JP6109687B2 - 多重化制御監視システム、及び制御方法 - Google Patents

Description

本発明の実施形態は、多重化制御監視システム、及び制御方法に関する。

近年、複数の装置を組み合わせて目的の処理に応じたシステムを構成することが行われている。例えば、ＳＮＧ（Satellite News Gathering）などに用いられる中継車では、映像や音声を編集する装置や、編集結果を符号化・変調する装置、衛星通信用に符号化・変調により得られた信号の帯域圧縮をする装置、衛星通信帯域への周波数変換する装置、衛星通信帯域の信号を増幅する装置、アンテナを制御する装置など、様々な装置を組み合わせて運用している。

前述のように複数の装置を組み合わせて利用する場合には、システムの運用を効率的に行うために、個々の装置を個別に操作せずに、複数の装置に接続された制御装置であって目的の動作や処理に応じた個々の装置に対する制御を一括して行う制御装置が用いられている。このような制御装置を用いることにより、個々の装置の操作を覚える必要がなくなり、目的の動作や処理が変わる度に個々の装置を操作する手間を省くことができるという利点がある。

しかし、制御装置に故障などの障害が発生してしまうと、個々の装置が利用可能な状態であるにも拘わらず、目的の動作や処理を行うことが困難になってしまうことがある。そこで、制御装置を多重化して、使用している制御装置に障害が発生した場合には他の制御装置を用いることにより、システムの運用を継続して行えるようにしている。

特開２００３−１６７７８２号公報 特開２００９−０５３９４６号公報

しかしながら、複数の制御装置を備える多重化を行った場合には、制御装置を排他的に運用する必要や、制御装置の切り替えを適切に行う必要などがあり、その運用が煩雑になってしまうという課題がある。

本発明が解決しようとする課題は、多重化された制御装置の運用を簡便にしつつ、運用の継続性を高めることができる多重化制御監視システム、及び制御方法を提供することである。

実施形態の多重化制御監視システムは、特定の処理を実行する複数の処理装置と、ユーザの要求に応じて複数の処理装置を排他的に制御する複数の制御装置とを備える。制御装置は、記憶部と制御部とを備える。記憶部は、自装置及び複数の処理装置の制御に用いるパラメータを含むシステムメンテナンス情報と、システムメンテナンス情報の書き込み処理に用いる複数の書込フラグと、所定値をパラメータとして含むデフォルト情報とを記憶する。制御部は、システムメンテナンス情報を更新する場合には、記憶部の異なる記憶領域に複数のシステムメンテナンス情報を書き込み、システムメンテナンス情報を書き込むごとに異なる書込フラグへの書き込みを行う。また、制御部は、複数の書込フラグへの書き込みの完了、及び、記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できた場合、記憶部から読み出したシステムメンテナンス情報を用いて処理装置の制御を行い、複数の書込フラグへの書き込みの完了、又は、記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できない場合、記憶部に記憶されているデフォルト情報を用いて処理装置の制御を行う。

実施形態における多重化制御監視システムの構成例を示すブロック図である。 同実施形態のマシンコントロール装置１におけるシステムメンテナンス情報の書込、更新の処理を示すフローチャートである。 同実施形態におけるマシンコントロール装置１における起動時の処理を示すフローチャートである。 同実施形態におけるマシンコントロール装置１における起動時の処理を示すフローチャートである。 同実施形態におけるマシンコントロール装置１におけるシステムメンテナンス情報を変更する処理を示すフローチャートである。 同実施形態の多重化制御監視システムにおける入出力装置２に対する排他制御の一例を示す第１のシーケンス図である。 同実施形態の多重化制御監視システムにおける入出力装置２に対する排他制御の一例を示す第２のシーケンス図である。 同実施形態の多重化制御監視システムにおけるシステムメンテナンス情報の同期の一例を示す第１のシーケンス図である。 同実施形態の多重化制御監視システムにおけるシステムメンテナンス情報の同期の一例を示す第２のシーケンス図である。 同実施形態の多重化制御監視システムにおける動作モードの切り替えの一例を示すシーケンス図である。 同実施形態におけるマシンコントロール装置１ａ、１ｂ間における死活監視とシャットダウンとを行うための接続例を示す図である。

以下、図面を参照して、実施形態における多重化制御監視システム、及び制御方法を説明する。図１は、本実施形態における多重化制御監視システムの構成例を示すブロック図である。同図に示すように、多重化制御監視システムは、複数のマシンコントロール装置１（１ａ、１ｂ）、複数の入出力装置２（２ａ〜２ｄ）、及び、複数の処理装置３（３ａ〜３ｃ）を備えている。同図には、２つのマシンコントロール装置１ａ、１ｂと、マシンコントロール装置１ａに接続された２つの入出力装置２ａ、２ｂと、マシンコントロール装置１ｂに接続された２つの入出力装置２ｃ、２ｄと、マシンコントロール装置１ａ、１ｂに異なるネットワークで接続された３つの処理装置３ａ、３ｂ、３ｃとを多重化制御監視システムが備える構成が示されている。しかし、マシンコントロール装置１、入出力装置２、及び、処理装置３の数は同図に示す数と異なる数であってもよい。

マシンコントロール装置１は、複数の処理装置３に対する制御の容易化や簡便化のために用いられる装置である。本実施形態の多重化制御監視システムには、マシンコントロール装置１が２つ備えられ、いずれかのマシンコントロール装置１の故障が生じても、複数の処理装置３の制御を継続できるようになっている。複数のマシンコントロール装置１のうち、いずれか一つが稼働モードで動作し、他のマシンコントロール装置１が待機モードで動作する。稼働モードは、マシンコントロール装置１が各処理装置３の制御を排他的に行う動作モードである。待機モードは、マシンコントロール装置１が各処理装置３の制御を行わずに、待機している動作モードである。

