(57)【要約】      （修正有）【課題】第１の処理装置の処理結果に基づいて送信されるデータに付加する誤り検知符号を、第２の処理装置の処理結果に基づいて生成される誤り検知符号に置換して送信する場合に、置換機能の動作故障時にそれを見逃して誤ったデータを送信してしまうことを防ぐ。【解決手段】第１の処理装置１０Ａの処理結果に付加する確認コードと第２の処理装置１０Ｂの処理結果から生成する誤り検知符号との一致不一致を判断し、一致を確認した時にこの確認コードを一致した誤り検知符号に置き換えて第１の処理装置の処理結果に付加して送信し、不一致を確認した時にデータ送信を停止させる。【選択図】図１
2015118495.tif 000002
【特許請求の範囲】
【請求項１】
第一の処理装置と、
前記第一の処理装置と同一の処理を実行する第二の処理装置と、
前記第一の処理装置の処理結果と前記第二の処理装置の処理結果とを照合し、不一致である場合には処理を停止し、一致する場合には処理を継続する信号保安用制御装置において、
前記第一の処理装置は、自らの処理結果に特定のデータを付加したデータ信号を出力し、
前記第二の処理装置は、自らの処理結果から誤り検知符号を生成し、
前記信号保安用制御装置は、
前記データ信号を受信し、前記特定のデータを抽出する抽出部と、
前記抽出される特定のデータと前記生成された誤り検知符号との一致不一致を判断する診断部と、
前記データ信号を受信し、前記データ信号に付加された特定のデータを前記診断部から受信する誤り検知符号に置き換え、前記特定のデータが前記誤り検知符号に置き換えられた前記データ信号を外部へ送信する置換部と
を備え、
前記診断部は、
前記一致を確認した場合、前記置換部へ前記誤り検知符号を送信し、
前記不一致を確認した場合、前記置換部による外部へのデータ信号の送信を停止させる
ことを特徴とする信号保安用制御装置。
【請求項２】
請求項１に記載の信号保安用制御装置において、
前記特定のデータは、前記第１の処理装置が自らの処理結果から生成する誤り検知符号のビット反転データであり、
前記診断部は、前記特定のデータと前記第２の処理装置から受信する前記誤り検知信号をビット反転させたデータとから前記一致不一致を判断する
ことを特徴とする信号保安用制御装置。
【請求項３】
請求項１に記載の信号保安用制御装置において、
前記特定のデータは、固定データであり、
前記診断部は、前記第２の処理装置から前記誤り検知符号と共に前記固定データを受信するかまたは自ら前記固定データを設定しておき、前記特定のデータと当該固定データとから前記一致不一致を判断する
ことを特徴とする信号保安用制御装置。
【請求項４】
請求項１から３のいずれか一項に記載の信号保安用制御装置において、
前記置換部から外部へのデータ送信をオンオフするためのスイッチ手段を設け、
前記診断部は、前記一致を判断した時に前記スイッチ手段にオン指示を送信し、前記不一致を判断した時に前記スイッチ手段にオフ指示を送信する
ことを特徴とする信号保安用制御装置。
【請求項５】
請求項４に記載の信号保安用制御装置において、
前記スイッチ手段に対して前記診断部からテストデータを送信する経路および前記スイッチ手段からの送信出力を前記診断部に取り込む経路を設け、
前記診断部は、前記スイッチ手段にオフ信号を送信しそれに続いてテストデータを送信して前記スイッチ手段からの送信出力の受信状態を判定し、それに続いて前記スイッチ手段にオン信号を送信し前記スイッチ手段からの送信出力の受信状態を判定して、前記スイッチ手段の故障診断を行う
ことを特徴とする信号保安用制御装置。
【請求項６】
請求項５に記載の信号保安用制御装置において、
前記診断部は、前記スイッチ手段の故障を検知すると前記第１および第２の処理装置に処理停止の指示を送信する
ことを特徴とする信号保安用制御装置。
【請求項７】
請求項１から３のいずれか一項に記載の信号保安用制御装置において、
前記第１および第２の処理装置は、複数の処理結果を組にして送信し、
前記抽出部は、前記特定のデータの抽出を前記組ごとに前記誤り検知符号の位置およびサイズの情報を基に行い、
前記診断部は、前記組ごとに前記特定のデータと前記誤り検知符号との一致不一致を判断し、
前記置換部は、前記組ごとに前記特定のデータを前記誤り検知符号に置き換える
