WO2024062671A1 - 産業用コントローラの制御プログラムの管理システム - Google Patents

産業用コントローラの制御プログラムの管理システム Download PDF

Info

Publication number
WO2024062671A1
WO2024062671A1 PCT/JP2023/017787 JP2023017787W WO2024062671A1 WO 2024062671 A1 WO2024062671 A1 WO 2024062671A1 JP 2023017787 W JP2023017787 W JP 2023017787W WO 2024062671 A1 WO2024062671 A1 WO 2024062671A1
Authority
WO
WIPO (PCT)
Prior art keywords
server device
group
processing unit
database
management system
Prior art date
Application number
PCT/JP2023/017787
Other languages
English (en)
French (fr)
Inventor
淳一 川本
Original Assignee
株式会社 東芝
東芝インフラシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 東芝, 東芝インフラシステムズ株式会社 filed Critical 株式会社 東芝
Publication of WO2024062671A1 publication Critical patent/WO2024062671A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements

Definitions

  • This embodiment relates to a control program management system for an industrial controller.
  • the industrial plant control system includes a management system that manages the control program of the industrial controller.
  • the management system is composed of a server device and a plurality of client devices. In large industrial plants, the number of client devices can range from tens to hundreds.
  • This embodiment is intended to solve the above-mentioned problems, and aims to provide a control program management system for an industrial controller that can realize redundancy using two server devices. shall be.
  • a control program management system for an industrial controller includes a first server device including a first processing unit and a first database in which the control program is registered. , a second processing unit, and a second server device including a second database in which the program is registered.
  • the first processing section of the first server device is in the master state
  • the second processing section of the second server device is in the backup state
  • the second server device is in the master state. It has joined a first group that receives data sent from the device.
  • the first processing unit of the first server device transmits the first healthy signal to the first group at regular intervals
  • the second processing unit of the second server device transmits the first healthy signal from the first server device to the first group.
  • the backup state is switched to the master state based on the first healthy signal transmitted to the first group.
  • FIG. 1 is a diagram showing the configuration of a control system for an industrial plant according to a first embodiment; FIG. The figure which shows the structure of a 1st server apparatus. The figure which shows the structure of a 2nd server apparatus. A diagram showing the configuration of a client device.
  • FIG. 4 is a diagram for explaining the normal operation of the management system.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when an abnormality occurs
  • FIG. 3 is a diagram illustrating the operation of the first server device when a communication failure occurs.
  • FIG. 3 is a diagram illustrating the operation of the first server device when a communication failure occurs.
  • FIG. 11 is a diagram for explaining an operation of the first server device when a communication failure occurs;
  • FIG. 3 is a diagram illustrating the operation of the first server device when a communication failure occurs.
  • FIG. 7 is a diagram illustrating the operation of the second server device when a communication failure occurs.
  • FIG. 7 is a diagram illustrating the operation of the second server device when a communication failure occurs.
  • FIG. 7 is a diagram illustrating the operation of the second server device when a communication failure occurs.
  • FIG. 3 is a diagram illustrating an operation when two server devices are both in a master state.
  • FIG. 3 is a diagram illustrating an operation when two server devices are both in a master state.
  • FIG. 3 is a diagram illustrating an operation when two server devices are both in a master state.
  • FIG. 3 is
  • FIG. 1 is a diagram showing the configuration of an industrial plant control system 1 according to the first embodiment.
  • the control system 1 includes a management system 100 that manages control programs for industrial controllers.
  • the management system 100 includes a first server device 10, a second server device 20, and one or more client devices 30.
  • the management system 100 has a redundant configuration, and during normal operation, the first server device 10 is in a master state, that is, in an operating state, and the second server device 20 is in a backup state, that is, in a standby state. .
  • the first server device 10, the second server device 20, and the client device 30 are connected to a control network 61.
  • One or more industrial controllers 40 are connected to the control network 61.
  • Industrial controller 40 is connected to field network 62.
  • One or more field devices 50 are connected to the field network 62.
  • the specific method for implementing the control network 61 and the field network 62 is not particularly limited, but as an example, the control network 61 and the field network 62 are Ethernet (registered trademark). Further, the control network 61 may be duplicated.
  • FIG. 2 is a diagram showing the configuration of the first server device 10.
  • the first server device 10 includes a first processing section 11, a first storage section 12, and a first database 13.
  • the first processing unit 11 controls the operation of the first server device 10.
  • the first storage unit 12 has an area reserved for a first healthy counter 12a.
  • a control program for the industrial controller 40 is registered in the first database 13.
  • the first server device 10 manages a first group to which the second server device 20 and one or more client devices 30 can join. By transmitting data to the first group, the first server device 10 transmits the same data to the second server device 20 and one or more client devices 30 that have joined the first group. Can be sent in bulk. Such a mechanism can be realized by, for example, multicast communication using UDP (User Datagram Protocol).
  • UDP User Datagram Protocol
  • the first healthy counter 12a counts up or down at a predetermined period, for example, at a one-second period while the first server device 10 is functioning normally.
  • a mechanism can be realized, for example, by generating an interrupt at a predetermined period and incrementing or decrementing the value of a counter variable.
  • the first server device 10 is a personal computer.
  • the first processing unit 11 is a CPU (Central Processing Unit)
  • the first storage unit 12 is a RAM (Random Access Memory) and a ROM (Read Only Memory).
  • the first database 13 is realized by an application program executed by the CPU and a table constructed in an auxiliary storage device such as an HDD (Hard Disk Drive).
  • FIG. 3 is a diagram showing the configuration of the second server device 20.
  • the second server device 20 includes a second processing section 21, a second storage section 22, and a second database 23.
  • the second processing unit 21 controls the operation of the second server device 20.
  • the second storage unit 22 has an area reserved for a second healthy counter 22a.
  • a control program for the industrial controller 40 is registered in the second database 23 .
  • the second server device 20 can create a second group to which one or more client devices 30 can join. By transmitting data to the second group, the second server device 20 can collectively transmit the same data to one or more client devices 30 that have joined the second group.
  • Such a mechanism can be realized by, for example, UDP multicast communication.
  • the second server device 20 is a personal computer.
  • the second processing unit 21 is a CPU
  • the second storage unit 22 is a RAM.
  • the second database 23 is realized by an application program executed by the CPU and a table constructed in an auxiliary storage device such as an HDD.
  • FIG. 4 is a diagram showing the configuration of the client device 30.
  • the client device 30 includes a third processing section 31, a third storage section 32, a display section 33, and an input section 34.
  • the client device 30 can access the database of the server device that manages the groups to which the client device 30 has joined. For example, if the client device 30 has joined the first group managed by the first server device 10, the client device 30 cannot access the first database 13 of the first server device 10. Can be done. Furthermore, if the client device 30 has joined the second group managed by the second server device 20, the client device 30 can access the second database 23 of the second server device 20. Can be done.
  • the user can use the functions provided by the first server device 10 or the second server device 20 via the client device 30. Specifically, by operating the client device 30, the user can create, edit, add, delete, etc. a control program to be executed by the industrial controller 40. Furthermore, by operating the client device 30, the user can register the created control program in the first database 13 or the second database 23. Further, by operating the client device 30, the user can transmit a control program registered in the first database 13 or the second database 23 to the industrial controller 40 and have it executed.
  • the client device 30 is a personal computer.
  • the third processing unit 31 is a CPU
  • the third storage unit 32 is a RAM and a ROM.
  • the display section 33 is, for example, a liquid crystal display
  • the input section 34 is, for example, a keyboard, a mouse, or the like.
  • the industrial controller 40 is a DCS (Distributed Control System), a PLC (Programmable Logic Controller), or the like.
  • the industrial controller 40 collects the state of the industrial plant based on signals received via the field device 50 and the field network 62 from sensors (not shown) attached to the controlled object.
  • the industrial controller 40 executes various calculations based on the collected plant status, and controls actuators (not shown) attached to the controlled object via the field network 62 and field devices 50 based on the calculation results. Control industrial plants by operating them.
  • the field device 50 is a device for inputting and outputting signals with various devices attached to a controlled object.
  • the field device 50 includes an AI (Analog Input) device or a DI (Digital Input) device to which signals from a sensor or the like attached to a controlled object are input.
  • the field device 50 includes an AO (Analog Output) device or a DO (Digital Output) device that outputs a signal to an actuator or the like attached to a controlled object.
  • the operation of the management system 100 according to the first embodiment will be described.
  • client device 30 when there is no need to distinguish between the two client devices 30a and 30b, they will be collectively referred to as client device 30.
  • the control network 61 is duplicated by the control networks 61a and 61b.
  • FIG. 5 is a diagram illustrating the normal operation of the management system 100.
  • the first server device 10 is in the master state
  • the second server device 20 is in the backup state.
  • the second server device 20 has joined the first group managed by the first server device 10 in the master state, and receives data sent from the first server device 10 to the first group. can do.
  • the first database 13 of the first server device 10 and the second database 23 of the second server device 20 are equalized at a predetermined period, for example, every 30 seconds.
  • the equalization method is not particularly limited, as an example, the first server device 10 creates the first history information when updating the first database 13, and the second server device 20 Equalization is performed from the first database 13 to the second database 23 based on the first history information.
  • the two client devices 30a and 30b have joined a first group managed by the first server device 10 in the master state, and are unable to receive data sent from the first server device 10 to the first group. can be received. Further, the client devices 30a and 30b can access the first database 13 of the first server device 10.
  • the first server device 10 transmits data including the count value (first healthy signal) of its first healthy counter 12a to the first group at a constant period, for example, at a 3 second period.
  • This data also includes the machine name, IP address, and port number of the second server device 20 that is in a backup state.
  • the second server device 20 receives data sent from the first server device 10 to the first group at regular intervals, and based on the value of the first healthy signal included in the data, the second server device 20 It is determined whether or not the server device 10 is operating normally. Specifically, if the value of the first healthy signal received from the first server device 10 changes within a predetermined period, for example, 10 seconds, the second server device 20 It is determined that the device 10 is operating normally.
  • the client devices 30a and 30b receive data addressed to the first group from the first server device 10 at regular intervals, and based on the value of the first healthy signal included in the data, the client devices 30a and 30b receive the first healthy signal. It is determined whether the server device 10 is operating normally. In detail, if the value of the first healthy signal received from the first server device 10 changes during a predetermined period of time, for example 10 seconds, the client devices 30a and 30b 10 is determined to be operating normally.
