JP4164628B2 - Fail-safe information processing device - Google Patents
Fail-safe information processing device Download PDFInfo
- Publication number
- JP4164628B2 JP4164628B2 JP2001200983A JP2001200983A JP4164628B2 JP 4164628 B2 JP4164628 B2 JP 4164628B2 JP 2001200983 A JP2001200983 A JP 2001200983A JP 2001200983 A JP2001200983 A JP 2001200983A JP 4164628 B2 JP4164628 B2 JP 4164628B2
- Authority
- JP
- Japan
- Prior art keywords
- information processing
- processing apparatus
- fail
- output
- sets
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Hardware Redundancy (AREA)
- Train Traffic Observation, Control, And Security (AREA)
- Safety Devices In Control Systems (AREA)
Description
【0001】
【発明の属する技術分野】
本発明は、鉄道用保安装置に用いる情報処理装置に係り、特に2重系で構成された情報処理装置に関する。
【0002】
【従来の技術】
従来、鉄道は旅客を運送する関係上、安全性が重視される。このため、鉄道用保安装置では、各種処理装置を二重系にしてフェールセーフ装置を構成している。処理装置としてコンピュータ(CPU)を使用する場合、二重系の動作システムとしては、下記のようなものが知られている。
(1)バス照合形二重系
図3にバス照合形二重系のフェールセーフ装置のブロック図を示す。このシステムは、2台のCPU31,32に常にクロックレベルで同一の動作をさせ、比較器33で両者のデータを比較し、比較不一致となった場合に、FSAND回路35を停止させてリレー36をオフし、制御出力をフェールセーフ側とする。CPU31,32は、通常、クロックのエッジに同期して各データ・制御信号を取りこむ。従ってこの方式は、2台のCPUを完全に同期させて動作させる必要があるため、CPUへの入力信号の同期化回路34が必要となる。
(2)出力照合形二重系
図4に出力照合形二重系のフェールセーフ装置のブロック図を示す。このシステムは、2台のCPU41,42に同一の動作をさせ、各CPUの出力結果をDPRAM43を用いてお互いに照合し、不一致の場合はCPUからの交番信号(励振出力)の出力を停止して制御出力をフェールセーフ側とする。バス照合形二重系と異なり、同期化回路は不要である。
【0003】
前記(1)の手法では、同期化回路等の余分なハードウェアが必要となり、装置内の部品点数が増加する。しかも2台のCPUに全く同じ動作をさせているため、論理的には1台のCPUと同一の処理能力しか持たない。
【0004】
一方前記(2)の手法では、同期化回路等の余分なハードウェアは不要であるが、2台のCPUに同一の動作をさせるのは前記(1)の手法と同じであり、従って処理能力は論理的には1台のCPUと等価である。
【0005】
また、前記(1)、(2)の手法によるフェールセーフ装置は、出力信号を単一のリレーで制御する方式であり、故障が発生しない正常状態では、リレー接点はオン状態を継続している。通常、リレー接点は一定時間間隔以内で開閉することを前提として作られており、上述のように故障が発生しなければ動作しないという使用方法では、接点が溶着故障する危険性がある。
【0006】
さらに、近年、鉄道用保安装置(ATC装置)は、ディジタル伝送を行なうことを主眼として開発されており、このようなシステムでは上位装置から下位装置まで、ネットワーク(LAN)で接続されている。このようなネットワークと前記従来例(1)、(2)のような装置を接続しようとすると、同一動作をするCPUが2台存在するため、2本のケーブルを敷設する必要が出てくる。
【0007】
【発明が解決しようとする課題】
このように、従来のフェールセーフ装置は、2組のハードウェアを備えているが、実質的には、1組のハードウェアと同等の処理能力しか発揮できない。また、2組のハードウェアを備えることから、上位装置とネットワークで接続するためには、2本のケーブルで接続する必要が出てくる。さらに、正常状態ではリレーが動作しないので、動作の頻度が少なく接点溶着の危険性がある。
【0008】
本発明の課題は、2重系で構成された情報処理装置の処理能力を増やすことにある。
【0009】
【課題を解決するための手段】
通常の2重系の装置では、先に述べたように、2重系を構成する2つの機器が、それぞれまったく同一の処理を行うために、2つの機器があっても1つの機器と同じ処理能力しか発揮できない。発明者らは、例えば鉄道用保安装置では、出力される信号のレベル(出力レベル)が、処理の正確さを反映していることに着目し、入力される情報の処理の全部を2重系を構成する2つの機器それぞれに実行させるのではなく、一部は2つの機器それぞれに実行させ、残りの一部を分担させることで、処理能力を増大させるとともに、外部に出力される情報の出力レベルが所定の範囲内にあるかどうかを、前記2つの機器でともに確認し、所定の範囲内にないとき、情報の出力を停止することで、フェールセーフ性を維持した。
【0010】
すなわち、上記目的を達成する本発明は、上位装置から伝達される複数種類の情報をそれぞれ処理する2組の情報処理手段を備え、前記情報処理手段で処理された情報を、前記情報処理手段が出力する信号で開閉制御されるリレー接点を介して出力し、所定の出力レベルに増幅して送出するよう構成された情報処理装置において、
a.前記2組の情報処理手段の一方を1次局、他方を2次局とし、前記上位装置から伝達される情報は前記1次局を介して2次局へ伝達されるよう構成されていることと、
b.前記1次局、2次局は、上位装置から伝達される複数種類の情報のうちのどの情報を処理するのかが予め定められていることと、
