(57)【特許請求の範囲】
【請求項１】
第１の装置と第２の装置とが冗長化構成された二重化装置であって、
前記第１の装置と前記第２の装置との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部が正常に動作しているか否か、および前記ネットワークが断線しているか否かを監視し、自身の前記ネットワーク用通信部が正常であることおよび前記ネットワークが断線していないことを確認して、前記第２の装置の異常と判定するネットワーク接続監視部と、
前記第１の装置と前記第２の装置とが相互監視を行うために接続する複数の制御線であって、制御線の前記第１の装置への接続状態を表わす自系ケーブル接続状態を電位により判定する制御線と、制御線の前記第２の装置への接続状態を表わす他系ケーブル接続状態を電位により判定する制御線と、前記第２の装置の電源状態を受信する制御線と、を含む複数の制御線と、
前記第２の装置の異常と判定されたとき、前記第１の装置と前記第２の装置との間で制御線を介して、前記第２の装置の電源がＯＮ状態であることを確認する電源監視部と、
前記第２の装置の異常と判定され、前記第２の装置の電源がＯＮ状態であることを確認され、前記他系ケーブル接続状態が接続のときに、前記制御線を介して、前記第２の装置の電源を停止する情報を送信する信号発生部と、
を備えることを特徴とする二重化装置。
【請求項２】
第１の装置と第２の装置との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部が正常に動作しているか否か、および前記ネットワークが断線しているか否かを監視し、自身の前記ネットワーク用通信部が正常であることおよび前記ネットワークが断線していないことを確認して、前記第２の装置の異常と判定するネットワーク接続監視部と、
前記第２の装置の異常と判定されたとき、前記第１の装置と前記第２の装置との間で制御線を介して、前記第２の装置の電源がＯＮ状態であることを確認する電源監視部と、
前記制御線を介して、前記第２の装置の電源を停止する情報を送信する信号発生部と、
を備え、
前記信号発生部が前記第２の装置の電源を停止する情報を送信していることを確認するとともに、前記電源監視部によって前記第２の装置の電源がＯＦＦとなっていることを確認し、前記第２の装置の電源を停止する情報の送信を停止する
ことを特徴とする二重化装置。
【請求項３】
第１の装置と第２の装置との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部が正常に動作しているか否か、および前記ネットワークが断線しているか否かを監視し、自身の前記ネットワーク用通信部が正常であることおよび前記ネットワークが断線していないことを確認して、前記第２の装置の異常と判定するネットワーク接続監視部と、
前記第２の装置の異常と判定されたとき、前記第１の装置と前記第２の装置との間で制御線を介して、前記第２の装置の電源がＯＮ状態であることを確認する電源監視部と、
前記制御線を介して、前記第２の装置の電源を停止する情報を送信する信号発生部と、
を備え、
前記第２の装置の電源を停止する情報が、２本の前記制御線のうち、一方の電圧がＨｉｇｈレベルおよび他方の電圧がＬｏｗレベルであり、所定の時間以上継続するか否かを判定するリセットホールド判定部を備え、
前記リセットホールド判定部が、前記第２の装置の電源を停止する情報が、２本の前記制御線のうち、一方の電圧がＨｉｇｈレベルおよび他方の電圧がＬｏｗレベルであり、所定の時間以上継続すると判定したとき、電源をＯＦＦする処理を実行する
ことを特徴とする二重化装置。
【請求項４】
前記信号発生部は、２本の前記制御線の電圧レベルを、前記第２の装置の電源を停止する情報の組み合わせを除く組み合わせに設定し、自身の動作確認を実行する
ことを特徴とする請求項３に記載の二重化装置。
【請求項５】
第１の装置と第２の装置とが冗長化構成された二重化装置の電源停止方法であって、
前記第１の装置は、
前記第１の装置と前記第２の装置との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部が正常に動作しているか否か、および前記ネットワークが断線しているか否かを監視し、自身の前記ネットワーク用通信部が正常であることおよび前記ネットワークが断線していないことを確認して、前記第２の装置の異常と判定するネットワーク接続監視ステップと、
前記第１の装置と前記第２の装置とを相互監視を行うために接続する複数の制御線において、制御線の前記第１の装置へ制御線の接続状態を表わす自系ケーブル接続状態の判定と、制御線の前記第２の装置へ制御線の接続状態を表わす他系ケーブル接続状態の判定と、前記第２の装置の電源状態の受信を行うステップと、
