JPWO2010097889A1 - 安全制御システムおよび安全制御方法 - Google Patents

Abstract

制御装置１と、被制御装置１０と、制御装置１から出力される制御データに所定の処理を実施して送信データとする第１の安全層処理部２，第２の安全層処理部３と、送信データを多重して伝送路６に送出する第１の伝送層処理部４と、伝送路６から受信した多重データを分離する第２の伝送層処理部７と、分離データに正常性確認処理を実施し、正常であると判断した場合にその分離データの制御データを被制御装置２へ送信する第３の安全層処理部８，第４の安全層処理部９と、を備える安全制御システムであって、第２の伝送層処理部７は、伝送路６の品質が所定のしきい値より劣化した場合に警報信号を送信する誤り検出部１２、を備え、第３の安全層処理部８，第４の安全層処理部９は、警報信号を受信すると前記被制御装置への制御データの送信を停止する。

Description

本発明は、鉄道システムやＦＡ（Factory Automation）等に適用される安全制御システムおよび安全制御方法に関するものである。

機械の故障やソフトウェアのバグによる誤動作，誤操作を防いで制御を行う安全制御システムの従来技術の一例として、たとえば、下記非特許文献１に記載の安全バスシステムがある。この安全バスシステムは、制御装置，第１の安全層，第２の安全層，第１の伝送層，第２の伝送層，第３の安全層，第４の安全層，被制御機器を備えており、制御装置が被制御機器を制御するためのデータを送信する。なお、第１の伝送層，第２の伝送層は、伝送のための処理を行う処理部であり、第１の安全層，第２の安全層，第３の安全層，第４の安全層は、安全通信を行うためエラーの検出用処理（セーフティコードの処理）を行う処理部である。

第１の安全層および第２の安全層は、お互いが冗長系となっており、それぞれ制御装置から送信された被制御機器を制御するためのデータについて、お互いのデータを比較し所定のエラー検出用の処理を行い安全メッセージとし第１の伝送層に出力する。第１の伝送層の多重部は、第１の安全層からの出力と第２の安全層からの出力とを多重して第２の伝送層に送信する。第２の伝送層のパケット分離部は、多重されたデータを分離し、第３の安全層，第４の安全層にそれぞれ出力する。たとえば、第１の安全層からの出力を第３の安全層に出力し、第２の安全層からの出力を第４の安全層に出力するよう、分離して出力する。

第３の安全層および第４の安全層は、お互いが冗長系となっており、入力されたデータがお互いに一致するかの確認、エラー検出のための所定の処理（シーケンス番号検出およびＣＲＣ（Cyclic Redundancy Check）検出等）を実施し、処理結果に基づいて正常に信号が受信できたと判断したときに被制御機器にデータを出力する。また、第３の安全層および第４の安全層は、データを正常に受信できた場合は確認信号（ＡＣＫ信号）を第１の安全層および第２の安全層に送信する。

一方、伝送路障害や伝送路品質劣化等により正常データが受信できなかった時には、第３の安全層および第４の安全層は、制御を中止し、また、第１の安全層および第２の安全層に警報を送信する。たとえば、伝送路品質劣化の場合には、上記の処理で正常に受信できなかったと判断する。また、第３の安全層および第４の安全層は、伝送路障害などによりデータが到着しない場合に異常と判定するために、たとえば、ＣＰＵのウォッチ・ドッグ・タイマなどの周期タイマを用い、第１の安全層および第２の安全層を受信してから、所定の時間が経過しても次のデータが受信できない場合、第１の安全層および第２の安全層に警報を送信する。

田中 紘一 訳，"オートメーション用安全バスシステム"，ＮＰＯ安全工学研究所，２００３年９月

しかしながら上記従来の安全バスシステムでは、第３の安全層および第４の安全層が入力された信号のデータ一致検出、シーケンス番号検出およびＣＲＣ検出、周期タイマによる監視等を実施し、異常を検出する。そのため、異常を検出するまでに時間がかかる、という問題があった。

また、上記従来の安全バスシステムでは、第３の安全層および第４の安全層は、異常を検出した場合には、被制御機器を切り離す（停止）ことになるため、その間制御不可になりサービスを停止する、という問題があった。異常が発生した場合に異常の検出が遅れると、その対策も遅れサービスの停止時間が遅れることになる。

本発明は、上記に鑑みてなされたものであって、異常を検出するまでの時間を短縮し、サービス停止時間を低減することができる安全制御システムおよび安全制御方法を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、制御装置と、前記制御装置に制御される被制御装置と、前記制御装置から出力される制御データに所定の正常性確認用の送信処理を実施して送信データとする送信側安全層処理手段と、前記送信データを多重して多重データとして伝送路に送出する送信側伝送処理手段と、前記伝送路から受信した多重データを送信データに分離して分離データとして出力する受信側伝送処理手段と、前記分離データに所定の正常性確認処理を実施し、正常であると判断した場合に、その分離データから抽出した制御データを前記被制御装置へ送信する受信側安全層処理手段と、を備える安全制御システムであって、前記受信側伝送処理手段は、前記伝送路を経由して受信する信号に基づいて前記伝送路の品質を求め、前記品質が所定のしきい値より劣化した場合に、異常を通知する警報信号を前記受信側安全層処理手段へ送信する誤り検出手段、を備え、前記受信側安全層処理手段は、前記警報信号を受信すると前記被制御装置への制御データの送信を停止する停止手段、を備えることを特徴とする。

