JP7313845B2 - 鉄道制御システム - Google Patents

Description

本発明は、通信ネットワークを介して列車の運行を制御する多重系方式の鉄道制御システムに関する。

列車の運行制御を行う鉄道制御システムの一つとして、例えば電子連動装置が知られている。電子連動装置は、連動図表データに従って、信号機及び転てつ機などの現場装置を制御し、列車運行の安全性を確保している。このような電子連動装置で故障が発生すると列車が運行できなくなるので、通常、電子連動装置は多重系方式とされる。

例えば特許文献１には、使用系及び待機系の二重系により構成され、両系を常時動作させて、使用系の故障時に待機系への切り替えを行う電子連動装置が開示されている。この二重系方式の電子連動装置は、両系の動作状態を受け取って系の切り替えを行うリレー結線方式の論理回路を持つ共通部を備え、この共通部を介して使用系及び待機系がメタル回線で接続されている。

特許第３２０８０６０号公報

上記のような従来の電子連動装置については、二重系を構成する使用系及び待機系を距離の離れた場所（例えば、別々の駅など）に設置することが困難であった。即ち、両系を別々の駅などに設置しようとすると、使用系及び待機系と共通部との間を接続するメタル回線の全長が長くなる。このような長いメタル回線を伝送される信号は外来ノイズの影響を受け易くなるため、系の切り替えに誤動作が生じてしまう可能性がある。このため、従来の電子連動装置では、使用系、待機系及び共通部を同じ駅の機器室に設置する必要があった。

このように使用系、待機系及び共通部が同じ機器室に設置された場合、この機器室が火災や水害などの災害に遭うと、当該電子連動装置を含む連動制御システムを維持できなくなるという課題があった。また、１か所の拠点駅に集約された電子連動装置によって複数の駅に関連する連動論理を一括して処理する集約型若しくは集中型連動制御システムの場合には、災害によるシステム障害の影響が線区全体に亘る可能性もあり、そのような状況を回避可能なシステム構成の実現が求められている。

なお、このような課題は上記電子連動装置を含む連動制御システムに限られるものではなく、列車運行の安全性を確保するために多重系方式を採用する様々な鉄道制御システムに共通する課題である。

本発明は上記の点に着目してなされたもので、システム障害の発生を回避して列車の運行制御を確実に行うことができる多重系方式の鉄道制御システムを提供することを目的とする。

上記の目的を達成するため、本発明に係る鉄道制御システムの一態様は、通信ネットワークを介して列車の運行制御が可能な複数の処理部を有し、前記複数の処理部は、異なる駅にそれぞれが配置されており、前記通信ネットワークを介して送受信される互いの情報をそれぞれが保有し、その保有情報に基づいて自身の正常判断をそれぞれが行い、自身が主系で動作するか従系で動作するかを決定する。

上記鉄道制御システムによれば、多重系を構成する複数の処理部のそれぞれが自身の正常判断と主従決定とを独自に行うようになるため、従来のようなリレー結線方式の共通部が不要になり各処理部を異なる駅に設置できるようになる。これにより、複数の処理部のうちの１つが災害により動作できなくなっても、そこから離れた駅にある他の処理部が主系として動作することが可能であり、災害によるシステム障害の発生を回避して列車の運行制御を確実に行うことができる。

本発明の一実施形態に係る鉄道制御システムの概略構成を示すブロック図である。 上記実施形態における処理部のハードウェア構成の一例を示すブロック図である。 上記実施形態における処理部の機能ブロック図である。 上記実施形態における制御信号のフォーマットの一例を示す図である。 上記実施形態における同期信号に代わる別の方法を例示した概略図である。 上記実施形態における電子連動装置の立ち上げ時の処理動作の一例を示すフローチャートである。 従系動作ための処理の一例を示すフローチャートである。 上記実施形態における電子連動装置の運転時の処理の一例を示すフローチャートである。 上記実施形態において主系処理部に通信路故障が発生した場合の主従切り替え動作を説明するための図である。

以下、本発明の実施の形態について添付図面を参照しながら詳細に説明する。
図１は、本発明の一実施形態に係る鉄道制御システムの概略構成を示すブロック図である。
図１において、本実施形態の鉄道制御システム１００は、通信ネットワーク１に接続された複数（ここでは２つ）の処理部１１－１，１１－２を有する電子連動装置１０と、通信ネットワーク１に接続された複数（ここではｎ個）の電子機器２０－１，２０－２，…，２０－ｎと、電子機器２０－１に接続された現場機器３０と、を含む。

電子連動装置１０は、通信ネットワーク１を介して電子機器２０－１～２０－ｎ及び現場機器３０を連動制御することにより列車の運行を制御する。この電子連動装置１０は、同一の構成を有する処理部１１－１，１１－２により二重系を構成しており、処理部１１－１，１１－２のそれぞれが異なる駅に配置されている。具体的には、処理部１１－１がＡ駅の機器室に設置され、そのＡ駅とは距離の離れたＢ駅の機器室に処理部１１－２が設置されている。

上記処理部１１－１，１１－２は、電子連動装置１０の運転時に、一方の処理部が主系で動作し、他方の処理部が従系で動作する。前述した従来の電子連動装置における使用系及び待機系は、本実施形態の電子連動装置１０における主系及び従系にそれぞれ相当する。主系として動作する処理部（主系処理部）は、電子機器２０－１～２０－ｎ及び現場機器３０の連動制御における処理のタイミングを一致させるための基準となる同期信号Ｓｓと、該連動制御を実行するための制御信号Ｓｃ１（又はＳｃ２）とを生成して通信ネットワーク１に送信する。一方、従系として動作する処理部（従系処理部）は、主系処理部から送信され通信ネットワーク１を介して受信される同期信号Ｓｓに同期して、上記連動制御を実行するための制御信号Ｓｃ２（又はＳｃ１）を生成して通信ネットワーク１に送信する。なお、主従の決定方法や、連動制御における同期信号Ｓｓ及び制御信号Ｓｃ１，Ｓｃ２の詳細については後述する。

