JP3302499B2

JP3302499B2 - ２重系装置

Info

Publication number: JP3302499B2
Application number: JP08908994A
Authority: JP
Inventors: 正利梅山
Original assignee: Nippon Signal Co Ltd
Current assignee: Nippon Signal Co Ltd
Priority date: 1994-04-04
Filing date: 1994-04-04
Publication date: 2002-07-15
Anticipated expiration: 2017-07-15
Also published as: JPH07277191A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、装置の信頼性を高める
ために設けられる、例えば電子連動装置等の２重系装置
に関する。

【０００２】

【従来の技術】従来から列車制御の分野では、装置の信
頼性を高めるために、装置を２重系にすることが一般的
に行われている。

【０００３】従来の２重系の信号保安装置について説明
すると、主系装置（以下、主系という）と従系装置（以
下、従系という）は、完全独立状態に設けられていて、
各系ともデータ入力及び論理判断は独自に並行して行う
が、出力は切替器（例えばリレー）を介して他装置に接
続されているため、他装置、例えば信号機に対しては、
主系のみの出力によって制御するように構成されてい
る。

【０００４】主系の論理判断結果は、系間インターフェ
ースを介して従系に送られて従系の論理判断結果との一
致が図られ、従系は待機状態に保たれる。また、従系は
出力が他装置と切替器によって切離されているため、出
力処理又は出力回路の診断は行われていない。そして、
主系側に故障が発生したときは、従系が主系に代って他
装置を制御するように構成されている。

【０００５】以上のように、従来の２重系装置は、主系
と従系との間で同期化処理を必要とすることがないの
で、構成が簡単であるという特長を有している。

【０００６】しかしながら、上記従来の２重系装置は、
各系が完全独立であるため、信頼性が損なわれることが
あった。

【０００７】例えば、最初に主系の入力ボードが故障し
て従系に切替わった後、その従系の出力ボードが故障し
た場合、２系全体で見たときは、正常な出力ボード（主
系側）と正常な入力ボード（従系側）があるにもかかわ
らず、装置が全停止になってしまい、信頼性の低下を来
たしてしまう結果となる。

【０００８】また、使用系が主系から従系へ、又は従系
から主系へと切替わるときは、他装置への出力は切替リ
レーを介して行われることや、従系はそれまで出力処理
を行っていないことから、他装置への出力が瞬間的に遮
断されるという欠点があった。また、従系は出力処理を
行っているが、出力回路の診断を行っていない場合、早
期に出力回路の故障を顕在化できないという問題があっ
た。

【０００９】そこで、本発明は、上記欠点を解決するた
めになされたものであって、その目的は、２重系装置を
全体的に監視し、２つの系の別な箇所が故障した場合、
２つの系が互いの系の故障箇所を補完しながら、可能な
限り動作を継続することができるようにして信頼性を高
めるとともに、他装置への出力の瞬間遮断のない２重系
装置を提供することにある。

【００１０】

【課題を解決するための手段】本発明に係る２重系装置
は、上記目的を達成するために、主系及び従系にそれぞ
れ共通の所定のプログラムで動作するマイクロプロセッ
サユニット（以下、ＭＰＵという）を備えた２重系装置
において、前記各系のＭＰＵの動作の同期化を行う同期
化手段と、上記各系のシステムバス間に設けられ、その
各系間のデータの授受を行う系間インターフェース手段
と、上記各系のシステムバスにそれぞれ接続されて同一
のデータを入力する入力手段と、上記各系のシステムバ
スにそれぞれ接続され、かつ出力側が他装置とワイヤー
ドオアに接続された出力手段とを有している。

【００１１】また、前記各系のＭＰＵ、前記入力手段及
び前記出力手段はそれぞれ自己診断機能を有するととも
に、故障が発生したときに故障の程度を判定する機能を
有し、いずれかの入力手段又は出力手段に故障が発生し
たときに故障レベルの低い方の入力手段又は出力手段の
接続されている方を主系に切替える切替手段を有するこ
とを特徴としている。

【００１２】さらに、主系は、その主系の入力手段の入
力データを従系に送出し、その従系の入力手段はその送
出されてきた入力データと自己の入力データとに不一致
が生じたときに、その送出されてきた入力データに一致
させる入力データ一致手段を有することを特徴としてい
る。

