JP7454919B2 - 情報記憶装置、ソフトウェア更新方法、および、冗長化システム - Google Patents

Description

この発明は、冗長化された情報記憶装置、当該情報記憶装置におけるソフトウェア更新方法、および、当該情報記憶装置を備える冗長化システムに関するものである。

従来、少なくとも２つの情報記憶装置の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムが知られている。
一方、冗長化システムにおいて、冗長化された装置間で効率的にソフトウェアの更新を行う技術としては、例えば、特許文献１に、冗長通信装置において、運用系通信装置が、自装置のソフトウェアデータが格納されるデータ記憶部のデータを待機系通信装置に送信し、待機系通信装置は、運用系通信装置から受信したソフトウェアデータを、自装置に書き込む技術が開示されている。

特開２０１６－１４３１８７号公報

上述したような冗長化システムでは、管理者等は、バージョンの不一致によるシステムの停止またはデータ破損等の不具合が発生しないよう、冗長化させる情報記憶装置のソフトウェアのバージョンを一致させる作業が必要である。その際、管理者等は、冗長化させる情報記憶装置において、ソフトウェアのバージョンが下がることがないよう、ソフトウェアのバージョンを一致させる必要がある。ソフトウェアのバージョンが下がると、情報記憶装置が有する機能がデグレードするおそれがあるためである。このように、管理者等は、情報記憶装置が有する機能に不具合が発生することを防ぎつつ情報記憶装置を冗長化させるために労力を要するという課題があった。
上述の特許文献１に開示されているような技術では、運用系通信装置が、自装置と待機系通信装置のソフトウェアデータの内容を一致させるようにはなっているが、ソフトウェアの更新を行う際、運用系通信装置および待機系通信装置のソフトウェアデータのバージョンは不問としている。従って、待機系通信装置のソフトウェアデータのバージョンの方が運用系通信装置のソフトウェアデータのバージョンより進んでいる場合であっても、運用系通信装置のソフトウェアデータのバージョンに従って、待機系通信装置のソフトウェアデータが更新される。
そのため、依然として、上述したような冗長化システムにおいて、管理者等が、情報記憶装置が有する機能に不具合が発生することを防ぎつつ情報記憶装置を冗長化させるために労力を要するという、上述の課題を解消しきれていない。

この発明は、上記のような課題を解決するためになされたもので、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置であって、情報記憶装置が有する機能に不具合が発生することを防いで情報記憶装置を冗長化させることができる情報記憶装置を提供することを目的とする。

この発明に係る情報記憶装置は、ネットワークに接続された、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置であって、自装置で適用されているソフトウェアのバージョンに関するバージョン情報、および、当該ソフトウェアのバージョンと対応付けられたソフトウェアパッケージを記憶する記憶部と、冗長化のペアとなる相手の情報記憶装置から、相手の情報記憶装置で適用されているソフトウェアのバージョンに関するバージョン情報を取得するバージョン確認部と、バージョン確認部が取得したバージョン情報および記憶部に記憶されたバージョン情報に基づき、自装置で適用されているソフトウェアのバージョンと、相手の情報記憶装置で適用されているソフトウェアのバージョンを比較するバージョン判定部と、自装置が運用系の情報記憶装置として動作し、かつ、バージョン判定部が、自装置で適用されているソフトウェアのバージョンの方が、待機系の情報記憶装置として動作している相手の情報記憶装置で適用されているソフトウェアのバージョンよりも進んでいると判定した場合、相手の情報記憶装置に対して、ソフトウェアパッケージを送信するパッケージ送信部と、バージョン判定部が、待機系の情報記憶装置として動作している相手の情報記憶装置で適用されているソフトウェアのバージョンの方が、自装置で適用されているソフトウェアのバージョンよりも進んでいると判定した場合、自装置を冗長化の機能が動作しないオフライン状態とする制御部と、制御部が自装置をオフライン状態とすると、運用系の情報記憶装置に切り替わった相手の情報記憶装置から、相手の情報記憶装置で適用されているソフトウェアのバージョンと対応付けられたソフトウェアパッケージを受信するパッケージ受信部と、パッケージ受信部がソフトウェアパッケージを受信した場合、当該ソフトウェアパッケージをインストールするバージョンアップ部と、バージョンアップ部がソフトウェアパッケージのインストールを完了すると、自装置を待機系の情報記憶装置として動作させるように切り替える切替制御部を備えたものである。

この発明によれば、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置において、情報記憶装置が有する機能に不具合が発生することを防いで情報記憶装置を冗長化させることができる。

実施の形態１に係る施設監視システムの構成例を示す図である。 実施の形態１に係るコントローラの構成例を示すブロック図である。 実施の形態１に係る施設監視システムにおける、運用系のコントローラとしての第１コントローラの動作を説明するためのフローチャートである。 実施の形態１に係る施設監視システムにおける、待機系のコントローラとしての第２コントローラの動作を説明するためのフローチャートである。

以下、この発明の実施の形態について図面を参照しながら詳細に説明する。
実施の形態１．
以下の実施の形態１では、一例として、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムが、施設内に設置された機器を監視または制御する施設監視システムに適用されているものとする。
図１は、実施の形態１に係る施設監視システム１０００の構成例を示す図である。
実施の形態１に係る施設監視システム１０００は、第１コントローラ１１と、第２コントローラ１２を備える。第１コントローラ１１と、第２コントローラ１２とは、ネットワークを介して接続される。以下の説明において、第１コントローラ１１および第２コントローラ１２を、まとめて、単に「コントローラ１」ともいうものとする。
なお、図１では記載を省略しているが、コントローラ１は、ネットワークを介して、下位コントローラと接続される。また、コントローラ１は、下位コントローラを介して、施設内に設置された機器と接続される。機器とは、センサ、照明、スイッチ、モータ等である。図１において、機器の図示は省略している。なお、施設監視システム１０００は、下位コントローラを備えないようにすることもできる。この場合、コントローラ１は、機器と接続される。

コントローラ１は、予め設定された周期で、機器から、当該機器が取得する計測値を収集する。実施の形態１では、コントローラ１が監視または制御する機器を監視ポイントといい、当該監視ポイントが取得する計測値を、監視ポイントデータという。
コントローラ１は、下位コントローラを介して、あるいは、監視ポイントから直接、監視ポイントデータを収集する。コントローラ１は、収集した監視ポイントデータを記憶する。
コントローラ１は、記憶した監視ポイントデータを用いてアプリケーションを実行する機能を有している。管理者等は、コントローラ１が、監視ポイントデータを用いてアプリケーションを実行した結果を参照等することで、監視ポイントの監視または制御を行う。
具体的には、管理者等は、監視用端末（図示省略）を操作し、当該監視用端末から、コントローラ１に対して、監視ポイントデータを用いてアプリケーションを実行した結果を表示させる指示を送信する。コントローラ１は、監視用端末から送信された指示に基づき、上記結果に関する情報を、表示装置（図示省略）に表示させる。管理者等は、表示装置に表示された情報を参照等することで、監視ポイントの監視または制御を行う。監視用端末および表示装置は、コントローラ１と、ネットワークを介して接続されている。監視用端末は、例えば、管理者等が施設監視のために用いるＰＣである。表示装置は、例えば、ディスプレイである。

施設監視システム１０００において、第１コントローラ１１または第２コントローラ１２のいずれか一方は、運用系のコントローラとして動作し、他方は、待機系のコントローラとして動作する。すなわち、第１コントローラ１１および第２コントローラ１２は、上述の情報記憶装置に相当する。
なお、監視ポイントからの、監視ポイントデータの収集は、運用系のコントローラとして動作するコントローラ１が行う。
また、第１コントローラ１１と第２コントローラ１２とは、どちらが運用系のコントローラ１となるかを切り替える。
第１コントローラ１１と第２コントローラ１２とは、例えば、互いに生存確認を行い、当該生存確認を行った結果に応じて、どちらが運用系のコントローラ１となるかを切り替える。

具体的には、第１コントローラ１１と第２コントローラ１２は、以下のようにして、互いに生存確認を行った結果に応じて、どちらが運用系のコントローラ１となるかを切り替える。
実施の形態１において、第１コントローラ１１および第２コントローラ１２のうち、どちらのコントローラ１が運用系のコントローラとなるかは、例えば、先に起動したかどうかによって決定される。具体的には、先に起動したほうのコントローラ１が、運用系のコントローラとなる。コントローラ１は、起動すると、相手のコントローラ１に対して、生存確認コマンドを送信する。相手のコントローラ１では、生存確認コマンドを受信すると、自身が起動している旨の応答コマンドを、生存確認コマンドを送信したコントローラ１に対して送信する。相手のコントローラ１が起動していない場合は、応答コマンドは送信されない。生存確認コマンドを送信したコントローラ１では、相手のコントローラ１から応答コマンドが送信されない場合、自装置の方が先に起動したと判断し、自装置は運用系のコントローラ１として起動する。

