JP7132257B2 - 制御システム - Google Patents

Description

本発明は、例えばファクトリーオートメーション（ＦＡ）やプロセスオートメーション（ＰＡ）の分野において、コンピュータを用いて制御を行う制御システムに関する。

一般にファクトリー・オートメーション(ＦＡ)やプロセス・オートメーション（ＰＡ）の分野では、工場などにおける製造工程や化学製品などの生産工程などに、コンピュータを用いた制御システムが導入される。制御システムは、プログラマブル・ロジック・コントローラ（ＰＬＣ）などのコンピュータがコンピュータプログラムを実行することで制御を行う。

こうした制御システムの処理概要を説明する。コンピュータは、温度や圧力、回転数など制御に必要となる情報をセンサから取得する。コンピュータは、その情報に基づき、アクチュエータやモータなどを操作する。制御する内容はプログラムに定義され、コンピュータはプログラムを実行することで制御を行う。制御は適切なタイミングで実施される必要があり、適切なタイミングに制御できる性能や度合いを「定時性」という。

例えば、特許文献１には、シーケンシャルな制御ロジック（各種判断等）をＰＬＣで実行し、複雑な演算処理（収束演算等の数値演算）を汎用ＯＳ上で実行し、処理すべき機能を振り分けるようにしたプラント制御システムが開示されている。

特開２００９－０９３３７５号公報

近年、自動車の自動運転に代表される人工知能技術の発展がある。人工知能技術の分野では、ディープラーニングの推論処理などの複雑な計算処理による高度な判断処理を制御システムに導入することが求められている。この判断処理の実現には以下のような問題がある。

（問題点１）
制御システムは、定時性高く制御を行う必要がある。ＰＬＣなどは定時性の高いリアルタイムオペレーティングシステム(ＯＳ)上でプログラムを実行することで定時性を確保している。リアルタイムＯＳは、時間的な制約がある処理を実行するための機能や特性を備える。一方、推論処理のように複雑な処理を行うプログラムは、汎用ＯＳ上での実行を前提に開発されている場合があり、リアルタイムＯＳ上で実行することは困難である。

（問題点２）
工場の製造工程などでは、設備を数ヶ月から数年にわたり稼動し続ける場合があり、制御システムを停止させないことを前提としている。一方で、制御システムに新たな機能を追加するためには、一時的に制御システムを停止する必要がある。また、老朽化により制御システムを構成するソフトウェア又はハードウェアの交換が必要となる場合であっても、頻繁に停止することはできず、交換が先送りにされる場合がある。

前述の通り、制御システムは動作し続けることが求められる。そのため２台以上のコンピュータを用いて制御システムを冗長化構成とし、１台のコンピュータが故障しても制御システムの動作を継続することが行われる。この際、各コンピュータが実行するプログラムは、他のコンピュータのプログラムとタイミングや情報を同期し、故障時にも定時性を損なわない性能を備える必要があり、難易度が高い。

このような高い定時性が要求される制御システムを稼動させたまま、制御システムのプログラムやコンピュータ等を変更する技術については、特許文献１に開示されていない。

本発明は、上記の状況に鑑みてなされたものであり、本発明は、定時性を保ちながら、制御システムを停止させることなく、制御システムで用いるリソースの変更を可能にすることを目的とする。

上記課題を解決するために、本発明の一態様の制御システムは、少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成される。
上記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを第１のオペレーティングシステム上で実行する第１のプロセッサと、を備える。
上記Ｉ／Ｏノードは、第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを第２のオペレーティングシステム上で実行する第２のプロセッサと、を備える。
上記制御ノードの制御プログラムは、制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、当該制御指令をＩ／Ｏノードに送信する判断実行部を有する。
上記Ｉ／ＯノードのＩ／Ｏプログラムは、制御ノードから受信した制御指令を記憶部に記憶し、その記憶部に記憶された制御指令に従って制御対象機器に関する処理を実行する制御指令実行部を有する。

本発明の少なくとも一態様によれば、定時性を保ちながら、制御システムを停止させることなく、制御システムで用いるリソースの変更が可能になる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の第１の実施形態に係る制御システムの全体構成の例を示すブロック図である。 本発明の第１の実施形態に係る制御システムの制御プログラムとＩ／Ｏプログラムの論理構成の例を示すブロック図である。 制御指令の持つ情報の例を示す図表である。 送信データの持つ情報の例を示す図表である。 判断実行部による処理の手順例を示すフローチャートである。 制御指令実行部の制御指令受付処理の手順例を示すフローチャートである。 制御指令実行部の周期処理の手順例を示すフローチャートである。 制御指令実行部における制御指令の実行タイミングの例を表した図表である。 指令切替部の制御指令処理の手順例を示すフローチャートである。 指令切替部の切替信号処理の手順例を示すフローチャートである。 切替信号送信画面の例を示す図表である。 本発明の第２の実施形態に係る制御ノードに導入された構成管理プログラムの論理構成の例を示すブロック図である。 本発明の第２の実施形態に係る制御システムの全体構成の例を示すブロック図である。 構成管理プログラムが利用する制御プログラム管理テーブルの構造の例を示す図表である。 構成管理プログラムが利用する制御ノード管理テーブルの構造の例を示す図表である。 マスタ選出部の開始処理の手順例を示すフローチャートである。 マスタ選出部の制御ノード管理処理の手順例を示すフローチャートである。 テーブル同期部の同期処理の手順例を示すフローチャートである。 制御プログラム登録画面の例を示す図表である。 プログラム登録部のプログラム登録処理の手順例を示すフローチャートである。 プログラム配置部のプログラム配置処理の手順例を示すフローチャートである。 プログラム配置部のプログラム実行処理の手順例を示すフローチャートである。 指令切替部の構成通知処理の手順例を示すフローチャートである。 本発明の第２の実施形態に係る制御指令の切替動作の例を示すブロック図である。 異常監視部の監視処理の手順例を示すフローチャートである。 制御ノード異常警告画面の例を示す図表である。 異常監視部の回復処理の手順例を示すフローチャートである。 本発明の第２の実施形態の第１の変形例に係る制御ノードに常用監視プログラムを導入した例を示すブロック図である。 本発明の第２の実施形態の第２の変形例に係る１台の制御ノード上で複数の制御プログラムを動作させる例を示すブロック図である。 本発明の第１の実施形態に係る制御システムの制御プログラムとＩ／Ｏプログラムの実行タイミングの例を示す図表である。 本発明の第３の実施形態に係る制御システムの全体構成の例を示すブロック図である。 本発明の第３の実施形態に係る制御システムの制御プログラムとＩ／Ｏプログラムの実行タイミングの例を示す図表である。 スケールアウト構成設定画面の例を示す図表である。 送信処理部のスケールアウト構成開始処理の手順例を示すフローチャートである。 送信元リストの構造の例を示す図表である。 スケールアウト構成テーブルの構造の例を示す図表である。 送信処理部の送信処理の手順例を示すフローチャートである。 本発明の第４の実施形態に係る制御システムの全体構成の例を示すブロック図である。 １台のＩ／Ｏノードを用いる場合、及び本発明の第４の実施形態に係る２台のＩ／Ｏノード（常用、待機）を用いる場合のそれぞれのＩ／Ｏプログラムの実行タイミングの例を示す図表である。 １台のＩ／Ｏノードを用いる場合、及び本発明の第４の実施形態に係る２台のＩ／Ｏノード（常用、待機）を用いて制御周期をずらした場合のそれぞれのＩ／Ｏプログラムの実行タイミングの例を示す図表である。

以下、本発明を実施するための形態の例について、添付図面を参照して説明する。本明細書及び添付図面において実質的に同一の機能又は構成を有する構成要素については、同一の符号を付して重複する説明を省略する。

＜１．第１の実施形態＞
［制御システムの全体構成］
まず、本発明の第１の実施形態に係る制御システムの構成例について説明する。
図１は、第１の実施形態に係る制御システムの全体構成の例を示すブロック図である。

図１に示す制御システム１００は、制御ノード１、Ｉ／Ｏノード２、ＨＭＩノード３、制御対象の機器４、及び、各ノードを相互に通信可能に接続したネットワーク５を含んで構成される。制御システム１００において、制御ノード１は少なくとも１台以上であり、Ｉ／Ｏノード２も少なくとも１台以上である。

機器４は、例えば工場の生産設備として用いられる機器であり、機器４に所望の動作をさせることが制御システム１００の目標である。機器４は、センサ４０とアクチュエータ４１を持つ。図１ではセンサ４０とアクチュエータ４１をそれぞれ１つのみ示しているが、実際には、複数個ある場合や、センサ４０又はアクチュエータ４１のどちらか一方のみを持つ場合もある。

センサ４０は、機器４やその周辺の環境の状態を把握するための装置である。アクチュエータ４１は、機器４に実際の動作を行わせたり、動作を変更させたりするための装置である。センサ４０の例としては、温度計、流量計、電圧計、スイッチ、ビデオカメラ、カウンタなどが挙げられる。アクチュエータ４１の例としては、モータ、シリンダー、電磁石、リレー、ＬＥＤ、ランプ、ブザーなどが挙げられる。当然のことながら、センサ４０、アクチュエータ４１とも上記に示す例に限定されない。

制御ノード１は、ＣＰＵ（Central Processing Unit）１０、記憶装置１１（記憶部の例）、ネットワークインタフェース１２、及びメモリ１３から構成されるコンピュータである。ＣＰＵ１０は、第１のプロセッサの例である。ＣＰＵ１０の代わりに、ＭＰＵ（Microprocessor）などの他のプロセッサを用いてもよい。メモリ１３は、半導体メモリなどを用いた主記憶装置である。記憶装置１１は、不揮発性の記憶装置であり、記憶装置１１として、例えばハードディスクや半導体メモリなどが用いられる。

Ｉ／Ｏノード２も同様に、ＣＰＵ２０（第１のプロセッサ）、記憶装置２１（記憶部の例）、ネットワークインタフェース２２、及びメモリ２３から構成されるコンピュータである。また、ＨＭＩノード（Human Machine Interface）３は、ＣＰＵ３０、記憶装置３１、ネットワークインタフェース３２、及びメモリ３３から構成されるコンピュータである。

制御ノード１において、ＣＰＵ１０は、記憶装置１１からメモリ１３上に汎用ＯＳ１４（第１のオペレーティングシステム）を読み込んで実行する。また、ＣＰＵ１０は、汎用ＯＳ１４上で、１個以上の制御プログラム７を実行する。記憶装置１１は、後述する各種テーブル等を記憶する。

Ｉ／Ｏノード２において、ＣＰＵ２０は、記憶装置２１からメモリ２３上にリアルタイムＯＳ２４（第２のオペレーティングシステム）を読み込んで実行する。また、ＣＰＵ２０は、リアルタイムＯＳ２４上で、Ｉ／Ｏプログラム８を実行する。記憶装置２１は、後述する送信元リスト８７等を記憶する。また、Ｉ／Ｏノード２はさらにＩ／Ｏインタフェース２５を持ち、ケーブル６により機器４と接続している。

Ｉ／Ｏインタフェース２５と機器４との間を接続するケーブル６、及び、その間の通信方式の具体例としては、ねじ端子を介し機器４を直接配線する方法や、機器４の持つインタフェースを介し、機器４で規定のプロトコルにより通信する方法が想定される。本実施形態においては、レイテンシ（遅延）が小さく機器４のセンサ４０及びアクチュエータ４１と通信可能であればいかなる方式でも構わない。通信に用いる規格の具体例としては、ＵＳＢ（Universal Serial Bus）、ＲＳ－２３２、Ｅｔｈｅｒｎｅｔ（登録商標）が挙げられ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等による無線通信によっても実現可能である。

ＨＭＩノード３において、ＣＰＵ３０は、記憶装置３１よりメモリ３３上に汎用ＯＳ３４を読み込んで実行する。またＣＰＵ３０は、汎用ＯＳ３４上でＨＭＩプログラム９を実行する。また、ＨＭＩノード３は、ディスプレイ３５Ａやキーボード３５Ｂなどのユーザインタフェース３５を備える。

制御ノード１、Ｉ／Ｏノード２、及びＨＭＩノード３は、それぞれのネットワークインタフェース１２，２２，及び３２を通してネットワーク５に接続している。ネットワーク５の通信方式の具体例として、Ｅｔｈｅｒｎｅｔ（登録商標）、ＣＡＮ（Controller Area Network）（登録商標）などが挙げられる。ネットワーク５を通し、制御プログラム７、Ｉ／Ｏプログラム８、及びＨＭＩプログラム９は、１対１及び１対多の通信が可能なＵＤＰ ｏｖｅｒ ＩＰといったプロトコルを用いて相互に通信する。

制御ノード１とＩ／Ｏノード２は、それぞれのＣＰＵが実行する制御プログラム７、Ｉ／Ｏプログラム８の処理によって機器４の制御を実現する。以下、図２を参照して、制御プログラム７とＩ／Ｏプログラム８の機能構成を説明する。

［制御プログラムとＩ／Ｏプログラムの論理構成］
図２は、制御システム１００の制御プログラム７とＩ／Ｏプログラム８の論理構成の例を示すブロック図である。
制御プログラム７は、判断実行部７０、受信処理部７１、及び送信処理部７２を持つ。制御プログラム７の各部の機能については後述する。
Ｉ／Ｏプログラム８は、制御指令実行部８０、受信処理部８１、送信処理部８２、指令切替部８４、入力処理部８５、出力処理部８６、及び送信元リスト８７を持つ。入力処理部８５は、センサ４０から情報（検出結果）を取得し、出力処理部８６はアクチュエータ４１に制御信号を送ってアクチュエータ４１を操作する。Ｉ／Ｏプログラム８の各部の機能については後述する。

