JP2000039902A - フェールセーフコントローラ - Google Patents

Abstract

(57)【要約】 【課題】 フェールセーフコントローラにおいて、演算
処理プログラムの作成・変更を容易にし、システムの生
産性向上を図る。 【解決手段】 フェールセーフコントローラ１には、制
御演算部１０と出力部１１とが設けられている。制御演
算部１０は制御対象の状態入力３を取り込んで演算処理
を行うとともに、その演算処理結果を演算出力１２とし
て出力する。出力部１１は、タイマ１１０、交番信号出
力部１１１及び出力監視部１１２を有し、制御演算部１
０からの演算出力１２をタイマ割込み１１３により、制
御演算部１０での演算処理とは非同期で交番信号に変換
するとともに、交番信号出力部１１１からの出力信号１
１４を監視して制御出力２の出力／停止を制御する。ま
た、制御演算部１０からは制御周期開始トリガ１３が出
力され、交番信号出力部１１１と出力監視部１１２にそ
れぞれ入力されている。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はフェールセーフコン
トローラに係り、特に、制御対象を制御するための制御
出力として、交番信号を用いたフェールセーフコントロ
ーラに関する。

【０００２】

【従来の技術】信号機や踏切の制御装置においては、制
御装置の故障が発生してシステムを停止せざるを得ない
場合に、システムとして安全な状態で（例えば信号機を
赤にする、踏切を閉じた状態にする）停止させる必要が
ある。

【０００３】システムの安全性を高めるための手法とし
て、鉄道分野のように制御周期の長い制御システムでは
制御出力として交番信号（交流信号のようなもの）を用
いる手法がある。以下、この手法について図９を用いて
説明する。

【０００４】フェールセーフコントローラ１は、制御対
象６の状態を入力３として取り込み、制御演算処理を実
行する。フェールセーフコントローラ１は、演算処理の
結果を一定周期の交番信号または固定値信号に変換して
制御出力２として出力する。制御出力２は整流回路４に
入力され、整流回路４は、一定周期の交番信号が入力さ
れたときのみ論理値１を出力し、それ以外の信号が入力
された場合には論理値０を出力する。制御対象６は、整
流回路４の出力が論理値０のときに安全な状態に駆動さ
れ、整流回路４の出力が論理値１のときに危険が伴う状
態に駆動される。したがって、コントローラ１の出力２
は、交番信号であるときに危険側出力と定義され、固定
値信号であるときに安全側出力と定義される。

【０００５】コントローラ１に異常が発生した場合、制
御出力２としては論理値１または論理値０として固定さ
れることが多いが、固定値信号は安全側出力とみなされ
るので、制御対象６が危険側に駆動されることはなく、
システムを安全な状態に保つことができる。

【０００６】この交番信号を生成する方法としては、図
１０に示すように、制御演算処理プログラム中に、交番
信号周期毎に交番信号を生成する交番出力処理ルーチン
を埋め込む手法がある（これは、通常、シングルスレッ
ド構造と呼ばれている）。交番出力処理は、その制御周
期の間の出力が危険側出力であるならば、出力の値の反
転出力（１の場合に０に、０の場合に１にする）を繰り
返し、制御周期の間の出力が安全側であるならば、出力
の値を制御周期の間一定にする。システムに異常が発生
し、制御演算処理が停止すると、交番出力処理も同時に
停止し、出力は固定値となり安全側出力が出続けるの
で、システムの安全性は保たれる。

【０００７】

【発明が解決しようとする課題】しかしながら、図１０
に示した手法では、制御演算処理プログラムを作成した
後に、交番信号周期毎にプログラムを分割し、交番出力
処理ルーチンを埋め込む必要がある。またプログラムの
変更をする場合において、交番信号周期がずれないよう
に、再度プログラムの分割を行う必要が生じる。

【０００８】このように従来の技術では、制御周期や制
御演算処理内容の一部の変更であっても、プログラム分
割が必要となるため、プログラムの生産効率が非常に悪
くなってしまう。また、交番信号の周期は、制御演算周
期に比べ十分小さいことが要求されるため、制御演算処
理に交番出力処理を埋め込むためには、多大な労力が必
要とされる。

