(57)【要約】【課題】フェールセーフ性を損なうことなく一のモード選択スイッチで複数の処理モードを選択可能とする。【解決手段】フェールセーフ制御装置は、複数の処理モードから所望の処理モードを選択可能なモード選択スイッチと、前記モード選択スイッチにより選択されたモード選択情報を保存する複数の不揮発性メモリと、前記モード選択情報にしたがって処理モードを決定する複数のＣＰＵと、前記複数のＣＰＵからの出力を比較監視する照合部とを備え、一の前記モード選択スイッチを前記複数のＣＰＵで共有し、前記複数のＣＰＵの各々に前記不揮発性メモリが備えられていることを特徴とする。【選択図】図１
2015184953.tif 000002
【特許請求の範囲】
【請求項１】
複数の処理モードから所望の処理モードを選択可能なモード選択スイッチと、
前記モード選択スイッチにより選択されたモード選択情報を保存する複数の不揮発性メモリと、
前記モード選択情報にしたがって処理モードを決定する複数のＣＰＵと、
前記複数のＣＰＵからの出力を比較監視する照合部と
を備え、
一の前記モード選択スイッチを前記複数のＣＰＵで共有し、前記複数のＣＰＵの各々に前記不揮発性メモリが備えられている、
ことを特徴とする、フェールセーフ制御装置。
【請求項２】
初期化時に前記モード選択情報が各前記不揮発性メモリに保存され、
前記複数のＣＰＵの各々は、各ＣＰＵに備えられた前記不揮発性メモリに保存された前記モード選択情報にしたがって処理モードを選択する
ことを特徴とする、請求項１に記載のフェールセーフ制御装置。
【請求項３】
前記照合部は、各前記不揮発性メモリに保存された前記モード選択情報を比較照合し、照合結果を前記複数のＣＰＵに通知する
ことを特徴とする、請求項１または２のいずれかに記載のフェールセーフ制御装置。
【請求項４】
前記モード選択スイッチによるモード選択が異常であることを検知する異常検知手段を備え、
記複数のＣＰＵは、前記照合部により前記モード選択情報が不一致であることが通知された場合に、前記モード選択情報が不一致であり前記モード選択スイッチによるモード選択が異常であることを前記以上検知手段に通知する
ことを特徴とする、請求項１〜３のいずれかに記載のフェールセーフ制御装置。
【請求項５】
前記モード選択スイッチにより選択されたモード選択情報は、冗長符号化されていることを特徴とする、
請求項１〜４のいずれかに記載のフェールセーフ制御装置。
【請求項６】
前記不揮発性メモリに保存されるモード選択情報は、冗長符号化されていることを特徴とする、請求項１〜５のいずれかに記載のフェールセーフ制御装置。
【請求項７】
前記不揮発性メモリに保存された前記モード選択情報を書き換えるメモリ書き換え手段を備え、
前記メモリ書き換え手段は、装置の電源が再投入された場合に、前記不揮発性メモリに保存されたモード選択情報を前記モード選択スイッチにより選択されたモード選択情報に書き換える
ことを特徴とする、請求項１〜６のいずれかに記載のフェールセーフ制御装置。
【請求項８】
複数の処理モードから所望の処理モードを選択可能なモード選択スイッチと、一の前記モード選択スイッチを前記複数のＣＰＵで共有し、前記複数のＣＰＵの各々に前記不揮発性メモリが備えられたフェールセーフ制御装置におけるフェールセーフ制御方法であって、
前記複数のＣＰＵの各々が、前記モード選択スイッチにより選択されたモード選択情報を前記不揮発性メモリに保存するステップと、
前記複数のＣＰＵの各々が、前記不揮発性メモリに保存された前記モード選択情報にしたがって処理モードを決定するステップと、
前記複数のＣＰＵからの出力を比較監視するステップと、
を含むことを特徴とする、フェールセーフ制御方法。
【請求項９】
初期化時に前記モード選択情報が各前記不揮発性メモリに保存され、