ＨＭＩプログラム９は、制御システム１００の管理者３６が制御システム１００の状態の設定や確認を行うための複数の画面を持つ。画面はＧＵＩ（Graphical User Interface）として実装され、ユーザインタフェース３５を介して制御システム１００の管理者３６に操作される。図２では、ＨＭＩプログラム９が切替信号送信画面９０により生成された切替信号を、Ｉ／Ｏプログラム８の指令切替部８４に送信する様子が示されている。切替信号送信画面９０については、後述する図１１において詳述する。指令切替部８４は、受け取った制御指令７３の送信元情報を送信元リスト８７に登録する。

制御指令７３は、制御プログラム７の判断実行部７０によって生成される電文であり、特定の条件において、どのような処理、動作を行うかという指示が記されている。例えば、平易な表現で記せば、制御指令７３は「３０ミリ秒ごとにセンサ４０の電圧値を制御プログラム７に送信せよ」、「時刻Ｘのタイミングでアクチュエータ４１をＹミリ秒間動作させよ」、「センサ４０の電圧値の移動平均を計算せよ」といった内容である。

制御プログラム７からＩ／Ｏプログラム８に送信される制御指令７３は、Ｉ／Ｏプログラム８の受信処理部８１で順次受信される。受信処理部８１は、受信した制御指令７３を、記憶装置２１（記憶部）の指令記憶エリア２１１に順次記憶する。

送信データ８３は、制御指令７３に従い、Ｉ／Ｏプログラム８の制御指令実行部８０が生成して、制御プログラム７の判断実行部７０に送信する情報を記した電文である。例えば、送信データ８３には、センサ４０の電圧値や、制御指令実行部８０が計算した結果の値などが含まれる。判断実行部７０は、送信データ８３の内容を受信することで機器４の状態など必要な情報を取得する。

図３は、制御指令７３が持つ情報の例を示す図表である。
制御指令７３は、送信元欄７３ａ、宛先欄７３ｂ、生成日時欄７３ｃ、及び制御内容欄７３ｄを備える。
送信元欄７３ａは、制御指令７３を生成した制御プログラム７を特定するＩＰアドレスとポート番号を格納する。
宛先欄７３ｂは、制御プログラムを実行すべきＩ／Ｏプログラム８を特定するＩＰアドレスとポート番号を格納する。
生成日時欄７３ｃは、制御指令７３が生成された日付と時刻を格納する。
制御内容欄７３ｄは、制御指令７３の制御の内容を格納する。

制御内容欄７３ｄは、制御指令７３ごとにその内容が異なるが、共通して指令ＩＤ欄７３ｅ、優先度欄７３ｆ、タイミング欄７３ｇ、及び最大時間欄７３ｈを持つ。
指令ＩＤ欄７３ｅは、制御指令７３を一意に特定する指令ＩＤを保持する。指令ＩＤは判断実行部７０により制御指令７３生成時に付与される。
優先度欄７３ｆは、制御指令７３の優先度を保持する。優先度欄７３ｆが空欄の場合には、優先度が最も低いことを示す。
タイミング欄７３ｇは、制御内容欄７３ｄに記載された処理を実行すべきタイミングを保持する。タイミングの内容は、一定の間隔で周期的に実行する場合、センサの状態などの条件を満たした場合、指定の時刻になった場合など様々な場合を指定できる。
最大時間欄７３ｈは、一つの制御指令７３の処理に許容できる最大時間（後述する図８）を保持する。最大時間欄７３ｈが空欄の場合は、最大時間が設定されていないことを示す。

制御内容欄７３ｄ（１）～７３ｄ（６）は、実施する処理ごとの制御内容の具体例を示している。
制御内容欄７３ｄ（１）は、入力処理、すなわちセンサ４０からの情報取得を行う場合の例である。制御内容欄７３ｄ（１）は入力処理欄７３ｉを備え、情報を取得する対象を保持する。
制御内容欄７３ｄ（２）は、計算処理、すなわちセンサ４０の出力値の移動平均などの計算処理を行う場合の例である。制御内容欄７３ｄ（２）は計算処理欄７３ｊを備え、計算処理の内容を保持する。
制御内容欄７３ｄ（３）は、送信処理、すなわち制御プログラム７に情報を送信する場合の例である。制御内容欄７３ｄ（３）は送信処理欄７３ｋを備え、送信する対象を保持する。

制御内容欄７３ｄ（４）は、出力処理、すなわちアクチュエータなどの操作を行う場合の例である。制御内容欄７３ｄ（４）は出力処理欄７３ｌを備え、操作対象の指令ＩＤと操作の内容を保持する。
制御内容欄７３ｄ（５）は、制御周期設定処理、すなわち後述する制御周期に関する設定を行う場合の例である。制御内容欄７３ｄ（５）は制御周期設定欄７３ｍを備え、指定する制御周期や開始タイミングを保持する。
制御内容欄７３ｄ（６）は、中止処理、すなわち特定の制御指令７３の実行を中止する場合の例である。制御内容欄７３ｄ（６）は中止処理欄７３ｎを備え、中止対象の指令ＩＤを保持する。

図４は、送信データ８３が持つ情報の例を示す図表である。
送信データ８３は、送信元欄８３ａ、送信日時欄８３ｂ、指令ＩＤ欄８３ｃ、及びデータ欄８３ｄを備える。
送信元欄８３ａは、送信データ８３を生成したＩ／Ｏプログラム８を特定するＩＰアドレスとポート番号を格納する。
送信日時欄８３ｂは、送信データ８３をＩ／Ｏプログラム８が送信した日付と時刻を格納する。
指令ＩＤ欄８３ｃは、送信データ８３がどの制御指令７３の指示によって送信されたのかを特定する指令ＩＤを格納する。
データ欄８３ｄは、送信するデータの内容（例えば対象、値）を保持する。

制御システム１００は、制御ノード１の汎用ＯＳ１４上で実行される制御プログラム７の判断実行部７０（図２）が、機器４に関して予め設定された状態制御に基づいて制御指令７３を生成する。言い換えると、判断実行部７０は、センサ４０等から得られる情報に基づいて機器４をどのような状態に変化させるか、又は、どのように変化させるかを複雑な演算などを伴う処理によって検討し、その検討結果を制御指令７３としてＩ／Ｏノード２（Ｉ／Ｏプログラム８）に送信する。この機器４に関する制御内容の検討は、周知の技術を用いて行うものとし、ここでは詳細な説明は省略する。

機器４の操作などの実際の処理はＩ／Ｏノード２のリアルタイムＯＳ２４上で実行される。リアルタイムＯＳ２４上で、Ｉ／Ｏプログラム８の制御指令実行部８０が制御指令を実行することにより、複雑な処理と定時性の高い処理の両立を可能にする。

［判断実行部の処理］
以下、図５を参照し、制御プログラム７の判断実行部７０の処理内容を説明する。
図５は、判断実行部７０による処理の手順例を示すフローチャートである。
まず、判断実行部７０は、制御システム１００としてＩ／Ｏプログラム８にどのタイミングでどのような処理を実行させるかを判断する（Ｓ７０１）。次いで、判断実行部７０は、制御指令を生成する必要があるかどうかを判断し（Ｓ７０２）、制御指令を生成する必要がない場合（Ｓ７０２のＮＯ）にはステップＳ７０５へ進む。次いで、判断実行部７０は、制御指令の生成が必要な場合（Ｓ７０２のＹＥＳ）には制御指令７３を生成し（Ｓ７０３）、送信処理部７２にＩ／Ｏプログラム８へ送信させる（Ｓ７０４）。

次いで、判断実行部７０は、新しい送信データ８３があれば受信処理部７１より受け取る（Ｓ７０５）。判断実行部７０は、受信処理部７１が受信した送信データ８３について、送信元欄８３ａ（図４）により自身が制御しているＩ／Ｏプログラム８から送信されたものであることを確認し、送信データ８３を処理して次回のステップＳ７０１における判断に用いる。

制御プログラム７は、ステップＳ７０１～Ｓ７０５の処理を常時実行しており、随時制御指令７３をＩ／Ｏノード２（Ｉ／Ｏプログラム８）へ送信する。

Ｉ／Ｏプログラム８の受信処理部８１は、ステップＳ７０４にて判断実行部７０が送信した制御指令７３を受信すると、指令切替部８４に制御指令７３を渡す。指令切替部８４は、後述する方法により実行すべき制御指令７３を選択し、該当する制御指令７３を制御指令実行部８０に渡す。

［制御指令実行部の制御指令受付処理］
図６は、制御指令実行部８０の制御指令受付処理の手順例を示すフローチャートである。
制御指令実行部８０は、指令切替部８４から新しい制御指令７３を受け取ると（Ｓ８０１）、制御指令受付フローを開始する。すなわち、制御指令実行部８０は、後述する図７に示す周期処理フローに沿って制御指令７３が実行されるよう設定する（Ｓ８０２）。ステップＳ８０２の終了後、本フローチャートの処理を終了する。

［制御指令実行部の周期処理］
次に、Ｉ／Ｏプログラム８の制御指令実行部８０が制御指令７３を実行する手順について図７を参照して説明する。
図７は、制御指令実行部８０の周期処理の手順例を示すフローチャートである。

制御指令実行部８０は、一定の時間の周期内で制御指令の実行を行う。この時間の周期を「制御周期」と呼ぶ。制御周期は、制御指令７３によって設定される。まず、制御指令実行部８０は、現在時刻が制御周期の開始時刻になったかどうかを判定し（Ｓ８０３）、まだ制御周期の開始時刻になっていない場合には（Ｓ８０３のＮＯ）、制御周期の開始時刻の監視を継続する。

次いで、制御指令実行部８０は、制御周期を開始すべき時刻になったと判定した場合（Ｓ８０３のＹＥＳ）、制御周期用の打ち切りタイマの動作を開始する（Ｓ８０４）。制御指令実行部８０は、打ち切りタイマの計測時間から制御周期に相当する時間の経過を判断する。制御指令実行部８０は、指定された制御周期に相当する時間を超えても制御指令７３に基づく処理が完了しない場合、その間に実行されている制御指令７３の実行を打ち切る（中止）。

次いで、制御指令実行部８０は、制御指令７３を優先度の高い順に実行するループを開始する（Ｓ８０５）。次いで、制御指令実行部８０は、現在の状態が制御指令７３の実行タイミングの条件を満たしているかを判定し（Ｓ８０６）、実行タイミングの条件を満たしていない場合には（Ｓ８０６のＮＯ）、ステップＳ８１６へ進む。

次いで、制御指令実行部８０は、最大時間用の打ち切りタイマの動作を開始する（Ｓ８０７）。制御指令実行部８０は、指定された最大時間を超えても１つの制御指令７３に基づく処理が完了しない場合、そのときに実行されている制御指令７３の実行を打ち切る（中止）。制御指令実行部８０は、最大時間欄７３ｈが空欄の場合には打ち切りタイマを開始しない。次いで、制御指令実行部８０は、制御指令７３の処理種別（制御内容）を判断し（Ｓ８０８）、処理種別に沿ってステップＳ８０９～Ｓ８１４の処理を実行する。

ステップＳ８０９は、入力処理のためのステップである。制御指令実行部８０は、センサ４０の情報を取得し、取得した情報を他ステップが利用できるようメモリ２３の変数に格納する。
ステップＳ８１０は、計算処理のためのステップである。制御指令実行部８０は、計算処理を実行し、その結果を他ステップが利用できるようメモリ２３の変数に格納する。
ステップＳ８１１は、送信処理のためのステップである。制御指令実行部８０は、送信すべき情報を含む送信データ８３を生成し、送信処理部８２によりネットワーク５上の全ての制御プログラム７に送信させる。
ステップＳ８１２は、出力処理のためのステップである。制御指令実行部８０は、出力処理部８６を介して制御対象の機器４のアクチュエータ４１を操作する。
ステップＳ８１３は、設定処理のためのステップである。制御指令実行部８０は、制御周期の変更を行う。
ステップＳ８１４は、中止処理のためのステップである。制御指令実行部８０は、指令ＩＤで指定された制御指令７３を実行されないように削除する。

次いで、制御指令実行部８０は、最大時間用の打ち切りタイマを終了する（Ｓ８１５）。この間に、１つの制御指令７３の実行が終了する。制御指令実行部８０は、全ての制御指令７３についてステップＳ８０６～Ｓ８１５の処理を繰り返し実行した後、制御指令７３を優先度の高い順に実行するループを終了する（Ｓ８１６）。

次いで、制御指令実行部８０は、制御周期用の打ち切りタイマを終了する（Ｓ８１７）。そして、制御指令実行部８０は、ステップＳ８０３に戻り、ステップＳ８０３～Ｓ８１７の処理を繰り返し実行する。

図８に、制御指令実行部８０における制御指令７３の実行タイミングの例を示す。
図８では、制御指令実行部８０の周期処理フロー（図７）における制御指令７３の実行の様子を時間軸で表している。最大時間用の打ち切りタイマにより、各制御指令７３（制御指令１～４…）は最大時間を超えて実行されない。また、制御周期用の打ち切りタイマにより、各制御指令７３（制御指令１～４…）が制御周期を超えて実行され続けることもない。そのため、制御指令実行部８０は、制御指令７３を定時性高く実行することができる。