一方、コントローラ１は、起動時に相手のコントローラ１に対して送信した生存確認コマンドに対する応答コマンドを受信すれば、既に相手のコントローラ１が起動しており、自装置の方が後に起動したと判断し、自装置は待機系のコントローラ１として起動する。
生存確認コマンドの送信、または、応答コマンドの送信の詳細については、後述する。
なお、第１コントローラ１１からみて、第２コントローラ１２が相手のコントローラ１であり、第２コントローラ１２からみて、第１コントローラ１１が相手のコントローラ１である。施設監視システム１０００において、冗長化のペアとなるコントローラ１は、予め決められている。

また、実施の形態１において、例えば、管理者等が、第１コントローラ１１と第２コントローラ１２のうち、どちらのコントローラ１を運用系のコントローラ１とするかを適宜決定することもできる。この場合、管理者等は、運用系のコントローラを先に起動させるようにする。

以上で説明したような実施の形態１に係る施設監視システム１０００を構成する際、第１コントローラ１１および第２コントローラ１２は、互いのコントローラ１で適用されているソフトウェアのバージョンを一致させる。施設監視システム１０００を構成する際とは、例えば、施設監視システム１０００の立ち上げ時、あるいは、既に稼働していた施設監視システムにおいて、例えば、コントローラ１に何らかの障害等が発生し、管理者等が、障害等が発生したコントローラ１を代替機に交換する等して当該施設監視システム１０００の再構成を行う際をいう。
第１コントローラ１１および第２コントローラ１２は、ソフトウェアのバージョンの低い方が、ソフトウェアのバージョンが高い方に合わせて、ソフトウェアのバージョンアップを行うことで、互いのコントローラ１で適用されているソフトウェアのバージョンを一致させる。コントローラ１が、ソフトウェアのバージョンアップを行う際は、記憶している監視ポイントデータ等のコンバートを、合わせて行う。コントローラ１における、ソフトウェアのバージョンアップ、および、監視ポイントデータ等のコンバートの詳細については、後述する。
また、第１コントローラ１１および第２コントローラ１２は、ソフトウェアのバージョンが高いほうに合わせてソフトウェアのバージョンを一致させる際、待機系のコントローラ１として動作しているコントローラ１の方がソフトウェアのバージョンが高い場合は、コントローラ１の切替を行う。ソフトウェアのバージョンアップの際のコントローラ１の切替の詳細については、後述する。

図２は、実施の形態１に係るコントローラ１の構成例を示すブロック図である。
コントローラ１は、ソフトウェアに基づくＣＰＵを用いたプログラム処理によって実行される。また、コントローラ１は、他のコントローラ１または機器との通信を行う、入力インタフェース装置（図示省略）、および出力インタフェース装置（図示省略）を備える。
図２において、第１コントローラ１１が運用系のコントローラであり、第２コントローラ１２が待機系のコントローラであるものとしている。なお、図２においては、説明の簡単のため、第１コントローラ１１および第２コントローラ１２について、それぞれ、運用系のコントローラ１である場合に機能する構成部、および、待機系のコントローラ１である場合に機能する構成部のみを示すようにしているが、第１コントローラ１１と第２コントローラ１２とは、基本的に同じ構成を備える。すなわち、第１コントローラ１１は、図２に示すような第２コントローラ１２の構成部も備えており、第２コントローラ１２は、図２に示すような第１コントローラ１１の構成部も備えている。以下の実施の形態１では、第１コントローラ１１は運用系のコントローラ、第２コントローラ１２は待機系のコントローラであるものとして説明する。

図２に示すように、第１コントローラ１１は、第１生存確認部１１１、第１バージョン確認部１１２、第１バージョン判定部１１３、第１パッケージ送信部１１４、第１記憶部１１５、第１制御部１１６、冗長化データ送信部１１７、第１パッケージ受信部１１８、および、第１バージョンアップ部１１９を備える。第１制御部１１６は、第１切替制御部１１６１を備える。
第２コントローラ１２は、第２生存確認部１２１、第２バージョン確認部１２２、第２バージョン判定部１２３、第２記憶部１２５、第２制御部１２６、冗長化データ受信部１２７、第２パッケージ受信部１２８、および、第２バージョンアップ部１２９を備える。第２制御部１２６は、第２切替制御部１２６１を備える。

まず、第１コントローラ１１の構成について説明する。
第１生存確認部１１１は、第２コントローラ１２の生存確認を行う。具体的には、第１生存確認部１１１は、第２コントローラ１２に対して、生存確認コマンドを送信し、第２コントローラ１２から応答コマンドを受信する。第１生存確認部１１１は、応答コマンドを受信すると、第２コントローラ１２が生存していると判定し、当該応答コマンドを受信した旨の情報を、第１バージョン確認部１１２に出力する。
また、第１生存確認部１１１は、第２コントローラ１２から送信された生存確認コマンドを受信し、第２コントローラ１２に応答コマンドを送信する。

より詳細には、第１生存確認部１１１は、生存確認コマンド送信部（図示省略）、応答受信部（図示省略）、生存確認コマンド受信部（図示省略）、および、応答送信部（図示省略）を備える。
生存確認コマンド送信部は、第２コントローラ１２に対して、生存確認コマンドを送信する。生存確認コマンド送信部は、予め設定された周期で、生存確認コマンドを送信する。
応答受信部は、第２コントローラ１２から、生存確認コマンド送信部が送信した生存確認コマンドに応答する応答コマンドを受信する。応答受信部は、応答コマンドを受信すると、当該応答コマンドを受信した旨の情報を、第１バージョン確認部１１２に出力する。
生存確認コマンド受信部は、第２コントローラ１２から送信される生存確認コマンドを受信する。生存確認コマンド受信部は、生存確認コマンドを受信すると、当該生存確認コマンドを受信した旨の情報を応答送信部に出力する。
応答送信部は、生存確認コマンド受信部が受信した生存確認コマンドに応答する応答コマンドを、第２コントローラ１２に送信する。
このように、第１生存確認部１１１は、生存確認コマンドの送受信、および、応答コマンドの送受信を行うことで、第２コントローラ１２と、互いに生存確認を行う。

第１バージョン確認部１１２は、第１生存確認部１１１から応答コマンドを受信した旨の情報が出力されると、第２コントローラ１２から、当該第２コントローラ１２で適用されているソフトウェアのバージョン（以下「第２バージョン」という。）に関する情報（以下「第２バージョン情報」という。）を取得する。具体的には、第１バージョン確認部１１２は、第２コントローラ１２に対して、第２バージョンを確認するためのバージョン確認情報を送信し、当該第２コントローラ１２から、バージョン確認情報に対する応答情報を受信する。

より詳細には、第１バージョン確認部１１２は、バージョン確認情報送信部（図示省略）、バージョン応答受信部（図示省略）、バージョン確認情報受信部（図示省略）、バージョン応答送信部（図示省略）を備える。
バージョン確認情報送信部は、第２コントローラ１２に対して、バージョン確認情報を送信する。
バージョン応答受信部は、第２コントローラ１２から、バージョン確認情報送信部が送信したバージョン確認情報に対する応答情報を受信する。第２コントローラ１２から送信される応答情報には、少なくとも、第２バージョン情報が含まれる。
第１バージョン確認部１１２は、バージョン応答受信部が、第２コントローラ１２から応答情報を受信することで、第２バージョン情報を取得し、第２コントローラ１２で適用されているソフトウェアのバージョンを確認する。
バージョン応答受信部は、バージョン確認情報に対する応答情報を受信すると、受信した応答情報を、第１バージョン判定部１１３に出力する。

第１バージョン判定部１１３は、第１バージョン確認部が取得した第２バージョン情報、および、第１記憶部１１５に記憶されている、第１コントローラ１１で適用されているソフトウェアのバージョンに関する情報（以下「第１バージョン情報」という。）に基づき、自装置で適用されているソフトウェアのバージョン、言い換えれば、第１コントローラ１１で適用されているソフトウェアのバージョンと、第２バージョンとを比較するバージョン判定を行う。以下、第１コントローラ１１で適用されているソフトウェアのバージョンを、「第１バージョン」ともいうものとする。
そして、第１バージョン判定部１１３は、第１バージョンと第２バージョンの、いずれのバージョンの方が、バージョンが進んでいるかを判定する。
なお、第１バージョン判定部１１３は、例えば、ソフトウェアのバージョンが、更新された順に時系列で管理されているバージョン管理情報に基づき、第１バージョンまたは第２バージョンの、いずれのバージョンの方が進んでいるかを判定するようにすればよい。バージョン管理情報は、例えば、コントローラ１が参照可能な場所に記憶されている。

第１バージョン判定部１１３は、第１バージョンの方が第２バージョンよりも進んでいると判定した場合、第１バージョンの方が、第２バージョンよりも進んでいる旨の情報を、第１制御部１１６に出力する。第１バージョン判定部１１３は、第１バージョンの方が第２バージョンよりも進んでいる旨の情報と合わせて、第１バージョン情報、および、第２バージョン情報を、第１制御部１１６に出力する。

