(57)【特許請求の範囲】
【請求項１】
少なくとも２つの伝送手段を備えた２台の汎用のＣＰＵボードと、演算を実施することができるアーキテクチャーを有しかつ汎用の外部バスを備えた１台の高安全ボードと、前記高安全ボードが備える汎用外部バスによって制御され基幹ＬＡＮに接続される汎用通信ボードを少なくとも１台以上を搭載し、前記２台のＣＰＵボードは、各々に備えた一つの伝送手段により互いに通信可能であり、さらに各々に備えたもう一つの伝送手段により前記高安全ボードとも通信可能である高安全制御装置において、
前記２台のＣＰＵボードは、互いの伝送手段により、制御出力データ及び制御入力データ及び両ＣＰＵボード間では不一致になるように作成された擬似制御データを互いに交換し、比較・照合を行い、比較・照合結果を、各ＣＰＵが有する伝送手段により前記高安全ボードに伝送すると共に、前記制御出力データ及び制御入力データについて不一致を検知した場合、及び、どちらかのＣＰＵボードで前記擬似制御データについて一致を検知した場合には、所定の異常処理を実施し、
前記高安全ボードは、各ＣＰＵボードから受信した各照合結果の比較・照合を行い、前記制御出力データ及び制御入力データについて、各ＣＰＵボードから受信した二つの比較結果が一致しない場合又は両者とも比較不一致となっていた場合には所定の異常処理を行い、及び、前記擬似制御データについて、各ＣＰＵボードから受信した二つの比較結果が一致しない場合又は両者とも比較一致となっていた場合には、所定の異常処理を実施し、
以上の処理を通じて、異常検知を行うことなく制御結果が導出されると、前記制御出力データが前記汎用通信ボードに転送され、前記汎用通信ボードは前記制御出力データを所定の伝送プロトコルに従い編集して前記基幹ＬＡＮに出力することを特徴とする高安全制御装置。
【請求項２】
請求項１に記載の高安全制御装置において、同一の構成をした高安全制御装置をもう一組備えて二重系構成とし、どちらか一方の制御装置に故障が発生した場合でも制御動作を継続しシステムダウンさせないことを特徴とする高安全制御装置。
【請求項３】
請求項２に記載の高安全制御装置において、前記二重系の高安全制御装置間で制御データの一致化のための伝送手段を各系に有することを特徴とする高安全制御装置。
【請求項４】
請求項１に記載の高安全制御装置において、制御出力データ及び制御入力データ及び制御データの一致化のための伝送手段を各系に有する二重系制御装置間の伝送データの送受信制御は、前記高安全ボードの汎用バスに接続された通信ボードによって行うことを特徴とする高安全制御装置。
【請求項５】
請求項１に記載の高安全制御装置において、制御出力データ及び制御入力データ及び制御データの一致化のための伝送手段を各系に有する二重系制御装置間の伝送データは、フレーム誤り検出のための検査符号、送受信アドレス、周期的に更新される通番データを付加したものであることを特徴とする高安全制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主に鉄道制御用保安装置（電子連動装置、ＡＴＣ制御装置）に適用する高安全制御装置に関する。
【背景技術】
【０００２】
鉄道用保安装置（電子連動装置、ＡＴＣ制御装置）は、軌道回路（レール）やループコイルを用いてに列車検知を行い、上位システムからの進路要求に応じて信号機・転轍機制御を実施し、列車の脱線・衝突などを防止し安全運行を保証するシステムである。従って、高い安全性を要求されるシステムであり、フェールセーフ・高安全なシステムとしなければならない。
【０００３】
このため、従来はその故障の非対称性に着目してリレーを用いた制御装置が利用されていたが、近年では、高集積・高速化されたマイクロエレクトロニクス技術を利用した電子装置とソフトウェアによって制御される装置が登場し、これの多重化により安全性を確保した制御装置が利用されている。多重化にあたっては、通常、二重系又は三重系の構成がとられている。
