(57)【要約】  工業プロセスの制御／指令リアルタイムシステム（３）であって、管理モジュール（１３）と、外部事象（ｅｎ）の代表であるオン／オフ入力（１１）と、外部アクチュエータ（４、５）に指令を行うオン／オフ出力（１７）と、前記出力（１７）に作用する前記事象（ｅｎ）に応じて所定のタスク（ｎ）を遂行する自動モジュール（１５）と、を備え、所与の瞬間（Ｔｉ）での入力（１１）の状態と出力（１７）の状態の組が、システム（３）の瞬間全体状態（Ｆｉ）であり、あるタスク（ｎ）が遂行されるときに取得された入力（１１）の状態と出力（１７）の状態の組が、システム（３）の安定化全体状態（ＥＳｊ）であり、管理モジュール（１３）が、別の遂行中の事象（ｅｎ−１）に対応するいかなるタスク（ｎ）も存在しない時に、任意の外部事象（ｅｎ）に対応するあるタスク（ｎ）の遂行の権限を与え、前記自動モジュール（１５）が、それらの対応する作用が結果として有限数の全体状態（Ｆｉ）をもたらす。
2009539694.tif 000002
【特許請求の範囲】
【請求項１】
工業プロセスのリアルタイム制御／指令システム（３）を認証する方法であって、リアルタイムシステム（３）が、状態の変化が外部事象（ｅｎ）の代表である入力（１１）と、外部アクチュエータ（４、５）に指令を行うように意図された出力（１７）と、前記事象（ｅｎ）に応じてタスク（ｎ）を実行し、前記出力（１７）を通して前記アクチュエータ（４、５）に作用するように構成された自動モジュール（１５）と、を備え、所与の瞬間での入力状態と出力状態の組が、システム（３）の瞬間全体状態（Ｆｉ）であり、あるタスク（ｎ）の遂行の終わりに取得された入力状態と出力状態の組が、システム（３）の安定化全体状態（ＥＳｊ）であり、前記認証方法が、
−懸念事象（ＦＸｊ）のリストを設定するステップと、
−相補性によって、前記自動モジュールの本質的機能を推測するステップと、
−前記アクチュエータ（４、５）の作動特徴のリストを設定するステップと、
−システムの初期安定化全体状態（ＥＳｊ）を規定するステップと、
−前記初期安定化全体状態（ＥＳｊ）から単一の外部事象（ｅｎ）をシミュレートし、結果として生じる安定化全体状態（ＥＳｊ＋１）を取得するステップと、
−事象（ｅｎ）の次の事象（ｅｎ＋１）についてシミュレーションを続行し、安定化全体状態（ＥＳｊ）の次の安定化全体状態（ＥＳｊ＋１）を得て、すでにシミュレートされた安定化全体状態を取得するステップと、
を備える方法。
【請求項２】
上記シミュレーションが、事象（ｅｎ）と安定化全体状態（ＥＳｊ）とのすべての可能性のある組み合わせがシミュレートされない限り続行される、請求項１に記載の方法。
【請求項３】
シミュレーションが、ある瞬間全体状態（Ｆｉ）がある懸念事象（ＦＸｊ）の特徴として取得されたときには直ちに停止される、請求項１または２に記載の方法。
【請求項４】
ある安定化全体状態（ＥＳｊ＋１）が、特定の事象（ｅｎ）および特定の安定化全体状態（ＥＳｊ）のシミュレーションの結果として取得することができないときには、警告（Ｅｌ）が発せられる、請求項１〜３のいずれか一項に記載の方法。
【請求項５】
すべての可能性のある外部事象（ｅｎ）が、すべての安定化全体状態（ＥＳｊ）において系統的にシミュレートされる、請求項１〜４のいずれか一項に記載の方法。
【請求項６】
任意の事象（ｅｎ）に対応するタスク（ｎ）の遂行が、すでに遂行されたタスク（ｎ−１）がないときにだけ権限が付与される、請求項１〜５のいずれか一項に記載の方法。
【請求項７】
すべての可能性のある外部事象（Ｅｏ）に対応するタスク（ｎ）が、すべての可能性のある初期安定化全体状態（Ｓｏ）について試験される、請求項１〜６のいずれかに一項に記載の方法。
【請求項８】
タスク（ｎ）が、同一の初期安定化全体状態（Ｓｏ）からのみトリガーされる、請求項７に記載の方法。
【請求項９】
シミュレーションが、安定化全体状態（ＥＳｊ）から推測された安定化全体状態のサブセット（Ｇｉ）に制限され、かつ、自動モジュール（１５）の機能が、工業プロセスにおいて適用可能な規則によって権限が付与されたものに制限される、請求項１〜８のいずれか一項に記載の方法。
【請求項１０】
工業プロセスの制御／指令リアルタイムシステム（３）であって、管理モジュール（１３）と、外部事象（ｅｎ）の代表であるオン／オフ入力（１１）と、外部アクチュエータ（４、５）に指令を行うオン／オフ出力（１７）と、前記出力（１７）に作用する前記事象（ｅｎ）に応じて所定のタスク（ｎ）を遂行する自動モジュール（１５）と、を備え、所与の瞬間（Ｔｉ）での入力（１１）の状態と出力（１７）の状態の組が、システム（３）の瞬間全体状態（Ｆｉ）であり、あるタスク（ｎ）が遂行されるときに取得された入力（１１）の状態と出力（１７）の状態の組が、システム（３）の安定化全体状態（ＥＳｊ）であり、
管理モジュール（１３）が、別の事象（ｅｎ−１）に対応する遂行中のタスク（ｎ）が存在しない時にのみ、任意の外部事象（ｅｎ）に対応するあるタスク（ｎ）の遂行の権限を与えるように構成されており、
前記自動モジュール（１５）が、それらの対応する作用が結果として有限数の全体状態（Ｆｉ）をもたらすように構成されていることを特徴とするシステム。
【請求項１１】
データを収集するための物理層（１１）、割込システムブロック（１２）、リソースを管理するための層（１３）、解釈層（１４）および状態およびロボットダイアグラムの層（１５）を備える、請求項１０に記載のシステム。
【請求項１２】
ロボット（１５）が、有限状態ロボットであり、かつ、それらが指令を行うアクチュエータ（４、５）の特徴から推測された警告機能を備えるとともに、前記工業プロセスにおける懸念事象のリストから相補性によって推測されたバックアップ特性を備える、請求項１１に記載のシステム。
【請求項１３】
ロボット（１５）をマークするための、これらの初期状態を含むスタックと、初期化関数（ＦＩ）と、が設けられており、初期の瞬間における入力−出力変数（１１、１７）の状態とロボット（１５）の状態との組み合わせを考慮するように構成されている、請求項１０〜１２のいずれか一項に記載のシステム。
【請求項１４】
ロボット（１５）が、内部変数進行（Ｉｉ）の状態を有し、アクチュエータ（４、５）へ指令を発し、時間遅延を起動し、信号発生機能あるいは警告機能を実行し、バックアップ特性が合致しているかどうかを点検するように構成されている、請求項１１〜１３のいずれか一項に記載のシステム。
