JP2007249976A - システムの安全性を確保する分散制御システムと、制御プロセス - Google Patents

システムの安全性を確保する分散制御システムと、制御プロセス Download PDF

Info

Publication number
JP2007249976A
JP2007249976A JP2007070709A JP2007070709A JP2007249976A JP 2007249976 A JP2007249976 A JP 2007249976A JP 2007070709 A JP2007070709 A JP 2007070709A JP 2007070709 A JP2007070709 A JP 2007070709A JP 2007249976 A JP2007249976 A JP 2007249976A
Authority
JP
Japan
Prior art keywords
sequence
processor
safety
control system
output
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2007070709A
Other languages
English (en)
Inventor
Cyrille Bougault
ブーゴー，シリル
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alstom Transport SA
Original Assignee
Alstom Transport SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alstom Transport SA filed Critical Alstom Transport SA
Publication of JP2007249976A publication Critical patent/JP2007249976A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1479—Generic software techniques for error detection or fault masking
    • G06F11/1487—Generic software techniques for error detection or fault masking using N-version programming
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L19/00—Arrangements for interlocking between points and signals by means of a single interlocking device, e.g. central control
    • B61L19/06—Interlocking devices having electrical operation
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L21/00—Station blocking between signal boxes in one yard
    • B61L21/04—Electrical locking and release of the route; Electrical repeat locks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
    • G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Train Traffic Observation, Control, And Security (AREA)
  • Safety Devices In Control Systems (AREA)
  • Hardware Redundancy (AREA)
  • Devices For Executing Special Programs (AREA)
  • Programmable Controllers (AREA)
  • Electric Propulsion And Braking For Vehicles (AREA)
  • Advance Control (AREA)
  • Stored Programmes (AREA)

Abstract

【課題】ソフトウェアの開発工数を削減できる、システムの安全性を確保する分散制御システムを提供する。
【手段】鉄道網向けコマンドを処理するため、並列に配置され対応入力に同一の入力データを受信する複数個のプロセッサのセットと、各プロセッサは複数の異なる命令セットを受取り、その命令セットの実行を通じて同一の入力データに対し同一の出力データを計算して各出力に伝達し、各プロセッサの出力データから所定の基準に基づいて選んだコマンド信号を伝達するコマンド出力を備えたコマンド選択コンポーネントとを含み、さらに、各プロセッサに関連した命令セットは、全ての命令セットに対して同一の複数の自動システムを、各プロセッサに特有の関連する周期的シーケンスにおいて活性化するシーケンサに従って走らせ、各シーケンサの発生する周期的シーケンスは互いに異なる、ことを特徴とする。
【選択図】図２