マシンコントロール装置１ａには、入出力装置２ａ、２ｂが通信可能に接続されている。入出力装置２ａ、２ｂは、ユーザの操作を受け付け、当該操作を示す情報をマシンコントロール装置１ａに出力する。また、入出力装置２ａ、２ｂは、マシンコントロール装置１ａから入力されるマシンコントロール装置１ａの状態や各処理装置３の状態や処理結果などを示す情報を表示する。マシンコントロール装置１ｂには、入出力装置２ｃ、２ｄが通信可能に接続されている。入出力装置２ｃ、２ｄは、入出力装置２ａ、２ｂと同様に、ユーザの操作を受け付けるとともに、マシンコントロール装置１ｂや各処理装置３の状態や処理結果などを示す情報を表示する。入出力装置２は、例えばコンピュータやタブレットＰＣなどを用いてもよいし、専用の入力装置と映像モニタとを組み合わせた装置であってもよい。

処理装置３はユーザの目的に応じて備えられる装置である。例えば、ＳＮＧなどに用いられる中継車では、映像や音声を編集する装置や、編集結果を符号化・変調する装置、衛星通信用に符号化・変調により得られた信号の帯域圧縮をする装置、衛星通信帯域への周波数変換する装置、衛星通信帯域の信号を増幅する装置、アンテナを制御する装置などが処理装置３として多重化制御監視システムに備えられる。図１に示す構成例では、各処理装置３は、それぞれが異なるネットワークを介してマシンコントロール装置１ａ及びマシンコントロール装置１ｂと接続されている。ネットワークには、例えば、イーサネット（登録商標、以下同様）や、ＡＲＣＮＥＴ、ＰＩＯなどが用いられる。

マシンコントロール装置１は、ユーザインタフェース部１１、制御部１２、複数の通信インタフェース部１３（１３ａ〜１３ｃ）、及び、記憶部１４を備えている。マシンコントロール装置１に備えられる通信インタフェース部１３の数は、処理装置３との接続に用いられるネットワークの数に応じて定められる。ユーザインタフェース部１１は、入出力装置２と通信可能に接続されており、ユーザが入出力装置２を操作して入力される指示やコマンドを受け付けて制御部１２に出力する。また、ユーザインタフェース部１１は、指示やコマンドの処理結果や、マシンコントロール装置１及び各処理装置３の状態を示す情報などが制御部１２から入力される。ユーザインタフェース部１１は、入力された処理結果や情報を入出力装置２に出力して、ユーザに通知（表示など）する。

制御部１２は、ユーザインタフェース部１１を介して入力される指示やコマンドに対応する処理装置３への制御情報を、制御対象の処理装置３が接続されている通信インタフェース部１３に出力して、当該情報を処理装置３へ送信させる。ユーザの指示やコマンドに対応する処理装置３への制御情報は、指示やコマンドごとに、記憶部１４に予め記憶されている。また、制御部１２は、自装置の状態や、通信インタフェース部１３を介して各処理装置３から受信する処理結果や処理装置３の状態を示す情報をユーザインタフェース部１１に出力する。

また、制御部１２は、自装置に接続されている複数の入出力装置２の間における排他制御や、自装置と他のマシンコントロール装置１との間の排他制御を行う。また、制御部１２は、自装置の制御や、各処理装置３の制御に用いるパラメータを含むシステムメンテナンス情報の更新や、他のマシンコントロール装置１との間におけるシステムメンテナンス情報の同期を行う。また、制御部１２は、システムメンテナンス情報の更新に不備が生じた場合に備えて、標準的なパラメータ（所定値）で構成されたデフォルト情報を予め記憶している。例えば、制御部１２がマイクロコントローラなどで構成される場合には、デフォルト情報は制御部１２を実現させるためのプログラムに固定値として含まれることになる。なお、当該プログラムは制御部１２の内部に記憶されていてもよいし、記憶部１４に記憶されていてもよい。

通信インタフェース部１３は、制御部１２から入力される制御情報などを、処理装置３との間のネットワークの規格に応じたパケットやフレームに変換して処理装置３に送信する。また、通信インタフェース部１３は、処理装置３から受信するパケットやフレームに含まれる処理結果や処理装置３の状態を示す情報を取得し、制御部１２に出力する。通信インタフェース部１３は、例えば、イーサネットや、ＡＲＣＮＥＴなどの規格に従って処理装置３との通信を行う。すなわち、通信インタフェース部１３を介して制御部１２による処理装置３の制御が行われる。

記憶部１４には、前述の指示やコマンドに対応する制御情報や、システムメンテナンス情報、システムメンテナンス情報の同期処理に用いる書込フラグなどが記憶されている。書込フラグは、第１書込開始フラグ、第１書込終了フラグ、第２書込開始フラグ、及び、第２書込終了フラグの４つのフラグを含む。この４つのフラグは、システムメンテナンス情報を更新している最中に障害などが発生した場合に備え、更新の処理が正しく完了したかを検出するために用いられる。

また、記憶部１４には、入出力装置２から入力された指示又はコマンドや、処理装置３から受信した処理結果や状態を示す情報などが利用状況の記録（ログ）として記憶される。また、前述のように、システムメンテナンス情報にはマシンコントロール装置１の動作や各処理装置３の制御に用いられるパラメータが含まれている。そこで、マシンコントロール装置１を起動する都度のシステムメンテナンス情報の設定を不要にするために、記憶部１４には不揮発性の半導体メモリなどが用いられる。

図２は、本実施形態のマシンコントロール装置１におけるシステムメンテナンス情報の書込、更新の処理を示すフローチャートである。マシンコントロール装置１において、記憶部１４に新たなシステムメンテナンス情報を書き込む処理、又はシステムメンテナンス情報の更新処理が開始されると、制御部１２は、記憶部１４に設けられている４つのフラグのうち、第１書込開始フラグへの書き込みを行うとともに、第１書込終了フラグ、第２書込開始フラグ、及び第２書込終了フラグを初期化する（ステップＳ１１）。例えば、フラグへの書き込みは「０」を記憶させる動作であり、初期化は「１」を記憶させる動作である。

制御部１２は、第１書込開始フラグへの書き込みを終えると、記憶部１４に記憶させるべきシステムメンテナンス情報を、記憶部１４が有する記憶領域の第１記憶領域に書き込む（ステップＳ１２）。
制御部１２は、第１記憶領域へのシステムメンテナンス情報の書き込みを終えると、第１書込終了フラグへの書き込みを行う（ステップＳ１３）。