【請求項１５】
入力（１１）を監視し、ロボット（１５）を同期させる２つの待機スタック（２１、２２）によって具体化された２つの異なるリアルタイムサブシステムに分割され、安定化全体状態（ＥＳｊ）が達成された時には、サブシステムの監視時間（ｔｒ）および同期時間（Ｔｉ）は、互いに一致しないことを特徴とする、請求項１０〜１４のいずれか一項に記載のシステム。
【請求項１６】
監視時間（ｔｒ）が、割込ブロック（１２）によって管理され、同期時間（Ｔｉ）が、リソース管理層（１３）によって管理される、請求項１５に記載のシステム。
【請求項１７】
リアルタイムシステム（３）を含むコンピュータ（３０）と、懸念事象のリストから相補性によって推測されたバックアップ特性を備えたシミュレーション関数（ＬＳ）と、を有し、システム（３）に指令を行い、それをシステム（３）によって達成された連続的な瞬間全体状態（Ｆｉ）に比較するように制御し、これらの全体状態（Ｆｉ）が懸念事象の特徴でないかどうかを点検するように構成されている、請求項１０〜１６のいずれか一項に記載のリアルタイムシステム（３）の認証システム。
【請求項１８】
制御／指令リアルタイムシステム（３）が、分岐器（４）、信号機（５）、車両ドアを含む群からなる鉄道ネットワークの要素に対して制御および指令を行う、請求項１〜９のいずれか一項に記載の方法。
【請求項１９】
分岐器（４）、信号機（５）、車両ドアを含む群からなる鉄道ネットワークの要素に対して制御および指令を行う、請求項１０〜１７のいずれか一項に記載の制御／指令リアルタイムシステム（３）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鉄道ネットワークの分岐ステーション（shunting station）を自動的に制御／指揮するためのコンピュータシステムに関連する問題から生じたものであり、さらに詳しくは、このようなシステムの認証方法に関するものである。
【背景技術】
【０００２】
鉄道ネットワークの分岐ステーションは、異なる列車団の要求に応じてネットワーク分岐器を配置し、その上を走行させることによって、交通の連続性を恒久的に保証する。
【０００３】
分岐器(shunt)は、過去においては手動で操作されたが、現在では、分岐ステーションに配置された制御／指令システムによって遠隔的に自動指令されている。分岐ステーションは、それら自体を互いに接続することができ、また、鉄道輸送に必要なすべてのデータ、すなわち、ネットワークの状態、理論上のスケジュール、輸送団および列車の位置などが割り当てられている交通集中運転ステーションにも接続することができる。
【０００４】
ネットワークの機械的不連続性、例えば位置不良、すなわち分岐器が半分開いていることは、大惨事のもとであり、容認できない懸念事象を意味する。このことはまた、軌道の占有互換性断絶にもつながり、ある車両が他の車両に追いついたり、横からぶつかったりするといった列車衝突を引き起こすおそれがある。
【０００５】
したがって、分岐ステーションにおける作業の安全性及びコンピュータシステムのセキュリティに関する問題は、重大案件である。
【０００６】
今日、構築されて試験されている分岐ステーション、あるいは既に作動されているステーションであって、機能的進展が実施されているものにおける作業の安全性を点検するために、コンピュータシステムが設けられ、当該コンピュータシステムは、第一に、機能ごとにかつネットワークから外されて単位試験フェーズに置かれ、次いで、さまざまな機能の連続によるより全体的な試験に置かれ、例えば図１に示されたようなシミュレータ３０によって、関連するネットワーク部のさまざまなセンサおよび自動作用部４−６がシミュレートされ、かつ、入力３５、１０によってコンピュータシステム３が起動され、かつ、その出力およびコンピュータリンク３８による点検のために有用なデータが回復される。
【０００７】
このような試験の目的は、達成された自動作用部が期待されたように、すなわち、ＧＲＡＦＣＥＴのような設計ツールで規定されたようなモデルによって、作動するのを保証することである。したがって、試験において達成された自動作用部の出力状態が設計ツールによって付与されたそれらに適合するかどうかが試験される。
【０００８】
そして、システムの実際の試行フェーズが実行されるが、システムは、この時点では、ネットワークのセンサおよび自動作用部、分岐器、信号機、・・・に機能ごとに接続され、ついで、全体の関連するネットワーク部に全体的に接続され、そして、場合によっては、集中運転ステーションに接続されている。
【０００９】
試験フェーズおよび試行フェーズは、システム認証チームによって規定される。このようなチームによって、シミュレータのためのシミュレート用プログラムと試行プログラムが実施されるが、これらは、可能であるとみなされる数多くの連続的な事象シナリオかあるいは場合によっては同時の事象シナリオである。
【００１０】
ここにおいて、本明細書において記載される制御／指令コンピュータシステムは、列挙することのできない、予測すべき多数の事象シナリオをもたらす、あらゆる状態の変化を即時に処理するように設計されている。
【００１１】
さらにまた、実際の試験および試行が相異なる実施条件、特に時間条件において行なわれるので、そのような状態の変化が認証の完全性に影響を及ぼさないであろう、ということは誰も確信できない。したがって、懸念事象が起きないであろうということは確信することができない。
【００１２】
したがって、試験および試行から作り上げられた予測システムのこのような認証は、次の２つの基本的理由のために満足できるものではない。ｉ）シナリオの組み合わせは選択を実施しなければならないほど多いこと、およびｉｉ）認証フェーズは互いに異なるインプリメンテーションに基づいていること。
【００１３】
このような条件の下では、実施された効果がどのようなものであっても、作業の完全かつ公式な証拠、および／または、制御／指令コンピュータシステムの完全な安全性は、確立することができない。
【００１４】
そして、取得することが困難な証拠をできる限り達成することが試みられていることによって、今日ではこのようなタイプのシステムの認証が必然的に長くて費用のかかるものとなっている。
