(57)【要約】【課題】端末側の故障により、誤ってコマンドが発行されても制御装置側がそのコマンドを実行しないようにすることにある。【解決手段】保安機器をプログラム制御する多重系からなるフェールセーフ方式の制御装置１と、この制御装置にコマンドを伝送する端末１０とから構成される信号保安制御装置において、端末１０は、コマンドを文字で入力する入力手段１４と、この入力手段で入力された文字を文字データとして処理する入力データ処理手段１５と、この入力データ処理手段で処理された文字データを制御装置１に伝送する送信回路１６とを備え、制御装置１は、端末側から伝送される文字データを各系で受信する受信回路４と、この受信手段で受信された受信データを各系間で照合し、且つ多数決処理により正しいと判断されたときのみそのコマンドを実行する各系に対応する処理部２とを備える。【選択図】    図１
2005022472.tif 000002
【特許請求の範囲】
【請求項１】
保安機器を制御するプログラムを内蔵した多重系からなるフェールセーフ方式の制御装置と、この制御装置にコマンドを伝送するヒューマン・マシン・インターフェースからなる端末とから構成される信号保安制御装置において、
前記端末は、コマンドを文字で入力する入力手段と、この入力手段で入力された文字を文字データとして処理する入力データ処理手段と、この入力データ処理手段で処理された文字データを前記制御装置に伝送する送信手段とを備え、
前記制御装置は、前記端末側から伝送される文字データを各系で受信する受信手段と、この受信手段で受信された受信データを各系間で照合し、且つ多数決処理により正しいと判断されたときのみそのコマンドを実行する各系に対応する処理部とを備えた
ことを特徴とする信号保安制御装置。
【請求項２】
保安機器を制御するプログラムを内蔵した多重系からなるフェールセーフ方式の制御装置と、この制御装置にコマンドを伝送するヒューマン・マシン・インターフェースからなる端末とから構成される信号保安制御装置において、
前記端末は、コマンドを入力する入力手段と、この入力手段より入力されるコマンドをプログラム処理する第１の入力データ処理手段と、前記入力手段より入力される前記コマンドと同一指示内容のコマンドをプログラム処理する第２の入力データ処理手段と、これら第１及び第２の入力データ処理手段でそれぞれ処理された同一指示内容の二つのコマンドデータを前記制御装置に伝送する送信手段とを備え、
前記制御装置は、前記端末側から伝送されるコマンドデータを各系で受信する受信手段と、この受信手段で受信された各々二つの受信データを各系間で照合し、且つ二つのデータの指示内容が一致しているときのみ前記端末が正常に処理していると判断してそのコマンドを実行する各系に対応する処理部とを備えた
ことを特徴とする信号保安制御装置。
【請求項３】
請求項２記載の信号保安制御装置において、
制御装置の処理部は、受信手段で受信された各々二つの受信データを各系間で照合し、二つのデータの指示内容が一致しているとき前記端末にパスワードの入力要求を送り、且つ前記端末の入力手段により入力され、且つ送信手段を介して伝送されるパスワードを受信し、このパスワードが正規のものと認識されると前記端末が正常に処理していると判断してそのコマンドを実行するようにしたことを特徴とする信号保安制御装置。
【請求項４】
請求項２記載の信号保安制御装置において、
前記制御装置の処理部は、前記端末側から伝送される二つのコマンドデータの間に別のデータがないこと又は二つのコマンドデータの時間間隔を測定し、その時間間隔が一定時間内に入っていることを認識したときのみ、コマンドを実行することを特徴とする信号保安制御装置。
【請求項５】
請求項２記載の信号保安制御装置において、
前記端末は、前記制御装置から伝送される同一意味を持つ二つのデータを各々受信する受信手段と、この受信手段で受信された二つのデータを周期的に交互に表示する表示手段とを設けたことを特徴とする信号保安制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、鉄道、交通システム等の安全性が要求される信号保安機器を制御する信号保安制御装置に関する。
【０００２】
