JP7816962B2 - 制御システムおよび制御方法 - Google Patents

Description

本発明は、制御システムおよび制御方法に関する。

従来、プラントのプロセス制御を行うコントローラ装置は、当該プラント内におけるオンプレミス環境（以下、適宜、単に「オンプレミス」と表記）で運用される。このとき、コントローラ装置は、専用ハードウェアで構成され、故障しにくく可用性が高い構成となる。また、コントローラ装置は、冗長構成もとることができるので、さらに可用性が高い構成もとることができる。

特許第４０９９８１６号公報

しかしながら、上記の従来技術では、プロセス制御を行うコントローラ装置がオンプレミスで構成されるので、リモートオペレーションや外部システムとの連携（System of Systems）が困難である。一方、制御システムをクラウド環境（以下、適宜、単に「クラウド」と表記）上で構築した場合には、クラウド基盤や通信基盤がプラントのプロセス制御に要求される可用性の要件を満たさず、オンプレミスと同じレベルの可用性を実現するのは非常に難しい。

本発明は、高可用性を維持した効果的なプラントのプロセス制御を実現することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る制御システムは、プラントのプロセス制御を実行する複数のコントローラ装置と、前記プロセス制御の対象装置と接続される入出力機器とを備える制御システムにおいて、前記入出力機器は、前記複数のコントローラ装置とは異なるオンプレミス環境に設置され、前記複数のコントローラ装置は、それぞれが異なる通信網によって前記入出力機器と接続され、前記入出力機器との間で、前記プロセス制御に関する情報を送受信する制御部を有する。

また、本発明に係る制御方法は、プラントのプロセス制御を実行する複数のコントローラ装置と、前記プロセス制御の対象装置と接続される入出力機器とを備える制御システムが実行する制御方法において、前記入出力機器が、前記複数のコントローラ装置とは異なるオンプレミス環境に設置され、前記複数のコントローラ装置が、それぞれが異なる通信網によって前記入出力機器と接続され、前記入出力機器との間で、前記プロセス制御に関する情報を送受信する処理を実行する。

本発明では、高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

実施形態に係るプロセス制御システムの構成例を示す図である。 従来のプロセス制御システムの概要を示す図である。 実施形態に係るプロセス制御システムの各装置の構成例を示すブロック図である。 実施形態に係るプロセス制御システムの具体例１を示す図である。 実施形態に係るプロセス制御システムの具体例２を示す図である。 実施形態に係るプロセス制御システムの具体例３を示す図である。 実施形態に係るプロセス制御処理の流れの一例を示すシーケンス図である。 実施形態に係るプロセス制御処理の流れの一例を示すシーケンス図である。 実施形態に係るコントローラ装置のハードウェア構成例を説明する図である。

以下に、本発明に係る制御システムおよび制御方法の発明を実施するための形態（適宜、実施形態）を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

〔実施形態〕
以下に、実施形態に係るプロセス制御システム１００の構成、従来のプロセス制御システム１００－Ｐの概要、実施形態に係る各装置の構成、プロセス制御システム１００の具体例、各処理の流れを順に説明し、最後に実施形態の効果を説明する。

［１．プロセス制御システム１００の構成］
図１を用いて、実施形態に係るプロセス制御システム１００の構成を詳細に説明する。図１は、実施形態に係るプロセス制御システムの構成を示す図である。以下に、プロセス制御システム１００全体の構成例を示した上で、制御データ送受信処理、外部監視装置６０による状態切替処理、内部監視装置７０による状態切替処理の順に説明する。

（１－１．プロセス制御システム１００全体の構成例）
まず、実施形態に係るプロセス制御システム（以下、適宜、本システムともいう）１００全体の構成を詳細に説明する。なお、実施形態では、プラントのプロセス制御を一例にして説明するが、対象を限定するものではなく、コントローラ装置１０による対象機器を制御する様々なシステムに適用することができる。

本システム１００は、コントローラ装置１０（１０Ａ、１０Ｂ）、入出力機器２０、オンプレミス端末３０（３０Ａ、３０Ｂ）、閉域網４０（４０Ａ、４０Ｂ）、制御切替装置５０（５０Ａ、５０Ｂ）、外部監視装置６０、内部監視装置７０（７０Ａ、７０Ｂ）およびフィールド機器９０（センサ９１、アクチュエータ９２）を有する。また、本システム１００には、上記の各種装置が設置される環境として、クラウド環境を構築するデータセンタ１、データセンタ２およびデータセンタ３と、プラントの構内等であるオンプレミスとが含まれる。

図１のデータセンタ１には、アクティブ状態であるコントローラ装置１０Ａ、制御切替装置５０Ａおよび内部監視装置７０Ａが設置される。コントローラ装置１０Ａと、制御切替装置５０Ａと、内部監視装置７０Ａとは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。これらのコントローラ装置１０Ａ、制御切替装置５０Ａ、内部監視装置７０Ａの各装置は、クラウドサービスを用いて実現される。例えば、各装置は、データセンタ１内の物理メモリ、物理プロセッサ、物理ディスクなどの物理資源を用いて仮想的に生成される仮想マシンやコンテナなどに実現されてもよい。また、各装置は、仮想マシン等のクラウドサービスに限らず、ハウジングやホスティングで実現することもでき、物理的に設けられた物理装置で実現することもできる。なお、データセンタ１には、複数台のコントローラ装置１０Ａ、複数台の制御切替装置５０Ａ、複数台の内部監視装置７０Ａが含まれてもよい。

