JP4111772B2

JP4111772B2 - Mobile control system

Info

Publication number: JP4111772B2
Application number: JP2002235716A
Authority: JP
Inventors: 正善坂井; 稔人白井
Original assignee: Nippon Signal Co Ltd
Current assignee: Nippon Signal Co Ltd
Priority date: 2002-08-13
Filing date: 2002-08-13
Publication date: 2008-07-02
Anticipated expiration: 2022-08-13
Also published as: JP2004074879A

Description

【０００１】
【発明の属する技術分野】
本発明は、走行路を複数の区間に分割し各区間に割当てたモジュール間で移動体制御情報を送受信することによりインタロック機能を実現して移動体を安全に走行制御する移動体制御システムに関し、特に、移動体制御システムの信頼性及び安全性を向上する技術に関する。
【０００２】
【従来の技術】
移動体を安全に運行するための移動体制御システムの１つとして閉そくシステムがある。閉そくシステムは、移動体の走行路を複数の区間に分割し、区間単位で移動体の走行を管理して、１つの区間には１つの移動体しか存在しないように移動体間隔を安全に保つ制御システムである。かかる閉そくシステムにおいては、移動体間の衝突や分岐路での移動体の脱輪等を回避して移動体の走行安全性を確保するため、移動体の走行と信号機や分岐装置等の制御とを相互に関連付けて移動体の走行を制御するインタロック機能を持たせている。
【０００３】
従来、このようなインタロック機能は、インタロック機能に必要な論理機能、自己保持機能及びタイマー機能を多数の電磁リレーを電気的に配線して実現しているが、電気配線が複雑で回路の構成が複雑であるという問題がある。このため、走行路全体の各区間に予め用意した所定のモジュールを割当て、区間の連結通りに各モジュールを接続することにより、走行路全体で要求されるインタロック機能を実現し、移動体の走行安全性を確保するようにしたものが、本出願人により特願２０００−６７２１４号、特願２００１−５６５２２９号等で提案されている。
【０００４】
【発明が解決しようとする課題】
ところで、前述したモジュールを用いた移動体制御システムにあっては、システムの異常、特に、モジュールに不具合が生じた場合、分岐装置の転換制御や信号機の点／消灯制御ができなくなる。従って、この種の移動体制御システムでは、モジュールの動作状態を監視し、不具合が生じたモジュールを早期に発見し交換する必要がある。
【０００５】
この種のモジュールの動作状態を監視する方法としては、検査対象のモジュールの入出力情報をモニタし、所定の入力情報が入力したときに期待される出力情報が出力されているか否かを、予め備えたデータテーブルで確認することにより正常か否かを判断する方法が一般的である。
しかし、入力情報の数が増加すると準備するデータテーブルのサイズが大きくなる。また、各モジュールの設定条件が異なる場合には、モジュール毎に検査用のデータテーブルを備える必要があり、モジュールの数が多い場合には準備するデータテーブルのサイズが大きくなるという問題がある。
【０００６】
本発明は上記の事情に鑑みなされたもので、オンラインによりモジュールの動作状態を容易に確認可能とした信頼性及び安全性に優れた移動体制御システムを提供することを目的とする。
【０００７】
【課題を解決するための手段】
このため、請求項１の発明では、移動体の走行路を複数の区間に分割し、前記各区間にモジュールを割当て、各モジュールを区間の連結状態に合わせて配線し、各モジュール間で移動体制御情報を送受信して１つの区間に１つの移動体のみ進行を許可するよう移動体の走行を制御する移動体制御システムにおいて、前記各モジュールと通信可能に接続されて移動体走行制御に関連する制御指令情報を出力する中央処理装置に、前記各モジュールに入力する入力情報をモニタし当該モニタ情報に基づいて実際の前記各モジュールと同一の処理動作を模擬的に行う模擬処理部と、前記入力情報に基づいて前記各モジュールから生成される実際の出力情報と前記模擬処理部から生成される模擬出力情報とを照合し、実際の出力情報と模擬出力情報との一致／不一致を判定し、判定結果に基づいて各モジュールの動作が正常か否かを検査する検査処理部とを有する検査装置を設ける構成とした。
【０００８】
かかる構成では、模擬処理部が実際のモジュールで実行される移動体制御動作処理と同一の処理をソフトウエアにより模擬的に行う。検査処理部は、実際のモジュールから得られる実際の出力情報と模擬処理部の模擬処理で得られる模擬出力情報とを照合し、一致すればモジュール正常と判定し、不一致であれば異常なモジュール有りと判定する。これにより、中央処理装置側でモジュールの動作状態をオンラインで容易に確認できるようになる。
【０００９】
請求項２のように、前記検査装置は、前記検査処理部が異常と判定したモジュールへの電源供給を停止する構成とするとよい。具体的には請求項３のように、前記検査装置は、モジュールの電源供給を制御する電源供給制御回路を各モジュール毎に備え、前記検査処理部の異常検出出力により異常と判定したモジュールに対応する電源供給制御回路を駆動して異常モジュールの電源供給を停止する構成とした。
【００１０】
かかる構成では、異常が生じたモジュールの出力を停止することが可能となる。
また、請求項４のように、前記各モジュールに、前記中央処理装置が正常か否かを監視するモニタ回路を設けると共に、前記中央処理装置の電源供給ラインに、前記各モニタ回路によりそれぞれＯＮ／ＯＦＦ制御されるスイッチを直列接続して介装する構成とするとよい。具体的には請求項５のように、前記各モニタ回路は、中央処理装置から送信される前記制御指令情報の送信タイミングに基づいて正常か否かを監視し、送信タイミングが異常のとき、中央処理装置異常と判定して対応する前記スイッチをＯＦＦ制御する構成とした。
【００１１】
かかる構成では、中央処理装置側に異常が生じた場合に、中央処理装置側の出力を停止できるようになる。
請求項６の発明では、前記走行路の全区間数より少ない数のモジュールを設け、この実際のモジュールと前記模擬処理部との間で前記移動体制御情報を送受信し、実際のモジュールの割当て区間以外の他の区間のモジュール処理動作を前記模擬処理部で行い、前記実際のモジュールと前記模擬処理部との間の移動体制御情報送受信経路を選択的に切替えて実際のモジュールの割当て区間を順次変更する構成とすると共に、モジュールの割当て区間変更毎の実際のモジュール及び模擬処理部の出力結果を前記検査処理部で比較し比較結果に基づいて正常か否かを判定する構とした。
【００１２】
かかる構成では、模擬処理部における模擬的なモジュール動作処理の一部を実際のモジュールで行い、実際のモジュールの割当て区間を順次変更することで模擬処理部の模擬的なモジュール動作処理において実際のモジュールが行う部分が順次変化する。これにより、模擬処理部の不具合の診断が容易にできるようになる。
【００１３】
請求項７のように、前記実際のモジュールを、直線区間に割当てる直線用モジュールと、分岐部を含む分岐区間に割当てる分岐用モジュールとするとよい。
請求項８のように、全てのモジュールに接続し、各モジュール間で前記移動体制御情報を互いに送受信するための通信回線に、各モジュールと同一の機能を備える少なくとも１つの代替モジュールを接続し、前記検査装置で区間に割当てられたモジュールの異常を検出したときに、当該異常モジュールの動作処理を前記代替モジュールで行う構成とすれば、モジュールに不具合が発生したときには、異常モジュールの機能を代替モジュールが代わりに実行するので、移動体制御システムを維持できるようになる。
