JP5966181B2

JP5966181B2 - Redundant device and power supply stopping method

Info

Publication number: JP5966181B2
Application number: JP2012104431A
Authority: JP
Inventors: 英剛仲井; 中野　義弘; 義弘中野; 久徳沖林; 修一岡崎
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2012-05-01
Filing date: 2012-05-01
Publication date: 2016-08-10
Anticipated expiration: 2032-05-01
Also published as: JP2013232142A

Description

本発明は、冗長化構成の２台の装置間における構成制御技術に関する。 The present invention relates to a configuration control technique between two devices in a redundant configuration.

冗長化構成では、ネットワークに接続する同一構成の２台の装置を待機冗長化して、いずれか一方を主系、他方を従系とし、通常は主系のみで動作し、主系に異常が生じたときに、従系を主系に切り替える構成制御技術が使われている。 In a redundant configuration, two devices with the same configuration connected to the network are made standby redundant, with either one serving as the primary system and the other as the secondary system. In this case, a configuration control technique for switching the slave system to the master system is used.

例えば、特許文献１には、待機冗長化された２台の計算機間を２本のＬＡＮ（Local Area Network）で接続し、一方のＬＡＮには生存通知文を送信して、その生存通知文が届かなくなると相手側の計算機に障害が発生したと判定する。そして、他方のＬＡＮを用いて、相手側の計算機に対してＣＰＵ（Central Processing Unit）再起動（リセット）要求を送信する技術が開示されている（段落００２０，００２２，００４６，図７等参照）。 For example, in Patent Document 1, two computers with standby redundancy are connected by two LANs (Local Area Networks), a survival notification sentence is transmitted to one LAN, and the survival notification sentence is If it does not reach, it is determined that a failure has occurred in the partner computer. A technique for transmitting a CPU (Central Processing Unit) restart (reset) request to a counterpart computer using the other LAN is disclosed (see paragraphs 0020, 0022, 0046, FIG. 7, etc.). .

また、特許文献２には、主系の計算機（文献中では、コンピュータ）と従系の計算機との間を、相互監視用の信号線とリモートリセット用の信号線とで接続し、主系の計算機が一定周期で信号線の状態を変化させ、この変化を従系の計算機が監視し、一定時間内に状態変化がなければ主系の計算機に異常が発生したと判定する。そして、リモートリセット用の信号線を用いて、従系の計算機から主系の計算機をリモートリセットする技術が開示されている（段落００１０，００１１，００１９等参照）。 In Patent Document 2, a main computer (computer in the literature) and a slave computer are connected to each other by a signal line for mutual monitoring and a signal line for remote reset. The computer changes the state of the signal line at a constant cycle, and this change is monitored by the slave computer. If the state does not change within a predetermined time, it is determined that an abnormality has occurred in the main computer. A technique for remotely resetting a primary computer from a secondary computer using a signal line for remote reset is disclosed (see paragraphs 0010, 0011, 0019, etc.).

特開２００７−０５８７０８号公報JP 2007-058708 A 特開平１０−０２１２０２号公報Japanese Patent Laid-Open No. 10-021202

しかしながら、特許文献１，２に記載の技術は、冗長化している相手側の計算機から信号を検知できなくなったことしか障害発生に関する判定に用いておらず、正しく構成制御を実行できない虞がある。例えば、冗長化している相手側の計算機から信号を検知できなくなるケースは、相手側の計算機に異常が発生した場合以外にも、通信線に障害（例えば、断線やコネクタ外れ）が発生している場合や、自身の計算機の受信機能に障害が発生している場合が考えられる。仮に、相手側の計算機に異常が発生していないにもかかわらず、リセット信号（例えば、再起動や停止）を相手側の計算機に送信してしまった場合には、目的通りに構成制御を行えていないことになる。 However, the techniques described in Patent Documents 1 and 2 use only the determination that a signal cannot be detected from a redundant partner computer for determination on the occurrence of a failure, and there is a possibility that configuration control cannot be performed correctly. For example, in a case where a signal cannot be detected from a redundant partner computer, a failure (for example, disconnection or connector disconnection) has occurred in the communication line other than when an abnormality has occurred in the partner computer. In some cases, a failure may occur in the reception function of its own computer. If a reset signal (for example, restart or stop) is sent to the partner computer even though there is no problem with the partner computer, configuration control can be performed as intended. Will not be.

また、特許文献１，２に記載の技術では、障害（異常）が発生したと判定された相手側の計算機に対してリセット信号を送信したとしても、相手側の計算機が正しくリセット信号を受信できる状態にあるのか否かが確認できていない。そのため、相手側の計算機が正しくリセット信号を受信できる状態にない場合には、リセット信号を相手側の計算機に送信したとしても、相手側の計算機をリセットできていない虞がある。つまり、目的通りに構成制御を行うことができていない虞がある。 Further, in the techniques described in Patent Documents 1 and 2, even if a reset signal is transmitted to the counterpart computer that is determined to have a failure (abnormality), the counterpart computer can correctly receive the reset signal. Whether or not it is in a state has not been confirmed. For this reason, if the partner computer is not in a state where it can correctly receive the reset signal, even if the reset signal is transmitted to the partner computer, the partner computer may not be reset. That is, there is a possibility that the configuration control cannot be performed as intended.

特に、相手側の計算機を誤ってリセット（再起動や停止）させないようにするための技術については、特許文献１，２には記載されていない。 In particular, Patent Documents 1 and 2 do not describe a technique for preventing the counterpart computer from being reset (restarted or stopped) by mistake.

そこで、本発明では、目的通りに構成制御を行う技術を提供することを課題とする。 Accordingly, an object of the present invention is to provide a technique for performing configuration control as intended.

前記課題を解決するために、本発明の二重化装置は、第１の装置と第２の装置とが冗長化構成された二重化装置であって、前記第１の装置と前記第２の装置との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部が正常に動作しているか否か、および前記ネットワークが断線しているか否かを監視し、自身の前記ネットワーク用通信部が正常であることおよび前記ネットワークが断線していないことを確認して、前記第２の装置の異常と判定するネットワーク接続監視部と、前記第１の装置と前記第２の装置とが相互監視を行うために接続する複数の制御線であって、制御線の前記第１の装置への接続状態を表わす自系ケーブル接続状態を電位により判定する制御線と、制御線の前記第２の装置への接続状態を表わす他系ケーブル接続状態を電位により判定する制御線と、前記第２の装置の電源状態を受信する制御線と、を含む複数の制御線と、前記第２の装置の異常と判定されたとき、前記第１の装置と前記第２の装置との間で制御線を介して、前記第２の装置の電源がＯＮ状態であることを確認する電源監視部と、前記第２の装置の異常と判定され、前記第２の装置の電源がＯＮ状態であることを確認され、前記他系ケーブル接続状態が接続のときに、前記制御線を介して、前記第２の装置の電源を停止する情報を送信する信号発生部と、
を備えることを特徴とする。 In order to solve the above-mentioned problem, a duplexing device according to the present invention is a duplexing device in which a first device and a second device are configured in a redundant manner, and includes a first device and a second device. To check whether the network communication section that normally transmits and receives the survival information via the network in a predetermined cycle is operating normally and whether the network is disconnected. Confirming that the network communication unit is normal and that the network is not disconnected, and determining that the second device is abnormal, the network connection monitoring unit, the first device, a plurality of control lines and the second device is connected in order to perform mutual monitoring, control lines determines autologous cable connection state representing a connection state of the to the first device of the control line by the potential And the control line And determining the control line by a potential of the other-system cable connection state representing a connection to the serial second device, and a control line for receiving the power state of the second device, a plurality of control lines including, When it is determined that the second device is abnormal, it is confirmed that the power supply of the second device is in an ON state via a control line between the first device and the second device. a power monitoring unit, it is determined that abnormality in the second device, the power source of the second device is confirmed to be oN state, when the other-system cable connection state of the connection, the control line A signal generator for transmitting information for stopping the power supply of the second device via
It is characterized by providing.

