JP2010047102A - 多重系電子連動装置 - Google Patents

Abstract

【課題】複数の演算処理装置の内部ステータスを、情報量を圧縮した上で周期的に照合することで、演算処理装置の異常を一定時間内で顕在化する信頼性の高い多重系電子連動装置を提供する。
【解決手段】複数の演算処理装置と一つの照合装置から構成される多重系電子連動装置において、各演算処理装置において周期的にその内部ステータスを情報量を圧縮するようデータ加工し、これを照合装置で照合して一致の場合に全演算処理装置が正常と判断し、不一致の場合にいずれかの演算処理装置が異常と判断する。
【選択図】図２

Description

本発明は、鉄道駅構内の信号機や転てつ器の制御を行う多重系電子連動装置に関するものである。

従来の多重系電子連動装置は、多重化した演算処理装置のそれぞれが互いに同期して同一の入力データを取り込み、この入力データに応じた同じ演算処理を実行して信号機や転てつ器等の現場機器を制御するための出力データを生成する。各演算処理装置の出力データを照合装置で照合して、これらが一致する場合は全演算処理装置が正常として現場機器へ出力データを実際に出力し、不一致の場合は演算処理装置のいずれかが異常として現場機器への出力を禁止するとともに異常発生を報知する。

例えば、特許文献１には、電子連動装置等の車両制御用コンピュータシステムにおいて、処理系Ａ，Ｂが共通の入力情報を個別に処理し、処理して得られたデータを相互に交換し、交換されたデータの一致、不一致を判定し、出力回路はデータが一致する時に制御信号を出力する構成が開示されている。
特開平１０−１２９４８７号公報

従来の多重系電子連動装置では、上記のように各演算処理装置の出力データの照合結果が不一致となることで初めていずれかの演算処理装置の異常が顕在化する。ある演算処理装置の一部分が故障した場合、入力データがたまたま当該故障部での演算を要しないものであると出力データは照合一致となり異常が潜在する問題点があった。

このような異常の潜在化の対策として各演算処理装置において自己診断を行う方法があるが、自己診断処理部自体が故障して異常検知出来ない場合があった。また時々刻々変化する内部データに対して正常状態が一意に確定せず自己診断のしようが無い場合があった。

出力データに反映されず、かつ自己診断でも検知し切れない異常を一定時間内に顕在化させるためには、出力データと同様に各演算処理装置のプログラム及び内部データ（以降、内部ステータスと称す）も周期的に照合する方法がある。しかし、内部ステータスをそのまま照合しようとすると、出力データと比較して情報量が大きいため、照合装置が複雑化する問題点があった。照合装置は多重化の対象外であり信頼性を向上させるために単純な構成とすべきである。

また、演算処理装置の性能を向上させないままで内部ステータスの照合処理を実施しようとすると、情報量が大きい内部ステータスの照合にリソースの大部分が割かれ、多重系電子連動装置の本来の処理の性能が低下する問題点があった。

本発明の課題は、複数の演算処理装置の内部ステータスを、情報量を圧縮した上で周期的に照合することで、演算処理装置の異常を一定時間内で顕在化する信頼性の高い多重系電子連動装置を提供することである。

上記の課題を解決するため、本発明の多重系電子連動装置は、複数の演算処理装置と一つの照合装置から構成され、各演算処理装置は、その内部ステータス情報を、情報量を圧縮するように周期的にデータ加工する演算部を備え、前記照合装置は、各演算処理装置の前記演算部がデータ加工した内部ステータス情報を照合する照合部を備えており、前記照合手段は、前記演算処理装置毎にデータ加工された内部ステータス情報を前記照合部でそれぞれ照合し、前記照合の結果が一致の場合に全演算処理装置が正常であると判断し、不一致の場合にいずれかの演算処理装置が異常であると判断することを特徴とする。

本発明によれば、複数の演算処理装置の内部ステータスを、情報量を圧縮した上で周期的に照合することで、演算処理装置の異常を一定時間内で顕在化する信頼性の高い多重系電子連動装置を提供することが出来る。

以下、本発明の実施の形態について図面を参照して説明する。
図１は、本発明を適用する多重系電子連動装置を示すブロック図である。この多重系電子連動装置１００は、処理周期を同期させた二つの演算処理装置１１０Ａ、１１０Ｂと、一つの照合装置１２０からなる。