【００１５】
また、この認証問題は、鉄道業界において分岐ステーションシステムだけに限定されるものではない。この問題は、例えば車両ドアに指令を行うような他の設備に関するものであってもよい。しかしより一般的には、問題は、関係する時間的尺度がどのようなものであれ、工業プロセスのリアルタイム制御／指令システム（英単語「制御(control)」の言い換え）に関するものである。
【００１６】
したがって、他のリアルタイム制御／指令システムには、任意の移動手段、航空機、船舶、・・・の操縦システム、原子力発電所あるいは他のプラントのためのオペレーティングシステム、トランザクションシステムなどが含まれる。
【００１７】
分岐ステーションの認証については、上記のリアルタイムシステムを認証するためのあらゆる重大な危険負担および、ほとんどない場合でさえ、あらゆる大惨事の危険負担が容認されることはない。同じ理由から、懸念事象が起きないであろうという証拠は認証の間にもたらされない。
【発明の開示】
【発明が解決しようとする課題】
【００１８】
そして、本出願人は、リアルタイムシステム、すなわち、鉄道ネットワークの分岐ステーションため、あるいは他のための操縦システムの認証の間にそのような証拠を取得する方法、そして、どのように発明が実施されるかを見出した。
【発明を解決しようとするための手段】
【００１９】
したがって、本発明は第一に、工業プロセスのリアルタイム制御／指令システムを認証する方法に関するものであり、リアルタイムシステムは、状態の変化が外部事象の代表である入力と、外部アクチュエータに指令を行うように意図された出力と、前記事象に応じてタスクを実行するために構成され、かつ上記出力を通して上記アクチュエータに作用する自動モジュールと、を備え、所与の瞬間での入力状態と出力状態の組は、システムの瞬間全体状態(a global instantaneous state)であり、あるタスクが遂行されるときに取得された入力状態と出力状態の組は、システムの安定化全体状態(a stabilized global state)であり、前記認証方法は、以下のステップ、すなわち
−懸念事象のリストが設定されるステップと、
−相補性(complementarity)によって、上記自動モジュールの本質的機能(essential functions)が推測されるステップと、
−上記アクチュエータの作動特徴(operating characteristics)のリストが設定されるステップと、
−システムの初期安定化全体状態が規定されるステップと、
−初期安定化全体状態から単一の外部事象をシミュレートして、結果として安定化全体状態を取得するステップと、
−シミュレーションを事象に対して繰り返し続行して、安定化全体状態の取得を繰り返し、すでにシミュレートされた安定化全体状態を取得するステップと、
を備える。
【００２０】
好ましくは、上記シミュレーションは、事象と安定化全体状態との全ての可能性のある組み合わせがシミュレートされない限り、続行される。
【００２１】
懸念事象について瞬間全体状態が取得されると、シミュレーションは停止され、リアルタイムシステムは容認できないものとみなされる。
【００２２】
特定の事象および安定化全体状態のシミュレーションから結果として安定化全体状態を取得することができないときには、警告が発せられる。
【００２３】
全ての可能性のある外部事象が、全ての可能性のある安定化全体状態において系統的にシミュレートされ、このことは、これらすべてが有限数であり、自動的にさえ決定され得ることにより可能である。
【００２４】
実際に、任意の事象に対応するタスクの遂行は、いかなるタスクも遂行されていないときに容認されるのみであるため、あるタスクが遂行されている間に生じ得る事象の予測不可能なすべての組み合わせが省かれる。
【００２５】
したがって、事象の列挙された組み合わせはまったく存在しない。すべての可能性のある外部事象に対応しているタスクが、すべての可能性のある初期安定化全体状態について試験され、これらは、前記安定化全体状態からだけトリガーされる。
【００２６】
リアルタイムシステムが何であるかという現実の考えに矛盾するような条件、すなわち、「時間」変数が他の入力のように、システムの外部として与えられるという条件を加えると、あるタスクが遂行されている間にそれが不規則に干渉し得ることが回避される。
【００２７】
システムの網羅的な認証、したがってシステムの安全性に関する証拠が取得され得る。
【００２８】
そのサービスに続く試行フェーズにおけるシミュレーションの後に、システムは、試験フェーズの間と同じような物質条件および／または時間条件で作動する。したがって、試験フェーズと認証試行との間に異なったインプリメンテーションは存在しない。
【００２９】
システムの複雑性あるいはその全体状態の数をさらに削減するために、それぞれのタスクの入力全体状態のセットが安定化全体状態に制限されるという事実に加えて、
−理論上の安定化全体状態から自動的に推測された部分的な安定化全体状態のサブセットにシミュレーションを制限すること、
−工業プロセスにおける適用可能な規則によって許容されたものに対して自動モジュールの機能を制限すること、
が示唆される。
【００３０】
相関して、本発明はまた、工業プロセスの制御／指令リアルタイムシステムに関するものであり、このシステムは、管理モジュールと、外部事象を代表するオン／オフ入力と、外部アクチュエータに指令を行うオン／オフ出力と、前記事象に応じて、所定のタスクを遂行し、前記出力に作用する自動モジュールと、を備え、所与の瞬間での入力の状態と出力の状態の組は、システムの瞬間全体状態であり、あるタスクが遂行されるときに取得された入力の状態と出力の状態の組は、システムの安定化全体状態であり、前記システムは、前記管理モジュールが、別の事象に対応するいかなるタスクも遂行されていないときに、任意の外部事象に対応するあるタスクを遂行することを許容するためにだけに構成されていること、及び、前記自動モジュールが、それらの対応する作用だけが結果として有限数の全体状態をもたらすように構成されていること、を特徴とする。
【００３１】
任意の外部事象に対応するタスクは、先の別の事象に対応するいかなるタスクも遂行されないときにだけ許容されるため、タスクが遂行されている間に生じ得る事象の予測不可能なすべての組み合わせが省かれる。
