KR101295770B1

KR101295770B1 - 안전 무결성 확보를 위한 열차제어 시스템

Info

Publication number: KR101295770B1
Application number: KR1020110056188A
Authority: KR
Inventors: 김봉택; 박주열; 김효상
Original assignee: 김봉택; 김효상; 박주열
Priority date: 2011-06-10
Filing date: 2011-06-10
Publication date: 2013-08-12
Also published as: KR20120136955A

Abstract

본 발명에 따른 안전 무결성 확보를 위한 열차제어 시스템은 다중 코어로 구성되는 멀티 프로세서, 또는 독립적인 프로세서를 포함하는 다중 시스템 장치에 의해 다수결 선택에 따라 오류가 제어된 상태로 열차 제어를 수행함으로써 시스템 신뢰도와 안정성을 향상시킴은 물론, 오류가 발생한 시스템 장치를 재 기동하여 점검 후 이용하도록 함으로써 전체 제어시스템의 활용도를 향상시킨다.

Description

안전 무결성 확보를 위한 열차제어 시스템{Train contol system for obtain safty integrity}

본 발명은 열차제어 시스템에 관한 것으로, 더욱 상세하게는 다중 프로세서를 이용하여 오류 발생을 최소화하여 제어 시스템의 안정성, 및 신뢰도를 확보하고, 오류가 발생한 프로세서를 재 가동하도록 함으로써 전체 시스템의 활용도를 향상시키는 안전 무결성 확보를 위한 열차제어 시스템에 관한 것이다.

전자제품의 안전에 대한 등급을 다루는 IEC 61508 표준이 발표된 이후, 철도 시스템 관련 업계에서는 안전무결성 레벨(SIL : Safety Integrity Level)에 대한 관심이 증가하고 있다.

안정무결성 레벨은 열차 제어 시스템에 요구되는 성능 대비 고장률과 위험 대비 고장률을 제안하는 것으로, 안전무결성 레벨은 가장 낮은 레벨 1부터 가장 높은 레벨 4까지 제안되어 있다. 열차와 신호 시스템 사이의 오류에 의해 대량의 인명, 및 재산 피해가 발생 가능한 시스템의 경우, 레벨 4(SIL 4)가 요구되고 있다.

열차 신호의 안정성 확보를 위해서는, 열차 시스템을 구성하는 각 모듈, 및 각 모듈의 제어를 위한 제어 시스템의 안정성 확보와, 모듈간의 통신 신뢰성 향상이 요구된다. 각 모듈과 연결되어 제어하는 제어 시스템은 프로세서, 버스 제어장치, 타이머, 메모리, 및 입출력 장치의 요소로 규정될 수 있으며, 각 요소의 결함 혀용성(Fault Tolerance)을 구현하기 위해서는, 각 요소를 실시간으로 진단하여 오류를 정정함으로써 오류가 타 요소로 전달되는 것을 차단할 필요가 있다.

열차에 탑재되어 열차를 제어하는 ATP/ATO(Auto Train Operation)의 경우, 제어 시스템의 안정성 확보를 위해, 동일한 장치가 열차에 한 쌍으로 배치되고, 둘 중 하나가 액티브(ACTIVE) 상태일 때, 다른 하나가 스텐바이(STAND_BY) 상태를 유지하도록 구성된다. 액티브 상태의 제어 시스템에 오류가 발생 시, 스텐바이 상태의 제어 시스템이 대신 구동하도록 함으로써 열차를 제어하는 제어 시스템의 오류를 최소화하고 있다. 그러나, 액티브 상태의 제어 시스템은 차고지에 입고되어 보수될 때까지 사용되지 않으며, 스탠바이 상태의 제어 시스템에 오류가 발생하지 않음을 보증할 수는 없다.

한편, 열차, 및 열차 제어 시스템에 대한 안정성 확보를 위해 IEC62278에서RAMS(an acronym meaning a combination of Reliability, Availability, Maintainability and Safety) 규격을 정의한바 있다. RAMS 규격은 시스템의 신뢰성, 가용성, 유지보수성, 안정성의 조합을 의미하는 단어의 첫 문자로 표현되며, 어느 분야보다도, 열차 시스템에 요구되는 특징에 해당한다. RAMS 규격은 박영수가 저술한 "철도 시스템 안전무결성레벨(SIL)의 검증방안에 대한 연구"(한국철도학회 2007년 춘계학술대회논문집 pp.9-13, 2007), 및 2008년에 발간된 한국 철도학회 논문지 제11권 제4호에 371 ∼ 377에 기재된 내용을 참조하도록 한다.

