JP2006244269A

JP2006244269A - Facility management apparatus, program update system, facility management program update method, start program, and facility management program

Info

Publication number: JP2006244269A
Application number: JP2005060906A
Authority: JP
Inventors: Satoru Tanba; 覚丹波
Original assignee: Daikin Industries Ltd
Current assignee: Daikin Industries Ltd
Priority date: 2005-03-04
Filing date: 2005-03-04
Publication date: 2006-09-14

Abstract

【課題】更新後の設備管理プログラムに動作異常が生じても運転を続行させることができるようにする。
【解決手段】設備管理装置は、設備管理プログラム２５、２７によって機器を管理する。設備管理装置は、第１格納領域２２と、第２格納領域２３と、起動プログラム２９とを備えている。第１格納領域２２は、第１設備管理プログラム２５を格納する。第２格納領域２３は、第２設備管理プログラム２７を格納する。起動プログラム２９は、第１格納領域２２の第１設備管理プログラム２５および第２格納領域２３の第２設備管理プログラム２７のうちのいずれか一方を選択して起動する。
【選択図】図３An operation management program can be continued even if an operation abnormality occurs in an updated equipment management program.
An equipment management apparatus manages equipment by equipment management programs 25 and 27. The equipment management apparatus includes a first storage area 22, a second storage area 23, and a startup program 29. The first storage area 22 stores the first facility management program 25. The second storage area 23 stores a second equipment management program 27. The activation program 29 selects and activates one of the first facility management program 25 in the first storage area 22 and the second facility management program 27 in the second storage area 23.
[Selection] Figure 3

Description

本発明は、設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムに関する。 The present invention relates to an equipment management apparatus, a program update system, an equipment management program update method, an activation program, and an equipment management program.

従来より、遠隔のプログラム更新装置からネットワーク経由で更新対象の装置へプログラムの更新を行うための種々の方法が提案されている。
特許文献１記載のプログラム更新方法では、電子機器制御プログラムおよびダウンロードプログラムを含むリモートダウンローダが自ら更新対象の装置へダウンロードするとともに動作確認を行い、動作良好と判定した場合には自ら起動動作を行う。
特開２００３−３３０７２号公報 Conventionally, various methods for updating a program from a remote program update device to a device to be updated via a network have been proposed.
In the program update method described in Patent Document 1, a remote downloader including an electronic device control program and a download program downloads itself to the device to be updated, confirms the operation, and performs an activation operation when it determines that the operation is good.
JP 2003-33072 A

しかし、一般的には、プログラム更新の際に、更新対象の装置へ送信されるプログラムが更新対象の装置でうまく動作しない場合には、更新対象の装置の運転が中断される。そのため、管理者等が更新対象の装置の設置される現場へ行き、点検・修理を行う必要がある。そのため、手間と時間がかかる。
また、特許文献１記載のプログラム更新方法では、リモートダウンローダ自ら起動する機能を有するので、設計自由度に制限がある。 However, generally, when a program transmitted to an update target apparatus does not work well in the update target apparatus during program update, the operation of the update target apparatus is interrupted. For this reason, it is necessary for an administrator or the like to go to the site where the device to be updated is installed and perform inspection and repair. Therefore, it takes time and effort.
Moreover, since the program update method described in Patent Document 1 has a function of starting the remote downloader itself, there is a limitation in the degree of design freedom.

本発明の課題は、更新後の設備管理プログラムに動作異常が生じても運転を続行させることができ、しかも設備管理プログラムの設計自由度が拡大された、設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムを提供することにある。 An object of the present invention is to provide a facility management apparatus, a program update system, and a facility management in which operation can be continued even if an operation abnormality occurs in the facility management program after update, and the design flexibility of the facility management program is expanded. The object is to provide a program update method, a startup program, and an equipment management program.

第１発明の設備管理装置は、設備管理プログラムによって機器を管理する。設備管理装置は、第１格納領域と、第２格納領域と、起動プログラムとを備えている。第１格納領域は、第１設備管理プログラムを格納する。第２格納領域は、第２設備管理プログラムを格納する。起動プログラムは、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動する。 The equipment management device of the first invention manages equipment by a equipment management program. The facility management apparatus includes a first storage area, a second storage area, and a startup program. The first storage area stores the first facility management program. The second storage area stores the second facility management program. The activation program selects and activates one of the first facility management program in the first storage area and the second facility management program in the second storage area.

ここでは、起動プログラムが第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動するので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。また、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動する機能を有しているので、第１設備管理プログラムおよび第２設備管理プログラムの設計自由度が拡大される。 Here, since the activation program selects and activates either the first facility management program in the first storage area or the second facility management program in the second storage area, there is an operation error in the second facility management program. Even if it occurs, the first facility management program is started and the operation of the facility management apparatus is continued. Further, since the activation program has a function of activating the first facility management program and the second facility management program, the degree of design freedom of the first facility management program and the second facility management program is expanded.

第２発明の設備管理装置は、第１発明の設備管理装置であって、起動プログラムは、所定のフラグに基づいて、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方を選択して起動する。
ここでは、フラグを変更することにより、起動プログラムによって、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方が選択されて起動される。 The equipment management device of the second invention is the equipment management device of the first invention, and the activation program selects one of the first equipment management program and the second equipment management program based on a predetermined flag And start.
Here, by changing the flag, one of the first facility management program and the second facility management program is selected and started by the startup program.

第３発明の設備管理装置は、第２発明の設備管理装置であって、第１設備管理プログラムは、フラグを変更する機能を有する。第２設備管理プログラムが第２格納領域に格納されたときに、第１設備管理プログラムは、起動プログラムが第２設備管理プログラムを選択して起動するようにフラグを変更する。
ここでは、第２設備管理プログラムが第２格納領域に格納されたときに、フラグが変更され、起動プログラムによって、第２設備管理プログラムが選択されて起動される。 The equipment management device of the third invention is the equipment management device of the second invention, and the first equipment management program has a function of changing a flag. When the second facility management program is stored in the second storage area, the first facility management program changes the flag so that the activation program selects and activates the second facility management program.
Here, when the second facility management program is stored in the second storage area, the flag is changed, and the second facility management program is selected and activated by the activation program.

第４発明の設備管理装置は、第１発明から第３発明のいずれかの設備管理装置であって、書き込み部をさらに備えている。書き込み部は、第２格納領域に第２設備管理プログラムを書き込む。
ここでは、書き込み部によって、第２格納領域に第２設備管理プログラムが書き込まれる。 A facility management apparatus according to a fourth aspect of the present invention is the facility management apparatus according to any one of the first to third aspects of the present invention, further comprising a writing unit. The writing unit writes the second facility management program in the second storage area.
Here, the second facility management program is written in the second storage area by the writing unit.

第５発明の設備管理装置は、第２発明の設備管理装置であって、第２設備管理プログラムは、動作不能要因を検出する機能を有する。動作不能要因は、第２設備管理プログラムが所定の時間だけ実行されたときに生じる動作不能に関する。
ここでは、第２設備管理プログラムによって、第２設備管理プログラムの実際の動作状況から動作不能が検出される。 The equipment management device of the fifth invention is the equipment management device of the second invention, and the second equipment management program has a function of detecting an inoperable factor. The inoperability factor relates to inoperability that occurs when the second facility management program is executed for a predetermined time.
Here, the second facility management program detects inoperability from the actual operation status of the second facility management program.

第６発明の設備管理装置は、第５発明の設備管理装置であって、第２設備管理プログラムは、動作不能要因が検出されたときにフラグを変更する機能をさらに有する。
ここでは、第２設備管理プログラムの実際の動作状況における動作不能を検出したときに、フラグを変更する。 The equipment management device of the sixth invention is the equipment management device of the fifth invention, and the second equipment management program further has a function of changing a flag when an inoperable factor is detected.
Here, the flag is changed when the inoperability in the actual operation status of the second facility management program is detected.

第７発明の設備管理装置は、第６発明の設備管理装置であって、動作不能要因が検出されたことに起因してフラグが変更されたときに、起動プログラムは、第１設備管理プログラムを起動する。
ここでは、第２設備管理プログラムを実行したときの動作不能要因が検出されたときに、第１設備管理プログラムが選択されて起動される。 The equipment management device of the seventh invention is the equipment management device of the sixth invention, and when the flag is changed due to the detection of the inoperable factor, the activation program is the first equipment management program. to start.
Here, the first facility management program is selected and activated when an inoperable factor is detected when the second facility management program is executed.

