(57)【要約】【課題】車両制御装置の信頼性および安全性を向上させる。【解決手段】本発明の一実施形態に係る車両制御装置は、鉄道車両に設置される１以上の車上機器の制御を行う制御部と、制御部と車上機器との間の通信を仲介するインタフェース部と、を有する。制御部は、車上機器が送出する信号の健全性を確認するために用いられる信号である比較信号を記憶している。制御部は、ランダムな周期で健全性確認電文をインタフェース部に送信し、インタフェース部は健全性確認電文を受信すると、車上機器が送出する信号を取り込む入力信号取込部に規定の異常を発生させた状態で、車上機器が送出する信号を取得して制御部に返送する。制御部は、インタフェース部から返送された信号と比較信号が不一致の場合、制御部と車上機器との間の通信に異常が発生した旨を通知する。【選択図】図１
2020089204.tif 000002
【特許請求の範囲】
【請求項１】
鉄道車両に設置される１以上の車上機器の制御を行う制御部と、
前記制御部に伝送路を介して接続され、前記制御部と前記車上機器との間の通信を仲介する少なくとも２以上に多重化されたインタフェース部と、を有する車両制御装置であって、
前記制御部は、
前記車上機器に対して通信の健全性を確認する健全性確認電文を生成するフェイルセーフ演算部と、
前記健全性を確認するために用いられる信号である比較信号を記憶したメモリと、
前記健全性確認電文の送信タイミングを生成する乱数生成部と、を有し、
前記インタフェース部は、
前記車上機器が送出する信号を取り込む、入力信号取込部を有し、
前記健全性確認電文を受信すると、前記入力信号取込部に規定の異常を発生させた状態で前記車上機器が送出する信号を取得し、前記信号を含んだ返信電文を前記制御部に返送し、
前記制御部は、前記返信電文に含まれている前記信号と前記比較信号とを比較し、該比較結果に基づき通信対象とするインタフェース部を管理する
ことを特徴とする、車両制御装置。
【請求項２】
前記制御部は、一定の周期Ｔ［秒］で前記制御部に電文の通信を行うように構成されており、前記電文には、前記電文が前記健全性確認電文であるか否かを示すフラグが含まれている、
ことを特徴とする、請求項１に記載の車両制御装置。
【請求項３】
前記フェイルセーフ演算部は、
（１）  乱数ｎを生成し、
（２）  前回、前記健全性確認電文を送信してから、ｎ×Ｔ［秒］以上経過している場合には、前記制御部が前記インタフェース部に送信する前記電文の前記フラグをセットすることで健全性確認電文を作成し、前記インタフェース部に送信する、
処理を繰り返すことにより、ランダムな周期で前記健全性確認電文の送信を実施する、
ことを特徴とする、請求項２に記載の車両制御装置。
【請求項４】
前記返信電文には、前記健全性確認電文に対する応答を含む電文か否かを示す、健全性確認実施済フラグが含まれており、
前記インタフェース部は、前記異常を発生させた状態で前記車上機器が送出する信号を前記フェイルセーフ演算部に返送する時、前記返信電文の前記健全性確認実施済フラグをセットし、
前記フェイルセーフ演算部は、前記返信電文に含まれている健全性確認実施済フラグがセットされている場合、前記返信電文に含まれている前記信号と前記比較信号との比較を行う、
ことを特徴とする、請求項２に記載の車両制御装置。
【請求項５】
前記制御部は、前記健全性確認電文を前記インタフェース部に送信してから、所定の時間以内に前記インタフェース部から前記返信電文を受領しなかった場合、異常が発生したと判断する、
ことを特徴とする、請求項１に記載の車両制御装置。
【請求項６】
鉄道車両に設置される１以上の車上機器の制御を行う制御部と、
前記制御部に伝送路を介して接続され、前記制御部と前記車上機器との間の通信を仲介するインタフェース部と、を有し、
前記制御部は、前記車上機器との通信の健全性を確認するためのフェイルセーフ演算部を有し、前記フェイルセーフ演算部は、前記車上機器が送出する信号の健全性を確認するために用いられる信号である比較信号を記憶しており、
前記第１のインタフェースおよび前記第２のインタフェース部は、前記車上機器が送出する信号を取り込む、入力信号取込部を有している、車両制御装置において、
（１）  前記制御部が、ランダムな周期で健全性確認電文を前記インタフェース部に送信する第１ステップと、
（２）  前記インタフェース部が、前記健全性確認電文の受信に応じて、前記入力信号取込部に規定の異常を発生させた状態で前記車上機器が送出する信号を取得し、前記信号を含んだ返信電文を前記制御部に返送する第２ステップと、
（３）  前記フェイルセーフ演算部が、前記制御部に返送された前記返信電文に含まれている前記信号と前記比較信号との比較を行い、前記信号と前記比較信号とが不一致の場合、前記制御部と前記車上機器との間の通信に異常が発生した旨を通知する第３ステップと、
を実行することを特徴とする、車両制御装置の健全性確認方法。
【請求項７】
前記制御部は、一定の周期Ｔ［秒］で前記制御部に電文の通信を行うように構成されており、前記電文には、前記電文が前記健全性確認電文であるか否かを示すフラグが含まれている、
ことを特徴とする、請求項６に記載の車両制御装置の健全性確認方法。
【請求項８】
前記第１ステップにおいて、前記制御部が、
（１）  乱数ｎを生成し、
