JPS58137002A - 制御信号連動方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 この発明け、特に鉄道制御信号を発生するための多数の
並列冗長サブシステムから成るコンピュータに基づいた
連動方式に関するものである。

鉄道信号連動方式における安全性を提供する伝統的な方
法は単にフェール・七−７構成要素例えばリレーを使用
することである◎このような榊成要素は増々高価となっ
てきているので、コンピュータは同じまたはそれ以上の
レベルの安全性をもたらすように見い出され得る方法を
提供する比較的安価な解決法を約束し九〇 フェール・セーフ方式は、安全でない作用を−って実行
させ得ることなしに同時Ｋまた適時に分散して生じる任
意の数の故障に耐えることができなければならない。

コンビエータ方式に４１有の問題は、このレベルの保全
が単一コンピュータを通常のモードで用−ては達成され
得ないことＫある。改良された一つの方法は、同時に同
じ入力データを用いて同様な機能を行なう多数のコンピ
ュータサブシステムを用いそしてそれらの出力を比較す
ることによる方法である。

この発明の目的はこの型の装置を改良することにある。

この発明の基礎は全ての生じ得る装置故障の分析および
故障場所に対する装置の配電位置と方式の安全性のしに
ルを低下させる影響を除去するためそのような故障の検
出方法との実現にある。

この発明によれば、各々同じ入力データを受けるように
接続されそして連続して繰返される周期的動作において
信号連動機能を行なうようＫされた三つの並列冗長サブ
システム、および並列サブシステムの制御出力を統合し
てフェール・セーフ制御装置出力を発生する装置をイ（
シ、第１、第２のサブシステムの出力が第１の一ドブシ
ステムの出力を優先的に選択して制御装置ｔ　ｒｋＪ力
を発生させるか或いは代りにサブシステム間の一致をチ
ェックするように作動する装置の出力に応動して第２の
サブシステムの出力を優先的に選択するよ″うに作動す
る出力選択装置に接続されて成る制御信号連動方式が提
供される・ 一つのクラスの故障を除去するため、サブシステムは非
同期的に作動し、また出力選択装置は二つの連続した動
作サイクルで出力を繰返した後だけ制御装置出力にサブ
システム出力を供給するように構成される。

要求されたしくルの方式保全を得るため、サブシステム
間の一致をチェックするように作動する装置は各サブシ
ステムに全てのサブシステムの出力を受はサブシステム
出力間の差結果を決め、これらの差結果を記憶装置に記
憶された生じ得る差結果の基準テーブルと比較して差の
あるときどのサブシステムが故障であるかを決めるよう
にされた装置と、上記比較ｔｒｃ応動じて各サブシステ
ムに各サブシステムに関して故障を表わす信号を発生す
る装置とを有するのが好ましい。