ことを特徴とする信号保安用制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鉄道用の信号システムにおいて、安全な出力を実現するための信号保安用制御装置に関する。
【背景技術】
【０００２】
本発明の背景技術として、鉄道分野における、駅構内等の信号機の信号切り替えや転轍機の切り替えを制御する信号処理システムにおいて、そのフェイルセイフ性を確保するために制御装置を３重系の装置構成としたものや、単系または２重系の制御装置に関する技術が、特開平１０−３４０１０２号公報（特許文献１）に開示されている。
【０００３】
この特許文献１では、段落番号０００８に、３台の制御装置から構成される３重系の制御装置と、シリアル通信の相手装置にデータを送信するときに、３重系の制御装置がそれぞれ準備したデータを互いに他系の制御装置に送信するための照合回線と、照合回線を介して他系の制御装置から受け取ったデータと自系のデータを照合する照合部と、３重系の制御装置の各々に設けられ自系の制御装置の故障検出を行う故障検出部と、照合部からの照合結果および故障検出部からの信号に基づいて相手装置にデータを送信する制御装置を選択する送信権選択部と、を備えた装置が開示されている。
【０００４】
また、同じ特許文献１の段落番号０００９に、送信すべきデータを他の２台の制御装置に送信し、自系では送信すべきデータと他の２台の制御装置から受け取ったデータを比較して自系のデータと他系からのデータとが一致し、また、他系においても他系のデータと自系のデータとが一致し、自系の装置が故障でないときに、自系の制御装置からデータを送信することが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平１０−３４０１０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１には、複数の処理装置の処理結果を照合し、処理結果が正しいことを確認してからデータを送信することで、装置の故障による誤ったデータの送信を防止する制御装置が記載されている。しかし、特許文献１の制御装置では、照合を行ったデータと送信されたデータが異なったものであった場合に、これを検知することができない。
【０００７】
この対策として、符号置換回路を設けて、第１の処理装置の処理結果に基づいて送信されたデータに付加した誤り検知符号を、第２の処理装置の処理結果に基づいて生成された誤り検知符号に、置換して送信する方法がある。
【０００８】
ただし、第１の処理装置が正しく動作し、照合を行ったデータと送信したデータが一致する場合、置換したデータの誤り検知符号と置換する前のデータの誤り検知符号は一致することから、符号置換回路が故障し誤り検知符号が置換されていない場合であっても、それを区別して検知することができない。この符号置換回路の故障時、照合を行ったデータと送信されたデータが異なったものであった場合にはこれを検知できず、送信されたデータが誤っていた場合の誤動作を防止することができないという課題があった。
【課題を解決するための手段】
【０００９】
本発明の信号保安用制御装置は、第１の処理装置の処理結果に付加する確認コードと第２の処理装置の処理結果から生成する誤り検知符号との一致不一致を判断し、一致を確認した時にこの確認コードを一致した誤り検知符号の方に置き換えて第１の処理装置の処理結果に付加して送信し、不一致を確認した時にデータ送信を停止させる。
【発明の効果】
【００１０】
本発明により、誤り検知符号を置換する置換部の正常な動作を保証し、置換部が故障しデータの誤り検知符号が置換できない場合に、置換を行うことなしに誤ったデータが送信されることを防止する。
【図面の簡単な説明】
【００１１】
【図１】実施例１における信号保安用制御装置および受信装置の構成図の例である。
【図２】診断部による置換用コード出力およびスイッチ制御処理を説明するフローチャートの例である。
【図３】診断部によるスイッチ診断処理を説明するフローチャートの例である。
【図４】実施例２における、同一データ内の複数の誤り検知符号（コード）を置換する信号保安用制御装置の例である。
【図５】実施例３における、演算部Ａ（１０Ａ）からテストデータを送信しスイッチを診断する信号保安用制御装置の例である（受信装置を含む）。
