JP3668632B2

JP3668632B2 - Railway safety control device and security control system

Info

Publication number: JP3668632B2
Application number: JP05577499A
Authority: JP
Inventors: 川憲照市; 黒隆之目; 谷祥之大; 野京介磯; 島暉造永; 本高典安
Original assignee: Toshiba Corp; East Japan Railway Co
Current assignee: Toshiba Corp; East Japan Railway Co
Priority date: 1999-03-03
Filing date: 1999-03-03
Publication date: 2005-07-06
Anticipated expiration: 2019-03-03
Also published as: JP2000255431A

Description

【０００１】
【発明の属する技術分野】
本発明は、鉄道用保安制御装置及び保安制御システムに関するものである。
【０００２】
【従来の技術】
一般に、鉄道用列車の制御装置に対しては、万一故障が発生したとしても、その装置は常に安全側の状態となるようにして、危険側の状態になるのを回避できるような機能が要求されており、このような機能をフェイルセーフ機能と呼んでいる。例えば、信号制御装置においては、安全側の故障状態とは、列車の進行を許可する信号（青信号）を出力すべきであるにもかかわらず、列車の進行を禁止する信号（赤信号）が誤って出力されているような状態であり、一方、危険側の故障状態とは、列車の進行を禁止する信号（赤信号）を出力すべきであるにもかかわらず、列車の進行を許可する信号（青信号）が誤って出力されているような状態である。また、踏切制御装置においては、安全側の故障状態とは、遮断機を上げる信号を出力すべきであるにもかかわらず、遮断機を下ろす信号が誤って出力されているような状態であり、一方、危険側の故障状態とは、遮断機を下げる信号を出力すべきであるにもかかわらず、遮断機を上げる信号が誤って出力されているような状態である。
【０００３】
図１９は、このようなフェイルセーフ機能が要求されている従来の鉄道用保安制御装置の要部の構成を示すブロック図である。この制御装置は、Ａ系及びＢ系から成る２重系の構成を有しており、Ａ系及びＢ系はそれぞれマイクロプロセッサ・ユニット１０１Ａ，１０１Ｂ及びメモリ１０２Ａ，１０２Ｂを有している。これらマイクロプロセッサ・ユニット１０１Ａ，１０１Ｂはクロック回路１０３からのクロック信号により同期を取りながら走行している。
【０００４】
マイクロプロセッサ・ユニット１０１Ａ，１０１Ｂにはバス１０４Ａ，１０４Ｂを介してバス照合・交番信号出力回路１０５が接続されている。このバス照合・交番信号出力回路１０５は、バス１０４Ａ，１０４Ｂ上に現れるマイクロプロセッサ・ユニット１０１Ａ，１０４Ｂの信号を照合し、両者が一致するか否かについてその照合結果を照合異常検出回路１０６に出力している。バス照合・交番信号出力回路１０５は、常時、交番信号を出力しており、両者が一致している場合は、この交番信号の出力を継続することによりマイクロプロセッサ・ユニット１０１Ａ，１０１Ｂの走行を許容する。
【０００５】
しかし、バス照合・交番信号出力回路１０５は、両者の信号の不一致が一度でも発生すると、この不一致の情報を記憶し、以後の交番信号の出力を停止する。バス照合・交番信号出力回路１０５からの交番信号の停止で、照合異常検出回路１０６は照合異常を検出し、マイクロプロセッサ・ユニット１０１Ａ，１０１Ｂにリセット信号を出力する。マイクロプロセッサ・ユニット１０１Ａ，１０１Ｂがリセットされることにより、バス照合・交番信号出力回路１０５が照合すべきデータがなくなり、照合不一致となって交番信号を出力できなくなる。
【０００６】
そして、双方のマイクロプロセッサ・ユニット１０１Ａ，１０１Ｂはリセットされた状態（安全側の状態となっている）で走行を停止するので、上記のフェイルセーフ機能が確保されることになる。
【０００７】
【発明が解決しようとする課題】
従来の鉄道用保安制御装置は、上記したように、図１９のような構成のフェイルセーフ回路によってフェイルセーフ機能が確保されている。しかし、図１９に示したフェイルセーフ回路は、通常、専用のハードウエアにより構成されている。したがって、高性能のマイクロプロセッサ・ユニットやマイクロコンピュータが開発される度に、その都度専用のハードウエアを開発しなければならず、多大の労力及びコストを費やす結果となっていた。
【０００８】
また、最近の鉄道用保安制御装置には多くの個所に半導体素子が使用されているが、これらの半導体素子の故障の発生場所あるいは発生態様によってはフェイルセーフ機能を確保できない場合も考えられ、フェイルセーフ性を一定以上向上させることが非常に困難であった。
【０００９】
本発明は、上記事情に鑑みてなされたものであり、簡単な構成によって、フェイルセーフ性を向上させることが可能な鉄道用保安制御装置及び保安制御システムを提供することを目的としている。
【００１０】
【課題を解決するための手段】
上記課題を解決するための手段として、請求項１記載の発明は、現場機器に対する制御が可能な少なくとも２系統以上の制御系を有し、この２系統以上の制御系はそれぞれに専用のマイクロプロセッサ・コントローラを有している鉄道用保安制御装置において、前記各制御系は、前記現場機器からの信号を入力する専用の入力ユニットと、前記現場機器に対する出力信号を出力し、且つその信号出力経路が自系統側と他系統側とで互いに直列接続されている専用の出力ユニットと、前記入力ユニット及び前記出力ユニットを介して自系統側及び１つの他系統側の入出力結果を記憶する共有メモリと、交番信号を出力する交番信号出力回路、前記交番信号出力回路からの交番信号を１次側に入力し２次側から交番信号の交流分のみを出力するトランス、及び前記トランスからの交番信号を整流した入力により動作するヘルシーリレー接点を有し、自系統側又は照合相手の他系統側の前記出力ユニットが正常状態又は故障状態のいずれにあるかを示す信号を出力するヘルシー回路と、を備えており、各制御系の前記マイクロプロセッサ・コントローラは、前記共有メモリを用いて、それぞれ自系統側入力ユニットの故障を診断する機能を備えると共に、１つの他系統側入力ユニットの故障診断結果との照合を行う機能を備え、自系統側の入力ユニットの入力信号と１つの他系統側の入力ユニットの入力信号とが一致しない場合は、双方の制御系の制御動作を停止し、前記両機能に基づいて危険側故障を確実に検出するようにし、また、自系統側の出力ユニットの出力信号と１つの他系統側の出力ユニットの出力信号とが一致しない場合も、双方の制御系の制御動作を停止するようにした、ことを特徴とする。
【００１２】
請求項２記載の発明は、請求項１記載の発明において、前記各制御系の入力ユニットは、前記現場機器からの信号入力経路上に設けられた入力用半導体素子と、この入力用半導体素子に直列接続されたチェック用半導体素子とを有しており、前記各制御系のマイクロプロセッサ・コントローラは、前記入力用半導体素子の導通故障又はオープン故障を検出するために、チェック信号の出力又はその出力停止を行うチェック信号発生回路を有するものである、ことを特徴とする。
【００１４】
請求項３記載の発明は、請求項１又は２記載の発明において、前記各出力ユニットは、それぞれ前記信号出力経路上に設けられた出力用半導体素子と、この出力用半導体素子のオンオフ状態とは反対のオンオフ状態を示す故障検出用半導体素子と、この故障検出用半導体素子に流れる電流を定期的にオンオフさせてこの故障検出用半導体素子自体の故障の有無をチェックするチェック用半導体素子と、を有しており、前記各マイクロプロセッサ・コントローラは、前記出力用半導体素子をオンオフさせる出力信号駆動回路と、前記故障検出用半導体素子のオンオフ状態の検出により前記出力用半導体素子についての故障の有無を検出する故障検出回路と、前記故障検出用半導体素子の導通故障又はオープン故障を検出するために、チェック信号の出力又はその出力停止を定期的に行うチェック信号発生回路と、前記現場機器のリレー接点状態を読み取る接点リードバック回路と、を有しており、これら各回路の入力状態又は出力状態に基づいて、前記各出力ユニットについての故障状態を判別するものである、ことを特徴とする。
【００１５】
請求項４記載の発明は、請求項３記載の発明において、前記各マイクロプロセッサ・コントローラは、前記自系統側の出力ユニットの出力用半導体素子又は前記１つの他系統側の出力ユニットの出力用半導体素子のいずれか一方が半導通状態にあることを検出可能なものである、ことを特徴とする。
【００１６】
請求項５記載の発明は、請求項１記載の発明において、前記各制御系のマイクロプロセッサ・コントローラは、メインプログラムを実行する制御処理手段と、前記メインプログラムに所定時間毎に割り込みプログラムの割り込みをかけて前記交番信号を発生させる交番信号発生手段とを有し、前記制御処理手段及び前記交番信号発生手段は、前記メインプログラムの１回の処理時間における割込プログラムの割込回数をそれぞれ監視し、この割込回数の値が所定範囲外となった場合に、マイクロプロセッサ・コントローラの制御を停止させるものである、ことを特徴とする。
【００１７】
請求項６記載の発明は、請求項１乃至５のいずれかに記載の発明において、前記共有メモリは、前記自系統側又は前記１つの他系統側のマイクロプロセッサ・コントローラのうちのいずれかのプログラム内容の一部が書き換えられた場合に、その書き換えられた内容を記憶可能なものであり、前記自系統側又は前記１つの他系統側のマイクロプロセッサ・コントローラのうちのいずれか一方のプログラム内容の一部が書き換えられた場合には、他方のプログラム内容も同様に書き換えられるようになっている、ことを特徴とする。
【００１８】
請求項７記載の発明は、請求項１乃至６のいずれかに記載の発明において、前記制御系のいずれかに故障が発生した場合、その制御系のマイクロプロセッサ・コントローラを他の制御系から強制的に切断するため、このコントローラの電源回路をオフにすることによりこのコントローラの動作を停止させる、ことを特徴とする。
【００１９】
請求項８記載の発明は、請求項１記載の発明において、前記制御系が第１乃至第３の３つの制御系により構成され、いずれか１つの制御系に故障が発生した場合に、残りの２つの制御系に故障が発生していないことを前記照合機能を用いて検出したときのみ、この残りの２つの制御系により前記現場機器に対する制御を継続する、ことを特徴とする。
【００２０】
請求項９記載の発明は、請求項８記載の発明において、前記第１乃至第３の３つの制御系の全てによる制御動作実行中に、いずれか２つの制御系が残りの制御系の故障を検出した場合は、残りの１つの制御系のマイクロプロセッサ・コントローラの電源回路がオフとなり、また、前記第１乃至第３の３つの制御系のうちのいずれか２つの制御系による制御動作実行中に、一方の制御系が他方の制御系の故障を検出した場合は、双方の制御系のマイクロプロセッサ・コントローラの電源回路がオフとなる、ことを特徴とする。
【００２１】
請求項１０記載の発明は、請求項１乃至９のいずれかに記載の発明において、前記各制御系のマイクロプロセッサ・コントローラは、タイマのカウント値に基づきメインプログラムにおける所定動作実行時点を決定し、この時点で前記自系統側と１つの他系統側との間の照合を行う場合に、この時点から所定時間が経過するまでの期間における照合結果を無効とすることにより、前記自系統側のタイマと１つの他系統側のタイマとの間のカウントタイミングのずれに起因する照合エラーを排除するようにした、ことを特徴とする。
【００２２】
請求項１１記載の発明は、現場機器との間で信号の授受を行う複数の入出力端末装置と少なくとも１台の制御処理端末装置との間を通信ネットワークで接続し、この制御処理端末装置がこれら複数の入出力端末装置を介して複数の現場機器に対する制御を行う制御システムにおいて、前記入出力端末装置及び前記制御処理端末装置を、前記請求項１乃至１０のいずれかに記載の鉄道用保安制御装置により構成した、ことを特徴とする。
【００２３】
請求項１２記載の発明は、請求項１１記載の発明において、前記制御処理端末装置は、現在の列車運行用の第１の制御処理端末装置と、新しい応用プログラムが実装された第２の制御処理端末装置とで構成され、列車運行数が多い時間帯では、第１の制御処理端末装置が全ての入出力端末装置との間で信号の授受を行い、列車運行数が少ない時間帯では、第１の制御処理端末装置は特定の入出力端末装置との間でのみ信号の授受を行うと共に、第２の制御処理端末装置は残りの入出力端末装置との間で信号の授受を行う、ことを特徴とする。
【００２４】
請求項１３記載の発明は、請求項１２記載の発明において、前記各入出力端末装置は、前記第１の制御処理端末装置又は前記第２の制御処理端末装置のうちのいずれと信号の授受を行うかを決める切換スイッチを有しており、この切換スイッチの制御は前記第２の制御処理端末装置により行われるようになっている、ことを特徴とする。
【００２５】
【発明の実施の形態】
以下、本発明の実施形態を図に基づき説明する。但し、以下の実施形態では、鉄道用保安制御装置及び鉄道用保安制御システムとして、電子踏切制御装置及び電子踏切制御システムを例にとり説明するが、本発明の技術の適用はこれらのみに限定されるわけではなく、信号制御装置及び信号制御システムなどの他の制御装置及び制御システムに適用可能なものである。
【００２６】
図１は第１の実施形態の構成を示すブロック図である。この第１の実施形態は、Ａ系（第１の制御系）及びＢ系（第２の制御系）の２つの制御系を有するものである。
【００２７】
図１において、まず、Ａ系の構成を説明すると、Ａ系マイクロプロセッサ・コントローラ１Ａはマイクロプロセッサ・ユニット２Ａ、ＲＯＭにより構成された記憶部３Ａ、ＲＡＭにより構成された記憶部４Ａ、入出力インタフェイス５Ａを有しており、これらはＭＰＵバス６Ａにより相互に接続されている。
【００２８】
入出力インタフェイス５ＡはＩ／Ｏバス７Ａに接続されており、このＩ／Ｏバス７Ａには、また、入力ユニット８Ａ、出力ユニット９Ａ、及びヘルシー回路１０Ａも接続されている。このヘルシー回路１０Ａは、出力回路１１Ａ、トランス１２Ａ、リレー１３Ａ、及びヘルシーリレー接点１４Ａ等により構成されている。Ｉ／Ｏバス７ＡはＩ／Ｏバスコントローラ１５Ａにより制御されるようになっており、このＩ／Ｏバスコントローラ１５Ａに共有メモリ１６Ａが接続されている。
【００２９】
Ｂ系の構成もＡ系と同様であるため、Ｂ系についてはその重複した説明を省略する。出力ユニット９Ａ，９Ｂ間には現場機器のリレー１７が接続されており、そのリレー接点１８のオンオフにより、例えば遮断機の制御が行われるようになっている。そして、リレー接点１８の状態は、リードバック（ＲＢ）信号として入力ユニット８Ａ，８Ｂに入力されるようになっている。
【００３０】
マイクロプロセッサ・ユニット２Ａは、データの入出力制御、各種演算、シリアルデータ伝送等を行うものである。記憶部３Ａは、マイクロプロセッサ・ユニット２Ａのプログラムを格納するものであり、この実施形態では電気的な書込・消去が可能なＥＥＰＲＯＭにより形成されている。記憶部４Ａは、ユーザアプリケーション・プログラムとマイクロプロセッサ・ユニット２Ａの動作に必要なメモリである。入出力インタフェイス５Ａは、ＭＰＵバス６ＡとＩ／Ｏバス７Ａとの間のインタフェイスを行うものであり、ゲートアレイにより構成されている。
【００３１】
入力ユニット８Ａは、例えば所定区間における列車の存在を知らせる信号、あるいは上述したリードバック信号等を入力し、これをＡ系マイクロプロセッサ・コントローラ１Ａに送出するものである。
【００３２】
出力ユニット９Ａは、Ａ系マイクロプロセッサ・コントローラ１Ａからの制御信号を出力し、リレー１７の制御を行うものである。但し、後述するように、このリレー１７は、出力ユニット９Ａ，９Ｂの出力値が動作方向で一致した場合のみ動作するようになっている。
【００３３】
共有メモリ１６Ａ，１６Ｂには、それぞれ自系の入力データや出力データ等が記憶されるようになっている。しかし、Ｉ／Ｏバスコントローラ１５Ａ，１５Ｂの制御により、コントローラ１Ａ，１Ｂはそれぞれ自系の共有メモリの内容だけでなく、他系の共有メモリの内容についても読み取ることができるようになっている。
【００３４】
ヘルシー回路１０Ａは、自系が正常な状態であるか否かを示す信号を出力する回路である。正常な状態の場合は、出力回路１１Ａからの交番信号がトランス１２Ａを介してリレー１３Ａを励磁し、ヘルシーリレー接点１４Ａがオン状態となる。一方、故障状態の場合は、ヘルシーリレー接点１４Ａはオフとなる。ヘルシーリレー接点１４Ａがオフとなっている場合は、もちろんＡ系は制御を停止しているが、ヘルシーリレー接点１４Ａがオフになるとヘルシーリレー接点１４Ｂもオフとなり、Ｂ系も結局制御を停止するようになっている。
【００３５】
上記した図１の構成は、コントローラ部分が他の部分とＩ／Ｏインタフェイスで分離されており、独立性が強いものとなっている。したがって、汎用性の高いボードコンピュータ等を採用することができ、マイクロプロセッサのみを高機能の機種と交換することによって、機能の向上や新機種への対応を容易に図ることが可能な構成となっている。
【００３６】
図２は、図１における入力ユニット８Ａ，８Ｂの構成と、この入力ユニット８Ａ，８Ｂとの間で信号の授受を行うマイクロプロセッサ・コントローラ１Ａ，１Ｂの構成とを示すブロック図である。この図において、入力ユニット８Ａは、抵抗１９Ａと、発光ダイオード２１Ａ及びフォトトランジスタ２２Ａにより形成されるフォトカプラ２０Ａ（入力用半導体素子）と、発光ダイオード２４Ａ及びフォトトランジスタ２５Ａにより形成されるフォトカプラ２３Ａ（チェック用半導体素子）とを有している。
【００３７】
コントローラ１Ａは、故障診断回路２６Ａと、信号入力回路２７Ａと、比較照合回路２８Ａと、チェック信号発生回路２９Ａとを有している。そして、入力ユニット８Ｂ及びコントローラ１Ｂも入力ユニット８Ａ及びコントローラ１Ａと同様の構成を有している。
【００３８】
入力ユニット８Ａ，８Ｂには入力接点信号Ｓ1が入力されるようになっている。入力接点信号Ｓ1は、踏切付近の所定区間内に列車が存在するか否かを知らせる２値信号であり、“０”は列車が存在する場合、“１”は列車が存在しない場合を示している。ここで、入力ユニット８Ａ，８Ｂのフェイルセーフ機能について説明すると、信号Ｓ1の入力の際のフェイルセーフ性とは、信号“０”を誤って信号“１”と判別してしまうことを確実に防止することをいう。
【００３９】
すなわち、入力ユニットに何らかの故障が生じ、実際の入力信号“０”（列車が存在する）を入力信号“１”（列車が存在しない）と誤って認識して遮断機を開放した場合には重大事故に直結する虞れがあるので、このような故障は絶対に回避しなければならない。このような故障を「危険側故障」と呼ぶ。これに対し、実際の入力信号“１”（列車が存在しない）を入力信号“０”（列車が存在する）と誤って認識させるような故障は直ちに重大事故に直結するものではないため、このような故障を「安全側故障」と呼ぶ。図２の構成は、上記の危険側故障に起因する事故を確実に防止するためのものである。
【００４０】
次に、図２の動作につき説明する。まず、入力ユニット８Ａ，８Ｂのいずれにも故障が生じていない場合を考える。例えば、入力接点信号Ｓ1として信号“０”が入力ユニット８Ａ，８Ｂに入力されると、入力ユニット８Ａ内の抵抗１９Ａ、発光ダイオード２１Ａ、フォトトランジスタ２５Ａの経路には電流が流れないので、コントローラ１Ａ内の信号入力回路２７Ａも“０”を入力する。この入力結果は共有メモリ１６に書き込まれる。入力ユニット８Ｂ及びコントローラ１Ｂ内でも同様の動作が行われる。
【００４１】
比較照合回路２８Ａは、共有メモリ１６に書き込まれている信号入力回路２７Ｂの入力結果を読み出し、これと信号入力回路２７Ａの入力結果との比較照合を行う。この照合結果は故障診断回路２６Ａに送られ、これに基づき故障診断回路２６Ａは故障診断を行う。コントローラ１Ｂ内の比較照合回路２８Ｂ及び故障診断回路２６Ｂも同様の動作を行う。この場合は、比較照合回路２８Ａ，２８Ｂの照合結果は一致し、従って故障診断回路２６Ａ，２６Ｂはいずれも正常である旨の診断を行う。
【００４２】
ところが、入力ユニット８Ａ内のフォトトランジスタ２２Ａが導通故障している場合、実際の入力接点信号Ｓ1は“０”にも拘わらず信号入力回路２７Ａは“１”を入力することになる。この場合のフォトトランジスタ２２Ａの導通故障は危険側故障であるが、図２の構成によればこのような故障に基づく入力結果を排除することができる。
【００４３】
すなわち、チェック信号発生回路２９Ａは、チェック信号としての“０”信号及び“１”信号を定期的に交互に出力している。いま、チェック信号発生回路２９Ａが“０”信号を発光ダイオード２４Ａに出力している状態であればフォトトランジスタ２５Ａはオフ状態であるため、発光ダイオード２１Ａには電流が流れず、従ってフォトトランジスタ２２Ａも必ずオフ状態となるはずである。それにもかかわらず、信号入力回路２７Ａが“１”を入力しているのはフォトトランジスタ２２Ａに導通故障が生じていることに他ならない。故障診断回路２６Ａは、このチェック信号発生回路２９Ａの出力状態と信号入力回路２７Ａの入力結果とに基づいて入力ユニット８Ａが故障であると判断する。
【００４４】
一方、チェック信号発生回路２９Ａが“１”信号を出力している状態の場合は、信号入力回路２７Ａが“１”を入力したとしてもそれだけでは入力ユニット８Ａに故障が生じているか否かは分からない。しかし、この場合、比較照合回路２８ＡがＢ系との間で照合を行っているので、故障診断回路２６Ａはこの照合結果によって入力ユニット８Ａに故障が生じていることを判断することができる。
【００４５】
また、入力接点信号Ｓ1が“０”である状態でフォトトランジスタ２２Ａにオープン故障が生じる場合がある。この場合は、チェック信号発生回路２９Ａの出力信号が“０”又は“１”のいずれであっても信号入力回路２７Ａは“０”を入力し、正常状態における場合と同様の入力結果を示すため、故障診断回路２６Ａは正常と判断することになる。つまり、コントローラ１Ａは正常と判断しているが実際には故障が潜在した状態となっている。しかし、この故障は既述したように安全側故障であり、直ちに検出されなくても重大事故に直結するものではないため許容され得る看過である。
【００４６】
図３は、入力ユニットの代表的な故障モードを示した図表である。上述した例は、項目１乃至４に該当する。なお、“０”信号及びこれに続く“１”信号を１組の信号と見た場合には、一見すると、項目１及び項目２、あるいは項目３及び項目４を一つの項目として表記することも可能であるように思える。しかし、入力ユニットの正常・故障状態は瞬時に変化する可能性を有することから、フェイルセーフ機能を追求するためには、チェック信号発生回路２９Ａが“０”信号を出力した時点及び“１”信号を出力した時点の各時点において単独で正常又は故障の判断を行う必要がある。それ故、図３においては、項目１，２、項目３，４、 … 項目１９，２０等をそれぞれまとめて表記せず、単独の項目として表記しいている。
【００４７】
図４は、図１における出力ユニット９Ａ，９Ｂの構成と、この出力ユニット９Ａ，９Ｂとの間で信号の授受を行うマイクロプロセッサ・コントローラ１Ａ，１Ｂの構成とを示すブロック図である。この図において、出力ユニット９Ａは、発光ダイオード３１Ａ及びフォトトランジスタ３２Ａにより形成されるフォトカプラ３０Ａ（出力用半導体素子）と、発光ダイオード３４Ａ及びフォトトランジスタ３５Ａにより形成されるフォトカプラ３３Ａ（故障検出用半導体素子）と、発光ダイオード３７Ａ及びフォトトランジスタ３８Ａにより形成されるフォトカプラ３６Ａ（チェック用半導体素子）と、抵抗３９Ａとを有している。出力ユニット９Ｂも出力ユニット９Ａと同様の構成を有しているが、その他に、ダイオード４０及び抵抗４１を有している。
【００４８】
コントローラ１Ａは、出力信号駆動回路４２Ａと、故障検出回路４３Ａと、チェック信号発生回路４４Ａと、接点リードバック回路４５Ａとを有している。そして、コントローラ１Ｂもコントローラ１Ａと同様の構成を有している。また、図１においても示したリレー１７及びリレー接点１８は、遮断機制御装置などの現場機器内に配設されている。
【００４９】
２４ボルト電源の高圧側端子には直列接続されたヘルシーリレー接点１４Ａ，１４Ｂを介してフォトカプラ３０Ａが接続されており、これに続いてフォトカプラ３０Ｂ、ダイオード４０を介してリレー１７の一端側が接続され、リレー１７の他端側が２４ボルト電源の０ボルト端子に接続されている。したがって、出力ユニット９Ａの信号出力経路と、出力ユニット９Ｂの信号出力経路とは互いに直列接続されている。
【００５０】
リレー１７に対して励磁信号としての“１”信号が出力ユニット９Ａ及び９Ｂから同時に出力されてリレー１７が励磁されている状態では、リレー接点１８が閉じ、遮断機が上がった状態となっている。また、リレー１７に対して無励磁信号としての“０”信号が出力ユニット９Ａ及び９Ｂから出力されてリレー１７が無励磁の状態になっていれば、リレー接点１８が開き、遮断機が下がった状態になっている。したがって、出力ユニットのフェイルセーフ性とは、“０”信号を出力して遮断機を下げていなければならない場合にもかかわらず、誤って“１”信号が出力され遮断機を上げてしまうような故障を確実に防止することである。図４の出力ユニットの構成は、図２の入力ユニットの場合と同様に、“１”信号を危険側信号、“０”信号を安全側信号として扱い、危険側故障に起因する事故を確実に防止するためのものである。
【００５１】
次に、図４の動作につき説明する。Ａ系及びＢ系のいずれも正常に機能している場合はヘルシーリレー接点１４Ａ，１４Ｂの双方がオンになっている。いま、出力信号駆動回路４２Ａ，４２Ｂの一方又は双方から“０”信号が出力されていれば、フォトトランジスタ３２Ａ，３２Ｂ及びダイオード４０の経路には電流が流れないので、リレー１７は無励磁状態であり、したがって遮断機は下がった状態となっている。このとき、リレー接点１８はオフとなっており、接点リードバック回路４５Ａ，４５Ｂは“１”信号を検出する。一方、出力信号駆動回路４２Ａ，４２Ｂの双方から“１”信号が出力されていれば、フォトトランジスタ３２Ａ，３２Ｂ及びダイオード４０の経路に電流が流れるので、リレー１７は励磁状態となり、したがって遮断機は上がった状態となる。このとき、リレー接点１８はオンとなり、接点リードバック回路４５Ａ，４５Ｂは“０”信号を検出する。
【００５２】
そして、上記のように、フォトトランジスタ３２Ａ，３２Ｂ及びダイオード４０の経路に電流が流れていない状態では、抵抗３９Ａ，発光ダイオード３４Ａ側及び抵抗３９Ｂ，発光ダイオード３４Ｂ側にそれぞれ微弱電流が流れ、故障検出回路４３Ａ，４３Ｂが“１”信号を入力するようになっている。一方、フォトトランジスタ３２Ａ，３２Ｂ及びダイオード４０の経路に電流が流れている状態では、抵抗３９Ａ，発光ダイオード３４Ａ側及び抵抗３９Ｂ，発光ダイオード３４Ｂ側に微弱電流は流れず、故障検出回路４３Ａ，４３Ｂは“０”信号を入力するようになっている。
【００５３】
上記の故障検出回路４３Ａ，４３Ｂによりフォトトランジスタ３２Ａ，３２Ｂの故障を検出することができる。すなわち、例えば、フォトトランジスタ３２Ａが導通故障している場合には、出力信号駆動回路４２Ａから“０”信号が出力されているにもかかわらず、故障検出回路４３Ａが“０”信号を入力する（正常であれば、回路４３Ａは“１”信号を入力するはずである。）。したがって、フォトトランジスタ３２Ａの導通故障を検出することができる。また、フォトトランジスタ３２Ａがオープン故障している場合には、出力信号駆動回路４２Ａから“１”信号が出力されているにもかかわらず、故障検出回路４３Ａが“１”信号を入力する（正常であれば、回路４３Ａは“０”信号を入力するはずである。）。したがって、フォトトランジスタ３２Ａのオープン故障を検出することができる。
【００５４】
上記のように、フォトカプラ３３Ａ及び故障検出回路４３Ａによりフォトトランジスタ３２Ａの故障を検出することができるようになっている。しかし、フォトカプラ３３Ａのフォトトランジスタ３５Ａが故障した場合、特に、その故障が導通故障である場合はフェイルセーフ性を維持することができなくなる。なぜなら、フォトトランジスタ３５Ａが導通故障している場合は故障検出回路４３Ａの入力が常時“１”となるため、フォトトランジスタ３２Ａに導通故障が生じ、危険側信号である“１”信号が誤ってリレー１７に出力されても、これを検出することができなくなるからである（これに対し、フォトトランジスタ３５Ａのオープン故障の場合は、故障検出回路４３Ａの入力が常時“０”となり、コントローラ自体がリレー１７に危険側信号である“１”信号が出力されていることを認識していることになるので重大事故に直結することはない。）。したがって、フェイルセーフ性を確保するためには、フォトトランジスタ３５Ａの導通故障は確実に検出すべき事象である。フォトカプラ３６Ａ及びチェック信号発生回路４４Ａは、この確実に検出すべき事象であるフォトトランジスタ３５Ａの導通故障を検出するために設けられたものであり、チェック信号発生回路４４Ａは定期的に“０”信号及び“１”信号を交互に出力している。
【００５５】
すなわち、チェック信号発生回路４４Ａはチェック信号としての“１”信号及び“０”信号を交互に発光ダイオード３７Ａに出力し、フォトトランジスタ３８Ａをオンオフする。これにより、発光ダイオード３４Ａに流れる電流が強制的にオンオフされる。したがって、故障検出回路４３Ａが“１”信号を入力した状態でチェック信号発生回路４４Ａがチェック信号を出力した場合に、このチェック信号に応じて故障検出回路４３Ａの信号入力状態が変化せず、連続して“１”信号を入力している状態となっているのであれば、それはフォトトランジスタ３５Ａに導通故障が発生しているからであるということが分かる。
【００５６】
図５は、出力信号駆動回路４２Ａ、接点リードバック回路４５Ａ、チェック信号発生回路４４Ａ、及び故障検出回路４３Ａの動作を説明するためのタイムチャートであり、（ａ）は正常動作の場合、（ｂ）は危険側故障の場合、（ｃ）は安全側故障の場合をそれぞれ示している。なお、「出力されるべき信号」とは、リレー１７に対して本来正しく出力されるべき信号の意味である。
【００５７】
図５（ａ）に示されるように、正常の場合には、故障検出回路４３Ａが入力する信号は、チェック信号発生回路４４Ａが“０”信号を出力している場合には必ず“０”であり、また、チェック信号発生回路４４Ａが“１”信号を出力している場合には接点リードバック回路４５Ａが読み取った信号と同じ信号となっている。
【００５８】
しかし、図５（ｂ）に示されるように、フォトトランジスタ３５Ａに導通故障が生じた場合は、チェック信号が“０”であるにもかかわらず故障検出回路４３Ａは“１”信号を入力している。そのため、この時点で直ちにシステムを停止させて危険側故障に起因する重大事故の発生を未然に防止するようにしている。もし、この時点でシステムを停止させずにそのまま運転を継続した場合、フォトトランジスタ３２Ａに導通故障が生じても、これを検出することができなくなるからである。
【００５９】
また、図５（ｃ）に示されるように、フォトトランジスタ３５Ａにオープン故障が生じた場合は、接点リードバック回路４５Ａが“０”信号を読み取っている期間は、チェック信号の変化によってもこのオープン故障は検出されることがない。しかし、既述した通り、この期間中にフォトトランジスタ３５Ａのオープン故障が検出できなくとも重大事故に直結することはない。そして、この状態のままフォトトランジスタ３２Ａにオープン故障が発生すると、チェック信号が“１”であるにもかかわらず故障検出回路４３Ａが入力する信号が“０”となり、接点リードバック回路４５Ａの信号と一致しないために、フォトトランジスタ３２Ａのオープン故障が検出され、システムが停止されることになる。図６に、上述したような故障を含めた、出力ユニットの代表的な故障モードを示す。
【００６０】
ところで、図４におけるフォトトランジスタ３２Ａ，３２Ｂは特異な状態に陥る可能性を有するものである。特異な状態とは、例えば、出力信号駆動回路４２Ａが“０”信号を出力している場合に、フォトトランジスタ３２Ａが不飽和の状態でその漏れ電流を増加させ、リレー１７を励磁してしまう虞れのあるレベルの電流を流している状態のことをいう（この状態のことを「半導通状態」と呼ぶ。）。この半導通状態では、リレー１７は実際には励磁されておらず、故障検出回路４３Ａも“１”信号を入力しているので何らの故障も検出されていない。しかし、フォトトランジスタ３２Ａがこのような半導通状態に陥っている間にフォトトランジスタ３２Ｂに導通故障が生じると、出力信号駆動回路４２Ａ，４２Ｂが“０”信号を出力しているにもかかわらずリレー１７が励磁されてしまい、出力ユニット９Ａ，９Ｂのフェイルセーフ性が失われることになる。重大事故の発生を確実に防ぎ安全性を向上させるためには、このような半導通状態が生じていることを確実に検出し、速やかにシステムを停止させてフェイルセーフ性を維持することが求められる。図４の構成によれば、このような半導通状態を確実に検出することが可能である。
【００６１】
すなわち、正常の状態において出力信号駆動回路４２Ａが“０”信号を出力している場合には、微弱電流が抵抗３９Ａ、発光ダイオード３４Ａ、フォトトランジスタ３８Ａを通って出力ユニット９Ｂ側に出力されるが、この出力される微弱電流はチェック信号発生回路４４Ａの働きによって“０”と“１”とが交互に繰り返される信号となっている。したがって、チェック信号発生回路４４Ｂの出力によりフォトトランジスタ３８Ｂがオンになっている状態において、故障検出回路４３Ｂは、出力ユニット９Ａ側からの信号が“１”の場合には“１”信号を入力し、出力ユニット９Ａ側からの信号が“０”の場合には“０”信号を入力するはずである。ところが、フォトトランジスタ３２Ａが上記の半導通状態に陥っている場合には、その漏れ電流によって出力ユニット９Ａからの電流レベルが上昇し、故障検出回路４３Ｂは、フォトトランジスタ３８Ｂがオンになっている状態においては常時“１”信号を入力することになる。この現象により、フォトトランジスタ３２Ａが半導通状態にあることを検出することができる。上記の例は、Ａ系側のフォトトランジスタ３２Ａが半導通状態にあることをＢ系側の故障検出回路４３Ｂの入力状態に基づいて判別していたが、Ｂ系側のフォトトランジスタ３２Ｂに半導通状態が生じている場合もＡ系側の故障検出回路４３Ａの入力状態に基づいて判別することができる。
【００６２】
次に、図１において示したヘルシー回路１０Ａ，１０Ｂにつき説明する。図７は、このヘルシー回路１０Ａ，１０Ｂの構成図である。図７においてＡ系を例に取り説明すると、コントローラ１Ａのマイクロプロセッサ・ユニット２Ａは交番信号を生成するが、この交番信号は入出力インタフェイス５Ａ及びＩ／Ｏバス７Ａを介してヘルシー回路１０Ａに送出される。そして、ヘルシー回路１０Ａでは、出力回路１１Ａがこの交番信号をトランス１２Ａの１次側に出力し、その２次側からは直流分がカットされて交番信号の交流分のみが出力される。トランス１２Ａの２次側から出力される交番信号はダイオード４６Ａにより整流され、この整流された電流によってリレー１３Ａが励磁され、ヘルシーリレー接点１４Ａがオンとなる。
【００６３】
上記したように、リレー１３Ａは間接的にはマイクロプロセッサ・ユニット２Ａによって生成される交番信号に基づき励磁されるので、マイクロプロセッサ・ユニット２Ａが故障を検知した場合には必ず無励磁となってヘルシーリレー接点１４Ａがオフとなる。つまり、マイクロプロセッサ・ユニット２Ａが故障を検知した場合、通常、マイクロプロセッサ・ユニット２Ａは全ての出力をクリアして“０”とするが、故障の種類によっては出力をクリアできなくなることがある。そして、マイクロプロセッサ・ユニット２Ａから出力回路１１Ａに対して“１”信号が出力され続けることになるが、この場合には出力回路１１Ａがトランス１２Ａの１次側に供給する信号が交番信号ではなくなり、トランス１２Ａの２次側出力はゼロとなるためリレー１３Ａが励磁されることはない。したがって、マイクロプロセッサ・ユニット２Ａが故障を検知した場合にはリレー１３Ａは必ず無励磁となってヘルシーリレー接点１４Ａをオフの状態にすることができる。そして、図４において図示したように、ヘルシーリレー接点１４Ａ，１４Ｂは直列接続された状態で電源回路に接続されているので、いずれか一方がオフになった場合には決して現場機器内のリレー１７が励磁されることがない。
