JPH07219799A - 待機冗長システムおよび状態遷移順序決定方法 - Google Patents

Abstract

(57)【要約】 【目的】 被監視対象の監視制御処理にほとんど影響を
及ぼすことのない軽故障の発生を原因に待機系に切り替
えられた系を、その系の初期化処理をせずに待機状態に
遷移させることができる待機冗長システムを得る。 【構成】 被監視対象を監視制御しうる各監視制御系
が、自系を、運転系に対応した運転状態１、運転状態に
直ちに遷移可能な待機状態２、初期化処理なしで待機状
態に遷移可能な準備状態４、および初期化処理の後に待
機状態に遷移可能な停止状態３のうちのいずれかに設定
する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、プラント監視装置な
ど運転系と待機系とを適宜切り替えて被監視対象の監視
制御を行なう待機冗長システム、および、例えばその待
機冗長システムを構成する各タスクなどの複数のタスク
の状態遷移順序を矛盾なく決定する状態遷移順序決定方
法に関するものである。

【０００２】

【従来の技術】図２１は従来の待機冗長システムの一例
であるプラント監視装置の構成を示す構成図である。図
において、１１は被監視対象であるプラント、１２はプ
ラント１１のデータを収集するプラントステーション、
１３はプラントステーション１２により収集されたプラ
ント１１のデータを伝送する光ファイバトークンリング
ネットワークである。

【０００３】１４はＡ系１５とＢ系１６を有するプラン
ト監視装置の監視部である。Ａ系１５およびＢ系１６
は、それぞれ独立してプラントのデータ収集や編集等を
行う機能を有する。そして、Ａ系１５とＢ系１６とのう
ちの一方が運転系、他方が待機系となる。すなわち、監
視部１４は、Ａ系１５とＢ系１６との２つの監視制御系
からなる待機冗長システムを構成している。以下、監視
制御系を、単に系という。

【０００４】図２２は各監視制御系の状態遷移を示す状
態遷移図である。図において、１〜３はそれぞれ系の状
態を示している。状態１は、系がプラントの監視処理を
行っている運転状態である。すなわち、プラント監視装
置における運転系の態様に対応している。状態２は、系
が運転系に切り替われる条件を満足し、運転系化の指示
があれば直ちに運転系に切り替われる待機状態であり、
プラント監視装置における待機系の一態様に対応してい
る。状態３は、系に故障等が発生している停止状態であ
る。よって、状態３にあるときには、故障したハードウ
エア等の修理がなされた後、系を初期化（ＣＰＵのリセ
ット（後述するシステムタスクの生成や共有資源の確
保）、周辺デバイスのイニシャライズ等）した上で運転
系のデータを取得しなければ運転系に切り替わることが
できない。状態３は、プラント監視装置における待機系
の別の態様に対応している。以下、状態１を運転状態、
状態２を待機状態、状態３を停止状態という。

【０００５】図２１において、１７ａ，１７ｂはＬＡＮ
インタフェース、１８ａ，１８ｂはそれぞれＡ系１５，
Ｂ系１６のハードウエア故障やソフトウエア異常を検出
するＲＡＳ監視ユニット、１９ａ，１９ｂはプラント１
１のデータ収集等を行うとともに、自系を状態遷移させ
るＣＰＵユニットである。ＣＰＵユニット１９ａ，１９
ｂは、ＲＡＳ監視ユニット１８ａ，１８ｂから自系のハ
ードウエア故障等の通知を受けると自系を停止状態３に
遷移させる。また、他系が運転状態１にある場合に他系
にハードウエア故障等が発生した旨の通知を運転制御ユ
ニット２６から受けると、またはオペレータの指令にも
とづく系切替指令を受けると、自系を運転状態１に遷移
させる。２０ａ，２０ｂは系間のデータリンクインタフ
ェース、２１ａ，２１ｂは光ファイバトークンリングネ
ットワークインタフェース、２２ａ，２２ｂはそれぞれ
ミラーディスク２９をアクセスするためのディスクコン
トローラ、２３ａ，２３ｂは内部バス、２４ａ，２４ｂ
はそれぞれＡ系１５，Ｂ系１６の電源装置である。

【０００６】２５はランプ表示等によって各系の状態を
オペレータに示すとともに、オペレータによる運転系と
待機系の系切替指令を入力する運転制御パネル、２６は
他系でハードウエア故障等が発生した旨の通知やオペレ
ータから入力された系切替指令をＡ系１５およびＢ系１
６に伝送する運転制御ユニット、２７はプリンタなどの
周辺装置、２８は運転系の主メモリ上にあるプラントデ
ータ等を待機系の主メモリに伝送するとともに、Ａ系１
５およびＢ系１６のシステム時刻を伝送するデータリン
クである。

【０００７】２９はプラント１１から収集されたデータ
等を記憶するミラーディスクである。ミラーディスク２
９は、活線挿抜可能な２つのハードディスク３０ａ，３
０ｂと２つの電源装置３１ａ、３１ｂから構成されてい
る。なお、ミラーディスク２９へは運転系のみがアクセ
スすることができる。運転系は２つのハードディスク３
０ａ，３０ｂにデータを登録し、データを読み込む際に
は何れか一方のハードディスク３０ａまたは３０ｂから
データを読み込む。

【０００８】３２はオペレータステーションであり、運
転系から周期的に転送されてくる現在時刻のプラントデ
ータ、および一斉転送されてくる過去のプラントデータ
を受信してデータ解析等を行うものである。３３ａ，３
３ｂは二重構成となっているＬＡＮである。

【０００９】次に動作について説明する。ここでは、現
在、Ａ系１５が運転系、Ｂ系１６が待機系であるとす
る。運転系であるＡ系１５において、ＣＰＵユニット１
９ａは、プラントステーション１２が収集したプラント
データを光ファイバトークンリングネットワーク１３を
介して取得する。そして、そのプラントデータを必要に
応じて編集しハードディスク３０ａ，３０ｂに登録す
る。

【００１０】また、Ａ系の運転に必要なデータは、Ａ系
１５の主メモリ（図示せず）に記憶されているが、収集
したプラントデータも主メモリに記憶される。そして、
ＣＰＵユニット１９ａは、それらのデータを、データリ
ンクインタフェース２０ａおよびデータリンク２８を介
して、適宜Ｂ系１６の主メモリ（図示せず）に宛てて転
送する。

【００１１】Ａ系１５が以上のようにプラントの監視処
理を行っている間に、Ａ系１５のハードウエアに故障が
発生すると、あるいは、ＣＰＵユニット１９ａ内で稼働
するソフトウエアに異常が発生すると、ＲＡＳ監視ユニ
ット１８ａがこの故障等を検出する。そして、ＲＡＳ監
視ユニット１８ａは、ＣＰＵユニット１９ａおよび運転
制御ユニット２６にハードウエア故障等が発生した旨を
通知する。

【００１２】通知を受けると、ＣＰＵユニット１９ａ
は、Ａ系１５においてプラント監視を続行するのは不可
能であると判断し、Ａ系１５の状態を運転状態１から停
止状態３に遷移させる。一方、運転制御ユニット２６
も、Ａ系１５においてプラント監視を続行するのは不可
能であると判断し、Ｂ系１６のＣＰＵユニット１９ｂに
対してＢ系１６が待機状態２から運転状態１に遷移する
よう指令する。

【００１３】Ｂ系１６のＣＰＵユニット１９ｂは、Ｂ系
１６が現在待機状態２にあればＢ系１６を直ちに待機状
態２から運転状態１に状態遷移させる。しかし、Ｂ系１
６が未だ停止状態３になっている場合には、ハードウエ
ア故障等の修理および初期化処理が完了し、Ａ系１５の
主メモリに記憶されているＡ系１５の運転に必要なデー
タをデータリンク２８を介して受信して待機状態２にし
た後、Ｂ系１６を運転状態１に遷移させる。ここで、Ａ
系１５のデータを受信するのは、Ｂ系１６の主メモリに
記憶されているＡ系１５のデータはＢ系１６のハードウ
エア故障等によって破壊されている可能性が高いからで
ある。

【００１４】以後、Ａ系１５は停止状態３になる。すな
わち、Ａ系１５は待機系になる。しかし、Ｂ系１６が運
転系になることによって、プラントの監視処理は続行さ
れる。停止状態３となったＡ系１５に対して、ハードウ
エア故障等の修理がなされ、修理が完了したら初期化処
理が施される。そして、現在運転状態１にあるＢ系１５
のデータを受信した後、ＣＰＵユニット１９ａは、Ａ系
１５を待機状態２にしておく。

【００１５】なお、オペレータの指示のもとに運転系と
待機系とを切り替えることもできる。その場合には、オ
ペレータが系切替指令を運転制御パネル２５から入力す
ることにより系の切り替えが実行される。この場合に
は、運転系のハードウエアに故障等が発生したわけでは
ないので、運転系であったＡ系１５は、運転系に直ちに
切り替わることができる待機状態２に状態遷移する。

【００１６】

【発明が解決しようとする課題】従来の待機冗長システ
ムは以上のように構成されているので、プラントの監視
処理にほとんど影響を及ぼすことのない軽故障が運転系
に発生した場合でも、運転系に重故障が発生した場合と
同様に、運転系を停止状態に遷移させてしまう。よっ
て、必ず初期化処理しなければ待機系を停止状態から待
機状態に状態遷移させることができず待機系の回復に時
間がかかる。従って、両系がともに停止状態に陥ってし
まう可能性を無視できないという問題点があった。ま
た、運転系および待機系は複数のアプリケーションタス
クから構成されているが、各アプリケーションタスクの
処理状態は管理されていない。すなわち、各アプリケー
ションタスクごとに状態遷移させることができない。従
って、たとえ状態遷移可能なアプリケーションタスクが
あっても、全てのアプリケーションタスクが状態遷移可
能にならなければ系の状態遷移をすることができず、系
切替に要する時間が長引くという問題点もあった。

【００１７】この発明は上記のような問題点を解消する
ためになされたもので、被監視対象の監視制御処理にほ
とんど影響を及ぼすことのない軽故障の発生を原因に待
機系に切り替えられた系を、その系の初期化処理をせず
に待機状態に遷移させることができる待機冗長システム
を得ることを目的とする。また、系切替に要する時間を
短縮することや系切替の際に生ずるシステムの不連続性
を最小限に止めうる待機冗長システムを得ることもこの
発明の目的である。さらに、系切替の際に矛盾が生じな
いような各タスクの状態遷移順序を簡便に求めうる状態
遷移順序決定方法を得ることを目的とする。

【００１８】

【課題を解決するための手段】請求項１記載の発明に係
る待機冗長システムは、被監視対象を監視制御しうる各
監視制御系が、自系を、運転系に対応した運転状態、運
転状態に直ちに遷移可能な待機状態、初期化処理なしで
待機状態に遷移可能な準備状態、および初期化処理の後
に待機状態に遷移可能な停止状態のうちのいずれかに設
定する構成制御手段を備えた構成になっているものであ
る。

【００１９】請求項２記載の発明に係る待機冗長システ
ムは、被監視対象を監視制御しうる各監視制御系が、監
視制御系を構成する各アプリケーションタスクごとに処
理状態を管理し、各アプリケーションタスクごとに処理
状態を遷移させるタスク別状態遷移手段を備えた構成に
なっているものである。

【００２０】請求項３記載の発明に係る待機冗長システ
ムは、監視制御系が、アプリケーションタスクの状態遷
移中に起動時刻に到達した場合、状態遷移後にそのアプ
リケーションタスクの起動を許容すべきか否かを選択す
る起動選択手段を備えた構成になっているものである。

【００２１】請求項４記載の発明に係る待機冗長システ
ムは、監視制御系が、運転系と待機系との切り替えの際
における各アプリケーションタスクの状態遷移順序を決
定する状態遷移順序設定手段を備えた構成になっている
ものである。

【００２２】請求項５記載の発明に係る待機冗長システ
ムは、状態遷移順序設定手段が、各アプリケーションタ
スクの状態遷移順序を格納した起動管理ファイルを含む
構成になっているものである。

【００２３】請求項６記載の発明に係る待機冗長システ
ムは、被監視対象からの監視データの最短の収集間隔よ
り短い間隔で運転系が収集したデータを待機系に供給す
るデータ転送手段を備えたものである。

