JP2000010940A

JP2000010940A - 多重系処理装置及び多重系処理装置に接続されたコントローラ及び多重系処理システム

Info

Publication number: JP2000010940A
Application number: JP10172509A
Authority: JP
Inventors: Atsushi Kawabata; 敦川端; Michio Fujiwara; 道雄藤原; Hiroyasu Sato; 博康佐藤; Tei Watabe; 渡部　　悌; Kenji Oguma; 賢司小熊; Yasuyuki Toyoda; 泰之豊田; Hiroshi Sato; 佐藤　　寛
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1998-06-19
Filing date: 1998-06-19
Publication date: 2000-01-14
Anticipated expiration: 2018-06-19
Also published as: KR100414031B1; CN1253765C; EP1104735A4; KR20010053028A; CN1306482A; JP3346283B2; EP1104735A1; WO1999065754A1

Abstract

(57)【要約】【課題】安全性を損なわないという前提のもと、多重系
処理装置とコントローラ間の配線を増やすことなく、大
駅にも対応可能で、かつ、実行時間の短い装置の実現。【解決手段】本発明の多重系処理装置は、それぞれが同
一の入力を受け取って同一の処理を行い、各処理結果を
生成して出力する複数の処理装置により構成され、複数
の処理装置のうち、ある任意の１つの処理装置を主系処
理装置、他の処理装置を従系処理装置とし、主系処理装
置は、複数の従系処理装置及び主系処理装置の処理結果
を収集する収集部と、収集部により収集された処理結果
をコントローラに出力する出力部とにより構成する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数の処理装置に
同一の処理を行わせ、各処理装置による処理結果に基づ
いて、制御対象装置の制御を行う多重系処理装置に係
り、特に鉄道分野において、信号機や転轍機等の高い信
頼性を求められる列車制御のコントローラを制御対象装
置とし、この制御対象装置に対して効率の良いデータ転
送を行う多重系処理装置、及び多重系処理システムに関
する。

【０００２】

【従来の技術】鉄道分野における処理システムは、信号
機や転轍機のコントローラを制御するために、「列車の
位置」，「転てつ機の状態」，「信号機の状態」を受け
取り、その関係により信号機や転轍機を制御している。
これらの機能構成は、（１）列車の位置や転てつ機の向
き等の情報を取り込み、取り込んだ情報の連鎖関係を判
定し、上位装置からの命令に従い、判定結果と命令とに
より、コントローラに対して転てつ機の転換命令や、信
号機の制御命令を出力する処理装置、（２）処理装置の
指令に従い、転てつ機転換、あるいは信号機のランプ点
灯などの電力制御を行うコントローラ、とにより構成さ
れている。

【０００３】信号機の信号の切り替えや、転轍機の切り
替え等を行うコントローラ及びこのコントローラに命令
を出力する処理装置は、故障が即列車事故につながって
しまうため安全性が要求され、そのため高い信頼性が要
求される。また、仮にこれらのシステムに故障が発生し
た場合にも、安全な状態を保って動作を停止するという
「フェールセーフシステム」がこれらのシステムの基本
思想である。フェールセーフな処理装置や信号機等のコ
ントローラを実現するには、多重系構成による処理装置
が用いられる場合が多い。多重系構成された処理装置の
安全性は「複数の計算機が同時に故障し、同じ誤情報を
作成してしまう確率は極めて低い」という考え方に基づ
いている。

【０００４】多重系構成の処理装置からの出力により制
御命令を発行する場合には、多重系構成の処理装置より
出力される複数の出力を１組に絞り込み、かつ、その正
当性を保証する必要が有る。このような考え方に基づく
従来技術としては、文献「岩本他：新しい電子連動装置
と現場機器との情報伝送：第２９回鉄道におけるサイバ
ネティクス利用国内シンポジウム論文集、ｐ．４９９〜
５０３，(１９９２)」（第１の従来技術）に記載されて
いるような、多重系構成された連動論理装置（多重系処
理装置）と、フェールセーフ性が保証されている信号機
コントローラとの間で、安全に情報の伝送を行う技術を
開示している。この従来技術では、まず、多重系構成さ
れた処理装置のうちの１つを主系処理装置とし、この主
系処理装置が、信号機コントローラ及び従系処理装置に
制御命令を出力し、制御命令を受け取った従系処理装置
がこの制御データが正しいかどうかを監視する制御登録
を行い、また、信号機コントローラは受け取った制御命
令を処理装置に送り返し、信号機コントローラから制御
命令の返信を受けた全ての処理装置は、この制御命令の
正当性を検証し、問題がなければ、主系処理装置が、先
に信号機コントローラに送信した制御命令に基づいて、
制御を開始するよう信号機コントローラに指令を出すと
いう制御実行を行っている。この従来技術は、主系処理
装置が作成した制御命令が、確実に信号機コントローラ
に伝送されたことを全ての系が確認した後に、制御が実
行されるので安全性は確保される。尚、この従来例での
多重系処理装置とコントローラ間の配線数は数本であ
る。

