(57)【要約】【課題】  ＥＣＣのように、冗長ビットや追加ハードウェアを実装すると、制御装置が大型化するという問題点がある。【解決手段】  制御装置内で、メモリ（ＲＡＭ）の一過性のビットエラーが発生した場合に、固定領域データの場合はＲＯＭデータとＲＡＭデータとの比較を行い、比較不一致の場合はＲＯＭデータを真値としてＲＡＭデータの訂正を行い、また変数領域データの場合は、データを三重化し、データ読み出し時に各データの比較を行い、一個のデータが不一致の場合は残り二個のデータを真値としてデータの訂正を行う。また、訂正回数が所定の回数に達した場合は、所定の異常処理を行う。【選択図】        図１
2007018414.tif 000002
【特許請求の範囲】
【請求項１】
ＣＰＵと、ＲＯＭと、ＲＡＭと、上位装置との通信手段と、外部装置との入出力手段とを有する制御装置であって、前記制御装置は、前記ＲＯＭに格納されたプログラムデータと定数を含む固定データを前記ＲＡＭ内の固定データ領域に転送し記憶する手段と、前記ＲＡＭ内の固定データ領域に記憶された固定データに基づいてプログラムを実行する手段と、前記ＲＯＭ内のアドレスに記憶された固定データと前記ＲＡＭ内の固定データ領域のアドレスに記憶された固定データとを読み出して比較を行う比較手段と、比較不一致の場合は、前記ＲＯＭ内のアドレスの固定データにより、前記ＲＡＭ内の固定データ領域のアドレスの固定データを書き換える書き換え手段と、を備えていることを特徴とする制御装置。
【請求項２】
請求項１記載の制御装置において、前記ＲＡＭ内の固定データ領域に転送された固定データに基づいてプログラムを実行する手段が使用する変数データを書き換える場合には、３以上の複数の多重化を行うことを特徴とする制御装置。
【請求項３】
請求項２記載の制御装置において、前記プログラムを実行する手段が前記変数データを書き換える場合には、同時に３以上の複数個の同一データを、前記ＲＡＭ内の変数データ領域の異なる３以上の複数個のアドレスに書き込むことを特徴とする制御装置。
【請求項４】
請求項２記載の制御装置において、前記プログラムを実行する手段が前記変数データを読み出す場合には、同時に３以上の複数個の同一データを、前記ＲＡＭ内の変数データ領域の異なる３以上の複数個のアドレスから読み出し、読み出した各データが一致している場合に前記データを使用することを特徴とする制御装置。
【請求項５】
請求項２記載の制御装置において、前記プログラムを実行する手段が、同時に３以上の複数個の同一データを、前記ＲＡＭ内の変数データ領域の異なる３以上の複数個のアドレスから読み出し、読み出した各データのうち、任意の１個のデータが他の複数個のデータと異なっている場合には、異なっているデータを他の複数個のデータに書き換えることを特徴とする制御装置。
【請求項６】
請求項１乃至請求項５記載の制御装置において、固定データ領域または変数データ領域に記憶したデータの書き換えが、所定の回数に達した場合は、前記制御装置を異常と認識して所定の異常処理を実行し、前記制御装置を安全側に遷移させることを特徴とする制御装置。
【請求項７】
請求項１乃至請求項６記載の制御装置において、前記ＲＯＭは、電気的に書き換え・消去可能なＲＯＭであることを特徴とする制御装置。
【請求項８】
請求項１乃至請求項６記載の制御装置において、前記ＲＡＭ内の固定データ領域のアドレスの固定データの比較・書き換えと、前記ＲＡＭ内の変数データ領域のアドレスの多重化データの比較・書き換えは、前記ＲＡＭ内の固定データ領域に記憶された固定データに基づいてプログラムを実行する手段が、前記プログラムを実行していないプログラムのアイドルルーチン内で実行されることを特徴とする制御装置。