【００１６】
【発明の実施の形態】
以下、本発明の実施形態を図面に基づいて説明する。
図１は、本発明に係る移動体制御システムの第１実施形態の構成を示すブロック図である。
図１において、本実施形態の移動体システムは、例えばＣＴＣ等の中央処理装置１と、該中央処理装置１と通信回線２，３により通信可能に接続された多数のモジュールＭ１〜Ｍｎと、信号機、分岐装置、移動体検出装置等の現場機器群４とを備えて構成される。尚，図１では信号機、分岐装置、移動体検出装置等を包括して現場機器群４として示したが、信号機や分岐装置はこれらが設置される区間に割当てたそれぞれのモジュールと接続され、接続されたモジュールによりそれぞれ制御される。また、移動体検出装置は、例えば軌道回路等であり各区間における移動体の有無を検出するもので、各区間にそれぞれ設けられその区間の移動体の有無を対応するモジュールに通報するものである。
【００１７】
前記中央処理装置１は、入出力インタフェース１１を介してモジュールＭ１〜Ｍｎに接続する通信回線２と接続し、信号機を進行許可状態とする制御指令や分岐装置の転換指令等の制御指令情報を発生する制御部１２と、入出力インタフェース１３を介してモジュールＭ１〜Ｍｎに接続する通信回線３と接続し各モジュールＭ１〜Ｍｎの入出力情報をモニタしてモジュールＭ１〜Ｍｎの動作状態が正常か否かを検査する検査装置１４とを備える。検査装置１４のモニタする入出力情報としては、モジュール間で送受信する移動体制御情報、中央処理装置１の制御指令情報、現場機器群４とモジュール間の送受信情報等である。
【００１８】
前記検査装置１４は、入出力インタフェース１３からモジュールＭ１〜Ｍｎに入力する入力情報を取込み、取込んだモニタ情報に基づいて実際のモジュールＭ１〜Ｍｎの接続通りに情報を送受信し実際のモジュールＭ１〜Ｍｎと同一の処理動作を模擬的に行うようプログラムされたソフトウエアを備える模擬処理部１５と、前記入力情報に基づいたモジュールＭ１〜Ｍｎの処理動作によりモジュールＭ１〜Ｍｎからそれぞれ出力される実際の出力情報を入出力インタフェース１３から取込み、この実際の出力情報と模擬処理部１５で得られる模擬的な出力情報とを照合し、モジュールＭ１〜Ｍｎの正常／異常を検査する検査処理部１６を備える。検査処理部１６は、照合した結果、実際の出力情報と模擬出力情報が一致したとき、全てのモジュールＭ１〜Ｍｎは正常と判定し、実際の出力情報と模擬出力情報に不一致があれば不一致となった出力情報を生成したモジュールは異常と判定する。
【００１９】
各モジュールＭ１〜Ｍｎは、中央処理装置１の移動体制御区間における走行路を複数に分割した各区間にそれぞれ割当てられ、区間の連結状態に合わせて配線され、隣接するモジュール間で移動体制御情報を送受信して所望のインタロック機能を実現している。各モジュールＭ１〜Ｍｎが隣接するモジュールとの間で送受信する移動体制御情報は、進行する移動体が存在しないことを示す信号で移動体の進行方向に対して先側隣接区間に通報する進行移動体不在確認信号と、進行を許可することを示す信号で移動体の進行方向に対して手前側隣接区間に通報する進行許可信号である。また、モジュールＭ１〜Ｍｎは、直線区間に割当てる直線用モジュールと分岐路を含む分岐区間に割当てる分岐用モジュールの２種類からなり、直線用モジュールは自区間の端部に設置される現場機器４である信号機を制御する機能を備え、分岐用モジュールは現場機器４である自区間の分岐装置を制御する機能を備える。そして、各モジュールＭ１〜Ｍｎは、通信装置を備え通信回線２，３を介して中央処理装置１と通信可能に接続されて上述した制御指令や入出力情報を送受信する。
【００２０】
尚、直線用モジュール及び分岐用モジュールの構成及び論理処理動作については、前述の特願２０００−６７２１４号、特願２００１−５６５２２９号等で詳述されており、ここでは説明を省略する。
次に本実施形態の移動体制御システムにおけるモジュール検査動作を説明する。
【００２１】
各モジュールＭ１〜Ｍｎは、中央処理装置１からの指令情報、現場機器４からの情報、隣接区間のモジュールからの情報に基づいて、隣接区間のモジュールに対して入力情報に応じた出力情報を生成して送信すると共に、脱輪や衝突が発生しないように信号機や分岐装置に対して制御出力を発生する。
検査装置１４の模擬処理部１５は、移動体制御中の各モジュールＭ１〜Ｍｎの入力情報を通信回線３から受信し、受信した入力情報に基づいて実際の各モジュールＭ１〜Ｍｎと同一の処理動作を模擬的に行い、その結果を検査処理部１６に出力する。検査処理部１６は、通信回線３により受信した実際の各モジュールＭ１〜Ｍｎの出力情報と、模擬処理部１５から入力する模擬出力情報とを照合し、両者が一致すれば全てのモジュールＭ１〜Ｍｎは正常と判定する。一方、実際の出力情報と模擬出力情報とで不一致があった場合は、不一致の出力情報を生成したモジュールを異常と判定する。
【００２２】
かかる構成によれば、中央処理装置１側で各モジュールＭ１〜Ｍｎが正常か否かをオンラインで監視することができるので、モジュールの動作状態を極めて容易且つ速やかに確認することができるようになり、モジュールを用いた移動体制御システムの信頼性及び安全性を向上できる。また、照合結果から異常のあるモジュールを容易に特定できるので、モジュールの交換により移動体制御システムを早期に正常状態に復旧させることが可能である。
【００２３】
ところで、各モジュールＭ１〜Ｍｎは、故障時に信号機や分岐装置に対する制御出力が停止するフェールセーフな構成とすることが望ましいが、フェールセーフな回路構成とした場合、フェールセーフでない半導体回路を使用した場合に比較して、実装面積や消費電力が増大する。
各モジュールＭ１〜Ｍｎを、半導体回路で構成する場合は、図２に示す第２実施形態のような構成とするとよい。
【００２４】
図２は、本発明に係る移動体制御システムの第２実施形態の要部を示すブロック図である。尚、第１実施形態と同一要素には同一符号を付して説明を省略する。
図２において、本実施形態は、中央処理装置１の検査装置１４に各モジュールＭ１〜Ｍｎの電源供給をそれぞれ制御する電源供給制御回路１７−１〜１７−ｎを設ける構成とした以外は、第１実施形態と同様の構成である。
【００２５】
かかる構成では、検査処理部１６により例えばモジュールＭ１が異常と判定された場合、検査処理部１６はモジュールＭ１の電源を停止するよう電源供給制御回路１７−１を駆動制御する。モジュールＭ２が異常であれば電源供給制御回路１７−２を駆動制御してモジュールＭ２の電源を停止する。これにより、異常が発生したモジュールの電源を強制的に停止できるので、モジュールが半導体回路で構成されている場合でも異常なモジュールから誤った制御出力が発生することを防止できる。
【００２６】
次に、本発明の第３実施形態を図３に示す。
図３において、本実施形態は、各モジュールＭ１〜Ｍｎに、中央処理装置１の不具合を監視するモニタ回路２０−１〜２０−ｎを設けると共に、中央処理装置１の電源供給ライン２１に、前記各モニタ回路２０−１〜２０−ｎからの異常検出出力によりＯＦＦするスイッチ２２−１〜２２−ｎを介装する構成である。その他の構成は、第１実施形態又は第２実施形態と同様であり図示を省略する。
【００２７】
かかる構成では、各モニタ回路２０−１〜２０−ｎは、中央処理装置１の制御部１２から送信される制御指令の送信タイミングを監視し、正常なタイミングで制御指令が送信されていれば中央処理装置１は正常と判定し、送信タイミングが正常でない場合には中央処理装置１は異常と判定し、スイッチ２２−１〜２２−ｎをＯＦＦにして中央処理装置１への電源供給を停止する。
【００２８】
