(57)【特許請求の範囲】
【請求項１】
Ａ／Ｂ系ＣＰＵが、比較器とは別の汎用ＣＰＵボードまたは汎用ＰＣに搭載されて、前記Ａ／Ｂ系ＣＰＵの搭載された前記汎用ＣＰＵボードまたは前記汎用ＰＣが差し替え可能に構成され、Ａ系ＣＰＵ、Ｂ系ＣＰＵ、比較器間のインタフェースに汎用インタフェースを用いることで、汎用インタフェースに接続可能な汎用ＣＰＵ上で上記Ａ系ＣＰＵ及びＢ系ＣＰＵの機能を実行可能としたフェールセーフ装置を１系／２系の多重系のフェールセーフ装置として構成し、多重系のフェールセーフ装置間を汎用インタフェースで接続した鉄道信号システムのフェールセーフ装置において、
前記多重系のフェールセーフ装置の各比較器は、フェールセーフＣＰＵと、前記フェールセーフＣＰＵにＡ／Ｂ系間同期手順、照合機能及び１，２系間通信の手順を実行させるための専用のフェールセーフ用コンピュータプログラムから構成され、
前記フェールセーフ用コンピュータプログラムは、
前記Ａ／Ｂ系間同期手順では、
Ａ／Ｂ系ＣＰＵ間で相手の正常確認と同期をとった後に前記Ａ系ＣＰＵ又はＢ系ＣＰＵから送信される起動通知を受けて１，２系の系間同期信号の受信待ちとなる手順と、１，２系の相手系からの前記系間同期信号を受信した場合に、Ａ／Ｂ系ＣＰＵのアプリケーションソフトの処理開始を行う同期信号を送信する手順とを、前記フェールセーフＣＰＵに実行させ、
前記照合機能及び１，２系間通信の手順では、
１，２系の片系のフェールセーフＣＰＵが、前記片系のＡ／Ｂ系ＣＰＵの各々が１，２系の相手系へ送信する系間データから作成したハッシュ値を受信して照合し、一致した場合に、前記ハッシュ値を前記相手系に送信すると共に、前記片系のＡ／Ｂ系ＣＰＵの各々へ正常応答を返信する手順と、
１，２系の相手系のフェールセーフＣＰＵが、前記相手系のＡ／Ｂ系ＣＰＵが前記片系のＡ／Ｂ系ＣＰＵから直接受信した、あるいは配信された系間データの生データから計算したハッシュ値と、前記片系のフェールセーフＣＰＵが送信し、前記相手系のフェールセーフＣＰＵを介して受信した系間データのハッシュ値と、を比較して一致／不一致を判定した結果を受信して照合し、照合一致した場合に系間データを確定し、照合不一致の場合には、Ａ／Ｂ系ＣＰＵに所定の異常処理を実行させる異常応答をＡ／Ｂ系ＣＰＵに返信する手順と、を各系の前記フェールセーフＣＰＵに実行させるプログラムであることを特徴とする鉄道信号システムのフェールセーフ装置。
【請求項２】
Ａ／Ｂ系ＣＰＵが、比較器とは別の汎用ＣＰＵボードまたは汎用ＰＣに搭載されて、前記Ａ／Ｂ系ＣＰＵの搭載された前記汎用ＣＰＵボードまたは前記汎用ＰＣが差し替え可能に構成され、Ａ系ＣＰＵ、Ｂ系ＣＰＵ、比較器間のインタフェースに汎用インタフェースを用いることで、汎用インタフェースに接続可能な汎用ＣＰＵ上で上記Ａ系ＣＰＵ及びＢ系ＣＰＵの機能が実行可能とされたたフェールセーフ装置が１系／２系の多重系のフェールセーフ装置として構成され、多重系のフェールセーフ装置間が汎用インタフェースで接続され、前記多重系のフェールセーフ装置の各比較器が、フェールセーフＣＰＵと、前記フェールセーフＣＰＵにＡ／Ｂ系間同期手順、照合機能及び１，２系間通信の手順を実行させるための専用のフェールセーフ用コンピュータプログラムから構成された鉄道信号システムの専用のフェールセーフ用コンピュータプログラムであって、
前記フェールセーフ用コンピュータプログラムは、