制御部１２は、第１書込終了フラグへの書き込みを終えると、第２書込開始フラグへの書き込みを行う（ステップＳ１４）。
制御部１２は、第２書込開始フラグへの書き込みを終えると、記憶部１４に記憶させるべきシステムメンテナンス情報を、記憶部１４が有する記憶領域のうち第１記憶領域と異なる第２記憶領域に書き込む（ステップＳ１５）。

制御部１２は、第２記憶領域へのシステムメンテナンス情報の書き込みを終えると、第２書込終了フラグへの書き込みを行い（ステップＳ１６）、処理を終了させる。
制御部１２は、システムメンテナンス情報の書き込み、更新を行う際、前述のように４つのフラグ及び２つの記憶領域への書き込みを行うことにより、処理の途中においてマシンコントロール装置１に障害が発生したり、マシンコントロール装置１のシャットダウン処理が正常に行われずに異常終了した場合においても、書き込みや更新が正しく終えたか否かを検出できるようにしている。なお、システムメンテナンス情報の書込、更新の処理の最中にマシンコントロール装置１がシャットダウン処理の要求を受け付けた場合、制御部１２は、システムメンテナンス情報の書込、更新の処理を終えた後にシャットダウン処理を行う。

例えば、システムメンテナンス情報の書き込み又は更新の処理において、ステップＳ１１が行われる前に、マシンコントロール装置１に障害や異常終了が発生した場合、記憶部１４に記憶されているシステムメンテナンス情報に不備はないので、次回の起動において、制御部１２は記憶部１４に記憶されているシステムメンテナンス情報を読み出す。
ステップＳ１１の処理が完了した後からステップＳ１６の処理が完了する前までに、マシンコントロール装置１に障害や異常終了が発生した場合、記憶部１４に記憶されているシステムメンテナンス情報に不備がある可能性があるので、次回の起動において、制御部１２はデフォルト情報などを用いる。

また、ステップＳ１６の処理が完了した後に、マシンコントロール装置１に障害や異常終了が発生した場合、記憶部１４に記憶されているシステムメンテナンス情報に不備はないので、次回の起動において、制御部１２は記憶部１４に記憶されているシステムメンテナンス情報を読み出す。
このように、システムメンテナンス情報を多重化するとともに、４つのフラグを用いて処理が途中で中断されずに完了したか否かを検出できるようにしている。

図３は、本実施形態におけるマシンコントロール装置１における起動時の処理を示すフローチャートである。なお、同図における起動時の処理は、マシンコントロール装置１の動作モードが待機モードである場合の処理である。マシンコントロール装置１において、電源の供給が開始されるなどして、起動時の処理が開始されると、制御部１２は、記憶部１４に記憶されている２つの記憶領域のシステムメンテナンス情報と４つのフラグとを読み出す（ステップＳ２１）。

制御部１２は、ステップＳ２１において読み出した４つのフラグである第１書込開始フラグ、第１書込終了フラグ、第２書込開始フラグ、及び第２書込終了フラグのすべてのフラグが書き込み状態であるか否かを判定する（ステップＳ２２）。
４つのフラグすべてが書き込み状態でない場合（ステップＳ２２：ＮＯ）、制御部１２は、記憶部１４に記憶されているシステムメンテナンス情報に不備があると判定し、デフォルト情報にて起動する（ステップＳ２３）。

制御部１２は、不備の可能性があるシステムメンテナンス情報を破棄し、デフォルト情報を新たなシステムメンテナンス情報として記憶部１４に書き込んで記憶させる（ステップＳ２４）。なお、ステップＳ２４における書き込みは、図２に示した処理によって行われる。
制御部１２は、デフォルト情報を用いて起動したことを通知する情報を、ユーザインタフェース部１１を介して入出力装置２に出力し（ステップＳ２５）、デフォルト情報により起動したことを入出力装置２に表示させて処理を終了させる。

ステップＳ２２において、４つのフラグすべてが書き込み状態である場合（ステップＳ２２：ＹＥＳ）、制御部１２は、２つの記憶領域から読み出したシステムメンテナンス情報が一致するか否かを判定する（ステップＳ２６）。
２つのシステムメンテナンス情報が一致していない場合（ステップＳ２６：ＮＯ）、制御部１２は、読み出したシステムメンテナンス情報に不備があると判定し、処理をステップＳ２３に進め、デフォルト情報による起動を行う。

一方、２つのシステムメンテナンス情報が一致している場合（ステップＳ２６：ＹＥＳ）、制御部１２は、システムメンテナンス情報に不備はないと判定し、読み出したシステムメンテナンス情報にて起動する（ステップＳ２７）。
制御部１２は、読み出したシステムメンテナンス情報を用いて起動したこと、すなわち正常起動したことを示す情報を、ユーザインタフェース部１１を介して入出力装置２に出力し（ステップＳ２８）、正常起動したことを入出力装置２に表示させて処理を終了させる。

図４は、本実施形態におけるマシンコントロール装置１における起動時の処理を示すフローチャートである。なお、同図における起動時の処理は、マシンコントロール装置１の動作モードが稼働モードである場合の処理である。マシンコントロール装置１において、電源の供給が開始されるなどして、起動時の処理が開始されると、制御部１２は、記憶部１４に記憶されている２つの記憶領域のシステムメンテナンス情報と、４つのフラグとを読み出す（ステップＳ３１）。

制御部１２は、ステップＳ３１において読み出した４つのフラグ（第１書込開始フラグ、第１書込終了フラグ、第２書込開始フラグ、及び第２書込終了フラグ）すべてが書き込み状態であるか否かを判定する（ステップＳ３２）。
４つのフラグすべてが書き込み状態でない場合（ステップＳ３２：ＮＯ）、制御部１２は、記憶部１４に記憶されているシステムメンテナンス情報に不備があると判定し、通信インタフェース部１３のいずれかを通じて、他のマシンコントロール装置１に対してシステムメンテナンス情報を要求する（ステップＳ３３）。