【００１３】

【作用】上記構成において、両ＭＰＵは、同期化手段に
より同期化が図られている。そして、他装置は両出力手
段とワイアードオア結合されて制御される。つまり、他
装置は、両系を一つの系として制御される。

【００１４】また、切替手段は、いずれかの入力手段又
は出力手段に故障が発生したときに、故障レベルの低い
方の入力手段又は出力手段の接続されている方を主系に
切替える。

【００１５】そして、入力データ一致手段は、主系の入
力手段の入力データを従系に送出し、その従系の入力手
段はその送出されてきた入力データと自己の入力データ
とに不一致が生じたときに、その送出されてきた入力デ
ータに一致させる。

【００１６】

【実施例】以下、本発明の実施例を図面に基づいて説明
する。図１は、他装置Ａを鉄道用の信号機とし、これを
駆動制御するための一実施例装置の概略構成を示すブロ
ック図であって、入力信号として軌道回路（図示せず）
の軌道リレーＴＲの接点信号が用いられ、また、他装置
Ａを駆動するための出力ラインには、後述の正常リレー
Ｒａ，Ｒｂが各系ａ，ｂの異常をそれぞれ検知したとき
の、自系を切離すための切離リレーＣＲａ，ＣＲｂの接
点信号が設けられている。

【００１７】主系ａ及び従系ｂは、それぞれシステムバ
スＢａ，Ｂｂに複数のＣＰＵを含んで構成されているＭ
ＰＵボードＭａ，Ｍｂ、入力ボードＥａ，Ｅｂ及び出力
ボードＯａ，Ｏｂを接続して構成されている。そして、
両システムバスＢａ，Ｂｂは系間インターフェースボー
ドｉａ，ｉｂで接続されていて、互いにデータ授受が行
われるように構成されている。上記各ＭＰＵボードＭ
ａ，Ｍｂは、各ＭＰＵボードＭａ，Ｍｂが正常動作時に
出力する正常リレーＲａ，Ｒｂをそれぞれ接続してい
る。

【００１８】図１中、ａ′，ｂ′は、両ＭＰＵボードＭ
ａ，Ｍｂを接続する信号線であって、両ＭＰＵの同期化
を図るための後述するステータス信号を送受信する際に
用いられる。

【００１９】なお、本発明では、主系，従系の表現を用
いているが、本発明の各系は従来の２重系のように主従
の関係はなく、後述するように、他装置を各系が同列で
制御するようにしている。したがって、本発明における
主系，従系は、同期化においてズレが大きくなった場
合、どちらの系に合わせるか又はクリティカルタイミン
グで発生する入力データの不一致に対し、一方の系に合
わせるための主従関係である。また、説明の都合上、以
下、主系又は従系の表現をａ系又はｂ系のように表現す
ることもある。

【００２０】図１中には、入，出力ボードＥａ，Ｅｂ、
Ｏａ，Ｏｂは各システムバスＢａ，Ｂｂにそれぞれ１個
しか接続されていないが、これは図面を簡略化するため
であって、各ボードは複数個接続されていてもよいこと
はもちろんで、さらに入出力ボードが接続されていても
よい。

【００２１】図２は、各ＭＰＵボードＭａ，Ｍｂの詳細
ブロック図であって、両ボードＭａ，Ｍｂは、それぞれ
水晶発振子から構成される基本クロック１ａ，１ｂで駆
動されるＭＰＵ２ａ，２ｂを有している。なお、各ＭＰ
Ｕ２ａ，２ｂは、図示しないインターフェースを介して
各システムバスＢａ，Ｂｂにそれぞれ接続されている。

【００２２】各ＭＰＵボードＭａ，Ｍｂは、それぞれ所
定の一定時間毎に所定時間のステータス信号を発生させ
る定周期タイマ３ａ，３ｂと、そのステータス信号を他
系へ出力するための出力バッファ６ａ，６ｂ及び他系か
らステータス信号を入力するための入力バッファ７ａ，
７ｂと、定周期タイマ３ａ，３ｂを監視するための基本
クロック４ａ′，４ｂ′をそれぞれ有する監視タイマ４
ａ，４ｂとを有している。なお、上記ステータス信号は
デュティ５０％の信号で、その立ち上がり変化時、ＭＰ
ＵボードＭａ，Ｍｂに定周期タイマ割込を発生させるよ
うに構成されている。