前記Ａ／Ｂ系間同期手順では、
Ａ／Ｂ系ＣＰＵ間で相手の正常確認と同期をとった後に前記Ａ系ＣＰＵ又はＢ系ＣＰＵから送信される起動通知を受けて１，２系の系間同期信号の受信待ちとなる手順と、１，２系の相手系からの前記系間同期信号を受信した場合に、Ａ／Ｂ系ＣＰＵのアプリケーションソフトの処理開始を行う同期信号を送信する手順とを、前記フェールセーフＣＰＵに実行させ、
前記照合機能及び１，２系間通信の手順では、
１，２系の片系のフェールセーフＣＰＵが、前記片系のＡ／Ｂ系ＣＰＵの各々が１，２系の相手系へ送信する系間データから作成したハッシュ値を受信して照合し、一致した場合に、前記ハッシュ値を前記相手系に送信すると共に、前記片系のＡ／Ｂ系ＣＰＵの各々へ正常応答を返信する手順と、
１，２系の相手系のフェールセーフＣＰＵが、前記相手系のＡ／Ｂ系ＣＰＵが前記片系のＡ／Ｂ系ＣＰＵから直接受信した、あるいは配信された系間データの生データから計算したハッシュ値と、前記片系のフェールセーフＣＰＵが送信し、前記相手系のフェールセーフＣＰＵを介して受信した系間データのハッシュ値と、を比較して一致／不一致を判定した結果を受信して照合し、照合一致した場合に系間データを確定し、照合不一致の場合には、Ａ／Ｂ系ＣＰＵに所定の異常処理を実行させる異常応答をＡ／Ｂ系ＣＰＵに返信する手順とを、各系の前記フェールセーフＣＰＵに実行させるプログラムであることを特徴とするフェールセーフ用コンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鉄道信号システムに用いられるフェールセーフ装置のＣＰＵ脱着型の信号システムアーキテクチャに関する。
【背景技術】
【０００２】
鉄道信号システムにおいて、フェールセーフ装置の構成は、ＣＰＵ−Ａ，ＣＰＵ−Ｂ、比較器をオンボード（フェールセーフＣＰＵ）で構成し、ＣＰＵ−Ａ，Ｂで同一演算を行い、演算結果を専用インタフェース（バス）を介し、比較器で照合する方式が一般的である。（図１参照）
【０００３】
また、一般に、複数のＣＰＵモジュールの動作が一致しているかどうかの判定を行う技術としては、例えば、特許文献１が知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−３１８７０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来技術のフェールセーフ装置では、Ａ系ＣＰＵであるＣＰＵ−Ａ、Ｂ系ＣＰＵであるＣＰＵ−Ｂ、比較器がオンボード一体型かつ接続インタフェースが専用である為、以下の問題が発生していた。
（１）技術追従の困難性
ＣＰＵ部のみの脱着ができず、ＣＰＵ部に汎用の最新技術を容易に取り込めない。
（２）部品改廃への不適合
ＣＰＵのみの脱着ができず、部品改廃の度にフェールセーフＣＰＵ全体の開発が必要となる。
（３）部分更新に不適合
ＣＰＵ部のみの脱着ができず、更新箇所の局所化が難しく、フェールセーフＣＰＵを更新する際、バックプレーンも更新となり、装置全体での更新になることが多い。
【０００６】
本発明は、鉄道信号システムに用いられるフェールセーフ装置をＣＰＵ脱着型の信号システムアーキテクチャの装置とすることを目的とする。
【課題を解決するための手段】
【０００７】