Description

本発明は、システム、中でも鉄道網システムの安全性を確保する分散制御システムに係り、特に、以下に掲げる特徴を含むタイプの分散制御システムに関するものである。
（ｉ） 鉄道網システム向けに意図されたコマンドを処理するために、対応する入力において同一の入力データＥを受信するように並列に配置された、少なくとも２つのプロセッサからなるセット、
（ｉｉ） その際、プロセッサの各々は、少なくとも２つの異なる命令セットを受け取り、その命令セットの実行を通じて、同一の入力データＥに対して同一の出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を計算し、異なる出力に伝達することができ、
（ｉｉｉ） 各々、プロセッサの出力に接続されている少なくとも２つの入力、及びプロセッサからの出力データから前もって定義した基準に基づいて選ばれたコマンド信号を伝達することができるコマンド出力を備えたコマンド選択コンポーネント。
鉄道網システムは、平面交差システムに接続されたスイッチング・システム、及び交差点の踏切遮断機の遮断警報システム、から成る。
安全上の理由から、鉄道網システムの制御システムは、異なる計算機回路配置を有する処理ブランチを複数持たせる形で分散化できることが知られている。
同じ入力データに基づいて、各処理ブランチは同一のアプリケーション（又は、アプリケーション・アルゴリズム）を、異なる計算様式を使って実行する。
各処理ブランチが正確に機能している状況では、各処理ブランチから同一のコマンドが出力として出される。
万一、処理ブランチのうちの１つの回路に誤動作があると、異なるコマンドが生産される。
いくつかの処理ブランチが同時に誤動作する場合にも、一般に異なる計算回路配置を有する処理ブランチの故障モードには相関性が欠如しているので、異なるコマンドが生産される。
複雑なアルゴリズムが使用される場合、この従来の配置は特に有利である。
このシステムの安全性を確保する分散制御システムの、良く知られた単純な具体案（ｉｍｐｌｅｍｅｎｔａｔｉｏｎ）は、物理的な視点からは、各処理ブランチ内に同一のアーキテクチャのプロセッサを提供する形になる。
この良く知られた具体案では、各プロセッサが、異なる関連するコンパイラの言語に依存する異なるソースプログラムから生じる命令セット（又は、オブジェクトプログラム）を実行し、異なるソースプログラムの各々は、同じ入力、同じ出力、及び同じアプリケーション・アルゴリズムによって定義された同じアプリケーションをエミュレートする。
しかしながら、この具体案は物理的な視点からは単純であるが、異なる言語又はコンパイラの数に比例する多数のソフトウェア・コンポーネントの開発を必要とするので、ソフトウェアの視点からは、依然として複雑である。
このような従来のシステムの安全性を確保する分散制御システムで生じる特有の問題は、いくつかのコンパイラ言語を使用するソフトウェア・コンポーネントの開発の複雑さにある。
従って本発明の目的は、システムの安全性を確保する分散制御システムの提供に際して、ソフトウェア・コンポーネントの開発に要するリソースを削減することにある。
この目的に対してなされた本発明による、システムの安全性を確保する分散制御システムは、鉄道網システムの制御システムに関係し、
（ｉ） 鉄道網システム向けに意図されたコマンドを処理するために、対応する入力（１０、１２、１４）において同一の入力データＥを受信するように並列に配置された、少なくとも２つのプロセッサ（４、６、８）からなるセットと、
（ｉｉ） その際、プロセッサ（４、６、８）の各々は、少なくとも２つの異なる命令セットを受け取り、その命令セットの実行を通じて、同一の入力データＥに対して同一の出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を計算し、異なる出力（２８、３０、３２）に伝達することができ、
（ｉｉｉ） 各々、プロセッサ（４、６、８）の出力（２８、３０、３２）に接続されている少なくとも２つの入力（３６、３８、４０）、及びプロセッサ（４、６、８）からの出力データから前もって定義した基準に基づいて選ばれたコマンド信号を伝達することができるコマンド出力（４２）を備えたコマンド選択コンポーネント（３４）と、
を含み、さらに、
（ｉｖ） プロセッサ（４、６、８）の各々に関連した命令セットは、少なくとも２つのモジュラ・アプリケーション自動システム（以下、単に「自動システム」という。 ４６、４８、５０、５２）を走らせることが可能で、自動システム（４６、４８、５０、５２）は、すべての命令セットに対して同一であり、
（ｖ） プロセッサ（４、６、８）の各々に関連した各命令セット（１６、１８、２０）は、自動システム（４６、４８、５０、５２）を、各プロセッサに特有の関連する周期的シーケンス（６０、７０、７８）において活性化するシーケンサ（５４、５６、５８）を作成し、そして、
（ｖｉ） 各シーケンサ（５４、５６、５８）は、その特定の関連する周期的シーケンス（６０、７０、７８）に関して、他のシーケンサ（各々、５６と５８、５４と５８、５４と５６）と異なる、
ことを特徴とする。
特定の実施例によれば、システムの安全性を確保する分散制御システムは、次の各段落のうちの１つ又は複数に記載の特徴を備える。
各シーケンサ（５４、５６、５８）は、自動システム（４６、４８、５０、５２）を走らせる互いに異なる周期的シーケンス（６０、７０、７８）に基き、自動システム（４６、４８、５０、５２）を活性化し順序付けし、その際、周期的シーケンス（６０、７０、７８）は、同一のサイクル（６２）を有し、さらに異なるシーケンス・スタート（６４、７２）及び異なるパス方向（６６、８２）の一方又は両方のいずれかを有する。
各シーケンサ（５４、５６）は、自動システム（４６、４８、５０、５２）を走らせる異なる特定の周期的シーケンス（６０、７０）に基き、自動システム（４６、４８、５０、５２）を活性化し順序付けし、その際、周期的シーケンス（６０、７０）は、同一パス方向（６６、７４）の同一のサイクル（６２）を有する。
請求項４に示す、システムの安全性を確保する分散制御システムの特徴は、詳細に述べると次のようになる。
（ｉ） 自動システム（１９８、２００、２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６）は、少なくとも２つのサブグループ（２１８、２２０、２２２）にグループ化され、
（ｉｉ） シーケンサは、第１に、サブグループ間のシーケンス（２２４）を制御し、
（ｉｉｉ） シーケンサは、第２に、各サブグループ（２３４、２４４、２５４）の内部のシーケンスを制御し、
