(57)【要約】【課題】制御装置間の相互監視用の伝送路を多重化することなく、制御装置間の相互監視を実現することができる二重化制御装置の異常監視システムおよびその異常監視方法を提供する。【解決手段】二重化制御装置の異常監視システム１０では、入出力装置６０Ａ，６０Ｂ間の伝送を行うことにより、主系の制御装置２０Ａや入出力装置６０Ａの状態情報等を、待機系の入出力装置６０Ｂを介して待機系の制御装置２０Ｂへ伝達し、待機系の制御装置２０Ｂで、主系の制御装置２０Ａの停止等の状態推定を行う。【選択図】図１
2014016832.tif 000002
【特許請求の範囲】
【請求項１】
１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置をそれぞれ二重化した二重化制御装置の異常を監視する二重化制御装置の異常監視システムであって、
前記入出力装置からの受信データを監視し、この監視結果に基づき前記制御装置に設けられた入出力装置監視情報記憶手段に記憶された自系の入出力装置監視情報を変更する処理を実行する、前記制御装置に設けられた入出力装置監視処理手段と、
前記入出力装置監視情報記憶手段に記憶された前記自系の入出力装置監視情報を、前記制御装置から自系の前記入出力装置へ前記伝送路を介して伝送する処理を実行する、前記制御装置または前記入出力装置に設けられた下り伝送処理手段と、
前記制御装置からの受信データを監視し、この監視結果に基づき前記入出力装置に設けられた入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域を変更する処理を実行する、前記入出力装置に設けられた状態情報変更処理手段と、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報を前記入出力装置同士の間で伝送路を介して伝送する処理を実行する、送信側または受信側の前記入出力装置に設けられた入出力装置間伝送処理手段と、
他系の前記入出力装置からの受信データを監視し、この監視結果に基づき前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を変更する処理を実行する、前記入出力装置に設けられた入出力装置間相互監視処理手段と、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報を、前記入出力装置から自系の前記制御装置へ前記伝送路を介して伝送する処理を実行する、前記入出力装置または前記制御装置に設けられた上り伝送処理手段と、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報を監視し、前記入出力装置状態情報の他系領域により、前記入出力装置監視情報記憶手段に記憶された他系の入出力装置監視情報を変更する処理を実行する、前記制御装置に設けられた監視情報変更処理手段と、
前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を用いて異常要因解析処理を実行する、前記制御装置に設けられた異常要因解析処理手段と
を備えたことを特徴とする二重化制御装置の異常監視システム。
【請求項２】
前記入出力装置監視処理手段は、
前記入出力装置からの受信データが途絶したことを検出した場合には、前記自系の入出力装置監視情報として、前記監視結果としての受信データ途絶を示す情報を、前記入出力装置監視情報記憶手段に記憶させる処理を実行する構成とされ、
前記下り伝送処理手段は、
前記自系の入出力装置監視情報として、前記受信データ途絶を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記状態情報変更処理手段は、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記受信データ途絶を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記制御装置から受信データ途絶を受信したことを示す情報に変更する処理を実行する構成とされ、
前記入出力装置間伝送処理手段は、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記制御装置から受信データ途絶を受信したことを示す情報が記憶されていた場合には、前記制御装置から受信データ途絶を受信したことを示す情報を、他系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記入出力装置間相互監視処理手段は、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記制御装置から受信データ途絶を受信したことを示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記制御装置から受信データ途絶を受信したことを示す情報に変更する処理を実行する構成とされ、
前記上り伝送処理手段は、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記制御装置から受信データ途絶を受信したことを示す情報になっていた場合には、前記制御装置から受信データ途絶を受信したことを示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行する構成とされ、
前記監視情報変更処理手段は、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記制御装置から受信データ途絶を受信したことを示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記制御装置から受信データ途絶を受信したことを示す情報に変更する処理を実行する構成とされ、
前記異常要因解析処理手段は、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記制御装置から受信データ途絶を受信したことを示す情報が記憶されている場合には、他系の前記制御装置が停止していると推定する処理を実行する構成とされている
ことを特徴とする請求項１に記載の二重化制御装置の異常監視システム。
【請求項３】
前記状態情報変更処理手段は、
前記制御装置からの受信データが途絶したことを検出した場合には、前記監視結果としての受信データ途絶を示す情報を、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域に記憶させる処理を実行する構成とされ、
前記入出力装置間伝送処理手段は、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記受信データ途絶を示す情報が記憶されていた場合には、前記受信データ途絶を示す情報を、他系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記入出力装置間相互監視処理手段は、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記受信データ途絶を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記受信データ途絶を示す情報に変更する処理を実行する構成とされ、
前記上り伝送処理手段は、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記受信データ途絶を示す情報になっていた場合には、前記受信データ途絶を示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行する構成とされ、
前記監視情報変更処理手段は、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記受信データ途絶を示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記受信データ途絶を示す情報に変更する処理を実行する構成とされ、
前記異常要因解析処理手段は、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記受信データ途絶を示す情報が記憶されている場合には、他系の前記制御装置が停止していると推定する処理を実行する構成とされている
ことを特徴とする請求項１に記載の二重化制御装置の異常監視システム。
【請求項４】
前記異常要因解析処理手段は、
前記制御装置に複数の前記入出力装置が接続されている場合には、前記他系の入出力装置監視情報が、重要な入出力装置として自系の前記制御装置で予め設定されている前記入出力装置についての監視情報に該当するか否かを判断し、該当すると判断したときに、他系の前記制御装置が停止していると推定する処理を実行する構成とされている
ことを特徴とする請求項２または３に記載の二重化制御装置の異常監視システム。
【請求項５】
前記入出力装置監視処理手段は、
前記入出力装置からデータを受信することができている場合には、前記入出力装置監視情報記憶手段に記憶された前記自系の入出力装置監視情報を、前記監視結果としての正常を示す情報で維持する処理を実行する構成とされ、
前記下り伝送処理手段は、
前記自系の入出力装置監視情報として、前記正常を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記状態情報変更処理手段は、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記正常を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記正常を示す情報で維持する処理を実行する構成とされ、
前記入出力装置間伝送処理手段は、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記正常を示す情報が記憶されていた場合には、前記正常を示す情報を、他系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記入出力装置間相互監視処理手段は、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記正常を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記正常を示す情報で維持する処理を実行する構成とされ、
前記上り伝送処理手段は、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記正常を示す情報になっていた場合には、前記正常を示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行する構成とされ、
前記監視情報変更処理手段は、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記正常を示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記正常を示す情報で維持する処理を実行する構成とされ、
前記異常要因解析処理手段は、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記正常を示す情報が記憶されている場合には、他系の前記制御装置が正常に動作していると推定する処理を実行する構成とされている
ことを特徴とする請求項１に記載の二重化制御装置の異常監視システム。
【請求項６】
前記入出力装置監視処理手段は、
前記異常要因解析処理手段により他系の前記制御装置が停止していると推定された場合には、前記自系の入出力装置監視情報として、推定結果としての他系制御装置停止を示す情報を、前記入出力装置監視情報記憶手段に記憶させる処理を実行する構成とされ、
前記下り伝送処理手段は、
前記自系の入出力装置監視情報として、前記他系制御装置停止を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記状態情報変更処理手段は、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記他系制御装置停止を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記制御装置から他系制御装置停止を受信したことを示す情報に変更する処理を実行する構成とされ、
前記入出力装置間伝送処理手段は、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記制御装置から他系制御装置停止を受信したことを示す情報が記憶されていた場合には、前記制御装置から他系制御装置停止を受信したことを示す情報を、他系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記入出力装置間相互監視処理手段は、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記制御装置から他系制御装置停止を受信したことを示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記制御装置から他系制御装置停止を受信したことを示す情報に変更する処理を実行する構成とされ、
前記上り伝送処理手段は、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記制御装置から他系制御装置停止を受信したことを示す情報になっていた場合には、前記制御装置から他系制御装置停止を受信したことを示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行する構成とされ、
前記監視情報変更処理手段は、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記制御装置から他系制御装置停止を受信したことを示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記制御装置から他系制御装置停止を受信したことを示す情報に変更する処理を実行する構成とされ、
前記異常要因解析処理手段は、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記制御装置から他系制御装置停止を受信したことを示す情報が記憶され、かつ、前記自系の入出力装置監視情報として正常を示す情報が記憶されている場合には、他系の前記制御装置が自分を停止していると誤推定していると判断する処理を実行する構成とされている
ことを特徴とする請求項２〜４のいずれかに記載の二重化制御装置の異常監視システム。
【請求項７】
前記入出力装置監視処理手段は、
前記異常要因解析処理手段により他系の前記制御装置が自分を停止していると誤推定していると判断した場合には、前記自系の入出力装置監視情報として、制御装置動作中を示す情報を、前記入出力装置監視情報記憶手段に記憶させる処理を実行する構成とされ、
前記下り伝送処理手段は、
前記自系の入出力装置監視情報として、前記制御装置動作中を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記状態情報変更処理手段は、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記制御装置動作中を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記制御装置から制御装置動作中を受信したことを示す情報に変更する処理を実行する構成とされ、
前記入出力装置間伝送処理手段は、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記制御装置から制御装置動作中を受信したことを示す情報が記憶されていた場合には、前記制御装置から制御装置動作中を受信したことを示す情報を、他系の前記入出力装置へ伝送する処理を実行する構成とされ、
前記入出力装置間相互監視処理手段は、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記制御装置から制御装置動作中を受信したことを示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記制御装置から制御装置動作中を受信したことを示す情報に変更する処理を実行する構成とされ、
前記上り伝送処理手段は、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記制御装置から制御装置動作中を受信したことを示す情報になっていた場合には、前記制御装置から制御装置動作中を受信したことを示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行する構成とされ、
前記監視情報変更処理手段は、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記制御装置から制御装置動作中を受信したことを示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記制御装置から制御装置動作中を受信したことを示す情報に変更する処理を実行する構成とされ、
前記異常要因解析処理手段は、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記制御装置から制御装置動作中を受信したことを示す情報が記憶され、かつ、前記自系の入出力装置監視情報として正常を示す情報または他系制御装置停止を示す情報が記憶されている場合には、自分が誤推定していると判断する処理を実行する構成とされている
ことを特徴とする請求項６に記載の二重化制御装置の異常監視システム。
【請求項８】
１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置をそれぞれ二重化した二重化制御装置の異常を監視する二重化制御装置の異常監視方法であって、
前記制御装置に設けられた入出力装置監視処理手段が、前記入出力装置からの受信データを監視し、この監視結果に基づき前記制御装置に設けられた入出力装置監視情報記憶手段に記憶された自系の入出力装置監視情報を変更する処理を実行し、