【０００５】また、第２の従来技術として、文献「川端
他：故障発生時の継続使用条件を考慮した小型電子連動
装置の開発：電気学会論文誌Ｄ、ｐ．１３４８〜１３５
６，（１９９７）」がある。この従来技術は、多重系構
成された各処理装置が、信号機や転てつ機などに１対１
に対応したビットにより構成されたパラレル回線を介し
て制御命令を出力し、この制御命令を受けた信号機コン
トローラが、データの各ビットに関する多数決を行い、
転てつ機や信号機を制御するという技術を開示してい
る。この技術では、複数の処理装置からの出力の多数決
を採ることにより安全性が確保できるので先に示した２
段階の制御は必要ない。また、この従来例での多重系処
理装置とコントローラ間の配線数は通常数百本である。

【０００６】

【発明が解決しようとする課題】前述した第１の従来技
術では、多重系処理装置からコントローラに制御命令を
送信しても、実際に信号機コントローラを制御する際に
は、前述した制御登録、制御実行の２段階制御となるた
め、実際に信号機等を動かす場合には実行時間が多くか
かってしまう。また、前述した第２の従来技術では、多
重系構成された各処理装置と、信号機コントローラが、
信号機や転てつ機等の制御対象の数だけビット数を持つ
パラレル回線により接続されるため、制御対象が多くな
ると配線が増えてしまうため、その適用箇所は、制御対
象の少ない小駅になってしまう。

【０００７】すなわち、第１の従来技術に示す２段階制
御では、配線数が少ない代わりに処理時間が多くかかっ
てしまい、第２の従来技術に示す信号機コントローラで
多数決を採る方法では、処理時間は短いが配線数が多く
なるという問題がある。

【０００８】本発明の目的は、安全性を損なわないとい
う前提のもと、多重系処理装置とコントローラ間の配線
を増やすことなく、大駅にも対応可能で、かつ、実行時
間の短い装置を実現することにある。

【０００９】

【課題を解決するための手段】このような問題点を解決
するために、本発明の多重系処理装置は、それぞれが同
一の入力を受け取って同一の処理を行い、各処理結果を
生成して出力する複数の処理装置により構成され、複数
の処理装置のうち、ある任意の１つの処理装置を主系処
理装置、他の処理装置を従系処理装置とし、主系処理装
置は、複数の従系処理装置及び主系処理装置の処理結果
を収集する収集部と、収集部により収集された処理結果
をコントローラに出力する出力部とにより構成すること
により解決される。このように主系処理装置にて従系処
理装置の処理結果及び主系処理装置の処理結果をまとめ
てコントローラに出力するため配線数が少なくすること
が可能である。またコントローラ側で、多数決、あるい
は一致を判定する構成であるので、２段階制御に比べて
データ伝送に要する処理時間が短くすることができる。

【００１０】本発明では、多重系を構成する各処理装置
がユニークな符号化鍵を保持しており、データは全てこ
の符号化鍵により符号化されて主系に伝送される。主系
は、自らのデータも自分の符号化鍵で符号化し、従系か
らのデータと一緒にしてまとめて、出力する。データを
受信した処理装置では、全復号化鍵を保持しており、デ
ータをその鍵を用いて復号化し、多数決または、一致処
理を行う。この場合、主系がどのように故障したとして
も、従系符号化鍵が手に入らなければ、従系から受け取
ったデータをもっともらしく改ざんすることは、不可能
となり安全性が確保される。

【００１１】

【発明の実施の形態】以下では、図１を用いて本発明に
よる基本構成について詳細に説明する。

【００１２】図１は、本発明が適用される多重系処理シ
ステムを示したものである。多重系処理装置１００は、
図示しない上位装置から回線１０８を介して、信号機や
転てつ機等を制御するための制御要求を受け取って同一
の処理（演算）を行い、各々処理結果を出力する複数の
処理装置１０１〜１０３により構成される。

【００１３】コントローラ１０７はコントローラ１０７
に接続されている信号機や転てつ機、軌道回路等を実際
に制御するものであり、多重系処理装置１００からの送
信される処理結果を受け取って、受け取った処理結果に
応じて実際に信号機や転てつ機を制御するものである。

【００１４】多重系処理装置１００とコントローラ１０
７とは回線１２１により接続され、データや情報の転送
を行っている。尚、１０に示すようにこの多重系処理装
置１００と回線１２１で接続されたコントローラ１０７
をまとめて多重系処理システム１０としてとらえること
も可能である。また、回線１０８は多重系処理装置１０
０から上位装置に信号機や転てつ機、軌道回路等の各種
センサー情報を送信する役割も有している。

【００１５】次に、多重系処理装置１００を構成する処
理装置１０１〜１０３について処理概要を説明する。

【００１６】処理装置１０１〜１０３は、多重系処理装
置１００を構成する各処理装置であり、各処理装置１０
１〜１０３は機能的に同一の機能を有している。各処理
装置１０１〜１０３は、上位装置から回線１０８を介し
て同一の入力（上位装置からの信号機や転てつ機の制御
要求）受け取り、同一の処理（演算）を行うことにより
処理結果を出力するというものである。

【００１７】本願発明の基本構成の動作について説明す
る。

【００１８】本願発明では、多重系処理装置１００を構
成する複数の処理装置１０１〜103のうち、任意の１つ
を主系処理装置とし、残りの処理装置を従系処理装置と
する。この任意の１つの主系処理装置の選択の仕方は、
オペレータが設定を行うことも可能であり、また、タイ
マー等により時間により主系処理装置の切り替え（選
択）を行うことも可能である。

