JP4164628B2

JP4164628B2 - Fail-safe information processing device

Info

Publication number: JP4164628B2
Application number: JP2001200983A
Authority: JP
Inventors: 尚弘池田; 憲晴網谷; 健一海東; 学西尾
Original assignee: Hitachi Ltd; East Japan Railway Co
Current assignee: Hitachi Ltd; East Japan Railway Co
Priority date: 2001-07-02
Filing date: 2001-07-02
Publication date: 2008-10-15
Anticipated expiration: 2021-07-02
Also published as: JP2003015702A

Description

【０００１】
【発明の属する技術分野】
本発明は、鉄道用保安装置に用いる情報処理装置に係り、特に２重系で構成された情報処理装置に関する。
【０００２】
【従来の技術】
従来、鉄道は旅客を運送する関係上、安全性が重視される。このため、鉄道用保安装置では、各種処理装置を二重系にしてフェールセーフ装置を構成している。処理装置としてコンピュータ（ＣＰＵ）を使用する場合、二重系の動作システムとしては、下記のようなものが知られている。
（１）バス照合形二重系
図３にバス照合形二重系のフェールセーフ装置のブロック図を示す。このシステムは、２台のＣＰＵ３１，３２に常にクロックレベルで同一の動作をさせ、比較器３３で両者のデータを比較し、比較不一致となった場合に、ＦＳＡＮＤ回路３５を停止させてリレー３６をオフし、制御出力をフェールセーフ側とする。ＣＰＵ３１，３２は、通常、クロックのエッジに同期して各データ・制御信号を取りこむ。従ってこの方式は、２台のＣＰＵを完全に同期させて動作させる必要があるため、ＣＰＵへの入力信号の同期化回路３４が必要となる。
（２）出力照合形二重系
図４に出力照合形二重系のフェールセーフ装置のブロック図を示す。このシステムは、２台のＣＰＵ４１，４２に同一の動作をさせ、各ＣＰＵの出力結果をＤＰＲＡＭ４３を用いてお互いに照合し、不一致の場合はＣＰＵからの交番信号（励振出力）の出力を停止して制御出力をフェールセーフ側とする。バス照合形二重系と異なり、同期化回路は不要である。
【０００３】
前記（１）の手法では、同期化回路等の余分なハードウェアが必要となり、装置内の部品点数が増加する。しかも２台のＣＰＵに全く同じ動作をさせているため、論理的には１台のＣＰＵと同一の処理能力しか持たない。
【０００４】
一方前記（２）の手法では、同期化回路等の余分なハードウェアは不要であるが、２台のＣＰＵに同一の動作をさせるのは前記（１）の手法と同じであり、従って処理能力は論理的には１台のＣＰＵと等価である。
【０００５】
また、前記（１）、（２）の手法によるフェールセーフ装置は、出力信号を単一のリレーで制御する方式であり、故障が発生しない正常状態では、リレー接点はオン状態を継続している。通常、リレー接点は一定時間間隔以内で開閉することを前提として作られており、上述のように故障が発生しなければ動作しないという使用方法では、接点が溶着故障する危険性がある。
【０００６】
さらに、近年、鉄道用保安装置（ＡＴＣ装置）は、ディジタル伝送を行なうことを主眼として開発されており、このようなシステムでは上位装置から下位装置まで、ネットワーク（ＬＡＮ）で接続されている。このようなネットワークと前記従来例（１）、（２）のような装置を接続しようとすると、同一動作をするＣＰＵが２台存在するため、２本のケーブルを敷設する必要が出てくる。
【０００７】
【発明が解決しようとする課題】
このように、従来のフェールセーフ装置は、２組のハードウェアを備えているが、実質的には、１組のハードウェアと同等の処理能力しか発揮できない。また、２組のハードウェアを備えることから、上位装置とネットワークで接続するためには、２本のケーブルで接続する必要が出てくる。さらに、正常状態ではリレーが動作しないので、動作の頻度が少なく接点溶着の危険性がある。
【０００８】
本発明の課題は、２重系で構成された情報処理装置の処理能力を増やすことにある。
【０００９】
【課題を解決するための手段】
通常の２重系の装置では、先に述べたように、２重系を構成する２つの機器が、それぞれまったく同一の処理を行うために、２つの機器があっても１つの機器と同じ処理能力しか発揮できない。発明者らは、例えば鉄道用保安装置では、出力される信号のレベル（出力レベル）が、処理の正確さを反映していることに着目し、入力される情報の処理の全部を２重系を構成する２つの機器それぞれに実行させるのではなく、一部は２つの機器それぞれに実行させ、残りの一部を分担させることで、処理能力を増大させるとともに、外部に出力される情報の出力レベルが所定の範囲内にあるかどうかを、前記２つの機器でともに確認し、所定の範囲内にないとき、情報の出力を停止することで、フェールセーフ性を維持した。
【００１０】
すなわち、上記目的を達成する本発明は、上位装置から伝達される複数種類の情報をそれぞれ処理する２組の情報処理手段を備え、前記情報処理手段で処理された情報を、前記情報処理手段が出力する信号で開閉制御されるリレー接点を介して出力し、所定の出力レベルに増幅して送出するよう構成された情報処理装置において、
ａ．前記２組の情報処理手段の一方を１次局、他方を２次局とし、前記上位装置から伝達される情報は前記１次局を介して２次局へ伝達されるよう構成されていることと、
ｂ．前記１次局、２次局は、上位装置から伝達される複数種類の情報のうちのどの情報を処理するのかが予め定められていることと、
ｃ．前記１次局、２次局は、それぞれ送出される前記情報の出力レベルが所定の範囲内にあるかどうかを確認し、所定の範囲を外れていると判定したとき、前記リレー接点を開くよう構成されていること、
を特徴とする。
【００１１】
１次局、２次局は、上位装置から伝達される複数種類の情報のうちのどの情報を処理するのかを予め定められており、１次局、２次局のそれぞれが全部の情報を処理するのではないので、１次局、２次局ともに、処理の余力が生じる。また、前記１次局、２次局は、それぞれ送出される前記情報の出力レベルが所定の範囲内にあるかどうかを確認し、所定の範囲を外れていると判定したとき、前記リレー接点を開くので、情報処理装置から外部への信号出力が停止されるので、誤信号が外部に送出されることがなく、処理のフェールセーフ性が維持される。
【００１２】
前記リレー接点は、前記２組の情報処理手段双方にそれぞれ接続された２組のリレー接点を含んで構成され、これら２組のリレー接点は一方が動作系、他方が待機系として機能し、動作系のリレー接点は閉じ、待機系のリレー接点は開くように制御されるとともに、所定の時間間隔もしくは上位装置からの指令に基づく前記２組の情報処理手段からの信号で動作系と待機系が切り替えられるように構成されていることが望ましい。このように構成すれば、装置に異常がなくてもリレー接点が開閉されるので、接点の溶着の惧れはなくなる。
【００１３】
前記１次局、２次局は、それぞれ自局及び前記リレー接点の動作を診断し、異常と判断したとき、リレー接点を開くように構成されていることが望ましい。
【００１４】
また、前記２組の情報処理手段は、前記リレー接点の開閉制御のための信号としてエッジ位置の異なる同じ交番信号を出力するよう構成され、２組の情報処理手段から出力された交番信号は交流アンプに入力されて整流されて前記リレー接点のリレーを駆動する。
【００１５】
上記情報処理装置を２組組み合わせ、一方が動作系、他方が待機系となる二重系を構成し、動作系の情報処理装置の１次局もしくは２次局が異常と判断してリレー接点を開いたとき、待機系の情報処理装置が動作系に切り替わるように構成してもよい。
【００１６】