【００６４】
図８は、出力回路１１Ａ，１１Ｂの信号出力状態とリレー１３Ａ，１３Ｂの励磁状態を示すタイムチャートである。この図において、当初Ａ系及びＢ系共に正常に機能していたが、ある時点でＡ系のマイクロプロセッサ・ユニット２Ａが故障を検知したとする。すると、マイクロプロセッサ・ユニット２Ａは直ちに全ての出力をクリアするため出力回路１１Ａからの交番信号の出力は停止され、それまで励磁状態となっていたリレー１３Ａは無励磁状態となる。そして、Ｂ系のマイクロプロセッサ・ユニット２Ｂは、Ａ系のマイクロプロセッサ・ユニット２Ａが交番信号の生成を停止したことを照合機能によって検知できるようになっている。したがって、マイクロプロセッサ・ユニット２Ｂも、この後すぐに交番信号の生成を停止する。これにより、出力回路１１Ｂからの交番信号の出力も停止されリレー１３Ｂも無励磁状態となる。
【００６５】
ここで、上記の交番信号において“１”となっている時間及び“０”となっている時間を一定に保つための技術につき説明する。交番信号を出力する場合、通常は、マイクロプロセッサ・ユニット２Ａがメインプログラムで出力することが考えられる。しかし、マイクロプロセッサ・ユニット２Ａの処理が正常に行われている間はメインプログラムの制御処理時間が一定であるため特に問題は生じないが、外部からの入力信号の入力状況如何によってはこの制御処理時間が一定でなくなり、“１”である時間及び“０”である時間を一定に保つことが困難になる。
【００６６】
そこで、本実施形態では、図９に示すように、マイクロプロセッサ・ユニット２Ａ内にメインプログラムを実行する制御処理手段４７の他に、割り込みプログラムを実行する交番信号発生手段４８を設け、これにより交番信号を発生させるようにしている。制御処理手段４７はカウンタ４９及び走行フラグ５０を有しており、交番信号発生手段４８はカウンタ５１を有している。
【００６７】
このような構成によりフェイルセーフな交番信号を発生させるためには、メインプログラムに異常が生じた場合は、割込プログラムによって確実にその走行を停止させて交番信号の発生を停止させる必要がある。一方、割込プログラムに異常が生じた場合も、メインプログラムによって確実にその走行を停止させて交番信号の発生を停止させる必要がある。そして、交番信号の周期はできるだけ短い方が望ましいが、割込プログラムが余りに頻繁に走行するとメインプログラムでの処理時間がなくなってしまうので、その周期は適切に選ぶ必要がある。図９の例では、制御処理手段４７が実行するメインプログラムの１回の処理時間を１００〜２００ｍｓとし、交番信号発生手段４８が実行する割込プログラムの割込周期を５ｍｓとする。したがって、正常状態であれば、メインプログラムの１回の処理時間の間に割込プログラムが２０〜４０回走行することになる。この関係を利用してヘルシー回路の交番信号を発生させることができる。
【００６８】
次に、図９の動作につき説明する。なお、この例では、メインプログラムの１回の処理時間を１００ｍｓとし、正常な割込回数を２０±１回とする。制御処理手段４７は、１回の走行開始時に走行フラグ５０をセットすると共にカウンタ４９に走行回数についてのカウント値を加算し、更に１回の走行終了時に走行フラグ５０をリセットする。一方、交番信号発生手段４８は、走行フラグ５０がセットされると５ｍｓ毎の割込を走行フラグ５０がリセットされるまで行い、“１”又は“０”の交番信号を発生させる。そして、交番信号発生手段４８は、このときの割込回数についてのカウント値をカウンタ５１に加算する。
【００６９】
制御処理手段４７が１回の走行を終了して走行フラグ５０をリセットし、次の走行を行うべく再度走行フラグ５０のセットを行うと、この時点で交番信号発生手段４８は、カウンタ５１のカウント値をチェックする。いま、カウンタ５１のカウント値が２２回であったとすると、制御処理手段４７は、メインプログラムに異常が発生していると判別し、全プログラムの走行を停止させる。
【００７０】
一方、制御処理手段４７の側でもこの時点でカウンタ５１のカウント値をチェックしている。したがって、交番信号発生手段４８側に何らかの異常が発生し、その結果カウンタ５１のカウント値が２２回になった場合であっても、制御処理手段４７は、割込異常として全プログラムの走行を停止させることができる。
【００７１】
なお、制御処理手段４７は、上記の割込異常以外の異常（例えば、Ｂ系側の入力データとの照合結果が一致しない等の異常）が生じた場合は、図示を省略してあるエラーフラグをセットして全プログラムを停止させる。このエラーフラグについては、交番信号発生手段４８もチェックしており、エラーフラグがセットされると直ちに割込プログラムの走行を停止し、交番信号の発生を停止するようになっている。
【００７２】
上記した図９の構成によれば、メインプログラム側が何らかの原因で処理時間がかかる故障を起こした場合、あるいは処理時間が余りに短いような故障を起こした場合に、メインプログラム自身がこれらの故障を検出できないときでも、割込プログラムにより故障を検出してヘルシーリレーを無励磁にすることができる。また、割込プログラム側が割込頻度が異常に高い故障又は異常に低い故障を起こした場合は、これをメインプログラムで検出してヘルシーリレーを無励磁にすることができる。すなわち、高速で且つ高精度の周期を有する交番信号を出力することができ、フェイルセーフを実現することができる。さらに、交番信号を高速化することができるため、ヘルシー回路１０Ａ，１０Ｂ内のトランス１２Ａ，１２Ｂを小型化することができ、速い応答性を得ることができるようになる。
【００７３】
次に、図１に示した共有メモリ１６Ａ，１６Ｂの利用により、プログラムの内容の一部を効率的に書き換える技術につき説明する。一般に、電子踏切制御装置のプログラムには標準的なものが用意されているが、タイマ等の定数については現場の踏切の実際の状況に合わせる必要があるため、予めインストールされているプログラムの内容の一部を変更して使用する場合が通常である。このようなプログラム内容の変更は、電子踏切制御装置を実際に設置する際や、設置後の運用結果に基づいて行われることが多いが、いずれにしても現場において行わなければならないので、この変更処理は容易且つ確実に実行できるようにしておくことが望ましい。本実施形態の構成によれば、共有メモリの働きにより、Ａ系又はＢ系のいずれか一方の系のみに対してプログラム内容の一部を変更すれば、他方の系のプログラム内容も自動的に変更されるようにすることができる。
【００７４】
すなわち、現場にいるオペレータは、図１においては図示を省略してあるＰＣ（パーソナル・コンピュータ）モニタを操作して、変更すべきタイマ等の定数をマイクロプロセッサ・ユニット２Ａを介して記憶部３Ａに書き込む。この記憶部３Ａは、既述したように、ＥＥＰＲＯＭにより形成されているので、電気的な書込が可能であり、また、電源が停電した場合でもデータ保持が可能なものである。
【００７５】
記憶部３Ａに書き込まれたデータは共有メモリ１６Ａにも書き込まれるが、Ｂ系マイクロプロセッサ・コントローラ１Ｂはこの共有メモリ１６Ａの内容を読み出し、これを自系の記憶部３Ｂ及び共有メモリ１６Ｂに書き込む。そして、Ａ系マイクロプロセッサ・コントローラ１Ａは、共有メモリ１６Ａのデータと共有メモリ１６Ｂとを照合し、その照合結果をＰＣモニタに出力する。ＰＣモニタは、Ａ系に書き込まれたデータと、Ａ系への書込に伴ってＢ系に書き込まれたデータとを比較し、両者が一致していれば正常である旨を表示し、また、不一致であればＡ系の動作を停止するようにＡ系マイクロプロセッサ・コントローラ１Ａに指示する。なお、変更データの信頼性を高めるために、定数データにはデータの誤りを検出できるチェックコードを一緒に送信することも可能である。
【００７６】
このように、図１の構成によれば、タイマ等の定数などを変更する場合、２台のマイクロプロセッサ・コントローラのうち１台のみに対して変更処理を行えば、他方の系の定数も自動的に変更される。そして、自系と他系の変更内容が同一になっているか否かについてのチェックも同時に実行することができるので、人間の操作ミスによる誤った定数の設定を防止することができる。
【００７７】
次に、本発明の第２の実施形態につき説明する。図１０はこの第２の実施形態の構成を示すブロック図である。図１に示した第１の実施形態は、Ａ系（第１の制御系）及びＢ系（第２の制御系）の２つの制御系を有するものであったが、この第２の実施形態は３つの制御系を有するものであり、Ａ系及びＢ系の２つの制御系の他にさらにＣ系（第３の制御系）を有するものである。そして、図１１は、この図１０に示した電子踏切制御装置を用いて構成した電子踏切制御システムの構成図である。
【００７８】
まず、図１１の電子踏切制御システムについて先に説明する。この図において、第１の制御処理端末装置６１、第２の制御処理端末装置６２、及び４台の入出力処理端末装置６３〜６６の各制御系は、Ａ〜Ｃ系のＬＡＮによって互いに接続されている。そして、入出力処理端末装置６３〜６６は、それぞれ現場機器６７〜７０との間で信号の授受を行うようになっている。
【００７９】
第１の制御処理端末装置６１及び第２の制御処理端末装置６２は入出力処理端末装置６３〜６６の上位機器であり、現場機器６７〜７０は実質的にはこれら第１の制御処理端末装置６１又は第２の制御処理端末装置６２により、入出力処理端末装置６３〜６６を介して制御されることになる。
【００８０】
第１の制御処理端末装置６１には現在の列車運行に用いられるプログラムが実装されており、第２の制御処理端末装置６２には新しく開発された応用プログラムが実装されている。そして、列車運行数が多い時間帯（昼間）には全ての現場機器６７〜７０が稼働するが、列車運行数が少ない時間帯（夜間）には現場機器６７のみが稼働し、現場機器６８〜７０に対しては改修工事あるいは試験等が行われるものとする。
【００８１】
入出力処理端末装置６３〜６６のそれぞれは、第１の制御処理端末装置６１又は第２の制御処理端末装置６２のうちのいずれと信号の授受を行うかを決める切換スイッチを有しており、この切換スイッチの制御は第２の制御処理端末装置６２により行われるようになっている。昼間は、全ての入出力処理端末装置６３〜６６は現場機器６７〜７０からの入力信号を第１の制御処理端末装置６１のみに対して出力し、一方、第１の制御処理端末装置６１のみが入出力処理端末装置６３〜６６に対して信号を出力する。しかし、夜間になって第２の制御処理端末装置６２が上記の切換スイッチを所定の位置に切り換えると、入出力処理端末装置６３のみが現場機器６７からの入力信号を第１の制御処理端末装置６１に対して出力し、一方、第１の制御処理端末装置６１は入出力処理端末装置６３のみに対して信号を出力する。そして、入出力処理端末装置６４〜６６は、現場機器６８〜７０からの入力信号を第２の制御処理端末装置６２に対して出力し、一方、第２の制御処理端末装置６２は入出力処理端末装置６４〜６６に対して信号を出力する。
【００８２】
このような鉄道用保安制御システムによれば、特定の線路を使用する列車の運行は継続したままで、他の線路に設けられた踏切の改修工事あるいは試験等を行うことが可能になるので、改修工事の効率を大きく向上させることができ、工期の短縮を図ることができる。
【００８３】
次に、図１０の構成につき説明する。この図において、Ａ系のマイクロプロセッサ・コントローラ７１Ａは、マイクロプロセッサ・ユニット７２Ａ、メモリ部７３Ａ、ＬＡＮ制御部７４Ａ、及びＩ／Ｏバス・インタフェイス７５Ａを有している。マイクロプロセッサ・コントローラ７１ＡはＩ／Ｏバス・インタフェイス７６Ａを介して入力ユニット７７Ａ、出力ユニット７８Ａ、及びヘルシー回路７９Ａと接続されている（入力ユニット７７Ａ及び出力ユニット７８Ａ構成は、それぞれ図２及び図４に示したものと略同様の構成のものである。）。Ｂ系及びＣ系もＡ系と同様の構成を有している。そして、Ａ系とＢ系との間には共有メモリ８０、Ｂ系とＣ系との間には共有メモリ８１、Ｃ系とＡ系との間には共有メモリ８２が、それぞれ設けられている。
【００８４】
各系の入力ユニット７７Ａ，７７Ｂ，７７Ｃには、現場機器入力信号モジュール８３を介して現場機器６７（又は現場機器６８〜７０）からの信号が入力されるようになっており、また、各系の出力ユニット７８Ａ，７８Ｂ，７８Ｃからの信号が現場機器出力信号モジュール８４を介して現場機器６７に出力されるようになっている。そして、各系のヘルシー回路７９Ａ，７９Ｂ，７９Ｃからのヘルシーリレー接点信号の状態が、現場機器出力信号モジュール８４、さらに現場機器入力信号モジュール８３に対して送出されるようになっており、３系のうち少なくとも２系が正常でなければ現場機器出力信号モジュール８４及び現場機器入力信号モジュール８３が動作しないようになっている。なお、現場機器入力信号モジュール８３及び現場機器出力信号モジュール８４は、図１０の構成についての理解を容易にするために概念的な要素として図示したものであり、実際には各コントローラ内のマイクロプロセッサ・ユニット７２Ａ，７２Ｂ，７２Ｃの機能として考えられるものである。
【００８５】
図１２は、図１０におけるヘルシー回路７９Ａ，７９Ｂ，７９Ｃの構成図である（ヘルシー回路７９Ｂ，７９Ｃの構成はヘルシー回路７９Ａと同様であるため省略する。）。この図において、Ａ系マイクロプロセッサ・コントローラ７１Ａのマイクロプロセッサ・ユニット７２Ａは交番信号を生成するが、この交番信号はＩ／Ｏバス・インタフェイス７５Ａ，７６Ａを介してヘルシー回路７９Ａに送出される。ヘルシー回路７９Ａでは、２つの出力回路８５Ａ1，８５Ａ2がこの交番信号をそれぞれトランス８６Ａ1，８６Ａ2の１次側に出力し、その２次側からは直流分がカットされて交番信号の交流分のみが出力される。トランス８６Ａ1，８６Ａ2の各２次側から出力される交番信号はそれぞれダイオード８７Ａ1，８７Ａ2により整流され、この整流された電流によってリレー８８Ａ1，８８Ａ2が励磁され、ヘルシーリレー接点８９Ａ1，８９Ａ2がオンとなる。
【００８６】
図１２のヘルシー回路７９Ａの動作は、図７の場合と略同様であるため、その重複した説明は省略し、各系の間のヘルシーリレー接点のオンオフの組合せのみについて説明する。図１２における「ヘルシーＡ＝Ｂ，ヘルシーＡ＝Ｃ，…ヘルシーＣ＝Ｂ」は、他系と関連するヘルシーリレー接点を示している。つまり、イコール記号の左側のアルファベット記号は自系側を示し、イコール記号の右側のアルファベット記号は他系側を示している。
【００８７】
そして、例えば、Ａ系コントローラが自己診断によって自系の故障を検出した場合は、Ａ＝Ｂ及びＡ＝Ｃの接点をオフにして自系の走行を停止する。このとき、Ｂ系側ではＢ＝Ｃの接点はオンのままにしておくが、Ａ系と関連する接点であるＢ＝Ａの接点をオフにする。同様に、Ｃ系側でもＣ＝Ｂの接点はオンのままにしておくが、Ａ系と関連する接点であるＣ＝Ａの接点をオフにする。
【００８８】
一方、Ａ系コントローラがその照合機能によって他系の故障を検出した場合は、その他系と関連する接点のみをオフにする。例えば、Ａ系コントローラがＢ系の故障を検出した場合は、Ａ＝Ｂの接点のみをオフにしてＡ＝Ｃの接点はオンにしておく。このとき、Ｃ系側でもＣ系コントローラがＢ系の故障を検出し、Ｃ＝Ｂの接点のみをオフにしてＣ＝Ａの接点はオンにしてあるはずである。そして、Ａ系側及びＣ系側の各接点Ａ＝Ｂ及びＣ＝Ｂがオフになったことにより、Ｂ系側の接点Ｂ＝Ｃ及びＢ＝Ａもオフとなり、Ｂ系の走行が停止される。
【００８９】
図１０に示した第２の実施形態は、既述したように、Ａ系，Ｂ系，Ｃ系の３重系構成を有するものであり、そのうち２系の入力データ又は出力データが一致した場合に、その入力データ又は出力データを正常データとして取り扱うとする、所謂「２out of３」方式を採用している。３系のうち２系の入出力データが一致する場合の態様としては、次の３つの態様がある。
【００９０】
（１）Ａ系及びＢ系のヘルシーリレー接点が共にオン（ヘルシーリレーが励磁状態）であり、且つＡ系及びＢ系の出力データ（又は入力データ）が共に“１”である。
（２）Ｂ系及びＣ系のヘルシーリレー接点が共にオン（ヘルシーリレーが励磁状態）であり、且つＢ系及びＣ系の出力データ（又は入力データ）が共に“１”である。
（３）Ｃ系及びＡ系のヘルシーリレー接点が共にオン（ヘルシーリレーが励磁状であり、且つＣ系及びＡ系の出力データ（又は入力データ）が共に“１”である。
【００９１】
例えば、Ｂ系において故障が発生した場合、ヘルシー回路７９Ｂの接点Ｂ＝Ｃ及びＢ＝Ａがオフになると共に、ヘルシー回路７９Ａ，７９Ｃの接点Ａ＝Ｂ及びＣ＝Ｂがオフになる。しかし、ヘルシー回路７９Ａ，７９Ｃの接点Ａ＝Ｃ及びＣ＝Ａはオン状態を維持しているので、正常なＡ系及びＣ系によってシステムの制御を継続することができる（上記の（３）の態様）。
【００９２】
次に、図１０の動作を、図１３のフローチャートに基づき説明する。但し、図１３においてはＡ系及びＢ系相互間のみの動作を説明し、Ｂ系及びＣ系相互間並びにＣ系及びＡ系相互間についての重複した説明を省略する。
【００９３】
コントローラ７１Ａ，７１Ｂは、まず、プログラムで制御を開始するための同期処理を行う。すなわち、コントローラ７１Ａ，７１Ｂは、「同期通番」と呼ばれる処理回数を示す番号を共有メモリ８０の自系領域８０Ａ，８０Ｂに書き込み、自系の同期通番と他系の同期通番とが一致するか否かを確認することにより同期が取れたか否かを判別する（ステップ１０１Ａ，１０１Ｂ）。同期が取れない場合は一定時間だけ待ち、それでも同期が取れない場合は互いに他系を故障と判断し、それぞれヘルシーリレー接点をオフにしてヘルシーリレーを無励磁とする。そして、同期が取れた場合は、そのタイミングで制御処理を開始する。
【００９４】
同期が取れた後、各コントローラは、入力モジュール８３を通して入力した現場機器６７からの入力信号を読み込み、これを自系の記憶領域８０Ａ，８０Ｂに書き込む。そして、自系に書き込んだ入力信号と他系に書き込まれた入力信号とが一致するか否かを判別する（ステップ１０２Ａ，１０２Ｂ）。一致しない場合は、それぞれ他系を故障と判別し、一方、一致する場合は制御のための演算処理を行う（ステップ１０３Ａ，１０３Ｂ）。
【００９５】
各コントローラは、演算処理結果を出力信号として自系の記憶領域８０Ａ，８０Ｂに書き込み、さらに自系に書き込んだ出力信号と他系に書き込まれた出力信号とが一致するか否かを判別する（ステップ１０４Ａ，１０４Ｂ）。一致しない場合は、それぞれ他系を故障と判別し、一方、一致する場合は、これを出力モジュール８４を介して現場機器６７に出力する。
【００９６】
このように、Ａ系側コントローラは自系の制御処理を行うと共に、Ｂ系側コントローラに対する故障検出器としても機能しており、また、Ｂ系側コントローラも自系の制御処理を行うと共に、Ａ系側コントローラに対する故障検出器としても機能している。したがって、現場機器との間で確実な入出力制御を行うことができる。
【００９７】
図１４は、図１３において説明した他系との同期チェック処理、入力処理、及び出力処理を含め、エラー処理が行われる主な場合をＡ系側を例に取って示したフローチャートである。Ａ系コントローラ７１Ａは、まず、自系のＩ／Ｏバス等について異常がないか否かにつき自己診断を行い（ステップ１）、異常があった場合、すでに励振出力されていればエラー処理として励振処理の出力を停止し（ステップ１９）、制御動作を停止する（ステップ２０）。励振出力とは、図１２においてマイクロプロセッサ・ユニット７２Ａが交番信号の発生し、出力回路８５Ａ1，８５Ａ2に交番信号を出力させることである。
【００９８】
コントローラの自己診断の結果、異常がなければ上記の励振出力を行う（ステップ２）。そして、コントローラ７１Ａは、共有メモリ８０，８２に対する書き込みテスト及び読み出しテストを行い（ステップ３）、異常があればステップ１９の処理を行う。次いで、入力ユニット７７Ａ及び出力ユニット７８Ａのオフチェックを行って導通故障が生じていないかどうかをチェックし（ステップ４，５）、異常があればステップ１９の処理を行う。そして、前回の制御出力のリードバックを行い、異常がないか否かを確認する（ステップ６）。
【００９９】
ステップ４〜６のチェックの結果、異常がなければ、図１３において既述したように、他系すなわちＢ系及びＣ系との同期を取るようにし（ステップ７）、同期が取れなければステップ１９の処理を行う。同期が取れたならば、入力モジュール８３からデータを入力し入力処理を開始する（ステップ８）。そして、８ビットの反転データを作成して、これを共有メモリ８０，８２に書き込むと共に（ステップ９）、Ｂ系及びＣ系の反転データと照合することにより、これら他系と共有しているメモリデータのチェックを行い（ステップ１０）、異常があればステップ１９の処理を行う。次いで、入力モジュール８３から入力した入力信号について他系と一致するか否かを共有メモリ８０，８２を用いて照合し（ステップ１１）、異常があればステップ１９の処理を行う。
【０１００】
上記の照合の後、２つの同一内容のプログラムである制御処理１，２をメモリエリアと時間を変えて実行する（ステップ１２，１３）。そして、制御処理１，２による演算結果を照合した結果（ステップ１４）、一致しなければ異常であるとしてステップ１９の処理を行う。
【０１０１】
この後、この演算結果を出力しようとする前に、ステップ９，１０と同様に、反転データの作成及び書き込み並びに他系の反転データとの照合を行い（ステップ１５，１６）、異常があればステップ１９の処理を行う。次いで、出力モジュール８４から出力すべき出力信号について他系と一致するか否かを共有メモリ８０，８２を用いて照合し（ステップ１７）、異常があればステップ１９の処理を行う。そして、異常がなければ、出力処理を行い（ステップ１８）、ステップ１以下の動作を繰り返す。
【０１０２】
Ａ系コントローラはステップ１９で励振出力を停止する場合において、自系の異常を検出したときは、Ａ＝Ｂ及びＡ＝Ｃの双方のヘルシーリレー接点をオフにし、Ｂ系（又はＣ系）の異常を検出したときは、Ａ＝Ｂのみ（又はＡ＝Ｃのみ）のヘルシーリレー接点をオフにする。そして、Ａ＝Ｂ及びＡ＝Ｃの双方のヘルシーリレー接点がオフになった場合、Ａ系コントローラは走行を停止するが（ステップ１９）、Ａ＝Ｂのみ（又はＡ＝Ｃのみ）のヘルシーリレー接点がオフになった場合は、Ｃ系（又はＢ系）との間で制御処理を続行する。
【０１０３】
上述したように、３系のうちの１つの系に故障が発生した場合、その系のコントローラは自系のヘルシーリレーを無励磁にして自系の走行を停止させるようになっているが、もし、自系のヘルシーリレーを無励磁にできなかったとしても、他の２系が故障系のヘルシーリレーを無励磁にし、故障系を制御処理に参加させないようにしてシステムの安全性を確保している。しかし、故障系を除いた他の２系で制御処理を続行している間に、何らかの原因で故障系が再び制御処理に参加するような事態が生じるとシステムの安全性が阻害されることになる。そこで、本実施形態では、このような事態が生じることのないように、故障系の電源回路をオフにし、故障系を他の２つの健全な系から強制的に切断するようにしている。
【０１０４】
図１５は、電源回路をオフにする系を各態様毎に示した図表である。なお、この電源回路は、図１０においては図示を省略してあるが、各系のコントローラ７１Ａ，７１Ｂ，７１Ｃ内に設けられているものである。図１５において、「０」は故障と判断された系又はその関連する系のヘルシーリレー接点（オフにされるべき接点）であり、「１」は正常な系のヘルシーリレー接点であることを示している。また、Ｘ1は故障のために既に電源回路がオフされている系のヘルシーリレー接点（当然、オフになっている）を示し、Ｘ2はＸ1に係るヘルシーリレー接点に追随してオフになっているヘルシーリレー接点を示している。
【０１０５】
したがって、項目１は、３系で制御中にＡ系が故障したため、まずＡ系の接点Ａ＝Ｂ及びＡ＝Ｃをオフにすると共に、Ｂ系及びＣ系の接点Ｂ＝Ａ及びＣ＝Ａをオフにし、Ａ系の電源回路をオフにしてＢ系及びＣ系で制御処理を続行する場合を示している。項目２は、Ｃ系が故障のため既に電源回路がオフされており、Ａ系及びＢ系の２系で制御処理を行っている間に、今度はＡ系が故障したため、Ａ系の電源回路をオフにし、結局Ｂ系の電源回路もオフにすべき場合を示している。項目３は、Ｂ系が故障のため既に電源回路をオフされており、Ａ系及びＣ系の２系で制御処理を行っている間に、今度はＡ系が故障したため、Ａ系の電源回路をオフにし、結局Ｃ系の電源回路もオフにすべき場合を示している。
【０１０６】
図１６は、故障した系の電源回路を強制的にオフする構成をＡ系を例に取って示した説明図である。この図において、２４ボルトの電源回路の０Ｖ端子と２４Ｖ端子との間にオンタイマリレー９０が接続されており、また、複数の接点により形成される接点群とＡ系電源リレー９１との直列接続体も両端子間に接続されている。
【０１０７】
上記の複数の接点とは、オンタイマリレー９０のリレー接点９２、Ａ系電源リレー９１のリレー接点９３、Ｂ＝Ａのヘルシーリレー接点９４、Ａ＝Ｂのヘルシーリレー接点９５、Ｃ＝Ａのヘルシーリレー接点９６、Ａ＝Ｃのヘルシーリレー接点９７である。また、Ａ系電源リレー９１は交流１００ボルト電源の主接点９８を有している。
【０１０８】
次に、図１６の動作を説明する。電源回路の投入時にはオンタイマリレー９０が数秒間励磁され接点９２をオンにするため、Ａ系電源リレー９１が強制的に励磁される。これにより接点９３がオンになり、また主接点９８がオンとなって、交流１００ボルトがコントローラに供給される。そして、Ａ系コントローラは接点９５，９７をオンにするが、これと同時にＢ系及びＣ系のコントローラも動作を開始して接点９４，９６をオンにする。したがって、Ａ系電源リレー９１の自己保持回路が形成され、オンタイマリレー９０が無励磁となった後もＡ系電源リレー９１の励磁状態が保持される。
【０１０９】
この状態でＢ系及びＣ系がＡ系の故障を検出すると、接点９４，９６がオフとなるため、Ａ系電源リレー９１は無励磁となり主接点９８がオフとなって、故障系であるＡ系は健全系であるＢ系及びＣ系から完全に切断される。また、Ａ系及びＢ系の２系で制御処理中（Ｃ系が故障であるため、接点９６，９７は既にオフとなっている。）にＢ系がＡ系の故障を検出すると、接点９４がオフとなるため、Ａ系電源リレー９１は無励磁となり主接点９８がオフとなって、故障系であるＡ系の制御は停止される（これに伴って、健全系であるＢ系の制御も結局は停止される。）。同様に、Ａ系及びＣ系の２系で制御処理中（Ｂ系が故障であるため、接点９４，９５は既にオフとなっている。）にＣ系がＡ系の故障を検出すると、接点９６がオフとなるため、Ａ系電源リレー９１は無励磁となり主接点９８がオフとなって、故障系であるＡ系の制御は停止される（これに伴って、健全系であるＣ系の制御も結局は停止される。）。さらに、３系で制御処理中にＡ系が自己診断により自系の故障を検出した場合は、接点９５，９７がオフとなるため、この場合もＡ系電源リレー９１が無励磁となってＡ系の制御が停止される。
【０１１０】
図１７は、各リレーの励磁状態及び各ヘルシーリレー接点のオンオフ状態の変化を示すタイムチャートであり、（ａ）は３系で正常動作中にＡ系が異常となった場合、（ｂ）はＡ系及びＢ系の２系で動作中にＡ系が異常となった場合を示している。
【０１１１】
図１７（ａ）において、電源投入後に直ちにオンタイマリレー９０がオンになると共にＡ系電源リレー９１及びＣ系電源リレーがオンとなっている。そして、オンタイマリレー９０がオフとなった後、Ｂ系及びＣ系がＡ系の異常を検出したため接点９４，接点９６がオフとなってＡ系電源リレー９１をオフにする。さらに、この後Ａ系の接点９５，９７もオフとなる。
【０１１２】
図１７（ｂ）において、先にＣ系の異常が検出され、Ｃ系電源リレーがオフとなった後（接点９６，９７も既にオフとなっている。）、Ｂ系がＡ系の異常を検出し、接点９４をオフにしてＡ系電源リレー９１をオフにしている。そして、この後Ａ系の接点９５もオフとなる。
【０１１３】
次に、各系のコントローラが他系との間で照合動作を行う場合に、各系のタイマ同士の間におけるカウントタイミングのずれに起因する照合エラーを排除するための技術について説明する。
【０１１４】
各系の基本クロック信号は互いに独立に生成されているので、各系のコントローラのタイマ同士の間では、１カウント分の時間差が発生し、タイマ処理状態が一致しない期間が存在する。例えば、メインプログラムにおいて、所定の基準時点から３秒経過後に或る動作を実行するように設定されている場合を考えてみる。この場合、Ａ系及びＢ系はそれぞれのタイマが「３」を表示した時点で、既述した入力又は出力の照合を行い、照合結果が一致した場合に上記の動作を実行することになる。
【０１１５】
ところが、Ａ系及びＢ系の各タイマはそれぞれ独立して時間をカウントしているため、Ａ系タイマが「３」秒を表示した時点では、Ｂ系タイマがまだ「２」秒を表示しているという場合があり得る。両タイマはそのカウント値が３．０〜３．９秒の期間に「３」秒を表示するようになっているが、例えば、Ａ系タイマが３．７秒をカウントした時点でようやくＢ系タイマが３．０秒をカウントした状態であったとすると、Ａ系タイマが３．０〜３．６秒をカウントしている期間中は、Ａ系タイマは「３」秒を表示し、一方、Ｂ系タイマは「２」秒を表示していることになる。したがって、Ａ系タイマが「３」秒を表示した時点で上記の動作を実行すべく両系の照合を行うと、その照合結果は不一致となるため故障と判別されてしまうことになる。
【０１１６】
図１８は、このような両系のタイマのずれに起因する誤検知を防止する技術についての説明するためのタイムチャートである。この図において、（ａ），（ｂ）はそれぞれＡ系タイマ及びＢ系タイマの処理状態を示す信号であり、ＣＡ1，ＣＡ2…、ＣＢ1，ＣＢ2…は１回目、２回目、…のカウントを示している。（ｃ），（ｅ）はスキャン番号が付されたスキャン信号Ｓ1〜Ｓ9を示している。（ｄ），（ｆ）はＡ系タイマ及びＢ系タイマの実際の照合時における処理状態を示す信号ＴＡ1，ＴＢ１である。（ｇ）は上記の（ｄ），（ｆ）の信号の一致状態及び不一致状態を示す信号である。また、ｔ1はタイマの１カウントの間隔を示す時間であり、ｔ2はＡ系タイマとＢ系タイマの動作開始時点の差を示す時間であり、ｔ3は制御処理周期（スキャン周期）すなわちメインプログラムの走行周期を示している。
【０１１７】
図１８（ａ），（ｃ）から明らかなように、Ａ系タイマの信号ＣＡ2が「１」になっている状態が検出されるのはスキャン信号Ｓ3の立ち上がり時点からであり、それ故、実際の照合時におけるＡ系タイマの処理状態は図１８（ｄ）の信号ＴＡ1によって示される。同様に、図１８（ｂ），（ｅ）から明らかなように、Ｂ系タイマの信号ＣＢ3が「１」になっている状態が検出されるのはスキャン信号Ｓ5の立ち上がり時点からであり、それ故、実際の照合時におけるＢ系タイマの処理状態は図１８（ｆ）の信号ＴＢ1によって示される。そして、図１８（ｇ）に示されるように、信号ＴＡ1，ＴＡ2はスキャン信号Ｓ3，Ｓ4の期間においては互いに不一致の状態となっている。
【０１１８】
したがって、もし上記のスキャン信号Ｓ3，Ｓ4の期間においてＡ系とＢ系との照合を行った場合には、両系のタイマ処理状態が一致しないために照合エラーとなって、故障を検知したと判断されてしまうことになる。しかし、この場合は実際にＡ系又はＢ系に故障が発生したわけではなく、上記の故障検知は誤検知である。
【０１１９】
そこで、本実施形態ではこのような誤検知を防止するために、両系のタイマの処理状態の不一致を検出したとしても、所定時間の間はこの不一致を無効とする制御処理を行うようにしている。図１８の例では、タイマの１カウントの時間ｔ1がスキャン周期ｔ3よりも大きいので、少なくとも１カウント時間だけ待たないと、両系のタイマの処理状態は確実には一致状態とならない。例えば、ｔ1を１００ｍｓ、ｔ3を４０ｍｓとした場合に、３スキャンの間（Ｓ3，Ｓ4，Ｓ5）は不一致を検出したとしてもこの不一致を無効とする処理を行い、４スキャン連続で（Ｓ3〜Ｓ6）不一致を検出した場合にはじめてこの不一致を有効とする処理を行うようにしている。図１８の例では、タイマの１カウントの時間ｔ1がスキャン周期ｔ3よりも大きい場合につき説明したが、ｔ1がｔ3よりも充分に小さい場合は、１スキャン時間だけ待てば両系のタイマの処理状態は一致した状態となる。
【０１２０】
【発明の効果】
以上のように、本発明によれば、各制御系が、現場機器との間の信号の入出力結果について、自系統側と１つの他系統側との間で一致するか否かについて共有メモリを用いて照合する機能を有し、全ての制御系の照合結果の組合せが所定の場合にのみ前記現場機器に対する制御を実行するようにしており、また、自系統側又は照合相手の他系統側が正常状態又は故障状態のいずれにあるかをヘルシー回路を用いて検知する機能を有し、いずれかの系統のヘルシー回路から故障信号を入力した場合は制御動作を停止するようにしているので、簡単な構成によって、フェイルセーフ性を向上させることができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態の構成を示すブロック図。
【図２】図１における入力ユニット８Ａ，８Ｂ、及びこの入力ユニットと信号の授受を行うＡ系コントローラ１Ａ，Ｂ系コントローラ１Ｂの構成を示すブロック図。
【図３】図２の入力ユニットの代表的な故障モードを示した図表。
【図４】図１における出力ユニット９Ａ，９Ｂ、及びこの出力ユニットと信号の授受を行うＡ系コントローラ１Ａ，Ｂ系コントローラ１Ｂの構成を示すブロック図。
【図５】図４の動作を説明するためのタイムチャート。
【図６】図４の出力ユニットの代表的な故障モードを示す図表。
【図７】図１におけるヘルシー回路１０Ａ，１０Ｂの構成図。
【図８】図８の動作を説明するためのタイムチャート。
【図９】図７におけるマイクロプロセッサ・ユニット２Ａの構成を示すブロック図。
【図１０】本発明の第２の実施形態の構成を示すブロック図。
【図１１】図１１の実施形態に係る電子踏切制御装置（鉄道用保安制御装置）を用いて構成した電子踏切制御システム（鉄道用保安制御システム）の構成図。
【図１２】図１０におけるヘルシー回路７９Ａ，７９Ｂ，７９Ｃの構成図。
【図１３】図１０の動作を説明するためのフローチャート。
【図１４】図１０のエラー処理が行われる主な場合を説明するためのフローチャート。
【図１５】図１０における各系のコントローラ内の電源回路をオフにする場合の態様を示す図表。
【図１６】図１０における各系のコントローラ内の電源回路をオフにするための構成図。
【図１７】図１６の動作を説明するためのタイムチャート。
【図１８】図１０における各系のコントローラが他系との間で照合動作を行う場合に、各系のタイマ同士の間におけるカウントタイミングのずれに起因する照合エラーを排除するための技術を説明するためのフローチャート。
【図１９】従来の鉄道用保安制御装置の要部の構成を示すブロック図。
【符号の説明】
１Ａ，１ＢＡ系及びＢ系マイクロプロセッサ・コントローラ
２Ａ，２Ｂマイクロプロセッサ・ユニット
３Ａ，３Ｂ記憶部
４Ａ，４Ｂ記憶部
５Ａ，５Ｂ入出力インタフェイス
６Ａ，６ＢＭＰＵバス
７Ａ，７ＢＩ／Ｏバス
８Ａ，８Ｂ入力ユニット
９Ａ，９Ｂ出力ユニット
１０Ａ，Ｂ１０ヘルシー回路
１１Ａ，１１Ｂ出力回路
１２Ａ，１２Ｂトランス
１３Ａ，１３Ｂリレー
１４Ａ，１４Ｂヘルシーリレー接点
１５Ａ，１５ＢＩ／Ｏバスコントローラ
１６Ａ，１６Ｂ共有メモリ
１７リレー
１８リレー接点
１９Ａ，１９Ｂ抵抗
２０Ａ，２０Ｂフォトカプラ
２１Ａ，２１Ｂ発光ダイオード
２２Ａ，２２Ｂフォトトランジスタ
２３Ａ，２３Ｂフォトカプラ
２４Ａ，２４Ｂ発光ダイオード
２５Ａ，２５Ｂフォトトランジスタ
２６Ａ，２６Ｂ故障診断回路
２７Ａ，２７Ｂ信号入力回路
２８Ａ，２８Ｂ比較照合回路
２９Ａ，２９Ｂチェック信号発生回路
３０Ａ，３０Ｂフォトカプラ
３１Ａ，３１Ｂ発光ダイオード
３２Ａ，３２Ｂフォトトランジスタ
３３Ａ，３３Ｂフォトカプラ
３４Ａ，３４Ｂ発光ダイオード
３５Ａ，３４Ｂフォトトランジスタ
３６Ａ，３６Ｂフォトカプラ
３７Ａ，３７Ｂ発光ダイオード