図１のデータセンタ２には、スタンバイ状態であるコントローラ装置１０Ｂ、制御切替装置５０Ｂおよび内部監視装置７０Ｂが設置される。コントローラ装置１０Ｂと、制御切替装置５０Ｂと、内部監視装置７０Ｂとは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。これらのコントローラ装置１０Ｂ、制御切替装置５０Ｂ、内部監視装置７０Ｂの各装置は、クラウドサービスを用いて実現される。例えば、各装置は、データセンタ２内の物理資源を用いて仮想的に実現されてもよい。また、各装置は、ハウジングやホスティングで実現することもでき、物理装置で実現することもできる。なお、データセンタ２には、複数台のコントローラ装置１０Ｂ、複数台の制御切替装置５０Ｂ、複数台の内部監視装置７０Ｂが含まれてもよい。

図１のデータセンタ３には、物理装置もしくは物理資源を用いて仮想的に実現される外部監視装置６０が設置される。データセンタ３には、複数台の外部監視装置６０が含まれてもよい。

図１の例では、コントローラ装置１０が設置された２つの異なるデータセンタを示しているが、コントローラ装置１０が設置された３つ以上の異なるデータセンタを有していてもよい。また、外部監視装置６０が設置された２つ以上の異なるデータセンタを有していてもよい。また、各データセンタに含まれる各種装置間は、図示しない所定の通信網を介して、有線または無線により通信可能に接続されていてもよい。

図１のオンプレミスには、入出力機器２０、オンプレミス端末３０Ａおよびオンプレミス端末３０Ｂが設置される。入出力機器２０と、オンプレミス端末３０Ａと、オンプレミス端末３０Ｂとは、所定の通信網を介して、有線または無線により通信可能に接続される。また、上記オンプレミスには、複数台の入出力機器２０、複数台のオンプレミス端末３０Ａ、複数台のオンプレミス端末３０Ｂが含まれてもよい。

ここで、入出力機器２０は、物理的に設置された物理装置で実現され、オンプレミス環境であるプラントにおいて、センサ９１やアクチュエータ９２等のフィールド機器９０と接続される。また、入出力機器２０は、データセンタ１に設置されるコントローラ装置１０Ａと、専用回線である閉域網４０Ａおよびデータゲートウェイ等であるオンプレミス端末３０Ａを介して接続される。また、入出力機器２０は、同様に、データセンタ２に設置されるコントローラ装置１０Ｂと、閉域網４０Ｂおよびオンプレミス端末３０Ｂを介して接続される。さらに、入出力機器２０は、図示しないデータセンタに設置されるコントローラ装置１０と、閉域網４０およびオンプレミス端末３０を介して接続されてもよい。

（１－２．制御データ送受信処理）
次に、プロセス制御システム１００の処理として、制御データ送受信処理について説明する。図１に示すように、データセンタ１に設置されるアクティブ状態のコントローラ装置１０Ａは、入出力機器２０との間で制御データを送受信する（図１（１）参照）。

例えば、コントローラ装置１０Ａは、入出力機器２０がプラント内のフィールド機器９０から取得した制御データを受信する。一方、入出力機器２０は、コントローラ装置１０Ａから制御データを受信し、プラント内のフィールド機器９０に供与する。上記の処理により、制御データがプラントのプロセス制御に反映される。なお、図１の例では、データセンタ２に設置されるスタンバイ状態のコントローラ装置１０Ｂは、入出力機器２０との間で制御データを送受信しないが、複数のアクティブ状態のコントローラ装置１０が制御データを送受信してもよい。

ここで、制御データとは、プロセスデータ、制御パラメータ等を含むデータである。プロセスデータの例は、フィールド機器９０であるセンサ９１の検出結果（例えば圧力、温度、流量等）等である。制御パラメータの例は、プラントの運転制御における設定パラメータ等であり、例えばフィールド機器９０であるアクチュエータ９２の設定値等である。各コントローラ装置１０は、制御データを用いてシミュレーション等の演算を実行し、演算結果を用いて、プラントの制御を実行する。なお、プラントの制御とは、例えばバルブの開閉量の変更、プラント内の資源流量の変更など、プラントの安全操業に寄与する各種制御が該当する。

（１－３．外部監視装置６０による状態切替処理）
続いて、プロセス制御システム１００の処理として、外部監視装置６０による状態切替処理について説明する。図１に示すように、データセンタ３に設置される外部監視装置６０は、計画メンテナンスを理由とするアクティブ状態やスタンバイ状態等の切替を行う（図１（２）参照）。

例えば、外部監視装置６０は、クラウド基盤や通信基盤の計画メンテナンスを周知する通知を受け付ける。このとき、コントローラ装置１０Ａがメンテナンス対象であった場合には、外部監視装置６０は、制御切替装置５０Ａに対して状態切替の通知を送信する。当該通知を受信した制御切替装置５０Ａは、コントローラ装置１０Ａの状態を、指定された時間にアクティブ状態からスタンバイ状態や停止状態に切り替える。一方、外部監視装置６０は、制御切替装置５０Ｂに対して状態切替の通知を送信する。当該通知を受信した制御切替装置５０Ｂは、コントローラ装置１０Ｂの状態を、指定された時間にスタンバイ状態からアクティブ状態に切り替える。

（１－４．内部監視装置７０による状態切替処理）
最後に、プロセス制御システム１００の処理として、内部監視装置７０による状態切替処理について説明する。図１に示すように、データセンタ１またはデータセンタ２に設置される内部監視装置７０は、クラウドや通信の障害を理由とするアクティブ状態やスタンバイ状態等の切替を行う（図１（３）参照）。

例えば、内部監視装置７０（７０Ａ、７０Ｂ）は、クラウド基盤や通信基盤の状態を監視する。このとき、クラウド基盤や通信基盤に異常があった場合には、内部監視装置７０は、制御切替装置５０に通知を送信する。具体的な例を挙げると、データセンタ１に関与するクラウド基盤に異常があった場合には、内部監視装置７０Ａは、当該異常を検知し、制御切替装置５０Ａに対して、当該異常に関する通知を送信する。そして、当該通知を受信した制御切替装置５０Ａは、コントローラ装置１０Ａの状態を、指定された時間にアクティブ状態からスタンバイ状態や停止状態に切り替える。一方、当該通知を受信した制御切替装置５０Ｂは、コントローラ装置１０Ｂの状態を、指定された時間にスタンバイ状態からアクティブ状態に切り替える。

