から構成されるが、この例に限定されず、例えば不揮発性メモリ等、任意の記憶デバイスから構成することができる。
The shared
本実施形態では、共有メモリ１３００は、生存確認データ記憶領域１３１１，１３１２、チェックサム記憶領域１３２１、演算結果記憶領域１３３１，１３３２、選択部１３４０を有する。ここで、演算結果記憶領域１３３１は、通常運転用の制御装置１１００による演算処理の演算結果ＲＡを格納するためのものである。演算結果記憶領域１３３２は、待機用の制御装置１２００による演算処理の演算結果ＲＢを格納するためのものである。
In the present embodiment, the shared
生存確認データ記憶領域１３１１は、通常運転用の制御装置１１００の生存を確認するためのデータを格納するものである。生存確認データ記憶領域１３１２は、待機用の制御装置１２００の生存を確認するためのデータを格納するものである。本実施形態では、「生存」なる用語は、通常運転用の制御装置１１００または待機用の制御装置１２００が正常な運転状態にあることを意味する。本実施形態では、生存確認用のデータが正常に生成されれば、そのデータを生成した制御装置は正常な運転状態にあるものと見なす。
The survival confirmation
通常運転用の制御装置１１００は、生存を確認するためのデータとして、「１」から「１００」までの数値範囲（所定の数値範囲）で巡回する数値データを制御サイクルごとに生成して生存確認データ記憶領域１３１１に格納する。制御装置１２００も同様に、生存を確認するためのデータとして「１」から「１００」までの数値範囲で巡回する数値データを制御サイクルごとに生成して生存確認データ記憶領域１３１２に格納する。生存確認データ記憶領域１３１１，１３１２に格納されたデータは制御サイクルごとに更新される。生存を確認するためのデータは、例えばカウンタを用いて生成することができる。
なお、本実施形態では、生存を確認するためのデータの数値範囲を「１」から「１００」までとするが、この例に限定されず、その数値範囲は任意である。
The
In the present embodiment, the numerical range of data for confirming survival is from “1” to “100”, but is not limited to this example, and the numerical range is arbitrary.
本実施形態では、後述するように、待機用の制御装置１２００は、生存確認データ記憶領域１３１１に格納されたデータを参照して通常運転用の制御装置１１００の生存確認を行い、制御装置１１００の生存を確認できない場合、共有メモリ１３００の演算結果記憶領域１３３１，１３３２に格納された演算結果のうち、待機用の制御装置１２００により演算結果記憶領域１３３２に格納された演算結果ＲＢを共有メモリ１３００から出力データＤＯＵＴとして出力させる。また、通常運転用の制御装置１１００は、生存確認データ記憶領域１３１２に格納されたデータを参照して待機用の制御装置１２００の生存確認を行い、制御装置１２００の生存を確認できない場合、警報を発生させる。
In the present embodiment, as will be described later, the
チェックサム記憶領域１３２１は、通常運転用の制御装置１１００の演算結果ＲＡのチェックサム値ＣＳＡを格納するためのものである。このチェックサム値ＣＳＡは、待機用の制御装置１２００において、演算結果ＲＢのチェックサム値ＣＳＢと比較することにより、制御装置１１００の演算結果ＲＡと制御装置１２００の演算結果ＲＢとが整合（一致）しているか否かの判定（以下、「整合判定」と称す。）を行う際に用いられる。
なお、本実施形態では、共有メモリ１３００は、待機用の制御装置１２００のチェックサム値ＣＳＢを格納するためのチェックサム記憶領域を有しておらず、待機用の制御装置１２００のチェックサム値ＣＳＢは、この制御装置１２００の記憶部（例えば、ダイナミックランダムアクセスメモリ）に保持される。
The
In this embodiment, the shared
ただし、例えば、制御装置１１００を待機用とし、制御装置１２００を通常運転用として使用する等のように、制御装置の役割を切り替える運用を行う場合には、上述のチェックサム記憶領域１３２１に加えて、共有メモリ１３００に、制御装置１２００の演算結果ＲＢのチェックサム値ＣＳＢを格納するためのチェックサム記憶領域１３２２（図示なし）を増設すればよい。ここで、制御装置１１００を待機用とし、制御装置１２００を通常運転用として使用する場合、上述の増設されたチェックサム記憶領域１３２２（図示なし）に制御装置１２００により格納されたチェックサム値ＣＳＢは、制御装置１１００において、演算結果ＲＡのチェックサム値ＣＳＡと比較することにより、演算結果ＲＡと演算結果ＲＢとが整合しているか否かの判定を行う際に用いられる。この場合、制御装置１１００の演算結果ＲＡのチェックサム値ＣＳＡを格納するためのチェックサム記憶領域１３２１は使用されず、チェックサム値ＣＳＡは例えば制御装置１１００の記憶部（例えば、ダイナミックランダムアクセスメモリ）に保持される。
However, in the case of performing an operation of switching the role of the control device such as using the
選択部１３４０は、演算結果記憶領域１３３１および演算結果記憶領域１３３２を択一的に選択して、演算結果記憶領域１３３１に格納された演算結果ＲＡまたは演算結果記憶領域１３３２に格納された演算結果ＲＢの何れかを共有メモリ１３００から出力するものである。ただし、この例に限定されず、演算結果記憶領域１３３１と演算結果記憶領域１３３２を異なるアドレス空間に割り付け、アドレスにより演算結果記憶領域１３３１および演算結果記憶領域１３３２を択一的に選択するものとしてもよい。
The
[動作の説明]
次に、図２から図５に示すフローに沿って、図１に示す冗長化システム１０００の動作を説明する。
ここで、図２は、本実施形態による冗長化システム１０００の動作（整合判定）の流れを示すフローチャートである。図３は、本実施形態による冗長化システム１０００の動作（整合判定）の流れを補足するためのフローチャートである。図４は、本実施形態による冗長化システム１０００の通常運転用の制御装置１１００における動作の流れを示すフローチャートである。図５は、本実施形態による冗長化システム１０００の待機用の制御装置１２００における動作の流れを示すフローチャートである。
[Description of operation]
Next, the operation of the
Here, FIG. 2 is a flowchart showing the flow of the operation (matching determination) of the
冗長化システム１０００を構成する通常運転用の制御装置１１００と待機用の制御装置１２００は、通常時は並列運転され、同一の入力データＤＩＮに基づいて同一の制御対象の制御に関する同様の演算処理を実行している。なお、同一の入力データＤＩＮに対して同一の演算結果を得ることができる限度において、待機用の制御装置１２００による演算処理は、通常運転用の制御装置１１００による演算処理と同一である必要はなく、等価な処理で足りる。本実施形態では、説明の簡略化のため、待機用の制御装置１２００による演算処理は、通常運転用の制御装置１１００による演算処理と同一であるものとする。
The
本実施形態では、通常運転用の制御装置１１００から待機用の制御装置１２００への切り替えは、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが整合（一致）していることを条件として実施される。換言すれば、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが一致していなければ、仮に通常運転用の制御装置１１００が故障しても、通常運転用の制御装置１１００から待機用の制御装置１２００への切り替えは実施されない。
In this embodiment, switching from the
以下では、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが整合していることを判定するための処理（以下、「整合判定処理」と称す。）を先に説明し、その後、通常運転用の制御装置１１００から待機用の制御装置１２００へ切り替えるための処理（以下、「切り替え処理」と称す。）を説明する。
Hereinafter, a process for determining that the calculation result RA of the
＜整合判定処理＞
図２に示すフローに沿って、整合判定処理を説明する。
概略的に、整合判定処理では、待機用の制御装置１２００は、この制御装置１２００の演算結果ＲＢのチェックサム値ＣＳＢと通常運転用の制御装置１１００の演算結果ＲＡのチェックサム値ＣＳＡとを比較することにより、通常運転用の制御装置１１００の演算処理の演算結果ＲＢと待機用の制御装置１２００の演算結果ＲＢとが整合しているか否かを判定する。
<Consistency judgment processing>
The alignment determination process will be described along the flow shown in FIG.
