JP2013085318A - フェールセーフ装置 - Google Patents

Abstract

【課題】フェールセーフ装置において、速度パルス信号取り込み不一致による列車停止や、稼働率の低下を防止する。
【解決手段】外部データである速度パルス信号を取り込む受信部と、各系がデータ交換するためのデータ交換部と、各系それぞれに前記受信部でのパルスデータ交換部へデータを書き込む、ないしデータを読み出すための演算部とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し、自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第１の健全性を確認し、他系が前記データ交換部に書き込んだデータと該データを自系がデータ交換部から読み出した結果とを比較して第２の健全性を確認し、前記第１の健全性確認と、前記第２の健全性確認を系毎に実行する。
【選択図】図４

Description

本発明は、移動体の位置を演算し、地上からの制御情報に基づいて算出した制限速度と移動体速度との速度照査を行ない、制限速度を超過した場合にブレーキ出力を行う移動体でのフェールセーフ技術に関する。

従来のＡＴＣ（Ａｕｔｏｍａｔｉｃ Ｔｒａｉｎ Ｃｏｎｔｒｏｌ）装置は、特許文献１に示すように、軌道側から送信される周波数変調されたＡＴＣ信号を受信し、この信号の表わすＡＴＣ制御速度を判別するＡＴＣ受信部と、この制限速度と速度発電機で検出された車両速度とを比較し、車両速度が制限速度を超過した際にＡＴＣブレーキ指令を発する速度照査部から構成する。受信部、速度照査部共に非同期方式２重系により、演算結果の比較照合を実施することでフェールセーフ装置を実現してきた。

さらにデジタルＡＴＣでは、地上から車上へ送信する信号をデジタル情報とする事で、停止する軌道回路を地上システムから列車に送信することを可能とする。デジタルＡＴＣの車上制御装置では、デジタル信号を受信可能としたＡＴＣ受信部と速度照査部に加え、車両性能や路線条件をもとに停止点に停止する一段階のブレーキ曲線を作成するフェールセーフ演算部を設けることで、列車の時隔短縮や乗り心地向上を図ってきた。このフェールセーフ演算部におけるソフトウェア処理には高信頼化・高安全化が求められており、フェールセーフ演算部に出力照合方式の２重系構成を採用することで、ソフトウェア演算の信頼性を上げている。その技術の１つとして、特許文献１に記載のものがある。

特公平４―４６０４４号公報

出力照合方式の２重系ＣＰＵで構成した列車制御装置向けのフェールセーフ装置において、２重化したＣＰＵがそれぞれ取り込んだ速度パルス信号の１カウントの相違によって、出力照合不一致となり故障と判断する。そのため、ブレーキ出力を行い列車停止に至ることで、稼働率が低下してしまうという課題がある。

さらに、ＣＰＵがそれぞれ取り込んだ速度パルス信号のカウント相違があっても、フェールセーフ装置自体が故障している場合には、出力照合結果が一致と判断してしまう可能性がある。本来は、ブレーキ出力により列車を停止する必要があるのにそれが行われないという課題もある。本発明の目的は、列車等の移動体の速度制御を安全に実施し、かつ稼働率を低下させないフェールセーフ装置を提供することにある。

上記目的を達成するために、多重系での出力照合方式によるフェールセーフ装置において、外部よりデータを取り込む受信部と、各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し、自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第１の健全性を確認し、他系が前記データ交換部に書き込んだデータと該データを自系がデータ交換部から読み出した結果とを比較して第２の健全性を確認し、前記第１の健全性確認と、前記第２の健全性確認を系毎に実行することにある。

また、多重系での出力照合方式によるフェールセーフ装置において、フェールセーフ装置の外部よりデータを取り込む受信部と各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部と各系のそれぞれのバスの状態を監視するバス照合回路とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第１の健全性を確認し、他系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第２の健全性を確認し、前記第１の健全性確認と、前記第２の健全性確認を系毎に実行し、さらに、前記バス照合回路がバス状態を確認して第３の健全性を確認し、フェールセーフ装置全体の健全性を確認することにある。

本発明では、多重系での出力照合方式によるフェールセーフ装置を列車に搭載し、列車の速度制御を行う場合、演算部のデータを交換するデータ交換部の健全性チェックを行うことで、誤りなくデータ交換を行い、システムの安全性を確保することを可能とする。
また、速度信号の取り込みタイミングの相違によるパルスカウント値の不整合を防止することで、不要な速度差検知による故障検知に伴ってブレーキが出力することを防ぎ、不要な列車の稼働率低下を防ぐことができる。

