7552807 装置、システム及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-09

(45)【発行日】2024-09-18

(54)【発明の名称】装置、システム及び方法

(51)【国際特許分類】

   G05B 19/042 20060101AFI20240910BHJP

【ＦＩ】

G05B19/042

【請求項の数】 10

(21)【出願番号】P 2023119114

(22)【出願日】2023-07-21

(65)【公開番号】P2024014848

(43)【公開日】2024-02-01

【審査請求日】2024-07-18

(31)【優先権主張番号】P 2022116530

(32)【優先日】2022-07-21

(33)【優先権主張国・地域又は機関】JP

【早期審査対象出願】

(73)【特許権者】

【識別番号】000006507

【氏名又は名称】横河電機株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】小林 良

(72)【発明者】

【氏名】大野 毅

【審査官】田中 友章

(56)【参考文献】

【文献】特開２０２２－９４０９５（ＪＰ，Ａ）

【文献】特開２０１５－５２５８（ＪＰ，Ａ）

【文献】米国特許出願公開第２００８／０３２０５８２（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０５Ｂ １９／０４２

(57)【特許請求の範囲】

【請求項1】

プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であって複数の制御部からネットワークを介して送信されるＩ／Ｏ出力要求を受信する受信部と、
前記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うフィルタリング部と、
前記Ｉ／Ｏ出力要求の異常を検出する異常検出部と、
前記異常が検出された場合に前記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信し、前記異常が検出されない場合に前記フィルタリング部から出力されたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力する出力部と
を有する装置。

【請求項2】

前記異常検出部は、所定の期間に前記制御部からの前記Ｉ／Ｏ出力要求を受信しない場合に異常を検出する請求項１に記載の装置。

【請求項3】

前記フィルタリング部は、同じＩ／Ｏ出力デバイスに前記Ｉ／Ｏ出力要求を送信する複数の前記制御部を含む制御部グループ毎に前記フィルタリングを行う請求項１又は２に記載の装置。

【請求項4】

前記制御部グループに含まれる複数の制御部は、前記Ｉ／Ｏ出力要求を送信する周期であるグループ要求周期に同期して前記Ｉ／Ｏ出力要求を送信し、
前記フィルタリング部は、前記グループ要求周期に基づいて前記Ｉ／Ｏ出力要求を選択して出力する第２のフィルタリングを更に行う
請求項３に記載の装置。

【請求項5】

前記フィルタリング部は、前記グループ要求周期に受信した同じ前記操作出力を含む複数の前記Ｉ／Ｏ出力要求のうち最初のＩ／Ｏ出力要求を選択して出力するフィルタリングを前記第２のフィルタリングとして行う請求項４に記載の装置。

【請求項6】

前記フィルタリング部は、前記グループ要求周期に受信した複数の前記Ｉ／Ｏ出力要求において前記操作出力が一致する場合に、受信したＩ／Ｏ出力要求を出力するフィルタリングを前記第２のフィルタリングとして行う請求項４に記載の装置。

【請求項7】

前記フィルタリング部は、前記グループ要求周期に受信した複数の前記Ｉ／Ｏ出力要求において異なる前記操作出力が含まれる場合に、多数決に基づく前記操作出力を含む前記Ｉ／Ｏ出力要求を選択して出力するフィルタリングを前記第２のフィルタリングとして行う請求項４に記載の装置。

【請求項8】

前記フィルタリング部は、前記グループ要求周期に受信した複数の前記Ｉ／Ｏ出力要求において前記操作出力がそれぞれ異なる場合には受信したＩ／Ｏ出力要求を選択しない前記第２のフィルタリングを行う請求項７に記載の装置。

【請求項9】

プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であるＩ／Ｏ出力要求を送信する複数の制御部と、
ネットワークを介して前記Ｉ／Ｏ出力要求を受信する受信部と、
前記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うフィルタリング部と、
前記Ｉ／Ｏ出力要求の異常を検出する異常検出部と、
前記異常が検出された場合に前記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信し、前記異常が検出されない場合に前記フィルタリング部から出力されたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力する出力部と
を有するシステム。

【請求項10】

プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であって複数の制御部からネットワークを介して送信されるＩ／Ｏ出力要求を受信することと、
前記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うことと、
前記Ｉ／Ｏ出力要求の異常を検出することと、
前記異常が検出された場合に前記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信することと、
前記異常が検出されない場合に前記フィルタリングされたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力することと
を含む方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、装置、システム及び方法に関する。

【背景技術】

【0002】

プロセス制御システムは、プラントや工場等（以下、これらを総称する場合には、単に「プラント」という）において、工業プロセスにおける各種の状態量（例えば、圧力、温度、流量等）を制御し、高度な自動操業を行う（例えば、特許文献１参照）。

【0003】

従来のプロセス制御システムは、ベンダ独自仕様の専用コントローラが核になって構成される。この専用コントローラは、Ｉ／Ｏ接続部を通して複数のセンサ（流量計や温度計等）からのＩ／Ｏ入力値によって状態量を取得する。ここで、Ｉ／Ｏ接続部は、専用コントローラ等の制御部とセンサ等のＩ／Ｏ入力デバイスやアクチュエータ等のＩ／Ｏ出力デバイスとの間に位置し、双方間のＩ／Ｏデータのやり取りに必要となる機能を提供するものである。次に、専用コントローラは、状態量に応じてＩ／Ｏ出力デバイス（バルブ等のアクチュエータ）の操作量を求める。更に、Ｉ／Ｏ接続部を通してこの操作量に応じたＩ／Ｏ出力値をＩ／Ｏ出力デバイスに与えて、操作する。この専用コントローラの３つの機能によって、上述した各種の状態量が制御される。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０２１－１５７３９１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、近年のオープン化されたプロセス制御システムでは、専用コントローラの代わりに、汎用機器（例えば、ＰＣやワークステーション等）に標準的な制御機能（例えばＩＥＣ６１１３１－３準拠の制御機能等）を組み込んだ汎用コントローラが提案されている。この汎用コントローラとＩ／Ｏ接続部とを汎用のネットワーク（例えばＯＰＣ－ＵＡ等）により接続するシステムが増えつつある。その背景には、プロセス制御システムのユーザが、システムの導入費用を安く抑えて、デジタルトランスフォーメーション（ＤＸ）技術を取り込み易くするシステム環境を望んでいること、その実現のためにベンダに働きかけて、制御機能とＩ／Ｏ接続部をオープンなネットワークで接続したマルチベンダ環境を実現しようとしていることが挙げられる。従って、マルチベンダ環境のプロセス制御システムでは、Ｉ／Ｏ接続部は、複数の汎用コントローラからのＩ／Ｏ出力要求に対応する必要がある。