前記複数のＣＰＵの各々が、各ＣＰＵに備えられた前記不揮発性メモリに保存された前記モード選択情報にしたがって処理モードを選択するステップを含む
ことを特徴とする、請求項８に記載のフェールセーフ制御方法。
【請求項１０】
前記照合部が、各前記不揮発性メモリに保存された前記モード選択情報を比較照合し、照合結果を前記複数のＣＰＵに通知するステップを含む
ことを特徴とする、請求項８または９のいずれかに記載のフェールセーフ制御方法。
【請求項１１】
フェールセーフ制御装置は、前記モード選択スイッチによるモード選択が異常であることを検知する異常検知手段を備え、
記複数のＣＰＵが、前記照合部により前記モード選択情報が不一致であることが通知された場合に、前記モード選択情報が不一致であり前記モード選択スイッチによるモード選択が異常であることを前記以上検知手段に通知するステップを含む
ことを特徴とする、請求項８〜１０のいずれかに記載のフェールセーフ制御方法。
【請求項１２】
前記モード選択スイッチにより選択されたモード選択情報は、冗長符号化されていることを特徴とする、
請求項８〜１１のいずれかに記載のフェールセーフ制御方法。
【請求項１３】
前記不揮発性メモリに保存されるモード選択情報は、冗長符号化されていることを特徴とする、請求項８〜１２のいずれかに記載のフェールセーフ制御方法。
【請求項１４】
フェールセーフ制御装置は、前記不揮発性メモリに保存された前記モード選択情報を書き換えるメモリ書き換え手段を備え、
前記メモリ書き換え手段が、装置の電源が再投入された場合に、前記不揮発性メモリに保存されたモード選択情報を前記モード選択スイッチにより選択されたモード選択情報に書き換えるステップを含む
ことを特徴とする、請求項８〜１３のいずれかに記載のフェールセーフ制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フェールセーフ制御装置及びフェールセーフ制御方法に関し、複数の処理モードを有する制御装置の処理モード選択をフェールセーフに実現するフェールセーフ制御装置及びフェールセーフ制御方法に適用して好適なるものである。
【背景技術】
【０００２】
鉄道保安装置などの高い安全性の要求される分野において、多重化された処理を制御する制御装置は、フェールセーフ制御を実行している。すなわち、制御装置は、フェールセーフ制御において、多重化された処理の処理結果を照合し、処理結果が一致していれば正常動作を継続し、不一致であればシステムとして安全な状態に遷移する。
【０００３】
一方、同一ハードウェアの制御装置を異なる複数の用途で使用する場合、制御装置の使用条件により、各々の適用先に対して制御プログラムを変更し、制御処理を実行する必要が生じる場合がある。このような用途において、それぞれの制御プログラム毎に個別のソフトウェアを作成した場合、複数のソフトウェアを管理する必要が生じ、ソフトウェアの管理コストが増大する。
【０００４】
そこで、あらかじめ、一つのソフトウェアに制御プログラムの変更点を処理モードとして複数用意し、ソフトウェア管理を一元化することが行われている。具体的には、スイッチ等からの入力にしたがって、ソフトウェアに用意された処理モードから選択されたモード選択情報を取得して処理が切り替えられる。
【０００５】
例えば特許文献１では、スイッチの状態に基づいてモード選択情報を不揮発性メモリに格納し、電源が投入されたときに不揮発性メモリからモードを読み込んで、モードに応じた制御を実施する技術が開示されている。しかし、特許文献１では、フェールセーフ性が考慮されていない。
【０００６】