電子機器２０－１～２０－ｎは、電子連動装置１０による通信ネットワーク１を介した連動制御の対象となるものである。ここでは、電子機器２０－１～２０－ｎのうちの電子機器２０－１について複数の現場機器３０が接続されている。現場機器３０は、例えば、信号機、転てつ機、踏切、軌道回路などの機器である。本実施形態の電子機器２０－１～２０－ｎ及び複数の現場機器３０は、本発明における「機器群」に相当する。

電子機器２０－１は、電子連動装置１０から通信ネットワーク１を介して受信される同期信号Ｓｓ及び制御信号Ｓｃ１，Ｓｃ２に従って各現場機器３０の動作を制御する。また、電子機器２０－１は、管理下にある各現場機器３０が現在どのような状態にあるかを把握し、各々の状態情報を示す状態信号Ｃ１を生成して、所定の周期で通信ネットワーク１に送信する。これと同様に、他の電子機器２０－２～２０－ｎは、電子連動装置１０からの同期信号Ｓｓ及び制御信号Ｓｃ１，Ｓｃ２に従って各々の動作が制御されると共に、それぞれの現在の状態情報を示す状態信号Ｃ２～Ｃｎを所定の周期で通信ネットワーク１に送信する。なお、ここでは電子機器２０－１にのみ現場機器３０が接続される一例を示したが、現場機器の接続された電子機器が通信ネットワーク１上に複数存在していても構わない。

通信ネットワーク１は、電子連動装置１０の各処理部１１－１，１１－２及び電子機器２０－１～２０－ｎのそれぞれの間で情報や信号を双方向に伝送可能な周知の通信手段を利用することが可能である。本実施形態の鉄道制御システム１００では、例えばマルチキャスト方式の通信により、各処理部１１－１，１１－２及び電子機器２０－１～２０－ｎのそれぞれが随時データを遣り取りすることが可能である。

図２は、電子連動装置１０の処理部１１－１のハードウェア構成の一例を示すブロック図である。なお、処理部１１－２については、処理部１１－１と同じハードウェア構成であるため説明を省略する。
図２において、処理部１１－１は、プロセッサ４１と、メモリ４２と、記憶装置４３と、通信装置４４と、入出力装置４５と、を備える。

プロセッサ４１は、ＣＰＵ（Central Processing Unit）及びキャッシュメモリなどを内蔵し、記憶装置４３に格納された各種プログラムを実行する。
メモリ４２は、例えばＲＡＭ（Random Access Memory）等であり、プロセッサ４１で実行されるプログラムがロードされると共に、プロセッサ４１の処理に用いるデータが格納される。

記憶装置４３は、例えばＨＤＤ（Hard Disk Drive）やフラッシュメモリ等であり、主従決定プログラム及び連動処理プログラム、並びに、連動処理の際に参照する連動図表データ、後述する同時立ち上げ状態において主従を決定する際に参照する優先系データなどが格納されている。主従決定プログラムには、立ち上げ時における自身の処理部の動作モード（主系又は従系）の決定と、立ち上げ後の運転時における動作モードの切り替えとに関する処理のアルゴリズムが記述されている。また、連動処理プログラムには、主従決定プログラムの処理と連携して主系及び従系の各動作モードに対応した連動制御を実現するためのアルゴリズムが記述されている。

通信装置４４は、プロセッサ４１での演算処理により生成される各種信号を通信ネットワーク１に送信すると共に、他の処理部１１－２及び各電子機器２０－１～２０－ｎから通信ネットワーク１に送信された各種信号を受信してプロセッサ４１に伝える。
入出力装置４５は、例えばキーボードやディスプレイ等であり、運用者による動作命令や各種設定値などを受け付けると共に、プロセッサ４１による演算処理の結果を出力する。
上記処理部１１－１の各構成要素は、バス４６で接続されている。

図３は、処理部１１－１が備える機能をブロック化して例示した機能ブロック図である。なお、処理部１１－２の機能ブロックも処理部１１－１と同様であるため説明を省略する。
図３において、処理部１１－１は、その機能ブロックとして、信号監視部５１と、正常判断部５２と、主従決定部５３と、故障情報出力部５４と、同期信号生成部５５と、制御信号生成部５６と、を含む。

信号監視部５１は、他の処理部１１－２及び電子機器２０－１～２０－ｎから送信され通信ネットワーク１を介して受信される信号を監視する。この信号監視部５１は、信号の受信の有無、及び受信信号の有効／無効に関する履歴をｎ周期分（但し、ｎは２以上の整数とする）記憶することが可能である。信号監視部５１の監視結果は、正常判断部５２及び制御信号生成部５６にそれぞれ伝えられる。

正常判断部５２は、信号監視部５１の監視結果に基づいて、自身の処理部１１－１が正常に動作しているか否かを判断すると共に、他の処理部１１－２が主系として動作（自身は従系として動作）している場合に、その主系処理部が正常に動作しているか否かを判断する。この正常判断部５２の判断結果は、主従決定部５３及び故障情報出力部５４にそれぞれ伝えられる。

上記正常判断部５２における自身の処理部１１－１の正常判断は、例えば、信号監視部５１で監視される電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎの有無に応じて、自身の通信路が正常な状態にあるか否かを判断する。ここで自身の通信路とは、処理部１１－１と通信ネットワーク１との間を繋ぐ部分の通信路である。当該通信路において、例えば通信ケーブルの断線やコネクタの接続不良などの故障が発生すると、通信ネットワーク１からの信号が処理部１１－１で一切受信できなくなる。電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎは、前述したように所定の周期で繰り返し送信されるので、状態信号Ｃ１～Ｃｎのいずれかを受信できるか否かを監視すれば、自身の通信路が正常な状態にあるか故障が発生しているかを判断することができる。なお、正常判断部５２は、自身の通信路以外にも、例えばプロセッサ４１やメモリ４２、通信装置４４等のハードウェアの自己診断機能を利用して、演算処理自体に問題が生じているかを判断するようにしてもよい。