さらに、情報処理装置を２組組み合わせ、一方が動作系、他方が待機系となる二重系を構成したものにおいて、２組の情報処理装置の出力側のそれぞれに切り替え手段を介して模擬負荷を接続し、待機系の情報処理装置は動作系の情報処理装置と同様の処理を実行するとともに、処理結果は前記模擬負荷に送出されるように構成すれば、動作系の情報処理装置に異常が生じた場合でも、切り替え手段を切り替えるだけで、外部への出力を切れ目なく継続できる。
【００１７】
上記構成によれば、１次局のみが上位装置と通信すればよいので、例えばネットワークを介して上位装置から情報を受信する場合、ネットワークと情報処理装置を接続するケーブルは１本でよい。また、１次局、２次局がお互いに通信する手段を設ければ、自系診断・他系診断を実施し、異常検知時は交番信号出力を停止して装置の出力を制御するリレーをオフし、外部に対する信号出力を停止することが可能になる。
【００１８】
【発明の実施の形態】
以下、本発明の実施の形態を図面を参照して説明する。本実施の形態は、鉄道用保安装置（ＡＴＣ装置）の地上側設備において、軌道（レール）に列車制御信号（ＡＴＣ信号）と列車検知信号（ＴＤ信号）を送信し、軌道からＴＤ信号を受信する機能を有する情報処理装置、云いかえると送受信機である。
【００１９】
図２に、鉄道用保安装置（ＡＴＣ装置）の全体構成を示す。図示の装置では、論理部２０１で車両の停止点情報等を含む電文を作成し、ＡＴＣ−ＬＡＮと呼ぶネットワークを介して下位装置であるノード２０２に伝達する。ノード２０２の配下には、軌道回路と同数の送受信機がＩ／ＯＬＡＮと呼ぶネットワークで接続されて機器室２０３に分散配置されており、ノード２０２は受け取った電文をこのネットワークを介して配下の送受信機に伝達する。電文を受け取った送受信機は、その電文を適切な周波数で変調してキャリアに乗せ、ＰＡ（パワーアンプ）により電力増幅して軌道（レール）に送信する。軌道を走っている電車２０４がこの変調された電文を受信し、ブレーキ制御等を行なう。
【００２０】
図１に本実施の形態の送受信機の系統構成を示す。図示の送受信機は、Ｉ／ＯＬＡＮ１系及びＩ／ＯＬＡＮ２系にそれぞれ接続されて電文処理・信号レベル制御を行なうＤＳＰボード１系１，ＤＳＰボード２系２と、ＤＳＰボード１系１，ＤＳＰボード２系２にそれぞれ接続されて低電圧の信号を電力増幅するＰＡ（１系）２７、ＰＡ（２系）２９と、ＰＡ（１系）２７、ＰＡ（２系）２９にそれぞれ接続され２台のＰＡの出力を切り替える切り替えリレーＣＯＲ２８，３０と、切り替えリレーＣＯＲ２８，３０にそれぞれ接続された模擬負荷とを含んで構成されている。
【００２１】
ＤＳＰボード１系１，ＰＡ（１系）２７、リレーＣＯＲ２８及び模擬負荷は、それだけで送受信機の機能を有し、同様に送受信機の機能を持つＤＳＰボード２系２，ＰＡ（２系）２９、リレーＣＯＲ３０及び模擬負荷と組み合わされて、一方を動作系、他方を待機系とする二重系を構成している。
【００２２】
ＤＳＰボード１系１，ＤＳＰボード２系２は同一の構成なので、ＤＳＰボード１系１の構成につき、説明する。ＤＳＰボード１系１は、Ｉ／ＯＬＡＮ１系に接続されてネットワーク制御（ネットワークとの送受信）を行なうＣＡＮ１５と、このＣＡＮ１５に接続されたバス３ａと、このバス３ａにＤＰＲＡＭ１７を介して接続されたバス３ｂと、このバス３ａに接続されたＣＰＵ（Ａ系）１１と、このＣＰＵ（Ａ系）１１に接続された送受信タップ１８と、この送受信タップ１８及び前記バス３ｂに接続されたＣＰＵ（Ｂ系）１２と、前記バス３ａに接続されたスイッチ・ＬＥＤ１６と、前記バス３ａ，バス３ｂにそれぞれ接続され周波数変調やディジタルフィルタ等の信号処理を専門に行うＤＳＰ（Ａ系）１３，ＤＳＰ（Ｂ系）１４と、前記ＣＰＵ（Ａ系）１１，ＣＰＵ（Ｂ系）１２双方にそれぞれ接続され交番信号を整流する交流アンプであるＦＳＡＮＤ・ＦＳＡＭＰ２３，２４と、このＦＳＡＮＤ・ＦＳＡＭＰ２３，２４にそれぞれ接続され、整流された交番信号で駆動されるカットリレー２５，２６と、前記ＤＳＰ（Ａ系）１３に入り側、出側をそれぞれ接続したＤ／Ａ（Ａ系）１９とＡ／Ｄ（Ａ系）２０と、前記ＤＳＰ（Ｂ系）１４に入り側、出側をそれぞれ接続したＤ／Ａ（Ｂ系）２２とＡ／Ｄ（Ｂ系）２１と、を含んで構成されている。
【００２３】
ＣＰＵ（Ａ系）１１，ＤＳＰ（Ａ系）１３，及びＤ／Ａ（Ａ系）１９とＡ／Ｄ（Ａ系）２０とで１次局となる情報処理手段が構成され、ＣＰＵ（Ｂ系）１２，ＤＳＰ（Ｂ系）１４，及びＤ／Ａ（Ｂ系）２２とＡ／Ｄ（Ｂ系）２２とで２次局となる情報処理手段が構成されている。すなわち、情報処理手段は２重化されている。但し、１次局と２次局は、上位装置から伝達される複数種類の電文の全てを同じように処理するのではなく、それぞれ処理を担当する電文の種類が決められており、その内容は各ＣＰＵのプログラムで規定されている。
【００２４】
Ｄ／Ａ（Ａ系）１９とＤ／Ａ（Ｂ系）２２の出側は、それぞれ動作系のカットリレー２５，待機系のカットリレー２６の双方に接続され、カットリレー２５，２６それぞれは、さらに、ＣＰＵ（Ａ系）１１とＣＰＵ（Ｂ系）１２の双方に接続されている。ここでいう動作系、待機系は説明のための割り振りであり、動作系、待機系は必要に応じて入れ替わるようになっている。
【００２５】
ＣＰＵ（Ａ系）１１とＣＰＵ（Ｂ系）１２は、共通の機能と互いに異なる機能を持ち、したがって動作を制御するプログラムは、部分的には共通であるが、残部が異なるプログラムで動作するようになっている。
【００２６】
カットリレー２５，２６の出側は、前記ＰＡ（１系）２７に接続され、ＰＡ（１系）２７は前記ＣＯＲ（１系）２８に接続されている。ＣＯＲ（１系）２８は、保安器を介して軌道回路に接続されている。ＣＯＲ（１系）２８はまた、ＣＰＵ（Ａ系）１１，ＣＰＵ（Ｂ系）１２双方に接続されているとともに、模擬負荷が接続されている。
【００２７】
ＰＡ（１系）２７はまた、Ａ／Ｄ（Ａ系）２０とＡ／Ｄ（Ｂ系）２１の入り側に接続され、軌道回路は保安器を介してＡ／Ｄ（Ａ系）２０とＡ／Ｄ（Ｂ系）２１の入り側に接続されている。
【００２８】
ＤＰＲＡＭ１７は、ＣＰＵ１１，１２が互いに通信媒体として用いるものである。ＰＡ（１系）２７はＤＳＰボード１系が出力する低電圧の信号を増幅するパワーアンプである。前記送受信タップ１８は一種のスイッチであり、ＰＡの増幅の度合が設定されている。
【００２９】
前記ＤＳＰボード（２系）２は、前記ＤＳＰボード（１系）１と同様に構成され、ＰＡ（２系）２９、ＣＯＲ（２系）３０、および模擬負荷が前記ＰＡ（１系）２７、ＣＯＲ（１系）２８、および模擬負荷と同様な系統構成で接続されている。
【００３０】
ＰＡ２７，２９はＤＳＰボードが出力する低電圧の信号を増幅するパワーアンプであり、ＣＯＲ２８，３０は、２台のＰＡ２７，２９の出力を切り替える切り替えリレーである。
【００３１】
以下、上記構成の装置の動作を説明する。まず、図示されていない上位装置からＩ／ＯＬＡＮ１系を介して動作系／待機系の認識を指示する電文が送られると、ＣＡＮ１５がこの電文を受信する。ＣＡＮ１５はこの電文を受信すると、１次局のＣＰＵ１１に割り込みをかけ、受信した電文を伝達する。ＣＰＵ１１は電文を取得すると、ＤＰＲＡＭ１７を介して２次局のＣＰＵ１２にこの電文を伝達する。
【００３２】
ＣＰＵ１１、１２は電文をそれぞれ解読し、例えば動作系と指示された場合は、互いに９０度位相がずれた同じ交番信号を生成してＦＳＡＮＤ・ＦＳＡＭＰ２３に出力する。
【００３３】
ＦＳＡＮＤ・ＦＳＡＭＰ２３はＣＰＵ１１、１２から入力された交番信号を整流し、動作系であるカットリレー２５を駆動（接点をオン）する。両ＣＰＵは同時にＣＯＲ２８を駆動（接点をオン）する。カットリレー２５及びＣＯＲ２８の各接点の状態はＣＰＵ１１、１２に入力され、リレーの制御状態（励磁の有無）と接点状態の整合が確認される。リレーの制御状態と接点状態が整合していなければ、ＣＰＵ１１、１２は直ちに交番信号の出力を停止するとともに、その旨をＣＡＮ１５を介して上位装置に伝達する。交番信号の出力停止により、カットリレー２５はオフとなる。
【００３４】
なおこのとき、図示されていない前記上位装置からＩ／ＯＬＡＮ２系を介してＤＳＰボード（２系）２にも電文が伝達されており、こちらでは待機系のカットリレーを駆動し、ＣＯＲ３０はオフのままとなっている。
