JP4961247B2 - フェールセーフ制御方式 - Google Patents

Description

本発明は、自動列車制御装置（ＡＴＣ）で行う列車制御について、多重系制御装置と車上装置との間での制御データの伝送を伴うときの安全性を保証するためのフェールセーフ制御方式に関する。

列車制御において安全を確保するため、制御装置はフェールセーフに動作するよう構成されている。列車制御におけるフェールセーフとは、装置やシステムに異常が発生した場合、常に列車を安全側、即ち停止させる側に制御するという対処の仕方である。

従来から列車制御装置は、フェールセーフに情報伝送を行うため、同一の論理を持つ多重系構成とし、出力結果を交換・照合することで各系計算機が判定した主系（データを出力する系）の正常／異常状態を専用のハードウェアに入力して多数決をとり、主系異常判定時には当該ハードウェア内のリレーによりデータ出力を制限するという手法を用いてきた。

しかしながら、近年では当該ハードウェアを削除し、制御指示を出力する装置から、指示を受けて実際制御を行う装置までの情報伝送を行う各装置が有する論理を用いて、システム全体としてフェールセーフ性を確保する手法が提案されている。

多重系装置の各系が出力結果を交換・照合して主系の正常／異常状態を判定した後、出力する制御指示情報に各系の判定結果を付加し、制御指示を受けた装置にて前記制御装置の各系が判定した主系状態の多数決をとり、主系を正常と判定した場合に受信情報を自身の制御に用いる多重系情報処理装置が提案されている（特許文献１）。
前記多重系装置において全系異常が発生した場合には一度は誤った電文を出力する可能性があるため、被制御装置にて２回同一の制御指示を受信した場合に当該電文を制御に用いることとしている。
特開２００４−３０２７０８号公報

近年では自動列車制御装置（ＡＴＣ）として、無線を用いて車上装置と直接通信を行い、列車検知、ＡＴＣ電文の送信を行う列車制御システムである無線ＡＴＣが世界で広まりつつある。無線ＡＴＣは、従来の軌道回路方式に対し、設備費用、メンテナンスコストの低減の実現が可能とされる。そのため、無線ＡＴＣの論理部では、従来のＡＴＣ論理部の構成に加え無線基地局とのインターフェースの増加が伴う。しかし装置のコスト、設置スペースを考え、制御装置を構成するハードウェアの増加を抑え、一方で列車制御装置としての安全性を維持することが求められている。

そこで、情報伝送を行う論理部（地上装置）と車上装置のフェールセーフ電文伝送を前述したように専用のハードウェアを用いずに、双方の装置の論理を用いて実現する手法は非常に有益である。

本発明の目的は、地上装置各系が実施した自系及び他系に対する正常／異常判定結果を全て車上装置に送信し、車上装置において地上装置の全系異常の可能性を判定した上で、地上装置の主系正常／異常判定結果の多数決によるＡＴＣ電文の使用可否制御を行うことで、車上装置にて受信したＡＴＣ電文を即時制御に用いることを可能とし、従来よりも高応答性の列車制御を実現できるフェールセーフ伝送方式を提供することである。

上記目的を達成するために本発明では、以下の手段を用いる。即ち、この発明によるフェールセーフ制御方式は、同一処理対象について同一処理計算を実行する複数の計算機から構成され当該処理計算結果を出力する多重系計算機と、出力された前記処理計算結果の入力を受けて当該処理計算結果に基づいて前記処理対象の制御を行う制御装置とを備え、前記多重系計算機の前記各計算機は、自系の前記処理計算結果と他系の前記処理計算結果とを相互に交換して照合し、当該照合結果に基づいて自系及び他系の前記計算機に対する健全性判定を行って全系の健全性判定結果を作成し、前記多重系計算機は、前記処理計算結果と共に前記全系の健全性判定結果を出力し、前記制御装置は、入力を受けた前記全系の健全性判定結果を多数決処理して前記処理計算結果の使用可否を判定するフェールセーフ制御方式であって、前記処理対象は軌道を走行する列車であり、前記多重系計算機は地上装置として配備されており、前記制御装置は前記列車に搭載されており、前記処理計算結果は前記列車の運行を制御する列車制御データであることから成っている。
また、この発明によるフェールセーフ制御方法は、同一処理対象について同一処理計算を実行する複数の計算機から構成された多重系計算機が当該処理計算結果を出力し、出力された前記処理計算結果の入力を受けた制御装置が当該処理計算結果に基づいて前記処理対象の制御を行い、前記多重系計算機の前記各計算機は、自系の前記処理計算結果と他系の前記処理計算結果とを相互に交換して照合し、当該照合結果に基づいて自系及び他系の前記計算機に対する健全性判定を行って全系の健全性判定結果を作成し、前記多重系計算機は、前記処理計算結果と共に前記全系の健全性判定結果を出力し、前記制御装置は、入力を受けた前記全系の健全性判定結果を多数決処理して前記処理計算結果の使用可否を判定するフェールセーフ制御方法であって、前記処理対象は軌道を走行する列車であり、前記多重系計算機は地上装置として配備されており、前記制御装置は前記列車に搭載されており、前記処理計算結果は前記列車の運行を制御する列車制御データであることから成っている。