以下、単に例として添附図面を参照してこの発明および
この発明の実施例について説明する・さて図面を参照す
ると、第１図にけ符号ム、Ｂ。

Ｃで示す三つの並列コンピュータサブシステムを有する
コンピュータに基いた鉄道連動方式を示す。

全ての本質的な観点において、三つのコンピュータサブ
システムは構造において同じでありしかも同一にプログ
ラミングされるが、それらの動作は故意に同期化されず
、従ってそれらの通常の動作は非同期的である。連動方
式に対する重要な入方データ、すなわち交通制御装置の
設定に直接関係したデータは一組のデータ線１において
フェール・セーフ信号分割回路２で並列形態で受信され
、この分割回路２け情報をそれぞれ三つのサブシステム
Ａ、Ｂ、Ｃに分配するため三つの並°列データ線路５１
３ｂ、３ｃに三１１にして供給する。重畳な入力データ
はまず入力安全性検証・持続コンピュータ４ｍ、４ｂ、
４ｅによって受信され、これらのコンピュータは幾つか
の機能すなわち第１に入力回路の故障のチェックおよび
第２に各々順に読取る全ての入力データ線の周期的走査
を行なう。この読取操作は断続的方法すなわち入力の変
化するとき開始され得、走査サイクルは介在入力を飛ば
して直接新たに変化した入力へ移る◎重要な入力データ
はほぼ１秒程度である走査サイクル期間に対して頻繁に
は変化しない。事実、鐘も重要表入力は相対的に極めて
長い時間間隔の間静止状態のままであり、従って入力が
変化してもデータの走査サンプルは一走査サイクルの期
間以上には違わないので非同期動作にはいかなる困難も
ない。コンビエータ４　ａ　ｅ　４　ｂ　、４　ｃから
の一連の出力はそれぞれコンピュータ５ａ、５ｂ、５ｃ
Ｋ接続され、これらのコンピュータ５１Ｌｅ　５　ｂ　
ｅ　５　ｃは安全連動操作を行なうようにプログラミン
グされる〇 重要でない入力データ社符号６で示すデータ線路で受け
られ、そしてこの入力データは例えば公知型の自動進路
設定装置（図示してない）の出力または信号係の制御盤
におけるスイッチの設定によって発生した進路設定デー
タから成る０機構的データとも呼ばれるこの重要でない
データはまた走査され、処理されそして単一線（図示し
てない）かまたは三重線８ａ、８ｂ、ＢＣを介して直接
連動機能コンピュータ５　ａｎ　５　ｂｅ　５　ｅに入
力するようにされる＠ 連動機能コンピュータ５ａ、５ｂ、５ｅは、すでに当該
技術分野において公知である連動機能を集村するように
された自己診断ソフトウェアプログラムで制御される。

組合さったハードウェアの検討によって全ての起抄得る
故障モードがわかり、適切なテストルーチンがたびたび
行なわれることを保証するためソフトウェア明細に当て
みる・擬似静止的可変データがランダムアクセスメモリ
ーに記憶される場合には、そのデータは、テストルーチ
ンが一致を定期的にチェックする多数の場所に記憶され
、こうして−りのサブシステムにおける冗長度の従楓レ
ベルを満たしそしてこれらのサブシステムの非同期動作
を可能にする。同様に、テストルーチンは全ての一連の
メツセージのコーデングをチェックし、そしてしばしば
記憶された伝送データにおける／（リテイをチェックす
る。

コンピュータ５　ａ　＋　５　ｂ　＊　５　ｃの出力は
一連のデータ形態で各サブシステムにおける出力安全性
検証プロセラす９　ａ、９　ｂｅ　９　ｃにそれぞれ供
給され、これらのプロセッサは、連動機能コンピュータ
からの出力回路および接続線に故障がないことを検証す
るようにプログラミングされる。コンビエータ９　ｍ、
　９ｂ、　９ｃからの出力は共通回路装置１０に供給さ
れ、この共通回路装置１０け並列サブシステムからの制
御出力を統合し、そして出力データ通路１１に重壁な制
御信号を供給する。

次に第２図を参照すると、サブシステム出力を統合しそ
して要求されたシステム出力の保全を行なう回路装置が
詳細に示されている。サブシステムム、Ｂ、Ｃは連動コ
ンビエータ５　ｍ、　５　ｂｅ　５　ｅ　を有し、これ
らの連動コンピュータは、各連動サブシステムによって
発生された多数の制御信号出力に矛盾が存在しないこと
を保証するため多数の交通制御装置に関する多数の信号
を包含する連動機能を行な、う・各サブシステムは装置
アドレスコード語および装置設定コード語から成る一連
の出力を発生する。図示方式では、サブシステムムから
の出力は好ましく、従ってこのサブシステムから出力マ
ルチプレキサハウリング１４に接続される。

ハウジング１４および同じであるハウジング１５、Ｌ６
Ｈモジュラ−装置として構成され、この装置に社多数の
印刷回路カードが単位装置として収容されセしてＳ＊形
態に従って線側された公共電力供給線およびデータ入力
、出力、交換母線によって相互接続される。従って゛各
ハウジングＫｔｉ喪求に従って異なった形式のカードを
任意に組合せて挿入することができる。ハウジング１４
は第１人力走査カード１７を備え、このカード１７Ｆｉ
サブシステムムから好ましい一連の出力を受けそして信
号を、個々の交通制御装置に接続される出力信号増幅装
置を備えた出力駆動カードの範囲に多重化する。一つの
そのような出力線は装置２０を付勢するように接続され
て示されているが、これは多くの例のうちの巣に一例に
すぎないことが理解されるべきである。

