JP4131825B2

JP4131825B2 - Track circuit transceiver

Info

Publication number: JP4131825B2
Application number: JP2003030635A
Authority: JP
Inventors: 尚弘池田; 剛竹原
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2003-02-07
Filing date: 2003-02-07
Publication date: 2008-08-13
Anticipated expiration: 2023-02-07
Also published as: JP2004237903A

Description

【０００１】
【発明の属する技術分野】
本発明は、鉄道用保安装置（ＡＴＣ装置）に用いる軌道回路用送受信器に関する。
【０００２】
【従来の技術】
鉄道用保安装置（以下、ＡＴＣ装置）は、軌道回路（レール）に列車検知信号（以下、ＴＤ信号）を送出し、列車の車軸短絡によって信号電圧が低下することによって列車を検知している。ＡＴＣ装置は高い安全性が要求されるシステムであり、フェールセーフなシステムとしなければならない。この場合のフェールセーフとは、該当軌道回路の送受信器が故障した場合に、列車が在線・非在線に関わらず、列車在線と判定することである。送受信器の出力信号レベルの増大故障を見落とすことは、フェールアウトとなる。
図２に、特許文献１に示されている送信器の構成を示す。この図では、信号源２１から出力された信号を電力増幅回路２２で増幅し、トランスＴ１・Ｔ２から出力電圧・電流を取り込み、電圧検出部２３と電流検出部２４に入力し、その出力を加算回路２５で加算し、ゲインコントロール部２６で加算回路出力に応じた増幅度を計算して電力増幅回路２２を制御するものである。
本図においては、構成要素のいずれかが異常な出力となった場合は、正常なその他の構成要素のいずれかによって異常を検知できる。しかし、構成要素のいずれかの出力が正常値に固渋する故障を発生させた場合、その他の正常な構成要素においては、故障要素の異常を検知できない。すなわち、故障が潜在している状態となる。そして、新たに別の構成要素の出力が異常な状態となった場合、既に故障が潜在している構成要素の出力が正常な状態を呈しているので、その他の構成要素によって異常が検知できない。仮に、これらの故障が送信器の出力増大となっていた場合、フェールアウト故障となってしまう。
図２では、例えば電圧検出部２３の故障が潜在し、トランスＴ１の断線が発生しても、電圧検出部２３としてはトランスＴ１の故障を検出できず、フェールアウトとなる危険性がある。
【０００３】
【特許文献１】
特開平３−２５０７１号公報
【０００４】
【発明が解決しようとする課題】
このように、従来の送信器は、装置内の故障をフェールセーフに検出できない危険性がある。
本発明の課題は、このような従来の課題に鑑み、安全性の高いフェールセーフな軌道回路用送信受器を提供することにある。
【０００５】
【課題を解決するための手段】
上記課題を解決するために、少なくとも２台のＣＰＵと、リレー回路と、電力増幅回路を有し、鉄道用保安信号（ＡＴＣ信号）及び列車検知信号（ＴＤ信号）を送受信する軌道回路用送受信器であって、
ＣＰＵのうち少なくとも１台がＡＴＣ信号及びＴＤ信号の出力制御を行うとともに、電力増幅回路の出力電圧・出力電流のフィードバック信号をＣＰＵに入力し、各ＣＰＵが各々電圧・電流のレベルを監視し、電力増幅回路の出力レベルが規定の範囲外になった場合は、送受信器の故障と判断し、ＡＴＣ信号及びＴＤ信号の出力を停止させる軌道回路用送受信器において、
送受信器にはメモリを搭載し、電力増幅回路の出力電圧・出力電流のフィードバック信号をＣＰＵに入力する際、ディジタル化した電力増幅回路の電圧・電流のレベルデータをメモリを介して伝送し、該伝送時には電圧・電流のレベルデータを伝送周期毎に正論理・負論理とに交互に変化させ、メモリの潜在的固渋故障を検知する。
また、２台のＣＰＵは、互いに通信手段を有し、毎通信時には互いに通番を更新し、相互の健全性を確認するとともに、通番が更新されない場合は異常と判断し、フェールセーフにＡＴＣ信号及びＴＤ信号の出力を停止する。
【０００６】
本発明による送信受器は、２台のＣＰＵで出力電圧・電流を監視しているので、送信器の出力の増大故障を誤り無く検知できる。仮に、１台のＣＰＵで監視させると、ＣＰＵ自体の処理が異常となった場合に、この異常を他のデバイスが検知できずに故障が潜在化し、この状態で電力増幅回路の出力が増大した場合に、この故障を検知できず、フェールアウトとなってしまう。
一方、送信受器内にメモリを搭載し、２台のＣＰＵは、電力増幅回路のディジタル化した電圧・電流のレベルデータの伝送時には、伝送周期毎に正論理・負論理とに変化させているので、例えば列車が非在線の状態で電圧・電流のレベルデータが殆ど変化しない状態における送信受器内のメモリの潜在的固渋故障を検知でくる。