３８Ａ，３８Ｂフォトトランジスタ
３９Ａ，３９Ｂ抵抗
４０ダイオード４０
４１抵抗４１
４２Ａ，４２Ｂ出力信号駆動回路
４３Ａ，４３Ｂ故障検出回路
４４Ａ，４４Ｂチェック信号発生回路
４５Ａ，４５Ｂ接点リードバック回路
４６Ａ，４６Ｂダイオード
４７制御処理手段
４８交番信号発生手段
４９カウンタ
５０走行フラグ
５１カウンタ
６１第１の制御処理端末装置
６２第２の制御処理端末装置
６３〜６６入出力処理端末装置
６７〜７０現場機器
７１Ａ，７１Ｂ，７１ＣＡ系、Ｂ系及びＣ系マイクロプロセッサ・コントローラ
７２Ａ，７２Ｂ，７２Ｃマイクロプロセッサ・ユニット
７３Ａ，７３Ｂ，７３Ｃメモリ部
７４Ａ，７４Ｂ，７４ＣＬＡＮ制御部
７５Ａ，７５Ｂ，７５ＣＩ／Ｏバス・インタフェイス
７６Ａ，７６Ｂ，７６ＣＩ／Ｏバス・インタフェイス
７７Ａ，７７Ｂ，７７Ｃ入力ユニット
７８Ａ，７８Ｂ，７８Ｃ出力ユニット
７９Ａ，７９Ｂ，７９Ｃヘルシー回路
８０〜８２共有メモリ
８３現場機器入力信号モジュール
８４現場機器出力信号モジュール
８５Ａ1，８５Ａ2 出力回路
８６Ａ1，８６Ａ2 トランス
８７Ａ1，８７Ａ2 ダイオード
８８Ａ1，８８Ａ2 リレー
８９Ａ1，８９Ａ2 ヘルシーリレー接点
９０オンタイマリレー
９１Ａ系電源リレー
９２〜９７接点
９８主接点
１０１Ａ，１０１Ｂマイクロプロセッサ・ユニット
１０２Ａ，１０２Ｂメモリ
１０３クロック回路
１０４Ａ，１０４Ｂバス１０４
１０５バス照合・交番信号出力回路
１０６照合異常検出回路[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a railway safety control device and a security control system.
[0002]
[Prior art]
In general, even if a failure occurs in a railway train control device, the device is always in a safe state so that it can avoid a dangerous state. Such a function is called a fail-safe function. For example, in a signal control device, the failure state on the safe side means that the signal (red light) that prohibits the progression of the train is incorrect even though a signal (blue light) that permits the progression of the train should be output. On the other hand, the failure state on the dangerous side is a signal that permits the train to travel even though it should output a signal that prohibits the train from traveling (red signal). (Blue light) is in a wrong state. Moreover, in the railroad crossing control device, the failure state on the safety side is a state in which a signal for lowering the breaker is erroneously output even though a signal for raising the breaker should be output, On the other hand, the dangerous failure state is a state in which a signal for raising the breaker is erroneously output even though a signal for lowering the breaker should be outputted.
[0003]
FIG. 19 is a block diagram showing a configuration of a main part of a conventional railway safety control device that requires such a fail-safe function. This control device has a double system configuration consisting of an A system and a B system, and the A system and the B system have microprocessor units 101A and 101B and memories 102A and 102B, respectively. These microprocessor units 101 </ b> A and 101 </ b> B are running while being synchronized with a clock signal from the clock circuit 103.
[0004]
A bus verification / alternating signal output circuit 105 is connected to the microprocessor units 101A and 101B via buses 104A and 104B. The bus collation / alternating signal output circuit 105 collates the signals of the microprocessor units 101A and 104B appearing on the buses 104A and 104B, and outputs the collation result to the collation abnormality detection circuit 106 as to whether or not they match. doing. The bus verification / alternating signal output circuit 105 outputs an alternating signal at all times. If the two match, the output of the alternating signal is continued to allow the microprocessor units 101A and 101B to run. To do.
[0005]
However, if a mismatch between the two signals occurs even once, the bus verification / alternating signal output circuit 105 stores this mismatch information and stops the output of the subsequent alternating signal. When the alternating signal from the bus verification / alternating signal output circuit 105 is stopped, the verification error detection circuit 106 detects a verification error and outputs a reset signal to the microprocessor units 101A and 101B. When the microprocessor units 101A and 101B are reset, there is no data to be collated by the bus collation / alternating signal output circuit 105, and collation is inconsistent and the alternating signal cannot be output.
[0006]
Since both the microprocessor units 101A and 101B stop running in a reset state (a safe state), the above fail-safe function is ensured.
[0007]
[Problems to be solved by the invention]
As described above, the conventional railroad safety control device has a fail-safe function secured by the fail-safe circuit configured as shown in FIG. However, the fail-safe circuit shown in FIG. 19 is usually configured by dedicated hardware. Therefore, every time a high-performance microprocessor unit or microcomputer is developed, dedicated hardware must be developed, resulting in a great deal of labor and cost.
[0008]
Moreover, although semiconductor elements are used in many places in recent railway safety control devices, the fail-safe function may not be ensured depending on the location or mode of failure of these semiconductor elements. It was very difficult to improve the safety more than a certain level.
[0009]
The present invention has been made in view of the above circumstances, and an object of the present invention is to provide a railway safety control device and a safety control system capable of improving the fail-safe property with a simple configuration.
[0010]
[Means for Solving the Problems]
As means for solving the above-mentioned problems, the invention described in claim 1 has at least two or more control systems capable of controlling field devices, and each of the two or more control systems is a dedicated microprocessor. In the railway safety control device having a controller, each control system is A dedicated input unit that inputs a signal from the field device, and a dedicated output unit that outputs an output signal to the field device and whose signal output path is connected in series between the local system side and the other system side A shared memory for storing the input / output results of the own system side and one other system side via the input unit and the output unit, an alternating signal output circuit for outputting an alternating signal, and an alternating from the alternating signal output circuit A transformer that inputs a signal to the primary side and outputs only the alternating signal of the alternating signal from the secondary side and a healthy relay contact that operates by rectifying the alternating signal from the transformer. A healthy circuit that outputs a signal indicating whether the output unit on the other system side is in a normal state or in a failure state, and the micro of each control system The processor controller has a function of diagnosing a failure of the own system side input unit using the shared memory, and a function of collating with a failure diagnosis result of one other system side input unit. When the input signal of the input unit on the side does not match the input signal of the input unit on the other system side, the control operation of both control systems is stopped and the dangerous side failure is reliably detected based on both functions In addition, when the output signal of the output unit on the own system side and the output signal of one output unit on the other system side do not match, the control operation of both control systems is stopped. It is characterized by that.
[0012]
The invention according to claim 2 is the invention according to claim 1, The input unit of each control system includes an input semiconductor element provided on a signal input path from the field device, and a check semiconductor element connected in series to the input semiconductor element, The microprocessor controller of each control system has a check signal generation circuit for outputting a check signal or stopping the output in order to detect a continuity failure or an open failure of the input semiconductor element. And
[0014]
The invention according to claim 3 is the invention according to claim 1 or 2, Each of the output units includes an output semiconductor element provided on the signal output path, a fault detection semiconductor element that indicates an on / off state opposite to the on / off state of the output semiconductor element, and the fault detection semiconductor A check semiconductor element that periodically checks whether or not the failure detection semiconductor element itself has a failure by periodically turning on and off a current flowing through the element, and each of the microprocessor controllers includes the output semiconductor element. An output signal drive circuit for turning on and off the circuit, a failure detection circuit for detecting the presence or absence of a failure in the output semiconductor element by detecting an on / off state of the failure detection semiconductor element, and a continuity failure or open of the failure detection semiconductor element In order to detect a failure, a check signal is generated or output is stopped periodically. And a contact readback circuit for reading the relay contact state of the field device, and determining a failure state for each output unit based on the input state or output state of each circuit. It is characterized by that.
[0015]
The invention according to claim 4 is the invention according to claim 3, Each of the microprocessor controllers can detect that either one of the output semiconductor element of the output unit on the own system side or the output semiconductor element of the output unit on the one other system side is in a semi-conducting state. It is characterized by being.
[0016]
The invention according to claim 5 3. The microprocessor controller of each control system according to claim 1, wherein the microprocessor controller of each control system generates the alternating signal by interrupting an interrupt program to the main program every predetermined time, and a control processing means for executing a main program. The control processing means and the alternating signal generation means monitor the number of interrupts of the interrupt program during one processing time of the main program, and the value of the number of interrupts is The control of the microprocessor controller is stopped when it is out of the predetermined range.
[0017]
The invention according to claim 6 is the invention according to any one of claims 1 to 5, The shared memory is capable of storing the rewritten contents when a part of the program contents of the microprocessor controller on the own system side or the one other system side is rewritten. Yes, when a part of the program content of either one of the microprocessor controller on the own system side or the one other system side is rewritten, the other program content is similarly rewritten. It is characterized by that.
[0018]
The invention according to claim 7 is the invention according to any one of claims 1 to 6, When a failure occurs in any of the control systems, the controller's microprocessor controller is forcibly disconnected from the other control systems. It is made to stop.
[0019]
The invention described in claim 8 The invention according to claim 1, wherein the control system is composed of first to third control systems, and when any one of the control systems fails, the remaining two control systems fail. Only when it is detected using the collation function that control is not performed, control of the field device is continued by the remaining two control systems.
[0020]
The invention according to claim 9 is the invention according to claim 8, If any two control systems detect a failure of the remaining control system during execution of the control operation by all of the first to third control systems, the microprocessor controller of the remaining one control system The power supply circuit of the control system is turned off, and one control system detects a failure of the other control system during execution of the control operation by any two of the first to third control systems. In this case, the power supply circuits of the microprocessor controllers of both control systems are turned off.
[0021]
The invention according to claim 10 is the invention according to any one of claims 1 to 9, The microprocessor controller of each control system determines a predetermined operation execution time point in the main program based on the count value of the timer, and at this time, when the verification between the own system side and one other system side is performed By invalidating the collation result in a period from this point in time until a predetermined time elapses, a collation error caused by a deviation in count timing between the timer on the own system side and the timer on one other system side can be obtained. It is characterized by being excluded.
[0022]
The invention according to claim 11 A plurality of input / output terminal devices that exchange signals with field equipment and at least one control processing terminal device are connected by a communication network, and the control processing terminal device connects these plurality of input / output terminal devices. In a control system for controlling a plurality of field devices via the input / output terminal device and the control processing terminal device, The method according to claim 1. It is characterized by comprising a railway safety control device.
[0023]
The invention of claim 12 is the invention of claim 11, The control processing terminal device is composed of a first control processing terminal device for current train operation and a second control processing terminal device in which a new application program is installed. In a time zone where the number of train operations is large, The first control processing terminal device exchanges signals with all input / output terminal devices, and the first control processing terminal device communicates with a specific input / output terminal device in a time zone when the number of train operations is small. The second control processing terminal device transmits / receives signals to / from the remaining input / output terminal devices.
[0024]
The invention of claim 13 is the invention of claim 12, Each of the input / output terminal devices has a change-over switch that determines which of the first control processing terminal device and the second control processing terminal device is to send and receive signals. Control is performed by the second control processing terminal device.
[0025]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. However, in the following embodiments, an electronic railroad crossing control device and an electronic railroad crossing control system will be described as examples of the railroad safety control device and the railroad security control system, but the application of the technology of the present invention is limited to these. However, the present invention can be applied to other control devices and control systems such as signal control devices and signal control systems.
[0026]
FIG. 1 is a block diagram showing the configuration of the first embodiment. The first embodiment has two control systems, an A system (first control system) and a B system (second control system).
[0027]
In FIG. 1, first, the configuration of the A system will be described. The A system microprocessor controller 1A includes a microprocessor unit 2A, a storage unit 3A composed of ROM, a storage unit 4A composed of RAM, and an input / output interface. 5A, which are connected to each other by the MPU bus 6A.
[0028]
The input / output interface 5A is connected to an I / O bus 7A, and an input unit 8A, an output unit 9A, and a healthy circuit 10A are also connected to the I / O bus 7A. The healthy circuit 10A includes an output circuit 11A, a transformer 12A, a relay 13A, a healthy relay contact 14A, and the like. The I / O bus 7A is controlled by an I / O bus controller 15A, and a shared memory 16A is connected to the I / O bus controller 15A.
[0029]
Since the configuration of the B system is the same as that of the A system, the redundant description of the B system is omitted. A relay 17 of a field device is connected between the output units 9A and 9B, and the circuit breaker is controlled, for example, by turning the relay contact 18 on and off. The state of the relay contact 18 is input to the input units 8A and 8B as a readback (RB) signal.