第８発明の設備管理装置は、第５発明から第７発明のいずれかの設備管理装置であって、検出結果情報送信部をさらに備えている。検出結果情報送信部は、検出結果情報を所定の送信先へ送信する。検出結果情報は、動作不能要因の検出結果に関する情報である。
ここでは、検出結果情報送信部によって、動作不能要因の検出結果を所定の送信先へ送信する。
第９発明のプログラム更新システムは、設備管理装置と、遠隔監視センターシステムとを備えている。設備管理装置は、第１発明から第８発明のいずれかの設備管理装置である。遠隔監視センターシステムは、設備管理装置に接続されている。遠隔監視センターシステムは、設備管理装置を遠隔監視する
ここでは、起動プログラムが第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動するので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。また、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動する機能を有しているので、第１設備管理プログラムおよび第２設備管理プログラムの設計自由度が拡大される。しかも、遠隔監視センターシステムからの遠隔監視が可能である。 An equipment management device according to an eighth aspect of the present invention is the equipment management device according to any of the fifth through seventh aspects, further comprising a detection result information transmission unit. The detection result information transmission unit transmits the detection result information to a predetermined transmission destination. The detection result information is information related to the detection result of the inoperable factor.
Here, the detection result of the inoperable factor is transmitted to a predetermined transmission destination by the detection result information transmission unit.
The program update system of the ninth invention comprises an equipment management device and a remote monitoring center system. The equipment management device is the equipment management device according to any one of the first to eighth inventions. The remote monitoring center system is connected to the equipment management device. The remote monitoring center system remotely monitors the equipment management device. Here, the activation program selects either the first equipment management program in the first storage area or the second equipment management program in the second storage area. Since it starts, even if an operation abnormality occurs in the second facility management program, the first facility management program is started and the operation of the facility management apparatus is continued. Further, since the activation program has a function of activating the first facility management program and the second facility management program, the degree of design freedom of the first facility management program and the second facility management program is expanded. Moreover, remote monitoring from a remote monitoring center system is possible.

第１０発明のプログラム更新システムは、第９発明のプログラム更新システムであって、第１設備管理プログラムは、第２設備管理プログラムをダウンロードする機能を有する。第１設備管理プログラムは、遠隔監視センターシステムに第２設備管理プログラムが存在するときに第２設備管理プログラムを第２格納領域にダウンロードする。
ここでは、第２設備管理プログラムは、遠隔監視センターシステムから第２格納領域へダウンロードされる。 The program update system of the tenth invention is the program update system of the ninth invention, and the first facility management program has a function of downloading the second facility management program. The first facility management program downloads the second facility management program to the second storage area when the second facility management program exists in the remote monitoring center system.
Here, the second facility management program is downloaded from the remote monitoring center system to the second storage area.

第１１発明のプログラム更新システムは、設備管理装置と、更新装置とを備えている。設備管理装置は、第１発明から第８発明のいずれかの設備管理装置である。更新装置は、設備管理装置に接続されている。更新装置は、第２設備管理プログラムを第２格納領域にアップロードする。
ここでは、起動プログラムが第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動するので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。また、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動する機能を有しているので、第１設備管理プログラムおよび第２設備管理プログラムの設計自由度が拡大される。しかも、管理者等が設備管理装置の設置場所に出向いて、更新装置から第２設備管理プログラムを第２格納領域にアップロードする。 A program update system according to an eleventh aspect includes an equipment management device and an update device. The equipment management device is the equipment management device according to any one of the first to eighth inventions. The update device is connected to the facility management device. The update device uploads the second facility management program to the second storage area.
Here, since the activation program selects and activates either the first facility management program in the first storage area or the second facility management program in the second storage area, there is an operation error in the second facility management program. Even if it occurs, the first facility management program is started and the operation of the facility management apparatus is continued. Further, since the activation program has a function of activating the first facility management program and the second facility management program, the degree of design freedom of the first facility management program and the second facility management program is expanded. In addition, the administrator or the like visits the installation location of the equipment management device and uploads the second equipment management program from the update device to the second storage area.

第１２発明の設備管理プログラム更新方法は、設備管理装置が機器を管理するための設備管理プログラムの更新方法である。設備管理装置は、第１格納領域と第２格納領域とを備えている。第１格納領域は、第１設備管理プログラムを格納する。第２格納領域は、第２設備管理プログラムを格納する。この設備管理プログラムの更新方法は、書き込みステップと、起動ステップとを含む。書き込みステップでは、第２設備管理プログラムが第２格納領域に書き込まれる。起動ステップでは、所定のフラグに基づいて、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方が選択されて起動される。
ここでは、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方が選択されて起動されるので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。 A facility management program update method according to a twelfth aspect of the invention is a facility management program update method for managing a device by a facility management apparatus. The equipment management apparatus includes a first storage area and a second storage area. The first storage area stores the first facility management program. The second storage area stores the second facility management program. The facility management program update method includes a writing step and a starting step. In the writing step, the second facility management program is written in the second storage area. In the activation step, one of the first facility management program in the first storage area and the second facility management program in the second storage area is selected and activated based on a predetermined flag.
Here, since either one of the first equipment management program in the first storage area and the second equipment management program in the second storage area is selected and started, an operation abnormality occurs in the second equipment management program. In this case, the first facility management program is activated and the operation of the facility management apparatus is continued.

第１３発明の起動プログラムは、第１設備管理プログラムまたは第２設備管理プログラムを起動する。第１設備管理プログラムまたは第２設備管理プログラムは、機器を管理する設備管理装置のためのプログラムである。設備管理装置は、第１格納領域と第２格納領域とを備えている。第１格納領域は、第１設備管理プログラムを格納する。第２格納領域は、第２設備管理プログラムを格納する。起動プログラムは、所定のフラグに基づいて、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択する。
ここでは、起動プログラムによって、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方が選択されて起動されるので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。 The activation program according to the thirteenth aspect activates the first facility management program or the second facility management program. The first facility management program or the second facility management program is a program for a facility management apparatus that manages equipment. The equipment management apparatus includes a first storage area and a second storage area. The first storage area stores the first facility management program. The second storage area stores the second facility management program. The activation program selects one of the first facility management program in the first storage area and the second facility management program in the second storage area based on a predetermined flag.
Here, since either one of the first equipment management program in the first storage area and the second equipment management program in the second storage area is selected and activated by the activation program, the operation is performed on the second equipment management program. Even if an abnormality occurs, the first facility management program is started and the operation of the facility management apparatus is continued.

第１４発明の設備管理プログラムは、設備管理装置が機器を管理するためのプログラムである。設備管理装置は、第１格納領域および第２格納領域と、起動プログラムとを備えている。第１格納領域および第２格納領域は、設備管理プログラムを格納する。起動プログラムは、所定のフラグに基づいて第１格納領域および第２格納領域に格納される設備管理プログラムのうちのいずれか一方を選択して起動する。設備管理プログラムは、フラグを変更する機能を有する。設備管理プログラムが第２格納領域に格納されたときに、設備管理プログラムは、起動プログラムが第２格納領域の設備管理プログラムを選択して起動するようにフラグを変更する。
ここでは、設備管理プログラムが第２格納領域に格納されたときに、フラグが変更される。 The equipment management program of the 14th invention is a program for the equipment management apparatus to manage equipment. The facility management apparatus includes a first storage area, a second storage area, and a startup program. The first storage area and the second storage area store the facility management program. The activation program selects and activates one of the facility management programs stored in the first storage area and the second storage area based on a predetermined flag. The equipment management program has a function of changing the flag. When the facility management program is stored in the second storage area, the facility management program changes the flag so that the startup program selects and starts the facility management program in the second storage area.
Here, the flag is changed when the facility management program is stored in the second storage area.

第１５発明の設備管理プログラムは、第１４発明の設備管理プログラムであって、動作不能要因を検出する機能を有する。動作不能要因は、第２格納領域の設備管理プログラムが所定の時間だけ実行されたときに生じる動作不能に関する。
ここでは、第２格納領域の設備管理プログラムの実際の動作状況から動作不能が検出される。 The equipment management program of the fifteenth aspect of the invention is the equipment management program of the fourteenth aspect of the invention, and has a function of detecting an inoperable factor. The inoperability factor relates to inoperability that occurs when the facility management program in the second storage area is executed for a predetermined time.
Here, inoperability is detected from the actual operation status of the facility management program in the second storage area.

