特許 7431034 コントローラ及び施設監視システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-02-05

(45)【発行日】2024-02-14

(54)【発明の名称】コントローラ及び施設監視システム

(51)【国際特許分類】

   G05B 9/03 20060101AFI20240206BHJP

【ＦＩ】

G05B9/03

【請求項の数】 3

(21)【出願番号】P 2019235771

(22)【出願日】2019-12-26

(65)【公開番号】P2021105774

(43)【公開日】2021-07-26

【審査請求日】2022-09-22

(73)【特許権者】

【識別番号】000006666

【氏名又は名称】アズビル株式会社

(74)【代理人】

【識別番号】100098394

【弁理士】

【氏名又は名称】山川 茂樹

(74)【代理人】

【識別番号】100064621

【弁理士】

【氏名又は名称】山川 政樹

(72)【発明者】

【氏名】東出 功一

【審査官】西井 香織

(56)【参考文献】

【文献】特開２０１９－１２８６３８（ＪＰ，Ａ）

【文献】特開２０００－３５３１０５（ＪＰ，Ａ）

【文献】特開２０１６－０５８００９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０５Ｂ ９／０３

(57)【特許請求の範囲】

【請求項1】

監視装置と二重化されたコントローラを備えた施設監視システムにおけるコントローラであって、
前記監視装置との間で通信を行うための第１のＩ／Ｆ（Interface）と、
前記二重化されたコントローラの間で通信を行うための第２のＩ／Ｆ（Interface）と、
前記二重化されたコントローラの間で信号を送受信するためのＤＯ（Digital Output）／ＤＩ（Digital Input）端子と、
前記二重化された他のコントローラの故障状態を、第２のＩ／Ｆを用いたメッセージの送受信と前記ＤＯ／ＤＩ端子を用いた信号の送受信に基づいて判定する故障判定部と、
前記故障判定部の判定結果に基づいて、スタンバイ状態とアクティブ状態の切り替えを行う切替処理部と、を備え、
前記故障判定部が、スタンバイ状態において、前記第２のＩ／Ｆを用いたメッセージに基づいて、アクティブ状態のコントローラが故障であると判定した場合には、前記切替処理部は、アクティブ状態への切り替えを行い、
前記故障判定部が、スタンバイ状態において、前記ＤＯ／ＤＩ端子を用いた信号に基づいて、アクティブ状態のコントローラが故障であると判定し、前記第２のＩ／Ｆを用いたメッセージに基づいて、アクティブ状態のコントローラが正常であると判定した場合には、前記切替処理部は、アクティブ状態への切り替えは行わず、
前記ＤＯ／ＤＩ端子により送受信される前記信号は、一定周期で常時出力されるパルス信号であり、
前記故障判定部は、前記第２のＩ／Ｆを用いた故障状態の判定を、前記二重化された他のコントローラに送信したメッセージに対応するメッセージが受信できたか否かの判定により行う
コントローラ。

【請求項2】

前記故障判定部は、前記ＤＯ／ＤＩ端子を用いた故障状態の判定を、前記二重化された他のコントローラが送信した前記パルス信号が検出できたか否かの判定により行う
請求項１記載のコントローラ。

【請求項3】

請求項１又は２に記載されたコントローラを備えた施設監視システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ビルやプラント等の施設に設置されている設備機器を管理する施設監視システムにおけるコントローラの二重化に関する。

【背景技術】

【0002】

ビルやプラント等の施設に設置されている設備機器を管理する施設監視システムは、設備機器の監視データの収集等を行うコントローラとコントローラをネットワーク経由で集中管理する監視装置から構成されている（例えば、非特許文献１参照。）。

【0003】

このコントローラに異常が発生した場合には、設備機器からの監視データの収集ができなくなるので、継続的に監視データを収集し、信頼性の高い施設監視システムを提供するためにコントローラの冗長化技術が提案されている。