なお、第１バージョンが、第２バージョンよりも、２世代以上進んでいることもある。
この場合、第１バージョン判定部１１３は、第１バージョンの方が第２バージョンよりも進んでおり、かつ、第２バージョンと第１バージョンとの間には２世代以上のバージョンの差があると判定し、差分のバージョンに関する情報を、第１制御部１１６に出力するようにする。
具体例を挙げて説明すると、例えば、第１バージョンが「バージョン１．０．００３」であり、第２バージョンが「バージョン１．０．００１」であったとする。なお、コントローラ１で適用されるソフトウェアのバージョンは、「バージョン１．０．００１」→「バージョン１．０．００２」→「バージョン１．０．００３」の順で、更新されたものとする。
そうすると、第１バージョンは、第２バージョンよりも２世代分、バージョンが進んでいる。具体的には、第１バージョンと、第２バージョンでは、「バージョン１．０．００２」および「バージョン１．０．００３」の２世代分の差分がある。
この場合、第１バージョン判定部１１３は、「バージョン１．０．００２」および「バージョン１．０．００３」の２世代のバージョンに関する情報を、第１制御部１１６に出力するようにする。

一方、第１バージョン判定部１１３は、第２バージョンの方が、第１バージョンよりも進んでいると判定した場合、第２バージョンの方が、第１バージョンよりも進んでいる旨の情報を、第１制御部１１６に送信する。

なお、第１バージョン判定部１１３は、バージョン判定の結果、第２バージョンが、第１バージョンと同じであると判定した場合は、第１制御部１１６へ、第１バージョンの方が第２バージョンよりも進んでいる旨の情報の出力も、第２バージョンの方が第１バージョンよりも進んでいる旨の情報の出力も、行わない。

第１パッケージ送信部１１４は、第１バージョン判定部１１３が、上記バージョン判定を行った結果、第１バージョンの方が、第２バージョンよりも進んでいると判定した場合、第１制御部１１６の制御に基づき、第２コントローラ１２に対して、自装置で適用されているソフトウェアのバージョンに対応付けられたソフトウェアパッケージを送信する。
具体的には、まず、第１パッケージ送信部１１４は、第１記憶部１１５を参照し、第１バージョンに対応付けられているソフトウェアパッケージを取得する。第１パッケージ送信部１１４は、第１バージョンを、第１バージョン判定部１１３から出力された第１バージョン情報から特定すればよい。以下の実施の形態１において、第１記憶部１１５に記憶されている、第１コントローラ１１の第１バージョンに対応付けられているソフトウェアパッケージを、「第１ソフトウェアパッケージ」ともいう。

実施の形態１において、ソフトウェアパッケージとは、コントローラ１にて実行させる１つ以上のアプリケーションを、バージョンに応じたアプリケーションとするよう、ソフトウェアの更新をするためのソフトウェア更新用ファイルが集約されたファイル群である。当該ソフトウェアパッケージは、ソフトウェアのバージョン毎に作成され、第１記憶部１１５に記憶されている。コントローラ１は、ソフトウェアパッケージをインストールすることで、ソフトウェアパッケージに対応するバージョンに応じた、ソフトウェアの更新を行う。ソフトウェアパッケージをインストールするとは、ソフトウェアパッケージに含まれる１つ以上のソフトウェア更新用ファイルをまとめてインストールすることであり、これにより、コントローラ１は、バージョンの同期をとって、アプリケーションのバージョンアップ等を行うことができる。

第１パッケージ送信部１１４は、第１記憶部１１５を参照して取得した第１ソフトウェアパッケージを、第２コントローラ１２に送信する。

なお、第１バージョン判定部１１３が、上記バージョン判定を行った結果、第１バージョンの方が第２バージョンよりも進んでおり、かつ、第２バージョンと第１バージョンとの間には２世代以上のバージョンの差があると判定した場合、第１パッケージ送信部１１４は、当該２世代以上のバージョンそれぞれに対応付けられたソフトウェアパッケージを、第１ソフトウェアパッケージとして、第２コントローラ１２に送信する。
例えば、上述した例のように、第１バージョンと、第２バージョンでは、「バージョン１．０．００２」および「バージョン１．０．００３」の２世代分の差分がある場合、第１パッケージ送信部１１４は、「バージョン１．０．００２」に対応するソフトウェアパッケージと、「バージョン１．０．００３」に対応するソフトウェアパッケージを、第１ソフトウェアパッケージとして、第２コントローラ１２に送信することになる。

第１記憶部１１５は、第１バージョン情報と、当該第１バージョン情報に対応付けられているソフトウェアパッケージを記憶する。
第１コントローラ１１は、バージョンアップを行なった際、第１バージョン情報、および、第１ソフトウェアパッケージを第１記憶部１１５に記憶させている。第１記憶部１１５は、第１バージョン情報、および、第１ソフトウェアパッケージを、履歴で記憶している。
また、第１記憶部１１５は、監視ポイントを監視または制御するための情報を記憶している。実施の形態１において、監視ポイントを監視または制御するための情報を、「冗長化データ」ともいう。冗長化データには、監視ポイントから収集した監視ポイントデータ、アプリケーションの設定データ、または、帳票データ等が含まれる。なお、第１コントローラ１１の監視ポイントデータ収集部（図示省略）が、監視ポイントデータを収集し、収集した監視ポイントデータを、第１記憶部１１５に記憶させている。
冗長化データは、第１コントローラ１１および第２コントローラ１２にて、同期をとって記憶されている。冗長化データは、例えば、予め設定された周期で、または、常時、運用系のコントローラ１である第１コントローラ１１から、待機系のコントローラ１である第２コントローラ１２に送信される。第２コントローラ１２は、第１コントローラ１１から送信された冗長化データを自装置の第２記憶部１２５に記憶する。
第１記憶部１１５は、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）である。
第１コントローラ１１は、冗長化データ等を記憶させておくため、第１記憶部１１５は、比較的大容量の記憶装置である。そのため、上述のように、第１記憶部１１５は、ソフトウェアパッケージとしたソフトウェア更新用ファイルも記憶させておくことができる。

第１制御部１１６は、第１バージョン判定部１１３が、上述のバージョン判定を行った結果、第１バージョンの方が、第２バージョンよりも進んでいると判定した場合、第１パッケージ送信部１１４に対して、第１ソフトウェアパッケージの送信指示を出力する。第１パッケージ送信部１１４は、第１制御部１１６から第１ソフトウェアパッケージの送信指示が出力されると、第２コントローラ１２に対して、第１ソフトウェアパッケージを送信する。
一方、第１制御部１１６は、第１バージョン判定部１１３が、上述のバージョン判定を行った結果、第２バージョンの方が、第１バージョンよりも進んでいると判定した場合、冗長化データ送信部１１７に、冗長化データ送信指示を出力する。その後、第１制御部１１６は、自装置をオフライン状態とする。実施の形態１において、コントローラ１がオフライン状態である、とは、コントローラ１が機能を縮退運転している状態をいう。コントローラ１がオフライン状態であるとき、コントローラ１において、監視ポイントを制御または監視する機能は停止するが、ＯＳまたはコントローラ１の基本部分の処理は動作している。第１制御部１１６は、自装置をオフライン状態とした際、第２コントローラ１２に対して、オフライン状態とした旨の通知を送信するようにする。また、第１制御部１１６は、自装置をオフライン状態とすると、第１パッケージ受信部１１８に、パッケージ受信指示を出力する。第１パッケージ受信部１１８は、パッケージ受信指示に基づき、第２コントローラ１２から送信された、第２バージョンに対応付けられたソフトウェアパッケージを受信する。第１パッケージ受信部１１８の詳細は後述する。

第１制御部１１６の第１切替制御部１１６１は、第１バージョンアップ部１１９から、バージョンアップ完了通知が出力されると、自装置を待機系のコントローラ１として動作させるよう、コントローラ１の切替を行う。なお、第１バージョンアップ部１１９は、第１パッケージ受信部１１８が受信した、第２バージョンに対応付けられたソフトウェアパッケージをインストールすることで、第１バージョンのバージョンアップを行う。第１バージョンアップ部１１９の詳細は、後述する。
第１切替制御部１１６１は、自装置を待機系のコントローラ１として動作させるようコントローラ１の切替を行う際、あわせて、運用系のコントローラ１に切り替わった後の第２コントローラ１２から、冗長化データ受信部（図示省略）を介して、冗長化データを受信し、第１記憶部１１５に記憶させるようにしてもよい。
第１切替制御部１１６１がコントローラ１の切替を行うと、第１制御部１１６は、自装置を待機系のコントローラ１として、再度、第１コントローラ１１をオンライン状態とする。

冗長化データ送信部１１７は、第１制御部１１６から冗長化データ送信指示が出力されると、第２コントローラ１２に対して、第１記憶部１１５で記憶している、冗長化データを送信する。