[0030]
The microprocessor unit 2A performs data input / output control, various calculations, serial data transmission, and the like. The storage unit 3A stores a program for the microprocessor unit 2A. In this embodiment, the storage unit 3A is formed of an EEPROM that can be electrically written and erased. The storage unit 4A is a memory necessary for the operation of the user application program and the microprocessor unit 2A. The input / output interface 5A serves as an interface between the MPU bus 6A and the I / O bus 7A, and is configured by a gate array.
[0031]
The input unit 8A inputs, for example, a signal notifying the presence of a train in a predetermined section, or the above-described readback signal, and sends it to the A-system microprocessor controller 1A.
[0032]
The output unit 9A outputs a control signal from the A-system microprocessor controller 1A and controls the relay 17. However, as will be described later, the relay 17 operates only when the output values of the output units 9A and 9B coincide with each other in the operation direction.
[0033]
The shared memories 16A and 16B store their own input data and output data, respectively. However, the control of the I / O bus controllers 15A and 15B allows the controllers 1A and 1B to read not only the contents of the own shared memory but also the contents of the other shared memory.
[0034]
The healthy circuit 10A is a circuit that outputs a signal indicating whether or not the own system is in a normal state. In the normal state, the alternating signal from the output circuit 11A excites the relay 13A via the transformer 12A, and the healthy relay contact 14A is turned on. On the other hand, in the case of a failure state, the healthy relay contact 14A is turned off. When the healthy relay contact 14A is off, the A system is of course stopped, but when the healthy relay contact 14A is turned off, the healthy relay contact 14B is also turned off, and the B system eventually stops controlling. It has become.
[0035]
In the configuration of FIG. 1 described above, the controller portion is separated from the other portions by the I / O interface, and is highly independent. Therefore, a highly versatile board computer or the like can be adopted, and by replacing only the microprocessor with a high-performance model, it is possible to easily improve the function and cope with the new model. ing.
[0036]
FIG. 2 is a block diagram showing the configuration of the input units 8A and 8B in FIG. 1 and the configuration of the microprocessor controllers 1A and 1B that exchange signals with the input units 8A and 8B. In this figure, an input unit 8A includes a resistor 19A, a photocoupler 20A (input semiconductor element) formed by a light emitting diode 21A and a phototransistor 22A, and a photocoupler 23A (formed by a light emitting diode 24A and a phototransistor 25A). Check semiconductor element).
[0037]
The controller 1A includes a failure diagnosis circuit 26A, a signal input circuit 27A, a comparison / collation circuit 28A, and a check signal generation circuit 29A. The input unit 8B and the controller 1B have the same configuration as the input unit 8A and the controller 1A.
[0038]
An input contact signal S1 is input to the input units 8A and 8B. The input contact signal S1 is a binary signal that informs whether or not a train is present within a predetermined section near the railroad crossing. “0” indicates that there is a train and “1” indicates that there is no train. Yes. Here, the fail-safe function of the input units 8A and 8B will be described. The fail-safe property when the signal S1 is input reliably prevents the signal “0” from being erroneously determined as the signal “1”. To do.
[0039]
In other words, if a failure occurs in the input unit, the actual input signal “0” (the train is present) is mistakenly recognized as the input signal “1” (the train is not present) and the breaker is opened. Such a failure must be avoided because it could lead to an accident. Such a failure is called a “dangerous failure”. On the other hand, a fault that causes the actual input signal “1” (no train) to be erroneously recognized as the input signal “0” (the train exists) is not directly connected to a serious accident. Such a failure is called a “safety failure”. The configuration of FIG. 2 is for reliably preventing an accident caused by the above-mentioned dangerous failure.
[0040]
Next, the operation of FIG. 2 will be described. First, consider a case in which no failure has occurred in any of the input units 8A and 8B. For example, when the signal “0” is input to the input units 8A and 8B as the input contact signal S1, no current flows through the path of the resistor 19A, the light emitting diode 21A, and the phototransistor 25A in the input unit 8A. The signal input circuit 27A also inputs “0”. This input result is written into the shared memory 16. The same operation is performed in the input unit 8B and the controller 1B.
[0041]
The comparison / collation circuit 28A reads the input result of the signal input circuit 27B written in the shared memory 16, and performs comparison / collation with the input result of the signal input circuit 27A. The collation result is sent to the failure diagnosis circuit 26A, and based on this, the failure diagnosis circuit 26A performs failure diagnosis. The comparison / collation circuit 28B and the failure diagnosis circuit 26B in the controller 1B perform the same operation. In this case, the comparison results of the comparison / collation circuits 28A and 28B match, and therefore the failure diagnosis circuits 26A and 26B perform a diagnosis that both are normal.
[0042]
However, when the phototransistor 22A in the input unit 8A has a conduction failure, the signal input circuit 27A inputs "1" even though the actual input contact signal S1 is "0". In this case, the conduction failure of the phototransistor 22A is a dangerous failure, but the configuration shown in FIG. 2 can eliminate an input result based on such a failure.
[0043]
That is, the check signal generation circuit 29A periodically outputs “0” signal and “1” signal alternately as check signals. If the check signal generation circuit 29A is outputting a “0” signal to the light emitting diode 24A, the phototransistor 25A is in an off state, so that no current flows through the light emitting diode 21A. It must be off. Nevertheless, the signal input circuit 27A inputs “1” because the conduction failure has occurred in the phototransistor 22A. The failure diagnosis circuit 26A determines that the input unit 8A is in failure based on the output state of the check signal generation circuit 29A and the input result of the signal input circuit 27A.
[0044]
On the other hand, when the check signal generation circuit 29A is outputting the “1” signal, it is not clear whether or not the input unit 8A has failed even if the signal input circuit 27A inputs “1”. Absent. However, in this case, since the comparison / collation circuit 28A collates with the B system, the failure diagnosis circuit 26A can determine that a failure has occurred in the input unit 8A based on the collation result.
[0045]
Further, an open failure may occur in the phototransistor 22A when the input contact signal S1 is “0”. In this case, the signal input circuit 27A inputs “0” regardless of whether the output signal of the check signal generation circuit 29A is “0” or “1”, and shows the same input result as in the normal state. Therefore, the failure diagnosis circuit 26A is determined to be normal. That is, the controller 1A determines that the controller is normal, but in reality, a failure is latent. However, as described above, this failure is a safety-side failure, and even if it is not detected immediately, it is not directly linked to a serious accident, and is an acceptable oversight.
[0046]
FIG. 3 is a chart showing typical failure modes of the input unit. The above-described example corresponds to items 1 to 4. When the “0” signal and the subsequent “1” signal are regarded as one set of signals, the item 1 and the item 2 or the item 3 and the item 4 may be described as one item at a glance. It seems possible. However, since the normal / failure state of the input unit may change instantaneously, in order to pursue the fail-safe function, the time when the check signal generation circuit 29A outputs the “0” signal and the “1” signal It is necessary to make a judgment of normality or failure independently at each point of time when the signal is output. Therefore, in FIG. 3, the items 1, 2, items 3, 4,..., Items 19, 20, etc. are not shown together but are shown as single items.
[0047]
FIG. 4 is a block diagram showing the configuration of the output units 9A and 9B in FIG. 1 and the configuration of the microprocessor controllers 1A and 1B that exchange signals with the output units 9A and 9B. In this figure, the output unit 9A includes a photocoupler 30A (output semiconductor element) formed by a light emitting diode 31A and a phototransistor 32A, and a photocoupler 33A (fault detection semiconductor formed by a light emitting diode 34A and a phototransistor 35A. Element), a photocoupler 36A (semiconductor element for check) formed by a light emitting diode 37A and a phototransistor 38A, and a resistor 39A. The output unit 9B has the same configuration as the output unit 9A, but additionally includes a diode 40 and a resistor 41.
[0048]
The controller 1A includes an output signal drive circuit 42A, a failure detection circuit 43A, a check signal generation circuit 44A, and a contact readback circuit 45A. The controller 1B has the same configuration as the controller 1A. Moreover, the relay 17 and the relay contact 18 shown also in FIG. 1 are arrange | positioned in field devices, such as a circuit breaker control apparatus.
[0049]
A photocoupler 30A is connected to the high-voltage side terminal of the 24-volt power supply via series-connected healthy relay contacts 14A and 14B, followed by connection of one end of the relay 17 via the photocoupler 30B and diode 40. The other end of the relay 17 is connected to a 0 volt terminal of a 24 volt power source. Therefore, the signal output path of the output unit 9A and the signal output path of the output unit 9B are connected in series with each other.
[0050]
When the relay 17 is excited by simultaneously outputting the "1" signal as the excitation signal to the relay 17 from the output units 9A and 9B, the relay contact 18 is closed and the circuit breaker is raised. . In addition, if a “0” signal as a non-excitation signal is output from the output units 9A and 9B to the relay 17 and the relay 17 is in a non-excitation state, the relay contact 18 is opened and the breaker is lowered. It is in a state. Therefore, the fail-safe property of the output unit is that the “1” signal is erroneously output and the breaker is raised despite the fact that the breaker must be lowered by outputting the “0” signal. It is to reliably prevent failure. As in the case of the input unit in FIG. 2, the configuration of the output unit in FIG. 4 treats the “1” signal as a dangerous signal and the “0” signal as a safe signal so that accidents caused by dangerous failures can be assured. It is for preventing.
[0051]
Next, the operation of FIG. 4 will be described. When both the A system and the B system are functioning normally, both the healthy relay contacts 14A and 14B are on. Now, if a “0” signal is output from one or both of the output signal drive circuits 42A and 42B, no current flows through the path of the phototransistors 32A and 32B and the diode 40, so the relay 17 is in an unexcited state. Yes, so the breaker is in a lowered state. At this time, the relay contact 18 is off, and the contact readback circuits 45A and 45B detect the “1” signal. On the other hand, if the “1” signal is output from both of the output signal drive circuits 42A and 42B, current flows through the paths of the phototransistors 32A and 32B and the diode 40, so that the relay 17 is in an excited state, and therefore the circuit breaker is It goes up. At this time, the relay contact 18 is turned on, and the contact readback circuits 45A and 45B detect the “0” signal.
[0052]
As described above, in the state where no current flows through the paths of the phototransistors 32A and 32B and the diode 40, a weak current flows through the resistor 39A, the light emitting diode 34A side, the resistor 39B, and the light emitting diode 34B side, respectively. The circuits 43A and 43B input a “1” signal. On the other hand, in a state where current flows through the path of the phototransistors 32A and 32B and the diode 40, no weak current flows through the resistor 39A, the light emitting diode 34A side and the resistor 39B and the light emitting diode 34B side, and the failure detection circuits 43A and 43B A “0” signal is input.
[0053]
The failure of the phototransistors 32A and 32B can be detected by the failure detection circuits 43A and 43B. That is, for example, when the phototransistor 32A has a conduction failure, the failure detection circuit 43A inputs the “0” signal even though the output signal drive circuit 42A outputs the “0” signal ( If it is normal, the circuit 43A should input a “1” signal.) Therefore, the conduction failure of the phototransistor 32A can be detected. When the phototransistor 32A has an open failure, the failure detection circuit 43A inputs the “1” signal even though the “1” signal is output from the output signal drive circuit 42A (normally) If there is, the circuit 43A should input a “0” signal.) Therefore, an open failure of the phototransistor 32A can be detected.
[0054]
As described above, the failure of the phototransistor 32A can be detected by the photocoupler 33A and the failure detection circuit 43A. However, when the phototransistor 35A of the photocoupler 33A fails, particularly when the failure is a conduction failure, the fail-safe property cannot be maintained. This is because when the phototransistor 35A has a continuity failure, the input of the failure detection circuit 43A is always "1". Therefore, a continuity failure occurs in the phototransistor 32A, and the "1" signal, which is a dangerous signal, is erroneously relayed. This is because it is impossible to detect this even if it is output to 17 (in contrast to this, in the case of an open failure of the phototransistor 35A, the input of the failure detection circuit 43A is always "0" and the controller itself relays. Since it recognizes that the “1” signal, which is a dangerous signal, is output to No. 17, there is no direct connection to a serious accident. Therefore, in order to ensure the fail-safe property, the conduction failure of the phototransistor 35A is an event that should be reliably detected. The photocoupler 36A and the check signal generation circuit 44A are provided for detecting a conduction failure of the phototransistor 35A, which is an event that should be reliably detected. The check signal generation circuit 44A is periodically set to “0”. The signal and the “1” signal are alternately output.
[0055]
That is, the check signal generation circuit 44A alternately outputs “1” signal and “0” signal as check signals to the light emitting diode 37A, and turns on / off the phototransistor 38A. Thereby, the current flowing through the light emitting diode 34A is forcibly turned on and off. Therefore, when the check signal generation circuit 44A outputs a check signal while the failure detection circuit 43A inputs a “1” signal, the signal input state of the failure detection circuit 43A does not change according to the check signal, If the “1” signal is input, it can be understood that a conduction failure has occurred in the phototransistor 35A.
[0056]