本発明にかかる安全制御システムおよび安全制御方法は、第２の伝送層が誤り検出手段を備え、伝送路の誤り率を監視し、誤り率が所定の誤り率より悪化した場合に、第３の安全層，第４の安全層へ警報信号を送信するようにしたので、異常を検出するまでの時間を短縮し、サービス停止時間を低減することができる、という効果を奏する。

図１は、本発明にかかる安全制御システムの実施の形態１の構成例を示す図である。 図２は、従来例の障害発生時の処理の一例を示すシーケンス図である。 図３は、実施の形態２の安全制御システムの構成例を示す図である。 図４は、実施の形態３の安全制御システムの構成例を示す図である。 図５は、実施の形態４の安全制御システムの構成例を示す図である。 図６は、加速量の変動パターン例を示す図である。 図７は、品質推定部の構成例を示す図である。 図８は、加速度検出部の構成例を示す図である。 図９は、ノイズレベル検出部の構成例を示す図である。

符号の説明

１ 制御装置
２ 第１の安全層処理部
３ 第２の安全層処理部
４，４ａ，４ｂ，４ｃ 第１の伝送層処理部
５，１９ パケット多重部
６，２０ 伝送路
７，７ａ，７ｂ 第２の伝送層処理部
８ 第３の安全層処理部
９ 第４の安全層処理部
１０ 被制御機器
１１ パケット分離部
１２，１２ａ 誤り検出部
１３ 第１の誤り訂正符号部
１４ 第２の誤り訂正符号部
１５ 第１の誤り訂正復号部
１６ 第２の誤り訂正復号部
１７，１７ａ 連送回数制御部
１８ コピー部
２１ 品質推定部
２２ 加速度計
２３ 加速度検出部
２４ ノイズレベル検出部
２５ 遅延部
２６ 電位差増幅部
２７ 第１の電圧比較部
２８ 第２の電圧比較部
２９ 論理合成部
３０ 検波部
３１ コード化部

以下に、本発明にかかる安全制御システムおよび安全制御方法の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明にかかる安全制御システムの実施の形態１の構成例を示す図である。図１に示すように、本実施の形態の安全制御システムは、制御装置１，第１の安全層処理部２，第２の安全層処理部３，第１の伝送層処理部４，伝送路６，第２の伝送層処理部７，第３の安全層処理部８，第４の安全層処理部９，被制御機器１０で構成される。また、第１の伝送層処理部４は、パケット多重部５を備え、第２の伝送層処理部７は、パケット分離部１１と誤り検出部１２を備えている。

本実施の形態の安全制御システムは、「“オートメーション用安全バスシステム”，ＮＰＯ安全工学研究所 ３８ページ」（以下、従来例という）に示されている安全バスシステムの第２の伝送層（図１では、第２の伝送層処理部７）に、誤り検出部１２を追加している。制御装置１は、送信側の安全層処理手段である第１の安全層処理部２および第２の安全層処理部３と、第１の伝送層処理部４と、伝送路６と、第２の伝送層処理部７と、受信側の安全層処理手段である第３の安全層処理部８および第４の安全層処理部９を介して、被制御装置１０を制御するための制御データを送信する。第１の安全層処理部２，第２の安全層処理部３，第３の安全層処理部８，第４の安全層処理部９は、安全層の処理を行う。安全層は、制御データの誤りによる誤動作等を防ぐ制御を行うためのデータの正常性確認の処理等を実施する層である。

本実施の形態では、上記の従来例と同様に、第１の安全層処理部２，第２の安全層処理部３は、冗長系を構成しており、制御装置１は、第１の安全層処理部２および第２の安全層処理部３に同一の制御データを送信する。そして、第１の安全層処理部２，第２の安全層処理部３は、それぞれ自身に入力された制御データと他方の安全層処理部（第２の安全層処理部３，第１の安全層処理部２）に入力された制御データと、を照合した後、第１の伝送層処理部４のパケット多重部５に自身に入力された制御データを出力する。パケット多重部５は、第１の安全層処理部２，第２の安全層処理部３から入力された制御データを多重し、多重化データを伝送路６に送信する。

第２の伝送層処理部７のパケット分離部１１および伝送路６の誤り検出部１２は、伝送路６から多重化データを受け取る。そして、パケット分離部１１は、多重化データを分離し、分離後のデータを第３の安全層処理部８および第４の安全層処理部９に送信する。この際、たとえば、第１の安全層処理部２から出力された制御データが第３の安全層処理部８に出力され、第２の安全層処理部３から出力された制御データが第４の安全層処理部９に出力されるよう、分離および出力を行う。

誤り検出部１２は、多重化データに基づいて伝送路６の伝送路品質監視を行う。具体的には、多重化データに基づいて誤り率を求め、誤り率があらかじめ設定された誤り率より悪化した場合、警報信号を第３の安全層処理部８および第４の安全層処理部９に出力する。このときの誤り検出方法は、第３の安全層処理部８および第４の安全層処理部９が実施する方法と同様でもよいし、異なる方法としてもよい。また、多重化データ以外の伝送路６を通過する他のデータに基づいて誤り率を求めるようにしてもよい。異なる方法とする場合には、誤り検出部１２が誤り検出のために用いる誤り検出符号等をたとえばパケット多重部５が付加しておくこととする。