【0004】

提案されている冗長化技術では、アクティブ状態のコントローラとスタンバイ状態の２つのコントローラを用意し、アクティブ状態のコントローラが故障した場合に、スタンバイ状態のコントローラに切り替えるように構成されている（例えば、特許文献１、２参照。）

【先行技術文献】

【特許文献】

【0005】

【文献】特許第３８８２７８３号公報

【文献】特許第４８３６９７９号公報

【非特許文献】

【0006】

【文献】小柳貴義、他「ビルディングオートメーションシステムのエンジニアリング作業効率化に貢献する新しいエンジニアリングツールの開発」,azbil Technical Review, 2017-04

【発明の概要】

【発明が解決しようとする課題】

【0007】

このような冗長化技術では、信頼性の高い施設監視システムを提供するために、安定したコントローラの故障状態の判定と、アクティブ状態のコントローラからスタンバイ状態のコントローラへ切り替えを効率よく行う技術が求められている。

【0008】

特許文献１における通信ユニットの故障状態の判定と通信ユニットの切り替えは、アクティブモードの通信ユニットとスタンバイモードの通信ユニットの両方に接続されたＣＰＵユニットにより行われるので、通信ユニットの切り替えにはＣＰＵユニットの介在が必要であり、通信ユニットの迅速な切り替えが行われない場合がある。

【0009】

特許文献２においては、制御系のコントローラと待機系のコントローラの間に接続されたトラッキングケーブルにより故障状態の読み出しを行うことにより、故障状態の判定を行うが、トラッキングケーブルにより故障状態の送受信が行われるので、ケーブルに異常が発生したような場合には、他のコントローラの故障状態が不明となるような場合もあり得る。

【0010】

本発明は、このような課題を解決するためになされたものであり、安定したコントローラの故障状態の判定と、アクティブ状態のコントローラからスタンバイ状態のコントローラへ切り替えを効率よく行うことができ、信頼性の高い施設監視システムを提供することを目的としている。

【課題を解決するための手段】

【0011】

このような目的を達成するために、本発明にかかるコントローラは、監視装置と二重化されたコントローラを備えた施設監視システムにおけるコントローラであって、前記監視装置との間で通信を行うための第１のＩ／Ｆと、前記二重化されたコントローラの間で通信を行うための第２のＩ／Ｆと、前記二重化されたコントローラの間で信号を送受信するためのＤＯ／ＤＩ端子と、前記二重化された他のコントローラの故障状態を、第２のＩ／Ｆを用いたメッセージの送受信と前記ＤＯ／ＤＩ端子を用いた信号の送受信に基づいて判定する故障判定部と前記故障判定部の判定結果に基づいて、スタンバイ状態とアクティブ状態の切り替えを行う切替処理部とを備え、前記故障判定部が、スタンバイ状態において、前記第２のＩ／Ｆを用いたメッセージに基づいて、アクティブ状態のコントローラが故障であると判定した場合には、前記切替処理部は、アクティブ状態への切り替えを行い、前記故障判定部が、スタンバイ状態において、前記前記ＤＯ／ＤＩ端子を用いた信号に基づいて、アクティブ状態のコントローラが故障であると判定し、前記第２のＩ／Ｆを用いたメッセージに基づいて、アクティブ状態のコントローラが正常であると判定した場合には、前記切替処理部は、アクティブ状態への切り替えは行わないように構成してもよい。

【0012】

また、前記故障判定部は、前記ＤＯ／ＤＩ端子を用いた故障状態の判定は、前記二重化された他のコントローラが送信したパルス信号が検出できたか否かにより判定するように構成してもよい。

【0013】

また、前記故障判定部は、第２のＩ／Ｆを用いた故障状態の判定は、前記二重化された他のコントローラに送信したメッセージに対応するメッセージが受信できたか否かにより判定するように構成してもよい。

【0014】

このような目的を達成するために、本発明にかかる施設監視システムは、上述したコントローラを備える。

【発明の効果】

【0015】

本発明によれば、アクティブ状態のコントローラからスタンバイ状態のコントローラへの切り替えを効率よく行うことができ、信頼性の高い施設監視システムを提供することが可能となる。