本発明のフェールセーフ装置を備えた車上装置のシステム構成図である。 本発明のフェールセーフ装置の全体構成図である。 フェールセーフ装置のデータ交換レジスタの健全性チェック方法を説明する図である。 データ交換レジスタを用いてパルスカウント値の健全性チェック方法を説明する図である。 フェールセーフ装置全体の初期チェック方法のフローチャート図である。 列車運行時の異常検知方法のフローチャート図である。

本発明を実施するための最良の形態例を説明する。

本発明の第１の実施例であるフェールセーフ装置を図１から図６で説明する。なお、本実施例では、移動体を列車と設定し、系多重度を２、すなわち２重系（それぞれの系をＡ系とＢ系と呼称する）として説明する。

まず、図１と図２で全体構成を説明する。図１は、本発明のフェールセーフ装置を備えた車上装置のシステム構成図である。図２は本発明のフェールセーフ装置の全体構成図である。図１の１２が列車本体で、軌道回路（線路）１８上を走行する。走行時にＡＴＣ送信部１１より送信されるＡＴＣ信号１１１を列車１２の受電器１９を経由して列車１２内部のＡＴＣ受信部１３で受信される。ＡＴＣ受信部１３は、図２に示すようにＡ系／Ｂ系それぞれのＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）を有し、入力されたＡＴＣ信号１９１はＤＳＰ＿Ａ１３０ａ、ＤＳＰ＿Ｂ１３０ｂでそれぞれ信号変換処理され、列車の制限速度や在線情報などの列車制御情報１３１ａ、１３１ｂとしてフェールセーフ演算部１４に入力される。

フェールセーフ演算部１４には、変換処理されたＡＴＣ信号以外に、車輪１７に備えられた速度発電機１６により速度パルス信号１６１を取り込む。フェールセーフ演算部１４は、図２のように演算部であるＣＰＵ＿Ａ２０７ａとＣＰＵ＿Ｂ２０７ｂ、速度パルス信号１６１のカウントと時刻を計測するタイマ＿Ａ２０５ａ、タイマ＿Ｂ２０５ｂ、記憶部であるＲＡＭ＿Ａ２０６ａとＲＡＭ＿Ｂ２０６ｂ、それらを接続するバス＿Ａ２０４ａ、バス＿Ｂ２０４ｂをＡ系とＢ系それぞれに設ける。さらに、ＣＰＵ＿Ａ２０７ａとＣＰＵ＿Ｂ２０７ｂがアクセスしデータの交換を行うデータ交換レジスタ２１０とバス＿Ａ２０４ａとバス＿Ｂ２０４ｂの状態を監視するバス照合回路２０８を設ける。

バス照合回路２０８は、速度照査部１５に制限速度情報１４１を出力し、バス状態の監視で異常が発見された場合はエラー信号２０８１をＣＰＵ＿Ａ２０７ａとＣＰＵ＿Ｂ２０７ｂへ、故障検知信号１４２を列車１２内の他の機能部分や地上装置などの外部に出力する。なお、バス照合回路２０８は図３に図示される接続サイド確認レジスタ＿Ａ面２１２ａと接続サイド確認レジスタ＿Ｂ面２１２ｂを有し、ＣＰＵ＿Ａ２０７ａとＣＰＵ＿Ｂ２０７ｂがどちらの系（Ａ系かＢ系）に接続される（属している）かの判別をできるようにしている。また、データ交換レジスタ２１０も、Ａ系のデータ交換レジスタ＿Ａ面２１０ａとＢ系のデータ交換レジスタ＿Ｂ面２１０ｂを持つ。

また、速度照査部１５は速度照査回路１５２を有し、速度パルス信号１６１から算出した列車１２の速度と、ＡＴＣ信号１９１の列車制御情報の１つである制限速度情報１４１とを比較する。現行の速度が制限速度を超えている場合には、ブレーキ出力１５１で減速を行う。