【００３５】
また、本実施の形態では、ＣＰＵ１１、１２が出力する交番信号は、互いに９０度位相がずれたものであるが、交番信号の立ち上がり位置（エッジ）がずれていれば、必ずしも９０度位相がずれたものでなくともよい。
【００３６】
続いて前記上位装置からＡＴＣ電文が送られてくると、前述の動作系／待機系認識指示時と同様な手順を経て、ＣＰＵ１１、１２が電文を解読する（ＡＴＣ電文を受信したことを知る）。ＣＰＵ１１、１２のプログラムには、ＡＴＣ電文の処理は２次局が担当し、次に述べるＴＤ電文の処理は１次局が担当することが規定されており、ＣＰＵ１２が電文をＤＳＰ１４に伝達する。ＣＰＵ１２はまた、送受信タップ１８を読み取り、送信レベルを決定してこのレベルデータをＤＳＰ１４に伝達する。ＤＳＰ１４は、ディジタルデータである電文をディジタル信号処理によってＭＳＫ信号に変換し、Ｄ／Ａ２２に送りこむ。Ｄ／Ａ２２は送りこまれたＭＳＫ信号をＡＴＣ信号の情報を持つアナログ信号に変換し、指定のレベルで出力する。このＡＴＣ信号は、先にカットリレー２５がオンされているので、この接点を介してＤＳＰボード１の外に出力される。
【００３７】
出力されたＡＴＣ信号は、ＰＡ２７によって電力増幅され、すでに先にオンとなっているＣＯＲ２８及び保安器を経て軌道回路に送出される。
【００３８】
このとき、ＰＡ２７から送出される信号のレベルがある範囲を外れることは、正常な列車制御ができなくなることを意味するから、そのような事態を防ぐために、ＰＡ２７から前記ＡＴＣ信号の電圧信号・電流信号をＡ／Ｄ２０，Ａ／Ｄ２１、ＤＳＰ１３，１４を介してＣＰＵ１１、１２にフィードバックさせ、両ＣＰＵで監視する。ＣＰＵ１１、１２は、フィードバックされた信号のレベルが送受信タップ１８に設定された規定値の範囲外になった場合、ＰＡの故障と判断し、交番信号の出力を停止してカットリレー２５をオフさせるとともに、ＣＯＲ２８もオフし、ＡＴＣ信号が軌道回路に出力されるのを防ぐ。
【００３９】
次に前記上位装置からＴＤ電文が送られてくると、前記ＡＴＣ電文の場合と同一の手順によりＣＰＵ１１、１２が電文を解読し、ＣＰＵ１１が電文をＤＳＰ１３に伝達する。ＣＰＵ１１は同時に送受信タップ１８の設定値を読み取ってＤＳＰ１３に伝達する。ＡＴＣ電文の場合と同様に、ＤＳＰ１３でＭＳＫ信号に変換されたＴＤ信号は、ＰＡ２７，ＣＯＲ２８，保安器を介して軌道回路に送出される。ＰＡ２７のフィードバック信号をＣＰＵ１１、１２で監視し、フィードバックされた信号のレベルが送受信タップ１８に設定された規定値の範囲外になった場合、交番信号の出力を停止するのも、ＡＴＣ電文の場合と同様である。
【００４０】
上述のように、ＡＴＣ電文がＣＰＵ１２−ＤＳＰ１４のルートで処理され、ＴＤ電文がＣＰＵ１１−ＤＳＰ１３のルートで処理されるから、ＡＴＣ電文とＴＤ電文の平行処理が可能となり、ＣＰＵ１１、１２の処理能力を増加させる効果がある。つまり、一方の情報処理手段がＡＴＣ電文の処理中にＴＤ電文を受信した場合でも、他方の情報処理手段が直ちにＴＤ電文の処理を実行できるし、一方、ＡＴＣ電文を処理した側は、次に処理すべき情報が受信されるまで、他の作業を行なうことができる。
【００４１】
上述の動作は、上位装置から送られてくる電文に基づく動作であるが、これらの電文は、通常、一定の時間間隔で送られてくる。電文が送られない時間帯では、ＤＳＰボード１，２は、情報処理装置内部の診断動作を実行する。
【００４２】
内部の診断は、ＣＰＵ１１、１２に接続されているメモリの健全性チェック、カットリレー２５，２６の接点の整合性チェック、ＣＯＲ２８，３０の接点の整合性チェック、ＤＳＰ１３，１４内のメモリの健全性チェック、などである。これらのチェックの結果、異常が発見された場合、ＣＰＵ１１、１２は交番信号の出力を停止し、カットリレー２５の出力をオフとするとともにＣＯＲ２８をオフし、軌道回路に対して信号が送出されるのを防ぐ。
【００４３】
一方、リレーの接点チェック結果、前記ＰＡのフィードバック信号の監視結果、送受信タップ１８の読み取り結果等は、一定時間間隔で、ＤＰＲＡＭ１８を介してＣＰＵ１１、１２間で交換され、各ＣＰＵが自系の判定結果と他系の判定結果を比較する。比較の結果不一致となった場合は、ＣＰＵ１１、１２はただちに交番信号の出力を停止し、カットリレー２５の出力をオフとするとともにＣＯＲ２８をオフし、軌道回路に対して信号が出力されるのを防ぐ。
【００４４】
すなわち、前記チェックで異常が発見された場合、及び前記比較の結果が不一致の場合、装置のどこかが異常を生じ、軌道回路に出力する信号が正常な信号でないと判断し、軌道回路に対して信号が出力されるのを防ぐことによって制御を安全側に維持するフェールセーフシステムとなっている。
【００４５】
また、スイッチ・ＬＥＤ１６は、主に外部に対する表示機能を担い、上位装置との通信状況・ＤＳＰボードの動作情況の表示や、ネットワークにおけるアドレス設定のためのものである。スイッチ・ＬＥＤ１６は、上位装置と通信するＣＰＵ１１によって制御される。
【００４６】
ＤＳＰボード１を含む送受信機（情報処理装置）が上位装置から待機系を指示する電文を受信した場合は、上記一連の動作の中で、カットリレー２５の代わりにカットリレー２６を駆動（オン）し、ＣＯＲ２８をオフする。するとＣＯＲ２８の出力は保安器から模擬負荷に切り替わり、ＤＳＰボード１を含む送受信機（情報処理装置）は動作系のときと同等の動作（上位装置からの電文受信、ＭＳＫ信号出力、自系／他系診断）を行なう。すなわち、待機系の情報処理装置は、動作系の情報処理装置と同じ動作を行なうが、最終的な情報の送出は模擬負荷に対して行なわれるのである。このときは、ＤＳＰボード２が動作系となっており、ＣＯＲ３０からの出力が保安器を介して軌道回路に出力されるようになっている。
【００４７】
カットリレー２５，２６の動作系と待機系の切り替えは上位装置からの電文によるが、定められた期間ごと、例えば１日単位で行なうようにする。このように動作系と待機系を定められた期間ごとに切り替えることで、システムの故障の有無と関係なく、カットリレー２５，２６が定期的に作動する。この結果、リレー接点の溶着などの惧れが少なくなる。
【００４８】
なお、本実施の形態では、ＤＳＰボード１を含む送受信機とＤＳＰボード２を含む送受信機が組み合わされ、ＤＳＰボード１を含む送受信機（情報処理装置）を動作系、ＤＳＰボード２を含む送受信機（情報処理装置）を待機系とする二重系が構成されている。切り替えリレーＣＯＲ２８，３０も、ＤＳＰボードの動作系と待機系の切り替えに伴なって定期的に作動するので、リレー接点の溶着などの惧れが少なくなる。
【００４９】
この二重系は上位装置からの指令で定期的に動作系と待機系を切り替えるだけでなく、動作系の送受信機の１次局と２次局の一方あるいは双方が交番信号の出力を停止してリレー接点を開いた場合は、上位装置は、待機系だった送受信機を動作系に切り替える。待機系から動作系に切り替わった送受信機（情報処理装置）は、切り替えリレーＣＯＲをオンし、それまで模擬負荷に出力していた信号を保安器を介して軌道回路に送出する。したがって、軌道回路に出力される信号が中断されることがない。
【００５０】
本実施の形態ではまた、１次局のＣＰＵ１１がＣＡＮ１５を介してネットワーク（Ｉ／ＯＬＡＮ）から受信した電文を２次局のＣＰＵ１２に伝送するので、ネットワークとＤＳＰボード１系を接続するケーブルは１本でよい。
【００５１】
【発明の効果】
本発明によれば、２重化された情報処理手段の処理能力を増やすことが可能になるとともに、２重化された情報処理手段を持つ情報処理装置とネットワークを１本のケーブルで接続できるようになる。また、情報処理装置からの情報の出力経路に配置されたリレーの接点溶着の惧れをなくすことが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態の構成を示す系統図である。
【図２】本発明が適用されるシステムの全体構成の例を示す系統図である。
【図３】従来技術の例を示す系統図である。
【図４】従来技術の他の例を示す系統図である。
【符号の説明】
１ＤＳＰボード（１系）