【００２４】請求項７記載の発明に係る待機冗長システ
ムは、データ転送手段が、待機系が保有する最新データ
の収集時刻を示す時刻印を運転系に周期的に転送する時
刻印転送タスクと、待機系から受けた時刻印が示す時刻
よりも後に収集した各データを待機系に転送するデータ
転送タスクと、運転系から受けた各データを記憶手段に
保存するデータ書き込みタスクとを備えた構成になって
いるものである。

【００２５】請求項８記載の発明に係る待機冗長システ
ムは、運転系のシステム時刻と待機系のシステム時刻と
の時刻差が所定の許容範囲より大きい場合に、時刻差を
複数回に分けて修正する時刻修正手段を備えたものであ
る。

【００２６】請求項９記載の発明に係る待機冗長システ
ムは、運転系のデータを待機系に転送するデータリンク
を用いてシステム時刻を通知するシステムであって、デ
ータのメッセージ長の上限を定めるメッセージ長設定手
段と、転送されるシステム時刻の優先度を転送されるデ
ータの優先度よりも高くする優先度設定手段とを備えた
ものである。

【００２７】請求項１０記載の発明に係る待機冗長シス
テムは、システム内の時刻と外部システムのシステム時
刻との時刻差が所定の許容範囲より大きい場合に、その
時刻差を複数回に分けて修正する時刻修正手段を備えた
ものである。

【００２８】請求項１１記載の発明に係る状態遷移順序
決定方法は、各アプリケーションタスクを所定の制約の
もとに状態遷移させる順序を決定する方法であって、各
アプリケーションタスクの状態遷移順序に関する制約を
記述する工程と、記述された制約にもとづいて各状態遷
移の順序関係をグラフ化する工程と、作成されたグラフ
における枝をたどって状態遷移順序を決定する工程とを
備えたものである。

【００２９】そして、請求項１２記載の発明に係る状態
遷移順序決定方法は、請求項１１記載の発明に係る方法
において、ある状態遷移と他の状態遷移との間の時間に
制約がある場合に、その時間制約に対応した枝を作成さ
れたグラフに付加する工程をさらに備えたものである。

【００３０】

【作用】請求項１記載の発明における構成制御手段は、
運転系に軽故障が生じたような場合に、その系を準備状
態に遷移させ、初期化処理なしで待機状態に復帰させる
ことを可能にする。

【００３１】請求項２記載の発明におけるタスク別状態
遷移手段は、監視制御系を構成する各アプリケーション
タスクごとに処理状態を管理し、各アプリケーションタ
スクごとに状態遷移させる。

【００３２】請求項３記載の発明における起動選択手段
は、アプリケーションタスクが状態遷移中にそのタスク
の起動時刻が到来した場合に、状態遷移後にそのアプリ
ケーションタスクの起動を許容すると系切替において矛
盾が生ずると判断されるときには、状態が遷移した後に
そのアプリケーションタスクが起動されるのを禁止す
る。

【００３３】請求項４記載の発明における状態遷移順序
設定手段は、系切替のときなどに各系にデータの重複な
どの矛盾が生じないように、各アプリケーションタスク
状態遷移順序を管理する。

【００３４】請求項５記載の発明における状態遷移順序
設定手段は、系切替のときなどに各系にデータの重複な
どの矛盾が生じないような遷移順序が格納された起動管
理ファイルにもとづいて状態遷移順序を設定する。

【００３５】請求項６記載の発明におけるデータ転送手
段は、運転系の故障発生時に待機系に未転送であるデー
タを最小限に止めるために、運転系における最短のデー
タ収集間隔より短い間隔で運転系のデータを待機系に転
送する。

【００３６】請求項７記載の発明における時刻印転送タ
スク、データ転送タスクおよびデータ書き込みタスク
は、それぞれ独自に起動され、データ転送処理を運転系
から待機系への周期的なデータ転送処理を効率的に実行
する。

【００３７】請求項８記載の発明における時刻修正手段
は、系が保有する各データにおける欠落や重複が生じな
いように、複数回に分けて時刻修正を実行する。

【００３８】請求項９記載の発明における優先度設定手
段は、待機系から運転系に転送されるシステム時刻情報
が、データ転送によって待たされてしまうことを防止す
る。

【００３９】請求項１０記載の発明における時刻修正手
段は、系が保有するデータと外部システムが保有するデ
ータに矛盾が発生することなどを防止するために、複数
回に分けて時刻修正を実行する。

【００４０】請求項１１記載の発明における順序関係を
グラフ化する工程および枝をたどって状態遷移順序を決
定する工程は、論理的に記述された制約を満たした状態
遷移順序を自動的に出力する。

【００４１】そして、請求項１２記載の発明における時
間制約に対応した枝をグラフに付加する工程は、時間制
約をも反映したグラフを作成する。

【００４２】

【実施例】

実施例１．以下、この発明の一実施例を図について説明
する。ここでも、待機冗長システムとしてプラント監視
装置を例に説明する。図１はこの発明の第１の実施例に
よるプラント監視装置における各系の状態遷移を示す状
態遷移図である。図において、１〜４はそれぞれ系の状
態を示している。状態１は、系がプラントの監視処理を
行う運転状態である。すなわち、プラント監視装置にお
ける運転系の態様に対応している。状態２は、運転系に
切り替われる条件を満足し、運転系化の指示があれば直
ちに運転系に切り替われる待機状態である。待機状態
は、プラント監視装置における待機系の一態様に対応し
ている。待機状態は、系が健全であって、かつ、系が運
転系である他系からデータを逐次受信している状態であ
る。状態３は系に重故障が発生している状態である。状
態３は、その系を初期化した上で運転系のデータを取得
しなければ運転系に切り替わることができない停止状態
である。停止状態は、プラント監視装置における待機系
の別の態様に対応している。

【００４３】状態４は、軽故障を解消すれば、系の初期
化を行うことなくそのときの運転系のデータを取得して
運転系に切り替われる準備状態である。準備状態は、プ
ラント監視装置における待機系のさらに別の態様に対応
している。以下、状態１を運転状態、状態２を待機状
態、状態３を停止状態、状態４を準備状態という。

【００４４】なお、この実施例によるプラント監視装置
の構成は図２１に示す従来のものと同様である。ただ
し、ＣＰＵユニット１９ａ，１９ｂの機能が従来のもの
とは異なる。そして、構成制御手段は、ＣＰＵユニット
１９ａ，１９ｂで実現される。また、ＲＡＳ監視ユニッ
ト１８ａ，１８ｂからＣＰＵユニット１９ａ，１９ｂに
対して故障の程度を示す詳細情報が通知される。

【００４５】次に動作について説明する。ここでは、現
在、Ａ系１５が運転系、Ｂ系１６が待機系であるとす
る。この場合、運転系であるＡ系１５は、従来のものと
同様に、ＣＰＵユニット１９ａは、プラントステーショ
ン１２が収集したプラントデータを光ファイバトークン
リングネットワーク１３を介して取得する。そして、取
得したプラントデータを必要に応じて編集しハードディ
スク３０ａ，３０ｂに登録する。

【００４６】また、Ａ系の運転に必要なデータは、Ａ系
１５の主メモリ（図示せず）に記憶されているが、収集
したプラントデータも主メモリに記憶される。そして、
それらのデータは、ＣＰＵユニット１９ａは、データリ
ンクインタフェース２０ａおよびデータリンク２８を介
して、適宜Ｂ系１６の主メモリ（図示せず）に転送され
る。

【００４７】Ａ系１５が以上のようにプラントの監視処
理を行っている間に、Ａ系１５のハードウエアに故障が
発生すると、あるいは、ＣＰＵユニット１９ａ内で稼働
するソフトウエアに異常が発生すると、ＲＡＳ監視ユニ
ット１８ａがこの故障等を検出する。そして、ハードウ
エア故障等が発生した旨をＣＰＵユニット１９ａおよび
運転制御ユニット２６に通知する。

【００４８】ＣＰＵユニット１９ａは、その通知にもと
づいて、故障がプラント監視の続行が不可能なほどの重
故障であるのか、プラントの監視処理にほとんど影響が
ない軽故障であるかのか判断する。そして、重故障であ
れば、Ａ系１５を運転状態１から停止状態３に状態遷移
させる。軽故障であれば、準備状態４に状態遷移させ
る。運転制御ユニット２６は、Ｂ系１６のＣＰＵユニッ
ト１９ｂに対してＢ系１６が待機状態２から運転状態１
に状態遷移するよう指令する。

【００４９】Ａ系１５が停止状態３にあるとき、故障し
たハードウエア等の修理がなされた後、初期化の操作が
されると、ＣＰＵユニット１９ａは、自系を準備状態４
に遷移させる。Ａ系１５が準備状態４にあるとき、軽故
障が残っていればその解消操作がなされる。軽故障がな
くなった状態になると、ＣＰＵユニット１９ａは、Ｂ系
１６の保有するデータを取得した後、自系を待機状態２
に遷移させる。

【００５０】Ａ系１５に軽故障が生じた後、Ａ系１５を
再度運転系に切り替える場合、従来の方法によると、Ａ
系１５は必ず停止状態３に遷移するのでＡ系１５の初期
化処理を経なければ運転状態１に復帰させることができ
なかった。この実施例では、Ａ系１５は準備状態４に遷
移するので、Ａ系１５を初期化処理することなく運転状
態１に遷移させることができる。なお、運転制御ユニッ
ト２６等の動作は従来のシステムにおける動作と同様で
ある。

【００５１】実施例２．図２はＣＰＵユニット１９ａ内
で動作する各タスクの構成および動作を説明するための
説明図である。図において、１０１はＲＡＳ監視ユニッ
ト１８ａの検出結果にもとづいてＡ系１５における故障
等の有無を判定するとともに、故障等が発生している場
合には重故障であるか軽故障であるかを判断するＲＡＳ
監視タスク（システムタスク）、１０２はＡ系１５の状
態を運転制御ユニット２６に通知するとともに、Ｂ系１
６または運転制御パネル２５から送信される系切替指令
を運転制御ユニット２６を介して受信し、その系切替指
令を出力する二重系監視タスク（システムタスク）、１
０３はデータリンク２８を介してＢ系１６にデータやシ
ステム時刻を送信するとともに、Ｂ系１６からデータや
システム時刻を受信する系間通信タスク（システムタス
ク）である。なお、システムの構成は図２１に示す構成
と同様であり、系の状態遷移は図１に示すとおりであ
る。また、システムタスクとは、アプリケーションタス
クではないタスクを意味する。

【００５２】１０４は各アプリケーションタスク１１０
ごとの処理内容や起動に関する情報を格納する起動管理
ファイル、１０５は起動管理ファイル１０４に格納され
ている内容に従って各アプリケーションタスク１１０の
生成、消滅等の要求を周期的に出力する起動管理タスク
（システムタスク）、１０６はオペレータステーション
３２からＬＡＮインタフェース１７ａを介して受信した
データを出力する受信タスク（システムタスク）、１０
７は二重系監視タスク１０２、起動管理タスク１０５お
よび受信タスク１０６の出力を蓄積するメッセージキュ
ー、１０８はシステムの起動時に、初期化処理（他のシ
ステムタスクの生成やメッセージキュー１０７等の共有
資源の確保）を行うとともに、メッセージキュー１０７
に蓄積されている内容に従ってアプリケーションタスク
１１０の生成、消滅、状態遷移等を行うマザータスク
（システムタスク）である。

【００５３】１０９は系の切替時に処理内容が変化する
各アプリケーションタスク１１０からなるアプリケーシ
ョンタスク群、１１１はマザータスク１０８の出力を蓄
積するメッセージキュー、１１２，１１３はアプリケー
ションタスク１１０の出力を蓄積するメッセージキュ
ー、１１４〜１１６はそれぞれメッセージキュー１１１
〜１１３に蓄積された内容をＬＡＮインターフェース１
７ａを介してオペレータステーション３２に送信する送
信タスク（システムタスク）であり、送信タスク１１４
〜１１６はそれぞれ高、中、低の優先度を有している。

【００５４】１１７はシステムタスクやアプリケーショ
ンタスク１１０の起動時刻を管理し、起動時刻に到達し
たタスクに対して起動指令を出力するタイマタスク（時
刻修正手段）（システムタスク）である。なお、ＣＰＵ
ユニット１９ｂ内で動作するタスクの構成は、ＣＰＵユ
ニット１９ａ内で動作するタスクの構成と同様である。
ここで、タスク別状態遷移手段は、マザータスク１０８
で実現される。起動選択手段は、マザータスク１０８お
よび起動管理ファイル１０４で実現される。状態遷移順
序設定手段は、マザータスク１０８および起動管理ファ
イル１０４で実現される。