【図６】実施例４における、テストデータに対するテストコードを使って置換部を診断する信号保安用制御装置の例である（受信装置を含む）。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態として実施例１から実施例４について、図面を用いて説明する。
【実施例１】
【００１３】
実施例１では、送信データの誤り検知符号（コード）の内容に応じて、データ送信可否を判断する信号保安用制御装置の例を説明する。
【００１４】
図１は、実施例１における信号保安用制御装置および受信装置の構成図の例である。
実施例１における信号保安用制御装置は、第１の演算部Ａ（１０Ａ）、第２の演算部Ｂ（１０Ｂ）、抽出部２１、置換部２２、スイッチ２３および診断部２４から構成され、スイッチ２３から出力された送信データ１０４が受信装置３０の入力となる。
【００１５】
第１の演算部Ａ（１０Ａ）と第２の演算部Ｂ（１０Ｂ）は、同じ演算処理を実施する。
抽出部２１は、第１の演算部Ａ（１０Ａ）からの送信データ１０１から確認コード１０２を抽出する。
【００１６】
診断部２４は、抽出部２１が抽出した確認コード１０２と第２の演算部Ｂ（１０Ｂ）からの誤り検知符号（コードＢ）１０３を受信し、両者の一致確認が取れた場合に、置換部２２へ第２の演算部Ｂ（１０Ｂ）からの誤り検知符号（コードＢ）１０３を出力し、また、スイッチ２３に対してそのＯＮ指示１０５またはＯＦＦ指示１０６を出力する。
【００１７】
置換部２２は、診断部２４から誤り検知符号（コードＢ）１０３を受け取ると、抽出部２１から受信した送信データ１０１の確認コードを診断部２４からの誤り検知符号（コードＢ）１０３に置換する。
スイッチ２３は、診断部２４からＯＮ指示１０５を受けた場合に置換部２２からの送信データ１０４を受信装置３０へ出力する。
【００１８】
次に、誤り検知符号（コード）の置換およびそれに伴うデータ送信におけるデータフロー（図１において、矢印を付した実線の流れ）について説明する。ここで、誤り検知符号（コード）としては、チェックサム、ＣＲＣ、ハッシュなどを採用することができ、そのいずれを用いてもよい。
【００１９】
同一の演算処理を行う第１の演算部Ａ（１０Ａ）および第２の演算部Ｂ（１０Ｂ）は、演算処理の実施後、互いの演算結果を交換（１００）し、それぞれにおいて照合処理を実施する。
照合が不一致の場合には、何か異常があったといえるのでそれぞれ演算を停止する。
【００２０】
照合が一致した場合には、演算部Ａ（１０Ａ）は、演算データ（データＡ）とその誤り検知符号（コード）に替わって確認コードを付加した送信データ（データＡ＋確認コード）１０１を抽出部２１へ送信する。一方、演算部Ｂ（１０Ｂ）は、演算データ（データＢ）の誤り検知符号（コードＢ）１０３のみを診断部２４へ送信する。照合が一致することは、演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）の演算結果が一致することであるから、両者の誤り検知符号（コードＡおよびコードＢ）も当然一致する。そこで、後述する診断部２４での一致不一致の確認判断を考慮して、確認コードとしては、演算データ（データＡ）の誤り検知符号（コードＡ）のビット反転コードを採用する。
【００２１】
抽出部２１は、演算部Ａ（１０Ａ）からの送信データ（データＡ＋確認コード）１０１から確認コード１０２を抽出して診断部２４へ送信すると共に、演算部Ａ（１０Ａ）からの送信データ（データＡ＋確認コード）１０１をそのまま置換部２２へ送信する。
【００２２】
診断部２４は、抽出部２１から受信した確認コード１０２（すなわち、コードＡのビット反転コード）が、演算部Ｂ（１０Ｂ）から受信した誤り検知符号（コードＢ）１０３をビット反転したコード（コードＢのビット反転コード）と一致するか不一致であるかを確認する。第１の演算部Ａ（１０Ａ）および第２の演算部Ｂ（１０Ｂ）の各演算結果の照合が一致した場合はデータＡおよびデータＢの誤り検知符号コードＡおよびコードＢは等しいことから、確認コード１０２として採用した誤り検知符号（コードＡ）のビット反転コードは、誤り検知符号（コードＢ）１０３のビット反転コードと等しくなるはずである。
【００２３】