第３の安全層処理部８および第４の安全層処理部９は、上記の従来例と同様に冗長系を構成しており、入力されたデータに対してデータ一致検出、シーケンス番号検出およびＣＲＣ検出などの処理を実施し、入力されたデータの正常性が確認できた場合には、そのデータに含まれる制御データを抽出して被制御装置１０へ送信する。従来例では、伝送路品質に依存する誤りが発生した場合、第３の安全層処理部８および第４の安全層処理部９が、データ一致検出、シーケンス番号検出およびＣＲＣ検出などの処理を実施した後に、誤りが検出される。本実施の形態では、パケット分離部１１の処理、第３の安全層処理部８または第４の安全層処理部９の処理を実施する前に伝送路品質に依存する誤りを検出することができるので、従来例に比べ、警報信号を速やかに送信することができる。

また、第３の安全層処理部８または第４の安全層処理部９の処理回路に障害が発生し、前記一致検出、シーケンス番号検出およびＣＲＣ検出等の処理ができなくなった場合、従来例では、第３の安全層処理部８および第４の安全層処理部９が稼働するＣＰＵのウォッチ・ドック・タイマで異常を検出することになる。

図２は、従来例の障害発生時の処理の一例を示すシーケンス図である。図２に示すように、時刻t0で、第１の安全層処理部２および第２の安全層処理部３から第１の安全メッセージとして制御データが発信され、第１の伝送層処理部４および第２の伝送層処理部７経由で第３の安全層処理部８および第４の安全層処理部９に時刻t1に到着する（ステップＳ１１）。ここで、応答タイマT0を第１の安全層処理部２および第２の安全層処理部３からデータを送信する時間間隔とする。第３の安全層処理部８および第４の安全層処理部９は、上述の処理を行い、データが正常であると判断した場合には、第１の安全メッセージの確認（ＡＣＫ信号）を送信する（ステップＳ１２）。

第１の安全層処理部２および第２の安全層処理部３は、時刻t2（＝t1＋T0）に、第２の安全メッセージとして制御データを発信する（ステップＳ１３）。また、周期タイマT1は、第３の安全層処理部８，第４の安全層処理部９が稼働するＣＰＵのウォッチ・ドック・タイマとする。ここで、伝送路６で不具合が生じ、第２の安全メッセージが第３の安全層処理部８および第４の安全層処理部９に到着しなかったとする（ステップＳ１４）。この場合、第３の安全層処理部８，第４の安全層処理部９が稼働するＣＰＵのウォッチ・ドック・タイマは、t1からT1が経過しても第１の安全層処理部２および第２の安全層処理部３からデータが到着しないため異常と判断し（不具合検出：ステップＳ１５）、警報信号を第３の安全層処理部８および第４の安全層処理部９に送信し、障害通知を第１の安全層処理部２および第２の安全層処理部３へ障害を通知する（ステップＳ１６）。そして、第３の安全層処理部８および第４の安全層処理部９は、警報信号を受信すると被制御機器１０を切り離す。

一方、本実施の形態では、伝送路不具合を、第２の伝送層処理部７の誤り検出部１２がデータを受信し、誤り検出を行うことにより検出できる。したがって、たとえば、第２の伝送層処理部７の誤り検出部１２が第２の安全メッセージの誤り率が所定の誤り率を超えたと判断した時刻を時刻t3とすると、本実施の形態では、時刻（t0＋T1）と時刻t3の差であるタイムロスTL分だけ従来例より早く不具合が検出できる。

また、第３の安全層処理部８および第４の安全層処理部９は、正しく制御データを受信できなかった場合には、被制御機器１０を切り離す。したがって、切り離しが行われてから正常に復帰するまで、その安全制御システムのサービスは停止することになる。警報信号を早く送信することができれば、その分対策が早く実施でき、結果としてサービス停止期間を短縮することができる。

なお、本実施の形態では、第１の安全層処理部２と第２の安全層処理部３、第３の安全層処理部８と第４の安全層処理部９が、それぞれ冗長系を構成し、同一制御データを処理するようにしたが、これに限らず、第１の安全層処理部２と第２の安全層処理部３が互いに異なるデータを送信するようにしてもよい。第１の伝送層処理部４が多重化を行い、第２の伝送層処理部７がパケット分離を行うシステムであれば、第１の安全層処理部２と第２の安全層処理部３が互いに異なるデータを送信する場合にも、本実施の形態と同様に第２の伝送層処理部７の誤り検出部１２を追加すればよい。

以上のように、本実施の形態では、第２の伝送層処理部７が誤り検出部１２を備え、伝送路６の誤り率を監視し、誤り率が所定の誤り率より悪化した場合に、第３の安全層処理部８，第４の安全層処理部９へ警報信号を送信するようにした。そのため、従来に比べ、異常を検出するまでの時間を短縮することができる。また、異常を検出するまでの時間を短縮することができるため、サービス停止期間を短縮することができる。

