JP7023192B2 - 電子連動装置、電子連動システム、及び異常検出方法 - Google Patents

Description

本発明は、電子連動装置、電子連動システム、及び異常検出方法に関し、例えば現場機器を制御する鉄道保安装置、ＡＴＣ（Automatic Train Control）装置やＡＴＳ（Auto Train Stop）装置等に適用して好適なものである。

例えば、信号機や転てつ機を制御する鉄道保安装置では、装置の故障が重大事故につながる可能性がある。従って、鉄道保安装置では装置が故障した場合においても、装置全体を安全側に制御するフェールセーフな構成が不可欠となる。ここで、「フェールセーフ」とは、部品等の故障により、重大事故を招くような危険側制御とならないことをいう。危険側制御にならないようにするため、部品故障を確実に検出する回路を付加することにより、安全側制御となるような構成としている。

ところで、汎用的なシステムにおいては、１つの発振器により、ＣＰＵ（Central Processing Unit）やＩＯ（Input Output）、及びその周辺回路を動作させる構成が一般的である。しかし、１つの発振器により、ＣＰＵやＩＯ、及びその周辺回路を動作させる構成の場合、発振器が故障し発振停止に至らず出力周波数が変動した場合、動作してしまう可能性がある。発振器がこのような故障をすると、確実な故障検出が不可能となる。

この問題を解決するため、１系ユニット及び２系ユニットでシステムを２重化した２重系構成がある。１系ユニット及び２系ユニットは、自系の発振器が出力するクロック信号を、他系の発振器が出力するクロック信号を逓倍したサンプリング用クロックを基にサンプリングし、クロック信号の周期やＨ（Ｈｉｇｈ）電圧周期及びＬ（Ｌｏｗ）電圧周期それぞれの期間を計測する。そして、１系ユニット及び２系ユニットは、自系及び他系の計測結果を比較し、比較結果が一致すれば１系ユニット及び２系ユニットの発振器は何れも正常であり、比較結果が不一致であれば１系ユニット及び２系ユニットの何れかの発振器が異常であると判定する。

これらの処理を定期的に実施することで、１系ユニット及び２系ユニットの発振器に異常がないことを高精度に監視することが可能になる。更に１系ユニット及び２系ユニットは、系相互間の状態監視も行い、１系ユニット及び２系ユニット間で１系ユニット及び２系ユニットの発振器の状態を常時伝達する。このようにして、多重系構成ならではのメリットを生かし、追加部品を必要とせずに発振器の異常監視を行うことができる。

しかし、この方法では１系ユニット及び２系ユニットの何れかの発振器が異常であることを検知可能であるが、発振器の異常が発生した系の特定は不可能である。また、発振器の異常が検出された場合、もう一方の正常な発振器も含め、システム全体を停止することになり、システムの稼働時間が短縮されてしまうという問題がある。この問題は、特許文献１により説明されている。

そこで、特許文献１には、自系発振器と、自系発振器の出力を計測する計測器と、他系発振器の出力を計測する自系内に持つ計測器と、２つの計測器の結果を比較するための基準となる基準発振器の出力を計測する共通系計測器を備えた、同一構成の２重系構成の２つの制御装置を備えた保安装置が開示されている。この保安装置では、自系発振器の出力を計測する計測器の計測結果と、他系発振器の出力を計測する計測器の計測結果と、この２つの計測器の計測結果を比較するため基準となる基準発振器の出力を計測する共通系計測器の計測結果とを比較することにより、発振器の異常検出を可能にする。

また、特許文献２には、システムクロックが運用系クロック分配装置及び予備系クロック分配装置に分岐して供給されるクロック分配システムが開示されている。このクロック分配システムでは、運用系クロック分配装置及び予備系クロック分配装置の内部でシステムクロックの断の監視を行い、断が検出されたときにはバッファ制御回路が他系への切り替えを行わせ、正常なシステムクロックを出力させる。

また、特許文献３には、二重化された処理部にそれぞれ設けられ、同じ周波数の第１のクロック信号を出力する各発振器の異常を検知する発振器異常検知装置及び方法が開示されている。この発振器異常検知装置及び方法では、第１のクロック信号の整数倍の周波数を有する第２のクロック信号を共通発振器及び逓倍回路にて生成し、各処理部において、自系の発振器から出力された第１のクロック信号と、他系の発振器から出力された第１のクロック信号とをそれぞれ別個に第２のクロック信号と比較し、各処理部において、当該比較の結果に基づいて自系及び他系の発振器の異常の有無をそれぞれ判定する。

特開２０１４－０１０５６７号公報 特開２００４－０６４３４４号公報 特開２０１５－１５６１５５号公報

しかしながら、上述の従来技術では、多重系構成であることを利用した発振器の異常検出は可能であるが、多重系構成された装置の何れの発振器が異常となったかを特定できない場合がある。このため、１系ユニット及び２系ユニットの何れかの異常が検出された場合、もう一方の正常な発振器も含め、システム全体を停止することになり、システムの稼働時間も問題となる。

本発明は、上記課題を解決するため、装置又はシステム全体の稼働時間の短縮を防止することが可能な電子連動装置、電子連動システム及び電子連動方法の提供を目的とする。

本発明は、現場機器を制御する電子連動装置又は電子連動システムにおいて、１つの自系発振器と、前記自系発振器の出力を計測する自系計測器と、２系統の他系発振器の各出力を計測する他系計測器と、比較器と、前記自系発振器からクロック信号を供給される処理部とを含んだ同一構成の３系統の処理ユニットを３重系構成として備え、前記比較器は、前記自系計測器及び前記他系計測器の３つの計測結果の比較結果に基づいて、前記自系発振器及び前記他系発振器の異常の有無を判定する。