制御指令実行部８０は周期処理フローを常時実行し、制御周期毎に優先度順に全ての制御指令７３を順次実行するようにしたが、制御指令７３を定時性高く実行できる方法であればこれに限らない。リアルタイムＯＳ２４の機能により、制御指令７３の実行タイミングの条件が満たされると、割り込み処理によって制御指令７３の制御内容が実行されるようにしてもよい。また、実行中の制御指令７３をコンテキストスイッチによって中断し、より優先度の高い制御指令７３が実行されるようにしてもよい。コンテキストスイッチは、ＣＰＵの状態を保存したり復元したりする機能である。また、Ｉ／Ｏノード２のＣＰＵ２０が複数のコアを持つ場合には、制御指令の処理を並列に実行してもよい。

また、制御プログラム７とＩ／Ｏプログラム８を特定する情報としてＩＰアドレスとポート番号を用いているが、ネットワーク５上のプロトコルが用いるもので、ネットワーク５上のプログラムを一意に特定できる情報ならばこれに限らない。以降の説明においても同様である。

［制御プログラムを変更する手順］
再び図２を参照して、本実施形態に係る制御システム１００において、制御プログラム７を変更する手順を説明する。
制御システム１００の管理者３６は、制御ノード１の制御プログラムを変更するために、変更前の制御プログラム７を動作させた状態で、制御ノード１上で変更後の制御プログラム７Ａ－１を動作させる。そして、Ｉ／Ｏプログラム８の制御指令実行部８０が、制御プログラム７Ａ－１の判断実行部７０Ａ－１が生成した制御指令７３Ａ－１を処理するように切り替え、変更前の制御プログラム７を停止させる。

制御プログラムを切り替える間も、制御指令実行部８０は、記憶装置２１に格納された受信済みの制御指令７３の処理を継続するので、制御システム１００を停止させない状態で制御プログラムを変更できる。

変更前の制御プログラム７と同様に、変更後の制御プログラム７Ａ－１の判断実行部７０Ａ－１は、その判断に従い制御指令７３Ａ－１を生成し、送信処理部７２Ａ－１からＩ／Ｏプログラム８に送信する。Ｉ／Ｏプログラム８の受信処理部８１は、制御指令７３と制御指令７３Ａ－１を受け取り、指令切替部８４に渡す。

［指令切替部の制御指令処理］
次に、Ｉ／Ｏプログラム８の指令切替部８４による制御指令処理の手順について図９を参照して説明する。
図９は、指令切替部８４の制御指令処理の手順例を示すフローチャートである。

指令切替部８４は、受信処理部８１から制御指令７３を受け取ると（Ｓ８４１）、図９に示す制御指令処理フローを開始する。まず、指令切替部８４は、初めて制御指令７３を受け取ったかどうかを判定し（Ｓ８４２）、制御指令７３の受け取りが初めてではない場合には（Ｓ８４２のＮＯ）、ステップＳ８４４に進む。

次いで、指令切替部８４は、制御指令７３の受け取りが初めての場合には（Ｓ８４２のＹＥＳ）、ステップＳ８４３に進む。例えば、指令切替部８４は、制御システム１００の初回起動時に受け取った制御指令７３の送信元欄７３ａに記録されたＩＰアドレスとポート番号を、送信元リスト８７に追記する（Ｓ８４３）。

次いで、ステップＳ８４３の処理後又はステップＳ８４２でＮＯ判定の場合、指令切替部８４は、受け取った制御指令７３の送信元欄７３ａに記載の送信元（ＩＰアドレスとポート番号）が送信元リスト８７に含まれているかどうかを判定する（Ｓ８４４）。そして、指令切替部８４は、制御指令７３の送信元が送信元リスト８７に含まれていない場合には（Ｓ８４４のＮＯ）、ステップＳ８４６に進み、送信元が送信元リスト８７に含まれている場合には（Ｓ８４４のＹＥＳ）、ステップＳ８４５に進む。

次いで、指令切替部８４は、指令記憶エリア２１１の受信済みの制御指令７３を生成日時が新しい順に調べ、制御内容が同一の制御指令７３を既に受信しているかどうかを判定する（Ｓ８４５）。そして、指令切替部８４は、同一内容の制御指令７３を受信済みの場合には（Ｓ８４５のＹＥＳ）、ステップＳ８４６に進む。ステップＳ８４４でＮＯ判定の場合、又は、ステップＳ８４５でＹＥＳ判定の場合、指令切替部８４は受け取った制御指令７３を破棄する（Ｓ８４６）。

一方、指令切替部８４は、同一内容の制御指令７３を受信していない場合（Ｓ８４５のＮＯ）、当該制御指令７３を制御指令実行部８０に渡す（Ｓ８４７）。すなわち、指令切替部８４の切り替えによって、制御指令実行部８０は、最初に受信した制御指令７３の送信元である制御プログラム７からの制御指令のみを実行する。ステップＳ８４６又はＳ８４７の処理後、図９に示すフローチャートの処理を終了する。

［指令切替部の切替信号処理］
図１０は、指令切替部８４の切替信号処理の手順例を示すフローチャートである。
図２に示す制御システム１００の管理者３６は、制御プログラム７Ａ－１で生成された制御指令７３Ａ－１が処理されるようにするため、切替信号送信画面９０を操作する。ＨＭＩプログラム９は、切替信号送信画面９０に対する操作内容に基づき、切替信号を指令切替部８４に送信する。指令切替部８４は、ＨＭＩプログラム９から切替信号を受け取ると（Ｓ８４８）、図１０に示す切替信号処理フローを開始する。すなわち、指令切替部８４は、送信元リスト８７の送信元情報を、切替信号に含まれる送信元情報に変更する（Ｓ８４９）。ステップＳ８４９の処理後、図１０に示すフローチャートの処理を終了する。

図１１に、ＨＭＩプログラム９の切替信号送信画面９０の例を示す。
切替信号送信画面９０は、Ｉ／Ｏプログラム８のＩＰアドレスとポート番号を入力する領域９０ａ、切替先（変更後）の制御プログラム７Ａ－１のＩＰアドレスとポート番号を入力する領域９０ｂ、及び切替信号の送信を指示するボタン９０ｃを持つ。制御システム１００の管理者３６は、変更後の制御プログラム７Ａ－１をネットワーク５に接続して起動した後、切替信号送信画面９０を用いて切替信号を送信し、指令切替部８４が制御指令７３Ａ－１を処理するように設定する。

ここで、Ｉ／Ｏプログラム８の送信処理部８２は、ネットワーク５上の全ての制御プログラムに送信データ８３を送信する。そのため、変更前の制御プログラム７と変更後の制御プログラム７Ａ－１は同じ送信データ８３を受領し、制御プログラム７と制御プログラム７Ａ－１が機器４の状態を把握する。

上述例では、ＨＭＩプログラム９に切替信号送信画面９０を備えたが、制御ノード１やＩ／Ｏノード２に同様のユーザインタフェースを設け、制御プログラム７やＩ／Ｏプログラム８に切替信号送信画面９０を備えても構わない。また、制御システム１００の管理者３６が切替先の制御プログラム７Ａ－１を特定する情報を指令切替部８４に通知できればよく、ユーザインタフェースを介した操作に限定されない。例えば、切替先を特定する情報を格納した記憶装置をＩ／Ｏノード２に接続し、この情報を指令切替部８４が読み込むようにすることでも実現できる。

また、ステップＳ８４２及びＳ８４３において、指令切替部８４が、初回受け取り時の制御指令７３の送信元情報を送信元リスト８７に追加するようにしたが、この例に限らない。例えば、同ステップを排し、制御プログラム７の開始前に、ＨＭＩプログラム９を介して制御システム１００の管理者３６が指定するようにしてもよい。

また、変更後の制御プログラム７Ａ－１は、制御ノード１上で実行するようにしたが、ネットワーク５に接続されていれば、別の制御ノード上で実行してもよい。

さらに、説明のためにネットワーク５中にＩ／Ｏノード２が１台のみ存在する構成としたが、実際には複数のＩ／Ｏノードが存在しても構わない。また、１つの制御プログラムが複数のＩ／Ｏプログラムに制御指令を送信するようにしても構わない。

上述した第１の実施形態によれば、定時性を保ちながら、制御システムを停止させることなく、制御システム（上記例では制御ノード）で用いるリソースの変更が可能になる。ここで、リソースは、プログラムやノード（コンピュータ）である。

制御システムに用いるコンピュータは、その制御の内容から必要な性能を見積もって用意するが、正確に必要な性能を見積もることは難しい。そのため、制御システムの稼動後に性能が不足してしまう場合がある。また、制御システムに新たな機能を追加する際にも性能が不足しうる。上記のように構成された本実施形態によれば、都度必要なリソースを追加することができる、スケーラビリティの高い制御システムを構築することができる。

以上のとおり、第１の実施形態に係る制御システム（制御システム１００）は、少なくとも１台の制御ノード（制御ノード１）と、１台以上の制御対象機器（機器４）に接続され、ネットワークを介して制御ノードと通信可能な少なくとも１台のＩ／Ｏノード（Ｉ／Ｏノード２）と、から構成される。
上記制御ノードは、第１のオペレーティングシステム（汎用ＯＳ１４）と、少なくとも１個の制御プログラム（例えば制御プログラム７，７Ａ－１）を第１のオペレーティングシステム上で実行する第１のプロセッサ（ＣＰＵ１０）と、を備える。
上記Ｉ／Ｏノードは、第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステム（リアルタイムＯＳ２４）と、少なくとも１個のＩ／Ｏプログラム（例えばＩ／Ｏプログラム８）を第２のオペレーティングシステム上で実行する第２のプロセッサ（ＣＰＵ２０）と、を備える。
上記制御ノードの制御プログラムは、制御対象機器に関して予め設定された状態制御に基づいて制御指令（制御指令７３，７３Ａ－１）を生成し、当該制御指令をＩ／Ｏノードに送信する判断実行部（判断実行部７０，７０Ａ－１）を有する。
上記Ｉ／ＯノードのＩ／Ｏプログラムは、制御ノードから受信した制御指令を記憶部（記憶装置２１：指令記憶エリア２１１）に記憶し、その記憶部に記憶された制御指令に従って制御対象機器に関する処理を実行する制御指令実行部（制御指令実行部８０）を有する。

また、第１の実施形態に係る制御システム（制御システム１００）では、制御指令実行部は、記憶部に複数の制御指令が記憶されている場合には、複数の制御指令のうち、優先度の高い順に制御指令に規定された処理（入力処理、計算処理、送信処理、出力処理、設定処理、中止処理等）を制御周期に沿って実行し、制御周期内に制御指令の処理が完了しない場合には制御周期を超えた時点で制御指令の処理を中止するように構成されている。

また、第１の実施形態に係る制御システム（制御システム１００）では、Ｉ／Ｏプログラムは、複数の制御プログラムより受信した複数の制御指令の中から実行すべき制御指令を選択する指令切替部（指令切替部８４）、を備える。指令切替部は、複数の制御プログラムのうち切り替え後の制御プログラムが生成した制御指令を選択し、当該制御指令を制御指令実行部に送信するように構成されている。

＜２．第２の実施形態＞
第２の実施形態では、制御システムにおいて、制御ノードを複数台用いて冗長化し、また故障した制御ノードを交換した後に自動的に冗長化構成へと回復させる方法を説明する。

［構成管理プログラムの論理構成］
図１２は、第２の実施形態に係る制御ノード１Ｂに導入された構成管理プログラム１５の論理構成の例を示すブロック図である。
制御ノード１Ｂは、第１の実施形態で示した制御ノード１に構成管理プログラム１５を加えた構成である。構成管理プログラム１５も制御プログラム７と同様に、汎用ＯＳ１４上でＣＰＵ１０により実行される。構成管理プログラム１５は、マスタ選出部１５Ａ、プログラム配置部１５Ｂ、異常監視部１５Ｃ、プログラム登録部１５Ｄ、テーブル同期部１５Ｅ（情報同期部の例）、制御プログラム管理テーブル１５Ｆ、制御ノード管理テーブル１５Ｇを備える。

構成管理プログラム１５は、マスタ又はスレーブのいずれかの状態をとる。マスタ状態の構成管理プログラム１５は、一つのネットワーク５上に１個のみ存在し、スレーブ状態の構成管理プログラム１５に対し、制御に必要なデータを共有するために該当データを配信する役割を果たす。また、ＨＭＩプログラム９を通して、制御システム１００Ｂの管理者３６からの指示を受け付ける。

［制御システムの全体構成］
図１３は、第２の実施形態に係る制御システム１００Ｂの全体構成の例を示すブロック図である。
制御システム１００Ｂでは、２台の制御ノード１Ｂを制御ノード１Ｂ－１，１Ｂ－２として用いる。制御ノード１Ｂ－１，１Ｂ－２はそれぞれ、第１の実施形態と同様に、ネットワーク５を介してＩ／Ｏノード２及びＨＭＩノード３と接続している。

制御ノード１Ｂ－１は、構成管理プログラム１５Ｂ－１と、制御プログラム７Ｂ－１を備える。構成管理プログラム１５Ｂ－１は、マスタ選出部１５Ｂ－１Ａ、プログラム配置部１５Ｂ－１Ｂ、異常監視部１５Ｂ－１Ｃ、プログラム登録部１５Ｂ－１Ｄ、テーブル同期部１５Ｂ－１Ｅ（情報同期部の例）、制御プログラム管理テーブル１５Ｂ－１Ｆ、及び制御ノード管理テーブル１５Ｂ－１Ｇを備える。