【０００９】また、フェールセーフコントローラにおい
ても低価格化の要求が高まっており、開発費や開発期間
の削減が重要である。このため、システムの共通化が必
須となっている。共通化を実現するためには、各応用へ
の展開が容易に可能となるようなシステム構成が必要で
ある。そのためにも、交番信号出力処理を容易にする方
法が望まれている。

【００１０】本発明の目的は、演算処理プログラムの作
成・変更を容易に行うことができ、システムの生産性向
上を図ることが可能なフェールセーフコントローラを提
供することである。

【００１１】

【課題を解決するための手段】上記目的を達成するため
に、請求項１に記載の発明は、制御対象の状態入力を取
り込んで演算処理を行い、その演算処理結果を交番信号
に変換するとともに、その交番信号に基づいてシステム
を安全側に制御するフェールセーフコントローラにおい
て、前記状態入力を取り込んで演算処理を行うととも
に、その演算処理結果を出力する制御演算部と、前記制
御演算部から出力された演算処理結果を該制御演算部で
の演算処理とは非同期で交番信号に変換し、その交番信
号を前記制御対象を制御するための制御出力として出力
するとともに、前記交番信号を監視して、前記制御演算
部に異常が発生していることが分かったときは交番信号
の出力を抑止する出力部とを備えたことを特徴としてい
る。

【００１２】上記構成によれば、交番信号の出力処理を
行う出力部が制御演算部から分離されるため、制御演算
部は交番信号の出力処理を意識することなく演算処理プ
ログラムの作成・変更を容易に行うことができ、演算処
理系の生産性が向上する。

【００１３】上記構成のように制御演算部から出力部を
分離すると、制御演算部で異常が発生し、交番信号を発
生させる指令が制御演算部から出力部に対して出続けた
場合、フェールセーフコントローラは危険側出力を出力
し続ける可能性がある。ところが、請求項１に記載の発
明では、出力部が交番信号を監視して、制御演算部に異
常が発生していることが分かったときは交番信号の出力
を抑止するので、システムの安全性を保つことができ
る。

【００１４】交番信号の出力処理のタイミングを合わせ
るために、前記制御演算部は、請求項２のように、前記
出力部に対して、交番信号に変換する処理の開始を指示
する信号を送るように構成されている。

【００１５】また、前記出力部には、請求項３のよう
に、交番信号の周期を設定するタイマが設けられてい
る。

【００１６】交番信号を監視して交番信号の出力を抑止
するには請求項４のように構成することができる。すな
わち、請求項４に記載の発明は、前記出力部が、変換し
た交番信号の交番回数を計測する計測手段と、交番回数
の上限値を設定する上限値設定手段と、前記計測手段で
計測した交番回数が前記上限値設定手段で設定された交
番回数の上限値に達したときに、前記制御出力の出力を
停止する出力制御手段とを有することを特徴としてい
る。

【００１７】なお、前記上限値設定手段は、請求項５の
ように、設定した交番回数の上限値を変更できるよう構
成されている。また前記出力制御手段は、請求項６のよ
うに、前記計測手段で計測した交番回数が前記上限値設
定手段で設定された交番回数の上限値に達したとき、そ
の旨を外部に通達するように構成されている。

【００１８】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を参照しながら説明する。図１は本発明に係るフ
ェールセーフコントローラの全体構成を示している。図
において、フェールセーフコントローラ１は制御対象の
状態入力３を取り込んで制御演算処理を実行し、その演
算処理結果を交番信号または固定値信号に変換して制御
出力２として出力する。このようなフェールセーフコン
トローラ１は、例えば踏切制御システムでは、踏切への
列車の接近を踏切制御装置に通達する踏切制御子や、踏
切装置に故障が発生した場合に踏切故障を通達する踏切
故障検出器などの入力装置からの入力情報に合わせて、
列車の接近・通過を光と音で警報する踏切警報機や、道
路の通行を遮断する踏切遮断機等を制御するために設置
される。