本発明によれば、装置又はシステムの稼働時間の短縮を防止することが可能となる。

図１は、実施形態の電子連動装置の構成を説明するための図である。 図２は、実施形態の電子連動装置の状態及び動作を説明するための図である。 図３は、実施形態の電子連動装置の状態及び動作を説明するための図である。 図４は、実施形態の電子連動装置の状態及び動作を説明するための図である。 図５は、実施形態の電子連動装置の状態及び動作を説明するための図である。 図６は、実施形態の比較器／状態表示で行う判定処理のフローチャートである。 図７は、実施形態の劣化検知に関する動作を説明するための図である。 図８は、実施形態の劣化検知に関する動作を説明するための図である。 図９は、実施形態の劣化検知に関する動作を説明するための図である。 図１０は、実施形態の劣化検知の判定基準範囲を説明するための図である。

以下、本発明の実施形態について説明する。本発明の実施形態は、自系発振器の出力を計測する計測器、同一構成の２つの他系発振器それぞれの出力を計測する計測器と、これら３つの計測器の計測結果を比較する比較器を備え、更に自系発振器の出力を逓倍回路により高速な信号を生成する機能を備える少なくとも３重系構成の電子連動装置であって、自系発振器の出力を計測する計測器の計測結果と、他系発振器それぞれの出力を計測する計測器の計測結果とを比較することで発振器の異常を検知し、且つ３重系構成のうちの異常が発生した発振器を特定することを可能にした。更に自系発振器の出力を逓倍した高速なクロックを用いてそれぞれの発振器のクロックを監視することで劣化の検知を可能にした。

これらの異常又は劣化の検知により、何れの発振器が故障したかを特定することが可能となり、異常が発生した又は劣化した発振器を切り離して正常な発振器の出力を用いることで装置又はシステム全体の稼動時間の延長を可能にした。これを基にした、信号機や転てつ機等を制御する鉄道保安装置、地上子及び車上子を用いて列車を制御するＡＴＣ（Automatic Train Control）装置やＡＴＳ（Auto Train Stop）装置等に適用した例を以下に示す。

なお、以下の実施形態では、発振器の「異常」とは発振器の突発故障に起因するものを言い、発振器の「劣化」とは発振器の寿命に起因する経年劣化を言う。

（１）実施形態の電子連動装置の構成
以下、本発明の実施形態の電子連動装置について図１を用いて説明する。実施形態の電子連動装置１０は、上位装置２０と通信可能に接続されている。上位装置２０は、列車の運転指令所に配置され、電子連動装置１０に制御指令を出力するコンピュータである。上位装置２０には、表示部２１が接続されている。

また、電子連動装置１０は、現場機器３０と通信可能に接続されている。現場機器３０は、電子連動装置１０が鉄道保安装置である場合には信号機や転てつ機等であり、電子連動装置１０がＡＴＣ装置やＡＴＳ装置である場合には地上子及び車上子等である。

図１に示すように、電子連動装置１０は、１系ユニット１１７、２系ユニット２１７、３系ユニット３１７を有する。１系ユニット１１７、２系ユニット２１７、３系ユニット３１７は、処理ユニットであり、上位装置２０からの制御指令をもとに現場機器３０に動作指示を出力する。

１系ユニット１１７は、発振器１０１、逓倍回路１０２、１系計測器１０３、２系計測器１０４、３系計測器１０５、ＣＰＵ１０６、比較器／状態表示１０７、クロック信号切替スイッチ１１５を有する。２系ユニット２１７は、発振器２０１、逓倍回路２０２、１系計測器２０３、２系計測器２０４、３系計測器２０５、ＣＰＵ２０６、比較器／状態表示２０７、クロック信号切替スイッチ２１５を有する。３系ユニット３１７は、発振器３０１、逓倍回路３０２、１系計測器３０３、２系計測器３０４、３系計測器３０５、ＣＰＵ３０６、比較器／状態表示３０７、クロック信号切替スイッチ３１５を有する。ＣＰＵ１０６、ＣＰＵ２０６、ＣＰＵ３０６は、処理部である。

なお、図１～図５では、１系ユニット１１７、２系ユニット２１７、３系ユニット３１７の構成の一部、例えばＣＰＵ１０６、２０６、３０６により制御されるＩＯ（Input Output）及びその周辺回路の図示を省略している。

１系ユニット１１７内では、発振器１０１が、配線１０８を介してクロック信号切替スイッチ１１５の端子１Ｓ１に接続されている。また、配線２０８とクロック信号切替スイッチ１１５の端子１Ｓ２とが接続され、配線３０８とクロック信号切替スイッチ１１５の端子１Ｓ３とが接続されている。

また、発振器１０１は、クロック信号切替スイッチ１１５の共通端子１Ｓ０から配線１１６を介して、逓倍回路１０２、１系計測器１０３、ＣＰＵ１０６、２系ユニット２１７の１系計測器２０３、３系ユニット３１７の１系計測器３０３に接続されている。

逓倍回路１０２は、発振器１０１の出力を受けると共に、配線１１２を介して１系計測器１０３、２系計測器１０４、３系計測器１０５に接続されている。１系計測器１０３は、配線１０９を介して比較器／状態表示１０７に接続されている。２系計測器１０４は、配線１１０を介して比較器／状態表示１０７に接続されている。３系計測器１０５は、配線１１１を介して比較器／状態表示１０７に接続されている。