c.前記1次局、2次局は、それぞれ送出される前記情報の出力レベルが所定の範囲内にあるかどうかを確認し、所定の範囲を外れていると判定したとき、前記リレー接点を開くよう構成されていること、
を特徴とする。
【0011】
1次局、2次局は、上位装置から伝達される複数種類の情報のうちのどの情報を処理するのかを予め定められており、1次局、2次局のそれぞれが全部の情報を処理するのではないので、1次局、2次局ともに、処理の余力が生じる。また、前記1次局、2次局は、それぞれ送出される前記情報の出力レベルが所定の範囲内にあるかどうかを確認し、所定の範囲を外れていると判定したとき、前記リレー接点を開くので、情報処理装置から外部への信号出力が停止されるので、誤信号が外部に送出されることがなく、処理のフェールセーフ性が維持される。
【0012】
前記リレー接点は、前記2組の情報処理手段双方にそれぞれ接続された2組のリレー接点を含んで構成され、これら2組のリレー接点は一方が動作系、他方が待機系として機能し、動作系のリレー接点は閉じ、待機系のリレー接点は開くように制御されるとともに、所定の時間間隔もしくは上位装置からの指令に基づく前記2組の情報処理手段からの信号で動作系と待機系が切り替えられるように構成されていることが望ましい。このように構成すれば、装置に異常がなくてもリレー接点が開閉されるので、接点の溶着の惧れはなくなる。
【0013】
前記1次局、2次局は、それぞれ自局及び前記リレー接点の動作を診断し、異常と判断したとき、リレー接点を開くように構成されていることが望ましい。
【0014】
また、前記2組の情報処理手段は、前記リレー接点の開閉制御のための信号としてエッジ位置の異なる同じ交番信号を出力するよう構成され、2組の情報処理手段から出力された交番信号は交流アンプに入力されて整流されて前記リレー接点のリレーを駆動する。
【0015】
上記情報処理装置を2組組み合わせ、一方が動作系、他方が待機系となる二重系を構成し、動作系の情報処理装置の1次局もしくは2次局が異常と判断してリレー接点を開いたとき、待機系の情報処理装置が動作系に切り替わるように構成してもよい。
【0016】
さらに、情報処理装置を2組組み合わせ、一方が動作系、他方が待機系となる二重系を構成したものにおいて、2組の情報処理装置の出力側のそれぞれに切り替え手段を介して模擬負荷を接続し、待機系の情報処理装置は動作系の情報処理装置と同様の処理を実行するとともに、処理結果は前記模擬負荷に送出されるように構成すれば、動作系の情報処理装置に異常が生じた場合でも、切り替え手段を切り替えるだけで、外部への出力を切れ目なく継続できる。
【0017】
上記構成によれば、1次局のみが上位装置と通信すればよいので、例えばネットワークを介して上位装置から情報を受信する場合、ネットワークと情報処理装置を接続するケーブルは1本でよい。また、1次局、2次局がお互いに通信する手段を設ければ、自系診断・他系診断を実施し、異常検知時は交番信号出力を停止して装置の出力を制御するリレーをオフし、外部に対する信号出力を停止することが可能になる。
【0018】
【発明の実施の形態】
以下、本発明の実施の形態を図面を参照して説明する。本実施の形態は、鉄道用保安装置(ATC装置)の地上側設備において、軌道(レール)に列車制御信号(ATC信号)と列車検知信号(TD信号)を送信し、軌道からTD信号を受信する機能を有する情報処理装置、云いかえると送受信機である。
【0019】
図2に、鉄道用保安装置(ATC装置)の全体構成を示す。図示の装置では、論理部201で車両の停止点情報等を含む電文を作成し、ATC−LANと呼ぶネットワークを介して下位装置であるノード202に伝達する。ノード202の配下には、軌道回路と同数の送受信機がI/O LANと呼ぶネットワークで接続されて機器室203に分散配置されており、ノード202は受け取った電文をこのネットワークを介して配下の送受信機に伝達する。電文を受け取った送受信機は、その電文を適切な周波数で変調してキャリアに乗せ、PA(パワーアンプ)により電力増幅して軌道(レール)に送信する。軌道を走っている電車204がこの変調された電文を受信し、ブレーキ制御等を行なう。
【0020】
図1に本実施の形態の送受信機の系統構成を示す。図示の送受信機は、I/OLAN1系及びI/O LAN2系にそれぞれ接続されて電文処理・信号レベル制御を行なうDSPボード1系1,DSPボード2系2と、DSPボード1系1,DSPボード2系2にそれぞれ接続されて低電圧の信号を電力増幅するPA(1系)27、PA(2系)29と、PA(1系)27、PA(2系)29にそれぞれ接続され2台のPAの出力を切り替える切り替えリレーCOR28,30と、切り替えリレーCOR28,30にそれぞれ接続された模擬負荷とを含んで構成されている。
【0021】
DSPボード1系1,PA(1系)27、リレーCOR28及び模擬負荷は、それだけで送受信機の機能を有し、同様に送受信機の機能を持つDSPボード2系2,PA(2系)29、リレーCOR30及び模擬負荷と組み合わされて、一方を動作系、他方を待機系とする二重系を構成している。
【0022】
DSPボード1系1,DSPボード2系2は同一の構成なので、DSPボード1系1の構成につき、説明する。DSPボード1系1は、I/O LAN1系に接続されてネットワーク制御(ネットワークとの送受信)を行なうCAN15と、このCAN15に接続されたバス3aと、このバス3aにDPRAM17を介して接続されたバス3bと、このバス3aに接続されたCPU(A系)11と、このCPU(A系)11に接続された送受信タップ18と、この送受信タップ18及び前記バス3bに接続されたCPU(B系)12と、前記バス3aに接続されたスイッチ・LED16と、前記バス3a,バス3bにそれぞれ接続され周波数変調やディジタルフィルタ等の信号処理を専門に行うDSP(A系)13,DSP(B系)14と、前記CPU(A系)11,CPU(B系)12双方にそれぞれ接続され交番信号を整流する交流アンプであるFSAND・FSAMP23,24と、このFSAND・FSAMP23,24にそれぞれ接続され、整流された交番信号で駆動されるカットリレー25,26と、前記DSP(A系)13に入り側、出側をそれぞれ接続したD/A(A系)19とA/D(A系)20と、前記DSP(B系)14に入り側、出側をそれぞれ接続したD/A(B系)22とA/D(B系)21と、を含んで構成されている。
