(57)【要約】【課題】本発明は装置の二重化仮運用方法及び二重化システムに関し、新ファームウェアでの連続運転での機能評価を十分に行なうことができると共に、二重化構成での新ファームウェア検証を行なうことができる装置の二重化仮運用方法及び二重化システムを提供することを目的としている。【解決手段】ＬＡＮで接続され、それぞれがアクト系とスタンバイ系として動作する装置１と、これら装置１とＬＡＮ４を介して接続される信号制御部２とを具備し、前記装置１内には、パワーオン時にデバイスやＯＳの起動を行なうブート手段１ａと、ワークエリアとして、また転送データを一時的に使用し、またソフトウェアやデータベースを管理する機能を持つメモリ１ｂ〜１ｄと、を有し、アクト系装置１とスタンバイ系装置１とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なうように構成される。【選択図】図５８
2007257447.tif 000002
【特許請求の範囲】
【請求項１】
アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なう場合において、
アクト系とスタンバイ系とを双方とも新版にした状態で動作させ、
ソフトウェア障害が発生した場合には、旧版に戻し、
ハードウェア障害が発生した場合には、旧版には戻さず新版での動作を続行する
ようにしたことを特徴とする装置の二重化仮運用方法。
【請求項２】
ＬＡＮで接続され、それぞれがアクト系とスタンバイ系として動作する装置と、
これら装置とＬＡＮを介して接続される信号制御部とを具備し、
前記装置内には、パワーオン時にデバイスやＯＳの起動を行なうブート手段と、
ワークエリアとして、また転送データを一時的に使用し、またソフトウェアやデータベースを管理する機能を持つメモリと、
を有し、
アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なうように構成されたことを特徴とする装置の二重化システム。
【請求項３】
前記アクト系とスタンバイ系とを双方とも新版にした状態で動作させ、ソフトウェア障害が発生した場合には、旧版に戻し、ハードウェア障害が発生した場合には、旧版には戻さず新版での動作を続行するようにしたことを特徴とする請求項２記載の装置の二重化システム。
【請求項４】
アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なう場合において、
旧ソフトウェア二重化運用から、新ソフトウェア一重化仮運用、新ソフトウェア二重化仮運用（連続運用モード）、新ソフトウェア二重化仮運用（非連続運用モード）のうちの何れかを選択することができるようにしたことを特徴とする装置の二重化仮運用方法。
【請求項５】
新ソフトウェア運用中に、ソフトウェアの運用モードを非連続運用モードと連続運用モードとの間で切り替えることができるようにしたことを特徴とする請求項４記載の装置の二重化仮運用方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は装置の二重化仮運用方法及び二重化システムに関し、更に詳しくはＭｅｔｒｏ−ＩＰと呼ばれるＩＰネットワークを構成するＩＰを収容する装置における装置の二重化仮運用方法及び二重化システムに関する。本発明は、装置内を監視するＣＰＵが搭載された監視制御部が二重化された構成でシステムをダウンさせることなく二重化運用が可能な装置に関するものである。
【背景技術】
【０００２】
現在の二重化システムにおいては、二重化運用可能な装置であっても、ソフトウェアダウンロード中は、アクト監視制御部は、新ファームウェア（Ｆｉｒｍｗａｒｅ）による一重化構成で運用し、スタンバイ監視制御部は、旧ファームウェアによる一重化構成でいつでも動作可能な状態で待機している。アクト監視制御部（新ファームウェア）で障害を検出した場合、新ファームウェアによる運用を解除し、スタンバイ監視制御部をアクトに切り替え、旧ファームウェアによる一重化構成で運用を行なうようになっている。
【０００３】
従来のこの種のシステムとしては、二重化されたプログラムメモリを有する二重化マイクロプロセッサシステムにおいて、これら二重化マイクロプロセッサシステムは、それぞれが現用系又は予備系として動作し、状況に応じてプログラムメモリの現用／予備切り替えを行なう技術が知られている（例えば特許文献１参照）。また、ネットワーク通信処理は現用系にのみ実行させるが、待機系を常時稼働できるように起動させておき、現用系と予備系とリアルタイムに系間通信を行ない、現用系と同期をとって待機系の網内設定を更新し、現用系と予備系とが切り替わる場合に、ネットワーク通信を途絶えることなく継続させる技術が知られている（例えば特許文献２参照）。
【特許文献１】特開２０００−２３１４９１号公報（段落００１９〜００２９、図１）
【特許文献２】特開平１１−３５５３９２号公報（段落００１３〜００２０、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
前述した従来の技術では、監視制御部が新ファームウェアによる一重化構成で運用中に障害が発生すると、自動的に新ファームウェアによる運用が解除され旧ファームウェアに切り戻るため、新ファームウェアにより連続運転での機能評価を十分に行なうことができないという問題がある。また、ソフトウェアダウンロード中は、システムの正式運用形態である監視制御部が二重化構成での新ファームウェア検証ができないという問題がある。
【０００５】
本発明はこのような課題に鑑みてなされたものであって、新ファームウェアでの連続運転での機能評価を十分に行なうことができると共に、二重化構成での新ファームウェア検証を行なうことができる装置の二重化仮運用方法及び二重化システムを提供することを目的としている。
【課題を解決するための手段】
【０００６】
（１）請求項１記載の発明は、アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なう場合において、アクト系とスタンバイ系とを双方とも新版にした状態で動作させ、ソフトウェア障害が発生した場合には、旧版に戻し、ハードウェア障害が発生した場合には、旧版には戻さず新版での動作を続行するようにしたことを特徴とする。
（２）請求項２記載の発明は、ＬＡＮで接続され、それぞれがアクト系とスタンバイ系として動作する装置と、これら装置とＬＡＮを介して接続される信号制御部とを具備し、前記装置内には、パワーオン時にデバイスやＯＳの起動を行なうブート手段と、ワークエリアとして、また転送データを一時的に使用し、またソフトウェアやデータベースを管理する機能を持つメモリと、を有し、アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なうように構成されたことを特徴とする。
（３）請求項３記載の発明は、前記アクト系とスタンバイ系とを双方とも新版にした状態で動作させ、ソフトウェア障害が発生した場合には、旧版に戻し、ハードウェア障害が発生した場合には、旧版には戻さず新版での動作を続行するようにしたことを特徴とする。
（４）請求項４記載の発明は、アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なう場合において、旧ソフトウェア二重化仮運用から、新ソフトウェア一重化仮運用、新ソフトウェア二重化仮運用（連続運用モード）、新ソフトウェア二重化仮運用（非連続運用モード）のうちの何れかを選択することができるようにしたことを特徴とする。
（５）請求項５記載の発明は、新ソフトウェア運用中に、ソフトウェアの運用モードを非連続運用モードと連続運用モードとの間で切り替えることができるようにしたことを特徴とする。
【０００７】
また、この発明において、新ソフトウェア（一重化又は二重化）仮運用中に、新ソフトウェア一重化仮運用又は、新ソフトウェア二重化仮運用状態に切り替えることができるようにしたことを特徴とする。
【発明の効果】
【０００８】
（１）請求項１記載の発明によれば、新ファームウェアでの連続運転での機能評価を十分に行なうことができると共に、二重化構成での新ファームウェア検証を行なうことができる。