第１パッケージ受信部１１８は、第１制御部１１６からパッケージ受信指示が出力されると、当該パッケージ受信指示に基づき、第２コントローラ１２から送信された、第２バージョンに対応付けられたソフトウェアパッケージを受信する。
なお、第１パッケージ受信部１１８は、第１コントローラ１１がオフライン状態で、第２バージョンに対応付けられたソフトウェアパッケージを受信するが、上述のとおり、コントローラ１は、オフライン状態であっても、ＯＳまたはコントローラ１の基本部分の処理は動作している。そのため、コントローラ１において、第１パッケージ受信部１１８は、オフライン状態であっても、パッケージの送受信は可能である。以下の実施の形態１において、第２コントローラ１２で適用されている第２バージョンに対応付けられているソフトウェアパッケージを、「第２ソフトウェアパッケージ」ともいう。
第１パッケージ受信部１１８は、第２コントローラ１２から受信した第２ソフトウェアパッケージを、第１バージョンアップ部１１９に出力する。

第１バージョンアップ部１１９は、第１パッケージ受信部１１８から第２ソフトウェアパッケージが出力されると、当該第２ソフトウェアパッケージをインストールする。これにより、第１コントローラ１１で適用されるソフトウェアのバージョンが、第２バージョンにバージョンアップされる。
第１バージョンアップ部１１９は、第２ソフトウェアパッケージのインストールを完了すると、第１切替制御部１１６１に、バージョンアップ完了通知を出力する。
また、第１バージョンアップ部１１９は、第２バージョンにバージョンアップした後の第１バージョンに関する第１バージョン情報、および、当該第１バージョンに対応付く第１ソフトウェアパッケージを、第１記憶部１１５に記憶させる。なお、当該第１バージョンに対応付く第１ソフトウェアパッケージは、第１バージョンアップ部１１９がインストールした第２ソフトウェアパッケージである。

次に第２コントローラ１２の構成例について説明する。
第２生存確認部１２１は、第１コントローラ１１の生存確認を行う。第２生存確認部１２１は、第１コントローラ１１に対して、生存確認コマンドを送信し、第１コントローラ１１から応答コマンドを受信する。第２生存確認部１２１は、応答コマンドを受信すると、第１コントローラ１１が生存していると判定し、当該応答コマンドを受信した旨の情報を、第２バージョン確認部１２２に出力する。
また、第２生存確認部１２１は、第１コントローラ１１から送信された生存確認コマンドを受信し、第１コントローラ１１に応答コマンドを送信する。
第２生存確認部１２１の基本的な機能は、第１生存確認部１１１の基本的な機能と同じであり、生存確認を行う対象が、第１生存確認部１１１は第２コントローラ１２であったのに対し、第２生存確認部１２１は第１コントローラ１１である点が異なるだけである。よって、第２生存確認部１２１の詳細な説明は省略する。
第２生存確認部１２１も、第１生存確認部１１１同様、生存確認コマンド送信部（図示省略）、応答受信部（図示省略）、生存確認コマンド受信部（図示省略）、および、応答送信部（図示省略）を備える。

第２バージョン確認部１２２は、第２生存確認部１２１から応答コマンドを受信した旨の情報が出力されると、第１コントローラ１１から、第１バージョン情報を取得する。具体的には、第２バージョン確認部１２２は、第１コントローラ１１に対して、当該第１コントローラ１１で適用されているソフトウェアのバージョンを確認するためのバージョン確認情報を送信し、当該第１コントローラ１１から、バージョン確認情報に対する応答情報を受信する。第２バージョン確認部１２２は、第１コントローラ１１から応答情報を受信することで、第１バージョン情報を取得し、第１コントローラ１１で適用されているソフトウェアのバージョンを確認する。
第２バージョン確認部１２２の基本的な機能は、第１バージョン確認部１１２の基本的な機能と同じであり、第１バージョン確認部１１２は第２コントローラ１２から第２バージョン情報を取得するのに対し、第２バージョン確認部１２２は第１コントローラ１１から第１バージョン情報を取得する点が異なるだけである。よって、第２バージョン確認部１２２の詳細な説明は省略する。
第２バージョン確認部１２２も、第１バージョン確認部１１２同様、バージョン確認情報送信部（図示省略）、バージョン応答受信部（図示省略）、バージョン確認情報受信部（図示省略）、バージョン応答送信部（図示省略）を備える。

第２バージョン判定部１２３は、第２バージョン確認部１２２が取得した第１バージョン情報、および、第２記憶部１２５に記憶されている、第２バージョン情報に基づき、自装置で適用されているソフトウェアのバージョン、言い換えれば、第２コントローラ１２で適用されているソフトウェアのバージョンと、第１バージョンとを比較するバージョン判定を行う。
第２バージョン判定部１２３が行うバージョン判定の基本的な機能は、第１バージョン判定部１１３が行うバージョン判定の基本的な機能と同じであるため、詳細な説明を省略する。第２バージョン判定部１２３は、第１バージョン判定部１１３同様、バージョン管理情報に基づき、第１バージョンまたは第２バージョンの、いずれのバージョンの方が進んでいるかを判定するようにすればよい。

第２バージョン判定部１２３は、第２バージョンの方が、第１バージョンよりも進んでいると判定した場合、第２バージョンの方が第１バージョンよりも進んでいる旨の情報を、第２制御部１２６に出力する。第２制御部１２６は、第２コントローラ１２を運用系のコントローラ１として動作させるためのコントローラ１の切替を行う。第２制御部１２６の詳細は後述する。
一方、第２バージョン判定部１２３は、第１バージョンの方が、第２バージョンよりも進んでいると判定した場合、第１バージョンの方が第２バージョンよりも進んでいる旨の情報を、第２制御部１２６に出力する。第２バージョン判定部１２３は、第１バージョンの方が第２バージョンよりも進んでいる旨の情報とあわせて、第１バージョン情報、および、第２バージョン情報を、第２制御部１２６に出力する。

なお、第２バージョン判定部１２３は、バージョン判定の結果、第２バージョンが、第１バージョンと同じであると判定した場合は、第２制御部１２６への、第２バージョンの方が第１バージョンよりも進んでいる旨の情報の出力も、第１バージョンの方が第２バージョンよりも進んでいる旨の情報の出力も、行わない。

第２記憶部１２５は、第２バージョン情報と、当該第２バージョン情報に対応付けられているソフトウェアパッケージを記憶する。
第２コントローラ１２は、バージョンアップを行なった際、第２バージョン情報、および、第２ソフトウェアパッケージを第２記憶部１２５に記憶させている。第２記憶部１２５は、第２バージョン情報、および、第２ソフトウェアパッケージを、履歴で記憶している。
また、第２記憶部１２５は、待機系のコントローラ１である第２コントローラ１２が、例えば、予め設定された周期で、または、常時、運用系のコントローラ１である第１コントローラ１１から受信した冗長化データを記憶する。
第２記憶部１２５は、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）である。
第２記憶部１２５は、第１記憶部１１５同様、比較的大容量の記憶装置である。そのため、第２記憶部１２５は、第１記憶部１１５同様、ソフトウェアパッケージとしたソフトウェア更新用ファイルを記憶させておくことができる。

第２制御部１２６は、第２バージョン判定部１２３が、上述のバージョン判定を行った結果、第２バージョンの方が、第１バージョンよりも進んでいると判定した場合、冗長化データ受信部１２７に、冗長化データ受信指示を出力する。その後、第２制御部１２６は、冗長化データ受信部１２７が第１コントローラ１１から受信した冗長化データを取得し、冗長化データのコンバートを実施する。実施の形態１において、冗長化データのコンバートとは、バージョンアップによる機能追加に伴う、テーブルへのフィールドの追加、または、各データの初期値の変更等である。第２制御部１２６は、第１コントローラ１１から受信した冗長化データのコンバートを実施することで、当該冗長化データを、第１バージョンよりもバージョンが高い第２バージョンに合わせるようにする。
第２制御部１２６において、冗長化データのコンバートが完了すると、第２制御部１２６は、第１コントローラ１１から、自装置、言い換えれば第１コントローラ１１をオフライン状態とした旨の通知を受信するまで待機する。第２制御部１２６が、第１コントローラ１１から、当該第１コントローラ１１をオフライン状態とした旨の通知を受信すると、第２制御部１２６の第２切替制御部１２６１は、自装置を運用系のコントローラ１として動作させるよう、コントローラ１の切替を行う。

第２切替制御部１２６１がコントローラ１の切替を行うと、第２制御部１２６は、自装置を運用系のコントローラ１として動作させる。このとき、運用系のコントローラ１に切り替わった第２コントローラ１２の第２制御部１２６は、第１コントローラ１１に対して、第２パッケージ送信部（図示省略）を介して、第２ソフトウェアパッケージを送信する。なお、第２パッケージ送信部は、第１パッケージ送信部１１４と共通の構成部である。第１コントローラ１１は、オフライン状態となっており、第１コントローラ１１の第１パッケージ受信部１１８は、第２パッケージ送信部から送信された、第２ソフトウェアパッケージを受信する。

なお、第２切替制御部１２６１は、第２生存確認部１２１が、第１コントローラが生存していないと判定した場合にも、自装置を運用系のコントローラ１とする、コントローラ１の切替を行う。しかし、この場合は、第２制御部１２６は、上述の、第１コントローラ１１に対して第２ソフトウェアパッケージを送信する制御は行わない。