まず初めに電子連動装置の基本動作である現場機器へのデータ出力動作について図５を参照して説明する。図５において、演算処理装置１１０Ａ、１１０Ｂは進路制御装置２００から例えば現場機器への制御指令といった入力データＤ１１を入力し、それぞれＤ１１Ａ、Ｄ１１Ｂとして記憶する。また、演算処理装置１１０Ａ、１１０Ｂは現場機器３００から例えば現場機器の状態といった入力データＤ１２を入力し、それぞれＤ１２Ａ、Ｄ１２Ｂとして記憶する。

演算処理装置１１０Ａは入力データＤ１１Ａ、Ｄ１２Ａの内容に応じて、出力データ生成用プログラムＰ１０Ａと内部データＤ１３Ａとを用いて演算処理を行い、現場機器を制御するための出力データＤ１４Ａを生成し照合装置１２０に送出する。演算処理装置１１０Ｂは入力データＤ１１Ｂ、Ｄ１２Ｂの内容に応じて、出力データ生成用プログラムＰ１０Ｂと内部データＤ１３Ｂとを用いて演算処理を行い、現場機器を制御するための出力データＤ１４Ｂを生成し照合装置１２０に送出する。

演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り、プログラムＰ１０ＡとＰ１０Ｂは同じもので不変である。また内部データＤ１３ＡとＤ１３Ｂは同じ初期内容であり、演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り、演算処理装置１１０Ａと１１０Ｂの入力・演算結果に応じて同期して同じ内容に変化する。同様に同じ入力データ、プログラム、内部データから演算生成された出力データＤ１４Ａ、Ｄ１４Ｂは、演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り同内容である。

照合装置１２０は、演算処理装置１１０Ａ、１１０Ｂからそれぞれ取り込んだ出力データをＤ１５Ａ、Ｄ１５Ｂとして記憶し、これらを照合部１２１で照合する。照合の結果が一致であれば演算処理装置１１０Ａ、１１０Ｂの双方が正常であると判断して出力データＤ１５Ａ、Ｄ１５Ｂの一方を現場機器に出力し、不一致であれば演算処理装置１１０Ａ、１１０Ｂのいずれかが異常であると判断して現場機器への出力回路を遮断し、異常を報知する。

次に本発明の多重系電子連動装置による内部ステータスの照合動作について図１を参照して説明する。

図１において、演算処理装置１１０Ａでは内部ステータス加工用プログラムＰ２０Ａが周期的に動作してプログラムＰ１０Ａ、Ｐ２０Ａ及び内部データＤ１３Ａをもとに情報量を圧縮した加工内部ステータスＤ２１Ａを生成する。

演算処理装置１１０Ｂでは内部ステータス加工用プログラムＰ２０Ｂが周期的に動作してプログラムＰ１０Ｂ、Ｐ２０Ｂ及び内部データＤ１３Ｂをもとに情報量を圧縮した加工内部ステータスＤ２１Ｂを生成する。

演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り、プログラムＰ２０ＡとＰ２０Ｂは同じもので不変である。同様に同じプログラム、内部データから生成された加工内部ステータスＤ２１Ａ、Ｄ２１Ｂは、演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り同内容である。

照合装置１２０は、演算処理装置１１０Ａ、１１０Ｂからそれぞれ取り込んだ内部ステータスをＤ２２Ａ、Ｄ２２Ｂとして記憶し、これらを照合部１２１で照合する。照合の結果が一致であれば演算処理装置１１０Ａ、１１０Ｂの双方が正常であると判断し、不一致であれば演算処理装置１１０Ａ、１１０Ｂのいずれかが異常となったと判断して現場機器への出力回路を遮断し、異常を報知する。

本発明による内部ステータスの加工処理方法の一つとして、例えば一日に一回、現場機器の制御を停止することが可能な深夜の限られた時間帯に各演算処理装置の内部ステータスのすべてを一挙に加工する方法がある。

また別の方法として、現場機器を２４時間連続して制御することが必要な場合に、各制御周期のうち一定時間を内部ステータス加工に割当て、内部ステータスを当該時間内で加工が完了する程度に分割して順次加工を進める方法もある。この後者の方法について、演算処理装置処理１１０Ａで実施した場合の処理の流れについて図２を参照して説明する。

プログラムと内部データが、アドレスＡから始まる容量Ｓ［Ｂｙｔｅ］の連続したメモリ空間に配置されており、この先頭から末尾までを１日に１回照合するとした場合、制御周期をＴ[秒]とすると１制御周期当たりで加工対象となる内部ステータスの情報量ｓ［Ｂｙｔｅ］は、
ｓ＝Ｓ×Ｔ／８６４００
となる。その日の第ｎ回目（ｎ＝１，２，…，（８６４００／Ｔ））の制御周期において処理Ｐ１からＰ５の内容を説明する。