第１６発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能要因が検出されたときにフラグを変更する機能をさらに有する。
ここでは、設備管理プログラムの実際の動作状況における動作不能を検出したときに、フラグを変更する。 The facility management program according to the sixteenth aspect of the present invention is the facility management program according to the fifteenth aspect of the present invention, further having a function of changing a flag when an inoperability factor is detected.
Here, the flag is changed when the inoperability in the actual operation status of the facility management program is detected.

第１７発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能を検出する機能は、設備管理装置におけるメモリアロケーション処理の失敗を検出する機能を含む。
ここでは、設備管理装置におけるメモリアロケーション処理の失敗を検出することによって、動作不能を検出する。 The equipment management program according to the seventeenth aspect of the invention is the equipment management program according to the fifteenth aspect of the invention, and the function of detecting the inoperability includes a function of detecting a failure of the memory allocation process in the equipment management apparatus.
Here, the inoperability is detected by detecting a failure of the memory allocation process in the facility management apparatus.

第１８発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能を検出する機能は、例外トラップを検出する機能を含む。設備管理装置の制御部は、例外トラップを発生する
ここでは、設備管理装置の制御部が発生する例外トラップを検出することによって、動作不能を検出する。 An equipment management program according to an eighteenth aspect of the invention is the equipment management program according to the fifteenth aspect of the invention, and the function of detecting inoperability includes a function of detecting an exception trap. The control unit of the facility management apparatus generates an exception trap. Here, the inoperability is detected by detecting the exception trap generated by the control unit of the facility management apparatus.

第１９発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能を検出する機能は、設備管理プログラムの実行に用いられる設定値の不整合を検出する機能を含む。
ここでは、設備管理プログラムの実行に用いられる設定値の不整合を検出することによって、動作不能を検出する。 An equipment management program according to a nineteenth aspect of the invention is the equipment management program according to the fifteenth aspect of the invention, and the function of detecting inoperability includes a function of detecting inconsistencies in set values used for executing the equipment management program.
Here, the inoperability is detected by detecting inconsistencies in setting values used for executing the facility management program.

第１発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。しかも、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動するので、設備管理プログラムの設計自由度が拡大する。
第２発明によれば、フラグを変更することにより、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方を選択して起動することができる。 According to the first invention, even if an operation abnormality occurs in the second facility management program, the first facility management program can be restored and the operation of the facility management apparatus can be continued. In addition, since the activation program activates the first facility management program and the second facility management program, the degree of design freedom of the facility management program is expanded.
According to the second aspect, by changing the flag, either one of the first facility management program and the second facility management program can be selected and activated.

第３発明によれば、第２設備管理プログラムが第２格納領域に格納されたときに、第２設備管理プログラムを自動的に選択して起動させることができる。
第４発明によれば、第２設備管理プログラムを第２格納領域に格納することができる。
第５発明によれば、第２設備管理プログラムの実際の動作状況から動作不能を検出することができる。 According to the third invention, when the second facility management program is stored in the second storage area, the second facility management program can be automatically selected and activated.
According to the fourth invention, the second facility management program can be stored in the second storage area.
According to the fifth aspect, it is possible to detect inoperability from the actual operation status of the second facility management program.

第６発明によれば、第２設備管理プログラムの実際の動作不能を検出したときに、フラグを変更することができる。
第７発明によれば、第２設備管理プログラムの実際の動作不能が検出されたときに、第１設備管理プログラムを自動的に起動させることができる。
第８発明によれば、検出結果情報を所定の送信先へ送信することができる。これによって、設備管理プログラムの更新の成功または失敗を遠隔地で知ることができる。 According to the sixth aspect of the invention, the flag can be changed when the actual inoperability of the second facility management program is detected.
According to the seventh aspect of the present invention, the first facility management program can be automatically activated when an actual inoperability of the second facility management program is detected.
According to the eighth aspect, the detection result information can be transmitted to a predetermined transmission destination. As a result, the success or failure of updating the facility management program can be known from a remote location.

第９発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。しかも、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動するので、設備管理プログラムの設計自由度が拡大する。また、遠隔監視センターシステムから遠隔監視を行うことができる。 According to the ninth aspect of the invention, even if an operation abnormality occurs in the second facility management program, the first facility management program can be returned to continue the operation of the facility management apparatus. Moreover, since the activation program activates the first facility management program and the second facility management program, the degree of freedom in designing the facility management program is expanded. Further, remote monitoring can be performed from a remote monitoring center system.

第１０発明によれば、遠隔監視センターシステムから第２設備管理プログラムを第２格納領域にダウンロードすることができる。
第１１発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。しかも、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動するので、設備管理プログラムの設計自由度が拡大する。また、管理者等が設備管理装置の設置場所に出向いて、更新装置から第２設備管理プログラムを第２格納領域にアップロードすることができる。 According to the tenth aspect, the second facility management program can be downloaded from the remote monitoring center system to the second storage area.
According to the eleventh aspect of the present invention, even if an operation abnormality occurs in the second facility management program, the first facility management program can be restored and the operation of the facility management apparatus can be continued. In addition, since the activation program activates the first facility management program and the second facility management program, the degree of design freedom of the facility management program is expanded. In addition, an administrator or the like can go to the installation location of the equipment management device and upload the second equipment management program from the update device to the second storage area.

第１２発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。
第１３発明によれば、フラグを変更することにより、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方を選択して起動することができる。
第１４発明によれば、第２設備管理プログラムが第２格納領域に格納されたときに、第２設備管理プログラムを自動的に選択して起動させることができる。 According to the twelfth invention, even if an operation abnormality occurs in the second facility management program, the first facility management program can be restored and the operation of the facility management apparatus can be continued.
According to the thirteenth aspect, by changing the flag, one of the first facility management program and the second facility management program can be selected and activated.
According to the fourteenth aspect, when the second facility management program is stored in the second storage area, the second facility management program can be automatically selected and activated.

第１５発明によれば、第２設備管理プログラムの実際の動作状況から動作不能を検出することができる。
第１６発明によれば、第２設備管理プログラムの実際の動作不能を検出したときに、フラグを変更することができる。
第１７発明によれば、設備管理装置におけるメモリアロケーション処理の失敗を検出することによって、動作不能を検出することができる。 According to the fifteenth aspect, it is possible to detect inoperability from the actual operation status of the second facility management program.
According to the sixteenth aspect, the flag can be changed when the actual inoperability of the second facility management program is detected.
According to the seventeenth aspect, it is possible to detect the inoperability by detecting a failure of the memory allocation process in the facility management apparatus.

第１８発明によれば、設備管理装置の制御部が発生する例外トラップを検出することによって、動作不能を検出することができる。
第１９発明によれば、設備管理プログラムの実行に用いられる設定値の不整合を検出することによって、動作不能を検出することができる。 According to the eighteenth aspect, the inoperability can be detected by detecting an exception trap generated by the control unit of the facility management apparatus.
According to the nineteenth aspect of the invention, it is possible to detect inoperability by detecting inconsistencies in set values used for executing the facility management program.

つぎに、本発明の実施形態に係る設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムについて、図面を参照しながら詳細に説明する。 Next, an equipment management apparatus, a program update system, an equipment management program update method, an activation program, and an equipment management program according to an embodiment of the present invention will be described in detail with reference to the drawings.

＜プログラム更新システム１の構成＞
図１に示されるように、プログラム更新システム１は、設備管理機器が機器を管理するために用いられる設備管理プログラム（以下、プログラムという）を更新するシステムであり、主要な構成として、設備管理装置である空調システム監視制御用コントローラ（以下、コントローラという）２と、遠隔監視センターシステム３とを備えている。
コントローラ２は、複数の空調機器４の運転を制御および監視するコントローラである。コントローラ２は、プログラムを用いて複数の空調機器４を管理する。コントローラ２は、複数の空調機器４に信号線６を介して通信可能に接続されている。空調機器４は、室内機および室外機の両方を含む。コントローラ２は、プログラムを用いて、空調機器４の管理を行う。 <Configuration of Program Update System 1>
As shown in FIG. 1, a program update system 1 is a system for updating a facility management program (hereinafter referred to as a program) used by a facility management device to manage the device. The air conditioning system monitoring control controller (hereinafter referred to as a controller) 2 and the remote monitoring center system 3 are provided.
The controller 2 is a controller that controls and monitors the operation of the plurality of air conditioners 4. The controller 2 manages a plurality of air conditioners 4 using a program. The controller 2 is connected to a plurality of air conditioners 4 through a signal line 6 so as to be communicable. The air conditioner 4 includes both an indoor unit and an outdoor unit. The controller 2 manages the air conditioner 4 using a program.