  • an abnormality in the first server device 10 is a shutdown of the first server device 10, a stop of a function of an application executed on the first server device 10, an abnormality in the first database 13, a stop of a function of the operating system executed on the first server device 10, etc.
  • the value of the first healthy signal included in the data transmitted from the first server device 10 to the first group at regular intervals does not change. .
  • the second server device 20 detecting this determines that the first server device 10 is not operating normally, and switches from the backup state to the master state.
  • the second server device 20 that has switched to the master state leaves the first group and creates a second group.
  • the second server device 20 transmits data including the count value of its own second healthy counter 22a (second healthy signal) to the second group at a constant cycle, for example, at a 3 second cycle. .
  • the client devices 30a and 30b can continue to access the second database 23 of the second server device 20.
  • the first server device 10 when the first server device 10 is restored, the first server device 10 enters the backup state and joins the second group. At this time, equalization from the second database 23 to the first database 13 is performed.
  • the client devices 30a and 30b can continue to access the second database 23 of the second server device 20.
  • (At the time of communication failure of the first server device) 7A to 7D are diagrams illustrating the operation of the first server device 10 when a communication failure occurs.
  • the communication failure of the first server device 10 is a communication failure between the first server device 10 and the duplicated control networks 61a and 61b.
  • a first healthy signal is sent from the first server device 10 to the first group at regular intervals.
  • the data including this will no longer reach the second server device 20.
  • the second server device 20 detecting this determines that a communication failure has occurred in the first server device 10, and switches from the backup state to the master state.
  • the second server device 20 that has switched to the master state leaves the first group and creates a second group.
  • the client devices 30a and 30b when the client devices 30a and 30b do not receive data including the first healthy signal transmitted from the first server device 10 to the first group at a constant cycle, the client devices 30a and 30b It is determined that a communication failure has occurred, leaves the first group managed by the first server device 10, and joins the second group created by the second server device 20.
  • the second server device 20 transmits data including the count value of its own second healthy counter 22a (second healthy signal) to the second group at a constant cycle, for example, at a 3-second cycle.
  • the client devices 30a and 30b confirm the reception of the data including the second healthy signal transmitted from the second server device 20 to the second group, the client devices 30a and 30b update the data in the second database 23 of the second server device 20. become accessible.
  • the first server device 10 when the communication failure between the first server device 10 and the control networks 61a and 61b is restored, the first server device 10 enters the backup state and joins the second group. At this time, equalization from the second database 23 to the first database 13 is performed. The client devices 30a and 30b can continue to access the second database 23 of the second server device 20.
  • FIGS. 8A and 8B are diagrams illustrating the operation of the second server device 20 when a communication failure occurs.
  • the communication failure of the second server device 20 is a communication failure between the second server device 20 and the duplicated control networks 61a and 61b.
  • FIG. 8A when a communication failure occurs between the second server device 20 and the control networks 61a and 61b, a first healthy signal is sent from the first server device 10 to the first group at regular intervals. The data including this will no longer reach the second server device 20.
  • the second server device 20 detecting this incorrectly determines that a communication failure has occurred in the first server device 10, and switches from the backup state to the master state.
  • the second server device 20 that has switched to the master state leaves the first group and creates a second group.
  • the client devices 30a and 30b can receive data including the first healthy signal that is periodically transmitted from the first server device 10 to the first group. Therefore, the client devices 30a and 30b can continue to access the first database 13 of the first server device 10.
  • the second server device 20 when the communication failure between the second server device 20 and the control networks 61a and 61b is restored, the second server device 20 enters the backup state again and joins the first group. At this time, equalization is performed from the first database 13 to the second database 23. The client devices 30a and 30b can continue to access the first database 13 of the first server device 10.
  • FIGS. 9A and 9B are diagrams illustrating the operation when both the first server device 10 and the second server device 20 are in the master state. Such a state can occur due to a communication failure occurring between the first server device 10 and the control network 61b and a communication failure occurring between the second server device 20 and the control network 61a. .
  • data including the first healthy signal transmitted from the first server device 10 to the first group at regular intervals no longer reaches the second server device 20.
  • the second server device 20 detecting this switches from the backup state to the master state.
  • the second server device 20 that has switched to the master state leaves the first group and creates a second group.
  • the client device 30b is managed by the first server device 10 when the data including the first healthy signal transmitted from the first server device 10 to the first group at a fixed period no longer arrives.
  • the user leaves the first group and joins the second group generated by the second server device 20. This causes the client device 30b to access the second database 23 of the second server device 20.
  • the client device 30a can receive data including the first healthy signal transmitted from the first server device 10 to the first group at regular intervals, the client device 30a is managed by the first server device 10. Stay in the first group. Therefore, the client device 30a continues to access the first database 13 of the first server device 10. If such a state continues, the contents of the first database 13 and the contents of the second database 23 will diverge.
  • the first server device 10 maintains the master state and continues transmitting data including the first healthy signal.
  • the second server device 20 receives the data including the first healthy signal transmitted from the first server device 10, it switches from the master state to the backup state, rejoins the first group, and 2. Stop sending data including the healthy signal.
  • the client device 30a remains in the first group and continues to access the first database 13 of the first server device 10.
  • the client device 30b no longer receives data including the second healthy signal transmitted from the second server device 20, it leaves the second group and rejoins the first group. This allows the client device 30b to access the first database 13 of the first server device 10 again. At this time, equalization between the first database 13 and the second database 23 is performed.
  • the first server device 10 is in the master state and the second server device 20 is in the backup state during normal operation. Furthermore, the second server device 20 has joined the first group that receives data transmitted from the first server device 10.
  • the first server device 10 transmits a first healthy signal to the first group at regular intervals, and the second server device 20 transmits a first healthy signal to the first group from the first server device 10. Based on the first healthy signal, the backup state is switched to the master state.
  • redundancy can be achieved using two server devices. As a result, only two server devices are required compared to three in the past, resulting in a significant cost reduction. Further, since the second server device 20 is automatically switched from the backup state to the master state, it is possible to save the user's effort for switching.
  • the client device 30 joins the first group managed by the first server device 10. Based on the first healthy signal transmitted from the first server device 10 to the first group, the client device 30 leaves the first group and receives the second healthy signal generated by the second server device 20. Join the group. Thereby, when the second server device 20 switches to the master state, the client device 30 automatically connects to the second server device 20. Therefore, the trouble of switching by the user can be saved.
  • the client device 30 when the client device 30 has joined the first group, the client device 30 accesses the first database 13 of the first server device 10, and when it has joined the second group, the client device 30 accesses the first database 13 of the first server device 10.
  • the second database 23 of the server device 20 is accessed. Thereby, the client device 30 can always access the database of the server device in the master state.
  • the first server device 10 creates a first update history when updating the first database 13, and the second server device 20 creates a second update history from the first database 13 based on the first update history. is equalized into the database 23.
  • the second server device creates a second update history when updating the second database, and the first server device 10 updates the first database from the second database 23 based on the second update history. Perform equalization to 13. Thereby, the contents of the first database 13 and the second database 23 can always be kept the same.
  • This embodiment can also have the following configuration.
  • “Item 1] (First server device, second server device) A control program management system for an industrial controller, a first server device including a first processing unit and a first database in which the control program is registered; a second server device including a second processing unit and a second database in which the control program is registered; During normal operation, the first processing unit of the first server device is in a master state, the second processing unit of the second server device is in a backup state, and the second server device is in a backup state.
  • [Item 3] (First server device, second server device) The management system according to item 2, wherein the second processing unit of the second server device transmits a second healthy signal to the second group at regular intervals.
  • the first healthy signal is a signal that is counted up or down at a predetermined period, The second processing unit of the second server device, when the value of the first healthy signal transmitted from the first server device to the first group does not change over a predetermined period, The management system according to any one of items 1 to 3, wherein the management system switches from the backup state to the master state.
  • the second processing unit of the second server device is configured to change the master processing unit from the backup state when the first healthy signal transmitted from the first server device to the first group is not received.
  • the management system according to any one of items 1 to 4, which switches to a state.
  • [Item 6] (Client device) further comprising one or more client devices including a third processing unit, During the normal operation, the client device has joined the first group, The third processing unit of the client device leaves the first group based on the first healthy signal transmitted from the first server device to the first group, and The management system according to item 2, joining the second group.
  • [Item 7] (Client device) When the third processing unit of the client device has joined the first group, the third processing unit of the client device accesses the first database of the first server device and joins the second group.
  • the management system according to item 6, wherein the management system accesses the second database of the second server device when the server device is in use.
  • [Item 8] (Database equalization) The first processing unit of the first server device creates a first update history when updating the first database, and the second processing unit of the second server device creates a first update history when updating the first database, and the second processing unit of the second server device creates a first update history when updating the first database.
  • the management system according to any one of items 1 to 7, wherein the management system performs equalization from the second database to the first database based on an update history of the database.
  • Control system 10 First server device 11 First processing unit 12 First memory unit 12a First healthy counter 13 First database 20 Second server device 21 Second processing unit 22 Second memory unit 22a Second healthy counter 23 Second database 30 Client device 30a Client device 30b Client device 31 Third processing unit 32 Third memory unit 33 Display unit 34 Input unit 40 Industrial controller 50 Field device 61 Control network 61a Control network 61b Control network 62 Field network 100 Management system