実施の形態２．
図３は、本発明にかかる安全制御システムの実施の形態２の構成例を示す図である。図３に示すように、本実施の形態の安全制御システムは、実施の形態１の安全制御システムの第１の伝送層処理部４，第２の伝送層処理部７をそれぞれ第１の伝送層処理部４ａ，第２の伝送層処理部７ａに替える以外は、実施の形態１と同様である。本実施の形態の第１の伝送層処理部４ａは、実施の形態１の第１の伝送層処理部４に第１の誤り訂正符号部１３，第２の誤り訂正符号化部１４を追加する以外は、実施の形態１の第１の伝送層処理部４と同様である。また、本実施の形態の第２の伝送層処理部７ａは、実施の形態１の第２の伝送層処理部７に第１の誤り訂正復号部１５，第２の誤り訂正復号部１６を追加する以外は、実施の形態１の第２の伝送層処理部７と同様である。実施の形態１と同様の機能を有する構成要素は、同一の符号を付して説明を省略する。

本実施の形態では、実施の形態１と同様に制御装置１から第１の安全処理部層２および第２の安全層処理部３に制御データが送信される。そして、本実施の形態では、第１の安全層処理部２からの出力される制御データは第１の誤り訂正符号部１３に入力され、第１の誤り訂正符号部１３が、入力された制御データに所定の符号化処理を実施し、符号化処理後の制御データをパケット多重部５に出力する。同様に、第２の安全層処理部３から出力される制御データは第２の誤り訂正符号化部１４に入力され、第２の誤り訂正符号化部１４が、入力された制御データに所定の符号化処理を実施した後、パケット多重部５に出力する。

パッケト多重部５は、第１の誤り訂正符号部１３からの出力と第２の誤り訂正符号部１４からの出力とを多重化し、伝送路６に多重化データを出力する。第２の伝送層処理部７ａは、伝送路６から多重化データを受信し、パケット分離部１１が、多重化データを分離する。そして、分離後のデータを第１の誤り訂正復号部１５，第２の誤り訂正復号部１６にそれぞれ入力する。第１の誤り訂正復号部１５は、入力された分離データに所定の誤り訂正復号化処理を実施した後、第３の安全層処理部８にデータを送出する。第２の誤り訂正復号部１６は、入力された分離データに所定の誤り訂正復号化処理を実施した後、第４の安全層処理部９にデータを送出する。このように、本実施の形態の第２の伝送層処理部７ａは、第１の誤り訂正復号部１５，第２の誤り訂正復号部１６は、誤り訂正復号を行うため、伝送路６で誤りが生じても、誤り訂正能力の範囲内であれば第３の安全層処理部８，第４の安全層処理部９に入力されるデータには誤りが生じない。

本実施の形態では、実施の形態１と同様に、第３の安全層処理部８，第４の安全層処理部９が入力されたデータが正常でないと判断した場合には、被制御機器１０を切り離す。しかし、上記のように、第１の誤り訂正復号部１５，第２の誤り訂正復号部１６の誤り訂正能力の範囲内であれば、伝送路６で誤りが生じても、被制御機器１０を切り離さず制御を続けることができる。

また、誤り検出部１２は、実施の形態１と同様に、伝送路６の伝送路品質監視を行い、誤り率があらかじめ定められた誤り率より悪化した場合に、第３の安全層処理部８，第４の安全層処理部９へ警報信号を送信する。

本実施の形態では、誤り訂正技術を適用しているため、第１の誤り訂正復号部１５，第２の誤り訂正復号部１６の誤り訂正能力の範囲内であれば、伝送路６で誤りが生じても制御を続けるが、伝送路品質自体は、劣化しているので誤り検出部１２が警報信号を送信して通知する。

サービス運用面から考慮すると明らかに伝送路品質が劣化しているので速やかに伝送路切替えや伝送路補修などの対策を実施すべきであるが、そのような対策を行う場合には、一時的にサービスの停止を行うことになる。本実施の形態では、上記のようにサービスを継続できるため、運用を考慮してサービスへの支障を最小限にするようなタイミングで上記の対策を行うことができる。

以上のように、本実施の形態では、第１の伝送層処理部４ａの第１の誤り訂正符号部１３，第２の誤り訂正符号部１４が、それぞれ第１の安全層処理部２，第２の安全層処理部３の出力に誤り訂正符号化処理を施し、第２の伝送層処理部７ａの第１の誤り訂正復号部１５，第２の誤り訂正復号部１６が、誤り訂正復号処理を実施するようにしたので、誤り訂正能力の範囲内であれば、伝送路６で誤りが生じても制御を続けることができる。また、誤り検出部１２が実施の形態１と同様に、伝送路６の誤り率が所定の値より劣化した場合には警報信号を送信するようにしたので、異常を速やかに検出することができ、さらに、運用を考慮してサービスへの支障を最小限にするようなタイミングで伝送路６の品質向上対策を行うことができる。

実施の形態３．
図４は、本発明にかかる安全制御システムの実施の形態３の構成例を示す図である。図４に示すように、本実施の形態の安全制御システムは、実施の形態１の安全制御システムの第１の伝送層処理部４，第２の伝送層処理部７をそれぞれ第１の伝送層処理部４ｂ，第２の伝送層処理部７ｂに替え、伝送路２０を追加する以外は、実施の形態１と同様である。本実施の形態の第１の伝送層処理部４ｂは、実施の形態１の第１の伝送層処理部４に連送回数制御部１７，コピー部１８，パケット多重部１９を追加する以外は、実施の形態１の第１の伝送層処理部４と同様である。また、本実施の形態の第２の伝送層処理部７ｂは、実施の形態１の第２の伝送層処理部７の誤り検出部１２を誤り検出部１２ａに替える以外は、実施の形態１の第２の伝送層処理部７と同様である。実施の形態１と同様の機能を有する構成要素は、同一の符号を付して説明を省略する。