マシンコントロール装置１ａにおいて、他のマシンコントロール装置１ｂからシステムメンテナンス情報を要求された場合、制御部１２は、自装置の記憶部１４に記憶されている４つのフラグすべてが書き込み状態であること、及び２つのシステムメンテナンス情報が一致していることが検出できた場合に、自装置の記憶部１４に記憶されているシステムメンテナンス情報を、要求元のマシンコントロール装置１ｂに送信する。

ステップＳ３３における要求に応じて、他のマシンコントロール装置１からシステムメンテナンス情報を受信できた場合（ステップＳ３４：ＹＥＳ）、制御部１２は、受信したシステムメンテナンス情報にて起動する（ステップＳ３５）。
制御部１２は、不備の可能性があるシステムメンテナンス情報を破棄し、受信したシステムメンテナンス情報を新たなシステムメンテナンス情報として記憶部１４に書き込んで記憶させる（ステップＳ３６）。なお、ステップＳ３６における書き込みは、図２に示した処理によって行われる。

制御部１２は、受信したシステムメンテナンス情報を用いて起動したことを通知する情報を、ユーザインタフェース部１１を介して入出力装置２に出力し（ステップＳ３７）、受信したシステムメンテナンス情報により起動したことを入出力装置２に表示させて処理を終了させる。

ステップＳ３３における要求に応じて、他のマシンコントロール装置１からシステムメンテナンス情報を受信できなかった場合（ステップＳ３４：ＮＯ）、制御部１２は、記憶部１４に記憶されているデフォルト情報を読み出し、当該デフォルト情報にて起動する（ステップＳ３８）。
制御部１２は、不備の可能性があるシステムメンテナンス情報を破棄し、デフォルト情報を新たなシステムメンテナンス情報として記憶部１４に書き込んで記憶させる（ステップＳ３９）。なお、ステップＳ３９における書き込みは、図２に示した処理によって行われる。

制御部１２は、デフォルト情報を用いて起動したことを通知する情報を、ユーザインタフェース部１１を介して入出力装置２に出力し（ステップＳ４０）、デフォルト状態により起動したことを入出力装置２に表示させて処理を終了させる。

ステップＳ３２において、４つのフラグすべてが書き込み状態である場合（すてっぷＳ３２：ＹＥＳ）、制御部１２は、２つの記憶領域から読み出したシステムメンテ何畳法が一致する過否かを判定する（ステップＳ４１）。
２つのシステムメンテナンス情報が一致していない場合（ステップＳ４１：ＮＯ）、制御部１２は、読み出したシステムメンテナンス情報に不備があると判定し、処理をステップＳ３３に進め、他のマシンコントロール装置１からシステムメンテナンス情報又はデフォルト情報による起動を行う。

一方、２つのシステムメンテナンス情報が一致している場合（ステップＳ４１：ＹＥＳ）、制御部１２は、システムメンテナンス情報に不備はないと判定し、読み出したシステムメンテナンス情報似て起動する（ステップＳ４２）。
制御部１２は、読み出したシステムメンテナンス情報を用いて起動したこと、すなわち生業起動したことを示す情報を、ユーザインタフェース部１１を介して入出力装置２に出力し（ステップＳ４３）、正常起動したことを入出力装置２に表示させて処理を終了させる。

図５は、本実施形態におけるマシンコントロール装置１におけるシステムメンテナンス情報を変更する処理を示すフローチャートである。システムメンテナンス情報を変更するコマンドが入出力装置２から入力されると処理を開始し、マシンコントロール装置１において制御部１２が、ユーザインタフェース部１１を介して当該コマンドを受け付け、制御部１２内に一時的に記憶しているシステムメンテナンス情報を更新する（ステップＳ５１）。

制御部１２は、更新したシステムメンテナンス情報を新たなシステムメンテナンス情報として記憶部１４に書き込んで記憶させる（ステップＳ５２）。なお、ステップＳ５２における書き込みは、図２に示した処理によって行われる。
制御部１２は、システムメンテナンス情報の書き込みを終えると、システムメンテナンス情報の書き込みが完了したことを示す情報を、ユーザインタフェース部１１を介して入出力装置２に出力し（ステップＳ５３）、更新が終了したことを入出力装置２に表示させて勝利を終了させる。

図６と図７とは、本実施形態の多重化制御監視システムにおける入出力装置２に対する排他制御の一例を示すシーケンス図である。ここでは、マシンコントロール装置１ａが起動しており、マシンコントロール装置１ａの動作モードが稼働モードである状態を初期状態として説明する。また、マシンコントロール装置１ａを操作する権利である制御権は、入出力装置２ａと入出力装置２ｂとのいずれも取得していないものとする。

入出力装置２ａは、ユーザの操作に応じてマシンコントロール装置１ａの制御権を取得するために、ＢＵＳＹ要求をマシンコントロール装置１ａに入力する（ステップＳ６１）。
マシンコントロール装置１ａの制御部１２は、ＢＵＳＹ要求に応じて、自装置の制御権を入出力装置２ａに与えることを示すＢＵＳＹ受理を入出力装置２ａ及び入出力装置２ｂに出力し（ステップＳ６２）、マシンコントロール装置１ａの制御権を入出力装置２ａが取得したことを表示させる。

入出力装置２ａは、マシンコントロール装置１ａの制御権、すなわち多重化制御監視システムにおける各処理装置３を利用する権利を取得すると、各処理装置３を制御する指示やコマンドをマシンコントロール装置１ａに出力する（ステップＳ６３−１、Ｓ６３−２、…、Ｓ６３−ｎ）。
マシンコントロール装置１ａにおいて、入出力装置２ａから出力される指示やコマンドは、通信インタフェース部１３を介して制御部１２に入力され、制御部１２は指示やコマンドに対応する制御情報を通信インタフェース部１３を介して各処理装置３に送信する（ステップＳ６４−１、Ｓ６４−２、…、Ｓ６４−ｎ）。

入出力装置２ａがマシンコントロール装置１ａの制御権を取得している間は、入出力装置２ｂがＢＵＳＹ要求をマシンコントロール装置１ａに出力したり（ステップＳ６５）、処理装置３を制御する指示やコマンドを入出力装置２ｂがマシンコントロール装置１ａに出力したりしても（ステップＳ６６）、マシンコントロール装置１ａは応答しない。

