(57)【要約】【課題】  フェールセーフの実効性が向上され、比較不一致を検出できない盲点を無くすとともに、電源故障の箇所を速やかに特定して、復旧に要する手間と時間を軽減できる保安装置を提供する。【解決手段】  複数の制御回路を備え、複数の制御回路を互いに同期させて、列車の安全運行のための所定の保安処理を複数の制御回路に実行させるように構成された保安装置であって、複数の制御回路それぞれのコントローラからの出力を比較する比較器を備え、複数の制御回路のそれぞれは、電源と電源の電圧監視部とを備え、比較器の出力が複数の制御回路それぞれのコントローラに供給され、複数の制御回路の一つの電圧監視部の出力が一つの制御回路のコントローラと他の制御回路のコントローラとに供給されている。【選択図】  図１
2022001987.tif 000002
【特許請求の範囲】
【請求項１】
複数の制御回路を備え、
当該複数の制御回路を互いに同期させて、列車の安全運行のための所定の保安処理を前記複数の制御回路に実行させるように構成された保安装置であって、
前記複数の制御回路それぞれのコントローラからの出力を比較する比較器を備え、
前記複数の制御回路のそれぞれは、電源と当該電源の電圧監視部とを備え、
前記比較器の出力が前記複数の制御回路それぞれのコントローラに供給され、
前記複数の制御回路の一つの前記電圧監視部の出力が当該一つの制御回路のコントローラと他の制御回路のコントローラとに供給されている、
保安装置。
【請求項２】
複数のＣＰＵによりフェールセーフ制御する鉄道用の保安装置であって、
前記比較器は前記複数のＣＰＵの処理出力を比較照合しながら監視するものであり、
前記電源は前記複数のＣＰＵ及び前記比較器に電源供給するものであり、
前記電圧監視部は前記電源の出力電圧を直接又は間接的に監視ものであり、
前記電源の出力電圧が所定範囲から逸脱した場合は、前記複数のＣＰＵそれぞれの処理出力に対し、前記比較器が比較照合した結果が同一の場合でも前記コントローラが異常と判断する、
請求項１に記載の保安装置。
【請求項３】
前記電源は、共通する共通系電源から分岐した複数の電源が前記複数のＣＰＵそれぞれへ個別専用に電源供給し、
前記電圧監視部が前記複数の電源それぞれを独立して電圧監視した結果に基づいて、前記共通系電源を間接的に監視する、
請求項２に記載の保安装置。
【請求項４】
前記出力電圧が、
許容範囲内の第１減電圧状態に低下した場合は警報を発令し、
許容範囲外の第２減電圧状態に低下した場合は前記保安装置を安全側に制御する、
請求項２に記載の保安装置。
【請求項５】
前記第１減電圧状態は基準値に対して95％以下に低下した状態とし、
前記第２減電圧状態は基準値に対して90％以下に低下した状態とする、
請求項４に記載の保安装置。
【請求項６】
前記電源の出力電圧が所定範囲内であれば、前記複数のＣＰＵの処理出力の比較不一致の結果に基づいて前記比較器が前記異常と判断するが、
前記比較不一致の結果が検出されなくても、前記電源の出力電圧が所定範囲から逸脱した場合は、前記異常と判断する、
請求項２に記載の保安装置。
【請求項７】
連動装置を含む地上装置と、
該地上装置と通信可能な車上装置と、
の少なくとも何れかを接続して連携動作可能であり、
前記異常と判断された場合は中央指令所へ報知する、
請求項２〜６の何れか１項に記載の保安装置。
【請求項８】
複数のＣＰＵによるフェールセーフ制御の処理出力を比較照合した結果に基づいて動作異常を検出する故障検知方法であって、
前記複数のＣＰＵに電源供給する電源の出力電圧が適正範囲であるか否かを監視するステップと、
前記複数のＣＰＵの処理出力を比較照合しながら正常動作しているか否かを監視するステップと、
を有し、
前記電源の出力電圧が所定範囲から逸脱した場合は、前記比較照合した結果に関わらず動作異常が発生したものと判断する故障検知方法。
【請求項９】
前記動作異常が発生したものと判断された場合は、鉄道用の信号制御が可能な保安装置を安全側に制御する、
請求項８に記載の故障検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、連動機等列車の安全運行のための保安装置、及び故障検知方法に係り、特に、連動機のフェールセーフ機能の向上のための改良技術に関するものである。
【背景技術】
【０００２】
列車の安全運行のための保安装置として、例えば、連動機が知られている。駅構内において列車を安全に運行させるには、列車の進路を構成した後、連鎖を設けて鎖錠することにより、信号機や転てつ機が、勝手に操作されないようにしている。これが連動であって、その機能を持つ装置が連動機であり、現場機器や軌道回路などを含め、連動装置と定義されている。この種の保安装置に適用可能なフェールセーフ制御システムとして、例えば、特許文献１に開示されたものが知られている。このシステムは、複数のＣＰＵ（Central Processing Unit）によって連動機を冗長化し、さらに、それぞれのＣＰＵの出力レベルを比較監視する照合部を備えている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５-１８４９５３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
また、既述の従来システムは、照合結果において、複数のＣＰＵの出力が一致していれば、連動機の動作を正常であると判断して複数のＣＰＵの同期動作を継続させる一方、一致していない場合には、障害があるＣＰＵを閉塞させた上で連動機の動作を継続させることができる。しかしながら、複数のＣＰＵの電源が共通化されていると、共通電源が障害を受けて電圧低下を起こした場合、複数のＣＰＵが共に正常に動作し難くなるにも拘わらず、照合部は、複数のＣＰＵの出力レベルの一致を出力するために、連動機は、ＣＰＵの動作不良を検出できないまま、継続動作してしまい、フェールセーフの実効性が担保できないという課題があった。