【図面の簡単な説明】

【0016】

【図1A】図１Ａは、本発明の実施の形態における設管理システムの構成例を示す図である。

【図1B】図１Ｂは、本発明の実施の形態における「アクティブ状態」と「スタンバイ状態」の動作を説明するための図である。

【図2A】図２Ａは、本発明の実施の形態におけるコントローラの構成例である。

【図2B】図２Ｂは、本発明の実施の形態におけるコントローラを構成するコンピュータの構成例である。

【図3A】図３Ａは、本発明の実施の形態におけるコントローラの故障判定を説明するための図である。

【図3B】図３Ｂは、本発明の実施の形態におけるコントローラの故障判定条件を説明するための図である。

【図4A】図４Ａは、本発明の実施の形態における「故障ＤＯ監視」による故障判定を説明するための図である。

【図4B】図４Ｂは、本発明の実施の形態における「故障ＤＯ監視」による故障判定を説明するための図である。

【図4C】図４Ｃは、本発明の実施の形態における「下位イーサネット回線監視」による故障判定を説明するための図である。

【図5A】図５Ａは、本発明の実施の形態における「主系コントローラ」の切り替え制御を説明するための図である。

【図5B】図５Ｂは、本発明の実施の形態における「従系コントローラ」の切り替え制御を説明するための図である。

【図6A】図６Ａは、本発明の実施の形態におけるデータ同期（常時同期）を説明するための図である。

【図6B】図６Ｂは、本発明の実施の形態におけるデータ同期（初期同期）を説明するための図である。

【発明を実施するための形態】

【0017】

本願発明の実施の形態について図面を参照して説明する。本願発明は、様々な実施の形態で実施することが可能であり、以下に説明する実施の形態に限定されるものではない。

【0018】

＜二重化構成の概要＞
図１Ａは、本発明の実施の形態における施設監視システムの構成例を示す図である。施設監視システム１は、二重化された主系コントローラ３０、従系コントローラ４０、コントローラ経由で設備機器を監視する監視装置１０、コントローラに対して各種設定を行うエンジニアリングツール２０、設備機器を接続するための複数のＩ／Ｏモジュール（５０－１～５０－４）から構成されている。本実施の形態では、監視装置１０、コントローラ（３０、４０）、及びＩ／Ｏモジュール（５０－１～５０－４）間の通信は、ＢＡＣｎｅｔ（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ ａｎｄ Ｃｏｎｔｒｏｌ Ｎｅｔｗｏｒｋ）（登録商標）プロトコルを用いて行われる。

【0019】

図１Ａの構成例では、主系コントローラ３０及び従系コントローラ４０と監視装置１０、エンジニアリングツール２０の間は、上位イーサネット（登録商標）回線６０で接続され、主系コントローラ３０、従系コントローラ４０、Ｉ／Ｏモジュール（５０－１～５０－４）の間は、下位イーサネット回線（７０－１、７０－２）で接続されている。主系コントローラ３０、従系コントローラ４０は、互いに、故障ＤＯ（Ｄｉｇｉｔａｌ Ｏｕｔｐｕｔ）信号を送受信するように構成されている。

【0020】

本実施の形態では、コントローラ間の故障ＤＯ監視、及び下位イーサネット回線監視を使用して対向する他のコントローラの故障状態を判定し、その判定結果に基づいてアクティブ状態とスタンバイ状態の切り替えを行う。

【0021】

通常は、主系コントローラが「アクティブ状態」、従系コントローラが「スタンバイ状態」となるが、主系コントローラが故障し、制御が行えなくなった場合に、従系コントローラが「アクティブ状態」に切り替わる。また、主系コントローラが故障から復帰した場合には、従系のコントローラが再度「スタンバイ状態」へ切り替わり、主系コントローラが「アクティブ状態」へ切り替わる。