前記制御装置または前記入出力装置に設けられた下り伝送処理手段が、前記入出力装置監視情報記憶手段に記憶された前記自系の入出力装置監視情報を、前記制御装置から自系の前記入出力装置へ前記伝送路を介して伝送する処理を実行し、
前記入出力装置に設けられた状態情報変更処理手段が、前記制御装置からの受信データを監視し、この監視結果に基づき前記入出力装置に設けられた入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域を変更する処理を実行し、
送信側または受信側の前記入出力装置に設けられた入出力装置間伝送処理手段が、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報を前記入出力装置同士の間で伝送路を介して伝送する処理を実行し、
前記入出力装置に設けられた入出力装置間相互監視処理手段が、他系の前記入出力装置からの受信データを監視し、この監視結果に基づき前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を変更する処理を実行し、
前記入出力装置または前記制御装置に設けられた上り伝送処理手段が、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報を、前記入出力装置から自系の前記制御装置へ前記伝送路を介して伝送する処理を実行し、
前記制御装置に設けられた監視情報変更処理手段が、前記入出力装置からの受信データに含まれる前記入出力装置状態情報を監視し、前記入出力装置状態情報の他系領域により、前記入出力装置監視情報記憶手段に記憶された他系の入出力装置監視情報を変更する処理を実行し、
前記制御装置に設けられた異常要因解析処理手段が、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を用いて異常要因解析処理を実行する
ことを特徴とする二重化制御装置の異常監視方法。
【請求項９】
前記入出力装置監視処理手段が、
前記入出力装置からの受信データが途絶したことを検出した場合には、前記自系の入出力装置監視情報として、前記監視結果としての受信データ途絶を示す情報を、前記入出力装置監視情報記憶手段に記憶させる処理を実行し、
前記下り伝送処理手段が、
前記自系の入出力装置監視情報として、前記受信データ途絶を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行し、
前記状態情報変更処理手段が、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記受信データ途絶を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記制御装置から受信データ途絶を受信したことを示す情報に変更する処理を実行し、
前記入出力装置間伝送処理手段が、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記制御装置から受信データ途絶を受信したことを示す情報が記憶されていた場合には、前記制御装置から受信データ途絶を受信したことを示す情報を、他系の前記入出力装置へ伝送する処理を実行し、
前記入出力装置間相互監視処理手段が、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記制御装置から受信データ途絶を受信したことを示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記制御装置から受信データ途絶を受信したことを示す情報に変更する処理を実行し、
前記上り伝送処理手段が、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記制御装置から受信データ途絶を受信したことを示す情報になっていた場合には、前記制御装置から受信データ途絶を受信したことを示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行し、
前記監視情報変更処理手段が、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記制御装置から受信データ途絶を受信したことを示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記制御装置から受信データ途絶を受信したことを示す情報に変更する処理を実行し、
前記異常要因解析処理手段が、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記制御装置から受信データ途絶を受信したことを示す情報が記憶されている場合には、他系の前記制御装置が停止していると推定する処理を実行する
ことを特徴とする請求項８に記載の二重化制御装置の異常監視方法。
【請求項１０】
前記状態情報変更処理手段が、
前記制御装置からの受信データが途絶したことを検出した場合には、前記監視結果としての受信データ途絶を示す情報を、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域に記憶させる処理を実行し、
前記入出力装置間伝送処理手段が、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記受信データ途絶を示す情報が記憶されていた場合には、前記受信データ途絶を示す情報を、他系の前記入出力装置へ伝送する処理を実行し、
前記入出力装置間相互監視処理手段が、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記受信データ途絶を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記受信データ途絶を示す情報に変更する処理を実行し、
前記上り伝送処理手段が、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記受信データ途絶を示す情報になっていた場合には、前記受信データ途絶を示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行し、
前記監視情報変更処理手段が、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記受信データ途絶を示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記受信データ途絶を示す情報に変更する処理を実行し、
前記異常要因解析処理手段が、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記受信データ途絶を示す情報が記憶されている場合には、他系の前記制御装置が停止していると推定する処理を実行する
ことを特徴とする請求項８に記載の二重化制御装置の異常監視方法。
【請求項１１】
前記異常要因解析処理手段が、
前記制御装置に複数の前記入出力装置が接続されている場合には、前記他系の入出力装置監視情報が、重要な入出力装置として自系の前記制御装置で予め設定されている前記入出力装置についての監視情報に該当するか否かを判断し、該当すると判断したときに、他系の前記制御装置が停止していると推定する処理を実行する
ことを特徴とする請求項９または１０に記載の二重化制御装置の異常監視方法。
【請求項１２】
前記入出力装置監視処理手段が、
前記入出力装置からデータを受信することができている場合には、前記入出力装置監視情報記憶手段に記憶された前記自系の入出力装置監視情報を、前記監視結果としての正常を示す情報で維持する処理を実行し、
前記下り伝送処理手段が、
前記自系の入出力装置監視情報として、前記正常を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行し、
前記状態情報変更処理手段が、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記正常を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記正常を示す情報で維持する処理を実行し、
前記入出力装置間伝送処理手段が、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記正常を示す情報が記憶されていた場合には、前記正常を示す情報を、他系の前記入出力装置へ伝送する処理を実行し、
前記入出力装置間相互監視処理手段が、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記正常を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記正常を示す情報で維持する処理を実行し、
前記上り伝送処理手段が、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記正常を示す情報になっていた場合には、前記正常を示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行し、
前記監視情報変更処理手段が、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記正常を示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記正常を示す情報で維持する処理を実行し、
前記異常要因解析処理手段が、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記正常を示す情報が記憶されている場合には、他系の前記制御装置が正常に動作していると推定する処理を実行する
ことを特徴とする請求項８に記載の二重化制御装置の異常監視方法。
【請求項１３】
前記入出力装置監視処理手段が、
前記異常要因解析処理手段により他系の前記制御装置が停止していると推定された場合には、前記自系の入出力装置監視情報として、推定結果としての他系制御装置停止を示す情報を、前記入出力装置監視情報記憶手段に記憶させる処理を実行し、
前記下り伝送処理手段が、
前記自系の入出力装置監視情報として、前記他系制御装置停止を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行し、
前記状態情報変更処理手段が、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記他系制御装置停止を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記制御装置から他系制御装置停止を受信したことを示す情報に変更する処理を実行し、
前記入出力装置間伝送処理手段が、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記制御装置から他系制御装置停止を受信したことを示す情報が記憶されていた場合には、前記制御装置から他系制御装置停止を受信したことを示す情報を、他系の前記入出力装置へ伝送する処理を実行し、
前記入出力装置間相互監視処理手段が、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記制御装置から他系制御装置停止を受信したことを示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記制御装置から他系制御装置停止を受信したことを示す情報に変更する処理を実行し、
前記上り伝送処理手段が、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記制御装置から他系制御装置停止を受信したことを示す情報になっていた場合には、前記制御装置から他系制御装置停止を受信したことを示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行し、
前記監視情報変更処理手段が、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記制御装置から他系制御装置停止を受信したことを示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記制御装置から他系制御装置停止を受信したことを示す情報に変更する処理を実行し、
前記異常要因解析処理手段が、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記制御装置から他系制御装置停止を受信したことを示す情報が記憶され、かつ、前記自系の入出力装置監視情報として正常を示す情報が記憶されている場合には、他系の前記制御装置が自分を停止していると誤推定していると判断する処理を実行する
ことを特徴とする請求項９〜１１のいずれかに記載の二重化制御装置の異常監視方法。
【請求項１４】
前記入出力装置監視処理手段が、
前記異常要因解析処理手段により他系の前記制御装置が自分を停止していると誤推定していると判断した場合には、前記自系の入出力装置監視情報として、制御装置動作中を示す情報を、前記入出力装置監視情報記憶手段に記憶させる処理を実行し、
前記下り伝送処理手段が、
前記自系の入出力装置監視情報として、前記制御装置動作中を示す情報を、前記制御装置から自系の前記入出力装置へ伝送する処理を実行し、
前記状態情報変更処理手段が、
前記制御装置からの受信データに、前記自系の入出力装置監視情報として前記制御装置動作中を示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の自系領域を、前記制御装置から制御装置動作中を受信したことを示す情報に変更する処理を実行し、
前記入出力装置間伝送処理手段が、
前記入出力装置状態情報記憶手段に、前記入出力装置状態情報として前記制御装置から制御装置動作中を受信したことを示す情報が記憶されていた場合には、前記制御装置から制御装置動作中を受信したことを示す情報を、他系の前記入出力装置へ伝送する処理を実行し、
前記入出力装置間相互監視処理手段が、
他系の前記入出力装置からの受信データに、前記入出力装置状態情報として前記制御装置から制御装置動作中を受信したことを示す情報が含まれていた場合には、前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域を、前記制御装置から制御装置動作中を受信したことを示す情報に変更する処理を実行し、
前記上り伝送処理手段が、
前記入出力装置状態情報記憶手段に記憶された前記入出力装置状態情報の他系領域が前記制御装置から制御装置動作中を受信したことを示す情報になっていた場合には、前記制御装置から制御装置動作中を受信したことを示す情報を、前記入出力装置から自系の前記制御装置へ伝送する処理を実行し、
前記監視情報変更処理手段が、
前記入出力装置からの受信データに含まれる前記入出力装置状態情報の他系領域が前記制御装置から制御装置動作中を受信したことを示す情報であった場合には、前記入出力装置監視情報記憶手段に記憶された前記他系の入出力装置監視情報を、前記制御装置から制御装置動作中を受信したことを示す情報に変更する処理を実行し、
前記異常要因解析処理手段が、
前記入出力装置監視情報記憶手段に、前記他系の入出力装置監視情報として前記制御装置から制御装置動作中を受信したことを示す情報が記憶され、かつ、前記自系の入出力装置監視情報として正常を示す情報または他系制御装置停止を示す情報が記憶されている場合には、自分が誤推定していると判断する処理を実行する
ことを特徴とする請求項１３に記載の二重化制御装置の異常監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置をそれぞれ二重化した二重化制御装置の異常を監視する二重化制御装置の異常監視システムおよびその異常監視方法に係り、特に、制御装置間の状態情報の伝達技術に関し、例えば、他系の制御装置の状態を推定する場合等に利用できる。
【背景技術】
【０００２】
従来より、高い信頼性が求められる制御システムにおいては、制御装置と入出力装置との間で送受信データの相互監視を行っている。この相互監視では、例えば、相手からの受信データを一定時間（一定周期、応答監視時間等）内に受信できないこと、相手からの受信データ内に含まれる状態情報に異常表示があること、相手からの受信データ内に含まれる特定のカウンタ等の値に変化が無いこと等を監視している。
【０００３】
そして、これらの相互監視により、制御装置と入出力装置とは、互いに相手の異常や伝送路の切断等を検出することができる。例えば、相手からの受信データを一定時間内に受信できなければ、伝送路の断線等による通信途絶が起きていることを知ることができる。また、相手からの受信データ内にある状態情報を監視しておき、その状態情報が正常を示していなければ、そのコードによって異常要因を知ることができる。さらに、相手からの受信データ内にある特定のカウンタ（ソフトウェアでカウントアップされる。）等の値の変化を監視しておき、その変化が無いことを検出すれば、相手が正常なソフトウェア処理を行っていないことを知ることができる。
【０００４】
さらに、より一層高い信頼性が求められる場合には、制御システムを二重化して主系と待機系とを設け、主系の制御装置の異常時に、待機系の制御装置に制御を切り替えている。このような二重化システムでは、待機系の制御装置は主系の状態を監視しており、主系に異常が発生した場合に待機系の制御装置が主系に切り替わる。この際、主系の制御装置の異常は、主系の制御装置が待機系の制御装置へ送信する状態情報、または制御装置間の相互監視で交換している伝送フレーム中のカウンタの動きの停止で検出する。
【０００５】
上記の送受信データを用いた制御装置間の相互監視では、相手の制御装置から送信されてくるデータを分析して、相手の異常要因を知ることができるという利点がある。しかしながら、相手からのデータを受信できない場合には、その要因が伝送路の切断なのか、伝送回路の故障なのか、相手にデータ送信できないような異常が発生したのかを判別することができないという欠点がある。
【０００６】