【００３２】
好ましくは、自動モジュールのそれぞれは、その作動が有限数の安定化全体状態だけをもたらすように構成されている。
【００３３】
本発明の他の特徴および利点は、添付図面を参照しながらこれ以降の説明を読むことでより明らかになる。
【図面の簡単な説明】
【００３４】
【図１】本発明に係る制御／指令システムと、本発明に係る認証方法を部分的に実施することのできる従来の認証システムと、を備える分岐ステーションの構成図を示す。
【図２】分岐ステーションに備わった制御／指令システムの組織的構成図を示す。
【図３】図２の制御／指令システムの機能ブロックと、本発明の認証方法に従って認証されるように追従される構成と、を備える図を示す。
【図４】図３の構成を実施する制御／指令システムの簡略化された作動フローチャートを示す。
【図５】本発明による認証方法を実施することのできる従来の第１認証システムの機能ブロックを備える図を示す。
【図６】本発明による認証方法を実施する第２の好ましい認証システムの機能ブロックを備える略図を示す。
【図７】本発明による認証方法の簡略化されたフローチャートを示す。
【発明を実施するための形態】
【００３５】
図１によれば、分岐ステーション１は、中央ステーションＰＣ２に接続されており、そこから作動ネットワークデータを受け取るようになっている。分岐ステーション１は、制御／指令システム３を備えており、この制御／指令システム３は、主として産業用コンピュータからなり、分岐器４の自動制御および自動指令、信号機５の自動指令、センサ６によるネットワークの状態および列車の運行の制御を可能にする。実際には、制御／指令システム３は、少なくとも２つの産業用コンピュータを備える。
【００３６】
分岐器４および信号機５、これ以降、アクチュエータ４、５と称され、実際に分岐器および信号機を作動する機関である、及び、センサ６、オン／オフ状態、すなわちＴＯＲ、および場合によっては測定値Ｍに応じて送信する、は全てステーション１に割り当てられた鉄道ネットワークのある区域に配置されている。ＰＣ２は、ネットワークの他のステーションとの調整を担うが、ステーションはまた、ＰＣ２とは独立して通信を行うために、相互接続することもできる。
【００３７】
コンピュータ３は、従来の工業プロセスの制御／指令リアルタイムシステムを実施することができ、すなわち、ネットワークの区域からＴＯＲ状態および測定値Ｍのようなデータを収集し、ＴＯＲ指令および場合によっては上記区域のアクチュエータのために設けられた設定値Ｍを処理しかつ送信し、これらはすべてリアルタイムに行なわれる。
【００３８】
マン−マシンインターフェイス９は、総観表（図示せず）において遂行された制御および制御盤（図示せず）における人間の介入を、必要であるとみなされたときに、表示することを可能とする。制御および制御盤における介入の表示は、ＰＣ２でも可能である（図２）。
【００３９】
データをコンピュータ３へ送信するために、また、コンピュータから指令を受信するために、センサ６およびアクチュエータ４、５は、電気接続部７によってスプリッタ８と電気的に接続されており、スプリッタ８は、１つ以上のディジタルバス１０および場合によってはアナログ接続部によって、コンピュータ３と接続されている。シミュレータコンピュータ３０および切換装置６０については、後に述べる。
【００４０】
図２によれば、コンピュータ３は６つの層として構成されているが、これらの層は次のとおりである。
−ＴＯＲ入力線とディジタルデータに変換されたような水準での可能性のある測定値Ｍとを備えた、データを収集するための物理層１１。層１１における入力線は、制御された区域に起きるすべての事象であって、これ以降、外部事象と称される事象から生じるすべてのＴＯＲ状態を記憶する。
−可能性のある周辺機器のドライバ、主として割込システムブロック１２によって占有された論理層。ブロック１２は、外部事象、すなわちＴＯＲ状態変化、の介入の上方層の下でリアルタイムに警告を行う。
−リソースをリアルタイムに管理するための層１３。典型的には、リアルタイムモニタモジュール１３、ベーシック言語で記述され、記憶されたソフトウェアを備える。リアルタイムモニタは、後に分かるように、コンピュータ３を待機状態に維持し、するべきことが存在しないときに該コンピュータを待機ループ上で作動させ、ある事象が起きたときに関連する機能を作動させる。
−アプリケーション１４を解釈し、実行するための層であって、本質的には、アプリケーションソフトウェアを解釈、すなわち、リアルタイムベーシック言語に翻訳し、そして、アプリケーションソフトウェアを実行、すなわち、ここでは分岐ステーションの作動に近い言語で記述されかつ記憶されたソフトウェアを実行する、ためのインタープリタ１４。
−上記アプリケーションソフトウェアが記憶されている状態ダイアグラムの層（名称の正当化については後で説明する）であり、自動モジュール１５、すなわちロボット１５として構成されている。コンピュータ３において、外部事象の介入の間に、モニター１３は、外部事象を利用可能とするとともに、解釈・作動層１４を作動する。後者は関連するロボット１５を１つずつ呼び出して解釈する。このようなロボット１５は、任意で、出力線１７を介してアクチュエータ４、５へ指令を行い、それらは、ステーション１の職員に、ＩＨＭ９の総観表によって、呼び出しの動機を与える事象に気付かせる。それらはまた、内部事象を引き起こす他のロボット１５の作動をトリガーするが、これについては以降で紹介し説明する。
−ロボット１５の作動を調整する状態のような、ステーション１の制御下にある鉄道区域および制御／指令システム３の全体状態Ｆｉが記憶されている記憶層１６。
【００４１】
アプリケーション言語を使用することによって、ステーション１の作業職員は、ベーシック言語がはるかに理解し難いものであることを知る必要なく、アプリケーションのロボット１５のプログラム処理を理解し、また、修正することさえ可能になる。
【００４２】
図３によれば、解釈層１４はさらに、演算ブロック１８と、マーキングモジュール１９および２０、すなわち、事象を処理するための待機スタック２１および２２において事象を調整するためのモジュールと、を備え、また、層１３は、ロボット１５の作動を瞬間Ｔｉで周期的に同期させ、他のタイムサービス、より具体的には入力線１１を監視するためのタイムリアルトップｔｒを送出する内部時計２３と、総観表の形態で情報を提供するモジュール２４とを備える。