本発明によれば、目的通りに構成制御を行う技術を提供することができる。 According to the present invention, it is possible to provide a technique for performing configuration control as intended.

冗長化された二重化装置の構成例および機能例を示す図である。It is a figure which shows the structural example and functional example of a redundant duplication apparatus. 信号発生部の診断例を示す図である。It is a figure which shows the example of a diagnosis of a signal generation part. 装置の異常個所を特定した判定結果およびリセットホールド信号の対応例を示す図である。It is a figure which shows the corresponding example of the determination result which specified the abnormal location of the apparatus, and a reset hold signal. 制御線のケーブル障害監視判定フロー例を示す図である。It is a figure which shows the example of a cable fault monitoring judgment flow of a control line.

次に、本発明を実施するための形態（以降、「本実施形態」と称す。）について、適宜図面を参照しながら詳細に説明する。 Next, a mode for carrying out the present invention (hereinafter referred to as “the present embodiment”) will be described in detail with reference to the drawings as appropriate.

（概要）
はじめに、本実施形態の概要について説明する。図１に示すように、本実施形態では、二重化装置１００は、２台の装置１（装置［自系］１ａ，装置［他系］１ｂ）間で冗長化構成され、ネットワーク５０を介して生存情報を送受信する。さらに、二重化装置１００は、装置１（１ａ，１ｂ）間を制御線２０（制御線２１〜２５，２６ａ，２６ｂ，２７ａ，２７ｂを束ねたもの）で接続し、冗長化したときの自分側（以降、自系と称す。）および相手側（以降、他系と称す。）の動作状態（例えば、電源状態）、制御線ケーブル接続状態等を相互に監視し、異常個所を特定する。 (Overview)
First, an outline of the present embodiment will be described. As shown in FIG. 1, in this embodiment, the duplexing device 100 is configured redundantly between two devices 1 (device [own system] 1a, device [other system] 1b), and survives via the network 50. Send and receive information. Further, the duplexing device 100 connects the devices 1 (1a, 1b) with the control line 20 (bundling the control lines 21-25, 26a, 26b, 27a, 27b), and makes the redundant side 100 itself ( Hereinafter, the operation state (for example, power supply state), control line cable connection state, and the like of the other party (hereinafter referred to as another system) and the control line cable connection state are mutually monitored to identify an abnormal part.

そして、装置［自系］（第１の装置）１ａは、装置［他系］（第２の装置）１ｂの異常を検知した場合に、制御線２０を介してリセットホールド信号（装置［他系］１ｂの電源を停止する情報）を装置［他系］１ｂに送信し、当該装置［他系］１ｂを停止させる。装置［自系］１ａは、装置［他系］１ｂが停止したことを確認し、リセットホールド信号の送信を停止する。
また、装置［自系］１ａは、リセットホールド信号が信号発生部１２やリセットホールド判定部１３の故障や、制御線２０へのノイズ等に影響されずに、誤動作等なく確実に送受信できるようにするために、信号発生部１２およびリセットホールド判定部１３ａ，１３ｂの機能を二重化している。この理由は、１つの箇所の誤動作によってリセットホールド信号が送信されてしまうことを防ぐためや、制御線２０では、２つの電圧レベル（Ｈｉｇｈ，Ｌｏｗ）を用いているので、ノイズ等が加わって電圧レベルが変動した場合に、誤った情報が伝えられてしまう可能性があるためである。 When the device [own system] (first device) 1a detects an abnormality of the device [other system] (second device) 1b, the reset hold signal (device [other system] ] Is transmitted to the apparatus [other system] 1b, and the apparatus [other system] 1b is stopped. The device [own system] 1a confirms that the device [other system] 1b has stopped, and stops transmitting the reset hold signal.
Further, the device [own system] 1a can reliably transmit and receive the reset hold signal without malfunction due to the failure of the signal generation unit 12 and the reset hold determination unit 13, the noise to the control line 20, and the like. In order to do this, the functions of the signal generation unit 12 and the reset hold determination units 13a and 13b are duplicated. This is because the reset hold signal is prevented from being transmitted due to a malfunction at one location, or because the control line 20 uses two voltage levels (High, Low). This is because if the level fluctuates, incorrect information may be transmitted.

（二重化装置の構成）
二重化装置の構成例について、図１を用いて説明する。
装置［自系］１ａと装置［他系］１ｂとは、同じ機能を備えているので、ここでは、装置［自系］１ａの機能について説明する。なお、図１では、装置［自系］１ａの機能について、本発明に関連する機能だけを詳しく記載し、他の機能については記載を省略している。また、図１では、装置［他系］１ｂの機能については、説明に必要な機能に限って記載している。 (Configuration of duplexer)
A configuration example of the duplexer will be described with reference to FIG.
Since the device [own system] 1a and the device [other system] 1b have the same function, the function of the device [own system] 1a will be described here. In FIG. 1, only the functions related to the present invention are described in detail with respect to the functions of the apparatus [own system] 1a, and descriptions of other functions are omitted. In FIG. 1, functions of the apparatus [other system] 1 b are described only for functions necessary for explanation.

本実施形態では、二重化装置１００は、通信機能を備えた機器等（計算機を含む）をネットワーク５０に接続する際に、信頼性を高めるために、ネットワーク５０と通信機能を備えた機器との間を中継するように設置される。さらに、二重化装置１００は、２台の装置１間で待機冗長化される。なお、本実施形態では、２台の装置１を区別する場合には、一方を装置［自系］１ａ（以降、自系の装置とも称する。）、他方を装置［他系］１ｂ（以降、他系の装置とも称する。）として記載するが、双方を区別しない場合には、装置１と記載する。また、装置［自系］１ａおよび装置［他系］１ｂそれぞれは、自身の各機能がさらに二重化（冗長構成）にされていても構わない。 In the present embodiment, the duplexer 100 connects between the network 50 and a device having a communication function in order to increase reliability when connecting a device or the like (including a computer) having a communication function to the network 50. It is installed to relay. Further, the duplex device 100 is standby-redundant between the two devices 1. In the present embodiment, when the two apparatuses 1 are distinguished, one is the apparatus [own system] 1a (hereinafter also referred to as the own apparatus), and the other is the apparatus [other system] 1b (hereinafter referred to as the apparatus). Although it is also referred to as a device of another system), it is described as device 1 when both are not distinguished. In addition, each of the device [own system] 1a and the device [other system] 1b may be further duplexed (redundant configuration).

装置［自系］１ａと装置［他系］１ｂとは、２つの独立したネットワーク５０ａ，５０ｂを介して、二重化した通信系で接続される。装置［自系］１ａおよび装置［他系］１ｂは、それぞれ自身の生存を示す生存情報を、所定の周期で相互に送受信している。したがって、装置［自系］１ａは、装置［他系］１ｂから生存情報を受信することで、装置［他系］１ｂの生存を確認することができる。
そして、装置［自系］１ａは、２つのネットワーク５０ａ，５０ｂの双方から生存情報を受信できなくなった場合、または２つのネットワーク５０ａ，５０ｂの双方から受信した生存情報に符号誤りが発生している状態となった場合に、装置［他系］１ｂまたはネットワーク５０に異常が発生したと判定する。仮に、異常が発生したと判定された装置［他系］１ｂが待機冗長化における主従関係のうちの主系として動作していた場合には、主従関係を逆転させて、正常な方の装置［自系］１ａが主系として動作するようにする。なお、ネットワーク５０は、ＬＡＮに限られなくとも良いが、本実施形態では、ＬＡＮであるものとして説明する。 The device [own system] 1a and the device [other system] 1b are connected by a duplex communication system via two independent networks 50a and 50b. The device [own system] 1a and the device [other system] 1b mutually transmit / receive survival information indicating their own survival in a predetermined cycle. Accordingly, the device [own system] 1a can confirm the survival of the device [other system] 1b by receiving the survival information from the device [other system] 1b.
The device [own system] 1a is unable to receive the survival information from both of the two networks 50a and 50b, or a code error has occurred in the survival information received from both of the two networks 50a and 50b. When the state is reached, it is determined that an abnormality has occurred in the device [other system] 1b or the network 50. If the device [other system] 1b determined to have an abnormality is operating as a master system in the master-slave relationship in standby redundancy, the master-slave relationship is reversed and the normal device [ Self system] 1a is operated as a main system. The network 50 need not be limited to a LAN, but will be described as being a LAN in this embodiment.