【００５５】図３はアプリケーションタスク１１０の処
理内容の変化を示す状態遷移図であり、図において、１
２１は系が運転状態１にある場合の処理（以下、Ｍ処理
という。）を実行しているＭ処理実行中状態、１２２は
Ｍ処理が実行可能なＭ処理待ち状態を示す。Ｍ処理実行
中状態１２１およびＭ処理待ち状態１２２は系が運転状
態１にあるときに対応する状態であり、以下、それらを
併せてＭ状態という。

【００５６】１２３は系が待機状態２にある場合の処理
（以下、Ｓ処理という。）を実行しているＳ処理実行中
状態、１２４はＳ処理が実行可能なＳ処理待ち状態を示
す。Ｓ処理実行中状態１２３およびＳ処理待ち状態１２
４は系が待機状態２にあるときに対応する状態であり、
以下、それらを併せてＳ状態という。１２５はアプリケ
ーションタスク１１０が停止している停止状態を示す。
停止状態１２５は、系が準備状態４または停止状態３に
あるときに対応する。１２６はＭ状態からＳ状態に状態
遷移中であるＭｔｏＳ状態、１２７はＳ状態からＭ状態
に状態遷移中であるＳｔｏＭ状態である。

【００５７】なお、図中、状態遷移を示す矢印に付記さ
れているａ／ｂの記載は、ａはその状態遷移の要因を示
し、ｂはその状態遷移に伴って行われる処理を示してい
るただし、−は何の処理も行わないことを示している。

【００５８】次に動作について説明する。ＣＰＵユニッ
ト１９ａ，１９ｂ内のソフトウエアは、図２に示すよう
に、複数のシステムタスクと複数のアプリケーションタ
スク１１０から構成されている。系の状態が遷移すると
き、各アプリケーションタスク１１０の状態も遷移する
ことになる。正確には、アプリケーションタスク１１０
の状態が遷移することによって各系の状態が遷移する。
系の状態と各アプリケーションタスクの状態とを対応さ
せるために、全てのアプリケーションタスク１１０が非
同期に状態を遷移するのではなく、相互に他のアプリケ
ーションタスク１１０と同期をとりながら順次状態を遷
移する必要がある。

【００５９】例えば、運転状態１から待機状態２に状態
遷移する系では、系内のメッセージキュー１０７等に蓄
積されている内容に関する処理を終了した後に、主メモ
リ上へのデータの蓄積を停止しなければならない等の制
約がある。それらの制約を満たすために、各アプリケー
ションタスク１１０の切替順序にも制約が生ずる。

【００６０】そこで、切替順序の制約を満足させるため
に、例えば図４に示すように、起動管理ファイル１０４
に、各アプリケーションタスク１１０の種類（周期タス
クであるか、非周期タスクであるか）、状態遷移を行う
順序、各状態において実行する関数、状態遷移に関する
情報などが格納される。マザータスク１０８は、その起
動管理ファイル１０４の格納内容に従って動作する。

【００６１】すなわち、マザータスク１０８は、二重系
監視タスク１０２から系切替指令を受けると、まず、全
てのアプリケーションタスク１１０に対して状態遷移の
予告を通知する。周期タスクに対して切替予告シグナ
ル、非周期タスクに対して切替予告メッセージによって
通知を行う。ここで、周期タスクとは、タイマタスク１
１７から送信される起動シグナルによって起動されるタ
スクをいい、非周期タスクとは、他のタスクから送信さ
れる起動メッセージによって起動されるタスクをいう。

【００６２】そして、マザータスク１０８は、各アプリ
ケーションタスク１１０に対して、起動管理ファイル１
０４に格納されている状態遷移を行う順序に従って切替
通知シグナルを送信する。ただし、系の停止処理を行う
場合には、各アプリケーションタスク１１０の終了する
順序に従って終了シグナルを送信する。なお、各アプリ
ケーションタスク１１０間の同期は、マザータスク１０
８が、各アプリケーションタスク１１０に対して切替通
知シグナルを送信するごとに、各アプリケーションタス
ク１１０から遷移完了通知（状態遷移が完了した旨を示
す通知であり、マザータスク１０８に対するメッセージ
送信によって通知される）が送信されてくるのを待つこ
とにより達成される。

【００６３】マザータスク１０８は、全てのアプリケー
ションタスク１１０から遷移完了通知を受信すると、系
切替が終了したものと判断する。そして、二重系監視タ
スク１０２に対して完了を通知する。以上のようにし
て、系切替処理が終了する。なお、二重系監視タスク１
０２はその完了の通知にもとづいて系の状態を運転制御
ユニット２６に通知する。

【００６４】図５は各アプリケーションタスク１１０の
状態遷移の一例を示すタイミング図である。以下、図５
に示す例を用いて、状態遷移の一例について説明する。 １． 時刻ｔ０より前では、アプリケーションタスクＡ
Ｐ＃１，ＡＰ＃２，ＡＰ＃３，ＡＰ＃４はＭ処理待ち状
態１２２にある。この状態で、起動シグナルまたは起動
メッセージを受信すると、Ｍ処理実行中状態１２１に遷
移しＭ処理を開始する。Ｍ処理が完了するとＭ処理待ち
状態１２２に戻る。 ２． 時刻ｔ０において、マザータスク１０８が各アプ
リケーションタスクＡＰ＃１，ＡＰ＃２，ＡＰ＃３，Ａ
Ｐ＃４に対して切替予告シグナルまたは切替予告メッセ
ージを送信すると、各アプリケーションタスクＡＰ＃
１，ＡＰ＃２，ＡＰ＃３，ＡＰ＃４はＭｔｏＳ状態１２
６に状態遷移する。 ３． 時刻ｔ１において、マザータスク１０８がアプリ
ケーションタスクＡＰ＃１に対して切替通知シグナルを
送信すると、アプリケーションタスクＡＰ＃１は、Ｍｔ
ｏＳ処理を実行した後、Ｓ処理待ち状態１２４に状態遷
移する。状態遷移後、起動シグナルを受信するごとにＳ
処理実行中状態１２３に状態遷移してＳ処理を実行す
る。Ｓ処理が完了するとＳ処理待ち状態１２４に戻る。

【００６５】４． 時刻ｔ２において、アプリケーショ
ンタスクＡＰ＃２のＳ処理待ち状態１２４への状態遷移
が行われる。 ５． 時刻ｔ３において、ＭｔｏＳ状態１２６にあるア
プリケーションタスクＡＰ＃４に対して起動シグナルが
送信されると、起動シグナルはアプリケーションタスク
ＡＰ＃４で保持される。アプリケーションタスク１１０
は非常に周期の長いタスクである。よって、系切替中、
すなわち運転系から待機系への切替中に起動シグナルを
受信すると、系切替終了後に処理を実行する。 ６． 時刻ｔ４において、アプリケーションタスクＡＰ
＃３のＳ処理待ち状態１２４への状態遷移が行われる。 ７． 時刻ｔ５において、アプリケーションタスクＡＰ
＃４のＳ処理待ち状態１２４への状態遷移が行われる。
状態遷移完了後、時刻ｔ５から保持していた起動シグナ
ルに応じてＳ処理実行中状態１２３に状態遷移し、Ｓ処
理を実行する。

【００６６】なお、アプリケーションタスク１１０が系
切替中に起動シグナルを受信した場合に、系切替に応じ
た状態遷移後にそのアプリケーションタスク１１０の起
動を許容すべきか否かは、起動管理ファイル１０４の内
容によって決定される。よって、起動管理ファイル１０
４を修正することにより、許容すべきか否かを任意に選
択することができる。

【００６７】実施例３．運転系であるＡ系１５の主メモ
リに記憶されている運転に必要なデータは、ＣＰＵユニ
ット１９ａによって、データリンク２８を介して、適宜
Ｂ系１６の主メモリに転送されることは既に述べた。そ
の際、運転系であるＡ系１５における最短のデータ収集
間隔より短い間隔でその運転に必要なデータを待機系で
あるＢ系に転送するようにしてもよい。

【００６８】図６は運転系における最短のデータ収集間
隔よりも短い間隔で運転に必要なデータを待機系に転送
するＣＰＵユニット１９ａ，１９ｂ内のタスクの動作を
説明するための説明図である。図６において、データリ
ンクインタフェース２０ａ，２０ｂは省略されている。
図において、１３１ａ，１３１ｂは他系からデータリン
ク２８を介してデータを受信するデータリンク受信タス
ク、１３２ａ，１３２ｂはデータリンク受信タスク１３
１ａ，１３１ｂにより受信されたデータを蓄積するメッ
セージキューである。

【００６９】１３３ａ，１３３ｂはメッセージキュー１
３２ａ，１３２ｂに蓄積されたデータを主メモリ上のバ
ッファ１３４ａ，１３４ｂに格納するとともに、バッフ
ァ１３４ａ，１３４ｂに格納されているデータのうち最
新のデータを周期的にメッセージとして出力する系間コ
ピータスク、１３５ａ，１３５ｂは系間コピータスク１
３３ａ，１３３ｂが出力したメッセージを蓄積するメッ
セージキュー、１３６ａ，１３６ｂはメッセージキュー
１３５ａ，１３５ｂに蓄積されたメッセージをデータリ
ンク２８を介して他系に送信するデータリンク送信タス
ク、１３７ａ，１３７ｂはデータリンク受信タスク１３
１ａ，１３１ｂとデータリンク送信タスク１３６ａ，１
３６ｂがデータリンク２８に対して同時にアクセスしな
いように、各タスクを排他的に制御するセマフォであ
る。

【００７０】なお、システムの構成は図２１に示す構成
と同様であり、系の状態遷移は図１に示すとおりであ
る。ここでは、データ転送手段は、系間コピータスク１
３３ａ，１３３ｂで実現される。

【００７１】次に動作について説明する。運転系および
待機系の主メモリは、一般に、揮発性記憶媒体によって
構成されている。よって、運転系が電源停止などの原因
で急停止したような場合、運転系の主メモリに記憶され
たデータは失われる。また、待機系が運転系に切り替わ
る場合、待機系は運転系のデータを有していなければ運
転開始することができない。従って、円滑に系切替が実
行されるために、運転系の主メモリに蓄積されるデータ
（そのデータが収集された時刻を含む）を、待機系の主
メモリにも蓄積させておく必要がある。

【００７２】この実施例では、待機系であるＢ系１６の
系間コピータスク１３３ｂが、Ｂ系１６における主メモ
リのバッファ１３４ｂに格納されているデータのうち最
新のデータに付随している時刻をメッセージとしてメッ
セージキュー１３５ｂに出力する。出力は一定周期Ｔ_C
で繰り返される。データリンク送信タスク１３６ｂは、
メッセージキュー１３５ｂ内の各メッセージをデータリ
ンク２８に対して送出する。各メッセージは、Ａ系１５
のデータリンク受信タスク１３１ａおよびメッセージキ
ュー１３２ａを介して系間コピータスク１３３ａに伝え
られる。

【００７３】Ａ系１５の系間コピータスク１３３ａは、
Ｂ系１６が保有している最新データをそのデータが収集
された時刻とともに入手したことになる。そこで、系間
コピータスク１３３ａは、主メモリのバッファ１３４ａ
に蓄積されているデータのうち、Ｂ系１６が保有してい
る最新データの収集時刻よりもあとに収集されたデータ
の全てを、メッセージキュー１３５ａ、データリンク送
信タスク１３６ａおよびデータリンク２８を介してＢ系
１６に送信する。それらのデータには、データ収集時刻
も付加される。

【００７４】待機系であるＢ系１６において、系間コピ
ータスク１３３ｂは、データリンク受信タスク１３１ｂ
およびメッセージキュー１３２ｂを介してＡ系１５から
送信されたデータを入手する。そして、そのデータを主
メモリのバッファ１３４ｂに格納する。