【０００４】
図５に特許文献１に開示されている三重系装置の構成を示す。本構成では、各系単位では汎用の計算機を使用できるので高信頼・高性能な制御装置であるが、二重系構成と比較してハードウェアの物量は多くなってしまう。
【０００５】
また、図６に特許文献２に開示されているバス照合型処理装置の構成を示す。本図は、プロセッサ・メモリで構成される処理装置のバスを比較照合することにより制御装置出力の安全性を確保する方式であり、本制御装置の処理結果は高安全である。また、装置の信頼性を上げるために、本図と同一の構成をもつ制御装置をもう１台実装して二重系構成として動作させる。本方式では、二重系構成のため、前述した三重系構成の制御装置と比較して物量は少なくて済むが、１系あたりの制御装置内は、プロセッサ・メモリ等の処理装置を二重化しており、高安全制御装置に特化したハードウェアとなっており、装置コストや開発コストも汎用品と比較して割高となり、また半導体技術の進歩に伴うプロセッサ・メモリ等の高速化・高集積化が実施されても、これらの新技術に乗り換えることは簡単ではない。
【特許文献１】特開平４−３０７６３３号公報
【特許文献２】特開平７−３０２２０７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
このように、従来の鉄道用保安装置は汎用制御装置の三重系構成、又は高安全制御装置の二重系構成としていた。汎用制御装置の三重系構成の場合、制御装置全体の物量が大きくなるという問題があり、又、高安全制御装置の二重系構成の場合、プロセッサを二重系化した高安全ＣＰＵボードが鉄道システム専用品となってしまうため、ＣＰＵ等の半導体集積デバイスの性能向上を利用した制御装置の機能向上を図ろうとした場合には、その都度ＣＰＵボードを開発しなければならず、又専用品故のコスト高となってしまうという問題点があった。
【０００７】
本発明の目的は、このような課題を解決する高安全制御装置を提供することにある。
【課題を解決するための手段】
【０００８】
本発明の高安全制御装置は、少なくとも２つの伝送手段を備えた２台の汎用のＣＰＵボードと、演算を高安全に実施することができるアーキテクチャーを有しかつ汎用の外部バスを備えた１台の高安全ボードと、前記高安全ボードが備える汎用外部バスによって制御される汎用通信ボードを少なくとも１台以上を搭載する高安全制御装置であって、前記２台のＣＰＵボードは、各々に備えた一つの伝送手段により互いに通信可能であり、さらに各々に備えたもう一つの伝送手段により前記高安全ボードとも通信可能であることを特徴とする。
【０００９】
このとき、前記２台のＣＰＵボードは互いの伝送手段により、制御出力データ及び制御入力データ及び擬似制御データを、互いに交換し、比較・照合を行い、制御出力データ及び制御入力データの不一致検知した場合には当該データに誤りが発生したとして所定の異常処理を実施する。また、擬似制御データの一致検知した場合には、擬似制御データの誤り又はＣＰＵの演算処理機能自身の誤りが発生したとして所定の異常処理を実施する。
【００１０】
さらに、両ＣＰＵボードの制御入力データ・制御出力データ・擬似制御データの比較・照合結果を、各ＣＰＵが有する伝送手段により前記高安全ボードに伝送し、前記高安全ボードでは、各ＣＰＵから受信した各照合結果の比較・照合を行い、不一致検知した場合には所定の異常処理を行う。そして、同一の構成をした高安全制御装置をもう一組備えて二重系構成とし、どちらか一方の制御装置に故障が発生した場合でも制御動作を継続しシステムダウンさせない構成とし、二重系の制御装置間で制御データの一致化のための伝送手段を有する。
【００１１】