【0023】
CPU(A系)11,DSP(A系)13,及びD/A(A系)19とA/D(A系)20とで1次局となる情報処理手段が構成され、CPU(B系)12,DSP(B系)14,及びD/A(B系)22とA/D(B系)22とで2次局となる情報処理手段が構成されている。すなわち、情報処理手段は2重化されている。但し、1次局と2次局は、上位装置から伝達される複数種類の電文の全てを同じように処理するのではなく、それぞれ処理を担当する電文の種類が決められており、その内容は各CPUのプログラムで規定されている。
【0024】
D/A(A系)19とD/A(B系)22の出側は、それぞれ動作系のカットリレー25,待機系のカットリレー26の双方に接続され、カットリレー25,26それぞれは、さらに、CPU(A系)11とCPU(B系)12の双方に接続されている。ここでいう動作系、待機系は説明のための割り振りであり、動作系、待機系は必要に応じて入れ替わるようになっている。
【0025】
CPU(A系)11とCPU(B系)12は、共通の機能と互いに異なる機能を持ち、したがって動作を制御するプログラムは、部分的には共通であるが、残部が異なるプログラムで動作するようになっている。
【0026】
カットリレー25,26の出側は、前記PA(1系)27に接続され、PA(1系)27は前記COR(1系)28に接続されている。COR(1系)28は、保安器を介して軌道回路に接続されている。COR(1系)28はまた、CPU(A系)11,CPU(B系)12双方に接続されているとともに、模擬負荷が接続されている。
【0027】
PA(1系)27はまた、A/D(A系)20とA/D(B系)21の入り側に接続され、軌道回路は保安器を介してA/D(A系)20とA/D(B系)21の入り側に接続されている。
【0028】
DPRAM17は、CPU11,12が互いに通信媒体として用いるものである。PA(1系)27はDSPボード1系が出力する低電圧の信号を増幅するパワーアンプである。前記送受信タップ18は一種のスイッチであり、PAの増幅の度合が設定されている。
【0029】
前記DSPボード(2系)2は、前記DSPボード(1系)1と同様に構成され、PA(2系)29、COR(2系)30、および模擬負荷が前記PA(1系)27、COR(1系)28、および模擬負荷と同様な系統構成で接続されている。
【0030】
PA27,29はDSPボードが出力する低電圧の信号を増幅するパワーアンプであり、COR28,30は、2台のPA27,29の出力を切り替える切り替えリレーである。
【0031】
以下、上記構成の装置の動作を説明する。まず、図示されていない上位装置からI/O LAN1系を介して動作系/待機系の認識を指示する電文が送られると、CAN15がこの電文を受信する。CAN15はこの電文を受信すると、1次局のCPU11に割り込みをかけ、受信した電文を伝達する。CPU11は電文を取得すると、DPRAM17を介して2次局のCPU12にこの電文を伝達する。
【0032】
CPU11、12は電文をそれぞれ解読し、例えば動作系と指示された場合は、互いに90度位相がずれた同じ交番信号を生成してFSAND・FSAMP23に出力する。
【0033】
FSAND・FSAMP23はCPU11、12から入力された交番信号を整流し、動作系であるカットリレー25を駆動(接点をオン)する。両CPUは同時にCOR28を駆動(接点をオン)する。カットリレー25及びCOR28の各接点の状態はCPU11、12に入力され、リレーの制御状態(励磁の有無)と接点状態の整合が確認される。リレーの制御状態と接点状態が整合していなければ、CPU11、12は直ちに交番信号の出力を停止するとともに、その旨をCAN15を介して上位装置に伝達する。交番信号の出力停止により、カットリレー25はオフとなる。
【0034】
なおこのとき、図示されていない前記上位装置からI/O LAN2系を介してDSPボード(2系)2にも電文が伝達されており、こちらでは待機系のカットリレーを駆動し、COR30はオフのままとなっている。
【0035】
また、本実施の形態では、CPU11、12が出力する交番信号は、互いに90度位相がずれたものであるが、交番信号の立ち上がり位置(エッジ)がずれていれば、必ずしも90度位相がずれたものでなくともよい。
【0036】
続いて前記上位装置からATC電文が送られてくると、前述の動作系/待機系認識指示時と同様な手順を経て、CPU11、12が電文を解読する(ATC電文を受信したことを知る)。CPU11、12のプログラムには、ATC電文の処理は2次局が担当し、次に述べるTD電文の処理は1次局が担当することが規定されており、CPU12が電文をDSP14に伝達する。CPU12はまた、送受信タップ18を読み取り、送信レベルを決定してこのレベルデータをDSP14に伝達する。DSP14は、ディジタルデータである電文をディジタル信号処理によってMSK信号に変換し、D/A22に送りこむ。D/A22は送りこまれたMSK信号をATC信号の情報を持つアナログ信号に変換し、指定のレベルで出力する。このATC信号は、先にカットリレー25がオンされているので、この接点を介してDSPボード1の外に出力される。
【0037】
出力されたATC信号は、PA27によって電力増幅され、すでに先にオンとなっているCOR28及び保安器を経て軌道回路に送出される。
【0038】
このとき、PA27から送出される信号のレベルがある範囲を外れることは、正常な列車制御ができなくなることを意味するから、そのような事態を防ぐために、PA27から前記ATC信号の電圧信号・電流信号をA/D20,A/D21、DSP13,14を介してCPU11、12にフィードバックさせ、両CPUで監視する。CPU11、12は、フィードバックされた信号のレベルが送受信タップ18に設定された規定値の範囲外になった場合、PAの故障と判断し、交番信号の出力を停止してカットリレー25をオフさせるとともに、COR28もオフし、ATC信号が軌道回路に出力されるのを防ぐ。
【0039】