２ＤＳＰボード（２系）
３ａ，３ｂバス
１１ＣＰＵ（Ａ系）
１２ＣＰＵ（Ｂ系）
１３ＤＳＰ（Ａ系）
１４ＤＳＰ（Ｂ系）
１５ＣＡＮ
１６ LED，スイッチ
１７ＤＰＲＡＭ
１８送受信タップ
１９Ｄ／Ａ（Ａ系）
２０Ａ／Ｄ（Ａ系）
２１Ａ／Ｄ（Ｂ系）
２２Ｄ／Ａ（Ｂ系）
２３，２４ＦＳＡＮＤ・ＦＳＡＭＰ
２５カットリレー（動作系）
２６カットリレー（待機系）
２７ＰＡ（１系）
２８切り替えリレーＣＯＲ（１系）
２９ＰＡ（２系）
３０切り替えリレーＣＯＲ（２系）[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an information processing apparatus used for a railroad security apparatus, and more particularly to an information processing apparatus configured with a dual system.
[0002]
[Prior art]
Conventionally, railways place importance on safety because they carry passengers. For this reason, in the railroad safety device, a fail-safe device is configured by using various processing devices as a dual system. When a computer (CPU) is used as the processing device, the following are known as dual operation systems.
(1) Bus verification type dual system FIG. 3 is a block diagram of a bus verification type dual system fail-safe device. In this system, the two CPUs 31 and 32 always perform the same operation at the clock level, the comparator 33 compares both data, and if the comparison does not match, the FSAND circuit 35 is stopped and the relay 36 is turned off. Turn off and set the control output to the fail-safe side. The CPUs 31 and 32 usually fetch each data / control signal in synchronization with the clock edge. Therefore, since this method requires two CPUs to operate in complete synchronization, a synchronization circuit 34 for input signals to the CPU is required.
(2) Output verification type dual system FIG. 4 shows a block diagram of an output verification type dual system fail-safe device. This system causes the two CPUs 41 and 42 to perform the same operation, collates the output results of each CPU using the DPRAM 43, and stops output of alternating signals (excitation output) from the CPU if they do not match. Control output to the fail-safe side. Unlike the bus verification type dual system, no synchronization circuit is required.
[0003]
In the method (1), extra hardware such as a synchronization circuit is required, and the number of parts in the apparatus increases. In addition, since the two CPUs are operated in exactly the same way, they logically have only the same processing ability as one CPU.
[0004]
On the other hand, in the method (2), no extra hardware such as a synchronization circuit is required, but the same operation of the two CPUs is the same as the method (1). Is logically equivalent to one CPU.
[0005]
Further, the fail-safe device according to the methods (1) and (2) is a method of controlling the output signal with a single relay, and the relay contact is kept on in a normal state where no failure occurs. . Usually, the relay contact is made on the assumption that it opens and closes within a certain time interval, and there is a risk that the contact will be welded failure in the usage method in which the relay contact does not operate unless a failure occurs as described above.
[0006]
Furthermore, in recent years, railway security devices (ATC devices) have been developed mainly for digital transmission, and in such a system, a higher level device to a lower level device are connected via a network (LAN). If such a network is to be connected to the devices as in the conventional examples (1) and (2), since there are two CPUs that perform the same operation, it is necessary to lay two cables.
[0007]
[Problems to be solved by the invention]