制御ノード１Ｂ－２も同様に、構成管理プログラム１５Ｂ－２と、制御プログラム７Ｂ－２を備える。構成管理プログラム１５Ｂ－２は、マスタ選出部１５Ｂ－２Ａ、プログラム配置部１５Ｂ－２Ｂ、異常監視部１５Ｂ－２Ｃ、プログラム登録部１５Ｂ－２Ｄ、テーブル同期部１５Ｂ－２Ｅ（情報同期部の例）、制御プログラム管理テーブル１５Ｂ－２Ｆ、及び制御ノード管理テーブル１５Ｂ－２Ｇを備える。

制御ノード１Ｂ－３は、制御システム１００Ｂの冗長化構成を回復するために新たに接続される制御ノードの例である。制御ノード１Ｂ－３も、制御ノード１Ｂ－１及び１Ｂ－２と同様の構成である。すなわち、制御ノード１Ｂ－３は、構成管理プログラム１５Ｂ－３と、制御プログラム７Ｂ－３を備える。構成管理プログラム１５Ｂ－３は、マスタ選出部１５Ｂ－３Ａ、プログラム配置部１５Ｂ－３Ｂ、異常監視部１５Ｂ－３Ｃ、プログラム登録部１５Ｂ－３Ｄ、テーブル同期部１５Ｂ－３Ｅ（情報同期部の例）、制御プログラム管理テーブル１５Ｂ－３Ｆ、及び制御ノード管理テーブル１５Ｂ－３Ｇを備える。制御ノード１Ｂ－３を用いた冗長化構成の回復については、後述する。制御ノード１Ｂ－１，１Ｂ－２及び１Ｂ－３を区別しない場合には「制御ノード１Ｂ」と表記する。

Ｉ／Ｏノード２では、指令切替部８４を指令切替部８４Ｂに変更したＩ／Ｏプログラム８Ｂを実行する。また、ＨＭＩノード３では、ＨＭＩプログラム９に新たな画面を追加したＨＭＩプログラム９Ｂと、制御プログラム７Ｂを実行する。ＨＭＩプログラム９Ｂは、ＧＵＩによる操作画面である制御プログラム登録画面９１、及び制御ノード異常警告画面９２を持つ。

［制御プログラム管理テーブル、制御ノード管理テーブル］
図１４及び図１５に、構成管理プログラム１５の各テーブルの具体例を示している。
図１４は、構成管理プログラム１５が利用する制御プログラム管理テーブル１５Ｆの構造の例を示す。
図１５は、構成管理プログラム１５が利用する制御ノード管理テーブル１５Ｇの構造の例を示す。

制御プログラム管理テーブル１５Ｆは、プログラムＩＤ欄１５ｆ－１、保存先欄１５ｆ－２、種別欄１５ｆ－３、及び構成数欄１５ｆ－４を備える。
プログラムＩＤ欄１５ｆ－１は、制御プログラムを一意に特定するための制御プログラムＩＤを格納する。
保存先欄１５ｆ－２は、制御プログラムの保存先の場所を示す情報を格納する。
種別欄１５ｆ－３は、制御システム１００Ｂの実行方式を示す情報を格納する。
構成数欄１５ｆ－４は、制御プログラムＩＤで特定される制御プログラムを実行する際に使用する制御ノードの数を格納する。

制御ノード管理テーブル１５Ｇは、制御ノードＩＤ欄１５ｇ－１、マスタ／スレーブ欄１５ｇ－２、実行制御プログラムＩＤ欄１５ｇ－３、及び実行可否欄１５ｇ－４を備える。
制御ノードＩＤ欄１５ｇ－１は、制御ノードを一意に特定するための制御ノードＩＤを格納する。
マスタ／スレーブ欄１５ｇ－２は、構成管理プログラム（制御ノード）の状態がマスタとスレーブのいずれであるかを示す情報を格納する。マスタ状態の制御ノードは、１つのネットワークに１台のみである。なお、マスタ／スレーブの情報を、制御ノード管理テーブル１５Ｇではなく他で管理してもよい。
実行制御プログラムＩＤ欄１５ｇ－３は、実行している制御プログラムを一意に特定するための制御プログラムＩＤを格納する。
実行可否欄１５ｇ－４は、制御ノード上で制御プログラムを実行可能であるかを示す情報を格納する。

なお、制御ノードＩＤ欄１５ｇ－１に格納される制御ノードＩＤは、制御ノードに対してそれらの起動した順に１から割り当てられる。構成管理プログラム１５を実行開始した時点では、各テーブルは１レコードも情報を持たない。

［マスタ選出部の開始処理］
図１６は、マスタ選出部１５Ａの開始処理の手順例を示すフローチャートである。
制御システム１００Ｂの管理者３６は、ユーザインタフェース３５により制御ノード１Ｂ－１及び１Ｂ－２の動作を開始する。これに伴い構成管理プログラム１５Ｂ－１は、図１６に示すマスタ選出部１５Ｂ－１Ａの開始フローを開始する。

まず、制御ノード１Ｂ－１のマスタ選出部１５Ｂ－１Ａは、ネットワーク５上にマスタ状態の構成管理プログラム（制御ノード）が存在するかどうかを判定する（Ｓ１５０１）。マスタ選出部１５Ｂ－１Ａは、マスタ状態の構成管理プログラム１５が存在しない場合（Ｓ１５０１のＮＯ）にはステップＳ１５０２に進み、マスタ状態の構成管理プログラム１５が存在する場合（Ｓ１５０１のＹＥＳ）にはステップＳ１５０４に進む。

構成管理プログラム１５Ｂ－１が最初に起動したとする。この場合、マスタ選出部１５Ｂ－１ＡはステップＳ１５０１にてネットワーク５上にマスタ状態の構成管理プログラム１５が存在しないと判断し（Ｓ１５０１のＮＯ）、構成管理プログラム１５Ｂ－１をマスタに設定する（Ｓ１５０２）。そして、マスタ選出部１５Ｂ－１Ａは、テーブル同期部１５Ｂ－１Ｅにより制御ノード管理テーブル１５Ｂ－１Ｇに、自身の制御ノード１Ｂ－１の情報を追加する（Ｓ１５０３）。ステップＳ１５０３の処理後、ステップＳ１５０６に進む。

制御ノード１Ｂ－２のマスタ選出部１５Ｂ－２Ａは、起動時に既に構成管理プログラム１５Ｂ－１がマスタ状態のため、自身の構成管理プログラム１５Ｂ－２をスレーブに設定する（Ｓ１５０４）。そして、マスタ選出部１５Ｂ－２Ａは、制御ノード１Ｂ－１のマスタ選出部１５Ｂ－１Ａに制御ノード１Ｂ－２の情報を通知する（Ｓ１５０５）。

そして、ステップＳ１５０３又はＳ１５０５の終了後、構成管理プログラム１５Ｂ－１及び１５Ｂ－２の各々のマスタ選出部１５Ａは、異常監視部１５Ｃに処理を開始させる（Ｓ１５０６）。ステップＳ１５０６における異常監視部１５Ｃの処理は、後で図２５を用いて説明する。ステップＳ１５０６の処理後、本フローチャートの処理を終了する。

［マスタ選出部の制御ノード管理処理］
図１７は、マスタ選出部１５Ａの制御ノード管理処理の手順例を示すフローチャートである。
マスタ状態の制御ノード１Ｂ－１のマスタ選出部１５Ｂ－１Ａは、スレーブ状態の制御ノード１Ｂ－２から制御ノードの情報を受け取ると（Ｓ１５０７）、制御ノード管理フローを開始する。
まず、マスタ選出部１５Ｂ－１Ａは、受け取った制御ノード１Ｂ－２の情報を、テーブル同期部１５Ｂ－１Ｅにより制御ノード管理テーブル１５Ｂ－１Ｇに追加登録する（Ｓ１５０８）。
次いで、マスタ選出部１５Ｂ－１Ａは、プログラム配置部１５Ｂ－１Ｂに、図２１に示すプログラム配置フローを開始させる（Ｓ１５０９）。このとき制御プログラム管理テーブル１５Ｂ－１Ｆに制御プログラムの登録が無いため、制御プログラムの配置は行われない。ステップＳ１５０９の処理後、本フローチャートの処理を終了する。

［テーブル同期部の同期処理］
図１８は、テーブル同期部１５Ｅの同期処理の手順例を示すフローチャートである。
後述する図２１のステップＳ１５２３において、マスタ状態の構成管理プログラム１５Ｂ－１から制御ノード管理テーブル１５Ｂ－１Ｇの内容が、スレーブ状態の構成管理プログラム１５Ｂ－２のテーブル同期部１５Ｂ－２Ｅに通知される。テーブル同期部１５Ｂ－２Ｅは、制御ノード管理テーブル１５Ｂ－１Ｇの内容を受け取ると（Ｓ１５１０）、図１８に示す同期フローを開始する。すなわち、テーブル同期部１５Ｂ－２Ｅは、受け取った制御ノード管理テーブル１５Ｂ－１Ｇの内容を、制御ノード管理テーブル１５Ｂ－２Ｇに格納する（Ｓ１５１１）。ステップＳ１５１１の処理後、本フローチャートの処理を終了する。

テーブル同期部１５Ｂ－２Ｅは、受信した情報を全て制御ノード管理テーブル１５Ｂ－２Ｇに登録する。これにより、スレーブ状態の構成管理プログラム１５が複数ある場合に、マスタ状態の構成管理プログラム１５Ｂ－１上の制御ノード管理テーブル１５Ｂ－１Ｇの内容が、スレーブ状態の全ての制御ノード管理テーブル１５Ｇの内容と同一となる。マスタ、スレーブいずれの状態でも構成管理プログラム１５は、ステップＳ１５０４において後述する異常監視部１５Ｃの実行を開始する。

図１９に、制御プログラム登録画面９１の例を示す。
制御システム１００Ｂの管理者３６は、制御プログラム７Ｂを冗長構成で実行開始すべく、制御プログラム７Ｂの実行ファイルをＨＭＩノード３の記憶装置３１に配置するよう操作する。管理者３６は、ＨＭＩプログラム９Ｂの図１９に示す制御プログラム登録画面９１にて、制御プログラム７Ｂの実行ファイルの保存場所を制御プログラム保存先欄９１ａに入力する。さらに、管理者３６は、冗長化実施の要否、冗長化する場合の制御ノードの台数を冗長化構成設定欄９１ｂに入力して、制御プログラム登録ボタン９１ｃを押下する。

［プログラム登録部のプログラム登録処理］
図２０は、プログラム登録部１５Ｄのプログラム登録処理の手順例を示すフローチャートである。この処理は、制御プログラムを開始するための処理である。
制御プログラム登録画面９１は、入力された情報をマスタ状態の構成管理プログラム１５Ｂ－１におけるプログラム登録部１５Ｂ－１Ｄに通知する。プログラム登録部１５Ｂ－１Ｄは入力情報を受け取ると（Ｓ１５１２）、その入力情報を制御プログラム管理テーブル１５Ｂ－１Ｆに追加し（Ｓ１５１３）、プログラム配置部１５Ｂ－１Ｂにプログラム配置フローを開始させる（Ｓ１５１４）。

次いで、プログラム登録部１５Ｂ－１Ｄは、制御プログラム管理テーブル１５Ｂ－１Ｆの内容を構成管理プログラム１５Ｂ－２のテーブル同期部１５Ｂ－２Ｅに伝えて同期する（Ｓ１５１５）。これにより、スレーブ状態の構成管理プログラム１５が複数ある場合に、マスタ状態の制御プログラム管理テーブル１５Ｂ－１Ｆの内容が、全てのスレーブ状態の構成管理プログラム１５の制御プログラム管理テーブル１５Ｆの内容と一致する。

［プログラム配置部のプログラム配置処理］
図２１は、プログラム配置部１５Ｂのプログラム配置処理の手順例を示すフローチャートである。
マスタ状態の構成管理プログラム１５Ｂ－１におけるプログラム配置部１５Ｂ－１Ｂは、プログラム登録部１５Ｂ－１Ｄなどの指示により図２１に示すプログラム配置フローを開始する（Ｓ１５１７）。プログラム配置フローは、制御プログラム管理テーブル１５Ｂ－１Ｆに登録された制御プログラムごとにループ処理される。

プログラム配置部１５Ｂ－１Ｂは、制御プログラム管理テーブル１５Ｂ－１Ｆに記されている構成数を、制御ノード管理テーブル１５Ｂ－１Ｇの内容と比較する（Ｓ１５１８）。プログラム配置部１５Ｂ－１Ｂは、各制御プログラムを実行している制御ノードの数と上記構成数が一致する場合（Ｓ１５１８のＹＥＳ）、ステップＳ１５２２に進んでループを終了する。

一方、プログラム配置部１５Ｂ－１Ｂは、各制御プログラムを実行している制御ノードの数が上記構成数よりも少ない場合には（Ｓ１５１８のＮＯ）、制御ノード管理テーブル１５Ｂ－１Ｇを参照して制御プログラムを実行可能な制御ノードが存在するかを判定する（Ｓ１５１９）。プログラム配置部１５Ｂ－１Ｂは、制御プログラムを実行可能な制御ノードが存在しない場合（Ｓ１５１９のＮＯ）、ステップＳ１５２２に進む。