【００４３】
管理層１３は、少なくとも１つの自動モジュール１５を任意の内部事象あるいは外部事象に整合させるための整合表２５を備える。このような表によれば、ある事象の結果として、それらを含む状態ダイアグラムの層において作動されるべきロボット１５を見つけることができる。
【００４４】
本明細書において使用されるように、鉄道区域および制御指令システムの全体状態Ｆｉは、所与の瞬間ＴｉでＴＯＲ入力および指令出力の２値状態のセットＥｉ、任意で、収集された測定値あるいは所定のしきい値に対するそれらの比較の状態を含む、瞬間全体状態Ｆｉを一般に意味しており、これらすべての状態は、現瞬間Ｔｉまでに生起する連続的な外部事象（Ｎ  ＴＯＲセンサとしたとき、１からＮまでの範囲にある値を有するｎの中に見出される）を反映している。
【００４５】
外部事象ｅｎは、例えば、列車がある軌道部分を走行すること、あるいは当該起動部分から出ること、分岐の接合部への到着、その作動の良好な性能の実現、あるいはＴＯＲ状態の存在に導かれる他の任意の事象であってもよい。タスクｎはこれから発生し、それは鉄道ネットワークにおいて遂行される。
【００４６】
Ｆｉは、また、自動モジュール１５の作動から生じる内部事象（ｉｐと称され、ｐは１からＰまでの範囲にあり、Ｐはそのような事象の数）を表すＴＯＲ状態のセットＩｉを含む。
【００４７】
したがって、内部事象ｉｐの１つの例は、１つあるいは複数のロボットモジュール１５によって管理された内部変数の状態の変化であってもよく、実施中の別のロボット１５によるあるロボット１５からの作動要求であってもよい。
【００４８】
瞬間全体状態Ｆｉは、ＩＨＭ９におけるシステム３の状態を表わすための瞬間機能的全体状態Ｇｉを推測し、それをメモリ２７に記憶することを可能とする。
【００４９】
そのような全体状態Ｇｉは、Ｆｉのコンテンツの有意な状態の選択あるいは要約であり、ステーション１の作業職員によるシステム３の運転をいっそう容易にする。メモリ２７は、また、日誌として使用されるかあるいはＩＨＭ９における運転作業を支援するための、連続する全体状態Ｇｉから抽出された多くの指標を含んでいる。
【００５０】
したがって、瞬間Ｔｉでの瞬間全体状態Ｆｉは、Ｎ＋Ｐ座標を備えた２値ベクトルによって表され、外部瞬間全体状態Ｅｉは、第１のＮ個の２値のベクトルであり、内部瞬間全体状態Ｉｉは、Ｐ個の残りの２値のベクトルである。
【００５１】
リアルタイムシステムの状態のダイアグラムと、このようなダイアグラムによりアクセス可能な同システムの全体状態ＥＧＡのセットと、を、仕様書に依存して、自動的に提供するような設計ツールによって、安定化される有限数Ｊの特定の全体状態ＥＳｊと鉄道ネットワークの信頼性のある状態とが予備的に規定される。
【００５２】
明らかなことであるが、システム３がステーション１の要望に合致するときには、安定化したＥＳｊの全体状態は、可能性のあるＦｉの瞬間全体状態の一部である。それらは、ＩＨＭ９（あるいはシステム３それ自体）によってシステム３へ指示され、ロボット１５によって実行されたタスクの最終状態に対応している。
【００５３】
ネットワークの安全性の達成は次のようにして生成される。
−アクチュエータ４、５の作動特徴のリストが設定されて、良好な作動の制御の実行可能な事柄がもたらされ（例えば、右側を制御する分岐は、左側を制御する分岐の結果から生じる全体状態を引き起こし得ない）、すなわち、安全性を特徴付けるための機能を内在する状態を形式化する問題をもたらす。
−回避すべき懸念事象のリストが設定され、このリスト（これ以降に言及される）は、この後に示すように、相補性を通して（これ以降に説明される）、システム３の本質的なバックアップ特性(backup properties)を推測するものである。
【００５４】
懸念事象のリストの相補性を通してシステム３のバックアップ特性を推測するために、懸念事象は鉄道ネットワークおよび列車運行の全体状態ＦＸｊによって形式化され、また、任意のロボット１５は、その作用の結果として生じるすべての瞬間全体状態Ｆｉが受け入れ可能な全体状態ＥＧＡのセットの中の状態ＦＸｊのセットの相補セットに属するときにのみ、作用することができる。
【００５５】
分岐ステーション１については、鉄道ネットワークにおける懸念事象は以下のとおりである。
−２つの列車が向かい合うこと、すなわち衝突すること、
−２つの列車が横からぶつかること、
−半開きの分岐器、
−ある列車が次の列車に追いつかれること、
−車両のドリフト、
−脱線、
−障害物との衝突。
【００５６】
ロボット１５のバックアップ特性は、例えば第１の事例については、システム３が、これを達成するために、本明細書で述べたＦＸｊ状態の中における単一状態と同一である単一状態Ｆｉへ委ねられ、２つの列車が同一の軌道において同時に反対方向に置かれていることが明らかになった場合には、出力１７に対するいかなる指令も行なわない、というものである。
【００５７】
それぞれのロボット１５は、どの事象がその作用を駆り立てるものであれ、有限数の最終状態を達成するべきである。言い換えれば、それぞれの自動モジュール１５は、有限状態ロボットであり、その数学的概念は形式言語における専門家に周知である。別に言うと、自動モジュール１５は、それらの作用が有限数の全体状態Ｆｉのみをもたらすように構成される。
【００５８】
リアルタイムシステム３の動作について説明する。
【００５９】
初めに、システム３は「初期」安定化全体状態ＥＳｊにある。これについて、マーキングスタックは表２５に対応しているが、ここでは、ロボット１５のメモリ１６に含まれており、実施時において、それらの初期状態あるいはそれの作動状態を表す所定の内部変数を含んでいる。
【００６０】
初期瞬間での入力−出力変数状態１１、１７とロボット１５のマーキングスタックの内部変数との組み合わせを考慮に入れるように構成された初期化関数ＦＩが設けられている。
【００６１】
初期の安定化全体状態ＥＳｊは、初期化関数ＦＩの実行によって生じる。
【００６２】
事象が存在しない限り、管理モジュール１３は、待機ステップにおいて、それ自身でループする（図４）。