【０００５】
本発明は上記課題を解決するためになされたものであり、その目的とするところは、フェールセーフの実効性が向上された保安装置を提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決する本発明は、複数の制御回路を備え、複数の制御回路を互いに同期させて、列車の安全運行のための所定の保安処理を複数の制御回路に実行させるように構成された保安装置であって、複数の制御回路それぞれのコントローラからの出力を比較する比較器を備え、複数の制御回路のそれぞれは、電源と電源の電圧監視部とを備え、比較器の出力が複数の制御回路それぞれのコントローラに供給され、複数の制御回路の一つの電圧監視部の出力が一つの制御回路のコントローラと他の制御回路のコントローラとに供給されている。
【発明の効果】
【０００７】
本発明によれば、フェールセーフの実効性が向上された保安装置を提供できる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施形態に係る保安装置の概略を示す機能ブロック図である。
【図２】図１の保安装置をより具体的に示す機能ブロック図である。
【図３】図２の保安装置に適用される電源の系統（電源構成）を示す機能ブロック図である。
【図４】電源別の定格出力電圧を示す表である。
【図５】供給電源と対象回路の関係、及び各対象回路別の動作保証電圧範囲を示す表である。
【図６】本発明の実施形態に係る故障検出方法の概略を示すフローチャートである。
【図７】比較例に係る保安装置の概略を示す機能ブロック図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照して、本発明の実施の形態を詳述する。以下の記載及び図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略及び簡略化がなされることもある。そして、実施の形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１０】
本発明が実施の形態に制限されることはなく、本発明の思想に合致するあらゆる応用例が本発明の技術的範囲に含まれる。本発明は、当業者であれば本発明の範囲内で様々な追加や変更等を行うことができる。本発明は、他の種々の形態でも実施することが可能である。特に限定しない限り、各構成要素は複数でも単数でも構わない。
【００１１】
図１、図２及び図７を用いて説明する保安装置３１，３２，２９は、同一の処理動作する２つのマイコンで構成された２重系によるフェールセーフ制御装置を例示しているが、２重系に限定されない。フェールセーフ制御装置は、２重系以上の多重系の処理出力を比較照合し、比較不一致で故障と判定された場合、安全確保するように制御動作する構成であれば良い。なお、これら複数のマイコン毎は、全てが同一動作する個別のＣＰＵを備えている。
【００１２】
図１は、本発明の実施形態に係る保安装置３１の概略を示す機能ブロック図である。この保安装置３１は、鉄道用であり、同一機能の電子連動装置４，８（以下、「Ａ系回路４」、「Ｂ系回路」８ともいう）と、比較器１０と、を備えて構成される。Ａ系回路４は、Ａ系マイコン１（以下、「ＣＰＵ１」ともいう）、及びＡ系メモリ２で構成される。同様に、Ｂ系回路８は、Ｂ系マイコン６（ＣＰＵ６）、及びＢ系メモリ５で構成される。
【００１３】
比較器１０は、Ａ系マイコン１と、Ｂ系マイコン６と、それぞれの動作を監視する。保安装置３１の電源構成において、比較器１０は共通系電源１１により動作する。この共通系電源１１から分岐して独立したＡ系電源１３でＡ系回路４を動作させる。同様に共通系電源１１から分岐して独立したＢ系電源１４でＢ系回路８を動作させる。
【００１４】
保安装置３１は、図７を用いて後述する比較例に係る保安装置２９をベースとし、これに対して、Ａ系電源１３と、Ｂ系電源１４と、両方の電源それぞれの出力電圧を個別に監視するＡ系電圧監視部１５、それと同様のＢ系電圧監視部１６と、を追加接続した構成である。２重系マイコンは、Ａ系マイコン１より出力されるＡ系マイコンバス３と、Ｂ系マイコン６より出力されるＢ系マイコンバス７と、を比較器１０により常時監視する。
【００１５】
比較器１０は、マイコンバス３，７の１本毎に、それぞれの信号がＬ/Ｈ何れの電圧状態であるかについて比較照合し、比較不一致があれば故障と判定する。保安装置３１は、比較器１０が比較照合した結果、Ａ系マイコン１とＢ系マイコン６の動作が一致していれば、Ａ系マイコンバス３と、Ｂ系マイコンバス７と、両方の信号が同一レベルであるため、正常と判断して動作を継続する。比較器１０は、比較対象とする複数のマイコンバス３，７のうち、１本でも電圧の違いが検出されたならば故障と判断し、Ａ系マイコン１及びＢ系マイコン６の両方にエラー報告する。
【００１６】
Ａ系電源１３のＡ系電圧監視部１５は、Ａ系マイコン１で継続監視が可能である。また、Ｂ系電源１４のＢ系電圧監視部１６は、Ｂ系マイコン６で継続監視が可能である。これら、Ａ，Ｂ系電圧監視部（以下、単に「電圧監視部」又は「電源監視部」ともいう）１５，１６により電圧監視機能が構成される。この電圧監視機能は、常時監視の動作中に、Ａ系電圧監視部１５と、Ｂ系電圧監視部１６と、それぞれ独立して監視した電圧データに基づいて、連続、又は定期的に正常か否かを判定する。
【００１７】
また、保安装置３１において、２系統のＡ系、Ｂ系の各電源１３，１４にそれぞれ専用のＡ，Ｂ系電圧監視部１５，１６が対応付けられている。このように対応付けられた関係は、同一系で専用の１対１に限定せず、別の系にクロスしてつながる相互関係でも構わない。すなわち、保安装置３１は、Ｂ系電圧監視部１６をＡ系マイコン１でも継続監視できるようにデータ交換を行うことにより、Ａ系とＢ系を相互に継続監視できる。同様に、保安装置３１は、Ａ系電圧監視部１５をＢ系マイコン６でも継続監視できる。