前記第２の装置の異常と判定されたとき、前記第１の装置と前記第２の装置との間で制御線を介して、前記第２の装置の電源がＯＮ状態であることを確認する電源監視ステップと、
前記第２の装置の異常と判定し、前記第２の装置の電源がＯＮ状態であることを確認し、前記他系ケーブル接続状態が接続のときに、前記制御線を介して、前記第２の装置の電源を停止する情報を送信する信号発生ステップと、
を実行することを特徴とする電源停止方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、冗長化構成の２台の装置間における構成制御技術に関する。
【背景技術】
【０００２】
冗長化構成では、ネットワークに接続する同一構成の２台の装置を待機冗長化して、いずれか一方を主系、他方を従系とし、通常は主系のみで動作し、主系に異常が生じたときに、従系を主系に切り替える構成制御技術が使われている。
【０００３】
例えば、特許文献１には、待機冗長化された２台の計算機間を２本のＬＡＮ（Local Area Network）で接続し、一方のＬＡＮには生存通知文を送信して、その生存通知文が届かなくなると相手側の計算機に障害が発生したと判定する。そして、他方のＬＡＮを用いて、相手側の計算機に対してＣＰＵ（Central Processing Unit）再起動（リセット）要求を送信する技術が開示されている（段落００２０，００２２，００４６，図７等参照）。
【０００４】
また、特許文献２には、主系の計算機（文献中では、コンピュータ）と従系の計算機との間を、相互監視用の信号線とリモートリセット用の信号線とで接続し、主系の計算機が一定周期で信号線の状態を変化させ、この変化を従系の計算機が監視し、一定時間内に状態変化がなければ主系の計算機に異常が発生したと判定する。そして、リモートリセット用の信号線を用いて、従系の計算機から主系の計算機をリモートリセットする技術が開示されている（段落００１０，００１１，００１９等参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−０５８７０８号公報
【特許文献２】特開平１０−０２１２０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１，２に記載の技術は、冗長化している相手側の計算機から信号を検知できなくなったことしか障害発生に関する判定に用いておらず、正しく構成制御を実行できない虞がある。例えば、冗長化している相手側の計算機から信号を検知できなくなるケースは、相手側の計算機に異常が発生した場合以外にも、通信線に障害（例えば、断線やコネクタ外れ）が発生している場合や、自身の計算機の受信機能に障害が発生している場合が考えられる。仮に、相手側の計算機に異常が発生していないにもかかわらず、リセット信号（例えば、再起動や停止）を相手側の計算機に送信してしまった場合には、目的通りに構成制御を行えていないことになる。
【０００７】
また、特許文献１，２に記載の技術では、障害（異常）が発生したと判定された相手側の計算機に対してリセット信号を送信したとしても、相手側の計算機が正しくリセット信号を受信できる状態にあるのか否かが確認できていない。そのため、相手側の計算機が正しくリセット信号を受信できる状態にない場合には、リセット信号を相手側の計算機に送信したとしても、相手側の計算機をリセットできていない虞がある。つまり、目的通りに構成制御を行うことができていない虞がある。
【０００８】
特に、相手側の計算機を誤ってリセット（再起動や停止）させないようにするための技術については、特許文献１，２には記載されていない。
【０００９】
そこで、本発明では、目的通りに構成制御を行う技術を提供することを課題とする。
【課題を解決するための手段】
【００１０】
前記課題を解決するために、本発明の二重化装置は、第１の装置と第２の装置とが冗長化構成された二重化装置であって、前記第１の装置と前記第２の装置との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部が正常に動作しているか否か、および前記ネットワークが断線しているか否かを監視し、自身の前記ネットワーク用通信部が正常であることおよび前記ネットワークが断線していないことを確認して、前記第２の装置の異常と判定するネットワーク接続監視部と、前記第１の装置と前記第２の装置とが相互監視を行うために接続する複数の制御線であって、制御線の前記第１の装置への接続状態を表わす自系ケーブル接続状態を電位により判定する制御線と、制御線の前記第２の装置への接続状態を表わす他系ケーブル接続状態を電位により判定する制御線と、前記第２の装置の電源状態を受信する制御線と、を含む複数の制御線と、前記第２の装置の異常と判定されたとき、前記第１の装置と前記第２の装置との間で制御線を介して、前記第２の装置の電源がＯＮ状態であることを確認する電源監視部と、前記第２の装置の異常と判定され、前記第２の装置の電源がＯＮ状態であることを確認され、前記他系ケーブル接続状態が接続のときに、前記制御線を介して、前記第２の装置の電源を停止する情報を送信する信号発生部と、