また、上記正常判断部５２における主系で動作する他の処理部の正常判断は、例えば、信号監視部５１で監視される電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎは受信できるが、他の処理部１１－２（主系）からの信号の一部若しくは全部が受信できない、或いは、主系からの信号が後述する故障情報Ｆを含んでいると、主系での故障発生を判断する。なお、本実施形態における正常判断部５２は、本発明における「第１判断部」及び「第２判断部」としての機能を備えている。

主従決定部５３は、正常判断部５２の判断結果に基づいて、自身の処理部１１－１が主系として動作するか従系として動作するかを決定し、その決定結果を同期信号生成部５５及び制御信号生成部５６にそれぞれ伝える。この主従決定部５３による具体的な処理の内容については、電子連動装置１０の立ち上げ時と立ち上げ後の運転時とに場合分けして、後でフローチャートを参照しながら詳しく説明する。

故障情報出力部５４は、正常判断部５２において自身の処理部１１－１（自系）の故障が判断されると、自系が故障状態にあることを示す故障情報Ｆを生成し、その故障情報Ｆを通信ネットワーク１に送信すると同時に制御信号生成部５６にも伝える。通信ネットワーク１に故障情報Ｆを送信する方法としては、例えば、自身が送信する制御信号Ｓｃ１とは別の信号に故障情報Ｆを乗せて送信する、制御信号Ｓｃ１に故障を示すフラグを立てて送信する、又は信号を送信しないことをもって故障状態を外部に知らせるなどの方法がある。

同期信号生成部５５は、主従決定部５３で自身の処理部１１－１が主系として動作することが決定されると同期信号Ｓｓを生成する。この同期信号Ｓｓは、連動制御における処理のタイミングを一致させるための基準、具体的には、二重系を構成する処理部１１－１，１１－２のそれぞれが演算処理を開始するタイミングを一致させるための基準となる信号である。同期信号生成部５５は、生成した同期信号Ｓｓを所定の周期で通信ネットワーク１に送信する。これにより、通信ネットワーク１上のすべての機器は、同期信号Ｓｓの受信をトリガーとして自身の処理を開始し、そのタイミングを基準にして周期的に動作する。

制御信号生成部５６は、主従決定部５３で自身の処理部１１－１が主系として動作することが決定されると、同期信号生成部５５で生成される同期信号Ｓｓのタイミングに合わせて、信号監視部５１で監視される電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎを入力データとして採用する一方、主従決定部５３で自身の処理部１１－１が従系として動作することが決定されると、信号監視部５１で監視される他の処理部１１－２（主系）からの同期信号Ｓｓのタイミングに合わせて、信号監視部５１で監視される電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎを入力データとして採用する。そして、制御信号生成部５６は、採用した状態信号Ｃ１～Ｃｎの内容に応じて、連動制御を実行するための制御信号Ｓｃ１を生成し、該制御信号Ｓｃ１を所定の周期で通信ネットワーク１に送信する。この制御信号Ｓｃ１には、無効フラグを設定することができる。無効フラグが立てられた制御信号Ｓｃ１は、連動制御の対象となる電子機器２０－１～２０－ｎ及び現場機器３０の動作の制御には使われずに破棄されるものとする。

上記制御信号Ｓｃ１のフォーマットの一例を図４に示す。この制御信号Ｓｃ１は、通信プロトコルとしてＵＤＰ／ＩＰプロトコルを基本としたＤＩＸ仕様のフレームフォーマットを有している。このようなフォーマットでは、制御対象となる電子機器２０－１～２０－ｎ又は現場機器３０を特定する情報が宛先ＭＡＣアドレスに示され、当該処理部１１－１を特定する情報が送信元ＭＡＣアドレスに示され、連動制御の具体的な内容がユーザーデータに示されることになる。無効フラグについては、ユーザーデータ内の特定の領域を利用して示すことが可能である。なお、制御信号等の送受信に用いる通信方式、制御信号等のフォーマットは上記の一例に限定されない。

前述したマルチキャスト方式の通信では、各処理部１１－１，１１－２が演算処理を開始するタイミングが異なると、それぞれが演算の入力データとして採用する情報（電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎ）が相違し、各々の制御信号生成部５６で生成される制御信号Ｓｃ１，Ｓｃ２の内容が異なってしまう可能性がある。このような制御信号Ｓｃ１，Ｓｃ２の不一致を回避して整合性を取るために、各処理部１１－１，１１－２の制御信号生成部５６は同期信号Ｓｓのタイミングに合わせて状態信号Ｃ１～Ｃｎを採用している。

また、制御信号生成部５６は、故障情報出力部５４から故障情報Ｆが伝えられると、生成した制御信号Ｓｃ１の通信ネットワーク１への送信を中止するか、又は制御信号Ｓｃ１に無効フラグを立てて連動制御に採用されないようにする。さらに、制御信号生成部５６は、処理部１１－１の立ち上げ時などにおいて、電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎを収集できていな場合にも、無効フラグを立てた暫定的な制御信号Ｓｃ１を生成し、該制御信号Ｓｃ１を周期的に通信ネットワーク１へ送信する。

なお、ここでは連動制御を実行するための制御信号Ｓｃ１とは別に、処理のタイミングを一致させるための同期信号Ｓｓを生成して通信ネットワーク１に送信する一例を示したが、これ以外にも、例えば、制御信号Ｓｃ１のヘッダーに処理のタイミングをとるためのフラグを立てるなどして、制御信号Ｓｃ１に同期信号Ｓｓとしての役割を持たせるようにしてもよい。