また、２台のＣＰＵのうち少なくとも１台が暴走した場合、互いの通信手段によって正常なＣＰＵが相手側の異常を検知し、正常なＣＰＵがリレーの駆動を停止することで信号出力を停止する。
【０００７】
【発明の実施の形態】
以下、本発明の実施形態を図面を用いて説明する。
図１は、本発明の一実施形態であり、鉄道用保安装置（ＡＴＣ装置）の地上側設備において、軌道（レール）に列車制御信号（ＡＴＣ信号）と列車検知信号（ＴＤ信号）を送信する機能を有する軌道回路用送受信器のブロック図を示す。
本送受信器は、上位装置からＩ／ＯＬＡＮと呼ばれるネットワークを介して電文を受信し、これをディジタル周波数変調（ＭＳＫ：ミニマム・シフト・キーイング）後にレールに送信する機能を有するものである。１１ａ，１１ｂはＣＰＵ（マイコン）（Ａ系），（Ｂ系）、１４ａ，１４ｂは周波数変調やディジタルフィルタ等の信号処理を専門に行うＤＳＰ（ディジタル・シグナル・プロセッサ）（Ａ系），（Ｂ系）、１３はネットワーク制御を行うＣＡＮ（コントロール・エリア・ネットワーク）、１２はＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂが互いに通信媒体として用いるＤＰＲＡＭ（デュアル・ポート・ＲＡＭ）、１５ａ，１５ｂ，１６ａ，１６ｂはアナログ信号とディジタル信号との変換を行うＤ／Ａ（ディジタル・アナログ・コンバーター）（Ａ系），（Ｂ系）及びＡ／Ｄ（アナログ・ディジタル・コンバーター）（Ａ系），（Ｂ系）、１７ａ，１７ｂは交番信号を整流するＦＳＡＮＤ（フェール・セーフ・アンド）・ＦＳＡＭＰ（フェール・セーフ・アンプ）、２０は整流された交番信号により駆動される切換リレー（ＣＯＲ）、１８，１９はＤ／Ａ１５ａ，１５ｂが出力した低電圧のアナログ信号を電力増幅するＰＷＭ変換部及びＰＷＭ信号から不要な信号成分を除去するＢＰＦ（バンド・パス・フィルタ）である。
また、本送受信器は、２重系（図示せず）で動作させ、動作系／待機系を切り換えて使用する。
【０００８】
以下、図１に従い説明する。
まず、図示されていない上位装置からＩ／ＯＬＡＮを介して動作系／待機系の認識を指示する電文が送られてくると、ＣＡＮ１３が受信制御し、１次局であるのＣＰＵ（Ａ系）１１ａに割り込みをかける。ＣＰＵ（Ａ系）１１ａは、電文を取得すると、ＤＰＲＡＭ１２を介して２次局であるＣＰＵ（Ｂ系）１１ｂに電文を伝達する。そして、ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂは、電文を解読し、例えば動作系と指示された場合は、互いに位相が９０度ずれているＡ系交番信号，Ｂ系交番信号を生成してＦＳＡＮＤ・ＦＳＡＭＰ１７ａ、１７ｂに出力し、ＣＯＲ２０を駆動する。このとき、ＣＯＲ２０の接点は、各ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂにＡ系接点入力，Ｂ系接点入力として入力され、ＣＯＲ２０の制御状態と接点状態の整合が取れていれば、ＴＤ波信号とＡＴＣ波信号をＰＷＭ１８、ＢＰＦ１９、ＣＯＲ２０を介して出力できる状態になる。一方、ＣＯＲ２０の制御状態と接点状態の整合が取れなければ、両ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂは、直ちにＡ系交番信号，Ｂ系交番信号を停止し、Ａ系ＰＷＭ停止信号，Ｂ系ＰＷＭ停止信号を出力し、ＰＷＭ停止信号を有効とする。
【０００９】
続いて、上位装置からＡＴＣ電文が送られてくると、前述の動作系／待機系認識指示時と同様な手順を経て、ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂが電文を解読する。そして、ここではＡＴＣ電文をＣＰＵ（Ｂ系）１１ｂの系統で処理することにしているので、ＣＰＵ（Ｂ系）１１ｂが規定された送信レベルデータとともにＡＴＣ電文をＤＳＰ（Ｂ系）１４ｂに伝達する。ＤＳＰ（Ｂ系）１４ｂでは、ディジタルデータであるＡＴＣ電文をディジタル信号処理によってＭＳＫ信号に変換し、Ｄ／Ａ（Ｂ系）１６ｂからＡＴＣ信号の情報を持つアナログ信号を指定のレベルで出力する。出力されたＡＴＣ信号はＰＷＭ変換部１８でＰＷＭ信号に変換後に電力増幅され、ＢＰＦ１９によって不要な信号成分（ＰＷＭのスイッチングノイズ）が除去され、既に先に駆動されているＣＯＲ２０を介して図示していない保安器に出力され、軌道に出力される。
このとき、送受信器から出力される信号が一定のレベル以下または以上となることは、正常な列車制御ができなくなることを意味するので、これを防ぐためにＢＰＦ１９の出力から電圧信号（ＶＦＢ）・電流信号（ＩＦＢ）をＡ／Ｄ（Ａ系）１６ａ，（Ｂ系）１６ｂ、ＤＳＰ（Ａ系）１４ａ，（Ｂ系）１４ｂを介してＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂにフィードバックさせ、両ＣＰＵで監視する。そして、電圧・電流のフィードバック信号のレベルが規定の範囲外になった場合は、送受信器の故障と判断し、交番信号を停止してＣＯＲ２０をオフさせるとともに、ＰＷＭ変換部１８に対してＰＷＭ停止信号を有効とし、軌道に対してＡＴＣ信号が出力されるのを防ぐ。