【００１８】
また、保安装置３１は、Ａ系、Ｂ系の各電源１３，１４について、既知の正しい電圧データを記憶している。保安装置３１は、自身が記憶する正しいデータと、電圧監視部１５，１６が継続監視して取得した監視データと、を比較判定する。その結果、保安装置３１は、Ａ系、Ｂ系の各電源１３，１４、あるいは共通系電源１１より出力される電圧の低下や大きな変動の発生有無を継続監視することが可能である。このようにして、電圧変動を検出することにより、早期に故障発見できる。
【００１９】
このような継続監視に伴って、保安装置３１は、複数回の比較照合により一致したデータを選別して正しく取り込んだデータであると認定する処理も可能になる。また、保安装置３１は、取り込み頻度等を適宜に調整するシステム設定も可能である。また、保安装置３１では、定期的に取得されたデータを適切に集計処理した統計に基づいて、各部の故障を予測することも可能である。
【００２０】
例えば、保安装置３１には、1週間前や２週間前のデータが参照可能に記憶されているため、その推移を延長することにより、１日後、又は１〜２週間後の状態も予想することが可能になる。このようにして、保安装置３１は、電源回路やそれに使用している部品に対する経時劣化、及び故障の発生時期を予測することができる。
【００２１】
一例として、このＡ系マイコン１やＡ系メモリ２の定格電圧を1.2Ｖとし、動作保証の下限値を1.1Ｖとする。すなわち、Ａ系電源１３の正常な出力電圧は1.2Ｖであり、Ａ系電圧監視部１５における監視データも1.2Ｖ付近を示す。
【００２２】
今、保安装置３１において、Ａ系電源１３が故障し、Ａ系マイコン１やＡ系メモリ２への供給電圧が低下したことを想定する。例えば、継続監視中のＡ系電圧監視部１５は、その監視データが1.0Ｖとなった場合、Ａ系電圧監視部１５は、Ａ系マイコン１及びＢ系マイコン６にＡ系電源１３が故障した旨の異常報告を行う。この異常報告は、ハードとソフトを用いて各マイコンにエラー報告すれば良い。
【００２３】
このように、保安装置３１は、冗長構成に対し、比較器１０が比較照合しなくとも、Ａ，Ｂ各系自身で故障検知する機能を有する。すなわち、保安装置３１は、Ａ系電圧監視部１５によって、Ａ系電源１３の継続監視をＡ系自身で行う。同様に、保安装置３１は、Ｂ系電圧監視部１６によって、Ｂ系電源１４の継続監視もＢ系自身で行う。また、一方の系で検知された故障情報を他方の系に相互共有させることも可能である。
【００２４】
これに対し、冗長構成である保安装置３１は、比較器１０が比較照合した比較不一致の結果に応じて、Ａ系マイコン１及びＢ系マイコン６に異常報告する。保安装置３１は、例えば、Ｂ系電源１４のみが正常である場合、Ａ系マイコン１の誤動作について、Ｂ系マイコン６とは動作が異なることによる比較不一致の結果から瞬時に故障情報を得られる。この故障情報は、Ａ系電圧監視部１５の継続監視による自身の監視データより以前に、両方の系に迅速に共有させられる。
【００２５】
このように、保安装置３１は、冗長構成ならではの比較不一致による迅速確実な故障検知ができるというメリットを活かしながら、Ａ，Ｂ各系自身で故障検知できる機能も生かすことにより、故障個所を絞り込んで特定できるという顕著な効果が得られる。
【００２６】
すなわち、保安装置３１は、Ａ系電圧監視部１５の監視データと、Ｂ系電圧監視部１６の監視データと、両方を継続監視している最中に、一方の監視データが低下したことを検出すれば、その該当する系の電源が故障していると推定される。つまり、保安装置３１は、電源系統の何れかに発生した故障個所を特定できる。
【００２７】
さらに、両方の系で監視データが低下した場合、Ａ系電源１３及びＢ系電源１４の供給元である共通系電源１１が故障していると推定される。つまり、保安装置３１は、電源系統における故障個所が共通系電源１１であることを特定できる。この場合、保安装置３１は、冗長構成であっても、全ての機能がダウンしているものと判断できる。
【００２８】
また、保安装置３１は、Ａ系電源１３とＢ系電源１４を分離独立したことによって、つぎのメリットが得られる。すなわち、保安装置３１は、Ａ系電源１３と、Ｂ系電源１４と、両方共に電圧低下したことによって発生する両系同様の誤動作に対し、比較不一致による故障検知が作動せずに未検出となる不具合を防止することができる。このことから、保安装置３１は、特に危険側故障の発生する可能性を確実に排除し易くなった点で有益である。
【００２９】
このように、図１の保安装置３１は、図７の保安装置２９をベースにし、その共通系電源１１から、Ａ系Ｂ系の電源１３，１４を分離し、かつそれぞれの電源に電圧監視機能を付加した構成に特徴がある。すなわち、保安装置２９がＡ系Ｂ系に共通して供給した給電経路であった。これに追加するように、保安装置３１は、共通系電源１１から分岐したＡ系電源１３、及びこれと同様に分岐したＢ系電源１４を設け、それぞれの系毎に分離独立の給電経路を備えた。
【００３０】
このような分離独立の給電経路によれば、一方の電源が故障したことで電圧出力が低下した場合でも、Ａ系Ｂ系の電源１３，１４が独立しているため、一方の電圧が低下するのみである。その結果、電圧出力の低下を原因とする誤動作は、一方の系のみに限定される。その場合、比較器１０は、比較不一致を迅速確実に検出することが可能になる。
【００３１】
さらに、保安装置３１は、独立させたＡ系電源１３と、Ｂ系電源１４と、両方の電源出力に対し、それぞれにＡ系Ｂ系の電圧監視部１５，１６（以下、「電圧監視機能」、「電源監視機能」又は「電源監視回路」ともいう）を設けた。これにより、保安装置３１は、電源の出力電圧を個別に継続監視することが可能になる。その結果、故障状態や劣化状態、あるいは故障個所について、より細かく特定することも可能になる。