（２）  前回、前記健全性確認電文を送信してからｎ×Ｔ［秒］以上経過している場合には、前記制御部が前記インタフェース部に送信する前記電文の前記フラグをセットすることで健全性確認電文を作成し、前記インタフェース部に送信する、
ことにより、ランダムな周期で前記健全性確認電文の送信を実施する、
ことを特徴とする、請求項７に記載の車両制御装置の健全性確認方法。
【請求項９】
前記返信電文には、前記健全性確認電文に対する応答を含む電文か否かを示す、健全性確認実施済フラグが含まれており、
前記第２ステップにおいて前記インタフェース部は、前記返信電文の前記健全性確認実施済フラグをセットし、
前記第３ステップにおいて前記フェイルセーフ演算部は、前記返信電文に含まれている健全性確認実施済フラグがセットされている場合、前記返信電文に含まれている前記信号と前記比較信号との比較を行う、
ことを特徴とする、請求項７に記載の車両制御装置の健全性確認方法。
【請求項１０】
さらに、
前記制御部が、前記健全性確認電文を前記インタフェース部に送信してから、所定の時間以内に前記インタフェース部から前記返信電文を受領しなかった場合、異常が発生したと判断する第４ステップと、
を実行することを特徴とする、請求項６に記載の車両制御装置の健全性確認方法。
【請求項１１】
さらに、
前記制御部は、当該制御部の起動時に前記健全性確認電文を前記インタフェース部に送信し、前記インタフェース部から送出される前記返信電文に含まれている前記信号と前記比較信号との比較を行うことを特徴とする請求項６に記載の車両制御装置の健全性確認方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鉄道車両の制御装置、特に健全性確認機能を備えた制御装置に関する。
【背景技術】
【０００２】
鉄道保安システムのように高信頼性が求められるシステムにおいては、鉄道保安に関する、例えば列車制御装置（制御部）の故障による通信回路を通じた暴走や誤出力が、有線や無線に関わらず、同一回線に接続されている装置やシステムに影響しないようにする必要がある。
【０００３】
加えて、車両の各装置から取り込む入力信号に関しても、保安に関する信号を取り扱うことから、高い信頼性が求められつつある。このことから、入力信号に関する健全性を確認することが必要である。
【０００４】
こうした健全性を確認する手法としては、たとえば以下に挙げる特許文献１に示すように、取得した装置の状態と規定あるいは想定された装置の状態を比較することによる健全性確認手法などがある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１５−３３１７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１に開示の技術では、所定の判定実施条件、たとえば車両の走行速度が所定値に達した時に健全性の確認を行う。しかしながらこのような確認方法を採用した場合、判定実施条件に該当しないタイミングで発生する異常を検知できないという問題がある。
【課題を解決するための手段】
【０００７】
本発明の一実施形態に係る車両制御装置は、鉄道車両に設置される１以上の車上機器の制御を行う制御部と、前記制御部に伝送路を介して接続され、前記制御部と前記車上機器との間の通信を仲介する少なくとも２以上に多重化されたインタフェース部と、を有する車両制御装置であって、前記制御部は、前記車上機器に対して通信の健全性を確認する健全性確認電文を生成するフェイルセーフ演算部と、前記健全性を確認するために用いられる信号である比較信号を記憶したメモリと、前記健全性確認電文の送信タイミングを生成する乱数生成部と、を有し、前記インタフェース部は、前記車上機器が送出する信号を取り込む、入力信号取込部を有し、前記健全性確認電文を受信すると、前記入力信号取込部に規定の異常を発生させた状態で前記車上機器が送出する信号を取得し、前記信号を含んだ返信電文を前記制御部に返送し、前記制御部は、前記返信電文に含まれている前記信号と前記比較信号とを比較し、該比較結果に基づき通信対象とするインタフェース部を管理する。
【発明の効果】
【０００８】
本発明に係る列車保安装置によれば、従来検知できなかった装置の異常を検知でき、装置の信頼性、安全性の向上に寄与することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の装置構成図である。
【図２（ａ）】出力信号送信処理のフローチャート例である。
【図２（ｂ）】出力信号送信処理のフローチャートの変形例である。
【図２（ｃ）】制御部の内部構成の概略である。
【図３】インタフェース部が送信電文を受信した時に行う処理のフローチャート例である。
【図４】健全性確認のフローチャート例である。
【図５】送信電文と返信電文のフォーマット例である。
【図６】フェイルセーフ演算部の一例である。
【図７】フェイルセーフ演算部のその他の例である。
【図８】出力信号送信処理のフローチャートの変形例である。
【図９】インタフェース部が多重化された本発明の装置構成図である。
【図１０】インタフェース部が多重化された際の送信電文と返信電文のフォーマット例である。
【図１１】出力信号送信処理のフローチャートの変形例である。