実施の形態１と同様に、制御装置１は、第１の安全層処理部２および第２の安全層処理部３に同一の制御データを送信する。また、パケット多重部５は、実施の形態１と同様に、第１の安全層処理部２の出力と第２の安全層処理部３の出力とを多重化する。ここで、本実施の形態では、パケット多重部５は、多重化データをコピー部１８およびパケット多重部１９にそれぞれ出力する。パケット多重部１９は、後記のコピー部１８からの出力されるデータと、パケット多重部５から出力される多重化データとを多重し、多重化データを伝送路６に送出する。

第２の伝送層処理部７ｂは、伝送路６から多重化データを受信し、誤り検出部１２ａが、伝送路６の伝送路品質を監視し、監視結果を伝送路２０経由で第１の伝送層処理部４ｂに送信する。監視結果としては、システム構成によって異なるが、監視結果として誤り率を求め、誤り率毎にコード化された信号を定めておきコード化された信号を伝送する、符号誤り検出結果をそのまま伝送する、などの方法がある。ここでは、誤り率毎にコード化したデータを伝送する場合を例にして、以降の説明を行う。

第１の伝送層処理部４ｂは、伝送路２０経由で監視結果を受信し、連送回数制御部１７が、受信した監視結果に基づいて連送回数を決定する。一般に誤り率が悪く伝送路品質が悪い場合には、連送回数を多くするよう決定する。コピー部１８は、連送回数制御部１７が決定した連送回数に基づいてパケット多重部５から出力されるデータを連送回数分コピーし、あらかじめ設定されたタイミングでコピーしたデータをパケット多重部１９に順次出力する。

このように、連送回数分コピーされたデータは、第２の伝送層処理部７ｂのパケット分離部１１に入力され、パケット分離される。したがって、パッケト分離部１１は、伝送路品質が悪い場合には、より多くの連送回数分同じデータを受信するため、連送回数なしの場合に比べて正常に受信できる確率が高くなる。したがって、第３の安全層処理部８および第４の安全層処理部９は、データ一致検出、シーケンス番号検出およびＣＲＣ検出が正常に実施できる確率が高くなり、被制御機器１０を安定に制御できる。すなわち、これまで伝送路品質劣化によって第３の安全層処理部８，第４の安全層処理部９の処理で誤りが検出され、被制御機器１０を切り離していた場合でも、上記のようにデータを所定の回数だけ連送することにより、被制御機器１０の切り離しを防止することができるのでサービス停止に至らずサービス品質を向上することができる。

なお、本実施の形態の安全制御システムに、実施の形態２と同様に第１の誤り訂正符号部１３，第２の誤り訂正符号化部１４，第１の誤り訂正復号部１５，第２の誤り訂正復号部１６を追加し、連送による被制御機器１０の切り離しを防止と、誤り訂正による制御機器９の切り離しを防止の両方を実施するようにしてもよい。

以上のように、本実施の形態では、第１の伝送層処理部４ｂの連送回数制御部１７が、第２の伝送層処理部７ｂから受け取った伝送路６の品質の監視結果に基づいて連送回数を決定し、コピー部１８が、連送回数分だけ制御データをコピーして連送回数分同一の制御データを送信するようにした。そのため、伝送路６の品質の低下を速やかに検出することができるとともに、伝送路６の品質が低下した場合でも、第３の安全層処理部８，第４の安全層処理部９が正常に制御データを受信できる可能性が高くなり、被制御機器１０の切り離しを防止し、安定してサービスを実施することができる。

実施の形態４．
図５は、本発明にかかる安全制御システムの実施の形態４の構成例を示す図である。図５に示すように、本実施の形態の安全制御システムは、実施の形態３の安全制御システムの第１の伝送層処理部４ｂを第１の伝送層処理部４ｃに替える以外は、実施の形態３の安全制御システムと同様である。また、第１の伝送層処理部４ｃは、実施の形態３の連送回数制御部１７を連送回数制御部１７ａに替え、実施の形態３の第１の伝送層処理部４ｂに品質推定部２１を追加する以外は、実施の形態１の第１の伝送層処理部４ｂと同様である。実施の形態３と同様の機能を有する構成要素は、同一の符号を付して説明を省略する。

実施の形態１と同様に、制御装置１は、第１の安全層処理部２および第２の安全層処理部３に同一の制御データを送信する。また、パケット多重部５は、実施の形態１と同様に、第１の安全層処理部２の出力と第２の安全層処理部３の出力とを多重化する。ここで、本実施の形態では、パケット多重部５は、多重化データをコピー部１８およびパケット多重部１９にそれぞれ出力する。パケット多重部１９は、後記のコピー部１８からの出力されるデータと、パケット多重部５から出力される多重化データとを多重し、多重化データを伝送路６に送出する。