（ｉｖ） その際、各サブグループの内部の自動システムの組合せは、全てのプロセッサに共通であり、一方、サブグループ間のシーケンス及び各サブグループ内部の自動システムのシーケンスは、各プロセッサに特有である。
自動システムのサブグループ（２１８、２２０、２２２）は、すべてのプロセッサ（４、６、８）に対して同一である。
（ｉ） 各自動システム（４６、４８、５０、５２）は、自動システム入力（８６、８８、９２、９４、１００、１０２、１０６、１０８）、及び自動システム出力（９０、９６、９８、１０４、１１０）を有し、
（ｉｉ） 前記自動システム入力は、それが制御システム（２）への入力データ（Ｅ１、Ｅ２）の変数アイテムを受信することができる場合、外部入力であり、
（ｉｉｉ） 前記自動システム出力は、それが制御システム（２）からの出力データ（Ｓ１、Ｓ２、Ｓ３）の変数アイテムを伝達することができる場合、外部出力であり、
（ｉｖ） 前記自動システム入力及び自動システム出力は、同一の自動システム又は２つの異なる自動システムに対して相互に連結することができ、データ（Ｉ１、Ｉ２）の変数アイテムを交換することができる場合、内部入出力であり、
（ｖ） 自動システム入力（８６、８８、９２、９４、１００、１０２、１０６、１０８）、及び自動システム出力（９０、９６、９８、１０４、１１０）の変数のセットは、重複を省いた場合、制御システム（２）の状態ベクトル（Ｅ１、Ｅ２、Ｉｌ、Ｉ２、Ｓ１、Ｓ２、Ｓ３）を形成し、
さらに、
（ｖｉ） 制御システム（２）は、各プロセッサ（４、６、８）に対応する一時記憶（２２、２４、２６）を有し、前記一時記憶（２２、２４、２６）は、自動システムのシーケンスが実行される場合の、スタート状態レジスタレジスタ（１１２）とエンド状態レジスタ（１１３）を備え、
（ａ） 前記スタート状態レジスタレジスタ（１１２）は、自動システムのシーケンスが実行される直前の状態変数のセット（Ｅ１、Ｅ２、Ｉｌ、Ｉ２、Ｓ１、Ｓ２、Ｓ３）に対する値を含み、
（ｂ） 前記エンド状態レジスタ（１１３）は、自動システムのシーケンスが実行された直後の状態変数のセット（Ｅ１、Ｅ２、Ｉｌ、Ｉ２、Ｓ１、Ｓ２、Ｓ３）に対する値を含む。
各プロセッサ（４、６、８）は、シーケンス（６０、７０、７８）が実行されている期間において、スタート状態レジスタレジスタ（１１２）に対しては単に読み出すことができるだけであり、エンド状態レジスタ（１１３）に対しては単に書き込むことができるだけである。
（ｉ） 各プロセッサ（４、６、８）については、一旦シーケンスが実行され始めると、シーケンス用のスタート状態レジスタ（１１２）は単に書き込まれることができ、エンド状態レジスタ（１１３）に存在する状態変数の値によってリフレッシュすることができ、
さらに、
（ｉｉ） 少なくとも２つの関連する状態レジスタ（１１２、１１３）の状態変数の値が同一になるまで、各プロセッサ（４、６、８）は、自動システムのシーケンスを繰り返し実行することができる。
各プロセッサ（４、６、８）は、そのプロセッサにロードすることができる１セットのプロセッサ命令を含むプログラム・データベース（１６、１８、２０）を備え、そのプロセッサに関連するシーケンサ（５４、５６、５８）によって命じられたシーケンスに従い、自動システム（４６、４８、５０、５２）のシーケンスを実行することができる。
各プログラム・データベース（１６、１８、２０）は、同一のコンパイラを使用して得られた１セットの命令から成る。
コマンド選択コンポーネント（３４）は、全てのプロセッサ（４、６、８）から生じる出力データ（Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３））から多数決ベースで決定するものであり、
前記コマンド選択コンポーネントは、各プロセッサ（４、６、８）の出力から生じる出力データを比較して、予め定義した多数決基準に基づき、プロセッサのセットに関して多数決ベースで共通の出力データを送信することができる。
コマンド選択コンポーネント（３４）は、全数一致ベースで決定するものである。
前記制御システム（２）が、安全性鉄道網システムを制御することができる。
この目的に対してなされた本発明による、システムの安全性を確保する制御プロセスは、次の各段階：
（ｉ） 少なくとも２つのプロセッサ（４、６、８）に、プログラム・データ・ベース（１６、１８、２０）から、異なる命令セットをロードする段階、
（ｉｉ） それぞれの入力（１０、１２、１４）を介して、並列に配置されたプロセッサ（４、６、８）に同一の入力データ（Ｅ）を供給する段階、
（ｉｉｉ） 各プロセッサ（４、６、８）に、それに関連した異なる命令のセットを実行させ、同一の入力データＥに基づいて、同一の出力データ（Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３））を計算し、それぞれの出力（２８、３０、３２）に伝達することができるようにする段階であって、次のサブ段階から成る段階：
（ａ） 少なくとも２つの、各命令セットに対して同一の自動システム（４６、４８、５０、５２）を、他の命令セットに対するシーケンスとは異なる、特定のシーケンスに従い実行させるサブ段階、
（ｂ） シーケンスを実行した後に得られた出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を抽出するサブ段階、
（ｃ） 出力データをコマンド選択コンポーネントに伝達するサブ段階、
（ｉｖ） 特定の選択基準に基づいて、プロセッサ（４、６、８）から生じた出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）のうちから１つを選択してコマンド信号とする段階、
を含むことを特徴とする。
特定の実施例によれば、システムの安全性を確保する制御プロセスは、さらに次の段階：
（ｉ） 前記選択基準に基づいて、複数の出力データ（Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３））から出る前記コマンドの送信を有効とするか、又は禁止する段階、
（ｉｉ） 禁止の場合には、少なくとも１つのプロセッサ（４、６、８）のフォールト（誤動作）の存在を発信する（１９６）段階、
を含む。
このようにして、モジュラ・アプリケーション自動システムを異なる特有の順序で働かせることによって形成された相異なる命令セットは、同一のアーキテクチャを有するプロセッサの各々において、異なる回路活性化シーケンスを使用することを可能にし、そのシーケンスはプロセッサの一般的なアーキテクチャの範囲で規定可能なものである。