【0006】

そこで、本開示では、複数の制御部に対応可能なＩ／Ｏ出力デバイスの装置、システム及び方法を提案する。

【課題を解決するための手段】

【0007】

本開示は、上述の問題点を解消するためになされたものであり、その第１の態様は、プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であって複数の制御部からネットワークを介して送信されるＩ／Ｏ出力要求を受信する受信部と、上記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うフィルタリング部と、上記Ｉ／Ｏ出力要求の異常を検出する異常検出部と、上記異常が検出された場合に上記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信し、上記異常が検出されない場合に上記フィルタリング部から出力されたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力する出力部とを有する装置である。

【0008】

また、本開示の第２の態様は、プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であるＩ／Ｏ出力要求を送信する複数の制御部と、ネットワークを介して上記Ｉ／Ｏ出力要求を受信する受信部と、上記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うフィルタリング部と、上記Ｉ／Ｏ出力要求の異常を検出する異常検出部と、上記異常が検出された場合に上記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信し、上記異常が検出されない場合に上記フィルタリング部から出力されたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力する出力部とを有するシステムである。

【0009】

また、本開示の第３の態様は、プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であって複数の制御部からネットワークを介して送信されるＩ／Ｏ出力要求を受信することと、上記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うことと、上記Ｉ／Ｏ出力要求の異常を検出することと、上記異常が検出された場合に上記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信することと、上記異常が検出されない場合に上記フィルタリングされたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力することとを含む方法である。

【図面の簡単な説明】

【0010】

【図1】従来のＩ／Ｏ接続部の構成例を示す図である。

【図2】本開示の第１の実施形態に係る制御システムの構成例を示す図である。

【図3A】本開示の第１の実施形態に係るＩ／Ｏ出力情報の一例を示す図である。

【図3B】本開示の第１の実施形態に係るＩ／Ｏ出力情報の一例を示す図である。

【図4】本開示の第１の実施形態に係るフィルタリング処理の処理手順の一例を示す図である。

【図5】本開示の第１の実施形態に係る異常検出処理の処理手順の一例を示す図である。

【図6】本開示の第２の実施形態に係る制御システムの構成例を示す図である。

【図7A】本開示の第２の実施形態に係る制御部グループ情報の一例を示す図である。

【図7B】本開示の第２の実施形態に係る制御部グループ情報の一例を示す図である。

【図7C】本開示の第２の実施形態に係る制御部グループ情報の一例を示す図である。

【図8】本開示の第２の実施形態に係るフィルタリング処理の処理手順の一例を示す図である。

【図9】本開示の第２の実施形態に係る制御システムの他の構成例を示す図である。

【図10】本開示の第３の実施形態に係る制御システムの構成例を示す図である。

【図11】本開示の第４の実施形態に係る制御システムの構成例を示す図である。

【図12】本開示の第５の実施形態に係る制御システムの構成例を示す図である。

【発明を実施するための形態】

【0011】

以下に、本開示の実施形態について図面に基づいて詳細に説明する。説明は、以下の順に行う。なお、以下の各実施形態において、同一の部位には同一の符号を付することにより重複する説明を省略する。
１．従来の構成
２．第１の実施形態
３．第２の実施形態
４．第３の実施形態
５．第４の実施形態
６．第５の実施形態

【0012】

（１．従来の構成）
図１は、従来のＩ／Ｏ接続部の構成例を示す図である。同図は、前述の専用コントローラの構成例を表した図である。専用コントローラ１００は、制御部１１０と、Ｉ／Ｏ接続部１２０と、Ｉ／Ｏ出力定義情報保持部１３０とを備える。なお、同図には、Ｉ／Ｏ出力デバイス５１及び５２を更に記載した。このＩ／Ｏ出力デバイス５１及び５２は、アクチュエータ、バルブ等の操作機器である。

【0013】

制御部１１０は、制御機能を実行し、制御した結果としてＩ／Ｏ出力情報を生成するものである。この制御部１１０は、生成したＩ／Ｏ出力情報をもとに、Ｉ／Ｏ接続部１２０へＩ／Ｏ出力要求を出す。Ｉ／Ｏ出力要求とは、Ｉ／Ｏ出力データ点のＩＤとその出力値のセットを複数個まとめたものである。Ｉ／Ｏ出力要求は、出力すべき全てのＩ／Ｏ出力デバイスに対して生成される。なお、Ｉ／Ｏ出力要求は定周期（以下、要求周期と称する）で出力される。

【0014】

Ｉ／Ｏ接続部１２０は、異常検出部１２１、代替Ｉ／Ｏ出力部１２２、Ｉ／Ｏ通信部１２３を備える。

【0015】

異常検出部１２１は、制御部１１０からＩ／Ｏ出力要求を受け取ったかを、要求周期に同期して監視する。この要求周期は、例えば、１０００ｍｓである。異常検出部１２１は、受け取ったＩ／Ｏ出力要求をＩ／Ｏ通信部１２３に送出する。要求待ち時間以上待っても制御部からのＩ／Ｏ出力要求を受け取らない場合、異常検出部１２１は、Ｉ／Ｏ出力要求を行う唯一の制御部１１０が異常状態にあり、全てのＩ／Ｏ出力データ点に出力できないと判断する。この場合、異常検出部１２１は、Ｉ／Ｏ出力定義情報保持部１３０のＩ／Ｏ出力定義情報に定義された全てのＩ／Ｏ出力データ点のＩＤを指定して、代替Ｉ／Ｏ出力部１２２を呼び出す。要求待ち時間は、要求周期の整数倍にすることができる。例えば、要求待ち時間を要求周期の４倍の４０００ｍｓにすることができる。監視方法については、例えば、制御部からのＩ／Ｏ出力要求を受け取るバッファが更新されたかを定周期にポーリングして監視する仕組みや、既定時間更新されなければ通知する仕組み（例えばウォッチドックタイマなど）を用いることができる。

【0016】

代替Ｉ／Ｏ出力部１２２は、指定された異常のＩ／Ｏ出力データ点に対して、出力値を安全値に強制的に設定して出力するものである。この代替Ｉ／Ｏ出力部１２２は、異常検出部１２１で異常が検出された全てのＩ／Ｏ出力データ点に対して、Ｉ／Ｏ出力定義情報の安全値を設定して作成したＩ／Ｏ出力要求をＩ／Ｏ通信部１２３に送出する。

【0017】

Ｉ／Ｏ通信部１２３は、受け取ったＩ／Ｏ出力要求の出力データをＩ／Ｏ種別毎に信号変換して、Ｉ／Ｏ出力デバイスに出力するものである。また、Ｉ／Ｏ通信部１２３は、Ｉ／Ｏ入力デバイスからの入力時には、入力信号をＩ／Ｏ種別毎に入力データに変換して、制御部１１０に送る。

【0018】

Ｉ／Ｏ出力定義情報は、各部が動作するのに必要な情報のことである。このＩ／Ｏ出力定義情報は、制御部１１０の情報とＩ／Ｏ出力データ点毎の情報とから構成される。異常発生時の安全値は、Ｉ／Ｏ出力データ点毎に登録される。Ｉ／Ｏ出力定義情報は、各部が動作する前に各部から参照できるメモリ領域等の保持部に配置され、各部が動作していても、動的に変更できる。