次いで、プログラム配置部１５Ｂ－１Ｂは、制御プログラムを実行可能な制御ノードが存在する場合には（Ｓ１５１９のＹＥＳ）、該当する制御ノードのプログラム配置部１５Ｂに通知してプログラム実行フローを開始させる（Ｓ１５２０）。例えば、制御ノード１Ｂ－１と制御ノード１Ｂ－２が制御プログラムを実行可能である場合、プログラム配置部１５Ｂ－１Ｂは、プログラム配置部１５Ｂ－１Ｂ自身でプログラム実行フローを開始するとともに、プログラム配置部１５Ｂ－２Ｂにプログラム実行フローを開始させる。

次いで、プログラム配置部１５Ｂ－１Ｂは、制御ノード管理テーブル１５Ｂ－１Ｇの実行制御プログラムＩＤ欄１５ｇ－３を更新する（Ｓ１５２１）。制御プログラム管理テーブル１５Ｂ－１Ｆのすべての制御プログラムについて処理が完了したらループ処理を終了する（Ｓ１５２２）。

次いで、プログラム配置部１５Ｂ－１Ｂは、制御ノード管理テーブル１５Ｂ－１Ｇの情報を他の構成管理プログラム１５のテーブル同期部１５Ｅに通知する。これにより、制御ノード管理テーブル１５Ｂ－１Ｇの情報が、他のすべての制御ノード管理テーブル１５Ｇの情報と同期される（Ｓ１５２３）。

［プログラム配置部のプログラム実行処理］
図２２は、プログラム配置部１５Ｂのプログラム実行処理の手順例を示すフローチャートである。
プログラム配置部１５Ｂ－１Ｂは、図２２に示すプログラム実行フローにおいて対象の制御プログラム７Ｂ－１の実行ファイルをＨＭＩノード３より取得し、制御プログラム７Ｂ－１として実行できる状態とする（Ｓ１５２５）。次いで、プログラム配置部１５Ｂ－１Ｂは、Ｉ／Ｏノード２のＩ／Ｏプログラム８Ｂにおける指令切替部８４Ｂに、制御プログラム７Ｂ－１のＩＰアドレスとポート番号を通知し（Ｓ１５２６）、制御プログラム７Ｂ－１を実行開始する（Ｓ１５２７）。プログラム配置部１５Ｂ－２Ｂも同じように動作する。ステップＳ１５２７が終了後、本フローチャートの処理を終了する。

［指令切替部の構成通知処理］
図２３は、指令切替部８４の構成通知処理の手順例を示すフローチャートである。
Ｉ／Ｏプログラム８Ｂの指令切替部８４Ｂは、構成管理プログラム１５Ｂ－１から制御プログラム７Ｂ－１の送信元情報を受け取ると（Ｓ１５２８）、構成通知フローを開始する。すなわち、指令切替部８４Ｂは、受け取った送信元情報を送信元リスト８７に追加する（Ｓ１５２９）。これにより、制御プログラム７Ｂ－１、７Ｂ－２の両方が出力する制御指令７３を処理できる状態となる。ステップＳ１５２９の処理後、本フローチャートの処理を終了する。

次に、図２４を参照し、同じ制御プログラム７Ｂを実行する制御ノード１Ｂ－１及び１Ｂ－２（図１３）によってどのように冗長化が実現されるかを説明する。
図２４は、第２の実施形態に係る制御指令の切替動作の例を示すブロック図である。

制御プログラム７Ｂ－１及び７Ｂ－２は、図５に示した判断実行部７０の処理フローに従い、どちらも制御指令７３Ｂ－１，７３Ｂ－２を送信する。制御プログラム７Ｂ－１及び７Ｂ－２の内容は同一であるから、制御指令７３Ｂ－１及び７３Ｂ－２の制御内容欄７３ｄには全く同じ内容が記される。

送信された制御指令７３Ｂ－１，７３Ｂ－２は、Ｉ／Ｏプログラム８Ｂの受信処理部８１が受信し、指令切替部８４Ｂにより図９の制御指令処理フローに従い処理される。構成管理プログラム１５Ｂ－１，１５Ｂ－２のプログラム配置部１５Ｂ－１Ｂ，１５Ｂ－２Ｂは、Ｉ／Ｏプログラム８Ｂの指令切替部８４に通知し、送信元リスト８７に制御プログラム７Ｂ－１，７Ｂ－２のＩＰアドレスとポート番号を追加している。これにより、図９のステップＳ８４４でＹＥＳ判定となり、制御指令７３Ｂ－１及び７３Ｂ－２はどちらもステップＳ８４６では破棄されない。

既述のとおりステップＳ８４５において、同じ制御指令が既に登録されていないか確認される。例えば、制御指令７３Ｂ－１が指令切替部８４に先着した場合、制御指令７３Ｂ－２はステップＳ８４５でＹＥＳ判定となりステップＳ８４６で破棄される。この処理により、常に先着した方の制御指令が制御指令実行部８０に渡される。制御ノード１Ｂ－１又は１Ｂ－２が故障した場合には、指令切替部８４Ｂによって残る片方の制御ノードが送信する制御指令７３Ｂ－１又は７３Ｂ－２が制御指令実行部８０に渡されることで制御システム１００Ｂの制御が継続される。

以降、制御ノード１Ｂ－１が故障した場合を例に、冗長化構成の回復を自動的に実現する方法について説明する。
既述のとおり、制御ノード１Ｂ－２上で実行されている制御プログラム７Ｂ－２により、制御そのものは継続されるが、制御ノード１Ｂ－２にも異常が発生すれば制御システム１００Ｂが停止してしまう。そのため、新たな制御ノード１Ｂ－３によって故障した制御ノードを置き換え、冗長化構成を回復する必要がある。各制御ノードの故障（異常）は、各構成管理プログラム１５に存在する異常監視部１５Ｃにより検出される。異常監視部１５Ｃの監視処理のフローチャートを図２５に示す。

図２５は、異常監視部１５Ｃの監視処理の手順例を示すフローチャートである。
異常監視部１５Ｃは、監視対象の制御ノードの状態を確認する（Ｓ１５３０）。例えば、異常監視部１５Ｃは、制御ノードＩＤ（例えば番号）が自身よりも１つ小さい制御ノードを対象に、異常が無いか監視する。制御ノードＩＤが“１”（最小）の制御ノードの異常監視部１５Ｃは、制御ノードＩＤが最大の制御ノードを監視する。すなわちネットワーク５上の各制御ノード１Ｂは、数珠繋ぎにお互いを監視する。図１３に示す制御システム１００Ｂの構成では、構成管理プログラム１５Ｂ－１，１５Ｂ－２が互いを監視し合う。監視方法の具体例としては、ｐｉｎｇ応答による応答の有無を確認する、監視対象の制御ノード１Ｂが制御指令を定期的に送信するか確認する、などの方法があげられるが、これに限定されない。

次いで、異常監視部１５Ｃは、監視対象の制御ノードの異常の有無を判定し（Ｓ１５３１）、制御ノードの異常がない場合（Ｓ１５３１のＮＯ）には異常の有無の判定処理を継続する。異常監視部１５Ｃは、監視対象の制御ノードの異常を検出すると（Ｓ１５３１のＹＥＳ）、まず異常が発生した制御ノードの構成管理プログラム１５がマスタ状態かどうかを判定する（Ｓ１５３２）。該当の構成管理プログラム１５がマスタ状態ではない場合（Ｓ１５３２のＮＯ）、ステップＳ１５３４に進む。

一方、異常監視部１５Ｃは、監視対象の制御ノードがマスタ状態であると判定すると（Ｓ１５３２のＹＥＳ）、異常が発生した制御ノードの構成管理プログラム１５がマスタ状態であるので、自身の構成管理プログラム１５Ｂ－２をマスタに設定する（Ｓ１５３３）。

次いで、異常監視部１５Ｃは、マスタ状態の構成管理プログラム１５の異常監視部１５Ｃ、及びＨＭＩプログラム９Ｂに対し、異常発生すなわち異常が発生した制御ノードの情報を通知する（Ｓ１５３４）。本実施形態では、マスタ状態の制御ノード１Ｂ－１の異常をスレーブ状態の異常監視部１５Ｂ－２Ｃが検出し、構成管理プログラム１５Ｂ－２をマスタ状態とし、自身に異常発生を通知する。異常監視部１５Ｃは、ステップＳ１５３４の処理後、ステップＳ１５３０に移行する。

図２６に、制御ノード異常警告画面の例を示す。
ＨＭＩプログラム９Ｂは制御ノードの異常発生の通知を受け、図２６に示す制御ノード異常警告画面９２を表示することで、制御ノードの異常を制御システム１００Ｂの管理者３６に通知する。図２６では、“制御ノード［１］停止！”というメッセージが表示されている。

［異常監視部の回復処理］
図２７は、異常監視部１５Ｃの回復処理の手順例を示すフローチャートである。
マスタ状態の構成管理プログラム１５の異常監視部１５Ｃは、制御ノード１Ｂの異常発生の通知を受けると（Ｓ１５３５）、図２７に示す回復フローを開始する。制御ノード１Ｂ－１に異常が発生した場合を例に説明する。

まず異常監視部１５Ｃは、異常が発生した制御ノード１Ｂ－１の情報を制御ノード管理テーブル１５Ｇから除外する（Ｓ１５３６）。そして、異常監視部１５Ｃは、プログラム配置部１５Ｂにより図２１に示したプログラム配置フローを開始させる（Ｓ１５３７）。仮に、この時点で実行可能な制御ノードがネットワーク５上に存在すれば、プログラム配置フローによって制御プログラム７Ｂの実行が開始され、冗長化された状態が回復する。

［新たに接続された制御ノードを用いて冗長化構成を回復する例］
次に、再度図１３を参照し、制御ノード１Ｂ－１が故障した状態で、新しい制御ノード１Ｂを制御ノード１Ｂ－３としてネットワーク５に接続した場合の動作を説明する。

制御ノード１Ｂ－３上で構成管理プログラム１５Ｂ－３が実行を開始し、マスタ選出部１５Ｂ－３Ａの開始フロー（図１６）に沿って構成管理プログラム１５Ｂ－３がスレーブ状態となる。そして、図１６のステップＳ１５０５において、マスタ選出部１５Ｂ－３Ａは、マスタ選出部１５Ｂ－２Ａに対し制御ノード１Ｂ－３がスレーブ状態で利用可能となったことを通知する。

これにより、制御ノード１Ｂ－２のマスタ選出部１５Ｂ－２Ａにおいて、図１７に示す制御ノード管理フローが開始される（Ｓ１５０７）。そして、マスタ選出部１５Ｂ－２Ａにより制御ノード管理テーブル１５Ｂ－２Ｇに制御ノード１Ｂ－３の情報が追加され（Ｓ１５０８）、プログラム配置フローが開始される（Ｓ１５０９）。新たに接続された制御ノード１Ｂ－３は、スレーブとして追加される。そして、プログラム配置フローにて、制御プログラム７Ｂが制御ノード１Ｂ－３上で実行開始され、制御プログラム７Ｂは再び冗長化した状態に回復する。

本実施形態における制御プログラム７Ｂ－１，７Ｂ－２及び７Ｂ－３は、他の制御プログラムの状態を管理する必要がない。冗長化しないで制御プログラムを実行する場合と同様に、制御指令７３を生成するプログラムを作成すればよいので、制御プログラムの開発は比較的容易である。

上述した第２の実施形態によれば、第１の実施形態の効果に加えて、リソース（コンピュータ、ソフトウェア）の冗長化が可能な制御システムを実現できるという効果がある。そのため、制御システムの可用性が向上する。

［第２の実施形態の第１の変形例］
次に、第２の実施形態の第１の変形例として、制御ノードに常用監視プログラムを導入した例について図２８を参照して説明する。
図２８は、第２の実施形態の第１の変形例に係る制御ノードに常用監視プログラムを導入した例を示すブロック図である。

ここまで説明した実施形態の構成では、制御指令７３Ｂ－１，７３Ｂ－２のうち、実行する制御指令を指令切替部８４Ｂで選別するようにしたが、この例に限らない。例えば、図２８に示すように制御ノード１Ｂ－４，１Ｂ－５にそれぞれ常用監視プログラム１６Ｂ－４，１６Ｂ－５を設けた構成としてもよい。

図２８に示す制御システム１００Ｂでは、常用監視プログラム１６Ｂ－４，１６Ｂ－５は、同一の制御プログラム７Ｂを実行している制御ノードがネットワーク５上に存在する場合に、待機系となる。そして、常用監視プログラム１６Ｂ－５は、制御ノード１Ｂ－４の制御プログラム７Ｂ－４が送信する制御指令７３Ｂ－４を受け取り、制御ノード１Ｂ－４が制御指令７３Ｂ－４を送信しているかを監視する。常用監視プログラム１６Ｂ－５は、制御ノード１Ｂ－４が制御指令を正常に送信しているかを確認する目的で制御指令７３Ｂ－４を受信するので、受け取った制御指令７３Ｂ－４をＩ／Ｏノード２へ送信しない。

ここで、常用監視プログラム１６Ｂ－５は、制御ノード１Ｂ－４が制御指令７３Ｂ－４を送信している場合には、制御ノード１Ｂ－５の制御プログラム７Ｂ－５が生成した制御指令７３Ｂ－５を破棄する。また、常用監視プログラム１６Ｂ－５は、一定時間が経過しても制御指令７３Ｂ－４が送信されない場合には制御ノード１Ｂ－４の故障と判断し、以降は制御指令７３Ｂ－５を常用監視プログラム１６Ｂ－５からＩ／Ｏノード２へ送信するようにしてもよい。同一のネットワーク５上に同一の制御プログラム７Ｂを実行している他の制御ノードが存在しない場合、常用監視プログラムは何もしない。

