JP3751746B2

JP3751746B2 - Fail-safe output device

Info

Publication number: JP3751746B2
Application number: JP07647298A
Authority: JP
Inventors: 立身高橋; 仁史遠田; 正隆河野
Original assignee: Toshiba Corp; East Japan Railway Co
Current assignee: Toshiba Corp; East Japan Railway Co
Priority date: 1998-03-11
Filing date: 1998-03-11
Publication date: 2006-03-01
Anticipated expiration: 2018-03-11
Also published as: JPH11259101A

Description

【０００１】
【発明の属する技術分野】
本発明は、３重系制御装置からの出力信号を多数決原理処理を行って出力するフェールセーフ性を有するフェールセーフ出力装置に関する。
【０００２】
【従来の技術】
例えば、鉄道の分野の制御装置においては、同一演算を行う制御装置を３台設けて制御装置を３重化し、その３重化した制御装置からの出力信号を多数決原理により出力するようにしたものがある。この場合の多数決論理処理を行うフェールセーフ出力装置としては、図１０に示すような回路構成のものがある。
【０００３】
これは、Ａ系、Ｂ系、Ｃ系の３系の制御装置からなり、各系の各制御装置３Ａ、３Ｂ、３Ｃからの出力をそれぞれ出力リレー９Ａ、９Ｂ、９Ｃを介して出力する。つまり、出力リレー９Ａ、９Ｂ、９Ｃの接点Ａ１、Ｂ１、Ｃ１を用いて多数決回路１７を構成し、この多数決回路１７により多数決論理処理を行い、３系の出力のうちの２つの出力が一致すれば正常として外部に出力させるようにしている。これにより、１系の制御装置３が故障して誤出力したとしても、多数決回路１７において外部への誤出力を防ぐことができる。このようにして、フェールセーフ性を持たせている。
【０００４】
【発明が解決しようとする課題】
ところが、このような従来のフェールセーフ出力装置では、３個の出力リレー９Ａ、９Ｂ、９Ｃの接点Ａ１、Ｂ１、Ｃ１を組み合わせて多数決回路１７を構成し、３系の制御装置３Ａ、３Ｂ、３Ｃの出力を論理演算（2 out of 3）するようにしているので、１点の出力に対して３個の出力リレー９が必要であり、フェールセーフ性を保持しようとした場合には、出力リレー９の取付面積と寿命が問題となる。
【０００５】
本発明に目的は、取付面積が小さくて済み寿命も長く、故障の際にも誤出力を防止でき信頼性を向上させたフェールセーフ出力装置を得ることである。
【０００６】
【課題を解決するための手段】
請求項１の発明に係わるフェールセーフ出力装置は、基本クロックを発生するクロック発生部と、クロック発生部からの基本クロックに基づき３台の制御装置から出力される信号をパルス化するための一定周期のパルス信号を発生するタイミング発生部と、３台の制御装置のうちの２台の制御装置の組み合わせ毎に設けられ、当該２台の制御装置のそれぞれの出力信号と前記タイミング発生部からのパルス信号との各論理積信号を求め、この各論理積信号間の論理和信号を求め、当該２台の制御装置から出力される信号が共にハイレベルのとき、論理和信号を信号レベルが周期的に変化する交番信号として出力する３台の交番信号発生回路部と、各々の交番信号発生回路部からの交番信号を入力し論理和出力するＯＲ回路部と、ＯＲ回路部の出力信号から直流成分を除去する直流除去回路部と、直流除去回路部で直流成分を除去した交番信号を整流する整流回路部と、整流回路部で整流された出力信号により駆動される出力リレーとを備えたことを特徴としている。
【０００７】
請求項１の発明に係わるフェールセーフ出力装置では、タイミング発生部は、クロック発生部からの基本クロックに基づき３台の制御装置から出力される信号をパルス化するためのタイミング信号を発生させる。３台の制御装置のうちの２台の制御装置の組み合わせ毎に設けられた交番信号発生回路部は、各々の制御装置の出力信号とタイミング発生部からのタイミング信号とに基づいて２台の制御装置の組み合わせ毎にそれぞれ交番信号を生成し、それぞれの交番信号をＯＲ回路部で論理和をとり、直流除去回路部でＯＲ回路部の出力信号から直流成分を除去し、整流回路部で整流する。そして、整流回路部で整流された出力信号により出力リレーを駆動する。従って、故障が発生し交番信号が出力されなくなることにより出力リレーがＯＦＦとなり、誤出力が阻止される。
【０００８】
請求項２の発明に係わるフェールセーフ出力装置は、請求項１のフェールセーフ出力装置において、各々の制御装置は出力１点あたり２つの信号を出力し、交番信号発生回路部は２つの信号が共にハイレベルであるときのみ交番信号を発生するようにしたことを特徴とする。
【０００９】
請求項２の発明に係わるフェールセーフ出力装置では、請求項１のフェールセーフ出力装置の作用に加え、交番信号発生回路部は制御装置から出力される２つの信号が共にハイレベルであるときのみ交番信号を発生する。従って、出力信号が交番信号でないときは、交番信号発生回路部の故障と判定できる。
【００１０】
請求項３の発明に係わるフェールセーフ出力装置は、請求項２のフェールセーフ出力装置において、交番信号発生回路部を構成する回路要素を有しその回路要素の動作結果と交番信号発生回路部の動作結果とを比較する機能を有した照合回路を設け、制御装置は交番信号発生回路部には出力１点あたりの２つの信号を出力し、照合回路には出力１点あたりの２つの信号に対応する２つの検査用信号を出力するようにしたことを特徴とする。
【００１１】
請求項３の発明に係わるフェールセーフ出力装置では、請求項２のフェールセーフ出力装置の作用に加え、照合回路の比較機能により、検査用出力に基づいて交番信号発生回路部が正常であることを検証する。
【００１２】
請求項４の発明に係わるフェールセーフ出力装置は、請求項１のフェールセーフ出力装置において、制御装置は、直流除去回路部の２次側の出力信号が正しく出力されているか否かを確認するようにしたことを特徴とする。
【００１３】
請求項４の発明に係わるフェールセーフ出力装置では、請求項１のフェールセーフ出力装置の作用に加え、出力信号が正しく出力されていることを直流除去回路部の２次側の出力信号に基づいて確認する。
【００１４】
請求項５の発明に係わるフェールセーフ出力装置では、１つの系統が請求項１に記載された３台の交番信号発生回路部と、ＯＲ回路部と、整流除去回路部と、整流回路部とからなる２つの系統と、各系統の３台の交番信号発生回路部に一定の一定周期のパルス信号を供給する請求項１に記載されたタイミング発生器と、各系統から出力される出力信号の論理和信号により駆動される出力リレーとを備えている。
【００１５】
請求項５の発明に係わるフェールセーフ出力装置では、請求項１のフェールセーフ出力装置の作用に加え、２重化した一方の系統が故障したときは他方の系統の出力信号を出力する。
【００１６】
請求項６の発明に係わるフェールセーフ出力装置は、請求項１のフェールセーフ出力装置において、制御装置は、出力リレーの出力接点と連動して動作する接点のＯＮ／ＯＦＦ状態を読み込むことにより出力状態を監視するようにしたことを特徴とする。
【００１７】
請求項６の発明に係わるフェールセーフ出力装置では、請求項１のフェールセーフ出力装置の作用に加え、出力リレーのＯＮ／ＯＦＦ状態により出力状態を制御装置にて監視する。
【００１８】
請求項７の発明に係わるフェールセーフ出力装置は、請求項６のフェールセーフ出力装置において、制御装置は、出力リレーの出力接点と連動して動作する接点の状態を読み込む読込回路の入力状態を試験周期毎に切り、読込回路の正常状態を確認するようにしたことを特徴とする。
【００１９】
請求項７の発明に係わるフェールセーフ出力装置では、請求項６のフェールセーフ出力装置の作用に加え、読込回路の入力状態を試験周期毎に切り、その後に読込回路に信号入力して読込回路の正常状態を確認する。
【００２０】
請求項８の発明に係わるフェールセーフ出力装置は、請求項６のフェールセーフ出力装置において、制御装置は、出力リレーの出力接点と連動して動作する接点の状態を読み込む読込回路の入力状態を試験周期毎にＯＦＦにし、読込回路の正常状態を確認するようにしたことを特徴とする。
【００２１】
請求項８の発明に係わるフェールセーフ出力装置では、請求項６のフェールセーフ出力装置の作用に加え、読込回路の入力状態を試験周期毎にＯＦＦにし、その後に読込回路をＯＮにして読込回路の正常状態を確認する
請求項９の発明に係わるフェールセーフ出力装置は、請求項１のフェールセーフ出力装置において、制御装置が異常状態となったときは、ＯＲ回路部への制御電源の供給を停止するようにしたことを特徴とする。
【００２２】
請求項９の発明に係わるフェースセーフ出力装置は、請求項１のフェールセーフ出力装置の作用に加え、ＯＲ回路部に供給している制御電源に対し、制御装置が異常状態となった時に制御電源の出力を遮断する。これにより、異常状態となった制御装置からの出力を阻止する。
【００２３】
【発明の実施の形態】
以下、本発明の実施の形態を説明する。図１は本発明の第１の実施の形態に係わるフェールセーフ出力装置の構成図である。
【００２４】
クロック発生部１は、Ｐ１、Ｐ２、〜Ｐ８の８個のパルスを周期的に発生するものであり、クロック発生部１からの基本クロックはタイミング発生部２に入力される。タイミング発生部２は、基本クロックに基づいて、後述するようにＰ１、Ｐ３、Ｐ５、Ｐ７の４個のパルスを周期的に発生し、出力回路部１８に供給する。すなわち、タイミング発生部２は、Ａ系制御装置３Ａ、Ｂ系制御装置３Ｂ、Ｃ系制御装置３Ｃの３台の制御装置３から出力される信号をパルス化するためのタイミング信号を発生させる。
【００２５】
出力回路部１８は、2 out of 3照合回路部６と、直流除去回路部７と、整流回路部８とから構成される。さらに、2 out of 3照合回路部６は、３個の交番信号発生回路部としての２ＡＮＤ回路部４とＯＲ回路５とから構成されている。交番信号発生回路部としての２ＡＮＤ回路部４は、３台の制御装置３Ａ、３Ｂ、３Ｃのうちの２台の制御装置の組み合わせ毎に設けられ、各々の制御装置３の出力信号とタイミング発生部２からのタイミング信号とに基づいて、後述するように２台の制御装置の組み合わせ毎にそれぞれ交番信号を生成する。そして、ＯＲ回路部５は、各々の２ＡＮＤ回路部４からの交番信号を入力し論理和を出力する。
【００２６】
ＯＲ回路部５の出力信号は直流除去回路部７に入力されて、ここで直流成分が除去され、さらに、整流回路部８で整流される。そして、整流回路部８で整流された出力信号により出力リレー９が駆動されるようになっている。
【００２７】
図２は、２ＡＮＤ回路部４の構成図であり、図３は、２ＡＮＤ回路部４の各部の動作信号を示すタイムチャートである。上述のように２ＡＮＤ回路部４は、３台の制御装置３Ａ、３Ｂ、３Ｃのうちの２台の制御装置の組み合わせ毎に設けられる。いま、２台の制御装置をＡ系制御装置３ＡとＢ系制御装置３Ｂとする。また、２ＡＮＤ回路部４は、図２に示すようにＸ系列とＹ系列との２系列を有することから、各々の制御装置３Ａ、３Ｂからは、出力１点あたり２つの出力を出すものとする。すなわち、Ａ系制御装置３Ａの出力信号をＡＸとＡＹ（ＡＸ＝ＡＹ）、Ｂ系制御装置３Ｂの出力信号をＢＸとＢＹ（ＢＸ＝ＢＹ）とする。
【００２８】
ＡＮＤ回路１０ａにはＡ系制御装置３Ａの出力信号ＡＸとタイミング発生部２からのパルス信号Ｐ１が入力され、論理積が演算される。同様に、ＡＮＤ回路１０ｂにはＢ系制御装置３Ｂの出力信号ＢＸとタイミング発生部２からのパルス信号Ｐ３が入力され、ＡＮＤ回路１０ｃにはＡ系制御装置３Ａの出力信号ＡＹとタイミング発生部２からのパルス信号Ｐ５が入力され、ＡＮＤ回路１０ｄにはＢ系制御装置３Ｂの出力信号ＢＹとタイミング発生部２からのパルス信号Ｐ７が入力され、それぞれ論理積が演算される。
【００２９】
パルス信号Ｐ１、Ｐ３、Ｐ５、Ｐ７は、図３に示すように、クロック発生部１からの基本クロックＣＬＫに基づいて、タイミング発生部２から与えられるタイミング信号であり、Ａ系制御装置３Ａの出力信号ＡＸとＡＹ（ＡＸ＝ＡＹ）、Ｂ系制御装置３Ｂの出力信号ＢＸとＢＹ（ＢＸ＝ＢＹ）は、方形波で与えられている。
【００３０】
ＡＮＤ回路１０ａの出力信号およびＡＮＤ回路１０ｂの出力信号は、ＯＲ回路１９ａに入力され論理和演算が行われて出力信号ＡＢＸ１３が出力される。そして、出力信号ＡＢＸ１３はＪＫフリップフロップ（ＪＫＦＦ）１１ａのＣＫ端子に入力される。同様に、ＡＮＤ回路１０ｃの出力信号およびＡＮＤ回路１０ｄの出力信号は、ＯＲ回路１９ｂに入力され論理和演算が行われて出力信号ＡＢＹ５７が出力される。そして、出力信号ＡＢＹ５７はＪＫフリップフロップ（ＪＫＦＦ）１１ｂのＣＫ端子に入力される。
【００３１】
また、ＪＫフリップフロップ１１ａのＪ端子には、Ａ系制御装置３Ａの出力信号ＡＸとタイミング信号Ｔ１との論理積をとるＡＮＤ回路１０ｅの出力信号ＡＸＴ１が入力され、同様に、ＪＫフリップフロップ１１ｂのＪ端子には、Ａ系制御装置３Ａの出力信号ＡＹとタイミング信号Ｔ５との論理積をとるＡＮＤ回路１０ｆの出力信号ＡＸＴ５が入力されている。
【００３２】
さらにまた、ＪＫフリップフロップ１１ａのＣＬ端子および後述するＤフリップフロップ（ＤＦＦ）１２ａのＣＬ端子には、Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸとの論理和演算を行うＯＲ回路１９ｃの出力信号が入力されている。同様に、ＪＫフリップフロップ１１ｂのＣＬ端子および後述するＤフリップフロップ（ＤＦＦ）１２ｂのＣＬ端子には、Ａ系制御装置３Ａの出力信号ＡＹとＢ系制御装置３Ｂの出力信号ＢＹとの論理和演算を行うＯＲ回路１９ｄの出力信号が入力されている。
【００３３】
Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸとが共に「１」（ＡＸ＝ＢＸ＝１）であるとき、ＪＫフリップフロップ１１ａの出力信号ＡＢＸＦＦは、パルス信号Ｐ１のタイミングでセットされ、パルス信号Ｐ３のタイミングでリセットされる。つまり、ＪＫフリップフロップ１１ａの出力信号ＡＢＸＦＦは交番信号となる。
【００３４】
Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸとのうちのいずれかが「０」の場合には、ＪＫフリッププロップ１１ａの端子のいずれかが「０」になるために、ＪＫフリップフロップ１１ａはセットまたはリセットの状態のままで、状態変化を起こさなくなる。それと同時に、ＪＫフリップフロップ１１ａのＣＬ端子からの信号で、出力信号ＡＢＸＦＦは直流的にクリアする。
【００３５】
従って、ＪＫフリップフロップ１１ａの出力信号ＡＢＸＦＦの出力が交番信号となるのは、ＡＸ＝ＢＸ＝１の時のみであり、これは、Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸをＡＮＤ演算したことになるため、ＪＫフリップフロップ１１ａ、ＡＮＤ回路１０ａ、１０ｂ、ＯＲ回路１９ａは、Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸとのＡＮＤ条件が成立したときのみ交番信号を出力する交番信号発生回路部（２ＡＮＤ回路部）の要部を構成する。
【００３６】
Ａ系制御装置３Ａの他方の出力信号ＡＹおよびＢ系制御装置３Ｂの他方の出力信号ＢＹについても同様に、Ａ系制御装置３Ａの出力信号ＡＹとＢ系制御装置３Ｂの出力信号ＢＹとが共に「１」（ＡＹ＝ＢＹ＝１）であるとき、ＪＫフリップフロップ１１ｂの出力信号ＡＢＹＦＦは、パルス信号Ｐ５のタイミングでセットされ、パルス信号Ｐ７のタイミングでリセットされる。つまり、ＪＫフリップフロップ１１ｂの出力信号ＡＢＹＦＦは交番信号となる。
【００３７】
Ａ系制御装置３Ａの出力信号ＡＹとＢ系制御装置３Ｂの出力信号ＢＹとのうちのいずれかが「０」の場合には、ＪＫフリッププロップ１１ｂの端子のいずれかが「０」になるために、ＪＫフリップフロップ１１ｂはセットまたはリセットの状態のままで、状態変化を起こさなくなる。それと同時に、ＪＫフリップフロップ１１ｂのＣＬ端子からの信号で、出力信号ＡＢＹＦＦは直流的にクリアする。
【００３８】
従って、ＪＫフリップフロップ１１ｂの出力信号ＡＢＹＦＦの出力が交番信号となるのは、ＡＹ＝ＢＹ＝１の時のみであり、これは、Ａ系制御装置３Ａの出力信号ＡＹとＢ系制御装置３Ｂの出力信号ＢＹをＡＮＤ演算したことになるため、ＪＫフリップフロップ１１ｂ、ＡＮＤ回路１０ｃ、１０ｄ、ＯＲ回路１９ｂは、は、Ａ系制御装置３Ａの出力信号ＡＹとＢ系制御装置３Ｂの出力信号ＢＹとのＡＮＤ条件が成立したときのみ交番信号を出力する交番信号発生回路部（２ＡＮＤ回路部）の要部を構成する。
【００３９】
次に、Ｘ信号とＹ信号の交番信号のＡＮＤ回路は、Ｄフリップフロップ１２ａとＤフリップフロップ１２ｂとで実現する。ＪＫフリップフロップ１１ｂの出力信号ＡＢＹＦＦの立ち上がり信号（パルスＰ５のタイミング）でＤフリップフロップ１２ａの「１」側の信号がＤフリップフロップ１２ｂにシフトされる。
【００４０】
次にフリップフロップ１１ａの出力信号ＡＢＸＦＦの立ち上がり（パルスＰ１のタイミング）で、Ｄフリップフロップ１２ｂの「０」側（インバート側）の信号がＤフリップフロップ１２ａにシフトされる。
【００４１】
