JP2020032940A - 鉄道機器用フェールセーフ制御装置 - Google Patents

Abstract

【課題】電源回路の蓄電部材の容量低下等によって異常情報の書き込み漏れが発生しても不都合は少なくする。さらには異常情報の書き込み漏れが発生し難くもする。【解決手段】動作中に異常を検出したら不揮発性メモリ17,27 に異常情報を設定してから動作を停止し(S53,S43,S44）、動作開始時には異常情報か立ち上げ抑止情報が有れば表示部16,26 に表示してから動作を停止し(S45,S46,S44）、動作開始時に異常情報も立ち上げ抑止情報も無ければ不揮発性メモリ17,27 に立ち上げ抑止情報を設定してからリレー制御等を行い(S51,S52）、電源断等で動作を停止するときには不揮発性メモリ17,27 に保持されている立ち上げ抑止情報を消し去ってから動作を停止する(S54,S55）。さらには、立ち上げ抑止情報を細分化するとともに、電源断等での動作停止時に立ち上げ抑止情報を消去する際には時間をかけて徐々に又は段階的に消去する。【選択図】 図１

Description

この発明は、鉄道機器に組み込まれるフェールセーフ制御装置に関し、詳しくは、照合機能付き多重系電子計算機にて具現化されたフェールセーフコンピュータを制御部に具備している装置に関する。

鉄道機器用フェールセーフ制御装置の具体的な応用例としてデジタル時素リレーやＡＴＳ車上装置などが挙げられるところ、先ずリレーの例について説明すると、鉄道信号分野で用いられるリレーの多くは、電圧が例えば０Ｖと２４Ｖとで切り替わる制御入力に応じて出力電圧が０Ｖか２４Ｖになるものであるが、緩動リレーでは制御入力のオン遷移に応じて出力がオン（メイク，励磁，閉，動作）状態になるタイミングが緩動時素の時間だけ遅れ、緩放リレーでは制御入力のオフ遷移に応じて出力がオフ（ブレイク，非励磁，開，落下）状態になるタイミングが緩放時素の時間だけ遅れるようになっている。

そして、そのような緩動リレーや緩放リレーといった時素リレーについて時素の設定部や時間計測手段をデジタル回路にて具現化したものがデジタル時素リレーであり、フェールセーフ性が重要な鉄道分野では、デジタル化に加えて、時素の設定部や計測手段の二重化なども、図られている（例えば特許文献１〜３参照）。
しかも、デジタル回路の高集積化等に伴って、それらのデジタル時素リレーにおける制御部には、照合機能付き多重系電子計算機にて具現化されたフェールセーフコンピュータを採用することが多くなっている（例えば特許文献３参照）。

フェールセーフコンピュータは（例えば特許文献４，５参照）、同一の応用プログラム等を搭載した複数のコンピュータと、それらの何れからもバスライン等を介してデータを受け取れる照合回路とを具備したものであり、複数のコンピュータから同期をとりつつ全データ又は適宜な抽出データを照合回路へ引き渡して比較したうえで一致していればコンピュータの出力をそのまま被制御部へ送出させるが不一致時には被制御部への出力を安全側に強制することによって、必要なフェールセーフ性を確保している。

このようなフェールセーフコンピュータが、鉄道機器の一つであるリレーに係るマイクロエレクトロニクス化の流れに乗って、時素リレーの制御部に搭載され、時素リレーの制御部をフェールセーフ制御装置に変えることで、安全性を損なうことなく時素リレーをデジタル時素リレーに変えているのである。
鉄道機器の制御部に対するフェールセーフコンピュータの採用は、上述したデジタル時素リレーに限られず、フェールセーフ性を求められる種々の鉄道機器に及んでおり、例えばＡＴＳ車上装置なども（例えば特許文献６，７参照）、対象に含まれる。

特開平３−２９２２５８号公報 特開平４−１５４４７５号公報 特開平１０−２３９４６３号公報 特開２００６−３３８０９４号公報 特開２０１７−１７３９２１号公報 特開２００３−２３７５８１号公報 特開２０１２−１４８６６０号公報

このような鉄道機器用フェールセーフ制御装置では、故障等の異常が発生して照合が不一致になったときには不揮発性メモリ等に異常有りのデータを書き込んでおくことも有用と考えられる。動作電力の供給が断たれて動作を停止したときに異常有りの情報記憶が無くなると、その後に動作電力が供給されて動作を再開したときに、故障等の異常が解消済みなのか否かに関わりなく被制御部への出力を再開する可能性があることから、異常状態なのに制御を再開するという不所望な事態に至るのを未然に阻止するためであり、動作再開時に異常有りデータの存在が確認されたときには、動作の強制停止等にて、異常解消に基づくデータ書換まで被制御部への出力を安全側に強制するのである。

ところが、この手法にも未だ対策を追加しうる余地のあることが判明した。すなわち、異常発生と電源断とが密に絡んだとき、例えば鉄道機器用フェールセーフ制御装置に係る異常発生とほぼ同時に当該制御装置に対する動作電力の供給が断たれて当該制御装置が動作を停止したときや当該制御装置に係る電源断に伴って当該制御装置に故障が発生したときなど、動作電力の供給断絶があまりにも急であると、具体的には異常の検出と異常有りデータの書き込みとに要する時間よりも電源断後の動作継続時間が短いと、異常情報のデータ書き込みが完遂されないため、次の電源投入時に異常情報の確認がなされず、当該制御装置が自らを正常と誤認して制御動作を再開してしまうのである。

もっとも、異常状態が継続している場合には大抵すみやかに照合結果の不一致が生じて当該制御装置が被制御部への出力を安全側に強制するので、不所望な動作は行われたとしても一瞬しか行われない。また、鉄道機器用フェールセーフ制御装置の電源回路には平滑用コンデンサ等の蓄電部材が搭載されていて、その容量の設計値が、異常情報のデータ書き込みを含むシャットダウン処理に費やされる時間を確保するのに要する容量より大きければ、そして電源回路が正常であれば、そもそも上述のような異常情報の書き込み漏れは生じない。そのため、上述の手法でも必要な確率でフェールセーフ性は確保される。

しかしながら、電源回路の蓄電部材の容量が経年変化等で低下してくると、上述した異常情報の書き込み漏れが発生する可能性が生じかねない。
安全性が重視される鉄道機器については、仕様で要求された基本レベルにとどまるのでなく、それよりも高いフェールセーフ性を備えることが望ましいので、上記容量には少なくとも当初は十分な余裕が付与されるが、コンデンサ等の蓄電部材には性能のバラツキが大きく、早期に容量が低下するものを完全に排除するのは難しいため、上述のような異常情報の書き込み漏れの発生確率は皆無ではない。