また、確認コードとして、上記した誤り検知符号（コードＡ）のビット反転コードではなく、固定コードを採用してもよい。すなわち、上記のとおり演算結果の照合が一致した場合に、演算部Ａ（１０Ａ）から演算データ（データＡ）に確認コードとして固定コードを付加して抽出部２１へ送信する。抽出部２１により抽出された確認コード１０２は、診断部２４へ送信し、固定コードと比較して一致するかを確認する。この診断部２４で一致確認する際に使う固定コードは、演算部ＢからコードＢと共に診断部２４に送信するか、または、診断部２４に予め設定しておくようにする。
【００２４】
診断部２４は、上記した確認コード１０２の一致確認が取れた場合は、演算部Ｂからの誤り検知符号（コードＢ）１０３を置換用符号として置換部２２へ送信すると共に、スイッチ２３へスイッチのＯＮ指示１０５を送信する。逆に、確認コード１０２の一致確認が取れず不一致の場合は、スイッチ２３へスイッチのＯＦＦ指示１０６のみを送信する。
【００２５】
置換部２２は、抽出部２１からのデータ（データＡ＋確認コード）１０１の確認コードを、診断部２４からの置換用符号（コードＢ）１０３に置換し、置換したデータ（データＡ＋コードＢ）１０４をスイッチ２３へ送信する。照合が一致した場合には、誤り検知符号のコードＡとコードＢは等しいので、上記置換をしても、送信データはデータＡ＋コードＡに等しいデータである。
【００２６】
ここにおいて、演算部Ａ（１０Ａ）から確認データではなく、単にデータＡ＋コードＡとしてデータを送信し、コードＡとコードＢの一致確認を通して置換部２２においてコードＡをコードＢに置き換える場合を想定すると、コードＡ＝コードＢであるので、実際に置換部２２においてコードの置き換え動作が実施されたかどうか区別できないため、置換部２２の動作が必ずしも保証されているとはいえない。
しかし、上記のように、置換部２２において確認コードからコードＢへ置換を実施することにより、置換部２２の動作確認が可能となりその動作が保証されることになる。
【００２７】
スイッチ２３は、診断部２４からスイッチのＯＮ指示１０５を受信した場合には、置換部２２からのデータ（データＡ＋コードＢ）１０４を受信装置３０へ送信し、診断部２４からスイッチのＯＦＦ指示１０６を受信した場合には、受信装置３０へのデータ送信は発生しない。
【００２８】
続いて、上記のデータフローにおいて、診断部２４の置換用コード出力およびそれに伴うスイッチのオンオフ処理をフローチャートにより説明する。図２は、そのフローチャートを示した図である。
【００２９】
診断部２４は、まず、演算部Ｂ（１０Ｂ）からの誤り検知符号（コードＢ）１０３を受信する（２０１）。その後、抽出部２１が演算部Ａ（１０Ａ）からの送信データ１０１から抽出した確認コード１０２を受信する（２０２）。
【００３０】
確認コード１０２の受信後、確認コード１０２が、コードＢ１０３のビット反転コード（コードＢのインバース）と一致するかを判定（２０３）する。確認コード１０２は、図１により上記で説明したとおり、演算部Ａ（１０Ａ）の演算データＡの誤り検知符号（コードＡ）のビット反転コード（コードＡのインバース）である。
【００３１】
２０３において、確認コード１０２とコードＢ１０３のビット反転コード（コードＢのインバース）が一致した場合（Ｙｅｓ）は、コードＢを送信する（２０４）。コードＢの送信先は、図１のとおり置換部２２である。コードＢの送信後、スイッチのＯＮ指示１０５を送信する（２０５）。スイッチのＯＮ指示１０５の送信先は図１のとおりスイッチ２３である。
２０３において、確認コード１０２とコードＢ１０３のビット反転コード（コードＢのインバース）が不一致だった場合（Ｎｏ）は、コードＢを送信せず、スイッチのＯＦＦ指示１０６をスイッチ２３へ送信する（２０６）。
【００３２】
次に、スイッチの故障診断におけるデータフロー（図１において、矢印を付した破線の流れ）について説明する。
信号保安用制御装置において異常を検知した場合にデータの送信を停止する機能は、スイッチ２３が有するため、スイッチ２３の故障診断を行うことも重要である。
【００３３】
診断部２４はスイッチ２３に対してテストデータ１１１を送信する。このテストデータ１１１は、仮にスイッチ２３がＯＮとなり、受信装置３０へ出力された場合に、受信装置３０を誤動作させないために、受信装置３０にとっては検定異常となるデータとする。例えば、最小電文長より短い電文、誤り検知符号が検知対象データから算出される誤り検知符号と不一致となる値とした電文等である。