【００３２】
また、冗長構成であるメリットを活かし、Ａ系電圧監視部データと、Ｂ系電圧監視部データと、を相互継続監視することにより、Ａ系電源１３が故障した場合と、Ｂ系電源１６が故障した場合と、共通系電源１１が故障した場合と、を区別することも可能になる。
【００３３】
以下、図２も用いて、本発明の実施形態に係る保安装置３１，３２を説明する。図２は、図１の保安装置３１をより具体的に示す機能ブロック図である。保安装置３２において、２重系マイコンの構成は、Ａ系回路４１にＡ系マイコン１及びＡ系メモリ２を備え、同様にＢ系回路８１にＢ系マイコン６及びＢ系メモリ５を備える。
【００３４】
保安装置３２は、Ａ系マイコン１及びＢ系マイコン６それぞれのマイコン動作を比較器１０によって監視する。この比較器１０は、Ａ系マイコン１から出力するＡ系マイコンバス３と、Ｂ系マイコン６から出力するＢ系マイコンバス７と、それぞれの信号１本毎に、Ｌ/Ｈ何れの電圧状態であるかを比較することによって監視する。
【００３５】
保安装置３２は、Ａ系マイコンバス３と、Ｂ系マイコンバス７と、両者の信号が同一レベルであれば、正常動作をしているとの判断に基づいて動作を継続する。Ａ，Ｂの２系統に限らず、それ以上の複数系統であれば、それらのうち１本からでもレベルの違いが検出された場合、比較不一致である。その場合、保安装置３２は、Ａ系マイコン１、及びＢ系マイコン６に限らず全てのマイコンに対し、エラー停止するようにエラー報告する。
【００３６】
比較器１０からは、共通系回路２６に、各電源監視機能を診断する診断回路２４を介して各電源監視回路がそれぞれ接続される。各電源監視回路として、Ａ系電圧監視部１５、Ｂ系電圧監視部１６、共通系第１電圧監視部１７、及び共通系第２電圧監視部１８が設けられている。
【００３７】
これらによって監視される電源は、Ａ系電源１３、Ｂ系電源１４、共通系第１電源１９、及び共通系第２電源２０である。なお、診断回路２４は、各電圧監視部それぞれの回路が故障してないかを継続監視する機能であるが、その詳細な説明は省略する。
【００３８】
システム第１電源２１、システム第２電源２２の２種は、保安装置３２の外部より接続されて保安装置３２全体に供給される主要な電源である。また、Ａ系電源１３は、装置内Ａ系マイコン１、及びＡ系メモリ２が配置されているＡ系回路４１全体に供給される。同様にＢ系電源１４は、装置内Ｂ系マイコン６、及びＢ系メモリ５が配置されているＢ系回路８１全体に供給される。
【００３９】
上述のように比較器１０は、Ａ系回路４１、及びＢ系回路８１の動作を監視する。この比較器１０を介して、２種類の共通系第１電源１９、共通系第２電源２０から、共通系回路２６へと電源供給される。この共通系回路２６には、各電源監視回路が配置され、各電源の状態を監視している。
【００４０】
また、各電源監視機能は、各電源が出力する電圧値を適宜にモニタすることも可能である。具体的には、Ａ系マイコン１と、Ｂ系マイコン６と、何れからも各電源監視回路へアクセス可能であり、各電源の出力電圧値をリアルタイムに検出することができる。このようにして、各電源監視機能は、各電源の電圧が低下したかどうかを監視できる。
【００４１】
ここで、図３〜図５を参照しながら、電源監視機能の動作について説明する。図３は、図２の保安装置３２に適用される電源２３の系統（電源構成）を示す機能ブロック図である。図３において、保安装置３２の外部から供給されるシステム第１電源２１、及びシステム第２電源２２を基に、各電源がどのように生成されているかを示している。
【００４２】
図３に示すように、保安装置３２は、複数種類の電源として、システム第１電源２１、システム第２電源２２、Ａ系電源１３、Ｂ系電源１４、共通系第１電源１９、共通系第２電源２０を備えて、電源回路が構成される。さらに、図３において、各電源に対応する監視回路の接続関係も示している。なお、図２の電圧監視部１５〜１８を図３では電源監視部１５〜１８と表記して電圧以外の項目も監視できるものとしているが、何れの呼称のものでも本発明を実現できる。
【００４３】
図４は、電源別の定格出力電圧を示す表である。図５は、供給電源と対象回路の関係、及び各対象回路別の動作保証電圧範囲を示す表である。
【００４４】
ここで、Ｂ系電源１４が故障したことを想定する。故障はＢ系電源１４の電圧低下とし、以下に具体的な電圧値も含めて説明する。図３よりＢ系電源１４は、システム第２電源２２より生成され、同様にＡ系電源１３もシステム第２電源２２より生成される。今、この電源系統において、Ｂ系電源１４のみが故障して電圧が低下したと想定する。
【００４５】
図２に示したとおり、Ｂ系電源１４は、Ｂ系マイコン６、及びＢ系メモリ５へ供給する電源として生成されたものである。これが図４に示す定格1.5Ｖに対し、1.4Ｖまで低下したとする。すなわち、Ｂ系電源１４の電圧が故障により、1.5Ｖから1.4Ｖにまで低下した場合、図５に示したＢ系回路用の動作保証電圧範囲を下回るので、例えば、Ｂ系回路８１のＢ系マイコン６が誤動作する可能性がある。
【００４６】
しかし、Ｂ系電源１４に対して分離独立して設けられたＡ系電源１３、共通系第１電源１９、及び共通系第２電源２０は、Ｂ系電源１４が低下したことによる影響を受けないので、Ａ系マイコン１の誤動作を防ぐことができる。つまり、Ｂ系電源１４の故障時に、Ａ系回路４１のＡ系マイコン１と、Ｂ系回路８１のＢ系マイコン６と、は同様の誤動作をしない。したがって、比較器１０は、比較不一致による故障検出が可能である。
【００４７】
さらに、Ａ系電源１３にＡ系電源監視部１５を接続し、同様にＢ系電源１４にもＢ系電源監視部１６を接続した構成により、各電源の電圧値をモニタしている。これらの電圧モニタ機能を使用し、常時、又は定期的に電圧を継続監視することで、電源回路が劣化故障する兆候までも検知することが可能になる。