また、同期信号Ｓｓに代わる別の方法として、例えば図５の概略図に示すように、状態信号や制御信号を載せるフレームが、主系処理部を起点として従系処理部及び電子機器２０－１～２０－ｎを一巡するように通信ネットワーク１上を周回し、主系処理部、従系処理部及び各電子機器２０－１～２０－ｎのそれぞれが、上記フレームの特定の領域Ａ１，Ａ２，Ａ３…に対してデータの読み書きを行うようにしてもよい。このような方法でも、主系処理部及び従系処理部のそれぞれが採用する各電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎが同じになるので、主系処理部及び従系処理部のそれぞれで生成される制御信号の整合性を取ることができる。

次に、電子連動装置１０の立ち上げ時に各処理部１１－１，１１－２で実行される主従決定のための処理動作の一例について、図６のフローチャートを参照しながら具体的に説明する。

電子連動装置１０の二重系を構成する処理部１１－１，１１－２のうちの一方の電源がオンされると、当該処理部のプロセッサ４１は、記憶装置４３に格納された主従決定プログラム及び連動処理プログラムを実行する。なお、これらのプログラムに従い電子連動装置１０の立ち上げが完了するためには、通信ネットワーク１に接続された少なくとも１つの機器が動作していることが必要である。

図６のフローチャートにおける最初のステップＳ１０において、プロセッサ４１は、立ち上げ直後の処理として、自身の処理部（自系）で生成する制御信号Ｓｃに無効フラグを立てる処理を行う。なお、符号Ｓｃは、処理部１１－１で生成される制御信号Ｓｃ１及び処理部１１－２で生成される制御信号Ｓｃ２のいずれかを示すものとする。この無効フラグを立てる処理は、立ち上げ直後の段階では電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎが収集できていないため、暫定的に生成する制御信号Ｓｃが実際の連動制御に用いられないようにするための措置である。無効化された制御信号Ｓｃは所定の周期で通信ネットワーク１に送信される。

続くステップＳ２０でプロセッサ４１は、通信ネットワーク１を介して受信される信号を監視し、電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎのいずれかを受信したか否かを判定する。状態信号を受信した場合には（Ｙｅｓ）、自身の通信路が正常な状態にあることを判断して、ステップＳ３０に進む。一方、状態信号を受信していない場合には（Ｎｏ）、状態信号の受信が判定されるまで待機する。状態信号が通信ネットワーク１上に送信される周期を超えて、状態信号を受信できない状況が続くときには、自身の通信路で断線等の故障が発生していると判断し、ステップＳ１０～ステップＳ２０を繰り返し続ける。

次に、ステップＳ３０でプロセッサ４１は、他方の処理部（他系）からの制御信号Ｓｃを受信したか否かを判定する。他系からの制御信号Ｓｃを受信しなかった場合（Ｎｏ）には、続くステップＳ４０で、他系の電源はオンされておらず、自系が他系よりも先に立ち上がった状態（以下、「先立ち上げ状態」とする）にあることを認識する。一方、他系からの制御信号Ｓｃを受信した場合には（Ｙｅｓ）、ステップＳ７０に移る。

先立ち上げ状態が認識されると、続くステップＳ５０でプロセッサ４１は、その先立ち上げ状態がｎ周期連続したか否かを判定する。この判定の基準となる周期数ｎは、先立ち上げ状態の認識をより確実にするために設定されるものであり、２以上の値を適宜設定することが可能である。先立ち上げ状態がｎ周期連続した場合には（Ｙｅｓ）ステップＳ６０に進み、ｎ周期連続しなかった場合には（Ｎｏ）前述したステップＳ１０に戻る。

ｎ周期連続して先立ち上げ状態にあることが確認されると、ステップＳ６０においてプロセッサ４１は、自身の処理部が主系として動作を開始することを決める。主系の具体的な動作としては、まず、同期信号Ｓｓを生成して通信ネットワーク１に送信すると共に、その同期信号Ｓｓのタイミングに合わせて、電子機器２０－１～２０－ｎからの最新の状態信号Ｃ１～Ｃｎを採用する。そして、それら最新の状態信号Ｃ１～Ｃｎの内容に応じて、記憶装置４３に格納された連動図表データを参照しながら制御信号Ｓｃを生成する。生成された制御信号Ｓｃは、無効フラグを立てることなく、即ち、有効な制御信号Ｓｃとして通信ネットワーク１に送信される。

前述したステップＳ３０で他系からの制御信号Ｓｃの受信が判定されると、ステップＳ７０においてプロセッサ４１は、受信した制御信号Ｓｃが有効なものであるか無効なものであるかを判定する。有効な制御信号Ｓｃを受信した場合には（Ｙｅｓ）、続くステップＳ８０で、他方の処理部が既に主系として動作しており、自系は他系よりも後に立ち上がった状態（以下、「後立ち上げ状態」とする）にあることを認識する。一方、無効な制御信号Ｓｃを受信した場合には（Ｎｏ）ステップＳ１１０に移る。

後立ち上げ状態が認識されると、ステップＳ９０でプロセッサ４１は、後立ち上げ状態がｎ周期連続したか否かを判定する。後立ち上げ状態がｎ周期連続した場合には（Ｙｅｓ）ステップＳ１００に進み、ｎ周期連続しなかった場合には（Ｎｏ）前述したステップＳ１０に戻る。

ｎ周期連続して後立ち上げ状態が確認されると、ステップＳ１００においてプロセッサ４１は、自身の処理部が従系として動作するための処理を実行する。図７は、従系動作ための処理の一例を示すフローチャートである。まず、プロセッサ４１は、図７のステップＳ１０１で自身の処理部が従系で動作することを確定する。続くステップＳ１０２では、主系として動作している他方の処理部からの同期信号Ｓｓを通信ネットワーク１経由で受信し、その同期信号Ｓｓのタイミングに合わせて、電子機器２０－１～２０－ｎからの最新の状態信号Ｃ１～Ｃｎを採用する。ステップＳ１０３では、それら最新の状態信号Ｃ１～Ｃｎの内容に応じて、記憶装置４３に格納された連動図表データを参照しながら制御信号Ｓｃを生成する。この制御信号Ｓｃには、現時点では無効フラグが立てられる。