（２）請求項２記載の発明によれば、アクト系とスタンバイ系の２つの装置間で旧版と新版の切り替え運用を行なうことができる。
（３）請求項３記載の発明によれば、新ファームウェアでの連続運転での機能評価を十分に行なうことができると共に、二重化構成での新ファームウェア検証を行なうことができる。
（４）請求項４記載の発明によれば、新ソフトウェアによる二重化仮運用（連続運用モード）で動作中にソフトウェア障害が発生した時、旧版に切り戻し、ハードウェア障害が発生した時に新版での動作を継続することができる。また、新ソフトウェアによる二重化仮運用（非連続運用モード）で動作中にソフトウェア障害が発生した場合には旧版に切り戻し、ハードウェア障害が発生した時には旧版に切り戻すことができる。
（５）請求項５記載の発明によれば、非連続運用モードで運用中であっても、連続運用モードへ切り替えることができる。逆に、連続運用モードから非連続運用モードへ切り替えることもできる。
【０００９】
また、この発明によれば、新ソフトウェア一重化仮運用により、新ソフトウェアの運用を確認した後、新ソフトウェア二重化仮運用状態へ切り替えることができる。また、新ソフトウェア二重化仮運用により、新ソフトウェアの運用を確認した後、新ソフトウェア一重化仮運用状態へ切り替えることができる。これにより、新ソフトウェアの仮運用状態を解除することなく切り替えることができ、継続して新ソフトウェアの検証ができる方法をユーザに提供することができる。
【発明を実施するための最良の形態】
【００１０】
以下、図面を参照して本発明の実施の形態例を詳細に説明する。以下の説明では、二重化仮運用方式として、監視制御部が２台ある場合を示している。
［旧方式：監視制御部一重化仮運用固定方式］
この場合は、制御できる仮運用方式は１種類のみである。そして、旧ファームウェアによる監視制御部二重化運用中→新ファームウェア一重化仮運用コマンド（change version）となる。ここで、仮運用とは、監視制御部に搭載されるファームウェアを新バージョンに更新し、過渡的に新ファームウェアを運用することを示す。現システムでは、仮運用状態へ遷移する場合、主信号に影響を与えず、ユーザサービスを継続することが可能である。仮運用状態からは、そのまま正式運用又は旧ファームウェアへの切り戻しが可能となっている。図１は監視制御部二重化時の動作仕様を示す図である。図中の（ａ）は後述する（ａ）モードから（ｉ）モードのうちの（ａ）モードで動作していることを示す（以下、同様）。
［旧方式：cancel（解除）／accept version（定着）コマンド仕様］
この場合は、新ファームウェアによる監視制御部一重化仮運用状態の解除（cancel version）となる。図２はcancel version（解除）コマンドの場合であり、新ファームウェアによる監視制御部一重化仮運用を示す図である。
【００１１】
また、この場合は、新ファームウェアによる監視制御部一重化仮運用状態の定着（accept version）となる。図３はaccept version（定着）コマンドの場合であり、新ファームウェアによる監視制御部一重化仮運用を示す図である。
［旧方式を実現しているＳＷＤＬ管理情報］
新／旧ファームウェアの切り替えは、下記の状態一覧表にある状態（番号）によりコントロールしている。
１）コマンド種別（図４参照）
２）ＳＷＤＬ状態一覧表（図５参照）
３）ソフト管理面情報（図６参照）
４）監視制御部状態一覧表（図７参照）
図４は実行コマンド種別を示す図、図５はＳＷＤＬ状態一覧を示す図、図６はソフト管理面情報を示す図、図７は監視制御部状態一覧を示す図である。図４は、コマンドＮｏ．と、コマンド種別と、動作内容から構成されている。同図において、コマンドＮｏ．０はコマンド未実行状態（Ｎｏｎｅ）を、コマンドＮｏ．１は新版ファームウェア切り替え要求（change version）を、コマンドＮｏ．２は旧ファームウェアへの切り戻し要求（cancel version）を、コマンドＮｏ．３は新ファームウェアへの定着要求を示す。
【００１２】
図５はＳＷＤＬ状態一覧を示しており、ＳＷＤＬ  ＳＴＡＴＵＳと、ＳＷＤＬ状態管理情報とから構成されている。ここで、ＳＷＤＬとは、ファームウェア情報のことを示す。NORMALはノーマル状態（非ＳＷＤＬ状態）を、NOWSWDLはＳＷＤＬ中を、COMPLETEはＳＷＤＬ完了をそれぞれ示す。図６はバンク情報と新旧のソフト管理状態から構成されている。同図において、バンク情報ＡはHOLDER  Ａのソフト立ち上げ要求であり、バンク情報Ｂは、HOLDER  Ｂのソフト立ち上げ要求である。図７は監視制御部状態と、新ファームウェア立ち上げに伴う監視制御部の状態を示している。NORMALは非ＳＷＤＬ状態を、WAITはスタンバイ監視制御部を新ファームウェアで立ち上げ待ちを、SWITCHは新ファームウェア（スタンバイ監視制御部）への切り替え中状態を、RESETは旧アクト監視制御部の旧ファームウェア立ち上げ待ち状態を、COMPは監視制御部一重化仮運用中（ＳＷＤＬ完了）を示している。
【００１３】
次に、本発明のソフトウェア・ダウンロード方式について説明する。既存のソフトウェア・ダウンロード方式は、監視制御部が二重化で運用が可能であっても、一重化仮運用で新ファームウェアが評価されており、実際の運用形態と異なっている。そこで、実際の運用形態と同じ監視制御部二重化での仮運用情報を提供する（ユーザは、監視制御部が一重化／二重化の仮運用を選択可能である）。
（システム評価方法の改善）
監視制御部二重化によるソフトウェアの仮運用確認を行なうことにより、監視制御部の障害によるソフトウェア・ダウンロード状態を解除しないため、連続して新ファームウェアの評価を行なうことができる。本発明では、ハードウェア障害時のみ連続運転が可能であり、ファームウェアの問題による障害検出時は、ソフトウェア・ダウンロード状態を解除する。監視制御部二重化仮運用中のハードウェア障害スキップ機能については後述の（ｃ）参照。
【００１４】
システムの実運用形態である監視制御部の二重化運用を行なうことにより、新ファームウェアへの完全切り替え前にシステムの正常性を十分評価することができる。また、ユーザにより、監視制御部一重化／二重化による仮運用を選択することができる（システム評価方法の選択機能）。監視制御部一重化による新ファームウェア仮運用の選択が可能である（後述の（ａ）参照）。また、監視制御部二重化による新ファームウェア仮運用の選択が可能である（後述の（ｂ），（ｃ）参照）。また、監視制御部一重化から二重化への新ファームウェア仮運用を選択することができる（後述の（ｄ）参照）。また、監視制御部二重化から一重化への新ファームウェア仮運用を選択することができる（後述の（ｅ）参照）。
（顧客によるソフトウェアの品質チェック機能の充実化）
旧方式では、監視制御部二重化運用は新ファームウェア定着後にしか確認できなかったが、二重化仮運用状態を設けることで、事前に動作確認することができるようになる。また、旧方式では、新ファームウェアによる監視制御部二重化運用直後に問題を検出した場合は、システムを再立ち上げすることでしか復旧できなかったが、仮の二重化運用状態であれば、cancel versionすることで、容易に旧ファームウェアへ復旧することができる。また、監視制御部の二重化仮運用機能を提供することで、旧方式では確認できなかった監視制御部のアクト−スタンバイ（以下、アクトをＡＣＴ、スタンバイをＳＴＢＹと略す）切り替えなど事前に動作確認することが可能となる。更に、監視制御部二重化仮運用中に、ハードウェア障害を検出しても新ファームウェアの仮運用状態を継続して連続運転試験が実施可能である。
（新方式：監視制御部一重化／二重化仮運用選択方式）
制御できる仮運用方式は以下に示す５種類ある。
（ａ）旧ファームウェアによる監視制御部二重化運用中→新ファームウェア一重化仮運用コマンド（change version）
（ｂ）旧ファームウェアによる監視制御部二重化運用中→新ファームウェア二重化仮運用コマンド（change version）非連続運用モード
（ｃ）旧ファームウェアによる監視制御部二重化運用中→新ファームウェア二重化仮運用コマンド（change version）連続運用モード