次に前記上位装置からTD電文が送られてくると、前記ATC電文の場合と同一の手順によりCPU11、12が電文を解読し、CPU11が電文をDSP13に伝達する。CPU11は同時に送受信タップ18の設定値を読み取ってDSP13に伝達する。ATC電文の場合と同様に、DSP13でMSK信号に変換されたTD信号は、PA27,COR28,保安器を介して軌道回路に送出される。PA27のフィードバック信号をCPU11、12で監視し、フィードバックされた信号のレベルが送受信タップ18に設定された規定値の範囲外になった場合、交番信号の出力を停止するのも、ATC電文の場合と同様である。
【0040】
上述のように、ATC電文がCPU12−DSP14のルートで処理され、TD電文がCPU11−DSP13のルートで処理されるから、ATC電文とTD電文の平行処理が可能となり、CPU11、12の処理能力を増加させる効果がある。つまり、一方の情報処理手段がATC電文の処理中にTD電文を受信した場合でも、他方の情報処理手段が直ちにTD電文の処理を実行できるし、一方、ATC電文を処理した側は、次に処理すべき情報が受信されるまで、他の作業を行なうことができる。
【0041】
上述の動作は、上位装置から送られてくる電文に基づく動作であるが、これらの電文は、通常、一定の時間間隔で送られてくる。電文が送られない時間帯では、DSPボード1,2は、情報処理装置内部の診断動作を実行する。
【0042】
内部の診断は、CPU11、12に接続されているメモリの健全性チェック、カットリレー25,26の接点の整合性チェック、COR28,30の接点の整合性チェック、DSP13,14内のメモリの健全性チェック、などである。これらのチェックの結果、異常が発見された場合、CPU11、12は交番信号の出力を停止し、カットリレー25の出力をオフとするとともにCOR28をオフし、軌道回路に対して信号が送出されるのを防ぐ。
【0043】
一方、リレーの接点チェック結果、前記PAのフィードバック信号の監視結果、送受信タップ18の読み取り結果等は、一定時間間隔で、DPRAM18を介してCPU11、12間で交換され、各CPUが自系の判定結果と他系の判定結果を比較する。比較の結果不一致となった場合は、CPU11、12はただちに交番信号の出力を停止し、カットリレー25の出力をオフとするとともにCOR28をオフし、軌道回路に対して信号が出力されるのを防ぐ。
【0044】
すなわち、前記チェックで異常が発見された場合、及び前記比較の結果が不一致の場合、装置のどこかが異常を生じ、軌道回路に出力する信号が正常な信号でないと判断し、軌道回路に対して信号が出力されるのを防ぐことによって制御を安全側に維持するフェールセーフシステムとなっている。
【0045】
また、スイッチ・LED16は、主に外部に対する表示機能を担い、上位装置との通信状況・DSPボードの動作情況の表示や、ネットワークにおけるアドレス設定のためのものである。スイッチ・LED16は、上位装置と通信するCPU11によって制御される。
【0046】
DSPボード1を含む送受信機(情報処理装置)が上位装置から待機系を指示する電文を受信した場合は、上記一連の動作の中で、カットリレー25の代わりにカットリレー26を駆動(オン)し、COR28をオフする。するとCOR28の出力は保安器から模擬負荷に切り替わり、DSPボード1を含む送受信機(情報処理装置)は動作系のときと同等の動作(上位装置からの電文受信、MSK信号出力、自系/他系診断)を行なう。すなわち、待機系の情報処理装置は、動作系の情報処理装置と同じ動作を行なうが、最終的な情報の送出は模擬負荷に対して行なわれるのである。このときは、DSPボード2が動作系となっており、COR30からの出力が保安器を介して軌道回路に出力されるようになっている。
【0047】
カットリレー25,26の動作系と待機系の切り替えは上位装置からの電文によるが、定められた期間ごと、例えば1日単位で行なうようにする。このように動作系と待機系を定められた期間ごとに切り替えることで、システムの故障の有無と関係なく、カットリレー25,26が定期的に作動する。この結果、リレー接点の溶着などの惧れが少なくなる。
【0048】
なお、本実施の形態では、DSPボード1を含む送受信機とDSPボード2を含む送受信機が組み合わされ、DSPボード1を含む送受信機(情報処理装置)を動作系、DSPボード2を含む送受信機(情報処理装置)を待機系とする二重系が構成されている。切り替えリレーCOR28,30も、DSPボードの動作系と待機系の切り替えに伴なって定期的に作動するので、リレー接点の溶着などの惧れが少なくなる。
【0049】
この二重系は上位装置からの指令で定期的に動作系と待機系を切り替えるだけでなく、動作系の送受信機の1次局と2次局の一方あるいは双方が交番信号の出力を停止してリレー接点を開いた場合は、上位装置は、待機系だった送受信機を動作系に切り替える。待機系から動作系に切り替わった送受信機(情報処理装置)は、切り替えリレーCORをオンし、それまで模擬負荷に出力していた信号を保安器を介して軌道回路に送出する。したがって、軌道回路に出力される信号が中断されることがない。
【0050】
本実施の形態ではまた、1次局のCPU11がCAN15を介してネットワーク(I/O LAN)から受信した電文を2次局のCPU12に伝送するので、ネットワークとDSPボード1系を接続するケーブルは1本でよい。
【0051】
【発明の効果】
本発明によれば、2重化された情報処理手段の処理能力を増やすことが可能になるとともに、2重化された情報処理手段を持つ情報処理装置とネットワークを1本のケーブルで接続できるようになる。また、情報処理装置からの情報の出力経路に配置されたリレーの接点溶着の惧れをなくすことが可能になる。
【図面の簡単な説明】
【図1】本発明の実施の形態の構成を示す系統図である。
【図2】本発明が適用されるシステムの全体構成の例を示す系統図である。
【図3】従来技術の例を示す系統図である。
【図4】従来技術の他の例を示す系統図である。
【符号の説明】
1 DSPボード(1系)
2 DSPボード(2系)
3a,3b バス
11 CPU(A系)
12 CPU(B系)
13 DSP(A系)
14 DSP(B系)
15 CAN
16 LED,スイッチ
17 DPRAM
18 送受信タップ
19 D/A(A系)
20 A/D(A系)
21 A/D(B系)
22 D/A(B系)
23,24 FSAND・FSAMP
25 カットリレー(動作系)
26 カットリレー(待機系)
27 PA(1系)
28 切り替えリレーCOR(1系)
29 PA(2系)