列車制御に用いるＡＴＣ電文を作成する地上の論理部は同じ論理を持つ複数の計算機を有し、各計算機は通信経路を介して相互にデータ交換を行うことができる。これにより計算機相互にデータ照合を行い、健全性を判定することが可能になる。また、論理部からは通信路を介して制御対象となる車上装置間にＡＴＣ電文を伝送することができる。論理部の計算機が作成するＡＴＣ電文は、制御対象列車が走行制御を行うために必要な情報と、前記複数の計算機が相互に判定した健全性情報を含む構成とすることができる。また車上装置は、論理部が出力したＡＴＣ電文を受信して、各計算機の健全性情報から受信データの正当性を判定するので、フェールセーフな制御が可能になる。

以上のように、本発明によるフェールセーフ制御方式及び制御方法によれば、情報伝達を行う制御装置の論理によるフェールセーフ手法を用いているので、ハードウェアによるフェールセーフ装置構成と比較して、装置の縮小化、コスト削減、インターフェースの拡張が可能となり、且つ地上装置として配備された多重系計算機が同一処理対象について同一処理計算を実行した処理計算結果を相互に交換して照合して全系の健全性判定結果を作成し、処理対象である軌道を走行する列車の車上装置にて、制御装置は多重系計算機からの全系の健全性判定結果を多数決処理して処理計算結果の使用可否を判定するので、車上の制御装置は、地上の各計算機の健全性情報から受信データの正当性を判定するので、フェールセーフな制御が可能になる。また、常時制御電文が即時使用可能となるので、列車制御において高応答性を実現することができる。
論理によるフェールセーフな電文伝送方式において、地上装置が全系異常の場合にも、車上装置にてこれを検知し、誤った可能性のある制御情報を破棄することができるため、車上装置の常時制御において、制御電文を即時用いることを可能にする。

以下、本発明によるフェールセーフ伝送方式の実施形態を、図を用いて説明する。
図１は本発明によるフェールセーフ伝送方式の一実施形態の装置構成を示すブロック図である。地上装置としての論理部１は、３つの系の計算機２Ａ，２Ｂ，２Ｃから構成されている。各系の計算機２Ａ〜２Ｃは独立して動作しているが、同時に同じ処理を行う。各系のデータ交換は通信経路３を用いて行われる。

主系計算機（例として、図１では１系（計算機２Ａ）とする。）は、各系が実施した全系に対する健全性判定結果を含むＡＴＣ電文を通信経路（通常は、無線経路）４を介して制御対象である列車の車上装置５に送信する。車上装置５は、受信したＡＴＣ電文をＩＦ（インターフェース）装置６を介して受信制御部７に入力する。受信制御部７は、本発明におけるフェールセーフ（ＦＳ）機能を備えている。受信制御部７において、ＡＴＣ電文に含まれる地上装置（論理部）１の全３系が実施した各系健全性判定結果の照合判定をするとともに、主系健全性判定結果の多数決から論理部１の主系の正常／異常を判定し、当該ＡＴＣ電文を走行制御に用いるか否かを判断する。

次に、本発明によるフェールセーフ制御システムにおける地上−車上装置間フェールセーフ伝送を実施する上での各装置の論理を説明する。図２は論理部１から車上装置５にＡＴＣ電文を伝送する間の各装置での処理フローを示す。論理部１における処理フローとして、例として主系である１系２Ａの処理フローを示す。主系２Ａには、車上装置５からの列車検知情報、及び連動情報などの外部条件が入力される。列車検知情報は当該車上装置５を搭載した列車の線路上の位置の情報であり、外部条件としての連動情報は実際の走行線路の進行ルートに関する情報（例えば、どの線の上りと下りの区別、及び転轍機の切換え状態）である。主系２Ａの論理部１は、これらの情報の入力を受けて、列車が停止すべき地点や許容される速度の情報、即ち、列車がどの地点までどれだけの速度で進行可能であるかという情報などの列車制御データを作成する（ステップ８）。主系２Ａ以外の各系２Ｂ、２Ｃにおいても、同じように、列車検知情報及び外部条件が入力されて列車制御データが作成される。