比較器／状態表示１０７は、配線１１３を介してＣＰＵ１０６に接続されている。また、比較器／状態表示１０７は、他系との相互監視のため、配線１を介して２系ユニット２１７の比較器／状態表示２０７と、配線２を介して３系ユニット３１７の比較器／状態表示３０７と接続されている。

同様に、２系ユニット２１７内では、発振器２０１が、配線２０８を介してクロック信号切替スイッチ２１５の端子２Ｓ２に接続されている。また、配線１０８とクロック信号切替スイッチ２１５の端子２Ｓ１とが接続され、配線３０８とクロック信号切替スイッチ２１５の端子２Ｓ３とが接続されている。

また、発振器２０１は、クロック信号切替スイッチ２１５の共通端子２Ｓ０から配線２１６を介して、逓倍回路２０２、計測器２０３、ＣＰＵ２０６、１系ユニット１１７の２系計測器１０４、３系ユニット３１７の２系計測器３０４に接続されている。

逓倍回路２０２は、発振器２０１の出力を受けると共に、配線２１２を介して１系計測器２０３、２系計測器２０４、３系計測器２０５に接続されている。１系計測器２０３は、配線２０９を介して比較器／状態表示２０７に接続されている。２系計測器２０４は、配線２１０を介して比較器／状態表示２０７に接続されている。３系計測器２０５は、配線２１１を介して比較器／状態表示２０７に接続されている。

比較器／状態表示２０７は、配線２１３を介してＣＰＵ２０６に接続されている。また、比較器／状態表示２０７は、他系との相互監視のため、配線１を介して１系ユニット１１７の比較器／状態表示１０７と、配線３を介して３系ユニット３１７の比較器／状態表示３０７と接続されている。

同様に、３系ユニット３１７内では、発振器３０１が、配線３０８を介してクロック信号切替スイッチ３１５の端子３Ｓ３に接続されている。また、配線１０８とクロック信号切替スイッチ３１５の端子３Ｓ１とが接続され、配線２０８とクロック信号切替スイッチ２１５の端子３Ｓ２とが接続されている。

また、発振器３０１は、クロック信号切替スイッチ３１５の共通端子３Ｓ０から配線３１６を介して、逓倍回路３０２、計測器３０３、ＣＰＵ３０６、１系ユニット１１７の３系計測器１０５、２系ユニット２１７の３系計測器２０５に接続されている。

逓倍回路３０２は、発振器３０１の出力を受けると共に、配線３１２を介して１系計測器３０３、２系計測器３０４、３系計測器３０５に接続されている。１系計測器３０３は、配線３０９を介して比較器／状態表示３０７に接続されている。２系計測器３０４は、配線２１０を介して比較器／状態表示３０７に接続されている。３系計測器３０５は、配線３１１を介して比較器／状態表示３０７に接続されている。

比較器／状態表示３０７は、配線３１３を介してＣＰＵ３０６に接続されている。また、比較器／状態表示３０７は、他系との相互監視のため、配線３を介して１系ユニット１１７の比較器／状態表示１０７と、配線３を介して２系ユニット２１７の比較器／状態表示２０７と接続されている。

なお、１系ユニット１１７、２系ユニット２１７、３系ユニット３１７は、これらの間がバス等により接続されていてもよいし、通信インターフェースを介して通信ケーブル等により接続されていてもよい。１系ユニット１１７、２系ユニット２１７、３系ユニット３１７がバス等により接続される場合には、電子連動装置１０は、各ユニットが高速かつ高信頼で通信できる。一方、１系ユニット１１７、２系ユニット２１７、３系ユニット３１７が通信ケーブル等により接続される場合には、電子連動装置１０は、各ユニットを柔軟に配置可能なシステムとなる。

（２）発振器異常検知処理
以下、電子連動装置が行う発振器異常検知処理を、図２に基づいて説明する。通常状態（異常なし）では、１系のクロック信号切替スイッチ１１５の接点は端子１Ｓ１に接し、２系のクロック信号切替スイッチ２１５の接点は端子２Ｓ２に接し、３系のクロック信号切替スイッチ３１５の接点は端子３Ｓ３に接している。またこれらの接点の接続状態は、電子連動装置１０の起動直後の初期設定と同じ状態である。

この接点の接続状態において、１系ユニット１１７では、１系の発振器１０１から出力されるクロック信号が、配線１０８、クロック信号切替スイッチ１１５、配線１１６を経由して、１系ユニット１１７の１系計測器１０３で計測される。同様に、２系ユニット２１７では、２系の発振器２０１から出力されるクロック信号が、配線２０８、クロック信号切替スイッチ２１５、配線２１６を経由して、１系ユニット１１７の２系計測器１０４で計測される。同様に、３系ユニット３１７でも、３系の発振器３０１から出力されるクロック信号が、配線３０８、クロック信号切替スイッチ３１５、配線３１６を経由して、１系ユニット１１７の３系計測器１０５で計測される。

同様に、２系ユニット２１７内でも、発振器１０１のクロック信号が１系計測器２０３で計測され、発振器２０１のクロック信号が２系計測器２０４で計測され、発振器３０１のクロック信号が３系計測器２０５で計測される。また、同様に、３系ユニット３１７内でも、発振器１０１のクロック信号が１系計測器３０３で計測され、発振器２０１のクロック信号が２系計測器３０４で計測され、発振器３０１のクロック信号が３系計測器３０５で計測される。

発振器の異常検知はこれら計測器のブロックで行われる。ここで、計測器は全て同一構成であり、同一処理を行う。１系計測器１０３を例にすると、クロック信号の計測結果は、例えば、ある単位時間内において１系の発振器１０１から供給されたクロック信号の周期のカウント数である。