中央処理装置１は、各モジュールＭ１〜Ｍｎの動作状態をモニタしており、正常であれば、モジュールが信号機や分岐装置に対して制御指令に基づく制御出力を発生できる状態にあるタイミングでそのモジュールに対して制御指令を出力する。従って、各モニタ回路２０−１〜２０−ｎは自身のモジュールＭ１〜Ｍｎが制御指令を受けられる状態にあるときに制御指令が入力すれば、送信タイミングは正常と判定し、自身のモジュールＭ１〜Ｍｎが制御指令を受けられない状態にあるときに制御指令が入力すれば、送信タイミングは異常と判定し、中央処理装置１は異常と判定する。モニタ回路２０−１〜２０−ｎのいずれか１つでも異常判定すれば、その異常検出出力により電源供給ライン２１に介装されたスイッチ２２−１〜２２−ｎの対応するスイッチがＯＦＦとなり、中央処理装置１への電源供給が停止し中央処理装置１の動作が停止する。
【００２９】
中央処理装置１に不具合が発生するとモジュールＭ１〜Ｍｎの動作状態を確認できないが、第３実施形態のように中央処理装置１の動作状態を監視することにより、中央処理装置１の動作状態を確認でき、異常時にはその出力を停止するので、モジュールＭ１〜Ｍｎから誤った制御出力の発生を防止できる。
また、第２実施形態と第３実施形態とを組み合わせれば、モジュールＭ１〜Ｍｎと中央処理装置１の動作状態を相互に確認でき、異常時にはそれぞれ出力を停止するので、移動体制御システムの信頼性及び安全性がより一層向上する。
【００３０】
次に、本発明の第４実施形態について説明する。
第４実施形態は、走行区間の１つの直線区間に直線用モジュールを割当て、１つの分岐区間に分岐用モジュールを割当て、その他の区間のモジュール動作は、模擬処理部１５に割当て、直線用モジュールと分岐用モジュールを割当てる区間を順次切替えて移動体制御システムの動作状態を確認するようにしたものである。
【００３１】
図４は、第４実施形態の構成を示すブロック図である。尚、第１実施形態と同一要素には同一符号を付して説明を省略する。
図４において、本実施形態の中央処理装置１は、切替制御部３１と、該切替制御部３１により制御される第１〜第３切替回路３２〜３４と、現場機器である後述の分岐装置群３９及び信号機群４０に対して模擬処理部１５から出力される制御出力を検査処理部１６の異常検出出力により遮断する制御出力遮断部３５とを備える。その他の構成は、入出力インタフェース１１が省略され制御部１２の出力が直接模擬処理部１５に入力する以外は、第１実施形態と同様の構成である。
【００３２】
直線用モジュール３６は、第１切替回路３２を介して全ての区間に設けられる軌道回路群３７中の１つと選択的に切替接続可能で接続された軌道回路から移動体の有無情報が入力する。分岐用モジュール３８は、第１切替回路３２を介して軌道回路群３７中の１つと選択的に切替接続可能で接続された軌道回路から移動体の有無情報が入力すると共に、第２切替回路３３を介して全ての分岐区間に設けられる分岐装置群３９中の１つと選択的に切替接続可能で接続された分岐装置から走行路開通確認信号や転換不能確認信号が入力する。また、直線用モジュール３６及び分岐用モジュール３８は、第３切替回路３４を介して模擬処理部１５と接続され模擬処理部１５内の模擬的なモジュールとの送受信経路が選択的に切替えられる。
【００３３】
模擬処理部１５は、制御部１２からの制御指令、第１及び第２切替回路３２，３３から入力する直線用モジュール３６及び分岐用モジュール３８と非接続の軌道回路及び分岐装置からの入力情報、直線用モジュール３６及び分岐用モジュール３８を含めた模擬的な動作処理により制御出力を生成し、制御出力遮断部３５を介して分岐装置群３９、信号機群４０に出力する。
【００３４】
尚、直線用モジュール３６及び分岐用モジュール３８は、上述の各実施形態で用いるモジュールと同様の構成であるが、故障時に出力が停止するフェールセーフな構成とする。
次に動作を説明する。
例えば、直線用モジュール３６と分岐用モジュール３８を走行路内のいずれか１つの直線区間と分岐区間にそれぞれ割当てる。切替制御部３１は、割当てた直線区間と分岐区間における軌道回路と分岐装置からの情報が直線用モジュール３６と分岐用モジュール３８にそれぞれ入力するよう第１及び第２切替回路を切替制御する。また、切替制御部３１は、模擬処理部１５における模擬動作処理において直線用モジュール３６と分岐用モジュール３８が割当てた直線区間と分岐区間のモジュールとして動作するよう模擬処理部１５との間の信号送受信経路を第３切替回路３４により切替制御する。検査処理部１６は、このときの直線用モジュール３６及び分岐用モジュール３８の出力結果及び模擬処理部１５の出力結果を記憶する。次に、切替制御部３１は予め定めた切替パターンに従って、第１〜第３切替回路３２〜３４を切替制御し、直線用モジュール３６と分岐用モジュール３８を別の直線区間と分岐区間に割当て、その場合の直線用モジュール３６と分岐用モジュール３８の出力結果及び模擬処理部１５の出力結果を記憶する。このようにして、直線用モジュール３６と分岐用モジュール３８を割当てる区間を高速で順次切替えて全ての直線区間と分岐区間に割当てその都度、出力結果を記憶する。
【００３５】
検査処理部１６は、このようにして記憶した全ての出力結果が一致していれば模擬処理部１５は正常と判定する。出力結果に不一致があれば模擬処理部１５に異常有りと判定し、異常検出出力を制御出力遮断部３５に出力し、分岐装置群３９及び信号機群４０への制御出力を停止する。これにより、模擬処理部１５の動作状態を確認できる。そして、直線用モジュール３６と分岐用モジュール３８を割当てる区間を切替えることにより、不具合が存在する場合でも、同じ出力結果が発生する可能性が低減され、模擬処理部１５における不具合の検出が容易になる。
【００３６】
次に、本発明の第５実施形態について説明する。
図５に示す第５実施形態は、モジュールに不具合が発生した場合に代替モジュールで代用させる構成である。尚、第１実施形態と同一要素には同一符号を付して説明を省略する。
図５において、本実施形態では、中央処理装置１の制御部１２が通信回線２を介して各モジュールＭ１〜Ｍｎと接続され、検査装置１４が通信回線３を介して各モジュールＭ１〜Ｍｎと接続され、検査装置１４の模擬処理部１５が通信回線２を介して制御指令を取り入れ、通信回線３を介して隣接モジュール間で送受信される移動体制御情報を取り入れることは第１実施形態と同様である。
【００３７】
本実施形態の各モジュールＭ１〜Ｍｎは、通信回線３を介して互いの移動体制御情報を送受信する構成である。即ち、移動体制御情報には、送信元のモジュールによりモジュール毎の識別情報が付与され、各モジュールＭ１〜Ｍｎは、移動体制御情報に付加された識別情報により自身が受信すべき情報か否かを判断し、必要な情報のみ受信する。また、各モジュールＭ１〜Ｍｎは、入出力インタフェース４０を介して通信回線４１により現場機器群４との間で情報を送受信する。
【００３８】
本実施形態では、検査装置１４の模擬処理部１５は、通信回線４１を介して現場機器群４の情報を取り入れる構成である。
更に、本実施形態では、各モジュールＭ１〜Ｍｎの他に代替モジュールＭｓが設けられる。代替モジュールＭｓは、各モジュールＭ１〜Ｍｎと同様の論理処理機能を備えるもので、通信回線２，３，４１は、代替モジュールＭｓにも接続されている。
【００３９】
検査装置１４は、各モジュールＭ１〜Ｍｎの動作状態を監視し、いずれかのモジュールの不具合を検出した場合、故障したモジュールと代替モジュールＭｓとの交換処理を実行する。
尚、図では１つの代替モジュールを設ける構成を示したが、複数設けてもよい。そうすれば、複数のモジュールに不具合が発生した場合でも、代替モジュールの数まではインタロック機能を維持でき移動体制御システムを維持できる。また、この移動体制御システムは、基本的には直線区間に割当てる直線用モジュールと分岐区間に割当てる分岐用モジュールの２種類のモジュールで構成されるので、代替モジュールが供用できない場合は、それぞれの機能を有する代替モジュールを設ける。