このとき、ＤＳＰ（Ａ系）１４ａ，（Ｂ系）１４ｂからＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂに対してレベルデータを伝送する場合、最初の制御周期では正論理で伝送し、次の制御周期では負論理で伝送し、以降はこれを繰り返す。これは、列車が非在線ではレベルデータは定常状態で安定しており、レベルデータは殆ど変化がなく、この状態でメモリ等の媒体に固渋故障が発生することを早期に検知するためである。例えば、あるレベルデータが正論理で３ＦＦＦｈとなっていた場合、最初の制御周期では３ＦＦＦｈ（正論理）で伝送し、次の制御周期ではＣ０００ｈ（負論理）で伝送する。この手法であれば、メモリデータは制御周期毎にビットが変化しているので、固渋故障を早期に検知できる。
【００１０】
次に、上位装置からＴＤ電文が送られてくると、上記ＡＴＣ電文受信と同一の手順により、ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂが電文を解読する。そして、ここではＴＤ電文をＣＰＵ（Ａ系）１１ａの系統で処理することにしているので、ＣＰＵ（Ａ系）１１ａがＴＤ電文をＤＳＰ（Ａ系）１４ａに伝達する。ＡＴＣ電文のときと同様にＭＳＫに変換されたＴＤ信号は、ＰＷＭ変換部１８、ＢＰＦ１９、ＣＯＲ２０を介して軌道に出力される。ＢＰＦ１９の出力のフィードバック信号をＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂで監視するのも、ＡＴＣ電文の場合と同一である。
また、ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂはＤＰＲＡＭ１２を介して互いに通番を更新しながら通信している。
【００１１】
さて、この状態でＰＷＭ変換部１８又はＢＰＦ１９に故障が発生したとする。このとき、ＢＰＦ１９の出力する電圧・電流フィードバック（ＶＦＢ・ＩＦＢ）信号が規定の範囲を越え、ＣＰＵ（Ａ系）１１ａ，（Ｂ系）１１ｂが検知してＣＯＲ２０をオフし、ＰＷＭ停止信号を有効とすることによって送受信器からの信号出力を停止することができ、システムとしてフェールセーフとなる。
次に、Ｄ／Ａ１５ａに故障が発生したとする。このとき、このＤ／Ａ（Ａ系）１５ａから出力されるＴＤ信号は異常となるが、ＣＰＵ（Ａ系）１１ａ，１１ｂに入力される電圧・電流フィードバック信号（ＶＦＢ・ＩＦＢ）が規定の範囲を越え、前記と同様に送受信器の信号出力を停止することができる。
次に、ＣＰＵ（Ｂ系）１１ｂに故障が発生したとする。このとき、ＤＰＲＡＭ１２に書き込まれる通番が更新されなくなり、かつ、ＦＳＡＮＤ１７ａに出力される交番信号が停止するので、ＣＯＲ２０がオフされる。このことは、正常に動作しているＣＰＵ（Ａ系）１１ａによって直ちに検知されるので、ＰＷＭ変換部１８への停止信号が有効となって送受信器の信号出力を停止することができる。その他、送受信器を構成するあらゆるデバイスの故障が想定されるが、同様の手順を踏んで送受信器の信号出力を停止することができる。
【００１２】
【発明の効果】
以上説明したように、本発明によれば、送受信器内のあらゆるデバイスに故障が発生した場合でも、送受信器の信号出力を停止することができ、送受信器から誤った情報や危険なレベルを含んだ信号を出力しないため、フェールセーフな送受信器を構成することができる。
また、２台のＣＰＵで電力増幅回路の出力電圧・電流を監視しているので、送信器の出力の増大故障を誤り無く検知することができ、安全性の高いフェールセーフを得ることができる。
また、２台のＣＰＵは、電力増幅回路のディジタル化した電圧・電流のレベルデータの伝送時には、伝送周期毎に正論理・負論理とに変化させているので、送信器内に搭載したメモリ潜在的固渋故障を早期に検知することができる。
また、２台のＣＰＵのうち少なくとも１台が暴走した場合、互いの通信手段によって正常なＣＰＵが相手側の異常を検知することが可能であり、正常なＣＰＵがリレーの駆動を停止することで信号出力を停止するので、安全性の高いフェールセーフを得ることができる。
【図面の簡単な説明】
【図１】本発明の一実施形態によるＡＴＣ装置の軌道回路用送受信器の構成図
【図２】従来のＡＴＣ装置の送受信器
【符号の説明】