【００６３】
図３および図４に示すように、このステップ５０の間に、入力線１１におけるＴＯＲ状態のあらゆる変化がブロック１２によって検出され、リストの最後で待機スタック２２における対応する事象ｅｎが記憶される。
【００６４】
ステップ５１の間において、事象ｅｎがスタックの中で最も旧いものであり、かつ、その瞬間において、リストのまさに最初に来るときには、それは、後に規定されるように、管理モジュール１３によって管理され、対応するｎ個のタスクが遂行される。
【００６５】
次のステップ５２で、モジュール１３は、その表において、そのようなタスクｎを遂行する、あるいは少なくともそれを開始する自動モジュール１５を探す。そして、それは、次に、演算ブロック１８において第１モジュール１５をロードする。
【００６６】
ステップ５３において、インタープリタ１４は、演算ブロック１８においてロボット１５を同時に解釈しかつ実行する。
【００６７】
このような遂行の間に、ロボット１５は、
−内部変数Ｉｉの状態を有し、それは進行(progress)を管理し、したがって、内部事象ｉｐを生成し、同時にマーキングモジュール１９をトリガーし、
−ベクトルＦｉにおける内部変数および外部変数の両方を試験し、
−必要なアクチュエータ４、５を指揮するために出力線１７へ指令を発し、
−時間遅延を起動し、この時間遅延は、他のロボット１５への時間遅延指標として使用するために、内部変数への２値の割り当てを導くものであり、
−合図機能、すなわち警告機能を実行し、
−バックアップ特性が追従することを点検し、
−演算を実行する、等。
【００６８】
モジュール１５の実行の終わりに、インタープリタ１４は内部事象マーキングモジュール１９の遂行を起動する。
【００６９】
このステップ５３において、マーキングモジュール１９は、もし存在すれば、内部事象のスタック２１に内部事象ｉｐを系統的に位置させるが、ロボット１５の実行の終わりに処理すべき内部事象が存在するという事実に基づいて、一度に１つのロボット１５だけを処理するように、管理モジュール１３に警告を行う。
【００７０】
モジュール１９から警告を受けると、ステップ５４において、モジュール１３はスタック２１のコンテンツを点検する。
【００７１】
スタック２１が空でなければ、外部事象ｅｎに対応するタスクｎが実行されることはなく、モジュール１３は、ステップ５５において、最も旧い内部事象を抽出するとともに、外部事象について、その表２５の中で、実行すべき自動モジュール１５を探すために、上記ステップ５２へ戻り、次いで、それを同時に解釈しかつ実行するためにインタープリタ１４を起動する。
【００７２】
スタック２１が内部事象を含んでいる限り、新しいモジュール１５が、表２５において探されるべきであり、かつ、ブロック１８において作動されるべきである。したがって、タスクｎのために用いられるロボット１５は、上記タスクｎに対応する状態ダイアグラムｅｎの潜在的なノードであり、上記ノードは、それらのブランチである内部事象ｉｐによって、それらの間で接続されている。したがって、ロボット１５の層は状態ダイアグラムの層と称される。
【００７３】
このようなダイアグラムは、これ以前に説明されたアクセス可能な全体状態を導く。
【００７４】
スタック２１が空であれば、モジュール１３あるいは層１４は、表２５の中で、継続中の事象を処理するために実行される別のロボット１５の存在を確認し、そして、そのような場合、それを演算ブロック１８にロードし、再び、実行されるステップ５２へ導かれる。さもなければ、事象ｅｎに関するタスクｎは実行されて、管理モジュール１３は外部事象をマークするためのモジュール２０を起動する。
【００７５】
次いで、マーキングモジュール２０は、ちょうど処理された事象ｅｎがそれから取り除かれる外部事象の進行のスタック２２を有し、スタック２２の次の外部事象ｅｎ＋１が、もし存在すれば、それを考慮に入れるという事実に関して、管理モジュール１３に相互に警告する。
【００７６】
モジュール１３は次いで、ステップ５６において、スタック２２が空であるかどうかを点検し、
−それが空でなければ、モジュール１３は、次の外部事象ｅｎ＋１を処理するために、ステップ５１へ戻り、
−それが空であれば、処理すべきタスクｎがなく、モジュール１３はステップ５０における待機ループに戻る。
【００７７】
モジュール１３が別のタスクｎ＋１を起動する前に継続中のタスクｎの終了を待つということ、そしてそれゆえ、すでに遂行されている別の事象ｅｎ−１に対応するタスクｎ−１がないときに、任意の外部事象ｅｎに対応するタスクｎの遂行が可能になる、ということが理解される。
【００７８】
あるタスクの遂行継続時間の間に起きる外部事象は、したがって、考慮されることがなく、このことは、ロボット１５によるタスクの遂行の間に瞬間全体状態ベクトルＦｉの制御されない進展を防止する。すべてのことは、時間変数が、外部事象と同様に、まるでシステム３の外部にあるように、起きる。
【００７９】
要約すれば、懸念事象の証拠が生じる場合には、論理解釈規則および時間解釈規則はきわめて明瞭なものである。この理由は、リアルタイムシステム３が両スタック２１および２２によって具体化された相異なる２つのリアルタイムサブシステムに分割されるからであり、そして、監視時間ｔｒおよび同期時間Ｔｉが、たいていは独立して経過するものであるが、所定の安定化全体状態ＥＳｊの１つに到達したときにのみ、互いに他方に一致するからである。
【００８０】
時間ｔｒは、インタープリタ１４によって管理されることはなく、状態ダイアグラムの層によっても管理されることはない。
【００８１】
これに対して、内部事象は、外部事象のように処理することができ、システム３に外部とすることができる。そして、このような事象は、管理モジュール１３によって（マーキングモジュール１９および２０によって）、スタック２１の代わりに、スタック２２の中に置かれる。これは、例えば、これらは継続中のそれとは異なるタスクを起動するときにおける、継続中の時間遅延指標として作用する内部変数についての場合である。これは、システム３において、時間Ｔｉから時間ｔｒへの「アウトソーシング」の別の形態である。
【００８２】
後者の場合において、瞬間Ｔｉによって同期された時間遅延でさえ、インタープリタ１４およびロボット１５の制御から逃れる。
【００８３】