【0019】

同図の専用コントローラ１００の動作について説明する。まず、制御部１１０は、要求周期毎にＩ／Ｏ出力要求を異常検出部１２１に送る。異常検出部１２１は、要求周期で動作し、制御部１１０が停止した場合や制御部１１０がＩ／Ｏ出力要求を送れない場合でも、定周期で動作する。更に、異常検出部１２１は、制御部１１０から受け取るＩ／Ｏ出力要求があるかを確認する。Ｉ／Ｏ出力要求がある場合には、異常検出部１２１は、Ｉ／Ｏ出力要求を中継してＩ／Ｏ通信部を呼び出す。一方、異常検出部１２１は、Ｉ／Ｏ出力要求を要求待ち時間以上待っているかを確認し、要求待ち時間以上待っている場合には、全てのＩ／Ｏ出力データ点のＩＤを指定して、代替Ｉ／Ｏ出力部１２２を呼び出す。

【0020】

代替Ｉ／Ｏ出力部１２２は、異常検出部１２１から呼び出された場合に動作する。代替Ｉ／Ｏ出力部１２２は、指定されたＩ／Ｏ出力データ点のＩ／Ｏ出力要求を作成し、Ｉ／Ｏ出力要求を指定してＩ／Ｏ通信部１２３を呼び出す。

【0021】

Ｉ／Ｏ通信部１２３は、異常検出部１２１及び代替Ｉ／Ｏ出力部１２２から呼び出された場合に動作し、Ｉ／Ｏ出力デバイス５１及び５２にＩ／Ｏ出力要求を送信する。

【0022】

Ｉ／Ｏ出力デバイス５１及び５２は、Ｉ／Ｏ通信部１２３からのＩ／Ｏ出力要求を受信することにより動作する。

【0023】

［従来技術の問題点］
オープン化されたプラント制御システムは、従来のプラント制御システムと同等の高い安全性や信頼性が求められる。そのために、ネットワーク対応Ｉ／Ｏ接続機器は、ネットワーク対応Ｉ／Ｏ接続機器から分離されてネットワーク上に複数存在する制御部からのＩ／Ｏ出力要求を受け取る。このため、ネットワーク対応Ｉ／Ｏ接続機器は、ネットワーク上の複数の制御部からのＩ／Ｏ出力要求を重複なく出力する必要がある。ネットワーク対応Ｉ／Ｏ接続機器の場合は同一のＩ／Ｏに対して異なる制御部のＩ／Ｏ出力要求を受けるケースが存在するためである。この重複する原因は、主に制御部のエンジニアリングにおける人為的ミスである。

【0024】

また、ネットワーク対応Ｉ／Ｏ接続機器は、ネットワーク上の複数の制御部からのＩ／Ｏ出力要求を監視し、Ｉ／Ｏ毎のフォールバックを行う必要がある。ここで、フォールバックとは、Ｉ／Ｏ接続部が、異常時にＩ／Ｏの出力値を強制的に安全値に設定して出力する機能を意味する。例えば、専用および汎用のコントローラの制御部や、ネットワーク対応Ｉ／Ｏ接続機器のネットワーク通信機能の異常によってＩ／Ｏ出力要求を伝えられない場合に、Ｉ／Ｏへの出力値を安全値に設定して出力する。このフォールバックにより、安全なプラント操業を維持することができる。

【0025】

（２．第１の実施形態）
［制御システムの構成］
図２は、本開示の第１の実施形態に係る制御システムの構成例を示す図である。同図は、制御システム１の構成例を表すブロック図である。制御システム１は、汎用コントローラ６０及び６１と、汎用ネットワーク４０と、ネットワーク対応Ｉ／Ｏ接続機器１０と、Ｉ／Ｏ出力デバイス５１及びＩ／Ｏ出力デバイス５２とを備える。

【0026】

汎用コントローラ６０及び６１は、制御機能を有する汎用機器である。この汎用コントローラ６０及び６１には、例えば、ＰＣやワークステーション等が該当する。汎用コントローラ６０は、制御部３０を備える。汎用コントローラ６１は、制御部３１を備える。

【0027】

制御部３０及び３１は、プラント等におけるプロセス制御システムに含まれる。この制御部３０及び３１は、プラントに配置されたＩ／Ｏ出力デバイス５１及び５２の制御を行う。具体的には、センサ等の入力機器に該当するＩ／Ｏ入力デバイスからの入力に応じて、制御ロジックに従って操作出力を算出して、操作機器に該当するＩ／Ｏ出力デバイス５１等に対して出力する。また、制御部３０及び３１は、汎用ネットワーク４０に接続され、この汎用ネットワーク４０を介して操作出力を含むＩ／Ｏ出力要求を出力する。なお、Ｉ／Ｏ出力要求は、制御部３０等の自身の識別子である制御部ＩＤ及び操作出力の対象となるＩ／Ｏ出力デバイス５１等を識別するＩ／Ｏ出力デバイス番号を更に含む構成にすることができる。

【0028】

Ｉ／Ｏ出力デバイス５１及び５２は、アクチュエータ及びバルブ等のプラントの操作を行う操作機器である。一方、センサ等の入力機器に該当するＩ／Ｏ入力デバイスは、制御部３０等に対してセンサが検出した検出値等の入力値を入力する。また、操作機器に該当するＩ／Ｏ出力デバイス５１等は、制御部３０等からの操作出力（制御部３０等により計算された演算結果の出力値を含む）に基づいて制御対象を操作する。

【0029】

ネットワーク対応Ｉ／Ｏ接続機器１０は、ネットワーク通信部１１と、Ｉ／Ｏ接続部１２と、Ｉ／Ｏ出力定義情報保持部１３とを備える。なお、ネットワーク通信部１１は、プロトコルに依存せず、１対１のクライアント－サーバ通信でも、１対多のパブリッシャ－スクライバ通信でもかまわない。

【0030】

ネットワーク通信部１１は、汎用ネットワーク４０との間のやり取りを行うものである。同図のネットワーク通信部１１は、制御部３０等からのＩ／Ｏ出力要求を受信してＩ／Ｏ接続部１２のフィルタリング部１４に対して出力する。また、ネットワーク通信部１１は、入力機器に該当するＩ／Ｏ入力デバイスからの入力値を汎用ネットワーク４０を介して制御部３０等に送信する。なお、ネットワーク通信部１１は、受信部の一例である。

【0031】

Ｉ／Ｏ出力定義情報保持部１３は、Ｉ／Ｏ出力情報を保持するものである。Ｉ／Ｏ出力情報の詳細については後述する。

【0032】

Ｉ／Ｏ接続部１２は、制御部３０及び３１とＩ／Ｏ出力デバイス５１及び５２との間に配置されて双方向のデータのやり取りに必要な機能を提供するものである。Ｉ／Ｏ接続部１２は、フィルタリング部１４と、異常検出部１５と、代替Ｉ／Ｏ出力部１６と、Ｉ／Ｏ通信部１７とを備える。