品質推定部２１は、モータ等の稼動により通信基板または伝送路等に雑音が重畳されるタイミングとノイズレベルを検出する手段である。鉄道システム等で用いられる移動する安全制御システムの場合、モータ等の稼働により雑音が通信基板または伝送路等に雑音が重畳されることがある。図６は、加速量の変動パターン例を示す図である。図６の上段図は、モータ等の稼動により生じる速度のプロファイルの一例を示している。図６では時刻t11から時刻t12までは進行方向に加速し進行方向への速度を上げている状態であり、時刻t12から時刻t13までは加速せず一定の速度で進行している。さらに時刻t13から時刻t14までは、進行方向と逆の方向に加速し、つまり進行方向への速度を遅くしている状態である。この図６の上段図のような速度プロファイルの場合、図６の中段図に示したように、加速している間（進行方向、逆方向とも）に、電源ノイズが発生する。たとえば、図６に示したような速度の変動パターンを求め、変動パターンに基づいて加速および減衰のタイミングを検出し、さらにタイミングに通信基板または伝送路等に重畳されるノイズ量を検出し、検出されたノイズ量を示す品質情報を連送回数制御部１７ａに送出する。

図７は、品質推定部２１の構成例を示す図である。図７に示すように、品質推定部２１は、加速度計２２，加速度検出部２３，ノイズレベル検出部２４で構成される。加速度計２２は、加速量を電圧または電流に変換する装置である。加速度計２２は、たとえば、進行方向に加速した場合は、正の電位を出力し、進行方向と逆の方向に加速した場合は負の電位を出力する。図６の下段図は、加速度計２２が加速量を電圧または電流に変換した結果、すなわち加速検出結果の一例を示している。

図８は、加速度検出部２３の構成例を示す図である。図８に示すように、加速度検出部２３は、遅延部２５，電位差増幅部２６，第１の電圧比較部２７，第２の電圧比較部２８，論理合成部３０で構成される。加速度計２２は、図６の上段図に示すような物理的な変動を検出し、電位差増幅部２６および遅延部２５に入力する。遅延部２５は、入力信号を任意の時間だけ遅らせる。電位差増幅部２６は、加速度計２２から出力される変動信号と遅延部２５から出力される遅延後の信号との電位差を検出し、検出した電位差を任意の利得で増幅する。電位差増幅部２６としては一般にオペアンプ等が適用される。

ここで、遅延部２５で遅延させる遅延量をTdelayとしてTdelayを比較的小さな値（0＜Tdelay＜（t12-t11））に設定した場合には、図６の例では、時刻t11と時刻t12の間は、加速度計２２の検出する変動信号と遅延部２５から出力される遅延後の信号との間には、速度（変動）の傾き（大きさ）に応じた電位差が生じる。この時の電位差をΔV1とする。

一方、図６の例では、時刻t12から時刻t13の間では電圧が変化しないため、加速度計２２の検出する変動信号と遅延部２５から出力される遅延後の信号との間にはほとんど電位差が出なくなる。この時の電位差をΔV2とする。

また、図６の例では、時刻t13から時刻t14間は、時刻t11から時刻t12と同様、加速度計２２の検出する変動信号と遅延部２５から出力される遅延後の信号との間に速度の傾き（大きさ）に応じた電位差が生じる。この時の電位差をΔV3とする。時刻t11と時刻t12間，時刻t13と時刻t14間の加速度の方向は逆であるから、電位差ΔV1と電位差ΔV3は、符号の異なる値、たとえば、具体的には電位差ΔV１＞０，電位差ΔV3＜０となる。

第１の電圧比較部２７は、電位差増幅部２６から出力される信号が所定の第１の基準電圧より高い場合に有意信号を出力する。たとえば、第１の基準電圧Vth1を以下の式（１）に示す条件を満たすとすれば、時刻t11から時刻ｔ12の間有意信号が出力される。
第１の基準電圧設定条件：ΔV2＜Vth1<ΔV1 …（１）

第２の電圧比較部２８は、電位差増幅部２６から出力される信号が所定の第２の基準電圧より低い場合に有意信号を出力する。たとえば、第２の基準電圧Vth2が式（２）に示す条件を満たすとすれば、時刻t13から時刻ｔ14の間有意信号が出力される。
第２の基準電圧設定条件：ΔV3＜Vth2<ΔV2 …（２）

論理合成部２８は、第１の電圧比較部２７から出力される有意信号と第２の電圧比較部２８から出力される有意信号とを合成する。図６の例では、の下段図が、論理合成部２８の合成結果、すなわち、加速度検出結果の信号である（ここでは、たとえば、信号を“Ｈ（High）”、“L（Low）”の２レベルとし、“Ｈ（High）”レベルを有意とする）。

ノイズレベル検出部２４は、加速により付加されたノイズレベルを検波してノイズレベルに応じたコードを出力する。図９は、ノイズレベル検出部２４の構成例を示す図である。ノイズレベル検出部２４は、検波部３０，コード化部３１で構成される。検波部３０には、加速度検出部２３からの出力される加速度検出結果信号と電源ライン等のノイズが付加された信号とが入力される。検波部３０は、加速度検出結果信号が有意のとき、ノイズが付加された信号のノイズレベルを検波する。そして、コード化部３１が、検波したノイズレベルをコード化して出力する。

連送回数制御部１７ａは、品質推定部２１のノイズレベル検出部２４から出力されるコードに基づいて第１のパケット多重部５から出力されるデータの連送回数を設定する。一般にノイズレベル検出部２４から出力されるコードに対応するノイズ量が大きいほど連送回数が多くなるよう設定するようコードと連送回数をあらかじめ対応づけておき、その対応に基づいて連送回数を設定する。