フェールセーフ制御装置においては、モード選択情報の誤認識により、誤った処理モードで制御が実行されてはならないため、スイッチ入力を多重化し、スイッチ入力状態を比較照合することにより、スイッチ入力状態の正当性を確認する方法が考えられる。例えば、特許文献２では、多重化した入力を比較照合する技術が開示されている。図４は、二重化されたＣＰＵを有するフェールセーフ制御装置において、スイッチを二重化した構成の例である。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開平７−３２４７３５号公報
【特許文献２】特開平７−３０２２０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
図４に示すように、スイッチを多重化した場合には、部品点数が増加するため、制御装置の小型化が困難となる。また、部品点数の増加にともなって、制御装置全体の故障率が増加し、稼働率が劣化する恐れがあった。
【０００９】
しかし、スイッチの故障などにより、誤った処理モードで動作することを防止するためには、モード選択情報を冗長化し、モード選択情報の健全性を確認することが必要となる。また、スイッチが多重化されていても、全てのスイッチが同様に誤ったモード選択に設定される可能性もあり、制御装置のモード選択状態を、制御装置の保守員などにより確認させる必要があった。
【００１０】
本発明の目的は、フェールセーフ性を損なうことなく一のモード選択スイッチで複数の処理モードを選択可能なフェールセーフ制御装置及びフェールセーフ制御方法を提供することである。
【課題を解決するための手段】
【００１１】
かかる課題を解決するために本発明においては、複数の処理モードから所望の処理モードを選択可能なモード選択スイッチと、前記モード選択スイッチにより選択されたモード選択情報を保存する複数の不揮発性メモリと、前記モード選択情報にしたがって処理モードを決定する複数のＣＰＵと、前記複数のＣＰＵからの出力を比較監視する照合部とを備え、一の前記モード選択スイッチを前記複数のＣＰＵで共有し、前記複数のＣＰＵの各々に前記不揮発性メモリが備えられている、ことを特徴とする、フェールセーフ制御装置が提供される。
【００１２】
かかる構成によれば、前記複数のＣＰＵの各々が、前記モード選択スイッチにより選択されたモード選択情報を前記不揮発性メモリに保存し、前記複数のＣＰＵの各々が、前記不揮発性メモリに保存された前記モード選択情報にしたがって処理モードを決定し、前記複数のＣＰＵからの出力を比較監視する。これにより、フェールセーフ性を損なうことなく一のモード選択スイッチで複数の処理モードを選択して、装置の大型化防止や、稼働率の劣化防止を実現しつつ、ソフトウェア管理を容易にすることができる。
【発明の効果】
【００１３】
本発明によれば、複数の処理モードを有する制御装置のモード選択において、フェールセーフ性を損なうことなく一のモード選択スイッチで複数の処理モードを選択して、装置の大型化防止や、稼働率の劣化防止を実現しつつ、ソフトウェア管理を容易にすることができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の第１の実施形態に係るフェールセーフ制御装置の構成を示すブロック図である。
【図２】同実施形態にかかるモード選択処理の詳細を示すフローチャートである。
【図３】本発明の第２の実施形態に係るフェールセーフ制御装置の構成を示すブロック図である。
【図４】従来のフェールセーフ制御装置の構成を示すブロック図である。
【発明を実施するための形態】
【００１５】
以下図面について、本発明の一実施の形態を詳述する。
【００１６】
（１）第１の実施の形態
（１−１）フェールセーフ制御装置の構成
図１は、本実施の形態のフェールセーフ制御装置の構成を示すブロック図である。フェールセーフ制御装置は、二重系制御装置の演算処理を実行するプロセッサである、ＣＰＵ１ａ及びＣＰＵ１ｂを備えている。図１に示すように、ＣＰＵ１ａには、バス３ａを介して不揮発性メモリ２ａが接続され、ＣＰＵ１ｂには、バス３ｂを介して不揮発性メモリ２ｂが接続されている。