（ｄ）新ファームウェアによる監視制御部一重化運用→新ファームウェア二重化仮運用コマンド（change version）
（ｅ）新ファームウェアによる監視制御部二重化仮運用→新ファームウェア一重化仮運用コマンド（change version）
図８は監視制御部二重化時の動作仕様（タイプ１）を示す図、図９は監視制御部二重化時の動作仕様（タイプ２）をそれぞれ示す。
（新方式：cancel（解除）／accept version（定着）コマンド仕様）
以下の４方式がある。
（ｆ）新ファームウェアによる監視制御部一重化仮運用状態の解除（cancel version）
（ｇ）新ファームウェアによる監視制御部二重化仮運用状態の解除（cancel version）
（ｈ）新ファームウェアによる監視制御部一重化仮運用状態の定着（accept version）
（ｉ）新ファームウェアによる監視制御部二重化仮運用状態の定着（accept version）
（cancel version（解除）コマンド）
図１０は新ファームウェアによる監視制御部一重化運用（既存）を示す図である。図１１は新ファームウェアによる監視制御部二重化仮運用（新）を示す図である。
（accept version（定着）コマンド）
図１２は新ファームウェアによる監視制御部一重化仮運用（既存）を示す図である。図１３は新ファームウェアによる監視制御部二重化仮運用（新）を示す図である。
（新方式を実現するためのＳＷＤＬ管理情報）（ｂ），（ｃ），（ｄ），（ｅ），（ｇ），（ｉ）
新／旧ファームウェアの切り替えは、下記の状態一覧にある状態（番号）によりコントロールしている。
１）実行コマンド種別（図１５参照）
２）ＳＷＤＬ状態一覧（図１６参照）
３）ソフト管理面情報（図１７参照）
４）監視制御部状態一覧（図１８参照）
本発明によれば、既存の新ファームウェア切り替え状態一覧に新管理情報を３つ追加することで、監視制御部二重化による仮運用機能を実現することができる。追加する状態は以下の３つである。
１．ＲＥＳＥＴ２  新ファームウェアによる監視制御部二重化待ち状態（スタンバイ監視制御部立ち上げ待ち）
２．ＣＯＭＰ２    新ファームウェアによる監視制御部二重化仮運用状態（非連続運用モード）
３．ＣＯＭＰ３    新ファームウェアによる監視制御部二重化仮運用状態（連続運用モード）
これらの状態一覧の使用方法については、後述する（ｂ），（ｃ），（ｄ），（ｅ），（ｇ），（ｉ）に記載されている。
【００１５】
図１４はＳＷＤＬ管理情報構造を示す図である。ＳＷＤＬ管理情報構造は、実行コマンド種別と、ＳＷＤＬ状態と、ソフト管理面情報と、監視制御部状態からなる。
図１５は実行コマンド種別を示す図である。コマンドＮｏ．に対するコマンド種別と動作内容を示している。コマンドＮｏ．０はコマンド未実行状態を示す。コマンドＮｏ．１はchange version1であり、新版ファームウェア切り替え要求（一重化仮運用要求）を示し、コマンドＮｏ．２はchange version２であり、新版ファームウェア切り替え要求（二重化仮運用要求、非連続運用要求）を示し、コマンドＮｏ．３はcancel versionであり、旧ファームウェアへの切り戻し要求であり、コマンドＮｏ．４はaccept versionでり、新ファームウェア定着要求であり、コマンドＮｏ．５はchange vesion３であり、新版ファームウェア切り替え要求（二重化仮運用要求、連続運用モード）である。
【００１６】
図１６はＳＷＤＬ状態一覧を示す図である。ＳＷＤＬステータスは、“NORMAL”がノーマル状態を、“NOW SWDL”がＳＷＤＬ中を、“COMPLETE”がＳＷＤＬ完了（仮運用中）をそれぞれ示している。図１７はソフト管理面情報を示す図で、ＣＦ  ＢＡＮＫ情報が“Ａ”の場合、ホルダＡのソフト立ち上げを要求しており、“Ｂ”の場合、ホルダＢのソフト立ち上げを要求している。
【００１７】
図１８は監視制御部状態一覧を示す図である。監視制御部状態が“NORMAL”の場合はノーマル状態（非ＳＷＤＬ状態）を、“WAIT”の場合はスタンバイ監視制御部を新ファームウェアで立ち上げ待ちを、“SWITCH”の場合は新ファームウェア（ＳＴＢＹ）監視制御部への切り替え中状態を、“RESET”の場合は旧アクト監視制御部の旧ファームウェア立ち上げ待ち状態を、“COMP”の場合は監視制御部一重化仮運用中（ＳＷＤＬ完了）を、“RESET2”の場合はＳＴＢＹ監視制御部の新ファームウェア立ち上げ待ち状態を、“COMP2”の場合は監視制御部二重化仮運用中（ＳＷＤＬ完了／非連続運用モード）を、“COMP3”の場合は監視制御部二重化仮運用中（ＳＷＤＬ完了／連続運用モード）をそれぞれ示している。
［新ソフトウェア・ダウンロード方式の運用方法］
ここでは、どのようにしてＳＷＤＬ管理情報を用いてＣＰＵ二重化仮運用を実現するか、シーケンス図を用いて説明する。
（ａ）旧ファームウェアによる監視制御部二重化運用中→新ファームウェア一重化仮運用コマンド（change version）
（ｂ）旧ファームウェアによる監視制御部二重化運用中→新ファームウェア二重化仮運用コマンド（change version）非連続運用モード
（ｃ）旧ファームウェアによる監視制御部二重化運用中→新ファームウェア二重化仮運用コマンド（change version）連続運用モード
（ｄ）新ファームウェアによる監視制御部一重化仮運用→新ファームウェア二重化仮運用コマンド（change version）
（ｅ）新ファームウェアによる監視制御部二重化仮運用→新ファームウェア一重化仮運用コマンド（change version）
（ｆ）新ファームウェアによる監視制御部一重化仮運用状態の解除（cancel version）
（ｇ）新ファームウェアによる監視制御部二重化仮運用状態の解除（cancel version）
（ｈ）新ファームウェアによる監視制御部一重化仮運用状態の定着（accept version）
（ｉ）新ファームウェアによる監視制御部二重化仮運用状態の定着（accept version）
以下、上述した（ａ）から（ｉ）までの動作シーケンスについて説明する。
［（ａ）監視制御部二重化状態→新ファームウェア一重化仮運用］
（１）監視制御部正常二重化状態
１）ＳＷＤＬ状態ではない状態（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＮＯＲＭＡＬ）
図１９は監視制御部正常二重化状態の説明図である。この例では、監視制御部１がアクト（ＡＣＴ）系、監視制御部  ２がスタンバイ（ＳＴＢＹ）系を示している。コマンド種別はなく、ＳＷＤＬステータスは何れもノーマル（ＮＯＲＭＡＬ）状態である。監視制御部状態は何れもノーマルである。ＣＦバンクは、監視制御部１，２共に“Ａ”である。ＲＡＭ  ＤＢは何れも旧版、ＣＦ  ＤＢも何れも旧版である。監視制御部１，２何れも旧版で運用中である。
２）change version ＣＰＵ１コマンド実行（監視制御部一重化仮運用要求）
１．監視制御部二重化運用中で、且つＳＷＤＬ状態でないことを確認する（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＮＯＲＭＡＬ）。
２．新ファームウェアがインストールされていることを確認する。
３．ＳＷＤＬ  ＳＴＡＴＵＳをＳＷＤＬ中に更新する（ＮＯＲＭＡＬ→ＮＯＷ  ＳＷＤＬ）。
４．ＡＣＴ監視制御部の状態をＷＡＩＴ（ＳＴＢＹ監視制御部の新ファームウェア立ち上げ待ち）状態にする（ＮＯＲＭＡＬ→ＷＡＩＴ）。
５．ＳＴＢＹ監視制御部を新版で立ち上げるため、ＣＦバンクを新版に切り替え後、リセットする。
６．ＳＴＢＹ監視制御部の立ち上げ契機に、ＣＦ  ＤＢを新ファームウェア用にコンバートしてＲＡＭへ展開する。
【００１８】
図２０はchange version実行の説明図である。監視制御部１は旧版で運用中であり、監視制御部２は新版立ち上げ中である。
３）ＳＴＢＹ監視制御部が新ファームウェアで立ち上げ後、新ファームウェアへの仮運用に切り替える。
１．ＳＴＢＹ監視制御部の新ファームウェア立ち上げ完了通知受信後、旧ファームウェア→新ファームウェアへの仮運用に切り替える。
【００１９】