次に、動作について説明する。２重系ＣＰＵとその間に有するデータ交換レジスタ２１０によって、読み込みタイミングの違いによるパルスカウントのカウント誤差が閾値以内であれば健全と判断し、タイマ＿Ａ２０５ａ、タイマ＿Ｂ２０５ｂやパルス入力回路の故障検知とデータ交換レジスタ２１０の故障検知を各ＣＰＵやバス照合回路２０８で行い列車の稼働率と安全性を向上させるものである。より具体的には、各ＣＰＵが列車の速度・位置・制限速度の算出を行い、列車の実速度が制限速度を超過している場合においては、ブレーキ出力を行う。

また、出力照合式の２重系構成では、バス照合回路にてＡ系／Ｂ系の出力結果を照合し、Ａ系／Ｂ系の出力結果が不一致となる場合においては、故障と判断しブレーキ出力を行い、列車を停止させることでシステムの安全性を確保する。一方で、Ａ系／Ｂ系のタイマで行うパルスカウントの読み込みは、速度パルス信号の読み込みタイミングによっては、Ａ系／Ｂ系で読み込みカウント値に１カウント以上の誤差が発生する。この違いが顕在したまま各々の系の演算結果の出力照合を実施すると出力照合不一致に伴う故障となり、列車停止となり稼働率低下を招くこととなる。

したがって、出力照合を行う前に、Ａ系／Ｂ系ＣＰＵが取り込んだ各々のパルスカウント値をデータ交換レジスタで交換し、Ａ系／Ｂ系での取り込み値に２カウント以上のカウント誤差があるかチェックを行う。１カウントの誤差は許容する。２カウント以上のカウント差が有る場合においては、タイマもしくは入力段回路の故障と判断し、装置全体を故障とする。このチェック処理において、２重化されたパルスカウント読み込み部分の健全性チェックを行う。この処理において問題がなければ、Ａ系／Ｂ系ＣＰＵは、それぞれＡ系で取り込んだパルスカウント値を以降の制御処理に使用することとする（Ｂ系で取り込んだパルスカウント値を使用してもかまわない）。

以上の処理によって、Ａ系／Ｂ系における読み込みタイミングの違いによるパルスカウントの１カウントの相違においては、出力照合不一致とはせず、また、パルスカウントに２カウント以上の差異が発生した場合においては、故障としブレーキ出力することによって、稼働率を確保しつつ、安全性を確保することが可能となる。前記説明では２カウント以上を故障と判断したが、予め設定した閾値を用いることも可能である。

なお、上記処理で使用するデータ交換レジスタ２１０は、Ａ系／Ｂ系ＣＰＵからアクセス可能な共通部である。そのため、データ交換レジスタのデータ交換動作の確認を行ない、データ交換レジスタに潜在故障がないことを、予め（例えば、列車運行開始前）診断する必要がある。そこで、データ交換レジスタを利用したパルスカウントのデータ交換を実施する前に（例えば、装置立ち上げ時の処理において）、データ交換レジスタの全ビットを変化させるような特殊値のデータ交換を行うことにより、故障有無を確認する。すなわち、Ａ系のＣＰＵ＿Ａ２０７ａがデータ交換レジスタに書き込むデータＡと、Ｂ系のＣＰＵ＿Ｂ２０７ｂがデータ交換レジスタに書き込むデータは全ビット排他的とし、そのデータをＡ系のＣＰＵ＿Ａ２０７ａとＢ系のＣＰＵ＿Ｂ２０７ｂが読み出して比較して、一致することを確認する。

その詳細な動作を図３と図５で説明する。図３は、フェールセーフ装置のデータ交換レジスタの健全性チェック方法を説明する図である。図５は、フェールセーフ装置全体の初期チェック方法のフローチャート図である。

列車の運行前にフェールセーフ演算部の初期チェックを実施する。最初に、ＣＰＵ自身が自己の内部の自己診断を実施する（Ｓ１０００）。健全であれば（Ｓ１００１のＹｅｓに分岐）、次にＲＡＭチェック（Ｓ１００２）、カウンタ（タイマ）チェック（Ｓ１００３）、ＤＳＰチェック（Ｓ１００４）、バス照合回路チェック（Ｓ１００５）を実施し、全て健全か確認する（Ｓ１００６）。健全であれば（Ｓ１００６のＹｅｓに分岐）、図３で図示したデータ交換レジスタのチェックを実施する（Ｓ１００７）。データ交換レジスタも健全（Ｓ１００８のＹｅｓに分岐）であれば、フェールセーフ演算部は全て健全であると判断し初期チェックを終了する。