FIG. 5 is a time chart for explaining the operations of the output signal drive circuit 42A, the contact readback circuit 45A, the check signal generation circuit 44A, and the failure detection circuit 43A. FIG. ) Shows a dangerous failure, and (c) shows a safe failure. The “signal to be output” means a signal that should be output correctly to the relay 17.
[0057]
As shown in FIG. 5A, in the normal case, the signal input to the failure detection circuit 43A is always “0” when the check signal generation circuit 44A outputs a “0” signal. In addition, when the check signal generation circuit 44A outputs a "1" signal, the signal is the same as the signal read by the contact readback circuit 45A.
[0058]
However, as shown in FIG. 5B, when a conduction failure occurs in the phototransistor 35A, the failure detection circuit 43A inputs the “1” signal even though the check signal is “0”. Yes. For this reason, the system is immediately stopped at this point to prevent the occurrence of a serious accident caused by a dangerous failure. If the operation is continued without stopping the system at this time, even if a conduction failure occurs in the phototransistor 32A, it cannot be detected.
[0059]
In addition, as shown in FIG. 5C, when an open failure occurs in the phototransistor 35A, the contact readback circuit 45A reads the “0” signal during this period even when the check signal changes. No fault is detected. However, as described above, even if an open failure of the phototransistor 35A cannot be detected during this period, it does not directly lead to a serious accident. If an open failure occurs in the phototransistor 32A in this state, the signal input to the failure detection circuit 43A becomes “0” even though the check signal is “1”, and the signal of the contact readback circuit 45A Since they do not match, an open failure of the phototransistor 32A is detected and the system is stopped. FIG. 6 shows a typical failure mode of the output unit including the failure as described above.
[0060]
By the way, the phototransistors 32A and 32B in FIG. 4 have a possibility of falling into a peculiar state. For example, when the output signal drive circuit 42A outputs a “0” signal, the peculiar state may increase the leakage current when the phototransistor 32A is unsaturated, thereby exciting the relay 17. This means a state in which a certain level of current is flowing (this state is referred to as a “semi-conductive state”). In this semi-conducting state, the relay 17 is not actually energized, and no failure is detected because the failure detection circuit 43A also inputs the “1” signal. However, if a photoconductive failure occurs in the phototransistor 32B while the phototransistor 32A is in such a semiconductive state, the relay is performed even though the output signal drive circuits 42A and 42B output a “0” signal. 17 is excited and the fail-safe property of the output units 9A and 9B is lost. In order to reliably prevent the occurrence of a serious accident and improve safety, it is necessary to reliably detect the occurrence of such a semi-conducting state and promptly stop the system to maintain fail-safety. It is done. According to the configuration of FIG. 4, it is possible to reliably detect such a semiconducting state.
[0061]
That is, when the output signal drive circuit 42A outputs a “0” signal in a normal state, a weak current is output to the output unit 9B through the resistor 39A, the light emitting diode 34A, and the phototransistor 38A. The weak current output is a signal in which “0” and “1” are alternately repeated by the operation of the check signal generation circuit 44A. Therefore, when the phototransistor 38B is turned on by the output of the check signal generation circuit 44B, the failure detection circuit 43B inputs the “1” signal when the signal from the output unit 9A side is “1”. When the signal from the output unit 9A side is “0”, the “0” signal should be input. However, when the phototransistor 32A is in the semi-conducting state, the leakage current increases the current level from the output unit 9A, and the failure detection circuit 43B is in a state where the phototransistor 38B is on. In this case, a "1" signal is always input. By this phenomenon, it can be detected that the phototransistor 32A is in a semi-conducting state. In the above example, it is determined that the A-system side phototransistor 32A is in a semi-conductive state based on the input state of the B-system side failure detection circuit 43B. Even when a state has occurred, it can be determined based on the input state of the fault detection circuit 43A on the A system side.
[0062]
Next, the healthy circuits 10A and 10B shown in FIG. 1 will be described. FIG. 7 is a configuration diagram of the healthy circuits 10A and 10B. In FIG. 7, taking the A system as an example, the microprocessor unit 2A of the controller 1A generates an alternating signal. This alternating signal is sent to the healthy circuit 10A via the input / output interface 5A and the I / O bus 7A. Sent out. In the healthy circuit 10A, the output circuit 11A outputs the alternating signal to the primary side of the transformer 12A, and the DC side is cut from the secondary side, and only the AC component of the alternating signal is output. The alternating signal output from the secondary side of the transformer 12A is rectified by the diode 46A, the relay 13A is excited by this rectified current, and the healthy relay contact 14A is turned on.
[0063]
As described above, the relay 13A is indirectly excited based on the alternating signal generated by the microprocessor unit 2A. Therefore, when the microprocessor unit 2A detects a failure, the relay 13A is always de-energized and healthy. The relay contact 14A is turned off. That is, when the microprocessor unit 2A detects a failure, the microprocessor unit 2A normally clears all the outputs to “0”, but the output may not be cleared depending on the type of failure. The "1" signal continues to be output from the microprocessor unit 2A to the output circuit 11A. In this case, the signal supplied from the output circuit 11A to the primary side of the transformer 12A is not an alternating signal. Since the secondary side output of the transformer 12A becomes zero, the relay 13A is not excited. Therefore, when the microprocessor unit 2A detects a failure, the relay 13A is always de-energized and the healthy relay contact 14A can be turned off. As shown in FIG. 4, since the healthy relay contacts 14A and 14B are connected to the power supply circuit in a state of being connected in series, the relay 17 in the field device is never turned on when either one is turned off. Is not excited.
[0064]
FIG. 8 is a time chart showing signal output states of the output circuits 11A and 11B and excitation states of the relays 13A and 13B. In this figure, it is assumed that both the A system and the B system functioned normally at the beginning, but the A system microprocessor unit 2A detected a failure at a certain point in time. Then, since the microprocessor unit 2A immediately clears all outputs, the output of the alternating signal from the output circuit 11A is stopped, and the relay 13A that has been in the excited state until then becomes the non-excited state. The B-system microprocessor unit 2B can detect by the verification function that the A-system microprocessor unit 2A has stopped generating the alternating signal. Therefore, the microprocessor unit 2B also immediately stops generating the alternating signal. Thereby, the output of the alternating signal from the output circuit 11B is also stopped, and the relay 13B is also in a non-excited state.
[0065]
Here, a technique for keeping the time “1” and the time “0” in the alternating signal constant will be described. When outputting an alternating signal, it is usually considered that the microprocessor unit 2A outputs the main program. However, while the processing of the microprocessor unit 2A is normally performed, there is no particular problem because the control processing time of the main program is constant, but this control processing depends on the input status of the input signal from the outside. The time is not constant, and it becomes difficult to keep the time “1” and the time “0” constant.
[0066]
Therefore, in the present embodiment, as shown in FIG. 9, in addition to the control processing means 47 for executing the main program, an alternating signal generating means 48 for executing the interrupt program is provided in the microprocessor unit 2A. A signal is generated. The control processing means 47 has a counter 49 and a running flag 50, and the alternating signal generation means 48 has a counter 51.
[0067]
In order to generate a fail-safe alternating signal with such a configuration, when an abnormality occurs in the main program, it is necessary to stop the traveling by the interrupt program to stop the generation of the alternating signal. On the other hand, even if an abnormality occurs in the interrupt program, it is necessary to stop the traveling by the main program to stop the generation of the alternating signal. The alternating signal cycle is preferably as short as possible, but if the interrupt program runs too frequently, the processing time in the main program will be lost, so that cycle must be selected appropriately. In the example of FIG. 9, the processing time for one time of the main program executed by the control processing unit 47 is 100 to 200 ms, and the interrupt period of the interrupt program executed by the alternating signal generating unit 48 is 5 ms. Therefore, in the normal state, the interrupt program runs 20 to 40 times during one processing time of the main program. An alternating signal of a healthy circuit can be generated using this relationship.
[0068]
Next, the operation of FIG. 9 will be described. In this example, the processing time for one time of the main program is 100 ms, and the normal number of interruptions is 20 ± 1. The control processing means 47 sets the travel flag 50 at the start of one run, adds a count value for the number of runs to the counter 49, and resets the travel flag 50 at the end of one run. On the other hand, when the traveling flag 50 is set, the alternating signal generating means 48 interrupts every 5 ms until the traveling flag 50 is reset, and generates an alternating signal of “1” or “0”. Then, the alternating signal generating means 48 adds the count value for the number of interrupts at this time to the counter 51.
[0069]
When the control processing means 47 finishes one run, resets the run flag 50, and sets the run flag 50 again for the next run, the alternating signal generating means 48 counts the counter 51 at this time. Check the value. Now, assuming that the count value of the counter 51 is 22 times, the control processing unit 47 determines that an abnormality has occurred in the main program, and stops the running of all programs.
[0070]
On the other hand, the control processor 47 also checks the count value of the counter 51 at this time. Therefore, even if some abnormality occurs on the alternating signal generating means 48 side and the count value of the counter 51 becomes 22 as a result, the control processing means 47 stops the running of all programs as an interruption abnormality. Can be made.
[0071]
Note that the control processing unit 47, when an abnormality other than the above-described interruption abnormality (for example, an abnormality such as the result of collation with the input data on the B system side does not match), an error flag not shown in the figure. Set to stop all programs. For this error flag, the alternating signal generating means 48 is also checked, and when the error flag is set, the interruption program runs immediately and the generation of the alternating signal is stopped.
[0072]
According to the configuration shown in FIG. 9, the main program itself detects these failures when the main program causes a failure that takes some processing time for some reason, or a failure that causes the processing time to be too short. Even when it is not possible, a failure can be detected by the interrupt program and the healthy relay can be de-energized. Further, if the interrupt program side has a fault with an abnormally high interrupt frequency or an abnormally low fault, this can be detected by the main program and the healthy relay can be de-energized. That is, an alternating signal having a high-speed and high-accuracy cycle can be output, and fail-safe can be realized. Furthermore, since the alternating signal can be speeded up, the transformers 12A and 12B in the healthy circuits 10A and 10B can be reduced in size, and quick response can be obtained.
[0073]
Next, a technique for efficiently rewriting part of the contents of a program by using the shared memories 16A and 16B shown in FIG. 1 will be described. In general, standard programs for electronic level crossing control devices are prepared, but constants such as timers need to be matched to the actual situation of level crossings at the site. It is normal to change some parts. Such program changes are often made when the electronic level crossing control device is actually installed or based on the operation results after installation. It is desirable that the processing can be easily and reliably executed. According to the configuration of the present embodiment, if a part of the program content is changed for only one of the A system and the B system by the action of the shared memory, the program content of the other system is automatically also changed. Can be changed.
[0074]
That is, the operator at the site operates a PC (personal computer) monitor (not shown in FIG. 1) to store constants such as a timer to be changed in the storage unit 3A via the microprocessor unit 2A. Write. As described above, since the storage unit 3A is formed of an EEPROM, it can be electrically written, and can retain data even when the power supply fails.
[0075]
Data written to the storage unit 3A is also written to the shared memory 16A, but the B-system microprocessor controller 1B reads the contents of the shared memory 16A and writes it to the storage unit 3B and the shared memory 16B of its own system. The A-system microprocessor controller 1A collates the data in the shared memory 16A with the shared memory 16B, and outputs the collation result to the PC monitor. The PC monitor compares the data written in the A system with the data written in the B system as the A system is written, and if they match, the PC monitor displays that the data is normal. If they do not match, the system A microprocessor controller 1A is instructed to stop the system A operation. In order to increase the reliability of the change data, a check code that can detect an error in the data can be transmitted together with the constant data.
[0076]
Thus, according to the configuration of FIG. 1, when changing constants such as timers, if only one of the two microprocessor controllers is changed, the constants of the other system are also automatically updated. Will be changed. Further, since it is possible to simultaneously check whether or not the change contents of the own system and the other system are the same, it is possible to prevent an erroneous constant setting due to a human operation error.
[0077]
Next, a second embodiment of the present invention will be described. FIG. 10 is a block diagram showing the configuration of the second embodiment. The first embodiment shown in FIG. 1 has two control systems, an A system (first control system) and a B system (second control system), but this second embodiment. Has three control systems, and further has a C system (third control system) in addition to the two control systems of the A system and the B system. FIG. 11 is a block diagram of an electronic level crossing control system configured using the electronic level crossing control apparatus shown in FIG.
[0078]