In summary, in the matching determination process, the
この整合判定処理の前提として、通常運転用の制御装置１１００は、各制御サイクルにおいて、前述の冷却システムで用いられる電磁石の温度に関する情報を含む入力データＤＩＮに基づいて、液化装置により生成される液体ヘリウムの循環流量を与えるバルブ開度を演算し、その演算結果ＲＡを共有メモリ１３００の演算結果記憶領域１３３１に格納する。
As a premise of this matching determination processing, the
演算結果ＲＡが得られると、図２（ａ）のフローに示すように、通常運転用の制御装置１１００は、演算結果ＲＡのチェックサム値ＣＳＡを計算し、このチェックサム値ＣＳＡを自身の記憶部（例えば、ダイナミックランダムアクセスメモリ）に一時的に格納する（ステップＳ２１１）。また、通常運転用の制御装置１１００は、上記計算により得られたチェックサム値ＣＳＡを共有メモリ１３００のチェックサム記憶領域１３２１に格納する（ステップＳ２１２）。その後、通常運転用の制御装置１１００は運転を継続し（ステップＳ２１３）、処理をステップＳ２１１に戻して次の制御サイクルに移行する。
このように、通常運転用の制御装置１１００は、各制御サイクルにおいて、演算結果ＲＡのチェックサム値ＣＳＡを計算して共有メモリ１３００のチェックサム記憶領域１３２１の値を更新する。
When the calculation result RA is obtained, the
Thus, the
一方、待機用の制御装置１２００は、通常運転用の制御装置１１００と同様に、各制御サイクルにおいて、前述の冷却システムで用いられる電磁石の温度に関する情報を含む入力データＤＩＮに基づいて、液体ヘリウムの循環流量を与えるバルブ開度を独自に演算し、その演算結果ＲＢを共有メモリ１３００の演算結果記憶領域１３３２に格納する。ここで、各制御サイクルにおいて、制御装置１１００および制御装置１２００は、同一の入力データＤＩＮに基づいて同一の演算処理を実行するので、通常、待機用の制御装置１２００の演算結果ＲＢは通常運転用の制御装置１１００の演算結果ＲＡと一致する。
On the other hand, the
演算結果ＲＢが得られると、待機用の制御装置１２００は、図２（ｂ）のフローに示すように、通常運転用の制御装置１１００により計算されたチェックサム値ＣＳＡを用いて、通常運転用の制御装置１１００による演算結果ＲＡと待機用の制御装置１２００による演算結果ＲＢとが整合しているか否かを判定し、整合しない場合に警報を発生させる。具体的には、待機用の制御装置１２００は、その演算結果ＲＢのチェックサム値ＣＳＢを計算し（ステップＳ２２１）、このチェックサム値ＣＳＢを自身の記憶部に一時格納する。続いて、待機用の制御装置１２００は、共有メモリ１３００のチェックサム記憶領域１３２１から、通常運転用の制御装置１１００の演算結果ＲＡのチェックサム値ＣＳＡを取得して待機用の制御装置１２００の記憶部に格納する（ステップＳ２２２）。
When the calculation result RB is obtained, the
続いて、待機用の制御装置１２００は、演算結果ＲＢから計算したチェックサム値ＣＳＢ（計算値）と、共有メモリ１３００から取得したチェックサム値ＣＳＡ（取得値）とを比較する（ステップＳ２２３）。そして、チェックサム値ＣＳＡとチェックサム値ＣＳＢとが整合（一致）するか否か、即ち、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが整合するか否かを判定する（ステップＳ２２４）。ここで、チェックサム値ＣＳＡとチェックサム値ＣＳＢとが整合する場合（ステップＳ２２４；ＹＥＳ）、即ち、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが整合する場合、待機用の制御装置１２００は、そのまま運転を継続し（ステップＳ２２５）、処理をステップＳ２２１に戻して次の制御サイクルに移行する。
Subsequently, the
これに対し、チェックサム値ＣＳＡとチェックサム値ＣＳＢとが整合しない場合（ステップＳ２２４；ＮＯ）、待機用の制御装置１２００は警報を発生させ（ステップＳ２２６）、演算結果が整合しない旨をオペレータに通知する。その後、待機用の制御装置１２００は、そのまま運転を継続し（ステップＳ２２５）、処理をステップＳ２２１に戻して次の制御サイクルに移行する。
このように、待機用の制御装置１２００は、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとに不整合が発生した場合に警報を発生させるが、運転を停止することなく、そのまま運転を継続する。
On the other hand, if the checksum value CSA and the checksum value CSB do not match (step S224; NO), the
As described above, the
次に、図３を参照して、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが整合しない場合のオペレータの処置の一例を説明する。
なお、図３に示すステップＳ３０１と、ステップＳ３０２と、ステップＳ３０３と、ステップＳ３０４は、それぞれ、図２（ｂ）に示すステップＳ２２１〜Ｓ２２３と、ステップＳ２２４と、ステップＳ２２５と、ステップＳ２２６に対応している。また、図３のステップＳ３０５は、図２のステップ２２５に含まれ、それ以外の図３のステップＳ３０６〜Ｓ３０９は、オペレータによる処置に相当する。
Next, with reference to FIG. 3, an example of the operator's treatment when the calculation result RA of the
Note that step S301, step S302, step S303, and step S304 shown in FIG. 3 correspond to steps S221 to S223, step S224, step S225, and step S226 shown in FIG. 2B, respectively. ing. Further, step S305 in FIG. 3 is included in step 225 in FIG. 2, and other steps S306 to S309 in FIG. 3 correspond to treatment by the operator.