本発明の鉄道信号システムのフェールセーフ装置は、Ａ／Ｂ系ＣＰＵが、比較器とは別の汎用ＣＰＵボードまたは汎用ＰＣに搭載されて、前記Ａ／Ｂ系ＣＰＵの搭載された前記汎用ＣＰＵボードまたは前記汎用ＰＣが差し替え可能に構成され、Ａ系ＣＰＵ、Ｂ系ＣＰＵ、比較器間のインタフェースに汎用インタフェースを用いることで、汎用インタフェースに接続可能な汎用ＣＰＵ上で上記Ａ系ＣＰＵ及びＢ系ＣＰＵの機能を実行可能としたフェールセーフ装置を１系／２系の多重系のフェールセーフ装置として構成し、多重系のフェールセーフ装置間を汎用インタフェースで接続した鉄道信号システムのフェールセーフ装置において、前記多重系のフェールセーフ装置の各比較器は、フェールセーフＣＰＵと、前記フェールセーフＣＰＵにＡ／Ｂ系間同期手順、照合機能及び１，２系間通信の手順を実行させるための専用のフェールセーフ用コンピュータプログラムから構成され、前記フェールセーフ用コンピュータプログラムは、前記Ａ／Ｂ系間同期手順では、Ａ／Ｂ系ＣＰＵ間で相手の正常確認と同期をとった後に前記Ａ系ＣＰＵ又はＢ系ＣＰＵから送信される起動通知を受けて１，２系の系間同期信号の受信待ちとなる手順と、１，２系の相手系からの前記系間同期信号を受信した場合に、Ａ／Ｂ系ＣＰＵのアプリケーションソフトの処理開始を行う同期信号を送信する手順とを、前記フェールセーフＣＰＵに実行させ、前記照合機能及び１，２系間通信の手順では、１，２系の片系のフェールセーフＣＰＵが、前記片系のＡ／Ｂ系ＣＰＵの各々が１，２系の相手系へ送信する系間データから作成したハッシュ値を受信して照合し、一致した場合に、前記ハッシュ値を前記相手系に送信すると共に、前記片系のＡ／Ｂ系ＣＰＵの各々へ正常応答を返信する手順と、１，２系の相手系のフェールセーフＣＰＵが、前記相手系のＡ／Ｂ系ＣＰＵが前記片系のＡ／Ｂ系ＣＰＵから直接受信した、あるいは配信された系間データの生データから計算したハッシュ値と、前記片系のフェールセーフＣＰＵが送信し、前記相手系のフェールセーフＣＰＵを介して受信した系間データのハッシュ値と、を比較して一致／不一致を判定した結果を受信して照合し、照合一致した場合に系間データを確定し、照合不一致の場合には、Ａ／Ｂ系ＣＰＵに所定の異常処理を実行させる異常応答をＡ／Ｂ系ＣＰＵに返信する手順と、を各系の前記フェールセーフＣＰＵに実行させるプログラムであることを特徴とする。
【０００８】
また、本発明のフェールセーフ装置用コンピュータプログラムは、Ａ／Ｂ系ＣＰＵが、比較器とは別の汎用ＣＰＵボードまたは汎用ＰＣに搭載されて、前記Ａ／Ｂ系ＣＰＵの搭載された前記汎用ＣＰＵボードまたは前記汎用ＰＣが差し替え可能に構成され、Ａ系ＣＰＵ、Ｂ系ＣＰＵ、比較器間のインタフェースに汎用インタフェースを用いることで、汎用インタフェースに接続可能な汎用ＣＰＵ上で上記Ａ系ＣＰＵ及びＢ系ＣＰＵの機能が実行可能とされたたフェールセーフ装置が１系／２系の多重系のフェールセーフ装置として構成され、多重系のフェールセーフ装置間が汎用インタフェースで接続され、前記多重系のフェールセーフ装置の各比較器が、フェールセーフＣＰＵと、前記フェールセーフＣＰＵにＡ／Ｂ系間同期手順、照合機能及び１，２系間通信の手順を実行させるための専用のフェールセーフ用コンピュータプログラムから構成された鉄道信号システムの専用のフェールセーフ用コンピュータプログラムであって、前記フェールセーフ用コンピュータプログラムは、前記Ａ／Ｂ系間同期手順では、Ａ／Ｂ系ＣＰＵ間で相手の正常確認と同期をとった後に前記Ａ系ＣＰＵ又はＢ系ＣＰＵから送信される起動通知を受