JP2012079208A

JP2012079208A - 入力バイパス型のフェイルセーフ装置及びフェイルセーフ用プログラム

Info

Publication number: JP2012079208A
Application number: JP2010225609A
Authority: JP
Inventors: Yoshihisa Suzuki; 義久鈴木; Hiroshi Saotome; 弘早乙女; Hitoshi Yanagi; 斉柳; Koji Fujimoto; 幸治藤本; Tsutomu Hattori; 力服部
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2010-10-05
Filing date: 2010-10-05
Publication date: 2012-04-19
Anticipated expiration: 2030-10-05
Also published as: JP5612995B2

Abstract

【課題】従来の照合型フェイルセーフ装置は、入力データと出力データ共に、比較器を介した経路を通り、比較部で照合を行いながら入出力処理を実行する。データ入力、データ出力ともに性能ネックである比較部の処理時間を影響を受け、汎用高速な演算処理部Ａ，Ｂの性能を十分に発揮できていない。
【解決手段】この発明によるフェイルセーフ装置は、入力データは比較部を介さず直接論理演算部へ入力し、論理演算部からの出力データのみを比較部で照合を行う。また、入力データで安全性の確保が必要なものについては、入力データのハッシュ値のみを比較部で照合を行い安全性を確保する。本方式によれば、入力データ受信のスループットを向上させ、フェイルセーフ装置全体の性能向上を行うことができる。
【選択図】図２

Description

本発明は、コンピュータを用いたフェイルセーフ装置及びフェイルセーフ用プログラムに関し、特に、鉄道システムの制御等の高いフェイルセーフ性が要求される制御に使用するのに好適なフェイルセーフ装置及びフェイルセーフ用プログラムに関する。

一般に、鉄道システムの制御は、誤った演算に基づいて実行された場合には、人命にかかわる事故につながる恐れがあるため、その制御装置及びプログラムは、フェイルセーフ性が要求されている。それと共に、近年では鉄道システムの大規模化、制御内容の多様化により制御装置に対する高性能化の要求も強い。

そのため近年、汎用コンピュータ等のフェイルセーフ性は持たないが、高速処理が可能なハードウェアで演算処理を行い、ハードウェアの処理状況又はハードウェアの入出力を何らかの手段でチェックすることによって故障を検出し、故障を検知した場合に不安全側の動作を行わないように装置を構成する、という方法が主流となりつつある。

前述した汎用コンピュータを使用するフェイルセーフ装置は、その故障検出方法として、故障検出回路を内蔵した自己診断型の処理装置を用いるものと、処理装置を多重化してその複数の処理装置の動作を比較して故障を検出する照合型の処理装置を用いるものとの２つの方法が使用されている。本発明の装置は、このうち後者の照合型の処理装置を用いるものに関する。

従来の照合型フェイルセーフ装置では、図１に示すように、演算処理に必要な入力データ（表示データ）と外部に出力する出力データ（制御データ）との両方を比較部により比較していた。

照合型のフェイルセーフ装置については、処理速度の速い汎用コンピュータ等を演算処理部として使用することで装置全体の処理速度の向上を図っているが、演算処理部の入力及び出力の比較照合を行う部位の処理速度が演算処理部の処理速度に対して遅く、演算処理部の速度向上に対して装置全体の処理速度の向上が図れていないという問題がある。

特開平７−２９５８４４号公報

そこで、近年、処理装置を多重化してその複数の処理装置の動作を比較照合して故障及び誤出力を検出する照合型のフェイルセーフ制御において、動作の比較照合を行う部位を少なくして、装置又はシステム全体としての処理速度の向上を図る点で解決すべき課題がある。従来は入力データと出力データ共に、比較器を介した経路を通り、比較部で照合を行いながら入出力処理を実行する。データ入力、データ出力ともに性能ネックである比較部の処理時間の影響を受け、汎用高速な演算処理部Ａ，Ｂの性能を十分に発揮できていない。

この発明によるフェイルセーフ装置は、外部との入出力を行う外部入出力Ｉ／Ｆと、外部入出力Ｉ／Ｆからの入力データを元に論理演算を行う２つの演算処理部と、演算処理部からの出力データの照合を行う比較部を備えたフェイルセーフ装置において、外部入出力Ｉ／Ｆからの入力データは比較部を介さず直接論理演算部へ入力し、論理演算部からの出力データのみを比較部で照合を行う。また、入力データで安全性の確保が必要なものについては、入力データのハッシュ値のみを比較部で照合を行い安全性を確保する。本方式によれば、入力データ受信のスループットを向上させ、フェイルセーフ装置全体の性能向上を行うことができる。

本発明によるフェイルセーフ装置及びフェイルセーフ用プログラムによれば、入力データ（表示データ）に対しては比較部による比較を行わず、出力データ（制御データ）に対して、比較部による比較が行われる。こうした比較処理により、処理速度向上のネックとなっている比較器に掛かる負担を軽減することができる。また、従来のフェイルセーフ装置の構成要素の変更を行わず、構成要素間の配線を変更するだけで、簡易に性能を向上させることが可能である。

図１は、従来のフェイルセーフ装置の実施例の図である。図２は、本発明のフェイルセーフ装置の実施例の図である。図３は、本発明の入力データに対するプログラムの処理フローである。図４は、本発明の出力データに対するプログラムの処理フローである。