論理部１においては、その後、当該列車制御データを出力情報として再びデータ交換用通信経路３を用いて系間で互いに交換し、各系は自系データと他系データの照合を行い、各系間でデータに不一致があったか否かについての各系診断結果を作成する（ステップ９）。その結果から、少なくとも他１つ以上の系とデータが一致した場合の系を正常、他２つの系と一致しなかった系を異常として、自系及び他系の健全性を判定し、全系健全性判定結果を作成する（ステップ１０）。

ステップ１０で得られた各系の自系及び他系に対する健全性結果は、制御対象である列車の車上装置５へ送信する際の主系による誤り設定を考慮し、各系固有の記号を用いる。ステップ１０で作成された全系健全性判定結果についても、列車制御データの場合と同様に、他の系へ出力するとともに他の系からの全系健全性判定結果の入力を受ける。各系の全系に対する健全性結果を前記の列車制御データに付加し（ステップ１１）、車上装置５へ送信する。即ち、各系での全系健全性判定結果をいずれかの系で評価するということはせずに、すべて車上装置５に送信する。

ＡＴＣ電文の構成の一例が図３に示されている。図３に示すように、ＡＴＣ電文は、ステップ８で作成された制御データ（列車制御データ）１９と主系選択情報２１とから成る。主系選択情報２１は、１系２Ａによる全系の健全性判定結果２２Ａと、２系２Ｂによる全系の健全性判定結果２２Ｂと、３系２Ｃによる全系の健全性判定結果２２Ｃとから成っている。１系２Ａによる全系の健全性判定結果２２Ａは、１系２Ａによる１系２Ａの健全性判定結果２２Ａ１（即ち、自分による自己の健全性判定結果）と、１系２Ａによる２系２Ｂの健全性判定結果２２Ａ２と、１系２Ａによる３系２Ｃの健全性判定結果２２Ａ３とから成っている。２系２Ｂによる全系の健全性判定結果２２Ｂ及び３系２Ｃによる全系の健全性判定結果２２Ｃについても、これと同様である。

図２に示す処理フローでは更に、車上装置５側で、まず受信したＡＴＣ電文に含まれる各系の論理部（地上装置）１が実施した全系に対する健全性判定結果の照合を行う（ステップ１２）。全系の結果が不一致の場合、論理部（地上装置）１において全系異常が発生したものとし、当該ＡＴＣ電文を破棄する。それ以外の場合は、論理部１の各系が実施した主系に対する健全性結果の多数決を実施し（ステップ１３）、少なくとも２つの系が主系正常と判定した場合は、当該ＡＴＣ電文を制御に用いる。

次に、多重系として３重系装置のフェールセーフ判定方式において、車上装置５側での各系の全系健全性判定結果の照合について、より具体的に詳説する。
（１）３重系動作時に主系が異常となった場合、即ち、１系が主系であり、２系と３系が従系であるとき、主系（１系）が異常となった場合
（ａ）地上装置１は、各系にて相互に系診断を実施すると、正常な２系と３系とは「１系異常・２系正常・３系正常」と判断する。なお、１系は異常であるため、全系に対し「異常」「正常」のいずれの判定もあり得る。判定結果が表１に示されている。

（ｂ）車上装置５は、列車制御データに各系の全系健全性判定結果が付加されたＡＴＣ電文を受信したとき、地上装置である各系の全系健全性判定結果を照合する。照合は、ＡＴＣ電文中の主系選択情報の多数決処理で行われる。全系健全性判定結果が少なくとも二つの系（２系と３系）で一致となるので、２系と３系の全系に対する健全性結果が採用される。続いて、２系と３系の主系（１系）に対する健全性結果が取得される。この健全性結果は「異常」となる。そのため、当該電文は不正として破棄されることになる。

（２）３重系動作時に一つの従系が異常となった場合（例えば、２系が異常となった場合）
（ａ）地上装置１は、各系にて相互に系診断を実施すると、正常な１系と３系とは「１系正常・２系異常・３系正常」と判断する。なお、２系は異常であるため、全系に対し「異常」「正常」のいずれの判定もあり得る。判定結果が表２に示されている。

（ｂ）車上装置５は、列車制御データに各系の全系健全性判定結果が付加されたＡＴＣ電文を受信したとき、地上装置である各系の全系健全性判定結果を照合する。多数決処理で照合が行われると、全系健全性判定結果が少なくとも二つの系（１系と３系）で一致となるので、１系と３系の全系に対する健全性結果が採用される。続いて、１系と３系の主系（１系）に対する健全性結果が取得される。この健全性結果は「正常」となる。そのため、当該電文は正しいとして列車制御に用いられる。