【００１９】図１では、処理装置１０１が主系処理装置
として選択され、残りの処理装置１０２，１０３が従系
処理装置となった場合の処理について説明する。

【００２０】主系処理装置、従系処理装置を問わず各処
理装置は、上位装置から受け取った制御要求により後述
する同一の処理を処理部１０１２により行い処理結果を
出力する。

【００２１】そして、従系処理装置１０２，１０３は自
処理装置の処理結果を主系処理装置に送る。

【００２２】主系処理装置１０１は、収集部１０１１に
より従系処理装置１０２，１０３から送られてきた処理
結果と自処理装置の処理結果を収集し、出力部１０１３
は、各処理装置からの処理結果を回線１２１を介してコ
ントローラ１０７に出力する。具体的には、多重系処理
装置１００からは、転てつ機転換命令、信号機制御命令
等がだされる。

【００２３】多重系処理装置１００からの出力を受け取
ったコントローラ１０７は、送信されてきた処理結果に
基づいて後に詳述する多数決等の演算により各信号機や
転てつ機等の制御命令を作成し、図示していない信号機
や転てつ機、軌道回路などの現地設備間を接続するパラ
レル回線１２２を介して制御命令を出力する。具体的に
は軌道回路情報等が出力される。このような構成によ
り、コントローラ１０７は多重系処理装置１００に制御
命令発行の確認をとる必要がないため処理時間が短縮す
ることができ、また多重系処理装置１００の主系処理装
置１０１により処理結果がまとめるので回線数も少なく
することができる。

【００２４】尚、各処理装置１０１〜１０３には、互い
に各処理装置が正常に動作しているかを確認しあうため
情報交換を行っており、この情報により各処理装置どう
しはどの処理装置に異常が発生しているかを把握して、
各処理装置からの処理結果に対して正常動作しているか
異常が発生しているかの情報を付加してコントローラに
送信することにより、より精度の高い制御を行うことが
できる。尚、この情報交換による異常判定については、
図６，図７において詳しく説明する。

【００２５】次に、図２，図３を用いて、多重系処理装
置１００の各処理装置が行う処理（演算）について説明
する。

【００２６】多重系処理装置１００の各処理装置はそれ
ぞれコントローラ１０７から回線１２１を経由して、
「列車の位置」，「転てつ機の状態」，「信号の状態」
等の情報を予め受け取っており、これら予め受け取った
情報と、上位装置からの制御要求により実際にコントロ
ーラに制御命令を出力するものである。

【００２７】この処理を具体的に説明すると、多重系処
理装置１００が、上位装置より回線１０８を介して、図
２に示す列車２が１番線に進入するような進路の設定要
求（制御要求）を受け取った場合には、コントローラ１
０７から予め受け取っている情報により、「１番線に列
車が存在しているので、衝突防止のため停止信号が示さ
れる」という処理結果出力される。また、上位装置より
２番線に進行するような進路の設定要求（制御要求）を
受け取った場合には、予め受け取っている情報により、
「２番線に列車は存在していないので、進行許可」との
処理結果が出力される。また、図３では、多重系処理装
置１００が、上位装置により列車２を２番線に進行させ
るような進路の設定要求（制御要求）を受け取った場合
には、予め受け取った情報より、「列車の前方にある転
てつ機が、すでに列車１用に予約されているため、２番
線に進行できず、停止信号」との処理結果が出力される
というものである。

【００２８】図４，図５を用いて、コントローラ１０７
の行う処理内容について説明する。まず、図４を用い
て、多重系処理装置１００を構成する処理装置１０１〜
103の行う処理（演算）のためのデータを、多重系処理
装置１００に送信する処理について説明する。

【００２９】コントローラ１０７は、コントローラ１０
７に配線１２２を介して実際に配置されている信号機や
転てつ機，制御回路等からのデータを配線１２２を介し
て取り込み（ステップ４０１）、取り込んだデータに冗
長符号を付加し（ステップ４０２）、そのデータをコピ
ーして３組のデータを作成する（ステップ４０３）。そ
して、それらの３組のデータを、処理装置１０１〜１０
３に対応した、符号化鍵を用いてそれぞれ符号化し（ス
テップ４０４）、構成情報を付加して、図８（ｃ）の形
式のデータを組み立てて（ステップ４０５）、多重系処
理装置１００の主系処理装置１０１に向けてデータを転
送する。コントローラ１０７側でデータを多重系処理装
置を構成する処理装置分コピーしているのは、多重系処
理装置１００の主系処理装置１０１に送られたデータ
を、主系処理装置１０１が改ざんできないようにするた
めである。