【図１２】インタフェース部が送信電文を受信した時に行う処理のフローチャートの変形例である。
【図１３】健全性確認のフローチャート例の変形例である。
【発明を実施するための形態】
【００１０】
以下、本発明の一実施形態について図面を用いて説明する。
【実施例１】
【００１１】
図１は、本実施例に係る車両制御装置（列車保安システム）の構成を示している。車両制御装置は、鉄道車両に備えられているインバータ装置、自動列車制御装置（ＡＴＣ）車上装置、或いは空調装置等の、各種の車上機器７の制御を行うために、鉄道車両に搭載される装置である。なお図１では、本実施例で主に説明される車両制御装置における健全性確認方法と直接的に関係しない構成物（たとえば鉄道車両の車体など）の記載は略している。
【００１２】
車両制御装置は少なくとも、制御部２とインタフェース部６を有する装置で、制御部２とインタフェース部６は伝送路４を介して互いに通信可能に接続されている。制御部２は、鉄道車両の各車上機器７に対して制御信号を送信することで、各車上機器７の制御を行う。車上機器７は、制御部２から受領した制御信号の内容に応じた動作を行うとともに、信号を制御部２に返送する機能を有している。以下では、制御部２が車上機器７に対して送信する信号を「出力信号」と呼び、車上機器７から制御部２に送信する信号を「入力信号」と呼ぶ。
【００１３】
また制御部２は図１に示されるように、フェイルセーフ演算部１と通信部３を有する。フェイルセーフ演算部１は故障を検知し故障検知信号を出力することのできる故障検知回路を含む。このようなフェイルセーフ演算部の具体例は、図６に示されるような、複数のＣＰＵ（図では二つのＣＰＵ）またはマルチプロセッサコアを有するＣＰＵ、およびバス照合回路を有する演算装置であって、同期して駆動するＣＰＵから出力される信号をバス照合回路によって監視し、バス照合回路においてそれぞれのＣＰＵから出力される信号が一致する場合のみ、それらの信号が出力制御回路から出力され、列車の制御に利用される演算装置が挙げられる。またバス照合回路のようなハードウェア構成に依らず、例えば図７に示すソフトウェア照合（データリンク）を利用するフェイルセーフ演算装置が採用されてもよい。
【００１４】
ソフトウェア照合を実装する場合は、例えばそれぞれのＣＰＵは演算結果を交換するように構成され、互いに自身の出力結果と他のＣＰＵの演算結果が一致するか否かを相互監視し、全ＣＰＵの演算結果が一致した場合のみ演算結果は制御に適用される。このような機能は、例えば図７に示すようにＣＰＵ１とＣＰＵ２との間に共有メモリを設け、二つのＣＰＵがそれぞれ共有メモリに書き込まれる相手の演算結果を確認し、演算結果の正しさを確認できた場合は、それぞれの出力部に対して演算結果を送信し、出力部１および出力部２の信号が一致すると出力制御回路が動作するように構成することで実現できる。
【００１５】
また、この他にＣＰＵは一つであったとしても、このＣＰＵから独立した診断回路を有し、診断回路において演算結果の正しさが確認された場合のみ演算結果が制御に反映されるような構成が採用されてもよい。本実施例におけるフェイルセーフ演算部１の態様はこれらのいずれであってもよく、更なるフェイルセーフ演算部１の具体的な動作は後述する。通信部３は、制御部２が車上機器７との間で信号をやり取りする際に用いられる。
【００１６】
インタフェース部６は、制御部２と各車上機器７との間の通信を仲介するための装置である。図１に示すとおり、インタフェース部６は通信部５と入力信号取込部９を有し、各車上機器７は入力信号取込部９を介してインタフェース部６に接続される。図１では、複数の車上機器７が１つの入力信号取込部９に接続されている構成が示されているが、別の実施形態として、インタフェース部６が車上機器７の数と同数の入力信号取込部９を有し、１つの入力信号取込部９に１つの車上機器７が接続される構成であってもよい。また通信部５は、インタフェース部６が伝送路４を通じて制御部２との通信を行うための装置である。
【００１７】
制御部２とインタフェース部６は一定の周期ごとに信号（電文）の送受信（双方向通信）を行っている。制御部２とインタフェース部６の間でやり取りされる通信データ（電文）のフォーマット例を図５に示す。図５（ａ）は、制御部２からインタフェース部６に出力信号を送信する際に用いる電文（送信電文と呼ぶ）のフォーマット例で、図５（ｂ）は、インタフェース部６が車上機器７の入力信号を制御部２に送信する時に用いる電文（返信電文と呼ぶ）のフォーマット例である。
【００１８】
まず図５（ａ）の送信電文について説明する。通信情報２０２には、制御部２がインタフェース部６を介して車上機器７に送信する制御信号（制御情報）が格納される。制御情報は、車上機器７に対する制御指示や、制御指示を送信すべき車上機器７の識別子等を含む。一方健全性確認フラグ２０１は、制御部２がインタフェース部６に対して、信号の健全性確認を行わせる際に用いられる。制御部２がインタフェース部６に健全性確認の実施を指示するとき、健全性確認フラグ２０１がセットされた（健全性確認フラグ２０１に“１”が記録された）送信電文を送信する。逆にインタフェース部６に健全性確認を行わせないときには、制御部２は健全性確認フラグ２０１がセットされていない送信電文（具体的には、健全性確認フラグ２０１に“０”が格納された送信電文）を送信する。詳細は後述する。なお、以下では送信電文のうち、健全性確認フラグ２０１に“１”の記録された送信電文を「健全性確認電文」と呼ぶこともあり、そうでない電文（健全性確認フラグ２０１に“０”の記録された送信電文）を、「通常の送信電文」と呼ぶこともある。