【請求項９】
請求項１乃至請求項８記載の制御装置が、軌道レールに列車制御信号（ＡＴＣ）と列車検知信号（ＴＤ）を送信する送受信器の制御装置に組み込まれたことを特徴とする鉄道用保安装置の地上側設備。
【請求項１０】
請求項１乃至８記載の制御装置が、軌道レールに列車制御信号（ＡＴＣ）と列車検知信号（ＴＤ）を送信する動作系／待機系を切り換えて使用する二重系の各々の送受信器の制御装置に組み込まれたことを特徴とする鉄道用保安装置の地上側設備。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、大容量のＲＡＭ(Random  Access  Memory)で発生する一過性のビットエラー（ソフトエラー）発生時に、制御装置の正常動作を継続させるメモリビットエラー訂正機能に関するものである。
【背景技術】
【０００２】
近年の半導体プロセス技術の微細化に伴い、メモリ素子は飛躍的に大容量化されてきている。一方、放射線の一種であるα線による一過性のビットエラー（ソフトエラー）や、微細な異物によるデータ化け、外部との入出力制御装置などで、単発的に飛び込むノイズによるデータ化けも問題になってきている。特に、鉄道や電力・原子力等の公共産業施設の制御を行う装置では、その社会的影響から、上記エラーに対する耐性が必要である。
【０００３】
このような問題に対し、従来から一般的には、ＥＣＣ(Error  Correcting  Code)と称する冗長ビットを付加しメモリビット化けに対する耐性を高めている。これを、図４を用いて説明する。
【０００４】
図４は、ＣＰＵを使用した制御装置の一例で、４１はＣＰＵ(Central  Processing  Unit)、４２はＲＯＭ(Read  Only  Memory)、４３はＥＣＣを生成およびチェックする論理回路モジュール（以降、ＥＣＣモジュール４３と呼ぶ）、４４・４５はＲＡＭである。
【０００５】
ＣＰＵ４１が実行するプログラムデータは、ＲＯＭ４２に格納されており、本制御装置の電源投入直後に、前記プログラムデータは、ＲＡＭ４４・４５に転送してＲＡＭ４４・４５上で実行される。これは、アクセスタイムが大きいＲＯＭ４２上でプログラムを実行すると、ＣＰＵ４１の処理性能が不足する場合にとられる手法で、アクセスタイムが小さいＲＡＭ４４・４５上でプログラム実行することにより、処理性能を向上させている。
【０００６】
前記、ＲＯＭ４２からＲＡＭ４４・４５へのデータ転送時には、データは伝送路中に実装されているＥＣＣモジュール４３を経由される。これは、ＣＰＵ４１及びＲＯＭ４２内では１６ビットであるデータバス幅を２０ビットに拡張するためである。ＥＣＣモジュール４３は、所定の計算式によってこの拡張部分のデータを生成し、ＲＡＭ４４・４５にデータを書き込む。さらに、ＣＰＵ４１がプログラムの実行過程において、ＲＡＭ４４・４５にデータを書き込む際にも同様の処理が行われる、
【０００７】
一方、ＣＰＵ４１がＲＡＭ４４・４５からデータを読み出す時には、２０ビットのデータから所定の計算式によってデータのビット化けの有無をチェックする。１ビット化けであれば、訂正が可能であり２ビット化けであれば検知することのみ可能である。ＥＣＣの計算式・冗長ビット幅には、様々な方式があるため、本方式は一例を示している。
【０００８】
また、従来技術として、特許文献１には、各制御装置にエラーチェック機能を持たせた鉄道車両の制御伝送方式が記載されている。図５に、特許文献１に記載された鉄道車両の制御伝送方式の概略図を示す。