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Hardware Redundancy (AREA)
  • Safety Devices In Control Systems (AREA)
  • Programmable Controllers (AREA)

Abstract

管理システムは、第１のサーバ装置と、第２のサーバ装置とを備えている。通常動作時において、第１のサーバ装置はマスタ状態であり、第２のサーバ装置はバックアップ状態である。第２のサーバ装置は、第１のサーバ装置から送信されるデータを受信する第１のグループに加入している。第１のサーバ装置は、第１のヘルシー信号を一定周期で第１のグループ宛に送信する。第２のサーバ装置は、第１のサーバ装置から第１のグループ宛に送信される第１のヘルシー信号に基づいて、バックアップ状態からマスタ状態に切り替わる。

Description

産業用コントローラの制御プログラムの管理システム
　本実施の形態は、産業用コントローラの制御プログラムの管理システムに関する。
　産業プラントの制御システムは、産業用コントローラの制御プログラムを管理する管理システムを含んでいる。管理システムは、サーバ装置と複数のクライアント装置とから構成されている。大規模な産業プラントでは、クライアント装置の数は数十台から数百台にもなる。
特開２０２０－１３５１５７号公報
　上記のような管理システムにおいて、サーバ装置を冗長化する要求が存在する。しかしながら、一般的な冗長化の技術では、例えばサーバ装置を２台にすると、その２台のサーバ装置を制御するための別の１台のサーバ装置が必要となり、合計３台のサーバ装置が必要となる。
　本実施の形態は、上記のような課題を解決するためのものであり、２台のサーバ装置によって冗長化を実現することができる、産業用コントローラの制御プログラムの管理システムを提供することを目的とする。
　上記の課題を解決するために、本実施の形態に係る産業用コントローラの制御プログラムの管理システムは、第１の処理部および制御プログラムが登録される第１のデータベースを含む第１のサーバ装置と、第２の処理部およびプログラムが登録される第２のデータベースを含む第２のサーバ装置とを備える。通常動作時において、第１のサーバ装置の第１の処理部はマスタ状態であり、第２のサーバ装置の第２の処理部はバックアップ状態であり、第２のサーバ装置は、第１のサーバ装置から送信されるデータを受信する第１のグループに加入している。第１のサーバ装置の第１の処理部は、第１のヘルシー信号を一定周期で第１のグループ宛に送信し、第２のサーバ装置の第２の処理部は、第１のサーバ装置から第１のグループ宛に送信される第１のヘルシー信号に基づいて、バックアップ状態からマスタ状態に切り替わる。
実施の形態１に係る産業プラントの制御システムの構成を示す図。 第１のサーバ装置の構成を示す図。 第２のサーバ装置の構成を示す図。 クライアント装置の構成を示す図。 管理システムの正常時の動作を説明する図。 第１のサーバ装置の異常発生時の動作を説明する図。 第１のサーバ装置の異常発生時の動作を説明する図。 第１のサーバ装置の異常発生時の動作を説明する図。 第１のサーバ装置の異常発生時の動作を説明する図。 第１のサーバ装置の通信障害時の動作を説明する図。 第１のサーバ装置の通信障害時の動作を説明する図。 第１のサーバ装置の通信障害時の動作を説明する図。 第１のサーバ装置の通信障害時の動作を説明する図。 第２のサーバ装置の通信障害時の動作を説明する図。 第２のサーバ装置の通信障害時の動作を説明する図。 ２つのサーバ装置がともにマスタ状態となる場合の動作を説明する図。 ２つのサーバ装置がともにマスタ状態となる場合の動作を説明する図。 ２つのサーバ装置がともにマスタ状態となる場合の動作を説明する図。 ２つのサーバ装置がともにマスタ状態となる場合の動作を説明する図。
　以下では、図面を参照しながら、本実施の形態について説明する。なお、以降の説明では、本実施の形態に係る制御システムを産業プラントの制御に使用する例に基づいて説明する。ただし、本実施の形態に係る制御システムの適用可能な範囲は、産業プラントの制御に限定されるものではない。また、図面において同一または対応する要素には同じ参照符号を付して、詳細な説明は適宜省略する。
　（実施の形態１）
　図１は、実施の形態１に係る産業プラントの制御システム１の構成を示す図である。制御システム１は、産業用コントローラの制御プログラムを管理する管理システム１００を含んでいる。管理システム１００は、第１のサーバ装置１０と、第２のサーバ装置２０と、１つまたは複数のクライアント装置３０とを備えている。管理システム１００は冗長化された構成を有しており、通常動作時には、第１のサーバ装置１０がマスタ状態、すなわち稼働状態であり、第２のサーバ装置２０がバックアップ状態、すなわち待機状態である。第１のサーバ装置１０、第２のサーバ装置２０、およびクライアント装置３０は、制御ネットワーク６１に接続されている。
　制御ネットワーク６１には、１つまたは複数の産業用コントローラ４０が接続されている。産業用コントローラ４０は、フィールドネットワーク６２に接続されている。フィールドネットワーク６２には、１つまたは複数のフィールド機器５０が接続されている。なお、制御ネットワーク６１およびフィールドネットワーク６２の具体的な実現方法は特に限定されるものではないが、一例として、制御ネットワーク６１およびフィールドネットワーク６２は、イーサネット（登録商標）である。また、制御ネットワーク６１は、二重化されていてもよい。
　図２は、第１のサーバ装置１０の構成を示す図である。第１のサーバ装置１０は、第１の処理部１１と、第１の記憶部１２と、第１のデータベース１３とを備えている。第１の処理部１１は、第１のサーバ装置１０の動作を制御する。第１の記憶部１２には、第１のヘルシーカウンタ１２ａの領域が確保されている。第１のデータベース１３には、産業用コントローラ４０の制御プログラムが登録される。
　第１のサーバ装置１０は、第２のサーバ装置２０および１つまたは複数のクライアント装置３０が加入することができる第１のグループを管理している。第１のサーバ装置１０は、第１のグループ宛にデータを送信することにより、第１のグループに加入している第２のサーバ装置２０および１つまたは複数のクライアント装置３０に同一のデータを一括送信することができる。このような仕組みは、例えば、ＵＤＰ（User Datagram Protocol）のマルチキャスト通信によって実現することができる。
　第１のヘルシーカウンタ１２ａは、第１のサーバ装置１０が正常に機能している間は、所定の周期、例えば１秒周期でカウントアップまたはカウントダウンされる。このような仕組みは、例えば、所定の周期で割り込みを発生させてカウンタ変数の値をインクリメントまたはデクリメントすることによって実現することができる。
　第１のサーバ装置１０の具体的な実現方法は特に限定されるものではないが、一例として、第１のサーバ装置１０は、パーソナルコンピュータである。この場合、第１の処理部１１はＣＰＵ（Central Processing Unit）であり、第１の記憶部１２はＲＡＭ（Random Access Memory）およびＲＯＭ（Read Only Memory）である。また、第１のデータベース１３は、ＣＰＵによって実行されるアプリケーションプログラムと、ＨＤＤ（Hard Disk Drive）等の補助記憶装置内に構築されるテーブルとによって実現される。
　図３は、第２のサーバ装置２０の構成を示す図である。第２のサーバ装置２０は、第２の処理部２１と、第２の記憶部２２と、第２のデータベース２３とを備えている。第２の処理部２１は、第２のサーバ装置２０の動作を制御する。第２の記憶部２２には、第２のヘルシーカウンタ２２ａの領域が確保されている。第２のデータベース２３には、産業用コントローラ４０の制御プログラムが登録される。