【００４０】
次に、第５実施形態の動作を説明する。
検査装置１４における各モジュールＭ１〜Ｍｎの検査処理は、第１実施形態と同様であり、模擬処理部１５で各モジュールＭ１〜Ｍｎに入力する入力情報を取込み、取込んだ入力情報に基づいて実際のモジュールＭ１〜Ｍｎと同一の処理動作を模擬的にソフトウエア処理して模擬的な出力情報を得る。この模擬出力情報と各モジュールＭ１〜Ｍｎの実際の出力情報とを検査処理部１６で比較照合し、一致／不一致を判定してモジュールＭ１〜Ｍｎの正常／異常を監視する。そして、不具合有りと判定した場合は、不具合の生じたモジュールを通信回線３から切り離すと同時に、代替モジュールＭｓを動作させて不具合の生じたモジュールの機能を代替モジュールＭｓで代替させる。不具合の生じたモジュールの切り離し動作としては、例えば、図２に示すように電源供給制御回路１７を用いて該当する不具合モジュールの動作電源を遮断するか、または、中央処理装置１側からの指令により不具合モジュール自身で通信回線３からの切り離し処理を実行するようにする。
【００４１】
かかる構成によれば、モジュールに不具合が発生した場合でも、代替モジュールＭｓがその機能を代替するので、移動体制御システムがシステムダウンすることなく維持でき、移動体制御システムの信頼性及び安全性を向上できる。
次に、参考例について説明する。
図６に示す参考例は、モジュール自身が正常／異常を診断する構成である。尚、第５実施形態と同一要素には同一符号を付して説明を省略する。
【００４２】
図６において、本参考例では、中央処理装置１は、検査装置１４を備えず入出力インタフェース１１と制御部１２とで構成される。また、各モジュールＭ１〜Ｍｎは、自身の正常／異常を自己診断する診断回路５０−１〜５０−ｎを備え自己診断機能を有する構成である。代替モジュールＭｓは、診断回路５０−ｓに加えて各モジュールＭ１〜Ｍｎの正常／異常を監視する監視回路５１を備える。
【００４３】
各診断回路５０−１〜５０−ｎ及び５０−ｓは、例えば同一の処理動作を実行する２つのＣＰＵを備え、それぞれのＣＰＵの処理結果を互いに照合し、一致すれば正常と判定し、不一致が生じれば異常と判定する。
代替モジュールＭｓ内の監視回路５１は、各モジュールＭ１〜Ｍｎからの診断結果を示す信号を受信し、各モジュールＭ１〜Ｍｎの正常／異常を監視する。
【００４４】
次に、参考例の動作を説明する。
各モジュールＭ１〜Ｍｎは、本来の移動体制御情報の送受信動作に加えて診断回路５０−１〜５０−ｎにより自己診断動作を実行する。診断回路５０−１〜５０−ｎにより正常と判定された場合は、診断結果を示す信号（以下、ＬＶ信号とする）を通信回線３に出力する。このＬＶ信号はどのモジュールからの信号か識別可能な状態で出力され、正常時にはＬＶ＝１、異常時にはＬＶ＝０として出力されるものとする。代替モジュールＭｓの監視回路５１は、通信回線３を介して各モジュールＭ１〜ＭｎのＬＶ信号を受信し、ＬＶ＝１を出力したモジュールは正常と見なし、ＬＶ＝０を出力したモジュールは異常と見なす。そして、各モジュールＭ１〜Ｍｎは、自身の診断回路が異常と診断したときは自身の出力を停止するので、異常発生時には信号の送受信動作が停止し実質的に通信回線から切り離されたことになる。一方、代替モジュールＭｓは、ＬＶ＝０の信号を受信すると、そのＬＶ＝０の信号から不具合の生じたモジュールを確認し、不具合の生じたモジュールの機能を代替して実行する。これにより、第５実施形態と同様の効果を有する。
【００４５】
これら第５実施形態及び参考例のように代替モジュールを設け、モジュールに不具合が生じた時に代替モジュールで代替させる構成とすれば、上述の効果に加えて以下のような利点がある。
モジュールが電子回路で構成される場合、この種の移動体制御システムの信頼性向上対策としては、モジュール群（モジュールＭ１〜Ｍｎ）を２系統用意する２重系構成を採用するのが一般的である。通常の２重系構成では、一方の系に不具合が生じると系全体を他系に切替えることになる。しかし、不具合の生じた系のモジュール全てに不具合が生じたわけではなく、不具合の生じたモジュールは１つであり他のモジュールは正常である場合がほとんどである。従って、通常の２重系構成の場合、不具合の生じた系の正常な多くのモジュールが使用されない状態となってしまうという欠点がある。一方、上述した第５実施形態及び参考例のように不具合の生じたモジュールを代替モジュールで置き換える構成とすれば、不具合の生じたモジュールを交換するだけよく、正常なモジュールはそのまま使用することができる。従って、一般的な２重系構成に比較してモジュールの無駄をなくすことができ、低コストでこの種の移動体制御システムの信頼性を向上できるようになる。
【００４６】
【発明の効果】
以上説明したように本発明によれば、オンラインにより中処理装置側でモジュールの異常を容易に監視できるようになり、移動体制御システムの信頼性及び安全性を向上できる。
また、モジュールと中央処理装置とを相互に監視する構成とすることにより、移動体制御システムの信頼性及び安全性をより向上できる。
【００４７】
また、異常が発生したモジュールの電源を停止する構成とすれば、異常発生時にモジュールの出力を停止できるので、モジュールを半導体回路で構成することができ、モジュールのコンパクト化及び省電力化を図ることができる。そして、異常が発生した中央処理装置の電源を停止する構成とすれば、異常発生時に中央処理装置の出力を停止できるので、移動体制御システムの信頼性及び安全性を向上できる。
【００４８】
また、代替モジュールをオンライン接続して用意しておき、不具合の発生したモジュールと交換できるようにすれば、モジュールに不具合が発生しても移動体制御システムの機能を維持でき、移動体制御システムの信頼性及び安全性を格段に向上できる。更に、同一処理を実行する同一構成の２つの系を設ける通常の２重系構成に比較して、モジュールの無駄を無くせる。
【図面の簡単な説明】
【図１】本発明の第１実施形態の構成を示すブロック図
【図２】本発明の第２実施形態の構成を示す要部ブロック図
【図３】本発明の第３実施形態の構成を示す要部ブロック図
【図４】本発明の第４実施形態の構成を示すブロック図
【図５】本発明の第５実施形態の構成を示すブロック図
【図６】参考例の構成を示すブロック図
【符号の説明】
１中央処理装置
２、３、４０通信回線
４現場機器群
１２制御部
１４検査装置
１５模擬処理部
１６検査処理部
１７−１〜１７−ｎ電源供給制御回路
２１−１〜２１−ｎモニタ回路
２２−１〜２２−ｎスイッチ
３１切替制御部
３２第１切替回路
３３第２切替回路
３４第３切替回路
３５制御出力遮断部
５０−１〜５０−ｎ、５０−ｓ診断回路
５１監視回路
Ｍ１〜Ｍｎモジュール
Ｍｓ代替モジュール[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a mobile body control system that realizes an interlock function by dividing mobile roads into a plurality of sections and transmits / receives mobile body control information between modules assigned to each section, thereby safely driving the mobile body. In particular, the present invention relates to a technique for improving the reliability and safety of a mobile control system.