かかる状況の下、既述したデジタル時素リレーは、リレー駆動ラインから動作電力を取得するものであることから、駆動状態がオンオフする度に電源投入と電源断とが繰り返されるため、電源断の頻度が高いので、電源回路の蓄電部材の容量低下時に異常情報の書き込み漏れが発生する確率が相対的に高いものと言える。また、既述したＡＴＳ車上装置も、車両の向きを変えずに短区間を頻繁に往復する鉄道車両に搭載されているものの場合、往路と復路とで前後の運転席が使い分けられ、その度にＡＴＳ車上装置に対して電源断と電源投入とがなされるため、同様のことが言える。

そこで、電源回路の蓄電部材の容量低下等によって異常情報の書き込み漏れが発生しても不都合の少ない鉄道機器用フェールセーフ制御装置を実現することが第１技術課題となる。
また、電源回路の蓄電部材の容量が低下しても異常情報の書き込み漏れが発生し難い鉄道機器用フェールセーフ制御装置を実現することが第２技術課題となる。

本発明の鉄道機器用フェールセーフ制御装置は（解決手段１）、このような課題を解決するために創案されたものであり、
組み込み先の鉄道機器に係る制御を行う第１中央処理装置および第２中央処理装置と、前記第１中央処理装置の処理と前記第２中央処理装置の処理との同一性を調べる照合手段と、前記第１中央処理装置と前記第２中央処理装置に供給される動作電力を蓄える蓄電部材とを備え、前記照合手段の同一性確認結果に応じて選択的に前記鉄道機器の制御を実行する鉄道機器用フェールセーフ制御装置において、
前記第１中央処理装置および前記第２中央処理装置が、何れも、個々に不揮発性記憶手段を具備していて、動作中に異常を検出したときには自己の不揮発性記憶手段に異常情報を保持させるとともに前記鉄道機器の制御実行を回避し、動作開始時には自己の不揮発性記憶手段を調べて異常情報と立ち上げ抑止情報とのうち何れか一方または双方が保持されていれば前記鉄道機器の制御実行を回避するが異常情報も立ち上げ抑止情報も保持されていなければ自己の不揮発性記憶手段に立ち上げ抑止情報を保持させたうえで前記鉄道機器の制御を実行し、動作停止時には自己の不揮発性記憶手段に保持されている立ち上げ抑止情報を消去するようになっていることを特徴とする。

また、本発明の鉄道機器用フェールセーフ制御装置は（解決手段２）、上記解決手段１の鉄道機器用フェールセーフ制御装置であって、
前記第１中央処理装置および前記第２中央処理装置が、何れも、動作停止時に立ち上げ抑止情報を消去する際に時間をかけて行うようになっている、ことを特徴とする。

さらに、本発明の鉄道機器用フェールセーフ制御装置は（解決手段３）、上記解決手段２の鉄道機器用フェールセーフ制御装置であって、
前記第１中央処理装置および前記第２中央処理装置が、何れも、動作開始時に、立ち上げ抑止情報の消去具合に応じて場合分けして、短時間経過対応の抑止値が保持されている場合は、前記蓄電部材の容量が使用限界まで低下したという判断を下すとともに、立ち上げ抑止情報が保持されているときの処理を行い、短時間経過対応の抑止値は無いが長時間経過対応の抑止値が保持されている場合は、前記蓄電部材の容量が低下したという判断を下すとともに、立ち上げ抑止情報が保持されていないときの処理を行い、立ち上げ抑止情報が完全に消去されている場合は、立ち上げ抑止情報が保持されていないときの処理を行うようになっている、ことを特徴とする。

また、本発明の鉄道機器用フェールセーフ制御装置は（解決手段４）、上記解決手段３の鉄道機器用フェールセーフ制御装置であって、
前記第１中央処理装置および前記第２中央処理装置が、何れも、個々に表示部を具備していて、前記判断に基づく表示を自己の表示部に行わせるようになっている、ことを特徴とする。

また、本発明の鉄道機器用フェールセーフ制御装置は（解決手段５）、上記解決手段１〜４の鉄道機器用フェールセーフ制御装置であって、
前記第１中央処理装置および前記第２中央処理装置が、何れも、動作開始時に前記鉄道機器の制御実行を回避するときに限って自己の不揮発性記憶手段の立ち上げ抑止情報を前記照合手段の照合に供するようになっている、ことを特徴とする。

このような本発明の鉄道機器用フェールセーフ制御装置にあっては（解決手段１）、何れかの中央処理装置で故障等の異常が発生してそれが検出されると夫々の不揮発性記憶手段に異常情報が保持されるとともに鉄道機器の制御実行が回避される。そして、異常を検出した中央処理装置が制御実行を回避すると、その中央処理装置の処理と他の中央処理装置の処理とに関して照合が成立しなくなって、被制御部への出力が安全側に強制される。この状況は、保守作業等にて異常要因が解消されるとともに異常情報が消去されるまで継続するので、基本レベルのフェールセーフ性が確保される。

また、何れの中央処理装置も、故障等の異常情報に加えて立ち上げ抑止情報を扱うようになっている。異常情報も立ち上げ抑止情報も保持されていれば制御実行の回避を引き起こすものであるが、異常情報については異常検出時に該当データ値を記憶保持させるのに対し、立ち上げ抑止情報については、正常に立ち上がったときに該当データ値を記憶保持させる一方、正常に動作停止したときに該当データ値を消去するようになっている。しかも、故障等が随時発生しうるので異常情報は随時記憶保持されるのに対し、立ち上げ抑止情報については、定常動作中は基本的に維持される。
そのため、直前の動作停止が正常に完遂したか否かを判別する手掛かりとして立ち上げ抑止情報が役立つことになる。

そして、このような立ち上げ抑止情報の併用によりフェールセーフ性が高まる。すなわち、異常発生と電源断とが密に絡んで上述の異常情報の書き込み漏れが発生するほど急な動作停止状況下では立ち上げ抑止情報を消す間も無く中央処理装置が動作を停止するため、次の動作開始時には立ち上げ抑止情報が残存保持されていることになり、それに応じて中央処理装置が鉄道機器の制御実行を回避するので、フェールセーフ性が高まる。
したがって、この発明によれば、電源回路の蓄電部材の容量低下等によって異常情報の書き込み漏れが発生しても不都合の少ない鉄道機器用フェールセーフ制御装置を実現することができ、その結果、上述の第１技術課題が解決される。

また、本発明の鉄道機器用フェールセーフ制御装置にあっては（解決手段２）、動作停止時に立ち上げ抑止情報を消去する際には瞬時に行うのでなく時間をかけて例えば徐々に或いは段階的に行うようにもしたことにより、電源回路の蓄電部材の容量が低下して動作の完全停止までに確保できる時間が短くなると立ち上げ抑止情報の消去具合が変化するので、次の動作開始時には電源回路の蓄電部材の容量の大小ひいては容量低下具合に係る情報を取得することができるようになる。

さらに、本発明の鉄道機器用フェールセーフ制御装置にあっては（解決手段３）、動作開始時に立ち上げ抑止情報を確認するに際して、立ち上げ抑止情報の有無にとどまらず直前の動作停止時における立ち上げ抑止情報の消去具合を調べて場合分けまで行うようにしたことにより、次の動作開始時に電源回路の蓄電部材の容量低下に係る情報を取得した際に容量低下の程度を大雑把ながら把握することができるばかりか場合分けに応じた適切な判断を下すとともに適切な対処までとることができる。