を備えることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、目的通りに構成制御を行う技術を提供することができる。
【図面の簡単な説明】
【００１２】
【図１】冗長化された二重化装置の構成例および機能例を示す図である。
【図２】信号発生部の診断例を示す図である。
【図３】装置の異常個所を特定した判定結果およびリセットホールド信号の対応例を示す図である。
【図４】制御線のケーブル障害監視判定フロー例を示す図である。
【発明を実施するための形態】
【００１３】
次に、本発明を実施するための形態（以降、「本実施形態」と称す。）について、適宜図面を参照しながら詳細に説明する。
【００１４】
（概要）
はじめに、本実施形態の概要について説明する。図１に示すように、本実施形態では、二重化装置１００は、２台の装置１（装置［自系］１ａ，装置［他系］１ｂ）間で冗長化構成され、ネットワーク５０を介して生存情報を送受信する。さらに、二重化装置１００は、装置１（１ａ，１ｂ）間を制御線２０（制御線２１〜２５，２６ａ，２６ｂ，２７ａ，２７ｂを束ねたもの）で接続し、冗長化したときの自分側（以降、自系と称す。）および相手側（以降、他系と称す。）の動作状態（例えば、電源状態）、制御線ケーブル接続状態等を相互に監視し、異常個所を特定する。
【００１５】
そして、装置［自系］（第１の装置）１ａは、装置［他系］（第２の装置）１ｂの異常を検知した場合に、制御線２０を介してリセットホールド信号（装置［他系］１ｂの電源を停止する情報）を装置［他系］１ｂに送信し、当該装置［他系］１ｂを停止させる。装置［自系］１ａは、装置［他系］１ｂが停止したことを確認し、リセットホールド信号の送信を停止する。
また、装置［自系］１ａは、リセットホールド信号が信号発生部１２やリセットホールド判定部１３の故障や、制御線２０へのノイズ等に影響されずに、誤動作等なく確実に送受信できるようにするために、信号発生部１２およびリセットホールド判定部１３ａ，１３ｂの機能を二重化している。この理由は、１つの箇所の誤動作によってリセットホールド信号が送信されてしまうことを防ぐためや、制御線２０では、２つの電圧レベル（Ｈｉｇｈ，Ｌｏｗ）を用いているので、ノイズ等が加わって電圧レベルが変動した場合に、誤った情報が伝えられてしまう可能性があるためである。
【００１６】
（二重化装置の構成）
二重化装置の構成例について、図１を用いて説明する。
装置［自系］１ａと装置［他系］１ｂとは、同じ機能を備えているので、ここでは、装置［自系］１ａの機能について説明する。なお、図１では、装置［自系］１ａの機能について、本発明に関連する機能だけを詳しく記載し、他の機能については記載を省略している。また、図１では、装置［他系］１ｂの機能については、説明に必要な機能に限って記載している。
【００１７】
本実施形態では、二重化装置１００は、通信機能を備えた機器等（計算機を含む）をネットワーク５０に接続する際に、信頼性を高めるために、ネットワーク５０と通信機能を備えた機器との間を中継するように設置される。さらに、二重化装置１００は、２台の装置１間で待機冗長化される。なお、本実施形態では、２台の装置１を区別する場合には、一方を装置［自系］１ａ（以降、自系の装置とも称する。）、他方を装置［他系］１ｂ（以降、他系の装置とも称する。）として記載するが、双方を区別しない場合には、装置１と記載する。また、装置［自系］１ａおよび装置［他系］１ｂそれぞれは、自身の各機能がさらに二重化（冗長構成）にされていても構わない。
【００１８】
装置［自系］１ａと装置［他系］１ｂとは、２つの独立したネットワーク５０ａ，５０ｂを介して、二重化した通信系で接続される。装置［自系］１ａおよび装置［他系］１ｂは、それぞれ自身の生存を示す生存情報を、所定の周期で相互に送受信している。したがって、装置［自系］１ａは、装置［他系］１ｂから生存情報を受信することで、装置［他系］１ｂの生存を確認することができる。