【００７５】以上の動作によって、運転系であるＡ系１
５の主メモリに記憶されたデータを、待機系であるＢ系
１６も保有できる。ここで、データの転送間隔Ｔ_C は、
Ａ系１５における最短のデータ収集間隔Ｔ_sms よりも長
くない。すなわち、 Ｔ_C ≦Ｔ_sms である。転送間隔Ｔ_C が最短のデータ収集間隔Ｔ_sms よ
り長いと、サンプリングされた最新のデータおよびそれ
以前の１つ以上のデータがＢ系１６に転送される前に失
われる可能性がある。しかし、Ｔ_C ≦Ｔ_sms となってい
れば、失われるデータは、高々１サンプリング分だけで
ある。

【００７６】実施例４．第３の実施例では、系間コピー
タスク１３３ａ，１３３ｂが、運転系からデータを送信
して待機系がデータを受信する制御を全て行っていた。
すなわち、待機系であるときに保有している最新データ
に付随している時刻（以下、これを時刻印という。）の
運転系への周期的な転送、運転系であるときに待機系か
ら送られてきた時刻印が示す時刻よりもあとのデータの
待機系への送信、および待機系にあるときに運転系から
送られてきたデータの主メモリへの格納の処理を行って
いた。

【００７７】よって、系間コピータスク１３３ａ，１３
３ｂは、タイマタスク１１７によって周期的に起動され
る必要がある。その一方で、時刻印やデータの到着を要
因として非周期的に起動される。従って、周期的に起動
されて処理を行っているときに、時刻印やデータが到着
したときの処理を規定する必要がある。また、非周期的
に起動されて処理を行っているときに、周期起動のタイ
ミングが到来したときの処理を規定する必要がある。例
えば、ある処理の実行中に他の処理に移行できるような
プログラミングが求められる。その結果、系間コピータ
スク１３３ａ，１３３ｂの構成は複雑化せざるを得な
い。特に、系切替が行われる場合の処理は、状態遷移と
も関連するので、さらに複雑化する。

【００７８】そこで、この実施例では、図７に示すよう
に、系間コピータスク１３３ａ，１３３ｂは、時刻印転
送タスク２００ａ，（データ転送手段）２００ｂ、デー
タ転送タスク２０１ａ，２０１ｂ（データ転送手段）、
およびデータ書き込みタスク２０２ａ，２０２ｂ（デー
タ転送手段）に分けられる。時刻印転送タスク２００
ａ，２００ｂは、待機系が保有している最新データの時
刻印を運転系に送信する制御を行うものである。データ
転送タスク２０１ａ，２０１ｂは、主メモリ内の時刻印
を運転系に送信し、データおよび時刻印を待機系に送信
する制御を行うものである。データ書き込みタスク２０
２ａ，２０２ｂは、待機系において運転系から送られて
きたデータを主メモリのバッファ１３４ａ，１３４ｂに
書き込む制御を行うものである。なお、ここでは、時刻
印を格納するバッファ２１０ａ，２１０ｂが、データを
格納するバッファ１３４ａ，１３４ｂとは別に明示され
ている。ＣＰＵユニット１９ａの全体構成は図２に示す
構成と同様であり、システムの全体構成は図２１に示す
構成と同様である。

【００７９】次に動作について説明する。ここでは、Ａ
系１５が待機系、Ｂ系１５が運転系であるとする。Ａ系
１５において、時刻印転送タスク２００ａは、タイマタ
スク１１７によって、周期的に起動される。その周期
は、運転系から待機系に最新データを送信する周期に対
応する。すなわち、時刻印転送タスク２００ａの起動周
期は、データの転送間隔Ｔ_C に等しい。なお、データの
転送間隔Ｔ_C は、Ｂ系１６における最短のデータ収集間
隔Ｔ_sms よりも長くない。

【００８０】起動されると、時刻印転送タスク２００ａ
は、主メモリのバッファ２１０ａに格納されているデー
タのうち最新の時刻印をメッセージとしてメッセージキ
ュー１３５ａに出力する。データリンク送信タスク１３
６ａは、メッセージキュー１３５ａ内の各メッセージを
データリンク２８に対して送出する。各メッセージは、
Ｂ系１６のデータリンク受信タスク１３１ｂおよびメッ
セージキュー１３２ｂを介してデータ転送タスク２０１
ｂに供給される。データ転送タスク２０１ｂは、時刻印
の到着を契機として起動されている。

【００８１】起動されると、データ転送タスク２０１ｂ
は、受信した時刻印が示す時刻よりもあとに収集した各
データをバッファ１３４ｂから読み出す。また、バッフ
ァ２１０ｂから各時刻を読み出しそれらを時刻印として
データに付加する。そして、時刻印が付加されたデータ
を、メッセージキュー１３５ｂ、データリンク送信タス
ク１３６ｂおよびデータリンク２８を介してＡ系１５に
送信する。なお、該当するデータがない場合には送信を
行わない。

【００８２】Ａ系１５において、データリンク受信タス
ク１３１ａおよびメッセージキュー１３２ａを介してデ
ータ書き込みタスク２０２ａに供給される。データ書き
込みタスク２０２ａは、データの受信を契機として起動
されている。起動されると、データ転送タスク２０１ｂ
は、受け取ったデータのうち運転系に関するデータをバ
ッファ１３４ａに書き込み、最新の時刻を示す時刻印を
バッファ２１０ａに書き込む。

【００８３】以上のようにして、時刻印転送タスク２０
０ａ、データ転送タスク２０１ａ，２０１ｂおよびデー
タ書き込みタスク２０２ａの共働によって、運転系の最
新データが待機系の主メモリに転送される。なお、Ａ系
１５が運転系、Ｂ系１５が待機系の場合も、上記動作と
同様の動作によって、Ａ系１５の最新データがＢ系１６
の主メモリに転送される。ここでは、時刻印転送タスク
２００ａ，２００ｂ、データ転送タスク２０１ａ，２０
１ｂ、およびデータ書き込みタスク２０２ａ，２０２ｂ
は、一度起動されると処理が完了するまでその処理を継
続することができる。よって、各タスクの設計は容易で
あり、かつ、各処理を平行して効率よく実行することが
できる。

【００８４】実施例５．Ａ系１５におけるシステム時刻
とＢ系１６におけるシステム時刻に時刻差Ｓが生じ、そ
の時刻差Ｓが許容範囲より大きくなると様々な障害が生
ずる。よって、Ａ系１５におけるシステム時刻とＢ系１
６におけるシステム時刻を、許容範囲内に収める必要が
ある。

【００８５】時刻差Ｓを検出して一方のシステム時刻を
その時刻差分だけ進めるか、あるいは、遅らせるかすれ
ばその時刻差Ｓを解消することができる。しかし、その
時刻差Ｓが極めて大きい場合（｜Ｓ｜＞許容範囲Ｐ
１）、直ちにその時刻差Ｓを解消してしまうと、蓄積さ
れたデータの時刻の有効性が失われてしまう。例えば、
従って、時刻差Ｓが許容範囲Ｐ１より大きい場合に、そ
の時刻差Ｓを複数回に分けて平均的に修正することが望
ましい。この実施例によるシステムは、そのような時刻
修正を行うことができるものである。なお、システムの
構成は図２１に示す構成と同様であり、系の状態遷移は
図１に示すとおりである。また、ＣＰＵユニット１９
ａ，１９ｂ内のタスク構成は、例えば図２に示すように
なっている。時刻修正手段は、図２におけるタイマタス
ク１１７で実現される。

【００８６】次に、時刻修正のアルゴリズムを図８を参
照して説明する。例えば、待機系は、運転系が定周期で
送信したシステム時刻情報を順次受信する。そして、受
信した情報によるシステム時刻と自系のシステム時刻と
を比較して、時刻差Ｓが生じている場合に時刻修正を実
行する。待機系のタイマタスク１１７は、絶対時刻ｔ_st
art において時刻の修正を開始したとする。そして、１
回の修正動作で修正する修正時間をｔとする。ただし、
修正時間ｔはタイマタスク１１７の起動周期に等しいと
し、ここでは、修正時間ｔを５００ｍｓｅｃとする。時
刻差Ｓを修正するのにかけるべき時間（吸収時間）をＴ
とする。ここでは、吸収時間Ｔを６００ｓｅｃ（１０
分）とする。また、絶対時刻ｔ_start における運転系の
システム時刻が１７時１０分００．００秒、待機系のシ
ステム時刻が１７時０９分５４．３３秒であるとする。
すると、待機系の運転系に対する時刻差Ｓは−５６７０
ｍｓｅｃである。

【００８７】時刻差Ｓが−５６７０ｍｓｅｃで、１回の
修正動作で修正する修正時間ｔが５００ｍｓｅｃである
から、下式に示すように、時刻の修正に必要とされる修
正回数ｎは１１回である。 修正回数ｎ＝｜Ｓ｜／ｔ＝５６７０／５００≒１１ 吸収時間Ｔが６００ｓｅｃで、修正時間（タイマタスク
１１７の起動周期）ｔが５００ｍｓｅｃであるから、時
刻の修正を開始してから時刻の修正が終了するまでにタ
イマタスク１１７が起動する回数Ｎは、下式に示すよう
に１２００回となる。 タイマタスク１１７の起動回数Ｎ＝Ｔ／ｎ ＝６０００００／５００ ≒１２００

【００８８】従って、タイマタスク１１７が１２００回
起動する間に、１１回の時刻修正を行えばよい。時刻差
Ｓを吸収時間Ｔの間で平均的に修正するために、時刻差
Ｓを修正する時間間隔Ｃを以下のように設定する。 修正する時間間隔Ｃ＝ｔ・Ｎ／ｎ ＝５００・１２００／１１ ≒５４．５ｓｅｃ

【００８９】よって、待機系において、タイマタスク１
１７は、絶対時刻ｔ_start を起点にして、時間間隔Ｃ＝
５４．５ｓｅｃ経過ごとに計１１回時刻修正処理を実行
する。各時刻修正において、ｔ＝５００ｍｓｅｃずつタ
イマタスクの起動時刻が進むことになる。タイマタスク
１１７は、起動時刻に到達した各タスクに対して起動指
令を出力するものである。例えば、（５００×ｎ）ｍｓ
ｅｃ後に起動すべきタスクがある場合には、各時刻修正
処理において、そのタスクの起動タイミングを（５００
×（ｎ−１））ｍｓｅｃに変更する。この処理によっ
て、等価的に、システム時刻が０．５ｓｅｃ早まったこ
とになる。そして、絶対時刻ｔ_start から６００ｓｅｃ
経過後の絶対時刻ｔ_end において、両系間のシステム時
刻の差は（５５０×１１）−５６７０＝−１７０ｍｓｅ
ｃとなる。

【００９０】例えば、運転系における周期スレッドＰと
待機系における周期スレッドＰ’は、ともに周期が３０
ｓｅｃであるとする。すると、例えば、各系のシステム
時刻が毎分００．００秒と３０．００秒のときに、タイ
マタスク１１７は周期タスクを起動する。運転系では時
刻の修正が行われないので、周期スレッドＰの周期は変
化しない。しかし、待機系の時刻修正にともなって周期
スレッドＰ’の周期は下記のように変化する。

【００９１】すなわち、周期スレッドＰ’の起動周期
は、その周期中に５００ｍｓｅｃごとの修正点を含むも
のは３０．００−０．５０＝２９．５０ｓｅｃ、含まな
いものに関しては３０．００ｓｅｃとなる。

【００９２】時刻修正処理では実際のシステム時刻を変
化させることはできないが、以上のように、システム時
刻に時刻差Ｓを加えたものを見かけ上のシステム時刻と
することができる。また、待機系は、時刻修正が完了す
ると、修正後の自系のシステム時刻と運転系のシステム
時刻との時刻差を自系のシステムディスクなどの不揮発
性記憶媒体に記憶する。よって、系が停止して再起動さ
れても、停止前の時刻差を用いて、見かけ上のシステム
時刻を得ることができる。

【００９３】実施例６．第５の実施例では、運転系と待
機系におけるシステム時刻の修正について示したが、同
様のアルゴリズムを用いて外部システムと運転系間、あ
るいは、外部システムと待機系間でのシステム時刻の修
正を行ってもよい。そのようにして、外部システムと系
との間で見かけ上システム時刻を一致させることができ
る。

【００９４】実施例７．運転系のデータを転送するとと
もにシステム時刻情報を定周期でデータリンク２８を介
して転送する場合、運転系のデータのメッセージ長の上
限を定めるとともに、システム時刻情報の優先度をデー
タの優先度より高くするようにしてもよい。仮に、運転
系のデータのメッセージ長の上限を制限しないとする
と、運転系のデータが多い場合にはデータリンク２８が
運転系のデータの転送に長時間占有される。その結果、
システム時刻情報を一定周期で転送できなくなり、時刻
修正を正確に行えなくなるからである。