図２のステップＳ２２１〜Ｓ２２４に対応する図３のステップＳ３０１，Ｓ３０２では、オペレータの処置とは関係なく、上述したように、チェックサム値を用いた演算結果の整合に関する判定処理が自動的に実施される。そして、図３のステップＳ３０２において、演算結果が整合しないと判定された場合（ステップＳ３０２；ＮＯ）、上述したように、図２のステップＳ２２６に対応する図３のステップＳ３０４において、待機用の制御装置１２００は警報を発生させてオペレータに通知する。この警報から、オペレータは、演算結果に不整合が発生したことを認識する。
In steps S301 and S302 in FIG. 3 corresponding to steps S221 to S224 in FIG. 2, regardless of the operator's treatment, as described above, the determination processing regarding the matching of the calculation results using the checksum value is automatically performed. Is done. If it is determined in step S302 in FIG. 3 that the calculation results do not match (step S302; NO), as described above, the standby control is performed in step S304 in FIG. 3 corresponding to step S226 in FIG. The
この場合、オペレータは、手動により演算結果を整合させるための処置（以下、「手動整合」と称す。）を実施するか、または演算結果が整合しない原因を調査するかの何れのの対応をとるかを判断する（ステップＳ３０６）。ここで、手動整合を実施すると判断した場合（ステップＳ３０６；ＹＥＳ）、オペレータは、通常運転用の制御装置１１００の演算結果ＲＡを待機用の制御装置１２００に複写することにより、待機用の制御装置１２００の演算結果ＲＢを通常運転用の制御装置１１００の演算結果ＲＡに置き換える。具体的には、共有メモリ１３００の演算結果記憶領域１３３２に格納された演算結果ＲＢを演算結果ＲＡに書き替えると共に、待機用の制御装置１２００の記憶部に記憶された演算結果ＲＢを演算結果ＲＡに書き替える。これにより、見かけ上、演算結果の不整合は解消される。その後、待機用の制御装置１２００は、処理をステップＳ３０１に戻して運転を継続する。
In this case, the operator either takes a measure for manually matching the calculation results (hereinafter referred to as “manual alignment”) or investigates the cause of the mismatch of the calculation results. Is determined (step S306). When it is determined that manual alignment is to be performed (step S306; YES), the operator copies the calculation result RA of the
ここで、演算結果が整合しない場合として、通常運転用の制御装置１１００の演算処理ＲＡに原因がある場合と、待機用の制御装置１２００の演算処理ＲＢに原因がある場合の二通りがある。本実施形態では、演算結果が整合しない原因が何れの演算結果にあったとしても、通常運転用の制御装置１１００の演算結果ＲＡを有効なものとして取り扱い、待機用の制御装置１２００の演算結果ＲＢを通常運転用の制御装置１１００の演算結果ＲＡで置き換える。その理由は、通常運転用の制御装置１１００の運転を継続することにより、制御の連続性を保つためである。
Here, there are two cases where the calculation results do not match, that is, when there is a cause in the arithmetic processing RA of the
ここで、仮に通常運転用の制御装置１１００の演算結果ＲＡを演算結果ＲＢで置き換えたとすれば、演算結果が整合しない原因が待機用の制御装置１２００の演算処理にあった場合、共有メモリ１３００から出力データＤＯＵＴとして出力される制御データの値が急激に変化し、制御の連続性が著しく阻害されるおそれがある。このため、本実施形態では、不整合の原因の所在を問わず、通常運転用の制御装置１１００の演算結果ＲＡを優先的に出力する。また、演算結果の不整合の原因が一時的なものであれば、必ずしもその原因を調査して対策を講じる必要もなく、通常運転用の制御装置１１００の運転を継続しても問題はない。
Here, if the calculation result RA of the
これに対し、オペレータが手動整合を実施しないと判断した場合、（ステップＳ３０６；ＮＯ）、即ち演算結果が整合しない原因を調査すると判断した場合、オペレータは、例えば、その原因を調査し（ステップＳ３０８）、その調査の結果に基づいて必要な対策を講じる（ステップＳ３０９）。例えば、オペレータは、演算結果が整合しない原因が通常運転用の制御装置１１００の演算処理にあるのか、待機用の制御装置１２００の演算処理にあるのかを分析し、その分析結果から、演算結果の不整合を生じさせた制御装置を修理する等の対策を講じる。
On the other hand, when it is determined that the operator does not perform manual alignment (step S306; NO), that is, when it is determined to investigate the cause of the inconsistent calculation result, for example, the operator investigates the cause (step S308). ), And necessary measures are taken based on the result of the investigation (step S309). For example, the operator analyzes whether the reason why the calculation results do not match is the calculation processing of the
手動整合を実施しないと判断する場合の例としては、上述のステップＳ３０７において演算結果ＲＢを演算結果ＲＡで置き換えて演算結果を強制的に整合させたにもかかわらず、その後も演算結果の不整合が発生する場合が挙げられる。この場合、通常運転用の制御装置１１００または待機用の制御装置１２００の何れかに恒久的な故障が存在する可能性が高いので、演算結果が整合しない原因を調査して適切な対策を講じることが望ましい。
As an example of the case where it is determined that manual alignment is not performed, the calculation result RB is replaced with the calculation result RA in the above-described step S307, and the calculation result is forcibly matched. May occur. In this case, since there is a high possibility that there is a permanent failure in either the
＜切り替え処理＞
次に、図４および図５に示すフローに沿って、切り替え処理について説明する。
切り替え処理は、上述した整合判定処理において演算結果ＲＡと演算結果ＲＢとが整合していると判定されたことを前提として実施される。この前提が満足されている状況において、通常運転用の制御装置１１００の生存を確認できなくなった場合、通常運転用の制御装置１１００から待機用の制御装置１２００への切り替え処理が実施される。
<Switching process>
Next, the switching process will be described along the flow shown in FIGS.
The switching process is performed on the assumption that the calculation result RA and the calculation result RB are determined to match in the above-described matching determination process. In the situation where this premise is satisfied, when it is no longer possible to confirm the survival of the
切り替え処理は、通常運転用の制御装置１１００による処理と、待機用の制御装置１２００による処理を含むが、先に、図４のフローに沿って通常運転用の制御装置１１００による処理を説明し、その後に、図５のフローに沿って待機用の制御装置１２００による処理を説明する。
The switching processing includes processing by the
・通常運転用の制御装置１１００による処理
通常運転用の制御装置１１００は、各制御サイクルにおいて、待機用の制御装置１２００が制御装置１１００の生存を確認するためのデータとして、「１」から「１００」までの数値範囲で巡回する生存確認用の数値データを生成し、共有メモリ１３００の生存確認データ記憶領域１３１１に格納する（ステップＳ４０１）。最初の制御サイクルでは、通常運転用の制御装置１１００は、生存確認用の数値データとして「１」を生成して共有メモリ１３００の生存確認データ記憶領域１３１１に格納する。この生存確認用の数値データは、後述する図５に示す待機用の制御装置１２００による処理（ステップＳ５０２）において参照される。
Processing by the
ここで、通常運転用の制御装置１１００は、生存確認用の数値データを、各制御サイクルにおいて「１」だけカウントアップ（インクリメント）する。即ち、制御サイクルの進行に従って生存確認用の数値データは「１」ずつ増加する。そして、生存確認用の数値データが「１００」に到達すると、その次の制御サイクルでは「１」に戻される。本実施形態では、「１００」から「１」への数値データの変化も数値データのカウントアップとして取り扱う。ただし、生存確認用の数値データの増分は、この例に限定されず、任意に設定することができる。
Here, the
後述するように、待機用の制御装置１２００も、通常運転用の制御装置１１００と同様に、各制御サイクルにおいて、同一の数値範囲で巡回する生存確認用の数値データを生成して、共有メモリ１３００の生存確認データ記憶領域１３１２に格納する。
As will be described later, similarly to the
続いて、通常運転用の制御装置１１００は、最初の制御サイクルにおいて、待機用の制御装置１２００により共有メモリ１３００の生存確認データ記憶領域１３１２に格納された生存確認用の数値データ「１」を取得して保持する（ステップＳ４０２）。