[0002]
[Prior art]
There is a blocking system as one of mobile control systems for safely operating a mobile. The blocking system divides the travel path of the mobile body into a plurality of sections, manages the travel of the mobile body in units of sections, and keeps the distance between the mobile bodies safe so that there is only one mobile body in one section. Control system. In such a blocking system, the traveling of the moving body and the control of the traffic light, the branching device, etc. Are interlocked with each other to provide an interlock function for controlling the traveling of the moving body.
[0003]
Conventionally, such an interlock function has been realized by electrically wiring a large number of electromagnetic relays with the logic function, self-holding function and timer function necessary for the interlock function. There is a problem that the configuration is complicated. For this reason, a predetermined module prepared in advance is assigned to each section of the entire travel path, and each module is connected in accordance with the connection of the sections, thereby realizing an interlock function required for the entire travel path, and traveling of the mobile object Applicants who have ensured safety have been proposed by the present applicant in Japanese Patent Application Nos. 2000-67214 and 2001-565229.
[0004]
[Problems to be solved by the invention]
By the way, in the mobile control system using the above-described module, when the system is abnormal, particularly when a failure occurs in the module, it becomes impossible to perform the branch device switching control or the traffic light on / off control. Therefore, in this type of mobile control system, it is necessary to monitor the operation state of the module, and to find and replace the defective module at an early stage.
[0005]
As a method of monitoring the operation state of this type of module, the input / output information of the module to be inspected is monitored, and whether or not output information expected when predetermined input information is input is output in advance. A general method is to determine whether the data is normal or not by checking with the provided data table.
However, as the number of input information increases, the size of the prepared data table increases. Further, when the setting conditions of each module are different, it is necessary to provide an inspection data table for each module, and there is a problem that the size of the prepared data table increases when the number of modules is large.
[0006]
The present invention has been made in view of the above circumstances, and an object of the present invention is to provide a mobile control system excellent in reliability and safety in which an operation state of a module can be easily confirmed online.
[0007]
[Means for Solving the Problems]
Therefore, according to the first aspect of the present invention, the traveling path of the mobile body is divided into a plurality of sections, modules are assigned to the sections, the modules are wired according to the connection state of the sections, and the mobile bodies are connected between the modules. In a mobile control system that controls the travel of a mobile body so as to allow only one mobile body to travel in one section by transmitting and receiving control information, the mobile control system is communicably connected to the modules and relates to mobile travel control A central processing unit that outputs control command information; a simulation processing unit that monitors input information input to each module and simulates the same processing operation as the actual each module based on the monitor information; and the input Based on the information, the actual output information generated from each module is compared with the simulated output information generated from the simulation processing unit, and the actual output information and the simulated output information Determining a match / mismatch, it has a configuration in which the operation of each module based on the determination result provided an inspection apparatus having an inspection unit for inspecting whether normal or not.
[0008]
In such a configuration, the simulation processing unit simulates the same process as the moving object control operation process executed by the actual module by software. The inspection processing unit collates the actual output information obtained from the actual module with the simulated output information obtained by the simulation processing of the simulation processing unit, and determines that the module is normal if they match, and if there is a mismatch, there is an abnormal module Is determined. As a result, the operation state of the module can be easily confirmed online on the central processing unit side.
[0009]
According to a second aspect of the present invention, the inspection apparatus may be configured to stop power supply to a module that is determined to be abnormal by the inspection processing unit. Specifically, as in claim 3, the inspection apparatus includes a power supply control circuit for controlling the power supply of the module for each module, and corresponds to the module determined to be abnormal by the abnormality detection output of the inspection processing unit. The power supply control circuit is driven to stop the power supply of the abnormal module.
[0010]
With this configuration, it is possible to stop the output of the module in which an abnormality has occurred.
According to a fourth aspect of the present invention, each module is provided with a monitor circuit for monitoring whether or not the central processing unit is normal, and a power supply line of the central processing unit is turned ON / OFF by the monitor circuit. It is good to set it as the structure which interposes the switch controlled by OFF in series connection. Specifically, as in claim 5, each of the monitor circuits monitors whether or not it is normal based on the transmission timing of the control command information transmitted from the central processing unit, and when the transmission timing is abnormal, It is determined that the processing apparatus is abnormal and the corresponding switch is controlled to be OFF.
[0011]
In such a configuration, when an abnormality occurs on the central processing unit side, the output on the central processing unit side can be stopped.
In the invention of claim 6, the number of modules smaller than the total number of sections of the travel path is provided, the mobile control information is transmitted and received between the actual module and the simulation processing unit, and the actual module allocation section Module processing operations in other sections other than the above are performed by the simulation processing unit, and the mobile unit control information transmission / reception path between the actual module and the simulation processing unit is selectively switched to sequentially allocate the actual module allocation sections. In addition to the configuration to be changed, the output result of the actual processing module and the simulation processing unit for each module allocation section change is compared by the inspection processing unit, and it is determined whether or not it is normal based on the comparison result.
[0012]
In such a configuration, a part of the simulation module operation processing in the simulation processing unit is performed by the actual module, and the actual module is processed in the simulation module operation processing of the simulation processing unit by sequentially changing the allocation interval of the actual module. The part performed by changes sequentially. Thereby, it becomes possible to easily diagnose the malfunction of the simulation processing unit.
[0013]
According to a seventh aspect of the present invention, the actual module may be a straight line module assigned to a straight section and a branch module assigned to a branch section including a branch section.
As in claim 8, connecting to all modules, connecting at least one alternative module having the same function as each module to a communication line for mutually transmitting and receiving the mobile control information between the modules, When an abnormality of a module assigned to a section is detected by the inspection device, the operation process of the abnormal module is performed by the alternative module. When a malfunction occurs in the module, the function of the abnormal module is replaced with the alternative module. Instead, it can maintain a mobile control system.
[0016]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
FIG. 1 is a block diagram showing a configuration of a first embodiment of a mobile control system according to the present invention.
In FIG. 1, a mobile system according to the present embodiment includes a central processing unit 1 such as CTC, a number of modules M1 to Mn connected to the central processing unit 1 through communication lines 2 and 3, and a traffic light. And an on-site equipment group 4 such as a branching device and a moving body detection device. In FIG. 1, the signal equipment, the branching device, the moving body detection device, etc. are comprehensively shown as the field equipment group 4. However, the traffic signal and the branching device are connected to the respective modules assigned to the section where they are installed and connected. Controlled by each module. In addition, the moving body detection device is, for example, a track circuit or the like, and detects the presence or absence of a moving body in each section, and reports the presence or absence of a moving body in each section to the corresponding module. .