従って第一に、得られた異なる命令セットは、鉄道網の安全上の制約によって制御システムに課せられた分散化の要請を満たす。
更に、１つのソフトウェア開発プラットフォームだけを使用することができるので、これらの異なる命令セットを処理する過程を具体化（ｉｍｐｌｅｍｅｎｔ）することは簡単である。
事実、単一のコンパイラを使用するアプリケーション・モジュールの開発リソースは、それらのアプリケーション・モジュールを、ある処理ブランチから別の処理ブランチに好便に再利用することができるので、削減できる。
本発明は、純粋に例示を目的として提供された以下の記述を、添付された図面を参照しながら読むことにより、より良い理解が得られるであろう。
図１に示す「システムの安全性を確保する分散制御システム」（以下、単に「制御システム」とする）２は、３つの計算システム又は処理システムから成り、各々は、第１のプロセッサ４、Ｐ１、第２のプロセッサ６、Ｐ２、第３のプロセッサ８、Ｐ３を含む。
各プロセッサ４、６、８は、関連する入力１０、１２、１４を通じて前もって定義した鉄道網システム９から生じる同一の入力データを受信する。
各プロセッサ４、６、８は、特定の計算プログラム、即ち、各プロセッサが接続された関連するプログラム・データベース１６、１８、２０からロードした命令セット、をそれぞれ実行する。
各プロセッサ４、６、８は、関連する一時記憶２２、２４、２６と、ワーキングデータを交換することができる。
各プロセッサ４、６、８は、処理後に出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を伝達できる関連する出力２８、３０、３２を備える。
制御システム２は、さらに、本実施例では３つの入力３６、３８、４０を有するコマンド選択コンポーネント３４を備える。
各入力３６、３８、４０は、各々、プロセッサ４、６、８、即ち、Ｐ１、Ｐ２、Ｐ３から生じた出力信号Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を受信することができる。
コマンド選択コンポーネント３４は、コマンド受信ターミナル４４に接続される出力４２を備える。
本実施例における、各々プロセッサ４、６、８に関連したプログラム・データベース１６、１８、２０の構造的内容を、図２（Ａ）、２（Ｂ）、２（Ｃ）にそれぞれ示す。
第１のプロセッサＰ１に関連した第１のプログラム・データベース１６は、自動システム４６、４８、５０、５２のセット、Ａ、Ｂ、Ｃ、Ｄと、第１のシーケンサ５４、Ｓｅｑ１を含み、自動システムは、第１シーケンスではＡ、Ｂ、Ｃ、Ｄの順に順序付けられ、第１のシーケンサは、自動システムの作動シーケンスがこの順になるように制御する。
第２のプロセッサＰ２に関連した第２のプログラム・データベース１８は、同一の自動システム４６、４８、５０、５２のセット、Ａ、Ｂ、Ｃ、Ｄと、第２のシーケンサ５６、Ｓｅｑ２を含み、自動システムは、第２シーケンスではＣ、Ｄ、Ａ、Ｂの順に順序付けられ、第２のシーケンサは、自動システムの作動シーケンスがこの順になるように制御する。
第３のプロセッサＰ３に関連した第３のプログラム・データベース２０は、同一の自動システム４６、４８、５０、５２のセット、Ａ、Ｂ、Ｃ、Ｄと、第３のシーケンサ５８、Ｓｅｑ３を含み、自動システムは、第３シーケンスではＤ、Ｃ、Ｂ、Ａの順に順序付けられ、第３のシーケンサは、自動システムの作動シーケンスがこの順になるように制御する。
各プログラム・データベースにおけるある与えられたアプリケーションに対応する自動システムは、ある与えられたソース・コード及び同一のコンパイラから生成される限りでは、同一である。
各データベースにおける自動システムは全て同一のコンパイラを使用して生成される。
シーケンサＳｅｑ１、Ｓｅｑ２及びＳｅｑ３によって具体化された第１、第２及び第３のシーケンスは、図３（Ａ）、３（Ｂ）、３（Ｃ）にそれぞれ記述される。
シーケンス６０、７０、７８は各々、同一の与えられたサイクル６２から形成され、シーケンス・スタート６４、７２、８０を備え、シーケンス・スタートはここでは各々、図３（Ａ）のＡ、図３（Ｂ）のＣ、及び図３（Ｃ）のＤである。
シーケンス６０、７０、７８は各々、パス方向６６、７４、８２に従い実行され、パス方向はここでは各々、図３（Ａ）の右回り方向６６、図３（Ｂ）の右回り方向７４、及び図３（Ｃ）の左回り方向８２である。
シーケンス・エンド６８、７６、８４は各々、シーケンス・スタート６４、７２、８０からスタートするシーケンス６０、７０、７８に起因し、シーケンス６０、７０、７８の各々に対応し、シーケンス・エンドはここでは各々、図３（Ａ）のＤ、図３（Ｂ）のＢ、及び図３（Ｃ）のＡである。
図４（Ａ）は、モジュラ・アプリケーション用を意図した自動システムのセットを示す。
ここで、自動システムＡはルート・モデルをシミュレートし、自動システムＢは平面交差モデルをシミュレートするために用いられ、自動システムＣは公報モデルをシミュレートし、自動システムＤはスイッチング・モデルを再生する。
自動システムＡは２つの入力信号Ｅ１、Ｅ２を、鉄道網システム９から、２つの入力８６、８８で受信し、第１の内部信号Ｉｌを出力９０に提供する。
自動システムＢは２つの入力９２、９４を有し、各々第１の入力信号Ｉ１と鉄道網システム９からの第１の入力信号Ｅｌを受信する。
自動システムＢも、各々第２の内部信号Ｉ２と第１の外部出力信号Ｓ１を提供する２つの出力９６、９８を備える。
自動システムＣは、第２の内部信号Ｉ２と第１の外部入力信号Ｅ１を、２つの入力１００、１０２でそれぞれ受信する。
自動システムＣは出力１０４に第２の外部出力信号Ｓ２を伝達する。
自動システムＤは、第１の外部入力信号Ｅ１と第２の外部入力信号Ｅ２を、２つの入力１０６、１０８で受信する。
自動システムＤは単一の出力１１０に第３の外部出力信号Ｓ３を伝達する。
ここで、第１の外部入力信号Ｅ１は現在時刻であり、一方、第２の外部入力信号Ｅ２は、鉄道位置マークの通過指標である。
また、第１の内部信号Ｉｌは平面交差で予期される交差時刻に相当し、第２の内部信号Ｉ２は計算された公報コマンド時刻に相当する。
第１の外部出力信号Ｓ１は平面交差で遮断機を降ろすコマンドであり、第２の外部出力信号Ｓ２は平面交差の遮断を公報するコマンドであり、他方、第３の外部出力信号Ｓ３はスイッチング・コマンドである。
一時記憶２２、２４、２６は各々プロセッサＰ１、Ｐ２、Ｐ３に関連していて、それぞれ、スタート状態レジスタ１１２及びエンド状態レジスタ１１３を有し、それらのフォームは図４（Ｂ）及び４（Ｃ）にそれぞれ示すとおりであり、プロセッサＰ１、Ｐ２、Ｐ３に共通である。
図４（Ｂ）及び４（Ｃ）に示すレジスタに記憶されたデータのセットは、対応する状態ベクトルを表わす。