１１ａ，１１ｂ…ＣＰＵ（マイコン）、１４ａ，１４ｂ…ＤＳＰ（ディジタル・シグナル・プロセッサ）、１３…ＣＡＮ（コントロール・エリア・ネットワーク）、１２…ＤＰＲＡＭ（デュアル・ポート・ＲＡＭ）、１５ａ，１５ｂ，１６ａ，１６ｂ…Ｄ／Ａ（ディジタル・アナログ・コンバーター），Ａ／Ｄ（アナログ・ディジタル・コンバーター）、１７ａ，１７ｂ…ＦＳＡＮＤ（フェール・セーフ・アンド），ＦＳＡＭＰ（フェール・セーフ・アンプ）、１８…ＰＷＭ変換部、１９…ＢＰＦ（バンド・パス・フィルタ）、２０…ＣＯＲ（切換リレー）[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a track circuit transceiver used in a railroad safety device (ATC device).
[0002]
[Prior art]
A railroad safety device (hereinafter referred to as an ATC device) transmits a train detection signal (hereinafter referred to as a TD signal) to a track circuit (rail), and detects a train by a decrease in signal voltage caused by a short-circuited axle of the train. The ATC device is a system that requires high safety, and must be a fail-safe system. In this case, fail-safe is to determine that a train is in a train line regardless of whether the train is present or not when a transceiver of the track circuit fails. Overlooking the increased failure of the transceiver output signal level is a fail-out.
FIG. 2 shows the configuration of the transmitter disclosed in Patent Document 1. In this figure, the signal output from the signal source 21 is amplified by the power amplifier circuit 22, the output voltage / current is taken in from the transformers T1 and T2, input to the voltage detector 23 and the current detector 24, and the output is added. The power is added by the circuit 25, and the gain control unit 26 calculates the degree of amplification corresponding to the output of the adding circuit to control the power amplifier circuit 22.
In this figure, when any of the constituent elements has an abnormal output, the abnormality can be detected by any of the other normal constituent elements. However, when a failure occurs in which the output of any one of the constituent elements is fixed to a normal value, an abnormality of the faulty element cannot be detected in the other normal constituent elements. In other words, there is a potential failure. And when the output of another component newly becomes an abnormal state, since the output of the component which already has a fault has shown the normal state, abnormality cannot be detected by the other component. If these failures increase the output of the transmitter, a fail-out failure will occur.