【従来の技術】
例えば列車の運行を行うに際しては、常に安全性を確保する必要があり、その一つとして例えば駅構内等の転てつ器、信号機等の現場機器を制御する連動装置のような信号保安制御装置が多重系にて構成されている。
【０００３】
このような構成の信号保安制御装置において、ヒューマン・マシン・インターフェースからなる端末から制御を行う場合、端末から入力された制御指示（以下コマンドと称す）が多重系の各制御装置へ伝送され、コマンドを受信した各系の制御装置では受信したコマンドが正しく割り付けられたものであるかどうかをチェックし、さらに各系間で照合し、多数決処理により例えば３重系であれば、２つの系の受信したコマンドが一致していることを条件に正しいコマンドであるとしてそれを実行するような処理を行っている。
【０００４】
例えばシステム構成の変更等に伴う制御装置のプログラムの切換えを端末から指示する場合、まず当該端末から切換指示を画面上のボタン等をマウスにてクイック、又は予め切換え制御を割り付けてあるキーボード上のキー操作を行うと、画面上に操作確認のための表示がなされ、次いで確認ボタン又は割り付けてある確認用のキーを押すと、切換コマンドが制御装置へ伝送される。
【０００５】
そして、当該制御装置では前述したようなチェック及び系間照合により、正しいと判断したときプログラムの切換えを実行するという手順で行なわれる。
【０００６】
また、通常そのコマンドは伝送フォーマットに割り付けられた特定のビット又はビットパターンが用いられる。
【０００７】
しかし、端末はフェールセーフ方式が採られていないため、万一故障が発生した場合、例えば誤って切換入力処理のルーチンが起動し、このとき確認ボタン又はキーのビットが壊れていると、当該端末から制御装置に切換コマンドが送信され、当該制御装置はそのコマンドが正しく発行されたものとして、新しいプログラムに制御を切換てしまうという状態が発生する。
【０００８】
【発明が解決しようとする課題】
このように従来の信号保安制御装置においては、端末に故障が発生して人間系からの入力がないにもかかわらず、間違ったコマンドが制御装置側へ伝送されると、制御装置側はコマンド通りに処理を実行し、プログラムを切換えてしまうため、非常に危険である。
【０００９】
本発明は上記のような事情に鑑みてなされたもので、フェールセーフ方式が採られていない端末側の故障により、誤ってコマンドが発行されても制御装置側がそのコマンドを実行することのない信頼性の高い信号保安制御装置を提供することを目的とする。
【００１０】
【課題を解決するための手段】
本発明は上記の目的を達成するため、次のような手段により信号保安制御装置を構成する。
【００１１】
請求項１に対応する発明は、保安機器を制御するプログラムを内蔵した多重系からなるフェールセーフ方式の制御装置と、この制御装置にコマンドを伝送するヒューマン・マシン・インターフェースからなる端末とから構成される信号保安制御装置において、前記端末は、コマンドを文字で入力する入力手段と、この入力手段で入力された文字を文字データとして処理する入力データ処理手段と、この入力データ処理手段で処理された文字データを前記制御装置に伝送する送信手段とを備え、前記制御装置は、前記端末側から伝送される文字データを各系で受信する受信手段と、この受信手段で受信された受信データを各系間で照合し、且つ多数決処理により正しいと判断されたときのみそのコマンドを実行する各系に対応する処理部とを備えたものである。
【００１２】
請求項２に対応する発明は、保安機器を制御するプログラムを内蔵した多重系からなるフェールセーフ方式の制御装置と、この制御装置にコマンドを伝送するヒューマン・マシン・インターフェースからなる端末とから構成される信号保安装置の制御装置において、前記端末は、コマンドを入力する入力手段と、この入力手段より入力されるコマンドをプログラム処理する第１の入力データ処理手段と、前記入力手段より入力される前記コマンドと同一指示内容のコマンドをプログラム処理する第２の入力データ処理手段と、これら第１及び第２の入力データ処理手段でそれぞれ処理された同一指示内容の二つのコマンドデータを前記制御装置に伝送する送信手段とを備え、前記制御装置は、前記端末側から伝送されるコマンドデータを各系で受信する受信手段と、この受信手段で受信された各々二つの受信データを各系間で照合し、且つ二つのデータの指示内容が一致しているときのみ前記端末が正常に処理していると判断してそのコマンドを実行する各系に対応する処理部とを備えたものである。