また、本発明の鉄道機器用フェールセーフ制御装置にあっては（解決手段４）、表示部を具備したうえで、電源回路の蓄電部材の容量低下に係る判断に基づく表示まで行うようにしたことにより、電源回路の蓄電部材の容量が異常情報の書き込み漏れを引き起こすほどにまで低下する以前に、不所望な容量低下が顕在化されるため、修理や交換などの対策を速やかにとることが可能になるので、異常情報の書き込み漏れが発生するまで放置される事態が少なくなる。したがって、この発明によれば、電源回路の蓄電部材の容量が低下しても異常情報の書き込み漏れが発生し難い鉄道機器用フェールセーフ制御装置を実現することができ、その結果、上述の第２技術課題が解決される。

また、本発明の鉄道機器用フェールセーフ制御装置にあっては（解決手段５）、中央処理装置が動作開始時に鉄道機器の制御実行を回避するときに立ち上げ抑止情報を照合手段の照合に供するようにもしたことにより、他の中央処理装置が動作開始時に鉄道機器の制御を実行しようとしているときには照合が成立しないことを利用して迅速に被制御部への出力を安全側に強制することができる。しかも、そのような照合の利用は鉄道機器の制御実行を回避するときに限定したことにより、立ち上げ抑止情報の値が他の中央処理装置のものと相違したとしてもそれらの値が何れも鉄道機器の制御を実行する範囲内にとどまっていれば、不要な安全側への強制までは行われない。そのため電源回路の蓄電部材の容量低下等によって異常情報の書き込み漏れが発生しても不都合が一層少ない鉄道機器用フェールセーフ制御装置を実現することができる。

本発明の実施例１について、鉄道機器用フェールセーフ制御装置の構造等を示し、（ａ）が踏切の列車検知回路の緩動時素リレーへの組み込み例、（ｂ）がハードウェア構成のブロック図、（ｃ）が主要機能に係るフローチャートである。 主要な動作状態を示し、（ａ）が正常時の動作状態、（ｂ）が故障後に電源が断たれたときの動作状態、（ｃ）が故障とほぼ同時に電源が断たれたときの動作状態を示す。 本発明の実施例２について、鉄道機器用フェールセーフ制御装置の主要機能に係るフローチャートである。 主要な動作状態を示し、（ａ）が電源回路の蓄電部材の容量が正常なときの動作状態、（ｂ）が電源回路の蓄電部材の容量が注意レベルまで低下したときの動作状態を示す。 主要な動作状態を示し、（ａ）が電源回路の蓄電部材の容量が警告レベルまで低下したときの動作状態、（ｂ）が電源回路の蓄電部材の容量が強制停止レベルまで低下したときの動作状態を示す。

このような本発明の鉄道機器用フェールセーフ制御装置について、これを実施するための具体的な形態を、以下の実施例１〜３により説明する。
図１〜２に示した実施例１は、上述した解決手段１（出願当初の請求項１）を具現化したものであり、図３〜５に示した実施例２は、上述した解決手段２〜４（出願当初の請求項２〜４）を具現化したものであり、図示を割愛した実施例３は、上述した解決手段５（出願当初の請求項５）を具現化したものである。

本発明の鉄道機器用フェールセーフ制御装置の実施例１について、その具体的な構成を、図面を引用して説明する。図１は、鉄道機器用フェールセーフ制御装置１１〜２９及びそれを組み込んだ緩動時素リレー１０の構造を示し、（ａ）が踏切の列車検知回路における緩動時素リレー１０の組み込み例、（ｂ）が鉄道機器用フェールセーフ制御装置１１〜２９を組み込んだ緩動時素リレー１０のハードウェア構成を示すブロック図、（ｃ）が鉄道機器用フェールセーフ制御装置１１〜２９の主要機能を示すフローチャートである。

緩動時素リレー１０は（図１（ａ）参照）、踏切の列車検知回路などに組み込まれて、例えば始動点に係る軌道回路の検出出力に応じて開閉される２４Ｖのライン(B24-C24）に介挿状態で接続される。そして、列車到来前はリレー駆動ライン（＊）が開いていて緩動時素リレー１０に駆動電圧が印加されないので出力リレー３３がオフ（ブレイク，非励磁，開，落下）状態になっているが、始動点の検出器によって列車が検知されると、リレー駆動ライン（＊）が閉じて緩動時素リレー１０に駆動電圧が印加される。それから、予め設定されている時素の時間だけ経過した後、出力リレー３３がオフ状態からオン（メイク，励磁，閉，動作）状態へ遷移するようになっている。

この緩動時素リレー１０は（図１（ｂ）参照）、制御部に鉄道機器用フェールセーフ制御装置１１〜２９を採用したものであり、その出力にて、時素の無い基本構成の出力リレー３３を駆動するようになっている。
鉄道機器用フェールセーフ制御装置１１〜２９は、照合機能付き多重系電子計算機にて具現化されたフェールセーフコンピュータであり、時素の設定部や計時手段などが二重化されている。

具体的には、鉄道機器用フェールセーフ制御装置１１〜２９のハードウェアは、公知のもので足りるので簡潔に述べると、組み込み先の鉄道機器である緩動時素リレー１０に係る種々の制御をプログラムの実行にて遂行する第１中央処理装置１４及び第２中央処理装置２４と、それら第１中央処理装置１４の処理と第２中央処理装置２４の処理との同一性を調べる照合手段としての照合回路２８と、両中央処理装置１４，２４に対して動作電力を供給する動作電力供給部（１１，１２）と、リレー駆動ライン（＊）に駆動電圧が印加されているか否かを示す二値の信号である制御入力Ｓを生成して両中央処理装置１４，２４に送出する制御入力回路１３と、照合回路２８の同一性確認結果に応じて同一性の確認が成功している間は両中央処理装置１４，２４の制御に従って出力リレー３３を駆動するが同一性が確認できないときには出力リレー３３の駆動を止めて安全側に強制する駆動部２９とを具えている。

それらのうち動作電力供給部（１１，１２）は、リレー駆動ライン（＊）から印加された駆動電圧を平滑化や降圧などにて適宜な電源電圧Ｐを生成して両中央処理装置１４，２４に供給する電源回路１１と、その電源電圧Ｐの供給ラインに接続されていて容量に見合った電力を蓄える蓄電部材１２とを具備している。
蓄電部材１２は、電源電圧Ｐの低下を遅らせる適宜な容量を持っている単一の又は複数のコンデンサ等からなり、リレー駆動ライン（＊）からの電力供給が断たれた後も暫くは両中央処理装置１４，２４の動作を継続させることができるようになっている。