【００４８】
例えば、保安回路３２において、Ｂ系電源１４は通常1.5Ｖを示しているが、何らかの影響により1週間後には1.5Ｖから1.49Ｖとなり、２週間後の1.48Ｖ、さらに1か月後には1.46Ｖまで下落する。保安装置３２は、このように徐々に低下していく経時劣化も検出できる。
【００４９】
その検出機能により、図２の保安装置３２は、各電源回路について、動作保証電圧範囲を超える時期がいつになるのかを予想できるとともに、電源回路の劣化が始まったことを検出することが可能になる。
【００５０】
さらに、保安装置３２において、各電源モニタの継続監視の実施態様によっては、別の電源に対する故障の推測が可能であることを説明する。図３の電源構成図に示すように、保安装置３２は、外部より供給するシステム第１電源２１、及びシステム第２電源２２を直接にはモニタしていないので、それらについて、電圧の低下や劣化を継続監視できない。
【００５１】
そこで、システム第２電源２２に対し、そこから生成される電源をモニタすることで、システム第２電源２２を間接的に継続監視できる。これらのモニタは、Ａ系電源監視部１５、Ｂ系電源監視部１６、共通系第１電源監視部１７、及び共通系第２電源監視部１８によって行う。以下に典型例を示す。Ａ系電源監視部１５が電圧モニタをすると電圧低下が見られた。同様にＢ系電源監視部１６が電圧モニタをすると電圧低下が見られた。
【００５２】
さらに、共通系第１電源１７、共通系第２電源１８にも同様な低下が見られた。この場合、おおもとのシステム第２電源２２の故障や劣化であることも予想できる。ただし、この方法は定期的な電圧の継続監視により、定格から動作保証電圧範囲内で徐々に低下していくことが確認できる場合に、このような方法で検知が可能になる。
【００５３】
上述のように、保安装置３２は、つぎの効果を奏する。まず、電源を分離独立させ、それぞれの電源に電圧監視機能を追加し、それぞれの電圧監視部データの何れが正常で、何れが不良かの情報に基づいて、給電系統構成を参照しながら論理的に判定できる。その結果、保安装置３２は、比較不一致を検出できない盲点を無くし、異常検出不可能なケースを排除することが可能である。
【００５４】
また、保安装置３２は、どの電源が故障しているか、電源故障の箇所を速やかに特定して、復旧に要する手間と時間を軽減できる。さらに、保安装置３２は、それぞれの電圧監視部データを継続監視することにより、劣化状態をリアルタイムに検知するとともに、ある程度の予想もすることができる。
【００５５】
図６は、本発明の実施形態に係る故障検出方法（本方法）の概略を示すフローチャートである。図６に示すように、本方法は、つぎのステップ（Ｓ１，Ｓ２）を有して、複数のＣＰＵ１，６によるフェールセーフ制御の処理出力を比較照合した結果に基づいて動作異常を検出する。なお、ステップ（Ｓ１，Ｓ２）の順番は逆でも構わない。
【００５６】
ステップ（Ｓ１）では、複数のＣＰＵ１，６にそれぞれ電源供給する電源１３，１４の出力電圧が適正範囲であるか否かを監視する。ステップ（Ｓ２）では、複数のＣＰＵ１，６の処理出力を比較照合しながら正常動作しているか否かを監視する。
【００５７】
本方法では、ステップ（Ｓ１）でＮｏであり、電源１３，１４の出力電圧が所定範囲から逸脱した場合、ステップ（Ｓ２）の結果、複数のＣＰＵ１，６の処理出力を比較照合した結果に関わらず、正常と判定されても、動作異常が発生したものと判断する。換言すると、ステップ（Ｓ１，Ｓ２）の両方ともにＹｅｓでなければ、正常動作の判定にはならない。ステップ（Ｓ１，Ｓ２）の何れか一方がＮｏであれば、異常動作と判定される。
【００５８】
［比較例］
図７の比較例を用いて、補足説明する。図７は、比較例に係る保安装置２９の概略を示す機能ブロック図であり、説明に必要最低限のブロックのみを記載している。図７に示す保安装置２９は、鉄道用途であり、不図示の信号灯や転てつ機を制御する。その用途の保安装置２９が故障すると、重大事故につながる可能性がある。
【００５９】
したがって、鉄道用の保安装置２９は、故障した場合に、装置全体を安全側に制御するフェールセーフ制御が不可欠である。このフェールセーフ制御とは、故障により、重大事故を招くような危険側制御とならないための条件が設定された制御をいう。
【００６０】
保安装置２９は、危険側制御にならないようにするため、故障を確実に検出する回路を付加することにより、安全側制御となるような構成である。そのため、同一回路や同一部品による多重系で冗長構成とすることにより、１つの系で回路や部品に異常が起きた場合、別な系との違いにより故障を検知する構成である。
【００６１】
このように、保安装置２９は、２重系マイコン、すなわち、２つのマイコン１，６で冗長構成するフェールセーフＣＰＵが備えられている。これは、２つのマイコン１，６がそれぞれ同一周波数、同一プログラム、かつ同一ステップで動作する。また、比較器１０によって、これら２つのマイコン１，６の動作を常時監視することにより、一方のマイコンに異常が起きたかどうかを検知するというものである。
【００６２】
保安装置２９において、２重系マイコンに対する電源供給の構成は、同一電源をそれぞれのマイコンに供給する構成である。つまり、電源は冗長構成として分離しておらず、1種類の電源のみで構成されている。この単一の電源構成が冗長構成の阻害要因となることがある。
【００６３】
もし、保安装置２９において、そのような共通系電源１１が何らかの原因で故障した場合、２つのマイコン１，６に供給される電圧が同様に変動する。その結果、マイコンの動作保証電圧外まで電圧変動が発生したとすると、当然ながらマイコンは誤動作する。場合によっては、２つのマイコン１，６が同様の誤動作をする可能性もある。
【００６４】