［２．従来のプロセス制御システムの概要］
ここで、従来のプロセス制御システム１００－Ｐと実施形態に係るプロセス制御システム１００との差異について説明する。以下では、従来のプロセス制御システム１００－Ｐについて説明した上で、実施形態に係るプロセス制御システム１００について説明する。

（２－１．従来のプロセス制御システム１００－Ｐ）
図２を用いて、従来のプロセス制御システム１００－Ｐについて説明する。図２は、従来のプロセス制御システムの概要を示す図である。図２で示すように、従来のプロセス制御システム１００－Ｐは、アクティブ状態であるコントローラ装置１０および入出力機器２０を有する。また、コントローラ装置１０および入出力機器２０は、プラントの構内等であるオンプレミス環境に設置される。このとき、コントローラ装置１０は、専用ハードウェアで構成されるので、故障しにくく可用性が高い構成となる。また、コントローラ装置１０は、冗長化することもできるので、さらに高い可用性を実現することもできる。

しかしながら、従来のプロセス制御システム１００－Ｐでは、以下のような問題点がある。第１に、従来のプロセス制御システム１００－Ｐは、オンプレミスで構成されるので、リモートオペレーションや外部システムとの連携が難しい。第２に、従来のプロセス制御システム１００－Ｐでは、ハードウェア機器を有するので、維持メンテナンスコストが高くなる。

上記のオンプレミスの問題点を解決するために、コントローラ装置１０のクラウド環境での活用が考えられるが、以下のような問題点がある。前提として、プラント等でプロセス制御を実行するコントローラ装置１０で目指している高可用性は、１秒周期等の周期性を持つ制御システムを、２４時間３６５日、常に正常稼働させることを意味している。つまり、制御システムをクラウド上で構築した場合、データセンタ等のクラウドの基盤や、クラウド－オンプレミス間の通信インフラ等の通信基盤が、この要件を満たす必要がある。しかしながら、そのような要件を担保できるクラウドベンダや通信インフラベンダは存在しないので、オンプレミスと同じレベルの可用性をクラウド上で実現するのは非常に難しい。

（２－２．プロセス制御システム１００）
これに対して、上述したように、実施形態に係る図１に示したプロセス制御システム１００は、プラントのプロセス制御を実行する複数のコントローラ装置１０と、プロセス制御の対象装置と接続される入出力機器２０とを備える。ここで、入出力機器２０は、複数のコントローラ装置１０とは異なるオンプレミス環境に設置される。また、複数のコントローラ装置１０は、それぞれが異なる閉域網４０によって入出力機器２０と接続され、入出力機器２０との間で、プロセス制御に関する情報を送受信する。このように、プロセス制御システム１００は、複数のコントローラ装置１０を別々のデータセンタに設置し、かつ別々の通信経路で接続することで、複数のコントローラ装置１０がすべて停止状態となる可能性を極めて低くし、ダウンタイムを減らすことができる。

また、上述したように、実施形態に係る図１に示したプロセス制御システム１００は、複数のコントローラ装置１０の状態をアクティブ状態、スタンバイ状態または停止状態に切り替える制御切替装置５０と、コントローラ装置１０の状態の切替に関する情報（例：計画メンテナンス周知、クラウドや通信の障害）を受け付ける監視装置とをさらに備える。ここで、制御切替装置５０は、監視装置から状態の切替に関する通知を受信した場合には、複数のコントローラ装置１０の少なくとも１つのコントローラ装置の状態がアクティブ状態になるように切り替える。すなわち、プロセス制御システム１００は、計画メンテナンスを事前に通知し、事前にコントローラ装置１０のアクティブ状態とスタンバイ状態との切替を行うことで、コントローラ装置１０のダウンタイムを減らすことができる。また、プロセス制御システム１００は、障害発生時や障害の予兆があり、コントローラ装置１０の実行に影響が及びそうなときには、事前にコントローラ装置１０のアクティブ状態とスタンバイ状態との切替を行うことで、コントローラ装置１０のダウンタイムを減らすことができる。

［３．各装置の処理］
図３を用いて、プロセス制御システム１００を構成する各装置の処理を詳細に説明する。図３は、実施形態に係るプロセス制御システムの各装置の構成例を示すブロック図である。以下では、コントローラ装置１０（１０Ａ、１０Ｂ）、入出力機器２０、オンプレミス端末３０（３０Ａ、３０Ｂ）、閉域網４０（４０Ａ、４０Ｂ）、制御切替装置５０（５０Ａ、５０Ｂ）、外部監視装置６０、内部監視装置７０（７０Ａ、７０Ｂ）の順に説明する。

（３－１．コントローラ装置１０）
コントローラ装置１０は、プラントのプロセス制御を実行する。このとき、複数のコントローラ装置１０（１０Ａ、１０Ｂ）は、それぞれが異なる通信網（ネットワーク）によって入出力機器２０と接続される。例えば、複数のコントローラ装置１０（１０Ａ、１０Ｂ）は、それぞれが異なる閉域網４０（４０Ａ、４０Ｂ）やインターネットによって入出力機器２０と接続される。また、複数のコントローラ装置１０（１０Ａ、１０Ｂ）は、それぞれが異なるデータセンタに設置される。