【００１９】
図５（ｂ）の返信電文も、送信電文と同様のフォーマットであり、健全性確認実施済フラグ６０１と通信情報６０２を含んでいる。通信情報６０２は、車上機器７からの入力信号が格納される領域である。健全性確認実施済フラグ６０１は、インタフェース部６が健全性確認を実施したか否かを表す情報で、健全性確認実施済フラグ６０１が“１”の時、インタフェース部６が健全性確認処理を実施したことを表し、逆に健全性確認実施済フラグ６０１が“０”の時、インタフェース部６が健全性確認処理を実施していないことを表す。
【００２０】
続いて、健全性確認が行われるまでの処理の流れを、図２以降の図面を用いて説明する。以下で説明される各図において、参照番号の前に付されているアルファベットの“Ｓ”は、「ステップ」を意味する。
【００２１】
図２（ａ）は、制御部２で行われる出力信号送信処理の流れ図である。制御部２は、図２（ａ）のステップ１００〜ステップ１０４の処理を定期的に実行する。以下では、この処理の実行周期がＴ［秒］の例（Ｔ秒に１回、ステップ１００〜ステップ１０４が行われる）を説明する。
【００２２】
まずステップ１００で、制御部２は送信電文を作成する。具体的にはここでは通信情報２０２に送信すべき情報が作成され、また健全性確認フラグ２０１には“０”の格納された送信電文が作成される。
【００２３】
続いてステップ１０１でフェイルセーフ演算部１は乱数を生成する。フェイルセーフ演算部１は一様乱数を生成する機能を有し、ステップ１０１では１以上Ｎ（Ｎは２以上の整数）以下の整数を生成するものとする。なお乱数生成において、フェイルセーフ演算部は、直近に利用実績のある乱数との比較を実施してもよい。乱数生成が何らかの理由で機能しておらず、ある値を固定的に出力するような場合も、直近の利用実績と比較することでそのようなエラーを検出することができ、更に車両制御装置の安全性を向上させることができる。
【００２４】
続いてフェイルセーフ演算部１は、前回健全性確認電文の送信を行ってから（具体的には、前回ステップ１０３を実行してから）、乱数で決定された周期が経過したか判定する（ステップ１０２）。たとえばフェイルセーフ演算部１は、ステップ１０１で生成された乱数がｎ（ｎは１≦ｎ≦Ｎを満たす整数）の時、前回健全性確認電文の送信を行ってから（Ｔ×ｎ）秒以上経過したかを判定するとよい。
【００２５】
前回健全性確認電文の送信を行ってから（Ｔ×ｎ）秒以上経過していた場合（ステップ１０２：ＹＥＳ）、フェイルセーフ演算部１はステップ１００で作成された送信電文の健全性確認フラグ２０１を“１”に変更する（ステップ１０３）。逆にステップ１０２の判定がＮＯの場合、送信電文の健全性確認フラグ２０１の変更は行われない。その後制御部２は、通信部３を用いて送信電文をインタフェース部６へ送信する（ステップ１０４）。ステップ１０４の後、制御部２は一定時間（たとえばＴ秒）待機（ステップ１０５）した後、再びステップ１０１を実行する。
【００２６】
制御部２は以上の処理を行うことで、健全性確認電文をランダムな周期（ランダムなタミング）でインタフェース部６に送信する。なお、ステップ１０１は必ずしも毎回実行されなくてもよい。フェイルセーフ演算部１は、１回ステップ１０１を実行（乱数を生成）すると、ステップ１０３（健全性確認フラグ２０１がセットされた送信電文［健全性確認電文］の作成）が実行されるまでは、ステップ１０１の実行をスキップして良く、そのためのタイマー制御をステップ１０１の前段に設けてもよい。
【００２７】
また、制御部２で行われる出力信号送信処理の変形例として図２（ｂ）に示すフローチャートを採用してもよい。図２（ｂ）で示す手順は、フェイルセーフ演算部１は、動作開始後に乱数生成を実施する（ステップ１００ａ）ものとし、これによって動作開始直後の乱数初期値を取得し、以降は送信電文の作成後に乱数周期と現在の周期カウンタとの比較を実行する。周期はフェイルセーフ演算部１の動作周期を利用し、乱数の更新は健全性確認セットの処理が実行された後に実行される。
【００２８】
詳細には次のように実施される。まずインタフェース部６の健全性確認の実行フェーズを迎えると、フェイルセーフ演算部１は、乱数を生成し、健全性確認電文を送信する周期の初期値を決定する（ステップ１００ａ）。ステップ１００ａによって初期値が決定されるとス続いて送信電文が生成される（１０１ａ）。送信電文が生成されると続いてフェイルセーフ演算部１は、乱数周期と周期カウンタとの比較を実行する（ステップ１０２ａ）。比較の結果、乱数周期が周期カウンタよりも大きい場合は、送信処理が実行される（ステップ１０５ａ）とともに周期カウンタのカウントがインクリメントされ（ステップ１０６ａ）、次の周期へ移行する。一方、乱数周期と周期カウンタが一致もしくは乱数周期よりも周期カウンタが大きい場合は、健全性確認指示セットの処理が実行され（ステップ１０３ａ）、あわせて乱数生成が実行されて乱数周期が更新される（ステップ１０４ａ）。このときに更に周期カウンタもリセットされる。このようなフローを採用した場合、乱数生成の要否判定が不要となり、より健全性確認電文をランダムなタイミングで送信する機能を簡素な構成で実現できる。