First, the electronic level crossing control system of FIG. 11 will be described first. In this figure, the control systems of the first control processing terminal device 61, the second control processing terminal device 62, and the four input / output processing terminal devices 63 to 66 are connected to each other by A to C LANs. ing. The input / output processing terminal devices 63 to 66 exchange signals with the field devices 67 to 70, respectively.
[0079]
The first control processing terminal device 61 and the second control processing terminal device 62 are host devices of the input / output processing terminal devices 63 to 66, and the field devices 67 to 70 are substantially these first control processing terminal devices. 61 or the second control processing terminal device 62 is controlled via the input / output processing terminal devices 63-66.
[0080]
A program used for the current train operation is implemented in the first control processing terminal device 61, and a newly developed application program is implemented in the second control processing terminal device 62. And all the field devices 67-70 operate in the time zone (daytime) with many train operations, but only the field device 67 operates in the time zone (nighttime) with few train operations, and the field devices 68- 70 is subject to renovation work or testing.
[0081]
Each of the input / output processing terminal devices 63 to 66 includes a changeover switch that determines which of the first control processing terminal device 61 and the second control processing terminal device 62 is to exchange signals with, The control of the changeover switch is performed by the second control processing terminal device 62. In the daytime, all the input / output processing terminal devices 63 to 66 output the input signals from the field devices 67 to 70 only to the first control processing terminal device 61, while only the first control processing terminal device 61 is provided. Outputs signals to the input / output processing terminal devices 63-66. However, when the second control processing terminal device 62 switches the changeover switch to a predetermined position at night, only the input / output processing terminal device 63 receives the input signal from the field device 67 as the first control processing terminal device. On the other hand, the first control processing terminal device 61 outputs a signal only to the input / output processing terminal device 63. The input / output processing terminal devices 64 to 66 output the input signals from the field devices 68 to 70 to the second control processing terminal device 62, while the second control processing terminal device 62 performs the input / output processing. A signal is output to the terminal devices 64-66.
[0082]
According to such a railroad safety control system, it is possible to carry out repair work or tests of railroad crossings provided on other tracks while the operation of trains using specific tracks continues. The efficiency of renovation work can be greatly improved, and the construction period can be shortened.
[0083]
Next, the configuration of FIG. 10 will be described. In this figure, an A-system microprocessor controller 71A has a microprocessor unit 72A, a memory unit 73A, a LAN control unit 74A, and an I / O bus interface 75A. The microprocessor controller 71A is connected to the input unit 77A, the output unit 78A, and the healthy circuit 79A via the I / O bus interface 76A (the configurations of the input unit 77A and the output unit 78A are shown in FIGS. The configuration is substantially the same as that shown in FIG. The B system and the C system have the same configuration as the A system. A shared memory 80 is provided between the A system and the B system, a shared memory 81 is provided between the B system and the C system, and a shared memory 82 is provided between the C system and the A system. .
[0084]
Each system input unit 77A, 77B, 77C receives a signal from the field device 67 (or the field devices 68 to 70) via the field device input signal module 83. The signals from the output units 78A, 78B, 78C are output to the field device 67 via the field device output signal module 84. The state of the healthy relay contact signal from the healthy circuits 79A, 79B, 79C of each system is transmitted to the field device output signal module 84 and further to the field device input signal module 83, and the three systems. If at least two systems are not normal, the on-site equipment output signal module 84 and the on-site equipment input signal module 83 do not operate. The field device input signal module 83 and the field device output signal module 84 are illustrated as conceptual elements for facilitating the understanding of the configuration of FIG. 10, and actually are microprocessors in each controller. -It can be considered as a function of the units 72A, 72B, 72C.
[0085]
FIG. 12 is a configuration diagram of the healthy circuits 79A, 79B, and 79C in FIG. 10 (the configuration of the healthy circuits 79B and 79C is the same as that of the healthy circuit 79A and is omitted). In this figure, the microprocessor unit 72A of the A system microprocessor controller 71A generates an alternating signal, which is sent to the healthy circuit 79A via the I / O bus interfaces 75A and 76A. In the healthy circuit 79A, the two output circuits 85A1 and 85A2 output this alternating signal to the primary side of the transformers 86A1 and 86A2, respectively, and the DC component is cut from the secondary side and only the AC component of the alternating signal is output. Is done. The alternating signals output from the secondary sides of the transformers 86A1 and 86A2 are rectified by the diodes 87A1 and 87A2, respectively, and the relays 88A1 and 88A2 are excited by the rectified currents, and the healthy relay contacts 89A1 and 89A2 are turned on.
[0086]
Since the operation of the healthy circuit 79A in FIG. 12 is substantially the same as that in FIG. 7, the redundant description thereof will be omitted, and only the combination of ON / OFF of the healthy relay contacts between the systems will be described. “Healthy A = B, Healthy A = C,... Healthy C = B” in FIG. 12 indicates a healthy relay contact associated with another system. That is, the alphabet symbol on the left side of the equal symbol indicates the own system side, and the alphabet symbol on the right side of the equal symbol indicates the other system side.
[0087]
For example, when the A-system controller detects a failure of the own system through self-diagnosis, the contacts of A = B and A = C are turned off to stop the running of the own system. At this time, the contact of B = C is kept on on the B system side, but the contact of B = A which is a contact related to the A system is turned off. Similarly, the contact of C = B is kept on on the C system side, but the contact of C = A, which is a contact related to the A system, is turned off.
[0088]
On the other hand, when the A-system controller detects a failure of the other system by its collation function, only the contact related to the other system is turned off. For example, when the A-system controller detects a B-system failure, only the A = B contact is turned off and the A = C contact is turned on. At this time, on the C system side, the C system controller should detect a failure of the B system, and only the contact of C = B should be turned off and the contact of C = A should be turned on. Then, since the contacts A = B and C = B on the A system side and the C system side are turned off, the contacts B = C and B = A on the B system side are also turned off, and the traveling of the B system is stopped. The
[0089]
As described above, the second embodiment shown in FIG. 10 has a triple system configuration of the A system, the B system, and the C system, and the input data or output data of the two systems coincides. In addition, a so-called “2out of 3” method is adopted in which the input data or output data is handled as normal data. There are the following three modes as the modes when the input / output data of the 2 systems among the 3 systems match.
[0090]
(1) Both the A system and B system healthy relay contacts are on (the healthy relay is in an excited state), and both the A system and B system output data (or input data) are “1”.
(2) Both the B system and C system healthy relay contacts are on (the healthy relay is in an excited state), and both the B system and C system output data (or input data) are “1”.
(3) Both the C-system and A-system healthy relay contacts are on (the healthy relay is in an excited state, and both the C-system and A-system output data (or input data) is “1”.
[0091]
For example, when a failure occurs in the B system, the contacts B = C and B = A of the healthy circuit 79B are turned off, and the contacts A = B and C = B of the healthy circuits 79A and 79C are turned off. However, since the contacts A = C and C = A of the healthy circuits 79A and 79C are kept on, the control of the system can be continued by the normal A system and C system (see (3) above). Embodiment).
[0092]
Next, the operation of FIG. 10 will be described based on the flowchart of FIG. However, in FIG. 13, only the operation between the A system and the B system is described, and the redundant description between the B system and the C system and between the C system and the A system is omitted.
[0093]
First, the controllers 71A and 71B perform a synchronization process for starting control by a program. That is, the controllers 71A and 71B write a number indicating the number of processes called “synchronization serial number” in the own system areas 80A and 80B of the shared memory 80, and whether or not the own system synchronization number and the other system synchronization number match. It is determined whether or not synchronization has been achieved by confirming (step 101A, 101B). If synchronization cannot be established, the system waits for a certain period of time. If synchronization cannot be established, the other systems are determined to be faulty, and the healthy relay contacts are turned off to de-energize the healthy relay. When synchronization is established, control processing is started at that timing.
[0094]
After synchronization, each controller reads the input signal from the field device 67 input through the input module 83 and writes it in its own storage areas 80A and 80B. Then, it is determined whether or not the input signal written in the own system matches the input signal written in the other system (steps 102A and 102B). If they do not match, it is determined that the other system is a failure. On the other hand, if they match, arithmetic processing for control is performed (steps 103A and 103B).
[0095]
Each controller writes the arithmetic processing result as an output signal in its own storage areas 80A and 80B, and determines whether the output signal written in its own system matches the output signal written in the other system ( Steps 104A, 104B). If they do not match, it is determined that the other system is a failure. On the other hand, if they match, this is output to the field device 67 via the output module 84.
[0096]
In this way, the A-system side controller performs its own control process, and also functions as a failure detector for the B-system side controller, and the B-system controller also performs its own control process. It also functions as a failure detector for the system controller. Therefore, reliable input / output control can be performed with field devices.
[0097]
FIG. 14 is a flowchart showing, as an example of the A system side, main cases in which error processing is performed, including the synchronization check process, input process, and output process with another system described in FIG. First, the A-system controller 71A performs self-diagnosis as to whether or not there is any abnormality in its own I / O bus (step 1). If there is an abnormality, excitation is output as error processing if it has already been output. The processing output is stopped (step 19), and the control operation is stopped (step 20). The excitation output means that the microprocessor unit 72A generates an alternating signal in FIG. 12 and causes the output circuits 85A1 and 85A2 to output the alternating signal.
[0098]
If there is no abnormality as a result of the self-diagnosis of the controller, the above excitation output is performed (step 2). Then, the controller 71A performs a write test and a read test on the shared memories 80 and 82 (step 3), and performs processing of step 19 if there is an abnormality. Next, an off check of the input unit 77A and the output unit 78A is performed to check whether a continuity failure has occurred (steps 4 and 5). If there is an abnormality, the process of step 19 is performed. Then, the previous control output is read back to check whether or not there is any abnormality (step 6).
[0099]
If there is no abnormality as a result of the check in Steps 4 to 6, as already described in FIG. 13, synchronization with other systems, that is, the B system and the C system is performed (Step 7). Perform the process. If synchronization is established, data is input from the input module 83 and input processing is started (step 8). Then, 8-bit inverted data is created and written in the shared memories 80 and 82 (step 9), and the memory shared with these other systems is checked by comparing with the B-system and C-system inverted data. Data is checked (step 10), and if there is an abnormality, the process of step 19 is performed. Next, whether or not the input signal input from the input module 83 matches that of the other system is checked using the shared memories 80 and 82 (step 11), and if there is an abnormality, the process of step 19 is performed.
[0100]
After the above collation, control processes 1 and 2 which are two programs having the same contents are executed while changing the memory area and time (steps 12 and 13). Then, the result of collating the calculation results of the control processes 1 and 2 (step 14), if not matched, the process of step 19 is performed assuming that it is abnormal.
[0101]
After that, before trying to output the calculation result, the creation and writing of the inverted data and the collation with the inverted data of the other system are performed as in steps 9 and 10 (steps 15 and 16). The process of step 19 is performed. Next, whether or not the output signal to be output from the output module 84 matches the other system is checked using the shared memories 80 and 82 (step 17). If there is an abnormality, the process of step 19 is performed. If there is no abnormality, an output process is performed (step 18), and the operations after step 1 are repeated.
[0102]
When the A system controller stops the excitation output in step 19 and detects an abnormality in its own system, both the A = B and A = C healthy relay contacts are turned off and the B system (or C system) is turned off. When an abnormality is detected, the healthy relay contact of only A = B (or only A = C) is turned off. When both A = B and A = C healthy relay contacts are turned off, the A system controller stops running (step 19), but A = B only (or A = C only) healthy relay. When the contact is turned off, the control process is continued with the C system (or B system).
[0103]
As described above, when a failure occurs in one of the three systems, the controller of the system stops the running of the own system by deactivating the healthy relay of the own system. Even if the healthy relay of the own system could not be de-energized, the other two systems would de-energize the faulty healthy relay so that the failure system would not participate in the control process to ensure system safety. Yes. However, while the control process is continued in the other two systems excluding the fault system, if the fault system rejoins the control process for some reason, the safety of the system will be hindered. Become. Therefore, in the present embodiment, in order to prevent such a situation from occurring, the faulty power supply circuit is turned off and the faulty system is forcibly disconnected from the other two healthy systems.