【００１３】
請求項３に対応する発明は、請求項２記載の信号保安制御装置において、制御装置の処理部は、受信手段で受信された各々二つの受信データを各系間で照合し、二つのデータの指示内容が一致しているとき前記端末にパスワードの入力要求を送り、且つ前記端末の入力手段により入力され、且つ送信手段を介して伝送されるパスワードを受信し、このパスワードが正規のものと認識されると前記端末が正常に処理していると判断してそのコマンドを実行するものである。
【００１４】
請求項４に対応する発明は、請求項２記載の信号保安制御装置において、前記制御装置の処理部は、前記端末側から伝送される二つのコマンドデータの間に別のデータがないこと又は二つのコマンドデータの時間間隔を測定し、その時間間隔が一定時間内に入っていることを認識したときのみ、コマンドを実行するものである。
【００１５】
【発明の実施の形態】
以下本発明の実施の形態を図面を参照して説明する。
【００１６】
図１は本発明による信号保安制御装置の第１の実施の形態を示すブロック構成図である。
【００１７】
図１において、１は例えば駅構内等の転てつ器、信号等の現場機器を制御する連動装置のような信号保安機器を制御するプログラムを内蔵した制御装置である。この制御装置１は複数の系の処理部、ここでは例えばＡ系の処理部２ａ、Ｂ系の処理部２ｂ、Ｃ系の処理部２ｃと、各系に対応する送信回路３ａ，３ｂ，３ｃ及び受信回路４ａ，４ｂ，４ｃから構成されている。
【００１８】
これら各系の処理部２ａ，２ｂ，２ｃは、互いに自系と他系との間の伝送による受信データを含む入力データを処理すると共に、その処理結果を照合して装置としての制御出力を決定するものである。
【００１９】
また、送信回路３ａ，３ｂ，３ｃは処理部２ａ，２ｂ，２ｃで処理されたデータをそれぞれの系の端末に伝送するものであり、受信回路４ａ，４ｂ，４ｃはそれぞれの端末からのデータを受信して処理部２ａ，２ｂ，２ｃに入力する受信回路である。
【００２０】
一方、１０は入出力装置としてのヒューマン・マシン・インターフェースからなる端末で、制御装置１と伝送路により接続されている。この端末１０は受信回路１１、表示データ処理部１２、表示手段１３、入力手段１４、入力データ処理部１５及び送信回路１６から構成されている。
【００２１】
ここで、受信回路１１は制御装置１から伝送されるデータを受信するものである。表示データ処理部１２は受信回路１２で受信されたデータを表示に必要な処理を行うもので、その表示データはＣＲＴ等の表示手段１３に表示される。入力データ処理部１５はキーボード等の入力手段１４からの入力を送信するためのデータへの変換処理を行うものである。送信回路１６は入力データ処理部１５で処理されたデータを制御装置側へ伝送するものである。
【００２２】
図２は制御装置１の各系の処理部２（２ａ〜２ｃ）の構成を示すものである。図２において、２２ａは受信したデータを処理する受信データ処理手段で、この受信データ処理手段２２ａは他系との受信データの照合を行うものである。また、この受信データ処理手段２２ａには予めコマンドを文字列として登録してあり、受信したコマンドが正規に割付されたものであるか否かをチェックする機能を有している。
【００２３】
また、制御処理実行手段２１は受信データ処理手段２２ａで正しいと判断されたコマンドのみが次の制御処理実行手段へ伝送され、ここでプログラムによる制御が実行される。
【００２４】
次に上記のように構成された信号保安装置の制御装置の作用を述べる。
【００２５】
いま、システム構成の変更等に伴う制御装置１のプログラムの切換えを端末１０から指示する場合、まず端末１０側のキーボード等の入力手段１４を用いて文字入力、例えば「改正」をコマンドとして入力データ処理部１５に入力する。この入力データ処理部１５ではその文字列「改正」の文字コードをそのまま伝送データとして送信回路１６へ入力する。すると、この文字列のコマンド「改正」は送信回路１６より制御装置１側へ伝送され、受信回路４ａ，４ｂ，４ｃを通して各系の処理部２ａ，２ｂ，２ｃに入力される。