続いて、通常運転用の制御装置１１００は、前回の制御サイクルにおいて共有メモリ１３００の生存確認データ記憶領域１３１２から取得して保持した待機用の制御装置１２００の生存確認用の数値データ（保持値）と、今回の制御サイクルにおいて共有メモリ１３００の生存確認データ記憶領域１３１２から取得した待機用の制御装置１２００の生存確認用の数値データ（取得値）とを比較する（ステップＳ４０３）。ただし、最初の制御サイクルでは、前回の制御サイクルで取得した数値データ（保持値）は存在しないので、この数値データ（保持値）として初期値「０」が設定される。
Subsequently, the
Subsequently, the normal
続いて、通常運転用の制御装置１１００は、共有メモリ１３００の生存確認データ記憶領域１３１２に格納された数値データを参照し、今回の制御サイクルで取得した生存確認用の数値データ（取得値）と前回の制御サイクルで取得して保持した数値データ（保持値）との間に所定の変化があるかどうかを判定する。具体的には、通常運転用の制御装置１１００は、今回の制御サイクルで取得した生存確認用の数値データの値（取得値）が前回の制御サイクルで取得して保持した数値データの値（保持値）に対して「１」だけカウントアップされているか否かを判定する（ステップＳ４０４）。
Subsequently, the
前述したように、生存確認用の数値データは、各制御サイクルにおいて「１」ずつカウントアップされるので、もし待機用の制御装置１２００が生存しているのであれば（即ち正常な運転状態にあるのであれば）、共有メモリ１３００の生存確認データ記憶領域１３１２に格納された生存確認用の数値データの値は「１」だけカウントアップされているはずである。もし待機用の制御装置１２００が何らかの故障を抱え、正常な運転状態になければ、生存確認データ記憶領域１３１２に格納された数値データの値はカウントアップされず、前回と同じ値に維持される。
As described above, the numerical data for survival confirmation is counted up by “1” in each control cycle, so if the
生存確認データ記憶領域１３１２に格納された生存確認用の数値データの値が「１」だけカウントアップされていれば（ステップＳ４０４；ＹＥＳ）、制御装置１１００は運転を継続し（ステップＳ４０５）、処理をステップＳ４０１に戻して次の制御サイクルに移行する。前述のように、最初の制御サイクルでは、前回の制御サイクルで取得して保持した数値データとして初期値「０」が設定されるので、生存確認データ記憶領域１３１２から取得された生存確認用の数値データの値が「１」であれば、生存確認用の数値データは「１」だけカウントアップされていることになる。
If the value of the numerical data for survival confirmation stored in the survival confirmation
生存確認データ記憶領域１３１２に格納された数値データが「１」だけカウントアップされていない場合（ステップＳ４０４；ＮＯ）、通常運転用の制御装置１１００は、所定時間のｎ秒（ｎは整数）が経過したか否かを判定する（ステップＳ４０６）。即ち、通常運転用の制御装置１１００は、ｎ秒の間、共有メモリ１３００の生存確認用データ記憶領域１３１２に格納される生存確認用の数値データの値に変化がないかどうかを判定する。
When the numerical data stored in the survival confirmation
上記のｎ秒なる時間は、例えば、待機用の制御装置１２００に恒久的な故障が発生したか否かの判定の基準となる時間であり、例えば３制御サイクル以上に相当する時間が経過しても生存確認用の数値データがカウントアップされなければ、待機用の制御装置１２００に恒久的な故障が発生し、待機用の制御装置１２００は生存していない状態にあることが推定される。
The time of n seconds is, for example, a time used as a reference for determining whether or not a permanent failure has occurred in the
ｎ秒が経過しない場合（ステップＳ４０６；ＮＯ）、即ち、ｎ秒が経過する前に、共有メモリ１３００の生存確認用データ記憶領域１３１２に格納された生存確認用の数値データの値がカウントアップされた場合、通常運転用の制御装置１１００は、待機用の制御装置１２００に異常はないと判断する。そして、通常運転用の制御装置１１００は、自身の運転を継続し（ステップＳ４１１）、処理をステップＳ４０１に戻して次の制御サイクルに移行する。
When n seconds have not elapsed (step S406; NO), that is, before the elapse of n seconds, the value of the numerical data for survival confirmation stored in the survival confirmation
これに対し、ｎ秒が経過した場合（ステップＳ４０６；ＹＥＳ）、即ち、ｎ秒が経過しても、共有メモリ１３００の生存確認用データ記憶領域１３１２に格納された生存確認用の数値データの値に変化がない場合、通常運転用の制御装置１１００は、待機用の制御装置１２００に異常があり、その生存を確認できないと判定する（ステップＳ４０７）。この場合、通常運転用の制御装置１１００は、待機用の制御装置１２００に関する共有メモリ１３００内の後述の異常発生状態管理領域（図示なし）に格納されたデータを更新し（ステップＳ４０８）、待機用の制御装置１２００の運転を停止させる（ステップＳ４０９）。その後、通常運転用の制御装置１１００は、運転を継続し（ステップＳ４１０）、処理をステップＳ４０１に戻して次の制御サイクルに移行する。
On the other hand, when n seconds have elapsed (step S406; YES), that is, even when n seconds have elapsed, the value of the numerical data for survival confirmation stored in the survival confirmation
ここで、待機用の制御装置１２００に関する共有メモリ１３００内の異常発生状態管理領域（図示なし）には、通常運転用の制御装置１１００により待機用の制御装置１２００の生存が確認されない場合の異常発生を示すデータが格納される。また、共有メモリ１３００には、通常運転用の制御装置１１００に関する異常発生状態管理領域（図示なし）も設定されている。本実施形態では、通常運転用の制御装置１１００と待機用の制御装置１２００が共に相手側の制御装置の生存を確認できないと判定した場合、先に異常発生状態管理領域のデータを更新した制御装置のみが運転を継続し、残りの他方の制御装置の運転が停止される。これにより、通常運転用の制御装置１１００と待機用の制御装置１２００が共に相手側の制御装置の生存を確認できないと判定した場合、相互に相手側の運転を停止させて共倒れになる状況を回避することができる。
Here, in the abnormality occurrence state management area (not shown) in the shared
例えば、通常運転用の制御装置１１００と待機用の制御装置１２００が共に相手側の制御装置の生存を確認できないと判定し（即ち、同時に異常を検出し）、且つ、通常運転用の制御装置１１００が、先に、待機用の制御装置１２００に関する共有メモリ１３００内の異常発生状態管理領域のデータを更新した場合、待機用の制御装置１２００は、通常運転用の制御装置１１００を異常と判定した後、待機用の制御装置１２００に関する共有メモリ１３００内の異常発生状態管理領域のデータを参照することにより、自身が異常であることを認識する。この場合、通常運転用の制御装置１１００の運転の停止が中止され（即ち、通常運転用の制御装置１１００の運転が継続され）、待機用の制御装置１２００の運転が停止される。これにより共倒れが回避され、この場合、通常運転用の制御装置１１００により制御が継続される。
For example, it is determined that both the
このように、本実施形態では、生存確認データ記憶領域１３１２に格納された生存確認用の数値データに変化がなく（即ち、その数値データが「１」だけカウントアップされておらず）、ｎ秒が経過しても生存確認用の数値データに変化がない場合、通常運転用の制御装置１１００は、待機用の制御装置１２００の生存を確認できないと判定する。
なお、ｎ秒が経過しても生存確認用の数値データが変化しないことの判定（ステップＳ４０６）は、必要に応じて省略してもよい。この場合、上述のステップＳ４０３において生存確認用の数値データがカウントアップされていないと判定された場合、通常運転用の制御装置１１００は、待機用の制御装置１２００の生存を確認できないと判定する。
Thus, in the present embodiment, there is no change in the survival confirmation numerical data stored in the survival confirmation data storage area 1312 (that is, the numerical data is not counted up by “1”), and n seconds If there is no change in the numerical data for confirmation of survival even after elapses, the
Note that the determination that the numerical data for survival confirmation does not change even after n seconds have elapsed (step S406) may be omitted as necessary. In this case, if it is determined in step S403 that the numerical data for survival confirmation has not been counted up, the
上述のように、通常運転用の制御装置１１００は、自身の生存確認用の数値データを共有メモリ１３００の生存確認データ記憶領域１３１１に格納すると共に、待機用の制御装置１２００によって生存確認データ記憶領域１３１２に格納された数値データに基づいて待機用の制御装置１２００の生存を確認する。そして、通常運転用の制御装置１１００は、待機用の制御装置１２００の生存を確認できない場合、この待機用の制御装置１２００の運転を停止させ、自身の運転を継続する。この場合、通常運転用の制御装置１１００は、警報を発生させて、待機用の制御装置１２００の生存が確認できない旨をオペレータに通知してもよい。
As described above, the
・待機用の制御装置１２００による処理
上述の通常運転用の制御装置１１００による処理では、待機用の制御装置１２００の生存が確認できない場合、その運転を停止させたが、待機用の制御装置１２００による処理では、待機用の制御装置１２００が通常運転用の制御装置１１００の生存を確認できない場合、待機用の制御装置１２００を運転状態にし（後述のステップＳ５０９）、通常運転用の制御装置１１００の運転を停止させる（後述のステップＳ５１１）。これにより、通常運転用の制御装置１１００から待機用の制御装置１２００に切り替える。その他は、上述の通常運転用の制御装置１１００による処理と同様である。
Processing by the