サブシステムＢからの出力は第２人力走査カード２６に
接続され、この第２４力走査カード２３は、サブシステ
ムが故障であると判断されそしてけずされすなわち不適
であると判定される場合に代りの出力信号源を構成する
。カード２３は本質的にはカード１７と同じであ妙、そ
れの全ての機能を完全に引き継ぐことができる。

三つの全てのサブシステムＡ、Ｂ、Ｃの出力はエラー検
出チェックの目的で相互に交換される。

これらのサブシステムは、各プロセッサが左右に同様な
ものを備えるようにリング形態で相互接続される・各サ
ブシステムコンピュータすなわちプロセッサは全てのサ
ブシステム出力を受け、そして記憶装置に出力を紀憶し
、従って各相応した出力に対して差結果が計算されそし
て記憶テーブルに一時的に記憶される。例えば、差が全
くなけれは、それは０データビツトで表わされ、また正
の差結果は１データビツトで表わされる。自体のサブシ
ステムをＭ、その左側のサブシステムをり。

また右側のサブシステムをＲとすると、各サブシステム
は同一に構成かつ配列できる。各場合に、それ自体と他
の二つのサブシステムの各々との間の計算された差はＭ
−Ｌ、Ｌ−Ｒ，Ｒ−Ｍで褒わされる。

全ての生じ得る差結果Ｆｉ第２記憶装置における基準テ
ーブルに記憶され、そして一度各連動ブリダラムサイク
ルにおいて、結果を比較する装置は相応した対の場所を
歩進し、各実際の結果を差結果テーブルと比較する。差
が見い出されると、基準テーブルから相応し九減算式が
読取られる。純粋なエラーが二つの間違った結果をもた
らすので、二つの減算式は読取られ、そして共通のファ
クタを決めるこれらの式の比較によりエラーのサブシス
テムが正確に％定される。代表的表走査期間は０．２５
秒〜１．００秒の範囲にあり、それでエラーはこのよう
表期間よシ長い量検出されないことはないＯ エラー制御を発生したと判断されたサブシステムはそれ
を表わす出力を信号線ａ、ｂまたはＣの適当なものに発
生する。従って、第２図において、サブシステム人け三
つのエラー出力線１ｍ、　３０ｂ。

３０ｃを備え、サブシステムＢは三つの同様な出力線３
１　Ｂ、　５　ｌ　ｂ、３１　ｃを備え、またサブシス
テムＣは同様なエラー出力線５２ｍ、　３２ｂ、　３２
ｃを備えて諭る。

これらのエラー出力線は、単にエラーの発生を示すすな
わち知らせるために、または好ましくけ電源をしゃ断す
ることによってそのような故障サブシステムを無能にす
るまたは禁止する或いは一般には不適当であるとする装
置を作動させるために各サブシステムに関して互いに関
係付けられる。

この、ような相互関係付けのための論理ゲート操作は当
該技術分野では公知であり、第２図には示してない。サ
ブシステムのうちの少なくとも二つが第３のサブシステ
ムにエラーのあることで一致しなけれはならないゲート
装置を用いれば十分である・ 第５図において（ａ）　／ｒｉサプシステムムに故障が
あると仮定して各マイクロプロセッサの入力した差テー
ブルを示す。第６図の（ａ）はそれぞれサブシステムＡ
、Ｂ、Ｃに相応した三つの区分に分けられ、各区分の左
側におｉて左から右へサブシステムの出力省−０”また
は“１”、で表わされ、また各区分の右側にはコンピュ
ータ差テーブルが示され、そして各場合に＠１”で表わ
されるように差が計算されるがこれらの各差における単
なる共通出力がサブシステム人の出力である場合に結果
としてサブシステム人が故障していることが見られる。