コントローラ２と遠隔監視センターシステム３とは、インターネットなどの通信網５を介して通信可能に接続されている。
コントローラ２には、第１設備管理プログラムである更新前のプログラム（以下、更新前プログラムという）が存在している。更新前プログラムが第２設備管理プログラムである更新後のプログラム（以下、更新後プログラムという）へ更新されるときには、更新後プログラムが遠隔監視センターシステム３からコントローラ２へダウンロードされる。 The controller 2 and the remote monitoring center system 3 are communicably connected via a communication network 5 such as the Internet.
The controller 2 includes a pre-updating program (hereinafter referred to as a pre-updating program) that is a first facility management program. When the pre-update program is updated to the updated program (hereinafter referred to as the post-update program) which is the second facility management program, the post-update program is downloaded from the remote monitoring center system 3 to the controller 2.

＜コントローラ２の構成＞
図２に示されるように、コントローラ２は、受信部１３と、送信部１４と、制御部１５と、検出結果情報送信部１６と、表示部１８と、運転操作部１９と、書き込み部２０と、不揮発性メモリ２１とを備えている。
受信部１３は、遠隔監視センターシステム３からダウンロードされた更新後プログラムを受信する。受信部１３は、遠隔監視センターシステム３からの遠隔制御信号等の種々の信号も受信する。
送信部１４は、遠隔監視センターシステム３へ、空調機器４の監視に関する情報を定期的に送信する。 <Configuration of controller 2>
As shown in FIG. 2, the controller 2 includes a receiving unit 13, a transmitting unit 14, a control unit 15, a detection result information transmitting unit 16, a display unit 18, a driving operation unit 19, and a writing unit 20. And a non-volatile memory 21.
The receiving unit 13 receives the updated program downloaded from the remote monitoring center system 3. The receiving unit 13 also receives various signals such as a remote control signal from the remote monitoring center system 3.
The transmission unit 14 periodically transmits information related to the monitoring of the air conditioner 4 to the remote monitoring center system 3.

制御部１５は、複数の空調機器４の運転を制御および監視するＣＰＵである。また、制御部１５は、コントローラ２の内部の各構成要素（受信部１３、送信部１４、検出結果情報送信部１６、表示部１８、運転操作部１９、書き込み部２０、および不揮発性メモリ２１）の動作を制御する。
また、制御部１５は、実行できない命令や、存在しないアドレスへのアクセスや、書き込み不能なアクセスに対して例外トラップを発生する機能を有する。 The control unit 15 is a CPU that controls and monitors the operation of the plurality of air conditioners 4. In addition, the control unit 15 is configured by each component inside the controller 2 (reception unit 13, transmission unit 14, detection result information transmission unit 16, display unit 18, driving operation unit 19, writing unit 20, and nonvolatile memory 21). To control the operation.
The control unit 15 has a function of generating an exception trap for an instruction that cannot be executed, an access to a nonexistent address, or an unwritable access.

表示部１８は、コントローラ２による複数の空調機器４の制御に関する情報、および更新動作の状況に関する情報を表示する。
運転操作部１９は、管理者等が複数の空調機器４の運転制御を行うための操作部である。
書き込み部２０は、遠隔監視センターシステム３から受信部１３へ送信された更新後プログラム２７（図３参照）を不揮発性メモリ２１に書き込む。 The display unit 18 displays information related to the control of the plurality of air conditioners 4 by the controller 2 and information related to the status of the update operation.
The operation operation unit 19 is an operation unit for an administrator or the like to perform operation control of the plurality of air conditioners 4.
The writing unit 20 writes the updated program 27 (see FIG. 3) transmitted from the remote monitoring center system 3 to the receiving unit 13 in the nonvolatile memory 21.

不揮発性メモリ２１は、図３に示されるように、第１格納領域２２と、第２格納領域２３と、ＩＰＬ格納領域２４と、対応テーブル格納領域４０とを有している。
第１格納領域２２は、更新前プログラム２５を格納する。また、第１格納領域２２には、パラメータ領域２６が含まれる。同様に、第２格納領域２３は、更新後プログラム２７を格納する。また、第２格納領域２３には、パラメータ領域２８が含まれる。 As illustrated in FIG. 3, the nonvolatile memory 21 includes a first storage area 22, a second storage area 23, an IPL storage area 24, and a correspondence table storage area 40.
The first storage area 22 stores the pre-update program 25. The first storage area 22 includes a parameter area 26. Similarly, the second storage area 23 stores the updated program 27. The second storage area 23 includes a parameter area 28.

ＩＰＬ格納領域２４は、更新前プログラム２５および更新後プログラム２７のいずれか一方を起動させる起動プログラムであるイニシャル・プログラム・ローダ（Initial Program Loader）（以下、ＩＰＬという）２９を格納する。また、第ＩＰＬ格納領域２４には、パラメータ領域３０が含まれる。
更新前プログラム２５および更新後プログラム２７のいずれか一方、またはＩＰＬ２９は、制御部１５によって実行される。 The IPL storage area 24 stores an initial program loader (hereinafter referred to as IPL) 29 which is a start program for starting either the pre-update program 25 or the post-update program 27. The first IPL storage area 24 includes a parameter area 30.
Either the pre-update program 25 or the post-update program 27, or the IPL 29 is executed by the control unit 15.

更新前プログラム２５で用いられるパラメータは、パラメータ領域２６に格納されている。更新前プログラム２５から更新後プログラム２７へ更新されるときには、パラメータ領域２６に格納されているパラメータが、ＩＰＬ２９のためのパラメータ領域３０へ格納された後、更新後プログラム２７のためのパラメータ領域２８へ格納される。
ＩＰＬ２９は、所定のフラグ４２（図８参照）に基づいて、更新前プログラム２５および更新後プログラム２７のうちのいずれか一方を選択して起動するプログラムである。 Parameters used in the pre-update program 25 are stored in the parameter area 26. When updating from the pre-update program 25 to the post-update program 27, the parameters stored in the parameter area 26 are stored in the parameter area 30 for the IPL 29 and then to the parameter area 28 for the post-update program 27. Stored.
The IPL 29 is a program that selects and activates either the pre-update program 25 or the post-update program 27 based on a predetermined flag 42 (see FIG. 8).

対応テーブル格納領域４０に格納される対応テーブル４１は、図８に示されるように、
更新前プログラム２５または更新後プログラム２７に関連する動作に対応して、更新前プログラム２５および更新後プログラム２７のいずれか一方を選択するためのフラグ４２が変更される。図８において、フラグ４２が立っている状態が「１」で示され、フラグ４２がない状態が「０」で示されている。 The correspondence table 41 stored in the correspondence table storage area 40 is as shown in FIG.
Corresponding to the operations related to the pre-update program 25 or the post-update program 27, the flag 42 for selecting either the pre-update program 25 or the post-update program 27 is changed. In FIG. 8, the state where the flag 42 is set is indicated by “1”, and the state where the flag 42 is not provided is indicated by “0”.

フラグ４２を変更する機能は、更新前プログラム２５および更新後プログラム２７の両方が有している。具体的には、更新前プログラム２５は、更新後プログラム２７が第２格納領域２３に格納されたときにＩＰＬ２９が第２格納領域２３の更新後プログラム２７を選択して起動するようにフラグ４２を変更する機能を有する。また、更新後プログラム２７は、更新後プログラム２７が所定の時間（例えば、１０分程度）だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能、および動作不能要因が検出されたときにフラグを変更する機能をさらに有する。 Both the pre-update program 25 and the post-update program 27 have the function of changing the flag 42. Specifically, the pre-update program 25 sets the flag 42 so that the IPL 29 selects and starts the post-update program 27 in the second storage area 23 when the post-update program 27 is stored in the second storage area 23. Has the function to change. Further, the updated program 27 has a function for detecting an inoperability factor related to inoperability that occurs when the updated program 27 is executed for a predetermined time (for example, about 10 minutes), and when an inoperable factor is detected. It further has a function of changing the flag.