一方、第２制御部１２６は、第２バージョン判定部１２３が、上記バージョン判定を行った結果、第１バージョンの方が、第２バージョンよりも進んでいると判定した場合、自装置をオフライン状態とする。第２制御部１２６は、自装置をオフライン状態とすると、第２パッケージ受信部１２８に、パッケージ受信指示を出力する。

冗長化データ受信部１２７は、第２制御部１２６から冗長化データ受信指示が出力されると、第１コントローラ１１から送信される冗長化データを受信する。
冗長化データ受信部１２７は、受信した冗長化データを、第２制御部１２６に出力する。

第２パッケージ受信部１２８は、第２制御部１２６からパッケージ受信指示が出力されると、当該パッケージ受信指示に基づき、第１コントローラ１１から送信された、第１バージョンに対応付けられた第１ソフトウェアパッケージを受信する。
第２パッケージ受信部１２８は、第１コントローラ１１から受信した第１ソフトウェアパッケージを、第２バージョンアップ部１２９に出力する。

第２バージョンアップ部１２９は、第２パッケージ受信部１２８から第１ソフトウェアパッケージが出力されると、当該第１ソフトウェアパッケージを取得し、当該第１ソフトウェアパッケージをインストールする。これにより、第２コントローラ１２で適用されるソフトウェアのバージョンが、第１バージョンにバージョンアップされる。
第２バージョンアップ部１２９は、第１バージョンにバージョンアップした後の第２バージョンに関する第２バージョン情報、および、当該第２バージョンに対応付く第２ソフトウェアパッケージを、第２記憶部１２５に記憶させる。なお、当該第２バージョンに対応付く第２ソフトウェアパッケージは、第２バージョンアップ部１２９がインストールした第１ソフトウェアパッケージである。
また、第２バージョンアップ部１２９は、第１ソフトウェアパッケージのインストールを完了すると、第２制御部１２６に、バージョンアップ完了通知を出力し、第２制御部１２６は、運用系のコントローラ１である第１コントローラ１１から、冗長化データ受信部１２７を介して、冗長化データを受信し、第２記憶部１２５に記憶させるようにしてもよい。

なお、実施の形態１において、第１生存確認部１１１と第２生存確認部１２１とを、まとめて生存確認部ともいう。また、第１バージョン確認部１１２と第２バージョン確認部とを、まとめてバージョン確認部ともいう。また、第１バージョン判定部１１３と第２バージョン判定部１２３とを、まとめてバージョン判定部ともいう。また、第１記憶部１１５と第２記憶部１２５とを、まとめて記憶部ともいう。また、第１制御部１１６と第２制御部１２６とを、まとめて制御部ともいう。また、第１切替制御部１１６１と第２切替制御部１２６１とを、まとめて切替制御部ともいう。また、第１パッケージ受信部１１８と第２パッケージ受信部１２８とを、まとめてパッケージ受信部ともいう。また、第１バージョンアップ部１１９と、第２バージョンアップ部１２９とを、まとめてバージョンアップ部ともいう。また、第１パッケージ送信部１１４と第２パッケージ送信部とを、まとめてパッケージ送信部ともいう。

実施の形態１に係る施設監視システム１０００におけるコントローラ１の動作について説明する。なお、以下の説明では、第１コントローラ１１および第２コントローラ１２がネットワークに接続され、第１コントローラ１１および第２コントローラ１２で冗長化された施設監視システム１０００を立ち上げる際の動作を想定している。
また、以下の動作説明においても、第１コントローラ１１が運用系のコントローラ、第２コントローラ１２が待機系のコントローラとして動作するものとして説明する。

まず、運用系のコントローラとしての第１コントローラ１１の動作について説明する。
図３は、実施の形態１に係る施設監視システムにおける、運用系のコントローラとしての第１コントローラ１１の動作を説明するためのフローチャートである。
第１コントローラ１１は、起動すると、図３にて説明する動作を行う。

第１バージョン確認部１１２は、第１生存確認部１１１から応答コマンドを受信した旨の情報が出力されると、第２コントローラ１２から第２バージョン情報を取得し、第２コントローラ１２で適用されているソフトウェアのバージョンを確認する（ステップＳＴ３０１）。

第１バージョン判定部１１３は、ステップＳＴ３０１にて第１バージョン確認部１１２が取得した第２バージョン情報、および、第１記憶部１１５に記憶されている、第１バージョン情報に基づき、第１バージョンと第２バージョンとを比較するバージョン判定を行う。そして、第１バージョン判定部１１３は、第１バージョンと第２バージョンの、いずれのバージョンの方が、バージョンが進んでいるかを判定する（ステップＳＴ３０２）。

ステップＳＴ３０２において、第１バージョン判定部１１３は、第１バージョンの方が第２バージョンよりも進んでいると判定した場合（ステップＳＴ３０２の“ＹＥＳ”の場合）、第１バージョンの方が、第２バージョンよりも進んでいる旨の情報を、第１制御部１１６に出力する。第１バージョン判定部１１３は、第１バージョンの方が第２バージョンよりも進んでいる旨の情報と合わせて、第１バージョン情報、および、第２バージョン情報を、第１制御部１１６に出力する。
第１制御部１１６は、第１パッケージ送信部１１４に対して、第１ソフトウェアパッケージの送信指示を出力する。第１パッケージ送信部１１４は、第１制御部１１６から第１ソフトウェアパッケージの送信指示が出力されると、第２コントローラ１２に対して、第１ソフトウェアパッケージを送信する（ステップＳＴ３０３）。
第２コントローラ１２が、ステップＳＴ３０３にて第１パッケージ送信部１１４が送信した第１ソフトウェアパッケージを受信し（後述の図４のステップＳＴ４０７参照）、当該第１ソフトウェアパッケージをインストールすることで、第２バージョンを第１バージョンに合わせるようバージョンアップする（後述の図４のステップＳＴ４０８参照）と、第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが、バージョンの高い方に揃う。第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが揃うと、第１コントローラ１１と第２コントローラ１２とで冗長化された施設監視システムの運用が開始される。

一方、ステップＳＴ３０２において、第１バージョン判定部１１３は、第１バージョンの方が第２バージョンよりも進んでいないと判定した場合（ステップＳＴ３０２の“ＮＯ”の場合）、第１バージョン判定部１１３は、第２バージョンの方が、第１バージョンよりも進んでいるかを判定する（ステップＳＴ３０４）。
ステップＳＴ３０４において、第１バージョン判定部１１３は、第２バージョンの方が、第１バージョンよりも進んでいないと判定した場合（ステップＳＴ３０４の“ＮＯ”の場合）、すなわち、第１バージョン判定部１１３は、第１バージョンと第２バージョンが同じであると判定した場合、第１コントローラ１１の動作は、ステップＳＴ３０１に戻る。
ステップＳＴ３０４において、第１バージョン判定部１１３は、第２バージョンの方が、第１バージョンよりも進んでいると判定した場合（ステップＳＴ３０４の“ＹＥＳ”の場合）、第２バージョンの方が、第１バージョンよりも進んでいる旨の情報を、第１制御部１１６に送信する。

第１制御部１１６は、冗長化データ送信部１１７に、冗長化データ送信指示を出力し、冗長化データ送信部１１７は、第１制御部１１６から冗長化データ送信指示が出力されると、第２コントローラ１２に対して、第１記憶部１１５で記憶している、冗長化データを送信する（ステップＳＴ３０５）。
第１制御部１１６は、自装置をオフライン状態とし、第１パッケージ受信部１１８に、パッケージ受信指示を出力する。第１制御部１１６は、自装置をオフライン状態とした際、第２コントローラ１２に対して、オフライン状態とした旨の通知を送信するようにする。
第１パッケージ受信部１１８は、第１制御部１１６からパッケージ受信指示が出力されると、当該パッケージ受信指示に基づき、第２コントローラ１２から送信された、第２バージョンに対応付けられたソフトウェアパッケージを受信する（ステップＳＴ３０６）。第１パッケージ受信部１１８は、第２コントローラ１２から受信した第２ソフトウェアパッケージを、第１バージョンアップ部１１９に出力する。

第１バージョンアップ部１１９は、ステップＳＴ３０６にて第１パッケージ受信部１１８から第２ソフトウェアパッケージが出力されると、当該第２ソフトウェアパッケージをインストールする（ステップＳＴ３０７）。これにより、第１コントローラ１１で適用されるソフトウェアのバージョンが、第２バージョンにバージョンアップされる。
第１バージョンアップ部１１９は、第２ソフトウェアパッケージのインストールを完了すると、第１切替制御部１１６１に、バージョンアップ完了通知を出力する。
また、第１バージョンアップ部１１９は、第２バージョンにバージョンアップした後の第１バージョンに関する第１バージョン情報、および、当該第１バージョンに対応付く第１ソフトウェアパッケージを、第１記憶部１１５に記憶させる。

第１制御部１１６の第１切替制御部１１６１は、ステップＳＴ３０７にて第１バージョンアップ部１１９から、バージョンアップ完了通知が出力されると、自装置を待機系のコントローラ１として動作させるよう、コントローラ１の切替を行う（ステップＳＴ３０８）。