この状態を処理する好ましい方法はサブシステム全体を
停止することかまたは第１図に線１２ａ。

１２ｂ、１２ｃで示す出力回路に乗上信号を加えること
によって故障サブシステムの出力の分担を停止すること
にある口 ｗＪ′５図の伽）にけサブシステムＢが故障を生じ、サ
ブシステムＡ、Ｃの一致で完全に停止され、そして同時
的変化が非同期的に作動し続ける二つの残）のサブシス
テムの出力に生じない場合のコンビエータの差テーブル
における結果を示す０１走査サイクル中に変化のあった
ことがプロセッサで確聞され九としても二つの連続した
走査サイクルにおいて変化か検出されなかったのでシス
テム出力の保全は維持されることが観察される。第Ｓ図
の（ｃ）にはサブシステムＢが故障しておシ停止されて
いる状態の結果を示し、サブシステムＣの出力け″Ｏ”
ビットとして留まり、一方すプシスデムムの出力け１”
ビットに変化し、また二つ以上の連続した走査サイクル
中に差が検出されても、マイクロプロセッサは故障して
いるサブシステムがどれか特定できず、その結果これら
のマイクロプロセッサは全体システムを停止する。従っ
て各サブシステムの出力は、要求されなかった変化の出
力があってかまたはなされるべき変化のない出力があう
九後に停止する。

サブシステムＡ、Ｈ，Ｃの非回期作動を許すため、ハウ
ジング１４におけるカード１７．２５Ｆｉ、少なくとも
１出力サイクル中に選択されたサブシステムからの制御
信号を記憶する装置および単に連続したサイクルにおけ
る相応した信号が一致したときのみｒ憶された制御信号
を読取る比較装置を有し、従って、１サイクル期間の遅
延が生じ、この期間中に残りのサブシステムＢ、Ｃは同
じ機能サイクルを完了し、そしてサブシステムムの出力
の正確さをチェックする。従って連動コンピュータは次
の処理サイクルにおいて出力命令を繰返すようＫされ、
従って命令が繰返されるとみられると、それを実施して
も差しつかえなく、またある間違った指令を出力するシ
ステムはそれを繰返しできる前、に停止される。

第２図に符号１Ｓで示す出力装置は単に繰返された命令
に応答するように構成される０各出力走査ハウジング（
１４，１５，１６）Ｋおける左側走査プロセッサ（１７
，１８，１？）の全てには同一連動コンピュータから一
連の出力が供給される。出力走査プロセッサ１７Ｆｉ繰
返された命令を受け、そしてそのように指令されると適
当な出力カードにおける信号増幅装置を介して駆動する
ことによって出力装［２０を付勢させる。出力装置２０
は多数のうちの一つである。入力走査プロセッサ１８゜
１９はそれらのそれぞれのハウジング１５．１６へのテ
ストフードバック入力を介して出力装置２０の付勢を直
ちに感知し、そしてこの状態がそれらの受けた命令に一
致していることをチェックする。