続くステップＳ１０４でプロセッサ４１は、生成した制御信号Ｓｃを無効なまま通信ネットワーク１に送信する。次のステップＳ１０５において、プロセッサ４１は、生成した制御信号Ｓｃと、他方の処理部から通信ネットワーク１経由で受信した有効な制御信号Ｓｃとを比較し、各々の内容が一致しているか否かを判定する。一致していない場合には（Ｎｏ）、ステップＳ１０６で、制御信号Ｓｃの内容を一致させる処理を実行した後にステップＳ１０２に戻る。一致している場合には（Ｙｅｓ）ステップＳ１０７に進み、次の周期以降で生成する制御信号に無効フラグを立てないようにする。これにより、当該処理部は、従系処理部として動作を開始する。

前述した図６のステップＳ７０で無効な制御信号Ｓｃの受信が判定されると、ステップＳ１１０においてプロセッサ４１は、他系の電源はオンされているが主系又は従系の動作モードはまだ決まっておらず無効な制御信号Ｓｃが送信されている状態、即ち、自系及び他系がほぼ同時に立ち上がった状態（以下、「同時立ち上げ状態」とする）にあることを認識する。

同時立ち上げ状態における主従決定は、例えば、優先的に立ち上げる系（以下、「優先系」とする）を入出力装置４５で予め定めて記憶装置４３に格納しておき、自系が優先系に該当する場合には主系、該当しない場合には従系、とすることが可能である。これに従い、ステップＳ１２０においてプロセッサ４１は、記憶装置４３に格納された優先系データを参照して自系が優先系であるか否かの判定を行う。優先系である場合には（Ｙｅｓ）、続くステップＳ１３０に進み、優先系でない場合には（Ｎｏ）、ステップＳ１５０に移る。なお、ここでは記憶装置４３に格納された優先系データを参照して優先系を判定する一例を示したが、優先系に関する設定方法はこれに限らず、例えば、各処理部に物理スイッチをそれぞれ設けておき、該物理スイッチを利用して各処理部の優先度を設定、参照することも可能である。

ステップＳ１３０においてプロセッサ４１は、同時立ち上げ状態がｍ周期連続したか否かを判定する。この判定の基準となる周期数ｍは、前述のステップＳ５０等の判定で用いた周期数ｎよりも小さい値に設定されている（ｍ＜ｎ）。同時立ち上げ状態がｍ周期連続した場合には（Ｙｅｓ）ステップＳ１４０に進み、ｍ周期連続しなかった場合には（Ｎｏ）ステップＳ１０に戻る。

優先系に該当し且つｍ周期連続して同時立ち上げ状態が確認されると、ステップＳ１４０においてプロセッサ４１は、前述したステップＳ６０の処理と同様にして、自身の処理部が主系として動作を開始することを決める。

前述のステップＳ１２０で自系が優先系でないことが判定されると、ステップＳ１５０においてプロセッサ４１は、同時立ち上げ状態がｎ周期連続したか否かを判定する。同時立ち上げ状態がｎ周期連続した場合には（Ｙｅｓ）ステップＳ１６０に進み、ｎ周期連続しなかった場合には（Ｎｏ）ステップＳ１０に戻る。

優先系に該当せず且つｎ周期連続して同時立ち上げ状態が確認されると、ステップＳ１６０においてプロセッサ４１は、自身の処理部が従系として動作するための処理を実行する。なお、この時点で他系は主系処理部として動作を開始している。従系動作のための処理は、前述したステップＳ１００の処理と同様であり、図７に例示したフローチャートに従った処理が実行される。これにより、当該処理部は、従系処理部として動作を開始する。

上述したような電子連動装置１０の立ち上げ時における主従決定のための処理動作により、二重系を構成する処理部１１－１，１１－２のうちの一方が主系処理部として動作し、他方が従系処理部として動作して、電子連動装置１０による電子機器２０－１～２０－ｎ及び現場機器３０の連動制御が開始される。立ち上げ後の運転時、電子連動装置１０の主系処理部からは同期信号Ｓｓ及び有効な制御信号Ｓｃ１（又はＳｃ２）が通信ネットワーク１に送信され、従系処理部からは有効な制御信号Ｓｃ２（又はＳｃ１）が通信ネットワーク１に送信される。具体的な一例として上述の図１には、電子連動装置１０の処理部１１－１が主系処理部、処理部１１－２が従系処理部としてそれぞれ動作する場合に、通信ネットワーク１上を双方向に伝送される同期信号Ｓｓ、制御信号Ｓｃ１，Ｓｃ２、及び状態信号Ｃ１～Ｃｎの様子が示してある。なお、図１に例示した信号伝送の様子における括弧内の表記は、故障の発生時に伝送される信号の一例であり、これについては後述する。

連動制御の対象となる電子機器２０－１～２０－ｎ及び現場機器３０は、例えば、通信ネットワーク１を介して受信される主系処理部及び従系処理部からの各制御信号Ｓｃ１，Ｓｃ２の内容を比較し、それらの一致により電子連動装置１０の二重系が正常な状態にあることを確認した上で、制御信号Ｓｃ１（又はＳｃ２）に従って各々の動作が制御される。なお、各制御信号Ｓｃ１，Ｓｃ２の内容が一致していることの確認は、連動制御システムに要求される信頼性などに応じて適宜に行えばよく、基本的には、主系処理部からの制御信号だけを用いて対象機器の動作制御が可能であるし、各制御信号Ｓｃ１，Ｓｃ２の内容が一致していない場合の動作を別に規定してもよい。