ステップＳＴ３０７にて第１バージョンアップ部１１９が第２ソフトウェアパッケージをインストールし、第１コントローラで適用されるソフトウェアのバージョンが第２バージョンにバージョンアップされることで、第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが、バージョンの高い方に揃う。第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが揃うと、第１コントローラ１１と第２コントローラ１２とで冗長化された施設監視システムの運用が開始される。
第１コントローラ１１は、ステップＳＴ３０８にてコントローラ１の切替を行う前に、ステップＳＴ３０５にて、冗長化データ送信部１１７が、第２コントローラ１２に対して、冗長化データを送信するようにしている。そして、冗長化データ送信部１１７が第２コントローラ１２に対して冗長化データを送信すると、第２コントローラ１２は、当該冗長化データをコンバートの上、記憶し、その後、コントローラ１の切替を行って、運用系のコントローラ１として動作するようになる（後述の図４のステップＳＴ４０３～ステップＳＴ４０５参照）
コントローラ１の切替が行われる前に、運用系のコントローラ１として動作している第１コントローラ１１から、待機系のコントローラ１として動作している第２コントローラ１２への冗長化データの引継ぎが行われるため、コントローラ１の切替が行われても、冗長化データが消失することなく、施設監視システム１０００は、監視ポイントの監視または制御を継続できる。

また、ステップＳＴ３０６にて、第１パッケージ受信部１１８が、第２コントローラ１２から送信された第２ソフトウェアパッケージを受信するとき、当該第２コントローラ１２は、運用系のコントローラ１へと切り替わっている（後述の図４のステップＳＴ４０５参照）。一方、上述のとおり、第１コントローラ１１において、第１切替制御部１１６１は、第１バージョンアップ部１１９からバージョンアップ完了通知が出力されてから（図３のステップＳＴ３０７）、ステップＳＴ３０８にてコントローラ１の切替を行うため、第１パッケージ受信部１１８が第２ソフトウェアパッケージを受信するとき、第１コントローラ１１は、オフライン状態であるため、監視ポイントの監視または制御は行わない。

次に、待機系のコントローラとしての第２コントローラ１２の動作について説明する。
図４は、実施の形態１に係る施設監視システムにおける、待機系のコントローラとしての第２コントローラ１２の動作を説明するためのフローチャートである。
第２コントローラ１２は、起動すると、図４にて説明する動作を行う。

第２バージョン確認部１２２は、第２生存確認部１２１から応答コマンドを受信した旨の情報が出力されると、第１コントローラ１１から、第１バージョン情報を取得し、第１コントローラ１１で適用されているソフトウェアのバージョンを確認する（ステップＳＴ４０１）。

第２バージョン判定部１２３は、ステップＳＴ４０１にて第２バージョン確認部１２２が取得した第１バージョン情報、および、第２記憶部１２５に記憶されている、第２バージョン情報に基づき、第２バージョンと、第１バージョンとを比較するバージョン判定を行う。そして、第２バージョン判定部１２３は、第１バージョンと第２バージョンの、いずれのバージョンの方が、バージョンが進んでいるかを判定する（ステップＳＴ４０２）。

ステップＳＴ４０２において、第２バージョン判定部１２３は、第２バージョンの方が、第１バージョンよりも進んでいると判定した場合（ステップＳＴ４０２の“ＹＥＳ”の場合）、第２バージョンの方が第１バージョンよりも進んでいる旨の情報を、第２制御部１２６に出力する。
第２制御部１２６は、冗長化データ受信部１２７に、冗長化データ受信指示を出力し、冗長化データ受信部１２７が第１コントローラ１１から受信した冗長化データを取得する（ステップＳＴ４０３）。そして、第２制御部１２６は、冗長化データのコンバートを実施する（ステップＳＴ４０４）。
第２制御部１２６において、冗長化データのコンバートが完了し、第２制御部１２６が、第１コントローラ１１から、当該第１コントローラ１１をオフライン状態とした旨の通知を受信すると、第２制御部１２６の第２切替制御部１２６１は、自装置を運用系のコントローラ１として動作させるよう、コントローラ１の切替を行う（ステップＳＴ４０５）。

第２切替制御部１２６１がコントローラ１の切替を行うと、第２制御部１２６は、自装置を運用系のコントローラ１として動作させる。このとき、運用系のコントローラ１に切り替わった第２コントローラ１２の第２制御部１２６は、第１コントローラ１１に対して、第１パッケージ送信部を介して、第２ソフトウェアパッケージを送信する。第１コントローラ１１では、運用系のコントローラ１に切り替わった第２コントローラ１２の第１パッケージ送信部から送信された第２ソフトウェアパッケージを取得し（図３のステップＳＴ３０６参照）、当該第２ソフトウェアパッケージをインストールしてソフトウェアのバージョンアップを行った後（ステップＳＴ３０７参照）、待機系のコントローラ１に切り替わる（ステップＳＴ３０８）。これにより、第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが、バージョンの高い方、ここでは、第２バージョン、に揃う。第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが揃うと、第１コントローラ１１と第２コントローラ１２とで冗長化された施設監視システムの運用が開始される。

第２コントローラ１２は、ステップＳＴ４０７にてコントローラ１の切替を行う前に、ステップＳＴ４０３にて、冗長化データ受信部１２７が第１コントローラ１１から冗長化データを受信し、ステップＳＴ４０６にて第２制御部１２６が冗長化データのコンバートを実施するようにしている。
コントローラ１の切替が行われる前に、運用系のコントローラ１として動作している第１コントローラ１１から、待機系のコントローラ１として動作している第２コントローラ１２への冗長化データの引継ぎが行われるため、コントローラ１の切替が行われても、冗長化データが消失することなく、施設監視システム１０００は、監視ポイントの監視または制御を継続できる。

一方、ステップＳＴ４０２において、第２バージョン判定部１２３は、第２バージョンの方が第１バージョンよりも進んでいないと判定した場合（ステップＳＴ４０２の“ＮＯ”の場合）、第２バージョン判定部１２３は、第１バージョンの方が、第２バージョンよりも進んでいるかを判定する（ステップＳＴ４０６）。
ステップＳＴ４０６において、第２バージョン判定部１２３は、第１バージョンの方が、第２バージョンよりも進んでいないと判定した場合（ステップＳＴ４０６の“ＮＯ”の場合）、すなわち、第２バージョン判定部１２３が、第１バージョンと第２バージョンが同じであると判定した場合、第２コントローラ１２の動作は、ステップＳＴ４０１に戻る。
ステップＳＴ４０６において、第２バージョン判定部１２３は、第１バージョンの方が、第２バージョンよりも進んでいると判定した場合（ステップＳＴ４０６の“ＹＥＳ”の場合）、第１バージョンの方が、第２バージョンよりも進んでいる旨の情報を、第２制御部１２６に送信する。

第２制御部１２６は、自装置をオフライン状態とし、第２パッケージ受信部１２８に、パッケージ受信指示を出力する。そして、第２パッケージ受信部１２８は、第２制御部１２６からパッケージ受信指示が出力されると、当該パッケージ受信指示に基づき、第１コントローラ１１から送信された、第１バージョンに対応付けられた第１ソフトウェアパッケージを受信する（ステップＳＴ４０７）。
第２パッケージ受信部１２８は、第１コントローラ１１から受信した第１ソフトウェアパッケージを、第２バージョンアップ部１２９に出力する。

第２バージョンアップ部１２９は、ステップＳＴ４０７にて第２パッケージ受信部１２８から第１ソフトウェアパッケージが出力されると、当該第１ソフトウェアパッケージを取得し、当該第１ソフトウェアパッケージをインストールする（ステップＳＴ４０８）。これにより、第２コントローラ１２で適用されるソフトウェアのバージョンが、第１バージョンにバージョンアップされる。
第２バージョンアップ部１２９は、第１バージョンにバージョンアップした後の第２バージョンに関する第２バージョン情報、および、当該第２バージョンに対応付く第２ソフトウェアパッケージを、第２記憶部１２５に記憶させる。なお、当該第２バージョンに対応付く第２ソフトウェアパッケージは、第２バージョンアップ部１２９がインストールした第１ソフトウェアパッケージである。
また、第２バージョンアップ部１２９は、第１ソフトウェアパッケージのインストールを完了すると、第２制御部１２６に、バージョンアップ完了通知を出力し、第２制御部１２６は、運用系のコントローラ１である第１コントローラ１１から、冗長化データ受信部１２７を介して、冗長化データを受信し、第２記憶部１２５に記憶させるようにしてもよい。

ステップＳＴ４０８にて第２バージョンアップ部１２９が第１ソフトウェアパッケージをインストールし、第２コントローラで適用されるソフトウェアのバージョンが第１バージョンにバージョンアップされることで、第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが、バージョンの高い方、すなわち、第１バージョン、に揃う。第１コントローラ１１と第２コントローラ１２のソフトウェアのバージョンが揃うと、第１コントローラ１１と第２コントローラ１２とで冗長化された施設監視システムの運用が開始される。