【0033】

同図の制御システム１では、複数の制御部（制御部３０及び３１）が汎用ネットワーク４０を介して動作する。これに対応するため、Ｉ／Ｏ接続部１２には、Ｉ／Ｏ出力要求の重複を回避するフィルタリング部１４を追加している。また、図１の異常検出部１２１の代わりに、複数の制御部（制御部３０及び３１）毎にＩ／Ｏ出力要求の異常検出を行う異常検出部１５を配置した。

【0034】

従来技術（図１の制御システム１）では制御部が１つであったが、本発明では複数の制御部（制御部３０及び３１）からのＩ／Ｏ出力要求を監視する。また、図１の制御システム１の異常検出部１２１は制御部と同じ周期で同期して動作するのに対し、同図の異常検出部１５は、制御部とは独立した独自の周期(以下、Ｉ／Ｏ出力周期と称する)で動作する。

【0035】

なお、同図には表示されていないが、ネットワーク通信部１１は、Ｉ／Ｏ入力デバイスからの入力信号をＩ／Ｏ種別毎に入力データに変換して、必要とする制御部に送信する。この入力データを複数の制御部に同時に送ることは問題ない。

【0036】

フィルタリング部１４は、ネットワーク通信部１１から出力されたＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うものである。このフィルタリングは、Ｉ／Ｏ出力定義情報保持部１３に保持されたＩ／Ｏ出力情報に基づいて行われる。

【0037】

異常検出部１５は、フィルタリング部１４から出力されたＩ／Ｏ出力要求の異常を検出するものである。この異常検出部１５は、例えば、所定の期間である要求待ち時間に制御部３０等がＩ／Ｏ出力要求を送信しない場合に異常を検出することができる。要求待ち時間は、上述のＩ／Ｏ出力情報に含まれる情報である。

【0038】

また、異常検出部１５は、Ｉ／Ｏ出力要求の異常を検出した場合には、Ｉ／Ｏ出力デバイス５１等に対して代替Ｉ／Ｏ出力要求を出力する。これは、異常検出部１５が代替Ｉ／Ｏ出力部１６を呼び出すことにより行うことができる。この代替Ｉ／Ｏ出力要求は、上述のＩ／Ｏ出力情報に含まれる代替操作出力を含む情報である。異常検出部１５は、図１の異常検出部１２１と異なり、複数の制御部３０等からのＩ／Ｏ出力要求を監視する。

【0039】

Ｉ／Ｏ通信部１７は、異常検出部１５から出力されたＩ／Ｏ出力要求及び代替Ｉ／Ｏ出力要求のデータをＩ／Ｏ出力デバイス５１等毎に信号変換して、出力するものである。

【0040】

［Ｉ／Ｏ出力情報］
図３Ａ及び３Ｂは、本開示の第１の実施形態に係るＩ／Ｏ出力情報の一例を示す図である。同図は、３種類のＩ／Ｏ出力情報を表したものである。

【0041】

図３Ａは、Ｉ／Ｏ出力情報のうち、Ｉ／Ｏ出力デバイス番号、Ｉ／Ｏ種別、代替操作出力及び制御部ＩＤの対応関係を表す図である。「Ｉ／Ｏ出力デバイス番号」は、Ｉ／Ｏ出力デバイス５１等を識別する番号である。図２のＩ／Ｏ出力デバイス５１及び５２にＩ／Ｏ出力デバイス番号「１」及び「２」をそれぞれ割り当てることができる。「Ｉ／Ｏ種別」は、Ｉ／Ｏ出力デバイス５１等の操作出力のデータ形式を表すものである。同図の「アナログ」はアナログ信号を表し、「デジタル」はデジタル信号を表す。「代替操作出力」は、代替操作出力を表す。この代替操作出力は、データの形式に沿った値が使用される。「制御部ＩＤ」は、制御部３０等を識別するものである。同図は、制御部３０等のＩＰアドレスを制御部ＩＤとして使用する場合の例を表したものである。図２の制御部３０及び３１に「１７２．１８．３２．１」及び「１７２．１８．３２．２」をそれぞれ割り当てることができる。

【0042】

図３Ｂは、Ｉ／Ｏ出力情報のうち、制御部３０等毎の要求待ち時間を表す図である。「１７２．１８．３２．１」、「１７２．１８．３２．２」及び「１７２．１８．３２．３」の要求待ち時間は、それぞれ１０００ｍｓ、２０００ｍｓ及び２０００ｍｓとなる。なお、要求待ち時間は、制御部毎に設定可能であり、例えば、Ｉ／Ｏ出力周期の整数倍等にする。

【0043】

［フィルタリング処理］
図４は、本開示の第１の実施形態に係るフィルタリング処理の処理手順の一例を示す図である。同図は、フィルタリング部１４における処理の処理手順の一例を表す流れ図である。まず、ネットワーク通信部１１がＩ／Ｏ出力要求を受信する（ステップＳ１０１）。ネットワーク通信部１１は、受信したＩ／Ｏ出力要求をフィルタリング部１４に対して出力する。次に、フィルタリング部１４は、ネットワーク通信部１１から出力されたＩ／Ｏ出力要求に含まれる制御部ＩＤ及びＩ／Ｏ出力デバイス番号が、Ｉ／Ｏ出力定義情報保持部１３のＩ／Ｏ出力情報に登録された制御部ＩＤ及びＩ／Ｏ出力デバイス番号と一致するか否かを判断する（ステップＳ１０２）。これは、フィルタリング部１４がＩ／Ｏ出力要求に含まれるＩ／Ｏ出力デバイス番号に基づいてＩ／Ｏ出力定義情報保持部１３からＩ／Ｏ出力情報の読出しを行い、読み出したＩ／Ｏ出力情報に含まれる制御部ＩＤと、Ｉ／Ｏ出力要求に含まれる制御部ＩＤとを比較することにより行うことができる。

【0044】

この判断の結果、制御部ＩＤが一致する場合には（ステップＳ１０２，Ｙｅｓ）、フィルタリング部１４は、Ｉ／Ｏ出力要求を通過させる（ステップＳ１０３）。一方、制御部ＩＤが一致しない場合には（ステップＳ１０２，Ｎｏ）、フィルタリング部１４は、Ｉ／Ｏ出力要求を破棄する（ステップＳ１０４）。

【0045】

［異常検出処理］
図５は、本開示の第１の実施形態に係る異常検出処理の処理手順の一例を示す図である。同図は、異常検出部１５における処理の処理手順の一例を表す流れ図である。異常検出部１５は、異常検出処理の処理ループ１（ステップＳ１１１乃至１１６）を実行する。この処理ループ１の終了条件は、全ての制御部について異常検出処理を行うことである。異常検出部１５は、制御部３０等のうちの１つを選択し、選択した制御部３０等である対象制御部からＩ／Ｏ出力要求を受信したかを判断する（ステップＳ１１２）。その結果、Ｉ／Ｏ出力要求を受信した場合には（ステップＳ１１２，Ｙｅｓ）、異常検出部１５は、受け取ったＩ／Ｏ出力要求をＩ／Ｏ通信部１７に対して出力し（ステップＳ１１５）、ステップＳ１１６に移行する。

