JP4103660B2

JP4103660B2 - 多重系情報処理装置

Info

Publication number: JP4103660B2
Application number: JP2003093087A
Authority: JP
Inventors: 悌渡部; 洋一杉田; 憲晴網谷
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2003-03-31
Filing date: 2003-03-31
Publication date: 2008-06-18
Anticipated expiration: 2023-03-31
Also published as: JP2004302708A

Description

【０００１】
【発明の属する技術分野】
本発明は、鉄道用の信号保安装置の安全性を保障するための複数の計算機を備えた多重系情報処理装置及び、各計算機間の照合装置と制御電文の伝送方法に関する。
【０００２】
【従来の技術】
鉄道の列車制御では、運行の安全性を確保するためにフェールセーフの考え方に基づいた信号装置を用いている。例えば転轍機制御の場合、列車通過中に転轍機が動作すると脱線をまねくことになるので、仮になんらかの故障が発生した場合でも不正な動作とならない構成となっていなくてはならない。
【０００３】
このようにフェールセーフとは、信号装置を構成する機器になんらかの故障が発生した場合でも、列車を制御する動作は安全側となるようにするというものである。前記の転轍機の場合では故障時には不正に動作しないよう構成され、信号機の場合は停止現示もしくは減灯するように構成されている。
【０００４】
従来から鉄道の信号装置ではフェールセーフ性を実現するために信号用リレーを用いている。信号用リレーは励磁コイルによって接点が閉じ、コイルに電流が流れない時には機械的なバネの力によって接点が開放される構成となっている。よって制御入力としての励磁コイルヘの電流が遮断される場合はバネが開放されるので、コイルに故障があっても同様に接点は開放される。リレー接点が閉じる側の故障として接点溶着の可能性があるが信号用リレーでは溶着が発生しにくいように接点の材質や構造を工夫している。よって接点が閉じる故障は開放する故障に比べ発生確率は極めて低いという、故障の非対称性が実現されている。
【０００５】
鉄道の信号装置では信号用リレーを制御信号伝達のスイッチとして利用し、また制御論理を構成する基本素子として用いた継電連動装置によって信号保安装置のフェールセーフ性を保証してきた。
【０００６】
近年では、信号装置の小型化，長寿命化のために、信号用リレーに代えて電子計算機で構成した電子連動装置が考案され、従来の継電器連動装置に置き換えられている。電子計算機の論理素子であるＭＰＵは半導体素子であるため信号用リレーのようにハードウェアそのもので安全側故障を保証することはできない。そこで電子計算機を用いた制御の安全性を保障するためには多重系構成が採用されてきた。これは制御のための情報処理を、複数の装置で平行して処理し、それぞれの処理結果を比較し、比較結果が同じであれば処理結果は正常であり、また比較結果が異なる場合は多重系装置のうちいずれかに異常が生じたと判断して処理結果を破棄することにより、処理が危険側に遷移することを防止する。
【０００７】
例えば特許文献１では、２つのＣＰＵを持つバス同期式コンピュータによるフェールセーフな処理装置の構成が示されている。それぞれのＣＰＵはバス同期により同じ処理を実行し、処理結果は比較回路で照合される。比較回路の出力は最終的にデータ出力装置の出力を制御するリレーに接続され、ＣＰＵの処理結果の比較に異常が生じた場合は出力を停止する構成となっている。
【０００８】
【特許文献１】
特開平９−２８９５３４号公報（全文）
【０００９】
【発明が解決しようとする課題】
従来の鉄道信号保安用制御装置では、出力される制御信号そのものにフェールセーフ性が求められたため制御装置になんらかの異常が発生した場合には制御信号を確実に停止する機構が必要であった。
【００１０】
例えば上述した特許文献１では出力はフェールセーフな素子であるリレーによって制御されている。またリレーを動作させる回路は振子回路であり、比較回路に異常が発生した場合でもリレーを落下させ出力を停止する仕組みとなっている。
【００１１】
このように電子計算機を用いた鉄道用信号保安装置でフェールセーフ性を実現するためにはフェールセーフな照合機構が必要であり、通常はフェールセーフなハードウェアによって実現されている。
【００１２】
従来は電子連動装置からの出方は直接信号機器に接続されていたため上記のようなフェールセーフな出力を制御する機構が必須であったが、近年では連動装置と信号機器はネットワークを経由して接続される構成も検討されている。この場合制御のフェールセーフ性を保証するためには、制御を実行する信号機器側に設置される信号機器制御装置にフェールセーフ性が求められる。よって連動装置側には出力をフェールセーフに制御するのではなく、信号機器制御装置がフェールセーフに制御を実行できることを保証する情報を出力することが求められる。また、連動装置側にはフェールセーフ性を保証するためのハードウェアを省略することが望まれる。
【００１３】
本発明の目的は、データ照合を実行するフェールセーフなハードウェアを省略し、外部でフェールセーフな制御を実行するために必要な情報を出力する安全性の高い多重系情報処理構成を提供することである。
【００１４】
【課題を解決するための手段】
本発明は、同一の処理を実行する複数の計算機を有し、それらの計算機が接続され、計算機間の処理結果の送受信が可能なデータ交換通信路と、それらの計算機から出力される処理結果をネットワークを介して外部へ出力する出力部とを有し、その出力部は、計算機からの処理結果である複数の制御データと、制御データと他の計算機の処理結果である制御データとを比較した複数の照合情報とを制御電文として出力する構成とする。
【００１５】
また、照合情報は、その情報を作成した計算機固有の方式で符号化されている構成とする。
【００１６】
また、照合情報の照合結果は、制御周期毎に変更される構成とする。
【００１７】
また、出力部は、計算機間で送受された複数の制御データの照合結果に、定期的に不正な制御データが加えられた照合情報を出力する構成とする。
【００１８】
【発明の実施の形態】
以下、図１を参照して本発明の多重系情報処理装置の一実施の形態の詳細を説明する。
【００１９】
図１は本発明の多重系情報処理装置及び制御対象である信号機器７Ａ，７Ｂとの接続状態を示した構成のブロック図である。
【００２０】
図１において多重系情報処理装置を具体的な鉄道信号保安装置である連動装置１とする。
【００２１】