例えば１系ユニット１１７では、比較器／状態表示１０７は、１系計測器１０３、２系計測器１０４、３系計測器１０５による計測結果を比較する。比較器／状態表示１０７は、計測結果に差異があれば何れかの系の発振器が異常と判定し、差異がなければ全ての発振器が正常と判定する。また、比較器／状態表示１０７は、３重系構成の２ ｏｕｔ ｏｆ ３の多数決論理により、３つの系のうち計測結果が一致する２つの系の発振器は正常と判定し、計測結果が一致しない１つの系の発振器が異常と判定できる。

比較器／状態表示１０７は、発振器１０１の異常検知時に１系ユニット１１７のＣＰＵ１０６に対して異常報告を行う。また、比較器／状態表示１０７は、発振器１０１の異常を上位装置２０に通知する。上位装置２０は、発振器１０１の異常の通知に応じて、異常発生のアラートを表示部２１に表示する。表示部２１でのアラートの表示に基づき、異常が発生した１系ユニット１１７又は電子連動装置１０自体の交換や補修等の対処が行われる。

また、比較器／状態表示１０７は、２系ユニット２１７の比較器／状態表示２０７、３系ユニット３１７の比較器／状態表示３０７と相互接続されることで、異常発生時の１系ユニット１１７の発振器１０１、２系ユニット２１７の発振器２０１、３系ユニット３１７の発振器３０１の状態の相互監視を行う。また、比較器／状態表示１０７は、異常発生時のクロック信号切替スイッチ１１５の切替制御を行う。２系ユニット２１７及び３系ユニット３１７でも同様である。

（３）クロック信号切替スイッチの切替制御
次に、１系ユニット１１７のクロック信号切替スイッチ１１５、２系ユニット２１７のクロック信号切替スイッチ２１５、３系ユニット３１７のクロック信号切替スイッチ３１５の切替制御について、図２～図５を参照して説明する。図２～図５は、実施形態の電子連動装置の状態及び動作を説明するための図である。これらの切替スイッチの状態は、発振器１０１、２０１、３０１の異常状態によって、下記（ａ）～（ｄ）４つのケースが考えられる。下記以外のケースは２重故障（２つ以上の異常）と考えられることから、異常検出の対象外とする。

（ａ）全系発振器正常
（ｂ）１系発振器異常
（ｃ）２系発振器異常
（ｄ）３系発振器異常

（ａ）全系発振器正常の状態について
１系ユニット１１７の発振器１０１、２系ユニット２１７の発振器２０１、３系ユニット３１７の発振器３０１が全て正常である場合、１系ユニット１１７で計測する１系計測器１０３、２系計測器１０４、３系計測器１０５の計測結果が全て同一になる。同様に、２系ユニット２１７で計測する１系計測器２０３、２系計測器２０４、３系計測器２０５の計測結果も全て同一になり、更に３系ユニット３１７で計測する１系計測器３０３、２系計測器３０４、３系計測器３０５の計測結果が全て同一になる。よって、１系のクロック信号切替スイッチ１１５、２系のクロック信号切替スイッチ２１５、３系のクロック信号切替スイッチ３１５は図２のような状態となる。図２では、矢印Ａ１～Ａ３の経路で、発振器１０１からＣＰＵ１０６に、発振器２０１からＣＰＵ２０６に、発振器３０１からＣＰＵ３０６にクロックが供給される状態を示す。

（ｂ）１系発振器異常の状態について
１系ユニット１１７の発振器１０１が異常となる場合、１系ユニット１１７内の比較器／状態表示１０７で判定する計測結果として、２系計測器１０４の計測結果と３系計測器１０５の計測結果は同一になるが、１系計測器１０３の計測結果とは異なる事になる。よって、比較器／状態表示１０７では、１系ユニット１１７の発振器１０１（自系）が異常であると判定し、配線１１３を介して、ＣＰＵ１０６への異常報告及び配線１１４を介してクロック信号切替スイッチ１１５の切替制御が行われる。このクロック信号切替スイッチ１１５の切替制御は、例えば、クロック信号切替スイッチ１１５の端子１Ｓ２と共通端子１Ｓ０とを接続し、２系ユニット２１７の発振器２０１のクロックが、１系ユニット１１７のＣＰＵ１０６に供給されるようにするものである。

一方、２系ユニット２１７では、１系計測器２０３の計測結果、２系計測器２０４の計測結果、３系計測器２０５の計測結果は１系ユニット１１７と同一結果になる。よって、比較器／状態表示２０７では、１系ユニット１１７の発振器１０１が異常であると判断するが、自系発振器ではないためＣＰＵ２０６への異常報告及びクロック信号切替スイッチ２１５の切替制御は行われない。比較器／状態表示２０７では、３重系相互接続により１系ユニット１１７から異常であることが報告される。３系ユニット３１７でも同様に、１系計測器３０３の計測結果、２系計測器３０４の計測結果、３系計測器３０５の計測結果は１系ユニット１１７と同一結果になる。よって、比較器／状態表示３０７では、１系ユニット１１７の発振器１０１が異常であると判断するが、自系発振器ではないためＣＰＵ３０６への異常報告及びクロック信号切替スイッチ３１５の切替制御は行われない。比較器／状態表示３０７では、３重系相互接続により１系ユニット１１７から異常であることが報告される。これらの状態は図３の状態になる。図３では、矢印Ｂ１～Ｂ３の経路で、発振器２０１からＣＰＵ１０６及び２０６に、発振器３０１からＣＰＵ３０６にクロックが供給される状態を示す。