In FIG. 2, for example, even if the voltage detection unit 23 has a failure and the transformer T1 is disconnected, the voltage detection unit 23 cannot detect the failure of the transformer T1 and there is a risk of failing out.
[0003]
[Patent Document 1]
Japanese Patent Laid-Open No. 3-25071
[Problems to be solved by the invention]
Thus, the conventional transmitter has a risk that a failure in the apparatus cannot be detected in a fail-safe manner.
In view of such a conventional problem, an object of the present invention is to provide a highly safe and fail-safe track circuit transmitter / receiver.
[0005]
[Means for Solving the Problems]
In order to solve the above-mentioned problems, a track circuit transceiver having at least two CPUs, a relay circuit, and a power amplifier circuit and transmitting and receiving a railroad safety signal (ATC signal) and a train detection signal (TD signal) Because
At least one of the CPUs controls the output of the ATC signal and the TD signal, inputs the feedback signal of the output voltage / output current of the power amplifier circuit to the CPU, and each CPU monitors the voltage / current level, When the output level of the power amplifier circuit is out of the specified range, it is determined that the transmitter / receiver is faulty, and in the track circuit transmitter / receiver for stopping the output of the ATC signal and the TD signal ,
The transceiver is equipped with a memory, and when the feedback signal of the output voltage / output current of the power amplifier circuit is input to the CPU, the voltage / current level data of the digitized power amplifier circuit is transmitted via the memory, At the time of transmission, voltage / current level data is alternately changed between positive logic and negative logic every transmission cycle to detect a potential memory failure.
In addition, the two CPUs have communication means with each other, update each other's serial number at every communication, confirm mutual soundness, and if the serial number is not updated, determine that there is an abnormality, and make the ATC signal and failsafe safe. Stop outputting the TD signal.
[0006]
Since the transmission receiver according to the present invention monitors the output voltage and current with two CPUs, it can detect an increase in output failure of the transmitter without error. If monitoring is performed by one CPU, if the processing of the CPU itself becomes abnormal, other devices cannot detect this abnormality, causing a potential failure, and the output of the power amplifier circuit increases in this state. In this case, this failure cannot be detected, resulting in a fail-out.
On the other hand, a memory is installed in the transmitter / receiver, and the two CPUs change between positive logic and negative logic at each transmission cycle when the digitized voltage / current level data of the power amplifier circuit is transmitted. Therefore, for example, a potential failure of the memory in the transmitter / receiver in the state where the voltage / current level data hardly changes when the train is not present is detected.
When at least one of the two CPUs runs away, the normal CPU detects the other party's abnormality by the mutual communication means, and the normal CPU stops driving the relay to stop the signal output. .
[0007]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
FIG. 1 is an embodiment of the present invention, and a train control signal (ATC signal) and a train detection signal (TD signal) are transmitted to a track (rail) in the ground side equipment of a railroad security device (ATC device). The block diagram of the transceiver for track circuits which has a function is shown.
This transceiver has a function of receiving a telegram from a host device via a network called I / O LAN and transmitting it to a rail after digital frequency modulation (MSK: minimum shift keying). Reference numerals 11a and 11b are CPUs (microcomputers) (A system) and (B system), and 14a and 14b are DSPs (digital signal processors) (A system) and (B) specializing in signal processing such as frequency modulation and digital filters. System), 13 is a CAN (control area network) that performs network control, 12 is a DPRAM (dual port RAM), 15a, 15b that is used as a communication medium by the CPU (A system) 11a and (B system) 11b. , 16a, 16b D / A (digital / analog converter) (A system), (B system) and A / D (analog / digital converter) (A system) for converting an analog signal and a digital signal, (B system), 17a and 17b are FSAND (Fail Safe And), FSAMP (Fee) which rectifies the alternating signal A safe amplifier), 20 is a switching relay (COR) driven by a rectified alternating signal, 18 and 19 are PWM converters and PWM signals for amplifying the low-voltage analog signals output by the D / A 15a and 15b. This is a BPF (band pass filter) that removes unnecessary signal components from.
The transceiver is operated in a double system (not shown), and is used by switching between an operation system and a standby system.
[0008]
Hereinafter, a description will be given with reference to FIG.