また、実施の形態３と同様に、第２の伝送層処理部７ｂの誤り検出手段１２ａは所定の誤り率発生を示すコードを送信する。連送回数制御部１７ａは、第２の伝送層処理部７ｂの誤り検出部１２ａから誤り率発生を示すコードを受信した場合には、上記のノイズレベル検出部２４から出力されるコードに基づいて求めた連送回数に、誤り率に基づいて求めた数だけ連送回数を加算してデータを連送する。以上述べた以外の本実施の形態の動作は、実施の形態３の動作と同様である。

なお、本実施の形態では、加速を検出した場合に、ノイズレベル検出部２４がノイズレベルを検出するようにしたが、これに限らず、ノイズレベル検出部２４が常時ノイズレベルを検出し、ノイズレベルが所定の値以上になった場合に、コード化部３１がノイズレベルをコード化して出力するようにしてもよい。

なお、本実施の形態では、実施の形態３の安全制御システムに品質推定部２１を追加した構成としているが、これに限らず、連送回数制御部１７ａが、誤り検出部１２ａから通知される誤り率を考慮せず、品質推定部２１からの出力に基づいて連送回数を決定するようにしてもよい。

また、本実施の形態の安全制御システムに、実施の形態２と同様に第１の誤り訂正符号部１３，第２の誤り訂正符号化部１４，第１の誤り訂正復号部１５，第２の誤り訂正復号部１６を追加し、ノイズ検出による連送と、誤り訂正の両方により被制御機器１０の切り離しを防止するようにしてもよい。

以上のように、本実施の形態では、第１の伝送層処理部４ｃが品質推定部２１を備え、品質推定部２１が加速度を検出し、加速されている期間のノイズを検出し、検出されたノイズ量に基づいて第１の伝送層処理部４ｃから送信される制御データの連送回数を決定するようにした。そのため、実施の形態１と同様に伝送路６の異常を速やかに検出できるとともに、ノイズが発生した場合に生じるエラーの増大時にも、連送を行うことにより正常に受信できる確率が大きくなり、正常通信できる場合が多くなる。そのため、被制御機器１０をより安定に制御でき、サービスの停止を防ぐことができる。

以上のように、本発明にかかる安全制御システムおよび安全制御方法は、機械の故障やソフトウェアのバグによる誤動作，誤操作を防いで制御を行う安全制御システムに有用であり、特に、安定的なサービスを提供するために用いられる安全制御システムに適している。

Claims (13)