もし、ＣＰＵが不健全（Ｓ１００１でＮｏに分岐）か、ＲＡＭ／カウンタ／ＤＳＰ／バス照合回路のいずれか１個以上が不健全（Ｓ１００６でＮｏに分岐）か、データ交換レジスタが不健全（Ｓ１００８のＮｏに分岐）であれば、フェールセーフ演算部が故障していると判断し異常通知（Ｓ９０００）を実施し、初期チェックを停止する。

次に、データ交換レジスタの健全性チェックをより詳細に説明する。まず、ＣＰＵは自身が、Ａ系なのかＢ系なのかを接続サイド確認レジスタで認識する。次に、Ａ系／Ｂ系ＣＰＵがそれぞれ、Ａ系／Ｂ系で異なるチェックデータをデータ交換レジスタのＡ面とＢ面に書き込む。さらにＡ系／Ｂ系ＣＰＵは、データ交換レジスタのＡ面／Ｂ面を指定しアクセスした上で、両系のデータ交換レジスタを交互に読み込み、お互いの系のデータを交換し取得できることを確認する。

ここでチェックに使用する特殊値は、データ交換エリアの全ビットを０／１変化させたチェック用データを交換することによって、データ交換エリアに固定故障がないことを確認する。本処理をもって、データ交換レジスタの健全性の確認が出来る。また、本処理が終わった後のみに、パルスカウント値のデータ交換を許可することによって、誤ったデータ交換による速度認識の誤りを防ぐことが可能となる。

より具体的には
（Ｓ０１）各ＣＰＵ２０７ａ、２０７ｂは、接続サイド確認レジスタのＡ面２１２ａ、Ｂ面２１２ｂで自身の系を認識する。（２０７１ａ、２０７１ｂ）
（Ｓ０２）接続サイド確認レジスタがＡ系２１２ａである場合、つまり自身がＡ系ＣＰＵ２０７ａだと認識した場合、（０ｘ５Ａ５Ａ５Ａ５Ａ）のデータをデータ交換レジスタのＡ面２１０ａに書き込む。（２０７２ａ）
（Ｓ０３）接続サイド確認レジスタがＢ系２１２ｂである場合、つまり自身がＢ系ＣＰＵ２０７ｂだと認識した場合、（０ｘＡ５Ａ５Ａ５Ａ５）のデータをデータ交換レジスタのＢ面２１０ｂに書き込む。（２０７２ｂ）
（Ｓ０４）各ＣＰＵ２０７ａ、２０７ｂは、データ交換レジスタのＡ面２１０ａを指定し格納されたデータを読出す。ここでは、データ交換レジスタのＡ面２１０ａから読出した結果は、（０ｘ５Ａ５Ａ５Ａ５Ａ）である。（２０７３ａ、２０７３ｂ）
（Ｓ０５）各ＣＰＵ２０７ａ、２０７ｂは、データ交換レジスタのＢ面２１０ｂを指定し格納されたデータを読出す。ここでは、データ交換レジスタのＢ面２１０ｂから読出した結果は、（０ｘＡ５Ａ５Ａ５Ａ５）である。（２０７４ａ、２０７４ｂ）
（Ｓ０６）ＣＰＵ２０７ａは、データ交換レジスタのＡ面２１０ａを指定し読み出した値（０ｘ５Ａ５Ａ５Ａ５Ａ）が、予め認識しているＡ系用チェックデータ（０ｘ５Ａ５Ａ５Ａ５Ａ）と一致することを確認する。（２０７５ａ）
（Ｓ０７）ＣＰＵ２０７ｂは、データ交換レジスタのＢ面２１０ａを指定し読み出した値（０ｘＡ５Ａ５Ａ５Ａ５）が、予め認識しているＢ系用チェックデータ（０ｘＡ５Ａ５Ａ５Ａ５）と一致することを確認する。（２０７５ｂ）
（Ｓ０８）ＣＰＵ２０７ａは、データ交換レジスタのＢ面２１０ｂを指定し読み出した値（０ｘＡ５Ａ５Ａ５Ａ５）が、予め認識しているＡ系用チェックデータ（０ｘ５Ａ５Ａ５Ａ５Ａ）の反転と一致することを確認する。（２０７６ａ）
（Ｓ０９）ＣＰＵ２０７ｂは、データ交換レジスタのＡ面２１０ａを指定し読み出した値（０ｘ５Ａ５Ａ５Ａ５Ａ）が、予め認識しているＢ系用チェックデータ（０ｘＡ５Ａ５Ａ５Ａ５）の反転と一致することを確認する。（２０７６ｂ）
上記処理において、データ交換レジスタ２１０の全ビットを０と１に変化させチェックするので、故障を確実に検知できる。