【００１９】フェールセーフコントローラ１は、制御演
算部１０と出力部１１とから構成されている。制御演算
部１０は制御演算処理を実行して演算出力１２を出力す
るとともに、制御周期のはじめに、制御周期開始トリガ
１３としてパルス信号を出力し、出力部２に制御周期の
開始を通達する。制御周期開始トリガ１３は、出力部１
１内の交番信号出力部１１１と出力監視部１１２にそれ
ぞれ入力される。

【００２０】出力部１１は、交番信号の周期を設定する
タイマ１１０と、演算出力１２を基に交番信号を生成す
る交番信号出力部１１１と、交番信号出力部１１１から
の交番出力１１４を監視して制御出力２の出力／停止を
制御する出力監視部１１２とから構成されている。

【００２１】タイマ１１０は、交番信号の周期毎にタイ
マ割込み１１３を出力する。従来のシングルスレッド構
造では、制御演算部の処理の流れにより交番信号周期を
管理しているため、制御演算部と交番出力処理部を独立
に動作させることができなかった。本実施の形態では、
交番信号の周期はタイマ１１０により管理されるため、
出力部１１は、タイマ割込み１１３により、制御演算部
１０での演算処理とは非同期に交番信号を出力すること
が可能となる。

【００２２】交番信号出力部１１１は、演算出力１２の
値を制御周期開始トリガ１３が入力される毎に取り込
む。また交番信号出力部１１１は、タイマ割込み１１３
が入力される毎に、取り込んだ演算結果が論理値１の場
合には、タイマ割込み１１３が入力される以前の出力の
値を反転し（１を０に、０を１にする）、論理値０の場
合には、タイマ割込み１１３が入力される以前の出力の
値を維持して、交番出力１１４として出力する。

【００２３】出力監視部１１２は、制御周期開始トリガ
１３により交番出力１１４の観測を開始し、実際に制御
対象に渡される制御出力２の出力を制御する。

【００２４】制御演算部１０は、出力部１１に対して演
算出力１２と制御周期開始トリガ１３を受け渡すだけ
で、出力部１１からの干渉は受けない。また、出力部１
１は、タイマ１１０からのタイマ割込み１１３により交
番信号生成処理を実行する。このため、制御演算部１０
は、出力の信号変換を意識する必要はなくなり、制御演
算部１０と出力部１１とを非同期に動作させることがで
きる。

【００２５】図２は、図１に示した制御演算部１０及び
出力部１１の動作のタイムチャートである。制御演算部
１０は、制御周期のはじめに制御周期開始トリガ１３を
出力する。次に、制御演算を行うために、制御対象の状
態入力３を取り込む。取り込んだ値を基にして制御演算
が実行され、演算が終了すると演算出力１２を出力す
る。次の制御周期に遷移する時には、制御周期開始トリ
ガ１３が出力され、以降では同様の処理が繰り返され
る。

【００２６】出力部１１は、制御周期開始トリガ１３が
入力されると、前制御周期の演算出力１２を取り込む。
そして、出力部１１は、タイマ割込み１１３によって、
取り込んだ演算結果の値を交番信号に変換する処理が起
動される。このように、同一の制御周期の間は、制御演
算部１０と出力部１１は互いに干渉することなく、それ
ぞれ独立に動作する。

【００２７】図３は、図１に示した交番信号出力部１１
１の構成図である。交番信号出力部１１１は、図３に示
すように、演算出力１２の値を保持するレジスタ１１１
０と、交番信号を生成して交番出力１１１４を出力する
交番出力生成部１１１１と、出力された交番出力１１１
４を保持する出力レジスタ１１１２とから構成されてい
る。

【００２８】レジスタ１１１０は、制御周期開始トリガ
１３が入力されたときに、演算出力１２の値を取り込
む。そしてレジスタ１１１０は、取り込んだ演算出力１
２の値を、再度、制御周期開始トリガ１３が入力される
まで保持する。すなわち、一つの制御周期の間は、レジ
スタ１１１０の値は変化せず、次の制御周期へ遷移する
場合においてのみレジスタ１１１０の値が変化する。出
力レジスタ１１１２は、出力レジスタ１１１２への交番
出力１１１４が変化するまで交番出力１１４の値を保持
する。