　第２のサーバ装置２０は、１つまたは複数のクライアント装置３０が加入することができる第２のグループを生成することができる。第２のサーバ装置２０は、第２のグループ宛にデータを送信することにより、第２のグループに加入している１つまたは複数のクライアント装置３０に同一のデータを一括送信することができる。このような仕組みは、例えば、ＵＤＰのマルチキャスト通信によって実現することができる。
　第２のサーバ装置２０の具体的な実現方法は特に限定されるものではないが、一例として、第２のサーバ装置２０は、パーソナルコンピュータである。この場合、第２の処理部２１はＣＰＵであり、第２の記憶部２２はＲＡＭおよびＲＡＭである。また、第２のデータベース２３は、ＣＰＵによって実行されるアプリケーションプログラムと、ＨＤＤ等の補助記憶装置内に構築されるテーブルとによって実現される。
　図４は、クライアント装置３０の構成を示す図である。クライアント装置３０は、第３の処理部３１と、第３の記憶部３２と、表示部３３と、入力部３４とを備えている。クライアント装置３０は、自身が加入しているグループを管理するサーバ装置のデータベースにアクセスすることができる。例えば、クライアント装置３０が第１のサーバ装置１０の管理する第１のグループに加入している場合には、当該クライアント装置３０は、第１のサーバ装置１０の第１のデータベース１３にアクセスすることができる。また、クライアント装置３０が第２のサーバ装置２０の管理する第２のグループに加入している場合には、当該クライアント装置３０は、第２のサーバ装置２０の第２のデータベース２３にアクセスすることができる。
　ユーザは、クライアント装置３０を経由して第１のサーバ装置１０または第２のサーバ装置２０が提供する機能を利用することができる。具体的には、ユーザは、クライアント装置３０を操作することにより、産業用コントローラ４０で実行される制御プログラムの作成、編集、追加、削除等を行うことができる。また、ユーザは、クライアント装置３０を操作することにより、作成した制御プログラムを第１のデータベース１３または第２のデータベース２３に登録することができる。また、ユーザは、クライアント装置３０を操作することにより、第１のデータベース１３または第２のデータベース２３に登録されている制御プログラムを産業用コントローラ４０に送信して実行させることができる。
　クライアント装置３０の具体的な実現方法は特に限定されるものではないが、一例として、クライアント装置３０は、パーソナルコンピュータである。この場合、第３の処理部３１はＣＰＵであり、第３の記憶部３２はＲＡＭおよびＲＯＭである。また、表示部３３は、例えば液晶ディスプレイであり、入力部３４は、例えばキーボードおよびマウス等である。
　図１に戻って、産業用コントローラ４０は、ＤＣＳ（Distributed Control System）またはＰＬＣ（Programable Logic Controller）等である。産業用コントローラ４０は、制御対象に取り付けられた図示しないセンサー等からフィールド機器５０およびフィールドネットワーク６２を介して受信される信号に基づいて、産業プラントの状態を収集する。
　産業用コントローラ４０は、収集されたプラントの状態に基づいて各種の演算を実行し、演算結果に基づいて、フィールドネットワーク６２およびフィールド機器５０を介して、制御対象に取り付けられた図示しないアクチュエータ等を動作させることにより、産業プラントを制御する。
　フィールド機器５０は、制御対象に取り付けられた各種装置との間で信号の入出力を行うための機器である。フィールド機器５０は、制御対象に取り付けられたセンサー等からの信号が入力されるＡＩ（Analog Input）機器またはＤＩ（Digital Input）機器等を含んでいる。また、フィールド機器５０は、制御対象に取り付けられたアクチュエータ等への信号を出力するＡＯ（Analog Output）機器またはＤＯ（Digital Output）機器等を含んでいる。
　次に、本実施の形態１に係る管理システム１００の動作について説明する。以降の説明では、２つのクライアント装置３０ａおよび３０ｂがあるものとして説明する。また、２つのクライアント装置３０ａおよび３０ｂを区別する必要のないときは、両者をまとめてクライアント装置３０と記載する。また、制御ネットワーク６１は、制御ネットワーク６１ａおよび６１ｂによって二重化されている。
　（正常時の動作）
　図５は、管理システム１００の正常時の動作を説明する図である。管理システム１００の正常動作時には、第１のサーバ装置１０がマスタ状態であり、第２のサーバ装置２０はバックアップ状態である。第２のサーバ装置２０は、マスタ状態である第１のサーバ装置１０が管理する第１のグループに加入しており、第１のサーバ装置１０から第１のグループ宛に送信されるデータを受信することができる。
　第１のサーバ装置１０の第１のデータベース１３と第２のサーバ装置２０の第２のデータベース２３とは、所定の周期、例えば３０秒周期で等値化される。等値化の方法は特に限定されるものではないが、一例として、第１のサーバ装置１０が第１のデータベース１３の更新時に第１の履歴情報を作成し、第２のサーバ装置２０は、第１の履歴情報に基づいて、第１のデータベース１３から第２のデータベース２３への等値化を行う。
　２つのクライアント装置３０ａおよび３０ｂは、マスタ状態である第１のサーバ装置１０が管理する第１のグループに加入しており、第１のサーバ装置１０から第１のグループ宛に送信されるデータを受信することができる。また、クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０の第１のデータベース１３にアクセスすることができる。
　第１のサーバ装置１０は、第１のグループ宛に自身の第１のヘルシーカウンタ１２ａのカウント値（第１のヘルシー信号）を含むデータを一定周期、例えば３秒周期で送信する。また、このデータには、バックアップ状態である第２のサーバ装置２０のマシン名、ＩＰアドレス、ポート番号が含まれている。
　第２のサーバ装置２０は、第１のサーバ装置１０から第１のグループ宛に一定周期で送信されるデータを受信し、当該データに含まれる第１のヘルシー信号の値に基づいて、第１のサーバ装置１０が正常に動作しているか否かを判定する。詳細には、第２のサーバ装置２０は、第１のサーバ装置１０から受信される第１のヘルシー信号の値が所定の期間、例えば１０秒の間に変化する場合には、第１のサーバ装置１０は正常に動作していると判定する。
　クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０から第１のグループ宛に一定周期で受信されるデータを受信し、当該データに含まれる第１のヘルシー信号の値に基づいて、第１のサーバ装置１０が正常に動作しているか否かを判定する。詳細には、クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０から受信される第１のヘルシー信号の値が所定の期間、例えば１０秒の間に変化する場合には、第１のサーバ装置１０は正常に動作していると判定する。
　（第１のサーバ装置の異常発生時）
　図６Ａ～図６Ｄは、第１のサーバ装置１０の異常発生時の動作を説明する図である。第１のサーバ装置１０の異常とは、具体的には、第１のサーバ装置１０のシャットダウン、第１のサーバ装置１０上で実行されるアプリケーションの機能停止、第１のデータベース１３の異常、第１のサーバ装置１０上で実行されるオペレーティングシステムの機能停止等である。