この欠点を除去した二重化システム用の相互監視機能を備えたものとして、本願出願人により提案されている特願２０１１−１５１９４１に記載された「二重化制御装置の異常監視システムおよびその異常監視方法」がある。この方法では、系間の相互監視は、制御装置間だけでなく、入出力装置間でも行っており、制御装置が自系の入出力装置の状態情報を、他系の入出力装置および他系の制御装置を経由して入手する。そして、制御装置が自系の入出力装置との相互監視で得た状態情報と、他系経由で得た状態情報とを組み合わせて異常要因を解析している。このため、自系の入出力装置とのデータ送受信が途絶えても、他系経由で自系の入出力装置の状態を知ることができ、それらの情報に基づき異常要因を正しく導き出すことができるようになっている。
【０００７】
また、二重化システムにおいて、スレーブ側の装置内の２つの回路が、互いに状態情報（ヘルスチェック状態を示すビット情報）を交換し、その情報をマスタ側の装置内で二重化された２つの上位制御部が読み出す構成も知られている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開平９−５４７３９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
前述したように、二重化システムにおいて、待機系の制御装置は、主系の制御装置の状態を監視しており、主系に異常が発生した場合に待機系の制御装置が主系に切り替わる。仮に、この監視に用いられる制御装置間の相互監視のフレーム（ここでは、主系から待機系に送信されるフレーム）が、断線等で途絶えてしまうと、待機系の制御装置は、主系の制御装置の状態に関する情報を得ることができない。このため、待機系の制御装置は、主系の制御装置が相互監視フレームを出力できない状態（暴走や電源切断等の故障）になったのか、相互監視フレームの伝送路の断線なのかを判別することができないので、より影響の大きい前者になったと判断して、待機系が主系に切り替わる。
【００１０】
しかしながら、後者のように相互監視フレームの伝送路の断線が原因だった場合は、主系の制御装置は異常ではないため、主系として動作を継続している。誤った判断に基づいて待機系の制御装置が主系に切り替わると、両方の制御装置が主系になってしまうという不都合が生じる。従って、このような不都合の発生を防ぐために、従来は、制御装置間の相互監視フレームの伝送路を多重化するなどして、断線等による相互監視フレームの途絶を防いでいる。
【００１１】
ところで、上記のように、従来においても、両方の制御装置が主系になってしまうという不都合の発生の防止策は講じられていたが、制御装置間の相互監視フレームの伝送路を多重化することなく、他系の制御装置の状態を推定すること等ができれば、間接的に制御装置間の相互監視を継続することができるとともに、制御装置間の伝送路の構成を簡易化することもできる。
【００１２】
また、万一、他系の制御装置の状態の推定を誤った場合でも、その推定が正しくないと判定することができる機能を備えていれば、より信頼性が高く、安定した制御を実現することができる。
【００１３】
本発明は、制御装置間の相互監視用の伝送路を多重化することなく、制御装置間の相互監視を実現することができる二重化制御装置の異常監視システムおよびその異常監視方法を提供するところにある。
【課題を解決するための手段】
【００１４】
本発明は、１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置をそれぞれ二重化した二重化制御装置を対象として異常監視を行うものであるが、二重化された「１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置」のうちの一方を主系とし、他方を待機系とすれば、請求項の記載表現は、次のカッコ内の［１］の場合のみならず、主系と待機系とを反転させた［２］の場合も含むものであり、［１］または［２］のいずれか一方を実現可能な場合と、［１］および［２］の双方を実現可能な場合とを含むものである。
【００１５】
すなわち、本発明は、１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置をそれぞれ二重化した二重化制御装置の異常を監視する二重化制御装置の異常監視システムであって、
入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）からの受信データを監視し、この監視結果に基づき制御装置（［１］主系の制御装置；［２］待機系の制御装置）に設けられた入出力装置監視情報記憶手段に記憶された自系（［１］主系；［２］待機系）の入出力装置監視情報を変更する処理を実行する、制御装置（［１］主系の制御装置；［２］待機系の制御装置）に設けられた入出力装置監視処理手段と、
入出力装置監視情報記憶手段に記憶された自系（［１］主系；［２］待機系）の入出力装置監視情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から自系（［１］主系；［２］待機系）の入出力装置へ伝送路（［１］主系の伝送路；［２］待機系の伝送路）を介して伝送する処理を実行する、制御装置（［１］主系の制御装置；［２］待機系の制御装置）または入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた下り伝送処理手段と、
制御装置（［１］主系の制御装置；［２］待機系の制御装置）からの受信データを監視し、この監視結果に基づき入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］主系領域；［２］待機系領域）を変更する処理を実行する、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた状態情報変更処理手段と、
入出力装置状態情報記憶手段（［１］主系の入出力装置に設けられた入出力装置状態情報記憶手段；［２］待機系の入出力装置に設けられた入出力装置状態情報記憶手段）に記憶された入出力装置状態情報を入出力装置同士の間で伝送路を介して伝送する処理（［１］主系の入出力装置から待機系の入出力装置への伝送処理；［２］待機系の入出力装置から主系の入出力装置への伝送処理）を実行する、送信側（［１］主系側；［２］待機系側）または受信側（［１］待機系側；［２］主系側）の入出力装置に設けられた入出力装置間伝送処理手段と、
他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置からの受信データを監視し、この監視結果に基づき入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）を変更する処理を実行する、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）に設けられた入出力装置間相互監視処理手段と、
入出力装置状態情報記憶手段に記憶された入出力装置状態情報を、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）から自系の制御装置（［１］待機系の制御装置；［２］主系の制御装置）へ伝送路を介して伝送する処理を実行する、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）または制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた上り伝送処理手段と、
入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）からの受信データに含まれる入出力装置状態情報を監視し、入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）により、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を変更する処理を実行する、制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた監視情報変更処理手段と、
入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を用いて異常要因解析処理を実行する、制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた異常要因解析処理手段と
を備えたことを特徴とするものである。
【００１６】
ここで、「下り伝送処理手段」について、「制御装置（［１］主系の制御装置；［２］待機系の制御装置）または入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた下り伝送処理手段」とされているのは、制御装置に設けられた「下り伝送処理手段」が、制御装置に記憶された情報を、入出力装置へ送信する処理を行ってもよく、入出力装置に設けられた「下り伝送処理手段」が、制御装置に記憶された情報を取得する処理を行ってもよい趣旨である。以下の発明においても同様である。
【００１７】
また、「入出力装置間伝送処理手段」について、「送信側（［１］主系側；［２］待機系側）または受信側（［１］待機系側；［２］主系側）の入出力装置に設けられた入出力装置間伝送処理手段」とされているのは、送信側の入出力装置に設けられた「入出力装置間伝送処理手段」が、送信側の入出力装置に記憶された情報を、受信側の入出力装置へ送信する処理を行ってもよく、受信側の入出力装置に設けられた「入出力装置間伝送処理手段」が、送信側の入出力装置に記憶された情報を取得する処理を行ってもよい趣旨である。以下の発明においても同様である。
【００１８】
さらに、「上り伝送処理手段」について、「入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）または制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた上り伝送処理手段」とされているのは、入出力装置に設けられた「上り伝送処理手段」が、入出力装置に記憶された情報を、制御装置へ送信する処理を行ってもよく、制御装置に設けられた「上り伝送処理手段」が、入出力装置に記憶された情報を取得する処理を行ってもよい趣旨である。以下の発明においても同様である。
【００１９】
このような本発明の二重化制御装置の異常監視システムにおいては、下り伝送処理手段による制御装置から自系の入出力装置への伝送処理、入出力装置に設けられた状態情報変更処理手段による入出力装置状態情報の自系領域の更新処理、入出力装置間伝送処理手段による入出力装置間の伝送処理、入出力装置に設けられた入出力装置間相互監視処理手段による入出力装置状態情報の他系領域の更新処理、上り伝送処理手段による入出力装置から自系の制御装置への伝送処理、制御装置に設けられた監視情報変更処理手段による他系の入出力装置監視情報の更新処理をこの順に行うことにより、制御装置（［１］主系の制御装置；［２］待機系の制御装置）、自系（［１］主系；［２］待機系）の入出力装置、他系（［１］待機系；［２］主系）の入出力装置、他系（［１］待機系；［２］主系）の制御装置の順の情報伝達経路が形成される。
【００２０】
このため、制御装置間の伝送の可否や有無にかかわらず、制御装置（［１］主系の制御装置；［２］待機系の制御装置）または自系（［１］主系；［２］待機系）の入出力装置から、入出力装置間の相互監視用の伝送路を介して、他系（［１］待機系；［２］主系）の制御装置へ情報伝達を行うことが可能となる。
【００２１】
従って、例えば、制御装置間の相互監視用の伝送路が断線していても、あるいは、より端的に言えば制御装置間の相互監視用の伝送路が無くても、制御装置は、他系の制御装置の状態を把握し、推定することが可能となり、間接的に制御装置間の相互監視を継続することが可能となる。これにより、制御装置に異常が発生したときに、制御装置を円滑に切り替えることが可能となり、信頼性の高い制御を実現することが可能となるとともに、制御装置間の相互監視用の伝送路を多重化するような従来の構成をとる必要性が無くなるので、制御装置間の相互監視用の伝送路の構成を簡易化または省略することが可能となり、これらにより前記目的が達成される。
【００２２】
なお、前述した特許文献１に記載されたヘルスチェックシステムでは、互いに状態情報（ヘルスチェック状態を示すビット情報）を交換する２つの回路は、いずれも、マスタ側の２つの上位制御部が共有する１つのスレーブ側の装置内に設けられた回路であるから、このシステムによるヘルスチェック処理は、１つの入出力装置内で行われる処理である。これに対し、本発明は、二重化された制御装置（前述した特許文献１で言えば、２つの上位制御部）のそれぞれについて、これらに従属する入出力装置が設けられている二重化制御装置を対象として異常監視を行うものであるという点で異なっている。
【００２３】
また、このような二重化制御装置を異常監視対象としているため、本発明では、二重化された入出力装置間で状態情報の交換を行っているが、前述した特許文献１に記載されたヘルスチェックシステムでは、そもそもスレーブ側の装置が二重化されているわけではないので、スレーブ側の装置間での状態情報の交換を行うことはできない。このため、特許文献１からでは、本発明のように、二重化された入出力装置同士の間で状態情報の交換を行うことにより、他系の状態を把握するための伝達経路を形成して異常要因解析に利用するという発想に到る動機付けは得られない。
【００２４】
そして、様々な異常要因を解析するための具体的構成としては、以下のような構成が挙げられる。
【００２５】
＜ケース１：自系の伝送路のアップロード側（上り伝送路）が断線した場合における他系の制御装置の状態の推定＞
【００２６】
すなわち、前述した二重化制御装置の異常監視システムにおいて、
入出力装置監視処理手段は、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）からの受信データが途絶したことを検出した場合には、自系（［１］主系；［２］待機系）の入出力装置監視情報として、監視結果としての受信データ途絶を示す情報を、入出力装置監視情報記憶手段に記憶させる処理を実行する構成とされ、
下り伝送処理手段は、自系（［１］主系；［２］待機系）の入出力装置監視情報として、受信データ途絶を示す情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から自系（［１］主系；［２］待機系）の入出力装置へ伝送する処理を実行する構成とされ、
状態情報変更処理手段は、制御装置（［１］主系の制御装置；［２］待機系の制御装置）からの受信データに、自系（［１］主系；［２］待機系）の入出力装置監視情報として受信データ途絶を示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］主系領域；［２］待機系領域）を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報に変更する処理を実行する構成とされ、
入出力装置間伝送処理手段は、入出力装置状態情報記憶手段に、入出力装置状態情報として制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報が記憶されていた場合には、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報を、他系の入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）へ伝送する処理を実行する構成とされ、
入出力装置間相互監視処理手段は、他系の入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）からの受信データに、入出力装置状態情報として制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報に変更する処理を実行する構成とされ、
上り伝送処理手段は、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報になっていた場合には、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報を、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）から自系（［１］待機系；［２］主系）の制御装置へ伝送する処理を実行する構成とされ、
監視情報変更処理手段は、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）からの受信データに含まれる入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報であった場合には、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報に変更する処理を実行する構成とされ、
異常要因解析処理手段は、入出力装置監視情報記憶手段に、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報として制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報が記憶されている場合には、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定する処理を実行する構成とすることができる。
【００２７】
このような構成とした場合（ケース１の発明）には、制御装置（［１］主系の制御装置；［２］待機系の制御装置）は、自系（［１］主系；［２］待機系）の入出力装置と相互監視を行っており、自系（［１］主系；［２］待機系）の入出力装置からのデータの受信が無くなれば、制御装置（［１］主系の制御装置；［２］待機系の制御装置）に設けられた入出力装置監視処理手段により、自系（［１］主系；［２］待機系）の入出力装置監視情報として、受信データ途絶を示す情報が作成されるとともに、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた状態情報変更処理手段により、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から受信データ途絶を受信したことを示す情報が作成され、この情報が、他系（［１］待機系；［２］主系）の入出力装置、さらには他系（［１］待機系；［２］主系）の制御装置に伝達される。従って、他系（［１］待機系；［２］主系）の制御装置は、この情報を、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報として得ることができるので、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定することが可能となる。