図５を参照すると、主幹制御器、自動運転装置の出力は指令装置に伝達され、指令装置からの指令は伝送装置に送られ、伝送装置からこの指令による電文を伝送路、各車両の伝送装置送受信部を介して各車両のインバータ制御装置、ブレーキ制御装置に伝送することが記載されている。特許文献１に記載されて鉄道車両の制御伝送方式では、正誤のコードを前記指令装置から前記伝送装置を介して前記各制御装置のエラーチェック機能に送信し、正誤のコードに基づくチェック結果によって前記各制御装置を安全側に作動させる。
【０００９】
また、従来技術として、特許文献２には、２ビット以上のエラーが修復可となり、ＮＡＮＤ型フラッシュメモリをプログラムメモリと使用でき、コスト削減を実現できる電子機器が記載されている。図６に、特許文献２に記載された２ビット以上のエラー修復が可能な電子機器の概略図を示す。
図６には、マスクＲＯＭにＮＡＮＤフラッシュメモリから主記憶メモリにＮＡＮＤフラッシュメモリに格納された各種データ転送を行うためのＮＡＮＤフラッシュメモリ制御部を制御するプログラムと、ＮＡＮＤフラッシュメモリ７のデータのエラー検出及び訂正を行うプログラムと、外部メモリとインターフェースするための外部インターフェース部を制御するプログラムとを格納する電子機器が記載されている。特許文献２記載の発明では、ＮＡＮＤフラッシュメモリ制御部は、ＮＡＮＤフラッシュメモリから読み出されたデータのエラー検出を行い、エラーがない場合には、ＮＡＮＤフラッシュから転送された管理データ、プログラム、アプリケーションデータでプログラムを実行し、エラー訂正不可なエラーが発生した場合には、ＮＡＮＤフラッシュメモリの複数の管理データバックアップデータのなかからエラー訂正可能なデータを選択し管理データとして使用する。
【特許文献１】特開２００４−３３６９５８号公報
【特許文献２】特開２００４−３１８４６５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
このように、ＥＣＣは、メモリの１ビットエラー訂正可能・２ビットエラー検知可能な方式であるが、ＥＣＣを生成・チェックするハードウェアと冗長ビットのためのメモリを実装する必要があり、制御装置が大型化するという問題点がある。また。他の従来技術においても、各制御装置のエラーチェック機能を備えることや、管理データのバックアップなどが必要である。
【００１１】
本発明は、これらの課題を解決するメモリビット化け訂正機能を有する制御装置を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明による制御装置は、ＣＰＵ４１、電気的に書換え・消去可能なＲＯＭ４２、ＲＡＭ４４・４５、上位装置との通信手段、外部装置との入出力手段を有し、ＲＯＭ４２に格納された固定データを前記ＲＡＭ４４・４５に転送しＲＡＭ４４・４５上でプログラムを実行し、プログラムのアイドルルーチン内で、前記ＲＯＭ４２の固定データと前記ＲＡＭ４４・４５の固定データとの比較を行い、比較不一致の場合は、当該アドレスのＲＯＭ４２内データでＲＡＭ４４・４５の当該アドレスのデータを書き換えることを特徴とする。
【００１３】
さらに、前記ＲＡＭ４４・４５で実行されるプログラムは、使用する変数を３重化することを特徴とし、プログラムが変数を書き換える場合は、同時に３個の同一データを書き込み、プログラムが変数を読み出す場合は、同時に３個のデータを読み出し、各データが一致している場合に当該変数を使用することを特徴とする。
【００１４】
さらに、プログラムが変数データ読み出し時に、任意の１個のデータが他の２個のデータと異なっている場合には、異なっているデータを他の２個のデータに書き換えることを特徴とする。
【００１５】