そして、装置［自系］１ａは、２つのネットワーク５０ａ，５０ｂの双方から生存情報を受信できなくなった場合、または２つのネットワーク５０ａ，５０ｂの双方から受信した生存情報に符号誤りが発生している状態となった場合に、装置［他系］１ｂまたはネットワーク５０に異常が発生したと判定する。仮に、異常が発生したと判定された装置［他系］１ｂが待機冗長化における主従関係のうちの主系として動作していた場合には、主従関係を逆転させて、正常な方の装置［自系］１ａが主系として動作するようにする。なお、ネットワーク５０は、ＬＡＮに限られなくとも良いが、本実施形態では、ＬＡＮであるものとして説明する。
【００１９】
装置［自系］１ａは、少なくとも、処理部１１を備えている。処理部１１は、図示しないＣＰＵおよびメインメモリによって構成され、処理部１１の各機能は記憶部１９に記憶されている不図示のアプリケーションプログラムをメインメモリに展開して具現化される。
処理部１１の機能は、図１に示すように、信号発生部１２、リセットホールド判定部１３ａ，１３ｂ、電源監視部１４、割込受付部１５、ハードリセット部１６、ネットワーク接続監視部１７およびネットワーク用通信部１８を有する。
【００２０】
信号発生部１２は、異常が発生したと判定された装置［他系］１ｂに対して、リセットホールド信号を送信する機能を有する。なお、信号発生部１２は、２本の制御線２６ａ，２６ｂを用いて、リセットホールド信号を送信する。また、信号発生部１２は、自身が正常に動作していることを確認するために動作診断を行う機能を有する。信号発生部１２の機能の詳細については、後記する。
【００２１】
リセットホールド判定部１３ａ，１３ｂは、制御線２７ａ，２７ｂを介して、装置［他系］１ｂから、リセットホールド信号を受信するとともに、他系ケーブル接続状態１１２を参照して制御線２０のケーブル接続状態が正常であることを確認し、リセットホールド信号が正しいか否かを判定する機能を有する。また、リセットホールド判定部１３ａ，１３ｂは、リセットホールド信号が正しいと判定した場合、ハードリセット部１６が電源を停止する処理を開始できるようにするために、割込受付部１５に割込指示を出力するとともに、ハードリセット部１６に電源を停止するための停止指示を出力する。なお、リセットホールド判定部１３ａ，１３ｂの機能の詳細については、後記する。
【００２２】
装置［自系］１ａの電源監視部１４は、制御線２２を介して、装置［自系］１ａ自身の電源がＯＮまたはＯＦＦのいずれの状態かを装置［他系］１ｂに送信する機能を有する。そして、装置［自系］１ａの処理部１１は、制御線２１を介して、装置［他系］１ｂの電源監視部１４から受信した電源状態を、他系電源状態１１１として記憶する。
【００２３】
割込受付部１５は、リセットホールド判定部１３ａ，１３ｂによって、受信したリセットホールド信号が正しいと判定された場合に出力される割込指示を受け付けて、処理部１１の処理を安全に停止させる機能を有する。
【００２４】
ハードリセット部１６は、リセットホールド判定部１３ａ，１３ｂによって、受信したリセットホールド信号が正しいと判定された場合に出力される停止指示を受け付けて、装置［自系］１ａ自身の電源を停止する機能を有する。
【００２５】
ネットワーク接続監視部１７は、自系の装置１と他系の装置１との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部１８が正常に動作しているか否か、およびネットワーク５０を介して他系の装置１と通信が可能になっているか否かを確認する機能を有する。例えば、ネットワーク５０がＬＡＮの場合には、ネットワーク５０を介して他系の装置１と通信が可能になっているか否かは、リンクアップまたはリンクダウンを調べることによって判断される。
【００２６】
ネットワーク用通信部１８は、ネットワーク５０を介して、情報（生存情報を含む）を送受信する機能を有する。
【００２７】
記憶部１９は、メモリで構成され、他系電源状態１１１、他系ケーブル接続状態１１２、自系ケーブル接続状態１１３、自系設定状態１１４、自系リセットホールド信号状態１１５、自系リセットホールド状態１１６、他系リセットホールド信号状態１１７およびネットワーク状態１１８を処理部１１によって記憶される。
【００２８】
他系電源状態１１１は、装置［他系］１ｂの電源監視部１４から、制御線２１を介して、処理部１１が受信した装置［他系］１ｂの電源状態である。電源状態は、ＯＮまたはＯＦＦで表される。
【００２９】
他系ケーブル接続状態１１２は、制御線２３が装置［他系］１ｂに接続されているか否かで表される。具体的には、処理部１１は、制御線２３の電圧が装置［他系］１ｂのアースと同電位になっていれば、接続状態と判定する。なお、図１中の制御線３０は、制御線２３とは逆に、装置［他系］１ｂが装置［他系］１ｂ自身のケーブル接続状態を判定するためのものである。
【００３０】