First, when a message instructing recognition of the operation system / standby system is sent from a host device (not shown) via the I / O LAN, the CAN 13 performs reception control, and the CPU (A system) that is the primary station ) Interrupt 11a. CPU (A system) 11a will transmit a message to CPU (B system) 11b which is a secondary station via DPRAM12, if a message is acquired. Then, the CPU (A system) 11a and the (B system) 11b decode the telegram, and generate an A system alternating signal and a B system alternating signal that are 90 degrees out of phase with each other, for example, when instructed as an operating system. And output to the FSAND / FSAMP 17a, 17b to drive the COR20. At this time, the contact of the COR 20 is input to each CPU (A system) 11a, (B system) 11b as an A system contact input and a B system contact input, and if the control state of the COR 20 and the contact state are matched, The TD wave signal and the ATC wave signal can be output via the PWM 18, BPF 19, and COR 20. On the other hand, if the control state of the COR 20 and the contact state are not matched, both CPUs (A system) 11a and (B system) 11b immediately stop the A system alternating signal and the B system alternating signal, and the A system PWM stop signal. , B system PWM stop signal is output, and the PWM stop signal is made valid.
[0009]
Subsequently, when an ATC telegram is sent from the host device, the CPU (A system) 11a and (B system) 11b decrypt the telegram through the same procedure as in the above-described operation system / standby system recognition instruction. In this case, since the ATC message is processed by the system of the CPU (B system) 11b, the CPU (B system) 11b transmits the ATC message to the DSP (B system) 14b together with the specified transmission level data. . The DSP (B system) 14b converts the ATC telegram, which is digital data, into an MSK signal by digital signal processing, and outputs an analog signal having information on the ATC signal from the D / A (B system) 16b at a specified level. The output ATC signal is amplified by the PWM converter 18 after being converted into a PWM signal, and unnecessary signal components (PWM switching noise) are removed by the BPF 19 and are illustrated via the COR 20 that has already been driven first. Not output to the protector and output to the orbit.
At this time, if the signal output from the transmitter / receiver falls below or above a certain level, it means that normal train control cannot be performed. Therefore, in order to prevent this, a voltage signal (VFB) / current is output from the output of the BPF 19. The signal (IFB) is fed back to the CPU (A system) 11a and (B system) 11b via the A / D (A system) 16a, (B system) 16b, and the DSP (A system) 14a, (B system) 14b. Monitor with both CPUs. If the level of the voltage / current feedback signal falls outside the specified range, it is determined that the transmitter / receiver has failed, the alternating signal is stopped, the COR 20 is turned off, and the PWM converter 18 is stopped from PWM. Enables the signal and prevents the ATC signal from being output for the trajectory.
At this time, when level data is transmitted from the DSP (A system) 14a, (B system) 14b to the CPU (A system) 11a, (B system) 11b, it is transmitted with positive logic in the first control cycle, and the next In this control cycle, transmission is performed with negative logic, and thereafter this is repeated. This is because the level data is stable in a steady state when the train is not present, and there is almost no change in the level data, and in this state, it is detected early that a solid traffic fault occurs in a medium such as a memory. . For example, when certain level data is 3FFFh in positive logic, it is transmitted in 3FFFh (positive logic) in the first control cycle, and is transmitted in C000h (negative logic) in the next control cycle. With this method, the bit of the memory data changes every control cycle, so that it is possible to detect a firm traffic jam at an early stage.
[0010]
Next, when a TD message is sent from the host device, the CPU (A system) 11a and the (B system) 11b decrypt the message by the same procedure as the reception of the ATC message. Here, since the TD message is processed by the system of the CPU (A system) 11a, the CPU (A system) 11a transmits the TD message to the DSP (A system) 14a. As in the case of the ATC telegram, the TD signal converted into MSK is output to the orbit via the PWM converter 18, BPF 19, and COR 20. Monitoring the feedback signal of the output of the BPF 19 by the CPU (A system) 11a and (B system) 11b is the same as in the case of the ATC telegram.
The CPU (A system) 11a and the (B system) 11b communicate with each other via the DPRAM 12 while updating their serial numbers.
[0011]
Now, assume that a failure has occurred in the PWM converter 18 or the BPF 19 in this state. At this time, the voltage / current feedback (VFB / IFB) signal output from the BPF 19 exceeds the specified range, and the CPU (A system) 11a and (B system) 11b detect it to turn off the COR 20 and enable the PWM stop signal. Thus, signal output from the transceiver can be stopped, and the system becomes fail-safe.