【0022】

＜二重化の方式＞
本実施の形態における二重化方式は、「デュアルシステム」と「デュプレックスシステム」の組み合わせ方式である。「デュアルシステム」は、２つのコントローラに常に同じ動作を行わせておき、一方のコントローラに障害が発生したときでも、他方のコントローラによる処理の継続を行うことができるシステムである。一方、「デュプレックスシステム」は、常時運用する主系コントローラと待機している従系のコントローラで構成し、主系コントローラの故障時に従系コントローラが処理を代行するシステムである。

【0023】

＜アクティブ状態とスタンバイ状態の動作＞
図１Ｂは、本発明の実施の形態における「アクティブ状態」と「スタンバイ状態」の動作を説明するための図である。各コントローラにおける内部制御動作、Ｉ／Ｏモジュール通信及びＩ／Ｏモジュール通信におけるデータスキャンは、「デュアルシステム」とし、主系コントローラが故障した場合でも従系コントローラに速やかに処理を引き継ぐことができるようにする。

【0024】

一方、コントローラからの出力制御及びデータ通告については「デュプレックスシステム」とする。「スタンバイ状態」のコントローラからの出力制御及びデータ通告は抑制される。「スタンバイ状態」のコントローラは、出力制御、及びデータ通告を抑制し、「アクティブ状態」のコントローラが故障し、自らが「アクティブ状態」に切り替わった場合にのみこれらの抑制を解除することで、二重の出力制御、データ通告が行われないようにする。

【0025】

＜データ及び制御状態の同期＞
「アクティブ状態」のコントローラと「スタンバイ状態」のコントローラ間では、速やかに処理を引き継ぐために、監視装置１０からのパラメータ設定やコマンド操作に関して、設定データを共有する。また、各コントローラにおける制御アプリケーションの動作に関して、「アクティブ状態」のコントローラと「スタンバイ状態」のコントローラ間での実行タイミング同期を行い、「アクティブ状態」から「スタンバイ状態」に切り替わったときでも制御状態のズレが少なくなるように構成する。

【0026】

＜二重化構成の隠蔽＞
本実施の形態の二重化されたコントローラでは、監視装置１０と通信するための仮想ＩＰアドレス（第１のアドレス）と物理ＩＰアドレス（第２のアドレス）の２つのＩＰアドレスを設定可能とし、これにより、監視装置１０からみた二重化構成の隠蔽を実現する。仮想ＩＰアドレスは、主系・従系コントローラで共通するＩＰアドレスが設定され、動的に有効／無効の切り替えができる。仮想ＩＰアドレスは、「アクティブ状態」のコントローラでのみ有効で使用可能であり、「アクティブ状態」と「スタンバイ状態」の切り替えに応じて、仮想ＩＰアドレスの有効／無効を切り替えるように構成されている。

【0027】

仮想ＩＰアドレスは、通常は無効となっており「アクティブ状態」のコントローラにおいてのみ有効となる。「アクティブ状態」／「スタンバイ状態」の切り替えに応じて、仮想ＩＰアドレスの有効／無効の切り替え動作を行うことにより、従系コントローラ４０が「アクティブ状態」の動作に切り替わっているときでも、監視装置１０から見たときには常に同じコントローラが動作しているように見せかける。監視装置１０は、主系コントローラ３０及び従系コントローラ４０に共通する仮想ＩＰアドレスでアクセスすることで、主系・従系コントローラのどちらが「アクティブ状態」であるかを意識することなくアクセスすることができる。

【0028】

なお、主系・従系のコントローラに個別にアクセスする場合には、主系・従系のコントローラのそれぞれに割り当てられた固有の物理ＩＰアドレスを用いる。エンジニアリングツール２０は、この物理ＩＰアドレスを用いて、各コントローラに対するエンジニアリングをすることができる。