【００１７】
不揮発性メモリ２ａ及び不揮発性メモリ２ｂには、２つの処理モード（処理モード１及び処理モード２）を格納するエリアと、処理モードの選択情報（図中、モード選択情報と表記）を格納するエリアとが配置されている。
【００１８】
ＣＰＵ１ａ及びＣＰＵ１ｂの動作状態は、照合部４において、ＣＰＵ１ａからの照合用データ５ａと、ＣＰＵ１ｂからの照合用データ５ｂとを比較照合することにより監視されている。照合用データ５ａ及び照合用データ５ｂは、ＣＰＵ１ａ及びＣＰＵ１ｂのバス状態や、ＣＰＵ１ａ及びＣＰＵ１ｂの入出力データである。
【００１９】
照合部４で照合された照合結果は、照合判定信号６によりＣＰＵ１ａ及びＣＰＵ１ｂに通知される。照合部４により異常が監視された場合には、ＣＰＵ１ａまたはＣＰＵ１ｂに異常があることがＣＰＵ１ａ及びＣＰＵ１ｂに通知され、ＣＰＵ１ａ及びＣＰＵ１ｂは動作を停止する。また、照合部４の照合結果が正常である場合には、ＣＰＵ１ａは出力７ａを、ＣＰＵ１ｂは出力７ｂを出力可能な状態であるため、出力７ａ及び出力７ｂは、出力部８を介して制御対象１０にフェールセーフな制御出力９として出力される。
【００２０】
モード選択スイッチ１３（図中スイッチと表記）の状態は、各ＣＰＵにモード選択スイッチ情報１４として伝送される。モード選択スイッチ１３は、スイッチ故障時の判別を容易にするため、複数ビットで構成され、冗長ビットを付加してコード化した値とする。
【００２１】
本実施の形態では、処理モードは２つであるため１ビットのスイッチ情報でも実現可能であるが、スイッチ情報を冗長化して２ビットとしている。例えば、処理モード１を選択する場合には、スイッチ情報を「１０」と定義し、処理モード２を選択する場合には、スイッチ情報を「０１」と定義する。
【００２２】
ＣＰＵ１ａまたはＣＰＵ１ｂは、モード選択スイッチ情報１４を元にモード選択情報を作成し、不揮発性メモリ２ａ、２ｂの該当する格納エリアに作成したモード選択情報を書き込む。この際、モード選択情報は不揮発性メモリの故障時に判別がつきやすいように、「００００ｈ」などの特徴的な値は避けるべきである。例えば、処理モード１を選択する場合には、モード選択情報を「Ａ０Ａ０ｈ」と定義し、処理モード２を選択する場合には、モード選択情報を「０Ｂ０Ｂｈ」と定義して、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに書き込む。
【００２３】
ＣＰＵ１ａ及びＣＰＵ１ｂは、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに保存された情報を元に、自身の処理モードを選択する。不揮発性メモリ２ａ及び不揮発性メモリ２ｂのモード選択情報を参照する際に、それぞれのモード選択情報は、照合部４により比較照合される。モード選択情報が一致している場合には、処理モードの選択が正常に実行される。一方、モード選択情報が不一致の場合には、ＣＰＵ１ａ及びＣＰＵ１ｂに処理モード選択情報が不一致であることが通知され、ＣＰＵ１ａ及びＣＰＵ１ｂは動作停止等の処理を実行する。
【００２４】
また、ＣＰＵ１ａ及びＣＰＵ１ｂは、自身のモード選択状態を、モード選択状態信号１１ａ、１１ｂとして異常検知手段１２に入力する。異常検知手段１２は、入力されたモード選択状態信号１１ａ及び１１ｂの状態を表示させる。異常検知手段１２によるモード選択状態信号１１ａ及びモード選択状態信号１１ｂの状態表示として、例えば、ＬＥＤ等によりモード選択状態信号１１ａ及びモード選択状態信号１１ｂの状態を表示させる。
【００２５】