連動装置１は複数の計算機２Ａ，２Ｂ，２Ｃから構成されている。フェールセーフな連動装置を構成するために計算機は２つ以上が同時に動作している必要がある。本実施例では３つの系について説明するが３つ以上の系についても同様である。２Ａ，２Ｂ，２Ｃの計算機は独立に動作しているが、それぞれの動作が正当であるか否かを確認するため定期的にデータ交換用通信路３を用いて自系計算機の計算結果である制御データを他系計算機に送信し、また他系計算機の制御データを受信する。各系は自系の計算結果の制御データと他系の計算結果の制御データを比較し、外部に出力するデータが正当か否かを判定する。
【００２２】
図１において、１系計算機が制御データである制御電文８を外部に出力することをわりあてられている場合で照合情報の作成手順を説明する。
【００２３】
まず各系がそれぞれ制御データを作成する。データ交換用通信路３を介して１系は２系，３系の計算機にその制御データを送信し、また２系，３系の計算機が作成した制御データを受信する。１系計算機は、１系が作成した制御データと２系が作成した制御データを比較する。同様に３系が作成したデータとも比較する。１系の制御データが２系，３系のいずれかのデータと一致していた場合は１系のデータが正しいと判定し、１系照合情報は正当を表現する値とする。１系のデータが２系，３系いずれのデータとも一致しない場合は、１系照合情報は不正を表現する値とする。
【００２４】
２系計算機においても同様に、１系と２系の制御データ比較および１系と３系の制御データ比較を実行し、２系が判定した照合情報を作成する。作成された照合情報は１系計算機に送信される。３系計算機についても同様である。
【００２５】
以上の処理から、１系計算機には、１系による照合情報と２系による照合情報と３系による照合情報が集積される。１系計算機は既に作成した制御データと３つの照合情報とを信号機器制御装置へ出力部であるネットワークインターフェース４を介して送信する。
【００２６】
制御データと３つの照合情報は１つの電文にまとめられてもよいし、制御に影響がないかぎり一定制御周期以内にばらばらに送信されてもよい。ここでは１つの電文にまとめられているものとする。
【００２７】
信号機器制御装置６Ａ，６Ｂは上述した複数の制御データと複数の照合情報
（本実施例では３つの計算機を設けているので３つの照合情報）を含む制御電文８を連動装置１からネットワーク５を介して受信し、信号機器７Ａ，７Ｂの制御に必要な制御情報を抽出する。このとき付加されている３つの照合情報をチェックする。
【００２８】
３つの照合情報がすべて正当な場合は、多重系情報処理装置である連動装置１を構成する全ての計算機２Ａ，２Ｂ，２Ｃは正常に動作しているものと判断できるので、制御データに応じて信号機器７Ａ，７Ｂの制御を実行する。
【００２９】
信号機器制御装置６Ａ，６Ｂは、複数の照合情報のチェック結果、２系計算機の照合情報のみが不正である場合、２系計算機の照合機能に異常が生じたと判断できる。よって１系計算機と３系計算機の照合結果が正しいものとして制御を実行する。これは２つの系の計算機が同時には故障しないという前提に基づいた判断である。
【００３０】
同様に信号機器制御装置６Ａ，６Ｂは、３系計算機の照合情報のみが不正である場合は３系計算機の照合機能に異常が生じたと判断する。
【００３１】
ただし、１系計算機２Ａの照合情報が不正である場合には、１系になんらかの異常が発生したと判断でき、制御出力データ異常の可能性があるので他の系の照合情報によらず制御データを破棄する。
【００３２】
１系計算機の照合情報が正当であっても、２系，３系の照合情報が不正という場合は、やはり１系計算機に何らかの異常があると考えられるので制御出力データを破棄する。
【００３３】
以上のように計算機各系の照合情報の組み合わせによって、信号機器制御装置６Ａ，６Ｂは連動装置１から出力された制御電文８内容の正当性を判別し安全に信号機器７Ａ，７Ｂの制御を実行できる。
【００３４】
また、入力された信号の特性を可逆的に変化させる符号化回路と、符号化された信号を復元する復号回路と、フィルタを設け、信号の出力を符号化情報および復号情報で制御することができ、スイッチ素子を制御する回路のフェールセーブ性を不要とする。
【００３５】
図２は、連動装置１を構成する各系の計算機２Ａ，２Ｂ，２Ｃが独立にネットワーク５に接続する場合の構成図である。
【００３６】
連動装置１は各系の計算機全体でその安全性を保証するが、ネットワーク５を介して系間のデータを交換することが可能なので必ずしも図１のようなデータ交換用通信路３は必須ではない。また各系の計算機はネットワーク経由で処理の同期を維持できるのであれば、必ずしも同一の筐体に設置されている必要性はない。
【００３７】
なお制御電文８中の制御データについては、通信内容を高水準で保証するためには制御データそのものを多重化して送信する。
【００３８】
また、各系の照合情報を符号化することにより、他系計算機を経由してネットワーク５に送信された場合でも情報の改ざんを防ぐことが可能である。具体的な符号化手法としては、各系計算機ごとに固有なビットバターンによる符号化が可能であり、例えば排他的論理和による可逆可能なマスキングなどがある。
【００３９】
照合情報の固定故障を回避するためには、照合情報の新規性を保証する値が望ましい。具体的には通番を用いて、毎周期ごとに照合情報が正当であることをあらわす値を変更するという手法がある。
【００４０】
各系計算機はフェールセーフを前提としてはいないので、データの照合機能は必ずしもフェールセーフではない。そこで、照合機能が正常に動作していることを確認するために、照合情報を作成するにあたり系間の制御データによる照合だけではなく、必ず不正と判断するような不正なフォーマットの制御データによって照合を実行する。
【００４１】
例えば、毎周期にこのような不正の制御データを入れる場合には、照合情報に正当な制御データによる照合結果と不正な制御データによる照合結果をのせる。この制御電文８を受信する信号機器制御装置６Ａ，６Ｂは１つの照合情報内に、必ず正当な値と不正な値が２つの組で入っていることを確認して、データの正当性を知ることができる。
【００４２】
また、符号化回路と復号回路を半導体素子による極性反転回路で構成し、制御情報を擬似ノイズによる反転情報とすることにより、リレーを用いず、かつ、フェールセーフなスイッチ素子制御回路を不要とし、かつネットワーク経由でフェールセーフに信号出力を制御することが可能となる。
【００４３】
【発明の効果】
データ照合を実行するフェールセーフなハードウェアを省略し、外部でフェールセーフな制御を実行するために必要な情報を出力する安全性の高い多重系情報処理構成が提供できる。
【図面の簡単な説明】
【図１】本発明に係る多重系情報処理装置の一実施例を示す図である。
【図２】本発明に係る多重系情報処理装置の他の実施例を示す図である。
【符号の説明】
１…連動装置、２Ａ，２Ｂ，２Ｃ…計算機、３…データ交換用通信路、４…ネツトワークインターフェース、５…ネットワーク、６Ａ，６Ｂ…信号機器制御装置、７Ａ，７Ｂ…信号機器、８…制御電文。