（ｃ）２系発振器異常の状態について
２系ユニット２１７の発振器２０１が異常となる場合、２系ユニット２１７内の比較器／状態表示２０７で判定する計測結果として、１系計測器２０３の計測結果と３系計測器２０５の計測結果は同一になるが、２系計測器２０４の計測結果とは異なる事になる。よって、比較器／状態表示２０７では、２系ユニット２１７の発振器２０１（自系）が異常であると判断し、配線２１３を介して、ＣＰＵ２０６への異常報告及び配線２１４を介してクロック信号切替スイッチ２１５の切替制御を行う。このクロック信号切替スイッチ２１５の切替制御は、例えば、クロック信号切替スイッチ２１５の端子２Ｓ３と共通端子２Ｓ０とを接続し、３系ユニット３１７の発振器３０１のクロックが、２系ユニット２１７のＣＰＵ２０６に供給されるようにするものである。

一方、１系ユニット１１７では、１系計測器１０３の計測結果、２系計測器１０４の計測結果、３系計測器１０５の計測結果は２系ユニット２１７と同一結果になる。よって、比較器／状態表示１０７では、２系ユニット２１７の発振器２０１が異常であると判断するが、自系発振器ではないためＣＰＵ１０６への異常報告及びクロック信号切替スイッチ１１５の切替制御は行われない。比較器／状態表示１０７では、３重系相互接続により２系ユニット２１７から異常であることが報告される。３系ユニット３１７でも同様に、１系計測器１０３の計測結果、２系計測器１０４の計測結果、３系計測器１０５の計測結果は２系ユニット２１７と同一結果になる。よって、比較器／状態表示３０７では、２系ユニット２１７の発振器２０１が異常であると判断するが、自系発振器ではないためＣＰＵ３０６への異常報告及びクロック信号切替スイッチ３１５の切替制御は行われない。比較器／状態表示３０７では、３重系相互接続により２系ユニット２１７から異常であることが報告される。これらの状態は図４の状態になる。図４では、矢印Ｃ１～Ｃ３の経路で、発振器１０１からＣＰＵ１０６に、発振器３０１からＣＰＵ２０６及び３０６にクロックが供給される状態を示す。

（ｄ）３系発振器異常の状態について
３系の発振器３０１が異常となる場合、３系ユニット３１７内の比較器／状態表示３０７で判定する計測結果として、１系計測器３０３の計測結果と２系計測器３０４の計測結果は同一になるが、３系計測器３０５の計測結果とは異なる事になる。よって、比較器／状態表示３０７では、３系の発振器３０１（自系）が異常であると判断し、配線３１３を介して、ＣＰＵ３０６への異常報告及び配線３１４を介してクロック信号切替スイッチ３１５の切替制御が行われる。このクロック信号切替スイッチ３１５の切替制御は、例えば、クロック信号切替スイッチ３１５の端子３Ｓ１と共通端子３Ｓ０とを接続し、１系ユニット１１７の発振器１０１のクロックが、３系ユニット３１７のＣＰＵ３０６に供給されるようにするものである。

一方、１系ユニット１１７では、１系計測器１０３の計測結果、２系計測器１０４の計測結果、３系計測器１０５の計測結果は３系ユニット３１７と同一結果になる。よって、比較器／状態表示１０７では、３系の発振器３０１が異常であると判断するが、自系発振器ではないためＣＰＵ３０６への異常報告及びクロック信号切替スイッチ３１５の切替制御は行われない。比較器／状態表示１０７では、３重系相互接続により３系ユニット３１７から異常であることが報告される。２系ユニット２１７でも同様に、１系計測器２０３の計測結果、２系計測器２０４の計測結果、３系計測器２０５の計測結果は３系ユニット３１７と同一結果になる。よって、比較器／状態表示２０７では、発振器１０１が異常であると判断するが、自系発振器ではないためＣＰＵ３０６への異常報告及びクロック信号切替スイッチ３１５の切替制御は行われない。比較器／状態表示３０７では、３重系相互接続により３系ユニット３１７から異常であることが報告される。これらの状態は図５の状態になる。図５では、矢印Ｄ１～Ｄ３の経路で、発振器１０１からＣＰＵ１０６及び３０６に、発振器２０１からＣＰＵ２０６にクロックが供給される状態を示す。

（４）比較器／状態表示の処理
図６は、実施形態の比較器／状態表示で行う判定処理のフローチャートを示す図である。比較器／状態表示１０７、２０７、３０７は、図６に示す判定処理を、電子連動装置１０の起動後から常時又は定期的に実行する。

図６に示すように、まず、ステップＳ１１では、比較器／状態表示１０７は、１系計測器１０３、２系計測器１０４、３系計測器１０５の計測結果を取り込む。同様に、ステップＳ１１では、比較器／状態表示２０７は１系計測器２０３、２系計測器２０４、３系計測器２０５の計測結果を取り込む。同様に、ステップＳ１１では、比較器／状態表示３０７は、１系計測器３０３、２系計測器３０４、３系計測器３０５の計測結果を取り込む。

次に、ステップＳ１２では、比較器／状態表示１０７、２０７、３０７は、ステップＳ１１で取り込んだ各系の計測結果を比較する。

次に、ステップＳ１３では、比較器／状態表示１０７、２０７、３０７は、ステップＳ１２での比較結果が正常であるか否かを判定する。この判定では、２ ｏｕｔ ｏｆ ３の多数決論理で、３つの系のうち計測結果が一致する２つの系の発振器は正常と判定し、計測結果が一致しない１つの系の発振器が異常と特定する。