[0104]
FIG. 15 is a chart showing a system for turning off the power supply circuit for each mode. Although not shown in FIG. 10, this power supply circuit is provided in each system controller 71A, 71B, 71C. In FIG. 15, “0” indicates a healthy relay contact (contact to be turned off) of a system determined to be a failure or its related system, and “1” indicates a normal system healthy relay contact. ing. Further, X1 indicates a healthy relay contact of a system in which the power supply circuit has already been turned off due to a failure (which is naturally turned off), and X2 is turned off following the healthy relay contact related to X1. A healthy relay contact is shown.
[0105]
Accordingly, in item 1, since the system A failed during the control of the system 3, the contacts A = B and A = C of the system A are first turned off, and the contacts B = A and C = A of the systems B and C are first turned off. Is turned off, the power supply circuit of the A system is turned off, and the control processing is continued in the B system and the C system. Item 2 is that the power supply circuit has already been turned off due to the failure of the C system, and this time the A system has failed while the control processing is being performed in the two systems of the A system and the B system. Is turned off, and eventually the B-system power supply circuit should also be turned off. Item 3 is that the power supply circuit has already been turned off due to failure of the B system, and this time the A system has failed while performing control processing in the two systems of the A system and the C system. Is turned off, and eventually the C-system power supply circuit should also be turned off.
[0106]
FIG. 16 is an explanatory view showing a configuration for forcibly turning off the power supply circuit of the failed system, taking the A system as an example. In this figure, an on-timer relay 90 is connected between the 0V terminal and the 24V terminal of a 24 volt power supply circuit, and a series connection of a contact group formed by a plurality of contacts and an A-system power supply relay 91. The body is also connected between both terminals.
[0107]
The plurality of contacts are the relay contact 92 of the on-timer relay 90, the relay contact 93 of the A-system power supply relay 91, the B = A healthy relay contact 94, the A = B healthy relay contact 95, and the C = A healthy contact. Relay contact 96, A = C healthy relay contact 97. The A-system power supply relay 91 has a main contact 98 of an AC 100 volt power supply.
[0108]
Next, the operation of FIG. 16 will be described. When the power supply circuit is turned on, the on-timer relay 90 is excited for several seconds and the contact 92 is turned on, so that the A-system power supply relay 91 is forcibly excited. As a result, the contact 93 is turned on, the main contact 98 is turned on, and AC 100 volts is supplied to the controller. The A-system controller turns on the contacts 95 and 97. At the same time, the B-system and C-controllers start operating to turn on the contacts 94 and 96. Therefore, a self-holding circuit for the A-system power supply relay 91 is formed, and the excited state of the A-system power supply relay 91 is held even after the on-timer relay 90 is de-energized.
[0109]
In this state, when the B system and the C system detect a failure of the A system, the contacts 94 and 96 are turned off. Therefore, the A system power supply relay 91 is de-energized and the main contact 98 is turned off. The system is completely disconnected from the healthy B system and C system. Further, when the B system detects a failure in the A system during the control processing in the two systems, the A system and the B system (the contacts 96 and 97 have already been turned off because the C system has failed), the contact 94 Is turned off, the A system power supply relay 91 is de-energized, the main contact 98 is turned off, and the control of the A system that is the fault system is stopped (accordingly, the control of the B system that is the healthy system is stopped). Will eventually stop.) Similarly, when the C system detects a failure in the A system during the control process in the A system and the C system (the contacts 94 and 95 have already been turned off because the B system has failed) Since 96 is turned off, the A-system power supply relay 91 is de-energized, the main contact 98 is turned off, and the control of the A-system that is the fault system is stopped (accordingly, the control of the C-system that is the healthy system is stopped). Control will eventually be stopped.) Further, when the A system detects a failure of the own system by self-diagnosis during the control processing in the third system, the contacts 95 and 97 are turned off. System control is stopped.
[0110]
FIG. 17 is a time chart showing changes in the excitation state of each relay and the on / off state of each healthy relay contact. FIG. 17A shows a case where the system A becomes abnormal during normal operation in system 3, and FIG. This shows a case where the A system becomes abnormal during operation in the two systems of the A system and the B system.
[0111]
In FIG. 17A, the on-timer relay 90 is turned on immediately after the power is turned on, and the A-system power relay 91 and the C-system power relay are turned on. Then, after the on-timer relay 90 is turned off, the B system and the C system have detected an abnormality in the A system, so that the contacts 94 and 96 are turned off and the A system power relay 91 is turned off. Further, the A system contacts 95 and 97 are also turned off.
[0112]
In FIG. 17B, after the abnormality of the C system is detected first and the C system power supply relay is turned off (the contacts 96 and 97 are already turned off), the B system has the abnormality of the A system. Detected, the contact 94 is turned off and the A-system power supply relay 91 is turned off. Thereafter, the A-system contact 95 is also turned off.
[0113]
Next, a technique for eliminating a collation error caused by a shift in count timing between timers of each system when the controller of each system performs a collation operation with another system will be described.
[0114]
Since the basic clock signals of each system are generated independently from each other, a time difference of 1 count occurs between the timers of the controllers of each system, and there is a period in which the timer processing states do not match. For example, consider a case where the main program is set to execute a certain operation after a lapse of 3 seconds from a predetermined reference time point. In this case, the A system and the B system perform the above-described input or output collation when the respective timers display “3”, and execute the above operation when the collation results match.
[0115]
However, since each of the A system and B system timers counts time independently, when the A system timer displays “3” seconds, the B system timer still displays “2” seconds. There may be cases where Both timers display "3" seconds during the period of 3.0 to 3.9 seconds. For example, when the A timer counts 3.7 seconds, the B system finally Assuming that the timer has counted 3.0 seconds, the A system timer displays “3” seconds while the A system timer is counting 3.0 to 3.6 seconds, The B-timer displays “2” seconds. Therefore, if the two systems are collated to execute the above-described operation when the A-system timer displays “3” seconds, the collation results are inconsistent, so that a failure is determined.
[0116]
FIG. 18 is a time chart for explaining a technique for preventing erroneous detection due to such a shift between the timers of both systems. In this figure, (a) and (b) are signals indicating the processing states of the A system timer and the B system timer, respectively, and CA1, CA2,..., CB1, CB2. ing. (C) and (e) show the scan signals S1 to S9 with scan numbers. (D) and (f) are signals TA1 and TB1 indicating the processing state at the time of actual verification of the A system timer and the B system timer. (G) is a signal indicating the coincidence state and disagreement state of the signals (d) and (f). In addition, t1 is a time indicating an interval of one count of the timer, t2 is a time indicating a difference between operation start points of the A system timer and the B system timer, and t3 is a control processing cycle (scan cycle), that is, a main program. The running cycle is shown.
[0117]
As apparent from FIGS. 18A and 18C, the state in which the signal CA2 of the A-system timer is “1” is detected from the rising edge of the scan signal S3. The processing state of the A-system timer at the time of collation is indicated by a signal TA1 in FIG. Similarly, as apparent from FIGS. 18B and 18E, the state in which the signal CB3 of the B-system timer is “1” is detected from the rising edge of the scan signal S5. Therefore, the processing state of the B-system timer at the time of actual verification is indicated by the signal TB1 in FIG. As shown in FIG. 18 (g), the signals TA1 and TA2 are inconsistent with each other during the scan signals S3 and S4.
[0118]
Therefore, if the A system and the B system are collated during the period of the scan signals S3 and S4, a collation error occurs because the timer processing states of both systems do not match, and a failure is detected. It will be judged. However, in this case, a failure does not actually occur in the A system or the B system, and the above-described failure detection is a false detection.
[0119]
Therefore, in this embodiment, in order to prevent such erroneous detection, even if a mismatch between the processing states of the timers of both systems is detected, a control process for invalidating the mismatch is performed for a predetermined time. Yes. In the example of FIG. 18, since the time t1 for one count of the timer is longer than the scan period t3, the processing states of the timers of both systems are not surely matched unless at least one count time is waited. For example, when t1 is set to 100 ms and t3 is set to 40 ms, even if a mismatch is detected during three scans (S3, S4, S5), this mismatch is invalidated, and four scans are continuously performed (S3 to S6). ) Only when a mismatch is detected, processing for validating this mismatch is performed. In the example of FIG. 18, the case where the time t1 of one count of the timer is larger than the scan period t3 has been described, but when t1 is sufficiently smaller than t3, the processing state of the timers of both systems can be waited for one scan time. Are matched.
[0120]
【The invention's effect】
As described above, according to the present invention, each control system determines whether or not the input / output result of a signal with the field device matches between its own system side and one other system side. Is used to perform control on the field device only when the combination of verification results of all control systems is a predetermined combination. It has a function to detect whether it is in a normal state or a failure state using a healthy circuit, and when a failure signal is input from a healthy circuit of either system, the control operation is stopped, so it is easy With such a configuration, the fail-safe property can be improved.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a first embodiment of the present invention.
FIG. 2 is a block diagram showing the configuration of the input units 8A and 8B in FIG. 1 and the A-system controller 1A and B-system controller 1B that exchange signals with the input units.
FIG. 3 is a chart showing typical failure modes of the input unit of FIG. 2;
4 is a block diagram showing a configuration of output units 9A and 9B in FIG. 1 and A system controller 1A and B system controller 1B that exchange signals with the output units.
5 is a time chart for explaining the operation of FIG. 4; FIG.
6 is a chart showing a typical failure mode of the output unit of FIG. 4;
7 is a configuration diagram of healthy circuits 10A and 10B in FIG. 1. FIG.
8 is a time chart for explaining the operation of FIG. 8;
9 is a block diagram showing a configuration of a microprocessor unit 2A in FIG.
FIG. 10 is a block diagram showing a configuration of a second exemplary embodiment of the present invention.
11 is a configuration diagram of an electronic level crossing control system (railway security control system) configured using the electronic level crossing control device (railway security control device) according to the embodiment of FIG.
12 is a configuration diagram of healthy circuits 79A, 79B, and 79C in FIG.
FIG. 13 is a flowchart for explaining the operation of FIG. 10;
14 is a flowchart for explaining a main case in which the error processing of FIG. 10 is performed.
15 is a chart showing a mode in the case of turning off a power supply circuit in a controller of each system in FIG.
16 is a configuration diagram for turning off a power supply circuit in a controller of each system in FIG. 10;
FIG. 17 is a time chart for explaining the operation of FIG. 16;
18 illustrates a technique for eliminating a collation error caused by a deviation in count timing between timers of each system when the controller of each system in FIG. 10 performs a collation operation with another system. The flowchart for doing.
FIG. 19 is a block diagram showing a configuration of a main part of a conventional railway safety control device.
[Explanation of symbols]
1A, 1B A system and B system microprocessor controller
2A, 2B microprocessor unit
3A, 3B storage unit
4A, 4B storage unit
5A, 5B I / O interface
6A, 6B MPU bus
7A, 7B I / O bus
8A, 8B input unit
9A, 9B output unit
10A, B10 Healthy circuit
11A, 11B output circuit
12A, 12B transformer
13A, 13B relay
14A, 14B Healthy relay contact
15A, 15B I / O bus controller
16A, 16B shared memory
17 Relay
18 Relay contact
19A, 19B resistance
20A, 20B Photocoupler
21A, 21B Light emitting diode
22A, 22B Phototransistor
23A, 23B Photocoupler
24A, 24B Light emitting diode
25A, 25B phototransistor
26A, 26B Fault diagnosis circuit
27A, 27B signal input circuit
28A, 28B comparison and verification circuit
29A, 29B Check signal generation circuit
30A, 30B Photocoupler
31A, 31B Light emitting diode
32A, 32B phototransistor
33A, 33B Photocoupler
34A, 34B Light emitting diode
35A, 34B Phototransistor
36A, 36B Photocoupler
37A, 37B Light emitting diode
38A, 38B Phototransistor
39A, 39B resistance
40 Diode 40
41 Resistance 41
42A, 42B output signal drive circuit
43A, 43B Fault detection circuit
44A, 44B Check signal generation circuit
45A, 45B contact readback circuit
46A, 46B Diode
47 Control processing means
48 Alternating signal generating means
49 counter
50 Travel flag
51 counter
61 1st control processing terminal device
62 Second control processing terminal device
63 to 66 I / O processing terminal device
67-70 field equipment
71A, 71B, 71C A system, B system and C system microprocessor controller
72A, 72B, 72C Microprocessor unit
73A, 73B, 73C Memory part
74A, 74B, 74C LAN controller
75A, 75B, 75C I / O bus interface
76A, 76B, 76C I / O bus interface
77A, 77B, 77C Input unit
78A, 78B, 78C Output unit
79A, 79B, 79C Healthy circuit
80-82 shared memory
83 Field equipment input signal module
84 Field equipment output signal module
85A1, 85A2 output circuit
86A1, 86A2 transformer
87A1, 87A2 diode
88A1, 88A2 relay
89A1, 89A2 Healthy relay contact
90 On-timer relay
91 A power relay
92 to 97 contacts
98 Main contact
101A, 101B Microprocessor unit
102A, 102B memory
103 Clock circuit
104A, 104B Bus 104
105 Bus verification / alternating signal output circuit
106 Verification error detection circuit