　図６Ａにおいて、第１のサーバ装置１０に異常が発生すると、第１のサーバ装置１０から第１のグループ宛に一定周期で送信されるデータに含まれる第１のヘルシー信号の値が変化しなくなる。これを検知した第２のサーバ装置２０は、第１のサーバ装置１０が正常に動作していないと判断し、バックアップ状態からマスタ状態に切り替わる。マスタ状態に切り替わった第２のサーバ装置２０は、第１のグループから離脱し、第２のグループを生成する。
　図６Ｂにおいて、クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０から第１のグループ宛に一定周期で送信されるデータに含まれる第１のヘルシー信号の値が変化しなくなったことを検知すると、第１のサーバ装置１０が正常に動作していないと判断し、第１のサーバ装置１０が管理する第１のグループを離脱し、第２のサーバ装置２０が生成した第２のグループに加入する。これにより、クライアント装置３０ａおよび３０ｂは、第２のサーバ装置２０の第２のデータベース２３にアクセスできるようになる。
　図６Ｃにおいて、第２のサーバ装置２０は、第２のグループ宛に自身の第２のヘルシーカウンタ２２ａのカウント値（第２のヘルシー信号）を含むデータを一定周期、例えば３秒周期で送信する。この間、クライアント装置３０ａおよび３０ｂは、第２のサーバ装置２０の第２のデータベース２３にアクセスし続けることができる。
　図６Ｄにおいて、第１のサーバ装置１０が復旧すると、第１のサーバ装置１０はバックアップ状態となり、第２のグループに加入する。この際、第２のデータベース２３から第１のデータベース１３への等値化が行われる。クライアント装置３０ａおよび３０ｂは、第２のサーバ装置２０の第２のデータベース２３にアクセスし続けることができる。
　（第１のサーバ装置の通信障害時）
　図７Ａ～図７Ｄは、第１のサーバ装置１０の通信障害時の動作を説明する図である。第１のサーバ装置１０の通信障害とは、具体的には、第１のサーバ装置１０と二重化された制御ネットワーク６１ａおよび６１ｂとの間の通信障害である。
　図７Ａにおいて、第１のサーバ装置１０と制御ネットワーク６１ａおよび６１ｂとの間の通信障害が発生すると、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータが第２のサーバ装置２０に届かなくなる。これを検知した第２のサーバ装置２０は、第１のサーバ装置１０の通信障害が発生したと判断し、バックアップ状態からマスタ状態に切り替わる。マスタ状態に切り替わった第２のサーバ装置２０は、第１のグループから離脱し、第２のグループを生成する。
　図７Ｂにおいて、クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータが届かなくなると、第１のサーバ装置１０の通信障害が発生したと判断し、第１のサーバ装置１０が管理する第１のグループを離脱し、第２のサーバ装置２０が生成した第２のグループに加入する。
　図７Ｃにおいて、第２のサーバ装置２０は、第２のグループ宛に自身の第２のヘルシーカウンタ２２ａのカウント値（第２のヘルシー信号）を含むデータを一定周期、例えば３秒周期で送信する。クライアント装置３０ａおよび３０ｂは、第２のサーバ装置２０から第２のグループ宛に送信される第２のヘルシー信号を含むデータの受信を確認すると、第２のサーバ装置２０の第２のデータベース２３にアクセスできるようになる。
　図７Ｄにおいて、第１のサーバ装置１０と制御ネットワーク６１ａおよび６１ｂとの間の通信障害が復旧すると、第１のサーバ装置１０はバックアップ状態となり、第２のグループに加入する。この際、第２のデータベース２３から第１のデータベース１３への等値化が行われる。クライアント装置３０ａおよび３０ｂは、第２のサーバ装置２０の第２のデータベース２３にアクセスし続けることができる。
　（第２のサーバ装置の通信障害時）
　図８Ａ～図８Ｂは、第２のサーバ装置２０の通信障害時の動作を説明する図である。第２のサーバ装置２０の通信障害とは、具体的には、第２のサーバ装置２０と二重化された制御ネットワーク６１ａおよび６１ｂとの間の通信障害である。
　図８Ａにおいて、第２のサーバ装置２０と制御ネットワーク６１ａおよび６１ｂとの間の通信障害が発生すると、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータが第２のサーバ装置２０に届かなくなる。これを検知した第２のサーバ装置２０は、第１のサーバ装置１０の通信障害が発生したと誤って判断し、バックアップ状態からマスタ状態に切り替わってしまう。マスタ状態に切り替わった第２のサーバ装置２０は、第１のグループから離脱し、第２のグループを生成する。
　しかしながら、実際には第１のサーバ装置１０の通信障害は発生していないので、クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータを受信することができる。したがって、クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０の第１のデータベース１３にアクセスし続けることができる。
　図８Ｂにおいて、第２のサーバ装置２０と制御ネットワーク６１ａおよび６１ｂとの間の通信障害が復旧すると、第２のサーバ装置２０は再びバックアップ状態となり、第１のグループに加入する。この際、第１のデータベース１３から第２のデータベース２３への等値化が行われる。クライアント装置３０ａおよび３０ｂは、第１のサーバ装置１０の第１のデータベース１３にアクセスし続けることができる。
　（２つのサーバ装置がともにマスタ状態となる場合）
　図９Ａ～図９Ｂは、第１のサーバ装置１０および第２のサーバ装置２０がともにマスタ状態となる場合の動作を説明する図である。このような状態は、第１のサーバ装置１０と制御ネットワーク６１ｂとの間に通信障害が発生するとともに、第２のサーバ装置２０と制御ネットワーク６１ａとの間に通信障害が発生することにより起こりえる。
　図９Ａにおいて、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータが第２のサーバ装置２０に届かなくなる。これを検知した第２のサーバ装置２０は、バックアップ状態からマスタ状態に切り替わる。マスタ状態に切り替わった第２のサーバ装置２０は、第１のグループから離脱し、第２のグループを生成する。
　図９Ｂにおいて、クライアント装置３０ｂは、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータが届かなくなると、第１のサーバ装置１０が管理する第１のグループを離脱し、第２のサーバ装置２０が生成した第２のグループに加入する。これにより、クライアント装置３０ｂは、第２のサーバ装置２０の第２のデータベース２３にアクセスするようになる。
　一方、クライアント装置３０ａは、第１のサーバ装置１０から第１のグループ宛に一定周期で送信される第１のヘルシー信号を含むデータを受信することができるため、第１のサーバ装置１０が管理する第１のグループに留まる。したがって、クライアント装置３０ａは、第１のサーバ装置１０の第１のデータベース１３にアクセスし続ける。このような状態が継続することにより、第１のデータベース１３の内容と第２のデータベース２３の内容とが乖離していく。
　図９Ｃにおいて、制御ネットワーク６１ａおよび６１ｂの通信障害がすべて復旧すると、第１のサーバ装置１０は、マスタ状態を維持し、第１のヘルシー信号を含むデータの送信を継続する。一方、第２のサーバ装置２０は、第１のサーバ装置１０から送信される第１のヘルシー信号を含むデータを受信すると、マスタ状態からバックアップ状態に切り替わり、第１のグループに再加入し、第２のヘルシー信号を含むデータの送信を停止する。
　図９Ｄにおいて、クライアント装置３０ａは、第１のグループに留まり、第１のサーバ装置１０の第１のデータベース１３にアクセスし続ける。一方、クライアント装置３０ｂは、第２のサーバ装置２０から送信される第２のヘルシー信号を含むデータが届かなくなると、第２のグループを離脱して、第１のグループに再加入する。これにより、クライアント装置３０ｂは、第１のサーバ装置１０の第１のデータベース１３に再びアクセスできるようになる。この際、第１のデータベース１３と第２のデータベース２３との等値化が行われる。