比較器／状態表示１０７、２０７、３０７は、ステップＳ１２での比較結果が正常である場合（ステップＳ１３：Ｙｅｓ）、ステップＳ１１へ処理を戻す。一方、比較器／状態表示１０７、２０７、３０７は、ステップＳ１２での比較結果が異常である場合（ステップＳ１３：Ｎｏ）、ステップＳ１４へ処理を移す。

次に、ステップＳ１４では、比較器／状態表示１０７、２０７、３０７は、ステップＳ１３で異常と判定した比較結果が１系ユニット１１７の発振器１０１の異常を示すか否かを判定する。比較器／状態表示１０７、２０７、３０７は、ステップＳ１３で異常と判定した比較結果が１系ユニット１１７の発振器１０１の異常を示す場合（ステップＳ１４：Ｙｅｓ）、ステップＳ１５へ処理を移す。一方、比較器／状態表示１０７、２０７、３０７は、ステップＳ１３で異常と判定した比較結果が２系ユニット２１７の発振器２０１又は３系ユニット３１７の発振器３０１の異常を示す場合（ステップＳ１４：Ｎｏ）、ステップＳ１８へ処理を移す。

以下、比較器／状態表示１０７は、自系発振器の異常であるためステップＳ１５～Ｓ１７の処理を行うが、比較器／状態表示２０７及び３０７は、他系発振器の異常であるためステップＳ１５～Ｓ１７の処理を行わない。ステップＳ１５では、比較器／状態表示１０７は、ＣＰＵ１０６に発振器１０１の異常報告を行う。この際、比較器／状態表示１０７は、比較器／状態表示２０７及び３０７に発振器１０１の異常報告を行うことで相互監視を行うと共に、上位装置２０に発振器１０１の異常を通知する。

そして、ステップＳ１６では、比較器／状態表示１０７は、クロック信号切替スイッチ１１５の端子１Ｓ２（あるいは１Ｓ３）と共通端子１Ｓ０とを接続する。そして、ステップＳ１７では、比較器／状態表示１０７は、電子連動装置１０に、機能を制限してシステム縮退動作を行わせる。電子連動装置１０は、縮退動作移行後、１系ユニット１１７、２系ユニット２１７、及び３系ユニット３１７で、制限されない機能の動作を継続する。このとき、電子連動装置１０は、２系ユニット２１７及び３系ユニット３１７で２重系構成の相互監視を継続してもよい。このようにすることにより、電子連動装置１０は、装置の信頼性が高まり、稼働時間の延長を図ることができる。

他方、ステップＳ１８では、比較器／状態表示１０７、２０７、３０７は、ステップＳ１３で異常と判定した比較結果が２系ユニット２１７の発振器２０１の異常を示すか否かを判定する。比較器／状態表示１０７、２０７、３０７は、ステップＳ１３で異常と判定した比較結果が２系ユニット２１７の発振器２０１の異常を示す場合（ステップＳ１８：Ｙｅｓ）、ステップＳ１９へ処理を移す。一方、比較器／状態表示１０７、２０７、３０７は、ステップＳ１３で異常と判定した比較結果が３系ユニット３１７の発振器３０１の異常を示す場合（ステップＳ１８：Ｎｏ）、ステップＳ２２へ処理を移す。

以下、比較器／状態表示２０７は、自系発振器の異常であるためステップＳ１９～Ｓ２１の処理を行うが、比較器／状態表示１０７及び３０７は、他系発振器の異常であるためステップＳ１９～Ｓ２１の処理を行わない。ステップＳ１９では、比較器／状態表示２０７は、ＣＰＵ２０６に発振器２０１の異常報告を行う。この際、比較器／状態表示２０７は、比較器／状態表示１０７及び３０７に発振器２０１の異常報告を行うことで相互監視を行うと共に、上位装置２０に発振器２０１の異常を通知する。

そして、ステップＳ２０では、比較器／状態表示２０７は、クロック信号切替スイッチ２１５の端子２Ｓ１（あるいは２Ｓ３）と共通端子２Ｓ０とを接続する。そして、ステップＳ２１では、比較器／状態表示２０７は、電子連動装置１０に、機能を制限してシステム縮退動作を行わせる。電子連動装置１０は、縮退動作移行後、１系ユニット１１７、２系ユニット２１７、及び３系ユニット３１７で、制限されない機能の動作を継続する。このとき、電子連動装置１０は、１系ユニット１１７及び３系ユニット３１７で２重系構成の相互監視を継続してもよい。

また他方で、比較器／状態表示３０７は、自系発振器の異常であるためステップＳ２２～Ｓ２４の処理を行うが、比較器／状態表示１０７及び２０７は、他系発振器の異常であるためステップＳ２２～Ｓ２４の処理を行わない。ステップＳ２２では、比較器／状態表示３０７は、ＣＰＵ３０６に発振器３０１の異常報告を行う。この際、比較器／状態表示３０７は、比較器／状態表示１０７及び２０７に発振器３０１の異常報告を行う相互監視を行うと共に、上位装置２０に発振器３０１の異常を通知する。

そして、ステップＳ２３では、比較器／状態表示３０７は、クロック信号切替スイッチ３１５の端子３Ｓ１（あるいは３Ｓ２）と共通端子３Ｓ０とを接続する。そして、ステップＳ２１では、比較器／状態表示３０７は、電子連動装置１０に、機能を制限してシステム縮退動作を行わせる。電子連動装置１０は、縮退動作移行後、１系ユニット１１７、２系ユニット２１７、及び３系ユニット３１７で、制限されない機能の動作を継続する。このとき、電子連動装置１０は、１系ユニット１１７及び２系ユニット２１７で２重系構成の相互監視を継続してもよい。