けて１，２系の系間同期信号の受信待ちとなる手順と、１，２系の相手系からの前記系間同期信号を受信した場合に、Ａ／Ｂ系ＣＰＵのアプリケーションソフトの処理開始を行う同期信号を送信する手順とを、前記フェールセーフＣＰＵに実行させ、前記照合機能及び１，２系間通信の手順では、１，２系の片系のフェールセーフＣＰＵが、前記片系のＡ／Ｂ系ＣＰＵの各々が１，２系の相手系へ送信する系間データから作成したハッシュ値を受信して照合し、一致した場合に、前記ハッシュ値を前記相手系に送信すると共に、前記片系のＡ／Ｂ系ＣＰＵの各々へ正常応答を返信する手順と、１，２系の相手系のフェールセーフＣＰＵが、前記相手系のＡ／Ｂ系ＣＰＵが前記片系のＡ／Ｂ系ＣＰＵから直接受信した、あるいは配信された系間データの生データから計算したハッシュ値と、前記片系のフェールセーフＣＰＵが送信し、前記相手系のフェールセーフＣＰＵを介して受信した系間データのハッシュ値と、を比較して一致／不一致を判定した結果を受信して照合し、照合一致した場合に系間データを確定し、照合不一致の場合には、Ａ／Ｂ系ＣＰＵに所定の異常処理を実行させる異常応答をＡ／Ｂ系ＣＰＵに返信する手順とを、各系の前記フェールセーフＣＰＵに実行させるプログラムであることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ＣＰＵ−Ａ，ＣＰＵ−Ｂを差し替え可能な構造とし、ＣＰＵ−Ａ，ＣＰＵ−Ｂ、比較器間を主流の汎用インタフェース（国際標準規格）で接続することで、課題を解決できる。
【図面の簡単な説明】
【００１０】
【図１】図１は従来のフェールセーフ装置の構成を示す図である。
【図２】図２は本発明の実施例１のフェールセーフ装置のハード構成例を示す図である。
【図３】図３は本発明の実施例１のフェールセーフ装置の開発リソースの共有を示す図である。
【図４】図４は本発明の実施例１のフェールセーフ装置による機器集中、削減したシステム構成を示した説明図である。
【図５】図５は本発明の実施例１のフェールセーフ装置によるＣＰＵ部のみの部分更新を可能としたシステム構成を示した説明図である。
【図６】図６は本発明の実施例１のフェールセーフ装置のデータ出力（正常時）を示した説明図である。
【図７】図７は本発明の実施例１のフェールセーフ装置のデータ出力（異常時）を示した説明図である。
【図８】図８は本発明の実施例２のフェールセーフ装置のデータ出力（正常時）を示した説明図である。
【図９】図９は本発明の実施例２のフェールセーフ装置のデータ出力（異常時）を示した説明図である。
【図１０】図１０は従来のシステム管理構成を示した説明図である。
【図１１】図１１は本発明のシステム管理構成を示した説明図である。
【図１２】図１２は本発明のフェールセーフ装置の同期手順を示した説明図である。
【図１３】図１３は本発明のフェールセーフ装置の１，２系間通信手順を示した説明図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施の形態について、図面を参照して説明する。
【実施例１】
【００１２】
（比較器（ＦＳ−ＣＰＵ）の性能が高い場合）
（１）ハード構成
（ａ）ＣＰＵ−Ａ、ＣＰＵ−Ｂに主流の汎用パソコンを用い、比較器に従来のフェールセーフＣＰＵ（ＦＳ−ＣＰＵ）を用い、各ＣＰＵ間を主流の汎用インタフェースであるイーサネット(登録商標)でＴＰケーブルを用いて結ぶ。（図２参照）