30 切り替えリレーCOR(2系)[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an information processing apparatus used for a railroad security apparatus, and more particularly to an information processing apparatus configured with a dual system.
[0002]
[Prior art]
Conventionally, railways place importance on safety because they carry passengers. For this reason, in the railroad safety device, a fail-safe device is configured by using various processing devices as a dual system. When a computer (CPU) is used as the processing device, the following are known as dual operation systems.
(1) Bus verification type dual system FIG. 3 is a block diagram of a bus verification type dual system fail-safe device. In this system, the two
(2) Output verification type dual system FIG. 4 shows a block diagram of an output verification type dual system fail-safe device. This system causes the two
[0003]
In the method (1), extra hardware such as a synchronization circuit is required, and the number of parts in the apparatus increases. In addition, since the two CPUs are operated in exactly the same way, they logically have only the same processing ability as one CPU.
[0004]
On the other hand, in the method (2), no extra hardware such as a synchronization circuit is required, but the same operation of the two CPUs is the same as the method (1). Is logically equivalent to one CPU.
[0005]
Further, the fail-safe device according to the methods (1) and (2) is a method of controlling the output signal with a single relay, and the relay contact is kept on in a normal state where no failure occurs. . Usually, the relay contact is made on the assumption that it opens and closes within a certain time interval, and there is a risk that the contact will be welded failure in the usage method in which the relay contact does not operate unless a failure occurs as described above.
[0006]
Furthermore, in recent years, railway security devices (ATC devices) have been developed mainly for digital transmission, and in such a system, a higher level device to a lower level device are connected via a network (LAN). If such a network is to be connected to the devices as in the conventional examples (1) and (2), since there are two CPUs that perform the same operation, it is necessary to lay two cables.
[0007]
[Problems to be solved by the invention]
As described above, the conventional fail-safe device includes two sets of hardware, but can substantially exhibit only the processing capability equivalent to that of one set of hardware. In addition, since two sets of hardware are provided, in order to connect to the host device via a network, it is necessary to connect with two cables. Furthermore, since the relay does not operate in a normal state, the frequency of operation is low and there is a risk of contact welding.