図２において、処理Ｐ１では今回の制御周期で加工対象とする内部ステータスの一部分の先頭アドレスａを以下のように求める。
ａ＝Ａ＋（ｎ−１）×ｓ

処理Ｐ２ではアドレスａから情報量ｓ[Ｂｙｔｅ]のデータをバッファにコピーする。処理Ｐ３では処理Ｐ２でバッファに格納したデータを入力としてプログラムＰ２０Ａを実行する。処理Ｐ４ではプログラムＰ２０Ａの処理結果戻り値を内部ステータスＤ２１Ａとしてその格納エリアに格納する。処理Ｐ５では内部ステータスＤ２１Ａの内容を照合装置１２０に送出する。

以上の方法により、本実施例では、多重系電子連動装置のいずれかの演算処理装置に異常があれば、遅くとも一日以内に顕在化させることが出来る。また数式が１未満となる場合には、その値に応じて異常顕在化に要する時間の短縮を図ることが出来て、多重系電子連動装置の信頼性を向上させることが可能となる。
｛（内部ステータスの加工所要時間）＋（加工内部ステータスの伝送・照合所要時間）｝／（無加工内部ステータスの伝送・照合所要時間）

本実施例でプログラムＰ２０Ａ、Ｐ２０Ｂの一例としてＭＤ５ハッシュ関数を実装した場合を説明する。ＭＤ５ハッシュ関数は、与えられた入力に対して１２８ビットのハッシュ値を出力する一方向要約関数である。演算処理装置１１０Ａにおいて、内部ステータス加工用内部プログラムＰ２０ＡをこのＭＤ５ハッシュ関数とすると、内部ステータスＤ２１Ａの情報量は１２８ビットとなる。

一般に多重系電子連動装置の演算処理装置の内部プログラム、内部データの情報量は１２８ビット以下とはならないため、照合装置１２０は出力データＤ１５Ａ、Ｄ１５Ｂの情報量あるいは１２８ビットのいずれか大きい方のデータを照合することが出来ればよいだけの単純な構成にすることが可能となり、また照合に要する時間も削減出来る。

同様に、演算処理装置１１０Ａ、１１０Ｂと照合装置１２０との間の伝送路も一定時間内に上記の情報量のデータを伝送することが出来ればよいだけの単純な構成にすることが可能となり、また伝送に要する時間も削減出来る。
なお情報量の圧縮に伴う問題として、異なる内容のデータをそれぞれ圧縮したところ同じ結果になり得ることが挙げられる。本発明においてはこの事象はある演算処理装置の異常を見逃すことにつながる。ＭＤ５ハッシュ関数では、異なる内容を入力して同じハッシュ値が生成される確率は、
（１／２）^{（ハッシュ値ビット数／２）}＝０．５^６４＝５．４×１０^−２０
であり、例えば１時間当たり３．６×１０６回照合を行うとした場合、一つの多重系電子連動装置当たりの異常見逃し確率は１．９×１０^−１３［１／ｈｏｕｒ］となる。

この異常見逃し確率は、当該装置に許容される危険側故障率よりも小さい値である必要があるが、一般に電子連動装置のような鉄道保安装置に許容される危険側故障率は１０^−８〜１０^−９［１／ｈｏｕｒ］程度であり、この条件を満たす。

次に本発明の実施例２の多重系電子連動装置について図３を参照して説明する。実施例２の多重系電子連動装置は、出力データの照合と内部加工ステータスの照合とを切替制御できる構成を備えたものである。

図３において、演算処理装置１１０Ａ、１１０Ｂは進路制御装置２００から例えば現場機器への制御指令といった入力データＤ１１を入力し、それぞれＤ１１Ａ、Ｄ１１Ｂとして記憶する。また、演算処理装置１１０Ａ、１１０Ｂは現場機器３００から例えば現場機器の状態といった入力データＤ１２を入力し、それぞれＤ１２Ａ、Ｄ１２Ｂとして記憶する。

演算処理装置１１０Ａは入力データＤ１１Ａ、Ｄ１２Ａの内容に応じて、出力データ生成用プログラムＰ１０Ａと内部データＤ１３Ａとを用いて演算処理を行い、現場機器を制御するための出力データＤ１４Ａを生成し切替回路Ｐ４０Ａに送出する。演算処理装置１１０Ｂは入力データＤ１１Ｂ、Ｄ１２Ｂの内容に応じて、出力データ生成用プログラムＰ１０Ｂと内部データＤ１３Ｂとを用いて演算処理を行い、現場機器を制御するための出力データＤ１４Ｂを生成し切替回路Ｐ４０Ｂに送出する。