正常に動作している時は、Ｄフリップフロップ１２ａはパルス信号Ｐ５のタイミング（ＡＢＹＦＦの立ち上がり）で、現在の状態をＤフリップフロップ１２ｂにシフトし、パルス信号Ｐ１のタイミング（ＡＢＸＦＦの立ち上がり）でＤフリップフロップ１２ｂのインバート信号（自分の前回のＰ１のタイミングのインバート状態）を取り込む。従って、正常に動作している場合にはＤフリップフロップ１２ａはパルス信号Ｐ１のタイミングで「１」と「０」を交互に繰り返す交番信号となる。
【００４２】
Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸのいずれか「０」であれば、Ｄフリップフロップ１２ａはリセットされたままで、交番変化しない。これは、Ａ系制御装置３Ａの出力信号ＡＸとＢ系制御装置３Ｂの出力信号ＢＸがＤフリップフロップ１２ａのＣＬ端子に入力されているので、Ａ系制御装置３Ａの出力信号ＡＸまたはＢ系制御装置３Ｂの出力信号ＢＸが「０」になると、直流的なクリアがかかるためと、ＪＫフリップフロップ１１ａのパルスがなくなるとＤフリップフロップ１２ａの出力信号ＡＢ１ＦＦは状態が変化しなくなるためである。
【００４３】
同様に、Ａ系制御装置３Ａの出力信号ＡＹとＢ系制御装置３Ｂの出力信号ＢＹのいずれか「０」であれば、Ｄフリップフロップ１２ｂはリセットされたままになる。また、Ｄフリップフロップ１２ａかＤフリップフロップ１２ｂのいずれか一方の状態が「１」または「０」に固定化されると、他のフリップフロップも固定化される。従って、Ｄフリップフロップ１２ａの出力信号ＡＢ１ＦＦは、Ａ系制御装置３ＡのＸ信号とＹ信号およびＢ系制御装置３ＢのＸ信号とＹ信号の４信号の交番化したＡＮＤ回路になっている。
【００４４】
次に交番化されたＡ＆Ｂの信号を他のＢ＆ＣとＣ＆Ａの信号を交番信号のままＯＲ回路部５でＯＲをとることになるが、そのためにはタイミングの同期をとる必要がある。そこで、Ａ＆ＢＸＹロジック２０が設けられている。Ｄフリップフロップ１２ａの出力信号ＡＢ１ＦＦとＤフリップフロップ１２ｂの出力信号ＡＢ２ＦＦは、正常時においてはパルス信号Ｐ１とパルス信号Ｐ５のタイミングで交番信号化されるが、パルス信号Ｐ１のタイミングで出力信号ＡＢ１ＦＦが「１」になるか、「０」になるか分からない。
【００４５】
従って、Ａ＆ＢＸＹロジック２０は、その出力信号Ａ＆ＢＸＹが正常時は必ずパルス信号Ｐ１〜パルス信号Ｐ４で「１」で、パルス信号Ｐ５〜パルス信号Ｐ８間で「０」になるように動作する。そのために、Ｄフリップフロップ１２ａの出力信号ＡＢ１ＦＦとＤフリップフロップ１２ｂの出力信号ＡＢ２ＦＦとの排他的論理和（EXCLUSIVE OR）を取る。これにより、その他の２台の２ＡＮＤ回路部４の出力信号Ｂ＆ＣＸＹと出力信号Ｃ＆ＡＸＹとの交番信号の同期が取れ、３つの信号をＯＲ回路部５でＯＲをとる。これにより、Ａ系、Ｂ系、Ｃ系の３系の交番信号化された出力信号の多数決論理（2 out of 3）のロジックを構成することができる。
【００４６】
図４は、ＯＲ回路部５および直流除去回路部７の詳細図である。ＯＲ回路部５は、ダイオードおよび制御電源から構成され、Ａ系の２ＡＮＤ回路部４の出力信号Ａ＆ＢＸＹ、Ｂ系の２ＡＮＤ回路部４の出力信号Ｂ＆ＣＸＹ、Ｃ系の２ＡＮＤ回路部４の出力信号Ｃ＆ＡＸＹの３系の交番信号化されたそれぞれの出力信号をＯＲ演算する。このＯＲ回路部５の出力信号がＡ系制御装置３Ａ、Ｂ系制御装置３Ｂ、Ｃ系制御装置３Ｃの各出力信号の多数決論理（2 out of 3）のロジック出力信号となる。直流除去回路部７は、正常時にはＯＲ回路部５からのロジック出力信号が交番信号で与えられることから、その交番信号から直流成分を取り除き交流成分を取り出すものである。このことから、変成器が用いられ１次側の変化分（交流成分）を２次側で取り出すようにしている。
【００４７】
このように、第１の実施の形態では、２ＡＮＤ回路部は、３台の制御装置の内野２台の制御装置の組み合わせ毎に設け、２台の制御装置から出力される出力信号をタイミング信号発生部の出力パルスとＡＮＤ条件を取り、ＯＮ／ＯＦＦタイミングのずれたパルス列を生成し、そのすれた出力パルスによリＤフリップフロップをセット／リセットする。これにより、２ＡＮＤ回路部は２台の制御装置からの出力信号が共に「１」であるときに交番化した信号を出力する。
【００４８】
各々の３台の２ＡＮＤ回路部の交番出力はＯＲ回路部５でＯＲ演算され、これにより、各出力信号の多数決論理（2 out of 3）のロジック出力信号が得られ、直流除去回路部７で直流成分を除去し、その直流成分を除去した交番化信号を整流回路部８で整流して出力リレー９を駆動する。従って、故障が発生し交番信号が出力されなくなると出力リレーがＯＦＦとなり、誤ってＯＮの信号が出力されることを防止することができる。
【００４９】
また、第１の実施の形態では、各々の制御装置３から出力１点あたり２つの出力信号ＸとＹとを出力することにより、２ＡＮＤ回路部４ではＡＢＸＦＦとＡＢＹＦＦ、ＡＢ１ＦＦとＡＢ２ＦＦを作成する。そして、その１つの信号によりＯＮとし、もう１つの信号によりＯＦＦとすることにより、２つの信号が共に「１」（ＯＮ）であるときのみ交番信号が発生するようにする。従って、制御装置３の出力回路部１８に故障が発生した場合に、ＯＮまたはＯＦＦに信号が固定され交番信号にならずに誤って出力することがなくなる。
【００５０】
次に、本発明の第２の実施の形態を説明する。図５は本発明の第２の実施の形態に係わるフェールセーフ出力装置の構成図である。この第２の実施の形態は、図１に示した第１の実施の形態に対し、各々の２ＡＮＤ回路部４にそれぞれ照合回路部１３を設け、出力回路部１８を２重化したものである。
【００５１】
照合回路部１３は、２ＡＮＤ回路部４を構成する回路要素を有し、その回路要素の動作結果と２ＡＮＤ回路部４の動作結果とを比較する機能を有している。そして、各々の制御装置３は２ＡＮＤ回路部４には出力１点あたりに２つの信号ＸとＹを出力し、照合回路部１３にはその２つの信号Ｘ、Ｙに対応して２つの検査用信号Ｓ、Ｔを出力する。
【００５２】
すなわち、各々の制御装置３からの出力１点あたり２つの出力信号Ｘ、Ｙに対しての２ＡＮＤ回路部４の動作結果と、２つの検査用信号Ｓ、Ｔに対しての照合回路の動作結果とを、照合回路部１３の比較要素で比較し一致か不一致かを検出する。検査用信号Ｓ、Ｔとして、２つの出力信号Ｘ、Ｙと一致する信号（Ｓ＝Ｘ、Ｔ＝Ｙ）を出力した場合には、その動作結果が一致した場合に正常であると判定する。一方、検査用信号Ｓ、Ｔとして、２つの出力信号Ｘ、Ｙと不一致の信号を出力した場合には、その動作結果が不一致となる場合が正常である。
【００５３】
すなわち、検査用信号Ｓ、Ｔとして、一致／不一致の動作確認のために、制御装置より一定周期毎（１秒程度）に強制的に一致状態と不一致状態を交互に出力し、一致／不一致が検出できるようにしている。このように、テストによる不一致の検出は２つの信号を相反するように出力し、不一致を確実に検出していることを確認する。これにより、２つの信号の不一致検出が正常に機能していることを常時監視する。
【００５４】
次に、Ｄフリップフロップ１２ａの出力信号ＡＢ１ＦＦとＤフリップフロップ１２ｂの出力信号ＡＢ２ＦＦとが、何らかの故障のために交番信号を出す場合を考える。この場合には、ＪＫフリップフロップ１１ａの出力信号ＡＢＸＦＦが交番信号になっているはずである。ＪＫフリップフロップ１１ａの出力信号ＡＢＸＦＦが交番信号になるのは、ＡＮＤ回路１０ａの出力信号ＡＸＰ１とＡＮＤ回路１０ｂの出力信号ＢＸＰ３が誤ってパルス出力した場合である。特にパルスＰ１とパルス信号Ｐ３のスルーの故障が考えられる。
【００５５】
この場合には、照合回路部１３の回路要素として、２ＡＮＤ回路部４のＯＲ回路１９ａと同一回路を有しておき、２ＡＮＤ回路部４のＯＲ回路１９ａの出力信号と、照合回路部１３の回路要素の出力信号とを比較要素で比較照合し、その結果を制御装置で判断するようにする。この比較照合は毎クロック実施され記憶される。リセットは制御装置３からの出力（ＴＥＳＴ信号）で行う。これにより検出回路の健全性を確認する。
【００５６】
図６は、その場合の照合回路部１３の説明図である。２ＡＮＤ回路部４のＯＲ回路１９ａの出力信号ＡＢＸ１３と同等の出力信号ＡＢＳ１３を得るための同等回路要素２１を構成し、２ＡＮＤ回路部４のＯＲ回路１９ａの出力信号ＡＢＸ１３と排他的論理和回路（ＥＯＲ）２２で一致／不一致の検出をし、ＪＫフリップフロップ１１ｃ、１１ｄを介して一致／不一致を出力する。同等回路要素２１への入力信号ＡＳ（制御装置ＡのＳ信号）は、通常時はＡＸと同じ信号を出すが、テスト中はＡＸと逆の符号の信号を出す。なお、２ＡＮＤ回路部４のＯＲ回路１９ｂの出力信号ＡＢＹ１３と同等の出力信号ＡＢＴ１３を得るための同等回路要素も同様に構成されるので説明は省略する。
【００５７】
出力信号ＡＢＸ１３と出力信号ＡＢＳ１３とが一致の場合には、ＪＫフリップフロップ１１ｄ（不一致ＦＦ）はセットされないが、出力信号ＡＢＸ１３と出力信号ＡＢＳ１３とが不一致の場合は、ＪＫフリップフロップ１１ｄ（不一致ＦＦ）を毎クロックセットする。一度セットされると、制御装置３からのリセット信号（ＴＥＳＴ）が来るまでリセットされない。従って、通常動作中に不一致が発生すると、ＪＫフリップフロップ１１ｃ（一致ＦＦ）とＪＫフリップフロップ１１ｄ（不一致ＦＦ）とが同時にセットされた状態になる。
【００５８】
一致検出動作の確認は制御装置３のソフトからのテスト出力で行う。テスト中はＡＳの信号はＡＸ信号のバー（ＡＸのインバート信号）が入力されるので必ず不一致が発生する。従ってテストする時はリセット信号（テスト開始）とテスト信号（ＡＳ＝ＡＸのバー）を同時に出して、その後リセット信号を切る。これらの回路によって、２ＡＮＤ回路部４のＯＲ回路１９ａの出力信号ＡＢＸ１３の健全性がチェックできる。
【００５９】
チェックが完了するとＴＥＳＴ信号を切り、リセット信号を出し、通常の不一致検出の動作を開始する。なお、一致と不一致の状態がいつでもチェックできるように一致と不一致の両方のＪＫフリップフロップ１１ｃ、１１ｄを設ける。これらのＪＫフリップフロップ１１ｃ、１１ｄは、正常時やテスト中は常に出力の状態が「１」と「０」で逆になっているが、正しく不一致を検出した場合は両方のＪＫフリップフロップ１１ｃ、１１ｄがセットされた状態となる。不一致検出はＡＸとＡＹの２ビットに対して行なう。
【００６０】
また、出力回路部１８を２系統に分けたことにより、１系が故障し出力を出さない場合には、もう一系統が出力を出すことになる。
【００６１】
以上述べたように、第２の実施の形態では、同じ制御装置３から２つの出力信号ＸとＳ（またはＹとＴ）を出力して、その動作結果を比較要素で短い周期で比較することにより信号の一致または不一致を検出し、安全性（信号の正当性）を確認する。従って、検査用信号Ｓとして通常時（テストしていない時）に出力信号Ｘと同一信号を出すことにより、制御装置３からのＸ信号そのものの故障（Ｓとの不一致）を検出することができる。また、一方の出力回路部１８が故障し出力が出せない場合には、他方の出力回路部１８から出力を出すことができる。
【００６２】
次に、図７は本発明の第３の実施の形態における直流除去回路部７の説明図である。この第３の実施の形態は、第１の実施の形態における直流除去回路部７の２次側から信号を取り出せる検出回路部２３を備え、その出力信号の状態を制御装置３で読み込めるようにしたものである。制御装置３では、出力信号が正しく出力されているか否かを確認する。
【００６３】
図７（ａ）には、直流除去回路部７からの動作確認用信号の取り出す場合に、別の２次巻き線から取り出す場合を示し、図７（ｂ）には、同一の２次巻き線から取り出す場合を示している。
【００６４】
このように、第３の実施の形態では、直流除去回路部７の出力信号をモニタするために、検出回路部２３で信号を取り出し、その出力信号を制御装置３で監視するので、誤出力の防止および回路故障により出力をしていない場合の状態を監視できる。
【００６５】
次に、本発明の第４の実施の形態を説明する。第４の実施の形態では、第１の実施の形態における出力リレー９の出力接点と運動して動作する接点を設け、その接点のＯＮ／ＯＦＦ状態を読み返すことにより出力状態を制御装置３にて監視する。すなわち、各々の制御装置３は、出力リレー９の出力接点と運動して動作する接点のＯＮ／ＯＦＦ状態を読み込み、制御装置３の出力信号に対応した出力信号が出力されているか否かを監視する。これにより、出力リレー９の動作状態を確認できるので、出力リレー９およびそれ以前の回路の異常状態の監視を行うことができる。
【００６６】
図８は、出力リレー９の出力接点と運動して動作する接点の状態を読み込む読込回路の故障状態を監視するオフチェック回路の説明図であり、図８（ａ）は、試験周期毎に読込回路の入力を切り入力状態の正常異常を確認するオフチェック回路を示し、図８（ｂ）は、試験周期毎に読込回路に対してＯＦＦ信号を入力し、入力状態の正常異常を確認するオフチェック回路を示したものである。
【００６７】
図８（ａ）において、オフチェック信号が０になったときに、入力電流バイパス用フォトカプラ１５がＯＮとなり、今まで入力電流が流れていた入力用フォトカプラ１４の発光ダイオード側から入力電流バイパス用フォトカプラ１５のトランジスタ側に流れるようになる。このため、入力信号はＯＦＦとなる。
【００６８】
ここで、試験周期毎に読込回路の入力を切るのは、以下の理由による。すなわち、出力リレー９の出力接点と運動して動作する読込みのための接点がｂ接点である場合には、出力がされていない状態でＯＮの状態が読み込める。このため、ＯＮを出力しているときに、読込回路がＯＮ故障しているときには、ＯＮの状態となり、制御装置３は、出力していないと認識してしまう。そこで、読込回路に対して、入力を遮断してＯＦＦとなる信号を与えると、その状態が読み込めることになる。これを制御装置３が確認することにより、読込回路が正常であることを確認する。
【００６９】
次に、図８（ｂ）において、オフチェック信号が「０」の時には、入力電流遮断用フォトカプラ１６の発光ダイオードには電流が流れ、入力用フォトカプラ１４にが導通するので、入力電流が流れる。一方、オフチェック信号が「１」の時には、入力電流遮断用フォトカプラ１６のトランジスタがＯＦＦとなるため入力用フォトカプラ１４もＯＦＦとなり、入力信号がＯＦＦになる。
【００７０】
このように、制御装置３は、出力リレー９の出力接点と運動して動作する接点の状態を読み込む読込回路の入力状態を試験周期毎にＯＦＦにし、読込回路の正常状態を確認するようにしたので、入力信号がＯＮ故障となり、常にＯＮの状態を制御装置が読み込むことを防止できる。つまり、ＯＦＦチェックすることにより、読込回路の入力回路がＯＦＦになることを確認できる。
【００７１】
次に、図９は本発明の第５の実施の形態におけるＯＲ回路部５の説明図である。この第５の実施の形態は、第１の実施の形態におけるＯＲ回路部５に制御装置３が正常な時にＯＮする条件接点を設け、制御装置３が異常状態となったときには、制御電源の供給を遮断することにより、それ自身の出力を遮断するようにしたものである。これにより誤出力を防止する。
【００７２】
図９において、ＯＲ回路部５に電源を供給する制御電源線に条件接点を挿入し、制御装置３が自らその異常を検出した場合、または別の異常検出器で制御装置の異常を検出した場合に制御電源線を遮断する。これにより、２ＡＮＤ回路部４の出力信号を遮断することができるので、その系統が異常となった場合に異常出力することを防ぐことができる。
【００７３】
この第５の実施の形態によれば、ＯＲ回路部５に供給している制御電源線に制御装置３が正常であることを示す条件接点を入れることにより、制御装置３が異常を検出したときには、その制御装置３の出力を遮断することができるので、誤出力を防止できる。
【００７４】
【発明の効果】
以上述べたように、本発明によれば、寿命部品であるリレーの使用個数を減らすことのできるので、付面積が小さくて済み寿命も長くなる。また、故障の際にも誤出力を防止できるので、信頼性を向上させることができる。
【図面の簡単な説明】
【図１】図１は、本発明の第１の実施の形態に係わるフェールセーフ出力装置の構成図である。
【図２】図２は、本発明の第１の実施の形態における２ＡＮＤ回路部の構成図である。
【図３】図３は、本発明の第１の実施の形態における２ＡＮＤ回路部の各部の動作信号を示すタイムチャートである。
【図４】図４は、本発明の第１の実施の形態におけるＯＲ回路部および直流除去回路部の詳細図である。
【図５】図５は、本発明の第２の実施の形態に係わるフェールセーフ出力装置の構成図である。
【図６】図６は、本発明の第２の実施の形態における照合回路部の説明図である。
【図７】図７は、本発明の第３の実施の形態における直流除去回路部の説明図である。
【図８】図８は、本発明の第４の実施の形態における読込回路の故障状態を監視するオフチェック回路の説明図である。
【図９】図９は、本発明の第５の実施の形態におけるＯＲ回路部５の説明図である。
【図１０】従来の多数決論理処理を行うフェールセーフ出力装置の説明図である。
【符号の説明】
１クロック発生部
２タイミング発生部
３制御装置
４２ＡＮＤ回路部
５ＯＲ回路部
６ 2 out of 3照合回路部
７直流除去回路部
８整流回路部
９出力リレー
１０ＡＮＤ回路
１１ＪＫ−ＦＦ
１２Ｄ一ＦＦ
１３照合回路部
１４入力用フォトカプラ
１５入力電流バイパス用フォトカプラ
１６入力電流遮断用フォトカプラ
１７多数決回路
１８出力回路部
１９ＯＲ回路
２０Ａ＆ＢＸＹロジック
２１同等回路要素
２２排他的論理和回路