装置［自系］１ａは、少なくとも、処理部１１を備えている。処理部１１は、図示しないＣＰＵおよびメインメモリによって構成され、処理部１１の各機能は記憶部１９に記憶されている不図示のアプリケーションプログラムをメインメモリに展開して具現化される。
処理部１１の機能は、図１に示すように、信号発生部１２、リセットホールド判定部１３ａ，１３ｂ、電源監視部１４、割込受付部１５、ハードリセット部１６、ネットワーク接続監視部１７およびネットワーク用通信部１８を有する。 The apparatus [own system] 1 a includes at least a processing unit 11. The processing unit 11 includes a CPU and a main memory (not shown), and each function of the processing unit 11 is realized by developing an application program (not shown) stored in the storage unit 19 in the main memory.
As shown in FIG. 1, the function of the processing unit 11 includes a signal generation unit 12, reset hold determination units 13a and 13b, a power supply monitoring unit 14, an interrupt reception unit 15, a hard reset unit 16, a network connection monitoring unit 17, and a network. Communication unit 18.

信号発生部１２は、異常が発生したと判定された装置［他系］１ｂに対して、リセットホールド信号を送信する機能を有する。なお、信号発生部１２は、２本の制御線２６ａ，２６ｂを用いて、リセットホールド信号を送信する。また、信号発生部１２は、自身が正常に動作していることを確認するために動作診断を行う機能を有する。信号発生部１２の機能の詳細については、後記する。 The signal generation unit 12 has a function of transmitting a reset hold signal to the device [other system] 1b determined to have an abnormality. The signal generator 12 transmits a reset hold signal using the two control lines 26a and 26b. Further, the signal generator 12 has a function of performing an operation diagnosis in order to confirm that it is operating normally. Details of the function of the signal generator 12 will be described later.

リセットホールド判定部１３ａ，１３ｂは、制御線２７ａ，２７ｂを介して、装置［他系］１ｂから、リセットホールド信号を受信するとともに、他系ケーブル接続状態１１２を参照して制御線２０のケーブル接続状態が正常であることを確認し、リセットホールド信号が正しいか否かを判定する機能を有する。また、リセットホールド判定部１３ａ，１３ｂは、リセットホールド信号が正しいと判定した場合、ハードリセット部１６が電源を停止する処理を開始できるようにするために、割込受付部１５に割込指示を出力するとともに、ハードリセット部１６に電源を停止するための停止指示を出力する。なお、リセットホールド判定部１３ａ，１３ｂの機能の詳細については、後記する。 The reset hold determination units 13a and 13b receive the reset hold signal from the device [other system] 1b via the control lines 27a and 27b, and refer to the other system cable connection state 112 to connect the control line 20 to the cable. It has a function of confirming that the state is normal and determining whether or not the reset hold signal is correct. In addition, when the reset hold determination unit 13a or 13b determines that the reset hold signal is correct, the reset hold determination unit 13a or 13b issues an interrupt instruction to the interrupt reception unit 15 so that the hard reset unit 16 can start the process of stopping the power supply. In addition to outputting, a stop instruction for stopping the power supply is output to the hard reset unit 16. Details of the functions of the reset hold determination units 13a and 13b will be described later.

装置［自系］１ａの電源監視部１４は、制御線２２を介して、装置［自系］１ａ自身の電源がＯＮまたはＯＦＦのいずれの状態かを装置［他系］１ｂに送信する機能を有する。そして、装置［自系］１ａの処理部１１は、制御線２１を介して、装置［他系］１ｂの電源監視部１４から受信した電源状態を、他系電源状態１１１として記憶する。 The power supply monitoring unit 14 of the device [own system] 1a has a function of transmitting to the device [other system] 1b via the control line 22 whether the power of the device [own system] 1a itself is ON or OFF. Have. Then, the processing unit 11 of the device [own system] 1 a stores the power state received from the power monitoring unit 14 of the device [other system] 1 b via the control line 21 as the other system power state 111.

割込受付部１５は、リセットホールド判定部１３ａ，１３ｂによって、受信したリセットホールド信号が正しいと判定された場合に出力される割込指示を受け付けて、処理部１１の処理を安全に停止させる機能を有する。 The interrupt receiving unit 15 has a function of receiving an interrupt instruction that is output when the reset hold determining units 13a and 13b determine that the received reset hold signal is correct, and safely stopping the processing of the processing unit 11. Have

ハードリセット部１６は、リセットホールド判定部１３ａ，１３ｂによって、受信したリセットホールド信号が正しいと判定された場合に出力される停止指示を受け付けて、装置［自系］１ａ自身の電源を停止する機能を有する。 The hard reset unit 16 receives a stop instruction that is output when the reset hold determination units 13a and 13b determine that the received reset hold signal is correct, and stops the power supply of the device [own system] 1a itself. Have

ネットワーク接続監視部１７は、自系の装置１と他系の装置１との間で相互に生存を確認するためにネットワークを介して生存情報を所定の周期で送受信するネットワーク用通信部１８が正常に動作しているか否か、およびネットワーク５０を介して他系の装置１と通信が可能になっているか否かを確認する機能を有する。例えば、ネットワーク５０がＬＡＮの場合には、ネットワーク５０を介して他系の装置１と通信が可能になっているか否かは、リンクアップまたはリンクダウンを調べることによって判断される。 In the network connection monitoring unit 17, the network communication unit 18 that transmits and receives the survival information at a predetermined cycle via the network in order to mutually confirm the survival between the own device 1 and the other device 1 is normal. And a function for confirming whether or not communication with another apparatus 1 is possible via the network 50. For example, when the network 50 is a LAN, whether or not communication with the other apparatus 1 is possible via the network 50 is determined by examining link up or link down.

ネットワーク用通信部１８は、ネットワーク５０を介して、情報（生存情報を含む）を送受信する機能を有する。 The network communication unit 18 has a function of transmitting and receiving information (including survival information) via the network 50.

記憶部１９は、メモリで構成され、他系電源状態１１１、他系ケーブル接続状態１１２、自系ケーブル接続状態１１３、自系設定状態１１４、自系リセットホールド信号状態１１５、自系リセットホールド状態１１６、他系リセットホールド信号状態１１７およびネットワーク状態１１８を処理部１１によって記憶される。 The storage unit 19 is configured by a memory, and includes another system power supply state 111, another system cable connection state 112, own system cable connection state 113, own system setting state 114, own system reset hold signal state 115, and own system reset hold state 116. The other system reset hold signal state 117 and the network state 118 are stored by the processing unit 11.

他系電源状態１１１は、装置［他系］１ｂの電源監視部１４から、制御線２１を介して、処理部１１が受信した装置［他系］１ｂの電源状態である。電源状態は、ＯＮまたはＯＦＦで表される。 The other system power state 111 is a power state of the device [other system] 1 b received by the processing unit 11 from the power monitoring unit 14 of the device [other system] 1 b via the control line 21. The power state is represented by ON or OFF.