안전무결성 레벨(SIL)은 프로그래머블 제어시스템의 RAMS 규격은 규격인 IEC 62278(EN 50126)에서 사고와 관련된 고장의 발생빈도를 완화한 수준을 평가할 때 사용된다.

안전무결성 레벨(SIL)은 하기의 표 1과 같이 레벨 1부터 레벨 4까지의 레벨로 표시되며, 각각의 레벨은 위험원(Hazard 또는 Dangerous Failure)의 발생빈도로 정의된다. 따라서 안전무결성 레벨(SIL)의 대상은 위험원 또는 위험측고장이 되며, 어떤 사고를 발생시키는 위험원 또는 위험 측 고장인지를 정의해야만 위험 측 고장률에 대한 안전성 측면의 SIL평가가 성립된다. 일반적으로 열차 시스템에서 언급하는 안전무결성 레벨(SIL4)은 사고와 관련된 위험원의 발생빈도로써 표 1의 우측의 위험 측 고장에 대한 발생빈도를 기준으로 평가된다. 표 1의 신뢰성 측면의 고장률 기준은 기대된 기능에 대한 실패의 발생빈도로써 고장발생의 영향이 사고와의 관련 여부를 평가하지 않고, 단지 주어진 기능이 실패할 확률을 의미한다. 하지만 신뢰성측면의 고장률에 대한 목표는 안전무결성 레벨(SIL)보다는 MTBF(Mean Time between Failure)나 MKBF(Mean Kilometer Between Failure)등으로 더 많이 표현될 수 있다.

따라서, 열차 시스템에 대한 안전무결성 레벨(SIL)의 의미는 사고(국내의 경우 철도 안전법상의 중대사고인 "열차충돌", "열차탈선", "화재", "건널목 사고")를 위험으로 정의하고, 제어 시스템의 고장으로 인해 열거된 사고를 발생시킬 수 있는 사고의 발생 빈도가 SIL4의 범위인 10^-8/hour 미만임을 입증하는 것에 해당한다.

이에, 본 출원인은 다중 프로세서를 이용하여 상호 보완하는 다중 시스템을 구성하고, 이를 통해 열차 제어 시스템의 신뢰도 향상, 및 무결성 향상을 구현하는 안전 무결성 확보를 위한 열차제어 시스템을 제안하고자 한다.

본 발명의 목적은 다중 프로세서를 이용하여 고장 발생을 최소화하며, 각 프로세서가 타 프로세서를 상호 감시, 및 보완하여 신뢰성, 및 안정성을 향상시키는 무결성 확보를 위한 열차제어 시스템을 제공함에 있다.

상기한 목적은 본 발명에 따라, 제1 프로세서를 포함하는 제1시스템 장치, 제2 프로세서를 포함하는 제2시스템 장치, 및 제3프로세서를 포함하는 제3시스템 장치, 및 상기 제1시스템 장치 내지 상기 제3시스템 장치의 제어 출력값을 수신하고, 이들 제어 출력값에 대해 다수결 선택을 적용하여 상기 제1시스템 장치 내지 상기 제3시스템 장치 중 상이한 제어 출력값을 생성하는 것에 대해 오류를 판정하며, 오류로 판정난 시스템 장치를 리셋 후, 재 기동하여 액티브 상태의 전환 여부를 판단하는 보팅(voting) 제어부에 의해 달성된다.

상기한 목적은 본 발명에 따라, 제1 내지 제3 코어를 구비하는 멀티 프로세서, 상기 제1 내지 상기 제3 코어와 독립적으로 연결되는 메모리, 상기 제1 내지 상기 제3 코어와 독립적으로 연결되는 제어로직, 및 상기 제1 내지 상기 제3 코어에 할당된 작업 명령에 대한 제어 출력값을 수신하고, 상기 각 코더에 의해 발생하는 제어 출력값들에 대해 다수결 선택을 적용하여 상기 제1 코어 내지 상기 제3코어 중 상이한 제어 출력값을 생성하는 코어에 대해 오류가 발생한 것으로 판단하고, 오류가 발생한 코어를 리셋 후, 재 기동하는 보팅 제어부에 의해 달성된다.

본 발명에 따르면, 다중 코어로 구성되는 멀티 프로세서, 또는 독립적인 프로세서를 포함하는 다중 시스템 장치에 의해 열차 제어를 수행 시, 상호 감시, 및 보완하도록 함으로써, 열차제어 시스템의 신뢰도, 및 안정성을 향상시킬 수 있다.