コントローラ装置１０の制御部１１（１１Ａ、１１Ｂ）は、入出力機器２０との間で、プロセス制御に関する情報（制御データ）を送受信する。

（３－２．入出力機器２０）
入出力機器２０は、プロセス制御の対象装置と接続され、当該対象装置との間で、制御データを送受信する。例えば、入出力機器２０は、複数のコントローラ装置１０とは異なるオンプレミス環境に設置され、プロセス制御の対象装置との間で、制御データを送受信する。具体的な例を挙げると、入出力機器２０は、オンプレミス環境であるプラントにおいて、センサ９１やアクチュエータ９２等のフィールド機器９０と接続され、フィールド機器９０から制御データを取得する。このとき、入出力機器２０は、制御データとして、フィールド機器９０であるセンサ９１の検出結果（例：圧力、温度、流量等）等のプロセスデータや、フィールド機器９０であるアクチュエータ９２の設定値等の制御パラメータを取得する。

（３－３．オンプレミス端末３０）
オンプレミス端末３０は、ルータ等のデータゲートウェイとして、コントローラ装置１０と入出力機器２０との間でのデータ通信を中継する。例えば、オンプレミス端末３０は、入出力機器２０と接続され、また閉域網４０によってコントローラ装置１０と接続され、コントローラ装置１０と入出力機器２０との間での、制御データの送受信を中継する。

（３－４．閉域網４０）
閉域網４０は、１秒周期等の周期性を実現するために用いられる通信網の一例であり、例えば、各データセンタに設置されたコントローラ装置１０の専用回線として、コントローラ装置１０と入出力機器２０との間でのデータ通信を可能とするように接続する。例えば、複数の閉域網４０（４０Ａ、４０Ｂ）は、複数のコントローラ装置１０（１０Ａ、１０Ｂ）と、制御データの送受信を可能とするようにそれぞれ接続する。また、閉域網４０は、オンプレミス端末３０を介して入出力機器２０と、制御データの送受信を可能とするように接続する。

また、図１や図３の例では、通信網として閉域網４０を用いているが、クラウドとオンプレミス間を結ぶネットワークであれば、特に限定されない。例えば、プロセス制御システム１００では、上記の通信網として、閉域網４０の代わりにインターネットを用いることもできる。なお、プロセス制御システム１００において１秒周期等の周期性を実現するためには、インターネットよりも通信遅延が小さい閉域網４０を使用することが好ましい。

（３－５．制御切替装置５０）
制御切替装置５０の切替制御部５１は、コントローラ装置１０の状態をアクティブ状態、スタンバイ状態または停止状態に切り替える。例えば、制御切替装置５０の切替制御部５１は、外部監視装置６０や内部監視装置７０からコントローラ装置１０の状態の切替に関する通知を受信した場合には、複数のコントローラ装置１０の少なくとも１つの状態がアクティブ状態になるように状態を切り替える。なお、制御切替装置５０による状態切替処理の詳細については、［４．プロセス制御システム１００の具体例］および［５．各処理の流れ］にて後述する。

（３－６．外部監視装置６０）
外部監視装置６０の受付部６１は、コントローラ装置１０の状態の切替に関する情報を受け付ける。また、外部監視装置６０の通知部６２は、各データセンタに設置される各制御切替装置５０（５０Ａ、５０Ｂ）に対して、コントローラ装置１０の状態の切替に関する通知を送信する。このとき、外部監視装置６０は、複数のコントローラ装置１０（１０Ａ、１０Ｂ）それぞれが設置される各データセンタとは異なるデータセンタに設置される。

具体的な例を挙げると、外部監視装置６０の受付部６１は、コントローラ装置１０の状態の切替に関する情報として、クラウドベンダまたは通信ベンダから通知される計画メンテナンスの情報を受け付ける。この計画メンテナンスは、各データセンタや各コントローラ装置１０の運転に関するメンテナンスである。例えば、メンテナンスとしては、各コントローラ装置１０に物理資源を提供する各データセンタ内のメンテナンスなどであり、プロセッサやハードウェアの増強、仮想マシン等を実現する仮想化ソフトウェアやコンテナを実現するコンテナソフトウェアなどの各種ソフトウェアのバージョンアップなどがある。

（３－７．内部監視装置７０）
内部監視装置７０の受付部７１は、コントローラ装置１０の状態の切替に関する情報を受け付ける。また、内部監視装置７０の通知部７２は、各データセンタに設置される制御切替装置５０に対して、コントローラ装置１０の状態の切替に関する通知を送信する。このとき、内部監視装置７０は、複数のコントローラ装置１０（１０Ａ、１０Ｂ）それぞれが設置される各データセンタに設置される。

具体的な例を挙げると、内部監視装置７０の受付部７１は、コントローラ装置１０の状態の切替に関する情報として、クラウド基盤または通信基盤の障害に関する情報を受け付ける。ここで、内部監視装置７０の受付部７１は、データセンタ内のハードウェア資源の枯渇などを検知して、障害に関する情報として受け付けることができる。例えば、内部監視装置７０の受付部７１は、物理メモリや仮想メモリの不足、データセンタ内の通信経路の遮断や輻輳、データセンタ間の通信経路の遮断や輻輳、データセンタとオンプレミスとの間の通信速度の低下などを検知する。なお、検知手法は、公知の障害検知ソフトウェアなどを用いることができる。

［４．プロセス制御システム１００の具体例］
図４～図６を用いて、実施形態に係るプロセス制御システム１００の具体例について詳細に説明する。図４～図６は、実施形態に係るプロセス制御システムの具体例を示す図である。

（４－１．具体例１）
図４を用いて、具体例１として、制御切替装置５０、および外部監視装置６０や内部監視装置７０等の監視装置を有しないプロセス制御システム１００－１の構成例について説明する。なお、図４において、図１および図３に示したプラントおよびプラントに含まれる構成は省略する。また、コントローラ装置１０、入出力機器２０、オンプレミス端末３０および閉域網４０の構成については、図１および図３と同様であるため説明を省略する。