【００２９】交番出力生成部１１１１は、タイマ割込み
１１３により動作が起動する。以下図４のフローチャー
トを参照して交番出力生成部１１１１の動作を説明す
る。交番出力生成部１１１１は、ステップ１１１１０に
おいて、レジスタ１１１０からの出力１１１３の値が論
理値１か、または論理値０かを判断する。論理値１であ
る場合には、ステップ１１１１１において、出力レジス
タ１１１２に保持されている値を反転（論理値１のとき
論理値０に、論理値０のとき論理値１に）する。論理値
０である場合には、出力レジスタ１１１２に保持されて
いる値を変化させず、出力レジスタ１１１２へ入力す
る。以上の処理が実行された後、割り込み処理が終了す
る。このようにして、交番出力生成部１１１１は、レジ
スタに保持された演算結果を交番信号または固定値信号
に変換することができる。

【００３０】出力レジスタ１１１２への入力値の変化
は、タイマ割り込み１１３により交番出力生成部１１１
１の動作が起動したときであるので、交番出力１１４の
信号周期は、タイマ割り込み１１３の発生間隔により決
定される。

【００３１】図５は、図１に示した出力監視部１１２の
構成図である。出力監視部１１２は、交番出力１１４の
交番回数を計測するカウンタ１１２１と、予め設定され
た交番回数の上限値１１２４を保持する設定レジスタ１
１２０と、カウンタ１１２１からの値１１２５と予め設
定されたカウンタ上限値１１２４とを比較する大小比較
器１１２２と、交番信号の出力／停止を制御する出力制
御部１１２３とから構成されている。なお、ここでは、
カウンタ１１２１は計測手段を、設定レジスタ１１２０
は上限値設定手段を、大小比較器１１２２と出力制御部
１１２３は出力制御手段をそれぞれ構成している。

【００３２】カウンタ１１２１は、交番出力１１４が出
力されている場合に、交番出力１１４の立ち上がりを見
て、交番信号の出力回数を計測する。カウンタ１１２１
は、制御周期開始トリガ１３が１パルス入力されると値
がリセットされる。大小比較器１１２２は、カウンタ１
１２１からの値１１２５が、設定レジスタ１１２０から
の上限値１１２４よりも大きくなった場合に、出力停止
信号１１２６を論理値１として出力する。

【００３３】出力停止信号１１２６は出力制御部１１に
入力され、出力制御部１１は、出力停止信号１１２６が
論理値１となると、制御出力２として交番信号が出力さ
れることを抑止する。このとき、カウンタ１１２１は計
測動作を継続しており、カウンタ１１２１からの値１１
２５はカウンタ上限値１１２４よりも大きい状態を維持
し続ける。このため、大小比較器１１２２は出力停止信
号１１２６を論理値１として出力し続け、これによっ
て、制御出力２は固定値を、すなわち安全側出力として
出力され続ける。

【００３４】カウンタ１１２１からの値１１２５がカウ
ンタ上限値１１２４よりも大きくなるのは、制御周期以
上の時間が経過しても制御周期開始トリガ１３からパル
ス信号が出力されず、カウンタ１１２１がリセットされ
ない状態である。この状態を、制御演算部１０に異常が
発生した状態と見なすことにより、システムの安全性を
確保することができる。

【００３５】ここで、カウンタ上限値１１２４が小さい
と、制御周期の途中でカウンタ１１２１の値１１２５が
カウンタ上限値１１２４より大きくなり、システムに異
常がないにも関わらず出力が停止される可能性がある。
そこで、制御周期をＴｃ、交番信号周期をＴｘとし、カ
ウンタ上限値をＮｒとすると、 Ｎｒ＞（Ｔｃ／Ｔｘ） の条件を満たすようにＮｒを設定することにより、制御
周期の間の交番信号出力が保証される。

【００３６】また、出力停止信号１１２６を、外部に送
信することにより、出力監視部１１２で検出した異常を
上位の制御装置に通達したり、システムの電源を遮断し
たりするように構成することも可能である。