マシンコントロール装置１ａの制御部１２は、通信インタフェース部１３を介して、
処理装置３の状態を把握するために状態を示す状態情報の要求を処理装置３に送信する（ステップＳ７１）。制御部１２は、通信インタフェース部１３を介して、処理装置３の応答としての状態情報を受信する（ステップＳ７２）。

制御部１２は、ユーザインタフェース部１１を介して、受信した状態情報を入出力装置２ａと入出力装置２ｂとに出力して各処理装置３の状態を表示させる（ステップＳ７３）。なお、各処理装置３の状態を示す状態情報の通知は、制御権の有無に拘わらず、マシンコントロール装置１ａに接続されているすべての入出力装置２ａ、２ｂに対して行われる。

入出力装置２ａは、ユーザの操作に応じてマシンコントロール装置１ａの制御権を解放するために、ＢＵＳＹ解除要求をマシンコントロール装置１ａに入力する（ステップＳ７５）。
マシンコントロール装置１ａの制御部１２は、ＢＵＳＹ解放要求に応じて、入出力装置２ａの制御権を解除し、マシンコントロール装置１ａの制御権が解放されたことを示すＢＵＳＹ解除を入出力装置２ａ及び入出力装置２ｂに出力し（ステップＳ７６）、マシンコントロール装置１ａの制御権が解放されたことを表示させる。

入出力装置２ｂは、ユーザの操作に応じてマシンコントロール装置１ａの制御権を取得するために、ＢＵＳＹ要求をマシンコントロール装置１ａに入力する（ステップＳ８１）。
マシンコントロール装置１ａの制御部１２は、ＢＵＳＹ要求に応じて、自装置の制御権を入出力装置２ｂに与えることを示すＢＵＳＹ受理を入出力装置２ａ及び入出力装置２ｂに出力し（ステップＳ８２）、マシンコントロール装置１ａの制御権を入出力装置２ｂが取得したことを表示させる。

入出力装置２ｂは、マシンコントロール装置１ａの制御権、すなわち多重化制御監視システムにおける各処理装置３を利用する権利を取得すると、各処理装置３を制御する指示やコマンドをマシンコントロール装置１ａに出力する（ステップＳ８３−１、Ｓ８３−２、…、Ｓ８３−ｎ）。
マシンコントロール装置１ａにおいて、入出力装置２ｂから出力される指示やコマンドは、通信インタフェース部１３を介して制御部１２に入力され、制御部１２は指示やコマンドに対応する制御情報を通信インタフェース部１３を介して各処理装置３に送信する（ステップＳ８４−１、Ｓ８４−２、…、Ｓ８４−ｎ）。

マシンコントロール装置１ａの制御部１２は、入出力装置２ｂが制御権を取得してから予め定められたタイムアウト期間の間に、制御権の延長要求又はＢＵＳＹ解除要求が入力されないと、入出力装置２ｂの制御権を解除し、マシンコントロール装置１ａの制御権が解放されたことを示すＢＵＳＹ解除を入出力装置２ａ及び入出力装置２ｂに出力し（ステップＳ８５）、マシンコントロール装置１ａの制御権が解放されたことを表示させる。

なお、制御部１２は、制御権を取得している入出力装置２からの制御権の延長要求のみを受け付ける。制御部１２は、制御権を取得していない入出力装置２からの制御権の延長要求を受け付けない。なお、制御権の延長要求は、ＢＵＳＹ要求を再度入力することにより行われる。また、タイムアウト期間は、固定期間（例えば２０秒など）であってもよいし、システムメンテナンス情報に含まれるパラメータによって定めるようにしてもよい。すなわち、システムメンテナンス情報を更新することにより、多重化制御監視システムの利用状況に応じて変更できるようにしてもよい。

図８と図９とは、本実施形態の多重化制御監視システムにおけるシステムメンテナンス情報の同期の一例を示すシーケンス図である。ここでは、マシンコントロール装置１ａとマシンコントロール装置１ｂとは起動していない状態を初期状態として説明する。また、マシンコントロール装置１ａをメインに用いて各処理装置３を制御し、マシンコントロール装置１ｂをバックアップ用とする。例えば、複数のマシンコントロール装置１のうちいずれをメインとして用いるマシンコントロール装置１（主制御装置）とするかは、システムメンテナンス情報に含まれるパラメータで定めるようにしてもよいし、ハードウェアスイッチ等を用いて事前に定めるようにしてもよい。

マシンコントロール装置１ａが起動していない状態では、入出力装置２ａがマシンコントロール装置１ａに対して動作モードを要求するコマンドを入力しても（ステップＳ１００）、当該コマンドに対してマシンコントロール装置１ａは応答しない。同様に、入出力装置２ｂがマシンコントロール装置１ａに対して動作モードを要求するコマンドを入力しても（ステップＳ１０１）、当該コマンドに対してマシンコントロール装置１ａは応答しない。なお、マシンコントロール装置１は、システムメンテナンス情報又はデフォルト情報による起動が完了するまで、入出力装置２からの要求には応答しない。

マシンコントロール装置１ａは、電源が供給されるなどして起動すると、動作モードを待機モードとし、他のマシンコントロール装置１ｂに対して動作モードを問い合わせる（ステップＳ１０３）。マシンコントロール装置１ａは、ステップＳ１０３の問い合わせの応答として、動作モードが待機モードであることを示す情報をマシンコントロール装置１ｂから受信する（ステップＳ１０４）。なお、マシンコントロール装置１ａとマシンコントロール装置１ｂとは、通信インタフェース部１３のいずれかを用いて通信して、動作モードの問い合わせ及びその応答を行う。

マシンコントロール装置１ａの制御部１２は、自装置がメインに用いられること、他のマシンコントロール装置１ｂの動作モードが待機モードであることを検出すると、自装置の動作モードを稼働モードに切り替え（ステップＳ１０５）、自装置の動作モードが稼働モードであることを他のマシンコントロール装置１ｂに通知する（ステップＳ１０６）。また、マシンコントロール装置１ａの制御部１２は、図４に示した起動時の処理を実行し、自装置の起動に用いたシステムメンテナンス情報を他のマシンコントロール装置１ｂに送信し、システムメンテナンス情報の同期を図る（ステップＳ１０７）。なお、マシンコントロール装置１ｂにおけるシステムメンテナンス情報の同期は、図５に示したシステムメンテナンス情報を更新する処理と同様に、マシンコントロール装置１ａから受信したシステムメンテナンス情報を用いて行われる。