２３検出回路部[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a fail-safe output device having a fail-safe property of outputting an output signal from a triple control device by performing majority rule processing.
[0002]
[Prior art]
For example, in a control device in the field of railway, three control devices that perform the same calculation are provided, the control device is tripled, and the output signal from the tripled control device is output based on the majority rule. There is. A fail-safe output device that performs majority logic processing in this case has a circuit configuration as shown in FIG.
[0003]
This is composed of three systems of A system, B system, and C system, and outputs the outputs from the control apparatuses 3A, 3B, and 3C of each system through output relays 9A, 9B, and 9C, respectively. That is, the majority circuit 17 is configured by using the contacts A1, B1, and C1 of the output relays 9A, 9B, and 9C, and majority logic processing is performed by the majority circuit 17 so that two of the three outputs are matched. If it is normal, it is output to the outside. Thus, even if the 1-system control device 3 fails and erroneously outputs, the majority circuit 17 can prevent erroneous output to the outside. In this way, fail-safe properties are provided.
[0004]
[Problems to be solved by the invention]
However, in such a conventional fail-safe output device, the majority circuit 17 is configured by combining the contacts A1, B1, and C1 of the three output relays 9A, 9B, and 9C, and the three-system control devices 3A, 3B, and 3C are combined. Output is logically operated (2 out of 3), so three output relays 9 are required for one output, and when trying to maintain fail-safety, the output relay The mounting area and life of 9 are a problem.
[0005]
An object of the present invention is to provide a fail-safe output device that has a small mounting area and a long service life, and that can prevent erroneous output even in the event of a failure and has improved reliability.
[0006]
[Means for Solving the Problems]
  A fail-safe output device according to a first aspect of the present invention comprises a clock generator for generating a basic clock, and a fixed period for pulsing signals output from three control devices based on the basic clock from the clock generator. Are provided for each combination of a timing generator for generating a pulse signal and two of the three control devices, and an output signal of each of the two control devices and a pulse from the timing generator. Each logical product signal is obtained, and a logical sum signal between the logical product signals is obtained. When the signals output from the two control devices are both at a high level, the logical sum signal is periodically changed in signal level. 3 units that output as alternating signals that change toAlternating signal generation circuitAnd eachAlternating signal generation circuitOR circuit unit that inputs an alternating signal from the output and outputs a logical sum, a DC removal circuit unit that removes a DC component from the output signal of the OR circuit unit, and a rectifier that rectifies the alternating signal from which the DC component has been removed by the DC removal circuit unit A circuit unit and an output relay driven by an output signal rectified by the rectifier circuit unit are provided.
[0007]
  In the fail-safe output device according to the first aspect of the invention, the timing generator generates a timing signal for pulsing the signals output from the three controllers based on the basic clock from the clock generator. Provided for each combination of two of the three control devicesAlternating signal generation circuitGenerates an alternating signal for each combination of two control devices based on the output signal of each control device and the timing signal from the timing generation unit, and ORs each alternating signal by the OR circuit unit. The DC component is removed from the output signal of the OR circuit unit by the DC removing circuit unit and rectified by the rectifying circuit unit. Then, the output relay is driven by the output signal rectified by the rectifier circuit unit. Therefore, when the failure occurs and the alternating signal is not output, the output relay is turned OFF and erroneous output is prevented.
[0008]
  The fail-safe output device according to the invention of claim 2 is the fail-safe output device of claim 1, wherein each control device outputs two signals per output point,Alternating signal generation circuitIs characterized in that an alternating signal is generated only when both signals are at a high level.
[0009]
  In the fail-safe output device according to the invention of claim 2, in addition to the operation of the fail-safe output device of claim 1,Alternating signal generation circuitThe two signals output from the controller are bothhigh levelAn alternating signal is generated only when Therefore, when the output signal is not an alternating signal,Alternating signal generation circuitCan be determined as a malfunction.
[0010]
  The fail-safe output device according to the invention of claim 3 is the fail-safe output device of claim 2,Alternating signal generation circuitA circuit element constituting the operation result of the circuit element andAlternating signal generation circuitA verification circuit with a function to compare the operation results ofAlternating signal generation circuitIs characterized in that two signals per one output point are output, and two inspection signals corresponding to the two signals per one output point are output to the collating circuit.
[0011]
  In the fail-safe output device according to the invention of claim 3, in addition to the operation of the fail-safe output device of claim 2, based on the output for inspection by the comparison function of the verification circuitAlternating signal generation circuitVerify that is normal.
[0012]
The fail-safe output device according to claim 4 is the fail-safe output device according to claim 1, wherein the control device confirms whether or not the output signal on the secondary side of the DC removal circuit unit is being output correctly. It is characterized by that.
[0013]
In the fail-safe output device according to the invention of claim 4, in addition to the operation of the fail-safe output device of claim 1, the fact that the output signal is correctly output is based on the output signal on the secondary side of the DC removal circuit unit. Check.
[0014]
  In the fail safe output device according to the invention of claim 5,One system is described in claim 13 unitsAlternating signal generation circuitAn OR circuit unit, a rectification removal circuit unit, a rectification circuit unit,And a timing generator according to claim 1 for supplying a pulse signal having a constant period to three alternating signal generation circuit units of each system, and an output signal output from each system And an output relay driven by a logical sum signal.
[0015]
In the fail-safe output device according to the invention of claim 5, in addition to the operation of the fail-safe output device of claim 1, when one of the duplexed systems fails, the output signal of the other system is output.
[0016]
  The fail-safe output device according to the invention of claim 6 is the fail-safe output device of claim 1, wherein the control device includes an output contact of the output relay.In conjunctionThe output state is monitored by reading the ON / OFF state of the contact that operates.
[0017]
In the fail-safe output device according to the invention of claim 6, in addition to the action of the fail-safe output device of claim 1, the output state is monitored by the control device according to the ON / OFF state of the output relay.