一方、制御出力データ及び制御入力データ及び二重系制御装置間の伝送データの送受信制御は、前記高安全ボードの汎用バスに接続された通信ボードによって行う。そして、これら通信データは、誤り検出のために検査符号、送受信アドレス、周期的に更新される通番データを付加したものである。
【発明の効果】
【００１２】
本発明による高安全制御装置は、二重系装置であるので三重系装置と比較して物量は少なくなる。また汎用ＣＰＵボードを採用しており、半導体集積回路の技術革新が進んでＣＰＵの性能が向上すれば、低コストでのＣＰＵボードの置換え・制御装置の機能アップが容易である。
【００１３】
また、本発明による高安全制御装置は、高信頼化のために二重系構成としており、三重系構成に対して物量が少なくて済む。また、少なくとも２つの伝送手段を備えた２台の汎用のＣＰＵボードと、演算を高安全に実施することができるアーキテクチャーを有しかつ汎用のバスを備えた１台の高安全ボードと、前記高安全ボードが備える汎用バスによって制御される汎用通信ボードを少なくとも１台以上を搭載することにより、従来二重系制御装置で用いていた高安全ＣＰＵボードを排除でき高性能なＣＰＵボードを利用できるので制御装置の高性能化を図れ、制御動作も高安全にできる。さらに技術革新によりＣＰＵボードの高性能化が図れた場合にはＣＰＵボードのみを置き換えることにより制御装置の高性能化が容易に実現できる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の具体的な実施例について図面を用いて説明する。
【００１５】
図１は、本発明の制御装置を用いた鉄道保安システム（電子連動とＡＴＣを統合したもの）である。１１Ａ、１１Ｂは本発明の制御装置を用いた二重系の論理部、１０Ａは二重系の基幹ＬＡＮ、１２，１３は伝送制御部、１０Ｂは二重系の支線ＬＡＮ、１４は軌道回路にＴＤ（列車検知信号）やＡＴＣ（列車制御信号）を送受信するＴＤ／ＡＴＣ装置、１５は信号機や転轍機の現示・駆動制御を行う電子端末である。
【００１６】
以下に本システムの動作を説明する。
まず論理部１１Ａ、１１Ｂにおいて、図示しない上位装置から要求進路情報などを入力し、列車保安に関わる制御演算を行い、その演算結果である制御出力データを基幹ＬＡＮ  １０Ａに出力する。伝送制御部１２、１３は本制御データを受信し、支線ＬＡＮ  １０Ｂを介して、所定のＴＤ／ＡＴＣ装置１４又は電子端末１５に送信する。ＴＤ／ＡＴＣ装置では、制御データの指示により整合変成器１６を介して軌道回路（レール）にＴＤ信号やＡＴＣ信号を出力する。一方、電子端末では、同じく制御データの指示により信号機を所定の現示とし、また転轍機の転換制御を行う。
【００１７】
一方、ＴＤ／ＡＴＣ装置及び電子端末の制御結果（ＴＤによる列車の在線状態、信号機の現示状態、転轍機の転換状態など）は、表示データとして、前記のシーケンスとは逆をたどって論理部１１Ａ、１１Ｂに入力される。論理部は、入力した表示データを次制御周期での制御演算に反映する。
【００１８】
これらの動作は、列車の安全運行に直接関わることであるので、高安全に為される必要があり、また、途中に何らかの故障が発生した場合には、必ず安全側（この場合は、列車の衝突・転覆がないこと）に制御されるというフェールセーフの概念が必要である。
【００１９】
本システムにおいては、論理部の演算及び制御データの出力が必ず高安全・フェールセーフに為される必要があり、下位装置であるＴＤ／ＡＴＣ装置及び電子端末の制御出力も高安全・フェールセーフに為される必要がある。
【００２０】
ここでは、論理部１１Ａ、１１Ｂに本発明の制御装置を適用する。この詳細構成を図２に示す。
【００２１】