【００３４】
スイッチ２３が正常に動作する場合、診断部２４は、テストデータ１１１を送信した状態でスイッチのＯＮ指示１０５を送信すると、スイッチ２３からのテスト結果１１２としてテストデータ１１１を受信する。一方、スイッチのＯＦＦ指示１０６を送信すると、テスト結果１１２としてテストデータ１１１を受信できなくなる。
【００３５】
しかし、もし、スイッチのＯＮ指示１０５を送信中にテストデータ１１１を受信できない場合、または、スイッチのＯＦＦ指示１０６を送信中にテストデータ１１１を受信した場合は、診断部２４は、スイッチ２３の故障と判断して、演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）へ停止指示１１０を送信し、制御装置の故障状態での動作を防止する。
【００３６】
なお、テストデータ１１１は、診断部２４から置換部２２へ送信し、置換部２２経由でスイッチ２３へ送信してもよい。
このスイッチ診断を実施するタイミングは、データ送信前に行ってもよい。また、データ送信が周期的に実施される場合においては、初期診断で一度実施した後、データ送信後に周期的に行うようにしてもよい。
【００３７】
続いて、上記データフローにおいて、診断部２４によるスイッチの故障診断処理をフローチャートにより説明する。図３は、そのフローチャートを示した図である。
診断部２４は、スイッチの故障診断を開始すると、スイッチのＯＦＦ指示１０６をスイッチ２３へ送信する（３０１）。
【００３８】
次に、テストデータ１１１の送信を開始する（３０２）。テストデータの送信後に、診断部２４においてこのテストデータ１１１を受信したかを判定する（３０３）。もし、受信した場合（Ｙｅｓ）は、スイッチのＯＮ故障として検知する（３０６）。受信しなかった場合（Ｎｏ）は、スイッチのＯＮ指示１０５を送信する（３０４）。
【００３９】
スイッチのＯＮ指示１０５の送信後に、診断部２４においてテストデータ１１１を受信したか２回目の判定をする（３０５）。もし、受信しなかった場合（Ｎｏ）は、テストデータ１１１の送信異常として検知する（３０７）。先のスイッチのＯＮ故障の場合、および、このテストデータの送信異常を検知した場合は、演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）に対して停止指示１１０を送信する（３０９）。
【００４０】
テストデータを受信した場合（Ｙｅｓ）は、スイッチ動作が正常であると判定する（３０８）。その判定後、スイッチの故障診断を終了するために、スイッチのＯＦＦ指示１０６をスイッチへ送信し（３１０）、テストデータの送信を停止する（３１１）。
【００４１】
本実施例により、演算部Ａ（１０Ａ）の演算結果から生成される確認コードが演算部Ｂ（１０Ｂ）の演算結果から生成される誤り検知符号（コード）と一致した場合のみ、誤り検知符号（コード）が置換されて演算データが送信されることになる。そのため、置換部２２（符号の置換機能）が故障し、データの誤り検知符号（コード）が置換できない場合においても、誤ったデータが送信されることによる受信装置の誤動作を防止することが可能となる。
【実施例２】
【００４２】
実施例２では、演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）から送信されるデータ信号が複数のデータから構成されるパケットである場合において、複数の誤り検知符号（コード）を置換するようにした信号保安用制御装置の例を説明する。
図４は、実施例２における信号保安用制御装置を示す構成図の例である。
【００４３】
図４の信号保安用制御装置のうち、既に説明した図１に示す同一の符号の構成部分の機能については、説明を省略する。また、図４において、スイッチの故障診断機能については、図１で説明したとおりであるため、説明を省略する。以下には、誤り検知符号（コード）の置換およびそれに伴うデータ送信に関わる動作フローを、図４を用いて説明する。
【００４４】
図４において、演算部Ｂ（１０Ｂ）は、置換対象となる誤り検知符号（コード）の置換位置、置換用の誤り検知符号（コード）および置換対象となる誤り検知符号（コード）のサイズを１組の情報として、その複数の組分から成る情報１０３ａを、診断部２４に対して送信する。演算部Ａ（１０Ａ）からの送信データ１０１は、実施例１で示したデータＡとそれに付加する確認コードを組としてその複数組分となる
