JP2012078947A - 多重系装置の制御装置 - Google Patents

Abstract

【課題】一過性の事象による影響（ノイズ、落雷等）で、両系の装置が停止してしまっても、特定条件で停止した場合に対して、特定条件で両系の再起動を行い、復旧させ稼働率の向上し得る多重系装置の起動装置を提供すること。
【解決手段】２重系構成において、装置相互の状態を監視し、両装置が自系及び系間接続された相手系で、再起動要求され、且つ暴走状態を任意の時間継続した場合のみ、両系の装置を再起動し復旧させる手段を設けた。
【選択図】図１

Description

本発明は、多重系装置の制御装置に関し、例えば鉄道保安装置のような現場に配置された多重系装置の制御装置に関する。

近年、システムの高信頼性が要求されており、システムやシステムを構成する装置を多重化した高信頼性システムが開発されている。
例えば、一方の装置が何らかの異常により、動作停止状態に陥っても、もう一方の装置によって、システムを停止することなく動作を継続することを可能としている冗長２重系構成のような多重系装置の制御装置がある。

このようなシステムでは、高信頼性の維持や稼動時間が大きな課題となっている。

また、システムにおいて、一過性の事象でシステムが停止してしまう問題がある。一過性の事象とは、例えば、落雷のような大きなノイズであり、このノイズによってシステムが停止するような場合である。このように、落雷により２重系で構成される、一方の系が停止した場合、一般的には、もう一方の系で動作し得るように構成されている。

このような場合には、１重系動作状態となる。当然ながら、２重系動作状態と比較し、１重系動作状態の稼働率は格段に低下する。更に、この１重系が、何らかの異常原因により停止するとシステムは完全に停止状態となる。つまり、２重系構成の両系が停止するため、システム停止となる恐れもある。

このようにシステムの系に異常が発生した場合、一方の系、又は両系の動作を停止させてしまった場合、従来は、保守員によって、システム、又はシステムを構成する装置が停止した現場へ出向き、装置の交換、又は装置の再起動を実施していた。動作停止から、装置の交換や再起動による稼動開始まで、１重系で動作するという危険性などを考慮すると、再稼動までの時間を極力短時間にすることも、懸案事項の１つとなっている。

係る課題に対し、例えば、従来にバス同期式２重系装置において、何らかの異常でＣＰＵが動作を停止し、システムがダウンした場合、２つの系メモリの記憶情報を基に、システムを再立ち上げする装置が提案されている（特許文献１参照）。

また、上位装置と下位装置を信号伝送路にて接続し、下位装置には一対の制御装置を接続してなる分散形制御装置において、一対のうち一方の制御装置の作動が停止した場合、上位装置から伝送された情報により、健全な制御装置が信号を送出し、作動停止状態にある制御装置を再起動させ装置が提案されている（特許文献２参照）。

特開平４−２９１６４３号公報 特開平４−６６３６７号公報

しかし、従来の装置は、一過性の事象による影響（ノイズ、落雷等）で、両系の装置が停止した場合に対する再起動、復旧については特に考慮されていない。つまり、雷などの影響を受け、多重系の一方が、誤動作を起こしたときには、他系統側に切り替えれば良いが、両系統が同時に一時的に誤動作（ダウン）すると、例えば鉄道システムにあっては、重大な事故に繋がり、非常に重要な課題となっていた。したがって、従来にあっては、両系装置の停止原因が、一過性の事象による影響によるものであっても、保安装置（例えば信号機など）の保安者が現場に出向いて異常原因の確認と復旧を行っており、その時間や労力の負担が大きかった。

本発明は、係る点に鑑みなされ、その目的は、一過性の事象による影響（ノイズ、落雷等）で、両系の装置が停止してしまっても、特定条件で停止した場合に対しては、特定条件で両系の再起動を行い、復旧させ稼働率の向上し得る多重系装置の制御装置を提供することにある。

本発明は、上記目的を達成するために、２重系構成において、装置相互の状態を監視し、両装置が自系及び系間接続された相手系で、再起動の要求がなされ、且つ暴走状態を任意の時間継続した場合のみ、両系の装置を再起動し復旧させる手段を設けたものである。

本発明によれば、両系が停止状態に陥っても、特定条件で停止した場合にのみ、両系を復旧（再起動）させ、稼働率を向上させることができる。

図１は本発明の概略を説明するための図である。 図２は本発明の具体的適用例の一実施例を示す図である。

以下、本発明について図面を参照して説明する。図１は、本発明を説明するための２重系構成システムの概略図である。

同図において、１系装置１（制御装置）と２系装置８（制御装置）は、それぞれ上位装置１５とネットワーク（１系、２系）を介して接続される。それぞれの装置は１系装置１、２系装置８は共に同構成で同動作をするが、主として一方の系が主系となり、入出力制御を行う。もう一方は従系となる。