他系ケーブル接続状態１１２は、制御線２３が装置［他系］１ｂに接続されているか否かで表される。具体的には、処理部１１は、制御線２３の電圧が装置［他系］１ｂのアースと同電位になっていれば、接続状態と判定する。なお、図１中の制御線３０は、制御線２３とは逆に、装置［他系］１ｂが装置［他系］１ｂ自身のケーブル接続状態を判定するためのものである。 The other system cable connection state 112 is represented by whether or not the control line 23 is connected to the device [other system] 1b. Specifically, if the voltage of the control line 23 is at the same potential as the ground of the device [other system] 1b, the processing unit 11 determines that the connection state is established. In contrast to the control line 23, the control line 30 in FIG. 1 is for the device [other system] 1b to determine the cable connection state of the device [other system] 1b itself.

自系ケーブル接続状態１１３は、自身の制御線２４が接続されているか否かで表される。具体的には、処理部１１は、制御線２４の電圧が装置［自系］１ａ自身のアースと同電位になっていれば、接続状態と判定する。なお、図１中の制御線３１は、制御線２４とは逆に、装置［他系］１ｂが装置［他系］１ｂ自身のケーブル接続状態を判定するためのものである。 The own system cable connection state 113 is represented by whether or not its own control line 24 is connected. Specifically, if the voltage of the control line 24 is the same potential as the ground of the device [own system] 1a itself, the processing unit 11 determines that the connection state is established. In contrast to the control line 24, the control line 31 in FIG. 1 is for the device [other system] 1b to determine the cable connection state of the device [other system] 1b itself.

自系設定状態１１４は、装置［自系］１ａが主従関係のうちのいずれかで表される。具体的には、制御線２５，３２は、電源ＯＮ時に装置［自系］１ａ、装置［他系］１ｂのいずれが主系になるかを決定するために使用され、両方の装置１を同時にＯＮし、かつ両方が正常に立ち上がった場合、一方を主系、他方を従系に設定するために必要な機構である。両方の装置１は、ネットワーク５０を介して相互に通信しており、両方の装置１とも主系となっていた場合は、制御線２０の断線や、制御線接続部の接触不良等の異常が考えられ、それを自系設定状態１１４によって検知することができる。図１では、装置［自系］１ａの制御線２５は電位がＬｏｗであり、装置［他系］１ｂの制御線３２は電位がＨｉｇｈになることによって、両方の装置１は、主系／従系のどちらであるかを決定できる。 The own system setting state 114 is represented by any one of the master-slave relationships of the device [own system] 1a. Specifically, the control lines 25 and 32 are used to determine which of the device [own system] 1a and the device [other system] 1b becomes the main system when the power is turned on. This is a mechanism necessary for setting one to the main system and the other to the slave system when both are turned on and both start up normally. Both devices 1 communicate with each other via the network 50. When both devices 1 are main systems, there is an abnormality such as disconnection of the control line 20 or contact failure of the control line connecting portion. This can be detected by the self-system setting state 114. In FIG. 1, the control line 25 of the device [own system] 1a has a low potential, and the control line 32 of the device [other system] 1b has a high potential. You can determine which of the systems.

自系リセットホールド信号状態１１５は、信号発生部１２から送信されるリセットホールド信号を、制御線２６ａ，２６ｂから取得したものである。 The own system reset hold signal state 115 is obtained by acquiring the reset hold signal transmitted from the signal generator 12 from the control lines 26a and 26b.

自系リセットホールド状態１１６は、リセットホールド判定部１３ａ，１３ｂから割込受付部１５に出力された、割込指示を表したものである。 The own system reset hold state 116 represents an interrupt instruction output from the reset hold determination units 13 a and 13 b to the interrupt reception unit 15.

他系リセットホールド信号状態１１７は、装置［他系］１ｂの信号発生部１２から制御線２７ａ，２７ｂを介して送信された、リセットホールド信号を表したものである。 The other system reset hold signal state 117 represents the reset hold signal transmitted from the signal generator 12 of the apparatus [other system] 1b via the control lines 27a and 27b.

ネットワーク接続状態１１８は、ネットワーク接続監視部１７によって、ネットワーク用通信部１８が正常に動作しているか否か、およびネットワーク５０が断線しているか否かを判定した結果を表したものである。 The network connection state 118 represents the result of the network connection monitoring unit 17 determining whether the network communication unit 18 is operating normally and whether the network 50 is disconnected.

（二重化装置の機能）
ここで、二重化装置１００の機能例（１）〜（７）について、説明する（適宜、図１参照）。 (Function of duplexer)
Here, functional examples (1) to (7) of the duplexer 100 will be described (see FIG. 1 as appropriate).

（１）二重化したネットワークの機能
図１に示すように、装置［自系］１ａと装置［他系］１ｂとは、独立した２つのネットワーク５０（５０ａ，５０ｂ）を介して通信する。装置［自系］１ａおよび装置［他系］１ｂは、相互に生存情報（例えば、keep alive パケット）を所定の周期で交換し、生存情報を受信しなくなった場合または受信した生存情報に異常（例えば、符号誤り等）が発生した場合、自系の装置１の異常、他系の装置１の異常またはＬＡＮの異常のいずれかと判定する。なお、少なくとも１つのネットワーク５０を介して正しい生存情報を交換できている場合は、正常と判定する。 (1) Duplex Network Function As shown in FIG. 1, the device [own system] 1a and the device [other system] 1b communicate via two independent networks 50 (50a, 50b). The device [own system] 1a and the device [other system] 1b exchange survival information (for example, keep alive packets) with each other at a predetermined cycle, and when the survival information is not received or the received survival information is abnormal ( For example, when a code error or the like) occurs, it is determined that there is an abnormality in the own apparatus 1, an abnormality in the other apparatus 1, or an abnormality in the LAN. Note that if correct survival information can be exchanged via at least one network 50, it is determined as normal.

（２）制御線の機能
二重化装置１００は、２台の装置１（１ａ，１ｂ）間を制御線２０で接続し、相互に他系の装置１の状態を監視し、他系の装置１が異常と判定したときにリセットホールド信号を送信する。したがって、他系の装置１によって自系の装置１が異常と判定されたときには、自系の装置１は他系の装置１からリセットホールド信号を受信する。
二重化装置１００の動作状態について監視する項目は、例えば、（ａ）制御線２０のケーブル接続状態（他系ケーブル接続状態１１２、自系ケーブル接続状態１１３）、（ｂ）自系の設定状態（自系設定状態１１４）、（ｃ）他系の電源状態（他系電源状態１１１）、（ｄ）自系のリセットホールド信号の送受信状態（自系リセットホールド信号状態１１５、他系リセットホールド信号状態１１７）、（ｅ）自系のリセットホールド状態（自系リセットホールド状態１１６）、（ｆ）自系ネットワーク用通信部状態およびリンク状態（ネットワーク接続状態１１８）である。なお、ネットワーク５０がＬＡＮの場合には、自系ネットワーク用通信部は、自系ＬＡＮ送受信部を表す。
二重化装置１００は、前記（１）に記載の生存情報を受信できなかった場合または受信した生存情報に異常が発生した場合において、（ａ）〜（ｆ）のいずれかの情報と組み合わせて、異常個所を特定することができる。 (2) Function of control line The duplex device 100 connects the two devices 1 (1a, 1b) with the control line 20, and monitors the status of the other device 1 with each other. A reset hold signal is transmitted when it is determined as abnormal. Therefore, when the other apparatus 1 determines that the own apparatus 1 is abnormal, the own apparatus 1 receives the reset hold signal from the other apparatus 1.
Items to be monitored regarding the operation state of the duplexer 100 are, for example, (a) the cable connection state of the control line 20 (other system cable connection state 112, own system cable connection state 113), and (b) own system setting state (self System setting state 114), (c) Other system power supply state (other system power supply state 111), (d) Own system reset hold signal transmission / reception state (own system reset hold signal state 115, other system reset hold signal state 117) ), (E) own system reset hold state (own system reset hold state 116), and (f) own system network communication state and link state (network connection state 118). When the network 50 is a LAN, the local network communication unit represents the local LAN transmission / reception unit.
When the duplication apparatus 100 fails to receive the survival information described in the above (1) or an abnormality occurs in the received survival information, the duplexing apparatus 100 combines with any of the information of (a) to (f) The location can be specified.