図２１は新ファームウェアへの切り替えの説明図である。監視制御部２はソフトウェアと、ＲＡＭ  ＤＢと、ＣＦバンクが新版となり、ＳＴＢＹ→ＡＣＴへの切り替えを行なう。一方、監視制御部１は反対にＡＣＴ系→ＳＴＢＹへの切り替えを行なう。
４）旧ＡＣＴ監視制御部（旧版）の運用を解除する。
１．新ＡＣＴ監視制御部を、新ファームウェア一重化仮運用状態に遷移させるため、旧ＡＣＴ監視制御部を旧ファームウェアで立ち上げ直す（リセットする）。
【００２０】
図２２は旧ＡＣＴ監視制御部の運用解除の説明図である。監視制御部１を再立ち上げしている。監視制御部２は、新版仮運用中である。
５）新ＡＣＴ監視制御部による一重化仮運用状態
１．新ＡＣＴ監視制御部は、新ファームウェア一重化仮運用状態に遷移する。
２．旧ＡＣＴ監視制御部の旧ファームウェアによる立ち上げが完了する。ファームウェアは立ち上がっているが、待機状態である。
【００２１】
図２３は新ＡＣＴ監視制御部による一重化仮運用の説明図である。監視制御部１は待機状態であり、監視制御部２は新版運用中である。
［（ｂ）監視制御部二重化状態→新ファームウェア二重化仮運用（非連続運用化モード）］
１）監視制御部正常二重化状態
試験開始前に、新ソフトウェアをインストールする。図２４は監視制御部正常二重化状態の説明図である。監視制御部１がＡＣＴ状態、監視制御部２がＳＴＢＹ状態にある。コマンド種別は共に“０”であり、ＳＷＤＬ  ＳＴＡＴＵＳは共にＮＯＲＭＡＬ、監視制御部状態も共にＮＯＲＭＡＬ、ＣＦバンクは共にＡ（旧版）、ＲＡＭ  ＤＢとＣＦ  ＤＢも共に旧版である。
２）change version  ＣＰＵ２コマンド実行（監視制御部二重化仮運用要求）
コマンド実行契機に、新版立ち上げ側のＣＰＵの下記管理情報を更新し、ＳＴＢＹ−ＣＰＵをリセットすることで、新版ソフトウェアを立ち上げる。図２５はchange version  （二重化仮運用要求）の説明図である。監視制御部１は旧版で運用中であり、監視制御部２は新版立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵへ切り替える。
【００２２】
図２６は新ファームウェアへの切り替えの説明図である。監視制御部１は旧版の下でｃＰ切り替えによるＳＴＢＹモードとなり、監視制御部２はＣＰＵ切り替えにより新版でのＡＣＴモードとなる。
４）ＳＴＢＹ−ＣＰＵ（旧版）の運用を解除する。
【００２３】
ＡＣＴ−ＣＰＵは、ＣＰＵ一重化の運用状態に遷移する。ＳＴＢＹ−ＣＰＵ（旧版１）を新版で仮運用するため、ＣＰＵをリセットする。図２７は旧ＡＣＴ監視制御部の新ファームウェア立ち上げ開始の説明図である。監視制御部２は新版で運用中であり、監視制御部１はＣＰＵのリセット状態にある。
５）監視制御部二重化仮運用
ＳＴＢＹ−ＣＰＵ立ち上げ完了を契機に、ＣＰＵ二重化の仮運用状態に遷移する。図２８は監視制御部二重化仮運用完了の説明図である。監視制御部１は新版で待機状態にあり、監視制御部２は新版で運用中である。
［（ｃ）監視制御部二重化状態→新ファームウェア二重化仮運用（連続運用モード）］
１）監視制御部正常二重化状態
試験開始前に新ソフトウェアをインストールする。図２９は監視制御部正常二重化状態を示す図である。監視制御部１と２は、共に旧版を用いて運用中である。
２）change version ＣＰＵ２コマンド実行（監視制御部二重化仮運用要求）
コマンド実行を契機に、新版立ち上げ側のＣＰＵの下記管理情報を更新し、ＳＴＢＹ−ＣＰＵをリセットすることで、新版ソフトウェアを立ち上げる。図３０はchange version（二重化仮運用要求）を示す図である。この場合には、コマンド種別が“５”となり、新版ファームウェア切り替え要求（二重化仮運用要求）を示している。監視制御部１は旧版で運用中であり、監視制御部２は新版で立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵへ切り替える。
【００２４】
図３１は新ファームウェアへの切り替えの説明図である。監視制御部２はＣＰＵ切り替えにより新版でのＡＣＴ系となり、監視制御部１はＣＰＵ切り替えにより旧版でのＳＴＢＹ系となる。
４）ＳＴＢＹ−ＣＰＵ（旧版）の運用を解除する。
【００２５】
ＡＣＴ−ＣＰＵは、ＣＰＵ一重化の運用状態に遷移する。ＳＴＢＹ−ＣＰＵ（旧版）を新版で仮運用するためＣＰＵリセットを行なう。図３２は旧ＡＣＴ監視制御部の新ファームウェアの立ち上げ開始の説明図である。監視制御部１はＣＰＵリセットとなり、監視制御部２は新版運用中となる。
５）監視制御部二重化仮運用
ＳＴＢＹ−ＣＰＵ立ち上げ完了を契機に、ＣＰＵ二重化の仮運用状態に遷移する。図３３は監視制御部二重化仮運用完了を示す図である。監視制御部１は新版で待機状態となり、監視制御部２は新版で運用中となる。
［（ｄ）監視制御部一重化仮運用→新ファームウェア二重化仮運用］
１）ＣＰＵ一重化仮運用状態
１．ＳＷＤＬ状態が正常に終了していることを確認する（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＣＯＭＰＬＥＴＥ）。
２．ＣＰＵ二重化時のＳＷＤＬによるＣＰＵ一重化仮運用状態（ＣＰＵ  ＳＴＡＴＵＳ＝ＣＯＭＰ）
図３４は監視制御部一重化仮運用状態の説明図である。監視制御部１は旧版で待機状態、監視制御部２は新版で運用中である。
２）change version  ＣＰＵ２コマンド実行
１．現在のＳＷＤＬ状態がＣＰＵ二重化仮運用状態へ遷移可能かどうかチェックする（ＣＰＵ  ＳＴＡＴＵＳ＝ＣＯＭＰ）。
２．ＳＷＤＬ  ＳＴＡＴＵＳをＳＷＤＬ中に更新する（ＣＯＭＰ→ＮＯＷ  ＳＷＤＬ）
３．ＳＷＤＬ  ＣＰＵ状態を、ＣＰＵ二重化仮運用待ち（ＣＯＭＰ→ＲＥＳＥＴ２）に変更する。
４．ＳＴＢＹ−ＣＰＵを新版で立ち上げるため、ＣＦ  バンクを新版に切り替え、ＣＰＵをリセットする。
５．ＣＰＵ立ち上げを契機に、ＣＦ  ＤＢをＲＡＭへ展開する時に新版ＤＢにコンバートされる。
【００２６】
図３５は一重化仮運用→二重化仮運用コマンド実行の説明図である。コマンド種別は“２”となりchange version2となり、新版ファームウェアへの切り替え要求を示している。監視制御部１はリセットされ、監視制御部２は新版立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵへ切り替える。
１．ＳＴＢＹ−ＣＰＵが正常に立ち上がり、ＣＰＵ二重化状態へ遷移したら、ＳＷＤＬ状態をコンプリート（ＣＯＭＰＬＥＴＥ）する。
２．現在のＳＷＤＬによるＣＰＵ状態が、ＣＰＵ二重化仮運用中の状態を設定する（ＲＥＳＥＴ２→ＣＯＭＰ２）。
【００２７】
図３６は監視制御部二重化仮運用の説明図である。監視制御部１はＣＰＵ切り替えによりＳＴＢＹモードとなり、監視制御部２はＣＰＵ切り替えによりＡＣＴモードとなる。
［（ｅ）監視制御部二重化仮運用→新ファームウェア一重化仮運用］
１）ＣＰＵ二重化による新版仮運用
ＣＰＵ二重化時のＳＷＤＬによるＣＰＵ二重化仮運用状態（ＣＰＵ  ＳＴＡＴＵＳ＝ＣＯＭＰ２）である。
【００２８】
図３７は監視制御部二重化仮運用状態の説明図である。監視制御部１は新版でのＳＴＢＹ状態にあり、監視制御部１は新版での運用中である。
２）change version  ＣＰＵ１コマンド実行
コマンド実行時にＳＷＤＬ  ＳＴＡＴＵＳ／ＣＰＵ  ＳＴＡＴＵＳを読み出して現在のＳＷＤＬ状態をチェックする。新版立ち上げ側のＣＰＵの下記管理情報を更新し、ＳＴＢＹ−ＣＰＵをリセットすることで、新版ソフトウェアを立ち上げる。図３８は二重化仮運用→一重化運用コマンド実行の説明図である。この状態では、監視制御部１，２共にコマンド種別は“１”であり、change version1であり、新版ファームウェア切り替え要求を示している。監視制御部１は旧版で運用中であり、監視制御部２は新版で立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵへ切り替える。
【００２９】
図３９は監視制御部一重化仮運用の説明図である。監視制御部１はＣＰＵ切り替えでＳＴＢＹモードとなっており、監視制御部２はＣＰＵ切り替えでＡＣＴモードとなっている。