主系であった一方の系が何らかの異常によって、動作停止した場合には、もう一方の系に切替り、該正常な系で動作するように構成されている。

１系装置１、２系装置８は、それぞれ再起動回路２、９を備えており、該再起動回路は、自系暴走監視部３、１２と相手系暴走監視部５、１０と、自系再起動許可部４、１３と、相手系再起動許可部６、１１と、装置を再起動する再起動カウンタ ７、１４と、前記各部の状態出力のアンドをとって再起動カウンタ７、１４に供給するアンド回路ＡＮＤを備えている。

このようなシステム構成において、動作をする中で、両系装置が停止、又は一方が停止している状態でもう一方も停止した場合、以下の特定の条件を満たした場合のみ、両系装置１、８が再起動されるように構成する。

再起動される条件は、１系装置 １、２系装置８が共に、下記（１）〜（５）を満たした場合に実行される。

（１）自系暴走監視部３、１２で暴走状態を検出
（２）相手系暴走監視部５、１０で暴走状態を検出
（３）自系再起動許可部４、１３で設定が有効であることを検出
（４）相手系再起動許可部６、１１で設定が有効であることを検出
（５）再起動カウンタ ７、１４でオーバーフロー時

前記条件（１）は、１系装置 １、２系装置８が、共に自系暴走時に自身が持つ暴走監視機能により暴走状態を検出した場合であり、本条件が成立する。

前記条件（２）は、相手系にも前記条件（１）と同様な暴走監視機能を持つ。この状態を、系間監視線１６を経由し、自系で相手系の暴走状態を監視し、暴走状態を検出した場合、本条件が成立する。

前記条件（１）、（２）により相互の装置の状態を監視することが可能となる。

前記条件（３）は、本発明の特徴でもあり、両系が停止したときの再起動機能が有効であるか無効であるかの設定監視機能があることである。本設定が有効である場合、本条件が成立する。

前記条件（４）は、相手系にも前記条件（３）と同様な再起動機能が有効であるか無効であるかの設定監視機能を持つ。この状態を、系間監視線１６を経由し、自系で相手系の再起動設定状態を監視し設定が有効である場合、本条件が成立する。

前記条件（３）、（４）により相互の再起動機能設定の状態を監視することが可能となる。

前記条件（５）は、前記条件（１）〜（４）の全条件成立時に動作する再起動カウンタ７、１４が任意の時間成立し続けることでカウントアップ又はダウンする機能である。カウントがオーバーフロー又はアンダーフローすることにより、再起動回路２、９は自動再起動動作が実行される。

尚、再起動カウンタ ７、１４がオーバーフロー又はアンダーフロー前に１度でも不成立状態になると、カウント時が初期値に戻り、再度条件成立時は初期値からカウント開始される。

前記条件（１）〜（５）が成立することで、再起動回路２、９から再起動指示が装置１、８に対してなされ、１系装置１及び２系装置８が再起動される。

以下、その適用例について図２を参照して説明する。同図において、冗長２重化構成の１系装置（図１の１系装置１に対応）のＣＰＵ３１および両系起動回路２９（図１の再起動回路２に対応）が搭載されたＣＰＵボード１７、２系装置（図１の２系装置８に対応）のＣＰＵ３２および再起動回路３０（図１の再起動回路９に対応）が搭載されたＣＰＵボード２３がある。それぞれのＣＰＵボード１７、２３は、相互に監視を行うため、両系起動回路２９，３０部分にて系間接続３３される。ＣＰＵ３１、３２は、例えば、鉄道システムにおける地上装置の一つである信号機を制御するものである。

再起動回路２９、３０は、相手系ウォッチドックタイマ状態監視部１８、２７（図１の相手系暴走監視部５、相手系暴走監視部１０に対応）と自系再起動許可設定部１９、２６（自系再起動許可部４、自系再起動許可部１３に対応）と、相手系再起動許可設定部２０、２５（相手系再起動許可部６、相手系再起動許可部１１に対応）と、自系ウォッチドックタイマ状態監視部２１、２４（自系暴走監視部３、自系暴走監視部１２に対応）およびアンド回路ＡＮＤ、リセット発行カウンタ２２、２８（図１の再起動カウンタ７、１４に対応）から構成されている。そして、相手系ウォッチドックタイマ状態監視部１８、２７（図１の相手系暴走監視部５、相手系暴走監視部１０に対応）と自系再起動許可設定部１９、２６（自系再起動許可部４、自系再起動許可部１３に対応）と、相手系再起動許可設定部２０、２５（相手系再起動許可部６、相手系再起動許可部１１に対応）と、自系ウォッチドックタイマ状態監視部２１、２４（自系暴走監視部３、自系暴走監視部１２に対応）は、例えばレジスタにて構成することができる。