図４（Ｂ）に示すスタート状態レジスタ１１２は、７つのコンポーネント１１４、１１６、１１８、１２０、１２２、１２４、１２６を有し、３つのグループに細分される。
即ち、１１４、１１６からなる第１のグループＥには、２つの外部入力信号Ｅ１、Ｅ２が記憶され、１１８、１２０からなる第２のグループＩ（Ｐｉ）には、２つの内部信号Ｉｌ（Ｐｉ）、Ｉ２（Ｐｉ）が記憶され、そして、１２２、１２４、１２６からなる第３のグループＳ（Ｐｉ）には、３つの外部出力信号Ｓ１（Ｐｉ）、Ｓ２（Ｐｉ）、Ｓ３（Ｐｉ）が記憶される。
（「（Ｐｉ）」は、ここでは（Ｐ１）、（Ｐ２）、（Ｐ３）のいずれかに相当し、どのプロセッサに所属するかを表す。）
エンド状態レジスタ１１３もまた、スタート状態レジスタ１１２のコンポーネント１１４、１１６、１１８、１２０、１２２、１２４、１２６に類似した、７つのコンポーネント１３０、１３２、１３４、１３６、１３８、１４０、１４２を有する。
制御システムの動作は、図５のフローチャートによって記述され、それはプロセッサＰ１、Ｐ２及びＰ３によって具体化される。
第１ステージ１４４では、鉄道網システム９は共通の方法で、プロセッサＰ１、Ｐ２、及びＰ３の各々に同じ入力データＥを送り、プロセッサは各々対応する処理１４６、１４８及び１５０を実行する。
処理１４６の初期段階１５２では、第１のプロセッサＰ１はスタート状態レジスタ１１２を初期化する。それは、図５の初期段階１５２において、プロセッサＰ１の状態ベクトルＶ１−ｄｓをＶ０に等しくセットすることで示される。
その後、プロセッサＰ１は、図３（Ａ）に示したように、第１のプロセッサＰ１に関係している、第１のシーケンスに従って、自動システムＡ上で第１段階１５４、次にＢ上で第２段階１５６、次にＣ上で第３段階１５８、次にＤ上で第４段階１６０を実行する。
上記のシーケンスの終了後、段階１６２では、自動システムＡ、Ｂ、Ｃ、Ｄの各々から得られた内部信号データの組Ｉ（Ｐ１）、外部出力信号データの組Ｓ（Ｐ１）を、外部入力信号データの組Ｅと合わせて状態ベクトルＶ１−ｆｓを形成し、エンド状態レジスタ１１３に記憶させる。
続くテスト段階１６４では、スタート状態レジスタレジスタ１１２内の状態ベクトルＶ１−ｄｓが、エンド状態レジスタ１１３内の状態ベクトルＶ１−ｆｓと比較される。
状態ベクトルＶ１−ｄｓとＶ１−ｆｓが等しくない場合、段階１６６中に示すように、スタート状態レジスタ１１２をエンド状態レジスタ１１３の状態ベクトルＶ１−ｆｓによりリフレッシュした後、第１のシーケンス１５４〜１６０、即ち、Ａ、Ｂ、Ｃ、Ｄが再実行される。
２つの状態レジスタ１１２と１１３が同一の状態ベクトルを持つ場合、即ち、Ｖ１−ｄｓがＶ１−ｆｓに等しい場合、段階１７０中で、出力データ（状態ベクトルの第３グループ・コンポーネントＳ（Ｐ１））が抽出される。
第２のプロセッサＰ２による処理１４８は、自動システムの走る順序を除いて第１のプロセッサＰ１による処理１４６に似ている。
従って、処理のスタートでは、スタート状態レジスタを初期化する段階１７２が実行される。即ち、プロセッサＰ２の状態ベクトルＶ２−ｄｓはＶ０にセットされる。
しかしながら、それに続くシーケンスは図３（Ｂ）に示す第２のシーケンスであるので、処理１４６と異なる形で実行される、即ち、Ｃ、Ｄ、Ａ、Ｂのシーケンスである。
スタート及びエンド状態レジスタ内の２つの状態ベクトルＶ２−ｄｓ、Ｖ２−ｆｓを比較するテスト段階１７６は同様に実行され、テスト結果が否定的である（即ち、２つの状態ベクトルが等しくない）限り、リフレッシュ段階１７８を経て第２のシーケンスが繰り返される。
テスト結果が肯定的である（即ち、２つの状態ベクトルが等しい）場合、段階１８０中で、出力データＳ（Ｐ２）が抽出される。
同様に、第３のプロセッサＰ３による処理１５０も、自動システムの実行順序を除いて第１及び第２のプロセッサＰ１、Ｐ２による処理１４６、１４８に似ている。
スタート状態レジスタ１１２を初期化する段階１８２も実行される。
自動システムのシーケンスは、図３（Ｃ）に示した第３のシーケンス、即ちＤ、Ｃ、Ｂ、Ａのシーケンス、で実行される。
同様に段階１８４で、状態ベクトルＶ３−ｆｓがエンド状態レジスタ１１３に供給される。
同様のテスト段階１８６が実行され、プロセッサＰ３の、スタート状態レジスタ１１２内の状態ベクトルＶ３−ｄｓが、エンド状態レジスタ１１３内の状態ベクトルＶ３−ｆｓと比較される。
テスト結果が肯定的になるまで、この手順は繰り返し実行される。
テスト結果が否定的な場合、段階１８８で、エンド状態レジスタ１１３はスタート状態レジスタ１１２をリフレッシュする。
テスト結果が肯定的な場合、段階１８６で、第３のプロセッサＰ３から出力データＳ（Ｐ３）は抽出される。
出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）は各々、プロセッサＰ１、Ｐ２、Ｐ３からコマンド選択コンポーネント３４へ送られる。
コマンド選択段階１９２では、プロセッサの各々からの出力データが比較される。
出力データが全て等しい場合、段階１９４で、出力コマンドＣは、Ｓ（Ｐ１）＝Ｓ（Ｐ２）＝Ｓ（Ｐ３）の共通の値に等しくセットされ、有効とされ、鉄道網システム９に属するコマンド受信ターミナル４４へ送信される。
これらのデータのうちの１つが異なる場合、段階１９６で、制御システム内での誤動作を警告する信号が（鉄道網システム９に向かって）与えられる。
「全数一致ベースの決定」がコマンド選択コンポーネント３４に採用される場合、出力コマンドＣは出されない。
「多数決ベースの決定」がコマンド選択コンポーネント３４に採用され、かつ、３つのプロセッサのうちの２つからの出力データが一致する場合、一致した値にセットされた出力コマンドＣが、通常何らかの警告付きで出される。
変形として、第２の実施例に係るプログラム・データベースによる、自動システム１９８、２００、２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６からなるセットを用いて形成されたシーケンスが、図６（Ａ）、６（Ｂ）、６（Ｃ）、６（Ｄ）、及び６（Ｅ）を一括した形で示される。
ここでは制御システム（２）に含まれる複数のプロセッサのうち、単一のプロセッサだけを考察する。
プロセッサに関連するシーケンサは、プロセッサに属する自動システムのセットに対して以下のように働く。
図６（Ａ）では、これらの自動システムが、Ｐ、Ｑ、Ｒ、Ｓ、Ｔ、Ｕ、Ｖ、Ｗ、Ｘ、Ｙ、Ｚとして識別され、参照される。