（３）自系ネットワーク用通信部の診断機能
自系の装置１のネットワーク接続監視部１７は、生存情報を受信できなかった場合または受信した生存情報に異常が発生した場合、自系ネットワーク用通信部１８が正常であるか否かを自己診断する機能を有する。
自系の装置１は、自系ネットワーク用通信部１８が異常であると判定した場合、自系の装置異常と判定する。また、自系の装置１は、自系ネットワーク用通信部１８を正常であり、かつ他系の装置１とのリンクがリンクダウンの状態である場合には、ネットワーク（ＬＡＮ）が断線していると判定する。また、自系の装置１は、自系ネットワーク用通信部１８が正常であり、かつリンクアップの状態である場合には、他系の装置１の異常と判定する。このようにして、二重化装置１００は、異常個所を特定することができる。 (3) Diagnosis function of communication unit for own network If the network connection monitoring unit 17 of the own device 1 fails to receive the survival information or an abnormality occurs in the received survival information, the communication for the own network The unit 18 has a function of self-diagnosis as to whether or not it is normal.
When the own device 1 determines that the own network communication unit 18 is abnormal, the own device 1 determines that the own device is abnormal. In addition, when the local apparatus 1 is normal in the local network communication unit 18 and the link with the other apparatus 1 is in a link-down state, the network (LAN) is disconnected. Is determined. Also, the own device 1 determines that the other device 1 is abnormal when the own network communication unit 18 is normal and is in a link-up state. In this way, the duplexer 100 can identify an abnormal part.

（４）リセットホールド信号の停止機能
処理部１１は、リセットホールド信号を他系の装置１に送信した後、他系電源状態１１１の情報が電源ＯＦＦになっている状態を確認することによって、リセットホールドが目的通りに他系の装置１で実行されていると判定し、自律的にリセットホールド信号を停止させる。なお、リセットホールド信号を停止させる理由は、リセットホールド信号が送信され続けていると、他系の装置１が再起動された際に、再び停止してしまうような、目的に適合しない事象が発生することを防止するためである。 (4) Reset Hold Signal Stop Function The processing unit 11 resets by checking the state where the information of the other system power state 111 is turned off after transmitting the reset hold signal to the other system device 1. It is determined that the hold is being executed by the other system device 1 as intended, and the reset hold signal is autonomously stopped. The reason for stopping the reset hold signal is that if the reset hold signal continues to be transmitted, an event that does not meet the purpose, such as stopping again when the other system device 1 is restarted, occurs. This is to prevent this.

（５）二重化したリセットホールド信号用制御線の機能
信号発生部１２は、図１に示すように、リセットホールド信号を２本の信号線２６ａ，２６ｂを用いて形成し出力する。自系の装置１が故障したときに、誤ってリセットホールド信号を形成しないようにするために、例えば、一方の通信線２６ａの信号をＨｉｇｈアクティブ、他方の通信線２６ｂの信号をＬｏｗアクティブとし、極性を異ならせる。
なお、信号発生部１２によって出力されるリセットホールド信号は、所定の時間継続して出力されることによって、有効と判定される。また、処理部１１は、リセットホールド信号を自系リセットホールド信号状態１１５に記録し、目的通りにリセットホールド信号を出力していることを確認することができる。 (5) Function of Redundant Reset Hold Signal Control Line The signal generator 12 forms and outputs a reset hold signal using two signal lines 26a and 26b as shown in FIG. In order to prevent the reset hold signal from being erroneously formed when the own apparatus 1 fails, for example, the signal of one communication line 26a is set to High active, and the signal of the other communication line 26b is set to Low active. Make the polarity different.
The reset hold signal output by the signal generator 12 is determined to be valid by being continuously output for a predetermined time. Further, the processing unit 11 can record the reset hold signal in the own system reset hold signal state 115 and confirm that the reset hold signal is output as intended.

（６）リセットホールド信号の発行機能
信号発生部１２は、誤って他系の装置１にリセットホールド信号を送信しないようにするために、２つのレジスタのうちの一方のレジスタに所定の第１の情報が書き込まれ、他方のレジスタに所定の第２の情報（ただし、第１の情報とは異なる。）が書き込まれた場合に、初めて、リセットホールド信号を出力する。 (6) Issuing function of reset hold signal The signal generation unit 12 is configured to prevent the erroneous transmission of the reset hold signal to the device 1 of the other system. When information is written and predetermined second information (but different from the first information) is written in the other register, a reset hold signal is output for the first time.

（７）リセットホールド信号の受信機能
リセットホールド判定部１３ａ，１３ｂは、装置［他系］１ｂの信号発生部１２から２本の制御線２７ａ，２７ｂを介して出力される信号（ＨｉｇｈまたはＬｏｗ）を検出し、リセットホールド信号か否かを判定する。例えば、制御線２７ａの信号がＨｉｇｈでかつ制御線２７ｂの信号がＬｏｗの状態が所定の時間継続する場合が、リセットホールド信号であると決めてあるものとする。
リセットホールド判定部１３ａ，１３ｂは、二重化されたクロックで動作する論理回路で構成され、クロックを用いて、所定の時間を計測する。すなわち、二重化されたクロックのうち、少なくとも一方のクロックが動作していれば、所定の時間を計測することができる。また、論理回路も二重化されている。したがって、リセットホールド判定部３１は、少なくとも一つの論理回路が動作していれば、リセットホールド信号を正しく判定することができる。
なお、クロックすべてが停止してしまった場合には、リセットホールド判定部１３ａ，１３ｂは、クロックで動作する論理回路とは別の回路に切り替えて、継続時間を計測することなく、リセットホールド信号を受信できるようにする。この理由は、クロックがすべて停止してしまっても、安全側で電源を停止（ＯＦＦ状態に）するためである。 (7) Reset Hold Signal Reception Function The reset hold determination units 13a and 13b are signals (High or Low) output from the signal generation unit 12 of the apparatus [other system] 1b via the two control lines 27a and 27b. Is detected and it is determined whether or not it is a reset hold signal. For example, it is determined that the reset hold signal is when the signal of the control line 27a is High and the signal of the control line 27b is Low for a predetermined time.
The reset hold determination units 13a and 13b are composed of logic circuits that operate with a double clock, and measure a predetermined time using the clock. In other words, a predetermined time can be measured if at least one of the duplicated clocks is operating. The logic circuit is also duplicated. Therefore, the reset hold determination unit 31 can correctly determine the reset hold signal if at least one logic circuit is operating.
When all the clocks are stopped, the reset hold determination units 13a and 13b switch to a circuit different from the logic circuit operating with the clock, and the reset hold signal is output without measuring the duration. Enable reception. This is because even if all the clocks are stopped, the power supply is stopped (turned off) on the safe side.