【００３０】次に、多重系処理装置１００の主系処理装
置１０１から送られてきた処理結果をどのように処理す
るかについて図５を使って説明する。

【００３１】多重系処理装置１００から送信されてきた
処理結果を受信し(ステップ５０１)、その処理結果を各
処理装置別に分解する（ステップ５０２）。次に、処理
装置１０１〜１０３に対応した復号化鍵を用いてデータ
を復号化し(ステップ５０３)、各処理結果の冗長符号を
確認する（ステップ５０４）。確認の結果、異常が発見
された処理結果のものは破棄され（ステップ５０５）、
異常が発見されなかった処理結果のものに関しては、以
下の処理が継続される。この処理を通った処理結果は、
各ビットごとの多数決が採られ最終的な制御情報が決定
される（ステップ５０６）。この結果に基づき、コント
ローラ１０７は、コントローラ１０７に接続されている
実際の信号機や転てつ機、制御回路等に制御命令を出力
する（ステップ５０７）。コントローラ１０７から制御
命令を受けた信号機、転てつ機等は、制御命令に基づ
き、信号灯を点灯したり、転てつ機を切り換えたりす
る。

【００３２】次に、前述した各処理装置の相互監視によ
る故障診断の具体例について説明する。

【００３３】本発明では、多重系を構成している全ての
処理装置のデータを一旦主系に集めてから、まとめて送
信しており、さらに、全ての処理装置の動作状況に関す
るデータも同時に送信する。このため、多重系処理装置
から送信されるコントローラは、何組のデータが送られ
てくるのかを把握することができ、多数決、あるいは一
致判定を滞りなく実行することができる。このような構
成では、多重系を構成する各処理装置が個別にデータを
コントローラに転送する構成に比べて、通信が輻輳する
ことなく整然と伝送され、また、動作を停止した処理系
の出力データを受信者側が無用に待ち合わせることもな
い。

【００３４】尚、本明細書で述べている多重系構成の処
理系に関する安全性は、全ての処理系が全く同じ演算を
行っていることをお互いに確認しあうことにより、確保
されている。たとえば、ある接点をＯＮするといった判
断は、多重系構成の処理系が全て平行して行い、その結
果も一致する。このような動作の一致を、入出力デー
タ、あるいは演算途中のデータを互いに交換しあうこと
により確認するものである。

【００３５】ところが、従系処理装置からのデータを集
めてまとめて送信する処理は主系処理装置のみが行う動
作であり、その正当性を保証する手段はない。その結
果、最悪の場合、主系が従系から受け取ったデータを誤
って書き換えてしまい、辻褄のあう、誤情報を作成する
というケースが考えられる。この場合、データを受け取
った処理装置では、多数決、一致判断などの手法では誤
りを検出することができず、誤制御を行うことになる。

【００３６】この問題を解決するには、符号化の技術を
導入する必要がある。符号化処理による情報伝送とは、
受け手と送り手が共通の鍵を持ち、送り手はその鍵で情
報を符号化し、受け手は符号化された情報を、保持して
いる鍵を用いて復号化する方式である。この方式は、符
号化された情報が他に渡っても内容が漏えいしない、と
いう符号化技術本来の特徴があるだけではなく、不正な
データ改ざんが不可能な点が大きな特徴でもある。不正
な改ざんが不可能なため、受け手は、受け取った情報が
正当な物であるならば、その情報の発信者を特定するこ
とが可能となる。この特徴を利用することにより、「従
系処理装置からのデータを集めてまとめて出力する主系
処理装置の処理」の正当性が保証されなくとも、安全性
を確保することが可能となる。

【００３７】以下、詳細に説明する。

【００３８】図６においては、図１で詳述した基本構成
に、故障の判定を行う故障判定装置１０４〜１０６とそ
れに伴う複数の回線が付加された構成となっている。

【００３９】図６において、回線１０９〜１１１は、処
理装置１０１〜１０３が互いに情報交換をして、互いに
各処理装置が正常に動作しているかを確認しあうために
備えられている。処理装置１０１〜１０３は、各処理装
置にデータや情報が入力された直後やデータや情報を出
力する直前等に、互いの入出力データを、回線１０９〜
１１１を介して交換することにより互いに確認してい
る。

【００４０】まず、処理装置１０１〜１０３はそれぞれ
データをやりとりすることに仮の診断結果を出力する。
例えば、処理装置１０１は処理装置１０２，処理装置１
０３からデータ等を受け取り、自分のデータ等と比較す
ることにより、全てのデータが一致する場合には、（処
理装置１０１は正常，処理装置１０２は正常，処理装置
１０３は正常）と、処理装置１０３のデータだけが自分
のデータ等と異なっている場合には（処理装置１０１は
正常、処理装置１０２は正常、処理装置１０３は異常）
と、処理装置１０２のデータだけが自分のデータと異な
っている場合には、（処理装置１０１は正常、処理装置
１０２は異常、処理装置１０３は正常）と、処理装置１
０２と処理装置１０３のデータが両方とも自分のデータ
と異なっている場合には、（処理装置１０１は正常、処
理装置１０２は異常、処理装置１０３は異常）と判断す
る。さらに、回線１０９〜１１１は、コントローラ107
にデータ等を転送する際に、後述する主系処理装置にデ
ータ等を収集したり、各処理装置間の制御用データ、あ
るいは観測データ等の交換にも用いることができる。

【００４１】故障判定装置１０４〜１０６は、処理装置
１０１〜１０３が行った健全性の判断を受け取り、その
情報に基づき、処理装置１０１〜１０３の故障を判定す
る故障判定装置である。