ハウジング１４からの出力が１７によって制御可能状態
に留まりそして故障のため出力装置２０を付勢し続けな
いことを保証するため、走査プロセッサ１７は出力装置
２０の応動しない短かいテスト・七ルスを含むように出
力装置２０への出力を駆動させる。ハウジング１５．１
６への入力はこれらのテストパルスを観察し、従って、
ハウジング１４の出力が走査プロセッサ１７の適当な制
御の庵とにあることを保証できる０従って各ハウジング
１５，１．！Ｓの出力は走査プロセッサ１７の機能との
一致の確認として付勢され、そしてこれらの出力はそれ
ぞれ制御リレー２１．２２を付勢し、これらのリレー２
１．２２ｔｉ出力装置２０を含む一群の出力装置へ電力
を供給させる。リレー２１．２２への駆動信号はテスト
パルスを含み、これらのテスト／（ルスはハウジング１
４への入力３０．３１によってモニタされる。これらの
入力がテストパルスを含んでいないとすると、走査プロ
セッサ１７はリレー２０．２１＆Ｃよって電力制御され
る出力群の全てを消勢する。一つの故障によってシステ
ムを全体的に止めることが許されれば、１６．１９．２
２は必要とされない。しかしながら、リレー２１゜２２
によって制御されるものを除いて出力群を作動し綬ける
ことが要求されるとすれば、１４ｉ９けシステムを別の
故障から保瞼するのに必要とされる。また仮シに走査プ
ロセッサ１７．１８または１９、或いはそれらの組合さ
った通路に故障が生じるとすると、全体システムは２５
．２４．２５および別の連動コンピュータの一連の出力
を用いることによって作動し続は得る。しかしながら、
出力装置２０は消勢されるが、出力装置１ｔ２０を付勢
する状態に対するノ・ウジング１４の引き続いての故障
が確認されないままであるとき１５．ＩＳへの入力が開
略し得るという問題が残る。従って、ノ・ウジング１５
．１６の別の出力は１８．１９（ｔたは２４または２５
）によってテストされ得る入力にエネルギーを選択的に
間違って供給するのに用いられ、ハウジング１４からの
出力に生じる付勢状態を出力装置２０への入力および組
合さつ九接続が−表わし得ることを保証する。制御装置
２１．２２はフェール・セーフ装置であり、この例で、
は消勢時に接点２６．２７が開くように保証されるよう
にされた信号リレーである◎ 上述のようにフェール・セーフ方法で作動するコンピュ
ータに基いた連動方式は、全体停止の生じた場合にこの
装置が鉄道を作動するのに用いられるのを阻止し、そし
て限られた設備である程度の制御を行なうのに緊急手段
が要求され、またこれらの緊急手段は通常の連動プログ
ラムの制御によるものより安全性が低いＯ コンピュータサブシステム中の冗長度によって単一故障
の検出された後全体システムは動作し続けることができ
、また最終出力から除去されたサックステムを分担する
ことができるが、故障をできるだけ迅速に修正して残９
のサブシステムのいずれかに生じる別の故障の影蕃を防
止するため最大サブシステムの利用可能性をできるだけ
早く回復するようにすることは本質的なことである。し
かしながら、大規模なモニタリングおよび診断ルーチン
はサイクル時間を増大させ、従って故障を確認する速度
を直接減少させ、その結果安全性のレベルを低下させる
ことＫなる。従って、単に最も基本のテストは重要なソ
フトウェア（４，５，９゜１Ｓにおけるコンビエータ）
において行なわれ、そして全ての診断作業は組織プロセ
ッサ（７）において行なわれる。コンピュータサブシス
テムの三倍の冗長縦はサブシステムの一つにおけるハー
ドウェア故障の場合に動作し綬けるようにするが、重要
な入カデ三夕を供給する路傍装置におけるフェールセー
フ検出回路のある故障は、異なったサブシステムが個々
には全く安全ではあるが集合的には相いれない異なった
連動方法を実行する不確定な状態を生じさせ得る。この
問題は、三つのサブシステムが同期される場合にはそれ
らが同時に同じ動作を行なうので生じないが、しかし擬
似事態例えばライテングストライキは同期的に作動する
方式の全てのサブシステムに同時的な有害作用を生じさ
せ得、そしてこれらはサブシステムの多様性（変化）で
は保護されない。

上記型の多様な非同期システムでは不確定な状態を生じ
させ得る状態社検討され、そしてそのような状態の可能
性が検出されると、各サブシステムは中央連動制御プロ
セッサに知らせ、このプロセッサは単に別の限定操作を
しながら安全性に向う傾向の出力変化を行なう・連動コ
ンピュータのソフトウェアプログラムは状態を組織コン
ピュータに報告させ、この組繊コンピュータは結局裁断
装隨として慟〈ようにプログラムされる。組織コンピュ
ータによってサブシステムがその後方策において一致し
たことが見い出されると、連動機能が通常のように行な
われ、そして各サブシステムはそれらの出力を、要求さ
れた方策を行なうのに心壁な状態へ動かす。しかしなが
ら、もし組織コンビエータがサブシステムから異なった
方策を受けると、このコンピュータは連動プログラムの
少なくとも一部を実行し始じめ、ある時間遅延の後入力
における不確定さを解決し得る可能性をもたらすように
する。組織コンピュータけそれ自体実施する安全機能を
もたないが、進行または限定のない状態に対するサブシ
ステム出力の発生を遅延させることができる。