具体的に説明する。待機用の制御装置１２００は、上述の通常運転用の制御装置１１００と同様に、各制御サイクルにおいて、通常運転用の制御装置１１００が生存しているか否かを判定する生存確認処理を実施する。即ち、待機用の制御装置１２００は、各制御サイクルにおいて、通常運転用の制御装置１１００が制御装置１２００の生存を確認するためのデータとして、「１」から「１００」までの数値範囲で巡回する生存確認用の数値データを生成して、共有メモリ１３００の生存確認データ記憶領域１３１２に格納する（ステップＳ５０１）。最初の制御サイクルでは、待機用の制御装置１２００は、生存確認用の数値データとして「１」を生成して共有メモリ１３００の生存確認データ記憶領域１３１２に格納する。この生存確認用の数値データは、上述した図４に示す通常運転用の制御装置１１００による処理（ステップＳ４０２）において参照される。
This will be specifically described. The
続いて、待機用の制御装置１２００は、最初の制御サイクルにおいて、通常運転用の制御装置１１００により共有メモリ１３００の生存確認データ記憶領域１３１１に格納された生存確認用の数値データ「１」を取得して保持する（ステップＳ５０２）。
続いて、待機用の制御装置１２００は、前回の制御サイクルにおいて共有メモリ１３００の生存確認データ記憶領域１３１１から取得して保持した通常運転用の制御装置１１００の生存確認用の数値データ（保持値）と、今回の制御サイクルにおいて共有メモリ１３００の生存確認データ記憶領域１３１１から取得した通常運転用の制御装置１１００の生存確認用の数値データ（取得値）とを比較する（ステップＳ５０３）。ただし、最初の制御サイクルでは、前回の制御サイクルは存在しないので、前回の制御サイクルで取得して保持した数値データ（保持値）として初期値「０」が設定される。
Subsequently, the
Subsequently, the
続いて、待機用の制御装置１２００は、共有メモリ１３００の生存確認データ記憶領域１３１１に格納された数値データを参照し、今回の制御サイクルで取得した生存確認用の数値データ（取得値）と前回の制御サイクルで取得して保持した数値データ（保持値）との間に所定の変化があるかどうかを判定する。具体的には、待機用の制御装置１２００は、今回の制御サイクルで取得した生存確認用の数値データの値（取得値）が前回の制御サイクルで取得して保持した数値データの値（保持値）に対して「１」だけカウントアップされているか否かを判定する（ステップＳ５０４）。
Subsequently, the
生存確認データ記憶領域１３１１に格納された生存確認用の数値データの値が「１」だけカウントアップされていれば（ステップＳ５０４；ＹＥＳ）、制御装置１２００は運転を継続し（ステップＳ５０５）、処理をステップＳ５０１に戻して次の制御サイクルに移行する。前述のように、最初の制御サイクルでは、前回の制御サイクルで取得して保持した数値データとして初期値「０」が設定されるので、生存確認データ記憶領域１３１１から取得された生存確認用の数値データの値が「１」であれば、生存確認用の数値データは「１」だけカウントアップされていることになる。
If the value of the numerical data for survival confirmation stored in the survival confirmation
生存確認データ記憶領域１３１１に格納された数値データが「１」だけカウントアップされていない場合（ステップＳ５０４；ＮＯ）、待機用の制御装置１２００は、ｎ秒が経過したか否かを判定する（ステップＳ５０６）。即ち、待機用の制御装置１２００は、ｎ秒の間、共有メモリ１３００の生存確認用データ記憶領域１３１１に格納される生存確認用の数値データの値に変化がないかどうかを判定する。ｎ秒の意味は、前述の通常運転用の制御装置１１００による処理と同様である。
When the numerical data stored in the survival confirmation
ｎ秒が経過しない場合（ステップＳ５０６；ＮＯ）、即ち、ｎ秒が経過する前に、共有メモリ１３００の生存確認用データ記憶領域１３１１に格納された生存確認用の数値データの値がカウントアップされた場合、待機用の制御装置１２００は、通常運転用の制御装置１１００に異常はないと判断する。そして、待機用の制御装置１２００は、自身の運転を継続し（ステップＳ５１３）、処理をステップＳ５０１に戻して次の制御サイクルに移行する。
If n seconds have not elapsed (step S506; NO), that is, before the elapse of n seconds, the value of the numerical data for survival confirmation stored in the survival confirmation
これに対し、ｎ秒が経過した場合（ステップＳ５０６；ＹＥＳ）、即ち、ｎ秒が経過しても、共有メモリ１３００の生存確認用データ記憶領域１３１１に格納された生存確認用の数値データの値に変化がない場合、待機用の制御装置１２００は、通常運転用の制御装置１１００に異常があり、その生存を確認できないと判定する（ステップＳ５０７）。
On the other hand, if n seconds have elapsed (step S506; YES), that is, even if n seconds have elapsed, the value of the numerical data for survival confirmation stored in the survival confirmation
このように、本実施形態では、生存確認データ記憶領域１３１１に格納された生存確認用の数値データに変化がなく（即ち、その数値データが「１」だけカウントアップされておらず）、ｎ秒が経過しても生存確認用の数値データに変化がない場合、待機用の制御装置１２００は、通常運転用の制御装置１１００の生存を確認できないと判定する。
なお、ｎ秒が経過しても生存確認用の数値データが変化しないことの判定（ステップＳ５０６）は、必要に応じて省略してもよい。この場合、上述のステップＳ５０３において生存確認用の数値データがカウントアップされていないと判定された場合に、待機用の制御装置１２００は、通常運転用の制御装置１２００の生存を確認できないと判定する。
Thus, in this embodiment, there is no change in the numerical data for survival confirmation stored in the survival confirmation data storage area 1311 (that is, the numerical data is not counted up by “1”), and n seconds If there is no change in the numerical data for survival confirmation even after elapses, the
Note that the determination (step S506) that the numerical data for survival confirmation does not change after n seconds may be omitted if necessary. In this case, when it is determined in step S503 that the numerical data for survival confirmation has not been counted up, the
通常運転用の制御装置１１００の生存を確認できないと判定すると（ステップＳ５０７）、待機用の制御装置１２００は、通常運転用の制御装置１１００に関する共有メモリ１３００内の異常発生状態管理領域（図示なし）に格納されたデータを更新する（ステップＳ５０８）。そして、待機用の制御装置１２００は、自身を運転状態に設定する（ステップＳ５０９）。ここで、通常運転用の制御装置１１００に関する共有メモリ１３００内の異常発生状態管理領域（図示なし）には、待機用の制御装置１２００により通常運転用の制御装置１１００の生存が確認されない場合の異常発生を示すデータが格納される。前述したように、本実施形態では、通常運転用の制御装置１１００と待機用の制御装置１２００が共に相手側の制御装置の生存を確認できないと判定した場合、先に異常発生状態管理領域のデータを更新した制御装置のみが運転を継続し、残りの制御装置の運転が停止される。これにより、通常運転用の制御装置１１００と待機用の制御装置１２００が共に相手側の制御装置の生存を確認できないと判定した場合の共倒れを回避する。
If it is determined that the survival of the
本実施形態では、待機用の制御装置１２００は、通常運転用の制御装置１１００と並行して運転されているので、厳密には定常的に運転状態にあるが、ステップＳ５０９では、待機用の制御装置１２００は、共有メモリ１３００のアクセス権を獲得し、選択部１３４０に演算結果記憶領域１３３２を選択させる。この結果、以後の制御サイクルでは、共有メモリ１３００の演算結果記憶領域１３３２に格納された演算結果ＲＢが出力データＤＯＵＴとして共有メモリ１３００から出力される。これにより、通常運転用の制御装置１１００から待機用の制御装置１２００への切り替えが行われる。
In the present embodiment, the
ここで、待機用の制御装置１２００は、通常運転用の制御装置１１００による演算処理と同様の演算処理を実行して、その演算結果ＲＢを共有メモリ１３００の演算結果記憶領域１３３２に逐次格納している。従って、故障が発生する直前の制御サイクルでは、演算結果記憶領域１３３２に格納された演算結果ＲＢは、演算結果記憶領域１３３１に格納された演算結果ＲＡと同一である。このため、故障が発生した制御サイクルで、通常運転用の制御装置１１００から待機用の制御装置１２００に切り替える際に、演算結果記憶領域１３３１に格納された演算結果ＲＡを演算結果記憶領域１３３２に転送する必要がない。従って、制御を中断することなく、通常運転用の制御装置１１００から待機用の制御装置１２００に速やかに切り替えることができる。
Here,
その後、待機用の制御装置１２００は、通常運転用の制御装置１１００を、稼働中のタスクを順次サスペンドさせるために待機状態にし（ステップＳ５１０）、この待機状態を経た後に通常運転用の制御装置１１００の運転を停止させる（ステップＳ５１１）。その後、待機用の制御装置１２００は、運転を継続し（ステップＳ５１２）、処理をステップＳ５０１に戻して次の制御サイクルに移行する。
Thereafter, the
上述のように、待機用の制御装置１２００による処理では、自身の生存確認用の数値データを共有メモリ１３００の生存確認データ記憶領域１３１２に格納すると共に、生存確認データ記憶領域１３１１に格納された数値データに基づいて通常運転用の制御装置１１００の生存を確認する。そして、通常運転用の制御装置１１００の生存を確認できない場合、この制御装置１１００の運転を停止させると共に自身が運転を継続し、それ以降、演算結果ＲＢを出力データＤＯＵＴとして出力する。
As described above, in the processing by the
確認的に、上述した本実施形態による冗長システム１０００の動作について、図６を参照しながら前述の図７に示す従来技術と対比させて説明する。
図６（ａ）に示すように、本実施形態による冗長化システム１０００によれば、故障が発生しない場合、通常運転用の制御装置１１００および待機用の制御装置１２００が同一の入力データＤＩＮに対して並列に同様の演算処理を実行する。また、通常運転用の制御装置１１００の演算結果ＲＡと待機用の制御装置１２００の演算結果ＲＢとが整合するか否かが定周期で判定される。共有メモリ１３００には、通常運転用の制御装置１１００による演算結果ＲＡと、待機用の制御装置１２００による演算結果ＲＢの両方が逐次格納されるが、通常運転時には、出力データＤＯＵＴとして通常運転用の制御装置１１００による演算結果ＲＡが出力される。
For confirmation, the operation of the