[0008]
The subject of this invention is increasing the processing capability of the information processing apparatus comprised by the double system.
[0009]
[Means for Solving the Problems]
In a normal duplex system, as described above, since two devices constituting the duplex system perform exactly the same processing, the same processing as one device is performed even if there are two devices. Only ability can be demonstrated. The inventors pay attention to the fact that the level of the output signal (output level) reflects the accuracy of processing in, for example, a railway security device, and the entire processing of input information is performed in a double system. Is not executed by each of the two devices constituting the system, but a part is executed by each of the two devices and the remaining part is shared to increase the processing capacity and output information output to the outside. Whether or not the level is within a predetermined range is confirmed with the two devices, and when the level is not within the predetermined range, the output of information is stopped to maintain the fail-safe property.
[0010]
That is, the present invention that achieves the above object includes two sets of information processing means for respectively processing a plurality of types of information transmitted from a host device, and the information processing means stores information processed by the information processing means. In an information processing apparatus configured to output via a relay contact that is controlled to be opened and closed by a signal to be output, amplified to a predetermined output level and sent out,
a. One of the two sets of information processing means is a primary station and the other is a secondary station, and information transmitted from the host device is configured to be transmitted to the secondary station via the primary station. When,
b. The primary station and the secondary station have predetermined information to be processed among a plurality of types of information transmitted from the host device;
c. The primary station and the secondary station check whether the output level of the information to be transmitted is within a predetermined range, and open the relay contact when determining that the output level is out of the predetermined range. That it is configured,
It is characterized by.
[0011]
The primary station and the secondary station have predetermined information to be processed among a plurality of types of information transmitted from the host device, and each of the primary station and the secondary station processes all the information. As a result, there is a surplus of processing power in both the primary station and the secondary station. In addition, the primary station and the secondary station check whether the output level of the information to be transmitted is within a predetermined range, and when determining that the output level is out of the predetermined range, Since it opens, the signal output from the information processing apparatus to the outside is stopped, so that an erroneous signal is not sent to the outside, and the fail-safe property of the process is maintained.
[0012]
The relay contact is configured to include two sets of relay contacts respectively connected to both of the two sets of information processing means. One of these two sets of relay contacts functions as an operating system and the other functions as a standby system. The relay contact of the system is closed and the relay contact of the standby system is controlled to open, and the operation system and the standby system are controlled by signals from the two sets of information processing means based on a predetermined time interval or a command from the host device. It is desirable to be configured to be switched. With this configuration, the relay contact is opened and closed even if there is no abnormality in the apparatus, so there is no possibility of contact welding.
[0013]
It is desirable that the primary station and the secondary station are configured to open the relay contact when diagnosing the operation of the local station and the relay contact, respectively, and determining that it is abnormal.
[0014]
The two sets of information processing means are configured to output the same alternating signals having different edge positions as signals for opening / closing control of the relay contacts, and the alternating signals output from the two sets of information processing means are alternating current. The signal is input to the amplifier and rectified to drive the relay contact relay.
[0015]
Two sets of the above information processing devices are combined to form a dual system in which one is an operation system and the other is a standby system. The primary or secondary station of the operation information processing device determines that an abnormality has occurred, and the relay contact is When opened, the standby information processing apparatus may be switched to the operating system.
[0016]
Further, in a combination of two sets of information processing apparatuses, one of which is an operating system and the other is a standby system, a simulated load is applied to each of the output sides of the two sets of information processing apparatuses via switching means. If the standby information processing apparatus executes the same processing as the operation information processing apparatus and the processing result is sent to the simulated load, the operation information processing apparatus has an abnormality. Even if it occurs, the output to the outside can be continued without interruption by simply switching the switching means.
[0017]
According to the above configuration, since only the primary station needs to communicate with the host device, for example, when receiving information from the host device via the network, only one cable connecting the network and the information processing device is required. In addition, if the primary station and the secondary station are provided with means to communicate with each other, a self-diagnosis / other system diagnosis is performed, and when an abnormality is detected, a relay that stops the alternating signal output and controls the output of the device is provided. It is possible to turn off and stop signal output to the outside.
[0018]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings. In this embodiment, in the ground side equipment of the railroad security device (ATC device), the train control signal (ATC signal) and the train detection signal (TD signal) are transmitted to the track (rail), and the TD signal is received from the track. In other words, it is a transceiver.
[0019]
FIG. 2 shows the overall configuration of a railway security device (ATC device). In the illustrated apparatus, a message including vehicle stop point information and the like is created by the
[0020]
FIG. 1 shows a system configuration of the transceiver according to the present embodiment. The illustrated transmitter / receiver is connected to the I /
[0021]
The
[0022]
Since the
[0023]
The CPU (A system) 11, DSP (A system) 13, and D / A (A system) 19 and A / D (A system) 20 constitute an information processing means serving as a primary station. ) 12, DSP (B system) 14, and D / A (B system) 22 and A / D (B system) 22 constitute information processing means serving as a secondary station. That is, the information processing means is duplicated. However, the primary station and the secondary station do not process all types of messages transmitted from the host device in the same way. It is defined by the program of each CPU.