　以上説明したように、本実施の形態１に係る管理システム１００では、通常動作時において、第１のサーバ装置１０はマスタ状態であり、第２のサーバ装置２０はバックアップ状態である。また、第２のサーバ装置２０は、第１のサーバ装置１０から送信されるデータを受信する第１のグループに加入している。
　第１のサーバ装置１０は、第１のヘルシー信号を一定周期で第１のグループ宛に送信し、第２のサーバ装置２０は、第１のサーバ装置１０から第１のグループ宛に送信される第１のヘルシー信号に基づいて、バックアップ状態からマスタ状態に切り替わる。
　上記の特徴により、本実施の形態１に係る管理システム１００では、２台のサーバ装置によって冗長化を実現することができる。これにより、従来は３台必要であったサーバ装置が２台ですむため、大幅なコストダウンとなる。また、第２のサーバ装置２０のバックアップ状態からマスタ状態への切り替えが自動で行われるため、ユーザによる切り替えの手間を省くことができる。
　また、通常動作時において、クライアント装置３０は、第１のサーバ装置１０が管理する第１のグループに加入している。クライアント装置３０は、第１のサーバ装置１０から第１のグループ宛に送信される第１のヘルシー信号に基づいて、第１のグループから離脱して、第２のサーバ装置２０が生成した第２のグループに加入する。これにより、第２のサーバ装置２０がマスタ状態に切り替わった際に、クライアント装置３０は自動的に第２のサーバ装置２０に接続するようになる。したがって、ユーザによる切り替えの手間を省くことができる。
　また、クライアント装置３０は、第１のグループに加入している際は、第１のサーバ装置１０の第１のデータベース１３にアクセスし、第２のグループに加入している際は、第２のサーバ装置２０の第２のデータベース２３にアクセスする。これにより、クライアント装置３０は、常にマスタ状態のサーバ装置のデータベースにアクセスすることができる。
　第１のサーバ装置１０は、第１のデータベース１３の更新時に第１の更新履歴を作成し、第２のサーバ装置２０は、第１の更新履歴に基づいて、第１のデータベース１３から第２のデータベース２３への等値化を行う。第２のサーバ装置は、第２のデータベースの更新時に第２の更新履歴を作成し、第１のサーバ装置１０は、第２の更新履歴に基づいて、第２のデータベース２３から第１のデータベース１３への等値化を行う。これにより、第１のデータベース１３および第２のデータベース２３の内容を常に同一に保つことができる。
　幾つかの実施の形態を説明したが、これらの実施の形態は例として提示したものであり、実施の形態の範囲を限定することは意図していない、これらの実施の形態は、その他の様々な形態で実施されることが可能であり、実施の形態の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組み合わせを行うことができる。これら実施の形態やその変形は、実施の形態の範囲や要旨に含まれると同様に、特許請求の範囲とその均等の範囲に含まれるものである。
　なお、本実施の形態は、以下のような構成を取ることもできる。
［項目１］（第１のサーバ装置、第２のサーバ装置）
　産業用コントローラの制御プログラムの管理システムであって、
　第１の処理部および前記制御プログラムが登録される第１のデータベースを含む第１のサーバ装置と、
　第２の処理部および前記制御プログラムが登録される第２のデータベースを含む第２のサーバ装置と
を備え、
　通常動作時において、前記第１のサーバ装置の前記第１の処理部はマスタ状態であり、前記第２のサーバ装置の前記第２の処理部はバックアップ状態であり、前記第２のサーバ装置は、前記第１のサーバ装置から送信されるデータを受信する第１のグループに加入しており、
　前記第１のサーバ装置の前記第１の処理部は、第１のヘルシー信号を一定周期で前記第１のグループ宛に送信し、
　前記第２のサーバ装置の前記第２の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号に基づいて、前記バックアップ状態から前記マスタ状態に切り替わる、管理システム。
［項目２］（第１のサーバ装置、第２のサーバ装置）
　前記第２のサーバ装置の前記第２の処理部は、前記マスタ状態に切り替わると、前記第１のグループから離脱して、前記第２のサーバ装置から送信されるデータを受信する第２のグループを生成する、項目１に記載の管理システム。
［項目３］（第１のサーバ装置、第２のサーバ装置）
　前記第２のサーバ装置の前記第２の処理部は、第２のヘルシー信号を一定周期で前記第２のグループ宛に送信する、項目２に記載の管理システム。
［項目４］（第１のサーバ装置、第２のサーバ装置）
　前記第１のヘルシー信号は、所定の周期でカウントアップまたはカウントダウンされる信号であり、
　前記第２のサーバ装置の前記第２の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号の値が所定の期間にわたって変化しない場合に、前記バックアップ状態から前記マスタ状態に切り替わる、項目１～３のいずれかに記載の管理システム。
［項目５］（第１のサーバ装置、第２のサーバ装置）
　前記第２のサーバ装置の前記第２の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号が受信されない場合に、前記バックアップ状態から前記マスタ状態に切り替わる、項目１～４のいずれかに記載の管理システム。
［項目６］（クライアント装置）
　第３の処理部を含む１つまたは複数のクライアント装置をさらに備え、
　前記通常動作時において、前記クライアント装置は、前記第１のグループに加入しており、
　前記クライアント装置の前記第３の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号に基づいて、前記第１のグループから離脱して、前記第２のグループに加入する、項目２に記載の管理システム。
［項目７］（クライアント装置）
　前記クライアント装置の前記第３の処理部は、前記第１のグループに加入している際は、前記第１のサーバ装置の前記第１のデータベースにアクセスし、前記第２のグループに加入している際は、前記第２のサーバ装置の前記第２のデータベースにアクセスする、項目６に記載の管理システム。
［項目８］（データベースの等値化）
　前記第１のサーバ装置の前記第１の処理部は、前記第１のデータベースの更新時に第１の更新履歴を作成し、前記第２のサーバ装置の前記第２の処理部は、前記第１の更新履歴に基づいて、前記第１のデータベースから前記第２のデータベースへの等値化を行い、
　前記第２のサーバ装置の前記第２の処理部は、前記第２のデータベースの更新時に第２の更新履歴を作成し、前記第１のサーバ装置の前記第１の処理部は、前記第２の更新履歴に基づいて、前記第２のデータベースから前記第１のデータベースへの等値化を行う、項目１～７のいずれかに記載の管理システム。
１　制御システム
１０　第１のサーバ装置
１１　第１の処理部
１２　第１の記憶部
１２ａ　第１のヘルシーカウンタ
１３　第１のデータベース
２０　第２のサーバ装置
２１　第２の処理部
２２　第２の記憶部
２２ａ　第２のヘルシーカウンタ
２３　第２のデータベース
３０　クライアント装置
３０ａ　クライアント装置
３０ｂ　クライアント装置
３１　第３の処理部
３２　第３の記憶部
３３　表示部
３４　入力部
４０　産業用コントローラ
５０　フィールド機器
６１　制御ネットワーク
６１ａ　制御ネットワーク
６１ｂ　制御ネットワーク
６２　フィールドネットワーク
１００　管理システム