フラグ４２は、図８に示されるＩ〜ＩＶの状態のときに、以下のように変更される。
状態Ｉにおいて、更新前プログラム２５による通常動作が行われているときには、フラグ４２は、更新前プログラム２５を選択する側に立っている。したがって、ＩＰＬ２９は、更新前プログラム２５を選択して起動するように制御部１５を制御する。
状態IIにおいて、更新後プログラム２７がダウンロードされ、更新後プログラム２７が第２格納領域２３に格納されたときには、更新前プログラム２５は、フラグ４２を、更新後プログラム２７を選択する側に変更するように制御部１５を制御する。したがって、ＩＰＬ２９は、更新後プログラム２７を選択して起動するように制御部１５を制御する。 The flag 42 is changed as follows in the state of I to IV shown in FIG.
In the state I, when the normal operation by the pre-update program 25 is performed, the flag 42 stands on the side where the pre-update program 25 is selected. Accordingly, the IPL 29 controls the control unit 15 to select and start the pre-update program 25.
In the state II, when the updated program 27 is downloaded and the updated program 27 is stored in the second storage area 23, the pre-update program 25 changes the flag 42 to select the updated program 27. The control unit 15 is controlled. Therefore, the IPL 29 controls the control unit 15 to select and start the updated program 27.

状態IIIにおいて、更新後プログラム２７の動作不能が検出されたときには、更新後プログラム２７は、フラグ４２を、更新前プログラム２５を選択する側に変更するように制御部１５を制御する。したがって、ＩＰＬ２９は、更新前プログラム２５を選択して起動するように制御部１５を制御する。
状態IVにおいて、更新後プログラム２７の動作不能が検出されなかったときには、フラグ４２は、状態IIと同様に、更新後プログラム２７を選択する側に立っている。したがって、ＩＰＬ２９は、更新後プログラム２７を選択して起動するように制御部１５を制御する。
検出結果情報送信部１６は、動作不能要因の検出結果に関する情報である検出結果情報を所定の送信先である遠隔監視センターシステム３および管理者等の携帯端末（図示せず）へ送信する。 When the inoperability of the post-update program 27 is detected in the state III, the post-update program 27 controls the control unit 15 to change the flag 42 to the side for selecting the pre-update program 25. Accordingly, the IPL 29 controls the control unit 15 to select and start the pre-update program 25.
When the inoperability of the updated program 27 is not detected in the state IV, the flag 42 stands on the side for selecting the updated program 27 as in the state II. Therefore, the IPL 29 controls the control unit 15 to select and start the updated program 27.
The detection result information transmission part 16 transmits the detection result information which is the information regarding the detection result of an inoperable factor to the remote monitoring center system 3 which is a predetermined transmission destination and a portable terminal (not shown) such as an administrator.

＜プログラム更新方法の手順＞
つぎに、第１実施形態のコントローラ２におけるソフトウェアの更新の手順を、図５〜図７のフローチャート、および図４のプログラムの更新動作を時系列的に示したモデル図を参照しながら説明する。 <Procedure for program update method>
Next, the software update procedure in the controller 2 of the first embodiment will be described with reference to the flowcharts of FIGS. 5 to 7 and the model diagram showing the program update operation of FIG. 4 in time series.

まず、図５のステップＳ１において、制御部１５は、更新前プログラム２５を実行して、遠隔監視センターシステム３へ１日１回程度定期的にアクセスする。
ついで、ステップＳ２において、制御部１５は、遠隔監視センターシステム３に更新後プログラム２７が存在するか調べる。更新後プログラム２７が存在するとき（ステップＳ２におけるＹｅｓのとき）には、ステップＳ３へ進み、更新後プログラム２７が存在しないとき（ステップＳ２におけるＮｏのとき）には、ステップＳ１へ戻る。
ステップＳ３において、制御部１５は、更新後プログラム２７をコントローラ２へダウンロードする。 First, in step S1 in FIG. 5, the control unit 15 executes the pre-update program 25 and periodically accesses the remote monitoring center system 3 about once a day.
Next, in step S <b> 2, the control unit 15 checks whether the updated program 27 exists in the remote monitoring center system 3. When the updated program 27 exists (Yes in step S2), the process proceeds to step S3. When the updated program 27 does not exist (No in step S2), the process returns to step S1.
In step S <b> 3, the control unit 15 downloads the updated program 27 to the controller 2.

ついで、ステップＳ４において、更新後プログラム２７がダウンロードされて第２格納領域２３に格納されたときには、制御部１５は、更新前プログラム２５にしたがって、フラグ４２を更新後プログラム２７を選択する側に変更する。 Next, when the updated program 27 is downloaded and stored in the second storage area 23 in step S4, the control unit 15 changes the flag 42 to the side for selecting the updated program 27 according to the pre-update program 25. To do.

フラグ４２の変更によって、ステップＳ５において、制御部１５は、ＩＰＬ２９にしたがって、更新後プログラム２７を選択して起動する。
ついで、ステップＳ６において、制御部１５は、更新後プログラム２７にしたがって、空調機器４の状態監視時間（図４参照）において、更新後プログラム２７の動作不能を検出する。空調機器４の状態監視時間は所定の時間が設定され、１０分程度である。 By changing the flag 42, the control unit 15 selects and starts the updated program 27 in accordance with the IPL 29 in step S5.
Next, in step S6, the control unit 15 detects the inoperability of the updated program 27 in the state monitoring time of the air conditioner 4 (see FIG. 4) according to the updated program 27. The state monitoring time of the air conditioner 4 is set to a predetermined time and is about 10 minutes.

ここで、動作不能の要因は、
a)対象ハードウェア以外のオブジェクトファイルをダウンロードしたことによる要因、
b)各処理に必要な設定等を読み込めないプログラムをダウンロードしたことによる要因、および
c)空調機器４に接続されるデバイスと、そのデバイスの処理プログラムとが合致していないことによる要因、
が挙げられるが、制御部１５は、これらの要因a)〜c)をすべて検出する。 Here, the cause of inoperability is
a) Causes of downloading object files other than the target hardware,
b) Factors resulting from downloading a program that cannot read the settings required for each process, and
c) Factors due to the mismatch between the device connected to the air conditioner 4 and the processing program for that device,
The control unit 15 detects all of these factors a) to c).

動作不能の検出動作は、具体的には、まず、図７に示されるように、ステップＳ２１において、制御部１５は、コントローラ２のハードウェアに対するデバイスチェックを行う。
具体的には、制御部１５は、デバイスのアドレスチェックを行い、アクセスできないメモリ、処理できない割り込み等により例外トラップを検出する。いいかえれば、実行できない命令、データの大きさとメモリのアライメントが一致しないメモリアクセス、または存在しないメモリへのアクセス等のCPU例外の発生によって動作不能の検出を行う。また、制御部１５は、メモリアロケーション時に、メモリアロケーション処理の失敗（メモリが足りない等による失敗）を検出するようにすることで、動作不能の検出を行う。 Specifically, in the operation of detecting the inoperability, first, as illustrated in FIG. 7, in step S <b> 21, the control unit 15 performs a device check on the hardware of the controller 2.
Specifically, the control unit 15 checks the address of the device and detects an exception trap based on an inaccessible memory, an unprocessable interrupt, or the like. In other words, the inoperability is detected by the occurrence of a CPU exception such as an instruction that cannot be executed, a memory access in which the data size does not match the memory alignment, or an access to a nonexistent memory. Further, the control unit 15 detects the inoperability by detecting a failure of the memory allocation process (failure due to insufficient memory) at the time of memory allocation.

つぎに、ステップＳ２２において、制御部１５は、不揮発性メモリ２１の上の設定読み込みチェックを行う。基本的には、各処理に必要な設定を読み出し、そのデータの整合性を順番にチェックし、不正を検出する。なお、設定値には、空調機器４と関連する値（空調機器４との組み合わせ）も含まれる。
さらに、ステップＳ２３において、制御部１５は、更新後プログラム２７を実際に実行し、全ての監視対象に対して監視制御を一通り行う。すなわち、制御部１５は、全ての監視対象である空調機器４の存在や状態を一通りチェックし、不正を検出する。具体的には、空調機器４ごとに、送られてくるデータフォーマットや、とり得る運転状態が異なる。ソフトウェアの不具合等により、空調機器４より得たデータの正しい解釈ができず1)空調機器４からのセンサ値が、センサ値（温度、圧力等）のとり得る値でない状態、2)空調機器４のアクチュエータ値が、定義されているものでない状態、および3)センサ、アクチュエータから計算する値（能力値、電力値等）が、計算可能な値でない状態、などを検出することによって、一通りのチェックを行う。 Next, in step S <b> 22, the control unit 15 performs a setting reading check on the nonvolatile memory 21. Basically, settings necessary for each process are read, the consistency of the data is checked in order, and fraud is detected. The set value includes a value related to the air conditioner 4 (combination with the air conditioner 4).
Furthermore, in step S23, the control unit 15 actually executes the updated program 27 and performs monitoring control for all the monitoring targets. That is, the control unit 15 checks the existence and state of all the air-conditioning devices 4 that are monitoring targets, and detects fraud. Specifically, the data format to be sent and the possible operating states are different for each air conditioner 4. The data obtained from the air conditioner 4 cannot be correctly interpreted due to software defects, etc. 1) The sensor value from the air conditioner 4 is not a value that the sensor value (temperature, pressure, etc.) can take. 2) The air conditioner 4 By detecting the state where the actuator value is not defined, and 3) the value calculated from the sensor or actuator (capacity value, power value, etc.) is not a computable value, etc. Check.