次に、立ち上げ後の運転時の電子連動装置１０における主系及び従系の切り替え動作の一例について、図８のフローチャートを参照しながら具体的に説明する。

電子連動装置１０の処理部１１－１，１１－２のうちの一方が主系処理部、他方が従系処理部として動作する運転時において、各処理部のプロセッサ４１は、主従決定プログラム及び連動処理プログラムに従い、自身の処理部の動作モードの切り替え判定処理を実行する。まず、図８のステップＳ３００でプロセッサ４１は、通信ネットワーク１を介して受信される信号を監視し、同期信号Ｓｓを受信したか否かを判定する。同期信号Ｓｓを受信した場合には（Ｙｅｓ）、続くステップＳ３１０で、自身の処理部の動作モードが従系であればそのまま動作を継続し、主系であれば従系に切り替える。同期信号Ｓｓを受信していない場合には（Ｎｏ）ステップＳ３２０に移る。

上記ステップＳ３００,Ｓ３１０の処理に関して、同期信号Ｓｓは主系からのみ送信される信号であり、それを受信したということは、自身の処理部は基本的に従系として動作していることになり、主系として動作していることは原則ない。ただし、自系の処理に異常が発生して両方の処理部が主系として動作してしまう可能性は排除できない。このような状況を想定し、ステップＳ３１０の処理において、自系の動作が主系である場合に従系に切り替わるようにしている。なお、異常の内容に依っては、従系に切り替えるのではなく自系の動作を停止させるようにしても構わない。

ステップＳ３２０では、同期信号Ｓｓを受信していないことが確認されたので、プロセッサ４１は、他の処理部からの制御信号Ｓｃを受信したか否かを判定する。制御信号Ｓｃを受信した場合には（Ｙｅｓ）ステップＳ３３０に進み、制御信号Ｓｃを受信していない場合には（Ｎｏ）ステップＳ４２０に移る。

ステップＳ３３０でプロセッサ４１は、受信した制御信号Ｓｃが有効であるか無効であるかを判定する。有効な制御信号Ｓｃである場合には（Ｙｅｓ）、他の処理部からの同期信号Ｓｓの受信はなく、かつ、有効な制御信号Ｓｃの受信はある状態、即ち、他の処理部は従系として動作している状態を判断する。この状態では、自身の処理部は基本的に主系として動作していることになり、従系として動作していることは原則ない。ただし、前述した場合と同様に、自系の処理に異常が発生して両方の処理部が従系として動作している可能性はある。このような状況を想定し、続くステップＳ３４０でプロセッサ４１は、自身の処理部が主系であるか従系であるかの判定を行う。

主系である場合には（Ｙｅｓ）、続くステップＳ３５０で、そのまま主系として動作を継続する。一方、従系である場合には（Ｎｏ）、ステップＳ３６０に移り、同じ状態、即ち、他の処理部からの同期信号Ｓｓの受信はなく、かつ、有効な制御信号Ｓｃの受信はある状態が、ｎ周期連続したか否かを判定する。同じ状態がｎ周期連続した場合には（Ｙｅｓ）ステップＳ３７０に進み、ｎ周期連続しなかった場合には（Ｎｏ）ステップＳ３８０に移り、そのまま従系として動作を継続する。

ステップＳ３７０でプロセッサ４１は、両方の処理部が従系として動作している状態にあると認識して、自系が上述した優先系に該当するか否かの判定を行う。自系が優先系に該当する場合には（Ｙｅｓ）、続くステップＳ３９０で、自身の処理部の動作モードを従系から主系に切り替える。一方、自系が優先系に該当しない場合には（Ｎｏ）、前述のステップＳ３８０と同様にして、そのまま従系として動作を継続する。

前述したステップＳ３３０において無効な制御信号Ｓｃの受信が判定された場合には（Ｎｏ）、ステップＳ４００でプロセッサ４１は、同じ状態、即ち、他の処理部からの同期信号Ｓｓの受信はなく、無効な制御信号Ｓｃの受信はある状態が、ｎ周期連続したか否かを判定する。このような状態は、他の処理部が立ち上げ中か、又は演算処理自体には問題のない軽故障の発生中に生じ得る。同じ状態がｎ周期連続した場合には（Ｙｅｓ）、続くステップＳ４１０で、自身の処理部の動作モードが主系であればそのまま動作を継続し、従系であれば主系に切り替える。一方、ｎ周期連続しなかった場合には（Ｎｏ）前述したステップＳ３００に戻る。

前述したステップＳ３２０における他系からの制御信号Ｓｃを受信していないとの判定を受けて、ステップＳ４２０でプロセッサ４１は、電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎのいずれかを受信したか否かを判定する。状態信号を受信した場合には（Ｙｅｓ）ステップＳ４３０に進み、状態信号を受信しなかった場合には（Ｎｏ）ステップＳ４５０に移る。

ステップＳ４３０でプロセッサ４１は、同じ状態、即ち、他の処理部からの同期信号Ｓｓ及び制御信号Ｓｃの双方の受信がなく、かつ、電子機器２０－１～２０－ｎのいずれかからの状態信号の受信がある状態が、ｎ周期連続したか否かを判定する。同じ状態がｎ周期連続した場合には（Ｙｅｓ）、続くステップＳ４４０で、他の処理部において通信路故障、又は動作停止が発生していると判断し、自身の処理部の動作モードを従系から主系に切り替える。一方、ｎ周期連続しなかった場合には（Ｎｏ）ステップＳ３００に戻る。

ステップＳ４５０でプロセッサ４１は、同じ状態、即ち、他の処理部からの同期信号Ｓｓ及び制御信号Ｓｃ、並びに、電子機器２０－１～２０－ｎのいずれかからの状態信号の受信がない状態が、ｎ周期連続したか否かを判定する。同じ状態がｎ周期連続した場合には（Ｙｅｓ）ステップＳ４６０に進み、ｎ周期連続しなかった場合には（Ｎｏ）前述したステップＳ３００に戻る。