[0017]
The central processing unit 1 is connected to the communication line 2 connected to the modules M1 to Mn via the input / output interface 11, and generates control command information such as a control command for allowing the traffic signal to proceed and a switching command for the branching device. Connected to the communication line 3 connected to the modules M1 to Mn via the input / output interface 13, and the input / output information of each module M1 to Mn is monitored to determine whether the operating state of the modules M1 to Mn is normal. And an inspection device 14 for inspecting the above. The input / output information monitored by the inspection device 14 includes mobile body control information transmitted and received between modules, control command information of the central processing unit 1, transmission / reception information between the field device group 4 and the module, and the like.
[0018]
The inspection device 14 takes input information input to the modules M1 to Mn from the input / output interface 13, and transmits / receives information according to the connection of the actual modules M1 to Mn based on the acquired monitor information. A simulation processing unit 15 having software programmed to simulate the same processing operation as Mn, and actual output from the modules M1 to Mn by the processing operation of the modules M1 to Mn based on the input information. An inspection processing unit 16 is provided which takes in the output information from the input / output interface 13 and collates the actual output information with the simulated output information obtained by the simulation processing unit 15 to inspect the normality / abnormality of the modules M1 to Mn. . As a result of the collation, the inspection processing unit 16 determines that all the modules M1 to Mn are normal when the actual output information and the simulated output information match, and if there is a mismatch between the actual output information and the simulated output information, the inspection processing unit 16 The module that has generated the output information is determined to be abnormal.
[0019]
Each module M1 to Mn is assigned to each section obtained by dividing the traveling path in the mobile body control section of the central processing unit 1 into a plurality of sections, wired according to the connection state of the sections, and mobile body control information between adjacent modules. To achieve a desired interlock function. The moving body control information transmitted and received between the modules M1 to Mn with the adjacent modules is a signal indicating that there is no moving body, and the traveling movement that reports to the adjacent side section in the traveling direction of the moving body It is a progress permission signal which reports to the near side adjacent section with respect to the traveling direction of the moving body by a body absence confirmation signal and a signal indicating that the travel is permitted. The modules M1 to Mn are composed of two types of modules, a straight line module assigned to a straight section and a branch module assigned to a branch section including a branch path. The straight line module is a field device 4 installed at the end of the own section. A function for controlling a certain traffic light is provided, and the branching module has a function for controlling a branching device in its own section which is the field device 4. Each of the modules M1 to Mn includes a communication device and is communicably connected to the central processing unit 1 via the communication lines 2 and 3 to transmit and receive the control commands and input / output information described above.
[0020]
The configuration and logic processing operation of the straight line module and the branch module are described in detail in the aforementioned Japanese Patent Application Nos. 2000-67214 and 2001-565229, and the description thereof is omitted here.
Next, the module inspection operation in the mobile control system of this embodiment will be described.
[0021]
Each module M1 to Mn generates output information corresponding to the input information for the module in the adjacent section based on the command information from the central processing unit 1, the information from the field device 4, and the information from the module in the adjacent section. And a control output is generated for the traffic signal and the branching device so as not to cause derailment or collision.
The simulation processing unit 15 of the inspection apparatus 14 receives input information of each module M1 to Mn under mobile control from the communication line 3, and based on the received input information, the same processing operation as the actual modules M1 to Mn. And the result is output to the inspection processing unit 16. The inspection processing unit 16 collates the output information of the actual modules M1 to Mn received through the communication line 3 with the simulated output information input from the simulation processing unit 15, and if both match, all the modules M1 to Mn are matched. Is determined to be normal. On the other hand, if there is a mismatch between the actual output information and the simulated output information, the module that generated the mismatched output information is determined to be abnormal.
[0022]
According to such a configuration, since it is possible to monitor online whether or not the modules M1 to Mn are normal on the central processing unit 1 side, the operation state of the modules can be checked very easily and quickly. The reliability and safety of the mobile control system using the module can be improved. In addition, since an abnormal module can be easily identified from the collation result, it is possible to quickly restore the mobile control system to a normal state by replacing the module.
[0023]
By the way, it is desirable that each module M1 to Mn has a fail-safe configuration in which the control output to the traffic light or the branching device stops in the event of a failure. Compared with this, the mounting area and power consumption increase.
When each of the modules M1 to Mn is configured by a semiconductor circuit, the configuration as in the second embodiment shown in FIG.
[0024]
FIG. 2 is a block diagram showing a main part of a second embodiment of the mobile control system according to the present invention. In addition, the same code | symbol is attached | subjected to the same element as 1st Embodiment, and description is abbreviate | omitted.
In FIG. 2, the present embodiment is the same as the configuration except that the inspection apparatus 14 of the central processing unit 1 is provided with power supply control circuits 17-1 to 17-n for controlling the power supply of the modules M1 to Mn. The configuration is the same as that of the first embodiment.
[0025]
In such a configuration, when the inspection processing unit 16 determines that the module M1 is abnormal, for example, the inspection processing unit 16 drives and controls the power supply control circuit 17-1 to stop the power supply of the module M1. If the module M2 is abnormal, the power supply control circuit 17-2 is driven and controlled to stop the power supply of the module M2. As a result, since the power supply of the module in which the abnormality has occurred can be forcibly stopped, it is possible to prevent an erroneous control output from being generated from the abnormal module even when the module is configured with a semiconductor circuit.
[0026]
Next, a third embodiment of the present invention is shown in FIG.
In FIG. 3, in the present embodiment, each of the modules M1 to Mn is provided with monitor circuits 20-1 to 20-n for monitoring a failure of the central processing unit 1, and the power supply line 21 of the central processing unit 1 is connected to the power supply line 21. In this configuration, switches 22-1 to 22-n that are turned off by abnormality detection outputs from the monitor circuits 20-1 to 20-n are provided. Other configurations are the same as those in the first embodiment or the second embodiment, and the illustration is omitted.
[0027]
In such a configuration, each of the monitor circuits 20-1 to 20-n monitors the transmission timing of the control command transmitted from the control unit 12 of the central processing unit 1, and if the control command is transmitted at a normal timing, The processing device 1 is determined to be normal, and if the transmission timing is not normal, the central processing device 1 is determined to be abnormal, and the switches 22-1 to 22-n are turned off to stop the power supply to the central processing device 1. .
[0028]
The central processing unit 1 monitors the operating state of each of the modules M1 to Mn. If the module is normal, the module is ready to generate a control output based on a control command with respect to a traffic light or a branching device. A control command is output to Therefore, if each control circuit 20-1 to 20-n receives a control command when its own module M1 to Mn is ready to receive a control command, the monitor circuit 20-1 to 20-n determines that the transmission timing is normal and the own module M1 to Mn. If the control command is input when Mn is in a state where the control command cannot be received, the transmission timing is determined to be abnormal, and the central processing unit 1 determines to be abnormal. If any one of the monitor circuits 20-1 to 20-n is determined to be abnormal, the corresponding switches of the switches 22-1 to 22-n interposed in the power supply line 21 are turned OFF by the abnormality detection output, The power supply to the central processing unit 1 is stopped and the operation of the central processing unit 1 is stopped.
[0029]
If a failure occurs in the central processing unit 1, the operation state of the modules M1 to Mn cannot be confirmed, but the operation state of the central processing unit 1 is confirmed by monitoring the operation state of the central processing unit 1 as in the third embodiment. Since the output is stopped when an abnormality occurs, it is possible to prevent erroneous control output from the modules M1 to Mn.
Further, when the second embodiment and the third embodiment are combined, the operation states of the modules M1 to Mn and the central processing unit 1 can be mutually confirmed, and the outputs are stopped in the event of an abnormality, respectively. And safety are further improved.
[0030]
Next, a fourth embodiment of the present invention will be described.