演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り、プログラムＰ１０ＡとＰ１０Ｂは同じもので不変である。また内部データＤ１３ＡとＤ１３Ｂは同じ初期内容であり、演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り、演算処理装置１１０Ａと１１０Ｂの入力・演算結果に応じて同期して同じ内容に変化する。同様に同じ入力データ、プログラム、内部データから演算生成された出力データＤ１４Ａ、Ｄ１４Ｂは、演算処理装置１１０Ａと１１０Ｂのいずれかが異常とならない限り同内容である。

照合装置１２０は、切替回路Ｐ４０Ａ、切替回路Ｐ４０Ｂを介して演算処理装置１１０Ａ、１１０Ｂからそれぞれ取り込んだ出力データを照合データＤ２３Ａ、Ｄ２３Ｂとして記憶し、これらを照合部１２１で照合する。照合の結果が一致であれば演算処理装置１１０Ａ、１１０Ｂの双方が正常であると判断して出力データＤ１５Ａ、Ｄ１５Ｂの一方を現場機器に出力し、不一致であれば演算処理装置１１０Ａ、１１０Ｂのいずれかが異常であると判断して現場機器への出力回路を遮断し、異常を報知する。

内部ステータス加工の実行時には、演算処理装置Ａ系では、演算部の内部ステータス加工用プログラムＰ２０Ａが作動し、出力生成プログラムＰ１０Ａ、内部データＤ１３Ａのデータ、あるいは、内部ステータス加工用プログラムＰ２０Ａのデータを読み出して、ハッシュ値の演算などのデータ加工の処理を行い、処理結果の戻り値を内部加工ステータスＤ２１Ａとしてその格納エリアに格納し、内部加工ステータスＤ２１Ａの内容を切替回路Ｐ４０Ａに送出する。

演算処理装置Ｂ系においても、同様に、演算部の内部ステータス加工用プログラムＰ２０Ｂが作動し、出力生成プログラムＰ１０Ｂ、内部データＤ１３Ｂのデータ、あるいは、内部ステータス加工用プログラムＰ２０Ｂのデータを読み出して、ハッシュ値の演算などのデータ加工の処理を行い、処理結果の戻り値を内部加工ステータスＤ２１Ｂとしてその格納エリアに格納し、内部加工ステータスＤ２１Ｂの内容を切替回路Ｐ４０Ｂに送出する。

照合装置１２０は、切替回路Ｐ４０Ａ、切替回路Ｐ４０Ｂを介して演算処理装置１１０Ａ、１１０Ｂからそれぞれ取り込んだ内部加工ステータスＤ２１Ａ，内部加工ステータスＤ２１Ａをそれぞれ、照合データＤ２３Ａ、Ｄ２３Ｂとして記憶し、これらを照合部１２１で照合する。照合の結果が不一致であれば演算処理装置１１０Ａ、１１０Ｂのいずれかが異常であると判断して現場機器への出力回路を遮断し、異常を報知する。

図４は、図３に示す本発明の実施例２の多重系電子連動装置の動作を示すフローチャートである。図４において、電子連動装置の動作を開始すると、処理Ｐ０において、内部ステータス加工の照合であるか否かを判定する。

内部ステータス加工の照合には、処理Ｐ１では今回の制御周期で加工対象とする内部ステータスの一部分の先頭アドレスを求め、処理Ｐ２ではアドレスａから情報量ｓのデータをバッファにコピーする。処理Ｐ３では処理Ｐ２でバッファに格納したデータを入力としてプログラムＰ２０Ａを実行する。処理Ｐ４ではプログラムＰ２０Ａの処理結果戻り値を内部加工ステータスＤ２１Ａとしてその格納エリアに格納する。処理Ｐ５では内部加工ステータスＤ２１Ａを切替装置に送出する。

処理Ｐ１１では、切替回路により内部加工ステータスと出力データを切替え、演算処理装置からそれぞれ取り込んだ内部加工ステータスを照合データとして記憶し、処理Ｐ１２では、照合装置１２０は、これらを照合部１２１で照合する。処理Ｐ１３で、照合の結果が不一致であれば演算処理装置１１０Ａ、１１０Ｂのいずれかが異常であると判断して、処理Ｐ１４で現場機器への出力回路を遮断し、異常を報知する。処理Ｐ１３で、照合の結果が不一致でなければ、処理Ｐ０に戻る。