【００２６】
各系の処理部２ａ，２ｂ，２ｃでは、この受信データを図２に示す受信データ処理手段２２ａにより各系間で照合し、さらに予め割り付けられているコマンドとしての文字列「改正」と比較し、一致していれば正常なコマンドとして制御処理実行手段２１へ送り、コマンドが実行される。
【００２７】
このように本発明の第１の実施の形態では、端末１０のキーボード等の入力手段１４より入力された文字列の「改正」をコマンドとして送信回路１６より制御装置１側に送り、この制御装置１の各受信回路４ａ〜４ｃで受信された伝送データを各系の処理部２ａ〜２ｃにより各系間の照合と予め割り付けられているコマンドとしての文字列「改正」と比較し、一致していれば正常なコマンドとしてプログラムの切換えを実行するようにしたので、仮に端末が故障し、入力処理が誤って起動しても、従来のように伝送フォーマット上に割り付けられたビットパターンとは異なり、制御装置内に登録されているコマンド（文字コード）に相当するパターンを送る確率は非常に低く、従って信頼性の高いシステムとすることができる。
【００２８】
図３は本発明による信号保安制御装置の第２の実施の形態を示すブロック構成図で、図１と同一部分には同一符号を付してその説明を省略し、ここでは異なる部分についてのみ述べる。
【００２９】
第２の実施の形態では、端末１０側にキーボード等の入力手段１４より入力される複数のコマンドを個別に処理する互いに独立な入力データ処理部１５ａ，１５ｂを設け、それぞれの入力データ処理部１５ａ，１５ｂで処理されたコマンドを送信回路１６を通して制御装置１側に伝送し、また制御装置１の各系の処理部２ａ〜２ｃの受信データ処理手段２２ａに対しては複数の文字列を予めコマンドの組として登録し、受信した複数のコマンドが正規に割り付けされたものであるかどうかをチェックする機能を持たせたものである。
【００３０】
次に上記のように構成された信号保安装置の制御装置の作用を図４の処理の流れを参照してながら説明する。
【００３１】
いま、システム構成の切換前のプログラムを「現行」プログラム、システム変更に伴う新しいプログラムを「改正」プログラムと呼ぶことにする。
【００３２】
システム構成の変更等に伴う制御装置１のプログラムの切換えを端末１０から指示する場合、まず端末１０側の表示画面の左側（Ｌ面）を使用して、漢字で「改正切換」と入力すると、その文字列は一方の入力データ処理部１５ａで送信データに変換され、送信回路１６を通して制御装置１側へ伝送される。
【００３３】
制御装置１において、データとして正しく受信した場合は、「カイセイ」の文字を送信回路３ａ〜３ｃを通して端末１０側へ返信すると、この「カイセイ」は受信回路１１により受信され、表示データ処理部１２にて表示に必要なデータに処理された後、表示手段１３に表示される。
【００３４】
次に２回目の操作では、端末１０の画面の右側（Ｒ側）を使用して、カナで「カイセイキリカエ」と入力すると、その文字列は他方の入力データ処理部１５ｂで送信データに変換され、送信回路１６を通して制御装置１側へ伝送する。
【００３５】
制御装置１において、データとして正しく受信した場合は、漢字で「改正切換」の文字を送信回路３ａ〜３ｃを通して端末１０側へ返信すると、この「改正切換」は受信回路１１により受信され、表示データ処理部１２にて表示に必要なデータに処理された後、表示手段１３に表示される。
【００３６】
このとき制御装置１の各系の処理部では、受信データ処理手段に漢字「改正切換」とカナ「カイセイキリカエ」による二つのデータの組で「改正プログラムへの切換指示」という同一の指示内容と解釈するようにコマンドが割付けられており、その２つを正しく受信した場合のみプログラムの切換処理を実行する。
【００３７】
このように本発明の第２の実施の形態では、フェールセーフ方式が採られていない端末で、処理を二重化し、且つ処理するプログラムも二重化すると共に、処理結果のコードも漢字とカナで二重化することで、端末側の故障により誤ったコマンドが送信されても、制御装置でペアとなるコマンドと照合することで、誤ったコマンドと判断することができるので、制御装置が誤動作することのない、安全性の高い装置として構成できる。