自動システムのセット、１９８、２００、２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６は、３つのサブグループ２１８、２２０、２２２に細分され、各々、ＳＧ１、ＳＧ２、ＳＧ３と名づけられる。
第１のサブグループ２１８（ＳＧ１）は自動システムＰ、Ｑ、Ｒから成り、第２のサブグループ２２０（ＳＧ２）は自動システムＳ、Ｔ、Ｖ、Ｗから成り、第３のサブグループ２２２（ＳＧ３）は自動システムＸ、Ｙ、Ｚから成る。
サブグループ群のためのシーケンス２２４は、サブグループＳＧ１、ＳＧ２、ＳＧ３によって形成されたサイクル２２６に基づいた図６（Ｂ）に示される。
シーケンス・スタート２２８は、ここではＳＧ１に割り当てられ、パス方向２３０は、ここでは右回りに割り当てられ、そして、シーケンス・エンド２３２は、ここではＳＧ３に割り当てられる。
第１のサブグループＳＧ１のためのシーケンス２３４は図６（Ｃ）に示される。
シーケンス２３４は、ここではＰ、Ｑ、Ｒと命名された自動システム１９８、２００、２０２のサイクル２３６によって形成され、ここでは、自動システムＱをシーケンス・スタート２３８とし、右回りをラン方向２４０とし、そして自動システムＰをシーケンス・エンド２４２とする。
第２のサブグループＳＧ２のためのシーケンス２４４は図６（Ｄ）に示される。
シーケンス２４４は、ここではＳ、Ｔ、Ｖ、Ｗと命名された自動システム２０４、２０６、２０８、２１０のサイクル２４６によって形成され、ここでは、自動システムＳをシーケンス・スタート２４８とし、右回りをラン方向２５０とし、そして自動システムＷをシーケンス・エンド２５２とする。
最後に、第３のサブグループＳＧ３のためのシーケンス２５４は図６（Ｅ）に示される。
シーケンス２５４は、ここではＸ、Ｙ、Ｚと命名された自動システム２１２、２１４、２１６のサイクル２５６によって形成され、ここでは、自動システムＺをシーケンス・スタート２５８とし、左回りをラン方向２６０とし、そして自動システムＸをシーケンス・エンド２６２とする。
このようにして得られた自動システムの全体シーケンスは、各々、サブグループＳＧ１、ＳＧ２、ＳＧ３に対する部分的なシーケンス２３４、２４４、２５４を、シーケンス２２４に従って連鎖して形成される。
従って、本実施例のこの場合に示された自動システムのシーケンスは、Ｑ、Ｒ、Ｐ、Ｓ、Ｔ、Ｖ、Ｗ、Ｚ、Ｙ、Ｘ．となる。
他のプロセッサ用の異なるシーケンスは、自動システムＰ、Ｑ、Ｒ、Ｓ、Ｔ、Ｖ、Ｗ、Ｘ、Ｙ、Ｚのサブグループの同じ組み合わせを使用して、容易に設計できる。
このようにして、モジュラ・アプリケーション自動システムを異なる特有の順序で働かせることによって形成された相異なる命令セットは、同一のアーキテクチャを有するプロセッサの各々において、異なる回路活性化シーケンスを使用することを可能にし、そのシーケンスはプロセッサの一般的なアーキテクチャの範囲で規定可能なものである。
従って第一に、得られた異なる命令セットは、鉄道網の安全上の制約によって制御システムに課せられた分散化の要請を満たす。
更に、１つのソフトウェア開発プラットフォームだけを使用することができるので、これらの異なる命令セットを処理する過程を具体化（ｉｍｐｌｅｍｅｎｔ）することは簡単である。
事実、単一のコンパイラを使用するアプリケーション・モジュールの開発リソースは、それらのアプリケーション・モジュールを、ある処理ブランチから別の処理ブランチに好便に再利用することができるので、削減できる。
上述の実施例に係るシステムの安全性を確保する分散制御システムは、本質的な修正をすることなく、別の実施例として、航空機又は宇宙船の内蔵システム等に対して、あるいは原子核装置中で使用される保護又は緊急停止システムに対して適用することができる。
上述のシステムの安全性を確保する分散制御システムは、さらに別の実施例として、全ての、安全性を極度に追求したソフトウェア設計により安全性を確保するシステムに対して適用することができる。
図１は第１の実施例に係る、システムの安全性を確保する分散制御システムの、ブロックダイヤグラムである。 （Ａ）、（Ｂ）、（Ｃ）は各々、図１に示すプログラム・データベース１６、１８、２０の詳細なブロックダイヤグラムである。 （Ａ）、（Ｂ）、（Ｃ）は各々、図２のプログラム・データベースの各々に関連した、自動システムのシーケンスを示す図である。 （Ａ）は、図２に示した自動システムの各々に関連した、入力及び出力のダイヤグラム図であり、他方、（Ｂ）と（Ｃ）は各々、一時記憶に中の、スタート状態レジスタ及びエンド状態レジスタと、関連した状態ベクトルの構造のダイヤグラム図である。 図５は、プログラム・データベースの第１の実施例に伴うシステムの安全性を確保する制御プロセスのフローチャートである。 （Ａ）、（Ｂ）、（Ｃ）、（Ｄ）、（Ｅ）は、第２の実施例に係るプログラム・データベースに関連した、自動化システムのシーケンスを示す図である。
符号の説明
２ 制御システム（＝システムの安全性を確保する分散制御システム）、
４、６、８ プロセッサ、
９ 鉄道網システム
１０、１２、１４ プロセッサの入力、
１６、１８、２０ 命令セット（＝プログラム・データベース）、
２２、２４、２６ 一時記憶、
２８、３０、３２ プロセッサの出力、
３４ コマンド選択コンポーネント、
３６、３８、４０ コマンド選択コンポーネントの入力、
４２ コマンド選択コンポーネントの出力、
４４ コマンド受信ターミナル、
４６、４８、５０、５２ モジュラ・アプリケーション自動システム（＝自動システム）、
５４、５６、５８ シーケンサ、
６０、７０、７８ 周期的シーケンス、
６２ サイクル、
６４、７２、８０ シーケンス・スタート、
６６、７４、８２ パス方向、
６８、７６、８４ シーケンス・エンド、
８６、８８、９２、９４、１００、１０２、１０６、１０８ 自動システム入力、
９０、９６、９８、１０４、１１０ 自動システム出力、
１１２ スタート状態レジスタ、
１１３ エンド状態レジスタ、
１１４、１１６、１１８、１２０、１２２、１２４、１２６ スタート状態レジスタのコンポーネント、
１３０、１３２、１３４、１３６、１３８、１４０、１４２ エンド状態レジスタのコンポーネント、
１９８、２００、２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６ 自動システム（＝モジュラ・アプリケーション自動システム）、
２１８、２２０、２２２ 自動システムのサブグループ、
２２４、２３４、２４４、２５４ 周期的シーケンス、
２２６、２３６、２４６、２５６ サイクル、
２２８、２３８、２４８、２５８ シーケンス・スタート、
２３０、２４０、２５０、２６０ ラン方向、
２３２、２４２、２５２、２６２ シーケンス・エンド。