【００４２】ここでは、故障判定装置１０４の動作に関
して詳しく説明する。

【００４３】故障判定装置１０４は、処理装置１０１か
ら健全性判断の情報を受け取り、その情報を故障判定装
置１０５，１０６と互いに交換しあうことにより１０１
の故障を判定する。例えば、処理装置１０１の健全性に
関する判断は、上述したように、｛（処理装置１０１は
正常、処理装置１０２は正常、処理装置１０３は正
常）,（処理装置１０１は正常、処理装置１０２は正
常、処理装置１０３は異常）,（処理装置１０１は正
常、処理装置１０２は異常、処理装置１０３は正常）,
（処理装置１０１は正常、処理装置１０２は異常、処理
装置１０３は異常）｝のいずれかである。故障判定装置
１０４はこの情報を受け取り、処理装置１０２に関する
情報は故障判定装置１０５へ、処理装置１０３に関する
情報は、故障判定装置１０６へ送信する。また、故障判
定装置１０５，故障判定装置１０６からは、処理装置１
０１に関する情報を受けとる。即ち、故障判定装置１０
４は、処理装置１０１が自分で判断した自処理系の判
断、処理装置１０２が下した処理装置１０１に関する判
断、処理装置１０３が下した処理装置１０１に関する判
断の３個の判断結果を受けとる。ここで、２個以上の判
断結果が正常であれば、処理装置１０１は正常、そうで
なければ、処理装置１０１は異常と判断し、その判断結
果を処理装置１０１に送信する。処理装置１０１はその
判断結果に基づき、動作を継続、あるいは停止する。故
障判定装置１０５，１０６も故障判定装置104と同様の
処理を行う。例えば、処理装置１０１が故障を起こした
場合を考える。処理装置１０１は健全性判断で、仮に全
系正常と判断したとする。処理装置102，１０３は正常
であるため、処理装置１０１は故障と判断する。処理装
置１０１〜１０３で得られた各判断結果は、故障判定装
置１０４〜１０６に送られ、そこで次のような論理判断
が行われる。

【００４４】＜故障判定装置１０４の判断＞処理装置１０１に関する処理装置１０１の判断：正常処理装置１０１に関する処理装置１０２の判断：異常処理装置１０１に関する処理装置１０３の判断：異常２個の処理装置が処理装置１０１を異常と判断したた
め、多数決により処理装置１０１は故障と判断。

【００４５】＜故障診断装置１０５の判断＞処理装置１０２に関する処理装置１０１の判断：正常処理装置１０２に関する処理装置１０２の判断：正常処理装置１０２に関する処理装置１０３の判断：正常３個の処理装置が処理装置１０２を正常と判断したた
め、処理装置１０２は正常と判断。

【００４６】＜故障診断装置１０６の判断＞処理装置１０３に関する処理装置１０１の判断：正常処理装置１０３に関する処理装置１０２の判断：正常処理装置１０３に関する処理装置１０３の判断：正常３個の処理装置が処理装置１０３を正常と判断したた
め、処理装置１０３は正常と判断。

【００４７】回線１１５，１１７，１１９は処理装置１
０１〜１０３が下した、各処理装置の健全性判断に関す
る情報を故障診断装置１０４〜１０６に伝送するための
伝送路である。

【００４８】回線１１６，１１８，１２０は故障診断装
置１０４〜１０６が下した、各処理装置の故障判断に関
する情報を処理装置１０１〜１０３に伝送するための伝
送路である。

【００４９】回線１１２〜１１４は、処理装置１０１〜
１０３が下した各処理装置の健全性判断に関する情報を
故障判定装置１０４〜１０６経由で交換するための通信
回線である。

【００５０】回線１２１は、多重系処理装置１００が作
成した、転てつ機や信号機の制御命令をコントローラ１
０７に伝送したり、コントローラ１０７の情報を多重系
処理装置１００に伝送するための通信回線である。

【００５１】次に、図７を用いて、故障判定装置１０４
〜１０６の内部構成について説明する。

【００５２】図７において、健全性判断判定回路１０４
１は、処理装置１０１の健全性判断に関する情報を、処
理装置１０１〜１０３の各処理装置に応じて分割するた
めのものである。

【００５３】配線１０４４，１１２１，１１４１は、そ
れぞれ、処理装置１０１，１０２，１０３に関する健全
性判断の結果が伝送される配線であり、健全と判断した
場合にはＯＮ信号、不健全と判断した場合には、ＯＦＦ
信号が流れる。これらの信号は、処理装置１０１が判断
した結果に基づいて決定される。

【００５４】配線１１２２，１１４２は、両方とも、１
０１に関する健全性判断の結果が伝送される配線であ
り、健全と判断した場合にはＯＮ信号、不健全と判断し
た場合には、ＯＦＦ信号が流れる。配線１１２２を流れ
る信号は、処理装置１０２が判断した結果に基づいて決
定され、配線１１４２を流れる信号は、処理装置１０３
が判断した結果に基づいて決定される。配線１１２１，
１１２２は、図６において１１２と示されていたもので
ある。図７では、送りと受けを区別して表現したため、
１１２が情報送りだし用の１１２１，情報受け取り用の
１１２２に分けて表現されている。同様に、配線１１４
１，１１４２は、図４において１１４と示されていたも
のであるが、送りと受けを区別するために、１１４１，
１１４２に分けて表現されている。