【００３７】図６は、図５に示したカウンタ１１２１の
動作と、出力に関する各信号を時系列で表したタイムチ
ャートである。図６において、Ｔ１のタイミングで制御
周期開始トリガ１３の立ち下がりを見て、カウンタ１１
２１の値がリセットされる。Ｔ１で演算出力１４の値が
１であるので、交番出力１１４は交番信号が出力され
る。カウンタ１１２１は、交番出力１１４の交番回数を
計測する。Ｔ２のタイミングまでに、カウンタの値は設
定値に達しないため、Ｔ２まで制御出力２は交番信号を
出力し続ける。

【００３８】Ｔ２で制御周期開始トリガ１３の立ち下が
りを検出すると、カウンタ１１２１の値は再びリセット
される。Ｔ２で演算出力１４の値が０であるので、交番
出力１１４は固定した値（図では０固定）が出力され
る。カウンタ１１２１は、交番出力１１４の信号変化が
ないために計測を行わず、カウンタ１１２１の値は増加
しない。

【００３９】次に、Ｔ３のタイミングからＴ１のタイミ
ングと同様にカウンタ１１２１の値の増加が開始する
が、ここで制御演算部１０において異常が発生し、演算
処理が停止すると、制御周期が経過しても制御周期開始
トリガ１３が現れず、カウンタ１１２１が計測を続け
る。

【００４０】そして、Ｔ４のタイミングでカウンタ１１
２１からの値１１２５が設定値１１２４よりも大きくな
ると、Ｔ４以降は出力停止信号１１２６に論理値１が出
力される。制御出力２は、Ｔ４まで交番信号を出力して
いるが、出力停止信号１１２６によりＴ４以降の制御出
力２は論理値０を出力し続け、システムは安全側に保た
れる。

【００４１】最も単純な応用例としては、システム自身
の健全性を交番信号で出力する事が考えられる。この場
合は、特別な制御演算は必要なく、演算出力１４は常に
論理値１であり、制御演算部１０は制御周期毎に制御周
期開始トリガ１３としてパルス信号を出力するだけでよ
い。これにより交番出力部１１は交番信号を出力し続け
る。システムに異常が発生し、制御演算部１０の処理が
停止すると、制御周期開始トリガ１３が出力されなくな
るため、出力監視部１１２により交番信号出力が抑止さ
れる。したがって、交番信号の出力の有無で、システム
の健全性を知ることができる。

【００４２】以上の説明では本発明をハードウェア的に
実施した例を示したが、図７のように各構成要素をソフ
トウェアとして実現することも可能である。この場合、
アプリケーションプログラム７０の一部に制御演算部７
００を、ＯＳ／ミドルウェア７１の一部に交番出力部７
１０と出力監視部７１１とを、ハードウェア７２の一部
にタイマ７２０をそれぞれ割り当てる。アプリケーショ
ンプログラム７０は状態入力７５に基づいて一定制御周
期で処理を実行しており、ハードウェア７２内部のタイ
マ７２０により交番周期毎にタイマ割込み７６が発生
し、割込み処理として、演算出力７３を参照して交番出
力処理が実行される。ＯＳ／ミドルウェア７１は、割込
み処理の実行回数を計測することにより、出力監視処理
が実行され、出力７４の出力／停止を制御することが可
能である。

【００４３】図８は、図７に示したシステム構成におけ
る制御演算部７００と交番出力部７１０の動作のタイム
チャートである。制御演算部７００の実行中に、交番信
号周期毎のタイマ割込み７６により、交番出力部７１０
に処理が移行する。交番出力部７１０の処理が終了する
と制御演算部７００に処理が復帰する。交番信号周期は
タイマ割込み７６によって管理されるため、制御演算部
７００は、交番周期毎の出力処理を意識する必要はな
い。したがって、タイマ割込み７６を用いることによ
り、制御演算部７００と交番出力部７１０とは、互いに
非同期に動作することが可能である。

【００４４】

【発明の効果】以上説明したように、本発明によれば、
交番信号の出力処理を行う出力部が制御演算部から分離
されるため、制御演算部は交番信号の出力処理を意識す
ることなく演算処理プログラムの作成・変更を行うこと
ができ、システムの生産性向上を図ることが可能とな
る。