従来のフェールセーフＣＰＵは、比較器という機能限定での用途となる為、高性能化、短期更新の必要性はなく、本発明の課題への影響はない。
【００１３】
（ｂ）図２の構成とすることで、汎用ＰＣの新機種がリリースされた時点で、ＣＰＵ-Ａ，Ｂを新機種へ容易に置き換えることができる。
（ｃ）図２の構成とすることで、汎用ＰＣが部品改廃等で製造中になった場合、世の中にある互換の汎用ＰＣ(例：WindowＰＣ)に置き換えることで新たなハードを開発する必要なく、容易に代替品への置き換えができる。
【００１４】
（ｄ）図２の構成とすることで、汎用ＰＣを別のノンフェールセーフ装置のＣＰＵと共通化でき、開発リソース（環境、人員）の共有化により開発コスト低減、品質安定を実現することができる。（図３参照）
【００１５】
（ｅ）ＣＰＵＡ，Ｂに高性能の最新汎用ＰＣを用いることで、高速・大容量化により機器を集約・削減し、信頼性向上、コスト低減、保守負荷軽減を実現できる。（図４参照）
【００１６】
（ｆ）大きさ等の条件に合わせて、汎用ＰＣの変わりに汎用のｃＰＣＩボードタイプのＣＰＵを用いてもよく、ＴＰケーブルの代わりにバックボードタイプのイーサネットを用いてもよい。
（ｇ）システム更新時、ＣＰＵ部のみの部分更新を可能とし、更新時の作業負荷軽減、コスト軽減、環境負荷軽減（廃棄部位の削減）ができる。（図５参照：ｃＰＣＩボードタイプの例）
【００１７】
（２）フェールセーフ装置からのデータ出力
図６の（１）において、ＣＰＵ−Ａ及びＣＰＵ−Ｂは汎用インタフェースを用いデータを比較器へ送信する。
図６の（２）において、比較器はＣＰＵ−Ａ，ＣＰＵ−Ｂ両方からのデータを汎用インタフェースを用い受信する。
図６の（３）において、比較器はＣＰＵ−Ａ，ＣＰＵ−Ｂ両方からのデータを比較し、一致している場合、いずれか一方のデータを外部へ出力する。
【００１８】
図７の（４）において、比較器はＣＰＵ−Ａ，ＣＰＵ−Ｂ両方からのデータを比較し、一致していない場合、外部への出力を行わず、所定の異常処理を実行する。
【実施例２】
【００１９】
（比較器（ＦＳ−ＣＰＵ）の性能が低い場合）
（１）フェールセーフ装置からのデータ出力
図８の（１）において、ＣＰＵ−Ｂは汎用インタフェースを用いデータを汎用ＣＰＵ−Ａへ送信する。
本例では、データ量削減の為、生データの代わりにＣＰＵ−Ｂが生データから計算したハッシュ値（１２８ｂｉｔ）を送信する。
図８の（２）において、ＣＰＵ−Ａは、ＣＰＵ−Ａが作成したデータとＣＰＵ−Ｂから受信したデータ両方を汎用インタフェースを用い比較器へ送信する。
本例では、データ量削減の為、生データの代わりにＣＰＵ−Ａ、Ｂのデータのハッシュ値を比較器へ送信する。
図８の（３）において、比較器はＣＰＵ−Ａ，ＣＰＵ−Ｂ両方からのデータ（ハッシュ値）を比較し一致している場合、ＣＰＵ−Ａへ送信許可を送信する。
図８の（４）において、ＣＰＵ−Ａは、比較器から送信許可を受信した時点で、データを外部へ出力する。
【００２０】
図９の（５）において、比較器はＣＰＵ−Ａ，ＣＰＵ−Ｂ両方からのデータ（ハッシュ値）を比較し一致していない場合、ＣＰＵ−Ａへ送信禁止を送信するとともに、所定の異常処理を実行する。
図９の（６）において、ＣＰＵ−Ａは、比較器から送信禁止を受信した場合、外部への出力を行わず、所定の異常処理を実行する。
【００２１】
＜システム管理構成分離＞