以上の動作不能の検出動作が終了したのち、図６のステップＳ７へ進む（図５〜図６の丸Ａ参照）。
ついで、ステップＳ７において、動作不能が検出されたか否か判別する。動作不能が検出されなかった場合（ステップＳ７におけるＮｏのとき）には、ステップＳ８へ進む（図４におけるフロー（ａ）参照）。 After the above inoperability detection operation is completed, the process proceeds to step S7 in FIG. 6 (see circle A in FIGS. 5 to 6).
Next, in step S7, it is determined whether or not inoperability is detected. When the inoperability is not detected (No in step S7), the process proceeds to step S8 (see the flow (a) in FIG. 4).

ステップＳ８において、制御部１５は、検出結果情報送信部１６に対して、遠隔監視センターシステム３へ更新の成功を通知するように制御する。具体的には、検出結果情報送信部１６は、更新後プログラム２７が実行されていることを遠隔監視センターシステム３へ通知することにより、更新の成功を通知する。
ついで、ステップＳ９において、制御部１５は、更新前プログラム２５を削除して、一連のプログラム更新の動作を終了する。この場合、制御部１５は、更新後プログラム２７の実行を継続している。 In step S8, the control unit 15 controls the detection result information transmission unit 16 to notify the remote monitoring center system 3 of the successful update. Specifically, the detection result information transmission unit 16 notifies the remote monitoring center system 3 that the updated program 27 is being executed, thereby notifying the success of the update.
In step S9, the control unit 15 deletes the pre-update program 25 and ends the series of program update operations. In this case, the control unit 15 continues to execute the post-update program 27.

一方、ステップＳ７において、動作不能が検出された場合（ステップＳ７におけるＹｅｓのとき）にはステップＳ１０へ進む（図４におけるフロー（ｂ）参照）。
ステップＳ１０において、制御部１５は、更新後プログラム２７にしたがって、フラグ４２を更新前プログラム２５を選択する側に変更する。
フラグ４２の変更によって、ステップＳ１１において、制御部１５は、ＩＰＬ２９にしたがって、更新前プログラム２５を選択して起動する。 On the other hand, if inoperability is detected in step S7 (Yes in step S7), the process proceeds to step S10 (see flow (b) in FIG. 4).
In step S10, the control unit 15 changes the flag 42 to the side for selecting the pre-update program 25 in accordance with the post-update program 27.
By changing the flag 42, the control unit 15 selects and starts the pre-update program 25 in accordance with the IPL 29 in step S11.

そののち、ステップＳ１２において、制御部１５は、検出結果情報送信部１６に対して、遠隔監視センターシステム３へ更新の失敗を通知するように制御する。具体的には、検出結果情報送信部１６は、更新前プログラム２５が実行されていることを遠隔監視センターシステム３へ通知することにより、更新の失敗を通知する。通知後、一連のプログラム更新の動作は終了するが、この場合、制御部１５は、更新前プログラム２５を実行する。
なお、ステップＳ３における更新後プログラム２７のダウンロードから所定の時間経過してもステップＳ８またはステップＳ１２における通知が遠隔監視センターシステム３で受信されないときは、遠隔監視センターシステム３は、更新が失敗したと判定する。
更新後プログラム２７に更新された後、さらに新たなプログラムへの更新が行われるときには、第２格納領域２３の更新後プログラム２７が「更新前プログラム」となるので、第２格納領域２３は、実質的に上記の第１格納領域２２として機能し、一方、第１格納領域２２は、実質的に上記の第２格納領域２３として機能して新しい「更新後プログラム」を格納する。これにより、前述のプログラム更新を実行することができる。 Thereafter, in step S12, the control unit 15 controls the detection result information transmission unit 16 to notify the remote monitoring center system 3 of the update failure. Specifically, the detection result information transmission unit 16 notifies the update failure by notifying the remote monitoring center system 3 that the pre-update program 25 is being executed. After the notification, a series of program update operations ends. In this case, the control unit 15 executes the pre-update program 25.
Note that if the remote monitoring center system 3 does not receive the notification in step S8 or step S12 even after a predetermined time has elapsed since the download of the updated program 27 in step S3, the remote monitoring center system 3 indicates that the update has failed. judge.
After the update to the post-update program 27, when an update to a new program is performed, the post-update program 27 in the second storage area 23 becomes the “pre-update program”. The first storage area 22 functions as the first storage area 22, while the first storage area 22 substantially functions as the second storage area 23 and stores a new “updated program”. Thereby, the program update described above can be executed.