As described above, the conventional fail-safe device includes two sets of hardware, but can substantially exhibit only the processing capability equivalent to that of one set of hardware. In addition, since two sets of hardware are provided, in order to connect to the host device via a network, it is necessary to connect with two cables. Furthermore, since the relay does not operate in a normal state, the frequency of operation is low and there is a risk of contact welding.
[0008]
The subject of this invention is increasing the processing capability of the information processing apparatus comprised by the double system.
[0009]
[Means for Solving the Problems]
In a normal duplex system, as described above, since two devices constituting the duplex system perform exactly the same processing, the same processing as one device is performed even if there are two devices. Only ability can be demonstrated. The inventors pay attention to the fact that the level of the output signal (output level) reflects the accuracy of processing in, for example, a railway security device, and the entire processing of input information is performed in a double system. Is not executed by each of the two devices constituting the system, but a part is executed by each of the two devices and the remaining part is shared to increase the processing capacity and output information output to the outside. Whether or not the level is within a predetermined range is confirmed with the two devices, and when the level is not within the predetermined range, the output of information is stopped to maintain the fail-safe property.
[0010]
That is, the present invention that achieves the above object includes two sets of information processing means for respectively processing a plurality of types of information transmitted from a host device, and the information processing means stores information processed by the information processing means. In an information processing apparatus configured to output via a relay contact that is controlled to be opened and closed by a signal to be output, amplified to a predetermined output level and sent out,
a. One of the two sets of information processing means is a primary station and the other is a secondary station, and information transmitted from the host device is configured to be transmitted to the secondary station via the primary station. When,
b. The primary station and the secondary station have predetermined information to be processed among a plurality of types of information transmitted from the host device;
c. The primary station and the secondary station check whether the output level of the information to be transmitted is within a predetermined range, and open the relay contact when determining that the output level is out of the predetermined range. That it is configured,
It is characterized by.
[0011]
The primary station and the secondary station have predetermined information to be processed among a plurality of types of information transmitted from the host device, and each of the primary station and the secondary station processes all the information. As a result, there is a surplus of processing power in both the primary station and the secondary station. In addition, the primary station and the secondary station check whether the output level of the information to be transmitted is within a predetermined range, and when determining that the output level is out of the predetermined range, Since it opens, the signal output from the information processing apparatus to the outside is stopped, so that an erroneous signal is not sent to the outside, and the fail-safe property of the process is maintained.