次に、図４を用いて速度パルス信号の取り込みにおけるパルスカウントデータの健全性チェックを説明する。
（Ｓ１１）Ａ系／Ｂ系ＣＰＵ２０７ａ、２０７ｂは、それぞれ自系のタイマ＿Ａ２０５ａ、タイマ＿Ｂ２０５ｂから、パルスカウント値ＴＣＬＫＡ＿ＡとＴＣＬＫＡ＿Ｂを取得する。（２１７１ａ、２１７１ｂ）
（Ｓ１２）ＣＰＵ２０７ａはデータ交換レジスタ２１０のＡ面（２１０ａ）に、ＣＰＵ２０７ｂはデータ交換レジスタ２１０のＢ面（２１０ｂ）に自系で取り込んだパルスカウント値の書き込みを行う。（２１７２ａ、２１７２ｂ）
（Ｓ１３）ＣＰＵ２０７ａ、ＣＰＵ２０７ｂはデータ交換レジスタ２１０のＡ面（２１０ａ）を指定し読み出すことで、Ａ系タイマ２０５ａのパルスカウント値ＴＣＬＫＡ＿Ａを取得する。（２１７３ａ、２１７３ｂ）
（Ｓ１４）ＣＰＵ２０７ａ、ＣＰＵ２０７ｂはデータ交換レジスタ２１０のＢ面（２１０ｂ）を指定し読み出すことで、Ｂ系タイマ２１０ｂのパルスカウント値ＴＣＬＫＡ＿Ｂを取得する。（２１７４ａ、２１７４ｂ）
（Ｓ１５）ＣＰＵ２０７ａ、２０７ｂは、（Ｓ１３）、（Ｓ１４）で読み出したＡ系タイマ２０５ａのパルスカウント値ＴＣＬＫＡ＿Ａと、Ｂ系タイマ２０５ｂのパルスカウント値ＴＣＬＫＡ＿Ｂの差が閾値以内であることを確認する（パルス差監視処理）。（２１７５ａ、２１７５ｂ）
（Ｓ１６）ＣＰＵ２０７ａ、２０７ｂは、（Ｓ１５）のパルス差監視処理の異常がなければ、Ａ系タイマ２０５ａで取り込んだパルスカウント値ＴＣＬＫＡ＿Ａを列車速度の演算に使用し、列車制御処理を行う。
もし、（Ｓ１５）でのパルスカウント差が閾値より大きい場合には、入力段回路やタイマの異常と見なし、列車に故障検知信号とブレーキの出力で減速や停止を行う。そのため、列車システムとして安全動作が可能となる。

なお、本実施例ではデータ交換レジスタ２１０の１番地を使用し説明した。しかしながら、データ交換レジスタ２１０は、複数ビット長（複数バイト）であるレジスタを複数個有するので、レジスタを順次変えて使用することによるチェックも可能である。

図６は列車運行時の異常検知方法のフローチャート図である。本図ではフェールセーフ演算部１４で重要な機能部であるデータ交換レジスタ２１０の健全性を初期チェック時だけでなく、運行時のパルスカウント値チェック（前述のＳ１１からＳ１６）に加えて行うものである。まず、タイマ２０５ａないし２０５ｂより時刻情報を取得（Ｓ２０００）し、その情報がチェック時刻に達したら（Ｓ２００１のＹｅｓに分岐）、データ交換レジスタのチェック（Ｓ２１００、前述のＳ０１からＳ０９）を実施し健全か否かを判断する（Ｓ２１０１）。

健全であれば（Ｓ２１０１のＹｅｓに分岐）、パルスカウント値チェック（Ｓ２００２）を実施し健全性をチェックする。健全であれば（Ｓ２００３のＹｅｓに分岐）、バス照合回路２０８のチェックを行う（Ｓ２００５）。健全であれば（Ｓ２００５のＹｅｓに分岐）、再度同様な処理を繰り返す。もし、Ｓ２１０１、Ｓ２００３、Ｓ２００５のいずれかで不健全（Ｎｏに分岐）の場合には、故障と判断し、異常通知Ｓ９０００（列車に故障検知信号とブレーキの出力）を実行する。