[0018]
  The fail-safe output device according to the invention of claim 7 is the fail-safe output device of claim 6, wherein the control device includes an output contact of the output relay.InterlockingThe input state of the reading circuit that reads the state of the contact that operates in this manner is cut at every test cycle, and the normal state of the reading circuit is confirmed.
[0019]
In the fail-safe output device according to the invention of claim 7, in addition to the operation of the fail-safe output device of claim 6, the input state of the read circuit is cut every test cycle, and then the signal is input to the read circuit to Check the normal status.
[0020]
  The fail-safe output device according to the invention of claim 8 is the fail-safe output device of claim 6, wherein the control device includes an output contact of the output relay.In conjunctionThe input state of the reading circuit that reads the state of the contact that operates is turned off every test cycle, and the normal state of the reading circuit is confirmed.
[0021]
In the fail-safe output device according to the invention of claim 8, in addition to the operation of the fail-safe output device of claim 6, the input state of the read circuit is turned OFF every test cycle, and then the read circuit is turned ON to turn on the read circuit. Check the normal status
The fail-safe output device according to the invention of claim 9 is the fail-safe output device according to claim 1, wherein when the control device is in an abnormal state, the supply of the control power to the OR circuit section is stopped. It is characterized by.
[0022]
In addition to the operation of the failsafe output device of claim 1, the facesafe output device according to the invention of claim 9 controls the control power supply when the control device becomes abnormal with respect to the control power supply supplied to the OR circuit section. The output of is shut off. As a result, the output from the control device in an abnormal state is blocked.
[0023]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below. FIG. 1 is a configuration diagram of a fail-safe output device according to a first embodiment of the present invention.
[0024]
The clock generation unit 1 periodically generates eight pulses P1, P2, and P8, and the basic clock from the clock generation unit 1 is input to the timing generation unit 2. The timing generation unit 2 periodically generates four pulses P1, P3, P5, and P7 based on the basic clock and supplies them to the output circuit unit 18, as will be described later. That is, the timing generator 2 generates a timing signal for pulsing signals output from the three control devices 3 of the A-system control device 3A, the B-system control device 3B, and the C-system control device 3C.
[0025]
  The output circuit unit 18 includes a 2 out of 3 verification circuit unit 6, a DC removal circuit unit 7, and a rectifier circuit unit 8. Furthermore, the 2 out of 3 matching circuit section 6 has threeAs an alternating signal generation circuit2 AND circuit part 4 and OR circuit 5 are comprised.As an alternating signal generation circuitThe 2AND circuit unit 4 is provided for each combination of two control devices of the three control devices 3A, 3B, and 3C. The 2AND circuit unit 4 receives the output signal of each control device 3 and the timing signal from the timing generation unit 2. Based on this, an alternating signal is generated for each combination of two control devices, as will be described later. The OR circuit unit 5 receives the alternating signal from each 2 AND circuit unit 4 and outputs a logical sum.
[0026]
The output signal of the OR circuit unit 5 is input to the DC removal circuit unit 7 where the DC component is removed and further rectified by the rectification circuit unit 8. The output relay 9 is driven by the output signal rectified by the rectifier circuit unit 8.
[0027]
FIG. 2 is a configuration diagram of the 2AND circuit unit 4, and FIG. 3 is a time chart showing operation signals of each unit of the 2AND circuit unit 4. As described above, the 2AND circuit unit 4 is provided for each combination of two control devices of the three control devices 3A, 3B, and 3C. Now, let the two control devices be an A-system control device 3A and a B-system control device 3B. Further, as shown in FIG. 2, the 2AND circuit unit 4 has two series of X series and Y series, so that each control device 3A, 3B outputs two outputs per output point. . That is, the output signals of the A system control device 3A are AX and AY (AX = AY), and the output signals of the B system control device 3B are BX and BY (BX = BY).
[0028]
The AND circuit 10a receives the output signal AX of the A-system control device 3A and the pulse signal P1 from the timing generator 2, and calculates a logical product. Similarly, the output signal BX of the B-system controller 3B and the pulse signal P3 from the timing generator 2 are input to the AND circuit 10b, and the output signal AY of the A-system controller 3A and the timing generator 2 are input to the AND circuit 10c. And the pulse signal P7 from the timing generator 2 are input to the AND circuit 10d, and the logical product is calculated.
[0029]
As shown in FIG. 3, the pulse signals P1, P3, P5, and P7 are timing signals given from the timing generator 2 based on the basic clock CLK from the clock generator 1, and are output from the A-system controller 3A. The signals AX and AY (AX = AY) and the output signals BX and BY (BX = BY) of the B-system control device 3B are given as square waves.
[0030]
The output signal of the AND circuit 10a and the output signal of the AND circuit 10b are input to the OR circuit 19a, and an OR operation is performed to output an output signal ABX13. The output signal ABX13 is input to the CK terminal of the JK flip-flop (JKFF) 11a. Similarly, the output signal of the AND circuit 10c and the output signal of the AND circuit 10d are input to the OR circuit 19b and subjected to a logical sum operation to output an output signal ABY57. The output signal ABY57 is input to the CK terminal of the JK flip-flop (JKFF) 11b.
[0031]
Further, the J terminal of the JK flip-flop 11a receives the output signal AX1 of the AND circuit 10e that takes the logical product of the output signal AX of the A-system control device 3A and the timing signal T1. An output signal AXT5 of the AND circuit 10f that takes the logical product of the output signal AY of the A-system control device 3A and the timing signal T5 is input to the J terminal.
[0032]
Furthermore, a logical sum operation of the output signal AX of the A-system control device 3A and the output signal BX of the B-system control device 3B is applied to the CL terminal of the JK flip-flop 11a and the CL terminal of a D flip-flop (DFF) 12a described later. The output signal of the OR circuit 19c that performs the above is input. Similarly, the OR operation of the output signal AY of the A system control device 3A and the output signal BY of the B system control device 3B is applied to the CL terminal of the JK flip flop 11b and the CL terminal of the D flip flop (DFF) 12b described later. The output signal of the OR circuit 19d that performs the above is input.
[0033]
When the output signal AX of the A-system control device 3A and the output signal BX of the B-system control device 3B are both “1” (AX = BX = 1), the output signal ABXFF of the JK flip-flop 11a is the pulse signal P1. It is set at the timing and reset at the timing of the pulse signal P3. That is, the output signal ABXFF of the JK flip-flop 11a is an alternating signal.