As shown in FIG. 6A, according to the
これに対し、図７（ａ）に示すように、従来技術によれば、通常運転時には、通常運転用の制御装置５０１のみが運転され、待機用の制御装置５０２は演算処理を実施しない。そのため、共有メモリ５０３には、通常運転用の制御装置１１００の演算結果しか格納されない。
On the other hand, as shown in FIG. 7A, according to the prior art, only the
図６に説明を戻すと、本実施形態による冗長化システム１０００によれば、通常運転用の制御装置１１００に故障が発生し、その生存確認がとれない場合、図６（ｂ）に示すように、待機用の制御装置１２００は、共有メモリ１３００の演算結果記憶領域１３３２に格納された演算結果ＲＢを共有メモリ１３００から出力させる。これにより、通常運転用の制御装置１１００から待機用の制御装置１２００に運転が切り替えられる。このとき、共有メモリ１３００には、それまでの通常運転用の制御装置１１００の演算結果ＲＡと同じ内容の演算結果ＲＢが格納されており、また、待機用の制御装置１２００の記憶部にも同一内容の演算結果ＲＢが存在する。このため、制御装置を切り替える際に、通常運転用の制御装置による演算結果を待機用の制御装置に転送する必要がない。従って、制御を中断することなく、制御装置の切り替えを速やかに行うことができる。
Returning to FIG. 6, according to the
これに対し、図７（ｂ）に示すように、従来技術によれば、通常運転用の制御装置５０１が故障すると、それまでの演算結果は共有メモリ５０３から待機用の制御装置５０２に転送される。そして、待機用の制御装置５０２は、共有メモリ５０３から転送された演算結果を反映させて演算処理を実行する。その後、図７（ｃ）に示すように、待機用の制御装置５０２は、その演算結果を共有メモリ５０３に格納する。このように、従来技術によれば、制御装置を切り替える際に、共有メモリ５０３と待機用の制御装置５０２との間で演算結果を転送する必要がある。このため、図７に示す技術によれば、制御装置の切り替えを遅滞なく行うことが困難になる。
On the other hand, as shown in FIG. 7B, according to the conventional technique, when the
なお、上述した本実施形態では、本発明を冗長化システムとして表現したが、本発明を冗長化方法として表現することもできる。この場合、本発明による冗長化方法は、制御対象の制御に関する演算処理を実行する第１制御装置と、前記第１制御装置による演算処理と並行して、前記第１制御装置による演算処理と同等の演算処理を実行する第２制御装置と、前記第１制御装置および前記第２制御装置によって共有される記憶装置と、を備えた冗長化システムの冗長化方法であって、前記記憶装置が、前記第１制御装置および前記第２制御装置による各演算処理の演算結果を格納するための演算結果記憶領域と、前記第１制御装置の生存を確認するためのデータを格納するための生存確認データ記憶領域と、を有し、前記第２制御装置が、前記生存確認データ記憶領域に格納されたデータを参照して前記第１制御装置の生存確認を行う段階と、前記第２制御装置が、前記第１制御装置の生存を確認できない場合、前記演算結果記憶領域に格納された演算結果のうち、前記第２制御装置により格納された演算結果を前記記憶装置から出力させる段階と、を含む冗長化方法として表現することができる。 In the above-described embodiment, the present invention is expressed as a redundancy system. However, the present invention can also be expressed as a redundancy method. In this case, the redundancy method according to the present invention is equivalent to the first control device that executes the arithmetic processing related to the control of the control target and the arithmetic processing by the first control device in parallel with the arithmetic processing by the first control device. A redundancy method for a redundant system comprising: a second control device that executes the arithmetic processing of: and a storage device shared by the first control device and the second control device, wherein the storage device includes: Survival confirmation data for storing calculation result storage areas for storing the calculation results of the respective calculation processes by the first control device and the second control device, and data for checking the survival of the first control device A storage area, and the second control device refers to the data stored in the survival confirmation data storage area to perform the survival check of the first control device, and the second control device includes: Above A redundancy method including a step of outputting, from the storage device, a computation result stored by the second control device among computation results stored in the computation result storage area when the survival of one control device cannot be confirmed. Can be expressed as
上述したように、本実施形態によれば、通常運転用の制御装置１１００と待機用の制御装置１２００とを並列に運転して各演算結果を共有メモリ１３００に逐次格納するようにしたので、通常運転用の制御装置１１００から待機用の制御装置１２００に切り替える際に、演算結果を転送する必要がない。従って、制御を中断することなく、通常運転用の制御装置１１００から待機用の制御装置１２００に速やかに切り替えることができる。
As described above, according to the present embodiment, the
また、本実施形態によれば、演算結果が整合していることが確認され、且つ、通常運転用の制御装置１１００の生存を確認できない場合に、通常運転用の制御装置１１００から待機用の制御装置１２００に切り替えるので、制御の連続性を維持することができる。
また、本実施形態によれば、制御装置を切り替える前の段階で演算結果が整合していない場合、通常運転用の制御装置１１００の演算結果ＲＡを優先して出力するので、この場合にも制御の連続性を維持し、制御を安定化させることができる。
Further, according to the present embodiment, when it is confirmed that the calculation results are consistent and the survival of the
Further, according to the present embodiment, when the calculation results are not consistent at the stage before switching the control device, the calculation result RA of the
また、本実施形態によれば、通常運転用の制御装置１１００は、待機用の制御装置１２００の生存を確認できない場合、この待機用の制御装置１２００の運転を停止させるので、待機用の制御装置１２００が故障を抱えたまま運転を継続することがない。従って、待機用の制御装置１２００の故障の拡大を防止することができる。
In addition, according to the present embodiment, the
なお、本実施形態では、共有メモリ１３００の生存確認データ記憶領域１３１２に格納された生存確認用の数値データに基づいて、通常運転用の制御装置１１００が待機用の制御装置１２００の生存を確認するものとしたが、必要に応じて待機用の制御装置１２００の生存確認を省略してもよい。この場合、共有メモリ１３００の生存確認データ記憶領域１３１２を省略することができる。生存確認データ記憶領域１３１２を省略した場合、例えば、オペレータが待機用の制御装置１２００の生存確認を手動により定期的に実施してもよく、その手法は任意である。ただし、上述した本実施形態のように、通常運転用の制御装置１１００が待機用の制御装置１２００の生存を確認するものとすれば、通常運転用の制御装置１１００から待機用の制御装置１２００に運転を切り替える際に制御を的確に継続することが可能になる。加えて、制御装置１２００の生存をオペレータが確認する作業を省くことが可能になる。
In the present embodiment, the normal
また、本実施形態では、通常運転用の制御装置１１００および待機用の制御装置１２００の各演算結果のチェックサム値を用いて演算結果が整合するか否かを判定するものとしたが、チェックサム値を用いずに、演算結果自体を用いて、演算結果の整合を判定してもよい。この場合、チェックサム記憶領域１３２１を省略することができる。また、チェックサム値に限定されず、他の手法を用いて演算結果の整合を判定してもよい。
In this embodiment, the checksum value of each calculation result of the
以上、本発明の実施形態を説明したが、本発明は上述の実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変形、変更、修正、置換等が可能である。
例えば、上述の実施形態では、通常運転用の制御装置１１００と待機用の制御装置１２００の２台の制御装置を用いて冗長化システム１０００を構成したが、複数の通常運転用の制御装置と、これに対応する複数の待機用の制御装置とを用いて冗長化システムを構成してもよい。
Although the embodiments of the present invention have been described above, the present invention is not limited to the above-described embodiments, and various modifications, changes, corrections, substitutions, and the like are possible without departing from the spirit of the present invention. .