In the fourth embodiment, a straight line module is assigned to one straight section of the travel section, a branch module is assigned to one branch section, and module operations in the other sections are assigned to the simulation processing unit 15, The section to which the branching module is assigned is sequentially switched to check the operation state of the mobile control system.
[0031]
FIG. 4 is a block diagram showing the configuration of the fourth embodiment. In addition, the same code | symbol is attached | subjected to the same element as 1st Embodiment, and description is abbreviate | omitted.
In FIG. 4, the central processing unit 1 of the present embodiment includes a switching control unit 31, first to third switching circuits 32 to 34 controlled by the switching control unit 31, and a branching device group described later that is field equipment. 39 and a control output blocking unit 35 that blocks the control output output from the simulation processing unit 15 with respect to the traffic signal group 40 by the abnormality detection output of the inspection processing unit 16. Other configurations are the same as those in the first embodiment except that the input / output interface 11 is omitted and the output of the control unit 12 is directly input to the simulation processing unit 15. When It is the same composition.
[0032]
The straight line module 36 receives the moving body presence / absence information from a track circuit that is selectively switch-connectable to one of the track circuit groups 37 provided in all sections via the first switching circuit 32. The branching module 38 inputs the presence / absence information of the moving body from the track circuit connected to the one of the track circuit groups 37 via the first switching circuit 32 so as to be selectively switchable and connected, and the second switching circuit 33. A travel path opening confirmation signal and a non-convertible confirmation signal are input from a branching device that is selectively switchably connectable to one of the branching device groups 39 provided in all branching sections. The straight line module 36 and the branching module 38 are connected to the simulation processing unit 15 via the third switching circuit 34, and the transmission / reception path with the simulation module in the simulation processing unit 15 is selectively switched.
[0033]
The simulation processing unit 15 includes a control command from the control unit 12, input information from the track circuit and the branching device not connected to the straight line module 36 and the branching module 38 input from the first and second switching circuits 32 and 33, A control output is generated by a simulated operation process including the straight line module 36 and the branching module 38, and the branching device group 39 is connected via the control output blocking unit 35. , The signal is output to the traffic signal group 40.
[0034]
Straight line module 36 And branch module 38 Is the same configuration as the module used in each of the above-described embodiments, but has a fail-safe configuration in which output stops when a failure occurs.
Next, the operation will be described.
For example, the straight line module 36 and the branch module 38 are respectively assigned to any one straight section and branch section in the travel path. The switching control unit 31 performs switching control of the first and second switching circuits so that information from the track circuit and the branching device in the allocated straight section and branch section is input to the straight line module 36 and the branch module 38, respectively. In addition, the switching control unit 31 transmits and receives signals to and from the simulation processing unit 15 so that the simulation processing unit 15 operates as a module of a straight line section and a branch section assigned by the straight line module 36 and the branching module 38 in the simulation operation process. The path is switched by the third switching circuit 34. The inspection processing unit 16 stores the output results of the straight line module 36 and the branching module 38 and the output result of the simulation processing unit 15 at this time. Next, the switching control unit 31 switches and controls the first to third switching circuits 32 to 34 according to a predetermined switching pattern, and assigns the straight line module 36 and the branch module 38 to different straight line sections and branch sections, In this case, the output results of the straight line module 36 and the branching module 38 and the output result of the simulation processing unit 15 are stored. In this manner, the sections to which the straight line module 36 and the branch module 38 are assigned are sequentially switched at a high speed and assigned to all straight sections and branch sections, and the output result is stored each time.
[0035]
The inspection processing unit 16 determines that the simulation processing unit 15 is normal if all the output results stored in this way match. If there is a discrepancy in the output results, it is determined that there is an abnormality in the simulation processing unit 15, an abnormality detection output is output to the control output blocking unit 35, and control output to the branch device group 39 and the traffic signal group 40 is stopped. Thereby, the operation state of the simulation processing unit 15 can be confirmed. Then, by switching the section to which the straight line module 36 and the branching module 38 are allocated, the possibility that the same output result occurs even if a defect exists is reduced, and the detection of the defect in the simulation processing unit 15 is facilitated. .
[0036]
Next, a fifth embodiment of the present invention will be described.
The fifth embodiment shown in FIG. 5 has a configuration in which an alternative module is substituted when a failure occurs in a module. In addition, the same code | symbol is attached | subjected to the same element as 1st Embodiment, and description is abbreviate | omitted.
5, in this embodiment, the control unit 12 of the central processing unit 1 is connected to the modules M1 to Mn via the communication line 2, and the inspection device 14 is connected to the modules M1 to Mn via the communication line 3. In the same manner as in the first embodiment, the simulation processing unit 15 of the inspection apparatus 14 takes in a control command via the communication line 2 and takes in mobile control information transmitted / received between adjacent modules via the communication line 3. is there.
[0037]
Each module M1-Mn of this embodiment is the structure which transmits / receives mutual mobile body control information via the communication line 3. FIG. That is, identification information for each module is given to the mobile control information by the transmission source module, and whether each module M1 to Mn is information that should be received by the identification information added to the mobile control information. And receive only necessary information. Each module M <b> 1 to Mn transmits and receives information to and from the field device group 4 via the input / output interface 40 through the communication line 41.
[0038]
In the present embodiment, the simulation processing unit 15 of the inspection apparatus 14 is configured to incorporate information on the field device group 4 via the communication line 41.
Furthermore, in this embodiment, an alternative module Ms is provided in addition to the modules M1 to Mn. The substitute module Ms has the same logic processing function as each of the modules M1 to Mn, and the communication lines 2, 3, and 41 are also connected to the substitute module Ms.
[0039]
The inspection device 14 monitors the operating state of each of the modules M1 to Mn, and executes a replacement process between the failed module and the alternative module Ms when a malfunction of any module is detected.
In the figure, the configuration in which one alternative module is provided is shown, but a plurality of alternative modules may be provided. By doing so, even when a failure occurs in a plurality of modules, the interlock function can be maintained up to the number of alternative modules, and the mobile control system can be maintained. In addition, this mobile control system is basically composed of two types of modules: a straight line module assigned to a straight section and a branch module assigned to a branch section. An alternative module is provided.
[0040]
Next, the operation of the fifth embodiment will be described.
The inspection process of each module M1 to Mn in the inspection apparatus 14 is the same as that of the first embodiment, and the simulation processing unit 15 takes input information input to each module M1 to Mn, and actually executes the input based on the acquired input information. The same processing operations as those of the modules M1 to Mn are simulated and processed to obtain simulated output information. The simulated output information and the actual output information of each of the modules M1 to Mn are compared and collated by the inspection processing unit 16, and a match / mismatch is determined to monitor normality / abnormality of the modules M1 to Mn. If it is determined that there is a problem, the module in which the problem has occurred is disconnected from the communication line 3, and at the same time, the substitute module Ms is operated to replace the function of the module in which the problem has occurred with the substitute module Ms. For example, as shown in FIG. 2, the power supply control circuit 17 is used to shut off the operating power of the corresponding defective module, or the command from the central processing unit 1 side is used as the disconnection operation of the defective module. The faulty module itself executes the disconnection process from the communication line 3.
[0041]
According to such a configuration, even when a failure occurs in the module, the replacement module Ms substitutes its function, so that the mobile control system can be maintained without being down, and the reliability and safety of the mobile control system can be maintained. It can be improved.
next, Reference example Will be described.
As shown in FIG. Reference example Is a configuration in which the module itself diagnoses normality / abnormality. In addition, the same code | symbol is attached | subjected to the same element as 5th Embodiment, and description is abbreviate | omitted.