稼働モードで動作しているマシンコントロール装置１ａは、自装置に接続されている各処理装置３に対して、処理装置３の状態を把握するために状態情報の要求を送信する（ステップＳ１１１）。なお、各処理装置３に対する状態情報の要求は、予め定められた時間間隔で行うようにしてもよいし、システムメンテナンス情報のパラメータで定められた時間間隔で行うようにしてもよい。また、状態情報を要求する時間間隔は、処理装置３ごとに異なる時間間隔を定めるようにしてもよい。
マシンコントロール装置１ａは、各処理装置３から状態情報を受信すると、受信した状態情報を入出力装置２ａ及び入出力装置２ｂに出力して、各処理装置３の状態を表示させる（ステップＳ１１３）。

また、稼働モードと待機モードとのいずれの動作モードであるかに拘わらず、マシンコントロール装置１ａ及びマシンコントロール装置１ｂは、互いの動作状態を把握するために通信可能な通信インタフェース部１３すべてを用いて死活監視を行う（ステップＳ１１５、ステップＳ１１６）。このとき、すべての通信インタフェース部１３を通じて応答が得られないときは、死活監視対象のマシンコントロール装置１がシャットダウンしているか、又は障害によりダウンしている可能性がるので、入出力装置２に対してアラームを出力するようにしてもよい。或いは、マシンコントロール装置１が互いにネットワーク等を通じて遠隔操作が可能であれば、シャットダウンの後に再起動するようにコマンド等を送信するようにしてもよい。

マシンコントロール装置１ａの制御部１２は、入出力装置２ａから動作モード要求が入力されると（ステップＳ１２１）、当該動作モード要求に対する応答として自装置の動作モードが稼働モードであることを通知する（ステップＳ１２２）。
また、マシンコントロール装置１ａの制御部１２は、入出力装置２ｂから動作モード要求が入力されると（ステップＳ１２３）、当該動作モード要求に対する応答として自装置の動作モードが稼働モードであることを通知する（ステップＳ１２４）。

マシンコントロール装置１ａの制御部１２は、入出力装置２ａからＢＵＳＹ要求が入力されると（ステップＳ１３１）、自装置の制御権を入出力装置２ａと入出力装置２ｂとのいずれにも与えていないので、入出力装置２ａに自装置の制御権を与える。マシンコントロール装置１ａの制御部１２は、自装置の制御権を入出力装置２ａに与えることを示すＢＵＳＹ受理を入出力装置２ａ及び入出力装置２ｂに出力し（ステップＳ１３２）、マシンコントロール装置１ａの制御権を入出力装置２ａが取得したことを表示させる。

マシンコントロール装置１ａの制御部１２は、入出力装置２ａからシステムメンテナンス情報の変更を示すコマンドが入力されると（ステップＳ１３３）、図５に示したシステムメンテナンス情報を変更する処理を行う（ステップＳ１３４）。

システムメンテナンス情報の更新が完了すると、マシンコントロール装置１ａの制御部１２は、自装置のシステムメンテナンス情報と他のマシンコントロール装置１ｂのシステムメンテナンス情報との同期を図るために、更新後のシステムメンテナンス情報と更新の要求とをマシンコントロール装置１ｂに送信する（ステップＳ１３５）。

マシンコントロール装置１ｂの制御部１２は、マシンコントロール装置１ａから受信したシステムメンテナンス情報を用いて、図５に示したシステムメンテナンス情報を更新する処理と同様に行う。

図１０は、本実施形態の多重化制御監視システムにおける動作モードの切り替えの一例を示すシーケンス図である。ここでは、マシンコントロール装置１ａが稼働モードで動作し、マシンコントロール装置１ｂが待機モードで動作している状態において、入出力装置２ｃからの要求に応じて、マシンコントロール装置１ｂを稼働モードで動作させる場合について説明する。

マシンコントロール装置１ｂの制御部１２は、入出力装置２ｃから動作モード要求が入力されると（ステップＳ１４１）、当該動作モード要求に対する応答として自装置の動作モードが待機モードであることを通知する（ステップＳ１４２）。

マシンコントロール装置１ｂの制御部１２は、入出力装置２ｃからＢＵＳＹ要求が入力されると（ステップＳ１４３）、自装置の制御権を入出力装置２ｃと入出力装置２ｄとのいずれにも与えていないので、入出力装置２ｃに自装置の制御権を与える。マシンコントロール装置１ｂの制御部１２は、自装置の制御権を入出力装置２ｃに与えることを示すＢＵＳＹ受理を入出力装置２ｃ及び入出力装置２ｄに出力し（ステップＳ１４４）、マシンコントロール装置１ｂの制御権を入出力装置２ｃが取得したことを表示させる。

マシンコントロール装置１ｂの制御部１２は、入出力装置２ｃから動作モードを稼働モードに切り替えることの要求が入力されると（ステップＳ１４５）、マシンコントロール装置１ａに対してシャットダウンの要求を送信する（ステップＳ１４６）。マシンコントロール装置１ｂの制御部１２は、マシンコントロール装置１ａに対して死活監視を行い（ステップＳ１４７）、マシンコントロール装置１ａがシャットダウンしたことを確認する。

マシンコントロール装置１ｂの制御部１２は、マシンコントロール装置１ａがシャットダウンしたことを検出すると、自装置の動作モードを稼働モードに切り替える（ステップＳ１４８）。なお、マシンコントロール装置１ａがシャットダウンしたことが検出できない場合、マシンコントロール装置１ｂの制御部１２は、自装置の動作モードを稼働モードに切り替えずに、稼働モードへの切り替えが失敗したことを入出力装置２ｃに通知する。更に、マシンコントロール装置１ａのシャットダウンを手動で行う旨を入出力装置２ｃに通知するようにしてもよい。