（８）信号発生部およびリセットホールド判定部の診断機能
他系の装置１の電源を正しく停止するためには、信号発生部１２およびリセットホールド判定部１３ａ，１３ｂが正しく動作していなければならない。そのため、処理部１１は、信号発生部１２およびリセットホールド判定部１３ａ，１３ｂの動作を診断する機能を備えている。
処理部１１は、所定の周期（例えば、１秒程度の短い周期）で、自系リセットホールド信号状態１１５に記録されている信号発生部１２の出力信号を確認することによって、自身の信号発生部１２の動作状態を確認（診断）することができる。また、処理部１１は、所定の周期（例えば、１秒程度の短い周期）で、装置［他系］１ｂの信号発生部１２から受信した信号を他系リセットホールド信号状態１１７に記録し、所定の周期（例えば、１秒程度の短い周期）で、装置［他系］１ｂからの信号が正常であることを確認する。 (8) Diagnosis function of signal generation unit and reset hold determination unit In order to properly stop the power supply of the apparatus 1 of the other system, the signal generation unit 12 and the reset hold determination units 13a and 13b must be operating correctly. Therefore, the processing unit 11 has a function of diagnosing the operations of the signal generation unit 12 and the reset hold determination units 13a and 13b.
The processing unit 11 confirms the output signal of the signal generation unit 12 recorded in the own system reset hold signal state 115 at a predetermined cycle (for example, a short cycle of about 1 second), thereby determining its own signal generation unit. 12 operation states can be confirmed (diagnostic). Further, the processing unit 11 records the signal received from the signal generation unit 12 of the apparatus [other system] 1b in the other system reset hold signal state 117 at a predetermined cycle (for example, a short cycle of about 1 second). It is confirmed that the signal from the device [other system] 1b is normal at a period of (for example, a short period of about 1 second).

ここで、信号発生部１２の診断機能の一例について、図２を用いて説明する（適宜、図１参照）。
図２では、信号発生部１２の出力の状態を円内に数字で示している。例えば、定常時Ｓ２０１の円２１１内の左側の数字「０」は、制御線２６ａの信号がＬｏｗであることを表し、右側の数字「１」は、制御線２６ｂの信号がＨｉｇｈであることを表している。また、リセットホールド信号を出力しているリセットホールド発行時Ｓ２０２では、円２１２内の左側の数字「１」は、制御線２６ａの信号がＨｉｇｈであり、右側の数字「０」は、制御線２６ｂの信号がＬｏｗであり、リセットホールド信号であることを表している。 Here, an example of the diagnostic function of the signal generator 12 will be described with reference to FIG. 2 (see FIG. 1 as appropriate).
In FIG. 2, the output state of the signal generation unit 12 is indicated by a number in a circle. For example, the number “0” on the left side in the circle 211 in the steady state S201 indicates that the signal on the control line 26a is Low, and the number “1” on the right side indicates that the signal on the control line 26b is High. Represents. Also, in the reset hold issuance time S202 that outputs the reset hold signal, the left number “1” in the circle 212 indicates that the signal of the control line 26a is High, and the right number “0” indicates the control line 26b. This signal is Low, indicating that it is a reset hold signal.

自己診断時Ｓ２０３では、信号発生部１２は、出力が「０１」→「００」→「０１」→「１１」→「０１」となるように動作する。つまり、信号発生部１２は、出力がリセットホールド信号と同じ「１０」とならないように動作する。 At the time of self-diagnosis S203, the signal generator 12 operates so that the output is “01” → “00” → “01” → “11” → “01”. That is, the signal generator 12 operates so that the output does not become “10”, which is the same as the reset hold signal.

装置１を起動したときの初期診断では、処理部１１は、自己診断時Ｓ２０３の動作を実行する。
定常時Ｓ２０１には、処理部１１は、所定の短い周期（例えば、１秒等）で、信号発生部１２の出力を自系リセットホールド信号状態１１５に記録し、「０１」の状態であることを確認する。また、処理部１１は、所定の長い周期（例えば、１時間等）で、自己診断時Ｓ２０３の動作を実行する。
また、リセットホールド発行時Ｓ２０２では、処理部１１は、所定の短い周期（例えば、１秒等）で、信号発生部１２の出力を自系リセットホールド信号状態１１５に記録し、「１０」の状態であることを確認する。 In the initial diagnosis when the apparatus 1 is activated, the processing unit 11 executes the operation of S203 during self-diagnosis.
In the regular time S201, the processing unit 11 records the output of the signal generation unit 12 in the own system reset hold signal state 115 at a predetermined short cycle (for example, 1 second), and is in the “01” state. Confirm. In addition, the processing unit 11 performs the operation of S203 during self-diagnosis at a predetermined long cycle (for example, 1 hour).
Further, at the time of reset hold issuance S202, the processing unit 11 records the output of the signal generation unit 12 in the own system reset hold signal state 115 at a predetermined short cycle (for example, 1 second), and the state of “10” Make sure that

装置［他系］１ｂからの出力信号の診断は、信号発生部１２の出力状態が「０１」であることを診断する。装置［他系］１ｂの信号発生部１２の故障により、出力状態が「００」や「１１」となった場合、所定の周期（例えば、１秒程度の短い周期）で連続で読み込み値が「０１」でなかった場合、異常と判断する。自己診断時Ｓ２０３では出力信号が「００」や「１１」になる。しかし、装置［他系］１ｂが自己診断時Ｓ２０３であった場合も１回目の読み込みでは異常となるが、自己診断での信号パターンの切換え時間よりも長い、所定の周期で読み込むことで、２回目の読み込みでは正常に「０１」が読み込める。よって、読み込み値が２回続けて「０１」でなかった場合、自己診断によるパターン切替えではなく、装置［他系］１ｂの信号発生部１２が故障していることを特定できる。 The diagnosis of the output signal from the device [other system] 1b diagnoses that the output state of the signal generator 12 is “01”. When the output state becomes “00” or “11” due to a failure of the signal generation unit 12 of the apparatus [other system] 1b, the read value is “continuous” in a predetermined cycle (for example, a short cycle of about 1 second). If it is not “01”, it is determined to be abnormal. In the self-diagnosis S203, the output signal becomes “00” or “11”. However, even if the device [other system] 1b is S203 at the time of self-diagnosis, it becomes abnormal in the first reading, but by reading at a predetermined cycle longer than the signal pattern switching time in the self-diagnosis, 2 In the second reading, “01” can be read normally. Therefore, when the read value is not “01” twice in succession, it is possible to specify that the signal generation unit 12 of the apparatus [other system] 1b is out of order instead of pattern switching by self-diagnosis.

次に、二重化装置の異常個所を特定した判定結果およびリセットホールド信号の対応例について、図３を用いて説明する（適宜、図１参照）。
本実施形態では、制御線２０を用いて、装置１の動作状態を相互に監視しているため、異常個所を特定することができる。図３は、他系電源状態１１１、他系ケーブル接続状態１１２、ネットワーク接続状態１１８（自系ネットワーク用通信部状態およびリンク状態）を用いて、異常個所を特定した判定結果３１０とリセットホールド信号の対応例３１１とを示している。 Next, a correspondence example of the determination result specifying the abnormal part of the duplexer and the reset hold signal will be described with reference to FIG. 3 (see FIG. 1 as appropriate).
In this embodiment, since the operation state of the apparatus 1 is mutually monitored using the control line 20, an abnormal part can be specified. FIG. 3 shows the determination result 310 and the reset hold signal for identifying the abnormal location using the other system power supply state 111, the other system cable connection state 112, and the network connection state 118 (the local network communication unit state and the link state). A correspondence example 311 is shown.

１行目（符号３０１）では、他系電源状態が「ＯＦＦ」、他系ケーブル接続状態が「未接続」、自系ネットワーク用通信部状態が「正常」である場合、判定結果は「他系装置未接続」となり、対応例は「他系にリセットホールド信号送信不要」となる。 In the first line (reference numeral 301), when the other system power supply state is “OFF”, the other system cable connection state is “not connected”, and the local network communication unit state is “normal”, the determination result is “other system power”. “Device not connected”, and the corresponding example is “Reset hold signal transmission unnecessary to other system”.