以下、図面を参照して、本発明によるフェイルセーフ装置及びフェイルセーフ用プログラムの実施例を説明する。

鉄道システムにおいては、列車は運行スケジュール（列車ダイヤ）に従って運行が行われる。列車の運行にあたっては、線路脇及び線路上に設置されている信号機や転てつ機等の現場機器を所定の規則に従って制御する必要がある。例えば、列車同士の進路が競合することが予想される場合には、一方の列車に対しては信号機で停止の信号表示を出して、列車同士の進路の競合や衝突を回避する、また、転てつ機の切替えを行っている最中にその線路を列車が通過すると脱線する可能性があるので、切替え中の転てつ機が有る区間では信号機で停止の信号表示をして脱線を防止する、などの制御を行う。

上記の現場機器の制御に関する処理に不備が有った場合は、人命に関わる事故となる可能性があるため、処理を行う装置には高いフェイルセーフ性が要求される。

図１に従来のフェイルセーフ装置の実施例を示す。
従来のフェイルセーフ装置１においては入力データ（表示データ）４０と出力データ（制御データ）５０共に、比較器３を介した経路を通り、比較部３で照合を行いながら入出力処理を実行する。データ入力、データ出力ともに性能ネックである比較部３の処理時間を影響を受け、汎用高速な演算処理部Ａ，Ｂの性能を十分に発揮できていない。

図２に本発明のフェイルセーフ装置の実施例を示す。
本発明によるフェイルセーフ装置１においては、外部入出力Ｉ／Ｆ２に入力された入力データ（表示データ）４０は、比較部３に入力されることなく、演算処理部Ａと演算処理部Ｂとに直接入力される（４０ａ，４０ｂ）。
入力データの中で、安全性の確保が必要なデータについては、入力データのハッシュ値（４１ａ，４１ｂ）のみを比較部へ出力し照合結果を演算処理部へ戻し適切な処理を行うことで、安全性を確保する。

演算処理部Ａと演算処理部Ｂにおける演算結果、即ち、それぞれ出力データ（制御データ）５０ａ，５０ｂは、比較部３に入力され、比較部３において照合される。照合結果が「一致」であれば、演算結果は正しい出力データ（制御データ）５０として、外部入出力Ｉ／Ｆ２を経て外部に出力される。

本方式によれば、汎用高速な演算処理部の性能で入力データを入力することができ、従来と比べ、フェイルセーフ装置の性能を向上させることができる。
また、フェイルセーフ装置の構成要素を変更することなく、構成要素間の配線の変更で対応可能であり、容易な高性能化が可能である。

図３には、本実施例における入力データに対する処理を示す。

図３の（１）において、演算処理部Ａ，Ｂは、入力データを直接受信する。
図３の（２）において、演算処理部Ａ，Ｂは受信した入力データから各々ＣＰＵにてハッシュ値を計算する。
図３の（３）において、演算処理部Ａ，Ｂは、算出したハッシュ値の照合依頼を比較部に対し実施する。
図３の（４）において、演算処理部Ａ，Ｂは、比較部からの応答に応じて以下の処理を行う。
（ａ）応答が正常（照合一致）の場合、入力データに誤り無いと判断し入力データを確定する。
（ｂ）応答が異常（照合不一致）の場合、入力データに誤りがあると判断し所定の異常処理を実行する。

図４には、本実施例における出力データに対する処理を示す。

図４の（１）において、演算処理部Ａ，Ｂは出力データを比較部へ送信する。
図４の（２）において、比較部は演算処理部Ａ，Ｂからの出力データを照合し一致すれば、外部入出力Ｉ／Ｆへ照合済みの出力データを送信するとともに、演算処理部Ａ，Ｂに正常（照合一致）を返信する。照合不一致であれば、外部入出力Ｉ／Ｆへ出力データの送信を行わず、演算処理部Ａ，Ｂに異常（照合不一致）を返信する。
図４の（３）において、演算処理部Ａ，Ｂは、比較部からの応答に応じて以下の処理を行う。
（ａ）応答が正常（照合一致）の場合、出力データに誤り無いと判断し正常に処理継続する。
（ｂ）応答が異常（照合不一致）の場合、出力データに誤りがあると判断し所定の異常処理を実行する。

１フェイルセーフ装置
２外部入出力Ｉ／Ｆ
３比較部
Ａ，Ｂ演算処理部
４０，４０ａ，４０ｂ入力データ（表示データ）
４１ａ，４１ｂ入力データ（表示データ）のハッシュ値
５０，５０ａ，５０ｂ出力データ（制御データ）

Claims

２つの演算処理部と１つの比較部で構成するフェイルセーフ装置において、出力データは比較部で照合し出力を行い、入力データは比較部を通さず直接演算処理部へ入力することを特徴としたフェイルセーフ装置。
請求項１記載のフェイルセーフ装置において、論理演算部や比較器等の構成要素を変更することなく、構成要素間の配線を変更することを特徴としたフェイルセーフ装置。
請求項１記載のフェイルセーフ装置において、安全性の確保が必要な入力データに対しては、２つの論理演算部が入力データを直接受信した後、データのハッシュ値を比較器で照合することを特徴としたフェイルセーフ装置。