［（ｆ）監視制御部一重化仮運用時のcancel version］
１）ＣＰＵ二重化による新版仮運用
１．ＣＰＵ二重化時のＳＷＤＬによるＣＰＵ二重化仮運用状態（ＣＰＵ  ＳＴＡＴＵＳ＝ＣＯＭＰ）である。図４０は監視制御部一重化仮運用状態の説明図である。監視制御部１は待機状態、監視制御部２は新版による新版運用中である。
２）cancel version  コマンド実行
１．コマンド実行時にＳＷＤＬ  ＳＴＡＴＵＳ／ＣＰＵ  ＳＴＡＴＵＳを読み出し、現在のＳＷＤＬ状態をチェックする。
２．ＡＣＴ−ＣＰＵ（新版）のＳＷＤＬ管理情報を旧版に切り戻す。
３．ＡＣＴ／ＳＴＢＹを切り替え、旧ＡＣＴ−ＣＰＵを旧版で立ち上げるためリセットする。
【００３０】
図４１は監視制御部一重化仮運用解除要求の説明図である。コマンド種別は“３”であり、cancel versionであり、旧ファームウェアへの切り戻し要求である。監視制御部１は旧版運用中であり、監視制御部２は新版立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵへ切り替える。
【００３１】
図４２は旧ファームウェアへの切り替えの説明図である。監視制御部１はＣＰＵ切り替えでＳＴＢＹモードとなり、監視制御部２はＣＰＵ切り替えでＡＣＴモードとなる。
４）旧ＡＣＴ−ＣＰＵを旧版で立ち上げる。
【００３２】
図４３は旧ファームウェアへの切り替えの説明図である。監視制御部１はＡＣＴモードに、監視制御部２はＳＴＢＹモードになる。
５）ＣＰＵ二重化完了で通常の状態に戻る。
【００３３】
図４４は監視制御部二重化状態の説明図（旧版）である。監視制御部１は旧版運用中であり、監視制御部２は新版待機状態である。
［（ｇ）監視制御部二重化仮運用時のcancel version］
１）ＣＰＵ二重化による新版仮運用
ＣＰＵ二重化時のＳＷＤＬによるＣＰＵ二重化仮運用状態（ＣＰＵ  ＳＴＡＴＵＳ＝ＣＯＭＰ２）。図４５は監視制御部二重化仮運用状態を示す図である。監視制御部１は新版による待機状態であり、監視制御部２は新版による新版運用中である。
２）change version  ＣＰＵ２コマンド実行
コマンド実行時にＳＷＤＬ  ＳＴＡＴＵＳ／ＣＰＵ  ＳＴＡＴＵＳを読み出し、現在のＳＷＤＬ状態をチェックする。新版立ち上げ側のＣＰＵの下記管理情報を更新し、ＳＴＢＹ−ＣＰＵをリセットすることで、新版ソフトウェアを立ち上げる。図４６は監視制御部二重化仮運用解除要求を示す図である。監視制御部１は旧版運用中であり、監視制御部２は新版立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵへ切り替える。図４７は新版（ＳＴＢＹ  ＣＰＵ）立ち上げ後新版ソフトウェアのＣＰＵへの切り替えの説明図である。監視制御部１はＣＰＵ切り替えによりＳＴＢＹとなり、監視制御部２はＣＰＵ切り替えによりＡＣＴとなる。
［（ｈ）監視制御部一重化運用時のaccept version］
１）監視制御部一重化仮運用状態
１．試験開始前に、新ソフトウェアがインストールされていることが必要である。
２．ＳＷＤＬ状態でないことを確認する（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＮＯＲＭＡＬ）
図４８は監視制御部一重化仮運用状態の説明図である。監視制御部１は旧版で運用中であり、監視制御部２は旧版で運用中である。
２）change version  コマンド実行
１．ＣＰＵ二重化中で、且つＳＷＤＬ状態でないことを確認する（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＮＯＲＭＡＬ）
２．ＳＷＤＬ  ＳＴＡＴＵＳをＳＷＤＬ中に更新する（ＮＯＲＭＡＬ→ＮＯＷ  ＳＷＤＬ）
３．ＳＷＤＬ  ＣＰＵ状態をＳＴＢＹ−ＣＰＵ新版立ち上げ待ち状態に設定する（ＮＯＲＭＡＬ→ＷＡＩＴ）
４．ＳＴＢＹ−ＣＰＵを新版で立ち上げるため、ＣＦ  バンクを新版に切り替え、ＣＰＵをリセットする。
５．ＣＰＵ立ち上げ契機に、ＣＦ  ＤＢをＲＡＭへ展開する時に、新版ＤＢにコンバートされる。
【００３４】
図４９はchange version コマンド実行の説明図である。監視制御部１は旧版で運用中であり、監視制御部２は新版立ち上げ中である。
３）ＳＴＢＹ監視制御部が新ファームウェアで立ち上げ後、新ファームウェアへの仮運用に切り替える。
１．ＳＴＢＹ監視制御部の新ファームウェア立ち上げ完了通知受信後、旧ファームウェア→新ファームウェアへの仮運用に切り替える。
【００３５】
図５０は新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトのＣＰＵへの切り替えの説明図である。監視制御部１はＣＰＵ切り替えでＳＴＢＹモード、監視制御部２はＣＰＵ切り替えでＡＣＴモードである。
４）ＳＴＢＹ−ＣＰＵ（旧版）の運用を解除する。
【００３６】
ＡＣＴ−ＣＰＵは、ＣＰＵ一重化の運用状態に遷移する。ＳＴＢＹ−ＣＰＵ（旧版）をリセットする。図５１はＳＴＢＹ−ＣＰＵ（旧版）の運用解除の説明図である。監視制御部１はＣＰＵリセットされ、監視制御部２は新版運用中である。
５）ＣＰＵ一重化仮運用状態
ＡＣＴ−ＣＰＵは、ＣＰＵ一重化の運用状態に遷移する。ＳＴＢＹ−ＣＰＵは立ち上げ完了（ＣＰＵは立ち上がっているが待機状態）する。図５２はＣＰＵ一重化仮運用状態の説明図である。監視制御部１は旧版で待機状態であり、監視制御部２は新版で運用中である。
［（ｉ）監視制御部二重化運用時のaccept version］
１）正常ＣＰＵ二重化状態
１．試験監視前に、新ソフトウェアがインストールされていることが必要である。
２．ＳＷＤＬ状態でないことを確認する（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＮＯＲＭＡＬ）
図５３は監視制御部正常二重化状態の説明図である。監視制御部１は新版で待機状態であり、監視制御部２は新版で運用中である。
２）change version  コマンド発行
１．ＣＰＵ二重化中で、且つＳＷＤＬ状態でないことを確認する（ＳＷＤＬ  ＳＴＡＴＵＳ＝ＮＯＲＭＡＬ）
２．ＳＷＤＬ  ＳＴＡＴＵＳをＳＷＤＬ中に更新する（ＮＯＲＭＡＬ→ＮＯＷ  ＳＷＤＬ）
３．ＳＷＤＬ  ＣＰＵ状態をＳＴＢＹ−ＣＰＵ新版立ち上げ待ち状態に設定する（ＮＯＲＭＡＬ→ＷＡＩＴ）
４．ＳＴＢＹ−ＣＰＵを新版で立ち上げるため、ＣＦバンクを新版に切り替え、ＣＰＵをリセットする。
５．ＣＰＵ立ち上げ契機に、ＣＦ  ＤＢをＲＡＭへ展開する時に新版ＤＢにコンバートされる。
【００３７】
図５４は二重化仮運用の定着要求の説明図である。監視制御部１は旧版で運用中であり、監視制御部２は新版立ち上げ中である。
３）新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトウェアのＣＰＵに切り替える。
【００３８】
図５５は新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトのＣＰＵへの切り替えの説明図である。監視制御部１はＣＰＵ切り替えによるＳＴＢＹモードであり、監視制御部２はＣＰＵ切り替えによるＡＣＴモードである。
４）ＳＴＢＹ−ＣＰＵ（旧版）の運用を解除する。
【００３９】
ＡＣＴ−ＣＰＵは、ＣＰＵ一重化の運用状態に遷移する。ＳＴＢＹ−ＣＰＵ（旧版）をリセットする。図５６はＳＴＢＹ−ＣＰＵ（旧版）の運用解除の説明図である。監視制御部１はＣＰＵリセット、監視制御部２は新版運用中である。
５）ＣＰＵ一重化仮運用状態
ＡＣＴ−ＣＰＵは、ＣＰＵ一重化の運用状態に遷移する。ＳＴＢＹ−ＣＰＵは立ち上げ完了（ＣＰＵは立ち上がっているが待機状態）である。図５７はＣＰＵ一重化仮運用状態の説明図である。監視制御部１は旧版で待機状態であり、監視制御部２は新版で運用中である。
【００４０】