【００９５】そこで、この実施例では、ＣＰＵユニット
１９ａ，１９ｂにおいて、運転系のデータのメッセージ
長の上限が設定される。また、データリンク送信タスク
１３６ａ，１３６ｂは、送信の際に、システム時刻情報
の優先度を運転系のデータの優先度より高くする。例え
ば、メッセージキュー１３５ａ，１３５ｂが二重化され
る。そして、系間コピータスク１３３ａ，１３３ｂは、
システム時刻情報を優先度の高いキューに格納する。シ
ステム時刻の優先度を高くすることにより、システム時
刻情報が一定周期で転送できる状態が継続される。

【００９６】なお、この実施例によるシステムの構成は
図２１に示す構成と同様であり、系の状態遷移は図１に
示すとおりである。また、ＣＰＵユニット１９ａ，１９
ｂ内のタスク構成は、例えば図２，図６に示すようにな
っている。ここでは、メッセージ長設定手段は、例え
ば、系間コピータスク１３３ａ，１３３ｂで実現され
る。優先度設定手段は、例えば、データリンク送信タス
ク１３６ａ，１３６で実現される。

【００９７】実施例８．第２の実施例では、マザータス
ク１０８がアプリケーションタスク１１０の状態遷移順
序を起動管理ファイル１０４の格納内容に従って制御す
るものを示した。そのような制御を行う場合、状態遷移
順序をユーザあるいは設計者が起動管理ファイル１０４
にあらかじめ設定しておく必要がある。設定の際に、運
転系と待機系との間で、タスクが実行する処理に矛盾が
生じないようにしなければならない。例えば、既に述べ
たように、運転系は適宜プラントから収集したデータを
待機系に転送している。そのとき、収集時刻を付加して
転送している。系切替がうまくいかないと、同一収集時
刻をもつ複数のデータが生成されてしまうこともある。
そのようなことが生じないように、系切替が実行されな
ければならない。

【００９８】しかし、アプリケーションタスク１１０は
多数生成されるので、矛盾が生じないように各アプリケ
ーションタスク１１０の状態遷移順序を決定するには多
大の労力を要する。そこで、この実施例では、系切替時
に起きてはならない矛盾についての制約を簡単な表記方
法で表現した論理的な制約として与え、論理的な制約に
もとづいて状態遷移順序を決定する状態遷移順序決定方
法を示す。

【００９９】図９はデータ転送に関連するＣＰＵユニッ
ト１９ａ内アプリケーションタスクの構成および動作を
示す説明図である。ＣＰＵユニット１９ａの全体構成は
図２に示す構成と同様であり、システムの全体構成は図
２１に示す構成と同様である。

【０１００】図９において、２２０は収集されたプラン
トデータを主メモリ上のバッファ１３４に格納するサン
プリングタスク、２２１はバッファ１３４内のデータを
ミラーディスク２９に格納する制御を行うバックアップ
タスク、２２２はオペレータステーション３２からの要
求によって、任意に期間において収集した各データをオ
ペレータステーション３２に転送する一斉転送タスク、
２２３は最新データを定期的にオペレータステーション
３２に転送する周期転送タスク、２３０はメッセージキ
ューである。２００は時刻印転送タスク、２０１はデー
タ転送タスク、２０２はデータ書き込みタスクである。
なお、ＣＰＵユニット１９ｂ内で動作するタスクの構成
は、ＣＰＵユニット１９ａ内で動作するタスクの構成と
同様である。

【０１０１】次にＣＰＵユニット１９ａのデータ転送に
関する動作について説明する。以下、Ａ系１５に着目し
て説明を行う。サンプリングタスク２２０は、タイマタ
スク１１７によって、プラントデータの収集を行う間隔
として設定されている間隔で周期的に起動される。起動
されると、自系が運転状態１にあってサンプリングタス
ク２２０がＭ状態にある場合には、Ｍ処理として、プラ
ントステーション１２から転送されてきたデータを取得
する。そして、そのデータをバッファ１３４に書き込
む。また、現在のシステム時刻を時刻印としてバッファ
２１０に書き込む。Ｓ状態、ＳｔｏＭ状態またはＭｔｏ
Ｓ状態にあるときには、サンプリングタスク２２０は、
起動されても何もしない。

【０１０２】バックアップタスク２２１は、タイマタス
ク１１７によって、サンプリングタスク２２０の起動周
期の何倍かの周期で起動される。バックアップタスク２
２１は、Ｍ状態にある場合には、Ｍ処理として、前回起
動されてから今回起動されるまでにバッファ１３４に格
納された各データをバッファ１３４から読み出す。そし
て、ディスクコントローラ２２を介してそれらのデータ
をミラーディスク２９に格納する。Ｓ状態にあるときに
は、バックアップタスク２２０は、起動されても何もし
ない。

【０１０３】ＭｔｏＳ状態にあるときには、すなわち、
Ｍ状態でマザータスク１０８からの切替予告シグナルを
受信した後の状態にあるときにはＭｔｏＳ処理を行う。
ここでのＭｔｏＳ処理では、ミラーディスク２９に格納
済のデータのうち最新のものをＢ系１６に送信する。Ｓ
ｔｏＭ状態にあるときには、すなわち、Ｓ状態でマザー
タスク１０８からの切替予告シグナルを受信した後の状
態にあるときには、Ｂ系１６が本来ミラーディスク２９
に格納すべきデータであってまだ格納されていないデー
タをバッファ１３４ａから読み出してミラーディスク２
９に格納する。そのデータは、Ｂ系１６から直前に受信
したデータである。

【０１０４】Ａ系１５が運転状態１にあるとき、オペレ
ータステーション３２からプラントのデータの一斉転送
要求が出されると、その要求は、ＬＡＮ３３ａ、受信タ
スク１０６、メッセージキュー１０７を介してマザータ
スク１０８に受け付けられる。マザータスク１０８は、
一斉転送要求をメッセージキュー２３０に設定する。一
斉転送タスク２２２は、Ｍ処理として、メッセージキュ
ー２３０内の要求を受け付ける。要求を受け付けると、
プラントのデータをバッファ１３４またはミラーディス
ク２９から読み出す。そして、読み出したデータを、メ
ッセージキュー１１３、送信タスク１１６およびＬＡＮ
３３ａを介してオペレータステーション３２に転送す
る。Ａ系１５が待機状態２にあって一斉転送タスク２２
２がＳ状態にあるときには、一斉転送タスク２２２は何
も行わない。ＭｔｏＳ状態にあるときには、メッセージ
キュー２３０内の要求を、これから運転系になるＢ系１
６に転送する。ＳｔｏＭ状態にあるときには、オペレー
タステーション３２に対して、系切替があったことを通
知する。

【０１０５】周期転送タスク２２３は、タイマタスク１
１７によって、周期的に起動される。その周期は、オペ
レータステーション３２への定周期データ転送の周期に
対応する。Ａ系１５が運転状態１にあって周期転送タス
ク２２３がＭ状態にあるときには、Ｍ処理として、バッ
ファ１３４内の最新データをメッセージキュー１１３、
送信タスク１１６およびＬＡＮ３３ａを介してオペレー
タステーション３２に転送する。Ａ系１５が待機状態２
にあって周期転送タスク２２３がＳ状態にあるときに
は、一斉転送タスク２２２は何も行わない。ＭｔｏＳ状
態にあるときにも何も行わない。ＳｔｏＭ状態にあると
きには、オペレータステーション３２に対して、系切替
があったことを通知する。

【０１０６】時刻印転送タスク２００は、タイマタスク
１１７によって、周期的に起動される。その周期は、既
に述べたように、運転系から待機系に最新データを送信
する周期に対応する。Ａ系１５が待機状態２にあって時
刻印転送タスク２００がＳ状態にあるときには、Ｓ処理
として、既に述べたような時刻印のＢ系１６への転送を
行う。Ｍ状態、ＭｔｏＳ状態またはＳｔｏＭ状態にある
ときには、何もしない。データ転送タスク２０１は、Ａ
系１５が運転状態１にあってデータ転送タスク２０１Ｍ
状態にあるときには、Ｂ系１６からの時刻印の到着によ
って起動される。起動されると、既に述べたようにバッ
ファ１３４内のデータおよびバッファ２１０内の時刻印
のＢ系１６への転送を行う。Ｓ状態、ＳｔｏＭ状態また
はＭｔｏＳ状態にあるときには、何もしない。

【０１０７】データ書き込みタスク２０２は、Ａ系１５
が待機状態２にあってデータ書き込みタスク２０２がＳ
状態にあるとき、既に述べたようにメッセージキュー１
３２からメッセージを取り出し、その中のデータをバッ
ファ１３４に書き込み、最新の時刻印をバッファ２１０
に書き込む。Ｍ状態、ＭｔｏＳ状態またはＳｔｏＭ状態
にあるときには、何もしない。

【０１０８】Ａ系１５において、プラントのデータに関
する転送は以上のように実行される。なお、以上の説明
はＡ系１５に着目した説明であるが、Ｂ系１６について
も同様の処理がなされる。以上のような処理過程におい
て、系切替が発生したときに起きてはならない矛盾を表
現する論理的な制約制約について説明する。

【０１０９】各タスクの状態および状態遷移については
図３に示したとおりであるが、ここで、タスクτのある
状態から他の状態ａへの遷移を、 τ→ａ と表す。また、 Ａ系１５の時刻印転送タスク２００をτｔ Ａ系１５のデータ転送タスク２０１をτｄ Ａ系１５のデータ書き込みタスク２０２をτｗ Ａ系１５のサンプリングタスク２２０をτｓ、 Ａ系１５のバックアップタスク２２１をτｂ Ａ系１５の一斉転送タスク２２２をτａ Ａ系１５の周期転送タスク２２３をτｐ Ｂ系１５の時刻印転送タスク２００をτ’ｔ Ｂ系１５のデータ転送タスク２０１をτ’ｄ Ｂ系１５のデータ書き込みタスク２０２をτ’ｗ Ｂ系１５のサンプリングタスク２２０をτ’ｓ、 Ｂ系１５のバックアップタスク２２１をτ’ｂ Ｂ系１５の一斉転送タスク２２２をτ’ａ Ｂ系１５の周期転送タスク２２３をτ’ｐ と表現する。

【０１１０】また、論理的な制約を先行制約「・」とタ
スクの遷移とで表現する。例えば、あるタスクτ１，τ
２および状態ａ，ｂに関して、論理的な制約、 τ１→ａ・τ２→ｂ は、タスクτ１の状態ａへの遷移が行われた後に、タス
クτ２の状態ｂへの遷移が行われなければならないこと
を示す。

【０１１１】Ａ系１５が運転系、Ｂ系１６が待機系であ
る場合に、系切替が行われるときには、以下の全ての状
態遷移がなされる必要がある。 τｓ→ＭＳ， τｂ→ＭＳ， τｐ→ＭＳ，τａ→Ｍ
Ｓ， τｔ→ＭＳ， τｄ→ＭＳ， τｗ→ＭＳ，τｓ
→Ｓ， τｂ→Ｓ， τｐ→Ｓ，τａ→Ｓ， τｔ→
Ｓ， τｄ→Ｓ， τｗ→Ｓ，τ’ｓ→ＳＭ， τ’ｂ
→ＳＭ， τ’ｐ→ＳＭ，τ’ａ→ＳＭ， τ’ｔ→Ｓ
Ｍ， τ’ｄ→ＳＭ， τ’ｗ→ＳＭ，τ’ｓ→Ｍ，
τ’ｂ→Ｍ， τ’ｐ→Ｍ，τ’ａ→Ｍ， τ’ｔ→
Ｍ， τ’ｄ→Ｍ， τ’ｗ→Ｍ， ここで、ＭＳはＭｔｏＳ状態、ＳはＳ状態、ＳＭはＳｔ
ｏＭ状態、ＭはＭ状態を示す。