さらに、固定データ領域または変数データのデータ書き換えが、所定の回数に達した場合は、該制御装置を異常と認識して所定の異常処理を実行し、該制御装置を安全側に遷移させることを特徴とする。
【発明の効果】
【００１６】
本発明では、固定データのＲＯＭ４２のデータとの比較、及び変数データの３重化・多数決照合を行い、比較照合不一致の場合に訂正を行うことにより、ハードウェアの新たな追加要素を不要であるため、制御装置の小型化が可能となる。また、訂正回数が所定の回数に達した場合は、制御装置を異常と認識し、出力を安全側に遷移させることにより、メモリの致命的な欠陥によるビット化けを検知し装置の安全性を保つことが可能となる。
【発明を実施するための最良の形態】
【００１７】
以下、図面を参照して、本発明の実施の形態を説明する。
【実施例１】
【００１８】
図１は、鉄道用保安装置（ＡＴＣ：Automatic  Train  Control  装置）の地上側設備において、軌道（レール）に列車制御信号（ＡＴＣ信号）と列車検知信号（ＴＤ:Train  Detection  信号）を送信する機能を有する送受信器のブロック図を示したものである。本送受信器は、上位装置からＩ／Ｏ
ＬＡＮ(Input/Output  Local  Area  Network)と呼ばれるネットワークを介して電文を受信し、これをディジタル周波数変調（ＭＳＫ:Minimum  Shift  Keying）後にレールに送信する機能を有するものである。
【００１９】
１１ａ，１１ｂはＣＰＵであり、２１ａ，２１ｂは電気的に書換え・消去が可能な不揮発性メモリであるＲＯＭであり、２２ａ，２２ｂは揮発性メモリであるＲＡＭであり、１４ａ，１４ｂは周波数変調やディジタルフィルタ等の信号処理を専門に行うＤＳＰ(Digital  Signal  Processing)であり、１３はネットワーク制御を行うＣＡＮ(Control  Area  Network)であり、１２は、ＣＰＵ１１ａ，１１ｂが互いに通信媒体として用いるＤＰＲＡＭ(Dual  Port  Random  Access  Memory)である。
【００２０】
また、１５ａ、１５ｂ、１６ａ、１６ｂはアナログ信号とディジタル信号との変換を行うディジタルアナログコンバーター（略してＤ／Ａ）及びアナログディジタルコンバーター（略してＡ／Ｄ）であり、１７ａ，１７ｂは交番信号を整流するＦＳＡＮＤ・ＦＳＡＭＰ(Fail  Safe  AND/Fail  Safe  Amplifier)であり、２０は整流された交番信号により駆動される切換リレー（ＣＯＲ：Change  Over  Relay）であり、１８、１９はＤ／Ａコンバーター１５ａ、１５ｂが出力した低電圧のアナログ信号を電力増幅するＰＷＭ(Pulse  Width  Modulator)変換部及びＰＷＭ信号から不要な信号成分を除去するＢＰＦ（バンドパスフィルタ）である。また、本送受信器は、２重系動作させ動作系／待機系を切り換えて使用する。
【００２１】
以下、図１に従い説明する。
ＣＰＵ１１ａ，１１ｂの実行プログラムは、それぞれＲＯＭ２１ａ，２１ｂ内に格納されている。ＣＰＵ１１ａ，１１ｂの動作開始直後は、ＲＯＭ２１ａ，２１ｂから直接命令を読み出して実行するが、初期処理においてＲＯＭ２１ａ，２１ｂ内のプログラムデータをＲＡＭ２２ａ，２２ｂに転送し、以降はＲＡＭ２２ａ，２２ｂから命令を読み出す。これは、ＲＡＭ２２ａ，２２ｂのアクセスタイムがＲＯＭ２１ａ，２１ｂより早いことに着目し、ＣＰＵ１１ａ，１１ｂの処理性能を上げるための処置である。この初期処理は、オフライン動作であり、ＲＡＭ２２ａ，２２ｂ上でプログラムが動作できるようになると、以降はオンライン動作となる。
【００２２】