Next, it is assumed that a failure has occurred in the D / A 15a. At this time, the TD signal output from the D / A (A system) 15a becomes abnormal, but the voltage / current feedback signal (VFB / IFB) input to the CPU (A system) 11a, 11b is within a specified range. The signal output of the transceiver can be stopped in the same manner as described above.
Next, it is assumed that a failure occurs in the CPU (B system) 11b. At this time, the serial number written in the DPRAM 12 is not updated, and the alternating signal output to the FSAND 17a stops, so the COR 20 is turned off. This is immediately detected by the normally operating CPU (A system) 11a, so that the stop signal to the PWM converter 18 becomes valid and the signal output of the transceiver can be stopped. In addition, although failure of all devices constituting the transceiver is assumed, the signal output of the transceiver can be stopped by following the same procedure.
[0012]
【The invention's effect】
As described above, according to the present invention, even when a failure occurs in any device in the transceiver, the signal output of the transceiver can be stopped, including erroneous information and dangerous levels from the transceiver. Since no signal is output, a fail-safe transceiver can be configured.
Further, since the output voltage and current of the power amplifier circuit are monitored by the two CPUs, an increase failure in the output of the transmitter can be detected without error, and a highly safe fail safe can be obtained.
In addition, since the two CPUs change the voltage / current level data digitized by the power amplifier circuit between positive logic and negative logic every transmission cycle, the potential of the memory installed in the transmitter is reduced. It is possible to detect target troubles at an early stage.
In addition, when at least one of the two CPUs goes out of control, the normal CPU can detect the abnormality on the other party by the mutual communication means, and the normal CPU stops driving the relay. Since the signal output is stopped, a highly safe fail safe can be obtained.
[Brief description of the drawings]
FIG. 1 is a block diagram of a track circuit transceiver of an ATC device according to an embodiment of the present invention. FIG. 2 is a diagram of a transceiver of a conventional ATC device.
11a, 11b ... CPU (microcomputer), 14a, 14b ... DSP (digital signal processor), 13 ... CAN (control area network), 12 ... DPRAM (dual port RAM), 15a, 15b, 16a, 16b: D / A (digital / analog converter), A / D (analog / digital converter), 17a, 17b: FSAND (fail safe and), FSAMP (fail safe amplifier), 18: PWM conversion 19, 19 BPF (band pass filter), 20 COR (switching relay)

Claims

A track circuit transceiver having at least two CPUs, a relay circuit, and a power amplifier circuit, and transmitting and receiving a railway safety signal (ATC signal) and a train detection signal (TD signal),
At least one of the CPUs controls the output of the ATC signal and the TD signal, and inputs a feedback signal of the output voltage / output current of the power amplifier circuit to the CPU. In a track circuit transceiver that monitors the level and determines that the transceiver is out of order when the output level of the power amplifier circuit falls outside a specified range, and stops the output of the ATC signal and the TD signal. ,
The transceiver is equipped with a memory, and when the feedback signal of the output voltage / output current of the power amplifier circuit is input to the CPU, the digitized voltage / current level data is transmitted through the memory, A track circuit transmitter / receiver, wherein at the time of transmission, the level data is alternately changed between positive logic and negative logic at each transmission cycle to detect a potential trouble in the memory.

A track circuit transceiver having at least two CPUs, a relay circuit, and a power amplifier circuit, and transmitting and receiving a railroad safety signal (ATC signal) and a train detection signal (TD signal). At least one unit controls the output of the ATC signal and the TD signal, and also inputs the feedback signal of the output voltage / output current of the power amplifier circuit to the CPU, and each CPU monitors the level of the voltage / current. When the output level of the power amplifier circuit is out of a specified range, the transmitter / receiver for track circuit determines that the transmitter / receiver is out of order and stops the output of the ATC signal and the TD signal.
The transceiver is equipped with a memory, and when the feedback signal of the output voltage / output current of the power amplifier circuit is input to the CPU, the digitized voltage / current level data is transmitted through the memory, At the time of the transmission, the level data is alternately changed between positive logic and negative logic every transmission cycle, and a potential trouble of the memory is detected,
The two CPUs have communication means with each other, update each other's serial number at every communication, confirm mutual soundness, determine that the serial number is not updated, determine that there is an abnormality, and fail-safely the ATC signal and A track circuit transceiver comprising: stopping output of the TD signal.