比較器１０は、２つのマイコン１，６の動作を監視しているだけで、マイコンの動作が正しいかどうかを判断することはできない。この比較器１０は、２つのマイコン１，６が同時に故障することが無いことを前提とし、２つのマイコン１，６の動作が異なった場合に、一方のマイコンが故障したということで、異常を検知する仕組みを構成している。このため、２つのマイコン１，６が同じように誤動作をした場合、比較器１０は正常と判断してしまう。
【００６５】
つぎに、図７を用いて、保安装置２９の動作をより具体的に説明する。２重系マイコンは、Ａ系回路４２、及びＢ系回路８２により構成される。Ａ系回路４２は、Ａ系マイコン１、及びＡ系メモリ２により構成される。Ｂ系回路８２は、Ｂ系マイコン６、及びＢ系メモリ５により構成される。
【００６６】
比較器１０は、これらのマイコン動作を監視するため、Ａ系マイコンバス３と、Ｂ系マイコンバス７と、両者それぞれの信号について、Ｌ/Ｈ何れの電圧状態であるかを比較する。２つのマイコン１，６が正常に動作していれば、Ａ系マイコンバス３と、Ｂ系マイコンバス７と、両者の信号は同一レベルであるため、正常と判断し動作を継続する。
【００６７】
比較器１０は、Ａ系マイコンバス３と、Ｂ系マイコンバス７と、両者相互のレベルが違うことを検出すると、Ａ系マイコン１とＢ系マイコン６との比較不一致として、エラー停止するようＡ系マイコン１とＢ系マイコン６にエラー報告を行う。図７に示す保安装置２９の冗長構成における電源構成は、１つの共通系電源１１をＡ系回路４２、Ｂ系回路８２、及び比較器１０に対し、共通に供給する構成である。
【００６８】
ここで、共通系電源１１の故障を想定する。Ａ系マイコン１と、Ｂ系マイコン６と、は同型式であるため、供給を受ける電源電圧も同じである。一例として、このマイコンに供給する電圧が定格1.2Ｖとし、動作保証電圧範囲の下限値を1.1Ｖとする。共通系電源１１が正常であれば1.2Ｖを出力し続けるが、故障により電圧が低下し、Ａ系マイコン１と、Ｂ系マイコン６と、同時に1.0Ｖが供給された場合を想定する。
【００６９】
この想定によれば、Ａ系マイコン１と、Ｂ系マイコン６とは、両方共に動作保証電圧外となり動作停止又は誤動作をする。このとき、両者の誤動作が同一処理による同一出力であった場合、比較器１０は、両マイコン１，６が同一動作をしていることに基づいて、比較不一致を検出せず、正常動作として動作を継続する。もし、保安装置２９が、この誤動作によって、危険側故障となるならば、この事象は確実に排除しなければならない。
【００７０】
［補足］
本発明の動機は、図７に示した比較例に係る保安装置２９における電子連動装置４２，８２の異常発生に対する原因究明の迅速化にある。例えば、顧客（鉄道会社）の管理下にある共通系電源１１の電圧が規定の90％以下にまで低下すると、２系統の電子連動装置４２，８２が同一処理出力のままでダウンする。このとき、顧客からは、電子連動装置４２，８２が故障したとの嫌疑をかけられる。一方、原因究明には、技術者の時間と労力を相当に費やすことが余儀なくされていた。
【００７１】
この状態において、例えば、多重系を構成する電子連動装置４２，８２の処理出力に対する比較不一致による故障判定では、冗長系の故障検出が遅れたり、見落としたりする不具合もあった。つまり、比較器１０による比較不一致という故障判定基準では、自動的に故障を検出できる場合もあるが、上述のような見落としもあるので、そこが盲点となる。
【００７２】
そこで、図１及び図２に示す本発明の実施形態に係る保安装置３１，３２（以下、まとめて「保安装置３０」という）は、故障発生の可能性がある箇所毎に異常検知センサを配設し、故障原因を切り分けて特定することを容易にした。具体的には、故障原因となる可能性が比較的高いとされる電源を冗長系それぞれに独立して配設し、各自に異常検知センサも配設し、常時監視体制を構成すれば、故障の原因究明や警告が速やかにできる。
【００７３】
このように、保安装置３０は、比較例の保安装置２９において、電子連動装置４２，８２に残された問題を解決するため、Ａ系Ｂ系の電源を分離し、かつそれぞれの電源に電圧監視機能を付加した構成である。すなわち、保安装置２９では、共通系電源１１がＡ系Ｂ系に共通して供給していた電源構成であった。これに対し、保安装置３０は、それぞれの系毎に分離独立したＡ系Ｂ系電源１３，１４を追加した。
【００７４】
これにより、保安装置３０は、故障を発見できない盲点を無くすとともに、電源故障の箇所を速やかに特定して、復旧に要する手間と時間を軽減できる。一例として、故障箇所が電子連動装置４２，８２側でなく、顧客の管理下にある共通系電源１１側にあり、その原因が規定を超えて電圧低下したことである場合、それを証明することにより上述の嫌疑を速やかに解消できる。
【００７５】
また、保安装置３０の異常検知センサは、許容限度を参照しながら電源出力値の変化に応じて、初めは「許容範囲で警告」とし、最後に「稼働停止」とするように、段階的に中央指令部へ報知する。この構成によれば、保安装置３０は、いきなり稼働停止することなく、予め警告を受けた段階で、稼働を継続しながら対策の時間を稼ぐことができる。したがって、保安装置３０は、故障の復旧対応が容易、かつ速やかになり、冗長系による可用性確保を高められる。
【００７６】
また、鉄道用の保安装置３０を構成する電子連動装置４２，８２は、重大事故の危険性を避けるために、フェールセーフ制御して信頼性を高めている。この電子連動装置４２，８２は、例えば、設計寿命１５年であるにもかかわらず、それを超える長期間にわたって継続的に使用されることもある。その場合、地上設備が故障すると、故障の原因は、電子連動装置４２，８２にあると思われがちである。
【００７７】