【００２８】
＜ケース２：自系の伝送路のダウンロード側（下り伝送路）が断線した場合における他系の制御装置の状態の推定＞
【００２９】
また、前述した二重化制御装置の異常監視システムにおいて、
状態情報変更処理手段は、制御装置（［１］主系の制御装置；［２］待機系の制御装置）からの受信データが途絶したことを検出した場合には、監視結果としての受信データ途絶を示す情報を、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］主系領域；［２］待機系領域）に記憶させる処理を実行する構成とされ、
入出力装置間伝送処理手段は、入出力装置状態情報記憶手段に、入出力装置状態情報として受信データ途絶を示す情報が記憶されていた場合には、受信データ途絶を示す情報を、他系（［１］待機系；［２］主系）の入出力装置へ伝送する処理を実行する構成とされ、
入出力装置間相互監視処理手段は、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置からの受信データに、入出力装置状態情報として受信データ途絶を示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）を、受信データ途絶を示す情報に変更する処理を実行する構成とされ、
上り伝送処理手段は、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が受信データ途絶を示す情報になっていた場合には、受信データ途絶を示す情報を、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）から自系（［１］待機系；［２］主系）の制御装置へ伝送する処理を実行する構成とされ、
監視情報変更処理手段は、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）からの受信データに含まれる入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が受信データ途絶を示す情報であった場合には、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を、受信データ途絶を示す情報に変更する処理を実行する構成とされ、
異常要因解析処理手段は、入出力装置監視情報記憶手段に、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報として受信データ途絶を示す情報が記憶されている場合には、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定する処理を実行する構成とすることができる。
【００３０】
このような構成とした場合（ケース２の発明）には、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）は、自系（［１］主系；［２］待機系）の制御装置と相互監視を行っており、自系（［１］主系；［２］待機系）の制御装置からのデータの受信が無くなれば、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた状態情報変更処理手段により、受信データ途絶を示す情報が作成され、この情報が、他系（［１］待機系；［２］主系）の入出力装置、さらには他系（［１］待機系；［２］主系）の制御装置に伝達される。従って、他系（［１］待機系；［２］主系）の制御装置は、この情報を、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報として得ることができるので、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定することが可能となる。
【００３１】
＜ケース１，２の共通事項＞
【００３２】
そして、前述した二重化制御装置の異常監視システムにおいて、
異常要因解析処理手段は、制御装置に複数の入出力装置が接続されている場合には、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報が、重要な入出力装置として自系（［１］待機系；［２］主系）の制御装置で予め設定されている入出力装置についての監視情報に該当するか否かを判断し、該当すると判断したときに、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定する処理を実行する構成とされていることが望ましい。
【００３３】
このように異常を検出した入出力装置が重要なものであるときに、その入出力装置に接続された制御装置が停止していると推定する構成とした場合には、制御装置は入出力装置が重要なものであるときにシステム機能を果たせなくなって停止するので、誤推定を防止または抑制することが可能となる。また、自分（自系の制御装置）にとって重要な入出力装置は、他系の制御装置にとっても重要な入出力装置であるため、両系統で異なる設定が必要となるような特別な事情がある場合を除き、入出力装置が重要なものであるか否かにつき、特に、他系のための設定を記憶しておく必要はなく、自分（自系の制御装置）が記憶している自系のための設定を用いればよい。
【００３４】
＜正常時における他系の制御装置の状態の推定＞
【００３５】
また、前述した二重化制御装置の異常監視システムにおいて、
入出力装置監視処理手段は、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）からデータを受信することができている場合には、入出力装置監視情報記憶手段に記憶された自系（［１］主系；［２］待機系）の入出力装置監視情報を、監視結果としての正常を示す情報で維持する処理を実行する構成とされ、
下り伝送処理手段は、自系（［１］主系；［２］待機系）の入出力装置監視情報として、正常を示す情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から自系（［１］主系；［２］待機系）の入出力装置へ伝送する処理を実行する構成とされ、
状態情報変更処理手段は、制御装置（［１］主系の制御装置；［２］待機系の制御装置）からの受信データに、自系（［１］主系；［２］待機系）の入出力装置監視情報として正常を示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］主系領域；［２］待機系領域）を、正常を示す情報で維持する処理を実行する構成とされ、
入出力装置間伝送処理手段は、入出力装置状態情報記憶手段に、入出力装置状態情報として正常を示す情報が記憶されていた場合には、正常を示す情報を、他系（［１］待機系；［２］主系）の入出力装置へ伝送する処理を実行する構成とされ、
入出力装置間相互監視処理手段は、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置からの受信データに、入出力装置状態情報として正常を示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）を、正常を示す情報で維持する処理を実行する構成とされ、
上り伝送処理手段は、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が正常を示す情報になっていた場合には、正常を示す情報を、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）から自系（［１］待機系；［２］主系）の制御装置へ伝送する処理を実行する構成とされ、
監視情報変更処理手段は、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）からの受信データに含まれる入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が正常を示す情報であった場合には、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を、正常を示す情報で維持する処理を実行する構成とされ、
異常要因解析処理手段は、入出力装置監視情報記憶手段に、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報として正常を示す情報が記憶されている場合には、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が正常に動作していると推定する処理を実行する構成とすることができる。
【００３６】
このような構成とした場合には、制御装置（［１］待機系の制御装置；［２］主系の制御装置）は、入出力装置間の相互監視用の伝送路を介して、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置についての正常を示す情報を得ることができるので、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が正常に動作していると推定することが可能となる。
【００３７】
＜他系の制御装置で自分の状態が誤推定されたことの検知＞
【００３８】
さらに、前述した二重化制御装置の異常監視システムにおいて、
入出力装置監視処理手段は、異常要因解析処理手段により他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定された場合には、自系（［１］待機系；［２］主系）の入出力装置監視情報として、推定結果としての他系制御装置停止を示す情報を、入出力装置監視情報記憶手段に記憶させる処理を実行する構成とされ、
下り伝送処理手段は、自系（［１］待機系；［２］主系）の入出力装置監視情報として、他系制御装置停止を示す情報を、制御装置（［１］待機系の制御装置；［２］主系の制御装置）から自系（［１］待機系；［２］主系）の入出力装置へ伝送する処理を実行する構成とされ、
状態情報変更処理手段は、制御装置（［１］待機系の制御装置；［２］主系の制御装置）からの受信データに、自系（［１］待機系；［２］主系）の入出力装置監視情報として他系制御装置停止を示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］待機系領域；［２］主系領域）を、制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報に変更する処理を実行する構成とされ、
入出力装置間伝送処理手段は、入出力装置状態情報記憶手段に、入出力装置状態情報として制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報が記憶されていた場合には、制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報を、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置へ伝送する処理を実行する構成とされ、
入出力装置間相互監視処理手段は、他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の入出力装置からの受信データに、入出力装置状態情報として制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］待機系領域、すなわち主系から見た他系領域；［２］主系領域、すなわち待機系から見た他系領域）を、制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報に変更する処理を実行する構成とされ、
上り伝送処理手段は、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］待機系領域、すなわち主系から見た他系領域；［２］主系領域、すなわち待機系から見た他系領域）が制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報になっていた場合には、制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報を、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）から自系（［１］主系；［２］待機系）の制御装置へ伝送する処理を実行する構成とされ、
監視情報変更処理手段は、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）からの受信データに含まれる入出力装置状態情報の他系領域（［１］待機系領域、すなわち主系から見た他系領域；［２］主系領域、すなわち待機系から見た他系領域）が制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報であった場合には、入出力装置監視情報記憶手段に記憶された他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の入出力装置監視情報を、制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報に変更する処理を実行する構成とされ、
異常要因解析処理手段は、入出力装置監視情報記憶手段に、他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の入出力装置監視情報として制御装置（［１］待機系の制御装置；［２］主系の制御装置）から他系制御装置停止を受信したことを示す情報が記憶され、かつ、自系（［１］主系；［２］待機系）の入出力装置監視情報として正常を示す情報が記憶されている場合には、他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の制御装置が自分を停止していると誤推定していると判断する処理を実行する構成とすることが望ましい。
【００３９】
このように制御装置（［１］待機系の制御装置；［２］主系の制御装置）において他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の制御装置が停止していると推定したときに、相手（［１］主系；［２］待機系）の制御装置にその推定結果を通知する構成とした場合には、相手（［１］主系；［２］待機系）の制御装置は、その推定が正しいか否かを判断することが可能となる。なぜなら、自分（［１］主系の制御装置；［２］待機系の制御装置）が停止していないのに、他人（［１］待機系の制御装置；［２］主系の制御装置）に停止していると推定されれば、その推定は誤りと判断できるからである。
【００４０】
＜自分による他系の制御装置の状態推定が誤りだったことの検知＞
【００４１】
また、前述した二重化制御装置の異常監視システムにおいて、
入出力装置監視処理手段は、異常要因解析処理手段により他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の制御装置が自分（［１］主系の制御装置；［２］待機系の制御装置）を停止していると誤推定していると判断した場合には、自系（［１］主系；［２］待機系）の入出力装置監視情報として、制御装置動作中を示す情報を、入出力装置監視情報記憶手段に記憶させる処理を実行する構成とされ、
下り伝送処理手段は、自系（［１］主系；［２］待機系）の入出力装置監視情報として、制御装置動作中を示す情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から自系（［１］主系；［２］待機系）の入出力装置へ伝送する処理を実行する構成とされ、
状態情報変更処理手段は、制御装置（［１］主系の制御装置；［２］待機系の制御装置）からの受信データに、自系（［１］主系；［２］待機系）の入出力装置監視情報として制御装置動作中を示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］主系領域；［２］待機系領域）を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報に変更する処理を実行する構成とされ、
入出力装置間伝送処理手段は、入出力装置状態情報記憶手段に、入出力装置状態情報として制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報が記憶されていた場合には、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報を、他系（［１］待機系；［２］主系）の入出力装置へ伝送する処理を実行する構成とされ、
入出力装置間相互監視処理手段は、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置からの受信データに、入出力装置状態情報として制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報が含まれていた場合には、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報に変更する処理を実行する構成とされ、
上り伝送処理手段は、入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報になっていた場合には、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報を、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）から自系（［１］待機系；［２］主系）の制御装置へ伝送する処理を実行する構成とされ、
監視情報変更処理手段は、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）からの受信データに含まれる入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）が制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報であった場合には、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報に変更する処理を実行する構成とされ、