また、第１中央処理装置１４には、例えばロータリスイッチ等からなり時素の値などの設定に使用される設定部１５と、例えば小形の液晶パネル等からなり異常情報や立ち上げ抑止情報のコード表示や文字表示などに使用される表示部１６と、異常情報や立ち上げ抑止情報の記憶保持に使用される不揮発性メモリ１７が、付設されている。
さらに、第２中央処理装置２４にも、例えばロータリスイッチ等からなり時素の値などの設定に使用される設定部２５と、例えば小形の液晶パネル等からなり異常情報や立ち上げ抑止情報のコード表示や文字表示などに使用される表示部２６と、異常情報や立ち上げ抑止情報の記憶保持に使用される不揮発性メモリ２７が、付設されている。

これらの中央処理装置１４，２４は、照合回路２８と共に既述のフェールセーフコンピュータを構成するものであり（例えば特許文献４，５参照）、何れもプログラムメモリに同一のプログラム（算譜）がインストール（搭載）されていて、何れも正常であれば同じプロセス（処理）を行うようになっており、随時または適宜なタイミングで照合回路２８に照合対象データを供給するとともに、その照合結果が「一致」のときには処理を継続するが「不一致」のときには強制的な動作停止にて処理を中断するようになっている。

そのプログラムの実行にて発揮される機能について要点を説明する（図１（ｃ）参照）。電源電圧Ｐが立ち上がって両中央処理装置１４，２４が動作を開始すると先ず必要な初期設定を行い（ステップＳ４１）、次いで所定の回路診断を行って（ステップＳ４２）、異常が検出されればその異常情報を自己の不揮発性メモリ１７又は２７の異常情報保持用データ領域に書き込む異常情報設定の処理を行うとともに（ステップＳ４３）、その異常情報を適宜な文字やコードなどに変換して自己の表示部１６又は２６に表示させてから（ステップＳ４４）、プログラムのストップインストラクション（停止命令）の実行などによって自発的に動作を停止するようになっている。

これに対し、回路診断で異常が検出されなければ（ステップＳ４２正常）、正常時の処理を続行して、以前に設定された異常情報が自己の不揮発性メモリ１７又は２７の異常情報保持用データ領域に残されているか否かを調べ（ステップＳ４５）、該当データ領域に異常情報が保持されている場合は（ステップＳ４５有）、上述したのと同様に異常情報を表示させてから自発的に動作を停止するが（ステップＳ４４）、該当データ領域に異常情報が保持されていない場合は（ステップＳ４５無）、更に、以前に設定された立ち上げ抑止情報が自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に残されているか否かを調べるようになっている（ステップＳ４６）。

そして、立ち上げ抑止情報が自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に保持されている場合は（ステップＳ４６有）、異常情報の有ったときと同様に立ち上げ抑止情報を適宜なコード等に変換して自己の表示部１６又は２６に表示させてから自発的に動作を停止するようになっている（ステップＳ４４）。
このように異常情報や立ち上げ抑止情報が双方であれば勿論のこと片方だけでも設定されてデータ保持されていた場合は、原因解明に役立つ情報が表示されて目視確認が可能になるのに加え、自発的な動作停止により、総ての制御実行が回避されて、出力リレー３３の駆動が止まって、出力リレー３３の状態が安全側に強制されるようになっている。

これらの回路診断と異常情報の有無確認と立ち上げ抑止情報の有無確認（ステップＳ４２〜Ｓ４６）を問題なく通過すると、動作開始時に行う機能として新たに追加された立ち上げ抑止情報設定の処理を行う状態に至るので、自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に立ち上げ抑止情報を書き込む（ステップＳ５１）。
この実施例では立ち上げ抑止情報の有無が分かれば良いため立ち上げ抑止情報の値は例えば「有」に“１”を割り当て「無」に“０”を割り当てると二値情報で足りるので、異常情報と立ち上げ抑止情報とに同じデータ領域を割り当ててビット分け等にて区別するようにすることも可能であるが、一方のデータ更新時にハードウェア故障等の障害が発生して他方のデータまで破壊されるといった不具合の回避をも考慮すると、異常情報と立ち上げ抑止情報とは書き込みタイミングを異にする別のデータ領域に保持されるようになっているのが望ましい。

このように自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に「有」の値“１”を書き込んで立ち上げ抑止情報の設定を済ませたら（ステップＳ５１）、後は、通常の制御機能を照合付きで実行する（ステップＳ５２〜Ｓ５４）。すなわち、鉄道機器の具体例である出力リレー３３に対する駆動制御等と、両中央処理装置１４，２４に係る照合の処理とを繰り返す。具体的には、計時しながら設定時素対応時間の経過を待って時間経過後に出力リレー３３の駆動状態をオフ（ブレイク，非励磁，開，落下）状態からオン（メイク，励磁，閉，動作）状態へ切り替えるとともに（ステップＳ５２）、照合対象データ等を照合回路２８に引き渡して同期をとったり（特許文献４，５参照）、随時、出力リレー３３や自回路などに係る異常の有無を調べたり（ステップＳ５３）、制御入力Ｓの有無を調べるようになっている（ステップＳ５４）。

そして、その繰り返しの中で、異常が検出されたときには（ステップＳ５３有）、上述した回路診断での異常検出時と同様に、異常情報設定処理とその表示処理とを行ってから（ステップＳ４３，Ｓ４４）、自発的に動作を停止するようになっている。
また、上記処理の繰り返し中に制御入力Ｓの値が「有」から「無」になったことが判明したときには（ステップＳ５４無）、動作停止時に行う機能として新たに追加された立ち上げ抑止情報を消去する処理を行う状態に至るので、自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に保持されている立ち上げ抑止情報をクリアインストラクションの実行等にて値“１”から値“０”に書き換えることで消去し（ステップＳ５５）、それから自発的に動作を停止するようになっている。

さらに、フローチャートには記載されていないが（図１（ｃ）参照）、上述の処理を実行中に電源電圧Ｐが急速に低下して第１中央処理装置１４や第２中央処理装置２４の動作下限電圧を下回ると、該当する中央処理装置が電源断によって強制的に動作を停止させられる。この強制的な動作停止では、通常の照合付き制御処理（ステップＳ５２〜Ｓ５４）が唐突に打ち切られるので、後続の異常情報設定等や（ステップＳ４３，Ｓ４４）、立ち上げ抑止情報の消去も（ステップＳ５５）、完遂されない。そのため、自発的な動作停止と異なり、立ち上げ抑止情報保持用の所定データ領域には「有」の値“１”が残されるようになっている。ただし、照合によるフェールセーフ機能は維持されるので、出力リレー３３の駆動が止まって出力リレー３３の状態が安全側に強制されるようになっている。

この実施例１の緩動時素リレー１０及びそれに組み込まれた鉄道機器用フェールセーフ制御装置１１〜２９について、その使用態様及び動作を、図面を引用して説明する。
図２は、その主要な動作状態を示し、（ａ）が正常時の動作状態、（ｂ）が故障後に電源が断たれたときの動作状態、（ｃ）が故障とほぼ同時に電源が断たれたときの動作状態を示している。