【００２３】各ＭＰＵボードＭａ，Ｍｂにそれぞれ設け
られたカウンタ５ａ，５ｂは、自系（ここでは主系ａを
自系としている。なお、以後の（）は従系ｂを自系とし
たときを示している。）の定周期タイマ３ａ（３ｂ）の
出力信号（ステータス信号（図２の（）参照））
と、他系の定周期タイマ３ｂ（３ａ）の出力信号（ステ
ータス信号（図２の（）参照））を出力バッファ６
ｂ（６ａ）を介して入力とするアンド回路８ａ（８ｂ）
の出力信号とで駆動されるように構成されている。ま
た、各カウンタ５ａ，５ｂは、自系のＭＰＵ２ａ（２
ｂ）からカウント値の書込み又は読出しができるように
構成されている。

【００２４】次に、図３のフローチャート及び図４のタ
イムチャートを用いて同期化制御動作について説明す
る。

【００２５】今、図示しない２重系装置の電源がＯＮさ
れ、入，出力・内部補助リレー等がクリアされ、また全
タイマがプリセットされるなどの所定のイニシャル処理
がなされて、２重系が立ち上げられて稼動しているもの
とする（図３のステップ１００。以下、ステップをＳと
する。）。この稼動に際して、従系ｂは、主系ａのステ
ータス信号のＬ（ロー）からＨ（ハイ）に変化したこと
を以て、主系ａは、自系が主系に選択されたことを以
て、定周期タイマ３ａ，３ｂ、監視タイマ４ａ，４ｂ、
カウンタ５ａ，５ｂが設定される（図３のＳ１０２、Ｓ
１０４、Ｓ１０６。図４の（イ）参照。）。したがっ
て、この時点においては、両系ａ，ｂは完全同期が図ら
れている。

【００２６】運転を継続していると、両系ａ，ｂの基本
クロック１ａ，１ｂの誤差から、各系ａ，ｂの定周期タ
イマ３ａ，３ｂからのステータス信号の同期状態にズレ
が生じてくる。例えば、基本クロック１ａ，１ｂが１０
ＭＨｚの場合、通常、１００Ｈｚ程度の誤差があるの
で、上述のズレが発生する。なお、このズレは数１００
μｓ程度であれば装置運転上問題がないので許容される
（図４のｔ0 参照）。

【００２７】このズレが大きくなると、系ａ，ｂの同期
状態が失われるので、このズレが例えば１００μｓ以上
になったときに、従系ｂの定周期タイマ３ｂ及び監視タ
イマ４ｂを主系ａの定周期タイマ３ａ及び監視タイマ４
ａに一致させる同期化処理が行われる。

【００２８】以下、この同期化処理について説明する。

【００２９】２重系ａ，ｂが運転を継続しているとき、
従系ｂのカウンタ５ｂは、自系（従系ｂ）の定周期タイ
マ３ｂからのステータス信号（図２の参照）と他系
（主系ａ）からのステータス信号（図２の参照）が共
にＨのときカウントを行う。したがって、２つの系のス
テータス信号が完全に一致しているとき、カウント値Ｎ
は、Ｎ＝１／２×Ｔ（Ｔ：１周期の時間）となる。ま
た、２つのステータス信号にズレが生じた場合、カウン
ト値Ｎは、Ｎ＝１／２×（Ｔ−ｔ1 ）（ｔ1 ：ズレの時
間）となる。ここで２つのステータス信号のズレの許容
時間をｔ0 とすれば、今、カウント値Ｎが、Ｎ＝１／２
×（Ｔ−ｔ1 ）≧（１／２）×Ｔ−ｔ0 なら、ズレが許
容時間内であるため、従系は自系の定周期タイマ３ｂ及
び監視タイマ４ｂの再設定は行わず、そのまま運転が継
続される（図３のＳ１１０、Ｓ１１２肯定、Ｓ１１４肯
定、Ｓ１２０。図４の（ロ）参照。）。