【００５５】配線１０４２は、配線１１２２，１１４２
から信号を受け取り、論理和演算を行う回路である。本
回路により、１０２，１０３のいずれか、あるいは両方
が、「１０１は健全である」と判断した場合に、ＯＮ出
力が生成される。

【００５６】１０４３は、１０４２の出力を１０４５に
伝える配線であり、１０１に関する１０２，１０３の健
全性判断に基づく情報が流れる。

【００５７】１０４５は、１０４１，１０４２から信号
を受け取り、論理積演算を行う回路である。１０４１
は、１０１が下した１０１自身に関する健全性判断の結
果を、１０４２は、１０２，１０３が下した１０１に関
する健全性判断の結果を出力する。１０４５の出力は、
１０１自身が１０１が健全であると判断し、かつ、10
2，１０３のいずれか、あるいは両方が１０１が健全で
あると判断した場合に限り、ＯＮとなり、それ以外で
は、ＯＦＦとなる。１０４〜１０６の機能により、処理
装置１０１〜１０３の判断の多数決が採られ、１０１〜
１０３の故障判定が実行される。

【００５８】処理装置１０１〜１０３の中で、故障無し
と判定された処理装置が主系となり、他の系は従系とな
る。少なくとも１個の従系が確保されるかぎり、１００
は動作を継続する。即ち、１０１〜１０３動作中に、１
個が故障を起こしたとしても、残りの２個のどちらかが
主系、残りが従系となり、動作を継続するが、２個が故
障した場合には、１００は動作を停止する。尚、３個の
系で動作中に、主系が故障を起こした場合には、それま
で従系として動作していた処理装置を新たに主系に割り
付けて、動作を継続する。

【００５９】処理装置１０１〜１０３の上で動作する多
重系処理装置のソフトウェアは、転てつ機や信号機を制
御するためのデータを、図８（ａ）に示す形式で生成す
る。一般的に、転てつ機は２方向（定位方向，反位方
向）に転換するが、データでは、各転てつ機の各方向に
対応したビット列情報を生成する。信号機に関しても、
赤，黄，青等の電球に対応した情報を各信号機に対応し
たビット列情報の形で生成する。各情報の意味は、制御
を実行するときにon、実行しないときにoff となる。１
０１〜１０３では、図８（ａ）のデータに、冗長符合を
付加して、図８（ｂ）に示す形式のデータを作成する。
冗長符合としては、パリティー符合、ＣＲＣ符合等を用
いることが可能である。さらに、１０１〜１０３では、
図８（ｂ）のデータに、それぞれの連動論理装置が個別
に持っている符合化鍵を用いて、図８（ｃ）に示す形式
のデータを生成する。符合化の方式としては、暗号方式
として著名なＤＥＳ符合等を用いることが可能である
が、ここでは、あらかじめ用意してある、十分なビット
長のあるマスクデータを用いて、ビット毎の排他的論理
和演算を行う符号化方式を示している。

【００６０】処理装置１０１〜１０３で生成した、図８
（ｃ）形式のデータを配線１０９〜１１１を介して一
旦、主系に集める。例えば、処理装置１０１が主系処理
装置であった場合には、処理装置１０２，１０３で生成
した、図８（ｃ）形式のデータを主系処理装置１０１に
集める。

【００６１】主系処理装置１０１は、集まった各処理結
果を用いて、図９に示す形式のデータを作成する。図９
において、３個のデータフィールドは、処理装置１０１
〜１０３が処理（演算）した図８（ｃ）の形式のデータ
をそのまま埋め込んだ物である。構成情報は、処理装置
１０１〜１０３の動作状況に関する情報が含まれてい
る。例えば、処理装置１０１が故障，処理装置１０２，
１０３が動作中であれば、１０１故障，１０２動作，１
０３動作という情報が格納される場所である。このれい
では、構成情報をまとめているが、各処理結果毎に、各
処理装置の動作状態を示す情報を加えるようにしてもよ
い。

【００６２】図９形式のデータは、主系処理装置１０１
から回線１２１を介してコントローラ１０７に伝送され
る。

【００６３】逆に、コントローラ１０７からのデータを
受け取る場合には、次のようになる。

【００６４】主系処理装置１０１は、コントローラ１０
７から回線１２１を介して図１０に示す形式のデータを
受け取る。図９の各データフィールドの形式は図８
（ｃ）の形式である。

【００６５】次に、主系処理装置１０１は、図９形式デ
ータの構成情報に従って、動作中の処理装置に関しての
み、データフィールドの各データを回線１０９〜１１１
を介してぞれぞれの処理装置に伝送する。

【００６６】処理装置１０１〜１０３は回線１０９〜１
１１を介して受け取った図８（ｃ）形式のデータを、そ
れぞれの連動論理装置が個別に持っている復号化鍵を用
いて、図８（ｂ）に示す形式のデータを生成する。ここ
で、冗長符号の確認を行い、異常が発見された場合に
は、該当電文を破棄し、異常が発見されなかった場合に
は、冗長符号を取り除いて、図８形式のデータを生成す
る。図８形式のデータでは、転てつ機や信号機の各情報
に対応したビット列に加えて、軌道回路の状態に関する
情報もビット列の形で加える。