保守員は、異常検知手段１２の表示状態を目視確認して、モード選択状態が正常か異常かを判断することができる。保守員は、装置の初回起動時に、異常検知手段１２により表示された状態を監視し、意図した処理モードが選択されていることを確認する。これにより、モード選択スイッチ１３が故障状態にあって、モード選択スイッチ１３の情報を元に、不揮発性メモリ２ａ、２ｂに誤ったモード選択情報が保存され、誤った処理モードが選択され、実行されることを防止することが可能となる。
【００２６】
また、異常検知手段１２の他の実施の形態として、モード選択状態信号１１ａ及びモード選択状態信号１１ｂを比較し、一致しているか否かを制御装置側で判定するようにしてもよい。例えば、制御装置側でモード選択状態信号が不一致であると判断された場合には、各ＣＰＵの動作をリセット信号により停止させるようにしてもよい。
【００２７】
（１−２）モード選択処理の詳細
次に、図２を参照して、本実施形態において、各ＣＰＵ１ａ及びＣＰＵ１ｂが実行するモード選択処理について説明する。なお、電源投入後の各処理は照合部４により常に監視され、ＣＰＵ１ａ及びＣＰＵ１ｂの動作が一致していることが常に監視されている状態である。
【００２８】
図２に示すように、ＣＰＵ１ａ及びＣＰＵ１ｂは、制御装置に電源が投入された後、不揮発性メモリ２ａ及び不揮発性メモリ２ｂの処理モード選択情報エリアの値をそれぞれ読み出す（Ｓ１０１）。
【００２９】
そして、ＣＰＵ１ａ及びＣＰＵ１ｂは、ステップＳ１０１で読み出した処理モード選択情報エリアの処理モード選択情報に有効な値が設定されているか否かを判定する（Ｓ１０２）。
【００３０】
ステップＳ１０２において、処理モード選択情報が未設定状態を表す値であると判定された場合には、ステップＳ１０３以降の処理を実行する。処理モード選択情報が未設定状態を表す値とは、例えばモード選択情報が１６ビットの場合には、「ＦＦＦＦｈ」などを例示できる。
【００３１】
処理モード選択情報が未設定状態である場合、ＣＰＵ１ａ及びＣＰＵ１ｂは、不揮発性メモリ２ａ及び不揮発性メモリ２ｂのモード選択情報エリアは未書き込みと判断し、スイッチ情報の取得を実行する（Ｓ１０３）。ステップＳ１０３においてスイッチ情報を取得した各ＣＰＵ１ａ及びＣＰＵ１ｂは、取得したスイッチ情報を元にモード選択情報を作成する（Ｓ１０４）。
【００３２】
そして、ＣＰＵ１ａ及びＣＰＵ１ｂは、不揮発性メモリ２ａ及び不揮発性メモリ２ｂにモード選択情報を書き込んだ後（Ｓ１０５）、不揮発性メモリを読み出し、設定した値が正しく書き込まれているかを確認する（Ｓ１０６）。
【００３３】
ステップＳ１０６において、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに設定した値が正しく書き込まれていると判定された場合には、ＣＰＵ１ａ及びＣＰＵ１ｂは選択した処理モードに従い動作を実行する（Ｓ１０８）。一方、ステップＳ１０６において、不揮発性メモリ２ａ及び不揮発性メモリ２ｂへの書き込みが失敗した場合、すなわち、不揮発性メモリに書き込まれたモード選択情報に異常がある場合には、ＣＰＵ１ａ及びＣＰＵ１ｂは動作を停止する（Ｓ１０７）。
【００３４】
また、ステップＳ１０２において、電源投入後のモード選択情報取得時に、モード選択情報に有効な値（例えばＡ０Ａ０ｈや０Ｂ０Ｂｈ）が設定されていることが確認された場合には、ＣＰＵ１ａ及びＣＰＵ１ｂは、直ちに選択した処理モードに従い動作を実行する（Ｓ１０８）。
【００３５】
一方、ステップＳ１０２において、モード選択情報に無効な値が設定されていると判定された場合には、ＣＰＵ１ａ及びＣＰＵ１ｂは、制御装置の動作を停止させる（Ｓ１０９）。
【００３６】