２１Ａ、２１Ｂは鉄道保安システムの主たる制御演算を行うＣＰＵボード、２２は自身の演算結果が極めて高安全であることを保証されたＦＳボード、２３は基幹ＬＡＮとのデータ送受信制御を行う通信ボードである。以下に、図２の構成・動作について説明する。
【００２２】
２１Ａ、２１ＢのＣＰＵボードは、伝送手段２４によって互いに通信可能である。また、伝送手段２５Ａ、２５Ｂによって、ＦＳボードとの通信も可能である。また、ＦＳボード２２と通信ボード２３とはバス２６によって通信可能である。
【００２３】
まず、ＦＳボード２２から伝送手段２５Ａ、２５Ｂによって２台のＣＰＵボード２１Ａ、２１Ｂに同期合わせの指令が行われる。ＣＰＵボード側では、本指令を受信した時点で、当該制御サイクルの開始を認識する。次に、ＣＰＵボード２１Ａ、２１Ｂでは当該制御に関わる進路情報を図示しない上位装置から入力し、さらに前制御周期で入力していた下位装置（ＴＤ／ＡＴＣ装置、電子端末）からの表示データを基に当該制御サイクルの演算を行う。このとき、ＣＰＵボード内のメモリデータ化け、レジスタ故障などのハード故障が発生していることにより当該演算結果に誤りがあってはならない。
【００２４】
そこで、演算処理を所定のステップに分け、各ステップにおいて出力される演算途中データを、伝送路２４を介して２１Ａ、２１ＢのＣＰＵボード間で交換する。交換後は、自身の演算結果データと相手側ＣＰＵボードから入力した演算結果データとの比較を行い、比較結果を伝送路２５Ａ及び２５Ｂを介してＦＳボード２２へ送信するとともに、不一致を検知した場合には所定の異常処理を行う。
【００２５】
ＦＳボード２２においても、各ＣＰＵボードから受信した二つの比較結果が一致しない場合又は両者とも比較不一致となっていた場合には所定の異常処理を行う。
【００２６】
無事に制御演算が最終結果を出力すると、この演算データも伝送路２４を介して２１Ａ、２１ＢのＣＰＵボード間で交換する。交換後、自身及び相手側とのデータを比較し、比較結果を伝送路２５Ａ及び２５Ｂを介してＦＳボード２２へ送信するとともに、不一致を検知した場合には所定の異常処理を行う。
【００２７】
以上の処理を通じて、異常検知を行うことなく制御結果が導出されると、ＣＰＵ  ２１Ａ及び２１Ｂは、伝送路２５Ａ及び２５Ｂを介して制御出力データをＦＳボード２２に送信する。ＦＳボードは、受信した両データ又はあらかじめ決められたどちらか一方のデータを本制御装置の出力データとして２６のバスを介して通信ボード２３に転送する。通信ボード２３では、バス２６から入力したデータを所定の伝送プロトコルに従い編集した後、基幹ＬＡＮに出力する。
【００２８】
次に１４のＴＤ／ＡＴＣ及び１５の電子端末から送られてきた表示データを２３の通信ボードが受信すると、バス２６を介してＦＳボード２２に転送する。ＦＳボード２２は、受信データを伝送路２５Ａ及び２５Ｂを介してＣＰＵボード２１Ａ及び２１Ｂに転送する。各ＣＰＵボードは、受信したデータを伝送路２４を介して相手側ＣＰＵボードと交換する。交換後、自身及び相手側とのデータを比較し、比較結果を伝送路２５Ａ及び２５Ｂを介してＦＳボード２２へ送信するとともに、不一致を検知した場合には所定の異常処理を行う。不一致を検知しない場合は、各ＣＰＵボード内で受信データを基に所定の演算処理を行う。
【００２９】
次に、ＣＰＵボード２１Ａ及び２１Ｂは、伝送路２４を介して模擬制御データを交換する。本データは、各ＣＰＵボードによる所定の演算によって算出されたものであり、両ＣＰＵボード間では故意に異なるデータで構成されている。これは、両ＣＰＵボードのデータ比較処理自身が健全であることをチェックするためのものであり、本データの交換後、両ＣＰＵボードが自身と相手側データとの比較処理を実行し、不一致を検知すれば両ＣＰＵボードはともに正常であると考える。両ＣＰＵボードは、本データの比較結果も伝送路２５Ａ及び２５Ｂを介して２２のＦＳボードに伝送し、ＦＳボードでは各ＣＰＵボードから受信した二つの比較結果が一致しない場合又は両者とも比較一致となっていた場合には所定の異常処理を行う。