[0034]
If any of the output signal AX of the A-system control device 3A and the output signal BX of the B-system control device 3B is “0”, one of the terminals of the JK flip-prop 11a is “0”. In addition, the JK flip-flop 11a remains in the set or reset state and does not change state. At the same time, the output signal ABXFF is cleared in a DC manner by a signal from the CL terminal of the JK flip-flop 11a.
[0035]
  Therefore, the output of the output signal ABXFF of the JK flip-flop 11a becomes an alternating signal only when AX = BX = 1, which is the output signal AX of the A system control device 3A and the output of the B system control device 3B. Since the output signal BX is ANDed,The JK flip-flop 11a, the AND circuits 10a and 10b, and the OR circuit 19aAND of output signal AX of A system control device 3A and output signal BX of B system control device 3BThe main part of the alternating signal generation circuit part (2AND circuit part) which outputs an alternating signal only when conditions are satisfied is comprised.
[0036]
Similarly, for the other output signal AY of the A-system control device 3A and the other output signal BY of the B-system control device 3B, the output signal AY of the A-system control device 3A and the output signal BY of the B-system control device 3B are both When “1” (AY = BY = 1), the output signal ABYFF of the JK flip-flop 11b is set at the timing of the pulse signal P5 and reset at the timing of the pulse signal P7. That is, the output signal ABYFF of the JK flip-flop 11b is an alternating signal.
[0037]
When any one of the output signal AY of the A system control device 3A and the output signal BY of the B system control device 3B is “0”, one of the terminals of the JK flip-prop 11b is “0”. In addition, the JK flip-flop 11b remains in the set or reset state and does not change state. At the same time, the output signal ABYFF is cleared in a DC manner by a signal from the CL terminal of the JK flip-flop 11b.
[0038]
  Therefore, the output of the output signal ABYFF of the JK flip-flop 11b becomes an alternating signal only when AY = BY = 1. This is because the output signal AY of the A system controller 3A and the B system controller 3B Since the output signal BY is ANDed,The JK flip-flop 11b, the AND circuits 10c and 10d, and the OR circuit 19bIs the AND of the output signal AY of the A system control device 3A and the output signal BY of the B system control device 3B.The main part of the alternating signal generation circuit part (2AND circuit part) which outputs an alternating signal only when conditions are satisfied is comprised.
[0039]
Next, an AND circuit of alternating signals of the X signal and the Y signal is realized by the D flip-flop 12a and the D flip-flop 12b. The signal on the “1” side of the D flip-flop 12a is shifted to the D flip-flop 12b by the rising signal (timing of the pulse P5) of the output signal ABYFF of the JK flip-flop 11b.
[0040]
Next, at the rise of the output signal ABXFF of the flip-flop 11a (the timing of the pulse P1), the signal on the “0” side (invert side) of the D flip-flop 12b is shifted to the D flip-flop 12a.
[0041]
When operating normally, the D flip-flop 12a shifts the current state to the D flip-flop 12b at the timing of the pulse signal P5 (rising edge of ABYFF), and D at the timing of the pulse signal P1 (rising edge of ABXFF). The invert signal of the flip-flop 12b (the invert state at the timing of the previous P1) is fetched. Therefore, when operating normally, the D flip-flop 12a becomes an alternating signal that alternately repeats "1" and "0" at the timing of the pulse signal P1.
[0042]
If either the output signal AX of the A-system control device 3A or the output signal BX of the B-system control device 3B is “0”, the D flip-flop 12a remains reset and does not change alternately. This is because the output signal AX of the A system control device 3A and the output signal BX of the B system control device 3B are input to the CL terminal of the D flip-flop 12a. This is because when the output signal BX of the device 3B becomes “0”, DC clearing is applied, and when the pulse of the JK flip-flop 11a disappears, the state of the output signal AB1FF of the D flip-flop 12a does not change.
[0043]
Similarly, if either the output signal AY of the A-system control device 3A or the output signal BY of the B-system control device 3B is “0”, the D flip-flop 12b remains reset. When the state of either the D flip-flop 12a or the D flip-flop 12b is fixed to “1” or “0”, the other flip-flops are also fixed. Therefore, the output signal AB1FF of the D flip-flop 12a is an AND circuit in which the X signal and the Y signal of the A system control device 3A and the four signals of the X signal and the Y signal of the B system control device 3B are alternated.
[0044]
Next, the OR circuit unit 5 ORs the alternating A & B signal while the other B & C and C & A signals remain the alternating signal. To that end, it is necessary to synchronize the timing. Therefore, A & BXY logic 20 is provided. The output signal AB1FF of the D flip-flop 12a and the output signal AB2FF of the D flip-flop 12b are converted into alternating signals at the timing of the pulse signal P1 and the pulse signal P5 in the normal state, but the output signal AB1FF is converted at the timing of the pulse signal P1. I don't know if it will be "1" or "0".
[0045]
Therefore, when the output signal A & BXY is normal, the A & BXY logic 20 always operates so that the pulse signal P1 to the pulse signal P4 is “1” and the pulse signal P5 to the pulse signal P8 is “0”. Therefore, an exclusive OR (EXCLUSIVE OR) of the output signal AB1FF of the D flip-flop 12a and the output signal AB2FF of the D flip-flop 12b is taken. As a result, the alternating signals of the output signals B & CXY and the output signals C & AXY of the other two 2AND circuit units 4 are synchronized, and the OR circuit unit 5 ORs the three signals. As a result, it is possible to configure the logic of the majority logic (2 out of 3) of the output signals converted into alternating signals of the A system, the B system, and the C system.
[0046]
FIG. 4 is a detailed diagram of the OR circuit unit 5 and the DC removal circuit unit 7. The OR circuit unit 5 includes a diode and a control power supply, and outputs an output signal A & BXY of the A-system 2AND circuit unit 4, an output signal B & CXY of the B-system 2AND circuit unit 4, and an output signal C & AXY of the C-system 2AND circuit unit 4 OR operation is performed on each of the output signals converted into alternating signals of the three systems. The output signal of the OR circuit unit 5 becomes the logic output signal of the majority logic (2 out of 3) of each output signal of the A system control device 3A, the B system control device 3B, and the C system control device 3C. Since the logic output signal from the OR circuit unit 5 is given as an alternating signal in the normal state, the direct current removing circuit unit 7 removes the direct current component from the alternating signal and extracts the alternating current component. For this reason, a transformer is used to take out the change on the primary side (AC component) on the secondary side.
[0047]
As described above, in the first embodiment, the 2AND circuit unit is provided for each combination of the two control devices in the infield of the three control devices, and the output signals output from the two control devices are generated as timing signals. The AND pulse and the AND condition are taken, a pulse train with ON / OFF timing shifted is generated, and the R flip-flop is set / reset by the output pulse. Thus, the 2AND circuit unit outputs an alternating signal when the output signals from the two control devices are both “1”.