ステップＳ４６０でプロセッサ４１は、通信ネットワーク１からの信号の受信が一切できない状態にあることより、自身の通信路故障を認識する。そして、自系から送信する制御信号Ｓｃを停止し、自身の処理部の動作モードが主系であれば同期信号Ｓｓの送信も停止して、自身の通信路故障を示す故障情報Ｆを通信ネットワーク１上の各機器に伝える。具体的な一例として、上述した図１の括弧内には、電子連動装置１０の処理部１１－１が主系、処理部１１－２が従系として動作している場合に、主系の処理部１１－１で通信路故障が発生したとき、通信ネットワーク１上を伝送される故障情報Ｆ、制御信号Ｓｃ２、及び状態信号Ｃ１～Ｃｎの様子が示してある。これにより、従系として動作している処理部１１－２は主系に切り替わることになる。そして、処理部１１－１が故障から復旧したときには、上述の図６に示した立ち上げ時の手順に従い、ステップＳ１０以降の処理を再び順次実行する。これにより、処理部１１－２が主系として正常に動作を続けていれば、故障から復旧した処理部１１－１は従系として復帰する。
なお、上記の説明では、通信路故障の発生した処理部１１－１が制御信号Ｓｃ１の送信を停止する一例を示したが、これ以外にも、制御信号Ｓｃ１に無効フラグを立てて、無効化した制御信号Ｓｃ１を通信ネットワーク１に送信するようにしてもよい。故障発生時に制御信号Ｓｃ１を停止するか無効化するかは適宜に選択可能である。

以下では、主系で動作する処理部１１－１に通信路故障が発生した場合の主系及び従系の切り替え動作について、図９を参照しながら詳しく説明する。
図９の上段は、主系の処理部１１－１から見た動作の変遷を例示しており、図９の下段は、従系の処理部１１－２から見た動作の変遷を例示している。ここでは、主系及び従系の処理部１１－１，１１－２並びに各電子機器２０－１～２０－ｎのそれぞれが、２００ｍｓの定周期で処理を繰り返しており、図９の左側に示した最初の周期処理が行われている途中で、主系に通信路故障が発生（図中の×印）した場合を想定している。

このような想定にあって、主系の処理部１１－１は、最初の処理周期において、同期信号Ｓｓを送信すると共に、従系の処理部１１－２からの制御信号Ｓｃ２や電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎを受信することができていた。しかし、故障発生後の周期処理（２回目）においては、同期信号Ｓｓを生成するものの、その同期信号Ｓｓを通信ネットワーク１に送信することはできず、また、従系の処理部１１－２及び電子機器２０－１～２０－ｎからの信号も受信できなくなっている（図中の破線矢印）。そして、その状態が３周期（ｎ＝３）連続すると、主系の処理部１１－１は、同期信号Ｓｓの出力を停止すると共に制御信号Ｓｃの出力も停止（又は無効化）して、従系との並列運転から離脱する。

このとき、従系の処理部１１－２は、主系の処理部１１－１の通信路故障の発生後の周期処理（２回目）において、電子機器２０－１～２０－ｎからの状態信号Ｃ１～Ｃｎを受信することはできているものの、主系からの同期信号Ｓｓ及び制御信号Ｓｃ１を受信することはできなくなる。そして、その状態が３周期連続したところで、従系の処理部１１－２は、主系の処理部１１－１の故障発生を判断して、自身の動作モードを従系から主系に切り替える。これにより、切り替え後の処理部１１－２は、通信ネットワーク１を介して電子機器２０－１～２０－ｎに同期信号Ｓｓ及び制御信号Ｓｃ２を送信するようになり、新たな主系処理部となる。

以上説明したように本実施形態の鉄道制御システム１００によれば、電子連動装置１０の処理部１１－１，１１－２のそれぞれが、通信ネットワーク１を介して送受信される同期信号Ｓｓ（立ち上げ後の運転時）並びに制御信号Ｓｃ１，Ｓｃ２及び状態信号Ｃ１～Ｃｎ（立ち上げ時、立ち上げ後の運転時）を利用して、自身の正常判断と主従決定とを独自に行うようになるため、従来の電子連動装置のように使用系（主系）及び待機系（従系）をリレー結線方式の共通部を介してメタル回線で接続して両系の切り替えを行う必要がなくなる。これにより、電子連動装置１０の二重系を構成する処理部１１－１，１１－２を、異なるＡ駅及びＢ駅の各機器室に距離を離して配置することが可能になる。したがって、一方の駅の機器室が火災や水害などの災害に遭ったとしても、他方の駅の機器室にある処理部が主系として動作することで連動制御システムを維持することができ、災害によるシステム障害の発生を回避して列車の運行制御を確実に行うことが可能になる。また、共通部が不要になることで部品点数が減少するので、電子連動装置１０の故障頻度を下げることもできる。

さらに、本実施形態の鉄道制御システム１００によれば、電子連動装置１０の二重系を構成する処理部１１－１，１１－２間の距離を自由に設定できる、言い換えると、通信ネットワーク１上の任意の場所に処理部１１－１，１１－２を配置できるようになるため、電子連動装置１０の設計自由度が高まり、設備費などを抑えた設計が可能になる。例えば、各処理部１１－１，１１－２を構成するハードウェアに新旧の差があるような場合には、新しいハードウェアで構成された処理部の優先度を高く、古いハードウェアで構成された処理部の優先度を低くなるように入出力装置４５や物理スイッチなどで設定して、優先度の高い処理部（優先系）はメンテナンスがより容易な場所に配置するようにすれば、効率的なシステムの設計及び運用を実現することができる。このような効果は、複数の駅に関連する連動論理を一括して処理する集約型若しくは集中型連動制御システムにおいて特に有効である。

なお、上述した本実施形態では、電子連動装置１０の処理部１１－１，１１－２が異なる駅の機器室にそれぞれ配置される一例について説明したが、例えば、同じ駅の敷地内において距離の離れた場所に設けられた２つの機器室に、処理部１１－１，１１－２を別々に配置するようにしても、災害によるシステム障害の発生を回避することが可能である。また、電子連動装置１０が２つの処理部１１－１，１１－２により二重系を構成する一例を示したが、３つ以上の処理部により多重系を構成する場合にも本発明は有効である。電子連動装置が３つ以上の処理部を備える場合にも、それぞれの処理部について優先度、即ち、優先的に立ち上げる系の順番を処理部毎に入出力装置４５で定めて記憶装置４３に格納しておく、若しくは物理スイッチなどを利用して設定しておくことにより、上述した実施形態の場合と同様にして処理部のそれぞれが自身の主従動作モードを独自に決定することが可能である。この場合、１つの処理部が主系として動作し、残りの処理部が従系として動作することになる。