Claims

同一の処理を実行する複数の計算機を有する多重系情報処理装置において、
前記複数の計算機の各々が接続され、計算機間の処理結果の送受信が可能なデータ交換通信路と、
前記複数の計算機の各々から出力される処理結果をネットワークを介して外部へ出力する出力部とを有し、
前記複数の計算機の各々は、自系計算機の計算結果である制御データを前記データ交換通信路を介して他系計算機に出力し、前記他系計算機から入力された制御データと前記自系計算機の計算結果である制御データとを比較し、比較した結果である照合情報を出力し、
前記複数の計算機のいずれか１つは、自系計算機の計算結果である制御データと、自系計算機の前記照合情報と、他系計算機から入力された前記照合情報と、を制御電文として前記出力部を介して出力することを特徴とする多重系情報処理装置。
請求項１の多重系情報処理装置において、
前記照合情報は、前記照合情報を作成した計算機固有の方式で符号化されていることを特徴とする多重系情報処理装置。
請求項２の多重系情報処理装置において、
前記照合情報の照合結果は、制御周期毎に変更されることを特徴とする多重系情報処理装置。
請求項１乃至３のいずれか１項の多重系情報処理装置において、
前記複数の計算機のいずれか１つは、前記計算機間で送受された複数の制御データの照合結果に、定期的に不正な制御データが加えられた照合情報を組として出力することを特徴とする多重系情報処理装置。