도 1은 본 발명의 일 실시예에 따른 안전 무결성 확보를 위한 열차제어 시스템의 블럭개념도를 도시한다.
도 2는 본 발명에 따른 열차제어 시스템의 소프트웨어 진단 방식에 대한 개념도를 도시한다.
도 3은 듀얼 코어의 오류정정부호 방식에 대한 참조도면을 도시한다.
도 4는 본 발명의 다른 실시예에 따른 열차제어 시스템의 블록개념도를 도시한다.
도 5는 시스템 장치, 또는 멀티 코어를 이용하는 본 발명의 열차 제어시스템의 Markov 모델에 대한 참조도면을 도시한다.

이하, 도면을 참조하여 본 발명을 상세히 설명하도록 한다.

도 1은 본 발명의 일 실시예에 따른 안전 무결성 확보를 위한 열차제어 시스템의 블럭개념도를 도시한다.

도 1을 참조하면, 본 실시예에 따른 안전 무결성 확보를 위한 열차제어 시스템(이하, "열차제어 시스템" 이라 한다)은 동일한 형태로 구현되는 제1시스템 장치(110), 제2시스템 장치(200), 제3시스템 장치(300), 및 보팅 제어부(400)로 구성될 수 있다.

제1시스템 장치(100)는 작업 로드(Load) 저감을 위한 듀얼 코어(CORE)(예컨대 TI社의 TMS570)(111)를 포함할 수 있으며, 듀얼 코어(110)는 메모리(120), 제어로직(130), 메모리 인터페이스(140), 및 오류검출 로직(150)을 구비할 수 있다.

제1시스템 장치(100)에는 듀얼 코어(프로세서, 이하 생략함)가 예시되고 있으나, 싱글 코어, 트리플 코어, 또는 쿼드 코어와 같이 다양한 형태의 것이 적용될 수 있다. 다만 한정하지는 않는다.

메모리(120)는 비 휘발성의 플래시 메모리, 휘발성 램을 포함할 수 있으며, 플래시 롬과 램은 ECC 오류 보정 기능을 구비할 수 있다.

오류 보정부(130)는 오류 보정부(130)는 메모리(120), 또는 제어 로직에 대한 오류 진단, 및 보정을 수행하며, 제1시스템 장치(100)의 오류 여부를 진단하는 PBIST(Programmable Built-In Self-Test), 제1시스템 장치(100) 내의 제어 로직의 오류 여부를 진단하는 LBIST(Logic built-in self-test), 메모리 CRC 체크부(CRC), 리셋 제어부(RESET), 디지털 와치독(DWD : Digital Watch Dog) 타이머(DWD), 리얼 타임 인터럽트 제어부(RTI)를 포함하여 구성될 수 있다.

메모리 인터페이스부(140)는 내부, 및 외부 메모리를 듀얼 코어(110)에 연결하기 위한 인터페이스를 제공한다. 메모리 인터페이스부(140)는 비 동기 EMIF(External Memory Interface)를 포함할 수 있으며, 비동기 EMIF는 듀얼 코어(110)가 외부 메모리에 억세스 할 수 있도록 한다.

제2시스템 장치(200), 및 제3시스템 장치(300)는 전술한 제1시스템 장치(100)와 동일한 하드웨어로 구성된다. 따라서, 제2시스템 장치(200), 및 제3시스템 장치(300)에 대한 구성요소의 설명은 제1시스템 장치(100)의 것을 준용하도록 하며, 중복되는 설명은 생략하도록 한다.

제1시스템 장치(100), 제2시스템 장치(200), 및 제3시스템 장치(300)는 FPGA(Field-Programmable Gate Array)로 구현되는 보팅 제어부(400)와 CAN( Control Area Network) 버스로 접속될 수 있다. 보팅 제어부(400)는 열차 제어를 위해 발생하는 제어 명령에 대해 제1시스템 장치(100) 내지 제3시스템 장치(300)의 제어 출력값을 수신한다. 보팅 제어부(400)는 수신된 제어 출력값들 중 다수를 점하는 제어출력값과 소수를 점하는 제어출력값을 판단하고, 다수결에 따라 오류가 발생한 시스템 장치를 판단한다. 예컨대, 제1시스템 장치(100)와 제2시스템 장치(200)의 제어출력값이 동일하고, 제3시스템 장치(300)의 제어 출력값이 상이한 경우, 제3시스템 장치(300)에 오류가 발생한 것으로 판단할 수 있다.