【００３８】
上記第２の実施の形態では、端末１０より制御装置１にコマンドが正しく２回送信されなければ正常と判断されないが、端末が誤動作した場合は制御装置１に種々のデータが送信されてくる可能性があり、ペアになっているコマンドデータが偶然にペアで送信されてくる確率は非常に少ないと考えられる。
【００３９】
そこで、制御装置１の各系の処理部２ａ〜２ｃに対して、コマンドデータを連続して受信しないと正常と判断しないようにしておくことで、より信頼性の高いシステムを構成することができる。同様にペアになったコマンドの発生時間間隔をチェックする機能を持たせることにより、誤りが発生する確率を減らすことができ、より信頼性の高いシステムを構成することができる。
【００４０】
また、上記第２の実施の形態において、端末１０側でコマンドを入力した操作者に対して、制御装置１側でコマンドが正しく受理されていることを知らせる必要がある。
【００４１】
そこで、制御装置１から端末１０側に例えば「改正切換中」の漢字の表示と「カイセイキリカエチュウ」のカナの表示データを送信するようにしておき、端末１０の受信回路１１で受信したこれら二つのデータを表示データ処理部１２を介して表示手段１３に周期的に交互に表示させることにより、制御装置１が正しく処理していること及び端末１０が正常である（故障している場合には、表示が固定化したり、正しい文字が表示されない）ことを判断することができる。
【００４２】
図５は本発明による信号保安装置の制御装置の第３の実施の形態における各系に対応する処理部２の構成を示すものである。なお、制御装置１及び端末１０の構成は図１と同じである。
【００４３】
第３の実施の形態では、制御装置１側の各系の処理部として、受信データ処理手段２２ｂと応答処理手段２３及び制御処理実行手段２１とから構成するものである。ここで、受信データ処理手段２２ｂは、正しくコマンドを受信後、そのコマンドを応答処理手段２３へ送る。また、応答処理手段２３は、さらに端末からの入力を要求するために応答処理として受信したコマンドに対するパスワード入力を促すメッセージを端末へ返送する機能を有するものである。制御処理実行手段２１については、図２の場合と同様なので、その説明は省略する。
【００４４】
次に上記のように構成された信号保安装置の制御装置の作用を述べる。
【００４５】
図６は本実施の形態における処理の流れを示すもので、以下その処理の流れに従って作用を説明する。
【００４６】
いま、図１において、端末１０の入力手段１４から文字列「切換」のコマンドが入力データ処理部１５に入力されると、この入力データ処理部１５では「切換」をデータ処理し、送信回路１６を通して制御装置１側へ“切換”文字コードとして伝送する。
【００４７】
制御装置１０側では受信回路４ａ〜４ｃにて“切換”文字コードを受信して各系の処理部２ａ〜２ｃにそれぞれ入力する。これら各系の処理部２ａ〜２ｃでは、受信データ処理手段２２ｂによりその「切換」を３系間で照合し、それを正しく受信したことを確認後、応答処理手段２３により端末１０に対してさらなるパスワード入力要求として、例えば“確認として下さい”というメッセージを送信回路３ａ〜３ｃを通して文字コードとして端末１０側へ伝送する。
【００４８】
端末１０では受信回路１１によりその文字コードを受信し、表示データ処理部１２にて表示データ処理して表示手段１３に「確認として下さい」というメッセージを表示する。
【００４９】
そして、端末１０の入力手段１４より入力データ処理部１５に再び「確認」をパスワードとして入力すると、この入力データ処理部１５では「確認」をデータ処理し、送信回路１６を通して制御装置１側へ“確認”文字コードとして伝送する。
【００５０】
制御装置１０では、受信回路４ａ〜４ｃにて“確認”文字コードを受信して各系の処理部２ａ〜２ｃにそれぞれ入力する。これら各系の処理部２ａ〜２ｃでは、受信データ処理手段２２ｂによりその「確認」を３系間で照合し、それを正しく受信したことを確認すると、受信データ処理手段２２ｂでは「切換」に対する「確認」というパスワード入力の組が正しく受信されたことを比較条件により判断して、コマンドと見做し、これを制御処理実行手段２１に入力する。