異常要因解析処理手段は、入出力装置監視情報記憶手段に、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報として制御装置（［１］主系の制御装置；［２］待機系の制御装置）から制御装置動作中を受信したことを示す情報が記憶され、かつ、自系（［１］待機系；［２］主系）の入出力装置監視情報として正常を示す情報または他系制御装置停止を示す情報が記憶されている場合には、自分（［１］待機系の制御装置；［２］主系の制御装置）が誤推定していると判断する処理を実行する構成とすることが望ましい。
【００４２】
このように他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の制御装置で行われて自分（［１］主系の制御装置；［２］待機系の制御装置）に通知された推定結果、すなわち他系（［１］待機系、すなわち主系から見た他系；［２］主系、すなわち待機系から見た他系）の制御装置が自分（［１］主系の制御装置；［２］待機系の制御装置）を停止していると推定した結果を、誤推定であると判断したときに、相手（［１］待機系の制御装置；［２］主系の制御装置）に、その推定は誤りであり、自分（［１］主系の制御装置；［２］待機系の制御装置）は動作中である旨を通知する構成とした場合には、相手（［１］待機系；［２］主系）の制御装置は、その推定が誤りであったことを判定することが可能となる。なぜなら、自系（［１］主系；［２］待機系）の入出力装置監視情報を、制御装置動作中を示す情報に変更し、この情報を通知してきた制御装置（［１］主系の制御装置；［２］待機系の制御装置）は停止していないと判断できるからである。
【００４３】
また、以上に述べた本発明の二重化制御装置の異常監視システムにより実現される二重化制御装置の異常監視方法として、以下のような本発明の二重化制御装置の異常監視方法が挙げられる。
【００４４】
すなわち、本発明は、１つの制御装置およびこれと伝送路を介して接続された少なくとも１つの入出力装置をそれぞれ二重化した二重化制御装置の異常を監視する二重化制御装置の異常監視方法であって、
制御装置（［１］主系の制御装置；［２］待機系の制御装置）に設けられた入出力装置監視処理手段が、入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）からの受信データを監視し、この監視結果に基づき制御装置（［１］主系の制御装置；［２］待機系の制御装置）に設けられた入出力装置監視情報記憶手段に記憶された自系（［１］主系；［２］待機系）の入出力装置監視情報を変更する処理を実行し、
制御装置（［１］主系の制御装置；［２］待機系の制御装置）または入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた下り伝送処理手段が、入出力装置監視情報記憶手段に記憶された自系（［１］主系；［２］待機系）の入出力装置監視情報を、制御装置（［１］主系の制御装置；［２］待機系の制御装置）から自系（［１］主系；［２］待機系）の入出力装置へ伝送路（［１］主系の伝送路；［２］待機系の伝送路）を介して伝送する処理を実行し、
入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた状態情報変更処理手段が、制御装置（［１］主系の制御装置；［２］待機系の制御装置）からの受信データを監視し、この監視結果に基づき入出力装置（［１］主系の入出力装置；［２］待機系の入出力装置）に設けられた入出力装置状態情報記憶手段に記憶された入出力装置状態情報の自系領域（［１］主系領域；［２］待機系領域）を変更する処理を実行し、
送信側（［１］主系側；［２］待機系側）または受信側（［１］待機系側；［２］主系側）の入出力装置に設けられた入出力装置間伝送処理手段が、入出力装置状態情報記憶手段（［１］主系の入出力装置に設けられた入出力装置状態情報記憶手段；［２］待機系の入出力装置に設けられた入出力装置状態情報記憶手段）に記憶された入出力装置状態情報を入出力装置同士の間で伝送路を介して伝送する処理（［１］主系の入出力装置から待機系の入出力装置への伝送処理；［２］待機系の入出力装置から主系の入出力装置への伝送処理）を実行し、
入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）に設けられた入出力装置間相互監視処理手段が、他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置からの受信データを監視し、この監視結果に基づき入出力装置状態情報記憶手段に記憶された入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）を変更する処理を実行し、
入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）または制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた上り伝送処理手段が、入出力装置状態情報記憶手段に記憶された入出力装置状態情報を、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）から自系の制御装置（［１］待機系の制御装置；［２］主系の制御装置）へ伝送路を介して伝送する処理を実行し、
制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた監視情報変更処理手段が、入出力装置（［１］待機系の入出力装置；［２］主系の入出力装置）からの受信データに含まれる入出力装置状態情報を監視し、入出力装置状態情報の他系領域（［１］主系領域、すなわち待機系から見た他系領域；［２］待機系領域、すなわち主系から見た他系領域）により、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を変更する処理を実行し、
制御装置（［１］待機系の制御装置；［２］主系の制御装置）に設けられた異常要因解析処理手段が、入出力装置監視情報記憶手段に記憶された他系（［１］主系、すなわち待機系から見た他系；［２］待機系、すなわち主系から見た他系）の入出力装置監視情報を用いて異常要因解析処理を実行する
ことを特徴とするものである。
【００４５】
このような本発明の二重化制御装置の異常監視方法においては、前述した本発明の二重化制御装置の異常監視システムで得られる作用・効果がそのまま得られ、これにより前記目的が達成される。
【００４６】
また、本発明の二重化制御装置の異常監視方法においても、前述した本発明の二重化制御装置の異常監視システムの場合と同様に、＜ケース１：自系の伝送路のアップロード側（上り伝送路）が断線した場合における他系の制御装置の状態の推定＞、＜ケース２：自系の伝送路のダウンロード側（下り伝送路）が断線した場合における他系の制御装置の状態の推定＞、＜ケース１，２の共通事項＞、＜正常時における他系の制御装置の状態の推定＞、＜他系の制御装置で自分の状態が誤推定されたことの検知＞、＜自分による他系の制御装置の状態推定が誤りだったことの検知＞の場合を採用することができる。
【発明の効果】
【００４７】
以上に述べたように本発明によれば、制御装置またはその入出力装置から、入出力装置間の伝送路を介して、他系の制御装置へ情報伝達を行うことができるので、制御装置間の相互監視用の伝送路が断線していても、あるいは制御装置間の相互監視用の伝送路が無くても、制御装置は、他系の制御装置の状態を把握し、推定することができ、制御装置間の相互監視を継続することができるという効果がある。
【図面の簡単な説明】
【００４８】
【図１】本発明の一実施形態の二重化制御装置の異常監視システムの全体構成図。
【図２】前記実施形態の正常時における他系（主系）の制御装置の状態の推定処理の流れを示すフローチャートの図。
【図３】前記実施形態の主系の伝送路のアップロード側（上り伝送路）が断線した場合における他系（主系）の制御装置の状態の推定処理の流れを示すフローチャートの図。
【図４】前記実施形態の主系の伝送路のダウンロード側（下り伝送路）が断線した場合における他系（主系）の制御装置の状態の推定処理の流れを示すフローチャートの図。
【図５】前記実施形態の他系（待機系）の制御装置で自分（主系の制御装置）の状態が誤推定されたことの検知処理の流れを示すフローチャートの図。
【図６】前記実施形態の自分（待機系の制御装置）による他系（主系）の制御装置の状態推定が誤りだったことの検知処理の流れを示すフローチャートの図。
【図７】本発明の変形の形態を示す構成図。
【図８】本発明の別の変形の形態を示す構成図。
【図９】本発明のさらに別の変形の形態を示す構成図。
【発明を実施するための形態】
【００４９】
以下に本発明の一実施形態について図面を参照して説明する。図１には、本実施形態の二重化制御装置の異常監視システム１０の全体構成が示されている。また、図２には、正常時における他系（主系）の制御装置２０Ａの状態の推定処理の流れ、図３には、主系の伝送路のアップロード側（上り伝送路１Ｕ）が断線した場合における他系（主系）の制御装置２０Ａの状態の推定処理の流れ、図４には、主系の伝送路のダウンロード側（下り伝送路１Ｄ）が断線した場合における他系（主系）の制御装置２０Ａの状態の推定処理の流れ、図５には、他系（待機系）の制御装置２０Ｂで自分（主系の制御装置２０Ａ）の状態が誤推定されたことの検知処理の流れ、図６には、自分（待機系の制御装置２０Ｂ）による他系（主系）の制御装置２０Ａの状態推定が誤りだったことの検知処理の流れが、それぞれフローチャートで示されている。
【００５０】
＜全体構成＞
【００５１】
図１において、二重化制御装置の異常監視システム１０は、二重化された主系の制御装置２０Ａおよび待機系の制御装置２０Ｂと、これらに従属する二重化された主系の入出力装置６０Ａおよび待機系の入出力装置６０Ｂとを備えている。なお、これらの２組の「制御装置およびこれに従属する入出力装置」は、どちらの組についても、主系にも待機系にもなり得る構成を備えているが、ここでは図示の通りとして説明を行う。
【００５２】
主系の制御装置２０Ａと主系の入出力装置６０Ａとは、下り伝送路１Ｄおよび上り伝送路１Ｕで接続され、待機系の制御装置２０Ｂと待機系の入出力装置６０Ｂとは、下り伝送路２Ｄおよび上り伝送路２Ｕで接続されている。また、制御装置２０Ａ，２０Ｂ同士の間は、伝送路３Ｌ，３Ｒで接続され、入出力装置６０Ａ，６０Ｂ同士の間は、伝送路４Ｌ，４Ｒで接続されている。
【００５３】
これらの４つの接続箇所に設けられた伝送路１Ｄ，１Ｕ、伝送路２Ｄ，２Ｕ、伝送路３Ｌ，３Ｒ、および伝送路４Ｌ，４Ｒは、図１に示された状態で、それぞれ専用線により構成することが好ましいが、本発明の伝送路の設置形態は、これに限定されるものではなく、例えば、設備コストの低減を図るため、主系の入出力装置６０Ａと待機系の入出力装置６０Ｂとの間の伝送路４Ｌ，４Ｒを専用線で構成する一方、残りの３つの接続箇所については、伝送バスで共用する構成を採用してもよい。
【００５４】
主系の制御装置２０Ａは、異常監視に関する各種の処理を実行する処理手段３０Ａと、異常監視処理に必要な入出力装置監視情報を記憶する入出力装置監視情報記憶手段４０Ａと、主系の入出力装置６０Ａとの間の伝送を行うための伝送回路５０Ａと、待機系の制御装置２０Ｂとの間の伝送を行うための伝送回路５１Ａとを備えている。
【００５５】
同様に、待機系の制御装置２０Ｂは、処理手段３０Ｂと、入出力装置監視情報記憶手段４０Ｂと、待機系の入出力装置６０Ｂとの間の伝送を行うための伝送回路５０Ｂと、主系の制御装置２０Ａとの間の伝送を行うための伝送回路５１Ｂとを備えている。
【００５６】
処理手段３０Ａ，３０Ｂは、マイクロプロセッサおよびこの動作手順を規定する１つまたは複数のプログラム、並びに主メモリ（例えばＳＤＲＡＭ等）などにより構成され、入出力装置監視処理手段３１Ａ，３１Ｂと、下り伝送処理手段３２Ａ，３２Ｂと、監視情報変更処理手段３３Ａ，３３Ｂと、制御装置間伝送処理手段３４Ａ，３４Ｂと、制御装置間相互監視処理手段３５Ａ，３５Ｂと、異常要因解析処理手段３６Ａ，３６Ｂとをそれぞれ含んで構成されている。但し、本実施形態で説明する処理では、制御装置間伝送処理手段３４Ａ，３４Ｂおよび制御装置間相互監視処理手段３５Ａ，３５Ｂは、使用しない。
【００５７】
入出力装置監視情報記憶手段４０Ａ，４０Ｂは、例えばＳＲＡＭ等により構成され、自系の入出力装置６０Ａ，６０Ｂについての監視結果を示す＜自系＞入出力装置監視情報４１Ａ，４１Ｂと、自身の属する系から見た場合の他系の入出力装置６０Ｂ，６０Ａについての監視結果を示す＜他系＞入出力装置監視情報４２Ａ，４２Ｂと、自身の属する系から見た場合の他系を経由して得られた自系の入出力装置６０Ａ，６０Ｂについての監視結果を示す＜他系経由＞入出力装置監視情報４３Ａ，４３Ｂとをそれぞれ記憶するものである。但し、本実施形態で説明する処理では、＜他系経由＞入出力装置監視情報４３Ａ，４３Ｂは、使用しない。
【００５８】
主系の入出力装置６０Ａは、異常監視に関する各種の処理を実行する処理手段７０Ａと、異常監視処理に必要な入出力装置状態情報を記憶する入出力装置状態情報記憶手段８０Ａと、主系の制御装置２０Ａとの間の伝送を行うための伝送回路９０Ａと、待機系の入出力装置６０Ｂとの間の伝送を行うための伝送回路９１Ａとを備えている。
【００５９】
同様に、待機系の入出力装置６０Ｂは、処理手段７０Ｂと、入出力装置状態情報記憶手段８０Ｂと、待機系の制御装置２０Ｂとの間の伝送を行うための伝送回路９０Ｂと、主系の入出力装置６０Ａとの間の伝送を行うための伝送回路９１Ｂとを備えている。
【００６０】
処理手段７０Ａ，７０Ｂは、マイクロプロセッサおよびこの動作手順を規定する１つまたは複数のプログラム、並びに主メモリ（例えばＳＤＲＡＭ等）などにより構成され、状態情報変更処理手段７１Ａ，７１Ｂと、入出力装置間伝送処理手段７２Ａ，７２Ｂと、入出力装置間相互監視処理手段７３Ａ，７３Ｂと、上り伝送処理手段７４Ａ，７４Ｂと、自己診断処理手段７５Ａ，７５Ｂとをそれぞれ含んで構成されている。但し、本実施形態で説明する処理では、自己診断処理手段７５Ａ，７５Ｂは、使用しない。
【００６１】
入出力装置状態情報記憶手段８０Ａ，８０Ｂは、例えばＳＲＡＭ等により構成され、自身である自系の入出力装置６０Ａ，６０Ｂについての状態情報を示す入出力装置状態情報＜自系＞領域８１Ａ，８１Ｂと、他系の入出力装置６０Ｂ，６０Ａについての状態情報を示す入出力装置状態情報＜他系＞領域８２Ａ，８２Ｂとをそれぞれ記憶するものである。
【００６２】
伝送回路５０Ａ，５０Ｂ，５１Ａ，５１Ｂ，９０Ａ，９０Ｂ，９１Ａ，９１Ｂは、例えば、バスＬＳＩ、あるいはプリント基板上に複数の部品を載せた伝送ボード等である。
【００６３】
＜制御装置２０Ａ，２０Ｂの処理手段３０Ａ，３０Ｂの詳細構成＞
【００６４】
入出力装置監視処理手段３１Ａ，３１Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の入出力装置監視処理手段３１Ａは、主系の入出力装置６０Ａからの受信データを監視し、この監視結果に基づき入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを変更する処理、および、異常要因解析処理手段３６Ａによる解析・推定・判断の結果に基づき入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを変更する処理を実行するものである。
【００６５】
より具体的には、主系側の入出力装置監視処理手段３１Ａは、主系の入出力装置６０Ａからの受信データが途絶したことを検出した場合（ケース１：図３参照）には、＜自系＞入出力装置監視情報４１Ａとして、“受信データ途絶”を入出力装置監視情報記憶手段４０Ａに記憶させ、主系の入出力装置６０Ａから一定時間内にデータを受信している場合（図２参照）には、入出力装置監視情報記憶手段４０Ａに記憶されている＜自系＞入出力装置監視情報４１Ａを“正常”で維持し、異常要因解析処理手段３６Ａにより待機系の制御装置２０Ｂが自分（主系の制御装置２０Ａ）を停止していると誤推定していることを検出した場合（図６参照）には、＜自系＞入出力装置監視情報４１Ａとして、“制御装置動作中”を入出力装置監視情報記憶手段４０Ａに記憶させる処理を実行する。待機系側の入出力装置監視処理手段３１Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００６６】
また、待機系側の入出力装置監視処理手段３１Ｂは、異常要因解析処理手段３６Ｂにより主系の制御装置２０Ａが停止していると推定した場合（図５参照）には、＜自系＞入出力装置監視情報４１Ｂとして、“他系制御装置停止”を入出力装置監視情報記憶手段４０Ｂに記憶させる処理を実行する。ここで、待機系の制御装置２０Ｂにとっては、主系の制御装置２０Ａが停止しているという推定は、他系の状態を推定していることになるが、自分（待機系の制御装置２０Ｂ）が行った推定結果であると捉えることにより、＜他系＞入出力装置監視情報４２Ｂではなく、＜自系＞入出力装置監視情報４１Ｂとして“他系制御装置停止”を入出力装置監視情報記憶手段４０Ｂに記憶させるようになっている。これにより、“他系制御装置停止”という情報が、主系側に伝達されたときには、その情報は、主系側にとっての他系である待機系の情報となり、待機系の制御装置２０Ｂが行った推定結果として捉えることができるようになる。主系側の入出力装置監視処理手段３１Ａも、待機系と主系とを反転させたミラーの関係にあるが、同様である。
【００６７】
下り伝送処理手段３２Ａ，３２Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の下り伝送処理手段３２Ａは、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報（例えば、“受信データ途絶”）を、主系の制御装置２０Ａから主系の入出力装置６０Ａへ下り伝送路１Ｄを介して伝送（本実施形態では、常時送信）する処理を実行するものである。この常時送信による情報の受渡方法は、具体的には、例えば、ネットワーク（伝送バスを含む。）を介して常時送信する方法（すなわち、主系の入出力装置６０Ａの伝送回路９０Ａへネットワーク経由で送信された情報を、主系の入出力装置６０Ａのプロセッサが伝送回路９０Ａから読み出す方法）でもよく、あるいは、主系の入出力装置６０Ａに、装置間で直接読み書きするためのＩ／Ｆ用メモリ（例えばＳＲＡＭ等）を設けておき（不図示）、そのＩ／Ｆ用メモリに繰り返し書き込みを行い、それを主系の入出力装置６０Ａのプロセッサが読み出す方法でもよい。待機系側の下り伝送処理手段３２Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００６８】