ステップ５３の間、マーキングモジュール１９はまた、情報を提示するモジュール２４へ、現在処理中の状態の進展を送信し、そして、リアルタイムで、モジュール１５によって割り当てられた内部変数の状態ｉｐの進展が送信される。
【００８４】
次いで、モジュール２４が、メモリ１６において、それぞれの瞬間Ｔｉで、システムの瞬間全体状態Ｆｉを生成し、メモリ２７において、瞬間機能全体状態Ｇｉを生成し、したがって、ＩＨＭ９のために利用可能になる。
【００８５】
モジュール１３が、次の外部事象ｅｎ＋１を考慮に入れること、ダイアグラムＤｎ＋１をＦｉ＋１の関数として点検すること、を要求するモジュール２０からの警告を受けると、それは、瞬間全体状態Ｆｉ＋１が実際に安定化全体状態ＥＳｊ＋１を含んでいるかどうかを点検して、そのような瞬間全体状態が存在しない場合には、警告を発する。
【００８６】
しかし、ここでは、そのような点検は、システムの作成フェーズに続く認証フェーズの間に一回だけ行われるが、これについてはこれから説明する。
【００８７】
本明細書の冒頭ですでに言及された、そのような認証フェーズを可能とするシステムの第１の従来実施形態によれば、図１、図５に示すように、ディバイダ８を含む鉄道ネットワークの設備が、ダイアグラムＤｎのすべてのブランチを系統的にかつ自動的に試験するために、別のシミュレート用コンピュータ３０によって置き換えられている。
【００８８】
図１および図３に示され、かつ、図５により詳しく示されたコンピュータ３０は、コンピュータ３と物理的に同じものであってもよい。コンピュータ３０は、入力３３線、出力３４線、インターフェイスＩＨＭ３２、シミュレーションソフトウェアＬＳのホストとして働く中央ユニット３１、メモリ１６および２７に類似したメモリ３６および３７、およびソフトウェアＬＳのワーキングメモリＭＳを備える。
【００８９】
コンピュータ３０の入力３３および出力３４は、図１に示されたように、２つの位置ＲおよびＳがある切換装置６０を介してコンピュータシステム３の入力１１および出力１７へ接続されており、それによって、位置Ｒ（実際の）では、コンピュータ３はディバイダ８へ接続されており、位置Ｓ（シミュレートされた）では、コンピュータ３はコンピュータ３０へ接続されている。
【００９０】
位置Ｓでは、コンピュータ３０の出力３４はコンピュータ３の入力１１へ接続され、コンピュータ３０の入力３３はコンピュータ３の出力１７へ接続され、その結果、コンピュータ３０のシミュレーションソフトウェアＬＳから、また、その出力３４を介して、入力１１はそれらがまるでディバイダ８から送出されたようにシミュレートすることができる。
【００９１】
これは、コンピュータ３０の入力３３によって復元される出力１７の反対の事例である。
【００９２】
コンピュータ３および３０は、さらに、コンピュータリンク３８によって十分な流速で接続されており、コンピュータ３０は、時計２３の同期Ｔｉをブロックしたりブロック解除したりすることができ、メモリ１６および２７の瞬間全体状態ＦｉおよびＧｉの進展を、メモリ３６および３７から、あるいはそのメモリ３６および３７の中で、それぞれ初期化し、読み込む。
【００９３】
メモリＭＳは、全体状態ＥＳｊおよび全体状態ＦＸｊを記憶するためのスタックＲｏ、Ｓｏ、Ｓｔを備える。Ｒｏは、タスクｎのシミュレーションの遂行を可能とし、Ｓｏは、ｔｒｉに特有の簡単なソフトウェアによって自動的に取得された、試験されるＪ個の全体状態ＥＳｊを含んでいる。Ｓｔは、試験された全体状態ＥＳｊを含んでいる。
【００９４】
メモリＭＳは、また、事象ｅｎの２値状態を具体化するＮ個の値を含むスタックＥｏと、記録される警告の表Ｅｌと、を含んでいる。
【００９５】
加えて、ソフトウェアＬＳは少なくとも次の条件に合致するべきである。
−それが指令を行うアクチュエータの特徴の形式(formalization)から推測された警告機能を備えることと、
−懸念事象のリストの相補性によって推測されたバックアップ特性が設けられていること。
【００９６】
自動モジュール１５の警告機能を、それが指令を行うアクチュエータの特徴の形式から決定するために、それらの条件は、継続中の指令に内在しているとして形式化され、かつ、これらはネットワークの状態と比較され、例えば、操作される分岐器４が左側分岐であることを考慮した場合には、警告機能は、ネットワークの対応する状態ＥＳｊと、ＰＣ２および／またはセンサ６によって提供された列車運行と、が継続中の左側操作と互換性があるかを点検することを含む。
【００９７】
認証システムのこのような第１実施形態には、最終作動条件から外れるように要求される試験設備の追加が必要である。もし自動作用部がそれらの最終論理状況において試験されるとき、それらの最終時間状況において試験されない。
【００９８】
このことが、図６に示された認証システムの第２実施形態が、公式の認証を確立することができるが、具体的にはいっそうシンプルである、理由である。
【００９９】
この第２の認証システムによれば、設計ツールによって規定されたモデルがロボット１５であり、したがって、コンピュータ３によって直接、解釈することができる、という事実に全体的に基づいた方法を実施することができる。
【０１００】
認証は、それらが完全、重要かつ上記のすべての時間作動状況におけるすべての安全性に合致するかどうかについての点検を含んでいる。したがって、公式の安全性の証拠は、モデルそれ自体において実施され、それは実際には、設計仕様書自体の解釈可能なコンピュータ処理であり得る。
【０１０１】
この目的のために、
−コンピュータ３０は、コンピュータ３と、コンピュータ３０において後者と通信するように配置された上述のソフトウェアＬＳと、を含んでいる。したがって、コンピュータ３の中に包含されたデータのセットは、本明細書で先に説明され、かつ、図２、３、４に示されたように、コンピュータ３０とそのソフトウェアＬＳのために利用することもでき、また、メモリ３６および３７と同様に、両方のコンピュータ３と３０との間のコンピュータリンク３８は必要ではない。
−シミュレーションソフトウェアＬＳは、すべての可能性のある安定化全体状態において、ダイアグラムからコンピュータ処理方式で、すべての可能性のある外部事象をシミュレートする。したがって、この認証システムのこの実施形態では、コンピュータ３０の入力／出力３３、３４をコンピュータ３の入力／出力１１、１７へ接続する必要がない。切換装置６０および入力線３３および出力線３４は存在しない。ソフトウェアＬＳは、コンピュータ３を自動的に、より具体的にはこれから説明する方法によって、制御し、指揮する。