【００６７】図１１〜１４を用いて多重系処理装置１０
０を構成する主系処理装置及び従系処理装置の処理内容
について説明する。図１１において、多重系処理装置を
構成する各処理装置が処理（演算）を行うためのデータ
をコントローラ１０７から主系処理装置１０１が受け取
ってから上位装置から制御要求が来るまでの主系処理装
置の処理動作を示している。

【００６８】主系処理装置１０１はコントローラ１０７
から、図８（ｃ）形式のデータを受け取り（ステップ１
１０１）、その後、データに含まれる構成情報に基づい
て主系処理装置分と、各従系処理装置分のデータに分解
し（ステップ１１０２）、従系処理装置分のデータにつ
いては、各従系処理装置に伝送する（ステップ1103）。
その後主系処理装置分のデータに対して、自処理装置独
自の復号化鍵を用いてデータを復号化し（ステップ１１
０４）、付加されている冗長符号を確認することにより
情報の正当性を確認する（ステップ１１０５）。情報が
正当でないと判断された場合にはそのデータを破棄し
（ステップ１１０６）、データが正当であると判断され
れば、上位装置からの制御要求を待つ。

【００６９】図１２は、主系処理装置から自従系処理装
置に送られてきたデータに対する処理を示す図である。

【００７０】各従系処理装置１０２，１０３は、主系処
理装置１０１からデータを受け取り（ステップ１２０
１）、各従系処理装置独自に保持する復号化鍵を用いて
受け取ったデータを復号化し（ステップ１２０２）、付
加されている冗長符号を確認することでデータの正当性
を判断する（ステップ１２０３）。データが正当でない
と判断されるとそのデータを破棄し（ステップ１２０
４）、データが正当であると判断されると上位装置から
の制御要求を待つ。

【００７１】次に、図１３，図１４のフローにより、上
位装置から多重系処理装置１００へ制御要求が入力され
た場合の、主系処理装置１０１，従系処理装置１０２，
103の処理について説明する。

【００７２】図１３は、従系処理装置における上位装置
から制御要求を受け取ってから主系処理装置へ処理結果
を送信するまでの処理フローを示す。

【００７３】従系処理装置は、上位装置から制御要求を
受け取ると、図２，図３により説明したような各制御要
求に対して処理（演算）を行う（ステップ１３０１）。
この処理結果に冗長符号を付加し（ステップ１３０
２）、各処理装置独自に保有する符号化鍵を用いてデー
タを符号化し（ステップ１３０３）、符号化した処理結
果のデータを主系処理装置に送信する（ステップ１３０
４）。

【００７４】図１４は、主系処理装置における上位装置
から制御要求を受け取ってからコントローラ１０７へ処
理結果を送信するまでの処理フローを示す。

【００７５】主系処理装置は、従系処理装置と同様に上
位装置から制御要求を受け取ると、図２，図３により説
明したような各制御要求に対して処理（演算）を行う
（ステップ１４０１）。この処理結果に冗長符号を付加
し（ステップ１４０２）、各処理装置独自に保有する符
号化鍵を用いてデータを符号化する(ステップ１４０
３)。主系処理装置は自処理装置の処理結果を出力する
と、各従系処理装置から送信されてきた符号化された処
理結果を受け取り（ステップ１４０４）、上位装置の制
御要求に対する各処理装置の処理結果をまとめて組立て
（ステップ１４０５）、まとめた処理結果をコントロー
ラ１０７に伝送する（ステップ１４０７）。

【００７６】このような３重系以上の多重系構成の処理
装置では、１個の系が故障しても、残りの系で動作継続
が可能である場合が多いが、たとえば、３重系構成の処
理装置で単系故障により、２重系構成となっても、２重
系出力の一致を判定すれば、安全を損なうことなく動作
継続が可能となる。

【００７７】以上の説明では、多重系処理装置１０７が
３重系にて構成されている例について説明したが、４系
以上の多重系構成においても適用できる。また、２重系
構成の場合にも、多数決同数の場合には、主系処理装置
の処理結果を優先させる等の優先度を付加することによ
り適用できる。

【００７８】また、多重系処理装置を構成する各処理装
置間のデータ伝送と、多重系処理装置とコントローラの
データ伝送については、改ざん防止のため各データを符
号化して伝送する例について説明したが、改ざんの危険
性が無い場合などは、必要に応じて符号化を行わずにそ
のまま処理結果等を伝送することも考えられる。

【００７９】また、コントローラ１０７では、多数決演
算を行っているが、全てのデータが一致した場合のみに
有効な制御を行うような一致演算にすることも可能であ
る。

【００８０】

【発明の効果】本発明を用いると、多重系処理装置と、
コントローラ間の通信において、安全性を損なわないと
いう前提のもと、次に示すような効果が得られる。

【００８１】多重系処理装置により処理された処理結果
をコントローラにより判断して制御命令を生成するの
で、実行時間を短縮することができる。また、多重系処
理装置とコントローラ間の配線が少なく、制御点数が多
くなっても、配線の量に変化がないので、大駅にも対応
可能である。