【0029】

＜コントローラの構成＞
図２Ａは、本発明の実施の形態におけるコントローラの構成例である。コントローラ３０は、主に監視装置１０からのパラメータ設定やコマンド操作等を用いた設備機器の監視制御や監視装置１０へのデータ通告を行う監視制御部３１、Ｉ／Ｏモジュールを制御するＩ／Ｏ制御部３２、コントローラ間でのデータの同期を行うデータ同期部３３、コントローラの切り替えを行う切替処理部３４、及び対向コントローラの故障判定を行う故障判定部３５、Ｉ／Ｆ部３６、記憶部３７から構成されている。従系コントローラ４０も同様な構成を有する。

【0030】

Ｉ／Ｆ部３６は、監視装置１０と通信するための上位イーサネット回線６０をサポートする第１のＩ／Ｆ（３６－１）と、コントローラ及びＩ／Ｏモジュールと通信するための下位イーサネット回線（７０－１、７０－２）をサポートする第２のＩ／Ｆ（３６－２）、対向するコントローラの故障監視を行うための故障ＤＯ信号を送受信するためのＤＯ（Ｄｉｇｉｔａｌ Ｏｕｔｐｕｔ）端子（３６－３）及びＤＩ（Ｄｉｇｉｔａｌ Ｉｎｐｕｔ）端子（３６－４）を備える。

【0031】

コントローラ３０の監視制御部３１、Ｉ／Ｏ制御部３２、データ同期部３３、切替処理部３４、及び故障判定部３５、Ｉ／Ｆ部３６、記憶部３７は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、記憶装置及び外部インタフェース（以下、外部Ｉ／Ｆ）を備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。このようなコンピュータの構成例を図２Ｂに示す。

【0032】

コンピュータ１００は、ＣＰＵ２００と、記憶装置３００と、外部Ｉ／Ｆ４００とを備えており、それらがＩ／Ｏインタフェース５００を介して互いに接続されている。本実施の形態の故障判定や切替処理等を行うプログラムや、監視装置１０からの設定データ、Ｉ／Ｏモジュールから収集したデータ等は記憶装置３００に格納され、外部Ｉ／Ｆ４００を介して、監視装置、エンジニアツール等の他のコンピュータが接続される。ＣＰＵ２００は、記憶装置３００に格納されたプログラム等に従って本実施の形態で説明した処理を実行する。

【0033】

Ｉ／Ｆ部３６では、上位イーサネット回線のための共通の仮想ＩＰアドレスと固有の物理ＩＰアドレスの２つのＩＰアドレスを設定可能である。これにより、監視装置１０からの二重化構成の隠蔽を実現する。Ｉ／Ｆ部３６では、動的に仮想ＩＰアドレスの有効／無効の切り替えができる。仮想ＩＰアドレスは、「アクティブ状態」のコントローラでのみ有効で使用可能であり、「アクティブ状態」と「スタンバイ状態」の切り替えに応じて、仮想ＩＰアドレスの有効／無効を切り替える。仮想ＩＰアドレスと物理ＩＰアドレスは、同一ネットワークセグメントとして対応可能であり、同一のＵＤＰ／ＴＣＰポートを共有している。

【0034】

このように、仮想ＩＰアドレスを用いて二重化構成を隠蔽することにより、監視装置は、主系・従系コントローラのアクティブ／スタンバイ状態を意識することなく常に１つのコントローラにアクセスすることができる。監視装置では、主系・従系コントローラのどちらがアクティブ状態であるかを判断するための特別な機能を備える必要がなくなり、監視装置からのパラメータ設定やコマンド操作等の監視制御を効率よく行うことが可能な施設監視システムを実現することが可能となる。

【0035】

＜アクティブ/スタンバイ切り替え動作＞
図３Ａは、本発明の実施の形態におけるコントローラの故障判定を説明するための図である。主系・従系コントローラは、対向するコントローラの故障や故障からの復帰を判定し、その判定結果に基づいて、アクティブ状態／スタンバイ状態の切り替えを行う。本実施の形態では、「故障ＤＯ監視」と「下位イーサネット回線監視」の２経路を、アクティブ／スタンバイ状態の切り替え動作のための故障判定に用いる。