−コンピュータ３０は、コンピュータ３の中に存在しているすべての利用可能なデータおよび情報であって、それらから認証を実行するために必要なデータおよび情報を有する。これに対して、時計２３の同期のブロック／ブロック解除は必要でなく、コンピュータ３のリアルタイム時計２３を、コンピュータ３０のリアルタイム時計の機能のセットのために提供することもできる。
−コンピュータ３０には、他の上述の要素が存在している。
【０１０２】
したがって、この第２システム３０によって、システム３の作業は、システム３０による認証時及び作業時と同一の物質条件および時間条件で正確に達成される。
【０１０３】
この第２実施形態の付加的な利点は、コンピュータ３０において、明確にプログラムされたリアルタイムシステム３において実施することのできない、段階的なモジュールの実行を作動することができるということである。
【０１０４】
システム３を認証するために、いずれのシステムが採用されても、図７に示すように、シミュレーション、すなわち、コンピュータ３０におけるソフトウェアＬＳによって実行されたコンピュータ３の制御および指令は、以下のステップを実行することを備える。
−ステップ１０１：それは、システム３からの安定化全体状態ＥＳｊ（例えば、ｊ＝１から始まる）をＳｏから抽出して、メモリＲｏおよび１６をこの第１安定か全体状態で初期化する。
−ステップ１０２：それは、スタック２２へ導入される外部事象ｅｎ（例えば、初めはｎ＝１）をＥｏから抽出し、それは、時計２３をブロック解除するコンピュータ３を起動する。
−ステップ１０３：それは、モジュール２４によって送信された、瞬間Ｔｉでの連続的な瞬間全体状態Ｆｉを監視し、そのような全体状態が、全体状態ＦＸｊと同等の懸念事象の特徴でないかどうかを点検する。そのような場合には、それは、修正のためにシミュレーションを停止する。
−さもなければ、ステップ１０４：それは、連続的な瞬間全体状態Ｆｉを、スタックＳｏのすべての安定化全体状態ＥＳｊに比較し、一致が得られると、すなわち、結果として生じる安定化全体状態ＥＳｊを取得すると、スタック２１が空でないときを除いて、直ちに次のステップ１０５へ進む。
−後者の場合において、達成された安定化全体状態がスタックＳｔに存在する安定化全体状態である場合、この場合は、ステップ１０５に進む、を除いて、１つあるいは複数の他の結果としての安定化全体状態を達成するようにシミュレーションを進行する。別の言い方をすると、後者の場合においては、Ｓｔにおいてすでにシミュレートされかつ記憶された安定化全体状態が達成されるまで、タスクｎのシミュレーションが、安定化全体状態を繰り返すように、続行される。
−ステップ１０５では、それがあるタスクの終わりで安定化全体状態を取得しないときには、それは、表Ｅｌの中に警告を記録し、ステップ１０６へ進む。
−ステップ１０６：それは時計２３をブロックする。Ｅｏのすべての事象ｅｎがシミュレートされると、それはステップ１０７へ進むが、さもなければ、それは、ステップ１０２において次の外部事象ｅｎ＋１をシミュレートするステップ１０１から上記のステップを再び実行する。
−ステップ１０７：全体状態ＥＳｊのシミュレーションが、存在するＮ個すべての外部事象ｅｎについて完全に試験され、それは、Ｒｏのコンテンツ（シミュレートされたＥＳｊが含まれている）をスタックＳｔへ追加するとともに、それをスタックＳｏから取り除く。
−ステップ１０８：スタックＳｏが空の場合は、シミュレーションが完了し、それは、ＩＨＭ３２において、事象Ｅｏのリストの、また、試験された他の安定化全体状態Ｓｔの、また、表Ｅｌから得られた警告のリストの、最後の出力ステップ１０９へ進む。さもなければ、それは、ステップ１０１及びそれに続くステップを再び実行し、すべてのダイアグラムＤｎのすべてのブランチがカバーされない限り、すなわち、事象と安定化全体状態とのすべての可能性のある組み合わせがシミュレートされない限り、Ｓｏにおいて次の安定化全体状態ＥＳｊ＋１を抽出し、安定化全体状態ごと、外部事象ごと、繰り返すように、シミュレーションを進行する。
【０１０５】
したがって、システム３の網羅的な認証を達成することができ、したがって、短時間におけるその作業安全性の公式証拠を達成することができる。
【０１０６】
第１認証システムが選択されると、シミュレーションの後の実施について、切換装置６０を位置Ｒに位置させることで十分であり、システム３が、認証フェーズの間と同一の物質条件および時間条件で作動する。それゆえ、作動されたシステムに関する認証の完全性の損失を導入するような異なる物質下でのインプレメンテーションは存在しない。このことは、第２認証システムにも同様に適用される。
【０１０７】
システムの複雑性あるいはその全体状態の数をさらに減少させるために、シミュレーションを部分的な安定化全体状態Ｇｉのサブセットに限定してもよく、これらは安定化全体状態ＥＳｊから自動的に推測される。
【０１０８】
自動モジュール１５の機能は、上記のように、分岐ステーションに適用することのできる規則によって、作業スタッフへ権限を付与されたそれらに限定することができる。
【図１】
2009539694.tif 000003
【図２】
2009539694.tif 000004
【図３】
2009539694.tif 000005
【図４】
2009539694.tif 000006
【図５】
2009539694.tif 000007
【図６】
2009539694.tif 000008
【図７】
2009539694.tif 000009
【国際調査報告】
2009539694.tif 000010
2009539694.tif 000011
2009539694.tif 000012
2009539694.tif 000013
2009539694.tif 000014
2009539694.tif 000015
2009539694.tif 000016
2009539694.tif 000017
2009539694.tif 000018
2009539694.tif 000019