次に、本発明の具体的な実施の形態例について説明する。図５８は本発明の一実施の形態例を示すブロック図である。図において、１は前述した監視制御部であり、監視制御部１と監視制御部２の二重化構成となっている。図には、ＣＰＵ（１）とＣＰＵ（２）が示されているが、監視制御部１，監視制御部２と同じ意味である。２はラインユニット（ＬＩＵ）と呼ばれる信号制御部であり、図では（１）〜（８）まで最大８ユニットが設けられている。３はスイッチ（Ｓｗｉｔｃｈ）と呼ばれる装置であり、各ＬＩＵで入出力するパスで障害が発生した場合にパスを切り替える装置である。４は監視制御部１と上述した監視制御部２とスイッチ３間を接続するＬＡＮである。５は転送ソフトウェアを保持するワークステーション又はパソコン（ＰＣ）を示す。６は上記のワークステーション５と装置間のＦＴＰを実現する装置（ＣＯＭ）であり、この装置へ接続することで、装置内ＬＡＮ７，８を介して後述するＲＡＭ  ＤＩＳＫへアクセスすることができる。
【００４１】
監視制御装置１において、１ａはパワーオン時にデバイスやＯＳの起動を行なうソフトウェア（Ｂｏｏｔ）、１ｂはＲＡＭ  ＤＩＳＫであり、ネットワーク経由でソフトウェアを転送した場合に一時的に使用するメモリである。メモリ１ｂはユーザが使用できる領域である。１ｃはＷｏｒｋ（ワーク）  ＲＡＭ  ＤＩＳＫであり、ソフトウェアがＣＰＵ上で動作するのに使用するメモリであり、ユーザからは見えない。１ｄはフラッシュメモリであり、ソフトウェアやデータベースを管理するメモリである。パワーオン時やＳＷＤＬ時は、ここに保管されているソフトウェアをワークＲＡＭ１ｃに展開して立ち上げるようになっている。
【００４２】
次に、信号制御部２において、２ａはパワーオン時にデバイスやＯＳの起動を行なうソフトウェア（Ｂｏｏｔ）である。２ｂは信号制御部で動作するソフトウェアを管理するＦＬＡＳＨメモリ、２ｃはＷｏｒｋ  ＲＡＭであり、信号制御部で動作するソフトウェアをＦＬＡＳＨからＲＡＭへロードするメモリである。このように構成されたシステムの動作を以下に説明する。
〈ＳＷＤＬデータ（新ソフトウェア）の流れ〉
図５９，図６０はＳＷＤＬ（新ソフトウェア）の流れを示す図である。
１）新ソフトウェアをネットワーク経由で転送（ＦＴＰ）する（ソフトウェア：圧縮ファイル）。転送されたファイルは、ＡＣＴ−ＣＰＵのＲＡＭ  Ｄｉｓｋに書き込まれる（図〔１〕参照）。この時、ＳＴＢＹ−ＣＰＵとＬＩＵは１−８はＡＣＴ−ＣＰＵによる状態監視中である。
２）新ソフトウェアのダウンロード要求（インストールコマンド）によりＲＡＭ  Ｄｉｓｋ上のソフトウェアを解凍後、３）ＡＣＴ−ＣＰＵのＣｏｍｐａｃｔ  Ｆｌａｓｈ（ＳＴＢＹ面）へ書き込み、次に４）ＳＴＢＹ−ＣＰＵのＣｏｍｐａｃｔ  Ｆｌａｓｈ（ＳＴＢＹ面）へ書き込む（図〔２〕参照）。この時、ＬＩＵのＦｌａｓｈ  メモリは１面管理のために書き込まない。
５）新ソフトウェアへの切り替え要求（change versionコマンド）を受け付けると、６）ＬＩＵ１−８に対して新ソフトウェアをダウンロード（Ｆｌａｓｈ書き込み）する。新ソフトウェアの書き込みが完了したらＬＩＵをソフトウェア・リセットする（ハードウェアＩ／Ｏはリセットしないため信号断は発生しない）。７）ＬＩＵはＦｌａｓｈ上のソフトウェアをＷｏｒｋ  ＲＡＭへ展開して立ち上がる。もし、全てのＬＩＵが新ソフトウェアで立ち上がったら、８）ＡＣＴ−ＣＰＵは二重化状態から一重化状態に変更後（ＳＴＢＹ−ＣＰＵの状態監視を解除する）、９）ＳＴＢＹ−ＣＰＵに対して新ソフトウェアの立ち上げを要求する。１０）ＳＴＢＹ−ＣＰＵは、新ソフトウェア（Ｃｏｍｐａｃｔ  Ｆｌａｓｈ）をＡＣＴ面に切り替え、ＣＰＵをソフト・リセットし、新ソフトウェアを立ち上げる（図〔３〕参照）
１１）ＳＴＢＹ−ＣＰＵが新ソフトウェアで立ち上がったなら、新ソフトウェア立ち上げ完了通知をＡＣＴ−ＣＰＵへ送信する（図〔４〕参照）。
１２）１１）の通知を受信後、ＡＣＴ−ＣＰＵは新ソフトウェアを運用させるために、ＳＴＢＹ−ＣＰＵをＳＴＢＹ−ＡＣＴへ切り替えを行なう（ＣＰＵ切り替え後は、新ソフトウェアによる新ＡＣＴ−ＣＰＵ一重化運用状態になる）。１３）ＡＣＴ／ＳＴＢＹ−ＣＰＵ切り替えにより、ＬＩＵ１−８の状態監視は、旧ＡＣＴ−ＣＰＵから新ＡＣＴ−ＣＰＵに切り替わる（右側の新ＡＣＴ−ＣＰＵは新ソフトウェアで仮運用中／左側の旧ＡＣＴ−ＣＰＵは旧ソフトウェアで立ち上がっている状態となる。図〔５〕参照）。
【００４３】
図５９，図６０は、既存のソフトウェア・ダウンロード時のＳＷＤＬデータの流れについての説明である。下記では、コマンドによる新ソフトウェアの定着及び旧ソフトウェアへの切り戻し時の処理の動きについて説明する。
（新ソフトウェアを定着させる場合）
ＡＣＴ−ＣＰＵ（新ソフトウェア）で新ソフトウェア定着要求（accept versionコマンド）を受け付けると、ＳＴＢＹ−ＣＰＵの新ソフトウェアをＡＣＴ面に切り替え、ＣＰＵをリセットすることで新ソフトウェアを立ち上げる（ＳＴＢＹ−ＣＰＵをリセット後、ＣＰＵ二重化待ち状態に変更）。ここで、ＳＴＢＹ−ＣＰＵが新ソフトウェアで立ち上がってきたら、ＣＰＵ二重化状態へ遷移する。ＳＴＢＹ−ＣＰＵは、ＡＣＴ−ＣＰＵによる状態監視になる。
（旧ソフトウェアへ切り戻す場合）
ＡＣＴ−ＣＰＵ（新ソフトウェア）で新ソフトウェア解除要求（cancel versionコマンド）を受け付けると、自ＣＰＵ（ＡＣＴ−ＣＰＵ）の旧ソフトウェアをＡＣＴ面に変更（Ｃｏｍｐａｃｔ  Ｆｌａｓｈ）し、旧ソフトウェアが動作中のＳＴＢＹ−ＣＰＵをＡＣＴ−ＣＰＵに切り替える。新ＡＣＴ−ＣＰＵは、ＳＴＢＹ−ＣＰＵとの二重化待ち状態に変更する。ＳＴＢＹ−ＣＰＵが立ち上がってきたら、ＣＰＵ二重化状態へ遷移する。この時、ＳＴＢＹ−ＣＰＵは、ＡＣＴ−ＣＰＵによる状態監視になる。
〈ＣＰＵ二重化仮運用までにＣＰＵ１／ＣＰＵ２間で連携するデータ〉
図６１，図６２はＣＰＵ二重化仮運用までにＣＰＵ１／ＣＰＵ２間でのデータの連携を示すフローチャートである。最初はＣＰＵ１はＡＣＴ状態、ＣＰＵ２はＳＴＢＹ状態にあるものとする。ＣＰＵ１側は、ＳＷＤＬ状態、監視制御部状態共にＮＯＲＭＡＬであるものとする（Ｓ１，Ｓ２）。ここで、ＣＰＵ１側にchange version３が入力されると（Ｓ３）、ＣＰＵ１側は実行コマンド種別は“２”、ＳＷＤＬ状態は  ＮＯＷ  ＳＷＤＬ、ソフト管理面Ｂ（新）、監視制御部状態がＷＡＩＴとなり、対向ＣＰＵの新版立ち上げ完了待ちとなる（Ｓ４）。ＣＰＵ１はＣＰＵ２に対して管理情報の更新要求を行なう（Ｓ５）。この結果、ＣＰＵ２は、ＣＰＵ１のステップＳ４の内容がコピーされたものとなる（Ｓ６）。
【００４４】
次に、ＣＰＵ１からＣＰＵ２に対してＳＴＢＹ−ＣＰＵリスタート（Ｒｅｓｔａｒｔ）要求が出される（Ｓ７）。ＣＰＵ２では、リスタートが実施される（Ｓ８）。次に、ＣＰＵ２はＣＰＵ１に対して新ソフトウェアによる立ち上げ完了通知を出す（Ｓ９）。この通知を受けて、ＣＰＵ１側では監視制御部状態がＳＷＩＴＣＨとなり、ＣＰＵ切り替えが開始される（Ｓ１０）。次に、ＣＰＵ１側からＣＰＵ２側に対して監視制御部状態をＳＷＩＴＣＨに更新する通知が出される（Ｓ１１）。この通知を受けて、ＣＰＵ２側も監視制御部状態がＳＷＩＴＣＨとなり、ＣＰＵ切り替え完了待ちとなる（Ｓ１２）。
【００４５】
この間に、ＣＰＵ１側ではＣＰＵ切り替えが実行される（Ｓ１３）。そして、ＣＰＵ１とＣＰＵ２間で、ＡＣＴ／ＳＴＢＹ−ＣＰＵ切り替えが行われる（Ｓ１４）。その後、ＣＰＵ１側では、ＣＰＵ切り替えが完了する（Ｓ１５）。この結果、ＣＰＵ１側は、監視制御部状態がＲＥＳＥＴとなり、ＣＰＵ切り替えが完了し、自ＣＰＵ新ソフトウェアが立ち上がる（Ｓ１６）。次に、ＣＰＵ１側からＣＰＵ２側に対して監視制御部状態をＲＥＳＥＴに更新する通知がなされる（Ｓ１７）。この結果、ＣＰＵ２側は監視制御部状態がＲＥＳＥＴとなり、対向ＣＰＵの立ち上げ完了待ち状態となる（Ｓ１８）。
【００４６】
この間に、ＣＰＵ１側ではリスタートを実施する（Ｓ１９）。そして、ＣＰＵ１側からＣＰＵ２側に対して新ソフトウェアによる立ち上げ完了通知が出される（Ｓ２０）。この通知を受けたＣＰＵ２側では、監視制御部状態がＣＯＭＰ２となり、監視制御部が二重化され、仮運用状態へ遷移する（Ｓ２１）。次に、ＣＰＵ２側からＣＰＵ１側に対してＳＷＤＬ完了状態に遷移する通知が出され（Ｓ２２）、ＣＰＵ１側は監視制御部状態がＣＯＭＰ２となり、監視制御部二重化、仮運用状態へ遷移する（Ｓ２３）。
【００４７】