さらに、上述した本実施形態では、電子連動装置１０が通信ネットワーク１を介して電子機器２０－１～２０－ｎ及び現場機器３０の連動制御を行うシステム構成の一例を説明したが、本発明はこのような電子連動装置１０を含む連動制御システムに限定されるものではなく、列車運行の安全性を確保するために多重系方式を採用する任意の鉄道制御システムに対して本発明を適用することが可能である。

上記のような任意の鉄道制御システムへの本発明の適用において、多重系を構成する複数の処理部は、通信ネットワークを介して送受信される互いの情報をそれぞれが保有する。この保有情報は、通信ネットワーク上の各処理部がどのような信号を通信ネットワークに送信し且つどのような信号を通信ネットワークから受信しているかという情報である。そして、複数の処理部は、保有情報に基づいて正常判断をそれぞれが行い、自身が主系で動作するか従系で動作するかを決定する。ここでの正常判断は、例えば、保有情報より、他の処理部が通信ネットワークから３種類の信号を受信すべきところ２種類の信号しか受信しておらず、自身の処理部が送信した信号が他の処理部で受信されていないことが分かると、自身の通信路故障を判断することが可能である。また、自身の主従動作モードの決定は、例えば、保有情報より、主系だけが生成する信号を他の処理部が送信しているにもかかわらず、その信号が自身を含む主系以外の処理部で受信されていないことが分かると、主系処理部の故障を判断して自身の動作モードを従系から主系に切り替えることが可能である。このような機能を複数の処理部のそれぞれが備えることにより、上述した実施形態の場合と同様な作用効果を得ることが可能である。

以上、本発明の実施形態及びその応用例について説明したが、本発明は上述の実施形態及びその応用例に限定されるものではなく、本発明の技術的思想に基づいて更なる変形や変更が可能である。

１…通信ネットワーク、１０…電子連動装置、１１－１，１１－２…処理部、２０－１～２０－ｎ…電子機器、３０…現場機器、４１…プロセッサ、４２…メモリ、４３…記憶装置、４４…通信装置、５１…信号監視部、５２…正常判断部、５３…主従決定部、５４…故障情報出力部、５５…同期信号生成部、５６…制御信号生成部、１００…鉄道制御システム、Ｓｓ…同期信号、Ｓｃ，Ｓｃ１，Ｓｃ２…制御信号、Ｃ１～Ｃｎ…状態信号

Claims (7)

1. 通信ネットワークを介して列車の運行制御が可能な複数の処理部を有し、
   前記複数の処理部は、異なる駅にそれぞれが配置されており、前記通信ネットワークを介して送受信される互いの情報をそれぞれが保有し、その保有情報に基づいて自身の正常判断をそれぞれが行い、自身が主系で動作するか従系で動作するかを決定する、鉄道制御システム。
2. 前記複数の処理部は、前記保有情報に基づいて少なくとも自身の通信路の正常判断をそれぞれが行う、請求項１に記載の鉄道制御システム。
3. 前記複数の処理部のうち、主系で動作すると決定された主系処理部は、前記運行制御のタイミングを決定し、かつ、前記運行制御を実行するように構成され、従系で動作すると決定された従系処理部は、前記主系処理部で決定されたタイミングに従って前記運行制御を実行可能に構成される、
   請求項１又は２に記載の鉄道制御システム。
4. 前記通信ネットワークに接続された機器群を含み、
   前記複数の処理部のうちの少なくとも前記主系処理部が、前記機器群を連動制御することによって列車の運行制御を行う、
   請求項３に記載の鉄道制御システム。
5. 前記主系処理部は、前記連動制御のタイミングを一致させるための基準となる同期信号と、前記連動制御を実行するための制御信号とを生成して前記通信ネットワークに送信し、
   前記従系処理部は、前記主系処理部から前記通信ネットワークを介して受信される前記同期信号に同期して、前記連動制御を実行するための制御信号を生成して前記通信ネットワークに送信する、
   請求項４に記載の鉄道制御システム。
6. 前記主系処理部は、故障発生時に前記同期信号を停止し、
   前記従系処理部は、前記通信ネットワークを介して前記同期信号が受信されなくなると、自身の動作を主系に変更して新たな主系処理部になり、
   元の主系処理部は、故障復旧後に、前記新たな主系処理部からの同期信号が前記通信ネットワークを介して受信されると、従系として動作を再開して新たな従系処理部になる、
   請求項５に記載の鉄道制御システム。
7. 前記複数の処理部のそれぞれは、
   前記同期信号を生成する同期信号生成部と、
   前記機器群及び他の処理部から送信され前記通信ネットワークを介して受信される信号を監視する信号監視部と、
   前記信号監視部で監視される前記機器群からの信号の有無に応じて、自身の通信路の状態を判断する第１判断部と、
   前記信号監視部で監視される前記機器群からの信号の内容に応じて、前記制御信号を生成する制御信号生成部と、
   前記信号監視部で監視される他の処理部からの信号に基づいて、前記主系処理部の状態を判断する第２判断部と、
   前記第１及び第２判断部の各判断結果に応じて、自身が主系で動作するか従系で動作するかを決定する主従決定部と、を備え、
   前記主従決定部により主系で動作すると決定されると、前記同期信号生成部で生成される同期信号、及び前記制御信号生成部で生成される制御信号を前記通信ネットワークに送信し、前記主従決定部により従系で動作すると決定されると、前記制御信号生成部で生成される制御信号を前記通信ネットワークに送信する、
   請求項５又は６に記載の鉄道制御システム。