Claims (8)

  1. 　産業用コントローラの制御プログラムの管理システムであって、
    　第１の処理部および前記制御プログラムが登録される第１のデータベースを含む第１のサーバ装置と、
    　第２の処理部および前記制御プログラムが登録される第２のデータベースを含む第２のサーバ装置と
    を備え、
    　通常動作時において、前記第１のサーバ装置の前記第１の処理部はマスタ状態であり、前記第２のサーバ装置の前記第２の処理部はバックアップ状態であり、前記第２のサーバ装置は、前記第１のサーバ装置から送信されるデータを受信する第１のグループに加入しており、
    　前記第１のサーバ装置の前記第１の処理部は、第１のヘルシー信号を一定周期で前記第１のグループ宛に送信し、
    　前記第２のサーバ装置の前記第２の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号に基づいて、前記バックアップ状態から前記マスタ状態に切り替わる、管理システム。
  2. 　前記第２のサーバ装置の前記第２の処理部は、前記マスタ状態に切り替わると、前記第１のグループから離脱して、前記第２のサーバ装置から送信されるデータを受信する第２のグループを生成する、請求項１に記載の管理システム。
  3. 　前記第２のサーバ装置の前記第２の処理部は、第２のヘルシー信号を一定周期で前記第２のグループ宛に送信する、請求項２に記載の管理システム。
  4. 　前記第１のヘルシー信号は、所定の周期でカウントアップまたはカウントダウンされる信号であり、
    　前記第２のサーバ装置の前記第２の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号の値が所定の期間にわたって変化しない場合に、前記バックアップ状態から前記マスタ状態に切り替わる、請求項１に記載の管理システム。
  5. 　前記第２のサーバ装置の前記第２の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号が受信されない場合に、前記バックアップ状態から前記マスタ状態に切り替わる、請求項１に記載の管理システム。
  6. 　第３の処理部を含む１つまたは複数のクライアント装置をさらに備え、
    　前記通常動作時において、前記クライアント装置は、前記第１のグループに加入しており、
    　前記クライアント装置の前記第３の処理部は、前記第１のサーバ装置から前記第１のグループ宛に送信される前記第１のヘルシー信号に基づいて、前記第１のグループから離脱して、前記第２のグループに加入する、請求項２に記載の管理システム。
  7. 　前記クライアント装置の前記第３の処理部は、前記第１のグループに加入している際は、前記第１のサーバ装置の前記第１のデータベースにアクセスし、前記第２のグループに加入している際は、前記第２のサーバ装置の前記第２のデータベースにアクセスする、請求項６に記載の管理システム。
  8. 　前記第１のサーバ装置の前記第１の処理部は、前記第１のデータベースの更新時に第１の更新履歴を作成し、前記第２のサーバ装置の前記第２の処理部は、前記第１の更新履歴に基づいて、前記第１のデータベースから前記第２のデータベースへの等値化を行い、
    　前記第２のサーバ装置の前記第２の処理部は、前記第２のデータベースの更新時に第２の更新履歴を作成し、前記第１のサーバ装置の前記第１の処理部は、前記第２の更新履歴に基づいて、前記第２のデータベースから前記第１のデータベースへの等値化を行う、請求項１に記載の管理システム。
PCT/JP2023/017787 2022-09-21 2023-05-11 産業用コントローラの制御プログラムの管理システム WO2024062671A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022150585A JP2024044823A (ja) 2022-09-21 2022-09-21 産業用コントローラの制御プログラムの管理システム
JP2022-150585 2022-09-21