上述したように、列車到来前はリレー駆動ライン（＊）が開いていて緩動時素リレー１０に駆動電圧が印加されないため緩動時素リレー１０は動作停止状態にあり出力リレー３３が安全側のオフ状態に維持されるのに対し、始動点への列車到来に応じてリレー駆動ライン（＊）が閉じて緩動時素リレー１０に駆動電圧が印加されるため、電源電圧Ｐと制御入力Ｓが立ち上がり、その動作電力の供給によって鉄道機器用フェールセーフ制御装置１１〜２９が動作を開始する。

先ず、この動作開始時を含めてその前後にも故障等の異常が無いという正常時の動作を説明する（図２（ａ）参照）。
この場合、電源投入時には、両中央処理装置１４，２４の何れについても、異常情報が無い（図１（ｃ）ステップＳ４１，Ｓ４２正常，Ｓ４５無）。具体的には、不揮発性メモリ１７又は２７の異常情報保持用データ領域における該当データの値がクリアされて「無」相当の“０”になっている。

しかも、立ち上げ抑止情報が消去されてデータ値が「無」になっているので（ステップＳ４６無）、具体的には不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域における該当データがクリアされてその値が「無」相当値“０”になっているので、そのデータ値を「有」相当値“１”に書き換えることで立ち上げ抑止情報が設定される（ステップＳ５１）。
それから時素の時間計測や照合データ送出等と時間経過後の出力リレー３３のオン駆動といった動作が繰り返され（ステップＳ５２〜Ｓ５４）、そのような正常動作時には、異常情報が無く且つ立ち上げ抑止情報が有るという状態が継続する（図２（ａ）参照）。

その後、列車の始動点通過完了に応じてリレー駆動ライン（＊）が開くと、緩動時素リレー１０に駆動電圧が印加されなくなる。そして、この電源断によって制御入力Ｓの値が直ちに「有」から「無」になるのに対し、電源電圧Ｐは蓄電部材１２の働きで徐々に低下しながらも緩動時素リレー１０の動作を支える。そのため、電源断時に、両中央処理装置１４，２４では、出力リレー３３の駆動がオンからオフに変更されてから、立ち上げ抑止情報のデータ値が「有」から「無」に変更されて立ち上げ抑止情報が消去される（図１（ｃ）ステップＳ５１，図２（ａ）右端欄を参照）。なお、異常情報の値は、上述したように正常時の動作が前提なので、「無」のままである（図２（ａ）右端欄を参照）。

更にその後、次の列車が始動点に到来すると、電源回路１１と制御入力回路１３とに電源が再投入され、電源電圧Ｐと制御入力Ｓが立ち上がるので、再び両中央処理装置１４，２４が動作を開始する。
そして、上述のように再び異常情報と立ち上げ抑止情報とについて以前に書き込まれたデータ値が調べられるが（図１（ｃ）ステップＳ４１〜Ｓ４６）、異常情報も立ち上げ抑止情報もデータ値が「無」で設定の無い状態なので（図２（ａ）参照）、再び上述した正常時の動作が繰り返される。

次に、動作中に故障が発生し暫くして電源断になったときの動作について説明する（図２（ｂ）参照）。この場合も故障発生前は上述の正常時と同じく動作するので、簡潔に述べると、両中央処理装置１４，２４の何れでも、電源投入時には異常情報のデータ値が「無」にされ、立ち上げ抑止情報のデータ値が「無」から「有」に変更されて立ち上げ抑止情報が設定される。
そして、両中央処理装置１４，２４がリレー制御等の処理を繰り返しているときに故障が発生して異常が検出されると（図１（ｃ）ステップＳ５３有）、不揮発性メモリ１７又は２７の異常情報保持用データ領域に単なる「有」か適宜なエラーコード等の付いた「有」相当値が設定され（図１（ｃ）ステップＳ４３，図２（ｂ）参照）、更に表示部１６にエラー表示がなされる（ステップＳ４４）。

それから、安全のため両中央処理装置１４，２４のうち異常を検出したものが自発的に動作を停止すると、照合回路２８の照合が成立しなくなって残りの中央処理装置も制御出力が抑制され更には動作を停止することから、電源断時には、少なくとも両中央処理装置１４，２４のうち異常検出側の装置では、異常情報も立ち上げ抑止情報も設定されていてデータ値が「有」になっている（図２（ｂ）参照）。
そのため（図２（ｂ）右端欄を参照）、その後の電源再投入時には、対応するエラーコード等が表示部１６に表示されるだけで（図１（ｃ）ステップＳ４４）、安全のため、直ちに動作が停止する。

最後に、動作中に故障と電源断とがほぼ同時に発生したときの動作について説明する（図２（ｃ）参照）。この場合も上述の場合と同様の動作については簡潔に述べると、両中央処理装置１４，２４の何れでも、電源投入時には、異常情報のデータ値が「無」にされ、立ち上げ抑止情報のデータ値が「無」から「有」に変更される（図２（ｃ）参照）。
そして、両中央処理装置１４，２４がリレー制御等の処理を繰り返しているときに故障が発生するとともに、間髪を入れず電源断まで発生したとする。しかも、その電源断では蓄電部材１２の故障も伴って電源電圧Ｐまで制御入力Ｓの如く急峻に低下したとする。

そうすると、両中央処理装置１４，２４が何れも強制的に動作停止に追い込まれて、例え異常の検出ができたとしても異常情報の設定まで完遂するのは不能となり（図１（ｃ）ステップＳ５３，Ｓ４３）、また、例え制御入力Ｓが「無」になったことが検出できたとしても立ち上げ抑止情報の消去まで完遂するのは不能となるので（ステップＳ５４，Ｓ５５）、この場合は、故障発生時にも、電源断時にも、異常情報のデータ値は「有」になれずに「無」を維持するが、立ち上げ抑止情報のデータ値は「有」を維持する（図２（ｃ）参照）。そのため（図２（ｃ）右端欄を参照）、その後の電源再投入時には、やはり対応するエラーコード等が表示部１６，２６に表示されるだけで（図１（ｃ）ステップＳ４４）、安全のため、直ちに動作が停止する。

本発明の鉄道機器用フェールセーフ制御装置の実施例２について、その具体的な構成を、図面を引用して説明する。図３は、鉄道機器用フェールセーフ制御装置１１〜２９を組み込んだ緩動時素リレーの主要機能に係るフローチャートである。

この緩動時素リレーのハードウェアはそれに組み込まれた鉄道機器用フェールセーフ制御装置１１〜２９も含めて上述した緩動時素リレー１０と同じものであるが、そのソフトウェアが部分的に改造されて機能が幾つか追加されているので、ここでは、その追加機能を中心に説明する。
鉄道機器用フェールセーフ制御装置１１〜２９に追加された機能は、立ち上げ抑止情報が細分化されて動作開始時の対応処理が場合分けされたことと（ステップＳ４６，Ｓ５１ → Ｓ６１〜Ｓ６４）、動作停止時に立ち上げ抑止情報を消去する処理が時間をかけて行われるようになったことである（ステップＳ５５ → Ｓ６５〜Ｓ６７）。