【０１１２】それらの状態遷移について、以下のような
制約がある。 （１）両系で同時にプラントのデータのサンプリングが
行われ同一時刻印の内容の異なるデータが存在するとい
った状況が発生しないようにする。すなわち、 τｓ→ＭＳ・τ’ｓ→Ｍ である。 （２）各系において、バッファ１３４の内容の正当性を
保証するためにバッファ１３４への書き込みが複数タス
クから同時に行われないようにする。すなわち、 τｓ→ＭＳ・τｗ→Ｓ τ’ｗ→ＳＭ・τ’ｓ→Ｍ である。 （３）ミラーディスク２９への書き込みが両系から同時
に行われることのないようにする。すなわち、 τｂ→ＭＳ・τ’ｐ→Ｍ （４）オペレータステーション３２へのデータの周期転
送が両系で同時に行われないようにする。すなわち、 τｐ→ＭＳ・τ’ｂ→Ｍ である。 （５）サンプリングタスク２２０によるバッファ１３４
への書き込みが終了したのに、バッファ内データの周期
転送が実行されると同じデータを何度も送信して矛盾を
生ずる。そこで、そのようなことが生じないように、以
下の制約が必要である。 τｐ→ＭＳ・τｓ→ＭＳ τ’ｓ→Ｍ・τ’ｐ→Ｍ （６）Ｂ系１６の時刻印転送タスク２００がＡ系１５に
時刻印を送信した場合に、Ａ系１５のデータ書き込みタ
スク２０２がこれを受け取ってバッファ１３４に書き込
まないと時刻印がメッセージキュー１３２ａに残り、次
回の系切替の際に不正なデータ転送を起こす。そこで、
そのようなことが生じないように、以下の制約が必要で
ある。 τ’ｔ→ＳＭ・τｄ→ＭＳ τ’ｄ→Ｍ・τｔ→Ｓ （７）Ａ系１５のデータ転送タスク２０１がＢ系１６に
データを送信した場合に、Ｂ系１６のデータ書き込みタ
スク２０２がこれを受け取ってバッファ１３４に書き込
まないとデータ書き込み要求がメッセージキュー１３２
ａに残り、次回の系切替の際に不正なデータ転送を起こ
す。そこで、そのようなことが生じないように、以下の
制約が必要である。 τｄ→ＭＳ・τ’ｗ→ＳＭ τｗ→Ｓ・τ’ｄ→Ｍ

【０１１３】さらに、以下のような自明な順序関係もあ
る。 τｓ→ＭＳ・τｓ→Ｓ τ’ｓ→ＳＭ・τ’ｓ→Ｍ τｂ→ＭＳ・τｂ→Ｓ τ’ｂ→ＳＭ・τ’ｂ→Ｍ τｐ→ＭＳ・τｐ→Ｓ τ’ｐ→ＳＭ・τ’ｐ→Ｍ τａ→ＭＳ・τａ→Ｓ τ’ａ→ＳＭ・τ’ａ→Ｍ τｔ→ＭＳ・τｔ→Ｓ τ’ｔ→ＳＭ・τ’ｔ→Ｍ τｄ→ＭＳ・τｄ→Ｓ τ’ｄ→ＳＭ・τ’ｄ→Ｍ τｗ→ＭＳ・τｗ→Ｓ τ’ｗ→ＳＭ・τ’ｗ→Ｍ

【０１１４】つまり、全ての制約条件は以下のように表
される。 τｓ→ＭＳ・τ’ｓ→Ｍ τｓ→ＭＳ・τｗ→Ｓ τ’ｗ→ＳＭ・τ’ｓ→
Ｍ τｂ→ＭＳ・τ’ｂ→Ｍ τｐ→ＭＳ・τ’ｐ→Ｍ τｐ→ＭＳ・τｓ→ＭＳ τ’ｓ→Ｍ・τ’ｐ→Ｍ τ’ｔ→ＳＭ・τｄ→ＭＳ τ’ｄ→Ｍ・τｔ→Ｓ τｄ→ＭＳ・τ’ｗ→ＳＭ τｗ→Ｓ・τ’ｄ→Ｍ τｓ→ＭＳ・τｓ→Ｓ τ’ｓ→ＳＭ・τ’ｓ→
Ｍ τｂ→ＭＳ・τｂ→Ｓ τ’ｂ→ＳＭ・τ’ｂ→
Ｍ τｐ→ＭＳ・τｐ→Ｓ τ’ｐ→ＳＭ・τ’ｐ→
Ｍ τａ→ＭＳ・τａ→Ｓ τ’ａ→ＳＭ・τ’ａ→
Ｍ τｔ→ＭＳ・τｔ→Ｓ τ’ｔ→ＳＭ・τ’ｔ→
Ｍ τｄ→ＭＳ・τｄ→Ｓ τ’ｄ→ＳＭ・τ’ｄ→
Ｍ τｗ→ＭＳ・τｗ→Ｓ τ’ｗ→ＳＭ・τ’ｗ→
Ｍ

【０１１５】以上のような制約条件を満足するタスクの
状態遷移順序を直ちに決定することは困難である。この
実施例は、タスクの状態遷移順序を容易に決定しうる方
法を提供するものである。その方法は、例えば、図１０
のフローチャートに示すように実現される。

【０１１６】次に、図１０のフローチャートを参照して
動作について説明する。まず、全ての状態遷移を節点、
与えられた論理的な制約条件を先行する状態遷移の節点
から後行する状態遷移の接点への有向線分で表したグラ
フを作成する（ステップＳＴ１）。すると、この例で
は、図１１に示すグラフが作成される。ただし、図１１
において、波線部分はこの段階では作成されていない。

【０１１７】次に、ある節点を起点としてその節点に戻
ってくる経路が存在するかどうか調べる（ステップＳＴ
２）。そのような経路が存在する場合には、全ての制約
条件を満たすタスクの状態遷移順序は存在しないことに
なる。従って、異常終了とする。図１１に示す例ではそ
のような経路は存在しない。そのような経路が存在しな
い場合には、根節点３００を設け、入ってくる有向線分
のない全ての節点に対して、根節点３００を起点とする
有向線分を加える（ステップＳＴ３）。図１１に示す例
では、波線の矢印で示す有向線分が加えられる。

【０１１８】ここで、出力列をクリアしておく（ステッ
プＳＴ４）。そして、根節点を引数としてサブルーチン
Ａを呼び出す（ステップＳＴ５）。サブルーチンＡにお
いて、引数を節点ｉとし、節点ｉからでる有向線分の終
点である節点を節点ｊとして、サブルーチンＢを呼び出
す（ステップＳＴ１０，ＳＴ１１）。図１１に示す例で
は、ｊは３０１〜３１１のいずれかである。

【０１１９】サブルーチンＢにおいて、節点ｉから節点
ｊに至る有向線分に印Ｘを付ける（ステップＳＴ２
０）。この場合には、例えば、根節点３００から節点３
０１に至る有向線分に対して印Ｘが付される。次に、節
点ｊに至る全ての有向線分に印Ｘが付いたかどうか確認
する（ステップＳＴ２１）。この場合には、節点３０１
に至る有向線分は１本しかないので、全ての有向線分に
印Ｘが付いたことになる。全ての有向線分に印Ｘが付い
た場合には、その節点を出力列の最後尾につけ加える
（ステップＳＴ２２）。そして、その節点を引数とし
て、サブルーチンＡを呼び出す（ステップＳＴ２３）。
この場合には、節点３０１が引数である。

【０１２０】ここで、呼び出されたサブルーチンＡにお
いて、再度、ステップＳＴ１０，ＳＴ１１の処理を行
う。この場合には、ｊ＝３１２〜３１４のいずれかであ
る。節点３１２については、ステップＳＴ２１の判定結
果は「ＮＯ」である。しかし、節点３１３については、
ステップＳＴ２１の判定結果は「ＹＥＳ」である。よっ
て、ステップＳＴ２２において、節点３１３が出力列の
最後尾に付け加えられる。この場合には、節点３１３
は、出力列において節点３０１の次に付け加えられる。
そして、節点３１３を引数として再度サブルーチンＡを
呼び出す。

【０１２１】節点３０１から先に延びる全ての節点につ
いて以上の処理を実行すると、次に、節点３０２につい
て以上の処理を実行する。さらに、根節点３００につな
がる全ての節点３０１〜３１１について以上の処理を実
行すると、処理終了である。終了したときに、出力列に
設定されている節点の列、すなわち、状態遷移の列は、
タスク状態遷移の順序を示している。

【０１２２】この場合には、状態遷移順序は以下のよう
に決定される。 （τｐ→ＭＳ）−＞（τｐ→Ｓ）−＞（τｓ→ＭＳ）−
＞（τｓ→Ｓ）−＞（τｂ→ＭＳ）−＞（τｂ→Ｓ）−
＞（τ’ｂ→ＳＭ）−＞（τ’ｂ→Ｍ）−＞（τ’ｓ→
ＳＭ）−＞（τ’ｐ→ＳＭ）−＞（τ’ｔ→ＳＭ）−＞
（τ’ｔ→Ｍ）−＞（τｄ→ＭＳ）−＞（τｄ→Ｓ）−
＞（τ’ｗ→ＳＭ）−＞（τ’ｓ→Ｍ）−＞（τ’ｐ→
Ｍ）−＞（τ’ｗ→Ｍ）−＞（τｗ→ＭＳ）−＞（τｗ
→Ｓ）−＞（τ’ｄ→ＳＭ）−＞（τ’ｄ→Ｍ）−＞
（τｔ→ＭＳ）−＞（τｔ→Ｓ）−＞（τ’ａ→ＳＭ）
−＞（τ’ａ→Ｍ）−＞（τａ→ＭＳ）−＞（τａ→
Ｓ）

【０１２３】以上のように、この実施例によれば、各ア
プリケーションタスク１１０の状態遷移順序を自動的に
決定することができる。このように決定された状態遷移
順序は、図２に示す起動管理ファイル１０４に設定され
る。

【０１２４】実施例９．第８の実施例では系切替時に矛
盾が生じないように各アプリケーションタスク１１０を
状態遷移させる順序を論理的に決定する方法を示した。
さらに、系切替時の時間的制約を加えた状態遷移順序を
決定することもできる。

【０１２５】ここで、時間的制約を遷移時間関数Ｔ（t
1，t2）で定義する。遷移時間関数Ｔ（t1，t2）は、あ
る２つの状態遷移t1，t2について、t1が開始されてから
t2が終了するまでの時間である。t2の終了がt1の開始よ
りも先に起きる場合には、Ｔ（t1，t2）は、t2の終了か
らt1の開始までの時間に−１を掛けた値である。また、
t1とt2とが同一の状態遷移である場合には、Ｔ（t1，t
2）をＴ（t1）と記してもよいことにする。

【０１２６】時間的制約には、例えば、t1が開始されて
からt2が終了するまでの時間をある時間ｔ以下にしなけ
ればならないという制約がある。その制約は、 Ｔ（t1，t2）≦ｔ と表現される。また、t1が開始されてからt2が終了する
までの時間を、上限はないものの、できるだけ小さくし
たいという制約もある。プラント監視処理では、系切替
が行なわれるときには、切替時にオペレータステーショ
ン３２へのデータの周期転送が途切れる時間をなるべく
小さくしたいという制約がある。すなわち、Ａ系１５が
運転系でＢ系１６が待機系である場合に、系切替が行な
われるときには、以下のような制約がある。 Ｔ（τｐ→ＭＳ，τ’ｐ→Ｍ）をできるだけ小さくす
る。

【０１２７】図１２はこの発明の第９の実施例による状
態遷移順序決定方法を示すフローチャートである。図に
示すように、まず、全ての状態遷移を節点、与えられた
論理的な制約条件を先行する状態遷移の節点から後行す
る状態遷移の接点への有向線分で表したグラフを作成す
る（ステップＳＴ１）。すると、この例では、図１３に
示すグラフが作成される。ただし、図１３において、細
実線部分のみがこの段階で作成される。次に、ある節点
を起点としてその節点に戻ってくる経路が存在するかど
うか調べる（ステップＳＴ２）。そのような経路が存在
する場合には、全ての制約条件を満たすタスクの状態遷
移順序は存在しないことになる。従って、異常終了とす
る。図１３に示す例ではそのような経路は存在しない。

【０１２８】そして、入力として与えられた遷移時間関
数Ｔ（t1，t2）の状態遷移t1に相当するＳＴＡＲＴ節点
から、状態遷移t2に相当するＥＮＤ節点に至る経路上の
全ての有向線分に印Ｙを付ける。この場合には、４つの
有向線分に印Ｙが付けられる（ステップＳＴ１１）。そ
のような経路がない場合には、ＥＮＤ節点からＳＴＡＲ
Ｔ節点に向かう有向線分を付け加える。