【図面の簡単な説明】

第１図は三つの並列コンピュータサブシステムを有する
コンピュータに基づいた連動方式を示すブロック線図、
第２図はサブシステム出方を統合Ｕそして要求された方
式の保全を行なう装置を詳細に示す図、第５図（ａ）ｉ
ｆ’サブシステムムの故障している出力差結果表、第３
図（ｂ）け゛サブシステムＢが故障しているときのサブ
システムＡ、Ｃに対する差結果表、第６図（ｃ）はサブ
システムＡ、Ｃが−致しない場合の状態を示す図である
ロ ー中、　Ａ、Ｂ、Ｃ：サプシステム、にデータ線、　２
：フェール・七−フ信号分割回路。 ５ａ　＊　５ｂ　＊　５ｃ　’データ線路＋　　４ｍ、
４ｂｍ　４ｃａ　５ａｅ５に’＊　５ｃ　：コンピュー
タ、　　６ニデータ線、９ａ。 ９ｂ、　９ｃ　：プロセッサ、　１０：共通回路装置。 １４、１５．１６　：ハウジング。 第１頁の続き ０発　明　者　ウィリアム・ジョフレー・ジョン−ウィ
ルソン イギリス国ウィルドジャー・チ ツペンハム・コツクルバリー・ ロード・ケンシア（番地その他 表示なし） 手続補正書（方式） ％式％ １、事件の表示 昭和５７　年特許願第１フ７６９６号 ２、発明の名称 制御信号連動方式 ３、補正をする者 事件との関係　　　　　特許出願人 名称ウエステイングハ？ス・ブレイク・アンド・シグナ
ル・カムパ＝−−リミアッド ５嘲楠正曾令の日付　昭和５８年２月２日６、補正の対
象 明細書、明細書の図面の簡単な説明の―および図面 ７、補止の内容 （１１別紙の通シ （２）　　明細書第２に）ｊｋ！Ｊ１７行〜同第２行員
同第２３頁第１ 図はこの発明による方式の動作貌明図であム」と補正し
ます。 （３）添附の全図面を別紙の通シ補正します。 明細赴の浄書内容に変更なし Ｅｉ九ら浄書内容に変更なし

Claims (1)

1. 【特許請求の範囲】 ｔ　三つの並列冗長サブシステムを有し、各サブシステ
   ムが同じ入力データを受けるように接続されそして連続
   して繰返される周期的動作において信号連動機能を行な
   うようにされ、また並列サブシステムの制御出力を統合
   してフェール・セーフ制御装置出力を発生する装置を有
   し、第１、第２のサブシステムの出力が＠１のサブシス
   テムの出力を優先的に選択して制御装置出力、を発生さ
   せるか或いは代りにサブシステム間の一致をチェックす
   るように作動する装置の出力に応動じて第２のサブシス
   テムの出力を優先的に選択するように作動する出力選択
   装置に接続されることを特徴とする制御信号連動方式。 ２、　サブシステムが非同期的に作動し、また出力選外
   装置が二つの連続した動作サイクルで出力を繰返した後
   だけ制御装置出力にサブシステム出力を供給するように
   される特許請求の範囲第１項に記載の連動方式。 五　サブシステム間の一致をチェックするように作動す
   る装置が各サブシステムに全てのサブシステムの出力を
   受はサブシステム出力間の差結果を決め、これらの差結
   果を記憶装置に記憶された生じ得る差結果の基準テーブ
   ルと比較して差のあるときどのサブシステムが故障であ
   るかを決めるようにされた装置を、上記比較に応動じて
   各サブシステムに咎サブシステムＫＩＩＬ、て故障を表
   わす′信号を発生する装置とを有する特許請求の範囲第
   １項または第２項Ｋ１１ｅ誠の連動方式。 屯゛各サブシステムに対する故障表示信号を互いＫｌｌ
   係づけて各すプシステムの保全を表わす安全信号を発生
   させる装置を働える特許請求の範囲第３項に記載の連動
   方式〇 ５、安全信号に応動して出力選択装置を作動させｗ４１
   のサブシステムが故障していると表示されたとき代りの
   出力を選択するようにさせる装置を備える特許請求の範
   囲第４項に記載の連動方式。 ６　制御装置出力が制御出力信号増幅装置を介して出力
   機能装置を付勢するように接続され、上記出力機能装置
   が、信号増幅装置とテスト信号発生装置によって信号増
   幅装置の前の制御装置出力に入れられたテストパルス信
   号の受信に応動じてテストモニタ装置からの出力信号で
   閉成するように付勢される少なくとも一つのスイッチを
   備えた装置との間の接続部を備え、テスト信号が信号増
   幅装置を作動できるがしかじ上紀少なくとも一つのスイ
   ッチを備えた装置を作動できず、そして制御出力信号増
   幅！！置の動作可能性をチェックするため信号増幅装置
   の後のテストモニタ装置によって検出される特許請求の
   範囲第１〜５項のいずれかに記載の連動方式。