自系ケーブル接続状態１１３は、自身の制御線２４が接続されているか否かで表される。具体的には、処理部１１は、制御線２４の電圧が装置［自系］１ａ自身のアースと同電位になっていれば、接続状態と判定する。なお、図１中の制御線３１は、制御線２４とは逆に、装置［他系］１ｂが装置［他系］１ｂ自身のケーブル接続状態を判定するためのものである。
【００３１】
自系設定状態１１４は、装置［自系］１ａが主従関係のうちのいずれかで表される。具体的には、制御線２５，３２は、電源ＯＮ時に装置［自系］１ａ、装置［他系］１ｂのいずれが主系になるかを決定するために使用され、両方の装置１を同時にＯＮし、かつ両方が正常に立ち上がった場合、一方を主系、他方を従系に設定するために必要な機構である。両方の装置１は、ネットワーク５０を介して相互に通信しており、両方の装置１とも主系となっていた場合は、制御線２０の断線や、制御線接続部の接触不良等の異常が考えられ、それを自系設定状態１１４によって検知することができる。図１では、装置［自系］１ａの制御線２５は電位がＬｏｗであり、装置［他系］１ｂの制御線３２は電位がＨｉｇｈになることによって、両方の装置１は、主系／従系のどちらであるかを決定できる。
【００３２】
自系リセットホールド信号状態１１５は、信号発生部１２から送信されるリセットホールド信号を、制御線２６ａ，２６ｂから取得したものである。
【００３３】
自系リセットホールド状態１１６は、リセットホールド判定部１３ａ，１３ｂから割込受付部１５に出力された、割込指示を表したものである。
【００３４】
他系リセットホールド信号状態１１７は、装置［他系］１ｂの信号発生部１２から制御線２７ａ，２７ｂを介して送信された、リセットホールド信号を表したものである。
【００３５】
ネットワーク接続状態１１８は、ネットワーク接続監視部１７によって、ネットワーク用通信部１８が正常に動作しているか否か、およびネットワーク５０が断線しているか否かを判定した結果を表したものである。
【００３６】
（二重化装置の機能）
ここで、二重化装置１００の機能例（１）〜（７）について、説明する（適宜、図１参照）。
【００３７】
（１）二重化したネットワークの機能
図１に示すように、装置［自系］１ａと装置［他系］１ｂとは、独立した２つのネットワーク５０（５０ａ，５０ｂ）を介して通信する。装置［自系］１ａおよび装置［他系］１ｂは、相互に生存情報（例えば、keep alive パケット）を所定の周期で交換し、生存情報を受信しなくなった場合または受信した生存情報に異常（例えば、符号誤り等）が発生した場合、自系の装置１の異常、他系の装置１の異常またはＬＡＮの異常のいずれかと判定する。なお、少なくとも１つのネットワーク５０を介して正しい生存情報を交換できている場合は、正常と判定する。
【００３８】
（２）制御線の機能
二重化装置１００は、２台の装置１（１ａ，１ｂ）間を制御線２０で接続し、相互に他系の装置１の状態を監視し、他系の装置１が異常と判定したときにリセットホールド信号を送信する。したがって、他系の装置１によって自系の装置１が異常と判定されたときには、自系の装置１は他系の装置１からリセットホールド信号を受信する。
二重化装置１００の動作状態について監視する項目は、例えば、（ａ）制御線２０のケーブル接続状態（他系ケーブル接続状態１１２、自系ケーブル接続状態１１３）、（ｂ）自系の設定状態（自系設定状態１１４）、（ｃ）他系の電源状態（他系電源状態１１１）、（ｄ）自系のリセットホールド信号の送受信状態（自系リセットホールド信号状態１１５、他系リセットホールド信号状態１１７）、（ｅ）自系のリセットホールド状態（自系リセットホールド状態１１６）、（ｆ）自系ネットワーク用通信部状態およびリンク状態（ネットワーク接続状態１１８）である。なお、ネットワーク５０がＬＡＮの場合には、自系ネットワーク用通信部は、自系ＬＡＮ送受信部を表す。
二重化装置１００は、前記（１）に記載の生存情報を受信できなかった場合または受信した生存情報に異常が発生した場合において、（ａ）〜（ｆ）のいずれかの情報と組み合わせて、異常個所を特定することができる。
【００３９】
（３）自系ネットワーク用通信部の診断機能
自系の装置１のネットワーク接続監視部１７は、生存情報を受信できなかった場合または受信した生存情報に異常が発生した場合、自系ネットワーク用通信部１８が正常であるか否かを自己診断する機能を有する。
自系の装置１は、自系ネットワーク用通信部１８が異常であると判定した場合、自系の装置異常と判定する。また、自系の装置１は、自系ネットワーク用通信部１８を正常であり、かつ他系の装置１とのリンクがリンクダウンの状態である場合には、ネットワーク（ＬＡＮ）が断線していると判定する。また、自系の装置１は、自系ネットワーク用通信部１８が正常であり、かつリンクアップの状態である場合には、他系の装置１の異常と判定する。このようにして、二重化装置１００は、異常個所を特定することができる。