【0046】

ステップＳ１１２において、対象制御部のＩ／Ｏ出力要求を受信していない場合には（ステップＳ１１２，Ｎｏ）、異常検出部１５は、対象制御部の要求待ち時間が経過したかを判断する（ステップＳ１１３）。その結果、要求待ち時間の経過前の場合には（ステップＳ１１３，Ｎｏ）、異常検出部１５は、ステップＳ１１６に移行する。

【0047】

一方、ステップＳ１１３において、要求待ち時間の経過後の場合には（ステップＳ１１３，Ｙｅｓ）、異常検出部１５は、Ｉ／Ｏ出力定義情報保持部１３から読み出した代替操作出力を含む代替Ｉ／Ｏ出力要求をＩ／Ｏ通信部１７に対して出力し（ステップＳ１１４）、ステップＳ１１６に移行する。

【0048】

ステップＳ１１６において、全ての制御部について異常検出処理を行った場合には、処理ループ１を終了する（ステップＳ１１６）。その後、異常検出部１５は、処理を終了する。

【0049】

上述のように、ネットワーク対応Ｉ／Ｏ接続機器１０は、フィルタリングを行って不正なＩ／Ｏ出力要求を除去し、正規のＩ／Ｏ出力要求のみをＩ／Ｏ出力デバイス５１等に伝達することができる。人為的ミス等により、同じＩ／Ｏ出力デバイス５１等を制御する他の制御部が汎用ネットワーク４０を介して接続されて、同一のＩ／Ｏ出力デバイス５１等に対してＩ／Ｏ出力要求を送信する場合であっても、不正なＩ／Ｏ出力要求を除去することができる。

【0050】

このように、本開示の第１の実施形態のネットワーク対応Ｉ／Ｏ接続機器１０は、フィルタリング行って正規のＩ／Ｏ出力要求のみをＩ／Ｏ出力デバイス５１等に伝達する。このようなネットワーク対応Ｉ／Ｏ接続機器１０が介在することにより、汎用ネットワーク４０を介して接続される複数の制御部（制御部３０及び３１）によるＩ／Ｏ出力デバイス５１等の制御が可能となる。

【0051】

（３．第２の実施形態）
本開示の第２の実施形態では、冗長性を持たせるために複数の制御部を備える制御システム１について提案する。オープン化プラント制御システムにおいても、従来のプラント制御システムと同様に制御機能やネットワーク経路の故障に対して、高い信頼性が求められる。オープン化されたプラント制御システムは、冗長化構成を取る専用コントローラの制御機能と同等の信頼性を構築する必要がある。これには、汎用コントローラの制御機能に対する冗長化及び汎用コントローラとのネット経路に対する冗長化が必要である。

【0052】

汎用コントローラの制御機能に対する冗長化には、汎用コントローラが故障などの障害によってダウンしても、同一の制御機能が動作している他の汎用コントローラを用意することによってＩ／Ｏ出力要求を代わりに送出する仕組みが該当する。

【0053】

汎用コントローラとのネット経路に対する冗長化には、汎用コントローラからネットワーク対応Ｉ／Ｏ接続機器までのネットワーク経路が切断等によって通信できない場合でも、異なるネットワーク経路を経由した他の汎用コントローラからのＩ／Ｏ出力要求を受け取ることができる仕組みが該当する。ここで、独立したネットワーク経路とは、ネットワークケーブルやネットワーク機器だけでなく、ネットワーク対応Ｉ／Ｏ接続機器のＮＩＣカードを汎用コントローラの接続毎に用意することを含むものである。

【0054】

［制御システムの構成］
図６は、本開示の第２の実施形態に係る制御システムの構成例を示す図である。同図は、図２と同様に、制御システム１の構成例を表すブロック図である。同図のネットワーク対応Ｉ／Ｏ接続機器１０は、Ｉ／Ｏ出力定義情報保持部１３、フィルタリング部１４及び異常検出部１５の代わりに冗長化対応Ｉ／Ｏ出力定義情報保持部２０、冗長化対応フィルタリング部１８及び異常検出部１９を備える点で、図２のネットワーク対応Ｉ／Ｏ接続機器１０と異なる。異常検出部１９は、各制御部グループに対して異常検出を行う。

【0055】

なお、第１の実施形態とは異なり、制御部３０及び３１は、二重化の冗長化構成を取る。制御部３０及び３１は、定周期の処理内容は同じである。同図には表示されていないが、ネットワーク通信部１１は、Ｉ／Ｏ入力デバイスからの入力信号を入力データに変換して、制御部３０及び３１に同時に送る。また、制御部３０及び３１は、後述する同じ制御部グループに所属し、同じ時刻に開始した同じ周期の定周期動作を行う。従って、制御部３０及び３１は、同じ内容の定周期処理をお互いに同期して実行することができる。

【0056】

冗長化対応Ｉ／Ｏ出力定義情報保持部２０は、制御部グルーブ情報を保持するものである。冗長化対応Ｉ／Ｏ出力定義情報保持部２０は、保持した制御部グループ情報を冗長化対応フィルタリング部１８に対して出力する。

【0057】

ここで、制御部グループ情報は、同じＩ／Ｏ出力デバイス５１等にＩ／Ｏ出力要求を送信する複数の制御部を含むグループである。同図の制御システム１においては、制御部３０及び３１が同じ制御部グループに含まれるものと想定する。同じ制御部グループに属する制御部は、共通の要求周期（以下、グループ要求周期と称する）に同期してＩ／Ｏ出力要求を送信する。

【0058】

同図の冗長化対応フィルタリング部１８は、制御部グループ毎にフィルタリングを行う。具体的には、同図の冗長化対応フィルタリング部１８は、制御部グループ毎のグループ要求周期に基づいてＩ／Ｏ出力要求を選択して出力する第２のフィルタリングを更に行う。この第２のフィルタリングには、例えば、グループ要求周期に受信した同じ前記操作出力を含む複数のＩ／Ｏ出力要求のうち最初のＩ／Ｏ出力要求を選択して出力するフィルタリングが該当する。なお、冗長化対応フィルタリング部１８は、フィルタリング部の一例である。

【0059】

第２のフィルタリングについて詳細に説明する。制御部３０及び３１及び汎用ネットワーク４０が正常な場合には、グループ要求周期毎に同一内容のＩ／Ｏ出力要求が送信されてネットワーク通信部１１により受信される。この場合、冗長化対応フィルタリング部１８は、制御部３０及び３１がそれぞれ送信したＩ／Ｏ出力要求のうち最初のものを異常検出部１９に対して出力し、最初でないＩ／Ｏ出力要求を破棄する。