보팅 제어부(400)는 오류가 발생한 시스템 장치에 대해 리셋을 수행할 수 있다. 이때, 제1시스템 장치(100), 제2시스템 장치(200), 및 제3시스템 장치(300)는 각기 독립적인 전원에 의해 구동되는 것이 바람직하다.

보팅 제어부(400)는 오류가 발생한 시스템 장치에 대해 리셋을 수행 후, 리셋된 시스템 장치에서 출력되는 장치 체크 신호를 참조하거나, 리셋된 시스템 장치의 메모리의 메모리값을 참조하여 정상적으로 부팅되어 구동하는가를 판단하고, 판단 결과, 리셋된 시스템 장치가 정상으로 판단되면, 액티브 상태로 전환할 수 있다. 이는 종래의 시스템 구조와 가장 큰 차이점을 보이는 것으로, 종래에는 시스템 장치에 오류가 발생하면, 대체 시스템 장치를 구동하고, 오류가 발생한 시스템 장치는 비 활성화상태로 유지하는데 비하여 오류가 발생한 시스템 장치도 재 사용할 수 있도록 함으로써 시스템 활용도를 높일 수 있는데 따른다.

보팅 제어부(400)는 에러 제어부(410), 컴팩트 PCI 제어부(420), 트랜시버(430), 및 자가 진단부(440)를 구비할 수 있다.

에러 제어부(410)는 CAN 버스로 접속된 제1시스템 장치(100) 내지 제3시스템 장치(300)에서 출력되는 제어 출력값을 참조하여 다수결에 따라 오류가 발생한 시스템 장치를 판단하고, 오류가 발생한 시스템 장치를 리셋 후, 리셋된 시스템 장치에서 출력되는 장치 체크 신호를 참조하거나, 리셋된 시스템 장치의 메모리의 메모리값을 참조하여 시스템 장치의 정상 여부를 판단한다. 리셋된 시스템 장치가 정상으로 판단되면 재 가동하고, 반대의 경우, 시스템 장치를 비 활성화시킬 수 있다.

한편, 보팅 제어부(400)는 그 자신도 다중화되어 보팅 제어부(400)의 오류 발생을 제한할 수 있다.

보팅 제어부(400)는 동일한 보팅 로직이 둘, 셋, 또는 그 이상의 개수로 FPGA로 구현될 수 있다. 예컨대, 동일한 보팅 로직이 4개로 구성되고, 각 보팅 로직의 결과들 중 소수자 결과를 제출하는 보팅 로직을 리셋하거나 비 활성화함으로써 보팅 로직의 무결성을 확보할 수 있다.

따라서, 보팅 제어부(400)는 제1시스템 장치(100), 제2시스템 장치(200), 및 제3시스템 장치(300)로 다중화된 결과판정 장치들의 오류를 점검하면서, 자신의 오류도 함께 진단하도록 구성된다. 통상의 열차제어 시스템이 액티브(Active) 장치와 스텐바이(standby) 장치로 구성되고, 액티브 장치에 오류가 발생하면 스텐바이 장치가 열차 제어를 수행하도록 하는 구조이며, 이들 장치들이 SIL4(Safety Integrity Level 4)의 규격을 만족하고 있으나, 본 발명에 따른 열차제어 시스템은 상시 가용한 3개의 시스템 장치(100, 200, 300)의 제어 결과 값이 비교되어 오류 발생을 차단함은 물론, 오류의 발생을 진단하고 조치하는 보팅 제어부(400) 자체도 오류 진단을 수행하므로, 기존의 SIL 4 규격에 따른 열차제어 시스템의 안전성을 상회할 수 있다. 즉, 본 발명에 따른 열차제어 시스템은 SIL4 규격이 요구하는 안정성을 상회하는 안정성을 제공할 수 있다.

컴팩트 PCI 제어부(420)는 보팅 제어부(400)가 컴팩트 PCI 버스 규격에 따라 열차의 차상 컴퓨터에 접속될 수 있도록 하거나, 또는 보팅 제어부(400)가 컴팩트 PCI 규격에 따른 애드-온(ADD-ON)카드와 연결될 수 있도록 한다. 트랜시버(430)는 CAN-FT를 내장하는 형태의 것으로, 제1시스템 장치(100) 내지 제3시스템 장치(300)와 데이터 송수신을 위해 마련된다.

자가 진단부(440)는 FPGA 로직으로 구현되는 보팅 제어부(400)의 오류 여부를 진단한다.