【００４０】
（４）リセットホールド信号の停止機能
処理部１１は、リセットホールド信号を他系の装置１に送信した後、他系電源状態１１１の情報が電源ＯＦＦになっている状態を確認することによって、リセットホールドが目的通りに他系の装置１で実行されていると判定し、自律的にリセットホールド信号を停止させる。なお、リセットホールド信号を停止させる理由は、リセットホールド信号が送信され続けていると、他系の装置１が再起動された際に、再び停止してしまうような、目的に適合しない事象が発生することを防止するためである。
【００４１】
（５）二重化したリセットホールド信号用制御線の機能
信号発生部１２は、図１に示すように、リセットホールド信号を２本の信号線２６ａ，２６ｂを用いて形成し出力する。自系の装置１が故障したときに、誤ってリセットホールド信号を形成しないようにするために、例えば、一方の通信線２６ａの信号をＨｉｇｈアクティブ、他方の通信線２６ｂの信号をＬｏｗアクティブとし、極性を異ならせる。
なお、信号発生部１２によって出力されるリセットホールド信号は、所定の時間継続して出力されることによって、有効と判定される。また、処理部１１は、リセットホールド信号を自系リセットホールド信号状態１１５に記録し、目的通りにリセットホールド信号を出力していることを確認することができる。
【００４２】
（６）リセットホールド信号の発行機能
信号発生部１２は、誤って他系の装置１にリセットホールド信号を送信しないようにするために、２つのレジスタのうちの一方のレジスタに所定の第１の情報が書き込まれ、他方のレジスタに所定の第２の情報（ただし、第１の情報とは異なる。）が書き込まれた場合に、初めて、リセットホールド信号を出力する。
【００４３】
（７）リセットホールド信号の受信機能
リセットホールド判定部１３ａ，１３ｂは、装置［他系］１ｂの信号発生部１２から２本の制御線２７ａ，２７ｂを介して出力される信号（ＨｉｇｈまたはＬｏｗ）を検出し、リセットホールド信号か否かを判定する。例えば、制御線２７ａの信号がＨｉｇｈでかつ制御線２７ｂの信号がＬｏｗの状態が所定の時間継続する場合が、リセットホールド信号であると決めてあるものとする。
リセットホールド判定部１３ａ，１３ｂは、二重化されたクロックで動作する論理回路で構成され、クロックを用いて、所定の時間を計測する。すなわち、二重化されたクロックのうち、少なくとも一方のクロックが動作していれば、所定の時間を計測することができる。また、論理回路も二重化されている。したがって、リセットホールド判定部３１は、少なくとも一つの論理回路が動作していれば、リセットホールド信号を正しく判定することができる。
なお、クロックすべてが停止してしまった場合には、リセットホールド判定部１３ａ，１３ｂは、クロックで動作する論理回路とは別の回路に切り替えて、継続時間を計測することなく、リセットホールド信号を受信できるようにする。この理由は、クロックがすべて停止してしまっても、安全側で電源を停止（ＯＦＦ状態に）するためである。
【００４４】
（８）信号発生部およびリセットホールド判定部の診断機能
他系の装置１の電源を正しく停止するためには、信号発生部１２およびリセットホールド判定部１３ａ，１３ｂが正しく動作していなければならない。そのため、処理部１１は、信号発生部１２およびリセットホールド判定部１３ａ，１３ｂの動作を診断する機能を備えている。
処理部１１は、所定の周期（例えば、１秒程度の短い周期）で、自系リセットホールド信号状態１１５に記録されている信号発生部１２の出力信号を確認することによって、自身の信号発生部１２の動作状態を確認（診断）することができる。また、処理部１１は、所定の周期（例えば、１秒程度の短い周期）で、装置［他系］１ｂの信号発生部１２から受信した信号を他系リセットホールド信号状態１１７に記録し、所定の周期（例えば、１秒程度の短い周期）で、装置［他系］１ｂからの信号が正常であることを確認する。
【００４５】
ここで、信号発生部１２の診断機能の一例について、図２を用いて説明する（適宜、図１参照）。
図２では、信号発生部１２の出力の状態を円内に数字で示している。例えば、定常時Ｓ２０１の円２１１内の左側の数字「０」は、制御線２６ａの信号がＬｏｗであることを表し、右側の数字「１」は、制御線２６ｂの信号がＨｉｇｈであることを表している。また、リセットホールド信号を出力しているリセットホールド発行時Ｓ２０２では、円２１２内の左側の数字「１」は、制御線２６ａの信号がＨｉｇｈであり、右側の数字「０」は、制御線２６ｂの信号がＬｏｗであり、リセットホールド信号であることを表している。
【００４６】