なお、以上の動作説明では、第１コントローラ１１および第２コントローラ１２がいずれも起動時にネットワークに接続されていることを前提としたが、例えば、第１コントローラ１１および第２コントローラ１２が起動時にネットワークに接続されていない状態であることもある。この場合、第１コントローラ１１および第２コントローラ１２がネットワークに接続された時点で、一方を運用系のコントローラ１、他方を待機系のコントローラ１として、互いで適用されているソフトウェアのバージョンを一致させた上で、冗長化された施設監視システム１０００を立ち上げる。
具体的には、ペアとなる第１コントローラ１１および第２コントローラ１２がいずれも動作開始した後、ネットワークに第１コントローラ１１および第２コントローラ１２が接続されると、少なくとも一方のコントローラ１の第１バージョン判定部１１３または第２バージョン判定部１２３がバージョン判定を行い、バージョンが進んでいないと判定されたコントローラ１の第１制御部１１６または第２制御部１２６が、自装置をオフライン状態にする。その後、当該第１制御部１１６または第２制御部１２６は、自装置を待機系のコントローラ１とし、再度オンライン状態とするようにする。
運用系のコントローラ１となったコントローラ１は、図３で説明した動作を行い、待機系のコントローラ１となったコントローラ１は、図４で説明した動作を行って、冗長化された施設監視システム１０００を立ち上げる。

また、以上の図３および図４を用いた動作説明では、施設監視システム１０００の立ち上げ時を想定して、施設監視システム１０００の立ち上げ時に、第１コントローラ１１および第２コントローラ１２で適用されているソフトウェアのバージョンを一致させる動作について説明した。
しかし、これに限らず、例えば、稼働中の施設監視システム１０００において、コントローラ１にて障害等が発生した場合にも、同様に、運用系のコントローラ１と待機系のコントローラ１とで、適用されているソフトウェアのバージョンを一致させるよう、動作することができる。
例えば、今、運用系のコントローラ１として動作していた第１コントローラ１１で障害が発生したとする。そうすると、第２コントローラ１２が運用系のコントローラとして動作するよう、切替が行われる。具体的には、例えば、第１コントローラ１１にて障害が発生したことにより、第１コントローラ１１から第２コントローラ１２に対して生存確認コマンドが送信されなくなるため、第２コントローラ１２の第２生存確認部１２１が、一定期間、生存確認コマンドを受信せず、第１コントローラ１１は生存していないと判定する。そのため、第２コントローラ１２の第２切替制御部１２６１が自装置を運用系のコントローラ１とする切替を行う。第１コントローラ１１は、復旧後、先に第２コントローラ１２が起動していることにより、待機系のコントローラ１となる。
第２コントローラ１２は、運用系のコントローラ１として、図３で説明した動作を行い、第１コントローラ１１は復旧後、待機系のコントローラ１として、図４で説明した動作を行うことで、第１コントローラ１１および第２コントローラ１２で、適用されているソフトウェアのバージョンを一致させた上で、冗長化が行われる。

以上のように、実施の形態１に係る施設監視システムでは、運用系のコントローラ１が、自装置に適用されているソフトウェアのバージョンと、待機系のコントローラ１で適用されているソフトウェアのバージョンとを比較し、差異がある場合に、両バージョンを揃えた上で、冗長化された施設監視システムを立ち上げるようにした。具体的には、運用系のコントローラ１で適用されているソフトウェアのバージョンが、待機系のコントローラ１で適用されているソフトウェアのバージョンよりも進んでいる場合に、運用系のコントローラ１が待機系のコントローラ１に対して、運用系のコントローラ１で適用されているソフトウェアのバージョンに対応するソフトウェアパッケージを送信する。待機系のコントローラ１では、運用系のコントローラ１からソフトウェアパッケージが送信されると、当該待機系のコントローラ１で適用されているソフトウェアのバージョンを、運用系のコントローラ１で適用されているソフトウェアのバージョンと一致させるバージョンアップを行う。
待機系のコントローラ１で適用されているソフトウェアのバージョンが運用系のコントローラ１で適用されているソフトウェアのバージョンよりも進んでいる場合は、運用系のコントローラ１と待機系のコントローラ１の切替を行う。その後、上述のように、ソフトウェアのバージョンが進んでいる運用系のコントローラ１から、ソフトウェアのバージョンが遅れていた運用系のコントローラ１に対してソフトウェアパッケージを送信し、ソフトウェアのバージョンが遅れていた運用系のコントローラ１は、ソフトウェアのバージョンアップを行う。その後、当該ソフトウェアのバージョンが遅れていた運用系のコントローラ１は、待機系のコントローラ１に切替を行う。なお、この場合、ソフトウェアのバージョンが遅れていた方の運用系のコントローラ１は、オフライン状態であり、冗長化の機能は動作しない。すなわち、バージョンが遅れていた方の運用系のコントローラ１は、コントローラ１の切替の際は運用系のコントローラ１でも待機系のコントローラ１でもなくなり、監視ポイントの監視または制御を行わない。
コントローラ１は、ソフトウェアのバージョンを下げて当該バージョンを一致させた状態で冗長化されないようにしたため、コントローラ１が有する機能に不具合が発生することを防いでコントローラ１を冗長化させることができる。ソフトウェアのバージョンを下げて当該バージョンを一致させた状態でコントローラ１が冗長化されると、監視ポイントデータの破損のおそれがある他、コントローラ１が有する機能がデグレードするおそれがある。

また、第１コントローラ１１および第２コントローラ１２間で、ソフトウェアのバージョンを一致させることができるため、例えば、管理者等が、故障が発生したコントローラ１を代替機に置き換える場合、管理者等は、冗長化のペアとなるコントローラ１と、代替機との間で、適用されているソフトウェアのバージョンを一致させておく作業を必要としない。仮に、第１コントローラ１１および第２コントローラ１２間で、自動的にソフトウェアのバージョンを一致させることができないとした場合、管理者等は、冗長化のペアとなるコントローラ１と代替機との間で、適用されているソフトウェアのバージョンを一致させておく作業が必要となる。これは、管理者等の作業を増やすだけでなく、万が一、代替機に適用させるべきソフトウェアのバージョンの伝達ミス等があると、管理者等は、いざ、代替機を設置させようとした際に、当該伝達ミス等に気付き、設定のやり直し等の手戻りが発生することにもなり兼ねない。少なくとも二つのコントローラ１、の一つを運用系のコントローラ１、残りを待機系のコントローラ１として動作させる冗長化システムでは、データ破損等の不具合を発生させないよう、管理者等は、バージョンを一致させる際に、バージョンが下がらないよう考慮する必要もある。
これに対し、実施の形態１に係るコントローラ１は、上述のとおり、第１コントローラ１１および第２コントローラ１２間でソフトウェアのバージョンを自動的に一致させることができるため、管理者等は、代替機の設置の際に、当該代替機で適用されているソフトウェアのバージョンを意識しなくて済む。

また、施設監視システム１０００が、大規模施設向けの施設監視システムであって、運用系のコントローラ１と待機系のコントローラ１のペアを複数備える施設監視システムである場合も、同様の仕組みを適用させることで、施設監視システムが備える全てのコントローラ１で適用されているソフトウェアのバージョンを一致させることができる。具体的には、例えば、初回の通信接続時に、各ペアにおいて、上述したように、ソフトウェアのバージョン判定を行い、バージョンが遅れているコントローラ１が、バージョンが進んでいるコントローラ１からソフトウェアパッケージを受信し、バージョンアップを行う。各ペアでソフトウェアのバージョンが一致すると、複数の運用系のコントローラ１のうちの１つがマスターコントローラ、その他の運用系のコントローラ１がスレーブコントローラとなり、マスターコントローラと各スレーブコントローラとの間で、同様に、互いのソフトウェアのバージョン判定を行い、バージョンが遅れているコントローラ１が、バージョンの進んでいるコントローラ１からソフトウェアパッケージを受信し、バージョンアップを行う。全ての運用系のコントローラ１でバージョンが一致すると、再度、各運用系のコントローラ１は、相手のコントローラ１とソフトウェアのバージョンの判定を行い、ソフトウェアのバージョンを一致させる。これにより、運用系のコントローラ１と待機系のコントローラ１のペアを複数備える施設監視システムである場合も、全てのコントローラ１において、ソフトウェアのバージョンを自動的に一致させることができる。

また、冗長化された第１コントローラ１１および第２コントローラ１２間で、適用されているソフトウェアのバージョンを一致させることができるため、例えば、管理者等は、第１コントローラ１１および第２コントローラ１２で適用されているソフトウェアのバージョンアップを行なう場合、第１コントローラ１１または第２コントローラ１２のいずれかのソフトウェアのバージョンアップを行なうだけでよい。これにより、管理者等の、コントローラ１への、ソフトウェアのバージョンアップに係る作業を低減することができる。

以上の実施の形態１では、コントローラ１は第１コントローラ１１と第２コントローラ１２の２つとしたが、これは一例に過ぎず、ネットワークには３つ以上のコントローラ１が接続されていてもよい。施設監視システム１０００には、少なくとも１つの運用系のコントローラ１と、当該運用系のコントローラ１と冗長化された、少なくとも１つの待機系のコントローラ１とが備えられるようになっていればよい。