【００２９】
また、図２（Ｃ）に上述した出力信号送信処理を実施する制御部２の概要を示す。なおフェイルセーフ演算部１の指令に応じて、乱数生成部、周期カウンタは動作し、それぞれがメモリと接続される。なお、乱数生成部や周期カウンタはフェイルセーフ演算部１の一部として構成されてもよい。また、送信電文の生成、健全性確認フラグ２０１のセット、乱数生成部における乱数生成や周期カウンタにおけるカウント処理は、いずれもフェイルセーフ演算部１によって実施されるものであって、いずれかの計算処理でエラーが生じた場合は、その時点で制御を中止する。
【００３０】
図３は、インタフェース部６が制御部２から送信されてくる送信電文の処理を行う時の流れ図である。図３の処理は制御部２から送信電文が送られて来るたびに実行される。
【００３１】
ステップ１１１でインタフェース部６は制御部２からの送信電文を受信し、通信情報２０２の内容に応じて、制御指示の送信先の車上機器７に制御指示を送信する。この結果、車上機器７は制御指示に基づいた動作・処理を行うが、これは公知の処理のため、説明は略す。
【００３２】
続いてインタフェース部６は、健全性確認電文を受信したか確認する（ステップ１１２）。具体的にはインタフェース部６は、ステップ１１１で受信した送信電文中の健全性確認フラグ２０１が“１”であるか否か確認し、健全性確認フラグ２０１が“１”の場合（ステップ１１２：ＹＥＳ）、インタフェース部６は入力信号取込部９に規定の異常状態を発生させ、車上機器７から取り込まれる入力信号にエラーを混入させる（ステップ１１３）。なお入力信号取込部９における異常状態について、複数のパターンを有していてもよい。複数のパターンを予めインタフェース部６ａおよび制御部２が保持しておき、都度、ランダムまたは周期的に異常状態を更新して健全性を確認することによって、真に発生した異常状態と事前に想定された異常パターンが偶然一致してしまう可能性を低減し、異常の検知精度を更に向上させることができる。
【００３３】
入力信号取込部９に規定の異常状態を発生させるための方法は、特定の方法に限定されない。たとえば入力信号取込部９のコモン電流をカットする等の方法が用いられるとよい。ただし、ここで異常状態を発生させた場合に、入力信号に混入するエラーは毎回同じである（再現性がある）ことが必要であり、ステップ１１３ではそのような異常状態を発生させることを前提とする。健全性確認フラグ２０１が“０”の場合（ステップ１１２：ＮＯ）、ステップ１１３はスキップされる。
【００３４】
ステップ１１２（またはステップ１１３）の後、インタフェース部６は入力信号取込部９を介して車上機器７からの入力信号を取り込む（ステップ１１４）。なお、ステップ１１３が実行された場合には、インタフェース部６は入力信号取込部９に規定の異常状態を発生させた状態のまま、入力信号を取り込むことになる。
【００３５】
ステップ１１５ではインタフェース部６は、ステップ１１４で取り込んだ入力信号を含む返信電文を作成し、制御部２に送信し、処理を終了する。なお、ステップ１１２で健全性確認フラグ２０１が“１”だった場合、インタフェース部６はステップ１１５で、健全性確認実施済フラグに“１”の格納された返信電文を作成する。一方健全性確認フラグ２０１が“０”だった場合、インタフェース部６はステップ１１５で、健全性確認実施済フラグに“０”の格納された返信電文を作成する。
【００３６】
図４は、制御部２がフェイルセーフ演算部１を用いて行う、健全性確認処理の流れ図である。この処理は、制御部２がインタフェース部６から返信電文を受信するたびに行われる。
【００３７】
フェイルセーフ演算部１は、インタフェース部６から受信した返信電文の健全性確認実施済フラグに“１”が設定されていなければ（ステップ１２１：ＮＯ）、通常の処理（返信電文の内容に基づいた処理）を行う（ステップ１２５）。この処理は健全性確認処理と直接の関係はないため、説明を略す。
【００３８】
一方、返信電文の健全性確認実施済フラグに“１”が設定されていれば（ステップ１２１：ＹＥＳ）、フェイルセーフ演算部１は返信電文が異常か否か判定する（ステップ１２２）。フェイルセーフ演算部１は、入力信号取込部９に規定の異常状態を発生させた場合に（ただし車上機器７やインタフェース部６を構成する各種ハードウェアに故障が発生していないことが前提である）、各車上機器７から返信されてくる入力信号（返信電文）の想定値をあらかじめ記憶している（以下、この入力信号の想定値を「比較信号」と呼ぶ）。ステップ１２２ではフェイルセーフ演算部１は、返信電文の通信情報６０２に含まれている情報（入力信号）と、この予めフェイルセーフ演算部１に記憶されていた比較信号とを比較する（ステップ１２３）。
【００３９】