[0048]
The alternating outputs of each of the two 2AND circuit units are ORed by the OR circuit unit 5, thereby obtaining a logic output signal of the majority logic (2 out of 3) of each output signal. The DC signal is removed, and the alternating signal from which the DC component is removed is rectified by the rectifier circuit unit 8 to drive the output relay 9. Therefore, when a failure occurs and the alternating signal is no longer output, the output relay is turned OFF, and it is possible to prevent an ON signal from being erroneously output.
[0049]
Further, in the first embodiment, by outputting two output signals X and Y per output point from each control device 3, the 2AND circuit unit 4 creates ABXFF and ABYFF, AB1FF and AB2FF. The alternating signal is generated only when the two signals are both “1” (ON) by turning on by the one signal and turning off by the other signal. Therefore, when a failure occurs in the output circuit unit 18 of the control device 3, the signal is fixed to ON or OFF, so that it is not erroneously output without being an alternating signal.
[0050]
Next, a second embodiment of the present invention will be described. FIG. 5 is a configuration diagram of a fail-safe output device according to the second embodiment of the present invention. In the second embodiment, in comparison with the first embodiment shown in FIG. 1, each 2 AND circuit section 4 is provided with a collation circuit section 13 and the output circuit section 18 is duplicated. .
[0051]
The collation circuit unit 13 includes circuit elements constituting the 2AND circuit unit 4 and has a function of comparing the operation result of the circuit element with the operation result of the 2AND circuit unit 4. Each control device 3 outputs two signals X and Y per output point to the 2AND circuit unit 4, and two verification signals corresponding to the two signals X and Y are output to the collation circuit unit 13. Signals S and T are output.
[0052]
That is, the operation result of the 2AND circuit unit 4 with respect to the two output signals X and Y per one point of output from each control device 3, and the operation result of the matching circuit with respect to the two test signals S and T Are compared by the comparison element of the collation circuit unit 13 to detect whether they match or not. When signals (S = X, T = Y) that coincide with the two output signals X and Y are output as the inspection signals S and T, it is determined that the operation results are normal. On the other hand, when signals that do not match the two output signals X and Y are output as the inspection signals S and T, it is normal that the operation results do not match.
[0053]
That is, as the inspection signals S and T, in order to confirm the operation of coincidence / non-coincidence, the control device forcibly outputs the coincidence state and the non-coincidence state at regular intervals (about 1 second), and the coincidence / non-coincidence It can be detected. As described above, the detection of the mismatch by the test outputs the two signals so as to conflict with each other, and confirms that the mismatch is reliably detected. Thereby, it is always monitored that the mismatch detection of the two signals is functioning normally.
[0054]
Next, consider a case where the output signal AB1FF of the D flip-flop 12a and the output signal AB2FF of the D flip-flop 12b output an alternating signal due to some failure. In this case, the output signal ABXFF of the JK flip-flop 11a should be an alternating signal. The output signal ABXFF of the JK flip-flop 11a becomes an alternating signal when the output signal AXP1 of the AND circuit 10a and the output signal BXP3 of the AND circuit 10b are erroneously pulsed. In particular, a failure of through of the pulse P1 and the pulse signal P3 can be considered.
[0055]
In this case, the circuit element of the collation circuit unit 13 has the same circuit as the OR circuit 19a of the 2AND circuit unit 4, and the output signal of the OR circuit 19a of the 2AND circuit unit 4 and the circuit of the collation circuit unit 13 The output signal of the element is compared and collated with the comparison element, and the result is judged by the control device. This comparison and collation is performed every clock and stored. Reset is performed by an output (TEST signal) from the control device 3. This confirms the soundness of the detection circuit.
[0056]
FIG. 6 is an explanatory diagram of the matching circuit unit 13 in that case. The equivalent circuit element 21 for obtaining the output signal ABS13 equivalent to the output signal ABX13 of the OR circuit 19a of the 2AND circuit unit 4 is constituted, and the output signal ABX13 of the OR circuit 19a of the 2AND circuit unit 4 and the exclusive OR circuit (EOR) ) The match / mismatch is detected at 22 and the match / mismatch is output via the JK flip-flops 11c and 11d. An input signal AS (S signal of the control device A) to the equivalent circuit element 21 outputs the same signal as AX during normal times, but outputs a signal having a sign opposite to that of AX during testing. Since an equivalent circuit element for obtaining an output signal ABT13 equivalent to the output signal ABY13 of the OR circuit 19b of the 2AND circuit unit 4 is configured in the same manner, description thereof is omitted.
[0057]
If the output signal ABX13 and the output signal ABS13 match, the JK flip-flop 11d (mismatch FF) is not set, but if the output signal ABX13 and the output signal ABS13 do not match, the JK flip-flop 11d (mismatch FF) Set every clock. Once set, it is not reset until a reset signal (TEST) from the control device 3 is received. Therefore, when a mismatch occurs during normal operation, the JK flip-flop 11c (match FF) and the JK flip-flop 11d (mismatch FF) are set at the same time.
[0058]
The confirmation of the coincidence detection operation is performed by a test output from the software of the control device 3. During the test, the AX signal bar (AX invert signal) is input to the AS signal, so a mismatch always occurs. Therefore, when testing, a reset signal (test start) and a test signal (AS = AX bar) are output simultaneously, and then the reset signal is turned off. With these circuits, the soundness of the output signal ABX13 of the OR circuit 19a of the 2AND circuit unit 4 can be checked.
[0059]
When the check is completed, the TEST signal is turned off, a reset signal is issued, and a normal mismatch detection operation is started. Note that both JK flip-flops 11c and 11d that match and do not match are provided so that the status of match and mismatch can be checked at any time. These JK flip-flops 11c and 11d are always reversed in the output state between “1” and “0” during normal operation or during a test. However, when a mismatch is correctly detected, both JK flip-flops 11c, 11d is set. Mismatch detection is performed for two bits AX and AY.
[0060]
Further, by dividing the output circuit unit 18 into two systems, if one system fails and no output is output, the other system outputs an output.
[0061]
As described above, in the second embodiment, two output signals X and S (or Y and T) are output from the same control device 3, and the operation results are compared with a comparison element in a short cycle. To detect the match or mismatch of the signals and confirm the safety (signal correctness). Therefore, by outputting the same signal as the output signal X at the normal time (when not testing) as the inspection signal S, it is possible to detect a failure (mismatch with S) of the X signal from the control device 3. . Further, when one output circuit unit 18 fails and no output can be output, an output can be output from the other output circuit unit 18.