以上のように、実施の形態１によれば、情報記憶装置（コントローラ１）は、自装置で適用されているソフトウェアのバージョンに関するバージョン情報、および、当該ソフトウェアのバージョンと対応付けられたソフトウェアパッケージを記憶する記憶部（第１記憶部１１５，第２記憶部１２５）と、冗長化のペアとなる相手の情報記憶装置から、相手の情報記憶装置で適用されているソフトウェアのバージョンに関するバージョン情報を取得するバージョン確認部（第１バージョン確認部１１２，第２バージョン確認部１２２）と、記バージョン確認部が取得したバージョン情報および記憶部に記憶されたバージョン情報に基づき、自装置で適用されているソフトウェアのバージョンと、相手の情報記憶装置で適用されているソフトウェアのバージョンを比較するバージョン判定部（第１バージョン判定部１１３，第２バージョン判定部１２３）と、自装置が運用系の情報記憶装置（第１コントローラ１１）として動作し、かつ、バージョン判定部（第１バージョン判定部１１３）が、自装置で適用されているソフトウェアのバージョンの方が、相手の情報記憶装置で適用されているソフトウェアのバージョンよりも進んでいると判定した場合、相手の情報記憶装置に対して、ソフトウェアパッケージを送信するパッケージ送信部（第１パッケージ送信部１１４）と、バージョン判定部が、相手の情報記憶装置で適用されているソフトウェアのバージョンの方が、自装置で適用されているソフトウェアのバージョンよりも進んでいると判定した場合、自装置をオフライン状態とする制御部（第１制御部１１６，第２制御部１２６）と、制御部が自装置をオフライン状態とすると、相手の情報記憶装置で適用されているソフトウェアのバージョンと対応付けられたソフトウェアパッケージを受信するパッケージ受信部（第１パッケージ受信部１１８，第２パッケージ受信部１２８）と、パッケージ受信部がソフトウェアパッケージを受信した場合、当該ソフトウェアパッケージをインストールするバージョンアップ部（第１バージョンアップ部１１９，第２バージョンアップ部１２９）を備えるように構成した。そのため、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置において、情報記憶装置が有する機能に不具合が発生することを防いで情報記憶装置を冗長化させることができる。

また、情報記憶装置は、上記の構成に加え、自装置が待機系の情報記憶装置（第２コントローラ１２）として動作し、かつ、バージョン判定部（第２バージョン判定部１２３）が、自装置で適用されているソフトウェアのバージョンの方が、相手の情報記憶装置で適用されているソフトウェアのバージョンよりも進んでいると判定した場合、自装置を運用系の情報記憶装置として動作させるよう切替を行う切替制御部（第２切替制御部１２６１）を備えるように構成した。そのため、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置において、情報記憶装置が有する機能に不具合が発生することを防いで情報記憶装置を冗長化させることができる。

なお、本願発明はその発明の範囲内において、実施の形態の任意の構成要素の変形、もしくは実施の形態の任意の構成要素の省略が可能である。

１１ 第１コントローラ
１１１ 第１生存確認部
１１２ 第１バージョン確認部
１１３ 第１バージョン判定部
１１４ 第１パッケージ送信部
１１５ 第１記憶部
１１６ 第１制御部
１１６１ 第１切替制御部
１１７ 冗長化データ送信部
１１８ 第１パッケージ受信部
１１９ 第１バージョンアップ部
１２ 第２コントローラ
１２１ 第２生存確認部
１２２ 第２バージョン確認部
１２３ 第２バージョン判定部
１２５ 第２記憶部
１２６ 第２制御部
１２６１ 第２切替制御部
１２７ 冗長化データ受信部
１２８ 第２パッケージ受信部
１２９ 第２バージョンアップ部

Claims (6)

1. ネットワークに接続された、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置であって、
   自装置で適用されているソフトウェアのバージョンに関するバージョン情報、および、当該ソフトウェアのバージョンと対応付けられたソフトウェアパッケージを記憶する記憶部と、
   冗長化のペアとなる相手の情報記憶装置から、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンに関する前記バージョン情報を取得するバージョン確認部と、
   前記バージョン確認部が取得した前記バージョン情報および前記記憶部に記憶された前記バージョン情報に基づき、自装置で適用されている前記ソフトウェアのバージョンと、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンを比較するバージョン判定部と、
   自装置が前記運用系の情報記憶装置として動作し、かつ、前記バージョン判定部が、自装置で適用されている前記ソフトウェアのバージョンの方が、前記待機系の情報記憶装置として動作している前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンよりも進んでいると判定した場合、前記相手の情報記憶装置に対して、前記ソフトウェアパッケージを送信するパッケージ送信部と、
   前記バージョン判定部が、前記待機系の情報記憶装置として動作している前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンの方が、自装置で適用されている前記ソフトウェアのバージョンよりも進んでいると判定した場合、自装置を冗長化の機能が動作しないオフライン状態とする制御部と、
   前記制御部が自装置をオフライン状態とすると、前記運用系の情報記憶装置に切り替わった前記相手の情報記憶装置から、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンと対応付けられた前記ソフトウェアパッケージを受信するパッケージ受信部と、
   前記パッケージ受信部が前記ソフトウェアパッケージを受信した場合、当該ソフトウェアパッケージをインストールするバージョンアップ部と、
   前記バージョンアップ部が前記ソフトウェアパッケージのインストールを完了すると、自装置を前記待機系の情報記憶装置として動作させるように切り替える切替制御部
   を備えた情報記憶装置。
2. 前記記憶部は、前記バージョン情報および前記ソフトウェアパッケージを履歴で記憶しており、
   前記バージョン判定部が、自装置で適用されている前記ソフトウェアのバージョンと、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンの比較を行った結果、自装置で適用されている前記ソフトウェアのバージョンの方が、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンよりも進んでおり、かつ、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンと自装置で適用されている前記ソフトウェアのバージョンとの間には２世代以上のバージョンの差があると判定した場合、
   前記パッケージ送信部は、
   前記２世代以上のバージョンそれぞれに対応付けられた前記ソフトウェアパッケージを送信する
   ことを特徴とする請求項１記載の情報記憶装置。
3. 前記ソフトウェアパッケージには、前記ソフトウェアのバージョンに対応する１つ以上のソフトウェア更新用ファイルが含まれる
   ことを特徴とする請求項１または請求項２記載の情報記憶装置。
4. 前記切替制御部は、
   自装置が前記待機系の情報記憶装置として動作し、かつ、前記バージョン判定部が、自装置で適用されている前記ソフトウェアのバージョンの方が、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンよりも進んでいると判定した場合、自装置を前記運用系の情報記憶装置として動作させるよう切替を行う
   ことを特徴とする請求項１から請求項３のうちのいずれか１項記載の情報記憶装置。
5. ネットワークに接続された、少なくとも２つの情報記憶装置、の１つを運用系の情報記憶装置、残りを待機系の情報記憶装置として動作させる冗長化システムに備えられた情報記憶装置によるソフトウェア更新方法であって、
   バージョン確認部が、冗長化のペアとなる相手の情報記憶装置から、前記相手の情報記憶装置で適用されているソフトウェアのバージョンに関するバージョン情報を取得するステップと、
   バージョン判定部が、前記バージョン確認部が取得した前記バージョン情報、および、自装置で適用されている前記ソフトウェアのバージョンに関する前記バージョン情報に基づき、自装置で適用されている前記ソフトウェアのバージョンと、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンを比較するステップと、
   自装置が前記運用系の情報記憶装置として動作し、かつ、前記バージョン判定部が、自装置で適用されている前記ソフトウェアのバージョンの方が、前記待機系の情報記憶装置として動作している前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンよりも進んでいると判定した場合、パッケージ送信部が、前記相手の情報記憶装置に対して、自装置で適用されている前記ソフトウェアのバージョンと対応付けられたソフトウェアパッケージを送信するステップと、
   前記バージョン判定部が、前記待機系の情報記憶装置として動作している前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンの方が、自装置で適用されている前記ソフトウェアのバージョンよりも進んでいると判定した場合、制御部が、自装置を冗長化の機能が動作しないオフライン状態とするステップと、
   前記制御部が自装置をオフライン状態とすると、パッケージ受信部が、前記運用系の情報記憶装置に切り替わった前記相手の情報記憶装置から、前記相手の情報記憶装置で適用されている前記ソフトウェアのバージョンと対応付けられた前記ソフトウェアパッケージを受信するステップと、
   バージョンアップ部が、前記パッケージ受信部が前記ソフトウェアパッケージを受信した場合、当該ソフトウェアパッケージをインストールするステップと、
   切替制御部が、前記バージョンアップ部が前記ソフトウェアパッケージのインストールを完了すると、自装置を前記待機系の情報記憶装置として動作させるように切り替えるステップ
   を備えたソフトウェア更新方法。
6. ネットワークに接続された、少なくとも２つの情報記憶装置、の１つを前記運用系の情報記憶装置、残りを前記待機系の情報記憶装置として動作させる冗長化システムにおいて、
   請求項１から請求項４のうちのいずれか１項記載の情報記憶装置を備えた
   ことを特徴とする冗長化システム。

Images