なお、本発明における下り伝送処理手段は、送信側（情報の供給源）の制御装置２０Ａ，２０Ｂではなく、受信側（情報の供給先）の入出力装置６０Ａ，６０Ｂに設けてもよく、この場合には、例えば、制御装置２０Ａ，２０Ｂ内のメモリに記憶された情報を、入出力装置６０Ａ，６０Ｂから伝送バスを介して繰り返し読み出す方法を採用することができる。
【００６９】
監視情報変更処理手段３３Ａ，３３Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の監視情報変更処理手段３３Ａは、主系の入出力装置６０Ａからの受信データに含まれる入出力装置状態情報を監視し、受信データに含まれる入出力装置状態情報＜自系＞領域により、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを変更するとともに、受信データに含まれる入出力装置状態情報＜他系＞領域により、入出力装置監視情報記憶手段４０Ａに記憶された＜他系＞入出力装置監視情報４２Ａを変更する処理を実行するものである。より具体的には、主系側の監視情報変更処理手段３３Ａは、図２のステップＳ２の場合のように、受信データに含まれる入出力装置状態情報＜自系＞領域が“正常”であったときには、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを、“正常”で維持し、図４のステップＳ４５の場合のように、受信データに含まれる入出力装置状態情報＜自系＞領域が“受信データ途絶”であったときには、入出力装置監視情報記憶手段４０Ａに、＜自系＞入出力装置監視情報４１Ａとして「入出力装置から“受信データ途絶”を受信」を記憶させ、図５のステップＳ７１の場合のように、受信データに含まれる入出力装置状態情報＜他系＞領域が「制御装置から“他系制御装置停止”を受信」であったときには、入出力装置監視情報記憶手段４０Ａに、＜他系＞入出力装置監視情報４２Ａとして「制御装置から“他系制御装置停止”を受信」を記憶させる処理を実行する。
【００７０】
また、待機系側の監視情報変更処理手段３３Ｂは、待機系の入出力装置６０Ｂからの受信データに含まれる入出力装置状態情報を監視し、受信データに含まれる入出力装置状態情報＜自系＞領域により、入出力装置監視情報記憶手段４０Ｂに記憶された＜自系＞入出力装置監視情報４１Ｂを変更するとともに、受信データに含まれる入出力装置状態情報＜他系＞領域により、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを変更する処理を実行するものである。より具体的には、待機系側の監視情報変更処理手段３３Ｂは、ケース１の図３のステップＳ３２の場合のように、受信データに含まれる入出力装置状態情報＜他系＞領域が「制御装置から“受信データ途絶”を受信」であったときには、入出力装置監視情報記憶手段４０Ｂに、＜他系＞入出力装置監視情報４２Ｂとして「制御装置から“受信データ途絶”を受信」を記憶させ、ケース２の図４のステップＳ５２の場合のように、入出力装置状態情報＜他系＞領域が“受信データ途絶”であったときには、入出力装置監視情報記憶手段４０Ｂに、＜他系＞入出力装置監視情報４２Ｂとして“受信データ途絶”を記憶させ、図６のステップＳ９１の場合のように、入出力装置状態情報＜他系＞領域が「制御装置から“制御装置動作中”を受信」であったときには、入出力装置監視情報記憶手段４０Ｂに、＜他系＞入出力装置監視情報４２Ｂとして「制御装置から“制御装置動作中”を受信」を記憶させる処理を実行する。
【００７１】
なお、前述した入出力装置監視処理手段３１Ａ，３１Ｂが、入出力装置６０Ａ，６０Ｂからの受信の有無を検知するのに対し、この監視情報変更処理手段３３Ａ，３３Ｂは、入出力装置６０Ａ，６０Ｂからの受信データに含まれる入出力装置状態情報の内容を検知する処理を実行する点が異なっている。
【００７２】
制御装置間伝送処理手段３４Ａ，３４Ｂは、主系と待機系とが反転しているが、同じ機能を有している。待機系側の制御装置間伝送処理手段３４Ｂは、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを、待機系の制御装置２０Ｂから主系の制御装置２０Ａへ伝送路３Ｌを介して伝送（本実施形態では、常時送信）する処理を実行するものである。この常時送信による情報の受渡方法は、具体的には、例えば、ネットワーク（伝送バスを含む。）を介して常時送信する方法（すなわち、受信側の主系の制御装置２０Ａの伝送回路５１Ａへネットワーク経由で送信された情報を、受信側の主系の制御装置２０Ａのプロセッサが伝送回路５１Ａから読み出す方法）でもよく、あるいは、受信側の主系の制御装置２０Ａに、装置間で直接読み書きするためのＩ／Ｆ用メモリ（例えばＳＲＡＭ等）を設けておき（不図示）、そのＩ／Ｆ用メモリに繰り返し書き込みを行い、それを受信側の主系の制御装置２０Ａのプロセッサが読み出す方法でもよい。主系側の制御装置間伝送処理手段３４Ａも、主系と待機系とを反転させたミラーの関係にあるが、同様である。但し、本実施形態で説明する処理では、制御装置間伝送処理手段３４Ａ，３４Ｂは、使用しない。
【００７３】
なお、制御装置間伝送処理手段は、送信側（情報の供給源）の制御装置２０Ｂ，２０Ａではなく、受信側（情報の供給先）の制御装置２０Ａ，２０Ｂに設けてもよく、この場合には、例えば、送信側の制御装置２０Ｂ，２０Ａ内のメモリに記憶された情報を、受信側の制御装置２０Ａ，２０Ｂから伝送バスを介して繰り返し読み出す方法を採用することができる。
【００７４】
制御装置間相互監視処理手段３５Ａ，３５Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の制御装置間相互監視処理手段３５Ａは、待機系の制御装置２０Ｂからの受信データを監視し、この受信データに含まれる＜他系＞入出力装置監視情報（待機系の制御装置２０Ｂから見た他系の情報であるため、結局、主系の情報に相当する。）により、入出力装置監視情報記憶手段４０Ａに記憶された＜他系経由＞入出力装置監視情報４３Ａ（待機系経由で得られた主系の入出力装置６０Ａについての監視結果を示す情報）を変更する処理を実行するものである。但し、本実施形態で説明する処理では、制御装置間相互監視処理手段３５Ａ，３５Ｂは、使用しない。
【００７５】
異常要因解析処理手段３６Ａ，３６Ｂは、主系と待機系とが反転しているが、同じ機能を有している。異常要因解析処理手段３６Ａ，３６Ｂは、入出力装置監視情報記憶手段４０Ａ，４０Ｂに記憶された＜自系＞入出力装置監視情報４１Ａ，４１Ｂと、＜他系＞入出力装置監視情報４２Ａ，４２Ｂと、＜他系経由＞入出力装置監視情報４３Ａ，４３Ｂとを用いて、他系制御装置の停止の推定を含む異常要因解析処理を実行するものである。但し、本実施形態では、＜他系経由＞入出力装置監視情報４３Ａ，４３Ｂを用いた処理の説明は行わない。
【００７６】
また、本実施形態では、各制御装置２０Ａ，２０Ｂは、１つずつ入出力装置６０Ａ，６０Ｂが接続された構成となっているが、例えば、後述する図７〜図９の場合のように、１つの制御装置に複数の入出力装置が接続されていてもよく、その場合には、次のような処理が行われる。すなわち、待機系側の異常要因解析処理手段３６Ｂは、他系（主系）の制御装置２０Ａの停止の推定を行う際、待機系の制御装置２０Ｂに複数の入出力装置６０Ｂが接続されている場合（従って、主系の制御装置２０Ａにも複数の入出力装置６０Ａが接続されている場合となる。）には、＜他系＞入出力装置監視情報４２Ｂが、重要な入出力装置として待機系の制御装置２０Ｂで予め設定されている入出力装置６０Ｂ（従って、原則として、対応する主系の入出力装置６０Ａも、重要なものとして主系の制御装置２０Ａで予め設定されている。）についての監視情報に該当するか否かを判断し、該当すると判断したときに、他系（主系）の制御装置２０Ａが停止していると推定する処理を実行する。主系側の異常要因解析処理手段３６Ａも、待機系と主系とを反転させたミラーの関係にあるが、同様である。
【００７７】
より具体的には、待機系側の異常要因解析処理手段３６Ｂは、図２のステップＳ１２の場合のように、＜他系＞入出力装置監視情報４２Ｂが“正常”であり、かつ、＜自系＞入出力装置監視情報４１Ｂも“正常”であれば、他系（主系）の制御装置２０Ａは正常に動作していると推定し、図３のステップＳ３３の場合（ケース１）のように、＜他系＞入出力装置監視情報４２Ｂが「制御装置から“受信データ途絶”を受信」であれば、他系（主系）の制御装置２０Ａがその入出力装置６０Ａの異常を認識しているので、その入出力装置６０Ａが重要なものであるときは、他系（主系）の制御装置２０Ａは停止していると推定し、図４のステップＳ５３の場合（ケース２）のように、＜他系＞入出力装置監視情報４２Ｂが“受信データ途絶”であれば、他系（主系）の入出力装置６０Ａが異常なので、その入出力装置６０Ａが重要なものであるときは、他系（主系）の制御装置２０Ａは停止していると推定し、図６のステップＳ９２の場合のように、＜他系＞入出力装置監視情報４２Ｂが「制御装置から“制御装置動作中”を受信」であれば、停止していると推定していた他系（主系）の制御装置２０Ａが動作中と通知してきたので、推定が誤っていたと判断する処理を実行する。主系側の異常要因解析処理手段３６Ａも、待機系と主系とを反転させたミラーの関係にあるが、同様である。
【００７８】
また、主系側の異常要因解析処理手段３６Ａは、図５のステップＳ７２の場合のように、＜他系＞入出力装置監視情報４２Ａが「制御装置から“他系制御装置停止”を受信」であり、かつ、＜自系＞入出力装置監視情報４１Ａが“正常”であれば、自分（主系の制御装置２０Ａ）が停止していないのに、他系（待機系）の制御装置２０Ｂが自分（主系の制御装置２０Ａ）を停止していると推定しているので、異常（誤推定）と判断する処理を実行する。待機系側の異常要因解析処理手段３６Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００７９】
なお、＜自系＞入出力装置監視情報４１Ａ，４１Ｂ、＜他系＞入出力装置監視情報４２Ａ，４２Ｂ、＜他系経由＞入出力装置監視情報４３Ａ，４３Ｂがどのようになっている、あるいはどのような組合せになっている場合に、どのような異常が発生していると判断するのか、またはどのような推定を行うのかの対応関係は、異常要因解析処理手段３６Ａ，３６Ｂを構成するプログラムに記述しておいてもよく、制御装置２０Ａ，２０Ｂに設けられたメモリに記憶させておいてもよい。
【００８０】
＜入出力装置６０Ａ，６０Ｂの処理手段７０Ａ，７０Ｂの詳細構成＞
【００８１】
状態情報変更処理手段７１Ａ，７１Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の状態情報変更処理手段７１Ａは、主系の制御装置２０Ａからの受信データを監視し（受信の有無の検知、および受信データに含まれる入出力装置監視情報の内容の検知を行い）、この監視結果に基づき入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを変更する処理を実行するものである。
【００８２】
より具体的には、主系側の状態情報変更処理手段７１Ａは、図２のステップＳ５の場合のように、主系の制御装置２０Ａからの受信データに、＜自系＞入出力装置監視情報４１Ａとして“正常”が含まれていたときには、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを“正常”で維持し、図３のステップＳ２６の場合（ケース１）のように、主系の制御装置２０Ａからの受信データに、＜自系＞入出力装置監視情報４１Ａとして“受信データ途絶”が含まれていたときには、入出力装置状態情報記憶手段８０Ａに、入出力装置状態情報＜自系＞領域８１Ａとして「制御装置から“受信データ途絶”を受信」を記憶させ、図６のステップＳ８５の場合のように、主系の制御装置２０Ａからの受信データに、＜自系＞入出力装置監視情報４１Ａとして“制御装置動作中”が含まれていたときには、入出力装置状態情報記憶手段８０Ａに、入出力装置状態情報＜自系＞領域８１Ａとして「制御装置から“制御装置動作中”を受信」を記憶させる処理を実行する。待機系側の状態情報変更処理手段７１Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００８３】
また、待機系側の状態情報変更処理手段７１Ｂは、図５のステップＳ６５の場合のように、待機系の制御装置２０Ｂからの受信データに、＜自系＞入出力装置監視情報４１Ｂとして“他系制御装置停止”が含まれていたときには、入出力装置状態情報記憶手段８０Ｂに、入出力装置状態情報＜自系＞領域８１Ｂとして「制御装置から“他系制御装置停止”を受信」を記憶させる処理を実行する。主系側の状態情報変更処理手段７１Ａも、待機系と主系とを反転させたミラーの関係にあるが、同様である。
【００８４】
入出力装置間伝送処理手段７２Ａ，７２Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の入出力装置間伝送処理手段７２Ａは、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを、主系の入出力装置６０Ａから待機系の入出力装置６０Ｂへ伝送路４Ｒを介して伝送する処理を実行するものである。この伝送による情報の受渡方法は、具体的には、例えば、受信側の待機系の入出力装置６０Ｂに、装置間で直接読み書きするためのＩ／Ｆ用メモリ（例えばＳＲＡＭ等）を設けておき（不図示）、そのＩ／Ｆ用メモリに繰り返し書き込みを行い、それを受信側の待機系の入出力装置６０Ｂが読み出す方法でもよく、あるいは、ネットワーク（伝送バスを含む。）を介して常時送信する方法（すなわち、受信側の待機系の入出力装置６０Ｂの伝送回路９１Ｂへネットワーク経由で送信された情報を、受信側の待機系の入出力装置６０Ｂのプロセッサが伝送回路９１Ｂから読み出す方法）でもよい。待機系側の入出力装置間伝送処理手段７２Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００８５】
なお、本発明における入出力装置間伝送処理手段は、送信側（情報の供給源）の入出力装置６０Ａ，６０Ｂではなく、受信側（情報の供給先）の入出力装置６０Ｂ，６０Ａに設けてもよく、この場合には、例えば、送信側の入出力装置６０Ａ，６０Ｂ内のメモリに記憶された情報を、受信側の入出力装置６０Ｂ，６０Ａから伝送バスを介して繰り返し読み出す方法を採用することができる。
【００８６】
入出力装置間相互監視処理手段７３Ａ，７３Ｂは、主系と待機系とが反転しているが、同じ機能を有している。待機系の入出力装置間相互監視処理手段７３Ｂは、主系の入出力装置６０Ａからの受信データを監視し（受信の有無の検知、および受信データに含まれる入出力装置状態情報の内容の検知を行い）、この監視結果に基づき入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを変更する処理を実行するものである。
【００８７】
より具体的には、待機系の入出力装置間相互監視処理手段７３Ｂは、図２のステップＳ８の場合のように、主系の入出力装置６０Ａからの受信データに、入出力装置状態情報として“正常”が含まれていたときには、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを“正常”で維持し、図３のステップＳ２９の場合（ケース１）のように、受信データに、入出力装置状態情報として「制御装置から“受信データ途絶”を受信」が含まれていたときには、入出力装置状態情報記憶手段８０Ｂに、入出力装置状態情報＜他系＞領域８２Ｂとして「制御装置から“受信データ途絶”を受信」を記憶させ、図４のステップＳ４９の場合（ケース２）のように、受信データに、入出力装置状態情報として“受信データ途絶”が含まれていたときには、入出力装置状態情報記憶手段８０Ｂに、入出力装置状態情報＜他系＞領域８２Ｂとして“受信データ途絶”を記憶させ、図６のステップＳ８８の場合のように、受信データに、入出力装置状態情報として「制御装置から“制御装置動作中”を受信」が含まれていたときには、入出力装置状態情報記憶手段８０Ｂに、入出力装置状態情報＜他系＞領域８２Ｂとして「制御装置から“制御装置動作中”を受信」を記憶させる処理を実行する。主系の入出力装置間相互監視処理手段７３Ａも、待機系と主系とを反転させたミラーの関係にあるが、同様である。
【００８８】
また、主系の入出力装置間相互監視処理手段７３Ａは、図５のステップＳ６８の場合のように、待機系の入出力装置６０Ｂからの受信データに、入出力装置状態情報として「制御装置から“他系制御装置停止”を受信」が含まれていたときには、入出力装置状態情報記憶手段８０Ａに、入出力装置状態情報＜他系＞領域８２Ａとして「制御装置から“他系制御装置停止”を受信」を記憶させる処理を実行する。待機系の入出力装置間相互監視処理手段７３Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００８９】
上り伝送処理手段７４Ａ，７４Ｂは、主系と待機系とが反転しているが、同じ機能を有している。主系側の上り伝送処理手段７４Ａは、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを、主系の入出力装置６０Ａから主系の制御装置２０Ａへ上り伝送路１Ｕを介して伝送（本実施形態では、常時送信）するとともに、図５のステップＳ６９の場合のように、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜他系＞領域８２Ａを、主系の入出力装置６０Ａから主系の制御装置２０Ａへ上り伝送路１Ｕを介して伝送（本実施形態では、常時送信）する処理を実行するものである。待機系側の上り伝送処理手段７４Ｂも、主系と待機系とを反転させたミラーの関係にあるが、同様である。