【００３０】ところが、カウンタ５ｂのカウント値がＮ
＝１／２×（Ｔ−ｔ1 ）＜１／２×（Ｔ−ｔ0 ）となっ
たとき（Ｓ１１４否定。図４の（ハ）参照。）は、許容
時間を越えたズレが生じたことを意味するので、主系ａ
の定周期タイマ３ａのステータス信号（図２の参照）
がＨからＬに変化したことを以て、従系は自系の定周期
タイマ３ｂ及び監視タイマ４ｂの再設定を行う。その結
果、両系ａ，ｂの定周期タイマ割込の同期化が行われる
（図３のＳ１１６、Ｓ１１８。図４の（ニ）参照。）。

【００３１】以上にように、本実施例装置は、両系ａ，
ｂのステータス信号に所定以上のズレが生じたときに、
従系ｂの定周期タイマ３ｂ及び監視タイマ４ｂを主系ａ
の定周期タイマ３ａ及び監視タイマ４ａに合わせるよう
にしたので、両系ａ，ｂは、常時、同期状態を維持する
ことが可能となる。

【００３２】次に、表１の故障レベル表と図５の処理フ
ローを用いて本実施例装置の制御動作を説明する。

【００３３】今、２つの系ａ，ｂは、上述の同期化処理
によって同期し、この状態で入力処理（Ｓ２００、Ｓ３
００）が実行されるが、２つの系ａ，ｂが完全に同期し
ていても、非同期で動作する外部条件を入力する場合、
クリティカルタイミングでは２つの系ａ，ｂの入力値に
不一致が生じることは避けられない。例えば、軌道リレ
ーＴＲの入力の場合、主系ａは「列車なし」、従系ｂは
「列車あり」となった場合、「列車なし」では、他装置
（信号機）Ａの現示Ｇ（青）灯を、「列車あり」ではＲ
（赤）灯を点灯するので、信号機ＡはＲとＧ灯が点灯す
ることになり、はなはだ不都合な状態となる。そこで、
これを防止するため、２つの系ａ，ｂ間でのデータを一
致させる必要がある。このため、主系ａから従系ｂに入
力データを送り、従系ｂは、主系ａにデータを一致させ
る（Ｓ２０２、Ｓ３０２。図５参照）。なお、系間の
データの授受は系間インターフェースボードｉａ，ｉｂ
を介して行われる。

【００３４】各系ａ，ｂは、それぞれ自系内の各ボード
Ｍａ，Ｍｂ，Ｅａ，Ｅｂ，Ｏａ，Ｏｂの状態を周知のセ
ルフチェッキング法により自己診断する機能を有してい
る。そして、検出した故障は、表１に示されるように、
故障の他装置Ａへの影響度を考慮してレベル分けされて
いる。

【表１】

【００３５】表１は、各ボードの故障の影響と故障レベ
ルの関係を示していて、その故障レベルは、レベル０が
最も高く、０＞１＞２＞３＞４の関係を有している。し
たがって、出力回路Ｏａ，Ｏｂの故障であっても、その
故障が他装置Ａに対し危険側に作用する場合は、故障の
レベルは高く位置付けられている（レベル１）が、安全
側に作用する場合、そのレベルは低く位置付けされてい
る（レベル４）。また、この故障のレベルは、主系ａ及
び従系ｂの選択の判定に使用されるように構成されてい
る。したがって、同時に２つの系ａ，ｂに故障が発生し
た場合、故障レベルの低い方が主系となる。なお、故障
情報は、２つの系ａ，ｂ間で系間インターフェースボー
ドｉａ，ｉｂを介して所定の周期で交換されるので、互
いに他系の故障状況を把握することができる（Ｓ２１
０、Ｓ３１０。図５参照）。

【００３６】さらに、制御動作について説明すると、全
てのボードＭａ，Ｍｂ、Ｅａ，Ｅｂ、Ｏａ，Ｏｂが正常
なときは、各ＭＰＵボードＭａ，Ｍｂは、それぞれ入力
ボードＥａ，Ｅｂから入力したデータを用いて他装置Ａ
を駆動制御するための演算処理を同時に行い、その演算
結果に基づいて各出力ボードＯａ，Ｏｂを介して他装置
Ａが制御される。すなわち、他装置Ａは、主系ａ又は従
系ｂのいずれかの系によって制御されるのではなく、両
系ａ，ｂが一つの系となって制御する形態を呈してい
る。