フェイルセーフ演算部１は、ステップ１２３における比較の結果、両者が不一致であれば、インタフェース部６（の一部または全体）あるいは送信電文の送信先である車上機器７に異常が発生していると判断し、その旨を鉄道車両の運転士や作業員等に通知する（ステップ１２４）。あるいは、制御部２に車上機器７または入力信号取込部９に異常が発生した旨を記憶するための記憶媒体を搭載しておき、フェイルセーフ演算部１は異常が発生したと判断した場合に、異常が発生した旨の情報を記憶媒体に保存してもよい。もちろん異常が発生した旨の通知と、異常が発生した旨の情報の保存の両方が行われてもよい。一方、ステップ１２３の判定が肯定的な場合、つまり返信電文に含まれている入力信号と比較信号が一致する場合は、フェイルセーフ演算部１は何もせず、処理を終了する。
【００４０】
なお、インタフェース部６に、電文を返信できないような故障が発生している場合、制御部２が図２の処理を実行することで健全性確認フラグ２０１が“１”の送信電文をインタフェース部６に送信しても、インタフェース部６から返信電文が返送されない。そのため制御部２は、送信電文の送信後、決められた時間以内にインタフェース部６から返信電文が返送されてこない場合にも、異常が発生していると判断し、その旨を鉄道車両の運転士や作業員等に通知するとよい。
【００４１】
本実施例に係る車両制御装置は、上に述べた構成・機能を有することにより、インタフェース部６が取得する各車上機器７からの入力信号および入力信号取込処理の健全性を確認することができる。
【００４２】
また本実施例に係る車両制御装置は、健全性の確認を（あらかじめ定められた契機で行うのではなく）ランダムな周期で行うので、従来は検知できなかった異常状態を検知することが可能となり、信頼性および安全性を向上させることができる。さらにインタフェース部６がフェイルセーフ演算部１を有していなくとも健全性確認を行うことができる。
【００４３】
以上、本発明の実施の形態の一つを説明したが、具体的な構成は実施の形態に示したものに限られるものではなく、本発明の要旨を逸脱しない範囲における変更や追加があっても本発明に含まれる。
【００４４】
上で説明した実施例では、フェイルセーフ演算部１が健全性確認指示を行うタイミングは乱数により健全性確認指示を行う周期を決定しているが、非周期的に行う方法は乱数に限られるものではなく、非周期的に発生するイベント処理をトリガとする場合においても本発明の非周期的な健全性確認は実現可能である。
【００４５】
例えば、フェイルセーフ演算部１は健全性確認指示を電源投入後インタフェース部６との伝送が確立されたタイミングで実施することによって、電源断時あるいは投入時に発生したインタフェース部６の異常を確認することができる。
【００４６】
このような健全性確認処理の実行にあたって、例えば図８に示すような態様が提案される。すなわち電源投入後、インタフェース部６との通信が確立されたことをフェイルセーフ演算部１が確認すると、続いてフェイルセーフ演算部１は健全性確認指示の実行履歴を確認する（ステップ１００ｂ）。健全性確認の指示の実行履歴が無い場合は、送信電文を作成し（ステップ１０７ｂ）、健全性確認指示セット（ステップ１０４ｂ）および送信処理を実行し（ステップ１０５ｂ）、インタフェース部６の応答を確認する。インタフェース部６の処理および応答の確認は図３、４に示す内容と同様であってよい。
【００４７】
フェイルセーフ演算部１は、インタフェース部６の応答が正しい（すなわち規定された異常状態と一致）した場合は、引き続き上述した健全性確認を実施しながら車両制御を実行する（ステップ１０１ｂ〜ステップ１０６ｂ）。なお、健全性確認の実行履歴の確認は、確認用のデータが記録される領域をメモリに設定し、制御部２の電源投入後のシーケンスにおいて当該領域を確認するステップを組み込むことで実現してもよい。
【００４８】
また電源投入後のインタフェース６の異常を検知するにあたり、フェイルセーフ演算部１は電源の遮断プロセスにおいて、健全性確認の実行履歴を消去するステップを有することが望ましい。このようなステップを有することによって、電源投入後に確実に健全性確認を実行することができる。また遮断プロセスにおける実効履歴の消去の他に、健全性確認の実行履歴を揮発性メモリに保存するものとし、電源遮断時に機械的にデータ消去されるものとしてもよい。
【００４９】
加えて、実施例では制御部２とインタフェース部６が伝送路４を介して通信を行う例を説明したが、伝送路４に用いられる通信媒体は特定のものに限定されない。たとえば制御部２とインタフェース部６が無線通信を行う構成でもよい、つまり伝送路４は有線通信媒体に限定されない。制御部２とインタフェース部６の双方向通信が実現可能な伝送媒体であれば、任意の伝送路が用いられて良い。
【００５０】
さらに、インタフェース部６は多重化されていてもよく、あるインタフェース部における健全性確認の結果インタフェース部が異常と判断された場合、制御部２は伝送を行うインタフェース部を異常と判断されていない方のインタフェース部に切り替えて制御を継続することもできる。
【００５１】
インタフフェース部の多重化は例えば図９に示すように構成される。制御部２は伝送路４を経由して第１のインタフェース部６ａおよび第２のインタフェース部６ｂと接続される。第１のインタフェース部６ａと第２のインタフェース部６ｂは、それぞれが通信部６ａ、６ｂおよび入力信号取込部９ａ，９ｂを有している。インタフェース部６ａ、６ｂはそれぞれが独立して同一の車上機器７と通信可能に構成され、それぞれの車上機器７に対して同じ制御を実行可能、または同じ通信を実行可能に構成される。なお、伝送路４もそれぞれの通信部６ａ、６ｂに対して独立して通信可能なように多重化されていてもよい。