【0060】

また、同図の冗長化対応フィルタリング部１８は、図８において後述するように、２つの事象によって待ち状態から実行に切り替わる。この２つの事象とは、Ｉ／Ｏ出力要求の受信（図８のステップＳ１５１の分岐のＹｅｓ）と、制御部グループ毎のグループ要求周期に同期した定周期タイマのタイムアウト（図８のステップＳ１５１の分岐のＮｏ）である。図８のステップＳ１６１で、タイムアウト時に本周期の要求受信記録をクリアする理由は、タイムアウト後に受信するＩ／Ｏ出力要求を次周期の最初の要求だと判断するためである。

【0061】

冗長化対応フィルタリング部１８は、周期開始からの経過時間を出力要求受信時刻から容易に算出できるように、例えば、ＯＳの提供する定周期タイマを制御部３１等の要求周期に同期させて使用する。本実施例では、定周期タイマと制御部３１及び制御部３２の要求周期とは、時刻の秒単位がちょうど０秒の定時に開始するように設定することができる。また、定周期タイマのタイムアウトが、どの制御部グループのグループ要求周期か分かるように、例えば、制御部グループ毎に異なるＩＤの定周期タイマを割り当てても良い。

【0062】

制御部３０及び３１のうち一方が正常で他方が異常（停止）状態の場合や制御部３０及び３１につながる汎用ネットワーク４０の一方が切断された場合には、制御部３０及び３１のうちの一方からグループ要求周期毎に送信されたＩ／Ｏ出力要求を異常検出部１９に対して出力する。

【0063】

制御部３０及び３１の両方が異常（停止）状態の場合や制御部３０及び３１につながる汎用ネットワーク４０が両方切断された場合には、制御部３０及び３１からグループ要求周期毎のＩ／Ｏ出力要求が送信されない。この場合には、異常検出部１９において異常が検出される。この場合は、第１の実施形態と同様に、異常検出部１９が、代替Ｉ／Ｏ出力要求を行う。

【0064】

また、同図の異常検出部１９は、制御部グループ毎に異常を検出する。なお、異常検出部１９は、異常検出部の一例である。

【0065】

［制御部グループ情報］
図７Ａ－７Ｃは、本開示の第２の実施形態に係る制御部グループ情報の一例を示す図である。同図は、３種類のＩ／Ｏ出力情報を表したものである。

【0066】

図７Ａは、制御部グループ情報のうち、制御部ＩＤ及び制御部グループの対応関係を表す図である。「制御部グループＩＤ」は、制御部グループを識別する番号である。「制御部ＩＤ」は、図３Ａの「制御部ＩＤ」と同様である。制御部３０及び３１には、制御部グループＩＤ「１」が割り当てられる。なお、制御部グループＩＤ「２」は、シングル構成の制御部に対応するものである。

【0067】

図７Ｂは、制御部グループ情報のうち、Ｉ／Ｏ出力デバイス番号、Ｉ／Ｏ種別、代替操作出力及び制御部グループＩＤの対応関係を表す図である。図３Ａの「制御部ＩＤ」の代わりに「制御部グループＩＤ」が記載される。

【0068】

図７Ｃは、制御部グループ情報のうち、制御部グループＩＤ、グループ要求周期、経過許容時間及び要求待ち時間を表す図である。同図の「経過許容時間」は、制御部グループ毎の経過許容時間を表す。「要求待ち時間」は、制御部グループ毎の要求待ち時間を表す。

【0069】

［フィルタリング処理］
図８は、本開示の第２の実施形態に係るフィルタリング処理の処理手順の一例を示す図である。同図は、図４と同様に、冗長化対応フィルタリング部１８における処理の処理手順の一例を表す流れ図である。同図の処理は、Ｉ／Ｏ出力要求の他に、グループ要求周期毎の定周期タイマのタイムアウトにより起動される点で、図４の処理と異なる。図６の冗長化対応フィルタリング部１８は、待機状態（待ち状態）から２つの要因により待ち状態が解除され、同図の処理を実行する。

【0070】

まず、冗長化対応フィルタリング部１８は、待ち解除要因がＩ／Ｏ出力要求かを判断する（ステップＳ１５１）。その結果、待ち解除要因がＩ／Ｏ出力要求の場合には（ステップＳ１５１，Ｙｅｓ）、冗長化対応フィルタリング部１８は、Ｉ／Ｏ出力要求を取り出す（ステップＳ１５２）。次に、冗長化対応フィルタリング部１８は、冗長化対応Ｉ／Ｏ出力定義情報保持部２０から制御部グループ情報を取得する（ステップＳ１５３）。これにより、冗長化対応フィルタリング部１８は、制御部クループＩＤやグループ要求周期を取得する。次に、冗長化対応フィルタリング部１８は、経過時間を算出する（ステップＳ１５４）。次に、冗長化対応フィルタリング部１８は、経過時間が許容範囲かを判断する（ステップＳ１５５）。

【0071】

その結果、経過時間が許容範囲を超える場合には（ステップＳ１５５，Ｎｏ）、冗長化対応フィルタリング部１８は、Ｉ／Ｏ出力要求を破棄し（ステップＳ１５８）、ステップＳ１５９の処理に移行する。

【0072】

一方、ステップＳ１５５において、経過時間が許容範囲内の場合には（ステップＳ１５５，Ｙｅｓ）、冗長化対応フィルタリング部１８は、グループ要求周期の最初のＩ／Ｏ出力要求かを判断する（ステップＳ１５６）。ステップＳ１５７において後述するように、要求受信記録に「受信」とあれば、最初の受信ではない。その結果、最初のＩ／Ｏ出力要求でない場合には（ステップＳ１５６，Ｎｏ）、冗長化対応フィルタリング部１８は、Ｉ／Ｏ出力要求を破棄し（ステップＳ１５８）、ステップＳ１５９の処理に移行する。

【0073】

一方、ステップＳ１５６において、最初のＩ／Ｏ出力要求の場合には（ステップＳ１５６、Ｙｅｓ）、冗長化対応フィルタリング部１８は、要求受信記録に「受信」を記録し、Ｉ／Ｏ出力要求を異常検出部１９に対して出力し（ステップＳ１５７）、ステップＳ１５９の処理に移行する。

【0074】

ステップＳ１５１において、待ち解除要因がＩ／Ｏ出力要求でない場合には（ステップＳ１５１，Ｎｏ）、冗長化対応フィルタリング部１８は、制御部グループＩＤを取得し（ステップＳ１６０）、制御部グループの要求受信記録をクリアする（ステップＳ１６１）。

【0075】

ステップＳ１５９において、冗長化対応フィルタリング部１８は、処理を停止し、待ち状態に戻る（ステップＳ１５９）。以上説明した処理により、フィルタリング処理を行うことができる。

【0076】

冗長化対応フィルタリング部１８は、Ｉ／Ｏ出力要求の受信が、グループ要求周期内の経過許容時間よりも遅れて受信した場合に、当該Ｉ／Ｏ出力要求を異常と判断して破棄する。経過許容時間は、例えば、グループ要求周期の１／２の時間に設定することができる。具体的には、図７Ｃに表したように、グループ要求周期が５００ｍｓの場合に、経過許容時間を２５０ｍｓにすることができる。本実施例ではグループ要求周期が５００ｍｓであるため、グループ要求周期内の経過時間は、受信時刻における１０００ｍｓ未満の端数をグループ要求周期で除算した際の剰余として算出することができる。例えば、受信時刻が９時１７分３２秒７００ｍｓの場合は、７００／５００＝１と算出され、剰余が２００となる。この２００を経過時間として算出することができる。