Claims (15)

  1. システムの安全性を確保する分散制御システム（２）であって、
    （ｉ） 鉄道網システム向けに意図されたコマンドを処理するために、対応する入力（１０、１２、１４）において同一の入力データＥを受信するように並列に配置された、少なくとも２つのプロセッサ（４、６、８）からなるセットと、
    （ｉｉ） その際、プロセッサ（４、６、８）の各々は、少なくとも２つの異なる命令セットを受け取り、その命令セットの実行を通じて、同一の入力データＥに対して同一の出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を計算し、異なる出力（２８、３０、３２）に伝達することができ、
    （ｉｉｉ） 各々、プロセッサ（４、６、８）の出力（２８、３０、３２）に接続されている少なくとも２つの入力（３６、３８、４０）、及びプロセッサ（４、６、８）からの出力データから前もって定義した基準に基づいて選ばれたコマンド信号を伝達することができるコマンド出力（４２）を備えたコマンド選択コンポーネント（３４）と、
    を含み、さらに、
    （ｉｖ） プロセッサ（４、６、８）の各々に関連した命令セットは、少なくとも２つのモジュラ・アプリケーション自動システム（以下、単に「自動システム」という。 ４６、４８、５０、５２）を走らせることが可能で、自動システム（４６、４８、５０、５２）は、すべての命令セットに対して同一であり、
    （ｖ） プロセッサ（４、６、８）の各々に関連した各命令セット（１６、１８、２０）は、自動システム（４６、４８、５０、５２）を、各プロセッサに特有の関連する周期的シーケンス（６０、７０、７８）において活性化するシーケンサ（５４、５６、５８）を作成し、そして、
    （ｖｉ） 各シーケンサ（５４、５６、５８）は、その特定の関連する周期的シーケンス（６０、７０、７８）に関して、他のシーケンサ（各々、５６と５８、５４と５８、５４と５６）と異なる、
    ことを特徴とするシステムの安全性を確保する分散制御システム。
  2. 各シーケンサ（５４、５６、５８）は、自動システム（４６、４８、５０、５２）を走らせる互いに異なる周期的シーケンス（６０、７０、７８）に基き、自動システム（４６、４８、５０、５２）を活性化し順序付けし、その際、周期的シーケンス（６０、７０、７８）は、同一のサイクル（６２）を有し、さらに異なるシーケンス・スタート（６４、７２）及び異なるパス方向（６６、８２）の一方又は両方のいずれかを有する、
    ことを特徴とする請求項１に記載のシステムの安全性を確保する分散制御システム。
  3. 各シーケンサ（５４、５６）は、自動システム（４６、４８、５０、５２）を走らせる異なる特定の周期的シーケンス（６０、７０）に基き、自動システム（４６、４８、５０、５２）を活性化し順序付けし、その際、周期的シーケンス（６０、７０）は、同一パス方向（６６、７４）の同一のサイクル（６２）を有する、
    ことを特徴とする請求項２に記載のシステムの安全性を確保する分散制御システム。
  4. 各シーケンサは、一連の部分的シーケンス（２３４、２４４、２５４）から形成された、互いに異なる周期的シーケンス（２２４）に基き、自動システムを順序付けし、その際、各部分的シーケンス（２３４、２４４、２５４）は、制御システム（２）における自動システムのセット（１９８、２００、２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６）を細分するサブグループ（２１８、２２０、２２２）の各々に属する自動システムから構成される、
    ことを特徴とする請求項１に記載のシステムの安全性を確保する分散制御システム。
  5. 自動システムのサブグループ（２１８、２２０、２２２）は、すべてのプロセッサ（４、６、８）に対して同一である、
    ことを特徴とする請求項４に記載のシステムの安全性を確保する分散制御システム。
  6. システムの安全性を確保する分散制御システムであって、
    （ｉ） 各自動システム（４６、４８、５０、５２）は、自動システム入力（８６、８８、９２、９４、１００、１０２、１０６、１０８）、及び自動システム出力（９０、９６、９８、１０４、１１０）を有し、
    （ｉｉ） 前記自動システム入力は、それが制御システム（２）への入力データ（Ｅ１、Ｅ２）の変数アイテムを受信することができる場合、外部入力であり、
    （ｉｉｉ） 前記自動システム出力は、それが制御システム（２）からの出力データ（Ｓ１、Ｓ２、Ｓ３）の変数アイテムを伝達することができる場合、外部出力であり、
    （ｉｖ） 前記自動システム入力及び自動システム出力は、同一の自動システム又は２つの異なる自動システムに対して相互に連結することができ、データ（Ｉ１、Ｉ２）の変数アイテムを交換することができる場合、内部入出力であり、
    （ｖ） 自動システム入力（８６、８８、９２、９４、１００、１０２、１０６、１０８）、及び自動システム出力（９０、９６、９８、１０４、１１０）の変数のセットは、重複を省いた場合、制御システム（２）の状態ベクトル（Ｅ１、Ｅ２、Ｉｌ、Ｉ２、Ｓ１、Ｓ２、Ｓ３）を形成し、
    さらに、
    （ｖｉ） 制御システム（２）は、各プロセッサ（４、６、８）に対応する一時記憶（２２、２４、２６）を有し、前記一時記憶（２２、２４、２６）は、自動システムのシーケンスが実行される場合の、スタート状態レジスタレジスタ（１１２）とエンド状態レジスタ（１１３）を備え、
    （ａ） 前記スタート状態レジスタレジスタ（１１２）は、自動システムのシーケンスが実行される直前の状態変数のセット（Ｅ１、Ｅ２、Ｉｌ、Ｉ２、Ｓ１、Ｓ２、Ｓ３）に対する値を含み、
    （ｂ） 前記エンド状態レジスタ（１１３）は、自動システムのシーケンスが実行された直後の状態変数のセット（Ｅ１、Ｅ２、Ｉｌ、Ｉ２、Ｓ１、Ｓ２、Ｓ３）に対する値を含む、
    ことを特徴とする請求項１ないし５のいずれかに記載のシステムの安全性を確保する分散制御システム。
  7. 各プロセッサ（４、６、８）は、シーケンス（６０、７０、７８）が実行されている期間において、スタート状態レジスタレジスタ（１１２）に対しては単に読み出すことができるだけであり、エンド状態レジスタ（１１３）に対しては単に書き込むことができるだけである、
    ことを特徴とする請求項６に記載のシステムの安全性を確保する分散制御システム。
  8. （ｉ） 各プロセッサ（４、６、８）については、一旦シーケンスが実行され始めると、シーケンス用のスタート状態レジスタ（１１２）は単に書き込まれることができ、エンド状態レジスタ（１１３）に存在する状態変数の値によってリフレッシュすることができ、
    さらに、
    （ｉｉ） 少なくとも２つの関連する状態レジスタ（１１２、１１３）の状態変数の値が同一になるまで、各プロセッサ（４、６、８）は、自動システムのシーケンスを繰り返し実行することができる、
    ことを特徴とする請求項７に記載のシステムの安全性を確保する分散制御システム。
  9. 各プロセッサ（４、６、８）は、そのプロセッサにロードすることができる１セットのプロセッサ命令を含むプログラム・データベース（１６、１８、２０）を備え、そのプロセッサに関連するシーケンサ（５４、５６、５８）によって命じられたシーケンスに従い、自動システム（４６、４８、５０、５２）のシーケンスを実行することができる、
    ことを特徴とする請求項１ないし８のいずれかに記載のシステムの安全性を確保する分散制御システム。
  10. 各プログラム・データベース（１６、１８、２０）は、同一のコンパイラを使用して得られた１セットの命令から成る。
    ことを特徴とする請求項９に記載のシステムの安全性を確保する分散制御システム。
  11. コマンド選択コンポーネント（３４）は、全てのプロセッサ（４、６、８）から生じる出力データ（Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３））から多数決ベースで決定するものであり、
    前記コマンド選択コンポーネントは、各プロセッサ（４、６、８）の出力から生じる出力データを比較して、予め定義した多数決基準に基づき、プロセッサのセットに関して多数決ベースで共通の出力データを送信することができる、
    ことを特徴とする請求項１ないし１０のいずれかに記載のシステムの安全性を確保する分散制御システム。
  12. コマンド選択コンポーネント（３４）は、全数一致ベースで決定するものである、
    ことを特徴とする請求項１１に記載のシステムの安全性を確保する分散制御システム。
  13. 前記システムの安全性を確保する分散制御システム（２）が、安全性鉄道網システムを制御することができる、
    ことを特徴とする請求項１ないし１２のいずれかに記載のシステムの安全性を確保する分散制御システム。
  14. 次の各段階：
    （ｉ） 少なくとも２つのプロセッサ（４、６、８）に、プログラム・データ・ベース（１６、１８、２０）から、異なる命令セットをロードする段階、
    （ｉｉ） それぞれの入力（１０、１２、１４）を介して、並列に配置されたプロセッサ（４、６、８）に同一の入力データ（Ｅ）を供給する段階、
    （ｉｉｉ） 各プロセッサ（４、６、８）に、それに関連した異なる命令のセットを実行させ、同一の入力データＥに基づいて、同一の出力データ（Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３））を計算し、それぞれの出力（２８、３０、３２）に伝達することができるようにする段階であって、次のサブ段階から成る段階：
    （ａ） 少なくとも２つの、各命令セットに対して同一の自動システム（４６、４８、５０、５２）を、他の命令セットに対するシーケンスとは異なる、特定のシーケンスに従い実行させるサブ段階、
    （ｂ） シーケンスを実行した後に得られた出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）を抽出するサブ段階、
    （ｃ） 出力データをコマンド選択コンポーネントに伝達するサブ段階、
    （ｉｖ） 特定の選択基準に基づいて、プロセッサ（４、６、８）から生じた出力データＳ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３）のうちから１つを選択してコマンド信号とする段階、
    を含むことを特徴とするシステムの安全性を確保する制御プロセス。
  15. さらに次の段階：
    （ｉ） 前記選択基準に基づいて、複数の出力データ（Ｓ（Ｐ１）、Ｓ（Ｐ２）、Ｓ（Ｐ３））から出る前記コマンドの送信を有効とするか、又は禁止する段階、
    （ｉｉ） 禁止の場合には、少なくとも１つのプロセッサ（４、６、８）のフォールト（誤動作）の存在を発信する（１９６）段階、
    を含むことを特徴とする請求項１４に記載のシステムの安全性を確保する制御プロセス。
JP2007070709A 2006-03-17 2007-03-19 システムの安全性を確保する分散制御システムと、制御プロセス Pending JP2007249976A (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
FR0602390A FR2898706B1 (fr) 2006-03-17 2006-03-17 Dispositif de commande securise a diversification d'un systeme ferroviaire