[0062]
Next, FIG. 7 is an explanatory diagram of the DC removal circuit unit 7 in the third embodiment of the present invention. The third embodiment includes a detection circuit unit 23 that can extract a signal from the secondary side of the DC removal circuit unit 7 in the first embodiment, and the control device 3 can read the state of the output signal. Is. In the control device 3, it is confirmed whether or not the output signal is correctly output.
[0063]
FIG. 7A shows a case where an operation confirmation signal is taken out from the DC removal circuit unit 7 and is taken out from another secondary winding. FIG. 7B shows the same secondary winding. The case where it takes out from is shown.
[0064]
As described above, in the third embodiment, in order to monitor the output signal of the DC removal circuit unit 7, the signal is extracted by the detection circuit unit 23, and the output signal is monitored by the control device 3. It is possible to monitor the state when there is no output due to prevention and circuit failure.
[0065]
Next, a fourth embodiment of the present invention will be described. In the fourth embodiment, a contact that moves and operates with the output contact of the output relay 9 in the first embodiment is provided, and the output state is controlled by the control device 3 by reading back the ON / OFF state of the contact. Monitor. That is, each control device 3 reads the ON / OFF state of the contact that moves and operates with the output contact of the output relay 9, and monitors whether an output signal corresponding to the output signal of the control device 3 is output. To do. Thereby, since the operation state of the output relay 9 can be confirmed, it is possible to monitor the abnormal state of the output relay 9 and the previous circuit.
[0066]
FIG. 8 is an explanatory diagram of an off-check circuit that monitors the failure state of the reading circuit that reads the state of the contact that operates by moving with the output contact of the output relay 9, and FIG. FIG. 8B shows an off-check circuit that turns off the circuit input and confirms whether the input state is normal or abnormal. FIG. A check circuit is shown.
[0067]
In FIG. 8A, when the off check signal becomes 0, the input current bypass photocoupler 15 is turned ON, and the input current bypass from the light emitting diode side of the input photocoupler 14 where the input current has been flowing so far. It flows to the transistor side of the photocoupler 15 for use. For this reason, the input signal is turned off.
[0068]
Here, the input of the reading circuit is cut off every test cycle for the following reason. In other words, when the reading contact that moves and operates with the output contact of the output relay 9 is the b contact, the ON state can be read without output. For this reason, if the reading circuit has an ON failure while outputting ON, the control device 3 recognizes that it is not outputting. Therefore, when a signal that shuts off the input and turns OFF is given to the reading circuit, the state can be read. By confirming this, the control device 3 confirms that the reading circuit is normal.
[0069]
Next, in FIG. 8B, when the off check signal is “0”, a current flows through the light emitting diode of the input current cut-off photocoupler 16 and the input photocoupler 14 is conducted. Flowing. On the other hand, when the off check signal is “1”, the transistor of the input current cutoff photocoupler 16 is turned off, so the input photocoupler 14 is also turned off, and the input signal is turned off.
[0070]
In this way, the control device 3 turns off the input state of the reading circuit that reads the state of the contact that moves and operates with the output contact of the output relay 9, and checks the normal state of the reading circuit. Therefore, it is possible to prevent the control device from reading the ON state at all times when the input signal becomes ON failure. In other words, it can be confirmed that the input circuit of the reading circuit is turned OFF by performing the OFF check.
[0071]
Next, FIG. 9 is an explanatory diagram of the OR circuit unit 5 in the fifth embodiment of the present invention. In the fifth embodiment, a conditional contact that is turned on when the control device 3 is normal is provided in the OR circuit unit 5 in the first embodiment, and when the control device 3 is in an abnormal state, control power is supplied. By shutting off, the output of itself is cut off. This prevents erroneous output.
[0072]
In FIG. 9, when a condition contact is inserted into the control power supply line that supplies power to the OR circuit unit 5 and the control device 3 detects the abnormality by itself, or when the abnormality of the control device is detected by another abnormality detector. Shut off the control power line. Thereby, since the output signal of the 2AND circuit unit 4 can be cut off, it is possible to prevent abnormal output when the system becomes abnormal.
[0073]
According to the fifth embodiment, when the control device 3 detects an abnormality by inserting a conditional contact indicating that the control device 3 is normal in the control power supply line supplied to the OR circuit unit 5. Since the output of the control device 3 can be cut off, erroneous output can be prevented.
[0074]
【The invention's effect】
As described above, according to the present invention, the number of relays that are life parts can be reduced, so that the area required is small and the life is long. Moreover, since erroneous output can be prevented even in the event of a failure, reliability can be improved.
[Brief description of the drawings]
FIG. 1 is a configuration diagram of a fail-safe output device according to a first embodiment of the present invention.
FIG. 2 is a configuration diagram of a 2AND circuit unit according to the first embodiment of the present invention.
FIG. 3 is a time chart showing operation signals of respective parts of the 2AND circuit part in the first embodiment of the present invention;
FIG. 4 is a detailed diagram of an OR circuit unit and a DC removal circuit unit in the first embodiment of the present invention.
FIG. 5 is a configuration diagram of a fail-safe output device according to a second embodiment of the present invention.
FIG. 6 is an explanatory diagram of a collation circuit unit according to the second embodiment of the present invention.
FIG. 7 is an explanatory diagram of a DC removal circuit unit according to a third embodiment of the present invention.
FIG. 8 is an explanatory diagram of an off-check circuit that monitors a failure state of a read circuit according to a fourth embodiment of the present invention.
FIG. 9 is an explanatory diagram of an OR circuit unit 5 according to a fifth embodiment of the present invention.
FIG. 10 is an explanatory diagram of a conventional failsafe output device that performs majority logic processing.
[Explanation of symbols]
1 Clock generator
2 Timing generator
3 Control device
4 2AND circuit part
5 OR circuit
6 2 out of 3 verification circuit
7 DC removal circuit
8 Rectifier circuit
9 Output relay
10 AND circuit
11 JK-FF
12 D FF
13 Verification circuit
14 Photocoupler for input
15 Input current bypass photocoupler
16 Input current cut-off photocoupler
17 Majority circuit
18 Output circuit section
19 OR circuit
20 A & BXY Logic
21 Equivalent circuit elements
22 Exclusive OR circuit
23 Detection circuit