[0042]
In FIG. Reference example Then, the central processing unit 1 does not include the inspection device 14 and includes the input / output interface 11 and the control unit 12. Each of the modules M1 to Mn includes a diagnostic circuit 50-1 to 50-n for self-diagnosis of its own normality / abnormality and has a self-diagnosis function. The alternative module Ms includes a monitoring circuit 51 that monitors normality / abnormality of each of the modules M1 to Mn in addition to the diagnostic circuit 50-s.
[0043]
Each of the diagnostic circuits 50-1 to 50-n and 50-s includes, for example, two CPUs that execute the same processing operation. The processing results of the respective CPUs are collated with each other. If it occurs, it is determined as abnormal.
The monitoring circuit 51 in the alternative module Ms receives a signal indicating a diagnosis result from each module M1 to Mn, and monitors normality / abnormality of each module M1 to Mn.
[0044]
next, Reference example The operation of will be described.
Each of the modules M1 to Mn performs a self-diagnosis operation by the diagnosis circuits 50-1 to 50-n in addition to the original transmission / reception operation of the mobile control information. When the diagnosis circuits 50-1 to 50-n determine that the circuit is normal, a signal indicating the diagnosis result (hereinafter referred to as LV signal) is output to the communication line 3. This LV signal is output in a state in which it can be identified from which module, and is output as LV = 1 in a normal state and LV = 0 in an abnormal state. The monitoring circuit 51 of the alternative module Ms receives the LV signal of each of the modules M1 to Mn via the communication line 3, the module that outputs LV = 1 is considered normal, and the module that outputs LV = 0 is considered abnormal. . Each module M1 to Mn stops its own output when its own diagnostic circuit diagnoses an abnormality. Therefore, when an abnormality occurs, the signal transmission / reception operation is stopped and the communication line is substantially disconnected. . On the other hand, when the substitute module Ms receives the signal of LV = 0, the substitute module Ms confirms the module in which the malfunction has occurred from the signal of LV = 0, and executes the function of the module in which the malfunction has occurred. This has the same effect as the fifth embodiment.
[0045]
these Fifth embodiment and reference examples In addition to the above-described effects, the following advantages can be obtained by providing a replacement module as described above and replacing the module with a replacement module when a failure occurs in the module.
When the module is composed of an electronic circuit, as a measure for improving the reliability of this type of mobile control system, it is common to adopt a dual system configuration in which two modules (modules M1 to Mn) are prepared. is there. In a normal dual system configuration, if a problem occurs in one system, the entire system is switched to another system. However, not all faulty modules have a fault, and there is usually one faulty module and the other modules are normal. Therefore, in the case of a normal double system configuration, there is a drawback that many normal modules in a system in which a problem has occurred are not used. On the other hand, as mentioned above Fifth embodiment and reference examples If the defective module is replaced with a replacement module as described above, it is only necessary to replace the defective module, and a normal module can be used as it is. Therefore, it is possible to eliminate the waste of the module as compared with a general dual system configuration, and it is possible to improve the reliability of this type of mobile control system at a low cost.
[0046]
【The invention's effect】
As described above, according to the present invention, module abnormality can be easily monitored on the intermediate processing device side online, and the reliability and safety of the mobile control system can be improved.
In addition, the module and the central processing unit are mutually monitored. Constitution By doing so, the reliability and safety of the mobile control system can be further improved.
[0047]
In addition, if the power supply of the module in which an abnormality has occurred is stopped, the output of the module can be stopped in the event of an abnormality, so that the module can be configured with a semiconductor circuit, and the module can be made compact and save power. Can do. And if it is set as the structure which stops the power supply of the central processing unit in which abnormality generate | occur | produced, since the output of a central processing unit can be stopped at the time of abnormality occurrence, the reliability and safety | security of a mobile body control system can be improved.
[0048]
In addition, if the replacement module is prepared online and can be replaced with a defective module, the function of the mobile control system can be maintained even if a fault occurs in the module. Reliability and safety can be greatly improved. Furthermore, module waste can be eliminated compared to a normal dual system configuration in which two systems having the same configuration for executing the same processing are provided.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a first embodiment of the present invention.
FIG. 2 is a principal block diagram showing a configuration of a second embodiment of the present invention.
FIG. 3 is a principal block diagram showing a configuration of a third embodiment of the present invention.
FIG. 4 is a block diagram showing a configuration of a fourth embodiment of the present invention.
FIG. 5 is a block diagram showing a configuration of a fifth embodiment of the present invention.
[Fig. 6] Reference example Block diagram showing the configuration of
[Explanation of symbols]
1 Central processing unit
2, 3, 40 Communication line
4 Field equipment group
12 Control unit
14 Inspection equipment
15 Simulation processing section
16 Inspection processing section
17-1 to 17-n Power supply control circuit
21-1 to 21-n monitor circuit
22-1 to 22-n switch
31 Switching control unit
32 First switching circuit
33 Second switching circuit
34 Third switching circuit
35 Control output shut-off section
50-1 to 50-n, 50-s diagnostic circuit
51 Monitoring circuit
M1-Mn module
Ms alternative module

Claims

Dividing the traveling path of the mobile body into a plurality of sections, assigning modules to each section, wiring each module in accordance with the connection state of the sections, and transmitting and receiving mobile body control information between the modules into one section In a mobile body control system that controls the travel of a mobile body to allow only one mobile body to travel,
The central processing unit that is communicably connected to each module and outputs control command information related to mobile body travel control, monitors the input information that is input to each module, and the actual each module based on the monitor information A simulation processing unit that performs the same processing operation as the simulation, and the actual output information generated from each module based on the input information and the simulated output information generated from the simulation processing unit The inspection apparatus has an inspection processing unit that determines whether or not the output information and the simulated output information coincide with each other and checks whether or not the operation of each module is normal based on the determination result. Body control system.

The mobile body control system according to claim 1, wherein the inspection device is configured to stop power supply to a module that is determined to be abnormal by the inspection processing unit.

The inspection apparatus includes a power supply control circuit for controlling the power supply of the module for each module, and drives the power supply control circuit corresponding to the module determined to be abnormal based on the abnormality detection output of the inspection processing unit. mobile control system according to claim 2 is configured to stop the power supply.

Each module is provided with a monitor circuit for monitoring whether or not the central processing unit is normal, and a switch that is ON / OFF controlled by each monitor circuit is connected in series to the power supply line of the central processing unit. The mobile body control system according to any one of claims 1 to 3, wherein the mobile body control system is interposed.

Each of the monitor circuits monitors whether the control command information transmitted from the central processing unit is normal or not, and determines whether the central processing unit is abnormal when the transmission timing is abnormal. The mobile body control system according to claim 4, wherein the mobile body control system is configured to perform OFF control on the vehicle.

The number of modules less than the total number of sections of the travel path is provided, the mobile control information is transmitted and received between the actual module and the simulation processing unit, and the modules in sections other than the actual module allocation section The processing operation is performed by the simulation processing unit, and the mobile unit control information transmission / reception path between the actual module and the simulation processing unit is selectively switched to sequentially change the allocation interval of the actual module. 2. The mobile control system according to claim 1, wherein an output result of an actual module and a simulation processing unit for each module allocation section change is compared by the inspection processing unit, and whether or not normal is determined based on the comparison result. .

The mobile control system according to claim 6, wherein the actual modules are a straight line module assigned to a straight section and a branch module assigned to a branch section including a branching section.

Connect to all modules, connect at least one alternative module having the same function as each module to a communication line for transmitting and receiving the mobile control information between the modules, and assign to each section by the inspection device The mobile body control system according to claim 1, wherein when an abnormality of a detected module is detected, an operation process of the abnormality module is performed by the alternative module.