자가 진단부(440)는 에러 제어부(410), 컴팩트 PCI 제어부(420), 트랜시버(430)가 동일한 형태로 삼중 구조로 구성되는 보팅 제어부(400)의 출력제어값(또는 데이터)를 비교하여 보팅 제어부(400)의 오류 여부를 진단한다. 즉, 보팅 제어부(400)는 동일한 구조의 FPGA 로직이 3 셋트 마련되며, 3 셋트의 에러 제어부(410), 컴팩트 PCI 제어부(420), 트랜시버(430) 각각에서 출력되는 데이터, 및 제어신호가 동일한지를 자가 진단부(400)가 비교하고, 그 결과에 따라 오류가 발생한 FPGA 로직을 판단하여 리셋, 또는 비 활성화시킬 수 있다.

도 2는 본 발명에 따른 열차제어 시스템의 소프트웨어 진단 방식에 대한 개념도를 도시한다.

도 2를 참조하면, 듀얼 코어(110)가 TI社의 TMS570 이라고 가정할 때, TMS570에 내장된 리얼 타임용 코어(111, 112)에 동일한 소프트웨어를 실행시키고, 두 코어(111, 112)가 동시에 수행하도록 하여 각각의 결과 값을 서로 비교함으로써, 오류를 검출할 수 있다. LSM 방법을 사용하였을 경우 연산 코어나 메모리 등의 하드웨어적인 오류를 검출 할 수 있지만. 소프트웨어 오류는 검출할 수 없다는 단점이 있으나, 도 2에 도시된 소프트웨어 진단 방식은 동일한 소프트웨어를 각각의 코어에서 동시 실행하여 각 코어의 결과값이 서로 같으면 다음 단계로 넘어가도록 한다.

도 3은 듀얼 코어(110)의 오류정정부호 방식에 대한 참조도면을 도시한다.

도 3을 참조하면, 듀얼 코어(110)가 TI社의 TMS570이고, 플래시 롬(121), 또는 램(122)에 32비트 크기의 제어 명령어나 데이터가 인가되는 경우, 제어 명령어나 데이터에 4비트 크기의 ECC(Error Correction Code)를 삽입하여 제어 명령어나 데이터를 복구할 수 있도록 한다. 이러한 방식을 이용하여 하나의 비트에 오류가 발생하면 오류를 복구하거나 두 개의 비트에서 오류가 발생하게 되면 제어 명령어나 데이터의 재 전송을 요청할 수 있다.

도 4는 본 발명의 다른 실시예에 따른 열차제어 시스템의 블록개념도를 도시한다.

도시된 열차제어 시스템은, 하나의 멀티 프로세서에 복수의 코어가 내장되는 형태, 또는 개별 프로세서가 하나의 시스템 장치에 집합되는 형태일 수 있다.

메모리, 및 소프트웨어를 독립적으로 구동 가능한 시스템 코어(510 ∼ 540)는 개별적인 메모리, 제어로직과 연결되어 구동하며, 독립적으로 소프트웨어(SW1 ∼ SW4)를 구동하고 소프트웨어(SW1 ∼ SW4)의 수행 결과값을 보팅 제어부(400)로 제공할 수 있다.

보팅 제어부(400)의 판단 결과 코어 1(510)의 소프트웨어 실행 결과값에 오류가 발생하여 코어 2(520)와 코어 3(530)의 것과 상이한 경우, 코어 1(510)은 레지스터(Register)와 메모리의 값을 모두 버리고 리셋(쓰래드를 죽이고 새로 생성)을 할 수 있다. 이때, 코어 4(540)는 코어 1(510)을 대신하여 구동하게 되며, 코어 2(520)나 코어 3(530)으로부터 연산을 위한 데이터, 및 명령어를 넘겨받아 연산을 시작할 수 있다. 코어 1(510)은 그 사이 리셋을 마치고 하드웨어의 고착 에러의 여부를 스스로 판단하게 된다.

도 5는 시스템 장치, 또는 멀티 코어를 이용하는 본 발명의 열차 제어시스템의 Markov 모델에 대한 참조도면을 도시한다.

M1 : 모든 제어장치가 정상 동작

M2 : 세 개의 제어장치가 정상 동작

M3 : 두 개의 제어장치가 정상 동작

M4 : 세 개 혹은 모든 제어 장치가 고장

제안된 쿼드 코어 장치의 Markov 모델을 살펴보면 그림 10과 같다. 4개의 Core가 동일한 고장율

을 가지고 있고. 자가 복구 시스템의 고장율을

로 가정한다.