以下では、図４に示すプロセス制御システム１００－１の要点を説明する。第１に、プロセス制御システム１００－１では、コントローラ装置１０Ａおよびコントローラ装置１０Ｂを、外部のデータセンタであるデータセンタ１およびデータセンタ２に設置する。第２に、プロセス制御システム１００－１では、通信経路は、閉域網４０等を利用し低遅延環境とする。第３に、プロセス制御システム１００－１では、コントローラ装置１０はアクティブ状態、スタンバイ状態の冗長構成とし、上記のように異なるデータセンタ内に配置する。また、プロセス制御システム１００－１では、通信経路も別々に用意しておくことで、コントローラ装置１０から入出力機器２０までは、それぞれ別系統とする。

上述したプロセス制御システム１００－１のように、プロセス制御システム１００は、制御切替装置５０、および外部監視装置６０や内部監視装置７０等の監視装置を有しない構成をとることもできる。上記のプロセス制御システム１００－１では、コントローラ装置１０を冗長化することによって、１つの故障やメンテナンスにより、アクティブ状態およびスタンバイ状態である２つのコントローラ装置１０の両方が停止することを回避することができる。また、上記のプロセス制御システム１００－１では、コントローラ装置１０の通信経路を別々に用意することによって、プロセス制御における１秒周期を守れる構成とすることができる。

（４－２．具体例２）
図５を用いて、具体例２として、監視装置として外部監視装置６０のみを有するプロセス制御システム１００－２の構成例について説明する。なお、図５において、図１および図３で示されたデータセンタ１およびデータセンタ３に含まれる構成のみを示し、それ以外の構成は省略する。

以下では、図５に示すプロセス制御システム１００－２の要点を説明する。第１に、プロセス制御システム１００－２では、クラウド基盤や通信基盤を監視するための外部監視装置６０を設置する。図５では、外部監視装置６０は、コントローラ装置１０Ａやコントローラ装置１０Ｂが設置されたデータセンタ１やデータセンタ２とは異なるデータセンタ３に設置されているが、コントローラ装置１０と同じデータセンタ内に配置することもできる。

第２に、プロセス制御システム１００－２では、制御切替装置５０は、コントローラ装置１０と同じデータセンタ内に配置する。図５では、制御切替装置５０Ａは、コントローラ装置１０Ａが設置されたデータセンタ１に設置されているが、図示しない他のデータセンタ内に配置することもできる。

第３に、プロセス制御システム１００－２では、外部監視装置６０は、クラウド基盤および通信基盤の状態を監視し、コントローラ装置１０の状態の切替制御の必要がある場合には、制御切替装置５０に通知を行う。図５に示すように、外部監視装置６０は、クラウドベンダからクラウド基盤メンテナンス周知情報を取得する。また、同様に、外部監視装置６０は、通信ベンダから通信基盤メンテナンス周知情報を取得する。なお、切替制御を実行するか否かの判断は、事前にシステムの管理者等が設定した基準に基づいて行ってもよいし、システムの管理者等が手動で切替制御が可能な構成としてもよい。

第４に、プロセス制御システム１００－２では、制御切替装置５０は、上記の周知情報を取得すると、当該周知情報が示す計画メンテナンスによる停止の前にコントローラ装置１０の状態切替を行う。図５に示すように、制御切替装置５０は、外部監視装置６０から周知情報を取得し、計画メンテナンスに関する時間情報を取得し、アクティブ状態であるコントローラ装置１０Ａをスタンバイ状態または停止状態に切り替える。このとき、制御切替装置５０は、電子メールやＳＭＳ（Short Message Service）により上記の周知情報を取得するが、取得する手段については特に限定されない。また、制御切替装置５０は、計画メンテナンスに関する時間情報（例：メンテナンス開始時刻、メンテナンス終了時刻等）を外部監視装置６０から取得してもよいし、オペレータ等からの入力データとして取得してもよい。また、制御切替装置５０は、ＡＰＩ（Application Programming Interface）を介してコントローラ装置１０Ａの状態の切替制御を実行するが、切替手段については特に限定されない。

上述したプロセス制御システム１００－２のように、プロセス制御システム１００は、制御切替装置５０および外部監視装置６０を有し、内部監視装置７０を有しない構成をとることもできる。このとき、プロセス制御システム１００－２は、計画メンテナンスによってアクティブ状態であるコントローラ装置１０が停止する場合であっても、プラントにおけるプロセス制御の１秒周期を守ることができる。

（４－３．具体例３）
図６を用いて、具体例３として、監視装置として内部監視装置７０のみを有するプロセス制御システム１００－３の構成例について説明する。なお、図６において、図１および図３で示されたデータセンタ１に含まれる構成のみを示し、それ以外の構成は省略する。

以下では、図６に示すプロセス制御システム１００－３の要点を説明する。第１に、プロセス制御システム１００－２では、クラウド基盤や通信基盤を監視するための内部監視装置７０を設置する。図６では、内部監視装置７０Ａは、コントローラ装置１０Ａが設置されたデータセンタ１に設置されているが、コントローラ装置１０Ａとは異なるデータセンタ内に配置することもできる。

第２に、プロセス制御システム１００－３では、制御切替装置５０は、コントローラ装置１０と同じデータセンタ内に配置する。図６では、制御切替装置５０Ａは、コントローラ装置１０Ａが設置されたデータセンタ１に設置されているが、図示しない他のデータセンタ内に配置することもできる。

第３に、プロセス制御システム１００－３では、内部監視装置７０は、クラウド基盤および通信基盤の状態を監視し、コントローラ装置１０の状態の切替制御の必要がある場合には、制御切替装置５０に通知を行う。図６に示すように、内部監視装置７０Ａは、データセンタ１内の監視対象８０（８０Ａ、８０Ｂ、８０Ｃ、８０Ｄ）を監視し、各種情報を取得する。このとき、内部監視装置７０は、クラウド基盤等の内部のリソース状態（例：ＣＰＵ（Central Processing Unit）、ディスクＩ／Ｏ（Input／Output））を監視して、コントローラ装置１０の実行に影響が及ぶ恐れがある場合には、制御切替装置５０に通知する。また、内部監視装置７０は、センサ仮想マシンとして、クラウドからオンプレミスへの通信経路の監視を定期的に実施して、許容できない通信遅延が発生した場合には、制御切り替え装置に通知する。なお、切替制御を実行するか否かの判断は、事前にシステムの管理者等が設定した基準に基づいて行ってもよいし、システムの管理者等が手動で切替制御が可能な構成としてもよい。