For example, in the above-described embodiment, the
また、上述の実施形態では、通常運転用の制御装置１１００と待機用の制御装置１２００により共有メモリ１３００を共有するものとしたが、共有メモリ１３００は他の冗長化システムによって共有されてもよい。
また、上述の実施形態では、１つの共有メモリ１３００に演算結果記憶領域１３３１、１３３２を設けたが、演算結果記憶領域１３３１、１３３２を別個のメモリに設けてもよい。即ち、共有メモリは単一のメモリに限らず、複数のメモリの集合体であってもよい。
In the above-described embodiment, the shared
In the above-described embodiment, the calculation
また、上述の実施形態では、生存確認データ記憶領域１３１１，１３１２、チェックサム記憶領域１３２１は、演算結果記憶領域１３３１，１３３２とは別の記憶領域としたが、演算結果記憶領域１３３１，１３３２の一部を生存確認データ記憶領域１３１１，１３１２、チェックサム記憶領域１３２１として用いてもよい。例えば、共有メモリ１３００のアドレス空間の一部に、生存確認データ記憶領域１３１１，１３１２やチェックサム記憶領域１３２１等を割り付けてもよい。
In the above-described embodiment, the survival confirmation
１０００…冗長化システム、１１００…通常運転用の制御装置、１２００…待機用の制御装置、１３００…共有メモリ、１３１１，１３１２…生存確認データ記憶領域、１３２１…チェックサム記憶領域、１３３１，１３３２…演算結果記憶領域、１３４０…選択部、Ｓ２１１〜Ｓ２１３，Ｓ２２１〜Ｓ２２６，Ｓ３０１〜Ｓ３０９，Ｓ４０１〜Ｓ４１１，Ｓ５０１〜Ｓ５１３…処理ステップ。
DESCRIPTION OF
Claims (6)
前記第１制御装置による演算処理と並行して、前記第１制御装置による演算処理と同等の演算処理を実行する第２制御装置と、
前記第１制御装置および前記第２制御装置によって共有される記憶装置と、
を備え、
前記記憶装置は、
前記第１制御装置および前記第２制御装置による各演算処理の演算結果を格納するための演算結果記憶領域と、
前記第１制御装置の生存を確認するためのデータおよび前記第２制御装置の生存を確認するためのデータを格納するための生存確認データ記憶領域と、
前記第１制御装置の異常の発生を確認するためのデータおよび前記第２制御装置の異常の発生を確認するためのデータを格納する異常発生状態管理領域と、
を有し、
前記第２制御装置は、前記第１制御装置による演算処理の演算結果と前記第２制御装置による演算処理の演算結果とが整合しているか否かを判定する整合判定処理を行い、前記演算結果が整合していない場合、警報を発するとともに、前記第２制御装置による演算処理の演算結果が前記第１制御装置による演算処理の演算結果に置き換えられることで、前記第１制御装置による演算結果と前記第２制御装置による演算結果とを整合し、
前記第１制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第２制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第２制御装置の異常の発生を確認するためのデータを更新し、
前記第２制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第１制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第１制御装置の異常の発生を確認するためのデータを更新し、該データの更新後に、前記整合判定処理において置き換えられた演算結果を前記記憶装置から出力し、
前記第１制御装置と前記第２制御装置は、前記生存確認データ記憶領域に格納されたデータを参照して共に相手側の制御装置の生存を確認できない場合、前記第１制御装置と前記第２制御装置のうち、先に前記異常発生状態管理領域のデータを更新した一方の制御装置のみが運転を継続し、他方の制御装置が運転を停止し、
前記一方の制御装置は、前記演算結果記憶領域に格納された演算結果のうち、前記他方の制御装置により格納された演算結果を前記記憶装置から出力させる、冗長化システム。 A first control device that executes arithmetic processing related to control of a control target;
A second control device that executes arithmetic processing equivalent to the arithmetic processing by the first control device in parallel with the arithmetic processing by the first control device;
A storage device shared by the first control device and the second control device;
With
The storage device
A calculation result storage area for storing calculation results of each calculation processing by the first control device and the second control device;
A survival confirmation data storage area for storing data for confirming the survival of the first control device and data for confirming the survival of the second control device;
An abnormality occurrence state management area for storing data for confirming the occurrence of an abnormality in the first control device and data for confirming the occurrence of an abnormality in the second control device;
Have
The second control device performs an alignment determination process for determining whether or not the calculation result of the calculation processing by the first control device matches the calculation result of the calculation processing by the second control device, and the calculation result Are not matched, a warning is issued, and the calculation result of the calculation process by the second control device is replaced with the calculation result of the calculation process by the first control device. Matching the calculation result by the second control device;
The first control device checks the survival of the second control device with reference to the data stored in the survival confirmation data storage area after the calculation results are matched , and if the survival cannot be confirmed, the abnormality Updating data for confirming the occurrence of an abnormality of the second control device stored in the occurrence state management area;
The second control device performs the survival check of the first control device with reference to the data stored in the survival confirmation data storage area after the calculation results are matched , and if the survival cannot be confirmed, the abnormality Data for confirming the occurrence of abnormality of the first control device stored in the occurrence state management area is updated, and after the data is updated, the operation result replaced in the consistency determination process is output from the storage device. ,
When the first control device and the second control device cannot confirm the existence of the counterpart control device by referring to the data stored in the survival confirmation data storage area, the first control device and the second control device Of the control devices, only one control device that has previously updated the data in the abnormality occurrence state management area continues operation, and the other control device stops operation,
The redundancy control system in which the one control device outputs, from the storage device, the operation result stored by the other control device among the operation results stored in the operation result storage area.
前記第２制御装置は、該第２制御装置による演算処理の演算結果のチェックサム値を演算し、該演算により得られたチェックサム値と前記第１制御装置により前記記憶装置に格納されたチェックサム値とを比較することにより、前記第１制御装置による演算処理の演算結果と前記第２制御装置による演算処理の演算結果とが整合しているか否かを判定する、請求項１に記載の冗長化システム。 The first control device calculates a checksum value of a calculation result of calculation processing by the first control device and stores the checksum value in the storage device;
The second control device calculates a checksum value of a calculation result of the calculation processing by the second control device, and a checksum value obtained by the calculation and a check stored in the storage device by the first control device. by comparing the sum value to determine whether the calculation result of the arithmetic processing operation result of the operation processing by the first control unit and by the second control device are matched, according to claim 1 Redundant system.