【００３７】次に、ＭＰＵボードＭａ又はＭｂが故障を
起こした場合について説明する。この場合、故障を起こ
した系は機能を果たすことができないので、正常リレー
Ｒａ（又はＲｂ）を介して切離リレーＣＲａ（又はＣＲ
ｂ）を復旧（ＯＦＦ）させ、自ら切離しを行う。他装置
Ａは、正常な系のＭＰＵボードＭａ（又はＭｂ）が入
力，論理判断，出力の各処理が可能なので、他装置Ａの
制御がそのまま続行される。もちろん、故障が発生した
ときは、その故障の旨が係員に報知されて、その故障し
たＭＰＵボードの交換が行なわれる。両ＭＰＵボードＭ
ａ，Ｍｂが同時に故障したときは、もはや他装置Ａを制
御することはできないので、装置全停となる。

【００３８】２つの系ａ，ｂで同一種類のボード（例え
ば入力ボードＥａ，Ｅｂ）に故障が発生している状態
で、２重系装置の機能を維持する制御動作について説明
する。

【００３９】両系正常な状態から、例えば、ａ系（主
系）の入力ボードＥａでレベル３の故障が発生したとす
る。このとき、ｂ系は正常であることから、新たにａ系
を従系に、ｂ系を主系に処理するように制御を切替え
る。これ以降、ａ系は入力データとしては、系間インタ
ーフェースボードｉａ，ｉｂを介して得られるｂ系（主
系）の入力データを使用して、論理判断処理，出力処理
を実行することとなる。

【００４０】次に、ａ系の故障ボード（入力ボードＥ
ａ）が交換される前に、ｂ系の入力ボードＥｂにレベル
２の故障が発生した場合、ｂ系は正しい入力データが得
られないことから、論理判断処理が実行できない。そこ
で２つの系ａ，ｂの故障レベルが、ａ系は４，ｂ系は２
であることから、新たにａ系を主系に、ｂ系を従系に処
理するように制御を切替える。したがって、ｂ系は入力
データとしては、系間インターフェースボードｉａを介
して得られるａ系（主系）の入力データを使用して、論
理判断処理，出力処理を実行する。つまり、故障レベル
が低い系を新たな主系として処理を継続することとな
る。

【００４１】２つの系ａ，ｂで別な種類ボード（例えば
入力ボードＥａ（又はＥｂ）と出力ボードＯａ（又はＯ
ｂ））に故障が発生した場合の２重系装置の機能を維持
する制御動作について説明する。

【００４２】両系正常な状態から、例えば、ｂ系（従
系）の出力ボードＯｂにレベル４の故障が発生したとす
る。このときａ系（主系）は正常だから、当然ａ系は主
系のまま動作する。

【００４３】次に、ｂ系の故障ボード（出力ボードＯ
ｂ）が交換される前に、ａ系の入力ボードＥａにレベル
２の故障が発生した場合、２つの故障レベルは、ａ系が
２，ｂ系が４であることから、新たにａ系を従系に、ｂ
系を主系に処理するように制御を切替える。そして、従
系となったａ系は、ｂ系の入力データに基づき、論理判
断処理，出力処理を実行することとなる。

【００４４】このように、出力については、２つの系
ａ，ｂの出力がワイアードオアで他装置Ａに接続されて
いるため、ａ系によって他装置Ａを正常に動作させるこ
とができる。また、入力についても、主系から従系に入
力データを転送し、従系は主系とのデータ一致の処理を
行うことにより、クリティカルタイミングで発生する２
つの系間での不一致をマスクすることができる。

【００４５】以上のように、本実施例装置は、各系ａ，
ｂの各ＭＰＵボードＭａ，Ｍｂを同期して運転するよう
にしたので、各ボードの一部に故障が発生しても可能な
限り他装置Ａを制御することができ、より信頼性を向上
させることができる。

【００４６】また、他装置Ａは、ワイヤードオアで各出
力ボードＯａ，Ｏｂと接続されているので、従来の２重
系のように系切替時に瞬間遮断を起こすおそれがない特
長がある。