逆に、電子連動装置４２，８２そのものは新しくても、顧客の管理下にある共通系電源１１の経年劣化により、その電圧が徐々に低下したことが原因で地上設備に不具合を生じることがある。この場合、電子連動装置４２，８２の提供者は、電子連動装置４２，８２は正常であり、真の故障原因は顧客の管理下にある共通系電源１１であることを速やかに証明することが重要である。
【００７８】
なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。
【００７９】
各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置いてもよい。保安装置３０は、ＦＰＧＡ（Field Programmable Gate Array）やカスタムＬＳＩ、ＳＲＡＭ（Static Random Access Memory）やフラッシュメモリで実現しても良い。
【００８０】
本発明の実施形態に係る保安装置３０は、つぎのように総括できる。
［１］この保安装置３０は、複数の制御回路（Ａ，Ｂ系回路）４，８を備える。これら複数の制御回路４，８は、互いに同期させて、列車の安全運行のための所定の保安処理を複数の制御回路４，８に実行させるように構成されている。
【００８１】
この保安装置３０は、比較器１０と、電圧監視部１５〜１８と、を備えている。比較器１０は、複数の制御回路４，８それぞれのコントローラ（Ａ，Ｂ系マイコン）１，６からの出力と、を比較する。例えば、比較器１０は、制御回路４のコントローラ（Ａ系マイコン）１からの出力と、制御回路８のコントローラ（Ｂ系マイコン）６からの出力と、を比較する。比較器１０の出力は、複数の制御回路４，８それぞれのコントローラ１，６に供給される。
【００８２】
また、複数の制御回路４，８のそれぞれは、電源（Ａ，Ｂ系電源）１３，１４と、それら電源１３，１４の電圧を監視する電圧監視部１５〜１８と、を備える。一方の制御回路４は、Ａ系電源１３と、そのＡ系電源１３の電圧を監視する電圧監視部１５と、を備える。他方の制御回路８は、Ｂ系電源１４と、そのＢ系電源１４の電圧を監視する電圧監視部１６と、を備える。
【００８３】
また、複数の電圧監視部１５，１６は、自らが所属しない制御回路まで相互監視できる。例えば、電圧監視部１５は、一方の制御回路４に所属して、その所属内のＡ系電源１３のみを電圧監視するものでなく、他方の制御回路８に所属するＢ系電源１４まで電圧監視できる。同様に、電圧監視部１６も、一方の制御回路８に所属して、その所属内のＢ系電源１４のみを電圧監視するものでなく、他方の制御回路４に所属するＡ系電源１３まで電圧監視できる。
【００８４】
これらの監視結果は、双方の制御回路４，８それぞれのコントローラ（Ａ，Ｂ系マイコン）１，６に入力されて、情報共有される。具体的には、図２及び図３に示すＡ系電圧監視部１５、Ｂ系電圧監視部１６、共通系第１電圧監視部１７、及び共通系第２電圧監視部１８は、樹木が枝分かれするように電源の系統が構成されている。これらの監視結果は、比較器１０の比較出力とともに、全て電圧監視診断回路２４に入力されて、情報共有される。
【００８５】
なお、電圧監視診断回路２４は、コントローラ（Ａ，Ｂ系マイコン）１，６のどこかに形成されていれば足りる。より具体的には、Ａ，Ｂ系メモリ２，５の何れかに記憶されたプログラムをマイコン１，６の何れかのＣＰＵが実行することにより形成される。あるいはハードウェアで構成されても構わない。
【００８６】
この保安装置３０において、複数の制御回路４，８の一つの電圧監視部の出力は、一つの制御回路１のコントローラ（Ａ系マイコン１）と、他の制御回路のコントローラ（Ｂ系マイコン６）と、に供給される。
【００８７】
このような構成の保安装置３０は、監視対象とする電圧に異常があれば、何れの箇所に生じた異常であるかをコントローラ（Ａ，Ｂ系マイコン）１，６で情報共有できる。したがって、電圧低下等の原因によって、マイコン１，６の何れかが動作停止の状態に陥っても、残された１つにより、何れの箇所に生じた異常であるかを認識できる。その結果、保安装置３０は、フェールセーフの実効性を向上できる。
【００８８】
［２］この保安装置３０は、鉄道用の電子連動装置４２，８２を複数のＣＰＵ１，６によりフェールセーフ制御するものである。この保安装置３０は、複数のＣＰＵ１，６の処理出力を比較照合する比較器１０と、電源１１，１３，１４と、電圧監視部１５，１６と、を備えて、信頼性の高い信号制御を可能にする。
【００８９】
ＣＰＵ１は、Ａ系マイコン１を主要構成する。ＣＰＵ６は、Ｂ系系マイコン６を主要構成する。比較器１０は、これら複数のＣＰＵ１，６の処理出力を比較照合しながら監視する。電源１１，１３，１４は、複数のＣＰＵ１，６、及び比較器１０に電源供給する。
【００９０】
電圧監視部１５，１６は、電源１１，１３，１４の出力電圧を直接又は間接的に監視する。この監視により、電源１１，１３，１４の出力電圧が所定範囲から逸脱した場合は、複数のＣＰＵ１，６それぞれの処理出力に対し、比較器１０が比較照合した結果が同一の場合でも、コントローラが異常と判断する。つまり、複数のＣＰＵ１，６それぞれの処理出力が、同一処理結果であれば、正常動作と推定し、異なる処理結果であれば、比較不一致という故障判定基準により異常と判定される。
【００９１】
より詳しくは、共通系電源１１、又は複数の電源１３，１４の両方、あるいは全部の電源１１，１３，１４の出力低下した場合、電源の低下を原因として、複数のＣＰＵ１，６の処理出力に異変が生じる。このとき、異常出力であっても、複数のＣＰＵ１，６の処理出力が同一結果であれば、比較不一致という故障判定基準では、故障を発見できず、そこが盲点となる。この課題を解決する保安装置３０は、故障を発見できない盲点を無くすとともに、電源故障の箇所を速やかに特定して、復旧に要する手間と時間を軽減できる。
【００９２】