【００９０】
また、待機系側の上り伝送処理手段７４Ｂは、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜自系＞領域８１Ｂを、待機系の入出力装置６０Ｂから待機系の制御装置２０Ｂへ上り伝送路２Ｕを介して伝送（本実施形態では、常時送信）するとともに、図２のステップＳ９，図３のステップＳ３０，図４のステップＳ５０，図６のステップＳ８９のように、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを、待機系の入出力装置６０Ｂから待機系の制御装置２０Ｂへ上り伝送路２Ｕを介して伝送（本実施形態では、常時送信）する処理を実行するものである。主系側の上り伝送処理手段７４Ａも、待機系と主系とを反転させたミラーの関係にあるが、同様である。
【００９１】
この上り伝送処理手段７４Ａ，７４Ｂの常時送信による情報の受渡方法は、具体的には、例えば、ネットワーク（伝送バスを含む。）を介して常時送信する方法（すなわち、受信側の制御装置２０Ａ，２０Ｂの伝送回路５０Ａ，５０Ｂへネットワーク経由で送信された情報を、受信側の制御装置２０Ａ，２０Ｂのプロセッサが伝送回路５０Ａ，５０Ｂから読み出す方法）でもよく、あるいは、受信側の制御装置２０Ａ，２０Ｂに、装置間で直接読み書きするためのＩ／Ｆ用メモリ（例えばＳＲＡＭ等）を設けておき（不図示）、そのＩ／Ｆ用メモリに繰り返し書き込みを行い、それを受信側の制御装置２０Ａ，２０Ｂのプロセッサが読み出す方法でもよい。
【００９２】
なお、本発明における上り伝送処理手段は、送信側（情報の供給源）の入出力装置６０Ａ，６０Ｂではなく、受信側（情報の供給先）の制御装置２０Ａ，２０Ｂに設けてもよく、この場合には、例えば、送信側（情報の供給源）の入出力装置６０Ａ，６０Ｂ内のメモリに記憶された情報を、受信側（情報の供給先）の制御装置２０Ａ，２０Ｂから伝送バスを介して繰り返し読み出す方法を採用することができる。
【００９３】
自己診断処理手段７５Ａ，７５Ｂは、入出力装置６０Ａ，６０Ｂに設けられた伝送回路９０Ａ，９０Ｂの故障を自己診断する処理を実行するものである。但し、本実施形態で説明する処理では、自己診断処理手段７５Ａ，７５Ｂは、使用されない。
【００９４】
＜他系制御装置の停止の推定を含む異常監視処理の流れ＞
【００９５】
このような本実施形態においては、以下のようにして二重化制御装置の異常監視システム１０による他系（主系）の制御装置２０Ａの停止の推定を含む異常監視処理が行われる。
【００９６】
なお、以下では、図２〜図４で、待機系の制御装置２０Ｂで行われる主系の制御装置２０Ａの状態の推定処理の流れが示され、図５で、他系（待機系）の制御装置２０Ｂで自分（主系の制御装置２０Ａ）の状態が誤推定されたことの検知処理の流れが示され、図６で、自分（待機系の制御装置２０Ｂ）による他系（主系）の制御装置２０Ａの状態推定が誤りだったことの検知処理の流れが示されているが、本実施形態の異常監視システム１０は、図２〜図６で主系と待機系とを反転させたミラーの関係にある処理も実行可能となっている。
【００９７】
また、本実施形態の異常監視システム１０は、制御装置間伝送処理手段３４Ａ，３４Ｂおよび制御装置間相互監視処理手段３５Ａ，３５Ｂを備えているが、以下では、制御装置２０Ａ，２０Ｂ間の伝送路３Ｒ，３Ｌの断線等により、制御装置２０Ａ，２０Ｂ間の相互監視が、既に途絶した状態になっているのもとして、制御装置間伝送処理手段３４Ａ，３４Ｂおよび制御装置間相互監視処理手段３５Ａ，３５Ｂによる処理の説明は省略する。なお、以下の図２〜図６で示される処理は、制御装置２０Ａ，２０Ｂ間の相互監視が途絶していない状態において実施してもよい。
【００９８】
さらに、本実施形態の制御装置間伝送処理手段３４Ａ，３４Ｂおよび制御装置間相互監視処理手段３５Ａ，３５Ｂのような制御装置２０Ａ，２０Ｂ間の相互監視の機能を最初から備えていない構成、すなわち、以下の図２〜図６で示される処理のみにより間接的な制御装置間相互監視を行う構成としてもよい。
【００９９】
＜正常時における他系（主系）の制御装置の状態の推定＞
【０１００】
図２において、主系の制御装置２０Ａ、入出力装置６０Ａ、および伝送路１Ｕ，１Ｄが正常のときに、待機系の制御装置２０Ｂが、主系の制御装置２０Ａの状態を“正常”と推定する処理の流れを説明する。
【０１０１】
主系の制御装置２０Ａでは、入出力装置監視処理手段３１Ａにより、上り伝送路１Ｕを介して送信されてくる主系の入出力装置６０Ａからの受信データを監視している。このとき、一定時間内にデータを受信しているため、途絶等の受信監視では、“正常”と判断する（ステップＳ１）。
【０１０２】
また、監視情報変更処理手段３３Ａにより、上り伝送路１Ｕを介して送信されてくる主系の入出力装置６０Ａからの受信データ（ステップＳ６参照）に含まれる入出力装置状態情報を監視し、主系の入出力装置６０Ａからの受信データに含まれる入出力装置状態情報＜自系＞領域が“正常”となっていることを検出し（ステップＳ１）、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを“正常”で維持する（ステップＳ２）。
【０１０３】
続いて、下り伝送処理手段３２Ａにより、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａは、主系の制御装置２０Ａから主系の入出力装置６０Ａへ下り伝送路１Ｄを介して常時送信されているので、＜自系＞入出力装置監視情報４１Ａとして、“正常”が主系の入出力装置６０Ａへ送信される（ステップＳ３）。
【０１０４】
主系の入出力装置６０Ａでは、状態情報変更処理手段７１Ａにより、主系の制御装置２０Ａからの受信データを監視している。このとき、一定時間内にデータを受信しているため、途絶等の受信監視では、“正常”と判断する（ステップＳ４）。
【０１０５】
また、状態情報変更処理手段７１Ａにより、主系の制御装置２０Ａからの受信データに、＜自系＞入出力装置監視情報４１Ａとして“正常”が含まれていることを検出したときには（ステップＳ４）、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを、“正常”で維持する（ステップＳ５）。
【０１０６】
続いて、入出力装置間伝送処理手段７２Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、“正常”を、主系の入出力装置６０Ａから待機系の入出力装置６０Ｂへ伝送路４Ｒを介して送信する（ステップＳ６）。
【０１０７】
また、上り伝送処理手段７４Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、“正常”を、主系の入出力装置６０Ａから主系の制御装置２０Ａへ上り伝送路１Ｕを介して伝送（本実施形態では、常時送信）する（ステップＳ６）。
【０１０８】
待機系の入出力装置６０Ｂでは、入出力装置間相互監視処理手段７３Ｂにより、主系の入出力装置６０Ａからの受信データを監視している。このとき、一定時間内にデータを受信しているため、途絶等の受信監視では、“正常”と判断する（ステップＳ７）。
【０１０９】
また、入出力装置間相互監視処理手段７３Ｂにより、主系の入出力装置６０Ａからの受信データに、入出力装置状態情報として“正常”が含まれていることを検出したときには（ステップＳ７）、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを、“正常”で維持する（ステップＳ８）。
【０１１０】
続いて、上り伝送処理手段７４Ｂにより、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂは、待機系の入出力装置６０Ｂから待機系の制御装置２０Ｂへ上り伝送路２Ｕを介して常時送信されているので、入出力装置状態情報＜他系＞領域８２Ｂとして、“正常”が待機系の制御装置２０Ｂへ送信される（ステップＳ９）。
【０１１１】
待機系の制御装置２０Ｂでは、監視情報変更処理手段３３Ｂにより、待機系の入出力装置６０Ｂからの受信データに含まれる入出力装置状態情報を監視している。このとき、一定時間内にデータを受信しているため、途絶等の受信監視では、“正常”と判断する（ステップＳ１０）。
【０１１２】
また、監視情報変更処理手段３３Ｂにより、待機系の入出力装置６０Ｂからの受信データに、入出力装置状態情報＜他系＞領域として“正常”が含まれていることを検出したときには（ステップＳ１０）、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを、”正常”で維持する（ステップＳ１１）。
【０１１３】
その後、待機系の制御装置２０Ｂでは、異常要因解析処理手段３６Ｂにより、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを用いて、他系（主系）の制御装置２０Ａの状態を推定する。ここでは、＜他系＞入出力装置監視情報４２Ｂが“正常”となっているので、他系（主系）の制御装置２０Ａは正常に動作していると推定する（ステップＳ１２）。
【０１１４】
＜主系の伝送路のアップロード側（上り伝送路１Ｕ）が断線した場合（ケース１）における他系（主系）の制御装置の状態の推定＞
【０１１５】
図３において、主系の伝送路のアップロード側（上り伝送路１Ｕ）が断線したときに、待機系の制御装置２０Ｂが、主系の制御装置２０Ａの状態を“停止”と推定する処理の流れを説明する。
【０１１６】
主系の制御装置２０Ａでは、入出力装置監視処理手段３１Ａにより、上り伝送路１Ｕを介して送信されてくる主系の入出力装置６０Ａからの受信データを監視している。このとき、上り伝送路１Ｕが断線していれば、入出力装置監視処理手段３１Ａにより、一定時間経過してもデータを受信できないために異常（主系の入出力装置６０Ａからの受信データが途絶したこと）を検出し（ステップＳ２１）、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを、“正常”から“受信データ途絶”に変更する（ステップＳ２２）。
【０１１７】
続いて、下り伝送処理手段３２Ａにより、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａは、主系の制御装置２０Ａから主系の入出力装置６０Ａへ下り伝送路１Ｄを介して常時送信されているので、更新後の＜自系＞入出力装置監視情報４１Ａとして、“受信データ途絶”が主系の入出力装置６０Ａへ送信される（ステップＳ２３）。
【０１１８】
そして、主系の制御装置２０Ａは、この受信データが途絶した入出力装置６０Ａが、重要なものであるか否かを、予め定められてプログラム内に記述され、またはメモリに記憶された設定情報を用いて判断し、重要な入出力装置６０Ａの場合（但し、ここでは、後述する図７〜図９のように複数の入出力装置６０Ａがある場合を想定している。）には、システムとしての機能を果たせなくなるので停止する（ステップＳ２４）。
【０１１９】
主系の入出力装置６０Ａでは、状態情報変更処理手段７１Ａにより、主系の制御装置２０Ａからの受信データを監視し、この受信データに、＜自系＞入出力装置監視情報として“受信データ途絶”が含まれていることを検出したときには（ステップＳ２５）、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを、“正常”から「制御装置から“受信データ途絶”を受信」に変更する（ステップＳ２６）。
【０１２０】
続いて、入出力装置間伝送処理手段７２Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、「制御装置から“受信データ途絶”を受信」を、主系の入出力装置６０Ａから待機系の入出力装置６０Ｂへ伝送路４Ｒを介して送信する（ステップＳ２７）。
【０１２１】
また、上り伝送処理手段７４Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、「制御装置から“受信データ途絶”を受信」を、主系の入出力装置６０Ａから主系の制御装置２０Ａへ上り伝送路１Ｕを介して伝送（本実施形態では、常時送信）するが、断線により主系の制御装置２０Ａには届かない（ステップＳ２７）。
【０１２２】
待機系の入出力装置６０Ｂでは、入出力装置間相互監視処理手段７３Ｂにより、主系の入出力装置６０Ａからの受信データを監視し、この受信データに、入出力装置状態情報として「制御装置から“受信データ途絶”を受信」が含まれていることを検出したときには（ステップＳ２８）、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを、“正常”から「制御装置から“受信データ途絶”を受信」に変更する（ステップＳ２９）。
【０１２３】
続いて、上り伝送処理手段７４Ｂにより、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂは、待機系の入出力装置６０Ｂから待機系の制御装置２０Ｂへ上り伝送路２Ｕを介して常時送信されているので、更新後の入出力装置状態情報＜他系＞領域８２Ｂとして、「制御装置から“受信データ途絶”を受信」が待機系の制御装置２０Ｂへ送信される（ステップＳ３０）。
【０１２４】
待機系の制御装置２０Ｂでは、監視情報変更処理手段３３Ｂにより、待機系の入出力装置６０Ｂからの受信データに含まれる入出力装置状態情報を監視し、この受信データに、入出力装置状態情報＜他系＞領域として「制御装置から“受信データ途絶”を受信」が含まれていることを検出したときには（ステップＳ３１）、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを、”正常”から「制御装置から“受信データ途絶”を受信」に変更する（ステップＳ３２）。
【０１２５】
その後、待機系の制御装置２０Ｂでは、異常要因解析処理手段３６Ｂにより、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを用いて、他系（主系）の制御装置２０Ａの状態を推定する。ここでは、＜他系＞入出力装置監視情報４２Ｂが「制御装置から“受信データ途絶”を受信」となっているので、他系（主系）の制御装置２０Ａがその入出力装置６０Ａの異常を認識していることがわかる。また、他系（主系）の制御装置２０Ａにとって、その入出力装置６０Ａが重要なものか否かは、待機系の制御装置２０Ｂにとって、対応する入出力装置６０Ｂが重要なものか否かと同じであるので、すなわち、待機系の制御装置２０Ｂが有する待機系側の設定情報を使用することができるので、待機系の制御装置２０Ｂの異常要因解析処理手段３６Ｂにより、重要なものか否かを判別することができる。そして、仮に、この異常検知された入出力装置６０Ａが重要なものであれば、他系（主系）の制御装置２０Ａはシステムとしての機能を果たせなくなっているので、“停止”していると推定することができる（ステップＳ３３）。
【０１２６】
＜主系の伝送路のダウンロード側（下り伝送路１Ｄ）が断線した場合（ケース２）における他系（主系）の制御装置の状態の推定＞
【０１２７】
図４において、主系の伝送路のダウンロード側（下り伝送路１Ｄ）が断線したときに、待機系の制御装置２０Ｂが、主系の制御装置２０Ａの状態を“停止”と推定する処理の流れを説明する。
【０１２８】
主系の入出力装置６０Ａでは、状態情報変更処理手段７１Ａにより、主系の制御装置２０Ａからの受信データを監視している。このとき、下り伝送路１Ｄが断線していれば、状態情報変更処理手段７１Ａにより、一定時間経過してもデータを受信できないために異常（主系の制御装置２０Ａからの受信データが途絶したこと）を検出し（ステップＳ４１）、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを、“正常”から“受信データ途絶”に変更する（ステップＳ４２）。
【０１２９】
続いて、入出力装置間伝送処理手段７２Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、“受信データ途絶”を、主系の入出力装置６０Ａから待機系の入出力装置６０Ｂへ伝送路４Ｒを介して送信する（ステップＳ４３）。
【０１３０】
また、上り伝送処理手段７４Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、“受信データ途絶”を、主系の入出力装置６０Ａから主系の制御装置２０Ａへ上り伝送路１Ｕを介して伝送（本実施形態では、常時送信）する（ステップＳ４３）。
【０１３１】
主系の制御装置２０Ａでは、監視情報変更処理手段３３Ａにより、上り伝送路１Ｕを介して送信されてくる主系の入出力装置６０Ａからの受信データに含まれる入出力装置状態情報を監視し、この受信データに含まれる入出力装置状態情報＜自系＞領域が“受信データ途絶”となっていることを検出し（ステップＳ４４）、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを、「入出力装置から“受信データ途絶”を受信」に変更する（ステップＳ４５）。
【０１３２】
続いて、下り伝送処理手段３２Ａにより、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａは、主系の制御装置２０Ａから主系の入出力装置６０Ａへ下り伝送路１Ｄを介して常時送信されているが、断線により主系の入出力装置６０Ａには届かない（ステップＳ４６）。
【０１３３】
そして、主系の制御装置２０Ａは、この受信データが途絶した入出力装置６０Ａが、重要なものであるか否かを、予め定められてプログラム内に記述され、またはメモリに記憶された設定情報を用いて判断し、重要な入出力装置６０Ａの場合（但し、ここでは、後述する図７〜図９のように複数の入出力装置６０Ａがある場合を想定している。）には、システムとしての機能を果たせなくなるので停止する（ステップＳ４７）。
【０１３４】
一方、待機系の入出力装置６０Ｂでは、入出力装置間相互監視処理手段７３Ｂにより、主系の入出力装置６０Ａからの受信データを監視し、この受信データに、入出力装置状態情報として“受信データ途絶”が含まれていることを検出したときには（ステップＳ４８）、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを、“正常”から“受信データ途絶”に変更する（ステップＳ４９）。