２行目（符号３０２）では、他系電源状態が「ＯＦＦ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「正常」である場合、判定結果は「他系装置電源ＯＦＦ」となり、対応例は「他系にリセットホールド信号送信不要」となる。 In the second line (reference numeral 302), when the other system power supply state is “OFF”, the other system cable connection state is “connected”, and the local network communication unit state is “normal”, the determination result is “other system device”. “Power OFF”, and the corresponding example is “reset hold signal transmission unnecessary for other systems”.

３行目（符号３０３）では、他系電源状態が「ＯＮ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「正常」、リンク状態が「リンクダウン」である場合、判定結果は「ＬＡＮ断線」となる。リンクダウンは何らかの異常やケーブル断によって通信相手との通信が不可となった状態のこと、リンクアップは通信相手とケーブルで接続され、通信可能となった状態のこと、を意味している。ただし、装置１をハブ等を介してネットワーク５０に接続した場合、装置１は、ハブとの間が正常であればリンクアップと判断し、ハブより相手側で断線が起きていたとしてもリンクアップの状態は変わらない。 In the third line (reference numeral 303), when the other system power supply state is “ON”, the other system cable connection state is “connected”, the local network communication unit state is “normal”, and the link state is “link down”. The determination result is “LAN disconnection”. Link-down means a state in which communication with the communication partner is disabled due to some abnormality or cable disconnection, and link-up means a state in which communication with the communication partner is established via a cable and communication is possible. However, when the device 1 is connected to the network 50 via a hub or the like, the device 1 determines that the link is up if the connection with the hub is normal, and even if the disconnection occurs on the other side of the hub, the link is up. The state of does not change.

４行目（符号３０４）では、他系電源状態が「ＯＮ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「異常」である場合、判定結果は「自系装置異常」となり、対応例は「他系からリセットホールド信号を受信して停止」となる。 In the fourth line (reference numeral 304), when the other system power supply state is “ON”, the other system cable connection state is “connected”, and the local network communication unit state is “abnormal”, the determination result is “own system device”. “Abnormal”, and the corresponding example is “Reset hold signal received from other system and stopped”.

５行目（符号３０５）では、他系電源状態が「ＯＮ」、他系ケーブル接続状態が「接続」、自系ネットワーク用通信部状態が「正常」、リンク状態が「リンクアップ」である場合、判定結果は「他系装置異常」となり、対応例は「他系にリセットホールド信号を送信」となる。 In the fifth line (reference numeral 305), when the other system power supply state is “ON”, the other system cable connection state is “connected”, the local network communication unit state is “normal”, and the link state is “link up”. The determination result is “another system error”, and the corresponding example is “send reset hold signal to other system”.

また、制御線２０のケーブル障害監視判定フロー例について、図４を用いて説明する（適宜、図１参照）。
図４に示すように、ステップＳ４０１では、処理部１１は、自系ケーブル接続状態１１３を参照して、自系ケーブルが接続しているか否かを判定する。接続している場合（ステップＳ４０１でＹｅｓ）、処理はステップＳ４０３へ進み、接続していない場合（ステップＳ４０１でＮｏ）、処理はステップＳ４０２へ進む。 Also, an example of a cable fault monitoring determination flow of the control line 20 will be described with reference to FIG. 4 (see FIG. 1 as appropriate).
As illustrated in FIG. 4, in step S <b> 401, the processing unit 11 refers to the own system cable connection state 113 and determines whether or not the own system cable is connected. If it is connected (Yes in step S401), the process proceeds to step S403. If it is not connected (No in step S401), the process proceeds to step S402.

ステップＳ４０２では、処理部１１は、エラー表示として「自系制御線コネクタ外れ」を不図示の表示部に出力する。そして、処理は終了する。 In step S402, the processing unit 11 outputs “disconnection of own system control line connector” to the display unit (not shown) as an error display. Then, the process ends.

ステップＳ４０３では、処理部１１は、他系ケーブル接続状態１１２を参照して、他系ケーブルが接続しているか否かを判定する。接続している場合（ステップＳ４０３でＹｅｓ）、処理はステップＳ４０５へ進み、接続していない場合（ステップＳ４０３でＮｏ）、処理はステップＳ４０４へ進む。 In step S403, the processing unit 11 refers to the other system cable connection state 112 and determines whether or not the other system cable is connected. If connected (Yes in step S403), the process proceeds to step S405. If not connected (No in step S403), the process proceeds to step S404.

ステップＳ４０４では、処理部１１は、エラー表示として「他系制御線コネクタ外れ」を不図示の表示部に出力する。そして、処理は終了する。 In step S404, the processing unit 11 outputs “other system control line connector disconnection” to the display unit (not shown) as an error display. Then, the process ends.

ステップＳ４０５では、処理部１１は、他系電源状態１１１を参照して、他系電源がＯＦＦであるか否かを判定する。ＯＦＦである場合（ステップＳ４０５でＹｅｓ）、処理はステップＳ４０６へ進み、ＯＦＦでない場合（ステップＳ４０５でＮｏ）、処理は終了する。 In step S405, the processing unit 11 refers to the other system power supply state 111 and determines whether the other system power supply is OFF. If it is OFF (Yes in step S405), the process proceeds to step S406. If it is not OFF (No in step S405), the process ends.

ステップＳ４０６では、処理部１１は、他系電源状態１１１を参照して、他系電源ＯＦＦの状態が所定時間継続しているか否かを判定する。所定時間継続している場合（ステップＳ４０６でＹｅｓ）、処理はステップＳ４０７へ進み、所定時間継続していない場合（ステップＳ４０６でＮｏ）、処理はステップＳ４０１へ戻る。 In step S406, the processing unit 11 refers to the other system power supply state 111, and determines whether or not the other system power supply OFF state continues for a predetermined time. If it has continued for a predetermined time (Yes in step S406), the process proceeds to step S407. If it has not continued for a predetermined time (No in step S406), the process returns to step S401.

ステップＳ４０７では、処理部１１は、エラー表示として「他系電源ＯＦＦ異常」を不図示の表示部に出力する。そして、処理は終了する。 In step S407, the processing unit 11 outputs “other system power OFF abnormality” to the display unit (not shown) as an error display. Then, the process ends.

以上説明したように、本実施形態における二重化装置１００は、２台で冗長構成化され、ネットワーク５０を介して所定の周期で生存情報を送受信するとともに、制御線５０を介して動作状態を相互に監視する。装置［自系］１ａは、生存情報を送受信するネットワーク用通信部１８が正常に動作しているか否か、およびネットワーク５０が断線しているか否かを監視するネットワーク接続監視部１７と、装置［他系］１ｂの電源がＯＮ状態であることを制御線２０を介して確認する電源監視部１４と、装置［他系］１ｂの電源を停止する情報を制御線２０を介して送信する信号発生部１２と、を備える。そして、装置［自系］１ａは、装置［他系］１ｂから生存情報を受信しなくなった場合または受信した生存情報に異常が発生した場合に、ネットワーク接続監視部１７が、自身のネットワーク用通信部１８が正常であることおよびネットワーク５０が断線していないことを確認して、装置［他系］１ｂの異常と判定する。次に、装置［自系］１ａは、電源監視部１４が、装置［他系］１ｂの電源がＯＮ状態であることを確認し、信号発生部１２が、装置［他系］１ｂの電源を停止する情報を送信する。 As described above, the duplexer 100 according to the present embodiment is redundantly configured with two units, transmits / receives the survival information at a predetermined cycle via the network 50, and mutually changes the operating state via the control line 50. Monitor. The device [own system] 1a includes a network connection monitoring unit 17 that monitors whether or not the network communication unit 18 that transmits and receives survival information is operating normally, and whether or not the network 50 is disconnected. [Other system] The power supply monitoring unit 14 for confirming that the power supply of 1b is in the ON state via the control line 20, and the signal generation for transmitting information for stopping the power supply of the apparatus [other system] 1b via the control line 20 Unit 12. Then, when the device [own system] 1a does not receive the survival information from the device [other system] 1b or when an abnormality occurs in the received survival information, the network connection monitoring unit 17 performs communication for its own network. After confirming that the unit 18 is normal and the network 50 is not disconnected, it is determined that the device [other system] 1b is abnormal. Next, in the device [own system] 1a, the power monitoring unit 14 confirms that the power source of the device [other system] 1b is ON, and the signal generation unit 12 supplies power to the device [other system] 1b. Send information to stop.