【００５１】
このように本発明の第３の実施の形態では、端末１０から制御装置１側へコマンドを文字データとして伝送し、制御装置１でこの文字データを受信し、コマンドとして正しく認識すると、端末１０側へパスワードの入力要求データを送り、端末１０でパスワードを入力して制御装置１側へ伝送することにより、制御装置１ではこのパスワードが正しいと認識されたときのみコマンドを実行するようにしたので、安全性の高いシステムを構成することができる。
【００５２】
なお、上記第３の実施の形態においては、パスワードを「確認」としたが、このパスワードは人間の介入を確認するためのものなので、処理部２ａ〜２ｃに登録してあれは、個人のＩＤ等であってもよい。
【００５３】
図７は本発明による信号保安装置の制御装置の第４の実施の形態における各系に対応する処理部２の構成を示すものである。なお、制御装置１及び端末１０の構成は図３と同じである。
【００５４】
第４の実施の形態では、制御装置１の各系の処理部として、図５の構成に加えて時計装置２４を設け、この時計装置２４の時刻データを受信データ処理手段２２ｃに入力するものである。
【００５５】
ここで、時計装置２４はパスワード受信時の時刻データとするためのものであり、それ以外は第３の実施の形態と同様である。
【００５６】
次に上記のように構成された信号保安装置の制御装置の作用を述べる。
【００５７】
第４の実施の形態では、時刻データをパスワードとする以外は第３の実施の形態とほぼ同様なので、ここでは端末１０から送られてくる時刻データをパスワードとして入力したときの受信データ処理手段２２ｃの作用について述べる。
【００５８】
受信データ処理手段２２ｃにおいて、認識している時刻に対してある範囲内の時刻がパスワードとして受信された場合、最初に入力されたコマンドが正しく人間の介在により発行されたものであると判断し、制御処理を実行すべく指令を出力する。
【００５９】
このような第４の実施の形態とすれば、固定のパスワードの場合、一度端末側でそれが入力された時、誤って保持され、次回以降のパスワード要求時、それが返送されてしまうという考えられないような故障に対しても安全なシステムとすることができる。
【００６０】
なお、上記ではその時点、時点で変化するパスワードを時刻データとしたが、乱数表等によりパスワードを作成して要求するようにしてもよい。
【００６１】
【発明の効果】
以上述べたように本発明によれば、フェールセーフ方式が採られていない端末側の故障により、誤ってコマンドが発行されても制御装置側がそのコマンドを実行することのない信頼性の高い信号保安制御装置を提供することができる。
【図面の簡単な説明】
【図１】本発明による信号保安制御装置の第１の実施の形態を示すブロック構成図。
【図２】同実施の形態における各系の処理部の構成図。
【図３】本発明による信号保安制御装置の第２の実施の形態を示すブロック構成図。
【図４】同実施の形態の処理の流れを示す図。
【図５】本発明による信号保安制御装置の第３の実施の形態における各系の処理部の構成図。
【図６】同実施の形態の処理の流れを示す図。
【図７】本発明による信号保安制御装置の第４の実施の形態における各系に対応する処理部の構成図。
【符号の説明】
１……制御装置
２，２ａ，２ｂ，２ｃ……処理部
３ａ，３ｂ，３ｃ……送信回路
４ａ，４ｂ，４ｃ……受信回路
１０……端末
１１……受信回路
１２……表示データ処理部
１３……表示手段
１４……入力手段
１５……入力データ処理部
１６……送信回路
２１……制御処理実行手段
２２ａ，２２ｂ，２２ｃ……受信データ処理手段
２３……応答処理手段
２４……時計装置
【図１】
2005022472.tif 000003
【図２】
2005022472.tif 000004
【図３】
2005022472.tif 000005
【図４】
2005022472.tif 000006
【図５】
2005022472.tif 000007
【図６】
2005022472.tif 000008
【図７】
2005022472.tif 000009