＜第１実施形態の特徴＞
（１）
第１実施形態では、ＩＰＬ２９が、所定のフラグ４２に基づいて、第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方を選択して起動する。したがって、更新後プログラム２７に動作異常が生じても、更新前プログラム２５が起動されて、コントローラ２の運転が続行される。
（２）
第１実施形態では、ＩＰＬ２９が更新前プログラム２５および更新後プログラム２７を起動する機能を有しているので、更新前プログラム２５および更新後プログラム２７は、それら自身で起動する機能は不要になり、更新前プログラム２５および更新後プログラム２７の設計自由度が拡大される。
（３）
第１実施形態では、更新前プログラム２５は、更新後プログラム２７が第２格納領域２３に格納されたときにＩＰＬ２９が更新後プログラム２７を選択して起動するようにフラグ４２を変更する機能を有する。したがって、更新後プログラム２７が第２格納領域２３に格納されたときに、フラグ４２が変更され、ＩＰＬ２９によって、更新後プログラム２７が選択されて起動される。
（４）
第１実施形態では、コントローラ２は、書き込み部２０を備えているので、書き込み部２０によって、第２格納領域２３に更新後プログラム２７が書き込まれる。
（５）
第１実施形態では、更新後プログラム２７は、更新後プログラム２７が所定の時間だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能を有する。したがって、更新後プログラム２７によって、更新後プログラム２７の実際の動作状況から動作不能が検出される。
（６）
第１実施形態では、更新後プログラム２７は、動作不能要因が検出されたときにフラグ４２を変更する機能を有する。動作不能要因が検出されたことに起因してフラグ４２が変更されたときに、ＩＰＬ２９は、更新前プログラム２５を起動する。したがって、更新後プログラム２７を実行したときの動作不能要因が検出されたときに、ＩＰＬ２９によって、更新前プログラム２５が選択されて起動される。
（７）
第１実施形態では、コントローラ２は、動作不能要因の検出結果に関する情報である検出結果情報を所定の送信先へ送信する検出結果情報送信部１６を備えているので、検出結果情報送信部１６によって、動作不能要因の検出結果は、所定の送信先である遠隔監視センターシステム３および管理者等の携帯端末へ送信される。
（８）
第１実施形態では、プログラム更新システム１は、コントローラ２と、コントローラ２に接続され、コントローラ２を遠隔監視する遠隔監視センターシステム３とを備えている。したがって、遠隔監視センターシステム３からのコントローラ２の遠隔監視が可能である。また、ＩＰＬ２９が第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方を選択して起動するので、更新後プログラム２７に動作異常が生じても、更新前プログラム２５が起動されて、コントローラ２の運転が続行される。また、ＩＰＬ２９が更新前プログラム２５および更新後プログラム２７を起動する機能を有しているので、更新前プログラム２５および更新後プログラム２７の設計自由度が拡大される。
（９）
第１実施形態では、プログラム更新システム１において、更新前プログラム２５は、遠隔監視センターシステム３に更新後プログラム２７が存在するときに更新後プログラム２７を第２格納領域２３にダウンロードする機能を有する。したがって、遠隔監視センターシステム３に更新後プログラム２７が存在するときに、更新後プログラム２７は、第２格納領域２３にダウンロードされる。
（１０）
第１実施形態のプログラム更新方法は、第２格納領域２３に更新後プログラム２７を書き込むステップと、所定のフラグ４２に基づいて、第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方を選択して起動する起動ステップとを含む。したがって、第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方が選択されて起動されるので、更新後プログラム２７に動作異常が生じても、更新前プログラム２５が起動されて、コントローラ２の運転が続行される。
＜第１実施形態の変形例＞
（Ａ）
第１実施形態では、プログラムを格納するために２つの格納領域が備わったコントローラ２を例に挙げて説明されているが、本発明はこれに限定されるものではない。すなわち、更新前プログラムおよび更新後プログラムを別個に格納するための格納領域が少なくとも２つあればよく、コントローラ２は、３個以上の格納領域を備えていてもよい。
（Ｂ）
第１実施形態では、更新前プログラム２５は、ダウンロード時にフラグ４２を変更する機能、すなわち、更新後プログラム２７が第２格納領域２３に格納されたときにＩＰＬ２９が第２格納領域２３の更新後プログラム２７を選択して起動するようにフラグ４２を変更する機能を有しているが、本発明はこれに限定されるものではない。更新前プログラム２５および更新後プログラム２７のうちの少なくとも更新前プログラム２５が、この機能を有していれば上記の実施形態と同様の作用効果を奏することができる。したがって、更新前プログラム２５および更新後プログラム２７の両方が、この機能を有していてもよい。
（Ｃ）
第１実施形態では、更新後プログラム２７は、更新後プログラム２７が所定の時間だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能、および動作不能要因が検出されたときにフラグを変更する機能をさらに有しているが、本発明はこれに限定されるものではない。更新前プログラム２５および更新後プログラム２７のうちの少なくとも更新後プログラム２７が、これらの機能を有していれば上記の実施形態と同様の作用効果を奏することができる。したがって、更新前プログラム２５および更新後プログラム２７の両方が、これらの機能を有していてもよい。
（Ｄ）
第１実施形態では、動作不能が検出されたときに更新前プログラムを起動させる例が示されているが、更新前プログラムを起動させる代わりに、あらかじめ格納された代替用のプログラムを起動させてもよい。この場合も、更新後プログラム２７に動作異常が生じてもコントローラ２の運転を続行させることができる。
（Ｅ）
第１実施形態では、メモリアロケーションを考慮した構成になっているが、本発明ではこれに限定されるものではなく、メモリアロケーションを考慮しない構成であってもよい。メモリアロケーションを考慮しない構成として、たとえば、言語使用として、メモリ取得開放を行っている言語（ＪＡＶＡ＜登録商標＞、Ｃ＃等）を使用し、ガベージコレクションを含んだメモリアロケーションライブラリを使用した構成であれば、メモリ開放忘れによる使用可能なメモリの減少を考慮しなくてもよく、しかも、開放忘れを防ぐ必要がないため、プログラムロジックの記述性の自由度が向上する等の利点がある。 <Features of First Embodiment>
(1)
In the first embodiment, the IPL 29 selects and activates either the pre-update program 25 in the first storage area 22 or the post-update program 27 in the second storage area 23 based on a predetermined flag 42. . Therefore, even if an operation abnormality occurs in the post-update program 27, the pre-update program 25 is started and the operation of the controller 2 is continued.
(2)
In the first embodiment, since the IPL 29 has a function of starting the pre-update program 25 and the post-update program 27, the pre-update program 25 and the post-update program 27 are not required to start themselves. The degree of freedom in designing the pre-update program 25 and the post-update program 27 is expanded.
(3)
In the first embodiment, the pre-update program 25 has a function of changing the flag 42 so that the IPL 29 selects and starts the post-update program 27 when the post-update program 27 is stored in the second storage area 23. . Therefore, when the updated program 27 is stored in the second storage area 23, the flag 42 is changed, and the updated program 27 is selected and started by the IPL 29.
(4)
In the first embodiment, since the controller 2 includes the writing unit 20, the updated program 27 is written in the second storage area 23 by the writing unit 20.
(5)
In the first embodiment, the updated program 27 has a function of detecting an inoperability factor related to inoperability that occurs when the updated program 27 is executed for a predetermined time. Accordingly, the post-update program 27 detects the inoperability from the actual operation status of the post-update program 27.
(6)
In the first embodiment, the post-update program 27 has a function of changing the flag 42 when an inoperable factor is detected. When the flag 42 is changed due to the detection of the inoperable factor, the IPL 29 activates the pre-update program 25. Therefore, when an inoperable factor is detected when the post-update program 27 is executed, the pre-update program 25 is selected and started by the IPL 29.
(7)
In the first embodiment, the controller 2 includes the detection result information transmission unit 16 that transmits detection result information that is information related to the detection result of the inoperable factor to a predetermined transmission destination. The detection result of the inoperability factor is transmitted to the remote monitoring center system 3 which is a predetermined transmission destination and a portable terminal such as an administrator.
(8)
In the first embodiment, the program update system 1 includes a controller 2 and a remote monitoring center system 3 that is connected to the controller 2 and remotely monitors the controller 2. Therefore, remote monitoring of the controller 2 from the remote monitoring center system 3 is possible. Further, since the IPL 29 selects and starts either the pre-update program 25 in the first storage area 22 or the post-update program 27 in the second storage area 23, even if an operation abnormality occurs in the post-update program 27 Then, the pre-update program 25 is started and the operation of the controller 2 is continued. Further, since the IPL 29 has a function of starting the pre-update program 25 and the post-update program 27, the degree of freedom in designing the pre-update program 25 and the post-update program 27 is expanded.
(9)
In the first embodiment, in the program update system 1, the pre-update program 25 has a function of downloading the post-update program 27 to the second storage area 23 when the post-update program 27 exists in the remote monitoring center system 3. Accordingly, when the updated program 27 exists in the remote monitoring center system 3, the updated program 27 is downloaded to the second storage area 23.
(10)
The program update method according to the first embodiment includes the step of writing the updated program 27 in the second storage area 23 and the pre-update program 25 in the first storage area 22 and the second storage area 23 based on a predetermined flag 42. A startup step of selecting and starting any one of the updated programs 27. Therefore, since any one of the pre-update program 25 in the first storage area 22 and the post-update program 27 in the second storage area 23 is selected and activated, even if an operational abnormality occurs in the post-update program 27, The pre-update program 25 is activated and the operation of the controller 2 is continued.
<Modification of First Embodiment>
(A)
In the first embodiment, the controller 2 having two storage areas for storing a program is described as an example, but the present invention is not limited to this. That is, it is sufficient that there are at least two storage areas for separately storing the pre-update program and the post-update program, and the controller 2 may include three or more storage areas.
(B)
In the first embodiment, the pre-update program 25 is a function for changing the flag 42 at the time of download, that is, the IPL 29 is the program after the update of the second storage area 23 when the post-update program 27 is stored in the second storage area 23. The flag 42 is changed so as to be activated by selecting 27, but the present invention is not limited to this. If at least the pre-update program 25 of the pre-update program 25 and the post-update program 27 has this function, the same effects as those of the above-described embodiment can be achieved. Therefore, both the pre-update program 25 and the post-update program 27 may have this function.
(C)
In the first embodiment, the post-update program 27 has a function of detecting an inoperability factor related to inoperability that occurs when the post-update program 27 is executed for a predetermined time, and a flag when the inoperability factor is detected. Although it further has a function to change, this invention is not limited to this. If at least the post-update program 27 of the pre-update program 25 and the post-update program 27 has these functions, the same effects as those of the above embodiment can be obtained. Therefore, both the pre-update program 25 and the post-update program 27 may have these functions.
(D)
In the first embodiment, an example in which the pre-update program is activated when the inoperability is detected is shown. However, instead of starting the pre-update program, an alternative program stored in advance may be activated. Good. Also in this case, the operation of the controller 2 can be continued even if an operation abnormality occurs in the updated program 27.
(E)
In the first embodiment, the memory allocation is considered. However, the present invention is not limited to this, and the memory allocation may not be considered. As a configuration that does not consider memory allocation, for example, a language that uses memory acquisition and release (JAVA <registered trademark>, C #, etc.) is used as a language, and a memory allocation library that includes garbage collection is used. If this is the case, there is no need to consider the decrease in available memory due to forgetting to release the memory, and there is no need to prevent forgetting to open, so there is an advantage that the degree of freedom of description of the program logic is improved.