[0024]
The outlets of D / A (A system) 19 and D / A (B system) 22 are connected to both an operating system cut
[0025]
The CPU (A system) 11 and the CPU (B system) 12 have a common function and a function different from each other. Therefore, the programs for controlling the operation are partially common, but the remainder is operated by a different program. It has become.
[0026]
The exit sides of the cut relays 25 and 26 are connected to the PA (1 system) 27, and the PA (1 system) 27 is connected to the COR (1 system) 28. The COR (1 system) 28 is connected to the track circuit via a protector. The COR (1 system) 28 is also connected to both the CPU (A system) 11 and the CPU (B system) 12 and is connected to a simulated load.
[0027]
PA (1 system) 27 is also connected to the entrance side of A / D (A system) 20 and A / D (B system) 21, and the track circuit is connected to A / D (A system) 20 via a protector. It is connected to the entrance side of A / D (B system) 21.
[0028]
The
[0029]
The DSP board (system 2) 2 is configured in the same manner as the DSP board (system 1) 1. A PA (system 2) 29, a COR (system 2) 30, and a simulated load are the system PA (system 1) 27, It is connected in the same system configuration as the COR (1 system) 28 and the simulated load.
[0030]
[0031]
The operation of the apparatus having the above configuration will be described below. First, when a telegram instructing recognition of the operation system / standby system is sent from the host device (not shown) via the I /
[0032]
Each of the
[0033]
The FSAND /
[0034]
At this time, a message is also transmitted from the host device (not shown) to the DSP board (2 system) 2 via the I /
[0035]
In this embodiment, the alternating signals output from the
[0036]
Subsequently, when an ATC message is sent from the host device, the
[0037]
The output ATC signal is amplified by the
[0038]
At this time, if the level of the signal transmitted from the
[0039]
Next, when a TD message is sent from the host device, the
[0040]
As described above, since the ATC message is processed by the route of the CPU12-DSP14 and the TD message is processed by the route of the CPU11-DSP13, the ATC message and the TD message can be processed in parallel. There is an effect to increase. In other words, even if one information processing means receives a TD message during the processing of an ATC message, the other information processing means can immediately execute the TD message processing. Other work can be done until information to be processed is received.
[0041]
The above-described operation is an operation based on a message sent from a higher-level device, but these messages are usually sent at regular time intervals. In the time zone when the electronic message is not sent, the
[0042]
The internal diagnosis is performed by checking the soundness of the memory connected to the
[0043]
On the other hand, the relay contact check result, the PA feedback signal monitoring result, the transmission / reception tap 18 reading result, and the like are exchanged between the
[0044]
That is, if an abnormality is found in the check, and if the result of the comparison is inconsistent, it is determined that somewhere in the device has an abnormality and the signal output to the track circuit is not a normal signal, Therefore, it is a fail-safe system that keeps control on the safe side by preventing signal output.
[0045]
The switch / LED 16 mainly has a display function to the outside, and is used for displaying a communication status with a host device and an operating status of the DSP board, and for setting an address in the network. The switch / LED 16 is controlled by the CPU 11 communicating with the host device.
[0046]
When the transmitter / receiver (information processing device) including the
[0047]
Switching between the operating system and the standby system of the cut relays 25 and 26 depends on a message from the host device, but is performed every predetermined period, for example, on a daily basis. By switching the operation system and the standby system at predetermined intervals in this way, the cut relays 25 and 26 are periodically operated regardless of whether or not the system has failed. As a result, there is less concern about welding of relay contacts.
[0048]
In the present embodiment, a transceiver including the
[0049]
In this duplex system, not only the operation system and the standby system are switched periodically in response to a command from the host device, but also one or both of the primary station and the secondary station of the operation system transceiver stop outputting the alternating signal. When the relay contact is opened, the host device switches the transmitter / receiver that was the standby system to the operating system. The transmitter / receiver (information processing apparatus) switched from the standby system to the operating system turns on the switching relay COR and sends the signal that has been output to the simulated load until then to the track circuit via the protector. Therefore, the signal output to the track circuit is not interrupted.
[0050]
In the present embodiment, since the CPU 11 of the primary station transmits the message received from the network (I / O LAN) via the
[0051]
【The invention's effect】
According to the present invention, it is possible to increase the processing capability of the duplexed information processing means and connect the information processing apparatus having the duplexed information processing means and the network with a single cable. become. In addition, it is possible to eliminate the possibility of contact welding of relays arranged in the information output path from the information processing apparatus.
[Brief description of the drawings]
FIG. 1 is a system diagram showing a configuration of an embodiment of the present invention.
FIG. 2 is a system diagram showing an example of the overall configuration of a system to which the present invention is applied.
FIG. 3 is a system diagram showing an example of the prior art.
FIG. 4 is a system diagram showing another example of the prior art.