先ず立ち上げ抑止情報の細分化について詳述すると、立ち上げ抑止情報の取り得る値が、上述した実施例１の単純な「無」と「有」の二値でなく、「 」と「軽」と「中」と「重」という四段階のものになっている。
それらのうち「 」は立ち上げ抑止情報が完全に消去されて設定状態でなくなったときのデータ値であり、「重」は立ち上げ抑止情報が明確に設定されているときのデータ値であり、「中」と「軽」は設定状態の「重」から消去状態の「 」へ状態が遷移していくときの中間状態をしめすデータ値である。

上述した実施例１では一方のデータ更新時にハードウェア故障等の障害が発生して他方のデータまで破壊されるといった不具合の回避まで考慮して異常情報と立ち上げ抑止情報とが書き込みタイミングを異にする別のデータ領域に保持されるようになっていたが、同様の理由から、この実施例２でも、異常情報と、立ち上げ抑止情報の「軽」と、立ち上げ抑止情報の「中」と、立ち上げ抑止情報の「重」とが、それぞれ、書き込みタイミングを異にする別のデータ領域に保持されるようになっている。

具体的には、立ち上げ抑止情報の値「 」は、自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域では例えば「 」と「 」と「 」というデータ列で保持され、立ち上げ抑止情報の値「軽」は、上記データ領域では例えば「 」と「 」と「軽」というデータ列で保持され、立ち上げ抑止情報の値「中」は、上記データ領域では例えば「 」と「中」と「軽」というデータ列で保持され、立ち上げ抑止情報の値「重」は、上記データ領域では例えば「重」と「中」と「軽」というデータ列で保持される。また、それら「 」，「軽」，「中」，「重」の内部値としては例えば“０”，“１”，“２”，“３”などが割り当てられている。

次に動作停止時の処理について詳述すると（ステップＳ６５〜Ｓ６７）、通常の照合付き制御の遂行中に制御入力Ｓの値が「有」から「無」になったことが判明すると（ステップＳ５４無）、例えば１０ｍｓといった所定時間の経過を待ちながら（ステップＳ６５）、所定時間経過の度に立ち上げ抑止情報を「重」から「中」へ，「中」から「軽」へ，「軽」から「 」へと順次更新するようになっている（ステップＳ６６）。
より具体的にはデータ領域に保持されていた「重」と「中」と「軽」というデータ値の列を、最初の１０ｍｓ経過後には「 」と「中」と「軽」という値列に書き換え、次の１０ｍｓ経過後には「 」と「 」と「軽」という値列に書き換え、その後の１０ｍｓ経過後には「 」と「 」と「 」という値列に書き換えるようになっている。

更に動作開始時の対応処理について詳述すると（ステップＳ６５〜Ｓ６７）、電源電圧Ｐと制御入力Ｓとが立ち上がって両中央処理装置１４，２４が動作を開始すると上述のように初期設定と回路診断と異常情報チェックとが行われ（ステップ４１，Ｓ４２，Ｓ４５）、そこで問題が無ければ自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域にアクセスして立ち上げ抑止情報のチェックが行われるが（ステップＳ６１）、立ち上げ抑止情報の値が、時間経過の長短に応じて４区分されて、上述した実施例１の「無」に相当する「 」と、上述した実施例１の「有」を時間経過の長短に基づく異常の軽重の判断に応じて分けた「軽」と「中」と「重」という四段階になっていることに対応して、４種類の処理から何れか一つが選出されて実行されるようになっている。

具体的には、先ず立ち上げ抑止情報の値が短時間経過対応の「重」のときには（ステップＳ６１）、すなわち立ち上げ抑止情報を一回すら更新する間も無く電源電圧Ｐが急低下したであろうと推定される状況のときには、蓄電部材１２の容量が使用限界まで低下したという判断を下して、上記実施例１の「有」と同じく立ち上げ抑止情報等を表示してから自発的に動作を停止するようになっている（ステップＳ４４）。

これに対し、立ち上げ抑止情報の値が短時間経過と長時間経過との間に対応した「中」のときには（ステップＳ６１）、とりあえず蓄電部材１２が使用可能ではあるが使用限界が間近に迫っていると判断して、“交換必須”などの表示を自己の表示部１６又は２６に行わせるようになっている（ステップＳ６２）。
また、立ち上げ抑止情報の値が長時間経過対応の「軽」のときには（ステップＳ６１）、やはり蓄電部材１２が使用可能ではあるが使用限界が近づきつつあると判断して、“交換推奨”などの表示を自己の表示部１６又は２６に行わせるようになっている（ステップＳ６３）。

さらに、立ち上げ抑止情報が無くてデータ値が「 」のときには（ステップＳ６１）、蓄電部材１２の容量が適正レベルを維持していると判断して、上述のような表示を行わないようになっている。
そして、これら「 」，「軽」，「中」の場合は、蓄電部材１２の容量が未だ使用限界までは低下していないという判断の下、動作を停止することなく処理を継続し、立ち上げ抑止情報の値を「重」にしてから（ステップＳ６４）、より具体的には自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に「重」と「中」と「軽」のデータ列を保持させてから、通常の照合付きリレー制御等へ移行するようになっている（ステップＳ５２）。

この実施例２の鉄道機器用フェールセーフ制御装置について、その使用態様及び動作を、図面を引用して説明する。図４，図５は、その主要な動作状態を示し、図４（ａ）は、蓄電部材１２の容量が正常なときの動作状態を示し、図４（ｂ）は、蓄電部材１２の容量が注意レベルまで低下したときの動作状態を示し、図５（ａ）は、蓄電部材１２の容量が警告レベルにまで低下したときの動作状態を示し、図５（ｂ）は、蓄電部材１２の容量が強制停止レベルにまで低下したときの動作状態を示している。

実施例１で述べたことと重複する動作部分はなるべく簡潔に述べると、始動点への列車到来に応じて電源電圧Ｐと制御入力Ｓが立ち上がり、その動作電力の供給によって鉄道機器用フェールセーフ制御装置１１〜２９が動作を開始する。
先ず、この動作開始時を含めてその前後にも故障等の異常が無く更には蓄電部材１２の容量低下も無いという正常時の動作を説明すると、この場合、電源投入時には、両中央処理装置１４，２４の何れについても、異常情報が無く（図３ステップＳ４１，Ｓ４２正常，Ｓ４５無）、立ち上げ抑止情報も無いので（ステップＳ６１無）、立ち上げ抑止情報の値が「重」に設定され（ステップＳ６４）、それからリレー制御といった通常の動作が繰り返され（ステップＳ５２〜Ｓ５４）、そのような正常動作時には、異常情報が「無」で立ち上げ抑止情報が「重」の状態が継続する（図４（ａ）では縦並びのｔ０，「重」，「中」，「軽」で図示）。