Claims

There are at least two control systems capable of controlling on-site equipment, and these two or more control systems are each a railroad safety control device having a dedicated microprocessor controller.
Each of the control systems is
A dedicated input unit for inputting a signal from the field device;
A dedicated output unit that outputs an output signal to the field device and whose signal output path is connected in series on the own system side and the other system side,
A shared memory for storing input / output results on the own system side and one other system side via the input unit and the output unit;
An alternating signal output circuit for outputting an alternating signal, an alternating signal from the alternating signal output circuit being input to the primary side, a transformer for outputting only the alternating signal of the alternating signal from the secondary side, and an alternating signal from the transformer being rectified A healthy circuit that outputs a signal indicating whether the output unit on the own system side or the other system side of the verification partner is in a normal state or a failure state,
With
The microprocessor controller of each control system is
Using the shared memory, each has a function of diagnosing a failure of the own system side input unit and a function of collating with a failure diagnosis result of one other system side input unit, If the input signal does not match the input signal of one input unit on the other system side, the control operation of both control systems is stopped, and the dangerous side failure is reliably detected based on the both functions,
Also, when the output signal of the output unit on the own system side does not match the output signal of one output unit on the other system side, the control operation of both control systems is stopped.
A railway safety control device characterized by that.

The input unit of each control system includes an input semiconductor element provided on a signal input path from the field device, and a check semiconductor element connected in series to the input semiconductor element.
The microprocessor controller of each control system has a check signal generation circuit that outputs a check signal or stops its output in order to detect a conduction failure or an open failure of the input semiconductor element.
The railroad safety control device according to claim 1 .

Each of the output units includes an output semiconductor element provided on the signal output path, a failure detection semiconductor element showing an on / off state opposite to the on / off state of the output semiconductor element, and the failure detection semiconductor A check semiconductor element that periodically turns on and off the current flowing through the element to check whether there is a failure in the failure detection semiconductor element itself,
Each of the microprocessor controllers includes an output signal driving circuit that turns on and off the output semiconductor element, and a failure detection circuit that detects the presence or absence of a failure in the output semiconductor element by detecting an on / off state of the failure detection semiconductor element A check signal generating circuit for periodically outputting a check signal or stopping the output in order to detect a continuity failure or an open failure of the semiconductor element for failure detection, and a contact lead for reading a relay contact state of the field device A back circuit, and based on the input state or output state of each of these circuits, to determine a failure state for each of the output units,
The railway security control device according to claim 1 or 2, wherein

Each of the microprocessor controllers can detect that either one of the output semiconductor element of the output unit on the own system side or the output semiconductor element of the output unit on the one other system side is in a semi-conducting state. Is,
The railroad safety control device according to claim 3 .

The microprocessor controller of each control system has control processing means for executing a main program, and alternating signal generating means for generating an alternating signal by interrupting the main program at an interrupt program every predetermined time. ,
The control processing means and the alternating signal generation means monitor the number of interruptions of the interrupt program in one processing time of the main program, respectively, and when the value of the number of interruptions falls outside a predetermined range, The control of the microprocessor controller is stopped.
The railroad safety control device according to claim 1.

The shared memory is capable of storing the rewritten content when a part of the program content of the microprocessor controller on the own system side or the one other system side is rewritten. Yes,
When a part of the program content of either the own system side or the one other system side microprocessor controller is rewritten, the other program content is similarly rewritten. ,
The railway safety control device according to any one of claims 1 to 5 .

If a failure occurs in any of the control systems, the controller's microprocessor controller is forcibly disconnected from the other control systems. To stop,
The railway safety control device according to any one of claims 1 to 6 .

When the control system is composed of the first to third control systems, and any one of the control systems fails, it is confirmed that no failure has occurred in the remaining two control systems. Only when it is detected by using the remaining two control systems, control of the field device is continued.
The railroad safety control device according to claim 1.

When any two control systems detect a failure of the remaining control system during execution of the control operation by all of the first to third control systems, the microprocessor controller of the remaining one control system Is turned off,
When one control system detects a failure in the other control system during execution of a control operation by any two of the first to third control systems, both control systems The microprocessor controller power circuit is turned off.
The railway safety control device according to claim 8, wherein:

The microprocessor controller of each control system determines a predetermined operation execution time point in the main program based on the count value of the timer, and performs verification between the own system side and one other system side at this time point By invalidating the collation result in a period from this point in time until the predetermined time elapses, a collation error caused by a shift in the count timing between the timer on the own system side and the timer on one other system side is eliminated. I tried to eliminate it,
The railway safety control device according to any one of claims 1 to 9 .

A plurality of input / output terminal devices that exchange signals with field equipment and at least one control processing terminal device are connected by a communication network. In a control system that controls a plurality of field devices via
The input / output terminal device and the control processing terminal device are configured by the railroad safety control device according to any one of claims 1 to 10 .
This is a railway safety control system.

The control processing terminal device is composed of a first control processing terminal device for current train operation and a second control processing terminal device in which a new application program is installed,
In times when there are many train operations, the first control processing terminal device exchanges signals with all input / output terminal devices,
In a time zone when the number of train operations is small, the first control processing terminal device exchanges signals only with a specific input / output terminal device, and the second control processing terminal device communicates with the remaining input / output terminal devices. Send and receive signals between
The railway security control system according to claim 11 .

Each of the input / output terminal devices has a change-over switch that determines which of the first control processing terminal device and the second control processing terminal device is to send and receive signals. Control is performed by the second control processing terminal device.
The railway security control system according to claim 12 .