[Explanation of symbols]
1 DSP board (1 system)
2 DSP board (system 2)
3a, 3b Bus 11 CPU (A system)
12 CPU (B system)
13 DSP (A system)
14 DSP (B system)
15 CAN
16 LED, switch 17 DPRAM
18 Transmission / reception tap 19 D / A (A system)
20 A / D (A series)
21 A / D (B system)
22 D / A (B system)
23, 24 FSAND / FSAMP
25 Cut relay (operating system)
26 Cut relay (standby system)
27 PA (1 system)
28 switching relay COR (1 system)
29 PA (system 2)
30 switching relay COR (system 2)
Claims (5)
a.前記2組の情報処理手段の一方を1次局、他方を2次局とし、前記上位装置から伝達される情報は前記1次局を介して2次局へ伝達されるように構成されていることと、
b.前記1次局、2次局は、上位装置から伝達される複数種類の情報のうちのどの情報を処理するのかが予め定められていることと、
c.前記1次局、2次局は、それぞれ送出される前記情報の出力レベルが所定の範囲内にあるかどうかを確認し、所定の範囲を外れていると判定したとき、前記リレー接点を開くように構成されていること、を特徴とするフェールセーフ情報処理装置。Two sets of information processing means for processing each of a plurality of types of information transmitted from the host device are provided, and the relay contacts whose information is processed by the information processing means are controlled to be opened and closed by a signal output from the information processing means. The information processing apparatus configured to output and amplify to a predetermined output level and send out
a. One of the two sets of information processing means is a primary station and the other is a secondary station, and information transmitted from the host device is configured to be transmitted to the secondary station via the primary station. And
b. The primary station and the secondary station have predetermined information to be processed among a plurality of types of information transmitted from the host device;
c. The primary station and the secondary station check whether the output level of the information to be transmitted is within a predetermined range, and open the relay contact when determining that the output level is out of the predetermined range. The fail-safe information processing apparatus characterized by being comprised in this.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2001200983A JP4164628B2 (en) | 2001-07-02 | 2001-07-02 | Fail-safe information processing device |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2001200983A JP4164628B2 (en) | 2001-07-02 | 2001-07-02 | Fail-safe information processing device |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2003015702A JP2003015702A (en) | 2003-01-17 |
JP4164628B2 true JP4164628B2 (en) | 2008-10-15 |
Family
ID=19038017
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2001200983A Expired - Lifetime JP4164628B2 (en) | 2001-07-02 | 2001-07-02 | Fail-safe information processing device |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4164628B2 (en) |
Families Citing this family (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007129868A (en) * | 2005-11-07 | 2007-05-24 | Hanshin Electric Co Ltd | Control method and controller for inrush current suppression circuit |
JP4969423B2 (en) * | 2007-11-20 | 2012-07-04 | 大同信号株式会社 | Railway signal security equipment transmission rack mounting equipment |
JP5905697B2 (en) * | 2011-10-06 | 2016-04-20 | 株式会社日立製作所 | Fail-safe device |
JP5951520B2 (en) * | 2013-02-19 | 2016-07-13 | 株式会社日立製作所 | Multiple processing system |
JP6324127B2 (en) * | 2014-03-14 | 2018-05-16 | 三菱電機株式会社 | Information processing apparatus, information processing method, and program |
CN104386091B (en) * | 2014-09-23 | 2016-06-22 | 浙江众合科技股份有限公司 | A kind of track traffic safety control circuit and system |
JP6445399B2 (en) * | 2015-06-19 | 2018-12-26 | 株式会社日立製作所 | Track circuit transmitter |
JP7326239B2 (en) * | 2020-09-16 | 2023-08-15 | 株式会社東芝 | Controller and controller system |
-
2001
- 2001-07-02 JP JP2001200983A patent/JP4164628B2/en not_active Expired - Lifetime
Also Published As
Publication number | Publication date |
---|---|
JP2003015702A (en) | 2003-01-17 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP2705994B1 (en) | Control arrangement for a rail vehicle | |
CN110758356B (en) | Emergency braking control circuit based on coupler coupling detection | |
JP4164628B2 (en) | Fail-safe information processing device | |
CN110901611B (en) | Emergency braking method for vehicle coupling | |
KR101466912B1 (en) | Automatic Block System using Optical Communication | |
JPH0239903B2 (en) | ||
JP4472535B2 (en) | Information transmission system, railway vehicle information transmission system, and vehicle information transmission terminal device | |
JP5281566B2 (en) | Railway security system | |
JP4131825B2 (en) | Track circuit transceiver | |
JP2006149142A (en) | Automatic train operation system, automatic train operation device, and vehicle information control unit | |
CN108995663B (en) | Device and method for switching zero-speed circuit and railway vehicle with device | |
JP5694806B2 (en) | Control device, train control device, and train control system | |
JP4976622B2 (en) | Crossing control device and crossing control network | |
EP3118052B1 (en) | Train information management device | |
JP2006344023A (en) | Control unit | |
JP4476590B2 (en) | Elevator control device | |
JPH11180304A (en) | Monitoring device for rolling stock | |
KR200411113Y1 (en) | Fail-safe Switching Apparatus on the Railroad Signal | |
JP4277991B2 (en) | Signal transmission device and train control device | |
JP2001213316A (en) | Automatic train control system | |
KR20050095071A (en) | A system for controlling railway line | |
CN116122692A (en) | Platform door control system | |
CN116006048A (en) | Multi-grouping platform door control system | |
JP2000209236A (en) | Interface unit | |
JPH0318378B2 (en) |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050811 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071023 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071225 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080624 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080715 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 4164628 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110808 Year of fee payment: 3 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120808 Year of fee payment: 4 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130808 Year of fee payment: 5 |
|
EXPY | Cancellation because of completion of term |