前記記憶装置が、前記第１制御装置および前記第２制御装置による各演算処理の演算結果を格納するための演算結果記憶領域と、前記第１制御装置の生存を確認するためのデータおよび前記第２制御装置の生存を確認するためのデータを格納するための生存確認データ記憶領域と、前記第１制御装置の異常の発生を確認するためのデータおよび前記第２制御装置の異常の発生を確認するためのデータを格納する異常発生状態管理領域と、
を有し、
前記第２制御装置は、前記第１制御装置による演算処理の演算結果と前記第２制御装置による演算処理の演算結果とが整合しているか否かを判定する整合判定処理を行い、前記演算結果が整合していない場合、警報を発するとともに、前記第２制御装置による演算処理の演算結果が前記第１制御装置による演算処理の演算結果に置き換えられることで、前記第１制御装置による演算結果と前記第２制御装置による演算結果とを整合する段階と、
前記第１制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第２制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第２制御装置の異常の発生を確認するためのデータを更新する段階と、
前記第２制御装置は、前記演算結果が整合された後に、前記生存確認データ記憶領域に格納されたデータを参照して前記第１制御装置の生存確認を行い、生存が確認できない場合、前記異常発生状態管理領域に格納された前記第１制御装置の異常の発生を確認するためのデータを更新し、該データの更新後に、前記整合判定処理において置き換えられた演算結果を前記記憶装置から出力する段階と、
前記第１制御装置と前記第２制御装置は、前記生存確認データ記憶領域に格納されたデータを参照して共に相手側の制御装置の生存を確認できない場合、前記第１制御装置と前記第２制御装置のうち、先に前記異常発生状態管理領域のデータを更新した一方の制御装置のみが運転を継続し、他方の制御装置が運転を停止する段階と、
前記一方の制御装置は、前記演算結果記憶領域に格納された演算結果のうち、前記他方の制御装置により格納された演算結果を前記記憶装置から出力させる段階と、
を含む冗長化方法。 A first control device that executes arithmetic processing related to control of a control target; and a second control device that executes arithmetic processing equivalent to the arithmetic processing by the first control device in parallel with the arithmetic processing by the first control device; A redundancy method for a redundant system comprising: a storage device shared by the first control device and the second control device;
The storage device stores a calculation result storage area for storing calculation results of each calculation processing by the first control device and the second control device, data for confirming the survival of the first control device, and the first (2) A survival confirmation data storage area for storing data for confirming the survival of the control device, data for confirming the occurrence of an abnormality in the first control device, and the occurrence of an abnormality in the second control device An error occurrence state management area for storing data for
Have
The second control device performs an alignment determination process for determining whether or not the calculation result of the calculation processing by the first control device matches the calculation result of the calculation processing by the second control device, and the calculation result Are not matched, a warning is issued, and the calculation result of the calculation process by the second control device is replaced with the calculation result of the calculation process by the first control device. Matching the calculation result by the second control device;
The first control device checks the survival of the second control device with reference to the data stored in the survival confirmation data storage area after the calculation results are matched , and if the survival cannot be confirmed, the abnormality Updating data for confirming the occurrence of an abnormality in the second control device stored in the occurrence state management area;
The second control device performs the survival check of the first control device with reference to the data stored in the survival confirmation data storage area after the calculation results are matched , and if the survival cannot be confirmed, the abnormality Data for confirming the occurrence of an abnormality in the first control device stored in the occurrence state management area is updated , and after the data is updated, the operation result replaced in the consistency determination process is output from the storage device. Stages,
When the first control device and the second control device cannot confirm the existence of the counterpart control device by referring to the data stored in the survival confirmation data storage area, the first control device and the second control device Of the control devices, only one control device that has previously updated the data of the abnormality occurrence state management area continues operation, and the other control device stops operation,
The one control device outputs, from the storage device, the operation result stored by the other control device among the operation results stored in the operation result storage area;
Redundancy method including.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2012260977A JP5993292B2 (en) | 2012-11-29 | 2012-11-29 | Redundant system and redundancy method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2012260977A JP5993292B2 (en) | 2012-11-29 | 2012-11-29 | Redundant system and redundancy method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2014106862A JP2014106862A (en) | 2014-06-09 |
| JP5993292B2 true JP5993292B2 (en) | 2016-09-14 |
Family
ID=51028263
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2012260977A Active JP5993292B2 (en) | 2012-11-29 | 2012-11-29 | Redundant system and redundancy method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5993292B2 (en) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105204327B (en) * | 2015-08-24 | 2017-08-29 | 北京航空航天大学 | The non-similar actuating system reliability confirmation method of aircraft based on minimal path non cross link |
| JP7309316B2 (en) | 2017-10-25 | 2023-07-18 | 能美防災株式会社 | receiver |
| CN113534708A (en) * | 2021-07-12 | 2021-10-22 | 三一汽车制造有限公司 | Industrial personal computer hot backup method, device and system |
Family Cites Families (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS62263554A (en) * | 1986-05-09 | 1987-11-16 | Fujitsu Ltd | Shared memory duplex system |
| JPS6442742A (en) * | 1987-08-11 | 1989-02-15 | Hitachi Ltd | Fault monitoring method for multi-processor system |
| JPH05298220A (en) * | 1992-04-17 | 1993-11-12 | Toshiba Corp | Lan system |
| JPH11149458A (en) * | 1997-11-18 | 1999-06-02 | Toshiba Corp | Duplex computer system and exclusive control method therefor |
| JP2005025289A (en) * | 2003-06-30 | 2005-01-27 | Fujitsu Ltd | Data protecting program and method in external storage device shared by plural computer |
| JP4300129B2 (en) * | 2004-02-10 | 2009-07-22 | ファナック株式会社 | Programmable sequence controller |
| JP5509637B2 (en) * | 2009-03-18 | 2014-06-04 | 日本電気株式会社 | Fault tolerant system |
| JP2010219370A (en) * | 2009-03-18 | 2010-09-30 | Toshiba Corp | Semiconductor device and semiconductor system |
-
2012
- 2012-11-29 JP JP2012260977A patent/JP5993292B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2014106862A (en) | 2014-06-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4973730B2 (en) | Arithmetic processing device and control method of arithmetic processing device | |
| JP6452629B2 (en) | Parallel execution of continuous event processing (CEP) queries | |
| JP5993292B2 (en) | Redundant system and redundancy method | |
| US9251230B2 (en) | Exchanging locations of an out of synchronization indicator and a change recording indicator via pointers | |
| US20140108753A1 (en) | Merging an out of synchronization indicator and a change recording indicator in response to a failure in consistency group formation | |
| CN104981787B (en) | Data pre-fetching with parent nucleus and the chip for scouting core | |
| US10609133B2 (en) | Method and device for establishing communication connection | |
| JP2014174616A (en) | Fa system and control device | |
| JP5872124B1 (en) | Plant monitoring and control device | |
| US20150207875A1 (en) | Distributed coordinated snapshots | |
| JP6596287B2 (en) | Plant maintenance support system | |
| EP1889163A1 (en) | System and method for bypassing execution of an algorithm | |
| JP2013065220A (en) | Information processor | |
| US20160371154A1 (en) | Remote control device and control system | |
| US10768586B2 (en) | System and method for background element switching for models in model predictive estimation and control applications | |
| JP4974365B2 (en) | Distributed monitoring and control system | |
| JP2006053737A (en) | Replication system and replication method | |
| KR102062082B1 (en) | Energy management system | |
| JP5956940B2 (en) | Redundant system and working machine determination method | |
| JP2007087121A (en) | Total management apparatus, database system, database management method, and database management program | |
| US10185602B2 (en) | Information processing apparatus, information processing method, and computer program product | |
| TWM583961U (en) | Database data structure change updating system suitable for automatic teller machine | |
| US9460013B2 (en) | Method and system for removal of a cache agent | |
| JP5687171B2 (en) | Controller, monitoring unit, and sequence program update method | |
| US9158477B2 (en) | Preventing access loss when device adapter affinity to a node changes |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20141113 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20151002 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20151027 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20151222 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20160524 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160701 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20160809 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20160819 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5993292 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |