JP2000137624A - 鉄道信号システムの連動装置検証方法、その装置、および記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 網羅性がなく、十分な試験とはならない。 【解決手段】 連動装置、現場機器、列車、設備配置、
および現場機器に対して連動装置が行う制御の仕様を示
す命題について記述された入力表現１から、任意の一部
の検証対象とする現場機器および列車を選択指定表現２
により指定し、それら指定された検証対象とする現場機
器および列車について記述された部分表現４の表現１ａ
と共に、その指定された現場機器に応じた現場機器に対
して連動装置が行う制御の仕様を示す命題について記述
された部分表現４の表現２ａを選択する選択工程３を備
え、入力表現１のうち、選択された部分表現４について
のみ整合性を検証する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、鉄道信号システ
ムを実現する連動装置の試験および検証に関わり、特に
連動論理の正しさを試験する鉄道信号システムの連動装
置検証方法、その装置、および記録媒体に関するもので
ある。

【０００２】

【従来の技術】連動装置には、継電装置を用いた方式と
（以下、「継電連動装置」と呼ぶ）、マイクロコンピュ
ータを利用した方式（以下、「電子連動装置」と呼ぶ）
とがある。連動装置の制御が正しく行われるかどうか
は、列車運行制御において極めて重要であるため、入念
な確認が必要である。このため、従来は、以下の３つの
方法が採用、あるいは、提唱されてきた。

【０００３】１番目の方法は、日本工業規格 ＪＩＳ
Ｅ ３００４に示されているように、実際に設置した連
動装置と、制御盤、現場機器を用いて現場で試験するも
のである。この方法は、最も直接的であり、確実に実際
の連動装置についての確認を行なうことができる。しか
し、この方法では現実に試験できる場合の数が限られて
おり、装置や機器、列車の動作を網羅できないため、必
ずしも制御の不都合を検出できるとは限らない。検出精
度を上げるには、できるだけ多くの場合について試験す
る必要があり、その場合は多大の労力と時間を必要とす
るが、それでも、全ての場合の数は膨大であり、これら
を枚挙することは不可能、あるいは極めて困難であり、
十分な試験とはならない。

【０００４】２番目の方法は、継電連動装置の回路図か
ら生成したシミュレーションプログラム、あるいは、電
子連動装置の制御プログラムと、制御盤、現場機器、列
車のシミュレーションプログラムを用いて計算機上で試
験するものである。これは、実際に連動装置を設置する
前に行なうことができ、また、計算機を利用するため、
労力と時間を節約することができる。しかし、この方法
も、装置や機器、列車の動作を全て網羅するシミュレー
ションプログラムを作成するには、多大の労力と時間を
必要とし、現実的には全て網羅することができず、１番
目の方法と同じ弱点がある。

【０００５】３番目の方法は、例えば、特開平１０−１
６７７６号公報に示されているように、連動装置と制御
盤、現場機器、列車の動作を形式的言語を用いて記述
し、この記述に従った動作において、連動装置の行う制
御に不都合が起きないことを示す検証項目を、計算機上
で検証器ソフトウェアを用いて、数学的に証明するもの
である。この方法は近年提唱されているものであり、形
式的言語の記述に従ったあらゆる動作を考慮するので、
網羅性があるため、１番目、および２番目の方法の弱点
を補うことができる。しかし、現在の技術および計算機
資源では、膨大な計算時間を必要とするため、現実に扱
えるのは、小規模な装置の場合に限られる。

【０００６】

【発明が解決しようとする課題】従来の鉄道信号システ
ムの連動装置検証方法は以上のように構成されているの
で、連動装置の制御に不都合がないかどうかを試験する
ために、３つの方法が採用、あるいは提唱されてきた
が、これらの方法は網羅性がなく、必ずしも十分な試験
とはならないか、あるいは、膨大な計算時間を必要とす
るため、実際の連動装置を殆ど扱うことができないなど
の課題があった。

【０００７】この発明は上記のような課題を解決するた
めになされたもので、連動装置の制御に不都合がないこ
とを、現実的な計算時間および計算機資源の範囲で、よ
り網羅性のある形で試験を行なうことができる鉄道信号
システムの連動装置検証方法、その装置、および記録媒
体を得ることを目的とする。

【０００８】

【課題を解決するための手段】この発明に係る鉄道信号
システムの連動装置検証方法は、連動装置、現場機器、
列車、設備配置、および現場機器に対して連動装置が行
う制御の仕様を示す命題について記述された形式的言語
によらない表現から、任意の一部の検証対象とする現場
機器および列車を指定し、指定された検証対象とする現
場機器および列車について記述された表現と共に、指定
された現場機器に応じた現場機器に対して連動装置が行
う制御の仕様を示す命題について記述された表現を選択
する選択工程と、選択された現場機器および列車につい
て記述された表現を、形式的言語による第１の記述に変
換すると共に、選択された現場機器に対して連動装置が
行う制御の仕様を示す命題について記述された表現を、
形式的言語による第２の記述に変換する変換工程と、変
換された形式的言語による第１の記述および第２の記述
の整合性を検証する形式的検証工程とを備えたものであ
る。

【０００９】この発明に係る鉄道信号システムの連動装
置検証方法は、指定された特定の進路に対するその進路
内の全ての現場機器について記述された表現と、その進
路を通過する列車について記述された表現と、その進路
内の現場機器に対して連動装置が行う制御の仕様を示す
命題について記述された表現とを選択する選択工程を備
えたものである。

【００１０】この発明に係る鉄道信号システムの連動装
置検証方法は、指定された特定の２つの進路に対する各
々の進路内の全ての現場機器について記述された表現
と、それら２つの進路を通過する列車について記述され
た表現と、それら２つの進路内の現場機器に対して連動
装置が行う制御の仕様を示す命題について記述された表
現とを選択する選択工程を備えたものである。

【００１１】この発明に係る鉄道信号システムの連動装
置検証方法は、指定された特定の進路に対するその進路
内の全ての現場機器について記述された表現と、その進
路と同じ発点または同じ着点を有し、同一方向に設定さ
れる他の全ての進路内の全ての現場機器について記述さ
れた表現と、それら進路を通過する列車について記述さ
れた表現と、それら現場機器に対して連動装置が行う制
御の仕様を示す命題について記述された表現とを選択す
る選択工程を備えたものである。

【００１２】この発明に係る鉄道信号システムの連動装
置検証方法は、指定された特定の進路に対するその進路
内の全ての現場機器について記述された表現と、その進
路の発点を着点とするか、またはその進路の着点を発点
とし、逆方向に設定される他の全ての進路内の全ての現
場機器について記述された表現と、それら進路を通過す
る列車について記述された表現と、それら現場機器に対
して連動装置が行う制御の仕様を示す命題について記述
された表現とを選択する選択工程を備えたものである。

【００１３】この発明に係る鉄道信号システムの連動装
置検証方法は、指定された特定の進路およびその進路内
の特定の軌道回路に対して、その進路内の全ての現場機
器について記述された表現と、その軌道回路が設置され
た区間を含む他の全ての進路内の全ての現場機器につい
て記述された表現と、それら進路を通過する列車につい
て記述された表現と、それら現場機器に対して連動装置
が行う制御の仕様を示す命題について記述された表現と
を選択する選択工程を備えたものである。

【００１４】この発明に係る鉄道信号システムの連動装
置検証方法は、指定された特定の進路に対するその進路
内の全ての現場機器について記述された表現と、その進
路内に有する軌道回路を一つでも含む他の全ての進路内
の全ての現場機器について記述された表現と、それら進
路を通過する列車について記述された表現と、それら現
場機器に対して連動装置が行う制御の仕様を示す命題に
ついて記述された表現とを選択する選択工程を備えたも
のである。

【００１５】この発明に係る鉄道信号システムの連動装
置検証方法は、選択工程によって選択する現場機器、列
車、および現場機器に対して連動装置が行う制御の仕様
を示す命題について記述された表現を段階的に増加さ
せ、各段階毎に順次検証を行わせるものである。

【００１６】この発明に係る鉄道信号システムの連動装
置検証方法は、連動装置および設備配置について記述さ
れた表現を、連動図表としたものである。

【００１７】この発明に係る鉄道信号システムの連動装
置検証装置は、記憶手段に記憶された連動装置、現場機
器、列車、設備配置、および現場機器に対して連動装置
が行う制御の仕様を示す命題について記述された形式的
言語によらない表現から、指定された任意の一部の検証
対象とする現場機器および列車について記述された表現
と共に、その指定された現場機器に応じた現場機器に対
して連動装置が行う制御の仕様を示す命題について記述
された表現を選択する選択手段と、選択された現場機器
および列車について記述された表現を、形式的言語によ
る第１の記述に変換すると共に、選択された現場機器に
対して連動装置が行う制御の仕様を示す命題について記
述された表現を形式的言語による第２の記述に変換する
変換手段と、変換された形式的言語による第１の記述お
よび第２の記述の整合性を検証する形式的検証手段とを
備えたものである。

【００１８】この発明に係る記録媒体は、連動装置、現
場機器、列車、設備配置、および現場機器に対して連動
装置が行う制御の仕様を示す命題について記述された形
式的言語によらない表現から、指定された任意の一部の
検証対象とする現場機器および列車について記述された
表現と共に、その指定された現場機器に応じた現場機器
に対して連動装置が行う制御の仕様を示す命題について
記述された表現を選択する選択工程と、選択された現場
機器および列車について記述された表現を、形式的言語
による第１の記述に変換すると共に、選択された現場機
器に対して連動装置が行う制御の仕様を示す命題につい
て記述された表現を形式的言語による第２の記述に変換
する変換工程と、変換された形式的言語による第１の記
述および第２の記述の整合性を検証する形式的検証工程
とを備えたものである。

【００１９】

【発明の実施の形態】以下、この発明の実施の一形態を
説明する。 実施の形態１．図１はこの発明の実施の形態１による鉄
道信号システムの連動装置検証方法および装置を示す構
成図であり、図において、１は連動装置、現場機器（信
号機、信号てこ、転てつ器、転てつてこ、軌道回路、そ
の他駅構内の機器や制御盤上の機器）、列車、設備配
置、および現場機器に対して連動装置が行う制御の仕様
を示す命題について、設計者の使い慣れた言語によって
記述された入力表現（表現）であり、一般的には、図
面、表、文章などの電子データがパーソナルコンピュー
タ（以下、「パソコン」と呼ぶ）のハードディスク、ま
たはフロッピー（登録商標）ディスクに格納され、その
後、ＲＯＭに保持されてから用いられるものである。２
は入力表現１の中から任意の検証対象とする現場機器お
よび列車を指定するための選択指定表現であり、一般的
には、パソコンのディスプレイ上に表示された入力表現
１の中からキーボードまたはマウスを用いて選択指定す
るものである。

【００２０】３は選択指定表現２によって指定された検
証対象とする一部の現場機器および列車について記述さ
れた表現を、入力表現１から選択して抽出すると共に、
その指定された検証対象とする現場機器に応じた現場機
器に対して連動装置が行う制御の仕様を示す命題につい
て記述された表現を、入力表現１から選択して抽出する
選択工程（選択手段）である。４は選択工程３によって
選択された部分表現（表現）であり、一般的には、パソ
コンのＲＡＭに一旦保持されるものである。５は部分表
現４のうち、現場機器および列車について記述された表
現１ａを、連動装置および設備配置について記述された
入力表現１に基づいて、形式的言語による記述（第１の
記述）１ａに変換すると共に、部分表現４のうち、現場
機器に対して連動装置が行う制御の仕様を示す命題につ
いて記述された表現２ａを、形式的言語による記述（第
２の記述）２ａに変換する変換工程（変換手段）であ
る。６は変換工程５によって変換された形式的言語によ
る記述（形式的言語による第１の記述，形式的言語によ
る第２の記述）であり、一般的には、パソコンのＲＡＭ
に一旦保持されるものである。７は現場機器および列車
についての形式的言語による記述１ａと、現場機器に対
して連動装置が行う制御の仕様を示す命題についての連
動装置の行う制御および設備配置に基づいて記述した形
式的言語による記述２ａとの整合性を検証する形式的検
証工程（形式的検証手段）である。８はその検証結果で
あり、一般的には、パソコンのディスプレイ上に表示し
たり、プリンタにプリントしたりするものである。

【００２１】また、図２はこの発明の実施の形態１によ
る鉄道信号システムの連動装置検証装置を示す構成図で
あり、図は一般的なパソコンの構成を示すものである。
図において、１１はパソコン全体を制御するＣＰＵ、１
２は基本ソフトウェアが記憶されたＲＯＭ、１３はこの
鉄道信号システムの連動装置検証データ、鉄道信号シス
テムの連動装置検証ソフトウェア、演算途中のデータお
よび検証結果８が記憶されるＲＡＭ（記憶手段）、ここ
で、鉄道信号システムの連動装置検証データとは、図１
において、入力表現１に相当するものであり、鉄道信号
システムの連動装置検証ソフトウェアとは、図１におい
て、選択工程３、変換工程５、および形式的検証工程７
に相当するものである。１４はＲＡＭ１３に記憶される
各種情報を記憶するハードディスク、１５は鉄道信号シ
ステムの連動装置検証ソフトウェアを記憶するフロッピ
−ディスク（記録媒体）、１６はディスプレイ、１７は
キーボードまたはマウス、１８はプリンタ、１９はそれ
ら構成を接続するバスである。

【００２２】次に動作について説明する。まず、図１と
図２を参照しながら、この発明による連動装置検証の大
まかな流れを説明する。設計者は、使い慣れた表現によ
って連動装置の設計、現場機器（信号機、信号てこ、転
てつ器、転てつてこ、軌道回路、その他駅構内の機器や
制御盤上の機器）の設計、列車の動作設計、設備配置図
の設計を記述し、これを入力表現１の表現１とする。ま
た、設計者は、使い慣れた表現によって現場機器に対し
て連動装置が行う制御の仕様を示す命題を記述し、これ
を入力表現１の表現２とする。これらは、図２に示すパ
ソコンのＲＡＭ１３に保持され、ハードディスク１４、
またはフロッピーディスク１５に電子データとして格納
されるものである。そして、設計者によるパソコンの操
作により、ディスプレイ１６上に入力表現１を表示し、
設計者によるキーボードまたはマウス１７の操作によ
り、検証対象とする一部の現場機器および列車を選択指
定する。これを選択指定表現２とする。

【００２３】選択工程３では、選択指定表現２によって
指定された検証対象とする現場機器および列車について
記述された表現を、入力表現１から選択して抽出して、
部分表現４の表現１ａとすると共に、その指定された検
証対象とする現場機器に応じた現場機器に対して連動装
置が行う制御の仕様を示す命題について記述された表現
を、入力表現１から選択して抽出して、部分表現４の表
現２ａとする。これら部分表現４の表現１ａ，２ａは、
パソコンのＲＡＭに一旦保持されるものである。変換工
程５では、部分表現４のうち、現場機器および列車につ
いて記述された表現１ａを、連動装置および設備配置に
ついて記述された入力表現１に基づいて、形式的言語に
よる記述６の記述１ａに変換すると共に、部分表現４の
うち、現場機器に対して連動装置が行う制御の仕様を示
す命題について記述された表現２ａを、形式的言語によ
る記述６の記述２ａに変換する。これら形式的言語によ
る記述６の記述１ａ，２ａは、パソコンのＲＡＭ１３に
一旦保持されるものである。

【００２４】形式的検証工程７では、現場機器および列
車についての連動装置が行う制御および設備配置に基づ
いて記述した形式的言語による記述６の記述１ａと、現
場機器に対して連動装置が行う制御の仕様を示す命題に
ついての形式的言語による記述６の記述２ａとの両者の
内容に関する論理的性質の証明、例えば、両者が等価で
あるか、あるいは前者が後者で表現された性質を満たす
か、などの証明を試みる。そして、その検証結果８をパ
ソコンのディスプレイ１６上に表示したり、プリンタ１
８にプリントしたりする。このように、入力表現１の表
現１，２のうち、一部について選択された部分表現４の
表現１ａ，２ａについてのみ論理的性質を検証でき、現
実的な計算時間および計算機資源の範囲で、より網羅性
のある形で試験を行なうことができる。

【００２５】次に、入力表現１の表現１の連動装置と設
備配置の表現が連動図表であり、選択工程２の選択方法
が、指定された特定の進路内の全ての機器と、その進路
を通過する列車の組み合わせによるもののみを選択する
ものである場合を例に、この発明をさらに詳しく説明す
る。また、形式的言語は有限状態機械と時相論理である
とする。有限状態機械は状態遷移グラフを形式化したも
のであり、システムの設計仕様の記述にしばしば用いら
れる。時相論理は事象の起きる時間関係や可能性、必然
性を表現できる論理であり、これもシステムの仕様記述
にしばしば用いられる、様々な形式の時相論理が提案さ
れているが、ここでは、Ｃｏｍｐｕｔａｔｉｏｎａ１
Ｔｒｅｅ Ｌｏｇｉｃ［Ｃ１ａｒｋｅ，Ｅ．Ｍ．，Ｅｍ
ｅｒｓｏｎ，Ｅ．Ａ．ａｎｄ Ｓｉｓｔｌａ，Ａ．
Ｐ．：“Ａｕｔｏｍａｔｉｃ Ｖｅｒｉｆｉｃａｔｉｏ
ｎ ｏｆ Ｆｉｎｉｔｅ Ｓｔａｔｅ Ｃｏｎｃｕｒｒ
ｅｎｔＳｙｓｔｅｍｓ Ｕｓｉｎｇ Ｔｅｍｐｏｒａｌ
Ｌｏｇｉｃ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ：Ａ Ｐ
ｒａｃｔｉｃａｌ Ａｐｐｒｏａｃｈ”，ｉｎ１０ｔｈ
ＡＣＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｐｒｉｎｃｉｐｌ
ｅｓ ｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｌａｎｇｕａｇ
ｅｓ，ｐｐ．１１７−１２６（１９８３）］と呼ばれる
時相論理による記述を採用する。有限状態機械と時相論
理の等価性を証明する手法は、文献［Ｍｃｍｉｌｌａ
ｎ，Ｋ：“Ｓｙｍｂｏｌｉｃ ＭｏｄｅｌＣｈｅｃｋｉ
ｎｇ”，Ｋｌｕｗｅｒ Ａｃａｄｅｍｉｃ Ｐｕｂｌｉ
ｓｈｅｒｓ］のものをはじめ多数研究されている。

【００２６】入力表現１の一方（表現１）が検証の対象
として与えられたとする。この表現は図３の連動図と図
４の連動表から成る連動図表で表わされる連動装置およ
び設備配置と、後述する有限状態機械で表現された現場
機器およびこの駅構内を走行する列車から成り、この連
動装置が行う制御の正しさを検証することを目的とす
る。図３の連動図は現場機器の配置を表わしている。太
線は線路を表わす。線路上の縦線で区切られた各々の区
間には軌道回路が設置され、区間内の列車の有無を検知
する。区間内に記された記号ＸＴ，ＡＴ，２１Ｔなどは
その区間に設置された軌道回路を表わす。１ＲＣ，１Ｒ
Ｄ，２Ｌは信号機に付けられた番号を、各番号傍の記号
は信号機の設置場所を表わす。１１Ｒ，１２Ｒ，１３
Ｌ，１４Ｌ，１５Ｌは入換標識に付けられた番号を、各
番号傍の記号は入換標識の設置場所を表わす。（以下で
は、信号機と入換標識に共通する事項を述べる場合は、
両者を併せて信号機等、と略す。）信号機等は、列車の
進入がないときは原則として停止を現示する。列車の進
入がないときに信号機等が現示する信号を、その信号機
等の定位と呼ぶ。

【００２７】信号機等は後述するような条件の下で進行
信号を現示するが、進行信号の現示によって列車が進入
できる一定区間の進路が設定される。以下では、混乱の
ない限り、信号機等が設定する進路をその信号機等の番
号で呼び、この信号機等と進路を同一視することがあ
る。また、軌道回路の設置された区間をその軌道回路の
番号で呼ぶ。２１イ，２１ロ，２２，２３イ，２３ロは
転てつ器に付けられた番号およびその設置場所を表わ
す。転てつ器は列車の進入がないときは番号傍の毛羽三
本の方向に進路を取るよう設定されている。列車の進入
がないときに転てつ器が設定されている方向を転てつ器
の定位と呼ぶ。また、定位と反対の方向を反位と呼ぶ。
図３では、転てつ器２１イの定位は２ＬＴと２２Ｔを結
ぶ方向であり、反位は２１Ｔと２２Ｔを結ぶ方向であ
る。転てつ器２１イと２１ロは連動しており、両方とも
定位か、両方とも反位に設定される。このような転てつ
器を２動の転てつ器と呼び、２１イ，２１ロのように同
一の番号に添字を付けることでこれを表わす。同様に２
３イと２３ロも２動の転てつ器である。２動の転てつ器
の場合、２つの転てつ器とも動作および制御が同じであ
ることから、１つの転てつ器のように扱うことがある。
この場合、２１イと２１ロを合わせて２１というよう
に、共通の番号のみで呼ぶ。

【００２８】図中には明示されていないが、信号機等の
現示の変更は、対応する信号てこを操作することによっ
て行われる。信号てこは対応する信号機等と同じ番号で
表現される。信号てこは通常定位に設定されている。信
号機等に進行信号を現示させるときは、信号てこを反位
に設定し、必要であれば進路選択ボタンを押す。このと
き後述するような一定の条件が満たされていれば進行信
号が現示される。進行信号を現示している信号機等に停
止信号を現示させるときは、信号てこを定位に設定すれ
ば良い。同様に転てつ器の方向は転てつてこによって操
作できる。転てつてこは定位、反位、中立の３状態をと
り、転てつてこを定位または反位に設定すると、特定の
場合（後述の鎖錠されている場合）を除いて対応する転
てつ器は定位または反位になる。転てつてこが中立の場
合は、転てつ器は連動装置からの制御に従って動作す
る。通常の運用では、転てつてこは中立で固定されてい
る。

【００２９】図４の連動表は連動装置が行う現場機器の
制御を連動条件の形で表わしている。名称欄は対応する
行がどの機器に関しての連動条件を記しているかを表わ
す。図４の例では、１行目は場内信号機に関する連動条
件を表わしており、これはＸＴから１番線（図３の
（１）と記された線路区間）へ至る進路を設定する場内
信号機の連動条件と、ＸＴから２番線（図３の（２）記
された線路区間）へ至る進路を設定する場内信号機の連
動条件とに分けられる。進路の最初と最後の区間をそれ
ぞれ発点、着点と呼ぶ。例えば、図４の名称欄の１行目
上段の記述はＸＴを発点、１番線を着点とする進路、下
段はＸＴを発点、２番線を着点とする進路を意味する。
番号欄は連動表中のその行で扱われている機器に付けら
れた番号を記す。図４の１行目は信号機１Ｒの連動条件
を記している。欄中のＣ，Ｄは進路選択ボタンの番号で
あり、進路の着点に対応する。１Ｒによって設定される
進路が図３中のＣ，Ｄのいずれを着点とするかによって
この欄は２行に分けられ、それぞれ名称欄に記載された
２つの進路に対応する。上の行に対応する進路を設定す
るには、信号てこ１Ｒを反位にし、進路設定ボタンＣを
押す（以後、これらの動作をあわせて信号てこ１ＲＣを
反位にする、などと呼ぶ。また、信号てこと進路設定ボ
タンをあわせて信号てこと略する）。同様に下の行に対
応する進路を設定するには信号てこ１ＲＤを反位にする
（信号てこ１Ｒを反位にし、進路選択ボタンＤを押
す）。１Ｒに関しては着点に対応して１ＲＣ，１ＲＤの
２つの信号機が設置されているが、１１Ｒ〜１５Ｌのよ
うに着点が異なる進路を１台の信号機等で設定する場合
もある。いずれの場合でも、着点の記号を付加した１Ｒ
Ｃ，１ＲＤ，１１ＲＣ，１１ＲＤなどを信号機等（もし
くは対応する信号てこ、進路）を表わす記号として用い
ることがある。

【００３０】鎖錠欄には、名称欄の機器が連動して動作
する機器の番号が記入される。以下、名称欄の機器が信
号機等である場合についてのみ述べる。（名称欄の機器
が転てつ器の場合は通常鎖錠欄は空欄である。）鎖錠欄
に転てつ器の番号が記入されているとき、この番号が丸
囲みでない場合、これらの転てつ器が定位に設定された
ときに限り該当する進路が設定できること、および進路
が設定された場合には転てつ器が定位に固定されること
を表わす。この番号が丸囲みの場合、これらの転てつ器
が反位に設定されたときに限り該当する進路を設定でき
ること、および進路が設定された場合には転てつ器が反
位に固定されることを表わす。ここで、進路が設定され
た場合に転てつ器の方向が固定されることを、転てつ器
が鎖錠されるという。図４の１行目によると、ＸＴから
１番線へ至る進路を設定する（すなわち１ＲＣが進行信
号を現示する）ためには転てつ器２１，２３が定位であ
ることが必要である。また、この進路が設定されたと
き、転てつ器２１，２３は定位に鎖錠される。このよう
な制御によって、信号機等の示す進行方向と転てつ器の
方向を一致させ、かつ列車の進入中に転てつ器の転換が
されないことを保証する。同様に２行目によると、ＸＴ
から２番線へ至る進路を設定する（すなわち１ＲＤが進
行信号を現示する）ためには転てつ器２１が定位、２３
が反位であることが必要である。また、この進路が設定
されたとき、転てつ器２１は定位に、２３は反位に鎖錠
される。転てつ器が鎖錠された状態を解除し、再び転換
できるようにすることを解錠するという。尚、鎖錠欄に
信号てこ名が記入されている場合については、この実施
の形態１では扱われないので説明を割愛する。

【００３１】信号制御またはてつ査鎖錠欄には軌道回路
の番号が記入される。この欄の意味する内容は名称欄に
記入されている機器の種類によって異なる。名称欄に信
号機等の名称が記入されている場合、信号制御又はてつ
査鎖錠欄の軌道回路が設置された区間に列車があると
き、信号機等は停止信号を現示する。図４の１行目は、
ＡＴ，２１Ｔ，１ＲＣＴのいずれかの区間に列車がある
とき１ＲＣは停止信号を現示することを表わす。これら
の区間に列車があるときに進行信号を現示して次の列車
が進入してきた場合、追突の恐れがあるので、これを防
ぐためこのような制御が行われる。名称欄に転てつ器の
名称が記入されている場合、信号制御またはてつ査鎖錠
欄の軌道回路が設置された区間内に列車があるとき、こ
れらの転てつ器は鎖錠される。これによって列車の通過
中に転てつ器が転換されることを防ぐ。

【００３２】進路鎖錠欄は、進路設定完了後、列車が通
過し終わるまで進路上の転てつ器が解錠されないように
制御を行うためのものである。進路１ＲＤが設定された
後、列車が通過し、ＡＴに進入したとき、１ＲＤの信号
てこを定位にして進路設定を解除できる。しかし、この
列車が２１Ｔを通過し終わるまではこの区間内の転てつ
器２１ロ，２３イが鎖錠されていないと危険である。同
様に列車が２３Ｔを通過し終わるまではこの区間内の転
てつ器２３ロは鎖錠されていないと危険である。このよ
うな危険な解錠を防ぐため、２１ロ，２３イは列車が２
１Ｔを通過するまでは解錠されない。同様に、２３ロは
列車が２３Ｔを通過するまでは解錠されない。一方、列
車が２１Ｔを通過した後は、２３Ｔを通過するのを待た
ずに２１ロや２３イは即座に解錠し、他の進路を設定で
きるようにするのが望ましい。図４の進路鎖錠欄の２行
目の（ＡＴ）（２１Ｔ）（２３Ｔ）は、上記のように列
車が通過し終わった順にその区間内の転てつ器が解錠さ
れることを意味する。以下では、混乱のない限り、区間
内の全ての転てつ器が鎖錠または解錠されることを、そ
の区間が鎖錠又は解錠されるという。接近鎖錠または保
留鎖錠欄については、この実施の形態１では扱わないの
で説明を割愛する。上の連動図表の説明で述べたような
連動装置の制御の実現方法については、継電連動装置で
はリレー回路による標準結線方法が定められている。電
子連動装置では細部では違いがあるものの、継電連動装
置の実現方法に準拠している。これより、連動図表から
その制御論理を構成することが可能になる。

【００３３】現場機器および列車の入力記述のうち、信
号機の入力表現を状態遷移グラフの形で表わしたものを
図５に示す。信号機の状態は進行信号表示３１と停止信
号表示３２の２状態であり、進行信号現示条件３３が満
たされると進行信号表示３１に、停止信号現示条件３４
が満たされると停止信号表示３２に状態遷移する。それ
ぞれの状態遷移の条件３３，３４は連動装置の制御に依
存する。その他の機器も同様に与えられる。

【００３４】次に、進路１ＲＤに関する検証を行うた
め、図１において、選択指定表現２で１ＲＤが指定され
たとする。このとき、選択工程３は１ＲＤ内の機器であ
る信号機１ＲＤとその信号てこ、転てつ器２１ロ，２３
イ，２３ロとこれらの転てつてこ、軌道回路ＸＴ，Ａ
Ｔ，２１Ｔ，２３Ｔ，１ＲＤＴおよびこの進路を通過す
る列車を選択する。この選択結果が部分表現４の表現１
ａとなる。変換工程５では、選択工程３によって選択さ
れた、部分表現４の表現１ａについて状態遷移条件を抽
出し、有限状態機械による記述１ａを出力し、これを形
式的言語による記述６の記述１ａとする。より具体的に
は、変換工程５は、選択された機器について、機器の動
作状態を有限状態機械の状態とし、連動図表から読み取
った位置関係および連動論理から状態遷移条件を構成す
る。

【００３５】有限状態機械の信号機１ＲＤに関する部分
を状態遷移グラフで表わしたものを図６に示す。図６は
図５の入力記述に比べて状態遷移条件３７，３８が具体
化されている。進行信号現示条件３７は、１ＲＤの信号
てこが反位になることに加え、鎖錠欄より転てつ器２１
が定位、転てつ器２３が反位、信号制御またはてつ査鎖
錠欄よりＡＴ，２１Ｔ，２３Ｔ，１ＲＤＴの区間に列車
がないことが条件となる。（実際にはさらに複雑な条件
が必要となるが、この実施の形態１では説明のため単純
化している。）停止信号現示条件３８は、１ＲＤの信号
てこが定位になるか、信号制御またはてつ査鎖錠欄より
ＡＴ，２１Ｔ，２３Ｔ，１ＲＤＴの区間に列車が進入す
ることが条件となる。（上と同じく、説明のため単純化
している。）

【００３６】一方、入力表現１のもう一方（表現２）が
「転てつ器２１ロが反位で固定されているとき、信号機
１ＲＤは進行信号を現示することができない」という命
題を時相論理で表現したものであったとする。この命題
は連動装置の行う制御の性質の一部を記述したものであ
る。時相論理は通常の論理関係に加え、事象の起きる可
能性の有無を記述できるので、上のような命題は容易に
記述できる。選択工程３はこの時相論理式から選択指定
表現２に従って関係する論理式のみを選択し、これを部
分表現４の表現２ａとする。変換工程５は、部分表現４
の表現２ａの時相論理式を形式的検証工程７が扱うこと
ができる形式的言語による記述６の記述２ａに変換す
る。

【００３７】こうして得られた２つの形式的言語による
記述６の記述１ａと記述２ａ（有限状態機械と時相論理
式）を形式的検証工程７に出力し、有限状態機械の記述
に従った動作において時相論理式で記述された性質が満
足されるかを証明する。この証明方法については多数の
方法が提案されているが、ここでは最も簡単なものにつ
いて概略のみ説明する。有限状態機械に従って起こり得
る動作状態の遷移系列は有限個であり、この状態遷移系
列を機械的に列挙することが可能である。列挙された状
態遷移系列の各々が時相論理式による記述を満足するか
どうかを判定することで証明が可能である。

【００３８】この実施の形態１では、信号機１ＲＤが進
行信号を現示する状態は図６の進行信号表示３５である
が、この状態に至る進行信号表示条件３７には転てつ器
２１ロが定位であることが含まれている。従って、２１
ロが反位に固定されている場合、いかなる状態遷移系列
においても１ＲＤが進行信号を現示する状態には至らな
い。これによって、図３および図４の連動図表で表わさ
れる１ＲＤに関する部分については、上の性質を満たす
ことがわかる。尚、この実施の形態１では、変換工程５
において、部分表現４の表現２ａを形式的検証工程７で
扱うことができる形式的言語による記述６の記述２ａに
変換したが、予め、部分表現４の表現２ａが形式的言語
によって記述されている場合は、形式的言語による記述
に変換する必要はない。

【００３９】以上のように、この実施の形態１によれ
ば、入力表現１の表現１，２のうち、選択された部分表
現４の表現１ａ，２ａについてのみ論理的性質を検証で
き、連動装置の行う制御が正しいかどうかを、選択した
機器に関して網羅的に、かつ現実的な計算時間および計
算機資源の範囲で試験を行なうことができる効果があ
る。また、検証する機器の選択の方法として、指定され
た進路上にある全ての機器およびその進路を通過する列
車を選択する方法をとることにより、連動装置の設計お
よび試験で通常行われている進路単位の検証ができる効
果がある。さらに、設計者は鉄道技術者が一般に使用し
ている連動図表を用いて連動装置の設計を記述すれば、
変換工程５により形式的検証工程７で用いる形式的言語
の記述６に変換されるので、既存の設計方法との親和性
を高めることができる効果がある。

【００４０】実施の形態２．次に、図１において、選択
工程３が、現場機器、列車、および現場機器に対して連
動装置が行う制御の仕様を示す命題について記述された
入力表現１の表現１、表現２から、指定された特定の２
つの進路に対する各々の進路内の全ての現場機器につい
て記述された部分表現４の表現１ａと、それら２つの進
路を通過する列車について記述された部分表現４の表現
１ａと、それら２つの進路内の現場機器に対して連動装
置が行う制御の仕様を示す命題について記述された部分
表現４の表現２ａとを選択する場合の検証方法について
説明する。実施の形態１と同じく、検証の対象として、
図３および図４の連動図表で表わされる連動装置および
設備配置と、有限状態機械で表わされる現場機器および
列車が与えられたとする。上記実施の形態１では、進路
１ＲＤを単独で検証したが、制御の正しさを保証するた
めには他の進路との制御上の関係についても検証する必
要がある。この実施の形態２では、２進路間の制御関係
を検証する場合を説明する。

【００４１】次に動作について説明する。選択指定表現
２で進路１ＲＤおよび２Ｌが指定されたとする。このと
き、選択工程３では、１ＲＤ内の機器である信号機１Ｒ
Ｄとその信号てこ、転てつ器２１ロ，２３イ，２３ロ
と、これらの転てつてこ、軌道回路ＸＴ，ＡＴ，２１
Ｔ，２３Ｔ，１ＲＤＴ、並びに２Ｌ内の機器である信号
機２Ｌとその信号てこ、転てつ器２１イ，２２，２３ロ
とこれらの転てつてこ、軌道回路１ＲＤＴ，２３Ｔ，２
２Ｔ，２ＬＴおよびこれらの進路を通過する列車を選択
する。以下、上記実施の形態１と同様に、この選択結果
が部分表現４の表現１ａとなる。この表現１ａは変換工
程５によって有限状態機械による記述に変換され、これ
を形式的言語による記述６の記述１ａとする。一方、入
力表現１のもう一方（表現２）が「区間２３Ｔに２台の
列車が同時に進入することはない」という命題を時相論
理式で表現したものであったとする。これは２３Ｔでは
衝突が起こらないことを意味する。上記実施の形態１と
同様に、これは選択工程３および変換工程５による処理
を経て、形式的言語による記述６の記述２ａとなる。形
式的検証工程７は、有限状態機械に従った動作が時相論
理式で記述された性質を満足するかどうかの証明を試
み、証明に成功する。

【００４２】証明に成功する理由は以下の通りである。
２台の列車が２３Ｔに同時に進入するには、 （ａ）１ＲＤと２Ｌの両方が同時に進行信号を現示す
る。 （ｂ）２Ｌの側から進入した列車が２３Ｔを通過し終わ
る前に、１ＲＤが進行信号を現示する。 （ｃ）１ＲＤの側から進入した列車が２３Ｔを通過し終
わる前に、２Ｌが進行信号を現示する。のいずれかの状
態を経由する必要がある。ここで、（ａ）については信
号機１ＲＤが進行信号を現示するためには、鎖錠欄より
転てつ器２３が反位であることが必要である。一方、信
号機２Ｌが進行信号を現示するためには、鎖錠欄より転
てつ器２３が定位であることが必要である。この条件は
両立しないので、１ＲＤと２Ｌの両方が同時に進行信号
を現示することはない。（ｂ）については、２Ｌの側か
ら列車が進入した列車が２３Ｔにある場合は、２Ｌの進
路鎖錠欄の条件より、転てつ器２３は定位のまま転換で
きない。従って１ＲＤは進行信号を現示できない。
（ｃ）も同様に、１ＲＤの進路鎖錠欄の条件より、列車
が２３Ｔを通過するまで２３は反位のまま転換できず、
従って２Ｌは進行信号を現示できない。このことから、
列車が信号の表示に従って動く限り、２３Ｔの設置され
た区間には２台の列車は同時に進入できない。形式的検
証工程７は、以上の説明と同等の内容を有限状態機械の
状態遷移系列を検査することで証明する。

【００４３】以上のように、この実施の形態２によれ
ば、指定された２つの進路内にある全ての機器およびそ
れらの進路を通過する列車を選択する方法をとることに
より、連動装置の設計および試験で通常行われている２
つの進路間の制御の関係について検証ができる効果があ
る。

【００４４】実施の形態３．次に、図１において、選択
工程３が、現場機器、列車、および現場機器に対して連
動装置が行う制御の仕様を示す命題について記述された
入力表現１の表現１、表現２から、指定された特定の進
路に対するその進路内の全ての現場機器について記述さ
れた部分表現４の表現１ａと、その進路と同じ発点また
は同じ着点を有し、同一方向に設定される他の全ての進
路内の全ての現場機器について記述された部分表現４の
表現１ａと、それら進路を通過する列車について記述さ
れた部分表現４の表現１ａと、それら現場機器に対して
連動装置が行う制御の仕様を示す命題について記述され
た部分表現４の表現２ａとを選択する場合の検証方法に
ついて説明する。上記実施の形態１と同じく、検証の対
象として、図３および図４の連動図表で表わされる連動
装置および設備配置と、有限状態機械で表わされる現場
機器および列車が与えられたとする。上記実施の形態２
では、２進路間の制御上の関係を検証したが、制御の正
しさをより強く保証するためにはさらに多数の進路間の
制御についても検証する必要がある。しかし、許容でき
る計算時間が短いか計算機資源に限界がある場合、一度
に多数の進路間に関わる性質を検証するのは困難であ
る。このような場合、重要性が高いと思われる進路の組
み合わせのうち、進路数のできるだけ少ないものから検
証するのが現実的である。このような組み合わせの一つ
として、指定された進路と同じ発点もしくは着点を持ち
同一方向に設定される進路を検証の対象と考える。この
ような進路の数は一般にはそれほど多くないが、これら
の進路は同一区間で同一方向に進路設定を行うので、制
御の誤りがあった場合には追突の危険が大きい。このこ
とから、この組み合わせは優先的に検証すべきであると
考えられる。以下では、簡単のため指定された進路と同
じ発点を持つ進路のみを検証の対象とするが、同じ着点
を持つ進路の場合も同様である。

【００４５】次に動作について説明する。選択指定表現
２で進路１ＲＤが指定されたとする。このとき、選択工
程３は、１ＲＤ内の機器である信号機１ＲＤとその信号
てこ、転てつ器２１ロ、２３イ、２３ロと、これらの転
てつてこ、軌道回路ＸＴ，ＡＴ，２１Ｔ，２３Ｔ，１Ｒ
ＤＴ、並びに１ＲＤと同じ発点を持つ進路１ＲＣ内の機
器である信号機１ＲＣと、その信号てこ、転てつ器２１
ロ、２３イと、これらの転てつてこ、軌道回路ＸＴ，Ａ
Ｔ，２１Ｔ，１ＲＣＴおよびこれらの進路を通過する列
車を選択する。以下、上記実施の形態１，２と同様に、
入力表現１の表現１とこの選択結果から変換工程５を経
て有限状態機械で記述された形式的言語による記述６の
記述１ａが得られる。一方、入力表現１のもう一方（表
現２）が「区間２１Ｔに２台の列車が同時に進入するこ
とはない」という命題を時相論理式で表現したものであ
ったとする。これは２１Ｔでは追突が起こらないことを
意味する。上記実施の形態１，２と同様に、これは選択
工程３、変換工程５による処理を経て有限状態機械で記
述された形式的言語による記述６の記述２ａとなる。形
式的検証工程７は、有限状態機械に従った動作が時相論
理式で記述された性質を満足するかどうかの証明を試
み、証明に成功する。

【００４６】証明に成功する理由は以下の通りである。
１ＲＣと１ＲＤの鎖錠欄の条件は転てつ器２３の方向が
異なるため、１ＲＣと１ＲＤは同時に進行信号を表示で
きない。また、１ＲＣ，１ＲＤとも一旦設定されて列車
が進入した後は、進路鎖錠欄の条件から列車が２１Ｔを
通過するまで転てつ器２３が解錠されず、従って他方の
信号機は進行表示を現示できない。これらのことから２
１Ｔには２台の列車は同時に進入できないことが導かれ
る。以上は１ＲＤと同じ発点を持つ進路を検証の対象と
した場合であったが、同じ着点を持つ進路を対象とする
場合は、選択工程３は上記の進路１ＲＣ内の機器に替わ
り進路１１ＲＤおよび１２ＲＤ内の機器を選択し、以下
同様に検証が行われる。機器の配置や軌道区間の構成に
よっては、この実施の形態３のように指定された進路と
同じ発点または着点を持つ進路を検証の対象として選択
する替わりに、指定された進路の着点を発点として同一
方向に設定される進路や、指定された進路の発点を着点
として同一方向に設定される進路を選択することによ
り、この実施の形態３と同様な効果を得ることができ
る。

【００４７】以上のように、この実施の形態３によれ
ば、指定された特定の進路と同じ発点または同じ着点を
有し、同一方向に設定される他の全ての進路内の全ての
現場機器と、それら進路を通過する列車を選択する方法
をとることにより、指定された進路と、この進路に関係
する他の進路との制御の関係について、利用できる計算
機資源に応じて検証ができる効果がある。

【００４８】実施の形態４．次に、図１において、選択
工程３が、現場機器、列車、および現場機器に対して連
動装置が行う制御の仕様を示す命題について記述された
入力表現１の表現１、表現２から、指定された特定の進
路に対するその進路内の全ての現場機器について記述さ
れた部分表現４の表現１ａと、その進路の発点を着点と
するか、またはその進路の着点を発点とし、逆方向に設
定される他の全ての進路内の全ての現場機器について記
述された部分表現４の表現１ａと、それら進路を通過す
る列車について記述された部分表現４の表現１ａと、そ
れら現場機器に対して連動装置が行う制御の仕様を示す
命題について記述された部分表現４の表現２ａとを選択
する場合の検証方法について説明する。上記実施の形態
１と同じく、検証の対象として、図３および図４の連動
図表で表わされる連動装置および設備配置と、有限状態
機械で表わされる現場機器および列車が与えられたとす
る。上記実施の形態３で述べた考え方に基づき、この実
施の形態４では、指定された進路の発点を着点とする
か、もしくは指定された進路の着点を発点とし、これと
逆方向に設定される進路を検証の対象とする。このよう
な進路の数は一般にはそれほど多くなく、上記実施の形
態３の場合と同数程度と予想されるが、これらの進路は
同一区間で逆方向に進路設定を行うので、制御の誤りが
あった場合には衝突の危険が大きい。このことから、こ
の組み合わせは上記実施の形態３と同程度に優先的に検
証すべきであると考えられる。以下では、簡単のため指
定された進路の着点を発点とする進路のみを検証の対象
とするが、指定された進路の発点を着点とする進路の場
合も同様である。

【００４９】次に動作について説明する。選択指定表現
２で進路１ＲＤが指定されたとする。このとき、選択工
程３は、１ＲＤ内の機器である信号機１ＲＤと、その信
号てこ、転てつ器２１ロ、２３イ、２３ロと、これらの
転てつてこ、軌道回路ＸＴ，ＡＴ，２１Ｔ，２３Ｔ，１
ＲＤＴ、並びに１ＲＤの着点を発点とする進路１４Ｌ
Ａ，１４ＬＢ内の機器である入換標識１４ＬＡ，１４Ｌ
Ｂと、それらの信号てこ、転てつ器２１イ，２１ロ，２
２，２３イ，２３ロと、これらの転てつてこ、軌道回路
１ＲＤＴ，２３Ｔ，２１Ｔ，ＡＴ，２２Ｔ，２ＬＴおよ
びこれらの進路を通過する列車を選択する。以下、これ
までの実施の形態と同様に、入力表現１とこの選択結果
から変換工程５を経て有限状態機械で記述された形式的
言語による記述６の記述１ａが得られる。一方、入力表
現１のもう一方（表現２）が「区間２１Ｔに２台の列車
が同時に進入することはない」という命題を時相論理式
で表現したものであったとする。これは２１Ｔでは衝突
が起こらないことを意味する。上記実施の形態と同様
に、これは選択工程３、変換工程５による処理を経て形
式的言語による記述６の記述２ａとなる。形式的検証工
程７は、有限状態機械に従った動作が時相論理式で記述
された性質を満足するかどうかの証明を試み、証明に成
功する。

【００５０】以上は１ＲＤの着点を発点とする進路を検
証の対象とした場合であったが、１ＲＤの発点を着点と
する進路を対象とする場合、１ＲＤの発点ＸＴを着点と
する進路はなく、したがって選択工程３は何も選択しな
い。（しかしながら、同一区間を逆方向に設定する進路
を検証の対象とするという趣旨から、発点より２区間目
のＡＴを着点とする進路１４ＬＡ，１５ＬＡを選択する
ことも考えられる。）機器の配置や軌道区間の構成によ
っては、この実施の形態４のような選択の方法に替わ
り、指定された進路と同じ着点もしくは発点を持ち、逆
方向に設定される進路を選択することにより、この実施
の形態４と同様な効果を得ることができる。

【００５１】以上のように、この実施の形態４によれ
ば、指定された特定の進路に対するその進路内の全ての
現場機器と、その進路の発点を着点とするか、またはそ
の進路の着点を発点とし、逆方向に設定される他の全て
の進路内の全ての現場機器と、それら進路を通過する列
車を選択する方法をとることにより、指定された進路
と、この進路に関係する他の進路との制御の関係につい
て、利用できる計算機資源に応じて検証ができる効果が
ある。

【００５２】実施の形態５．次に、図１において、選択
工程３が、現場機器、列車、および現場機器に対して連
動装置が行う制御の仕様を示す命題について記述された
入力表現１の表現１、表現２から、指定された特定の進
路およびその進路内の特定の軌道回路に対して、その進
路内の全ての現場機器について記述された部分表現４の
表現１ａと、その軌道回路が設置された区間を含む他の
全ての進路内の全ての現場機器について記述された部分
表現４の表現１ａと、それら進路を通過する列車につい
て記述された部分表現４の表現１ａと、それら現場機器
に対して連動装置が行う制御の仕様を示す命題について
記述された部分表現４の表現２ａとを選択する場合の検
証方法について説明する。上記実施の形態１と同じく、
検証の対象として、図３および図４の連動図表で表わさ
れる連動装置および設備配置と、有限状態機械で表わさ
れる現場機器および列車が与えられたとする。上記実施
の形態３で述べた考え方に基づき、この実施の形態５で
は指定された進路および進路内の特定の軌道回路に対し
て、その軌道回路を含む全ての進路を検証の対象とす
る。このような進路の数は一般には上記実施の形態３，
４の場合と比べてやや多いと予想されるが、一つの軌道
回路上に設定される進路が全て対象になるため、上記実
施の形態３，４に比べてより強く制御の正しさを保証で
きるので、許容できる計算時間が長く、利用できる計算
機資源に恵まれている場合は検証すべきであると考えら
れる。

【００５３】次に動作について説明する。選択指定表現
２で進路１ＲＤと軌道回路２１Ｔが指定されたとする。
このとき、選択工程３は１ＲＤ内の機器全てと、２１Ｔ
を含む進路１ＲＣ，１１ＲＣ，１１ＲＤ，１２ＲＣ，１
４ＬＡ，１５ＬＡ，１５ＬＢ内の全ての機器およびこれ
らの進路を通過する列車を選択する。上記実施の形態１
〜４と同様に、入力表現１の表現１とこの選択結果から
変換工程５を経て形式的言語による記述６の記述１ａが
得られる。一方、入力表現１のもう一方（表現２）が
「区間２１Ｔに２台の列車が同時に進入することはな
い」という命題を時相論理で表現したものであったとす
る。これも上記実施の形態１〜４と同様に、これは選択
工程３、変換工程５による処理を経て形式的言語による
記述６の記述２ａとなる。形式的検証工程７はこれら２
つの記述の等価性の証明を試み、上記実施の形態１〜４
と同様、証明に成功する。

【００５４】以上のように、この実施の形態５によれ
ば、指定された特定の進路およびその進路内の特定の軌
道回路に対して、その進路内の全ての現場機器と、その
軌道回路が設置された区間を含む他の全ての進路内の全
ての現場機器と、それら進路を通過する列車を選択する
方法をとることにより、指定された進路と、この進路に
関係する他の進路との制御の関係について、利用できる
計算機資源に応じて検証ができる効果がある。

【００５５】実施の形態６．次に、図１において、選択
工程３が、現場機器、列車、および現場機器に対して連
動装置が行う制御の仕様を示す命題について記述された
入力表現１の表現１、表現２から、指定された特定の進
路に対するその進路内の全ての現場機器について記述さ
れた部分表現４の表現１ａと、その進路内に有する軌道
回路を一つでも含む他の全ての進路内の全ての現場機器
について記述された部分表現４の表現１ａと、それら進
路を通過する列車について記述された部分表現４の表現
１ａと、それら現場機器に対して連動装置が行う制御の
仕様を示す命題について記述された部分表現４の表現２
ａとを選択する場合の検証方法について説明する。上記
実施の形態１と同じく、検証の対象として、図３および
図４の連動図表で表わされる連動装置および設備配置
と、有限状態機械で表わされる現場機器および列車が与
えられたとする。この実施の形態６では、指定された進
路内の全ての区間に対して、その区間を一つでも含む全
ての進路を検証の対象とする。このような進路の数は上
記実施の形態５の場合と比べてさらに多くなるが、より
強く制御の正しさを保証できるので、許容できる計算時
間が長く利用できる計算機資源に恵まれている場合は検
証すべきであると考えられる。

【００５６】次に動作について説明する。選択指定記述
２で信号機１ＲＤが指定されたとする。このとき、選択
工程３は１ＲＤの進路内の機器全てと、１ＲＤの進路を
構成する区間ＸＴ，ＡＴ，２１Ｔ，２３Ｔ，１ＲＤＴの
うちいずれか一つでも含む進路１ＲＣ，２Ｌ，１１Ｒ
Ｃ，１１ＲＤ，１２ＲＣ，１２ＲＤ，１４ＬＡ，１４Ｌ
Ｂ，１５ＬＡ，１５ＬＢ内の全ての機器およびこれらの
進路を通過する列車を選択する。上記実施の形態１〜５
と同様に、入力記述１とこの選択結果から変換工程５を
経て形式的言語による記述６の記述１ａが得られる。一
方、入力表現１のもう一方（表現２）が「区間２１Ｔに
２台の列車が同時に進入することはない」という命題を
時相論理で表現したものであったとする。これも上記実
施の形態１〜５と同様に、これは選択工程３、変換工程
５による処理を経て形式的言語による記述６の記述２ａ
となる。一形式的検証工程７は上記実施の形態１〜５と
同様に証明を試み、証明に成功する。

【００５７】以上のように、この実施の形態６によれ
ば、指定された特定の進路に対するその進路内の全ての
現場機器と、その進路内に有する軌道回路を一つでも含
む他の全ての進路内の全ての現場機器と、それら進路を
通過する列車を選択する方法をとることにより、指定さ
れた進路と、この進路に関係する他の進路との制御の関
係について、利用できる計算機資源に応じて検証ができ
る効果がある。

【００５８】実施の形態７．次に、図１において、選択
工程３が、選択する現場機器、列車、および現場機器に
対して連動装置が行う制御の仕様を示す命題について記
述された入力表現１の選択を段階的に増加させ、各段階
毎に順次検証を行わせる場合の検証方法について説明す
る。上記実施の形態１と同じく、検証の対象として、図
３および図４の連動図表で表わされる連動装置および設
備配置と、有限状態機械で表わされる現場機器および列
車が与えられたとする。一般にはより多くの機器を検証
の対象としてより大域的な検証を行うのが望ましいが、
検証の対象機器が多くなると必要な計算時間や計算機資
源が急速に大きくなる。また検証に要する計算時間や計
算機資源を事前に予測するのは困難である。そこで、選
択する機器を徐々に増加させていき、許容できる計算時
間および利用できる計算機資源の許す限りより多くの機
器を含んだ検証を行うという方法をとる。

【００５９】次に動作について説明する。例えば、指定
された進路１ＲＤについて、まず、上記実施の形態１に
相当する検証から始め、上記実施の形態６に相当する検
証まで順に実施し、最後に全機器を含んだ検証を実施す
る。検証に必要な計算機資源は、概ねこの順に増大して
いくので、途中の段階で計算機資源の限界から検証でき
なくなることがあるが、そのときはその段階で検証を中
止する。このような方法によって許容できる計算時間お
よび利用できる計算機資源に応じた検証が可能になる。
以上の実施の形態１〜７では、連動装置の設計の正しさ
を検証する方法について説明したが、この発明は、この
他に連動装置の設計とその設計に従って制作された制御
プログラムの動作が一致していることの検証にも用いる
ことができる。また、同様に、連度装置の制御プログラ
ムの一部を変更したときに、プログラムの変更した部分
以外がこの変更の影響なく動作することを確認するた
め、変更前のプログラムと変更後のプログラムの動作が
一致することを検証する場合にも用いることができる。

【００６０】以上のように、この実施の形態７によれ
ば、選択する現場機器、列車、および現場機器に対して
連動装置が行う制御の仕様を示す命題について記述され
た入力表現１の選択を段階的に増加させ、各段階毎に順
次検証を行わせる方法をとることにより、連動装置の行
う制御の局所的な検証から計算時間および計算機資源の
許す限り多くの機器を含んだ大域的な検証を行うことが
できる効果がある。

【００６１】

【発明の効果】以上のように、この発明によれば、連動
装置、現場機器、列車、設備配置、および現場機器に対
して連動装置が行う制御の仕様を示す命題について記述
された形式的言語によらない表現から、任意の一部の検
証対象とする現場機器および列車を指定し、それら指定
された検証対象とする現場機器および列車について記述
された表現と共に、その指定された現場機器に応じた現
場機器に対して連動装置が行う制御の仕様を示す命題に
ついて記述された表現を選択する選択工程を備えるよう
に構成したので、入力表現のうち、選択された部分表現
についてのみ整合性を検証することができ、連動装置の
行う制御が正しいかどうかを、選択した現場機器および
列車に関して網羅的に、かつ現実的な計算時間および計
算機資源の範囲で試験を行なうことができる効果があ
る。

【００６２】また、この発明によれば、選択工程は、指
定された特定の進路に対するその進路内の全ての現場機
器について記述された表現と、その進路を通過する列車
について記述された表現と、その進路内の現場機器に対
して連動装置が行う制御の仕様を示す命題について記述
された表現とを選択するように構成したので、連動装置
の設計および試験で通常行われている進路単位の検証が
できる効果がある。

【００６３】また、この発明によれば、選択工程は、指
定された特定の２つの進路に対する各々の進路内の全て
の現場機器について記述された表現と、それら２つの進
路を通過する列車について記述された表現と、それら２
つの進路内の現場機器に対して連動装置が行う制御の仕
様を示す命題について記述された表現とを選択するよう
に構成したので、連動装置の設計および試験で通常行わ
れている２つの進路間の制御の関係について検証ができ
る効果がある。

【００６４】また、この発明によれば、選択工程は、指
定された特定の進路に対するその進路内の全ての現場機
器について記述された表現と、その進路と同じ発点また
は同じ着点を有し、同一方向に設定される他の全ての進
路内の全ての現場機器について記述された表現と、それ
ら進路を通過する列車について記述された表現と、それ
ら現場機器に対して連動装置が行う制御の仕様を示す命
題について記述された表現とを選択するように構成した
ので、指定された進路と、この進路に関係する他の進路
との制御の関係について、利用できる計算機資源に応じ
て検証ができる効果がある。

【００６５】また、この発明によれば、選択工程は、指
定された特定の進路に対するその進路内の全ての現場機
器について記述された表現と、その進路の発点を着点と
するか、またはその進路の着点を発点とし、逆方向に設
定される他の全ての進路内の全ての現場機器について記
述された表現と、それら進路を通過する列車について記
述された表現と、それら現場機器に対して連動装置が行
う制御の仕様を示す命題について記述された表現とを選
択するように構成したので、指定された進路と、この進
路に関係する他の進路との制御の関係について、利用で
きる計算機資源に応じて検証ができる効果がある。

【００６６】また、この発明によれば、選択工程は、指
定された特定の進路およびその進路内の特定の軌道回路
に対して、その進路内の全ての現場機器について記述さ
れた表現と、その軌道回路が設置された区間を含む他の
全ての進路内の全ての現場機器について記述された表現
と、それら進路を通過する列車について記述された表現
と、それら現場機器に対して連動装置が行う制御の仕様
を示す命題について記述された表現とを選択するように
構成したので、指定された進路と、この進路に関係する
他の進路との制御の関係について、利用できる計算機資
源に応じて検証ができる効果がある。

【００６７】また、この発明によれば、選択工程は、指
定された特定の進路に対するその進路内の全ての現場機
器について記述された表現と、その進路内に有する軌道
回路を一つでも含む他の全ての進路内の全ての現場機器
について記述された表現と、それら進路を通過する列車
について記述された表現と、それら現場機器に対して連
動装置が行う制御の仕様を示す命題について記述された
表現とを選択するように構成したので、指定された進路
と、この進路に関係する他の進路との制御の関係につい
て、利用できる計算機資源に応じて検証ができる効果が
ある。

【００６８】また、この発明によれば、選択工程は、選
択する現場機器、列車、および現場機器に対して連動装
置が行う制御の仕様を示す命題について記述された表現
を段階的に増加させ、各段階毎に順次検証を行わせるよ
うに構成したので、連動装置の行う制御の局所的な検証
から計算時間および計算機資源の許す限り多くの機器を
含んだ大域的な検証を行うことができる効果がある。

【００６９】また、この発明によれば、連動装置および
設備配置について記述された表現を、連動図表とするよ
うに構成したので、設計者は鉄道技術者が一般に使用し
ている連動図表を用いて連動装置の設計を記述すること
ができ、既存の設計方法との親和性を高めることができ
る効果がある。

【００７０】また、この発明によれば、記憶手段に記憶
された連動装置、現場機器、列車、設備配置、および現
場機器に対して連動装置が行う制御の仕様を示す命題に
ついて記述された形式的言語によらない表現から、指定
された任意の一部の検証対象とする現場機器および列車
について記述された表現と共に、その指定された現場機
器に応じた現場機器に対して連動装置が行う制御の仕様
を示す命題について記述された表現を選択する選択手段
を備えるように構成したので、入力表現のうち、選択さ
れた部分表現についてのみ整合性を検証することがで
き、連動装置の行う制御が正しいかどうかを、選択した
現場機器および列車に関して網羅的に、かつ現実的な計
算時間および計算機資源の範囲で試験を行なうことがで
きる効果がある。

【００７１】また、この発明によれば、連動装置、現場
機器、列車、設備配置、および現場機器に対して連動装
置が行う制御の仕様を示す命題について記述された形式
的言語によらない表現から、指定された任意の一部の検
証対象とする現場機器および列車について記述された表
現と共に、その指定された現場機器に応じた現場機器に
対して連動装置が行う制御の仕様を示す命題について記
述された表現を選択する選択工程を備えるように構成し
たので、入力表現のうち、選択された部分表現について
のみ整合性を検証することができ、連動装置の行う制御
が正しいかどうかを、選択した現場機器および列車に関
して網羅的に、かつ現実的な計算時間および計算機資源
の範囲で試験を行なうことができる効果がある。また、
記録媒体であるので、他のコンピュータへの利用も容易
となる効果がある。

【図面の簡単な説明】

【図１】 この発明の実施の形態１による鉄道信号シス
テムの連動装置検証方法および装置を示す構成図であ
る。

【図２】 この発明の実施の形態１による鉄道信号シス
テムの連動装置検証装置を示す構成図である。

【図３】 連動図表のうちの連動図を示す図である。

【図４】 連動図表のうちの連動表を示す図である。

【図５】 信号機に関する入力表現を示す概念図であ
る。

【図６】 有限状態機械のうち信号機１ＲＤに関するも
のを示す概念図である。

【符号の説明】

１ 入力表現（表現）、３ 選択工程（選択手段）、４
部分表現（表現）、５ 変換工程（変換手段）、６
形式的言語による記述（形式的言語による第１の記述，
形式的言語による第２の記述）、７ 形式的検証工程
（形式的検証手段）、１３ ＲＡＭ（記憶手段）、１５
フロッピーディスク（記録媒体）。

Claims (11)

【特許請求の範囲】
1. 【請求項１】 連動装置、現場機器、列車、設備配置、
   および現場機器に対して連動装置が行う制御の仕様を示
   す命題について記述された形式的言語によらない表現か
   ら、任意の一部の検証対象とする現場機器および列車を
   指定し、それら指定された検証対象とする現場機器およ
   び列車について記述された表現と共に、その指定された
   現場機器に応じた現場機器に対して連動装置が行う制御
   の仕様を示す命題について記述された表現を選択する選
   択工程と、上記選択工程によって選択された現場機器お
   よび列車について記述された表現を、上記連動装置およ
   び上記設備配置について記述された表現に基づいて、形
   式的言語による第１の記述に変換すると共に、その選択
   工程によって選択された現場機器に対して連動装置が行
   う制御の仕様を示す命題について記述された表現を形式
   的言語による第２の記述に変換する変換工程と、上記変
   換工程によって変換された形式的言語による第１の記述
   および第２の記述の整合性を検証する形式的検証工程７
   とを備えた鉄道信号システムの連動装置検証方法。
2. 【請求項２】 選択工程は、現場機器、列車、および現
   場機器に対して連動装置が行う制御の仕様を示す命題に
   ついて記述された表現から、指定された特定の進路に対
   するその進路内の全ての現場機器について記述された表
   現と、その進路を通過する列車について記述された表現
   と、その進路内の現場機器に対して連動装置が行う制御
   の仕様を示す命題について記述された表現とを選択する
   ことを特徴とする請求項１記載の鉄道信号システムの連
   動装置検証方法。
3. 【請求項３】 選択工程は、現場機器、列車、および現
   場機器に対して連動装置が行う制御の仕様を示す命題に
   ついて記述された表現から、指定された特定の２つの進
   路に対する各々の進路内の全ての現場機器について記述
   された表現と、それら２つの進路を通過する列車につい
   て記述された表現と、それら２つの進路内の現場機器に
   対して連動装置が行う制御の仕様を示す命題について記
   述された表現とを選択することを特徴とする請求項１記
   載の鉄道信号システムの連動装置検証方法。
4. 【請求項４】 選択工程は、現場機器、列車、および現
   場機器に対して連動装置が行う制御の仕様を示す命題に
   ついて記述された表現から、指定された特定の進路に対
   するその進路内の全ての現場機器について記述された表
   現と、その進路と同じ発点または同じ着点を有し、同一
   方向に設定される他の全ての進路内の全ての現場機器に
   ついて記述された表現と、それら進路を通過する列車に
   ついて記述された表現と、それら現場機器に対して連動
   装置が行う制御の仕様を示す命題について記述された表
   現とを選択することを特徴とする請求項１記載の鉄道信
   号システムの連動装置検証方法。
5. 【請求項５】 選択工程は、現場機器、列車、および現
   場機器に対して連動装置が行う制御の仕様を示す命題に
   ついて記述された表現から、指定された特定の進路に対
   するその進路内の全ての現場機器について記述された表
   現と、その進路の発点を着点とするか、またはその進路
   の着点を発点とし、逆方向に設定される他の全ての進路
   内の全ての現場機器について記述された表現と、それら
   進路を通過する列車について記述された表現と、それら
   現場機器に対して連動装置が行う制御の仕様を示す命題
   について記述された表現とを選択することを特徴とする
   請求項１記載の鉄道信号システムの連動装置検証方法。
6. 【請求項６】 選択工程は、現場機器、列車、および現
   場機器に対して連動装置が行う制御の仕様を示す命題に
   ついて記述された表現から、指定された特定の進路およ
   びその進路内の特定の軌道回路に対して、その進路内の
   全ての現場機器について記述された表現と、その軌道回
   路が設置された区間を含む他の全ての進路内の全ての現
   場機器について記述された表現と、それら進路を通過す
   る列車について記述された表現と、それら現場機器に対
   して連動装置が行う制御の仕様を示す命題について記述
   された表現とを選択することを特徴とする請求項１記載
   の鉄道信号システムの連動装置検証方法。
7. 【請求項７】 選択工程は、現場機器、列車、および現
   場機器に対して連動装置が行う制御の仕様を示す命題に
   ついて記述された表現から、指定された特定の進路に対
   するその進路内の全ての現場機器について記述された表
   現と、その進路内に有する軌道回路を一つでも含む他の
   全ての進路内の全ての現場機器について記述された表現
   と、それら進路を通過する列車について記述された表現
   と、それら現場機器に対して連動装置が行う制御の仕様
   を示す命題について記述された表現とを選択することを
   特徴とする請求項１記載の鉄道信号システムの連動装置
   検証方法。
8. 【請求項８】 選択工程は、選択する現場機器、列車、
   および現場機器に対して連動装置が行う制御の仕様を示
   す命題について記述された表現を段階的に増加させ、各
   段階毎に順次検証を行わせることを特徴とする請求項１
   記載の鉄道信号システムの連動装置検証方法。
9. 【請求項９】 連動装置および設備配置について記述さ
   れた表現は、連動図表であることを特徴とする請求項１
   から請求項８のうちのいずれか１項記載の鉄道信号シス
   テムの連動装置検証方法。
10. 【請求項１０】 記憶手段に記憶された連動装置、現場
    機器、列車、設備配置、および現場機器に対して連動装
    置が行う制御の仕様を示す命題について記述された形式
    的言語によらない表現から、指定された任意の一部の検
    証対象とする現場機器および列車について記述された表
    現と共に、その指定された現場機器に応じた現場機器に
    対して連動装置が行う制御の仕様を示す命題について記
    述された表現を選択する選択手段と、上記選択手段によ
    って選択された現場機器および列車について記述された
    表現を、上記記憶手段に記憶された上記連動装置および
    上記設備配置について記述された表現に基づいて、形式
    的言語による第１の記述に変換すると共に、その選択手
    段によって選択された現場機器に対して連動装置が行う
    制御の仕様を示す命題について記述された表現を形式的
    言語による第２の記述に変換する変換手段と、上記変換
    手段によって変換された形式的言語による第１の記述お
    よび第２の記述の整合性を検証する形式的検証手段とを
    備えた鉄道信号システムの連動装置検証装置。
11. 【請求項１１】 連動装置、現場機器、列車、設備配
    置、および現場機器に対して連動装置が行う制御の仕様
    を示す命題について記述された形式的言語によらない表
    現から、指定された任意の一部の検証対象とする現場機
    器および列車について記述された表現と共に、その指定
    された現場機器に応じた現場機器に対して連動装置が行
    う制御の仕様を示す命題について記述された表現を選択
    する選択工程と、上記選択工程によって選択された現場
    機器および列車について記述された表現を、上記連動装
    置および上記設備配置について記述された表現に基づい
    て、形式的言語による第１の記述に変換すると共に、そ
    の選択工程によって選択された現場機器に対して連動装
    置が行う制御の仕様を示す命題について記述された表現
    を形式的言語による第２の記述に変換する変換工程と、
    上記変換工程によって変換された形式的言語による第１
    の記述および第２の記述の整合性を検証する形式的検証
    工程とを、コンピュータによって実行させるためのプロ
    グラムを記録したコンピュータ読み取り可能な記録媒
    体。