[0012]
The relay contact is configured to include two sets of relay contacts respectively connected to both of the two sets of information processing means. One of these two sets of relay contacts functions as an operating system and the other functions as a standby system. The relay contact of the system is closed and the relay contact of the standby system is controlled to open, and the operation system and the standby system are controlled by signals from the two sets of information processing means based on a predetermined time interval or a command from the host device. It is desirable to be configured to be switched. With this configuration, the relay contact is opened and closed even if there is no abnormality in the apparatus, so there is no possibility of contact welding.
[0013]
It is desirable that the primary station and the secondary station are configured to open the relay contact when diagnosing the operation of the local station and the relay contact, respectively, and determining that it is abnormal.
[0014]
The two sets of information processing means are configured to output the same alternating signals having different edge positions as signals for opening / closing control of the relay contacts, and the alternating signals output from the two sets of information processing means are alternating current. The signal is input to the amplifier and rectified to drive the relay contact relay.
[0015]
Two sets of the above information processing devices are combined to form a dual system in which one is an operation system and the other is a standby system. The primary or secondary station of the operation information processing device determines that an abnormality has occurred, and the relay contact is When opened, the standby information processing apparatus may be switched to the operating system.
[0016]
Further, in a combination of two sets of information processing apparatuses, one of which is an operating system and the other is a standby system, a simulated load is applied to each of the output sides of the two sets of information processing apparatuses via switching means. If the standby information processing apparatus executes the same processing as the operation information processing apparatus and the processing result is sent to the simulated load, the operation information processing apparatus has an abnormality. Even if it occurs, the output to the outside can be continued without interruption by simply switching the switching means.
[0017]
According to the above configuration, since only the primary station needs to communicate with the host device, for example, when receiving information from the host device via the network, only one cable connecting the network and the information processing device is required. In addition, if the primary station and the secondary station are provided with means to communicate with each other, a self-diagnosis / other system diagnosis is performed, and when an abnormality is detected, a relay that stops the alternating signal output and controls the output of the device is provided. It is possible to turn off and stop signal output to the outside.
[0018]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. In this embodiment, in the ground side equipment of the railroad security device (ATC device), the train control signal (ATC signal) and the train detection signal (TD signal) are transmitted to the track (rail), and the TD signal is received from the track. In other words, it is a transceiver.
[0019]
FIG. 2 shows the overall configuration of a railway security device (ATC device). In the illustrated apparatus, a message including vehicle stop point information and the like is created by the logic unit 201 and transmitted to the node 202, which is a subordinate apparatus, via a network called ATC-LAN. Under the node 202, the same number of transceivers as the track circuit are connected by a network called I / O LAN and distributed in the equipment room 203. The node 202 receives received electronic messages via this network. Communicate to the transceiver. The transmitter / receiver that has received the electronic message modulates the electronic message at an appropriate frequency, places the electronic message on a carrier, amplifies the power by a PA (power amplifier), and transmits the amplified power to the track. The train 204 running on the track receives this modulated message and performs brake control and the like.
[0020]
FIG. 1 shows a system configuration of the transceiver according to the present embodiment. The illustrated transmitter / receiver is connected to the I / OLAN 1 system and the I / O LAN 2 system, respectively, to perform message processing and signal level control, DSP board 1 system 1 and DSP board 2 system 2, DSP board 1 system 1 and DSP board Two units connected respectively to PA (1 system) 27, PA (2 system) 29, PA (1 system) 27, and PA (2 system) 29, which are respectively connected to system 2 and amplify a low voltage signal. The switching relays COR28, 30 for switching the output of the PAs, and the simulated loads respectively connected to the switching relays COR28, 30 are configured.
[0021]
The DSP board 1 system 1, PA (1 system) 27, the relay COR 28, and the simulated load alone have the function of a transceiver, and the DSP board 2 system 2, PA (2 system) 29 also has the function of a transceiver. In combination with the relay COR30 and the simulated load, a dual system is configured with one operating system and the other standby system.
[0022]
Since the DSP board 1 system 1 and the DSP board 2 system 2 have the same configuration, the configuration of the DSP board 1 system 1 will be described. The DSP board 1 system 1 is connected to the I / O LAN 1 system to perform network control (transmission and reception with the network), a bus 3 a connected to the CAN 15, and a bus 3 a connected to the bus 3 a via the DPRAM 17. The bus 3b, the CPU (A system) 11 connected to the bus 3a, the transmission / reception tap 18 connected to the CPU (A system) 11, the transmission / reception tap 18 and the CPU (B connected to the bus 3b) System) 12, a switch / LED 16 connected to the bus 3a, and a DSP (A system) 13 and DSP (B) connected to the bus 3a and bus 3b, respectively, for performing signal processing such as frequency modulation and digital filters. FS, which is an AC amplifier connected to both the CPU (A system) 11 and the CPU (B system) 12 for rectifying the alternating signal. AND / FSAMP 23, 24, cut relays 25, 26 connected to the FSAND / FSAMP 23, 24, respectively, and driven by a rectified alternating signal, and the DSP (A system) 13 entering and exiting are connected respectively. D / A (A system) 19 and A / D (A system) 20 and D / A (B system) 22 and A / D (connected to the DSP (B system) 14 on the entry side and the exit side, respectively. B system) 21.
[0023]
The CPU (A system) 11, DSP (A system) 13, and D / A (A system) 19 and A / D (A system) 20 constitute an information processing means serving as a primary station. ) 12, DSP (B system) 14, and D / A (B system) 22 and A / D (B system) 22 constitute information processing means serving as a secondary station. That is, the information processing means is duplicated. However, the primary station and the secondary station do not process all types of messages transmitted from the host device in the same way. It is defined by the program of each CPU.
[0024]
The outlets of D / A (A system) 19 and D / A (B system) 22 are connected to both an operating system cut relay 25 and a standby system cut relay 26, respectively. Further, it is connected to both the CPU (A system) 11 and the CPU (B system) 12. Here, the operation system and the standby system are assigned for explanation, and the operation system and the standby system are switched as necessary.
[0025]
The CPU (A system) 11 and the CPU (B system) 12 have a common function and a function different from each other. Therefore, the programs for controlling the operation are partially common, but the remainder is operated by a different program. It has become.