【0077】

なお、冗長化対応フィルタリング部１８の第２のフィルタリングは、この例に限定されない。例えば、冗長化対応フィルタリング部１８は、制御部３０及び３１のＩ／Ｏ出力要求が揃うまで待機し、２つのＩ／Ｏ出力要求が一致する場合に、Ｉ／Ｏ出力要求を異常検出部１９に出力する処理を第２のフィルタリングとして行うこともできる。この場合、２つのＩ／Ｏ出力要求が一致しない場合には、Ｉ／Ｏ出力要求を破棄する。

【0078】

［制御システムの他の構成］
図９は、本開示の第２の実施形態に係る制御システムの他の構成例を示す図である。同図は、図６と同様に、制御システム１の構成例を表すブロック図である。同図の制御システム１は、制御部３０及び３１がそれぞれ異なる汎用ネットワークに接続される点で、図６の制御システム１と異なる。

【0079】

制御部３０は、汎用ネットワーク４０を介してネットワーク対応Ｉ／Ｏ接続機器１０と接続される。また、制御部３１は、汎用ネットワーク４１を介してネットワーク対応Ｉ／Ｏ接続機器１０と接続される。また、同図のネットワーク対応Ｉ／Ｏ接続機器１０は、図６の第２の実施形態とは異なり、汎用ネットワーク４１とのやり取りを行うネットワーク通信部２１を更に備える。これにより、独立したネットワーク経路を２経路確保することができる。

【0080】

以上説明したように、制御システム１は、同じ制御部グループに含まれる制御部３０及び３１を同期して動作させる。また、ネットワーク対応Ｉ／Ｏ接続機器１０は、Ｉ／Ｏ出力要求を制御部グループ毎にまとめて処理する。このため、同期してＩ／Ｏ出力デバイス５１等を制御する２つの制御部（制御部３０及び３１）を備える場合であっても、Ｉ／Ｏ出力デバイス５１等の制御が可能となる。また、２つの制御部（制御部３０及び３１）のうち、何れか一方が破損した場合や汎用ネットワーク４０及び４１の不調により何れか一方の制御部の通信が途絶えた場合であっても、他の制御部によりＩ／Ｏ出力デバイス５１等の制御を続行することができる。

【0081】

これ以外の制御システム１の構成は本開示の第１の実施形態における制御システム１の構成と同様であるため、説明を省略する。

【0082】

このように、本開示の第２の実施形態の制御システム１は、２つの制御部（制御部３０及び３１）を備え、ネットワーク対応Ｉ／Ｏ接続機器１０を介してＩ／Ｏ出力デバイス５１等にＩ／Ｏ出力要求を伝達することにより、制御部を二重化することができる。制御システム１に冗長性を持たせることができ、信頼性を向上させることができる。

【0083】

（４．第３の実施形態）
上述の第２の実施形態の制御システム１は、２つの制御部を備えていた。これに対し、本開示の第３の実施形態の制御システム１は、３つの制御部を備える点で、上述の第２の実施形態と異なる。

【0084】

［制御システムの構成］
図１０は、本開示の第３の実施形態に係る制御システムの構成例を示す図である。同図は、図６と同様に、制御システム１の構成例を表すブロック図である。同図のネットワーク対応Ｉ／Ｏ接続機器１０は、制御部３２に更に接続される点で、図６のネットワーク対応Ｉ／Ｏ接続機器１０と異なる。

【0085】

同図の制御部３０、３１及び３２は、同じ制御部グループに含まれる制御部である。すなわち、制御部３０、３１及び３２は、同期して動作する。

【0086】

同図の冗長化対応フィルタリング部１８は、制御部３０、３１及び３２からのＩ／Ｏ出力要求に対してフィルタリングを行う。同図の冗長化対応フィルタリング部１８は、複数の制御部（制御部３０、３１及び３２）からのＩ／Ｏ出力要求に対して多数決に基づいてＩ／Ｏ出力要求を選択するフィルタリングを第２のフィルタリングとして行うことができる。具体的には、制御部３０、３１及び３２からのＩ／Ｏ出力要求のうち２つのＩ／Ｏ出力要求の操作出力が一致する場合に、当該Ｉ／Ｏ出力要求を選択することができる。この場合、制御部３０、３１及び３２のＩ／Ｏ出力要求の操作出力が全て異なる場合には、全てのＩ／Ｏ出力要求を破棄することとなる。この場合は、第１の実施形態と同様に、異常検出部１９が、代替Ｉ／Ｏ出力要求を行う。

【0087】

これ以外の制御システム１の構成は本開示の第２の実施形態における制御システム１の構成と同様であるため、説明を省略する。

【0088】

このように、本開示の第３の実施形態の制御システム１は、３つの制御部３０、３１及び３２を備えることにより、更に冗長性を向上させることができる。

【0089】

（５．第４の実施形態）
上述の第３の実施形態の制御システム１は、３つの制御部を備えていた。これに対し、本開示の第４の実施形態の制御システム１は、ｎ（ｎは４以上の整数）個の制御部を備える点で、上述の第３の実施形態と異なる。

【0090】

［制御システムの構成］
図１１は、本開示の第４の実施形態に係る制御システムの構成例を示す図である。同図は、図１０と同様に、制御システム１の構成例を表すブロック図である。同図のネットワーク対応Ｉ／Ｏ接続機器１０は、ｎ個の制御部（制御部３０乃至３４）を備える点で、図１０の制御システム１と異なる。

【0091】

同図の制御部３０乃至３４は、同じ制御部グループに含まれる制御部である。すなわち、制御部３０乃至３４は、同期して動作する。

【0092】

同図の冗長化対応フィルタリング部１８は、制御部３０乃至３４からのＩ／Ｏ出力要求に対してフィルタリングを行う。同図の冗長化対応フィルタリング部１８は、制御部３０乃至３４のＩ／Ｏ出力要求のうちの２つのＩ／Ｏ出力要求が一致する場合に、Ｉ／Ｏ出力要求を異常検出部１９に出力する処理を第２のフィルタリングとして行うこともできる。この場合、制御部３０乃至３４のＩ／Ｏ出力要求の操作出力が全て異なる場合には、全てのＩ／Ｏ出力要求を破棄することとなる。この場合、第１の実施形態と同様に、異常検出部１９が、代替Ｉ／Ｏ出力要求を出力する。

【0093】

また、同図の冗長化対応フィルタリング部１８は、複数の制御部（制御部３０乃至３４）からのＩ／Ｏ出力要求に対して多数決に基づいてＩ／Ｏ出力要求を選択するフィルタリングを第２のフィルタリングとして行うこともできる。