その後、列車の始動点通過完了に応じた電源断によって制御入力Ｓの値が直ちに「有」から「無」になるが（図４（ａ）時刻ｔ０参照）、電源電圧Ｐは正常な蓄電部材１２の働きでゆっくりと低下するため、両中央処理装置１４，２４が動作を継続し、所定時間の経過待ちと立ち上げ抑止情報の順次更新が繰り返される（図３ステップＳ６５〜Ｓ６７Ｎｏ参照）。そして、一回目の待ち時間が経過した時点では（図４（ａ）時刻ｔ１参照）、電源電圧Ｐが動作下限電圧θを上回っていて両中央処理装置１４，２４が動作しているので、立ち上げ抑止情報の値が「中」に更新される（図４（ａ）では縦並びのｔ１，「 」，「中」，「軽」で図示）。

また、二回目の待ち時間が経過した時点でも（図４（ａ）時刻ｔ２参照）、電源電圧Ｐが動作下限電圧θを上回っていて両中央処理装置１４，２４が動作しているので、立ち上げ抑止情報の値が「軽」に更新され（図４（ａ）では縦並びのｔ２，「 」，「 」，「軽」で図示）、三回目の待ち時間が経過した時点でも（図４（ａ）時刻ｔ３参照）、電源電圧Ｐが動作下限電圧θを上回っていて両中央処理装置１４，２４が動作しているので、立ち上げ抑止情報の値が「 」に更新される（図４（ａ）では縦並びのｔ１，「 」，「 」，「 」で図示）。
そして、この立ち上げ抑止情報の消去完了後に（図３ステップＳ６７Ｙｅｓ参照）、両中央処理装置１４，２４が自発的に動作を停止する。

その後、次の列車が始動点に到来すると、電源回路１１と制御入力回路１３とに電源が再投入され、電源電圧Ｐと制御入力Ｓが立ち上がるので、再び両中央処理装置１４，２４が動作を開始する。
そして、上述のように再び異常情報と立ち上げ抑止情報とについて以前に書き込まれたデータ値が調べられるが（図３ステップＳ４１〜Ｓ４５，Ｓ６１）、異常情報も立ち上げ抑止情報もデータ値が「無」なので、再び上述した正常時の動作が繰り返される。

次に、蓄電部材１２の容量が注意レベルまで低下したときの動作を説明するが（図４（ｂ）参照）、この場合も電源投入から二回目の待ち時間が経過した直後までは上述したばかりの正常時と同じなので、繰り返しとなる煩雑な説明は割愛する。
そして、この場合は、三回目の待ち時間の経過を待っているときに（図４（ｂ）時刻ｔ２と時刻ｔ３の間を参照）、電源電圧Ｐが動作下限電圧θを下回るため、両中央処理装置１４，２４が次々に動作不能になるので、立ち上げ抑止情報の消去を完了することなく（図３ステップＳ６５参照）、立ち上げ抑止情報の値として「軽」をデータ保持したまま（図４（ｂ）ではｔ２，ｔ３の下の縦並びの「 」，「 」，「軽」で図示）、両中央処理装置１４，２４がそれぞれ動作停止を強いられる。

その後、次の列車が始動点に到来すると、電源回路１１と制御入力回路１３とに電源が再投入され、電源電圧Ｐと制御入力Ｓが立ち上がるので、再び両中央処理装置１４，２４が動作を開始する。
そして、上述のように再び異常情報と立ち上げ抑止情報とについて以前に設定されたデータ値が調べられるが（図３ステップＳ４１〜Ｓ４５，Ｓ６１）、異常情報のデータ値が「無」であっても、立ち上げ抑止情報のデータ値が「軽」なので、蓄電部材１２の取り替えを促す“交換推奨”といった注意表示が表示部１６に表示される（ステップＳ６３）。それから後は、再び上述した正常時の動作が繰り返される。

更に、蓄電部材１２の容量が警告レベルまで低下したときの動作を説明する（図５（ａ）参照）。この場合も電源投入から一回目の待ち時間が経過した直後までは上述した正常時や注意レベルへの容量低下時のと同じなので、繰り返しとなるその説明は割愛する。
そして、この場合は、二回目の待ち時間の経過を待っているときに（図５（ａ）時刻ｔ１と時刻ｔ２の間を参照）、電源電圧Ｐが動作下限電圧θを下回るため、両中央処理装置１４，２４が次々に動作不能になるので、立ち上げ抑止情報の消去を完了することなく（図３ステップＳ６５参照）、立ち上げ抑止情報の値として「中」をデータ保持したまま（図５（ａ）ではｔ１，ｔ２の下の縦並びの「 」，「中」，「軽」で図示）、両中央処理装置１４，２４がそれぞれ動作停止を強いられる。

その後、次の列車が始動点に到来すると、電源回路１１と制御入力回路１３とに電源が再投入され、電源電圧Ｐと制御入力Ｓが立ち上がるので、再び両中央処理装置１４，２４が動作を開始する。
そして、やはり上述のように再び異常情報と立ち上げ抑止情報とについて以前に設定されたデータ値が調べられるが（図３ステップＳ４１〜Ｓ４５，Ｓ６１）、異常情報のデータ値が「無」であっても、立ち上げ抑止情報のデータ値が「中」なので、蓄電部材１２の取り替えを促す“交換必須”といった注意表示が表示部１６に表示される（ステップＳ６３）。それから後は、再び上述した正常時の動作が繰り返される。

最後に、蓄電部材１２の容量が停止レベルまで低下したときの動作を説明する（図５（ｂ）参照）。この場合、電源投入から一回目の時間経過待ちに入るところまでは上述した正常時や容量低下時と同じなので繰り返しとなるその説明は割愛するが、一回目の待ち時間の経過を待っているときに（図５（ｂ）時刻ｔ０と時刻ｔ１の間を参照）、電源電圧Ｐが動作下限電圧θを下回るため、早々に両中央処理装置１４，２４が動作不能になるので、立ち上げ抑止情報の更新を全く行うことなく（図３ステップＳ６５参照）、立ち上げ抑止情報の値として「重」をデータ保持したまま（図５（ｂ）ではｔ０，ｔ１の下の縦並びの「重」，「中」，「軽」で図示）、両中央処理装置１４，２４がそれぞれ動作停止を強いられる。

その後、次の列車が始動点に到来すると、電源回路１１と制御入力回路１３とに電源が再投入され、電源電圧Ｐと制御入力Ｓが立ち上がるので、再び両中央処理装置１４，２４が動作を開始する。
そして、やはり上述のように再び異常情報と立ち上げ抑止情報とについて以前に設定されたデータ値が調べられるが（図３ステップＳ４１〜Ｓ４５，Ｓ６１）、異常情報の値が「無」であっても、立ち上げ抑止情報の値が「重」なので、対応するエラーコード等が表示部１６，２６に表示されるだけで（ステップＳ４４）、安全のため、直ちに動作が停止する。

図示は割愛したが、本発明の実施例３の鉄道機器用フェールセーフ制御装置は、第１中央処理装置１４も、第２中央処理装置２４も、動作開始時に出力リレー３３の制御実行を回避することになったときには（図１（ｃ）におけるステップＳ４６→Ｓ４４と図３におけるステップＳ６１→Ｓ４４のタイミングを参照）、通常の同期処理を無視して出来るだけ早いタイミングで自己の不揮発性メモリ１７又は２７の立ち上げ抑止情報保持用データ領域に保持している立ち上げ抑止情報を照合回路２８へ送出するようにもなっている。