第４に、プロセス制御システム１００－３では、制御切替装置５０は、コントローラ装置１０の実行に影響が及ぶ恐れがある場合には、コントローラ装置１０の状態切替を行う。すなわち、制御切替装置５０は、内部監視装置７０から異常を検知した旨の通知（障害制御通知）を受信した場合には、コントローラ装置１０の状態切替を行う。図６に示すように、制御切替装置５０は、内部監視装置７０から障害制御通知を取得し、障害に関する時間情報を取得し、アクティブ状態であるコントローラ装置１０Ａをスタンバイ状態または停止状態に切り替える。このとき、制御切替装置５０は、ＡＰＩシステムコールを介して上記の障害制御通知を取得するが、取得する手段については特に限定されない。また、制御切替装置５０は、障害に関する時間情報（例：通信障害の発生が予想される時間帯等）を内部監視装置７０から取得してもよいし、オペレータ等からの入力データとして取得してもよい。また、制御切替装置５０は、ＡＰＩを介してコントローラ装置１０Ａの状態の切替制御を実行するが、切替手段については特に限定されない。

上述したプロセス制御システム１００－３のように、プロセス制御システム１００は、制御切替装置５０および内部監視装置７０を有し、外部監視装置６０を有しない構成をとることもできる。このとき、プロセス制御システム１００－３は、クラウド基盤や通信基盤の故障や障害によってアクティブ状態であるコントローラ装置１０が停止する場合であっても、プラントにおけるプロセス制御の１秒周期を守ることができる。

［５．各処理の流れ］
図７および図８を用いて、実施形態に係るプロセス制御処理の流れを説明する。図７および図８は、実施形態に係るプロセス制御処理の流れの一例を示すシーケンス図である。以下では、特に外部監視装置６０による状態切替処理の流れおよび内部監視装置７０による状態切替処理の流れについて詳細に説明する。

（５－１．外部監視装置６０による状態切替処理の流れ）
図７を用いて、外部監視装置６０による状態切替処理の流れについて詳細に説明する。なお、下記のステップＳ１０１～Ｓ１１１は、異なる順序で実行することもできる。また、下記のステップＳ１０１～Ｓ１１１のうち、省略される処理や状態があってもよい。

図１で示したように、データセンタ１に設置されたコントローラ装置１０Ａがアクティブ状態（ステップＳ１０１）であり、データセンタ２に設置されたコントローラ装置１０Ｂがスタンバイ状態（ステップ１０２）である例について説明する。

まず、データセンタ３に設置された外部監視装置６０は、クラウドベンダや通信ベンダから計画メンテナンスの周知情報であるメンテナンス情報を取得する（ステップＳ１０３）。次に、外部監視装置６０は、データセンタ１に設置された制御切替装置５０Ａに対して、計画メンテナンスを理由とする切替制御通知を送信する（ステップＳ１０４）。また、外部監視装置６０は、データセンタ２に設置された制御切替装置５０Ｂに対して、計画メンテナンスを理由とする切替制御通知を送信する（ステップＳ１０５）。

続いて、制御切替装置５０Ａは、計画メンテナンスの実施時期等の時間情報を取得する（ステップＳ１０６）。また、制御切替装置５０Ｂは、同様に、計画メンテナンスの実施時期等の時間情報を取得する（ステップＳ１０７）。このとき、制御切替装置５０Ａおよび制御切替装置５０Ｂは、上記の時間情報を外部監視装置６０から取得してもよいし、オペレータ等からの入力データとして取得してもよい。

そして、制御切替装置５０Ａは、コントローラ装置１０Ａの状態切替を実行する（ステップＳ１０８）。その結果、アクティブ状態だったコントローラ装置１０Ａの状態は、スタンバイ状態または停止状態に切り替わる（ステップＳ１１０）。一方、制御切替装置５０Ｂは、コントローラ装置１０Ｂの状態切替を実行する（ステップＳ１０９）。その結果、スタンバイ状態だったコントローラ装置１０Ａの状態は、アクティブ状態に切り替わる（ステップＳ１１１）。

（５－２．内部監視装置７０による状態切替処理の流れ）
図８を用いて、内部監視装置７０による状態切替処理の流れについて詳細に説明する。なお、下記のステップＳ２０１～Ｓ２１２は、異なる順序で実行することもできる。また、下記のステップＳ２０１～Ｓ２１２のうち、省略される処理や状態があってもよい。

図１で示したように、データセンタ１に設置されたコントローラ装置１０Ａがアクティブ状態（ステップＳ２０１）であり、データセンタ２に設置されたコントローラ装置１０Ｂがスタンバイ状態（ステップ２０２）である例について説明する。

まず、データセンタ１に設置された内部監視装置７０Ａは、データセンタ１に関与するクラウド基盤や通信基盤の内部リソースの監視結果である内部リソース情報を取得する（ステップＳ２０３）。また、同様にして、データセンタ２に設置された内部監視装置７０Ｂは、データセンタ２に関与するクラウド基盤や通信基盤の内部リソースの監視結果である内部リソース情報を取得する（ステップＳ２０４）。このとき、内部監視装置７０Ａおよび内部監視装置７０Ｂは、図示しない通信網を介して内部リソース情報を共有してもよい。