이 중에서 제어 시스템이 동작 할 수 있는 모드는 M1, M2과 M3 상태이다. 이를 Markov Process로 모델링하면 다음과 같다. 먼저 상태 확률 벡터를

라 놓으면 그림의 상태도에서

은 아래의 수학식 1과 같다.

100 : 제1시스템 장치 200 : 제2시스템 장치
300 : 제3시스템 장치 400 : 보팅 제어부

Claims

제1 프로세서를 포함하는 제1시스템 장치, 제2 프로세서를 포함하는 제2시스템 장치, 및 제3프로세서를 포함하는 제3시스템 장치; 및
상기 제1시스템 장치 내지 상기 제3시스템 장치의 제어 출력값을 수신하고, 상기 제어 출력값들에서 다수를 점하는 제어 출력값과 소수를 점하는 제어 출력값을 판단하고, 상기 제1시스템 장치 내지 상기 제3시스템 장치 중 상기 소수를 점하는 제어 출력값을 생성하는 것에 대해 오류를 판정하며, 오류로 판정난 시스템 장치를 리셋 후, 재 기동하여 액티브 상태의 전환 여부를 판단하는 보팅(voting) 제어부;를 포함하며,
상기 제1시스템 장치 내지 상기 제3시스템 장치는,
동일한 하드웨어, 및 소프트웨어가 설치되며,
동일한 제어에 대해 동일한 프로그램을 구동하여 작업을 수행하고, 상기 동일한 프로그램을 구동하여 작업을 수행한 결과값을 상기 보팅 제어부로 전달하며, 상기 보팅 제어부는 상기 제1시스템 장치 내지 상기 제3시스템 장치의 상기 결과값을 참조하여 상기 제1시스템 장치 내지 상기 제3 시스템 장치에 대한 무결성 여부를 판단하는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
제1항에 있어서,
상기 보팅 제어부는,
상기 제1시스템 장치 내지 상기 제3시스템 장치들 중 오류로 판정난 시스템 장치를 리셋 후, 오류로 판정된 시스템 장치의 메모리 출력값이 정상으로 판정되면 상기 오류로 판정된 시스템 장치를 액티브 상태로 전환하는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
삭제
제1항에 있어서,
상기 제3시스템 장치는,
적어도 하나 이상인 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
제1항에 있어서,
상기 제1시스템 장치, 상기 제2시스템 장치, 상기 제3시스템 장치, 및 상기 보팅 제어부는 CAN 버스로 연결되는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
제1항에 있어서,
상기 보팅 제어부는,
FPGA(Field Programmable Gate Array)로 구현되는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
제1항에 있어서,
상기 제1 내지 상기 제3시스템 장치는,
독립 전원에 의해 구동되는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
제1 코어 내지 제3 코어를 구비하는 멀티 프로세서;
상기 제1 코어 내지 상기 제3 코어와 독립적으로 연결되는 메모리;
상기 제1 코어 내지 상기 제3 코어와 독립적으로 연결되는 제어로직; 및
상기 제1 코어 내지 상기 제3 코어에 할당된 작업 명령에 대한 제어 출력값을 수신하고, 상기 각 코어에 의해 발생하는 제어 출력값들에서 다수를 점하는 제어 출력값과 소수를 점하는 제어 출력값을 판단하고, 상기 제1 코어 내지 상기 제3코어 중 상기 소수를 점하는 제어 출력값을 생성하는 코어에 대해 오류가 발생한 것으로 판단하고, 오류가 발생한 코어를 리셋 후, 재 기동하는 보팅 제어부;를 포함하며,
상기 제1 코어, 내지 상기 제3 코어는,
동일한 하드웨어와 연결되어, 독립적인 제어 시스템을 이루는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
삭제
제8항에 있어서,
상기 제1 코어 내지 상기 제3 코어는,
동일한 소프트웨어를 구동하며,
동일한 제어 명령에 대해 동일한 프로그램을 구동하여 작업을 수행하고, 상기 동일한 프로그램을 구동하여 작업을 수행한 결과값을 상기 보팅 제어부로 전달하며,
상기 보팅 제어부는 상기 제1 코어 내지 상기 제3 코어의 결과값을 참조하여 상이한 결과값을 산출하는 코어에 대해 오류 판정을 수행하는 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.
제8항에 있어서,
상기 제3 코어는,
적어도 하나 이상인 것을 특징으로 하는 안전 무결성 확보를 위한 열차제어 시스템.