【０１２９】さらに、印Ｙの付いた有向線分の終点に当
たる全ての節点について、その節点に入る印Ｙの付いて
いない有向線分の始点からＳＴＡＲＴ節点に向かう有向
線分を付け加える（ステップＳＴ１２）。この場合に
は、図１３において有向線分Ｚ１が付け加えられる。ま
た、印Ｙの付いた有向線分の始点点に当たる全ての節点
について、その節点から出る印Ｙの付いていない有向線
分の終点に向かうＥＮＤ節点からの有向線分を付け加え
る（ステップＳＴ１３）。この場合には、図１３におい
て有向線分Ｚ２が付け加えられる。

【０１３０】以上のようにして、第８の実施例で示した
状態順序の制約および上記の時間的な制約を反映した図
１３に示すグラフが作成される。その後の処理は、第８
の実施例の場合と同様である。この場合には、ステップ
ＳＴ３において、根節点３００からの有向線分は、節点
３０２〜３１１に対して引かれる。

【０１３１】全ての処理が完了したときに出力列に設定
された順序は以下のようになる。 （τｂ→ＭＳ）−＞（τｂ→Ｓ）−＞（τ’ｂ→ＳＭ）
−＞（τ’ｂ→Ｍ）−＞（τ’ｓ→ＳＭ）−＞（τ’ｐ
→ＳＭ）−＞（τ’ｔ→ＳＭ）−＞（τ’ｔ→Ｍ）−＞
（τｄ→ＭＳ）−＞（τｄ→Ｓ）−＞（τ’ｗ→ＳＭ）
−＞（τ’ｗ→Ｍ）−＞［τｐ→ＭＳ］−＞（τｓ→Ｍ
Ｓ）−＞（τ’ｓ→Ｍ）−＞［τ’ｐ→Ｍ］−＞（τｐ
→Ｓ）−＞（τｓ→Ｓ）−＞（τｗ→ＭＳ）−＞（τｗ
→Ｓ）−＞（τ’ｄ→ＳＭ）−＞（τ’ｄ→Ｍ）−＞
（τｔ→ＭＳ）−＞（τｔ→Ｓ）−＞（τ’ａ→ＳＭ）
−＞（τ’ａ→Ｍ）−＞（τａ→ＭＳ）−＞（τａ→
Ｓ）

【０１３２】なお、遷移時間関数Ｔ（τｐ→ＭＳ，τ’
ｐ→Ｍ）は以下のように表現できる。 Ｔ（τｐ→ＭＳ，τ’ｐ→Ｍ）＝（τｐ→ＭＳ）＋（τ
ｓ→ＭＳ）＋（τ’ｓ→Ｍ）＋（τ’ｐ→Ｍ） 具体的には、この時間は、Ａ系１５の周期転送タスク
（τｐ），Ａ系１５のサンプリングタスク（τｓ），Ｂ
系１６の周期転送タスク（τ’ｓ），Ｂ系１６のサンプ
リングタスク（τ’ｐ）それぞれがマザータスク１０８
と同期をとる期間、マザータスク１０８が他系のマザー
タスク１０８と同期をとる時間、およびＢ系１６のサン
プリングタスク（τ’ｐ）がオペレーションタスク３２
に系の切り替えがあったことを通知する時間の和であ
る。

【０１３３】以上のように、この実施例によれば、状態
遷移の時間的制約が考慮された各アプリケーションタス
ク１１０の状態遷移順序を自動的に決定することができ
る。従って、系切替時に求められるサービスの質を満足
する、すなわち時間的制約を満たす状態遷移順序を自動
的に得ることができる。

【０１３４】実施例１０．第９の実施例では時間的な制
約が１つだけであった。しかし、複数の時間的制約があ
る場合もある。この実施例による方法はそのような場合
にも適用できる方法である。図１４は複数の時間的制約
がある場合にも適用できるこの発明の第１０の実施例に
よる状態遷移順序決定方法を示すフローチャートであ
る。

【０１３５】図１５は論理的な制約から作成したグラフ
の一例である。図において、As，Bs，，Cs，Ae，Be，C
e，１，２，・・・，１５はそれぞれ状態遷移を示す。
そして、以下のような時間的制約が与えられた場合を例
に説明する。すなわち、Ｔ（As，Ae），Ｔ（Bs，Be），
Ｔ（Cs，Ce）をできるだけ小さくする。

【０１３６】それぞれの制約に対して、異なる優先度を
与えることができる。例えば、以下のように優先度が与
えられたとする。 高：Ｔ（As，Ae）をできるだけ小さくする。 中：Ｔ（Bs，Be）をできるだけ小さくする。 低：Ｔ（Cs，Ce）をできるだけ小さくする。

【０１３７】以上のような制約および優先度を例にして
動作について説明する。まず、全ての状態遷移を節点、
与えられた論理的な制約条件を先行する状態遷移の節点
から後行する状態遷移の接点への有向線分で表したグラ
フを作成する（ステップＳＴ１）。この例では、与えら
れた論理的制約にもとづいて図１５に示すグラフが作成
されたとする。次に、ある節点を起点としてその節点に
戻ってくる経路が存在するかどうか調べる（ステップＳ
Ｔ２）。そのような経路が存在する場合には、全ての制
約条件を満たすタスクの状態遷移順序は存在しないこと
になる。従って、異常終了とする。図１５に示す例では
そのような経路は存在しない。

【０１３８】次に、入力として与えられた全ての遷移時
間関数Ｔ（t1，t2）それぞれに対して、優先度の高いも
のから順にサブルーチンＣを実行する。この場合には、
Ｔ（As，Ae）→Ｔ（Bs，Be）→Ｔ（Cs，Ce）を対象順と
してサブルーチンＣが実行される。サブルーチンＣにお
いて、Ｙｐにおけるｐは優先度に対応し、高優先度に対
応してｐ＝０、中優先度に対応してｐ＝１、低優先度に
対応してｐ＝２とする。さらに低い優先度がある場合に
は、ｐ＝４，５，・・・とされてサブルーチンＣが実行
される。

【０１３９】サブルーチンＣは、第９の実施例における
ステップＳＴ１１〜ＳＴ１３に相当する処理である。従
って、まず、遷移時間関数Ｔ（t1，t2）の状態遷移t1に
相当するＳＴＡＲＴ節点から、状態遷移t2に相当するＥ
ＮＤ節点に至る経路上の全ての有向線分に印Ｙｐを付け
る（ステップＳＴ２１）。ｐは、上述したように、この
場合には０〜２のいずれかである。そのような経路がな
い場合には、ＥＮＤ節点からＳＴＡＲＴ節点に向かう有
向線分を付け加える。

【０１４０】さらに、印Ｙｐの付いた有向線分の終点に
当たる全ての節点について、その節点に入る何の印も付
いていない有向線分の始点からＳＴＡＲＴ節点に向かう
有向線分を付け加える（ステップＳＴ２２）。また、印
Ｙｐの付いた有向線分の始点点に当たる全ての節点につ
いて、その節点から出る何の印も付いていない有向線分
の終点に向かうＥＮＤ節点からの有向線分を付け加える
（ステップＳＴ３３）。

【０１４１】以上のようにして、与えられた状態順序の
制約および時間的な制約を反映した図１６に示すグラフ
が作成される。ただし、根節点はまだ設定されていな
い。その後の処理は、第８の実施例，第９の実施例の場
合と同様である。全ての処理が完了すると、以下のよう
な順序が出力列に設定される。 Cs→１３→Bs→７→As→１→２→３→４→８→９→５→
６→→Ae→１０→１４→１１→１２→Be→１５→Ｃｅ

【０１４２】各時間的制約条件に着目すると、以下のよ
うに表現できる。 Ｔ（Ａｓ，Ae）＝Ｔ（１）＋Ｔ（２）＋Ｔ（３）＋Ｔ
（４）＋Ｔ（８）＋Ｔ（９）＋Ｔ（５）＋Ｔ（６） Ｔ（Bs，Be）＝Ｔ（As，Ae）＋Ｔ（７）＋Ｔ（１０）＋
Ｔ（１４）＋Ｔ（１１）＋Ｔ（１２） Ｔ（Cs，Ce）＝Ｔ（Bs，Be）＋Ｔ（１３）＋Ｔ（１５） なお、状態遷移１，２，３，４，８，９，５，６は、与
えられた論理的制約より、Asが終了してからAeが開始さ
れるまでに必ず実行されなければならないものである。

【０１４３】次に、時間的な制約の優先度が以下のよう
に与えられた場合を考える。 高：Ｔ（Cs，Ce）をできるだけ小さくする。 中：Ｔ（Bs，Be）をできるだけ小さくする。 低：Ｔ（As，Ae）をできるだけ小さくする。 この場合も、与えられた論理的な制約にもとづくグラフ
は図１５に示すようであるとする。すると、すると、ス
テップＳＴ１３の処理が終わった時点で、図１７に示す
グラフが得られる。ただし、根節点はまだ設定されてい
ない。

【０１４４】全ての処理が完了すると、以下のような順
序が出力列に設定される。 As→１→Bs→７→２→３→４→Cs→１３→８→９→５→
１０→１４→１１→１５→Ce→１２→Be→６→Ae

【０１４５】各時間的制約条件に着目すると、以下のよ
うに表現できる。 Ｔ（Cs，Ce）＝Ｔ（１３）＋Ｔ（８）＋Ｔ（９）＋Ｔ
（５）＋Ｔ（１０）＋Ｔ（１４）＋Ｔ（１１）＋Ｔ（１
５） Ｔ（Bs，Be）＝Ｔ（Cs，Ce）＋Ｔ（７）＋Ｔ（２）＋Ｔ
（３）＋Ｔ（４）＋Ｔ（１２） Ｔ（As，Ae）＝Ｔ（Bs，Be）＋Ｔ（１）＋Ｔ（６） なお、状態遷移１３，８，９，５，１０，１４，１１，
１５は、与えられた論理的制約より、Csが終了してから
Ceが開始されるまでに必ず実行されなければならないも
のである。

【０１４６】以上のように、時間的制約が複数ある場合
でも、自動的にそれらの制約を満たす状態遷移順序が自
動的に決定される。

【０１４７】実施例１１．図１８はこの発明の第１１の
実施例による待機冗長システムの構成を示すブロック図
である。上記各実施例では、運転系のデータ等をデータ
リンク２８を用いて転送するものについて示したが、図
１８に示すように、これらの転送をすべて共有メモリ４
０を介して転送するようにしてもよい。

【０１４８】図１９はＣＰＵユニット１９ａ内のタスク
の構成および動作を示す説明図である。ＣＰＵユニット
１９ｂのタスク構成も図１９に示す構成と同様である。
図２０は、ＣＰＵユニット１９ａ，１９ｂの主要部を示
すブロック図である。図２０において、１４１ａ，１４
１ｂは共有メモリ読み出しタスク、１４２ａ，１４２ｂ
は共有メモリ書き込みタスクである。

【０１４９】共有メモリ４０において、４１は共有メモ
リ書き込みタスク１４２ａによるデータの書き込み領域
４２へのデータの書き込みが完了すると”１”となり、
共有メモリ読み出しタスク１４１ｂによるデータの書き
込み領域４２からのデータの読み出しが完了すると”
０”となる同期ビット、４３は共有メモリ書き込みタス
ク１４２ｂによるデータの書き込み領域４４へのデータ
の書き込みが完了すると”１”となり、共有メモリ読み
出しタスク１４１ａによるデータの書き込み領域４４か
らのデータの読み出しが完了すると”０”となる同期ビ
ットである。

【０１５０】次に動作について説明する。Ａ系１５が運
転系であるとすると、Ａ系１５の共有メモリ書き込みタ
スク１４２ａは、メッセージキュー１３５ａ内の運転系
のデータまたはシステム時刻情報を取り出して、それを
データの書き込み領域４２の所定の番地に書き込む。そ
して、同期ビット４１を”１”にする。Ｂ系１６の共有
メモリ読み出しタスク１４１ｂは、同期ビット４１が”
１”になったことを検出すると、データの書き込み領域
４２からデータまたはシステム時刻情報を読み出して、
それをメッセージキュー１３２ｂに設定する。系間コピ
ータスク１３３ｂは、メッセージキュー１３２ｂからデ
ータまたはシステム時刻情報を得る。Ｂ系１６が時刻メ
ッセージをＡ系１５に送信する場合には、データの書き
込み領域４４を介して、メッセージ転送が実行される。