【００４７】

【発明の効果】本発明に係る２重系装置は、各系のＭＰ
Ｕの動作の同期化を行う同期化手段と、上記各系のシス
テムバス間に設けられ、その各系間のデータの授受を行
う系間インターフェース手段と、上記各系のシステムバ
スにそれぞれ接続されて同一のデータを入力する入力手
段と、上記各系のシステムバスにそれぞれ接続され、か
つ出力側が他装置とワイヤードオアに接続された出力手
段とからなるので、一部に故障が発生しても、可能な限
り運転が続行でき、信頼性をより向上させることができ
る。

【００４８】また、いずれかの入力手段又は出力手段に
故障が発生したときに、故障レベルの低い方の入力手段
又は出力手段の接続されている方を主系に切替える切替
手段を有しているので、故障発生に対し、タイムリーに
対処することができる。

【００４９】さらに、その従系の入力手段は、主系から
送出されてきた入力データと自己の入力データとに不一
致が生じたときに、その送出されてきた入力データに一
致させる入力データ一致手段を有しているときは、クリ
ティカルタイミングで発生する２つの系間の不一致をマ
スクすることが可能となる。

【図面の簡単な説明】

【図１】本発明の一実施例装置の概略構成を示すブロッ
ク図である。

【図２】ＭＰＵボードの詳細を示すブロック図である。

【図３】同期化制御動作を示すタイムチャートである。

【図４】同期化制御動作を示すフローチャートである。

【図５】主，従系間のデータ授受を示すフローチャート
である。

【符号の説明】

ａ主系装置（主系）ｂ従系装置（従系）Ｍａ，ＭｂＭＰＵボードＢａ，ＢｂシステムバスＥａ，Ｅｂ入力ボードＯａ，Ｏｂ出力ボード１ａ，１ｂ基本クロック２ａ，２ｂＭＰＵ（マイクロプロセッサユニッ
ト）３ａ，３ｂ定周期タイマ４ａ，４ｂ監視タイマ５ａ，５ｂカウンタ

───────────────────────────────────────────────────── フロントページの続き (56)参考文献特開平７−248803（ＪＰ，Ａ) 特開平６−219280（ＪＰ，Ａ) 特開平６−314210（ＪＰ，Ａ) 特開平７−146802（ＪＰ，Ａ) 特開平２−171801（ＪＰ，Ａ) 特開昭62−160541（ＪＰ，Ａ) 特開昭60−253359（ＪＰ，Ａ) 特開昭61−125672（ＪＰ，Ａ) 特開昭61−80303（ＪＰ，Ａ) 特開昭58−72267（ＪＰ，Ａ) 特開昭58−64526（ＪＰ，Ａ) 実開平７−2174（ＪＰ，Ｕ) 特公平４−43028（ＪＰ，Ｂ２) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/20 310 B61L 19/06 G05B 9/03

Claims

(57)【特許請求の範囲】

【請求項１】主系装置及び従系装置にそれぞれ共通の
所定のプログラムで動作するマイクロプロセッサユニッ
トを備えた２重系装置において、前記各系装置のマイクロプロセッサユニットの動作の同
期化を行う同期化手段と、上記各系装置のシステムバス
間に設けられ、その各系装置間のデータの授受を行う系
間インターフェース手段と、上記各系装置のシステムバ
スにそれぞれ接続されて同一のデータを入力する入力手
段と、上記各系装置のシステムバスにそれぞれ接続さ
れ、かつ出力側が他装置とワイヤードオアに接続された
出力手段とを有し、前記各系装置のマイクロプロセッサユニット、前記入力
手段及び前記出力手段はそれぞれ自己診断機能を有する
とともに、故障が発生したときに故障の程度を判定する
機能を有し、いずれかの入力手段又は出力手段に故障が
発生したときに故障レベルの低い方の入力手段又は出力
手段の接続されている方を主系装置に切替える切替手段
を有することを特徴とする２重系装置。
【請求項２】主系装置は、その主系装置の入力手段の
入力データを従系装置に送出し、その従系装置の入力手
段はその送出されてきた入力データと自己の入力データ
とに不一致が生じたときに、その送出されてきた入力デ
ータに一致させる入力データ一致手段を有することを特
徴とする請求項１記載の２重系装置。