［第２実施形態］
上記の第１実施形態のプログラム更新システムは、遠隔監視センターシステム３がコントローラ２に接続された構成になっているが、遠隔監視センターシステム３の代わりに、携帯可能なノートパソコンなどの更新装置を、コントローラ２に接続してもよい。
すなわち、第２実施形態のプログラム更新システムは、コントローラ２（図１参照）と、コントローラ２に接続され、更新後プログラム２７（図３参照）を第２格納領域２３にアップロードする更新装置とを備えている。コントローラ２の構成は、第１実施形態のコントローラ２の構成と共通している。
このような構成によれば、管理者等がコントローラ２の設置場所に出向いて、更新装置から更新後プログラム２７を第２格納領域２３にアップロードすることができる。しかも、第１実施形態のプログラム更新システム１と同様に、更新後プログラム２７に動作異常が生じても更新前プログラム２５が起動して、コントローラ２の運転を続行させることができる。また、ＩＰＬ２９が更新前プログラム２５および更新後プログラム２７を起動するための機能を有しているので、更新前プログラム２５および更新後プログラム２７の設計自由度が拡大される。 [Second Embodiment]
The program update system according to the first embodiment has a configuration in which the remote monitoring center system 3 is connected to the controller 2. Instead of the remote monitoring center system 3, an update device such as a portable laptop computer is used. The controller 2 may be connected.
That is, the program update system of the second embodiment includes a controller 2 (see FIG. 1) and an update device that is connected to the controller 2 and uploads the updated program 27 (see FIG. 3) to the second storage area 23. ing. The configuration of the controller 2 is common to the configuration of the controller 2 of the first embodiment.
According to such a configuration, an administrator or the like can go to the installation location of the controller 2 and upload the updated program 27 from the update device to the second storage area 23. Moreover, similarly to the program update system 1 of the first embodiment, even if an operation abnormality occurs in the post-update program 27, the pre-update program 25 can be started and the operation of the controller 2 can be continued. Further, since the IPL 29 has a function for starting the pre-update program 25 and the post-update program 27, the degree of freedom in designing the pre-update program 25 and the post-update program 27 is expanded.

本発明の設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムは、上記の実施形態のように、空調システム監視制御コントローラの設備管理プログラム更新のために採用され得るが、本発明はこれに限定されるものではない。さらに、本発明は、プログラムによって機器を管理する種々のコントローラ等のプログラム更新のためにも採用され得る。 The facility management apparatus, program update system, facility management program update method, startup program, and facility management program of the present invention can be employed for updating the facility management program of the air conditioning system monitoring control controller as in the above-described embodiment. However, the present invention is not limited to this. Furthermore, the present invention can also be adopted for updating programs of various controllers that manage devices by programs.

本発明の第１実施形態に係るプログラム更新システムの構成図。The block diagram of the program update system which concerns on 1st Embodiment of this invention. 図１のコントローラの構成を示すブロック図。The block diagram which shows the structure of the controller of FIG. 図２の不揮発性メモリの構成を示すブロック図。The block diagram which shows the structure of the non-volatile memory of FIG. 本発明の第１実施形態に係るプログラム更新方法におけるプログラム更新動作を時系列的に示したモデル図。The model figure which showed the program update operation | movement in the program update method which concerns on 1st Embodiment of this invention in time series. 本発明の第１実施形態に係るプログラム更新方法の手順を示すフローチャートの前半部分。The first half of the flowchart which shows the procedure of the program update method which concerns on 1st Embodiment of this invention. 本発明の第１実施形態に係るプログラム更新方法の手順を示すフローチャートの後半部分。The latter half part of the flowchart which shows the procedure of the program update method which concerns on 1st Embodiment of this invention. 図５の動作不能検出動作の手順を示すフローチャート。6 is a flowchart showing the procedure of the inoperability detection operation of FIG. 本発明の第１実施形態に係るプログラムに関連する動作とフラグの立つ側との関係を示す対応テーブル。The correspondence table which shows the relationship between the operation | movement relevant to the program which concerns on 1st Embodiment of this invention, and the flag standing side.

Explanation of symbols

１プログラム更新システム
２空調システム監視制御用コントローラ（コントローラ）
３遠隔監視センターシステム
４空調機器
５通信網
１５制御部
１６検出結果情報送信部
２１不揮発性メモリ
２２第１格納領域
２３第２格納領域
２４ＩＰＬ格納領域
２５更新前プログラム
２７更新後プログラム
２９ＩＰＬ 1 Program update system 2 Controller for air conditioning system monitoring and control
3 Remote monitoring center system 4 Air conditioning equipment 5 Communication network 15 Control unit 16 Detection result information transmission unit 21 Non-volatile memory 22 First storage area 23 Second storage area 24 IPL storage area 25 Pre-update program 27 Update program 29 IPL

Claims

A facility management device (2) for managing the device (4) by the facility management program (25, 27),
A first storage area (22) for storing the first facility management program (25);
A second storage area (23) for storing the second facility management program (27);
Startup program (1) for selecting and starting one of the first equipment management program (25) in the first storage area (22) and the second equipment management program (27) in the second storage area (23) 29)
An equipment management device (2).

The activation program (29) selects and activates one of the first facility management program (25) and the second facility management program (27) based on a predetermined flag (42).
The equipment management device (2) according to claim 1.

When the second equipment management program (27) is stored in the second storage area (23), the startup program (29) is used when the first equipment management program (25) is stored in the second equipment management program (27). ) To select and activate the flag (42),
The equipment management device (2) according to claim 2.

A writing unit (20) for writing the second facility management program (27) in the second storage area (23);
Further equipped with,
The equipment management device (2) according to any one of claims 1 to 3.

The second equipment management program (27) has a function of detecting an inoperability factor related to inoperability that occurs when the second equipment management program (27) is executed for a predetermined time.
The equipment management device (2) according to claim 2.

The second facility management program (27) further has a function of changing the flag (42) when the inoperable factor is detected.
The equipment management apparatus (2) according to claim 5.

When the flag (42) is changed due to the detection of the inoperable factor, the activation program (29) activates the first facility management program (25).
The equipment management apparatus (2) according to claim 6.

A detection result information transmission unit (16) for transmitting detection result information, which is information related to the detection result of the inoperable factor, to a predetermined transmission destination;
The equipment management device (2) according to any one of claims 5 to 7.

The equipment management device (2) according to any one of claims 1 to 8,
A remote monitoring center system (3) connected to the facility management device (2) and remotely monitoring the facility management device (2);
A program update system (1) comprising:

The first facility management program (25) stores the second facility management program (27) in the second storage area (27) when the second facility management program (27) exists in the remote monitoring center system (3). 23) has a downloading function,
The program update system (1) according to claim 9.

The equipment management device (2) according to any one of claims 1 to 8,
An update device connected to the facility management device (2) and uploading the second facility management program (27) to the second storage area (23);
A program update system (1) comprising:

The equipment management apparatus (2) having a first storage area (22) for storing the first equipment management program (25) and a second storage area (23) for storing the second equipment management program (27) is an equipment. (4) An update method of the equipment management program (25, 27) for managing
Writing the second facility management program (27) in the second storage area (23);
Based on a predetermined flag (42), one of the first equipment management program (25) in the first storage area (22) and the second equipment management program (27) in the second storage area (23) A startup step to select and start one;
A method for updating the equipment management program (25, 27).

The first equipment management program (1), comprising a first storage area (22) for storing the first equipment management program (25) and a second storage area (23) for storing the second equipment management program (27). 25) or the second facility management program (27), the first facility management program (25) or the second facility management program (27) for the facility management device (2) managing the device (4) is started. An activation program (29),
Based on a predetermined flag (42), one of the first equipment management program (25) in the first storage area (22) and the second equipment management program (27) in the second storage area (23) Select one,
Startup program (29).

A first storage area (22) and a second storage area (23) for storing the facility management program (25, 27), and the first storage area (22) and the second storage area based on a predetermined flag (42) The equipment management device (2) having a startup program (29) for selecting and starting one of the equipment management programs (25, 27) stored in (23) manages the device (4). Equipment management program (25, 27) for
When the facility management program (27) is stored in the second storage area (23), the startup program (29) selects and starts the facility management program (27) in the second storage area (23). The function of changing the flag (42) as follows,
Facility management program (25, 27).

A function of detecting an inoperability factor related to inoperability that occurs when the facility management program (27) in the second storage area (23) is executed for a predetermined time;
The equipment management program (25, 27) according to claim 14.

A function of changing the flag (42) when the inoperable factor is detected;
The equipment management program (25, 27) according to claim 15.

The facility management program according to claim 15, wherein the function of detecting the inoperability includes a function of detecting a failure of a memory allocation process in the facility management apparatus (2).

The facility management program according to claim 15, wherein the function for detecting the inoperability includes a function for detecting an exception trap generated by the control unit (15) of the facility management device (2).

The facility management program according to claim 15, wherein the function of detecting the inoperability includes a function of detecting a mismatch of set values used for executing the facility management program.