マシンコントロール装置１ｂの制御部１２は、入出力装置２ｃから動作モード要求が入力されると（ステップＳ１４９）、当該動作モード要求に対応する応答として自装置の動作モードが稼働モードであることを通知する（ステップＳ１５０）。
マシンコントロール装置１ｂの制御部１２は、入出力装置２ｃから各処理装置３を制御する指示又はコマンドが入力されると（ステップＳ１５１）、入力された指示又はコマンドに対応する制御情報を、通信インタフェース部１３を介して各処理装置３に送信する（ステップＳ１５２）。

マシンコントロール装置１ｂの制御部１２は、入出力装置２ｃからシステムメンテナンス情報の更新を示すコマンドが入力されると（ステップＳ１５３）、図５にしめしたシステムメンテなす情報を更新する処理を行う（ステップＳ１５４）。
なお、バックアップ用に定められているマシンコントロール装置１ｂは、メインとして用いるマシンコントロール装置１ａと異なり、自装置のシステムメンテナンス情報と、メインとして用いられるマシンコントロール装置１ａのシステムメンテナンス情報との同期を行わない。

図１１は、本実施形態におけるマシンコントロール装置１ａ、１ｂ間における死活監視とシャットダウンとを行うための接続例を示す図である。同図に示すように、マシンコントロール装置１ａとマシンコントロール装置１ｂとは、ＰＩＯ（汎用デジタル入出力）とＥＸ（外部入出力）とを用いて接続されている。自装置のＥＸのＰｉｎ３，４は、相手装置のＰＩＯのＩＮ１５に接続されている。自装置のＰＩＯのＯＵＴ０９は、空いて装置のＥＸのＰｉｎ１に接続されている。

マシンコントロール装置１は、起動すると、ＥＸのＰｉｎ３，４をアクティブにする。マシンコントロール装置１は、他のマシンコントロール装置１が起動しているか否か（死活状態）をＰＩＯのＩＮ１５に入力される信号のレベルにより検出することができる。

マシンコントロール装置１は、入出力装置２から死活監視のコマンドが入力されると、ＥＸのＰｉｎ３，４にパルスを発生させる。ＰＩＯのＩＮ１５にパルスが入力されると、マシンコントロール装置１は、自装置のＥＸのＰｉｎ３、４に入力されたパルスに応答するパルスを発生させる。これにより、マシンコントロール装置１は、互いの状態を検出することができる。

マシンコントロール装置１は、入出力装置２から他のマシンコントロール装置１をシャットダウンするコマンド、又は自装置を待機モードから稼働モードに切り替えるコマンドなどが入力されると、ＰＩＯのＯＵＴ０９に所定幅のパルス（例えば４秒のパルス）を発生させる。マシンコントロール装置１は、ＥＸのＰｉｎ１に所定幅のパルスを検出すると、電源供給を停止したり、シャットダウン処理を開始したりする。

以上のように構成された本実施形態の多重化制御監視システムでは、マシンコントロール装置１（制御装置）が、自装置及び各処理装置３の制御に用いるパラメータを含むシステムメンテナンス情報を更新する際、記憶部１４の異なる記憶領域それぞれに新たなシステムメンテナンス情報を書き込み、書き込みの開始及び終了ごとに書込フラグへの書き込みを行う構成としている（図２）。マシンコントロール装置１は、起動する際に、４つの書込フラグへの書き込みが完了していること、及び、複数の記憶領域のシステムメンテナンス情報が一致していることを検出すると、当該システムメンテナンス情報には不備がないと判断して、当該システムメンテナンス情報を用いた自装置及び処理装置３の制御を行う。

これにより、マシンコントロール装置１及び処理装置３の制御に要するシステムメンテナンス情報の更新が正しく行われているか否かを検出することができ、不備を含む可能性があるシステムメンテナンス情報を用いることなく制御を行うことができる。その結果、システムメンテナンス情報を更新した際に、正しく更新が行われたか否かの確認をユーザが行う必要がなくなり、多重化された制御装置の運用を簡便にしつつ、運用の継続性を高めることができる。

また、本実施形態の多重化制御監視システムでは、マシンコントロール装置１間においてシステムメンテナンス情報の同期を図るようにしている。これにより、各処理装置３の制御を行うマシンコントロール装置１を切り替えた場合においても、切り替え前後で同様の処理を継続して行うことができ、多重化された制御装置の運用を簡便にしつつ、運用の継続性を高めることができる。

また、本実施形態の多重化制御監視システムでは、記憶部１４に記憶されているシステムメンテナンス情報に不備がある可能性があると判断した場合、制御部１２は、他のマシンコントロール装置１にシステムメンテナンス情報を要求する用にしている。これにより、自装置の記憶部１４に記憶されているシステムメンテナンス情報に不備がある場合であっても、マシンコントロール装置１間で同期しているシステムメンテナンス情報を用いて自装置及び各処理装置３の制御を行うことができる。その結果、本実施形態の多重化制御監視システムは、多重化された制御装置の運用を簡便にしつつ、運用の継続性を高めることができる。

また、本実施形態の多重化制御監視システムでは、バックアップ用のマシンコントロール装置１ｂは、マシンコントロール装置１ａからシステムメンテナンス情報を要求された際、自装置に記憶されているシステムメンテナンス情報に不備がないこと、すなわち書込フラグすべてに書き込みがなされていること、及び、２つのシステムメンテナンス情報が一致していることが検出できた場合に、システムメンテナンス情報を送信する。これにより、不備の可能性があるシステムメンテナンス情報によって、マシンコントロール装置１や処理装置３の制御が行われることを抑制し、安定した多重化制御監視システムの運用を図ることができる。

なお、上述した本実施形態に係る多重化制御監視システムは、上述の態様に限定されるものでなく、以下のように変形可能である。
例えば、マシンコントロール装置１の記憶部１４に記憶されるログは、システムメンテナンス情報と同様に、異なる記憶領域に記憶するようにしてもよい。また、マシンコントロール装置１が起動する都度、制御部１２はログを保存用の異なるファイルにコピーして記憶部１４に記憶させるようにしてもよい。これにより、マシンコントロール装置１に異常が生じた場合においても、保存用のファイルを読み出すことにより異常内容の確認や、生じた異常の解析を行うことができる。