[0026]
The exit sides of the cut relays 25 and 26 are connected to the PA (1 system) 27, and the PA (1 system) 27 is connected to the COR (1 system) 28. The COR (1 system) 28 is connected to the track circuit via a protector. The COR (1 system) 28 is also connected to both the CPU (A system) 11 and the CPU (B system) 12 and is connected to a simulated load.
[0027]
PA (1 system) 27 is also connected to the entrance side of A / D (A system) 20 and A / D (B system) 21, and the track circuit is connected to A / D (A system) 20 via a protector. It is connected to the entrance side of A / D (B system) 21.
[0028]
The DPRAM 17 is used by the CPUs 11 and 12 as a communication medium. The PA (1 system) 27 is a power amplifier that amplifies a low voltage signal output from the DSP board 1 system. The transmission / reception tap 18 is a kind of switch, and the degree of PA amplification is set.
[0029]
The DSP board (system 2) 2 is configured in the same manner as the DSP board (system 1) 1. A PA (system 2) 29, a COR (system 2) 30, and a simulated load are the system PA (system 1) 27, It is connected in the same system configuration as the COR (1 system) 28 and the simulated load.
[0030]
PAs 27 and 29 are power amplifiers that amplify low voltage signals output from the DSP board, and CORs 28 and 30 are switching relays that switch the outputs of the two PAs 27 and 29.
[0031]
The operation of the apparatus having the above configuration will be described below. First, when a telegram instructing recognition of the operation system / standby system is sent from the host device (not shown) via the I / O LAN 1 system, the CAN 15 receives this telegram. When the CAN 15 receives this message, it interrupts the CPU 11 of the primary station and transmits the received message. When the CPU 11 acquires the message, it transmits this message to the CPU 12 of the secondary station via the DPRAM 17.
[0032]
Each of the CPUs 11 and 12 decodes the electronic message. For example, when instructed to be an operation system, the CPUs 11 and 12 generate the same alternating signal that is 90 degrees out of phase with each other and output it to the FSAND / FSAMP 23.
[0033]
The FSAND / FSAMP 23 rectifies the alternating signal input from the CPUs 11 and 12 and drives the cut relay 25 which is an operation system (turns on the contact). Both CPUs simultaneously drive the COR 28 (contacts are turned on). The state of each contact of the cut relay 25 and the COR 28 is input to the CPUs 11 and 12, and the matching between the relay control state (existence of excitation) and the contact state is confirmed. If the control state of the relay and the contact state do not match, the CPUs 11 and 12 immediately stop outputting the alternating signal and transmit the fact to the host device via the CAN 15. When the output of the alternating signal is stopped, the cut relay 25 is turned off.
[0034]
At this time, a message is also transmitted from the host device (not shown) to the DSP board (2 system) 2 via the I / O LAN 2 system. Here, the standby cut relay is driven and the COR 30 is turned off. It remains.
[0035]
In this embodiment, the alternating signals output from the CPUs 11 and 12 are 90 degrees out of phase with each other. However, if the rising positions (edges) of the alternating signals are deviated, they are not necessarily 90 degrees out of phase. It does not have to be.
[0036]
Subsequently, when an ATC message is sent from the host device, the CPUs 11 and 12 decode the message (knowing that the ATC message has been received) through the same procedure as in the above-mentioned operation system / standby system recognition instruction. . The programs of the CPUs 11 and 12 stipulate that the secondary station is in charge of ATC message processing and the primary station is in charge of TD message processing described below, and the CPU 12 transmits the message to the DSP 14. The CPU 12 also reads the transmission / reception tap 18, determines the transmission level, and transmits this level data to the DSP 14. The DSP 14 converts an electronic message, which is digital data, into an MSK signal by digital signal processing, and sends it to the D / A 22. The D / A 22 converts the received MSK signal into an analog signal having ATC signal information, and outputs it at a specified level. This ATC signal is output to the outside of the DSP board 1 through this contact since the cut relay 25 is turned on first.
[0037]
The output ATC signal is amplified by the PA 27 and sent to the track circuit through the COR 28 and the protector which have already been turned on.
[0038]
At this time, if the level of the signal transmitted from the PA 27 is out of a certain range, it means that normal train control cannot be performed. Therefore, in order to prevent such a situation, the voltage signal / current of the ATC signal is transmitted from the PA 27. The signals are fed back to the CPUs 11 and 12 via the A / D 20, A / D 21, and DSPs 13 and 14, and are monitored by both CPUs. When the level of the fed back signal falls outside the specified value range set in the transmission / reception tap 18, the CPUs 11 and 12 determine that the PA is out of order and stop outputting the alternating signal and turn off the cut relay 25. At the same time, the COR 28 is also turned off to prevent the ATC signal from being output to the track circuit.
[0039]
Next, when a TD message is sent from the host device, the CPUs 11 and 12 decode the message by the same procedure as that of the ATC message, and the CPU 11 transmits the message to the DSP 13. At the same time, the CPU 11 reads the set value of the transmission / reception tap 18 and transmits it to the DSP 13. As in the case of the ATC message, the TD signal converted into the MSK signal by the DSP 13 is sent to the track circuit via the PA 27, the COR 28, and the protector. When the feedback signal of PA 27 is monitored by the CPUs 11 and 12 and the level of the fed back signal is outside the range of the specified value set in the transmission / reception tap 18, the output of the alternating signal is stopped in the case of the ATC telegram. It is the same.
[0040]
As described above, since the ATC message is processed by the route of the CPU12-DSP14 and the TD message is processed by the route of the CPU11-DSP13, the ATC message and the TD message can be processed in parallel. There is an effect to increase. In other words, even if one information processing means receives a TD message during the processing of an ATC message, the other information processing means can immediately execute the TD message processing. Other work can be done until information to be processed is received.
[0041]
The above-described operation is an operation based on a message sent from a higher-level device, but these messages are usually sent at regular time intervals. In the time zone when the electronic message is not sent, the DSP boards 1 and 2 execute a diagnostic operation inside the information processing apparatus.
[0042]
The internal diagnosis is performed by checking the soundness of the memory connected to the CPUs 11 and 12, checking the consistency of the contacts of the cut relays 25 and 26, checking the consistency of the contacts of the CORs 28 and 30, and the soundness of the memories in the DSPs 13 and 14. Check, etc. If an abnormality is found as a result of these checks, the CPUs 11 and 12 stop outputting the alternating signal, turn off the output of the cut relay 25, turn off the COR 28, and send a signal to the track circuit. To prevent.