【００５２】
またインタフェース部６ａ、６ｂは健全性確認のための異常状態の発生機能（入力信号のエラー注入）も同一のものを有する。すなわちインタフェース部６ａは入力信号取込部９ａに規定の異常状態を発生させ、車上機器７から取り込まれる入力信号にエラーを混入させる機能を有し、インタフェース部６ｂは入力信号取込部９ｂに規定の異常状態を発生させ、車上機器７から取り込まれる入力信号にエラーを混入させる機能を有する。さらに当該機能によって生じる規定の異常状態は、インタフェース部６ａ，６ｂともに同一の内容が設定される。
【００５３】
このように構成されたインタフェース部６ａ、６ｂに対して制御部２から上述した健全性確認電文が送信される。通常の送信電文および健全性確認電文は、いずれのインタフェース部に対する通信であるかを識別するための識別子（通信対象識別子２０３）と、いずれのインタフェース部が実際に制御を実施してよいか、すなわち現行の主系であるインタフェース部を示す識別子（主系フラグ識別子２０４）が付与される。
【００５４】
多重化されたインタフェース部を採用する場合の電文フォーマットは、例えば図１０のように構成される。送信電文フォーマットは、健全性確認フラグ２０１、通信場所法２０２、通信対象識別子２０３、主系フラグ識別子２０４が含まれる。返信電文フォーマットは、健全性確認実施済フラグ６０１、通信情報６０２、通信対象識別子６０３、主系フラグ識別子６０４が含まれる。通信対象識別子２０３、６０３と主系フラグ識別子２０４、６０４は、多重化されたインタフェース部における通信対象となるインタフェース部を特定する情報であり、主系フラグ識別子２０４、６０４は、多重化されたインタフェース部において、車上機器７に対する制御指令等の出力許可が付与されたインタフェース部を特定する情報である。
【００５５】
多重化されたインタフェース部に関する健全性確認は図１１から図１３に示すように実行される。図１１は出力信号送信処理のフローチャートの変形例である。ステップ１０３ｃまでは上述の例と同様であるため省略し、現行の主系インタフェース部がインタフェース部６ａであるとする。
【００５６】
健全性確認指示を設定すると続いてフェイルセーフ演算部１は、通信対象識別子のデータ欄に第１のインタフェース部６ａの識別子（識別子ａ）を設定、主系フラグ識別子欄に”１”を設定し（ステップ１０４ｃ）、伝送路４へ出力する（ステップ１０５ｃ）。一つ目のインタフェース部６ａに対する電文送信を実施すると、次にフェイルセーフ演算部１は認電文を送信していない通信対象が存在するか否かを確認し（ステップ１０６ｃ）、未実施の通信対象が有る場合は、通信対象識別子および主系フラグを特定して再度送信処理を実行する。具体的にこの例であれば、識別子データ欄に第２のインタフェース部６ｂを特定する識別子（識別子ｂ）を設定、主系フラグ識別子欄に”０”を設定し、伝送路４に出力する。すべての通信対象について電文の送信がなされた後は、ステップ１０７ｃに移行し次の通信周期へと移行する。
【００５７】
インタフェース部６ａおよびインタフェース部６ｂは、図１２に示すように受信処理を実行する。図１２は送信電文を受信した時に行う処理のフローチャートの変形例である。
【００５８】
それぞれインタフェース部に対する電文が送信され、インタフェース部６ａおよびインタフェース部６ｂは、送信電文を受信すると通信対象識別子２０３を確認し、自身に対する送信電文であるか否かを判断する（ステップ１１２ｄ）。自身に対する送信電文を受信した場合は続いて健全性確認指示の有無を確認し（ステップ１１３ｄ）、自身に対する送信電文でない場合は当該電文を破棄する（ステップ１１９ｄ）。なお電文の破棄をせずに、次の電文によって上書きする制御としてもよい、
健全性確認指示がある場合は、主系フラグ識別子に関わらず、インタフェース部６ａとインタフェース部６ｂはいずれも異常状態を発生させ（ステップ１１４ｄ）、入力信号情報を取得し（ステップ１１５ｄ）、送信返信電文を作成して送信する。なおこの際に、インタフェース部は、通信識別子の記入欄に自身を示す通信対象識別子６０３を記入し、かつ自身が処理した送信電文に記入された主系フラグ識別子を返信電文における主系フラグ識別子６０４の記入欄に記入し（ステップ１１６ｄ）、伝送路４に出力する（ステップ１１７ｄ）。
【００５９】
送信電文において健全性確認指示が無い場合は、それぞれのインタフェース部は主系フラグ識別子２０４を確認し（ステップ１１８ｄ）、主系フラグ識別子２０４が”１”である場合は、車上機器７に対する制御や通信を実行する。一方、主系フラグ識別子が”０”である場合は、車上機器７に対する通信等は実行せずに次の送信電文を待機する状態へ遷移する。したがって、インタフェース部６ａは主系フラグ識別子が”１”であるため通常処理を実行し、インタフェース部６ｂは主系フラグ識別子２０４が”０”であるため、通常処理は実行せずに現在の電文を破棄し、次の送信電文を待つ状態となる。
【００６０】
ここでいずれかのインタフェース部に異常が生じた場合、システムは図１３に示すに動作する。図１３は健全性確認のフローチャート例の変形例である。
【００６１】