【０１５１】なお、ここでは共有メモリ４０として２ポ
ートメモリを例示したが、さらに他のポートを有する多
ポートメモリを用いれば、あるいは他の共有メモリを設
ければ、ＣＰＵユニット１９ａ，１９ｂと運転制御ユニ
ット２６等との間のデータ転送もメモリを通して実現で
きる。

【０１５２】

【発明の効果】以上のように、請求項１記載の発明によ
れば、待機冗長システムが、運転状態に直ちに遷移可能
な待機状態、初期化処理なしで待機状態に遷移可能な準
備状態、および初期化処理の後に待機状態に遷移可能な
停止状態のうちのいずれかに設定する構成制御手段を備
えるように構成したので、軽故障等によって待機系に遷
移した場合には初期化処理なしで系を待機状態に戻し、
両系がともに運転系になりえない状況が発生する可能性
を低減させるものが得られる効果がある。

【０１５３】請求項２記載の発明によれば、待機冗長シ
ステムが、各アプリケーションタスクごとに処理状態を
管理し、各アプリケーションタスクごとに処理状態を遷
移させるタスク別状態遷移手段を備えるように構成した
ので、状態遷移可能なアプリケーションタスクがあれば
それらを順次状態遷移させて、系切替に要する時間を短
縮できるものが得られる効果がある。

【０１５４】請求項３記載の発明によれば、待機冗長シ
ステムが、アプリケーションタスクの状態遷移中に起動
時刻に到達した場合、状態遷移後にそのアプリケーショ
ンタスクの起動を許容すべきか否かを選択する起動選択
手段を備えるように構成したので、状態遷移後にそのア
プリケーションタスクの起動を許容すると系切替におい
て矛盾が生ずると判断されるときには、状態が遷移した
後にそのアプリケーションタスクが起動されないように
するものが得られる効果がある。

【０１５５】請求項４記載の発明によれば、待機冗長シ
ステムが、運転系と待機系との切り替えの際における各
アプリケーションタスクの状態遷移順序を決定する状態
遷移順序設定手段を備えるように構成したので、各系に
データの重複などの矛盾が生ずることなく系切替を実現
できるものが得られる効果がある。

【０１５６】請求項５記載の発明によれば、待機冗長シ
ステムが、各アプリケーションタスクの状態遷移順序を
格納した起動管理ファイルを含むように構成したので、
容易に各アプリケーションタスクの状態遷移順序を決定
できるものが得られる効果がある。

【０１５７】請求項６記載の発明によれば、待機冗長シ
ステムが、被監視対象からの監視データの最短の収集間
隔より短い間隔で運転系が収集したデータを待機系に供
給するデータ転送手段を備えるように構成したので、運
転系の故障発生時に待機系に未転送のまま残っているデ
ータを最小限に止めることができるものが得られる効果
がある。

【０１５８】請求項７記載の発明によれば、待機冗長シ
ステムが、時刻印転送タスク、データ転送タスクおよび
データ書き込みタスクからなるデータ転送手段を備える
ように構成したので、タスクの構成が簡潔化され、デー
タ転送処理を運転系から待機系への周期的なデータ転送
処理を効率的に実行できるとともに、タスクの設計が容
易になるものが得られる効果がある。

【０１５９】請求項８記載の発明によれば、待機冗長シ
ステムが、運転系のシステム時刻と待機系のシステム時
刻との時刻差が所定の許容範囲より大きい場合に、時刻
差を複数回に分けて修正する時刻修正手段を備えるよう
に構成したので、系が保有する各データにおける欠落や
重複が生じないようにしつつ、各系のシステム時刻を合
わせることができるものが得られる効果がある。

【０１６０】請求項９記載の発明によれば、待機冗長シ
ステムが、データのメッセージ長の上限を定めるメッセ
ージ長設定手段と、転送されるシステム時刻の優先度を
転送されるデータの優先度よりも高くする優先度設定手
段とを備えるように構成したので、システム時刻情報
が、データ転送によって待たされてしまうことのないも
のが得られる効果がある。

【０１６１】請求項１０記載の発明によれば、待機冗長
システムが、システム内の時刻と外部システムのシステ
ム時刻との時刻差が所定の許容範囲より大きい場合に、
その時刻差を複数回に分けて修正する時刻修正手段を備
えるように構成したので、系が保有する各データにおけ
る欠落や重複が生じないようにしつつ、外部システムお
よび各系のシステム時刻を合わせることができるものが
得られる効果がある。

【０１６２】請求項１１記載の発明によれば、状態遷移
順序決定方法が、各アプリケーションタスクの状態遷移
順序に関する制約を記述する工程と、記述された制約に
もとづいて各状態遷移の順序関係をグラフ化する工程
と、作成されたグラフにおける枝をたどって状態遷移順
序を決定する工程とを備えるように構成したので、制約
条件のある状態遷移順序を自動的に決定でき、遷移順序
の設計時間を短縮化できるとともに、信頼性のある遷移
順序を出力できるものが得られる効果がある。

【０１６３】そして、請求項１２記載の発明によれば、
状態遷移順序決定方法が、ある状態遷移と他の状態遷移
との間の時間に制約がある場合に、その時間制約に対応
した枝を作成されたグラフに付加する工程をさらに備え
るように構成したので、順序に関する的制約条件および
時間的制約条件のある状態遷移順序を自動的に決定でき
るものが得られる効果がある。

【図面の簡単な説明】

【図１】この発明の第１の実施例による待機冗長システ
ムにおける系の状態遷移を示す状態遷移図である。

【図２】ＣＰＵユニット内のタスクの構成および動作を
示す説明図である。

【図３】アプリケーションタスクの状態遷移を示す状態
遷移図である。

【図４】状態管理テーブルの内容の一例を示す説明図で
ある。

【図５】アプリケーションタスクの状態遷移の一例を示
すタイミング図である。

【図６】第３の実施例におけるＣＰＵユニット内のタス
クの構成および動作を説明するための説明図である。

【図７】第４の実施例におけるＣＰＵユニット内のタス
クの構成および動作を説明するための説明図である。

【図８】時刻修正の動作を説明するためのタイミング図
である。

【図９】データ転送に関連するＣＰＵユニット内のアプ
リケーションタスクの構成および動作を示す説明図であ
る。

【図１０】この発明の第８の実施例による状態遷移順序
決定方法を示すフローチャートである。

【図１１】第８の実施例におけるグラフの構成を示す説
明図である。

【図１２】この発明の第９の実施例による状態遷移順序
決定方法を示すフローチャートである。

【図１３】第９の実施例におけるグラフの構成を示す説
明図である。

【図１４】この発明の第１０の実施例による状態遷移順
序決定方法を示すフローチャートである。

【図１５】第１０の実施例における制約条件にもとづく
グラフの構成を示す説明図である。

【図１６】第１０の実施例における制約条件および時間
制約にもとづくグラフの構成を示す説明図である。

【図１７】第１０の実施例における制約条件および他の
時間制約にもとづくグラフの構成を示す説明図である。

【図１８】この発明の第１１の実施例による待機冗長シ
ステムの構成を示すブロック図である。

【図１９】第１１の実施例におけるＣＰＵユニット内の
タスクの構成および動作を示す説明図である。

【図２０】ＣＰＵユニットの主要部を示すブロック図で
ある。

【図２１】待機冗長システムの構成を示すブロック図で
ある。

【図２２】待機冗長システムにおける系の従来の状態遷
移を示す状態遷移図である。

【符号の説明】

１９ａ，１９ｂ ＣＰＵユニット（構成制御手段） １０４ 起動管理ファイル（起動選択手段，状態遷移順
序設定手段） １０８ マザータスク（タスク別状態遷移手段，起動選
択手段，状態遷移順序設定手段） １１７ タイマタスク（時刻修正手段） １３３ａ，１３３ｂ 系間コピータスク（データ転送手
段，メッセージ長設定手段） １３６ａ，１３６ｂ データリンク送信タスク（優先度
設定手段） ２００ａ，２００ｂ 時刻印転送タスク（データ転送手
段） ２０１ａ，２０１ｂ データ転送タスク（データ転送手
段） ２０２ａ，２０２ｂ データ書き込みタスク（データ転
送手段）

Claims (12)

【特許請求の範囲】
1. 【請求項１】 被監視対象を監視制御しうる複数の監視
   制御系を有し、そのうちの一の系は監視制御を実行する
   運転系となり他の系は待機系となる待機冗長システムに
   おいて、前記各監視制御系は、自系を、運転系に対応し
   た運転状態、運転状態に直ちに遷移可能な待機状態、初
   期化処理なしで待機状態に遷移可能な準備状態、または
   初期化処理の後に待機状態に遷移可能な停止状態に設定
   する構成制御手段を備えたことを特徴とする待機冗長シ
   ステム。
2. 【請求項２】 被監視対象を監視制御しうる複数の監視
   制御系を有し、そのうちの一の系は監視制御を実行する
   運転系となり他の系は待機系となる待機冗長システムに
   おいて、前記各監視制御系は、監視制御系を構成する各
   アプリケーションタスクごとに処理状態を管理し、各ア
   プリケーションタスクごとに処理状態を遷移させるタス
   ク別状態遷移手段を備えた特徴とする待機冗長システ
   ム。
3. 【請求項３】 監視制御系は、アプリケーションタスク
   の状態遷移中に起動時刻に到達した場合、状態遷移後に
   そのアプリケーションタスクの起動を許容すべきか否か
   を選択する起動選択手段を備えた請求項２記載の待機冗
   長システム。
4. 【請求項４】 監視制御系は、運転系と待機系との切り
   替えの際における各アプリケーションタスクの状態遷移
   順序を決定する状態遷移順序設定手段を備えた請求項２
   記載の待機冗長システム。
5. 【請求項５】 状態遷移順序設定手段は、各アプリケー
   ションタスクの状態遷移順序を格納した起動管理ファイ
   ルを含む請求項４記載の待機冗長システム。
6. 【請求項６】 被監視対象からの監視データの最短の収
   集間隔より短い間隔で運転系が収集したデータを待機系
   に供給するデータ転送手段を備えた請求項１または請求
   項２記載の待機冗長システム。
7. 【請求項７】 データ転送手段は、待機系が保有する最
   新データの収集時刻を示す時刻印を運転系に周期的に転
   送する時刻印転送タスクと、前記待機系から受けた時刻
   印が示す時刻よりも後に収集した各データを前記待機系
   に転送するデータ転送タスクと、前記運転系から受けた
   各データを記憶手段に保存するデータ書き込みタスクと
   を備えた請求項７記載の待機冗長システム。
8. 【請求項８】 運転系のシステム時刻と待機系のシステ
   ム時刻との時刻差が所定の許容範囲より大きい場合に、
   時刻差を複数回に分けて修正する時刻修正手段を備えた
   請求項１記載または請求項２の待機冗長システム。
9. 【請求項９】 運転系のデータを待機系に転送するデー
   タリンクを用いてシステム時刻を通知する場合、データ
   のメッセージ長の上限を定めるメッセージ長設定手段
   と、転送されるシステム時刻の優先度を転送されるデー
   タの優先度よりも高くする優先度設定手段とを備えた請
   求項８記載の待機冗長システム。
10. 【請求項１０】 システム内の時刻と外部システムのシ
    ステム時刻との時刻差が所定の許容範囲より大きい場合
    に、その時刻差を複数回に分けて修正する時刻修正手段
    を備えた請求項１記載または請求項２の待機冗長システ
    ム。
11. 【請求項１１】 各アプリケーションタスクを所定の制
    約のもとに状態遷移させる順序を決定する状態遷移順序
    決定方法において、各アプリケーションタスクの状態遷
    移順序に関する制約を記述し、記述された制約にもとづ
    いて各状態遷移の順序関係をグラフ化し、作成されたグ
    ラフにおける枝をたどって状態遷移順序を決定すること
    を特徴とする状態遷移順序決定方法。
12. 【請求項１２】 ある状態遷移と他の状態遷移との間の
    時間に制約がある場合に、その時間制約に対応した枝を
    作成されたグラフに付加する請求項１１記載の状態遷移
    順序決定方法。