［第２の実施形態の第２の変形例］
図２９は、第２の実施形態の第２の変形例に係る１台の制御ノード上で複数の制御プログラムを動作させる例を示すブロック図である。

ここまで説明した実施形態の構成では、１台の制御ノード上で１種類の制御プログラムを実行するようにしたが、１台の制御ノード上で複数の制御プログラムを動作させてもよい。図２９に示すように、例えば、機器（１）を制御するＩ／Ｏノード２（Ｉ／Ｏノード（１））に、Ｉ／Ｏプログラム８ＢとしてＩ／Ｏプログラム（Ｘ）が格納され、機器（２）を制御するＩ／Ｏノード２Ｂ－１（Ｉ／Ｏノード（２））に、Ｉ／Ｏプログラム８ＢとしてＩ／Ｏプログラム（Ｙ）が格納されている。これに対し、２台のＩ／Ｏノード２，２Ｂ－１を制御する制御プログラム（Ｘ）７Ｂ－６，７Ｂ－９と、制御プログラム（Ｙ）７Ｂ－７，７Ｂ－８とを２台の制御ノード１Ｂ－６，１Ｂ－７上に適宜配置する。なお、Ｉ／Ｏノード２，２Ｂ－１の各々が機器（１），（２）を制御可能であってもよい。

一例として、制御ノード１Ｂ－６に、制御プログラム（Ｘ）７Ｂ－６と制御プログラム（Ｙ）７Ｂ－８、及び構成管理プログラム１５Ｂ－６が配置される。また、制御ノード１Ｂ－７に、制御プログラム（Ｙ）７Ｂ－７と制御プログラム（Ｘ）７Ｂ－９、及び構成管理プログラム１５Ｂ－７が配置される。このような構成にすると、制御ノード１Ｂ－６，１Ｂ－７のどちらかが故障しても制御は継続され、かつ、制御ノード数はＩ／Ｏノードと同じ台数でよい。

上述した図２４に示す構成では、指令切替部８４Ｂにより制御指令７３Ｂ－１，７３Ｂ－２のうち先着した制御指令を選択し、該当する制御指令を実行することで、冗長化のみを行っている。しかし、状況によって誤った判断をする可能性がある制御プログラムを用いる場合、１台の制御ノード上で複数の制御プログラムを動作させる構成を、信頼性の向上のために利用することができる。

すなわち、同一のネットワーク５上で同じ制御プログラムを３個以上実行するように制御システムを構成する。そして、この制御システムにおいて、同一タイミングで受信した、各制御プログラムが送信した制御指令の内容が全て一致しない場合、指令切替部８４Ｂは、制御内容が一致する数の多い制御指令のうち先着した制御指令を制御指令実行部８０に渡すようにする。

上述した第２の実施形態の第２の変形例によれば、信頼性と定時性を保ちながら、制御システムを停止させることなく、制御システム（上記例では制御ノード）で用いるリソースの変更が可能になる。また、リソース（コンピュータ、ソフトウェア）の冗長化が可能な制御システムを実現できる。そのため、制御システムの可用性が向上する。

以上のとおり、第２の実施形態に係る制御システム（制御システム１００Ｂ）は、Ｉ／Ｏプログラムは、複数の制御プログラムより受信した複数の制御指令の中から実行すべき制御指令を選択する指令切替部（指令切替部８４Ｂ）、を備え、制御プログラムを少なくとも２台の制御ノード（制御ノード１Ｂ－１～１Ｂ－３）上で実行する。指令切替部は、制御ノードから先着した制御指令のみを制御指令実行部（制御指令実行部８０）に送るように構成されている。

また、第２の実施形態に係る制御システム（制御システム１００Ｂ）では、Ｉ／Ｏプログラムは、複数の制御プログラムより受信した複数の制御指令の中から実行すべき制御指令を選択する指令切替部、を備え、制御プログラムを少なくとも３台の制御ノード（制御ノード１Ｂ－１～１Ｂ－３）上で実行する。指令切替部は、同一のタイミングで受信した制御指令の制御内容を比較し、異なる制御内容の制御指令が含まれる場合には、制御内容が一致する数の多い制御指令を選択して制御指令実行部に送るように構成されている。

また、第２の実施形態に係る制御システム（制御システム１００Ｂ）は、各制御ノードが構成管理プログラム（構成管理プログラム１５）を備える。
構成管理プログラムは、
複数の制御ノードからマスタ状態で動作する制御ノードを選出して自身の制御ノードをスレーブ状態に設定し、マスタ状態の制御ノードが存在しない場合には自身の制御ノードをマスタ状態に設定し、自身の制御ノードの情報を他の制御ノードに送信するマスタ選出部（マスタ選出部１５Ａ）と、
マスタ状態の制御ノードとスレーブ状態の制御ノードにおけるそれぞれの制御ノードの情報を、各制御ノードが備える制御ノード管理テーブルに同期する情報同期部（テーブル同期部１５Ｅ）と、
ユーザインタフェースで指定される制御プログラムの情報と冗長化構成設定の情報を受け取るプログラム登録部（プログラム登録部１５Ｄ）と、
冗長化構成が要求された場合に、制御ノード管理テーブルを参照して制御プログラムを冗長化構成で実行する２台以上の制御ノードを決定して実行させるプログラム配置部（プログラム配置部１５Ｂ）と、
制御ノードを監視して異常を検出する異常監視部（異常監視部１５Ｃ）と、を有する。
そして、制御システムは、マスタ状態の構成管理プログラムにおいて、異常監視部がスレーブ状態の制御ノードの異常の通知を受信した場合には、情報同期部が制御ノード管理テーブルから異常のある制御ノードを除外し、プログラム配置部が、制御ノード管理テーブルから実行可能な他の制御ノードを選択して制御プログラムを実行させるように構成されている。

また、第２の実施形態に係る制御システム（制御システム１００Ｂ）では、制御ノード管理テーブルに実行可能な他の制御ノードが存在しない場合に、ネットワーク上に新しい制御ノードが接続された際にはマスタ選出部が当該接続を検出して、新しい制御ノードの情報を制御ノード管理テーブルに追加し、プログラム配置部が、制御ノード管理テーブルに追加された制御ノードを、制御プログラムを冗長化構成で実行する制御ノードに決定するように構成されている。

また、第２の実施形態に係る制御システム（制御システム１００Ｂ）では、スレーブ状態の構成管理プログラムにおいて、異常監視部がマスタ状態の制御ノードの異常を検出した場合には、マスタ選出部が自身の制御ノードを新規にマスタ状態とするように構成されている。

＜３．第３の実施形態＞
次に、第３の実施形態として、制御プログラムの処理を、複数の制御ノードで分散して実行（スケールアウト）する方法を説明する。

図３０に、第１の実施形態に係る制御システムの制御プログラムとＩ／Ｏプログラムの実行タイミングの例を示す。図３０に示す例は、図２に示した制御システム１００の構成において、制御プログラム７とＩ／Ｏプログラム８がそれぞれの実行タイミングを時系列に示したものである。

時刻ｔ＝１において、制御指令７３を受けたＩ／Ｏプログラム８は送信データ８３を送信する。この送信データ８３は制御プログラム７が受信し、制御プログラム７は制御指令７３を生成する（Ｓ７１０１）。この制御プログラム７の一連の処理に、仮に最大２Ｔの時間がかかるとすると、時刻ｔ＝１の送信データ８３に基づく制御指令７３Ｃ－１は時刻ｔ＝４に実行される。時刻ｔ＝５においては、新しい制御指令７３が届いていないため、時刻ｔ＝４で受領した制御指令７３Ｃ－１（破線）に基づく制御が行われる。

さらに、時刻ｔ＝６において、時刻ｔ＝３の送信データ８３に基づいて生成（Ｓ７１０２）された制御指令７３Ｃ－１が実行される。時刻ｔ＝７においては、新しい制御指令７３が届いていない。すなわち、時刻ｔ＝５，７，…，２ｎ＋５（ｎ≧０）においては、時刻が４Ｔ分過去の制御指令７３に基づく制御しか行えない。もし、制御プログラム７の最大処理時間が２Ｔよりも長ければ、制御指令７３が送信される間隔も長くなってしまう。

図３１は、第３の実施形態に係る制御システムの全体構成の例を示すブロック図である。
短い遅延時間で制御を実現するために、図３１に示すように制御システム１００Ｃを構成する。第２の実施形態で用いた２台の制御ノード１Ｂをそれぞれ制御ノード１Ｃ－１，１Ｃ－２とし、同一の制御プログラム７を実行する。それぞれの制御プログラム７を、制御プログラム７Ｃ－１，７Ｃ－２と記す。図３１では、制御ノード１Ｃ－１に、制御プログラム７Ｃ－１及び構成管理プログラム１５Ｃ－１が配置され、制御ノード１Ｃ－２に、制御プログラム７Ｃ－２及び構成管理プログラム１５Ｃ－２が配置されている。Ｉ／Ｏノード２は、Ｉ／Ｏプログラム８Ｃを実行する。

図３２は、第３の実施形態に係る制御システムの制御プログラムとＩ／Ｏプログラムの実行タイミングの例を示す。
先に、制御システム１００Ｃの構成においてどのように制御が行われるのかを図３２を用いて説明する。時刻ｔ＝１で生成された送信データ８３Ｃは、制御プログラム７Ｃ－１によって処理され（Ｓ７１０１）、生成された制御指令７３Ｃ－１は時刻ｔ＝４においてＩ／Ｏプログラム８Ｃの制御指令実行部８０により実行される。次に、時刻ｔ＝２で生成された送信データ８３Ｃは、ステップＳ７１０１の処理の途中から制御プログラム７Ｃ－２によって処理され（Ｓ７１０２）、生成された制御指令７３Ｃ－２は時刻ｔ＝５において制御指令実行部８０により実行される。次に、時刻ｔ＝３で生成された送信データ８３Ｃは、ステップＳ７１０２の処理の途中で制御プログラム７Ｃ－１によって処理が開始される（Ｓ７１０３）。

このように、送信データ８３Ｃの処理を制御プログラム７Ｃ－１，７Ｃ－２が順番に行うことで（Ｓ７１０１～Ｓ７１０４）、制御指令実行部８０が常に最新の制御指令７３Ｃ－１，７３Ｃ－２を実行する。これにより、機器４の制御を少ない遅延時間で実行することができる。

制御プログラム７の実行に要する最大の時間が２Ｔより長い場合でも、求める遅延時間に合わせて、制御ノード１Ｂを３台、４台と追加していくことで遅延時間の短縮が図れる。これにより、例えば制御システム１００Ｃ全体の性能が後から不足した場合にも、都度制御ノード１Ｂを追加して性能向上を測ることが可能となる。また、本実施形態は、高性能なコンピュータへと置き換えるよりもコストが掛からず、効率のよい投資が可能となる。

Ｉ／Ｏプログラム８Ｃは、Ｉ／Ｏプログラム８の一部機能に追加変更を加えたもので、図３１に示すように、送信処理部８２Ｃ、指令切替部８４（図示略）、送信元リスト８７Ｃ（図３５参照）、スケールアウト構成テーブル８９（図３６参照）を持つ。また、本構成で用いるＨＭＩプログラム９Ｃは、スケールアウト構成設定画面９３を持つ。

制御システム１００Ｃの管理者３６は、まず第２の実施形態に示した方法で制御プログラム７Ｃを冗長構成で動作させる。次に、管理者３６は、スケールアウト構成設定画面９３を用いて、Ｉ／Ｏプログラム８Ｃの送信処理部８２Ｃに対し、スケールアウト構成を取るよう信号を送る。スケールアウト構成設定画面９３の具体例を図３３に示す。

図３３は、スケールアウト構成設定画面９３の例を示す。
スケールアウト構成設定画面９３は、Ｉ／Ｏプログラム設定欄９３ａ、スケールアウト開始ボタン９３ｂを備える。スケールアウト開始ボタン９３ｂが押下されることにより、スケールアウト開始信号がＩ／Ｏプログラム８の送信処理部８２Ｃに送信される。スケールアウト開始信号を受けた送信処理部８２Ｃは、送信データ８３Ｃを対象の制御ノードに設定された順序で送信（分散）する。

［送信処理部のスケールアウト構成開始処理］
図３４は、送信処理部８２Ｃのスケールアウト構成開始処理の手順例を示すフローチャートである。
送信処理部８２Ｃは、ＨＭＩプログラム９Ｃからスケールアウト開始信号を受信すると（Ｓ８２０１）、図３４に示すスケールアウト構成開始フローを開始する。まず、送信処理部８２Ｃは、図３５に示す送信元リスト８７Ｃを参照する（Ｓ８２０２）。

図３５は、送信元リスト８７Ｃの構造の例を示す。
送信元リスト８７Ｃは、少なくとも送信元欄８７ａ、順序欄８７ｂを備える。
送信元欄８７ａは、制御指令（例えば制御指令７３Ｃ１，７３Ｃ２）を生成する制御プログラム（例えば制御指令７３Ｃ１，７３Ｃ２）を特定するＩＰアドレスとポート番号を格納する。
順序欄８７ｂには、制御プログラムから指定される複数の制御プログラムの実行順序が格納されている。
例えば、制御指令７３の中に制御プログラムを特定する送信元及び順序の情報が含まれ、指令切替部８４がそれらの情報を用いて送信元リスト８７Ｃを作成することができる。