自己診断時Ｓ２０３では、信号発生部１２は、出力が「０１」→「００」→「０１」→「１１」→「０１」となるように動作する。つまり、信号発生部１２は、出力がリセットホールド信号と同じ「１０」とならないように動作する。
【００４７】
装置１を起動したときの初期診断では、処理部１１は、自己診断時Ｓ２０３の動作を実行する。
定常時Ｓ２０１には、処理部１１は、所定の短い周期（例えば、１秒等）で、信号発生部１２の出力を自系リセットホールド信号状態１１５に記録し、「０１」の状態であることを確認する。また、処理部１１は、所定の長い周期（例えば、１時間等）で、自己診断時Ｓ２０３の動作を実行する。
また、リセットホールド発行時Ｓ２０２では、処理部１１は、所定の短い周期（例えば、１秒等）で、信号発生部１２の出力を自系リセットホールド信号状態１１５に記録し、「１０」の状態であることを確認する。
【００４８】
装置［他系］１ｂからの出力信号の診断は、信号発生部１２の出力状態が「０１」であることを診断する。装置［他系］１ｂの信号発生部１２の故障により、出力状態が「００」や「１１」となった場合、所定の周期（例えば、１秒程度の短い周期）で連続で読み込み値が「０１」でなかった場合、異常と判断する。自己診断時Ｓ２０３では出力信号が「００」や「１１」になる。しかし、装置［他系］１ｂが自己診断時Ｓ２０３であった場合も１回目の読み込みでは異常となるが、自己診断での信号パターンの切換え時間よりも長い、所定の周期で読み込むことで、２回目の読み込みでは正常に「０１」が読み込める。よって、読み込み値が２回続けて「０１」でなかった場合、自己診断によるパターン切替えではなく、装置［他系］１ｂの信号発生部１２が故障していることを特定できる。
【００４９】
次に、二重化装置の異常個所を特定した判定結果およびリセットホールド信号の対応例について、図３を用いて説明する（適宜、図１参照）。
本実施形態では、制御線２０を用いて、装置１の動作状態を相互に監視しているため、異常個所を特定することができる。図３は、他系電源状態１１１、他系ケーブル接続状態１１２、ネットワーク接続状態１１８（自系ネットワーク用通信部状態およびリンク状態）を用いて、異常個所を特定した判定結果３１０とリセットホールド信号の対応例３１１とを示している。
【００５０】
１行目（符号３０１）では、他系電源状態が「ＯＦＦ」、他系ケーブル接続状態が「未接続」、自系ネットワーク用通信部状態が「正常」である場合、判定結果は「他系装置未接続」となり、対応例は「他系にリセットホールド信号送信不要」となる。
【００５１】
２行目（符号３０２）では、他系電源状態が「ＯＦＦ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「正常」である場合、判定結果は「他系装置電源ＯＦＦ」となり、対応例は「他系にリセットホールド信号送信不要」となる。
【００５２】
３行目（符号３０３）では、他系電源状態が「ＯＮ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「正常」、リンク状態が「リンクダウン」である場合、判定結果は「ＬＡＮ断線」となる。リンクダウンは何らかの異常やケーブル断によって通信相手との通信が不可となった状態のこと、リンクアップは通信相手とケーブルで接続され、通信可能となった状態のこと、を意味している。ただし、装置１をハブ等を介してネットワーク５０に接続した場合、装置１は、ハブとの間が正常であればリンクアップと判断し、ハブより相手側で断線が起きていたとしてもリンクアップの状態は変わらない。
【００５３】
４行目（符号３０４）では、他系電源状態が「ＯＮ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「異常」である場合、判定結果は「自系装置異常」となり、対応例は「他系からリセットホールド信号を受信して停止」となる。
【００５４】
５行目（符号３０５）では、他系電源状態が「ＯＮ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「正常」、リンク状態が「リンクアップ」である場合、判定結果は「他系装置異常」となり、対応例は「他系にリセットホールド信号を送信」となる。
【００５５】
また、制御線２０のケーブル障害監視判定フロー例について、図４を用いて説明する（適宜、図１参照）。
図４に示すように、ステップＳ４０１では、処理部１１は、自系ケーブル接続状態１１３を参照して、自系ケーブルが接続しているか否かを判定する。接続している場合（ステップＳ４０１でＹｅｓ）、処理はステップＳ４０３へ進み、接続していない場合（ステップＳ４０１でＮｏ）、処理はステップＳ４０２へ進む。
【００５６】