【0036】

＜対向コントローラの状態検出と故障／復帰の判断＞
図３Ｂは、本発明の実施の形態におけるコントローラの故障判定条件を説明するための図である。

【0037】

対向するコントローラが「故障」と認識している状態で、「故障ＤＯ監視」と「下位イーサネット回線監視」の２経路で対向コントローラの「正常」状態を検出した場合、「正常」状態に復帰したと判断する。例えば、「アクティブ状態」の従系コントローラは、「スタンバイ状態」への切り替えを行う。

【0038】

一方、対向コントローラが「正常」と認識している状態で、「故障ＤＯ監視」と「下位イーサネット回線監視」のうち、どちらかの経路で対向コントローラの「故障」を検出した場合、原則的には、対向コントローラが「故障」状態に遷移したと判断する。例えば、従系コントローラは、「スタンバイ状態」から「アクティブ状態」への切り替えを行う。

【0039】

ここで、「故障ＤＯ監視」による対向コントローラの状態が「故障」と判断した場合に、「下位イーサネット回線監視」において、下位イーサネット回線による対向コントローラの情報が取得でき、対向コントローラが「正常」と判断した場合は、「スタンバイ状態」のコントローラは、「アクティブ状態」への切り替え動作を保留し、「スタンバイ状態」を維持する。

【0040】

このような保留動作を行うことにより、コントローラ間のＤＯ／ＤＩ端子の結線が切断したときに、すぐに「アクティブ状態」へ切り替わってしまい、両方のコントローラが「アクティブ状態」となってしまう、いわゆるスプリットブレイン状態を抑制することができるので、それにより、信頼性の高い二重化構成を備えた施設監視システムを提供することが可能となる。

【0041】

＜故障ＤＯ監視による故障判定＞
図４Ａ、図４Ｂは、本発明の実施の形態における「故障ＤＯ監視」による故障判定を説明するための図である。「故障ＤＯ監視」では、他のコントローラが送信したパルス信号が検出できたか否かにより、他のコントローラの故障状態を判定する。各コントローラにおけるＤＯ端子（３６－３、４６－３）からの故障ＤＯ出力は、コントローラの電源断時においては、図４Ｂの（１）に示すように、「ＬＯ」となる。

【0042】

一方、図４Ｂの（２）に示すように、電源投入時の正常状態では、ソフトウェアによるパルス幅、例えば、５０ｍｓ幅のパルス出力を常時行う。このパルス出力は、ソフトウェア割り込みにより行うため、割り込み暴走等の異常状態においては、パルス出力は、図４Ｂの（３）に示すように、「ＨＩ」または「ＬＯ」に貼りつくことになる。ＤＩ端子（３６－４、４６－４）におけるパルスカウント検出が一定時間行えないパルス未検出の場合は、対向するコントローラを「故障」と判断する。パルス幅やパルス未検出の判定時間は適宜設定することができる。

【0043】

＜下位イーサネット回線監視による故障判定＞
図４Ｃは、本発明の実施の形態における「下位イーサネット回線監視」による故障判定を説明するための図である。「下位イーサネット回線監視」では、他のコントローラに送信したメッセージに対応するメッセージが受信できたか否かにより、他のコントローラの故障状態を判定する。

【0044】

主系・従系コントローラは、予め定めた所定のメッセージ、例えば、ＵＤＰ通信を利用した「ダウンロードサービス」等のリードプロパティメッセージを所定の周期で送信し、対向するコントローラの制御状態に関わるデータ読み出しを行う。リードプロパティメッセージに対応する応答メッセージを検出した場合に、正常と判定し、リードプロパティメッセージに対して、連続して無応答を検出した場合に、故障と判定する。送信するメッセージ、メッセージの送信周期、タイムアウト時間、リトライ回数、故障と判断する無応答の検出回数は、適宜設定することができる。

【0045】

このように、「故障ＤＯ監視」と「下位イーサネット回線監視」の２経路を、対向するコントローラの故障判定のために併用することにより、スプリットブレインを抑制できる安定した故障判定を実現し、それにより、信頼性の高い二重化構成を備えた施設監視システムを提供することが可能となる。