図１０は従来のシステム管理構成を示している。図１０の（１）において、従来のシステム管理構成は、フェールセーフ性を担保するＣＰＵ−Ａ，Ｂ間同期、照合機能をフェールセーフＣＰＵ上のハードウェアで実現している。
【００２２】
図１０の（２）において、ソフトウェアはＣＰＵ−Ａ、Ｂ上にあり、Ａ，Ｂ間同期、照合機能以外のシステム管理機能及びアプリケーション機能を実行している。本構成では、アプリケーション性能はフェールセーフＣＰＵの性能に依存する。
【００２３】
図１１は本発明のシステム管理構成を示した説明図である。図１１の（１）において、本発明のシステム管理構成は、フェールセーフ性を担保するＡ，Ｂ間同期、照合機能及び１，２系間通信、自ＣＰＵの故障検知と入出力をフェールセーフＣＰＵ上のソフトウェアで実行する。
【００２４】
フェールセーフＣＰＵ上のソフトウェアを上記機能に限定するのでフェールセーフＣＰＵの要求性能が高くなることはなく、フェールセーフＣＰＵの高性能化、短期更新の必要性はなくなる。
【００２５】
図１１の（２）において、Ａ，Ｂ間同期、照合機能、１，２系間通信以外のシステム管理機能及びアプリケーション機能を汎用ＰＣ（ＣＰＵ−Ａ，Ｂ）で実行する。アプリケーション機能を汎用ＰＣで実行する為、アプリケーションソフトの要求性能アップに対応し、汎用の高速ＣＰＵを選択可能である。
【００２６】
（２）同期手順
図１２は本発明のフェールセーフ装置の同期手順を示した説明図である。図１２の（１）において、電源ＯＮ後、ＣＰＵ−Ａ、Ｂが正常に起動したことを確認する為、ＣＰＵ−Ａ，Ｂ間で送受信を行う。併せてＣＰＵ−Ａ，Ｂ間の簡易同期（ラフな同期）をとる。
【００２７】
図１２の（２）において、ＣＰＵ−Ａ，Ｂ間で相手の正常確認と同期をとれた後、ＣＰＵ−Ａ，ＢからＦＳ−ＣＰＵへ起動通知を行う。
【００２８】
図１２の（３）において、ＦＳ−ＣＰＵは、ＣＰＵＡ，Ｂから起動通知受信後、自ＣＰＵのタイマにより相手系（本例では２系）からの系間同期信号受信待ちとなる。
【００２９】
図１２の（４）において、ＦＳ−ＣＰＵは相手系から系間同期信号を受信せずタイムアウトになった場合、自分を同期の親と判断し、以降、自ＣＰＵのタイマで周期を刻み、相手系への同期信号発信とＣＰＵ−Ａ，Ｂへ同期信号発信を周期的に行う。
【００３０】
図１２の（５）において、ＦＳ−ＣＰＵがタイムアウト前に相手系から系間同期信号を受信した場合、系間同期信号を受信したタイミングにＣＰＵ−Ａ，Ｂへ同期信号を発信する。同時に自タイマをリセットし再び相手系からの系間同期信号受信待ちとなる。
【００３１】
図１２の（６）において、１、２系のＣＰＵ−Ａ，ＢのアプリケーションソフトがＦＳ−ＣＰＵからの同期信号受信で処理開始することで１、２系のＣＰＵ−Ａ，Ｂ計４つのＣＰＵが同期ととりながら動作する。
【００３２】
図１２の（７）において、途中で相手系からの系間同期信号を受信せずタイムアウトとなった場合、自分を同期の親と判断し、以降、自ＣＰＵのタイマで周期を刻み、相手系への同期信号発信とＣＰＵ−Ａ，Ｂへの同期信号の発信を周期的に行うことで動作を継続する。
【００３３】
（３）１，２系間通信手順
図１３は本発明のフェールセーフ装置の１，２系間通信手順を示した説明図である。図１３の（１）において、片系ＣＰＵ−Ａ，Ｂが系間データ（相手系へ送信するデータ）とハッシュ値を作成する。
【００３４】