（３）３重系動作時に二つ以上の系が異常となった場合（全系が異常となった場合）
（ａ）地上装置１は、各系にて相互に系診断を実施すると、異常な１系〜３系は各系に対する有意な診断結果を下さない。全系異常であるため、全系に対して「異常」「正常」のいずれの判定もあり得る。判定結果が表３に示されている。

（ｂ）車上装置５は、列車制御データに各系の全系健全性判定結果が付加されたＡＴＣ電文を受信したとき、地上装置である各系の全系健全性判定結果を照合する。多数決処理で照合が行われると、全系健全性判定結果が不一致となるので、地上装置全系が異常であると判断し、当該電文は不正として破棄される。

本発明によるフェールセーフ制御方式の一実施例の装置構成を示す図である。 本発明によるフェールセーフ制御方式の一実施例の各装置の処理の流れを示すフローチャートである。 本発明によるフェールセーフ制御方式の一実施例で用いられる制御電文の構成図である。

符号の説明

１…論理部、２Ａ，２Ｂ，２Ｃ…各系計算機、３…系間データ交換用通信経路、４…地上装置〜車上装置間データ通信経路、５…車上装置、６…ＩＦ装置、７…受信制御部

Claims (4)

1. 同一処理対象について同一処理計算を実行する複数の計算機から構成され当該処理計算結果を出力する多重系計算機と、出力された前記処理計算結果の入力を受けて当該処理計算結果に基づいて前記処理対象の制御を行う制御装置とを備え、
   前記多重系計算機の前記各計算機は、自系の前記処理計算結果と他系の前記処理計算結果とを相互に交換して照合し、当該照合結果に基づいて自系及び他系の前記計算機に対する健全性判定を行って全系の健全性判定結果を作成し、
   前記多重系計算機は、前記処理計算結果と共に前記全系の健全性判定結果を出力し、
   前記制御装置は、入力を受けた前記全系の健全性判定結果を多数決処理して前記処理計算結果の使用可否を判定するフェールセーフ制御方式であって、
   前記処理対象は軌道を走行する列車であり、
   前記多重系計算機は地上装置として配備されており、
   前記制御装置は前記列車に搭載されており、
   前記処理計算結果は前記列車の運行を制御する列車制御データである
   ことから成るフェールセーフ制御方式。
2. 請求項１に記載のフェールセーフ制御方式において、
   前記多重系計算機の前記各計算機は、
   前記列車の現在位置を含む列車検知情報と前記列車の走行すべき軌道を含む連動情報との入力を受けて前記処理計算結果としての前記列車制御データを作成する列車制御データ作成手段、
   他系の前記計算機から交換された前記列車制御データをも合わせて照合して各系の前記計算機の診断結果を作成する診断結果作成手段、
   前記各系の診断結果を合わせて全系健全性判定結果を作成する全系健全性判定結果作成手段、及び
   前記列車制御データと前記全系健全性判定結果とを他系の前記計算機と交換する入出力手段
   を備えていることから成るフェールセーフ制御方式。
3. 請求項１に記載のフェールセーフ制御方式において、
   前記多重系計算機のうち主系となる前記計算機は、自系及び他系の前記計算機が作成した前記全系健全性判定結果を前記処理計算結果と合わせて出力し、
   前記制御装置は、前記多重系計算機の前記各計算機が実施した自系及び他系に対する正常／異常判定結果の照合と前記多重系計算機の各計算機が実施した前記主系の計算機に対する正常／異常判定結果の多数決処理により前記処理計算結果の使用可否を制御する計算機を有する
   ことから成るフェールセーフ制御方式。
4. 同一処理対象について同一処理計算を実行する複数の計算機から構成された多重系計算機が当該処理計算結果を出力し、出力された前記処理計算結果の入力を受けた制御装置が当該処理計算結果に基づいて前記処理対象の制御を行い、
   前記多重系計算機の前記各計算機は、自系の前記処理計算結果と他系の前記処理計算結果とを相互に交換して照合し、当該照合結果に基づいて自系及び他系の前記計算機に対する健全性判定を行って全系の健全性判定結果を作成し、
   前記多重系計算機は、前記処理計算結果と共に前記全系の健全性判定結果を出力し、
   前記制御装置は、入力を受けた前記全系の健全性判定結果を多数決処理して前記処理計算結果の使用可否を判定するフェールセーフ制御方法であって、
   前記処理対象は軌道を走行する列車であり、
   前記多重系計算機は地上装置として配備されており、
   前記制御装置は前記列車に搭載されており、
   前記処理計算結果は前記列車の運行を制御する列車制御データである
   ことから成るフェールセーフ制御方法。

Images