次に、内部監視装置７０Ａは、上記の内部リソース情報から障害の可能性がある場合には、データセンタ１に設置された制御切替装置５０Ａに対して、クラウド基盤や通信基盤の障害を理由とする切替制御通知を送信する（ステップＳ２０５）。また、内部監視装置７０Ｂは、データセンタ２に設置された制御切替装置５０Ｂに対して、クラウド基盤や通信基盤の障害を理由とする切替制御通知を送信する（ステップＳ２０６）。

続いて、制御切替装置５０Ａは、通信障害の発生時期等の時間情報を取得する（ステップＳ２０７）。また、制御切替装置５０Ｂは、同様に、通信障害の発生時期等の時間情報を取得する（ステップＳ２０８）。このとき、制御切替装置５０Ａおよび制御切替装置５０Ｂは、上記の時間情報を内部監視装置７０Ａまたは内部監視装置７０Ｂから取得してもよいし、オペレータ等からの入力データとして取得してもよい。

そして、制御切替装置５０Ａは、コントローラ装置１０Ａの状態切替を実行する（ステップＳ２０９）。その結果、アクティブ状態だったコントローラ装置１０Ａの状態は、スタンバイ状態または停止状態に切り替わる（ステップＳ２１１）。一方、制御切替装置５０Ｂは、コントローラ装置１０Ｂの状態切替を実行する（ステップＳ２１０）。その結果、スタンバイ状態だったコントローラ装置１０Ａの状態は、アクティブ状態に切り替わる（ステップＳ２１２）。

［６．実施形態の効果］
第１に、上述した本実施形態に係るプロセス制御システム１００では、プラントのプロセス制御を実行する複数のコントローラ装置１０と、プロセス制御の対象装置と接続される入出力機器２０とを備え、入出力機器２０は、複数のコントローラ装置１０とは異なるオンプレミス環境に設置され、複数のコントローラ装置１０は、それぞれが異なる通信網によって入出力機器２０と接続され、入出力機器２０との間で、プロセス制御に関する情報を送受信する。このため、プロセス制御システム１００では、高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

第２に、上述した本実施形態に係るプロセス制御システム１００では、複数のコントローラ装置１０は、それぞれが異なるデータセンタに設置され、プロセス制御システム１００は、複数のコントローラ装置１０の状態をアクティブ状態、スタンバイ状態または停止状態に切り替える制御切替装置５０と、コントローラ装置１０の状態の切替に関する情報を受け付ける監視装置とをさらに備え、制御切替装置５０は、監視装置からコントローラ装置１０の状態の切替に関する通知を受信した場合には、複数のコントローラ装置１０の少なくとも１つのコントローラ装置の状態がアクティブ状態になるように切り替える。このため、プロセス制御システム１００では、クラウド環境において、高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

第３に、上述した本実施形態に係るプロセス制御システム１００では、監視装置は、複数のコントローラ装置１０それぞれが設置される各データセンタとは異なるデータセンタに設置され、各データセンタに設置される各制御切替装置５０に対して、コントローラ装置１０の状態の切替に関する通知を送信する。このため、プロセス制御システム１００では、クラウド環境において、外部監視装置を用いることによって高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

第４に、上述した本実施形態に係るプロセス制御システム１００では、監視装置は、コントローラ装置１０の状態の切替に関する情報として、クラウドベンダまたは通信ベンダから通知される計画メンテナンスの情報を受け付ける。このため、プロセス制御システム１００では、クラウド環境において、外部監視装置を用いることによりクラウド基盤や通信基盤の計画メンテナンスがある場合にも、高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

第５に、上述した本実施形態に係るプロセス制御システム１００では、監視装置は、複数のコントローラ装置それぞれが設置される各データセンタに設置され、監視装置は、各データセンタに設置される制御切替装置に対して、コントローラ装置１０の状態の切替に関する通知を送信する。このため、プロセス制御システム１００では、クラウド環境において、内部監視装置を用いることによって高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

第６に、上述した本実施形態に係るプロセス制御システム１００では、監視装置は、コントローラ装置１０の状態の切替に関する情報として、クラウド基盤または通信基盤の障害に関する情報を受け付ける。このため、プロセス制御システム１００では、クラウド環境において、内部監視装置を用いることによりクラウド基盤や通信基盤の障害が発生する場合にも、高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

第７に、上述した本実施形態に係るプロセス制御システム１００では、複数のコントローラ装置１０は、それぞれが異なる閉域網４０によって入出力機器２０と接続され、入出力機器２０との間で、プロセス制御に関する情報を送受信する。このため、プロセス制御システム１００では、より通信遅延が小さい高可用性を維持した効果的なプラントのプロセス制御を実現することができる。

〔システム〕
上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散や統合の具体的形態は図示のものに限られない。つまり、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

〔ハードウェア〕
次に、コントローラ装置１０のハードウェア構成例を説明する。なお、他の装置も同様のハードウェア構成とすることができる。図９は、実施形態に係るハードウェア構成例を説明する図である。図９に示すように、コントローラ装置１０は、通信装置１０ａ、ＨＤＤ（Hard Disk Drive）１０ｂ、メモリ１０ｃ、プロセッサ１０ｄを有する。また、図９に示した各部は、バス等で相互に接続される。

通信装置１０ａは、ネットワークインタフェースカードなどであり、他のサーバとの通信を行う。ＨＤＤ１０ｂは、図３に示した機能を動作させるプログラムやＤＢを記憶する。

プロセッサ１０ｄは、図３に示した処理を実行するプログラムをＨＤＤ１０ｂ等から読み出してメモリ１０ｃに展開することで、図３で説明した各機能を実行するプロセスを動作させる。