このように、モード選択情報が未設定状態であるとき、すなわち、初回電源投入時にのみ、ＣＰＵ１ａ及びＣＰＵ１ｂは、モード選択スイッチ１３の状態情報を取得する。その後、電源が再投入された際には、ＣＰＵ１ａ及びＣＰＵ１ｂは、不揮発性メモリ２ａ及び２ｂのモード選択情報を取得して、モード選択処理を実行する。したがって、一度モード選択スイッチ１３の状態が不揮発性メモリ２ａ、２ｂに保存された後は、モード選択スイッチ１３の故障状態を考慮する必要がなくなり、装置の稼働率の劣化を防止することが可能となる。
【００３７】
（２）第２の実施の形態
（２−１）フェールセーフ制御装置の構成
次に、図３を参照して、本発明の第２の実施形態にかかるフェールセーフ制御装置の構成について説明する。以下では、第１の実施の形態と異なる構成について詳細に説明し、同様の構成については説明を省略する。
【００３８】
本実施の形態は、図３に示すように、第１の実施の形態の構成に加えて、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに対して書き換えを行うメモリ書き換え手段１５ａ及び１５ｂが追加されている。
【００３９】
上記第１の実施の形態では、不揮発性メモリ２ａ及び不揮発性メモリ２ｂへのモード選択情報の保存は初回起動時の１回のみであるが、本実施の形態では、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに保存されているモード選択情報を書き換えることができる。具体的に、メモリ書き換え手段１５ａ及びメモリ書き換え手段１５ｂにより、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに保存されているモード選択情報を初期化して、新たなモード選択情報の保存を繰り返すことを可能としている。
【００４０】
本実施の形態では、制御装置のメンテナンス時に、メモリ書き換え手段１５ａ及びメモリ書き換え手段１５ｂにより不揮発性メモリ２ａ、２ｂの初期化が実施される。具体的に、保守員により制御装置の電源が再投入されると、モード選択スイッチ１３の情報を元に不揮発性メモリ２ａ及び不揮発性メモリ２ｂにモード選択情報が設定される。
【００４１】
そして、ＣＰＵ１ａ及びＣＰＵ１ｂは、不揮発性メモリ２ａ及び不揮発性メモリ２ｂに保存された情報を元に、自身の処理モードを選択する。ＣＰＵ１ａ及びＣＰＵ１ｂは、自身のモード選択状態を、モード選択状態信号１１ａ、１１ｂとして異常検知手段１２に入力する。そして、保守員またはＣＰＵが異常検知手段１２の状態を監視し、意図したモード選択が実施されていることを確認する。以上により、本実施の形態においても、モード選択スイッチ１３の健全性を第１の実施の形態と同様に確認することができる。
【００４２】
また、第１の実施の形態及び第２の実施の形態では、２つの処理モードのうち１つの処理モードを選択する例を示したが、かかる例に限定されず、３つ以上の処理モードから１つの処理モードを選択する場合も、同様に、モード選択スイッチ１３の健全性を確認することが可能である。また、切り換える処理モードの種類は、プログラム全体、またはプログラムの一部、またはプログラムで使用する定数や変数、のいずれの場合にも適用可能である。
【符号の説明】
【００４３】
１ａ、１ｂ  ＣＰＵ
２ａ、２ｂ  不揮発性メモリ
３ａ、３ｂ  バス
４    照合部
５ａ、５ｂ  照合用データ
６    照合結果判定信号
７ａ、７ｂ  出力データ
８    出力部
９    制御出力
１０    制御対象
１１ａ、１１ｂ  モード選択状態信号
１２    異常検知手段
１３    モード選択スイッチ
１４    モード選択スイッチ情報
１５ａ、１５ｂ  メモリ書き換え手段
【図１】
2015184953.tif 000003
【図２】
2015184953.tif 000004
【図３】
2015184953.tif 000005
【図４】
2015184953.tif 000006