次に、新ソフトウェアによるＣＰＵ二重化仮運用時にハードウェア障害を検出した時、どのようにして新ソフトウェア運用解除をスキップするかについて説明する。ハードウェアスキップ機能を実現するにあたり、以下の管理情報／メッセージを保持・使用する。
〈ハードウェア障害による新ソフトウェア仮運用解除スキップを管理するデータ〉
図６３は監視制御部ステータスを示す図である。ステータスがＣＯＭＰ３の場合は、二重化仮運用モードへ遷移後の障害検出なので、新ソフトウェアによる仮運用解除をスキップする（新ソフトウェアによる仮運用を継続）。ステータスがＣＯＭＰ３以外の場合、二重化仮運用モードへ遷移前の障害検出なので、新ソフトウェアによる仮運用を解除する（旧ソフトウェアに切り戻す）。
【００４８】
図６４は自装置ハード状態フラグを示す図である。ハード障害情報が正常（＝“０”）である場合、監視制御部のハードウェアが正常な状態である。ハード障害情報が異常（＝“１”）の場合、監視制御部でハードウェアに異常を検出した場合は、異常を検出した機能ブロックにてハードウェア異常情報（“１”）を設定する。
【００４９】
図６５は対向装置ハード状態フラグを示す図である。対向装置フラグが正常（＝“０”）である場合、対向する監視制御部のハードウェアが正常な状態である。対向装置フラグが異常（＝“１”）である場合、対向する監視制御部のハードウェアに障害発生を、ＣＰＵ，ハードエラー，メッセージ受信により対向装置のハード異常フラグを認識する。
【００５０】
図６６は自装置ハード障害通知メッセージを示す図である。メッセージの名称がＣＰＵ_ＨＡＲＤ_ＥＲＲＯＲ_ＭＳＧである場合、メッセージの機能は、監視制御部が周期により、図６４の２のハード異常を検出した時、自監視制御部状態がＣＯＭＰ３（図１８参照）であれば、二重化仮運用を構成する対向監視制御部に対して障害を通知するメッセージである。ここで、メッセージ送信パターンは２種類あり、ＡＣＴ−ＣＰＵ→ＳＴＢＹ−ＣＰＵと、ＳＴＢＹ−ＣＰＵ→ＡＣＴ−ＣＰＵである。
〈ハード障害検出と新ソフトウェア仮運用解除スキップ動作〉
本機能は、監視制御部二重化仮運用中にハード障害を検出した場合、どのようにして新ソフトウェア仮運用の解除をスキップさせるかについてその論理について説明する。
（ＳＴＢＹ−ＣＰＵ側でハード障害を検出した場合の動作）
図６７，６８はＳＴＢＹ−ＣＰＵ側でハード障害を検出した場合の動作フローを示す図である。
１．監視制御部（ＣＰＵ）二重化仮運用中状態
各監視制御部は、新ソフトウェアによる二重化仮運用中状態（ＣＯＭＰ３）の時、ＡＣＴ−ＣＰＵはＳＴＢＹ−ＣＰＵの状態監視中である（図〔１〕参照）。
２．監視制御部二重化仮運用中にＡＣＴ−ＣＰＵでハード障害を検出
ＳＴＢＹ−ＣＰＵ側でハード障害を検出した場合、障害を検出した装置のハード異常（“１”）フラグを設定する（図〔２〕参照）。
３．監視制御部による周期処理で、ＳＴＢＹ−ＣＰＵのハード障害を検出
ハード障害を検出後、対向する監視制御部に対して、自装置の障害情報をＣＰＵ_ＨＡＲＤ_ＥＲＲＯＲ_ＭＳＧにより障害通知を送信する。このメッセージを受信したＡＣＴ−ＣＰＵは、対向装置のハード異常状態を設定する（図〔３〕参照）。
４．ハード障害を検出した装置は自監視制御部をフォールト（ＦＡＵＬＴ）にする。
【００５１】
自装置のハード障害メッセージを送信後、自装置をハード障害によるフォールトを発生させる（図〔４〕参照）。
５．対向監視制御部フォールト検出後、自装置の振る舞いを決定する。
【００５２】
対向する監視制御部のフォールト検出後、監視制御部状態により次動作を決定する。監視制御部状態＝ＣＯＭＰ３の場合、新ソフトウェアを継続して使用する。監視制御部状態＝ＣＯＭＰ３以外の場合、新ソフトウェアを旧版数へ切り戻す（図〔５〕参照）。
【００５３】
以上、詳細に説明したように、本発明によれば、新ファームウェアでの連続運転での機能評価を十分に行なうことができると共に、二重化構成での新ファームウェア検証を行なうことができる。
【００５４】
（付記１）
アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なう場合において、
アクト系とスタンバイ系とを双方とも新版にした状態で動作させ、
ソフトウェア障害が発生した場合には、旧版に戻し、
ハードウェア障害が発生した場合には、旧版には戻さず新版での動作を続行する
ようにしたことを特徴とする装置の二重化仮運用方法。
【００５５】
（付記２）
ＬＡＮで接続され、それぞれがアクト系とスタンバイ系として動作する装置と、
これら装置とＬＡＮを介して接続される信号制御部とを具備し、
前記装置内には、パワーオン時にデバイスやＯＳの起動を行なうブート手段と、
ワークエリアとして、また転送データを一時的に使用し、またソフトウェアやデータベースを管理する機能を持つメモリと、
を有し、
アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なうように構成されたことを特徴とする装置の二重化システム。
【００５６】
（付記３）
前記アクト系とスタンバイ系とを双方とも新版にした状態で動作させ、ソフトウェア障害が発生した場合には、旧版に戻し、ハードウェア障害が発生した場合には、旧版には戻さず新版での動作を続行するようにしたことを特徴とする付記２記載の装置の二重化システム。
【００５７】
（付記４）
アクト系装置とスタンバイ系装置とが、新版と旧版のソフトウェアを具備し、アクト系とスタンバイ系とで旧版と新版の切り替え運用を行なう場合において、
旧ソフトウェア二重化仮運用から、新ソフトウェア一重化仮運用、新ソフトウェア二重化仮運用（連続運用モード）、新ソフトウェア二重化仮運用（非連続運用モード）のうちの何れかを選択することができるようにしたことを特徴とする装置の二重化仮運用方法。
【００５８】
（付記５）
新ソフトウェア運用中に、ソフトウェアの運用モードを非連続運用モードと連続運用モードとの間で切り替えることができるようにしたことを特徴とする付記４記載の装置の二重化仮運用方法。
【００５９】
（付記６）
新ソフトウェア運用中に、一重化仮運用と二重化仮運用を変更可能にしたことを特徴とする付記４記載の装置の二重化仮運用方法。
【００６０】
（付記７）
新ソフトウェア二重化仮運用中時に、信号断が発生しない新版ソフトウェアから旧ソフトウェアへの切り替えを可能としたことを特徴とする付記４記載の装置の二重化仮運用方法。
【００６１】
（付記８）
新ソフトウェア二重化仮運用時の、新ソフトウェア定着を可能としたことを特徴とする付記４記載の装置の二重化仮運用方法。
【００６２】
（付記９）新ソフトウェア（一重化又は二重化）仮運用中に、新ソフトウェア一重化仮運用又は、新ソフトウェア二重化仮運用状態に切り替えることができるようにしたことを特徴とする請求項１記載の装置の二重化仮運用方法
【図面の簡単な説明】
【００６３】
【図１】監視制御部二重化時の動作仕様を示す図である。
【図２】新ファームウェアによる監視制御部一重化仮運用を示す図である。
【図３】新ファームウェアによる監視制御部一重化仮運用を示す図である。
【図４】実行コマンド種別を示す図である。
【図５】ＳＷＤＬ状態一覧を示す図である。
【図６】ソフト管理面情報を示す図である。
【図７】監視制御部の状態一覧を示す図である。
【図８】監視制御部二重化時の動作仕様（タイプ１）を示す図である。
【図９】監視制御部二重化時の動作仕様（タイプ２）を示す図である。
【図１０】新ファームウェアによる監視制御部一重化仮運用（既存）を示す図である。
【図１１】新ファームウェアによる監視制御部二重化仮運用（新）を示す図である。
【図１２】新ファームウェアによる監視制御部一重化仮運用（既存）を示す図である。
【図１３】新ファームウェアによる監視制御部二重化仮運用（新）を示す図である。
【図１４】ＳＷＤＬ管理情報構造を示す図である。
【図１５】実行コマンド種別を示す図である。
【図１６】ＳＷＤＬ状態一覧を示す図である。
【図１７】ソフト管理面情報を示す図である。
【図１８】監視制御部状態一覧を示す図である。
【図１９】監視制御部正常二重化状態の説明図である。
【図２０】change version実行の説明図である。
【図２１】新ファームウェアへの切り替えの説明図である。