なお、図６は、比較器／状態表示１０７、２０７、３０７で行う判定処理の一例を示すに過ぎず、処理順序を入れ替えてもよい。例えば、ステップＳ１５～Ｓ１７は、処理順序を入れ替えてもよい。同様に、ステップＳ１９～Ｓ２１も処理順序を入れ替えてもよい。また、ステップＳ２２～Ｓ２４も処理順序を入れ替えてもよい。

（５）発振器劣化検知処理
図７～図９は、実施形態の劣化検知に関する動作を説明するための図である。１系ユニット１１７の、２系ユニット２１７、及び３系ユニット３１７の各計測器は、上述の発振器の異常検知とは別に、発振器の劣化状態を検知する機能を持つ。

以下、１系ユニット１１７を例に具体的に説明するが、２系ユニット２１７及び３系ユニット３１７も同様である。１系の逓倍回路１０２は、１系の発振器１０１の出力をｎ倍（ｎは所定整数）したサンプリング用クロックを生成する（図７～図９では４倍として説明）。１系計測器１０３は、サンプリング用クロックを基に１系の発振器１０１のクロック信号のＨ（Ｈｉｇｈ）レベル及びＬ（Ｌｏｗ）レベルをサンプリングしサンプリング数をチェックする。２系計測器１０４は、サンプリング用クロックを基に２系の発振器２０１のクロック信号のＨレベル及びＬレベルをサンプリングしサンプリング数をチェックする。３系計測器１０５は、サンプリング用クロックを基に３系の発振器３０１のクロック信号のＨレベル及びＬレベルをサンプリングしサンプリング数をチェックする。

図７は、発振器の出力が正常なケースを示しており、Ｈレベル（４サンプリング）及びＬレベル（４サンプリング）の周期が共に同一サンプリング数で正常に発振していることを示している。一方、図８は発振器のＨレベルの周期が長く、Ｌレベルの周期が短くなったケースを示す。正常時、Ｈレベル及びＬレベル共に４サンプリングであるが、図８では、Ｈレベルが６サンプリングを示し、次のＬレベルで２サンプリングを示している。このように、発振器の出力の周期に変化が発生したことから、劣化とすることができる。図９は、Ｈレベルが２サンプリングを示し、次のＬレベルで６サンプリングを示し、発振器の出力の周期に変化が発生したことから、劣化とすることができる。

ここで、経年劣化により発振器のＨレベル及びＬレベルに変動が生じても、その変動がある程度の範囲内であれば、発振器から供給されるクロックで動作する装置が誤動作を起こすことはない。従って、発振器の出力のＨレベル及びＬレベルの周期変化の判定基準に範囲を持たせることで、直ちに劣化と判定せずに動作を継続させることが可能になる。図１０は、実施形態の劣化検知の判定基準範囲を説明するための図である。

比較器／状態表示１０７は、図１０に示すように、正常値の前後に所定マージンを持たせた判定基準範囲を設定し、１系計測器１０３、２系計測器１０４、３系計測器１０５の計測結果が判定基準範囲内にあるか否かに基づいて１系の発振器１０１、２系の発振器２０１、３系の発振器３０１に劣化が発生しているか否かを判定する。本実施形態の場合、この判定基準範囲は、正常値を中心として前後に当該正常値の２５［％］値の範囲を判定基準範囲として設定する。例えば正常値が「４」の場合、正常値の前後にそれぞれ「１」ずつマージンを持たせた「３～５」が判定基準範囲となる。そして、比較器／状態表示１０７は、計測結果が上述の判定基準範囲外となる単位時間当たりの頻度が頻度閾値を超えた発振器に劣化が発生していると判定する。

各計測器内部ではこれらのサンプリング数を常時監視するような構成とすることで、発振器の異常検知は当然ながら、発振器の劣化を検知することも可能となる。これにより、発振器故障前に対策を検討することも可能になる。また、監視したサンプリング数を蓄積しておき、統計分析等に供するようにしてもよい。このデータは、異常発生時には、異常発生前後のサンプリング数を比較するなど調査データとしての役割も果たせる有効なデータとなる。

さらに、劣化と判定された回数が所定回数（もしくは単位時間当たりの所定回数）を超えた発振器がある場合、発振器に異常が生じている場合と同様に、上位装置２０に通知し、この発振器をユニットから切り離して他系の発振器からクロック供給を受けるとしてもよい。

なお、本実施形態では、１系ユニット１１７、２系ユニット２１７、３系ユニット３１７の何れも逓倍回路、１系計測器、２系計測器、３系計測器、ＣＰＵを備える構成としたが、何れかのユニットでこれらが省略されていてもよい。

このように、本実施形態によれば、電子連動装置１０の３重系構成された何れかの発振器１０１、２０１、３０１の異常又は重度の劣化が発生した場合に、この発振器を特定し、この発振器をユニットから切り離して他系の発振器からクロック供給を受けると共に、上位装置２０に通知する。よって、電子連動装置１０の稼動時間の延長を可能にすると共に、故障修理等の迅速な対応を可能とし、装置又はシステム全体の信頼性をより高めることができる。

なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例を含む。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態もしくは変形例の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１０・・・電子連動装置、２０・・・上位装置、２１・・・表示部、３０・・・現場機器、１０１、２０１、３０１・・・発振器、１０２、２０２、３０２・・・逓倍回路、１０３、２０３、３０３・・・１系計測器、１０４、２０４、３０４・・・２系計測器、１０５、２０５、３０５・・・３系計測器、１０６、２０６、３０６・・・ＣＰＵ１０６、１０７、２０７、３０７・・・比較器／状態表示、１１５、２１５、３１５・・・クロック信号切替スイッチ、１１７・・・１系ユニット、２１７・・・２系ユニット、３１７・・・３系ユニット