【0046】

さらに、「故障ＤＯ監視」における故障判定にパルス検出を用いることにより、安定した故障判定を実現し、それにより、信頼性の高い二重化構成を備えた施設監視システムを提供することが可能となる。

【0047】

＜主系コントローラにおける切り替え制御＞
図５Ａは、本発明の実施の形態における「主系コントローラ」の切り替え制御を説明するための図である。２つのコントローラのうちどちらを「主系コントローラ」として動作させるかは予め設定されている。

【0048】

起動時において、主系コントローラは、「スタンバイ状態」で立ち上がり、従系コントローラの故障状態判定と、アクティブ／スタンバイ状態の読み出しを行う。その結果、従系コントローラが「故障」状態、または「スタンバイ状態」であることを検出した場合には、主系コントローラは、「アクティブ状態」に遷移して制御動作を開始する。

【0049】

起動時において、主系コントローラは、従系コントローラが「正常」状態、かつ「アクティブ状態」で動作中であることを検出した場合、以下の処理を順番に行う。
（１）復帰時初期同期状態となり、「アクティブ状態」で動作している従系コントローラのデータ状態に同期し、従系コントローラの制御タイミングに初期同期する。
（２）同期処理が完了した後、アクティブ遷移待ち状態に遷移し、従系コントローラが「スタンバイ状態」に遷移するのを待つ。
（３）従系コントローラが「スタンバイ状態」に遷移したことを確認後、「アクティブ状態」に復帰して制御動作を開始する。

【0050】

＜従系コントローラにおける切り替え制御＞
図５Ｂは、本発明の実施の形態における「従系コントローラ」の切り替え制御を説明するための図である。２つのコントローラのうちどちらを「従系コントローラ」として動作させるかはあ予め設定されている。

【0051】

従系コントローラは、起動時において、「スタンバイ状態」で立ち上がり、主系コントローラの故障状態判定を行う。従系コントローラは、主系コントローラが正常動作している限りは「スタンバイ状態」を継続する。従系コントローラは、主系コントローラの「故障」を検出したときは、「アクティブ状態」に遷移する。

【0052】

従系コントローラは、主系コントローラの「正常」を検出した場合は、復帰時初期同期状態となり、主系コントローラでの従系コントローラとの同期動作が完了した後に、「スタンバイ状態」に戻る。

【0053】

従系コントローラは、復帰時初期同期状態において、主系コントローラの「故障」を検出した場合は、「アクティブ状態」に遷移する。

【0054】

従系コントローラは、「アクティブ状態」では、常時主系コントローラの故障検出を行う。主系コントローラの「故障」からの復帰を検出し、かつ主系コントローラがアクティブ遷移待ち状態である場合、「スタンバイ状態」に遷移する。

【0055】

＜データ同期機能＞
図６Ａ、図６Ｂは、本発明の実施の形態におけるデータ同期を説明するための図である。本実施の形態では、「常時同期」及び「初期同期」の２種類のデータ同期を行う。

【0056】

＜常時同期の概要＞
図６Ａは、本発明の実施の形態における「常時同期」を説明するための図である。「常時同期」では、監視装置１０から、主系コントローラに対するサービスメッセージの送信が行われたとき、所定のサービスメッセージを従系コントローラにそのまま転送してデータの同期を行う（プッシュ同期）。

【0057】

ここで、ネットワーク断線時の対応として、サービスメッセージの転送に失敗した場合には、できるだけデータの同期がとれるように、周期的な書き込みリトライを行う。

【0058】

＜常時同期の同期動作＞
主系コントローラ３０、従系コントローラ４０の両方が正常動作している場合に、監視装置１０からのサービスメッセージによるパラメータ設定またはコマンド操作が行われたとき、「アクティブ状態」のコントローラ（ここでは主系コントローラ３０）は、サービスメッセージを「スタンバイ状態」のコントローラ（ここでは従系コントローラ４０）に転送することで、監視装置１０から書き込まれるデータの同期を行う。サービスメッセージの転送は、コントローラ間の下位イーサネット回線（７０－１）を介して行われる。