Claims

A clock generator for generating a basic clock;
A timing generator for generating a pulse signal having a constant period for pulsing signals output from three control devices based on a basic clock from the clock generator;
Provided for each combination of two control devices of the three control devices, obtain each logical product signal of each output signal of the two control devices and the pulse signal from the timing generation unit, A logical sum signal between these logical product signals is obtained, and when the signals output from the two control devices are both at a high level, the logical sum signal is output as an alternating signal whose signal level periodically changes. Alternating signal generation circuit section of the table,
An OR circuit unit that inputs an alternating signal from each of the alternating signal generation circuit units and outputs a logical sum;
A direct current removing circuit part for removing a direct current component from the output signal of the OR circuit part;
A rectifying circuit unit for rectifying the alternating signal from which the DC component has been removed by the DC removing circuit unit;
A fail-safe output device comprising: an output relay driven by an output signal rectified by the rectifier circuit unit.

2. The fail-safe output device according to claim 1, wherein each control device outputs two signals per output point, and the alternating signal generation circuit section generates an alternating signal only when both signals are at a high level. A fail-safe output device characterized by that.

In the fail-safe output apparatus according to claim 2, wherein the alternating signal generating circuit includes a circuit element constituting the matching circuit having a function of comparing the operation result of the operation result and the alternating signal generating circuit of the circuit elements The control device outputs two signals per output point to the alternating signal generation circuit unit , and outputs two inspection signals corresponding to the two signals per output point to the verification circuit A fail-safe output device characterized by that.

2. The fail-safe output device according to claim 1, wherein the control device checks whether or not an output signal on the secondary side of the DC removal circuit unit is correctly output. .

One system is two systems consisting of three alternating signal generation circuit units described in claim 1, the OR circuit unit, the rectification removal circuit unit, and the rectification circuit unit ,
The timing generator according to claim 1, wherein a pulse signal having a constant period is supplied to three alternating signal generation circuit units of each system,
An output relay driven by a logical sum signal of output signals output from each of the systems;
Failsafe output apparatus characterized by comprising a.

2. The fail-safe output device according to claim 1, wherein the control device monitors an output state by reading an ON / OFF state of a contact operating in conjunction with an output contact of the output relay. Fail-safe output device.

7. The failsafe output device according to claim 6, wherein the control device cuts the input state of the reading circuit that reads the state of the contact that operates in conjunction with the output contact of the output relay at every test cycle, and sets the normal state of the reading circuit. A fail-safe output device characterized by being confirmed.

7. The failsafe output device according to claim 6, wherein the control device turns off the input state of the reading circuit that reads the state of the contact that operates in conjunction with the output contact of the output relay every test cycle, and the normal state of the reading circuit. A fail-safe output device characterized by confirming the above.

2. The fail-safe output device according to claim 1, wherein supply of control power to the OR circuit unit is stopped when the control device is in an abnormal state.