Publications (1)

Publication Number Publication Date
WO2024062671A1 true WO2024062671A1 (ja) 2024-03-28

Family

ID=90454304

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/017787 WO2024062671A1 (ja) 2022-09-21 2023-05-11 産業用コントローラの制御プログラムの管理システム

Country Status (2)

Country Link
JP (1) JP2024044823A (ja)
WO (1) WO2024062671A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011048534A (ja) * 2009-08-26 2011-03-10 Nec Corp フォールトトレラントコンピュータ及び電源制御方法
JP2012181606A (ja) * 2011-02-28 2012-09-20 Toshiba Corp 監視システム
JP2015032152A (ja) * 2013-08-02 2015-02-16 株式会社東芝 情報処理システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011048534A (ja) * 2009-08-26 2011-03-10 Nec Corp フォールトトレラントコンピュータ及び電源制御方法
JP2012181606A (ja) * 2011-02-28 2012-09-20 Toshiba Corp 監視システム
JP2015032152A (ja) * 2013-08-02 2015-02-16 株式会社東芝 情報処理システム

Also Published As

Publication number Publication date
JP2024044823A (ja) 2024-04-02

Similar Documents

Publication Publication Date Title
US7120820B2 (en) Redundant control system and control computer and peripheral unit for a control system of this type
US8516296B2 (en) Efficient architecture for interfacing redundant devices to a distributed control system
US8924498B2 (en) Method and system for process control network migration
US10042330B2 (en) Redundant process controllers for segregated supervisory and industrial control networks
JP3937230B2 (ja) プロセスデータ収集装置
US20210352158A1 (en) Redundancy In A Network Centric Process Control System
EP2530542B1 (en) Systems and methods for alert device removal
EP3175591B1 (en) System and method for controller redundancy and controller network redundancy with ethernet/ip i/o
US9361151B2 (en) Controller system with peer-to-peer redundancy, and method to operate the system
CA2594066A1 (en) Redundancy coupler for industrial communications networks
US11343206B2 (en) Redundant infrastructure for industrial automation distributed control systems
US9231779B2 (en) Redundant automation system
US10069538B2 (en) Fault tolerant physical layer solution for FOUNDATION FIELDBUS H1 networks or other networks in industrial process control and automation systems
CN110967969A (zh) 高可用性工业自动化系统及通过该系统传送信息的方法
EP3629110A1 (en) High availability industrial automation controller and method of operating the same
WO2024062671A1 (ja) 産業用コントローラの制御プログラムの管理システム
WO2019087849A1 (ja) 通信システム、被制御機器、及び、通信システムの制御方法
JP7326239B2 (ja) コントローラ、および、コントローラシステム
US20230058281A1 (en) Control System and Method for Fine-Grained Reconciliation of Local Archives in Master/Master Scenarios of Servers of a Technical Installation
JP2015207239A (ja) 制御システム、制御装置およびプログラム
Wołoszyk et al. High Availability of the Modern Railway Systems Using the Example of Axle Counter
Balasubramanian et al. Intelligent manufacturing system control
CN115473761A (zh) 基于dcs系统的can总线的通信方法、系统、设备及介质
JP2022025254A (ja) 分散制御システム
Kwiecień et al. Utilization of redundant communication network throughput for non-critical data exchange in networked control systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23867802

Country of ref document: EP

Kind code of ref document: A1