このように、コントローラ装置１０は、プログラムを読み出して実行することで各種処理方法を実行する装置として動作する。また、コントローラ装置１０は、媒体読取装置によって記録媒体から上記プログラムを読み出し、読み出された上記プログラムを実行することで上記した実施形態と同様の機能を実現することもできる。なお、この他の実施形態でいうプログラムは、コントローラ装置１０によって実行されることに限定されるものではない。例えば、他のコンピュータまたはサーバがプログラムを実行する場合や、これらが協働してプログラムを実行するような場合にも、本発明を同様に適用することができる。

このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ－ＲＯＭ、ＭＯ（Magneto－Optical disk）、ＤＶＤ（Digital Versatile Disc）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することができる。

１０、１０Ａ、１０Ｂ コントローラ装置
１１、１１Ａ、１１Ｂ 制御部
２０ 入出力機器
３０、３０Ａ、３０Ｂ オンプレミス端末
４０、４０Ａ、４０Ｂ 閉域網
５０、５０Ａ、５０Ｂ 制御切替装置
５１、５１Ａ、５１Ｂ 切替制御部
６０ 外部監視装置
６１ 受付部
６２ 通知部
７０、７０Ａ、７０Ｂ 内部監視装置
７１、７１Ａ、７１Ｂ 受付部
７２、７２Ａ、７２Ｂ 通知部
８０、８０Ａ、８０Ｂ、８０Ｃ、８０Ｄ 監視対象
９０ フィールド機器
９１ センサ
９２ アクチュエータ
１００、１００－Ｐ、１１０－１、１００－２、１００－３ プロセス制御システム

Claims (7)

1. プラントのプロセス制御を実行する複数のコントローラ装置と、前記プロセス制御の対象装置と接続される入出力機器と、監視装置と、前記複数のコントローラ装置の状態をアクティブ状態、スタンバイ状態または停止状態に切り替える制御切替装置とを備える制御システムにおいて、
   前記入出力機器は、
   前記複数のコントローラ装置とは異なるオンプレミス環境に設置され、
   前記複数のコントローラ装置は、
   それぞれが異なるデータセンタに設置され、
   それぞれが異なる通信網によって前記入出力機器と接続され、前記入出力機器との間で、前記プロセス制御に関する情報を送受信する制御部を有し、
   前記監視装置は、
   前記複数のコントローラ装置それぞれが設置される各データセンタとは異なるデータセンタに設置される外部監視装置と、
   前記複数のコントローラ装置それぞれが設置される各データセンタに設置される内部監視装置とであって、
   前記複数のコントローラ装置の状態の切替に関する情報を受け付け、
   前記制御切替装置は、
   前記外部監視装置および前記内部監視装置の少なくとも１つから前記状態の切替に関する通知および前記状態の切替の時間に関する時間情報を受信した場合には、前記複数のコントローラ装置の少なくとも１つのコントローラ装置の状態がアクティブ状態になるように切り替え、
   前記外部監視装置は、
   クラウド基盤または通信基盤の計画メンテナンスの開始または終了に関する前記時間情報を前記制御切替装置に送信し、
   前記内部監視装置は、
   クラウド基盤または通信基盤の障害の発生が予想される時間帯に関する前記時間情報を前記制御切替装置に送信する、
   制御システム。
2. 前記外部監視装置は、
   前記各データセンタに設置される各制御切替装置に対して、前記状態の切替に関する通知を送信する通知部を有する、
   請求項１に記載の制御システム。
3. 前記外部監視装置は、
   前記状態の切替に関する情報として、クラウドベンダまたは通信ベンダから通知される前記計画メンテナンスの情報を受け付ける受付部を有し、
   前記計画メンテナンスは、前記複数のコントローラ装置に物理資源を提供する前記各データセンタ内のメンテナンスである、
   請求項１または２に記載の制御システム。
4. 前記内部監視装置は、
   前記各データセンタに設置される前記制御切替装置に対して、前記状態の切替に関する通知を送信する通知部を有する、
   請求項１から３のいずれか１項に記載の制御システム。
5. 前記内部監視装置は、
   前記状態の切替に関する情報として、前記クラウド基盤または前記通信基盤の前記障害に関する情報を受け付ける受付部を有し、
   前記障害は、前記データセンタ内のハードウェア資源の枯渇である、
   請求項１から４のいずれか１項に記載の制御システム。
6. 前記通信網が閉域網である、
   請求項１から５のいずれか１項に記載の制御システム。
7. プラントのプロセス制御を実行する複数のコントローラ装置と、前記プロセス制御の対象装置と接続される入出力機器と、監視装置と、前記複数のコントローラ装置の状態をアクティブ状態、スタンバイ状態または停止状態に切り替える制御切替装置とを備える制御システムが実行する制御方法において、
   前記入出力機器が、
   前記複数のコントローラ装置とは異なるオンプレミス環境に設置され、
   前記複数のコントローラ装置が、
   それぞれが異なるデータセンタに設置され、
   それぞれが異なる通信網によって前記入出力機器と接続され、前記入出力機器との間で、前記プロセス制御に関する情報を送受信する処理を実行し、
   前記監視装置が、
   前記複数のコントローラ装置それぞれが設置される各データセンタとは異なるデータセンタに設置される外部監視装置と、
   前記複数のコントローラ装置それぞれが設置される各データセンタに設置される内部監視装置とであって、
   前記複数のコントローラ装置の状態の切替に関する情報を受け付け、
   前記制御切替装置が、
   前記外部監視装置および前記内部監視装置の少なくとも１つから前記状態の切替に関する通知および前記状態の切替の時間に関する時間情報を受信した場合には、前記複数のコントローラ装置の少なくとも１つのコントローラ装置の状態がアクティブ状態になるように切り替え、
   前記外部監視装置は、
   クラウド基盤または通信基盤の計画メンテナンスの開始または終了に関する前記時間情報を前記制御切替装置に送信し、
   前記内部監視装置は、
   クラウド基盤または通信基盤の障害の発生が予想される時間帯に関する前記時間情報を前記制御切替装置に送信する、
   制御方法。