まず、図示されていない上位装置からＩ／Ｏ  ＬＡＮを介して動作系／待機系の認識を指示する電文が送られてくると、１３のＣＡＮが受信制御し１次局であるＣＰＵ１１ａに割り込みをかける。ＣＰＵ１１ａは、電文を取得するとＤＰＲＡＭ１２を介して２次局であるＣＰＵ１１ｂに電文を伝達する。そして、ＣＰＵ１１ａ，１１ｂは電文を解読し、例えば動作系と指示された場合は、互いに位相が９０度ずれている交番信号を生成してＦＳＡＮＤ・ＦＳＡＭＰ１７ａ、１７ｂに出力し、ＣＯＲ２０を駆動する。このとき、ＣＯＲ２０の接点は各ＣＰＵ１１ａ，１１ｂに入力され、ＣＯＲ２０の制御状態と接点状態の整合が取れなければ、両ＣＰＵはただちに交番信号を停止しＰＷＭ停止信号を有効とする。
【００２３】
続いて、上位装置からＡＴＣ電文が送られてくると、前述の動作系／待機系認識指示時と同様な手順を経て、ＣＰＵ１１ａ，１１ｂが電文を解読する。そして、ＣＰＵ１１ｂが規定された送信レベルデータとともに電文をＢ系ＤＳＰ１４ｂに伝達する。ＤＳＰ１４ｂでは、ディジタルデータである電文をディジタル信号処理によってＭＳＫ信号に変換し、Ｂ系Ｄ／Ａ１６ｂからＡＴＣ信号の情報を持つアナログ信号を指定のレベルで出力する。出力されたＡＴＣ信号はＰＷＭ変換部１８でＰＷＭ信号に変換後に電力増幅され、ＢＰＦ１９によって不要な信号成分（ＰＷＭのスイッチングノイズ）が除去され、すでに先に駆動されているＣＯＲ２０を介して図示していない保安器に出力され、軌道に出力される。
【００２４】
このとき、送受信器から出力される信号が一定のレベル以下または以上となることは、正常な列車制御が出来なくなることを意味するので、これを防ぐためにＢＰＦ１９の出力から電圧信号・電流信号をＡ／Ｄ１５ａ，１５ｂ、ＤＳＰ１４ａ，１４ｂを介して、ＣＰＵ１１ａ，１１ｂにフィードバックさせ、両ＣＰＵで監視する。そして、電圧・電流のフィードバック信号のレベルが規定の範囲外になった場合は、送受信器の故障と判断し、交番信号を停止してＣＯＲ２０をオフさせるとともに、ＰＷＭ変換部１８に対してＰＷＭ停止信号を有効とし、軌道に対してＡＴＣ信号が出力されるのを防ぐ。さらに、ＤＳＰにおいてＭＳＫ信号の復調を行いその結果が出力した電文内容と一致することを確認している。
【００２５】
次に上位装置からＴＤ電文が送られてくると、上記ＡＴＣ電文受信と同一の手順により、ＣＰＵ１１ａ，１１ｂが電文を解読する。そして、ＣＰＵ１１ａが電文をＤＳＰ１４ａに伝達する。ＡＴＣ電文のときと同様にＭＳＫに変換されたＴＤ信号は、ＰＷＭ変換部１８、ＢＰＦ１９、ＣＯＲ２０を介して軌道に出力される。ＢＰＦ出力のフィードバック信号のレベルと復調電文をＣＰＵ１１ａ，１１ｂで監視するのも、ＡＴＣ電文の場合と同一である。
【００２６】
尚、上記の動作中、ＣＰＵ１１ａ，１１ｂは、上位装置から受信した電文及び上位装置に送信した電文、軌道に出力した電文及び復調した電文をモニタデータとして、ＲＡＭ２２ａ，２２ｂ内に記録している。
【００２７】
さて、このような列車制御用送受信器において、ＣＰＵ１１ａ、１１ｂは、ＲＡＭ２２ａ、２２ｂのビット化けチェックのために、固定データ領域と変数データ領域について、各々図２、図３の処理をソフトウェアで行っている。各々の処理仕様を以下に説明する。
【００２８】
まず、図２は、メモリの固定領域データのチェック処理フローである。
ＣＰＵ１１ａ、１１ｂ内のソフトウェアは、アイドルルーチン（主な処理ルーチンが動作していない期間の処理）内で、ＲＡＭのＩ番地のデータとＲＯＭのＩ番地のデータとを所定のデータ数分だけ読み出している。その直後に、各々データの比較を行う。比較の結果、一致している場合はそのまま処理を終了するが、不一致の場合はＲＯＭ内のデータを真値とし、ＲＡＭアドレスにこのＲＯＭデータを書き込む。これは、ＲＯＭが不揮発性のメモリであり、一過性のビット化けがほとんど発生しない性質を前提とした処理である。