【図２２】旧ＡＣＴ監視制御部の運用解除の説明図である。
【図２３】新ＡＣＴ監視制御部による一重化仮運用の説明図である。
【図２４】監視制御部正常二重化状態の説明図である。
【図２５】change vesion（二重化仮運用要求）の説明図である。
【図２６】新ファームウェアへの切り替えの説明図である。
【図２７】旧ＡＣＴ監視制御部の新ファームウェア立ち上げ開始の説明図である。
【図２８】監視制御部二重化仮運用完了の説明図である。
【図２９】監視制御部正常二重化状態を示す図である。
【図３０】change version（二重化仮運用要求）を示す図である。
【図３１】新ファームウェアへの切り替えの説明図である。
【図３２】旧ＡＣＴ監視制御部の新ファームウェアの立ち上げ開始の説明図である。
【図３３】監視制御部二重化仮運用を示す図である。
【図３４】監視制御部一重化仮運用状態の説明図である。
【図３５】一重化仮運用→二重化仮運用コマンド実行の説明図である。
【図３６】監視制御部二重化仮運用の説明図である。
【図３７】監視制御部二重化仮運用状態の説明図である。
【図３８】二重化仮運用→一重化仮運用コマンド実行の説明図である。
【図３９】監視制御部一重化仮運用の説明図である。
【図４０】監視制御部一重化仮運用状態の説明図である。
【図４１】監視制御部一重化仮運用解除要求の説明図である。
【図４２】旧ファームウェアへの切り替え要求の説明図である。
【図４３】旧ファームウェアへの切り替えの説明図である。
【図４４】監視制御部二重化状態の説明図（旧版）である。
【図４５】監視制御部二重化仮運用状態を示す図である。
【図４６】監視制御部二重化仮運用解除要求を示す図である。
【図４７】新版（ＳＴＢＹ  ＣＰＵ）立ち上げ後新版ソフトのＣＰＵへの切り替えの説明図である。
【図４８】監視制御部一重化仮運用状態の説明図である。
【図４９】change vesionコマンド実行の説明図である。
【図５０】新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトのＣＰＵへの切り替えの説明図である。
【図５１】ＳＴＢＹ−ＣＰＵ（旧版）の運用解除の説明図である。
【図５２】ＣＰＵ一重化管理運用状態の説明図である。
【図５３】監視制御部正常二重化状態の説明図である。
【図５４】二重化仮運用の定着要求の説明図である。
【図５５】新版（ＳＴＢＹ−ＣＰＵ）立ち上げ後、新版ソフトのＣＰＵへの切り替えの説明図である。
【図５６】ＳＴＢＹ−ＣＰＵ（旧版）の引用解除の説明図である。
【図５７】ＣＰＵ一重化運用状態の説明図である。
【図５８】本発明の一実施の形態例を示すブロック図である。
【図５９】ＳＷＤＬ（新ソフトウェア）の流れを示す図である。
【図６０】ＳＷＤＬ（新ソフトウェア）の流れを示す図である。
【図６１】ＣＰＵ二重化運用までにＣＰＵ１／ＣＰＵ２間でのデータの連携を示すフローチャートである。
【図６２】ＣＰＵ二重化運用までにＣＰＵ１／ＣＰＵ２間でのデータの連携を示すフローチャートである。
【図６３】監視制御部ステータスを示す図である。
【図６４】自装置ハード状態フラグを示す図である。
【図６５】対向装置ハードウェア状態フラグを示す図である。
【図６６】自装置ハード障害通知メッセージを示す図である。
【図６７】ＳＴＢＹ−ＣＰＵ側でハード障害を検出した場合の動作フローを示す図である。
【図６８】ＳＴＢＹ−ＣＰＵ側でハード障害を検出した場合の動作フローを示す図である。
【符号の説明】
【００６４】
１    監視制御部
１ａ  Ｂｏｏｔ
１ｂ  ＲＡＭ  ＤＩＳＫメモリ
１ｃ  Ｗｏｒｋメモリ
１ｄ  フラッシュメモリ
２    信号制御部
２ａ  Ｂｏｏｔ
２ｂ  フラッシュメモリ
２ｃ  Ｗｏｒｋ  ＲＡＭ
３    スイッチ装置
４    ＬＡＮ
５    パソコン
６    ＦＴＰ実現装置
７    ＬＡＮ
８    ＬＡＮ
【図１】
2007257447.tif 000003
【図２】
2007257447.tif 000004
【図３】
2007257447.tif 000005
【図４】
2007257447.tif 000006
【図５】
2007257447.tif 000007
【図６】
2007257447.tif 000008
【図７】
2007257447.tif 000009
【図８】
2007257447.tif 000010
【図９】
2007257447.tif 000011
【図１０】
2007257447.tif 000012
【図１１】
2007257447.tif 000013
【図１２】
2007257447.tif 000014
【図１３】
2007257447.tif 000015
【図１４】
2007257447.tif 000016
【図１５】
2007257447.tif 000017
【図１６】
2007257447.tif 000018
【図１７】
2007257447.tif 000019
【図１８】
2007257447.tif 000020
【図１９】
2007257447.tif 000021
【図２０】
2007257447.tif 000022
【図２１】
2007257447.tif 000023
【図２２】
2007257447.tif 000024
【図２３】
2007257447.tif 000025
【図２４】
2007257447.tif 000026
【図２５】
2007257447.tif 000027
【図２６】
2007257447.tif 000028
【図２７】
2007257447.tif 000029
【図２８】
2007257447.tif 000030
【図２９】
2007257447.tif 000031
【図３０】
2007257447.tif 000032
【図３１】
2007257447.tif 000033
【図３２】
2007257447.tif 000034
【図３３】
2007257447.tif 000035
【図３４】
2007257447.tif 000036
【図３５】
2007257447.tif 000037
【図３６】
2007257447.tif 000038
【図３７】
2007257447.tif 000039
【図３８】
2007257447.tif 000040
【図３９】
2007257447.tif 000041
【図４０】
2007257447.tif 000042
【図４１】
2007257447.tif 000043
【図４２】
2007257447.tif 000044
【図４３】
2007257447.tif 000045
【図４４】
2007257447.tif 000046
【図４５】
2007257447.tif 000047
【図４６】
2007257447.tif 000048
【図４７】
2007257447.tif 000049
【図４８】
2007257447.tif 000050
【図４９】
2007257447.tif 000051
【図５０】
2007257447.tif 000052
【図５１】
2007257447.tif 000053
【図５２】
2007257447.tif 000054
【図５３】
2007257447.tif 000055
【図５４】
2007257447.tif 000056
【図５５】
2007257447.tif 000057
【図５６】
2007257447.tif 000058
【図５７】
2007257447.tif 000059
【図５８】
2007257447.tif 000060
【図５９】
2007257447.tif 000061
【図６０】
2007257447.tif 000062
【図６１】
2007257447.tif 000063
【図６２】
2007257447.tif 000064
【図６３】
2007257447.tif 000065
【図６４】
2007257447.tif 000066
【図６５】
2007257447.tif 000067
【図６６】
2007257447.tif 000068
【図６７】
2007257447.tif 000069
【図６８】
2007257447.tif 000070