Claims (10)

1. 現場機器を制御する電子連動装置において、
   １つの自系発振器と、前記自系発振器の出力を計測する自系計測器と、２系統の他系発振器の各出力を計測する他系計測器と、前記自系発振器から供給されたクロック信号を逓倍したサンプリング用クロックを生成する逓倍回路と、比較器と、前記自系発振器からクロック信号を供給される処理部とを含んだ同一構成の３系統の処理ユニットを３重系構成として備え、
   前記自系計測器は、前記サンプリング用クロックを基に前記自系発振器の出力周期を計測し、
   前記他系計測器は、前記サンプリング用クロックを基に前記他系発振器の出力周期を計測し、
   前記比較器は、
   前記自系計測器及び前記他系計測器の３つの計測結果のうちで一致する２つの計測結果と異なる１つの計測結果が計測された場合に、該１つの計測結果が計測された発振器に突発故障に起因する異常があると判定し、
   前記自系計測器及び前記他系計測器の前記出力周期の計測結果と、前記出力周期の正常値とに基づいて、前記自系発振器及び前記他系発振器の劣化の有無を判定することを特徴とする電子連動装置。
2. 前記比較器は、
   異常であると特定した発振器が前記自系発振器である場合に、他系統の前記処理ユニットに前記自系発振器の異常を通知することで、他系統の前記処理ユニットとの間で相互監視を行うことを特徴とする請求項１に記載の電子連動装置。
3. 異常であると特定された発振器以外の発振器を含む２つの前記処理ユニットで相互監視を行って前記現場機器の制御を継続することを特徴とする請求項２に記載の電子連動装置。
4. 前記自系発振器及び前記他系発振器に異常があると判定された場合に、縮退を行うことを特徴とする請求項１～３の何れか１項に記載の電子連動装置。
5. 前記自系発振器及び前記他系発振器に異常があると判定された場合に、上位装置に異常発生を通知して表示部に表示させることを特徴とする請求項１～４の何れか１項に記載の電子連動装置。
6. 前記処理ユニットは、前記処理部に供給されるクロック信号を切替える切替スイッチをさらに含み、
   前記比較器は、
   異常であると特定した発振器が前記自系発振器である場合に、前記自系発振器を切り離し、前記処理部に前記他系発振器からクロック信号が供給されるように前記切替スイッチを切替えることを特徴とする請求項１～５の何れか１項に記載の電子連動装置。
7. 前記比較器は、
   前記自系計測器及び前記他系計測器の前記出力周期の計測結果と、前記正常値に所定マージンを持たせた判定基準範囲とに基づいて、前記自系発振器及び前記他系発振器の劣化の有無を判定することを特徴とする請求項１に記載の電子連動装置。
8. 前記自系計測器及び前記他系計測器の前記出力周期の計測結果、又は、前記自系発振器及び前記他系発振器の劣化の有無の判定結果を蓄積することを特徴とする請求項１又は７に記載の電子連動装置。
9. 現場機器を制御する電子連動システムにおいて、
   １つの自系発振器と、前記自系発振器の出力を計測する自系計測器と、２系統の他系発振器の各出力を計測する他系計測器と、前記自系発振器から供給されたクロック信号を逓倍したサンプリング用クロックを生成する逓倍回路と、比較器と、前記自系発振器からクロック信号を供給される処理部とを含んだ同一構成の３系統の処理ユニットを、これらが通信可能に通信ケーブルを介して接続された３重系構成として備え、
   前記自系計測器は、前記サンプリング用クロックを基に前記自系発振器の出力周期を計測し、
   前記他系計測器は、前記サンプリング用クロックを基に前記他系発振器の出力周期を計測し、
   前記比較器は、
   前記自系計測器及び前記他系計測器の３つの計測結果の比較結果うちで一致する２つの計測結果と異なる１つの計測結果が計測された場合に、該１つの計測結果が計測された発振器に突発故障に起因する異常があると判定し、
   前記自系計測器及び前記他系計測器の前記出力周期の計測結果と、前記出力周期の正常値とに基づいて、前記自系発振器及び前記他系発振器の劣化の有無を判定することを特徴とする電子連動システム。
10. 現場機器を制御する電子連動装置における異常検知方法において、
    前記電子連動装置は、
    １つの自系発振器と、前記自系発振器の出力を計測する自系計測器と、２系統の他系発振器の各出力を計測する他系計測器と、前記自系発振器から供給されたクロック信号を逓倍したサンプリング用クロックを生成する逓倍回路と、比較器と、前記自系発振器からクロック信号を供給される処理部とを含んだ同一構成の３系統の処理ユニットを３重系構成として備え、
    前記自系計測器が、前記サンプリング用クロックを基に前記自系発振器の出力周期を計測し、
    前記他系計測器が、前記サンプリング用クロックを基に前記他系発振器の出力周期を計測し、
    前記比較器が、
    前記自系計測器及び前記他系計測器の３つの計測結果のうちで一致する２つの計測結果と異なる１つの計測結果が計測された場合に、該１つの計測結果が計測された発振器に突発故障に起因する異常があると判定し、
    前記自系計測器及び前記他系計測器の前記出力周期の計測結果と、前記出力周期の正常値とに基づいて、前記自系発振器及び前記他系発振器の劣化の有無を判定することを特徴とする異常検知方法。

Images