なお、主チェックはＳ２０００からＳ２００５であり、Ｓ２１００とＳ２１０１は従チェックである。そこで、例えば主チェックは１０ｍｓｅｃ毎に１回と細かく健全性を確認し、従チェックは１００ｓｅｃ毎に１回と健全性を確認する。このような方法で詳細にフォールセーフ装置全体をチェックすることにより、更なる健全性向上が図れる。以上の実施例の説明では、移動体の一例として列車を用いたが列車以外の移動体、例えば、自動車等でも本発明を適応できることは言うまでもない。

鉄道における列車制御を行なうフェールセーフ装置に適用できる。また、鉄道以外の高信頼性・安全性の求められる計算機やその他移動体にも適用可能である。

１１ ＡＴＣ送信部
１２ 列車
１３ ＡＴＣ受信部
１４ フェールセーフ演算部
１５ 速度照査部
１６ 速度発電機
１７ 車輪
１８ 軌道回路
１９ 受電器
１１１ ＡＴＣ信号
１３０ａ ＤＳＰ＿Ａ
１３０ｂ ＤＳＰ＿Ｂ
１４１ 制限速度情報
１４２ 故障検知信号
１５１ ブレーキ出力
１５２ 速度照査回路
１６１ 速度パルス信号
１９１ ＡＴＣ信号
２０４ａ バス＿Ａ
２０４ｂ バス＿Ｂ
２０５ａ タイマ＿Ａ
２０５ｂ タイマ＿Ｂ
２０６ａ ＲＡＭ＿Ａ
２０６ｂ ＲＡＭ＿Ｂ
２０７ａ ＣＰＵ＿Ａ
２０７ｂ ＣＰＵ＿Ｂ
２０８ バス照合回路
２０８１ エラー信号
２１０ データ交換レジスタ
２１０ａ データ交換レジスタ＿Ａ面
２１０ｂ データ交換レジスタ＿Ｂ面
２１２ａ 接続サイド確認レジスタ＿Ａ面
２１２ｂ 接続サイド確認レジスタ＿Ｂ面

Claims (6)

1. 多重系での出力照合方式によるフェールセーフ装置において、
   外部よりデータを取り込む受信部と
   各系がデータ交換するためのデータ交換部と、
   各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部とを設け、
   各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し、
   自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第１の健全性を確認し、
   他系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第２の健全性を確認し、
   前記第１の健全性確認と、前記第２の健全性確認を系毎に実行する
   ことを特徴とするフェールセーフ装置。
2. 請求項１に記載のフェールセーフ装置において、第１および第２の健全性確認は、
   自系自身が受信部より取り込んだデータを、データ交換部に書き込むデータとし、
   他系自身が受信部より取り込んだデータを、データ交換部に書き込むデータとし、
   自系がデータ交換部に書き込んだデータを読み出すとともに、他系がデータ交換部に書き込んだデータを読み出して両者のデータ比較動作を実施して、その差が予め設定した閾値以内であれば、その系の健全性が保持されていると判断することを特徴とするフェールセーフ装置。
3. 多重系での出力照合方式によるフェールセーフ装置において、
   外部よりデータを取り込む受信部と
   各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部と
   各系のそれぞれのバスの状態を監視するバス照合回路とを設け、
   各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し
   自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第１の健全性を確認し、
   他系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第２の健全性を確認し、
   前記第１の健全性確認と、前記第２の健全性確認を系毎に実行し、
   さらに、前記バス照合回路がバス状態を確認して第３の健全性を確認し、フェールセーフ装置全体の健全性を確認することを特徴とするフェールセーフ装置。
4. 請求項１ないし３のいずれか１項に記載のフェールセーフ装置において、健全性が確認できない場合に、異常検知信号ないし制御信号をフェールセーフ装置外部に出力することを特徴とするフェールセーフ装置。
5. 請求項１ないし３のいずれか１項に記載のフェールセーフ装置において、受信部で取り込むデータが、移動体の速度情報であることを特徴とするフェールセーフ装置。
6. 請求項１に記載のフェールセーフ装置において、第１および第２の健全性確認でのデータの一方が、ビットが０と１が交互に現れるデータであり、他方のビットが１と０が交互に現れるデータであることを特徴とするフェールセーフ装置。

Images