つまり、両系統の装置が系間接続３３により監視する内容は、自系ウォッチドックタイマ（以下、ＷＤＴとする）状態監視部２１、２４の状態監視と、相手系ＷＤＴ状態監視部１８、２７の状態監視と、自系両系再起動許可設定部１９、２６の監視と、相手系両系再起動許可設定部２０、２５の監視である。これらの成立状態が、例えば２０秒以上継続すると、それぞれの系のＣＰＵ３１、３２に対してリセットが発行され、両系装置が再起動をするという仕組みである。

両系装置のＣＰＵボード１７、２３がＷＤＴにより動作が停止すると、それぞれの系のＣＰＵボード内にある再起動回路２９、３０内で自系再起動許可設定部１９、２６がオン（ＯＮ）、かつ相手系再起動許可設定部２０、２５がオン（ＯＮ）、かつ相手系ＷＤＴ１８、２７がオーバーフロー状態、かつ自系ＷＤＴ２１、２４オーバーフロー状態という条件が成立し、再起動のためのリセット発行カウンタ２２、２８のカウントが開始される。カウント開始から前記条件が成立してから、例えば２０秒継続すると、リセット発行カウンタ２２、２８は、自系のＣＰＵ３１、３２に対し、リセットが発行される。カウント中に一つでも条件が不成立となると、カウント値が初期化され、次の条件成立までカウントは停止している。

また、再起動回路２９、３０の構成から、条件成立のタイミングが必ず１系装置と２系装置で同時に起こり、したがって、前記リセット発行のタイミングも同時となる。このようなことから、両系装置が同時に再起動されることとなる。

以上述実施例によれば、ＣＰＵボードの両ＣＰＵが、例えば雷の影響を受け、同時に一時的に誤動作した場合であっても、上述した条件を満たす場合には、保安者が現場に出向いて誤動作原因を確認しなくても、両系統をいち早く正常な状態に戻すことを可能である。

１ １系装置（制御装置）
２、９ 再起動回路
３、１２ 自系暴走監視
４、１３ 自系再起動許可
５、１０ 相手系暴走監視
６、１１ 相手系再起動許可
７、１４ 再起動カウンタ
８ ２系装置（制御装置）
１５ 上位装置
１６ 系間監視
１７ １系ＣＰＵボード
１８、２７ 相手系ＷＤＴ状態監視
１９、２６ 自系再起動許可設定
２０、２５ 相手系再起動許可
２１、２４ 自系ＷＤＴ状態監視
２２、２８ リセット発行カウンタ
２３ ２系ＣＰＵボード
２９、３０ 両系起動回路
３１、３２ ＣＰＵ
３３ 系間接続

Claims (3)

1. 多重化された複数の制御装置間で、互いに装置の状態を監視するために接続する構成とした多重系装置の制御装置において、
   前記多重系装置の両装置が、自系及び他系での再起動要求を検出し、且つ自系及び他系での暴走状態を任意の時間検出した場合に、前記多重系装置の両装置を再起動し復旧させる手段を設けたことを特徴とする多重系装置の制御装置。
2. 請求項１において、前記制御装置は２重化されており、前記再起動し復旧させる手段は、１系装置、２系装置が共に、自系暴走監視部、相手系暴走監視部、自系再起動許可部、相手系再起動許可部、備え、
   前記自系暴走監視部および前記相手系暴走監視部で暴走状態を検出し、前記自系再起動許可部および前記相手系再起動許可部で再起動要求を検出した状態が所定期間継続した場合に前記多重系装置の両装置を再起動し復旧させることを特徴とする多重系装置の制御装置。
3. 冗長２重化構成の１系装置のＣＰＵおよび１系起動回路と、２系装置のＣＰＵおよび２系起動回路とを備え、
   前記１起動回路および前記２系起動回路は、相互に監視を行うため、系間接続され、
   相手系ウォッチドックタイマ状態監視部と、自系再起動許可設定部と、相手系再起動許可設定部と、自系ウォッチドックタイマ状態監視部およびアンド回路、再起動のためのリセット発行カウンタを備え、
   前記両系装置の１系起動回路および２系起動回路が、前記ウォッチドックタイマにより動作停止し、前記１系起動回路および前記２系起動回路内で前記自系再起動許可設定部、前記相手系再起動許可設定部がオンし、かつ前記相手系ウォッチドックタイマがオーバーフロー状態となり、かつ前記自系ウォッチドックタイマがオーバーフロー状態という条件が成立したとき、
   前記リセット発行カウンタのカウントが開始され、該カウント開始から所定時間継続すると、自系の前記ＣＰＵに対し、前記リセット発行カウンタからリセットが発行され、カウント中に前記条件が一つでも不成立となると、カウント値が初期化され、次の条件成立までカウントを停止し、
   前記１系装置の１系起動回路と前記２系装置の２系起動回路が、前記条件を満たしたとき、前記１系、前記２系の両系装置が同時に再起動されることを特徴とする多重系装置の制御装置。

Images