【0059】

常時同期は、「アクティブ状態」のコントローラ（ここでは主系コントローラ３０）のみが行う。従系コントローラ４０は、主系コントローラ３０の故障時のみ「アクティブ状態」に遷移し、常時同期を行う。主系コントローラ３０が故障から復帰した際には、主系コントローラ３０は、初期同期により同期した後に、「アクティブ状態」へ切り替わり、常時同期を再開し、従系コントローラ４０は、「スタンバイ状態」へ切り替わり、常時同期を停止する。

【0060】

常時同期では、予め定めた所定のサービスメッセージを転送対象とする。例えば、「ＢＡＣｎｅｔ通信のＷｒｉｔｅＰｒｏｐｅｒｔｙサービス要求」等の「ライトプロパティメッセージ」を転送対象とすることができる。監視装置からの「ライトプロパティメッセージ」等の設定パラメータが変更されるメッセージのみを転送対象とすることにより、データ同期の効率化を図ることができる。転送対象とするサービスメッセージは、適宜設定可能である。

【0061】

サービス転送に対する無応答を検出した場合には、再送処理を行う。再送処理にも失敗した場合には、エラーログに記録する。転送タイムアウト時間や、リトライ回数は適宜設定可能である。

【0062】

＜初期同期の概要＞
図６Ｂは、本発明の実施の形態における「初期同期」を説明するための図である。従系コントローラ４０は、起動時において、対向する主系コントローラ３０が「アクティブ状態」で動作していることを検出した場合、対向する主系コントローラ３０から予め定めた所定のデータの読み出しを行って「初期同期」する。これにより、主系コントローラ３０で動作している最新のデータに対して同期を行うことができる（プル同期）。

【0063】

＜初期同期の同期動作＞
従系コントローラ４０は、起動時に、対向する主系コントローラ３０の状態を確認し、主系コントローラ３０が正常かつ「アクティブ状態」で動作している場合は、対向する主系コントローラのデータをスキャンし、データの同期を行う。スキャン対象データは全てのデータではなくてもよく、予め定めた所定のデータに限定することができる。

【0064】

初期同期は、コントローラの起動時やリスタート時に実行される。主系コントローラ３０が故障から復帰した場合、復帰した主系コントローラ３０から「アクティブ状態」で動作している従系コントローラ４０に対してデータスキャンを行う。主系コントローラ３０が故障から復帰した場合、従系コントローラは、主系コントローラ３０からの初期同期が完了するまで「アクティブ状態」への遷移は行わない。

【0065】

初期同期は、常時同期と同様に下位イーサネット回線を介して行われる。データスキャンは、例えば、ＵＤＰ通信を利用した「ダウンロードサービス」等の「リードプロパティメッセージ」により行われる。データスキャンが成功しなかった場合は、当該データに対する同期を諦め、エラーログに記録される。タイムアウト時間、リトライ回数は、適宜設定することができる。

【0066】

このように、二重化構成のデータ同期において、「常時同期」と「初期同期」とを併用し、さらには、「常時同期」では、予め定めた所定のメッセージを同期対象とするようにしたので、効率的なデータ同期を実現し、それにより、信頼性の高い二重化構成を備えた施設監視システムを提供することが可能となる。

【0067】

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。

【符号の説明】

【0068】

１…施設監視システム、１０…監視装置、２０…エンジニアリングツール、３０…主系コントローラ、４０…従系コントローラ、５０－１～５０－４…Ｉ／Ｏモジュール、６０…上位イーサネット回線、７０－１、７０－２…下位イーサネット回線。

【図1A】

【図1B】

【図2A】

【図2B】

【図3A】

【図3B】

【図4A】

【図4B】

【図4C】

【図5A】

【図5B】

【図6A】

【図6B】