【００３０】
以上の動作シーケンスを図３のフローチャートに示す。本制御装置は、図３のフローを１サイクルとして周期的な動作を行うものである。
【００３１】
次に、本制御装置から基幹ＬＡＮへの入出力データの伝送フォーマットについて説明する。図４に入出力データフォーマットを示す。フォーマットの各フィールドは下記のようになっている。
【００３２】
（ａ）アドレス：データの送信元／受信先アドレス
（ｂ）制御部：データの機能、通番
（ｃ）データ：
（ｄ）ＣＲＣ：巡回冗長符号
【００３３】
データ伝送により制御を行う高安全装置において、誤った送受信データを元に制御を行うことは致命的である。上記データ構成は、このようなことが発生しないためのものである。
【００３４】
（ａ）のアドレスは伝送データの送り元及び宛先を特定するものであり、伝送データが意図しない制御装置に送信され誤った制御が為されることを防ぐ。（ｂ）の制御部には制御周期毎に更新される通番が含まれており、受信先で本データをチェックすることにより常に最新の情報であることが保証される。（ｄ）のＣＲＣは、所定の演算により生成される冗長符号であり、（ａ）（ｂ）（ｃ）及び（ｄ）にビット誤りが発生した場合に受信先での検定処理により検知することが出来る。本データの生成及びチェック・検定をそれぞれ高安全装置で行うことにより、安全度が保証されていない伝送経路（ケーブル、コネクタなど）においてノイズ印加などによるデータ誤りが発生しても、高安全な制御が可能となる。
【００３５】
さらに、本制御装置は同一のハードウェア構成をもう１台備えた二重系構成となっており、通常はどちらかの装置（系）を主系、相手側を従系として動作する。両装置間は、図１の１０Ｃの伝送路を介して通信しており、主系の制御出力・制御状態などのデータを従系に伝送して状態の一致化を図っている。これは、仮に主系に異常が発生し系交代によりそれまでの従系が新主系として動作継続させる場合に、制御の滞りがないようにするためである。上記の系間伝送は、基幹ＬＡＮとのデータ入出力と同様に、各ＣＰＵボードによるデータ比較及びＦＳボードによるデータ比較を行ってから為される。
【００３６】
以上により、本制御装置のデータ送信動作、データ受信動作が高安全に行われることが可能であり、鉄道保安装置の制御装置としての機能を果たすことができる。
【図面の簡単な説明】
【００３７】
【図１】図１は、本発明による制御装置を用いた鉄道保安システムである。
【図２】図２は、本発明の制御装置である。
【図３】図３は、本発明の制御装置の各ボードの動作フローチャートである。
【図４】図４は、本発明の制御装置の基幹ＬＡＮデータフォーマットである。
【図５】図５は、従来技術である三重系制御装置である。
【図６】図６は、従来技術である二重系制御装置である。
【符号の説明】
【００３８】
１０Ａ    基幹ＬＡＮ
１０Ｂ    支線ＬＡＮ
１０Ｃ    系間ＬＡＮ
１１Ａ    制御装置
１１Ｂ    制御装置
１２    伝送制御装置
１３    伝送制御装置
１４    ＴＤ／ＡＴＣ装置
１５    電子端末
２１Ａ    ＣＰＵボード
２１Ｂ    ＣＰＵボード
２２    ＦＳボード
２３    通信ボード
２４    伝送路
２５Ａ    伝送路
２５Ｂ    伝送路
２６      バス
【図１】
0005025402.tif 000002
【図２】
0005025402.tif 000003
【図３】
0005025402.tif 000004
【図４】
0005025402.tif 000005
【図５】
0005025402.tif 000006
【図６】
0005025402.tif 000007