【００２９】
また、ＲＡＭデータをＲＯＭデータに書き換えた際には変数ｎに１を加算しておき、ｎ値が所定の値ｎ０を超えた場合には、メモリの異常と判断して所定の異常処理を行い、本送受信器の出力を安全側に遷移させる。これは、ハードウェアとして直ちに復旧可能な一過性のビットエラーとメモリ素子の構造的欠陥に起因する復旧不可能な恒久的なビットエラーとを識別するためである。
【００３０】
次に、図３は、メモリの変数領域データのチェック処理フローである。あらかじめ、各変数データは、書き込みの際に三重化されている。そして、本処理フローの先頭で、各々のデータを読み出し、相互に比較処理を行う。三個のデータの比較を行うので、各フローにおいて三回ずつの比較が行われる。その結果、三個のデータが全て一致していればそのまま処理を終了し、三個のデータのうち一個が異なっていれば残り二個の一致しているデータに書き直し、変数ｎに１を加算する。ｎ値が所定の値ｎ０を超えた場合には、メモリの異常と判断して所定の異常処理を行う。
【００３１】
一方、三個のデータが全て異なっていれば、最早訂正不可能であるので、所定の異常処理を行う。通常、同一時刻に異なる部位で故障が発生する確率は無視できるほどに小さいため、三個のデータが全て異なる事象はほとんど発生し得ない事象であると整理できる。
【００３２】
以上のような動作により、メモリ（ＲＡＭ）内で発生する全ての一過性ビットエラーはただちに正しい値に訂正されるため、当該制御装置を停止させる必要がない。また、ＥＣＣのような冗長ビットが不要であるため、追加メモリ素子やＥＣＣの生成・チェックロジック用のハードウェアが不要であるため、制御装置の小型化が可能である。
【００３３】
さらに、メモリビットエラーに対する訂正回数の上限を設けることにより、一過性でない恒久的なメモリビット化けが発生した際には、制御装置の出力を安全側に遷移させることが可能となり、制御装置の安全性を保つことが可能である。
【産業上の利用可能性】
【００３４】
ＣＰＵ、ＲＯＭ、ＲＡＭ及び入出力手段を搭載している制御装置に適用できる。
【図面の簡単な説明】
【００３５】
【図１】本発明による鉄道保安装置用送受信器ブロック図。
【図２】本発明による鉄道保安装置用送受信器の固定領域データのチェック処理フロー。
【図３】本発明による鉄道保安装置用送受信器の変数領域データのチェック処理フロー。
【図４】従来のＥＣＣによるメモリビット化け訂正機能を有する制御装置ブロック図。
【図５】従来技術である各制御装置にエラーチェック機能を持たせた鉄道車両の制御伝送方式の概略図。
【図６】従来技術である２ビット以上のエラー修復が可能な電子機器の概略図。
【符号の説明】
【００３６】
１１ａ，１１ｂ    ＣＰＵ
１２    ＤＰＲＡＭ
１３    ＣＡＮ、
１４ａ，１４ｂ    ＤＳＰ
１５ａ，１５ｂ    Ｄ／Ａ
１６ａ，１６ｂ    Ａ／Ｄ、
１７ａ，１７ｂ    ＦＳＡＮＤ・ＦＳＡＭＰ
１８    ＰＷＭ変換部
１９    ＢＰＦ
２０    ＣＯＲ
２１ａ，２１ｂ    ＲＯＭ
２２ａ，２２ｂ    ＲＡＭ
４１    ＣＰＵ
４２    ＲＯＭ  
４４・４５    ＲＡＭ
【図１】
2007018414.tif 000003
【図２】
2007018414.tif 000004
【図３】
2007018414.tif 000005
【図４】
2007018414.tif 000006
【図５】
2007018414.tif 000007
【図６】
2007018414.tif 000008