図１３の（２）において、安全性を担保する為、ＦＳ−ＣＰＵでＣＰＵ−Ａ，Ｂの系間データを照合し相手系へ送信する。但し、ここではＦＳ−ＣＰＵの伝送性能を考慮し系間データを生データではなくハッシュ値で送信することで通信時間を短縮する。
【００３５】
図１３の（３）において、ＦＳ−ＣＰＵは、ＣＰＵＡ，Ｂから系間データ（ハッシュ値）を照合し、一致した場合、相手系へ系間データ（ハッシュ値）を送信すると共にＣＰＵ−Ａ，Ｂへ正常応答を返信する。
【００３６】
図１３の（４）において、相手系ＣＰＵ−Ａ，Ｂは、ＦＳ−ＣＰＵ経由で系間データ（ハッシュ値）を受信する。
【００３７】
図１３の（５）において、ＣＰＵ−Ａは、ＦＳ−ＣＰＵから正常応答を受信した場合、自ＣＰＵ（本例では１系のＣＰＵ−Ａ）を系間データの親ＣＰＵと判断し、系間データの生データを相手系のＣＰＵ−Ａへ直接送信する。
【００３８】
ＦＳ−ＣＰＵ経由だとＦＳ−ＣＰＵの性能で通信に時間を要する為、汎用ＣＰＵ間で直接通信することで伝送時間を短縮する。但し、この時点では送信した生データの安全性は保証されない。
【００３９】
図１３の（６）において、相手系ＣＰＵ−Ａは、系間データ（生データ）を直接受信する。
【００４０】
図１３の（７）において、ＣＰＵ−ＡからＣＰＵ−Ｂへ系間データ（生データ）を配信する。
【００４１】
図１３の（８）において、ＣＰＵ−Ａ，Ｂは受信した系間データ（生データ）から各々ＣＰＵにてハッシュ値を計算する。
【００４２】
図１３の（９）において、ＣＰＵ−Ａ，Ｂは、受信した系間データから算出したハッシュ値と系間データの親ＣＰＵからＦＳ−ＣＰＵ経由で受信したハッシュ値を比較し、不一致の場合、受信した系間データを破棄し所定の異常処理を行う。
【００４３】
図１３の（１０）において、ＣＰＵ−Ａ，Ｂの比較結果（一致／不一致）をＦＳ−ＣＰＵにて照合し、照合一致した場合系間データを確定する。照合不一致の場合、所定の異常処理を行う。
【００４４】
図１３の（１１）において、ＦＳ−ＣＰＵは、ＣＰＵＡ，Ｂから系間データ（ハッシュ値）を照合し不一致の場合、相手系へ系間データ（ハッシュ値）を送信せず、ＣＰＵ−Ａ，Ｂへ異常応答を返信する。
【００４５】
図１３の（１２）において、ＣＰＵ−Ａ、Ｂは、ＦＳ−ＣＰＵから異常応答を受信した場合、所定の異常処理を行う。
【００４６】
図１３の（１３）において、相手系ＣＰＵ−Ａ，Ｂは、系間データを受信しない場合、受信タイムアウトにより所定の異常処理を行う。
【符号の説明】
【００４７】
１  フェールセーフ装置
２  Ａ系ＣＰＵ（ＣＰＵ−Ａ）
３  Ｂ系ＣＰＵ（ＣＰＵ−Ｂ）
４  比較器（ＦＳ−ＣＰＵ）
【図１】
0005416506.tif 000002
【図２】
0005416506.tif 000003
【図３】
0005416506.tif 000004
【図４】
0005416506.tif 000005
【図５】
0005416506.tif 000006
【図６】
0005416506.tif 000007
【図７】
0005416506.tif 000008
【図８】
0005416506.tif 000009
【図９】
0005416506.tif 000010
【図１０】
0005416506.tif 000011
【図１１】
0005416506.tif 000012
【図１２】
0005416506.tif 000013
【図１３】
0005416506.tif 000014