［３］電源１１，１３，１４は、共通する共通系電源１１から分岐した複数の電源１３，１４が複数のＣＰＵ１，６それぞれへ個別専用に電源供給することが好ましい。この共通系電源１１は、本来ならば、監視しておく必要があるものの、例えば、顧客の管理下で、直接に監視できない場合がある。その場合、電圧監視部１５，１６が複数の電源１３，１４それぞれを独立して電圧監視した結果に基づいて、共通系電源１１を間接的に監視した結果に基づいて、共通系電源１１を間接的に監視することができる。
【００９３】
具体的には、複数の電源１３，１４は、両方共に正常であるとわかっている場合、これらの出力に問題が生じたときは、共通系電源１１の故障が判明する。この場合、共通系電源１１の下流にあって電源供給を受けているものは、全て動作停止の状態となる。したがって、共通系電源１１が直接に関しできなくても、間接的に監視することで、その故障を早期発見できることは、設備の可用性を高める効果がある。
【００９４】
［４］出力電圧が許容範囲内の第１減電圧状態に低下した場合は、警報を発令した上で、通常動作を継続しても良い。また、許容範囲外の第２減電圧状態に低下した場合は、保安装置３０を安全側に制御すると良い。安全側に制御する典型例として、例えば、青信号から赤信号に切り替えて列車を停止させる。
【００９５】
［５］第１減電圧状態は基準値に対して95％以下に低下した状態とし、第２減電圧状態は基準値に対して90％以下に低下した状態とすると良い。ほとんどの電気機器は、基準値の±５％以内の電源供給が理想的であるが、基準値の±１０％以内までは動作保証されているものが多い。しかし、±１０％から外れると正常動作できないことがある。なお、電源は、ほとんどが出力低下する方向に故障するので、実際には減電圧側のみについて変動を監視すれば足りるが、過電圧側の変動についても対応して構わない。
【００９６】
［６］電源１１，１３，１４の出力電圧が所定範囲内であれば、複数のＣＰＵ１，６の処理出力の比較不一致の結果に基づいて比較器１０が異常と判断する。つまり、比較器１０において、複数系統の処理出力が全て同一の処理結果であれば、正常動作と推定され、異なる処理結果があれば、異常と判定される。
【００９７】
しかし、共通系電源１１、又は複数の電源１３，１４の両方、あるいは全部の電源１１，１３，１４の出力低下した場合、電源の低下を原因として、複数のＣＰＵ１，６の処理出力に異変が生じる。このとき、異常出力であっても、複数のＣＰＵ１，６の処理出力が同一結果であれば、比較不一致の結果に基づく故障判定基準では、故障を発見できず、そこが盲点となる。
【００９８】
そこで、比較器１０が比較不一致の結果を検出しなくても、少なくとも、何れかの系に供給する電源１１，１３，１４の出力電圧が所定範囲から逸脱した場合は、異常と判断する。この判定基準は、つぎの点で合理的である。第１に、電源不良であれば、保安装置３０は正常動作しない蓋然性が高い。
【００９９】
第２に、電源不良を原因として、複数のＣＰＵ１，６が同一の処理出力により、不良結果を出力する可能性があるが、その場合、比較器１０は、不良結果であるにも関わらず、比較不一致の結果を正常と誤判断するので、この誤判断をフェールセーフ制御の観点から故障と判断することは合理的である。
【０１００】
［７］保安装置３０は、少なくとも地上装置と車上装置何れかを接続して連携動作可能であり、異常と判断された場合は中央指令部へ報知すると良い。なお、地上装置は、転てつ器やその転換に伴う信号の現時切換えを制御する電子連動装置４２，８２を含むと良い。また、地上装置と通信可能な車上装置であることが好ましい。
【０１０１】
また、本発明の実施形態に係る故障検知方法は、つぎのように総括できる。
［８］この故障検知方法は、つぎのステップ（Ｓ１，Ｓ２）を有して、複数のＣＰＵ１，６によるフェールセーフ制御の処理出力を比較照合した結果に基づいて動作異常を検出する。なお、ステップ（Ｓ１，Ｓ２）の順番は逆でも構わない。
【０１０２】
ステップ（Ｓ１）では、複数のＣＰＵ１，６に電源供給する電源１１，１３，１４の出力電圧が適正範囲であるか否かを監視する。ステップ（Ｓ２）では、複数のＣＰＵ１，６の処理出力を比較照合しながら正常動作しているか否かを監視する。
【０１０３】
複数のＣＰＵ１，６の処理出力を比較照合しながら監視する比較器１０に電源供給する電源１１，１３，１４の出力電圧が適正範囲であるか否かを監視する。電源１１，１３，１４の出力電圧が所定範囲から逸脱した場合は、比較照合した結果に関わらず動作異常が発生したものと判断する。
【０１０４】
［９］この故障検知方法によって、動作異常が発生したものと判断された場合は、保安装置３０を安全側に制御することが好ましい。例えば、保安装置３０が鉄道用の信号を制御可能であれば、フェールセーフの観点から、制御対象を安全に停止させる方向に制御することが好ましい。
【符号の説明】
【０１０５】
１  Ａ系マイコン、２  Ａ系メモリ、３  Ａ系マイコンバス、４，４１，４２  Ａ系回路、５  Ｂ系メモリ、６  Ｂ系マイコン、７  Ｂ系マイコンバス、８，８１，８２  Ｂ系回路、９  共通系電源バス、１０  比較器、１１  共通系電源、１３  Ａ系電源、１４  Ｂ系電源、１５  Ａ系電圧監視部、１６  Ｂ系電圧監視部、１７  共通系第１電圧監視部、１８  共通系第２電圧監視部、１９  共通系第１電源、２０  共通系第２電源、２１  システム第１電源、２２  システム第２電源、２３  電源、２４  診断回路、２５  Ａ系電源バス、２６  共通系回路、２９，３０，３１，３２  保安装置
【図１】
2022001987.tif 000003
【図２】
2022001987.tif 000004
【図３】
2022001987.tif 000005
【図４】
2022001987.tif 000006
【図５】
2022001987.tif 000007
【図６】
2022001987.tif 000008
【図７】
2022001987.tif 000009