ステップＳ４０２では、処理部１１は、エラー表示として「自系制御線コネクタ外れ」を不図示の表示部に出力する。そして、処理は終了する。
【００５７】
ステップＳ４０３では、処理部１１は、他系ケーブル接続状態１１２を参照して、他系ケーブルが接続しているか否かを判定する。接続している場合（ステップＳ４０３でＹｅｓ）、処理はステップＳ４０５へ進み、接続していない場合（ステップＳ４０３でＮｏ）、処理はステップＳ４０４へ進む。
【００５８】
ステップＳ４０４では、処理部１１は、エラー表示として「他系制御線コネクタ外れ」を不図示の表示部に出力する。そして、処理は終了する。
【００５９】
ステップＳ４０５では、処理部１１は、他系電源状態１１１を参照して、他系電源がＯＦＦであるか否かを判定する。ＯＦＦである場合（ステップＳ４０５でＹｅｓ）、処理はステップＳ４０６へ進み、ＯＦＦでない場合（ステップＳ４０５でＮｏ）、処理は終了する。
【００６０】
ステップＳ４０６では、処理部１１は、他系電源状態１１１を参照して、他系電源ＯＦＦの状態が所定時間継続しているか否かを判定する。所定時間継続している場合（ステップＳ４０６でＹｅｓ）、処理はステップＳ４０７へ進み、所定時間継続していない場合（ステップＳ４０６でＮｏ）、処理はステップＳ４０１へ戻る。
【００６１】
ステップＳ４０７では、処理部１１は、エラー表示として「他系電源ＯＦＦ  異常」を不図示の表示部に出力する。そして、処理は終了する。
【００６２】
以上説明したように、本実施形態における二重化装置１００は、２台で冗長構成化され、ネットワーク５０を介して所定の周期で生存情報を送受信するとともに、制御線５０を介して動作状態を相互に監視する。装置［自系］１ａは、生存情報を送受信するネットワーク用通信部１８が正常に動作しているか否か、およびネットワーク５０が断線しているか否かを監視するネットワーク接続監視部１７と、装置［他系］１ｂの電源がＯＮ状態であることを制御線２０を介して確認する電源監視部１４と、装置［他系］１ｂの電源を停止する情報を制御線２０を介して送信する信号発生部１２と、を備える。そして、装置［自系］１ａは、装置［他系］１ｂから生存情報を受信しなくなった場合または受信した生存情報に異常が発生した場合に、ネットワーク接続監視部１７が、自身のネットワーク用通信部１８が正常であることおよびネットワーク５０が断線していないことを確認して、装置［他系］１ｂの異常と判定する。次に、装置［自系］１ａは、電源監視部１４が、装置［他系］１ｂの電源がＯＮ状態であることを確認し、信号発生部１２が、装置［他系］１ｂの電源を停止する情報を送信する。
【００６３】
このような構成を備えることによって、装置［自系］１ａは、装置［他系］１ｂから生存情報を受信しなくなった場合または受信した生存情報に異常が発生した場合に、異常個所を切り分けることができる。そして、装置［自系］１ａは、装置［他系］１ｂに異常が発生していないにもかかわらず、停止するための情報を誤って送信してしまうことを防止し、目的通りに構成制御を行うことができる。
【００６４】
なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも、説明したすべての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
また、処理部１１の機能は、それらの一部または全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、各機能を実現するプログラム、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、またはＩＣ（Integrated Circuit）カード、ＳＤカード、ＤＶＤ（Digital Versatile Disc）等の記録媒体に置くことができる。
また、二重化装置１００では、処理部１１内の各構成間を接続する情報線の記載を省略しているが、実際には、ほとんどすべての構成が相互に接続されていると考えてもよい。
【符号の説明】
【００６５】
１ａ  装置［自系］（第１の装置）
１ｂ  装置［他系］（第２の装置）
１１  処理部
１２  信号発生部
１３ａ，１３ｂ  リセットホールド判定部
１４  電源監視部
１５  割込受付部
１６  ハードリセット部
１７  ネットワーク接続監視部
１８  ネットワーク用通信部
１９  記憶部
２０  制御線
５０（５０ａ，５０ｂ）  ネットワーク
１００  二重化装置
【図１】
0005966181.tif 000002
【図２】
0005966181.tif 000003
【図３】
0005966181.tif 000004
【図４】
0005966181.tif 000005