Publications (1)

Publication Number Publication Date
JP2007249976A true JP2007249976A (ja) 2007-09-27

Family

ID=37194299

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2007070709A Pending JP2007249976A (ja) 2006-03-17 2007-03-19 システムの安全性を確保する分散制御システムと、制御プロセス

Country Status (13)

Country Link
US (1) US7631113B2 (ja)
EP (1) EP1834857B1 (ja)
JP (1) JP2007249976A (ja)
CN (1) CN101070074B (ja)
AU (1) AU2007201007B2 (ja)
BR (1) BRPI0700955B8 (ja)
CA (1) CA2581391C (ja)
DK (1) DK1834857T3 (ja)
ES (1) ES2652412T3 (ja)
FR (1) FR2898706B1 (ja)
NO (1) NO341655B1 (ja)
RU (1) RU2454345C2 (ja)
ZA (1) ZA200701907B (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014091370A (ja) * 2012-11-01 2014-05-19 Mitsubishi Electric Corp 電子連動装置

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090004266A (ko) * 2007-07-06 2009-01-12 한국전자통신연구원 자체 제어 기능을 갖는 기능 모듈 및 이의 동작 제어방법과, 이를 이용한 시스템
DE102007054304A1 (de) * 2007-11-08 2009-05-14 Siemens Ag Rechnerarchitektur
US8977584B2 (en) 2010-01-25 2015-03-10 Newvaluexchange Global Ai Llp Apparatuses, methods and systems for a digital conversation management platform
KR101502713B1 (ko) * 2010-12-16 2015-03-13 미쓰비시덴키 가부시키가이샤 시퀀서 시스템 및 그 제어 방법
US9448794B2 (en) 2011-11-30 2016-09-20 Intel Corporation Instruction and logic to provide vector horizontal majority voting functionality
US10520928B2 (en) * 2017-05-15 2019-12-31 Rockwell Automation Technologies, Inc. Safety industrial controller providing diversity in single multicore processor
RU2709068C1 (ru) * 2017-11-20 2019-12-13 Открытое акционерное общество "Объединенные электротехнические заводы" ОАО "ЭЛТЕЗА" Микропроцессорная система централизации мпц-эл
IT201800007412A1 (it) * 2018-07-23 2020-01-23 Sistema elettronico modulare per la verifica della corretta esecuzione di operazioni eseguite dal sistema stesso
RU2692739C1 (ru) * 2018-08-14 2019-06-26 Открытое акционерное общество "Объединенные электротехнические заводы" (ОАО "ЭЛТЕЗА") Микропроцессорная система централизации МПЦ-ЭЛ
RU2694709C1 (ru) * 2018-11-06 2019-07-16 Федеральное государственное бюджетное образовательное учреждение высшего образования "Петербургский государственный университет путей сообщения Императора Александра I" Система микропроцессорной централизации
CN109866752B (zh) * 2019-03-29 2020-06-05 合肥工业大学 基于预测控制的双模式并行车辆轨迹跟踪行驶系统的方法
RU2710502C1 (ru) * 2019-04-22 2019-12-26 Игорь Давидович Долгий Унифицированный логический контроллер
US11618553B2 (en) * 2019-11-19 2023-04-04 Ge Aviation Systems Limited Method and process of creating qualifiable parameter data item (PDI) to define the function of a power system controller
RU2726243C1 (ru) * 2020-02-05 2020-07-10 Ефим Наумович Розенберг Двухканальная система для регулирования движения железнодорожных транспортных средств

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU8135U1 (ru) * 1998-01-22 1998-10-16 Алексей Геннадьевич Окуличев Многопроцессорный вычислитель для управления объектами в реальном времени
GB2348034A (en) 1999-03-17 2000-09-20 Westinghouse Brake & Signal An interlocking for a railway system
DE19942981A1 (de) * 1999-09-09 2001-03-22 Alcatel Sa Programmodul und Verfahren zum Erhöhen der Sicherheit eines softwaregesteuerten Systems
DE10053023C1 (de) * 2000-10-13 2002-09-05 Siemens Ag Verfahren zum Steuern eines sicherheitskritischen Bahnbetriebsprozesses und Einrichtung zur Durchführung dieses Verfahrens
US6751749B2 (en) * 2001-02-22 2004-06-15 International Business Machines Corporation Method and apparatus for computer system reliability
FR2832685A1 (fr) * 2001-11-23 2003-05-30 Conception & Dev Michelin Sa Direction electrique pour vehicule, a redondance triple
DE10158317B4 (de) * 2001-11-28 2009-06-18 Siemens Ag Verfahren zur Generierung und Ausführung eines diversitären Programmablaufs
ITSV20020009A1 (it) * 2002-02-22 2003-08-22 Alstom Transp Spa Metodo per la generazione di unita' logiche di comando degli apparatidi stazione a computer vitale, cioe' nelle unita' centrali di comando
RU34482U1 (ru) * 2003-08-06 2003-12-10 Долгий Игорь Давидович Централизованная диспетчерская система с распределенными контролируемыми пунктами
RU44625U1 (ru) * 2004-10-18 2005-03-27 Грачев Гаврил Николаевич Устройство для управления системами железнодорожной автоматики и телемеханики
DE202005016151U1 (de) * 2005-10-09 2006-02-09 Elpro Gmbh Berlin -Industrieholding- Einrichtung zur Fernsteuerung eines Relais-Stellwerks unter Verwendung von hochverfügbaren diversitären Steuerungen

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014091370A (ja) * 2012-11-01 2014-05-19 Mitsubishi Electric Corp 電子連動装置

Also Published As

Publication number Publication date
BRPI0700955B8 (pt) 2018-11-21
NO341655B1 (no) 2017-12-18
RU2007109723A (ru) 2008-09-27
EP1834857A3 (fr) 2009-08-19
RU2454345C2 (ru) 2012-06-27
CN101070074A (zh) 2007-11-14
DK1834857T3 (en) 2017-12-04
US20070260773A1 (en) 2007-11-08
ES2652412T3 (es) 2018-02-02
US7631113B2 (en) 2009-12-08
EP1834857A2 (fr) 2007-09-19
ZA200701907B (en) 2008-07-30
BRPI0700955B1 (pt) 2018-08-07
FR2898706B1 (fr) 2008-06-13
AU2007201007A1 (en) 2007-10-04
CN101070074B (zh) 2011-11-09
FR2898706A1 (fr) 2007-09-21
NO20071423L (no) 2007-09-18
CA2581391A1 (fr) 2007-09-17
AU2007201007B2 (en) 2012-06-14
CA2581391C (fr) 2015-11-03
BRPI0700955A (pt) 2007-11-13
EP1834857B1 (fr) 2017-11-01

Similar Documents

Publication Publication Date Title
JP2007249976A (ja) システムの安全性を確保する分散制御システムと、制御プロセス
AU767024B2 (en) Systems and methods for fail safe process execution, monitoring and output control for critical systems
Dideban et al. Reduction of constraints for controller synthesis based on safe Petri nets
Yue et al. Petri-net-based robust supervisory control of automated manufacturing systems
US11022950B2 (en) Resilient failover of industrial programmable logic controllers
Zhang et al. Modeling and Verification of Reconfigurable and Energy‐Efficient Manufacturing Systems
Camilli et al. Specifying and verifying real-time self-adaptive systems
Grobelna et al. Specification of cyber-physical systems with the application of interpreted nets
Szpyrka et al. Hierarchical communication diagrams
Machado et al. A generic approach to build plant models for DES verification purposes
Xu et al. Rigorous development of a safety-critical system based on coordinated atomic actions
Simon et al. Design and analysis of synchronization for real-time closed-loop control in robotics
Basile et al. Residuals-based fault diagnosis of industrial automation systems using timed and untimed Interpreted Petri nets
Dotoli et al. A fault monitor for automated manufacturing systems using a hybrid Petri nets formalism
Alpan et al. Synthesis of a closed-loop combined plant and controller model
WO2022185582A1 (ja) データ処理装置、データ処理方法およびプログラム
Zhang Modeling and verification of reconfigurable discrete event control systems
Serrano et al. Reliability and safety evaluation techniques for components and processes
Siegrist Computer Architecture Group, Computer Science Department, ABB Research Center, Baden, Switzerland
Ho et al. Modeling and Control Synthesis of a Manufacturing Workcell
Mušič et al. An admissible-behaviour-based analysis of the deadlock in Petri-net controllers
JP2006164186A (ja) 集積回路のデバッグ方法、デバッグプログラム
Lamperti et al. Diagnosis of active systems by lazy techniques
Fei On symbolic analysis of discrete event systems modeled as automata with variables
Iverson et al. Digraph reliability model processing advances and applications