次いで、送信処理部８２Ｃは、送信元リスト８７Ｃの内容に基づいて、制御プログラムに送信データ８３Ｃを送信する順序を決定し（Ｓ８２０３）、スケールアウト構成テーブル８９を設定する（Ｓ８２０４）。ステップＳ８２０４の終了後、本フローチャートの処理を終了する。

図３６は、スケールアウト構成テーブル８９の構造の例を示す。
スケールアウト構成テーブル８９は、送信元リスト８７Ｃと同様に、少なくとも送信元欄８９ａ、順序欄８９ｂを備える。スケールアウト構成テーブル８９の各欄の情報は、送信元リスト８７Ｃから取得したものである。
送信元欄８９ａは、制御指令（例えば制御指令７３Ｃ１，７３Ｃ２）を生成する制御プログラム（例えば制御指令７３Ｃ１，７３Ｃ２）を特定するＩＰアドレスとポート番号を格納する。
順序欄８９ｂは、複数の制御プログラムの実行順序を格納する。順序欄８９ｂでは１から順に数値を設定しており、これにより送信データ８３Ｃを送信する順序が規定される。

［送信処理部の送信処理］
図３７は、送信処理部８２Ｃの送信処理の手順例を示すフローチャートである。
送信処理部８２Ｃは、制御指令実行部８０より送信データ８３Ｃを受け取る（Ｓ８２０５）、図３７に示す送信処理フローを開始する。

まず、送信処理部８２Ｃは、スケールアウト構成テーブル８９が存在するかどうかを確認する（Ｓ８２０６）。スケールアウト構成テーブル８９が設定されている場合（Ｓ８２０６のＹＥＳ）、送信処理部８２Ｃは、順序欄８９ｂの順序に沿って送信先（宛先の制御プログラム）を決定し、送信データを送信する（Ｓ８２０７）。すなわち、送信処理部８２Ｃは、例えばスケールアウト構成テーブル８９で順序“１”の制御プログラム７Ｃ－１宛てに送信データ８３Ｃを送信する。そして、次回送信処理フローを実行時には、順序“２”の制御プログラム７Ｃ－２宛てに送信データ８３Ｃを送信する。スケールアウト構成テーブル８９に記載のすべての制御プログラムに送信データを送信した場合は、順序“１”から再び送信する。

一方、スケールアウト構成テーブル８９が設定されていない場合（Ｓ８２０６のＮＯ）、送信処理部８２Ｃは、第１の実施形態又は第２の実施形態と同様に、ネットワーク５上の全ての制御プログラム宛てに送信データを送信する（Ｓ８２０８）。ステップＳ８２０７又はＳ８２０８の処理後、本フローチャートの処理を終了する。

制御ノード１は汎用ＯＳ１４上で制御プログラム７を実行するため、処理に要する最大時間を保証することはできない。よって実際上、最低限必要な数よりも余裕を持った数の制御ノード１を用いて制御システムを構成する必要がある。

以上のとおり、第３の実施形態に係る制御システム（制御システム１００Ｃ）は、Ｉ／ＯノードのＩ／Ｏプログラムが処理した結果を、少なくとも２台の制御ノードで順番に受信し、各制御ノードにおいて、制御プログラムの判断実行部が、受信した当該処理の結果に基づいて制御指令を生成し、その制御指令をＩ／Ｏノードに順次送信するように構成されている。

上述した第３の実施形態によれば、第１の実施形態の効果に加えて、スケールアウト（計算処理の分散）が可能な制御システムを実現できる。そのため、制御システムの性能を向上させることができる。

＜４．第４の実施形態＞
次に、Ｉ／Ｏノード２を２台以上用いて冗長化構成を実現する方法を示す。
図３８は、第４の実施形態に係る制御システムの全体構成の例を示すブロック図である。

本実施形態の制御システム１００Ｄは、２台のＩ／Ｏノード２をＩ／Ｏノード２Ｄ－１，２Ｄ－２として用いる。制御システム１００ＤではＩ／Ｏノード２Ｄ－１を常用系とし、付随して待機系としてＩ／Ｏノード２Ｄ－２を追加した構成をとる。普段はＩ／Ｏノード２Ｄ－１が機器４の制御を行い、Ｉ／Ｏノード２Ｄ－１が故障した際にはＩ／Ｏノード２Ｄ－２が代わりに機器４の制御を行う。

Ｉ／Ｏノード２Ｄ－１は、第１の実施形態と同様にケーブル６で機器４と接続している。また、Ｉ／Ｏノード２Ｄ－２もケーブル６Ｄ－２を用いて機器４と接続している。例えば、このケーブル６とケーブル６Ｄ－２は端子に並列に接続するなどによって、機器４が持つセンサ４０からの情報の取得及びアクチュエータ４１の操作を、Ｉ／Ｏノード２Ｄ－１とＩ／Ｏノード２Ｄ－２が共に同時に行えるように構成されている。

Ｉ／Ｏノード２Ｄ－１，２Ｄ－２上で動作するＩ／Ｏプログラム８Ｄ－１，８Ｄ－２は、それぞれ周期同期部８８Ｄ－１，８８Ｄ－２を備える。
周期同期部８８Ｄ－１はサーバとして動作し、ネットワーク５を介して制御指令実行部８０Ｄ－１が制御周期の基準として用いている時計の時刻情報を配信する。
周期同期部８８Ｄ－２はクライアントとして動作し、周期同期部８８Ｄ－１から受信した時刻を基に、制御指令実行部８０Ｄ－２の時計を調整することで制御周期のタイミングを一致させる。

周期同期部８８Ｄ－１，８８Ｄ－２の実現には、ＩＥＥＥ１５８８やＩＥＥＥ８０２．１ＡＳに規定されているプロトコルが利用可能であるが、機器４の制御に必要な精度でタイミングを一致させられるならばこれに限らない。また、周期同期部８８Ｄ－２は、周期同期部８８Ｄ－１から時刻を受信できないことをもって、Ｉ／Ｏノード２Ｄ－１が異常であると判断してもよい。

制御プログラム７Ｄは制御指令７３Ｄを生成し、制御指令７３ＤをＩ／Ｏプログラム８Ｄ－１，８Ｄ－２に送信する。Ｉ／Ｏプログラム８Ｄ－１，８Ｄ－２はどちらも同様に制御指令７３Ｄを処理する。Ｉ／Ｏプログラム８Ｄ－１，８Ｄ－２は制御周期が一致しており、同じ制御指令７３Ｄを処理しているので、機器４に対して同じタイミングで同じ入力処理及び出力処理を行う。Ｉ／Ｏノード２Ｄ－１に異常が発生した場合、Ｉ／Ｏプログラム８Ｄ－２により機器４の制御は継続する。

Ｉ／Ｏプログラム８Ｄ－２の送信処理部８２Ｄ－２は、送信データ８３Ｄ－２を送信するよう制御指令実行部８０Ｄ－２から通知を受けた場合、周期同期部８８Ｄ－２に確認してＩ／Ｏノード２Ｄ－１の異常の有無を判定する。送信処理部８２Ｄ－２は、Ｉ／Ｏノード２Ｄ－１が正常である場合には、送信データ８３Ｄ－２を送信せず破棄し、異常である場合には制御プログラム７Ｄへ送信データ８３Ｄ－２を送信する。これにより、Ｉ／Ｏプログラム８Ｄ－１，８Ｄ－２のどちらか一方のみから制御プログラム７Ｄにデータを送信する。

図３８において、Ｉ／Ｏプログラム８Ｄ－１に、受信処理部８１Ｄ－１、送信処理部８２Ｄ－１、入力処理部８５Ｄ－１、及び出力処理部８６Ｄ－１が設けられているが、これらの処理部は、第１の実施形態の対応する処理部と同様であるため、詳細な説明を省略する。また、Ｉ／Ｏプログラム８Ｄ－２に、受信処理部８１Ｄ－２、入力処理部８５Ｄ－２、及び出力処理部８６Ｄ－２が設けられているが、同様に詳細な説明を省略する。

３台以上のＩ／Ｏノードを用いる場合は、周期同期部によってＩ／Ｏノードの故障を検出するために、数珠繋ぎに制御周期の同期を行う。すなわち、１台の常用系のＩ／Ｏノードの周期同期部から制御周期の同期を行う１台の待機系Ｉ／Ｏノード、この待機系Ｉ／Ｏノードの周期同期部から制御周期の同期を行う他の待機系Ｉ／Ｏノード、と順繰りに接続するようにする。

上述の例では、Ｉ／Ｏプログラム８Ｄ－２は、Ｉ／Ｏプログラム８Ｄ－１が正常に機器４の制御を実行している間も並行して機器４の制御を行うようにしたが、この例に限らない。例えば、まずＩ／Ｏプログラム８Ｄ－２における出力処理部８６Ｄ－２を無効にして制御指令実行部８０Ｄ－２からの指示を全て無視するようにし、周期同期部８８Ｄ－２がＩ／Ｏノード２Ｄ－１の異常を検出した時点で出力処理部８６Ｄ－２を有効にして機器４に対する出力処理が行われるようにしてもよい。この場合、機器４のアクチュエータ４１が制御のための信号を複数受け付けできない場合にも対応可能である。

また、Ｉ／Ｏノードの冗長化のために本実施形態の構成を用いたが、制御の処理を分散するスケールアウト構成として用いることもできる。以下、本実施形態の構成を、スケールアウト構成として用いる場合の例を説明する。

［第４の実施形態の第１の変形例］
図３９は、１台のＩ／Ｏノードを用いる場合、及び第４の実施形態に係る２台のＩ／Ｏノード（常用、待機）を用いる場合のそれぞれのＩ／Ｏプログラムの実行タイミングの例を示す。

図３９は、１台のＩ／Ｏノード（１個のＩ／Ｏプログラム８）を用いる構成と、本構成を用いてスケールアウトを実施した場合の、２個のＩ／Ｏプログラムにおける処理の様子を時系列に示した例である。例えば、図示するように２種の入力処理１，２、出力処理１，２、送信処理１，２の合計６件の処理を行う際、２個のＩ／Ｏプログラム８Ｄ－１，８Ｄ－２を用いて３件ずつ処理することができる。これにより、制御周期を短縮することが可能になる。あるいは、より性能の低いＩ／Ｏノードにより、同等の制御周期での制御を行うことが可能になる。

［第４の実施形態の第１の変形例］
または、同一の処理を制御周期のタイミングをずらして実行することで、機器から見た実質的な制御周期を短縮するために本実施形態を用いることもできる。

図４０は、１台のＩ／Ｏノードを用いる場合、及び第４の実施形態に係る２台のＩ／Ｏノード（常用、待機）を用いて制御周期をずらした場合のそれぞれのＩ／Ｏプログラムの実行タイミングの例を示す。

図４０は、１台のＩ／Ｏノード（１個のＩ／Ｏプログラム８）を用いる構成と、本構成を用いて制御周期をずらしたスケールアウトを実施した際の、２個のＩ／Ｏプログラムにおける処理の様子を時系列に示した例である。図示するように、Ｉ／Ｏプログラム８Ｄ－３に対してＩ／Ｏプログラム８Ｄ－４の制御周期の開始タイミングを１／２Ｔ遅らせ、Ｉ／Ｏプログラム８Ｄ－３，８Ｄ－４を共に制御指令Ｔで動作させた場合を考える。どちらのＩ／Ｏプログラムも制御周期Ｔであるが、制御対象の機器４から見ると、同一処理が１／２Ｔ毎に行われるので、制御周期１／２Ｔで実行する場合と同等の制御が実現できる。

本構成を行う場合は、制御システムの実行開始時に、制御周期設定欄７３ｍ（図３）によって、開始タイミングをずらす設定処理を持つ制御指令をＩ／Ｏプログラム８Ｄ－４に送信する。さらに、Ｉ／Ｏプログラム８Ｄ－３，８Ｄ－４に同一の制御指令を送信する制御プログラム７Ｄを作成する。

図３８の例では、制御プログラム７Ｄはネットワーク５上に１個しか存在しないが、実際には複数存在してもよい。また、第１～第３の実施形態に示した構成と本実施形態を組み合わせて用いることもできる。

以上のとおり、第４の実施形態に係る制御システム（制御システム１００Ｄ）は、少なくとも２台のＩ／Ｏノードを、それぞれ情報の取得と操作が同時に可能なように制御対象機器と接続し、複数のＩ／Ｏノードのうち１台を常用系、他のＩ／Ｏノードを待機系として動作させる。

また、第４の実施形態に係る制御システム（制御システム１００Ｄ）では、少なくとも２台のＩ／Ｏノードを、各々の制御周期を同期させた状態で同一の制御対象機器と接続する。この制御システムは、制御プログラムの判断実行部が、実行すべき制御内容を少なくとも２個の制御指令に分割して記載し、制御対象機器に接続した各Ｉ／Ｏノードへ制御内容が分割された制御指令をそれぞれ送信するように構成されている。

また、第４の実施形態に係る制御システム（制御システム１００Ｄ）では、少なくとも２台のＩ／Ｏノードを、各々の制御周期を同期させた状態で同一の制御対象機器と接続する。この制御システムは、制御プログラムの判断実行部が、各Ｉ／ＯノードにおけるＩ／Ｏプログラムの制御指令実行部での開始タイミングを、制御周期の範囲内でＩ／Ｏプログラムごとにずらして設定した同一制御内容の制御指令を生成し、制御対象機器に接続した２台以上のＩ／Ｏノードへ制御指令をそれぞれ送信し、各Ｉ／ＯノードにおいてＩ／Ｏプログラムの制御指令実行部が、設定された開始タイミングで制御指令を実行するように構成されている。