【０１３５】
続いて、上り伝送処理手段７４Ｂにより、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂは、待機系の入出力装置６０Ｂから待機系の制御装置２０Ｂへ上り伝送路２Ｕを介して常時送信されているので、更新後の入出力装置状態情報＜他系＞領域８２Ｂとして、“受信データ途絶”が待機系の制御装置２０Ｂへ送信される（ステップＳ５０）。
【０１３６】
待機系の制御装置２０Ｂでは、監視情報変更処理手段３３Ｂにより、待機系の入出力装置６０Ｂからの受信データに含まれる入出力装置状態情報を監視し、この受信データに、入出力装置状態情報＜他系＞領域として“受信データ途絶”が含まれていることを検出したときには（ステップＳ５１）、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを、”正常”から“受信データ途絶”に変更する（ステップＳ５２）。
【０１３７】
その後、待機系の制御装置２０Ｂでは、異常要因解析処理手段３６Ｂにより、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを用いて、他系（主系）の制御装置２０Ａの状態を推定する。ここでは、＜他系＞入出力装置監視情報４２Ｂが“受信データ途絶”となっているので、他系（主系）の入出力装置６０Ａが異常になっていることがわかる。また、他系（主系）の制御装置２０Ａにとって、その入出力装置６０Ａが重要なものか否かは、待機系の制御装置２０Ｂにとって、対応する入出力装置６０Ｂが重要なものか否かと同じであるので、すなわち、待機系の制御装置２０Ｂが有する待機系側の設定情報を使用することができるので、待機系の制御装置２０Ｂの異常要因解析処理手段３６Ｂにより、重要なものか否かを判別することができる。そして、仮に、この異常検知された入出力装置６０Ａが重要なものであれば、他系（主系）の制御装置２０Ａはシステムとしての機能を果たせなくなっているので、“停止”していると推定することができる（ステップＳ５３）。
【０１３８】
＜他系（待機系）の制御装置で自分（主系の制御装置）の状態が誤推定されたことの検知＞
【０１３９】
図５において、待機系の制御装置２０Ｂが、主系の制御装置２０Ａの状態を“停止”と推定した際に、その推定結果が主系の制御装置２０Ａに通知され、主系の制御装置２０Ａがそれを誤推定と判断する処理の流れを説明する。
【０１４０】
待機系の制御装置２０Ｂでは、異常要因解析処理手段３６Ｂにより、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを用いて、他系（主系）の制御装置２０Ａの状態を“停止”と推定する（ステップＳ６１）。これは、図３のステップＳ３３や図４のステップＳ５３の処理に相当する。
【０１４１】
そして、異常要因解析処理手段３６Ｂによる“停止”の推定が行われると、その推定結果が、入出力装置監視処理手段３１Ｂに伝達され、入出力装置監視処理手段３１Ｂにより、入出力装置監視情報記憶手段４０Ｂに記憶された＜自系＞入出力装置監視情報４１Ｂを、“正常”から“他系制御装置停止”に変更する（ステップＳ６２）。
【０１４２】
続いて、下り伝送処理手段３２Ｂにより、入出力装置監視情報記憶手段４０Ｂに記憶された＜自系＞入出力装置監視情報４１Ｂは、待機系の制御装置２０Ｂから待機系の入出力装置６０Ｂへ下り伝送路２Ｄを介して常時送信されているので、更新後の＜自系＞入出力装置監視情報４１Ｂとして、“他系制御装置停止”が待機系の入出力装置６０Ｂへ送信される（ステップＳ６３）。
【０１４３】
待機系の入出力装置６０Ｂでは、状態情報変更処理手段７１Ｂにより、待機系の制御装置２０Ｂからの受信データを監視し、この受信データに、＜自系＞入出力装置監視情報として“他系制御装置停止”が含まれていることを検出したときには（ステップＳ６４）、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜自系＞領域８１Ｂを、“正常”から「制御装置から“他系制御装置停止”を受信」に変更する（ステップＳ６５）。
【０１４４】
続いて、入出力装置間伝送処理手段７２Ｂにより、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜自系＞領域８１Ｂとして、「制御装置から“他系制御装置停止”を受信」を、待機系の入出力装置６０Ｂから主系の入出力装置６０Ａへ伝送路４Ｌを介して送信する（ステップＳ６６）。
【０１４５】
主系の入出力装置６０Ａでは、入出力装置間相互監視処理手段７３Ａにより、待機系の入出力装置６０Ｂからの受信データを監視し、この受信データに、入出力装置状態情報として「制御装置から“他系制御装置停止”を受信」が含まれていることを検出したときには（ステップＳ６７）、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜他系＞領域８２Ａを、“正常”から「制御装置から“他系制御装置停止”を受信」に変更する（ステップＳ６８）。
【０１４６】
続いて、上り伝送処理手段７４Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜他系＞領域８２Ａは、主系の入出力装置６０Ａから主系の制御装置２０Ａへ上り伝送路１Ｕを介して常時送信されているので、更新後の入出力装置状態情報＜他系＞領域８２Ａとして、「制御装置から“他系制御装置停止”を受信」が主系の制御装置２０Ａへ送信される（ステップＳ６９）。
【０１４７】
主系の制御装置２０Ａでは、監視情報変更処理手段３３Ａにより、主系の入出力装置６０Ａからの受信データに含まれる入出力装置状態情報を監視し、この受信データに、入出力装置状態情報＜他系＞領域として「制御装置から“他系制御装置停止”を受信」が含まれていることを検出したときには（ステップＳ７０）、入出力装置監視情報記憶手段４０Ａに記憶された＜他系＞入出力装置監視情報４２Ａを、”正常”から「制御装置から“他系制御装置停止”を受信」に変更する（ステップＳ７１）。
【０１４８】
その後、主系の制御装置２０Ａでは、異常要因解析処理手段３６Ａにより、＜他系＞入出力装置監視情報４２Ａが「制御装置から“他系制御装置停止”を受信」であり、かつ、＜自系＞入出力装置監視情報４１Ａが“正常”であれば、自分（主系の制御装置２０Ａ）が停止していないのに、他系（待機系）の制御装置２０Ｂが自分（主系の制御装置２０Ａ）を停止していると推定しているので、異常（誤推定）と判断する（ステップＳ７２）。
【０１４９】
＜自分（待機系の制御装置）による他系（主系）の制御装置の状態推定が誤りだったことの検知＞
【０１５０】
図６において、主系の制御装置２０Ａが、待機系の制御装置２０Ｂの誤推定を検知した際に、その検知結果が待機系の制御装置２０Ｂに通知され、待機系の制御装置２０Ｂが自分の推定が誤りだったと判断する処理の流れを説明する。
【０１５１】
主系の制御装置２０Ａでは、異常要因解析処理手段３６Ａにより、＜他系＞入出力装置監視情報４２Ａおよび＜自系＞入出力装置監視情報４１Ａを用いて、他系（待機系）の制御装置２０Ｂが自分（主系の制御装置２０Ａ）を停止していると誤推定していると判断する（ステップＳ８１）。これは、図５のステップＳ７２の処理に相当する。
【０１５２】
そして、異常要因解析処理手段３６Ａによる誤推定の検知が行われると、その検知結果が、入出力装置監視処理手段３１Ａに伝達され、入出力装置監視処理手段３１Ａにより、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａを、“正常”から“制御装置動作中”に変更する（ステップＳ８２）。
【０１５３】
続いて、下り伝送処理手段３２Ａにより、入出力装置監視情報記憶手段４０Ａに記憶された＜自系＞入出力装置監視情報４１Ａは、主系の制御装置２０Ａから主系の入出力装置６０Ａへ下り伝送路１Ｄを介して常時送信されているので、更新後の＜自系＞入出力装置監視情報４１Ａとして、“制御装置動作中”が主系の入出力装置６０Ａへ送信される（ステップＳ８３）。
【０１５４】
主系の入出力装置６０Ａでは、状態情報変更処理手段７１Ａにより、主系の制御装置２０Ａからの受信データを監視し、この受信データに、＜自系＞入出力装置監視情報として“制御装置動作中”が含まれていることを検出したときには（ステップＳ８４）、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａを、“正常”から「制御装置から“制御装置動作中”を受信」に変更する（ステップＳ８５）。
【０１５５】
続いて、入出力装置間伝送処理手段７２Ａにより、入出力装置状態情報記憶手段８０Ａに記憶された入出力装置状態情報＜自系＞領域８１Ａとして、「制御装置から“制御装置動作中”を受信」を、主系の入出力装置６０Ａから待機系の入出力装置６０Ｂへ伝送路４Ｒを介して送信する（ステップＳ８６）。
【０１５６】
待機系の入出力装置６０Ｂでは、入出力装置間相互監視処理手段７３Ｂにより、主系の入出力装置６０Ａからの受信データを監視し、この受信データに、入出力装置状態情報として「制御装置から“制御装置動作中”を受信」が含まれていることを検出したときには（ステップＳ８７）、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂを、“正常”から「制御装置から“制御装置動作中”を受信」に変更する（ステップＳ８８）。
【０１５７】
続いて、上り伝送処理手段７４Ｂにより、入出力装置状態情報記憶手段８０Ｂに記憶された入出力装置状態情報＜他系＞領域８２Ｂは、待機系の入出力装置６０Ｂから待機系の制御装置２０Ｂへ上り伝送路２Ｕを介して常時送信されているので、更新後の入出力装置状態情報＜他系＞領域８２Ｂとして、「制御装置から“制御装置動作中”を受信」が待機系の制御装置２０Ｂへ送信される（ステップＳ８９）。
【０１５８】
待機系の制御装置２０Ｂでは、監視情報変更処理手段３３Ｂにより、待機系の入出力装置６０Ｂからの受信データに含まれる入出力装置状態情報を監視し、この受信データに、入出力装置状態情報＜他系＞領域として「制御装置から“制御装置動作中”を受信」が含まれていることを検出したときには（ステップＳ９０）、入出力装置監視情報記憶手段４０Ｂに記憶された＜他系＞入出力装置監視情報４２Ｂを、”正常”から「制御装置から“制御装置動作中”を受信」に変更する（ステップＳ９１）。この際、入出力装置監視情報記憶手段４０Ｂに記憶された＜自系＞入出力装置監視情報４１Ｂは、図５のステップＳ６２での変更後の状態のままの“他系制御装置停止”となっているか、または通知の用を済ますのに必要な時間の経過後に“正常”に戻された状態となっている。
【０１５９】
その後、待機系の制御装置２０Ｂでは、異常要因解析処理手段３６Ｂにより、＜他系＞入出力装置監視情報４２Ｂが「制御装置から“制御装置動作中”を受信」であれば、停止していると推定していた他系（主系）の制御装置２０Ａが動作中と通知してきたので、推定が誤っていたと判断する（ステップＳ９２）。
【０１６０】
このような本実施形態によれば、次のような効果がある。すなわち、入出力装置６０Ａ，６０Ｂ間の相互監視用の伝送路を利用して、制御装置２０Ａ，２０Ｂ間の情報伝達を行うことができるので、例えば、制御装置２０Ａ，２０Ｂ間の相互監視用の伝送路３Ｒ，３Ｌが断線していても、あるいは、より端的に言えば制御装置２０Ａ，２０Ｂ間の相互監視用の伝送路が無くても、制御装置は、他系の制御装置の状態を把握し、推定することができ、間接的に制御装置２０Ａ，２０Ｂ間の相互監視を継続することができる。より具体的には、制御装置は、たとえ制御装置２０Ａ，２０Ｂ間の相互監視用の伝送路３Ｒ，３Ｌが断線していても、他系の制御装置が停止していると推定することができる。
【０１６１】
これにより、待機系の制御装置２０Ｂは、主系の制御装置２０Ａの正常時には待機系を維持し、主系の制御装置２０Ａが停止したときは、冗長切替えをすることができる。
【０１６２】
また、主系の制御装置２０Ａは、待機系の制御装置２０Ｂの状態を推定することにより、待機系の制御装置２０Ｂに異常があれば、自分の異常時に系を切り替えても制御を維持することができないことを予め知ることができるので、自分が正常のうちに、警告や一部処理の中断等を行うことができる。従って、信頼性の高い制御を実現することができる。
【０１６３】
そして、図５に示したように、主系の制御装置２０Ａは、待機系の制御装置２０Ｂによる自分（主系の制御装置２０Ａ）についての状態推定の誤りを検知することができ、図６に示したように、待機系の制御装置２０Ｂは、自分（待機系の制御装置２０Ｂ）による主系の制御装置２０Ａについての状態推定の誤りを検知することができる。要するに、制御装置は、相手が自分の状態を正しく推定しているのか、また、自分が行った相手の状態推定が正しかったのかを判定することができる。これにより、主系の制御装置２０Ａおよび待機系の制御装置２０Ｂは、次のような効果を得ることができる。
【０１６４】
先ず、主系の制御装置２０Ａは、待機系の制御装置２０Ｂによる自分（主系の制御装置２０Ａ）についての状態推定機能に異常があるので（図５参照）、自分（主系の制御装置２０Ａ）の異常時に系を切り替えても正常な制御を期待することができないことを予め知ることができ、自分（主系の制御装置２０Ａ）が正常なうちに、警告や一部処理の中断等を行うことができる。また、相手（待機系の制御装置２０Ｂ）の判断（推定結果）と自分（主系の制御装置２０Ａ）の判断（状態把握）とに相違があることから、自分（主系の制御装置２０Ａ）の異常を自分で認識できていない可能性もあるので、時間を要するために通常実施しないような綿密な診断処理を実施するきっかけとすることができる。
【０１６５】
次に、待機系の制御装置２０Ｂは、自分（待機系の制御装置２０Ｂ）による主系の制御装置２０Ａについての状態推定機能の異常を自分（待機系の制御装置２０Ｂ）で認識できていないことを主系の制御装置２０Ａから通知してもらえるので（図６参照）、自分（待機系の制御装置２０Ｂ）が動けるうちに、停止等の処理を安全に行うことができる。また、相手（主系の制御装置２０Ａ）の判断（待機系が誤推定したとの判断）と自分（待機系の制御装置２０Ｂ）の判断（主系停止の推定）とが相違していることから、主系の制御装置２０Ａが、自身（主系の制御装置２０Ａ）の異常を認識できていない可能性もあるので、時間を要するために通常実施しないような綿密な診断処理を実施するきっかけとすることができる。
【０１６６】
さらに、制御装置２０Ａ，２０Ｂ間の相互監視用の伝送路を多重化するような従来の構成をとる必要性が無くなるので、制御装置２０Ａ，２０Ｂ間の相互監視用の伝送路の構成を簡易化または省略することができる。
【０１６７】
なお、本発明は前記実施形態に限定されるものではなく、本発明の目的を達成できる範囲内での変形等は本発明に含まれるものである。
【０１６８】
例えば、前記実施形態では、「１つの制御装置およびこれに従属する１つの入出力装置」が二重化されていたが、１つの制御装置に複数の入出力装置が従属しているものを二重化した二重化制御装置に、本発明を適用してもよく、例えば、図７に示すように、「１つの制御装置およびこれに従属する３つの入出力装置」が二重化された二重化制御装置の異常監視システム２００としてもよく、この場合には、図７のように、主系の制御装置２１０と、これに従属する主系の第１入出力装置２２１、第２入出力装置２２２、第３入出力装置２２３とをそれぞれ伝送路で接続するとともに、待機系の制御装置２３０と、これに従属する待機系の第１入出力装置２４１、第２入出力装置２４２、第３入出力装置２４３とをそれぞれ伝送路で接続し、さらに、制御装置２１０，２３０間を伝送路で接続するとともに、第１入出力装置２２１，２４１間、第２入出力装置２２２，２４２間、第３入出力装置２２３，２４３間を伝送路で接続すればよい。
【０１６９】
また、上記の図７は、伝送をバスで共通化しない構成であるが、設備コストの低減を図るため、伝送を共通化してもよく、例えば、図８に示した二重化制御装置の異常監視システム３００のように、主系の制御装置３１０と、これに従属する主系の第１入出力装置３２１、第２入出力装置３２２、第３入出力装置３２３との間の伝送路を、主系の伝送バス３５０で共用化したり、待機系の制御装置３３０と、これに従属する待機系の第１入出力装置３４１、第２入出力装置３４２、第３入出力装置３４３との間の伝送路を、待機系の伝送バス３６０で共用化してもよい。
【０１７０】
さらに、例えば、図９に示した二重化制御装置の異常監視システム４００のように、主系の伝送バス４５０や待機系の伝送バス４６０での共用化に加え、第１入出力装置４２１，４４１間、第２入出力装置４２２，４４２間、第３入出力装置４２３，４４３間の各伝送路を、入出力装置相互監視用の伝送バス４７０で共用化してもよい。
【産業上の利用可能性】
【０１７１】
以上のように、本発明の二重化制御装置の異常監視システムおよびその異常監視方法は、例えば、他系の制御装置の停止等の状態を推定する場合に用いるのに適している。
【符号の説明】
【０１７２】
１Ｄ，２Ｄ  下り伝送路
１Ｕ，２Ｕ  上り伝送路
３Ｌ，３Ｒ，４Ｌ，４Ｒ  伝送路
１０，２００，３００，４００  二重化制御装置の異常監視システム
２０Ａ，２０Ｂ，２１０，２３０，３１０，３３０，４１０，４３０  制御装置
３１Ａ，３１Ｂ  入出力装置監視処理手段
３２Ａ，３２Ｂ  下り伝送処理手段
３３Ａ，３３Ｂ  監視情報変更処理手段
３６Ａ，３６Ｂ  異常要因解析処理手段
６０Ａ，６０Ｂ，２２１〜２２３，２４１〜２４３，３２１〜３２３，３４１〜３４３，４２１〜４２３，４４１〜４４３  入出力装置
７１Ａ，７１Ｂ  状態情報変更処理手段
７２Ａ，７２Ｂ  入出力装置間伝送処理手段
７３Ａ，７３Ｂ  入出力装置間相互監視処理手段
７４Ａ，７４Ｂ  上り伝送処理手段
【図１】
2014016832.tif 000003
【図２】
2014016832.tif 000004
【図３】
2014016832.tif 000005
【図４】
2014016832.tif 000006
【図５】
2014016832.tif 000007
【図６】
2014016832.tif 000008
【図７】
2014016832.tif 000009
【図８】
2014016832.tif 000010
【図９】
2014016832.tif 000011