また、上述した本実施形態に係る多重化制御監視システムでは、２つのシステムメンテナンス情報を記憶部１４の異なる記憶領域に記憶させる構成について説明したが、３つ以上の異なる記憶領域それぞれにシステムメンテナンス情報を記憶させ、すべてのシステムメンテナンス情報が一致するか否かにより不備の有無を判定するようにしてもよい。この場合、記憶領域ごとに書込開始フラグと書込終了フラグとを設け、すべてのフラグへの書き込みが完了しているか否かも検出することになる。

また、上述した本実施形態に係る多重化制御監視システムにおいて、マシンコントロール装置１は、稼働モードで動作中の他のマシンコントロール装置１に対する死活監視の結果、当該マシンコントロール装置１がダウンしていると判定できる場合、自装置を待機モードから稼働モードに切り替えて動作するようにしてもよい。なお、通信インタフェース部１３すべてにおいて死活監視対象のマシンコントロール装置１からの応答が得られない場合に、当該マシンコントロール装置１がダウンしていると判定するようにしてもよい。

また、上述した本実施形態に係る多重制御監視システムでは、マシンコントロール装置１ごとに入出力装置２を接続する構成について説明したが、複数のマシンコントロール装置１に対して複数の入出力装置２を共通に接続するようにしてもよい。例えば、マシンコントロール装置１ａ、１ｂが入出力装置２ａ〜２ｄに接続されていてもよい。また、マシンコントロール装置１ａ、１ｂと入出力装置２ａ〜２ｄとをネットワークを介して通信可能に接続し、通信相手となる装置を適宜定めることにより、通信相手を切り替えるようにしてもよい。これにより、入出力装置２の故障や、マシンコントロール装置１の故障によりシステム稼働率の低下を抑制することができる。

また、上述したマシンコントロール装置１は、一般的な半導体集積回路によって実装されるものであってもよいし、例えば、ＦＰＧＡ（Field Programmable Gate Array）等のカスタマイズ可能な電子回路によって実装されるものであってもよい。

また、マシンコントロール装置１の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりマシンコントロール装置１としきて機能させてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。更に「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、或いは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。更に、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものとする。

１、１ａ、１ｂ…マシンコントロール装置
２、２ａ、２ｂ、２ｃ、２ｄ…入出力装置
３、３ａ、３ｂ、３ｃ…処理装置
１１…ユーザインタフェース部
１２…制御部
１３、１３ａ、１３ｂ、１３ｃ…通信インタフェース部
１４…記憶部

Claims (5)

1. 特定の処理を実行する複数の処理装置をユーザの要求に応じて排他的に制御する複数の制御装置を備える多重化制御監視システムであって、
   前記制御装置は、
   自装置及び前記複数の処理装置の制御に用いるパラメータを含むシステムメンテナンス情報と、システムメンテナンス情報の書き込み処理に用いる複数の書込フラグと、所定値をパラメータとして含むデフォルト情報とを記憶する記憶部と、
   前記システムメンテナンス情報を更新する場合には、前記記憶部の異なる記憶領域に複数のシステムメンテナンス情報を書き込み、システムメンテナンス情報を書き込むごとに異なる前記書込フラグへの書き込みを行う制御部と、
   を備え、
   前記制御部は、
   前記複数の書込フラグへの書き込みの完了、及び、前記記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できた場合、前記記憶部から読み出したシステムメンテナンス情報を用いて前記処理装置の制御を行い、
   前記複数の書込フラグへの書き込みの完了、又は、前記記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できない場合、前記記憶部に記憶されているデフォルト情報を用いて前記処理装置の制御を行う
   ことを特徴とする多重化制御監視システム。
2. 前記複数の制御装置のうち、いずれか一つの制御装置が主に用いる主制御装置として定められており、
   前記主制御装置においてシステムメンテナンス情報が更新されると、前記主制御装置の制御部は、システムメンテナンス情報を他の前記制御装置に対して当該システムメンテナンス情報を送信し、
   他の前記制御装置の制御部は、受信したシステムメンテナンス情報を自装置の記憶部のシステムメンテナンス情報を更新する
   ことを特徴とする請求項１に記載の多重化制御監視システム。
3. 前記主制御装置の制御部は、
   前記複数の書込フラグへの書き込みの完了、又は、前記記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できない場合、他の前記制御装置に対してシステムメンテナンス情報を要求し、
   他の前記制御装置から受信したシステムメンテナンス情報を用いて前記処理装置の制御を行う
   ことを特徴とする請求項２に記載の多重化制御監視システム。
4. 前記複数の制御装置のうち前記主制御装置以外の他の制御装置の制御部は、
   前記主制御装置からシステムメンテナンス情報を要求された際、前記複数の書込フラグへの書き込みの完了、及び、前記記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できた場合に、自装置の記憶部に記憶されているシステムメンテナンス情報を前記主制御装置に送信する
   ことを特徴とする請求項３に記載の多重化制御監視システム。
5. 特定の処理を実行する複数の処理装置及び自装置の制御に用いるパラメータを含むシステムメンテナンス情報と、システムメンテナンス情報の書き込み処理に用いる複数の書込フラグと、所定値をパラメータとして含むデフォルト情報とを記憶する記憶部と、前記システムメンテナンス情報を更新する場合には、前記記憶部の異なる記憶領域に複数のシステムメンテナンス情報を書き込み、システムメンテナンス情報を書き込むごとに異なる前記書込フラグへの書き込みを行う制御部とを備え、ユーザの要求に応じて前記複数の処理装置を排他的に制御する制御装置を複数備える多重化制御監視システムにおける制御方法であって、
   前記制御部が、前記複数の書込フラグへの書き込みの完了、及び、前記記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できた場合、前記記憶部から読み出したシステムメンテナンス情報を用いて前記処理装置の制御を行うステップと、
   前記制御部が、前記複数の書込フラグへの書き込みの完了、又は、前記記憶領域の複数の記憶領域に書き込まれたシステムメンテナンス情報が一致していることが検出できない場合、前記記憶部に記憶されているデフォルト情報を用いて前記処理装置の制御を行うステップと
   を有することを特徴とする制御方法。

Images