1. 制御装置と、前記制御装置に制御される被制御装置と、前記制御装置から出力される制御データに所定の正常性確認用の送信処理を実施して送信データとする送信側安全層処理手段と、前記送信データを多重して多重データとして伝送路に送出する送信側伝送処理手段と、前記伝送路から受信した多重データを送信データに分離して分離データとして出力する受信側伝送処理手段と、前記分離データに所定の正常性確認処理を実施し、正常であると判断した場合に、その分離データから抽出した制御データを前記被制御装置へ送信する受信側安全層処理手段と、を備える安全制御システムであって、
   前記受信側伝送処理手段は、
   前記伝送路を経由して受信する信号に基づいて前記伝送路の品質を求め、前記品質が所定のしきい値より劣化した場合に、異常を通知する警報信号を前記受信側安全層処理手段へ送信する誤り検出手段、
   を備え、
   前記受信側安全層処理手段は、
   前記警報信号を受信すると前記被制御装置への制御データの送信を停止する停止手段、
   を備えることを特徴とする安全制御システム。
2. 前記送信側伝送処理手段は、
   前記制御データに対して誤り訂正符号化処理を実施する誤り訂正符号手段、
   を備え、
   前記誤り訂正符号化処理後の制御データを多重して前記多重データとし、
   前記受信側伝送処理手段は、
   前記分離データに対して誤り訂正復号処理を実施する誤り訂正復号手段、
   をさらに備え、
   前記受信側安全層処理手段は、前記誤り訂正復号処理後の分離データに対して前記正常性確認処理を実施することを特徴とする請求項１に記載の安全制御システム。
3. 前記誤り検出手段は、
   前記品質を前記送信側伝送処理手段に通知し、
   前記送信側伝送処理手段は、
   前記多重データの複製を生成する複製手段と、
   前記誤り検出手段から通知された品質に基づいて同一データを繰り返して送信する回数である連送回数を求め、前記連送回数と連送を行うための時間間隔とを前記複製手段に通知する連送制御手段と、
   前記複製手段から出力された複製と前記多重データとをさらに多重して前記伝送路に送出する多重データとする多重化手段と、
   をさらに備え、
   前記複製手段は、前記連送回数分の複製を生成し、前記時間間隔に基づいて前記多重化手段に複製を出力することを特徴とする請求項１に記載の安全制御システム。
4. 前記送信側伝送処理手段は、
   自システムのノイズが付加された信号のノイズレベルを測定し、測定したノイズレベルを通知する品質推定手段、
   をさらに備え、
   前記連送制御手段は、さらに前記ノイズレベルに基づいて連送回数を求めることを特徴とする請求項３に記載の安全制御システム。
5. 前記誤り検出手段は、
   前記品質を前記送信側伝送処理手段に通知し、
   前記送信側伝送処理手段は、
   前記多重データの複製を生成する複製手段と、
   前記誤り検出手段から通知された品質に基づいて同一データを繰り返して送信する回数である連送回数を求め、前記連送回数と連送を行うための時間間隔とを前記複製手段に通知する連送制御手段と、
   前記複製手段から出力された複製と前記多重データとをさらに多重して前記伝送路に送出する多重データとする多重化手段と、
   をさらに備え、
   前記複製手段は、前記連送回数分の複製を生成し、前記時間間隔に基づいて前記多重化手段に複製を出力することを特徴とする請求項２に記載の安全制御システム。
6. 前記送信側伝送処理手段は、
   自システムのノイズが付加された信号のノイズレベルを測定し、測定したノイズレベルを通知する品質推定手段、
   をさらに備え、
   前記連送制御手段は、さらに前記ノイズレベルに基づいて連送回数を求めることを特徴とする請求項５に記載の安全制御システム。
7. 前記送信側伝送処理手段は、
   自システムのノイズが付加された信号のノイズレベルを測定し、測定したノイズレベルを通知する品質推定手段と、
   前記多重データの複製を生成する複製手段と、
   前記ノイズレベルに基づいて連送回数を求め、前記連送回数と連送を行うための時間間隔とを前記複製手段に通知する連送制御手段と、
   前記複製手段から出力された複製と前記多重データとをさらに多重して前記伝送路に送出する多重データとする多重化手段と、
   をさらに備え、
   前記複製手段は、前記連送回数分の複製を生成し、前記時間間隔に基づいて前記多重化手段に複製を出力することを特徴とする請求項１に記載の安全制御システム。
8. 前記送信側伝送処理手段は、
   自システムのノイズが付加された信号のノイズレベルを測定し、測定したノイズレベルを通知する品質推定手段と、
   前記多重データの複製を生成する複製手段と、
   前記ノイズレベルに基づいて連送回数を求め、前記連送回数と連送を行うための時間間隔とを前記複製手段に通知する連送制御手段と、
   前記複製手段から出力された複製と前記多重データとをさらに多重して前記伝送路に送出する多重データとする多重化手段と、
   をさらに備え、
   前記複製手段は、前記連送回数分の複製を生成し、前記時間間隔に基づいて前記多重化手段に複製を出力することを特徴とする請求項２に記載の安全制御システム。
9. 前記品質推定手段は、
   自システムに生じる加速度を測定する加速度計手段と、
   前記加速度計手段の測定結果に基づいて、加速または減速の生じている加減速期間であることを示す加速信号を出力する加速度検出手段と、
   前記加速信号が出力されている期間に前記ノイズレベルを測定して、測定したノイズレベルを通知するノイズレベル検出手段と、
   を備えることを特徴とする請求項４、６〜８のいずれか１つに記載の安全制御システム。
10. 前記加速度検出手段は、
    前記加速度計手段の測定結果を所定の遅延時間分遅延させた遅延信号を生成する遅延手段と、
    前記加速度計手段の測定結果と前記遅延信号との差を増幅した増幅信号を生成する増幅手段と、
    前記増幅信号が所定の上限しきい値より大きい場合に第１の有意信号を出力する第１の比較手段と、
    前記増幅信号が所定の下限しきい値より小さい場合に第２の有意信号を出力する第２の比較手段と、
    前記第１の比較手段から出力される第１の有意信号と、前記第２の比較手段から出力される第２の有意信号と、を論理合成し、合成後の信号を前記加速信号として出力する加減速期間論理合成手段と、
    を備えることを特徴とする請求項９に記載の安全制御システム。
11. 前記ノイズレベル検出手段は、
    加速信号が出力されている期間にノイズが付加された信号のノイズレベルを検波する検波手段と、
    前記ノイズレベルをコード化するコード化手段と、
    を備え、
    前記連送制御手段は、コード化されたノイズレベルに基づいて連送回数を求めることを特徴とする請求項９に記載の安全制御システム。
12. 前記ノイズレベル検出手段は、
    加速信号が出力されている期間にノイズが付加された信号のノイズレベルを検波する検波手段と、
    前記ノイズレベルをコード化するコード化手段と、
    を備え、
    前記連送制御手段は、コード化されたノイズレベルに基づいて連送回数を求めることを特徴とする請求項１０に記載の安全制御システム。
13. 制御装置と、前記制御装置に制御される被制御装置と、前記制御装置から出力される制御データに所定の正常性確認用の送信処理を実施して送信データとする送信側安全層処理手段と、前記送信データを多重して多重データとして伝送路に送出する送信側伝送処理手段と、前記伝送路から受信した多重データを送信データに分離して分離データとして出力する受信側伝送処理手段と、前記分離データに所定の正常性確認処理を実施し、正常であると判断した場合に、その分離データから抽出した制御データを前記被制御装置へ送信する受信側安全層処理手段と、を備える安全制御システムにおける安全制御方法であって、
    前記受信側伝送処理手段が、前記伝送路を経由して受信する信号に基づいて前記伝送路の品質を求め、前記品質が所定のしきい値より劣化した場合に、異常を通知する警報信号を前記受信側安全層処理手段へ送信する誤り検出ステップと、
    前記受信側安全層処理手段が、前記警報信号を受信すると前記被制御装置への制御データの送信を停止する停止ステップと、
    を含むことを特徴とする安全制御方法。

Images