【図面の簡単な説明】

【図１】本発明による多重系処理装置の基本構成を示す
図である。

【図２】多重系処理装置を構成する各処理装置の処理
（演算）内容を説明するための図である。

【図３】多重系処理装置を構成する各処理装置の処理
（演算）内容を説明するための図である。

【図４】本発明によるコントローラの処理手順を示す図
である。

【図５】本発明によるコントローラの処理手順を示す図
である。

【図６】本発明による多重系処理装置を詳細に説明する
ための図である。

【図７】本発明による故障診断装置の具体的構成を示す
図である。

【図８】本発明による多重系処理装置とコントローラ間
でやり取りされるデータの形式である。

【図９】本発明による多重系処理装置からコントローラ
へ送信するデータ構成である。

【図１０】本発明で用いる表示データの形式である。

【図１１】本発明による主系処理装置の処理フローを示
す図である。

【図１２】本発明による従系処理装置の処理フローを示
す図である。

【図１３】本発明による従系処理装置の処理フローを示
す図である。

【図１４】本発明による主系処理装置の処理フローを示
す図である。

【符号の説明】

１０…多重系処理システム、１００…多重系処理装置、
１０１〜１０３…処理装置、１０７…コントローラ、１
０８…上位装置へ繋がる回線、１２１…多重系処理装置
とコントローラを接続する回線、１２２…信号機等へ繋
がる配線。

───────────────────────────────────────────────────── フロントページの続き (72)発明者佐藤博康茨城県ひたちなか市市毛1070番地株式会社日立製作所水戸工場内 (72)発明者渡部悌茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内 (72)発明者小熊賢司茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内 (72)発明者豊田泰之茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内 (72)発明者佐藤寛茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内Ｆターム(参考） 5B045 AA00 BB31 JJ03 JJ22

Claims

【特許請求の範囲】

【請求項１】それぞれが同一の入力を受け取って同一の
処理を行い、各処理結果を生成して出力する複数の処理
装置により構成される多重系処理装置において、前記複数の処理装置のうち、ある任意の１つの処理装置
を主系処理装置、他の処理装置を従系処理装置とし、前記主系処理装置は、前記従系処理装置及び前記主系処
理装置の処理結果を収集する収集部と、該収集部により
収集された処理結果を出力する出力部とから構成された
多重系処理装置。
【請求項２】前記出力部は、前記収集部により前記複数
の処理装置からの処理結果が収集されると、該処理結果
をまとめて出力する構成である請求項１記載の多重系処
理装置。
【請求項３】前記収集部は、前記複数の処理装置のう
ち、正常動作している処理装置の処理結果が収集される
と、該処理結果をまとめて出力する請求項２記載の多重
系処理装置。
【請求項４】前記出力部は、前記処理結果を出力する
際、前記複数の処理装置の動作状態を付加して出力する
請求項１，２又は３記載の多重系処理装置。
【請求項５】前記従系処理装置は、それぞれ自処理装置
の出力結果を各々の処理装置が保持している独自の符合
化鍵により符合化した後に前記主系処理装置出力し、前記主系処理装置は、自処理装置の保持している独自の
符合化鍵により符号化し、前記複数の従系処理装置から
収集した符号化された処理結果に、前記主系処理装置の
符号化された処理結果をまとめてから出力する請求項
１，２，３又は４記載の多重系処理装置。
【請求項６】多重系処理装置に接続されたコントローラ
であって、該多重系処理装置から該多重系処理装置を構成する処理
装置からの処理結果がまとめて送信されてきた場合、受
信した複数の処理結果の多数決、あるいは一致を判定し
て制御命令を出力するコントローラ。
【請求項７】前記多重系処理装置から送信された処理結
果が符号化されていた場合、前記多重系処理装置を構成
する処理装置それぞれに対応した復号化鍵を用いて、受
信した各処理結果を復号化し、その後に、データ間の多
数決、あるいは一致を判定して制御命令を出力する請求
項６記載のコントローラ。
【請求項８】それぞれが同一の入力を受け取って同一の
処理を行い、各処理結果を生成して出力する複数の処理
装置により構成される多重系処理装置と該多重系処理装
置に接続されたコントローラによって構成される多重系
処理システムにおいて、前記多重系処理装置を構成する前記複数の処理装置のう
ち、ある任意の１つの処理装置を主系処理装置、他の処
理装置を従系処理装置とし、前記主系処理装置は、前記
従系処理装置及び前記主系処理装置の処理結果を収集す
る収集部と、該収集部により収集された処理結果を出力
する出力部とから構成された多重系処理装置と、該多重系処理装置の該多重系処理装置を構成する処理装
置からの処理結果がまとめて送信されてきた場合、受信
した複数の処理結果の多数決、あるいは一致を判定して
制御命令を出力するコントローラとからなる多重系処理
システム。
【請求項９】前記多重系処理装置を構成する各処理装置
は、該各処理装置独自に自処理結果を符号化する符号化
鍵を保持し、該符号化鍵により符号化した処理結果を前
記コントローラに出力し、前記コントローラは、前記多重系処理装置を構成する各
処理装置独自に保持している符号化鍵に対応する復号化
鍵を保持し、前記多重系処理装置から受け取った各処理
結果に対して対応する復号化鍵を用いて複合化する請求
項８記載の多重系処理システム。