処理Ｐ０において、内部ステータス加工の照合ではない場合には、通常の出力データ生成処理が行われ、処理Ｐ６では、進路制御装置２００から電子連動装置１００へのデータ入力Ｄ１１が行われ、処理Ｐ７では、入力データＤ１１を多重系の各メモリにデータ記憶され、処理Ｐ８では、出力データ生成用プログラムにより出力データの生成処理が行われ、処理Ｐ９では、処理結果を出力データとして格納し、処理Ｐ１０で、出力データを切替装置に送出する。

処理Ｐ１１では、切替回路により内部加工ステータスと出力データを切替え、演算処理装置からそれぞれ取り込んだ出力データを照合データとして記憶し、処理Ｐ１２では、照合装置１２０は、これらを照合部１２１で照合する。処理Ｐ１３で、照合の結果が不一致であれば演算処理装置１１０Ａ、１１０Ｂのいずれかが異常であると判断して、処理Ｐ１４で現場機器への出力回路を遮断し、異常を報知する。処理Ｐ１３で、照合の結果が不一致でなければ、出力データを出力し、処理Ｐ０に戻る。

以上の方法により実施例２では、多重系電子連動装置では、通常の出力データの生成処理と内部ステータス加工処理を切り替えて同一の照合装置で出力データと内部ステータス加工データを照合することができ、いずれかの演算処理装置に異常があれば、早期に異常を顕在化させることが出来る。

本発明の実施例１の多重系電子連動装置の内部ステータス加工・照合に関するブロック図である。 図１に示すＡ系の内部ステータス加工の一処理例のフローチャートである。 本発明の実施例２の多重系電子連動装置の内部ステータス加工・照合に関するブロック図である。 図３に示す多重系電子連動装置の動作のフローチャートである。 本発明を適用する多重系電子連動装置の出力データ生成・照合に関するブロック図である。

符号の説明

１００ 多重系電子連動装置
１１０ 演算処理装置
１２０ 照合装置
２００ 進路制御装置
３００ 現場機器
Ｐ１０ 出力データ生成用プログラム
Ｐ２０ 内部ステータス加工用プログラム
Ｐ４０ 切替回路
Ｄ１１ 進路制御装置からの入力データ
Ｄ１２ 現場機器からの入力データ
Ｄ１３ 演算処理装置内部データ
Ｄ１４ 演算処理装置内の出力データ
Ｄ１５ 照合装置内の出力データ
Ｄ２１ 演算処理装置内の加工内部ステータス
Ｄ２２ 照合装置内の加工内部ステータス
Ｄ２３ 照合装置内の照合データ

Claims (5)

1. 複数の演算処理装置と一つの照合装置から構成された多重系電子連動装置において、各演算処理装置は、その内部ステータス情報を、情報量を圧縮するように周期的にデータ加工する演算部を備え、前記照合装置は、各演算処理装置の前記演算部がデータ加工した内部ステータス情報を照合する照合部を備えており、前記照合手段は、前記演算処理装置毎にデータ加工された内部ステータス情報を前記照合部でそれぞれ照合し、前記照合の結果が一致の場合に全演算処理装置が正常であると判断し、不一致の場合にいずれかの演算処理装置が異常であると判断することを特徴とする多重系電子連動装置。
2. 請求項１に記載の多重系電子連動装置において、前記演算部は、前記各演算処理装置で出力処理を行う出力データ生成用のプログラムと前記出力処理を行う際の内部データが記憶されたメモリ領域から先頭アドレスを特定して読み出された情報を、前記内部ステータス情報としてデータ加工することを特徴とする多重系電子連動装置。
3. 請求項１に記載の多重系電子連動装置において、前記演算部は、前記各演算処理装置で出力処理を行う出力データ生成用のプログラムと前記出力処理を行う際の内部データに加えて、前記内部ステータス情報を圧縮加工する内部ステータス加工用のプログラムについても、記憶されたメモリ領域から先頭アドレスを特定して読み出された情報を、前記内部ステータス情報としてデータ加工することを特徴とする多重系電子連動装置。
4. 請求項１に記載の多重系電子連動装置において、前記データ加工された内部ステータス情報を照合する照合手段が、前記各演算処理装置で出力処理を行う出力データについても、それぞれ照合することができる切替回路を備えていることを特徴とする多重系電子連動装置。
5. 請求項１ないし請求項４のいずれかに記載の多重系電子連動装置において、前記演算部は、前記各演算処理装置の内部ステータス情報の情報量を圧縮するために内部ステータス情報のハッシュ値を周期的に演算することを特徴とする多重系電子連動装置。

Images