[0043]
On the other hand, the relay contact check result, the PA feedback signal monitoring result, the transmission / reception tap 18 reading result, and the like are exchanged between the CPUs 11 and 12 via the DPRAM 18 at regular intervals, and each CPU determines its own system. Compare the result with the judgment result of the other system. If the comparison results in a mismatch, the CPUs 11 and 12 immediately stop outputting the alternating signal, turn off the output of the cut relay 25, turn off the COR 28, and output a signal to the track circuit. prevent.
[0044]
That is, if an abnormality is found in the check, and if the result of the comparison is inconsistent, it is determined that somewhere in the device has an abnormality and the signal output to the track circuit is not a normal signal, Therefore, it is a fail-safe system that keeps control on the safe side by preventing signal output.
[0045]
The switch / LED 16 mainly has a display function to the outside, and is used for displaying a communication status with a host device and an operating status of the DSP board, and for setting an address in the network. The switch / LED 16 is controlled by the CPU 11 communicating with the host device.
[0046]
When the transmitter / receiver (information processing device) including the DSP board 1 receives a telegram instructing the standby system from the host device, the cut relay 26 is driven (ON) instead of the cut relay 25 in the above series of operations. Then, the COR 28 is turned off. Then, the output of the COR 28 is switched from the protector to the simulated load, and the transceiver (information processing device) including the DSP board 1 operates in the same manner as in the operation system (receives a message from the host device, outputs the MSK signal, own system / others, etc. System diagnosis). In other words, the standby information processing apparatus performs the same operation as the operation information processing apparatus, but the final information is transmitted to the simulated load. At this time, the DSP board 2 is an operating system, and the output from the COR 30 is output to the track circuit via the protector.
[0047]
Switching between the operating system and the standby system of the cut relays 25 and 26 depends on a message from the host device, but is performed every predetermined period, for example, on a daily basis. By switching the operation system and the standby system at predetermined intervals in this way, the cut relays 25 and 26 are periodically operated regardless of whether or not the system has failed. As a result, there is less concern about welding of relay contacts.
[0048]
In the present embodiment, a transceiver including the DSP board 1 and a transceiver including the DSP board 2 are combined, the transceiver (information processing apparatus) including the DSP board 1 is used as an operating system, and the transceiver including the DSP board 2 is combined. A dual system is configured with the (information processing apparatus) as a standby system. Since the switching relays COR 28 and 30 are also periodically operated in accordance with the switching between the DSP board operating system and the standby system, the possibility of relay contact welding or the like is reduced.
[0049]
In this duplex system, not only the operation system and the standby system are switched periodically in response to a command from the host device, but also one or both of the primary station and the secondary station of the operation system transceiver stop outputting the alternating signal. When the relay contact is opened, the host device switches the transmitter / receiver that was the standby system to the operating system. The transmitter / receiver (information processing apparatus) switched from the standby system to the operating system turns on the switching relay COR and sends the signal that has been output to the simulated load until then to the track circuit via the protector. Therefore, the signal output to the track circuit is not interrupted.
[0050]
In the present embodiment, since the CPU 11 of the primary station transmits the message received from the network (I / O LAN) via the CAN 15 to the CPU 12 of the secondary station, the cable connecting the network and the DSP board 1 system is not used. One is enough.
[0051]
【The invention's effect】
According to the present invention, it is possible to increase the processing capability of the duplexed information processing means and connect the information processing apparatus having the duplexed information processing means and the network with a single cable. become. In addition, it is possible to eliminate the possibility of contact welding of relays arranged in the information output path from the information processing apparatus.
[Brief description of the drawings]
FIG. 1 is a system diagram showing a configuration of an embodiment of the present invention.
FIG. 2 is a system diagram showing an example of the overall configuration of a system to which the present invention is applied.
FIG. 3 is a system diagram showing an example of the prior art.
FIG. 4 is a system diagram showing another example of the prior art.
[Explanation of symbols]
1 DSP board (1 system)
2 DSP board (system 2)
3a, 3b Bus 11 CPU (A system)
12 CPU (B system)
13 DSP (A system)
14 DSP (B system)
15 CAN
16 LED, switch 17 DPRAM
18 Transmission / reception tap 19 D / A (A system)
20 A / D (A series)
21 A / D (B system)
22 D / A (B system)
23, 24 FSAND / FSAMP
25 Cut relay (operating system)
26 Cut relay (standby system)
27 PA (1 system)
28 switching relay COR (1 system)
29 PA (system 2)
30 switching relay COR (system 2)

Claims

Two sets of information processing means for processing each of a plurality of types of information transmitted from the host device are provided, and the relay contacts whose information is processed by the information processing means are controlled to be opened and closed by a signal output from the information processing means. The information processing apparatus configured to output and amplify to a predetermined output level and send out
a. One of the two sets of information processing means is a primary station and the other is a secondary station, and information transmitted from the host device is configured to be transmitted to the secondary station via the primary station. And
b. The primary station and the secondary station have predetermined information to be processed among a plurality of types of information transmitted from the host device;
c. The primary station and the secondary station check whether the output level of the information to be transmitted is within a predetermined range, and open the relay contact when determining that the output level is out of the predetermined range. The fail-safe information processing apparatus characterized by being comprised in this.

2. The fail-safe information processing apparatus according to claim 1, wherein the relay contact includes two sets of relay contacts respectively connected to both of the two sets of information processing means, and one of the two sets of relay contacts operates. The other system is configured as a standby system, the relay contacts of the operation system are closed, and the relay contacts of the standby system are controlled to open, and the two sets of information processing based on a predetermined time interval or a command from the host device A fail-safe information processing apparatus configured to be switched between an operation system and a standby system by a signal from the means.

3. The fail-safe information processing apparatus according to claim 1, wherein the primary station and the secondary station diagnose the operations of the local station and the relay contact, respectively, and open the relay contact when determined to be abnormal. A fail-safe information processing apparatus characterized by being configured.

4. The fail-safe information processing apparatus according to claim 1, wherein the two sets of information processing means output the same alternating signal having different edge positions as signals for opening / closing control of the relay contacts. A fail-safe information processing apparatus configured to output the alternating signals output from the two sets of information processing means is input to an AC amplifier and rectified to drive the relay contact relay.

Two sets of fail-safe information processing devices according to claim 3 are combined to form a dual system in which one is an operation system and the other is a standby system, and the primary station or secondary station of the operation system information processing apparatus is A fail-safe information processing apparatus configured to switch a standby information processing apparatus to an operation system when a relay contact is opened after determining an abnormality.