まずフェイルセーフ演算部１は返信電文に含まれる入力信号の比較によって入力信号の異常状態を検知する。手順は図４のステップ１２２〜ステップ１２４と同様である。入力信号の異常状態が検知されると、返信電文に含まれる通信対象識別子６０３を確認し、当該通信対象識別子６０３は通信を禁止するリスト（通信禁止対象）に登録され、以降、インタフェース部の異常が解消されるまで送信電文の送信が禁止される（ステップ１２６）。
【００６２】
つづいて通信禁止対象ではない、異常が検知されていないインタフェース部を選択し、当該インタフェース部に対して主系フラグを割り当てる。図９に示す例であれば、インタフェース部６ａの返信電文に異常が検知された場合、フェイルセーフ演算部１は、インタフェース部６ａに割り当てられた通信対象識別子２０３（識別子６ａ）の運用を停止するとともに、インタフェース部６ｂを主系として設定し、インタフェース部６ｂに割り当てられた通信対象識別子２０３（識別子６ｂ）に対する主系フラグ識別子２０４を”１”と設定する。このようにフェイルセーフ演算部１が通信対象識別子２０３および主系フラグ識別子２０４を運用することによって、車両制御装置は、インタフェース部を多重化して運用することができる。すなわち主系のインタフェース部に異常が生じた場合に速やかにその運用を停止するとともに、健全性が確認されているインタフェース部を主系へ切り替えることが可能となり、鉄道車両の安全性を向上しつつ、運用の効率向上を図ることができる。
【００６３】
また、多重化されたインタフェース部に関する健全性の確認動作は、インタフェース部ごとに異なる周期で実行するものとし、乱数が生成されるごとに健全性を確認する対象のインタフェース部を切り替えるようにしてもよい。
【００６４】
以上、本発明の実施形態について複数例を提示した。本発明はこれらの実施形態のみを含むものではなく、発明の効果を奏する範囲において、実施形態の一部を置換、削除、変更しまたは異なる実施形態どうしを要素単位で組み合わせることができ、また一部の機能を地上側のシステムで実行してもよい。
【００６５】
例えば、健全性確認電文を送信する手続は、複数種類を制御部２に登録させておき、利用目的に応じて適切な一を選択して運用するように構成してもよいし、これらの健全性確認制御を実行するアルゴリズムは電源投入時に都度、地上側から送信されたものを車上で展開して実行するものとしてもよい。
【００６６】
またインタフェース部の異常が検知された場合、その旨を地上へ通知するように構成してもよい。また多重化されたインタフェース部を搭載した車両制御装置において、いずれかのインタフェース部で異常が検知され、健全性が確認されているインタフェース部を主系として運用する場合は、車両制御装置による制御内容を全インタフェース部が健全であるときよりも限定的なものへ変更し、より安全な運行がなされるように構成してもよい。
【００６７】
また、インタフェース部が多重化された例において、健全性確認指示が無く、かつ主系フラグ識別子が”０”である場合の処理として、上述の実施例に代わり、通常処理を実行するように構成してもよい。このような変形例では、主系フラグ識別子が”０”であれば、インタフェース部は通常処理の実行は許可される一方、車上機器７に対する信号出力を禁止するように、インタフェース部自身に制御論理を持たせる。このようなインタフェース部を有することによって、多重化されたインタフェース部をそれぞれ稼働状態としつつ、車上機器７に対する出力許可を一のインタフェース部に限定して付与することが可能となる。その結果、出力許可を与えられたインタフェース部や、その伝送路４において何らかの異常が生じた場合、直前まで主系であったインタフェース部と略同様に稼働している他のインタフェエース部へ切り替えが速やかに実行でき、制御が停止してしまう事態をより効果的に抑制することができる。
【００６８】
また、多重化されたインタフェース部を備える場合において、制御部２とインタフェース部との通信は、順次通信に代わって並行的に全インタフェース部との通信を実施するものとしてもよい。例えば通信部３、５がそれぞれハブとしての機能を有している機器であり、両者間の通信を同時並列的に処理するものとしてもよい。
【符号の説明】
【００６９】
１：フェイルセーフ演算部
２：制御部
３：通信部
４：伝送路
５：通信部
６：インタフェース部
７：車上機器
９：入力信号取込部
【図１】
2020089204.tif 000003
【図２（ａ）】
2020089204.tif 000004
【図２（ｂ）】
2020089204.tif 000005
【図２（ｃ）】
2020089204.tif 000006
【図３】
2020089204.tif 000007
【図４】
2020089204.tif 000008
【図５】
2020089204.tif 000009
【図６】
2020089204.tif 000010
【図７】
2020089204.tif 000011
【図８】
2020089204.tif 000012
【図９】
2020089204.tif 000013
【図１０】
2020089204.tif 000014
【図１１】
2020089204.tif 000015
【図１２】
2020089204.tif 000016
【図１３】
2020089204.tif 000017