【００４５】また、出力部は交番出力を監視して、制御
演算部に異常が発生していると分かったときには交番出
力を停止するので、システムの安全性を確保することが
可能となる。

【図面の簡単な説明】

【図１】本発明に係るフェールセーフコントローラの全
体構成図である。

【図２】図１に示した制御演算部及び出力部の動作のタ
イムチャートである。

【図３】図１に示した交番出力部の詳細構成図である。

【図４】図３に示した交番出力生成部での交番信号生成
のフローチャートである。

【図５】図１に示した出力監視部の詳細構成図である。

【図６】図５に示したカウンタの動作及び信号のタイム
チャートである。

【図７】本発明をソフトウェアとして実施した場合の一
例を示した図である。

【図８】図７に示した制御演算部及び交番出力部の動作
のタイムチャートである。

【図９】交番信号出力を用いてシステムを安全側に制御
する一例を示した図である。

【図１０】従来の交番信号出力方法（シングルスレッド
構造）を示した図である。

【符号の説明】

１ フェールセーフコントローラ ２ 制御出力 ３ 状態入力 ６ 制御対象 １０ 制御演算部 １１ 出力部 １２ 演算出力 １３ 制御周期開始トリガ １１０ タイマ １１１ 交番信号出力部 １１２ 出力監視部 １１３ タイマ割込み １１４ 交番出力 １１１０ レジスタ １１１１ 交番出力生成部 １１１２ 出力レジスタ １１２０ 設定レジスタ １１２１ カウンタ １１２２ 大小比較器 １１２３ 出力制御部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮崎 直人 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内 (72)発明者 藤原 道雄 茨城県ひたちなか市市毛1070番地 株式会 社日立製作所水戸工場内 Ｆターム(参考） 5H209 AA09 CC05 DD04 GG04 HH08 HH26 JJ07 JJ09

Claims (6)

【特許請求の範囲】
1. 【請求項１】 制御対象の状態入力を取り込んで演算処
   理を行い、その演算処理結果を交番信号に変換するとと
   もに、その交番信号に基づいてシステムを安全側に制御
   するフェールセーフコントローラにおいて、 前記状態入力を取り込んで演算処理を行うとともに、そ
   の演算処理結果を出力する制御演算部と、 前記制御演算部から出力された演算処理結果を該制御演
   算部での演算処理とは非同期で交番信号に変換し、その
   交番信号を前記制御対象を制御するための制御出力とし
   て出力するとともに、前記交番信号を監視して、前記制
   御演算部に異常が発生していることが分かったときは交
   番信号の出力を抑止する出力部と、 を備えたことを特徴とするフェールセーフコントロー
   ラ。
2. 【請求項２】 請求項１に記載のフェールセーフコント
   ローラにおいて、 前記制御演算部は、前記出力部に対して、交番信号に変
   換する処理の開始を指示する信号を送ることを特徴とす
   るフェールセーフコントローラ。
3. 【請求項３】 請求項１に記載のフェールセーフコント
   ローラにおいて、 前記出力部は、交番信号の周期を設定するタイマを有す
   ることを特徴とするフェールセーフコントローラ。
4. 【請求項４】 請求項１に記載のフェールセーフコント
   ローラにおいて、 前記出力部は、変換した交番信号の交番回数を計測する
   計測手段と、交番回数の上限値を設定する上限値設定手
   段と、前記計測手段で計測した交番回数が前記上限値設
   定手段で設定された交番回数の上限値に達したときに、
   前記制御出力の出力を停止する出力制御手段と、を有す
   ることを特徴とするフェールセーフコントローラ。
5. 【請求項５】 請求項４に記載のフェールセーフコント
   ローラにおいて、 前記上限値設定手段は、設定した交番回数の上限値の変
   更が可能であることを特徴とするフェールセーフコント
   ローラ。
6. 【請求項６】 請求項４に記載のフェールセーフコント
   ローラにおいて、 前記出力制御手段は、前記計測手段で計測した交番回数
   が前記上限値設定手段で設定された交番回数の上限値に
   達したとき、その旨を外部に通達することを特徴とする
   フェールセーフコントローラ。