【0094】

これ以外の制御システム１の構成は本開示の第３の実施形態における制御システム１の構成と同様であるため、説明を省略する。

【0095】

このように、本開示の第４の実施形態の制御システム１は、ｎ個の制御部３０乃至３４を備えることにより、冗長性を更に向上させることができる。

【0096】

（６．第５の実施形態）
［制御システムの構成］
図１２は、本開示の第５の実施形態に係る制御システムの構成例を示す図である。同図は、図２と同様に、制御システム１の構成例を表すブロック図である。同図のネットワーク対応Ｉ／Ｏ接続機器１０は、タイマ部２２を備える点で、図２の制御システム１と異なる。

【0097】

タイマ部２２は、上述の要求待ち時間を計測するものである。このタイマ部２２は、制御部３０等毎に要求待ち時間を計測することができる。例えば、タイマ部２２は、制御部３０等毎にタイマを有する構成を採ることができる。また、タイマ部２２は、経過時刻をタイマの情報として異常検出部１５に対して出力する。

【0098】

また、タイマ部２２は、時刻同期機能を備えてもよい。この時刻同期機能は、上記のネットワーク環境における時刻同期を制御する機能である。前述のように汎用コントローラ６０及び６１並びにネットワーク対応Ｉ／Ｏ接続機器１０は、グループ要求周期毎にＩ／Ｏ出力要求をやり取りする。この複数の汎用コントローラ６０等とネットワーク対応Ｉ／Ｏ接続機器１０との間は、時刻同期機能により絶対時刻を同期させている。これにより、各機器の定時刻タイマや定周期タイマのタイムアウトをほぼ同時に発生させることができる。このため、同じ制御部グループの複数の制御部３０等は、制御周期の各処理をほぼ同時に行うことができる。また、制御部３０等とＩ／Ｏ接続部１２との間において、グループ要求周期内の経過時間を同期して測定できるため、経過許容時間よりも遅いＩ／Ｏ出力要求を異常としてはじくことができる。時刻同期は、例えば、ＮＴＰ（Network Time Protocol）を実装したＳＮＴＰ（Simple Network Time Protocol）により行うことができる。

【0099】

これ以外の制御システム１の構成は本開示の第１の実施形態における制御システム１の構成と同様であるため、説明を省略する。

【0100】

なお、本明細書に記載された効果はあくまで例示であって限定されるものでは無く、また他の効果があってもよい。

【0101】

開示される技術的特徴の組合せのいくつかの例を以下に記載する。
（１）
プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であって複数の制御部からネットワークを介して送信されるＩ／Ｏ出力要求を受信する受信部と、
前記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うフィルタリング部と、
前記Ｉ／Ｏ出力要求の異常を検出する異常検出部と、
前記異常が検出された場合に前記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信し、前記異常が検出されない場合に前記フィルタリング部から出力されたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力する出力部と
を有する装置。
（２）
前記異常検出部は、前記受信部が所定の期間に前記制御部からの前記Ｉ／Ｏ出力要求を受信しない場合に異常を検出する前記（１）に記載の装置。
（３）
前記フィルタリング部は、同じＩ／Ｏ出力デバイスに前記Ｉ／Ｏ出力要求を送信する複数の前記制御部を含む制御部グループ毎に前記フィルタリングを行う前記（１）又は（２）に記載の装置。
（４）
前記制御部グループに含まれる複数の制御部は、前記Ｉ／Ｏ出力要求を送信する周期であるグループ要求周期に同期して前記Ｉ／Ｏ出力要求を送信し、
前記フィルタリング部は、前記グループ要求周期に基づいて前記Ｉ／Ｏ出力要求を選択して出力する第２のフィルタリングを更に行う
前記（３）に記載の装置。
（５）
前記フィルタリング部は、前記グループ要求周期に受信した同じ前記操作出力を含む複数の前記Ｉ／Ｏ出力要求のうち最初のＩ／Ｏ出力要求を選択して出力するフィルタリングを前記第２のフィルタリングとして行う前記（４）に記載の装置。
（６）
前記フィルタリング部は、前記グループ要求周期に受信した複数の前記Ｉ／Ｏ出力要求において前記操作出力が一致する場合に、受信したＩ／Ｏ出力要求を出力するフィルタリングを前記第２のフィルタリングとして行う前記（４）に記載の装置。
（７）
前記フィルタリング部は、前記グループ要求周期に受信した複数の前記Ｉ／Ｏ出力要求において異なる前記操作出力が含まれる場合に、多数決に基づく前記操作出力を含む前記Ｉ／Ｏ出力要求を選択して出力するフィルタリングを前記第２のフィルタリングとして行う前記（４）に記載の装置。
（８）
前記フィルタリング部は、前記グループ要求周期に受信した複数の前記Ｉ／Ｏ出力要求において前記操作出力がそれぞれ異なる場合には受信したＩ／Ｏ出力要求を選択しない前記第２のフィルタリングを行う前記（７）に記載の装置。
（９）
プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であるＩ／Ｏ出力要求を送信する複数の制御部と、
ネットワークを介して前記Ｉ／Ｏ出力要求を受信する受信部と、
前記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うフィルタリング部と、
前記Ｉ／Ｏ出力要求の異常を検出する異常検出部と、
前記異常が検出された場合に前記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信し、前記異常が検出されない場合に前記フィルタリング部から出力されたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力する出力部と
を有するシステム。
（１０）
プラントの操作を行うＩ／Ｏ出力デバイスに対する操作出力を含む要求であって複数の制御部からネットワークを介して送信されるＩ／Ｏ出力要求を受信することと、
前記受信したＩ／Ｏ出力要求のうち適正な制御部からのＩ／Ｏ出力要求を選択して出力するフィルタリングを行うことと、
前記Ｉ／Ｏ出力要求の異常を検出することと、
前記異常が検出された場合に前記Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに代替操作出力を含む要求である代替Ｉ／Ｏ出力要求を送信することと、
前記異常が検出されない場合に前記フィルタリングされたＩ／Ｏ出力要求を当該Ｉ／Ｏ出力要求に対応するＩ／Ｏ出力デバイスに出力することと
を含む方法。

【符号の説明】

【0102】

１ 制御システム
１０ ネットワーク対応Ｉ／Ｏ接続機器
１１ ネットワーク通信部
１４ フィルタリング部
１３ Ｉ／Ｏ出力定義情報保持部
１５、１９ 異常検出部
１６ 代替Ｉ／Ｏ出力部
１７ Ｉ／Ｏ通信部
１８ 冗長化対応フィルタリング部
２０ 冗長化対応Ｉ／Ｏ出力定義情報保持部
３０～３４ 制御部
４０、４１ 汎用ネットワーク
５１、５２ Ｉ／Ｏ出力デバイス

【図1】

【図2】

【図3A】

【図3B】

【図4】

【図5】

【図6】

【図7A】

【図7B】

【図7C】

【図8】

【図9】

【図10】

【図11】

【図12】