【００４５】
診断部２４は、演算部Ｂ（１０Ｂ）から受信した情報１０３ａから、置換対象となる誤り検知符号（コード）の位置およびサイズを組ごとに取り出して複数の組分から成る情報１０３ｂを作成し、抽出部２１へ送信する。また、診断部２４は、演算部Ｂ（１０Ｂ）から受信した情報１０３ａを置換部２２へ送信する。
【００４６】
抽出部２１は、診断部２４から受信した情報１０３ｂが示す組毎の置換対象となる誤り検知符号（コード）の位置およびサイズを基に、演算部Ａ（１０Ａ）からの送信データ１０１から、複数の置換対象となる確認コード１０２を抽出し、診断部２４へ送信する。
【００４７】
診断部２４は、抽出部２１から受信した複数の確認コード１０２と、それぞれに対応する演算部Ｂ（１０Ｂ）からの誤り検知符号（コード）との一致不一致を確認する。この一致不一致の確認については、実施例１で示した動作態様と同様である。
不一致となった場合には、診断部２４は、スイッチ２３に対してスイッチのＯＦＦ指示１０６を送信し、データの送信を停止する。
【００４８】
一致した場合には、診断部２４は、置換部２２に対して、演算部Ｂ（１０Ｂ）から受信した置換対象となる誤り検知符号（コード）の位置、置換用の誤り検知符号（コード）および置換対象となる誤り検知符号（コード）のサイズを１組とする複数の組から成る情報１０３ａを送信すると共に、スイッチ２３に対してスイッチのＯＮ指示１０５を送信する。
【００４９】
情報１０３ａを受信した置換部２２は、実施例１のデータＡに相当する、もともとのデータ部分と、受信した情報１０３ａが示す置換対象となる誤り検知符号（コード）の位置、置換用の誤り検知符号（コード）および置換対象となる誤り検知符号（コード）のサイズに基づき、複数の確認コードそれぞれを複数の対応する誤り検知符号（コード）に置換したデータ部分と成るデータ１０４をスイッチ２３へ送信する。
スイッチ２３は、スイッチのＯＮ指示１０５を受信しているため、データ１０４をそのまま受信装置３０へ送信する。
【００５０】
置換対象となる確認コード（実施例１で示したデータＡの誤り検知符号（コード）のビット反転データ）のサイズは、診断部２４が、演算部Ｂ（１０Ｂ）から受信する置換対象となる誤り検知符号（コード）により診断部２４が求めてもよいし、抽出部２１が求めてもよい。
さらに、置換対象となる確認コードの位置およびサイズの組を、演算部Ａ（１０Ａ）が算出し、抽出部２１へ送信してもよい。抽出部２１は、演算部Ａ（１０Ａ）から受信したこの位置およびサイズを基に置換対象となる確認コード１０２を抽出し、診断部２４へ送信してもよい。
【００５１】
本実施例により、送信されるパケット（複数のデータ）内において複数の誤り検知符号（コード）の置換を実施する場合においても、各誤り検知符号（コード）の位置およびサイズを求め、各誤り検知符号（コード）を抽出することが可能となる。そして、送信データが誤っていた場合にこれを検知して送信を停止し、誤ったデータによる受信装置の誤動作を防止することが可能となる。
【実施例３】
【００５２】
実施例３では、スイッチ２３の故障診断において、演算部Ａ（１０Ａ）がテストデータ１０１ａを送信する場合の信号保安用制御装置の例を説明する。
図５は、実施例３における信号保安用制御装置を示す構成図の例である。
【００５３】
図５の信号保安用制御装置のうち、既に説明した図１に示す同一の符号の構成部分については、説明を省略する。以下では、スイッチ２３の故障診断に関わる動作を、図５を用いて説明する。
【００５４】
図５において、スイッチ２３の故障診断時に、演算部Ａ（１０Ａ）はテストデータ１０１ａを抽出部２１へ送信する。演算部Ａ（１０Ａ）から送信されたテストデータ１０１ａは、抽出部２１、置換部２２を経由してスイッチ２３へ送信される。
【００５５】
また、演算部Ａ（１０Ａ）は、スイッチ２３の故障診断を開始／終了することを診断部２４へ通知するために、系間通信データ１００を用いて、演算部Ｂ（１０Ｂ）経由でスイッチ２３の故障診断であることを診断部２４へ通知する。なお、スイッチ２３の故障診断の開始／終了は、演算部Ａ（１０Ａ）ではなく、演算部Ｂ（１０Ｂ）が決定して演算部Ａ（１０Ａ）、診断部２４へ通知してもよいし、診断部２４が決定して演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）へ通知してもよい。