ただし、これは、安全のために、更には立ち上げ抑止情報の両中央処理装置１４，２４での処理内容の相違による不都合を回避するために、動作開始時に鉄道機器の制御実行を回避して早急に動作を停止するときにしか行わないようにもなっている。
そして、このような構成では、両中央処理装置１４，２４が何れも立ち上げ抑止情報「重」で早急に停止しようとしている場合は、照合を待つまでもなく迅速に、出力リレー３３の制御実行が回避される。

これに対し、両中央処理装置１４，２４の何れか一方が例えば立ち上げ抑止情報「重」で早急に停止しようとするのに対し、他方が例えば取得時期の僅かな違いや量子化レベル値の僅かな違い等に起因して立ち上げ抑止情報「中」で動作を継続しようとする事態も生じうる。この場合、一方の中央処理装置が速やかに立ち上げ抑止情報「重」を照合回路２８へ送るため、その後、他方の中央処理装置が初めて本来の照合対象情報を照合回路２８へ送ると、照合回路２８での照合が成立せず、直ちに出力リレー３３の制御が打ち切られるとともに、他方の中央処理装置も照合異常で動作を停止する。

早急に停止しようとしている方が照合対象外情報の迅速な送出を怠ると、その送出を他方や照合回路２８が待ってタイムアウトまで時間を浪費したり、両中央処理装置１４，２４で同期をとるタイミングの僅かなずれ等に起因して他方の装置が一瞬とは言え出力リレー３３の駆動制御を進めてしまう可能性もありうるが、そのような時間の浪費や不所望な可能性を、立ち上げ抑止情報の限定的な送出という対策にて、簡便かつ的確に、無くすことができる。

なお、両中央処理装置１４，２４の何れか一方では動作開始時に立ち上げ抑止情報が例えば「中」になっており、他方では動作開始時に立ち上げ抑止情報が例えば「軽」になっていたような場合は、何れの装置１４，２４も、内容の少し異なる表示は行っても、自己の立ち上げ抑止情報を照合回路２８へ送ることや動作を停止することはないので、不都合なく出力リレー３３の制御等が行われる。
何れかの立ち上げ抑止情報が「重」になっていなければ、他の場合も、同様である。

［その他］
上記実施例２では、立ち上げ抑止情報の取り得る値として、「 」と「軽」と「中」と「重」という四段階のものを挙げたが、これは例示であり、立ち上げ抑止情報の取り得る値は、それより粗い「 」と「中」と「重」といった三段階のものでも良く、それより細かい五段階以上のものでも良い。
上記実施例１〜３では、中央処理装置１４，２４に同一のプログラムがインストールされている構成例を述べたが、これは必須でなく、両者１４，２４のプログラムについて具体的な構成に相違があっても、正常時の処理において照合回路２８に供給する照合対象データが一致するようになっていれば良い。

上記実施例では、鉄道機器用フェールセーフ制御装置１１〜２９を緩動時素リレー１０に組み込む事例を挙げたが、本発明の鉄道機器用フェールセーフ制御装置の適用は、それに限定されるものでなく、例えば既述したＡＴＳ車上装置など他の鉄道機器の制御部にも適用することができ、電源断続の頻繁な装置に組み込まれたときほど高い効果を奏するが、電源断続の頻度の低い装置に組み込まれてもそれなりの効果は発揮する。

１０…緩動時素リレー（鉄道機器用フェールセーフ制御装置）、
１１…電源回路（動作電力供給部）、
１２…蓄電部材（動作電力供給部）、１３…制御入力回路、
１４…第１中央処理装置、１５…設定部、
１６…表示部、１７…不揮発性メモリ（不揮発性記憶手段）、
２４…第２中央処理装置、２５…設定部、
２６…表示部、２７…不揮発性メモリ（不揮発性記憶手段）、
２８…照合回路（照合手段）、２９…駆動部、
３３…出力リレー

Claims (5)

1. 組み込み先の鉄道機器に係る制御を行う第１中央処理装置および第２中央処理装置と、前記第１中央処理装置の処理と前記第２中央処理装置の処理との同一性を調べる照合手段と、前記第１中央処理装置と前記第２中央処理装置に供給される動作電力を蓄える蓄電部材とを備え、前記照合手段の同一性確認結果に応じて選択的に前記鉄道機器の制御を実行する鉄道機器用フェールセーフ制御装置において、前記第１中央処理装置および前記第２中央処理装置が、何れも、個々に不揮発性記憶手段を具備していて、動作中に異常を検出したときには自己の不揮発性記憶手段に異常情報を保持させるとともに前記鉄道機器の制御実行を回避し、動作開始時には自己の不揮発性記憶手段を調べて異常情報と立ち上げ抑止情報とのうち何れか一方または双方が保持されていれば前記鉄道機器の制御実行を回避するが異常情報も立ち上げ抑止情報も保持されていなければ自己の不揮発性記憶手段に立ち上げ抑止情報を保持させたうえで前記鉄道機器の制御を実行し、動作停止時には自己の不揮発性記憶手段に保持されている立ち上げ抑止情報を消去するようになっていることを特徴とする鉄道機器用フェールセーフ制御装置。
2. 前記第１中央処理装置および前記第２中央処理装置が、何れも、動作停止時に立ち上げ抑止情報を消去する際に時間をかけて行うようになっている、ことを特徴とする請求項１記載の鉄道機器用フェールセーフ制御装置。
3. 前記第１中央処理装置および前記第２中央処理装置が、何れも、動作開始時に、立ち上げ抑止情報の消去具合に応じて場合分けして、短時間経過対応の抑止値が保持されている場合は、前記蓄電部材の容量が使用限界まで低下したという判断を下すとともに、立ち上げ抑止情報が保持されているときの処理を行い、短時間経過対応の抑止値は無いが長時間経過対応の抑止値が保持されている場合は、前記蓄電部材の容量が低下したという判断を下すとともに、立ち上げ抑止情報が保持されていないときの処理を行い、立ち上げ抑止情報が完全に消去されている場合は、立ち上げ抑止情報が保持されていないときの処理を行うようになっている、ことを特徴とする請求項２記載の鉄道機器用フェールセーフ制御装置。
4. 前記第１中央処理装置および前記第２中央処理装置が、何れも、個々に表示部を具備していて、前記判断に基づく表示を自己の表示部に行わせるようになっていることを特徴とする請求項３記載の鉄道機器用フェールセーフ制御装置。
5. 前記第１中央処理装置および前記第２中央処理装置が、何れも、動作開始時に前記鉄道機器の制御実行を回避するときに限って自己の不揮発性記憶手段の立ち上げ抑止情報を前記照合手段の照合に供するようになっている、ことを特徴とする請求項１乃至請求項４の何れか一項に記載された鉄道機器用フェールセーフ制御装置。

Images