なお、本発明は上述した各実施形態に限られるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、その他種々の応用例、変形例を取り得ることは勿論である。

例えば、上述した各実施形態は本発明を分かりやすく説明するために制御システムの構成を詳細かつ具体的に説明したものであり、必ずしも説明した全ての構成要素を備えるものに限定されない。また、ある実施形態の構成の一部を他の実施形態の構成要素に置き換えることが可能である。また、ある実施形態の構成に他の実施形態の構成要素を加えることも可能である。また、各実施形態の構成の一部について、他の構成要素の追加又は置換、削除をすることも可能である。

また、上記の各構成、機能、処理部等は、それらの一部又は全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。ハードウェアとして、ＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）などを用いてもよい。

また、各図に示したフローチャートにおいて、処理結果に影響を及ぼさない範囲で、複数の処理を並列的に実行したり、処理順序を変更したりしてもよい。

また、上述した実施形態において、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成要素が相互に接続されていると考えてもよい。

１…制御ノード、２…Ｉ／Ｏノード、３…ＨＭＩノード、４…制御対象機器、５…ネットワーク、６…ケーブル、７…制御プログラム、８…Ｉ／Ｏプログラム、９…ＨＭＩプログラム、１０…ＣＰＵ、１１…記憶装置、１２…ネットワークインタフェース、１３…メモリ、１４…汎用ＯＳ、１５…構成管理プログラム、１５Ａ…マスタ選出部、１５Ｂ…プログラム配置部、１５Ｃ…異常監視部、１５Ｄ…プログラム登録部、１５Ｅ…テーブル同期部、１５Ｆ…制御プログラム管理テーブル、１５Ｇ…制御ノード管理テーブル、２０…ＣＰＵ、２１…記憶装置、２２…ネットワークインタフェース、２３…メモリ、２４…リアルタイムＯＳ、２５…Ｉ／Ｏインタフェース、３０…ＣＰＵ、３１…記憶装置、３２…ネットワークインタフェース、３３…メモリ、３４…汎用ＯＳ、３５…ユーザインタフェース、４０…センサ、４１…アクチュエータ、７０…判断実行部、７１…受信処理部、７２…送信処理部、７３…制御指令、８０…制御指令実行部、８１…受信処理部、８２…送信処理部、８３…送信データ、８４…指令切替部、８５…入力処理部、８６…出力処理部、８７…送信元リスト、８８…時刻同期部、８９…スケールアウト構成テーブル、９０…切替信号送信画面、９１…制御プログラム登録画面、９２…制御ノード異常警告画面、９３…スケールアウト構成設定画面、１００，１００Ｂ，１００Ｃ，１００Ｄ…制御システム

Claims (13)

1. 少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して前記制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成され、
   前記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを前記第１のオペレーティングシステム上で実行する第１のプロセッサと、を備え、
   前記Ｉ／Ｏノードは、前記第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを前記第２のオペレーティングシステム上で実行する第２のプロセッサと、を備え、
   前記制御ノードの前記制御プログラムは、前記制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに送信する判断実行部を有し、
   前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムは、前記制御ノードから受信した前記制御指令を記憶部に記憶し、前記記憶部に記憶された前記制御指令に従って前記制御対象機器に関する処理を実行する制御指令実行部を有し、
   前記制御指令実行部は、前記記憶部に複数の前記制御指令が記憶されている場合には、複数の前記制御指令のうち、優先度の高い順に前記制御指令に規定された処理を制御周期に沿って実行し、前記制御周期内に前記制御指令の処理が完了しない場合には前記制御周期を超えた時点で前記制御指令の処理を中止する
   制御システム。
2. 少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して前記制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成され、
   前記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを前記第１のオペレーティングシステム上で実行する第１のプロセッサと、を備え、
   前記Ｉ／Ｏノードは、前記第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを前記第２のオペレーティングシステム上で実行する第２のプロセッサと、を備え、
   前記制御ノードの前記制御プログラムは、前記制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに送信する判断実行部を有し、
   前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムは、前記制御ノードから受信した前記制御指令を記憶部に記憶し、前記記憶部に記憶された前記制御指令に従って前記制御対象機器に関する処理を実行する制御指令実行部と、複数の前記制御プログラムより受信した複数の前記制御指令の中から実行すべき制御指令を選択する指令切替部と、を有し、
   前記指令切替部は、複数の前記制御プログラムのうち切り替え後の制御プログラムが生成した制御指令を選択し、当該制御指令を前記制御指令実行部に送信する
   制御システム。
3. 少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して前記制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成され、
   前記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを前記第１のオペレーティングシステム上で実行する第１のプロセッサと、を備え、
   前記Ｉ／Ｏノードは、前記第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを前記第２のオペレーティングシステム上で実行する第２のプロセッサと、を備え、
   前記制御ノードの前記制御プログラムは、前記制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに送信する判断実行部を有し、
   前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムは、前記制御ノードから受信した前記制御指令を記憶部に記憶し、前記記憶部に記憶された前記制御指令に従って前記制御対象機器に関する処理を実行する制御指令実行部と、複数の前記制御プログラムより受信した複数の前記制御指令の中から実行すべき制御指令を選択する指令切替部と、を有し、
   前記制御プログラムを少なくとも２台の前記制御ノード上で実行し、
   前記指令切替部は、前記制御ノードから先着した前記制御指令のみを前記制御指令実行部に送る
   制御システム。
4. 少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して前記制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成され、
   前記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを前記第１のオペレーティングシステム上で実行する第１のプロセッサと、を備え、
   前記Ｉ／Ｏノードは、前記第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを前記第２のオペレーティングシステム上で実行する第２のプロセッサと、を備え、
   前記制御ノードの前記制御プログラムは、前記制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに送信する判断実行部を有し、
   前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムは、前記制御ノードから受信した前記制御指令を記憶部に記憶し、前記記憶部に記憶された前記制御指令に従って前記制御対象機器に関する処理を実行する制御指令実行部と、複数の前記制御プログラムより受信した複数の前記制御指令の中から実行すべき制御指令を選択する指令切替部と、を有し、
   前記制御プログラムを少なくとも３台の前記制御ノード上で実行し、
   前記指令切替部は、同一のタイミングで受信した前記制御指令の制御内容を比較し、異なる制御内容の制御指令が含まれる場合には、制御内容が一致する数の多い前記制御指令を選択して前記制御指令実行部に送る
   制御システム。
5. 各制御ノードが構成管理プログラムを備え、
   前記構成管理プログラムは、
   複数の前記制御ノードからマスタ状態で動作する前記制御ノードを選出して自身の制御ノードをスレーブ状態に設定し、マスタ状態の前記制御ノードが存在しない場合には自身の制御ノードをマスタ状態に設定し、自身の制御ノードの情報を他の制御ノードに送信するマスタ選出部と、
   マスタ状態の前記制御ノードとスレーブ状態の前記制御ノードにおけるそれぞれの制御ノードの情報を、各制御ノードが備える制御ノード管理テーブルに同期する情報同期部と、
   ユーザインタフェースで指定される前記制御プログラムの情報と冗長化構成設定の情報を受け取るプログラム登録部と、
   冗長化構成が要求された場合に、前記制御ノード管理テーブルを参照して前記制御プログラムを冗長化構成で実行する２台以上の前記制御ノードを決定して実行させるプログラム配置部と、
   前記制御ノードを監視して異常を検出する異常監視部と、を有し、
   マスタ状態の前記構成管理プログラムにおいて、前記異常監視部がスレーブ状態の前記制御ノードの異常の通知を受信した場合には、前記情報同期部は前記制御ノード管理テーブルから異常のある前記制御ノードを除外し、
   前記プログラム配置部は、前記制御ノード管理テーブルから実行可能な他の制御ノードを選択して前記制御プログラムを実行させる
   請求項３に記載の制御システム。
6. 前記制御ノード管理テーブルに実行可能な他の制御ノードが存在しない場合に、
   前記ネットワーク上に新しい前記制御ノードが接続された際には前記マスタ選出部が前記接続を検出して、新しい前記制御ノードの情報を前記制御ノード管理テーブルに追加し、
   前記プログラム配置部は、前記制御ノード管理テーブルに追加された前記制御ノードを、前記制御プログラムを冗長化構成で実行する前記制御ノードに決定する
   請求項５に記載の制御システム。
7. スレーブ状態の前記構成管理プログラムにおいて、前記異常監視部がマスタ状態の前記制御ノードの異常を検出した場合には、前記マスタ選出部は自身の制御ノードを新規にマスタ状態とする
   請求項５又は６に記載の制御システム。
8. 前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムが処理した結果を、少なくとも２台の前記制御ノードで順番に受信し、
   各制御ノードにおいて、前記制御プログラムの前記判断実行部は、受信した前記処理の結果に基づいて前記制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに順次送信する
   請求項５に記載の制御システム。
9. 少なくとも２台の前記Ｉ／Ｏノードを、それぞれ情報の取得と操作が同時に可能なように前記制御対象機器と接続し、
   複数の前記Ｉ／Ｏノードのうち１台を常用系、他の前記Ｉ／Ｏノードを待機系として動作させる
   請求項３又は８に記載の制御システム。
10. 少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して前記制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成され、
    前記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを前記第１のオペレーティングシステム上で実行する第１のプロセッサと、を備え、
    前記Ｉ／Ｏノードは、前記第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを前記第２のオペレーティングシステム上で実行する第２のプロセッサと、を備え、
    前記制御ノードの前記制御プログラムは、前記制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに送信する判断実行部を有し、
    前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムは、前記制御ノードから受信した前記制御指令を記憶部に記憶し、前記記憶部に記憶された前記制御指令に従って前記制御対象機器に関する処理を実行する制御指令実行部を有し、
    少なくとも２台の前記Ｉ／Ｏノードを、制御周期を同期させた状態で同一の前記制御対象機器と接続し、
    前記制御プログラムの前記判断実行部は、実行すべき制御内容を少なくとも２個の前記制御指令に分割して記載し、前記制御対象機器に接続した各Ｉ／Ｏノードへ前記制御内容が分割された前記制御指令をそれぞれ送信する
    制御システム。
11. 少なくとも２台の前記Ｉ／Ｏノードを、制御周期を同期させた状態で同一の前記制御対象機器と接続し、
    前記制御プログラムの前記判断実行部は、実行すべき制御内容を少なくとも２個の前記制御指令に分割して記載し、前記制御対象機器に接続した各Ｉ／Ｏノードへ前記制御内容が分割された前記制御指令をそれぞれ送信する
    請求項３又は８に記載の制御システム。
12. 少なくとも１台の制御ノードと、１台以上の制御対象機器に接続され、ネットワークを介して前記制御ノードと通信可能な少なくとも１台のＩ／Ｏノードと、から構成され、
    前記制御ノードは、第１のオペレーティングシステムと、少なくとも１個の制御プログラムを前記第１のオペレーティングシステム上で実行する第１のプロセッサと、を備え、
    前記Ｉ／Ｏノードは、前記第１のオペレーティングシステムよりも定時性の高い第２のオペレーティングシステムと、少なくとも１個のＩ／Ｏプログラムを前記第２のオペレーティングシステム上で実行する第２のプロセッサと、を備え、
    前記制御ノードの前記制御プログラムは、前記制御対象機器に関して予め設定された状態制御に基づいて制御指令を生成し、前記制御指令を前記Ｉ／Ｏノードに送信する判断実行部を有し、
    前記Ｉ／Ｏノードの前記Ｉ／Ｏプログラムは、前記制御ノードから受信した前記制御指令を記憶部に記憶し、前記記憶部に記憶された前記制御指令に従って前記制御対象機器に関する処理を実行する制御指令実行部を有し、
    少なくとも２台の前記Ｉ／Ｏノードを、制御周期を同期させた状態で同一の前記制御対象機器と接続し、
    前記制御プログラムの前記判断実行部は、各Ｉ／Ｏノードにおける前記Ｉ／Ｏプログラムの前記制御指令実行部での開始タイミングを、前記制御周期の範囲内で前記Ｉ／Ｏプログラムごとにずらして設定した同一制御内容の前記制御指令を生成し、前記制御対象機器に接続した２台以上の前記Ｉ／Ｏノードへ前記制御指令をそれぞれ送信し、
    各Ｉ／Ｏノードにおいて、前記Ｉ／Ｏプログラムの前記制御指令実行部が、設定された前記開始タイミングで前記制御指令を実行する
    制御システム。
13. 少なくとも２台の前記Ｉ／Ｏノードを、制御周期を同期させた状態で同一の前記制御対象機器と接続し、
    前記制御プログラムの前記判断実行部は、各Ｉ／Ｏノードにおける前記Ｉ／Ｏプログラムの前記制御指令実行部での開始タイミングを、前記制御周期の範囲内で前記Ｉ／Ｏプログラムごとにずらして設定した同一制御内容の前記制御指令を生成し、前記制御対象機器に接続した２台以上の前記Ｉ／Ｏノードへ前記制御指令をそれぞれ送信し、
    各Ｉ／Ｏノードにおいて、前記Ｉ／Ｏプログラムの前記制御指令実行部が、設定された前記開始タイミングで前記制御指令を実行する
    請求項３又は８に記載の制御システム。
    

Images