【００５６】
テストデータ１０１ａは、仮にスイッチ２３がＯＮとなり受信装置３０へ出力した場合にも、受信装置３０を誤動作をさせないために受信装置３０において検知異常となるデータとする。例えば、最小電文長より短い電文、誤り検知符号が検知対象データから算出される誤り検知符号と不一致となる値とした電文等である。
【００５７】
スイッチ２３が正常に動作する場合、診断部２４は、テストデータ１０１ａを送信した状態でスイッチのＯＮ指示１０５を送信すると、スイッチ２３を介してテスト結果１１２としてテストデータ１０１ａを受信する。
【００５８】
診断部２４は、スイッチのＯＦＦ指示１０６を送信すると、スイッチ２３を介してテスト結果１１２としてテストデータ１０１ａを受信できない。しかし、もし、スイッチのＯＮ指示１０５を送信中にテストデータ１０１ａを受信できない場合、および、スイッチのＯＦＦ指示１０６を送信中にテストデータ１０１ａを受信できた場合、診断部２４は、スイッチ２３の故障と判断して、演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）へ停止指示１１０を送信し、制御装置の故障状態での動作を防止する。
【００５９】
このスイッチの故障診断は、データ送信前に行ってもよい。また、データ送信が周期的に実施される場合においては、初期診断で一度実施した後、データ送信後に周期的に行うようにしてもよい。
本実施例によれば、実施例１や実施例２のように、診断部２４からスイッチ２３へのテストデータ送信専用の経路を設けることなく、スイッチ２３の故障診断が可能となる。
【実施例４】
【００６０】
実施例４として、テストデータ１０１ａに対するテストコードを置換部２２に送信する場合の信号保安用制御装置の例を説明する。
図５は、実施例４における信号保安用制御装置を示す構成図の例である。装置構成としては図４の実施例３と同様の構成であるが、送受される信号に差異がある。
【００６１】
演算部Ａ（１０Ａ）からテストデータ１０１ａを抽出部２１へ送信することは実施例３と変わりはないが、演算部Ｂ（１０Ｂ）から、テストデータ１０１ａに対するテストコード１０３ｃを送信する点が実施例３と異なる。
【００６２】
抽出部２１を介して受信したテストデータ１０１ａに対して、置換部２２において、診断部２４から受けたテストコード１０３ｃによりテストデータ１０１ａが置換される（データ１０４ａ）。置換されたデータ１０４ａは、診断部２４からのＯＮ指示１０５によりオンしたスイッチ２３を介して、テスト結果１１２（＝１０４ａ）として診断部２４に戻される。
【００６３】
診断部２４においてこのテストコード１０３ｃによる置換を確認できた場合は、置換部２２の正常動作が確認できたことになる。診断部２４においてこのテストコード１０３ｃ（＝１０４ａ）による置換が確認できなかった場合は、置換部２２の故障と判断し、さらに診断部２４は、演算部Ａ（１０Ａ）および演算部Ｂ（１０Ｂ）へ停止指示１１０を送信してもよい。
【００６４】
本実施例により、実施例１や実施例２のように、診断部２４からスイッチ２３へのテストデータ送信専用の経路を設けることなく、テストデータを使って置換部２２の正常動作の診断が可能となる。
【符号の説明】
【００６５】
１０Ａ、１０Ｂ  演算部
２１  抽出部
２２  置換部
２３  スイッチ
２４  診断部
３０  受信装置
１００  演算部Ａと演算部Ｂ間の交換データ
１０１  演算部Ａから出力される送信データ
１０２  抽出部が抽出した演算部Ａからの確認コード
１０３  演算部Ｂの算出した誤り検知符号（コードＢ）
１０４  誤り検知符号の置換後の送信データ
１０５  スイッチのＯＮ指示
１０６  スイッチのＯＦＦ指示
１１０  演算部への停止指示
１１１  スイッチ診断用テストデータ
１１２  スイッチ診断のテスト結果
【図１】
2015118495.tif 000003
【図２】
2015118495.tif 000004
【図３】
2015118495.tif 000005
【図４】
2015118495.tif 000006
【図５】
2015118495.tif 000007
【図６】
2015118495.tif 000008