このような構成を備えることによって、装置［自系］１ａは、装置［他系］１ｂから生存情報を受信しなくなった場合または受信した生存情報に異常が発生した場合に、異常個所を切り分けることができる。そして、装置［自系］１ａは、装置［他系］１ｂに異常が発生していないにもかかわらず、停止するための情報を誤って送信してしまうことを防止し、目的通りに構成制御を行うことができる。 By having such a configuration, the device [own system] 1a can identify an abnormal part when it no longer receives the survival information from the device [other system] 1b or when an abnormality occurs in the received survival information. Can do. Then, the device [own system] 1a prevents erroneous transmission of information for stopping even though no abnormality has occurred in the device [other system] 1b, and performs configuration control as intended. It can be performed.

なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施形態は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも、説明したすべての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
また、処理部１１の機能は、それらの一部または全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、各機能を実現するプログラム、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、またはＩＣ（Integrated Circuit）カード、ＳＤカード、ＤＶＤ（Digital Versatile Disc）等の記録媒体に置くことができる。
また、二重化装置１００では、処理部１１内の各構成間を接続する情報線の記載を省略しているが、実際には、ほとんどすべての構成が相互に接続されていると考えてもよい。 In addition, this invention is not limited to above-described embodiment, Various modifications are included. For example, the above-described embodiment has been described in detail for easy understanding of the present invention, and is not necessarily limited to one having all the configurations described. In addition, a part of the configuration of a certain embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of a certain embodiment. Further, it is possible to add, delete, and replace other configurations for a part of the configuration of the embodiment.
Further, some or all of the functions of the processing unit 11 may be realized by hardware by designing, for example, an integrated circuit. Information such as programs and files for realizing each function is stored in a memory, a hard disk, a recording device such as an SSD (Solid State Drive), an IC (Integrated Circuit) card, an SD card, a DVD (Digital Versatile Disc), etc. Can be placed on a recording medium.
Further, in the duplexer 100, the description of the information lines connecting the components in the processing unit 11 is omitted, but in practice, it may be considered that almost all the components are connected to each other.

１ａ装置［自系］（第１の装置）
１ｂ装置［他系］（第２の装置）
１１処理部
１２信号発生部
１３ａ，１３ｂリセットホールド判定部
１４電源監視部
１５割込受付部
１６ハードリセット部
１７ネットワーク接続監視部
１８ネットワーク用通信部
１９記憶部
２０制御線
５０（５０ａ，５０ｂ）ネットワーク
１００二重化装置 1a Device [own system] (first device)
1b Device [other system] (second device)
DESCRIPTION OF SYMBOLS 11 Processing part 12 Signal generation part 13a, 13b Reset hold determination part 14 Power supply monitoring part 15 Interrupt reception part 16 Hard reset part 17 Network connection monitoring part 18 Network communication part 19 Memory | storage part 20 Control line 50 (50a, 50b) Network 100 Redundant device

Claims

A duplex device in which the first device and the second device are configured redundantly,
Whether or not the network communication unit that transmits and receives the survival information at a predetermined cycle via the network in order to mutually confirm the survival between the first device and the second device is operating normally, And monitoring whether or not the network is disconnected, and confirming that the network communication unit is normal and that the network is not disconnected and determining that the second device is abnormal A network connection monitoring unit;
It said first device and said second device is a plurality of control lines connected to perform mutual monitoring, autologous cable connection state representing a connection state of the to the first device of the control line and determining the control line by the potential, and determines the control line by the potential other system cable connection state representing a connection state to the second device control line, receives the power state of the second device A plurality of control lines including a control line;
When it is determined that the second device is abnormal, it is confirmed that the power supply of the second device is in an ON state via a control line between the first device and the second device. A power monitoring unit;
Wherein the abnormality determination of the second device, the power source of the second device is confirmed to be ON state, when the other-system cable connection state of the connection, via the control line, the A signal generator for transmitting information for stopping the power supply of the second device;
A duplexer characterized by comprising:

Whether or not the network communication unit that transmits and receives the survival information in a predetermined cycle via the network in order to mutually confirm the survival between the first device and the second device, and Network connection that monitors whether or not the network is disconnected, determines that the network communication unit is normal and that the network is not disconnected, and determines that the second device is abnormal A monitoring unit;
When it is determined that the second device is abnormal, it is confirmed that the power supply of the second device is in an ON state via a control line between the first device and the second device. A power monitoring unit;
A signal generator for transmitting information for stopping the power supply of the second device via the control line;
With
Confirming that the signal generation unit is transmitting information for stopping the power supply of the second device, and confirming that the power supply of the second device is turned off by the power supply monitoring unit, A duplexer characterized in that transmission of information for stopping the power supply of the second device is stopped.

Whether or not the network communication unit that transmits and receives the survival information in a predetermined cycle via the network in order to mutually confirm the survival between the first device and the second device, and Network connection that monitors whether or not the network is disconnected, determines that the network communication unit is normal and that the network is not disconnected, and determines that the second device is abnormal A monitoring unit;
When it is determined that the second device is abnormal, it is confirmed that the power supply of the second device is in an ON state via a control line between the first device and the second device. A power monitoring unit;
A signal generator for transmitting information for stopping the power supply of the second device via the control line;
With
The information for stopping the power supply of the second device determines whether one of the two control lines is at a high level and the other voltage is at a low level and continues for a predetermined time or more. It has a reset hold determination unit,
The information that the reset hold determination unit stops the power supply of the second device is that one of the two control lines is at a high level and the other voltage is at a low level, and continues for a predetermined time or more. When the determination is made, a duplexer is provided that executes a process of turning off the power.

The signal generation unit sets the voltage level of the two control lines to a combination excluding a combination of information for stopping the power supply of the second device, and executes its own operation check. Item 4. The duplex device according to item 3.

A power supply stopping method for a duplex device in which the first device and the second device are configured redundantly,
The first device includes:
Whether or not the network communication unit that transmits and receives the survival information at a predetermined cycle via the network in order to mutually confirm the survival between the first device and the second device is operating normally, And monitoring whether or not the network is disconnected, and confirming that the network communication unit is normal and that the network is not disconnected and determining that the second device is abnormal A network connection monitoring step;
A plurality of control lines connected to perform mutual monitoring between the first device and the second device, the self-system cable connection state representing a connection state of a control line to said first device control line the determination of the steps of performing a determination of the other system cable connection state representing a connection state of the second device to the control line of the control line, the reception of the power state of the second device,
When it is determined that the second device is abnormal, it is confirmed that the power supply of the second device is in an ON state via a control line between the first device and the second device. A power monitoring step;
The abnormality determination of the second device, to verify that the power of the second device is in the ON state, when the other-system cable connection state of the connection, via the control line, the A signal generation step of transmitting information for stopping the power supply of the second device;
The method of stopping the power supply characterized by performing.